News

Wie gestaltet sich der M&A-Markt im IT-Sektor bei Krisen und Konjunkturschwankungen? Sind Investoren vorsichtiger, wirken steigende Zinsen und höhere Risikoprämien bremsend auf die Finanzierung von Transaktionen? Was bedeutet dies speziell für die IT-Branche? Haben Verkäufer mittelständischer IT-Unternehmen nach wie vor eine Chance, in den M&A-Markt einzusteigen? Wir sprachen mit BITMi-Mitglied Ralf Heib, dem Gründer und Geschäftsführer der match.IT GmbH.

Herr Heib, ihr Unternehmen match.IT berät insbesondere mittelständische IT-Unternehmen, die einen Verkauf in Erwägung ziehen. Aktuell herrscht allgemeine Krisenstimmung an den Märkten. Verkäufer befürchten niedrige Preise und Schnäppchenjäger. Manche ziehen sich komplett vom M&A-Markt zurück, in der Hoffnung auf bessere Zeiten. Als M&A-Berater für die Digitalbranche verfolgen Sie das Auf und Ab des Marktes schon seit vielen Jahren und haben sogar während der Corona-Hochphase erfolgreiche Verkäufe eingefädelt. Wie ist ihre Einschätzung der derzeitigen Lage?

Ralf Heib: Die Corona-Krise war noch nicht mal beendet da folgte schon der Ukraine Krieg. Dazu die Klima- und Energiekrise, Rohstoff- und Lieferkettenengpässe, jetzt die Inflation. Mittlerweile kann man also durchaus davon sprechen, dass Krisen das New Normal darstellen und die Menschheit und somit natürlich auch die globalen Märkte einen Umgang damit finden sollten. Der M&A-Markt hat hier schon eine gewisse Robustheit entwickelt und der Einbruch zum Ukraine-Krieg war dann schon nicht mehr ganz so stark wie etwa zu Zeiten der Corona-Hochphase. Wir dürfen speziell für den IT-Bereich nicht vergessen, dass der Megatrend der Digitalisierung nach wie vor ungebrochen ist und immer wieder neue Nachfragetreiber daraus entwachsen, wie zuletzt im Bereich Cybersecurity oder Green IT. Das M&A-Geschehen gerade im IT-Mittelstand ist also nach wie vor vital. Allerdings findet das Käufer/Verkäufer-Verhältnis aktuell zu einer stärkeren Balance zurück. Käufer sondieren ihre Targets wieder genauer als noch zu den Boom-Zeiten in den letzten Jahren. Die Stabilität und die Zukunftsfähigkeit des Geschäftsmodells spielen dabei wieder eine stärkere Rolle – und das beeinflusst dann wiederum auch stark die Phase der Due-Diligence, in der die Investoren das zu verkaufende Unternehmen kritisch unter die Lupe nehmen.

Was raten Sie also mittelständischen Unternehmer*innen, die zu den jetzigen Zeiten einen Verkauf anstreben? Gibt es so etwas wie ein allgemeines Erfolgsrezept, an das sich alle halten können?

Ralf Heib: Wer heutzutage sein IT-Unternehmen erfolgreich verkaufen will, benötigt eine gute Verkaufsstory, beruhend auf einer klaren, zukunftsfähigen Vision, gepaart mit einem realistischen, nachvollziehbaren Business-Plan. Eine M&A-Transaktion hat darüber hinaus immer sehr viel mit konkreten Zahlen zu tun: Verkäufer müssen ihre eigenen Zahlen beherrschen und verstehen, wie sie die Profitabilität ihres Unternehmen gegenüber den Käufern transparent machen. Dazu gehören auch saubere Bilanzen und GuV-Rechnungen.

Ist das nicht immer der Fall?

Ralf Heib: Wir erleben häufig die Situation, dass gerade kleinere Unternehmen sehr steueroptimierend agieren und dann natürlich keine beeindruckende Profitabilität in den Büchern vorweisen können. Hier bedarf es dann guter Argumente gegenüber dem Käufer, am besten mithilfe des Steuerberaters. Es lohnt sich darüber hinaus auch immer, im Vorfeld einer Transaktion soweit es geht aufzuräumen. Einige Mitarbeiter verfügen vielleicht noch über kleinere Anteile, die sich bündeln lassen. Nicht selten ist die Bilanz auch verwildert durch verschiedene Gesellschafterkredite oder Pensionsverpflichtungen. Auch dies sollte idealerweise vorab bereinigt werden. Während einer Transaktion können solche Punkte ansonsten zu langen, unbefriedigenden Diskussionen führen.

