Betriebliche Zusatzleistungen – So steigen Sie Ihre Mitarbeiterzufriedenheit

Beim Wettbewerb um gute Mitarbeiter entscheidet längst nicht mehr nur das Gehalt. Wer zusätzliche Leistungen bietet — eine Sachbezugskarte, ein Jobticket, einen Zuschuss zur Altersvorsorge — steigert die Zufriedenheit im Team und bindet Leistungsträger. Der Charme für Sie als Arbeitgeber: Viele dieser Leistungen bleiben steuer- und sozialabgabenfrei und kosten Sie deutlich weniger als eine Gehaltserhöhung mit dem gleichen Effekt beim Netto.

Auf politische Einmalprämien sollten Sie dabei nicht setzen: Der für 2026 diskutierte steuerfreie Krisenbonus ist im Bundesrat gescheitert. Verlässlich sind die dauerhaft im Einkommensteuergesetz verankerten Leistungen — wenn ein paar Spielregeln eingehalten werden.

50 €

pro Monat und Mitarbeiter steuer- und abgabenfrei als Sachbezug

600 €

Spielraum im Jahr allein über den Sachbezug — plus Geschenke zu persönlichen Anlässen

≈ 720 €

weniger Kosten im Jahr je Mitarbeiter als bei einer Gehaltserhöhung mit gleichem Netto

Rechtsstand 2026 · § 8 EStG

Benefit oder Sozialleistung — der Unterschied in der Praxis

Im Alltag werden „Benefits“, „Zusatzleistungen“ und „betriebliche Sozialleistungen“ oft in einen Topf geworfen. Für Sie als Geschäftsführer zählt vor allem ein Unterschied: ob aus einer Leistung mit der Zeit ein Anspruch wird.

Betriebliche Sozialleistung

Eine Leistung, die der Absicherung oder Fürsorge dient — etwa die betriebliche Altersvorsorge, ein Kinderbetreuungszuschuss oder Gesundheitsförderung. Wird sie über längere Zeit ohne Vorbehalt gewährt, kann daraus eine betriebliche Übung entstehen, aus der die Mitarbeiter einen dauerhaften Anspruch ableiten.

Benefit

Eine freiwillige Leistung, die das Arbeitsverhältnis attraktiver macht — die Sachbezugskarte, das Jobticket, ein Zuschuss zum Fitnessstudio. Auch hier ist ein klarer Freiwilligkeitsvorbehalt sinnvoll, damit Sie steuern, ob ein dauerhafter Anspruch entsteht.

Entscheidend ist am Ende weniger der Name als die Frage, auf welcher Grundlage eine Leistung steuerfrei bleibt und welche Bedingung dafür gilt. Die folgende Übersicht ordnet die gängigsten Leistungen ein.

Die gängigsten steuerbegünstigten Leistungen

Leistung Rahmen Rechtsgrundlage Wesentliche Voraussetzung
Sachbezug (Gutschein, Geldkarte) bis 50 € im Monat steuer- und abgabenfrei § 8 Abs. 2 S. 11 EStG zusätzlich zum Lohn; keine Barauszahlung; Geldkarte muss die Vorgaben des § 2 Abs. 1 Nr. 10 ZAG erfüllen
Geschenk zu persönlichem Anlass bis 60 € je Anlass (z. B. Geburtstag, Jubiläum) R 19.6 LStR konkreter persönlicher Anlass; Sachzuwendung, kein Geld
Dienstwagen zur Privatnutzung geldwerter Vorteil pauschal (1-%-Regel) oder per Fahrtenbuch § 8 Abs. 2 EStG 1 % des Bruttolistenpreises je Monat oder Nachweis der Privatfahrten per Fahrtenbuch; reduzierter Satz für E-Fahrzeuge
Überlassung von Hardware (Smartphone, Notebook) private Mitnutzung steuer- und abgabenfrei § 3 Nr. 45 EStG Gerät bleibt Eigentum des Arbeitgebers (Überlassung, keine Übereignung)
Jobticket / Zuschuss ÖPNV steuerfrei, mindert die Entfernungspauschale § 3 Nr. 15 EStG zusätzlich zum Lohn; Nutzung im öffentlichen Nahverkehr
Betriebliche Gesundheitsförderung bis 600 € je Mitarbeiter und Jahr steuerfrei § 3 Nr. 34 EStG zertifizierte Maßnahmen nach § 20 SGB V; zusätzlich zum Lohn
Betriebliche Altersvorsorge Beiträge steuer- und abgabenfrei innerhalb der Höchstgrenzen § 3 Nr. 63 EStG zulässiger Versorgungsweg; bei Entgeltumwandlung Arbeitgeberzuschuss beachten
Kinderbetreuungszuschuss steuer- und abgabenfrei, ohne betragliche Grenze § 3 Nr. 33 EStG nicht schulpflichtige Kinder; Unterbringung z. B. im Kindergarten; zusätzlich zum Lohn

Rechtsstand 2026. Die Übersicht nennt die häufigsten Gestaltungen und ersetzt keine Prüfung des Einzelfalls.

Worauf es bei der Umsetzung ankommt

Die Beträge sind überschaubar, doch die Steuerfreiheit entfällt schnell, wenn eine formale Bedingung übersehen wird. Drei Punkte werden in Lohnsteuer-Prüfungen am häufigsten beanstandet.

Zusätzlich zum Lohn gewähren

Begünstigte Leistungen müssen zum vereinbarten Gehalt hinzukommen (§ 8 Abs. 4 EStG). Bestehenden Lohn in einen steuerfreien Sachbezug umzuwandeln ist nicht zulässig — geschieht es doch, entfällt die Steuerfreiheit.

Freigrenze nicht überschreiten

Die 50 € beim Sachbezug sind eine Freigrenze, kein Freibetrag. Schon ein Cent darüber macht den gesamten Betrag steuer- und abgabenpflichtig. Mehrere Sachbezüge eines Monats zählen zusammen, und ungenutzte Beträge lassen sich nicht in den Folgemonat übertragen.

Sauber dokumentieren

Sachbezüge gehören nachvollziehbar in die Lohnabrechnung. Bei Geldkarten muss sichergestellt sein, dass keine Barauszahlung möglich ist — sonst liegt steuerpflichtiger Barlohn vor.

Praxishinweis

Der Vorteil gegenüber einer Gehaltserhöhung entsteht gerade dadurch, dass weder Lohnsteuer noch Sozialabgaben anfallen. Genau deshalb schauen die Finanzbehörden bei der Prüfung genau hin. Eine sauber aufgesetzte Regelung mit Freiwilligkeitsvorbehalt und korrekter Lohnabrechnung sichert den Vorteil dauerhaft.

Häufige Fragen

Lohnt sich ein Sachbezug gegenüber einer Gehaltserhöhung?

Meist ja. Ein steuer- und abgabenfreier Sachbezug von 50 € im Monat kommt netto voll beim Mitarbeiter an, während von einer Gehaltserhöhung in gleicher Höhe nach Steuern und Abgaben nur ein Bruchteil bleibt. Zugleich sparen Sie die Lohnnebenkosten der Erhöhung. Voraussetzung: zusätzlich zum Lohn gewähren und die Freigrenze einhalten.

Können wir mehrere Leistungen kombinieren?

Ja, sofern jede Leistung für sich ihre Voraussetzung erfüllt und die jeweiligen Grenzen eingehalten werden. So lässt sich der Sachbezug etwa mit einem Jobticket und einem Gesundheitszuschuss verbinden. Wichtig ist, die Leistungen in der Abrechnung sauber zu trennen, weil sie auf verschiedenen Rechtsgrundlagen beruhen.

Was heißt „zusätzlich zum Lohn“ konkret?

Die Leistung muss zum vereinbarten Gehalt hinzukommen und darf nicht aus umgewandeltem Lohn finanziert werden. Wer einem Mitarbeiter anbietet, künftig einen Gehaltsteil als steuerfreien Sachbezug auszuzahlen, verstößt dagegen — die Steuerfreiheit entfällt. Die Altersvorsorge per Entgeltumwandlung folgt eigenen Regeln.

Welche Geldkarten sind als Sachbezug erlaubt?

Erlaubt sind Karten mit eingeschränktem Einsatzbereich — etwa begrenzt auf bestimmte Händler, Verbünde, Regionen oder Produktgruppen. Offene Prepaid-Kreditkarten mit allgemeiner Akzeptanz sowie Karten mit Bar- oder Überweisungsfunktion erfüllen die Vorgaben des Zahlungsdiensteaufsichtsgesetzes nicht und gelten als steuerpflichtiger Barlohn.

Wie funktioniert der Dienstwagen steuerlich?

Die Privatnutzung eines Dienstwagens ist ein geldwerter Vorteil. Er wird entweder pauschal mit 1 % des Bruttolistenpreises pro Monat angesetzt oder per Fahrtenbuch anhand der tatsächlichen Privatfahrten ermittelt. Für reine Elektrofahrzeuge gilt ein reduzierter Ansatz. Welche Methode günstiger ist, hängt vom Nutzungsverhalten ab.

Entsteht durch wiederholte Gewährung ein Anspruch?

Das kann passieren. Wird eine freiwillige Leistung lange ohne Vorbehalt gewährt, kann eine betriebliche Übung entstehen, aus der die Mitarbeiter einen Anspruch ableiten. Ein klar formulierter Freiwilligkeitsvorbehalt bei jeder Gewährung hilft, das zu steuern; seine Wirksamkeit hängt von der Ausgestaltung ab.

Das Reifegradmodell der ISO 50005: in vier Stufen zum Energiemanagement

Ein vollständiges Energiemanagementsystem nach ISO 50001 aufzubauen, ist für viele kleinere und mittlere Unternehmen ein großer Schritt – gerade dann, wenn weder Erfahrung mit Managementsystemen noch freie Personalkapazität vorhanden ist. Genau an dieser Stelle setzt die ISO 50005 an. Sie zerlegt den Weg zum Energiemanagement in überschaubare Stufen und erlaubt es, mit begrenzten Ressourcen dort zu beginnen, wo der Nutzen am größten ist. Wie dieses stufenweise Vorgehen im Detail funktioniert, zeigt ein Blick auf das Reifegradmodell, das im Kern der Norm steht.

ISO 50005:2021

„Energiemanagementsysteme – Leitfaden für eine phasenweise Umsetzung“ (englischer Originaltitel: Energy management systems – Guidelines for a phased implementation). Die Norm ist ein Leitfaden und ausdrücklich nicht zertifizierbar. Sie ist konsistent mit der ISO 50001:2018, deckt aber nicht alle deren Anforderungen ab. Ihr Ziel ist es, insbesondere kleinen und mittleren Organisationen einen niedrigschwelligen, schrittweisen Einstieg in ein Energiemanagementsystem (EnMS) zu ermöglichen.

Zwölf Elemente, vier Reifegrade

Das Modell der ISO 50005 beruht auf zwölf Kernelementen, die sich inhaltlich an den Abschnitten der ISO 50001:2018 orientieren, jedoch vereinfacht sind. Für jedes dieser Elemente beschreibt die Norm vier aufeinander aufbauende Reifegrade. Ein Unternehmen bestimmt zunächst seinen Ist-Zustand je Element und wählt dann das Niveau, das es als Nächstes erreichen möchte. Der entscheidende Gedanke dabei ist, dass nicht jedes Element sofort die höchste Stufe erreichen muss – die Reife darf je nach Bedeutung und Aufwand unterschiedlich ausfallen.

Die vier Reifegrade markieren einen wachsenden Umsetzungsstand, der von ersten, noch unsystematischen Ansätzen bis nahe an die Anforderungen der ISO 50001 reicht.

Reifegrad 1 – Energiemanagement ermöglichen

Eine erste Unterstützung durch die Leitung ist vorhanden, ein grundlegendes Bewusstsein für den Energieeinsatz entsteht und erste Energiedaten werden zusammengetragen, etwa aus vorhandenen Energierechnungen. Systematische Praktiken gibt es auf dieser Stufe noch nicht; sie schafft die Grundlage, auf der alles Weitere aufbaut.

Reifegrad 2 – Energiemanagement ausbauen

Eine Energiepolitik ist formuliert, ein verantwortliches Team benannt. Verbrauchs- und Kostendaten werden grundlegend analysiert, erste Einsparpotenziale werden bewertet. Einzelne systematische Praktiken setzen sich durch, ohne dass bereits ein durchgängiges System besteht.

Reifegrad 3 – EnMS entsteht

Die Praktiken werden systematisch, das Energiemanagement gewinnt strategische Bedeutung. Überwachung und Bewertung verbessern sich, die Einhaltung rechtlicher Vorgaben wird fester Bestandteil des Systems, und die Organisation beginnt, aus ihren Daten zu lernen und nachzusteuern.

Reifegrad 4 – EnMS etabliert

Das System verbessert sich kontinuierlich, die Kernelemente der ISO 50001 sind umgesetzt. Auf dieser Stufe ist die Organisation so weit, dass eine Gap-Analyse gegen die ISO 50001 sinnvoll wird – mit einigen Ergänzungen und Anpassungen lässt sich von hier aus die Konformität zur zertifizierbaren Norm erreichen.

Im Anhang B der Norm sind die Voraussetzungen für das Erreichen der Stufen eins bis vier für jedes Kernelement detailliert aufgelistet. Dieses Reifegradmodell erlaubt es, den eigenen Ist-Zustand zu bestimmen, Verbesserungspotenziale zu erkennen und erste Ziele festzulegen.

Die zwölf Kernelemente im Überblick

Die zwölf Elemente spannen den gesamten Bogen eines Energiemanagementsystems auf – von der grundlegenden Verankerung in der Organisation über die energetische Bewertung bis zur Überprüfung und Verbesserung. Sie lassen sich grob in einen Bereich der Führung und Planung und einen Bereich des Betriebs und der Verbesserung gliedern.

Führung & Planung

Den Rahmen setzen

Elemente, die das Energiemanagement in der Organisation verankern und die Grundlage für gezielte Maßnahmen legen.

  • Kontext der Organisation
  • Führung und Verpflichtung der Leitung
  • Ressourcen
  • Energiepolitik
  • Rollen, Verantwortlichkeiten und Befugnisse
  • Energetische Bewertung

Betrieb & Verbesserung

Wirksam werden

Elemente, die das System in den Alltag bringen, seine Leistung messen und die kontinuierliche Verbesserung sichern.

