Compliance-Audit für KMU: Was Geschäftsführer rechtlich prüfen lassen sollten

Warum Compliance im KMU keine Kür, sondern Pflicht ist

Compliance ist für Geschäftsführer einer GmbH keine freiwillige Selbstverpflichtung, sondern eine aus dem Gesetz abgeleitete Pflicht. § 43 Abs. 1 GmbHG verpflichtet Geschäftsführer zur Sorgfalt eines ordentlichen Geschäftsmannes — die Rechtsprechung konkretisiert das zur Pflicht, eine interne Organisationsstruktur zu schaffen, die Rechtsverstöße strukturell verhindert. Wer dieser Pflicht nicht nachkommt, haftet nach § 43 Abs. 2 GmbHG persönlich für entstandene Schäden.

Das OLG Nürnberg hat in seinem Urteil vom 30. März 2022 (Az. 12 U 1520/19) erstmals als Obergericht detailliert festgelegt, was das konkret bedeutet: Der Geschäftsführer muss organisatorische Vorkehrungen treffen, die Rechtsverstöße durch Mitarbeitende verhindern. Eine Größenschwelle gibt es dabei nicht — die Pflicht trifft Unternehmen jeder Größe und Branche. Diese Entscheidung hat die bisherige Rechtsprechung, die sich vor allem auf Konzerne und börsennotierte Gesellschaften bezog, auf den gesamten Mittelstand ausgedehnt.

Hinzu kommt § 130 OWiG als ordnungswidrigkeitenrechtliche Parallelnorm: Wer als Betriebsinhaber oder Geschäftsführer Aufsichtsmaßnahmen unterlässt, die Rechtsverstöße aus dem Betrieb verhindern würden, handelt selbst ordnungswidrig. Das Bußgeld kann in diesem Fall erheblich sein — und es trifft die verantwortliche Person, nicht nur das Unternehmen.

Für mittelständische Betriebe wiegen die Folgen eines Compliance-Verstoßes oft schwerer als in Großkonzernen. Finanzielle, rechtliche und reputative Schäden lassen sich im Mittelstand deutlich schwerer abfedern. Ein Compliance-Audit ist deshalb kein bürokratischer Luxus, sondern eine konkrete Schutzmaßnahme für das Privatvermögen des Geschäftsführers und den Fortbestand des Unternehmens.

D&O-Versicherungen prüfen inzwischen ebenfalls, ob ein funktionierendes CMS vorhanden ist. Wer keines vorweisen kann, riskiert, dass die Versicherung im Schadensfall die Leistung verweigert — und der Geschäftsführer den Schaden selbst tragen muss.

Welche Prüffelder ein Compliance-Audit im KMU abdecken muss

Ein strukturiertes Compliance-Audit analysiert systematisch, ob das Unternehmen die wesentlichen gesetzlichen Pflichten einhält und ob interne Kontrollmechanismen greifen. Die wichtigsten Prüffelder lassen sich in fünf Blöcke gliedern: Arbeitsrecht, Datenschutz, Vertrags- und Wettbewerbsrecht, Steuer-Compliance sowie branchenspezifische Sonderpflichten.

Arbeitsrecht ist häufig das größte Risikofeld: Arbeitszeiterfassung nach den Anforderungen der aktuellen Rechtsprechung, korrekte Mindestlohnabrechnung, Dokumentation von Kündigungen sowie die Einhaltung des Allgemeinen Gleichbehandlungsgesetzes (AGG) gehören zwingend auf die Audit-Checkliste. Seit 2026 kommen verschärfte Pflichten zur Entgelttransparenz hinzu, die HR-Prozesse und Vergütungsstrukturen direkt betreffen.

Datenschutz nach der DSGVO ist ein eigenes Prüffeld mit erheblichem Bußgeldpotenzial. Das Audit prüft, ob Verarbeitungsverzeichnisse nach Art. 30 DSGVO vorliegen, ob Auftragsverarbeitungsverträge mit Dienstleistern geschlossen wurden und ob für Hochrisiko-Verarbeitungen eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchgeführt wurde. Unternehmen, die KI-Systeme einsetzen, müssen zusätzlich die Anforderungen der EU AI Act-Verordnung berücksichtigen.

