Unverhofft kommt oft: Compliance meets Start-Ups, Beratung & Aufsichsrat mit Stefanie Thuiner und Philipp Summereder

Herzlich willkommen zur zweiten Folge von Code of C, dem True Compliance Podcast von .LOUPE. Hier sprechen wir über Compliance aus der Praxis für die Praxis. Mein Name ist Martin Reichetseder. Ich bin Compliance Officer, Mitgründer von .LOUPE und für die nächsten Minuten Ihr Gastgeber. Unverhofft kommt oft, wenn Compliance plötzlich für Start-ups, Berater und Aufsichtsräte zum Thema wird.

Also egal ob Whistleblowing, Lieferkettensorgfalt, Governance oder Investorenanforderung, Compliance ist plötzlich Teil Ihres Aufgabengebiets. Herzlich willkommen Frau Mag. Stefanie Thuiner, Legal-One-Woman-Show bei Myflexbox, und Mag. Philipp Summereder, Rechtsanwalt bei Summereder Pichler Wächter Rechtsanwälte und unter anderem Aufsichtsrat bei Müller Drogerie Österreich.

Herzlich willkommen.

Hallo Martin, danke für die Einladung.

Bitte gern.

Hallo.

Ihr seid ja quasi auch … Also Premierengäste für mich. Also für mich ist es ja keine Premiere mehr, aber es ist für euch eine Premiere. Ihr macht ja heute den ersten Podcast, die erste Podcastaufnahme. Und wer mich kennt, würde jetzt meinen, mich begleitet das Thema Alkohol, was nicht so ganz stimmt, aber zum Lockern, zum Mutmachen werden wir auch heute ein bisschen Alkohol trinken.

Also bei meinem ersten Podcast war es der Gin Tonic, beim ersten Podcast von Code of C war es der Prosecco. Wir trinken heute ein Glas Weißwein. Das hat der Philipp mitgenommen als Mutmacher. Somit, glaube ich, dass wir eine lustige, angeregte und gelockerte Atmosphäre schaffen.

Zum Aufwärmen haben wir schon einen Schluck genommen. Wir werden aber auch mit einem Code-of-C-Check-in beginnen. Und ich darf

euch ersuchen, folgende Sätze, die ich euch jetzt vorlese, kurz und knackig zu vervollständigen. Und dann starten wir noch mit so einem Entweder-oder. Philipp, ich habe für dich etwas vorbereitet.

Das größte Vorurteil von Compliance ist für mich, dass …

nur Personen Compliance beraten, die streng und unflexibel sind.

Sehr spannend. Stefanie, Compliance ist eine Chance, weil man …

damit zeigen kann, dass man auch Professionalität leben kann.

Das ist völlig richtig. Und wie spontan das kommt, ganz großartig.

Ist nicht vorbereitet. Entweder oder: Stefanie, erfolgreiche Compliance ist für mich entweder vertrauensbasiert oder kontrollbasiert?

Vertrauensbasiert.

Philipp? Bei Compliance: Praxis oder Theorie? Praxis. Praxis. So, bevor wir in das Thema oder auch eure Herausforderungen für die jeweilige Rolle und auch den notwendigen Blick durch die jeweilige Brille sprechen, würde ich ganz gern noch mit euch über ein Thema sprechen, nämlich über das Thema Liebe.

Compliance: Liebe auf den ersten Blick, oder befindet ihr euch da immer noch in der Aufwärmphase? Stefanie?

Ich würde mal sagen, ich bin leicht begeisterungsfähig. Das muss man auch sein, wenn man im juristischen Feld arbeitet. Also rückblickend auf meine Karriere: Ich habe schon monolithische Betonböden beraten, hin zu Scheidungen, Kaufverträgen etc.

Und da würde ich sagen, man muss sich einfach immer in die Themen reinstürzen. Deswegen gerne Liebe auf den ersten Blick.

Hervorragend. Philipp, Liebe auf den ersten Blick oder Aufwärmphase?

Also, um ehrlich zu sein, war Compliance für mich lang ein wirklicher Albtraum in der Rechtsberatung, weil Compliance bei sehr vielen Unternehmen oder Personen, mit denen ich zu tun gehabt habe, immer geheißen hat, Compliance sagt alles, was nicht geht.

Unsere Aufgabe oder meine Aufgabe ist es oft, zu sagen, was geht, und dementsprechend habe ich ursprünglich das Thema Compliance total gescheut, wie man in Oberösterreich sagt, und auch die Tätigkeit als Rechtsanwalt ist ja oft einmal ein bisschen borderline, sage ich einmal. Aber mittlerweile habe ich mir die Liebe …

dafür entdeckt, selbst die Compliance zu beraten, weil dann hat man nämlich selber das Regelwerk und das Framework, in dem man sich bewegen kann.

Absolut, absolut. Vielen Dank dafür. Jetzt hast du gesagt, insbesondere Berater. Jetzt hast du ja eine unterschiedliche Rolle. Jetzt hast du ja eigentlich zwei Brillen, oder sagen wir mal, zwei Hüte, die du aufhast.

Jetzt bist du zum einen Berater für Compliance. Du bist Rechtsanwalt, aber hast natürlich für dich jetzt entdeckt, Compliance auch zu beraten, was super smart ist. Derjenige oder diejenigen, die dich kennen, wissen, dass bei dir genau dieses Thema Mensch im Mittelpunkt und genau dieses Wir-schaffen-pragmatische-Lösungen im Vordergrund steht.

Und da ist nicht das Monster der Compliance im Vordergrund, sondern da geht es darum, Compliance auch mit Leben zu befüllen. Aber jetzt hast du zwei Rollen. Jetzt bist du Berater, und jetzt bist du aber zusätzlich auch noch Aufsichtsrat. Das heißt, du bist auch Teil einer Governance. Was ist da die Herausforderung?

Wie würdest du sagen, wo ist Compliance schwieriger: in der Beratung oder in der Governance, nämlich in einer Aufsichtsratsfunktion?

Also vorausschicken muss ich ganz kurz, dass ich natürlich nicht inhaltlich Einblicke in meine Tätigkeit als Aufsichtsrat geben kann. Ich habe das schon auch bei anderen Unternehmen machen dürfen.

Aber grundsätzlich ist es die Herausforderung, dass meine Rolle als Berater immer war, darauf hinzuweisen: Achtung, Achtung, bist du nicht compliant, hast du möglicherweise ein Haftungsproblem. Und dann war ich

plötzlich in der Rolle von demjenigen mit dem Haftungsproblem. Und wenn es aus Beraterperspektive so ist, dass man natürlich einen lässigen Service verkauft, aber für einen persönlich jetzt keine besondere negative Folge ist, außer dass man jedenfalls einen Auftrag nicht kriegt, wenn ein Unternehmen keine Compliance hat, ist in der Funktion des Aufsichtsrats oder Stiftungsvorstands oder vergleichbarer Tätigkeiten ein nicht-compliantes Unternehmen natürlich ein …

Ein persönliches Risiko, und dann kümmert man sich auch aus, sage ich mal, Selbstschutz, unter Anführungszeichen, darum, dass das passiert, wohl wissend, dass Compliance ein wichtiges Thema für die Organisation ist, aber da kommt dann der Egoismus ein bisschen heraus, um eben auch dafür zu sorgen, dass das für einen selbst …

So.

