Wie schützt das Enthaftungs-Dossier Vorstände und Aufsichtsräte vor der strengen Beweislastumkehr gemäß § 93 AktG?

Geschäftsleiter können bei schuldhaften Pflichtverletzungen persönlich auf Schadensersatz haften. Für Vorstandsmitglieder bestimmt § 93 Abs. 2 Satz 2 AktG, dass sie im Streitfall darlegen und beweisen müssen, die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt zu haben. Für GmbH-Geschäftsführer gelten insbesondere § 43 Abs. 1 und 2 GmbHG sowie die hierzu entwickelten Beweisgrundsätze.

Da sich Entscheidungsabläufe nach Jahren häufig nur schwer rekonstruieren lassen, kommt einer zeitnahen und nachvollziehbaren Dokumentation erhebliche Beweisfunktion zu. Das Enthaftungs-Dossier bündelt entscheidungs-, kontroll- und risikobezogene Unterlagen in acht Registern und unterstützt damit eine geordnete Darlegung der Wahrnehmung organschaftlicher Pflichten.

Die Kernbausteine Ihrer Absicherung:

• Entscheidungen und Informationen: Nachvollziehbare Dokumentation der geprüften Handlungsoptionen, wesentlichen Chancen und Risiken sowie der zum Entscheidungszeitpunkt verfügbaren Informationen. Dies unterstützt den Nachweis der Voraussetzungen des § 93 Abs. 1 Satz 2 AktG. 

• Überwachung und Beratung: Dokumentation ressortübergreifender Informations- und Überwachungshandlungen sowie einer eigenständigen Plausibilitätsprüfung, wenn Entscheidungen auf externem fachlichem oder rechtlichem Rat beruhen. 

• Kontrolle und Eskalation: Konsolidierte Erfassung wesentlicher Prüfungsfeststellungen, Verantwortlichkeiten, Fristen und Abhilfemaßnahmen sowie nachvollziehbare Dokumentation erforderlicher Eskalationen. 

• DORA und Beweissicherung: Nachweise über die laufende Aktualisierung der Kenntnisse des Leitungsorgans zu IKT-Risiken sowie vertragliche und organisatorische Vorkehrungen, die einen rechtlich zulässigen Zugriff auf relevante Unterlagen während möglicher Haftungszeiträume ermöglichen. 

Der folgende Beitrag zeigt im Detail, wie diese acht Register in der Praxis aufgebaut sein müssen, um im Haftungs- und Prüfungsfall als unerschütterlicher Schutzschild zu dienen.

II. Fristen und Vorgaben

Für die Geschäftsleitung (C-Level) sind die Fristen wie folgt aufzuschlüsseln – gegliedert in gesetzliche Verjährungs- und Aufbewahrungsfristen einerseits sowie operative Reaktionsfristen andererseits:

1.) Gesetzliche Verjährungsfristen (Organhaftung)

Diese Fristen definieren den Zeitraum, in dem Aufsichtsrat, Insolvenzverwalter oder die Gesellschaft Ansprüche gegen die Geschäftsleitung gerichtlich geltend machen können.

• Fünf Jahre: Ansprüche der Gesellschaft gegen Vorstandsmitglieder verjähren bei nicht börsennotierten Aktiengesellschaften gemäß § 93 Abs. 6 AktG in fünf Jahren. Ansprüche gegen GmbH-Geschäftsführer nach § 43 GmbHG verjähren gemäß § 43 Abs. 4 GmbHG ebenfalls in fünf Jahren. 

• Zehn Jahre: Ansprüche aus § 93 AktG verjähren in zehn Jahren, wenn die Gesellschaft im Zeitpunkt der Pflichtverletzung börsennotiert war; im Übrigen beträgt die Frist fünf Jahre (§ 93 Abs. 6 AktG). 

• Der Beginn der Verjährung ist anhand des jeweiligen Anspruchs und der Umstände des Einzelfalls zu bestimmen. Deshalb können Haftungsrisiken auch nach dem Ausscheiden eines Organmitglieds fortbestehen. Ausgeschiedene Organmitglieder haften auch nach ihrem Weggang für diese Zeiträume voll weiter. 

