Directors' Liability in Germany: When You're Personally on the Hook
Directors' Liability in Deutschland: Wann haftest du persönlich
(English version below.)
TL;DR — Die GmbH ist als "Gesellschaft mit beschränkter Haftung" konzipiert — aber der Geschäftsführer haftet persönlich in mindestens 12 verschiedenen Konstellationen. Insolvenzverschleppung ist die häufigste (§ 15b InsO). Nicht abgeführte Sozialabgaben sind strafrechtlich sanktioniert (§ 266a StGB). Nicht abgeführte Lohnsteuer führt zu persönlicher Haftung (§ 69 AO). Wer sich als Founder-CEO nicht mit diesen Haftungsfallen auseinandersetzt, riskiert, dass Insolvenz oder Krise nicht nur das Unternehmen kostet, sondern das persönliche Vermögen. Dieser Text erklärt die wichtigsten Haftungsfallen, wie sie funktionieren, wie du dich schützt — und was D&O-Versicherung wirklich abdeckt und was nicht.
Kurzantwort
Als GmbH-Geschäftsführer haftest du persönlich in diesen Hauptkonstellationen: (1) Insolvenzverschleppung (Antragspflicht binnen 3 Wochen ab Zahlungsunfähigkeit/Überschuldung), (2) nicht abgeführte Sozialabgaben (§ 266a StGB — auch strafrechtlich), (3) nicht abgeführte Steuern (§ 69 AO), (4) Pflichtverletzungen mit Schadensfolge für Gesellschaft (§ 43 GmbHG), (5) DSGVO-Verstöße bei grober Pflichtverletzung, (6) Kartellrechtsverstöße, (7) Umweltdelikte, (8) Compliance-Versäumnisse, (9) fehlerhafte Kapitalerhaltung. Die häufigsten praktischen Fallen: Zahlung von Rechnungen kurz vor Insolvenz, nicht rechtzeitige Abführung von Sozialabgaben, unterlassene Buchführung. D&O-Versicherung deckt einiges, aber nicht alles — insbesondere nicht vorsätzliche Handlungen und Sozialabgaben.
Warum die meisten Founder das falsch angehen
Der typische Founder-Fehler zerfällt in drei Kategorien:
- "Ich habe eine GmbH, ich hafte nicht." Grundsätzlich richtig für die operative Geschäftstätigkeit. Aber für Pflichtverletzungen, Insolvenzverschleppung, Steuer- und Sozialabgabenversäumnisse, DSGVO-Verstöße etc. haftet der Geschäftsführer persönlich — teils sogar strafrechtlich. Die GmbH-Beschränkung greift nur für vertragliche Verbindlichkeiten der Gesellschaft.
- "D&O-Versicherung deckt alles ab." Falsch. D&O-Versicherungen haben viele Ausschlüsse — insbesondere Vorsatz, wissentliche Pflichtverletzungen, Insolvenzverschleppung in bestimmten Konstellationen, und Sozialabgaben. Bei den häufigsten Founder-Haftungsfällen ist D&O oft weniger schützend, als die Founder denken.
- "Ich merke schon, wenn's kritisch wird." Bei Zahlungsunfähigkeit und Überschuldung ist die Antragsfrist 3 Wochen ab Kenntnis — nicht ab "kritisch". Wenn du zwischen Runde 3 und Runde 4 unsicher bist, ob das Geld reicht, kann die Antragspflicht schon greifen. Verschleppung kostet 5 Jahre Haft im Höchstmaß.
Der beste Ansatz: strukturiertes Wissen über die konkreten Haftungsfallen, dokumentierte Entscheidungsprozesse (Business Judgment Rule), passende D&O-Versicherung, und im Krisenfall sofort ein spezialisierter Anwalt — nicht der Standard-Firmenanwalt. (Zusammenhang: Runway 3 Monate — Priorisierungs-Playbook mit rechtlichem Blick.)
Die 12 wichtigsten Haftungsfallen
1. Insolvenzverschleppung (§ 15b InsO)
Die häufigste und teuerste Falle für Founder-CEOs.
Der Grundsatz: Bei Zahlungsunfähigkeit oder Überschuldung MUSS der Geschäftsführer binnen 3 Wochen einen Insolvenzantrag stellen.
Zahlungsunfähigkeit: Unternehmen kann fällige Zahlungspflichten nicht mehr erfüllen, mindestens 10% Deckungslücke, nicht überbrückbar binnen 3 Wochen.