Sie meinten, die Story müsse in der heutigen Zeit stimmen. Was genau verstehen Sie darunter?

Ralf Heib: Verkauft wird am Ende immer die Zukunft eines Unternehmens, nicht die Vergangenheit. Deshalb ist es wichtig, die Motivationslage des Verhandlungspartners zu verstehen und die eigene Story daraufhin auszurichten. Im Vorfeld sollte man sich deshalb genau fragen: Wer sitzt mir gegenüber? Was sind dessen Ziele? Wie tickt bspw. ein Private Equity oder ein strategischer Investor? Was erwartet der potentielle Käufer und was nicht?  Dazu zählen auch ganz handfeste Faktoren.

Die da wären?

Ralf Heib: Gerade für kleinere Unternehmen ist es wichtig, den potentiellen Käufern vom Start weg eine überlebensfähige Organisation aufzuzeigen. Überlebensfähig in dem Sinne, dass z.B. ein mittleres Management existiert. Selbstverständlich müssen auch gewisse Standards wie etwa definierte Geschäftsprozesse und etablierte Vertriebsstrukturen gegeben sein. Den Interessenten sollte klar werden, dass die Abläufe auch ohne den Gründer und nach dem Verkauf reibungslos ineinandergreifen.

In jedem M&A-Projekt geht es letztendlich um die Wertermittlung des Unternehmens. Diese Etappe kann vor allem aus Verkäufersicht sehr zermürbend sein. Was raten Sie hier Ihren Klienten?

Ralf Heib: Hier ist zunächst eine gute Vorbereitung gefragt, in dem ich als Eigentümer die Werttreiber meines Unternehmens gut kenne und in meiner Vision und Verkaufsstrategie richtig positioniere. Im Verhandlungsprozess selbst ist vor allem Flexibilität gefragt. Insbesondere, wenn es um Preise oder Earn Outs geht. Bei zu starren oder auch überzogenen Preisvorstellungen rennen Verkäufer häufig gegen Wände. In den aktuellen Krisenzeiten ist es zudem entscheidend, den Such- und Verkaufsprozess strukturiert aufzusetzen und durchzuführen. Verkäufer sollten sich ein klares Bild davon machen, mit welchen Mitteln und in welchem Zeitraum sie den Verkauf realisieren wollen. Ich kann mich in der heutigen Zeit nicht mehr darauf verlassen, dass schon morgen ein Investor an meiner Tür klopft und mir ein lukratives Angebot vorlegt. Deshalb muss man als Verkäufer proaktiv sein und sich die Verkaufschancen selbst erarbeiten, am besten, indem man den M&A-Prozess so gewissenhaft und professionell wie möglich angeht.

Herr Heib, wir bedanken und ganz herzlich für das informative Gespräch!

WEITERE INFORMATIONEN

Als Geschäftsführer müssen Sie neben dem operativen Erfolg stets ein komplexes Pflichtengerüst im Auge behalten. Ein umfassendes Haftungsmanagement sichert den Unternehmenserfolg und minimiert gleichzeitig Ihre persönlichen Haftungsrisiken. Denn diese bestehen nicht nur im Hinblick auf steuer- oder sozialrechtliche Vorgaben, sondern auch im Bereich des Datenschutzes.

Nicht nur bei vorsätzlichen, sondern auch bei fahrlässigen Pflichtverletzungen und rechtswidrigen Handlungen muss am Ende einer den Kopf hinhalten – das ist im Straßenverkehr so, und das ist in der Unternehmensführung nicht anders. Wer sich als Autofahrer an die Verkehrsregeln hält und regelmäßig die Bremsen, Reifen und Beleuchtung überprüft, ist normalerweise auf der sicheren Seite. Im Vergleich gehört die Berücksichtigung der gesetzlichen Vorschriften zu den Pflichtaufgaben des Managements. Viele Unternehmen arbeiten daher nach regelmäßig aktualisierten Compliance-Regeln und nutzen ein internes Überwachungssystem zur Einhaltung aller gesetzlichen Vorschriften. Ein solches Haftungsmanagement ist ein zentraler Bestandteil des Unternehmenserfolgs und reduziert zugleich persönliche Haftungsrisiken der Geschäftsführung.