Stefanie, jetzt hast du ja einen bunten Blumenstrauß an dem, wo du schon beratend tätig warst, genannt und erzählt, und jetzt bist du in einem Start-up-Unternehmen, jetzt bist du in einem Unternehmen, das nicht große Strukturen aufweisen kann. Wie und wo kommst du mit dem Thema Compliance in Berührung, und was bedeutet Compliance eigentlich für deinen Arbeitsalltag?

Ich kann mich nämlich erinnern, wo wir uns das erste Mal unterhalten haben, war das Thema Compliance nur so eine ganz kleine Pflanze, die begonnen hat zu wachsen. Jetzt kennen wir uns eine Weile, und man hat das Gefühl, die Pflanze wird ein bisschen größer. Wir sprechen noch nicht von einem Busch, aber wir sprechen von einer kleinen Pflanze.

Also wie geht es dir jetzt mit dem Thema Compliance im Alltag, und wie hast du das Gefühl, beeinträchtigt oder wie beschäftigt dich das tagtäglich?

Also die Situation ist so, dass ich natürlich erstmalig jetzt im Start-up einen Deep Dive mache in die Compliance. Compliance spielt natürlich für viele von uns schon seit 2018 eine große Rolle, weil die Situation damals war, dass die DSGVO in Kraft getreten ist, und durch das Inkrafttreten war natürlich jeder gefordert, einmal zumindest den Datenschutz zu behandeln.

Jetzt im Start-up ist es natürlich so, dass wir gefordert sind, Compliance-Regulatorien einzuhalten, nämlich einerseits, um die Professionalität zu gewährleisten, und andererseits natürlich, um Investorenanforderungen zu befriedigen. Nichtsdestotrotz ist Compliance für mich eigentlich mehr oder weniger Win-win.

Also wir gewinnen alle durch die Umsetzung von Compliance. Das

ist sehr schön. Das ist total schön, zu sagen, durch Compliance gewinnen alle. Das unterschreibe ich da absolut. Man hat jetzt bei beiden das Gefühl, dass Compliance in irgendeiner Form erfahrungsbasiert ist. Also das ist, wenn man Jus studiert, ist ja jetzt Compliance keine Tätigkeit oder kein Kurs, bei dem man sich anmeldet und sagt, Compliance passiert oder da lerne ich was.

Sondern Compliance ist was, aus meiner Erfahrung, das lernt man durch das tägliche Tun. Und dann fängt man ein bisschen an abzugrenzen und zu schauen, was ist eine Compliance wirklich. Wie habt ihr euch auf diese Rolle Compliance oder zumindest auf das Themengebiet Compliance vorbereitet? Was sind so Geheimrezepte, oder wo sind so Erkenntnisquellen, oder wo kann man nachlesen, wenn man überhaupt keine Ahnung hat oder überhaupt keine Erfahrung hat in dem Zusammenhang?

Wo geht man hin, wenn man Compliance lernen will oder wenn man etwas über Compliance erfahren will?

Grundsätzlich teile ich natürlich die Ausführungen, wonach es auf der Uni nicht passiert. Ist durchaus ein Wettbewerbsvorteil, wenn das nicht jeder automatisch mitkriegt, aber sollte wahrscheinlich mittlerweile auch Eingang finden in zahlreiche Kurse.

Ich bin zum Thema Compliance letztlich, so wie die Steffi schon gesagt hat, eigentlich über das Thema Datenschutz gekommen und muss ja dazu sagen, dass die EU, ich bin überzeugter Europäer, insbesondere für uns Rechtsanwälte das größte Geschenk ist, was es gibt, weil wir kriegen da jährlich neue Normen, die umgesetzt gehören in Unternehmen, und da ist der Bedarf oft hoch, und sehr viele dieser Dinge haben natürlich mit Regeln zu tun und mit Reglements, die jetzt den operativen Betrieb eines Unternehmens, sagen wir mal, auch bremsen können, wenn sie möglicherweise nicht praxisnah umgesetzt werden.

Jetzt schreien wahrscheinlich sehr viele Unternehmerinnen und Unternehmer auf und sagen, um Gottes willen, die EU im Zusammenhang mit Regelwerken, das kostet uns viel Geld, das kostet uns viel Zeit. Was sind da deine Learnings zum Beispiel aus dem Datenschutz? Weil viele sagen ja, jetzt fängt Compliance an mit dem HinweisgeberInnenschutzgesetz, aber Compliance gibt es schon viel länger.

Was ist da dein Learning?

Mein absolutes Learning war, dass der Zugang, dass das bürokratisch ist und dass das ein Blödsinn ist, unter Anführungszeichen, der falsche ist, sondern ich habe gelernt, insbesondere mit dem Thema Datenschutz, das mich täglich beschäftigt, dass der Datenschutz eigentlich der Auslöser für Unternehmen war, dass sie sich überhaupt Gedanken darüber machen, welche Organisation sie haben, welche Struktur sie haben, welche Prozesse sie haben, und Unternehmen, die keine Prozesse haben und die keine Struktur haben, logischerweise Probleme haben.

Aber das ist kein Compliance-Problem, sondern das ist ein Organisationsproblem. Was

sie alle haben, sie haben alle ein Risiko, weil das ist ja auch ein Irrglaube, und das ist, glaube ich, das, wo man die Brücke wieder … schlagen muss zum Thema Start-up, weil sehr viele Unternehmen bei einer gewissen Größe, oder es ist zumindest der Irrglaube, dass sie denken, man muss Compliance erst bei einer gewissen Größe machen.

Wenn man Compliance versteht als Risikomanagement oder als Teil des Risikomanagements, dann ist es völlig unerheblich, wie groß das Unternehmen ist. Weil jetzt, wenn sie keine Strukturen und keine Prozesse haben, die Risiken bleiben ja trotzdem übrig. Sie sind ja sogar noch viel größer, wenn ich keine Prozesse und keine Strukturen habe.

Steffi, das Thema Datenschutz, das ist ja auch ein klassisches Thema des HinweisgeberInnenschutzgesetzes, wo man sagt, Compliance-Strukturen aufbauen, Whistleblowing und Sonstiges. Was sind sonst Themen, oder welche rechtlichen … Welche Herausforderungen und Themen, Compliance-Themen würdest du erkennen in kleinen Strukturen oder insbesondere auch jetzt bei Strukturen, wie ihr sie habt bei Myflexbox?

Was sind da rechtliche oder Compliance-Themen?

Ich würde vielleicht ganz kurz noch zu dem Thema eine Antwort auch aus Praktikerinnensicht geben, das der Philipp gerade genannt hat, und zwar das Thema Bürokratie. Das finde ich ein ganz lustiges und ein ganz interessantes. Genau diese Diskussion hatte ich eben zuletzt auch im Familienkreis. Meine Eltern haben genauso ein Unternehmen gegründet vor 30 Jahren, kann man auch nennen damals ein Start-up.

Und meine Mutter hat auch zu mir gesagt: Compliance, das ist ja total die Bürokratie. Die Antwort darauf ist eigentlich eine ganz leichte, und wie ich schon vorher gesagt habe, bei Compliance gewinnen alle. Warum gewinnen alle? Das Unternehmen gewinnt an Professionalität. Die Mitarbeiter gewinnen, weil sie sich professionell verhalten.