Überschuldung: Vermögenswerte decken nicht mehr die Verbindlichkeiten, KEINE positive Fortführungsprognose.
Strafen bei Verstoß:
- Bis zu 3 Jahre Haft (§ 15a Abs. 4 InsO) — im Regelfall
- Bis zu 5 Jahre Haft bei Bereicherungsabsicht oder Fahrlässigkeit gegen Kenntnispflichten
- Persönliche zivilrechtliche Haftung für alle nach Antragspflicht entstandenen Verbindlichkeiten
- Meist auch Berufsverbot als Geschäftsführer für 5 Jahre
Wichtig zu verstehen: die Business Judgment Rule schützt nicht vor Insolvenzverschleppung. Selbst wenn du "in gutem Glauben" gedacht hast, das Unternehmen würde noch überleben, ohne dokumentierte positive Fortführungsprognose ist das kein Schutz.
Was du tun musst: ab Runway unter 6 Monaten wöchentlich Cash-Position monitoren. Bei akuter Krise: sofort Insolvenzrechts-spezialisierter Anwalt. Nicht Standard-Firmenanwalt. Kosten: 300-500 EUR/Std, aber jede Stunde ist ihr Geld wert.
2. Nicht abgeführte Sozialabgaben (§ 266a StGB)
Die einzige rein wirtschaftliche Straftat, die Geschäftsführer FAST IMMER trifft, wenn sie greift.
Der Grundsatz: Arbeitnehmerbeiträge zur Sozialversicherung (Kranken-, Renten-, Pflege-, Arbeitslosenversicherung) müssen an die Krankenkasse abgeführt werden. Nicht die Zahlung — die Abführung ist strafbewehrt.
Strafen:
- Bis zu 5 Jahre Haft
- Persönliche zivilrechtliche Haftung für die nicht abgeführten Beiträge (ohne Verjährung im Insolvenzverfahren)
- Meist Berufsverbot
Kritische Situation: in der Liquiditätskrise wird oft die Frage gestellt: "Löhne zahlen oder Sozialabgaben abführen?" — wenn beides nicht geht. Antwort: Sozialabgaben priorisieren, weil § 266a persönliche Strafhaftung ist. Aber besser: gar nicht in diese Situation kommen.
Praktische Falle: viele Founder wissen nicht, dass Sozialabgaben oft VOR den Nettolöhnen abzuführen sind — d.h., zeitlich früher. Wer in der Krise erst die Netto-Löhne zahlt und dann die Sozialabgaben "verschiebt", macht sich strafbar.
3. Nicht abgeführte Lohnsteuer (§ 69 AO)
Ähnlich wie Sozialabgaben, aber steuerrechtlich statt strafrechtlich (in Standard-Fällen).
Der Grundsatz: der Geschäftsführer haftet persönlich für nicht abgeführte Lohnsteuer. Die Finanzverwaltung geht dann direkt gegen den Geschäftsführer vor, nicht gegen die (oft insolvente) GmbH.
Konsequenzen:
- Persönliche Steuerhaftung ohne Verjährung im Insolvenzverfahren
- Bei Vorsatz: auch strafrechtlich (Steuerhinterziehung, § 370 AO — bis zu 5 Jahre Haft, bei besonders schwerem Fall bis zu 10 Jahre)
4. Umsatzsteuer und Körperschaftsteuer (§ 69 AO)
Gleiche Haftungsstruktur wie Lohnsteuer. Wenn die GmbH USt nicht abführt und der Geschäftsführer die Nichtabführung zu vertreten hat, haftet er persönlich.
5. Pflichtverletzungen gegenüber der Gesellschaft (§ 43 GmbHG)
Der Klassiker: der Geschäftsführer verursacht durch pflichtwidriges Handeln einen Schaden für die GmbH.
Typische Fälle:
- Riskante Investitionen ohne angemessene Prüfung
- Verletzung von Wettbewerbsverboten
- Nutzung von Gesellschafts-Ressourcen für private Zwecke
- Unzureichende Kontrolle der Buchhaltung
Schutz: Business Judgment Rule (analog aktienrechtlich anwendbar). Wenn du eine unternehmerische Entscheidung getroffen hast, die auf angemessener Informationsbasis, zum Wohle der Gesellschaft, ohne Sonderinteressen und ohne unvernünftig hohe Risiken erfolgte, haftest du auch bei nachträglichem Schaden nicht.
