Geschrieben von p547795 am . Veröffentlicht in Allgemein.
Aufgaben und Verantwortlichkeiten der Gesellschafter gemäß § 46 GmbHG
Was sind die Aufgaben der Gesellschafter nach § 46 GmbHG?
Die Gesellschafter einer GmbH bilden das oberste Willensbildungsorgan. Gemäß § 46 GmbHG obliegen ihnen zentrale Entscheidungen, die über das operative Tagesgeschäft hinausgehen. Dazu gehören insbesondere die Feststellung des Jahresabschlusses, die Verwendung des Ergebnisses, die Bestellung und Abberufung von Geschäftsführern sowie die Überwachung der Geschäftsführung und die Geltendmachung von Ersatzansprüchen.
Die wichtigsten Zuständigkeiten gemäß § 46 GmbHG
Frage
Zuständigkeit
Gesetzliche Basis
Wer bestimmt die Gewinnverwendung?
Gesellschafter
§ 46 Nr. 1 GmbHG
Wer wählt den Abschlussprüfer?
Gesellschafter
§ 46 Nr. 1 GmbHG, §318 Abs. 1 Satz 1 HGB
Wer darf Geschäftsführer entlassen?
Gesellschafter
§ 46 Nr. 5 GmbHG
Wer entscheidet über Schadensersatzklagen gegen Geschäftsführer?
Use Cases: Aufgaben & Verantwortlichkeiten der Gesellschafter (§ 46 GmbHG)
Aufgabe nach § 46 GmbHG
Use Case in der Praxis
Feststellung des Jahresabschlusses
Gesellschafterversammlung beschließt über den geprüften Abschluss und entscheidet über Gewinnausschüttung oder Rücklage.
Billigung Konzernabschluss & IFRS
Bei internationaler Tätigkeit beschließen die Gesellschafter die Veröffentlichung eines IFRS-Abschlusses zur Kapitalmarkt-Transparenz.
Einforderung der Einlagen
Bei Liquiditätsengpässen fordern Gesellschafter die noch offenen Stammeinlagen ein.
Rückzahlung von Nachschüssen
Wenn zusätzliche Kapitalzuführungen geleistet wurden, entscheidet die Gesellschafterversammlung über eine Rückzahlung.
Bestellung & Abberufung Geschäftsführer
Ein Geschäftsführer wird wegen Pflichtverletzung abberufen und ein neuer bestellt.
Überwachung der Geschäftsführung
Gesellschafter beauftragen eine externe Sonderprüfung, um Risiken im Management aufzudecken.
Bestellung Prokuristen
Ein leitender Mitarbeiter erhält Prokura, um internationale Geschäfte zu unterschreiben.
Ersatzansprüche
Gesellschafter klagen Schadensersatz gegen Geschäftsführer wegen Verstoßes gegen Sorgfaltspflichten ein.
Feststellung des Jahresabschlusses und Verwendung des Ergebnisses
Die Gesellschafter halten die „Finanzhoheit“. Sie prüfen den von der Geschäftsführung vorgelegten Jahresabschluss und stellen diesen fest.
Ergebnisverwendung: Sie entscheiden, ob Gewinne ausgeschüttet oder als Rücklagen in das Unternehmen reinvestiert werden.
Internationale Standards: Gemäß § 46 Nr. 1a und 1b GmbHG entscheiden sie über die Billigung von Konzernabschlüssen und die Anwendung von IFRS-Standards, was besonders für die Vergleichbarkeit auf globalen Märkten entscheidend ist.
Offenlegung eines Einzelabschlusses nach internationalen Rechnungslegungsstandards
Eine relativ neue Regelung erlaubt den Gesellschaftern, über die Offenlegung eines Einzelabschlusses nach internationalen Rechnungslegungsstandards (IFRS) zu entscheiden. Dies ist vor allem relevant für international tätige Unternehmen, da diese Standards eine größere Vergleichbarkeit der finanziellen Berichterstattung ermöglichen.
Billigung des Konzernabschlusses
Falls die GmbH Teil eines Konzerns ist, obliegt den Gesellschaftern auch die Billigung des Konzernabschlusses. Dieser gibt ein umfassendes Bild der finanziellen Lage des gesamten Unternehmensverbunds und wird von den Geschäftsführern aufgestellt.
Einforderung der Einlagen
Einlagen: Die Gesellschafter müssen sicherstellen, dass das Stammkapital real vorhanden ist. Sie beschließen die Einforderung noch nicht geleisteter Einlagen.
Nachschüsse: Falls die Satzung dies vorsieht, können zusätzliche Mittel eingefordert werden. Die Entscheidung über deren Rückzahlung obliegt ebenfalls der Versammlung (§ 46 Nr. 2 & 3 GmbHG).
Aufgaben der Gesellschafter gemäß § 46 GmbHG
Die Gesellschafter einer GmbH haben nach § 46 des GmbH-Gesetzes (GmbHG) weitreichende Entscheidungsbefugnisse. Zu den wichtigsten Aufgaben gehören:
Feststellung des Jahresabschlusses und Verwendung des Ergebnisses.
Billigung des Konzernabschlusses und Offenlegung nach internationalen Rechnungslegungsstandards (IFRS).
Bestellung und Abberufung von Geschäftsführern sowie deren Entlastung.
Überwachung der Geschäftsführung durch geeignete Maßnahmen.
Einfordern von Einlagen und Entscheidungen über die Rückzahlung von Nachschüssen.
Geltendmachung von Ersatzansprüchen gegenüber Geschäftsführern und Gesellschaftern.
Diese Aufgaben sichern die strategische Ausrichtung und den wirtschaftlichen Erfolg der GmbH.
Rückzahlung von Nachschüssen
Nachschüsse sind zusätzliche Einzahlungen, die Gesellschafter bei Bedarf leisten müssen. Die Entscheidung über die Rückzahlung solcher Nachschüsse, wenn sie geleistet wurden, liegt ebenfalls bei den Gesellschaftern.
Teilung, Zusammenlegung und Einziehung von Geschäftsanteilen
Gesellschafter entscheiden über strukturelle Veränderungen in Bezug auf die Anteile der Gesellschaft. Dies betrifft insbesondere die Teilung oder Zusammenlegung von Geschäftsanteilen sowie die Einziehung von Anteilen, wenn diese zurückgekauft oder eingezogen werden sollen.
Bestellung und Abberufung von Geschäftsführern sowie Entlastung derselben
Die Bestellung und Abberufung der Geschäftsführung ist das schärfste Schwert der Gesellschafter (§ 46 Nr. 5 GmbHG).
Entlastung: Durch die jährliche Entlastung billigen die Gesellschafter die bisherige Führung.
Prokura: Auch die Erteilung und der Widerruf der Prokura sowie der allgemeinen Handlungsvollmacht fallen in ihren Zuständigkeitsbereich (§ 46 Nr. 7 GmbHG).
Maßnahmen zur Prüfung und Überwachung der Geschäftsführung
Die Gesellschafter sind nicht nur „stille Teilhaber“, sondern Kontrollinstanz:
Prüfung: Sie können jederzeit Einsicht in die Bücher verlangen und Sonderprüfungen anordnen (§ 46 Nr. 6 GmbHG).
Ersatzansprüche: Wenn Geschäftsführer ihre Pflichten verletzen, entscheiden die Gesellschafter über die Einleitung rechtlicher Schritte und die Geltendmachung von Schadensersatz (§ 46 Nr. 8 GmbHG).
Bestellung von Prokuristen und Handlungsbevollmächtigten
Die Gesellschafter sind verantwortlich für die Bestellung von Prokuristen und Handlungsbevollmächtigten, die weitreichende Handlungsvollmachten für das Unternehmen erhalten. Diese Personen können wesentliche Entscheidungen für die Gesellschaft treffen und das operative Geschäft leiten.
Geltendmachung von Ersatzansprüchen gegen Geschäftsführer oder Gesellschafter
Falls der Gesellschaft durch die Geschäftsführung oder Gesellschafter Schaden entstanden ist, liegt es in der Hand der Gesellschafter, Ersatzansprüche geltend zu machen. Sie vertreten die Gesellschaft in rechtlichen Auseinandersetzungen gegen die Geschäftsführer, um potenzielle Schäden auszugleichen.
Bei der Entscheidung über die Geltendmachung von Ansprüchen gegen einen Gesellschafter-Geschäftsführer unterliegt der betroffene Gesellschafter einem Stimmverbot. Das ist für die Praxis extrem relevant, damit Beschlüsse nicht anfechtbar sind.
Typische Risiken & Praxislösungen für Gesellschafter
Risiko
Beispiel
Praxislösung
Fehlende Transparenz bei Jahresabschluss
Unklare Bilanzierung führt zu Streit unter Gesellschaftern.
Externe Wirtschaftsprüfung und klare Reporting-Struktur einführen.
Interessenkonflikte bei Geschäftsführern
GF tätigt Geschäfte mit verbundenem Unternehmen.
Compliance-Regeln & Zustimmungspflichten in Gesellschaftervertrag aufnehmen.
Liquiditätsrisiko durch nicht gezahlte Einlagen
Gesellschafter zahlt vereinbarte Einlage nicht ein.
Schnelle Einforderung per Beschluss & ggf. Klage auf Leistung.
Ein Teil will Ausschüttung, ein anderer Investition.
Vorab Regelung in Gesellschaftsvertrag (z. B. Mindestthesaurierung).
Fazit
§ 46 des GmbHG verdeutlicht die weitreichenden Rechte und Pflichten der Gesellschafter einer GmbH. Sie tragen die Verantwortung für zentrale Entscheidungen, die den Fortbestand und den Erfolg der Gesellschaft betreffen. Von der Bestellung der Geschäftsführung bis zur Feststellung des Jahresabschlusses – die Gesellschafter haben maßgeblichen Einfluss auf die strategische Ausrichtung der GmbH und deren langfristige Entwicklung.
Hinweis für die Praxis: Viele dieser gesetzlichen Regelungen sind „dispositiv“. Das bedeutet, durch den Gesellschaftsvertrag (Satzung) können Aufgaben teilweise anders verteilt werden. Die Kernkompetenzen (wie die Entlastung oder Abberufung aus wichtigem Grund) sind jedoch meist fest im Gesetz verankert.
Diese S+P Lehrgänge könnten dich interessieren:
§ 46 GmbHG in der Praxis umsetzen – Haftungsrisiken vermeiden
Die Rechte und Pflichten der Gesellschafter nach § 46 GmbHG sind klar geregelt –
doch in der Praxis entstehen Haftungsrisiken häufig durch fehlende Beschlussklarheit,
unzureichende Kontrolle der Geschäftsführung oder fehlerhafte Kompetenzabgrenzung.
Mit den S+P Lehrgängen für Geschäftsführer und Aufsichtsräte erhältst du
rechtssichere Umsetzungskompetenz, klare Entscheidungsstrukturen und sofort einsetzbare Tools
für Gesellschafterbeschlüsse, Überwachungspflichten und Governance-Strukturen.
