Stell dir vor, in deiner Marketingabteilung werden Pressemitteilungen mit ChatGPT optimiert, dein Controlling lässt Quartalszahlen von einer KI analysieren und die HR-Abteilung nutzt ein praktisches Tool zur Vorauswahl von Bewerbern. Klingt nach dem Traum eines jeden CEO? Absolut. Doch wenn diese Tools ohne deine offizielle Freigabe und ohne Sicherheitsleitplanken genutzt werden, spricht man von Schatten-KI.

Was früher als „Schatten-IT“ (der private Drucker unter dem Schreibtisch) begann, hat durch generative KI eine völlig neue Eskalationsstufe erreicht. Mit dem Inkrafttreten des EU AI Acts wird das, was deine Mitarbeitenden „einfach mal ausprobieren“, für dich als Geschäftsführer zur unmittelbaren persönlichen Haftungsfalle.

Die 3 Säulen der KI-Haftung

1. Regulatorische Haftung: Bußgelder bis zu 35 Mio. € oder 7 % des Weltumsatzes (Art. 99 EU AI Act).

2. Zivilrechtliche Haftung: Schadensersatz bei Fehlentscheidungen oder Urheberrechtsverletzungen.

3. Persönliche Haftung: Durchgriff auf dein Privatvermögen bei Organisationsverschulden (§ 43 GmbHG).

Schatten-KI entsteht im Vakuum zwischen technologischer Innovation und veralteten Unternehmensrichtlinien. Das Paradoxe: Deine Mitarbeitenden handeln meist in bester Absicht. Sie wollen keine Sicherheitsbarrieren durchbrechen, sondern Prozesse beschleunigen. Sie nutzen private Accounts für ChatGPT, Gemini oder DeepL, um Präsentationen zu strukturieren, Code zu debuggen oder sensible E-Mails zu übersetzen.

Das Problem: Die unsichtbare Datenabwanderung. Diese Nutzung findet in einem völlig ungeschützten Raum statt. Ohne Verträge zur Auftragsverarbeitung (AVV) und ohne technische Absicherung (z.B. API-Sperren für Training) werden deine Unternehmensdaten zum Allgemeingut der KI-Anbieter.

• Keine Kontrolle: Du weißt nicht, welche Daten das Haus verlassen.

• Keine Sicherheit: Private Accounts bieten keine Enterprise-Schutzwälle.

• Kein Urheberrecht: Werden KI-generierte Inhalte ungeprüft übernommen, drohen rechtliche Grauzonen beim Schutz deines geistigen Eigentums.

Aus einer vermeintlich harmlosen Arbeitserleichterung wird so über Nacht ein massives Compliance-Leck, das bei der nächsten Prüfung durch Aufsichtsbehörden direkt auf deinen Schreibtisch zurückfällt.

Die Schonfrist ist vorbei. Seit dem vollständigen Inkrafttreten der maßgeblichen Teile des EU AI Acts im Jahr 2025 ist die regulatorische Landschaft für KI in Stein gemeißelt. Was früher als Grauzone galt, ist heute ein klar definiertes Rechtsfeld. Wer heute noch behauptet, von der KI-Nutzung seiner Mitarbeitenden nichts zu wissen, agiert nach den aktuellen Maßstäben der Aufsichtsbehörden grob fahrlässig.

Der AI Act als Haftungsbeschleuniger

Die Verordnung teilt KI-Systeme in Risikoklassen ein. Das Tückische: Sobald ein KI-System in deinem Unternehmen eingesetzt wird, giltst du rechtlich als Betreiber. Es spielt keine Rolle, ob du die Lizenz gekauft hast oder ob ein Werkstudent ein Gratis-Tool nutzt.

Besonders kritisch wird es bei sogenannten Hochrisiko-KI-Systemen. Dazu gehören fast alle Anwendungen, die in die Grundrechte von Menschen eingreifen:

• Personalwesen: KI zur Sortierung von Lebensläufen oder zur Bewertung der Arbeitsleistung.

• Finanzwesen: Systeme zur Kreditwürdigkeitsprüfung.

• Zugang zu Leistungen: KI-basierte Kundenbewertungen (Scoring).

Wenn solche Systeme unkontrolliert als Schatten-KI in deinem Haus laufen, verletzt du direkt die strengen Auflagen für Risikomanagement, technische Dokumentation und menschliche Aufsicht.

Das finanzielle Damoklesschwert

Die Sanktionen sind drakonisch. Verstöße gegen den AI Act können Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes nach sich ziehen. Für dich als Geschäftsführer bedeutet das: Ein Ignorieren der Schatten-KI ist keine Nachlässigkeit mehr, sondern ein existenzbedrohendes Risiko für die Gesellschaft.

Du haftest nicht nur gegenüber der Aufsichtsbehörde, sondern stehst an zwei Fronten unter Beschuss.

1. Daten-Exfiltration und der Verlust von IP

Wenn Mitarbeitende Firmengeheimnisse in eine öffentliche KI eingeben, verlassen diese Daten deinen Kontrollbereich. Viele KI-Modelle nutzen die Eingaben (Prompts), um ihre Algorithmen weiter zu trainieren.

• DSGVO-Verstöße: Personenbezogene Kundendaten landen auf Servern außerhalb der EU.

• IP-Verlust: Deine Strategiepapiere oder Produktdetails werden Teil des globalen Wissensschatzes des KI-Anbieters.

• Urheberrecht: Werden KI-generierte Inhalte ohne Prüfung verwendet, riskierst du teure Abmahnungen wegen Urheberrechtsverletzungen.

2. Das Organisationsverschulden (§ 43 GmbHG)

Als Geschäftsführer bist du zur „Sorgfalt eines ordentlichen Geschäftsmannes“ verpflichtet. Wenn du weißt (oder wissen müsstest), dass KI im Unternehmen genutzt wird, aber keine Governance-Strukturen schaffst, handelst du fahrlässig. In diesem Fall greift die Durchgriffshaftung: Du könntest bei schweren Fehlern der KI persönlich mit deinem Privatvermögen haften, weil du die erforderliche Organisation und Überwachung unterlassen hast.

Beweislast und Haftungsregeln bei KI-Schäden

Auf EU‑Ebene wurde mit der vorgeschlagenen KI‑Haftungsrichtlinie (Artificial Intelligence Liability Directive, AILD) ein eigenständiger Rahmen für zivilrechtliche Haftung bei KI‑Schäden diskutiert. Ziel dieses Entwurfs war es, Geschädigten den Zugang zu Beweismitteln zu erleichtern und in bestimmten Konstellationen eine widerlegliche Vermutung für den Kausalzusammenhang zwischen Pflichtverstoß und Schaden einzuführen, insbesondere wenn Dokumentations‑ und Sorgfaltspflichten verletzt wurden. 

Politisch ist allerdings offen, ob und in welcher Schärfe diese Haftungsmechanismen tatsächlich umgesetzt werden; der ursprüngliche AILD‑Vorschlag wurde zwischenzeitlich zurückgenommen bzw. grundlegend überarbeitet und es ist eher nicht damit zu rechnen, dass die ursprünglich sehr weitreichenden Beweislastregeln 1:1 in geltendes Recht übergehen.

Die Lösung ist nicht das Verbot – Verbote führen nur zu noch mehr Schatten-Aktivitäten. Die Lösung ist ein strukturierter Rahmen, der Innovation ermöglicht und Haftung minimiert.

