Wie schützt das Enthaftungs-Dossier Vorstände und Aufsichtsräte vor § 93 AktG?

Für die Geschäftsleitung (C-Level) sind die Fristen wie folgt aufzuschlüsseln – gegliedert in gesetzliche Verjährungs– und Aufbewahrungsfristen einerseits sowie operative Reaktionsfristen andererseits:

1.) Gesetzliche Verjährungsfristen (Organhaftung)

Diese Fristen definieren den Zeitraum, in dem Aufsichtsrat, Insolvenzverwalter oder die Gesellschaft Ansprüche gegen die Geschäftsleitung gerichtlich geltend machen können.

• Fünf Jahre: Ansprüche der Gesellschaft gegen Vorstandsmitglieder verjähren bei nicht börsennotierten Aktiengesellschaften gemäß § 93 Abs. 6 AktG in fünf Jahren. Ansprüche gegen GmbH-Geschäftsführer nach § 43 GmbHG verjähren gemäß § 43 Abs. 4 GmbHG ebenfalls in fünf Jahren.
  
  
• Zehn Jahre: Ansprüche aus § 93 AktG verjähren in zehn Jahren, wenn die Gesellschaft im Zeitpunkt der Pflichtverletzung börsennotiert war; im Übrigen beträgt die Frist fünf Jahre (§ 93 Abs. 6 AktG).
  
  
• Der Beginn der Verjährung ist anhand des jeweiligen Anspruchs und der Umstände des Einzelfalls zu bestimmen. Deshalb können Haftungsrisiken auch nach dem Ausscheiden eines Organmitglieds fortbestehen. Ausgeschiedene Organmitglieder haften auch nach ihrem Weggang für diese Zeiträume voll weiter.

2.) Gesetzliche Aufbewahrungsfristen (Beweissicherung)

Um der prozessualen Beweislastumkehr nach Jahren noch standhalten zu können, muss das Enthaftungs-Dossier an die handels- und steuerrechtlichen Fristen gekoppelt werden.

• Sechs Jahre: Empfangene und abgesandte Handels- oder Geschäftsbriefe sowie bestimmte sonstige Unterlagen sind grundsätzlich sechs Jahre aufzubewahren (§ 257 Abs. 1, Abs. 4 HGB; § 147 Abs. 1, Abs. 3 AO).
  
  
• Acht beziehungsweise zehn Jahre: Buchungsbelege sind grundsätzlich acht Jahre aufzubewahren. Für Handelsbücher, Inventare, Jahresabschlüsse, Lageberichte und die zu ihrem Verständnis erforderlichen Organisationsunterlagen gilt grundsätzlich eine Frist von zehn Jahren. Für bestimmte beaufsichtigte Institute bestehen Sonder- und Übergangsregelungen (§ 257 Abs. 4 HGB; § 147 Abs. 3 AO).
  
  
• Die Aufbewahrungsdauer jedes Dokuments ist anhand der einschlägigen gesetzlichen, regulatorischen und vertraglichen Vorgaben festzulegen. Haftungsrelevante Unterlagen sollten jedenfalls so lange verfügbar, lesbar und eindeutig zuordenbar bleiben, wie ihre Nutzung zur Rechtsverteidigung erforderlich und datenschutzrechtlich zulässig sein kann.

3.) Operative Reaktions- und Vorlagefristen (Prüfungspraxis & Haftungsvermeidung)

Diese Fristen sind entscheidend, um den Vorwurf der groben Fahrlässigkeit (und damit den Verlust des D&O-Versicherungsschutzes) abzuwenden.

• Interne Reaktionsfrist: Wesentliche Risiken und Feststellungen sind unverzüglich zu bewerten, adressatengerecht zu eskalieren und innerhalb einer risikoorientiert festgelegten Frist zu bearbeiten. Eine interne 30-Tage-Frist kann als Höchstfrist vorgesehen werden, ersetzt jedoch nicht die Pflicht zu früherem Handeln, wenn Art oder Dringlichkeit des Risikos dies erfordern.
  
