Compliance Officer und General Counsel: Haftungsrisiken und was bei Hinweis, Durchsuchung oder Vorladung zu tun ist

Stand: Oktober 2026 · Zuletzt geprüft: 07.10.2026 · Nächste Überprüfung: April 2027

Dieser Leitfaden richtet sich an Compliance Officer, Chief Compliance Officer, General Counsel und Leiter der Rechtsabteilung, die ihr eigenes Risiko einschätzen müssen. Er ordnet die Schritte nach dem Anlass, vom Hinweis über die Meldestelle bis zur Kündigung. Beratungsmaßstab und Personalunion des Chefjuristen vertieft der Beitrag zur Haftung des General Counsel.

Haftungsrisiken des Compliance Officers: In welcher Lage stehen Sie?

Compliance-Officer-Haftung bezeichnet die persönliche straf-, bußgeld- oder zivilrechtliche Verantwortung eines Compliance-Verantwortlichen für die Verletzung eines konkret übernommenen Pflichtenkreises. Maßgeblich sind die tatsächlich übernommene Aufgabe und die eingeräumten Befugnisse.

Das persönliche Risiko eines Compliance Officers hängt von seiner Rolle und vom Anlass ab. Typische Anlässe sind ein Hinweis über die Meldestelle, eine Durchsuchung, eine Zeugenladung, ein eigener Beschuldigtenstatus, ein Konflikt mit der Geschäftsleitung und die Kündigung. In jedem dieser Anlässe stellen sich dieselben Fragen. Welchen Pflichtenkreis hat der Compliance Officer tatsächlich übernommen, was wusste er wann, und wie hat er reagiert?

Viele Compliance Officer tragen zusätzliche Funktionen. Wer die interne Meldestelle nach § 12 HinSchG betreut, ist dabei unabhängig und muss Interessenkonflikte vermeiden (§ 15 Abs. 1 HinSchG). Geldwäsche- und Datenschutzbeauftragte haben eigene gesetzliche Pflichten und einen eigenen Kündigungsschutz, wie der Beitrag zur Abgrenzung von Compliance Officer, Datenschutz- und Geldwäschebeauftragtem zeigt. Wie die Haftung des Compliance Officers mit Unternehmensgeldbuße und Organhaftung zusammenhängt, ordnet die Übersicht Das Fundament ein.

Garantenstellung des Compliance Officers: Was der BGH entschieden hat und was nicht

Eine Garantenpflicht im Sinne des § 13 Abs. 1 StGB kann insbesondere durch die tatsächliche Übernahme eines Pflichtenkreises entstehen. Der BGH hat 2009 ausgeführt, Compliance Officer werde „regelmäßig strafrechtlich eine Garantenpflicht im Sinne des § 13 Abs. 1 StGB treffen“, Straftaten aus dem Unternehmen heraus zu verhindern (BGH, Urt. v. 17.07.2009 – 5 StR 394/08, Rn. 27). Diese Passage trägt das Urteil nicht. Eine „derart weitgehende Beauftragung“ sah der Senat beim Angeklagten gerade nicht (Rn. 28).

Verurteilt wurde dort der Leiter der Rechtsabteilung und der Innenrevision einer Anstalt des öffentlichen Rechts, und zwar wegen Beihilfe durch Unterlassen zum Betrug. Seine Garantenpflicht folgte aus dem konkret übernommenen Verantwortungsbereich für ordnungsgemäße Abrechnungen. Für General Counsel und Leiter der Rechtsabteilung ist die Entscheidung deshalb besonders relevant, schematisch übertragbar ist sie nicht. Maßgeblich sind die übernommene Aufgabe, die eingeräumten Befugnisse und die Frage, ob der Auftrag auch vom Unternehmen ausgehende Rechtsverstöße erfasst.

Die spätere Rechtsprechung begrenzt die Garantenpflicht. Betriebsinhaber und Vorgesetzte haften nur für betriebsbezogene Taten, die einen inneren Zusammenhang mit der betrieblichen Tätigkeit aufweisen (BGH, Urt. v. 20.10.2011 – 4 StR 71/11). Die Pflichten eines Vorstands aus § 93 AktG bestehen grundsätzlich nur gegenüber der Gesellschaft und nicht gegenüber Dritten (BGH, Beschl. v. 09.09.2025 – 5 StR 244/25). Ob die interne Compliance-Aufgabe eine strafrechtliche Pflicht zum Schutz Dritter begründet, ist damit offen.

