Umgang mit Compliance-Verdachtsfällen: Regeln für die Dokumentation

Interne Ermittlungen haben Auswirkungen

Liegt ein konkreter Verdachtsfall für strafbares Verhalten von Beschäftigten oder Geschäftspartnerinnen und Geschäftspartnern vor, werden von Unternehmen oftmals interne Untersuchungen eingeleitet. Allerdings haben solche verdachtsfallbezogenen Untersuchungen (auch bekannt als internal investigations) in der Regel Auswirkungen. Sie sorgen oftmals für interne Aufregung, setzen Mitarbeitende ins Zwielicht und sind möglicherweise geeignet, den Betriebsfrieden zu stören oder Vertrauen bei betroffenen Mitarbeitenden zu untergraben. Gleichzeitig besteht die Gefahr, bei der Durchführung interner Ermittlungen selbst gegen Normen zu verstoßen oder ggf. die weitere Verfolgung zu beeinträchtigen.

Worum geht es? – Umgang mit eher unbestimmten Hinweisen auf mögliche Fehler

Hinweise auf den Umgang mit Verdachtsfällen konzentrieren sich oftmals auf ermittlungstechnische Ratschläge. Das ist dann angemessen, wenn von Beginn an klare Hinweise auf ein individuelles Fehlverhalten vorliegen.

Oftmals liegen den Verantwortlichen im Unternehmen allerdings zunächst lediglich eher unbestimmte Hinweise auf mögliche Fehler oder Verbesserungsmöglichkeiten vor, die näher untersucht werden sollten. Ob sich hieraus dann Verdachtsmomente gegen einzelne Personen ergeben, die die Einleitung zielgerichteter Untersuchungen wegen Fehlverhaltens nahelegen, ist anfangs oftmals ungewiss und muss zunächst erst einmal beurteilt werden.

Orientierungsphase: Untersuchungszielsetzung und Eskalation

Die „Verdachtsschwelle“ für konkrete personenbezogene Ermittlungen gegen Beschäftigte ist in § 26 BDSG enthalten. Gem. § 26 Abs. 1 Satz 2 BDSG ist die Verarbeitung personenbezogener Daten im Beschäftigungsverhältnis zum Zweck der „Verfolgung von Straftaten“ zulässig, wenn

1. zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat,
2. die Verarbeitung zur Aufdeckung erforderlich ist und
3. das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.

Liegen diese konkreten, hinreichend bestimmten Anhaltspunkte für strafbares Verhalten vor,  (strafrechtlich: der sogenannte Anfangsverdacht für die Aufnahme von Ermittlungen), ist die Einleitung von personenbezogenen Untersuchungen zulässig, sei es zur Wahrnehmung der eigenen Sorgfaltsplicht oder sei es, um möglichst schnell über ausreichende Informationen verfügen zu können, die für ein zielgerichtetes Krisen- und Sanktionsmanagement notwendig sind.

Liegen zu Beginn der Überprüfung eines Sachverhaltes noch keine ausreichenden Verdachtsmomente gegen einzelne Beschäftigte vor, sollte daher zunächst geprüft werden, ob andere Möglichkeiten zur Verfügung stehen. Das können anlassbezogene Untersuchungen von Prozessen zur Wahrnehmung von Verbesserungsmöglichkeiten oder der Aufdeckung von verfahrens-/verhaltensbedingten Schwachstellen ebenso sein wie Analysen zur Ermittlung typischer Prozess- und/oder Verhaltensrisiken.

Dabei sollte man stets im Auge behalten, dass sich im Laufe solcher Untersuchungen jederzeit eine Situation herausstellen kann, die die Einleitung von Verdachtsuntersuchungen gegen beteiligte Beschäftigte oder Führungskräfte erforderlich macht. Daher kann es ratsam sein, solche Untersuchungen nicht allein den Fachverantwortlichen zu überlassen, sondern von vornherein im Unternehmen zu eskalieren und interne oder externe neutrale Stellen einzuschalten, damit später nicht der Vorwurf erhoben werden kann, „man habe den Bock zum Gärtner gemacht“.

