, , , ,

OWiG Reform: Was Unternehmen jetzt über Sanktionen und Compliance wissen müssen

Die geplante Reform des Ordnungswidrigkeitengesetzes (OWiG) könnte das Sanktionsrisiko für Unternehmen deutlich erhöhen. Besonders relevant sind höhere Verbandsgeldbußen und neue Kriterien für deren Bemessung. Für Compliance-Verantwortliche ist dabei entscheidend: Die Qualität der unternehmensinternen Präventions- und Aufdeckungsmaßnahmen soll ausdrücklich berücksichtigt werden.

Stand: 17. August 2026 | Hinweis: Der Gesetzentwurf wurde am 11. Juni 2026 erstmals im Bundestag beraten und anschließend an die Ausschüsse überwiesen. Das Gesetzgebungsverfahren ist noch nicht abgeschlossen. Die nachfolgenden Änderungen beziehen sich auf den Regierungsentwurf (BT-Drs. 21/6133).

Das Wichtigste zum OWiG auf einen Blick

Der Regierungsentwurf zur Umsetzung der europäischen Umweltstrafrechtsrichtlinie sieht unter anderem Änderungen des § 30 OWiG vor. Diese wären allerdings nicht auf Umweltverstöße beschränkt.

Vorgesehen ist insbesondere:

  • Das Höchstmaß der Verbandsgeldbuße soll bei einer vorsätzlichen Straftat von 10 Mio. auf 40 Mio. Euro steigen.
  • Bei einer fahrlässigen Straftat soll es von 5 Mio. auf 20 Mio. Euro steigen.
  • Für die Bemessung der Geldbuße sollen gesetzlich konkretere Kriterien festgelegt werden.
  • Dabei sollen ausdrücklich auch Vorkehrungen zur Vermeidung und Aufdeckung von Straftaten und Ordnungswidrigkeiten berücksichtigt werden.
  • Der Bundesrat hat darüber hinaus vorgeschlagen, wesentliche Elemente geeigneter Compliance-Maßnahmen stärker in § 130 OWiG zu verankern.

Für Unternehmen ist deshalb weniger die Zahl „40 Millionen“ die entscheidende Nachricht als die dahinterstehende Entwicklung: Die Qualität der Unternehmensorganisation und des Compliance-Systems soll für die Sanktionierung stärker ins Gewicht fallen.

Was sich beim § 30 OWiG ändern soll

30 OWiG ermöglicht bereits heute eine Geldbuße gegen eine juristische Person oder Personenvereinigung, wenn eine Leitungsperson eine Straftat oder Ordnungswidrigkeit begeht und dadurch Unternehmenspflichten verletzt werden oder das Unternehmen bereichert wurde beziehungsweise werden sollte. Nach geltendem Recht liegt das Höchstmaß bei einer vorsätzlichen Straftat grundsätzlich bei 10 Mio. Euro, bei einer fahrlässigen Straftat bei 5 Mio. Euro.

Der Regierungsentwurf sieht eine Vervierfachung dieser beiden Beträge vor:

Anknüpfungstat Heute Regierungsentwurf
vorsätzliche Straftat 10 Mio. € 40 Mio. €
fahrlässige Straftat 5 Mio. € 20 Mio. €

Dabei handelt es sich um das vorgesehene gesetzliche Höchstmaß nach § 30 Absatz 2 Satz 1 OWiG-E, nicht um ein regelmäßig festzusetzendes Bußgeld. Die konkrete Sanktion muss weiterhin anhand der Umstände des jeweiligen Falles bestimmt werden. Genau hier setzt eine weitere geplante Änderung an.

Compliance wird ausdrücklich zum Bemessungsfaktor

Der Regierungsentwurf sieht eine Neufassung des § 30 Abs. 2a OWiG vor. Danach sollen unter anderem die Bedeutung der Tat, der gegen das Unternehmen gerichtete Vorwurf und dessen wirtschaftliche Verhältnisse berücksichtigt werden.

Besonders relevant für Compliance ist ein weiteres Kriterium: Bei der Bemessung sollen auch die Vorkehrungen des Unternehmens zur Vermeidung und Aufdeckung von Straftaten und Ordnungswidrigkeiten eine Rolle spielen. Damit wird eine für die Compliance-Praxis zentrale Frage ausdrücklich mit der Sanktionshöhe verknüpft:

Wie gut hat sich das Unternehmen organisatorisch gegen Rechtsverstöße aufgestellt?

Das bedeutet nicht, dass ein Unternehmen jeden Verstoß verhindern muss. Ein wirksames Compliance-System ist keine Garantie dafür, dass einzelne Mitarbeiter niemals gegen Regeln verstoßen.

Entscheidend ist vielmehr, ob das Unternehmen:

  • seine wesentlichen Risiken kennt,
  • angemessene Präventionsmaßnahmen eingerichtet hat,
  • Verantwortlichkeiten klar geregelt hat,
  • Kontrollen tatsächlich durchführt,
  • Hinweise und Verdachtsfälle ernst nimmt,
  • Verstöße untersucht und
  • erkannte Schwachstellen anschließend beseitigt.

Für Compliance-Verantwortliche verschiebt sich damit der Schwerpunkt von der Existenz eines CMS zur nachweisbaren Wirksamkeit des CMS.

Was Unternehmen jetzt konkret prüfen sollten

Die Reform ist noch nicht abgeschlossen. Die folgenden Prüffelder sind praktische Ableitungen aus den allgemein formulierten Bemessungskriterien; sie werden im Regierungsentwurf nicht als verbindlicher Maßnahmenkatalog vorgeschrieben. Sie bieten aber einen guten Anlass, die bestehende Compliance-Organisation einem Belastbarkeitstest zu unterziehen.

  1. Risikoanalyse

Welche Rechtsverstöße sind für unser konkretes Geschäftsmodell besonders relevant? Eine belastbare Risikoanalyse sollte nicht nur Rechtsgebiete aufzählen, sondern tatsächliche Geschäftsprozesse berücksichtigen – etwa Vertrieb, Einkauf, Drittparteien, Genehmigungen, Produktion, Export, Finanzen oder Umweltmanagement. Entscheidend ist außerdem, dass die Analyse aktuell gehalten wird.

  1. Verantwortlichkeiten

Für wesentliche Compliance-Risiken sollte eindeutig feststehen:

  • Wer trägt die operative Verantwortung?
  • Wer kontrolliert?
  • Wer berichtet an die Geschäftsleitung?
  • Wer entscheidet bei Verstößen oder Eskalationen?

Gerade an Schnittstellen zwischen Fachbereich, Compliance, Legal, Internal Audit und Geschäftsleitung entstehen häufig organisatorische Lücken.

  1. Kontrollen

Unternehmen sollten ihre wesentlichen Compliance-Kontrollen erfassen und nicht nur deren Existenz dokumentieren. Für eine relevante Kontrolle sollte nachvollziehbar sein: Was wird kontrolliert? Wer kontrolliert? Wie häufig? Mit welchem Ergebnis? Was passiert bei einer Abweichung? Damit lässt sich im Ernstfall wesentlich besser zeigen, dass Compliance nicht nur auf dem Papier existiert.

  1. Schulungen

Eine hohe Schulungsquote ist nicht automatisch ein Zeichen guter Compliance. Die entscheidende Frage lautet: Passt die Schulung zum konkreten Risiko und zur Tätigkeit des Mitarbeiters?

Ein Mitarbeiter im Vertrieb benötigt beispielsweise andere Compliance-Inhalte als ein Mitarbeiter im Einkauf oder in der Produktion. Risikoorientierung ist wichtiger als möglichst viele Schulungsstunden.

  1. Hinweisgebersystem

Ein Hinweisgebersystem sollte nicht nur technisch vorhanden sein. Unternehmen sollten prüfen:

  • Ist es bekannt und leicht erreichbar?
  • Sind Vertraulichkeit und Schutz der Hinweisgeber gewährleistet?
  • Wer bearbeitet Meldungen?
  • Wie werden Interessenkonflikte vermieden?
  • Wie wird entschieden, ob eine Untersuchung eingeleitet wird?
  • Wie werden Ergebnisse und Folgemaßnahmen dokumentiert?

Ein funktionierender Prozess zur Aufdeckung und Untersuchung von Verstößen ist ein wesentlicher Bestandteil einer belastbaren Compliance-Organisation.

§30 OWiG: Aufsicht bleibt ein Schlüsselthema

Neben § 30 OWiG ist § 130 OWiG für Unternehmen besonders relevant. Die Vorschrift betrifft die Verletzung der Aufsichtspflicht in Betrieben und Unternehmen. Nach geltendem Recht müssen die erforderlichen Aufsichtsmaßnahmen getroffen werden, um bestimmte Pflichtverletzungen zu verhindern oder wesentlich zu erschweren.

Der Bundesrat hat im aktuellen Gesetzgebungsverfahren vorgeschlagen, § 130 OWiG stärker zu konkretisieren. Genannt werden unter anderem:

  • sorgfältige Auswahl, Unterweisung und Überwachung von Mitarbeitern,
  • regelmäßige Ermittlung und Bewertung von Compliance-Risiken,
  • Richtlinien und Schulungen,
  • ein vertrauliches Hinweisgebersystem,
  • die Aufklärung von Verdachtsfällen und der Umgang mit Fehlverhalten.

Die Bundesregierung hat den Vorschlag ausdrücklich abgelehnt (BT-Drs. 21/6668, S. 24). Nach ihrer Auffassung hängen die erforderlichen Maßnahmen vom jeweiligen Einzelfall ab, insbesondere von Branche, Größe, Struktur und Risikoprofil des Unternehmens. Zudem bezweifelt sie, dass § 130 OWiG als Bußgeldvorschrift der richtige Ort für allgemeine Anforderungen an die Unternehmens-Compliance ist.

Die vom Bundesrat vorgeschlagenen Konkretisierungen sind damit zwar weder geltendes Recht noch Bestandteil des Regierungsentwurfs. Gleichwohl benennen sie zentrale Bereiche der Unternehmensorganisation, die für die Vermeidung und Aufdeckung von Rechtsverstößen praktisch relevant sein können. Für Unternehmen kann es sich daher lohnen, diese Bereiche risikoorientiert zu überprüfen – nicht als verbindlichen gesetzlichen Maßnahmenkatalog, sondern als Orientierung für die Beurteilung der eigenen Compliance-Organisation.

Nach dem Verstoß ist vor der Korrektur

Ein Compliance-Vorfall sollte nicht mit der Feststellung des Fehlverhaltens enden. Unternehmen sollten vielmehr dokumentieren:

  1. Wie wurde der Verstoß entdeckt?
  2. Wie schnell wurde reagiert?
  3. Welche Sofortmaßnahmen wurden ergriffen?
  4. Wie wurde der Sachverhalt untersucht?
  5. Welche organisatorischen Ursachen wurden festgestellt?
  6. Welche Kontrolllücken bestanden?
  7. Welche Verbesserungsmaßnahmen wurden umgesetzt?
  8. Wurde später geprüft, ob diese Maßnahmen tatsächlich funktionieren?

Gerade der letzte Punkt wird häufig unterschätzt. Eine erfolgreiche Korrektur beseitigt nicht nur den konkreten Fehler. Sie soll verhindern, dass er sich wiederholt.

Der Regierungsentwurf sieht ausdrücklich vor, bestimmte Maßnahmen des Unternehmens bei der Bemessung der Verbandsgeldbuße zu berücksichtigen. Dazu können auch Reaktionen auf einen bereits eingetretenen Verstoß gehören.

Compliance Evidence: Nachweisbarkeit wird wichtiger

Unternehmen sollten nicht nur ein Compliance-System betreiben, sondern auch die wesentlichen Nachweise über dessen Funktionsweise strukturiert verfügbar halten.

Dazu können gehören:

  • aktuelle Risikoanalysen,
  • Verantwortungsmatrizen,
  • Schulungsnachweise,
  • Kontroll- und Monitoringberichte,
  • Auditfeststellungen,
  • Compliance-Berichte an die Geschäftsleitung,
  • Dokumentation von Hinweisen und Untersuchungen,
  • Remediation-Maßnahmen,
  • Follow-up-Prüfungen.

Dabei gilt: Dokumentation ersetzt keine wirksame Compliance. Sie kann aber entscheidend dafür sein, die Funktionsweise eines Systems später nachvollziehbar darzustellen. Die praktische Frage lautet daher: Könnte die Geschäftsleitung in zwei oder drei Jahren noch nachvollziehbar erklären, warum bestimmte Compliance-Maßnahmen eingeführt wurden, wie ihre Wirksamkeit überprüft wurde und was nach einem festgestellten Defizit geschah? Wenn die Antwort nein lautet, besteht zumindest Anlass für eine nähere Prüfung.

