„Es dauert 20 Jahre, sich eine Reputation zu erwerben und 5 Minuten, sie zu verlieren.“ Warren Buffet

Die Sensibilität für Compliance Themen ist in den meisten Unternehmen so hoch wie nie. Lt. einer aktuellen Compliance-Umfrage unter Geschäftsführern, Vorständen sowie Leitern und Mitarbeitern von Compliance- und Rechtsabteilungen verfügen bspw. mittlerweile 65% der deutschen Unternehmen über eine eigene Compliance-Abteilung und die Compliance-Kultur wird in 89% der Unternehmen vom Vorgesetzten vorgelebt. (An dieser Stelle wäre es  interessant zu erfahren, ob das auch in dieser Größenordnung in den Unternehmen wahrgenommen wird ;)).
Dennoch scheinen die Meldungen über rechtliche Verstöße von Unternehmen nicht abzureißen. Im Gegenteil. Immer neue Skandale erschüttern das Land und die Wirtschaft. Wirtschaftskriminalität wie der VW-Abgasskandal, Doping-Vergehen im Sport oder Missbrauch im Gesundheitswesen sind da nur einige Beispiele. Viele beschäftigen seit Jahren die Gerichte, führen zu bedeutenden Strafzahlungen, geschäftsschädigenden Reputationsverlusten und Kündigungen von sog. Whistleblowern. Wie die aktuellste, alle 2 Jahre durchgeführte KPMG-Studie zur Wirtschaftskriminalität in Deutschland zeigt, war seit 2015 jedes dritte Unternehmen von wirtschaftskriminellen Handlungen im eigenen Haus betroffen, bei den großen Unternehmen sogar fast 50% – eine ernüchternde Bilanz.
Daher sollten Unternehmen die Einrichtung, kontinuierliche Überprüfung und Anpassung von wirksamen Compliance-Strukturen und -Systemen sowie die Sensibilisierung für eine gelebte Compliance-Kultur weiter vorantreiben. Nähere Informationen über die Bedeutung und Entstehung von Compliance Management können Sie hier in unserem Blog nachlesen.

Was bedeuten diese 3 regulatorischen Änderungen für das Compliance Management?

Einige regulatorische Änderungen aus diesem und dem nächsten Jahr werden wegweisende Auswirkungen auf das Compliance Management in Unternehmen haben.

1. Änderung des Deutschen Corporate Governance Kodex

Im Frühjahr 2017 hat die Regierungskommission Deutscher Corporate Governance Kodex verschiedene Änderungen an dem Kodex vorgenommen, der für alle börsennotierten Unternehmen gilt. Ziel ist es, die Transparenz zu erhöhen und den Kodex an internationale Best Practice anzupassen. U.a. wurde dem Kodex eine neue Regelung hinzugefügt, die es u.a. Mitarbeiter_innen ermöglichen muss, anonyme Hinweise auf Regelverstöße zu geben:
“Er (der Vorstand) soll für angemessene, an der Risikolage des Unternehmens ausgerichtete Maßnahmen (Compliance Management System) sorgen und deren Grundzüge offenlegen. Beschäftigten soll auf geeignete Weise die Möglichkeit eingeräumt werden, geschützt Hinweise auf Rechtsverstöße im Unternehmen zu geben; auch Dritten sollte diese Möglichkeit eingeräumt werden.” (Quelle: Deutscher Corporate Governance Kodex, Fassung vom 07.02.2017, Punkt 4.1.3.)
Diese Kodex-Änderung kann für betroffene Unternehmen Anlass sein, ihr Compliance Management kritisch zu überprüfen und ggfs. nachzubessern.

2. BGH-Urteil über die bußgeldmindernde Wirkung eines Compliance Management Systems

In einem Urteil vom 09.05.2017 weist der Bundesgerichtshof erstmals auf die Bedeutung eines Compliance Management Systems für die Bemessung von Bußgeldern hin. Zugrunde lag ein Fall, bei dem ein Mitarbeiter aufgrund eines Bestechungsdelikts der Beihilfe zur Steuerhinterziehung beschuldigt und entsprechend verurteilt wurde. Gegen seinen Arbeitgeber, einen deutschen Lieferanten, wurde ein Bußgeld verhängt.  
Nach dem BGH-Urteil ist für die Bemessung der Geldbuße entscheidend, ob zum Zeitpunkt des Vergehens ein effektives Compliance Management System (CMS) zur Verhinderung von Rechtsverstößen im Unternehmen installiert war. Und nicht nur das: Das BGH erkennt zusätzlich als bußgeldmindernd an, wenn als Folge des Gerichtsverfahrens die bereits existierenden CMS-Regelungen optimiert und so gestaltet werden, dass ähnliche Normverletzungen zukünftig verhindert werden können.  
Der genaue Wortlaut des Urteils lautet wie folgt:
„Für die Bemessung der Geldbuße ist zudem von Bedeutung, inwieweit die Nebenbeteiligte ihrer Pflicht, Rechtsverletzungen aus der Sphäre des Unternehmens zu unterbinden, genügt und ein effizientes Compliance-Management installiert hat, das auf die Vermeidung von Rechtsverstößen ausgelegt sein muss […]. Dabei kann auch eine Rolle spielen, ob die Nebenbeteiligte in der Folge dieses Verfahrens entsprechende Regelungen optimiert und ihre betriebsinternen Abläufe so gestaltet hat, dass vergleichbare Normverletzungen künftig jedenfalls deutlich erschwert werden“. (BGH 1 StR 265/16, Rn. 118)

