Formulierung lässt sich auch hieraus keine Analogie für Emittenten herleiten, da weder eine planwidrige Regelungslücke vorliegt, noch eine vergleichbare Situation. Die genannten Pflichten sollen ein ordnungsgemäßes Funktionieren des Finanzdienstleistungsinstitutes in seinem Umfeld gewährleisten. Der Schwerpunkt liegt im Verhältnis Kunde/Institut und ist im Wesentlichen transaktionsbezogen.[99]
100
Auch das Geldwäschegesetz von 2017 (GwG) legt den ihm unterfallenden Unternehmen umfangreichen Organisations-, Sorgfalts-, Melde- und Dokumentationspflichten in den Abschn. 2-5 auf. So müssen gewisse Unternehmen nach § 7 GwG einen Geldwäschebeauftragten bestimmen, der auch intern mit den entsprechenden Befugnissen und Zugängen zu versehen ist, die Zuverlässigkeit der Beschäftigten prüfen, diese schulen sowie entsprechende IT-Systeme und Kontrollen vorhalten soll, die der Verhinderung der Geldwäsche und Terrorismusfinanzierung dienen. Ferner sieht § 43 GwG eine Meldepflicht vor. Die Normen des GwG richten sich an die in § 2 GwG genannten Verpflichteten und damit gem. §§ 2 Abs. 1 Nr. 16 i.V.m. 1 Abs. 9 GwG auch an Handels- und Produktionsunternehmen (Güterhändler), die gleichermaßen dafür Sorge zu tragen haben, dass mit deren Geschäfts- und Geldtransaktionen nicht illegales Geld in den regulären Wirtschaftskreislauf eingeschleust wird oder Geld in terroristische Kanäle fließt.[100] Diese Definition liefert jedoch auch schon die Einschränkung des Regelungsbereiches durch den Transaktionsbezug, so dass es für eine mögliche Analogie im Hinblick auf die Schaffung einer Compliance-Funktion bei Emittenten in Bezug auf Informations-, Veröffentlichungs- und Mitteilungspflichten schon an einer Vergleichbarkeit der Situation fehlt. Regelungsziel des GwG ist, anders als bei den Publizitätspflichten, nicht das Wohlverhalten des Unternehmens am Markt und der Schutz der Anleger, sondern den Strafverfolgungsbehörden mit Hilfe der Inpflichtnahme des Unternehmens einen schnelleren Zugriff auf strafrechtlich relevante Transaktionsdaten zu ermöglichen.[101] Daran wird sich auch durch die bereits beschlossenen Änderungen des Geldwäschegesetzes nichts ändern.
101
Schließlich stellt sich die Frage, ob § 130 Abs. 1 OWiG die Pflicht der Einrichtung einer Compliance-Funktion begründet. Nach § 130 Abs. 1 OWiG liegt eine Ordnungswidrigkeit vor, wenn der Inhaber eines Betriebs oder Unternehmens vorsätzlich oder fahrlässig erforderliche Aufsichtsmaßnahmen unterlässt und es hierdurch zu einer betriebsbezogenen Zuwiderhandlung gekommen ist. Adressat ist der Betriebsinhaber, bei Aktiengesellschaften nach § 9 Abs. 1 Nr. 3 OWiG in erster Linie der Vorstand gem. § 78 Abs. 1 AktG. Betriebsbezogen sind in erster Linie solche Pflichten, die den Inhaber des Betriebs als solchen treffen und straf- oder bußgeldbewehrt sind. Dazu zählen auch die den Emittenten treffenden Pflichten aus Art. 17 ff. MAR. Diese sind in § 120 WpHG bußgeldbewehrt und richten sich ausdrücklich an den Emittenten. Als erforderliche Maßnahmen sieht das Gesetz in § 130 Abs. 1 S. 2 OWiG die „Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen“ an, wobei diese Aufzählung nicht abschließend ist. Das Pflichtenspektrum umfasst Leitungs-, Koordinations-, Organisations- und Kontrollpflichten. Die Ausgestaltung im Einzelnen richtet sich nach den Parametern des Betriebs, wie z.B. Größe, geschäftliches und regulatorisches Umfeld, Struktur etc. Fraglich ist, ob § 130 OWiG Vorgaben im Hinblick auf die Etablierung einer Compliance-Funktion machen kann und machen will. Der Rechtsnatur nach ist § 130 OWiG eine Sanktionsnorm, die gesetzliche Vertreter im Fall der fehlenden bzw. mangelnden Aufsicht bei sanktionierbaren Zuwiderhandlungen von Mitarbeitern in die Pflicht nimmt. § 130 OWiG stellt damit die strafrechtliche Absicherung eines ohnehin bestehenden zivilrechtlichen Pflichtenprogramms dar. Eine vorhandene und gelebte Compliance-Funktion vermag hingegen den Vorwurf einer Aufsichtspflichtverletzung zu entkräften und damit die Sanktion nicht nur vom einzelnen Vorstandsmitglied, sondern wegen § 30 OWiG auch vom Unternehmen und damit vom Emittenten abzuwenden.[102]
2. Teil Emittenten-Compliance › 2. Kapitel Aufbau einer kapitalmarktbezogenen Compliance-Organisation bei Emittenten › XII. Zusammenfassung
XII. Zusammenfassung
102
Zusammenfassend ist festzustellen, dass Emittenten-Compliance den Organen der Gesellschaft erhebliche Organisationspflichten auferlegt. Organisiert und etabliert werden müssen Informationserfassungs- und Meldesysteme, um den gesetzlich normierten und damit der Legalitätspflicht der Organe unterliegenden Informations-, Mitteilungs- und Veröffentlichungspflichten gerecht zu werden. Intern muss daher durch entsprechende Vorgaben und Kontrollen sichergestellt werden, dass die Informationen inhaltlich zutreffend erfasst, richtig klassifiziert und korrekt kommuniziert werden, damit das Unternehmen diesen Pflichten adäquat nachkommen kann. Ferner müssen interne Zugangsbeschränkungen und flankierende Maßnahmen der Informations- und Datensicherheit etabliert werden, um Vertraulichkeit zu gewährleisten und den Zugriff Unbefugter auf sensible Informationen zu verhindern.