2.) Gesetzliche Aufbewahrungsfristen (Beweissicherung)

Um der prozessualen Beweislastumkehr nach Jahren noch standhalten zu können, muss das Enthaftungs-Dossier an die handels- und steuerrechtlichen Fristen gekoppelt werden.

• Sechs Jahre: Empfangene und abgesandte Handels- oder Geschäftsbriefe sowie bestimmte sonstige Unterlagen sind grundsätzlich sechs Jahre aufzubewahren (§ 257 Abs. 1, Abs. 4 HGB; § 147 Abs. 1, Abs. 3 AO). 

• Acht beziehungsweise zehn Jahre: Buchungsbelege sind grundsätzlich acht Jahre aufzubewahren. Für Handelsbücher, Inventare, Jahresabschlüsse, Lageberichte und die zu ihrem Verständnis erforderlichen Organisationsunterlagen gilt grundsätzlich eine Frist von zehn Jahren. Für bestimmte beaufsichtigte Institute bestehen Sonder- und Übergangsregelungen (§ 257 Abs. 4 HGB; § 147 Abs. 3 AO). 

• Die Aufbewahrungsdauer jedes Dokuments ist anhand der einschlägigen gesetzlichen, regulatorischen und vertraglichen Vorgaben festzulegen. Haftungsrelevante Unterlagen sollten jedenfalls so lange verfügbar, lesbar und eindeutig zuordenbar bleiben, wie ihre Nutzung zur Rechtsverteidigung erforderlich und datenschutzrechtlich zulässig sein kann. 

3.) Operative Reaktions- und Vorlagefristen (Prüfungspraxis & Haftungsvermeidung)

Diese Fristen sind entscheidend, um den Vorwurf der groben Fahrlässigkeit (und damit den Verlust des D&O-Versicherungsschutzes) abzuwenden.

• Interne Reaktionsfrist: Wesentliche Risiken und Feststellungen sind unverzüglich zu bewerten, adressatengerecht zu eskalieren und innerhalb einer risikoorientiert festgelegten Frist zu bearbeiten. Eine interne 30-Tage-Frist kann als Höchstfrist vorgesehen werden, ersetzt jedoch nicht die Pflicht zu früherem Handeln, wenn Art oder Dringlichkeit des Risikos dies erfordern. 

• Interner Bereitstellungsstandard: Das Institut sollte für wesentliche haftungs- und prüfungsrelevante Unterlagen eine angemessene interne Bereitstellungsfrist definieren. Ein Zwei-Stunden-SLA kann als organisatorisches Qualitätsziel festgelegt werden, stellt jedoch keine allgemeine gesetzliche oder aufsichtsrechtliche Vorlagefrist dar. 

4.) Regulatorische Turnus-Fristen (DORA & Governance)

Fristen zur Aufrechterhaltung der persönlichen Fachkunde und der ordnungsgemäßen Geschäftsorganisation.

• Regelmäßige Fortbildung: Die Mitglieder des Leitungsorgans müssen ihre Kenntnisse und Fähigkeiten zu IKT-Risiken auf einem für ihre Aufgaben ausreichenden Stand halten. Umfang und Turnus der Fortbildung sind risikoorientiert festzulegen und nachvollziehbar zu dokumentieren (Art. 5 Abs. 4 DORA; ergänzend § 25c Abs. 4 KWG). 
  o Fortschreibung und Abzeichnung des Geschäftsverteilungsplans. 
  o Management-Review des konsolidierten Findings-Trackers. 
  o Formelle Bestätigung der Vollständigkeit des Enthaftungs-Dossiers. 

Vertragliche Handlungsempfehlung: Im Dienstvertrag sollte geprüft werden, ob dem Organmitglied nach seinem Ausscheiden ein zweckgebundenes Einsichts- oder Auskunftsrecht eingeräumt werden kann. Dieses ist mit Geheimhaltungs-, Datenschutz-, Aufsichts- und Schutzinteressen der Gesellschaft abzustimmen.

III. Pflichten für verantwortlich handelnde Personen

Aus dem rechtlichen Rahmen des „Enthaftungs-Dossiers“ und den korrespondierenden Aufsichtsgesetzen ergeben sich für die beteiligten Rollen (C-Level, Compliance, Geldwäschebeauftragter) streng voneinander abzugrenzende, aber ineinandergreifende Pflichten.