Wichtig: die Business Judgment Rule schützt nur bei DOKUMENTIERTEN Entscheidungen. Wenn du im Zweifel bist, protokolliere die Entscheidungsgrundlage.
6. DSGVO-Verstöße (Art. 82 DSGVO + § 43 GmbHG)
Datenschutzverletzungen können persönliche Haftung auslösen, wenn der Geschäftsführer die Pflichten grob vernachlässigt hat.
Konsequenzen:
- Direkte Haftung gegenüber Betroffenen bei grober Fahrlässigkeit
- Indirekte Haftung durch § 43 GmbHG, wenn der Gesellschaft durch DSGVO-Bußgelder ein Schaden entsteht
- Bei bestimmten Konstellationen: auch strafrechtlich (Datenhehlerei, § 202d StGB)
(Details zu DSGVO-Krisenmanagement: DSGVO-Datenpanne — Was du in den ersten 72 Stunden tun musst.)
7. Kartellrechtsverstöße
Wettbewerbsbeschränkungen können nicht nur die GmbH mit Bußgeldern belegen, sondern auch persönlich den Geschäftsführer.
Konsequenzen:
- Bußgelder bis zu 1 Million EUR für Einzelpersonen
- Bei bestimmten Konstellationen strafrechtliche Sanktionen
Für Startups meist relevant bei: Preisabsprachen mit Konkurrenten (auch informell), Marktaufteilungen, Boykott-Aktionen. Selten in der Frühphase, häufiger ab Series B+.
8. Umweltdelikte
Ab bestimmten Unternehmenstypen (produzierende Industrie, Chemikalien) haftet der Geschäftsführer für Umweltschäden auch persönlich. Für die meisten Startups nicht relevant, aber bei manchen Hardware- und Cleantech-Startups schon.
9. Compliance-Versäumnisse (§ 130 OWiG)
Der Geschäftsführer haftet persönlich, wenn er die Aufsichtspflichten in seinem Unternehmen verletzt hat und dadurch Mitarbeiter Straftaten oder Ordnungswidrigkeiten begehen konnten.
Klassisches Beispiel: ein Vertriebsmitarbeiter zahlt Schmiergelder an einen Kunden. Wenn der Geschäftsführer keine angemessenen Compliance-Strukturen etabliert hatte (Kodex, Schulungen, Kontrollen), haftet er persönlich für Bußgelder bis zu 10 Millionen EUR.
10. Kapitalerhaltung (§§ 30, 31 GmbHG)
Auszahlungen an Gesellschafter, die das Stammkapital angreifen, führen zu persönlicher Haftung des Geschäftsführers.
Typische Fallen:
- Dividendenzahlungen ohne ausreichende Bilanzgewinne
- Gesellschafterdarlehen mit ungünstigen Konditionen
- Nutzung von Gesellschafts-Immobilien durch Gesellschafter zu Sondertarifen
11. Fehlerhafte Buchführung (§§ 283, 283b StGB)
Wenn die Buchführung so schlecht ist, dass die wirtschaftliche Lage des Unternehmens nicht erkennbar ist, kann der Geschäftsführer strafrechtlich haftbar sein.
Kritisch bei Insolvenz: Buchführungsmängel führen in Insolvenzverfahren regelmäßig zu Strafanzeigen. Wer als Founder-CEO die Buchhaltung "vernachlässigt" hat, hat in der Krise ein Problem.
12. Kreditbetrug (§ 265b StGB)
Wenn falsche Angaben bei Kreditanträgen oder Investorenverhandlungen gemacht werden, haftet der Geschäftsführer strafrechtlich.
Praktisch relevant: überhöhte Umsatzprognosen, Weglassen relevanter Risiken in Pitch Decks, "kreative" Buchführung bei Due Diligence.
Die praktischen Krisen-Fallen für Founder-CEOs
Aus meiner Erfahrung als Wirtschaftsstrafrechtler die typischen Konstellationen, in denen Founder-CEOs in Haftung fallen:
1. Zahlungen kurz vor Insolvenz. Wenn die GmbH innerhalb der letzten 3 Monate vor Insolvenzantrag noch bestimmte Zahlungen leistet (typisch an nahestehende Personen, Gesellschafter, Lieferanten mit persönlichen Kontakten), können diese im Insolvenzverfahren rückgängig gemacht werden. Wenn der Geschäftsführer wusste (oder wissen musste), dass die Zahlungsunfähigkeit droht, haftet er persönlich für die verlorenen Werte.
