Im rechtlichen Bereich beschreibt man mit dem Begriff Compliance grundsätzlich die Einhaltung von Regeln in Form von Recht und Gesetz (Regeltreue,Bernd Bexte: Klinikum: »Kein Problem bei Regeltreue«, in: Herforder Kreisblatt, Westfalen-Blatt, 180. Jahrgang, 45. Woche, Nummer 261 vom 9. November 2024. Rechtstreue oder Rechtskonformität, auch Regelkonformität).Bock, in: Kuhlen/Kudlich/Ortiz de Urbina: Compliance und Strafrecht. S. 57; Hauschka, in: Hauschka: Compliance. 2. Auflage. § 1 Rn. 2; Rotsch, in: Achenbach/Ransiek: Handbuch Wirtschaftsstrafrecht, Teil 1 Kap. 4 Rn. 1. Darüber hinaus findet der Begriff auch als Synonym für Maßnahmen zur Verhinderung von Rechtsverstößen Verwendung. So steht er im unternehmerischen Zusammenhang für die Gesamtheit aller betrieblichen Maßnahmen, die das rechtmäßige Verhalten aller Unternehmensangehörigen sicherstellen sollen.Bock, Strafrechtliche Aspekte der Compliance-Diskussion – § 130 OWiG als zentrale Norm der Criminal Compliance, ZIS 2009, S. 68; Vetter, in: Wecker/Ohl: Compliance in der Unternehmerpraxis. S. 2.

Rechtsbegriff Seinen Ursprung hat der Rechtsbegriff Compliance im angloamerikanischen Rechtskreis.Hauschka, in: Hauschka: Compliance. 2. Auflage. § 1 Rn. 39. Dort hat er sich seit seinen Anfängen in den 1930er und 40er Jahren zu einem Synonym für ein eigenständiges Rechtskonzept entwickelt, das auf dem Gedanken der regulierten Selbstregulierung („enforced self-regulation“) beruht. Mittels inzentiver Rahmenbedingungen und konkreter Regularien schreibt das angloamerikanische Recht Unternehmen eine wesentliche Verantwortung bei der Verhinderung betrieblicher Rechtsverstöße zu. Seinen Ausdruck findet dieses Rechtskonzept heute vor allem in den gesetzlichen Regelungen des Foreign Corrupt Practices Act, der US Federal Sentencing Guidelines und des Sarbanes-Oxley Act.Engelhart: Sanktionierung von Unternehmen und Compliance. S. 285 ff., S. 305 ff.

Situation in Deutschland

Deutscher Corporate Governance Kodex (DCGK) Im deutschen Rechtssystem hat der Begriff Compliance bislang keine gesetzliche Definition (Legaldefinition) erfahren. Lediglich der Deutsche Corporate Governance Kodex (DCGK) enthält in Ziff. 4.1.3 eine grundlegende Begriffsbestimmung.

Ziff. 4.1.3 Deutscher Corporate Governance Kodex

Der Vorstand hat für die Einhaltung der gesetzlichen Bestimmungen und der unternehmensinternen Richtlinien zu sorgen und wirkt auf deren Beachtung durch die Konzernunternehmen hin (Compliance). Er soll für angemessene, an der Risikolage des Unternehmens ausgerichtete Maßnahmen (Compliance Management System) sorgen und deren Grundzüge offenlegen. Beschäftigten soll auf geeignete Weise die Möglichkeit eingeräumt werden, geschützt Hinweise auf Rechtsverstöße im Unternehmen zu geben; auch Dritten sollte diese Möglichkeit eingeräumt werden.Der DCGK enthält Empfehlungen zur nachhaltigen Unternehmensführung von Aktiengesellschaften und besitzt als Maßnahme wirtschaftlicher Selbstregulierung keine rechtliche Verbindlichkeit.Ringleb, in: Ringleb: Deutscher Corporate Governance Kodex. Vorbemerkung Rn. 68 ff. Gem. AktG müssen Aktiengesellschaften zwar jährlich eine Entsprechungserklärung veröffentlichen. Abweichungen von den Empfehlungen des DCGK sind unter Angabe von Gründen jedoch stets möglich.

Finanz- und Versicherungsrecht Gesetzliche Erwähnung findet der Begriff Compliance bislang vor allem in den Organisationspflichten des Finanz- und Versicherungsrechts. Kredit- und Finanzdienstleistungsinstitute müssen gem. KWG, Wertpapierdienstleistungsunternehmen gem. WpHG und Versicherungsunternehmen gem. VAG ein internes Kontrollsystem (IKS) betreiben, das insbesondere eine „Compliance-Funktion“ umfasst. Für Versicherungsunternehmen beschreibt § 29 Abs. 2 VAG außerdem das Aufgabenfeld der Compliance-Funktion.