Obwohl das Organhaftungsrisiko letztlich die Geschäftsleitung (C-Level) trägt, lassen sich diese acht Pflichten in der Praxis nur erfüllen, wenn die Rollen ineinandergreifen. Compliance und der Geldwäschebeauftragte (GwB) fungieren hierbei als Informationsgeber, Kontrollinstanz oder haben spiegelbildliche eigene Pflichten.

Hier ist die strukturieret Einordnung der 8 Pflichten zu den jeweiligen zuständigen Funktion:

1. Die Abwägungspflicht (Register 1)

• C-Level (Primär): Trägt die volle Pflicht zur Dokumentation der Entscheidungsalternativen und der Chancen-Risiko-Abwägung (Business Judgement Rule, § 93 AktG). 

• Compliance & GwB (Zuarbeit): Müssen bei regulatorischen Entscheidungen dem C-Level die rechtlichen „Leitplanken“ definieren. Sie liefern oft die Risikobewertung für die jeweiligen Alternativen (inkl. der regulatorischen Konsequenzen einer „Null-Option“). 

2. Die Informationsbeschaffungspflicht (Register 2)

• C-Level (Primär): Muss sicherstellen und beweisen, dass vor der Entscheidung ausreichend Informationen (mit Zeitstempel) vorlagen. 

• Compliance & GwB (Informationsbereitsteller): Tragen die Pflicht, dem C-Level die notwendigen Risikoanalysen, Berichte und Sachverhalte rechtzeitig, vollständig und unverfälscht zur Verfügung zu stellen, damit dieses überhaupt fundiert entscheiden kann. 

3. Die horizontale Überwachungspflicht (Register 3)

• C-Level: Die Geschäftsleiter tragen trotz einer internen Ressortverteilung gemeinsam Verantwortung für die ordnungsgemäße Geschäftsorganisation. Sie müssen sich über wesentliche Entwicklungen in den anderen Ressorts angemessen informieren, erkennbare Fehlentwicklungen hinterfragen und bei konkreten Anhaltspunkten erforderliche Kontroll- oder Interventionsmaßnahmen einleiten. Maßgeblich sind insbesondere § 25c Abs. 3 KWG und § 93 Abs. 1 AktG. 

• Compliance (Unterstützend): Liefert dem C-Level die institutsweiten Querschnittsdaten (Dashboards, Compliance-Berichte), die es einem Vorstandsmitglied erst ermöglichen, Fehlentwicklungen in einem anderen Ressort zu erkennen und dort einzugreifen. 

• GwB: Trägt keine direkte horizontale Überwachungspflicht auf C-Level, überwacht aber institutsweit die Einhaltung der GwG-Vorgaben über alle Ressorts hinweg. 

4. Die Plausibilisierungspflicht (Register 4)

• C-Level (Primär): Muss zwingend einen eigenen Plausibilitätsvermerk zu externen Gutachten erstellen und darf sich nicht blind auf externe Berater verlassen (ISION-Rechtsprechung). 

• Compliance & GwB (Fachliche Prüfinstanz): Geht es um externe Gutachten zu Geldwäsche, Sanktionen oder Regulatorik, sind Compliance und GwB in der Pflicht, diese externen Ratschläge vorab auf Machbarkeit im eigenen Institut zu prüfen und dem C-Level bei der Erstellung des Plausibilitätsvermerks fachlich zuzuarbeiten. 

5. Die Fortbildungspflicht (Register 5)

• C-Level (Primär): Hat die persönliche Pflicht zum Nachweis der eigenen Fachkunde (insb. zu IKT-Risiken nach Art. 5 und 13 DORA) durch jährliche Schulungen. 

• Compliance & GwB (Spiegelbildliche Pflicht & Planung): Unterliegen selbst extrem strengen, eigenen Fortbildungspflichten (MaRisk, GwG). Zudem sind sie in der Praxis meist dafür verantwortlich, den jährlichen Schulungsplan für das C-Level zu erstellen und die Durchführung zu überwachen. 