Und der Endverbraucher gewinnt, weil es einfach eine Vielfalt am Markt gibt. Das heißt, es gibt qualitative Produkte, es gibt preiswerte Produkte, es gibt nicht diesen One Big Player, der am Markt sozusagen diktiert, was wir kaufen. Und deswegen finde ich das das Schöne. Und wie du schon sagst, jetzt bezugnehmend auf deine Frage, was beschäftigt uns bei Compliance?

Das ist ein Riesenpotpourri an Themen. Das ist einerseits Kartellrecht, Datenschutzrecht, Lieferkettengesetz, auch aus meiner Sicht jetzt neu dann der KI-Act.

Also

es sind extrem viele Themen, denen begegne ich mit Hausverstand.

Finde ich gut.

Also das ist mir einfach extrem wichtig, weil ich kann mich in diesen Themen nicht allen …

Also ich kann mich nicht auskennen, ich muss es einmal mit einem Bauchgefühl und einem Hausverstand beantworten. Und dann ist die Situation natürlich so, dass man im Background einfach jemanden braucht, der sich auskennt damit. Und da sind wir dann wieder beim Philipp, es braucht ein Beraternetzwerk, es braucht jemanden, der sich eben mit dem Thema wirklich im Detail auskennt.

Das

ist ein guter Punkt, dieses Thema Beraternetzwerk. Also Compliance ist ja offensichtlich eine Arbeit, oder ist ja offensichtlich eine Funktion, die sehr vernetzt arbeitet. Der KI-Act oder AI Act, wie du sagst, ist auch ein Zukunftsthema. Wenn wir schon beim Zukunftsthema sind: Philipp, was würdest du sagen, was sind Zukunftsthemen in der Compliance?

Also ich freue mich sehr auf den Green Deal von der EU, insbesondere das Verbot von Greenwashing und so weiter und so fort. Erstens, weil mich das selbst als Verbraucher massiv nervt, wenn quasi jetzt alles bio ist, obwohl es gar nicht bio ist. Aus professioneller Sicht, aus Beratersicht freue ich mich darauf, dass wir da relativ viele lässige Wettbewerbsklagen haben werden.

Wenn das verboten wird, haben wir einen hohen Streitwert, und die sind durchaus interessant und auch lustig zu verhandeln.

Klingt nach einem lukrativen Geschäft.

Ja, das ist, wie gesagt, ich … bin ein großer Fan der EU, was soll ich sagen. Nein, aber Spaß beiseite. Ich finde auch, dass das einen Sinn hat. Und ich denke, wenn man die Arbeit gern macht und das lustig ist, dann macht man es gut, und wenn man es gut macht, dann verdient man auch Geld, und dann auch wahrscheinlich zu Recht.

Wichtig ist immer, dass das Ganze mit Maß und Ziel passiert, und da möchte ich ein Thema aufgreifen, das du früher gesagt hast, nämlich das Thema Hausverstand.

Und

das ist mir ganz wichtig, dass man weiß, dass Compliance, Datenschutz, all diese Normen, die ich gesagt habe, ja keiner, ich sage immer, intrinsisch, damit er gut damit zusammenkommt, aufgesogen hat, weil das ja noch keiner kann, und da wichtig ist, dass man sich diesen Themen nähert, dass man sich damit auseinandersetzt, dass man sich Gedanken macht, und wenn man sich Gedanken macht, dann wird das am Ende des Tages passen, und wenn ich meine Redezeit um 30 Sekunden überschreiten darf, mein bestes Beispiel ist, da habe ich so lachen müssen, beim Datenschutz, da bin ich beieinander gesessen mit einer Kinderbetreuungseinrichtung, und die

Kinderbetreuerinnen waren bei mir zum Thema Datenschutz, und eine war komplett fertig, weil sie hat einen Kindergartenausflug geplant, und sie hat jetzt nicht von allen Eltern die Einwilligungserklärung unterschrieben bekommen, und auf der Einwilligungserklärung ist gestanden, die Eltern willigen halt ein, dass der Arzt angerufen wird, wenn was mit dem Kind ist, und sie sagt dann zu mir so, ja, das ist jetzt voll das Problem, weil sie kann das Kind nicht mehr mitnehmen auf den Ausflug.

Sag ich, warum? Ja, das ist halt voll bitter, weil was tut sie denn, wenn das Kind jetzt dann eine allergische Reaktion hat auf einen Bienenstich und so, darf sie den Arzt dann anrufen? Sag ich, ja, das stimmt, dann müsste das Kind sterben. Und die haben mich halt völlig fassungslos angeschaut, hab ich gesagt, nein.

Bitte ein bisschen Hausverstand, also selbstverständlich, für eine Datenoffenlegung gibt es mehrere, in dem Fall Rechtfertigungsgründe, als die Einwilligung, aber das ist für mich so der Kern, das ist ein ganz banales Beispiel, aber am Ende des Tages trifft das bei so vielen Compliance-Entscheidungen, Business-Entscheidungen zu.

Es ist eine Hausverstandsmaterie, und wenn man nach bestem Wissen und Gewissen vorgeht, insbesondere wenn man seine Mitarbeiter schult und man nach bestem Wissen und Gewissen agiert, dann hat man eigentlich nie ein Problem. Dann ist man meistens, sage ich mal, in der leichten Fahrlässigkeit, und das geht.

Das ist der größte und beste Appell, den man an dieser Stelle überhaupt machen kann. Also eigentlich könnte man sagen, danke, die Staffel ist beendet. Also die Lösung für Compliance ist der Hausverstand. Ich unterschreibe das total. Also wirklich, das ist was, auch da wieder bitte völlige Zustimmung. Jetzt werfe ich in den Raum und sage, wenn Hausverstand so wichtig ist, dann, und Bauchgefühl, dass man sagt, einfach die Tatsache, dass man ein guter Mensch ist, der vernünftig denkt.

Dann stelle ich in den Raum, dass man gar nicht Juristin oder Jurist sein muss für Compliance. Würdet ihr das unterschreiben? Würdet ihr sagen, nein, man muss für Compliance ein Jurist sein oder Juristin? Oder nein, es reicht aus, dass ich einfach ein guter Mensch bin mit einem Hausverstand und einfach vernetzt im Unternehmen bin?

Wo würdet ihr euch da einnorden bei diesen zwei Extremen, Stefanie?

Also ich sehe das gleich wie beim Datenschutz. Ein Datenschutz muss nicht von einem Juristen gemacht werden. Beispielsweise ist er auch nicht immer so gut angesiedelt bei den Juristen. Ein Jurist kann eine beratende Funktion haben. Ich glaube, was wichtig ist, wie du das eh schon genannt hast, ist, dass der Compliance Officer jemand ist, der gut mit Menschen kann und der diese Verankerung versteht im Unternehmen.

Es muss nicht jemand sein, der im Hintergrund die Verankerung, jedes Fachwissen hat. Das hat vielleicht der Jurist auch nicht. Also deswegen würde ich deine Frage eben mit Nein beantworten. Muss kein Jurist sein.

Philipp, was sagst du? Wenn man jetzt den Philipp sehen würde, würde man sehen, dass er da ein bisschen hadert mit seiner Antwort.