3. Die neue EU Datenschutz Grundverordnung

Am 25. Mai 2018 tritt die neue Datenschutz Grundverordnung (DSGVO) in Kraft, die einen einheitlichen Rechtsrahmen in allen EU-Staaten schaffen soll. Das bedeutet:

• Der Anwendungsbereich der DSGVO gilt ab dann für alle Verarbeitungen, die personenbezogene Daten von EU-Bürgern betreffen, egal ob das Unternehmen, das diese verarbeitet, in der EU sitzt oder nicht.
• Der Bußgeldrahmen bei Verstößen wird drastisch erhöht: auf bis zu 20 Millionen oder 4% des weltweiten Jahresumsatzes.

Darüber hinaus räumt die EU-DSGVO den betroffenen Personen mehr Rechte ein wie z.B. Informationsrechte, Recht auf Zugriff, Korrekturen und Vergessen personenbezogener Daten und das Recht auf Datenübertragung von einem auf einen anderen Anbieter.
Vor allem aufgrund der ab 2018 drohenden hohen Bußgelder wird der Datenschutz daher in Zukunft einen ähnlich gewichtigen Anteil für das Risikomanagement und die Compliance-Abteilungen haben wie Verstöße gegen Kartell-, Korruptions- oder Steuerrecht.

Welche Erkenntnisse können Unternehmen aus diesen Neuregelungen ziehen?

Der Druck für Unternehmen, im Bereich Compliance zu handeln und sich vorbeugend noch besser gegen Regelverstöße abzusichern, steigt mit zunehmender Anzahl von Regularien. Auch wenn – oder gerade weil – im Gegensatz zu anderen Ländern in Deutschland noch kein einheitliches Compliance Gesetz existiert, das rechtlich Halt und Struktur gibt, ist vorbeugendes Agieren allemal besser als im Ernstfall nachträgliches Reagieren.  
Neben der zunehmenden Verantwortung für Compliance Manager wächst aber auch gleichzeitig die Chance, mit geeigneten Compliance Maßnahmen die Risiken weiter zu minimieren und selbst für den Fall eines Regelverstoßes finanziell ggfs. “mit einem blauen Auge” davon zu kommen.
Nicht zuletzt trägt ein auf die individuellen Risiken des Unternehmens ausgerichtetes Compliance Management System, das von möglichst vielen Mitarbeitern im Unternehmen mitgetragen und -gelebt wird, zur Steigerung der Glaubwürdigkeit des Unternehmens gegenüber in- und ausländischen Geschäftspartnern bei und erhöht dessen Wettbewerbsfähigkeit. 

Webbasiertes Hinweisgebersystem bietet Unterstützung

Ein Compliance Management System besteht im besten Fall aus verschiedenen Bausteinen, die sich gegenseitig ergänzen und kontinuierlich evaluiert und weiterentwickelt werden müssen. Diese können von Compliance Richtlinien über interne Compliance Beauftragte und / oder einen anwaltlichen Ombudsmann bis hin zu einem digitalen Hinweisgebersystem reichen, über das Mitarbeiter Unregelmäßigkeiten melden können. Die Effektivität einer solchen Hinweisgeberplattform hängt dabei elementar davon ab, ob dem Hinweisgeber die vollständige Vertraulichkeit und Anonymität gewährleistet wird. Eine interne Hotline, die nur vom Firmentelefon aus erreichbar ist und damit die Telefonnummer des Hinweisgebers sichtbar macht, ist bspw. wenig hilfreich.
In einigen Ländern wie bspw. Frankreich sind Unternehmen ab einer bestimmten Größe bereits dazu verpflichtet, ein internes Whistleblowing-System zu installieren. In Deutschland dagegen sind webbasierte Hinweisgebersysteme bislang nur in einigen Branchen wie der Finanz- und Versicherungswirtschaft gesetzliche Pflicht. Aber auch ohne eine Vorgabe des Gesetzgebers ist die Implementierung einer Whistleblower-Plattform sinnvoll: zum einen aus den oben erwähnten strategischen Gründen, zum anderen um das persönliche Haftungsrisiko zu reduzieren, dem Unternehmer unterliegen. Außerdem sorgen technische Lösungen für Transparenz und Dokumentation – zwei wesentliche Bestandteile einer effektiven Compliance-Strategie.