Aufklärungs- und Anzeigepflichten in der internen Untersuchung: Was Inhouse Counsel ab 2026 wirklich tun muss

---

Wenn ein Aufsichtsrat erstmals Hinweise auf Korruption in einer Tochtergesellschaft erhält, lautet die typische erste Frage des Vorstandsvorsitzenden: „Müssen wir das anzeigen?“ Diese Frage ist falsch gestellt. Sie vermischt zwei Pflichtenkreise, die in der deutschen Rechtsordnung strikt getrennt sind und in der Reihenfolge ihrer Beantwortung vertauscht werden.

Aus Strafverteidigerperspektive zeigt sich immer wieder: Inhouse-Teams und externe Berater behandeln „Aufklärung“ und „Anzeige“ als Kontinuum auf einer Skala — als ob mehr Transparenz immer besser wäre. Das ist falsch. Aufklärung ist eine zwingende, gesellschaftsrechtlich verankerte Pflicht des Vorstands gegenüber dem eigenen Unternehmen. Anzeige ist eine punktuell durch Spezialgesetz angeordnete Pflicht gegenüber bestimmten Behörden in bestimmten Konstellationen. Eine generelle Anzeigepflicht für Wirtschaftsstraftaten gegenüber der Staatsanwaltschaft existiert in Deutschland nicht — und das ist kein Versehen des Gesetzgebers, sondern eine bewusste Architekturentscheidung mit weitreichenden Folgen.

Die These dieses Beitrags: Die Aufklärungspflicht ist persönlicher Haftungsschutz für Vorstand und Geschäftsführer. Die Anzeigepflicht gegenüber Behörden ist außerhalb von Spezialgesetzen ein Mythos — und wird in der Beratungspraxis zu schnell vorausgesetzt. Wer als Inhouse Counsel beide Kreise nicht sauber trennt, riskiert persönliche Haftung des Vorstands gleichzeitig mit einer verfrühten oder überzogenen Selbstanzeige, die das Unternehmen in Strafverfolgung führt, in die es ohne diese Anzeige nicht gekommen wäre.

Drei Ebenen, drei Pflichtenkreise, drei Haftungsregime

Die Pflichten in einer internen Untersuchung lassen sich nicht auf einer einzigen Skala anordnen. Sie zerfallen in drei Ebenen — und die Verwechslung dieser Ebenen ist der häufigste Grund für teure Fehler.

Ebene	Pflichtenkreis	Rechtsgrundlage	Adressat	Haftung bei Verletzung
1	Aufklärungspflicht	§ 93 Abs. 1 AktG, § 43 Abs. 1 GmbHG, ARAG/Garmenbeck-Linie	gegenüber dem eigenen Unternehmen	persönliche Haftung des Vorstands/GF
2	Selbstreinigungspflicht	gesellschaftsrechtliche Treuepflicht	gegenüber dem eigenen Unternehmen	persönliche Haftung des Vorstands/GF
3	Anzeigepflicht	nur durch Spezialgesetz angeordnet	gegenüber bestimmten Behörden	Bußgeld, im Einzelfall Strafbarkeit

Diese Drei-Ebenen-Struktur ist die Grundlage jeder rechtlichen Beratung in der Krise. Sie hilft, sich nicht in den falschen Zwischenfragen zu verlieren.

Aufklärungspflicht: persönlicher Haftungsschutz für den Vorstand

Die Aufklärungspflicht ist nicht primär ein Schutz für das Unternehmen — sie ist ein Schutz für den Vorstand persönlich. Wer als Vorstand oder Geschäftsführer von Hinweisen auf Pflichtverletzungen Kenntnis erhält und nicht aufklärt, haftet persönlich nach § 93 Abs. 2 AktG bzw. § 43 Abs. 2 GmbHG für den daraus entstehenden Schaden des Unternehmens.

Die Grundlinie zieht die ARAG/Garmenbeck-Entscheidung des BGH (BGH 21.04.1997 – II ZR 175/95). Die Grundsätze gelten heute als ständige Rechtsprechung; sie wurden in zahlreichen Folgeentscheidungen — namentlich der Easy-Software-Entscheidung (BGH 18.09.2018 – II ZR 152/17) — fortentwickelt. Easy Software hat die Pflicht des Aufsichtsrats zur Anspruchsverfolgung gegen pflichtwidrig handelnde Vorstandsmitglieder bestätigt und für die Aufsichtsratshaftung wegen Verjährenlassens dieser Ansprüche die Verjährung erst mit Verjährung des Anspruchs gegen das Vorstandsmitglied beginnen lassen — was die zeitliche Reichweite der Aufsichtsratshaftung faktisch verdoppelt.

Drei Punkte sind aus der ARAG/Garmenbeck-Linie für die interne Untersuchung zentral. Erstens: Sobald der Aufsichtsrat (im AG-Kontext) oder die Gesellschafter (im GmbH-Kontext) Hinweise auf Pflichtverletzungen erhalten, sind sie verpflichtet, diesen Hinweisen nachzugehen. Eine bloße Kenntnisnahme ohne Aufklärung verletzt die Pflicht. Zweitens: Die Aufklärung muss objektiv, nachvollziehbar und dokumentiert erfolgen. Eine bloße interne Befragung ohne strukturierte Untersuchung genügt nicht, wenn die Hinweise substantiiert sind. Drittens: Wenn die Aufklärung Schadensersatzansprüche der Gesellschaft gegen einzelne Vorstandsmitglieder oder Geschäftsführer ergibt, sind diese Ansprüche grundsätzlich geltend zu machen. Ein Verzicht ist nur in eng begrenzten Fällen und mit ausführlicher Dokumentation möglich.

Streitpunkt: Business Judgment Rule für die Verfolgungsentscheidung. Die in BGH ARAG/Garmenbeck herausgearbeitete Linie geht davon aus, dass die Verfolgungsentscheidung nach pflichtgemäßer Aufklärung dem allgemeinen unternehmerischen Ermessen unterliegt — mit der Einschränkung, dass nur das Wohl der Gesellschaft maßgeblich sein darf, nicht persönliche Erwägungen. Eine in der Literatur vertretene Mindermeinung (insbesondere Paefgen AG 2008, 761; Koch AG 2009, 93; Goette in Liber Amicorum Winter 2011, S. 153 ff.) will die Business Judgment Rule (§ 93 Abs. 1 S. 2 AktG) ausdrücklich auch auf die Verfolgungsentscheidung des Aufsichtsrats anwenden — mit der Folge, dass die gerichtliche Kontrolle nur noch sehr eingeschränkt erfolgen würde. Die herrschende Meinung (Hüffer/Koch AktG, 17. Aufl. 2023, § 111 Rn. 4 ff.; Hopt/Roth in GK-AktG, 5. Aufl. 2018, § 111 Rn. 339) lehnt das ab und sieht die Verfolgungsentscheidung als rechtlich gebundene Entscheidung mit unternehmerischen Spielräumen nur bei der Frage des „Wie“, nicht des „Ob“.

Für die Praxis folgt daraus: Wer als Aufsichtsrat oder Vorstand entscheidet, von einer Verfolgung abzusehen, muss diese Entscheidung in der Substanz dokumentieren. Eine pauschale Berufung auf „unternehmerisches Ermessen“ hält im Streitfall nicht stand. Die jüngere Rechtsprechung — namentlich die Easy-Software-Linie — hat die Anforderungen an die Dokumentation tendenziell verschärft.

Die operative Konsequenz: Die Aufklärungspflicht ist die zentrale Grundlage jeder internen Untersuchung — und sie wirkt aus zwei Richtungen gleichzeitig. Sie erzwingt eine strukturierte, dokumentierte Aufklärung, weil ohne diese Aufklärung der Vorstand persönlich haftet. Und sie schafft gleichzeitig den Rahmen, in dem Erkenntnisse gewonnen werden, die der Vorstand dann bewerten muss: Welche dieser Erkenntnisse begründen welche Pflichten — gegenüber wem?

Anzeigepflichten: punktuell, nicht generell

Eine generelle Anzeigepflicht für Wirtschaftsstraftaten gegenüber Strafverfolgungsbehörden existiert in Deutschland nicht. Das ist die wichtigste Tatsache, die in jeder Krisensituation am Anfang der Beratung steht — und die regelmäßig in Vergessenheit gerät, weil amerikanische Rechtsberater oder Konzern-Compliance-Teams aus angelsächsischer Tradition mit anderen Annahmen arbeiten.

§ 138 StGB normiert eine Anzeigepflicht für die Nichtanzeige geplanter Schwerststraftaten — Mord, Hochverrat, Geldfälschung, völkerrechtliche Verbrechen. Wirtschaftsstraftaten wie Untreue, Bestechung im geschäftlichen Verkehr, Subventionsbetrug, Steuerhinterziehung sind in dieser Liste nicht enthalten. Wer nicht angezeigt hat, dass im eigenen Unternehmen Bestechungszahlungen geleistet wurden, macht sich nach geltendem Recht nicht strafbar.

Anzeigepflichten existieren nur in Spezialgesetzen, und sie sind dort eng umgrenzt. Für die interne Untersuchung sind acht relevant.

