In den letzten Jahren hat sich das Konzept der Sorgfaltspflicht zu einem Schlüsselelement bei der Bewertung von Geschäftsvorgängen entwickelt. Es findet Anwendung im Zusammenhang mit Steuerzahlungen, Geldwäschebekämpfung, Datenschutz und Compliance im weitesten Sinne. Gleichzeitig wird dieses Konzept trotz seiner weiten Verbreitung in der Praxis oft vereinfacht verstanden. Viele Unternehmen setzen Sorgfaltspflicht mit dem bloßen Ergreifen bestimmter Maßnahmen gleich. Aus Sicht der Aufsichtsbehörden ist jedoch entscheidend, ob diese Maßnahmen zuverlässig nachgewiesen werden können.
Die Erfahrungen aus Prüfungen durch Behörden wie die Nationale Steuerverwaltung, den Generalinspektor für Finanzinformationen und den Präsidenten des Amtes für den Schutz personenbezogener Daten führen zu einem eindeutigen Schluss: Sorgfaltspflichten ohne ordnungsgemäße Dokumentation sind praktisch nicht existent. Eine Prüfung ist keine Bewertung der Erklärungen oder Absichten eines Unternehmens, sondern eine Analyse der Beweislage. In diesem Sinne ist die Dokumentation nicht länger nur ein organisatorisches Element, sondern ein grundlegendes Instrument des Rechtsschutzes.
Die Sorgfaltspflicht besteht im Wesentlichen nicht in der Umsetzung einer einzelnen, spezifischen Lösung, sondern in der Schaffung eines kohärenten Entscheidungs- und Risikomanagementsystems. Aufsichtsbehörden verwenden keine einheitliche, geschlossene Definition dieses Begriffs. Die Bewertung erfolgt stets unter Berücksichtigung der konkreten Umstände, der Art des Unternehmens, seiner Größe, der Branche und der Art der durchgeführten Transaktionen. Dies bedeutet, dass der gleiche Prüfungsstandard in einem Fall als ausreichend, in einem anderen jedoch als völlig unzureichend angesehen werden kann. In der Praxis geht es daher nicht darum, einen abstrakten Standard zu erfüllen, sondern nachzuweisen, dass der Unternehmer rational, den identifizierten Risiken angemessen und nachweisbar gehandelt hat.
Der entscheidende Zeitpunkt für die Überprüfung der Sorgfaltspflicht ist eine Prüfung nach Eintritt eines bestimmten Ereignisses. Die Behörde bewertet die Handlungen nicht in Echtzeit, sondern rekonstruiert sie anhand der verfügbaren Dokumente. In diesem Zusammenhang ist die Art und Weise, wie der Unternehmer seine Entscheidungen und Prozesse dokumentiert, besonders wichtig. Fehlende oder fragmentierte Dokumentation führt dazu, dass die Behörde – unfähig, die Argumentation des Unternehmers nachzuvollziehen – häufig die ungünstigste Auslegung zugrunde legt.
In der Praxis bedeutet dies, dass die Dokumentation der Sorgfaltspflichten nicht nur die Überprüfungsaktivitäten selbst, sondern auch den Entscheidungsprozess umfassen sollte. Die bloße Überprüfung der Referenzen eines Auftragnehmers anhand verfügbarer Register ist unzureichend, wenn nicht nachvollziehbar ist, welche Schlussfolgerungen aus dieser Überprüfung gezogen wurden und warum trotz potenzieller Warnsignale die Entscheidung zur Zusammenarbeit getroffen wurde. Die Behörden prüfen zunehmend nicht nur, ob ein Unternehmen Zugang zu bestimmten Informationen hatte, sondern auch, ob es diese korrekt interpretieren konnte.
Dies zeigt sich besonders deutlich im Bereich der Wirtschaftsbeziehungen, wo die Sorgfaltspflicht die Überprüfung des Vertragspartners umfasst. In der Praxis beschränkt sich die Sorgfaltspflicht nicht auf eine formale Prüfung von Registerdaten, sondern beinhaltet eine umfassendere Analyse der Glaubwürdigkeit und des Risikos. In Situationen mit ungewöhnlichen Umständen – wie etwa einer ungewöhnlichen Transaktionsstruktur, mangelnder Transparenz seitens des Vertragspartners oder Verbindungen zu Hochrisikogebieten – kann das Fehlen einer eingehenden Analyse als mangelnde Sorgfaltspflicht ausgelegt werden. Wichtig ist, dass selbst die Durchführung einer solchen Analyse sinnlos ist, wenn sie nicht in der Dokumentation festgehalten wird.
