Compliance-System in Spanien: Pflichten & Aufbau

Ein Compliance-System in Spanien ordnet Verantwortlichkeiten, Risiken, Kontrollen und Reaktionen auf Regelverstöße. Für Unternehmen mit Verbindungen nach Deutschland kommt es darauf an, beide Rechtsordnungen sauber zu trennen und die Maßnahmen tatsächlich umzusetzen. Eine Software oder Richtliniensammlung allein bietet keine automatische rechtliche Entlastung.

Was ist ein Compliance-System?

Ein Compliance-System ist die organisierte Antwort eines Unternehmens auf seine rechtlichen und betrieblichen Risiken. Es legt fest, wer Risiken erkennt, wer Entscheidungen trifft, welche Kontrollen gelten, wie Hinweise behandelt werden und wie das Unternehmen auf Verstöße reagiert. Umfang und Ausgestaltung richten sich nach der konkreten Gesellschaft, ihrer Tätigkeit, ihrer Größe und den betroffenen Rechtsordnungen.

Entscheidend ist die Wirksamkeit: Zuständigkeiten, Verfahren und Kontrollen müssen nicht nur beschrieben, sondern im Alltag angewendet, überwacht und bei Veränderungen angepasst werden. Deshalb ist ein Compliance-Management-System für Spanien-Geschäfte kein unveränderliches Standardhandbuch, sondern ein nachweisbarer Organisationsprozess für die jeweils betroffene deutsche oder spanische Gesellschaft.

Wie unterscheiden sich Deutschland und Spanien?

Deutschland und Spanien knüpfen an unterschiedliche Rechtsgrundlagen an. Ein grenzüberschreitendes Unternehmen sollte deshalb für jede Pflicht zuerst die betroffene Gesellschaft, die zuständige Rechtsordnung und das konkrete Risiko bestimmen.

Prüffeld	Deutschland	Spanien
Unternehmensbezogene Sanktionen	§ 30 OWiG ermöglicht unter gesetzlichen Voraussetzungen eine Geldbuße gegen juristische Personen und Personenvereinigungen.	Art. 31 bis Código Penal regelt in bestimmten Fällen die strafrechtliche Verantwortlichkeit juristischer Personen.
Aufsicht und Kontrolle	§ 130 OWiG erfasst das Unterlassen erforderlicher Aufsicht, wenn dadurch eine Zuwiderhandlung gegen straf- oder bußgeldbewehrte Pflichten des Betriebsinhabers ermöglicht oder wesentlich erleichtert wird.	Art. 31 bis verlangt für eine mögliche Befreiung von strafrechtlicher Verantwortlichkeit ein vor der Tat wirksam beschlossenes und umgesetztes Präventionsmodell mit geeigneter Aufsicht und Kontrolle.
Interne Meldesysteme	Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet Beschäftigungsgeber grundsätzlich ab regelmäßig mindestens 50 Beschäftigten; für bestimmte regulierte Unternehmen gelten Ausnahmen von der Schwelle.	Die Ley 2/2023 verpflichtet private Arbeitgeber grundsätzlich ab mindestens 50 Beschäftigten; bestimmte Branchen und Organisationen sind unabhängig von der Beschäftigtenzahl erfasst.

Die Gegenüberstellung zeigt, warum einzelne deutsche Vorschriften nicht auf eine spanische Gesellschaft übertragen werden dürfen. Umgekehrt ersetzt ein spanisches Präventionsmodell keine Prüfung der deutschen Pflichten einer deutschen Gesellschaft oder Betriebsstätte.

Wie wird ein Compliance-System in Spanien risikobasiert aufgebaut?

Art. 31 bis des spanischen Strafgesetzbuchs (Código Penal) gibt für strafrechtliche Präventionsmodelle konkrete Elemente vor. Das Unternehmen muss Tätigkeitsbereiche bestimmen, in denen relevante Straftaten begangen werden könnten, und die Entscheidungs- sowie Ausführungsprozesse dazu regeln.