Anzeigepflicht	Rechtsgrundlage	Adressat	Konsequenz bei Verletzung
Verdachtsmeldung Geldwäsche	§ 43 GwG	FIU (Financial Intelligence Unit)	Bußgeld bis 5 Mio. EUR (§ 56 Abs. 3 GwG) bei vorsätzlicher Verletzung
Anzeigepflicht für Berufsträger (Steuerberater, Wirtschaftsprüfer, Rechtsanwälte)	§ 53 GwG	FIU, eingeschränkt	Bußgeld
Berichtigungserklärung Steuern	§ 153 AO	zuständiges Finanzamt	Hinterziehung wird zur Steuerverkürzung; Selbstanzeige-Möglichkeit nach § 371 AO
Schenkungs-/Erbschaftsanzeige	§ 30 ErbStG	zuständiges Finanzamt	Festsetzungsfrist beginnt erst mit Anzeige
Anzeige bei Steuergestaltungen mit grenzüberschreitendem Bezug	§ 138d AO (DAC 6)	BZSt	Bußgeld bis 25.000 EUR pro Verstoß
Datenschutzverletzung	Art. 33 DSGVO	zuständige Aufsichtsbehörde	Bußgeld bis 10 Mio. EUR oder 2 % Konzernumsatz
Arbeitsunfall-Anzeige	§ 193 SGB VII	Berufsgenossenschaft, ggf. Aufsichtsbehörde	Bußgeld
Insiderinformations-Veröffentlichung (Ad-hoc)	Art. 17 MAR	BaFin	Bußgeld nach § 120 WpHG

Diese Liste ist nicht abschließend; sie deckt aber die häufigsten Anwendungsfälle in einer internen Wirtschaftsstrafrechts-Untersuchung ab.

Außerhalb dieser Spezialregelungen gibt es im deutschen Recht keine Pflicht, gegenüber Strafverfolgungsbehörden zu offenbaren, dass im eigenen Unternehmen eine Straftat begangen wurde — auch dann nicht, wenn die Untersuchung den Sachverhalt vollständig aufgeklärt hat.

Was es gibt, sind taktische Vorteile aus einer freiwilligen Selbstanzeige. Diese Vorteile sind in einigen Konstellationen erheblich, in anderen marginal. Sie zu kennen, ist Voraussetzung jeder belastbaren Beratungsentscheidung.

Steuerstrafrecht: § 153 AO und § 371 AO im Zusammenspiel

Die wichtigste und in der Praxis häufigste Anzeigepflicht ist § 153 AO. Wenn das Unternehmen erkennt, dass eine eingereichte Steuererklärung unrichtig war und dies zur Verkürzung von Steuern geführt hat, besteht eine Berichtigungspflicht. Die Pflicht trifft sowohl den Steuerschuldner selbst als auch alle Personen, die für seine steuerlichen Angelegenheiten verantwortlich sind — Vorstand, Geschäftsführer, Steuerabteilungsleiter.

Die Berichtigung nach § 153 AO ist nicht zu verwechseln mit der Selbstanzeige nach § 371 AO. § 153 ist die schlichte Korrektur einer im Nachhinein als unrichtig erkannten Erklärung; sie führt zur Nacherhebung der zu wenig festgesetzten Steuer plus Hinterziehungszinsen, aber nicht zwingend zu einem Steuerstrafverfahren. Ist die ursprüngliche Erklärung dagegen vorsätzlich unrichtig abgegeben worden, hilft nur die Selbstanzeige nach § 371 AO — und sie wirkt strafbefreiend nur unter sehr engen Voraussetzungen. Die zentrale Hürde ist § 371 Abs. 2 AO: Die Selbstanzeige ist gesperrt, sobald gegen den Anzeigenden ein Steuerstrafverfahren bekannt gemacht wurde, eine Außenprüfung angeordnet wurde oder die Tat ganz oder zum Teil entdeckt wurde und der Anzeigende dies wusste oder bei verständiger Würdigung der Sachlage damit rechnen musste.

Die zeitliche Dimension wird oft unterschätzt. Die Festsetzungsfrist nach § 169 Abs. 2 AO beträgt für die wichtigsten Steuerarten — Einkommen-, Lohn-, Gewerbe-, Körperschaft- und Umsatzsteuer (jeweils Besitz- und Verkehrsteuern) — vier Jahre nach § 169 Abs. 2 S. 1 Nr. 2 AO. Bei Steuerhinterziehung verlängert sich diese Frist auf zehn Jahre nach § 169 Abs. 2 S. 2 AO; bei leichtfertiger Steuerverkürzung nach § 378 AO auf fünf Jahre. Für Verbrauchsteuern gilt nach § 169 Abs. 2 S. 1 Nr. 1 AO grundsätzlich nur ein Jahr.

