Interne Untersuchung durchführen: Rechtsgrundlagen, Fristen und Beweiswert

Ein Hinweis über die Meldestelle, ein auffälliger Prüfbericht, ein Anruf der Staatsanwaltschaft: Der Verdacht ist da, und die Unternehmensleitung muss innerhalb weniger Stunden entscheiden, wie sie ihn aufklärt. Die Entscheidungen dieser ersten Tage bestimmen, ob die Untersuchung später trägt — arbeitsrechtlich, aufsichtsrechtlich und im Strafverfahren. Dieser Beitrag ordnet ein, was rechtlich zu beachten ist, wenn Unternehmen eine interne Untersuchung durchführen: Zuständigkeiten, Rechtsgrundlagen, Fristen, Berichtsarchitektur und die Fehler, die das Ergebnis entwerten.

Was eine interne Untersuchung ist — und wann das Unternehmen sie durchführen muss

Eine interne Untersuchung (englisch Internal Investigation) ist keine staatliche Ermittlung, sondern die eigenverantwortliche Sachverhaltsaufklärung eines Unternehmens bei einem konkreten Verdacht auf Rechtsverstöße — regelmäßig durch beauftragte Rechtsanwälte und mit dem Ziel eines dokumentierten Abschlussberichts. Ein eigenes Gesetz dazu existiert im deutschen Recht nicht. Die Pflicht zur Aufklärung folgt aus dem Gesellschaftsrecht.

Die Legalitätspflicht der Unternehmensleitung ergibt sich aus § 76 Abs. 1 und § 93 Abs. 1 AktG für die Aktiengesellschaft und aus § 43 Abs. 1 GmbHG für die GmbH; § 91 Abs. 2 AktG verlangt zusätzlich ein Überwachungssystem. Aus diesen Normen leitet die Rechtsprechung die Pflichtentrias „Aufklären – Abstellen – Ahnden“ ab. Das Landgericht München I hat sie im Neubürger-Urteil (LG München I, Urt. v. 10.12.2013 – 5 HK O 1387/10) für die Organhaftung konkretisiert.

Bei plausiblen und erheblichen Verdachtsmomenten für unternehmensbezogene Rechtsverstöße besteht für die Leitung regelmäßig kein Ermessen, ob sie den Sachverhalt aufklärt. Für das „Wie“ gilt die Business Judgment Rule des § 93 Abs. 1 S. 2 AktG — der unternehmerische Ermessensspielraum bei angemessener Informationsgrundlage: Umfang, Tiefe und Mittel der Untersuchung liegen im unternehmerischen Ermessen, solange die Entscheidung auf angemessener Informationsgrundlage getroffen wird. Verletzt die Leitung ihre Aufklärungspflicht, droht persönliche Organhaftung. Für Vorstandsmitglieder enthält § 93 Abs. 2 S. 2 AktG eine ausdrückliche Beweislastregel; bei Geschäftsführern folgt die Haftung aus § 43 Abs. 2 GmbHG, wobei Darlegungs- und Beweislastfragen gesondert zu prüfen sind.

Den typischen Ablauf einer Untersuchung von der Meldung bis zum Bericht behandelt der Leitfaden zu internen Untersuchungen im Unternehmen.

Wer die interne Untersuchung durchführen darf

Beauftragen darf die Untersuchung, wer für die Aufklärung zuständig ist: bei Verdacht gegen Beschäftigte der Vorstand oder die Geschäftsführung, bei Verdacht gegen Organmitglieder der Aufsichtsrat im Rahmen seiner Überwachungsaufgabe nach § 111 Abs. 1 AktG. Diese Weichenstellung ist keine Formalie: Untersucht die Geschäftsführung Vorwürfe gegen sich selbst, ist das Ergebnis angreifbar und im Zweifel wertlos.