In diesem Zusammenhang ist eines der häufigsten Probleme, die bei Inspektionen aufgedeckt werden, ein fehlender systematischer Ansatz. In vielen Unternehmen erfolgen Compliance-Aktivitäten reaktiv und sporadisch. Sie werden als Reaktion auf spezifische Situationen durchgeführt, sind aber nicht in ein kohärentes Verfahrenssystem eingebettet. Dieses Vorgehen führt zu Beweislücken, die sich bei einer Inspektion nur schwer schließen lassen. Die Behörden analysieren nicht einzelne Aktivitäten isoliert, sondern bewerten das gesamte Risikomanagementsystem.
Ein ebenso gravierendes Problem ist die nachträgliche Erstellung von Dokumentationen, also erst dann, wenn die Gefahr einer Prüfung besteht. Solche Vorgehensweisen sind in der Regel leicht zu erkennen, sowohl aufgrund der zeitlichen Inkonsistenz der Dokumente als auch aufgrund ihrer schematischen Struktur. In der Praxis schützt eine solche Dokumentation den Unternehmer nicht nur nicht, sondern kann seine Situation sogar verschärfen und die Glaubwürdigkeit des gesamten Systems untergraben.
Ebenso wichtig sind Situationen, in denen ein Unternehmen zwar umfangreiche Verfahren implementiert hat, diese aber nur formal angewendet werden. Behörden überprüfen zunehmend nicht nur die Existenz von Dokumenten, sondern auch deren tatsächliche Anwendung. Bei Diskrepanzen zwischen dem Inhalt der Verfahren und der operativen Praxis verliert die Dokumentation ihre Beweiskraft. Compliance beschränkt sich daher nicht auf die Erstellung von Dokumenten – sie muss ein tatsächlich implementiertes und angewandtes System darstellen.
Aus Sicht der Auditvorbereitung ist die Gewährleistung der Konsistenz zwischen operativen Tätigkeiten und Dokumentation von entscheidender Bedeutung. Dies erfordert die Implementierung von Lösungen, die eine kontinuierliche Erfassung von Maßnahmen und Entscheidungen ermöglichen. In der Praxis bedeutet dies häufig den Übergang von einem Modell, das auf Einzeldokumenten basiert, zu Systemen, die Verifizierungs-, Entscheidungs- und Archivierungsprozesse integrieren. Dabei geht es nicht um die Implementierung fortschrittlicher Technologien, sondern vielmehr darum, sicherzustellen, dass jeder wichtige Prozessschritt anhand der verfügbaren Daten rekonstruiert werden kann.
Im Hinblick auf die rechtliche Haftung ist die Rolle der Dokumentation als Schutzmechanismus für Vorstandsmitglieder besonders wichtig. Werden die Handlungen eines Unternehmens in Frage gestellt, stellt die Dokumentation den wichtigsten Beweis für die gebotene Sorgfalt bei der Unternehmensführung dar. Fehlende Dokumentation kann nicht nur administrative oder steuerliche Konsequenzen nach sich ziehen, sondern auch steuerstrafrechtliche und in bestimmten Fällen sogar strafrechtliche Folgen.
In der Praxis bedeutet dies, dass die Dokumentation der Sorgfaltspflichten nicht als formale Verpflichtung, sondern als Bestandteil einer Risikomanagementstrategie betrachtet werden sollte. Angesichts der zunehmenden Intensität der Kontrollen und der immer restriktiveren Vorgehensweise der Behörden wird die Fähigkeit, die Rationalität und Angemessenheit der ergriffenen Maßnahmen nachzuweisen, zu einem Schlüsselfaktor für die Rechtssicherheit eines Unternehmens.
Sorgfältige Prüfung ist letztlich weder ein abstraktes noch ein rein theoretisches Konzept. Sie ist ein Konstrukt, dessen wahre Bedeutung sich erst im Falle einer Prüfung oder eines Streitfalls offenbart. Dann zeigt sich, ob die getroffenen Maßnahmen tatsächlich umgesetzt wurden oder lediglich Erklärungen enthielten. In diesem Sinne ist die Dokumentation nicht bloß ein Anhängsel der Compliance, sondern deren Kern – das einzige Element, das es einem Unternehmen ermöglicht, von der Erklärungsebene zur Beweisebene zu gelangen.
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar
Rechtsstatus ab dem 18. März 2026.
Autor:
Herausgeber der Reihe:
