
Regulatory Spotlight: Oktober 2026
Der Oktober brachte eine Reihe von Änderungen, die unauffällig, aber deutlich die Messlatte dafür anheben, was ein Compliance-Programm nachweisen muss, statt es nur zu haben. Großbritannien verlangt von Arbeitgebern jetzt, „alle“ angemessenen Maßnahmen gegen Belästigung zu ergreifen, und macht Unternehmen für jede Straftat strafrechtlich haftbar, die eine Führungskraft begeht. Deutschland plant eine Vervierfachung der Unternehmensgeldbußen und erstmals eine gesetzliche Verankerung, die besagt, dass ein wirksames Compliance-Programm bei der Bußgeldbemessung strafmildernd berücksichtig wird. Und die französische Antikorruptionsbehörde hat ihre erste Sanktion nach Sapin II verhängt: ohne Vorwarnung und mit einer persönlichen Geldbuße für den Präsidenten des Unternehmens.
Jeden Monat filtert das Regulatory Spotlight aus der täglichen Informationsflut die regulatorischen Entwicklungen heraus, die für Ethik- und Compliance-Teams besonders relevant sind. Dabei wird zwischen dringendem Handlungsbedarf und interessanten Entwicklungen unterschieden. Zudem erhalten Sie praxisnahe Handlungsempfehlungen, die Sie direkt in Ihrem Compliance-Programm umsetzen
Das waren unsere Themen im Oktober.
Großbritannien: vier wichtige arbeitsrechtliche Änderungen in diesem Monat
In diesem Update stellen wir vier der wichtigsten arbeitsrechtlichen Änderungen dieses Monats vor: den Wechsel zu „allen angemessenen Maßnahmen“ bei sexueller Belästigung, eine neue Pflicht zur Verhinderung von Belästigung durch Dritte, die Verdopplung der Klagefristen vor den Employment Tribunals und die Ausweitung der Prüfung der Arbeitserlaubnis (Right-to-Work-Checks).
01. Ein zusätzliches Wort, eine deutlich größere Pflicht: Was „alle angemessenen Maßnahmen“ bedeutet
Im Oktober 2024 verpflichtete der Worker Protection Act Arbeitgeber, angemessene Maßnahmen zur Verhinderung sexueller Belästigung zu ergreifen. Ab dem 30. Oktober 2026 ändert Section 20 des Employment Rights Act 2025 dies in alle angemessenen Maßnahmen.
Ein einziges zusätzliches Wort verändert den Maßstab. Bisher konnte ein Unternehmen auf Schulungen gegen Belästigung, eine an alle verteilte Richtlinie oder einen Meldekanal verweisen und argumentieren, es habe angemessene Maßnahmen ergriffen. Jetzt reicht es als Verteidigung nicht mehr aus, ein oder zwei dieser Maßnahmen auszuwählen. Ist eine Maßnahme angemessen, muss das Unternehmen sie auch ergriffen haben.
Was als angemessen gilt, unterscheidet sich zwischen einem Zwei-Personen-Betrieb und einem multinationalen Konzern. Für die meisten Unternehmen gehört Folgendes jedoch zum Mindeststandard, und jeder Punkt muss belegt werden können:
- Schulungen gegen Belästigung, mit Nachweis, wer sie wann absolviert hat
- Eine klar definierte Richtlinie, mit nachverfolgten Bestätigungen, dass alle Mitarbeitenden die aktuelle Version gesehen haben
- Klare Hinweise, an wen sich Mitarbeitende bei Belästigung wenden können, ebenfalls mit dokumentierten Bestätigungen
- Ein anonymer Meldekanal, über den Mitarbeitende ohne Angst vor Benachteiligung Meldungen abgeben können. Ohne einen solchen Kanal lässt sich kaum argumentieren, man habe alle angemessenen Maßnahmen ergriffen
02. Belästigung durch Dritte: Kunden, Auftragnehmer und die Öffentlichkeit
Ebenfalls ab dem 30. Oktober müssen Arbeitgeber alle angemessenen Maßnahmen ergreifen, um die Belästigung ihrer Mitarbeitenden durch Dritte zu verhindern, also durch alle Personen, die weder das Unternehmen selbst noch Kolleginnen und Kollegen sind. Dazu gehören Auftragnehmer, Kunden und Mandanten, Mitarbeitende einer Muttergesellschaft sowie die Öffentlichkeit. Die Pflicht gilt für Belästigung aufgrund aller nach dem Equality Act geschützten Merkmale, nicht nur des Geschlechts: Auch ethnische Herkunft, Behinderung, Religion, Alter und alle weiteren Merkmale sind erfasst.
