Was bedeutet Compliance auf Deutsch?
Compliance bedeutet auf Deutsch „Regelkonformität“ oder „Regeltreue“. Der Begriff kommt vom englischen to comply with („einhalten, befolgen“) und bezeichnet im Unternehmenskontext die Einhaltung aller Gesetze, Verordnungen, vertraglichen Pflichten und internen Richtlinien, die für ein Unternehmen verbindlich sind – und zwar nachweisbar, nicht nur gut gemeint.
Ein Unternehmen ist „compliant“, wenn es weiß, welche Regeln für es gelten, diese Regeln in seinen Abläufen umgesetzt hat und das im Zweifel belegen kann. Compliance ist damit kein Zustand, sondern ein laufender Managementprozess aus drei Schritten:
- Identifikation: Welche Anforderungen gelten für uns – aus Gesetzen, Verträgen, Normen, eigenen Richtlinien?
- Umsetzung: Wie übersetzen wir diese Anforderungen in Prozesse, Verantwortlichkeiten und Kontrollen?
- Nachweis: Wie belegen wir gegenüber Behörden, Kunden, Auditoren und Gerichten, dass die Regeln eingehalten werden?
Der dritte Schritt unterscheidet Compliance von bloßer Rechtstreue: Wer sich an Regeln hält, es aber nicht nachweisen kann, ist im Prüffall nicht compliant.
Compliance im Unternehmensalltag: vier Beispiele
Compliance klingt abstrakt, zeigt sich aber in ganz konkreten Situationen:
- Ein Kunde schickt einen Lieferantenfragebogen zu Datenschutz und IT-Sicherheit und verlangt Nachweise. Compliance heißt hier: Die geforderten Richtlinien, Prozesse und Belege existieren und können vorgelegt werden – nicht nur angekreuzt. Warum der Haken allein nichts beweist, zeigt unser Beitrag zu Lieferantenfragebögen.
- Ein neuer Mitarbeiter wird eingestellt. Arbeitsvertrag, Datenschutzinformation, Verpflichtung auf Vertraulichkeit, Zugriffsrechte nur nach Rolle: Jede dieser Pflichten ist ein Compliance-Baustein.
- Die Geschäftsführung will ein KI-Tool einführen. Vor dem Einsatz sind Datenschutz (DSGVO), die Risikoklasse nach KI-Verordnung und interne Freigaberegeln zu prüfen – Compliance bedeutet, diese Prüfung durchzuführen und zu dokumentieren.
- Ein Sicherheitsvorfall tritt ein. Unter NIS-2 und DSGVO laufen dann Meldefristen von 24 bzw. 72 Stunden. Compliant ist, wer den Meldeweg vorher festgelegt und geübt hat.
Compliance, Informationssicherheit und Datenschutz: die Abgrenzung
Die drei Begriffe werden oft vermischt, meinen aber Unterschiedliches:
- Compliance ist der Oberbegriff: die Einhaltung aller verbindlichen Regeln – von Steuerrecht über Arbeitsrecht bis Lieferkettensorgfalt.
- Informationssicherheit schützt Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Sie ist ein eigenes Fachgebiet mit eigenen Standards (ISO 27001, BSI IT-Grundschutz) – und zugleich ein Teilbereich der Compliance, sobald Gesetze wie NIS-2 oder Kundenverträge Sicherheitsmaßnahmen verlangen. Welche Gesetze das sind, zeigt Informationssicherheit im Unternehmen: gesetzliche Pflichten.
- Datenschutz betrifft ausschließlich personenbezogene Daten (DSGVO, BDSG) und ist ebenfalls ein Compliance-Feld, das eng mit der Informationssicherheit verzahnt ist.
Praktisch heißt das: Ein Informationssicherheits-Managementsystem (ISMS) deckt einen wichtigen, aber nicht den gesamten Compliance-Bedarf ab. Umgekehrt bleibt ein Compliance-Programm ohne belastbare Informationssicherheit heute lückenhaft – IT-Sicherheit ist der am schnellsten wachsende Pflichtenbereich.