Was die Reform für den Mittelstand bedeutet

Die geplante Reform ist keineswegs nur ein Thema für internationale Konzerne. Auch mittelständische Unternehmen können erhebliche Compliance-Risiken haben – etwa durch internationale Lieferketten, Vertriebspartner, Umweltpflichten, Exportgeschäfte oder weitreichende Delegation von Verantwortung.

Ein System aber muss zum Unternehmen und seinen Risiken passen. Für viele mittelständische Unternehmen sind deshalb fünf Fragen besonders hilfreich:

  1. Welche drei bis fünf Compliance-Risiken sind für uns besonders relevant?
  2. Wer trägt dafür Verantwortung?
  3. Welche konkreten Kontrollen verhindern oder erkennen Verstöße?
  4. Was passiert bei einem Hinweis oder Verdacht?
  5. Wie weisen wir nach, dass unser System funktioniert?

Wer diese Fragen belastbar beantworten kann, hat bereits eine gute Grundlage.

Jetzt ist der richtige Zeitpunkt für den Compliance-Check

Die geplante OWiG-Reform unterstreicht eine Entwicklung, die für Unternehmen ohnehin immer wichtiger wird: Nicht nur das Fehlverhalten einzelner Personen zählt. Auch die Qualität der Unternehmensorganisation rückt in den Fokus.

Die wichtigste Frage lautet daher nicht: „Haben wir ein Compliance-Management-System?“, sondern: „Können wir nachweisen, dass unser Compliance-System für unsere Risiken geeignet ist und tatsächlich funktioniert?“

Genau diesen Test sollten Unternehmen jetzt durchführen – unabhängig davon, in welcher endgültigen Fassung die OWiG-Reform verabschiedet wird.

Der kompakte Compliance-Readiness-Check

  • Wesentliche Compliance-Risiken aktuell bewertet?
  • Verantwortlichkeiten und Aufsicht eindeutig geregelt?
  • Wesentliche Kontrollen identifiziert und auf Wirksamkeit geprüft?
  • Mitarbeiter risikoorientiert geschult?
  • Hinweisgebersystem praktisch funktionsfähig?
  • Prozess für interne Untersuchungen definiert?
  • Remediation nach Verstößen strukturiert?
  • Wirksamkeit von Verbesserungsmaßnahmen überprüft?
  • Compliance-Berichte an die Geschäftsleitung dokumentiert?
  • Nachweise über die Funktionsfähigkeit des CMS verfügbar?

Wer diese zehn Fragen belastbar beantworten kann, ist für die weitere Entwicklung des Unternehmenssanktionsrechts deutlich besser aufgestellt.

, ,

Warum Deutschland trotz PPWR ein neues Verpackungsgesetz bekommt

Mit dem 12. August 2026 beginnt die Anwendung der Verordnung (EU) 2025/40 über Verpackungen und Verpackungsabfälle (Packaging and Packaging Waste Regulation – PPWR). Zeitgleich tritt das Verpackungsrecht-Durchführungsgesetz (VerpackDG) in Kraft und löst das bisherige Verpackungsgesetz ab. Auf den ersten Blick wirkt das widersprüchlich.

EU-Verordnungen gelten unmittelbar in allen Mitgliedstaaten. Anders als Richtlinien müssen sie nicht erst in nationales Recht umgesetzt werden. Weshalb erlässt der deutsche Gesetzgeber also ausgerechnet zum Anwendungsbeginn der PPWR ein neues Verpackungsgesetz? Die Antwort liegt im Zusammenspiel von europäischem und nationalem Recht.

Die PPWR schafft den materiellen Rechtsrahmen

Mit der PPWR verfolgt der europäische Gesetzgeber das Ziel, das Verpackungsrecht innerhalb der Europäischen Union stärker zu harmonisieren. Künftig sollen zentrale Anforderungen an Verpackungen nicht mehr in erster Linie durch nationale Umsetzungsgesetze geprägt werden, sondern unmittelbar durch eine europaweit geltende Verordnung.

Für Unternehmen bedeutet das einen grundlegenden Systemwechsel. Die wesentlichen materiellen Anforderungen – etwa an das Inverkehrbringen von Verpackungen, ihre Gestaltung oder weitere produktspezifische Vorgaben – ergeben sich künftig unmittelbar aus der PPWR. Sie gelten in allen Mitgliedstaaten nach denselben europäischen Regeln. Damit entsteht jedoch noch kein vollständig funktionsfähiges Rechtssystem.

Unmittelbare Geltung bedeutet nicht, dass nationales Recht überflüssig wird

Hier liegt ein häufiges Missverständnis. Die unmittelbare Geltung einer EU-Verordnung bedeutet nicht, dass der nationale Gesetzgeber künftig keine Aufgaben mehr hätte. Auch eine Verordnung beantwortet nicht jede Frage, die sich im Verwaltungsvollzug stellt. Es muss beispielsweise festgelegt werden, welche Behörden für die Überwachung zuständig sind, welche Befugnisse ihnen zustehen oder welche Rechtsfolgen Verstöße gegen die europäischen Vorgaben haben. Die PPWR überlässt diese Bereiche ausdrücklich den Mitgliedstaaten. Deshalb bedarf es ergänzender nationaler Regelungen.

Genau diese Funktion übernimmt das VerpackDG. Es schafft keinen zweiten materiellen Rechtsrahmen neben der PPWR, sondern regelt deren Durchführung in Deutschland. Dazu gehören insbesondere Zuständigkeiten der Behörden, Marktüberwachung, Verfahrensregelungen sowie Bußgeldvorschriften.

Zwei Regelwerke – unterschiedliche Aufgaben

Das zeitgleiche Inkrafttreten beider Regelwerke kann den Eindruck erwecken, künftig bestünden zwei gleichrangige Verpackungsgesetze. Tatsächlich greifen sie ineinander.

Die PPWR beantwortet in erster Linie die Frage, welche Anforderungen an Verpackungen und die beteiligten Wirtschaftsakteure gestellt werden. Das VerpackDG regelt dagegen, wie diese Anforderungen in Deutschland durchgesetzt werden.

Wer sich ausschließlich auf das nationale Durchführungsgesetz konzentriert, wird deshalb zahlreiche unmittelbar geltende Verpflichtungen der PPWR nicht erfassen. Umgekehrt lässt sich die PPWR ohne die nationalen Zuständigkeits- und Sanktionsregelungen des VerpackDG in der Praxis nicht vollständig anwenden. Erst beide Regelwerke zusammen ergeben den künftig geltenden Rechtsrahmen.

Was bedeutet das für Unternehmen?

Unternehmen, die Verpackungen herstellen, befüllen, importieren oder erstmals in Verkehr bringen, werden ihre bestehenden Compliance-Prozesse darauf überprüfen müssen, welche Anforderungen künftig unmittelbar aus der PPWR folgen und welche ergänzenden Regelungen das VerpackDG vorsieht.

Dabei sollte nicht übersehen werden, dass die PPWR zahlreiche Übergangsfristen enthält. Nicht jede Verpflichtung gilt bereits ab dem 12. August 2026. Gleichwohl bildet die Verordnung ab diesem Zeitpunkt den maßgeblichen europäischen Rechtsrahmen, auf dessen Grundlage sich die künftigen Anforderungen schrittweise entfalten.

Konsequenzen für das Rechtskataster

Für die Aufnahme in ein Rechtskataster gilt letztlich nichts anderes als für jede andere Rechtsvorschrift: Entscheidend ist ihre Relevanz für die Tätigkeiten des Unternehmens. Soweit Unternehmen den Anwendungsbereich der PPWR eröffnen, wird regelmäßig zu prüfen sein, welche unmittelbar geltenden Verpflichtungen sich aus der Verordnung ergeben. Ebenso können die nationalen Durchführungsvorschriften des VerpackDG für die Compliance-Bewertung von Bedeutung sein.

Die Entscheidung lautet daher nicht „PPWR oder VerpackDG“. Beide Regelwerke erfüllen unterschiedliche Funktionen und können – abhängig vom Tätigkeitsprofil – gleichermaßen rechtsrelevant sein.

Praktische Auswirkungen für deutsche Unternehmen

Für Hersteller von Verpackungen, Produzenten verpackter Waren, Importeure, Onlinehändler, Handelsunternehmen mit Eigenmarken und Unternehmen mit komplexen internationalen Lieferketten entwickelt sich Verpackungs-Compliance von einer überwiegend abfallrechtlichen Fragestellung zu einem integralen Bestandteil des Produkt- und Lieferketten-Compliance-Managements.

  1. Verpackungen werden zum eigenständigen Compliance-Objekt
    Unternehmen müssen künftig nachweisen, dass ihre Verpackungen sämtliche Anforderungen der PPWR erfüllen. Compliance betrifft damit nicht mehr nur Entsorgungs- und Registrierungspflichten (z. B. nach dem Verpackungsgesetz), sondern bereits die Entwicklung und das Inverkehrbringen der Verpackung.
  2. Erweiterte Dokumentations- und Nachweispflichten
    Unternehmen müssen technische Unterlagen erstellen und aktuell halten. Dazu gehören unter anderem:
  • Nachweise zur Konformität der Verpackung,
  • Informationen zur Materialzusammensetzung,
  • Dokumentation der Recyclingfähigkeit,
  • Nachweise über Rezyklatanteile (soweit einschlägig),
  • Lieferanteninformationen und Prüfunterlagen.

Dadurch steigt die Bedeutung eines strukturierten Compliance-Management-Systems erheblich.

  1. Höhere Anforderungen an das Verpackungsdesign
    Die PPWR verankert das Prinzip „Design for Recycling“. Unternehmen müssen Verpackungen so entwickeln, dass sie recyclingfähig sind. Spätere Anforderungen betreffen außerdem Mindestanteile an Rezyklaten sowie Vorgaben zur Vermeidung unnötiger Verpackungen. Dies erfordert eine enge Zusammenarbeit zwischen Produktentwicklung, Einkauf und Compliance.
  2. Intensivere Lieferkettenkontrolle
    Unternehmen müssen Informationen ihrer Lieferanten systematisch überprüfen, beispielsweise hinsichtlich:
  • eingesetzter Materialien,
  • verbotener Stoffe (z. B. PFAS in bestimmten Lebensmittelkontaktverpackungen),
  • Recyclingfähigkeit,
  • Rezyklatgehalt.

Damit gewinnt das Lieferantenmanagement als Bestandteil der Compliance deutlich an Bedeutung.

  1. Neue Kennzeichnungs- und Informationspflichten
    Die PPWR sieht harmonisierte Kennzeichnungen für Verpackungen vor. Viele Detailregelungen werden zwar erst durch Durchführungsrechtsakte konkretisiert und teilweise erst später anwendbar, Unternehmen sollten ihre Kennzeichnungsprozesse jedoch frühzeitig darauf vorbereiten.
  2. Anpassung interner Compliance-Prozesse
    Viele Unternehmen müssen ihre internen Prozesse erweitern, etwa durch:
  • regelmäßige Compliance-Audits,
  • Verpackungsfreigaben,
  • Schulungen für Einkauf und Produktentwicklung,
  • Risikobewertungen,
  • Aktualisierung interner Richtlinien und Verantwortlichkeiten.

Wenn Sie zur PPWR Fragen haben, wenden Sie sich gerne an unsere Fachleute im SAT-Team.

, ,

Geopolitische Risiken in der Beschaffung: Warum Einkauf heute mehr leisten muss

Die Anforderungen an den Einkauf haben sich in den vergangenen Jahren grundlegend verändert. Während früher vor allem Preis, Qualität und Liefertermine über die Auswahl eines Lieferanten entschieden, spielen heute weitere, zusätzliche Faktoren eine immer wichtigere Rolle: politische Spannungen, Exportbeschränkungen, Sanktionen und die Abhängigkeit von einzelnen Rohstoffen oder Lieferländern.

Für viele Unternehmen ist das eine neue Realität. Ein langjähriger Lieferant kann plötzlich nicht mehr liefern, weil sich die politischen Rahmenbedingungen geändert haben. Ein wichtiger Rohstoff wird knapp, weil ein Staat seine Ausfuhr einschränkt. Oder neue europäische Vorgaben verlangen, Risiken in der Lieferkette besser zu dokumentieren.

