Vom Start-up zum Scale-up: Ab wann FinTechs und SaaS-Gründer einen Compliance Officer brauchen (und warum Outsourcing die beste Lösung ist)

Die Series A ist unterschrieben, das Team wächst, der erste große Bankpartner steht vor der Tür. Und dann kommt im Onboarding-Fragebogen die Frage, mit der kaum ein Gründer gerechnet hat: „Wer ist Ihr Compliance Officer?“ Spätestens jetzt wird klar, dass Wachstum nicht nur Umsatz und Headcount bedeutet, sondern auch Verantwortung, Nachweise und feste Zuständigkeiten.

Der Moment, in dem ein Start-up erwachsen werden muss

In der Frühphase regeln Gründer vieles selbst: Verträge, Datenschutz, vielleicht noch die ersten KYC-Prozesse. Mit dem Wachstum ändern sich die Erwartungen von außen, und zwar meist gleichzeitig:

• Investoren prüfen in der Due Diligence, ob regulatorische Risiken erkannt und gesteuert werden. Fehlende Strukturen drücken die Bewertung oder werden zur Auflage im Beteiligungsvertrag.
• Partnerbanken und Enterprise-Kunden verlangen Richtlinien, Kontrollnachweise und eine benannte verantwortliche Person, bevor sie unterschreiben.
• Aufsichtsbehörden erwarten bei erlaubnispflichtigen Geschäftsmodellen schon im Erlaubnisantrag eine funktionierende Compliance-Organisation.
• Mitarbeitende bringen neue Pflichten mit sich, etwa zum Hinweisgeberschutz oder zum Datenschutz.

Das Problem: Die Geschäftsführung bleibt für all das persönlich verantwortlich. Nach § 43 GmbHG haften Geschäftsführer für die Sorgfalt eines ordentlichen Geschäftsmanns, und § 130 OWiG sanktioniert fehlende Aufsichtsmaßnahmen im Unternehmen. „Wir sind doch nur ein Start-up“ ist dabei kein Argument.

Ab wann ein Compliance Officer Pflicht oder dringend geboten ist

Regulierte FinTechs: ab Tag eins. Wer als Zahlungsinstitut, E-Geld-Institut, Kredit- oder Finanzdienstleistungsinstitut tätig ist, gehört zu den Verpflichteten nach dem Geldwäschegesetz. Nach § 7 GwG müssen diese Unternehmen einen Geldwäschebeauftragten auf Führungsebene und einen Stellvertreter bestellen, die Bestellung vorab der Aufsicht anzeigen und sicherstellen, dass der Beauftragte seine Tätigkeit im Inland ausübt. Hinzu kommen die Anforderungen an eine ordnungsgemäße Geschäftsorganisation, etwa nach § 25a KWG oder § 27 ZAG, mit wirksamen Compliance- und Kontrollstrukturen.

SaaS-Anbieter für Banken und Versicherer: sobald der erste Finanzkunde kommt. Seit Januar 2025 gilt der Digital Operational Resilience Act (DORA). Finanzunternehmen müssen ihre IKT-Dienstleister vertraglich auf Sicherheits-, Prüf- und Informationspflichten verpflichten. Für ein SaaS-Unternehmen heißt das: Ohne klare Zuständigkeit für Richtlinien, Nachweise und Kundenaudits wird jede Vertragsverhandlung zur Zerreißprobe.

Wachstumsschwellen, die Gründer im Blick haben sollten:

• Ab 20 Personen, die ständig personenbezogene Daten automatisiert verarbeiten, ist ein Datenschutzbeauftragter zu benennen (§ 38 BDSG).
• Interne Meldestelle nach dem Hinweisgeberschutzgesetz: Grundsätzlich ab 50 Beschäftigten (§ 12 Abs. 2 HinSchG). Für BaFin-regulierte Unternehmen wie Kredit-, Finanzdienstleistungs-, Wertpapier-, Zahlungs- und E-Geld-Institute, Kapitalverwaltungsgesellschaften, Versicherer und Kryptowerte-Dienstleister gilt die Pflicht nach § 12 Abs. 3 HinSchG unabhängig von der Zahl der Beschäftigten, also bereits ab dem ersten Mitarbeitenden.
• Ab 50 Beschäftigten oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme können Anbieter digitaler Dienste oder IKT-Dienstleister unter das NIS-2-Umsetzungsgesetz fallen, das seit dem 6. Dezember 2025 in Kraft ist. Betroffene Unternehmen müssen sich beim BSI registrieren und Risikomanagement-Maßnahmen umsetzen.

