Im regulatorischen Alltag mittelständischer Unternehmen sind fünf Felder besonders bußgeld-anfällig: Datenschutz, Geldwäscheprävention, Hinweisgeberschutz, Mindestlohn und — für Unternehmen ab einer bestimmten Größe — die Lieferkettensorgfalt. Wo die Aufsichtsbehörden derzeit Schwerpunkte setzen, welche Verstöße strukturell am häufigsten passieren und welche Bußgelder im KMU-Bereich typischerweise drohen, ergibt für Geschäftsleitungen ein recht klares Risikobild. Dieses Bild ist die Grundlage jeder Priorisierung im Compliance-Management.
20 Mio €
oder 4 % des weltweiten Jahresumsatzes als DSGVO-Obergrenze nach Art. 83 Abs. 5. Der höhere Betrag gilt.
500.000 €
Bußgeldspanne nach § 21 Abs. 3 MiLoG bei Mindestlohn-Unterschreitung — auch in der Auftraggeber-Haftung der Generalunternehmer.
100.000 €
Standardrahmen nach § 56 GwG für GwG-Verpflichtete außerhalb des Finanzsektors. Trifft Immobilienmakler und Güterhändler.
Datenschutz: die Aufsicht mit der höchsten Schlagfrequenz
Seit dem Anwendungsbeginn der Datenschutz-Grundverordnung 2018 ist die DSGVO die meistgenannte Quelle für Bußgelder im Mittelstand. Die Aufsichtsbehörden der Länder und der Bund haben gemeinsam mehrere tausend Verfahren geführt; ein erheblicher Teil davon trifft mittelständische Unternehmen, oft nach Beschwerden Betroffener oder gemeldeten Datenpannen. Die Bußgeldspanne reicht von wenigen tausend Euro für formale Verstöße bis zur Maximalstrafe nach Art. 83 Abs. 5 DSGVO.
Aufsichts-Schwerpunkte
Die deutschen Aufsichtsbehörden koordinieren regelmäßig branchenübergreifende Prüfaktionen — in den vergangenen Jahren zu Cookie-Bannern, Beschäftigtendatenschutz, Drittstaaten-Übermittlungen nach dem Wegfall des Privacy Shield und zur Nutzung von Tracking-Pixeln. Wer die Datenschutzerklärung seit zwei Jahren nicht überarbeitet hat, ist mit hoher Wahrscheinlichkeit in mehreren dieser Themen nicht mehr aktuell.
Fünf Konstellationen führen in der Beratungspraxis besonders häufig zu Verfahren.
- Fehlerhafte oder veraltete Datenschutzerklärungen auf der Website, häufig ohne korrekte Information zu Cookies, Tracking und Drittstaaten-Übermittlungen.
- Newsletter- und Marketing-Versand ohne valide Einwilligung nach Art. 7 DSGVO und § 7 UWG, oft mit fehlender oder unklarer Abmelde-Option.
- Auskunftsersuchen nach Art. 15 DSGVO werden nicht oder verspätet beantwortet — Beschwerden wegen unzureichender Erfüllung gehören zu den häufigsten Auslösern aufsichtsrechtlicher Verfahren.
- Datenpannen werden nicht innerhalb der 72-Stunden-Frist nach Art. 33 DSGVO an die zuständige Aufsichtsbehörde gemeldet, oft weil interne Meldewege fehlen oder Vorfälle als nicht meldepflichtig fehlklassifiziert werden.
- Auftragsverarbeitungsverträge nach Art. 28 DSGVO fehlen, sind veraltet oder enthalten keine ausreichenden Regelungen zu technisch-organisatorischen Maßnahmen und Unterauftragnehmern.
Geldwäschegesetz: die wachsende Aufsicht über Nicht-Banken
Das Geldwäschegesetz richtet sich längst nicht mehr nur an Banken und Versicherer. § 2 GwG benennt eine lange Liste weiterer Verpflichteter, darunter Immobilienmakler, Notare, Steuerberater, Wirtschaftsprüfer, Kunsthändler und Güterhändler bei Bartransaktionen ab 10.000 Euro. Die Bußgeldspanne nach § 56 GwG liegt im Standardfall bei bis zu 100.000 Euro, bei vorsätzlicher Begehung bei bis zu 150.000 Euro. Für Finanzinstitute und Kreditinstitute existieren deutlich höhere Stufen, die sich am weltweiten Jahresumsatz orientieren.