Der AI Compliance Officer (AI-CO) als Rettungsanker

Du brauchst eine zentrale Rolle, die zwischen der IT, der Rechtsabteilung und der Geschäftsführung vermittelt. Der AI Compliance Officer ist kein Programmierer. Er ist ein Governance-Manager. Er sorgt dafür, dass die regulatorischen Anforderungen des AI Acts in den Arbeitsalltag übersetzt werden.

Wichtig für dich: Die Benennung eines AI-CO ist dein stärkstes Signal für aktive Compliance. Im Falle einer Prüfung durch die Aufsichtsbehörden dient die Etablierung dieser Rolle als direkter Entlastungsbeweis (Exkulpation). Du dokumentierst damit schwarz auf weiß, dass du deiner Überwachungspflicht als Geschäftsführer nachkommst und das Risiko nicht ignorierst.

Schritt 1: Die KI-Inventur

Du kannst nicht managen, was du nicht kennst. Starte einen Prozess zur Erfassung aller genutzten Systeme.

• Nutze ein standardisiertes KI-Inventar (z. B. auf Excel-Basis).

• Erfasse: Welches Tool? Wer nutzt es? Welche Daten fließen hinein? Welchem Zweck dient es?

• Vergleiche dies mit Art. 6 des AI Acts, um die Risikoklasse zu bestimmen.

Schritt 2: Die Risiko-Klassifizierungs-Matrix

Nicht jedes Tool ist gefährlich. Ein Tool, das nur Marketing-Slogans für Turnschuhe schreibt, ist unbedenklich. Ein Bot, der über die Bonus-Zahlungen deiner Angestellten mitentscheidet, ist Hochrisiko. Erstelle eine Matrix, mit der deine Fachabteilungen selbstständig prüfen können, in welche Kategorie ihr Wunsch-Tool fällt. Das nimmt den Druck von der IT und schafft Klarheit.

Schritt 3: Die verbindliche AI Policy

Ersetze das „Vielleicht“ durch ein klares „So machen wir es“. Eine gute AI Policy sollte folgende Punkte enthalten:

1. Whitelist: Welche Tools (z. B. Enterprise-Versionen von Copilot) sind erlaubt?

2. Daten-Ampel: Was darf rein? (Grün: Öffentliche Texte; Gelb: Interna ohne Personenbezug; Rot: Kundendaten, Bilanzen).

3. Transparenzgebot: KI-generierte Ergebnisse müssen als solche gekennzeichnet werden.

4. Human-in-the-loop: Kein KI-Ergebnis darf ungeprüft an Kunden oder Behörden gehen.

Die Situation: Ein Senior-Projektleiter in einem mittelständischen Unternehmen möchte Zeit sparen. Für ein komplexes internationales Infrastruktur-Angebot nutzt er seinen privaten ChatGPT-Account, um die umfangreichen Vertragsbedingungen und Kalkulationsgrundlagen zusammenzufassen und auf Inkonsistenzen zu prüfen.

Der Vorfall: Die KI unterliegt einer sogenannten „Halluzination“: Sie übersieht eine versteckte Pönale-Klausel (Vertragsstrafe) bei Lieferverzug und gibt stattdessen aus, dass die Haftung gedeckelt sei. Der Projektleiter verlässt sich auf die Zusammenfassung, das Angebot wird abgegeben und der Auftrag gewonnen.

Die Folgen:

1. Finanzieller Schaden: Durch Lieferengpässe wird die Klausel schlagend. Das Unternehmen muss 500.000 € Strafe zahlen, die bei korrekter Kalkulation im Preis inkludiert oder wegverhandelt worden wäre.

2. Haftung der Geschäftsführung: Da das Tool „Schatten-KI“ war, gab es keine technische Dokumentation und kein Vier-Augen-Prinzip (Human-in-the-loop). Die Gesellschafter werfen dem Geschäftsführer Organisationsverschulden vor: Es gab keine Policy, die die Nutzung privater KI-Tools für geschäftskritische Kalkulationen untersagte.

3. Datenschutz: Da der Projektleiter auch Namen von Ansprechpartnern und interne Preislisten hochgeladen hat, leitet die Datenschutzbehörde zusätzlich ein Bußgeldverfahren wegen unzulässiger Datenübermittlung in ein Drittland ein.

Das Learning: Ohne eine AI Policy und ein KI-Inventar wäre dieser Vorfall vermeidbar gewesen. Mit einer klaren Regelung hätte der Projektleiter ein internes, abgesichertes System nutzen müssen, bei dem die finale menschliche Prüfung zwingend vorgeschrieben ist.

Hinweis: Diese Muster-Vorlage dient der Veranschaulichung und muss vor der Implementierung auf die spezifische IT-Infrastruktur und Rechtslage deines Unternehmens angepasst werden.

Um die Theorie in die Praxis umzusetzen, solltest du auf bewährte Toolbox-Ansätze setzen. Ein „S+P-Toolbox-Ansatz“ hilft dir dabei, das Rad nicht neu zu erfinden.

• AI-Policy-Muster: Nutze Vorlagen, die bereits auf die rechtlichen Besonderheiten von DSGVO und AI Act abgestimmt sind.

• Lieferanten-Checkliste: Wenn du neue Software kaufst, muss dein Einkauf prüfen, ob der Anbieter die Anforderungen des AI Acts erfüllt (technische Dokumentation, Audit-Fähigkeit).

• Schulungsprogramme: Deine Mitarbeitenden müssen verstehen, warum sie ihre privaten Accounts nicht nutzen dürfen. Nur durch Bildung reduzierst du das Risiko von Anwendungsfehlern.

Schatten-KI ist weit mehr als ein IT-Problem. Es ist eine Frage deiner persönlichen Haftung und der Zukunftsfähigkeit deines Unternehmens. Wenn du die Zügel jetzt in die Hand nimmst, verwandelst du ein unkontrolliertes Risiko in einen rechtssicheren Innovationsprozess.

Indem du einen AI Compliance Officer einsetzt und klare Leitplanken durch ein KI-Inventar und eine AI Policy setzt, schützt du dich vor Bußgeldern und nutzt das volle Potenzial der künstlichen Intelligenz – ohne dabei den Boden unter den Füßen zu verlieren.

Was ist dein nächster Schritt? Möchtest du, dass ich dir einen Entwurf für eine erste AI Policy erstelle, die du direkt an deine Abteilungsleiter schicken kannst, oder soll ich dir eine Checkliste für die KI-Inventur ausarbeiten?

EU – AI Act und KI‑Rahmen

• Amtliche Fassung des AI Act (Regulation (EU) 2024/1689)
  Volltext im Amtsblatt der EU (mehrsprachig, inkl. Deutsch).
  Link (EUR‑Lex, konsolidierte Fassung/Amtsblatt):
  https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=OJ:L:2024:206:TOC

• Strukturierte Darstellung des AI Act (nicht amtlich, aber auf Basis des Amtsblatts, sehr gut zitierbar als Sekundärquelle)
  Übersicht, Artikelstruktur, Risikoklassen, Zeitplan.
  Link: https://artificialintelligenceact.eu/the-act/

• AI Act als zweisprachige (EN/DE) Website
  Praktische Parallelansicht der Rechtsnorm (kein Amtsblatt, aber als Arbeitstext nutzbar).
  Link: https://ai-act-law.eu​

BaFin – Orientierungshilfe und Aufsichtssicht zu KI

• BaFin – Orientierungshilfe zu IKT‑ und KI‑Risiken
  (Governance, Risikomanagement, Modellrisiken; meist im Kontext MaRisk/BAIT/ZAIT relevant.)
  Zentraler Einstieg in BaFin‑Dokumente zu KI‑bezogenen IKT‑Risiken:
  https://www.bafin.de​

• DORA / IKT‑Risiken – Schnittstelle zum KI‑Einsatz
  BaFin‑DORA‑Informationsseite (für Verknüpfung AI Act – DORA – IKT‑Risiko sehr geeignet):
  https://www.bafin.de/DE/Aufsicht/IT/Digital_Operational_Resilience/digital_operational_resilience_node.html​

(Hinweis: Die konkrete BaFin‑„Orientierungshilfe zu KI“ wird regelmäßig im BaFin‑Journal / unter „Fachinformationen – IT‑Aufsicht“ verlinkt; für den Fachartikel können Sie über die BaFin‑Suche „Orientierungshilfe künstliche Intelligenz“ recherchieren und den konkreten PDF‑Link einfügen.)