Unternehmen sollten mehr denn je wesentliche Risiken kennen und nachvollziehbar bewerten können. Genau hier setzt modernes Compliance Management an.

Warum geopolitische Risiken für Unternehmen zu einem Compliance-Thema werden

Internationale Lieferketten sind heute enger miteinander verknüpft als je zuvor. Gleichzeitig verfolgen viele Staaten eine aktivere Industrie- und Handelspolitik. Rohstoffe werden zunehmend als strategische Ressource betrachtet, Exportkontrollen ausgeweitet und wirtschaftliche Abhängigkeiten bewusst reduziert.

Diese Entwicklung betrifft längst nicht mehr nur Großkonzerne. Auch mittelständische Unternehmen spüren die Auswirkungen. Wer elektronische Bauteile, Metalle, Batterietechnik oder Spezialkomponenten einkauft, ist häufig von Lieferketten abhängig, die sich über mehrere Kontinente erstrecken.

Fällt an einer Stelle dieser Lieferkette ein wichtiger Lieferant aus oder werden Ausfuhren eingeschränkt, kann das die eigene Produktion unmittelbar beeinträchtigen. Compliance bedeutet deshalb heute mehr, als Gesetze einzuhalten. Sie bedeutet auch, Risiken frühzeitig zu erkennen und fundierte Entscheidungen treffen zu können.

Lieferketten unter Druck: Wie Exportbeschränkungen und Sanktionen die Beschaffung verändern

Ein Blick auf die internationale Entwicklung zeigt, warum dieses Thema an Bedeutung gewinnt. Nach Angaben der OECD hat sich die Zahl staatlicher Exportbeschränkungen für kritische Rohstoffe seit 2009 verfünffacht und im Jahr 2024 einen historischen Höchststand erreicht. Betroffen sind unter anderem Lithium, Kobalt, Nickel, Graphit und Seltene Erden – Rohstoffe, die für den Maschinenbau, die Automobilindustrie, die Medizintechnik und zahlreiche weitere Branchen unverzichtbar sind.

Die Gründe dafür sind unterschiedlich. Manche Staaten möchten ihre eigene Industrie stärken, andere verfolgen sicherheits- oder wirtschaftspolitische Ziele. Für Unternehmen spielt die Motivation jedoch eine untergeordnete Rolle. Entscheidend ist, dass sich die Versorgung mit wichtigen Materialien kurzfristig verändern kann.

Auch die Europäische Union reagiert auf diese Entwicklung. Mit dem Critical Raw Materials Act wie sie die Versorgung Europas mit strategisch wichtigen Rohstoffen langfristig sichern und die Abhängigkeit von einzelnen Herkunftsländern verringern.

Für Unternehmen heißt das nicht, dass bestehende Lieferanten ersetzt werden müssen. Die politische Entwicklung macht jedoch deutlich, dass Lieferketten künftig stärker unter dem Aspekt ihrer Widerstandsfähigkeit betrachtet werden.

Compliance in der Beschaffung: Warum die Prüfung von Sanktionslisten nicht mehr reicht

Viele Unternehmen haben in den vergangenen Jahren ihre Compliance-Prozesse deutlich verbessert. Geschäftspartner werden gegen Sanktionslisten geprüft, Exportvorschriften eingehalten und Lieferanten sorgfältig ausgewählt. Diese Maßnahmen bleiben unverzichtbar. Sie beantworten jedoch nur einen Teil der eigentlichen Fragestellung.

Stellen wir uns einen mittelständischen Maschinenbauer vor. Für ein zentrales Produkt benötigt er einen speziellen Elektromotor. Dieser wird von einem langjährigen Lieferanten zuverlässig geliefert. Auf den ersten Blick besteht kein erkennbares Risiko.

Erst bei genauerem Hinsehen zeigt sich, dass der Lieferant einen entscheidenden Rohstoff ausschließlich aus einem einzigen Staat bezieht. Kommt es dort zu Exportbeschränkungen oder politischen Konflikten, kann die gesamte Lieferkette innerhalb weniger Wochen unterbrochen werden.

Formal hat das Unternehmen zunächst nichts falsch gemacht. Dennoch entsteht ein erhebliches wirtschaftliches Risiko. Deshalb genügt es heute nicht mehr, lediglich zu prüfen, ob ein Lieferant auf einer Sanktionsliste steht. Ebenso wichtig ist die Frage, wie stabil die gesamte Lieferkette tatsächlich ist.

Risikomanagement in der Lieferkette: Welche Fragen sich Geschäftsführer jetzt stellen sollten

Für viele Geschäftsführer stellt sich die berechtigte Frage, wie weit diese Risikoanalyse gehen muss. Die Antwort ist erfreulich pragmatisch: Niemand erwartet, dass Unternehmen sämtliche politischen Entwicklungen weltweit beobachten oder zukünftige Krisen vorhersagen können. Entscheidend ist vielmehr, dass wesentliche Abhängigkeiten bekannt sind.

  • Woher stammen besonders wichtige Rohstoffe?
  • Welche Lieferanten sind für die eigene Produktion unverzichtbar?
  • Gibt es alternative Bezugsquellen?
  • Und welche Auswirkungen hätte der Ausfall eines einzelnen Lieferanten?

Bereits die strukturierte Beantwortung dieser Fragen schafft eine deutlich bessere Entscheidungsgrundlage. Unternehmen gewinnen dadurch nicht nur mehr Transparenz. Sie können auch schneller reagieren, wenn sich politische oder wirtschaftliche Rahmenbedingungen verändern.

Braucht jetzt jedes Unternehmen eine geopolitische Risikoanalyse?

An dieser Stelle lohnt sich ein kritischer Blick. Natürlich lässt sich argumentieren, dass geopolitische Entwicklungen kaum vorhersehbar sind und zusätzliche Risikoanalysen nur Zeit und Geld kosten. Gerade mittelständische Unternehmen verfügen oft nicht über eigene Spezialisten für internationale Politik oder Außenwirtschaftsrecht. Dieses Argument ist nachvollziehbar und berechtigt.

Tatsächlich verlangt keine gesetzliche Vorschrift, jede denkbare Entwicklung vorherzusehen oder sämtliche Lieferketten bis ins letzte Detail zu analysieren. Genau darin liegt jedoch häufig ein Missverständnis: Compliance bedeutet nicht, jedes Risiko auszuschließen. Compliance bedeutet, wesentliche Risiken zu erkennen, angemessen zu bewerten und Entscheidungen nachvollziehbar zu dokumentieren.

Kann ein Unternehmen erklären, warum ein bestimmter Lieferant ausgewählt wurde, welche Risiken bekannt waren und welche Alternativen geprüft wurden, entsteht eine belastbare Grundlage für unternehmerische Entscheidungen.

Es geht also nicht um hundertprozentige Vorhersagen, sondern um nachvollziehbares Risikomanagement.

Warum der Einkauf heute Teil des Compliance-Managements ist

Diese Entwicklung verändert auch die Rolle des Einkaufs. Während früher vor allem wirtschaftliche Kriterien im Mittelpunkt standen, wird der Einkauf zunehmend Teil des unternehmensweiten Compliance- und Risikomanagements. Natürlich bleiben Preis, Qualität und Lieferfähigkeit wichtige Auswahlkriterien. Dazu kommen aber Fragen nach der Stabilität der Lieferkette, der Abhängigkeit von einzelnen Regionen und der langfristigen Versorgungssicherheit.

Damit entwickelt sich der Einkauf immer stärker zu einer strategischen Funktion. Die Auswahl eines Lieferanten beeinflusst heute nicht nur die Produktionskosten, sondern auch die Widerstandsfähigkeit des gesamten Unternehmens.

Was Unternehmen jetzt konkret tun können

Unternehmen müssen ihre Lieferantenstruktur nicht vollständig neu organisieren. Sinnvoll ist jedoch eine regelmäßige Bewertung der Lieferketten, die für den Geschäftsbetrieb besonders wichtig sind.

Dazu gehört zunächst die Identifikation kritischer Materialien und Komponenten. Anschließend sollte geprüft werden, aus welchen Regionen sie stammen und ob starke Abhängigkeiten von einzelnen Lieferanten oder Ländern bestehen.

Ebenso wichtig ist eine nachvollziehbare Dokumentation der getroffenen Entscheidungen. Sie hilft nicht nur gegenüber Behörden oder Geschäftspartnern. Vor allem schafft sie Transparenz innerhalb des Unternehmens und erleichtert künftige Entscheidungen.

SAT-Einschätzung: Gute Compliance schafft Handlungsspielräume statt Bürokratie

Aus unserer Beratungspraxis wissen wir, dass geopolitische Risiken häufig nicht deshalb unterschätzt werden, weil Informationen fehlen. Die eigentliche Herausforderung besteht darin, diese Informationen systematisch zu bewerten und in unternehmerische Entscheidungen einzubeziehen.

Viele Unternehmen verfügen bereits über zahlreiche Einzelinformationen. Der Einkauf kennt seine Lieferanten, das Qualitätsmanagement bewertet deren Leistungsfähigkeit und die Geschäftsführung verfolgt wirtschaftliche Entwicklungen.

Erst wenn diese Informationen zusammengeführt werden, entsteht jedoch ein vollständiges Bild der tatsächlichen Risiken.

Genau hier entfaltet ein wirksames Compliance Management seinen Nutzen. Es schafft Transparenz, definiert Verantwortlichkeiten und unterstützt fundierte Entscheidungen – ohne unnötige Bürokratie aufzubauen. Compliance ist deshalb kein Selbstzweck. Sie ist ein Instrument, um Unternehmen auch unter schwierigen wirtschaftlichen und politischen Rahmenbedingungen handlungsfähig zu halten.

Resiliente Lieferketten beginnen mit einer fundierten Risikoanalyse

Geopolitische Risiken werden die internationale Beschaffung auch in den kommenden Jahren prägen. Handelskonflikte, Exportbeschränkungen und strategische Rohstoffe sind längst keine Ausnahmeerscheinungen mehr, sondern Teil des wirtschaftlichen Umfelds. Unternehmen können diese Entwicklungen nicht beeinflussen. Sie können und müssen sich jedoch darauf vorbereiten.

Wer seine Lieferketten kennt, wesentliche Abhängigkeiten erkennt und Risiken frühzeitig bewertet, verbessert nicht nur seine Compliance. Er stärkt zugleich die Stabilität seiner Produktion, erhöht seine Reaktionsfähigkeit und schafft eine belastbare Grundlage für unternehmerische Entscheidungen.

Gerade für mittelständische Unternehmen liegt darin ein entscheidender Wettbewerbsvorteil: nicht, weil sich jede Krise vermeiden lässt, sondern weil gut vorbereitete Unternehmen schneller und sicherer handeln können, wenn sich die Rahmenbedingungen ändern.

, , ,

ISO 37301 für den Mittelstand: Warum kein Unternehmen zu klein für Compliance ist

Compliance ist keine Frage der Unternehmensgröße.

„Für Compliance sind wir zu klein.“ Kaum ein Satz beschreibt das Verhältnis vieler mittelständischer Unternehmen zum Thema Compliance besser. Auf den ersten Blick scheint die Einschätzung nachvollziehbar. Mittelständler arbeiten häufig mit kurzen Entscheidungswegen, direkter Kommunikation und persönlichem Vertrauen. Viele Risiken werden durch Erfahrung, Nähe und Verantwortungsbewusstsein gesteuert.

Doch genau darin liegt eine Herausforderung: Solange ein Unternehmen überschaubar bleibt und Schlüsselpersonen verfügbar sind, funktionieren gewachsene Strukturen oft hervorragend. Kritisch wird es, wenn Anforderungen steigen, Mitarbeitende wechseln, Kunden Nachweise verlangen oder neue regulatorische Pflichten entstehen.

Die entscheidende Frage lautet deshalb nicht:

Ist unser Unternehmen groß genug für Compliance?

Die bessere Frage lautet:

Ist unser Unternehmen so organisiert, dass wir unsere wichtigsten Verpflichtungen zuverlässig kennen und erfüllen?

Genau an diesem Punkt setzt die internationale Norm ISO 37301 für Compliance Management Systeme (CMS) an.

Was ist ISO 37301?

Die ISO 37301:2021 Compliance Management Systems – Requirements with Guidance for Use ist ein internationaler Standard für Aufbau, Umsetzung, Bewertung und kontinuierliche Verbesserung eines Compliance Management Systems. Die Norm wurde bewusst so entwickelt, dass sie auf unterschiedliche Organisationen angewendet werden kann – unabhängig von Größe, Branche oder Organisationsform.