§ 29 VAG. Internes Kontrollsystem

(2) 1Zu den Aufgaben der Compliance-Funktion gehört die Beratung des Vorstands in Bezug auf die Einhaltung der Gesetze und Verwaltungsvorschriften, die für den Betrieb des Versicherungsgeschäfts gelten. 2Außerdem hat die Compliance-Funktion die möglichen Auswirkungen von Änderungen des Rechtsumfeldes für das Unternehmen zu beurteilen und das mit der Verletzung der rechtlichen Vorgaben verbundene Risiko (Compliance-Risiko) zu identifizieren und zu beurteilen.Das IKS samt Compliance-Funktion sehen die einschlägigen Gesetze als wesentlichen Bestandteil eines in die Geschäftsorganisation eingebundenen Risikomanagements. Ziel des Risikomanagements ist es, durch eine bewusste Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation der betrieblichen Risiken die Grundlage für eine „nachhaltige“ ( KWG) bzw. „solide“ ( VAG) Unternehmensführung zu schaffen. Die konkrete Ausgestaltung der betrieblichen Maßnahmen machen KWG und VAG von Art, Umfang, Komplexität und Risikogehalt der Geschäftstätigkeit abhängig.

Rechtsphänomen Angetrieben von den Empfehlungen des DCGK sowie den Entwicklungen auf dem Finanz- und Versicherungsmarkt hat sich der Begriff Compliance im deutschen Recht zum Synonym eines risikoakzessorischen und -präventiven Rechtsverständnisses entwickelt.Gottschalk: Kultivierte Legalität. S. 265; Hauschka, in: Hauschka: Compliance. § 1 Rn. 1 ff.; Rieder/Falge, in: Inderst/Bannenberg/Poppe: Compliance. Kap. 2 Rn. 46 ff. Bis auf die Ansätze des Finanz- und Versicherungsrechts haben die Strukturen und Zusammenhänge dieses Rechtsverständnisses im deutschen Recht aber noch keine gesetzliche Konkretisierung erfahren, sodass sich das Thema Compliance im Gegensatz zum angloamerikanischen Recht noch weitestgehend als Phänomen darstellt. Wesensmerkmal dieses Phänomens ist eine interaktive Methodik, die sich die Gesamtheit der rechtlichen, ökonomischen und ethischen Steuerungsmöglichkeiten zu Nutze macht, um Gefahren und insbesondere der Gefahr von Rechtsverstößen zu begegnen (sozioökonomischer Regulierungsansatz). Ermöglicht wird dies durch das Konzept der Koregulierung, die Neue Institutionenökonomie und die Wirtschaftsethik.Gottschalk: Kultivierte Legalität. S. 100 ff.

Koregulierung Im Rahmen der Koregulierung überträgt der Staat der Zivil- und insbesondere der Wirtschaftsgesellschaft eine Verantwortung, sich an der Prävention von Gefahren zu beteiligen. Die inhaltliche Ausgestaltung der Präventionsverantwortung wird bis auf spezialgesetzliche Vorgaben weitestgehend den Unternehmen überlassen und lediglich durch die rechtlichen Haftungsmechnismen abgesichert (regulierte Selbstregulierung).Kuhlen, in: Kuhlen/Kudlich/Ortiz de Urbina: Compliance und Strafrecht. S. 17 ff.; Spindler: Compliance im Gesellschaftsrecht. RW 2013. S. 293.

Neue Institutionenökonomie Ausgestalten lässt sich die betriebliche Präventionsverantwortung mithilfe der Neuen Institutionenökonomie, die in Abkehr vom neoklassischen Wirtschaftsverständnis die verhaltenssteuernde Wirkung institutioneller Strukturen einbezieht. Grundlage ist nicht mehr das realitätsferne Postulat allumfassender Information, sondern das kognitiv begrenzte Leistungsspektrum jedes Menschen. Dementsprechend bedarf es zur Entfaltung der betrieblichen Selbstregulierungspotenziale auch gezielter Regelungen, deren Effizienz und Effektivität stark von ihrer unternehmenskulturellen Akzeptanz abhängen.Göbel: Neue Institutionenökonomik. S. 11 f.; Richter/Furubotn: Neue Institutionenökonomik. S. 35.