Die sechs wichtigsten Compliance-Bereiche
| Bereich | Wesentliche Regelwerke | Für wen | Typische Pflichten |
|---|---|---|---|
| Allgemeine Rechts-Compliance | HGB, AO, Arbeitsrecht (ArbZG, MiLoG), Wettbewerbsrecht | Jedes Unternehmen | Buchführung, Aufbewahrungsfristen, Arbeitszeit, Mindestlohn, Kartellverbot |
| Datenschutz | DSGVO, BDSG | Jedes Unternehmen mit personenbezogenen Daten | Verarbeitungsverzeichnis, Datenschutzbeauftragter ab 20 Personen, Betroffenenrechte, technische und organisatorische Maßnahmen, Meldung von Datenpannen in 72 Stunden |
| Korruption, Hinweisgeber, Lieferkette | StGB, Hinweisgeberschutzgesetz, Lieferkettensorgfaltspflichtengesetz, EU-Lieferkettenrichtlinie | Interne Meldestelle ab 50 Beschäftigten; LkSG ab 1.000 Beschäftigten | Verhaltenskodex, Meldekanal, Risikoanalyse der Lieferkette, Beschwerdeverfahren |
| IT-Sicherheit | NIS-2-Umsetzungsgesetz (BSIG), DORA, Cyber Resilience Act, KRITIS-Dachgesetz, Geschäftsgeheimnisgesetz | Regulierte Sektoren ab 50 Beschäftigten, Finanzsektor, Hersteller vernetzter Produkte; Geschäftsgeheimnisschutz für alle | Risikomanagement, Meldepflichten, Registrierung, Lieferkettensicherheit, Verantwortung der Geschäftsleitung |
| Nachhaltigkeit (ESG) | CSRD/ESRS, EU-Taxonomie, Entwaldungsverordnung | Große Unternehmen; Schwellen auf EU-Ebene in Überarbeitung | Nachhaltigkeitsbericht nach einheitlichen Standards, Prüfung |
| Künstliche Intelligenz | KI-Verordnung (EU) 2024/1689 | Anbieter und Betreiber von KI-Systemen | KI-Kompetenz, Transparenz, Risikoklassifizierung; bei Hochrisiko-KI Risikomanagement, Aufsicht, Dokumentation |
Die Tabelle zeigt zwei Muster. Erstens: Die Bereiche Datenschutz, IT-Sicherheit und KI überschneiden sich stark – ein KI-Tool berührt personenbezogene Daten, Informationssicherheit und die KI-Verordnung zugleich. Zweitens: Die Schwellen sinken. Was früher Konzerne betraf, gilt heute ab 50 Beschäftigten (Hinweisgeberschutz, NIS-2) oder ab 20 Personen (Datenschutzbeauftragter). Compliance ist damit auch für kleine und mittlere Unternehmen ein Pflichtthema geworden.
Was ist ein Compliance Management System (CMS)?
Ein Compliance Management System ist die Gesamtheit aller Strukturen, Prozesse und Maßnahmen, mit denen ein Unternehmen sicherstellt, dass geltende Regeln eingehalten werden. Es ist weder ein einzelnes Dokument noch eine Abteilung, sondern ein gelebtes System aus Regeln, Prozessen und Kultur.
Der deutsche Prüfungsstandard IDW PS 980 beschreibt sieben Grundelemente, an denen sich auch Unternehmen orientieren können, die kein geprüftes CMS anstreben:
- Compliance-Kultur – die Grundhaltung der Führung, der „Tone from the Top“.
- Compliance-Ziele – was das Unternehmen mit seinem System erreichen will.
- Compliance-Risiken – systematische Identifikation und Bewertung der relevanten Risiken.
- Compliance-Programm – Richtlinien, Verhaltenskodex, Schulungen, Kontrollen.
- Compliance-Organisation – Rollen, Verantwortlichkeiten, Ressourcen.
- Compliance-Kommunikation – Information der Mitarbeitenden, Meldekanäle, Berichtswege.
- Compliance-Überwachung und -Verbesserung – Kontrollen, Audits, Reaktion auf Verstöße.
Das ISMS nach ISO 27001 folgt derselben Logik für das Teilgebiet Informationssicherheit: Kontext, Führung, Risiken, Maßnahmen, Überwachung, Verbesserung. Beide Systeme sollten deshalb nicht nebeneinander, sondern ineinander aufgebaut werden – mit gemeinsamer Risikoanalyse, gemeinsamen Richtlinien und einer Nachweisstruktur. Ein wirksames CMS wirkt sich im Übrigen auch bei Sanktionen aus: Der Bundesgerichtshof hat 2017 entschieden, dass ein auf Verhinderung von Rechtsverstößen ausgelegtes Compliance-System bei der Bemessung einer Unternehmensgeldbuße zu berücksichtigen ist.