Ohne die Feststellung des Jahresabschlusses durch die Gesellschafterversammlung
kann kein rechtswirksamer Beschluss über die Gewinnverwendung gefasst werden.
Das bedeutet: Es dürfen keine Dividenden ausgezahlt werden.
Zudem kann die Geschäftsführung nicht entlastet werden, was die Haftungsrisiken erhöht.
Ja. Gemäß § 46 Nr. 5 GmbHG liegt die personelle Hoheit bei den Gesellschaftern.
Sofern die Satzung keine Einschränkungen vorsieht (z. B. Abberufung nur aus wichtigem Grund),
kann die Bestellung jederzeit durch Gesellschafterbeschluss widerrufen werden.
Wichtig: Die Beendigung des Anstellungsverhältnisses (Dienstvertrag)
unterliegt häufig eigenen Fristen und vertraglichen Regelungen.
Ja. Gesellschafter haben eine Überwachungspflicht.
Bestehen Anhaltspunkte für Unregelmäßigkeiten, sind Maßnahmen nach § 46 Nr. 6 GmbHG
zu ergreifen (z. B. Sonderprüfung).
Unterlassen sie dies trotz konkreter Hinweise, kann eine eigene Haftung
gegenüber der Gesellschaft entstehen.
Mit der Entlastung erklären die Gesellschafter, dass sie mit der bisherigen
Geschäftsführung einverstanden sind.
Rechtlich bedeutet dies regelmäßig einen Verzicht auf erkennbare
Schadensersatzansprüche für den betreffenden Zeitraum.
Die Entlastung ist somit Vertrauensbeweis und Haftungsschutz zugleich.
Nach § 46 Nr. 7 GmbHG entscheiden die Gesellschafter über Bestellung
und Widerruf von Prokuristen sowie von Handlungsbevollmächtigten
zum gesamten Geschäftsbetrieb.
Dies sichert die Kontrolle über Personen, die die GmbH nach außen
rechtlich verpflichten können.
Stammeinlagen sind die Kapitalbeiträge, die Gesellschafter
bei Gründung oder Kapitalerhöhung zur Bildung des Stammkapitals leisten müssen.
Nachschüsse sind zusätzliche Zahlungen über das Stammkapital hinaus.
Sie sind nur geschuldet, wenn die Satzung ausdrücklich eine Nachschusspflicht vorsieht.
Ihre Rückzahlung unterliegt strengen Regeln der Kapitalerhaltung.
Ja. Verletzt der Geschäftsführer seine Sorgfaltspflichten (§ 43 GmbHG),
entscheiden die Gesellschafter gemäß § 46 Nr. 8 GmbHG über die
Geltendmachung von Ersatzansprüchen.
In diesem Fall vertreten die Gesellschafter die GmbH
gegenüber dem (auch noch amtierenden) Geschäftsführer.
Nach § 17 GwG dürfen Verpflichtete bestimmte geldwäscherechtliche Sorgfaltspflichten auf Dritte oder externe Dienstleister übertragen. Während die Identifizierung und Informationseinholung (§ 10 Abs. 1 Nr. 1–4 GwG) delegierbar sind, verbleibt die Letztverantwortung für die Einhaltung der Compliance stets beim Verpflichteten. Erfahre hier, welche Voraussetzungen für die rechtssichere Auslagerung und den Rückgriff auf Dritte gelten.
Übertragbar sind ausschließlich die allgemeinen Sorgfaltspflichten nach
§ 10 Abs. 1 Nr. 1–4 GwG (Identifizierung, wirtschaftlich Berechtigte,
Informationen zum Zweck der Geschäftsbeziehung sowie PeP-Abklärung).
Die Aufzählung ist abschließend.
Nicht übertragbar sind insbesondere die laufende Überwachung der
Geschäftsbeziehung (§ 10 Abs. 1 Nr. 5 GwG) sowie erhöhte
Sorgfaltspflichten nach § 15 GwG.
Diese verbleiben zwingend beim Verpflichteten.
Ja. Die Verantwortung für die ordnungsgemäße Erfüllung bleibt immer
beim Verpflichteten. Pflichtverletzungen des Dritten werden ihm
zugerechnet. Eine Delegation führt niemals zu einer Haftungsentlastung.
Zulässig sind insbesondere inländische Verpflichtete nach § 2 Abs. 1 GwG,
Verpflichtete in EU-Mitgliedstaaten nach der RL (EU) 2015/849,
bestimmte gleichwertig beaufsichtigte Institute in Drittstaaten ohne
hohes Risiko sowie gruppenangehörige Unternehmen unter den
Voraussetzungen des § 17 Abs. 4 GwG.
Grundsätzlich nein. Ausnahmen bestehen nur für bestimmte
gruppenangehörige Zweigstellen oder Tochterunternehmen,
sofern sie gruppenweite AML-Strategien vollständig einhalten.
Es ist unzulässig, eine Identifizierung nach weniger strengen
ausländischen Standards vorzunehmen. Dies würde als Umgehung
des GwG gewertet. Auch im Konzern gilt diese Einschränkung.
Wenn Pflichten auf andere geeignete Personen oder Unternehmen
übertragen werden, die nicht unter die gesetzlich privilegierten
Dritten fallen. Hier ist ein klar strukturierter
Auslagerungsvertrag erforderlich.
Erforderlich sind u.a. eine dokumentierte Zuverlässigkeitsprüfung,
klare Regelungen zu Leistungsumfang, Weisungsrechten,
Kontrollrechten, Unterauftragnehmern sowie laufende
stichprobenartige Überwachung.
Eine Sub-Auslagerung ist nur zulässig, wenn sämtliche Anforderungen
des § 17 Abs. 5–7 GwG auch gegenüber dem Subdienstleister erfüllt
und vertraglich abgesichert sind.
Alle Informationen müssen unverzüglich und unmittelbar vom
Dritten an den Verpflichteten übermittelt werden.
Eine Übermittlung über den Kunden ist unzulässig.
Identifizierungsunterlagen, Registerauszüge,
PeP-Informationen und Videoidentifizierungsnachweise
sind gemäß § 8 Abs. 4 GwG aufzubewahren.
Der Verpflichtete muss die ordnungsgemäße Durchführung prüfen.
Gruppenangehörige Dritte können unter bestimmten Voraussetzungen
eingesetzt werden. Dennoch muss jederzeit ein unverzüglicher Zugriff
auf alle relevanten Informationen gewährleistet sein.
Die Letztverantwortung verbleibt stets beim Verpflichteten.
Welche Sorgfaltspflichten dürfen nach § 17 GwG auf Dritte übertragen werden?
Nach § 17 GwG kannst du Sorgfaltspflichten auf Dritte oder externe Dienstleister übertragen, aber Achtung: Die Letztverantwortung bleibt immer bei dir als Verpflichtetem.
Was übertragen werden darf: Ausschließlich die allgemeinen Sorgfaltspflichten nach § 10 Abs. 1 Nr. 1 bis 4 GwG (Identifizierung, wirtschaftlich Berechtigte, Zweck der Geschäftsbeziehung, PEP-Prüfung).
Was NICHT übertragen werden darf:
Die kontinuierliche Überwachung (§ 10 Abs. 1 Nr. 5 GwG).
Die Erfüllung verstärkter Sorgfaltspflichten (z. B. bei Hochrisikofällen nach § 15 GwG).
Zurechnung: Fehler des Dritten werden dir so zugerechnet, als hättest du sie selbst begangen.
Praxiskern: § 17 GwG bedeutet Delegation – aber niemals Entlastung
Auch wenn du Sorgfaltspflichten auf Dritte oder Dienstleister überträgst,
bleibt die rechtliche Gesamtverantwortung vollständig bei dir.
§ 17 GwG erlaubt keine Risiko-Verlagerung, sondern nur eine klar begrenzte Aufgabenübertragung.
Besonders haftungssensibel sind Konstellationen mit Auslandsbezug,
gruppeninternen Lösungen oder Sub-Auslagerungen.
Hier erwartet die Aufsicht eine dokumentierte Prüfung,
fortlaufende Kontrolle und jederzeitigen Zugriff auf alle relevanten Unterlagen.
Nur § 10 Abs. 1 Nr. 1–4 GwG sind übertragbar – keine laufende Überwachung
Erhöhte Sorgfaltspflichten bleiben immer in deiner Organisation
Unverzügliche Direktübermittlung aller Identifizierungsdaten an dich
Risikoorientierte Kompensation bei geringeren ausländischen Standards
Dokumentierte Kontroll- und Stichprobenprüfung während der Vertragslaufzeit
Jede unklare Vertragsgestaltung oder fehlende Kontrolle kann
als Organisationsmangel gewertet werden.
Deshalb ist § 17 GwG immer auch ein Governance-Thema auf Leitungsebene.
Konzern-Check Besteht jederzeit Zugriff auf alle relevanten Informationen – auch gruppenintern?
🚦 Live-Auswertung
ROT
Akutes GwG-Haftungsrisiko
GELB
Kontroll- oder Dokumentationslücken
GRÜN
Strukturierte § 17-Governance
Rückgriff auf Dritte (§ 17 Abs. 1–4 GwG)
Hierbei handelt es sich um „gesetzlich zuverlässige“ Stellen, bei denen du keinen separaten Auslagerungsvertrag benötigst.
Zulässige Dritte: Kredit- und Finanzinstitute (Inland/EU), bestimmte Güterhändler oder vergleichbare Institute in Drittstaaten mit gleichwertigem Schutzniveau.
Privileg für Gruppen (§ 17 Abs. 4 GwG): Innerhalb einer Unternehmensgruppe ist der Rückgriff erleichtert, sofern gruppenweite AML-Standards (Anti-Money Laundering) gelten und überwacht werden.
Wichtig: Ein Rückgriff auf Dritte in Hochrisiko-Drittstaaten ist (bis auf wenige Ausnahmen bei Tochterunternehmen) untersagt.
Keine Umgehung: Du darfst kein „Identification-Shopping“ betreiben. Wenn ein Kunde im Inland sitzt, darf das ausländische Recht des Dritten das deutsche Schutzniveau nicht unterschreiten.
Vertragliche Auslagerung (§ 17 Abs. 5–9 GwG)
Willst du die Pflichten auf Dienstleister übertragen, die keine „Dritten“ im Sinne des Gesetzes sind (z. B. spezialisierte KYC-Agenturen), greift die vertragliche Auslagerung.
Anforderungen an dich:
Eignungsprüfung: Du musst vorab prüfen, ob der Dienstleister fachlich und personell in der Lage ist (§ 17 Abs. 7 GwG).
Kontrollpflicht: Du musst die Durchführung laufend stichprobenartig überwachen.
Vertragsgestaltung: Weisungs- und Kontrollrechte müssen explizit fixiert sein.
Sub-Auslagerung: Diese ist nur mit deiner Zustimmung und unter Einhaltung derselben strengen Kriterien zulässig.
