Compliance-Officer: Rolle, Aufgaben, Profil 2026

Hauptartikel: Compliance-Haftung Geschäftsführer 2026: 6 Risiken — der vollständige Artikel zum Thema.

Pflichtfunktion oder Praxisempfehlung? Der rechtliche Rahmen

Die in diesem Artikel zitierten Normen adressieren das Unternehmen, den Arbeitgeber oder die Geschäftsleitung — eine Funktionsbezeichnung „Compliance-Officer" geben sie nicht vor. Ausdrücklich benannt bzw. eingerichtet werden müssen nach den hier zitierten Normen der Datenschutzbeauftragte und die interne Meldestelle; in Deutschland kommt hinzu, dass Beschwerden nach § 13 Abs. 1 AGG zu prüfen sind und über die für Beschwerden zuständige Stelle im Betrieb zu informieren ist (§ 12 Abs. 5 AGG).

Datenschutzbeauftragter: Nach Art. 37 Abs. 1 DSGVO ist ein Datenschutzbeauftragter in jedem Fall zu benennen, wenn die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung betroffener Personen besteht oder wenn die Kerntätigkeit die umfangreiche Verarbeitung besonderer Datenkategorien (Art. 9) bzw. von Daten über strafrechtliche Verurteilungen (Art. 10) ist. In Deutschland kommt § 38 Abs. 1 BDSG hinzu: Benennungspflicht, soweit in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt sind — und unabhängig von der Personenzahl, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen oder Daten geschäftsmäßig zum Zweck der Übermittlung bzw. für Markt- und Meinungsforschung verarbeitet werden. Österreich sieht keine über Art. 37 DSGVO hinausgehende zahlenmäßige Schwelle vor; § 5 DSG regelt ergänzend die Geheimhaltungspflicht.

Interne Meldestelle: Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen mindestens eine interne Meldestelle einrichten und betreiben (§ 12 Abs. 1 Satz 1 und Abs. 2 HinSchG). In Österreich gilt die Pflicht für Unternehmen mit 50 oder mehr Arbeitnehmern (§ 3 Abs. 1, § 11 Abs. 1 HSchG).

Beschwerdestelle nach dem AGG: In Deutschland haben Beschäftigte das Recht, sich bei den zuständigen Stellen des Betriebs, des Unternehmens oder der Dienststelle zu beschweren, wenn sie sich wegen eines in § 1 AGG genannten Grundes benachteiligt fühlen; die Beschwerde ist zu prüfen und das Ergebnis mitzuteilen (§ 13 Abs. 1 AGG). Über die für Beschwerden zuständige Stelle ist im Betrieb zu informieren (§ 12 Abs. 5 AGG). In Österreich ist für die Beratung und Unterstützung von Personen, die sich im Sinne des GlBG diskriminiert fühlen, die Gleichbehandlungsanwaltschaft zuständig (§ 3 GBK/GAW-Gesetz).

Geschäftsleitung statt Rolle: Die NIS2-Pflichten treffen in Deutschland die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen unmittelbar (§ 38 Abs. 1 BSIG), in Österreich die Leitungsorgane (§ 31 Abs. 1 NISG 2026). Wie ein Unternehmen die daraus folgende Arbeit intern bündelt — in einer Rolle, in mehreren, intern oder extern —, ist eine Organisationsentscheidung. Das Rollenprofil in diesem Artikel ist deshalb durchgehend als Praxisempfehlung zu lesen, nicht als gesetzlicher Aufgabenkatalog.

1. Aufgaben-Spektrum

VVT-Pflege, AVV-Audits, Schulungen, Vorfall-Management, Kommunikation mit den Aufsichtsbehörden, Reporting an die Geschäftsführung — sechs Blöcke, die sich jeweils auf eine konkrete Norm zurückführen lassen.

VVT-Pflege. Das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) ist die Arbeitsgrundlage für fast alles Weitere: Ohne aktuelle Übersicht der Verarbeitungen lassen sich weder Betroffenenanfragen innerhalb der Monatsfrist des Art. 12 Abs. 3 DSGVO beantworten noch der Bedarf an einer Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 und 3 DSGVO beurteilen.

