Externe Compliance-Beratung 2026: Stundensätze, Pauschalen, Honorarmodelle

Seit der Verschärfung des § 130 OWiG durch das Verbandssanktionengesetz-Reformpaket und der Ausweitung der Aufsichtspflichten auf Lieferketten (§§ 3 ff. LkSG, in Kraft seit 1. Januar 2023) ist die Nachfrage nach externer Compliance-Beratung im deutschen Mittelstand erkennbar gestiegen. Wer einen externen Compliance Officer engagiert, sucht selten ein theoretisches Gutachten, sondern eine Person mit Bestellurkunde, Berichtslinie und einem audit-festen Workspace im Hintergrund. Die Bußgeld-Bandbreite nach § 30 OWiG (bis 10 Mio. Euro) und § 130 OWiG (bis 1 Mio. Euro Aufsichtspflichtverletzung) macht die Frage nach den Kosten zur betriebswirtschaftlichen Routine.

Dieser Beitrag erklärt, wie sich Stundensätze und Pauschalen 2026 strukturieren, wann sich welches Modell rechnet und worauf Geschäftsführer im Vergleichsangebot achten sollten. CIVAC betreibt eine Compliance-Plattform und Officer-as-a-Service mit transparenter Preislogik: Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle enden mit derselben Beweislage und derselben Berichtslinie an die Geschäftsführung.

Externe Compliance-Beratung wird in Deutschland 2026 nach drei Grundmodellen abgerechnet: Stundenhonorar, monatliche Pauschale und Projekt-Pauschale. Jedes Modell hat eine eigene wirtschaftliche Logik und eine eigene Risikoverteilung zwischen Auftraggeber und Berater.

Das Stundenhonorar ist die transparenteste Form: Der Berater erfasst seine Stunden, der Auftraggeber zahlt nach Aufwand. Realistische Stundensätze 2026 liegen zwischen 160 und 320 Euro netto, abhängig von Seniorität, Spezialisierung (Datenschutz, Geldwäsche, ESG, Kartellrecht), Branchenfokus und Standort. Junior-Berater in Großstädten beginnen bei 140 Euro, Partner mit Branchenfokus erreichen 380 Euro und darüber.

Die monatliche Pauschale fixiert einen Leistungsumfang gegen ein festes Honorar. Sie eignet sich für laufende Betreuung, etwa für die Funktion des externen Compliance Officers nach § 91 Abs. 2 AktG, für die DSB-Funktion nach § 38 BDSG oder für die Geldwäschebeauftragten-Rolle nach § 7 GwG. Pauschalen bringen Planbarkeit, verlangen aber eine saubere Leistungsbeschreibung mit Mengengerüst.

Die Projekt-Pauschale deckt einmalige Implementierungen oder Audits ab. Sie wird typischerweise bei der Einführung eines Compliance Management Systems (CMS) nach IDW PS 980 oder bei der Erstimplementierung eines ESG-Reporting-Frameworks vereinbart. Die Kosten reichen von 8.000 Euro für ein kompaktes CMS-Setup im Kleinunternehmen bis 65.000 Euro für eine mittelständische Vollimplementierung mit drei bis fünf Beauftragten.

Welches Modell sich rechnet, hängt von der Beratungsdichte ab. Wer weniger als 30 Stunden pro Jahr verbraucht, fährt mit Stundenhonorar günstiger. Wer mehr als 80 Stunden braucht oder eine Bestellung der Beauftragtenrolle vereinbart, sollte zur Pauschale wechseln.

CIVAC liefert eine Compliance-Plattform und Officer-as-a-Service mit klaren Pauschalmodellen und einer Bestellungsdauer von 2 Werktagen statt der klassischen 2 bis 6 Wochen am Markt. Mehr Details finden Sie im CIVAC-FAQ.

Wer Stundensätze für externe Compliance-Beratung vergleicht, sollte fünf Senioritätsstufen unterscheiden, weil die Begriffe im Markt nicht einheitlich verwendet werden. Die Stundensätze sind Nettowerte ohne Reisezeiten und Auslagen und entsprechen den Marktbeobachtungen für das Jahr 2026.

Junior-Berater mit ein bis drei Jahren Berufserfahrung rechnen typischerweise 140 bis 180 Euro pro Stunde ab. Sie übernehmen Recherche, Dokumentation, Vorbereitung von Verzeichnissen und Standard-Audits. Für die selbstständige Mandatsführung ist diese Stufe in der Regel nicht geeignet, weil die Aufsichtsbehörden Erfahrung als Element der Fachkunde prüfen.