Bußgeld- und Zivilhaftung

Ordnungswidrigkeitenrechtlich kann der Compliance Officer Adressat der Aufsichtspflicht werden, wenn er ausdrücklich beauftragt ist, in eigener Verantwortung Aufgaben des Inhabers wahrzunehmen (§ 9 Abs. 2 S. 1 Nr. 2 OWiG). Die Compliance-Funktion allein oder eine rein beratende Zuständigkeit genügt dafür nicht. Eine Aufsichtspflichtverletzung nach § 130 OWiG kann dann bis zu einer Million Euro kosten, wenn die verletzte Pflicht strafbewehrt ist. Übt er Kontrollbefugnisse in leitender Stellung aus, kann er Leitungsperson nach § 30 Abs. 1 Nr. 5 OWiG sein. Eine von ihm begangene Straftat kann dann eine Geldbuße gegen das Unternehmen von bis zu zehn Millionen Euro auslösen.

Zivilrechtlich haftet der angestellte Compliance Officer dem Arbeitgeber nur, wenn er die Pflichtverletzung zu vertreten hat (§ 619a BGB). Die Beweislast dafür trägt der Arbeitgeber. Eine Beweislastumkehr wie beim Vorstand (§ 93 Abs. 2 S. 2 AktG) gilt für ihn nicht. Eine allgemeine Pflicht zur Strafanzeige hat der Compliance Officer nicht, denn § 138 StGB erfasst Betrug, Untreue, Bestechung und Steuerhinterziehung nicht.

Schritt 1: Einen Hinweis fristgerecht bearbeiten und dokumentiert eskalieren

Bestätigen Sie einen Hinweis spätestens nach sieben Tagen und geben Sie innerhalb von drei Monaten nach der Bestätigung eine Rückmeldung (§ 17 HinSchG). Wahren Sie die Vertraulichkeit der hinweisgebenden und der genannten Personen, auch gegenüber der Geschäftsleitung, soweit diese nicht für Folgemaßnahmen zuständig ist (§ 8 Abs. 1 HinSchG). Die Ausnahmen des § 9 HinSchG bleiben unberührt. Ein Verstoß gegen die Vertraulichkeit ist schon bei Fahrlässigkeit bußgeldbewehrt (§ 40 Abs. 4 HinSchG).

Ein konkreter Verdacht löst die Prüf- und Eskalationspflichten aus, die zum übernommenen Aufgabenbereich gehören. Halten Sie die selbst gesetzte Verfahrensordnung ein, binden Sie Revision oder externe Untersucher ein und eskalieren Sie schriftlich an die vorgesehene Stelle. Betrifft der Verdacht die Geschäftsleitung, ist das zuständige Aufsichtsorgan einzubeziehen. In der Aktiengesellschaft ist das der Aufsichtsrat, wie der Beitrag zur Rolle des Aufsichtsrats bei Verdacht gegen den Vorstand beschreibt. Als Folgemaßnahme kommt eine interne Untersuchung im Unternehmen in Betracht (§ 18 Nr. 1 HinSchG).

Bewertungen in E-Mails und Vermerken sind grundsätzlich beschlagnahmefähig und dokumentieren den eigenen Kenntnisstand. Das ArbG Offenbach hat die ordentliche Kündigung eines Compliance Officers für wirksam gehalten, der die eigene Verfahrensordnung übergangen und einen Hinweis in E-Mails verharmlost hatte (Urt. v. 25.11.2025 – 3 Ca 222/25). Betrifft der Hinweis eigene frühere Freigaben, geben Sie die Bearbeitung ab. Welche Neuerungen für Meldestellen gelten, behandelt der Beitrag zu den Änderungen des Hinweisgeberschutzgesetzes.

Schritt 2: Bei einer Durchsuchung Ansprechpartner sein, nicht Verteidiger

Ziehen Sie bei einer Durchsuchung sofort eine externe Unternehmensverteidigung hinzu und machen Sie selbst keine Angaben zur Sache. Ein Syndikusrechtsanwalt darf in Straf- und Bußgeldverfahren gegen den Arbeitgeber oder dessen Mitarbeiter weder als Verteidiger noch als Vertreter auftreten (§ 46c Abs. 2 S. 2 BRAO). Bei einem unternehmensbezogenen Tatvorwurf gilt das auch für eine daneben bestehende Zulassung als Rechtsanwalt. Den Ablauf aus Unternehmenssicht beschreibt der Beitrag zur Durchsuchung im Unternehmen.