AVV-Audits. Art. 28 Abs. 1 DSGVO erlaubt die Zusammenarbeit nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten; Abs. 3 gibt den Mindestinhalt des Vertrags vor (Gegenstand, Dauer, Art und Zweck, Datenarten, Kategorien betroffener Personen, Rechte und Pflichten). Für NIS2-pflichtige Einrichtungen ist die Lieferkettensicherheit zusätzlich Teil des gesetzlichen Mindestkatalogs (§ 30 Abs. 2 BSIG, AT: § 32 Abs. 4 NISG 2026).

Schulungen. Zwei Adressatenkreise mit unterschiedlichen Grundlagen: Beschäftigte — in Deutschland nach § 12 Abs. 2 AGG, wo eine geeignete Schulung als Erfüllung der Schutzpflicht des Arbeitgebers gilt; und die Geschäftsleitung nach § 38 Abs. 3 BSIG bzw. § 31 Abs. 2 NISG 2026 (dort zusätzlich: den Mitarbeitern sind regelmäßig Schulungen anzubieten). Hinzu kommt die KI-Kompetenz-Pflicht des Art. 4 KI-VO, die bereits zum 2. Februar 2025 zu erfüllen war.

Vorfall-Management. Zwei Meldelinien laufen parallel und auf getrennten Rechtsgrundlagen: die 72-Stunden-Meldung an die Datenschutz-Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) und das dreistufige NIS2-Schema (DE: frühe Erstmeldung, Meldung mit Erstbewertung, Abschlussmeldung — § 32 Abs. 1 BSIG; AT: Frühwarnung, Meldung mit erster Bewertung, Abschlussbericht — § 34 Abs. 2 NISG 2026). Die Erstmeldepflichten beider Linien laufen ab Kenntnis; die dritte NIS2-Stufe läuft dagegen ab der 72-Stunden-Meldung — die Zuordnung eines Vorfalls zu einer oder zu beiden Linien gehört deshalb in den Notfallplan und nicht in die Vorfallsituation.

Kommunikation mit den Aufsichtsbehörden. Zuständig sind in Deutschland die nach Landesrecht bestimmten Aufsichtsbehörden für nichtöffentliche Stellen (§ 40 Abs. 1 BDSG) und das BSI als zentrale Stelle für Informationssicherheit (§ 1 BSIG); in Österreich die Datenschutzbehörde (§ 18 Abs. 1 DSG) und das Bundesamt für Cybersicherheit (§ 3a NISG 2026).

Reporting an die Geschäftsführung. Die Pflicht, die Umsetzung der Risikomanagementmaßnahmen zu überwachen, liegt bei der Geschäftsleitung selbst (§ 38 Abs. 1 BSIG; in Österreich haben die Leitungsorgane die Einhaltung sicherzustellen und zu beaufsichtigen, § 31 Abs. 1 NISG 2026) — in der Praxis gelingt das nur anhand einer dokumentierten Vorlage (Praxisempfehlung). In die Vorlage gehören mindestens: offene Findings aus dem letzten internen Audit mit Schweregrad, die Einhaltung der fristgebundenen Fälle des Berichtszeitraums (Art. 12 Abs. 3 und Art. 33 DSGVO, § 32 BSIG bzw. § 34 NISG 2026, § 17 HinSchG bzw. §§ 9 und 13 HSchG), der Status der NIS2-Registrierung samt Änderungsmeldungen (§ 33 Abs. 1 und 5 BSIG, AT: § 29 NISG 2026), der Schulungsstand der Leitungsebene (§ 38 Abs. 3 BSIG, AT: § 31 Abs. 2 NISG 2026) und der Beschäftigten (in Deutschland § 12 Abs. 2 AGG). Der Zuschnitt dieser Vorlage ist eine Praxisempfehlung; zur Haftungsfolge siehe Abschnitt 4, die zugehörigen Praxis-Rhythmen stehen unter der Fristentabelle.

