bestimmten Schwellenwerten (z.B. Unternehmen ab 50 Arbeitnehmern und Gemeinden ab 10.000 Einwohnern) u.a. verpflichtet sein, Hinweisgebersysteme einzurichten und hierfür interne Meldekanäle vorzuhalten. Diverse Einzelfragen wie etwa der Schutzumfang für den Hinweisgeber sind noch nicht abschließend geklärt: Dies gilt insbesondere im Hinblick auf (konfligierende) Pflichten zur Vertraulichkeit nach dem Geschäftsgeheimnisgesetz (GeschGehG), da auch Informationen zu etwaigen Rechtsverstößen als Geschäftsgeheimnisse angesehen werden können.62 Das Geschäftsgeheimnisgesetz, das am 26.4.2019 in Kraft getreten ist, verpflichtet Unternehmen zu angemessenen Geheimhaltungsmaßnahmen in Bezug auf Geschäftsgeheimnisse (§ 2 Nr. 1 lit. b GeschGehG) und erweitert damit ebenfalls den Katalog erforderlicher Compliance-Maßnahmen.63
13
Rechts- und Compliance-Risiken sind ferner bei Wachstumsstrategien, etwa beim Erwerb von Unternehmen und Restrukturierungsmaßnahmen oder beim Eintritt in Joint Ventures zu beachten („Compliance Due Diligence“).64 Dabei gewinnt auch die proaktive Compliance-Kontrolle von Geschäftspartnern, Vertriebsmittlern und sonstigen Intermediären immer größere Bedeutung („Business Partner Compliance“).65
14
Exportorientierte Unternehmen müssen zahlreiche Vorgaben des Außenwirtschaftsrechts sowie im anwendbaren Umfang auch die Normen anderer Rechtsordnungen beachten.66 Zu zahlreichen nationalen Vorgaben und solchen des Unionsrechts kommen darüber hinaus normative Anforderungen anderer Rechtsordnungen bei einem grenzüberschreitenden Bezug der Unternehmenstätigkeit hinzu.67
15
Im Rahmen arbeitsteiliger (häufig internationaler) Produktion spielen zudem Compliance-Risiken von Geschäftspartnern (Stichwort: „Compliance in der Lieferkette“) eine immer größere Rolle.68 Während es in anderen Rechtsordnungen hierzu bereits (zum Teil auch extraterritorial anwendbare) Normen gibt, greift auch der deutsche Gesetzgebers das Thema auf, wie das derzeit von der Bundesregierung geplante „Lieferketten-Gesetz“ verdeutlicht.69 In Ausführung des „Nationalen Aktionsplans“ (NAP) zur Umsetzung der Leitprinzipien für Wirtschaft und Menschenrechte von 2016 soll für Unternehmen mit mehr als 500 Beschäftigten unter anderem eine sog. „menschenrechtliche Sorgfaltspflicht“ („Human Rights Due Diligence“) eingeführt werden. Danach sollen die betroffenen Unternehmen ihre Lieferketten unter anderem einer fortlaufende Risikoanalyse und Bewertung der Verletzungsrisiken in Bezug auf Menschenrechte unterziehen, angemessene Präventions- bzw. Abhilfemaßnahmen sowie einen Beschwerdemechanismus zugunsten von Betroffenen einführen und bestimmte Dokumentations- und Berichtspflichten einführen. Durch diese neuen Compliance-Pflichten in Bezug auf die Wertschöpfungsnetzwerke werden die Strukturen und Prozesse der Geschäftspartner-Prüfung („Business Partner Screening“) weiter an Bedeutung gewinnen.