Das bedeutet: Ein mittelständisches Unternehmen muss keine Konzernstrukturen aufbauen, um ISO 37301 umzusetzen. Entscheidend ist ein angemessenes System, das zu den tatsächlichen Risiken, Verpflichtungen und Ressourcen des Unternehmens passt.

Oder besser gesagt: ISO 37301 verlangt nicht mehr Compliance. Sie verlangt besser organisierte Compliance.

Warum Compliance im Mittelstand immer wichtiger wird

Viele Unternehmen verbinden Compliance noch immer vor allem mit Großkonzernen, Finanzunternehmen oder internationalen Organisationen. Die Realität sieht anders aus.

Auch kleine und mittlere Unternehmen bewegen sich heute in einem Umfeld wachsender Anforderungen. Datenschutz, Arbeitsschutz, Informationssicherheit, Nachhaltigkeit, Lieferkettenanforderungen, Korruptionsprävention oder der verantwortungsvolle Einsatz künstlicher Intelligenz betreffen längst nicht mehr ausschließlich große Unternehmen.

Gleichzeitig steigen die Erwartungen von Geschäftspartnern. Immer häufiger fragen Kunden nicht nur: „Was können Sie liefern?“, sondern auch: „Wie stellen Sie sicher, dass Anforderungen eingehalten werden?“ Ein strukturiertes Compliance Management System wird damit zunehmend Teil professioneller Unternehmensführung.

Bedeutet ISO 37301 mehr Bürokratie?

Diese Sorge ist einer der häufigsten Einwände. Und sie ist nicht unbegründet. Ein schlecht eingeführtes Compliance-System kann tatsächlich zusätzlichen Aufwand erzeugen. Wenn Richtlinien geschrieben werden, die niemand nutzt, Formulare entstehen, die keinen Mehrwert bringen, oder Prozesse geschaffen werden, die nicht zur Realität passen, verfehlt Compliance ihren Zweck.

Aber genau das entspricht nicht dem Grundgedanken der ISO 37301. Ein wirksames Compliance Management System fragt nicht:

Welche Dokumente brauchen wir für die Norm?

Es fragt:

Welche Strukturen brauchen wir, damit unser Unternehmen sicher und nachvollziehbar gesteuert wird?

Der Unterschied ist entscheidend. Dokumentation ist nicht das Ziel. Sie ist nur ein Werkzeug.

ISO 37301 macht vorhandene Verantwortung sichtbar

In vielen mittelständischen Unternehmen existiert bereits viel gelebte Compliance. Der Unterschied: Sie ist häufig nicht systematisch organisiert. Ein langjähriger Mitarbeiter kennt die Anforderungen eines wichtigen Kunden. Eine Führungskraft verfolgt neue gesetzliche Entwicklungen. Eine andere Person kümmert sich um Schulungen oder interne Regeln. Das funktioniert – solange alle Beteiligten verfügbar sind.

Doch was passiert bei Wachstum, Personalwechsel oder neuen Anforderungen? Ein Compliance Management System nach ISO 37301 hilft dabei, Wissen aus einzelnen Köpfen in stabile Unternehmensprozesse zu übertragen. Es schafft Klarheit darüber, wer welche Verantwortung trägt, welche Anforderungen relevant sind und wie deren Umsetzung überprüft wird.

Compliance-Risiken erkennen, bevor Probleme entstehen

Moderne Compliance bedeutet nicht, erst auf Verstöße zu reagieren. Der Kern eines wirksamen CMS ist ein präventiver Ansatz. Unternehmen sollen ihre Compliance-Verpflichtungen verstehen, Risiken bewerten und geeignete Maßnahmen festlegen.

Dabei geht es nicht darum, jedes theoretische Risiko gleich intensiv zu behandeln. Entscheidend ist eine risikobasierte Betrachtung. Ein produzierendes Unternehmen hat andere Compliance-Schwerpunkte als ein IT-Dienstleister. Ein international tätiger Zulieferer andere Anforderungen als ein regionaler Betrieb. ISO 37301 liefert hierfür einen strukturierten Rahmen.

Neue Herausforderung 2026: KI als Compliance-Thema

Ein aktuelles Beispiel zeigt, warum strukturierte Compliance-Prozesse wichtiger werden: künstliche Intelligenz. Mit dem europäischen AI Act entstehen neue Anforderungen rund um den Einsatz bestimmter KI-Systeme. Unternehmen müssen verstehen, welche Technologien genutzt werden, welche Verantwortlichkeiten bestehen und welche Anforderungen daraus entstehen.

KI-Compliance ist dabei kein isoliertes IT-Thema. Es geht um typische Fragen eines Managementsystems:

  • Wer entscheidet über den Einsatz?
  • Welche Risiken bestehen?
  • Welche Regeln gelten?
  • Wie werden Mitarbeitende informiert?
  • Wie wird die Einhaltung überprüft?

Genau für solche neuen Anforderungen bietet ISO 37301 eine organisatorische Grundlage.

Für wen lohnt sich ISO 37301 nicht?

Ein realistischer Blick gehört dazu. ISO 37301 ist nicht die richtige Lösung, wenn ein Unternehmen lediglich ein Zertifikat anstrebt oder fertige Standarddokumente übernehmen möchte. Ein Compliance Management System funktioniert nur, wenn Führung und Organisation dahinterstehen. Compliance lässt sich nicht vollständig auslagern und nicht durch einen Ordner voller Richtlinien ersetzen.

Der Wert entsteht durch Anwendung.

Wie gelingt der Einstieg in ISO 37301?

Der erfolgreiche Einstieg beginnt meistens nicht mit einem großen Projekt. Sinnvoller ist eine Standortbestimmung, zum Beispiel mit dem Quick-Check von SAT.

  • Welche Compliance-Anforderungen betreffen unser Unternehmen bereits heute?
  • Welche Risiken sind wesentlich?
  • Wo bestehen klare Verantwortlichkeiten – und wo hängt Wissen nur an einzelnen Personen?
  • Welche Nachweise erwarten Kunden, Behörden oder Geschäftspartner?

Aus diesen Antworten entsteht Schritt für Schritt ein angemessenes Compliance Management System.

ISO 37301 macht Compliance im Mittelstand beherrschbar

Mittelständische Unternehmen brauchen keine komplizierte Konzern-Compliance. Sie brauchen ein System, das zu ihrer Realität passt. Die ISO 37301 hilft dabei, vorhandene Verantwortung sichtbar zu machen, Risiken strukturiert zu steuern und Vertrauen gegenüber Kunden, Mitarbeitenden und Geschäftspartnern aufzubauen.

Am Ende geht es um drei einfache Fragen:

  • Wissen wir, welche Regeln für uns gelten?
  • Ist klar, wer Verantwortung übernimmt?
  • Können wir zeigen, dass unser System funktioniert?

Wenn die Antwort darauf unsicher ist, ist ein Unternehmen nicht zu klein für Compliance.

 

FAQ: ISO 37301 im Mittelstand

Nein. ISO 37301 ist für Organisationen unterschiedlicher Größe und Branche konzipiert. Entscheidend ist eine angemessene Umsetzung entsprechend der eigenen Risiken.

Nein. Unternehmen können die Prinzipien der Norm nutzen, ohne eine Zertifizierung anzustreben. Eine Zertifizierung kann jedoch gegenüber Kunden und Partnern einen zusätzlichen Nachweis bieten.

Nein. ISO 37301 ersetzt keine Bewertung einzelner Rechtsfragen. Die Norm stellt einen organisatorischen Rahmen bereit, um Compliance-Verpflichtungen systematisch zu steuern.

Das hängt von Größe, Struktur und vorhandenen Prozessen ab. Viele mittelständische Unternehmen verfügen bereits über Grundlagen, die systematisch weiterentwickelt werden können.

 

, ,

Neue Bauproduktenverordnung (EU) 2024/3110: Auswirkungen auf Unternehmen, Compliance und Produktverantwortung

Die neue EU-Bauproduktenverordnung verändert und erweitert die Anforderungen an Hersteller, Händler und zahlreiche Wirtschaftsakteure der Bauwirtschaft. Nachhaltigkeit, digitale Produktdaten und Dokumentationspflichten entwickeln sich zunehmend zu zentralen Fragen der Unternehmenscompliance.

Die Bauwirtschaft steht vor einer bedeutenden regulatorischen Veränderung. Mit der neuen Bauproduktenverordnung (EU) 2024/3110 hat die Europäische Union den Rechtsrahmen für Bauprodukte umfassend überarbeitet. Auch wenn viele konkrete Anforderungen schrittweise in Kraft treten und durch weitere Rechtsakte konkretisiert werden, wird bereits deutlich: Was zunächst wie eine technische Weiterentwicklung des Produktrechts wirkt, entwickelt sich zu einer strategischen Aufgabe für Unternehmensführung, Risikomanagement und Compliance.

Was ist die Bauproduktenverordnung (EU) 2024/3110?

Die Bauproduktenverordnung (EU) 2024/3110 ist der europäische Rechtsrahmen für das Bereitstellen von Bauprodukten auf dem EU-Binnenmarkt. Sie ersetzt schrittweise die bisherige Verordnung (EU) Nr. 305/2011 und legt Anforderungen an Leistungserklärungen, CE-Kennzeichnung, technische Dokumentation sowie zukünftig stärker an digitale und nachhaltigkeitsbezogene Produktinformationen fest.

Die neue Verordnung betrifft nicht nur die Frage, ob ein Bauprodukt sicher verwendet werden kann oder eine CE-Kennzeichnung trägt. Sie konkretisiert und erweitert bestehende Pflichten und stellt höhere Anforderungen an Transparenz, Nachvollziehbarkeit und Verfügbarkeit von Produktinformationen. Diese müssen künftig stärker digital verfügbar sein und zunehmend auch Umweltaspekte berücksichtigen. Damit wird die BauPVO zu einem wichtigen Baustein moderner Corporate Governance.

Ihr Anwendungsbereich wird auf gebrauchte Bauprodukte, Datensätze, Werkstoffe und Dienstleistungen für den 3D-Druck, auf der Baustelle in Verkehr gebrachte Bauprodukte zum sofortigen Einbau, wesentliche Bestandteile von Bauprodukten sowie auf Bestandteile oder Werkstoffe, die nach Herstellerangaben für Bauprodukte bestimmt sind, erweitert.

Auch der Kreis der betroffenen Wirtschaftsakteure wird deutlich ausgedehnt und zum Beispiel auf den Online-Handel, Fulfilment-Dienstleister, 3-Druck und die Wiederaufbereitung erweitert.

Warum die neue EU-Bauproduktenverordnung für Unternehmen relevant ist

Bauprodukte sind ein zentraler Bestandteil des europäischen Binnenmarktes. Bereits die bisherige Bauproduktenverordnung (EU) Nr. 305/2011 sollte sicherstellen, dass Produkte vergleichbar bewertet und europaweit gehandelt werden können. Mit der neuen Verordnung (EU) 2024/3110 verfolgt die Europäische Union jedoch einen erweiterten Ansatz.

Neben technischen Leistungsmerkmalen gewinnen Themen wie Klimaschutz, Ressourceneffizienz, Digitalisierung und Marktüberwachung deutlich an Bedeutung. Viele konkrete Anforderungen werden jedoch erst durch harmonisierte Normen und delegierte Rechtsakte ausgestaltet, sodass Unternehmen sich frühzeitig vorbereiten sollten, auch wenn noch nicht alle Details abschließend feststehen.

Für Unternehmen bedeutet das: Die Einhaltung der Bauproduktenverordnung ist künftig nicht mehr allein eine Aufgabe technischer Fachabteilungen. Sie betrifft auch Compliance-Verantwortliche, Geschäftsführungen, Einkauf, Nachhaltigkeitsmanagement und IT.

Die entscheidende Frage lautet zunehmend nicht mehr nur „Erfüllt unser Produkt die technischen Anforderungen?“, sondern auch: „Können wir unsere Produktinformationen konsistent, nachvollziehbar und regulatorisch belastbar bereitstellen?“

Produktcompliance wird zur Führungsaufgabe

Durch die neue Bauproduktenverordnung gewinnt ein strukturiertes Compliance-Management weiter an Bedeutung. Unternehmen müssen sicherstellen, dass technische Unterlagen, Leistungserklärungen und Produktinformationen zuverlässig erstellt, gepflegt und bereitgestellt werden können. Fehlerhafte oder widersprüchliche Angaben können zu Problemen bei der Marktüberwachung sowie zu Haftungs- und Reputationsrisiken führen.