2. Profil-Anforderungen

Juristische Grundbildung (idealerweise Wirtschaftsrecht), 3-5 Jahre Compliance-Erfahrung, CISA/CISSP nice-to-have, Sprachkenntnisse DE+EN — das ist der Profilkern der Erstfassung. Fachlich muss die Rolle 2026 fünf Regelwerke gleichzeitig bedienen — DSGVO (in Deutschland ergänzt um § 25 TDDDG), NIS2 (BSIG bzw. NISG 2026), KI-Verordnung, HinSchG bzw. HSchG und AGG bzw. GlBG —, hinzu kommt das Entgelttransparenzrecht; die Geltungsdaten und den Zuschnitt im Einzelnen führt die FAQ „Welche Rechtsgebiete muss die Rolle 2026 abdecken?".

Zwei Anforderungen kommen aus dem Gesetz und nicht aus dem Stellenmarkt. Erstens die Vertraulichkeit der Meldestelle: Die Identität hinweisgebender und betroffener Personen darf ausschließlich den für Entgegennahme und Folgemaßnahmen zuständigen sowie den sie unterstützenden Personen bekannt werden (§ 8 Abs. 1 HinSchG; in Österreich Identitätsschutz und Bekanntgabeverbot gegenüber Nicht-Zuständigen, § 7 Abs. 1 und 2 HSchG). Wer die Meldestelle betreut, muss Informationen also aktiv von anderen Rollen fernhalten — auch von der eigenen. Zweitens die Beweislastregel des § 22 AGG: Beweist im Streitfall die eine Partei Indizien, die eine Benachteiligung wegen eines in § 1 AGG genannten Grundes vermuten lassen, trägt die andere Partei — im Beschäftigungsverhältnis regelmäßig der Arbeitgeber — die Beweislast dafür, dass kein Verstoß vorlag (AT: Glaubhaftmachung nach § 12 Abs. 12 bzw. § 26 Abs. 12 GlBG). Das macht saubere Dokumentation von Auswahl- und Beförderungsentscheidungen zur Kernkompetenz, nicht zur Kür.

3. Vergütung 2026

Konkrete Vergütungsbänder nennt dieser Artikel nicht: Die Zahlen der Erstfassung (Stand 02.05.2026) waren keiner benannten Markterhebung zugeordnet und werden ohne eigene Erhebung nicht fortgeschrieben. Was die Einstufung treibt, ist der Verantwortungsumfang — und der lässt sich aus den Pflichten ablesen: Wer nur zuarbeitet, pflegt VVT und AVV-Register; wer die Rolle voll trägt, verantwortet die Meldewege im Vorfall (Art. 33 DSGVO, § 32 BSIG bzw. § 34 NISG 2026) und die Vorlage für die Überwachungspflicht der Geschäftsleitung (siehe Abschnitt 4) — welche Karrierestufe welche Pflichten übernimmt, steht in Abschnitt 6. Für die eigene Einordnung eignen sich aktuelle Vergleichsdaten, die ihre Quelle und Erhebungsmethode offenlegen.

Drei Treiber bestimmen den Umfang der Rolle und damit ihre Einstufung — als Zuordnungsvorschlag, nicht als Marktstandard. Erstens, ob die Einrichtung überhaupt in den NIS2-Anwendungsbereich fällt (§ 28 BSIG, AT: §§ 24 und 25 NISG 2026): Dann kommen Registrierung (§ 33 BSIG, AT: § 29 NISG 2026), die Meldefristen im Vorfall und die Nachweispflichten hinzu, die je Rechtsraum unterschiedlich greifen (siehe Abschnitt „Österreich"). Zweitens, ob die Rolle die interne Meldestelle mitbetreut und damit an die Vertraulichkeitsbindung des § 8 Abs. 1 HinSchG (AT: § 7 Abs. 1 und 2 HSchG) gebunden ist, die eine Abschottung gegenüber anderen Rollen erzwingt. Drittens, ob beide Rechtsräume abzudecken sind, also DE- und AT-Fundstellen parallel geführt werden müssen.

