Organisationsverschulden: Warum Compliance Sache der Geschäftsführung ist

Die wirtschaftliche Dimension ist inzwischen gut vermessen. Nach der Bitkom-Studie Wirtschaftsschutz 2025 entstand der deutschen Wirtschaft binnen zwölf Monaten ein Schaden von 289,2 Milliarden Euro durch Datendiebstahl, Spionage und Sabotage; 87 Prozent der über tausend befragten Unternehmen berichteten von entsprechenden Vorfällen, rund 70 Prozent des Schadens entfielen auf Cyberangriffe. Solche Zahlen sind mehr als Branchenfolklore – sie definieren, was ein sorgfältiger Geschäftsleiter heute wissen muss.

Rechtlich ist der Rahmen seit Langem gesetzt. Geschäftsführer haben nach § 43 GmbHG die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden; für Vorstände gilt § 93 AktG entsprechend. Daraus leitet die Rechtsprechung die Legalitäts- und Organisationspflicht ab: Die Leitung muss dafür sorgen, dass sich das Unternehmen rechtstreu verhält, und sie muss eine Organisation schaffen, die Rechtsverstöße verhindert, erkennt und abstellt. Wie aufwendig diese Organisation sein muss, hängt von Größe, Branche und Risikolage ab – eine Freistellung nach unten gibt es nicht.

Das Ermessen schützt nur den Informierten

Unternehmerische Fehlentscheidungen sind grundsätzlich geschützt: Wer auf angemessener Informationsgrundlage nachvollziehbar zum Wohle der Gesellschaft entscheidet, haftet nicht für jedes Fehlschlagen. Genau hier liegt aber die Falle des Organisationsverschuldens – die Business Judgement Rule schützt Entscheidungen, nicht Untätigkeit. Wer Compliance-Risiken nie erhoben hat, hat keine Informationsgrundlage, auf die er sich berufen könnte. Im Streitfall zählt deshalb weniger, ob ein Verstoß passiert ist, sondern ob die Leitung vorher erkennbar und dokumentiert das Angemessene getan hat.

Praktisch übersetzt heißt das: Risiken systematisch erfassen und bewerten, Maßnahmen mit Verantwortlichen und Fristen beschließen, deren Umsetzung kontrollieren und das Ganze so dokumentieren, dass es sich einem Dritten – Beirat, Wirtschaftsprüfer, im schlimmsten Fall Gericht – vorlegen lässt. Seit Mai 2025 gibt es dafür mit der DIN SPEC 91524 erstmals einen veröffentlichten Maßstab für den Mittelstand.

Wie sich dieser Regelkreis ohne hauptamtliche Compliance-Abteilung führen lässt – vom Selbstcheck über das Risikoregister bis zum vorlagefähigen PDF-Bericht – zeigt das Modul Compliance.