CRO CCO oder CDO: Rollen, CAIO und Haftung in der C-Suite

Inhaltsverzeichnis

Was bei der Geschäftsleitung bleibt: Gesamtverantwortung und Haftung

Sorgfaltsmaßstab und Innenhaftung

Nach § 43 Abs. 1 GmbHG haben Geschäftsführer „in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden“. Wer seine Obliegenheiten verletzt, haftet der Gesellschaft „solidarisch für den entstandenen Schaden“ (§ 43 Abs. 2 GmbHG). Für den Vorstand gilt § 93 Abs. 2 AktG entsprechend. Das ist Innenhaftung gegenüber der Gesellschaft, keine Durchgriffshaftung.

Business Judgement Rule

Eine Pflichtverletzung liegt nicht vor, wenn das Vorstandsmitglied bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln (§ 93 Abs. 1 Satz 2 AktG). Die Analysen von CRO, CCO, CDO und CAIO liefern diese Informationsgrundlage. Entscheiden muss die Geschäftsleitung. Wer Warnungen des CRO ohne nachvollziehbare Abwägung übergeht, verlässt den Schutz der Business Judgement Rule. Dokumentieren Sie deshalb, warum Sie einer Einschätzung folgen oder nicht.

Früherkennung und Überwachung

Der Vorstand hat ein Überwachungssystem einzurichten, damit den Fortbestand gefährdende Entwicklungen früh erkannt werden (§ 91 Abs. 2 AktG). Börsennotierte Gesellschaften brauchen zusätzlich ein angemessenes und wirksames internes Kontroll- und Risikomanagementsystem (§ 91 Abs. 3 AktG). Für alle haftungsbeschränkten Rechtsträger verlangt § 1 Abs. 1 StaRUG, bestandsgefährdende Entwicklungen fortlaufend zu überwachen und bei Bedarf Gegenmaßnahmen zu ergreifen. Wer diese Pflicht verletzt, riskiert die persönliche Innenhaftung gegenüber der Gesellschaft nach § 43 Abs. 2 GmbHG bzw. § 93 Abs. 2 AktG.

Aufsichtspflicht

Wer erforderliche Aufsichtsmaßnahmen unterlässt, handelt ordnungswidrig. Dazu gehören auch Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen. Ist die Zuwiderhandlung mit Strafe bedroht, beträgt die Geldbuße bis zu 1 Mio. EUR; bei bußgeldbewehrten Zuwiderhandlungen richtet sich der Rahmen nach deren Höchstbuße (§ 130 Abs. 1 und 3 OWiG).

Mehr dazu: Regulatorik für Geschäftsführer: Pflichten, Haftung und Aufsicht

Pflichten nach Funktion: CRO, CCO, CDO und CAIO

Der CRO: Risiken messen, Tragfähigkeit sichern

Der CRO beantwortet die Frage: „Können wir uns dieses Risiko leisten?“ Er erfasst und bewertet Risiken, baut Frühwarnindikatoren auf, quantifiziert Szenarien und berichtet an Geschäftsleitung und Aufsichtsorgan.

Geltendes Recht

• Unternehmen allgemein: Eine Pflicht, einen CRO zu bestellen, gibt es nicht. Die Pflicht zur Früherkennung (§ 91 Abs. 2 AktG, § 1 StaRUG) trifft die Geschäftsleitung. Der CRO ist eine Organisationsentscheidung, mit der Sie diese Pflicht erfüllen.
• Institute: Die Risikocontrolling-Funktion muss „organisatorisch bis einschließlich der Ebene der Geschäftsleitung von den Geschäftsbereichen getrennt sein, die Geschäfte initiieren bzw. abschließen“ (MaRisk AT 4.4.1 Tz. 1). Die Leitung ist „in wichtige risikopolitische Entscheidungen der Geschäftsleitung einzubinden“, muss „zumindest direkt unterhalb der Geschäftsleitung angesiedelt sein“ und die Aufgabe „grundsätzlich exklusiv wahrnehmen“ (AT 4.4.1 Tz. 4). Die Risikostrategie legt die Geschäftsleitung fest (AT 4.2 Tz. 2).
• BRUBEG (seit 01.04.2026): Leiter interner Kontrollfunktionen brauchen hinreichende Autorität, einen direkten Berichtsweg an das Aufsichtsorgan und dürfen nur mit dessen vorheriger Zustimmung abberufen werden (§ 25c Abs. 4a Nr. 3 lit. h und i KWG). Institute müssen die Eignung der Inhaber von Schlüsselfunktionen sicherstellen (§ 25e KWG).