Auch das gilt beim Datenschutz wie beim Autofahren: Solange nichts passiert, interessieren sich die Behörden so gut wie nie dafür, welche Vorsichtsmaßnahmen Sie treffen. Kommt es aber zu Datendiebstahl oder -missbrauch, dann wollen sie es ganz genau wissen. Wie konnte es zu diesem Data Breach kommen? Hat Ihr Unternehmen wirklich alle erforderlichen technischen und organisatorischen Maßnahmen (kurz TOM genannt) gemäß DSGVO identifiziert und umgesetzt? Und wie sehen diese genau aus? Wer dann nicht die passenden Antworten und Nachweise liefert, riskiert im Fall der Fälle Schadensersatzansprüche gemäß Art. 82 DSGVO sowie Bußgelder gemäß Art. 83 DSGVO. Und: Geschäftsführer haften auch hier für ihr „Tun und Unterlassen“.

Wer für den Datenschutz im Unternehmen verantwortlich ist …

Grundsätzlich haftet für etwaige Rechtsfolgen der Verantwortliche der Datenverarbeitung im Sinne der DSGVO. „Verantwortlicher“ ist die „natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“ (Art. 4 Abs. 7 DSGVO). Mit anderen Worten: Verantwortlicher im Sinne der DSGVO ist zunächst einmal das Unternehmen selbst. Wer innerhalb des Unternehmens die Schuld für den Verstoß trägt, ist im Außenverhältnis unerheblich. Als Geschäftsführer müssen Sie bei Datenschutzverstößen aber unter Umständen trotzdem in die eigene Tasche greifen.

Im Straßenverkehr haften bei einem Unfall Halter und Fahrer oft gesamtschuldnerisch. Ähnlich sehen es Juristen inzwischen auch beim Datenschutz. So hat der Europäische Gerichtshof bereits im Jahr 2018 einige grundlegende Kriterien festgelegt, wann auch der Geschäftsführer als Verantwortlicher anzusehen ist (Aktenzeichen C-25/17). Die Voraussetzungen:

• Er profitiert von der Datenverarbeitung.
• Er veranlasst oder duldet die Datenverarbeitung.

Dabei ist es völlig unerheblich, ob der Geschäftsführer Zugriff auf die Daten hatte oder sie selbst verarbeitet hat.

Mit einer Entscheidung des Oberlandesgerichts Dresden vom November 2021 hat sich das persönliche Haftungsrisiko für Geschäftsführer weiter erhöht. In einem Schadensersatzprozess (Aktenzeichen 4 U 1158/21) widersprach das Gericht der Auffassung, dass die Datenschutz-Grundverordnung eine persönliche Haftung ausschließe. Demnach sind Geschäftsführer eigene datenschutzrechtlich Verantwortliche im Sinne der DSGVO. Und damit haften sie bei einer rechtswidrigen Datenverarbeitung auch persönlich gegenüber Dritten. Eine solche Haftungserweiterung für Geschäftsführer ist zwar umstritten, aber durchaus konsequent. Schließlich haften Sie bei Pflichtverletzungen auch in anderen Fällen persönlich für etwaige Schäden (§ 43 GmbHG und § 93 Abs. 2 AktG). Warum sollte dies beim Datenschutz anders sein?

Warum regelmäßige Datenschutz-Audits unverzichtbar sind …

Die Datenschutz-Grundverordnung und die Neufassung des deutschen Bundesdatenschutzgesetzes (BDSG) sind noch relativ jung. Beide Gesetze konkretisiert die Rechtsprechung nun nach und nach. Wer sich vor unangenehmen Nachfragen, Sanktionen oder persönlichen Haftungsrisiken schützen will, muss im Grunde nur seine Pflichten gewissenhaft erfüllen. Doch das ist meist schwieriger, als man denkt:

• Wie verschaffen Sie sich als Geschäftsführer überhaupt einen Überblick über den aktuellen Datenschutz-Status Ihres Unternehmens?
• Wie stellen Sie angesichts dessen, dass sich der Stand der Technik fortlaufend ändert, sicher, dass Ihre Maßnahmen hinreichend sind?
• Und schließlich: Welche Investitionen in die IT-Technik oder Anpassungen von Software verbessern den vorhandenen Datenschutz-Status des Unternehmens wirklich?