§ 17 GwG – Übertragung von Sorgfaltspflichten & Haftungsrisiken
Regelungsbereich
Konsequenz für dich als Verpflichteter
Übertragbarer Pflichtenumfang
Du darfst ausschließlich die allgemeinen Sorgfaltspflichten nach
§ 10 Abs. 1 Nr. 1–4 GwG übertragen
(Identifizierung, wirtschaftlich Berechtigte, Zweck der Geschäftsbeziehung, PeP-Abklärung).
Die Aufzählung ist abschließend.
Nicht übertragbare Pflichten
Die kontinuierliche Überwachung (§ 10 Abs. 1 Nr. 5 GwG)
sowie erhöhte Sorgfaltspflichten (§ 15 GwG)
musst du zwingend selbst erfüllen.
Verantwortung & Zurechnung
Auch bei Einschaltung eines Dritten bleibst du voll verantwortlich.
Pflichtverletzungen des Dritten werden dir zugerechnet.
Zulässige Dritte ohne Auslagerungsvertrag
Du kannst auf gesetzlich zuverlässige Verpflichtete im Inland, in der EU
oder in gleichwertig regulierten Drittstaaten zurückgreifen.
Eine gesonderte Zuverlässigkeitsprüfung ist hier nicht erforderlich.
Drittstaaten mit hohem Risiko
Dritte in Hochrisiko-Drittstaaten sind grundsätzlich ausgeschlossen.
Ausnahmen gelten nur für bestimmte gruppenangehörige Einheiten.
Umgehungsverbot
Du darfst keine Identifizierung über ausländische Dritte vornehmen,
wenn dadurch weniger strenge ausländische Standards angewandt würden.
Dies gilt als Umgehung des GwG.
Vertragliche Auslagerung (§ 17 Abs. 5–9 GwG)
Bei sonstigen geeigneten Dienstleistern brauchst du
einen klar geregelten Auslagerungsvertrag,
inklusive Weisungs-, Kontroll- und Kündigungsrechten.
Zuverlässigkeitsprüfung
Vor Beauftragung musst du die Zuverlässigkeit prüfen
und während der Vertragslaufzeit stichprobenartige Kontrollen durchführen.
Sub-Auslagerung
Eine Weiterverlagerung ist nur zulässig,
wenn sämtliche gesetzlichen Anforderungen auch gegenüber dem Subdienstleister erfüllt werden.
Unmittelbare Informationsübermittlung
Alle Identifizierungs- und Prüfungsunterlagen müssen dir
unverzüglich und direkt vom Dritten übermittelt werden –
niemals über den Kunden.
Dokumentations- & Aufbewahrungspflichten
Du musst sicherstellen, dass Kopien, Videoidentifizierungsnachweise
und Registerunterlagen gemäß § 8 Abs. 4 GwG ordnungsgemäß aufbewahrt werden.
Gruppenangehörige Dritte
Auch bei Konzernlösungen bleibst du letztverantwortlich.
Geringere ausländische Standards musst du risikoorientiert
durch verstärkte Kontrollen kompensieren.
Warum ist die unverzügliche Übermittlung nach § 17 Abs. 3 GwG kritisch?
Die Aufsicht (BaFin/FIU) verlangt, dass Identifizierungsdaten direkt vom Dritten zum Verpflichteten fließen.
Eine Übermittlung „über den Kunden“ (z.B. Kunde schickt Kopie, die der Dritte erstellt hat) ist unzulässig und führt bei Prüfungen regelmäßig zu Bußgeldern.
Rückgriff auf frühere Identifizierungsdaten nach § 17 Abs. 3a GwG (24‑Monatsfrist)
Dritte müssen das Rad nicht jedes Mal neu erfinden: Unter bestimmten Voraussetzungen erlaubt § 17 GwG, dass ein Dritter auf Identifizierungsdaten zurückgreift, die er bereits zu einem früheren Zeitpunkt erhoben hat. Damit dieser Rückgriff rechtssicher ist, müssen folgende vier Kriterien gleichzeitig erfüllt sein:
Eigene Geschäftsbeziehung: Die ursprüngliche Identifizierung muss im Rahmen einer eigenen Geschäftsbeziehung des Dritten erfolgt sein – und zwar unter Anwendung der allgemeinen (nicht vereinfachten!) Sorgfaltspflichten.
Die 24-Monats-Frist: Die Identifizierung oder die letzte Datenaktualisierung (gemäß § 12 GwG) darf zum Zeitpunkt der Übermittlung nicht länger als 24 Monate zurückliegen. Diese Frist ist eine strikte materielle Ausschlussgrenze.
Aktualität & Plausibilität: Es dürfen keine äußeren Umstände vorliegen, die an der Richtigkeit oder Aktualität der Daten zweifeln lassen.
Gültige Dokumente: Das damals verwendete Identifikationsdokument (z. B. Personalausweis oder Reisepass) muss zum Zeitpunkt des Rückgriffs noch gültig sein.
Wichtig für die Praxis: Nach Ablauf der 24 Monate erlischt die Erlaubnis zum Datenrückgriff. Der Dritte muss in diesem Fall eine vollständige Neu-Identifizierung oder Aktualisierung nach §§ 10, 12 GwG durchführen, bevor er die Daten an dich übermitteln darf.
24-Monats-Check nach § 17 Abs. 3a GwG
Prüfmerkmal
Anforderung
Merkmal
Gültigkeit der Identifizierungsdaten
Frist
Maximal 24 Monate seit letzter Identifizierung oder Aktualisierung (§ 17 Abs. 3a GwG)
Bedingung 1
Identifizierung erfolgte im Rahmen einer eigenen Geschäftsbeziehung des Dritten.
Bedingung 2
Es wurden keine vereinfachten Sorgfaltspflichten angewendet.
Bedingung 3
Keine Zweifel an Richtigkeit und Aktualität der übermittelten Informationen.
Bedingung 4
Verwendetes Identifikationsdokument ist noch gültig.
Wird eine dieser Voraussetzungen nicht erfüllt, ist ein Rückgriff auf frühere Daten unzulässig.
Es muss eine neue Identifizierung gemäß § 10 i.V.m. § 12 GwG durchgeführt werden.
Gruppeninterne Dritte und risikoorientierte Aspekte
Auch wenn § 17 Abs. 4 GwG Erleichterungen bietet, entbindet dich das nicht von der Pflicht, die Informationen tatsächlich zu erhalten. Du musst jederzeit nachweisen können, dass du die Angemessenheit der Maßnahmen im Blick behältst – besonders wenn das Schutzniveau im Sitzland des Gruppenmitglieds niedriger ist als in Deutschland.
Praktische Werkzeuge für die Umsetzung (§ 17 GwG)
Damit du bei der Zusammenarbeit mit Dritten oder Dienstleistern rechtlich auf der sicheren Seite stehst, hilft dir ein strukturierter Compliance-Toolbox-Ansatz. So stellst du sicher, dass die Delegation von Sorgfaltspflichten nicht zum Haftungsrisiko wird.
S+P Checkliste „Dienstleister-Audit“: Bevor du Aufgaben auslagerst, musst du die Geeignetheit und Zuverlässigkeit des Partners prüfen (§ 17 Abs. 5 & 7 GwG). Nutze eine standardisierte Checkliste für das Vorab-Screening und die laufende Überwachung (Stichprobenkontrolle).
Muster-Auslagerungsvertrag (GwG-konform): Verwende Vertragsvorlagen, die explizit die unverzügliche Übermittlungspflicht, deine Weisungsrechte und die Kontrollrechte (§ 17 Abs. 3 & 5 GwG) regeln. Ohne diese schriftliche Fixierung ist die Auslagerung rechtlich unwirksam.
Monitoring-Tool für die 24-Monats-Frist: Implementiere ein einfaches Ampelsystem oder eine Datenbank-Abfrage, die dich warnt, wenn Identifizierungsdaten eines Dritten älter als 24 Monate sind. So verhinderst du den Rückgriff auf veraltete, unzulässige Datensätze.
Übermittlungs-Protokoll: Erstelle eine klare Vorgabe für den Datentransfer. Dokumentiere, dass die Unterlagen (Video-Ident, Ausweiskopien etc.) direkt vom Partner an dich geflossen sind und nicht über den Kunden eingereicht wurden.
BaFin – Auslegungs- und Anwendungshinweise zum Geldwäschegesetz (GwG) Jeweils aktueller Stand der AUA je Verpflichtetengruppe (z.B. Kredit‑/Finanzdienstleistungsinstitute, Versicherer, WP/vBP, Güterhandel), inkl. Vorgaben zur Pflichtenwahrnehmung durch Dritte und Auslagerung nach § 17 GwG: https://www.bafin.de (Navigation: Aufsicht – Geldwäscheprävention – Auslegungs- und Anwendungshinweise GwG)
AMLA – EU Anti-Money Laundering Authority Informationen zur neuen EU‑Aufsichtsbehörde, ihren Aufgaben, technischen Standards und Leitlinien (künftig maßgeblich auch für AMLR/Outsourcing‑Fragen): https://www.amla.europa.eu
S+P C.O.R.E.
Strategische Exzellenz auf C-Level erfordert kontinuierliche Orientierung. Damit du nach deinem Lehrgang nicht allein gelassen wirst, haben wir S+P C.O.R.E. entwickelt.
S+P Mehrwert-Garantie: Dein Wissens-Vorsprung für 2026
Jede Buchung eines S+P Seminars beinhaltet automatisch den kostenfreien Zugang zum quartalsweisen S+P C.O.R.E. Executive Update. Warum? Weil wir wissen, dass die regulatorische Welt nicht stillsteht. Wir halten dein Wissen aktuell – garantiert.
Dein Mehrwert mit S+P C.O.R.E.
Fokusbereich
Dein konkreter Mehrwert
Compliance
Sicherheit im Handeln:
Einordnung aktueller Anforderungen (z. B. DORA / NIS 2, EU AI Act, ESG, Compliance),
damit du genau weißt, was für Haftung und Praxis tatsächlich relevant ist.
Optimization
Effizienz statt Bürokratie:
Umsetzung regulatorischer Vorgaben mit smarten Prozessen,
geeigneten Tools und effizienten Outsourcing-Strukturen.
Regulatory
Frühwarnsystem nutzen:
Strukturierte Bewertung neuer Aufsichtsschwerpunkte und
regulatorischer Trends, bevor sie zum akuten Handlungsdruck werden.
Exchange
Vorsprung durch Dialog:
Austausch im geschützten Raum mit Fach- und Führungskräften
auf Augenhöhe – mit praxiserprobten Lösungsansätzen aus dem Kreis deiner Peers.
Bekannt aus
S+P als Fachexperte in den Medien – Governance & Haftung für Geschäftsführer
Bankenrichtlinienumsetzungs- und Bürokratieentlastungsgesetz (BRUBEG): Neue ESG‑Pflichten für Banken nach CRD VI und CRR III
Das BRUBEG ist beschlossene Sache! Mit den neuen §§ 26c und 26d KWG ziehen ESG-Risiken endgültig in das Kerngeschäft der Banken ein. Erfahre hier, welche Pflichten bis 2027 auf dein Institut zukommen, wie du von Erleichterungen profitierst und was der Finanzausschuss in letzter Minute geändert hat.
