Legalitätspflicht (§ 93 AktG, § 43 GmbHG)

Kurzdefinition: Die Legalitätspflicht ist die Pflicht der Geschäftsleitung, sich und das Unternehmen an Recht und Gesetz zu halten. Sie folgt aus der organschaftlichen Sorgfaltspflicht des § 93 AktG und des § 43 GmbHG. [N-AktG-93] [N-GmbHG-43]

Der Normwortlaut

§ 93 Abs. 1 AktG verlangt vom Vorstand die „Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters“; § 43 Abs. 1 GmbHG verlangt vom Geschäftsführer die „Sorgfalt eines ordentlichen Geschäftsmannes“. Zu dieser Sorgfalt gehört die Beachtung des geltenden Rechts. [N-AktG-93] [N-GmbHG-43]

Was ist die Legalitätspflicht?

Die Pflicht zu rechtmäßigem Verhalten. Die Legalitätspflicht hat zwei Seiten: Nach innen darf sich die Geschäftsleitung selbst nicht über Gesetze hinwegsetzen; nach außen muss sie dafür sorgen, dass das Unternehmen die für es geltenden Vorschriften einhält. Sie ist Bestandteil der organschaftlichen Sorgfaltspflicht. [N-AktG-93] [N-GmbHG-43]

Gilt die Business Judgement Rule auch hier?

Nicht für die Rechtstreue. Die Business Judgement Rule des § 93 Abs. 1 Satz 2 AktG schützt unternehmerische Ermessensentscheidungen. Für die Frage, ob das Recht eingehalten wird, besteht jedoch kein Ermessen: Ein Gesetzesverstoß ist keine geschützte unternehmerische Entscheidung. Die Legalitätspflicht ist insoweit zwingend. [N-AktG-93]

Wie hängt sie mit Cyber-Compliance zusammen?

Sie umfasst auch die Einhaltung von BSIG, DSGVO und KI-VO. Weil die Legalitätspflicht die Beachtung des gesamten geltenden Rechts verlangt, gehört dazu auch die Cyber- und Datenschutz-Compliance. Verstöße gegen diese Vorschriften können zugleich eine Verletzung der organschaftlichen Sorgfaltspflicht sein. [N-AktG-93] [N-GmbHG-43]

Woraus folgt die Legalitätspflicht?

Aus der Sorgfaltspflicht. § 93 Abs. 1 AktG verlangt vom Vorstand die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters, § 43 Abs. 1 GmbHG vom Geschäftsführer die Sorgfalt eines ordentlichen Geschäftsmanns. Zu dieser Sorgfalt gehört die Beachtung des geltenden Rechts. [N-AktG-93] [N-GmbHG-43]

Was verlangt § 43 GmbHG vom Geschäftsführer?

Die Sorgfalt eines ordentlichen Geschäftsmanns. § 43 Abs. 1 GmbHG legt diesen Maßstab an; er umfasst die pflichtgemäße, rechtstreue Führung der Geschäfte. [N-GmbHG-43]

Umfasst die Sorgfaltspflicht die Rechtsbeachtung?

Ja. Die Beachtung des geltenden Rechts ist Teil der Sorgfaltspflicht der Geschäftsleitung. Für die Einhaltung von Gesetzen — auch im Bereich der IT-Sicherheit und des Datenschutzes — besteht kein unternehmerischer Ermessensspielraum. [N-AktG-93] [N-GmbHG-43]

Häufige Fehlannahmen

• „Ein Gesetzesverstoß ist durch die Business Judgement Rule gedeckt.“ Nein. Für die Rechtstreue besteht kein unternehmerisches Ermessen. [N-AktG-93]
• „Die Legalitätspflicht betrifft nur das eigene Verhalten.“ Nein. Sie umfasst auch die Sorge für die Rechtstreue des Unternehmens. [N-AktG-93]
• „Ein wirtschaftlicher Vorteil rechtfertigt einen Rechtsverstoß.“ Nein. Auch ein vorteilhafter Verstoß bleibt pflichtwidrig. [N-AktG-93]
• „Ein Verstoß nach außen bleibt intern folgenlos.“ Nein. Nach herrschender Meinung stellt rechtswidriges Verhalten im Außenverhältnis zugleich eine Pflichtverletzung im Innenverhältnis dar. [N-AktG-93]
• „Legalität heißt nur, selbst keine Straftaten zu begehen.“ Nein. Aus der Legalitätspflicht folgt auch die Pflicht, die Rechtstreue des Unternehmens durch geeignete Maßnahmen (Compliance) sicherzustellen. [N-AktG-93]

Was die Geschäftsleitung tun sollte

1. Rechtstreue sichern. Einhaltung der einschlägigen Gesetze organisieren.
2. Compliance aufbauen. Prozesse zur Erkennung und Vermeidung von Verstößen einrichten.
3. Kein Ermessen annehmen. Bei Rechtsfragen nicht auf unternehmerischen Spielraum vertrauen.
4. Cyber-Recht einbeziehen. BSIG, DSGVO und KI-VO als Teil der Legalitätspflicht behandeln.

Für die Geschäftsleitung

Die Legalitätspflicht ist die harte Grenze der unternehmerischen Freiheit: Bei der Einhaltung zwingenden Rechts gibt es kein unternehmerisches Ermessen und keinen Schutz durch die Business Judgement Rule. Für die Geschäftsleitung heißt das, dass die Einhaltung von Cyber- und Datenschutzrecht nicht verhandelbar ist — ihre Verletzung ist zugleich eine Verletzung der eigenen Organpflicht.

Quellen

1. [N-AktG-93] § 93 AktG (Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder), Abs. 1. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/aktg/__93.html

1. [N-GmbHG-43] § 43 GmbHG (Haftung der Geschäftsführer), Abs. 1. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/gmbhg/__43.html