Die Verteidigerrolle kann die eigene Rechtsabteilung nicht übernehmen. Nach § 46c Abs. 2 S. 2 BRAO dürfen Syndikusrechtsanwälte in Straf- oder Bußgeldverfahren, die sich gegen ihren Arbeitgeber oder dessen Mitarbeiter richten, nicht als deren Verteidiger oder Vertreter tätig werden. Bei einem unternehmensbezogenen Tatvorwurf erstreckt sich das Verbot auch auf eine parallele Tätigkeit als niedergelassener Rechtsanwalt. Aufklärung, Koordination und Dokumentation durch Rechtsabteilung, Compliance oder Personalabteilung bleiben möglich; die dabei entstehenden Unterlagen genießen aber regelmäßig keinen spezifischen anwaltlichen Beschlagnahmeschutz nach § 97 StPO und fixieren Aussagen, bevor die Rechtslage geklärt ist.

Welche Rolle die beauftragte Kanzlei übernimmt und warum Untersuchungsführung und Unternehmensverteidigung getrennt gehören, vertieft der Beitrag Anwalt für interne Untersuchungen: Rollen, Auswahl und Beschlagnahmeschutz. Ob das Unternehmen die Untersuchungskosten auf den betroffenen Arbeitnehmer abwälzen kann, behandelt der Beitrag zu den Kosten interner Untersuchungen.

Auf welcher Rechtsgrundlage Daten ausgewertet werden dürfen

Die Rechtsgrundlage für die Auswertung von Beschäftigtendaten hat sich verschoben, und das ist in vielen Datenschutzkonzepten noch nicht abgebildet. Der Europäische Gerichtshof hat entschieden, dass eine nationale Vorschrift nur dann eine „spezifischere Vorschrift“ im Sinne des Art. 88 Abs. 1 DSGVO ist, wenn sie über eine Wiederholung der Verordnung hinausgeht und Schutzmaßnahmen nach Art. 88 Abs. 2 DSGVO vorsieht (EuGH, Urt. v. 30.03.2023 – C-34/21; bestätigt durch EuGH, Urt. v. 19.12.2024 – C-65/23). Das Bundesarbeitsgericht hat daraus gefolgert, dass § 26 Abs. 1 BDSG diese Voraussetzungen nicht erfüllt, unangewendet bleiben muss und keine Rechtsgrundlage im Sinne des Art. 6 Abs. 3 DSGVO darstellt (BAG, Urt. v. 08.05.2025 – 8 AZR 209/21).

Ob das auch Satz 2 erfasst, der die Aufdeckung von Straftaten regelt, ist offen: Das Gericht hat zwischen den beiden Sätzen nicht unterschieden, in den tragenden Erwägungen aber nur Satz 1 behandelt. Für die Untersuchungspraxis folgt daraus eine doppelte Begründung. Für gewöhnliche Beschäftigtendaten wird die Auswertung auf Art. 6 Abs. 1 lit. f DSGVO gestützt; bei besonderen Kategorien personenbezogener Daten und bei Daten über Straftaten sind zusätzlich Art. 9 und Art. 10 DSGVO samt der jeweiligen nationalen Öffnungsvorschriften zu prüfen. Die Kriterien des § 26 Abs. 1 S. 2 BDSG — zu dokumentierende tatsächliche Anhaltspunkte, Erforderlichkeit, kein überwiegendes Interesse der beschäftigten Person — bleiben der Maßstab der Interessenabwägung. Inhaltlich ändert sich damit wenig, formal erheblich: Wer die Rechtsgrundlage im Datenschutzkonzept allein mit § 26 BDSG bezeichnet, hat sie nach der derzeitigen Rechtsprechung unvollständig dokumentiert. Ein eigenständiges Beschäftigtendatengesetz ist bislang nicht in Kraft getreten; für die Absätze 2 bis 8 des § 26 BDSG wird die Anwendbarkeit weiterhin gesondert diskutiert und sollte nicht schematisch unterstellt, sondern je Verarbeitung geprüft werden. Der Verdacht muss in jedem Fall vor der Auswertung dokumentiert sein, nicht erst durch sie entstehen.