2. Sozialabgaben-Priorisierung falsch verstanden. In der Krise werden oft Netto-Löhne priorisiert, weil "die Mitarbeiter dürfen nicht drunter leiden". Aber Arbeitnehmerbeiträge zur Sozialversicherung sind strafbewehrt — d.h. wenn du die Netto-Löhne zahlst, aber die Sozialabgaben nicht abführst, machst du dich nach § 266a StGB strafbar.
3. Umsatzsteuer als "Puffer" nutzen. Manche Founder nutzen einbehaltene USt (die eigentlich weitergeleitet werden muss) kurzfristig als Liquiditäts-Puffer. Wenn die Finanzverwaltung merkt, dass USt nicht rechtzeitig abgeführt wird, ist der Weg zur persönlichen Haftung kurz.
4. Fehlende Fortführungsprognose bei Krise. Wenn die GmbH bilanziell überschuldet ist (mehr Verbindlichkeiten als Vermögenswerte), musst du binnen 3 Wochen entweder eine positive Fortführungsprognose dokumentieren ODER Insolvenz anmelden. "Wir werden schon" reicht nicht — die Prognose muss schriftlich, mit Zahlen, mit Zeitplan sein.
5. Nicht-Dokumentation von Board-Entscheidungen bei riskanten Themen. Wenn du eine Entscheidung triffst, die später zum Schaden führt (z.B. Investition in ein neues Geschäftsfeld, das scheitert), musst du zeigen können, dass die Entscheidung auf angemessener Informationsgrundlage und mit Beratung getroffen wurde. Nur dann greift die Business Judgment Rule.
D&O-Versicherung: Was sie wirklich abdeckt
Directors & Officers Liability Insurance ist eine Standard-Vorkehrung. Aber die Grenzen der Deckung werden oft nicht verstanden.
Was gedeckt ist:
- Zivilrechtliche Haftung bei nicht-vorsätzlichen Pflichtverletzungen
- Rechtsschutz (Anwaltskosten) bei Straf- und Zivilverfahren
- Manchmal auch Bußgelder (aber nicht immer)
Was NICHT gedeckt ist (Standardausschlüsse):
- Vorsätzliche Pflichtverletzungen
- Wissentliche Verstöße gegen Gesetze
- Verstöße gegen bestimmte Gesetze (typisch: § 266a StGB Sozialabgaben)
- Konflikte zwischen versicherten Personen (Insured vs. Insured)
- Bestimmte Regulatory Actions
Für Startups sinnvoll:
- Deckung mindestens 2-5 Millionen EUR (je nach Größe)
- Kosten typisch 3.000-15.000 EUR jährlich
- Nach Series A meist Standard-Anforderung von Investoren
Rote Signale in D&O-Verträgen:
- Zu breite Vorsatz-Ausschlüsse
- Fehlende "Prior Acts" Coverage (Deckung für vor Vertragsbeginn liegende Pflichtverletzungen)
- Fehlende "Retirement Coverage" (Deckung für Zeit nach Ausscheiden)
- Sehr niedrige Deckungssumme (unter 1 Mio EUR)
Was ich 2023 bei SECJUR falsch gemacht habe
Konkrete Fehler, die ich in der Krisenphase gemacht habe:
- Zu späte Krisenberatung. Als klar wurde, dass die Runway kritisch wird, habe ich zunächst mit dem Standard-Firmenanwalt gesprochen. Erst Wochen später mit einem Insolvenzrechts-Spezialisten. In dieser Zeit hätten wir schon strukturierter agieren können.
- Fehlende schriftliche Fortführungsprognose. Wir hatten intern Klarheit über die Cash-Situation, aber keine formale, schriftliche Fortführungsprognose mit Zahlen und Zeitplan. Bei nachträglicher Prüfung durch Insolvenzverwalter wäre das ein Problem gewesen.
- Zahlungsentscheidungen ohne Dokumentation. Bei bestimmten Zahlungen an Lieferanten hätte ich dokumentieren müssen, warum diese Zahlung erfolgt (Vermeidung größerer Schäden, betriebsnotwendig etc.). Ohne Dokumentation hätten diese Zahlungen später als problematisch eingestuft werden können.
