Relevanz von Compliance-Systemen für den deutschen Mittelstand

Für welche mittelständischen Unternehmen ist ein Compliance-System wirklich relevant?

Die kurze Antwort lautet: für deutlich mehr Unternehmen, als der Begriff vermuten lässt, aber nicht für jedes im gleichen Umfang. Es gibt keinen einheitlichen gesetzlichen Bauplan, den jede deutsche GmbH unabhängig von Größe und Geschäft anwenden müsste. Entscheidend ist das konkrete Risikoprofil.

Ein Familienbetrieb mit 35 Beschäftigten, einem Standort, wenigen Steuerarten und einer überschaubaren Buchhaltungssoftware benötigt andere Strukturen als eine Unternehmensgruppe mit 600 Beschäftigten, einer spanischen Tochtergesellschaft, konzerninternen Leistungen, mehreren ERP-Systemen und dezentralen Zahlungsfreigaben. Beide müssen ihre Pflichten erfüllen. Die Zahl der Kontrollen, ihre Frequenz und die notwendige Unabhängigkeit dürfen sich aber unterscheiden.

Für die Einordnung zählen vor allem:

• Rechtsform und Leitungsstruktur,
• Beschäftigtenzahl und gesetzliche Schwellenwerte,
• Branche und regulierte Tätigkeiten,
• Steuerarten, Transaktionsvolumen und Fehleranfälligkeit,
• Zahl der Rechtsträger, Betriebsstätten und Länder,
• konzerninterne Lieferungen, Leistungen und Finanzierungen,
• verwendete Vorsysteme, Schnittstellen und manuelle Arbeitsschritte,
• Delegation an interne Fachbereiche und externe Berater,
• frühere Fehler, Prüfungsfeststellungen und laufende Verfahren.

Die praktische Frage lautet deshalb nicht: „Brauchen wir ein Compliance-Handbuch?“ Sie lautet: „Bei welchen Pflichten kann ein Fehler erheblich werden, wer bemerkt ihn und können wir später zeigen, was tatsächlich geschehen ist?“

Welche Systeme dürfen nicht miteinander verwechselt werden?

Im Alltag werden Compliance-Management-System, Tax-CMS und internes Kontrollsystem oft gleichgesetzt. Das führt zu falschen Erwartungen. Schon die rechtlichen Bezugspunkte unterscheiden sich.

Ein Unternehmen mit deutscher Muttergesellschaft und spanischer Tochter kann deshalb eine gemeinsame Governance und technische Plattform nutzen. Die rechtliche Prüfung muss trotzdem pro Staat und Rechtsträger erfolgen. Ein deutscher Kontrollnachweis kann in Spanien nützlich sein, ersetzt dort aber nicht die spanische Strafrechts-Risikoanalyse, das zuständige Überwachungsorgan oder die gesetzlich verlangten Melde- und Disziplinarprozesse.

Woran erkennt man einen risikogerechten Umfang?

Ein Compliance-System ist angemessen, wenn es die wesentlichen Risiken des tatsächlichen Geschäfts abdeckt und im Alltag ausführbar bleibt. Papiermenge ist kein Qualitätsmerkmal. Ein 200-seitiges Handbuch ohne Verantwortliche, Fristen und Belege ist schwächer als eine knappe, aktuelle Kontrollmatrix, die nachweisbar genutzt wird.

Die Geschäftsleitung sollte zunächst den Scope festlegen: Welche Gesellschaften, Betriebsstätten, Länder, Steuerarten, Geschäftsprozesse und IT-Systeme gehören hinein? Danach wird nicht abstrakt nach „allen Risiken“ gesucht. Für jede konkrete Pflicht werden Fehlerbild, Ursache, mögliche Folge, bestehende Kontrolle und verbleibendes Risiko beschrieben.

Ein einfacher Prüfmaßstab besteht aus fünf Fragen:

1. Welche Pflicht muss erfüllt werden?
2. Welcher konkrete Fehler kann auftreten?
3. Wer verhindert oder erkennt diesen Fehler bis wann?
4. Was geschieht bei einer Abweichung?
5. Welcher Nachweis bleibt für Management, Berater und Prüfer erhalten?