Wirtschaftsethik Aufschluss über die kulturellen Prozesse wirtschaftlicher Organisationen liefert die Wirtschaftsethik, die sich mit dem Konflikt zwischen wirtschaftlichem Eigennutz und sozialer Verantwortung beschäftigt. Als zentrale Orte dieses Konflikts sieht die Wirtschaftsethik jedes an wirtschaftlichen Maximen orientierte Kollektiv, weshalb vor allem Unternehmen in ganzem besonderem Maße dafür verantwortlich sind, durch kulturelle Maßnahmen nachhaltige Anreize zur Beachtung rechtlicher und moralischer Standards zu setzen (Corporate Social Responsibility).Crane/McWilliams/Matten/Moon/Siegel, in: Crane u. a.: Corporate Social Responsibility. S. 4; Mühle: Corporate Social Responsibility. S. 37; Schaltegger/Müller: Corporate Social Responsibility. S. 17; Wieland, in: Backhaus-Maul u. a., Corporate Citizenship. S. 88 f.; Schwerk, in: Backhaus-Maul u. a.: Corporate Citizenship. S. 121 ff.

Risikoprävention Zum Ausdruck kommen die präventiven Strukturen des Phänomens Compliance nicht nur in den Vorschriften des Finanz- und Versicherungsrechts. Auch in zahlreichen anderen Rechtsbereichen existieren Vorschriften, die den Begriff Compliance zwar nicht ausdrücklich verwenden, seinen Gedanken der Risikoprävention aber dennoch transportieren, indem sie einen bewussten Umgang mit Gefahren einfordern.Hauschka, in: Hauschka: Compliance. 2. Auflage. § 1 Rn. 19 f.; Rotsch, in: Rotsch, Criminal Compliance vor den Aufgaben der Zukunft. S. 5.

Allgemeine Präventionspflichten Allgemeine betriebliche Präventionspflichten ergeben sich in erster Linie aus dem Gesellschaftsrecht (Corporate Compliance) sowie den Vorschriften des Straf- und Ordnungswidrigkeitenrechts (Criminal Compliance). Darüber hinaus kennt auch das Privatrecht gewisse Präventionspflichten, die sich sowohl an Unternehmen als auch an Privatpersonen richten.

Legalitätskontrolle Die Unternehmensleitung hat im Rahmen ihrer allgemeinen gesellschaftsrechtlichen Sorgfaltspflichten (v. a. , AktG und GmbHG) für ein rechtstreues Verhalten aller Unternehmensangehörigen zu sorgen, indem sie der Gefahr betrieblicher Rechtsverstöße durch entsprechende Maßnahmen begegnet.Spindler, in: Goette/Habersack: Münchener Kommentar Aktiengesetz. § 93 Rn. 74. Soweit keine spezialgesetzlichen Vorgaben bestehen, gewährt das Gesellschaftsrecht bei der inhaltlichen Ausgestaltung der Legalitätskontrolle zwar grundsätzlich einen Ermessensspielraum (Business Judgement Rule). Ihre Entscheidungen muss die Unternehmensleitung jedoch stets auf der Grundlage einer angemessenen Risikoanalyse treffen (Risikoakzessorietät).Spindler, in: Goette/Habersack: Münchener Kommentar Aktiengesetz. § 93 Rn. 53. Diesen gesellschaftsrechtlichen Grundsätzen entsprechend entschied das LG München I im Jahre 2013 in einem der bislang wenigen Urteile zum Thema Compliance („Neubürger-Urteil“ im Rahmen des Korruptionsskandals bei der Siemens AG):„Im Rahmen seiner Legalitätspflicht hat ein Vorstandsmitglied dafür Sorge zu tragen, dass das Unternehmen so organisiert und beaufsichtigt wird, dass keine Gesetzesverstöße wie Schmiergeldzahlungen an Amtsträger eines ausländischen Staates oder an ausländische Privatpersonen erfolgen. Seiner Organisationspflicht genügt ein Vorstandsmitglied bei entsprechender Gefährdungslage nur dann, wenn er eine auf Schadensprävention und Risikokontrolle angelegte Compliance-Organisation einrichtet. Entscheidend für den Umfang im Einzelnen sind dabei Art, Größe und Organisation des Unternehmens, die zu beachtenden Vorschriften, die geografische Präsenz wie auch Verdachtsfälle aus der Vergangenheit.“Werden Risiken entdeckt, die den Bestand des Unternehmens gefährden können, so verlangt AktG außerdem ein Internes Kontrollsystem (IKS). Zwingend zu überwachen sind mithilfe des IKS jedoch nicht die Bestandsgefahren an sich, sondern lediglich die betrieblichen Maßnahmen, die zur Beherrschung der Bestandsgefahren erforderlich sind.Spindler, in: Goette/Habersack: Münchener Kommentar Aktiengesetz. § 91 Rn. 16 ff.

Kriminalitätsbekämpfung