Die wichtigsten Compliance-Vorgaben für KMU

Compliance klingt nach Konzernjuristen und Aktenordnern. Tatsächlich treffen die meisten Vorgaben auch Unternehmen mit zehn bis hundert Mitarbeitern – nur eben nicht alle. Dieser Artikel sortiert, welche Pflichten fast jeden Mittelständler betreffen, welche nur bestimmte Branchen oder Größen und welche Sie getrost streichen können. Dazu erfahren Sie, wie Sie die Prüfung konkret angehen und woran Sie merken, dass Ihre Umsetzung schiefläuft.

Was hinter dem Begriff steckt

Es gibt nicht das eine Compliance-Gesetz. Der Begriff bündelt Gesetze, behördliche Verwaltungsgrundsätze und vertragliche Anforderungen von Kunden. Ob eine Vorgabe für Sie gilt, hängt von drei Faktoren ab: der Unternehmensgröße, der Branche und der Kundenstruktur. Genau deshalb helfen allgemeine Checklisten aus dem Internet nur bedingt – Sie brauchen eine eigene Bestandsaufnahme.

Datenschutz nach DSGVO: die Vorgabe, die fast jeden trifft

Die Datenschutz-Grundverordnung gilt, sobald Sie personenbezogene Daten verarbeiten: Kundenadressen, Mitarbeiterdaten, Bewerbungen, Newsletter-Verteiler. Damit ist praktisch jedes Unternehmen erfasst. Konkret müssen Sie vorweisen können:

• ein Verzeichnis der Verarbeitungstätigkeiten: welche Daten Sie wofür verarbeiten, wo sie liegen und wer Zugriff hat,
• Auftragsverarbeitungsverträge mit jedem externen Dienstleister, der personenbezogene Daten für Sie verarbeitet, etwa für Lohnabrechnung, Cloud-Speicher oder Newsletter-Versand,
• technische und organisatorische Maßnahmen wie Berechtigungskonzept, Verschlüsselung, Backups und Zugangsregeln,
• ein Löschkonzept, denn Daten dürfen nicht auf Vorrat aufbewahrt werden,
• einen internen Ablauf für Datenpannen, damit ein Vorfall erkannt, bewertet und bei Risiko für Betroffene an die Aufsichtsbehörde gemeldet wird.

Einen Datenschutzbeauftragten müssen Sie benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Das kann eine interne Person mit ausreichender Fachkunde sein oder ein externer Beauftragter. Geschäftsführer und IT-Leiter scheiden intern meist aus, weil sie sich faktisch selbst kontrollieren müssten.

Verantwortlich bleibt in jedem Fall die Geschäftsführung: Sie kann Aufgaben delegieren, nicht aber die Verantwortung. Woran Sie merken, dass es schiefläuft? Es gibt kein Verarbeitungsverzeichnis, Verträge fehlen, und niemand im Team wüsste, was im Fall einer Datenpanne zu tun ist.

GoBD: ordentliche digitale Buchführung ist Pflicht

Die GoBD, die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung elektronischer Bücher und Unterlagen, gelten für jedes Unternehmen, das steuerrelevante Unterlagen digital führt – also wieder für fast jedes. Der Kern: Elektronische Belege und Bücher müssen vollständig, nachvollziehbar und unveränderbar archiviert werden, und zwar über die gesetzlich vorgeschriebenen Aufbewahrungsfristen hinweg. Dazu gehört eine Verfahrensdokumentation, die beschreibt, wie ein Beleg vom Eingang über die Buchung bis ins Archiv wandert.

Prüfen Sie zuerst drei Stellen: Wo landen per E-Mail eingehende Rechnungen – im Postfach oder in einer revisionssicheren Ablage? Gibt es eine schriftliche Doku, wer scannt, bucht und archiviert? Und was passiert mit den Daten, wenn Sie die Buchhaltungssoftware wechseln? Warnsignale sind Belege, die nur in E-Mail-Postfächern liegen, nachträglich veränderte Rechnungen und ein Archiv, das niemand im Haus erklären kann.

NIS2: Wenn die Branche über die Pflicht entscheidet

Die europäische NIS2-Richtlinie und ihre deutsche Umsetzung dehnen verbindliche Anforderungen an die Cybersicherheit auf eine lange Branchenliste aus – unter anderem Energie, Verkehr, Gesundheit und digitale Dienste, aber auch Teile des verarbeitenden Gewerbes, Lebensmittel, Chemie und Entsorgung. Erfasst sind grundsätzlich mittlere und größere Unternehmen in diesen Branchen; in Sonderfällen können auch kleinere dazugehören.

Wer darunter fällt, muss Maßnahmen für das IT-Risikomanagement umsetzen, Sicherheitsvorfälle an das Bundesamt für Sicherheit in der Informationstechnik melden und sich registrieren. Die Geschäftsführung muss die Maßnahmen billigen und haftet bei groben Versäumnissen persönlich.

Ihr erster Schritt ist keine Technik, sondern eine Prüfung: Steht Ihre Branche auf der Liste, und erreichen Sie die Größenschwellen? Branchenverband, IHK oder ein Berater klären das in einem kurzen Termin. Für viele Unternehmen zwischen zehn und hundert Mitarbeitern lautet das Ergebnis: nicht betroffen. Aber betroffene Kunden geben Anforderungen an ihre Lieferanten weiter – dann müssen Sie womöglich Sicherheitsnachweise liefern, obwohl Sie selbst nicht unter das Gesetz fallen.

