Compliance-Abteilung aufbauen: Struktur, Rollen und Berichtslinie nach § 130 OWiG
Die Compliance-Abteilung ist kein Aktenschrank, sondern eine operative Einheit mit klarer Berichtslinie. Dieser Beitrag zeigt Aufbau, Mindestbesetzung und das Zusammenspiel mit Datenschutz, ISB und Geldwäsche, dokumentiert nach § 130 OWiG.
Die Pflicht zur Einrichtung einer Compliance-Funktion ergibt sich in Deutschland aus § 130 OWiG sowie aus sektoralen Vorgaben wie § 4a FinDAG, § 25h KWG und seit 2026 aus den NIS-2-Geschäftsleitungspflichten nach § 38 BSIG-neu. Eine Compliance-Abteilung ist mehr als ein Postfach für Verstöße. Sie verbindet Risikobewertung, Kontrollen, Schulung und Berichterstattung in einer auditierbaren Linie zur Geschäftsleitung. Wer hier improvisiert, riskiert persönliche Haftung der Leitungsorgane und Bußgelder bis 10 Mio. Euro.
Dieser Beitrag beschreibt, wie eine Compliance-Abteilung in mittelständischen und großen Unternehmen aufgebaut wird: Mindestbesetzung, Berichtslinie, Schnittstellen zu Datenschutz, Informationssicherheit, Geldwäsche und Hinweisgeberschutz. CIVAC ist eine Compliance-Plattform und Officer-as-a-Service und stellt die operativen Werkzeuge bereit, damit jede Pflicht eine dokumentierte Spur erhält.
Auf einen Blick
- § 130 OWiG verpflichtet die Leitungsorgane zu einer angemessenen Aufsichts- und Compliance-Struktur, andernfalls droht Bußgeld bis 10 Mio. Euro.
- Eine Compliance-Abteilung braucht mindestens drei Säulen: Prevent, Detect, Respond, jeweils mit benannter Verantwortung und Berichtslinie.
- Mit der CIVAC-Plattform sind Bestellurkunde, Aufgabenkatalog, Berichtslinie und 37 Audit-Vorlagen in einem Workspace dokumentiert.
Rechtsgrundlage: Warum eine Compliance-Abteilung Pflicht ist
Der Bundesgerichtshof hat in der Neubürger-Entscheidung (BGH II ZR 96/12) klargestellt, dass die Leitungsorgane einer Kapitalgesellschaft eine Compliance-Organisation einzurichten haben, sobald Risiken erkennbar sind. Diese Legalitätspflicht wird durch § 130 OWiG flankiert: Wer Aufsichtsmaßnahmen unterlässt und dadurch eine Zuwiderhandlung ermöglicht, haftet ordnungswidrigkeitenrechtlich, mit Bußgeldern bis 10 Mio. Euro je Pflichtverletzung.
Sektorale Gesetze konkretisieren die Pflicht. § 4a FinDAG verlangt von Finanzinstituten eine Compliance-Funktion. § 25h KWG schreibt risikoorientierte Kontrollen zur Geldwäscheprävention vor. Der MaComp-Rundschreiben der BaFin operationalisiert die Wertpapier-Compliance. Für Wirtschaftsunternehmen außerhalb regulierter Sektoren gilt der IDW PS 980 als faktischer Standard, ergänzt durch ISO 37301:2021 zu Compliance-Managementsystemen.
Seit Oktober 2026 verschärft NIS-2 die Pflichten erneut. § 38 BSIG-neu erklärt die Geschäftsleitung persönlich für die Umsetzung verantwortlich, eine Delegation entlastet nicht. Wer eine Compliance-Abteilung aufstellt, muss daher zwingend die IT-Sicherheitsorganisation mitdenken und an den Informationssicherheitsbeauftragten anbinden.
Die Pflicht reicht in den Konzern hinein. Mutterunternehmen müssen sicherstellen, dass Tochtergesellschaften vergleichbare Strukturen führen. Andernfalls schlägt das Aufsichtsverschulden auf die Muttergesellschaft durch. Eine zentral geführte Compliance-Abteilung mit Matrixanbindung an Tochtergesellschaften ist daher gängige Praxis.
