Compliance Officer für Handwerk und Produktion: Was Mittelständler wirklich brauchen

Die Compliance-Pflichten für Handwerks- und Produktionsbetriebe haben sich in den letzten fünf Jahren grundlegend verschoben. § 130 OWiG mit Bußgeldern bis 10 Mio. Euro, das Geldwäschegesetz (GwG) für Betriebe mit Bartransaktionen ab 10.000 Euro, das Lieferkettensorgfaltspflichtengesetz seit 1. Januar 2024 auch für Unternehmen ab 1.000 Mitarbeitenden, dazu das Hinweisgeberschutzgesetz (HinSchG) seit 17. Dezember 2023. Die regulatorische Last trifft den Mittelstand mit voller Wucht.

Dieser Beitrag erklärt, welche Compliance-Pflichten in Handwerks- und Produktionsbetrieben wirklich greifen, wie sich Bestellpflichten und faktische Risiken unterscheiden und welche Modelle ein externer Compliance Officer abdecken kann. Sie erfahren, warum die Aufsichtspflicht nach § 130 OWiG die zentrale Brücke zur Geschäftsführungshaftung ist und wie CIVAC mit Workspace und Officer-as-a-Service eine realistische Lösung bietet, statt ein Beratungsprojekt mit offenem Ende.

Anders als Banken und Versicherungen kennen Handwerks- und Produktionsbetriebe keine zentrale Compliance-Regulierung wie KWG oder VAG. Die Pflichten sind über mehrere Spezialgesetze verteilt. § 130 OWiG bildet die Klammer, weil die Aufsichtspflicht der Betriebsleitung sich auf alle gesetzlichen Vorschriften erstreckt, deren Verletzung mit Strafe oder Bußgeld bedroht ist.

In Produktionsbetrieben treffen mindestens fünf Regelungsfelder zusammen. Arbeitsschutz nach ArbSchG und BetrSichV, Umweltschutz nach BImSchG, KrWG und WHG, Produktsicherheit nach ProdSG, Lieferkette nach LkSG (ab 1.000 Mitarbeitenden), Datenschutz nach DSGVO (ab 20 Mitarbeitenden mit Datenverarbeitung).

Im Handwerk kommen branchenspezifische Pflichten hinzu. Bau- und Ausbaubetriebe unterliegen der Baustellenverordnung, Lebensmittelhandwerke der LebensmittelhygieneVO, Metallverarbeitende Betriebe der GefStoffV. Die Liste wird lang, die Übersicht selten gegeben.

Ein Compliance Officer übernimmt nicht die Einzelpflichten, sondern die strukturelle Steuerung. Er identifiziert, dokumentiert und überwacht die Pflichtenkette und sichert ab, dass die Geschäftsführung der Aufsichtspflicht nach § 130 OWiG nachkommt. Über die CIVAC-Compliance-Beauftragten-Rolle wird diese Funktion mit den einzelnen Spezialbeauftragten verbunden.

Der Workspace stellt eine Pflichtenmatrix bereit, die alle einschlägigen Gesetze nach Branche und Größenklasse filtert. Statt Beratungstage produziert das System eine Sofortübersicht über bestehende Pflichten und offene Lücken.

Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

§ 130 OWiG verpflichtet die Inhaberin eines Betriebs oder Unternehmens zu Aufsichtsmaßnahmen, die erforderlich sind, um Pflichtverletzungen im Betrieb zu verhindern. Die Vorschrift bildet die rechtliche Brücke zwischen Einzelpflichten (etwa Arbeitsschutz oder Datenschutz) und der persönlichen Verantwortung der Geschäftsführung.

Bußgeld bis 10 Millionen Euro, plus Gewinnabschöpfung nach § 17 OWiG, plus Eintragung im Gewerbezentralregister. Bei Wiederholungstaten oder besonderer Schwere kann die Bußgeldobergrenze überschritten werden, weil Gewinnabschöpfung unbegrenzt möglich ist.

Die Aufsichtsmaßnahmen sind nicht abschließend definiert. Üblich sind Bestellung von Aufsichtspersonen, Organisationsanweisungen, Schulungen, Stichproben und Dokumentation. Wer als Geschäftsführung darauf vertraut, dass Mitarbeitende schon richtig handeln werden, erfüllt die Pflicht nicht.

Die Beweislast trägt im Bußgeldverfahren die Behörde, jedoch mit niedriger Schwelle. Wenn eine Pflichtverletzung im Betrieb festgestellt wird, ist die Annahme einer Aufsichtspflichtverletzung naheliegend. Die Geschäftsführung muss dann nachweisen, dass alle zumutbaren Aufsichtsmaßnahmen getroffen wurden.