[index]
BRUBEG · CRD VI Umsetzung
ESG-Regulierungsarchitektur im KWG
Neue Vorschriften und ihre Verzahnung mit dem bestehenden Aufsichtsrecht – Stand 29.01.2026
Neue Kernvorschriften
§ 26c KWG (neu)
ESG-Risiken im Risikomanagement
Zentrale Integrationsvorschrift: ESG-Risiken müssen in alle bestehenden Risikomanagement-Prozesse nach § 25a KWG eingebettet werden – von Strategie über Stresstests bis zur Vergütung.
RisikostrategieStresstestsVergütungGovernance≥ 10 J. Horizont
§ 26d KWG (neu)
ESG-Risikoplan
Spezifischer Plan zur Überwachung und Steuerung von ESG-Risiken mit quantifizierbaren Zielen, Kennzahlen und Überwachungsverfahren – kohärent mit Offenlegungspflichten.
Quantifizierbare ZieleE + S + G FaktorenKlimabeiratKohärenz
Geänderte bestehende Vorschriften
🔍
SREP-Integration
§ 6b Abs. 2 Nr. 15 KWG
ESG-Risikoplan, Transformationsstrategie und Kreditbearbeitungsrichtlinien werden Prüfgegenstand im aufsichtlichen Überprüfungsprozess.
🛡️
Systemischer Kapitalpuffer
§ 10e Abs. 2 KWG
Kapitalpuffer kann künftig auch für systemische Risiken aus Umwelt- und Klimarisiken angeordnet werden.
⚡
Aufsichtliche Anordnung
§ 45 Abs. 2 Nr. 15 KWG
BaFin kann Verringerung von ESG-Risiken anordnen – inkl. Nachschärfung des ESG-Risikoplans und Anpassung der Geschäftsstrategie.
📋
Anzeigepflicht
§ 24 Abs. 1 Nr. 16 KWG
Genehmigung oder wesentliche Änderung des ESG-Risikoplans muss BaFin und Bundesbank angezeigt werden.
💰
Vergütungsparameter
§ 4 S. 3 InstitutsVergV
Vergütungsparameter müssen ESG-Risiken berücksichtigen; Risikoausschuss prüft ESG in der Vergütungsstruktur.
Das BRUBEG (Bankenrichtlinienumsetzungs- und Bürokratieentlastungsgesetz) integriert ESG-Risiken offiziell ins Kerngeschäft der Banken. Nachhaltigkeit wird damit Pflicht im Risikomanagement (§ 25a KWG), statt optionalem „Nice-to-have“-Thema.
Mit § 26c KWG müssen Banken ESG-Risiken über alle Ebenen steuern und strategisch verankern, inklusive Personal, IT und Vorstandskompetenzen. § 26d KWG verlangt einen spezifischen ESG-Risikoplan mit quantifizierbaren Zielen, Kohärenz zu anderen Offenlegungen und Berücksichtigung regulatorischer Transitionsrisiken.
Kleine Institute können sich bis 2029 zunächst auf Klimarisiken konzentrieren, qualitative Ziele nutzen und müssen die Strategien nur alle zwei Jahre prüfen. Ziel ist, den Aufwand auf ein sinnvolles Maß zu begrenzen (§ 26d Abs. 1 KWG).
Förderbanken sind von ESG-Berichtspflichten ausgenommen. Zudem sinkt das Risikogewicht für Beteiligungspositionen im Förderauftrag von 250 % auf 100 %, was die Eigenmittelanforderungen deutlich reduziert.
Die BaFin kann Anpassungen an der Geschäftsstrategie anordnen (§ 45 KWG), wenn ESG-Risiken als zu hoch bewertet werden. Nichtbeachtung kann zu aufsichtsrechtlichen Maßnahmen und erhöhtem Risiko für das Institut führen.
Banken müssen nicht nur beurteilen, wie ESG-Risiken das Institut betreffen, sondern auch, wie die Aktivitäten der Bank Umwelt und Gesellschaft beeinflussen. Dies ist zentral für die ESG-Strategie und den Risikoplan.
Der ESG-Risikoplan muss mit bestehenden Offenlegungspflichten, wie CSRD oder EU-Transparenzanforderungen, kohärent sein. Ziel ist eine konsistente und nachvollziehbare Berichterstattung.
BRUBEG: Der neue ESG-Fahrplan für Banken – Was du jetzt wissen musst
Das Bankenrichtlinienumsetzungs- und Bürokratieentlastungsgesetz (BRUBEG) markiert einen Wendepunkt in der deutschen Bankenregulierung. Seit der Verabschiedung am 29. Januar 2026 ist klar: Nachhaltigkeitsrisiken sind keine „Nice-to-have“-Themen mehr, sondern integraler Bestandteil des Risikomanagements (§ 25a KWG).
Die gute Nachricht: Der Gesetzgeber verzichtet auf „Gold-Plating“ und nutzt Spielräume für kleine Institute konsequent aus.
Geschäftsleiter – Haftung & Verantwortung bei ESG-Risiken
Als Geschäftsleiter trägst du die Gesamtverantwortung für Organisation,
Risikomanagement und Compliance deines Instituts. Mit der Umsetzung des BRUBEG
rückt deine persönliche Verantwortung für ESG-Risiken stärker in den Fokus.
§ 26c und § 26d KWG verpflichten dich, ESG-Risiken systematisch zu steuern
und den ESG-Risikoplan korrekt zu erstellen. Fehlende Governance oder
unzureichende Umsetzung kann zu aufsichtsrechtlichen Maßnahmen und persönlicher Haftung führen.
Verantwortung für die Integration von ESG in Strategie, Risikomanagement und Geschäftsprozesse
Sicherstellung, dass Vorstand und Aufsichtsrat die erforderliche ESG-Sachkunde besitzen
Einhalten der Vorgaben zu ESG-Risikoplan, Reporting und SREP-Check
Schutz des Instituts und des eigenen Haftungsrisikos bei hoher ESG-Risikobelastung
Geschäftsleiter Quick-Check: ESG & Haftungsrisiko
Check
Fragestellung
Strategie-Check Ist ESG fest in Strategie, Risikomanagement und Geschäftsprozesse integriert (§ 26c KWG)?
Risikoplan-Check Wurde ein spezifischer ESG-Risikoplan erstellt und der BaFin angezeigt (§ 26d KWG)?
Double Materiality Wird sowohl die Wirkung der Bank auf Umwelt/Gesellschaft als auch das Risiko für die Bank selbst bewertet?
Vorstandskompetenz Verfügt Vorstand/Aufsichtsrat über notwendige ESG-Sachkunde?
Operationalisierungs-Check Sind ESG-Risiken in der Risikoinventur verankert und für SREP-Check dokumentiert?
Governance-Check Existiert ein verbindlicher ESG-Governance-Rahmen inkl. Prozesse & Reporting?
Erleichterungen LSI Wurden Privilegien für kleine Institute sinnvoll genutzt?
🚦 Live-Auswertung
ROT
Akutes Haftungs- oder Aufsichtsrisiko
GELB
Governance-Lücken vorhanden
GRÜN
ESG-Governance solide implementiert
Die neuen Herzstücke: § 26c und § 26d KWG
Mit der Einführung zwei völlig neuer Paragrafen wird die ESG-Integration konkret:
§ 26c KWG – ESG im Risikomanagement
Institute müssen ESG-Risiken nun über alle Ebenen hinweg steuern. Besonders spannend: Der Gesetzgeber verlangt einen Zeithorizont von mindestens 10 Jahren.
Strategie: ESG-Ziele müssen in der Gesamt- und Risikostrategie dokumentiert werden.
Personal & IT: Die Ausstattung muss ausreichen, um langfristige ESG-Effekte zu beurteilen.
Geschäftsleitung: Vorstände müssen über spezifische ESG-Kenntnisse verfügen – inklusive der Auswirkungen des Instituts auf die Umwelt (Double Materiality).
§ 26d KWG – Der ESG-Risikoplan
Jedes Institut muss einen spezifischen Plan zur Überwachung und Steuerung finanzieller ESG-Risiken erstellen. Dieser muss:
Quantifizierbare Ziele und Kennzahlen enthalten.
Mit anderen Offenlegungen (z. B. CSRD) kohärent sein.
Regulatorische Transitionsrisiken der EU adressieren.
§ 26d KWG (neu)
Der ESG-Risikoplan
Fünf Mindestanforderungen an den spezifischen Plan zur Überwachung und Steuerung von ESG-Risiken
1
Risikoadressierung
Finanzielle Risiken aus E-, S- und G-Faktoren adressieren – inkl. regulatorischer Transitionsrisiken der EU, der Mitgliedstaaten und ggf. Drittstaaten
§ 26d Abs. 1 Nr. 1
2
Zeithorizont ≥ 10 Jahre
Überwachung und Steuerung auf kurze, mittlere und lange Sicht – mindestens 10 Jahre vorausschauend
§ 26d Abs. 1 Nr. 2
3
Quantifizierbare Ziele & Kennzahlen
Dem Geschäftsmodell angemessene, messbare Ziele und KPIs zur Risikosteuerung festlegen sowie Überwachungsverfahren definieren
§ 26d Abs. 1 Nr. 3
4
Klimawissenschaftliche Fundierung
Aktuellste Berichte des Europäischen Wissenschaftlichen Beirats für Klimawandel berücksichtigen – insbesondere zur Erreichung der EU-Klimaziele
§ 26d Abs. 1 Nr. 4
5
Kohärenz mit Offenlegung
ESG-Risikoplan muss mit sonstigen offenzulegenden Angaben konsistent sein (Pillar 3, CSRD)
§ 26d Abs. 1 Nr. 5
Erleichterungen für kleine & vergleichbare Institute
🌱
Nur Klima bis 2029
ESG-Risikoplan darf bis 31.12.2029 auf Umwelt-/Klimarisiken beschränkt werden
§ 26d Abs. 1 S. 5
📝
Qualitativ statt quantitativ
Rein qualitative Ziele möglich, wenn Quantifizierung unverhältnismäßig – nach Anzeige bei BaFin
§ 26d Abs. 1 S. 6
🔬
Klimabeirat optional
Eigenständige Entscheidung, ob und wie Berichte des Klimawandel-Beirats berücksichtigt werden
§ 26d Abs. 1 S. 7
📊
Datenverfügbarkeit
ESG-Informationslage der Gegenparteien (CSRD, Sorgfaltspflichten, Standards) darf berücksichtigt werden
§ 26d Abs. 1 S. 4
📅
Schlüsseldatum 31.12.2029 – Ab diesem Datum müssen auch kleine Institute den ESG-Risikoplan auf alle drei Dimensionen (E + S + G) ausweiten. Die Übergangsfrist für den reinen Klimafokus endet.
