Was kostet schlechte Compliance wirklich? Haftung, Reputation und der BGH

Ein Compliance-Management-System (CMS) kostet Geld, Zeit und bindet personelle Ressourcen. Das ist die Perspektive, mit der viele mittelständische Geschäftsführer auf das Thema blicken. Doch wer Compliance als reinen Kostenblock verbucht, stellt die falsche wirtschaftliche Frage. Die entscheidende Frage lautet: Was kostet es ein Unternehmen – und vor allem den Geschäftsführer persönlich –, wenn kein funktionierendes Compliance-System existiert? Die Antwort darauf findet sich in drakonischen Bußgeldern, unbeschränkter privater Haftung, dem Ausschluss von öffentlichen Aufträgen und verheerenden Reputationsschäden. Dieser Beitrag entschlüsselt die wahren Kosten von Non-Compliance und zeigt, warum der Bundesgerichtshof (BGH) ein CMS mittlerweile als eine Art juristische Rabattkarte bei Strafverfahren betrachtet.

1. Die direkten Kosten: Unternehmensgeldbußen und Gewinnabschöpfung

Der sichtbarste Kostenfaktor von Non-Compliance sind die direkten Sanktionen durch Behörden. Das deutsche Recht kennt zwar (noch) kein echtes Unternehmensstrafrecht im angloamerikanischen Sinne, greift aber über das Ordnungswidrigkeitengesetz (OWiG) massiv in die Kassen der Unternehmen ein. Nach § 130 OWiG in Verbindung mit § 30 OWiG können Geldbußen gegen das Unternehmen verhängt werden, wenn eine Leitungsperson eine Aufsichtspflichtverletzung begangen hat, die zu einer Straftat oder Ordnungswidrigkeit aus dem Unternehmen heraus geführt hat.

Die Höchstgrenzen für diese Bußgelder wurden in den letzten Jahren drastisch erhöht. Bei Vorsatz können bis zu 10 Millionen Euro verhängt werden. Bei fahrlässigem Handeln immerhin noch bis zu 5 Millionen Euro. Bei bestimmten Verstößen (etwa im Kartellrecht oder nach der DSGVO) bemisst sich das Bußgeld sogar nach dem weltweiten Jahresumsatz des Unternehmens (bis zu 4 % nach DSGVO, bis zu 10 % im Kartellrecht).

Hinzu kommt ein oft übersehener, aber wirtschaftlich tödlicher Faktor: die Gewinnabschöpfung (§ 29a OWiG / § 73 StGB). Wenn ein Unternehmen durch einen illegalen Akt (z.B. durch eine Kartellabsprache oder Bestechung im Ausland) einen Auftrag im Wert von 50 Millionen Euro erhalten hat und daraus 5 Millionen Euro Gewinn generiert, kann der Staat diesen wirtschaftlichen Vorteil zusätzlich zum Bußgeld vollständig abschöpfen. Die Strafzahlung ist damit nicht auf das gesetzliche Limit begrenzt, sondern frisst den gesamten Ertrag des illegalen Geschäfts auf. Wer hier kein Kontrollsystem hat, verliert auf einen Schlag die Liquidität von Jahren.

2. Die BGH-Rechtsprechung: Compliance als Strafmilderungsgrund

Dass sich ein Compliance-System direkt in barer Münze auszahlt, hat der Bundesgerichtshof (BGH) in einer wegweisenden Entscheidung (Urteil vom 09.05.2017 – 1 StR 265/16) zementiert. In diesem Verfahren ging es um Steuerhinterziehung und Bestechungsgelder in der Rüstungsindustrie. Der BGH stellte klar:

Ein bestehendes, effizientes Compliance-Management-System (CMS) muss bei der Bemessung der Unternehmensgeldbuße zwingend strafmildernd berücksichtigt werden.

