IKS und ERP in Österreich: Pflichten nach § 22 GmbHG
Kurz gesagt
Der Geschäftsführer jeder GmbH in Österreich muss dafür sorgen, dass ein Rechnungswesen und ein internes Kontrollsystem geführt werden, die den Anforderungen des Unternehmens entsprechen (§ 22 Abs. 1 GmbHG, in Kraft seit 1. Juli 1998); für den Vorstand einer Aktiengesellschaft gilt § 82 AktG. Eine Größenausnahme gibt es nicht; verlangt sind Kontrollen, die zu Größe und Risiko des Unternehmens passen.
Das Wichtigste
- Jede GmbH in Österreich braucht ein Rechnungswesen und ein internes Kontrollsystem (§ 22 Abs. 1 GmbHG, in Kraft seit 1. Juli 1998).
- Eine Größenausnahme fehlt; auch die Kleinst-GmbH muss kontrollieren, der Umfang richtet sich nach dem Unternehmen.
- Für den Vorstand einer Aktiengesellschaft gilt dieselbe Pflicht nach § 82 AktG.
- Verletzt der Geschäftsführer die Pflicht, haftet er der Gesellschaft für den Schaden (§ 25 Abs. 1 und 2 GmbHG).
- Eine kleine GmbH, die nicht auf Grund gesetzlicher Vorschriften einen Aufsichtsrat haben muss, braucht keine gesetzliche Abschlussprüfung (§ 268 Abs. 1 UGB).
- Kontrollmaßnahmen und technische Systeme im ERP, die objektiv geeignet sind, Arbeitnehmer zu kontrollieren und die Menschenwürde berühren, brauchen die Zustimmung des Betriebsrats; ohne sie sind sie nicht rechtswirksam (§ 96 Abs. 1 Z 3 ArbVG).
Was § 22 Abs. 1 GmbHG verlangt
Die Vorschrift ist ein Satz lang. Er verlangt zwei Einrichtungen: ein Rechnungswesen und ein internes Kontrollsystem, beide geführt und beide zugeschnitten auf das eigene Unternehmen (§ 22 Abs. 1 GmbHG, in Kraft seit 1. Juli 1998, zuletzt geändert durch BGBl. I Nr. 114/1997). Das Rechnungswesen umfasst Konten, Buchungen und Abschlüsse, das interne Kontrollsystem die Vorkehrungen gegen Fehler und unberechtigte Handlungen.
Welche Kontrollen das im Einzelnen sind, sagt die Vorschrift nicht; den Maßstab bilden die Anforderungen des eigenen Unternehmens. Nach dem Wortlaut müssen beide Einrichtungen geführt werden, also im Betrieb laufen; ein Handbuch ohne gelebte Kontrollen erfüllt die Pflicht nicht (redaktionelle Einschätzung zum Wortlaut).
Für wen die Pflicht gilt – und für wen nicht
Adressat sind die Geschäftsführer, nicht die Gesellschafter. Die Pflicht hängt an der Rechtsform: Jede GmbH in Österreich ist erfasst, ob mit sechs oder fünfhundert Mitarbeitenden, weil § 22 Abs. 1 GmbHG keine Bilanzsumme, keinen Umsatz und keine Mitarbeiterzahl voraussetzt. Bei einer kleinen GmbH kann das Kontrollsystem aus einer Freigabe durch zwei Personen, einem eingeschalteten Änderungsprotokoll und einem monatlichen Bankabgleich bestehen.
Für den Vorstand einer Aktiengesellschaft gilt dieselbe Pflicht nach § 82 AktG (in Kraft seit 1. Juli 1998). Einzelunternehmer und Personengesellschaften sind nicht Adressat von § 22 GmbHG; für ihre Bücher gelten die Regeln des UGB und der BAO, die Ordnungsmäßige Buchführung im ERP zusammenstellt.
Ein bestimmtes System oder Softwareprodukt verlangt die Vorschrift nicht; ohne ERP laufen dieselben Kontrollen manuell.