Bist du bei einem „kleinen und nicht komplexen Institut“ tätig? Dann gibt es wichtige Privilegien (§ 26d Abs. 1):
Fokus bis 2029: Der ESG-Risikoplan darf sich zunächst auf Klimarisiken beschränken.
Qualität vor Quantität: Wenn die Messung zu aufwendig ist, reichen qualitative Ziele (nach Anzeige bei der BaFin).
Ein „kleines und nicht komplexes Institut“ (Small and Non‑Complex Institution, SNCI) ist ein Institut, das die in Art. 4 Abs. 1 Nr. 145 CRR genannten Kriterien erfüllt. Diese Kriterien betreffen insbesondere:
Begrenzte Bilanzsumme und geringe Größe des Geschäftsvolumens.
Ein einfaches, wenig komplexes Geschäftsmodell ohne umfangreichen Handel oder komplexe Derivatestrukturen.
Keine oder nur sehr begrenzte internationale Tätigkeiten und Vernetzungen.
Kein bedeutendes Institut im Sinne der Aufsicht (also nicht systemrelevant).
Ob ein Institut als SNCI gilt, prüft die Aufsicht anhand der CRR‑Kriterien; das Ergebnis ist dann Grundlage für die Privilegien in § 26d Abs. 1 KWG‑neu (Fokus auf Klimarisiken bis 2029, qualitative statt quantitativer ESG‑Ziele nach Anzeige bei der BaFin).
Die Last-Minute-Änderungen des Finanzausschusses
Am 28.01.2026 hat der Finanzausschuss noch einmal nachgebessert. Besonders Förderbanken können aufatmen:
Meldepflichten: Förderbanken des Bundes und der Länder sind von den ESG-Berichtspflichten ausgenommen.
Eigenmittel: Für Beteiligungspositionen im Förderauftrag sinkt das Risikogewicht von 250 % auf 100 %.
Dein Action Plan: In 3 Phasen zur Compliance
Damit du den Überblick behältst, solltest du die Umsetzung in Etappen planen:
Phase 1: Analyse & Governance (Sofort bis Q3 2026)
Gap-Analyse: Wo stehen eure Prozesse im Vergleich zu den neuen §§ 26c/26d?
Eignungsprüfung: Haben Vorstand und Aufsichtsrat die nötige ESG-Sachkunde? Ggf. Schulungen einplanen.
Vergütung: Prüft, ob die Vergütungssysteme die ESG-Risikoneigung bereits widerspiegeln (§ 4 InstitutsVergV).
Plan-Erstellung: Erarbeitet den ESG-Risikoplan mit einem 10-Jahres-Horizont.
Stresstests: Integriert internationale Klimaszenarien in eure Resilienzanalysen.
Anzeige: Denkt daran, die Aufstellung des Plans der BaFin und Bundesbank anzuzeigen (§ 24 KWG).
Phase 3: Operationalisierung (Ab Q3 2027)
Risikoinventur: ESG-Risiken müssen nun fest in der Inventur verankert sein.
SREP-Check: Bereitet die Dokumentation für die aufsichtliche Prüfung vor. Die BaFin bewertet euren ESG-Risikoplan künftig im Rahmen des SREP (§ 6b KWG).
Wichtiger Hinweis: Die BaFin hat durch § 45 KWG nun eine neue „Scharfe Waffe“: Sie kann spezifische Anpassungen an deiner Geschäftsstrategie anordnen, wenn deine ESG-Risiken kurz- oder langfristig zu hoch erscheinen.
Action Plan
BRUBEG · ESG-Umsetzungsfahrplan
Dreiphasiger Implementierungsplan mit Sonderregelungen für kleine Institute und Förderbanken
Strategische Exzellenz auf C-Level erfordert kontinuierliche Orientierung. Damit du nach deinem Lehrgang nicht allein gelassen wirst, haben wir S+P C.O.R.E. entwickelt.
S+P Mehrwert-Garantie: Dein Wissens-Vorsprung für 2026
Jede Buchung eines S+P Seminars beinhaltet automatisch den kostenfreien Zugang zum quartalsweisen S+P C.O.R.E. Executive Update. Warum? Weil wir wissen, dass die regulatorische Welt nicht stillsteht. Wir halten dein Wissen aktuell – garantiert.
Dein Mehrwert mit S+P C.O.R.E.
Fokusbereich
Dein konkreter Mehrwert
Compliance
Sicherheit im Handeln:
Einordnung aktueller Anforderungen (z. B. DORA / NIS 2, EU AI Act, ESG, Compliance),
damit du genau weißt, was für Haftung und Praxis tatsächlich relevant ist.
Optimization
Effizienz statt Bürokratie:
Umsetzung regulatorischer Vorgaben mit smarten Prozessen,
geeigneten Tools und effizienten Outsourcing-Strukturen.
Regulatory
Frühwarnsystem nutzen:
Strukturierte Bewertung neuer Aufsichtsschwerpunkte und
regulatorischer Trends, bevor sie zum akuten Handlungsdruck werden.
Exchange
Vorsprung durch Dialog:
Austausch im geschützten Raum mit Fach- und Führungskräften
auf Augenhöhe – mit praxiserprobten Lösungsansätzen aus dem Kreis deiner Peers.
Bekannt aus
S+P als Fachexperte in den Medien – Governance & Haftung für Geschäftsführer
Schatten-KI im Unternehmen: Wie du als Geschäftsführer das Haftungsrisiko beherrschst
Stell dir vor, in deiner Marketingabteilung werden Pressemitteilungen mit ChatGPT optimiert, dein Controlling lässt Quartalszahlen von einer KI analysieren und die HR-Abteilung nutzt ein praktisches Tool zur Vorauswahl von Bewerbern. Klingt nach dem Traum eines jeden CEO? Absolut. Doch wenn diese Tools ohne deine offizielle Freigabe und ohne Sicherheitsleitplanken genutzt werden, spricht man von Schatten-KI.
Was früher als „Schatten-IT“ (der private Drucker unter dem Schreibtisch) begann, hat durch generative KI eine völlig neue Eskalationsstufe erreicht. Mit dem Inkrafttreten des EU AI Acts wird das, was deine Mitarbeitenden „einfach mal ausprobieren“, für dich als Geschäftsführer zur unmittelbaren persönlichen Haftungsfalle.
Die 3 Säulen der KI-Haftung
Regulatorische Haftung: Bußgelder bis zu 35 Mio. € oder 7 % des Weltumsatzes (Art. 99 EU AI Act).
Zivilrechtliche Haftung: Schadensersatz bei Fehlentscheidungen oder Urheberrechtsverletzungen.
Persönliche Haftung: Durchgriff auf dein Privatvermögen bei Organisationsverschulden (§ 43 GmbHG).
[index]
Schatten-KI im Unternehmen – Definition & Haftungsrelevanz
Aspekt
Schatten-KI im Unternehmensalltag
Definition
Nutzung von KI-Tools durch Mitarbeitende ohne
offizielle Freigabe, Governance, IT-Sicherheitsprüfung
oder rechtliche Leitplanken.
Typische Beispiele
ChatGPT für Texte, KI-Tools zur Bewerbervorauswahl,
KI-Analyse von Finanz- oder Controlling-Daten,
Einsatz privater KI-Accounts.
Motivation der Mitarbeitenden
Effizienzsteigerung, Zeitersparnis,
bessere Arbeitsergebnisse – meist ohne
Regelbruch-Absicht.
Zentrales Problem
Nutzung außerhalb von Compliance,
Datenschutz, IT-Sicherheit und
interner Kontrollmechanismen.
Rechtlicher Status
Keine Auftragsverarbeitungsverträge (AVV),
keine Datensicherheitsprüfung,
keine Kontrolle über Datenverwendung
und Modelltraining.
Risiko für dich als Geschäftsführer
Entstehung eines massiven Compliance-Lecks
mit persönlicher Haftungsgefahr
nach DSGVO, EU AI Act und
§ 43 GmbHG (Organisationsverschulden).
FAQ: Schatten-KI, EU AI Act & Haftung der Geschäftsführung
Schatten-KI bezeichnet den Einsatz von KI-Tools durch Mitarbeitende ohne
offizielle Freigabe, Governance oder Sicherheitsleitplanken.
Typisch sind private Accounts bei ChatGPT, Gemini oder spezialisierten
KI-Tools, die für Texte, Analysen oder HR-Prozesse genutzt werden.
Als Geschäftsführer giltst du rechtlich als Betreiber aller im Unternehmen
eingesetzten KI-Systeme – unabhängig davon, wer sie eingeführt hat.
Schatten-KI kann zu DSGVO-Verstößen, Verstößen gegen den EU AI Act
und persönlicher Haftung wegen Organisationsverschuldens führen.
Der EU AI Act stuft KI-Systeme in Risikoklassen ein.
Werden Hochrisiko-KI-Systeme (z. B. HR-Scoring oder Leistungsbewertung)
unkontrolliert als Schatten-KI genutzt, verletzt du zentrale Pflichten
wie Risikomanagement, Dokumentation und menschliche Aufsicht.
Persönliche Haftung droht, wenn du weißt oder wissen müsstest,
dass KI im Unternehmen genutzt wird, aber keine angemessenen
Governance-Strukturen schaffst.
In diesem Fall liegt Organisationsverschulden nach § 43 GmbHG vor.
Der EU AI Act sieht Bußgelder von bis zu
35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes vor.
Schatten-KI kann damit zu einem existenzbedrohenden Risiko
für das Unternehmen werden.
Nein. Reine Verbote führen meist zu noch mehr Schatten-KI.
Entscheidend ist ein strukturierter Governance-Rahmen,
der Innovation erlaubt und gleichzeitig Haftungsrisiken minimiert.
Der AI Compliance Officer ist eine zentrale Governance-Rolle,
die regulatorische Anforderungen aus dem EU AI Act,
DSGVO und internen Richtlinien in den Arbeitsalltag übersetzt.
Er koordiniert IT, Recht, Fachabteilungen und Geschäftsführung.
Starte mit einer KI-Inventur, klassifiziere die eingesetzten Tools
nach Risikoklassen und etabliere eine verbindliche AI Policy.
So reduzierst du Haftungsrisiken und schaffst Rechtssicherheit.
Eine AI Policy definiert erlaubte Tools, den Umgang mit Daten,
Transparenzpflichten und Human-in-the-loop-Regeln.
Sie zeigt Aufsichtsbehörden, dass du deiner Organisationspflicht
aktiv nachkommst.
Im Gegenteil: Klare KI-Governance schafft Vertrauen,
beschleunigt sichere Innovation und schützt dich
vor Bußgeldern, Reputationsschäden und persönlicher Haftung.
Das unsichtbare Risiko: Was ist Schatten-KI wirklich?