Praxisbeispiel: Ein Großhändler erstellt seine Umsatzsteuervoranmeldung aus Daten von Warenwirtschaft, Reisekostenlösung und Finanzbuchhaltung. Ein bloßer Satz wie „Finance prüft die Umsatzsteuer“ reicht nicht. Belastbar wird der Prozess erst, wenn feststeht, wer die Schnittstellen-Vollständigkeit kontrolliert, wie Differenzen behandelt werden, wer die Erklärung freigibt und wo Importprotokoll, Abstimmung und Übermittlungsbeleg liegen.

Welche Folgen können Pflichtverletzungen in Deutschland haben?

Der Ausdruck „Compliance-Verstoß“ verdeckt oft, dass mehrere rechtliche Ebenen nebeneinanderstehen. Eine verspätete Zahlung, eine persönliche Haftung des Geschäftsführers und eine Verbandsgeldbuße sind weder dasselbe noch folgen sie aus denselben Voraussetzungen.

Für Verbandsgeldbußen nach § 30 OWiG gilt ein differenzierter Rahmen. Bei einer vorsätzlichen Straftat kann die Geldbuße gegen den Verband bis zu zehn Millionen Euro betragen, bei einer fahrlässigen Straftat bis zu fünf Millionen Euro. Bei Ordnungswidrigkeiten richtet sich der Rahmen nach den besonderen Regeln des § 30 Abs. 2 OWiG. Zusätzlich ist die Überschreitung eines Höchstmaßes zur Abschöpfung des wirtschaftlichen Vorteils nach § 17 Abs. 4 OWiG von der Einziehung nach §§ 29a ff. OWiG zu trennen.

Auch § 130 OWiG wird häufig zu weit dargestellt. Die Leitungsperson wird dadurch nicht zum Täter einer fremden Steuerhinterziehung. Gegenstand ist ihre eigene vorsätzliche oder fahrlässige Aufsichtspflichtverletzung. Erforderlich sind eine betriebsbezogene, mit Strafe oder Geldbuße bedrohte Zuwiderhandlung und der Zusammenhang, dass gehörige Aufsicht die Tat verhindert oder wesentlich erschwert hätte. Bei einer mit Strafe bedrohten Pflichtverletzung kann der Bußgeldrahmen grundsätzlich bis zu einer Million Euro reichen; ist die Pflichtverletzung mit Geldbuße bedroht, richtet sich das Höchstmaß nach dieser.

Wann kann die Geschäftsleitung persönlich in Anspruch genommen werden?

§ 34 AO nennt gesetzliche Vertreter und weitere Verantwortliche, die steuerliche Pflichten für das Unternehmen zu erfüllen haben. Vorstand und Geschäftsführer sind typische Fälle. Daraus folgt aber keine verschuldensunabhängige Haftung für jeden Steuerfehler.

Für § 69 AO müssen Vertreterstellung, eine steuerliche Pflichtverletzung, Vorsatz oder grobe Fahrlässigkeit und die ursächliche Verkürzung eines Anspruchs aus dem Steuerschuldverhältnis zusammenkommen. Eine interne Delegation kann relevant sein, entlastet aber nicht automatisch. Wer Aufgaben überträgt, muss geeignete Personen auswählen, den Auftrag klar abgrenzen, Informationen zugänglich machen und angemessen überwachen. Je größer Risiko und Schadenspotenzial, desto belastbarer müssen Auswahl und Kontrolle sein.

§ 71 AO folgt einer anderen Logik. Er betrifft Täter und Teilnehmer einer Steuerhinterziehung oder Steuerhehlerei. Der Haftungsumfang umfasst die verkürzten Steuern, zu Unrecht gewährte Steuervorteile und den gesetzlich bestimmten Zinsumfang. § 233a-Zinsen und Hinterziehungszinsen nach § 235 AO dürfen dabei nicht als ein einheitlicher Posten behandelt werden.

