AUF EINEN BLICK
Ein glaubhafter Hinweis auf eine Straftat begründet für die Geschäftsleitung Handlungspflichten, aber keine allgemeine Anzeigepflicht. Die Schrittfolge: Hinweis dokumentieren und bewerten, Legal Hold anordnen, Entscheidungskompetenz klären, Hinweisgeber schützen, Reaktion nach Verhältnismäßigkeit bestimmen. Fristen takten das Vorgehen: sieben Tage Eingangsbestätigung und drei Monate Rückmeldung nach dem Hinweisgeberschutzgesetz, zwei Wochen für eine Kündigung aus wichtigem Grund nach vollständiger Kenntnis. Die Dogmatik von Garantenstellung und Aufsichtspflichtverletzung ist in eigenen Beiträgen vertieft; hier geht es um die Entscheidungsfolge für die Leitungsorgane.
Ein Mitarbeiter meldet Unterschlagungen, ein Lieferant weist auf Schmiergeldzahlungen hin, die Buchhaltung findet systematische Falschbuchungen: Der Hinweis auf eine Straftat trifft die Geschäftsleitung mitten in ihrer Verantwortung. Was in den ersten Tagen geschieht, entscheidet über Haftung, Verfahren und Vertrauen. Der Überblick über Grundlagen, Phasen und Rechtsprechung interner Untersuchungen steht im Leitfaden für interne Untersuchungen im Unternehmen; dieser Beitrag beschränkt sich auf die Handlungsseite der Leitung: Schrittfolge, Zuständigkeiten, Konfliktfälle, Fristen und Verteidigungsbezug.
Schritt 1: Den Hinweis annehmen und bewerten
Erste Maßnahme ist Dokumentation: Kanal, Zeitpunkt und Inhalt des Hinweises werden festgehalten, im Zweifel wörtlich. Bei Meldungen über die interne Meldestelle gelten die Vorgaben des Hinweisgeberschutzgesetzes: Die Meldung ist zu dokumentieren (§ 11 HinSchG), ihr Eingang ist binnen sieben Tagen zu bestätigen (§ 17 Abs. 1 HinSchG), und zu den geplanten und ergriffenen Folgemaßnahmen ist binnen drei Monaten nach der Bestätigung Rückmeldung zu geben (§ 17 Abs. 2 HinSchG). Folgemaßnahmen im Sinne des § 18 HinSchG reichen von der internen Klärung bis zur Einleitung einer Untersuchung; eine automatische Volluntersuchung schreibt das Gesetz nicht vor.
Die Bewertung des Hinweises folgt festen Kriterien: Plausibilität, Schwere des Vorwurfs, betroffene Personen und Unternehmensbereiche, Gefahr fortwirkender Verstöße. Zwei Fehler sind in dieser Phase typisch: die voreilige Konfrontation der betroffenen Person ohne Konzept und die weite Weitergabe des Hinweises im Haus. Wer betroffen sein könnte, erfährt vom Vorwurf erst in einem geordneten Verfahren; der Kreis der Eingeweihten bleibt so klein wie möglich.
Schritt 2: Legal Hold und Beweissicherung anordnen
Der Legal Hold ist die erste rechtsverbindliche Leitungsanordnung nach dem Hinweis. Schriftlich und bestimmt weist sie IT, Fachabteilungen und betroffene Beschäftigte an, E-Mails, Chatverläufe, Buchungsbelege und Systemprotokolle nicht zu löschen, zu verändern oder zu überschreiben; automatische Löschzyklen und Kurzspeicher werden ausgesetzt. Der Anlass ist doppelt: Löschungen können eigenständig strafbar sein — Urkundenunterdrückung nach § 274 StGB, Datenveränderung nach § 303a StGB, bei Verdeckungsabsicht zugunsten anderer auch Begünstigung und Strafvereitelung nach §§ 257, 258 StGB — und sie nehmen der Leitung den Nachweis, ihrer Aufklärungspflicht nachgekommen zu sein. Die Anordnung selbst wird mit Datum, Empfängern und Umfang dokumentiert; sie ist später der Beleg dafür, dass die Leitung unmittelbar reagiert hat.