6. Die Mängelbeseitigungs- und Abhilfepflicht (Register 6)

• C-Level: Die Geschäftsleitung muss eine ordnungsgemäße Geschäftsorganisation gewährleisten und festgestellte wesentliche Mängel angemessen adressieren. Aufsichtliche Anordnungen zur Mängelbeseitigung sind innerhalb der von der Bundesanstalt gesetzten angemessenen Frist umzusetzen (§§ 25a, 25c Abs. 4c KWG). 

• Compliance & GwB (Tracking-Pflicht): Sind primär dafür verantwortlich, den konsolidierten Findings-Tracker zu führen, Fristen streng zu überwachen und das C-Level rechtzeitig vor Fristablauf zu warnen. 

7. Die Reaktions- und Interventionspflicht (Register 7)

• C-Level: Nach Kenntniserlangung von wesentlichen Risiken oder Pflichtverletzungen muss die Geschäftsleitung Art, Dringlichkeit und mögliche Auswirkungen bewerten und erforderliche Maßnahmen ohne schuldhaftes Zögern einleiten. Die Reaktion und ihre Entscheidungsgrundlagen sollten nachvollziehbar dokumentiert werden. 

• Compliance & GwB (Eskalationspflicht): Compliance und Geldwäschebeauftragter: Wesentliche Risiken, Verstöße und Kontrollmängel sind nach Maßgabe der gesetzlichen, aufsichtsrechtlichen und internen Berichtswege zeitnah an die zuständigen Stellen zu berichten. Der Geldwäschebeauftragte berichtet der Geschäftsleitung unmittelbar (§ 7 Abs. 5 GwG); für die Compliance-Funktion gelten ergänzend die einschlägigen MaRisk-Vorgaben. Wichtig: Mit ihrer Meldung setzen sie den juristischen „Timer“ für die Reaktionspflicht des C-Levels in Gang. 

8. Die Beweissicherungs- und Aufbewahrungspflicht (Register 8)

• C-Level (Primär): Muss sicherstellen, dass das eigene Enthaftungs-Dossier über die Verjährungsfrist (5 bis 10 Jahre) unangetastet, zuordenbar und lesbar bleibt (inkl. der Verhandlung eines vertraglichen Einsichtsrechts). 

• Compliance & GwB (Dokumentationspflicht): Haben eigene, strenge gesetzliche Aufbewahrungsfristen (z. B. 5 Jahre für GwG-relevante Unterlagen nach § 8 GwG). Sie müssen sicherstellen, dass ihre Berichte revisionssicher archiviert werden, da diese als Beweismittel im Dossier des C-Levels dienen. 

IV. Potentielle pain points, haftungskritische Felder bei der operativen Umsetzung

Bei der operativen Umsetzung der Pflichten rund um das „Enthaftungs-Dossier“ eröffnen sich in der Praxis konkrete haftungskritische Felder. Sobald die Verzahnung zwischen C-Level, Compliance und Geldwäschebeauftragtem (GwB) fehlschlägt oder Dokumentationen lückenhaft sind, exponieren sich die Beteiligten gegenüber erheblichen zivil-, aufsichts- und teils strafrechtlichen Vorwürfen.

Hier ist die juristisch belastbare Aufschlüsselung der zentralen Haftungsfelder, des konkreten Vorwurfs, der zugrunde liegenden Pflichtverletzung und der einschlägigen Normen:

Haftungsfeld 1: Das fehlerhafte unternehmerische Ermessen (Entscheidungsvorbereitung)

Betrifft primär: C-Level (Zuarbeit durch Compliance/GwB mangelhaft)

• Der konkrete Vorwurf: Willkürliche, unsachgemäße oder völlig uninformierte Entscheidungsfindung zum finanziellen oder regulatorischen Nachteil der Gesellschaft. 

• Die Pflichtverletzung: Unterlassene Abwägung vernünftiger Handlungsalternativen und/oder das Treffen einer Entscheidung ohne angemessene Informationsgrundlage (Verlust des Schutzes der Business Judgement Rule). 

• Einschlägige Normen: § 93 Abs. 1 S. 1 und 2 AktG (Sorgfaltspflicht und Business Judgement Rule) bzw. § 43 Abs. 1 GmbHG; ergänzend § 25c Abs. 4a KWG (ordnungsgemäße Geschäftsorganisation). 

