Externer Compliance Officer: Wann er Pflicht ist und wie die Bestellung sauber gelingt
Mittelständische Unternehmen ohne eigene Compliance-Abteilung bestellen zunehmend einen externen Compliance Officer. Dieser Leitfaden klärt, welche Pflichten er übernimmt, wie die Bestellurkunde nach § 130 OWiG aussieht und wie die Berichtslinie an die Geschäftsführung organisiert wird.
Die Aufsichtspflicht der Geschäftsführung folgt aus § 130 OWiG und droht mit Bußgeldern bis 1 Mio. Euro pro Person. Wer im Mittelstand keine eigene Compliance-Abteilung führt, kann diese Pflicht durch die Bestellung eines externen Compliance Officers organisatorisch ableiten und dokumentenfest belegen. Die Bestellurkunde, das Pflichtenheft und die Berichtslinie an die Geschäftsführung sind dabei keine Formalie, sondern der Nachweis selbst.
Dieser Beitrag erläutert, welche Aufgaben ein externer Compliance Officer übernimmt, wo die rechtlichen Grenzen liegen, wie die Berichtslinie sauber geschnitten wird und welche Kosten realistisch sind. Sie erfahren, wann die externe Lösung der internen vorzuziehen ist und wie CIVAC als Compliance-Plattform und Officer-as-a-Service den Weg von der Anfrage bis zum belegbaren Aufsichtssystem in 14 Tagen abbildet.
Auf einen Blick
- Ein externer Compliance Officer ist keine gesetzliche Pflichtrolle, aber das wirksamste Mittel, die Aufsichtspflicht nach § 130 OWiG dokumentenfest zu erfüllen.
- Die Bestellurkunde, das Pflichtenheft und die direkte Berichtslinie an die Geschäftsführung sind die drei Nachweise, die im Prüfungsfall den Unterschied machen.
- CIVAC liefert beide Modelle: lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen.
Rechtlicher Rahmen: § 130 OWiG, BGH-Rechtsprechung und das Compliance-Pflichtenheft
Die Aufsichtspflicht der Geschäftsleitung ergibt sich aus § 130 OWiG. Wer als Inhaber eines Betriebs vorsätzlich oder fahrlässig die Aufsichtsmaßnahmen unterlässt, die erforderlich sind, um Zuwiderhandlungen gegen Pflichten des Inhabers zu verhindern, handelt ordnungswidrig. Das Bußgeld reicht bis 1 Mio. Euro, bei Vorsatz auch darüber.
Die BGH-Entscheidung Berliner Stadtreinigung vom 17. Juli 2009 (Az. 5 StR 394/08) hat die Garantenstellung des Compliance Officers im strafrechtlichen Sinn anerkannt. Damit ist die Rolle nicht mehr beliebige Stabsstelle, sondern mit konkreten Verhinderungspflichten verbunden.
Branchenspezifisch ergeben sich weitere Pflichten. § 25a KWG verlangt von Banken eine angemessene Geschäftsorganisation einschließlich Compliance. § 80 WpHG kodifiziert die Compliance-Funktion bei Wertpapierdienstleistern. § 33 MaRisk konkretisiert die Erwartung der BaFin.
Im Mittelstand außerhalb der regulierten Branchen gibt es keine direkte gesetzliche Bestellpflicht. Die Praxis bestellt dennoch, weil ohne die Bestellung der Nachweis der Aufsichtspflichterfüllung schwerfällt. Der Prüfer ruft an, der Nachweis liegt bereit, das ist nur möglich, wenn die Bestellurkunde, unterschrieben, abgelegt, belegbar in der Akte liegt.
Das Pflichtenheft muss vier Blöcke abdecken: Risikoanalyse, Prävention, Detektion und Reaktion. Die Berichtslinie geht direkt an die Geschäftsführung, nicht über den CFO oder den Justiziar. Dazu mehr unter Compliance-Beauftragter.
Aufgaben eines externen Compliance Officers im Mittelstand
Der externe Compliance Officer übernimmt typischerweise zehn Aufgabenfelder. Erstens die Risikoanalyse: systematische Erhebung der branchen- und unternehmensspezifischen Compliance-Risiken, mindestens jährlich aktualisiert.