  
• Interner Bereitstellungsstandard: Das Institut sollte für wesentliche haftungs- und prüfungsrelevante Unterlagen eine angemessene interne Bereitstellungsfrist definieren. Ein Zwei-Stunden-SLA kann als organisatorisches Qualitätsziel festgelegt werden, stellt jedoch keine allgemeine gesetzliche oder aufsichtsrechtliche Vorlagefrist dar.

4.) Regulatorische Turnus-Fristen (DORA & Governance)

Fristen zur Aufrechterhaltung der persönlichen Fachkunde und der ordnungsgemäßen Geschäftsorganisation.

• Regelmäßige Fortbildung: Die Mitglieder des Leitungsorgans müssen ihre Kenntnisse und Fähigkeiten zu IKT-Risiken auf einem für ihre Aufgaben ausreichenden Stand halten. Umfang und Turnus der Fortbildung sind risikoorientiert festzulegen und nachvollziehbar zu dokumentieren (Art. 5 Abs. 4 DORA; ergänzend § 25c Abs. 4 KWG).
  • Fortschreibung und Abzeichnung des Geschäftsverteilungsplans.
    
    
  • Management-Review des konsolidierten Findings-Trackers.
    
    
  • Formelle Bestätigung der Vollständigkeit des Enthaftungs-Dossiers.

Vertragliche Handlungsempfehlung: Im Dienstvertrag sollte geprüft werden, ob dem Organmitglied nach seinem Ausscheiden ein zweckgebundenes Einsichts- oder Auskunftsrecht eingeräumt werden kann. Dieses ist mit Geheimhaltungs-, Datenschutz-, Aufsichts- und Schutzinteressen der Gesellschaft abzustimmen.

Aus dem rechtlichen Rahmen des „Enthaftungs-Dossiers“ und den korrespondierenden Aufsichtsgesetzen ergeben sich für die beteiligten Rollen (C-Level, Compliance, Geldwäschebeauftragter) streng voneinander abzugrenzende, aber ineinandergreifende Pflichten.
Obwohl das Organhaftungsrisiko letztlich die Geschäftsleitung (C-Level) trägt, lassen sich diese acht Pflichten in der Praxis nur erfüllen, wenn die Rollen ineinandergreifen. Compliance und der Geldwäschebeauftragte (GwB) fungieren hierbei als Informationsgeber, Kontrollinstanz oder haben spiegelbildliche eigene Pflichten.

Hier ist die strukturieret Einordnung der 8 Pflichten zu den jeweiligen zuständigen Funktion:

1. Die Abwägungspflicht (Register 1)

• C-Level (Primär): Trägt die volle Pflicht zur Dokumentation der Entscheidungsalternativen und der Chancen-Risiko-Abwägung (Business Judgement Rule, § 93 AktG).
  
  
• Compliance & GwB (Zuarbeit): Müssen bei regulatorischen Entscheidungen dem C-Level die rechtlichen „Leitplanken“ definieren. Sie liefern oft die Risikobewertung für die jeweiligen Alternativen (inkl. der regulatorischen Konsequenzen einer „Null-Option“).

2. Die Informationsbeschaffungspflicht (Register 2)

• C-Level (Primär): Muss sicherstellen und beweisen, dass vor der Entscheidung ausreichend Informationen (mit Zeitstempel) vorlagen.
  
  
• Compliance & GwB (Informationsbereitsteller): Tragen die Pflicht, dem C-Level die notwendigen Risikoanalysen, Berichte und Sachverhalte rechtzeitig, vollständig und unverfälscht zur Verfügung zu stellen, damit dieses überhaupt fundiert entscheiden kann.