Zivilrechtlich gelten ebenfalls keine pauschalen Aussagen. Vorstände und Geschäftsführer schulden der Gesellschaft eine pflichtgemäße Organisation und Überwachung nach dem für ihre Rechtsform geltenden Maßstab. § 91 Abs. 2 AktG betrifft das Früherkennungssystem der Aktiengesellschaft; § 91 Abs. 3 AktG verlangt ein angemessenes und wirksames internes Kontroll- und Risikomanagementsystem ausdrücklich für börsennotierte Gesellschaften. Daraus lässt sich keine identische Organisationspflicht für jede mittelständische GmbH ableiten. Die GmbH-Geschäftsführung muss ihre Organisation dennoch so aufstellen, dass die gesetzlichen und gesellschaftsrechtlichen Pflichten im konkreten Geschäft zuverlässig erfüllt werden können.

Was muss geschehen, wenn ein Steuerfehler entdeckt wird?

Ein gutes Tax-CMS zeigt seine Qualität nicht daran, dass niemals ein Fehler auftaucht. Entscheidend ist, ob ein Fehler erkannt, gesichert, fachlich bewertet und fristgerecht behandelt wird.

§ 153 AO enthält keine pauschale Pflicht, jede Unsicherheit sofort als Berichtigung zu melden. Die Pflicht greift, wenn ein Steuerpflichtiger vor Ablauf der Festsetzungsfrist nachträglich erkennt, dass eine von ihm oder für ihn abgegebene Erklärung unrichtig oder unvollständig ist und dadurch eine Steuerverkürzung eintreten kann oder bereits eingetreten ist. Dann muss er dies unverzüglich anzeigen und richtigstellen. § 153 Abs. 4 AO kann außerdem eine Anzeige und Berichtigung weiterer, nicht geprüfter Erklärungen verlangen, wenn unanfechtbar umgesetzte Feststellungen einer Außenprüfung aufgrund desselben Sachverhalts dort die Besteuerungsgrundlagen ändern. Ob die Regelung anwendbar ist, richtet sich für Altfälle nach Art. 97 § 37 Abs. 2 und 3 EGAO, insbesondere nach dem Entstehungszeitpunkt der Steuer und dem Zeitpunkt der Bekanntgabe der Prüfungsanordnung.

Der interne Prozess sollte die rechtliche Entscheidung nicht vorwegnehmen. Er muss aber verhindern, dass ein Hinweis in E-Mails, Tickets oder Besprechungen liegen bleibt. Sinnvoll sind mindestens diese Schritte:

1. Sachverhalt und betroffene Zeiträume gegen Veränderung sichern.
2. Rechtsträger, Steuerarten, Erklärungen und Zahlungen abgrenzen.
3. Fehlerursache und mögliche Wiederholungsfälle untersuchen.
4. Berichtigungspflicht und Frist fachlich bewerten lassen.
5. Entscheidung, Einreichung und Kommunikation dokumentieren.
6. Kontrolle oder Prozess so ändern, dass der Fehler nicht unbemerkt wiederkehrt.

Besteuerungs- und Strafverfahren folgen dabei unterschiedlichen Regeln. Entsteht ein strafrechtlicher Anfangsverdacht, müssen Verfahrensrechte, insbesondere der Schutz vor erzwungener Selbstbelastung nach § 393 AO sowie Einleitung und Bekanntgabe nach § 397 AO, gesondert beachtet werden. Eine Einstellung gegen Geldauflage nach § 153a StPO ist keine strafgerichtliche Verurteilung und die Auflage keine nach Urteil verhängte Strafe.

Welche Bedeutung hat ein steuerliches IKS bei Vorsatz oder Leichtfertigkeit?

Der Anwendungserlass zu § 153 AO lässt nur eine begrenzte Aussage zu: Ein innerbetriebliches Kontrollsystem, das der Erfüllung steuerlicher Pflichten dient, kann ein Indiz gegen Vorsatz oder Leichtfertigkeit sein. Die Prüfung des Einzelfalls bleibt erforderlich.

Diese mögliche Indizwirkung hängt nicht am Namen des Systems. Entscheidend ist, ob die Organisation für das konkrete Risiko angemessen war und tatsächlich funktioniert hat.

Praxisbeispiel: Eine GmbH bemerkt, dass ein Stammdatenschlüssel seit drei Monaten Ausgangsrechnungen falsch behandelt. Die bloße Existenz einer Umsatzsteuerrichtlinie hilft wenig. Aussagekräftig sind dagegen das automatische Ausnahmeprotokoll, die dokumentierte Eskalation, die zeitnahe steuerliche Bewertung, die Entscheidung zu § 153 AO, die Korrektur betroffener Fälle und ein getestetes Vier-Augen-Verfahren für künftige Stammdatenänderungen.