Damit wächst die Verbindung zwischen Produktentwicklung, Qualitätsmanagement und Unternehmenscompliance. Organisationen benötigen klare Verantwortlichkeiten und nachvollziehbare Prozesse, um regulatorische Anforderungen dauerhaft erfüllen zu können.

Gerade für Unternehmen mit umfangreichem Produktsortiment oder internationalen Lieferketten wird ein professionelles Produktdatenmanagement zu einem entscheidenden Compliance-Faktor.

Digitale Produktinformationen verändern die Nachweispflichten

Ein zentrales Element der neuen BauPVO ist die stärkere Digitalisierung von Produktinformationen. Ziel der EU ist es, relevante Informationen entlang der gesamten Wertschöpfungskette besser verfügbar und transparenter zu machen. In diesem Zusammenhang sieht die Bauproduktenverordnung die Entwicklung eines digitalen Produktpasses für Bauprodukte vor. Die konkrete technische und organisatorische Ausgestaltung erfolgt schrittweise durch weitere Vorgaben.

Für Unternehmen bedeutet diese Entwicklung einen strukturellen Wandel. Produktdaten sind nicht länger statische Dokumente, sondern werden zu einem zentralen Bestandteil der Compliance- und Steuerungsprozesse. Systeme müssen sicherstellen, dass Informationen aktuell, konsistent und überprüfbar sind. Gleichzeitig wird entscheidend, wer im Unternehmen Verantwortung für Datenqualität, Aktualisierung und Freigabe übernimmt.

Nachhaltigkeit wird Bestandteil der regulatorischen Verantwortung

Die neue Bauproduktenverordnung ist eng mit den europäischen Nachhaltigkeitszielen verknüpft. Die Bauwirtschaft ist ressourcenintensiv und spielt eine Schlüsselrolle bei der Transformation zu einer klimafreundlicheren Wirtschaft.

Entsprechend gewinnen Umwelt- und Nachhaltigkeitsinformationen über Bauprodukte an Bedeutung. Unternehmen müssen sich darauf einstellen, ökologische Eigenschaften ihrer Produkte transparenter darzustellen und belastbar nachzuweisen. Die konkreten Anforderungen werden jedoch in vielen Bereichen erst durch nachgelagerte Regelwerke und Normen weiter konkretisiert.

Aus Compliance-Sicht entsteht dadurch eine neue Herausforderung: Nachhaltigkeitsinformationen dürfen nicht isoliert als Marketingaussagen behandelt werden. Sie unterliegen zunehmend denselben Anforderungen an Dokumentation, Nachvollziehbarkeit und Prüfbarkeit wie klassische Produktangaben. Die Grenze zwischen Produktcompliance und ESG-Compliance wird damit zunehmend durchlässig.

Auswirkungen auf Lieferketten und Geschäftspartner

Die Anforderungen der neuen Bauproduktenverordnung betreffen nicht nur Hersteller. Auch Importeure, Händler und weitere Akteure innerhalb der Lieferkette müssen ihre jeweiligen Verpflichtungen erfüllen.

Damit gewinnt die Zusammenarbeit mit Geschäftspartnern weiter an Bedeutung. Unternehmen sind zunehmend darauf angewiesen, verlässliche Informationen über Materialien, Produkteigenschaften und Änderungen entlang der Lieferkette zu erhalten. Sie sollten genau prüfen, ob Verantwortlichkeiten und Informationspflichten gegenüber Lieferanten und Geschäftspartnern vertraglich ausreichend geregelt sind.

Für Compliance-Abteilungen bedeutet das eine engere Verzahnung mit dem Lieferantenmanagement. Regulatorische Anforderungen sollten nicht erst im Problemfall geprüft werden, sondern bereits in Einkaufs-, Entwicklungs- und Vertragsprozesse integriert werden.

Was Unternehmen jetzt tun sollten

Auch wenn die Umsetzung der neuen Bauproduktenverordnung schrittweise erfolgt, sollten Unternehmen frühzeitig handeln. Eine Bestandsaufnahme bestehender Prozesse ist dabei ein zentraler erster Schritt.

Unternehmen sollten prüfen, ob:

  • Verantwortlichkeiten für Bauprodukt-Compliance eindeutig geregelt sind,
  • technische Dokumentationen vollständig und aktuell sind,
  • bestehende IT-Systeme zukünftige digitale Informationspflichten unterstützen können,
  • und Schnittstellen zwischen Compliance, Qualität und Nachhaltigkeit klar definiert sind.

Eine enge Abstimmung zwischen den beteiligten Bereichen wird zunehmend entscheidend. Die neue BauPVO zeigt deutlich, dass regulatorische Anforderungen zu bereichsübergreifenden Managementaufgaben werden.

Die Bauproduktenverordnung (EU) 2024/3110 macht Compliance zum Wettbewerbsfaktor

Die neue EU-Bauproduktenverordnung ist mehr als eine Aktualisierung bestehender Produktvorschriften. Sie verändert die Anforderungen an Transparenz, Datenqualität und organisatorische Verantwortung im Umgang mit Bauprodukten.

Unternehmen, die sich frühzeitig mit den neuen Anforderungen auseinandersetzen und diese strukturiert in ihre Prozesse integrieren, können regulatorische Risiken reduzieren und ihre Marktposition stärken.

Die BauPVO 2024/3110 macht deutlich: Zukunftsfähige Bauprodukte erfordern nicht nur technische Qualität, sondern auch belastbare, nachvollziehbare und digital unterstützte Compliance-Strukturen.

 

, , ,

Compliance-Audits 2026: Warum Nachweise wichtiger sind als gute Absichten

Unternehmen stehen heute vor einer Vielzahl von Compliance-Anforderungen — vom Datenschutz über Arbeitsschutz und Umweltrecht bis hin zu IT-Sicherheit, Lieferkettenpflichten und Nachhaltigkeitsvorgaben. Die eigentliche Herausforderung liegt nicht darin, dass es diese Anforderungen gibt. Die Herausforderung liegt darin, sie im Unternehmen vollständig zu identifizieren, richtig zu bewerten, in konkrete Maßnahmen zu übersetzen und ihre Umsetzung auditfest nachzuweisen.

Genau hier trennt sich formale Regelkenntnis von wirksamer Compliance in der Praxis. Ein Compliance-Audit prüft nicht nur, ob Vorgaben bekannt sind. Es prüft, ob ein Unternehmen seine Pflichten systematisch steuert: mit klaren Zuständigkeiten, dokumentierten Maßnahmen, nachvollziehbaren Nachweisen und regelmäßiger Wirksamkeitskontrolle.

Warum Compliance-Audits 2026 wichtiger werden

Die regulatorische Dichte nimmt weiter zu. Unternehmen müssen heute nicht mehr nur einzelne Gesetze kennen, sondern ihre Pflichten aus Datenschutz, Lieferkette, IT-Sicherheit, Nachhaltigkeit, Produktsicherheit, Arbeitsschutz, Umweltrecht und KI-Nutzung zusammenführen.

Mehrere aktuelle Regelwerke setzen ausdrücklich auf Risikomanagement, Dokumentation, Kontrolle und Nachweisfähigkeit. Die Datenschutz-Grundverordnung verlangt etwa, dass Verantwortliche die Einhaltung der Datenschutzgrundsätze nachweisen können. Auch die NIS-2-Richtlinie verpflichtet betroffene Einrichtungen zu technischen, operativen und organisatorischen Cybersecurity-Risikomanagementmaßnahmen. Die EU-Richtlinie zur unternehmerischen Nachhaltigkeitssorgfaltspflicht verpflichtet große Unternehmen zu Sorgfaltspflichten in Bezug auf Menschenrechte und Umwelt in eigenen Tätigkeiten, Tochterunternehmen und Wertschöpfungsketten.

Für Unternehmen bedeutet das: Compliance muss beweisbar werden. Ein bloßer Hinweis wie „Das machen wir schon“ reicht im Audit nicht.

Was ein gutes Compliance-Audit leisten sollte

Ein Compliance-Audit sollte nicht nur prüfen, ob Anforderungen formal bekannt sind. Es sollte zeigen, ob ein Unternehmen seine wesentlichen Compliance-Risiken systematisch steuert — mit klaren Verantwortlichkeiten, dokumentierten Maßnahmen, wirksamen Kontrollen und nachvollziehbaren Nachweisen. Als belastbarer Orientierungsrahmen eignet sich hierfür insbesondere ISO 37001.

Ein guter Auditansatz ist nicht nur kontrollierend, sondern steuernd: Er hilft Unternehmen, risikobehaftete Prozesse zu erkennen, Verantwortlichkeiten zu klären, Präventionsmaßnahmen zu überprüfen und Nachweise so zu strukturieren, dass sie im Ernstfall schnell auffindbar sind.

Der häufigste Fehler: Pflichten sind bekannt, aber nicht prüfbar dokumentiert

In vielen Unternehmen existieren Compliance-Maßnahmen verstreut in E-Mails, Excel-Listen, SharePoint-Ordnern, Ticketsystemen oder Abteilungsablagen. Das ist im Tagesgeschäft verständlich — im Audit aber riskant.

Typische Schwachstellen sind:

Schwachstelle Warum sie im Audit problematisch ist
Keine zentrale Übersicht über geltende Pflichten Das Unternehmen kann nicht zeigen, dass es relevante Anforderungen vollständig identifiziert hat.
Unklare Zuständigkeiten Maßnahmen bleiben liegen oder werden mehrfach, aber nicht verbindlich bearbeitet.
Fehlende Fristenüberwachung Gesetzliche Melde-, Prüf- oder Aktualisierungspflichten werden übersehen.
Maßnahmen ohne Nachweis Eine Maßnahme mag umgesetzt sein, ist aber nicht belegbar.
Keine Wirksamkeitskontrolle Das Unternehmen weiß nicht, ob Richtlinien, Schulungen oder Kontrollen tatsächlich funktionieren.

Gerade deshalb ist ein gepflegtes Rechtskataster für viele Unternehmen mehr als eine Übersicht. Es ist die Grundlage für auditfähige Compliance-Steuerung.

Die 10-Schritte-Checkliste für auditfeste Compliance

  1. Geltungsbereich festlegen

Vor jedem Audit sollte klar sein, welche Standorte, Gesellschaften, Prozesse, Rechtsbereiche und Managementsysteme betrachtet werden. Ohne definierten Geltungsbereich entsteht schnell ein Audit, das entweder zu oberflächlich bleibt oder sich in Einzelfragen verliert.

Praktisch heißt das: Unternehmen sollten vorab festlegen, ob etwa Datenschutz, Arbeitsschutz, Umweltrecht, IT-Sicherheit, Lieferkettenpflichten, KI-Nutzung oder branchenspezifische Pflichten geprüft werden.

  1. Relevante Pflichten im Rechtskataster erfassen

Das Rechtskataster sollte nicht nur Gesetze sammeln. Entscheidend ist die Übersetzung in konkrete Unternehmenspflichten.

Ein nutzwertiger Aufbau ist:

Feld im Rechtskataster Beispiel
Rechtsquelle Gesetz, Verordnung, Norm, Genehmigung, Bescheid
konkrete Pflicht Prüfung, Meldung, Schulung, Dokumentation, Risikoanalyse
betroffener Bereich Einkauf, HR, Produktion, IT, Datenschutz, Facility Management
Verantwortlicher Person oder Rolle
Frist / Intervall einmalig, jährlich, anlassbezogen, monatlich
Maßnahme Was muss getan werden?
Nachweis Womit wird die Erfüllung belegt?
Status offen, in Bearbeitung, umgesetzt, überfällig
letzte Prüfung Datum der letzten Kontrolle
nächste Prüfung Datum der nächsten Kontrolle

Die BAFA-Handreichungen zum Lieferkettensorgfaltspflichtengesetz zeigen beispielhaft, wie wichtig eine strukturierte Risikoermittlung, Gewichtung und Priorisierung ist. Dieses Prinzip lässt sich auch auf andere Compliance-Bereiche übertragen: Pflichten müssen nicht nur gesammelt, sondern bewertet und priorisiert werden.

  1. Risiken bewerten

Nicht jede Pflicht hat dieselbe Bedeutung. Ein wirksames Compliance-Audit sollte risikoorientiert vorgehen.

