Mittelständische Unternehmen unterliegen denselben Vorschriften wie Konzerne, haben aber keine eigene Rechtsabteilung dafür. Wir bauen ein Compliance Management auf, das zum Betrieb passt und im Prüfungsfall trägt.
Rechtsstand 3. September 2026 · Bußgeldrahmen am Gesetzestext geprüft
Ein Compliance-Management-System in bestimmter Form schreibt kein Gesetz vor. Vorgeschrieben ist die Aufsicht: Wer einen Betrieb führt, muss die Maßnahmen treffen, die Zuwiderhandlungen im Betrieb verhindern (§ 130 Abs. 1 OWiG). Unterbleibt das, sind bis zu einer Million Euro möglich, gegen das Unternehmen selbst bis zu zehn Millionen (§ 30 Abs. 2 OWiG). Für den Mittelstand heißt das praktisch: eine Liste der geltenden Pflichten, je eine benannte Zuständigkeit, nachweisbare Kontrollen und ein Meldeweg. Stand: 3. September 2026.
Compliance heißt, dass ein Unternehmen die Regeln einhält, die für es gelten, und dass es das auch belegen kann. Der zweite Teil ist der schwierige. Wer im Streitfall nicht zeigen kann, welche Regel er wann geprüft hat, steht so da, als hätte er nichts getan.
Im Mittelstand scheitert das selten am Willen. Es scheitert daran, dass niemand zuständig ist. Die Geschäftsführung haftet, die Personalabteilung hat den Alltag, und die neuen Vorschriften kommen schneller, als sich jemand einlesen kann.
Wir setzen deshalb nicht bei einem Handbuch an, sondern bei der Frage, welche Vorschriften diesen Betrieb tatsächlich treffen. Das sind meist weniger als befürchtet, aber selten die, die man erwartet.
Jede dieser Vorschriften gilt unabhängig davon, ob ein mittelständisches Unternehmen sie kennt. Die Fundstelle steht jeweils dabei.
Wer in der Regel mindestens 50 Beschäftigte hat, muss eine interne Meldestelle einrichten und betreiben. Der Eingang einer Meldung ist binnen sieben Tagen zu bestätigen, die Rückmeldung folgt innerhalb von drei Monaten.
§ 12 Abs. 2, § 17, § 40 HinSchGWer KI-Systeme betreibt, muss nach besten Kräften dafür sorgen, dass die damit befassten Personen über ausreichende KI-Kompetenz verfügen. Die Pflicht gilt seit dem 2. Februar 2025 und betrifft auch den Betrieb zugekaufter Werkzeuge.
Art. 4 KI-Verordnung (EU) 2024/1689Der Arbeitgeber muss die Gefährdungen am Arbeitsplatz beurteilen, ausdrücklich auch die psychischen Belastungen bei der Arbeit, und das Ergebnis dokumentieren. Eine Beschäftigtenzahl als Untergrenze kennt das Gesetz nicht.
§ 5 Abs. 3 Nr. 6, § 6 ArbSchGEin Compliance Management System schreibt kein Gesetz vor. Was das Gesetz vorschreibt, ist die Aufsicht: Wer einen Betrieb führt, muss die Maßnahmen treffen, die nötig sind, um Zuwiderhandlungen im Betrieb zu verhindern (§ 130 Abs. 1 OWiG). Die drei Säulen sind die praktische Antwort darauf, und sie funktionieren auch in einem Betrieb mit sechzig Beschäftigten.
Die Pflichten, die für diesen Betrieb tatsächlich gelten, werden aufgeschrieben, jede bekommt eine benannte Zuständigkeit und einen Termin. Dazu die Unterweisung der Beschäftigten, die dafür etwas tun müssen. Ohne diesen Schritt sind die beiden anderen Säulen ohne Fundament.
§ 130 Abs. 1 OWiGKontrollen, die stattfinden und festgehalten werden, und ein Meldeweg, den die Beschäftigten kennen. Ab 50 Beschäftigten ist die interne Meldestelle ohnehin Pflicht; darunter ersetzt eine benannte Ansprechperson sie im Betriebsalltag.
§ 12 Abs. 2 HinSchGEin Verstoß wird aufgeklärt, abgestellt und die Ursache beseitigt, damit er sich nicht wiederholt. Wichtig ist, dass dieser Ablauf vorher feststeht. Im Ernstfall entscheidet niemand gern zum ersten Mal, wer informiert wird und wer die Aufklärung führt.
§ 3 Abs. 1 ArbSchG für den ArbeitsschutzteilDie Frage nach dem Aufwand lässt sich nur beantworten, wenn die andere Seite mit auf dem Tisch liegt. Die Bußgeldrahmen stehen im Gesetz, sie sind keine Schätzung.
Im Prüfungsfall kostet nicht das Bußgeld die meiste Zeit, sondern die Suche nach Unterlagen zu Vorgängen, die stattgefunden haben und nie festgehalten wurden. Wer ordentlich dokumentiert, beantwortet eine Behördenanfrage an einem Vormittag.
Im Mittelstand ist die Frage selten, wie viel ein Compliance-Beauftragter verdient, sondern ob es diese Stelle überhaupt braucht. In einem Betrieb mit 50 bis 250 Beschäftigten reicht in aller Regel eine benannte Zuständigkeit in der Geschäftsführung oder der Personalleitung, die von außen begleitet wird.
