Die persönliche Haftung der Geschäftsleitung für Compliance-Versäumnisse hat sich in den vergangenen Jahren spürbar verschärft. Drei Normen bilden den Kern dieser Verantwortung: § 43 GmbHG für die allgemeine Sorgfaltspflicht, § 91 Abs. 2 AktG für die Risikofrüherkennung (analog auch auf die GmbH übertragbar) und seit 2021 das Gesetz über den Stabilisierungs- und Restrukturierungsrahmen für Unternehmen (Unternehmensstabilisierungs- und -restrukturierungsgesetz – StaRUG) mit einer fortlaufenden Krisenfrüherkennungspflicht für alle haftungsbeschränkten Unternehmensträger. Wer als Geschäftsführer oder Geschäftsführerin diese drei Pfeiler nicht kennt, geht ein hohes Haftungsrisiko ein, das in unserer Beratungspraxis regelmäßig sichtbar wird — und das wesentlich weiter reicht als ein internes Audit-Finding.
§ 43 GmbHG: Die Sorgfaltspflicht des Geschäftsführers
§ 43 Abs. 1 GmbHG verlangt von Geschäftsführern, in den Angelegenheiten der Gesellschaft die „Sorgfalt eines ordentlichen Geschäftsmannes“ anzuwenden. Der Maßstab ist objektiv: nicht das individuelle Können der konkreten Person zählt, sondern der Standard, den die Rechtsprechung von einem ordentlichen Geschäftsleiter in einer vergleichbaren Lage erwartet. Verletzt ein Geschäftsführer diese Sorgfaltspflicht, haftet er nach § 43 Abs. 2 GmbHG der Gesellschaft für den entstandenen Schaden — bei mehreren Geschäftsführern solidarisch.
Innenhaftung
Der Schadensersatzanspruch aus § 43 Abs. 2 GmbHG steht der Gesellschaft zu, nicht ihren Gläubigern. Daneben gibt es eigenständige Außenhaftungs-Tatbestände, etwa § 64 GmbHG (Zahlungen nach Insolvenzreife) oder die strafrechtlichen Vorschriften des StGB. Für den klassischen Compliance-Vorfall steht aber zunächst die Innenhaftung im Mittelpunkt: Die GmbH (im Insolvenzfall der Insolvenzverwalter) verklagt den ehemaligen Geschäftsführer auf Ersatz des durch dessen Pflichtverletzung entstandenen Schadens.
Die Beweislastumkehr: Wer nicht dokumentiert, kann sich nicht entlasten
Die für die Praxis folgenreichste Regelung steht in § 93 Abs. 2 Satz 2 AktG und wird vom Bundesgerichtshof seit langem analog auf den GmbH-Geschäftsführer angewendet: Ist streitig, ob die Geschäftsleitung die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt hat, trifft sie selbst die Beweislast. In Schadensersatzprozessen führt das zu einer Konstellation, die viele Geschäftsführer unterschätzen — die Gesellschaft muss nicht nachweisen, dass ein Fehler passiert ist, sondern der Geschäftsführer muss nachweisen, dass er pflichtgemäß gehandelt hat.
Praktische Konsequenz
Ohne dokumentierte Entscheidungsgrundlage kein Beweis. Vorstands- und Geschäftsführer-Protokolle, Risiko-Bewertungen, eingeholte Stellungnahmen externer Berater, Compliance-Reports — was nicht aktenkundig ist, hilft im Prozess nicht. Diese Beweislastumkehr ist der eigentliche Hebel hinter den Dokumentations-Anforderungen, die externe Berater und Wirtschaftsprüfer in Mandaten regelmäßig einfordern.
Business Judgment Rule: Schutzraum für unternehmerische Entscheidungen
Gleichzeitig schützt das Gesetz unternehmerisches Handeln vor Rückschau-Kritik. § 93 Abs. 1 Satz 2 AktG, ebenfalls analog auf die GmbH angewendet, formuliert die sogenannte Business Judgment Rule: Eine Pflichtverletzung liegt nicht vor, wenn die Geschäftsleitung bei einer unternehmerischen Entscheidung „vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln“. Vier Voraussetzungen müssen dafür kumulativ erfüllt sein.