Über das interne Hinweisgebersystem ergibt sich eine konkrete Aufsichtsmaßnahme. Wer Hinweise auf Pflichtverletzungen ignoriert oder gar nicht erst entgegennimmt, riskiert die Annahme der Aufsichtspflichtverletzung.

CIVAC dokumentiert sämtliche Aufsichtsmaßnahmen im Workspace mit Zeitstempel, Verantwortlichkeit und Freigabeworkflow. Bei einer Bußgeldprüfung liegt der Aufsichtsnachweis vollständig bereit.

Das Geldwäschegesetz (GwG) ist in seiner aktuellen Fassung mehrfach erweitert worden. § 2 Abs. 1 Nr. 16 GwG erfasst Güterhändler, die Bargeschäfte ab 10.000 Euro tätigen. Diese Schwelle trifft besonders Bau-, KFZ- und Edelmetallhandwerk. § 4 GwG verlangt ein Risikomanagement, § 6 GwG interne Sicherungsmaßnahmen, § 7 GwG einen Geldwäschebeauftragten bei höherem Risiko.

Die Bestellung eines Geldwäschebeauftragten ist nicht für jeden Güterhändler verpflichtend. Bei niedrigem Risiko genügt die Wahrnehmung der Pflichten durch die Geschäftsführung. Bei höherem Risiko, etwa wegen Auslandsgeschäften oder Bargeschäften nahe der Schwelle, ist die Bestellung empfehlenswert oder gar verpflichtend.

Die Risikoanalyse nach § 5 GwG ist auch ohne Beauftragten Pflicht. Sie umfasst Kundenrisiken, Geschäftsrisiken, Produkt- und Vertriebsrisiken sowie Länderrisiken. Die Analyse ist jährlich zu aktualisieren und durch die Geschäftsführung freizugeben.

Verstöße gegen das GwG werden mit Bußgeldern bis 1 Million Euro oder 10 Prozent des Vorjahresumsatzes geahndet, je nachdem welcher Betrag höher ist. Die FIU (Financial Intelligence Unit) erhält jährlich rund 350.000 Verdachtsmeldungen, viele aus dem Handwerksbereich.

Über die Geldwäschebeauftragten-Rolle stellt CIVAC einen bestellten Officer mit Fachkundenachweis nach § 7 Abs. 5 GwG. Der Workspace enthält die Vorlage zur Risikoanalyse, das Identifizierungsformular nach § 11 GwG und das Verdachtsmeldungs-Template für die FIU.

Der Prüfer ruft an, der Nachweis liegt bereit. Auch bei der FIU-Prüfung.

Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet seit 17. Dezember 2023 Unternehmen ab 50 Mitarbeitenden zur Einrichtung einer internen Meldestelle. Die Pflicht trifft den klassischen Mittelstand voll. Verstöße werden mit Bußgeldern bis 50.000 Euro geahndet, in schweren Fällen bis 500.000 Euro.

Die Meldestelle muss vertrauliche Meldungen entgegennehmen, binnen 7 Tagen den Eingang bestätigen, binnen 3 Monaten Folgemaßnahmen kommunizieren und Repressalien aktiv verhindern. Die formalen Anforderungen sind in § 17 HinSchG geregelt, die Schutzrechte des Hinweisgebers in §§ 33 bis 41 HinSchG.

Die externe Bestellung ist nach § 14 HinSchG ausdrücklich zulässig. Der externe Officer übernimmt die operative Aufgabe, die Geschäftsführung bleibt für die formale Einrichtung verantwortlich. CIVAC stellt die Meldestelle als Dienstleistung, mit eigener Hotline, Web-Eingabeformular und mehrsprachiger Bearbeitung.

Wichtig ist die Trennung zwischen Meldungs-Entgegennahme und Sachverhaltsaufklärung. Die externe Meldestelle dokumentiert die Meldung, klärt mit dem Hinweisgeber den Kontext und übergibt an die zuständige Stelle im Unternehmen. Die Aufklärung selbst bleibt beim Unternehmen.

Über die EU-AI-Act-Pflichten ergibt sich eine indirekte Verbindung. Wenn KI-Systeme in der Personalentscheidung eingesetzt werden, sind sie als Hochrisiko-Systeme zu klassifizieren und unterliegen Transparenzpflichten. Hinweise zu KI-Fehlentscheidungen fallen unter HinSchG.

Bestellurkunde, unterschrieben, abgelegt, belegbar. Der HinSchG-Meldestellenbetrieb wird im Workspace vollständig dokumentiert.