  • Ziele und Maßnahmenplanung
  • Kompetenz und Bewusstsein
  • Betrieb und Beschaffung
  • Überwachung und Messung der energiebezogenen Leistung
  • Bewertung der Einhaltung von Verpflichtungen
  • Überprüfung und kontinuierliche Verbesserung

Die genaue Bezeichnung und Zuordnung der Elemente ergibt sich aus den Tabellen der Norm; entscheidend für die Praxis ist, dass sich der Reifegrad je Element unterschiedlich entwickeln darf. Ein Unternehmen kann etwa bei der energetischen Bewertung bereits weit fortgeschritten sein, während die formale Energiepolitik noch am Anfang steht.

Wie ein stufenweises Vorgehen praktisch aussieht

Der erste Schritt ist immer die Bestimmung des Ist-Zustands: In welchem Reifegrad befindet sich das Unternehmen je Element? Aus dieser Standortbestimmung ergibt sich, wo sinnvoll begonnen wird. Die Norm empfiehlt, dort anzusetzen, wo das größte Verbesserungspotenzial besteht und wo sich die energiebezogene Leistung einfach oder kostengünstig verbessern lässt. Es ist ausdrücklich zulässig, sich zunächst nur auf einzelne Elemente oder Teilthemen zu konzentrieren, statt das gesamte System auf einmal aufzubauen.

Werden im Laufe der Zeit alle Elemente, Themen und Kriterien bis zur höchsten Stufe umgesetzt, lässt sich daraus mit einigen Ergänzungen die Konformität zur ISO 50001 herstellen. Die ISO 50005 ist damit kein Gegenentwurf zur zertifizierbaren Norm, sondern ein geordneter Weg dorthin – oder ein bewusst gewählter Endpunkt für Unternehmen, die ein wirksames Energiemanagement betreiben möchten, ohne eine Zertifizierung anzustreben.

Zum Mitnehmen

Die ISO 50005 macht den Aufbau eines Energiemanagementsystems planbar, weil sie ihn in zwölf Elemente und vier Reifegrade zerlegt. Unternehmen müssen nicht alles auf einmal leisten, sondern können dort beginnen, wo der Nutzen am größten und der Aufwand am geringsten ist – und sich von dort schrittweise bis zur ISO-50001-Konformität entwickeln, sofern sie das anstreben.

Häufige Fragen

Kann man sich nach ISO 50005 zertifizieren lassen?

Nein. Die ISO 50005 ist ein Leitfaden für die phasenweise Umsetzung und ausdrücklich nicht zertifizierbar. Sie führt ein Unternehmen jedoch so weit an die ISO 50001 heran, dass von der höchsten Reifestufe aus mit einigen Ergänzungen die Konformität zur zertifizierbaren ISO 50001 erreicht werden kann.

Worin unterscheidet sich die ISO 50005 von der ISO 50001?

Die ISO 50001:2018 ist die zertifizierbare Anforderungsnorm für ein vollständiges Energiemanagementsystem. Die ISO 50005:2021 ist ein damit konsistenter Leitfaden, der denselben Gegenstand in zwölf Elemente und vier Reifegrade zerlegt und so einen schrittweisen Einstieg erlaubt. Sie deckt nicht alle Anforderungen der ISO 50001 ab, bereitet deren Erfüllung aber strukturiert vor.

Muss jedes Element denselben Reifegrad erreichen?

Nein. Der Reifegrad darf je Element unterschiedlich ausfallen. Ein Unternehmen kann bei einem Element bereits eine hohe Stufe erreicht haben, während ein anderes noch am Anfang steht. Die Norm empfiehlt, dort mit der Weiterentwicklung zu beginnen, wo das größte Verbesserungspotenzial bei geringem Aufwand besteht.

Für wen eignet sich der Einstieg über die ISO 50005?

Die Norm richtet sich besonders an kleine und mittlere Organisationen sowie an Einrichtungen, die ein Energiemanagement mit begrenzten Ressourcen und in eigenem Tempo aufbauen möchten. Welcher Weg – Energieaudit, Stufeneinstieg nach ISO 50005 oder direkt das zertifizierte System nach ISO 50001 – im Einzelfall passt, ordnen wir in unserer Energiemanagement-Beratung ein.

ISO 31000: Risikomanagement als Führungsaufgabe

Risiken zu managen bedeutet nicht, sie zu vermeiden, sondern sie bewusst und nachvollziehbar in unternehmerische Entscheidungen einzubeziehen. Während gesetzliche Vorgaben wie die Krisenfrüherkennungspflicht das Ob eines Risikomanagements vorschreiben, beantwortet ISO 31000 die Frage nach dem Wie. Die Norm liefert einen anerkannten Rahmen, der das Risikomanagement aus der Rolle einer lästigen Berichtspflicht löst und es in die Führung des Unternehmens integriert.

ISO 31000:2018

„Risikomanagement – Leitlinien“, in Deutschland übernommen als DIN ISO 31000. Die Norm definiert Risiko als die Auswirkung von Unsicherheit auf Ziele – ausdrücklich nicht nur im Sinne einer Bedrohung, sondern auch als Chance. Sie ist als Leitfaden konzipiert und ausdrücklich nicht zertifizierbar; ihr Wert liegt in der methodischen Orientierung, nicht in einem Zertifikat.

Die drei Säulen der Norm

ISO 31000 ist um drei aufeinander aufbauende Bestandteile herum aufgebaut. Sie greifen ineinander: Die Grundsätze begründen, warum Risikomanagement betrieben wird, das Rahmenwerk sorgt für seine Verankerung in der Organisation, und der Prozess beschreibt das konkrete methodische Vorgehen.

Grundsätze

Der übergeordnete Zweck des Risikomanagements ist die Schaffung und Bewahrung von Werten. Daraus leiten sich die Eigenschaften eines wirksamen Risikomanagements ab: Es soll unter anderem integriert, strukturiert, maßgeschneidert, einbeziehend und dynamisch sein und auf der bestmöglichen verfügbaren Information beruhen.

Rahmenwerk

Das Rahmenwerk sorgt dafür, dass Risikomanagement in die Führungs- und Organisationsstrukturen eingebettet wird. Die überarbeitete Fassung von 2018 betont dabei ausdrücklich die Verantwortung der obersten Leitung – Risikomanagement ist demnach Führungsaufgabe, nicht delegierbare Nebentätigkeit.

Prozess

Der Risikomanagementprozess umfasst das Festlegen des Kontextes, das Beurteilen der Risiken (Identifikation, Analyse, Bewertung), ihre Behandlung sowie das fortlaufende Überwachen, Überprüfen, Aufzeichnen und Berichten – begleitet von durchgängiger Kommunikation mit den Beteiligten.

Warum die Norm eine Führungsaufgabe beschreibt

Die Revision von 2018 hat den Fokus spürbar auf die Leitungsebene verschoben. Risikomanagement wird nicht länger als nachgelagertes Reporting verstanden, das die eigentlichen Prozesse stört, sondern als integraler Bestandteil jeder unternehmerischen Entscheidung. Damit schlägt ISO 31000 die Brücke zwischen der rechtlichen Pflicht zur Risikofrüherkennung und ihrer praktischen Umsetzung: Wo das Gesetz ein angemessenes Früherkennungssystem verlangt, liefert die Norm die Methode, dieses System nachvollziehbar aufzubauen. Den strukturierten Aufbau eines solchen Systems begleitet die Risiko-Beratung, die die methodische Orientierung der Norm mit den konkreten Anforderungen Ihres Unternehmens verbindet.

Zum Mitnehmen

ISO 31000 ist kein Zertifikat, sondern ein methodischer Bezugsrahmen, der Risikomanagement in der Verantwortung der Unternehmensleitung verortet. Wer die drei Säulen – Grundsätze, Rahmenwerk und Prozess – konsequent anwendet, erfüllt nicht nur gesetzliche Erwartungen an die Risikofrüherkennung, sondern gewinnt eine belastbare Grundlage für unternehmerische Entscheidungen.

Häufige Fragen

Kann man sich nach ISO 31000 zertifizieren lassen?

Nein. ISO 31000 ist als Leitlinie konzipiert und sieht kein Zertifizierungsverfahren vor. Sie dient der methodischen Orientierung und lässt sich in bestehende Managementsysteme integrieren. Wer ein zertifizierbares System benötigt, kombiniert die Grundsätze der ISO 31000 in der Praxis häufig mit den Anforderungen anderer, zertifizierbarer Normen.

Worin unterscheidet sich ISO 31000 von der KonTraG-Pflicht?

Die gesetzliche Krisenfrüherkennungspflicht – ursprünglich aus dem KonTraG, heute rechtsformübergreifend über § 1 StaRUG – schreibt vor, dass ein Unternehmen ein angemessenes Risikofrüherkennungssystem unterhält. ISO 31000 sagt nichts über das Ob, sondern liefert die Methode für das Wie: einen anerkannten Rahmen, um ein solches System strukturiert aufzubauen und zu betreiben.

Ist die Norm auch für kleinere Unternehmen geeignet?

Ja. ISO 31000 ist ausdrücklich so angelegt, dass sie unabhängig von Größe, Branche oder Komplexität anwendbar ist. Einer ihrer Kerngrundsätze ist, dass das Risikomanagement maßgeschneidert auf die jeweilige Organisation zugeschnitten wird. Gerade für mittelständische Unternehmen lässt sich der Aufwand damit angemessen halten.

IT-Richtlinien für Mitarbeiter: Pflichtinhalte und Aufbau

Die meisten Sicherheitsvorfälle in Unternehmen beginnen nicht mit einem ausgefeilten Angriff, sondern mit einer alltäglichen Unachtsamkeit: einem unbedacht geöffneten Anhang, einem privat genutzten USB-Stick, einem schwachen Passwort. Eine klare IT-Richtlinie setzt genau hier an. Sie übersetzt die abstrakten Anforderungen der Informationssicherheit in verständliche Regeln für den Arbeitsalltag und schafft eine verbindliche Grundlage, auf die sich das Unternehmen im Zweifel berufen kann.

IT-Richtlinie

Eine IT-Richtlinie (oft auch IT-Nutzungsrichtlinie oder Acceptable Use Policy) ist eine verbindliche interne Regelung, die festlegt, wie Beschäftigte mit IT-Systemen, Daten und Diensten des Unternehmens umgehen dürfen. Sie konkretisiert die Vorgaben eines Informationssicherheits-Managementsystems auf der Ebene des täglichen Handelns und bildet zugleich die arbeitsrechtliche Grundlage für den Umgang mit Verstößen.

Welche Inhalte in eine IT-Richtlinie gehören

Eine wirksame Richtlinie bleibt nah am Arbeitsalltag und vermeidet rein technische Formulierungen, die im Tagesgeschäft niemand liest. Die folgenden Themenfelder bilden den Kern, der in nahezu jedem Unternehmen geregelt werden sollte; je nach Branche und Schutzbedarf kommen weitere Bausteine hinzu.

Zugang und Passwörter

Regeln zu Passwortqualität, zum Umgang mit Zugangsdaten und zur Mehr-Faktor-Authentifizierung. Festlegung, dass Zugänge personengebunden sind und nicht weitergegeben werden, sowie das Vorgehen beim Ausscheiden von Beschäftigten.

Umgang mit E-Mail und Internet

Hinweise zum Erkennen von Phishing, zum Umgang mit Anhängen und Links sowie zur Frage, ob und in welchem Umfang eine private Nutzung gestattet ist. Gerade die Regelung der Privatnutzung hat erhebliche datenschutz- und arbeitsrechtliche Bedeutung.

Geräte, Datenträger und mobiles Arbeiten

Vorgaben zur Nutzung dienstlicher und privater Geräte, zu Wechseldatenträgern, zur Verschlüsselung und zum Arbeiten außerhalb des Büros. Hierzu gehört auch der Umgang mit Cloud-Diensten und die Frage, welche Anwendungen für dienstliche Daten zugelassen sind.

Meldewege bei Vorfällen

Eine klare Anweisung, an wen sich Beschäftigte wenden, wenn sie einen Verdacht auf einen Sicherheitsvorfall haben – und die ausdrückliche Ermutigung, dies ohne Angst vor Schuldzuweisungen zu tun. Je früher ein Vorfall gemeldet wird, desto begrenzbarer ist der Schaden.

Eine Richtlinie wirkt nur, wenn sie gelebt wird

Ein Dokument allein verändert kein Verhalten. Damit eine IT-Richtlinie ihre Wirkung entfaltet, muss sie den Beschäftigten nachweislich bekannt gemacht, verständlich erläutert und regelmäßig aufgefrischt werden. Auch die arbeitsrechtliche Verbindlichkeit setzt voraus, dass die Kenntnisnahme dokumentiert ist. In Unternehmen mit Betriebsrat sind dessen Mitbestimmungsrechte zu beachten, insbesondere wenn die Richtlinie Verhaltens- oder Kontrollaspekte berührt. Die inhaltliche Ableitung der Richtlinie aus den übergeordneten Sicherheitszielen und ihre Einbettung in ein geordnetes Regelwerk begleitet bei Bedarf der externe Informationssicherheitsbeauftragte.

Zum Mitnehmen

Eine gute IT-Richtlinie ist kurz genug, dass sie gelesen wird, und konkret genug, dass sie im Zweifel trägt. Sie sollte die zentralen Felder – Zugang, Kommunikation, Geräte und Meldewege – verständlich abdecken, nachweislich bekannt gemacht und regelmäßig aktualisiert werden. So wird aus einer abstrakten Sicherheitsanforderung eine im Arbeitsalltag wirksame Regel.

Häufige Fragen

Ist eine IT-Richtlinie gesetzlich vorgeschrieben?

Es gibt keine Vorschrift, die ein einzelnes Dokument namens IT-Richtlinie ausdrücklich verlangt. Die Pflicht ergibt sich mittelbar: Aus dem Datenschutzrecht, aus branchenspezifischen Sicherheitsanforderungen und aus der Sorgfaltspflicht der Geschäftsleitung folgt die Notwendigkeit angemessener technischer und organisatorischer Maßnahmen. Eine schriftliche IT-Richtlinie ist das praktische Mittel, um diese organisatorischen Vorgaben verbindlich zu verankern und nachzuweisen.

Dürfen wir die private Nutzung von Internet und E-Mail verbieten?

