Der Anruf kommt an einem Dienstagnachmittag. Ein Kunde zahlt nicht, beruft sich auf eine Klausel in den eigenen Einkaufsbedingungen und stellt die Frage, wessen Bedingungen eigentlich gelten. Niemand im Unternehmen kann das beantworten. Der Auftrag ist längst ausgeführt, das Material bezahlt, und in der Buchhaltung steht ein sechsstelliger Betrag offen. Der entscheidende Fehler ist zu diesem Zeitpunkt vierzehn Monate alt und passierte bei der Auftragsbestätigung.
So laufen rechtliche Probleme im Mittelstand fast immer ab. Sie entstehen leise, in einer Entscheidung, die niemand als rechtliche Entscheidung wahrgenommen hat, und sie werden sichtbar, wenn der Handlungsspielraum bereits verbraucht ist. Genau deshalb ist rechtliche Prävention kein Luxusthema für Konzerne, sondern eine betriebswirtschaftliche Frage.
clience.legal ist eine digitale Wirtschaftskanzlei für Unternehmerinnen und Unternehmer. Wir beraten Geschäftsführer nicht erst im Streitfall, sondern begleiten die Entscheidungen davor, und behalten dabei Ihre Pflichten, Ihre Haftung und Ihre wirtschaftlichen Ziele zusammen im Blick. Dieser Beitrag zeigt die sieben Risikofelder, die im Mittelstand am häufigsten teuer werden, und die Maßnahme, die den Schaden jeweils im Vorfeld verhindert.
Inhalt
Das Wichtigste im Überblick
- Prävention ist eine Pflicht, keine Kür: § 43 GmbHG verlangt vom Geschäftsführer die Sorgfalt eines ordentlichen Geschäftsmanns, § 1 StaRUG die laufende Überwachung bestandsgefährdender Entwicklungen.
- Organisationsverschulden trifft persönlich: Wer sein Unternehmen nicht so aufstellt, dass Verstöße verhindert werden, haftet nach § 43 Abs. 2 GmbHG und riskiert Bußgelder nach §§ 130, 30 OWiG.
- Die teuersten Fehler sind unscheinbar: Eine fehlende Abwehrklausel, eine versäumte Meldung oder eine Zahlung nach Eintritt der Zahlungsunfähigkeit kosten mehr als jedes Beratungshonorar.
- Schwellenwerte kennen: Interne Meldestelle ab fünfzig Beschäftigten, Antragspflicht binnen drei beziehungsweise sechs Wochen, Datenschutzbußgelder bis zu vier Prozent des weltweiten Jahresumsatzes.
- Kaskade beachten: Auch nicht unmittelbar verpflichtete Unternehmen bekommen Nachhaltigkeits- und Compliance-Anforderungen über die Verträge ihrer großen Kunden.
- Dokumentation ist die halbe Verteidigung: Im Haftungsfall zählt nicht, was Sie getan haben, sondern was Sie belegen können.
Warum Prävention der günstigere Weg ist
Rechtsberatung wird von vielen Unternehmen als Reparaturleistung verstanden. Etwas geht schief, die Kanzlei repariert. Diese Sicht führt regelmäßig zu einem Missverhältnis: Der Aufwand für die Reparatur übersteigt den Aufwand für die Vorsorge um ein Vielfaches, und das Ergebnis ist trotzdem schlechter.
Der Grund liegt in der Reihenfolge. Vor der Unterschrift ist jede Klausel verhandelbar, jedes Risiko verschiebbar und jede Formulierung offen. Nach der Unterschrift ist der Rahmen fixiert, und die anwaltliche Arbeit besteht darin, aus einer schlechten Ausgangslage das Bestmögliche zu machen. Hinzu kommen Kosten, die in keiner Rechnung auftauchen: gebundene Führungszeit, verzögerte Projekte und beschädigte Kundenbeziehungen.
