Compliance ist längst kein Thema mehr, das nur Konzerne betrifft. Seit dem Inkrafttreten des Hinweisgeberschutzgesetzes (HSchG) im Februar 2023 müssen Unternehmen ab 50 Mitarbeitern eine interne Meldestelle einrichten. Das Verbandsverantwortlichkeitsgesetz (VbVG) macht juristische Personen strafrechtlich verfolgbar – mit Geldbußen von bis zu 1,82 Millionen Euro. Gleichzeitig verlangt § 25 GmbHG vom Geschäftsführer die Sorgfalt eines ordentlichen Geschäftsmannes, und wer Compliance-Pflichten systematisch vernachlässigt, haftet im Ernstfall persönlich. Dieser Beitrag zeigt, welche gesetzlichen Pflichten KMU in Österreich 2026 konkret treffen, wie ein Compliance-Management-System (CMS) Schritt für Schritt aufgebaut wird und welche Maßnahmen die persönliche Haftung der Geschäftsführung minimieren.
Was bedeutet Compliance für KMU in Österreich?
Der Begriff Compliance beschreibt die Gesamtheit aller Maßnahmen, die sicherstellen, dass ein Unternehmen geltende Gesetze, Vorschriften und interne Regeln einhält. Für kleine und mittlere Unternehmen (KMU) in Österreich heißt das: nicht nur Steuern ordentlich abführen und Arbeitnehmerschutzvorschriften beachten, sondern auch Datenschutz (DSGVO), Antikorruption, Geldwäscheprävention und den Schutz von Hinweisgebern systematisch im Griff haben.
Ein Compliance-Management-System (CMS) ist dabei kein starres Konstrukt, sondern ein lebendiges Organisationsgerüst: Es umfasst Risikoanalyse, interne Richtlinien, Schulungen, Meldekanäle und laufendes Monitoring. Viele KMU scheuen den Aufwand, weil sie Compliance mit Konzernbürokratie gleichsetzen. Das ist ein Irrtum. Ein CMS lässt sich proportional zur Unternehmensgröße skalieren – und ist bei richtigem Aufbau weniger aufwändig als die Folgen eines Compliance-Verstoßes.
Der entscheidende Punkt: Ein funktionierendes CMS wirkt haftungsmindernd. Die österreichische Rechtsprechung und das Verbandsverantwortlichkeitsgesetz (VbVG) berücksichtigen, ob ein Unternehmen angemessene Vorkehrungen getroffen hat. Wer kein System vorweisen kann, steht im Schadensfall schlechter da – sowohl strafrechtlich als auch zivilrechtlich.
Gesetzliche Compliance-Pflichten im Überblick
Die Compliance-Pflichten für österreichische Unternehmen ergeben sich nicht aus einem einzelnen Gesetz, sondern aus einem Bündel an Vorschriften. Für KMU sind folgende Regelwerke besonders relevant.
VbVG: Unternehmen als Strafrechtssubjekt
Das Verbandsverantwortlichkeitsgesetz macht seit 2006 juristische Personen – also GmbHs, AGs, Vereine und andere Verbände – für Straftaten verantwortlich, die von Entscheidungsträgern oder Mitarbeitern im Rahmen der betrieblichen Tätigkeit begangen werden. Die Geldbuße beträgt bis zu 1,82 Millionen Euro (180 Tagessätze, § 4 Abs 3 VbVG). Entscheidend ist: Das Unternehmen haftet auch dann, wenn die Tat durch mangelhafte Organisation ermöglicht wurde – etwa weil Kontrollmechanismen fehlten oder Zuständigkeiten unklar waren.
Ein CMS kann hier als Entlastungsbeweis dienen. Das VbVG berücksichtigt bei der Bemessung der Geldbuße ausdrücklich, ob der Verband „die nach Art und Größe des Verbandes angemessenen Vorkehrungen getroffen hat, um derartige Taten zu verhindern“ (§ 3 Abs 2 VbVG). Wer ein dokumentiertes System vorweisen kann, steht deutlich besser da als ein Unternehmen ohne jede Struktur.