Mehr dazu: Aufgaben eines CRO

Der CCO: Regeln einhalten, Integrität sichern

Der CCO beantwortet die Frage: „Dürfen wir das so tun, und können wir es nachweisen?“ Er identifiziert relevante Pflichten, wirkt auf wirksame Verfahren und Kontrollen hin, berät die Geschäftsleitung und berichtet über Verstöße und Schwachstellen. Bei KI-Verordnung und Cybersicherheitsrecht unterstützt er die Geschäftsleitung; die Verantwortung für die Cybersicherheit trägt die Geschäftsleitung selbst, bei Finanzunternehmen nach Art. 5 Abs. 2 DORA, bei NIS2-Einrichtungen nach § 38 BSIG.

Geltendes Recht

• Institute: Die Compliance-Funktion „muss auf die Implementierung wirksamer Verfahren zur Einhaltung der für das Institut wesentlichen rechtlichen Regelungen und Vorgaben und entsprechender Kontrollen hinwirken“ und die Geschäftsleitung „unterstützen und beraten“ (MaRisk AT 4.4.2 Tz. 1). Sie ist „grundsätzlich unmittelbar der Geschäftsleitung zu unterstellen“ (AT 4.4.2 Tz. 3).
• Geldwäsche: Verpflichtete bestellen einen Geldwäschebeauftragten „auf Führungsebene“, der „der Geschäftsleitung unmittelbar nachgeordnet“ ist. „Die Verantwortung der Leitungsebene bleibt hiervon unberührt.“ (§ 7 Abs. 1 GwG)
• Hinweisgeberschutz: Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen eine interne Meldestelle einrichten und betreiben (§ 12 Abs. 1 und 2 HinSchG).
• Lieferkette: Das LkSG gilt fort, die Berichtspflicht ist faktisch ausgesetzt. Sorgfalts- und Dokumentationspflichten bleiben bestehen. Das Änderungsgesetz (BT-Drs. 21/2474) ist noch nicht verabschiedet.

Künftiges Recht

• AMLR ab 10.07.2027: Verpflichtete benennen „ein Mitglied des Leitungsorgans in seiner Leitungsfunktion“ als Compliance-Manager (Art. 11 Abs. 1 AMLR). Der Geldwäschebeauftragte wird vom Leitungsorgan ernannt und muss über eine „ausreichend hohe hierarchische Stellung“ verfügen (Art. 11 Abs. 2 AMLR). Geldwäsche-Compliance wird damit ausdrücklich zur Aufgabe eines Geschäftsleiters.
• LkSG und CSDDD: Nach dem Kabinettsbeschluss im Juli 2026 soll das LkSG nur noch Unternehmen ab 5.000 Beschäftigten und mehr als 1,5 Mrd. EUR Umsatz erfassen. Die CSDDD soll 1:1 umgesetzt werden.

Mehr dazu: Aufgaben eines CCO

Der CDO und der CAIO: Daten, Digitalisierung und KI steuern

Der CDO beantwortet die Frage: „Wie schaffen wir mit Daten und digitalen Prozessen Wert?“ Er verantwortet die digitale Transformation, Datenstrategie, Plattformen und Automatisierung. Der CIO sorgt dagegen für den stabilen IT-Betrieb. Der CAIO konzentriert sich auf KI: Use-Case-Auswahl, Modell- und Anbieterwahl, Wertnachweis und KI-Governance. In kleineren Unternehmen übernimmt der CDO diese Rolle häufig mit.

Geltendes Recht

• Data Act: Die Verordnung (EU) 2023/2854 gilt seit 12.09.2025. Die Pflicht zur datenzugänglichen Gestaltung nach Art. 3 Abs. 1 gilt für vernetzte Produkte, die nach dem 12.09.2026 in Verkehr gebracht wurden.
• KI-VO: Verbotene Praktiken nach Art. 5 gelten bereits. Art. 4 verpflichtet Anbieter und Betreiber in der Fassung der Verordnung (EU) 2026/1744, Maßnahmen zur Förderung der KI-Kompetenz zu ergreifen. Das KI-Marktüberwachungsgesetz (KI-MIG) ist seit 29.07.2026 in Kraft.
• Cybersicherheit: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen „sind verpflichtet, die … Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen“ (§ 38 Abs. 1 BSIG) und „müssen regelmäßig an Schulungen teilnehmen“ (§ 38 Abs. 3 BSIG). Diese Pflicht lässt sich nicht an den CDO oder CISO abgeben.
• DORA (nur Finanzunternehmen): Das Leitungsorgan trägt die letztendliche Verantwortung für das IKT-Risikomanagement (Art. 5 Abs. 2 DORA). DORA ist damit kein Thema des CCO allein und für Unternehmen außerhalb des Finanzsektors nicht unmittelbar anwendbar.

Künftiges Recht

• Hochrisiko-KI: Die Pflichten für Hochrisiko-Systeme nach Anhang III KI-VO (z. B. Personalauswahl, Kreditwürdigkeitsprüfung) gelten ab 02.12.2027.
• Produkthaftung: Der Bundestag hat im Oktober 2026 das neue Produkthaftungsrecht beschlossen. Software und KI-Systeme werden ausdrücklich erfasst. Das Inkrafttreten ist für Dezember 2026 geplant.