Checkliste: Pflicht, ERP-Kontrolle und Beispiele
Die Zuordnung in der folgenden Tabelle ist eine Umsetzungshilfe, keine gesetzliche Liste: § 22 Abs. 1 GmbHG nennt keine einzelnen Kontrollen. Die beiden letzten Spalten zeigen erfundene Beispiele für eine GmbH mit bis zu zehn Mitarbeitenden und für eine GmbH mit eigenem Buchhaltungsteam.
| Kontrollziel | Rechtsgrundlage | ERP-Kontrolle und Nachweis | Beispiel: kleine GmbH (bis 10 Mitarbeitende) | Beispiel: GmbH mit Buchhaltungsteam |
|---|---|---|---|---|
| Rechnungswesen, in dem ein sachverständiger Dritter die Geschäftsvorfälle verfolgen kann | § 22 Abs. 1 GmbHG, § 190 Abs. 1 UGB | Journal, Kontenblätter, Belegaufruf; Nachweis: Journalauszug mit Belegen | Geschäftsführung erfasst Belege selbst, Abschluss mit der Steuerberatung | Eigenes Team erfasst und stimmt ab, Monatsabschluss mit Kontrolle aller Konten |
| Eintragungen vollständig, richtig und zeitgerecht | § 190 Abs. 3 UGB, § 131 Abs. 1 Z 2 lit. a BAO | Belegnummernkreis, Pflichtfelder, Periodenabschluss; Nachweis: Buchungsliste mit Buchungsdatum und Belegnummer | Buchung spätestens einen Monat und 15 Tage nach Monatsende | Laufende Erfassung, Abschluss in der ersten Woche nach Monatsende |
| Änderungen bleiben nachvollziehbar | § 190 Abs. 4 UGB, § 131 Abs. 1 Z 6 lit. b BAO | Änderungsprotokoll, Storno statt Löschen, gesperrte Perioden; Nachweis: Protokoll einer geänderten Buchung | Protokoll ist eingeschaltet, Geschäftsführung sieht die Änderungsliste einmal im Monat | Vier-Augen-Kontrolle der Stornos, Auswertung je Buchhalter |
| Keine Person kann eine Zahlung allein erfassen und auslösen | § 22 Abs. 1 GmbHG (Ausgestaltung) | Getrennte Rollen für Erfassung, Freigabe und Zahllauf; Nachweis: Rollenliste und Freigabeprotokoll | Geschäftsführung gibt frei, eine zweite Person erfasst | Freigabelimits und Vertretungsregel im ERP |
| Bestellungen nur innerhalb von Freigabegrenzen | § 22 Abs. 1 GmbHG (Ausgestaltung) | Limitprüfung, Genehmigungsworkflow; Nachweis: Bestellung mit sichtbarem Genehmiger | Beispiel: ab 500 Euro genehmigt die Geschäftsführung | Limitstufen je Einkäufer, Eskalation ab Schwelle |
| Bankverbindungen von Lieferanten ändern nur zwei Personen | § 22 Abs. 1 GmbHG (Ausgestaltung) | Zweite Freigabe und Protokolleintrag; Nachweis: Änderungsprotokoll der Bankverbindung | Rückbestätigung beim Lieferanten und Freigabe durch die Geschäftsführung | Workflow mit zweitem Genehmiger |
| Abstimmung von Bank, Kasse, offenen Posten und Inventur | § 190 Abs. 3 UGB (geordnete Eintragungen) | Import des Bankauszugs, Abgleich, Kassasturz, Inventurliste; Nachweis: Abstimmungsprotokoll | Bankabgleich und Kassasturz zum Monatsende | Laufender Abgleich, Abweichungen mit Klärungsvermerk |
Rechte bei Ein- und Austritt behandelt Benutzerverwaltung im ERP, Konfliktpaare Funktionstrennung im ERP, Zahlungsabläufe Vier-Augen-Prinzip bei Zahlungen, Sicherung und Wiederherstellung Backup-Konzept für das ERP.
Auch die Rechte der Gesellschafter kommen aus dem ERP: Jahresabschluss samt Lagebericht sind jedem Gesellschafter nach Aufstellung ohne Verzug abzuschreiben, und vierzehn Tage vor der zur Prüfung berufenen Versammlung darf er in die Bücher und Schriften Einsicht nehmen (§ 22 Abs. 2 GmbHG). Beschränken lässt sich dieses Recht im Gesellschaftsvertrag nur, wenn ein Aufsichtsrat zu bestellen ist (§ 22 Abs. 2 letzter Satz GmbHG). Halten Sie dafür eine Leseberechtigung bereit (redaktionelle Empfehlung).