4. Externalisierung-Optionen

Drei Modelle stehen zur Wahl: externer Compliance-Officer, Compliance-as-a-Service oder eine Kombination aus intern und extern. In KMU ist die Kombination in der Praxis häufig (Praxiseinschätzung) — typischer Zuschnitt: interner Verantwortlicher mit 0,3-0,5 FTE plus externer Spezialist 2-4 Stunden pro Monat für Strategie und Audit-Vorbereitung (Erfahrungswert, keine gesetzliche Vorgabe). Für die Wahl zwischen intern, extern und hybrid entscheiden vier Kriterien — Auslastung, Kandidatenverfügbarkeit im DACH-Markt, Spitzenlasten und Spezialthemen; ausformuliert samt den Nachteilen der externen Lösung in den häufig gestellten Fragen. Zur Dimensionierung: Für KMU mit 50-150 Mitarbeitenden hat sich ein Aufwand von 5-10 Personentagen pro Quartal für die Compliance-Rolle plus rund einem Personentag Geschäftsführung eingespielt — Erfahrungswert, keine gesetzliche Vorgabe.

Preisangaben für externe Lösungen nennt dieser Artikel nicht: Die Angebote sind nicht auf einen einheitlichen Leistungsumfang normiert, ein unmittelbarer Preisvergleich lässt sich daraus nicht ableiten. Den Preis treiben vor allem der vereinbarte Leistungsumfang — insbesondere die monatliche Verfügbarkeit, die bei externen Lösungen begrenzt ist (typisch 8-16 Stunden pro Monat, Erfahrungswert der Erstfassung) —, die Zahl der abzudeckenden Regelwerke und Rechtsräume und die Frage, ob die Betreuung der internen Meldestelle dazugehört (Abschnitt 3). Vergleichen Sie Angebote deshalb über den beschriebenen Leistungsumfang, nicht über den Monats- oder Jahresbetrag.

Was die Auslagerung nicht verschiebt, ist der Adressat der Pflichten. Die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen muss die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen; verletzt sie diese Pflicht, haftet sie ihrer Einrichtung für den schuldhaft verursachten Schaden nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts (§ 38 Abs. 1 und 2 BSIG). Die Teilnahme an Schulungen ist ebenfalls persönlich geschuldet (§ 38 Abs. 3 BSIG; AT: § 31 Abs. 2 NISG 2026). Ein externer Dienstleister kann diese Arbeit vorbereiten und dokumentieren — die Verantwortung, die das Gesetz der Leitungsebene zuweist, wandert nicht mit.

5. Aufgabenteilung mit dem Datenschutzbeauftragten

Datenschutzbeauftragter nur DSGVO. Compliance-Officer alle Bereiche. Personalunion möglich, aber viel — drei Punkte entscheiden, ob sie im konkreten Fall trägt.

Zuschnitt. Der gesetzliche Anknüpfungspunkt des Datenschutzbeauftragten ist die oben beschriebene Benennungspflicht nach Art. 37 Abs. 1 DSGVO. Alles, was daneben liegt — NIS2-Risikomanagement (§ 30 BSIG, AT: § 32 NISG 2026), KI-Verordnung, Meldestelle nach HinSchG bzw. HSchG, Gleichbehandlungsrecht nach AGG bzw. GlBG —, fällt nicht in diesen Zuschnitt.

Berührungspunkte. Ein und derselbe Vorfall kann beide Rollen betreffen: Die Meldung einer Datenschutzverletzung nach Art. 33 Abs. 1 DSGVO und die NIS2-Meldung nach § 32 Abs. 1 BSIG (AT: § 34 Abs. 2 NISG 2026) beruhen auf getrennten Rechtsgrundlagen mit eigenen Fristen und eigenen Empfängern. Und die Datenschutz-Folgenabschätzung (Art. 35 DSGVO) ist in Deutschland zugleich ein Auslöser der Benennungspflicht für den Datenschutzbeauftragten unabhängig von der 20-Personen-Schwelle (§ 38 Abs. 1 BDSG).