Parallel zur Festsetzungsfrist läuft die strafrechtliche Verfolgungsverjährung. Sie beträgt für die einfache Steuerhinterziehung nach § 370 Abs. 1 AO fünf Jahre (§ 78 Abs. 3 Nr. 4 StGB i.V.m. § 369 Abs. 2 AO). Für besonders schwere Fälle der Steuerhinterziehung nach § 370 Abs. 3 AO greift seit der Reform durch das Zweite Gesetz zur Bekämpfung von Steuerumgehung (2020) und das nachfolgende Steuerumgehungs- und Cum-Ex-Maßnahmengesetz (2024) eine verlängerte Frist von 15 Jahren nach § 376 Abs. 1 AO. Die Praxis-Konsequenz: Der Sachverhalt eines Cum-Ex-Geschäfts aus dem Jahr 2010 ist 2026 strafrechtlich noch immer verfolgbar; auch die Festsetzung der Steuer bleibt für den verlängerten Zeitraum von zehn Jahren möglich.

In der internen Untersuchung muss deshalb die zeitliche Architektur des Sachverhalts früh geklärt werden. Drei Fragen entscheiden über die Verfahrenslage. Ist die Festsetzungsfrist abgelaufen? Ist die Verfolgungsverjährung eingetreten? Sind die Voraussetzungen einer wirksamen Selbstanzeige nach § 371 AO noch gegeben?

Der praktische Hebel der Selbstanzeige bei Steuerhinterziehung ist erheblich. Bei rechtzeitiger und vollständiger Selbstanzeige entfällt die Strafbarkeit. Bei einem Hinterziehungsbetrag über 25.000 EUR pro Tat ist allerdings nach § 398a AO ein Zuschlag zwischen 10 und 20 Prozent zu zahlen, gestaffelt nach Höhe des Hinterziehungsbetrags. Über 1 Mio. EUR liegt der Zuschlag bei 20 Prozent.

Geldwäsche: § 43 GwG und der Tatbestand des Verdachts

§ 43 GwG verpflichtet bestimmte Verpflichtete zur Verdachtsmeldung an die Financial Intelligence Unit (FIU). Verpflichtete sind unter anderem Banken, Versicherer, Wirtschaftsprüfer, Steuerberater, Rechtsanwälte (nur eingeschränkt nach § 43 Abs. 2 GwG), Immobilienmakler und Güterhändler ab bestimmten Schwellenwerten. Für ein typisches Industrieunternehmen ist § 43 GwG zumeist nicht direkt anwendbar — wohl aber für seine Hausbank, die Steuerberatung und die externen Wirtschaftsprüfer.

Die Pflicht ist tatbestandlich an einen „Verdacht“ geknüpft. Wann ein Verdacht vorliegt, ist in § 43 Abs. 1 GwG normiert: Es genügt, dass Tatsachen vorliegen, die darauf hindeuten, dass eine Geldwäsche- oder Terrorismusfinanzierungs-Straftat begangen wurde oder versucht wurde. Eine richterliche Würdigung der Tatsachen ist nicht Voraussetzung; der Verpflichtete muss vielmehr selbst eine plausibilitätsbasierte Bewertung vornehmen.

Die Verletzung der Pflicht kann nach § 56 Abs. 3 GwG mit einem Bußgeld bis zu 5 Mio. EUR geahndet werden — bei vorsätzlicher Verletzung. Bei juristischen Personen kommen zusätzlich zur Bußgeldbemessung nach § 30 OWiG die Höchstbeträge der GwG-spezifischen Sanktionen (5 Mio. EUR oder 10 Prozent des Jahresumsatzes nach § 56 Abs. 1 GwG) zur Anwendung; in dieser Spezialregelung liegt eine umsatzbezogene Komponente, die in § 30 OWiG selbst nicht enthalten ist.

In der internen Untersuchung ist § 43 GwG vor allem dann relevant, wenn die Bank bereits aufgrund von ungewöhnlichen Transaktionen eine Verdachtsmeldung erstattet hat, oder wenn das Unternehmen selbst feststellt, dass es in Geldwäsche-Sachverhalte verwickelt sein könnte. In dieser Konstellation läuft die FIU-Untersuchung parallel zur internen Untersuchung — und die Information aus der internen Untersuchung kann unter den Voraussetzungen des § 49 GwG der Strafverfolgung zugänglich gemacht werden.

DSGVO Art. 33: 72-Stunden-Pflicht

Die Datenschutzverletzung gehört zu den Fällen, in denen eine Anzeigepflicht ungewöhnlich kurze Frist hat. Art. 33 DSGVO verlangt die Meldung binnen 72 Stunden nach Kenntnisnahme der Verletzung an die zuständige Aufsichtsbehörde, sofern nicht das Risiko für die Rechte und Freiheiten der betroffenen Personen als gering eingeschätzt werden kann.