HSchG: Hinweisgeberschutz seit 2023
Das Hinweisgeberschutzgesetz setzt die EU-Whistleblowing-Richtlinie (2019/1937) in österreichisches Recht um. Unternehmen ab 50 Mitarbeitern müssen eine interne Meldestelle einrichten, die Hinweise auf Rechtsverstöße entgegennimmt und verfolgt. Die Meldestelle muss vertraulich arbeiten, den Eingangsbestätigung innerhalb von sieben Tagen und eine Rückmeldung innerhalb von drei Monaten gewährleisten. Hinweisgeber sind vor Repressalien geschützt – Kündigung, Versetzung oder Benachteiligung als Reaktion auf eine Meldung sind rechtswidrig.
DSGVO und Datenschutz als Compliance-Baustein
Die Datenschutz-Grundverordnung verpflichtet jedes Unternehmen, ein Verarbeitungsverzeichnis zu führen, Datenschutz-Folgenabschätzungen bei risikoreichen Verarbeitungen durchzuführen und Datenpannen innerhalb von 72 Stunden an die Datenschutzbehörde zu melden. Wer den Datenschutz im Unternehmen systematisch organisiert, erfüllt damit bereits einen wesentlichen Teil des Compliance-Puzzles. Bei Verstößen drohen Geldbußen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.
Geschäftsführerhaftung bei Compliance-Verstößen
Die persönliche Haftung des Geschäftsführers ist der Grund, warum Compliance kein Randthema sein darf. § 25 GmbHG verlangt vom Geschäftsführer einer GmbH die „Sorgfalt eines ordentlichen Geschäftsmannes“. Dieser Maßstab umfasst auch die Pflicht, ein angemessenes Organisations- und Überwachungssystem zu schaffen. Wer die rechtlichen Rahmenbedingungen ignoriert, handelt pflichtwidrig.
Die Haftung ist dabei doppelspurig: Zum einen kann die Gesellschaft selbst den Geschäftsführer auf Schadenersatz in Anspruch nehmen (Innenhaftung nach § 25 GmbHG). Zum anderen können Dritte – etwa Gläubiger bei Insolvenz – den Geschäftsführer direkt belangen. Wer mehr zur Haftungssituation in der Krise erfahren möchte, findet in unserem Beitrag dazu eine vertiefte Darstellung.
In der Praxis zeigt sich: Gerichte prüfen nicht, ob das CMS jeden einzelnen Verstoß verhindert hätte. Sie prüfen, ob der Geschäftsführer den Versuch unternommen hat, ein vernünftiges System zu etablieren. Dokumentation ist dabei entscheidend – ein CMS existiert rechtlich nur, wenn es nachweisbar ist.
Halten Sie jede Compliance-Maßnahme schriftlich fest: Risikoanalyse, Richtlinien, Schulungsprotokolle, Meldungen und deren Bearbeitung. Im Haftungsfall entscheidet die Dokumentation darüber, ob der Geschäftsführer pflichtgemäß gehandelt hat. In unserer Praxis sehen wir regelmäßig, dass Unternehmen durchaus Maßnahmen setzen – aber ohne Dokumentation im Streitfall nicht davon profitieren.
Compliance-Management-System: Aufbau in sechs Schritten
Ein CMS für KMU muss nicht die Komplexität eines DAX-Konzerns haben. Entscheidend ist, dass die wesentlichen Elemente abgedeckt sind und das System proportional zur Unternehmensgröße gestaltet wird. Der folgende Sechsschritte-Aufbau orientiert sich am IDW PS 980 – dem Prüfungsstandard des Instituts der Wirtschaftsprüfer, der auch in Österreich als Maßstab für angemessene CMS-Strukturen herangezogen wird.
Welche Risiken bestehen konkret? Korruption, Datenschutzverletzungen, Arbeitsrechtsverstöße, Geldwäsche? Die Analyse richtet sich nach Branche, Größe, Geschäftsmodell und Kundenstruktur. Ein Immobilienunternehmen hat andere Schwerpunkte als ein IT-Dienstleister.
Auf Basis der Risikoanalyse werden interne Richtlinien formuliert: Antikorruptionsrichtlinie, Datenschutzrichtlinie, Geschenke- und Einladungsregeln, Umgang mit Interessenkonflikten. Der Verhaltenskodex fasst die Grundwerte zusammen und gilt für alle Mitarbeiter.
Richtlinien im Schrank nutzen niemandem. Regelmäßige Schulungen – mindestens einmal jährlich – stellen sicher, dass alle Mitarbeiter die Regeln kennen und verstehen. Die Schulungsteilnahme muss dokumentiert werden.
