Was ist ein Compliance Officer?
Ein Compliance Officer organisiert für die Geschäftsleitung, dass das Unternehmen Gesetze und interne Regeln einhält: Er ermittelt Compliance-Risiken, gibt Regeln vor, schult, überwacht und berichtet. Die Verantwortung bleibt dabei bei der Geschäftsleitung. Das Gefüge aus Regeln, Rollen und Kontrollen, das er aufbaut, heißt Compliance-Management-System.
Die Pflicht, das Unternehmen so zu organisieren, dass Rechtsverstöße verhindert werden, folgt aus der Sorgfaltspflicht von Vorstand und Geschäftsführung nach § 93 Abs. 1 AktG und § 43 Abs. 1 GmbHG. Bußgeldbewehrt ist sie über die Aufsichtspflicht nach § 130 Abs. 1 OWiG; zu den Aufsichtsmaßnahmen gehören dort ausdrücklich Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen.
Welche Aufgaben hat ein Compliance Officer?
Ein Compliance Officer hat acht Kernaufgaben, von der Risikoanalyse bis zur Berichterstattung. Zuschnitt und Gewicht hängen von Branche, Größe und Risikolage ab:
| Aufgabenfeld | Inhalt |
|---|---|
| Risikoanalyse | Compliance-Risiken ermitteln und bewerten, etwa Korruption, Kartellrecht, Geldwäsche, Sanktionen, Datenschutz, Informationssicherheit, Lieferkette |
| Regelwerk | Verhaltenskodex und Richtlinien erarbeiten, abstimmen und aktuell halten |
| Beratung und Schulung | Fachbereiche und Leitung beraten, Beschäftigte zielgruppengerecht schulen |
| Rechtsbeobachtung | Rechtsänderungen verfolgen und in Pflichten für das Unternehmen übersetzen |
| Hinweisgebersystem | je nach Zuschnitt die interne Meldestelle nach dem Hinweisgeberschutzgesetz betreiben oder steuern |
| Überwachung | Kontrollen planen, Stichproben durchführen, Wirksamkeit der Maßnahmen prüfen |
| Untersuchung | Verdachtsfällen nachgehen, Sachverhalte aufklären, Konsequenzen vorschlagen |
| Berichterstattung | an Geschäftsleitung und Aufsichtsorgan berichten, turnusmäßig und anlassbezogen |
Über Geschäftsvorfälle entscheidet der Compliance Officer nicht; er berät, kontrolliert, eskaliert und dokumentiert. Im Drei-Linien-Modell gehört die Compliance-Funktion zur zweiten Linie, und die Interne Revision prüft als dritte Linie auch ihre Arbeit.
Wann ist eine Compliance-Funktion gesetzlich vorgeschrieben?
Eine allgemeine Pflicht, einen Compliance Officer zu bestellen, gibt es in Deutschland nicht. Ausdrücklich vorgeschrieben ist eine Compliance-Funktion in regulierten Branchen:
| Bereich | Grundlage | Was verlangt wird |
|---|---|---|
| Kredit- und Finanzdienstleistungsinstitute | § 25a Abs. 1 KWG (Nr. 3 Buchst. c), konkretisiert in AT 4.4.2 MaRisk | eine unabhängige Compliance-Funktion als Teil des internen Kontrollsystems |
| Wertpapierdienstleistungsunternehmen | § 80 Abs. 1 WpHG mit Art. 22 der Delegierten Verordnung (EU) 2017/565 | eine permanente, wirksame und unabhängige Compliance-Funktion; den Compliance-Beauftragten ernennt das Leitungsorgan |
| Versicherungsunternehmen | § 29 Abs. 1 VAG | ein internes Kontrollsystem mit einer Funktion zur Überwachung der Einhaltung der Anforderungen |
| bestimmte Verpflichtete nach dem Geldwäschegesetz | § 7 Abs. 1 GwG | ein Geldwäschebeauftragter auf Führungsebene und ein Stellvertreter; eine Spezialfunktion, kein allgemeiner Compliance Officer |
| alle übrigen Unternehmen | § 130 OWiG, § 93 Abs. 1 AktG, § 43 Abs. 1 GmbHG; für börsennotierte Aktiengesellschaften zusätzlich § 91 Abs. 3 AktG | keine Bestellpflicht; die Organisationspflicht der Geschäftsleitung bleibt |
Außerhalb der regulierten Branchen ist die Bestellung eine Organisationsentscheidung, die im Schadensfall nachgeprüft wird. Ob ein wirksames Compliance-Management bestand, zählt nach dem Bundesgerichtshof bei der Bemessung einer Verbandsgeldbuße nach § 30 OWiG (Urteil vom 09.05.2017, 1 StR 265/16).
Haftet ein Compliance Officer persönlich?
Ein Compliance Officer kann sich strafbar machen, wenn er Straftaten aus dem Unternehmen heraus nicht verhindert. Der Bundesgerichtshof hielt im Urteil vom 17.07.2009 (5 StR 394/08) fest, dass Beauftragte, denen die Corporate Compliance anvertraut ist, „regelmäßig“ eine Garantenpflicht im Sinne des § 13 Abs. 1 StGB trifft. Wer sie hat und nicht einschreitet, kann sich durch Unterlassen strafbar machen, im entschiedenen Fall wegen Beihilfe zum Betrug.