Prävention bedeutet dabei nicht, jedes Risiko auszuschließen. Unternehmerisches Handeln bleibt riskant, und das ist rechtlich auch anerkannt. Es geht darum, Risiken bewusst einzugehen statt unbemerkt, und die Entscheidung nachvollziehbar zu dokumentieren. Wie das im laufenden Betrieb organisiert wird, beschreiben wir unter externe Rechtsabteilung.
Woran Sie erkennen, dass es Zeit wird
Ein paar Signale tauchen in Beratungsgesprächen immer wieder auf. Wenn mehrere davon auf Ihr Unternehmen zutreffen, ist der Handlungsbedarf real und nicht theoretisch.
- Niemand kann auf Anhieb sagen, welche Fassung der eigenen Bedingungen aktuell im Vertrieb verwendet wird.
- Kündigungsfristen laufender Verträge werden erst bemerkt, wenn die Verlängerung bereits eingetreten ist.
- Auf Kundenfragen zu Datenschutz, Compliance oder Lieferkette wird jedes Mal von vorne recherchiert.
- Die Liquiditätsplanung reicht nur wenige Wochen in die Zukunft oder existiert nur im Kopf der Geschäftsführung.
- Entscheidungen über Haftung und Gewährleistung werden im Angebotsgespräch spontan getroffen.
- Es gibt keine Übersicht darüber, wer im Unternehmen was unterschreiben darf.
Jeder dieser Punkte lässt sich mit überschaubarem Aufwand abstellen. Zusammen ergeben sie das Bild eines Unternehmens, in dem rechtliche Entscheidungen zufällig getroffen werden, und Zufall ist die teuerste Form der Risikosteuerung.
Die sieben Risikofelder im Mittelstand
1. Verträge und Bedingungen
Das häufigste und zugleich am leichtesten zu vermeidende Risiko. Typische Fehlerquellen sind kollidierende Geschäftsbedingungen, fehlende Haftungsbegrenzungen, unklare Leistungsbeschreibungen und Verträge, die im Vertrieb frei angepasst wurden. Die Präventionsmaßnahme ist unspektakulär: geprüfte Vertragsmuster mit definierten Verhandlungsspielräumen, eine Übersicht über Laufzeiten und Kündigungsfristen sowie klare Freigaberegeln. Den Rahmen dafür schaffen wir bei der Erstellung von Verträgen und AGB.
Besonders unterschätzt wird die Frage, wessen Bedingungen bei kollidierenden Klauselwerken gelten. Nach deutschem Recht setzt sich in solchen Fällen keine Seite vollständig durch, stattdessen fallen die widersprechenden Regelungen weg und es gilt das Gesetz. Genau die Punkte, die man regeln wollte, sind dann ungeregelt. Eine Abwehrklausel und ein bewusster Umgang mit Einkaufsbedingungen der Gegenseite lösen dieses Problem im Vorfeld.
2. Pflichten und Haftung der Geschäftsführung
§ 43 Abs. 1 GmbHG verpflichtet den Geschäftsführer zur Sorgfalt eines ordentlichen Geschäftsmanns, Absatz 2 macht ihn bei Verletzung persönlich schadensersatzpflichtig. Diese Haftung greift nicht nur bei Fehlentscheidungen, sondern auch bei mangelhafter Organisation. Wer Aufgaben delegiert, muss auswählen, einweisen und kontrollieren. Die Präventionsmaßnahme besteht aus einer schriftlichen Geschäftsverteilung, dokumentierten Entscheidungsgrundlagen bei größeren Vorhaben und einer regelmäßigen Prüfung der eigenen Pflichtenlage. Vertiefend dazu unsere Darstellung zur persönliche Haftung in GmbH und UG und die aktuelle Entwicklungen zur Geschäftsführerhaftung.