Die angemessenen Maßnahmen sehen hier anders aus. Einem Kunden, der Ihre Mitarbeitenden belästigt, können Sie nicht kündigen, aber Sie können die Geschäftsbeziehung beenden. Dafür brauchen Sie eine klare Richtlinie, wann Sie das tun, und alle müssen wissen, dass es sie gibt. Darüber hinaus gilt das bekannte Muster: Schulungen, Richtlinien, Meldewege und ein System, das nachweist, dass alle sie absolviert, erhalten und bestätigt haben.
Die Sanktionen sind erheblich. Britische Arbeitsgerichte können Entschädigungen in unbegrenzter Höhe für immaterielle Schäden und finanzielle Verluste zuzüglich Zinsen zusprechen. Darüber hinaus kann die britische Gleichstellungs- und Menschenrechtskommission (Equality and Human Rights Commission) eigene Compliance-Maßnahmen anordnen. Hinzu kommen mögliche Reputationsschäden.03. Klagefristen verdoppeln sich
03. Klagefristen verdoppeln sich
Seit dem 1. Oktober 2026 gilt für die meisten Klagen vor einem Employment Tribunal eine Frist von sechs statt drei Monaten. Das betrifft ungerechtfertigte Kündigung, Diskriminierung, Belästigung, Benachteiligung von Hinweisgebern, Lohnforderungen und Vertragsverletzungen in England, Wales und Schottland (für Nordirland gilt eigenes Recht, und für Klagen wegen Vertragsverletzung in Schottland greift die Änderung am 9. November). Die neue Frist gilt für alle Vorfälle ab dem 1. Oktober sowie für Vorfälle, die an diesem Tag noch andauern.
Ein aufschlussreiches Beispiel: Ein Mitarbeiter mit dreimonatiger Kündigungsfrist, der am 1. Oktober als Hinweisgeber benachteiligt wird, könnte einen Monat später kündigen, seine Kündigungsfrist abarbeiten und sich auch nach seinem Ausscheiden noch wegen einer Klage an Acas, die britische Schlichtungsstelle, wenden.
04. Right-to-Work-Checks reichen tiefer in die Lieferkette
Der Border Security, Asylum and Immigration Act 2025 ist am 1. Oktober in Kraft getreten und erweitert den Arbeitgeberbegriff für die Prüfung der Arbeitserlaubnis. Bisher waren Prüfungen nur für Arbeitnehmer (und Auszubildende) vorgeschrieben. Section 48 des Gesetzes ergänzt drei weitere Beschäftigungsformen, und die Prüfpflicht liegt jeweils bei dem Unternehmen, das die Person einsetzt:
- Personen mit einem „worker’s contract“. Gemeint ist die arbeitsrechtliche Kategorie „worker“ im Unterschied zu „employee“: Personen, die persönlich Arbeit auf Grundlage eines Vertrags leisten, der kein Arbeitsvertrag ist. In der Praxis betrifft das Aushilfen, Beschäftigte mit Null-Stunden-Verträgen, Springerpools, Saisonkräfte und befristet Beschäftigte.
- Einzelne Subunternehmer. Eine selbstständige Einzelperson, die Arbeit, die ein Unternehmen weitervergeben hat, persönlich ausführt, muss jetzt von dem vergebenden Unternehmen geprüft werden. Ein Einzelunternehmer, der seine Kunden selbst akquiriert und direkt mit ihnen Verträge schließt, bleibt außen vor. Übernimmt er dagegen Aufträge von einem Auftragnehmer oder Vermittler, muss er geprüft werden.
- Personen, die über einen „Online-Vermittlungsdienst“ vermittelt werden. Plattformen, die gegen Gebühr Dienstleister an Kunden vermitteln, etwa Liefer-, Kurier- und Fahrdienst-Apps, müssen jetzt die vermittelten Personen prüfen. Die Plattform muss außerdem mindestens einmal innerhalb von 24 Stunden Aktivität sicherstellen, dass die Person, die den Auftrag ausführt, auch die geprüfte Person ist.