Dabei können Unternehmen prüfen:

Bewertungsfrage Nutzen
Wie wahrscheinlich ist ein Verstoß? Priorisierung knapper Ressourcen
Wie schwer wären die Folgen? Fokus auf Bußgelder, Haftung, Betriebsunterbrechung, Reputationsschäden
Welche Bereiche sind besonders betroffen? zielgenaue Maßnahmenplanung
Gibt es neue rechtliche Anforderungen? Aktualisierung des Rechtskatasters
Gab es Vorfälle, Beschwerden oder Auditfeststellungen? Lernen aus tatsächlichen Schwachstellen

Auch die BAFA-Handreichung zum Prinzip der Angemessenheit zeigt, dass Umsetzungspflichten nicht losgelöst vom Risiko betrachtet werden sollten, sondern nach Art und Umfang der Geschäftstätigkeit, Einflussvermögen, Schwere und Wahrscheinlichkeit der Verletzung sowie Verursachungsbeitrag einzuordnen sind.

  1. Verantwortlichkeiten verbindlich zuordnen

Eine Pflicht ohne Verantwortlichen ist im Audit eine offene Flanke. Deshalb sollte jede relevante Compliance-Pflicht einer Rolle oder Person zugeordnet sein.

Wichtig ist dabei die Unterscheidung zwischen:

Rolle Aufgabe
Pflichtverantwortlicher sorgt für Umsetzung im Fachbereich
Compliance / Rechtsabteilung unterstützt, bewertet, koordiniert
Geschäftsleitung trägt Gesamtverantwortung und stellt Ressourcen bereit
Interne Revision / Auditfunktion prüft unabhängig oder risikoorientiert
Dokumentationsverantwortlicher stellt Nachweise vollständig bereit

Die NIS-2-Richtlinie zum Beispiel macht deutlich, dass Cybersicherheit nicht nur IT-Sache ist: Sie enthält Governance-Anforderungen und Risikomanagementmaßnahmen für betroffene Einrichtungen. Übertragen auf Compliance-Audits heißt das: Zuständigkeiten müssen auf Leitungsebene und in den Fachbereichen klar geregelt sein.

  1. Maßnahmen ableiten

Aus jeder relevanten Pflicht sollte mindestens eine konkrete Maßnahme folgen. Das kann eine Richtlinie, Schulung, Kontrolle, Prüfung, technische Maßnahme, Lieferantenbewertung oder Dokumentation sein.

Ein auditfähiger Maßnahmenplan sollte mindestens enthalten:

Element Leitfrage
Maßnahme Was wird konkret getan?
Ziel Welche Pflicht oder welches Risiko wird adressiert?
Verantwortlicher Wer setzt die Maßnahme um?
Frist Bis wann?
Nachweis Woran erkennt man die Umsetzung?
Wirksamkeitsprüfung Wie wird überprüft, ob die Maßnahme funktioniert?

Gerade hier entsteht der größte Nutzwert eines digitalen Rechtskatasters: Es verbindet Pflichten mit Aufgaben, Fristen, Nachweisen und Kontrollen.

  1. Nachweise definieren

Ein häufiger Irrtum lautet: „Wenn die Maßnahme erledigt ist, reicht das.“ Im Audit zählt aber, ob die Umsetzung nachvollziehbar belegt werden kann.

Beispiele für geeignete Nachweise:

Compliance-Bereich Mögliche Nachweise
Datenschutz Verzeichnis von Verarbeitungstätigkeiten, Löschkonzept, Datenschutz-Folgenabschätzung, Schulungsnachweise
IT-Sicherheit Risikoanalysen, Backup-Protokolle, Incident-Reports, Berechtigungskonzepte
Arbeitsschutz Gefährdungsbeurteilungen, Unterweisungsnachweise, Prüfprotokolle
Umwelt / Energie Genehmigungen, Messberichte, Wartungsnachweise, Abfallnachweise
Lieferkette Risikoanalyse, Lieferantenbewertungen, Maßnahmenpläne, Beschwerdeverfahren
KI-Nutzung KI-Richtlinie, Tool-Verzeichnis, Risikobewertung, Transparenzhinweise, Schulungen

Auditfähigkeit entsteht nicht durch Absichtserklärungen, sondern durch belastbare Dokumente und überprüfbare Umsetzung.

  1. Wirksamkeit prüfen

Compliance ist nicht schon deshalb wirksam, weil eine Richtlinie veröffentlicht wurde. Unternehmen sollten regelmäßig prüfen, ob Maßnahmen tatsächlich funktionieren.

Geeignete Prüffragen sind:

Prüffrage Beispiel
Wird die Regel im Alltag angewendet? Stichproben in Prozessen
Verstehen Mitarbeitende die Vorgabe? Schulungstests oder Interviews
Gibt es Verstöße oder Beinahe-Vorfälle? Incident-Auswertung
Sind Nachweise vollständig? Dokumentenprüfung
Wurden Korrekturmaßnahmen umgesetzt? Follow-up-Audit

Die ISO 37301 betont nicht nur die Einführung, sondern auch Bewertung, Aufrechterhaltung und Verbesserung des Compliance-Management-Systems. Damit gehört Wirksamkeitskontrolle zum Kern einer lebendigen Compliance-Organisation.

  1. Abweichungen dokumentieren und Maßnahmen nachverfolgen

Ein Audit ohne Follow-up bringt wenig. Festgestellte Abweichungen sollten nicht in Protokollen verschwinden, sondern in konkrete Korrekturmaßnahmen überführt werden.

Ein praxistaugliches Abweichungsregister enthält:

Feld Zweck
Auditfeststellung Was wurde festgestellt?
Risiko Welche Auswirkung hat die Abweichung?
Ursache Warum ist die Abweichung entstanden?
Korrekturmaßnahme Was wird geändert?
Verantwortlicher Wer kümmert sich?
Frist Bis wann?
Status offen, in Bearbeitung, erledigt
Wirksamkeitsprüfung Hat die Maßnahme das Problem gelöst?

Das ist besonders wichtig, wenn Unternehmen mehrere Managementsysteme parallel betreiben, etwa Compliance, Informationssicherheit, Umweltmanagement oder Arbeitsschutz.

  1. Auditprogramm planen

Ein einzelnes Audit ist gut. Ein geplantes Auditprogramm ist besser. Unternehmen sollten deshalb festlegen, welche Bereiche wann, wie tief und durch wen geprüft werden. Ein einfaches Jahresprogramm kann so aussehen:

Quartal Schwerpunkt
Q1 Aktualität Rechtskataster, neue gesetzliche Anforderungen
Q2 Datenschutz, IT-Sicherheit, NIS-2-Betroffenheit
Q3 Arbeitsschutz, Umwelt, Anlagen- und Betriebspflichten
Q4 Lieferkette, Schulungen, Management-Review, Maßnahmen-Follow-up

Wichtig ist: Das Auditprogramm sollte risikoorientiert sein. Bereiche mit hohen Risiken, neuen Pflichten oder früheren Abweichungen sollten häufiger geprüft werden.

  1. Ergebnisse managementtauglich berichten

Ein Compliance-Audit sollte nicht in einer langen Mängelliste enden, die niemand liest. Die Geschäftsleitung braucht eine klare Entscheidungsgrundlage.

Ein guter Auditbericht beantwortet:

Frage Inhalt
Wo bestehen wesentliche Risiken? Top-Risiken und betroffene Bereiche
Welche Pflichten sind kritisch? Fristen, Bußgeldrisiken, Haftungsrisiken
Was funktioniert gut? vorhandene Stärken und wirksame Kontrollen
Wo bestehen Lücken? Abweichungen und Ursachen
Was muss entschieden werden? Ressourcen, Prioritäten, Verantwortlichkeiten
Bis wann muss gehandelt werden? Maßnahmenplan mit Fristen

Damit wird Compliance vom Kontrollthema zum Steuerungsinstrument.

Mini-Check: Ist Ihr Unternehmen auditbereit?

Unternehmen können mit diesen zehn Fragen schnell prüfen, wie auditfest ihre Compliance derzeit ist:

Frage Ja / Nein
Gibt es ein aktuelles Rechtskataster?
Sind alle Pflichten konkreten Verantwortlichen zugeordnet?
Gibt es Fristen und Wiedervorlagen?
Sind Maßnahmen aus Pflichten abgeleitet?
Gibt es zu jeder wesentlichen Maßnahme einen Nachweis?
Werden Risiken bewertet und priorisiert?
Werden Änderungen im Recht regelmäßig eingepflegt?
Werden Maßnahmen auf Wirksamkeit geprüft?
Gibt es ein Abweichungs- und Maßnahmenmanagement?
Erhält die Geschäftsleitung regelmäßige Compliance-Berichte?

Je häufiger die Antwort „Nein“ lautet, desto größer ist das Risiko, dass Compliance zwar organisatorisch gewollt, aber nicht auditfest nachweisbar ist.

Compliance braucht Belege, nicht Bauchgefühl

Compliance-Audits sind kein Selbstzweck. Sie zeigen, ob ein Unternehmen seine Pflichten kennt, Risiken angemessen bewertet, Maßnahmen wirksam umsetzt und Nachweise geordnet vorhalten kann.

Der größte Hebel liegt in der Verbindung von Rechtskataster, Risikobewertung, Maßnahmenmanagement und Nachweisführung. Wer diese vier Elemente sauber verknüpft, ist nicht nur besser auf Audits vorbereitet, sondern steuert Compliance auch im Alltag deutlich zuverlässiger.

, , ,

Produkthaftung 2.0: Warum die EU-Richtlinie 2024/2853 zur Compliance-Zeitbombe für Unternehmen werden kann

Die neue EU-Produkthaftungsrichtlinie verändert das Verhältnis zwischen Innovation, Digitalisierung und Unternehmenshaftung grundlegend. Was bislang häufig als juristisches Randthema behandelt wurde, entwickelt sich nun zu einem zentralen Compliance-Thema für Geschäftsführung, IT, Produktentwicklung, Qualitätsmanagement und Cybersecurity.

Dabei liegt die eigentliche Sprengkraft nicht in der Tatsache, dass Unternehmen künftig stärker haften. Die eigentliche Herausforderung ist, dass die Richtlinie die klassische Produkthaftung erstmals vollständig in die digitale Welt überträgt — einschließlich Software, KI-Systemen, Cloud-Funktionen, Updates und datenbasierter Dienste.

Die Mitgliedstaaten müssen die Richtlinie (EU) 2024/2853 bis spätestens 9. Dezember 2026 in nationales Recht umsetzen. Für Unternehmen bedeutet das: Die Zeit bis Ende 2026 ist keine Übergangsphase zum Abwarten — sondern die letzte realistische Gelegenheit, Compliance-Strukturen belastbar aufzubauen.

Was sich mit der neuen Produkthaftung grundlegend ändert

Die bisherige Produkthaftung basierte weitgehend auf einem industriellen Weltbild: physische Produkte, klar identifizierbare Hersteller, statische Funktionen. Dieses Modell passt nicht mehr zu modernen digitalen Ökosystemen. Die neue Richtlinie erweitert deshalb den Produktbegriff massiv. Künftig gelten ausdrücklich auch:

  • Software,
  • digitale Konstruktionsdaten,
  • Updates und Upgrades

als haftungsrelevante Produkte oder Produktbestandteile. Auch KI-gestützte Software und KI-Funktionalitäten können künftig ausdrücklich vom erweiterten Produktbegriff erfasst sein. Bestimmte verbundene digitale Dienste können haftungsrechtlich relevant werden, wenn sie für die Funktion eines Produkts wesentlich sind. Das ist kein kosmetisches Update, sondern ein Paradigmenwechsel. Ein Softwarefehler, ein fehlerhaftes KI-Modell, ein unsicheres Update oder eine mangelhafte Cloud-Anbindung können künftig dieselben haftungsrechtlichen Konsequenzen auslösen wie ein klassischer Konstruktionsfehler in einer Maschine.

Der eigentliche Gamechanger: Compliance wird zur Haftungsverteidigung

Die Richtlinie verschiebt die Logik der Produkthaftung. Bislang konnten Unternehmen häufig argumentieren: „Der konkrete Fehler lässt sich nicht eindeutig nachweisen.“ Künftig wird genau das schwieriger. Die neue Richtlinie erleichtert Geschädigten ausdrücklich die Durchsetzung von Ansprüchen — unter anderem durch:

  • Offenlegungspflichten für Unternehmen,
  • erleichterte Beweisführung,
  • Vermutungsregelungen zum Kausalzusammenhang,
  • erweiterte Dokumentationsanforderungen.