Zweitens das Code-of-Conduct-Management: Entwicklung, Pflege und jährliche Bestätigung durch alle Mitarbeitenden. Drittens Schulungen und Awareness, mit dokumentierten Teilnahmebestätigungen je Pflichtthema.
Viertens die Beratung der Geschäftsführung in laufenden Geschäftsentscheidungen, fünftens die Vertragsprüfung in Bezug auf Compliance-Klauseln, sechstens die Drittpartei-Due-Diligence bei Lieferanten und Vertriebspartnern. Sieben, der Betrieb der internen Meldestelle nach HinSchG, soweit nicht separat bestellt.
Acht, die Bearbeitung von Verdachtsfällen einschließlich interner Untersuchungen unter Wahrung des Beschäftigtendatenschutzes nach § 26 BDSG. Neun, das jährliche Compliance-Reporting an die Geschäftsführung und gegebenenfalls den Beirat oder Aufsichtsrat. Zehn, die laufende Überwachung von Gesetzesänderungen wie EU-AI-Act, LkSG, CSRD.
Die genaue Aufgabenliste gehört in das Pflichtenheft. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Der CIVAC Workspace bildet alle zehn Felder mit 490 einsatzbereiten Audit-Vorlagen ab.
Für Schnittstellen zur Datenschutz- und IT-Sicherheitsfunktion siehe die Rollenseiten Datenschutzbeauftragter und ISB. Die Bestellung dieser Rollen wird oft im selben Vertrag geregelt.
Wann externe Bestellung sinnvoll ist und wann nicht
Die externe Bestellung ist sinnvoll in vier typischen Konstellationen. Erstens, das Unternehmen hat zwischen 50 und 500 Mitarbeitenden und keinen Vollzeit-Compliance-Bedarf. Eine Vollzeitstelle kostet 90.000 bis 140.000 Euro pro Jahr, eine externe Lösung deckt den Bedarf für 20.000 bis 60.000 Euro.
Zweitens, das Unternehmen hat einen Interessenkonflikt in der bestehenden Geschäftsführung oder Rechtsabteilung. Ein externer Compliance Officer berichtet ohne Loyalitätskonflikt und ist im Verdachtsfall belastbar.
Drittens, die Branche ändert sich schnell, etwa durch EU-AI-Act, LkSG, CSRD, NIS-2. Ein externer Spezialist hält sich kontinuierlich auf dem Stand, eine interne Stabsstelle muss das parallel zum Tagesgeschäft leisten.
Viertens, das Unternehmen steht vor einem Audit, einer Due Diligence oder einem M&A-Prozess. Der externe Compliance Officer liefert das audit-feste Dossier in Wochen statt in Monaten.
Nicht sinnvoll ist die externe Bestellung in regulierten Branchen mit ständiger interner Präsenzpflicht, etwa bei größeren Banken nach § 25a KWG, wo die BaFin eine interne Funktion erwartet. Auch bei sehr kleinen Unternehmen unter 20 Mitarbeitenden reicht häufig die Geschäftsführung selbst, gestützt auf eine Plattform mit Vorlagen.
Die Entscheidung treffen Sie nach Risikoprofil, nicht nach Mitarbeiterzahl allein. CIVAC liefert beide Wege: Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen.
Bestellurkunde, Pflichtenheft, Berichtslinie: Die drei Nachweise
Die Bestellurkunde ist der formale Akt der Übertragung. Sie enthält Name, Anschrift, Qualifikation des Bestellten, den Bestellzeitraum, das Pflichtenheft als Anlage, die Berichtslinie und die Unterschrift der Geschäftsführung.
Das Pflichtenheft konkretisiert die Aufgaben. Es muss präzise sein, denn im Streitfall entscheidet es, ob eine Pflichtverletzung dem externen Officer oder der Geschäftsführung zuzurechnen ist. Vage Formulierungen wie laufende Beratung sind ungenügend.
Die Berichtslinie ist der dritte Nachweis. Sie muss direkt an die Geschäftsführung gehen, schriftlich, mindestens quartalsweise, mit Ad-hoc-Eskalation bei wesentlichen Vorfällen. Eine Berichtslinie über den CFO oder den Justiziar entkernt die Funktion.
Die drei Nachweise zusammen tragen das Aufsichtssystem nach § 130 OWiG. Im Bußgeldverfahren prüft die Staatsanwaltschaft genau diese drei Dokumente. Ohne sie kollabiert die Verteidigung der Geschäftsführung, mit ihnen steht sie audit-fest, dokumentiert, § 130-fest.
