Compliance-Pflicht des Arbeitgebers: Was Unternehmen beachten müssen
Eine allgemeine Compliance-Pflicht des Arbeitgebers gibt es in Deutschland nicht. Arbeitgeber müssen also außerhalb besonders regulierter Branchen grundsätzlich kein festes Compliance-System einrichten. Sie sind auch nicht verpflichtet, Beschäftigte dauerhaft zu überwachen oder umfassende Leistungs- und Verhaltenskontrollen durchzuführen.
Das bedeutet aber nicht, dass die Geschäftsleitung keine Risiken trägt. Wenn Arbeitnehmer Straftaten begehen, kann unter Umständen auch eine eigene Strafbarkeit von Führungskräften in Betracht kommen. Das gilt vor allem dann, wenn eine Person in leitender Funktion verpflichtet war, einen Schaden oder Erfolgseintritt zu verhindern, aber nicht eingegriffen hat. In solchen Fällen kann eine Strafbarkeit durch Unterlassen nach § 13 StGB im Raum stehen.
Im Mittelpunkt stehen dann nicht allein die Interessen des Unternehmens. Entscheidend ist auch die persönliche Verantwortung von Geschäftsführern, Vorständen und anderen Vorgesetzten. Wer Aufgaben delegiert, muss nicht jede Handlung selbst kontrollieren. Er darf Risiken aber auch nicht vollständig ausblenden. Die erforderliche Kontrolle richtet sich immer nach der konkreten Situation im Unternehmen.
| Aufsichtspflichten und § 130 OWiG
Eine wichtige Rolle spielt vor allem § 130 Abs. 1 OWiG. Danach kann der Inhaber eines Betriebs oder Unternehmens mit einer Geldbuße belegt werden. Voraussetzung ist, dass er notwendige Aufsichtsmaßnahmen vorsätzlich oder fahrlässig unterlässt. Die Maßnahmen müssen erforderlich sein, um Rechtsverstöße im Unternehmen zu verhindern.
Gemeint sind Verstöße gegen Pflichten, die den Betriebs- oder Unternehmensinhaber selbst treffen. Diese Verstöße müssen zudem mit Strafe oder Geldbuße bedroht sein. § 130 OWiG verpflichtet daher nicht automatisch zu einem umfassenden Compliance-Management-System. Die Vorschrift kann aber dazu führen, dass ein Unternehmen angemessene Kontrollmaßnahmen treffen muss.
Welche Maßnahmen erforderlich sind, lässt sich nicht allgemein beantworten. Ein kleines Unternehmen mit überschaubaren Abläufen braucht etwas anderes als ein international tätiger Konzern. Relevant sind unter anderem die Branche, die Unternehmensgröße, die Zahl der Beschäftigten, die Aufgabenverteilung und das konkrete Risiko für Rechtsverstöße.
Ein Unternehmen mit hohen Risiken im Bereich Korruption, Datenschutz, Kartellrecht, Steuern oder Arbeitsschutz sollte seine internen Abläufe genauer prüfen. Je größer das Risiko, desto eher spricht vieles für klare Zuständigkeiten, Schulungen, Kontrollmechanismen und interne Regeln. Eine risikoorientierte Compliance-Pflicht des Arbeitgebers kann sich damit faktisch aus den jeweiligen Umständen ergeben, auch wenn das Gesetz kein bestimmtes System vorschreibt.
| Zivilrechtliche Haftung und wirtschaftliche Risiken
Kontrolle ist auch aus zivilrechtlicher Sicht sinnvoll. Rechtsverstöße von Arbeitnehmern können zu einer Haftung des Arbeitgebers gegenüber geschädigten Dritten führen. Ein möglicher Anknüpfungspunkt ist § 831 BGB. Danach kann ein Unternehmen für Schäden verantwortlich sein, die durch eingesetzte Personen verursacht wurden.
Der Arbeitgeber kann sich unter bestimmten Voraussetzungen entlasten. Dafür muss er jedoch zeigen können, dass er bei Auswahl, Anleitung und Überwachung die notwendige Sorgfalt beachtet hat. Genau hier gewinnen angemessene Kontrollstrukturen an Bedeutung. Wer Risiken früh erkennt und geeignete Maßnahmen ergreift, kann Schäden häufig vermeiden oder seine Position im Streitfall verbessern.