Vor der inhaltlichen Auswertung von Postfächern und Geräten steht die Prüfung der datenschutzrechtlichen Rechtsgrundlage. Die Grenzen der Auswertung, insbesondere bei erlaubter Privatnutzung, behandelt der Beitrag zur E-Mail- und Diensthandy-Auswertung.
Schritt 3: Entscheidungskompetenz klären und Konfliktfälle erkennen
Über Umfang der Aufklärung, Mandatierung, Behördenkontakte und mögliche Folgemaßnahmen entscheidet die Unternehmensleitung als Organ. Beim mehrgliedrigen Vorstand gilt das Kollegialprinzip: Die Geschäftsführung steht allen Mitgliedern gemeinsam zu, die Geschäftsordnung kann Ressorts verteilen, aber kein Mitglied gegen die Mehrheit entscheiden lassen (§ 77 AktG). In der GmbH entscheidet die Geschäftsführung; ist ein Geschäftsführer selbst betroffen, liegt die Steuerung bei den Gesellschaftern.
Drei Konfliktfälle bestimmen die Praxis. Erstens: Die Leitung selbst oder eines ihrer Mitglieder ist betroffen. Dann darf die Aufklärung nicht unter der Steuerung des Betroffenen bleiben; bei der Aktiengesellschaft vertritt der Aufsichtsrat die Gesellschaft gegenüber Vorstandsmitgliedern (§ 112 AktG) und beauftragt die Untersuchung. Zweitens: Der Compliance Officer ist Adressat des Hinweises oder in den Sachverhalt verwickelt. Er bereitet die Leitungsentscheidung vor, trifft sie aber nicht selbst; seine eigene Stellung und Haftung behandelt der Beitrag zur Haftung von Compliance Officer und General Counsel. Drittens: Hinweisgeber und beschuldigte Person arbeiten eng zusammen. Dann werden Schutz und Verfahren getrennt organisiert; eine Gegenüberstellung unterbleibt.
Schritt 4: Die hinweisgebende Person schützen
Der Schutz des Hinweisgebers ist Rechtsfrage, nicht Kür. Die Identität der Person ist geheim zu halten (§ 8 HinSchG); eine Weitergabe kommt nur mit Einwilligung oder nach § 9 HinSchG in Betracht. Nachteile wegen der Meldung sind untersagt (§ 36 HinSchG), und bei einer Kündigung nach einer Meldung kehrt sich die Beweislast um (§ 36 Abs. 2 HinSchG). Das allgemeine Maßregelungsverbot des § 612a BGB bleibt daneben anwendbar. Schutz heißt organisatorisch: Zugriffe auf Meldeakten protokollieren, Kommunikationswege verschlossen halten, die Identität auch gegenüber der betroffenen Person nicht offenlegen.
Schritt 5: Die Reaktion nach Verhältnismäßigkeit bestimmen
Nicht jeder Hinweis trägt eine Volluntersuchung. Die angemessene Reaktion bemisst sich an Plausibilität, Schwere und Reichweite des Vorwurfs. Ein einzelner Vorgang kann durch eine eng begrenzte Prüfung geklärt werden; beim Verdacht systematischer Delikte, bei Betroffenheit von Organmitgliedern oder bei drohenden behördlichen Maßnahmen ist regelmäßig eine unabhängig gesteuerte Aufklärung zu erwägen. Werden zur Auswertung technische Systeme eingesetzt, die zur Verhaltenskontrolle geeignet sind, ist der Betriebsrat zu beteiligen (§ 87 Abs. 1 Nr. 6 BetrVG). Droht oder läuft eine Durchsuchung, gelten die Verhaltensregeln für die Durchsuchung im Unternehmen.