Der Arbeitgeber kann die private Nutzung dienstlicher Systeme regeln, einschränken oder untersagen. Die Ausgestaltung hat allerdings erhebliche datenschutz- und arbeitsrechtliche Folgen, etwa für die Frage, ob und wie der Arbeitgeber auf Inhalte zugreifen darf. Eine eindeutige Regelung ist für beide Seiten vorteilhaft; in Unternehmen mit Betriebsrat ist dessen Beteiligung zu beachten.

Wie oft sollte eine IT-Richtlinie aktualisiert werden?

Eine feste Frist gibt es nicht. Sinnvoll ist eine Überprüfung mindestens einmal jährlich sowie anlassbezogen, wenn sich die technische Umgebung, die genutzten Dienste oder die rechtlichen Rahmenbedingungen wesentlich ändern. Wichtig ist, dass jede Aktualisierung den Beschäftigten erneut bekannt gemacht und die Kenntnisnahme dokumentiert wird.

KonTraG: Warum Risikofrüherkennung Chefsache ist

Wenn ein Unternehmen in eine existenzielle Schieflage gerät, fällt der Blick schnell auf die Geschäftsleitung: Hätte sie die Entwicklung früher erkennen müssen? Das deutsche Recht beantwortet diese Frage seit über zwei Jahrzehnten mit einem klaren Ja. Den Grundstein legte das KonTraG, das die Risikofrüherkennung zur ausdrücklichen Leitungsaufgabe erhob. Wer die Tragweite dieser Pflicht unterschätzt, riskiert nicht nur das Unternehmen, sondern auch die persönliche Haftung.

KonTraG

Das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich trat am 1. Mai 1998 in Kraft. Als Artikelgesetz änderte es vor allem das Aktiengesetz und das Handelsgesetzbuch mit dem Ziel, die Unternehmensführung und -überwachung zu verbessern. Kernstück ist der neu eingefügte § 91 Abs. 2 AktG, der den Vorstand verpflichtet, ein Überwachungssystem zur frühen Erkennung bestandsgefährdender Entwicklungen einzurichten.

Was das Gesetz konkret verlangt

Der Gesetzgeber formuliert in § 91 Abs. 2 AktG, der Vorstand habe geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden. Aus dieser knappen Vorschrift ergeben sich in der Praxis mehrere konkrete Anforderungen, die zusammen einen geschlossenen Regelkreis bilden.

Risiken identifizieren

Das Unternehmen muss systematisch erfassen, welche Entwicklungen seinen Fortbestand gefährden können. Da bestandsgefährdende Lagen meist aus dem Zusammenwirken mehrerer Einzelrisiken entstehen, reicht eine isolierte Betrachtung nicht aus; gefragt ist eine regelmäßige Risikoanalyse über alle wesentlichen Bereiche hinweg.

Risiken bewerten und verdichten

Die identifizierten Risiken werden nach Eintrittswahrscheinlichkeit und möglicher Auswirkung bewertet und anschließend zu einem Gesamtbild verdichtet (Risikoaggregation). Erst diese Aggregation zeigt, ob das Zusammenwirken einzelner Risiken eine bestandsgefährdende Schwelle erreichen könnte.

Überwachen und berichten

Das Überwachungssystem läuft fortlaufend, nicht punktuell. Wesentliche Risiken sind im Lagebericht des Jahresabschlusses darzustellen, und bei prüfungspflichtigen Gesellschaften beurteilt der Abschlussprüfer, ob das Früherkennungssystem seine Aufgabe erfüllen kann.

Nicht nur ein Thema für die Aktiengesellschaft

Der Wortlaut des § 91 Abs. 2 AktG richtet sich unmittelbar an den Vorstand einer Aktiengesellschaft. Dennoch reicht die Wirkung weit darüber hinaus. Über die sogenannte Ausstrahlungswirkung wird die Sorgfaltspflicht auch auf die Geschäftsführung einer GmbH übertragen, deren Pflichtenmaßstab sich aus § 43 GmbHG ergibt. Eine spürbare Verschärfung brachte das StaRUG: Seit dem 1. Januar 2021 normiert dessen § 1 eine rechtsformübergreifende Pflicht zur Krisenfrüherkennung und zum Krisenmanagement, die ausdrücklich für Geschäftsleiter haftungsbeschränkter Unternehmen jeder Größenordnung gilt. Damit ist die ursprünglich aktienrechtliche Anforderung im Kern für den gesamten Mittelstand verbindlich geworden.

1998

Inkrafttreten des KonTraG – seither ist die Risikofrüherkennung eine ausdrückliche Leitungsaufgabe.

§ 91 II

AktG – die zentrale Vorschrift, die zur Einrichtung eines Risikofrüherkennungssystems verpflichtet.

2021

Ausweitung durch § 1 StaRUG auf alle haftungsbeschränkten Gesellschaften – rechtsformübergreifend.

Warum Risikofrüherkennung Haftungsfragen berührt

Die adäquate Funktionsweise des Früherkennungssystems gehört zur Sorgfaltspflicht der Geschäftsleitung. Fehlt ein solches System oder werden erkannte Risiken nicht mit geeigneten Gegenmaßnahmen beantwortet, kann dies im Schadensfall zu einer persönlichen Innenhaftung führen – unabhängig davon, ob es später tatsächlich zu einem Restrukturierungs- oder Insolvenzverfahren kommt. Eine nachvollziehbare Dokumentation der Risikolage und der getroffenen Entscheidungen ist daher nicht nur eine Frage guter Unternehmensführung, sondern ein wirksamer Schutz für die handelnden Personen. Für den strukturierten Aufbau eines solchen Systems bietet die Compliance-Beratung den passenden Rahmen, in dem sich Risikofrüherkennung mit den übrigen Pflichten der Geschäftsleitung verzahnen lässt.

Zum Mitnehmen

Die Pflicht zur Risikofrüherkennung beginnt nicht erst in der Krise, sondern besteht im laufenden Betrieb. Wer als Geschäftsleitung ein funktionierendes Früherkennungssystem unterhält, die Risikolage regelmäßig bewertet und seine Entscheidungen dokumentiert, erfüllt nicht nur eine gesetzliche Vorgabe, sondern minimiert zugleich das eigene Haftungsrisiko.

Häufige Fragen

Gilt das KonTraG auch für meine GmbH?

Der Wortlaut des § 91 Abs. 2 AktG betrifft unmittelbar die Aktiengesellschaft. Über die Ausstrahlungswirkung und den Sorgfaltsmaßstab des § 43 GmbHG wird die Pflicht zur Risikofrüherkennung jedoch auch auf die GmbH-Geschäftsführung übertragen. Spätestens seit § 1 StaRUG zum 1. Januar 2021 gilt eine rechtsformübergreifende Pflicht, die ausdrücklich auch haftungsbeschränkte Gesellschaften jeder Größe erfasst.

Was bedeutet Risikoaggregation in diesem Zusammenhang?

Bestandsgefährdende Lagen entstehen selten aus einem einzelnen Risiko, sondern aus dem Zusammenwirken mehrerer Einzelrisiken. Die Risikoaggregation fasst diese Einzelrisiken zu einem Gesamtbild zusammen, um zu beurteilen, ob ihr kombiniertes Wirken eine existenzielle Schwelle erreichen könnte. Erst diese Gesamtschau macht die eigentliche Gefährdungslage sichtbar.

Welche Folgen hat ein fehlendes Früherkennungssystem?

Da der Betrieb eines funktionierenden Früherkennungssystems zur Sorgfaltspflicht der Geschäftsleitung gehört, kann sein Fehlen im Schadensfall eine persönliche Haftung begründen. Maßgeblich ist, ob bei rechtzeitiger Erkennung ein Schaden vermeidbar gewesen wäre. Eine sorgfältige Dokumentation der Risikobewertung und der eingeleiteten Maßnahmen ist daher von erheblicher Bedeutung.

Was tun im Notfall? Wie die ISO 22320 die Vorfallbewältigung strukturiert

Wenn ein Cyber-Angriff die Produktivsysteme lahmlegt oder ein Brand das Rechenzentrum trifft, entscheidet sich in den ersten Stunden, ob ein Unternehmen handlungsfähig bleibt. Genau für diese Phase – die operative Reaktion im akuten Moment – bietet die internationale Norm ISO 22320:2018 einen erprobten Rahmen. Sie beschreibt, wie Organisationen ihre Führung, Koordination und Kommunikation in der Lage so aufstellen, dass Entscheidungen schnell und nachvollziehbar getroffen werden können, statt im Krisenmoment improvisiert zu werden.

ISO 22320:2018

„Sicherheit und Resilienz – Notfallmanagement – Leitlinien für die Vorfallbewältigung“ (englischer Originaltitel: Security and resilience – Emergency management – Guidelines for incident management). Die Norm ist ausdrücklich ein Leitfaden, keine zertifizierbare Anforderungsnorm. Sie liefert Organisationen jeder Größe eine Struktur für Führung, Koordination und Informationsmanagement während eines Schadensereignisses. Die heute gültige Fassung von 2018 löste die ältere Version von 2011 ab, die noch als Anforderungsnorm konzipiert war.

Was die Norm im Kern regelt

ISO 22320 konzentriert sich auf die unmittelbare Bewältigung eines Vorfalls und gliedert diese in drei eng verzahnte Handlungsfelder. Anders als ein vollständiges Managementsystem schreibt die Norm keine Dokumentenpyramide vor, sondern beschreibt, welche Funktionen in der akuten Lage zuverlässig zusammenspielen müssen.

Führung und Entscheidungsstruktur

Im Zentrum steht eine klare Befehls- und Entscheidungsstruktur mit benannten Rollen und Eskalationsbefugnissen. Wer die Lage führt, wer Entscheidungen freigibt und wer in Vertretung übernimmt, ist vorab festgelegt – damit im Ernstfall keine Zeit mit Zuständigkeitsfragen verloren geht. Die Norm orientiert sich dabei am Gedanken eines abgestuften Führungssystems, wie es auch im behördlichen Einsatzwesen üblich ist.

Koordination und Zusammenarbeit

In größeren Lagen sind mehrere Stellen beteiligt – interne Teams, Dienstleister, gegebenenfalls Behörden und Rettungskräfte. ISO 22320 legt besonderen Wert darauf, wie diese Akteure ihre Maßnahmen aufeinander abstimmen, Schnittstellen definieren und Ressourcen gemeinsam einsetzen, ohne dass parallele oder widersprüchliche Anweisungen entstehen.

Informationsmanagement

Eine belastbare Reaktion setzt voraus, dass Informationen strukturiert erfasst, bewertet und an die richtigen Stellen weitergegeben werden. Die Norm beschreibt, wie ein verlässliches Lagebild entsteht und wie die Kommunikation nach innen und außen über benannte Rollen läuft, sodass alle Beteiligten auf demselben Informationsstand handeln.

Warum strukturierte Vorfallbewältigung den Unterschied macht

Die Bedrohungslage für mittelständische Unternehmen hat sich in den vergangenen Jahren spürbar verschärft. Ransomware-Angriffe, Ausfälle von Cloud-Diensten und der plötzliche Wegfall von Schlüsselpersonal treffen Organisationen heute mit einer Regelmäßigkeit, die eine geübte Reaktionsfähigkeit zur Pflicht macht. Die folgenden Werte verdeutlichen, in welchem Umfeld sich Vorfallbewältigung heute bewegt.

266 Tsd. €

durchschnittlicher Schaden durch einen erfolgreichen Cyber-Angriff bei kleinen und mittleren Unternehmen in Deutschland.

3 Felder

Führung, Koordination und Informationsmanagement – die drei Handlungsfelder, die ISO 22320 für die akute Lage zusammenführt.

2018

aktuelle Fassung der Norm, in der ISO 22320 vom Anforderungsdokument zum praxisorientierten Leitfaden weiterentwickelt wurde.

Schadenswert: Branchenerhebungen zur Cyber-Schadenslage im deutschen Mittelstand; Werte variieren je nach Unternehmensgröße und Vorfall.

ISO 22320 und ISO 22301 – zwei Normen, die zusammengehören

In der Praxis werden ISO 22320 und ISO 22301 häufig verwechselt, obwohl sie unterschiedliche Fragen beantworten. ISO 22301 beschreibt das übergeordnete Business-Continuity-Management-System – also die strategische Frage, wie ein Unternehmen kritische Prozesse über einen längeren Zeitraum aufrechterhält und nach einer Störung wieder anläuft. ISO 22320 setzt eine Ebene darunter an und strukturiert die operative Reaktion im akuten Moment. Wer beide Ebenen sauber verzahnt, schließt die Lücke zwischen dem strategischen Plan und dem konkreten Handeln in der Lage.

ISO 22320 — Vorfallbewältigung

Leitfaden für die operative Reaktion: Führung, Koordination und Informationsmanagement während eines Schadensereignisses. Beantwortet die Frage, wie im akuten Moment gehandelt wird. Nicht zertifizierbar.

ISO 22301 — Business Continuity

Zertifizierbares Managementsystem für die Geschäftsfortführung: Business Impact Analyse, Wiederanlaufpläne, Wiederanlaufzeiten und kontinuierliche Verbesserung. Beantwortet die Frage, wie das Unternehmen handlungsfähig bleibt.

Für den Aufbau eines vollständigen, zertifizierungsfähigen Managementsystems ist die BCM-Beratung nach ISO 22301 der passende Rahmen. Geht es zunächst um eine pragmatische, geübte Reaktionsfähigkeit ohne den vollen Zertifizierungsaufwand, ist der Einstieg über die Notfall- und Krisenmanagement-Beratung häufig der direktere Weg. ISO 22320 liefert in beiden Fällen die methodische Grundlage für die operative Reaktionsebene.

Zum Mitnehmen

ISO 22320 ist kein Zertifikat, sondern ein bewährter Bauplan für die Stunden, in denen es darauf ankommt. Eine Organisation, die ihre Führungs-, Koordinations- und Kommunikationswege vorab festgelegt und geübt hat, reagiert in der Lage strukturiert statt improvisiert – und genau das entscheidet darüber, ob ein Vorfall beherrschbar bleibt oder zur existenziellen Krise wird.

Häufige Fragen

Kann man sich nach ISO 22320 zertifizieren lassen?