Ab 50 Mitarbeitern ist die interne Meldestelle nach dem HSchG Pflicht. Aber auch unter dieser Schwelle empfiehlt sich ein niederschwelliger Meldekanal. Er kann intern besetzt oder an einen externen Dienstleister (z. B. Ombudsperson, Rechtsanwalt) vergeben werden.
Das CMS muss laufend überprüft werden: Werden die Richtlinien eingehalten? Sind die Risiken noch aktuell? Jährliche Compliance-Reviews und stichprobenartige Kontrollen gehören zum Pflichtprogramm.
Wenn ein Verstoß aufgedeckt wird, muss das System greifen: interne Untersuchung, Konsequenzen für Verantwortliche, Meldung an Behörden (falls erforderlich) und Anpassung des CMS, um künftige Verstöße zu verhindern.
Der Aufwand für ein KMU mit 30 bis 100 Mitarbeitern ist überschaubar: Eine initiale Risikoanalyse dauert erfahrungsgemäß zwei bis drei Arbeitstage, die Richtlinien lassen sich binnen einer Woche formulieren, und die Schulung der Mitarbeiter kann in einem halben Tag erfolgen. Was bleibt, ist der laufende Aufwand für Monitoring und Aktualisierung – aber auch der hält sich in Grenzen, wenn das System einmal steht.
Hinweisgeberschutzgesetz: Die Meldestelle als Kernstück
Das HSchG ist für viele KMU der konkreteste Compliance-Anlass, weil es eine eindeutige organisatorische Pflicht mit klarer Schwelle (50 Mitarbeiter) schafft. Die wesentlichen Anforderungen an die interne Meldestelle sind:
In der Praxis stehen KMU vor der Frage, ob sie die Meldestelle intern besetzen oder extern vergeben. Beide Varianten sind zulässig. Bei Unternehmen mit 50 bis 100 Mitarbeitern, in denen keine eigene Rechtsabteilung existiert, kann die Beauftragung eines externen Rechtsanwalts als Ombudsperson sinnvoll sein – das gewährleistet die nötige Fachkunde und Unabhängigkeit, ohne intern eine Vollzeitstelle schaffen zu müssen.
Compliance Officer: Intern bestellen oder extern vergeben?
Die Frage, ob ein eigener Compliance Officer bestellt werden soll, ist für viele KMU von der Kosten-Nutzen-Abwägung geprägt. Eine gesetzliche Pflicht zur Bestellung eines Compliance Officers besteht in Österreich nur für bestimmte regulierte Branchen (Banken, Versicherungen, Wertpapierfirmen). Für die meisten KMU gibt es keine zwingende Vorgabe. Das ändert aber nichts daran, dass jemand die Compliance-Verantwortung tragen muss – und wenn kein Beauftragter bestellt ist, liegt sie beim Geschäftsführer selbst.
Unabhängig vom Modell gilt: Der Compliance Officer braucht direkten Zugang zur Geschäftsführung, ausreichende Ressourcen und darf nicht durch Weisungen in seiner Arbeit behindert werden. Alles andere untergräbt die Wirksamkeit des Systems und kann im Ernstfall als Organisationsverschulden gewertet werden.
Häufige Fehler beim Compliance-Aufbau in KMU
Die folgenden Fehler beobachten wir in der Beratungspraxis regelmäßig. Sie alle haben gemeinsam, dass sie das CMS entwerten – und im Haftungsfall gegen den Geschäftsführer sprechen.
Richtlinien werden erstellt, aber nie kommuniziert. Mitarbeiter kennen die Regeln nicht, Schulungen finden nicht statt. Ein CMS, das nur im Aktenordner existiert, hat keinen Haftungsminderungswert.
Die Geschäftsführung delegiert Compliance an die Assistenz und kümmert sich selbst nicht darum. Das Signal an die Belegschaft: Compliance ist unwichtig. Ein CMS funktioniert nur, wenn die Führung es vorlebt.
Die Meldestelle ist beim Personalchef angesiedelt, der selbst von Meldungen betroffen sein kann. Mitarbeiter melden nicht, weil sie Angst vor Konsequenzen haben. Die Meldestelle muss unabhängig und vertraulich sein – andernfalls läuft sie ins Leere.
Das CMS wird einmal aufgebaut und dann vergessen. Neue Gesetze (etwa die Lieferkettensorgfaltspflicht), geänderte Geschäftsfelder oder personelle Wechsel werden nicht berücksichtigt. Ein veraltetes CMS schützt nicht vor aktuellen Risiken.
