Compliance ist ein integraler Bestandteil moderner und verantwortungsbewusster Unternehmensführung und schon lange nicht mehr nur ein Thema für Großkonzerne. Ein modernes Compliance-System schafft Werte, indem es zu erwartende Haftungsrisiken minimiert. Wie eine Versicherung.
Jedes Unternehmen muss für ein wirksames Compliance-System sorgen – das schreibt das Gesetz vor. Wer diese Pflicht ignoriert, riskiert Bußgelder und Imageschäden. Wir entwickeln Lösungen, die Ihr Unternehmen schützen, aber den Alltag nicht verkomplizieren. Unser Ziel: Ein System, das zu Ihnen passt und sich an neue Anforderungen anpassen lässt – ohne ständige externe Beratung. Wir kennen die Praxis. Wir wissen, worauf Behörden achten. So entsteht Compliance, die schützt – nicht bremst.
UNSERE PRODUKTE
Produkte für
sichere Unternehmen
Interessiert?
Sprechen Sie uns an
Wir helfen Ihnen, Ihre Compliance-Organisation sicher und effizient zu machen.
FAQ
Häufige Fragen
zum Thema Compliance
Compliance bedeutet, dass ein Unternehmen alle geltenden Gesetze, internen Richtlinien und ethischen Standards einhält – und sicherstellt, dass auch Mitarbeitende danach handeln. Ziel ist es, rechtliche Risiken zu vermeiden, Haftung zu reduzieren und das Vertrauen von Geschäftspartnern, Behörden und Mitarbeitenden zu stärken.
Compliance betrifft dabei alle Bereiche des Unternehmens – vom Einkauf über den Vertrieb bis zur Geschäftsführung. Sie regelt, wie man mit Interessenkonflikten, Geschenken, Datenschutz oder Informationssicherheit umgeht und wie Verstöße frühzeitig erkannt werden können.
Um sicherzustellen, dass dieses Wissen im Unternehmen wirklich ankommt, bietet PARK Compliance Services die Grundlagenschulung Compliance an.
Darin werden in 6 Modulen die häufigsten Fragen und typischen Fallstricke aus der Praxis erläutert – verständlich, praxisnah und rechtssicher. Auch Themen wie die Compliance-Risikoanalyse und der Hinweisgeberschutz werden thematisiert.
Für mittelständische Unternehmen kommen 2026 und 2027 vor allem neue Pflichten in den Bereichen Cybersicherheit, künstliche Intelligenz, E-Rechnung und Entgelttransparenz hinzu. Welche davon greifen, hängt von Branche, Größe und Geschäftstätigkeit ab.
Neu im Jahr 2026
NIS2-Umsetzungsgesetz (seit 6. Dezember 2025)
- IT-Risikomanagement, § 30 Abs. 1 BSIG
- Konkrete Sicherheitsmaßnahmen, § 30 Abs. 2 Nr. 1–10 BSIG
- Meldung erheblicher Sicherheitsvorfälle, § 32 Abs. 1, 2 BSIG
- Registrierung beim BSI, § 33 Abs. 1, 5 BSIG
- Unterrichtung von Kunden:
- bei erheblichen Sicherheitsvorfällen auf Anordnung des BSI, § 35 Abs. 1 BSIG
- in bestimmten Sektoren bei erheblichen Cyberbedrohungen, § 35 Abs. 2 BSIG
- Umsetzung der Risikomanagementmaßnahmen und Schulung der Geschäftsleitung, § 38 Abs. 1, 3 BSIG
EU-KI-Verordnung (AI Act) – ab 2. August 2026
- Transparenz bei KI-Interaktionen, Art. 50 Abs. 1 KI-VO
- Kennzeichnung KI-generierter Inhalte, einschließlich Deepfakes, Art. 50 Abs. 2, 4 KI-VO
- Vorgaben zur Form der Information an Betroffene, Art. 50 Abs. 5 KI-VO
Cyber Resilience Act – ab 11. September 2026
- Hersteller von Produkten mit digitalen Elementen müssen nach Art. 14 CRA melden:
- aktiv ausgenutzte Schwachstellen
- schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Produktsicherheit
- Meldefristen:
- Frühwarnung binnen 24 Stunden nach Kenntniserlangung
- weitere Meldung binnen 72 Stunden nach Kenntniserlangung
- anschließend Abschlussbericht
KRITIS-Dachgesetz (in Kraft seit 17. März 2026)
- Regelt insbesondere die physische Widerstandsfähigkeit kritischer Infrastrukturen
- Pflichten entstehen erst mit der Registrierung, die voraussetzt, dass eine Anlage nach den maßgeblichen Kriterien als kritisch einzustufen ist
- Pflichten nach §§ 8, 16 KRITISDachG:
- Risikoanalyse
- Resilienzmaßnahmen
- Resilienzplan
- Meldung von Vorfällen
Neu im Jahr 2027
E-Rechnung – ab 1. Januar 2027
- Unternehmen mit mehr als 800.000 € Vorjahresumsatz müssen im B2B-Bereich elektronische Rechnungen ausstellen, § 14 Abs. 2 Satz 2 Nr. 1, § 27 Abs. 38 Nr. 2 UStG
Entgelttransparenz – ab 7. Juni 2027
- Erstmalige Berichtspflicht zum geschlechtsspezifischen Entgeltgefälle nach der EU-Entgelttransparenzrichtlinie (Art. 9 Abs. 2–4 RL (EU) 2023/970):
- ab 250 Arbeitnehmern: jährlich
- 150–249 Arbeitnehmer: alle drei Jahre
- 100–149 Arbeitnehmer: erstmals zum 7. Juni 2031, danach alle drei Jahre
- Das deutsche Umsetzungsgesetz steht noch aus.
