Compliance-Management: Haftung und Delegation

Ob Behörde, kommunaler Eigenbetrieb oder IT-Dienstleister der öffentlichen Hand: Du haftest nicht nur für das, was du selbst tust, sondern auch dafür, wie deine Organisation aufgestellt ist. Ein wirksames Compliance-Management-System entscheidet im Ernstfall mit darüber, ob dir eine Pflichtverletzung vorgeworfen wird oder ob du nachweisen kannst, „organisationsgerecht“ gearbeitet zu haben.

Was ist ein Compliance-Management-System eigentlich?

Compliance bedeutet, dass sich deine Organisation an geltendes Recht und interne Regeln hält. Ein Compliance-Management-System (CMS) ist der organisatorische Rahmen, der genau das sicherstellen soll.

Typische Ziele:

• Rechtsverstöße früh erkennen und verhindern
• Risiken systematisch steuern
• Verantwortlichkeiten klar zuordnen
• Nachweisbarkeit gegenüber Aufsichtsbehörden, Rechnungshöfen, Gerichten und Innenrevision verbessern

Gerade im IT-Bereich kommen besondere Anforderungen hinzu: Datenschutz nach DSGVO und BDSG, Informationssicherheit, Vergaberecht bei IT-Beschaffungen, Haushaltsrecht, Lizenzrecht, EVB-IT, Dienstleistungs- und Werkverträge, Hinweisgeberschutz nach HinSchG.

Ein CMS ist kein fertiges Produkt, sondern ein Organisationskonzept. Es muss zu deiner Behörde bzw. deinem Unternehmen, zu Größe, Risiken und Rechtsrahmen passen. Ein „Überziehen“ mit Regelwerken, die niemand befolgt, hilft dir haftungsrechtlich nicht weiter.

Organisationspflichten: Was du zwingend regeln musst

Leitend ist der Gedanke der ordnungsgemäßen Organisation. Im öffentlichen Bereich ergibt sich das aus allgemeinen Dienstpflichten, Fachaufsicht und aus spezialgesetzlichen Vorgaben, im Unternehmen zusätzlich aus § 43 GmbHG und § 93 AktG, flankiert durch straf- und ordnungswidrigkeitenrechtliche Haftung.

Kernfragen deiner Organisationspflichten:

• Wer ist für welche Rechtsgebiete zuständig, insbesondere IT-Recht, Vergaberecht, Datenschutz, Informationssicherheit, Korruptionsprävention, Hinweisgeberschutz?
• Welche Prozesse gibt es, um Rechtsänderungen zu erkennen und umzusetzen?
• Wie werden Vorgaben an die Mitarbeitenden kommuniziert und geschult?
• Wie wird kontrolliert, ob Regeln eingehalten werden?
• Wie wird dokumentiert, was du organisiert hast?

Wichtige Bausteine:

1. Verantwortlichkeitsmatrix Du brauchst eine klare Zuordnung von Aufgaben, Kompetenzen und Verantwortungen, zum Beispiel:

• Vergabestelle: rechtssichere Durchführung von IT-Ausschreibungen, Dokumentation nach GWB, VgV, UVgO bzw. VOB/A
• IT-Abteilung: Umsetzung von Sicherheitsvorgaben, Softwarelizenz-Compliance
• Datenschutzbeauftragte bzw. Datenschutzstelle: Überwachung der Einhaltung der DSGVO, Beratung, DSFA
• Compliance- oder Rechtsstelle: zentrale Richtlinien, Grundsatzfragen, Koordination von Verdachtsfällen

2. Regelwerk und Richtlinien Dazu gehören zum Beispiel:

• IT-Compliance-Richtlinie: Umgang mit Software, Cloud-Diensten, Administratorrechten, BYOD
• Vergaberichtlinie: Abläufe, Schwellenwerte, Dokumentationsanforderungen, Vier-Augen-Prinzip
• Datenschutzrichtlinie: Rollen, Verarbeitungsverzeichnis, Meldewege bei Datenschutzpannen
• Richtlinie zum Hinweisgeberschutz: Meldekanäle nach HinSchG, Umgang mit Meldungen

3. Kontroll- und Eskalationsmechanismen

• Vier-Augen-Prinzip bei kritischen Entscheidungen (z. B. Zuschlagsentscheidung, Vergabe von Administratorrechten)
• Stichprobenkontrollen und Audits
• klare Eskalationspfade bei Verdachtsmomenten

Ohne solche Strukturen wird es im Haftungsfall schwer, nachzuweisen, dass du deine Organisationspflichten erfüllt hast.

