Einer meiner letzten Grundlagen-Posts zu Internal Investigations (hier) endete u.a. mit folgender Bemerkung:
„Vor der Beauftragung [von Ermittlern] sollte […] das Ziel der Ermittlungen und die Taktik des Vorgehens festgelegt und ein dazu passendes Projektteam bestimmt werden, um eine kosteneffiziente Zielerreichung zu gewährleisten.“
Im nachfolgenden Post nehme ich diese Bemerkung wieder auf und werde nachfolgend – auch vor dem Hintergrund des aktuellen Wirecard-Skandals – einige Gedanken zur Ausgangslage, den potentiellen Zielen und der Taktik von internen Ermittlungen anstellen. Die Kenntnis dieser (kriminalistischen) Grundlagen ist nicht nur für den beratenden Anwalt, sondern auch für den Auftraggeber von Anwälten und Ermittlern hilfreich, um die Schnittstellen zwischen den vorgenannten drei Personengruppen hinreichend zu verstehen und entsprechend agieren zu können.
1. Die Ausgangslage
a) „Verdachtsmanagement“ und „Angriffsschwelle“
In der Ausgangslage erhält die Geschäftsleitung Kenntnis von einem Verdacht auf ein – möglicherweise nicht näher spezifiziertes – „Fehlverhalten“. Nun muss die Geschäftsführung nicht jedem Verdacht auf ein Fehlverhalten nachgehen, vielmehr reicht es in einer ersten Stufe aus, die Vorwürfe auf ihre Plausibilität und etwaige Bagatellverstöße hin zu prüfen, letztere bedürfen keiner weiteren Aufklärung. Erweist sich der Verdacht als plausibel und wäre der Verstoß auch nicht als Bagatelle zu werten, erst dann ist die Geschäftsleitung verpflichtet, den potentiellen Verstoß zu verfolgen (sog. „Verdachtsmanagement“).
Als Maßstab für diese Prüfung kann zum einen die Regelung zum Anfangsverdacht, § 152 Abs. 2 StPO, dienen, die die Staatsanwaltschaft zur Aufnahme von Ermittlungen verpflichtet, „sofern zureichende tatsächliche Anhaltspunkte vorliegen.“ (s. zur weiteren Vertiefung auch z.B. die „Richtlinien für die Prüfung eines Anfangsverdachts wegen einer Straftat“ der GStA Brandenburg, hier). Zum anderen kann man für die Bagatellgrenze z.B. die einschlägige Rechtsprechung zu § 248a StGB zum Diebstahl und die Unterschlagung geringwertiger Sachen heranziehen (sog. „Angriffsschwelle“). Bei der Festlegung dieser Maßstäbe ist natürlich auf eine Anpassung an den wirtschaftlichen Bereich zu denken, denn nicht jeder aus Sicht der Compliance eine Aufklärung erforderlich machende Tatbestand stellt eine Straftat dar.
Kommt die Geschäftsleitung zu dem Ergebnis, dass ein aufklärungswürdiges „Fehlverhalten“ („Non-Compliance“, Straftat) oberhalb der Bagatell-Schwelle vorliegt – die „Angriffsschwelle“ also überschritten wurde, so ist die Geschäftsleitung (wohl) grundsätzlich rechtlich verpflichtet, diesem Verdacht nachzugehen und den Sachverhalt aufzuklären (für den Aufsichtsrat einer AG wurde diese Pflicht ausdrücklich z.B. durch die „ARAG/Garmenbeck„-Entscheidung des BGH konkretisiert (s. dazu auch hier).
b) „Bordmittel“ oder Einschaltung externer Berater?
Während die Hinzuziehung externer Berater („Forensic Services„) zur Aufklärung entsprechender Verdachtsfälle im anglo-amerikanischen Rechtskreis seit Jahren geübte Praxis ist, kommt sie – gerade bei deutschen KMU – erst seit dem Dieselskandal so langsam „in Mode“ (s. dazu erneut hier). Sie dürfte aber im Zuge der Einführung des Unternehmensstrafrechts ins deutsche Recht (s. dazu näher hier) – unabhängig von ihrer Sinnhaftigkeit – bald eher die Regel sein. Bei Aktiengesellschaften dürfte sich im Zuge der sog. „Ision„-Rechtsprechung dieses Regel-Ausnahme-Verhältnis bereits umgekehrt haben. Demnach kann „der organschaftliche Vertreter einer Gesellschaft, der nicht selbst über die erforderliche Sachkunde verfügt, kann den strengen Anforderungen an eine ihm obliegende Prüfung der Rechtslage und an die Beachtung von Gesetz und Rechtsprechung nur genügen, wenn er sich unter umfassender Darstellung der Verhältnisse der Gesellschaft und Offenlegung der erforderlichen Unterlagen von einem unabhängigen, für die zu klärende Frage fachlich qualifizierten Berufsträger beraten lässt und den erteilten Rechtsrat einer sorgfältigen Plausibilitätskontrolle unterzieht.“ Dieses Urteil dürfte – wie so oft – auch eine „Abstrahlungswirkung“ zumindest auf größere GmbH’s haben.
Dementsprechend ist wohl nur bei einfach gelagerten (sprich leicht aufzuklärenden) Fällen mit einem geringen Schadenspotential noch davon auszugehen, dass die Geschäftsführung sich ohne Hinzuziehung externer Experten einer persönlichen Haftung wird zuverlässig entziehen können (zu meiner Kritik an dieser überbordenden Verpflichtung von Geschäftsleitern s. schon hier).