Nein. ISO 22320:2018 ist ausdrücklich als Leitfaden konzipiert und enthält keine zertifizierbaren Anforderungen. Wer ein zertifizierbares Managementsystem benötigt – etwa weil ein Konzern, Großkunde oder Cyber-Versicherer den Nachweis fordert – baut dieses nach ISO 22301 auf. ISO 22320 kann dabei als methodische Grundlage für die operative Reaktionsebene dienen.

Worin unterscheidet sich ISO 22320 von ISO 22301?

ISO 22301 beschreibt das übergeordnete Business-Continuity-Management-System mit Business Impact Analyse, Wiederanlaufplänen und Wiederanlaufzeiten. ISO 22320 setzt eine Ebene darunter an und strukturiert die operative Vorfallbewältigung im akuten Moment – Führung, Koordination und Informationsmanagement. Die beiden Normen ergänzen sich und werden in der Praxis sinnvoll miteinander verzahnt.

Für welche Unternehmen ist ISO 22320 relevant?

Die Norm richtet sich an Organisationen jeder Größe und Branche. Besonders relevant ist sie für Unternehmen, die im Ernstfall mehrere interne und externe Stellen koordinieren müssen, sowie für Organisationen, die ihre Reaktionsfähigkeit nachweisbar strukturieren möchten – etwa im Rahmen regulatorischer Anforderungen oder als Bestandteil eines umfassenderen Business-Continuity-Managements.

Reicht ISO 22320 als alleinige Grundlage für die Krisenvorsorge?

ISO 22320 deckt die operative Reaktion ab, nicht aber die vorgelagerte Analyse und Planung. Welche Prozesse kritisch sind, welche Wiederanlaufzeiten gelten und welche Wiederherstellungsmaßnahmen angemessen sind, klärt eine Business Impact Analyse im Rahmen eines Business-Continuity-Managements. Für eine belastbare Krisenvorsorge sollten beide Ebenen zusammengeführt werden.

Gesprächsaufzeichnung nur mit ausdrücklicher Einwilligung des Kunden

„Dieses Gespräch wird zu Qualitätszwecken aufgezeichnet.“ Diesen Satz kennt jeder aus der Warteschleife. Was viele Unternehmen unterschätzen: Hinter dem beiläufigen Hinweis steht eine der wenigen Datenschutzfragen, bei denen nicht nur ein Bußgeld droht, sondern eine Freiheitsstrafe. Denn die Aufzeichnung eines Telefonats berührt zwei Rechtsgebiete gleichzeitig, das Datenschutzrecht und das Strafrecht. Wer hier ohne saubere Grundlage handelt, riskiert deutlich mehr als eine Beanstandung der Aufsichtsbehörde. Dieser Beitrag erklärt, wann eine Aufzeichnung erlaubt ist, wer einwilligen muss und wie eine rechtssichere Lösung im Unternehmensalltag aussieht.

Warum das Thema doppelt heikel ist

Im digitalen Vertrieb ist das Mitschneiden von Telefonaten zu einer Selbstverständlichkeit geworden. CRM- und Telefonie-Systeme bieten die Aufnahme ausgehender und eingehender Anrufe oft mit einem einzigen Klick an, und die Gründe klingen plausibel: Qualitätssicherung, Schulung neuer Mitarbeiter, Beweissicherung bei telefonischen Vertragsabschlüssen. Genau diese Leichtigkeit verführt dazu, die rechtliche Prüfung zu überspringen.

Der entscheidende Punkt, den der schnelle Klick verdeckt: Eine Telefonaufzeichnung ist nicht nur eine Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung, sondern zugleich ein möglicher Eingriff in die strafrechtlich geschützte Vertraulichkeit des Wortes. Beide Ebenen müssen erfüllt sein, und sie haben unterschiedliche Konsequenzen.

Strafrecht · § 201 StGB
  • Schützt die Vertraulichkeit des nichtöffentlich gesprochenen Wortes
  • Die unbefugte Aufnahme ist eine Straftat, bereits der Versuch ist strafbar
  • Strafrahmen bis zu drei Jahre Freiheitsstrafe oder Geldstrafe
  • Trifft die handelnde Person, also auch den Mitarbeiter selbst
Datenschutz · DSGVO
  • Die Aufzeichnung ist eine Verarbeitung personenbezogener Daten
  • Sie braucht eine Rechtsgrundlage nach Art. 6 DSGVO, in der Praxis die Einwilligung
  • Bei Verstoß drohen Bußgelder und Ansprüche der Betroffenen
  • Trifft das Unternehmen als Verantwortlichen

Wichtig ist das Zusammenspiel: Eine wirksame Einwilligung räumt beide Hürden zugleich aus dem Weg. Sie macht die Aufnahme im Sinne des § 201 StGB befugt und liefert gleichzeitig die Rechtsgrundlage nach der DSGVO. Fehlt sie, ist die Aufzeichnung in der Regel auf beiden Ebenen rechtswidrig.

Was § 201 StGB schützt

Verletzung der Vertraulichkeit des Wortes (§ 201 StGB)

Strafbar macht sich, wer unbefugt das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger aufnimmt, eine solche Aufnahme nutzt oder einem Dritten zugänglich macht. Ein Telefongespräch ist ein klassisches Beispiel für das nichtöffentlich gesprochene Wort. Auf den Inhalt kommt es nicht an, geschützt ist das Wort als solches.

Daraus folgt eine Konsequenz, die in der Praxis oft übersehen wird: Die Strafnorm schützt jeden Gesprächsteilnehmer. Es genügt also nicht, dass der Kunde einwilligt. Auch der Mitarbeiter, dessen Stimme aufgezeichnet wird, muss der Aufnahme zustimmen. Und umgekehrt erlaubt die eigene Zustimmung zur Aufzeichnung niemandem, das Gespräch des Gegenübers heimlich mitzuschneiden. Befugt ist die Aufnahme nur, wenn entweder eine gesetzliche Erlaubnis greift oder alle Beteiligten wirksam eingewilligt haben.

Gesetzliche Erlaubnisse sind die Ausnahme und für den Unternehmensalltag fast nie einschlägig. Sie betreffen etwa die Aufzeichnung von Notrufen bei 110 und 112. Die allgemeinen Rechtsgrundlagen der DSGVO und des Bundesdatenschutzgesetzes rechtfertigen das routinemäßige Mitschneiden von Kundengesprächen dagegen nicht. Für den Normalfall bleibt es deshalb bei der Einwilligung als einzig tragfähigem Weg.

Welcher Fall ist erlaubt, welcher nicht?

Die folgende Übersicht ordnet die typischen Konstellationen ein, die im Unternehmensalltag vorkommen.

Aufzeichnung nach Hinweis und aktiver Zustimmung beider Seiten vor Gesprächsbeginn

→
ZulässigEinwilligung nach Art. 6 Abs. 1 lit. a DSGVO, befugt im Sinne § 201 StGB

Live-Mithören durch Vorgesetzte oder Coaches, ohne dass aufgezeichnet wird

→
Eingeschränkt zulässig§ 201 StGB greift mangels Aufnahme nicht, eine DSGVO-Grundlage ist trotzdem nötig

Aufzeichnung trotz Widerspruch des Kunden oder mit reinem Opt-out

→
UnzulässigKeine wirksame Einwilligung, Verstoß gegen DSGVO und § 201 StGB

Heimliche Aufzeichnung zur späteren Beweisführung

→
Unzulässig und unbrauchbarStrafbar und vor dem Zivilgericht regelmäßig nicht verwertbar
Kein berechtigtes Interesse als Abkürzung: Qualitätssicherung oder Beweissicherung sind nachvollziehbare Ziele, sie ersetzen die Einwilligung aber nicht. Ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO trägt die routinemäßige Gesprächsaufzeichnung nach Auffassung der Aufsichtsbehörden gerade nicht.

Der oft übersehene Knackpunkt: die Einwilligung der Mitarbeiter

Bei der Kundenseite ist die Lösung klar: ein Hinweis vor dem Gespräch und eine aktive Zustimmung. Schwieriger ist die zweite, häufig vergessene Seite. Weil § 201 StGB auch die Stimme des Mitarbeiters schützt, braucht es auch dessen Einwilligung. Und genau hier liegt eine Falle, denn eine Einwilligung im Arbeitsverhältnis ist nicht ohne Weiteres wirksam.

Das Bundesdatenschutzgesetz verlangt in § 26 Absatz 2, dass bei der Beurteilung der Freiwilligkeit die Abhängigkeit der beschäftigten Person berücksichtigt wird. Wer Sorge haben muss, dass eine verweigerte Zustimmung beruflich nachteilig ausgelegt wird, willigt nicht wirklich freiwillig ein. Eine Einwilligung, die im Arbeitsvertrag oder unter dem Druck des Vorgesetzten erteilt wird, ist deshalb oft unwirksam. In der Praxis stützen Unternehmen die Aufzeichnung gegenüber den Beschäftigten daher meist nicht auf eine Einwilligung, sondern regeln sie über eine Betriebsvereinbarung.

Mitbestimmung beachten

Aufzeichnungssysteme sind technische Einrichtungen, die geeignet sind, das Verhalten und die Leistung der Beschäftigten zu überwachen. Ihre Einführung unterliegt damit der Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz. Wo ein Betriebsrat besteht, lässt sich die Aufzeichnung von Kundengesprächen ohne dessen Beteiligung nicht rechtssicher einführen. Die Betriebsvereinbarung schafft zugleich die saubere Grundlage für die Beschäftigtenseite.

Wie eine wirksame Einwilligung aussieht

Auf der Kundenseite muss die Einwilligung vor Beginn der Aufzeichnung vorliegen und vier Anforderungen erfüllen: Sie muss freiwillig, für den konkreten Fall, in informierter Weise und durch eine eindeutige bestätigende Handlung erteilt werden. Ein vorab geschaltetes Tonband, das lediglich mitteilt, das Gespräch werde aufgezeichnet, genügt nicht, wenn der Anrufer keine echte Wahl hat. Entscheidend ist, dass die Person aktiv zustimmt, nicht dass sie es versäumt zu widersprechen.

  • Hinweis auf die Aufzeichnung und ihren Zweck am Anfang des Gesprächs, bevor aufgenommen wird
  • Aktive Zustimmung durch eine eindeutige Handlung, etwa ein gesprochenes „Ja“ oder das Drücken einer Telefontaste
  • Eine echte Alternative für alle, die nicht zustimmen, also ein Gesprächsweg ohne Aufzeichnung
  • Dokumentation der Einwilligung, damit sie sich im Streitfall nachweisen lässt
  • Klare Zweckbindung: Nutzung nur für den vorab genannten Zweck, etwa Qualitätssicherung
  • Begrenzte Speicherdauer, in der Regel nicht länger als nötig, häufig wenige Monate
  • Auftragsverarbeitungsvertrag mit dem Anbieter, wenn ein externer Dienst die Aufnahmen verarbeitet

Ein verbreiteter Fehler ist die Opt-out-Lösung, bei der nur widersprechen kann, wer die Aufzeichnung nicht wünscht. Sie verkehrt das Prinzip der Einwilligung in sein Gegenteil. Ebenso unzulässig ist die in der Praxis anzutreffende Variante, dem Anrufer mitzuteilen, die Aufnahme lasse sich technisch nicht abschalten. Wer keine aufzeichnungsfreie Alternative anbietet, übt faktisch Zwang aus und macht die Einwilligung unwirksam.

Heimliche Aufnahmen taugen nicht einmal als Beweis

Ein häufiges Motiv für die heimliche Aufzeichnung ist die Sorge, im Streitfall ohne Beweis dazustehen. Dieser Gedanke führt in die Irre, denn die heimliche Aufnahme nützt vor Gericht gerade nichts. Nach ständiger Rechtsprechung des Bundesgerichtshofs unterliegen heimlich erstellte Gesprächsmitschnitte im Zivilprozess grundsätzlich einem Beweisverwertungsverbot, weil sie das allgemeine Persönlichkeitsrecht des Aufgezeichneten verletzen.

Die heimliche Aufnahme ist damit in doppelter Hinsicht ein Fehlgriff: Sie begründet eine Strafbarkeit nach § 201 StGB und einen Datenschutzverstoß, und sie liefert zugleich ein Beweismittel, das das Gericht in aller Regel nicht verwerten darf. Wer telefonische Zusagen belastbar dokumentieren möchte, erreicht das verlässlicher über eine offen angekündigte und einvernehmliche Aufzeichnung oder über eine schriftliche Bestätigung im Anschluss an das Gespräch.

Neue Frage: KI-gestützte Transkription und Analyse

Moderne Telefonie- und Vertriebssysteme zeichnen Gespräche nicht mehr nur auf, sondern transkribieren sie automatisch, fassen sie zusammen oder analysieren die Stimmung des Anrufers. Datenschutzrechtlich gelten dabei dieselben Grundsätze wie für die reine Aufnahme, allerdings verschärft. Jede dieser zusätzlichen Verarbeitungen braucht eine eigene Rechtsgrundlage, und die Betroffenen müssen über Zweck, Umfang und Funktionsweise informiert werden. Wer eine Stimmungsanalyse oder ein KI-Coaching auf Basis der Gespräche einführen möchte, sollte das nicht als bloße Nebenfunktion der Aufzeichnung behandeln, sondern als eigenständige Verarbeitung mit eigenem Prüfbedarf.

Unsere Empfehlung: Behandeln Sie die Gesprächsaufzeichnung nicht als technische Einstellung, sondern als Prozess mit zwei Seiten. Auf der Kundenseite brauchen Sie eine echte, aktiv erteilte Einwilligung vor Beginn der Aufnahme samt aufzeichnungsfreier Alternative; auf der Beschäftigtenseite in der Regel eine Betriebsvereinbarung unter Beteiligung des Betriebsrats statt einer Einwilligung. Wir prüfen Ihre vorhandene Praxis, gestalten die Einwilligungs- und Ansagetexte sowie die nötigen internen Regelungen und stimmen den Auftragsverarbeitungsvertrag mit Ihrem Telefonie-Anbieter ab. Die Verantwortung bleibt bei Ihnen; wir sorgen für die rechtssichere Grundlage.

Häufige Fragen

Reicht der Hinweis „Dieses Gespräch wird aufgezeichnet“?