Habe ich Schmerzen. Es gibt verschiedenste Compliance-Themen, die tatsächlich besser aufgehoben sind bei einem Praktiker, bei einem Fachmann für ein gewisses Gebiet, einem ITler zum Beispiel oder einem HRler oder wie auch immer. Die große Herausforderung, glaube ich, beim Thema Compliance ist, dass es eine Querschnittsmaterie ist, die über so viele Rechtsgebiete drüber geht, und da muss ich ehrlicherweise sagen, auch wenn ich in meinem Fach extrem …

der Spezialist bin, wenn ich jetzt die Einflüsse anderer Materien auf mein Fachgebiet nicht beurteilen kann, wenn mir das Grundwissen fehlt, dann bin ich weit hinten. Das erlebe ich in der Beratungspraxis oft bei dem Thema, zum Thema Datenschutz, obwohl du das gerade als Beispiel genannt hast, aber für mich zum Beispiel sind die, unter Anführungszeichen, herausforderndsten Gespräche, wo der Datenschutzbeauftragte, der Datenschutzkoordinator jetzt keine juristische Ausbildung hat, weil meistens fürchtet er sich dann vor den juristischen Themen, und dann geht das einfach immer

nicht.

Und von daher würde ich sagen, es muss kein Jurist sein. Ergebnisoffen betrachtet, wie das Thema Compliance, dann sollte man wahrscheinlich juristische Kenntnisse haben. Das muss nicht der Kernjurist

sein, gibt die WU, gibt das Wirtschaftsrecht, gibt was weiß ich, was MBA ist, aber ich denke, gewisses juristisches Grundverständnis und auch Theoriewissen wäre förderlich.

Vielleicht kann man es noch auf einen Punkt zusammenfassen. Ich glaube, es ist immer der Zusammenhalt bei diesen Themen. Also das ist meine große Erfahrung. Natürlich kann man immer einen dazu nominieren, jetzt dafür verantwortlich zu sein, aber ich glaube, das Wichtige ist der Zusammenhalt. Also ich kann ganz klar sagen, für den Datenschutz habe ich die Erfahrung gemacht.

Also wenn man das nicht ansiedelt in der Rechtsabteilung, kann man teilweise bessere Ergebnisse erzielen, weil wir Juristen sind nämlich zum Beispiel keine ITler, und wenn ich mich um den Datenschutz kümmere, ist schon wichtig, dass ich zum Beispiel ein IT-Verständnis habe. Beratend durch die Rechtsabteilung, also die Rechtsabteilung kann natürlich in dem Fall natürlich auch beratend tätig sein.

Aber ich glaube jedenfalls eben dieses Verständnis, es nicht einfach nur bei der Rechtsabteilung abzuladen, so, ja, das ist ein juristisches Problem, kümmert ihr euch darum, sondern als Problem von allen zu erkennen, das ist für mich so ein Schlüssel.

Du hast ein wunderbares Beispiel mit dem ITler im Datenschutz, und das kann ich unterschreiben. Thema Informationssicherheit, Datenschutz, wenn es dann darum geht, einen Data Breach zu melden, die ganzen …

Und fachlich-technischen Geschichten, das muss natürlich, dieser Input muss natürlich kommen von jemandem, der der Fachexperte ist, der Jurist, der das begleitet, der das vielleicht formuliert, der benötigt gewisse Grundkenntnisse in der IT. Aber ganz wichtig, Zusammenhalt, wie man das tut, bezeichnet, ich nenne es Kooperation oder wie auch immer, die Inputs müssen von woanders kommen.

Ich sage, ein paar von den Dingen, die ich gesehen habe, die richtig Schmerzen verursacht haben, waren so Data-Breach-Notifications, die jetzt von einem ungeübten ITler geschickt wurden an die Behörden, das hat dann meistens viel Geld gekostet.

Ja, das ist gefährliches Halbwissen, da gebe ich dir recht.

Darauf können wir anstoßen. Ich, dem

auch bedingt. Ich muss jetzt ergänzend sagen, damit will ich nicht sagen, dass das jedem ITler fehlt, logischerweise, sondern wenn sich einer damit viel auseinandersetzt, dann kann er das natürlich gut machen. Aber wenn es jetzt in einem durchschnittlichen Familienunternehmen der …

derjenige zum Machen kriegt, der normal die Outlook-Boxen einrichtet und erstellt und vielleicht die Hardware macht. Und dann, heute haben wir den ersten Data Breach unseres Lebens, mach du die Meldung an die Behörde. Das ist

gefährlich.

Aber wir formen jetzt so ein bisschen den Compliance Officer und die Compliance Officerin für ein Start-up, auch für die Beratung.

Also wir fangen an mit Hausverstand, Bauchgefühl. Wir gehen hin, dass wir sagen, zumindest ein Interesse an der Juristerei. Das ist sicher von Vorteil, und jetzt sind wir aber schon dabei, dass wir sagen, es ist eine Schnittstellenfunktion. Es ist eine Funktion, die alleine für sich nicht funktioniert, sondern wo man sagt, da brauche ich tatsächlich Verbündete.

Vielleicht auch ein Netzwerk intern und extern. Wenn ich jetzt den Bogen schlagen darf zum Thema Compliance und Compliance-Management-System: Ein Compliance-Management-System besteht, und das ist üblich, aus diesen drei Grundpfeilern. Das ist die Prävention, das ist das Erkennen, und das ist das Reagieren.

Ich bin geneigt, das ist der Punkt, weil ich immer so ein bisschen Compliance neu denke, ich bin geneigt, Compliance zu erweitern, das Compliance-Management-System, um das Beziehungsmanagement. Also in meiner Welt gibt es vier Säulen. Wenn man jetzt diese vier Säulen anschaut, Stefanie, in einem Start-up, konzentriert man sich da, um Compliance machen zu können, auf eine

Grundfunktion? Schafft man alle? Sind alle wichtig? Sagt man, wir haben die Struktur nicht im Unternehmen, wir müssen Feuer löschen, weil bei uns ist das wichtig, weil der Investor was braucht. Wir müssen Feuer löschen, wir müssen Themen machen. Oder schafft man tatsächlich auch Prävention? Wie ist das in einem Start-up?

Worauf sollte sich ein Start-up konzentrieren? Wo geht die Reise hin? Zu allen Grundpfeilern der Compliance, oder ist es eher ein, wir konzentrieren uns auf einen, und das machen wir aber dann gut, oder wir schaffen uns da die entsprechenden Strukturen? Und den Rest holen wir einfach durch Berater.

Also ich würde sagen, ich bin da klar Pragmatikerin.

Ich agiere im Unternehmensinteresse. Deshalb wäre es aus meiner Sicht fahrlässig, sich nur auf eine Säule zu konzentrieren. Aus meiner Sicht ist einfach wichtig, einmal die Grundsäulen im Unternehmen darzulegen. Da geht es einmal darum, dass ich ein Grundverständnis, eine Awareness für dieses Thema schaffe.

Wie habe ich das gemacht? Mit Schulungen. Die Schulungen kommen aber nicht von mir, weil das bringt in diesem Zusammenhang nichts. Ich bin keine Compliance Officerin. Jetzt habe ich mir eine Schulung zugekauft. Eine Schulung zugekauft in einem sehr interessanten Setting, nämlich erstellt von Juristen, Lernpsychologen und Content-Creatorn.