Die neuen Pflichten gelten für Beschäftigungen, die am oder nach dem 1. Oktober 2026 beginnen. Eine rückwirkende Prüfung bereits zuvor eingesetzter Personen ist nicht erforderlich (Folgeprüfungen bei befristeter Aufenthaltserlaubnis bleiben jedoch fällig). Die Prüfung muss vor dem ersten Einsatz erfolgen. Bei Verstößen drohen zivilrechtliche Geldbußen von bis zu 45.000£ pro illegal beschäftigter Person beim ersten Verstoß und 60.000£ bei einem Wiederholungsfall innerhalb von drei Jahren, dazu der Entzug der Sponsorenlizenz, die Disqualifikation von Geschäftsführern und, wenn das Unternehmen wusste oder hinreichenden Grund zu der Annahme hatte, dass die Person keine Arbeitserlaubnis besaß, eine strafrechtliche Haftung mit bis zu fünf Jahren Freiheitsstrafe und einer unbegrenzten Geldstrafe.
Die größere Änderung ist die erweiterte Haftung. Wenn Sie Arbeit an Subunternehmer vergeben, können Sie jetzt für illegale Beschäftigung bei deren Personal mit einer Geldbuße belegt werden, obwohl Sie diese Personen nie eingesetzt haben und keine direkte Beziehung zu ihnen besteht. Wird Firma A mit einer Lieferung beauftragt, ist ausgelastet und gibt den Auftrag an Firma B weiter, und hat der Fahrer von Firma B keine Arbeitserlaubnis, kann jetzt Firma A haftbar gemacht werden. Die Prüfung bleibt Aufgabe des Subunternehmers, das Risiko tragen Sie jedoch mit. Dieselbe erweiterte Haftung gilt, wenn ein Vertrag einer Person erlaubt, eine Vertretung zu schicken, sowie für Plattformen, deren Dienstleister Unternehmen statt Einzelpersonen sind.
Die gesetzlich vorgesehene Möglichkeit, sich von dieser erweiterten Haftung zu entlasten, ist an drei Voraussetzungen geknüpft. Ihr Prozess zur Steuerung von Drittparteirisiken sollte sicherstellen, dass alle drei erfüllt sind, bevor die Zusammenarbeit beginnt:Eine unterzeichnete Vereinbarung, in der sich der Subunternehmer oder Personaldienstleister zur Durchführung von Right-to-Work-Checks verpflichtet
- Eine unterzeichnete Vereinbarung, in der sich der Subunternehmer oder Personaldienstleister zur Durchführung von Right-to-Work-Checks verpflichtet
- Nachweise über das Vertretungsverfahren, die belegen, dass jede Person geprüft wird, die anstelle einer vereinbarten Arbeitskraft eingesetzt wird
- Nachweise über das Verfahren zur Identitätsprüfung, die belegen, dass die Personen, die zur Arbeit erscheinen, auch die geprüften Personen sind

Großbritannien: vom Bribery Act zum Crime and Policing Act
Die britischen Gesetze zur strafrechtlichen Unternehmenshaftung lassen sich am besten als Serie verstehen, in der jedes Gesetz die Ideen des vorherigen weiterführt. Der Bribery Act 2010 führte das „Failure to prevent“-Modell ein, also die Haftung für das Versäumnis, Straftaten zu verhindern. Der Economic Crime and Corporate Transparency Act 2023 (ECCTA), dessen Straftatbestände 2025 in Kraft traten, weitete es auf Betrug aus und führte eine direkte Haftung für Wirtschaftsstraftaten von Führungskräften ein. Neu, und der Grund, warum wir das Thema jetzt aufgreifen, ist der Crime and Policing Act 2026, der diese Haftung für Führungskräfte noch weiter ausdehnt
Versäumnis, Betrug zu verhindern (ECCTA, seit 1. September 2025)
Mit dem ECCTA wurde ein Straftatbestand für Unternehmen geschaffen, die es versäumen, Betrug durch Mitarbeitende zu verhindern. Er gilt nur für große Organisationen, also solche, die zwei von drei Kriterien erfüllen:
- Mehr als 250 Mitarbeitende
- Mehr als 36 Mio. £ Umsatz oder
- Mehr als 18 Mio. £ in Vermögenswerten
Maßgeblich ist der gesamte Konzern, sodass auch eine kleine Tochtergesellschaft eines großen Konzerns erfasst ist.