Mehr dazu: AI Compliance Officer

Pain Points: Wo Rollenmodelle in der Praxis scheitern

Die folgenden Schwachstellen treten auf, wenn Rollen ohne klare Regeln eingeführt werden.

Zusammenspiel im GRC-Modell: RASCI statt Rollenkonkurrenz

Ein GRC-Modell (Governance, Risk, Compliance) verbindet die Rollen über klare Verantwortlichkeiten. Die RASCI-Matrix zeigt eine Grundverteilung: R = durchführend, A = entscheidend und rechenschaftspflichtig, S = unterstützend, C = konsultiert, I = informiert.

Die Grundverteilung ist ein Ausgangspunkt. Für Institute und Nicht-Institute ist sie vor der Übernahme fachlich zu prüfen und an MaRisk, BRUBEG und Ihre Geschäftsordnung anzupassen.

Mehr dazu: Integrierte Governance bei DORA, NIS-2 und CRA

Praxisszenario: Generative KI im Kundenservice

Ein mittelständisches Unternehmen will eine KI-Lösung im Kundenservice einführen. Die Rollen greifen so ineinander:

• CDO und CAIO: formulieren den Use Case, definieren messbare Ziele (z. B. Bearbeitungszeit, Erstlösungsquote), wählen Anbieter und Schnittstellen und planen einen begrenzten Pilotbetrieb.
• CCO: prüft Datenschutz (Rechtsgrundlage, Auftragsverarbeitung, Drittlandtransfer), Transparenzpflichten gegenüber Kunden, Urheberrecht und Mitbestimmung (§ 87 Abs. 1 Nr. 6 BetrVG). Er erstellt eine KI-Nutzungsrichtlinie und plant die Schulung nach Art. 4 KI-VO.
• CRO: bewertet Fehlberatungs- und Haftungsrisiken, Abhängigkeit vom Anbieter, Ausfallszenarien und Exit-Optionen. Er legt Kennzahlen für die laufende Überwachung fest (z. B. Fehlerquote, Beschwerden, Eskalationen an Menschen).
• Geschäftsleitung: entscheidet auf Basis der drei Stellungnahmen über Freigabe, Auflagen oder Abbruch und dokumentiert die Abwägung.

Ergebnis: Nicht die Geschwindigkeit eines Einzelnen entscheidet, sondern ein abgestimmter Freigabeprozess mit klaren Kriterien. Ein Pilot mit Abbruchkriterien reduziert das Risiko, das Gartner bei agentischen KI-Projekten beschreibt.

Mehr dazu: KI-Nutzung trifft Business Judgement Rule

No-Regret-Maßnahmen: Checkliste für die Geschäftsleitung

Diese acht Maßnahmen lohnen sich unabhängig davon, wie Sie die Rollen im Einzelnen besetzen. Sie verbessern die Nachweisbarkeit Ihrer Sorgfalt, ohne Sie auf ein Modell festzulegen.

• ☐Zehn wichtigste Entscheidungen der nächsten zwölf Monate mit RASCI hinterlegt
• ☐Geschäftsverteilungsplan schriftlich, aktuell und von allen mitgetragen
• ☐Stellenbeschreibungen mit Befugnissen, Eskalation und Berichtsrhythmus
• ☐Monatliches GRC-Board mit fester Tagesordnung
• ☐KI-Register mit Risikoklasse, Verantwortlichen und Freigabestatus
• ☐Schulungsnachweise der Geschäftsleitung (§ 38 Abs. 3 BSIG) und KI-Kompetenzmaßnahmen (Art. 4 KI-VO)
• ☐Compliance-Manager nach Art. 11 AMLR benannt (falls GwG-Verpflichteter)
• ☐Entscheidungsdokumentation mit Risiko- und Compliance-Stellungnahmen

Häufige Fragen

Verwandte Leistungen und Programme

Seminare und Lehrgänge

Weiterführende Fachbeiträge

• Aufgaben eines CRO
• Aufgaben eines CCO
• CEO, COO und CFO im Überblick
• Dynamik des C-Levels
• KI-Nutzung trifft Business Judgement Rule
• AI Compliance Officer
• DORA, NIS-2 und CRA: integrierte Governance
• Enthaftungs-Dossier: Aufsichtsrat und Haftung

Alle Termine finden Sie unter Seminar-Termine.

Wenn Ihnen intern Kapazitäten für Risiko-, Compliance- oder KI-Funktionen fehlen, kann externe Unterstützung Lücken schließen. Die Verantwortung bleibt bei der Geschäftsleitung. Entsprechende Leistungen erbringt S+P Compliance.