Schatten-KI entsteht im Vakuum zwischen technologischer Innovation und veralteten Unternehmensrichtlinien. Das Paradoxe: Deine Mitarbeitenden handeln meist in bester Absicht. Sie wollen keine Sicherheitsbarrieren durchbrechen, sondern Prozesse beschleunigen. Sie nutzen private Accounts für ChatGPT, Gemini oder DeepL, um Präsentationen zu strukturieren, Code zu debuggen oder sensible E-Mails zu übersetzen.
Das Problem: Die unsichtbare Datenabwanderung. Diese Nutzung findet in einem völlig ungeschützten Raum statt. Ohne Verträge zur Auftragsverarbeitung (AVV) und ohne technische Absicherung (z.B. API-Sperren für Training) werden deine Unternehmensdaten zum Allgemeingut der KI-Anbieter.
Keine Kontrolle: Du weißt nicht, welche Daten das Haus verlassen.
Keine Sicherheit: Private Accounts bieten keine Enterprise-Schutzwälle.
Kein Urheberrecht: Werden KI-generierte Inhalte ungeprüft übernommen, drohen rechtliche Grauzonen beim Schutz deines geistigen Eigentums.
Aus einer vermeintlich harmlosen Arbeitserleichterung wird so über Nacht ein massives Compliance-Leck, das bei der nächsten Prüfung durch Aufsichtsbehörden direkt auf deinen Schreibtisch zurückfällt.
Haftung & Verantwortung bei Schatten-KI
Geschäftsführer – Haftung & Verantwortung bei Schatten-KI
Als Geschäftsführer trägst du die Gesamtverantwortung für Organisation,
Compliance und Risikomanagement deines Unternehmens.
Mit dem Einsatz von KI – auch in Form von Schatten-KI –
rückt deine persönliche Haftung stärker denn je in den Fokus.
Der EU AI Act macht dich rechtlich zum Betreiber aller im Unternehmen
eingesetzten KI-Systeme – unabhängig davon, ob diese offiziell eingeführt
oder von Mitarbeitenden eigenständig genutzt werden.
Fehlende Governance wird damit schnell zu einem persönlichen Risiko.
Verantwortung für Aufbau einer wirksamen KI-Governance-Struktur
Sicherstellung von DSGVO-, AI-Act- und Compliance-Konformität
Vermeidung von Organisationsverschulden nach § 43 GmbHG
Schutz des Unternehmens und des privaten Haftungsvermögens
Transparenz-Check Übersicht aller genutzten KI-Tools vorhanden?
Betreiber-Check (EU AI Act) Betreiberrolle rechtlich verstanden?
Hochrisiko-Check HR-, Scoring- oder Controlling-KI geprüft?
DSGVO- & Daten-Check Daten-Ampel klar definiert?
Governance-Check AI Policy vorhanden?
Organisationspflicht Nachweisbare Governance?
Rollen-Check AI Compliance Officer definiert?
🚦 Live-Auswertung
ROT
Akutes Haftungsrisiko
GELB
Governance-Lücken
GRÜN
Gute KI-Governance
Die neue Rechtslage: Warum Abwarten keine Option mehr ist
Die Schonfrist ist vorbei. Seit dem vollständigen Inkrafttreten der maßgeblichen Teile des EU AI Acts im Jahr 2025 ist die regulatorische Landschaft für KI in Stein gemeißelt. Was früher als Grauzone galt, ist heute ein klar definiertes Rechtsfeld. Wer heute noch behauptet, von der KI-Nutzung seiner Mitarbeitenden nichts zu wissen, agiert nach den aktuellen Maßstäben der Aufsichtsbehörden grob fahrlässig.
Der AI Act als Haftungsbeschleuniger
Die Verordnung teilt KI-Systeme in Risikoklassen ein. Das Tückische: Sobald ein KI-System in deinem Unternehmen eingesetzt wird, giltst du rechtlich als Betreiber. Es spielt keine Rolle, ob du die Lizenz gekauft hast oder ob ein Werkstudent ein Gratis-Tool nutzt.
Besonders kritisch wird es bei sogenannten Hochrisiko-KI-Systemen. Dazu gehören fast alle Anwendungen, die in die Grundrechte von Menschen eingreifen:
Personalwesen: KI zur Sortierung von Lebensläufen oder zur Bewertung der Arbeitsleistung.
Finanzwesen: Systeme zur Kreditwürdigkeitsprüfung.
Zugang zu Leistungen: KI-basierte Kundenbewertungen (Scoring).
Wenn solche Systeme unkontrolliert als Schatten-KI in deinem Haus laufen, verletzt du direkt die strengen Auflagen für Risikomanagement, technische Dokumentation und menschliche Aufsicht.
Das finanzielle Damoklesschwert
Die Sanktionen sind drakonisch. Verstöße gegen den AI Act können Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes nach sich ziehen. Für dich als Geschäftsführer bedeutet das: Ein Ignorieren der Schatten-KI ist keine Nachlässigkeit mehr, sondern ein existenzbedrohendes Risiko für die Gesellschaft.
Die doppelte Haftungsfalle für die Geschäftsführung
Du haftest nicht nur gegenüber der Aufsichtsbehörde, sondern stehst an zwei Fronten unter Beschuss.
1. Daten-Exfiltration und der Verlust von IP
Wenn Mitarbeitende Firmengeheimnisse in eine öffentliche KI eingeben, verlassen diese Daten deinen Kontrollbereich. Viele KI-Modelle nutzen die Eingaben (Prompts), um ihre Algorithmen weiter zu trainieren.
DSGVO-Verstöße: Personenbezogene Kundendaten landen auf Servern außerhalb der EU.
IP-Verlust: Deine Strategiepapiere oder Produktdetails werden Teil des globalen Wissensschatzes des KI-Anbieters.
Urheberrecht: Werden KI-generierte Inhalte ohne Prüfung verwendet, riskierst du teure Abmahnungen wegen Urheberrechtsverletzungen.
2. Das Organisationsverschulden (§ 43 GmbHG)
Als Geschäftsführer bist du zur „Sorgfalt eines ordentlichen Geschäftsmannes“ verpflichtet. Wenn du weißt (oder wissen müsstest), dass KI im Unternehmen genutzt wird, aber keine Governance-Strukturen schaffst, handelst du fahrlässig. In diesem Fall greift die Durchgriffshaftung: Du könntest bei schweren Fehlern der KI persönlich mit deinem Privatvermögen haften, weil du die erforderliche Organisation und Überwachung unterlassen hast.
Beweislast und Haftungsregeln bei KI-Schäden
Auf EU‑Ebene wurde mit der vorgeschlagenenKI‑Haftungsrichtlinie (Artificial Intelligence Liability Directive, AILD)ein eigenständiger Rahmen für zivilrechtliche Haftung bei KI‑Schäden diskutiert. Ziel dieses Entwurfs war es, Geschädigten den Zugang zu Beweismitteln zu erleichtern und in bestimmten Konstellationen eine widerlegliche Vermutung für den Kausalzusammenhang zwischen Pflichtverstoß und Schaden einzuführen, insbesondere wenn Dokumentations‑ und Sorgfaltspflichten verletzt wurden.
Politisch ist allerdings offen,ob und in welcher Schärfediese Haftungsmechanismen tatsächlich umgesetzt werden; der ursprüngliche AILD‑Vorschlag wurde zwischenzeitlich zurückgenommen bzw. grundlegend überarbeitet und es ist eher nicht damit zu rechnen, dass die ursprünglich sehr weitreichenden Beweislastregeln 1:1 in geltendes Recht übergehen.
Schatten-KI & EU AI Act – Haftungsrisiken für Geschäftsführer
Risikobereich
Konsequenz für dich als Geschäftsführer
Betreiberrolle nach EU AI Act
Du giltst rechtlich als Betreiber jedes eingesetzten KI-Systems –
auch wenn ein Mitarbeitender ein kostenloses Tool ohne Freigabe nutzt.
Hochrisiko-KI
KI-Systeme in HR, Controlling, Scoring oder Leistungsbewertung
unterliegen strengen Auflagen zu Risikomanagement,
Dokumentation und menschlicher Aufsicht.
Pflichtverletzungen
Fehlende Risikoanalyse, keine technische Dokumentation
und kein Human-in-the-loop führen direkt zu
Verstößen gegen den EU AI Act.
Bußgelder
Sanktionen von bis zu 35 Mio. € oder 7 % des weltweiten
Jahresumsatzes sind möglich – auch bei fahrlässigem Handeln.
DSGVO-Verstöße
Personenbezogene Daten in KI-Systemen ohne AVV
oder EU-konforme Verarbeitung führen zu
zusätzlichen Datenschutz-Bußgeldern.
Persönliche Haftung
Fehlende KI-Governance kann als
Organisationsverschulden (§ 43 GmbHG)
gewertet werden – mit persönlicher Haftung.
Dein Weg aus der Haftung: Strategische Governance
Die Lösung ist nicht das Verbot – Verbote führen nur zu noch mehr Schatten-Aktivitäten. Die Lösung ist ein strukturierter Rahmen, der Innovation ermöglicht und Haftung minimiert.
Der AI Compliance Officer (AI-CO) als Rettungsanker
Du brauchst eine zentrale Rolle, die zwischen der IT, der Rechtsabteilung und der Geschäftsführung vermittelt. Der AI Compliance Officer ist kein Programmierer. Er ist ein Governance-Manager. Er sorgt dafür, dass die regulatorischen Anforderungen des AI Acts in den Arbeitsalltag übersetzt werden.
Wichtig für dich: Die Benennung eines AI-CO ist dein stärkstes Signal für aktive Compliance. Im Falle einer Prüfung durch die Aufsichtsbehörden dient die Etablierung dieser Rolle als direkter Entlastungsbeweis (Exkulpation). Du dokumentierst damit schwarz auf weiß, dass du deiner Überwachungspflicht als Geschäftsführer nachkommst und das Risiko nicht ignorierst.
Schritt 1: Die KI-Inventur
Du kannst nicht managen, was du nicht kennst. Starte einen Prozess zur Erfassung aller genutzten Systeme.
Nutze ein standardisiertes KI-Inventar (z. B. auf Excel-Basis).
Erfasse: Welches Tool? Wer nutzt es? Welche Daten fließen hinein? Welchem Zweck dient es?
Vergleiche dies mit Art. 6 des AI Acts, um die Risikoklasse zu bestimmen.
Schritt 2: Die Risiko-Klassifizierungs-Matrix
Nicht jedes Tool ist gefährlich. Ein Tool, das nur Marketing-Slogans für Turnschuhe schreibt, ist unbedenklich. Ein Bot, der über die Bonus-Zahlungen deiner Angestellten mitentscheidet, ist Hochrisiko. Erstelle eine Matrix, mit der deine Fachabteilungen selbstständig prüfen können, in welche Kategorie ihr Wunsch-Tool fällt. Das nimmt den Druck von der IT und schafft Klarheit.
Schritt 3: Die verbindliche AI Policy
Ersetze das „Vielleicht“ durch ein klares „So machen wir es“. Eine gute AI Policy sollte folgende Punkte enthalten:
Whitelist: Welche Tools (z. B. Enterprise-Versionen von Copilot) sind erlaubt?