Ein belastbares Modell umfasst insbesondere:

eine nachvollziehbare Erfassung der risikobehafteten Tätigkeitsbereiche,
Protokolle für Entscheidungen und deren Umsetzung,
eine Steuerung finanzieller Mittel, die relevante Straftaten verhindern soll,
eine Pflicht, mögliche Risiken und Verstöße an die Überwachungsstelle zu melden,
ein angemessenes Disziplinarsystem für Verstöße gegen die festgelegten Maßnahmen sowie
eine regelmäßige Überprüfung und Anpassung bei wesentlichen Verstößen oder Veränderungen von Organisation, Kontrolle oder Tätigkeit.

Für eine mögliche Befreiung von der Verantwortlichkeit reicht die Existenz dieser Bausteine auf dem Papier nicht. Bei Leitungstaten nach Artikel 31 bis Absatz 1 Buchstabe a muss das Leitungsorgan das geeignete Präventionsmodell vor der Tat wirksam beschlossen und umgesetzt haben. Die Aufsicht muss grundsätzlich einer Stelle mit eigenständigen Initiativ- und Kontrollbefugnissen oder einer gesetzlich zuständigen internen Kontrollstelle anvertraut sein. Hinzukommen müssen die betrügerische Umgehung des Modells durch die Täter und das Fehlen eines Versagens der zuständigen Aufsicht.

Bei kleinen juristischen Personen, die eine verkürzte Gewinn- und Verlustrechnung vorlegen dürfen, kann das Leitungsorgan diese Aufsicht selbst übernehmen. Bei Mitarbeitertaten nach Absatz 1 Buchstabe b regelt Absatz 4 die Befreiung durch ein bereits vor der Tat wirksam umgesetztes geeignetes Präventionsmodell gesondert. Ein nur teilweiser Nachweis der Befreiungsvoraussetzungen kann strafmildernd wirken. Werden erst nach der Tat, aber vor Beginn der mündlichen Verhandlung wirksame Maßnahmen zur Verhinderung und Aufdeckung künftiger Straftaten eingeführt, kommt nach Artikel 31 quater Absatz 1 Buchstabe d eine Strafmilderung, nicht die rückwirkende Befreiung nach Artikel 31 bis in Betracht.

Welche Bedeutung haben Aufsicht und Organisation in Deutschland?

Nach § 30 des Ordnungswidrigkeitengesetzes (OWiG) kann eine Geldbuße gegen eine juristische Person oder Personenvereinigung festgesetzt werden, wenn eine erfasste Leitungsperson eine Straftat oder Ordnungswidrigkeit begeht und dadurch Verbandspflichten verletzt werden oder der Verband bereichert wird oder werden soll. Die Vorschrift verlangt daher eine Prüfung der handelnden Person, der Tat und ihres Unternehmensbezugs.

§ 130 OWiG setzt an der Aufsichtsorganisation an. Ordnungswidrig handelt, wer als Inhaber eines Betriebs oder Unternehmens vorsätzlich oder fahrlässig erforderliche Aufsichtsmaßnahmen unterlässt, wenn eine dadurch ermöglichte oder wesentlich erleichterte Zuwiderhandlung gegen straf- oder bußgeldbewehrte Pflichten des Inhabers begangen wird. Sorgfältige Bestellung, Auswahl und Überwachung von Aufsichtspersonen gehören zu diesem Organisationsrahmen.

Daraus folgt kein allgemeines Versprechen, dass ein dokumentiertes Compliance-System jede Geldbuße verhindert. Es schafft vielmehr überprüfbare Zuständigkeiten und Kontrollen, deren tatsächliche Angemessenheit und Anwendung im konkreten Fall bewertet werden.

Wann ist ein internes Hinweisgebersystem erforderlich?

Welche Schwelle gilt in Deutschland?

Das HinSchG verpflichtet Beschäftigungsgeber grundsätzlich ab regelmäßig mindestens 50 Beschäftigten, mindestens eine interne Meldestelle einzurichten und zu betreiben. Bestimmte regulierte Unternehmen, etwa aus ausdrücklich genannten Finanzbereichen, sind unabhängig von der Beschäftigtenzahl verpflichtet.

Die interne Meldestelle sollte auch anonym eingehende Meldungen bearbeiten; § 16 Absatz 1 HinSchG formuliert dies als Empfehlung. Eine generelle Pflicht, den Meldekanal technisch so zu gestalten, dass anonyme Meldungen abgegeben werden können, enthält das deutsche Gesetz jedoch nicht.