Das Lieferkettensorgfaltspflichtengesetz gilt seit 1. Januar 2024 für Unternehmen ab 1.000 Mitarbeitenden. Ab 2027 wird die EU-CSDDD die deutsche Regelung ablösen und schrittweise auf kleinere Unternehmen ausweiten. Wer heute zwischen 500 und 1.000 Mitarbeitenden liegt, sollte sich vorbereiten.

Die LkSG-Pflichten umfassen Risikoanalyse, Präventionsmaßnahmen, Abhilfemaßnahmen, Beschwerdeverfahren, Dokumentation und jährlichen Bericht ans BAFA. Die Risikoanalyse adressiert acht Menschenrechtsrisiken plus zwei Umweltrisiken nach § 2 LkSG.

Die Bestellung eines LkSG-Beauftragten oder Menschenrechtsbeauftragten ist nach § 4 Abs. 3 LkSG empfohlen. Diese Person überwacht das Risikomanagement und berichtet mindestens jährlich an die Geschäftsführung. Die Bestellung ist auch extern möglich, sofern Zugang zu Einkauf, Vertrieb und Qualitätssicherung gewährleistet ist.

Bußgelder bis 8 Millionen Euro oder 2 Prozent des Jahresumsatzes, je nachdem welcher Betrag höher ist, drohen bei Verstößen. Hinzu kommt der Ausschluss von öffentlichen Aufträgen für bis zu 3 Jahre. Das BAFA prüft seit 2024 aktiv, die ersten Bußgelder sind verhängt worden.

Über die Lieferkettenbeauftragten-Rolle bietet CIVAC eine externe Bestellung mit Audit-Vorlagen für Risikoanalyse, Lieferantenbewertung und BAFA-Bericht. Die Vorlagen sind nach der Berichtspflicht 2024 aktualisiert und enthalten die FAQ-Antworten des BAFA.

Audit-fest, dokumentiert, § 10 LkSG-fest.

Die Frage, ob ein Compliance Officer alle Spezialthemen abdecken kann oder ob spezialisierte Officer erforderlich sind, hängt von Unternehmensgröße und Risikoprofil ab. In Betrieben unter 250 Mitarbeitenden lässt sich oft die Compliance-Steuerung in einer Hand bündeln, mit Spezialbeauftragten für Datenschutz, Geldwäsche und Arbeitsschutz.

In größeren Betrieben empfiehlt sich eine Aufgliederung. Der Compliance Officer übernimmt die strategische Steuerung, die Fachbeauftragten die operative Arbeit in ihrem Bereich. Die Berichtslinie läuft beim Compliance Officer zusammen und mündet in den jährlichen Compliance-Bericht an die Geschäftsführung.

Die kombinierte Bestellung in einer Hand ist insbesondere für Datenschutz, Geldwäsche und Compliance möglich. Andere Funktionen, etwa Immissionsschutz oder Strahlenschutz, erfordern spezifische Fachkunde und sind selten kombinierbar.

CIVAC bietet beide Modelle. Im Officer-as-a-Service-Modell stellen wir einen Compliance Officer mit klar definiertem Mandatsumfang. Im Workspace-Modell lizenzieren Sie die Plattform für Ihre internen Beauftragten. Beide Modelle nutzen denselben Workspace, dieselben Vorlagen, dieselbe EU-Datenresidenz.

Über die Rollenübersicht sehen Sie die 25 Beauftragten-Rollen, die CIVAC im Portfolio führt. Welche Kombination für Ihren Betrieb passt, ergibt sich aus Größe, Branche und bestehender Compliance-Reife. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen.

Frist läuft ab Kenntnis. Die Aufbauphase eines Compliance-Programms sollte 6 bis 12 Monate nicht überschreiten, sonst entsteht eine Lücke in der Aufsichtspflicht.

Die Kosten eines externen Compliance Officers für mittelständische Handwerks- und Produktionsbetriebe liegen zwischen 1.500 und 5.000 Euro monatlich, abhängig von Größe, Branche und Pflichtenkreis. Komplexe Multi-Site-Betriebe mit internationaler Lieferkette liegen bei 5.000 bis 12.000 Euro monatlich.

Im Vergleich kostet ein interner Compliance Officer mit voller Personalkostenposition zwischen 85.000 und 130.000 Euro jährlich. Hinzu kommen Fortbildung, Vertretung und IT-Infrastruktur. Für Betriebe ohne Vollzeitbedarf ist die externe Lösung wirtschaftlich attraktiv und führt nebenbei zu höherer Fachtiefe durch Mandantenstreuung.