3. Liquidität und Krisenfrüherkennung
Hier liegt das schärfste persönliche Risiko. § 1 StaRUG verlangt eine laufende Überwachung bestandsgefährdender Entwicklungen. Tritt Zahlungsunfähigkeit oder Überschuldung ein, greift die Antragspflicht nach § 15a InsO mit einer Frist von drei Wochen bei Zahlungsunfähigkeit und sechs Wochen bei Überschuldung. Zahlungen danach lösen die Erstattungspflicht nach § 15b InsO aus. Hinzu kommt die Pflicht nach § 49 Abs. 3 GmbHG, die Gesellschafterversammlung bei Verlust der Hälfte des Stammkapitals einzuberufen. Die Präventionsmaßnahme ist eine rollierende Liquiditätsplanung mit festen Kennzahlen und definierten Schwellen, ab denen gehandelt wird. Wie ein solches System aufgebaut wird, zeigen wir bei der Krisenfrüherkennung nach dem StaRUG.
4. Personal und Sozialabgaben
Arbeitsrechtliche Themen sind selten existenzbedrohend, mit einer Ausnahme: Werden Sozialversicherungsbeiträge nicht abgeführt, droht nach § 266a StGB eine persönliche Strafbarkeit, und für Steuern haftet die Geschäftsführung nach § 69 AO. Ebenfalls unterschätzt wird die Scheinselbstständigkeit bei langjährigen freien Mitarbeitern, weil Nachforderungen rückwirkend erhoben werden. Die Präventionsmaßnahme umfasst eine Prüfung der Vertragsverhältnisse, saubere Vertragsmuster und im Zweifelsfall ein Statusfeststellungsverfahren.
5. Datenschutz und IT-Sicherheit
Die Datenschutz-Grundverordnung erlaubt Geldbußen von bis zu zwanzig Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes. In der Praxis entstehen Probleme selten aus großen Datenpannen, sondern aus Betroffenenanfragen, unvollständigen Verarbeitungsverzeichnissen und fehlenden Verträgen zur Auftragsverarbeitung. Die Präventionsmaßnahme ist ein strukturierter Selbstcheck entlang der Punkte, die bei Prüfungen zuerst auffallen, ergänzt um einen definierten Ablauf für Anfragen und Sicherheitsvorfälle.
Hinzu kommt der Zeitfaktor. Betroffenenanfragen sind grundsätzlich innerhalb eines Monats zu beantworten, meldepflichtige Sicherheitsvorfälle innerhalb von 72 Stunden. Wer diese Abläufe erst im Ernstfall entwirft, verliert die entscheidenden ersten Stunden. Ein vorbereiteter Ablaufplan mit benannten Verantwortlichen kostet wenig und wirkt genau dann, wenn es darauf ankommt.
6. Lieferkette und Nachhaltigkeit
Das Lieferkettensorgfaltspflichtengesetz gilt unmittelbar für Unternehmen ab tausend Beschäftigten im Inland. Die Berichtspflicht gegenüber der Aufsichtsbehörde ist entfallen, Risikoanalyse, Präventionsmaßnahmen, Beschwerdeverfahren und Dokumentation bleiben bestehen. Auf europäischer Ebene wurde die Lieferkettenrichtlinie durch das Omnibus-Paket deutlich verschlankt und trifft künftig vor allem sehr große Unternehmen. Für kleinere Betriebe ist das kein Entwarnungssignal, denn die Anforderungen kommen über die Verträge großer Kunden und über Ausschreibungen. Wer Nachweise nicht liefern kann, verliert den Auftrag. Mehr dazu unter Lieferkettengesetz und Nachhaltigkeitspflichten.
7. Künstliche Intelligenz im Betrieb
KI-Werkzeuge sind längst im Einsatz, meist ohne interne Regeln. Daraus entstehen drei Risiken: der Abfluss vertraulicher Daten in externe Systeme, unklare Rechte an erzeugten Inhalten und die Haftung für fehlerhafte Ergebnisse, die ungeprüft verwendet wurden. Hinzu kommen die Pflichten aus der europäischen KI-Verordnung, deren Anforderungen schrittweise wirksam werden. Die Präventionsmaßnahme ist eine schriftliche Nutzungsrichtlinie mit Freigabeliste, Datenschutzregeln und einer verbindlichen Prüfpflicht vor Verwendung. Wir begleiten das beim rechtlich sicheren Einsatz von KI.
