Due Diligence: Wann Unternehmen Geschäftspartner prüfen müssen
Inhalt
- Wann ist eine Due Diligence für Geschäftspartner in der Schweiz zwingend erforderlich?
- Warum das Verhalten Dritter zum eigenen Problem werden kann
- Der Ausgangspunkt: Dritte bleiben grundsätzlich selbst verantwortlich
- Drei Gründe für eine Prüfung
- Zuerst die Rolle des Dritten bestimmen
- Risikobasiert statt flächendeckend
- Was konkret geprüft wird
- Vom Prüfergebnis zum Vertrag
- Dokumentation und Verantwortung
- Fazit
- FAQ: Due Diligence
KURZ ZUSAMMENGEFASST
Eine Due Diligence ist in der Schweiz keine pauschale Pflicht für alle Geschäftspartner, sondern setzt einen funktionalen Bezug, ein konkretes Risiko oder eine spezielle gesetzliche Vorgabe voraus. Unternehmen haften nicht automatisch für das Fehlverhalten Dritter, wohl aber dann, wenn sie Warnsignale bei der Auswahl oder Kontrolle ignorieren oder keine angemessenen organisatorischen Vorkehren nach Art. 102 StGB treffen. Der Schlüssel liegt in einer risikobasierten Unterscheidung zwischen gewöhnlichen Lieferanten, kritischen Vermittlern und gesetzlich regulierten Geschäften.
Die wichtigsten Punkte:
- Due Diligence ist risikobasiert: Nicht jeder Lieferant muss umfassend geprüft werden.
- Art. 102 StGB verlangt organisatorische Vorkehren nur bei funktionalem Bezug oder Katalogdelikten.
- Drei Auslöser für eine Prüfung: Funktionale Rolle, Spezialgesetze oder eigenes Geschäftsrisiko.
- Dokumentation ist entscheidend: Der Grund für die Prüfung und der Entscheid müssen nachvollziehbar sein.
- Verhältnismässigkeit: Der Aufwand muss zum Risiko des konkreten Geschäfts passen.
David Schneeberger
Dr. David Schneeberger, Rechtsanwalt, M.A. HSG in Law & Economics
David Schneeberger schloss sein Studium der Rechts- und Wirtschaftswissenschaften an der Universität St. Gallen im Jahr 2013 ab. Nach dem absolvierten Anwaltspraktikum erwarb er das Anwaltspatent im Jahr 2016. Anschliessend arbeitete er in einer renommierten Wirtschaftskanzlei in Zürich. In den Jahren 2016 bis 2019 promovierte er zum Aktienrecht und baute von 2016 bis 2018 ein Unternehmen zur digitalen Kundenvermittlung auf. Ab 2018 wechselte er in die Justiz, wo er zuerst als Gerichtsschreiber und alsdann als wissenschaftlicher Mitarbeiter bzw. Leiter Stab arbeitete. Hierbei verantwortete er die grossen Digitalisierungsinitiativen. Von 2023 bis 2025 war er als Generalsekretär an der Universität St. Gallen tätig. Heute arbeitet er als Rechtsanwalt mit Fokus auf KI, Datenschutz und digitale Geschäftsmodelle. Er unterstützt KMU, Behörden und Rechtsdienste bei der Umsetzung dieser Themen durch Schulungen, Referate und Beratungsleistungen. Er verfügt über einen CAS «Change Management und Projekt Leadership», einen CAS «Legal Tech» sowie einen CAS «Datenschutz». Er hat einen Lehrauftrag an der HSG und publiziert zu verschiedenen Fachthemen rund um Recht und Digitalisierung.
Passende Arbeitshilfen
Wann ist eine Due Diligence für Geschäftspartner in der Schweiz zwingend erforderlich?