EBA – KI, Technologierisiken, DORA

• EBA – Allgemeine Infos zu DORA (relevant für KI‑gestützte IKT‑Risiken)
  Offizielle DORA‑Seite der EBA mit Leitlinien, technischen Standards und News:
  https://www.eba.europa.eu/regulation-and-policy/digital-operational-resilience-dora​

• EBA – Risikoanalysen zu neuen Technologien inkl. KI‑Risiken (ML/TF‑Risiken, KI‑betrug)
  EBA Opinion on ML/TF risks in the EU’s financial sector (wird alle zwei Jahre aktualisiert; enthält KI‑bezogene Passagen zu Betrug / RegTech‑Risiken):
  https://www.eba.europa.eu/eba-risk-assessment-and-data​

• EBA – Leitlinien zu IKT‑/Sicherheitsrisiken (Rahmen auch für KI‑Systeme)
  EBA Guidelines on ICT and security risk management:
  https://www.eba.europa.eu/regulation-and-policy/internal-governance/guidelines-ict-and-security-risk-management​

(Spezifische EBA‑Leitlinien nur zu „KI“ existieren aktuell nicht als eigenständige Guideline; die EBA verweist auf Nutzung bestehender Governance‑/IKT‑Rahmen auch für KI‑Systeme. )​

Bundesregierung / BMI / BMWK – nationale KI‑Strategie und Regulierung

• Bundesregierung – Nationale KI‑Strategie
  Deutsche KI‑Strategie (fortgeschrieben, inkl. Bezüge zu Regulierung, Innovation, Verwaltung):
  https://www.bundesregierung.de/breg-de/themen/ki-strategie​

• Bundesministerium des Innern (BMI) – KI und Regulierung / Verwaltung
  BMI‑Themenportal „Künstliche Intelligenz“ (u. a. öffentlicher Sektor, rechtliche Rahmenbedingungen):
  https://www.bmi.bund.de/DE/themen/moderne-verwaltung/digitalisierung/kuenstliche-intelligenz/kuenstliche-intelligenz-node.html​

• Bundesministerium für Wirtschaft und Klimaschutz (BMWK) – KI in der Wirtschaft
  KI‑Initiativen, Förderung und Hinweise zur Nutzung von KI in Unternehmen (guter Kontext für Governance‑Argumentation):
  https://www.bmwk.de/Redaktion/DE/Dossier/kuenstliche-intelligenz.html​

• Informationsportal der Bundesregierung zur digitalen Verwaltung / Recht (u. a. KI, Daten, Cyber‑Sicherheit)
  Zentraler Einstieg zu digital‑ und KI‑relevanten Rechtsinformationen:
  https://www.digital-made-in.de​

Strategische Exzellenz auf C-Level erfordert kontinuierliche Orientierung. Damit du nach deinem Lehrgang nicht allein gelassen wirst, haben wir S+P C.O.R.E. entwickelt.

S+P Mehrwert-Garantie: Dein Wissens-Vorsprung für 2026

Jede Buchung eines S+P Seminars beinhaltet automatisch den kostenfreien Zugang zum quartalsweisen S+P C.O.R.E. Executive Update. Warum? Weil wir wissen, dass die regulatorische Welt nicht stillsteht. Wir halten dein Wissen aktuell – garantiert.

Im Finanzwesen bezeichnet Forbearance (deutsch: „Stundung“ oder „Entgegenkommen“) spezifische Maßnahmen, die Kreditinstitute ergreifen, wenn sich bei Kreditnehmern finanzielle Schwierigkeiten abzeichnen oder bereits eingetreten sind.

Das primäre Ziel dieser Maßnahmen ist es, die Zahlungsfähigkeit des Kreditnehmers (Schuldners) zu erhalten oder wiederherzustellen und einen drohenden Kreditausfall (Default) abzuwenden.

Forbearance-Maßnahmen sind ein zentrales Instrument im risikobewussten Kreditmanagement (Intensivbetreuung) und werden durch europäische (EBA) und nationale (BaFin/MaRisk) Vorgaben streng reguliert.

Wenn ein Kreditnehmer in Schwierigkeiten gerät, kann das Institut ihm mit folgenden Zugeständnissen entgegenkommen. Diese Zugeständnisse führen dazu, dass der Kredit als „gestundet“ (Forbearance Exposure – FBE) klassifiziert wird:

Forbearance ist kein rein kaufmännischer Akt, sondern wird von der Europäischen Bankenaufsichtsbehörde (EBA) streng überwacht. Die relevanten Vorgaben finden sich in den EBA-Leitlinien für das Management von notleidenden und gestundeten Krediten (NPEs und FBEs).

• NPE (Non-Performing Exposure): Ein notleidender Kredit, bei dem der Schuldner z.B. mehr als 90 Tage in Verzug ist.

• FBE (Forbearance Exposure): Ein Kredit, bei dem Forbearance-Maßnahmen gewährt wurden.

Das Hauptziel der EBA ist es, die Stabilität der Bankbilanzen durch eine nachhaltige Reduktion von NPEs zu sichern.

Ein wesentlicher Punkt der EBA-Leitlinien ist die Etablierung eines Schwellenwerts von 5 % für die NPL-Quote (Netto-Quote notleidender Kredite). Dies ist kein „Zielwert“, sondern ein prudenzialer Rahmen:

• Überschreitet ein Institut diese 5 %-Schwelle, erwarten die Aufsichtsbehörden (BaFin/Bundesbank) eine detaillierte NPE-Strategie sowie verschärfte Governance- und Betriebsvereinbarungen zur Reduktion der Ausfälle.

Die EBA-Leitlinien betonen, dass Forbearance-Maßnahmen nachhaltig („viable“) sein müssen. Sie dürfen nicht nur gewährt werden, um einen Ausfall künstlich zu verschieben, sondern müssen darauf abzielen, die Rückzahlungsfähigkeit des Kreditnehmers langfristig wiederherzustellen.

Die Effektivität des NPE- und Forbearance-Managements eines Instituts wird von den zuständigen Behörden im Rahmen des Aufsichtlichen Überprüfungs- und Bewertungsprozesses (SREP) bewertet.

Die EBA-Leitlinien zu NPEs und Forbearance wurden direkt in die deutschen Mindestanforderungen an das Risikomanagement (MaRisk) überführt (insbesondere in den Modulen BTO 1.2.5 und BTO 2.2.4 der letzten Novellen).

Für Chief Risk Officer und die Interne Revision bedeutet dies:

1. Pflicht zur Früherkennung: Institute müssen über wirksame Frühwarnsysteme verfügen, um finanzielle Schwierigkeiten bei Schuldnern (und damit den Bedarf an Forbearance) rechtzeitig zu erkennen.