Bei systematischer Auswertung von Kommunikationsdaten, IT-Forensik oder Videoauswertung ist zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO zu prüfen. Der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) verlangt ein zweistufiges Vorgehen: erst Stichwortsuche, dann Sichtung der Treffer. Eine anlasslose oder nicht eingegrenzte Vollauswertung aller Postfächer wird regelmäßig unverhältnismäßig sein. Je breiter der Zugriff, desto höher sind die Anforderungen an Verdachtsdokumentation, Suchkonzept, Rollenbegrenzung und Datenschutz-Folgenabschätzung.

Werden technische Einrichtungen eingesetzt, die zur Verhaltens- oder Leistungskontrolle geeignet sind, greift das Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG. Ist die private Nutzung dienstlicher Postfächer erlaubt oder geduldet, gelten erhöhte Anforderungen; die Frage, ob das Unternehmen dann telekommunikationsrechtlichen Pflichten unterliegt, ist streitig und nicht abschließend geklärt.

Die Einzelheiten behandelt der Beitrag E-Mail- und Diensthandy-Auswertung in der internen Untersuchung. Zur technischen Umsetzung in größeren Verfahren siehe den Beitrag zu eDiscovery.

Welche Fristen eine interne Untersuchung takten

Die schärfste Frist im Verlauf der Aufklärung ist die Zwei-Wochen-Frist des § 626 Abs. 2 BGB: Eine außerordentliche Kündigung muss innerhalb von zwei Wochen ab dem Zeitpunkt zugehen, in dem der Kündigungsberechtigte von den maßgebenden Tatsachen Kenntnis erlangt. Nach ständiger Rechtsprechung des Bundesarbeitsgerichts beginnt die Frist regelmäßig erst, wenn der Kündigungsberechtigte hinreichend sichere und vollständige Kenntnis der maßgebenden Kündigungstatsachen hat; die dafür erforderlichen Aufklärungsmaßnahmen darf er zügig durchführen.

Das Bundesarbeitsgericht hat diese Linie für Compliance-Untersuchungen bestätigt: Die Beauftragung der eigenen Compliance-Abteilung oder externer Rechtsanwälte mit der Aufklärung setzt die Frist des § 626 Abs. 2 BGB regelmäßig nicht in Gang, und eine rund 18 Monate dauernde Untersuchung war im entschiedenen Fall unschädlich (BAG, Urt. v. 05.05.2022 – 2 AZR 483/21). Eine starre Höchstdauer gibt es nicht; maßgeblich sind Komplexität des Sachverhalts und Zahl der Beteiligten. Die Kenntnis einer nicht kündigungsberechtigten Person wird dem Arbeitgeber nur unter engen Voraussetzungen zugerechnet (BAG, Urt. v. 27.02.2020 – 2 AZR 570/19).

Praktisch folgt daraus keine starre Kurzfrist, sondern eine dokumentationsbedürftige Steuerungsaufgabe: Die Aufklärung muss zügig, sachgerecht und ohne vermeidbare Verzögerungen betrieben werden. Wer die Geschäftsführung laufend mit vollständigen Zwischenständen versorgt, kann die Frist unbeabsichtigt auslösen. Wer sie vollständig aus der Aufklärung heraushält, riskiert den Vorwurf der unsachgemäßen Organisation. Der Bericht an den Kündigungsberechtigten gehört deshalb an das Ende der Untersuchung — und der Zeitpunkt gehört dokumentiert.

Für börsennotierte Unternehmen hat sich die kapitalmarktrechtliche Lage im Juni 2026 geändert. Seit dem 5. Juni 2026 gilt Art. 17 MAR in der Fassung des EU Listing Act (Verordnung (EU) 2024/2809): Veröffentlichungspflichtig ist grundsätzlich nur noch das finale Ereignis eines zeitlich gestreckten Vorgangs. Zwischenschritte bleiben Insiderinformationen im Sinne des Art. 7 MAR, wenn dessen Voraussetzungen erfüllt sind; sie unterliegen dann weiterhin Insiderhandelsverbot und Geheimhaltungspflicht. Ob überhaupt eine Insiderinformation vorliegt, bleibt gesondert zu prüfen. Welche Vorgänge als Endereignis gelten, konkretisiert eine von der EU-Kommission am 8. April 2026 erlassene Delegierte Verordnung: Anhang I nennt 35 Endereignisse in sieben Kategorien, Anhang II acht Fallgruppen, in denen ein Aufschub ausscheidet. Für die Untersuchungspraxis heißt das: Die förmliche Aufschubentscheidung für jeden Zwischenschritt entfällt, die Dokumentation der Vertraulichkeitssicherung wird wichtiger.