Haftungsfeld 2: Ungeprüfte Delegation und „Gekaufte Absicherung“ (Berater-Gutachten)

Betrifft primär: C-Level (unterstützt durch Compliance/GwB)

• Der konkrete Vorwurf: Unzulässige Delegation von Leitungsverantwortung an externe Dritte („blindes Vertrauen“) zur Umgehung der eigenen Entscheidungsverantwortung. 

• Die Pflichtverletzung: Unterlassene eigenverantwortliche, kritische Plausibilitätsprüfung des externen fachlichen Rates vor der finalen Beschlussfassung. 

• Einschlägige Normen: § 93 Abs. 1 AktG in ständiger Rechtsprechung des BGH (insb. „ISION“-Entscheidung, Az. II ZR 276/10), wonach die unreflektierte Übernahme externer Gutachten einen schweren Sorgfaltspflichtverstoß darstellt. 

Haftungsfeld 3: Organisationsverschulden und Kontrollversagen im Gremium

Betrifft primär: C-Level

• Der konkrete Vorwurf: Systematischer „Blindflug“ innerhalb des Leitungsgremiums und bewusstes Wegschauen bei Fehlentwicklungen in den Ressorts der Vorstandskollegen. 

• Die Pflichtverletzung: Verletzung der horizontalen Überwachungspflicht und der Gesamtverantwortung. Ein Geschäftsverteilungsplan entlastet nur, wenn die darin definierte gegenseitige Kontrolle auch nachweisbar ausgeübt wird. 

• Einschlägige Normen: § 25c Abs. 3 KWG (Gesamtverantwortung trotz Geschäftsverteilung), § 93 Abs. 1 AktG (i.V.m. den BGH-Grundsätzen zur Ressortaufteilung, z. B. „ARAG/Garmenbeck“ hinsichtlich der Verfolgung von Pflichtverletzungen). 

Haftungsfeld 4: Untätigkeit nach Mängel- und Risikokenntnis (Aussitzen von Findings)

Betrifft primär: C-Level (sowie Compliance/GwB bei unzureichendem Tracking)

• Der konkrete Vorwurf: Grob fahrlässige oder bedingt vorsätzliche Duldung von Compliance-Verstößen, Geldwäscherisiken oder Revisionsfeststellungen. 

• Die Pflichtverletzung: Unterlassung unverzüglicher Gegen- und Abhilfemaßnahmen nach Kenntniserlangung einer Risikolage (Verletzung der Reaktions- und Abhilfepflicht). 

• Einschlägige Normen: § 25c Abs. 4c KWG (Aufsichtliche Befugnis zur Verwarnung und Abberufung bei Untätigkeit), § 130 OWiG (Verletzung der Aufsichtspflicht in Unternehmen), MaRisk AT 4.4 (Maßnahmenverfolgung). 

Haftungsfeld 5: Fehlende IKT- und Resilienz-Kompetenz (Das DORA-Risiko)

Betrifft primär: C-Level (Planung durch Compliance/GwB)

• Der konkrete Vorwurf: Veraltetes Fachwissen und mangelnde Qualifikation zur Leitung eines stark IT-abhängigen Finanzinstituts („Kompetenzdefizit“). 

• Die Pflichtverletzung: Verstoß gegen die zwingende persönliche Fortbildungspflicht im Bereich IKT-Risiken und digitale Resilienz, was strategische Fehlentscheidungen im IT-Risikomanagement begründet. 

• Einschlägige Normen: Art. 5 Abs. 4 DORA (persönliche Pflicht zur Kenntniserhaltung) und Art. 13 Abs. 6 DORA (verpflichtendes Resilienz-Schulungsmodul für die Geschäftsleitung) i.V.m. § 25c Abs. 1 KWG (Fachliche Eignung). 

Haftungsfeld 6: Versagen der internen Eskalation (Spezifisch für GwB / Compliance)

Betrifft primär: GwB und Compliance-Funktion

• Der konkrete Vorwurf: Organisationsversagen auf der Second Line of Defense; Agieren als „zahnloser Tiger“ bei drohenden Rechtsverstößen des Instituts. 

• Die Pflichtverletzung: Unterlassene, unvollständige oder verspätete Ad-hoc-Meldung bzw. Eskalation gravierender Risiken oder Geldwäscheverdachtsmomente an das C-Level. 