Warum das Verhalten Dritter zum eigenen Problem werden kann
Ein Vertriebspartner zahlt Schmiergeld, um einen Auftrag zu gewinnen. Ein Zulieferer verletzt gesetzliche Vorgaben zur Kinderarbeit. Ein Vermittler nutzt Zahlungswege, die auf Geldwäscherei hindeuten. In allen drei Fällen handelt ein Dritter. Trotzdem kann das Unternehmen selbst rechtliche Folgen, wirtschaftliche Schäden oder einen Reputationsverlust erleiden.
Eine pauschale Haftung für Geschäftspartner gibt es nicht. Das Risiko steigt aber, wenn der Dritte für das Unternehmen oder in dessen Interesse handelt, wenn das Gesetz besondere Sorgfaltspflichten vorsieht oder wenn erkennbare Warnsignale ignoriert werden. Auswahl, Instruktion, vertragliche Absicherung und angemessene Überwachung bilden deshalb ein zusammenhängendes System.
Art. 102 StGB kennt zwei Formen der Unternehmensstrafbarkeit. Nach Absatz 1 kann ein Unternehmen belangt werden, wenn ein Verbrechen oder Vergehen im Rahmen seiner Geschäftstätigkeit wegen mangelhafter Organisation keiner natürlichen Person zugerechnet werden kann. Bei bestimmten Katalogtaten, darunter Geldwäscherei und Bestechung, haftet das Unternehmen nach Absatz 2 unabhängig von der Strafbarkeit einer natürlichen Person, wenn die erforderlichen und zumutbaren organisatorischen Vorkehren fehlen. Hinzu kommen sektorspezifische Pflichten sowie die Regeln nach Art. 964j bis 964l OR zu Konfliktmineralien und Kinderarbeit.
Auch ausländisches Recht kann relevant werden. Der US Foreign Corrupt Practices Act erfasst bestimmte US-Personen und Emittenten sowie ausländische Akteure bei einem hinreichenden US-Bezug. Der UK Bribery Act kann relevante kommerzielle Organisationen erfassen, wenn eine verbundene Person besticht; angemessene Präventionsverfahren bilden eine Verteidigung. Ein Schweizer KMU fällt nicht allein wegen eines Auslandgeschäfts unter diese Erlasse. Der konkrete Bezug muss geprüft werden.
Achtung: Der Denkfehler lautet: «Was der Partner tut, ist allein seine Sache.» Das Verhalten eines Dritten wird dem Unternehmen nicht automatisch zugerechnet. Wer aber eine Person für eigene Geschäfte einsetzt und erkennbare Risiken bei Auswahl, Instruktion oder Kontrolle ignoriert, kann eigene Pflichten verletzen und eigene Haftungs- oder Strafbarkeitsrisiken schaffen.
Passende Produkt-Empfehlungen
Der Ausgangspunkt: Dritte bleiben grundsätzlich selbst verantwortlich
Ein Zulieferer, Vertriebspartner oder Berater ist ein rechtlich selbstständiges Unternehmen. Begeht er in seinem eigenen Betrieb eine Straftat oder verletzt er arbeitsrechtliche, umweltrechtliche oder andere Vorgaben, haftet dafür zunächst er selbst. Die blosse Geschäftsbeziehung führt nicht dazu, dass sein Verhalten dem Kunden oder Auftraggeber zugerechnet wird.
Auch Art. 102 StGB schafft keine allgemeine Haftung für fremdes Fehlverhalten. Die Bestimmung setzt eine Straftat voraus, die in einem Unternehmen, in Ausübung einer geschäftlichen Verrichtung und im Rahmen des Unternehmenszwecks begangen wird. Bei bestimmten Delikten wie Bestechung oder Geldwäscherei kann das Unternehmen zusätzlich bestraft werden, wenn es nicht alle erforderlichen und zumutbaren organisatorischen Vorkehren getroffen hat, um die Tat zu verhindern.