EU-KI-Verordnung (AI Act) – ab 2. Dezember 2027
- Pflichten für Hochrisiko-KI-Systeme (Art. 6 Abs. 2 i. V. m. Anhang III KI-VO), etwa im Personalbereich:
- Anbieter: Art. 9–15 KI-VO
- Betreiber: Art. 26, 27 KI-VO
- Einführer, Händler und sonstige Dritte: Anbieterpflichten, wenn sie nach Art. 25 Abs. 1 KI-VO als Anbieter gelten
Cyber Resilience Act – ab 11. Dezember 2027
- Zusätzlich gelten die grundlegenden Cybersicherheits-, Dokumentations- und Konformitätsanforderungen für:
- Hersteller, Art. 13 CRA
- Bevollmächtigte, Art. 18 CRA
- Einführer, Art. 19 CRA
- Händler, Art. 20 CRA
- Verwalter quelloffener Software, Art. 24 CRA
Nicht neu, aber weiterhin relevant: Hinweisgeberschutz sowie ESG- und Lieferkettenpflichten gegenüber Geschäftspartnern.
Welche Pflichten Ihr Unternehmen konkret betreffen und in welcher Reihenfolge Handlungsbedarf besteht, zeigt die eintägige Risikoanalyse nach DIN SPEC 91524 von PARK | Compliance. Die von uns mitentwickelte Spezifikation überführt alle Anforderungen in eine einheitliche Struktur – ohne Parallelprozesse und mit klaren Verantwortlichkeiten.
Stand: Oktober 2026
Ein formales Compliance-Management-System (CMS) ist gesetzlich nicht zwingend vorgeschrieben, wird jedoch ab rund 50 Mitarbeitenden faktisch erwartet. Gerichte und Aufsichtsbehörden stützen sich bei der Bewertung auf § 130 OWiG und prüfen, ob ein Unternehmen „angemessen organisiert“ war.
Die DIN SPEC 91524, an deren Entwicklung Dr. Tobias Eggers (PARK | Compliance) beteiligt war, übersetzt diese Anforderungen in eine praktikable Mittelstandssystematik.
Sie unterscheidet drei Ausbaustufen – vom Basis-System mit Schulungen und Richtlinien bis zur erweiterten Risiko- und Monitoring-Struktur für Unternehmen mit internationalen Aktivitäten.
Unternehmen, die diese Systematik anwenden, erfüllen nicht nur ihre Organisationspflichten, sondern können im Krisenfall nachweisen, dass sie strukturiert gehandelt haben – ein entscheidender Haftungsschutz.
Die NIS2-Richtlinie betrifft ab Oktober 2024 deutlich mehr Unternehmen als bisher, darunter viele Zulieferer in industriellen Wertschöpfungsketten.
PARK | Compliance hat ein Verfahren entwickelt, das auf Basis weniger Unternehmensdaten prüft, ob die Schwellenwerte (mehr als 50 Mitarbeitende oder über 10 Mio. € Umsatz) erfüllt sind.
Diese Prüflogik folgt der DIN SPEC 91524 und ergänzt sie um sektor- und größenabhängige Kriterien. Das Ergebnis ist ein klares Risikoprofil, das technische und organisatorische Maßnahmen priorisiert – von der IT-Sicherheit bis zur Meldepflicht.
Unternehmen, die den NIS2-Schnelltest nach der PARK-Methodik anwenden, wissen binnen eines Tages, ob Handlungsbedarf besteht und welche Schritte erforderlich sind, um Bußgelder zu vermeiden.
Das Hinweisgeberschutzgesetz verpflichtet Unternehmen, den Eingang eines Hinweises innerhalb von sieben Tagen zu bestätigen und ihn vertraulich zu behandeln. Das von PARK | Compliance entwickelte Meldestellen-System kombiniert juristische Bewertung und digitale Fristensteuerung – damit die gesetzlichen Vorgaben automatisch eingehalten werden.