Daten-Ampel: Was darf rein? (Grün: Öffentliche Texte; Gelb: Interna ohne Personenbezug; Rot: Kundendaten, Bilanzen).
Transparenzgebot: KI-generierte Ergebnisse müssen als solche gekennzeichnet werden.
Human-in-the-loop: Kein KI-Ergebnis darf ungeprüft an Kunden oder Behörden gehen.
Praxis-Case: Die 500.000-Euro-Halluzination
Die Situation: Ein Senior-Projektleiter in einem mittelständischen Unternehmen möchte Zeit sparen. Für ein komplexes internationales Infrastruktur-Angebot nutzt er seinen privaten ChatGPT-Account, um die umfangreichen Vertragsbedingungen und Kalkulationsgrundlagen zusammenzufassen und auf Inkonsistenzen zu prüfen.
Der Vorfall: Die KI unterliegt einer sogenannten „Halluzination“: Sie übersieht eine versteckte Pönale-Klausel (Vertragsstrafe) bei Lieferverzug und gibt stattdessen aus, dass die Haftung gedeckelt sei. Der Projektleiter verlässt sich auf die Zusammenfassung, das Angebot wird abgegeben und der Auftrag gewonnen.
Die Folgen:
Finanzieller Schaden: Durch Lieferengpässe wird die Klausel schlagend. Das Unternehmen muss 500.000 € Strafe zahlen, die bei korrekter Kalkulation im Preis inkludiert oder wegverhandelt worden wäre.
Haftung der Geschäftsführung: Da das Tool „Schatten-KI“ war, gab es keine technische Dokumentation und kein Vier-Augen-Prinzip (Human-in-the-loop). Die Gesellschafter werfen dem Geschäftsführer Organisationsverschulden vor: Es gab keine Policy, die die Nutzung privater KI-Tools für geschäftskritische Kalkulationen untersagte.
Datenschutz: Da der Projektleiter auch Namen von Ansprechpartnern und interne Preislisten hochgeladen hat, leitet die Datenschutzbehörde zusätzlich ein Bußgeldverfahren wegen unzulässiger Datenübermittlung in ein Drittland ein.
Das Learning: Ohne eine AI Policy und ein KI-Inventar wäre dieser Vorfall vermeidbar gewesen. Mit einer klaren Regelung hätte der Projektleiter ein internes, abgesichertes System nutzen müssen, bei dem die finale menschliche Prüfung zwingend vorgeschrieben ist.
Unternehmensrichtlinie zur Nutzung von Künstlicher Intelligenz (AI Policy)
Status: Muster-Vorlage (Stand: Februar 2026) Geltungsbereich: Alle Mitarbeitenden, Freelancer und externen Dienstleister der
[Unternehmensname].
1. Präambel
Künstliche Intelligenz (KI) ist ein zentraler Baustein für die zukünftige Wettbewerbsfähigkeit
der [Unternehmensname]. Diese Richtlinie regelt den verantwortungsvollen Einsatz
von KI-Tools, um rechtliche Risiken – insbesondere aus dem EU AI Act und der DSGVO –
zu minimieren sowie Geschäftsgeheimnisse und personenbezogene Daten zu schützen.
2. KI-Whitelist (Erlaubte Werkzeuge)
Es dürfen ausschließlich KI-Anwendungen genutzt werden, die durch die IT-Abteilung
und den AI Compliance Officer (AI-CO) freigegeben wurden.
Zugelassene Tools: z. B. Microsoft 365 Copilot (Enterprise), ChatGPT Enterprise, interne KI-Instanzen.
Verbotene Tools: Private Accounts, nicht autorisierte Gratis-Tools und jede Form von Schatten-KI.
3. Daten-Ampel (Was darf in die KI?)
Status
Datenkategorie
Erlaubte Aktion
GRÜN
Öffentlich verfügbare Daten, allgemeine Marketingtexte, Code-Fragmente ohne Kernlogik
Uneingeschränkte Nutzung in freigegebenen Tools
GELB
Interne Protokolle, Projektpläne ohne Kundenbezug, Strategieentwürfe
Nur in Enterprise-Instanzen mit vertraglich zugesichertem Datenschutz
Kennzeichnung: Alle KI-erzeugten Inhalte, die an Externe gehen,
sind als „KI-generiert“ oder „KI-unterstützt“ zu kennzeichnen.
Keine Automatisierung ohne Aufsicht:
KI-Ergebnisse dürfen niemals ungeprüft verwendet werden.
5. Human-in-the-Loop-Prinzip
Jeder Mitarbeitende trägt die volle Verantwortung für unter KI-Unterstützung
erstellte Arbeitsergebnisse.
Prüfung von Fakten, Berechnungen und rechtlichen Inhalten auf Richtigkeit
Bewusstsein für mögliche Halluzinationen von KI-Systemen
Ungeprüfte Übernahme gilt als Verstoß gegen die interne Sorgfaltspflicht
6. Meldepflicht bei Sicherheitsvorfällen
Werden versehentlich schutzwürdige Daten (Kategorie ROT) in eine KI eingegeben,
ist dies unverzüglich dem AI Compliance Officer oder dem Datenschutzbeauftragten
zu melden, um geeignete Gegenmaßnahmen einzuleiten.
7. Sanktionen
Verstöße gegen diese Richtlinie können arbeitsrechtliche Konsequenzen
nach sich ziehen und bei Bußgeldern nach dem EU AI Act
zu Regressforderungen führen.
Unterschrift Geschäftsführung
Ort, Datum
Hinweis: Diese Muster-Vorlage dient der Veranschaulichung und muss vor der Implementierung auf die spezifische IT-Infrastruktur und Rechtslage deines Unternehmens angepasst werden.
Praktische Werkzeuge für die Umsetzung
Um die Theorie in die Praxis umzusetzen, solltest du auf bewährte Toolbox-Ansätze setzen. Ein „S+P-Toolbox-Ansatz“ hilft dir dabei, das Rad nicht neu zu erfinden.
AI-Policy-Muster: Nutze Vorlagen, die bereits auf die rechtlichen Besonderheiten von DSGVO und AI Act abgestimmt sind.
Lieferanten-Checkliste: Wenn du neue Software kaufst, muss dein Einkauf prüfen, ob der Anbieter die Anforderungen des AI Acts erfüllt (technische Dokumentation, Audit-Fähigkeit).
Schulungsprogramme: Deine Mitarbeitenden müssen verstehen, warum sie ihre privaten Accounts nicht nutzen dürfen. Nur durch Bildung reduzierst du das Risiko von Anwendungsfehlern.
Schatten-KI ist weit mehr als ein IT-Problem. Es ist eine Frage deiner persönlichen Haftung und der Zukunftsfähigkeit deines Unternehmens. Wenn du die Zügel jetzt in die Hand nimmst, verwandelst du ein unkontrolliertes Risiko in einen rechtssicheren Innovationsprozess.
Indem du einen AI Compliance Officer einsetzt und klare Leitplanken durch ein KI-Inventar und eine AI Policy setzt, schützt du dich vor Bußgeldern und nutzt das volle Potenzial der künstlichen Intelligenz – ohne dabei den Boden unter den Füßen zu verlieren.
Was ist dein nächster Schritt? Möchtest du, dass ich dir einen Entwurf für eine erste AI Policy erstelle, die du direkt an deine Abteilungsleiter schicken kannst, oder soll ich dir eine Checkliste für die KI-Inventur ausarbeiten?
Strukturierte Darstellung des AI Act (nicht amtlich, aber auf Basis des Amtsblatts, sehr gut zitierbar als Sekundärquelle) Übersicht, Artikelstruktur, Risikoklassen, Zeitplan. Link:https://artificialintelligenceact.eu/the-act/
AI Act als zweisprachige (EN/DE) Website Praktische Parallelansicht der Rechtsnorm (kein Amtsblatt, aber als Arbeitstext nutzbar). Link:https://ai-act-law.eu
BaFin – Orientierungshilfe und Aufsichtssicht zu KI
BaFin – Orientierungshilfe zu IKT‑ und KI‑Risiken (Governance, Risikomanagement, Modellrisiken; meist im Kontext MaRisk/BAIT/ZAIT relevant.) Zentraler Einstieg in BaFin‑Dokumente zu KI‑bezogenen IKT‑Risiken: https://www.bafin.de
(Hinweis: Die konkrete BaFin‑„Orientierungshilfe zu KI“ wird regelmäßig im BaFin‑Journal / unter „Fachinformationen – IT‑Aufsicht“ verlinkt; für den Fachartikel können Sie über die BaFin‑Suche „Orientierungshilfe künstliche Intelligenz“ recherchieren und den konkreten PDF‑Link einfügen.)
EBA – Risikoanalysen zu neuen Technologien inkl. KI‑Risiken (ML/TF‑Risiken, KI‑betrug) EBA Opinion on ML/TF risks in the EU’s financial sector (wird alle zwei Jahre aktualisiert; enthält KI‑bezogene Passagen zu Betrug / RegTech‑Risiken): https://www.eba.europa.eu/eba-risk-assessment-and-data
(Spezifische EBA‑Leitlinien nur zu „KI“ existieren aktuell nicht als eigenständige Guideline; die EBA verweist auf Nutzung bestehender Governance‑/IKT‑Rahmen auch für KI‑Systeme. )
Bundesregierung / BMI / BMWK – nationale KI‑Strategie und Regulierung
Informationsportal der Bundesregierung zur digitalen Verwaltung / Recht (u. a. KI, Daten, Cyber‑Sicherheit) Zentraler Einstieg zu digital‑ und KI‑relevanten Rechtsinformationen: https://www.digital-made-in.de
S+P C.O.R.E.
Strategische Exzellenz auf C-Level erfordert kontinuierliche Orientierung. Damit du nach deinem Lehrgang nicht allein gelassen wirst, haben wir S+P C.O.R.E. entwickelt.
S+P Mehrwert-Garantie: Dein Wissens-Vorsprung für 2026
Jede Buchung eines S+P Seminars beinhaltet automatisch den kostenfreien Zugang zum quartalsweisen S+P C.O.R.E. Executive Update. Warum? Weil wir wissen, dass die regulatorische Welt nicht stillsteht. Wir halten dein Wissen aktuell – garantiert.
Dein Mehrwert mit S+P C.O.R.E.
Fokusbereich
Dein konkreter Mehrwert
Compliance
Sicherheit im Handeln:
Einordnung aktueller Anforderungen (z. B. DORA / NIS 2, EU AI Act, ESG, Compliance),
damit du genau weißt, was für Haftung und Praxis tatsächlich relevant ist.
Optimization
Effizienz statt Bürokratie:
Umsetzung regulatorischer Vorgaben mit smarten Prozessen,
geeigneten Tools und effizienten Outsourcing-Strukturen.
Regulatory
Frühwarnsystem nutzen:
Strukturierte Bewertung neuer Aufsichtsschwerpunkte und
regulatorischer Trends, bevor sie zum akuten Handlungsdruck werden.