3. Die horizontale Überwachungspflicht (Register 3)

• C-Level: Die Geschäftsleiter tragen trotz einer internen Ressortverteilung gemeinsam Verantwortung für die ordnungsgemäße Geschäftsorganisation. Sie müssen sich über wesentliche Entwicklungen in den anderen Ressorts angemessen informieren, erkennbare Fehlentwicklungen hinterfragen und bei konkreten Anhaltspunkten erforderliche Kontroll- oder Interventionsmaßnahmen einleiten. Maßgeblich sind insbesondere § 25c Abs. 3 KWG und § 93 Abs. 1 AktG.
  
  
• Compliance (Unterstützend): Liefert dem C-Level die institutsweiten Querschnittsdaten (Dashboards, Compliance-Berichte), die es einem Vorstandsmitglied erst ermöglichen, Fehlentwicklungen in einem anderen Ressort zu erkennen und dort einzugreifen.
  
  
• GwB: Trägt keine direkte horizontale Überwachungspflicht auf C-Level, überwacht aber institutsweit die Einhaltung der GwG-Vorgaben über alle Ressorts hinweg.

4. Die Plausibilisierungspflicht (Register 4)

• C-Level (Primär): Muss zwingend einen eigenen Plausibilitätsvermerk zu externen Gutachten erstellen und darf sich nicht blind auf externe Berater verlassen (ISION-Rechtsprechung).
  
  
• Compliance & GwB (Fachliche Prüfinstanz): Geht es um externe Gutachten zu Geldwäsche, Sanktionen oder Regulatorik, sind Compliance und GwB in der Pflicht, diese externen Ratschläge vorab auf Machbarkeit im eigenen Institut zu prüfen und dem C-Level bei der Erstellung des Plausibilitätsvermerks fachlich zuzuarbeiten.

5. Die Fortbildungspflicht (Register 5)

• C-Level (Primär): Hat die persönliche Pflicht zum Nachweis der eigenen Fachkunde (insb. zu IKT-Risiken nach Art. 5 und 13 DORA) durch jährliche Schulungen.
  
  
• Compliance & GwB (Spiegelbildliche Pflicht & Planung): Unterliegen selbst extrem strengen, eigenen Fortbildungspflichten (MaRisk, GwG). Zudem sind sie in der Praxis meist dafür verantwortlich, den jährlichen Schulungsplan für das C-Level zu erstellen und die Durchführung zu überwachen.

6. Die Mängelbeseitigungs- und Abhilfepflicht (Register 6)

• C-Level: Die Geschäftsleitung muss eine ordnungsgemäße Geschäftsorganisation gewährleisten und festgestellte wesentliche Mängel angemessen adressieren. Aufsichtliche Anordnungen zur Mängelbeseitigung sind innerhalb der von der Bundesanstalt gesetzten angemessenen Frist umzusetzen (§§ 25a, 25c Abs. 4c KWG).
  
  
• Compliance & GwB (Tracking-Pflicht): Sind primär dafür verantwortlich, den konsolidierten Findings-Tracker zu führen, Fristen streng zu überwachen und das C-Level rechtzeitig vor Fristablauf zu warnen.

7. Die Reaktions- und Interventionspflicht (Register 7)

• C-Level: Nach Kenntniserlangung von wesentlichen Risiken oder Pflichtverletzungen muss die Geschäftsleitung Art, Dringlichkeit und mögliche Auswirkungen bewerten und erforderliche Maßnahmen ohne schuldhaftes Zögern einleiten. Die Reaktion und ihre Entscheidungsgrundlagen sollten nachvollziehbar dokumentiert werden.
  
  
• Compliance & GwB (Eskalationspflicht): Compliance und Geldwäschebeauftragter: Wesentliche Risiken, Verstöße und Kontrollmängel sind nach Maßgabe der gesetzlichen, aufsichtsrechtlichen und internen Berichtswege zeitnah an die zuständigen Stellen zu berichten. Der Geldwäschebeauftragte berichtet der Geschäftsleitung unmittelbar (§ 7 Abs. 5 GwG); für die Compliance-Funktion gelten ergänzend die einschlägigen MaRisk-Vorgaben. Wichtig: Mit ihrer Meldung setzen sie den juristischen „Timer“ für die Reaktionspflicht des C-Levels in Gang.