Wünschenswert wäre sicher – ähnlich wie beim Auto – eine regelmäßige Hauptuntersuchung mit anschließender TÜV-Plakette. Die DSGVO sieht jedoch keine Verpflichtung zu regelmäßigen risikoorientierten Audits mit einer systematischen Bewertung des Datenschutzniveaus vor. Allerdings besteht gemäß Art. 24 Abs. 1 Satz 1 DSGVO und konkreter Art. 24 Abs. 1 Satz 2 die Pflicht zur regelmäßigen Kontrolle und Aktualisierung der technischen und organisatorischen Maßnahmen (TOM).

Sie brauchen also keinen TÜV, müssen aber in Sachen Datenschutz stets sicher unterwegs sein. Kommt es dann doch einmal zu einer „Verkehrskontrolle“, besteht für die Verantwortlichen im Sinne der DSGVO nach Art. 5 Abs. 2 zudem eine Nachweis- und Rechenschaftspflicht („Accountability“). Bleibt auf die „freundliche Anfrage“ der Aufsichtsbehörde eine angemessene und valide Stellungnahme aus, drohen zeit- und personalaufwendige Untersuchungen vor Ort. Und diese fördern im schlimmsten Fall weitere Datenschutzverstöße zutage.

Die Devise lautet folglich: Vorsorgen und gewappnet sein für den Fall der Fälle. Auch wenn Datenschutz-Audits gesetzlich nicht verankert sind, ist eine regelmäßige, systematische Prüfung und Bewertung aller Verarbeitungsprozesse und Schutzmaßnahmen allein zur Erfüllung der umfangreichen DSGVO-Pflichten nötig. Neben technischem und organisatorischem Sachverstand sind dafür auch beste Kenntnisse der rechtlichen Anforderungen erforderlich. Während große Konzerne über eigene Audit-Teams verfügen, sind IT-Verantwortliche in kleinen und mittleren Unternehmen damit aber meist hoffnungslos überfordert und Datenschutz-Audits durch Experten vor Ort oft unbezahlbar.

Wie eine Prüfung des Datenschutz-Status ohne Vor-Ort-Audit funktioniert …

Letztlich geht es darum, Datenschutz durch ein aktives Haftungsmanagement messbar und nachweisbar zu machen. Mit privASSIST stellt die IITR Cert GmbH hierfür ein webbasiertes Fernanalyse-Tool zur Verfügung, das ohne aufwendige Vor-Ort-Audits auskommt und Unternehmen eine belastbare Analyse der Ist-Situation ermöglicht. Gleichzeitig erfüllt das Datenschutz-Audit-Werkzeug die gesetzlich geforderten Nachweispflichten und sorgt durch die Dokumentation aller datenschutzrechtlich erforderlichen Maßnahmen für eine Entlastung der Geschäftsführung.

Die modular aufgebaute Online-Plattform führt den Nutzer durch einen einfach zu bedienenden Fragenkatalog und ermöglicht eine punktuelle Überprüfung für mehr als 17 Datenschutzbereiche. So können Unternehmen das Tool auch in Teilbereichen einsetzen und anhand von Konformitätsbewertungen und der CPS-Prüfstandards (Certified Privacy Standard) beispielsweise gezielt das Datenschutzniveau ihrer Online-Auftritte analysieren (CPS 031), die DSGVO-konforme Verarbeitung von Beschäftigtendaten überprüfen (CPS 021) oder den Status aller datenschutzrechtlich erforderlichen Maßnahmen für Telearbeit und mobile Arbeitsplätze ermitteln (CPS 071).

Schummeln wie vielleicht bei der theoretischen Führerscheinprüfung ist hier wenig sinnvoll, aber auch kaum möglich. Das System verhindert das nachträgliche Korrigieren oder Sichten bereits bearbeiteter Fragen, erkennt Unstimmigkeiten bei der Beantwortung durch eine automatisierte Plausibilitätsprüfung und zieht gegebenenfalls Vergleiche mit früheren Erhebungen. Zudem prüft privASSIST die Vollständigkeit aller Angaben und fordert gegebenenfalls notwendige Nachweise an. Und im Gegensatz zur Führerscheinprüfung können Sie die Bearbeitung natürlich jederzeit unterbrechen und zu einem späteren Zeitpunkt fortsetzen.