Nicht jede dieser Pflichten verlangt formal einen „Compliance Officer“. In der Praxis braucht es aber genau eine Stelle, die die Fäden zusammenhält: Pflichten erkennen, Prozesse aufsetzen, Mitarbeitende schulen, Nachweise führen und der Geschäftsführung berichten.

Inhouse oder extern? Die ehrliche Rechnung

Ein erfahrener Compliance Officer ist am Markt knapp und teuer. Für ein Unternehmen mit 30 oder 80 Mitarbeitenden ist eine Vollzeitstelle häufig weder ausgelastet noch finanzierbar, und eine einzelne Person deckt selten Geldwäsche, Datenschutz, DORA und Aufsichtsrecht gleichermaßen ab. Fällt sie aus oder kündigt, steht das Unternehmen ohne Wissen und ohne gesetzlich geforderte Vertretung da.

• Sofort einsatzfähig: Externe Spezialisten bringen erprobte Richtlinien, Prüfroutinen und Aufsichtserfahrung mit, statt bei null zu beginnen.
• Skalierbar: Der Leistungsumfang wächst mit dem Unternehmen, vom Erlaubnisantrag bis zum laufenden Betrieb.
• Vertretung inklusive: Ein Team sichert Urlaub, Krankheit und Spitzenlasten ab, ohne zusätzliche Stelle.
• Unabhängiger Blick: Ein externer Compliance Officer ist nicht Teil des operativen Drucks und kann unbequeme Punkte früher ansprechen.
• Planbare Kosten: Statt Recruiting, Einarbeitung und Fluktuation fällt ein vereinbartes Mandat an.

Wichtig ist dabei: Die Auslagerung ist rechtlich zulässig, aber an Bedingungen geknüpft. Interne Sicherungsmaßnahmen dürfen nach § 6 Abs. 7 GwG nach vorheriger Anzeige bei der Aufsicht durch Dritte durchgeführt werden, und für Institute gelten zusätzlich die Auslagerungsregeln des KWG oder ZAG. Die Verantwortung der Geschäftsleitung bleibt immer im Haus. Wer den Compliance Officer auslagern möchte, sollte deshalb auf einen klar definierten Leistungsumfang, Informations- und Prüfrechte, regelmäßiges Reporting an die Geschäftsführung und eine geregelte Exit-Strategie achten.

Was sich ab 2027 ändert

Für FinTechs im Geldwäschebereich steht die nächste Umstellung bereits fest. Ab dem 10. Juli 2027 gilt die EU-Geldwäscheverordnung (AMLR) unmittelbar. Sie unterscheidet zwischen einem Compliance Manager aus der Geschäftsleitung und einem Compliance Officer für das operative Geschäft (Art. 11 AMLR). Das deutsche Geldwäschegesetz soll zum selben Datum durch das neue Geldwäschebekämpfungsgesetz ersetzt werden, das derzeit als Referentenentwurf vorliegt. Danach könnten die Pflicht zur Inlandstätigkeit und die gesetzliche Stellvertreterpflicht entfallen, was externe Modelle zusätzlich erleichtern würde. Gründer sollten ihre Governance schon jetzt auf diese Rollenverteilung ausrichten.

Checkliste für Gründer

• Geschäftsmodell prüfen: Ist eine BaFin-Erlaubnis nötig oder wird sie es mit dem nächsten Produkt?
• Kunden prüfen: Gehören Banken, Versicherer oder Zahlungsdienstleister zu den Zielkunden?
• Schwellen prüfen: Wie entwickeln sich Mitarbeiterzahl, Umsatz und Datenverarbeitung in den nächsten zwölf Monaten?
• Zuständigkeit festlegen: Wer berichtet der Geschäftsführung über Compliance-Risiken, intern oder extern?
• Nachweise aufbauen: Richtlinien, Schulungen und Kontrollen so dokumentieren, dass sie einer Due Diligence oder Prüfung standhalten.

Fazit

Compliance ist für wachsende FinTechs und SaaS-Unternehmen keine Bremse, sondern eine Voraussetzung für Bankpartnerschaften, Enterprise-Verträge und die nächste Finanzierungsrunde. Wer früh eine klare Zuständigkeit schafft, gewinnt Zeit und Verhandlungsstärke. Für die meisten Scale-ups ist ein externer Compliance Officer der schnellste und wirtschaftlichste Weg dorthin, solange die Geschäftsführung die Steuerung in der Hand behält.