CIVAC liefert alle drei als ausfüllbare Vorlagen aus dem Workspace. Die Bestellurkunde, unterschrieben, abgelegt, belegbar gehört zum CIVAC-SLA von 2 Werktagen. Das Pflichtenheft ist mit 490 einsatzbereiten Audit-Vorlagen vorbelegt und wird auf Ihre Branche feinjustiert.
Die Berichtslinie wird im Workspace operativ geführt, mit Quartalsbericht, Ad-hoc-Eskalation und Aufgabentracking. Der Prüfer ruft an, der Nachweis liegt bereit.
Kosten: Was eine externe Bestellung wirklich kostet
Die Spannbreite ist groß. Eine punktuelle Beauftragung einer Kanzlei für ein Quartalsmandat liegt bei 8.000 bis 15.000 Euro pro Quartal. Eine kontinuierliche Officer-as-a-Service-Lösung im Mittelstand liegt bei 1.800 bis 4.500 Euro pro Monat.
Eine Vollzeitstelle intern, gerechnet mit Gehalt, Sozialabgaben, Schulung, Versicherung und Vertretung, kostet 90.000 bis 140.000 Euro pro Jahr. Die Substitutionsrisikoabdeckung bei Urlaub und Krankheit kommt zusätzlich.
Eine reine Software-Lizenz ohne externe Bestellung beginnt bei 500 Euro pro Monat für kleinere Unternehmen und skaliert nach Modulen. Sie ersetzt nicht die Funktion, gibt aber dem internen Officer die nötige Infrastruktur.
Die Total-Cost-of-Ownership-Rechnung sieht bei vielen Mittelständlern so aus: 30.000 bis 50.000 Euro pro Jahr für die externe Bestellung plus Workspace, gegen 120.000 Euro pro Jahr für die interne Vollzeitstelle, bei vergleichbarer Funktionsdichte. Die externe Lösung gewinnt klar unter 500 Mitarbeitenden.
CIVAC bündelt Plattform und Officer in einem Vertrag. Die Module DSB, ISB, HinSchG, ESG, AGG lassen sich addieren, was die Kostendegression nochmals verbessert. Die 25 Beauftragten-Rollen sind alle live, das vermeidet Mehrfachverträge mit unterschiedlichen Anbietern.
Ein konkretes Angebot kalkulieren Sie unter civac.de/faq oder per Mail an info@civac.de mit Mitarbeiterzahl, Branche und gewünschtem Rollenpaket.
Berichtslinie und Eskalation: Die operative Mechanik
Die Berichtslinie hat zwei Modi: Regelbericht und Eskalation. Der Regelbericht geht quartalsweise an die Geschäftsführung, mit Kennzahlen aus den vier Blöcken Risiko, Prävention, Detektion, Reaktion.
Die Eskalation greift bei wesentlichen Vorfällen. Wesentlich ist ein Vorfall, wenn er ein meldepflichtiges Ereignis nach DSGVO, NIS-2, HinSchG oder LkSG auslöst oder wenn er ein potenzielles Bußgeld über 100.000 Euro birgt.
Die Eskalationsfrist beträgt 24 Stunden ab Kenntnis. Frist läuft ab Kenntnis, das gilt im gesamten Compliance-Recht. Der externe Officer muss erreichbar sein, schriftlich dokumentieren und die Geschäftsführung in einem strukturierten Lageblatt informieren.
Die Berichte enden in einem zentralen Aktensystem, nicht in E-Mail-Postfächern. Im Prüfungsfall muss die Geschäftsführung den vollständigen Berichtspfad rekonstruieren können. Eine fehlende Quartalsmeldung ist ein klassischer Befund in jeder externen Untersuchung.
CIVAC führt die Berichtslinie im Workspace, mit automatischen Erinnerungen, Versionierung und Audit-Trail. Die NIS-2 24/72-Meldepfade sind eingebaut, damit der ISB und der CO synchron eskalieren können.
Für sektor-spezifische Eskalationen, etwa nach KRITIS-Verordnung, ist die Schnittstelle zum Störfallbeauftragten wichtig. Beide Rollen sitzen im selben Workspace und teilen den gleichen Eskalationspfad.