Aufsichtspflichten: Delegation ersetzt nicht Kontrolle

Auch wenn du Aufgaben delegierst, bleiben dir Aufsichtspflichten. Für Leitungspersonen bedeutet das: Du musst geeignete Personen auswählen, anleiten und überwachen.

Drei typische Fehler:

1. „Papierdelegation“ ohne reale Befugnisse Eine Person wird formal zur Compliance-Verantwortlichen oder IT-Sicherheitsbeauftragten ernannt, hat aber weder Zeit, noch Ressourcen, noch Zugriff auf die nötigen Informationen. Haftungsrechtlich hilft dir diese Scheinorganisation kaum.

2. Unklare Schnittstellen Beispiel: Datenschutz und Informationssicherheit werden getrennt organisiert, ohne Abstimmung. Folge sind Lücken, etwa bei der Einführung neuer Cloud-Lösungen, wenn niemand sich für die datenschutzrechtliche Bewertung zuständig fühlt.

3. Keine systematische Kontrolle Delegation ist nur wirksam, wenn du in geeigneten Abständen überprüfst, ob Aufgaben erfüllt werden. Das muss nicht mikromanagementartig sein, aber nachvollziehbar und dokumentiert.

Praktisch bewährt sich ein jährlicher, strukturiert dokumentierter „Compliance-Check“ der wesentlichen Bereiche, zum Beispiel:

• Datenschutz: Stand der Verarbeitungsverzeichnisse, Schulungen, Meldungen von Datenschutzverletzungen
• Vergabe: Stichproben von Vergabeverfahren, Dokumentationslage, Einhaltung von Schwellenwerten
• IT-Compliance: Softwarelizenzen, Adminrechte, Nutzung externer Cloud-Dienste

Wirksame Delegation von Verantwortung: So gehst du vor

Delegation ist im öffentlichen Bereich und in Unternehmen unverzichtbar. Damit sie haftungsrechtlich trägt, sollte sie bestimmten Mindestanforderungen genügen.

Kriterien wirksamer Delegation

• Schriftlichkeit Die Übertragung wesentlicher Aufgaben sollte schriftlich erfolgen, etwa in einer Dienstanweisung oder Funktionsbeschreibung. Mündliche Absprachen sind schwer belegbar.

• Klarheit und Abgrenzung Es muss erkennbar sein, welche Aufgaben übertragen werden, welche Entscheidungsspielräume bestehen und wo Grenzen liegen. Beispiel: „Verantwortung für die operative Durchführung der IT-Beschaffungen bis zu einem Auftragswert von X Euro, einschließlich Dokumentation und Vergabevermerk.“

• Ausreichende Befugnisse und Mittel Wer Verantwortung trägt, braucht Zugriff auf die notwendigen Informationen, Systeme und Ressourcen. Ein „Verantwortlicher“ ohne Budget, ohne Zugriff auf Vertragsunterlagen und ohne Mitsprache bei der Systemauswahl ist faktisch nicht verantwortlich.

• Fachkunde und Schulung Du musst sicherstellen, dass die beauftragte Person die nötige Qualifikation hat oder erhält. Gerade bei komplexen Themen wie DSGVO, EVB-IT-Verträgen oder HinSchG-Meldestellen ist regelmäßige Fortbildung Pflicht.

• Kontrollmechanismen Delegation entbindet nicht von der Aufsicht. Es braucht vereinbarte Berichtswege, regelmäßige Besprechungen und bei Bedarf Stichprobenkontrollen.