Was verlangen die GoBD tatsächlich?

Die GoBD sind ein Schreiben des Bundesministeriums der Finanzen und damit eine Verwaltungsanweisung, kein Gesetz. Maßgeblich ist das Schreiben vom 28. November 2019 in der durch die Schreiben vom 11. März 2024 und 14. Juli 2025 geänderten Fassung. Die GoBD konkretisieren aus Sicht der Finanzverwaltung die Ordnungsvorschriften für Bücher, Aufzeichnungen, elektronische Unterlagen und Datenzugriff. Sie sind nicht die allgemeine gesetzliche Definition eines Tax-CMS.

Für die Einhaltung der Ordnungsvorschriften des § 146 AO sind Kontrollen einzurichten, auszuüben und zu protokollieren. Ihre konkrete Ausgestaltung hängt von Geschäftstätigkeit, Organisation und IT-Landschaft ab.

Die Beschreibung dieser Kontrollen gehört zur Verfahrensdokumentation. Sie muss aktuell, nachvollziehbar und in ihren Änderungen erkennbar sein. Gleichwohl führt eine fehlende oder ungenügende Verfahrensdokumentation nach GoBD Rn. 155 nicht allein zum Verwerfen der Buchführung, wenn Nachvollziehbarkeit und Nachprüfbarkeit nicht beeinträchtigt sind.

Ebenso wenig ist das bloße Fehlen eines IKS ein eigener Schätzungstatbestand. Nach § 158 AO sind formell ordnungsmäßige Bücher und Aufzeichnungen grundsätzlich der Besteuerung zugrunde zu legen. Ob nach § 162 AO geschätzt werden darf, hängt von den dortigen Voraussetzungen und dem sachlichen Gewicht konkreter Mängel ab. Kontrolldefizite können relevant werden, wenn sie Vollständigkeit, Richtigkeit oder Nachprüfbarkeit tatsächlich beeinträchtigen. Ein Etikett ersetzt diese Prüfung nicht.

Wer trägt im Unternehmen welche Verantwortung?

Compliance ist keine Aufgabe, die mit einem Satz im Geschäftsverteilungsplan an Finance oder den Steuerberater abgegeben werden kann. Die Rollen dürfen in einem kleinen Unternehmen zusammenfallen. Ihre Aufgaben müssen trotzdem unterscheidbar bleiben.

Externe Berater nehmen dem Unternehmen die Organisationsverantwortung nicht ab. Eine belastbare Delegation umfasst Auswahl, klaren Auftrag, vollständigen Informationszugang, Plausibilisierung des Ergebnisses und angemessene Überwachung. Besonders fehleranfällig ist der Satz „Das macht der Steuerberater“, wenn intern niemand benennen kann, welche Daten wann geliefert werden, wer Vollständigkeit bestätigt und wer auf ungeklärte Rückfragen reagiert.

Wie läuft ein Tax-Compliance-Prozess von Anfang bis Ende?

Ein tragfähiger Prozess verbindet Pflicht, Risiko, Kontrolle, Abweichung und Verbesserung. Die folgende Reihenfolge lässt sich auch mit einem kleinen Team umsetzen.

Ein Kontrollnachweis sollte mindestens Rechtsträger, Vorgang, Zeitraum, Datenbasis, Kontrollhandlung, ausführende und prüfende Person, Ergebnis, Abweichung, Entscheidung und Zeitpunkt erkennen lassen. Eine frei überschreibbare Excel-Liste ohne Historie ist dafür nur eingeschränkt geeignet. Das heißt nicht, dass jedes Unternehmen ein Spezialwerkzeug kaufen muss. Auch vorhandene Systeme können genügen, wenn Versionierung, Zugriffe, Freigaben und Aufbewahrung verlässlich gelöst sind.

Was ändert sich bei grenzüberschreitenden Geschäften?