Praktisch bedeutet das: Bestellurkunde, unterschrieben, abgelegt, belegbar. Wer die Pflicht erfüllt hat, muss es im Prüfungsfall innerhalb von Stunden nachweisen können, nicht in Wochen.
Die drei Säulen: Prevent, Detect, Respond
Ein wirksames Compliance-Management-System gliedert sich in drei Säulen. Prevent umfasst Richtlinien, Schulungen, Risikoanalyse und Vertragsklauseln. Detect bündelt Kontrollen, Audits, Hinweisgebersystem und Monitoring. Respond regelt Untersuchungen, Sanktionen, Meldepflichten und Lessons Learned. Jede Säule braucht klare Eigentümer und auditierbare Artefakte.
Die Prevent-Säule beginnt mit einer dokumentierten Risikoanalyse, die mindestens jährlich aktualisiert wird. Korruption, Kartell, Sanktionen, Geldwäsche, Datenschutz und Lieferkette gehören zum Pflichtkatalog. Aus der Risikoanalyse leiten sich Richtlinien ab, die im Workspace versioniert vorliegen müssen. Wer eine Richtlinie nicht datieren und veröffentlichen kann, hat sie aus Sicht des Prüfers nicht.
Die Detect-Säule operationalisiert Kontrollen. Zugriffskontrollen im SAP, Vier-Augen-Prinzip bei Zahlungsfreigaben, Sanktionslistenabgleich, Lieferanten-Screening und das Hinweisgebersystem nach HinSchG bilden den Kern. Die CIVAC-Plattform stellt für jede Kontrolle eine Audit-Vorlage bereit, 490 einsatzbereite Vorlagen decken die häufigsten Prüffragen ab.
Die Respond-Säule definiert, was nach einem Verdacht passiert. Untersuchungsplan, Beweissicherung, arbeitsrechtliche Reaktion, Meldung an Aufsicht, Strafanzeige. Fristen sind streng: Art. 33 DSGVO verlangt 72 Stunden, NIS-2 24 Stunden Frühwarnung und 72 Stunden Folgemeldung. Frist läuft ab Kenntnis.
Die drei Säulen werden durch eine vierte Funktion gerahmt: das Reporting. Ein Quartalsbericht an die Geschäftsleitung mit Kennzahlen zu Verstößen, Meldungen, Schulungsquote und Risikoindex gehört zum Mindeststandard nach IDW PS 980.
Mindestbesetzung und Rollenmodell
Die Größe der Compliance-Abteilung richtet sich nach Risiko, Mitarbeiterzahl und Branche. Für ein produzierendes Unternehmen mit 500 Beschäftigten gilt eine Faustformel von 1 bis 2 Vollzeitäquivalenten Compliance plus 0,5 bis 1 Datenschutz plus 0,5 Informationssicherheit. Konzerne mit über 5.000 Mitarbeitern führen eigene Teams mit 8 bis 15 Personen, regulierte Banken deutlich mehr.
Die Mindestbesetzung umfasst einen Chief Compliance Officer mit direkter Berichtslinie an den Vorstand, einen Compliance-Beauftragten für die operative Arbeit und je nach Risiko spezialisierte Officer für Geldwäsche, Datenschutz, Informationssicherheit und Hinweisgeberschutz. Die Rollen können kombiniert werden, müssen aber dokumentiert getrennt verantwortet sein.
Wichtig ist die Trennung von erster und zweiter Verteidigungslinie. Die Fachbereiche führen die Kontrollen aus, die Compliance-Abteilung überwacht und berät. Die interne Revision als dritte Linie prüft beide. Diese Three-Lines-of-Defense-Logik nach Institute of Internal Auditors ist faktischer Marktstandard.