- Keine oder veraltete Risikoanalyse nach § 5 GwG — viele verpflichtete Unternehmen führen sie einmalig durch und aktualisieren sie nie wieder.
- Keine angemessenen internen Sicherungsmaßnahmen nach § 6 GwG, insbesondere keine schriftlich fixierten Arbeitsanweisungen und keine regelmäßigen Schulungen der Mitarbeitenden.
- Mangelhafte Kundenidentifizierung nach § 10 GwG — fehlende oder unvollständige Identifizierung des wirtschaftlich Berechtigten, insbesondere bei komplexen Konzernstrukturen.
- Unterlassene Verdachtsmeldung an die Financial Intelligence Unit nach § 43 GwG, wenn Anhaltspunkte für Geldwäsche oder Terrorismusfinanzierung vorliegen.
- Keine Bestellung eines Geldwäschebeauftragten nach § 7 GwG, obwohl die zuständige Aufsichtsbehörde dies angeordnet hat oder die Bestellung von der Verpflichteten-Eigenschaft her zwingend wäre.
Unterschätzte Pflicht
Die Verdachtsmeldung an die Financial Intelligence Unit ist der Tatbestand, der in der Beratungspraxis am häufigsten zu Verfahren führt. § 43 GwG verlangt die Meldung schon dann, wenn Anhaltspunkte vorliegen — nicht erst bei Gewissheit. Wer den Schwellenwert zu hoch ansetzt, läuft Gefahr, dass die FIU bei einer späteren Prüfung die unterlassene Meldung als Pflichtverletzung wertet, mit allen bußgeldrechtlichen Folgen.
Hinweisgeberschutz: die neueste Pflicht und ihre typischen Lücken
Das Hinweisgeberschutzgesetz gilt seit Mitte Dezember 2023 und verpflichtet alle Unternehmen mit mindestens 50 Mitarbeitenden, einen internen Meldekanal einzurichten. Die Bußgeldspanne nach § 40 HinSchG ist auf den ersten Blick moderat: bis zu 20.000 Euro für die zentralen Tatbestände wie das Fehlen eines internen Meldekanals oder Repressalien gegen hinweisgebende Personen, in den übrigen Fällen bis zu 10.000 Euro. Über die Verbandsgeldbuße nach § 30 OWiG ist allerdings bei den meisten Tatbeständen eine Verzehnfachung möglich — wodurch eine Verbandsstrafe von bis zu 200.000 Euro in den Raum rückt.
- Kein interner Meldekanal eingerichtet, obwohl die Mitarbeiterschwelle überschritten ist — häufig bei stark gewachsenen Mittelständlern, die die 50-Personen-Grenze unbemerkt passiert haben.
- Meldekanal eingerichtet, aber nicht erreichbar: kein veröffentlichter Zugang, keine eindeutige Zuständigkeit, keine Eingangsbestätigung innerhalb von sieben Tagen.
- Vertraulichkeit nicht gewahrt: die Identität der hinweisgebenden Person ist intern bekannt geworden, weil keine ordnungsgemäße Trennung der Meldebearbeitung umgesetzt war.
- Repressalien gegen hinweisgebende Personen — die Beweislastumkehr nach § 36 HinSchG sorgt dafür, dass Unternehmen Maßnahmen wie Versetzung, Abmahnung oder Kündigung nach einer Meldung besonders rechtfertigen müssen.
- Keine Dokumentation der eingegangenen Meldungen — § 11 HinSchG verlangt eine drei Jahre lang aufbewahrte Dokumentation, die in vielen Unternehmen schlicht nicht geführt wird.
Mindestlohn: die Schwerpunkte der Finanzkontrolle Schwarzarbeit
Das Mindestlohngesetz wird durch die Finanzkontrolle Schwarzarbeit (FKS) der Hauptzollämter überwacht. Die Bußgeldspanne nach § 21 Abs. 3 MiLoG reicht von 30.000 Euro für die meisten Tatbestände über 50.000 Euro bei bestimmten Dokumentationsverstößen bis zu 500.000 Euro bei direkter Mindestlohn-Unterschreitung oder bei Auftraggebern, die einen Subunternehmer einsetzen, von dem sie wussten oder fahrlässig nicht wussten, dass dieser den Mindestlohn nicht zahlt. Die FKS prüft mit deutlichem Branchen-Schwerpunkt — die Aufzeichnungspflicht nach § 2a Schwarzarbeitsbekämpfungsgesetz definiert die Risiko-Branchen abschließend.
