Die 7 teuersten Compliance-Fehler deutscher KMU
Von der fehlenden LUCID-Registrierung bis zur verspäteten Datenpannen-Meldung: Diese sieben Versäumnisse kosten den Mittelstand regelmäßig fünf- bis siebenstellige Beträge.
Compliance-Lücken sind selten böser Wille
Die meisten Verstöße im Mittelstand entstehen nicht aus Absicht, sondern aus Unkenntnis: Neue Pflichten kommen im Jahrestakt, und niemand im Unternehmen fühlt sich zuständig. Die folgenden sieben Fehler tauchen in Prüfungen, Abmahnungen und Bußgeldverfahren am häufigsten auf — geordnet nach dem typischen Schadenspotenzial.
1. NIS2 ignorieren, weil man sich für zu klein hält
Viele Geschäftsführer prüfen ihre NIS2-Betroffenheit gar nicht erst. Dabei reichen 50 Mitarbeiter oder 10 Mio. € Umsatz in einem der 18 regulierten Sektoren — welche das sind, zeigt die Übersicht NIS2: Betroffene Sektoren. Der Bußgeldrahmen reicht bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, hinzu kommt die persönliche Haftung der Geschäftsleitung nach dem BSIG.
2. Verpackungen ohne LUCID-Registrierung in Verkehr bringen
Wer befüllte Verpackungen erstmals gewerblich in Deutschland in Verkehr bringt — auch als Onlinehändler mit Versandkartons — muss sich vorab im LUCID-Register eintragen. Ohne Registrierung gilt ein Vertriebsverbot; Bußgelder nach dem VerpackG reichen je nach Verstoß bis 100.000 € (fehlende Registrierung) beziehungsweise 200.000 € (fehlende Systembeteiligung). Wie die Registrierung abläuft, erklärt der Leitfaden LUCID-Nummer beantragen.
3. Datenpannen zu spät oder gar nicht melden
Die 72-Stunden-Frist des Art. 33 DSGVO beginnt mit der Kenntnis der Panne, nicht mit deren vollständiger Aufklärung. Verstöße gegen die Meldepflicht können nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes geahndet werden; kommt eine unzureichende Datensicherheit hinzu, verdoppelt sich der Rahmen auf 20 Mio. € oder 4 %.
4. bis 7.: Die weiteren Klassiker
- Kein Kündigungsbutton nach § 312k BGB: Verbraucher können jederzeit fristlos kündigen, Mindestlaufzeiten laufen ins Leere — dazu kommen Abmahnungen, die samt Unterlassungserklärung schnell mehrere Tausend Euro kosten
- Kein interner Meldekanal nach dem HinSchG: Ab 50 Beschäftigten Pflicht; bei Behinderung von Meldungen oder Repressalien drohen Bußgelder bis 50.000 € nach § 40 HinSchG plus Schadenersatz
- E-Rechnungspflicht verschlafen: Nicht normkonforme Rechnungen gefährden ab den Stichtagen 2027/2028 den Vorsteuerabzug des Kunden und führen zu Rückweisungen und Zahlungsverzug
- Falsche Zolltarifnummern: Zu niedrig entrichtete Zölle werden nach Art. 103 UZK bis zu drei Jahre rückwirkend nacherhoben — bei Vorsatz droht der Vorwurf der Steuerhinterziehung nach § 370 AO
Das Muster hinter den Fehlern
Allen sieben Fällen ist gemeinsam: Die Pflicht war lange bekannt, die Umsetzung wäre günstig gewesen — teuer wurde erst das Versäumnis. Eine jährliche Compliance-Inventur mit klaren Zuständigkeiten kostet wenige Arbeitstage und deckt die meisten Lücken auf, bevor es Behörden, Wettbewerber oder Abmahnvereine tun.
Häufige Fragen
Welcher Compliance-Verstoß wird bei KMU am häufigsten verfolgt?
In der Praxis führen wettbewerbsrechtliche Abmahnungen die Statistik an — etwa wegen fehlendem Kündigungsbutton, fehlerhaftem Impressum oder fehlender LUCID-Registrierung. Sie werden von Wettbewerbern und Verbänden aktiv gesucht, weil der Verstoß von außen sichtbar ist. Bußgeldverfahren von Behörden folgen meist erst nach Beschwerden oder Vorfällen.
Haftet die Geschäftsführung persönlich für Compliance-Verstöße?
Zunehmend ja. NIS2 (BSIG) sieht eine ausdrückliche persönliche Haftung der Geschäftsleitung für die Überwachung der Cybersicherheitsmaßnahmen vor. Daneben kann die Geschäftsführung nach allgemeinen Grundsätzen (§ 43 GmbHG, § 93 AktG) für Schäden aus Organisationsverschulden haften, wenn sie erkennbare Pflichten ignoriert hat.
Sind Bußgelder steuerlich absetzbar?
Nein. Bußgelder, Ordnungs- und Verwarnungsgelder von deutschen Behörden oder EU-Organen sind nach § 4 Abs. 5 Nr. 8 EStG nicht als Betriebsausgaben abziehbar. Die Kosten der Verteidigung im Bußgeldverfahren können dagegen abzugsfähig sein.
Wo fange ich mit begrenztem Budget an?
Priorisieren Sie nach Sichtbarkeit und Schadenshöhe: Zuerst die von außen prüfbaren Pflichten (LUCID-Registrierung, Kündigungsbutton, Website-Pflichtangaben), dann die Pflichten mit hohen Bußgeldrahmen und persönlicher Haftung (NIS2, DSGVO-Meldeprozesse), zuletzt interne Dokumentationspflichten. Viele Basisschritte wie die LUCID-Registrierung sind kostenlos.
Weiterführende Artikel
NIS2: Wer ist betroffen und was jetzt zu tun ist
Ein praktischer Leitfaden zur Betroffenheitsanalyse und den zentralen Pflichten nach dem BSIG.
Buchhaltung & LogistikVerpackungsgesetz: LUCID-Registrierung ohne Stress
Von der Registrierung bis zur Mengenmeldung — die Pflichten nach dem VerpackG im Überblick.