Das verändert die Rolle von Compliance fundamental: Sie gewinnt zusätzlich eine erhebliche Bedeutung für die prozessuale Verteidigung und Nachweisführung. Wer Risiken, Tests, Updates, Sicherheitsmaßnahmen und Governance nicht dokumentieren kann, verliert im Ernstfall möglicherweise nicht wegen eines technischen Fehlers, sondern wegen fehlender Nachweisfähigkeit.

Warum viele Unternehmen die Tragweite unterschätzen
Viele Organisationen betrachten die Richtlinie derzeit noch als „weiteres EU-Regulierungsthema“. Genau darin liegt das Risiko. Denn die neue Produkthaftung trifft nicht nur klassische Hersteller. Haftungsrelevant werden unter Umständen auch:

  • Softwareanbieter,
  • SaaS-Plattformen,
  • Integratoren,
  • Importeur:innen,
  • Fulfillment-Dienstleister,
  • Händler,
  • Unternehmen mit White-Label-Produkten,
  • Betreiber KI-gestützter Systeme,
  • Unternehmen mit Connected-Device-Ökosystemen.

Besonders problematisch: Viele mittelständische Unternehmen besitzen heute längst produktähnliche digitale Funktionen, ohne sich selbst als „Produkthersteller“ zu verstehen. Beispiele:

  • Maschinenbauer mit Remote-Maintenance,
  • MedTech-Unternehmen mit Cloud-Diagnostik,
  • Logistikplattformen mit KI-Entscheidungen,
  • IoT-Produkte mit OTA-Updates,
  • HR-Software mit automatisierten Bewertungen,
  • Smart-Building-Systeme,
  • digitale Patienten- oder Kundenschnittstellen.

Juristisch verschwimmt die Grenze zwischen „Produkt“, „Service“ und „Softwarefunktion“ zunehmend. Genau dadurch entsteht ein enormes Compliance-Risiko. Eine erhebliche Risikozunahme besteht auch durch die beträchtlichen Beweiserleichterungen für Verbraucher im Schadensfall.

Cybersecurity wird zum Haftungsthema

Besonders brisant ist die ausdrückliche Einbeziehung sicherheitsrelevanter Cybersecurity-Aspekte in die Fehlerbewertung eines Produkts. Das bedeutet praktisch: Ein Produkt kann künftig bereits deshalb als fehlerhaft gelten, weil

  • bekannte Schwachstellen nicht geschlossen wurden,
  • Updates fehlen,
  • Sicherheitsmechanismen unzureichend sind,
  • unsichere Drittkomponenten integriert wurden,
  • keine angemessene Sicherheitsarchitektur existiert.

Damit verschmilzt Produkthaftung zunehmend mit:

  • NIS2,
  • CRA (Cyber Resilience Act),
  • AI Act,
  • DSGVO,
  • ISO-27001-ähnlichen Sicherheitsstandards.

Unternehmen benötigen künftig keine isolierten Compliance-Projekte mehr, sondern integrierte Governance-Strukturen.

KI-Systeme: Das unterschätzte Langzeitrisiko

Die Richtlinie adressiert ausdrücklich auch KI-Systeme und dynamische Software. Gerade bei lernenden Systemen entsteht dadurch ein hochkomplexes Haftungsproblem: Wer trägt Verantwortung, wenn sich ein KI-System nach dem Inverkehrbringen verändert? Die Richtlinie wirft neue Haftungsfragen für adaptive und lernende Systeme auf, insbesondere wenn sich Funktionen nach dem Inverkehrbringen verändern. Das stellt viele heutige KI-Governance-Ansätze infrage.

Denn zahlreiche Unternehmen dokumentieren aktuell zwar Modelltraining, Initialtests und Datenschutzmaßnahmen, aber nicht ausreichend:

  • Drift-Überwachung,
  • Modellveränderungen,
  • Prompt-Manipulationen,
  • nachgelagerte Risiken,
  • Sicherheitsupdates,
  • menschliche Kontrollmechanismen.

Gerade generative KI und agentische KI-Systeme könnten hier zu erheblichen Rechtsunsicherheiten führen. Aktuelle wissenschaftliche Analysen weisen bereits darauf hin, dass dynamische KI-Agenten erhebliche Compliance-Herausforderungen im Zusammenspiel mit AI Act, Cybersecurity- und Produkthaftungsrecht erzeugen.

Dokumentation wird zur zentralen Überlebensstrategie

Die neue Produkthaftung belohnt nicht das „sicherste“ Unternehmen — sondern häufig das am besten dokumentierte. Entscheidend werden künftig unter anderem:

  • technische Dokumentationen,
  • Versionierung,
  • Risikobewertungen,
  • Testprotokolle,
  • Vulnerability-Management,
  • Lieferkettennachweise,
  • Open-Source-Dokumentation,
  • Verantwortlichkeitszuordnungen,
  • Incident-Historien.

Das ist insbesondere für Unternehmen problematisch, deren Entwicklungsprozesse historisch gewachsen sind. Denn viele Organisationen besitzen keine vollständige Software-Stückliste (SBOM), keine revisionssichere Updatehistorie, keine klare KI-Governance, keine belastbare Nachweiskette für Sicherheitsentscheidungen. Im Streitfall kann genau das existenzbedrohend werden.

Was Unternehmen jetzt konkret tun sollten

  1. Digitale Produkte identifizieren

Viele Unternehmen wissen nicht einmal, welche ihrer Leistungen künftig als „Produkt“ gelten könnten. Ein vollständiges Product-Mapping wird zwingend notwendig.

  1. Compliance-Silos auflösen

Produkthaftung darf nicht isoliert betrachtet werden. Relevante Bereiche müssen gemeinsam arbeiten:

  • Legal,
  • IT-Security,
  • Produktmanagement,
  • Qualitätsmanagement,
  • Datenschutz,
  • Einkauf,
  • KI-Governance.
  1. Dokumentationsfähigkeit prüfen

Die zentrale Frage lautet nicht „Sind wir compliant?“, sondern „Können wir unsere Compliance gerichtsfest nachweisen?“

  1. Cybersecurity als Haftungsprävention verstehen

Security wird künftig nicht mehr nur IT-Thema sein, sondern unmittelbarer Bestandteil der Produktsicherheit.

  1. KI-Governance professionalisieren

Unternehmen benötigen belastbare Prozesse für:

  • Modellkontrolle,
  • menschliche Aufsicht,
  • Änderungsmanagement,
  • Auditierbarkeit,
  • Sicherheitsüberwachung.

Dezember 2026 ist näher als viele glauben

Die EU-Produkthaftungsrichtlinie 2024/2853 ist keine rein juristische Reform. Sie verändert die operative Verantwortung digitaler Unternehmen grundlegend. Besonders gefährlich ist dabei die trügerische Ruhephase bis Dezember 2026. Denn wer erst auf nationale Umsetzungsgesetze wartet, verliert wertvolle Vorbereitungszeit. Die neue Realität lautet:

  • Digitale Funktionen werden zu haftungsrelevanten Produkten.
  • Cybersecurity wird Teil der Produktsicherheit.
  • KI-Systeme erzeugen neue Dauerhaftungsrisiken.
  • Dokumentation wird zur Verteidigungslinie vor Gericht.
  • Compliance entwickelt sich vom Verwaltungsprozess zum unternehmerischen Schutzschild.

Die Unternehmen mit den größten Problemen werden vermutlich nicht jene sein, die unsichere Produkte entwickeln — sondern jene, die ihre Sicherheit nicht beweisen können.

, ,

EU lockert Nachhaltigkeitsregeln für Unternehmen

Die Europäische Union hat das Omnibus-I-Paket zur Nachhaltigkeitsregulierung Ende 2025 auf den Weg gebracht und die Trilogverhandlungen abgeschlossen. Im Mittelpunkt stehen Erleichterungen bei der Nachhaltigkeitsberichterstattung, bei unternehmerischen Sorgfaltspflichten und bei Vorgaben der europäischen Taxonomie-Verodnung. Für Unternehmen bedeutet das weniger Pflichtumfang, aber keine Entwarnung für die Nachhaltigkeitscompliance.

Reformziel Omnibus-I-Paket

Das Omnibus-I-Paket soll bestehende Nachhaltigkeitsvorgaben vereinfachen und den administrativen Aufwand senken. Die Reform reagiert damit auf Kritik aus der Wirtschaft, Berichts- und Prüfpflichten für viele Unternehmen seien zu umfangreich geworden. Zugleich bleibt der politische Anspruch, wesentliche Transparenz- und Sorgfaltsstandards zu erhalten.

Besonders wichtig: Der Kreis unmittelbar betroffener Unternehmen wird deutlich kleiner. So soll die Pflicht zur Nachhaltigkeitsberichterstattung künftig erst ab 1.000 Beschäftigten und 450 Millionen Euro Nettoumsatz greifen. Die Vereinfachungen gelten rückwirkend ab Geschäftsjahr 2025.

Die folgende Tabelle fasst die wesentlichen Änderungen durch das Omnibus-I-Paket an der EU-Taxonomie-Verordnung (vorher: Verordnung (EU) 2020/852 mit Delegierten Akten) gegenüber dem Status vor der Reform zusammen.

Bereich Vorherige Regelung Nach Omnibus-I-Paket
Adressatenkreis Große Unternehmen (z. B. > 500 Beschäftigte, hohe Umsatzschwellen) müssen Umsatz/CapEx/OpEx taxonomiekonform angeben. Beschränkt auf die größten Unternehmen; Reduktion des Berichtsumfangs um bis zu 70%.
Wesentlichkeitsschwelle Keine kumulative Schwelle; alle relevanten Tätigkeiten vollständig zu prüfen und anzugeben. Unwesentliche Tätigkeiten (< 10% Umsatz/ CapEx/ OpEx je Kennzahl) können ausgelassen werden; separate Mitteilung erforderlich.
Meldebögen/Templates Umfangreiche Angaben mit vielen Datenpunkten. Vereinfachte Vorlagen; Reduktion um ca. 64% der Datenpunkte.
DNSH-Kriterien (Do No Significant Harm) Strenge Prüfung aller Stoffe (z. B. Ozonabbau, RoHS, SVHC-Liste REACH) ohne Ausnahmen. Vereinfacht: Ausnahmen für bestimmte Stoffe klarer formuliert (z. B. Ozon, RoHS-Übergänge, SVHC ab 0,1% mit Dokumentation); REACH-Kandidatenliste gestrichen.
Anwendung Vollständig seit 2022/2024. Änderungen ab 2026, optional rückwirkend für 2025; teilweise Bericht über teilkonforme Tätigkeiten möglich.

Folgen für die Berichtspflicht

Die Pflicht zur Nachhaltigkeitsberichterstattung wird damit deutlich stärker auf große Unternehmen konzentriert. Viele Unternehmen, die nach früheren Vorgaben hätten berichten müssen, werden nach der Reform nicht mehr unmittelbar erfasst. Für die verbleibenden Adressaten soll der Berichtsumfang zugleich übersichtlicher und handhabbarer werden.

Auch bei den unternehmerischen Sorgfaltspflichten ist eine Abschwächung vorgesehen. Die neuen Regeln setzen stärker auf risikoorientierte Prüfungen und auf höhere Schwellenwerte, statt breite Lieferkettenprüfungen in gleicher Intensität zu verlangen. Außerdem verschiebt sich der Beginn einzelner Pflichten zeitlich nach hinten.

Die Anforderungen der europäischen Taxonomie-Verordnung werden ebenfalls reduziert. Sie dienen der einheitlichen Klassifizierung wirtschaftlicher Aktivitäten als ökologisch nachhaltig. Der Schwerpunkt liegt künftig stärker auf den größten Unternehmen, während der Meldeaufwand für andere Unternehmen sinken soll.

Auswirkungen Omnibus-I-Paket auf die Compliance

Für die Unternehmenscompliance entsteht zunächst ein Entlastungseffekt. Weniger Berichtspflichten bedeuten weniger Datensammlung, weniger Abstimmungsaufwand und einen geringeren Bedarf an externer Prüfung. Das ist vor allem für Unternehmen wichtig, die bisher viel Aufwand in Nachhaltigkeitsstrukturen investieren mussten.

Die Entlastung darf jedoch nicht mit einem Wegfall aller Pflichten verwechselt werden. Auch Unternehmen außerhalb des unmittelbaren Pflichtenkreises können weiterhin Nachhaltigkeitsdaten liefern müssen, etwa gegenüber Kunden, Kreditgebern oder Konzernunternehmen. In der Praxis verlagert sich der Druck daher häufig von der Regulierung auf die Geschäftsbeziehungen.

Für die Compliance-Funktion bleibt deshalb die Aufgabe bestehen, Zuständigkeiten, Datenqualität und Dokumentation belastbar zu organisieren. Gerade wenn weniger gesetzliche Einzelvorgaben gelten, werden interne Steuerung, klare Prozesse und nachvollziehbare Kontrollen wichtiger.

Insgesamt ist das Omnibus-I-Paket als Kurskorrektur zu bewerten. Die Europäische Union versucht, die Nachhaltigkeitsregulierung auf ein praktikableres Maß zurückzuführen, ohne den Grundsatz von Transparenz und Verantwortung aufzugeben.

Für Unternehmen ist jetzt entscheidend, die neuen Schwellenwerte, Fristen und Restpflichten genau zu prüfen. Wer seine Compliance-Strukturen anpasst, sollte nicht nur auf die formale Berichtspflicht schauen, sondern auch auf die Anforderungen aus Lieferketten, Finanzierung und Vertrieb.

Die zentrale Botschaft lautet daher: weniger Pflicht, aber nicht weniger Sorgfalt. Nachhaltigkeits-Compliance bleibt ein Thema, nur mit engerem gesetzlichem Zuschnitt und stärkerem Fokus auf die tatsächlich relevanten Risiken.

, ,

Neue Regeln zu Sicherheitsbeauftragten: Weniger Pflichten, mehr Eigenverantwortung?

Der Deutsche Bundestag hat am 26. März 2026 eine weitreichende Änderung des Siebten Buches Sozialgesetzbuch (§ 22 SGB VII) beschlossen, die den betrieblichen Arbeitsschutz in Deutschland grundlegend neu ordnet. Kernpunkt der Reform ist die deutliche Anhebung des Schwellenwerts für die verpflichtende Bestellung von Sicherheitsbeauftragten. Während bislang Betriebe bereits ab 20 regelmäßig Beschäftigten eine solche Position besetzen mussten, greift diese pauschale Pflicht künftig erst ab einer Schwelle von 50 Mitarbeitern.

Diese Entscheidung folgt einer Initiative der Bundesregierung zur Entbürokratisierung und soll Unternehmen schätzungsweise 135 Millionen Euro pro Jahr an Verwaltungs- und Schulungskosten einsparen. Nach Angaben des Bundesministeriums für Arbeit und Soziales könnten durch die Neuregelung rund 123.000 bisherige Posten für Sicherheitsbeauftragte entfallen. Für Unternehmen in der Größenklasse zwischen 20 und 49 Beschäftigten gilt nun ein risikobasierter Ansatz: Eine Bestellung ist nur noch dann zwingend erforderlich, wenn die Gefährdungsbeurteilung nach § 5 Arbeitsschutzgesetz besondere Risiken aufzeigt oder die Unfallversicherungsträger dies in ihren Unfallverhütungsvorschriften explizit vorschreiben.

Die Argumente der Befürworter: Flexibilität statt Formularwesen

Wirtschaftsverbände und Handwerkskammern begrüßen die Reform als längst überfälligen Schritt zur Entlastung kleiner und mittelständischer Unternehmen (KMU), weil die starre 20-Personen-Grenze in modernen Büroumgebungen oder im Dienstleistungssektor oft nicht mehr der realen Gefahrenlage entsprochen habe. Durch weniger pauschale Pflicht erhielten Betriebe mehr organisatorische Freiheit. Die Befürworter betonen, dass die unternehmerische Verantwortung für die Sicherheit der Mitarbeiter unberührt bleibe, da die allgemeine Pflicht zur Gefährdungsbeurteilung weiterhin bestehe. Zudem sichere die risikoorientierte Lösung für Betriebe bis 50 Personen ab, dass in Branchen mit hohem Unfallrisiko – etwa im Baugewerbe – weiterhin Fachpersonal vor Ort präsent bleibt.

Ein gefährliches Spiel mit der Prävention?

Kritiker und Arbeitsschutzexperten sehen in der Neuregelung hingegen eine Aufweichung bewährter Sicherheitsstandards. Sicherheitsbeauftragte seien gerade deshalb so wertvoll, weil sie eben keine externen Berater, sondern Kollegen vor Ort sind. Sie fungieren als „Augen und Ohren“ der Prävention im Alltag. Durch die Anhebung des Schwellenwerts werde der Arbeitsschutz in zehntausenden Betrieben von einer gelebten, personengebundenen Struktur in eine rein dokumentationsbasierte Pflicht (die Gefährdungsbeurteilung) überführt.

Das Gesetz wird voraussichtlich Ende Mai 2026 nach der Zustimmung des Bundesrates in Kraft treten. Während die Politik von einem „Befreiungsschlag gegen die Bürokratie“ spricht, bleibt abzuwarten, ob die Unfallzahlen in kleineren Betrieben stabil bleiben.

Die Umkehr der Beweislast in der Compliance-Praxis

Die praktische Umsetzung der Neuregelung stellt Unternehmen vor eine paradoxe Herausforderung: Während die administrative Last der offiziellen Bestellung sinkt, steigen die Anforderungen an die rechtssichere Dokumentation und die interne Compliance-Struktur deutlich an.

Bisher galt die Bestellung eines Sicherheitsbeauftragten ab 20 Mitarbeitern als klarer „Safe Harbor“. Unternehmen konnten durch die bloße Ernennung und Schulung eine zentrale gesetzliche Anforderung leicht nachweisen. Mit dem neuen risikobasierten Ansatz für Betriebe bis 50 Beschäftigte verschiebt sich der Fokus von der formalen Pflicht zur inhaltlichen Rechtfertigung. In der Praxis bedeutet dies: Verzichtet ein Unternehmen künftig auf einen Beauftragten, muss die Gefährdungsbeurteilung so detailliert und fachlich fundiert sein, dass sie einer Prüfung durch die Berufsgenossenschaft oder im Falle eines Unfalls sogar einer staatsanwaltschaftlichen Ermittlung standhält.

Die Compliance-Abteilungen müssen daher neue Prüfprozesse implementieren. Es reicht nicht mehr aus, eine Mitarbeiterliste zu prüfen; es muss kontinuierlich evaluiert werden, ob sich die Risikoprofile im Betrieb ändern – etwa durch die Einführung neuer Maschinen, Chemikalien oder veränderter Arbeitsabläufe. Jede dieser Änderungen könnte die Schwelle zur Bestellungspflicht erneut überschreiten, was eine dynamische Überwachung der Gefährdungslage erfordert.

, ,

Gamechanger für Compliance: Die neue Strafschärfe im Außenwirtschaftsgesetz

Die AWG‑Novelle 2026 verschärft das deutsche Sanktionsstrafrecht grundlegend. Zahlreiche Verstöße gegen EU‑Restriktionen gelten nun als Straftaten, auch bei grober Fahrlässigkeit. Unternehmen müssen Sanktionslisten in Echtzeit prüfen und ihre Compliance‑Systeme nachweisbar aufrüsten – andernfalls drohen erhebliche Bußgelder, auch persönlich bei der Geschäftsleitung und strafrechtliche Sanktionen.

Die AWG-Novelle 2026 (Gesetz zur Anpassung von Straftatbeständen und Sanktionen bei Verstößen gegen restriktive Maßnahmen der EU) markiert eine Zäsur im deutschen Außenwirtschaftsrecht. Durch die Umsetzung der EU-Richtlinie 2024/1226 wurde das Sanktionsstrafrecht massiv verschärft. Seit dem Inkrafttreten am 5. Februar 2026 stehen Geschäftsführer und Unternehmen unter einem beispiellosen Compliance-Druck.

AWG-Novelle: Von der Ordnungswidrigkeit zur Straftat

Die Reform transformiert zahlreiche Tatbestände, die bisher lediglich als Ordnungswidrigkeiten (Bußgelder) geahndet wurden, in vollwertige Straftatbestände.

  • Kriminalisierung von Finanz- und Transaktionsverboten: Verstöße gegen Bereitstellungsverbote, Investitionsverbote oder das Erbringen bestimmter Dienstleistungen (z. B. Rechtsberatung oder IT-Services für sanktionierte Einheiten) sind nun gemäß § 18 AWG n.F. grundsätzlich Straftaten.
  • Strafbarkeit von Leichtfertigkeit: Erstmals werden auch leichtfertige (grob fahrlässige) Verstöße im Bereich der Dual-Use-Güter sowie bestimmte Umgehungstatbestände unter Strafe gestellt (§ 18 Abs. 8a AWG). Bisher war hier meist Vorsatz für eine strafrechtliche Verfolgung nötig.
  • Wegfall der 2-Tage-Karenzzeit: Die bisherige „Schonfrist“, nach der Verstöße gegen neue EU-Sanktionslisten in den ersten zwei Tagen oft straffrei blieben (§ 18 Abs. 11 AWG a.F.), wurde ersatzlos gestrichen. Unternehmen müssen Listenänderungen nun unverzüglich (Echtzeit-Anforderung) umsetzen.

Haftungsrisiken für Geschäftsführer und Management

Für die Leitungsorgane verschiebt sich das Risiko von reinen Bußgeldern hin zu persönlichen strafrechtlichen Konsequenzen.

Strafmaß und persönliche Folgen

  • Freiheitsstrafen: Der reguläre Strafrahmen für vorsätzliche Verstöße liegt bei drei Monaten bis zu fünf Jahren. In besonders schweren Fällen (§ 18 Abs. 6a AWG), etwa bei organisierter Verschleierung oder bandenmäßiger Umgehung, drohen bis zu 10 Jahre Haft.
  • Garantenstellung: Geschäftsführer begehen nach § 130 OWiG eine Ordnungswidrigkeit, wenn sie es unterlassen, ein angemessenes Compliance-System (ICP – Internal Compliance Program) einzurichten. Das Bußgeld kann dabei bis zu einer Million Euro betragen.
  • Berufsverbot: Eine strafrechtliche Verurteilung wegen AWG-Verstößen führt in der Regel zur Unzuverlässigkeit im Sinne der Gewerbeordnung und kann ein dauerhaftes Berufsverbot als Geschäftsführer nach sich ziehen.

Sanktionen gegen das Unternehmen

Die wirtschaftlichen Folgen für juristische Personen wurden vervierfacht:

Aspekt Alte Rechtslage (vor 2026) Neue Rechtslage (ab Feb. 2026)
Max. Bußgeld 10 Mio. EUR 40 Mio. EUR (§ 19 Abs. 7 AWG)
Umsatzbezug Kaum verankert Orientierung am weltweiten Konzernumsatz möglich
Einziehung Taterträge (Brutto-Prinzip) Verschärfte Abschöpfung aller Gewinne

Zusätzlich droht die Anteilspflegschaft (§§ 6b ff. AWG): Das Gericht kann bei schwerwiegenden Verstößen einen staatlichen Aufseher einsetzen, der Stimmrechte übernimmt und den Einfluss der Gesellschafter faktisch ausschaltet.

Auswirkungen der AWG‑Novelle 2026 auf die Unternehmenscompliance

Die Novelle erzwingt ein „Upgrade“ bestehender Systeme. Ein „Papiertiger-Compliance-Handbuch“ reicht nicht mehr aus.

  • Echtzeit-Screening: Da die Karenzzeit entfallen ist, müssen IT-Systeme Sanktionslisten-Updates (z. B. EU Financial Sanctions Database) automatisiert und unmittelbar verarbeiten.
  • Erweiterte Due Diligence: Die Neufassung des Umgehungsverbots (§ 18 Abs. 1 Nr. 3 AWG) verlangt eine tiefere Prüfung der „wirtschaftlich Berechtigten“ (Ultimate Beneficial Owner – UBO). Wer „die Augen verschließt“, handelt bereits leichtfertig und damit strafbar.
  • Dokumentationspflichten: Angesichts der Beweislastumkehr-Tendenzen in der Praxis müssen Freigabeprozesse (End-Use-Statements) revisionssicher dokumentiert werden, um den Entlastungsbeweis im Ermittlungsfall führen zu können.
Link zu: Get in touch

Sie suchen professionelle Compliance-Beratung? Hier sind Sie richtig!

SAT unterstützt Unternehmen, sämtliche relevanten rechtlichen Anforderungen
strukturiert zu identifizieren, aktuell zu halten und revisionssicher umzusetzen.

Xing Xing

Impressum | Datenschutzerklärung | Datenschutz in sozialen Medien

SAT GmbH & Co. KG | Berliner Allee 51-53 | 40212 Düsseldorf
Tel. +49 (0)151 401 077 10
Fax +49 (0)211 30 21 000-9
info@sat-team.org

Cookie-Einstellungen