Fristen und Zeitfenster im Blick behalten
Drei Fristen takten das Verfahren. Das Hinweisgeberschutzgesetz verlangt die Eingangsbestätigung binnen sieben Tagen und die Rückmeldung zu Folgemaßnahmen binnen drei Monaten nach der Bestätigung, ohne Bestätigung spätestens drei Monate und sieben Tage nach Eingang (§ 17 HinSchG). Für personalrechtliche Konsequenzen gilt die Zwei-Wochen-Frist des § 626 Abs. 2 BGB; sie beginnt erst mit der vollständigen Kenntnis des Kündigungsberechtigten und läuft nicht, solange der Sachverhalt mit der gebotenen Eile aufgeklärt wird. Und ausnahmsweise besteht eine echte Anzeigepflicht: Wer von einer geplanten Katalogtat des § 138 StGB — etwa Mord, Raub oder gemeingefährliche Straftaten — glaubhaft erfährt, solange deren Ausführung abwendbar ist, muss Anzeige erstatten. Im Wirtschaftsalltag ist diese Ausnahme praktisch nicht einschlägig.
Die Leitungsentscheidung dokumentieren
Die Dokumentation erfüllt zwei Funktionen. Nach innen belegt sie, dass die Leitung informiert, im Unternehmensinteresse und ohne schiefe Interessen entschieden hat — die Voraussetzungen, unter denen die unternehmerische Entscheidung nach § 93 Abs. 1 Satz 2 AktG haftungsfrei bleibt. Die Entscheidungsakte hält fest: Zeitpunkt der Kenntnis, Bewertung des Hinweises, geprüfte Alternativen, angeordnete Maßnahmen, Mandatierung. Nach außen gilt die Einschränkung: Interne Papiere sind beschlagnahmefähig, ein automatischer Schutz besteht nach der Rechtsprechung nicht (BVerfG, Beschl. v. 27.06.2018 – 2 BvR 1405/17). Deshalb werden verteidigungsrelevante Analysen vom ersten Tag an über das externe Mandat gesteuert und von operativen Unterlagen getrennt; die Pflichtentrias aus Aufklären, Abstellen und Ahnden und die Grenzen der Organhaftung behandeln die verlinkten Beiträge zur Garantenstellung des Vorstands und zur Aufsichtspflichtverletzung nach § 130 OWiG.
Verteidigungsbezug: Anzeige, Kooperation, Selbstanzeige
Die Strafanzeige ist eine bewusste Entscheidung, kein Reflex. Eine allgemeine Pflicht, einen erkannten Straftatbestand anzuzeigen, gibt es nicht; die Ausnahme des § 138 StGB ist oben eingeordnet. Wichtig ist die Kehrseite: Sobald die Staatsanwaltschaft Kenntnis hat, entscheidet sie über das Verfahren allein — die Legalitätspflicht des § 152 Abs. 2 StPO lässt sich nicht wieder abschalten. Kooperation mit den Ermittlungsbehörden kann sich auszahlen, ist aber eine Gabe ohne gesetzliche Gegenleistung; sie gehört erst nach Akteneinsicht und abgeschlossener interner Sachverhaltsklärung in Betracht. Die Pflichtenlandschaft aus Aufklärungs- und Sonderanzeigepflichten ordnet der Beitrag zu den Aufklärungs- und Anzeigepflichten in der internen Untersuchung ein; zur Kooperation als Verteidigungsstrategie der Beitrag zur Kooperation des Unternehmens mit der Staatsanwaltschaft. Das Risiko einer Unternehmensgeldbuße nach § 30 OWiG begleitet jede dieser Entscheidungen.
Häufige Fragen
Muss die Geschäftsleitung nach einem Hinweis auf eine Straftat Anzeige erstatten?
Wer entscheidet über die interne Untersuchung?
Wann beginnt die Zwei-Wochen-Frist für eine Kündigung?
Dürfen wir der betroffenen Person sagen, wer den Hinweis gegeben hat?
Quellen
- Normen: § 17 HinSchG, §§ 8, 9, 11, 18, 36 HinSchG · § 77 AktG, § 112 AktG, § 93 Abs. 1 S. 2 AktG · § 612a BGB, § 626 Abs. 2 BGB · § 87 Abs. 1 Nr. 6 BetrVG · § 152 Abs. 2 StPO · §§ 257, 258, 274, 303a StGB · § 30 OWiG · § 138 StGB
- BVerfG, Beschl. v. 27.06.2018 – 2 BvR 1405/17 u. a. (kein automatischer Beschlagnahmeschutz für Untersuchungsunterlagen)
