Delve-Skandal: Was „Fake Compliance" für dein Unternehmen bedeutet

Ein anonymer Whistleblower unter dem Pseudonym „DeepDelver" wirft der Y-Combinator-unterstützten Compliance-Plattform Delve vor, hunderte Kunden systematisch mit gefälschten Compliance-Nachweisen getäuscht zu haben. Die Konsequenz für die betroffenen Unternehmen: potenzielle strafrechtliche Haftung unter HIPAA und empfindliche Bußgelder unter der DSGVO. Das Startup war zuletzt mit einer Series-A-Finanzierung von 32 Millionen Dollar bei einer Bewertung von 300 Millionen Dollar durch Insight Partners unterstützt worden.

Der Fall ist kein isoliertes Fehlverhalten eines einzelnen Anbieters. Er ist ein Stresstest für ein Geschäftsmodell, das in der gesamten SaaS-Welt an Verbreitung gewinnt: Compliance-as-a-Service, bei dem externe Plattformen den aufwendigen Prozess der regulatorischen Zertifizierung für ihre Kunden übernehmen – oder zumindest übernehmen sollen. Für Entscheider, die solche Dienste nutzen oder evaluieren, zeigt Delve, wo die strukturellen Bruchstellen liegen.

Die Vorwürfe im Kern: Strukturbetrug, nicht nur Schlamperei

Der Substack-Post von DeepDelver, veröffentlicht am 21. März 2026, beschreibt kein operatives Versagen, sondern einen systematischen Konstruktionsfehler. Laut den Vorwürfen erzielte Delve seine vermarktete Geschwindigkeit nicht durch KI-gestützte Effizienz, sondern durch das Überspringen wesentlicher Framework-Anforderungen – während Kunden dennoch eine 100-prozentige Compliance bescheinigt wurde.

Konkret soll das Startup Nachweise für Board-Meetings, Sicherheitstests und interne Prozesse fabriziert haben, die nie stattgefunden haben. Diese vorbereiteten Berichte sollen dann von zwei Audit-Firmen – Accorp und Gradient – abgestempelt worden sein, die laut DeepDelver primär in Indien operieren und nur eine nominale US-Präsenz unterhalten. Das strukturelle Problem dabei ist fundamental: Delve habe sowohl die Rolle des Implementierers als auch die des Prüfers eingenommen – und damit die gesamte Unabhängigkeit der Attestation untergraben. Zusätzlich hatten externe Sicherheitsforscher nach Veröffentlichung des Posts Zugang zu sensiblen Daten wie Mitarbeiter-Background-Checks und Equity-Vesting-Plänen gefunden – ein Hinweis auf weitere Sicherheitslücken in Delves eigener Infrastruktur.

Delve selbst bestreitet die Vorwürfe. Das Unternehmen bezeichnet sich als „Automatisierungsplattform", die Auditoren lediglich Daten bereitstellt. Finale Berichte würden „ausschließlich von unabhängigen, lizenzierten Auditoren" ausgestellt. Die angebotenen Dokumentvorlagen seien „keine vorbefüllten Beweise". Die Frage, ob diese Unterscheidung rechtlich trägt, ist offen – und genau das ist das Problem für alle Kunden, die ihren Compliance-Status bisher nicht eigenständig verifiziert haben.

Haftungsrisiken: Wer trägt die Konsequenzen?

Für Entscheider ist die entscheidende Frage nicht, ob Delve schuldig ist – das klären möglicherweise Gerichte. Die relevante Frage lautet: Welche Haftung trägt das eigene Unternehmen, wenn sich eine externe Compliance-Zertifizierung als wertlos erweist?

Die Antwort ist ernüchternd. Regulatorische Compliance ist nicht delegierbar. Weder HIPAA noch die DSGVO akzeptieren das Argument, ein Drittanbieter habe eine fehlerhafte Bescheinigung ausgestellt. Die Pflicht zur Einhaltung liegt beim Datenverarbeiter oder -verantwortlichen selbst. Unter der DSGVO – Artikel 24 – muss der Verantwortliche durch geeignete technische und organisatorische Maßnahmen nachweisen können, dass die Verarbeitung konform erfolgt. Ein Zertifikat einer externen Plattform ist dafür notwendige, aber nicht hinreichende Bedingung. Kann das Zertifikat nicht substanziiert werden, liegt die Beweislast beim Unternehmen.