2. Pflicht zur NPE-Strategie: Institute mit erhöhten NPE-Quoten (über 5 %) müssen der BaFin eine detaillierte Strategie zum Abbau vorlegen.

3. Prozessanforderungen: Die MaRisk fordern klare Prozesse für die Gewährung, Überwachung und Risikobewertung von Forbearance-Maßnahmen und notleidenden Krediten.

Mit der Leitlinie (EU) 2025/2595 (EZB/2025/40) wird der bereits aus den EBA‑Leitlinien zu notleidenden und gestundeten Risikopositionen bekannte Fokus auf ein stringentes NPE‑ und Forbearance‑Management nun ausdrücklich auch für weniger bedeutende Institute im SSM geschärft.

Die nationalen Aufseher müssen künftig auf Basis von Artikel 47c CRR systematisch prüfen, ob die Risikovorsorge für NPE – einschließlich Forbearance‑Engagements – angemessen ist und die Ergebnisse in den SREP einfließen lassen, sodass unzureichende Deckung in aufsichtliche Maßnahmen (z. B. zusätzliche Eigenmittelanforderungen oder qualitative Vorgaben) münden kann.

Für Institute mit NPL‑Quoten ab 5 % entsteht damit neben den bereits in den MaRisk verankerten Pflichten zur NPE‑Strategie und Forbearance‑Policy ein zusätzlicher, europäisch harmonisierter Erwartungsrahmen zur Reduktion von Altbeständen und zur frühzeitigen, datenbasierten Steuerung von Stundungsentscheidungen.

Forbearance ist ein notwendiges Instrument im Kreditmanagement, um auf Zahlungsschwierigkeiten von Kunden zu reagieren. Gleichzeitig ist es ein hochregulierter Bereich. Die EBA-Leitlinien und die MaRisk setzen einen strengen Rahmen, um sicherzustellen, dass diese Maßnahmen nachhaltig sind und Risiken in den Bankbilanzen transparent gesteuert werden.

Forbearance ist ein notwendiges Instrument im Kreditmanagement, um auf Zahlungsschwierigkeiten von Kunden zu reagieren. Gleichzeitig ist es ein hochregulierter Bereich. Die EBA-Leitlinien und die MaRisk setzen einen strengen Rahmen, um sicherzustellen, dass diese Maßnahmen nachhaltig sind und Risiken in den Bankbilanzen transparent gesteuert werden.

• Wie erkenne ich frühzeitig Risiken im Kreditgeschäft? Um Forbearance-Maßnahmen rechtzeitig zu ergreifen, benötigst du ein funktionierendes Frühwarnsystem. Dieser Artikel zeigt dir, worauf du achten musst.

• ESG-Risiken effektiv bewerten (MaRisk 7.0) Auch Forbearance-Entscheidungen werden zunehmend von ESG-Faktoren beeinflusst. Erfahre, wie du diese Risiken in die Kreditbewertung integrierst.

• 5 Änderungen, die mit den MaRisk 7.0 geplant sind Ein Überblick über die Neuerungen im Risikomanagement, die auch Auswirkungen auf deine Kreditprozesse und die Intensivbetreuung haben.

• Neue MaRisk 6.0 & Umsetzung der NPE-Guidelines Die regulatorische Basis: Wie die EBA-Leitlinien zu notleidenden Krediten (NPE) und Forbearance in deutsches Recht (MaRisk) überführt wurden.

• Neuer Leitfaden zur Risikotragfähigkeit Kreditausfälle und Forbearance belasten das Eigenkapital. Lies hier, wie du die Risikotragfähigkeit (ICAAP) korrekt berechnest und steuerst.

Wer darf ein Unternehmen rechtswirksam vertreten – und wie weit reicht diese Befugnis tatsächlich?

Diese Frage ist im Handels- und Gesellschaftsrecht von zentraler Bedeutung und zugleich eine häufige Quelle von Haftungs- und Compliance-Risiken.

Geschäftsführer, Prokuristen und Handlungsbevollmächtigte verfügen jeweils über unterschiedliche Formen der Vertretungsmacht, die sich im Umfang, in der gesetzlichen Grundlage, in der Publizität sowie in den Haftungs- und Kontrollpflichten erheblich unterscheiden. Fehler bei der Zuordnung oder Überschreitung von Befugnissen können zur Unwirksamkeit von Rechtsgeschäften, zu persönlicher Haftung oder zu gravierenden Compliance-Verstößen führen.

Der folgende Fachartikel gibt einen systematischen Überblick über die Vertretungsmacht von Geschäftsführern, Prokuristen und Handlungsbevollmächtigten. Im Fokus stehen

• die rechtlichen Unterschiede, die Eintragungspflichten im Handelsregister,
• die Grenzen der jeweiligen Vollmacht sowie
• die praktischen Auswirkungen für Unternehmenspraxis, Governance und Compliance.

Die wirksame Ausgestaltung von Vertretungs- und Geschäftsführungsbefugnissen ist ein Schlüsselthema moderner Corporate Governance in Kapital- und Personengesellschaften. Für die Praxis bedeutsam ist insbesondere das Zusammenspiel von Geschäftsführern, Prokuristen und Handlungsbevollmächtigten, da es die rechtlich zulässigen Kompetenzen, die Haftungsrisiken und die interne Kontrollarchitektur des Unternehmens bestimmt.​

Aus juristischer Sicht lassen sich drei Ebenen unterscheiden:

• die gesetzliche Organstellung (z.B. Geschäftsführer einer GmbH),

• die handelsrechtliche Prokura als „starke“ Form gewillkürter Vertretungsmacht,

• die Handlungsvollmacht als flexibel gestaltbare, aber deutlich begrenzte Vollmacht.​

Geschäftsführer von Kapitalgesellschaften (z.B. GmbH) sind gesetzliche Organe, deren Vertretungsbefugnis sich unmittelbar aus dem Gesetz und der Satzung/Gesellschaftsvertrag ergibt. Sie vertreten die Gesellschaft gerichtlich und außergerichtlich und tragen die Gesamtverantwortung für die ordnungsgemäße Geschäftsführung, einschließlich der Einhaltung öffentlich‑rechtlicher Pflichten (Steuerrecht, Insolvenzrecht, Aufsichtsrecht etc.).

2.1 Umfang der Organ- und Vertretungsmacht

Im Außenverhältnis ist die Vertretungsmacht von Geschäftsführern grundsätzlich unbeschränkt und unbeschränkbar; Beschränkungen im Gesellschaftsvertrag oder in einer Geschäftsordnung (z.B. Zustimmungsvorbehalte, Vier-Augen-Prinzip) wirken primär im Innenverhältnis. Typische Kompetenzen im Tagesgeschäft sind:​

• Abschluss aller Arten von Verträgen, soweit sie vom Unternehmensgegenstand gedeckt sind (Liefer- und Leistungsbeziehungen, Finanzierungsverträge, Miet- und Leasingverträge).​

• Personalhoheit, insbesondere der Abschluss und die Beendigung von Dienstverträgen mit Mitarbeitern und leitenden Angestellten, soweit keine gesellschafterbezogenen Vorbehalte bestehen.​

Darüber hinaus trifft Geschäftsführer eine Pflicht zur Organisation des Unternehmens, einschließlich angemessener Delegation, Auswahl‑ und Überwachungspflichten gegenüber Prokuristen und sonstigen leitenden Mitarbeitern.​

