Organverantwortung und Delegation: Warum Governance kein Formalismus ist

Eine Geschäftsführerin überträgt die IT-Sicherheit vollständig auf den IT-Leiter. Es gibt kein formelles Reporting, keine regelmäßige Befassung auf Geschäftsführungsebene. Schließlich handelt es sich um einen Experten, und man vertraut auf dessen fachliche Entscheidungen.

Nach einem Sicherheitsvorfall stellt sich die Frage: Reicht diese Delegation zur Entlastung?

Die Antwort lautet meistens: Nein. Denn Delegation ohne Governance ist rechtlich betrachtet ein Risiko, das viele Geschäftsführer unterschätzen.

Was bedeutet Organverantwortung eigentlich?

Governance, Compliance, Organisationspflichten – das sind Themen, mit denen sich die Geschäftsführung typischerweise nicht aus Begeisterung beschäftigt. Sie wirken sperrig, formalistisch, komplex und konkurrieren mit operativen Prioritäten. Gleichzeitig sind sie im Haftungsfall so relevant wie ein guter Anwalt – nur eben vorher.

Der Ausgangspunkt liegt in der Organstellung selbst. Geschäftsführung oder Vorstand sind nicht nur eine Leitungsfunktion. Juristisch betrachtet sind sie das Handlungsorgan der Gesellschaft. Eine Geschäftsführerin handelt nicht bloß für das Unternehmen – sie handelt sozusagen als Unternehmen.

Daraus folgt eine besondere Verantwortungsstruktur:

• Entscheidungen binden die Gesellschaft im Außenverhältnis.

• Im Innenverhältnis bestehen eigenständige Pflichten gegenüber der Gesellschaft.

• Verantwortung knüpft an die Stellung an – nicht nur an einzelne Fehlentscheidungen.

Das bedeutet: Auch wenn die Geschäftsführerin selbst keine IT-Expertin ist, bleibt sie für die Organisation der IT-Sicherheit verantwortlich. Diese Verantwortung kann sie nicht einfach wegdelegieren.

Delegation ist möglich – aber nicht grenzenlos

Natürlich darf und soll eine Geschäftsführung Aufgaben delegieren. Kein Organ kann alle Fachbereiche selbst steuern. Delegation ist daher ein notwendiges und legitimes Instrument der Unternehmensführung.

Allerdings entlastet Delegation nur dann, wenn drei Voraussetzungen erfüllt sind:

1. Sorgfältige Auswahl

Die Person, an die delegiert wird, muss fachlich geeignet sein. Das klingt selbstverständlich, wird aber im Haftungsfall genau geprüft. Hat die Geschäftsführung sich vergewissert, dass der IT-Leiter über die notwendige Qualifikation und Erfahrung verfügt? Wurde die Auswahl dokumentiert?

2. Klare Anleitung

Der Delegationsempfänger muss wissen, was von ihm erwartet wird. Das bedeutet: klare Zuständigkeiten, definierte Befugnisse, messbare Ziele. Eine mündliche Absprache reicht im Ernstfall nicht aus. Es braucht eine nachvollziehbare Aufgabenbeschreibung.

3. Wirksame Überwachung

Und hier liegt oft das Problem: Nicht die fachliche Kompetenz des IT-Leiters ist entscheidend – sondern die Frage, ob die Geschäftsführung sich eine ausreichende Informations- und Kontrollstruktur geschaffen hat.

Überwachung bedeutet nicht Mikromanagement. Es bedeutet, dass die Geschäftsführung regelmäßig Bericht erhält, Risiken einschätzen kann und bei Bedarf eingreift. Ohne diese Struktur bleibt die Verantwortung ungeteilt beim Organ.

Warum Governance mehr ist als Formalismus

Governance bedeutet deshalb mehr, als Zuständigkeiten zu verteilen. Governance bedeutet, Risiken systematisch zu identifizieren, Entscheidungsgrundlagen einzuholen, regelmäßig Bericht zu verlangen und zentrale Entscheidungen nachvollziehbar zu dokumentieren.

Denn im Haftungsfall zählt nicht nur, was entschieden wurde, sondern wie die Entscheidung zustande kam und ob das Organ seiner Überwachungs- und Organisationsverantwortung tatsächlich nachgekommen ist.

Ein Beispiel aus der Praxis: Nach einem Datenschutzvorfall wird geprüft, ob die Geschäftsführung ihrer Organisationspflicht nachgekommen ist. Entscheidend ist dann nicht, ob der IT-Leiter einen Fehler gemacht hat. Entscheidend ist, ob die Geschäftsführung überhaupt wusste, welche Sicherheitsmaßnahmen getroffen wurden, ob sie regelmäßig über Risiken informiert wurde und ob sie bei erkennbaren Schwachstellen reagiert hat.

Fehlt diese Struktur, haftet die Geschäftsführung – unabhängig davon, ob sie selbst IT-Kenntnisse hat oder nicht.

Governance ist der Rahmen, der Delegation haftungsfest macht

Governance ist kein Selbstzweck. Sie ist der Rahmen, der Delegation überhaupt erst haftungsfest macht. Ohne Governance bleibt Delegation ein Risiko.