- Kein rechtzeitiges D&O-Update. Unsere D&O-Deckung war für die Series-A-Phase strukturiert, nicht für die Krise. In der akuten Krisenphase hätte ich die Deckung überprüfen und ggf. anpassen sollen.
Wann du wirklich Hilfe brauchst
Diese Signale sagen: hol dir sofort externe Unterstützung:
- Runway unter 6 Monaten und keine klare Anschlussfinanzierung
- Erste Zahlungsschwierigkeiten (verschobene Löhne, verzögerte Rechnungen)
- Sozialversicherungsträger mahnt oder droht mit Maßnahmen
- Finanzverwaltung droht mit Vollstreckung
- Anzeige durch Investoren, Mitarbeiter oder Wettbewerber
- Erste polizeiliche Ermittlung ODER Anhörung angekündigt
Coaching hilft in der strategischen und persönlichen Ebene: wie triffst du in der Krise gute Entscheidungen, wie kommunizierst du mit Investoren, Board und Team, wie strukturierst du Entscheidungsprozesse dokumentiert. Rechtsberatung durch spezialisierten Insolvenz- oder Wirtschaftsstrafrechts-Anwalt ist parallel unerlässlich.
Wenn du gerade in dieser Situation bist: → Coaching bei BFC anfragen. Kleine Kohorte. Nicht jede Anfrage wird angenommen, aber jede wird gelesen.
Weiterlesen
Haftungsthemen berühren fast immer andere Bereiche. Die relevantesten Vertiefungen:
- → Runway 3 Monate — Priorisierungs-Playbook mit rechtlichem Blick
- → Persönliche Bürgschaft — Was du unterschreibst und wie du wieder rauskommst
- → Interne Ermittlung im Startup: Betrug entdeckt, was jetzt
- → DSGVO-Datenpanne — Was du in den ersten 72 Stunden tun musst
FAQ
Wie lange nach Ausscheiden als Geschäftsführer bin ich noch haftbar?
Zivilrechtlich: die üblichen Verjährungsfristen (meist 3-10 Jahre, je nach Anspruchsart). Strafrechtlich: Verjährungsfristen des jeweiligen Delikts (bis zu 20 Jahre bei bestimmten Straftaten). Insolvenzrechtlich: bestimmte Ansprüche verjähren erst mit Abschluss des Insolvenzverfahrens.
Kann die D&O-Versicherung mich vor Strafverfolgung schützen?
Nein — kein Versicherer kann strafrechtliche Sanktionen versichern. Aber D&O-Versicherungen decken meist die Rechtsschutzkosten (Anwaltshonorare) auch bei strafrechtlichen Ermittlungen ab. Das kann bei einem längeren Verfahren 100.000 EUR und mehr sein.
Was ist die Business Judgment Rule?
Ein Schutzmechanismus für unternehmerische Entscheidungen: wenn du eine Entscheidung auf angemessener Informationsbasis, zum Wohle des Unternehmens, ohne Sonderinteressen und ohne unvernünftig hohe Risiken getroffen hast, haftest du auch bei nachträglichem Schaden nicht. Aber: der Nachweis liegt bei dir, deshalb sind Dokumentation und Beratungsprozess wichtig.
Bin ich als Prokurist auch persönlich haftbar wie ein Geschäftsführer?
Nur beschränkt. Prokuristen haben nicht die vollen Haftungsrisiken eines Geschäftsführers (z.B. keine Insolvenzantragspflicht). Aber bei bestimmten Pflichtverletzungen (typisch: § 266a StGB, wenn Prokurist für Lohnbuchhaltung zuständig) auch persönliche Haftung möglich.
Kann ich bei mehreren Geschäftsführern die Verantwortung aufteilen?
Ja, durch Geschäftsverteilungsplan. Aber: das entbindet nicht komplett. Jeder Geschäftsführer bleibt für die Gesamtsituation "mitverantwortlich" und muss bei Anhaltspunkten für Pflichtverletzungen anderer Geschäftsführer eingreifen. Klare Geschäftsverteilung minimiert das Haftungsrisiko, eliminiert es aber nicht.