2.2 Pflichten und Haftungsrisiken

Geschäftsführer haben die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden und haften bei schuldhaften Pflichtverletzungen gegenüber der Gesellschaft für den verursachten Schaden. Zu den zentralen Pflichten gehören:​

• Einrichtung eines angemessenen Compliance‑ und Kontrollsystems, insbesondere bei Delegation von Aufgaben auf Prokuristen und Handlungsbevollmächtigte.​

• Insolvenzantragspflichten, Kapitalerhaltungsregeln, steuerliche Sorgfaltspflichten und Berichtspflichten gegenüber Gesellschaftern und Aufsichtsorganen.​

In der Haftungspraxis ist entscheidend, ob die Delegation an nachgeordnete Funktionsträger fachgerecht organisiert, dokumentiert und kontrolliert wurde. Unterlässt die Geschäftsführung dies, greifen Organisations- und Überwachungshaftung – unabhängig davon, dass Prokuristen und Bevollmächtigte eigenständige Verantwortlichkeiten tragen.​

Die Prokura ist eine besondere handelsrechtliche Vollmacht nach §§ 48 ff. HGB bzw. §§ 48 ff. UGB und kann nur von einem Kaufmann bzw. Unternehmer im Sinne des Unternehmensrechts ausdrücklich erteilt werden. Sie ist ins Handelsregister/Firmenbuch einzutragen und berechtigt zu allen Arten von gerichtlichen und außergerichtlichen Geschäften, die der Betrieb eines Handelsgewerbes mit sich bringt.​

3.1 Umfang und Grenzen der Prokura

Im Grundsatz erfasst die Prokura alle typischen und auch außergewöhnlichen Geschäfte des Unternehmens, etwa:

• Abschluss größerer Liefer‑ und Rahmenverträge, Kreditaufnahmen, Erwerb und Veräußerung beweglicher Wirtschaftsgüter, Personalentscheidungen.​

• Prozessführung, Abschluss von Vergleichen, Vertretung vor Behörden und Gerichten, soweit diese Geschäfte dem Betrieb des Unternehmens dienen.​

Demgegenüber sind bestimmte Grundlagengeschäfte gesetzlich ausgenommen, etwa Änderungen der Firma oder des Unternehmensgegenstands, Satzungsänderungen, Kapitalmaßnahmen oder die Auflösung des Unternehmens. Grundstücksgeschäfte (Veräußerung/Belastung) bedürfen regelmäßig einer besonderen, ausdrücklich erteilten Ermächtigung, die über die „nackte“ Prokura hinausgeht.sp-unternehmerforum​

3.2 Innenverhältnis, Delegation und Haftung

Im Innenverhältnis wird der Umfang der Prokura durch Dienstvertrag und Weisungen der Geschäftsführung konkretisiert (z.B. Betragsgrenzen, Vier‑Augen‑Prinzip, Zustimmungspflichten). Diese internen Beschränkungen sind Dritten gegenüber grundsätzlich unbeachtlich, solange eine unbeschränkte Prokura im Register eingetragen ist; sie entfalten jedoch erhebliche arbeits‑ und haftungsrechtliche Bedeutung.​

Haftungsrechtlich gilt der Prokurist als gewillkürter Vertreter mit gesteigerten Sorgfaltsanforderungen:

• Zivilrechtlich haftet er als Vollmachtnehmer für schuldhafte Pflichtverletzungen bei der Geschäftsbesorgung und für Verstöße gegen Weisungen.​

• In Österreich hat die jüngere Rechtsprechung anerkannt, dass Prokuristen bei Übernahme steuerlicher Agenden als Vertreter nach § 9 BAO persönlich für Abgabenschulden haften können, wenn sie ihre Pflichten schuldhaft verletzen.​

Für Prokuristen entsteht damit eine Doppelrolle: Sie agieren einerseits als besonders „mächtige“ Stellvertreter im Außenverhältnis, andererseits als persönlich haftende Akteure, wenn sie interne Vorgaben oder öffentlich‑rechtliche Pflichten missachten.​

Die Handlungsvollmacht ist eine gewillkürte Vollmacht nach § 54 HGB/UGB, die kein besonderes Registererfordernis kennt und sich auf die gewöhnlichen Geschäfte des Handelsgewerbes beschränkt. Sie kann ausdrücklich oder konkludent erteilt werden und ist in der Praxis das Standardinstrument zur Ausstattung mittlerer Führungsebenen oder spezialisierter Funktionsinhaber mit Vertretungsmacht.​

4.1 Arten und Umfang der Handlungsvollmacht

Die Praxis unterscheidet typischerweise:

• Generalhandlungsvollmacht: Ermächtigt zu allen gewöhnlichen Geschäften des Unternehmens, nicht aber zu außergewöhnlichen oder grundlegend strukturierenden Maßnahmen.​

• Arthandlungsvollmacht: Erfasst alle gewöhnlichen Geschäfte einer bestimmten Art, etwa den gesamten Einkauf, Verkauf oder das Personalwesen.​

• Spezialhandlungsvollmacht: Beschränkt auf ein einzelnes, konkret bezeichnetes Geschäft oder Projekt.​

Anders als bei der Prokura kann der Umfang der Handlungsvollmacht durch die Parteien sehr granular gestaltet, erweitert oder einschränkt werden, solange die Vertretungsmacht für Dritte hinreichend erkennbar ist. Typischerweise ausgeschlossen sind Grundstücksgeschäfte, umfangreiche Kreditaufnahmen, Wechselverbindlichkeiten sowie Prozessvertretung, sofern sie nicht gerade zum typischen Geschäftsbild der Position gehören.​

4.2 Bedeutung im Innenverhältnis und Haftung

Die Handlungsvollmacht dient der arbeitsteiligen Organisation, ohne das hohe Abstraktionsniveau der Prokura mit ihren Publizitätswirkungen zu entfalten. Für den Bevollmächtigten bestehen vertragliche Nebenpflichten, die sich aus Arbeitsvertrag und Vollmachtsabrede ergeben, insbesondere die Pflicht zur sorgfältigen Wahrnehmung der übertragenen Aufgaben und zur Beachtung von Weisungen.​

Haftungsrechtlich unterliegt der Handlungsbevollmächtigte im Regelfall den Grundsätzen der Arbeitnehmerhaftung; bei entschuldbaren Fehlleistungen greift eine Haftungsmilderung, während grobe Fahrlässigkeit und Vorsatz zu voller Ersatzpflicht führen können. Die Geschäftsführung muss durch klare Aufgabenbeschreibungen, Vollmachtsdokumentation und Kontrollen sicherstellen, dass Handlungsbevollmächtigte ihre Grenzen kennen und einhalten.​

Für die Governance‑Praxis ergeben sich daraus mehrere Kernpunkte:

• Die Vergabe von Prokura schafft ein hohes Maß an Außenmacht und sollte deshalb eng mit der internen Geschäftsordnung und Risikostrategie verzahnt werden (Vollmachtmatrix, Zeichnungsrichtlinien).​

• Handlungsvollmachten sind das bevorzugte Instrument für operative Führungskräfte, da sie feinsteuerbar und haftungsrechtlich besser in die Arbeitnehmerstruktur integrierbar sind.​

• Geschäftsführer bleiben auch bei weitgehender Delegation „Herr des Systems“ und müssen Auswahl, Anleitung und Kontrolle ihrer Prokuristen und Bevollmächtigten in einem angemessenen Organisationsrahmen sicherstellen.​