Senior-Berater mit vier bis acht Jahren Erfahrung kosten 180 bis 240 Euro pro Stunde. Sie führen einzelne Mandate eigenständig, koordinieren mit der Geschäftsführung und übernehmen die fachliche Tiefe in Spezialfragen. Diese Stufe ist die Standard-Wahl für die laufende Compliance-Betreuung im Mittelstand.

Manager und Principals mit acht bis fünfzehn Jahren Erfahrung rechnen 240 bis 290 Euro ab. Sie führen mehrere Mandate, übernehmen die Aufsicht über Junioren und beraten in komplexen Konstellationen, etwa bei konzernweiten Compliance-Programmen oder bei der Schnittstelle Datenschutz/Informationssicherheit.

Director und Partner mit Branchenfokus oder Spezialisierung in Schwergebieten (Geldwäsche, Kartellrecht, Sanktionen, ESG, EU AI Act) liegen bei 280 bis 380 Euro. In Anwaltskanzleien werden Spitzensätze von 480 Euro und darüber erreicht, allerdings überlappen die Leistungen dann mit Rechtsberatung und unterliegen anderen berufsrechtlichen Regeln.

Boutique-Anbieter mit klarem Spezialfokus, etwa nur Datenschutz oder nur Geldwäsche, liegen häufig 10 bis 20 Prozent unter den Großberatungen, kompensieren das aber durch tiefe Methodenkenntnis. CIVAC bündelt die Bestellungs- und Berichtsroutine im Workspace, sodass die Stunden eines externen Beraters direkt in eine prüfbare Akte fließen.

Die monatliche Pauschale ist im Mittelstand das Standardmodell für laufende Compliance-Betreuung. Sie deckt typischerweise die Bestellung eines externen Beauftragten, eine vereinbarte Stundenzahl im Monat, die Reaktionszeit auf Anfragen, die Teilnahme an Vorstandssitzungen und die jährliche Pflichtschulung der Mitarbeiter ab.

Kleine Unternehmen mit bis zu 50 Beschäftigten zahlen für eine externe DSB-Funktion 380 bis 720 Euro netto pro Monat, für eine kombinierte DSB/Compliance-Beratung 850 bis 1.400 Euro. Wer zusätzlich einen externen Compliance Officer nach § 91 Abs. 2 AktG bestellt, kommt auf Monatspauschalen zwischen 1.100 und 1.800 Euro.

Mittelständische Unternehmen mit 100 bis 500 Beschäftigten bewegen sich zwischen 1.400 und 3.200 Euro pro Monat für eine integrierte Compliance-Betreuung. Dies umfasst typischerweise DSB, Compliance Officer und Geldwäschebeauftragten oder die Schnittstelle zur Geldwäsche, abhängig von der Branche.

Größere Mittelständler mit 500 bis 2.500 Beschäftigten zahlen 3.200 bis 4.800 Euro pro Monat, häufig in einem mehrgliedrigen Vertrag mit klarer Trennung der Beauftragtenrollen. Konzerne darüber arbeiten mit dedizierten Service-Level-Agreements, in denen Stundenkontingente, Reaktionszeiten und Eskalationspfade vereinbart sind.

Die Spannweite erklärt sich weniger durch die Stundenpreise als durch den Umfang der mitgelieferten Audit-Vorlagen, durch die Verfügbarkeit der Schulungsformate und durch das vereinbarte Service-Level für Datenpannen-Meldungen nach Art. 33 DSGVO oder NIS-2-Vorfälle. Pauschalen ohne klare Audit-Vorlagen sind in der Praxis oft die teurere Variante.

CIVAC betreibt 490 einsatzbereite Audit-Vorlagen und 93 Controls nach ISO/IEC 27001:2022, die in der Pauschale enthalten sind. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Wege enden mit derselben Beweislage und ohne versteckte Stundenrechnung. Audit-fest, dokumentiert, § 130-fest.

Eine seriöse Compliance-Pauschale beschreibt den Leistungsumfang in einer Anlage zum Vertrag, sodass der Auftraggeber im Vergleichsangebot vergleichbare Größen hat. Die folgenden Bestandteile sollten zwingend explizit aufgeführt sein, weil sie im Streitfall den Unterschied zwischen Beratungszeit und Compliance machen.

