Code of Conduct erstellen: Rechtliche Grundlagen und Schritt-für-Schritt-Anleitung
Rechtliche Grundlagen: Wann ist ein Code of Conduct Pflicht?
Viele Unternehmen fragen sich: Müssen wir überhaupt einen Verhältenskodex haben? Die Antwort hängt von Größe, Branche und Börsennotierung ab — und ist oft ein klares Ja.
Lieferkettensorgfaltspflichtengesetz (LkSG) — ab 1.000 Mitarbeiter
Seit dem 1. Januar 2024 gilt das LkSG für alle Unternehmen mit Sitz in Deutschland und mindestens 1.000 Arbeitnehmern (§ 1 Abs. 1 LkSG). Das Gesetz verpflichtet die Geschäftsführung in § 6 Abs. 2 LkSG zur Veröffentlichung einer Grundsatzerklärung über die Menschenrechtsstrategie des Unternehmens — einschließlich der Erwartungen an Mitarbeiter und direkte Zulieferer. In der Praxis wird diese Grundsatzerklärung häufig als Teil des Code of Conduct umgesetzt oder direkt als solcher kommuniziert.
Hinweisgeberschutzgesetz (HinSchG) — ab 50 Beschäftigte
Das HinSchG verpflichtet Unternehmen ab 50 Beschäftigten zur Einrichtung einer internen Meldestelle (§ 12 Abs. 2 HinSchG). Ein funktionierender Code of Conduct beschreibt genau diese Meldewege — wer meldet was, an wen, und mit welchem Schutz. Ohne einen klar dokumentierten Verhältenskodex bleibt die Meldestelle eine leere Hülle.
Unternehmen aus dem Finanzsektor (Kreditinstitute, Versicherungen, Wertpapierdienstleistungsunternehmen) müssen eine interne Meldestelle unabhängig von der Mitarbeiterzahl einrichten.
Haftung der Geschäftsführung — § 93 AktG / § 43 GmbHG
Auch ohne sektorspezifische Pflicht gilt: Geschäftsführer und Vorstandsmitglieder müssen die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anwenden (§ 93 Abs. 1 AktG). Fehlt ein Code of Conduct und kommt es zu Compliance-Verstößen — Korruption, Diskriminierung, Datenschutzverletzungen — droht persönliche Haftung. Ein dokumentierter Verhältenskodex ist damit auch ein Haftungsschutzinstrument.
Code of Conduct erstellen: Schritt für Schritt
Kein Code of Conduct entsteht im Vakuum. Wer ihn allein im Rechtsbüro verfasst und dann unkommentiert ins Intranet stellt, hat das Wichtigste übersehen: Akzeptanz. Hier die bewährten Schritte in der Praxis.
- Bestandsaufnahme und Risikoanalyse: Welche Compliance-Risiken bestehen im eigenen Unternehmen? Korruption im Vertrieb, Datenschutz in der IT, Arbeitssicherheit in der Produktion — jede Branche hat ihre Schwerpunkte. Diese Analyse liefert die thematischen Bausteine des späteren Kodex.
- Stakeholder einbeziehen: Führungskräfte, Betriebsrat, Datenschutzbeauftragter, ggf. der Compliance-Beauftragter — wer früh eingebunden wird, trägt später mit. Der Betriebsrat hat bei verhaltensrelevanten Regelungen ein Mitbestimmungsrecht nach § 87 BetrVG.
- Inhalte strukturieren und formulieren: Klare Sprache, kurze Sätze, konkrete Beispiele. Ein Satz wie „Wir handeln integer“ klingt gut, ist aber nicht umsetzbar. Besser: „Mitarbeiter dürfen keine Geschäftsessen mit Lieferanten annehmen, deren Wert 50 € übersteigt, ohne schriftliche Genehmigung der Geschäftsführung.“
- Rechtsprüfung und Freigabe: Ein Rechtsanwalt oder der interne Compliance-Beauftragter prüft auf Konformität mit aktuellem Recht — insbesondere HinSchG, DSGVO, LkSG und AGG. Anschließend Freigabe durch Geschäftsführung oder Vorstand.
- Kommunizieren und schulen: Der Kodex wird nicht verschickt — er wird erklärt. Pflichtschulungen, Onboarding-Integration, regelmäßige Auffrischungen. Nur wer den Code of Conduct kennt, kann ihn einhalten.