Entscheidend ist damit der funktionale Bezug. Handelt eine Person aufgrund ihrer Aufgabe für das Unternehmen, kann ihre Tat dem Tätigkeitsbereich des Unternehmens zugeordnet sein. Das betrifft nicht nur Angestellte. Auch selbstständige Vermittler, Handelsagenten oder ausgelagerte Stellen können erfasst sein, wenn sie für das Unternehmen Geschäfte anbahnen, Zahlungen abwickeln oder gegenüber Behörden auftreten. Ein gewöhnlicher Lieferant, der im eigenen Namen seine eigene Leistung erbringt, fällt nicht schon deshalb in diesen Kreis.
Achtung: Aus Art. 102 StGB folgt keine pauschale Pflicht, jeden Lieferanten auf Sanktionen, politisch exponierte Personen, Medienberichte und wirtschaftlich Berechtigte zu prüfen. Zuerst ist zu klären, ob der Dritte funktional für das Unternehmen handelt und welches konkrete Risiko oder Spezialgesetz eine Prüfung verlangt.
Drei Gründe für eine Prüfung
Die Frage lautet deshalb nicht: «Müssen wir alle Dritten prüfen?» Sie lautet: «Warum müssen oder wollen wir diesen Dritten in diesem Geschäft prüfen?» In der Praxis gibt es drei verschiedene Begründungen. Sie dürfen nicht vermischt werden.
1. Der Dritte handelt funktional für das Unternehmen
Besonders relevant sind Vermittler, Vertriebsagenten, Berater mit Behördenkontakt und andere Personen, die im Namen oder im Interesse des Unternehmens auftreten. Hier kann eine Integritätsprüfung Teil der erforderlichen Korruptionsprävention sein. Je stärker der Dritte in die Geschäftstätigkeit eingebunden ist und je grösser sein Handlungsspielraum ausfällt, desto höher ist das Organisationsrisiko.
2. Ein Spezialgesetz erfasst das Geschäft
Sanktionsrecht, Exportkontrolle, Geldwäschereirecht oder die Regeln zu Konfliktmineralien und Kinderarbeit können eigene Prüf- und Sorgfaltspflichten auslösen. Diese Pflichten hängen vom Anwendungsbereich der jeweiligen Regelung ab. Ein Sanktionsabgleich ist zum Beispiel dort angezeigt, wo beteiligte Personen, Länder, Güter, Zahlungswege oder Endverwendungen von schweizerischen Sanktionsmassnahmen betroffen sein könnten. Daraus folgt keine identische Prüfung für jede inländische Standardbestellung.
3. Das Unternehmen schützt sich vor Geschäftsrisiken
Viele Prüfungen beruhen nicht auf einer direkten gesetzlichen Pflicht, sondern auf vernünftiger Unternehmensführung. Bonität, fachliche Eignung, Eigentümerstruktur, Interessenkonflikte und Ruf des Partners können für die Entscheidung wichtig sein. Diese Prüfung schützt vor Zahlungsausfällen, Abhängigkeiten, Betrug und Reputationsschäden. Sie ist wirtschaftlich sinnvoll, darf aber nicht als zwingende Vorgabe von Art. 102 StGB verkauft werden.
Zuerst die Rolle des Dritten bestimmen
Die richtige Prüfungstiefe lässt sich erst bestimmen, wenn die Rolle des Partners klar ist. Ein Hersteller von Standardteilen, ein externer IT-Betreiber und ein provisionsbasierter Vermittler sind rechtlich und praktisch nicht dasselbe. Wer alle drei gleich behandelt, produziert entweder unnötige Bürokratie oder übersieht das eigentliche Risiko.
Für die Einordnung helfen fünf Fragen: Tritt der Dritte gegenüber Kunden, Behörden oder anderen Stellen für das Unternehmen auf? Darf er Verträge anbahnen, Preise verhandeln oder Zahlungen veranlassen? Besteht Kontakt zu Amtsträgern? Erhält er eine erfolgsabhängige Vergütung? Übernimmt er eine Funktion, die sonst intern ausgeübt würde? Je mehr Fragen mit Ja beantwortet werden, desto eher braucht es eine vertiefte Integritätsprüfung.