Beispiel: kleine und mittelgroße GmbH im Vergleich
Beispielrechnung mit erfundenen Zahlen; die Einordnung setzt voraus, dass die Größenmerkmale an den Abschlussstichtagen von zwei aufeinanderfolgenden Geschäftsjahren vorliegen, weil ihre Rechtsfolgen nach § 221 Abs. 4 UGB grundsätzlich erst im darauf folgenden Geschäftsjahr eintreten (bei Neugründung und Umgründung ausnahmsweise bereits zum ersten Abschlussstichtag nach der Neugründung oder Umgründung; eine rechtsformwechselnde Umwandlung ist von dieser Beschleunigung ausgenommen). Eine Dienstleistungs-GmbH mit 6 Mitarbeitenden, 500.000 Euro Bilanzsumme und 1,0 Millionen Euro Umsatzerlösen ist eine kleine Kapitalgesellschaft: Sie überschreitet keines der drei Merkmale des § 221 Abs. 1 UGB (6,25 Millionen Euro Bilanzsumme, 12,5 Millionen Euro Umsatzerlöse, 50 Arbeitnehmer), überschreitet aber zwei der drei Merkmale für Kleinstkapitalgesellschaften (450.000 Euro, 900.000 Euro, 10 Arbeitnehmer; Investment- und Beteiligungsgesellschaften können nach § 221 Abs. 1a UGB nie Kleinstkapitalgesellschaft sein) und ist deshalb nicht Kleinst. Als kleine GmbH braucht sie einen Abschlussprüfer nur, wenn sie auf Grund gesetzlicher Vorschriften einen Aufsichtsrat haben muss; andernfalls entfällt die gesetzliche Abschlussprüfung (§ 268 Abs. 1 UGB). Ihr Kontrollsystem kann eine Person neben der Geschäftsführung tragen: Freigabe jeder Zahlung durch die Geschäftsführung, monatlicher Bankabgleich, eingeschaltetes Änderungsprotokoll.
Eine Handels-GmbH mit 120 Mitarbeitenden, 8 Millionen Euro Bilanzsumme und 30 Millionen Euro Umsatzerlösen überschreitet alle drei Merkmale der kleinen und keines der drei Merkmale der mittelgroßen Gesellschaft (25 Millionen Euro, 50 Millionen Euro, 250 Arbeitnehmer); sie ist mittelgroß und prüfungspflichtig (§ 268 Abs. 1 UGB). Dort gehören Erfassung, Freigabe und Zahllauf in getrennte Rollen, und der Abschlussprüfer berichtet über wesentliche Schwächen der internen Kontrolle des Rechnungslegungsprozesses (§ 273 Abs. 2 UGB).
Die Schwellenwerte gelten in der Fassung der UGB-Schwellenwerte-Verordnung (BGBl. II Nr. 318/2024) für Geschäftsjahre ab dem 1. Januar 2024. Eine GmbH mit 5,5 Millionen Euro Bilanzsumme und 11 Millionen Euro Umsatzerlösen wäre nach den früheren Werten von 5 und 10 Millionen Euro mittelgroß gewesen, nach der Anpassung ist sie klein. Umsatzerlöse sind Nettobeträge (§ 189a Z 5 UGB).
Wann ein Abschlussprüfer die Kontrolle ansieht
Eine gesetzliche Abschlussprüfung trifft alle Kapitalgesellschaften außer kleine GmbH, die nicht auf Grund gesetzlicher Vorschriften einen Aufsichtsrat haben müssen, sowie Konzernabschlüsse (§ 268 Abs. 1 UGB). Bei einer kleinen GmbH, die nicht auf Grund gesetzlicher Vorschriften einen Aufsichtsrat haben muss, entfällt diese gesetzliche Prüfung; § 268 Abs. 1 UGB schließt eine freiwillige oder anderweitig veranlasste Prüfung nicht aus. Die Pflicht aus § 22 Abs. 1 GmbHG bleibt bestehen.