- Meldewege aktivieren: Die interne Meldestelle (Pflicht ab 50 Beschäftigten gem. § 12 HinSchG) wird im Kodex verankert. Mitarbeiter müssen wissen, an wen sie sich bei Verstößen wenden — anonym und ohne Angst vor Repressalien.
- Regelmäßig überprüfen und aktualisieren: Gesetze ändern sich, Unternehmen wachsen, neue Risiken entstehen. Ein Code of Conduct sollte mindestens alle zwei Jahre überarbeitet werden — und immer dann, wenn sich die Rechtsgrundlage wesentlich ändert.
Was muss ein Code of Conduct enthalten?
Die folgende Tabelle zeigt die Kernthemen, die in keinem Verhältenskodex für deutsche Unternehmen fehlen sollten.
| Thema | Beispielinhalte |
|---|---|
| Compliance & Gesetz | Einhaltung aller anwendbaren Gesetze; Folgen bei Verstößen; Ansprechpartner |
| Datenschutz | Umgang mit personenbezogenen Daten gem. DSGVO; Rolle des Datenschutzbeauftragten; interne Datenschutz-Checkliste |
| Antikorruption | Verbot von Bestechung und unzulässigen Zuwendungen; Regelung für Geschäftsessen, Geschenke, Einladungen |
| Arbeitssicherheit | Pflichten von Mitarbeitern und Führungskräften; Zusammenarbeit mit der Fachkraft für Arbeitssicherheit |
| Umwelt & Nachhaltigkeit | Umweltschutzpflichten; Ressourceneffizienz; LkSG-Sorgfaltspflichten; Rolle des Immissionsschutzbeauftragten |
| Interessenkonflikte | Offenlegungspflichten bei privaten Interessen; Nebentätigkeiten; Beteiligungen an Wettbewerbern |
| Meldewege (Hinweisgeberschutz) | Interne Meldestelle gem. § 12 HinSchG; Anonymitätsschutz; Verbot von Repressalien gem. § 36 HinSchG |
| Diversität & Antidiskriminierung | Verbot von Diskriminierung nach AGG; Gleichbehandlung unabhängig von Geschlecht, Herkunft, Religion, Alter |
| Lieferkette & Geschäftspartner | Verhaltenserwartungen an Zulieferer und Dienstleister; Supplier Code of Conduct als Vertragsanlage |
Wer ist verantwortlich für den Code of Conduct?
Kurze Antwort: die Geschäftsführung — und niemand sonst kann diese Verantwortung wegdelegieren.
Der Vorstand oder Geschäftsführer zeichnet den Verhältenskodex als Erklärung der Unternehmensleitung. Er haftet nach § 93 AktG bzw. § 43 GmbHG persönlich, wenn durch einen fehlenden Code of Conduct Schäden entstehen.
In der Praxis wird die operative Verantwortung häufig dem Compliance-Beauftragten übertragen. Er koordiniert die Erstellung, prüft Aktualisierungsbedarf, schult Mitarbeiter und ist Ansprechpartner bei Fragen. Die Bestellung eines Compliance-Beauftragten entbindet die Geschäftsleitung nicht von ihrer Gesamtverantwortung.
Der Datenschutzbeauftragte ist einzubeziehen, soweit der Kodex datenschutzrelevante Regelungen enthält — etwa zur Mitarbeiterüberwachung oder zum Umgang mit Kundendaten.
Häufige Fehler beim Erstellen eines Code of Conduct
Viele Unternehmen haben einen Code of Conduct — aber keinen funktionierenden. Der Unterschied liegt meist in diesen fünf Fehlern:
- Zu allgemein, zu unverbindlich: „Wir handeln fair und respektvoll“ ist nicht umsetzbar. Ein wirksamer Verhältenskodex beschreibt konkrete Situationen, klare Regeln und definierte Konsequenzen bei Verstößen.
- Keine Schulungen: Ein Dokument im Intranet ist kein Compliance-Programm. Mitarbeiter müssen den Code of Conduct verstehen — durch Schulungen, Fallbeispiele und regelmäßige Auffrischung.
