Schätzungsweise 11.000 Regeln und Dokumentationspflichten treffen ein deutsches Unternehmen heute — Tendenz steigend. Wer als Geschäftsführer glaubt, Compliance sei ein Konzernthema, irrt: Die Rechtsprechung verpflichtet Geschäftsführer jeder Unternehmensgröße, ein angemessenes Compliance-Management-System (CMS) einzurichten und aktiv zu überwachen.
Die Haftungsgrundlage steht im Gesetz: § 43 Abs. 1 GmbHG verlangt die Sorgfalt eines ordentlichen Geschäftsmannes — und die Gerichte leiten daraus eine konkrete Organisationspflicht ab. Fehlt ein strukturiertes Kontrollsystem, haften Geschäftsführer für Schäden, die Mitarbeitende durch Rechtsverstöße verursachen, persönlich. Das gilt auch dann, wenn der Geschäftsführer von dem konkreten Verstoß nichts wusste.
Ein Compliance-Audit ist das Instrument, mit dem Sie den Status quo Ihres Unternehmens prüfen, Lücken schließen und Ihre Haftungsposition dokumentieren. Die folgenden Abschnitte erläutern, welche Prüffelder zwingend gehören, welche neuen gesetzlichen Pflichten 2025 und 2026 hinzugekommen sind und wie ein pragmatisches Audit für ein KMU aussieht.
Warum Compliance im KMU keine Kür, sondern Pflicht ist
Compliance ist für Geschäftsführer einer GmbH keine freiwillige Selbstverpflichtung, sondern eine aus dem Gesetz abgeleitete Pflicht. § 43 Abs. 1 GmbHG verpflichtet Geschäftsführer zur Sorgfalt eines ordentlichen Geschäftsmannes — die Rechtsprechung konkretisiert das zur Pflicht, eine interne Organisationsstruktur zu schaffen, die Rechtsverstöße strukturell verhindert. Wer dieser Pflicht nicht nachkommt, haftet nach § 43 Abs. 2 GmbHG persönlich für entstandene Schäden.
Das OLG Nürnberg hat in seinem Urteil vom 30. März 2022 (Az. 12 U 1520/19) erstmals als Obergericht detailliert festgelegt, was das konkret bedeutet: Der Geschäftsführer muss organisatorische Vorkehrungen treffen, die Rechtsverstöße durch Mitarbeitende verhindern. Eine Größenschwelle gibt es dabei nicht — die Pflicht trifft Unternehmen jeder Größe und Branche. Diese Entscheidung hat die bisherige Rechtsprechung, die sich vor allem auf Konzerne und börsennotierte Gesellschaften bezog, auf den gesamten Mittelstand ausgedehnt.
Hinzu kommt § 130 OWiG als ordnungswidrigkeitenrechtliche Parallelnorm: Wer als Betriebsinhaber oder Geschäftsführer Aufsichtsmaßnahmen unterlässt, die Rechtsverstöße aus dem Betrieb verhindern würden, handelt selbst ordnungswidrig. Das Bußgeld kann in diesem Fall erheblich sein — und es trifft die verantwortliche Person, nicht nur das Unternehmen.
Für mittelständische Betriebe wiegen die Folgen eines Compliance-Verstoßes oft schwerer als in Großkonzernen. Finanzielle, rechtliche und reputative Schäden lassen sich im Mittelstand deutlich schwerer abfedern. Ein Compliance-Audit ist deshalb kein bürokratischer Luxus, sondern eine konkrete Schutzmaßnahme für das Privatvermögen des Geschäftsführers und den Fortbestand des Unternehmens.
D&O-Versicherungen prüfen inzwischen ebenfalls, ob ein funktionierendes CMS vorhanden ist. Wer keines vorweisen kann, riskiert, dass die Versicherung im Schadensfall die Leistung verweigert — und der Geschäftsführer den Schaden selbst tragen muss.
Welche Prüffelder ein Compliance-Audit im KMU abdecken muss
Ein strukturiertes Compliance-Audit analysiert systematisch, ob das Unternehmen die wesentlichen gesetzlichen Pflichten einhält und ob interne Kontrollmechanismen greifen. Die wichtigsten Prüffelder lassen sich in fünf Blöcke gliedern: Arbeitsrecht, Datenschutz, Vertrags- und Wettbewerbsrecht, Steuer-Compliance sowie branchenspezifische Sonderpflichten.