Unterlagen der Rechts- und der Compliance-Abteilung sind nicht allein wegen ihrer Herkunft vor Beschlagnahme geschützt. Syndikusrechtsanwälte haben für das, was ihnen in dieser Eigenschaft anvertraut wurde, kein Zeugnisverweigerungsrecht (§ 53 Abs. 1 S. 1 Nr. 3 StPO), und § 97 StPO knüpft den Beschlagnahmeschutz an dieses Recht. Auch für eine extern beauftragte Untersuchungskanzlei gibt es kein pauschales Legal Privilege. Das BVerfG hat es nicht beanstandet, dass § 97 Abs. 1 Nr. 3 StPO grundsätzlich nur das Vertrauensverhältnis zum Beschuldigten des konkreten Verfahrens schützt (Beschl. v. 27.06.2018 – 2 BvR 1405/17). Die Reichweite des Beschlagnahmeschutzes nach § 97 StPO behandelt ein eigener Beitrag. Nennt der Durchsuchungsbeschluss Sie selbst als Beschuldigten, gelten die Schritte aus dem Beitrag zu den ersten 48 Stunden des Compliance Officers im Ermittlungsverfahren.

Schritt 3: Bei einer Zeugenladung den eigenen Status klären

Erscheinen Sie auf Ladung der Staatsanwaltschaft und klären Sie vorher mit einem eigenen Zeugenbeistand, ob Sie wirklich nur Zeuge sind. Vor der Staatsanwaltschaft besteht eine Pflicht zu erscheinen und auszusagen (§ 161a Abs. 1 StPO). Vor der Polizei gilt das nur, wenn der Ladung ein Auftrag der Staatsanwaltschaft zugrunde liegt (§ 163 Abs. 3 StPO). Der anwaltliche Beistand darf bei der Vernehmung anwesend sein (§ 68b Abs. 1 StPO). Auf Fragen, deren Beantwortung Sie selbst der Gefahr der Verfolgung aussetzen würde, dürfen Sie die Auskunft verweigern (§ 55 StPO).

Für den Syndikusrechtsanwalt ist § 55 StPO regelmäßig das zentrale Schutzrecht. Ob ein Zeuge in Wahrheit als Beschuldigter zu vernehmen ist, beurteilen die Ermittler nach der Verdachtslage mit einem gerichtlich überprüfbaren Beurteilungsspielraum. Überschreiten sie ihn und unterbleibt die gebotene Beschuldigtenbelehrung, kann ein Verwertungsverbot bestehen. In der Hauptverhandlung setzt es einen rechtzeitigen Widerspruch voraus (BGH, Urt. v. 03.07.2007 – 1 StR 3/07). Den Übergang vom Zeugen zum Beschuldigten behandelt der Beitrag zur Inkulpation nach § 55 StPO. Verlangt die Staatsanwaltschaft die Identität eines Hinweisgebers, darf die Meldestelle sie herausgeben (§ 9 Abs. 2 S. 1 Nr. 1 HinSchG). Die hinweisgebende Person ist vorab zu informieren, soweit das die Ermittlungen nicht gefährdet.

Schritt 4: Wird gegen Sie ermittelt, schweigen und die Kosten klären

Schweigen Sie als Beschuldigter bis zur Akteneinsicht und beauftragen Sie einen eigenen Verteidiger, der weder das Unternehmen noch die Untersuchungskanzlei vertritt. Die Verteidigung prüft an dieser Stelle zuerst, ob überhaupt ein Pflichtenkreis zum Schutz Dritter übernommen wurde. Danach geht es um die Betriebsbezogenheit der Haupttat, die konkrete Handlungsmöglichkeit und den Vorsatz. Eine dokumentierte Eskalation kann belegen, dass die eigene Pflicht erfüllt wurde. Die Schritte nach einer Ladung als Beschuldigter beschreibt der Leitfaden zur Vorladung im Wirtschaftsstrafverfahren.

Klären Sie früh, wer die Verteidigung bezahlt. Nach den GDV-Musterbedingungen sind nur Mitglieder von Aufsichtsrat, Vorstand und Geschäftsführung versicherte Personen (AVB D&O A-1). Ein angestellter Compliance Officer ist nur versichert, wenn die konkrete Police den Kreis erweitert. Verteidigerkosten im Strafverfahren trägt der Versicherer, wenn die Pflichtverletzung einen versicherten Haftpflichtanspruch zur Folge haben kann und er die Bestellung des Verteidigers wünscht oder genehmigt (A-6.1). Der Versicherungsfall ist unverzüglich anzuzeigen. Die Einzelheiten behandelt der Beitrag zur D&O-Versicherung im Strafverfahren.