Bau- und Handwerks-Cluster
Bau, Reinigung, Fleisch
- Baugewerbe einschließlich Bauhilfsgewerbe
- Gebäudereinigung
- Fleischwirtschaft
- Forstwirtschaft
- Messebau und -veranstaltung
Service- und Transport-Cluster
Gastro, Logistik, Friseur
- Gaststätten- und Beherbergungsgewerbe
- Spedition, Transport, Logistik
- Personenbeförderung
- Schaustellergewerbe
- Friseurhandwerk und Kosmetikgewerbe
- Tatsächliche Mindestlohn-Unterschreitung durch zu niedrige Stundenlöhne oder durch verkürzte Lohnzahlungszeitraum-Berechnungen, etwa bei Stücklohn-Modellen ohne Mindestlohn-Sicherung.
- Fehlerhafte oder fehlende Arbeitszeit-Dokumentation nach § 17 MiLoG — die Dokumentationspflicht greift in den oben genannten Branchen und zusätzlich für geringfügig Beschäftigte unabhängig von der Branche.
- Pauschale Spesen, Trinkgelder oder Fahrtkosten werden in den Mindestlohn eingerechnet, obwohl sie nach der Rechtsprechung des Bundesarbeitsgerichts nicht angerechnet werden dürfen.
- Mindestlohn wird durch Schein-Werkverträge oder Schein-Selbstständigkeit umgangen — die FKS prüft die tatsächliche Eingliederung, nicht den Vertragstitel.
- Auftraggeber-Haftung nach § 13 MiLoG: Generalunternehmer haften für die Mindestlohn-Zahlung ihrer Subunternehmer, auch wenn sie diese vertraglich abbedungen haben.
Lieferkettensorgfalt: die Schwelle für die Größeren
Das Lieferkettensorgfaltspflichtengesetz gilt seit Anfang 2023 für Unternehmen mit mindestens 3.000 Mitarbeitenden und seit Anfang 2024 zusätzlich für Unternehmen ab 1.000 Mitarbeitenden. Zuständige Aufsicht ist das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA). Die typischen Verstöße im direkten Anwendungsbereich betreffen die strukturelle Umsetzung: fehlende oder unvollständige Risikoanalyse nach § 5 LkSG, fehlende Präventionsmaßnahmen nach § 6, kein Beschwerdeverfahren nach § 8 und Versäumnisse bei der jährlichen Berichtspflicht nach § 10.
Mittelbare Betroffenheit
Auch wenn der direkte Anwendungsbereich auf größere Unternehmen begrenzt ist, treffen die Pflichten mittelbar viele Mittelständler. Als Zulieferer eines LkSG-pflichtigen Unternehmens werden Lieferketten-Anforderungen vertraglich durchgereicht, oft mit erheblichen Dokumentations- und Audit-Erwartungen. Die EU-Lieferketten-Richtlinie CSDDD, die seit Mitte 2024 in Kraft ist und bis Mitte 2026 in nationales Recht umzusetzen ist, wird den Anwendungsbereich auf weitere Unternehmen ausweiten und die Sanktionen verschärfen.
Bußgeldhorizont im Überblick
| Rechtsgebiet | Anwendungsschwelle | Zuständige Behörde | Bußgeld-Höchstrahmen |
|---|---|---|---|
| DSGVO | Jede Verarbeitung personenbezogener Daten — ohne Schwelle. | Datenschutz-Aufsichtsbehörden der Länder, in Bundesfällen der BfDI. | Bis 20 Mio € oder 4 % des weltweiten Jahresumsatzes nach Art. 83 Abs. 5 DSGVO. Der höhere Betrag gilt. |
| GwG | Verpflichtete nach § 2 GwG: Banken, Versicherer, Immobilienmakler, Notare, Steuerberater, Güterhändler bei Bartransaktionen ab 10.000 €. | BaFin für Finanzinstitute, sonst Landesbehörden. Verdachtsmeldungen an die FIU beim Zoll. | Bis 100.000 € (vorsätzlich 150.000 €) im Standardfall. Für Finanzinstitute höhere Stufen bis zu 5 Mio € oder 10 % des Jahresumsatzes. |
| HinSchG | Beschäftigungsgeber ab 50 Mitarbeitenden, mit Sonderregelungen für Finanzbranche. | Bundesamt für Justiz als externe Meldestelle und Bußgeldstelle. | Bis 20.000 € (kein Meldekanal, Repressalien), bis 10.000 € sonstige Fälle. Über § 30 OWiG bei der Verbandsgeldbuße in bestimmten Tatbeständen verzehnfacht. |
| MiLoG | Alle Arbeitgeber. Dokumentationspflichten besonders in den Risiko-Branchen nach § 2a SchwarzArbG. | Finanzkontrolle Schwarzarbeit der Hauptzollämter. | Bis 500.000 € bei Mindestlohn-Unterschreitung, bis 50.000 € für bestimmte Dokumentationsverstöße, sonst bis 30.000 €. |
| LkSG | Ab 1.000 Mitarbeitenden in Deutschland. | Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA). | Bis 800.000 € (Geldbußen-Katalog nach § 24 LkSG), bei Unternehmen mit mehr als 400 Mio € Jahresumsatz bis zu 2 % des weltweiten Jahresumsatzes. |
Was strukturell hinter den Verstößen steckt
Wer die einzelnen Verstoßarten über die Rechtsgebiete hinweg vergleicht, erkennt ein wiederkehrendes Muster. Hinter den meisten KMU-Verstößen stehen weniger böse Absicht oder mangelnde Sorgfalt im konkreten Einzelfall, sondern strukturelle Schwächen in der Compliance-Organisation.