Aus Compliance‑Perspektive empfiehlt sich ein systematischer Ansatz zur Gestaltung von Geschäftsführungs- und Vertretungsbefugnissen. Dieser Ansatz sollte die rechtlichen Grenzen der jeweiligen Rolle berücksichtigen und zugleich die operationellen Anforderungen des Unternehmens abbilden.​

Wesentliche Bausteine sind:

• Vollmachtmatrix und Zeichnungsrichtlinie: Schriftliche Festlegung, wer in welchem Umfang zeichnungsberechtigt ist (Geschäftsführer, Prokurist, Handlungsbevollmächtigter) einschließlich Betragsgrenzen, Kollektivbindungen und Sonderkompetenzen.​

• Transparenz und Dokumentation: Konsistente Kommunikation der Prokura- und Vollmachterteilung an Mitarbeiter, Geschäftspartner und Banken sowie laufende Aktualisierung von Handelsregister/Firmenbuch und internen Verzeichnissen.​

• Delegations- und Kontrollkonzept: Nachvollziehbare Delegation von Aufgaben durch Geschäftsführer auf Prokuristen und Handlungsbevollmächtigte, verbunden mit regelmäßiger Überprüfung der getroffenen Regelungen.​

• Schulung und Sensibilisierung: Zielgruppenspezifische Schulungen für Organträger, Prokuristen und Handlungsbevollmächtigte zu Umfang, Grenzen und Haftungsrisiken ihrer Vertretungsmacht, einschließlich Fallstudien zu typischen „Overspending“‑ oder Kompetenzüberschreitungen.​

Besonders in regulierten Branchen (Finanzdienstleister, regulierte Gewerbe) sollten zudem aufsichtsrechtliche Anforderungen an Fit & Proper, Funktionstrennung und Vier‑Augen‑Prinzip ausdrücklich in die Ausgestaltung der Vertretungsmacht einfließen. Auf diese Weise wird die formale Rechtslage zu Geschäftsführern, Prokuristen und Handlungsbevollmächtigten in ein konsistentes Governance‑ und Compliance‑System überführt, das sowohl den rechtlichen Rahmen wahrt als auch die operative Handlungsfähigkeit des Unternehmens sichert.​

1. https://sp-unternehmerforum.de/prokurist-lehrgang/prokura-dach-rechtslage/

• S+P Unternehmerforum: „Welche Kompetenzen dürfen Geschäftsführer, Prokuristen und Handlungsbevollmächtigte ausüben?“ (Online‑Artikel, 20.09.2025), abrufbar unter: https://sp-unternehmerforum.de/welche-kompetenzen-duerfen-geschaeftsfuehrer-prokuristen-und-handlungsbevollmaechtigte-ausueben/​

• S+P Unternehmerforum: „Lehrgang Prokurist – Rechte, Pflichten & Haftung im Überblick“ (Seminar-/Infoseite, 01.09.2025), abrufbar unter: https://sp-unternehmerforum.de/prokurist-lehrgang/​

• S+P Unternehmerforum: „Was macht ein Prokurist? Aufgaben, Rechte & Pflichten 2026“ (Leitfaden), abrufbar unter: https://sp-unternehmerforum.de/rollenbasiertes-lernen-mit-sp-seminaren/rolle-als-prokurist/​

• S+P Unternehmerforum: „Arten von Prokura erklärt: Einzel‑, Gesamt‑ & Filialprokura“ (Online‑Artikel, 20.09.2025), abrufbar unter: https://sp-unternehmerforum.de/prokurist-lehrgang/arten-von-prokura-erklaert-einzel-gesamt-filialprokura/​

• S+P Unternehmerforum: „Prokura in DE/AT/CH – Rechtslage & Besonderheiten“ (Fachbeitrag/Übersichtsseite), abrufbar unter: https://sp-unternehmerforum.de/prokurist-lehrgang/prokura-dach-rechtslage/​​​

2. Gesetzestexte bei buzer.de

• Handelsgesetzbuch (HGB), Erstes Buch, Fünfter Abschnitt „Prokura und Handlungsvollmacht“ (§§ 48–53 HGB): https://www.buzer.de/gesetz/3486/b9479.htmbuzer​

Hier sind u.a. § 48 HGB (Erteilung der Prokura), § 49 HGB (Umfang der Prokura), § 50 HGB (Unbeschränkbarkeit), § 54 HGB (Handlungsvollmacht) im Volltext abrufbar.buzer

Effektives Projektmanagement folgt einem klaren Ablauf: Analyse → Planung → Durchführung → Abschluss. Jede Phase hat eigene Ziele, Aufgaben und typische Risiken. Hier bekommst du einen kompakten, praxisnahen Leitfaden – inklusive Checklisten, Beispielen und einer Tabelle als Platzhalter für deine Projektdaten.

Ziele: Projektziel schärfen, Business Value prüfen, Machbarkeit bewerten.
To-dos:

• Stakeholder & Anforderungen erfassen (Scope, Must/Should/Nice)

• Grobe Aufwands-/Kosten- und Risikoabschätzung (High-Level)

• Entscheidungsgrundlage: Go/No-Go & Sponsoring sichern

Ergebnis: Project One-Pager (Zielbild, Nutzen, Scope, grobe Ressourcen & Risiken).

Ziele: Einen umsetzbaren Plan erstellen, Verantwortlichkeiten klären.
To-dos:

• WBS/Backlog, Meilensteine & Roadmap (Gantt/Kanban)

• Ressourcen- & Kostenplan, Kommunikations- und Risikoplan

• Kick-off vorbereiten: Rollen, Timeboxing, Definition of Done

Ergebnis: Abgestimmter Projektplan inkl. Kommunikations- und Risikomanagement.

Ziele: Lieferobjekte frist- und qualitätsgerecht erstellen.
To-dos:

• Sprint-/Arbeitszyklen steuern, Daily/Weekly Stand-ups

• Fortschritt messen (Burndown, Earned Value, Meilensteintrend)

• Änderungen kontrollieren (Change Requests) & Qualität sichern (Reviews/Tests)

Ergebnis: Inkremente/Deliverables, aktualisierte Pläne, dokumentierte Entscheidungen.

Ziele: Projektergebnisse übergeben, Lernen sichern, formal schließen.
To-dos:

• Abnahme & Übergabe (Betrieb/Owner), offene Punkte schließen

• Abschlussbericht (Ziele, KPIs, Budget, Abweichungen)

• Retro/Lessons Learned & Archivierung (Dokumente, Artefakte)

Ergebnis: Abgenommene Deliverables + Abschlussdokumentation mit Lessons Learned.

• Unklare Ziele/Scope Creep: Frühe Zieldefinition + Change-Prozess.

• Unrealistische Termine: Puffer einplanen, Kapazitäten realistisch bewerten.

• Kommunikationslücken: Fester Kommunikationsplan, ein Kanal für Entscheidungen.

• Risiken ohne Besitzer: Risiko-Log mit Owner, Impact/Probability, Gegenmaßnahmen.

Formuliere Ziele Spezifisch, Messbar, Attraktiv, Realistisch, Terminiert – und verknüpfe sie mit klaren Akzeptanzkriterien (Definition of Done).

Erfahre im Beitrag Was ist SMART im Projektmanagement?, wie du Ziele messbar, realistisch und motivierend formulierst – inklusive praktischer Beispiele zur direkten Umsetzung.

Case Study: Erfolgreiche Einführung einer neuen Softwarelösung

Ein mittelständisches Unternehmen stand vor der Herausforderung, eine neue Softwarelösung einzuführen, um die Effizienz seiner Geschäftsprozesse zu steigern.