Erstens die formale Bestellung der Beauftragtenrolle mit Bestellurkunde, Berichtslinie und Vertretungsregelung. Wer keine Bestellurkunde liefert, verkauft keinen Beauftragten, sondern Beratungsstunden. Zweitens ein definiertes Stundenkontingent pro Monat für Ad-hoc-Anfragen, typischerweise 4 bis 12 Stunden je nach Größe.

Drittens die Erstellung und jährliche Aktualisierung des Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO bei DSB-Mandaten, des Geldwäsche-Risikoanalyse-Dokuments nach § 5 GwG bei Geldwäsche-Mandaten oder der ESG-Risikoanalyse nach § 5 LkSG bei Lieferketten-Mandaten. Viertens die jährliche Pflichtschulung der Mitarbeiter mit Teilnahmenachweis und Auditprotokoll.

Fünftens die Bearbeitung von Vorfällen mit klarem Service-Level. Datenpannen nach Art. 33 DSGVO müssen binnen 72 Stunden gemeldet werden, NIS-2-Vorfälle binnen 24 Stunden frühwarnen und binnen 72 Stunden mit Folgemeldung versehen sein. Wer hier keine klare Reaktionszeit vereinbart, hat im Ernstfall keinen Anspruch auf prioritäre Betreuung.

Sechstens die monatliche oder quartalsweise Berichterstattung an die Geschäftsführung mit dokumentiertem Berichtsprotokoll. Siebtens die Teilnahme an der jährlichen Audit-Vorbereitung und an externen Prüfungen mit klarem Mandat. Achtens eine Versicherung über die Berufshaftpflicht des Beraters mit ausreichender Deckungssumme.

CIVAC liefert alle diese Bausteine standardisiert. Wer einen externen Compliance-Beauftragten bestellt, erhält die Bestellurkunde binnen 2 Werktagen und einen aktiven Workspace ab Tag 1. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Die nominale Pauschale ist nicht der einzige Kostentreiber. Vier Faktoren erhöhen die Gesamtkosten erheblich und werden in Vergleichsangeboten häufig nicht ausreichend offengelegt. Wer diese Posten kennt, verhandelt belastbarer und vermeidet Nachforderungen.

Erstens das Überstundenkontingent. Pauschalen decken meist 4 bis 12 Stunden pro Monat ab. Wer mehr braucht, zahlt zusätzliche Stunden zum vereinbarten Stundensatz, der oft 10 bis 20 Prozent über dem Marktpreis liegt. Bei großen Vorfällen oder behördlichen Anfragen können in einem Monat 30 bis 60 zusätzliche Stunden anfallen.

Zweitens Reisekosten und Reisezeiten. Manche Berater rechnen Anfahrt zur Hälfte des Stundensatzes ab, manche zum vollen Satz, manche pauschal. Die Differenz kann bei monatlichen Vor-Ort-Terminen mehrere tausend Euro pro Jahr ausmachen.

Drittens Sondergutachten und Stellungnahmen. Wenn die Aufsichtsbehörde eine Stellungnahme verlangt, wenn ein neuer Markt erschlossen wird oder wenn ein Datenpannen-Meldepfad rekonstruiert werden muss, fallen Sondergebühren an. Diese sind in Vergleichsangeboten selten beziffert und können zwischen 4.000 und 25.000 Euro liegen.

Viertens Tool-Kosten. Wer ein eigenes Compliance-Tool des Beraters nutzt, zahlt häufig zusätzliche Lizenzgebühren je Nutzer oder je Standort. Diese Lizenzen wandern bei Beraterwechsel mit dem Berater, sodass der Auftraggeber im Wechselfall die gesamte Datenbasis verliert oder gegen Aufpreis migriert. Das ist eine erhebliche Bindung.

CIVAC arbeitet bewusst anders. Die Workspace-Lizenz gehört dem Auftraggeber. Bei einem Wechsel der Beauftragtenrolle bleiben die Akten beim Mandanten, der Audit-Trail bleibt erhalten, die Berichtslinie bleibt dokumentiert. EU-Datenresidenz ist durchgängig sichergestellt. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Die Honorare für Compliance-Beratung schwanken nicht nur nach Unternehmensgröße, sondern auch nach Branche und Risikoklasse. Stark regulierte Branchen zahlen höhere Stundensätze, weil die fachliche Tiefe und das persönliche Haftungsrisiko des Beraters höher sind. Diese Differenzierung ist 2026 marktüblich.