• Einschlägige Normen: § 7 Abs. 4 GwG (Unmittelbare Unterstellung und Berichtspflicht des GwB), MaRisk AT 4.4.2 (Berichts- und Eskalationspflichten der Compliance-Funktion). 

• Strafrechtliche Risiken: Eine strafrechtliche Verantwortlichkeit wegen Unterlassens setzt insbesondere eine konkrete Garantenpflicht, die tatsächliche und rechtliche Möglichkeit zur Verhinderung der Tat sowie zumindest den für das jeweilige Delikt erforderlichen Vorsatz voraus (§ 13 StGB). Ob diese Voraussetzungen bei einem Geldwäschebeauftragten vorliegen, ist stets anhand seiner konkreten Stellung, Befugnisse und Kenntnis im Einzelfall zu prüfen. 

V. Lösungsansätze zur Haftungsminimierung

Um den aufgezeigten haftungskritischen Feldern wirksam zu begegnen und die Vorgaben der Beweislastumkehr (§ 93 Abs. 2 S. 2 AktG) rechtssicher zu erfüllen, müssen die theoretischen Pflichten in belastbare, operative Unternehmensprozesse übersetzt werden.

Hier sind die juristisch belastbaren Lösungsvorschläge, strukturiert nach den Kernrisiken, um das „Enthaftungs-Dossier“ in der Praxis wasserdicht aufzustellen:

1. Institutionalisierung der „Business Judgement Rule“ (Entscheidungsvorbereitung)

Maßnahme: Einführung eines zwingenden, standardisierten Abwägungsrasters für alle Vorstands- bzw. Geschäftsführungsbeschlüsse.

• Operative Umsetzung: Keine Beschlussvorlage darf das C-Level erreichen, ohne dass (a) mindestens zwei Handlungsalternativen (inklusive Null-Option) skizziert sind, (b) eine Chancen-Risiko-Abwägung dokumentiert ist und (c) ein Anlagenverzeichnis mit exaktem Zeitstempel (Informationsstand) beigefügt ist. 

• Juristischer Zweck: Gerichtsfester Nachweis des unternehmerischen Ermessens gemäß § 93 Abs. 1 S. 2 AktG. Eine dokumentierte Prüfung vertretbarer Handlungsoptionen kann wesentlich dazu beitragen, nachzuweisen, dass die Entscheidung auf angemessener Information und am Wohl der Gesellschaft ausgerichtet getroffen wurde (§ 93 Abs. 1 Satz 2 AktG). Art und Umfang der erforderlichen Prüfung richten sich nach Bedeutung, Dringlichkeit und Risikogehalt der Entscheidung. 

• Rollen: Compliance und GwB fungieren als „Gatekeeper“, die unvollständige Vorlagen (aus regulatorischer Sicht) vor der Gremienbefassung rügen müssen. 

2. Standardisierter Plausibilitätsvermerk für externe Expertise

Maßnahme: Einführung eines verbindlichen „Prüfvermerk-Blattes“ bei der Einholung externer Gutachten (Rechtsanwälte, Wirtschaftsprüfer, IT-Forensiker).

• Operative Umsetzung: Das C-Level darf sich nicht nur auf das Gutachten stützen. Es muss ein einseitiges Formular unterzeichnen, das folgende Fragen bejaht: Wurde der Sachverhalt vollständig offengelegt? Beantwortet das Gutachten die gestellte Frage? Ist das Ergebnis für das Institut in sich schlüssig? Welche operativen Maßnahmen folgen daraus? 

• Juristischer Zweck: Erfüllung der strengen BGH-Kriterien (ISION-Rechtsprechung). Der Vermerk beweist den eigenverantwortlichen Führungsakt und widerlegt den Vorwurf der unzulässigen Delegierung der Leitungsverantwortung. 

• Rollen: Compliance/GwB bereiten den Plausibilitätsvermerk fachlich vor; das C-Level zeichnet ihn als Nachweis der eigenen geistigen Durchdringung ab. 

3. Zwangseskalation und „Comply-or-Explain“-Tracking

Maßnahme: Etablierung eines institutsweiten, konsolidierten Findings-Trackers und eines Ereignisregisters mit harten Service-Level-Agreements (SLA).