Wie der Abschlussbericht aufgebaut sein muss

Der Abschlussbericht ist das Dokument, an dem die Aufklärung später gemessen wird — von der Arbeitsgerichtsbarkeit, von Aufsichtsbehörden und im Strafverfahren. Er sollte deshalb von Beginn an so aufgebaut sein, dass seine Bestandteile trennbar bleiben: Tatsachenfeststellungen, personenbezogene Daten der Betroffenen, rechtliche Würdigung und Hinweise an den Auftraggeber.

Das Bundesarbeitsgericht hat diese Trennung im April 2026 rechtlich aufgewertet. Beschäftigte haben nach Art. 15 Abs. 1 und 3 DSGVO keinen Anspruch darauf, eine Kopie des vollständigen Compliance-Abschlussberichts zu erhalten — auch keine geschwärzte (BAG, Urt. v. 16.04.2026 – 8 AZR 169/25). Der datenschutzrechtliche Auskunftsanspruch richtet sich auf die personenbezogenen Daten, nicht auf das Dokument, in dem sie stehen. Die rechtlichen Ausführungen und die Hinweise an den Mandanten sind nach Auffassung des Senats eigenständige Bestandteile des Berichts, die die betroffene Person nicht benötigt, um ihre Rechte aus Art. 16 bis 18 DSGVO auszuüben. Vorinstanz war das LAG München, Urt. v. 12.06.2025 – 2 SLa 70/25.

Die Berichtsarchitektur entscheidet damit nicht über jeden Zugriff. Auskunft über die enthaltenen personenbezogenen Daten, Einsicht in die Personalakte nach § 83 Abs. 1 BetrVG und prozessuale Vorlagepflichten folgen eigenen Anspruchsgrundlagen und sind gesondert zu prüfen; zum Personalaktenrecht hat der Senat ausgeführt, dass ein Anspruch auf Kopien nur in angemessenem Umfang besteht und nicht die Akte als Ganzes erfasst. Eine bloße Etikettierung von Tatsachenfeststellungen als rechtliche Bewertung entzieht diese der Auskunft nicht. Für die Praxis heißt das, dass die Ablageentscheidung Teil der Untersuchungsplanung ist und nicht der Personalverwaltung überlassen werden sollte.

Was mit den Untersuchungsergebnissen im Strafverfahren geschieht

Unterlagen aus einer internen Untersuchung sind nicht allein deshalb beschlagnahmefrei, weil Rechtsanwälte sie erstellt haben. Das Bundesverfassungsgericht hat in den Jones-Day-Beschlüssen entschieden, dass das Beschlagnahmeverbot des § 97 StPO ein Mandatsverhältnis zu einem Beschuldigten oder zumindest eine beschuldigtenähnliche Stellung voraussetzt; eine künftige Nebenbeteiligung muss nach objektiven Gesichtspunkten überwiegend wahrscheinlich sein (BVerfG, Beschl. v. 27.06.2018 – 2 BvR 1405/17).

Der Europäische Gerichtshof für Menschenrechte hat die dagegen gerichteten Beschwerden zurückgewiesen (EGMR, Entsch. v. 22.10.2024 – 1022/19 und 1125/19, Kock u. a./Deutschland). Die Beschwerden waren offensichtlich unbegründet und damit unzulässig. Es handelt sich um eine Unzulässigkeitsentscheidung, nicht um ein Sachurteil über die Reichweite des anwaltlichen Berufsgeheimnisses. Ihre tragenden Erwägungen sind fallbezogen: Die betroffene Konzerngesellschaft war nicht Mandantin der durchsuchten Kanzlei, und das Mandat war auf die Untersuchung und die Vertretung in den USA beschränkt. Sie schwächt allerdings die Annahme eines konventionsrechtlich zwingenden, umfassenden Schutzes interner Untersuchungsunterlagen. Wer daraus ableitet, interne Untersuchungen seien in Europa schutzlos, verkürzt sie gleichwohl.