Mit einer ausländischen Tochtergesellschaft entsteht nicht einfach ein „internationales Steuerrisiko“. Es entstehen konkrete nationale Pflichten, die in den Gruppenprozess eingebaut werden müssen. Für jedes Land sollte ein Register mindestens Tatbestand, Rechtsträger, verantwortliche Person, Datenquelle, Fristbeginn, Fristende, Einreichungsweg, Freigabe, Zahlungsweg und Nachweis nennen.

Bei Geschäftsbeziehungen im Sinne des § 1 Abs. 4 AStG verlangt § 90 Abs. 3 AO Aufzeichnungen über Art und Inhalt der Geschäftsbeziehungen. Dazu gehören eine Transaktionsmatrix, Sachverhaltsdokumentation und Angemessenheitsdokumentation. Die Sachverhaltsdokumentation bildet Beteiligte, Geschäftsvorfälle, Funktionen, Risiken, Vermögenswerte, Verträge und tatsächliche Durchführung ab. Die Angemessenheitsdokumentation erläutert Verrechnungspreismethode, Fremdvergleich, verwendete Daten und Schlussfolgerung. Eine Stammdokumentation kommt nur hinzu, wenn die gesetzlichen Voraussetzungen erfüllt sind; sie ist kein Standarddokument für jeden Mittelständler.

In einer Außenprüfung sind Transaktionsmatrix, erforderliche Stammdokumentation und Aufzeichnungen zu außergewöhnlichen Geschäftsvorfällen grundsätzlich ohne gesondertes Verlangen innerhalb von 30 Tagen nach Bekanntgabe der Prüfungsanordnung vorzulegen. Für andere angeforderte Aufzeichnungen gilt ebenfalls grundsätzlich eine 30-Tage-Frist. In begründeten Einzelfällen kann die Frist verlängert werden. Wer erst bei Eingang der Prüfungsanordnung nach Verträgen, Leistungsnachweisen und Vergleichsdaten sucht, hat deshalb ein Prozessproblem.

§ 162 Abs. 4 AO sieht für bestimmte Verstöße gegen die Aufzeichnungspflichten Zuschläge vor. Bei Nichtvorlage, wesentlicher Unverwertbarkeit einschlägiger Aufzeichnungen oder Nichtvorlage der Transaktionsmatrix ist ein Zuschlag von 5.000 Euro festzusetzen. Bei einer Berichtigung aufgrund § 162 Abs. 3 AO beträgt der Zuschlag mindestens fünf und höchstens zehn Prozent des Mehrbetrags der Einkünfte, wenn sich daraus ein Zuschlag von mehr als 5.000 Euro ergibt. Für die verspätete Vorlage verwertbarer Aufzeichnungen gelten grundsätzlich mindestens 100 Euro je vollem Tag, begrenzt auf eine Million Euro. Entschuldbarkeit und geringfügiges Verschulden sind nach der gesetzlichen Systematik zu berücksichtigen.

Praxisbeispiel: Die deutsche Mutter stellt ihrer spanischen Tochter jährlich Managementleistungen in Rechnung. Eine Rechnung mit dem Vermerk „Management Fee“ belegt weder den Leistungsinhalt noch den Fremdvergleich. Der Prozess sollte Vertrag, Leistungsbeschreibung, beteiligte Personen, Zeiterfassung oder andere Leistungsnachweise, Kostenbasis, Schlüssel, Aufschlag, Rechnung und Zahlungsfluss zusammenführen. Der spanische Verantwortliche muss bestätigen, dass die Leistung tatsächlich empfangen wurde und lokal richtig behandelt wird. Abweichungen zwischen Vertrag, Buchung und gelebtem Prozess gehören in eine Klärungsliste.

DAC6 ist getrennt davon zu prüfen. Die Meldepflicht nach §§ 138d ff. AO betrifft bestimmte grenzüberschreitende Steuergestaltungen und hängt unter anderem von den gesetzlichen Kennzeichen sowie der Rolle als Intermediär oder Nutzer ab. Nicht jede Auslandsbeziehung und nicht jede Steuerplanung ist meldepflichtig. Ein guter Prozess enthält deshalb eine dokumentierte Vorprüfung an den Stellen, an denen neue grenzüberschreitende Gestaltungen beschlossen oder wesentlich verändert werden.

Kann ein Steuerkontrollsystem eine Außenprüfung erleichtern?