Der CIVAC-SLA von 2 Werktagen unterscheidet sich von klassischen Beratungshäusern, die auf 2 bis 6 Wochen Reaktionszeit kommen. Bei Bußgeldverfahren, BAFA-Anfragen oder Datenpannen ist Geschwindigkeit erfolgskritisch. Die 72-Stunden-Meldepflicht nach Art. 33 DSGVO erlaubt keine Wochenarbeitsplanung.

Das Workspace-Modell allein, ohne Officer, beginnt bei deutlich niedrigeren Monatspauschalen und eignet sich für Betriebe, die bereits Personal haben, aber die Dokumentationsplattform suchen. Die 490 Audit-Vorlagen, die 93 Controls und die EU-Datenresidenz machen das Workspace-Modell zur professionellen Basis.

Über die CIVAC-FAQ finden Sie die häufigsten Preisfragen. Die feste Monatspauschale ersetzt Tagessätze und schafft Planbarkeit. Anders als klassische Compliance-Beratung gibt es keine Open-Ended-Projekte.

Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Ein realistisches Compliance-Programm für Mittelständler lässt sich in 90 Tagen aufsetzen, wenn Workspace und Officer parallel starten. Tag 1 bis 14 dient der Bestandsaufnahme. Welche Beauftragten sind bestellt, welche Pflichten greifen, welche Dokumentation existiert? CIVAC stellt eine Bestandsaufnahme-Checkliste mit 84 Prüfpunkten bereit.

Tag 15 bis 45 dient dem Aufbau der Pflichtenmatrix. Welche Gesetze treffen den Betrieb, welche Beauftragten sind erforderlich, welche Risikoanalysen sind durchzuführen? Die Pflichtenmatrix wird im Workspace abgebildet und mit Verantwortlichkeiten verknüpft.

Tag 46 bis 75 dient der Bestellung und Dokumentation. Bestellurkunden für die erforderlichen Beauftragten, Anzeigen an die zuständigen Behörden, Einrichtung der Berichtslinien. Die Bestellurkunde wird im Workspace versioniert und mit Lebenslauf, Qualifikationsnachweis und Compliance-Erklärung verknüpft.

Tag 76 bis 90 dient der ersten Routineaufnahme. Schulungen, Stichprobenprogramme, Hinweisgebersystem in Betrieb, erste Begehungen. Die operative Arbeit beginnt mit dokumentierten Belegen, nicht mit nachträglichen Konstruktionen.

Über die ISO/IEC 27001:2022-Übergangshinweise ergibt sich für IT-Sicherheit eine parallele Aufbaulogik. Wer beide Themen synchron startet, spart Doppelarbeit und schafft konsistente Dokumentation.

Audit-fest, dokumentiert, § 130 OWiG-fest. Nach 90 Tagen steht ein belastbares Compliance-Programm, das einer Bußgeldprüfung standhält.

Der Schritt vom diffusen Compliance-Risiko zur strukturierten Pflichtenwahrnehmung ist eine Frage der Disziplin und der Werkzeuge. Disziplin liefert das Unternehmen mit klarer Geschäftsführungsentscheidung. Werkzeuge liefert CIVAC mit Compliance-Plattform und Officer-as-a-Service.

Der Workspace stellt 490 Audit-Vorlagen, 93 Controls nach ISO/IEC 27001:2022 und integrierte Berichtslinien für 25 Beauftragten-Rollen bereit. Die EU-Datenresidenz und das zertifizierte ISMS sichern Vertraulichkeit und Integrität. Die Vorlagen sind nach geltendem Recht aktualisiert und werden bei Gesetzesänderungen angepasst.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Das Officer-as-a-Service-Modell bringt bestellte Compliance Officer mit Fachkundenachweis, Berufshaftpflicht und SLA von 2 Werktagen. Im Hybridmodell verbinden Sie eigene Fachkräfte mit externem Officer für die formale Rolle.

Für die behördliche Anzeige liefert CIVAC alle erforderlichen Unterlagen, von der Bestellurkunde über den Qualifikationsnachweis bis zur Erklärung zur Erreichbarkeit. Die Anzeigepflichten nach GwG, BImSchG und HinSchG werden binnen Fristen erfüllt.

Die 25 Beauftragten-Rollen decken alle relevanten Funktionen für Handwerks- und Produktionsbetriebe ab. Datenschutz, Compliance, Geldwäsche, Lieferkette, Arbeitsschutz, Brandschutz, Umweltschutz, Gefahrstoffe, Qualitätsmanagement und HinSchG-Meldestelle.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Wir prüfen die Pflichtenmatrix Ihres Betriebs in 2 Werktagen und besprechen das passende Modell, ohne Tagessatzlogik.