Für die Mandatsarchitektur folgt daraus eine praktische Konsequenz: Untersuchungsmandat und Verteidigungsmandat werden getrennt erteilt, getrennt dokumentiert und möglichst von getrennten Teams geführt. Verteidigerkorrespondenz wird gesondert gekennzeichnet und getrennt abgelegt. Die Reichweite des § 97 StPO und die Einordnung der Jones-Day-Beschlüsse behandelt der Beitrag zum Legal Privilege bei der Unternehmensdurchsuchung. Was bei einer Durchsuchung im laufenden Verfahren gilt, behandelt der Beitrag Durchsuchung im Unternehmen.

Was die Untersuchung dem Unternehmen bringt — und was Kooperation wirklich wert ist

Eine ordnungsgemäß geführte Aufklärung wirkt sich auf die Höhe der Unternehmensgeldbuße aus. Nach § 30 Abs. 2 OWiG beträgt der Bußgeldrahmen bis zu 10 Mio. Euro bei vorsätzlichen und bis zu 5 Mio. Euro bei fahrlässigen Anknüpfungstaten; über § 30 Abs. 3 i. V. m. § 17 Abs. 4 OWiG kann der wirtschaftliche Vorteil zusätzlich abgeschöpft werden. Der Bundesgerichtshof hat entschieden, dass ein effizientes Compliance-Management-System bei der Bemessung zu berücksichtigen ist — und zwar auch dann, wenn es erst nach Entdeckung der Tat optimiert wurde (BGH, Urt. v. 09.05.2017 – 1 StR 265/16).

Daneben steht die Einziehung. Hat das Unternehmen durch die Tat eines Leitungsmitarbeiters etwas erlangt, kommt die Einziehung von Taterträgen bei Drittbegünstigten nach § 73b StGB in Betracht. Sie ist keine Sanktion und setzt keinen Vorwurf gegen das Unternehmen voraus; wirtschaftlich trifft sie es oft härter als die Geldbuße. Vertieft behandelt das der Beitrag zur Einziehung im Strafverfahren.

Eine gesetzlich normierte Kooperationsgutschrift mit festem Rabattmechanismus kennt das deutsche Recht nicht. Ein Verbandssanktionengesetz ist nicht in Kraft getreten, Absprachen nach dem Vorbild eines Deferred Prosecution Agreement gibt es nicht. Kooperation wirkt deshalb ausschließlich über die Bemessung und über das Verfahrensermessen der Staatsanwaltschaft — sie ist Verhandlungssache und keine gesicherte Gegenleistung. Wer Unterlagen herausgibt, bevor der Sachverhalt intern vollständig steht, gibt Informationen ohne kalkulierbaren Gegenwert aus der Hand. Den Rahmen der Unternehmenssanktionierung ordnet der Beitrag Unternehmensstrafrecht in Deutschland ein.

Fünf Fehler, die eine interne Untersuchung entwerten

Die folgenden fünf Fehler treten in Verfahren, in denen solche Ergebnisse später angegriffen werden, besonders häufig auf. Sie sind sämtlich vermeidbar, und sie entstehen fast immer in den ersten 48 Stunden.

1. Das klärende Erstgespräch. Personalabteilung oder Compliance sprechen den Betroffenen an, bevor Mandat, Rechtsgrundlage und Belehrungskonzept stehen. Das Gespräch ist nicht geschützt, es fixiert eine Version, und es setzt den Betroffenen unter Druck, bevor er seine Rechte kennt.
2. Der zu späte Legal Hold. Wer nach Bekanntwerden eines Verdachts beweisrelevante Unterlagen oder Daten löscht, riskiert je nach Einzelfall strafrechtliche Folgefragen — bei Urkunden nach § 274 StGB, bei elektronisch gespeicherten Daten nach § 303a StGB, bei Verdeckungshandlungen zugunsten Dritter zusätzlich nach §§ 257, 258 StGB.
3. Die rechtliche Würdigung im Tatsachenteil. Sie macht den Bericht bequemer und die Verteidigung schwerer, weil sie im Fall der Beschlagnahme mitgelesen wird.
4. Der unabgestimmte Behördenkontakt. Unabgestimmte Sachangaben gegenüber Staatsanwaltschaft, BaFin oder Kartellamt können als inhaltliche Positionierung des Unternehmens verstanden werden — auch wenn sie telefonisch erfolgen.
5. Die Auswertung ohne dokumentierten Anlass. Fehlt die Verdachtsdokumentation vor der Datenauswertung, trägt die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO nicht — und mit ihr steht der arbeitsrechtliche Beweiswert des Ergebnisses im Streit.

