Compliance-Leitstand
Ihr Compliance-Cockpit. Audit-ready.
Compliance-Strukturen für Mittelständler — DSGVO, GwG, MaRisk, HinSchG. Jede Anforderung als Route: Ist → Soll → Nachweis. Kein Theater. Strukturiert. Transparent.
Sechs Domains. Ein Cockpit.
DSGVO / BDSG-Compliance
Verarbeitungsverzeichnis, Datenschutzbeauftragter, AV-Verträge. Bußgelder bis 20 Mio. EUR oder 4% Jahresumsatz vermeiden. DSGVO-konform, revisionsfähig.
- Verarbeitungsverzeichnis nach Art. 30 DSGVO
- Datenschutzbeauftragter: Bestellung oder extern
- AV-Verträge nach Art. 28 DSGVO
- 72h Data Breach Notification
Geldwäscheprävention (GwG)
Jährliche Risikoanalyse nach § 5 GwG, KYC-Prozesse, Verdachtsmeldung an FIU, Transparenzregister. BaFin-konforme Strukturen — kein Formularwesen.
- Jährliche Risikoanalyse nach GwG § 5
- Geldwäschebeauftragter: Bestellung und Qualifikation
- Verdachtsmeldungen an FIU beim Zoll
- KYC-Prozesse und Transparenzregister
Hinweisgebersystem (HinSchG)
Anonyme Meldekanäle, Eingangsbestätigung in 7 Tagen, Rückmeldung in 3 Monaten. Vollständiger Prozess, nicht nur Portal. Bußgeld bis 50.000 EUR vermeiden.
- Anonyme Meldekanäle: digital, postalisch, persönlich
- 7 Tage Bestätigung, 3 Monate Rückmeldung
- Repressalienschutz und Folgemanagement
- Schulung der Belegschaft
Lieferkettensorgfalt (LkSG)
Lieferanten-Risikoscreening, Präventionsmaßnahmen, BAFA-Bericht. Sorgfaltspflichten dokumentiert. Bußgeld bis 2% Jahresumsatz vermeiden.
- Lieferanten-Risikoscreening nach LkSG
- Präventionsmaßnahmen vertraglich verankert
- Beschwerdeverfahren für Betroffene
- Jährlicher BAFA-Bericht
Risikomanagement (KonTraG/MaRisk)
Risikoinventur, Frühwarnindikatoren, halbjährliche Berichterstattung. KonTraG-konform. Geschäftsleiterhaftung nach § 91 Abs. 2 AktG minimieren.
- Risikoinventur: Wahrscheinlichkeit × Schadenshöhe
- Frühwarnindikatoren und Schwellenwerte
- KonTraG-konforme Berichterstattung
- Risikolandkarte für Vorstand
CMS-Prüfungsvorbereitung (IDW PS 980)
Konzeption, Angemessenheit, Wirksamkeit. Lücken identifizieren, Remediation-Plan mit Fristen. Vom ersten Gap bis zum uneingeschränkten Testat.
- Gap-Analyse mit Remediation-Plan
- Audit-fähige Dokumentation
- Begleitung durch das Prüfverfahren
- Nachbereitung und Verbesserung
- Audit-ready ab Erstgespräch
- DSGVO-konforme Verarbeitung
- Feste Preise, kein Tagessatz
- 120+ CMS-Implementierungen
Drei Prinzipien. Ein System.
- 01
Cockpit-Prinzip: Status auf einen Blick
Jeder Compliance-Bereich hat seinen Platz im Dashboard. Status, Meilensteine, Lücken — sichtbar. Keine Excel-Listen. Gauges und Ampelfarben für Vorstand und Beirat.
- 02
Route-System: Von Ist zu Soll zu Nachweis
Jede Anforderung als Route: Ist erfassen → Soll aus Regularie → Maßnahmen → Nachweis. Verantwortliche, Fristen, Eskalationspfade. Kein Baustein fehlt.