Praxis-Tipp: Beginnen Sie nicht mit einer langen Checkliste. Ordnen Sie zuerst die Beziehung ein: gewöhnlicher Lieferant, kritischer Dienstleister, Vermittler oder gesetzlich reguliertes Geschäft. Erst danach wählen Sie die Prüfhandlungen. Diese Reihenfolge spart Aufwand und verhindert Scheinsicherheit.
Risikobasiert statt flächendeckend
Eine wirksame Due Diligence verteilt den Aufwand nach Risiko. Eine kleine Bestellung bei einem bekannten Schweizer Büromaterialhändler braucht keine Abklärung der gesamten Eigentümerkette und keine Medienanalyse. Anders liegt der Fall bei einem lokalen Agenten, der in einem korruptionsgefährdeten Markt öffentliche Aufträge vermitteln soll und dafür eine hohe Provision verlangt.
Für KMU genügt oft ein dreistufiges Modell. Bei tiefem Risiko werden Identität, Vertretungsbefugnis und die Plausibilität des Geschäfts geprüft. Bei mittlerem Risiko kommen Referenzen, Eigentums- und Kontrollverhältnisse, Zahlungswege und mögliche Interessenkonflikte hinzu. Bei hohem Risiko braucht es vertiefte Recherchen, eine unabhängige Freigabe und konkrete Massnahmen zur Risikobegrenzung. Ein Sanktionsabgleich gehört in jede Stufe, in der das konkrete Geschäft einen relevanten Länder-, Personen-, Güter- oder Endverwendungsbezug aufweist. Eine PEP-Prüfung ist dagegen vor allem bei Behördennähe und Korruptionsrisiken sinnvoll.
Wichtig ist, dass das Modell nicht nur den Partner, sondern die gesamte Beziehung bewertet. Dasselbe Unternehmen kann bei einer gewöhnlichen Warenlieferung ein tiefes Risiko darstellen und bei einer Vermittlung mit Behördenkontakt ein hohes. Die Risikoklasse ist deshalb keine dauerhafte Eigenschaft des Partners.
Checkliste
- Rolle des Dritten bestimmen: Tritt er im Namen des Unternehmens auf oder handelt er eigenständig?
- Rechtliche Auslöser prüfen: Greifen Sanktionen, Exportkontrolle oder Konfliktmineralien-Regeln?
- Risikoklasse zuordnen: Tiefes, mittleres oder hohes Risiko basierend auf Land, Branche und Funktion.
- Identität und Vertretung verifizieren: Wer darf den Partner rechtlich binden?
- Eigentümerstruktur analysieren: Besteht ein Bezug zu politisch exponierten Personen (PEP)?
- Zahlungsweg und Vergütung prüfen: Sind Provisionen plausibel und Konten im Leistungsort?
- Sanktionsabgleich durchführen: Passt der Partner auf aktuelle Listen (SECO, UN)?
- Vertragliche Sicherungen anpassen: Anti-Korruptionsklauseln und Auditrechte bei erhöhtem Risiko.
- Entscheid dokumentieren: Warum wurde geprüft und wer hat freigeben?
- Laufende Überwachung einrichten: Auslöser für Neubewertung (z. B. Eigentümerwechsel) definieren.
Was konkret geprüft wird
Der Prüfungsumfang hängt vom Grund und von der Risikostufe ab. Typische Elemente sind:
Identität und Vertretung: Existiert der Vertragspartner, wer darf ihn vertreten und stimmen Firma, Adresse, Bankverbindung und Vertragsunterlagen überein?
Rolle und Leistung: Welche Aufgabe übernimmt der Dritte, weshalb wird er benötigt und passt seine Erfahrung zur behaupteten Leistung?