Ein Compliance-Verstoß wird aufgedeckt, aber es passiert nichts. Keine Sanktion, keine Anpassung. Das untergräbt die Glaubwürdigkeit des gesamten Systems und legt den Verdacht nahe, dass das CMS nur Fassade ist.
Sonderfälle und branchenspezifische Pflichten
Geldwäsche-Compliance für Immobilienunternehmen
Immobilienmakler und Bauträger fallen als sogenannte „Verpflichtete“ unter das Finanzmarkt-Geldwäschegesetz (FM-GwG). Sie müssen Sorgfaltspflichten gegenüber Kunden erfüllen (KYC – Know Your Customer), die wirtschaftlichen Eigentümer identifizieren und verdächtige Transaktionen an die Geldwäschemeldestelle (A-FIU) melden. Das betrifft bei Immobilientransaktionen sowohl den Kauf als auch die Vermietung ab bestimmten Schwellenwerten. Ein fehlendes Geldwäsche-Compliance-System kann zu empfindlichen Verwaltungsstrafen führen.
Bilanzdelikte und strafrechtliche Compliance
Geschäftsführer, die Bilanzen fälschen oder Geschäftsberichte unrichtig darstellen, machen sich strafbar – und belasten auch das Unternehmen über das VbVG. Ein CMS mit klaren Regeln für die Finanzberichterstattung, einem Vier-Augen-Prinzip und einer unabhängigen internen Kontrolle senkt dieses Risiko. Wer sich näher mit den strafrechtlichen Folgen von Bilanzmanipulation befassen möchte, findet in unserem Beitrag dazu eine detaillierte Darstellung.
EU-Lieferkettensorgfalt: Noch nicht in Österreich umgesetzt, aber relevant
Die EU-Richtlinie zur Lieferkettensorgfalt (Corporate Sustainability Due Diligence Directive, CSDDD) ist noch nicht in österreichisches Recht umgesetzt. Die Umsetzungsfrist für die Mitgliedstaaten läuft bis Juli 2026. Die Richtlinie wird zunächst große Unternehmen treffen, entfaltet aber über Vertragsklauseln eine Sogwirkung auf KMU als Zulieferer. Wer heute ein CMS aufbaut, sollte die Lieferkettensorgfalt als künftiges Modul einplanen.
Datenschutz und KI-Compliance
KMU, die KI-Systeme einsetzen, müssen neben der DSGVO auch die EU-KI-Verordnung (AI Act) beachten, deren Hauptpflichten ab August 2026 gelten. Die Überschneidung von Datenschutz und KI-Compliance erfordert eine integrierte Betrachtung im CMS. Wer hier Orientierung im Bereich des Gesellschaftsrechts sucht, findet auf unserer Schwerpunktseite eine Übersicht der relevanten Themen.
Wenn Sie im Immobilienbereich tätig sind, prüfen Sie besonders die Geldwäsche-Compliance (FM-GwG). Die Verpflichtungen gelten nicht nur für Makler, sondern auch für Bauträger, Hausverwaltungen und Unternehmen, die gewerblich mit Immobilien handeln. Eine Übersicht zu den relevanten Unternehmensrechtsthemen finden Sie auf unserer Schwerpunktseite.
Häufige Fragen zum Compliance Management für KMU
Das Wichtigste auf einen Blick
Jetzt unverbindlich anfragen
Füllen Sie das Formular aus und beschreiben Sie Ihre Situation. Wir melden uns in Kürze bei Ihnen.
Wie wir Ihnen helfen können
Ob Sie ein Compliance-Management-System von Grund auf aufbauen, ein bestehendes System prüfen lassen oder eine Meldestelle nach dem HSchG einrichten möchten – wir unterstützen Sie in jeder Phase. In unserer Kanzlei verbinden wir unternehmensrechtliche Expertise mit praktischer Erfahrung in der Compliance-Beratung für KMU. Wir analysieren Ihre spezifische Risikosituation, erarbeiten maßgeschneiderte Richtlinien und begleiten Sie bei der Umsetzung – damit Ihr Unternehmen rechtlich abgesichert ist und die Geschäftsführung nicht persönlich haftet. Kontaktieren Sie uns – wir klären Ihre Situation und zeigen Ihnen die besten Handlungsoptionen auf.