Nachdem Sie alle Fragen beantwortet und die Richtigkeit Ihrer Antworten bestätigt haben, erfolgt eine Prüfung aller Angaben und Nachweise durch die IITR Cert GmbH. Anschließend erhalten Sie zunächst einen Berichtsentwurf und nach einer Korrekturschleife, in der sich letzte Unstimmigkeiten oder Missverständnisse klären lassen, den endgültigen Audit-Bericht mit belastbaren Aussagen zur datenschutzrechtlichen Situation Ihres Unternehmens. Dieser Bericht enthält

• eine revisionssichere Dokumentation aller Antworten und Nachweise des untersuchten Bereiches,
• Grafiken zur vergleichenden Einordnung des aktuellen Datenschutz-Status und als Grundlage für ein späteres Benchmarking sowie
• eine schriftliche Zusammenfassung mit Erläuterungen und Empfehlungen.

Der abschließende Audit-Bericht kann auch als Vorbereitung für einen Konformitätsnachweis nach Art. 42 DSGVO dienen oder für eine strukturierte Informationsbeschaffung in Anlehnung an den Prüfungsstandard IDW PH 9.860.1 im Rahmen einer Wirtschaftsprüfung genutzt werden.

Fazit

Neben einer Vielzahl von Pflichten für Unternehmen ergeben sich aus der Datenschutz-Grundverordnung und der Neufassung des Bundesdatenschutzgesetzes auch neue persönliche Haftungsrisiken für Geschäftsführer. Gleichzeitig steigen durch Ransomware, Malware und Phishing sowie den Trend zu Remote Work („Fernarbeit“) die Gefahren von Datenpannen mit unangenehmen Nachfragen der Aufsichtsbehörden. Auch wenn der Gesetzgeber regelmäßige Datenschutzaudits nicht vorschreibt, sind diese grundsätzlich notwendig, um die technischen und organisatorischen Maßnahmen gemäß DSGVO regelmäßig zu überprüfen und zu aktualisieren sowie der Nachweis- und Rechenschaftspflicht nachzukommen. Kurzum: Datenschutz muss messbar und jederzeit nachweisbar sein.

Zum aktiven Haftungsmanagement eines Unternehmens gehört daher auch die freiwillige und regelmäßige Überprüfung der Datenschutzkonformität. Ein solches Datenschutz-Audit minimiert Unternehmensrisiken und entlastet die Geschäftsführung. Mit privASSIST bietet die IITR Cert GmbH kleinen und mittleren Unternehmen, die sich keine eigenen Audit-Teams oder teure Vor-Ort-Audits durch externe Experten leisten können, ein ausgereiftes Audit-Tool für eine belastbare Ist-Analyse. Zu Preisen zwischen 225 und 1800 Euro pro Auditbereich erfüllt privASSIST die gesetzlich geforderten Nachweispflichten und sorgt gleichzeitig für mehr Transparenz, sodass Sie bestehende Betriebsabläufe durch eine langfristige Datenschutzstrategie umgestalten und optimieren können.

AUDIT UND ZERTIFIZIERUNG

EXTERNER DATENSCHUTZBEAUFTRAGTER

Kopf oder Datenbank: Es kommt auf den Speicherort von Wissen an

Unternehmen haben Wettbewerbsvorteile, wenn Sie über exklusives Wissen verfügen. Dieses ist nicht nur in Textdateien verankert, sondern vor allem in den Köpfen der Mitarbeiter:innen – und wird in Meetings ausgesprochen und mit Kolleg:innen geteilt. Tucan.ai bietet Unternehmen nun eine KI-Plattform mit smarter Gesprächsarchivierung, um verbal kommuniziertes Wissen verfügbar und durchsuchbar zu machen. Dies kann als Grundlage für strategische Entscheidungen dienen und Wettbewerbsvorteile generieren. Gleichzeitig bietet das Berliner KI-Unternehmen die Integration mit anderen Datenbanken an.

