Compliance ist ein integraler Bestandteil moderner und verantwortungsbewusster Unternehmensführung und schon lange nicht mehr nur ein Thema für Großkonzerne. Ein modernes Compliance-System schafft Werte, indem es zu erwartende Haftungsrisiken minimiert. Wie eine Versicherung.
Jedes Unternehmen muss für ein wirksames Compliance-System sorgen – das schreibt das Gesetz vor. Wer diese Pflicht ignoriert, riskiert Bußgelder und Imageschäden. Wir entwickeln Lösungen, die Ihr Unternehmen schützen, aber den Alltag nicht verkomplizieren. Unser Ziel: Ein System, das zu Ihnen passt und sich an neue Anforderungen anpassen lässt – ohne ständige externe Beratung. Wir kennen die Praxis. Wir wissen, worauf Behörden achten. So entsteht Compliance, die schützt – nicht bremst.
UNSERE PRODUKTE
Produkte für
sichere Unternehmen
Interessiert?
Sprechen Sie uns an
Wir helfen Ihnen, Ihre Compliance-Organisation sicher und effizient zu machen.
FAQ
Häufige Fragen
zum Thema Compliance
Compliance bedeutet, dass ein Unternehmen alle geltenden Gesetze, internen Richtlinien und ethischen Standards einhält – und sicherstellt, dass auch Mitarbeitende danach handeln. Ziel ist es, rechtliche Risiken zu vermeiden, Haftung zu reduzieren und das Vertrauen von Geschäftspartnern, Behörden und Mitarbeitenden zu stärken.
Compliance betrifft dabei alle Bereiche des Unternehmens – vom Einkauf über den Vertrieb bis zur Geschäftsführung. Sie regelt, wie man mit Interessenkonflikten, Geschenken, Datenschutz oder Informationssicherheit umgeht und wie Verstöße frühzeitig erkannt werden können.
Um sicherzustellen, dass dieses Wissen im Unternehmen wirklich ankommt, bietet PARK Compliance Services die Grundlagenschulung Compliance an.
Darin werden in 6 Modulen die häufigsten Fragen und typischen Fallstricke aus der Praxis erläutert – verständlich, praxisnah und rechtssicher. Auch Themen wie die Compliance-Risikoanalyse und der Hinweisgeberschutz werden thematisiert.
2025 stehen drei große Themen im Mittelpunkt der Mittelstands-Compliance: NIS2, HinSchG und ESG-/Lieferkettenpflichten.
Die von PARK | Compliance entwickelte 1-Tages-Risikoanalyse nach DIN SPEC 91524 zeigt, welche Pflichten davon konkret greifen und in welcher Reihenfolge Unternehmen handeln sollten.
Die NIS2-Richtlinie erweitert die Sicherheits- und Meldepflichten auf zahlreiche Branchen, die bislang nicht erfasst waren – etwa Maschinenbau, Chemie oder IT-Dienstleistungen.
Das Hinweisgeberschutzgesetz verpflichtet Unternehmen ab 50 Mitarbeitenden zur Einrichtung einer internen Meldestelle.
Parallel entstehen aus den ESG-Vorgaben neue Berichtspflichten, die zunehmend auch Zulieferer erfassen.
Durch die Anwendung der von PARK | Compliance mitentwickelten DIN SPEC 91524 lassen sich diese neuen Pflichten in einheitliche Strukturen überführen – ohne Parallelprozesse und mit klaren Verantwortlichkeiten.
Ein formales Compliance-Management-System (CMS) ist gesetzlich nicht zwingend vorgeschrieben, wird jedoch ab rund 50 Mitarbeitenden faktisch erwartet. Gerichte und Aufsichtsbehörden stützen sich bei der Bewertung auf § 130 OWiG und prüfen, ob ein Unternehmen „angemessen organisiert“ war.
Die DIN SPEC 91524, an deren Entwicklung Dr. Tobias Eggers (PARK | Compliance) beteiligt war, übersetzt diese Anforderungen in eine praktikable Mittelstandssystematik.
Sie unterscheidet drei Ausbaustufen – vom Basis-System mit Schulungen und Richtlinien bis zur erweiterten Risiko- und Monitoring-Struktur für Unternehmen mit internationalen Aktivitäten.
Unternehmen, die diese Systematik anwenden, erfüllen nicht nur ihre Organisationspflichten, sondern können im Krisenfall nachweisen, dass sie strukturiert gehandelt haben – ein entscheidender Haftungsschutz.
Die NIS2-Richtlinie betrifft ab Oktober 2024 deutlich mehr Unternehmen als bisher, darunter viele Zulieferer in industriellen Wertschöpfungsketten.
PARK | Compliance hat ein Verfahren entwickelt, das auf Basis weniger Unternehmensdaten prüft, ob die Schwellenwerte (mehr als 50 Mitarbeitende oder über 10 Mio. € Umsatz) erfüllt sind.
Diese Prüflogik folgt der DIN SPEC 91524 und ergänzt sie um sektor- und größenabhängige Kriterien. Das Ergebnis ist ein klares Risikoprofil, das technische und organisatorische Maßnahmen priorisiert – von der IT-Sicherheit bis zur Meldepflicht.