Schnittstellen zu DSB, ISB, HinSchG, ESG und LkSG
Der Compliance Officer arbeitet selten allein. In jedem mittelständischen Unternehmen treffen sich mindestens fünf Beauftragten-Rollen am Risikotisch: CO, DSB, ISB, HinSchG-Stelle und ESG-Verantwortlicher.
Die Schnittstelle zum DSB regelt Artikel 38 DSGVO: keine Weisungsfreiheit-Konflikte, klare Trennung der Berichtslinien, gemeinsame Bearbeitung von Datenpannen nach Artikel 33 DSGVO mit der 72h-Frist.
Die Schnittstelle zum ISB regelt die NIS-2-Umsetzung und das ISMS nach ISO/IEC 27001:2022 mit seinen 93 Controls. Der CO trägt die Verantwortung für die organisatorische Einbettung, der ISB für die technische Umsetzung.
Die Schnittstelle zur HinSchG-Meldestelle ist organisatorisch heikel. Der CO darf die Meldestelle leiten, muss aber die Vertraulichkeit nach § 8 HinSchG strikt einhalten. Bei Interessenkonflikten empfiehlt sich die externe Meldestelle, siehe Hinweisgeberschutz.
Die Schnittstelle zu ESG und LkSG ist seit 2023 prüfungsrelevant. Der LkSG-Beauftragte berichtet typischerweise an den CO, weil die Sorgfaltspflichten nach §§ 4-10 LkSG eng mit der Compliance-Risikoanalyse verzahnt sind. Die CSRD bringt die ESG-Berichtspflicht ab Geschäftsjahr 2025 für große Mittelständler.
CIVAC bildet alle 25 Beauftragten-Rollen in einem Workspace ab, mit gemeinsamer Datenbasis und sauber getrennten Berichtslinien. Das löst die Schnittstellenproblematik strukturell, statt sie über Excel-Listen zu kaschieren.
Onboarding eines externen Compliance Officers: 14-Tage-Plan
Tag 1 bis 3, Scoping. Aufnahme der Branche, der Mitarbeiterzahl, der bestehenden Rollen, der bekannten Risiken und der laufenden Verfahren. Sichtung der vorhandenen Bestellurkunden und Pflichtenhefte.
Tag 4 bis 6, Vertrag und Bestellurkunde. Erstellung des Pflichtenhefts, der Bestellurkunde und des Auftragsverarbeitungsvertrags nach Artikel 28 DSGVO. Unterzeichnung durch die Geschäftsführung.
Tag 7 bis 10, Risikoanalyse und Vorlagensetup. Durchführung der initialen Compliance-Risikoanalyse, Einrichtung des Workspace, Konfiguration der 490 Audit-Vorlagen, Anlegen der Berichtslinie.
Tag 11 bis 12, Schulung und Kommunikation. Schulung der Geschäftsführung in der Berichtslinie und der Eskalationsmechanik. Information der Belegschaft über die neue Funktion, inklusive Erreichbarkeit.
Tag 13 bis 14, Go-Live. Aktivierung der Meldekanäle, des Reporting-Rhythmus und des Aufgabentrackings. Übergabe an die laufende Betreuung mit dem ersten Quartalsbericht in Planung.
Der CIVAC-SLA von 2 Werktagen für die Bestellurkunde verkürzt Phase 2 deutlich. Die 490 einsatzbereiten Audit-Vorlagen verkürzen Phase 3. Klassische Setups dauern 2 bis 6 Wochen, CIVAC-Setups 14 Tage. Aus dem Lesen einen Auftrag machen, das ist hier wörtlich gemeint.
Aus dem Lesen einen Auftrag machen: CIVAC für externe Compliance Officer
Sie haben zwei Wege, mit CIVAC eine dokumentenfeste Compliance-Funktion aufzubauen. Beide enden mit der Bestellurkunde, unterschrieben, abgelegt, belegbar in Ihrer Akte.
Weg eins, der Workspace. Ihr interner Compliance-Beauftragter oder Ihr Justiziar arbeitet auf der CIVAC-Plattform, mit allen 490 Audit-Vorlagen, der Berichtslinie, dem Aufgabentracker und dem ISO/IEC 27001:2022 ISMS-Modul. Lizenzieren Sie den Workspace für Ihre internen Beauftragten.