• Operative Umsetzung: Alle Feststellungen (Revision, Aufsicht, Compliance) fließen in ein zentrales Register. Bei Risikomeldungen durch den GwB oder Compliance greift eine harte 30-Tage-Frist. Innerhalb dieser Frist muss das C-Level eine dokumentierte Erstmaßnahme verabschieden. Bei Fristüberschreitungen offener Findings greift ein formaler „Comply-or-Explain“-Beschluss auf Vorstandsebene (Begründung der Verzögerung und Beschluss der Fristverlängerung). 

• Juristischer Zweck: Abwehr des Vorwurfs des Organisationsverschuldens und der grob fahrlässigen Untätigkeit (§ 25c Abs. 4c KWG, § 130 OWiG). Eine dokumentierte Befassung mit Verzögerungen kann belegen, dass Risiken erkannt, bewertet und gesteuert wurden. Sie beseitigt jedoch weder bestehende Rechtsverstöße noch rechtfertigt sie die Überschreitung gesetzlicher, aufsichtsrechtlicher oder verbindlich gesetzter Fristen. 

• Rollen: GwB und Compliance lösen die Eskalation aus (Nachweis der eigenen Pflichtenerfüllung nach § 7 Abs. 4 GwG); das C-Level dokumentiert die Reaktion. 

4. Nachweisbare Ausübung der horizontalen Überwachung

Maßnahme: Formale Verankerung von „Überwachungs-Protokollierungen“ in den Geschäftsordnungen der Leitungsgremien.

• Operative Umsetzung: Der Geschäftsverteilungsplan muss jährlich formell bestätigt werden. In den Sitzungsprotokollen des C-Levels wird ein Standard-Tagesordnungspunkt verankert, unter dem ressortübergreifende kritische Rückfragen (z. B. des Vertriebsvorstands an den Risikovorstand) explizit und namentlich protokolliert werden. 

• Juristischer Zweck: Beweisführung zur Wahrnehmung der Gesamtverantwortung gem. § 25c Abs. 3 KWG. Ein Papier-Geschäftsverteilungsplan entlastet nur, wenn die darin angelegte wechselseitige Kontrolle als „gelebte Praxis“ vor Gericht bewiesen werden kann (ARAG/Garmenbeck-Grundsätze). 

5. DORA-konformes Qualifikations-Board

Maßnahme: Beschluss und Durchführung eines zielgerichteten, dokumentierten Schulungsplans für das Leitungsorgan.

• Operative Umsetzung: Führung eines separaten Schulungsregisters im Enthaftungs-Dossier (Register 5). Für jedes Mitglied des Leitungsorgans sollten Inhalt, Zeitpunkt, Dauer und IKT-Risikobezug der absolvierten Fortbildungen nachvollziehbar dokumentiert werden. Die Ausgestaltung ist an Funktion, Vorkenntnissen und Risikoprofil des Instituts auszurichten (Art. 5 Abs. 4 DORA; § 25c Abs. 4 KWG). 

• Juristischer Zweck: Präventive Erfüllung der Art. 5 Abs. 4 und Art. 13 Abs. 6 DORA. Fehlt dieser Nachweis, kann die Aufsicht (BaFin/EZB) künftig bei jedem IKT-Vorfall (z.B. Cyber-Angriff) argumentieren, der Geschäftsleitung habe bereits die grundlegende gesetzliche Fachkunde zur präventiven Risikoabwehr gefehlt. 

6. Vertragliche Sicherung des post-vertraglichen Beweiszugriffs

Maßnahme: Ergänzung der Vorstands- bzw. Geschäftsführeranstellungsverträge (Dienstverträge) um eine nachvertragliche Klausel.

• Operative Umsetzung: Aufnahme eines Passus: Die Gesellschaft gewährt dem Organmitglied nach Beendigung des Dienstverhältnisses auf begründetes Verlangen Zugang zu denjenigen Unterlagen aus seiner Amtszeit, die zur Abwehr konkret drohender oder geltend gemachter Haftungsansprüche erforderlich sind. Der Zugang erfolgt unter Wahrung gesetzlicher Aufbewahrungs-, Datenschutz-, Geheimhaltungs- und Aufsichtspflichten sowie berechtigter Interessen der Gesellschaft und Dritter. Dieses Recht überdauert die Beendigung des Dienstverhältnisses und gilt bis zum Ablauf der gesetzlichen Verjährungsfristen. 