Das erfasste Verhalten ist breit gefächert: Lügen, um Aufträge zu gewinnen, das Verschweigen offenlegungspflichtiger Informationen, der Missbrauch einer Vertrauensstellung, Bilanzfälschung und Steuerbetrug. In der Praxis bedeutet das geschönte Zahlen für Investoren, Greenwashing und irreführende Verkaufsaussagen. Das Unternehmen muss von dem Betrug weder gewusst noch davon profitiert haben. Die einzige Verteidigung ist der Nachweis angemessener Verfahren .
„Angemessene Verfahren“ sind keine Richtlinie, die im Regal steht. Der Leitfaden des Home Office legt sechs Grundsätze fest, und Sie müssen nachweisen können, dass jeder davon tatsächlich gelebt wurde:
| Grundsatz | So sieht der Nachweis aus |
| Bekenntnis der Unternehmensleitung | Berichte an den Vorstand über Betrugsrisiken und -fälle |
| Risikobewertung | Bewertet und regelmäßig überprüft |
| Verhältnismäßige Verfahren | Richtlinien mit nachverfolgten Bescheinigungen |
| Sorgfaltsprüfung (Due Diligence) | Screening und Überwachung von Drittparteien |
| Kommunikation | Nachverfolgte Schulungen und ein Meldekanal, dessen Meldungen bearbeitet werden |
| Überwachung und Überprüfung | Dashboards, die zeigen, dass die Kontrollen wirken |
Die Führungskräfte-Regel: keinerlei Verteidigung
Der ECCTA macht Unternehmen jeder Größe außerdem strafrechtlich haftbar für Wirtschaftsstraftaten ihrer Führungskräfte, und hier gibt es keine Verteidigung durch angemessene Verfahren. „Wirtschaftsstraftaten“ sind die im Gesetz aufgeführten Delikte, vor allem Betrug, Bilanzfälschung, Bestechung, Geldwäsche, Sanktionsverstöße und Steuerhinterziehung. Eine Führungskraft ist, wer einen wesentlichen Teil des Geschäfts leitet oder steuert. Entscheidend ist der tatsächliche Einfluss auf das Geschäft, nicht die Berufsbezeichnung. Auch eine Regionalleitung oder eine Finanzleitung kann daher ohne Vorstandsposten als Führungskraft gelten.
Was der neue Crime and Policing Act hinzufügt
Der seit Juni 2026 geltende Crime and Policing Act weitet die Senior-Manager-Regel von Wirtschaftsstraftaten auf alle Straftaten aus, die eine Führungskraft im Rahmen seiner Tätigkeit begeht. Umweltdelikte, Verstöße gegen den Arbeitsschutz und Datenschutzverstöße durch eine Führungskraft begründen jetzt eine strafrechtliche Haftung des Unternehmens.
Da es weiterhin keine Verteidigung durch angemessene Verfahren gibt, bleiben nur Prävention und Früherkennung: Richtlinien und Kontrollen, die Fehlverhalten verhindern, bevor es geschieht, und ein Hinweisgebersystem, über das solche Vorfälle frühzeitig gemeldet werden können.
Deutschland: Vorschlag zur Vervierfachung der Geldbußen nach § 30 OWiG und endlich eine Anrechnung von Compliance
In einem Regierungsentwurf vom Mai 2026 zur Umsetzung der EU-Umweltstrafrechtsrichtlinie findet sich ein Vorschlag zur Neufassung von § 30 des Ordnungswidrigkeitengesetzes (OWiG). Der Gesetzentwurf befindet sich zwar noch in der Entwurfsphase, würde aber bei einer Verabschiedung in seiner jetzigen Form weit über Umweltstraftaten hinausgehen und auch Betrug, Bestechung, Sanktionsverstöße und Geldwäsche erfassen. Zwei der Änderungen sind für Compliance-Teams besonders wichtig.