English version
Directors' Liability in Germany: When You're Personally on the Hook
TL;DR — The GmbH is designed as "Gesellschaft mit beschränkter Haftung" (Company with Limited Liability) — but the managing director is personally liable in at least 12 different constellations. Delayed insolvency filing is the most common (§ 15b InsO). Unpaid social contributions carry criminal penalties (§ 266a StGB). Unpaid wage tax leads to personal liability (§ 69 AO). Founder-CEOs who don't engage with these liability traps risk that insolvency or crisis costs not only the company but personal assets. This piece explains the main liability traps, how they work, how you protect yourself — and what D&O insurance really covers and doesn't.
Short Answer
As GmbH managing director you're personally liable in these main constellations: (1) delayed insolvency filing (mandatory filing within 3 weeks of illiquidity/over-indebtedness), (2) unpaid social contributions (§ 266a StGB — also criminal), (3) unpaid taxes (§ 69 AO), (4) duty breaches with damage to the company (§ 43 GmbHG), (5) GDPR violations with grossly negligent duty breach, (6) antitrust violations, (7) environmental offenses, (8) compliance failures, (9) faulty capital preservation. The most common practical traps: payment of invoices shortly before insolvency, delayed payment of social contributions, omitted bookkeeping. D&O insurance covers some but not all — especially not intentional acts and social contributions.
Why Most Founders Get This Wrong
Typical founder mistake falls in three categories:
- "I have a GmbH, I'm not liable." Fundamentally correct for operational business activity. But for duty breaches, delayed insolvency filing, tax and social contribution failures, GDPR violations, etc., the managing director is personally liable — partly even criminally. The GmbH limitation only applies to contractual obligations of the company.
- "D&O insurance covers everything." Wrong. D&O insurances have many exclusions — especially intent, knowing duty breaches, delayed insolvency filing in certain constellations, and social contributions. In the most common founder liability cases D&O is often less protective than founders think.
- "I'll notice when it gets critical." For illiquidity and over-indebtedness the filing deadline is 3 weeks from knowledge — not from "critical." If you're unsure between round 3 and round 4 whether the money is enough, the filing obligation can already apply. Delay costs up to 5 years imprisonment maximum.
Best approach: structured knowledge of concrete liability traps, documented decision processes (Business Judgment Rule), suitable D&O insurance, and in crisis immediately a specialized lawyer — not the standard corporate lawyer. (Connection: Runway 3 months — prioritization playbook with legal lens.)
The 12 Most Important Liability Traps
1. Delayed Insolvency Filing (§ 15b InsO)
The most common and expensive trap for founder CEOs.
Principle: At illiquidity or over-indebtedness, the managing director MUST file an insolvency application within 3 weeks.
Illiquidity: Company can no longer meet due payment obligations, at least 10% coverage gap, not bridgeable within 3 weeks.
Over-indebtedness: Assets no longer cover liabilities, NO positive going-concern prognosis.
Penalties for violation:
- Up to 3 years imprisonment (§ 15a Para. 4 InsO) — in standard case
- Up to 5 years imprisonment with intent to enrich or negligence against knowledge duties
- Personal civil liability for all obligations arising after filing obligation
- Usually also professional ban as managing director for 5 years
Important to understand: the Business Judgment Rule does not protect against delayed insolvency filing. Even if you thought "in good faith" the company would still survive, without documented positive going-concern prognosis that's no protection.
What you must do: from runway under 6 months monitor cash position weekly. In acute crisis: immediately an insolvency-law specialized lawyer. Not standard corporate lawyer. Cost: 300-500 EUR/hr, but every hour is its money's worth.
2. Unpaid Social Contributions (§ 266a StGB)
The only purely economic criminal offense that ALMOST ALWAYS hits managing directors when it triggers.
Principle: Employee contributions to social insurance (health, pension, care, unemployment) must be paid to the health insurance. Not the payment — the transfer is criminally sanctioned.
Penalties:
- Up to 5 years imprisonment
- Personal civil liability for unpaid contributions (without limitation in insolvency proceedings)
- Usually professional ban
Critical situation: in liquidity crisis often the question arises: "Pay wages or transfer social contributions?" — when both aren't possible. Answer: prioritize social contributions because § 266a is personal criminal liability. But better: don't get into this situation.
Practical trap: many founders don't know that social contributions must often be transferred BEFORE net wages — i.e., earlier in time. Who in crisis first pays net wages and then "postpones" social contributions makes themselves criminally liable.
3. Unpaid Wage Tax (§ 69 AO)
Similar to social contributions, but tax law instead of criminal law (in standard cases).
Principle: the managing director is personally liable for unpaid wage tax. The tax administration then goes directly against the managing director, not against the (often insolvent) GmbH.