• In der Analysephase wurden die Ziele und Anforderungen der Software klar definiert.
• Die Planungsphase umfasste die Erstellung eines detaillierten Projektplans sowie die Einbindung aller relevanten Abteilungen.
• Während der Durchführungsphase wurden regelmäßige Meetings abgehalten, um den Fortschritt zu überwachen und auftretende Probleme schnell zu lösen.
• In der Abschlussphase wurde die Software erfolgreich implementiert und ein umfassender Abschlussbericht erstellt, der die Zielerreichung bestätigte.

Projektmanager-Update – Steuerung, Ressourcen & Risiko
Mit den S+P Projektmanagement-Seminaren lernst du, Projekte strukturiert zu steuern, Risiken früh zu minimieren und Budgets & Deadlines sicher einzuhalten. Inklusive S+P Tool Box Projektmanagement (Templates, Gantt-Vorlagen, Risikochecks) und Zertifikat: S+P Certified Project Leader.

Dein Nutzen auf einen Blick

• Klare Struktur & Ziele: Projektzuschnitt, Priorisierung, realistische Roadmaps

• Ressourcen & Controlling: Kapazitäten steuern, Frühwarnsysteme & Risikomanagement

• Methoden-Fit: Agil & klassisch kombinieren – sofort anwendbar mit der S+P Tool Box

• Was ist Projektmanagement? – Grundlagen, Ziele und Nutzen
• Scrum verstehen – So funktioniert agiles Projektmanagement
• Scrum: Was ist ein Sprint?
• Risiken im Projekt – Auf was es wirklich ankommt
• Weiterbildung Projektmanagement – Kompetenzen für Projektleiter
• Zertifikatslehrgang Projektleiter – Mit S+P Certified Abschluss
• Was ist eigentlich ein Sprint?

Management Summary: „Quick Fix“ Nachhaltigkeitsberichterstattung

Kern der Neuregelung

Die Delegierte Verordnung (EU) 2025/1416 („Quick Fix“) reduziert den administrativen Aufwand der CSRD/ESRS-Berichtspflichten erheblich. Sie bietet Unternehmen der „ersten Welle“ notwendige Flexibilität für die Einführungsphase.

Die 3 entscheidenden Erleichterungen

1. Wegfall der Größengrenze: Auch Unternehmen mit mehr als 750 Mitarbeitern können nun umfassende Übergangsausnahmen nutzen.

2. Inhalts-Joker: Komplexe Standards (insb. Biodiversität ESRS E4 und Wertschöpfungskette ESRS S2–S4) können bis zu drei Jahre lang ausgesetzt werden.

3. Qualität vor Quantität: Bei schwieriger Datenlage sind in den ersten drei Jahren qualitative Beschreibungen statt exakter Kennzahlen (z. B. bei Finanz-Effekten) zulässig.

Was zwingend bleibt

• Wesentlichkeitsanalyse: Unternehmen müssen weiterhin offenlegen, ob ein ausgelassenes Thema als wesentlich eingestuft wurde.

• Zeitplan: Die Regelungen gelten rückwirkend für Geschäftsjahre ab dem 1. Januar 2025.

Die Delegierte Verordnung (EU) 2025/1416, häufig als „Quick Fix“ bezeichnet, ist ein zentraler Rechtsakt der Europäischen Kommission zur Anpassung der Corporate Sustainability Reporting Directive (CSRD) und der European Sustainability Reporting Standards (ESRS).

Mit der Veröffentlichung im Amtsblatt der Europäischen Union am 10. November 2025 setzt die Kommission gezielt Erleichterungen für Unternehmen der ersten Welle (Welle 1) um, die bereits ab dem Geschäftsjahr 2024 zur Nachhaltigkeitsberichterstattung verpflichtet sind.

Ziel der Verordnung ist es, den Aufwand für die Nachhaltigkeitsberichterstattung zu reduzieren und die Umsetzung der ESRS in der Praxis zu vereinfachen. Damit reagiert die EU auf die Herausforderungen, denen sich Unternehmen der ersten Welle bei der Einführung der neuen Berichtspflichten gegenübersehen, und schafft einen flexibleren Rahmen für die Umsetzung der CSRD und der ESRS auf europäischer Ebene.

Die Einführung der Delegierten Verordnung (EU) 2025/1416 ist vor dem Hintergrund wachsender Anforderungen an die Nachhaltigkeitsberichterstattung in der Europäischen Union zu sehen. Die Europäische Kommission hat mit dem sogenannten Omnibus-Paket eine umfassende Initiative gestartet, um den administrativen Aufwand für Unternehmen zu verringern und die Kohärenz des europäischen Rechtsrahmens zu stärken.

Im Fokus steht dabei die Vereinfachung und Harmonisierung der Berichtsanforderungen, insbesondere für Unternehmen der ersten Welle, die als Vorreiter die neuen Vorgaben der CSRD und ESRS umsetzen müssen. Der Quick Fix ist ein entscheidender Schritt, um die Umsetzung der neuen Standards zu erleichtern, unnötige Bürokratie abzubauen und Unternehmen in der Einführungsphase gezielt zu entlasten. Damit unterstreicht die Kommission ihr Ziel, die nachhaltige Transformation der Wirtschaft zu fördern, ohne Unternehmen durch übermäßige Berichtspflichten zu überfordern.

Die Verordnung tritt am dritten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft und gilt für Geschäftsjahre, die am oder nach dem 1. Januar 2025 beginnen (also für die Berichtsjahre ab 2025). ​

Die wichtigsten Regelungen der Delegierten Verordnung (EU) 2025/1416 der Kommission sind:

1. Verschiebung der Angabepflichten: Die Verordnung ändert die Delegierte Verordnung (EU) 2023/2772, um den Zeitplan für die schrittweise Einführung der Angabepflichten für die Nachhaltigkeitsberichterstattung anzupassen. Diese Anpassungen betreffen insbesondere die Überarbeitung und Vereinfachung der Berichtspflichten, um Unternehmen die Umsetzung der neuen Regelungen zu erleichtern. Unternehmen mit bis zu 750 Arbeitnehmern können bestimmte Angaben in den ersten Jahren der Berichterstattung auslassen.

2. Anpassung der Berichtspflichten: Unternehmen mit mehr als 750 Arbeitnehmern können ebenfalls von den vorübergehenden Ausnahmen profitieren, um die Belastung zu reduzieren. Dies betrifft insbesondere die anspruchsvolleren themenbezogenen Standards wie ESRS E4 (Biologische Vielfalt und Ökosysteme), ESRS S2 (Arbeitskräfte in der Wertschöpfungskette), ESRS S3 (Betroffene Gemeinschaften) und ESRS S4 (Verbraucher und Endnutzer). Die Übergangsregelungen gelten für die ersten drei Berichtsjahre.

3. Qualitative statt quantitative Angaben: Unternehmen können in den ersten drei Jahren der Nachhaltigkeitsberichterstattung qualitative Angaben machen, wenn die Erstellung quantitativer Angaben nicht durchführbar ist.

4. Wesentlichkeitsanalyse: Unternehmen, die bestimmte Angabepflichten auslassen, müssen dennoch angeben, ob die entsprechenden Nachhaltigkeitsthemen als wesentlich eingestuft wurden. Für jedes als wesentlich bewertete Thema sind zusammenfassende Informationen erforderlich.

Bisher

• Schrittweise Einführung vieler Angabepflichten.

• Erleichterungen häufig nur im ersten Jahr.

• Teilweise Beschränkung auf Unternehmen mit bis zu 750 Beschäftigten.

