Die Anforderungen an Unternehmen, ihre Leitungsorgane und Führungskräfte könnten sich erheblich verschärfen. Im Mittelpunkt steht ein Gesetzentwurf der Bundesregierung zur Umsetzung europäischer Vorgaben zum strafrechtlichen Umweltschutz. Er sieht unter anderem deutlich höhere Bußgeldrahmen vor: Bei vorsätzlichen Verstößen sollen gegen Unternehmen Geldbußen von bis zu 40 Millionen Euro, bei fahrlässigen Verstößen von bis zu 20 Millionen Euro möglich sein. Parallel dazu hat der Bundesrat Vorschläge eingebracht, die erstmals konkreter beschreiben, was eine ordnungsgemäße Unternehmensaufsicht und ein wirksames Compliance-System ausmachen sollen.
Damit rückt Compliance aus der Rolle einer freiwilligen organisatorischen Ergänzung heraus. Sie wird zu einem zentralen Maßstab für die Frage, ob die Unternehmensleitung ihre gesetzlichen Organisations- und Überwachungspflichten erfüllt hat. Der Beitrag von Josef Scherer, Professor für Compliance, Risiko- und Krisenmanagement, Sanierungs- und Insolvenzrecht, zeigt: Die Entwicklung betrifft nicht nur Vorstände und Geschäftsführer, sondern auch Aufsichtsräte, Bereichsleiter sowie Verantwortliche für Risiko-, Compliance-, Qualitäts-, Informationssicherheits- und KI-Management.
Fünf Bausteine wirksamer Compliance
Der Bundesrat schlägt vor, § 130 des Ordnungswidrigkeitengesetzes zu konkretisieren. Die geplante Regelung nennt fünf wesentliche Aufsichtsmaßnahmen: die sorgfältige Auswahl, Unterweisung und Überwachung von Mitarbeitern, eine regelmäßige Compliance-Risikoanalyse, Richtlinien und Schulungen, ein vertrauliches Hinweisgebersystem sowie die Untersuchung und Sanktionierung möglicher Pflichtverletzungen. Ziel ist ein gesetzlicher Referenzmaßstab, an dem Unternehmen ihre Organisation ausrichten können.
Die Anforderungen sollen jedoch nicht schematisch gelten. Größe, Geschäftsmodell, Organisationsstruktur und konkrete Gefahrenlage eines Unternehmens müssen berücksichtigt werden. Gerade kleine und mittlere Unternehmen sollen nicht automatisch aufwendige oder zertifizierte Systeme einführen müssen. Entscheidend ist, ob die Maßnahmen angemessen, geeignet und zumutbar sind.
Der vorgeschlagene Katalog ist zudem nicht abschließend. Er beschreibt grundlegende "Best Practices", lässt Unternehmen aber Spielraum bei der konkreten Umsetzung. Nicht ausreichend wäre es, lediglich Richtlinien zu verabschieden oder Kontrollmechanismen formal einzurichten. Wirksame Compliance setzt eine gelebte Unternehmenskultur voraus, in der die Leitungsebene Rechtstreue sichtbar unterstützt und klare Erwartungen regelmäßig kommuniziert.
Compliance und Risikomanagement kann Bußgelder mindern
Geeignete Compliance-Maßnahmen sollen nach dem Vorschlag des Bundesrates bei der Bemessung einer Verbandsgeldbuße ausdrücklich zugunsten des Unternehmens berücksichtigt werden. Das gilt sowohl für vorbeugende Maßnahmen als auch für Verbesserungen nach einem Verstoß. Je ernsthafter, umfassender und wirksamer die Präventionsbemühungen sind, desto stärker kann die Entlastungswirkung ausfallen.
Reines "Window Dressing" genügt dagegen nicht. Systeme, die nur auf dem Papier bestehen oder lediglich den Eindruck regelkonformen Verhaltens erzeugen sollen, könnten wirkungslos bleiben. Unter Umständen wäre sogar eine bußgelderhöhende Bewertung denkbar. Nach einem Vorfall kommt es insbesondere darauf an, wie schnell das Unternehmen reagiert, Schwachstellen beseitigt und Wiederholungen verhindert.
Führungskräfte geraten persönlich unter Druck
Die rechtlichen Risiken treffen nicht nur das Unternehmen. Der Beitrag verweist auf eine steigende Zahl von Managerhaftungsfällen und auf eine Rechtsprechung, nach der Verstöße gegen die Legalitätspflicht als Verletzung wesentlicher beruflicher Pflichten eingestuft werden können. Unterlässt die Leitung etwa eine angemessene Risiko- oder Krisenfrüherkennung, kann bereits Fahrlässigkeit eine persönliche Schadensersatzpflicht auslösen.