In der internen Untersuchung kommt die Frage typischerweise auf, wenn im Rahmen der Aufklärung selbst eine Datenschutzverletzung sichtbar wird — etwa, dass ein Mitarbeiter Kundendaten zu eigenen Zwecken kopiert hat, dass ein externer Dienstleister Zugriff auf Daten hatte, die er nicht haben durfte, oder dass eine Konzern-interne Datenübertragung ohne hinreichende Rechtsgrundlage erfolgte. Hier ist Inhouse Counsel in besonderer Weise gefordert: Die 72-Stunden-Frist beginnt mit der Kenntnisnahme der „Verletzung“, nicht erst mit dem Abschluss der Untersuchung. Eine zu späte Meldung ist eigenständiger Bußgeldtatbestand.

Die Bewertung, ob ein „Risiko für die Rechte und Freiheiten“ vorliegt, ist eine eigenständige Einschätzungsentscheidung. Sie sollte schriftlich dokumentiert werden — sowohl die Bewertung selbst als auch die zugrundeliegenden Tatsachen. Im Streitfall muss diese Dokumentation nachgewiesen werden können.

Kapitalmarkt: Art. 17 MAR und der EU Listing Act

Für börsennotierte Unternehmen kommen die kapitalmarktrechtlichen Veröffentlichungspflichten nach Art. 17 MAR hinzu. Die Pflicht zur unverzüglichen Veröffentlichung von Insiderinformationen ist für die interne Untersuchung relevant, wenn die Sachverhalte selbst kursrelevant sind: ein erheblicher Bilanzfehler, eine bevorstehende Behördenuntersuchung mit absehbaren Konsequenzen, eine Vorstandsentlassung wegen einer aufgedeckten Pflichtverletzung.

Die EU hat mit dem Listing Act (Verordnung (EU) 2024/2809 vom 23. Oktober 2024) die Veröffentlichungspflichten von Insiderinformationen reformiert; die wesentlichen Änderungen treten gestaffelt in Kraft. Die zentrale Praxis-Änderung: Bei Zwischenstufen eines gestreckten Vorgangs (zum Beispiel Verhandlungen über einen Großauftrag mit unsicherem Ausgang) muss nur noch die finale Information veröffentlicht werden — nicht mehr jeder Zwischenschritt. Inhouse Counsel und Compliance-Verantwortliche sollten die jeweils einschlägigen Anwendungsdaten der einzelnen Listing-Act-Bestandteile vor jedem konkreten Anwendungsfall prüfen, weil sich der Übergang zwischen alter und neuer Rechtslage über mehrere Stichtage erstreckt.

Die operative Konsequenz für interne Untersuchungen: Die Veröffentlichungs-Architektur sollte vor Untersuchungsbeginn mit dem Vorstand und dem zuständigen Bereichsvorstand IR/Kommunikation abgestimmt werden. Die Frage „Wann ist die Information so verdichtet, dass sie zu veröffentlichen ist?“ ist eine der schwierigsten in jeder größeren Untersuchung — und sie sollte nicht spontan in der laufenden Untersuchung beantwortet werden.

Anzeigepflichten ggü. Aufsichtsbehörden in regulierten Sektoren

Für Unternehmen in stark regulierten Sektoren gelten zusätzliche, oft sehr spezifische Anzeigepflichten. Banken und Finanzdienstleister sind nach § 24c KWG i.V.m. den FAQ der BaFin verpflichtet, bestimmte Sachverhalte zu melden. Versicherer haben nach VAG entsprechende Pflichten. Pharmaunternehmen haben Meldepflichten nach AMG und MPG. Energieversorger nach EnWG. Telekommunikationsunternehmen nach TKG.

In der internen Untersuchung müssen diese sektorspezifischen Pflichten früh identifiziert werden. Sie bestehen regelmäßig parallel zu allgemeinen Pflichten wie § 153 AO, Art. 33 DSGVO und Art. 17 MAR — und ihre Verletzung kann eigenständig sanktioniert werden, auch wenn die allgemeinen Pflichten erfüllt wurden.

Bonusantragsregelung im Kartellrecht: das größte Optimierungs-Potenzial

Die deutsche Bonusantragsregelung des Bundeskartellamts (in Kraft seit 2006, mit Anpassungen 2017 und 2021) bietet bei Kartelldelikten den größten praktischen Hebel. Die Grundstruktur ist klar, der deutsche Begriff dafür lautet „Bonusantrag“ — nicht „Tier 1″, was eine Übersetzung aus dem EU-Kontext wäre.

