Interne Untersuchungen - beck-shop.de DIE FACHBUCHHANDLUNG

Interne Untersuchungen
Praxisleitfaden für Unternehmen
von
Dr. Wolfgang Heckenberger, Dr. Klaus Moosmayer, Niels Hartwig, Rainer-Diethardt Bührer, Dr. Jens Burgard,
Susanne Gropp-Stadler, Dr. Susanne Rabl, Florian Thoma, Dr. Antonie Wauschkuhn, Christina Wolfgramm, Dr.
Mirjam-Dora Weiße
1. Auflage
Interne Untersuchungen – Heckenberger / Moosmayer / Hartwig / et al.
wird vertrieben von beck-shop.de
Thematische Gliederung:
Unternehmensrecht
Verlag C.H. Beck München 2012
Verlag C.H. Beck im Internet:
www.beck.de
ISBN 978 3 406 62819 1
Inhaltsverzeichnis: Interne Untersuchungen – Heckenberger / Moosmayer / Hartwig / et al.

96
F. Datenschutzrechtliche Rahmenbedingungen
Diensteanbieter kann dabei grds. nicht nur ein „klassischer“ Anbieter wie etwa die
Deutsche Telekom oder Vodafone sein, sondern auch eine Tochtergesellschaft in einem
Konzern, die vergleichbare Leistungen für Konzerngesellschaften erbringt; Diensteanbieter
ist nämlich, wer geschäftsmäßig Telekommunikationsdienste erbringt oder daran
mitwirkt (§ 3 Nr. 6 TKG). Geschäftsmäßiges Handeln setzt ein nachhaltiges Angebot
für Dritte mit oder ohne Gewinnerzielungsabsicht voraus (§ 3 Nr. 10 TKG).
Der Arbeitgeber selbst ist aber grundsätzlich nicht selbst Telekommunikationsanbieter
gegenüber den Arbeitnehmern, wenn diese dienstlich bereitgestellte Kommunikationsmittel
(etwa einen dienstlichen Festnetz- oder Mobilfunkanschluss oder E-
Mail-Account) nutzen und ihnen die private Nutzung nicht gestattet ist – verkürzt
lässt sich das damit begründen, dass der Arbeitnehmer insoweit nicht „Dritter“ im
Sinn von § 3 Nr. 10 TKG ist. Vielmehr ist er in dieser Situation eingegliedert in das
Unternehmen und nimmt dessen Funktion wahr, tritt ihm also nicht als Dritter gleichsam
von außen gegenüber.
Zweifelhafter ist die Situation dann, wenn keine Regelungen getroffen worden
sind oder die private Nutzung von Einrichtungen ausdrücklich zugelassen ist. Ob und
unter welchen Voraussetzungen eine betriebliche Übung privater Nutzung zu einer
abweichenden Beurteilung führt ist im Einzelnen umstritten. Jedenfalls aber bei ausdrücklicher
Erlaubnis der privaten Nutzung geht die weit überwiegende Literatur von
der Anwendbarkeit des TKG aus 305 .
3. Besondere Gruppen von Betroffenen
Bei der Durchführung von Untersuchungen können sich schließlich weitere Beschränkungen
aus besonderen Funktionen ergeben, die einzelnen Arbeitnehmern
übertragen sind. Zu denken ist an Mitglieder des Betriebsrates und vergleichbarer
Einrichtungen (etwa auch der Jugend- und Auszubildendenvertretung), anderer kollektivarbeitsrechtlicher
Gremien, Mitarbeiter des betriebsärztlichen Dienstes, der
Sozialberatung und der Datenschutzorganisation, deren Kommunikation in besonderer
Weise geschützt ist, um die erforderliche Vertraulichkeit ihrer Arbeit im Interesse
der beteiligten Betroffenen sicherzustellen.
Auch ohne solche Funktionen kann sich schließlich aus einzelnen Aufgaben ergeben,
dass ein Zugriff auf Daten nicht oder nur eingeschränkt möglich ist – etwa wenn
Mitarbeiter als Insider zu qualifizieren sind, Umgang mit Verschlusssachen haben
oder hatten oder sonst sensible Sachverhalte bearbeiten.