Will die Untersuchungskanzlei des Unternehmens Sie befragen, gilt dieselbe Vorsicht. In Verfahren gegen Unternehmen zeigt sich erfahrungsgemäß, dass Ermittler die E-Mails des Compliance Officers früh auswerten, weil sie den Kenntnisstand der Organisation abbilden. Ob arbeitsrechtlich erzwungene Angaben im Strafverfahren verwertbar sind, ist nicht abschließend geklärt. Was Mitarbeiter in einer internen Befragung schulden, behandelt der Beitrag zur Aussagepflicht von Mitarbeitern in der internen Untersuchung.

Schritt 5: Im Konflikt mit der Geschäftsleitung schriftlich widersprechen

Widersprechen Sie schriftlich und mit Datum, wenn die Geschäftsleitung einen Hinweis blockiert, Ressourcen verweigert oder Untätigkeit anordnet, und eskalieren Sie an das zuständige Aufsichtsorgan, etwa Aufsichtsrat oder Prüfungsausschuss. Die mit der Meldestelle beauftragten Personen sind in ihrer Tätigkeit unabhängig (§ 15 Abs. 1 HinSchG). Wer eine Meldung behindert, begeht eine Ordnungswidrigkeit mit Geldbuße bis zu 50.000 Euro (§ 40 Abs. 2 Nr. 1, Abs. 6 HinSchG).

Meldet der Compliance Officer selbst einen Verstoß, schützt ihn das Repressalienverbot des § 36 Abs. 1 HinSchG. Macht er danach geltend, eine berufliche Benachteiligung sei Folge seiner Meldung, wird vermutet, dass sie eine Repressalie ist (§ 36 Abs. 2 HinSchG). Der Arbeitgeber kann diese Vermutung widerlegen. Die bloße Kenntnis eines Verstoßes ohne Meldung oder Offenlegung genügt nicht (BAG, Urt. v. 04.12.2025 – 2 AZR 51/25). Zeitpunkt und Inhalt der Meldung sind deshalb belegbar festzuhalten. Ob ein General Counsel als Syndikusrechtsanwalt extern melden darf, ist wegen des Vorrangs der anwaltlichen Verschwiegenheit offen (§ 5 Abs. 2 Nr. 3 HinSchG).

Schritt 6: Bei Kündigung oder Abberufung die Fristen wahren

Erheben Sie Kündigungsschutzklage innerhalb von drei Wochen nach Zugang der schriftlichen Kündigung (§ 4 S. 1 KSchG). Prüfen Sie, ob der Arbeitgeber die Zwei-Wochen-Frist für eine außerordentliche Kündigung eingehalten hat (§ 626 Abs. 2 BGB) und ob der Betriebsrat angehört wurde. Im Fall des ArbG Offenbach scheiterte die erste fristlose Kündigung an der fehlenden Anhörung des Betriebsrats, weil der Compliance Officer kein leitender Angestellter war. Die zweite scheiterte an der Zwei-Wochen-Frist. Einen allgemeinen Sonderkündigungsschutz hat der Compliance Officer anders als der Geldwäschebeauftragte (§ 7 Abs. 7 GwG) und der pflichtig benannte Datenschutzbeauftragte (§ 38 Abs. 2, § 6 Abs. 4 BDSG) nicht.

Stimmen Sie den Sachvortrag im Kündigungsschutzprozess mit Ihrem Verteidiger ab. Schriftsätze zum Hergang können der Staatsanwaltschaft und dem Arbeitgeber als Einlassung dienen. Wie das ArbG Offenbach die Pflichten eines Compliance Officers gewichtet hat, zeigt der Beitrag zum Urteil des ArbG Offenbach zur Kündigung eines Compliance Officers.

Die Fehler, die nicht mehr zu reparieren sind

Der Entscheidungspunkt für einen Compliance Officer ist erreicht, sobald ein konkreter Verdacht den eigenen Verantwortungsbereich oder die eigene frühere Tätigkeit berührt. Wer dann nicht dokumentiert eskaliert, schafft die Grundlage eines Unterlassensvorwurfs. Wer sich zur Sache äußert, bevor seine eigene Rolle mit einem eigenen Verteidiger geklärt ist, liefert Angaben, die beschlagnahmefähig und verwertbar bleiben.