Unabhängig hiervon ist bei bußgeldbedrohten oder strafbaren Handlungen immer zu prüfen, ob sich die Einschaltung staatlicher Ermittlungsbehörden nicht schon allein wegen der Schwere der Straftaten empfiehlt, um die es möglicherweise geht. Diese Beurteilung ist unabhängig davon, ob eine rechtliche Verpflichtung zur Einschaltung der Ermittlungsbehörden besteht. Eine Rechtsverpflichtung zur Anzeigeerstattung besteht grundsätzlich nur bei ganz schwerwiegenden Delikten (insbesondere in den in § 138 StGB genannten Fällen).

Ferner ist zu prüfen, ob nicht aufgrund spezieller sonstiger gesetzlicher Regelungen  Melde- und Anzeigepflichten bei Aufsichtsbehörden bestehen. Von besonderer Bedeutung sind hier die Verdachtsmeldung nach § 43 GwG oder die Meldung einer „Datenpanne“ nach Art. 33 DSGVO. Darüber hinaus sind besondere Anzeigepflichten enthalten in verschiedenen Regelungen im Umweltbereich, der Produktsicherheit und im Lebensmittel- oder Pharmabereich.

Verdachtsfalluntersuchungen im engeren Sinne

Wird eine Verdachtsfalluntersuchung gegen bestimmte Personen oder Personengruppen eingeleitet oder eine prozess-/risikoorientierte Untersuchung in eine Verdachtsfalluntersuchung überführt, sind bestimmte Maßnahmen zur Wahrung der Belange betroffener Beschäftigter und der gegebenenfalls im Unternehmen bestehenden Spezialregeln zu beachten.

Hierzu gehört zunächst, die Betroffenen über die Einleitung einer Verdachtsfalluntersuchung zu unterrichten und ihnen möglichst schnell Gelegenheit zur Stellungnahme zu geben.

Diese Verpflichtung ist auch in den Art. 13 und 14 DSGVO enthalten, in denen eine unverzügliche Information des/r Betroffenen über die Erhebung von personenbezogenen Daten geregelt ist. Diese Informationspflicht kann unter bestimmten Umständen gem. Art. 14 Abs. 5 DSGVO verzögert erfolgen (z.B. bei konkreter Verdunkelungsgefahr).

Damit werden also nicht nur gesetzliche Vorgaben erfüllt, sondern es entspricht auch einem  respektvollen Umgang miteinander im Unternehmen und trägt einer gebotenen Vertrauenskultur Rechnung. Darüber hinaus erfüllt dies auch ermittlungstaktische Überlegungen: Informierte Mitarbeiter tragen besser und schneller zur Sachverhaltsaufklärung bei.

Nicht nur im Zusammenhang mit Beteiligungsrechten des Betriebsrates oder gegebenenfalls im Hinblick auf unternehmensinterne Spezialregelungen, etwa in Betriebsvereinbarungen über Kontrollmaßnahmen und Datenschutz, ist zu berücksichtigen, dass Verdachtsfalluntersuchungen typischerweise die Erhebung und Verarbeitung personenbezogener Daten mit sich bringen. Das betrifft nicht nur den Rückgriff auf zu anderen Zwecken gespeicherten Mitarbeiterdaten, sondern auch bereits die Dokumentation der Untersuchungsmaßnahmen und Ergebnisse.

Untersuchungstaktische Fragestellungen

Wo liegen für Unternehmen die Grenzen zulässiger Untersuchungsmethoden? Wie ist die Zusammenarbeit mit Strafverfolgungs- und/oder Aufsichtsbehörden? Darf ich Beschäftigten Vertraulichkeit zusichern, um leichter Auskünfte zu erhalten?

Wie Beispielsfälle aus der Vergangenheit zeigen, unterliegen mit unternehmensinternen Verdachtsfalluntersuchungen beauftragte Personen immer wieder der Versuchung, Untersuchungsmethoden einzusetzen, die für Unternehmen nicht erlaubt sind oder auf Informationen zurückzugreifen, die auf nicht rechtskonforme Weise erlangt sind.

Eine Verwertung von im Rahmen interner Untersuchungen auf rechtswidrige Weise erlangter Beweise in späteren gerichtlichen Verfahren ist nicht in jedem Fall gewährleistet. Zudem setzt sich das Unternehmen bei unzulässigen Untersuchungsmaßahmen selbst dem Vorwurf rechtswidrigen und gegebenenfalls strafbaren Verhaltens aus. Betroffenen Beschäftigten stehen unter Umständen Ansprüche wegen der Verletzung ihrer Persönlichkeitsrechte zu. Deshalb muss es das Ziel sein, nur mit zulässigen Untersuchungsmaßnahmen vorzugehen.