- Verantwortlichkeiten sind nicht klar verteilt — kein benannter Datenschutzbeauftragter, kein Geldwäschebeauftragter, keine zugewiesene Hinweisgeberschutz-Funktion. Im Ernstfall fühlt sich niemand zuständig, bis es zu spät ist.
- Compliance wird als Projekt verstanden, nicht als Prozess. Die Einführung der DSGVO 2018, des LkSG 2023 oder des HinSchG ebenfalls 2023 wird als einmaliger Aufwand abgearbeitet, ohne dass nachgelagerte Überprüfungs- und Aktualisierungs-Zyklen etabliert werden.
- Schulungen finden einmalig statt — beim Onboarding oder bei der Einführung — und werden dann nicht wiederholt. Neue Mitarbeitende oder geänderte Aufsichts-Schwerpunkte erreichen die operative Ebene nicht.
- Behörden-Kommunikation ist ad-hoc organisiert, nicht geplant. Wenn eine Anfrage der Aufsichtsbehörde eingeht, fehlt der vorbereitete Antwort-Prozess, was die Reaktionszeit erhöht und in Verfahren regelmäßig negativ gewertet wird.
- Dokumentation ist lückenhaft. Die Beweislast in compliance-rechtlichen Auseinandersetzungen liegt häufig beim Unternehmen — wer nicht dokumentiert hat, kann sich nicht entlasten, weder gegenüber Aufsichtsbehörden noch in zivilrechtlichen Folgeverfahren wegen Geschäftsführungs-Haftung.
Häufige Fragen aus der Beratungspraxis
Welches Compliance-Feld trifft den Mittelstand am häufigsten?
Datenschutz, deutlich vor allen anderen. Die DSGVO erreicht aufgrund ihres weiten Anwendungsbereichs jeden Mandanten, der personenbezogene Daten verarbeitet — also praktisch jedes Unternehmen mit Mitarbeitenden, Kundenbeziehungen oder einer Website. Dass die Aufsichtsbehörden hier auch die meisten Verfahren führen, verstärkt die Sichtbarkeit. Geldwäsche-, Hinweisgeber- und Mindestlohn-Verstöße sind in der Häufigkeit weniger sichtbar, aber strukturell ähnlich verbreitet.
Greift das Hinweisgeberschutzgesetz für jede GmbH mit 50 Mitarbeitenden?
Für nahezu jede. Die 50-Personen-Schwelle wird nach Köpfen gerechnet, nicht nach Vollzeit-Äquivalenten. Auch geringfügig Beschäftigte und Teilzeitkräfte zählen mit. In der Praxis erreichen viele Mittelständler diese Schwelle, ohne dass die Compliance-Funktion das bemerkt. Sonderregelungen gelten für Unternehmen aus der Finanzbranche, für die der Schwellenwert unabhängig von der Mitarbeiterzahl gilt — dort ist die Meldekanal-Pflicht bereits aus dem WpHG und parallelen Regelungen abgeleitet.
Wann ist eine Datenpanne wirklich meldepflichtig nach Art. 33 DSGVO?