Wissensmanagement ist zentraler Erfolgsfaktor für den Mittelstand

Meetings und Konferenzen sind ein essentieller Bestandteil unseres Arbeitsalltags, insbesondere bei projektbezogenen Aufgaben. So werden Tools wie Zoom täglich von mehreren Millionen Menschen weltweit genutzt. „Dieses geballte verbal kommunizierte Wissen kann nun automatisch in den jeweiligen Organisationen gespeichert und verfügbar gemacht werden; zum Beispiel für die Kolleg:innen, die nicht dabei waren, oder nächstes Jahr nochmal auf die Informationen zurückgreifen müssen”, sagt Lukas Rintelen, Managing Director und gemeinsam mit  Florian Polak und Michael Schramm Gründer von Tucan.ai.

Die Software erkennt unterschiedliche Sprecher:innen in einer Konversation, erfasst die zugrundeliegende Agenda, transkribiert und fasst das Gespräch zusammen. Dabei werden organisationsspezifische Fachausdrücke, Dialekte und individuelle Spracheigenschaften präzise erkannt. Anschließend steht das verbal kommunizierte Wissen organisationsintern zur Verfügung. Projektverantwortliche und Mitarbeiter:innen können nach Informationen aus bestimmten Meetings suchen, meetingübergreifend recherchieren und Informationsquellen wie CMS- oder CRM-Systeme nutzen. Sie geben ihre Frage ein und erhalten eine ausführliche Antwort, die das gesamte Wissen der Organisation einbezieht. „Eigentlich verlagern wir nur den Speicherort: Vom individuellen Gehirn in die kollektive Datenbank. Auf diese Weise kann Wissen innerhalb einer Organisation skaliert werden”, ergänzt Lukas Rintelen, „Silos brechen auf und Entwicklungen zeichnen sich ab, die vorher unsichtbar waren.” Das smarte Wissensarchiv ist vorerst nur im Enterprise-Produkt enthalten.

Datensicherheit ist das Fundament des Wissensmanagements

Vor allem Unternehmen aus dem öffentlichen Sektor nutzen Tucan.ai aufgrund der hohen Datenschutzanforderungen und der weitreichenden Individualisierbarkeit des Tools. Seit Anfang Juni ist Tucan.ai daher Teil des von PUBLIC Deutschland initiierten Startup-Programms GovStart. „Datensicherheit wird bei uns extrem groß geschrieben. Unsere Server stehen in Frankfurt, sodass Kundendaten in Deutschland bleiben. Wenn es unsere Kund:innen verlangen, installieren wir Tucan.ai zudem on-premise. Auf diesem Weg verlassen die Daten nicht einmal das eigene Unternehmen“, sagt CTO Michael Schramm.

Zur Datensicherheit gehört aber weitaus mehr als der Speicherort. Unternehmen müssen sicherstellen, dass nur autorisierte Personen Zugriff auf die Informationen haben und die Daten nicht missbraucht werden. Für einen großen Konzern hat Tucan.ai die Software beispielsweise so konfiguriert, dass nach einem Gespräch nur die Executive Summary zur Verfügung steht. Ein Transkript steht organisationsintern nicht zur Verfügung. Für Enterprise-Kunden aus der Marktforschung, die zum Teil mit sensiblen personenbezogenen Daten arbeiten, hat Tucan.ai ein Codierungs-Werkzeug implementiert, das die organisationsinternen Datensicherheitsrichtlinien präzise abbildet.

WEITERE INFORMATIONEN

„Ich habe Kunden erlebt, die unser Hinweisgebersystem innerhalb von zwei Tagen im Unternehmen implementiert haben.”

Nach langem Ringen um das Hinweisgeberschutzgesetz (auch als Whistleblower Gesetz bezeichnet), ging es auf einmal ganz schnell: zwischen dem 9. und 12. Mai ging das Gesetz innerhalb einer Woche durch Vermittlungsausschuss, Bundestag und Bundesrat. Jetzt ist es da – und für über 16.000 deutsche Unternehmen ab 250 Mitarbeitenden ist es Zeit, zu handeln. Denn bereits ab dem 02. Juli 2023 müssen sie den neuen Vorgaben entsprechen.