Eine typische Konstellation im IT-Bereich: Die Behördenleitung delegiert an die IT-Leitung die Verantwortung für die Einhaltung von Lizenzbedingungen und für die Umsetzung der Informationssicherheitsvorgaben. Die IT-Leitung delegiert wiederum Teilaufgaben an Teamleitungen oder Administratoren, etwa für Patch-Management oder Benutzerberechtigungen. Jeder Delegationsschritt sollte nachvollziehbar dokumentiert sein.

Passende Seminare und Termine findest du bei uns auf cmt.de.

Grundzüge eines Compliance-Management-Systems in der Praxis

Ein CMS lässt sich gut in sieben Kernfunktionen gliedern. Die folgende Tabelle gibt dir einen kompakten Überblick:

Baustein	Inhalt in der Praxis (Beispiele IT & Verwaltung)
1. Kultur und Tone from the Top	Leitbild, klares Bekenntnis der Leitung zu Rechtstreue, Vorleben regelkonformen Verhaltens
2. Risikoanalyse	Identifikation von Rechtsrisiken, z. B. Vergabe, Datenschutz, IT-Sicherheit, Korruption
3. Regeln und Prozesse	Richtlinien, Dienstanweisungen, Prozessbeschreibungen, Zuständigkeiten
4. Schulung und Kommunikation	Pflichtschulungen, Merkblätter, Intranet-Seiten, Ansprechpartner benennen
5. Überwachung und Kontrolle	Audits, Stichproben, Kennzahlen, Berichte an die Leitung
6. Hinweisgebersystem	Interne Meldestelle nach HinSchG, vertrauliche Kanäle, Schutz der Hinweisgebenden
7. Reaktion und Sanktion	Standardisierte Reaktion auf Verstöße, Korrekturmaßnahmen, ggf. Disziplinarmaßnahmen

Wichtig ist, dass du nicht bei Baustein 3 stehen bleibst. In der Praxis gibt es häufig umfangreiche Richtlinien, aber kaum Schulung, Kontrolle oder Reaktion. Ein „Papiertiger-CMS“ bringt dir im Haftungsfall wenig.

Umgang mit Verdachtsfällen: Vom ersten Hinweis bis zur Dokumentation

Compliance wird im Ernstfall daran gemessen, wie du mit konkreten Verdachtsmomenten umgehst. Das gilt insbesondere bei:

• Verdacht auf Vergaberechtsverstöße
• Datenschutzverletzungen nach DSGVO
• Verstößen gegen Informationssicherheitsrichtlinien
• Korruptionsverdacht im Zusammenhang mit IT-Beschaffungen
• Hinweisen über interne Meldestellen nach HinSchG

Grundprinzipien für den Umgang mit Verdachtsfällen

1. Schnelle Sicherung von Informationen Unterlagen, E-Mails, Protokolle, Logdaten sollten frühzeitig gesichert werden, um nachträgliche Manipulationen auszuschließen. Dabei musst du Datenschutz und IT-Sicherheit beachten.

2. Trennung von Aufklärung und Sanktion Zuerst geht es um Sachverhaltsaufklärung, nicht um Schuldzuweisungen. Personelle Maßnahmen können nötig sein, sollten aber erst nach einer Mindestaufklärung erfolgen.

3. Einbindung der zuständigen Stellen Typischerweise: Rechtsabteilung oder Justiziariat, Datenschutzbeauftragte, ggf. IT-Sicherheit, Personalstelle, Compliance-Funktion, interne Revision. In gravierenden Fällen kann externe fachkundige Unterstützung sinnvoll sein.

4. Dokumentation des Vorgehens Du solltest nachvollziehbar festhalten:

• Wie ist der Verdacht entstanden?
• Welche Maßnahmen wurden wann ergriffen?
• Welche Ergebnisse hatten die Prüfungen?
• Welche Konsequenzen wurden gezogen?

