Compliance-Verstoß: Beispiele, Folgen und Prävention im Mittelstand

Ein Compliance-Verstoß beginnt selten mit krimineller Absicht. Häufiger stecken Unwissen, Zeitdruck oder eingespielte Gewohnheiten dahinter: eine Einladung, die zu großzügig ausfällt, ein Gespräch mit dem Wettbewerb über Preise oder eine Kundenliste, die per privater E-Mail verschickt wird.

Die Folgen treffen trotzdem das ganze Unternehmen. Dieser Beitrag zeigt typische Beispiele, erklärt, wer wofür haftet, und beschreibt, wie mittelständische Unternehmen mit überschaubarem Aufwand vorbeugen.

Was ist ein Compliance-Verstoß?

Compliance bedeutet, dass ein Unternehmen Gesetze, behördliche Vorgaben und selbst gesetzte Regeln einhält. Ein Verstoß liegt vor, sobald eine dieser Regeln verletzt wird, egal ob durch die Geschäftsführung, Führungskräfte oder einzelne Beschäftigte. Im Englischen spricht man von Non-Compliance.

Man unterscheidet grob zwei Ebenen. Externe Regeln sind Gesetze und Verordnungen, etwa zu Kartellrecht, Datenschutz oder Arbeitsschutz. Interne Regeln stehen im Verhaltenskodex oder in Compliance-Richtlinien, zum Beispiel zu Geschenken, Spesen oder der Nutzung von KI-Tools. Ein Verstoß gegen interne Regeln ist nicht automatisch strafbar, kann aber arbeitsrechtliche Folgen haben.

Welche Beispiele gibt es?

Die folgenden sieben Felder tauchen in der Praxis besonders häufig auf:

Vertiefende Beiträge gibt es zu Kartellrecht, zur Geldwäscheprävention und zum Umgang mit einer Datenpanne. Gerade beim Datenschutz entstehen viele Compliance-Verstöße aus Versehen, etwa durch Fehlversand.

Welche Folgen drohen?

Die Konsequenzen treffen drei Ebenen gleichzeitig:

• Unternehmen: Bußgelder können erheblich sein, im Kartellrecht bis zu 10 % des weltweiten Konzernumsatzes, im Datenschutz bis zu 20 Millionen Euro oder 4 % des Umsatzes. Hinzu kommen Gewinnabschöpfung, Schadensersatz und ein möglicher Eintrag in das Wettbewerbsregister, der von öffentlichen Aufträgen ausschließen kann.
• Geschäftsführung: Wer keine angemessene Aufsicht organisiert, handelt nach § 130 OWiG selbst ordnungswidrig. Geschäftsführende einer GmbH haften der Gesellschaft gegenüber zudem persönlich nach § 43 GmbHG. Welche Pflichten daraus für Schulungen folgen, beschreibt der Beitrag zu den Pflichten der Geschäftsführung.
• Beschäftigte: Je nach Schwere drohen Abmahnung, Kündigung, Schadensersatzforderungen und bei Straftaten ein Strafverfahren.

Oft unterschätzt wird der Reputationsschaden. Kundschaft, Banken und Bewerbende reagieren auf Schlagzeilen, lange bevor ein Bußgeldbescheid rechtskräftig ist.

Warum ist der Mittelstand besonders betroffen?

Konzerne haben eigene Compliance-Abteilungen. Bei Compliance im Mittelstand liegt das Thema dagegen oft nebenbei bei der Geschäftsführung, der Personalabteilung oder der Rechtsabteilung, sofern es eine gibt. Typische Schwachstellen sind:

• Regeln werden mündlich weitergegeben statt schriftlich festgehalten.
• Neue Vorschriften, etwa zu KI oder Lieferketten, kommen im Alltag nicht an.
• Schulungen finden einmalig statt und werden nicht nachgewiesen.
• Es fehlt ein vertraulicher Weg, um Missstände zu melden.

