Wer ein Unternehmen führt, trägt Verantwortung – im Ernstfall auch mit dem eigenen Privatvermögen. Gesetzgeber, Gerichte und Aufsichtsbehörden schauen heute deutlich genauer hin als noch vor einigen Jahren. Gleichzeitig kann niemand jede Rechnung, jeden Vertrag und jedes IT-System persönlich prüfen. Wie passt das zusammen? Dieser Beitrag zeigt Ihnen, welche Kontrollpflichten Sie an Mitarbeiter oder externe Partner übertragen können, wo die Grenzen liegen und wie Sie Delegation sauber organisieren.
Das Wichtigste in Kürze
- Geschäftsführer und Vorstände schulden die Sorgfalt eines ordentlichen Geschäftsmannes bzw. Geschäftsleiters – und neue Gesetze haben diesen Maßstab spürbar verschärft.
- Organisationsverschulden bedeutet: Sie haften nicht nur für eigene Fehler, sondern auch für eine mangelhafte Unternehmensorganisation.
- Viele operative Kontrollaufgaben dürfen Sie delegieren, auch an externe Dienstleister.
- Mit der Delegation entsteht eine Pflicht zur sorgfältigen Auswahl, Einweisung und Überwachung.
- Bestimmte Kernpflichten wie die Insolvenzantragspflicht oder die Gesamtverantwortung bleiben immer bei der Geschäftsleitung.
Warum die Anforderungen an die Geschäftsleitung gestiegen sind
Das Gesetz verlangt von GmbH-Geschäftsführern die Sorgfalt eines ordentlichen Geschäftsmannes (§ 43 GmbHG). Vorstände einer Aktiengesellschaft müssen die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters walten lassen (§ 93 AktG). Diese Formulierungen klingen abstrakt. Ihr Inhalt hat sich in den vergangenen Jahren jedoch deutlich verdichtet.
Mehrere Gesetze haben die Messlatte angehoben. Seit 2021 verpflichtet das Unternehmensstabilisierungs- und -restrukturierungsgesetz (StaRUG) die Leitung haftungsbeschränkter Unternehmen, Entwicklungen fortlaufend zu überwachen, die den Fortbestand gefährden könnten. Das Finanzmarktintegritätsstärkungsgesetz (FISG) verlangt von börsennotierten Aktiengesellschaften ein angemessenes und wirksames internes Kontroll- und Risikomanagementsystem. Seit dem 6. Dezember 2025 gilt außerdem das NIS-2-Umsetzungsgesetz, das Geschäftsleitungen betroffener Unternehmen ausdrücklich für Cybersicherheit in die Pflicht nimmt.
Viele Unternehmen reagieren mit neuen Strukturen. Sie richten Compliance-Funktionen ein, benennen Datenschutzbeauftragte und professionalisieren ihr Controlling. Gerade im Mittelstand stellt sich dann eine ganz praktische Frage: Interne Revision auslagern oder ein eigenes Prüfteam aufbauen?
Beide Wege sind möglich. Doch eine Frage bleibt in jedem Fall: Wer haftet, wenn trotz Delegation etwas schiefgeht?
In regulierten Branchen und Berufen kommen eigene Vorgaben hinzu. Kreditinstitute orientieren sich etwa an den Mindestanforderungen an das Risikomanagement (MaRisk) der Bankenaufsicht. Steuerberatungs- und Wirtschaftsprüfungsgesellschaften unterliegen ihrem jeweiligen Berufsrecht, das eigene Organisations- und Qualitätspflichten festlegt.
Ergänzendes Wissen: Die sogenannte Business Judgment Rule steht in Deutschland in § 93 Abs. 1 Satz 2 AktG. Danach liegt keine Pflichtverletzung vor, wenn ein Vorstand eine unternehmerische Entscheidung auf Grundlage angemessener Informationen und zum Wohl der Gesellschaft trifft.
Organisationsverschulden: Wenn die Struktur zum Risiko wird
Viele Führungskräfte gehen davon aus, dass sie nur für eigene Fehler einstehen müssen. Das greift zu kurz. Die Rechtsprechung kennt das sogenannte Organisationsverschulden. Die Geschäftsleitung muss den Betrieb so aufstellen, dass Rechtsverstöße möglichst gar nicht erst entstehen.