Was bedeutet das konkret? Eine wirksame Governance-Struktur umfasst typischerweise folgende Elemente:

Risikoidentifikation

Welche Risiken bestehen im Unternehmen? Welche Bereiche sind besonders kritisch? IT-Sicherheit, Datenschutz, Compliance, Arbeitsschutz – je nach Branche und Unternehmensgröße variieren die Schwerpunkte. Entscheidend ist, dass die Geschäftsführung sich systematisch einen Überblick verschafft.

Berichtswesen

Die Geschäftsführung muss regelmäßig informiert werden. Das kann durch monatliche Reports, Quartalsberichte oder anlassbezogene Meldungen geschehen. Wichtig ist, dass die Informationen strukturiert und nachvollziehbar sind. Ein mündlicher Austausch in der Kaffeeküche reicht nicht.

Dokumentation

Entscheidungen müssen nachvollziehbar sein. Das bedeutet nicht, dass jede Kleinigkeit protokolliert werden muss. Aber zentrale Entscheidungen – etwa zur IT-Sicherheitsstrategie, zu Investitionen oder zu Compliance-Maßnahmen – sollten schriftlich festgehalten werden. Im Haftungsfall ist die Beweislast oft umgekehrt: Die Geschäftsführung muss nachweisen, dass sie ihrer Pflicht nachgekommen ist.

Eskalationsmechanismen

Was passiert, wenn ein Risiko erkannt wird? Wer entscheidet, wer wird informiert, wer greift ein? Ohne klare Eskalationswege bleiben Risiken oft unbearbeitet – bis es zu spät ist.

Praxisbeispiel: IT-Sicherheit und Organverantwortung

Zurück zum Eingangsbeispiel: Die Geschäftsführerin hat die IT-Sicherheit an den IT-Leiter delegiert. Nach einem Sicherheitsvorfall stellt sich heraus, dass seit Jahren keine Sicherheitsaudits durchgeführt wurden, dass veraltete Systeme im Einsatz waren und dass die Geschäftsführung nie über diese Risiken informiert wurde.

Kann sich die Geschäftsführerin darauf berufen, dass sie dem IT-Leiter vertraut hat?

Nach aktueller Rechtslage wahrscheinlich nicht. Denn Vertrauen allein reicht nicht. Die Geschäftsführung hätte sich vergewissern müssen, dass die IT-Sicherheit angemessen organisiert ist. Sie hätte regelmäßig Bericht verlangen müssen. Und sie hätte bei erkennbaren Risiken eingreifen müssen.

Das bedeutet nicht, dass die Geschäftsführerin selbst IT-Expertin sein muss. Aber sie muss sicherstellen, dass sie die notwendigen Informationen erhält, um ihrer Überwachungspflicht nachzukommen.

Was Geschäftsführer jetzt tun sollten

Governance klingt abstrakt. Aber die praktischen Schritte sind überschaubar. Hier sind konkrete Maßnahmen, die Sie als Geschäftsführer umsetzen können:

Verschaffen Sie sich einen Überblick

Welche Bereiche sind in Ihrem Unternehmen besonders risikoreich? IT-Sicherheit, Datenschutz, Arbeitsschutz, Compliance? Erstellen Sie eine Liste der kritischen Themen. Das muss keine umfassende Risikoanalyse sein – ein strukturierter Überblick reicht für den Anfang.

Definieren Sie klare Zuständigkeiten

Wer ist wofür verantwortlich? Halten Sie die Zuständigkeiten schriftlich fest. Das kann in Form von Stellenbeschreibungen, Organigrammen oder Delegationsvereinbarungen geschehen. Wichtig ist, dass klar ist, wer entscheidet und wer berichtet.

Etablieren Sie ein Berichtswesen

Legen Sie fest, wann und in welcher Form Sie über kritische Themen informiert werden. Das kann ein monatlicher IT-Sicherheitsbericht sein, ein Quartalsreport zu Compliance-Themen oder eine anlassbezogene Meldung bei besonderen Vorfällen. Entscheidend ist, dass die Informationen regelmäßig und strukturiert bei Ihnen ankommen.

Dokumentieren Sie Entscheidungen

Halten Sie zentrale Entscheidungen schriftlich fest. Das muss kein aufwendiges Protokoll sein – eine kurze E-Mail oder ein Vermerk reicht oft aus. Wichtig ist, dass im Nachhinein nachvollziehbar ist, was entschieden wurde und auf welcher Grundlage.

Holen Sie sich externe Unterstützung

Wenn Sie unsicher sind, ob Ihre Governance-Struktur ausreicht, lassen Sie sich beraten. Eine externe Prüfung kann helfen, Schwachstellen zu identifizieren und rechtssichere Prozesse zu etablieren. Das ist keine Schwäche, sondern ein Zeichen professioneller Unternehmensführung.

Organverantwortung endet nicht bei der Delegation

Delegation ist ein notwendiges und sinnvolles Instrument. Aber sie entbindet die Geschäftsführung nicht von ihrer Verantwortung. Im Gegenteil: Delegation erfordert Governance. Nur wenn Auswahl, Anleitung und Überwachung angemessen organisiert sind, kann Delegation haftungsentlastend wirken.

Governance ist kein Formalismus. Sie ist der Rahmen, der es Ihnen ermöglicht, Verantwortung zu delegieren, ohne Ihre Haftung zu erhöhen. Sie ist der Unterschied zwischen einer Geschäftsführung, die im Ernstfall nachweisen kann, ihrer Pflicht nachgekommen zu sein – und einer, die sich auf Vertrauen berufen muss.

Und Vertrauen allein reicht vor Gericht nicht.