Gegebenenfalls, wie etwa beim Einsatz verdeckter Videoüberwachung bei Diebstahlsverdacht, ist zu prüfen, inwieweit auf die weiterreichenden Ermittlungsbefugnisse staatlicher Ermittlungsbehörden zugrückgegriffen werden kann.

Dokumentation der Ergebnisse von Compliance-Verdachtsfalluntersuchungen

Werden im Unternehmen Verdachtsfalluntersuchungen eingeleitet, sollten deren Ergebnisse gegebenenfalls gerichtsverwertbar sein, sei es als Grundlage

• für arbeitsrechtliche Sanktionen und in arbeitsgerichtlichen Verfahren,
• bei der Kündigung von Anstellungsverhältnissen von Unternehmensorganen oder
• im Rahmen von Straf- oder Schadensersatzverfahren.

Hierin unterscheiden sich Verdachtsfalluntersuchungen von Untersuchungen zur Risikoanalyse oder der Wahrnehmung von Verbesserungsmöglichkeiten im Unternehmen. Bei Verdachtsfalluntersuchungen ist daher von vornherein Bedacht auf eine gerichtsverwertbare Dokumentation von Befragungen und Untersuchungsergebnissen zu legen.

Hierbei ist auch zu berücksichtigen, dass Verdachtsfalluntersuchungen nicht selten zu Informationen führen, die auch für Strafverfolgungs- oder Aufsichtsbehörden von Interesse sind. Unternehmensinterne Untersuchungsergebnisse unterliegen keinem Beschlagnahmeverbot und beteiligte Beschäftigte können im Rahmen von Ermittlungsverfahren als Zeuge vernommen werden. Das gilt grundsätzlich auch für Beschäftigte in der Rechtsabteilung und im Unternehmen angestellte Syndikusanwälte (siehe BVerfG vom 27.6.2018 – kein Beschlagnahmeverbot bei internen Ermittlungen, auch wenn diese von Rechtsanwälten durchgeführt werden).

Deshalb ist die Ausgestaltung der Dokumentationen von besonderer Bedeutung, z.B. im Rahmen eines Compliance Case Management Systems.

§ 11 HinSchG enthält hierzu folgende Regelungen zu Dokumentation:

§ 11 Abs. 1 HinSchG: Die Personen, die in einer Meldestelle für die Entgegennahme von Meldungen zuständig sind, dokumentieren alle eingehenden Meldungen in dauerhaft abrufbarer Weise unter Beachtung des Vertraulichkeitsgebots (§ 8 HinSchG).

§ 11 Abs. 55 HinSchG: Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht.

Im Rahmen der Dokumentation innerhalb eines „Compliance Case Management Systems“ sollten deshalb folgende Punkte beachtet werden:

• Unterscheidung zwischen „Orientierungsphase“ und „Ermittlungsphase“.
• Prüfen, ob und wann eine Information bzw. Unterstützung durch Strafverfolgungsbehörden sinnvoll wäre.
• Welche Verdachtsmomente liegen vor, die eine konkrete personenbezogene Ermittlung rechtfertigen?
• Rechtsgrundlage für die einzelnen Ermittlungshandlungen konkret prüfen und dokumentieren (z.B. bei E-Mail-Auswertungen, verdeckten Videoüberwachungen o.Ä.)
• Verdeckte Maßnahmen nur im Ausnahmefall möglich.
• Datenschutzrechtliche Anforderungen an die Information der Betroffenen und bei Auskunftsersuchen beachten (Art. 13 ff DSGVO).
• Dokumentation der internen Kommunikation (mit Geschäftsführung bzw. Fachabteilungen) parallel zu den Ermittlungsmaßnahmen.
• Rechtzeitige Einschaltung der Personalabteilung (Kündigungsfristen).
• Bei Befragungen von Beschäftigten prüfen, ob ein Rechtsbeistand oder eine Unterstützung durch Betriebsrat sinnvoll erscheint.
• Löschung im Rahmen der gesetzlichen Regelungen.
  Sollten sich im Anschluss an eine Ermittlung arbeitsrechtliche, zivilrechtliche oder auch strafrechtliche Verfahren anschließen, muss dies bei der Beurteilung der Löschfristen beachtet werden.
• Allgemein: Beteiligungsrechte der Personalvertretung/des Betriebsrats beachten.