Was verlangt die spanische Ley 2/2023?

In Spanien müssen private natürliche oder juristische Personen mit mindestens 50 Beschäftigten ein internes Informationssystem (sistema interno de información) unterhalten. Darüber hinaus erfasst die Ley 2/2023 unabhängig von ihrer Beschäftigtenzahl diejenigen juristischen Personen, die den in Artikel 10 Absatz 1 Buchstabe b bezeichneten unionsrechtlichen Regelungen zu Finanzmarkt, Geldwäsche, Verkehrssicherheit oder Umweltschutz unterliegen.

Der spanische Kanal muss schriftliche oder mündliche Meldungen ermöglichen und auch anonyme Meldungen zulassen und bearbeiten. Das Verfahren sieht grundsätzlich eine Eingangsbestätigung innerhalb von sieben Kalendertagen vor, sofern sie die Vertraulichkeit nicht gefährdet. Die Antwort auf die Untersuchungsmaßnahmen muss grundsätzlich innerhalb von drei Monaten ab Eingang der Meldung erfolgen. Wird keine Eingangsbestätigung versandt, zählt die Dreimonatsfrist ab Ablauf der sieben Tage nach der Meldung. Bei besonders komplexen Fällen ist eine Verlängerung um höchstens weitere drei Monate zulässig.

Damit unterscheiden sich die deutschen und spanischen Anforderungen gerade bei anonymen Meldewegen. Ein gemeinsames Konzernwerkzeug muss deshalb die gesetzlichen Anforderungen jeder betroffenen Gesellschaft abbilden, ohne Verantwortlichkeit, Vertraulichkeit oder Zugriffsgrenzen zu vermischen.

Welche Rolle spielt Tax Compliance?

Tax Compliance verbindet steuerliche Aufgaben mit klaren Zuständigkeiten, Aufzeichnungen und Kontrollen. Für deutsche Buchführungs- und Aufzeichnungspflichten ist § 146 der Abgabenordnung (AO) ein zentraler Bezugspunkt. Buchungen und andere Aufzeichnungen dürfen in einer lebenden Sprache geführt werden; verwendet das Unternehmen nicht Deutsch, kann die Finanzbehörde Übersetzungen verlangen.

Das in § 146 Absatz 2c AO geregelte Verzögerungsgeld kann unter seinen gesetzlichen Voraussetzungen zwischen 2.500 Euro und 250.000 Euro betragen. Erfasst sind die Nichtbefolgung einer Aufforderung zur Rückverlagerung, die Verletzung der Pflicht zur unverzüglichen Mitteilung von Änderungen des Systemstandorts oder des Namens beziehungsweise der Anschrift eines beauftragten Dritten, die Nichterfüllung des Datenzugriffs nach § 147 Absatz 6 AO oder die Verlagerung elektronischer Bücher und Aufzeichnungen in einen Drittstaat ohne erforderliche Bewilligung.

Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung elektronischer Bücher, Aufzeichnungen und Unterlagen sowie zum Datenzugriff (GoBD) sind Verwaltungsanweisungen des Bundesfinanzministeriums. Ihr Stand wurde mit Schreiben vom 14. Juli 2025 erneut geändert. Sie sind kein im Jahr 2020 neu geschaffenes Parlamentsgesetz.

Ein innerbetriebliches steuerliches Kontrollsystem kann nach dem Anwendungserlass zu § 153 AO ein Indiz gegen Vorsatz oder Leichtfertigkeit sein. Es schließt beides nicht automatisch aus. Für deutsche Verrechnungspreisfragen ist außerdem der BMF-Rahmen der Verwaltungsgrundsätze Verrechnungspreise vom 12. Dezember 2024 zu berücksichtigen; spanische Anforderungen sind gesondert zu bestimmen.

Was gilt für Compliance auf Mallorca?

Für Unternehmen auf Mallorca bildet das spanische Recht den allgemeinen Ausgangspunkt. Es gibt kein einheitliches mallorquinisches Sondermodell, das Art. 31 bis Código Penal oder die Ley 2/2023 ersetzt. Zusätzliche balearische oder kommunale Anforderungen sind nur dann einzubeziehen, wenn die konkrete Branche, Genehmigung oder Tätigkeit sie auslöst.