- Es handelt sich um eine echte unternehmerische Entscheidung, nicht um eine gebundene Entscheidung wie die Beachtung gesetzlicher Vorgaben.
- Die Entscheidung beruht auf angemessener Information — der Umfang hängt vom Gewicht und der Tragweite der Entscheidung ab.
- Die Geschäftsleitung handelt zum Wohle der Gesellschaft und nicht aus Sonderinteressen.
- Die Annahme, im Sinne der Gesellschaft zu handeln, ist vernünftig — sie hält einer rückblickenden Plausibilitätsprüfung stand.
Wichtig: Die Business Judgment Rule schützt nur unternehmerische Entscheidungen. Für gesetzlich gebundene Pflichten — die Einhaltung von Steuerrecht, Datenschutz, Geldwäscheprävention, Hinweisgeberschutz, Arbeits- und Sozialrecht — greift sie nicht. Dort gibt es keinen Beurteilungsspielraum, der die Geschäftsleitung vor Haftung schützen würde, sondern eine strikte Legalitätspflicht.
Compliance als Teil der Sorgfaltspflicht: Die Legalitätspflicht
Spätestens seit dem Urteil des Landgerichts München I aus dem Jahr 2013 im Verfahren gegen den ehemaligen Siemens-Finanzvorstand Heinz-Joachim Neubürger ist die Rechtslage in diesem Punkt klar: Die Pflicht zur Einhaltung des geltenden Rechts gehört zum Kernbestand der Geschäftsleitungs-Sorgfalt. Das Gericht verurteilte Neubürger zu einer Schadensersatzleistung im zweistelligen Millionenbereich mit der Begründung, ein Vorstandsmitglied habe im Rahmen seiner Legalitätspflicht dafür Sorge zu tragen, dass das Unternehmen so organisiert und beaufsichtigt wird, dass keine Gesetzesverstöße erfolgen.
Übertragen auf die GmbH bedeutet das: Die Einrichtung eines wirksamen Compliance-Management-Systems gehört nicht zu den Wahl-, sondern zu den Pflichtaufgaben der Geschäftsleitung. Welche Tiefe und welcher Formalisierungsgrad „angemessen“ sind, hängt von Größe, Branche, Risikoprofil und internationaler Ausrichtung des Unternehmens ab. Ein Tiefbau-Unternehmen mit 30 Mitarbeitenden braucht kein CMS nach IDW PS 980. Eine pharmazeutische Vertriebsgesellschaft mit Auslandsbezug sehr wohl.
§ 91 Abs. 2 AktG: Risikofrüherkennung und Überwachungssystem
§ 91 Abs. 2 AktG verpflichtet den Vorstand, „geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden“. Für börsennotierte Aktiengesellschaften kommt nach § 91 Abs. 3 AktG ein dem Geschäftsumfang angemessenes internes Kontroll- und Risikomanagement-System hinzu. In der Literatur und Rechtsprechung wird der Grundgedanke von § 91 Abs. 2 AktG seit langem auf die GmbH übertragen, sobald sie nach Umfang und Komplexität eine entsprechende Struktur erfordert.
StaRUG: Die fortlaufende Krisenfrüherkennung seit 2021
Mit dem Unternehmensstabilisierungs- und -restrukturierungsgesetz hat der Gesetzgeber 2021 die Krisenfrüherkennung gesetzlich verankert — und zwar ausdrücklich für alle haftungsbeschränkten Unternehmensträger, also auch für die GmbH. § 1 Abs. 1 StaRUG definiert drei zusammenhängende Pflichten.
Fortlaufendes Wachen
Die Geschäftsleitung wacht „fortlaufend“ über Entwicklungen, die den Fortbestand der juristischen Person gefährden können. „Fortlaufend“ heißt: kein Jahres-Reporting, sondern eine systematische, kontinuierliche Beobachtung mit definierten Indikatoren.
