Geschäftsführerhaftung nach § 130 OWiG: Was Compliance konkret leisten muss

§ 130 OWiG ahndet die vorsätzliche oder fahrlässige Verletzung der Aufsichtspflicht im Unternehmen mit Geldbußen bis zu 1 Mio. Euro, in Verbindung mit § 30 OWiG bis zu 10 Mio. Euro gegen die juristische Person. Die Norm trifft Geschäftsführerinnen und Geschäftsführer persönlich, sobald eine betriebsbezogene Zuwiderhandlung durch zumutbare Aufsicht hätte verhindert oder wesentlich erschwert werden können.

Dieser Beitrag ordnet die Haftungsnorm rechtlich ein, erläutert die Anforderungen der Rechtsprechung an ein funktionierendes Compliance-Management-System und benennt die Dokumente, die Sie im Prüfungsfall belegbar vorhalten müssen. Sie erfahren, welche Aufsichtsmaßnahmen Gerichte anerkennen, wie die Bestellung eines Compliance-Beauftragten die Haftung kanalisiert und wie CIVAC als Compliance-Plattform und Officer-as-a-Service den Nachweis Ihrer Aufsichtspflicht operationalisiert.

§ 130 Abs. 1 OWiG verpflichtet Inhaber eines Betriebs oder Unternehmens, diejenigen Aufsichtsmaßnahmen zu treffen, die erforderlich sind, um Zuwiderhandlungen gegen betriebsbezogene Pflichten zu verhindern. Adressat sind nach § 9 OWiG auch vertretungsberechtigte Organe, also Geschäftsführer einer GmbH, Vorstände einer AG und persönlich haftende Gesellschafter.

Die Norm ist keine Erfolgshaftung. Sie verlangt, dass die Aufsicht so organisiert ist, dass eine Zuwiderhandlung wesentlich erschwert wird. Der BGH (Urteil vom 09.05.2017, 1 StR 265/16) hat klargestellt, dass die Existenz eines Compliance-Management-Systems bei der Bußgeldbemessung mildernd berücksichtigt werden kann.

Konkret erwartet die Rechtsprechung Risikoanalyse, Schulung, Kontrolle und Reaktion. Wer diese vier Bausteine nicht belegen kann, riskiert die Vermutung der Aufsichtspflichtverletzung. Frist läuft ab Kenntnis der Pflichtverletzung, nicht ab Eintritt des Schadens.

Hinzu kommt § 30 OWiG: Wird eine Leitungsperson wegen einer Straftat oder Ordnungswidrigkeit belangt, kann gegen das Unternehmen selbst eine Verbandsgeldbuße verhängt werden. Im Kartellrecht und im Datenschutzrecht greifen zusätzlich sektorspezifische Bußgeldrahmen, die bis zu 4 Prozent des weltweiten Konzernumsatzes erreichen.

Die Geschäftsführung muss deshalb nicht nur Aufsicht ausüben, sondern den Vollzug der Aufsicht dokumentieren. Audit-fest, dokumentiert, § 130-fest. Genau diese Belegbarkeit ist der operative Kern jeder belastbaren Compliance-Funktion.

Die Rechtsprechung hat in den letzten 15 Jahren ein klares Anforderungsraster entwickelt. Den Ausgangspunkt bildet die Risikoanalyse: Welche betriebsbezogenen Pflichten gelten, welche Bereiche sind besonders gefährdet, welche Vorfälle gab es bereits? Ohne dokumentierte Risikoanalyse fehlt die Grundlage jeder weiteren Maßnahme.

Zweiter Baustein ist die Schulung. Mitarbeiter müssen die für ihre Tätigkeit relevanten Pflichten kennen. Schulungen sind anlassbezogen und periodisch zu wiederholen, Teilnehmerlisten und Inhalte sind aufzubewahren. Eine einmalige Onboarding-Unterweisung reicht nicht, insbesondere nicht in regulierten Branchen.

Dritter Baustein ist die Kontrolle. Stichproben, Vier-Augen-Prinzip, IT-gestützte Plausibilitätsprüfungen und interne Audits sind die anerkannten Instrumente. Wer kontrolliert, muss dies dokumentieren, sonst gilt die Kontrolle als nicht erbracht. Der Prüfer ruft an, der Nachweis liegt bereit.

Vierter Baustein ist die Reaktion. Hinweise auf Verstöße müssen aufgenommen, untersucht und mit angemessenen Sanktionen verfolgt werden. Das HinSchG verpflichtet zusätzlich zu einer internen Meldestelle mit gesetzlichen Fristen für Eingangsbestätigung und Rückmeldung.