Die Logik der höchsten deutschen Strafrichter ist bestechend: Wenn ein Unternehmen ernsthafte und weitreichende Vorkehrungen getroffen hat, um Rechtsverstöße zu verhindern (z.B. durch Schulungen, Vier-Augen-Prinzipien, Whistleblower-Hotlines), und ein einzelner Mitarbeiter diese Kontrollen mit hoher krimineller Energie umgeht, dann liegt kein strukturelles Versagen der Unternehmensführung vor. Dem Unternehmen darf dieses individuelle Fehlverhalten nicht in vollem Umfang zugerechnet werden.

Noch bemerkenswerter ist der zweite Teil des BGH-Urteils: Selbst die nachträgliche Einrichtung eines CMS wirkt strafmildernd. Wenn ein Verstoß aufgedeckt wird und die Geschäftsführung unmittelbar danach strukturelle Konsequenzen zieht – Täter entlässt, Prozesse neu aufsetzt und ein modernes CMS implementiert –, bewerten die Gerichte dies positiv. Das CMS fungiert hier als Beweis, dass das Unternehmen lernfähig ist und keine Wiederholungsgefahr besteht. In der Praxis führt dies zu drastischen Rabatten bei der Bußgeldberechnung.

3. Der Ruin des Geschäftsführers: Persönliche Haftung und § 93 AktG

Während Bußgelder "nur" das Unternehmen treffen, richtet sich der juristische Fokus nach Aufdeckung eines Skandals sofort auf das Management. Gemäß § 93 Abs. 1 AktG (der über § 43 GmbHG auch für GmbH-Geschäftsführer analog angewandt wird) haben Vorstandsmitglieder die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anzuwenden. Dazu gehört unbestritten die Pflicht zur Legalität (Legalitätspflicht) – also die Pflicht, das Unternehmen so zu organisieren, dass keine Gesetze gebrochen werden.

Fehlt ein solches Compliance-System oder ist es offensichtlich unzureichend (ein reines "Paper-Compliance-System", das nur in der Schublade liegt), begeht der Geschäftsführer ein klassisches Organisationsverschulden. Die Konsequenz ist existenzvernichtend: Der Geschäftsführer haftet der Gesellschaft gegenüber persönlich und unbeschränkt mit seinem gesamten Privatvermögen für den entstandenen Schaden (z.B. für die verhängten Bußgelder oder Schadensersatzzahlungen an Dritte).

Besonders brisant ist hierbei das prozessuale Konstrukt der Beweislastumkehr in der Organhaftung. Nicht der Aufsichtsrat oder die Gesellschafterversammlung muss beweisen, dass der Geschäftsführer einen Fehler gemacht hat. Vielmehr muss der in Anspruch genommene Geschäftsführer beweisen, dass er ein ordnungsgemäßes CMS installiert und überwacht hat. Ohne lückenlose Dokumentation (Schulungsnachweise, Audit-Protokolle, Risikoanalysen) ist dieser Beweis vor Gericht schlicht nicht zu erbringen. Die Existenz eines CMS ist daher nicht weniger als die persönliche Lebensversicherung für das Privatvermögen der Geschäftsleitung.

4. Der wirtschaftliche Genickbruch: Reputationsverlust und Wettbewerbsregister

Die langfristigen wirtschaftlichen Schäden einer Compliance-Krise übersteigen die reinen Rechts- und Strafkosten oft um ein Vielfaches. Ein massiver Reputationsverlust führt zur Abwanderung von Kunden, Lieferanten und vor allem von hochqualifizierten Mitarbeitern. In einer vernetzten B2B-Welt wird kein seriöses Unternehmen langfristig Verträge mit einem Partner aufrechterhalten, der in Korruptions- oder Menschenrechtsskandale verwickelt ist, da das Risiko des "Trickle-Down-Effekts" (Supply Chain Compliance) zu groß ist.