Ein Unternehmen mit einer Gesellschaft oder Betriebsstätte auf Mallorca sollte deshalb nicht bei der Ortsangabe beginnen, sondern bei sechs Fragen: Welche Gesellschaft handelt? Welche Rechtsordnung gilt? Wie viele Beschäftigte hat die Einheit? In welcher Branche arbeitet sie? Welche Daten- und Zahlungsflüsse bestehen? Welche grenzüberschreitenden Beziehungen gibt es?

Auf dieser Grundlage lässt sich das Compliance-System in Spanien mit den deutschen Konzernprozessen verbinden, ohne die Verantwortlichkeiten beider Länder zu vermengen. Gemeinsame Werkzeuge sind möglich; die rechtliche Zuordnung und der Wirksamkeitsnachweis bleiben jedoch gesellschafts- und risikobezogen.

Wie bleibt das System im Alltag wirksam?

Ein wirksamer Betrieb folgt einem wiederkehrenden Ablauf:

Zuständigkeit festlegen: Für jede Gesellschaft werden Leitung, Kontrolle und Meldeverantwortung eindeutig zugeordnet.
Risiken abgrenzen: Tätigkeiten, Entscheidungen, Zahlungsprozesse und gesetzliche Pflichten werden nach Land und Gesellschaft geordnet.
Verfahren umsetzen: Entscheidungswege, Kontrollen, interne Meldungen und Reaktionen auf Verstöße werden praktisch nutzbar eingerichtet.
Anwendung nachweisen: Das Unternehmen dokumentiert, dass Kontrollen stattfinden, Hinweise bearbeitet und festgestellte Mängel behandelt werden.
Regelmäßig prüfen: Wesentliche Verstöße sowie Änderungen an Tätigkeit, Organisation oder Kontrollstruktur lösen eine Überprüfung und gegebenenfalls Anpassung aus.

Software kann Dokumentation, Fristen und Arbeitsabläufe unterstützen. Sie ersetzt weder eine verantwortliche Leitung noch die unabhängige Prüfung, ob die Maßnahmen zum tatsächlichen Risiko passen und wirksam angewendet werden.

Häufige Fragen (FAQ)

Reicht eine Compliance-Software als rechtlicher Schutz aus?

Nein. Software kann Prozesse und Nachweise unterstützen. Eine automatische Befreiung von Strafe, Geldbuße oder steuerlichen Folgen entsteht dadurch weder in Deutschland noch in Spanien. Maßgeblich sind die einschlägige Rechtsgrundlage, die angemessene Organisation und ihre tatsächliche Wirksamkeit.

Gilt die Schwelle von 50 Beschäftigten in Deutschland und Spanien gleich?

Nein. Beide Gesetze verwenden 50 Beschäftigte als wichtige Grundschwelle, enthalten aber eigene Ausnahmen und sektorale Regeln. Der Anwendungsbereich muss deshalb für jede deutsche oder spanische Gesellschaft getrennt geprüft werden.

Müssen Hinweisgebersysteme anonyme Meldungen ermöglichen?

In Spanien müssen interne Kanäle anonyme Meldungen zulassen und bearbeiten. In Deutschland wird die Bearbeitung anonym eingehender Hinweise empfohlen; eine generelle Pflicht, den Kanal technisch für anonyme Meldungen zu öffnen, besteht nach dem HinSchG nicht.

Entlastet ein internes steuerliches Kontrollsystem automatisch?

Nein. Nach dem deutschen Anwendungserlass zu § 153 AO kann ein steuerliches Kontrollsystem ein Indiz gegen Vorsatz oder Leichtfertigkeit sein. Die rechtliche Würdigung bleibt vom konkreten Fall abhängig.

Braucht ein Unternehmen auf Mallorca ein besonderes Compliance-Modell?

Nicht allein wegen des Standorts. Ausgangspunkt ist das spanische Recht. Balearische oder kommunale Anforderungen kommen nur hinzu, wenn sie für die konkrete Branche, Genehmigung oder Tätigkeit gelten.