Diese vier Bausteine sind kein theoretisches Konstrukt. Sie sind das Prüfungsraster, das Staatsanwaltschaften, Bußgeldbehörden und Aufsichtsbehörden anwenden, wenn sie nach einem Vorfall die Aufsichtspflicht der Geschäftsführung bewerten.

Wer alle vier Bausteine in einem zentralen Workspace führt, statt sie in verteilten Ordnern, Mailpostfächern und Excel-Listen zu verwalten, verkürzt im Ernstfall die Beweiserhebung von Wochen auf Stunden.

Der Prüfungsstandard IDW PS 980 des Instituts der Wirtschaftsprüfer beschreibt die sieben Grundelemente eines Compliance-Management-Systems: Kultur, Ziele, Risiken, Programm, Organisation, Kommunikation sowie Überwachung und Verbesserung. Er ist kein Gesetz, gilt aber als faktischer Branchenstandard und wird in Bußgeldverfahren regelmäßig als Referenz herangezogen.

Compliance-Kultur ist der Tone from the Top: ein dokumentiertes Bekenntnis der Geschäftsführung zur Regeltreue, das in Leitlinien, Mitarbeitergesprächen und Sanktionsentscheidungen sichtbar wird. Ohne diesen Anker bleiben alle weiteren Elemente Papier.

Compliance-Ziele und Risiken werden aus der Geschäftstätigkeit abgeleitet. Welche Gesetze sind einschlägig? Welche Sanktionen drohen? Welche Vorfälle haben Wettbewerber bereits getroffen? Die Risikoanalyse wird mindestens jährlich aktualisiert und nach wesentlichen Änderungen sofort.

Compliance-Programm und Compliance-Organisation übersetzen die Risiken in konkrete Maßnahmen und Verantwortlichkeiten. Hier liegt der Schnittpunkt zur Bestellung eines Compliance-Beauftragten mit Bestellurkunde, Stellenbeschreibung und Berichtslinie an die Geschäftsführung.

Compliance-Kommunikation umfasst Schulungen, Hinweisgebersystem und regelmäßige Berichte an Geschäftsführung und Aufsichtsrat. Compliance-Überwachung schließlich prüft die Wirksamkeit des Systems, regelmäßig durch interne Audits und in größeren Konzernen durch externe Prüfung nach IDW PS 980.

Für mittelständische Unternehmen genügt eine schlanke, aber konsistente Umsetzung dieser sieben Elemente. Entscheidend ist nicht der Umfang, sondern die Belegbarkeit.

§ 130 Abs. 3 OWiG sieht für die Aufsichtspflichtverletzung selbst eine Geldbuße bis zu 1 Mio. Euro vor. Über § 30 OWiG kann zusätzlich gegen das Unternehmen eine Verbandsgeldbuße bis zu 10 Mio. Euro verhängt werden, bei vorsätzlichen Straftaten kann der wirtschaftliche Vorteil aus der Tat abgeschöpft werden, was die Buße faktisch unbegrenzt macht.

Sektorspezifisch sind die Rahmen oft höher. Art. 83 DSGVO sieht bis zu 20 Mio. Euro oder 4 Prozent des weltweiten Vorjahresumsatzes vor. § 60 NIS2UmsuCG sieht für wesentliche Einrichtungen bis zu 10 Mio. Euro oder 2 Prozent des Konzernumsatzes vor, für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 Prozent.

Adressat ist die Person, die zur Aufsicht verpflichtet war, also regelmäßig die Geschäftsführung. Eine Delegation auf einen Compliance-Beauftragten entlastet die Geschäftsführung nicht von der Auswahl-, Instruktions- und Überwachungspflicht. Wer den falschen Beauftragten bestellt oder nicht ausreichend ausstattet, haftet weiter persönlich.

Die Verjährung richtet sich nach § 31 OWiG und beträgt bei einem Bußgeldrahmen über 15.000 Euro drei Jahre, bei besonders schweren Verstößen länger. Die Frist beginnt mit Beendigung der Aufsichtspflichtverletzung, nicht mit Eintritt des Schadens.

Hinzu kommt das Risiko der zivilrechtlichen Innenhaftung nach § 43 Abs. 2 GmbHG beziehungsweise § 93 Abs. 2 AktG. Die Gesellschaft kann die Geschäftsführung in Regress nehmen, wenn diese die Sorgfalt eines ordentlichen Geschäftsmanns verletzt hat. Der ARAG/Garmenbeck-Beschluss des BGH verpflichtet den Aufsichtsrat regelmäßig sogar zur Geltendmachung solcher Ansprüche.

Die Bestellung eines Compliance-Beauftragten ist das wichtigste Instrument zur Kanalisierung der Aufsichtspflicht. Sie reduziert das persönliche Risiko der Geschäftsführung jedoch nur, wenn drei Voraussetzungen erfüllt sind: sorgfältige Auswahl, klare Ausstattung und kontinuierliche Überwachung.

