Compliance-Outsourcing: BAG kippt Transparenzanspruch auf Berichte
Veröffentlicht am: 19.08.2026 um 20:54 Uhr | Redaktion boerse-global.de
Mittelständische Unternehmen sehen sich mit einer signifikant wachsenden Komplexität regulatorischer Anforderungen konfrontiert. Laut dem PwC Global Compliance Survey 2025, für den 1.800 Führungskräfte befragt wurden, berichten 85 Prozent der Befragten von einem gestiegenen Compliance-Umfang.
Vor diesem Hintergrund rückt das strategische Outsourcing von Compliance-Aufgaben zunehmend in den Fokus der Unternehmensführung, wobei hybride Modelle und eine präzise interne Steuerung als entscheidende Erfolgsfaktoren gelten.
Rechtliche Rahmenbedingungen und externe Meldestellen
Ein zentraler Aspekt des Outsourcings betrifft das Hinweisgeberschutzgesetz. Gemäß § 14 dieses Gesetzes ist die Einrichtung einer externen Meldestelle zulässig. Experten weisen jedoch darauf hin, dass die Pflicht zur Umsetzung von Folgemaßnahmen sowie die Gesamtverantwortung für die Compliance-Struktur weiterhin beim Unternehmen verbleiben.
Für die Einbindung externer Dienstleister gelten zudem seit 2017 verschärfte strafrechtliche Sorgfaltspflichten. Externe Partner werden nach § 203 StGB als mitwirkende Personen eingestuft.
Ein rechtssicherer Einsatz setzt voraus, dass die Beauftragung erforderlich ist, eine Verpflichtung in Textform nach § 203 Abs. 4 StGB erfolgt und der Dienstleister sorgfältig ausgewählt wurde. Eine einfache Auftragsverarbeitungsvereinbarung (AVV) reicht nach juristischer Einschätzung nicht aus, um den Anforderungen des Strafgesetzbuches gerecht zu werden.
Auch die Rechtsprechung des Bundesarbeitsgerichts (BAG) setzt Grenzen für die Transparenz in Compliance-Verfahren. In einem Urteil vom 16. April 2026 (Az. 8 AZR 169/25) wurde klargestellt, dass Art. 15 DSGVO keinen pauschalen Anspruch auf eine Kopie eines vollständigen Compliance-Berichts gewährt.
Der Auskunftsanspruch beziehe sich lediglich auf personenbezogene Daten; rechtliche Analysen seien hiervon ausgenommen. Eine Ausnahme bestehe nur dann, wenn das Dokument für das Verständnis der Daten zwingend erforderlich sei.
Wer die komplexen Anforderungen an interne Meldestellen sicher bewältigen möchte, erhält in diesem Praxisleitfaden konkrete Antworten auf die wichtigsten Umsetzungsfragen. Hinweisgeberschutzgesetz rechtssicher und DSGVO-konform umsetzen
Einsatz von Künstlicher Intelligenz und agentischen Systemen
Die Optimierung interner Ermittlungen erfolgt vermehrt durch generative Künstliche Intelligenz (KI). Diese Technologie ermöglicht es, große Datenmengen innerhalb weniger Stunden zu analysieren und Muster zu erkennen, wofür manuell oft Wochen benötigt würden. Dennoch hinkt die rechtliche Einordnung dieser technologischen Entwicklung laut Medienberichten hinterher.
Besondere Vorsicht ist beim Einsatz spezifischer KI-Modelle wie Claude geboten. Um die Vorgaben des § 203 StGB zu erfüllen, ist eine Nutzung nicht über den Browser oder die öffentliche API, sondern ausschließlich über spezialisierte Cloud-Umgebungen wie Amazon Bedrock innerhalb der EU (beispielsweise in der Region eu-central-1) möglich.
Pilotprojekte für den Einsatz solcher Systeme in Kanzleien werden mit einer Laufzeit von sechs Wochen und Kosten zwischen 40.000 und 80.000 Euro beziffert.
Angesichts der neuen rechtlichen Rahmenbedingungen für Technologien ist ein kompakter Überblick über Fristen und Risikoklassen für Verantwortliche unerlässlich. Kostenlosen Umsetzungsleitfaden zum EU AI Act jetzt herunterladen
Der aktuelle Optro-Bericht verdeutlicht zudem die Risiken agentischer KI-Systeme: 30 Prozent der Unternehmen weltweit und 25 Prozent in Deutschland haben bisher nicht getestet, welche Folgen ein Kontrollverlust über diese autonomen Systeme hätte. 36 Prozent der deutschen Unternehmen befürchten Schwierigkeiten bei der Verantwortungszuordnung.
Trotz einer Fehlerquote von 40 Prozent bei KI-Ergebnissen setzen bereits viele Firmen KI in geschäftskritischen Prozessen ein, wobei nur 18 Prozent aktive Maßnahmen zur Risikominimierung implementiert haben.
Cybersicherheit und persönliche Haftung
Die Anforderungen an die digitale Resilienz steigen auch durch die Umsetzung der NIS2-Richtlinie. Eine Studie unter 324 Entscheidern in der DACH-Region ergab, dass Ende 2025 noch 66 Prozent der Unternehmen die Vorgaben nicht vollständig umgesetzt hatten. Fast die Hälfte der Befragten bewertet die Umsetzung als schwierig.
Wie weitreichend die Konsequenzen unzureichender Cybersicherheit sein können, zeigt die italienische Gesetzgebung (D.Lgs. 138/2024). Hier haften Verwaltungsorgane persönlich für mangelhafte Schutzmaßnahmen. Die Sanktionen erreichen bei essentiellen Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes.
Angesichts dieser Herausforderungen verstärken Unternehmen ihre Expertise auf Führungsebene. So ernannte das Unternehmen Tricentis im August 2026 Erika Dean zur neuen Chief Information Security Officer (CISO). Mit über 20 Jahren Erfahrung in der Branche verantwortet sie künftig die Bereiche Cybersicherheit, Compliance und Produktsicherheit.