Art. 97 § 38 EGAO erprobt alternative Prüfungsmethoden. Hat die Finanzbehörde im Rahmen einer Außenprüfung die Wirksamkeit eines Steuerkontrollsystems für erfasste Steuerarten oder Sachverhalte geprüft und besteht kein oder nur ein unbeachtliches steuerliches Risiko, kann sie auf Antrag und unter Widerrufsvorbehalt für die nächste Außenprüfung Beschränkungen von Art und Umfang der Ermittlungen verbindlich zusagen. Das ist eine Ermessensentscheidung unter gesetzlichen Voraussetzungen, kein allgemeiner Anspruch. Änderungen des Kontrollsystems sind zu dokumentieren und unverzüglich mitzuteilen.

Auch das modernisierte Mitwirkungsverfahren ist im Prüfungskonzept zu berücksichtigen. Bei einem qualifizierten Mitwirkungsverlangen kann § 200a AO ein Mitwirkungsverzögerungsgeld von 75 Euro je vollem Kalendertag für höchstens 150 Tage vorsehen; unter besonderen Voraussetzungen kommt ein Zuschlag hinzu. Wegen der Übergangsregeln in Art. 97 § 37 EGAO muss für den konkreten Prüfungsfall festgestellt werden, welche Fassung anwendbar ist.

Was gilt für eine spanische Tochtergesellschaft anders?

Spanien kennt für gesetzlich bezeichnete Delikte eine eigene strafrechtliche Verantwortlichkeit juristischer Personen. Art. 31 bis Abs. 1 Buchst. a Código Penal erfasst unter seinen Voraussetzungen Taten von Leitungspersonen, die im Namen oder für Rechnung und zum direkten oder indirekten Vorteil der juristischen Person begangen werden. Bei unterstellten Personen verlangt Buchst. b eine Tat in Ausübung der Unternehmenstätigkeit, für Rechnung und zum direkten oder indirekten Vorteil der juristischen Person; ermöglicht worden sein muss sie durch eine nach den konkreten Umständen gravierende Verletzung der geschuldeten Aufsichts-, Überwachungs- und Kontrollpflichten. Für Steuerdelikte konkretisiert Art. 310 bis die möglichen Unternehmensstrafen. Dieses Modell ist nicht mit der deutschen Verbandsgeldbuße nach § 30 OWiG gleichzusetzen.

Ein vor der Tat wirksam beschlossenes und tatsächlich umgesetztes Organisations- und Managementmodell kann bei vollständiger Erfüllung der gesetzlichen Voraussetzungen zur Befreiung der juristischen Person führen. Ein nur teilweise geführter Nachweis kann strafmildernd berücksichtigt werden. Maßnahmen, die erst nach der Tat eingeführt werden, sind davon zu trennen; sie können nach Art. 31 quater grundsätzlich mildernd wirken.

Bei kleinen juristischen Personen im Sinne des spanischen Gesetzes kann das Verwaltungsorgan die Überwachungsfunktion unter den Voraussetzungen des Art. 31 bis Abs. 3 selbst übernehmen. Das ist keine Befreiung von Überwachung. Es verändert nur die organisatorische Zuordnung.

Die möglichen Folgen reichen weiter als eine Geldstrafe. Art. 33 Abs. 7 Código Penal nennt unter anderem Auflösung, Aussetzung der Tätigkeit, Schließung von Betrieben, Tätigkeitsverbote, Ausschluss von Beihilfen oder öffentlichen Aufträgen und gerichtliche Intervention. Welche Rechtsfolge eröffnet ist, hängt vom konkreten Deliktstatbestand und den gesetzlichen Voraussetzungen ab.

Daneben bestehen eigene steuer- und gesellschaftsrechtliche Verantwortungsregeln. Art. 179 Ley General Tributaria knüpft eine steuerrechtliche Sanktion an Vorsatz oder Fahrlässigkeit und kennt gesetzliche Ausschlussgründe. Nach Art. 43 Abs. 1 Buchst. a können faktische oder rechtliche Verwalter subsidiär haften, wenn sie erforderliche Handlungen unterlassen, Verstöße Unterstellter dulden oder ermöglichende Beschlüsse fassen. Art. 225 Ley de Sociedades de Capital verlangt angemessene Leitung und Kontrolle; die zivilrechtliche Organhaftung nach Art. 236 folgt ihren eigenen Voraussetzungen.