Wer als erster ein Kartell offenbart und die im Bonusprogramm vorgesehenen Voraussetzungen erfüllt — Beweismittel beibringen, Kooperation zusichern, eigenes Verhalten einstellen — bekommt vollständige Bußgelderlassung („Marker“). Wer als zweiter oder später kommt, kann einen Reduktionsbonus zwischen 30 und 50 Prozent erhalten, je nach Mehrwert der gelieferten Beweise. Der Marker ist zeitkritisch: Er wird in der Reihenfolge der Anträge vergeben.

Für die interne Untersuchung folgt aus dieser Architektur: Wenn der Sachverhalt überhaupt nur ansatzweise Kartellrelevanz hat, ist die Frage des Bonusantrags innerhalb von Tagen, nicht Wochen, zu entscheiden. Eine spät kommende Bonusantragsstellung — etwa nachdem die Konkurrenz bereits ihren Antrag eingereicht hat — verliert den maximalen Hebel.

Auf EU-Ebene gilt die parallele Kronzeugenregelung der Europäischen Kommission. Sie ist eng an die deutsche Regelung angelehnt, hat aber eigene Verfahrensregeln. Bei grenzüberschreitenden Kartellen ist deshalb eine koordinierte Strategie zwischen deutschem und EU-Antrag erforderlich.

Privilegien: was bleibt vertraulich?

Die Frage, welche Erkenntnisse einer internen Untersuchung vertraulich bleiben und welche herausgegeben werden müssen, ist eines der schwierigsten Themen des deutschen Wirtschaftsstrafrechts. Drei Linien sind zu unterscheiden.

Verteidigerunterlagen nach § 148 StPO sind absolut geschützt, soweit sie der Verteidigung im konkreten Strafverfahren dienen. Die Schutzwirkung entsteht aber erst mit dem Mandatsverhältnis Verteidiger-Beschuldigter — nicht mit dem Mandatsverhältnis Berater-Unternehmen. Wer als externer Untersuchungsführer den Sachverhalt aufklärt, ohne formal Verteidiger eines konkreten Beschuldigten zu sein, schafft Beweismittel mit eingeschränktem Schutz.

Anwaltskorrespondenz mit dem Mandanten ist nach § 53 StPO und § 97 StPO geschützt, soweit es um eigene Akten und Korrespondenz des Anwalts geht. Die Reichweite des Schutzes ist seit dem Jones-Day-Fall (BVerfG 27.06.2018 – 2 BvR 1405/17, 2 BvR 1780/17) Gegenstand intensiver Diskussion. Das BVerfG hatte die Beschlagnahme bei Jones Day Munich für verfassungsrechtlich unbedenklich erklärt, soweit die Akten der internen Untersuchung im Rahmen einer durch Volkswagen erteilten Mandatierung erstellt worden waren und das Unternehmen selbst nicht Beschuldigter war. Die nachfolgende Diskussion in der Literatur (etwa Wessing/Berchner WiBe 2019, 89 ff.; Knauer NStZ 2019, 213 ff.) hat die Schwächen des Schutzes herausgearbeitet.

Interne Untersuchungs-Erkenntnisse als solche sind nicht privilegiert. Wenn die Staatsanwaltschaft das Unternehmen oder dessen Tochtergesellschaft durchsucht, kann sie die im Unternehmen vorhandenen Untersuchungsberichte beschlagnahmen — auch dann, wenn diese Berichte von externen Anwälten erstellt wurden. Der Schutz greift nur für die Akten, die in der Anwaltskanzlei verbleiben.

Die operative Konsequenz: Die Privilegien-Architektur muss vor Untersuchungsbeginn entschieden werden. Wer Untersuchungsergebnisse maximal schützen will, lässt sie ausschließlich in der externen Kanzlei erstellen und führt sie nicht auf Unternehmens-IT. Wer praktisch arbeiten will und etwa parallel Compliance-Verbesserungen umsetzen will, akzeptiert eine reduzierte Privilegien-Stärke. Eine dritte Variante — die parallele Mandatierung externer Verteidiger für einzelne Beschuldigte — schafft zusätzlichen Schutz für die Kommunikation zwischen Verteidiger und Beschuldigtem.

Inhouse-Counsel-Checkliste: drei Phasen, klare Reihenfolge

Aus den drei Pflichtenkreisen folgt eine klare Reihenfolge der Bearbeitung. Sie ist in der Akut-Phase einzuhalten, weil die Vermischung der Phasen die typischen Fehler produziert.

Phase 1: Aufklärung sicherstellen (Tag 1 bis Tag 30). Mandatierung externer Untersuchungsführer mit Privilegien-bewusster Architektur. Legal Hold. DSFA. Stichprobenartige Erstermittlung. Entscheidung über Voll-Untersuchung.

