Zusatzqualifikationen: Recht und Compliance

Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten, bestimmte Finanzunternehmen auch darunter, müssen eine interne Meldestelle für Hinweise auf Rechtsverstöße einrichten und betreiben (§ 12 HinSchG). Wer dort Meldungen bearbeitet, muss die notwendige Fachkunde haben; dafür sorgt der Arbeitgeber (§ 15 Abs. 2 HinSchG). Einen bestimmten Kurs, eine Prüfung oder ein Zertifikat schreibt das Gesetz nicht vor.

Die Grundlagenschulung vermittelt neu gewählten Betriebsratsmitgliedern das Betriebsverfassungsgesetz: Rechte und Pflichten, Geschäftsführung und Beteiligungsrechte des Betriebsrats. Sie ist keine Pflicht, sondern ein Anspruch nach § 37 Abs. 6 BetrVG: Für erforderliche Schulungen ist das Mitglied ohne Minderung des Arbeitsentgelts freizustellen, und der Arbeitgeber trägt nach § 40 BetrVG die Kosten. Eine Prüfung gibt es nicht; Anbieter wie das DGB Bildungswerk bescheinigen die Teilnahme.

CE-Koordinatoren, je nach Anbieter auch CE-Beauftragte genannt, organisieren im Unternehmen das Konformitätsbewertungsverfahren, das vor der CE-Kennzeichnung etwa einer Maschine nötig ist. Die Pflicht dazu trägt der Hersteller; eine bestimmte Personenqualifikation schreibt das EU-Recht nicht vor, und es gibt keinen einheitlichen Abschluss. Zertifikate vergeben etwa TÜV NORD CERT („CE-Koordinator (TÜV)“), PersCert TÜV („CE-Beauftragte:r für Maschinen und Anlagen (TÜV)“) und Weiterbildungsanbieter nach eigenem Lehrgang mit Prüfung.

Die CIPP/E ist ein privates Zertifikat der International Association of Privacy Professionals (IAPP) für Kenntnisse im europäischen Datenschutzrecht, vor allem der DSGVO. Man erwirbt es mit einer Prüfung aus 90 Multiple-Choice-Fragen, die es auch auf Deutsch gibt, online oder im Testcenter; ein Kurs ist nicht Pflicht. Gesetzlich vorgeschrieben ist das Zertifikat nicht.

CISA ist ein Zertifikat von ISACA für die Prüfung, Kontrolle und Absicherung von IT-Systemen (IT-Revision). Die Prüfung hat 150 Fragen in 4 Stunden und läuft im Testcenter oder online mit Aufsicht, auch auf Deutsch. Zertifiziert wird erst, wer fünf Jahre einschlägige Berufserfahrung nachweist; danach sind jährlich Fortbildungsstunden und eine Gebühr fällig.

Compliance Officer bauen in Unternehmen ein Compliance-Management-System auf und überwachen, ob Gesetze und interne Regeln eingehalten werden. Die Bezeichnung ist nicht geschützt, die Zertifikate stellen private Anbieter aus, etwa PersCert TÜV oder die Haufe Akademie mit einer Hochschule. Eine gesetzliche Pflicht zur Sachkunde gibt es nur in bestimmten Branchen, etwa für Compliance-Beauftragte von Wertpapierdienstleistungsunternehmen (§ 87 Abs. 5 WpHG); einen bestimmten Kurs schreibt auch dort kein Gesetz vor.

Exportkontrollbeauftragte organisieren im Unternehmen die Prüfung, ob Ausfuhren genehmigungspflichtig oder verboten sind, und berichten dem Ausfuhrverantwortlichen. Kein Gesetz schreibt diese Rolle oder eine bestimmte Ausbildung vor; das BAFA empfiehlt sie als Teil eines innerbetrieblichen Compliance-Programms. Verlangt wird dagegen, dem BAFA bei genehmigungspflichtigen Ausfuhren einen Ausfuhrverantwortlichen aus der Geschäftsleitung zu benennen (Grundsätze der Bundesregierung zur Zuverlässigkeit von Exporteuren).

"Exportmanager (IHK)" ist ein freiwilliger IHK-Zertifikatslehrgang zu Export, Zoll und Außenwirtschaftsrecht. Das Zertifikat gibt es nach einem lehrgangsinternen Test, nicht nach einer öffentlich-rechtlichen Prüfung. Name und Umfang unterscheiden sich je Anbieter: 84 Stunden live online mit Online-Test bei der IHK oder ein zwölfmonatiger Fernlehrgang mit Seminar und IHK-Test.

Banken, Finanzdienstleister, Zahlungsinstitute, bestimmte Versicherer, Kapitalverwaltungsgesellschaften und Glücksspielanbieter müssen einen Geldwäschebeauftragten auf Führungsebene und einen Stellvertreter bestellen (§ 7 GwG); bei anderen Verpflichteten kann die Aufsichtsbehörde das anordnen. Das Gesetz verlangt die erforderliche Qualifikation und Zuverlässigkeit, schreibt aber keinen bestimmten Kurs und kein Zertifikat vor. Ausblick: Ab dem 10. Juli 2027 gilt die EU-Geldwäscheverordnung (EU) 2024/1624, die die Funktion neu regelt.

Der Informationssicherheitsbeauftragte koordiniert in einer Organisation das Management der Informationssicherheit, etwa nach ISO 27001 oder BSI-IT-Grundschutz. Das BSI-Gesetz schreibt die Bestellung nur für Einrichtungen der Bundesverwaltung vor (§ 45 BSIG), die NIS-2-Regeln im BSIG verlangen keinen; einzelne Branchengesetze fordern einen Sicherheitsbeauftragten, etwa § 166 TKG für Telekommunikationsanbieter, und der BSI-Standard 200-2 empfiehlt jeder Institution einen ISB. Einen geschützten Abschluss gibt es nicht: Zertifikate stellen Bildungsanbieter, IHKs oder Personenzertifizierer wie TÜV NORD CERT aus.

Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen nach dem BSI-Gesetz müssen regelmäßig an Schulungen zur Erkennung und Bewertung von IT-Sicherheitsrisiken und zum Risikomanagement teilnehmen (§ 38 Abs. 3 BSIG, in Kraft seit 6. Dezember 2025). Das Gesetz legt weder Dauer, Abstand, Anbieter noch eine Prüfung fest. Das BSI empfiehlt eine ausführliche Erstschulung mit regelmäßigen Folgeschulungen und eine lückenlose Dokumentation.

Wer Forderungen anderer einzieht, braucht eine Registrierung beim Bundesamt für Justiz (§ 10 RDG). Dafür ist besondere theoretische und praktische Sachkunde nachzuweisen, die theoretische in der Regel durch das Zeugnis eines Sachkundelehrgangs von mindestens 120 Zeitstunden mit schriftlicher und mündlicher Prüfung (§ 4 RDV), die praktische meist durch zwei Jahre Berufspraxis. Juristische Personen und Personengesellschaften benennen dafür eine qualifizierte Person.

Mediation darf jeder anbieten, die Bezeichnung "zertifizierter Mediator" ist aber geschützt (§ 5 Abs. 2 MediationsG). Sie setzt einen Ausbildungslehrgang von mindestens 130 Präsenzzeitstunden und fünf supervidierte Mediationen innerhalb von drei Jahren voraus (§ 2 ZMediatAusbV). Danach sind alle vier Jahre mindestens 40 Stunden Fortbildung Pflicht, sonst entfällt die Berechtigung zur Bezeichnung.