Muss das Hinweisgebersystem in Deutschland und Spanien gleich aussehen?

Nein. Schon bei anonymen Meldungen besteht ein wesentlicher Unterschied. In Deutschland müssen Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten grundsätzlich eine interne Meldestelle einrichten; Sonderregeln und branchenspezifische Pflichten können unabhängig davon greifen. Nach § 16 Abs. 1 HinSchG besteht keine Pflicht, den Meldekanal technisch für anonyme Meldungen auszugestalten. Gehen anonyme Meldungen ein, sollen sie bearbeitet werden.

Für betroffene spanische Einheiten verlangt Art. 7 Abs. 3 Ley 2/2023 dagegen, dass interne Kanäle auch die Abgabe und anschließende Bearbeitung anonymer Mitteilungen ermöglichen. Das spanische System benötigt außerdem einen verantwortlichen Systeminhaber und ein dokumentiertes Bearbeitungsverfahren. Schwellenwerte, Konzernlösungen, lokale Zuständigkeit, Datenschutz und sachlicher Anwendungsbereich müssen pro Gesellschaft geprüft werden.

Praxisbeispiel: Eine deutsche Mutter betreibt eine konzernweite Meldeplattform, die anonyme Eingaben technisch ausschließt. Für die deutsche Einheit kann das je nach konkretem Anwendungsbereich mit § 16 HinSchG vereinbar sein. Für eine erfasste spanische Tochter genügt dieselbe Konfiguration nicht. Die Plattform kann gemeinsam genutzt werden, muss für Spanien aber anonyme Mitteilungen zulassen und den dortigen Verantwortungs- und Verfahrensregeln entsprechen.

Welche Aufgaben kann Software übernehmen?

Digitale Systeme können Daten übernehmen, Pflichtfelder prüfen, Fristen überwachen, Freigaben steuern, Abweichungen melden und eine nachvollziehbare Historie erzeugen. Diese Funktionen sind wertvoll, wenn sie zu den Risiken passen und korrekt konfiguriert sind. Die Rechtskonformität entsteht jedoch aus dem Zusammenspiel von Datenqualität, Prozess, Rolle, Kontrolle, System und tatsächlicher Durchführung.

Vor der Auswahl oder Erweiterung eines Systems sollten deshalb konkrete Fragen beantwortet werden:

• Welche Rechtsträger, Steuerarten, Länder und Datenflüsse sind abgedeckt?
• Welche Datenquelle ist führend und wie wird Vollständigkeit kontrolliert?
• Welche Rollen dürfen erfassen, ändern, freigeben und administrieren?
• Sind Änderungen, Freigaben und Ausnahmen unveränderbar oder versioniert protokolliert?
• Wie werden Schnittstellenfehler, Dubletten und fehlende Datensätze erkannt?
• Wer bewertet fachliche Rechtsänderungen und passt Regeln an?
• Wie werden Export, Aufbewahrung, Löschung, Backup und Wiederherstellung geprüft?
• Welche Aufgaben bleiben zwingend bei lokalen Fachverantwortlichen und Beratern?

Eine technische Schnittstelle belegt nur den beschriebenen Datenaustausch. Sie bestätigt nicht automatisch die steuerrechtliche Richtigkeit der Daten, die Abdeckung eines Landes oder die Wirksamkeit des gesamten Kontrollsystems. Ebenso wenig beweisen ein Zertifikat oder ein erfolgreicher Einführungstest, dass Kontrollen Monate später noch ausgeführt werden.

Anbieterinformation: ITCP2D von Plattes Group S.L. ist bei DATEV als Schnittstellen-Anbieter mit einer Schnittstelle zum DATEV Buchungsdatenservice gelistet. DATEV stellt zugleich klar, dass Schnittstellen-Anbieter keine DATEV-Marktplatz-Partner sind und die Freigabe nach den DATEV-Schnittstellenvorgaben eine technische Schnittstellenprüfung betrifft. Die Listung bestätigt daher weder die steuerrechtliche Richtigkeit der übertragenen Daten noch eine bestimmte Länderabdeckung, den Ersatz lokaler Systeme oder die Wirksamkeit eines Tax-CMS.