Geeignete Gegenmaßnahmen
Werden bestandsgefährdende Entwicklungen erkannt, ergreift die Geschäftsleitung geeignete Gegenmaßnahmen. Welche Maßnahmen geeignet sind, hängt vom Stadium der Krise ab — von operativen Korrekturen über eine Restrukturierung bis zur Einleitung eines präventiven Sanierungsrahmens.
Unverzügliche Berichterstattung
Die Geschäftsleitung erstattet dem Überwachungsorgan — bei der GmbH typischerweise der Gesellschafterversammlung oder einem Beirat — unverzüglich Bericht. Berühren die Maßnahmen Zuständigkeiten anderer Organe, wirkt sie auf deren Befassung hin. Damit ist die Krisenfrüherkennung kein internes Stillschweigen-Thema mehr.
Praktisch bedeutet das StaRUG, dass die Krisenfrüherkennung seit 2021 nicht mehr aus § 43 GmbHG und § 91 Abs. 2 AktG analog abgeleitet werden muss — sie steht ausdrücklich im Gesetz. Verletzt die Geschäftsleitung diese Pflicht, fließt das in den Sorgfaltsmaßstab des § 43 GmbHG zurück: Was unverzüglich hätte berichtet und behandelt werden müssen, lässt sich später nicht mehr als unternehmerische Entscheidung unter Business Judgment Rule rechtfertigen.
Was am Ende droht: Schadensersatz und Verbandsgeldbuße
Die Haftungstrias § 43 GmbHG, § 91 Abs. 2 AktG und § 1 StaRUG zielt auf die zivilrechtliche Innenhaftung gegenüber der eigenen Gesellschaft. Parallel dazu existiert ein bußgeld- und ordnungswidrigkeitenrechtlicher Strang: § 130 OWiG sanktioniert die Aufsichtspflichtverletzung des Betriebsinhabers mit einer Geldbuße von bis zu einer Million Euro, und über § 30 OWiG kann zusätzlich eine Verbandsgeldbuße direkt gegen die juristische Person verhängt werden — bei vorsätzlichen Straftaten der Leitungsperson bis zu zehn Millionen Euro, bei fahrlässigen Straftaten bis zu fünf Millionen Euro. Im Fachrecht liegen die Schwellen häufig noch deutlich höher.
20 Mio €
oder 4 % des weltweiten Jahresumsatzes nach Art. 83 Abs. 5 DSGVO. Der höhere Betrag gilt.
10 Mio €
Verbandsgeldbuße nach § 30 Abs. 2 OWiG bei vorsätzlicher Straftat einer Leitungsperson.
1 Mio €
Bußgeld nach § 130 Abs. 3 OWiG bei Aufsichtspflichtverletzung mit strafbewehrter Folge.
Diese Bußgelder treffen zunächst die juristische Person. Über die zivilrechtliche Haftung aus § 43 GmbHG kann die Gesellschaft den entstandenen Schaden — einschließlich der gezahlten Bußgelder, soweit das nach den Ordre-public-Grenzen zulässig ist — anschließend bei den verantwortlichen Geschäftsleitern regressieren. Genau diese Konstellation hat das Verfahren Siemens/Neubürger so prägend gemacht.
D&O-Versicherung: Schutz mit Grenzen
Manager-Haftpflicht-Versicherungen, im Markt als D&O-Versicherungen bekannt, decken die zivilrechtliche Schadensersatzhaftung der Geschäftsleitung gegenüber der eigenen Gesellschaft und gegenüber Dritten ab. Für Vorstandsmitglieder einer AG schreibt § 93 Abs. 2 Satz 3 AktG einen Selbstbehalt von mindestens zehn Prozent des Schadens, mindestens jedoch bis zur Höhe des Eineinhalbfachen der festen jährlichen Vergütung vor. Bei GmbH-Geschäftsführern ist ein Selbstbehalt rechtlich nicht zwingend, in der Praxis aber häufig vereinbart.