Consequences:
- Personal tax liability without limitation in insolvency proceedings
- With intent: also criminal (tax evasion, § 370 AO — up to 5 years imprisonment, in particularly serious case up to 10 years)
4. VAT and Corporate Income Tax (§ 69 AO)
Same liability structure as wage tax. When the GmbH doesn't transfer VAT and the managing director has to answer for the non-transfer, they're personally liable.
5. Duty Breaches Toward the Company (§ 43 GmbHG)
The classic: the managing director causes damage to the GmbH through wrongful action.
Typical cases:
- Risky investments without adequate review
- Violation of non-compete clauses
- Use of company resources for private purposes
- Insufficient control of accounting
Protection: Business Judgment Rule (applicable analogously from stock law). If you made an entrepreneurial decision on adequate information basis, for the good of the company, without special interests and without unreasonably high risks, you're not liable even for subsequent damage.
Important: the Business Judgment Rule only protects for DOCUMENTED decisions. If in doubt, protocol the decision basis.
6. GDPR Violations (Art. 82 GDPR + § 43 GmbHG)
Data protection violations can trigger personal liability if the managing director grossly neglected duties.
Consequences:
- Direct liability toward affected persons with gross negligence
- Indirect liability through § 43 GmbHG when damage arises to company through GDPR fines
- In certain constellations: also criminal (data receiving, § 202d StGB)
(Details on GDPR crisis management: GDPR data breach — What you must do in the first 72 hours.)
7. Antitrust Violations
Competition restrictions can not only impose fines on the GmbH but also personally on the managing director.
Consequences:
- Fines up to 1 million EUR for individuals
- In certain constellations criminal sanctions
For startups usually relevant at: price agreements with competitors (also informal), market divisions, boycott actions. Rare in early phase, more common from Series B+.
8. Environmental Offenses
From certain company types (producing industry, chemicals) the managing director is personally liable for environmental damage. Not relevant for most startups, but for some hardware and cleantech startups yes.
9. Compliance Failures (§ 130 OWiG)
The managing director is personally liable if they violated supervisory duties in their company and thereby enabled employees to commit crimes or administrative offenses.
Classic example: a sales employee pays bribes to a customer. If the managing director hadn't established appropriate compliance structures (code, training, controls), they're personally liable for fines up to 10 million EUR.
10. Capital Preservation (§§ 30, 31 GmbHG)
Payouts to shareholders that touch registered capital lead to personal liability of the managing director.
Typical traps:
- Dividend payments without adequate balance-sheet profits
- Shareholder loans with unfavorable conditions
- Use of company real estate by shareholders at special rates
11. Faulty Bookkeeping (§§ 283, 283b StGB)
If bookkeeping is so bad that the economic situation of the company isn't recognizable, the managing director can be criminally liable.
Critical at insolvency: bookkeeping defects regularly lead to criminal complaints in insolvency proceedings. A founder-CEO who "neglected" bookkeeping has a problem in crisis.
12. Credit Fraud (§ 265b StGB)
If false statements are made at credit applications or investor negotiations, the managing director is criminally liable.
Practically relevant: inflated revenue forecasts, omission of relevant risks in pitch decks, "creative" bookkeeping at due diligence.
The Practical Crisis Traps for Founder-CEOs
From my experience as a business criminal lawyer, the typical constellations in which founder-CEOs fall into liability:
1. Payments shortly before insolvency. If the GmbH still makes certain payments within the last 3 months before insolvency filing (typically to close persons, shareholders, suppliers with personal contacts), these can be reversed in insolvency proceedings. If the managing director knew (or had to know) that illiquidity threatens, they're personally liable for lost values.
2. Social contribution prioritization misunderstood. In crisis net wages are often prioritized because "employees shouldn't suffer." But employee contributions to social insurance are criminally sanctioned — i.e., if you pay net wages but don't transfer social contributions, you make yourself criminally liable per § 266a StGB.
3. Using VAT as "buffer." Some founders use retained VAT (which actually must be forwarded) short-term as liquidity buffer. When tax administration notices that VAT isn't transferred on time, the way to personal liability is short.
4. Missing going-concern prognosis in crisis. When the GmbH is over-indebted on balance sheet (more liabilities than assets), you must within 3 weeks either document a positive going-concern prognosis OR file insolvency. "We'll manage" doesn't suffice — the prognosis must be written, with numbers, with timeline.