Externe Bestellungen sind ein anerkanntes Modell. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Wege führen zu einer Bestellurkunde mit Aufgabenkatalog, Weisungsfreiheit und Kuendigungsschutz nach den jeweils einschlaegigen Spezialgesetzen.
Die Qualifikation der Personen ist nachzuweisen. Fuer den Compliance-Beauftragten sind juristische oder betriebswirtschaftliche Ausbildung plus dokumentierte Fortbildung Standard. Zertifizierungen nach ISO 37301 oder TUEV-Lehrgaenge sind nicht zwingend, aber im Prüfungsfall hilfreich.
Berichtslinie, Weisungsfreiheit und Schutz vor Abberufung
Die Berichtslinie ist das organisatorische Herzstueck. Der Compliance-Beauftragte berichtet direkt an die Geschäftsleitung, nicht an einen Fachbereichsleiter. Diese unmittelbare Anbindung ist im IDW PS 980 als Wirksamkeitsvoraussetzung benannt und wird von Prüfern aktiv kontrolliert. Eine Anbindung an die Rechtsabteilung ist zulässig, sofern die direkte Eskalationslinie zum Vorstand belegbar bleibt.
Weisungsfreiheit bedeutet, dass dem Beauftragten keine inhaltlichen Vorgaben zur Prüfung gemacht werden duerfen. Er darf nicht angewiesen werden, einen Verdacht nicht zu untersuchen oder eine Meldung zu unterlassen. Diese Weisungsfreiheit gilt für den DSB nach Art. 38 DSGVO, für den Geldwaeschebeauftragten nach § 7 GwG und faktisch für alle uebrigen Compliance-Funktionen.
Der Kuendigungsschutz variiert je Rolle. DSB und HinSchG-Meldestelle haben einen besonderen Abberufungsschutz: Eine Abberufung ist nur aus wichtigem Grund möglich. Fuer den allgemeinen Compliance-Beauftragten gilt arbeitsrechtlicher Standardschutz, jedoch ist eine Kuendigung unmittelbar nach einer kritischen Meldung als Massregelung angreifbar.
Die Berichtslinie muss in der Bestellurkunde dokumentiert sein, ergaenzt durch eine Geschäftsordnung. CIVAC stellt eine Bestellurkunde mit den Pflichtbestandteilen bereit: Rolle, Aufgaben, Weisungsfreiheit, Berichtsweg, Vertretungsregelung, Ressourcen. Audit-fest, dokumentiert, § 130-fest.
Im Konzern ist die Berichtslinie um eine Matrixanbindung an die Konzern-Compliance zu ergaenzen. Die Tochtergesellschaft berichtet diszplinarisch an die lokale Geschäftsleitung, fachlich an den Group Compliance Officer. Diese Doppellinie muss in der Konzernrichtlinie geregelt sein.
Schnittstellen zu Datenschutz, ISB und Geldwaesche
Eine Compliance-Abteilung arbeitet nicht isoliert. Datenschutz, Informationssicherheit, Geldwaeschepraevention und Arbeitsschutz haben eigene Beauftragte mit eigenen Pflichtenkatalogen. Ohne klare Schnittstellen entstehen Doppelarbeit, Meldungsluecken und Zuständigkeitskonflikte. Eine RACI-Matrix für die wichtigsten Pflichten ist Pflichtuebung.
Der Datenschutzbeauftragte verantwortet die Einhaltung der DSGVO und meldet Datenpannen innerhalb von 72 Stunden an die Aufsicht. Die Compliance-Abteilung erhaelt eine Kopie der Meldung und bewertet die organisatorischen Folgen. Bei strafrechtlich relevanten Verstoessen übernimmt Compliance die Untersuchungsfuehrung, der DSB liefert die datenschutzrechtliche Bewertung.
Der Informationssicherheitsbeauftragte verantwortet die ISO-27001-Controls und den NIS-2-Meldepfad. Bei einem Sicherheitsvorfall startet ein 24-Stunden-Fruehwarnzaehler nach § 32 BSIG-neu, gefolgt von einer 72-Stunden-Folgemeldung. Die Compliance-Abteilung pruegt parallel, ob Anzeigepflichten nach OWiG, StGB oder sektoralen Aufsichtsregeln ausgeloest werden.