Ein bekanntes Beispiel lieferte das Landgericht München I im Jahr 2013. Es verurteilte ein ehemaliges Vorstandsmitglied der Siemens AG zu Schadensersatz in Höhe von 15 Millionen Euro. Das Gericht sah die Pflicht verletzt, ein funktionierendes Compliance-System einzurichten und zu überwachen.
Auch das Ordnungswidrigkeitenrecht greift diesen Gedanken auf. Wer als Inhaber oder Leitungsperson erforderliche Aufsichtsmaßnahmen unterlässt, handelt nach § 130 OWiG ordnungswidrig, wenn es deshalb zu Zuwiderhandlungen im Betrieb kommt. Gegen das Unternehmen selbst kann die Behörde nach § 30 OWiG ebenfalls eine Geldbuße festsetzen.
Die entscheidende Frage lautet also nicht nur: Was ist passiert?
Sondern: Hätte eine angemessene Organisation es verhindern können?
Was Sie delegieren können – und was nicht
Delegation ist erlaubt und oft sogar geboten. Ab einer gewissen Unternehmensgröße funktioniert Führung ohne Arbeitsteilung schlicht nicht. Eines sollten Sie dabei aber wissen: Durch die Delegation verwandelt sich Ihre eigene Handlungspflicht in eine Überwachungspflicht. Sie geben die Ausführung ab, nicht die Verantwortung.
Die folgende Übersicht zeigt typische Aufgabenbereiche und deren Grenzen:
| Aufgabenbereich | Delegierbar? | Was bei der Geschäftsleitung bleibt |
|---|---|---|
| Buchhaltung und Zahlungsverkehr | Ja | Sorge für eine ordnungsgemäße Buchführung (§ 41 GmbHG), Kontrolle der Abläufe |
| Prüfung interner Abläufe (Interne Revision) | Ja, auch an externe Dienstleister | Auftrag erteilen, Berichte auswerten, Maßnahmen umsetzen |
| Compliance im Tagesgeschäft | Ja | Grundsatzentscheidungen, Ausstattung, Überwachung |
| Umsetzung von IT-Sicherheitsmaßnahmen | Teilweise | Billigung und Überwachung der Risikomanagementmaßnahmen (§ 38 BSIG) |
| Krisenfrüherkennung | Teilweise | Gesamtverantwortung und Reaktion auf Warnsignale (§ 1 StaRUG) |
| Insolvenzantrag | Nein | Eigene Prüfung und fristgerechte Antragstellung (§ 15a InsO) |
| Strategie und Grundsatzentscheidungen | Nein | Volle Leitungsverantwortung |
Besteht die Geschäftsleitung aus mehreren Personen, verteilen viele Unternehmen die Aufgaben nach Ressorts. Das entlastet im Alltag. Die Gesamtverantwortung des Gremiums bleibt jedoch bestehen. Erkennen Sie Anhaltspunkte für Missstände in einem fremden Ressort, müssen Sie handeln.
Die Säulen einer sorgfältigen Delegation
Wann gilt eine Delegation als ordnungsgemäß? Rechtsprechung und Fachliteratur haben dafür Kriterien entwickelt, an denen Sie sich orientieren können:
- Sorgfältige Auswahl: Übertragen Sie Aufgaben nur an Personen oder Dienstleister, die fachlich geeignet und zuverlässig sind.
- Klare Einweisung: Legen Sie schriftlich fest, wer welche Aufgabe übernimmt, welche Befugnisse dazugehören und wann eine Rückmeldung an Sie erfolgen muss.
- Angemessene Ausstattung: Geben Sie den Verantwortlichen ausreichend Zeit, Budget und Zugang zu Informationen.
- Laufende Überwachung: Lassen Sie sich regelmäßig berichten, stellen Sie Rückfragen und prüfen Sie stichprobenartig.
- Lückenlose Dokumentation: Halten Sie fest, wie Sie ausgewählt, eingewiesen und kontrolliert haben.
Den letzten Punkt unterschätzen viele Führungskräfte. Im Streitfall müssen Vorstände einer Aktiengesellschaft nachweisen, dass sie sorgfältig gehandelt haben (§ 93 Abs. 2 Satz 2 AktG). Ohne Unterlagen gelingt dieser Nachweis kaum.