• Juristischer Zweck: Da die Haftung nach § 93 Abs. 6 AktG zwischen 5 und 10 Jahren verjährt, der Manager nach seinem Ausscheiden aber sofortigen Systemzugriff verliert, sichert diese Klausel die faktische prozessuale Waffengleichheit im späteren Haftungsprozess. Ohne diese Daten ist die geforderte Beweisführung unmöglich. 

VI. Fazit: Das Enthaftungs-Dossier als unabdingbarer rechtlicher Schutzschild

Das Enthaftungs-Dossier ist ein wesentliches Instrument zur strukturierten Dokumentation der Entscheidungs-, Überwachungs- und Organisationspflichten der Geschäftsleitung. Es kann die Darlegung und Beweisführung im Haftungs- oder Prüfungsfall unterstützen, ersetzt jedoch weder pflichtgemäßes Handeln noch eine einzelfallbezogene rechtliche Prüfung. Dreh- und Angelpunkt der Organhaftung ist die prozessuale Beweislastumkehr (§ 93 Abs. 2 S. 2 AktG / § 43 Abs. 2 GmbHG): Im Ernstfall muss das C-Level die eigene Sorgfalt lückenlos beweisen. Nur durch zeitnah dokumentierte Abwägungen und Informationsstände lässt sich der Haftungsschirm der Business Judgement Rule (§ 93 Abs. 1 S. 2 AktG) aktivieren.

Dies erzwingt eine operative Schicksalsgemeinschaft: Compliance und Geldwäschebeauftragter (GwB) legen durch revisionssicheres Tracking und Ad-hoc-Meldungen das zwingende Beweisfundament. Ignoriert das C-Level diese Eskalationen, manifestiert sich aus der Untätigkeit unmittelbar ein grob fahrlässiges Organisationsverschulden (z. B. nach § 25c Abs. 4c KWG).

Schlussfolgerung: Die systematische Umsetzung der acht Dossier-Register ist juristisch alternativlos. Nur durch sofort vorlagefähige Beweise, nachgewiesene IKT-Kompetenz (DORA) und vertraglich gesicherte, post-vertragliche Einsichtsrechte wandelt die Geschäftsleitung das Risiko der unbeschränkten persönlichen Haftung in rechtlich geschütztes unternehmerisches Handeln um.

S+P Editorial Team

VII. Quellenverzeichnis

Europäisches Recht (Amtsblatt der Europäischen Union)

Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA) vom 14.12.2022 (ABl. L 333 vom 27.12.2022, S. 1):
https://eur-lex.europa.eu/eli/reg/2022/2554/oj, abgerufen am 06.08.2026.

Nationales Recht Deutschland (Bundesgesetzblatt)

Aktiengesetz (AktG) vom 06.09.1965 (BGBl. I S. 1089):
https://www.gesetze-im-internet.de/aktg/ , abgerufen am 06.08.2026.

Gesetz über das Kreditwesen (Kreditwesengesetz – KWG) vom 09.09.1998 (BGBl. I S. 2776):
https://www.gesetze-im-internet.de/kredwg/ , abgerufen am 06.08.2026.

Gesetz über das Aufspüren von Gewinnen aus schweren Straftaten (Geldwäschegesetz – GwG) vom 23.06.2017 (BGBl. I S. 1822):
https://www.gesetze-im-internet.de/gwg_2017/ , abgerufen am 06.08.2026.

Aufsichtsrechtliche Vorgaben

Mindestanforderungen an das Risikomanagement (MaRisk) – Rundschreiben der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin):
https://www.bafin.de/DE/Aufsicht/BankenFinanzdienstleister/Risikomanagement/risikomanagement_node.html, abgerufen am 06.08.2026.

Höchstrichterliche Rechtsprechung (Bundesgerichtshof)

Bundesgerichtshof (BGH), Urteil vom 20. September 2011 – Az. II ZR 276/10 („ISION-Entscheidung“ zu den Voraussetzungen der Inanspruchnahme externen Rats): https://www.bundesgerichtshof.de , abgerufen am 06.08.2026.