8. Die Beweissicherungs- und Aufbewahrungspflicht (Register 8)

• C-Level (Primär): Muss sicherstellen, dass das eigene Enthaftungs-Dossier über die Verjährungsfrist (5 bis 10 Jahre) unangetastet, zuordenbar und lesbar bleibt (inkl. der Verhandlung eines vertraglichen Einsichtsrechts).
  
  
• Compliance & GwB (Dokumentationspflicht): Haben eigene, strenge gesetzliche Aufbewahrungsfristen (z. B. 5 Jahre für GwG-relevante Unterlagen nach § 8 GwG). Sie müssen sicherstellen, dass ihre Berichte revisionssicher archiviert werden, da diese als Beweismittel im Dossier des C-Levels dienen.

Bei der operativen Umsetzung der Pflichten rund um das „Enthaftungs-Dossier“ eröffnen sich in der Praxis konkrete haftungskritische Felder. Sobald die Verzahnung zwischen C-Level, Compliance und Geldwäschebeauftragtem (GwB) fehlschlägt oder Dokumentationen lückenhaft sind, exponieren sich die Beteiligten gegenüber erheblichen zivil-, aufsichts- und teils strafrechtlichen Vorwürfen.

Hier ist die juristisch belastbare Aufschlüsselung der zentralen Haftungsfelder, des konkreten Vorwurfs, der zugrunde liegenden Pflichtverletzung und der einschlägigen Normen:

Haftungsfeld 1: Das fehlerhafte unternehmerische Ermessen (Entscheidungsvorbereitung)

Betrifft primär: C-Level (Zuarbeit durch Compliance/GwB mangelhaft)

• Der konkrete Vorwurf: Willkürliche, unsachgemäße oder völlig uninformierte Entscheidungsfindung zum finanziellen oder regulatorischen Nachteil der Gesellschaft.
  
  
• Die Pflichtverletzung: Unterlassene Abwägung vernünftiger Handlungsalternativen und/oder das Treffen einer Entscheidung ohne angemessene Informationsgrundlage (Verlust des Schutzes der Business Judgement Rule).
  
  
• Einschlägige Normen: § 93 Abs. 1 S. 1 und 2 AktG (Sorgfaltspflicht und Business Judgement Rule) bzw. § 43 Abs. 1 GmbHG; ergänzend § 25c Abs. 4a KWG (ordnungsgemäße Geschäftsorganisation).

Haftungsfeld 2: Ungeprüfte Delegation und „Gekaufte Absicherung“ (Berater-Gutachten)

Betrifft primär: C-Level (unterstützt durch Compliance/GwB)

• Der konkrete Vorwurf: Unzulässige Delegation von Leitungsverantwortung an externe Dritte („blindes Vertrauen“) zur Umgehung der eigenen Entscheidungsverantwortung.
  
  
• Die Pflichtverletzung: Unterlassene eigenverantwortliche, kritische Plausibilitätsprüfung des externen fachlichen Rates vor der finalen Beschlussfassung.
  
  
• Einschlägige Normen: § 93 Abs. 1 AktG in ständiger Rechtsprechung des BGH (insb. „ISION“-Entscheidung, Az. II ZR 276/10), wonach die unreflektierte Übernahme externer Gutachten einen schweren Sorgfaltspflichtverstoß darstellt.

Haftungsfeld 3: Organisationsverschulden und Kontrollversagen im Gremium

Betrifft primär: C-Level

• Der konkrete Vorwurf: Systematischer „Blindflug“ innerhalb des Leitungsgremiums und bewusstes Wegschauen bei Fehlentwicklungen in den Ressorts der Vorstandskollegen.
  
