Compliance-Reporting an GF + Vorstand: 5 KPIs + Dashboard
TL;DR
- 5 Kern-KPIs für GF-Reporting: Bußgeldrisiko-Score, Audit-Findings, Schulungs-Coverage, Vorfall-Anzahl, Reaktionszeit
- Quartals-Bericht-Vorlage 8–12 Seiten typisch
- § 38 BSIG / § 43 GmbHG: GF-Reporting hat haftungsrelevante Schutzwirkung
- Pflicht-Bestandteile: Status DSGVO/NIS2/AI Act/HinSchG/AGG + Risiko-Heatmap + Roadmap
- Re-Eval Halbjahr: KPI-Set anpassen an aktuelle Bedrohungslage
Hauptartikel: Hauptartikel: GF-Haftung Listicle — der vollständige Pillar-Artikel zum Thema.
1. KPI 1: Compliance-Risiko-Score
Aggregation aus DSGVO + NIS2 + AI Act + HinSchG + AGG. Skala 0-100. Ziel: >75. Berechnung: Pflichten erfüllt / total.
2. KPI 2: Sicherheits-Vorfälle (Trend)
Pro Quartal: Anzahl Vorfälle, Schadensvolumen, Reaktionszeit. Trend-Ampel rot/gelb/grün.
3. KPI 3: Offene Maßnahmen + Fristen
Aus Audit + DSFA + Risiko-Bewertung. Offen / In Bearbeitung / Erledigt. Verspätungs-Alarm.
4. KPI 4: Schulungs-Status
% MA mit aktueller Schulung (DSGVO, AI Literacy, Cybersecurity, Code of Conduct). Ziel: >95%.
5. KPI 5: Audit-Vorbereitung
VVT-Aktualität, AVV-Vollständigkeit, DSFA-Status, Doku-Lücken. Bewertung <30 Tagen vor Audit.
6. Quartals-Bericht-Struktur
1) Executive Summary 1 Seite. 2) KPI-Dashboard. 3) Top-Risiken + Maßnahmen. 4) Aufsichtsbehörden-Kommunikation. 5) Empfehlungen.
7. Berichtsfrequenz
Quartalsweise an Geschäftsführung/Vorstand. Monatlich internes Compliance-Officer-Review. Jährlich an Aufsichtsrat/Beirat, sofern vorhanden. Ad-hoc bei Vorfällen oberhalb definierter Schwellenwerte.
Zusammenfassung
Kernpunkte dieses Artikels:
- Compliance-Reporting ist keine Bürokratie — § 38 BSIG (NIS2-Umsetzung) und § 43 GmbHG verlangen nachweisbare, informierte Aufsicht durch die Geschäftsführung.
- Fünf KPIs reichen: Compliance-Risiko-Score, Sicherheits-Vorfälle (Trend), offene Maßnahmen, Schulungs-Status, Audit-Vorbereitung.
- Quartalsbericht in fünf Abschnitten: Executive Summary (1 Seite), KPI-Dashboard, Top-Risiken, Behörden-Kommunikation, Empfehlungen.
- Frequenz: quartalsweise an GF/Vorstand, monatlich intern, jährlich an Aufsichtsrat — bei Vorfällen ad-hoc.
Mit klarem KPI-Dashboard und konsistentem Quartalsrhythmus schaffen Sie den Beweis-Pfad, der bei Haftungsfragen und Aufsichts-Anfragen entscheidet.
Häufig gestellte Fragen
Frequenz?
Tool für Dashboard?
Quellen
- BSI-Gesetz 2025 (BSIG) § 38 (Geschäftsleitungs-Pflichten und persönliche Haftung), gesetze-im-internet.de/bsig_2025
- § 43 GmbHG (Sorgfalt und Haftung Geschäftsführer), gesetze-im-internet.de/gmbhg/__43
- § 76 AktG (Vorstandsleitung), gesetze-im-internet.de/aktg/__76
- Verordnung (EU) 2016/679 (DSGVO), Art. 24 (Verantwortung Verantwortlicher), eur-lex.europa.eu (DSGVO)
- ISO 37301:2021 (Compliance Management Systems)