Wichtig ist zu wissen, was die D&O typischerweise nicht abdeckt: Bußgelder und sonstige Strafzahlungen sind nach deutscher Rechtsprechung aus ordre-public-Gründen nicht versicherbar. Vorsätzliche Pflichtverletzungen sind ebenfalls regelmäßig aus dem Versicherungsschutz ausgenommen. Strafrechtliche Sanktionen — Geldstrafen oder Freiheitsstrafen — versichert keine D&O. Der Schutz greift damit dort, wo es um zivilrechtlichen Schadensersatz gegenüber der Gesellschaft geht, nicht dort, wo die strafrechtliche oder bußgeldrechtliche Verantwortung im Vordergrund steht.
Die drei Normen im Überblick
| Norm | Was sie verlangt | Wer betroffen ist | Rechtsfolge bei Verletzung |
|---|---|---|---|
| § 43 GmbHG | Sorgfalt eines ordentlichen Geschäftsmannes in allen Angelegenheiten der Gesellschaft. | Alle GmbH-Geschäftsführer. Analoge Anwendung auf vergleichbare Rechtsformen. | Schadensersatzpflicht gegenüber der Gesellschaft, bei mehreren Geschäftsführern solidarisch. Beweislastumkehr nach § 93 Abs. 2 Satz 2 AktG analog. |
| § 91 Abs. 2 AktG | Geeignete Maßnahmen, insbesondere Überwachungssystem, zur Früherkennung bestandsgefährdender Entwicklungen. | Vorstand einer AG. Analog auf die GmbH übertragen, wo Umfang und Komplexität es erfordern. | Pflichtverletzung mit Innenhaftungs-Folge nach § 43 GmbHG bzw. § 93 AktG. |
| § 1 StaRUG | Fortlaufende Krisenfrüherkennung, geeignete Gegenmaßnahmen und unverzügliche Berichterstattung an das Überwachungsorgan. | Alle haftungsbeschränkten Unternehmensträger (GmbH, AG, GmbH & Co. KG und vergleichbar). | Verletzung fließt in den Sorgfaltsmaßstab des § 43 GmbHG zurück. Verschärfte zivilrechtliche Haftung. |
| § 130 OWiG | Aufsichtsmaßnahmen, die erforderlich sind, um Zuwiderhandlungen im Unternehmen zu verhindern. | Betriebs- oder Unternehmensinhaber. Über § 9 OWiG auch die Organmitglieder. | Geldbuße bis zu einer Million Euro bei strafbewehrter Pflichtverletzung. Daneben Verbandsgeldbuße nach § 30 OWiG. |
Häufige Fragen aus der Beratungspraxis
Greift § 43 GmbHG auch bei einer kleinen GmbH mit fünf Mitarbeitenden?
Ja, ohne Einschränkung. Die Sorgfaltspflicht und die Beweislastumkehr gelten unabhängig von Größe oder Umsatz. Was sich mit der Unternehmensgröße ändert, ist der inhaltliche Maßstab dessen, was als „ordentlicher Geschäftsmann“ erwartet wird: Die Anforderungen an ein Risikomanagement-System und an einen formalisierten Compliance-Apparat sind in einer Fünf-Personen-GmbH andere als in einem Mittelständler mit dreihundert Mitarbeitenden. Der Sorgfaltsmaßstab selbst aber gilt auf jeder Stufe.
Was ist mit Allein-Gesellschafter-Geschäftsführer-Konstellationen?
Auch der Allein-Gesellschafter-Geschäftsführer haftet nach § 43 GmbHG. In der Innenhaftung gegenüber der GmbH ist das in der Tat oft theoretisch — solange das Unternehmen solvent ist und der Allein-Gesellschafter zugleich die einzige geschädigte Partei wäre. In der Insolvenz ändert sich das Bild grundlegend: Der Insolvenzverwalter kann Ersatzansprüche der GmbH gegen den ehemaligen Geschäftsführer geltend machen, und dann ist auch der Allein-Gesellschafter-Geschäftsführer in voller Haftung.
Wann verjähren Schadensersatzansprüche nach § 43 GmbHG?