16
Weitere rechtliche Anforderungen richten sich nach der jeweiligen Branche sowie einzelfallspezifischen Faktoren wie Unternehmensgröße, Unternehmensstruktur, Geschäftsmodell oder internationaler Geschäftstätigkeit.70
6. Erweiterung von Organisationspflichten durch Gerichte
17
Auch die Gerichte schaffen bzw. erweitern kontinuierlich ein umfangreiches rechtliches Pflichtenspektrum für Unternehmen und Verbände sowie deren Leitungsorgane.71 Die Haftung von Geschäftsleitern für Fehlverhalten (sog. Organhaftung) wurde kontinuierlich ausgeweitet,72 die Gerichte haben weitreichende Anforderungen auf der Basis sogenannter Unternehmensorganisationspflichten, Verkehrssicherungspflichten und Garantenpflichten entwickelt.73 Die Reichweite dieser Pflichten und ihre Anwendung im jeweiligen Einzelfall sind für Unternehmer und Geschäftsleiter einerseits nicht immer eindeutig vorhersehbar, andererseits stellt die Verletzung dieser Pflichten ein dauerhaftes Risiko unternehmerischer Tätigkeit dar.74 Bei juristischen Haftungsfragen in Fällen von „Non-Compliance“ steht häufig die Verletzung rechtlicher Organisationsanforderungen an die Geschäftsleitung im Mittelpunkt.75 Nach der Leitentscheidung des Landgerichts München vom 10.12.2013 muss das Vorstandsmitglied einer AG im Rahmen seiner Legalitätspflicht dafür sorgen, dass ein Unternehmen so organisiert wird, dass keine Gesetzesverletzungen erfolgen.76 Seine Organisationspflicht zur Verhinderung von Rechtsverletzungen erfüllt der Vorstand, „wenn er eine auf Schadensprävention und Risikokontrolle angelegte Compliance-Organisation einrichtet“, die der jeweiligen Gefährdungslage entspricht.77 Die Ausführungen des Gerichts zur Compliance-Verantwortung des Vorstands als Kollegialorgan und zur Compliance-Verantwortung der einzelnen Vorstandsmitglieder lassen sich in den Kontext der Organisationspflichten im Unternehmen einordnen.78 Dabei orientiert sich das Gericht an den Leitlinien zur Compliance-Verantwortung der Unternehmensleitung, welche Wissenschaft und Praxis formuliert haben.79
7. Beachtung von Compliance-Anforderungen anderer Rechtsordnungen
18
Für international tätige Unternehmen können sich Anforderungen und Vorgaben für das Compliance Management auch aus anderen Rechtsordnungen ergeben. Dies gilt insbesondere für Compliance-Anforderungen des anglo-amerikanischen Rechts, da die extraterritoriale Geltung häufig bereits bei geringfügiger (Geschäfts-)Verbindung mit anderen Rechtsordnungen eintritt.80 Die erforderliche Berücksichtigung der Compliance-Anforderungen der jeweils anwendbaren Rechtsordnung erhöht einerseits die Komplexität der Konzeption und Ausgestaltung des Compliance Managements. Andererseits können derartige Vorgaben als wertvolle Orientierungshilfen dienen, wie sich am Beispiel des anglo-amerikanischen Rechts zeigen lässt (siehe dazu unter Rn. 47ff.).
8. Compliance Management im Kontext aktueller Entwicklungen von
Corporate Governance und Corporate Social Responsibility
19
Zur wachsenden Bedeutung von Compliance Management tragen auch ein erweitertes Verständnis und höhere Erwartungen der Stakeholder in Bezug auf verantwortungsvolle Unternehmensführung bei.81 Dies zeigen aktuelle Diskussionen zu Corporate Governance und Corporate Social Responsibility (CSR).82 Unternehmen und Verbände sehen sich immer stärker mit normativen Anforderungen und Erwartungen ihrer Geschäftspartner konfrontiert, ebenso wie mit solchen ihrer Bezugsgruppen bzw. Stakeholder (Mitarbeiter, Kunden, Lieferanten, Investoren etc.) und der Öffentlichkeit im Hinblick auf ein verantwortungsvolles, d.h. integres und ethisch einwandfreies Geschäftsverhalten.83 Die Grenzen zwischen rechtlichen Anforderungen und Anforderungen der Corporate Social Responsibility (CSR) sind teilweise fließend, im Hinblick auf notwendige Maßnahmen der Unternehmen und Verbände für ihren Image- und Reputationsschutz aber in vielen Fällen von vergleichbarer Bedeutung.84
20
Der Deutsche Corporate Governance Kodex (DCKG)85 als sog. „Soft Law“ stellt auf den Zusammenhang mit Compliance und CSR an verschiedenen Stellen ab. So heißt es etwa in Abs. 1 Satz 3 der Präambel, die Prinzipien (der sozialen Marktwirtschaft unter Berücksichtigung der Belange der Aktionäre, der Belegschaft und der sonstigen Stakeholder) verlangten nicht nur Legalität, sondern auch ethisch fundiertes, eigenverantwortliches Verhalten (Leitbild des Ehrbaren Kaufmanns). Wenngleich die Aufnahme dieser Formulierung ebenso wie die Orientierung am Leitbild des Ehrbaren Kaufmanns kontrovers diskutiert werden, wird die wachsende Bedeutung von Aspekten der Wirtschaftsethik deutlich.86 Die Bedeutung von CSR zeigt auch Abs. 2 Satz 1 der Präambel, wonach sich die Gesellschaft und ihre Organe in ihrem Handeln „der Rolle des Unternehmens in der Gesellschaft und ihrer gesellschaftlichen Verantwortung bewusst zu sein haben“.87
21
Nach der Empfehlung A.2 des DCKG soll der Vorstand für