Allein nicht. Der Hinweis ist nur der erste Schritt. Erforderlich ist eine aktive Zustimmung des Anrufers, etwa ein gesprochenes „Ja“ oder das Drücken einer Taste, und eine echte Möglichkeit, das Gespräch ohne Aufzeichnung fortzusetzen. Wird die Aufnahme als unabänderlich dargestellt, fehlt die Freiwilligkeit und die Einwilligung ist unwirksam.

Muss auch der Mitarbeiter einwilligen?

Ja, denn § 201 StGB schützt jeden Gesprächsteilnehmer, also auch die Stimme des Mitarbeiters. Eine Einwilligung der Beschäftigten ist allerdings wegen der Abhängigkeit im Arbeitsverhältnis oft nicht wirksam freiwillig. In der Praxis wird die Aufzeichnung gegenüber den Mitarbeitern deshalb meist über eine Betriebsvereinbarung geregelt, nicht über eine individuelle Einwilligung.

Dürfen wir Gespräche zur Qualitätssicherung aufzeichnen?

Nur mit Einwilligung. Qualitätssicherung ist ein legitimer Zweck, aber kein eigener Erlaubnistatbestand. Ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO trägt die routinemäßige Aufzeichnung nach Auffassung der Aufsichtsbehörden nicht. Sie brauchen daher auch zu diesem Zweck die vorherige, aktive Zustimmung des Anrufers.

Ist das bloße Mithören durch einen Vorgesetzten erlaubt?

Das reine Mithören ohne Aufzeichnung fällt nicht unter § 201 StGB, weil keine Aufnahme entsteht. Datenschutzrechtlich braucht es aber dennoch eine Grundlage. Gegenüber den Mitarbeitern lässt sich diese im Beschäftigungskontext schaffen, gegenüber dem Anrufer ist auch hier in der Regel dessen Einwilligung erforderlich.

Was droht bei einer unzulässigen Aufzeichnung?

Gleich mehreres. Strafrechtlich steht eine Geld- oder Freiheitsstrafe von bis zu drei Jahren im Raum, wobei bereits der Versuch strafbar ist. Datenschutzrechtlich drohen Bußgelder und Schadensersatzansprüche der Betroffenen. Hinzu kommen mögliche staatsanwaltschaftliche Ermittlungen und Reputationsschäden. Die heimliche Aufnahme ist zudem vor Gericht meist nicht verwertbar, der vermeintliche Beweis ist also wertlos.

Wie lange dürfen wir die Aufnahmen speichern?

Nur so lange, wie es für den genannten Zweck erforderlich ist. Für die Qualitätssicherung ist das in der Regel ein kurzer Zeitraum, da die wesentlichen Inhalte meist ohnehin anderweitig dokumentiert werden, etwa durch Bestätigungs-E-Mails. Eine pauschale Dauerspeicherung lässt sich nicht rechtfertigen; sinnvoll ist eine feste, eher knapp bemessene Löschfrist.

Einordnung

Die Aufzeichnung von Kundengesprächen ist erlaubt, aber sie verlangt mehr als einen Mausklick im Telefonie-System. Weil Datenschutzrecht und Strafrecht zusammentreffen, genügt es nicht, an die Einwilligung des Kunden zu denken; auch die Beschäftigtenseite und die betriebliche Mitbestimmung gehören dazu. Wer die Aufzeichnung sauber aufsetzt, gewinnt ein verlässliches Werkzeug für Service und Schulung. Wer sie nebenbei einführt, riskiert ein Bußgeld, ein Strafverfahren und am Ende ein Beweismittel, das vor Gericht nichts wert ist.

Selbstauskünfte bei Mietinteressenten – was ist erlaubt?

Hintergrund

Die Hamburgische Landesdatenschutzaufsicht (HmbBfDI) führte vor Kurzem eine Stichprobenkontrolle bei einer Mandantin, einer großen Immobilienverwalterin in Hamburg durch. Konkret geprüft wurde, welche Angaben im Rahmen von Selbstauskünften bei Mietinteressentinnen und Mietinteressenten erhoben werden — und auf welcher Grundlage. Anlass solcher Kontrollen ist die im Januar 2026 in der Version 2.0 erschienene Orientierungshilfe der Datenschutzkonferenz (DSK), die genau festlegt, welche Fragen zu welchem Zeitpunkt zulässig sind und welche nicht. Der Befund in der Praxis ist häufig derselbe: Im Einsatz sind Selbstauskunfts-Formulare, die teils seit Jahren nicht überarbeitet wurden und Fragen enthalten, die nach heutigem Maßstab unzulässig sind.

Wer Wohnraum vermietet oder verwaltet, steht damit vor einer konkreten Aufgabe: Das eigene Formular und der gesamte Erhebungsprozess gehören auf den Prüfstand. Dieser Beitrag fasst zusammen, was die Orientierungshilfe für die tägliche Arbeit bedeutet — welche Daten erhoben werden dürfen, welche tabu sind und warum der Zeitpunkt der Erhebung über die Zulässigkeit entscheidet.

Warum alte Formulare zum Problem werden

Viele Selbstauskünfte stammen aus einer Zeit, in der ein umfangreicher Datenkatalog als selbstverständlich galt. Familienstand, Staatsangehörigkeit, Beschäftigungsdauer, Angaben zur Familienplanung — solche Felder finden sich bis heute in gängigen Vordrucken, obwohl ihre Erhebung datenschutzrechtlich nicht haltbar ist. Hinzu kommt, dass viele Formulare alle Angaben pauschal zu Beginn abfragen, also bereits beim ersten Kontakt oder beim Besichtigungstermin, ohne nach dem Stand des Vermietungsprozesses zu unterscheiden.

Genau hier setzt die Orientierungshilfe an. Sie verlangt eine Trennung der Datenerhebung nach dem zeitlichen Verlauf der Vermietung. Je weiter der Prozess fortgeschritten ist, desto mehr Angaben dürfen erhoben werden — und umgekehrt sind frühe Erhebungen umfangreicher Daten regelmäßig unzulässig. Ein Formular, das diese Staffelung nicht abbildet, wird bei einer aufsichtsbehördlichen Prüfung kaum bestehen.

Die Rechtsgrundlage verschiebt sich

Im Besichtigungstermin stützt sich die Datenerhebung regelmäßig auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Sobald Mietinteressentinnen und Mietinteressenten erklären, eine konkrete Wohnung anmieten zu wollen, entsteht ein vorvertragliches Schuldverhältnis — ab diesem Punkt ist Art. 6 Abs. 1 lit. b DSGVO maßgebend. Steht eine dieser Grundlagen zur Verfügung, ist ein Rückgriff auf die Einwilligung ausgeschlossen.

Was zu welchem Zeitpunkt erlaubt ist

Der entscheidende Gedanke der Orientierungshilfe lässt sich in drei Stufen fassen. Mit jeder Phase erweitert sich der Kreis der Angaben, die erhoben werden dürfen. Was eine Phase erlaubt, schließt das zuvor Zulässige jeweils ein.

Phase 1

Besichtigungstermin

Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f)

  • Name, Vorname, Anschrift
  • Identitätsprüfung durch Vorzeigen des Ausweises, ohne Kopie
  • Wohnberechtigungsschein nur bei gefördertem Wohnraum (§ 27 WoFG)

Phase 2

Erklärung zur Anmietung

Rechtsgrundlage: vorvertragliches Schuldverhältnis (Art. 6 Abs. 1 lit. b)

  • Anzahl einziehender Personen
  • Beruf und Arbeitgeber zur Bonitätsbeurteilung
  • Nettoeinkommen Angabe eines Grenzwerts genügt
  • Laufendes Verbraucherinsolvenzverfahren

Phase 3

Entscheidung für eine Person

Erst nach Auswahl der erstplatzierten Person

  • Einkommensnachweise geschwärzt, nur erforderliche Angaben
  • Bonitätsauskunft auf den Mietzweck beschränkt
  • Frühere Pflichtverletzungen nur erhebliche, begrenzt

Unabhängig von der Phase bleibt eine Reihe von Angaben durchgehend unzulässig. Sie sind für die Beurteilung eines Mietverhältnisses nicht erforderlich oder zählen zu den besonderen Datenkategorien nach Art. 9 DSGVO, deren Verarbeitung grundsätzlich untersagt ist.

In keiner Phase zulässig

  • Ausweiskopie Vorzeigen genügt
  • Familienstand
  • Staatsangehörigkeit
  • Religion, ethnische Herkunft besondere Datenkategorie
  • Vorstrafen, Ermittlungsverfahren
  • Schwangerschaft, Kinderwunsch
  • Partei- oder Mietvereinszugehörigkeit
  • Dauer der Beschäftigung

Die Einwilligung ist kein Ausweg

Ein verbreiteter Irrtum besteht darin, unzulässige Datenabfragen über eine Einwilligungserklärung im Formular abzusichern. Das funktioniert nicht. Steht für die Erhebung eine gesetzliche Grundlage zur Verfügung — das berechtigte Interesse oder das vorvertragliche Schuldverhältnis —, schließt diese eine Einwilligung für denselben Zweck aus. Und dort, wo keine gesetzliche Grundlage besteht, fehlt es an der Freiwilligkeit: Wer den Abschluss des Mietvertrags von der Preisgabe nicht erforderlicher Angaben abhängig macht, erzeugt eine Zwangslage, in der nach Art. 4 Nr. 11 und Art. 7 Abs. 4 DSGVO keine wirksame Einwilligung zustande kommt.

Neu im Musterfragebogen

Die Version 2.0 enthält einen ausdrücklichen Warnhinweis gegen die unaufgeforderte Zusendung nicht erforderlicher Unterlagen. Gerade in angespannten Wohnungsmärkten neigen Interessentinnen und Interessenten dazu, ungefragt Bonitätsauskünfte, Gehaltsabrechnungen oder Ausweiskopien beizulegen. Werden solche Unterlagen verarbeitet, obwohl sie im jeweiligen Verfahrensstand noch nicht erforderlich sind, liegt die Verantwortung bei der verarbeitenden Stelle. Der Hinweis sollte daher sichtbar in das Formular aufgenommen werden.

Löschpflichten nicht übersehen

Mit der Erhebung ist es nicht getan. Daten von Personen, mit denen kein Vertrag zustande kommt, sind zu löschen, sobald sie für den Erhebungszweck nicht mehr benötigt werden (Art. 17 Abs. 1 lit. a DSGVO). Weil abgelehnte Interessentinnen und Interessenten Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz geltend machen könnten, ist eine Löschung regelmäßig spätestens nach sechs Monaten angezeigt, sofern keine weiteren Ansprüche im Raum stehen. Das verbreitete Führen einer „schwarzen Liste“ auffälliger Interessentinnen und Interessenten oder ein Abgleich mit einem vorhandenen Datenbestand ist wegen der überwiegenden entgegenstehenden Interessen grundsätzlich unzulässig.

Was jetzt zu tun ist

  • Das eingesetzte Selbstauskunfts-Formular auf unzulässige Felder durchsehen — insbesondere Familienstand, Staatsangehörigkeit, Beschäftigungsdauer und Angaben zur Familienplanung.
  • Die Datenerhebung nach den drei Phasen staffeln, statt alle Angaben pauschal zu Beginn abzufragen.
  • Einwilligungserklärungen aus dem Formular entfernen, wo eine gesetzliche Grundlage besteht.
  • Den Warnhinweis gegen unaufgefordert zugesandte Unterlagen sichtbar aufnehmen.
  • Ein Löschkonzept mit der Sechs-Monats-Frist hinterlegen und das Führen von „schwarzen Listen“ unterbinden.
  • Beteiligte Maklerinnen, Makler und Hausverwaltungen auf denselben Stand bringen, da auch deren Verarbeitung den Anforderungen unterliegt.

Häufige Fragen

Dürfen wir beim Besichtigungstermin schon eine Selbstauskunft verlangen?

In aller Regel nicht im vollen Umfang. Für die reine Besichtigung sind Angaben zu den wirtschaftlichen Verhältnissen nicht erforderlich. Zulässig sind im Wesentlichen Name, Vorname und Anschrift; bei Wohnungen der sozialen Wohnraumförderung zusätzlich Angaben zum Wohnberechtigungsschein. Eine umfassende Bonitäts- und Einkommensabfrage gehört frühestens in die Phase, in der ernsthaftes Anmietungsinteresse erklärt wurde.

Dürfen wir eine Kopie des Personalausweises anfertigen?

Nein. Zur Identitätsprüfung genügt das Vorzeigen des Ausweises; der Umstand der Prüfung darf dokumentiert werden. Das Anfertigen einer Kopie ist hingegen nicht erforderlich und damit unzulässig.

Können wir eine Bonitätsauskunft selbst bei einer Auskunftei einholen?

Eine eigene Abfrage durch die Vermieterseite ist nur zulässig, wenn die Voraussetzungen einer gesetzlichen Grundlage erfüllt sind und noch keine ausreichenden Informationen vorliegen. Hat die interessierte Person bereits einen geeigneten, auf den Mietzweck beschränkten Bonitätsnachweis vorgelegt, ist eine zusätzliche Abfrage bei einer Auskunftei nicht mehr zulässig. Die vollständige Selbstauskunft nach Art. 15 DSGVO darf ohnehin nicht verlangt werden, da sie weit mehr Angaben enthält als für die Bonitätsbeurteilung nötig.

Dürfen wir nach laufenden Insolvenzverfahren oder Räumungstiteln fragen?

Die Frage nach einem eröffneten, noch nicht abgeschlossenen Verbraucherinsolvenzverfahren ist zulässig, da insoweit eine Offenbarungspflicht besteht. Fragen nach Räumungstiteln wegen Mietzinsrückständen sind zulässig, soweit sie aufgrund ihrer zeitlichen Nähe Aufschluss über eine Gefährdung künftiger Mietzinsansprüche geben — anerkannt ist etwa ein Bezugszeitraum der letzten fünf Jahre.

Wie lange dürfen wir die Daten abgelehnter Interessenten aufbewahren?

Die Daten sind zu löschen, sobald der Erhebungszweck entfallen ist. Wegen möglicher Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz ist eine Löschung regelmäßig spätestens nach sechs Monaten geboten, soweit keine weitere Anspruchsgeltendmachung in Betracht kommt. Eine dauerhafte Speicherung in Form einer „schwarzen Liste“ ist unzulässig.

Gilt das auch für beauftragte Makler und Hausverwaltungen?