Vertrags- und Wettbewerbsrecht betrifft vor allem AGB-Konformität, kartellrechtlich problematische Absprachen und die Einhaltung des UWG bei Werbemaßnahmen. Gerade AGB werden in KMU oft jahrelang nicht aktualisiert und enthalten Klauseln, die nach aktueller BGH-Rechtsprechung unwirksam sind — mit der Folge, dass gesetzliche Regelungen eingreifen, die für den Unternehmer ungünstiger sind.

Unternehmen, die Waren aus Drittstaaten beziehen oder in Lieferketten eingebunden sind, müssen zudem die Anforderungen des Lieferkettensorgfaltspflichtengesetzes (LkSG) prüfen. Das Gesetz gilt für Unternehmen ab 1.000 Mitarbeitenden direkt — kleinere Unternehmen werden jedoch faktisch über Sorgfaltspflichten ihrer Abnehmer erfasst und müssen entsprechende Dokumentation vorhalten.

Hinweisgeberschutzgesetz: Wer eine interne Meldestelle braucht

Unternehmen mit 50 oder mehr Beschäftigten sind verpflichtet, eine interne Meldestelle nach dem Hinweisgeberschutzgesetz (HinSchG) einzurichten. Die Meldestelle muss vertraulich, unabhängig und für Hinweisgeber anonym nutzbar sein. Wer keine Meldestelle betreibt, begeht eine Ordnungswidrigkeit — und demonstriert gleichzeitig das Fehlen eines strukturierten CMS gegenüber Gerichten und Behörden.

Die Meldestelle ist nicht nur eine gesetzliche Pflichtübung, sondern ein wirksames Frühwarnsystem: Mitarbeitende können Compliance-Verstöße melden, bevor sie sich zu einem größeren Schaden ausweiten. Das Audit prüft deshalb, ob eine technisch und organisatorisch konforme Lösung existiert, wer als interner Meldestellen-Beauftragter fungiert und ob der Prozess von der Meldung bis zur Reaktion dokumentiert ist.

Praxisbeispiel aus der Beratung: In einem mittelständischen Produktionsunternehmen aus dem Stuttgarter Raum mit rund 120 Beschäftigten fehlte eine konforme Meldestelle vollständig. Ein Compliance-Audit deckte zusätzlich auf, dass der zuständige Vertriebsmitarbeiter Kreditlimits bei Kunden dauerhaft überzog, ohne dass eine Gegenkontrolle existierte — ein Szenario, das strukturell dem Fall des OLG Nürnberg entspricht. Nach Einführung eines Vier-Augen-Prinzips und einer digitalen Meldestelle war die Haftungsexposition des Geschäftsführers deutlich reduziert.

Für Unternehmen mit weniger als 50 Beschäftigten besteht zwar keine gesetzliche Pflicht zur Einrichtung einer Meldestelle, doch die Rechtsprechung zu § 43 GmbHG zeigt: Auch hier erwartet die Rechtsprechung zumindest einen dokumentierten Prozess, über den Mitarbeitende Compliance-Risiken melden können. Die Form kann schlanker sein, das Prinzip bleibt dasselbe.

Kann der Geschäftsführer Compliance-Verantwortung delegieren?

Compliance-Verantwortung ist teilweise delegierbar — die Kernpflicht bleibt beim Geschäftsführer. Bei mehreren Geschäftsführern kann durch eine interne Zuständigkeitsregelung ein Compliance-Geschäftsführer bestimmt werden, was die Haftung der übrigen auf eine Überwachungspflicht beschränkt. Doch auch diese Überwachungspflicht stellt der BGH unter strenge Anforderungen: Wenn wiederholte Gesetzesverstöße oder gravierende Verdachtsmomente auftauchen, muss jeder Geschäftsführer eingreifen und auf die Einführung eines funktionierenden CMS hinwirken.

Die sogenannte Oberaufsicht ist nach der Rechtsprechung unübertragbar: Auch wer Compliance-Aufgaben an leitende Mitarbeitende oder externe Dienstleister delegiert, bleibt für die Organisations- und Systemverantwortung der Delegationsprozesse verantwortlich. Wer delegiert, muss die delegierten Personen sorgfältig auswählen, anleiten, überwachen und bei Fehlverhalten eingreifen. Ein Geschäftsführer, der schlicht nichts weiß, weil er nicht hinschaut, ist nicht entlastet.