Habe ich sehr gute Erfahrungen damit gemacht. Warum? Das wird aufbereitet für Nicht-Juristen. Wichtiger Punkt. Wir Juristen neigen dazu, sehr ins Detail zu gehen, weil wir können ja nichts weglassen. Aber das Gute, wenn das durch einen Lernpsychologen aufbereitet ist, dann ist die Situation die, dass es auch ankommt, weil aus meiner Sicht reicht es,

wenn vielleicht nur 70, 80 Prozent in dem Kopf sozusagen von dem jeweiligen Mitarbeiter bleiben. Das ist einmal der eine Punkt. Und wie habe ich das dann geschafft, weil das ist ja der nächste Punkt, dass die Mitarbeiter da auch mitmachen, weil wenn ich denen jetzt ein E-Learning schicke, machen die dann wirklich mit?

Und da bin ich ein großer Freund von Gamification. Gamification ist was. Ich habe die Compliance-Olympiade ausgerufen. Da haben wir mehrere Schulungen gemacht. Die haben wir alle zugekauft, sind aber vorher von mir natürlich geprüft worden. Ist es sinnvoll? Sind alle Inhalte drinnen? Man hätte auch die Möglichkeit gehabt, das zu ergänzen.

Ich habe auch sehr viel Geld in die Hand genommen, um diese Schulungen zuzukaufen, aber mir ist dann schon wichtig, dass die Schulungen auch abgehalten werden. Und die Compliance-Olympiade, wie

hat die dann ausgeschaut? Ich habe einfach die Mitarbeiter in Teams eingeteilt, wie sie ohnehin zusammenarbeiten, und habe sie gegeneinander antreten lassen, ohne ihnen zu sagen, was der eigentliche Preis ist.

Ich spiele jetzt sicher keinen sehr teuren Preis im Rahmen von einer Compliance-Olympiade aus. Und das Interessante war, wir haben binnen einer Woche geschafft, dass 100 Prozent der Leute mitgemacht haben. Das heißt, ich stehe nicht mit der Keule da im Sinne von, der Investor will aber, dass wir das machen, sondern ich sage ganz klar, das ist gut für uns alle.

Eine Rückmeldung von einem Kollegen war dann, du willst ja sowieso nur, dass wir das machen, damit du sagen kannst, du hast uns geschult, dann sage ich, nein, ich mache das für euch, damit ihr versteht, warum das wichtig ist. Würde ich mir sozusagen nur eine Save-my-Ass-Strategie überlegen, dann würde ich euch selbst schulen, weil dann würde ich mir das Geld sparen, dann würde ich mit euch da einfach durchgehen.

Und dann wäre das Thema erledigt. Aber nein, in dem konkreten Fall, wir haben da wirklich einfach Geld in die Hand genommen und schulen die Mitarbeiter diesbezüglich in den Kernthemen. Das ist Korruption, das ist Kartellrecht, das ist Datenschutzrecht. Einfach, um ein Grundverständnis zu kriegen. Es braucht niemand zu wissen, wie Datenschutz im Detail funktioniert, was ich in die Einwilligungserklärung aufnehmen muss.

Sie müssen nur verstehen, wann werden personenbezogene Daten verarbeitet.

Du legst den Fokus mit den Schulungen auf das Thema Awareness. Das kann ich unterschreiben. Ich habe es auch in der letzten Folge schon gesagt. Das ist auch mein Grundverständnis, dass die Hauptaufgabe der Compliance in der Prävention liegt.

Und das ist großartig, weil damit hast du eigentlich schon sehr viele Fragen für wahrscheinlich die eine oder andere Zuhörerin oder den Zuhörer beantwortet. Muss ich im Start-up, geht es da immer nur um Feuer löschen, oder schaffe ich es auch tatsächlich, das Feuer zu verhindern, indem ich Präventionsarbeit leiste?

Und das geht offensichtlich. Und das ist auch aus meiner Sicht unbedingt notwendig. Philipp, wenn ich jetzt dich so anschaue, jetzt hast du zwei Hüte auf. Jetzt bist du zum einen Berater, und zum anderen bist du Teil einer Governance und bist Aufsichtsrat. Und wenn du andere Aufsichtsräte beraten würdest, sagen wir, jetzt schaffen wir da so ein bisschen die Brücke.

Worauf schaust du als Berater, und worauf würdest du als Aufsichtsrat schauen? Welche dieser Säulen würdest du einfordern als Aufsichtsrat? Wo würdest du sagen, das müssen wir machen, da muss man den Fokus drauflegen, da geht es gar nicht anders? Und wo würdest du als Berater sagen, ich kann bei dieser Säule oder vielleicht sogar bei allen Säulen eine wesentliche Rolle spielen und auch meinen Beitrag leisten?

Ich denke, gesprochen mit dem Hut eines Aufsichtsrats ist aus meiner Perspektive die wichtigste Säule die Prävention. Also insbesondere im Hinblick auf die Verpflichtungen des internen Kontrollsystems und so weiter und so fort, die Haftungen, die damit verbunden sind für alle Beteiligten, ist ein … ein ordentliches CMS, Compliance-Management-System, und entsprechende Richtlinien im Unternehmen unerlässlich.

Und das deckt sich zu einem gewissen Grad auch mit meiner Funktion als Berater, weil ich bin immer lieber Brandschutz als Feuerwehr. Also ich setze gerne in einem Unternehmen derartige Systeme um, da schafft man etwas Positives. Da kann man auch einen Beitrag leisten, sowohl beim Erstellen dieser Systeme als auch bei der Kommunikation an die Mitarbeiter durch Schulungen und so weiter.

Wobei ich unterstreiche, dass das zielgruppenspezifisch aufbereitet sein muss, weil das muss hängen bleiben. Das Thema der Feuerwehr, das ist ein spannendes, das ist ein lukratives, und ich bringe da immer ganz gern die Anekdote. Meine schönsten Akten fangen an mit dem Gespräch mit einem Vorstand oder Geschäftsführer, der zu mir sagt: Also ich hätte mal …

echt nicht gedacht, dass uns das passieren kann. Da weiß ich schon immer, das wird ein guter Akt.

Natürlich, weil Lernen durch

Schmerz

ist natürlich ein Motivator. Da ist mir das von der Stefanie viel lieber, dass man motiviert wird, indem man eine ordentliche Schulung kriegt. Aber Lernen durch Schmerz, das ist immer noch ein Thema.

Und darum sage ich, das ist jetzt nicht das, was ich schätze, sondern ich versuche … durch Schulungstätigkeiten, durch Vortragstätigkeiten die Awareness für dieses Thema zu schaffen. Es gelingt nicht immer überall, und hin und wieder bedarf es ein bisschen Nachhilfe durch Schmerz. Aber dann fühle ich mich auch als, unter Anführungszeichen, Schmerzdoktor berufen, den Schaden und die Auswirkungen möglichst gering zu halten.

Übergreifend betrachtet, was ich jedenfalls vermeiden möchte: in einer Vorstands- oder Aufsichtsratsfunktion zu sitzen, wo wir durch Schmerz zu lernen haben, weil das am Ende des Tages für sehr viele Beteiligte und auch für die Organisation meist mit Herausforderungen und vielleicht auch negativem Impact verbunden ist.