Die Bußgeldobergrenzen würden sich vervierfachen
Die maximale Geldbuße mit Strafcharakter für vorsätzliche Verstöße würde von 10 Mio. € auf 40 Mio. € steigen, für fahrlässige Verstöße von 5 Mio. € auf 20 Mio. €. Wie bisher sollen sich die tatsächlich verhängten Geldbußen bis zur Obergrenze an Größe und Ertragskraft des Unternehmens orientieren. Mit den höheren Obergrenzen ergäbe sich eine ähnlich abschreckende Wirkung wie bei den umsatzbezogenen Geldbußen im EU-Wettbewerbsrecht (10%) und in der DSGVO (4%), ohne als Prozentsatz ausgedrückt zu sein.
Die Obergrenzen sind nur ein Teil des Bildes. Zusätzlich zur Geldbuße muss das Unternehmen jeden aus dem Verstoß erzielten Gewinn abführen, und dieser Abschöpfungsteil ist nicht gedeckelt. Er kann leicht der größere Betrag sein, sodass die Gesamtsanktion keine Obergrenze hat.
Erstmals würde deutsches Recht ein funktionierendes Programm honorieren
Als Ausgleich für die höheren Geldbußen schreibt der Entwurf erstmals im deutschen Recht fest, dass ein wirksames Compliance-Programm, eine ernsthafte interne Untersuchung und Abhilfemaßnahmen die Geldbuße eines Unternehmens mindern können. In den USA, in Großbritannien und in Frankreich gibt es diese Anrechnung bereits, in Deutschland bislang nicht.
Zwei Dinge führen zur Minderung:
- Ernsthafte Aufklärungsbemühungen. Der Entwurf definiert „ernsthaft“ nicht, daher entscheidet jede Staatsanwaltschaft selbst. Der Entwurf von 2020 nannte jedoch Unabhängigkeit, Kooperation und Offenlegung. Das spricht stark für eine interne Software für das Vorfallmanagement, die dokumentiert, wer was warum entschieden hat. Die Untersuchung muss zudem von einem unabhängigen internen Team außerhalb der Managementhierarchie geführt werden: Waren die Untersuchenden selbst in das Fehlverhalten verwickelt, gibt es überhaupt keine Minderung (Begründung zu § 30 Abs. 2a S. 3 Nr. 5, BT-Drs. 21/6133).
- Gelebte Compliance. Ein echtes Compliance-System mindert die Geldbuße, wenn es zu Fehlverhalten kommt, Standardformulierungen zählen jedoch nicht. Das Programm muss darauf ausgelegt sein, Fehlverhalten zu verhindern, tatsächlich angewendet werden und auf die realen Risiken des Unternehmens zugeschnitten sein. Ein System, das Fehlverhalten verschleiern soll, kann die Geldbuße sogar erhöhen.
Die Empfehlung für die Praxis lautet: Sorgen Sie schon jetzt für eine lückenlose Dokumentation – und warten Sie nicht, bis das Gesetz verabschiedet ist. Führen Sie einen Test durch: Simulieren Sie 48 Stunden lang eine Untersuchung und werten Sie die Lücken aus. Führen Sie außerdem Hinweise, Untersuchungen, Schulungsnachweise und Risikobewertungen in einer zentralen Lösung zusammen, damit Sie den zuständigen Behörden bei Bedarf alle erforderlichen Nachweise umgehend vorlegen können.

Frankreich: Die erste Sanktion nach Sapin II verändert die Spielregeln
Im Juli 2026 verhängte die französische Antikorruptionsbehörde (AFA) ihre ersten Sanktionen nach Sapin II (Entscheidung Nr. 25-01): 350.000 € gegen das Unternehmen bei einer Obergrenze von 1 Mio. € und 60.000 € persönlich gegen dessen Präsidenten bei einer Obergrenze von 200.000 €.
Die wichtigste Lehre: Nachträgliche Abhilfe lässt das Problem nicht mehr verschwinden. In früheren Verfahren genügte die Zusage, die Mängel zu beheben, damit das Verfahren eingestellt wurde. Hier hatte die AFA 400.000 € und 80.000 € gefordert, und die Korrekturmaßnahmen des Unternehmens führten nur zu Minderungen von 12,5% bzw. 25%. Abhilfe senkt die Geldbuße, sie hebt sie aber nicht auf.