Der Geldwaeschebeauftragte meldet Verdachtsfaelle an die FIU nach § 43 GwG. Compliance flankiert mit Sanktionslistenabgleich, Vertragsprueffung und Reaktion gegenueber dem Geschäftspartner. Die Meldung an die FIU ist gegen den Geschäftspartner nicht zu offenbaren, ein Tipping-off ist nach § 47 GwG strafbar.
Die Hinweisgeber-Meldestelle nach HinSchG ist organisatorisch unabhängig zu führen. Sie kann bei der Compliance-Abteilung angesiedelt sein, muss aber Vertraulichkeit, Loeschfristen und Schutz vor Repressalien sicherstellen. Eine Auslagerung an externe Dienstleister oder die CIVAC-Plattform ist zulässig und verbreitet.
Werkzeuge: Workspace, Audit-Vorlagen, Berichtslinie
Eine Compliance-Abteilung produziert Dokumente in industriellem Maßstab: Richtlinien, Schulungsnachweise, Audit-Protokolle, Risikoanalysen, Meldungen, Kontrollbelege. Ohne strukturierten Workspace gehen Belege verloren, Versionen vermischen sich, Fristen werden übersehen. Der Prüfer ruft an, der Nachweis liegt bereit, oder eben nicht.
Der CIVAC-Workspace bildet die Pflichtdokumentation in einem Datenraum mit EU-Datenresidenz ab. Bestellurkunden, Aufgabenkataloge, Berichtsvorlagen, Meldewege und Pflichtnachweise sind verlinkt und versioniert. Änderungen werden mit Zeitstempel protokolliert, eine Wiederherstellung frueherer Versionen ist jederzeit möglich.
Die 490 einsatzbereiten Audit-Vorlagen decken die haeufigsten Prüfszenarien ab: ISO 27001:2022, DSGVO-Auftragsverarbeitung, GwG-Risikoanalyse, NIS-2-Selbsteinschaetzung, LkSG-Risikomatrix, HinSchG-Meldebogen. Jede Vorlage liefert Pflichtfelder, Hinweistexte und Beispielausfuellungen aus realen Prüfungen.
Die Berichtslinie ist als Workflow abgebildet. Ein erkannter Verstoss erzeugt einen Vorfall, der Vorfall triggert eine Meldekette mit Fristen und Eskalationsstufen. Erreicht eine Frist die Hälfte ihrer Laufzeit, wird die Geschäftsleitung benachrichtigt. Frist laeuft ab Kenntnis, der Workspace zaehlt mit.
Die Plattform ist ISO 27001:2022-zertifiziert mit 93 Controls und in deutschen Rechenzentren betrieben. Diese technische Grundlage erleichtert die Auftragsverarbeitung mit Kunden, weil der Annex II zum AV-Vertrag bereits dokumentiert ist. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen.
Kosten, Aufbauzeit und typische Fehler
Die Aufbaukosten einer Compliance-Abteilung schwanken stark. Eine interne Compliance-Funktion mit zwei Vollzeitstellen, Tooling und externer Beratung kostet zwischen 280.000 und 450.000 Euro pro Jahr, abhaengig von Branche und Standort. Externe Bestellungen liegen je nach Umfang zwischen 18.000 und 90.000 Euro pro Jahr und Rolle.
Die Aufbauzeit für eine voll funktionsfaehige Abteilung betraegt klassischerweise 9 bis 18 Monate: Risikoanalyse, Richtlinienkanon, Tooling-Auswahl, Schulungen, erste Audits. Mit dem CIVAC-Workspace verkuerzt sich die Erstdokumentation auf 2 Werktage CIVAC-SLA statt 2 bis 6 Wochen klassisch, weil Vorlagen und Workflows bereits stehen.