Und das ist so ein wichtiger Punkt, den du da gerade sagst, weil das ist ja genau das, was wir Unternehmensjuristen machen, im Unternehmensinteresse zu handeln. Und ich glaube, das ist so die Brücke zwischen Inhouse und extern, dass man da ein gemeinsames Verständnis dafür hat, dass man sagt, okay, Inhouse und der Externe arbeiten am Unternehmensinteresse.

Nicht der Berater rechnet dann die Hausdurchsuchung für eine Woche ab, sondern der Berater … Das

war gut.

Für die Bilanz der Kanzlei ist das sicher gut, aber ich glaube, für das Vertrauen in den Rechtsberater … ist es einfach extrem wichtig, dass ich vorab schon eine Info kriege und mich nicht im Nachgang dann mit einer Hausdurchsuchung, mit einem Verfahren beschäftigen muss, sondern dass ich dieses Feedback im Vorhinein schon kriege.

Und es ist verständlich, dass viele Unternehmen diese Awareness nicht haben, aber ich glaube, wichtig wäre das Verständnis der Rechtsabteilungen, diesbezüglich zu sagen, danke, lieber Philipp, du hast uns jetzt echt davor bewahrt, dass wir da ein Riesen… Verfahren haben. In der Zeit, wo wir das Verfahren haben, können wir uns nicht um den

Unternehmenserfolg kümmern, weil wir müssen jemanden abstellen, der sich um diese Sachen kümmert.

In der Zeit können wir nicht wachsen. Also eigentlich würde man da dann on top aus meiner Sicht bezahlen müssen. Das finde ich einen wichtigen Punkt.

Da habe ich jetzt tatsächlich eine Ergänzung, und zwar, jetzt hat ja nicht jedes Unternehmen oder jedes Start-up eine Stefanie, die sehr innovativ ist und die Compliance-Olympiade macht und die es auch schafft, in einem Start-up-Unternehmen plötzlich ohne Grund

Pfeiler der Compliance umzusetzen, sondern es gibt Unternehmen, die schaffen das nicht, weil sie keine Juristen haben, keine Juristin, keinen Juristen, die schaffen es nicht, weil sie keine Leute finden oder die Ressourcen nicht bereitstellen können oder auch nicht wollen. Wie schaut das aus? Kann ich Compliance auslagern?

Also kann ich sagen, ich mache jetzt Compliance as a Service, ich zwinkere jetzt tatsächlich ein bisschen, weil ich weiß, dass es geht, aber ich würde tatsächlich von euch wissen, wie seht ihr das? Compliance auslagern, weil … Und vielleicht muss ich diesen Beisatz noch sagen: Compliance ist natürlich kulturstiftend und kulturfördernd.

Wenn ich jetzt nicht Teil einer Unternehmenskultur bin, weil ich gar nicht dort arbeite, kann ich dann Teil, oder kann ich die Compliance, kann ich als externer Compliance Officer, als externe Compliance Officerin die Compliance im Unternehmen und auch die Unternehmenskultur nachhaltig und effektiv, effizient mitgestalten und positiv darauf einwirken?

Das würde ich jetzt einfach einmal aufgrund dessen, wenn wir gerade so nett plaudern, auf den Tisch legen und fragen: Compliance as a Service, Zukunftsmodell, ja oder nein? Philipp?

Hol ich ein bisschen aus. Aus meiner Perspektive natürlich ist es auch etwas, was tatsächlich am Markt nachgefragt wird ohne Ende.

Aber ich möchte anfangen mit dem Grundverständnis zwischen extern und intern. Gerade wenn man ein Unternehmen lange betreut und nicht jetzt incidentmäßig zugerufen wird, weil über sieben Empfehlungen irgendeiner Zeit hat und die Hände nochmal gefunden hat. Sondern wenn

man ein Unternehmen lange betreut, ist es mein Selbstverständnis, und da gebe ich der Steffi recht, dass es die Pflicht ist, das Unternehmen auf gewisse Dinge hinzuweisen.

Und da verstehe ich das, gerade bei Unternehmen, die eine Rechtsabteilung haben, ist das meistens so, dass die internen und die externen, wenn man das so sieht, eine Rechtsabteilung, gut austauschen, eh ein Team bilden. Unternehmen, das keine interne Rechtsabteilung hat, da bildet das Rechtsteam oder das Compliance-Team meistens der externe Berater dann mit internen Beauftragten, die meistens aus der HR oder aus der IT kommen.

Da ist ganz wichtig, dass sie zusammenarbeiten, und die Services, die der Externe leisten kann, das ist … Also Compliance as a Service, Datenschutz as a Service, whatsoever, Hauptsache, man ist am Ball und man wird über Neuigkeiten informiert, weil das ist ja das größte Problem, was die Unternehmen haben, dass sie sozusagen irgendwann einmal etwas umsetzen, dann ist das Projekt Datenschutz im Jahr 2018 abgeschlossen, und wir sind im Jahr 2023, und es ist nichts mehr passiert.

Aber

das passiert, also ich glaube, dass das sehr vielen Unternehmen so geht.

Genau, und darum ist es ganz wichtig, dass man das auslagert, und aus meiner Perspektive, und ich kriege ja extrem viele negative Rückmeldungen zu As-a-Service-Produkten, ja, und das geht immer dahingehend, dass es halt auch Berater gibt, die quasi für die dauerhafte Dienstleistung, für das Bereitstehen, für das Zur-Verfügung-Stehen de facto nichts verrechnen, aber dann einen Stundensatz, wenn was zu tun ist, und halt dann die Unternehmen quälen ohne Ende: Da müssen wir auditieren, und dann müssen wir das machen, und dann müssen wir jenes, und da braucht es das nächste Muster, das kostet x, ja, und das ist halt …

Das ist aus meiner Perspektive natürlich ein absolutes Verkaufs-No-Go, Showstopper, sondern ich sehe das halt so, dass tatsächlich die Dienstleistung, die ist was wert, die kann man in Anspruch nehmen, die kostet x pro Monat, und dafür habe ich die Sicherheit, dass ich die, die und die Leistung kriege, laufend und informiert werde, wenn sich was tut, und von daher gibt es …

Von Datenschutz as a Service, Compliance as a Service bis zur Rechtsabteilung as a Service ist vieles möglich, und ich glaube, wenn man das richtige Verständnis dafür hat, ist es ein Mehrwert für das Unternehmen.

Das heißt, wenn es ein Mehrwert für das Unternehmen ist, kannst du auch tatsächlich positiv auf die Unternehmenskultur einwirken?

Ja, ich kann einige, also ich kann aus meiner … jetzt in dem Fall wieder Beraterpraxis. Es gibt verschiedene Unternehmen, wo wir tatsächlich die externe Rechtsabteilung bilden, weil es intern keine gibt, obwohl die teilweise sehr groß sind. Und das, was mir extrem taugt, ohne Namen zu nennen, gibt Unternehmen, wo wir das seit vielen, vielen Jahren machen.