Hinweisgeberschutz: Meldekanal ab 50 Beschäftigten

Das Hinweisgeberschutzgesetz verpflichtet Unternehmen mit in der Regel mindestens 50 Beschäftigten, eine interne Meldestelle einzurichten. Dort müssen Mitarbeitende Verstöße vertraulich melden können. Gefordert sind Vertraulichkeit, eine Eingangsbestätigung, die Bearbeitung innerhalb gesetzlich festgelegter Fristen und eine Dokumentation der Vorgänge.

Umsetzen lässt sich das über spezialisierte Software, einen externen Ombudsmann oder eine interne Vertrauensperson. Für ein Unternehmen knapp oberhalb der Schwelle reicht eine schlanke Lösung – entscheidend sind Vertraulichkeit und ein dokumentierter Prozess, nicht die Technik.

Unterhalb der Schwelle ist der Meldekanal freiwillig. In einem Zwölf-Personen-Betrieb mit offener Gesprächskultur lohnt sich eine formale Plattform nicht; sie kostet Geld und erzeugt Misstrauen, wo ein offenes Gespräch mehr brächte. Anders sieht es aus, wenn Kunden oder Geldgeber einen Nachweis verlangen.

Was meist nicht gilt – aber trotzdem an Sie herangetragen wird

Das Lieferkettensorgfaltspflichtengesetz gilt nur für große Unternehmen ab einer vierstelligen Beschäftigtenzahl. Die strengeren Regeln für Betreiber kritischer Infrastrukturen treffen nur KRITIS-Unternehmen, das Geldwäschegesetz nur bestimmte Branchen wie Immobilien, Finanzen oder den Handel mit größeren Barzahlungen. Für den typischen Mittelständler entstehen daraus keine eigenen Pflichten.

Trotzdem kommen diese Themen indirekt auf Sie zu, weil große Kunden Fragebögen an ihre Lieferkette verschicken. Bewährt hat sich, die Standardantworten einmal zentral zu hinterlegen – Verhaltenskodex, grundlegende Unternehmensdaten, Sicherheitsmaßnahmen – statt jeden Fragebogen von Neuem zu beantworten.

Ähnlich verhält es sich mit Zertifizierungen wie ISO 27001 oder TISAX in der Automobilzulieferkette. Das sind keine Gesetze, sondern Marktanforderungen. Eine Zertifizierung lohnt sich, wenn Kunden sie verlangen oder Ausschreibungen sie voraussetzen. Ohne diesen externen Druck ist das Zertifikat teures Papier; dann reichen dokumentierte Grundmaßnahmen, die Sie tatsächlich leben.

So prüfen Sie systematisch, was für Sie gilt

Beginnen Sie mit einer Bestandsaufnahme anhand von drei Fragen: Wie viele Mitarbeiter haben Sie? In welcher Branche arbeiten Sie? Wer sind Ihre Kunden – Konzerne, öffentliche Auftraggeber, Endverbraucher? Ergänzen Sie, welche Daten Sie verarbeiten und welche Software Sie einsetzen. Aus den Antworten ergibt sich fast von selbst, welche Vorgaben auf Ihre Liste gehören.

Legen Sie danach die Verantwortung fest. Die Geschäftsführung bleibt rechenschaftspflichtig, braucht aber eine operative Rolle daneben – das kann das Qualitätsmanagement sein, die IT-Leitung oder externe Unterstützung. Compliance ist Chefsache, aber kein Job für nebenbei. Schließen Sie die Lücken nach Risiko: zuerst, was Bußgelder und persönliche Haftung betrifft, also Datenschutz und steuerliche Aufzeichnungen, dann Kundenanforderungen, dann Freiwilliges.

Wenn Sie einen Berater hinzuziehen, stellen Sie vier Fragen: Kennen Sie unsere Branche und die typischen Prüfungssituationen, etwa Steuerprüfung oder Kundenaudit? Was liefern Sie konkret – Dokumente, Schulungen, Prozesse – oder nur ein Zertifikat für die Wand? Wie wird das Ergebnis aktuell gehalten, denn Compliance veraltet? Und wer haftet, wenn etwas schiefgeht? Vorsicht ist geboten bei Angstmarketing mit horrenden Bußgelddrohungen, bei Pauschalpaketen ohne Analyse Ihrer Situation und bei Anbietern, die keine Dokumentation übergeben.

Woran Sie merken, dass Ihre Umsetzung schiefläuft

Es gibt ein paar zuverlässige Indikatoren: Richtlinien existieren nur als PDF, und niemand im Team kennt ihren Inhalt. Niemand fühlt sich zuständig, weil „das doch die IT macht“. Verstöße werden zufällig entdeckt statt durch Kontrollen. Vor jeder Steuerprüfung oder jedem Kundenaudit beginnt die gleiche hektische Suche nach Unterlagen. Und neue Software wird eingeführt, ohne dass jemand Datenschutz oder Archivierung mitdenkt.

Wer diese Punkte bei sich erkennt, muss nicht alles auf einmal lösen. Beginnen Sie mit den beiden Grundlagen, die fast jeden betreffen: Datenschutz und ordentliche digitale Buchführung. Prüfen Sie dann Branchen- und Größenschwellen für NIS2 und Hinweisgeberschutz und zuletzt die Anforderungen Ihrer Kunden. Compliance ist kein einmaliges Projekt, sondern ein gepflegter Zustand – aber einer, der für ein mittelständisches Unternehmen gut zu bewältigen ist, wenn die Reihenfolge stimmt.

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.