Grenze der Personalunion. Praxisempfehlung: Prüfen Sie vor jeder Bündelung die Vertraulichkeitsgrenze der Meldestelle (§ 8 Abs. 1 HinSchG; AT: § 7 HSchG, siehe Abschnitt 2). Eine Rolle, die gleichzeitig Personalthemen, Meldestelle und in Deutschland die Beschwerdestelle nach § 13 Abs. 1 AGG bündelt, gerät hier schnell in einen Interessenkonflikt.

6. Karrierepfad

Junior → Senior → Lead → Head Compliance → Chief Compliance Officer. Die Stufen unterscheiden sich in der Praxis weniger durch Themen als durch Entscheidungs- und Meldebefugnis: Auf den unteren Stufen liegt der Schwerpunkt auf Registerpflege (Art. 30 DSGVO), AVV-Prüfung (Art. 28 DSGVO) und Schulungsdurchführung — Junior und Senior trennt dabei der Umfang dieser Registerarbeit, nicht die Befugnis. Ab Lead-Ebene kommen die fristgebundenen Entscheidungen im Vorfall hinzu (Art. 33 DSGVO, § 32 BSIG bzw. § 34 NISG 2026), ab Head-Ebene die Berichtslinie zur Geschäftsleitung. Für die Stufe Chief Compliance Officer empfiehlt sich ein eigener Zuschnitt erst dort, wo mehrere Rechtsräume — etwa Deutschland und Österreich mit ihren unterschiedlichen Fundstellen — oder mehrere Gesellschaften zusammenlaufen; die Abgrenzung zum Head Compliance verläuft dann über Budget- und Personalverantwortung. Auch dieser Zuschnitt ist eine Organisationsfrage, keine gesetzliche Vorgabe. Praxisempfehlung: Verankern Sie die Eskalationsschwelle — ab wann meldet die Rolle direkt an die Geschäftsführung — schriftlich, bevor der erste Vorfall sie erzwingt.

Fristen, die an dieser Rolle hängen

Acht Fristauslöser bestimmen den Arbeitstakt stärker als jeder Jahresplan. Alle Zeilen der folgenden Tabelle sind gesetzliche Fristen; Praxis-Rhythmen stehen darunter gesondert.

Praxis-Rhythmen ohne gesetzliche Frist, die sich in KMU bewährt haben: jährliche VVT-Aktualisierung (Art. 30 DSGVO) und TOM-Review (Art. 32 DSGVO), jährliche Wirksamkeits-Selbstprüfung der internen Meldestelle mit ISO 37301:2021 als Vorbild — Prüfpunkte sind die Einhaltung der Fristen (§ 17 HinSchG, AT: §§ 9 und 13 HSchG), die Vertraulichkeit (§ 8 HinSchG, AT: § 7 HSchG), die Bearbeitung anonymer Meldungen, der Schulungsstand und der Schutz vor Repressalien (§ 36 HinSchG, AT: § 20 HSchG); Best Practice, eine gesetzliche Pflicht zu einem jährlichen Audit der Meldestelle besteht nicht —, AGG-Mitarbeiterschulung alle 2-3 Jahre, Quartals-Meeting der Compliance-Rolle und Management-Review zum Jahresende. Ebenfalls kein Fristenthema, aber häufig missverstanden: Die Bearbeitung anonymer Meldungen ist in Deutschland nach § 16 Abs. 1 HinSchG eine Soll-Vorgabe, keine Pflicht.

Österreich: gleiche Aufgaben, andere Fundstellen

Der Aufgabenzuschnitt ändert sich in Österreich nicht, die Rechtsgrundlagen und Behörden schon. Die folgende Gegenüberstellung nennt die Fundstellen, die eine Rolle mit DACH-Zuständigkeit auseinanderhalten muss. Das NISG 2026 (BGBl. I Nr. 94/2025) hat seinen Anwendungsbeginn am 01.10.2026; die österreichischen Fundstellen dieses Artikels greifen ab diesem Datum.