Exchange
Vorsprung durch Dialog:
Austausch im geschützten Raum mit Fach- und Führungskräften
auf Augenhöhe – mit praxiserprobten Lösungsansätzen aus dem Kreis deiner Peers.
Bekannt aus
S+P als Fachexperte in den Medien – Governance & Haftung für Geschäftsführer
Im Finanzwesen bezeichnet Forbearance (deutsch: „Stundung“ oder „Entgegenkommen“) spezifische Maßnahmen, die Kreditinstitute ergreifen, wenn sich bei Kreditnehmern finanzielle Schwierigkeiten abzeichnen oder bereits eingetreten sind.
Das primäre Ziel dieser Maßnahmen ist es, die Zahlungsfähigkeit des Kreditnehmers (Schuldners) zu erhalten oder wiederherzustellen und einen drohenden Kreditausfall (Default) abzuwenden.
Forbearance-Maßnahmen sind ein zentrales Instrument im risikobewussten Kreditmanagement (Intensivbetreuung) und werden durch europäische (EBA) und nationale (BaFin/MaRisk) Vorgaben streng reguliert.
Typische Forbearance-Maßnahmen im Überblick
Wenn ein Kreditnehmer in Schwierigkeiten gerät, kann das Institut ihm mit folgenden Zugeständnissen entgegenkommen. Diese Zugeständnisse führen dazu, dass der Kredit als „gestundet“ (Forbearance Exposure – FBE) klassifiziert wird:
Maßnahme
Beschreibung
Tilgungsaussetzung
Vorübergehende Aussetzung der Rückzahlung des Kreditbetrags, um finanzielle Entlastung zu schaffen.
Zinssenkung
Reduzierung des Zinssatzes, um die laufende Belastung für den Kreditnehmer zu verringern.
Laufzeitverlängerung
Verlängerung der Kreditlaufzeit, um die monatlichen Rückzahlungsbeträge zu senken.
Forderungsverzicht
Verzicht auf einen Teil der ausstehenden Forderung durch das Kreditinstitut.
EBA-Leitlinien
Vorgaben der EBA zur Handhabung von notleidenden und gestundeten Krediten (NPEs und FBEs), inkl. 5%-Schwellenwert und SREP-Prüfung.
Der regulatorische Rahmen: EBA-Leitlinien für NPEs und FBEs
NPE (Non-Performing Exposure): Ein notleidender Kredit, bei dem der Schuldner z.B. mehr als 90 Tage in Verzug ist.
FBE (Forbearance Exposure): Ein Kredit, bei dem Forbearance-Maßnahmen gewährt wurden.
Das Hauptziel der EBA ist es, die Stabilität der Bankbilanzen durch eine nachhaltige Reduktion von NPEs zu sichern.
Schwellenwert und Risikomanagement (NPL-Quote)
Ein wesentlicher Punkt der EBA-Leitlinien ist die Etablierung eines Schwellenwerts von 5 % für die NPL-Quote (Netto-Quote notleidender Kredite). Dies ist kein „Zielwert“, sondern ein prudenzialer Rahmen:
Überschreitet ein Institut diese 5 %-Schwelle, erwarten die Aufsichtsbehörden (BaFin/Bundesbank) eine detaillierte NPE-Strategie sowie verschärfte Governance- und Betriebsvereinbarungen zur Reduktion der Ausfälle.
Aufsichtliche Bewertung (SREP)
Die EBA-Leitlinien betonen, dass Forbearance-Maßnahmen nachhaltig („viable“) sein müssen. Sie dürfen nicht nur gewährt werden, um einen Ausfall künstlich zu verschieben, sondern müssen darauf abzielen, die Rückzahlungsfähigkeit des Kreditnehmers langfristig wiederherzustellen.
Die Effektivität des NPE- und Forbearance-Managements eines Instituts wird von den zuständigen Behörden im Rahmen des Aufsichtlichen Überprüfungs- und Bewertungsprozesses (SREP) bewertet.
Umsetzung in Deutschland: Relevanz für die MaRisk
Die EBA-Leitlinien zu NPEs und Forbearance wurden direkt in die deutschen Mindestanforderungen an das Risikomanagement (MaRisk) überführt (insbesondere in den Modulen BTO 1.2.5 und BTO 2.2.4 der letzten Novellen).
Für Chief Risk Officer und die Interne Revision bedeutet dies:
Pflicht zur Früherkennung: Institute müssen über wirksame Frühwarnsysteme verfügen, um finanzielle Schwierigkeiten bei Schuldnern (und damit den Bedarf an Forbearance) rechtzeitig zu erkennen.
Pflicht zur NPE-Strategie: Institute mit erhöhten NPE-Quoten (über 5 %) müssen der BaFin eine detaillierte Strategie zum Abbau vorlegen.
Prozessanforderungen: Die MaRisk fordern klare Prozesse für die Gewährung, Überwachung und Risikobewertung von Forbearance-Maßnahmen und notleidenden Krediten.
Aufsichtlicher Forbearance‑Rahmen: EBA‑Leitlinien, MaRisk und neue EZB‑Leitlinie (EU) 2025/2595
Mit der Leitlinie (EU) 2025/2595 (EZB/2025/40) wird der bereits aus den EBA‑Leitlinien zu notleidenden und gestundeten Risikopositionen bekannte Fokus auf ein stringentes NPE‑ und Forbearance‑Management nun ausdrücklich auch für weniger bedeutende Institute im SSM geschärft.
Die nationalen Aufseher müssen künftig auf Basis von Artikel 47c CRR systematisch prüfen, ob die Risikovorsorge für NPE – einschließlich Forbearance‑Engagements – angemessen ist und die Ergebnisse in den SREP einfließen lassen, sodass unzureichende Deckung in aufsichtliche Maßnahmen (z. B. zusätzliche Eigenmittelanforderungen oder qualitative Vorgaben) münden kann.
Für Institute mit NPL‑Quoten ab 5 % entsteht damit neben den bereits in den MaRisk verankerten Pflichten zur NPE‑Strategie und Forbearance‑Policy ein zusätzlicher, europäisch harmonisierter Erwartungsrahmen zur Reduktion von Altbeständen und zur frühzeitigen, datenbasierten Steuerung von Stundungsentscheidungen.
Fazit
Forbearance ist ein notwendiges Instrument im Kreditmanagement, um auf Zahlungsschwierigkeiten von Kunden zu reagieren. Gleichzeitig ist es ein hochregulierter Bereich. Die EBA-Leitlinien und die MaRisk setzen einen strengen Rahmen, um sicherzustellen, dass diese Maßnahmen nachhaltig sind und Risiken in den Bankbilanzen transparent gesteuert werden.
Bleib auf dem neuesten Stand der MaRisk
Forbearance ist ein notwendiges Instrument im Kreditmanagement, um auf Zahlungsschwierigkeiten von Kunden zu reagieren. Gleichzeitig ist es ein hochregulierter Bereich. Die EBA-Leitlinien und die MaRisk setzen einen strengen Rahmen, um sicherzustellen, dass diese Maßnahmen nachhaltig sind und Risiken in den Bankbilanzen transparent gesteuert werden.
Forbearance (deutsch: „Stundung“ oder „Entgegenkommen“) bezeichnet Maßnahmen eines
Kreditinstituts, die greifen, wenn ein Kreditnehmer in finanzielle Schwierigkeiten gerät.
Ziel ist es, die Zahlungsfähigkeit des Kunden wiederherzustellen, indem Kreditkonditionen
temporär oder dauerhaft angepasst werden – um einen Ausfall zu vermeiden.
NPE (Non-Performing Exposure): Notleidende Kredite, z. B. mit über 90 Tagen Verzug
oder wenn der Rückfluss ohne Sicherheitenverwertung als unwahrscheinlich gilt.
FBE (Forbearance Exposure): Kredite, bei denen Zugeständnisse bzw.
Forbearance-Maßnahmen gewährt wurden. Ein FBE kann gleichzeitig ein NPE sein – muss aber nicht.
Die 5-%-Schwelle ist ein aufsichtlicher Orientierungswert. Wird sie überschritten, greift
ein strengerer prudenzieller Rahmen. Die Aufsicht (BaFin/Bundesbank) erwartet dann eine
dedizierte NPE-Strategie, verstärkte Governance-Strukturen und wirksame Maßnahmen
zum aktiven Abbau des Bestands notleidender Kredite.
ESG-Risiken effektiv bewerten (MaRisk 7.0) Auch Forbearance-Entscheidungen werden zunehmend von ESG-Faktoren beeinflusst. Erfahre, wie du diese Risiken in die Kreditbewertung integrierst.
Neue MaRisk 6.0 & Umsetzung der NPE-Guidelines Die regulatorische Basis: Wie die EBA-Leitlinien zu notleidenden Krediten (NPE) und Forbearance in deutsches Recht (MaRisk) überführt wurden.
Neuer Leitfaden zur Risikotragfähigkeit Kreditausfälle und Forbearance belasten das Eigenkapital. Lies hier, wie du die Risikotragfähigkeit (ICAAP) korrekt berechnest und steuerst.
Weiterführende Quellen
Die aufsichtsrechtlichen Anforderungen zur Behandlung notleidender Risikopositionen (NPE) ergeben sich insbesondere aus dem europäischen Aufsichtsrahmen der EZB, der Capital Requirements Regulation (CRR) sowie den Leitlinien der Europäischen Bankenaufsichtsbehörde (EBA). Auf nationaler Ebene erfolgt die Umsetzung und Konkretisierung über die MaRisk der BaFin und die dazugehörigen Erläuterungen der Deutschen Bundesbank.
EU / EZB:
Leitlinie (EU) 2025/2595 der Europäischen Zentralbank vom 10. Dezember 2025 –
EUR-Lex-Dokument
(inkl. PDF-Version:
EZB-PDF [PDF])
EU:
Verordnung (EU) Nr. 575/2013 (CRR), insbesondere Art. 47c (Mindestdeckung für NPE), Art. 36 Abs. 1 Buchst. m sowie Art. 469a (Übergangsregelungen)
EU:
Richtlinie 2013/36/EU (CRD IV), insbesondere Art. 97 (SREP) und Art. 104 (aufsichtliche Maßnahmen)
EBA:
Leitlinien zum Management notleidender und gestundeter Risikopositionen (EBA/GL/2018/06) –
EBA-Seite
EBA:
Pressemitteilung zur Veröffentlichung der finalen Leitlinien zu NPE und Forbearance –
EBA-Pressemitteilung
BaFin:
Rundschreiben 06/2024 (BA) – Mindestanforderungen an das Risikomanagement (MaRisk), 29.05.2024 –
PDF-Version [PDF]
Deutsche Bundesbank:
MaRisk-Erläuterungen zum Rundschreiben 06/2024 (BA) – Mindestanforderungen an das Risikomanagement, 29.05.2024 –
PDF-Dokument [PDF]
Sie sehen gerade einen Platzhalterinhalt von Turnstile. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Sie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Sie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