Und wie intensiv muss die Überwachung ausfallen?
Das hängt vom Risiko ab. Bereiche mit hohen Geldflüssen, sensiblen Daten oder früheren Auffälligkeiten verlangen engere Kontrollen. Routineaufgaben mit geringem Schadenspotenzial dürfen Sie lockerer begleiten.
Ergänzendes Wissen: Eine D&O-Versicherung (Directors and Officers) kann bestimmte Vermögensschäden absichern, für die Organmitglieder persönlich in Anspruch genommen werden. Den genauen Umfang legen die Vertragsbedingungen fest, und für Vorstände einer AG schreibt § 93 Abs. 2 Satz 3 AktG einen Selbstbehalt vor.
Externe Partner: Entlastung mit klaren Spielregeln
Viele Unternehmen setzen für Revision, Compliance oder IT-Sicherheit auf externe Spezialisten. Das hat nachvollziehbare Gründe. Externe Prüfer bringen Fachwissen, Branchenvergleiche und einen unabhängigen Blick mit. Gerade kleinere Unternehmen sparen sich so den Aufbau einer eigenen Abteilung.
Die Verantwortung wandert dabei jedoch nicht mit. Auch bei externen Partnern gelten Auswahl-, Einweisungs- und Überwachungspflichten. Deshalb kommt dem Vertrag eine zentrale Rolle zu.
Achten Sie in der Vereinbarung mit einem Dienstleister besonders auf diese Punkte:
- Genauer Leistungsumfang und ein abgestimmter Prüfungsplan
- Feste Berichtswege, Berichtsfristen und klare Ansprechpartner
- Nachweise über Qualifikation und Unabhängigkeit der eingesetzten Fachleute
- Regeln zu Vertraulichkeit und Datenschutz, bei Bedarf mit einem Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO
- Kündigungsfristen und eine geordnete Übergabe der Unterlagen bei Vertragsende
Ein Prüfbericht in der Schublade hilft niemandem. Lesen Sie die Ergebnisse, besprechen Sie sie im Leitungsgremium und verfolgen Sie, ob Ihr Team die empfohlenen Maßnahmen tatsächlich umsetzt. Erst dieser Kreislauf macht die externe Prüfung zu einem wirksamen Teil Ihrer Organisation.
Typische Stolperfallen in der Praxis
Ein häufiger Fehler ist blindes Vertrauen. Eine Fachabteilung arbeitet seit Jahren unauffällig, also fragt niemand mehr nach. Genau hier entstehen Lücken, die erst im Schadensfall sichtbar werden.
Ebenso riskant: Kontrollen, die nur auf dem Papier existieren. Ein Organigramm mit klaren Zuständigkeiten nützt wenig, wenn niemand die Berichte einfordert oder auswertet.
Warnsignale ernst nehmen – das klingt selbstverständlich. In der Praxis gehen Hinweise von Mitarbeitern, Kunden oder Prüfern im Tagesgeschäft jedoch leicht unter. Richten Sie deshalb feste Wege ein, über die solche Hinweise zuverlässig bei der Geschäftsleitung ankommen. Unternehmen ab 50 Beschäftigten müssen nach dem Hinweisgeberschutzgesetz ohnehin eine interne Meldestelle betreiben.
Jede Rechtsform, Branche und Unternehmensgröße bringt eigene Anforderungen mit. Für eine verbindliche Einschätzung Ihrer persönlichen Situation wenden Sie sich am besten an eine Fachanwältin oder einen Fachanwalt für Handels- und Gesellschaftsrecht. Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.
Fazit
Die Anforderungen an Vorstände und Geschäftsführer sind durch neue Gesetze wie StaRUG, FISG und das NIS-2-Umsetzungsgesetz spürbar gestiegen. Organisationsverschulden kann zur persönlichen Haftung führen, auch wenn Sie selbst keinen operativen Fehler begangen haben. Viele Kontrollaufgaben dürfen Sie an Mitarbeiter oder externe Partner übertragen, solange Sie diese sorgfältig auswählen, einweisen und überwachen. Kernpflichten wie die Gesamtverantwortung oder die Insolvenzantragspflicht bleiben stets bei Ihnen. Mit klaren Zuständigkeiten und einer lückenlosen Dokumentation schaffen Sie eine solide Grundlage für Ihre Unternehmensführung.
