LOHN+GEHALT Ausgabe 5/2026 SPECIAL OUTSOURCING 57 Vereinbarung von regelmäßigen Routinen, etwa quartalsweisen und Ad-hoc-Berichtspflichten. Außerdem sollte geregelt werden, was der Dienstleister zu dokumentieren, zu erklären, geheimzuhalten und an Informationen zu sichern hat. Einen zusätzlichen Schutz bietet die Rege- lung von Haftungsfragen, allen voran die Frage, ob der externe Dienstleister in die Vermögensschadenshaftpflicht- versicherung des Unternehmens ein- bezogen werden kann. Beim Thema Datenschutz und Datensicherheit ist es wichtig, darauf zu achten, dass auch das Unternehmen selbst stets Zugriff auf alle Daten hat. Wer sollte den Vertrag entwerfen? Das Unternehmen kann den Dienst- leister darum bitten, einen Entwurf aufzusetzen, was Kosten sparen kann, oder auch eine externe weitere Kanz- lei damit beauftragen, wenn es keine interne Rechtsabteilung gibt. Wie muss die Überwachung im laufenden Geschäft gestaltet sein? Zunächst einmal ganz simpel in der Form, dass die Geschäftsführung die Berichte des externen Dienstleisters regelmäßig zur Kenntnis nimmt und sich über besondere Entwicklungen in m o c . e b o d a . k c o t s / r e m m u s _ t u o b a _ g n o S : d l i B kürzeren Abständen berichten lässt. Außerdem empfehle ich einen persön- lichen Termin pro Jahr, zusätzlich zu einem quartalsweisen Austausch, der grundsätzlich schriftlich dokumen- tiert werden sollte. Bei diesem per- sönlichen Termin geht es idealerweise auch um Empfehlungen, wie sich die Prozesse und Verfahren verbessern lassen. Sie haben vorhin schon einmal er- wähnt, dass es wichtig ist, zu klären, wo die Pflichten des externen Dienst- leisters enden und die internen Auf- gaben beginnen. Können Sie generell etwas zu Schnittstellen ins Unterneh- men sagen? Der Compliance-Dienstleister kann seine Funktion nur wahrnehmen, wenn er umfassend informiert wird. Je nach Struktur des Unternehmens ist zu klären, wer sein Hauptansprech- partner ist. Verfügt das Unterneh- men über einen Aufsichtsrat, sollte erwogen werden, ob der Compli- ance-Dienstleister sich im Fall eines Interessenkonflikts auf Ebene der Ge- schäftsführung direkt an den Auf- sichtsratsvorsitzenden wenden darf. Welche Probleme treten denn in der Praxis oftmals auf? Hauptschwierigkeit ist, die Kommuni- kation nicht nur zur Geschäftsleitung, sondern laufend auch zu den anderen relevanten Stellen im Unternehmen sicherzustellen. Verantwortlich ist dafür die Geschäftsführung aufgrund ihrer Organisationspflicht. Welche Nachweise zur Cybersicher- heit müssen Unternehmen etwa im Zuge des NIS-2-Umsetzungsgesetzes von einem Dienstleister fordern, wenn dieser Zugriff auf hochsensible Unternehmensdaten hat? NIS-2 und auch das BSI-Gesetz verlan- gen verbindliche Risikomaßnahmen, die zum Teil auf einen externen Com- pliance-Beauftragten ausgelagert wer- den können. Wichtig ist, die gesetzlich geforderten Auditrechte, Meldepflich- ten, aber auch bestimmte Zertifizie- rungen, die der Dienstleister haben muss, zu verankern. Handelt es sich um ein Unternehmen der kritischen Infrastruktur, sollte zwingend geprüft und auch vertraglich festgehalten werden, wer welche Aufgaben zur Ab- deckung von Risiken übernimmt. Lassen Sie uns noch einmal auf die Payroll im Speziellen schauen, welche Risiken machen Sie hier aus, die Com- pliance-relevant sind? Ein wichtiges Stichwort ist das Thema „Scheinselbstständigkeit“. Es sind Vorkehrungen zu treffen, damit die Beschäftigung des externen Dienst- leisters, sei sie kurz-, mittel- oder langfristig geplant, nicht als sozialver- sicherungspflichtige Tätigkeit qualifi- ziert wird. Vielen Dank für das Gespräch. ■ Das Interview führte Alexandra Buba, M. A., Wirtschaftsredakteurin Rechtsanwalt Patrick Späth, LL.M. (London) ist Partner der Sozietät HWCL Compliance & Legal in Berlin (https://hwcl.de). Seine Beratungs- schwerpunkte sind Compliance- und Corporate-Governance-Themen sowie die Regulierung im Bereich Environmental Social Governance (ESG). Er führt interne Untersuchun- gen zur Aufklärung von Fehlverhal- ten sowie Due-Diligence-Prüfungen durch und bewertet Compliance- Management-Systeme. Er ver- tritt Unternehmen gerichtlich, außergerichtlich und vor Schieds- gerichten bei der Abwehr und Gel- tendmachung von Ansprüchen im Zusammenhang mit Compliance- Verstößen.