- 03
Audit-Trail: Dokumentation als Standard
Jede Maßnahme, jeder Nachweis, jede Frist — kontinuierlich dokumentiert. Bei Prüfung oder BaFin-Anfrage: Historie exportieren, fertig. Revisionssicher. Kein Nachreichen.
Sechs Domains. Ein Cockpit.
Jeder Compliance-Bereich als Route. Kein Baustein fehlt. Für Mittelständler (50–500 MA) — reguliert und audit-pflichtig, ohne Großkanzlei-Budget.
DSGVO / BDSG-Compliance
- Verarbeitungsverzeichnis, Datenschutzbeauftragter, AV-Verträge.
- Bußgelder bis 20 Mio.
- EUR oder 4% Jahresumsatz vermeiden.
- DSGVO-konform, revisionsfähig.
Geldwäscheprävention (GwG)
- Jährliche Risikoanalyse nach § 5 GwG, KYC-Prozesse, Verdachtsmeldung an FIU, Transparenzregister.
- BaFin-konforme Strukturen — kein Formularwesen.
Hinweisgebersystem (HinSchG)
- Anonyme Meldekanäle, Eingangsbestätigung in 7 Tagen, Rückmeldung in 3 Monaten.
- Vollständiger Prozess, nicht nur Portal.
- Bußgeld bis 50.000 EUR vermeiden.
Die wichtigsten Fragen
Kann ich als Geschäftsführer persönlich haftbar gemacht werden?+
Ja. § 130 OWiG macht Geschäftsführer persönlich haftbar bei Aufsichtspflichtverletzung — Bußgelder bis 10 Mio. EUR. D&O-Versicherung deckt das idR nicht ab. Ein funktionierendes, dokumentiertes CMS ist der wirksamste Schutz vor persönlicher Inanspruchnahme nach § 43 GmbHG.
Was verlangt das HinSchG konkret für unser Hinweisgebersystem?+
HinSchG verlangt: Meldekanal für anonyme Meldungen, Eingangsbestätigung binnen 7 Tagen, Rückmeldung an Hinweisgeber binnen 3 Monaten, vollständiger Repressalienschutz. Ein Meldeportal allein reicht nicht — der gesamte Prozess muss stehen, sonst Bußgeld bis 50.000 EUR.
ISO 37301-Zertifikat vs. gelebtes CMS — worauf achten Prüfer?+
Ein Zertifikat ohne gelebtes CMS schützt nicht. Bei BaFin-Prüfung oder OWiG-Verfahren zählt nachweisbare Wirksamkeit (IDW PS 980 Stufe 3), nicht formale Bescheinigung. Zertifikatsillusion ist ein häufiger Befund — Prüfer erkennen den Unterschied sofort.
Was kostet der Aufbau eines vollständigen CMS für 200 MA?+
Für Mittelständler (100–500 MA): 80.000–180.000 EUR über 6–9 Monate. Umfasst Risikoanalyse, Richtlinien, Schulungen, Hinweisgebersystem, externe Beratung. Laufende Pflege: ca. 30.000–60.000 EUR jährlich.
Wie läuft eine IDW PS 980-Prüfung ab?+
Drei Stufen: Konzeption (Stufe 1), Angemessenheit (Stufe 2), Wirksamkeit (Stufe 3). Mittelständler starten meist mit Stufe 2. Budget: 15.000–35.000 EUR. Stufe 3 prüft Wirksamkeit im Geschäftsalltag.
Was kostet eine BaFin-Sonderprüfung nach § 44 KWG?+
Kosten trägt das geprüfte Unternehmen. Tagessatz externe Prüfer: 1.500–3.000 EUR. Mehrmonatige Prüfung summiert sich auf 200.000–800.000+ EUR. Ein funktionierendes CMS reduziert Prüfungsdauer und -kosten erheblich.
Keine Überraschungen bei der nächsten Prüfung
Compliance-Lücken sind kein Zufall — sie sind fehlende Struktur. Jetzt prüfen, bevor es ein Prüfer tut. Geschäftsleiterhaftung vermeiden.