Die Verjährungsfrist beträgt nach § 43 Abs. 4 GmbHG fünf Jahre ab Entstehung des Anspruchs, bei börsennotierten Aktiengesellschaften nach § 93 Abs. 6 AktG zehn Jahre. Die Frist beginnt nicht erst mit Kenntnis des Anspruchs, sondern bereits mit dem Schadenseintritt. Für ehemalige Geschäftsführer bedeutet das: Die Haftungsverantwortung wirkt nach dem Ausscheiden weiter, häufig über mehrere Jahre.
Können Gesellschafter die Geschäftsführung von der Haftung freistellen?
Eingeschränkt. In den Bereichen der Kapitalerhaltung (§ 43 Abs. 3 GmbHG in Verbindung mit § 30 GmbHG) und in der Insolvenznähe ist eine Freistellung gegenüber Gläubigern nicht möglich. Im Innenverhältnis können die Gesellschafter eine Entlastung beschließen — diese wirkt aber nur bezogen auf bekannte Vorgänge und auf den Zeitraum der Entlastung. Eine generelle Sammel-Entlastung für künftige Pflichtverletzungen ist unwirksam.
Schützt die D&O-Versicherung wirklich vor den existenziellen Risiken?
Sie schützt vor der zivilrechtlichen Schadensersatzhaftung — also dem typischen Innenhaftungs-Fall. Sie schützt nicht vor Bußgeldern, nicht vor Strafverfahren, nicht vor vorsätzlichen Pflichtverletzungen und nur eingeschränkt vor Spätfolgen wie der Anspruchsverfolgung durch einen Insolvenzverwalter. Vor Vertragsabschluss lohnt sich der genaue Blick auf Deckungssumme, Selbstbehalt, Nachhaftungszeitraum und die zentralen Ausschlüsse. In der Beratung erleben wir regelmäßig, dass D&O-Versicherungen weniger leisten als die Geschäftsleitung erwartet.
Ist die Anspruchsverfolgung durch nachfolgende Geschäftsführer Pflicht?
Bei der AG gilt seit der ARAG/Garmenbeck-Rechtsprechung des Bundesgerichtshofs aus dem Jahr 1997 eine grundsätzliche Pflicht des Aufsichtsrats, durchsetzbare Schadensersatzansprüche der Gesellschaft gegen Vorstandsmitglieder zu verfolgen. Verzicht oder Vergleich sind nur in engen Grenzen zulässig. Bei der GmbH ist die Lage formal weniger streng geregelt, in der Praxis wird die Linie aber häufig auf die Geschäftsleitung übertragen — wer als Nachfolger Kenntnis von ersatzfähigen Pflichtverletzungen des Vorgängers hat und nichts unternimmt, riskiert eigene Haftung.
Was die drei Normen in der Praxis bedeuten
Die Haftungs-Architektur aus § 43 GmbHG, § 91 Abs. 2 AktG und § 1 StaRUG verlangt von einer Geschäftsleitung mittelständischer Unternehmen drei Dinge gleichzeitig: ein Bewusstsein für die persönliche Tragweite der Sorgfaltspflicht, eine strukturierte Risikofrüherkennung, die im Tagesgeschäft tatsächlich gelebt wird, und eine Dokumentation, die im Zweifel im Schadensfall standhält. Wer nur eines dieser drei Elemente vernachlässigt, verlässt sich darauf, dass nichts passiert — und das ist im regulatorisch dichter werdenden Umfeld eine zunehmend riskante Wette.
Was bleibt
Die Beweislastumkehr ist der eigentliche Hebel der Geschäftsleitungs-Haftung. Wer dokumentiert, was er entschieden hat, auf welcher Informationsgrundlage und mit welchen Alternativen, schafft sich die Verteidigungslinie, die § 93 Abs. 2 Satz 2 AktG analog verlangt. Wer das nicht tut, lebt im Sorgfaltsmaßstab des § 43 GmbHG unter einer Beweislast, die im Streitfall regelmäßig zu Lasten der Geschäftsleitung ausschlägt. Compliance-Management ist deshalb in erster Linie Eigenschutz — und erst in zweiter Linie unternehmerischer Mehrwert.