5. Non-documentation of board decisions on risky topics. If you make a decision that later leads to damage (e.g., investment in a new business area that fails), you must be able to show that the decision was made on adequate information basis and with counsel. Only then does the Business Judgment Rule apply.
D&O Insurance: What It Really Covers
Directors & Officers Liability Insurance is a standard precaution. But limits of coverage are often not understood.
What's covered:
- Civil liability for non-intentional duty breaches
- Legal protection (lawyer costs) at criminal and civil proceedings
- Sometimes also fines (but not always)
What is NOT covered (standard exclusions):
- Intentional duty breaches
- Knowing violations of laws
- Violations of certain laws (typically: § 266a StGB social contributions)
- Conflicts between insured persons (Insured vs. Insured)
- Certain regulatory actions
Useful for startups:
- Coverage at least 2-5 million EUR (depending on size)
- Cost typically 3,000-15,000 EUR annually
- After Series A usually standard requirement of investors
Red signals in D&O contracts:
- Too broad intent exclusions
- Missing "Prior Acts" coverage (coverage for duty breaches before contract start)
- Missing "Retirement Coverage" (coverage for time after leaving)
- Very low coverage sum (under 1 million EUR)
What I Got Wrong at SECJUR in 2023
Concrete mistakes I made in the crisis phase:
- Late crisis counsel. When it became clear that runway becomes critical, I initially spoke with the standard corporate lawyer. Only weeks later with an insolvency law specialist. In that time we could have acted more structured.
- Missing written going-concern prognosis. We had internal clarity about cash situation but no formal, written going-concern prognosis with numbers and timeline. At subsequent review by insolvency administrator that would have been a problem.
- Payment decisions without documentation. For certain payments to suppliers I should have documented why this payment happens (avoiding bigger damages, operationally necessary, etc.). Without documentation these payments could have been classified as problematic later.
- No timely D&O update. Our D&O coverage was structured for the Series A phase, not for crisis. In the acute crisis phase I should have reviewed the coverage and adjusted if necessary.
When You Actually Need Help
These signals say: get external support immediately:
- Runway under 6 months and no clear follow-on financing
- First payment difficulties (postponed wages, delayed invoices)
- Social insurance carrier warns or threatens with measures
- Tax administration threatens with enforcement
- Complaint by investors, employees, or competitors
- First police investigation OR hearing announced
Coaching helps at strategic and personal level: how do you make good decisions in crisis, how do you communicate with investors, board, and team, how do you structure decision processes documented. Legal counsel through specialized insolvency or business criminal lawyer is essential in parallel.
If you're in this situation right now: → Request coaching at BFC. Small cohort. Not every request is accepted, but every one is read.
Related reading
Liability topics almost always touch other areas. The most relevant deep-dives:
- → Runway 3 months — prioritization playbook with legal lens
- → Personal Guarantee — what you sign and how to get out again
- → Internal investigation in the startup: Fraud discovered, what now
- → GDPR data breach — What you must do in the first 72 hours
FAQ
How long after leaving as managing director am I still liable?
Civil law: usual limitation periods (usually 3-10 years, depending on claim type). Criminal law: limitation periods of respective offense (up to 20 years for certain crimes). Insolvency law: certain claims only lapse at conclusion of insolvency proceedings.
Can D&O insurance protect me from criminal prosecution?
No — no insurer can insure criminal sanctions. But D&O insurances usually cover legal protection costs (lawyer fees) also at criminal investigations. That can be 100,000 EUR and more in a longer proceeding.
What is the Business Judgment Rule?
A protection mechanism for entrepreneurial decisions: if you made a decision on adequate information basis, for the good of the company, without special interests and without unreasonably high risks, you're not liable even for subsequent damage. But: the burden of proof is on you, therefore documentation and consultation process are important.
Am I as Prokurist also personally liable like a managing director?
Only limited. Prokuristen don't have full liability risks of a managing director (e.g., no insolvency filing obligation). But at certain duty breaches (typically: § 266a StGB when Prokurist responsible for payroll) also personal liability possible.
Can I distribute responsibility among multiple managing directors?
Yes, through business distribution plan. But: that doesn't fully release. Each managing director remains "co-responsible" for the overall situation and must intervene at indications of duty breaches by other managing directors. Clear business distribution minimizes liability risk, but doesn't eliminate it.