Besondere Vorsicht gilt bei Unternehmenstransaktionen: Wer ein Unternehmen kauft und die Geschäftsführung übernimmt, kauft im schlechtesten Fall auch das Haftungsrisiko des Vorgängers mit ein — wenn das bestehende CMS unzureichend war. D&O-Versicherungen verweigern in solchen Konstellationen häufig die Leistung. Eine gründliche Compliance Due Diligence vor dem Closing ist deshalb kein optionaler Prüfpunkt, sondern Teil der kaufmännischen Sorgfaltspflicht.

Der BGH hat in ständiger Rechtsprechung betont, dass die Sorgfaltspflichten des Geschäftsführers auch für ausgeschiedene Organmitglieder nachwirken können, wenn eine Gefahrenlage, die sie verursacht oder zugelassen haben, über ihr Ausscheiden hinaus fortbesteht — wie der BGH, II ZR 206/22, für den Bereich der Insolvenzverschleppung bestätigt hat. Das zeigt: Compliance-Versäumnisse können den Geschäftsführer auch dann noch einholen, wenn er das Unternehmen längst verlassen hat.

Neue Compliance-Pflichten 2025 und 2026: Was KMU jetzt prüfen müssen

Die Regulierungsdichte wächst: Mehrere Gesetzgebungsvorhaben haben in den Jahren 2024 bis 2026 neue Compliance-Pflichten begründet, die KMU oft unterschätzen. Das Compliance-Audit muss diese neuen Anforderungen ausdrücklich abdecken, damit Geschäftsführer nicht in eine Lücke zwischen altem Wissensstand und aktueller Rechtslage geraten.

Die EU-Entgelttransparenzrichtlinie, die bis zum 7. Juni 2026 in nationales Recht umzusetzen war, verpflichtet Unternehmen, Entgeltkriterien, Vergütungsspannen und Auskunftsprozesse so zu organisieren, dass sie einer Prüfung standhalten. HR-Abteilungen müssen Vergütungsstrukturen dokumentieren und auf Anfrage offenlegen können. Wer diese Pflicht ignoriert, setzt sich Diskriminierungsklagen und behördlichen Sanktionen aus.

Die Batterieverordnung der EU hat zum 18. August 2025 Sorgfaltspflichten in der Lieferkette ausgelöst, die auch für Unternehmen relevant sind, die Batterien oder batteriehaltige Produkte verarbeiten, handeln oder importieren. Das Audit muss prüfen, ob das Unternehmen in den Anwendungsbereich fällt und ob die Dokumentationspflichten erfüllt sind.

Der EU AI Act trifft KMU, die Hochrisiko-KI-Systeme einsetzen oder als Anbieter auf den Markt bringen. Wer KI-Tools für Personalentscheidungen, Kreditbewertung oder Sicherheitsfunktionen nutzt, muss prüfen, ob eine Grundrechte-Folgenabschätzung (FRIA) erforderlich ist. Datenschutz-Compliance und KI-Compliance überschneiden sich hier — Art. 22 DSGVO und Art. 35 DSGVO sind dabei die einschlägigen Normen, die das Audit adressieren muss.

Unternehmen mit mehr als 1.000 Mitarbeitenden unterliegen direkt dem Lieferkettensorgfaltspflichtengesetz (LkSG). Kleinere KMU werden jedoch über Zulieferer- und Abnehmerbeziehungen faktisch einbezogen: Wer als Zulieferer eines größeren Unternehmens tätig ist, erhält zunehmend Compliance-Fragebögen und Auditanfragen — und muss eigene Dokumentation vorhalten, um Aufträge nicht zu verlieren.

Fazit

Compliance im KMU ist keine optionale Investition — es ist der rechtliche Mindeststandard, den die Rechtsprechung von jedem Geschäftsführer erwartet. Ein strukturiertes Audit zeigt Ihnen, wo Ihre Lücken sind, und gibt Ihnen die Dokumentation, die Sie im Streitfall brauchen. Die neuen gesetzlichen Anforderungen aus 2025 und 2026 — Entgelttransparenz, EU AI Act, Batterieverordnung — machen einen aktuellen Prüfstand wichtiger denn je.

Lassen Sie Ihr Compliance-System anwaltlich prüfen, bevor es ein Gericht tut. Ein strukturiertes Audit ist investiertes Kapital in Ihre persönliche Haftungsabsicherung und in den Fortbestand Ihres Unternehmens.