Zwei Punkte schränken das Urteil ein. Der Angeklagte war kein Compliance Officer, sondern leitete die Rechtsabteilung und die Innenrevision einer Anstalt des öffentlichen Rechts; die Aussage zu Compliance-Beauftragten betraf also nicht seine eigene Rolle. Und maßgeblich ist der Pflichtenkreis, den die Person tatsächlich übernommen hat, nicht allein der Vertrag oder der Titel.
Beispiel: den Pflichtenkreis schriftlich festlegen
Weil der tatsächlich übernommene Pflichtenkreis zählt, legen Sie ihn bei der Bestellung schriftlich fest und gleichen ihn jährlich mit der gelebten Praxis ab.
Beispiel (fiktiv): Bestellung bei einem Maschinenbauer ohne regulierte Tätigkeit. Die Festlegungen sind frei gewählt.
| Punkt | Festlegung |
|---|---|
| Pflichtenkreis | Korruptionsprävention, Kartellrecht, Exportkontrolle und Sanktionen; Datenschutz und Informationssicherheit verantworten Datenschutzbeauftragter und ISB |
| Befugnisse | Einsicht in alle Unterlagen des Pflichtenkreises, Auskunftsrecht gegenüber allen Beschäftigten |
| Ausdrücklich nicht übertragen | Entscheidung über Geschäftsvorfälle und Freigabe von Verträgen |
| Berichtsweg | quartalsweise an die Geschäftsführung, jährlich an den Beirat |
| Eskalation | direkt an den Vorsitz des Beirats, wenn ein Mitglied der Geschäftsführung betroffen ist |
| Vertretung | Leitung Recht |
| Überprüfung | jährlich und bei jeder Änderung des Pflichtenkreises |
Prüfen Sie beim jährlichen Abgleich, ob die Person Aufgaben übernommen hat, die nicht in der Festlegung stehen, etwa die Freigabe von Beraterverträgen. Dann ändern Sie entweder die Festlegung oder geben die Aufgabe zurück, denn nach dem Bundesgerichtshof kann sich die Garantenpflicht auf jeden tatsächlich übernommenen Pflichtenkreis erstrecken.
Was unterscheidet Compliance Officer, ISB und Datenschutzbeauftragten?
Compliance Officer, Informationssicherheitsbeauftragter und Datenschutzbeauftragter unterscheiden sich in Gegenstand und Rechtsgrundlage:
| Kriterium | Compliance Officer | Informationssicherheitsbeauftragter (ISB) | Datenschutzbeauftragter (DSB) |
|---|---|---|---|
| Gegenstand | Einhaltung von Gesetzen und internen Regeln insgesamt | Vertraulichkeit, Integrität und Verfügbarkeit von Informationen | Schutz personenbezogener Daten nach Datenschutzrecht |
| Bestellpflicht | in regulierten Branchen (KWG, WpHG, VAG; GwG für den Geldwäschebeauftragten) | keine allgemeine gesetzliche Pflicht | Art. 37 DSGVO und § 38 BDSG, etwa wenn „in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten“ beschäftigt sind |
| Rolle | berät, überwacht, untersucht, berichtet | baut das ISMS auf und betreibt es, koordiniert Risikoanalysen und Maßnahmen | überwacht und berät, Anlaufstelle für Aufsichtsbehörde und Betroffene |
| Besonderer Kündigungsschutz | kein allgemeiner gesetzlicher | kein allgemeiner gesetzlicher | bei verpflichtender Benennung nach § 38 Abs. 2 in Verbindung mit § 6 Abs. 4 BDSG |
Eine Personalunion hat Grenzen. Der Datenschutzbeauftragte darf andere Aufgaben nach Art. 38 Abs. 6 DSGVO nur übernehmen, wenn sie nicht zu einem Interessenkonflikt führen, etwa wenn er Verarbeitungen überwachen müsste, über die er selbst entscheidet. Ist der ISB zugleich Compliance Officer, prüft er die Einhaltung in seinem eigenen Bereich; sehen Sie dann eine unabhängige Prüfung durch die Interne Revision oder ein externes Audit vor. Wie die Rolle des ISB zugeschnitten wird, beschreibt der Ratgeber ISMS einführen.
Compliance Officer, Compliance Manager und Chief Compliance Officer
Die drei Bezeichnungen sind gesetzlich nicht geschützt. Ein Chief Compliance Officer leitet die Compliance-Funktion eines größeren Unternehmens oder Konzerns und berichtet direkt an den Vorstand. Der Compliance Officer oder Compliance-Beauftragte verantwortet die Funktion in einem Unternehmen oder Bereich, der Compliance Manager setzt Programme und Kontrollen operativ um. In kleineren Unternehmen kann eine Person alle drei Rollen ausfüllen, auch in Teilzeit oder als externer Dienstleister.