Zusätzlich besteht das Risiko, dass eine D&O-Versicherung ihre Leistung verweigert. Zwar verlangt der Bundesgerichtshof für einen Risikoausschluss wegen wissentlicher Pflichtverletzung mehr als bloße Fahrlässigkeit oder bedingten Vorsatz. Dennoch können Verletzungen sogenannter Kardinalpflichten als Hinweis auf ein bewusstes Fehlverhalten gewertet werden. Ein dokumentiertes und tatsächlich angewandtes Compliance-System kann deshalb auch für den Erhalt des Versicherungsschutzes entscheidend sein.
Die Haftung kann zudem auf unterschiedlichen Ebenen entstehen: strafrechtlich, bußgeldrechtlich und zivilrechtlich. Unternehmen können für Organisations- und Aufsichtsdefizite sanktioniert werden. Zugleich kann die Gesellschaft Geldbußen oder Schäden unter bestimmten Voraussetzungen bei Vorständen und Geschäftsführern regressieren. Im Extremfall steht damit das gesamte Privatvermögen der verantwortlichen Führungskraft im Risiko.
Delegation entlastet nicht vollständig
In arbeitsteiligen Organisationen werden Aufgaben regelmäßig an Führungskräfte, Stabsstellen oder externe Dienstleister übertragen. Die ursprüngliche Ausführungspflicht der Unternehmensleitung wandelt sich dabei in Auswahl-, Instruktions- und Überwachungspflichten. Fehlerhafte Delegation oder unzureichende Kontrolle können deshalb sowohl die ausführende Person als auch das delegierende Leitungsorgan und das Unternehmen treffen.
Besonders wichtig sind klare Zuständigkeiten, dokumentierte Aufgabenübertragungen, geeignete Qualifikationen und wirksame Kontrollen. Auch Aufsichtsräte können in die Verantwortung geraten, wenn sie erkennbare Organisationsmängel nicht beanstanden oder deren Beseitigung nicht durchsetzen.
KI verschärft das Organisationsrisiko
Neue Haftungsfragen entstehen beim Einsatz künstlicher Intelligenz. Verursacht fehlerhafter KI-Output Schäden oder verletzt er Rechte Dritter, reicht der Verweis auf die eingesetzte Technologie nicht aus. Unternehmen benötigen Vorgaben zur Auswahl, Nutzung, Kontrolle und Dokumentation von KI-Systemen. Führungskräfte müssen diese Vorgaben nicht nur schaffen, sondern auch selbst einhalten und ihre Umsetzung überwachen.
Damit wird KI-Governance zu einem Teil der allgemeinen Legalitäts- und Organisationspflicht. Fehlende Kompetenz, unklare Freigabeprozesse oder ungeprüfte Ergebnisse können sich zu persönlichen Haftungsrisiken entwickeln. Der Beitrag warnt deshalb vor erheblichem Nachholbedarf bei der IT- und KI-Kompetenz vieler Organisationen.
Vom Papiersystem zur integrierten Governance
Als Antwort empfiehlt Scherer ein umfassendes "Managersicherheitspaket". Dazu gehören ein risikobasierter Managementprozess, ein aktuelles Rechtskataster, überprüfter Versicherungsschutz, klare Rollen und Verantwortlichkeiten, rechtssichere Pflichtendelegation sowie belastbare Organisations- und Prozessstrukturen.
Besonderer Handlungsbedarf bestehe bei Financial Governance, IT- und KI-Governance sowie Business-Continuity- und Krisenmanagement. Diese Bereiche sollen nicht isoliert nebeneinanderstehen, sondern in einem integrierten Governance- und Compliance-Managementsystem verknüpft werden. Interne Audits und gegebenenfalls Zertifizierungen können Schwachstellen sichtbar machen und die tatsächliche Wirksamkeit dokumentieren.
Die zentrale Botschaft lautet damit: Compliance ist kein bürokratisches Schutzschild, das allein durch Richtlinien, Handbücher und Zertifikate entsteht. Entscheidend sind wirksame Prozesse, nachvollziehbare Entscheidungen und eine dokumentierte Umsetzung. Nur ein System, das im Alltag tatsächlich gelebt wird, kann Unternehmen und Führungskräfte vor Sanktionen, Haftung und dem Verlust des Versicherungsschutzes schützen.
Quelle:
- Josef Scherer (2026): Neues Unternehmenssanktionsrecht, Legalitätspflicht und Criminal Compliance, auch bei KI-Einsatz, in: ZInsO (Zeitschrift für das gesamte Insolvenz- und Sanierungsrecht), 29. Jahrgang, Ausgabe 31, 30. Juli 2026, S. 1527-1535.