Arbeitsrecht ist häufig das größte Risikofeld: Arbeitszeiterfassung nach den Anforderungen der aktuellen Rechtsprechung, korrekte Mindestlohnabrechnung, Dokumentation von Kündigungen sowie die Einhaltung des Allgemeinen Gleichbehandlungsgesetzes (AGG) gehören zwingend auf die Audit-Checkliste. Seit 2026 kommen verschärfte Pflichten zur Entgelttransparenz hinzu, die HR-Prozesse und Vergütungsstrukturen direkt betreffen.
Datenschutz nach der DSGVO ist ein eigenes Prüffeld mit erheblichem Bußgeldpotenzial. Das Audit prüft, ob Verarbeitungsverzeichnisse nach Art. 30 DSGVO vorliegen, ob Auftragsverarbeitungsverträge mit Dienstleistern geschlossen wurden und ob für Hochrisiko-Verarbeitungen eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchgeführt wurde. Unternehmen, die KI-Systeme einsetzen, müssen zusätzlich die Anforderungen der EU AI Act-Verordnung berücksichtigen.
Vertrags- und Wettbewerbsrecht betrifft vor allem AGB-Konformität, kartellrechtlich problematische Absprachen und die Einhaltung des UWG bei Werbemaßnahmen. Gerade AGB werden in KMU oft jahrelang nicht aktualisiert und enthalten Klauseln, die nach aktueller BGH-Rechtsprechung unwirksam sind — mit der Folge, dass gesetzliche Regelungen eingreifen, die für den Unternehmer ungünstiger sind.
Unternehmen, die Waren aus Drittstaaten beziehen oder in Lieferketten eingebunden sind, müssen zudem die Anforderungen des Lieferkettensorgfaltspflichtengesetzes (LkSG) prüfen. Das Gesetz gilt für Unternehmen ab 1.000 Mitarbeitenden direkt — kleinere Unternehmen werden jedoch faktisch über Sorgfaltspflichten ihrer Abnehmer erfasst und müssen entsprechende Dokumentation vorhalten.
Praxis-Tipp
Der Geschäftsführer einer GmbH ist nach § 43 Abs. 1 GmbHG persönlich verpflichtet, ein angemessenes Compliance-Management-System einzurichten — fehlt es, haftet er bei Mitarbeiterverstößen persönlich.
Hinweisgeberschutzgesetz: Wer eine interne Meldestelle braucht
Unternehmen mit 50 oder mehr Beschäftigten sind verpflichtet, eine interne Meldestelle nach dem Hinweisgeberschutzgesetz (HinSchG) einzurichten. Die Meldestelle muss vertraulich, unabhängig und für Hinweisgeber anonym nutzbar sein. Wer keine Meldestelle betreibt, begeht eine Ordnungswidrigkeit — und demonstriert gleichzeitig das Fehlen eines strukturierten CMS gegenüber Gerichten und Behörden.
Die Meldestelle ist nicht nur eine gesetzliche Pflichtübung, sondern ein wirksames Frühwarnsystem: Mitarbeitende können Compliance-Verstöße melden, bevor sie sich zu einem größeren Schaden ausweiten. Das Audit prüft deshalb, ob eine technisch und organisatorisch konforme Lösung existiert, wer als interner Meldestellen-Beauftragter fungiert und ob der Prozess von der Meldung bis zur Reaktion dokumentiert ist.
Praxisbeispiel aus der Beratung: In einem mittelständischen Produktionsunternehmen aus dem Stuttgarter Raum mit rund 120 Beschäftigten fehlte eine konforme Meldestelle vollständig. Ein Compliance-Audit deckte zusätzlich auf, dass der zuständige Vertriebsmitarbeiter Kreditlimits bei Kunden dauerhaft überzog, ohne dass eine Gegenkontrolle existierte — ein Szenario, das strukturell dem Fall des OLG Nürnberg entspricht. Nach Einführung eines Vier-Augen-Prinzips und einer digitalen Meldestelle war die Haftungsexposition des Geschäftsführers deutlich reduziert.
Für Unternehmen mit weniger als 50 Beschäftigten besteht zwar keine gesetzliche Pflicht zur Einrichtung einer Meldestelle, doch die Rechtsprechung zu § 43 GmbHG zeigt: Auch hier erwartet die Rechtsprechung zumindest einen dokumentierten Prozess, über den Mitarbeitende Compliance-Risiken melden können. Die Form kann schlanker sein, das Prinzip bleibt dasselbe.
Wichtig zu wissen
Das OLG Nürnberg hat klargestellt, dass die Pflicht zur Einrichtung eines CMS für Unternehmen jeder Größe gilt — eine Mindestmitarbeiterzahl oder Branchenschwelle existiert nicht.
