Viele Geschäftsführer haben von § 130 OWiG (Gesetz über Ordnungswidrigkeiten) noch nie gehört. Das wird dann problematisch, wenn sie glauben, ihre eigene Compliance-Verantwortung durch die Benennung von Beauftragten oder durch den Einkauf von Leistungen oder einer Compliance-Software erledigt zu haben. Die Verantwortung bleibt am Ende immer bei der Geschäftsleitung. Eine geplante Änderung des OWiG soll nun den dafür geltenden Bußgeldrahmen verschärfen.
Die zentrale Pflicht, Compliance zu führen
Nahezu jede Organisation beschäftigt sich intensiv mit einzelnen Compliance-Maßnahmen. Regelmäßig gilt es neue oder geänderte Normen zu erfüllen. Hier den Überblick zu behalten, wird immer herausfordernder.
Die darüberstehende und aus Managementsicht viel wichtigere Frage wird dabei oft übersehen: Wie wird die Einhaltung rechtlicher Anforderungen im Unternehmen gesteuert? Genau dies ist der wesentliche Kern der Leitungsverantwortung. Verantwortliche müssen insbesondere festlegen:
- Welche rechtlichen Risiken bestehen?
- Welche Risiken sind besonders kritisch?
- Welche Maßnahmen sollen diese Risiken reduzieren?
- Wer ist verantwortlich?
- Welche Informationen müssen an die Geschäftsleitung berichtet werden?
- Wann wird eingegriffen und nachgesteuert?
Compliance benötigt eine geeignete und nachvollziehbare Strategie, keine Sammlung von Dokumenten oder ungesteuerte Einzelmaßnahmen. Genau hier setzt § 130 OWiG (Volltext) an. Die Vorschrift verlangt, dass die Geschäftsleitung Compliance aktiv steuert und überwacht.
Was die Geschäftsleitung nach § 130 OWiG konkret tun muss
Notwendig ist keine Perfektion, aber eine aktive Steuerung der Compliance-Organisation. Für die Geschäftsführung bedeutet dies:
- Risiken identifizieren und bewerten: Geschäftsleitungen müssen wissen, welche rechtlichen Risiken für ihre Organisation relevant sind. Datenschutz, Korruption, Kartellrecht, Arbeitsschutz oder IT-Sicherheit haben je nach Geschäftsmodell sehr unterschiedliche Bedeutung.
- Prioritäten setzen: Nicht jedes Risiko erfordert denselben Aufwand. Die Geschäftsleitung muss entscheiden, welche Risiken besondere Aufmerksamkeit benötigen und welche Maßnahmen angemessen sind. Nicht zuletzt sind auch die damit zusammenhängenden Budgetfragen zu klären.
- Verantwortlichkeiten festlegen: Es muss klar sein, wer welche Aufgaben übernimmt und wer über Verstöße, Auffälligkeiten oder Risiken informiert wird.
- Informationen einfordern: Compliance darf keine Blackbox sein. Die Geschäftsleitung muss regelmäßig Berichte erhalten, Risiken bewerten und Entwicklungen nachvollziehen können.
- Wirksamkeit kontrollieren: Die entscheidende Frage lautet nicht, ob Richtlinien existieren. Die entscheidende Frage lautet, ob sie funktionieren. Das muss gemessen werden.
- Nachsteuern: Wer Schwachstellen erkennt, muss handeln.
Compliance lässt sich weder delegieren noch einkaufen
Viele Geschäftsleitungen glauben, sie hätten ihre eigenen Aufgaben erfüllt, wenn sie einen Compliance-Beauftragten benennen oder externe Berater beauftragen. Das reicht aber ganz klar nicht. All dies ersetzt weder Überwachung noch Steuerung oder Leitungsverantwortung.
Berater können unterstützen. Software kann Informationen liefern. Beauftragte können operative Aufgaben übernehmen. Die Geschäftsleitung bleibt jedoch selbst dafür verantwortlich, dass daraus ein funktionierendes Gesamtsystem entsteht. Sie muss ggf. erklären, warum sie davon ausgehen durfte, dass Compliance-Maßnahmen tatsächlich wirksam sind.
Wenn diese Frage nicht beantwortet werden kann, liegt häufig kein Steuerungssystem vor, sondern lediglich eine Ansammlung unkoordinierter und vor allem unkontrollierter Maßnahmen.
Nicht jeder Verstoß ist ein Aufsichtsversagen
§ 130 OWiG macht Geschäftsleitungen nicht für jeden Fehler eines Mitarbeiters verantwortlich. Auch in optimal geführten Organisationen kann es zu Verstößen kommen. Entscheidend ist in diesen Fällen, ob die Geschäftsleitung ihre Führungsaufgabe wahrgenommen hat.
Behörden werden regelmäßig prüfen:
- War das Risiko bekannt oder erkennbar?
- Gab es angemessene Maßnahmen?
- Wurden Kontrollen durchgeführt?
- Wurden Warnhinweise ernst genommen?
- Wurde auf erkennbare Defizite reagiert?
Im Mittelpunkt steht also nie der einzelne Verstoß. Der kann und wird ggf. nur den Anlass für die eigentlich zentrale Frage liefern, ob Compliance wirksam gesteuert wurde.
Es wird künftig noch riskanter
Ein aktueller Regierungsentwurf zur Änderung des Ordnungswidrigkeitengesetzes verändert zwar § 130 OWiG nicht unmittelbar. Aber die vorgesehenen massiv erhöhten Geldbußen nach § 30 OWiG steigern den Druck, Compliance-Systeme tatsächlich wirksam auszugestalten. Denn angesichts der in Zukunft deutlich verschärften Bußgelder gegen die Organisation (20 Mio. Euro bei Fahrlässigkeit, 40 Mio. Euro bei Vorsatz) gewinnt natürlich auch die Frage wesentlich an Bedeutung, ob die Geschäftsleitung nachweisen kann, dass Compliance-Risiken systematisch gesteuert und überwacht wurden.
Genau dort wird künftig noch genauer hingesehen werden.
Fazit
Wer § 130 OWiG übersieht oder auf eine nur theoretische Haftung reduziert, verkennt den eigentlichen Regelungsgehalt. Die Vorschrift verpflichtet Geschäftsleitungen dazu, Compliance als Führungsaufgabe wahrzunehmen und sich ggf. benötigte Unterstützung zu holen.
Im Ernstfall wird nicht gefragt, welche Software vorhanden war oder welcher Berater beauftragt wurde. Gefragt wird, ob die Geschäftsleitung eine nachvollziehbare Strategie hatte, Compliance aktiv gesteuert hat und begründet davon ausgehen durfte, dass das System funktioniert.