Wer im Unternehmen die Prävention trägt
In größeren Unternehmen gibt es dafür eigene Funktionen. Im Mittelstand liegt die Verantwortung fast immer bei der Geschäftsführung, und genau das ist der Engpass. Rechtliche Themen konkurrieren dort mit Vertrieb, Produktion und Personal, und sie verlieren diesen Wettbewerb regelmäßig, weil sie selten dringend wirken.
Die praktikable Lösung besteht aus drei Elementen. Erstens eine benannte Person im Unternehmen, die den Überblick hält, ohne selbst juristisch entscheiden zu müssen. Zweitens ein fester Termin, in dem die offenen Punkte durchgegangen werden, üblicherweise quartalsweise und nicht länger als eine Stunde. Drittens ein anwaltlicher Ansprechpartner, der die Themen kennt und ohne Einarbeitung reagieren kann.
Dieser Aufbau kostet wenig und verändert die Dynamik spürbar. Fragen werden gestellt, bevor sie teuer werden, weil der Weg dorthin kurz ist. Erfahrungsgemäß sinkt die Zahl der Konflikte im zweiten Jahr deutlich, weil die wiederkehrenden Fehlerquellen bis dahin abgestellt sind.
Der Präventionszyklus in vier Schritten
Prävention scheitert selten am Wissen und fast immer an der Umsetzung. Ein einfacher Zyklus hält den Aufwand beherrschbar.
- Bestandsaufnahme: Erfassen Sie, welche Verträge bestehen, welche Pflichten Sie treffen und wo im Unternehmen rechtliche Entscheidungen getroffen werden. Diese Übersicht fehlt in den meisten Betrieben und ist die Grundlage für alles Weitere.
- Priorisierung: Bewerten Sie jedes Feld nach Eintrittswahrscheinlichkeit und Schadenshöhe. Existenzbedrohende Risiken werden zuerst bearbeitet, auch wenn andere Themen dringlicher wirken.
- Maßnahmen: Legen Sie je Risiko eine konkrete Maßnahme fest, mit verantwortlicher Person und Termin. Eine Absichtserklärung ohne Namen und Datum wird nicht umgesetzt.
- Dokumentation und Wiederholung: Halten Sie fest, was entschieden und umgesetzt wurde, und prüfen Sie die Übersicht jährlich. Im Haftungsfall entscheidet diese Dokumentation über Ihre Verteidigungsposition.
Ab einer gewissen Größe lohnt es sich, diesen Zyklus in ein formales System zu überführen. Was ein solches System leisten muss, beschreiben wir unter Compliance-Management-Systeme. Ergänzend gehört ab fünfzig Beschäftigten eine interne Meldestelle dazu, zu der wir unter Hinweisgebersysteme und ISO 37301 informieren.
Was Prävention kostet und was sie spart
Der Aufwand für eine erste Bestandsaufnahme liegt in den meisten mittelständischen Unternehmen bei wenigen Tagen. Danach fällt laufender Pflegeaufwand an, der deutlich geringer ausfällt. Dem gegenüber steht die Kostenseite eines einzigen Konflikts: Anwalts- und Gerichtskosten, gebundene Führungszeit, Rückstellungen, verzögerte Projekte und im schlechtesten Fall die persönliche Inanspruchnahme des Geschäftsführers.
Die Rechnung geht in fast allen Fällen zugunsten der Vorsorge aus, weil sie nicht nur Kosten vermeidet, sondern Handlungsfähigkeit schafft. Ein Unternehmen mit geordneter Vertragslage kann schneller verhandeln, sicherer kalkulieren und in Ausschreibungen die geforderten Nachweise vorlegen. Bei einem Verkauf oder einer Nachfolge wirkt sich dieselbe Ordnung unmittelbar auf den Preis aus. Den fachlichen Rahmen dafür bildet unsere Beratung zu Compliance und Geschäftsführerhaftung.
Drei Fehler, die Prävention wirkungslos machen
Der erste Fehler ist das Papierprojekt. Es entstehen Richtlinien, Handbücher und Formulare, die niemand liest und die im Alltag folgenlos bleiben. Im Haftungsfall wirkt eine Dokumentation, die erkennbar nicht gelebt wurde, sogar belastend, weil sie zeigt, dass das Risiko bekannt war.