Drei neue Präzedenzfälle
- Keine Vorwarnung erforderlich. Der Prüfbericht der AFA führte direkt zu Sanktionen, ohne dass zuvor eine Anordnung zur Behebung der Compliance-Mängel ergangen war.
- Späte Korrekturen machen den Verstoß nicht ungeschehen. Maßgeblich war der Stand zum Zeitpunkt des abschließenden Prüfberichts der AFA. Damit kehrt sich die Linie der Entscheidungen von 2020 und 2021 um, in denen späte Compliance Sanktionen abwendete.
- Führungskräfte haften persönlich. Die AFA vertrat die Auffassung, dass der Präsident sieben Jahre nach Inkrafttreten des Gesetzes seine Pflichten kennen musste.
Sieben von acht Compliance-Säulen fehlen – und wie es richtig geht
Sapin II verlangt von Unternehmen den Nachweis von acht Säulen eines Antikorruptionsprogramms. Bei der Prüfung 2024/25 konnte das Unternehmen nur eine davon belegen. Die AFA stellte fest:
- Keine Risikokartierung
- Keine Sorgfaltsprüfung von Kunden, Lieferanten oder Vermittlern
- Schwache oder fehlende buchhalterische Antikorruptionskontrollen
- Keine Schulungen für Führungskräfte und Mitarbeitende in Risikopositionen
- Kein internes Kontroll- und Bewertungssystem
- Kein Verhaltenskodex bei einer Tochtergesellschaft
- Keine Disziplinarregelung bei derselben Tochtergesellschaft
Diese Feststellungen sollten als Checkliste gelesen werden: Sie beschreiben das Programm, das die AFA erwartet.
Nach dieser Entscheidung ist klar: Unternehmen, die Sapin II unterliegen, müssen ihr Programm vor einer Prüfung in jeder Tochtergesellschaft umgesetzt und dokumentiert haben:
- Risikokartierung, stets aktuell
- Sorgfaltsprüfung von Dritten, mit aufbewahrten Unterlagen
- Schulungen für Führungskräfte und Mitarbeitende in Risikopositionen, mit Teilnahmenachweisen
- Ein Verhaltenskodex und Richtlinien, mit Bescheinigungen der Mitarbeitenden
- Ein Hinweisgebersystem mit Fallmanagement
- Berichte, die Prüfern zeigen, dass das Programm funktioniert

Der rote Faden: Nachweise statt guter Absichten
Die Entwicklungen aus drei Ländern weisen in dieselbe Richtung. Großbritannien fragt, ob Sie alle angemessenen Maßnahmen ergriffen haben und ob Sie jede einzelne belegen können. Die sechs Grundsätze des ECCTA müssen gelebt werden, nicht nur auf dem Papier stehen. Der deutsche Gesetzentwurf sieht eine Berücksichtigung bei der Bußgeldbemessung nur für tatsächlich gelebte Compliance vor – reine Standardrichtlinien reichen dafür nicht aus. Frankreich beurteilte ein Unternehmen danach, was zum Zeitpunkt des Prüfberichts vorhanden war, nicht danach, was es anschließend versprach.
In jedem Fall stellen die Aufsichtsbehörden dieselbe Frage: Können Sie heute nachweisen, dass Ihr Programm funktioniert? Schulungsnachweise, Richtlinienbescheinigungen, Unterlagen zur Sorgfaltsprüfung von Dritten, Hinweisgeberfälle und Untersuchungsunterlagen sind keine Nebensache für das Backoffice mehr. Sie sind Ihre Verteidigung.
Mehr erfahren
NAVEX bietet weitere Orientierung zur europäischen Regulierungslandschaft:
- Compliance-Vorschriften in Deutschland: Ihr umfassender Leitfaden
- Compliance-Leitfaden für Großbritannien
- Compliance-Vorschriften in Frankreich: Ihr umfassender Leitfaden
- Playbook zum Economic Crime and Corporate Transparency Act
- Britisches Whistleblowing-Recht 2026: Was der neue Schutz vor sexueller Belästigung für Arbeitgeber bedeutet
Folgen Sie unseren Blogs für regulatorische News und Updates: Im Fokus: Risiko & Compliance, Risk & Compliance Matters (Global), Alertes GRC (Frankreich). Und seien Sie im November bei der nächsten Ausgabe unseres monatlichen Regulatory Spotlight wieder dabei.