Unternehmen, die den NIS2-Schnelltest nach der PARK-Methodik anwenden, wissen binnen eines Tages, ob Handlungsbedarf besteht und welche Schritte erforderlich sind, um Bußgelder zu vermeiden.
Das Hinweisgeberschutzgesetz verpflichtet Unternehmen, den Eingang eines Hinweises innerhalb von sieben Tagen zu bestätigen und ihn vertraulich zu behandeln. Das von PARK | Compliance entwickelte Meldestellen-System kombiniert juristische Bewertung und digitale Fristensteuerung – damit die gesetzlichen Vorgaben automatisch eingehalten werden.
Nach § 17 HinSchG drohen bei Fristversäumnissen Bußgelder bis 50. 000 €. Eine rechtssichere Bearbeitung umfasst:
- Sofortige Dokumentation des Eingangs.
- Bestätigung an die hinweisgebende Person binnen sieben Tagen.
- Erste Sachprüfung und Kategorisierung.
- Rückmeldung innerhalb von drei Monaten.
Durch die automatisierte Prozessführung der PARK-Lösung werden Fristen, Datenschutz und Dokumentation nahtlos gesteuert – ein erprobtes Modell für mittelständische Unternehmen ohne eigene Compliance-Abteilung.
Die Risikoanalyse ist das Fundament jeder Compliance-Struktur. Nach der DIN SPEC 91524, die auf Initiative von PARK | Compliance entwickelt wurde, erfolgt sie in vier klaren Schritten:
- Risikoquellen identifizieren – z. B. Vertrieb, Einkauf, Umwelt, IT.
- Eintrittswahrscheinlichkeit und Schadensschwere bewerten.
- Maßnahmen und Verantwortlichkeiten festlegen.
- Ergebnisse dokumentieren und regelmäßig aktualisieren.
Das digitale Risikoanalyse-Tool von PARK | Compliance führt diese Schritte innerhalb eines Arbeitstags durch und erzeugt eine auditfähige Dokumentation.
So wird die sonst aufwendige Risikoermittlung für den Mittelstand wirtschaftlich und überprüfbar.
Eine Durchsuchung ist ein hochkritischer Moment für jedes Unternehmen.
Die ersten 5 Minuten entscheiden, ob Sie die Kontrolle behalten.
Die von PARK | Compliance gemeinsam mit PARK | Wirtschaftsstrafrecht entwickelte Notfallknopf-Lösung standardisiert die Kommunikation in genau dieser Situation.
Rechtlich gilt: Der richterliche Beschluss legitimiert den Zugriff, aber nicht jede Datensichtung.
Unternehmen müssen kooperieren, sollten jedoch keine Aussagen ohne Beratung abgeben.
Die PARK-Systematik sieht vier Sofortmaßnahmen vor:
- Zutritt kontrollieren und Beauftragung prüfen.
- Ansprechpartner bestimmen, Kommunikation bündeln.
- Strafverteidiger über den Notfallknopf alarmieren.
- Maßnahmen und Beschlagnahmen dokumentieren.
Diese Vorgehensweise verbindet juristische Präzision mit technischer Reaktionsschnelligkeit – ein entscheidender Schutzfaktor für den Mittelstand.
Der EU AI Act verpflichtet Unternehmen je nach Rolle und Risikokategorie des eingesetzten KI-Systems unter anderem zu KI-Kompetenz, Transparenz, Risikomanagement und Dokumentation. Eine strukturierte Erfassung der eingesetzten KI-Anwendungen schafft dabei die Grundlage für eine rechtssichere Bewertung.
Die KI-Governance-Methodik von PARK | Compliance integriert diese Anforderungen in bestehende Organisationsstrukturen.
Die Umsetzung umfasst drei Kernschritte:
- Erfassung der KI-Anwendungen und Einordnung in die maßgeblichen Risikokategorien.
- Definition von Verantwortlichkeiten sowie Freigabe-, Überwachungs- und Meldeprozessen.
- Aufbau einer nachvollziehbaren Dokumentation mit Prüf- und Nachweispfad.
Diese Vorgehensweise basiert auf der DIN-SPEC-91524-Logik zur funktionalen Verantwortlichkeit. So entsteht eine praxisgerechte und dokumentationsfähige Lösung, die Innovation ermöglicht und rechtliche Risiken gezielt reduziert
Durch den Einsatz der PARK-Methodik nach DIN SPEC 91524 lässt sich ein vollständiges Basissystem innerhalb von fünf Arbeitstagen implementieren.
Der entscheidende Unterschied liegt in der Kombination aus juristischer Präzision und automatisierter Prozessführung.
Das Verfahren gliedert sich in drei Phasen:
- Risikoanalyse (ein Tag)
- Maßnahmen- und Verantwortlichkeitsplanung (zwei Tage)
- Dokumentation, Richtlinien, Schulungen (zwei Tage)
Im Vergleich zu herkömmlichen Beratungsprojekten reduziert sich der Aufwand um rund 90 %.