Phase 2: Anzeigepflichten prüfen (Tag 1 bis Tag 5, parallel zu Phase 1). Kataloghafte Prüfung der acht in der obigen Tabelle genannten Spezialgesetze. Bei Treffern: Frist berechnen, Adressat identifizieren, Inhalt der Anzeige formulieren. Bei DSGVO-Verletzung: 72-Stunden-Frist beachten. Bei MAR-Insiderinformation: unverzüglich.

Phase 3: Strategische Entscheidungen (Tag 30 bis Tag 90). Selbstanzeige nach § 371 AO? Bonusantrag beim Bundeskartellamt? Veröffentlichung nach Art. 17 MAR? Verfolgung der Schadensersatzansprüche gegen Vorstand/Geschäftsführer? Diese Entscheidungen erfolgen nach Abschluss der substanziellen Aufklärung — nicht früher.

Der häufigste Fehler ist die Vermischung von Phase 2 und Phase 3. Wer in Phase 2 voreilig eine Anzeige erstattet, weil es „sich so gehört“, produziert ein Strafverfahren, das ohne Anzeige nicht eingeleitet worden wäre. Wer in Phase 3 die Anzeigepflichten neu prüft, weil sie in Phase 2 vergessen wurden, hat oft Fristen versäumt und Bußgelder ausgelöst.

Was bei der Behördenkonfrontation aus dem Pflichten-Mix wird

Aus Strafverteidigerperspektive zeigt sich am Ende einer Untersuchung das gleiche Muster wie bei der eDiscovery: Die schlampige Architektur wird zum Argument der Gegenseite. Wenn die Aufklärung nicht ARAG/Garmenbeck-konform dokumentiert war, wird die persönliche Haftung des Vorstands einklagbar. Wenn die Anzeigepflichten in Phase 2 vergessen wurden, kommt das Bußgeld der Aufsichtsbehörde additiv zum Verbandsbußgeld. Wenn die Selbstanzeige nach § 371 AO zu spät kam — nach Bekanntwerden der Außenprüfung —, ist sie unwirksam und das Steuerstrafverfahren läuft.

Eine sauber strukturierte Untersuchung erfüllt die Aufklärungspflicht des Vorstands gegenüber dem Unternehmen, hält die Anzeigepflichten gegenüber Behörden ein, und überlässt die strategischen Entscheidungen — Selbstanzeige, Bonusantrag, MAR-Veröffentlichung, Anspruchsverfolgung — der zweiten Phase nach abgeschlossener Aufklärung. Diese Architektur ist die einzige, die in der späteren Behördenkonfrontation hält.

Häufige Fragen

Muss ich eine im Unternehmen aufgedeckte Straftat anzeigen?

Nicht, wenn es sich um eine Wirtschaftsstraftat handelt. § 138 StGB betrifft nur die Nichtanzeige geplanter Schwerststraftaten wie Mord oder Hochverrat. Wirtschaftsstraftaten wie Untreue, Bestechung, Subventionsbetrug oder Steuerhinterziehung sind nicht erfasst. Anzeigepflichten bestehen nur in den in den Spezialgesetzen geregelten Fällen — etwa § 153 AO bei nachträglich erkannter Steuerhinterziehung, § 43 GwG bei Geldwäsche-Verdacht (für Verpflichtete), Art. 33 DSGVO bei Datenschutzverletzung und Art. 17 MAR bei kursrelevanten Insiderinformationen.

Was passiert, wenn ich eine Anzeigepflicht versäume?

Die Konsequenz hängt vom verletzten Spezialgesetz ab. Bei DSGVO-Art. 33: Bußgeld bis zu 10 Mio. EUR oder 2 Prozent des Konzernumsatzes (Art. 83 Abs. 4 DSGVO). Bei § 43 GwG: Bußgeld bis zu 5 Mio. EUR (§ 56 Abs. 3 GwG). Bei § 153 AO: Wandlung der Steuerhinterziehung in Steuerverkürzung mit Hinterziehungszinsen, in Einzelfällen Strafbarkeit nach § 370 AO durch Unterlassen. Bei Art. 17 MAR: Bußgeld nach § 120 WpHG bis zu 5 Mio. EUR oder 15 Prozent des Konzernumsatzes (für die juristische Person).

Wann muss eine GwG-Verdachtsmeldung erstattet werden?

§ 43 GwG verlangt die Verdachtsmeldung an die Financial Intelligence Unit (FIU), wenn Tatsachen darauf hindeuten, dass eine Geldwäsche- oder Terrorismusfinanzierungs-Straftat begangen oder versucht wurde. Ein gerichtsfester Beweis ist nicht erforderlich. Die Pflicht trifft nur die in § 2 GwG genannten Verpflichteten — Banken, Versicherer, Wirtschaftsprüfer, Steuerberater, Rechtsanwälte (eingeschränkt nach § 43 Abs. 2 GwG), Immobilienmakler, Güterhändler ab bestimmten Schwellenwerten. Für Industrieunternehmen ohne diese Eigenschaft besteht keine direkte GwG-Pflicht.