Ja. Werden personenbezogene Daten der Interessentinnen und Interessenten durch Maklerinnen, Makler oder Hausverwaltungen verarbeitet, gelten dieselben Maßstäbe. Diese Daten sind regelmäßig spätestens dann zu löschen, wenn ein Mietvertrag mit einer anderen Person zustande gekommen ist.

Kernpunkt

Die Orientierungshilfe verlangt kein neues Recht, sondern dessen konsequente Anwendung: erheben, was im jeweiligen Verfahrensstand erforderlich ist, und löschen, was nicht mehr gebraucht wird. Ein über Jahre unveränderter Vordruck bildet diese Staffelung selten ab — die Überarbeitung des eigenen Formulars ist damit der naheliegende erste Schritt.

Entgelttransparenzgesetz — was sich ab Juni 2026 ändert

Das Entgelttransparenzgesetz besteht in Deutschland seit Juli 2017 und hat in der mittelständischen Praxis bisher eine eher überschaubare Rolle gespielt. Das ändert sich grundlegend mit der Umsetzung der EU-Entgelttransparenz-Richtlinie (EU) 2023/970, deren Umsetzungsfrist auf den 7. Juni 2026 datiert ist. Was bisher nur Unternehmen ab 200 Beschäftigten in begrenzter Form traf, wird ab dann auf Unternehmen ab 100 Beschäftigten ausgeweitet — und um neue Pflichten zur Gehaltsangabe in Stellenanzeigen, zum Pay-Reporting und zur Beweislastumkehr im Diskriminierungsprozess ergänzt. Wer als Geschäftsleitung mittelständischer Unternehmen die Vorbereitung erst nach der Umsetzung startet, hat einen knapp bemessenen Zeitkorridor.

200

Beschäftigte als aktuelle Schwelle für den Auskunftsanspruch nach § 12 EntgTranspG. Nach der EU-Richtlinie-Umsetzung deutlich abgesenkt.

100

Beschäftigte als neue Pay-Reporting-Schwelle nach EU-Richtlinie 2023/970. Trifft den klassischen Mittelstand erstmals direkt.

5 %

geschlechtsbedingter Pay-Gap als Schwelle für die verpflichtende gemeinsame Entgeltbewertung (Joint Pay Assessment) nach der EU-Richtlinie.

Was das Entgelttransparenzgesetz seit 2017 verlangt

Das EntgTranspG kennt drei Pflichten-Schichten, die unterschiedlich tief in den betrieblichen Alltag eingreifen. Der individuelle Auskunftsanspruch nach § 10 EntgTranspG ist die mittelstandsrelevanteste Schicht: Beschäftigte können in Textform vom Arbeitgeber Auskunft über das durchschnittliche monatliche Bruttoentgelt einer vergleichbaren Tätigkeit verlangen, ergänzt um bis zu zwei einzelne Entgeltbestandteile. Die Auskunftspflicht greift nach § 12 EntgTranspG in Betrieben mit in der Regel mehr als 200 Beschäftigten beim selben Arbeitgeber. Die Antwortfrist beträgt nach § 15 Abs. 3 EntgTranspG drei Monate ab Zugang des Auskunftsverlangens.

Die zweite Schicht — die betrieblichen Prüfverfahren nach § 17 EntgTranspG — gilt ab 500 Beschäftigten und ist als bloße Soll-Regelung formuliert. Arbeitgeber sind „aufgefordert“, ihre Entgeltregelungen regelmäßig auf Einhaltung des Entgeltgleichheitsgebots zu überprüfen. Eine direkte Sanktion bei Nicht-Durchführung sieht das Gesetz nicht vor, was die Praxisrelevanz erheblich begrenzt. Die dritte Schicht — die Berichtspflicht nach §§ 21 und 22 EntgTranspG — gilt ebenfalls ab 500 Beschäftigten und nur für lageberichtspflichtige Unternehmen nach §§ 264 und 289 HGB. Tarifgebundene Arbeitgeber berichten alle fünf Jahre, alle anderen alle drei Jahre, jeweils als Teil des Lageberichts.

Unterschätzte Konstellation

Das EntgTranspG enthält keine eigenen Bußgeldvorschriften. Das Sanktionsrisiko entsteht mittelbar: Nach § 22 AGG greift die Beweislastumkehr, sobald Beschäftigte Indizien für eine geschlechtsbedingte Entgeltbenachteiligung darlegen. Der Schadensersatzanspruch folgt aus § 15 Abs. 1 AGG, die Entschädigung wegen immaterieller Beeinträchtigung aus § 15 Abs. 2 AGG. Genau die Auskunft nach § 10 EntgTranspG liefert in vielen Fällen das Indiz, das die Beweislastumkehr auslöst.

Der Auskunftsanspruch in der betrieblichen Praxis

Die praktische Hürde für den Auskunftsanspruch nach § 10 EntgTranspG ist niedriger, als viele Personalverantwortliche annehmen. Beschäftigte müssen in zumutbarer Weise eine vergleichbare Tätigkeit benennen und können Auskunft über das durchschnittliche monatliche Bruttoentgelt einer Gruppe von mindestens sechs Beschäftigten des anderen Geschlechts verlangen, die diese vergleichbare Tätigkeit ausüben. Liegt die Vergleichsgruppe unter sechs Personen, ist das Vergleichsentgelt nach § 12 Abs. 3 EntgTranspG nicht anzugeben — der Schutz personenbezogener Daten geht hier vor. Diese Klausel führt in mittelständischen Unternehmen mit fein gegliederten Funktionsstrukturen regelmäßig dazu, dass Anfragen unbeantwortet bleiben, weil keine ausreichend große Vergleichsgruppe gebildet werden kann.

  • Wiederholungsfristen: Vor Ablauf von zwei Jahren nach dem letzten Auskunftsverlangen können Beschäftigte nur dann erneut Auskunft verlangen, wenn sich die Voraussetzungen wesentlich verändert haben.
  • Verfahrensweg bei nicht tarifgebundenen und nicht tarifanwendenden Arbeitgebern: Anfrage geht direkt an den Arbeitgeber, der die Auskunft binnen drei Monaten in Textform erteilt.
  • Verfahrensweg bei tarifgebundenen Arbeitgebern mit Betriebsrat: Anfrage geht regelmäßig an den Betriebsrat als Bearbeitungsinstanz nach § 14 EntgTranspG.
  • Inhaltliche Reichweite: Auskunft über das durchschnittliche Bruttoentgelt und bis zu zwei einzelne Entgeltbestandteile, nicht über sämtliche Vergütungsdetails der Vergleichsgruppe.
  • Verweigerungsrechte: Bei Vergleichsgruppen unter sechs Personen ist das Vergleichsentgelt nicht anzugeben, das Auskunftsverlangen aber im Übrigen zu beantworten.

Die EU-Entgelttransparenz-Richtlinie 2023/970: Was sich grundlegend ändert

Die Richtlinie (EU) 2023/970 vom 10. Mai 2023 verschärft die Entgelttransparenz auf europäischer Ebene erheblich. Mitgliedstaaten müssen sie bis zum 7. Juni 2026 in nationales Recht umsetzen. Der deutsche Umsetzungsprozess läuft, der konkrete Gesetzentwurf ist im Detail noch nicht final — was den Vorbereitungs-Druck für Mittelständler nicht mindert, sondern erhöht: Die Kernpflichten der Richtlinie sind bekannt, und unabhängig davon, in welcher konkreten Form Deutschland sie umsetzt, müssen sie ab Juni 2026 wirksam sein.

  • Gehaltsangabe vor der Bewerbung: Stellenanzeigen müssen das Einstiegsgehalt oder die Gehaltsspanne enthalten, spätestens vor dem Bewerbungsgespräch ist die Information bereitzustellen.
  • Verbot der Frage nach dem bisherigen Gehalt: Arbeitgeber dürfen Bewerbende nicht nach ihrem Vergütungsverlauf bei früheren Arbeitgebern fragen.
  • Pay-Reporting ab 100 Beschäftigten: Unternehmen mit mindestens 100 Beschäftigten müssen regelmäßig Daten zum geschlechtsbedingten Entgeltunterschied erheben und berichten. Ab 250 Beschäftigten jährlich, in den unteren Größenklassen seltener.
  • Joint Pay Assessment: Wird in einer Beschäftigtengruppe ein geschlechtsbedingter Entgeltunterschied von mehr als 5 % festgestellt und kann der Arbeitgeber diesen nicht objektiv rechtfertigen, ist eine gemeinsame Entgeltbewertung mit der Arbeitnehmervertretung durchzuführen.
  • Beweislastumkehr im Gerichtsverfahren: Bringt eine klagende Person Anzeichen für eine Entgeltdiskriminierung vor, muss der Arbeitgeber beweisen, dass keine Diskriminierung vorliegt — die Richtlinie verstärkt damit die bereits aus § 22 AGG bekannte Logik.
  • Wirksame und abschreckende Sanktionen: Die Mitgliedstaaten müssen Sanktionen vorsehen, die wirksam, verhältnismäßig und abschreckend sind. Konkrete Bußgeldhöhen wird der deutsche Umsetzungsgesetzgeber festlegen.

Beweislastumkehr und AGG-Schadensersatz

Der entscheidende Hebel im aktuellen Recht ist die Verbindung zwischen § 10 EntgTranspG und § 22 AGG. Das Bundesarbeitsgericht hat in seinem Urteil vom 16. Februar 2023 (8 AZR 450/21) entschieden, dass ein über die Auskunft nach § 10 EntgTranspG zutage getretenes höheres Vergleichsentgelt eines männlichen Kollegen ein Indiz für eine geschlechtsbedingte Entgeltbenachteiligung im Sinne von § 22 AGG sein kann. Die Beweislastumkehr wechselt in diesem Moment zum Arbeitgeber, der konkrete sachliche Gründe für die Entgeltdifferenz darlegen und beweisen muss.

Praktische Konsequenz

Wer als Arbeitgeber die Entgeltunterschiede zwischen vergleichbaren Tätigkeiten nicht nachvollziehbar dokumentiert, hat im Streitfall keine Verteidigungslinie. Sachliche Gründe wie Berufserfahrung, Qualifikation, Verantwortungsumfang oder Verhandlungsergebnis aus konkreten Vertragsverhandlungen müssen aktenkundig festgehalten sein. Die Beweislast trifft den Arbeitgeber, sobald die Auskunft nach § 10 EntgTranspG einen Pay-Gap zutage fördert — die Dokumentation der Entgeltentscheidungen ist damit kein bürokratischer Selbstzweck, sondern die zentrale Grundlage jeder Verteidigung.

Die Sanktion folgt anschließend aus dem AGG. § 15 Abs. 1 AGG begründet einen Schadensersatzanspruch in Höhe der Differenz zwischen dem gezahlten und dem geschuldeten Entgelt. § 15 Abs. 2 AGG sieht eine Entschädigung in Geld für nicht-vermögenswerte Schäden vor, deren Höhe nach der Rechtsprechung typischerweise zwischen einem und drei Bruttomonatsentgelten liegt, in Sonderfällen darüber. In einigen Fällen kann die Differenz rückwirkend für mehrere Jahre gefordert werden, was bei höheren Gehaltsklassen schnell zu sechsstelligen Beträgen führt.

Was Mittelständler jetzt vorbereiten sollten

Die Vorbereitung auf die EU-Richtlinie ist im Mai 2026 keine Zukunftsfrage mehr. Fünf Vorbereitungs-Schritte haben sich in der Beratungspraxis als sinnvoll erwiesen, und zwar unabhängig davon, in welcher konkreten Form Deutschland die Richtlinie umsetzt.

  • Vergütungssystem dokumentieren: Welche Funktionen werden nach welchen Kriterien vergütet, welche Erfahrungsstufen gelten, welche Verhandlungspositionen sind dokumentiert? Ohne ein nachvollziehbares Vergütungssystem fehlt die Verteidigungslinie für jeden späteren Pay-Gap-Erklärungsbedarf.
  • Pay-Equity-Analyse durchführen: Eine statistische Auswertung der Gehälter nach Geschlecht, Funktionsgruppe und Erfahrungsstufe schafft das interne Bild, das das Pay-Reporting nach der EU-Richtlinie ohnehin verlangen wird. Die Analyse identifiziert Pay-Gaps, bevor sie als Klage zutage treten.
  • Stellenanzeigen-Templates anpassen: Die Gehaltsangabe in der Stellenanzeige wird nach der EU-Richtlinie zur Regel. Templates, Bewerber-Kommunikation und Recruiting-Tools sollten entsprechend vorbereitet sein, idealerweise mit definierten Gehaltsbändern je Funktion.
  • Recruiting-Leitfäden überarbeiten: Das Verbot der Frage nach dem bisherigen Gehalt erfordert geschulte Recruiterinnen und Recruiter. Der Fokus verschiebt sich von „Was haben Sie bisher verdient?“ auf „Welche Gehaltsvorstellung haben Sie für diese Position?“.
  • Auskunfts-Prozess etablieren: Bereits unter geltendem EntgTranspG ist die 3-Monats-Frist für die Auskunft nach § 15 EntgTranspG knapp. Ein vorbereiteter Prozess mit benannter Zuständigkeit, definiertem Antwort-Template und dokumentierter Beweisführungslogik reduziert Bearbeitungsaufwand und Risiko gleichermaßen.

Rechtsrahmen im Überblick

Norm Was sie verlangt Anwendungsschwelle Rechtsfolge bei Verletzung
§ 10 EntgTranspG Individueller Auskunftsanspruch über das durchschnittliche Vergleichsentgelt und bis zu zwei Entgeltbestandteile. Mehr als 200 Beschäftigte in einem Betrieb beim selben Arbeitgeber (§ 12 Abs. 1 EntgTranspG). Bei Nichterteilung der Auskunft greift die Beweislastumkehr nach § 22 AGG zugunsten der klagenden Beschäftigten.
§ 17 EntgTranspG Aufforderung zur Durchführung eines betrieblichen Prüfverfahrens auf Einhaltung des Entgeltgleichheitsgebots. Private Arbeitgeber mit mehr als 500 Beschäftigten. Soll-Regelung ohne direkte Sanktion. Mittelbar relevant für die Sorgfaltspflicht der Geschäftsleitung.
§§ 21–22 EntgTranspG Bericht zur Gleichstellung und Entgeltgleichheit als Teil des Lageberichts. Lageberichtspflichtige Arbeitgeber mit mehr als 500 Beschäftigten. Pflichtverletzung führt zur Unrichtigkeit des Lageberichts mit handelsrechtlichen Folgen nach §§ 331 ff. HGB.
§ 22 AGG Beweislastumkehr: Bei Indizien für eine Benachteiligung muss der Arbeitgeber das Gegenteil beweisen. Alle Arbeitgeber, unabhängig von der Beschäftigtenzahl. Schadensersatz nach § 15 Abs. 1 AGG, Entschädigung nach § 15 Abs. 2 AGG.
EU 2023/970 Gehaltsangabe in Stellenanzeigen, Pay-Reporting, Joint Pay Assessment ab 5 % Pay-Gap, Beweislastumkehr. Ab 100 Beschäftigten für das Pay-Reporting, Stellenanzeigen-Transparenz ohne Schwelle. Wirksame, verhältnismäßige und abschreckende Sanktionen nach nationaler Umsetzung. Konkrete Höhen offen.