Sorgfältige Auswahl bedeutet, dass die Person fachlich qualifiziert, persönlich zuverlässig und zeitlich verfügbar ist. Eine Doppelrolle mit dem Vertriebsleiter oder dem Finanzvorstand ist regelmäßig kritisch, da Interessenkonflikte vorhersehbar sind. Bei kleineren Unternehmen ist ein externer Compliance-Beauftragter oft die robustere Lösung.

Klare Ausstattung umfasst Budget, Zugriff auf Informationen, Berichtslinie und Weisungsfreiheit in fachlichen Fragen. Die Bestellurkunde dokumentiert Aufgaben, Befugnisse und Schutzrechte. Bestellurkunde, unterschrieben, abgelegt, belegbar. Ohne diese formale Grundlage hat der Beauftragte keine durchsetzbare Position im Unternehmen.

Kontinuierliche Überwachung bedeutet, dass die Geschäftsführung den Beauftragten regelmäßig konsultiert, dessen Berichte zur Kenntnis nimmt und dokumentierte Entscheidungen über die vorgeschlagenen Maßnahmen trifft. Ein Beauftragter, dessen Berichte unbeantwortet bleiben, entlastet niemanden.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. CIVAC stellt für beide Modelle Bestellurkunde, Stellenbeschreibung und Berichtslinie als geprüfte Vorlagen bereit, sodass die formalen Voraussetzungen der Delegation belegbar erfüllt sind.

Die Grenze der Delegation liegt dort, wo die Geschäftsführung Kenntnis von einem Verstoß erlangt. Dann muss sie selbst handeln, unabhängig vom Beauftragten. Kenntnis kann nicht weggegeben werden.

Im Bußgeldverfahren entscheidet selten die materielle Compliance-Lage, sondern die Beweislage. Wer die durchgeführten Maßnahmen nicht zeitnah und nachvollziehbar dokumentiert hat, kann sie im Verfahren nicht mehr glaubhaft machen, auch wenn sie tatsächlich stattgefunden haben.

Die Mindestdokumentation eines wirksamen Compliance-Management-Systems umfasst sechs Belegklassen: Risikoanalyse mit Datum und Verantwortlichem, Compliance-Richtlinien mit Versionsstand, Schulungsnachweise mit Teilnehmerlisten, Audit-Berichte mit Maßnahmen und Fristen, Hinweisgeber-Eingänge mit Bearbeitungsstand sowie Berichte an die Geschäftsführung mit Beschlussdokumentation.

Diese Belege müssen revisionssicher aufbewahrt werden, das heißt unveränderbar, mit Zeitstempel und mit klarer Zuordnung zum Verantwortlichen. § 257 HGB und § 147 AO geben Aufbewahrungsfristen von 6 bzw. 10 Jahren vor, im Datenschutz und Arbeitsschutz gelten zusätzliche sektorspezifische Vorgaben.

Ein zentrales Workspace-System löst zwei Probleme gleichzeitig: Es zwingt Verantwortliche zur strukturierten Ablage, und es macht die Belege im Prüfungsfall in Minuten statt Tagen verfügbar. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

CIVAC stellt 490 einsatzbereite Audit-Vorlagen für die typischen Prüfungsfelder bereit, von der Lieferantenprüfung über die Kartellschulung bis zur Datenschutz-Folgenabschätzung. Jede Vorlage enthält Prüffragen, Belegfelder und Eskalationspfade.

Die EU-Datenresidenz im Workspace sorgt dafür, dass die Belege auch dann verfügbar sind, wenn US-Cloud-Anbieter aus regulatorischen Gründen ausscheiden, beispielsweise in regulierten Sektoren oder im Behördenumfeld.

§ 130 OWiG gilt für jedes Unternehmen, unabhängig von Größe oder Branche. Das Risiko einer Aufsichtspflichtverletzung ist jedoch nicht überall gleich verteilt. Sektoren mit dichter Regulierung, hohen Bußgeldrahmen und aktiver Aufsicht stehen im Fokus.

In der Finanzbranche sind das KWG, GwG und WpHG die zentralen Quellen, ergänzt durch MaRisk und MaComp. Der Geldwäschebeauftragte ist gesetzlich vorgeschrieben, seine Bestellung bei der BaFin anzuzeigen. Fehler in der Bestellung oder Ausstattung werden regelmäßig sanktioniert.

In der Industrie greifen Umweltrecht, Arbeitsschutz, Gefahrgut- und Gefahrstoffrecht. Pflichtbeauftragte sind hier oft mehrfach vorgeschrieben, von der Fachkraft für Arbeitssicherheit über den Gefahrstoffbeauftragten bis zum Umweltschutzbeauftragten. Die Geschäftsführung muss deren Bestellung, Ausstattung und Berichtslinie dokumentieren.