Im Finanzdienstleistungssektor mit MaRisk, BaFin-Aufsicht und Geldwäschegesetz liegen die Stundensätze 25 bis 40 Prozent über dem allgemeinen Mittelstand. Ein externer Geldwäschebeauftragter nach § 7 GwG kostet typischerweise 1.800 bis 4.500 Euro pro Monat, ein BaFin-zugelassener Compliance Officer 3.500 bis 7.500 Euro.

Im Gesundheitswesen mit MPDG, Sozialgesetzbüchern und besonderen Datenkategorien nach Art. 9 DSGVO liegen die Sätze 15 bis 25 Prozent über dem Mittelstands-Niveau. Krankenhäuser und Pflegeeinrichtungen brauchen DSB, Hygienebeauftragten und QMB parallel, sodass die Bündelung der Mandate Kostenvorteile bringt.

Im verarbeitenden Gewerbe und in der Bauindustrie liegen die Sätze nahe dem Marktdurchschnitt, allerdings wachsen die Anforderungen durch das LkSG (seit 1. Januar 2024 für Unternehmen ab 1.000 Mitarbeitern) und durch die CSRD-Berichtspflichten erheblich. ESG-Beauftragte mit Lieferketten-Fokus kosten 2.200 bis 5.500 Euro pro Monat.

Im IT- und SaaS-Bereich treffen Datenschutz, Informationssicherheit nach ISO 27001:2022 und der EU AI Act aufeinander. NIS-2 hat seit Inkrafttreten der nationalen Umsetzung zusätzliche Pflichten geschaffen. Ein integriertes Mandat aus DSB, ISB und KI-Compliance kostet 3.500 bis 6.500 Euro pro Monat.

Wer Compliance-Mandate über mehrere Rollen bündelt, fährt günstiger als bei drei einzelnen Verträgen. CIVAC bietet alle 25 Beauftragten-Rollen aus einer Plattform an und vermeidet damit die Schnittstellenverluste. Die Berichtslinie an die Geschäftsführung läuft konsolidiert. Mehr zur Gesamtübersicht im Rollenkatalog.

Wer ein Vergleichsangebot für externe Compliance-Beratung einholt, sollte sieben Fragen stellen, die in der Praxis am häufigsten zu Preisdifferenzen führen. Die Antworten dieser Fragen erklären 80 Prozent der Preisspanne im Markt und schützen vor Nachverhandlungen nach Vertragsschluss.

Erstens: Wird die Bestellurkunde mitgeliefert oder verkauft der Anbieter nur Beratungsstunden? Zweitens: Wie viele Stunden pro Monat sind in der Pauschale enthalten und zu welchem Satz werden Mehrstunden abgerechnet? Drittens: Welche Audit-Vorlagen sind im Lieferumfang enthalten und wie viele werden vom Anbieter aktiv gepflegt?

Viertens: Welches Service-Level gilt für Datenpannen nach Art. 33 DSGVO oder NIS-2-Vorfälle nach § 32 BSI-KritisV? Fünftens: Ist EU-Datenresidenz vertraglich zugesichert und welches ISMS unterhält der Anbieter selbst? Ein ISO 27001:2022-Zertifikat ist 2026 ein realistisches Mindestmaß für externe Compliance-Anbieter.

Sechstens: Welche Berufshaftpflichtversicherung hat der Berater und in welcher Deckungssumme? Eine Mindestdeckung von 3 Mio. Euro pro Schadensfall ist im Mittelstand üblich, bei größeren Mandaten 5 Mio. Euro. Siebtens: Was passiert mit den Akten im Kündigungsfall? Bleibt die Datenbasis beim Mandanten oder beim Berater?

Die Antworten auf diese sieben Fragen sollten schriftlich in der Anlage zum Beratungsvertrag stehen. Nur dann lässt sich die Pauschale wirtschaftlich bewerten und mit Wettbewerbsangeboten vergleichen. Wer auf eine dieser Fragen ausweicht, verkauft Stunden, nicht Compliance.

CIVAC beantwortet jede dieser Fragen schriftlich in der Mandatsvereinbarung: 490 Audit-Vorlagen, 93 Controls nach ISO/IEC 27001:2022, 72-Stunden-Reaktion auf DSGVO-Vorfälle, EU-Datenresidenz, ISO 27001:2022 ISMS, 5 Mio. Euro Berufshaftpflicht, Akten verbleiben beim Mandanten. Der Prüfer ruft an, der Nachweis liegt bereit.