Der zweite Fehler ist die Vollständigkeitsfalle. Wer alle Felder gleichzeitig bearbeiten will, kommt nirgends an. Sinnvoller ist es, mit dem Feld zu beginnen, in dem der größte Schaden entstehen kann, und die übrigen Themen in eine Reihenfolge zu bringen, die über zwölf Monate abgearbeitet wird.
Der dritte Fehler ist die fehlende Zuständigkeit. Solange eine Maßnahme keinen Namen und kein Datum trägt, bleibt sie eine Absichtserklärung. Legen Sie stattdessen fest, wer verantwortlich ist, bis wann etwas vorliegt und wer die Umsetzung überprüft. In kleineren Unternehmen genügt dafür eine einzige Tabelle, die zweimal im Jahr durchgesehen wird.Wer diese sechs Punkte abstellt, hat den größten Teil des Risikos bereits reduziert. Einen breiteren Rahmen dazu finden Sie in unserem Überblick zum Online-Coaching-Recht.
Der Einstieg in die Prävention ist einfacher, als er wirkt. Nennen Sie uns Ihre Branche, die Unternehmensgröße und die drei Themen, bei denen Sie das unangenehmste Gefühl haben. Wir ordnen ein, welche Pflichten Sie tatsächlich treffen, wo akuter Handlungsbedarf besteht und was warten kann. Vereinbaren Sie dafür ein kostenlosen Erstgespräch von 15 bis 20 Minuten.
FAQs
Was bedeutet rechtliche Prävention im Unternehmen konkret?
Rechtliche Prävention heißt, rechtliche Fragen vor der Entscheidung zu klären statt nach dem Konflikt. Dazu gehören geprüfte Vertragsmuster, eine Übersicht über Fristen und Pflichten, klare Zuständigkeiten und eine nachvollziehbare Dokumentation. Ziel ist nicht die Vermeidung jedes Risikos, sondern die bewusste Entscheidung darüber, welches Risiko das Unternehmen trägt. Der Aufwand liegt am Anfang bei wenigen Tagen und danach im laufenden Pflegebetrieb.
Bin ich als Geschäftsführer verpflichtet, Risiken zu überwachen?
Ja. § 43 Abs. 1 GmbHG verlangt die Sorgfalt eines ordentlichen Geschäftsmanns, und § 1 StaRUG verpflichtet die Geschäftsleitung, fortlaufend auf bestandsgefährdende Entwicklungen zu achten und geeignete Gegenmaßnahmen zu ergreifen. Wird diese Pflicht verletzt, kommt eine persönliche Haftung nach § 43 Abs. 2 GmbHG in Betracht. Die Überwachung muss dabei zum Unternehmen passen, ein einfacher, aber dokumentierter Prozess genügt in kleineren Betrieben.
Was ist Organisationsverschulden?
Von Organisationsverschulden spricht man, wenn ein Schaden nicht auf eine einzelne Fehlentscheidung zurückgeht, sondern darauf, dass das Unternehmen nicht so aufgestellt war, dass Verstöße verhindert werden. Aufgaben dürfen delegiert werden, die Auswahl, Einweisung und Kontrolle bleiben aber Sache der Geschäftsführung. § 130 OWiG sieht für Aufsichtspflichtverletzungen eine Geldbuße von bis zu einer Million Euro vor, § 30 OWiG erlaubt zusätzlich eine Geldbuße gegen das Unternehmen selbst.
Ab wann brauche ich ein Compliance-Management-System?
Eine feste gesetzliche Schwelle gibt es nicht. Sinnvoll wird ein formales System, sobald mehrere Standorte, viele Mitarbeitende, regulierte Tätigkeiten oder Auftraggeber mit eigenen Anforderungen zusammenkommen. In kleineren Unternehmen reichen häufig dokumentierte Richtlinien, klare Zuständigkeiten und eine jährliche Überprüfung. Entscheidend ist nicht der Umfang der Dokumente, sondern dass die Regeln im Alltag tatsächlich angewendet werden.