Nach § 17 HinSchG drohen bei Fristversäumnissen Bußgelder bis 50. 000 €. Eine rechtssichere Bearbeitung umfasst:
- Sofortige Dokumentation des Eingangs.
- Bestätigung an die hinweisgebende Person binnen sieben Tagen.
- Erste Sachprüfung und Kategorisierung.
- Rückmeldung innerhalb von drei Monaten.
Durch die automatisierte Prozessführung der PARK-Lösung werden Fristen, Datenschutz und Dokumentation nahtlos gesteuert – ein erprobtes Modell für mittelständische Unternehmen ohne eigene Compliance-Abteilung.
Die Risikoanalyse ist das Fundament jeder Compliance-Struktur. Nach der DIN SPEC 91524, die auf Initiative von PARK | Compliance entwickelt wurde, erfolgt sie in vier klaren Schritten:
- Risikoquellen identifizieren – z. B. Vertrieb, Einkauf, Umwelt, IT.
- Eintrittswahrscheinlichkeit und Schadensschwere bewerten.
- Maßnahmen und Verantwortlichkeiten festlegen.
- Ergebnisse dokumentieren und regelmäßig aktualisieren.
Das digitale Risikoanalyse-Tool von PARK | Compliance führt diese Schritte innerhalb eines Arbeitstags durch und erzeugt eine auditfähige Dokumentation.
So wird die sonst aufwendige Risikoermittlung für den Mittelstand wirtschaftlich und überprüfbar.
Eine Durchsuchung ist ein hochkritischer Moment für jedes Unternehmen.
Die ersten 5 Minuten entscheiden, ob Sie die Kontrolle behalten.
Die von PARK | Compliance gemeinsam mit PARK | Wirtschaftsstrafrecht entwickelte Notfallknopf-Lösung standardisiert die Kommunikation in genau dieser Situation.
Rechtlich gilt: Der richterliche Beschluss legitimiert den Zugriff, aber nicht jede Datensichtung.
Unternehmen müssen kooperieren, sollten jedoch keine Aussagen ohne Beratung abgeben.
Die PARK-Systematik sieht vier Sofortmaßnahmen vor:
- Zutritt kontrollieren und Beauftragung prüfen.
- Ansprechpartner bestimmen, Kommunikation bündeln.
- Strafverteidiger über den Notfallknopf alarmieren.
- Maßnahmen und Beschlagnahmen dokumentieren.
Diese Vorgehensweise verbindet juristische Präzision mit technischer Reaktionsschnelligkeit – ein entscheidender Schutzfaktor für den Mittelstand.
Der EU AI Act verpflichtet Unternehmen je nach Rolle und Risikokategorie des eingesetzten KI-Systems unter anderem zu KI-Kompetenz, Transparenz, Risikomanagement und Dokumentation. Eine strukturierte Erfassung der eingesetzten KI-Anwendungen schafft dabei die Grundlage für eine rechtssichere Bewertung.
Die KI-Governance-Methodik von PARK | Compliance integriert diese Anforderungen in bestehende Organisationsstrukturen.
Die Umsetzung umfasst drei Kernschritte:
- Erfassung der KI-Anwendungen und Einordnung in die maßgeblichen Risikokategorien.
- Definition von Verantwortlichkeiten sowie Freigabe-, Überwachungs- und Meldeprozessen.
- Aufbau einer nachvollziehbaren Dokumentation mit Prüf- und Nachweispfad.
Diese Vorgehensweise basiert auf der DIN-SPEC-91524-Logik zur funktionalen Verantwortlichkeit. So entsteht eine praxisgerechte und dokumentationsfähige Lösung, die Innovation ermöglicht und rechtliche Risiken gezielt reduziert
Durch den Einsatz der PARK-Methodik nach DIN SPEC 91524 lässt sich ein vollständiges Basissystem innerhalb von fünf Arbeitstagen implementieren.
Der entscheidende Unterschied liegt in der Kombination aus juristischer Präzision und automatisierter Prozessführung.
Das Verfahren gliedert sich in drei Phasen:
- Risikoanalyse (ein Tag)
- Maßnahmen- und Verantwortlichkeitsplanung (zwei Tage)
- Dokumentation, Richtlinien, Schulungen (zwei Tage)
Im Vergleich zu herkömmlichen Beratungsprojekten reduziert sich der Aufwand um rund 90 %.
Für ein Unternehmen mit etwa 100 Mitarbeitenden liegt der Preis typischerweise bei unter 5 % klassischer Beratungsbudgets.
Das PARK-System steht damit für Mittelstands-Compliance. Sicher, aber effizient.