Die Meldepflicht greift bei Verletzungen des Schutzes personenbezogener Daten, die voraussichtlich zu einem Risiko für die Rechte und Freiheiten Betroffener führen. Die Praxis-Schwelle ist niedriger, als viele annehmen — auch eine fehlgeleitete E-Mail mit Personalbezug, ein verlorener USB-Stick oder ein Hacker-Zugriff ohne nachweisbaren Datenabfluss können meldepflichtig sein. Bei unklarer Lage empfiehlt sich eine vorsichtige Meldung; die Aufsichtsbehörden bewerten verspätete Meldungen regelmäßig negativ. Maßgeblich ist die 72-Stunden-Frist ab Kenntniserlangung.
Wann ist mein Unternehmen Verpflichteter nach dem Geldwäschegesetz?
§ 2 GwG enthält eine abschließende Liste der Verpflichteten. Außerhalb des Finanzsektors fallen typischerweise darunter: Steuerberater, Wirtschaftsprüfer, Rechtsanwälte (in bestimmten Mandatskonstellationen), Immobilienmakler, Notare, Treuhänder, Kunsthändler und Kunstvermittler ab einem Transaktionswert von 10.000 Euro sowie Güterhändler bei Bartransaktionen ab 10.000 Euro. Letzteres trifft viele Mittelständler unerwartet — der Autohändler, der Maschinenbauer und der Großhändler werden zum GwG-Verpflichteten, sobald sie Bargeld ab 10.000 Euro entgegennehmen oder ausgeben.
Was prüft die Finanzkontrolle Schwarzarbeit konkret?
Die FKS prüft in den Risiko-Branchen nach § 2a SchwarzArbG regelmäßig die Arbeitszeit-Dokumentation, die tatsächliche Anwesenheit der gemeldeten Beschäftigten, die Lohnzahlungen und die Subunternehmer-Verträge. Außerhalb dieser Branchen prüft die FKS anlassbezogen, etwa nach Hinweisen oder bei verdächtigen Lohnverhältnissen. Die Auftraggeber-Haftung nach § 13 MiLoG bedeutet, dass auch Unternehmen außerhalb der Risiko-Branchen betroffen sein können, sobald sie als Generalunternehmer in eine Lieferkette mit niedrigen Lohnverhältnissen geraten.
Wie kann ein mittelständisches Unternehmen den Compliance-Aufwand priorisieren?
Aus unserer Beratungspraxis hat sich eine schrittweise Priorisierung bewährt. Zunächst die regulatorischen Pflichten klären, die unabhängig von der Größe immer gelten — Datenschutz und Mindestlohn. Dann die Pflichten, die sich aus Größe oder Branche ergeben — Hinweisgeberschutz ab 50 Mitarbeitenden, Geldwäschegesetz bei Bartransaktionen oder spezifischer Branchenzugehörigkeit, Lieferkettensorgfalt ab 1.000 Mitarbeitenden oder als Zulieferer eines LkSG-pflichtigen Großkunden. Erst dann die freiwilligen, aber wirtschaftlich sinnvollen Felder wie ein strukturiertes Compliance-Management-System nach IDW PS 980 oder eine Zertifizierung nach ISO 27001.
Was die Risiko-Übersicht für die Geschäftsleitung bedeutet
Die Verstoß-Muster in den fünf wichtigsten Compliance-Feldern haben mehr gemeinsam, als der oberflächliche Eindruck vermuten lässt. In allen Bereichen treten dieselben Schwächen auf: unklare Verantwortlichkeiten, einmalige statt fortlaufender Schulung, lückenhafte Dokumentation, fehlende Behörden-Kommunikationspläne. Wer diese strukturellen Themen adressiert, reduziert das Bußgeldrisiko in mehreren Feldern gleichzeitig — und entlastet zugleich die persönliche Haftung der Geschäftsleitung, die in den letzten Jahren spürbar geschärft worden ist.
Was bleibt
Compliance ist im Mittelstand selten ein Erkenntnis- und meist ein Umsetzungsproblem. Welche Pflichten gelten, lässt sich in wenigen Tagen ermitteln; die Frage ist, ob im Tagesgeschäft jemand zuständig ist, ob Schulungen wiederholt werden und ob die Dokumentation der wesentlichen Entscheidungen aktenkundig vorliegt. Genau diese drei Punkte trennen in der Beratungspraxis die Unternehmen, die ein Bußgeldverfahren mit überschaubarem Aufwand abwenden, von denen, die im Verfahren unter Beweislast geraten.