Die Entscheidung zwischen interner Besetzung und externer Bestellung ist eine Kalkulationsfrage. Eine interne Vollzeit-Stelle für Compliance Officer kostet 2026 zwischen 95.000 und 165.000 Euro Jahresgehalt inklusive Arbeitgeberanteilen, je nach Region, Seniorität und Branche. Hinzu kommen Schulungsbudget, Tool-Lizenzen und ein Vertretungspolster.

Wer eine Vollzeit-Compliance-Stelle finanziert, sollte mindestens 110.000 bis 200.000 Euro Gesamtkosten pro Jahr einkalkulieren. Wer keine Vollzeit-Stelle braucht, fährt mit einer externen Pauschale günstiger, weil bereits eine Monatspauschale von 3.500 Euro nur 42.000 Euro pro Jahr ausmacht.

Die Faustregel: Wer eine durchgehend ausgelastete Vollzeit-Compliance-Funktion braucht, etwa bei mehr als 1.500 Mitarbeitern oder in stark regulierten Branchen, lohnt sich die interne Besetzung. Wer weniger Last hat oder erst aufbaut, fährt extern günstiger und gewinnt durch die breitere Marktbeobachtung des Anbieters.

Eine hybride Variante ist 2026 die häufigste Lösung im Mittelstand: Ein interner Compliance-Manager (oft in der Rechtsabteilung oder im Risikomanagement angesiedelt) steuert das Programm und nutzt eine externe Compliance-Plattform für Beauftragtenrollen, Audit-Vorlagen und Berichtswesen. Diese Variante kombiniert Marktnähe mit Plattform-Effizienz.

Die kombinierte Lösung verlangt aber eine Plattform, die beides erlaubt: interne Bestellung und externe Bestellung. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. CIVAC unterstützt beide Wege ohne Doppelarbeit, weil dieselben Audit-Vorlagen, Berichtsformate und Eskalationspfade genutzt werden.

Mehr zur strategischen Einordnung der Compliance-Funktion finden Sie im CIVAC-Beitrag zur NIS-2-Umsetzung in Deutschland, der die Schnittstelle zwischen Compliance Officer und ISB im Detail beschreibt.

Externe Compliance-Beratung entfaltet wirtschaftliche Wirkung erst dann, wenn die Stunden in einer prüfbaren Akte enden. CIVAC betreibt seine Compliance-Plattform und Officer-as-a-Service genau dafür: Jede Stunde wird zur Aufgabe, jede Aufgabe zu einem Owner, jeder Owner zu einem dokumentierten Ergebnis mit Frist und Nachweis. Der Audit-Trail entsteht im laufenden Betrieb, nicht in der Audit-Vorbereitung.

Das Modell ist bewusst zweistufig. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Wege führen zur selben Datei: Bestellurkunde, unterschrieben, abgelegt, belegbar. 490 einsatzbereite Audit-Vorlagen, 93 Controls nach ISO/IEC 27001:2022, NIS-2-Meldepfad und 72-Stunden-Reaktion auf DSGVO-Vorfälle sind ab Tag 1 produktiv.

Die Bestellungsdauer beträgt 2 Werktage statt der klassischen 2 bis 6 Wochen am Markt. EU-Datenresidenz ist durchgängig sichergestellt. Im Vergleichsangebot rechnet sich die Pauschale gegenüber dem Stundenhonorar bereits ab etwa 30 Beratungsstunden pro Jahr, weil die Plattform-Anbindung die Stundenproduktivität erhöht und die Audit-Vorbereitung deutlich verkürzt.

Wer den Schritt vom klassischen Beratervertrag in einen prüfbaren Workspace gehen will, schreibt an info@civac.de oder nutzt das Kontaktformular auf civac.de. Aus dem Lesen einen Auftrag machen. Die Erstgespräche dauern typischerweise 30 Minuten und enden mit einer konkreten Pauschalindikation auf Basis der Mitarbeiterzahl, Branche und gewünschten Beauftragtenrollen.

Das Onboarding dauert 2 Werktage und endet mit einer unterschriebenen Bestellurkunde sowie einem aktiven Workspace-Zugang. Verzeichnis, Meldepfad, Schulungsplan und Audit-Plan sind ab Tag 1 live. Die monatliche Berichterstattung an die Geschäftsführung erfolgt aus demselben Workspace.

Wer einmal so arbeitet, kehrt selten zum Stundenzettel zurück. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Die Differenz wird im ersten Audit sichtbar und in der zweiten Vorstandssitzung im Berichtsformat.