Hinzu kommt ein Signal aus dem Markt, das Investoren aufhorchen lassen sollte: Insight Partners hat laut Berichten seine öffentliche Ankündigung der Delve-Investition aus sozialen Netzwerken entfernt. Das Startup hat Produkt-Demos eingestellt. Beides sind keine Anzeichen eines Unternehmens, das einer falschen Anschuldigung gelassen entgegensieht.

EU AI Act und DSGVO: Die europäische Dimension

Für Unternehmen im DACH-Raum kommt eine weitere regulatorische Ebene hinzu. Der EU AI Act, dessen Hauptteil ab August 2026 vollständig gilt, schreibt für Hochrisiko-KI-Systeme unter anderem robuste Dokumentations- und Konformitätsnachweispflichten vor. Compliance-Plattformen, die KI einsetzen, um Berichte zu generieren oder Prozesse zu automatisieren, könnten selbst unter Bewertungspflichten fallen – abhängig davon, welche Entscheidungen die Plattform im Compliance-Prozess übernimmt.

Darüber hinaus ist der DSGVO-Artikel 35 relevant: Wenn ein Compliance-Tool personenbezogene Daten von Mitarbeitern oder Kunden verarbeitet – etwa für Hintergrundprüfungen oder Sicherheitstests – besteht möglicherweise die Pflicht zur Datenschutz-Folgenabschätzung. Dass im Delve-Fall offenbar genau solche Daten (Mitarbeiter-Background-Checks) extern zugänglich waren, illustriert das konkrete Risiko. Verstöße gegen DSGVO-Anforderungen können Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes nach sich ziehen.

Für Entscheider, die solche Plattformen im Einsatz haben oder evaluieren: Die Frage, ob der Anbieter selbst DSGVO-konform operiert und wo Daten verarbeitet werden, ist keine technische Nebenbedingung – sie ist Kernbestandteil der Due Diligence.

So What? Das Delve-Muster ist kein Einzelfall

Der Fall Delve ist deshalb strategisch relevant, weil er ein Muster offenlegt, das in der gesamten Kategorie der Compliance-Automatisierung auftreten kann. Regulatorische Anforderungen sind komplex, zeitintensiv und teuer. Startups, die versprechen, diesen Prozess radikal zu beschleunigen, stoßen auf sofortiges Interesse – bei Investoren und bei Käufern. Die Bewertung von 300 Millionen Dollar bei einem Series-A-Startup im Compliance-Bereich zeigt, wie groß das Vertrauen des Marktes in dieses Versprechen war.

Das strukturelle Problem: Geschwindigkeit und Gründlichkeit stehen bei echter Compliance in fundamentalem Spannungsverhältnis. Wenn ein Tool diese Spannung auflöst, ohne die zugrunde liegenden Anforderungen tatsächlich zu erfüllen, ist das Ergebnis nicht Effizienz – es ist ein Risikotransfer auf den Kunden. Entscheider, die Compliance-as-a-Service nutzen, müssen diesen Transfer aktiv erkennen und steuern, statt ihn implizit zu akzeptieren.

Die VC-Community trägt dabei ebenfalls eine Mitverantwortung. Wer in regulatorisch sensible Bereiche wie Sicherheits-Compliance oder Datenschutzzertifizierung investiert, muss die technische und rechtliche Substanz des Produkts prüfen – nicht nur die Wachstumskurve.

Fazit: Compliance ist nicht delegierbar

Für Entscheider ergibt sich aus dem Delve-Fall eine klare Handlungspflicht. Wer externe Compliance-Plattformen einsetzt, muss deren Outputs als Ausgangspunkt behandeln, nicht als Endpunkt. Das bedeutet konkret: Auditoren müssen wirklich unabhängig sein – und ihre Unabhängigkeit muss überprüfbar sein. Der AICPA-Peer-Review-Status der beauftragten Prüfer ist ein nachprüfbares Kriterium; laut den Delve-Vorwürfen soll einer der beteiligten Auditoren diesen Review nicht bestanden haben. Audit-Firmen mit ausschließlicher Abhängigkeit von einem einzigen Plattformanbieter sind ein Warnsignal. Anbieter, die sowohl Implementierung als auch Prüfung kontrollieren, reproduzieren genau die Struktur, die im Delve-Fall als „struktureller Betrug" beschrieben wird. Und schließlich: Kein SaaS-Vertrag entbindet das eigene Unternehmen von der regulatorischen Verantwortung. Wer das dem externen Anbieter überlässt, überlässt ihm auch das Haftungsrisiko – nur leider nicht die Haftung selbst.