Weg zwei, Officer-as-a-Service. CIVAC stellt einen externen Compliance Officer mit der Qualifikation und der Versicherung, übernimmt die Bestellung, das Pflichtenheft und die Berichtslinie. Oder lassen Sie unsere Beauftragten bestellen. Beide Modelle stehen auf der gleichen Plattform mit EU-Datenresidenz.
Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Der CIVAC-SLA beträgt 2 Werktage von der Vertragsunterzeichnung bis zur ausgestellten Bestellurkunde. Klassische Anbieter brauchen 2 bis 6 Wochen.
Sie erhalten die Audit-Vorlagen, das Pflichtenheft, die quartalsweise Berichtslinie, die Eskalationsmechanik mit 24-Stunden-Frist und die Schnittstellen zu DSB, ISB, HinSchG, ESG und LkSG. Audit-fest, dokumentiert, § 130-fest.
Aus dem Lesen einen Auftrag machen: Schreiben Sie an info@civac.de mit Branche, Mitarbeiterzahl und gewünschtem Modul. Sie erhalten ein passendes Leistungsverzeichnis und einen Bestellurkunden-Entwurf innerhalb von 48 Stunden. Alternativ über das Kontaktformular auf civac.de/faq.
FAQ
Ist die Bestellung eines externen Compliance Officers gesetzlich verpflichtend?
Außerhalb regulierter Branchen wie Banken nach § 25a KWG oder Wertpapierdienstleistern nach § 80 WpHG gibt es keine direkte Bestellpflicht. Die Aufsichtspflicht nach § 130 OWiG verlangt jedoch ein wirksames Compliance-System. Die externe Bestellung ist der dokumentenfeste Weg, diese Pflicht im Mittelstand zu erfüllen.
Welche Qualifikation muss ein externer Compliance Officer mitbringen?
Eine gesetzliche Mindestqualifikation gibt es nicht. Marktüblich sind juristisches oder betriebswirtschaftliches Studium, mehrjährige Compliance-Erfahrung, Branchenkenntnis und Zertifizierungen wie CCEP, CCO oder ICC. CIVAC stellt Officer mit dieser Qualifikation und einer Vermögensschadenhaftpflichtversicherung.
Bleibt die Geschäftsführung haftbar, wenn sie einen externen Officer bestellt?
Ja. Die Auswahl-, Instruktions- und Überwachungspflicht der Geschäftsführung bleibt bestehen. Die Bestellung delegiert Aufgaben, nicht die Verantwortung. Die dokumentenfeste Bestellung mit Bestellurkunde, Pflichtenheft und Berichtslinie reduziert die Haftung deutlich, weil sie das Aufsichtssystem belegbar macht.
Wie schnell kann ein externer Compliance Officer aktiv sein?
CIVAC stellt die Bestellurkunde innerhalb von 2 Werktagen aus, das ist der CIVAC-SLA. Klassische Anbieter brauchen 2 bis 6 Wochen. Das vollständige Onboarding inklusive Risikoanalyse und erster Berichtslinie ist innerhalb von 14 Tagen abgeschlossen.
Kann ein externer Compliance Officer mehrere Mandate gleichzeitig führen?
Ja, das ist marktüblich und nicht unzulässig, solange Interessenkonflikte ausgeschlossen sind. CIVAC dokumentiert die Mandate, prüft Konflikte und stellt die Vertraulichkeit über getrennte Workspaces sicher. Das verbessert die Kosten und sichert eine kontinuierliche Marktbeobachtung.
Was kostet ein externer Compliance Officer im Mittelstand?
Eine kontinuierliche Officer-as-a-Service-Lösung liegt bei 1.800 bis 4.500 Euro pro Monat, je nach Mitarbeiterzahl, Branche und Modulumfang. Eine interne Vollzeitstelle kostet 90.000 bis 140.000 Euro pro Jahr. Die externe Lösung ist im Mittelstand bis 500 Mitarbeitende klar im Vorteil.
Klingt nach viel Arbeit?
Beauftragten-Pflichten, Fristen, Nachweise — genau das nehmen wir dir ab. Sag kurz Hallo, wir zeigen dir wie.
Aus dem Beitrag ein Mandat machen.
Wir übernehmen die operative Last: externer Beauftragter, Vorlagen und Dokumentation in einem Workspace. Unverbindlich.