• Im Rahmen der neuen delegierten Verordnung wurden Anpassungen des Zeitplans und der Angabepflichten nach ESRS 1 Anlage C vorgenommen, um die Umsetzung für Unternehmen zu erleichtern.

Neu

• Unternehmen nach Art. 5 Abs. 2 Unterabs. 1 a) und Unterabs. 3 a) CSRD können in den ersten drei Jahren zahlreiche Angabepflichten auslassen.

• Das gilt auch für Unternehmen mit mehr als 750 Beschäftigten.

• Besonders betroffen sind komplexe Themen wie:

  • Klimarisiken (E1)

  • Umweltverschmutzung (E2)

  • Wasser & Meeresressourcen (E3)

  • Biodiversität (E4)

  • Soziale Themen entlang der Wertschöpfungskette (S2–S4)

Bisher

• Die Schutzklausel in ESRS 2 Abs. 17 galt nur für Unternehmen bis 750 Beschäftigte.

• Größere Unternehmen mussten trotz Übergangserleichterungen zusätzliche zusammenfassende Angaben machen.

Neu

• Die Begrenzung auf 750 Beschäftigte entfällt.

• Unternehmen mit mehr als 750 Mitarbeitern unterliegen nun ebenfalls den neuen Übergangsregelungen für die Nachhaltigkeitsberichterstattung.

• Alle Unternehmen, die Erleichterungen nach ESRS 1 Anlage C nutzen, fallen unter ESRS 2 Abs. 17.

• Einheitliche Anwendung der Wesentlichkeitslogik:

• Wenn ein Thema wesentlich ist, müssen mindestens zusammenfassende Informationen berichtet werden.

Laut der Delegierten Verordnung (EU) 2025/1416 können folgende Unternehmen bestimmte Informationen auslassen:

1. Unternehmen mit bis zu 750 Arbeitnehmern:

   • Diese Unternehmen können bestimmte Angabepflichten in den ersten Jahren der Erstellung ihrer Nachhaltigkeitserklärung auslassen.

   • Sie dürfen qualitative Angaben machen, wenn die Erstellung quantitativer Angaben nicht durchführbar ist.

2. Unternehmen mit mehr als 750 Arbeitnehmern:

   • Auch diese Unternehmen können von den vorübergehenden Ausnahmen profitieren, insbesondere bei anspruchsvollen themenbezogenen Standards wie ESRS E4, ESRS S2, ESRS S3 und ESRS S4.

3. Unternehmen, die erstmals für die Geschäftsjahre 2025 und 2026 berichtspflichtig sind:

   • Diese Unternehmen können ebenfalls bestimmte Angaben auslassen, um die Anforderungen an die Nachhaltigkeitsberichterstattung schrittweise einzuführen.

   • Neben der Mitarbeiterzahl werden auch die Umsatzerlöse als Kriterium für die Berichtspflicht herangezogen. Die gesetzlichen Schwellenwerte für Umsatzerlöse bestimmen mit, welche Unternehmen unter die neuen Regelungen der CSRD und damit die Delegierte Verordnung (EU) 2025/1416 fallen.

Zusätzlich müssen Unternehmen, die Informationen auslassen, angeben, ob die entsprechenden Nachhaltigkeitsthemen als wesentlich eingestuft wurden.

Gemäß der Delegierten Verordnung (EU) 2025/1416 können Unternehmen bestimmte Angabepflichten in ihrer Nachhaltigkeitserklärung vorübergehend auslassen. Der Umfang der auslassbaren Berichtspflichten ist dabei klar geregelt und richtet sich nach Unternehmensgröße sowie dem Anwendungsbereich der EU-Richtlinien. Konkret können folgende Informationen weggelassen werden:

Hinweis: Die Möglichkeit, Angaben vorübergehend auszulassen, hängt vom Umfang der Berichtspflichten, der Unternehmensgröße sowie den spezifischen Regelungen der Richtlinie (EU) 2022/2464 (CSRD) ab. Unternehmen müssen jedoch stets offenlegen, ob die ausgelassenen Themen im Rahmen der Wesentlichkeitsanalyse als wesentlich eingestuft wurden.

Mit der Quick Fix Verordnung erhalten Unternehmen der ersten Welle spürbare Erleichterungen bei der Nachhaltigkeitsberichterstattung. Die Verordnung ermöglicht es, bestimmte Angaben im Nachhaltigkeitsbericht vorübergehend auszusetzen, sofern diese als nicht wesentlich eingestuft werden. Darüber hinaus werden die Phase-in-Regelungen für die ESRS erweitert, sodass Unternehmen mehr Zeit für die vollständige Umsetzung der neuen Anforderungen erhalten. Dies betrifft alle Unternehmen der ersten Welle, unabhängig von Größe oder Branche, und schafft einen flexibleren Rahmen für die Berichterstattung. Die Quick Fix Verordnung trägt somit dazu bei, die Komplexität der ESRS zu reduzieren und Unternehmen die Möglichkeit zu geben, sich schrittweise an die neuen Berichtspflichten heranzutasten, ohne die Grundsätze der Transparenz und Vergleichbarkeit aus den Augen zu verlieren.

Ein weiterer zentraler Bestandteil des Omnibus-Pakets ist die sogenannte Stop-the-Clock-Richtlinie. Diese Richtlinie, veröffentlicht am 16. April 2025 im Amtsblatt der EU, verschiebt die Berichtsfristen für Unternehmen und gibt ihnen damit mehr Zeit, die Anforderungen der CSRD und ESRS umzusetzen. Die Stop-the-Clock-Richtlinie ist bis zum 31. Dezember 2025 in nationales Recht umzusetzen und entlastet Unternehmen, indem sie den Druck nimmt, die umfangreichen Berichtspflichten innerhalb eines engen Zeitrahmens zu erfüllen. Für Unternehmen bedeutet dies eine wertvolle Atempause, um Prozesse, Datenmanagement und interne Strukturen an die neuen Anforderungen der Nachhaltigkeitsberichterstattung anzupassen.

Der Dezember 2025 markiert einen entscheidenden Meilenstein für die Umsetzung der CSRD und ESRS in der Europäischen Union. Bis zu diesem Zeitpunkt müssen die Mitgliedstaaten die Richtlinie in nationales Recht überführt haben, und Unternehmen der ersten Welle sind gefordert, ihre ersten Nachhaltigkeitsberichte vorzulegen. Die Quick Fix Verordnung und die Stop-the-Clock-Richtlinie unterstützen Unternehmen dabei, die neuen Anforderungen effizient und rechtssicher umzusetzen. Wie sich die Umsetzung der CSRD und ESRS in den kommenden Monaten konkret gestalten wird und welche Auswirkungen dies auf Unternehmen und die europäische Wirtschaft hat, bleibt mit Spannung zu beobachten. Klar ist: Die EU setzt mit diesen Maßnahmen ein starkes Signal für eine nachhaltige und zugleich praxisnahe Regulierung der Unternehmensberichterstattung.

Möchtest du wissen, wie du Nachhaltigkeitsrisiken professionell steuerst?

In unserem praxisorientierten Seminar lernst du, wie du ESG-Kriterien in dein bestehendes Risikomanagement integrierst und so die Zukunftsfähigkeit deines Unternehmens sicherst.

👉 Hier informieren & Platz sichern: Nachhaltigkeit – So steuerst du die Risiken

Alle Details zu den neuen Erleichterungen kannst du im offiziellen Rechtstext nachlesen. Hier findest du die Delegierte Verordnung (EU) 2025/1416 als PDF-Direktlink.