Beauftragte

Compliance Beauftragter

Rechtliche und sonstige Grundlagen

●   Es gibt in Deutschland kein eigenständiges Gesetz, das die Bestellung und Aufgaben eines Compliance-Beauftragten regelt. Die Funktion ergibt sich aus verschiedenen gesetzlichen und regulatorischen Anforderungen sowie aus unternehmensinternen Regelungen.

●   DIN ISO 37301; Stand: 13.04.2021

●   Urteil Bundesgerichtshof (BGH 1 StR 265/16); Stand: 09.05.2017

●   Aktiengesetz (AktG), Stand  04.02.2026

●   Kreditwesengesetz (KWG), Stand 15.07.2024

●   NIS-2- Umsetzungsgesetz (NIS2UmsuCG – Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagement in der Bundesverwaltung); Stand: 06.12.2025

●   KRITIS-Dachgesetz (Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen); Stand: 17.03.2026

●   Lieferkettensorgfaltspflichtengesetz (LkSG); Stand: 01.01.2023

●   DIN ISO 37301; Stand: 13.04.2021

●   Urteil Bundesgerichtshof (BGH 1 StR 265/16); Stand: 09.05.2017

Anforderungen an die Fachkunde des Beauftragten

  • Fundierte Kenntnisse im Wirtschaftsrecht, Gesellschaftsrecht, Datenschutz, Arbeitsrecht und ggf. branchenspezifischem Recht.
  • Erfahrung im Aufbau, in der Pflege und Überwachung von Compliance-Management-Systemen.
  • Fähigkeit zur Risikoanalyse und zur Entwicklung von Compliance-Maßnahmen.
  • Kommunikations- und Schulungskompetenz für die Sensibilisierung der Mitarbeitenden.
  • Integrität, Verschwiegenheit und Durchsetzungsfähigkeit.
  • Kenntnisse aktueller regulatorischer Entwicklungen (z. B. LkSG/CSDDD NIS-2/NIS2UmsuCG, CSRD, DSGVO/BDSG, KRITIS-Dachgesetz).

Wer ernennt/bestellt den BA?

  • Die Bestellung erfolgt durch die Geschäftsleitung oder den Vorstand des Unternehmens.
  • Die Ernennung ist in der Regel schriftlich zu dokumentieren (z. B. im Organigramm oder in internen Richtlinien).
  • Der Compliance Beauftragte sollte unabhängig von operativen Geschäftsinteressen sein und direkt an die Unternehmensleitung berichten.
  • Ergänzung zu NIS2: Für Einrichtungen, die unter das NIS2UmsuCG fallen, schreibt § 38 Abs. 3 BSIG (n.F.) ausdrücklich vor, dass Geschäftsleitungen selbst regelmäßig (alle drei Jahre) an NIS2-Schulungen teilnehmen müssen. Soweit Compliance-Beauftragte in NIS2-relevanten Unternehmen mit Cybersicherheit befasst sind, ergibt sich daraus auch eine mittelbare Schulungspflicht für die Compliance-Funktion.

Gesetzliche Pflicht zur Aus- und Fortbildung/Prüfungen/Wiederholungen – Fristen

  • Es gibt keine explizite gesetzliche Pflicht zu bestimmten Fortbildungsintervallen.
  • Ausnahme NIS2 (§ 38 Abs. 3 BSIG n.F.): Für Compliance-Beauftragte in Einrichtungen, die unter das NIS2UmsuCG fallen, ist eine Geschäftsleitungsschulung alle drei Jahre zu den vier NIS2-Kernfeldern (Risikoanalyse, Sicherheitsmaßnahmen, Meldepflichten, Lieferkettensicherheit) gesetzlich normiert. Soweit der Compliance-Beauftragte Aufgaben im Bereich Informationssicherheit wahrnimmt, ist diese Schulungspflicht direkt relevant.
  • Die Fachkunde muss regelmäßig durch geeignete Weiterbildungen, Seminare oder Zertifizierungen aktualisiert werden, um den sich ändernden gesetzlichen und regulatorischen Anforderungen gerecht zu werden.
  • Für bestimmte Branchen (z. B. Finanzsektor, kritische Infrastrukturen) bestehen spezifische Fortbildungs- und Prüfpflichten.
  • Nachweise über Fortbildungen sollten dokumentiert und auf Verlangen vorgelegt werden können.

Kündigungsschutz

●         Compliance-Beauftragte unterliegen keinem besonderen gesetzlichen Kündigungsschutz.

Hinweis zu NIS2 und Haftung: Neu und compliance-relevant ist die persönliche Haftung der Geschäftsleitung für NIS2-Verstöße (§ 38 Abs. 2 BSIG n.F.); Compliance-Beauftragte haben keine eigene gesetzliche Haftung, aber eine hohe Verantwortung bei der Vorbereitung und Überwachung der Umsetzung.