Bleibt die Frage, wen genau die Geschäftsleitung zur Aufklärung hinzuziehen sollte. Konkret richtet sich die Aufstellung des entsprechenden Teams natürlich nach der (nachfolgend noch näher besprochenen) Zielstellung. Die schlichte Hinzuziehung eines entsprechend versierten Anwalts wird in den seltensten Fällen reichen, denn zumeist sind Anwälte in der (nachfolgend deswegen näher erläuterten) „kriminalistischen“ Aufklärung von Verdachtsfällen nicht ausreichend versiert. Aus diesem Grund bietet sich im zivilen Bereich die Übernahme der aus dem Bereich der Strafverfolgung bekannten Arbeitsteilung zwischen Staatsanwalt und Polizei in Form der Einschaltung von Rechtsanwälten und Ermittlern an.
Bei der Zusammenstellung des entsprechenden Teams und der Koordinierung durch die Geschäftsleitung ist auf Geheimhaltung zu achten, schon um die Aufklärung nicht zu be- oder verhindern, aber auch um ggü. den Verdächtigen nicht „Rufmord“ zu begehen. Die Weitergabe von Informationen sollte also auf einer „need-to-know„-Basis erfolgen, was gerade bei der erforderlichen Einbindung eines etwaigen Aufsichtsrates eines gewissen Fingerspitzengefühl erfordert.
2. Die (strategische) Zielsetzung
Ist die „Angriffsschwelle“ überschritten, folgt die Zielfestsetzung durch das Team. Die Zielsetzung setzt die Prämissen für das nachfolgend näher erläuterte taktische Vorgehen bei der Aufklärung des Verdachtsfalles.
Ausgangsziel ist immer die Aufklärung des Verdachts, aber bereits in diesem Stadium kann z.B. auch festgelegt werden, dass Strafverfolgungs- oder regulatorischen Behörden die entsprechenden Aufklärungsergebnisse zur Verfügung gestellt werden. Dies ist z.B. rechtlich verpflichtend bei Verstößen gegen das Geldwäschegesetz nach § 43 GWG (s. zum (reformierten) GWG näher hier) oder den Katalogstraftaten des § 138 StGB, kann aber auch nach dem neuen Unternehmensstrafrecht möglicherweise erforderlich werden. Daneben kann das Unternehmen aber auch von sich aus Interesse an einer Strafanzeige haben und/oder den Ausgleich von Vermögensschäden z.B. durch Auffinden und Verwertung entzogener Vermögensgegenstände (sog. „Asset Recovery„) anstreben.
3. Das (taktische) Vorgehen
Das taktische Vorgehen bei der Aufklärung des in Frage stehenden Sachverhaltes sollte sich, ausgehend vom Verdacht, am – ursprünglich von Hans Walder aus dem sog. „Intelligence Cycle“ des Nachrichtenwesens entwickelten (s. dazu auch Beissenhirtz, „Der Blick hinter die Glaskugel“, ZinsO, demnächst) – sog. „kriminalistischen Zyklus“ orientieren.
Der erste Schritt dieses kriminalistischen Zyklus ist mit der Überschreitung der „Angriffsschwelle“ bereits erledigt, in der Folge wird mit dem Investigativ-Team zusammen die Datenlage analysiert, um darauf basierend Hypothesen zu „Tat“ und „Täter“ zu bilden. Im Folgeschritt wird. Die Bezeichnung der „Programmbestimmung“ für den dritten Schritt ist dagegen im ersten (Unter-)Schritt eher missverständlich. In diesem Schritt geht es nicht um die Frage, der „Technik“ zur Aufklärung der Tat, sondern eher um die normative Regelung, die durch die Tag verletzt wurde, im Strafrecht also eine Strafrechtsnorm. Im Unternehmensbereich kann es sich dabei aber auch um (einfache) Compliance-Verstöße ohne jeglichen strafrechtlichen Bezug handeln. Im zweiten Unterschritt wird dann – basierend auf dem hypothetisch als maßgeblich angesehenen Regelverstoß um den Ermittlungsplan, nebst Festlegung der Beweisthemen (was muss bewiesen werden) und Beweismitteln (was dient dem Beweis). Die Datenbeschaffung als nächster Schritt dient dann dazu, die erforderlichen Beweismittel zu erlangen. Sehr häufig werden hierzu Befragungen von Beteiligten erforderlich sein. Weitere Mittel, wie etwa die Einholung von Auskünften Dritter, etwa Bankinformationen, stehen dem Unternehmen oder privaten Ermittlern regelmäßig ohne Einverständnis der Betroffenen nicht zur Verfügung. Am Ende des Zyklus steht dann entweder ein Ergebnis in Form einer (strafprozessual) verwertbaren Beweislage oder aber dem Erfordernis der Anpassung des Verdachts an die aus der Abarbeitung des Zyklus gewonnenen Erkenntnisse. Im ersteren Fall endet die Ermittlungsphase, im letzteren beginnt sie von neuem.
4. Zusammenfassung
Wie so häufig, so sind auch bei Internal Inestigations die ersten Schritte die wichtigsten – und häufig fehlerträchtigsten. Die Schritte vom „Verdachtsmanagement“ zur „Angriffsschwelle“ sollten sehr bewusst gegangen und auch dementsprechend dokumentiert werden, auch um Überreaktionen „im Affekt“ etwa auf Grund eines emotional überschießenden Mitarbeiterverhaltens zu vermeiden.
Neben der (hier nicht vertieft diskutierten) Zusammenstellung des Teams ist in der Anfangsphase eine möglichst genaue Definition der Zielstellung der Ermittlungen erforderlich, die dann in die (wiederholte) Abarbeitung des kriminalistischen Zyklus mündet.
BGH, Urt. v. 21.04.1997 – II ZR 175/95 („ARAG-Garmenbeck“)
BGH, Urt. v. 20.09.2011 – II ZR 234/09 („Ision„)
Walder/Hansjakob, Kriminalistisches Denken, S. 93 ff.