Häufige Fragen aus der Beratungspraxis

Greift das EntgTranspG für eine GmbH mit 150 Mitarbeitenden?

Nach aktuellem Stand nicht für den individuellen Auskunftsanspruch, weil dieser nach § 12 Abs. 1 EntgTranspG erst ab mehr als 200 Beschäftigten greift. Das Entgeltgleichheitsgebot des § 3 EntgTranspG selbst gilt aber unabhängig von der Betriebsgröße — Diskriminierungsklagen aus § 15 AGG sind also auch in kleineren Unternehmen möglich. Mit der Umsetzung der EU-Richtlinie sinkt die Pay-Reporting-Schwelle auf 100 Beschäftigte; ein Unternehmen mit 150 Mitarbeitenden ist davon ab Juni 2026 voraussichtlich betroffen.

Was muss in einer Stellenanzeige nach EU-Recht stehen?

Die EU-Richtlinie verlangt, dass Bewerberinnen und Bewerber das Einstiegsgehalt oder die Gehaltsspanne für die ausgeschriebene Stelle kennen, spätestens vor dem ersten Bewerbungsgespräch. Mitgliedstaaten können vorsehen, dass die Information bereits in der Stellenanzeige selbst stehen muss. Die genaue Umsetzung in Deutschland ist noch nicht final. Für die Vorbereitung empfiehlt sich, schon jetzt definierte Gehaltsbänder je Funktion zu haben, die in der Stellenanzeige als Spanne angegeben werden können.

Was passiert, wenn der Bericht zur Entgeltgleichheit nicht veröffentlicht wird?

Das EntgTranspG selbst sieht keine Geldbuße vor. Da der Bericht aber nach § 22 EntgTranspG dem Lagebericht beizufügen ist, wird seine Fehlerhaftigkeit oder das Fehlen handelsrechtlich relevant — der Lagebericht ist dann unvollständig, was die Befolgungspflichten der Aufsichtsorgane und gegebenenfalls die Pflicht zur Berichtigung auslöst. Im Zusammenspiel mit der CSRD-Berichterstattung wird die Entgelttransparenz zunehmend Teil der Nachhaltigkeitsberichterstattung.

Wie hoch ist der Schadensersatz im Pay-Gap-Fall typischerweise?

Der materielle Schadensersatz nach § 15 Abs. 1 AGG entspricht der Differenz zwischen gezahltem und geschuldetem Entgelt, je nach Klageumfang rückwirkend über mehrere Jahre. Die immaterielle Entschädigung nach § 15 Abs. 2 AGG liegt nach der Rechtsprechung des Bundesarbeitsgerichts typischerweise zwischen einem und drei Bruttomonatsentgelten, in Sonderfällen darüber. Im prominenten Verfahren ZDF gegen einen ehemaligen Sender-Mitarbeiter wurde 2023 in mehreren Instanzen über sechsstellige Beträge gestritten, was die ökonomische Tragweite zeigt.

Muss ich Auskunft erteilen, wenn die Vergleichsgruppe sehr klein ist?

Nach § 12 Abs. 3 EntgTranspG ist das Vergleichsentgelt nicht anzugeben, wenn die Vergleichstätigkeit von weniger als sechs Beschäftigten des jeweils anderen Geschlechts ausgeübt wird. Das Auskunftsverlangen ist aber im Übrigen zu beantworten — die anfragende Person erhält Informationen zu den Kriterien und Verfahren der Entgeltfindung, lediglich das konkrete Vergleichsentgelt entfällt. In mittelständischen Unternehmen mit feingliedrigen Funktionsstrukturen ist diese Schutzklausel praktisch häufig einschlägig.

Welche Sanktionen sind im Rahmen der EU-Richtlinien-Umsetzung zu erwarten?

Die Richtlinie verpflichtet die Mitgliedstaaten zu „wirksamen, verhältnismäßigen und abschreckenden“ Sanktionen. Die konkrete Höhe und Form bestimmt jeder Mitgliedstaat selbst. In anderen EU-Ländern reichen die diskutierten Sanktions-Modelle von Bußgeldern in fünf- bis siebenstelliger Höhe bis zu Ausschluss von öffentlichen Aufträgen. Die deutsche Umsetzung lag im Frühjahr 2026 noch nicht in finaler Fassung vor; vor der Anwendung empfiehlt sich der Blick auf den aktuellen Gesetzestext, sobald er verabschiedet ist.

Was die Entgelttransparenz für die Geschäftsleitung bedeutet

Entgelttransparenz war in Deutschland zehn Jahre lang eine Pflicht mit überschaubarer Reichweite. Mit der EU-Richtlinie wird sie zu einem Pflichtfeld, das den Mittelstand erstmals direkt erreicht — über die abgesenkte Beschäftigten-Schwelle, über die Stellenanzeigen-Pflicht und über die Beweislastumkehr im Diskriminierungsprozess. Die strukturellen Vorbereitungen, die Mittelständler jetzt treffen, bestimmen das Risiko für die nächsten Jahre. Wer das Vergütungssystem dokumentiert, eine Pay-Equity-Analyse durchführt und seine Recruiting-Prozesse vor dem Stichtag anpasst, reduziert sowohl das Klage-Risiko aus § 15 AGG als auch das Reputations-Risiko aus später öffentlich werdenden Pay-Gap-Werten.

Was bleibt

Die nachvollziehbare Dokumentation des Vergütungssystems ist die zentrale Vorbereitung auf die EU-Entgelttransparenz-Richtlinie. Welche Funktion, welche Erfahrung, welche Verhandlungsentscheidung welches Gehalt rechtfertigt, gehört in eine Form, die im Streitfall standhält. Ohne diese Dokumentation greift die Beweislastumkehr aus § 22 AGG zulasten des Arbeitgebers — und zwar in einer Konstellation, in der die klagende Person nur ein einziges höheres Vergleichsentgelt vorlegen muss, um den Anfangsverdacht zu begründen.

Compliance-Risiken im Mittelstand — die häufigsten Verstöße

Im regulatorischen Alltag mittelständischer Unternehmen sind fünf Felder besonders bußgeld-anfällig: Datenschutz, Geldwäscheprävention, Hinweisgeberschutz, Mindestlohn und — für Unternehmen ab einer bestimmten Größe — die Lieferkettensorgfalt. Wo die Aufsichtsbehörden derzeit Schwerpunkte setzen, welche Verstöße strukturell am häufigsten passieren und welche Bußgelder im KMU-Bereich typischerweise drohen, ergibt für Geschäftsleitungen ein recht klares Risikobild. Dieses Bild ist die Grundlage jeder Priorisierung im Compliance-Management.

20 Mio €

oder 4 % des weltweiten Jahresumsatzes als DSGVO-Obergrenze nach Art. 83 Abs. 5. Der höhere Betrag gilt.

500.000 €

Bußgeldspanne nach § 21 Abs. 3 MiLoG bei Mindestlohn-Unterschreitung — auch in der Auftraggeber-Haftung der Generalunternehmer.

100.000 €

Standardrahmen nach § 56 GwG für GwG-Verpflichtete außerhalb des Finanzsektors. Trifft Immobilienmakler und Güterhändler.

Datenschutz: die Aufsicht mit der höchsten Schlagfrequenz

Seit dem Anwendungsbeginn der Datenschutz-Grundverordnung 2018 ist die DSGVO die meistgenannte Quelle für Bußgelder im Mittelstand. Die Aufsichtsbehörden der Länder und der Bund haben gemeinsam mehrere tausend Verfahren geführt; ein erheblicher Teil davon trifft mittelständische Unternehmen, oft nach Beschwerden Betroffener oder gemeldeten Datenpannen. Die Bußgeldspanne reicht von wenigen tausend Euro für formale Verstöße bis zur Maximalstrafe nach Art. 83 Abs. 5 DSGVO.

Aufsichts-Schwerpunkte

Die deutschen Aufsichtsbehörden koordinieren regelmäßig branchenübergreifende Prüfaktionen — in den vergangenen Jahren zu Cookie-Bannern, Beschäftigtendatenschutz, Drittstaaten-Übermittlungen nach dem Wegfall des Privacy Shield und zur Nutzung von Tracking-Pixeln. Wer die Datenschutzerklärung seit zwei Jahren nicht überarbeitet hat, ist mit hoher Wahrscheinlichkeit in mehreren dieser Themen nicht mehr aktuell.

Fünf Konstellationen führen in der Beratungspraxis besonders häufig zu Verfahren.

  • Fehlerhafte oder veraltete Datenschutzerklärungen auf der Website, häufig ohne korrekte Information zu Cookies, Tracking und Drittstaaten-Übermittlungen.
  • Newsletter- und Marketing-Versand ohne valide Einwilligung nach Art. 7 DSGVO und § 7 UWG, oft mit fehlender oder unklarer Abmelde-Option.
  • Auskunftsersuchen nach Art. 15 DSGVO werden nicht oder verspätet beantwortet — Beschwerden wegen unzureichender Erfüllung gehören zu den häufigsten Auslösern aufsichtsrechtlicher Verfahren.
  • Datenpannen werden nicht innerhalb der 72-Stunden-Frist nach Art. 33 DSGVO an die zuständige Aufsichtsbehörde gemeldet, oft weil interne Meldewege fehlen oder Vorfälle als nicht meldepflichtig fehlklassifiziert werden.
  • Auftragsverarbeitungsverträge nach Art. 28 DSGVO fehlen, sind veraltet oder enthalten keine ausreichenden Regelungen zu technisch-organisatorischen Maßnahmen und Unterauftragnehmern.

Geldwäschegesetz: die wachsende Aufsicht über Nicht-Banken

Das Geldwäschegesetz richtet sich längst nicht mehr nur an Banken und Versicherer. § 2 GwG benennt eine lange Liste weiterer Verpflichteter, darunter Immobilienmakler, Notare, Steuerberater, Wirtschaftsprüfer, Kunsthändler und Güterhändler bei Bartransaktionen ab 10.000 Euro. Die Bußgeldspanne nach § 56 GwG liegt im Standardfall bei bis zu 100.000 Euro, bei vorsätzlicher Begehung bei bis zu 150.000 Euro. Für Finanzinstitute und Kreditinstitute existieren deutlich höhere Stufen, die sich am weltweiten Jahresumsatz orientieren.

  • Keine oder veraltete Risikoanalyse nach § 5 GwG — viele verpflichtete Unternehmen führen sie einmalig durch und aktualisieren sie nie wieder.
  • Keine angemessenen internen Sicherungsmaßnahmen nach § 6 GwG, insbesondere keine schriftlich fixierten Arbeitsanweisungen und keine regelmäßigen Schulungen der Mitarbeitenden.
  • Mangelhafte Kundenidentifizierung nach § 10 GwG — fehlende oder unvollständige Identifizierung des wirtschaftlich Berechtigten, insbesondere bei komplexen Konzernstrukturen.
  • Unterlassene Verdachtsmeldung an die Financial Intelligence Unit nach § 43 GwG, wenn Anhaltspunkte für Geldwäsche oder Terrorismusfinanzierung vorliegen.
  • Keine Bestellung eines Geldwäschebeauftragten nach § 7 GwG, obwohl die zuständige Aufsichtsbehörde dies angeordnet hat oder die Bestellung von der Verpflichteten-Eigenschaft her zwingend wäre.

Unterschätzte Pflicht

Die Verdachtsmeldung an die Financial Intelligence Unit ist der Tatbestand, der in der Beratungspraxis am häufigsten zu Verfahren führt. § 43 GwG verlangt die Meldung schon dann, wenn Anhaltspunkte vorliegen — nicht erst bei Gewissheit. Wer den Schwellenwert zu hoch ansetzt, läuft Gefahr, dass die FIU bei einer späteren Prüfung die unterlassene Meldung als Pflichtverletzung wertet, mit allen bußgeldrechtlichen Folgen.

Hinweisgeberschutz: die neueste Pflicht und ihre typischen Lücken

Das Hinweisgeberschutzgesetz gilt seit Mitte Dezember 2023 und verpflichtet alle Unternehmen mit mindestens 50 Mitarbeitenden, einen internen Meldekanal einzurichten. Die Bußgeldspanne nach § 40 HinSchG ist auf den ersten Blick moderat: bis zu 20.000 Euro für die zentralen Tatbestände wie das Fehlen eines internen Meldekanals oder Repressalien gegen hinweisgebende Personen, in den übrigen Fällen bis zu 10.000 Euro. Über die Verbandsgeldbuße nach § 30 OWiG ist allerdings bei den meisten Tatbeständen eine Verzehnfachung möglich — wodurch eine Verbandsstrafe von bis zu 200.000 Euro in den Raum rückt.

  • Kein interner Meldekanal eingerichtet, obwohl die Mitarbeiterschwelle überschritten ist — häufig bei stark gewachsenen Mittelständlern, die die 50-Personen-Grenze unbemerkt passiert haben.
  • Meldekanal eingerichtet, aber nicht erreichbar: kein veröffentlichter Zugang, keine eindeutige Zuständigkeit, keine Eingangsbestätigung innerhalb von sieben Tagen.
  • Vertraulichkeit nicht gewahrt: die Identität der hinweisgebenden Person ist intern bekannt geworden, weil keine ordnungsgemäße Trennung der Meldebearbeitung umgesetzt war.
  • Repressalien gegen hinweisgebende Personen — die Beweislastumkehr nach § 36 HinSchG sorgt dafür, dass Unternehmen Maßnahmen wie Versetzung, Abmahnung oder Kündigung nach einer Meldung besonders rechtfertigen müssen.
  • Keine Dokumentation der eingegangenen Meldungen — § 11 HinSchG verlangt eine drei Jahre lang aufbewahrte Dokumentation, die in vielen Unternehmen schlicht nicht geführt wird.