Typische Fehler sind dokumentiert. Erstens: Compliance wird als Stabsstelle ohne Budget geparkt, Kontrollen verpuffen mangels Ressourcen. Zweitens: Die Berichtslinie wird auf den CFO statt den Vorstandsvorsitzenden gelegt, Interessenkonflikte bei Zahlungs- oder Steuerthemen sind vorprogrammiert. Drittens: Schulungen werden nicht dokumentiert, der Nachweis der Wirksamkeit faellt im Prüfungsfall.
Vierter Fehler: Hinweise werden über persoenliche E-Mail entgegengenommen, der Vertraulichkeitsschutz nach HinSchG ist verletzt. Fuenfter Fehler: Die Risikoanalyse wird einmal erstellt und nie aktualisiert. § 4 GwG verlangt regelmäßige Überpruefung, IDW PS 980 ebenso. Eine veraltete Risikoanalyse ist im Prüfungsfall fast schlimmer als keine.
Sechster Fehler: Die Bestellurkunde fehlt oder ist nicht unterschrieben. Ohne formale Bestellung greift weder Weisungsfreiheit noch Abberufungsschutz, im Schadensfall haftet die Geschäftsleitung persoenlich. Bestellurkunde, unterschrieben, abgelegt, belegbar.
Reifegradmodell: Vom Aktenschrank zur Software
Compliance-Abteilungen entwickeln sich entlang eines Reifegradmodells. Stufe 1: ad hoc, einzelne Richtlinien, kein dokumentiertes System. Stufe 2: definiert, Richtlinien vorhanden, Verantwortliche benannt, Schulungen punktuell. Stufe 3: gesteuert, Kontrollen werden regelmäßig ausgefuehrt und dokumentiert. Stufe 4: gemessen, Kennzahlen und Berichte sind etabliert. Stufe 5: optimiert, kontinuierliche Verbesserung mit Datenanalyse.
Der Sprung von Stufe 2 auf Stufe 3 ist der schwierigste. Hier scheitern die meisten Mittelstaendler, weil die Dokumentation der Kontrollen aufwaendig wird und die Abteilung in Excel-Listen versinkt. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software, das ist die Grundprmisse der CIVAC-Plattform.
Stufe 4 verlangt belastbare Kennzahlen. Anzahl der Hinweise, Bearbeitungszeit, Schulungsquote, Anteil der überfaelligen Kontrollen, Anzahl der dokumentierten Verstoesse, Bussgeldrisiko-Indikator. Diese Kennzahlen muessen aus dem operativen System fallen, nicht jedes Quartal manuell zusammengetragen werden.
Stufe 5 erreichen wenige Unternehmen. Hier wird Compliance-Daten mit anderen Risikodaten verknuepft, Frueh-warnindikatoren werden modelliert, Kontrollen werden anlassbezogen statt periodisch durchgefuehrt. Diese Stufe ist erst sinnvoll, wenn Stufe 3 stabil laeuft.
Fuer den Mittelstand ist Stufe 3 das realistische Ziel. Mit einem strukturierten Workspace, klaren Verantwortlichkeiten und 490 vorbereiteten Audit-Vorlagen wird Stufe 3 in 6 bis 9 Monaten erreichbar. Der Prüfer ruft an, der Nachweis liegt bereit.
Compliance-Abteilung mit CIVAC aufbauen
Der Aufbau einer Compliance-Abteilung ist ein definierbares Projekt mit definierbaren Ergebnissen. CIVAC ist eine Compliance-Plattform und Officer-as-a-Service und bringt die operativen Werkzeuge mit: Workspace mit EU-Datenresidenz, 490 Audit-Vorlagen, Bestellurkunden, Berichtslinie als Workflow, NIS-2-Meldepfad mit 24- und 72-Stunden-Zaehler, ISO 27001:2022-ISMS als Grundlage.
Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle führen zu einer auditierbaren Compliance-Funktion mit dokumentierter Berichtslinie. Der Unterschied liegt in der Frage, wer die operative Arbeit traegt: Ihr Team mit unseren Werkzeugen, oder unsere Officer mit ihrem Werkzeug.