Für Unternehmen, die im B2G-Bereich (Business-to-Government) tätig sind, kommt eine weitaus härtere formale Sanktion hinzu: Der Eintrag in das Wettbewerbsregister. Das Bundeskartellamt führt seit 2021 dieses zentrale elektronische Register. Öffentliche Auftraggeber (Ministerien, Krankenhäuser, Kommunen) sind verpflichtet, dieses Register vor der Vergabe von Aufträgen ab einem gewissen Schwellenwert abzufragen.

Wird ein Unternehmen wegen Korruption, Betrug, Steuerhinterziehung, Geldwäsche oder massiver arbeitsrechtlicher Verstöße rechtskräftig verurteilt (oder werden entsprechende Bußgelder rechtskräftig), erfolgt ein Eintrag. Die Folge: Das Unternehmen wird zwingend für bis zu fünf Jahre von sämtlichen öffentlichen Vergabeverfahren ausgeschlossen. Für viele Mittelständler gleicht dies einem wirtschaftlichen Todesurteil. Ein vorzeitiges Entkommen aus dieser Sperre ("Selbstreinigung") ist juristisch extrem aufwendig und setzt zwingend den glaubhaften, nachweisbaren Aufbau eines robusten Compliance-Systems voraus.

5. Die Ursache des Übels: Informationsasymmetrien und die Prinzipal-Agenten-Theorie

Viele Geschäftsführer fragen sich angesichts dieser Risiken verzweifelt: "Warum tun meine Mitarbeiter oder Geschäftspartner so etwas? Ich habe doch nie angeordnet, dass Gesetze gebrochen werden."

Die Antwort liefert die Neue Institutionenökonomie, konkret die Prinzipal-Agenten-Theorie. Das Grundproblem in jedem Unternehmen ist die Informationsasymmetrie. Der Geschäftsführer (Prinzipal) delegiert Aufgaben an Mitarbeiter oder Lieferanten (Agenten), kann diese aber nicht lückenlos überwachen. Der Agent hat eigene Interessen (z.B. die Maximierung seines Bonus, Arbeitserleichterung, Vertuschung von Fehlern), die nicht zwingend mit der Legalitätspflicht des Prinzipals übereinstimmen.

Ohne ein strukturiertes CMS entsteht unweigerlich Moral Hazard (moralisches Risiko): Der Vertriebsmitarbeiter zahlt im Ausland ein Bestechungsgeld, um seine Jahresziele und damit seinen Bonus zu erreichen. Er hat den unmittelbaren finanziellen Vorteil, während das existenzvernichtende juristische Risiko allein das Unternehmen und der Geschäftsführer (als Organ) tragen. Ein wirksames CMS setzt genau an dieser Asymmetrie an. Es synchronisiert durch Anreizsysteme, harte Kontrollen (Audits) und sichere Meldewege (Whistleblower-Systeme) die Interessen des Agenten wieder mit denen des rechtstreuen Prinzipals.

6. Fazit: Compliance als strategischer Return on Investment

Eine gute Compliance-Struktur ist kein bürokratischer Ballast. Sie ist der wichtigste Schutzschild für das Vermögen der Gesellschafter und die persönliche Existenz der Geschäftsführung. Was kostet schlechte Compliance? Alles. Den Ruf, die Liquidität, die Kunden und im Fall der persönlichen Inanspruchnahme die Altersvorsorge des Geschäftsführers.

Ein risikoadäquates, gut dokumentiertes Compliance-System ist immer günstiger als der Ernstfall. Es ist eine Versicherungsprämie, die sich durch Effizienzgewinne, bessere Konditionen bei D&O-Versicherungen und einen klaren Wettbewerbsvorteil im B2B-Geschäft und bei Ausschreibungen von selbst bezahlt macht.

Ist Ihr Unternehmen wirklich rechtssicher aufgestellt? Lassen Sie es nicht auf den Schadensfall ankommen. Vereinbaren Sie jetzt ein vertrauliches Erstgespräch zur Analyse und Optimierung Ihres Compliance-Management-Systems.