Mindestlohn: die Schwerpunkte der Finanzkontrolle Schwarzarbeit

Das Mindestlohngesetz wird durch die Finanzkontrolle Schwarzarbeit (FKS) der Hauptzollämter überwacht. Die Bußgeldspanne nach § 21 Abs. 3 MiLoG reicht von 30.000 Euro für die meisten Tatbestände über 50.000 Euro bei bestimmten Dokumentationsverstößen bis zu 500.000 Euro bei direkter Mindestlohn-Unterschreitung oder bei Auftraggebern, die einen Subunternehmer einsetzen, von dem sie wussten oder fahrlässig nicht wussten, dass dieser den Mindestlohn nicht zahlt. Die FKS prüft mit deutlichem Branchen-Schwerpunkt — die Aufzeichnungspflicht nach § 2a Schwarzarbeitsbekämpfungsgesetz definiert die Risiko-Branchen abschließend.

Bau- und Handwerks-Cluster

Bau, Reinigung, Fleisch

Branchen mit hoher FKS-Prüfdichte und großer Subunternehmer-Verflechtung.

  • Baugewerbe einschließlich Bauhilfsgewerbe
  • Gebäudereinigung
  • Fleischwirtschaft
  • Forstwirtschaft
  • Messebau und -veranstaltung

Service- und Transport-Cluster

Gastro, Logistik, Friseur

Branchen mit hoher Personalfluktuation und häufig dokumentenschwacher Arbeitszeit-Erfassung.

  • Gaststätten- und Beherbergungsgewerbe
  • Spedition, Transport, Logistik
  • Personenbeförderung
  • Schaustellergewerbe
  • Friseurhandwerk und Kosmetikgewerbe
  • Tatsächliche Mindestlohn-Unterschreitung durch zu niedrige Stundenlöhne oder durch verkürzte Lohnzahlungszeitraum-Berechnungen, etwa bei Stücklohn-Modellen ohne Mindestlohn-Sicherung.
  • Fehlerhafte oder fehlende Arbeitszeit-Dokumentation nach § 17 MiLoG — die Dokumentationspflicht greift in den oben genannten Branchen und zusätzlich für geringfügig Beschäftigte unabhängig von der Branche.
  • Pauschale Spesen, Trinkgelder oder Fahrtkosten werden in den Mindestlohn eingerechnet, obwohl sie nach der Rechtsprechung des Bundesarbeitsgerichts nicht angerechnet werden dürfen.
  • Mindestlohn wird durch Schein-Werkverträge oder Schein-Selbstständigkeit umgangen — die FKS prüft die tatsächliche Eingliederung, nicht den Vertragstitel.
  • Auftraggeber-Haftung nach § 13 MiLoG: Generalunternehmer haften für die Mindestlohn-Zahlung ihrer Subunternehmer, auch wenn sie diese vertraglich abbedungen haben.

Lieferkettensorgfalt: die Schwelle für die Größeren

Das Lieferkettensorgfaltspflichtengesetz gilt seit Anfang 2023 für Unternehmen mit mindestens 3.000 Mitarbeitenden und seit Anfang 2024 zusätzlich für Unternehmen ab 1.000 Mitarbeitenden. Zuständige Aufsicht ist das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA). Die typischen Verstöße im direkten Anwendungsbereich betreffen die strukturelle Umsetzung: fehlende oder unvollständige Risikoanalyse nach § 5 LkSG, fehlende Präventionsmaßnahmen nach § 6, kein Beschwerdeverfahren nach § 8 und Versäumnisse bei der jährlichen Berichtspflicht nach § 10.

Mittelbare Betroffenheit

Auch wenn der direkte Anwendungsbereich auf größere Unternehmen begrenzt ist, treffen die Pflichten mittelbar viele Mittelständler. Als Zulieferer eines LkSG-pflichtigen Unternehmens werden Lieferketten-Anforderungen vertraglich durchgereicht, oft mit erheblichen Dokumentations- und Audit-Erwartungen. Die EU-Lieferketten-Richtlinie CSDDD, die seit Mitte 2024 in Kraft ist und bis Mitte 2026 in nationales Recht umzusetzen ist, wird den Anwendungsbereich auf weitere Unternehmen ausweiten und die Sanktionen verschärfen.

Bußgeldhorizont im Überblick

Rechtsgebiet Anwendungsschwelle Zuständige Behörde Bußgeld-Höchstrahmen
DSGVO Jede Verarbeitung personenbezogener Daten — ohne Schwelle. Datenschutz-Aufsichtsbehörden der Länder, in Bundesfällen der BfDI. Bis 20 Mio € oder 4 % des weltweiten Jahresumsatzes nach Art. 83 Abs. 5 DSGVO. Der höhere Betrag gilt.
GwG Verpflichtete nach § 2 GwG: Banken, Versicherer, Immobilienmakler, Notare, Steuerberater, Güterhändler bei Bartransaktionen ab 10.000 €. BaFin für Finanzinstitute, sonst Landesbehörden. Verdachtsmeldungen an die FIU beim Zoll. Bis 100.000 € (vorsätzlich 150.000 €) im Standardfall. Für Finanzinstitute höhere Stufen bis zu 5 Mio € oder 10 % des Jahresumsatzes.
HinSchG Beschäftigungsgeber ab 50 Mitarbeitenden, mit Sonderregelungen für Finanzbranche. Bundesamt für Justiz als externe Meldestelle und Bußgeldstelle. Bis 20.000 € (kein Meldekanal, Repressalien), bis 10.000 € sonstige Fälle. Über § 30 OWiG bei der Verbandsgeldbuße in bestimmten Tatbeständen verzehnfacht.
MiLoG Alle Arbeitgeber. Dokumentationspflichten besonders in den Risiko-Branchen nach § 2a SchwarzArbG. Finanzkontrolle Schwarzarbeit der Hauptzollämter. Bis 500.000 € bei Mindestlohn-Unterschreitung, bis 50.000 € für bestimmte Dokumentationsverstöße, sonst bis 30.000 €.
LkSG Ab 1.000 Mitarbeitenden in Deutschland. Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA). Bis 800.000 € (Geldbußen-Katalog nach § 24 LkSG), bei Unternehmen mit mehr als 400 Mio € Jahresumsatz bis zu 2 % des weltweiten Jahresumsatzes.

Was strukturell hinter den Verstößen steckt

Wer die einzelnen Verstoßarten über die Rechtsgebiete hinweg vergleicht, erkennt ein wiederkehrendes Muster. Hinter den meisten KMU-Verstößen stehen weniger böse Absicht oder mangelnde Sorgfalt im konkreten Einzelfall, sondern strukturelle Schwächen in der Compliance-Organisation.

  • Verantwortlichkeiten sind nicht klar verteilt — kein benannter Datenschutzbeauftragter, kein Geldwäschebeauftragter, keine zugewiesene Hinweisgeberschutz-Funktion. Im Ernstfall fühlt sich niemand zuständig, bis es zu spät ist.
  • Compliance wird als Projekt verstanden, nicht als Prozess. Die Einführung der DSGVO 2018, des LkSG 2023 oder des HinSchG ebenfalls 2023 wird als einmaliger Aufwand abgearbeitet, ohne dass nachgelagerte Überprüfungs- und Aktualisierungs-Zyklen etabliert werden.
  • Schulungen finden einmalig statt — beim Onboarding oder bei der Einführung — und werden dann nicht wiederholt. Neue Mitarbeitende oder geänderte Aufsichts-Schwerpunkte erreichen die operative Ebene nicht.
  • Behörden-Kommunikation ist ad-hoc organisiert, nicht geplant. Wenn eine Anfrage der Aufsichtsbehörde eingeht, fehlt der vorbereitete Antwort-Prozess, was die Reaktionszeit erhöht und in Verfahren regelmäßig negativ gewertet wird.
  • Dokumentation ist lückenhaft. Die Beweislast in compliance-rechtlichen Auseinandersetzungen liegt häufig beim Unternehmen — wer nicht dokumentiert hat, kann sich nicht entlasten, weder gegenüber Aufsichtsbehörden noch in zivilrechtlichen Folgeverfahren wegen Geschäftsführungs-Haftung.

Häufige Fragen aus der Beratungspraxis

Welches Compliance-Feld trifft den Mittelstand am häufigsten?

Datenschutz, deutlich vor allen anderen. Die DSGVO erreicht aufgrund ihres weiten Anwendungsbereichs jeden Mandanten, der personenbezogene Daten verarbeitet — also praktisch jedes Unternehmen mit Mitarbeitenden, Kundenbeziehungen oder einer Website. Dass die Aufsichtsbehörden hier auch die meisten Verfahren führen, verstärkt die Sichtbarkeit. Geldwäsche-, Hinweisgeber- und Mindestlohn-Verstöße sind in der Häufigkeit weniger sichtbar, aber strukturell ähnlich verbreitet.

Greift das Hinweisgeberschutzgesetz für jede GmbH mit 50 Mitarbeitenden?

Für nahezu jede. Die 50-Personen-Schwelle wird nach Köpfen gerechnet, nicht nach Vollzeit-Äquivalenten. Auch geringfügig Beschäftigte und Teilzeitkräfte zählen mit. In der Praxis erreichen viele Mittelständler diese Schwelle, ohne dass die Compliance-Funktion das bemerkt. Sonderregelungen gelten für Unternehmen aus der Finanzbranche, für die der Schwellenwert unabhängig von der Mitarbeiterzahl gilt — dort ist die Meldekanal-Pflicht bereits aus dem WpHG und parallelen Regelungen abgeleitet.

Wann ist eine Datenpanne wirklich meldepflichtig nach Art. 33 DSGVO?

Die Meldepflicht greift bei Verletzungen des Schutzes personenbezogener Daten, die voraussichtlich zu einem Risiko für die Rechte und Freiheiten Betroffener führen. Die Praxis-Schwelle ist niedriger, als viele annehmen — auch eine fehlgeleitete E-Mail mit Personalbezug, ein verlorener USB-Stick oder ein Hacker-Zugriff ohne nachweisbaren Datenabfluss können meldepflichtig sein. Bei unklarer Lage empfiehlt sich eine vorsichtige Meldung; die Aufsichtsbehörden bewerten verspätete Meldungen regelmäßig negativ. Maßgeblich ist die 72-Stunden-Frist ab Kenntniserlangung.

Wann ist mein Unternehmen Verpflichteter nach dem Geldwäschegesetz?

§ 2 GwG enthält eine abschließende Liste der Verpflichteten. Außerhalb des Finanzsektors fallen typischerweise darunter: Steuerberater, Wirtschaftsprüfer, Rechtsanwälte (in bestimmten Mandatskonstellationen), Immobilienmakler, Notare, Treuhänder, Kunsthändler und Kunstvermittler ab einem Transaktionswert von 10.000 Euro sowie Güterhändler bei Bartransaktionen ab 10.000 Euro. Letzteres trifft viele Mittelständler unerwartet — der Autohändler, der Maschinenbauer und der Großhändler werden zum GwG-Verpflichteten, sobald sie Bargeld ab 10.000 Euro entgegennehmen oder ausgeben.

Was prüft die Finanzkontrolle Schwarzarbeit konkret?

Die FKS prüft in den Risiko-Branchen nach § 2a SchwarzArbG regelmäßig die Arbeitszeit-Dokumentation, die tatsächliche Anwesenheit der gemeldeten Beschäftigten, die Lohnzahlungen und die Subunternehmer-Verträge. Außerhalb dieser Branchen prüft die FKS anlassbezogen, etwa nach Hinweisen oder bei verdächtigen Lohnverhältnissen. Die Auftraggeber-Haftung nach § 13 MiLoG bedeutet, dass auch Unternehmen außerhalb der Risiko-Branchen betroffen sein können, sobald sie als Generalunternehmer in eine Lieferkette mit niedrigen Lohnverhältnissen geraten.

Wie kann ein mittelständisches Unternehmen den Compliance-Aufwand priorisieren?

Aus unserer Beratungspraxis hat sich eine schrittweise Priorisierung bewährt. Zunächst die regulatorischen Pflichten klären, die unabhängig von der Größe immer gelten — Datenschutz und Mindestlohn. Dann die Pflichten, die sich aus Größe oder Branche ergeben — Hinweisgeberschutz ab 50 Mitarbeitenden, Geldwäschegesetz bei Bartransaktionen oder spezifischer Branchenzugehörigkeit, Lieferkettensorgfalt ab 1.000 Mitarbeitenden oder als Zulieferer eines LkSG-pflichtigen Großkunden. Erst dann die freiwilligen, aber wirtschaftlich sinnvollen Felder wie ein strukturiertes Compliance-Management-System nach IDW PS 980 oder eine Zertifizierung nach ISO 27001.

Was die Risiko-Übersicht für die Geschäftsleitung bedeutet

Die Verstoß-Muster in den fünf wichtigsten Compliance-Feldern haben mehr gemeinsam, als der oberflächliche Eindruck vermuten lässt. In allen Bereichen treten dieselben Schwächen auf: unklare Verantwortlichkeiten, einmalige statt fortlaufender Schulung, lückenhafte Dokumentation, fehlende Behörden-Kommunikationspläne. Wer diese strukturellen Themen adressiert, reduziert das Bußgeldrisiko in mehreren Feldern gleichzeitig — und entlastet zugleich die persönliche Haftung der Geschäftsleitung, die in den letzten Jahren spürbar geschärft worden ist.

Was bleibt

Compliance ist im Mittelstand selten ein Erkenntnis- und meist ein Umsetzungsproblem. Welche Pflichten gelten, lässt sich in wenigen Tagen ermitteln; die Frage ist, ob im Tagesgeschäft jemand zuständig ist, ob Schulungen wiederholt werden und ob die Dokumentation der wesentlichen Entscheidungen aktenkundig vorliegt. Genau diese drei Punkte trennen in der Beratungspraxis die Unternehmen, die ein Bußgeldverfahren mit überschaubarem Aufwand abwenden, von denen, die im Verfahren unter Beweislast geraten.