Der typische Einstieg ist ein Standortgespraech: Welche Rollen sind besetzt, welche Pflichten sind ungeklaert, welche Fristen laufen. Auf dieser Basis entsteht ein Aufbauplan mit klaren Meilensteinen: Bestellurkunden in Woche 1, Risikoanalyse in Woche 3, erste Kontrollen in Woche 6, Quartalsbericht in Monat 3.
Wer schon eine Compliance-Abteilung führt, kann den Workspace als Ergaenzung nutzen. Audit-Vorlagen, Versionierung und Meldepfade werden auf die bestehende Organisation gemappt, Bruchstellen werden sichtbar gemacht. Eine vollstaendige Migration ist nicht noetig, eine schrittweise Konsolidierung in der Regel sinnvoller.
Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder buchen Sie ein Standortgespraech über das Kontaktformular auf civac.de. Wir bestätigen innerhalb von 2 Werktagen mit einem Vorschlag für das Rollenmodell, das zu Ihrer Risikolage passt.
FAQ
Ab welcher Unternehmensgroesse ist eine Compliance-Abteilung Pflicht?
Eine starre Schwelle gibt es nicht. § 130 OWiG verlangt angemessene Aufsichtsmassnahmen, deren Umfang sich nach Risiko und Größe richtet. Faktisch ab 100 Mitarbeitern oder bei internationaler Tätigkeit, in regulierten Sektoren wie Banken und Versicherern unabhängig von der Größe.
Wer haftet, wenn die Compliance-Abteilung versagt?
Primaer die Leitungsorgane. § 130 OWiG sieht Bussgelder bis 10 Mio. Euro vor, daneben kommt persoenliche zivilrechtliche Haftung nach § 93 AktG oder § 43 GmbHG in Betracht. Der Compliance-Beauftragte haftet nachgeordnet, vor allem bei vorsaetzlicher Pflichtverletzung.
Kann die Compliance-Funktion extern besetzt werden?
Ja, externe Bestellungen sind anerkannt und in vielen Rollen Standard. Voraussetzung sind klare Bestellurkunde, definierte Aufgaben, Erreichbarkeit und ausreichende Ressourcen. CIVAC bietet beide Modelle: Workspace-Lizenz für interne Beauftragte oder vollstaendige Bestellung externer Officer.
Wie viele Personen braucht eine Compliance-Abteilung?
Faustformel: 1 bis 2 Vollzeitaequivalente Compliance pro 500 Mitarbeiter, ergaenzt um Datenschutz und Informationssicherheit. Regulierte Sektoren und Konzerne benötigen mehr. Die genaue Besetzung leitet sich aus der Risikoanalyse ab und ist im IDW PS 980 als Wirksamkeitsfaktor benannt.
Welche Werkzeuge braucht eine Compliance-Abteilung mindestens?
Ein versionierter Richtlinienspeicher, ein Hinweisgebersystem nach HinSchG, eine Audit- und Kontrolldokumentation, ein Schulungsnachweis-System und ein Meldepfad mit Fristen. Der CIVAC-Workspace bildet diese Funktionen mit 37 Audit-Vorlagen und EU-Datenresidenz in einem System ab.
Wie lange dauert der Aufbau einer Compliance-Abteilung?
Klassisch 9 bis 18 Monate von der ersten Risikoanalyse bis zu einem voll dokumentierten Managementsystem. Mit vorbereiteten Vorlagen und Workflows verkuerzt sich die Erstdokumentation auf wenige Wochen, der kulturelle Reifegrad braucht weiterhin Zeit und Schulungen.
Klingt nach viel Arbeit?
Beauftragten-Pflichten, Fristen, Nachweise — genau das nehmen wir dir ab. Sag kurz Hallo, wir zeigen dir wie.
Aus dem Beitrag ein Mandat machen.
Wir übernehmen die operative Last: externer Beauftragter, Vorlagen und Dokumentation in einem Workspace. Unverbindlich.