Ein vorbereitetes Protokoll für den Fall behördlicher Maßnahmen verkürzt die Reaktionszeit erheblich; die Struktur beschreibt der Dawn-Raid-Notfallplan. Eine Übersicht der Grundlagenbeiträge zum Wirtschaftsstrafrecht bietet Das Fundament.

Die Rechtsprechung des Jahres 2026 hat die Position des Unternehmens in zwei Punkten gestärkt: Der datenschutzrechtliche Zugriff auf den vollständigen Untersuchungsbericht ist begrenzt, und die kapitalmarktrechtliche Dokumentationslast bei gestreckten Vorgängen ist gesunken. Der strafprozessuale Kernpunkt bleibt unverändert: Über den Schutz der Untersuchungsunterlagen entscheidet nicht die Sorgfalt der Untersuchung, sondern die Architektur des Mandats — und die wird in den ersten Tagen festgelegt, nicht am Ende.

Quellen

• BVerfG, Beschl. v. 27.06.2018 – 2 BvR 1405/17 u. a. (Jones Day), Volltext
• BVerfG, Beschl. v. 13.01.1981 – 1 BvR 116/77 (Gemeinschuldner), BVerfGE 56, 37
• EGMR, Entsch. v. 22.10.2024 – 1022/19 und 1125/19 (Kock u. a./Deutschland)
• BGH, Urt. v. 09.05.2017 – 1 StR 265/16 (Compliance-Management-System und Bußgeldbemessung)
• BAG, Urt. v. 16.04.2026 – 8 AZR 169/25 (Herausgabe der Kopie eines Compliance-Berichts), ECLI:DE:BAG:2026:160426.U.8AZR169.25.0, Volltext; Vorinstanz LAG München, Urt. v. 12.06.2025 – 2 SLa 70/25
• BAG, Urt. v. 05.05.2022 – 2 AZR 483/21 (§ 626 Abs. 2 BGB bei Compliance-Untersuchungen); Vorinstanz LAG Baden-Württemberg, Urt. v. 03.11.2021 – 10 Sa 7/21
• BAG, Urt. v. 27.02.2020 – 2 AZR 570/19 (Wissenszurechnung nicht kündigungsberechtigter Personen)
• LG München I, Urt. v. 10.12.2013 – 5 HK O 1387/10 (Siemens/Neubürger), ZIP 2014, 570 = BeckRS 2014, 1998
• EuGH, Urt. v. 30.03.2023 – C-34/21; EuGH, Urt. v. 19.12.2024 – C-65/23; BAG, Urt. v. 08.05.2025 – 8 AZR 209/21 (Unanwendbarkeit des § 26 Abs. 1 BDSG)
• Normen: § 626 BGB · § 46c BRAO · § 30 OWiG · Art. 6 Abs. 1 lit. f, Art. 88 DSGVO · § 26 BDSG · § 73b StGB · § 83 Abs. 1 BetrVG · § 17 HinSchG
• Verordnung (EU) 2024/2809 (EU Listing Act), EUR-Lex; Änderungen des Art. 17 MAR anwendbar seit 5. Juni 2026 (konsolidierte Fassung der Verordnung (EU) Nr. 596/2014 vom 05.06.2026); Delegierte Verordnung der EU-Kommission vom 8. April 2026, Anhänge I und II, ergangen auf Grundlage der Ermächtigung in Art. 17 Abs. 12 lit. a MAR