Die Geschäftsführung und Vertretung obliegt dem Stiftungsvorstand, der aus mindestens zwei natürlichen Personen bestehen muss. Er sorgt für die Erfüllung des Stiftungszwecks und ist an die Bestimmungen der Gründungserklärung gebunden. Das Amt darf nicht mit Personen besetzt werden, die nicht vertrauenswürdig sind. Die Vertretungsbefugnis des Stiftungsvorstands ist als Formalvollmacht ausgestaltet und somit nach außen hin unbeschränkbar. In der Gründungserklärung vorgesehene Beschränkungen wirken daher nur im Innenverhältnis.

Die Stiftung hat – ähnlich wie der Verein – über zwei Rechnungsprüfer zu verfügen. Diese unterliegen einer Berichtspflicht iSd § 273 Abs 2 UGB, müssen unabhängig sein und dürfen keinem anderen Organ angehören, dessen Tätigkeit Gegenstand der Aufsicht ist. Betragen die gewöhnlichen Einnahmen oder Ausgaben oder Ausschüttungen der Stiftung in zwei aufeinanderfolgenden Jahren jeweils über eine Million Euro, so ist anstelle der Rechnungsprüfer ein eigener Stiftungsprüfer zu bestellen. Dabei muss es sich um einen unabhängigen Wirtschaftsprüfer, Wirtschaftsprüfergesellschaften oder um Revisoren im Sinne des § 13 Genossenschaftsgesetzes handeln. Durch das Prüforgan aufgezeigte Mängel sind vom Stiftungsvorstand zu beseitigen, widrigenfalls kann es zu seiner Abberufung durch die Behörde kommen.

Gemäß § 21 Abs 1 BStFG können die Gründer in der Gründungserklärung vorsehen, dass ein Aufsichtsorgan (nicht: Aufsichtsrat) zu bestellen ist. Große Stiftungen haben hingegen verpflichtend über ein solches Organ zu verfügen. Das Aufsichtsorgan muss aus mindestens drei natürlichen Personen bestehen, die nicht dem Stiftungsvorstand angehören dürfen. Der Stiftungsvorstand (!) kann das Aufsichtsorgan abberufen, wenn die Voraussetzungen zu seiner verpflichtenden Einrichtung nicht mehr bestehen, sofern das Organ nicht zwingend in der Gründungserklärung vorgesehen ist.

Wie schon das alte BStFG aus dem Jahr 1975 enthält auch das BStFG keinerlei Regelungen hinsichtlich der Haftung der Organe gegenüber der Stiftung. Für den Fall, dass der Stiftung ein Schaden entstanden ist, gelangen daher die Regelungen des allgemeinen Schadenersatzrechts zur Anwendung. Dabei ist, sofern keine vertragliche Beziehung zwischen Stiftung und Organmitgliedern besteht, von einer deliktischen Haftung auszugehen. Das Gesetz schweigt auch zu der Frage, wem die Kompetenz zur Erhebung von Ersatzansprüchen der Stiftung gegen ihre Organmitglieder zukommt. Daher sollten in der Gründungserklärung entsprechende Kompetenzen festgelegt werden.