Wie beginnt ein Mittelständler ohne unnötige Bürokratie?

Der Einstieg sollte bei den bedeutenden Pflichten und den tatsächlich verwendeten Systemen beginnen. Ein praktikabler Aufbau lässt sich in acht Arbeitsschritte gliedern:

1. Verantwortung festlegen: Die Geschäftsleitung benennt Sponsor, operative Owner, Vertretungen und Eskalationswege.
2. Scope begrenzen: Rechtsträger, Länder, Steuerarten und Kernprozesse werden ausdrücklich ein- oder ausgeschlossen.
3. Pflichten inventarisieren: Frist, Datenquelle, Verantwortlicher, Beraterbeitrag und Einreichungsweg werden je Pflicht erfasst.
4. Top-Risiken auswählen: Zunächst werden die Fehler mit hoher Eintrittswahrscheinlichkeit oder großer finanzieller, persönlicher oder betrieblicher Wirkung behandelt.
5. Kontrollen konkretisieren: Jede Kontrolle erhält Auslöser, Frequenz, Prüfschritt, Schwelle, Nachweis und Eskalation.
6. Pilot durchführen: Ein Monats-, Quartals- oder Jahresprozess wird vollständig durchlaufen und auf Lücken getestet.
7. Wirksamkeit prüfen: Stichproben zeigen, ob Kontrollen nicht nur beschrieben, sondern rechtzeitig und inhaltlich richtig ausgeführt wurden.
8. Änderungen verankern: Neue Gesellschaften, Produkte, Systeme, Führungskräfte, Länder und Prüfungsfeststellungen lösen eine dokumentierte Neubewertung aus.

Für ein kleineres Unternehmen kann der erste Scope beispielsweise Umsatzsteuer, Lohnsteuer, Zahlungsfreigaben, Jahresabschluss und steuerrelevante Stammdaten umfassen. Eine international tätige Gruppe wird zusätzlich Verrechnungspreise, Betriebsstätten, Quellensteuern, lokale Erklärungen, DAC6-Vorprüfung und länderbezogene Nachweise benötigen. Entscheidend ist, dass Ausschlüsse bewusst erfolgen und nicht dadurch entstehen, dass niemand eine Pflicht erfasst hat.

Das Management-Review sollte mehr sein als eine jährliche Unterschrift. Auf den Tisch gehören überfällige Kontrollen, wesentliche Fehler, Berichtigungen, offene Prüfungsfeststellungen, Veränderungen im Scope, personelle Engpässe, Systemstörungen und Maßnahmen mit Termin und Verantwortlichem. Erst diese Rückkopplung macht aus einzelnen Kontrollen ein gesteuertes System.

Rechtsstand: 14. August 2026. Die fachliche Ausgestaltung muss vor Veröffentlichung und im konkreten Unternehmen anhand der dann geltenden Rechtslage und der tatsächlichen Organisation geprüft werden. Das gilt besonders für Schwellenwerte, Übergangsrecht, strafrechtliche Bewertungen und länderübergreifende Prozesse. Der Beitrag vermittelt allgemeine Informationen und ersetzt keine Rechts- oder Steuerberatung im Einzelfall. Er enthält keine Zusage eines bestimmten Prüfungs-, Haftungs- oder Sanktionsergebnisses.

Amtliche und weitere Primärquellen

• §§ 30 und 130 OWiG: Verbandsgeldbuße und Aufsichtspflicht
• §§ 34, 69, 71, 90, 153, 158, 162, 200a, 370 und 378 AO
• Art. 97 §§ 37 und 38 EGAO: Außenprüfung und Steuerkontrollsystem
• BMF: GoBD in der aktuellen Fassung, AO-Handbuch Anhang 33
• Hinweisgeberschutzgesetz
• Spanischer Código Penal, insbesondere Art. 31 bis, 31 quater, 33 Abs. 7 und 310 bis
• Spanische Ley General Tributaria, insbesondere Art. 43 und 179
• Spanische Ley de Sociedades de Capital, insbesondere Art. 225 und 236
• Spanische Ley 2/2023, insbesondere Art. 7
• DATEV: Schnittstellen-Anbieter, einschließlich ITCP2D