  
• Die Pflichtverletzung: Verletzung der horizontalen Überwachungspflicht und der Gesamtverantwortung. Ein Geschäftsverteilungsplan entlastet nur, wenn die darin definierte gegenseitige Kontrolle auch nachweisbar ausgeübt wird.
  
  
• Einschlägige Normen: § 25c Abs. 3 KWG (Gesamtverantwortung trotz Geschäftsverteilung), § 93 Abs. 1 AktG (i.V.m. den BGH-Grundsätzen zur Ressortaufteilung, z. B. „ARAG/Garmenbeck“ hinsichtlich der Verfolgung von Pflichtverletzungen).

Haftungsfeld 4: Untätigkeit nach Mängel- und Risikokenntnis (Aussitzen von Findings)

Betrifft primär: C-Level (sowie Compliance/GwB bei unzureichendem Tracking)

• Der konkrete Vorwurf: Grob fahrlässige oder bedingt vorsätzliche Duldung von Compliance-Verstößen, Geldwäscherisiken oder Revisionsfeststellungen.
  
  
• Die Pflichtverletzung: Unterlassung unverzüglicher Gegen- und Abhilfemaßnahmen nach Kenntniserlangung einer Risikolage (Verletzung der Reaktions- und Abhilfepflicht).
  
  
• Einschlägige Normen: § 25c Abs. 4c KWG (Aufsichtliche Befugnis zur Verwarnung und Abberufung bei Untätigkeit), § 130 OWiG (Verletzung der Aufsichtspflicht in Unternehmen), MaRisk AT 4.4 (Maßnahmenverfolgung).

Haftungsfeld 5: Fehlende IKT- und Resilienz-Kompetenz (Das DORA-Risiko)

Betrifft primär: C-Level (Planung durch Compliance/GwB)

• Der konkrete Vorwurf: Veraltetes Fachwissen und mangelnde Qualifikation zur Leitung eines stark IT-abhängigen Finanzinstituts („Kompetenzdefizit“).
  
  
• Die Pflichtverletzung: Verstoß gegen die zwingende persönliche Fortbildungspflicht im Bereich IKT-Risiken und digitale Resilienz, was strategische Fehlentscheidungen im IT-Risikomanagement begründet.
  
  
• Einschlägige Normen: Art. 5 Abs. 4 DORA (persönliche Pflicht zur Kenntniserhaltung) und Art. 13 Abs. 6 DORA (verpflichtendes Resilienz-Schulungsmodul für die Geschäftsleitung) i.V.m. § 25c Abs. 1 KWG (Fachliche Eignung).

Haftungsfeld 6: Versagen der internen Eskalation (Spezifisch für GwB / Compliance)

Betrifft primär: GwB und Compliance-Funktion

• Der konkrete Vorwurf: Organisationsversagen auf der Second Line of Defense; Agieren als „zahnloser Tiger“ bei drohenden Rechtsverstößen des Instituts.
  
  
• Die Pflichtverletzung: Unterlassene, unvollständige oder verspätete Ad-hoc-Meldung bzw. Eskalation gravierender Risiken oder Geldwäscheverdachtsmomente an das C-Level.
  
  
• Einschlägige Normen: § 7 Abs. 4 GwG (Unmittelbare Unterstellung und Berichtspflicht des GwB), MaRisk AT 4.4.2 (Berichts- und Eskalationspflichten der Compliance-Funktion).
  
  
• Strafrechtliche Risiken: Eine strafrechtliche Verantwortlichkeit wegen Unterlassens setzt insbesondere eine konkrete Garantenpflicht, die tatsächliche und rechtliche Möglichkeit zur Verhinderung der Tat sowie zumindest den für das jeweilige Delikt erforderlichen Vorsatz voraus (§ 13 StGB). Ob diese Voraussetzungen bei einem Geldwäschebeauftragten vorliegen, ist stets anhand seiner konkreten Stellung, Befugnisse und Kenntnis im Einzelfall zu prüfen.