Und da beobachten wir beispielsweise einen enormen Rückgang von Verwaltungsstrafen in gewissen Bereichen, weil die Mitarbeiter geschult sind. Und weil du immer sagst, Wertschätzung, Kommunikation und die Mitarbeiter und der Zusammenhalt: Für mich einer der wesentlichen Indikatoren für Unternehmen und den Umgang mit den Mitarbeitern ist beispielsweise die Anzahl der Kündigungsanfechtungen und die Anzahl der Arbeitsgerichtsprozesse.

Und es gibt Unternehmen, die wir seit vielen, vielen Jahren betreuen, wo wir am Anfang Hausnummer 10, 10 Arbeitsrechtsprozesse gehabt haben, weil das Offboarding nicht funktioniert, weil das Kündigungsgespräch nicht wertschätzend geführt wird, weil vielleicht ein verpöntes Motiv angegeben wird, und das ändert sich durch regelmäßige Schulung, Updates, die Verantwortlichen können dich einfach anrufen, du sprichst mit denen, sie haben das Vertrauen, dass nicht alles gecharged wird, wenn sie zwei Minuten mit dir telefonieren, und du gibst denen einen Tipp für das Beendigungsgespräch, und es endet im Einvernehmen mit einvernehmlicher Auflösung, und das Unternehmen hat gewonnen, und die Kultur, die Gesprächskultur, der Umgang verbessert sich im Unternehmen.

Habe

jetzt ein bisschen weit ausgeholt. Aber es

klingt nach einem kleinen Ja. Es

ist ein kleines Ja. Es

klingt nach einem kleinen Ja. Ich

bin überzeugt davon.

Stefanie, du kommst aus einem Unternehmen mit nicht großen, ausgeprägten Strukturen, sondern dieses lässige, innovative, moderne, tolle Start-up-Atmosphäre mit flachen Hierarchien, also ein tolles Unternehmen, du eine tolle Juristin, sehr innovativ, immer über den Tellerrand hinausblickend.

Du bist bekannt dafür, dass du eine Selbermacherin bist. Du bist bekannt dafür, dass du dir Wissen aneignen möchtest, weil du selbst gerne als Expertin giltst, und das ist hervorragend. Du hast da sicher auch eine Vorbildrolle für sehr viele, wenn ich dir jetzt die Frage stelle: Auslagern, ist das ein Konzept,

das du für gut befindest, oder wo du sagst, ja, da kann ich meine Vorteile daraus ziehen, oder da würde ich sagen, ja, das geht, weil in der Kombination möglicherweise mit mir als Sparring ist das tatsächlich ein Thema, und ist es was, wo du sagst, für jemanden, der keine Stefanie hat, ein Start-up, ist Auslagern definitiv eine Möglichkeit und sicher ein Thema, wo man sagt, Rechtssicherheit, Investorenanforderung, Behördenanforderung, Marktanforderung, um das zu erfüllen, macht es definitiv einen Sinn?

Die Frage ist sehr einfach beantwortet. Grundsätzlich sinnhaft ist es. Das Thema, das ich nur in den Raum stellen möchte, ist, es gibt extrem viele schwarze Schafe am Markt. Das haben wir jetzt gerade auch von Philipp gehört. Das fängt an bei diesen Serviceleistungen bis hin zu Legal Tech. Das beobachte ich, das ist auch teilweise, wie du mich nennst, für Experten oft sehr schwierig herauszufinden, welcher Service ist denn gut, welchen Service brauche ich, wie viel bezahle ich dafür, was ist der Mehrwert, der generiert wird, und ich glaube, das muss sich jetzt etwas beruhigen, dieser Markt, weil das sprießt aus meiner Sicht wie so

Schwammerl, das

sprießt einfach raus, und das Problem ist, wenn es dann keinen Austausch gibt zwischen den Unternehmensjuristen oder zwischen den Unternehmen, wie kann ich denn herausfinden, ob dieser Service jetzt gut ist und für mein Unternehmen geeignet, oder ob das jetzt wirklich, krass formuliert, eine Abzocke ist?

Und ich glaube, wenn sich die Anbieter am Markt etwas minimieren, dann sehe ich das als extrem gutes Vehikel für das Unternehmen, solange es, wie aktuell noch, so ist, dass es sehr schwierig ist herauszufinden, ist das gut für mich oder nicht, bin ich sehr vorsichtig bei diesen Dingen. Weil das Budget natürlich in der Rechtsabteilung ist meistens sehr begrenzt.

Wenn es begrenzt ist und ich gebe Geld für etwas aus, das mir nicht hilft, und das dann erst recht noch Arbeit dann im Nachgang nach sich zieht, dann hat man natürlich als Rechtsabteilung ein Problem. Und dieses Thema ist von der Rechtsabteilung, wir müssen natürlich auch Marketing betreiben für unseren eigenen Service.

Wenn ich jetzt aber einen Anbieter zukaufe, der nicht gut ist, und dann erst recht wieder ins Strudeln komme, dann läuft natürlich das Selbstmarketing nicht.

Jetzt hast du von schwarzen Schafen gesprochen, gerade Whistleblowing, also nur damit ich es kurz in den Raum werfe und damit ich es kurz auf den Tisch lege.

Das Thema Whistleblowing, wir kennen sie alle, es poppen wie Schwammerl Softwareanbieter auf, die jetzt Compliance-Software machen. Und ja, bitte, das ist keine Rocket Science. Also Compliance-Software, das schafft man schnell einmal. Der USP, glaube ich, oder das, wo man sagt, das grenzt sich ein bisschen ab, bei uns jetzt bei der Software ist, wenn das mit echter Praxiserfahrung …

Und wenn quasi Software verbunden mit echter Praxiserfahrung geliefert wird, dann macht das einen Mehrwert. Aber wenn du jetzt von schwarzen Schafen sprichst, Stefanie, wo würdest du jetzt sagen, wie erkennt man die Guten, und wie erkennt man die weniger Guten? Also der Blick zum Philipp, der Blick zu mir, wie würdest du das jetzt beantworten?

Also für mich sind da drei Tipps in dem Zusammenhang wesentlich. Die User Experience: Wenn ich eine Legal-Tech-Anwendung kaufe oder eine Tech-Anwendung, probiert ihr das doch selber mal. Wenn ihr das Gefühl habt, das flutscht einfach nicht, Hände weg. Ganz wichtiges Thema. Zweiter Punkt: Wenn einfach jede Minute verrechnet wird und man das Gefühl hat, okay, ich kann jetzt nicht einmal kurz zum Telefon greifen, und ich kriege jeden Aktenvermerk, jedes Telefonat, jedes einzelne Teil

verrechnet, ich glaube, da müssen schon alle Alarmglocken eben schrillen. Und dann ist für mich der dritte wesentliche Punkt: Sucht euch ein Netzwerk, kriegt Empfehlungen.

Weil ansonsten ist man allein und weiß einfach nicht, da macht man Google-Recherche, versucht gewisse Dinge auszuprobieren. Die Anwender oder die Anbieter versprechen da in diesem Zusammenhang einfach sehr viel und können das dann oft im Nachgang nicht halten, gerade bei Großprojekten. Also Vorsicht bei der Auswahl. Aber wenn man die drei Punkte beherzigt, ich glaube, dann ist man auf einem guten Weg.