Für ein Unternehmen mit etwa 100 Mitarbeitenden liegt der Preis typischerweise bei unter 5 % klassischer Beratungsbudgets.
Das PARK-System steht damit für Mittelstands-Compliance. Sicher, aber effizient.
Eine feste Mitarbeiterzahl, ab der ein Compliance-Management-System (CMS) Pflicht ist, gibt es nicht. Entscheidend sind Rechtsform, Branche, Geschäftstätigkeit, Unternehmensgröße und Risikolage. Ein zertifiziertes CMS ist nicht generell vorgeschrieben. Geschäftsführer einer GmbH und Vorstände einer AG müssen ihr Unternehmen aber so organisieren und überwachen, dass Rechtsverstöße verhindert werden (§ 43 GmbHG, § 91 AktG, § 130 OWiG). In risikoreichen oder stark wachsenden Unternehmen ist ein strukturiertes CMS deshalb regelmäßig erforderlich.
Gesetzliche Schwellenwerte und Branchenpflichten
| Anknüpfungspunkt | Pflicht | Rechtsgrundlage |
|---|---|---|
| Verarbeitung personenbezogener Daten (jede Größe) | Datenschutzorganisation und Schutzmaßnahmen | Art. 5, 24, 32 DSGVO |
| Beschäftigte (jede Größe) | Gefährdungsbeurteilung und Arbeitsschutzorganisation | §§ 3, 5 ArbSchG |
| In der Regel ab 50 Beschäftigten (Finanzsektor teils unabhängig von der Größe) | Interne Meldestelle; bei 50–249 Beschäftigten auch gemeinsam möglich | § 12 HinSchG |
| Ab 1.000 Beschäftigten im Inland, ggf. konzernweit gezählt | Sorgfaltspflichten in der Lieferkette | § 1 LkSG |
| Erfasste Sektoren, i. d. R. ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme | Cybersicherheits-Risikomanagement und Meldepflichten | §§ 28 ff. BSIG |
| Betreiber kritischer Anlagen | Resilienz, Risikoanalyse und Vorfallvorsorge | KRITIS-Dachgesetz |
| Banken und Wertpapierinstitute | Geschäftsorganisation, Risikomanagement, Compliance-Funktion | § 25a KWG, WpIG |
| Versicherungen | Internes Kontrollsystem und Compliance-Funktion | § 29 VAG |
| Geldwäsche-Verpflichtete | Risikoanalyse und interne Sicherungsmaßnahmen | §§ 4–6 GwG |
Wie sollte die Compliance-Organisation mit dem Unternehmen wachsen?
| Unternehmensgröße | Geeignete Schwerpunkte |
|---|---|
| 1–20 Beschäftigte | Grundlegende Richtlinien, klare Zuständigkeiten, Datenschutz und Arbeitsschutz |
| 20–50 Beschäftigte | Strukturierte Risikoanalyse, dokumentierte Kernprozesse, regelmäßige Schulungen |
| 50–250 Beschäftigte | Hinweisgebersystem, verbindliche Kontrollen, nachvollziehbare Dokumentation |
| Mehr als 250 Beschäftigte | Integriertes CMS, Berichtswesen, regelmäßige Wirksamkeitskontrollen |
Je größer und risikoreicher ein Unternehmen ist, desto stärker sollte das CMS formalisiert und dokumentiert sein. Maßgeblich bleibt die Angemessenheit im Verhältnis zur konkreten Risikolage.
Häufig gestellte Zusatzfragen
Gilt die Mitarbeiterzahl konzernweit oder pro Gesellschaft?
Das hängt vom jeweiligen Gesetz ab. Beim Hinweisgeberschutz wird grundsätzlich auf den jeweiligen Beschäftigungsgeber abgestellt. Beim LkSG können für die Obergesellschaft Beschäftigte konzernangehöriger Gesellschaften berücksichtigt werden.
Kann eine interne Meldestelle extern betrieben werden?
Ja. Nach § 14 HinSchG kann ein externer Dritter mit den Aufgaben der internen Meldestelle betraut werden. Die Verantwortung für geeignete Maßnahmen und die Abstellung von Verstößen verbleibt beim Unternehmen.
Kann die Geschäftsleitung auch bei einem kleinen Unternehmen haften?
Ja. Eine persönliche Haftung ist unabhängig von einer bestimmten Mitarbeiterzahl möglich. Maßgeblich sind eine konkrete Pflichtverletzung, ein entstandener Schaden und die weiteren haftungsrechtlichen Voraussetzungen. Für GmbH-Geschäftsführer ist insbesondere § 43 GmbHG relevant.
Gilt das auch für Einzelunternehmen und Personengesellschaften?
Auch Einzelunternehmen und Personengesellschaften müssen die für ihre Tätigkeit geltenden Compliance-Pflichten erfüllen. Dazu können insbesondere Anforderungen aus dem Datenschutz-, Arbeits-, Umwelt-, Geldwäsche- und Hinweisgeberschutzrecht gehören.