• Hinweis liegen lassen oder verharmlosen. Untätigkeit trotz eigener Zuständigkeit trägt den Unterlassensvorwurf, verharmlosende E-Mails werden zum Beweismittel.
• Aussage als Zeuge ohne Statusprüfung. Angaben bleiben verwertbar, wenn die Ermittler ihren Beurteilungsspielraum nicht überschritten haben oder kein rechtzeitiger Widerspruch erfolgt.
• Berufung auf ein Legal Privilege für Inhouse-Unterlagen. Für Syndikuswissen besteht kein Zeugnisverweigerungsrecht und deshalb kein daran anknüpfender Beschlagnahmeschutz.
• Verteidigung von Kollegen durch den Syndikus. Sie ist nach § 46c Abs. 2 S. 2 BRAO unzulässig.
• Verlass auf die D&O-Police. Ohne Erweiterung der Police ist der angestellte Compliance Officer nach den Musterbedingungen nicht versichert, ohne Genehmigung des Versicherers bleibt der Verteidiger unbezahlt.
• Ungesteuerter Vortrag im Kündigungsschutzprozess. Er fließt in die Ermittlungsakte.

Was die Gerichte zu den Haftungsrisiken von Compliance Officer und Rechtsabteilung zuletzt entschieden haben

• BAG, Urt. v. 04.12.2025 – 2 AZR 51/25. Der Hinweisgeberschutz des § 36 HinSchG verlangt einen ursächlichen Zusammenhang zwischen Benachteiligung und Meldung oder Offenlegung, den Abs. 2 widerlegbar vermutet. Die bloße Kenntnis eines Verstoßes reicht nicht.
• ArbG Offenbach, Urt. v. 25.11.2025 – 3 Ca 222/25. Die hilfsweise ordentliche Kündigung eines Compliance Officers war wirksam, die beiden fristlosen Kündigungen nicht. Gegen die erstinstanzliche Entscheidung ist Berufung eingelegt.
• BGH, Beschl. v. 09.09.2025 – 5 StR 244/25. Betrug durch Unterlassen setzt voraus, dass der Täter für die Entscheidungsfreiheit der Opfer „auf Posten gestellt“ ist. Die Pflichten des Vorstands aus § 93 AktG genügen dafür nicht ohne Weiteres.
• BVerfG, Beschl. v. 27.06.2018 – 2 BvR 1405/17. Unterlagen einer internen Untersuchung durften bei der beauftragten Kanzlei beschlagnahmt werden. Der Beschlagnahmeschutz des § 97 Abs. 1 Nr. 3 StPO erfasst grundsätzlich nur das Vertrauensverhältnis zum Beschuldigten des konkreten Verfahrens.
• BGH, Urt. v. 17.07.2009 – 5 StR 394/08. Der Leiter der Innenrevision einer Anstalt des öffentlichen Rechts kann verpflichtet sein, betrügerische Abrechnungen zu unterbinden. Die Aussage zur Garantenpflicht von Compliance Officern ist nicht tragend.

Ob ein Hinweis als erledigt gelten darf und was der Compliance Officer der Untersuchungskanzlei oder den Ermittlern sagt, entscheidet sich vor der Klärung seiner eigenen Rolle. Diese Fragen mit einem eigenen Verteidiger zu besprechen, der nicht zugleich das Unternehmen vertritt, ist an dieser Stelle der übliche Weg.

Quellen

• BAG, Urt. v. 04.12.2025 – 2 AZR 51/25 · bundesarbeitsgericht.de
• ArbG Offenbach, Urt. v. 25.11.2025 – 3 Ca 222/25 · Open Legal Data · Pressemitteilung Nr. 02/2026 vom 26.01.2026 · arbeitsgerichtsbarkeit.hessen.de
• BGH, Beschl. v. 09.09.2025 – 5 StR 244/25 · HRRS
• BVerfG, Beschl. v. 27.06.2018 – 2 BvR 1405/17 u. a. · dejure.org
• BGH, Urt. v. 20.10.2011 – 4 StR 71/11 · HRRS
• BGH, Urt. v. 17.07.2009 – 5 StR 394/08, BGHSt 54, 44 · HRRS
• BGH, Urt. v. 03.07.2007 – 1 StR 3/07, BGHSt 51, 367 · HRRS
• GDV, Allgemeine Versicherungsbedingungen für die Vermögensschaden-Haftpflichtversicherung von Aufsichtsräten, Vorständen und Geschäftsführern (AVB D&O), Musterbedingungen Stand Mai 2020 · gdv.de