Ist die Prüfung vorgeschrieben, umfasst sie die Buchführung und die Frage, ob die gesetzlichen Vorschriften und ergänzende Bestimmungen des Gesellschaftsvertrags beachtet wurden (§ 269 Abs. 1 UGB). Der Abschlussprüfer hat außerdem unverzüglich über wesentliche Schwächen bei der internen Kontrolle des Rechnungslegungsprozesses zu berichten (§ 273 Abs. 2 UGB). Für das ERP heißt das: Rollenlisten, Freigabeprotokolle und Abstimmungsnachweise sollten sich ohne Nacharbeit exportieren lassen.
Kontrollen im ERP und der Betriebsrat
Kontrollmaßnahmen und technische Systeme zur Kontrolle der Arbeitnehmer brauchen in Österreich die Zustimmung des Betriebsrats, sofern sie die Menschenwürde berühren; ohne Zustimmung ist die Maßnahme nicht rechtswirksam (§ 96 Abs. 1 Z 3 ArbVG). Nach der Rechtsprechung des Obersten Gerichtshofs genügt dafür die objektive Eignung des konkret eingerichteten Systems, Arbeitnehmer zu kontrollieren; auf eine Kontrollabsicht des Betriebsinhabers kommt es nicht an, und die Zustimmungspflicht setzt bereits bei der Ermittlung der Daten ein, nicht erst bei deren Auswertung (OGH 14. Juli 2022, 9 ObA 60/22x).
Benutzerprotokolle, Zeitaufzeichnungen und Auswertungen, die einzelnen Mitarbeitenden zugeordnet werden können, gehören daher vor dem Einschalten auf den Tisch des Betriebsrats. Welche ERP-Funktionen zustimmungspflichtig sind, steht im Artikel Betriebsrat und ERP-Einführung in Österreich.
Was bei einem Verstoß droht
In § 22 GmbHG ist keine Strafe genannt. Die Folge trifft den Geschäftsführer zivilrechtlich: Er schuldet der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes (§ 25 Abs. 1 GmbHG) und haftet für den Schaden, den er durch die Verletzung seiner Obliegenheiten verursacht, zur ungeteilten Hand (§ 25 Abs. 2 GmbHG). Die Ersatzansprüche verjähren in fünf Jahren (§ 25 Abs. 6 GmbHG).
§ 25 Abs. 1a GmbHG schützt die Geschäftsführung: Wer sich bei einer unternehmerischen Entscheidung nicht von sachfremden Interessen leiten lässt und auf der Grundlage angemessener Information annehmen darf, zum Wohle der Gesellschaft zu handeln, handelt im Einklang mit der Sorgfalt. Dokumentierte Freigaben und Protokolle zeigen, dass eine Entscheidung auf angemessener Information beruht (redaktionelle Einschätzung).
Checkliste für Ihren Betrieb
- Halten Sie auf einer Seite fest, welche Kontrollen laufen: wer erfasst, wer gibt frei, wer führt aus.
- Prüfen Sie im ERP, ob jede Buchung einen Belegverweis trägt und Änderungen protokolliert werden (§ 190 Abs. 4 UGB, § 131 Abs. 1 Z 6 lit. b BAO).
- Vergeben Sie je Person eine Rolle; geteilte Zugänge entziehen den Kontrollen die Grundlage (Ausgestaltung zu § 22 Abs. 1 GmbHG).
- Legen Sie fest, ab welchem Betrag Bestellungen und Zahlungen eine zweite Freigabe brauchen, und tragen Sie die Grenze im ERP ein.
- Vereinbaren Sie, dass Bankverbindungen von Lieferanten nur mit Rückbestätigung und zweiter Freigabe geändert werden.
- Bestimmen Sie die Größenklasse nach § 221 UGB; sie entscheidet mit darüber, ob eine gesetzliche Abschlussprüfung vorgeschrieben ist und der Abschlussprüfer die interne Kontrolle des Rechnungslegungsprozesses ansieht (§ 268 Abs. 1, § 273 Abs. 2 UGB).
- Klären Sie vor dem Einschalten von Protokollen, Auswertungen und Zeitaufzeichnungen die Zustimmung des Betriebsrats, sofern die Maßnahme die Menschenwürde berührt (§ 96 Abs. 1 Z 3 ArbVG).