- Fehlende Meldewege: Unternehmen ab 50 Beschäftigten sind nach § 12 HinSchG zur internen Meldestelle verpflichtet. Fehlt diese im Kodex, ist das eine doppelte Lücke: rechtlich und praktisch.
- Betriebsrat nicht eingebunden: Regelungen zum Verhalten am Arbeitsplatz unterliegen der Mitbestimmung nach § 87 Abs. 1 BetrVG. Wer den Betriebsrat übergeht, riskiert Anfechtung und Vertrauensverlust.
- Keine regelmäßige Aktualisierung: Ein Code of Conduct von 2019 enthält weder HinSchG noch aktuelle DSGVO-Entwicklungen noch LkSG-Anforderungen. Veraltete Kodizes sind Haftungsfallen.
Fazit
Ein Code of Conduct ist kein Bürokratieakt — er ist das Fundament einer funktionierenden Compliance-Kultur. Wer ihn sorgfältig erstellt, rechtlich absichert und regelmäßig lebt, schützt das Unternehmen, die Geschäftsführung und die Mitarbeiter. Wer ihn als Pflichtübung behandelt, zahlt später — in Geld, Reputation oder beidem.
Häufig gestellte Fragen (FAQ)
Ist ein Code of Conduct in Deutschland gesetzlich vorgeschrieben?
Nicht pauschal, aber oft de facto Pflicht: Unternehmen ab 1.000 Mitarbeitern unterliegen dem LkSG und müssen eine Grundsatzerklärung zur Menschenrechtsstrategie veröffentlichen (§ 6 LkSG). Ab 50 Beschäftigten ist eine interne Meldestelle nach § 12 HinSchG Pflicht — beides wird typischerweise im Code of Conduct verankert.
Was ist der Unterschied zwischen einem Code of Conduct und einem Compliance-Management-System?
Der Code of Conduct ist das Regelwerk — er beschreibt, welches Verhalten erwartet wird. Das Compliance-Management-System ist die Infrastruktur dahinter: Prozesse, Kontrollen, Schulungen, Meldestellen. Ein CoC ohne CMS bleibt wirkungslos; ein CMS ohne CoC hat keine inhaltliche Grundlage.
Muss der Betriebsrat bei der Erstellung eines Code of Conduct beteiligt werden?
Ja, soweit der Kodex das Verhalten der Mitarbeiter im Betrieb regelt. Nach § 87 Abs. 1 BetrVG hat der Betriebsrat bei Ordnung und Verhalten im Betrieb ein echtes Mitbestimmungsrecht. Wer ihn übergeht, riskiert, dass der Kodex nicht rechtswirksam in Kraft tritt.
Wie lang sollte ein Code of Conduct sein?
Keine fixe Vorgabe — aber kürzer ist oft besser. Praxisbewährt sind 10 bis 30 Seiten für mittelständische Unternehmen. Wichtiger als die Länge ist die Verständlichkeit: Klare Sprache, Beispiele, keine Juristenjargon-Wüste. Was Mitarbeiter nicht verstehen, werden sie nicht anwenden.
Wer ist verantwortlich für den Code of Conduct im Unternehmen?
Die Gesamtverantwortung liegt bei der Geschäftsführung oder dem Vorstand — sie zeichnen den Kodex und haften bei Compliance-Versagen. Operativ wird die Umsetzung meist dem Compliance-Beauftragten übertragen, der Schulungen koordiniert, Fragen beantwortet und Aktualisierungen steuert.
Gilt ein Code of Conduct auch für Lieferanten und Geschäftspartner?
Ja, für Unternehmen unter dem LkSG sogar explizit gefordert: § 6 Abs. 4 LkSG verpflichtet zur vertraglichen Einbindung direkter Zulieferer in die Menschenrechtsstrategie. In der Praxis geschieht das über einen separaten Supplier Code of Conduct als Vertragsanlage.
Was passiert, wenn ein Unternehmen keinen Code of Conduct hat?
Im Worst Case: persönliche Haftung der Geschäftsführung, Bußgelder bei LkSG-Verstößen, Reputationsschäden und keine Verteidigungslinie bei Compliance-Verfahren. Fehlt eine dokumentierte Compliance-Kultur, wird das von Gerichten und Behörden als Organisationsverschulden gewertet.