Eigentum und Interessen: Wer kontrolliert den Partner und bestehen Verbindungen zu Entscheidungsträgern, Mitarbeitenden oder Amtsträgern, die einen Konflikt schaffen können?
Vergütung und Zahlungsweg: Sind Preis, Provision und Zahlungsmodalitäten plausibel? Warnsignale sind Zahlungen an unbeteiligte Dritte, Privatkonten, Barzahlungen oder Konten in einem Land ohne Bezug zur Leistung.
Sanktionen und Exportkontrolle: Sind aufgrund der beteiligten Personen, Länder, Güter oder Endverwendung Verbote, Bewilligungen oder weitere Abklärungen zu beachten?
Integrität und Referenzen: Gibt es belastbare Referenzen, bekannte Verfahren oder nachvollziehbare Hinweise auf Korruption, Betrug oder andere relevante Verstösse?
Nicht jeder Treffer beendet die Geschäftsbeziehung. Ein Namensgleichheitstreffer auf einer Sanktionsliste muss abgeklärt werden. Ein kritischer Medienbericht kann falsch oder veraltet sein. Due Diligence bedeutet nicht, Daten zu sammeln, sondern Widersprüche zu klären und eine begründete Entscheidung zu treffen.
Vom Prüfergebnis zum Vertrag
Eine Prüfung hat nur Wert, wenn ihr Ergebnis Folgen hat. Bei tiefem Risiko genügt der normale Vertrag. Bei erhöhtem Risiko können Zusicherungen zur Einhaltung des anwendbaren Rechts, Informationspflichten bei Eigentümerwechseln, klare Regeln für Unterbeauftragte sowie ein Kündigungsrecht bei schweren Verstössen sinnvoll sein. Audit- und Einsichtsrechte sollten nur so weit gehen, wie sie für das konkrete Risiko nötig und praktisch durchsetzbar sind.
Bei Vermittlern und Agenten sind Leistungsbeschreibung und Vergütung zentral. Der Vertrag sollte festhalten, welche Tätigkeiten erlaubt sind, welche Kontakte dokumentiert werden müssen und dass keine Zahlungen oder Vorteile zur unzulässigen Einflussnahme eingesetzt werden dürfen. Eine hohe Provision ohne nachvollziehbare Leistung bleibt auch mit einer Anti-Korruptionsklausel ein Risiko.
Die laufende Überwachung richtet sich ebenfalls nach dem Risiko. Eine jährliche Vollprüfung aller Partner ist meist weder erforderlich noch sinnvoll. Besser sind klare Auslöser: Wechsel der Eigentümer, neue Länder oder Behördenkontakte, ungewöhnliche Zahlungswünsche, negative Medienberichte oder ein deutlicher Ausbau des Auftrags. Hochrisikobeziehungen können zusätzlich periodisch überprüft werden.
Beispiel: Ein Schweizer Maschinenbauer beauftragt einen lokalen Vermittler, öffentliche Kunden in einem neuen Markt zu gewinnen. Der Vermittler verlangt zwölf Prozent Erfolgsprovision und die Zahlung auf ein Konto in einem Drittland. Hier sprechen Rolle, Behördenkontakt, Vergütung und Zahlungsweg für ein hohes Korruptionsrisiko. Der Maschinenbauer prüft Identität, Eigentümer, Referenzen und Verbindungen zu Amtsträgern, klärt den Zahlungsweg und verlangt einen detaillierten Leistungsnachweis. Bei einem gewöhnlichen Teilelieferanten ohne solche Merkmale wäre dieselbe Prüfung unverhältnismässig.
Dokumentation und Verantwortung
Die Dokumentation muss zeigen, weshalb geprüft wurde, welche Informationen vorlagen und wer entschieden hat. Dafür braucht es kein hundertseitiges Dossier. Bei tiefem Risiko kann ein kurzer Vermerk genügen. Bei einem kritischen Vermittler sollten Risikoeinstufung, Abklärungen, Warnsignale, Freigabe und vertragliche Massnahmen nachvollziehbar festgehalten werden.