In der Praxis empfiehlt es sich, einen Prozess vorzusehen, durch den vor dem Zugriff
auf Datenbestände eine Klärung erreicht wird: dazu können Mitarbeiter entweder
selbst nach dem Vorliegen von Hindernissen befragt werden oder durch kundige
Stellen im Unternehmen ist zu prüfen, ob solche Funktionen und Aufgaben aktuell
bestehen oder in der Vergangenheit bestanden haben.
V. Abschluss der Untersuchung
Sind die Ziele der Untersuchung im engeren Sinn erreicht, also insbesondere Sachverhalte
festgestellt, die dann qualifiziert zu beurteilen sind, stellt sich die Frage,
305 Dagegen – mit einer umfassenden Darstellung der wechselseitigen Argumente – Thüsing, Arbeitnehmerdatenschutz
und Compliance, Rn. 220 ff.
Thoma

V. Abschluss der Untersuchung
wann und wie denn Datenbestände wieder gelöscht werden können. Ausgangspunkt
hierfür ist die Vorgabe, dass Datenbestände nicht zweckfrei erhoben, verarbeitet und
genutzt werden dürfen – das Verbot mit Erlaubnisvorbehalt wird eben nicht ein für
alle Mal durch einen Erlaubnistatbestand beseitigt, sondern auch in zeitlicher Hinsicht
nur so lange, wie der Umgang mit personenbezogenen Daten noch erforderlich
ist. Demgemäß bestimmt § 35 Abs. 2 BDSG, dass personenbezogene Daten grundsätzlich
jederzeit gelöscht werden können 306 ; sie sind verpflichtend zu löschen, wenn
– die Speicherung unzulässig ist,
– bei bestimmten sensiblen Daten die Richtigkeit nicht von der verantwortlichen
Stelle bewiesen werden kann,
– bei der Verarbeitung für eigene Zwecke die Kenntnis der Daten für die Erfüllung
des Zwecks der Speicherung nicht mehr erforderlich ist sowie
– eine nach Ablauf bestimmter Fristen vorgeschriebene Prüfung ergibt, dass eine
fortdauernde Speicherung von geschäftsmäßig zum Zweck der Übermittlung verarbeiteten
Daten nicht mehr erforderlich ist.
Für unternehmensinterne Untersuchungen von Bedeutung ist naturgemäß insbesondere
der dritte Fall. Wann sind nun Daten in diesem Sinn nicht mehr erforderlich?
Zweck der Untersuchung ist in aller Regel nicht nur die Feststellung von Sachverhalten,
sondern auch deren Bewertung, Beurteilung und ggf. Ahndung. Daher ist zu
differenzieren. Sind Datenbestände ausgewertet, kann aber noch nicht mit hinreichender
Sicherheit festgestellt werden, ob sie nochmals herangezogen werden müssen,
so dürfen sie weiter gespeichert werden. Ist aber eine hinreichende Trennung in
relevante und nicht relevante Datenbestände möglich, so sind die nicht relevanten
Bestände zeitnah zu löschen. Das gilt etwa, wenn E-Mails nach Filterung und ggf.
manueller Sichtung als für den Untersuchungsgegenstand bedeutsam klassifiziert
werden können und eine Ausweitung des Untersuchungsgegenstandes sich auch
danach nicht als notwendig erweist. „Rohdaten“ sind deshalb grundsätzlich zeitnah
auszuwerten, Überflüssiges von Relevantem zu trennen. Stellt sich heraus, dass auf
die Auswertung von Datenbeständen insgesamt verzichtet werden soll, sind diese
Bestände ebenfalls zu löschen.
Ist hingegen die grundsätzliche Relevanz von Datenbeständen festgestellt worden,
so dürfen diese Bestände nicht nur während der weiteren Auswertung, sondern auch
noch für eine angemessene Zeit danach aufbewahrt werden, um den unterschiedlichen
Interessenlagen gerecht zu werden: das Unternehmen muss selbst und eventuell
auch gegenüber Dritten den festgestellten Sachverhalt belegen können. Das umfasst
auch die Darlegung, wie Erkenntnisse gewonnen wurden und wie belastbar sie sind.