Ich muss jetzt tatsächlich zum Philipp schauen. Ungeachtet aller Expertise, du bist der Tausendsassa, du machst hunderttausend Dinge, du bist gefühlt in jedem dieser … Dinge Experte und professionell unterwegs. Was mir bei dir gefällt, das darf ich an dieser Stelle jetzt schon sagen, nicht nur, weil uns eine sehr gute Freundschaft verbindet, sondern weil ich auch tatsächlich auf deinen Service zurückgreife, sowohl mit der Phobits als auch in dem Unternehmen, in dem ich arbeite, ist schon, dass das Thema Partnerschaft und das Thema Vernetztheit und Netzwerk bei dir immer an erster Stelle steht.

Man hat das Gefühl, du bist Partner, du siehst dich auch immer als … Teil des Teams, und ich glaube, das kann man an dieser Stelle schon sagen, also wenn ein Berater oder eine Beraterin sich als Teil des Teams versteht und nicht nur diese Stunden verrechnet, sondern den Mehrwert für das Unternehmen auch tatsächlich generieren möchte, so wie du das machst, Philipp, dann glaube ich, ist das tatsächlich ein Thema, wo man sagt, dann macht auch eine externe Expertise und das Einholen und auch das Ergänzen einer internen Struktur, einer internen Organisation um eine externe Beratung auch tatsächlich Sinn.

Ich würde tatsächlich … gerne noch ein Thema besprechen mit euch. Stefanie, du hast vorhin gesprochen, beim Datenschutz 70, 80 %. Du bist schon glücklich, wenn die Kolleginnen und Kollegen sich 70, 80 % merken, von den Schulungen mitnehmen, und wenn sie quasi nicht 100 % … 100 % ist nicht die Anforderung. Das ist oft der Irrglaube, das mag auch sein in einer Governance bei einem Aufsichtsrat, dass das so ist, dass man sagt, 100 % Compliance, anders geht es nicht, weil es ja meine eigene Haftung ist, als Berater zu sagen, 100 % Compliance möglicherweise. Es gibt vielleicht Berater, die sagen, 100 % Compliance, kein Thema, kriegen wir hin, das ist überhaupt kein Thema, weil auch eine eigene Haftung damit verbunden ist.

Sind 100 % Compliance realistisch? Philipp, du als Tausendsassa, du als Experte: 100 % Compliance, möglich oder nicht möglich?

Gott sei Dank hast du jetzt recht lang geredet, jetzt bin ich immer ganz rot. Nein, danke. Also wenn jemand ein Unternehmen kennt, das 100 % hat, bitte mir zeigen, ich brauche dringend ein Praxisbeispiel.

Natürlich ist es so, dass 100 % unmöglich ist, schlicht und ergreifend, weil der menschliche Makel, unter Anführungszeichen, über allem steht. Daher ist in jedem Unternehmen der Mitarbeiter der wichtigste Faktor zum Thema Compliance, und einen hundertprozentigen Risikoausschluss gibt es nicht. Als Berater sage ich jetzt, Hauptsache, wir sind nicht grob fahrlässig.

Das mag ein bisschen überzeichnet klingen, aber darauf läuft es am Ende hinaus, weil ich habe in Einzelbereichen sicherlich, aber dass ein Unternehmen 100 % compliant ist, jeden Berater, der verspricht, das erreichen zu können, würde ich gerne selber engagieren, sagen wir so, und diesen testen, ob das funktioniert.

Das heißt, der nächste Punkt auf deiner Liste, Stefanie, also Berater oder Beraterin, die 100 % anbieten, ist ein Thema, da sollte man mal drauf schauen. Wie ist das bei dir, 100 % Compliance, realistisch, nicht realistisch?

Ja, Challenge accepted, würde ich sagen. Nein, also Spaß beiseite. Aus meiner Sicht muss man generell im Juristischen und vor allem im Unternehmen, das ist Step by Step.

Ob es jetzt Compliance ist oder ein Bestellvorgang oder ein Vertragsabschluss. Also ich glaube, Overperformance braucht es da nicht. Es braucht einfach einen guten Blick für das Wesentliche, für die High-Risk-Themen, eine gute Verankerung von Grundprinzipien. Und dann geht es los.

Und das ist, glaube ich, auch super, weil eigentlich jeder, der mich kennt, weiß, dass ich genau auf das hinauswollte.

Also das ist ja jetzt keine Überraschung. 100 Prozent Compliance ist in der Praxis absolut unrealistisch. Also ich sage immer, man sollte die kritischsten Risiken, die man hat, schlichtweg identifizieren. Also mit denen muss man was machen. Mit dem Rest sollte man schlichtweg leben. Also es

geht nicht. Und das ist eigentlich ein gutes Wort, um in den Abschluss zu gehen.

Zum Abschluss habe ich noch eine Besonderheit vorbereitet. Also wir haben immer so dieses wiederkehrende Element. Das ist zu Beginn dieser Code-of-C-Check-in. Und ich habe jetzt zum Schluss auch dieses Code-of-C-C-Wort. Also quasi ein C-Wort. Jetzt kann man ja Compliance oder C, das C-Wort, mit unterschiedlichen Dingen assoziieren.

Compliance, Change, Chance, Crime zum Beispiel. Aber ich würde euch ersuchen, mir mitzuteilen in einem Wort, was Compliance für euch bedeutet. Stefanie, ein Wort: Was ist Compliance für dich?

Charakter.

Philipp?

Konfidenz.

Konfidenz. Beides super. Haben wir noch nicht gehabt, ist auch erst die zweite Folge, aber kenne ich an dieser Stelle so auch noch nicht.

Vielen Dank dafür. Es war mir ein Volksfest. Vielen Dank, dass ihr euch getraut habt, mit mir diese Reise zu beginnen und diese Reise mit mir durchzuführen. Ich hoffe, es hat euch Spaß gemacht. Erster Podcast ist bei beiden fix nicht der letzte. Vielen Dank. Also aus meiner Sicht, ich nehme mit: Compliance für ein Start-up.

Natürlich ein Thema, weil jedes Unternehmen unabhängig von der Größe Risiken hat, losgelöst davon, ob es Strukturen hat oder nicht. Noch viel blöder, wenn es keine Strukturen hat, weil dann sind die Risiken noch viel größer. Compliance für einen Aufsichtsrat natürlich notwendig, weil Teil auch der eigenen Haftung.

Ein lukratives Geschäft für Berater, aber … der richtige Berater, die richtige Beraterin erkennt darin auch, einen Mehrwert für die Unternehmen zu leisten und tatsächlich auch Unternehmen entsprechend zu unterstützen. Nicht unbedingt 100 % Compliance zu sein, aber die wichtigsten Risiken im Unternehmen zu erkennen.

Beide, Compliance Officer, Compliance Officerin, Juristin, Jurist oder auch Nicht-Jurist oder Nicht-Juristin, wenn man die Verantwortung im Unternehmen übernimmt oder wenn man die Verantwortung für das Unternehmen übernimmt, dann ist das ein wesentlicher Beitrag für die … Kultur im Unternehmen. Ich bedanke mich recht herzlich bei beiden.

Vielen Dank, Philipp, vielen Dank, Stefanie.

Danke dir.

Ebenso danke, und wir hören uns.

Wir hören uns, wir sehen uns, und an dieser Stelle darf ich nur sagen: Bleibt so ein guter Mensch, stay compliant, Ihr Martin Reichetseder.