103
Nicht erforderlich ist dafür – zumindest bei Emittenten außerhalb des Finanzmarktes, die bereits über eine entsprechende Regelorganisation verfügen, – eine eigene Compliance-Abteilung, die sich nur mit dem Thema Emittenten-Compliance beschäftigt. Aufgrund der möglichen Vielzahl betroffener Unternehmensbereiche und der sehr komplexen und speziellen Materie würde dies möglicherweise einen Aufwand erfordern, der erfahrungsgemäß einer eher geringen Anzahl von tatsächlichen Rechtsverstößen auf diesem Gebiet gegenübersteht. Dies würde auch den Rahmen einer gebotenen Prävention sprengen. Es ist daher durchaus sinnvoll, die Verantwortung für die Handhabung der kritischen unternehmens- und kursrelevanten Information einschließlich der zu generierenden Meldungen den Stabsabteilungen zuzuordnen, die naturgemäß auch den Zugang zu diesen und diese flankierenden Informationen sowie das entsprechende Fachwissen haben, beispielsweise für Directors' Dealings die für die Organmitglieder zuständige HR-Abteilung oder bei Investor Relations.[103] Ähnliches gilt für das Insiderverzeichnis. Allerdings empfiehlt es sich, dieses zentral und elektronisch zu führen, um im Fall einer Anfrage der BaFin die entsprechenden Auswertungen fahren zu können und auch den gesetzlich vorgeschriebenen Aktualisierungs- und Löschpflichten nachkommen zu können. Rechtsänderungen sollten von einer hierfür zuständigen Rechtsabteilung erfasst werden, die, will der Vorstand insoweit seiner Leitungsfunktion nachkommen, auch die entsprechende Kompetenz intern vorhalten oder sich durch externen Rat regelmäßig davon überzeugen muss, dass die vorhandenen Systeme noch ausreichend sind. Notwendige Veränderungen sollten zügig implementiert und mit Hilfe eines entsprechenden Risikomanagements und anlasslosen Prüfungen, etwa durch die interne Revision, auch regelmäßig auf ihre Funktionsfähigkeit überprüft werden. Hierzu gehört auch das Erkennen der Notwendigkeit von Schulungen und deren Durchführung, Maßnahmen der Informationssicherheit und deren Anpassung sowie gegebenenfalls die Erörterung und Implementierung von Anpassungen der Arbeits- und Dienstverträge. Wichtig ist auch eine klare Botschaft des Managements beispielsweise durch entsprechende Regelungen im Code of Conduct oder Code of Ethics, insbesondere zum Thema Insiderhandelsverbot. Diese erreichen alle Mitarbeiter und damit auch mögliche Sekundärinsider. Die Verantwortung für Meldungen nach außen ist regelmäßig – sofern nicht ein Offenlegungskommitee etabliert ist – bei der jeweiligen Presse- oder Investor-Relations-Abteilung angesiedelt, wobei hier, wie oben dargestellt, wichtig ist, dass durch entsprechende Prozesse sichergestellt wird, dass diese Abteilungen die benötigten Informationen unverzüglich und mit korrektem Inhalt erhalten, um ihren Pflichten nachkommen zu können. Wegen möglicher rechtlicher Vorfragen empfiehlt es sich, in diese Entscheidungsfindung die Rechts- und/oder Compliance-Abteilung mit einzubinden. Aufgabe der bestehenden „klassischen“ Compliance-Funktion in diesem Kontext sollte es sein, zum Einen in der Schulungstätigkeit zu unterstützen und bei der Implementierung beratend zu Seite zu stehen. Ferner sollten Meldungen über mögliche Verstöße aufgedeckt und diese gegebenenfalls in Zusammenarbeit mit den genannten Fachabteilungen und/oder externen Beratern untersucht werden. Die Erkenntnisse sind dem Management zuzuleiten, damit dies zum einen eventuell notwendige disziplinarische Maßnahmen treffen kann aber auch entsprechende Folgerungen für das Risikomanagement ziehen kann. Da Compliance Officer im operativen Umfeld regelmäßig in M&A-Projekte oder auch in die Akquisition