Mittelständische Unternehmen unterliegen denselben Vorschriften wie Konzerne, haben aber keine eigene Rechtsabteilung dafür. Wir bauen ein Compliance Management auf, das zum Betrieb passt und im Prüfungsfall trägt.
Compliance heißt, dass ein Unternehmen die Regeln einhält, die für es gelten, und dass es das auch belegen kann. Der zweite Teil ist der schwierige. Wer im Streitfall nicht zeigen kann, welche Regel er wann geprüft hat, steht so da, als hätte er nichts getan.
Im Mittelstand scheitert das selten am Willen. Es scheitert daran, dass niemand zuständig ist. Die Geschäftsführung haftet, die Personalabteilung hat den Alltag, und die neuen Vorschriften kommen schneller, als sich jemand einlesen kann.
Wir setzen deshalb nicht bei einem Handbuch an, sondern bei der Frage, welche Vorschriften diesen Betrieb tatsächlich treffen. Das sind meist weniger als befürchtet, aber selten die, die man erwartet.
Jede dieser Vorschriften gilt unabhängig davon, ob ein mittelständisches Unternehmen sie kennt. Die Fundstelle steht jeweils dabei.
Wer in der Regel mindestens 50 Beschäftigte hat, muss eine interne Meldestelle einrichten und betreiben. Der Eingang einer Meldung ist binnen sieben Tagen zu bestätigen, die Rückmeldung folgt innerhalb von drei Monaten.
§ 12 Abs. 2, § 17, § 40 HinSchGWer KI-Systeme betreibt, muss nach besten Kräften dafür sorgen, dass die damit befassten Personen über ausreichende KI-Kompetenz verfügen. Die Pflicht gilt seit dem 2. Februar 2025 und betrifft auch den Betrieb zugekaufter Werkzeuge.
Art. 4 KI-Verordnung (EU) 2024/1689Der Arbeitgeber muss die Gefährdungen am Arbeitsplatz beurteilen, ausdrücklich auch die psychischen Belastungen bei der Arbeit, und das Ergebnis dokumentieren. Eine Beschäftigtenzahl als Untergrenze kennt das Gesetz nicht.
§ 5 Abs. 3 Nr. 6, § 6 ArbSchG
Ein Compliance Management für den Mittelstand braucht drei Dinge: eine Bestandsaufnahme, festgelegte Zuständigkeiten und einen Nachweis, dass beides gelebt wird.
Wenn niemand im Haus die Zeit hat, den Überblick zu behalten, oder wenn die interne Meldestelle mit eigenen Leuten nicht vertraulich zu besetzen ist. In kleinen Betrieben kennt jeder jeden, und genau das steht der Vertraulichkeit im Weg.
Üblicherweise werden Vorbeugen, Erkennen und Reagieren genannt. Vorbeugen heißt Regeln und Schulung, Erkennen heißt Kontrolle und Meldewege, Reagieren heißt Aufklärung und Abstellen des Verstoßes. Diese Einteilung stammt aus der Praxis, nicht aus dem Gesetz.
Arbeitsschutz und Gefährdungsbeurteilung, Datenschutz, Hinweisgeberschutz, Arbeitszeiterfassung, Vergabe und Einkauf, Geldwäsche in bestimmten Branchen und seit 2025 der Umgang mit KI-Systemen.
Nach unserer Erfahrung nicht die spektakulären. Es fehlt die Dokumentation zu einer Prüfung, die tatsächlich stattgefunden hat, oder eine Zuständigkeit ist mit einer Person ausgeschieden und nie neu besetzt worden.
Der Aufwand ist real, der Bußgeldrahmen aber ebenfalls. Wer keine interne Meldestelle einrichtet, obwohl er muss, riskiert bis zu 20.000 Euro nach § 40 HinSchG. Teurer als das Bußgeld ist meist die Zeit, die ein ungeordneter Betrieb im Prüfungsfall verliert.
Sobald eine Pflicht greift, für die intern niemand zuständig ist – und spätestens, wenn eine Behörde nachfragt.