Persönliche Haftung der Geschäftsführung
Viele Unternehmer gehen davon aus, dass die Haftungsbeschränkung der GmbH sie persönlich schützt. Sie schützt aber nur die Gesellschafter gegenüber Gläubigern – nicht die Geschäftsführung gegenüber der Gesellschaft. Nach § 43 GmbHG haften Geschäftsführer, die die Sorgfalt eines ordentlichen Geschäftsmanns verletzen, der GmbH für den entstandenen Schaden; für Vorstände gilt § 93 AktG, und § 91 Abs. 2 AktG verlangt ausdrücklich ein System zur Früherkennung bestandsgefährdender Risiken.
Entscheidend ist das Organisationsverschulden: Haftung entsteht nicht erst durch den konkreten Verstoß, sondern bereits durch das Unterlassen angemessener Strukturen, die Verstöße verhindern könnten. Spezialgesetze konkretisieren das – am deutlichsten das NIS-2-Umsetzungsgesetz, das in § 38 BSIG die Leitungsorgane verpflichtet, Risikomanagementmaßnahmen zu billigen, zu überwachen und sich schulen zu lassen, und sie bei Verletzung haften lässt.
Was die Geschäftsführung schützt, ist nachweisbare Sorgfalt: dokumentierte Entscheidungen auf qualifizierter Informationsgrundlage (Business Judgement Rule), benannte Verantwortliche, regelmäßige Berichte und – wo intern das Wissen fehlt – externe Fachkräfte wie ein externer Informationssicherheits- oder Datenschutzbeauftragter, deren Beauftragung selbst ein Beleg für sorgfältiges Handeln ist. Die Verantwortung bleibt bei der Leitung; die Vorbereitung lässt sich delegieren.
Compliance umsetzen: Einstieg in fünf Schritten
- Betroffenheit klären. Welche Regelwerke gelten für Ihr Unternehmen – allgemein (HGB, DSGVO, Arbeitsrecht) und branchen- oder größenabhängig (NIS-2, DORA, LkSG, KI-VO)? Für NIS-2 hilft die Betroffenheitsprüfung des BSI.
- Verantwortung festlegen. Benennen Sie eine zuständige Person oder Rolle – intern oder extern, etwa als Informationssicherheits- oder Datenschutzbeauftragter – und lassen Sie die Geschäftsführung den Auftrag beschließen.
- Risiken bewerten und priorisieren. Nicht alles ist gleich dringend: Beginnen Sie bei den Pflichten mit den höchsten Sanktions- und Haftungsrisiken und bei dem, was Kunden konkret verlangen.
- Regeln, Prozesse und Nachweise aufbauen. Richtlinien kurz und verständlich halten, Verantwortliche eintragen, Nachweise an einem Ort sammeln. Die Routine – Nachweise einsammeln, Richtlinien bestätigen lassen, Kontrollen terminieren – lässt sich mit einer Compliance-Plattform weitgehend automatisieren; die Entscheidungen nicht.
- Regelmäßig prüfen und anpassen. Interne Audits, Managementbewertung und ein fester Rhythmus für Gesetzesänderungen halten das System lebendig.
Wer diese fünf Schritte strukturiert angeht, hat die Grundlage für ein Compliance-Management-System gelegt – alles Weitere ist eine Frage der Tiefe und des Reifegrads.
Fazit
Compliance ist auf Deutsch Regelkonformität – und im Unternehmen ein laufender Prozess aus Identifikation, Umsetzung und Nachweis. Die Pflichten wachsen in Breite (Datenschutz, Lieferkette, IT-Sicherheit, ESG, KI) und reichen immer tiefer in den Mittelstand hinein; die Verantwortung dafür trägt die Geschäftsführung persönlich. Ein Compliance-Management-System, in das die Informationssicherheit als ISMS eingebettet ist, erfüllt diese Pflichten einmal statt für jedes Gesetz neu.
Wo Ihr Unternehmen steht und welche Regelwerke für Sie gelten, klären wir in einem Erstgespräch.