Bei Aktiengesellschaften hat der Verwaltungsrat nach Art. 716a OR die unübertragbare Aufgabe der Oberleitung und der Festlegung der Organisation. Daraus folgt nicht, dass er jeden Geschäftspartner selbst genehmigen oder für jedes Unternehmen ein umfassendes Drittparteienprogramm schaffen muss. Er muss aber dafür sorgen, dass wesentliche Risiken erkannt, Zuständigkeiten festgelegt und kritische Fälle auf der richtigen Stufe entschieden werden. Die konkrete Ausgestaltung richtet sich nach Grösse, Tätigkeit und Risikoprofil des Unternehmens.
Eine einfache Freigabelogik reicht oft: Standardfälle entscheidet der Einkauf oder die Fachstelle. Fälle mit Warnsignalen prüft eine zweite, unabhängige Person. Hochrisikobeziehungen genehmigt die Geschäftsleitung. Damit bleibt das Verfahren schlank, ohne dass dieselbe Person den Partner auswählt, prüft und allein freigibt.
Digitale Werkzeuge und KI können Sanktionsabgleiche, Medienrecherchen und die Auswertung von Unterlagen beschleunigen. Ihre Treffer sind Hinweise, keine Entscheide. Namensgleichheiten und veraltete Quellen müssen geprüft werden. Zudem dürfen nur die für den Prüfzweck nötigen Personendaten beschafft, geschützt und so lange wie erforderlich gespeichert werden.
Fazit
Due Diligence bei Dritten ist keine pauschale Pflicht, sondern ein Instrument für konkrete Risiken. Art. 102 StGB wird vor allem relevant, wenn ein Dritter funktional für das Unternehmen handelt. Daneben können Spezialgesetze Prüfpflichten auslösen. Sonst bestimmt das wirtschaftliche Risiko den Umfang. Wer Rechtsgrund, Rolle und Risiko trennt, prüft gezielt und vermeidet unnötige Bürokratie.
FAQ: Due Diligence
Muss ich jeden Lieferanten in der Schweiz prüfen?
Nein. Eine umfassende Prüfung ist nur bei funktionalem Bezug, speziellen gesetzlichen Pflichten oder konkreten Warnsignalen erforderlich. Ein gewöhnlicher Lieferant von Standardteilen braucht keine tiefgehende Integritätsprüfung.
Was sagt Art. 102 StGB zur Due Diligence?
Art. 102 StGB macht Unternehmen strafbar, wenn bei bestimmten Delikten (z. B. Korruption) keine zumutbaren organisatorischen Vorkehren getroffen wurden, um Straftaten zu verhindern. Dies setzt voraus, dass der Täter funktional für das Unternehmen handelte.
Welche Rolle spielen ausländische Gesetze wie der US FCPA?
Ausländische Gesetze wie der US Foreign Corrupt Practices Act oder der UK Bribery Act können für Schweizer KMU relevant werden, wenn ein hinreichender Bezug zu den USA oder Grossbritannien besteht (z. B. Emittenten an US-Börsen). Der konkrete Bezug muss immer einzeln geprüft werden.
Wie dokumentiere ich eine Due Diligence korrekt?
Die Dokumentation muss den Prüfgrund, die erhobenen Informationen, die Risikoeinstufung und den Entscheid der zuständigen Person zeigen. Bei tiefem Risiko genügt ein kurzer Vermerk; bei Hochrisikobeziehungen sind detaillierte Berichte mit Freigaben nötig.
Was passiert bei einem Treffer auf einer Sanktionsliste?
Ein Treffer beendet die Geschäftsbeziehung nicht automatisch. Er muss abgeklärt werden, ob es sich um einen Namensgleichheitstreffer, veraltete Daten oder einen echten Treffer handelt. Erst nach Klärung des Widerspruchs wird eine Entscheidung getroffen.