Was extern besser aufgehoben ist: der Überblick, welche Vorschrift neu dazugekommen ist, die Erstaufnahme, die Vorlagen und die Schulung. Was intern bleiben muss: die Entscheidung, die Zuständigkeit und die Kenntnis des eigenen Betriebs. Eine externe Begleitung, die diese drei Dinge übernehmen will, löst das Problem nicht, sondern verschiebt es.
Wer eine eigene Stelle schafft, sollte sie nicht mit dem Datenschutz zusammenlegen, ohne die Interessenkonflikte vorher zu klären. Auch das ist eine Erfahrung aus Prüfungen und keine Rechtsauskunft.
Ein Compliance Management für den Mittelstand braucht drei Dinge: eine Bestandsaufnahme, festgelegte Zuständigkeiten und einen Nachweis, dass beides gelebt wird.
Wenn niemand im Haus die Zeit hat, den Überblick zu behalten, oder wenn die interne Meldestelle mit eigenen Leuten nicht vertraulich zu besetzen ist. In kleinen Betrieben kennt jeder jeden, und genau das steht der Vertraulichkeit im Weg.
Üblicherweise werden Vorbeugen, Erkennen und Reagieren genannt. Vorbeugen heißt Regeln und Schulung, Erkennen heißt Kontrolle und Meldewege, Reagieren heißt Aufklärung und Abstellen des Verstoßes. Diese Einteilung stammt aus der Praxis, nicht aus dem Gesetz.
Arbeitsschutz und Gefährdungsbeurteilung, Datenschutz, Hinweisgeberschutz, Arbeitszeiterfassung, Vergabe und Einkauf, Geldwäsche in bestimmten Branchen und seit 2025 der Umgang mit KI-Systemen.
Nicht die spektakulären. Was im Mittelstand tatsächlich auffällt, sind drei Muster: Eine Prüfung hat stattgefunden, ist aber nicht dokumentiert, und gilt damit im Streitfall als nicht erfolgt, denn § 6 ArbSchG verlangt die Unterlagen ausdrücklich. Eine Zuständigkeit ist mit einer Person ausgeschieden und nie neu besetzt worden, womit die Aufsichtsmaßnahme nach § 130 Abs. 1 OWiG entfällt. Und die interne Meldestelle ist eingerichtet, aber die Frist von sieben Tagen für die Eingangsbestätigung wird nicht eingehalten (§ 17 Abs. 1 Nr. 1 HinSchG).
Der Aufwand ist real, der Bußgeldrahmen aber ebenfalls. Wer keine interne Meldestelle einrichtet, obwohl er muss, riskiert bis zu 20.000 Euro nach § 40 HinSchG. Teurer als das Bußgeld ist meist die Zeit, die ein ungeordneter Betrieb im Prüfungsfall verliert.
Die Verletzung der Aufsichtspflicht kann mit bis zu einer Million Euro geahndet werden, wenn die verhinderte Pflichtverletzung mit Strafe bedroht ist (§ 130 Abs. 3 OWiG). Gegen das Unternehmen selbst sind bis zu zehn Millionen Euro bei einer vorsätzlichen und bis zu fünf Millionen bei einer fahrlässigen Straftat möglich (§ 30 Abs. 2 OWiG). Die Rahmen aus dem Hinweisgeberschutzgesetz und dem Arbeitsschutzgesetz liegen darunter, treffen den Mittelstand aber häufiger.
Ein System in einer bestimmten Form schreibt kein Gesetz vor. Vorgeschrieben ist die Aufsicht nach § 130 Abs. 1 OWiG, also die Maßnahmen, die Zuwiderhandlungen im Betrieb verhindern. Für einen mittelständischen Betrieb heißt das in der Praxis: eine Liste der geltenden Pflichten, je eine benannte Zuständigkeit, nachweisbare Kontrollen und ein Meldeweg. Das ist weniger als ein zertifiziertes System und mehr als nichts.
Eine belastbare Zahl nennen wir hier nicht, weil sie von Branche, Betriebsgröße und Aufgabenzuschnitt abhängt und wir keine eigene Erhebung dazu haben. Für den Mittelstand ist ohnehin meist die andere Frage entscheidend: Zwischen 50 und 250 Beschäftigten reicht in der Regel eine benannte Zuständigkeit in der Geschäftsführung oder Personalleitung, die von außen begleitet wird. Eine eigene Vollzeitstelle rechnet sich erst, wenn mehrere regulierte Themen gleichzeitig laufen.
Sobald eine Pflicht greift, für die intern niemand zuständig ist – und spätestens, wenn eine Behörde nachfragt.
Rechtsstand: 3. September 2026. Quellen: § 30 OWiG, § 130 OWiG, § 12 HinSchG, § 40 HinSchG, § 5 ArbSchG, § 25 ArbSchG, Art. 4 KI-Verordnung (EU) 2024/1689. Diese Seite ersetzt keine Rechtsberatung im Einzelfall.
Rainer Orthober, Geschäftsführer der Horos Consulting und Vermittlung GmbH in Erftstadt bei Köln. Ungebundener Versicherungsvermittler mit Erlaubnis nach § 34d Abs. 1 GewO, eingetragen im Vermittlerregister der IHK unter D-1IWD-T9TFT-54, Handelsregister Amtsgericht Köln HRB 79258. Diese Seite gibt den Rechtsstand vom 3. September 2026 wieder und ersetzt keine Beratung im Einzelfall.