Im KRITIS-Sektor und für NIS-2-betroffene Einrichtungen kommen Meldepflichten hinzu. Der 24-Stunden-Frühwarnpfad und die 72-Stunden-Folgemeldung nach § 32 NIS2UmsuCG sind eng getaktet, ein Versäumnis ist nicht heilbar. Frist läuft ab Kenntnis.

Im Gesundheitswesen verschärfen Patientenrechtegesetz, MPDG und Krankenhauszukunftsgesetz die Anforderungen. Der Hygienebeauftragte und der Datenschutzbeauftragte sind hier nicht optional, ihre Bestellung ist Voraussetzung der Versorgungsberechtigung.

Die Antwort der Geschäftsführung ist in allen Sektoren identisch: Pflichten kennen, Beauftragte bestellen, Maßnahmen dokumentieren, Wirksamkeit prüfen. Die ~29.500 NIS-2-betroffenen Unternehmen in Deutschland sind ein eindrücklicher Maßstab für den Skalierungsbedarf.

Eine D&O-Versicherung kann zivilrechtliche Innenhaftungsansprüche der Gesellschaft gegen die Geschäftsführung abdecken, sie ersetzt jedoch keine Compliance-Funktion. Bußgelder nach OWiG sind in den meisten Policen ausgeschlossen oder nur als Verteidigungskosten gedeckt, nicht als Hauptforderung.

Auch zivilrechtlich greift die Police nur, wenn die Voraussetzungen erfüllt sind. Eine vorsätzliche Pflichtverletzung ist regelmäßig nicht versicherbar. Eine grob fahrlässige Aufsichtspflichtverletzung kann zur Kürzung der Versicherungsleistung führen. Die Beweislast für leichte Fahrlässigkeit liegt bei der Geschäftsführung.

Die Versicherer prüfen zudem zunehmend die tatsächliche Compliance-Lage des versicherten Unternehmens. Wer kein dokumentiertes Compliance-Management-System vorweisen kann, riskiert höhere Prämien, höhere Selbstbehalte oder den vollständigen Ausschluss bestimmter Risiken.

Die Innenhaftung nach § 43 GmbHG und § 93 AktG ist verschuldensunabhängig in der Beweislastverteilung: Die Geschäftsführung muss beweisen, dass sie die Sorgfalt eines ordentlichen Geschäftsmanns angewandt hat. Ohne Compliance-Dokumentation ist dieser Beweis kaum führbar.

Praktisch bedeutet das: D&O ist ein notwendiges, aber kein hinreichendes Element des Risikomanagements. Die Versicherung deckt das Restrisiko nach Compliance, nicht das Risiko anstelle von Compliance. Wer beides verwechselt, zahlt zweimal.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. In beiden Modellen liegt am Ende eines Jahres ein belastbarer Nachweis vor, der gegenüber Versicherern, Aufsichtsbehörden und Aufsichtsräten verwendet werden kann.

Die operative Umsetzung beginnt mit drei Entscheidungen: Wer ist Compliance-Beauftragter, wie wird er bestellt, und wo werden die Belege geführt? Diese drei Entscheidungen sind in einer Vorstandssitzung dokumentierbar und in zwei Wochen umsetzbar, sofern die Vorlagen vorliegen.

CIVAC ist Compliance-Plattform und Officer-as-a-Service in einem. Die Plattform stellt 490 Audit-Vorlagen, Bestellurkunden für 25 Beauftragten-Rollen und eine Berichtslinie an die Geschäftsführung bereit. Der Officer-as-a-Service stellt qualifizierte externe Beauftragte mit einer SLA von 2 Werktagen statt 2 bis 6 Wochen.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle erfüllen die Anforderungen an Auswahl, Ausstattung und Überwachung nach § 130 OWiG und dokumentieren den Vollzug der Aufsicht in derselben Belegstruktur.

Für die Geschäftsführung entsteht damit ein konsistenter Nachweis: Bestellurkunde unterschrieben, Berichtslinie definiert, Audits durchgeführt, Maßnahmen umgesetzt, Wirksamkeit geprüft. Der Prüfer ruft an, der Nachweis liegt bereit.

Die FAQ-Seite beantwortet die häufigsten Fragen zu Bestellung, Haftung und Auditierung, die Rollenübersicht zeigt das vollständige Spektrum der 25 Beauftragten-Rollen mit ihren rechtlichen Grundlagen.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de, wir prüfen Ihre konkrete Aufsichtslage und schlagen das passende Modell in einem Erstgespräch vor.