Diese Dokumentation ist im Haftungsfall zentral. Sie zeigt, dass du deine Aufsichtspflichten ernst nimmst.

5. Meldungen an Aufsichtsbehörden prüfen Beispiel: Datenschutzverletzungen müssen nach Art. 33 DSGVO innerhalb von 72 Stunden an die Aufsichtsbehörde gemeldet werden, wenn ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Hier brauchst du klare interne Abläufe, um die Fristen zu halten.

Typischer Ablauf bei einem IT-bezogenen Verdachtsfall

Ein konkretes Beispiel: Eine Mitarbeiterin meldet, dass ein externer Dienstleister im Rahmen eines Wartungseinsatzes umfangreichen Zugriff auf personenbezogene Daten hatte, ohne dass ein Auftragsverarbeitungsvertrag existiert.

Möglicher Ablauf:

1. Eingang der Meldung dokumentieren, Hinweisgeberin schützen.
2. Zuständige Stellen einbinden: Datenschutzbeauftragte, IT-Leitung, ggf. Vergabestelle.
3. Bestehende Verträge prüfen, technische Zugriffsmöglichkeiten analysieren.
4. Bewertung, ob eine meldepflichtige Datenschutzverletzung vorliegt.
5. Ggf. Meldung an Aufsichtsbehörde und Information betroffener Personen.
6. Korrekturmaßnahmen: Abschluss eines Auftragsverarbeitungsvertrags, Anpassung des Berechtigungskonzepts, Schulung der betroffenen Bereiche.
7. Auswertung: Musst du Prozesse oder Richtlinien anpassen, um Wiederholungen zu verhindern?

Checkliste: Was du für ein belastbares Compliance-Management-System brauchst

Nutze die folgende Checkliste als pragmatische Grundlage für deine eigene Organisation:

• Es gibt eine aktuelle Übersicht über alle wesentlichen Rechtsgebiete mit Compliance-Relevanz, insbesondere im IT-Bereich.
• Zuständigkeiten sind schriftlich geregelt, inklusive Vertretungen.
• Es existiert mindestens ein zentrales Compliance-Dokument, das Grundsätze, Strukturen und Meldewege beschreibt.
• Für Vergaben, Datenschutz, IT-Sicherheit und Hinweisgeberschutz liegen konkrete, anwendbare Richtlinien vor.
• Mitarbeitende in sensiblen Bereichen erhalten regelmäßige Schulungen, die dokumentiert werden.
• Es gibt ein Vier-Augen-Prinzip für zentrale Entscheidungen, etwa Zuschlagserteilungen, Auswahl von Cloud-Diensten mit personenbezogenen Daten, Vergabe von Administratorrechten.
• Verdachtsfälle werden nach einem festgelegten Ablauf behandelt, einschließlich Dokumentation und Nachverfolgung von Maßnahmen.
• Die Leitung erhält mindestens einmal jährlich einen Bericht zu wesentlichen Compliance-Themen und Risiken.
• Das CMS wird regelmäßig überprüft und bei Rechtsänderungen oder Vorfällen angepasst.

Fazit: Compliance als Führungsaufgabe mit System

Compliance-Management ist keine Zusatzaufgabe „für nebenbei“, sondern Teil ordnungsgemäßer Leitungstätigkeit. Für Behörden und öffentliche Auftraggeber kommen komplexe Spezialmaterien wie Vergaberecht, IT-Recht, Datenschutz und Hinweisgeberschutz zusammen. Ohne klare Organisation, wirksame Delegation und definierte Reaktionswege riskierst du persönliche und institutionelle Haftungsfolgen.

Mit einem strukturierten CMS, das zu deiner Organisation passt, reduzierst du Risiken, schaffst Transparenz und erhöhst die Chance, dass Fehler früh erkannt und korrigiert werden. Entscheidend ist, dass du nicht nur Regelwerke schaffst, sondern Zuständigkeiten, Schulungen, Kontrollen und einen professionellen Umgang mit Verdachtsfällen etablierst.