Eine feste Mitarbeiterzahl, ab der ein Compliance-Management-System (CMS) Pflicht ist, gibt es nicht. Entscheidend sind Rechtsform, Branche, Geschäftstätigkeit, Unternehmensgröße und Risikolage. Ein zertifiziertes CMS ist nicht generell vorgeschrieben. Geschäftsführer einer GmbH und Vorstände einer AG müssen ihr Unternehmen aber so organisieren und überwachen, dass Rechtsverstöße verhindert werden (§ 43 GmbHG, § 91 AktG, § 130 OWiG). In risikoreichen oder stark wachsenden Unternehmen ist ein strukturiertes CMS deshalb regelmäßig erforderlich.
Gesetzliche Schwellenwerte und Branchenpflichten
| Anknüpfungspunkt | Pflicht | Rechtsgrundlage |
|---|---|---|
| Verarbeitung personenbezogener Daten (jede Größe) | Datenschutzorganisation und Schutzmaßnahmen | Art. 5, 24, 32 DSGVO |
| Beschäftigte (jede Größe) | Gefährdungsbeurteilung und Arbeitsschutzorganisation | §§ 3, 5 ArbSchG |
| In der Regel ab 50 Beschäftigten (Finanzsektor teils unabhängig von der Größe) | Interne Meldestelle; bei 50–249 Beschäftigten auch gemeinsam möglich | § 12 HinSchG |
| Ab 1.000 Beschäftigten im Inland, ggf. konzernweit gezählt | Sorgfaltspflichten in der Lieferkette | § 1 LkSG |
| Erfasste Sektoren, i. d. R. ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme | Cybersicherheits-Risikomanagement und Meldepflichten | §§ 28 ff. BSIG |
| Betreiber kritischer Anlagen | Resilienz, Risikoanalyse und Vorfallvorsorge | KRITIS-Dachgesetz |
| Banken und Wertpapierinstitute | Geschäftsorganisation, Risikomanagement, Compliance-Funktion | § 25a KWG, WpIG |
| Versicherungen | Internes Kontrollsystem und Compliance-Funktion | § 29 VAG |
| Geldwäsche-Verpflichtete | Risikoanalyse und interne Sicherungsmaßnahmen | §§ 4–6 GwG |
Wie sollte die Compliance-Organisation mit dem Unternehmen wachsen?
| Unternehmensgröße | Geeignete Schwerpunkte |
|---|---|
| 1–20 Beschäftigte | Grundlegende Richtlinien, klare Zuständigkeiten, Datenschutz und Arbeitsschutz |
| 20–50 Beschäftigte | Strukturierte Risikoanalyse, dokumentierte Kernprozesse, regelmäßige Schulungen |
| 50–250 Beschäftigte | Hinweisgebersystem, verbindliche Kontrollen, nachvollziehbare Dokumentation |
| Mehr als 250 Beschäftigte | Integriertes CMS, Berichtswesen, regelmäßige Wirksamkeitskontrollen |
Je größer und risikoreicher ein Unternehmen ist, desto stärker sollte das CMS formalisiert und dokumentiert sein. Maßgeblich bleibt die Angemessenheit im Verhältnis zur konkreten Risikolage.
Häufig gestellte Zusatzfragen
Gilt die Mitarbeiterzahl konzernweit oder pro Gesellschaft?
Das hängt vom jeweiligen Gesetz ab. Beim Hinweisgeberschutz wird grundsätzlich auf den jeweiligen Beschäftigungsgeber abgestellt. Beim LkSG können für die Obergesellschaft Beschäftigte konzernangehöriger Gesellschaften berücksichtigt werden.
Kann eine interne Meldestelle extern betrieben werden?
Ja. Nach § 14 HinSchG kann ein externer Dritter mit den Aufgaben der internen Meldestelle betraut werden. Die Verantwortung für geeignete Maßnahmen und die Abstellung von Verstößen verbleibt beim Unternehmen.
Kann die Geschäftsleitung auch bei einem kleinen Unternehmen haften?
Ja. Eine persönliche Haftung ist unabhängig von einer bestimmten Mitarbeiterzahl möglich. Maßgeblich sind eine konkrete Pflichtverletzung, ein entstandener Schaden und die weiteren haftungsrechtlichen Voraussetzungen. Für GmbH-Geschäftsführer ist insbesondere § 43 GmbHG relevant.
Gilt das auch für Einzelunternehmen und Personengesellschaften?
Auch Einzelunternehmen und Personengesellschaften müssen die für ihre Tätigkeit geltenden Compliance-Pflichten erfüllen. Dazu können insbesondere Anforderungen aus dem Datenschutz-, Arbeits-, Umwelt-, Geldwäsche- und Hinweisgeberschutzrecht gehören.