Hinzu kommen wirtschaftliche Folgen. Ein Compliance-Verstoß kann das Vertrauen von Kunden, Geschäftspartnern und Behörden beeinträchtigen. Reputationsschäden entstehen oft schneller, als sich ihr tatsächlicher Umfang einschätzen lässt. Auch Vertragsverluste, interne Kosten, Bußgelder oder langwierige Auseinandersetzungen können die Folge sein.
Ein weiterer wichtiger Punkt betrifft Straftaten gegen das Unternehmen selbst. Arbeitnehmer können etwa Vermögenswerte veruntreuen, Daten missbrauchen oder Geschäftsgeheimnisse weitergeben. Solche Fälle gehören zu den typischen Risiken der Wirtschaftskriminalität. Arbeitgeber haben daher ein eigenes Interesse daran, ihre Organisation wirksam zu schützen. Gute Prävention schützt nicht nur Dritte, sondern auch das Unternehmen selbst.
| Verantwortung der Geschäftsleitung
Die Geschäftsleitung muss das Unternehmen ordnungsgemäß führen. Diese Pflicht umfasst auch ein angemessenes Maß an Kontrolle. Wie weit diese Pflicht reicht, hängt von den Besonderheiten des jeweiligen Unternehmens ab. Eine starre Lösung gibt es nicht.
Vorstände einer Aktiengesellschaft müssen insbesondere die Anforderungen des § 93 AktG beachten. Verletzen sie ihre Pflichten, kann eine persönliche Haftung entstehen. Vergleichbare Grundgedanken gelten auch für Geschäftsführer anderer Gesellschaftsformen. Die Geschäftsleitung muss Risiken erkennen, bewerten und angemessen darauf reagieren.
Das bedeutet nicht, dass jede Führungskraft jeden Vorgang selbst prüfen muss. Entscheidend ist eine sinnvolle Organisation. Verantwortlichkeiten sollten klar verteilt sein. Kritische Prozesse sollten nachvollziehbar bleiben. Bei erkennbaren Risiken müssen Führungskräfte angemessene Maßnahmen veranlassen.
Eine wirksame Compliance-Pflicht des Arbeitgebers zeigt sich daher vor allem in der praktischen Unternehmensführung. Nicht die bloße Existenz eines Handbuchs ist entscheidend. Wichtig ist, ob Regeln zum Unternehmen passen und im Alltag tatsächlich beachtet werden.
| Compliance-System: Gestaltung liegt grundsätzlich beim Unternehmen
Abgesehen von regulierten Branchen macht das Gesetz meist keine konkreten Vorgaben dazu, wie Unternehmen ihre Kontrollen gestalten müssen. Die Geschäftsleitung kann grundsätzlich selbst entscheiden, welche Maßnahmen sinnvoll sind. Sie kann ein formelles Compliance-System einführen, interne Richtlinien erstellen, Schulungen anbieten oder einzelne Kontrollprozesse etablieren.
Ein zertifiziertes Compliance-System ist nicht automatisch erforderlich. Auch die ISO 37301 vom 13. April 2021 schreibt Unternehmen nicht allgemein vor, wie sie ihr Compliance-Management organisieren müssen. Sie kann jedoch eine hilfreiche Orientierung bieten. Besonders für größere Unternehmen oder Unternehmen mit erhöhtem Risiko kann ein strukturiertes System sinnvoll sein.
In manchen Fällen wird ein zertifiziertes Compliance-System dennoch praktisch notwendig. Das kann passieren, wenn Geschäftspartner im Rahmen von Audits bestimmte Nachweise verlangen. Wer an Ausschreibungen teilnimmt, mit großen Konzernen zusammenarbeitet oder in sensiblen Lieferketten tätig ist, kann entsprechende Anforderungen begegnen.
Am Ende gilt: Eine allgemeine Compliance-Pflicht des Arbeitgebers besteht außerhalb regulierter Branchen nicht. Trotzdem sollten Unternehmen ihre Risiken realistisch bewerten. Angemessene Kontrollen, klare Zuständigkeiten und nachvollziehbare Regeln können rechtliche, wirtschaftliche und persönliche Risiken der Geschäftsleitung deutlich reduzieren.