Dr. Thomas Altenbach ist Compliance-Experte und CEO von LegalTegrity, ein SaaS Unternehmen, das sich darauf spezialisiert hat, mithilfe ihrer Software kleinen und mittelständischen Unternehmen die Umsetzung des Hinweisgeberschutzgesetzes möglichst leicht zu machen. Sein umfangreiches Fachwissen verdankt er seiner langjährigen Tätigkeit als Anwalt im Topmanagement internationaler Konzerne sowie als Berater mittelständischer Unternehmen. Die Entwicklung des Hinweisgeberschutzgesetzes beobachtet er von Anfang an.

Herr Dr. Altenbach, was ging Ihnen durch den Kopf, als das Hinweisgeberschutzgesetz nach langem Hin und Her innerhalb einer Woche durch den Vermittlungsausschuss sowie den Bundestag und Bundesrat ging?

“Warum nicht früher?” war meine erste Reaktion und “Für das Ergebnis hätte man nicht so lange brauchen müssen” die zweite.

Sie sind also nicht zufrieden mit dem verabschiedeten Gesetz?

Im Sinne der Hinweisgebenden ist das Ergebnis nicht zufriedenstellend. Dadurch, dass sich viele Unternehmer beim Thema Compliance immer daran orientieren, was sie machen müssen, wurde in zwei wichtigen Punkten nur eine Minimallösung gefunden. Das bezieht sich einerseits auf die Beschränkung des Anwendungsbereichs auf Ordnungswidrigkeiten und Straftaten, und andererseits auf den Wegfall der Pflicht zur Ermöglichung anonymer Meldungen.

Warum sind diese beiden Punkte für Sie entscheidend?

Es gibt für Unternehmen eine Reihe von Unregelmäßigkeiten, die nicht in den Bereich Ordnungswidrigkeit oder Straftat fallen, über die sie Bescheid wissen sollten. Dahingehend kann eine Hinweisgeberlösung als Frühwarnsystem dienen. Bezüglich der Anonymität kann ich aus Erfahrung sagen, dass die wirklich wichtigen Meldungen meist anonym abgegeben werden. Die Meldenden wissen oft nicht, welche Reaktion sie auf die Meldung wirklich erheblicher Missstände erhalten werden und geben solche Erstmeldungen daher anonym ab.

Viele Unternehmen werden jetzt ächzen: wie soll ich das auch noch schaffen? Was kommt auf die Unternehmen jetzt zu? Wo fängt man an?

Die Unternehmen sollten sich zunächst überlegen, wer sich dieser Aufgabe intern annehmen kann oder ob dafür ein externer Dienstleister in Frage kommt. Dann gilt es zu prüfen, welches digitale Hinweisgebersystem am besten passt. Wir sprechen heute über den Einsatz von KI-Technologien wie ChatGPT in allen Lebensbereichen, da sollte beim Hinweisgebersystem nicht an Brief oder Email festgehalten werden.

Wo hakt es nach Ihrer Erfahrung am meisten?

Um ganz ehrlich zu sein: es hakt meist daran, sich überhaupt mit dem Thema zu beschäftigen. Wenn man damit angefangen hat, ist meistens die größte Hürde schon überwunden. Das Feedback unserer Kundinnen und Kunden ist: der Zeitaufwand für das Aufsetzen des Systems sind ca. 5-6 Stunden, wenn man 1-2 Personen hat, die das Thema umsetzen. Natürlich gibt es dann noch Abstimmungen mit z.B. Datenschutzbeauftragtem, Betriebsrat, Personal und IT – das sind aber normale Unternehmensprozesse. Ich habe Kunden erlebt, die unser System innerhalb von zwei Tagen im Unternehmen implementiert haben.

Wo liegen die Chancen dieses Gesetzes?

Zum einen das Schaffen von Transparenz im Unternehmen, was in unserer neuen Arbeitswelt, wo an unterschiedlichen Orten zusammengearbeitet wird, eine große Rolle spielt. Zum anderen die Identifikation von Fehlentwicklungen: diese erkennen die Mitarbeitenden oft zuerst. Der dritte Punkt ist das Abwenden von Schäden durch Wirtschaftskriminalität. Das sehen wir nicht nur in Statistiken, sondern auch bei unseren Kundinnen und Kunden: wir haben schon häufig das Feedback bekommen, dass sich die Kosten von LegalTegrity innerhalb des ersten Jahres für die kommenden zehn Jahre amortisiert haben, weil man entscheidende Fehlentwicklungen rechtzeitig erkannt hat.

WEITERE INFORMATIONEN ZU LEGALTEGRITY