Ab welcher Größe muss ich eine interne Meldestelle einrichten?
Das Hinweisgeberschutzgesetz verpflichtet Unternehmen ab fünfzig Beschäftigten zu einer internen Meldestelle. Sie muss vertrauliche Meldungen entgegennehmen, den Eingang bestätigen, Folgemaßnahmen ergreifen und dokumentiert arbeiten. Die Aufgabe kann intern vergeben oder an einen externen Dritten übertragen werden. Typische Fehler entstehen weniger bei der Einrichtung als im laufenden Betrieb, etwa bei Fristen und beim Schutz der meldenden Person.
Welche Fristen gelten bei drohender Zahlungsunfähigkeit?
Bei Eintritt der Zahlungsunfähigkeit ist der Insolvenzantrag nach § 15a InsO ohne schuldhaftes Zögern zu stellen, spätestens innerhalb von drei Wochen, bei Überschuldung spätestens innerhalb von sechs Wochen. Diese Fristen sind Höchstfristen und dürfen nicht ausgereizt werden, wenn die Sanierung erkennbar aussichtslos ist. Zahlungen nach Eintritt der Insolvenzreife lösen eine Erstattungspflicht nach § 15b InsO aus. Bereits bei drohender Zahlungsunfähigkeit stehen Sanierungsinstrumente zur Verfügung, die den Antrag vermeiden können.
Gilt das Lieferkettengesetz auch für kleinere Unternehmen?
Unmittelbar verpflichtet sind Unternehmen ab tausend Beschäftigten im Inland. Kleinere Betriebe sind aber mittelbar betroffen, weil große Kunden ihre Anforderungen vertraglich weitergeben und Nachweise in Ausschreibungen verlangen. Die Berichtspflicht gegenüber der Aufsichtsbehörde ist entfallen, die Sorgfaltspflichten der erfassten Unternehmen bestehen fort. Für Zulieferer ist es deshalb wirtschaftlich sinnvoll, die geforderten Nachweise vorzuhalten, auch ohne eigene gesetzliche Pflicht.
Wie regele ich den Einsatz von KI-Werkzeugen im Unternehmen?
Sinnvoll ist eine schriftliche Nutzungsrichtlinie mit drei Bestandteilen: einer Freigabeliste zugelassener Werkzeuge, klaren Regeln dazu, welche Daten eingegeben werden dürfen, und einer verbindlichen Prüfpflicht vor der Verwendung von Ergebnissen. Ergänzend sollten Rechte an erzeugten Inhalten und die Kennzeichnung gegenüber Kunden geregelt sein. Hinzu kommen die schrittweise wirksam werdenden Pflichten aus der europäischen KI-Verordnung.
Wie dokumentiere ich Präventionsmaßnahmen richtig?
Halten Sie fest, welche Risiken erkannt wurden, welche Entscheidung getroffen wurde, auf welcher Grundlage und wer sie umgesetzt hat. Ein knappes Protokoll mit Datum und Verantwortlichem genügt in den meisten Fällen. Wichtig ist die Regelmäßigkeit, denn eine einmalige Bestandsaufnahme verliert nach kurzer Zeit ihren Wert. Im Haftungsfall entscheidet diese Dokumentation darüber, ob Sie belegen können, sorgfältig gehandelt zu haben.
Wann lohnt sich ein Anwalt für rechtliche Prävention?
Sobald rechtliche Entscheidungen regelmäßig anfallen und nebenbei getroffen werden, lohnt die anwaltliche Begleitung. Wir prüfen Ihre Pflichtenlage, bringen Verträge und Bedingungen in eine belastbare Form und richten die Prozesse ein, die im Ernstfall Ihre Verteidigung tragen. Der wirtschaftliche Hebel liegt dabei in den Konflikten, die gar nicht erst entstehen, und in der persönlichen Haftung, die Sie von sich fernhalten. Wer erst im Streitfall anruft, zahlt in der Regel deutlich mehr für ein schlechteres Ergebnis.