Wie lange habe ich nach einer Datenschutzverletzung Zeit?

Nach Art. 33 DSGVO 72 Stunden ab Kenntnisnahme. Die Frist beginnt mit der Kenntnis der „Verletzung“, nicht erst mit dem Abschluss der Untersuchung. Eine Meldung kann unterbleiben, wenn nach pflichtgemäßer Bewertung kein „Risiko für die Rechte und Freiheiten“ der betroffenen Personen besteht. Die Bewertung muss schriftlich dokumentiert werden. Bei Risiko für die Rechte und Freiheiten ist auch die Information der betroffenen Personen nach Art. 34 DSGVO zu prüfen.

Was ist die Bonusantragsregelung im Kartellrecht?

Eine Regelung des Bundeskartellamts (in Kraft seit 2006), nach der das erste Unternehmen, das ein Kartell offenbart und die Bonusvoraussetzungen erfüllt, vollständige Bußgelderlassung erhält. Spätere Antragsteller können einen Reduktionsbonus zwischen 30 und 50 Prozent erhalten, je nach Mehrwert der gelieferten Beweise. Der Marker für die vollständige Erlassung wird in der Reihenfolge der Anträge vergeben. Bei grenzüberschreitenden Kartellen ist eine parallele EU-Kronzeugenregelung der Europäischen Kommission zu beachten und mit dem deutschen Antrag zu koordinieren.

Wie unterscheiden sich Aufklärungspflicht und Anzeigepflicht?

Die Aufklärungspflicht trifft den Vorstand bzw. die Geschäftsführer gegenüber dem eigenen Unternehmen. Sie folgt aus § 93 Abs. 1 AktG bzw. § 43 Abs. 1 GmbHG und der ARAG/Garmenbeck-Linie des BGH. Verletzung führt zur persönlichen Haftung. Die Anzeigepflicht trifft das Unternehmen oder bestimmte Personen gegenüber Behörden. Sie besteht nur in den in Spezialgesetzen geregelten Fällen. Verletzung führt zu Bußgeld, in Einzelfällen zur Strafbarkeit. Die beiden Pflichten haben unterschiedliche Adressaten, unterschiedliche Rechtsgrundlagen und unterschiedliche Sanktionsfolgen.

Gilt § 153 AO auch für Steuern aus Vorjahren?

Ja, im Rahmen der Festsetzungsfrist nach § 169 AO. Die Standardfrist beträgt vier Jahre für Besitz- und Verkehrsteuern (§ 169 Abs. 2 S. 1 Nr. 2 AO). Bei Steuerhinterziehung verlängert sich die Frist auf zehn Jahre, bei leichtfertiger Steuerverkürzung auf fünf Jahre (§ 169 Abs. 2 S. 2 AO). Innerhalb dieser Frist besteht die Berichtigungspflicht nach § 153 AO. Nach Ablauf der Frist ist eine Festsetzung unzulässig — der Sachverhalt fällt aus der steuerrechtlichen Betrachtung; strafrechtlich gilt die parallele Verfolgungsverjährung nach § 78 StGB bzw. die verlängerte 15-Jahres-Frist nach § 376 AO bei besonders schweren Fällen.

Welche Pflichten habe ich, wenn das Unternehmen kapitalmarktorientiert ist?

Zusätzlich zu den allgemeinen Pflichten greift Art. 17 MAR (Marktmissbrauchsverordnung) für die unverzügliche Veröffentlichung kursrelevanter Insiderinformationen. Bei einer internen Untersuchung sind kursrelevant typischerweise: erhebliche Bilanzfehler, bevorstehende Behördenuntersuchungen mit absehbaren Konsequenzen, Vorstandsentlassungen wegen aufgedeckter Pflichtverletzungen. Der EU Listing Act (VO 2024/2809) hat die Veröffentlichungspflichten reformiert, insbesondere für Zwischenstufen gestreckter Vorgänge. Die einzelnen Bestandteile der Reform treten gestaffelt in Kraft; der konkrete Anwendungsstand ist bei jedem Anwendungsfall zu prüfen. Neben Art. 17 MAR sind §§ 14, 15 WpHG zu beachten.

Grundlage: Rechtlicher Überblick

• Interne Untersuchungen im Unternehmen: Leitfaden für General Counsel
• Unternehmensstrafrecht: Haftung, Sanktionen & Verteidigung
• § 30 OWiG — Unternehmensgeldbuße