Die Gesetze unterscheiden dabei kaum nach Unternehmensgröße. Ein Kartellverstoß ist auch dann verboten, wenn er von einem Betrieb mit 80 Beschäftigten ausgeht.

Wie lassen sich Compliance-Verstöße verhindern?

Ein wirksames Compliance-Programm muss nicht groß sein, aber systematisch. Diese Bausteine haben sich bewährt:

1. Risiken analysieren: Welche Bereiche sind für Ihr Geschäft relevant, etwa Vertrieb im Ausland, öffentliche Aufträge oder sensible Daten?
2. Regeln festlegen: Ein kurzer Verhaltenskodex und klare Richtlinien. Wie das gelingt, zeigt der Beitrag Verhaltenskodex erstellen.
3. Schulen: Beschäftigte regelmäßig und zielgruppengerecht schulen und die Teilnahme dokumentieren. Hinweise zur Umsetzung gibt der Beitrag zur Compliance-Schulung.
4. Meldeweg einrichten: Unternehmen mit in der Regel mindestens 50 Beschäftigten müssen nach dem Hinweisgeberschutzgesetz eine interne Meldestelle betreiben. Mehr dazu im Beitrag zur HinSchG-Schulung.
5. Kontrollieren und reagieren: Stichproben, klare Zuständigkeiten und spürbare Konsequenzen bei Verstößen.

Was tun bei einem Verdacht?

Besteht der Verdacht auf einen Compliance-Verstoß, zählt ein geordnetes Vorgehen. Sachverhalt sichern, Beweise nicht verändern und früh rechtlichen Rat einholen. Je nach Thema laufen gesetzliche Fristen, etwa 72 Stunden für die Meldung einer Datenschutzverletzung an die Aufsichtsbehörde.

Auch arbeitsrechtlich ist Tempo gefragt: Eine außerordentliche Kündigung muss innerhalb von zwei Wochen ab Kenntnis der maßgeblichen Tatsachen erklärt werden (§ 626 Abs. 2 BGB). Gleichzeitig gilt der Schutz hinweisgebender Personen. Wer einen Verstoß meldet, darf dafür keine Nachteile erleiden.

Wie unterstützt reteach dabei?

reteach ist eine deutsche Lernplattform (LMS) für den Mittelstand in der DACH-Region. Unternehmen erstellen, automatisieren und dokumentieren damit Pflichtschulungen, Unterweisungen und Onboarding revisionssicher. Zum Angebot gehören das reteach LMS, über 500 anpassbare E-Learning-Kurse, 150 Kurse als SCORM-Paket für bestehende Lernplattformen, davon 119 interaktiv, sowie reteach Phishing Awareness für automatisierte Phishing-Simulationen. reteach ist DSGVO-konform.

• Fertige Kurse: Das Compliance E-Learning und weitere Kurse zu Datenschutz, Korruption und Kartellrecht lassen sich um Ihre eigenen Richtlinien ergänzen.
• Automatische Zuweisung: Schulungen werden nach Rolle oder Abteilung zugewiesen, Fristen und Erinnerungen laufen automatisch.
• Nachweis: Teilnahmen und Testergebnisse sind revisionssicher dokumentiert und helfen, eine ordnungsgemäße Aufsicht zu belegen.

Fazit: Vorbeugen ist günstiger als aufarbeiten

Ein Compliance-Verstoß entsteht meist aus Unwissen oder Gewohnheit, seine Folgen reichen aber bis zur persönlichen Haftung der Geschäftsführung. Mittelständische Unternehmen brauchen kein großes Compliance-Team, sondern klare Regeln, einen Meldeweg und regelmäßige, nachweisbare Schulungen.

Die nächsten Schritte:

1. Die drei bis fünf größten Compliance-Risiken Ihres Unternehmens benennen.
2. Verhaltenskodex und Richtlinien prüfen oder erstellen.
3. Schulungen für alle Beschäftigten planen und die Teilnahme dokumentieren.

Häufig gestellte Fragen