Hierfür sind vielfältige Gründe denkbar: das Unternehmen muss selbst nachprüfen
können, ob die Untersuchung umfassend genug war, ob festgelegte Prozesse eingehalten
sind und die Untersuchung insgesamt objektiv erfolgt ist. Betroffene werden
vielfach das Recht haben, über die Untersuchung informiert zu werden, Auskunfts-
und Einsichtsrechte geltend zu machen oder auch sie entlastende Informationen und
Dokumente zu erhalten. Aufsichtsbehörden wollen ggf. den Gang der Untersuchung
nachvollziehen können.
Nicht zuletzt sind Erkenntnisse aus Untersuchungen aufzubewahren, wenn und soweit
sie für strafrechtliche oder zivilrechtliche Auseinandersetzungen oder Aufgaben
von Behörden von Relevanz sein können – hier zeigt sich zugleich die Notwendigkeit
306 Das gilt nicht, wenn die Löschung durch Aufbewahrungspflichten verhindert wird oder
schutzwürdige Belange von Betroffenen beeinträchtigen würde.
Thoma
97

98
F. Datenschutzrechtliche Rahmenbedingungen
der Differenzierung, denn eine Aufbewahrung der gesamten Datenbestände lässt sich
etwa nicht damit rechtfertigen, dass noch ein Rechtsstreit anhängig ist, wenn dieser
Rechtsstreit allein sich über Jahre hinzieht, aber nur einen Randaspekt betrifft.
In der praktischen Umsetzung empfiehlt sich, von Beginn der Untersuchung an
entsprechende Prozesse, Prüfzeitpunkte und Methoden festzulegen, um Datenbestände
zu klassifizieren und in angemessenen Abständen darüber entscheiden zu können,
ob die weitere Aufbewahrung legitimiert ist oder die Löschungsreife erreicht ist.
VI. Rechte der Betroffenen
Während des gesamten Ganges der Untersuchungen sind Rechte der Betroffenen
auf Information und Auskunft, darüber hinaus ggf. auf Berichtigung, Sperrung und
Löschung von Daten zu wahren.
Bereits vorstehend wurde wiederholt auf Transparenzanforderungen verwiesen,
die bereits für sich ausreichen können, Informationspflichten nach § 33 BDSG zu
erfüllen, wenn die den Betroffenen zur Verfügung gestellten Informationen umfassend
und detailliert genug – aber auch verständlich genug – sind. Transparenz ist eine
wesentliche Voraussetzung dafür, dass Betroffene ihre Rechte umfassend wahrnehmen
können und damit letztlich ihren Teil leisten, ihr Persönlichkeitsrecht schützen
zu können.
Bestimmte Informationen sehen §§ 4, 4a BDSG bereits dann vor, wenn Daten
beim Betroffenen erhoben werden oder er in Datenverarbeitungsvorgänge einwilligen
soll. Hingegen ist der Anwendungsbereich von § 33 BDSG gering, weil er zunächst
nur auf die erstmalige Speicherung von Daten ohne Kenntnis des Betroffenen
abstellt und darüber hinaus eine Reihe von Ausnahmebestimmungen enthält (Abs. 2).
Zu beachten ist, dass das Unternehmen schriftlich festzulegen hat, unter welchen
Voraussetzungen von Benachrichtigungen abgesehen wird.
Der Beginn von Untersuchungen ist ein besonders geeigneter Zeitpunkt, um zu überprüfen,
ob diese Festlegung erfolgt ist, und sie ggf. zu aktualisieren.
Durch die Information wird der Betroffene schließlich in die Lage versetzt, seine
weiteren Rechte wahrzunehmen. Vor allem relevant sind hier das Recht auf Auskunft
(v.a. gemäß § 34 BDSG) und die Rechte auf Berichtigung, Löschung und Sperrung
(§ 35 BDSG).
Die Auskunft muss dabei nur auf Verlangen des Betroffenen erteilt werden, sich
aber grds. detailliert auf alle zu seiner Person gespeicherten Daten und deren Herkunft
wie auch auf den Zweck der Speicherung und die Empfänger (ggf. in Form von
Kategorien) beziehen. Soweit für unternehmensinterne Untersuchungen relevant wird
die Auskunft in der Regel kostenfrei sein müssen.
Auskünfte können u.a. dann zunächst verweigert oder beschränkt werden, wenn
wesentliche Belange des Unternehmens entgegenstehen – etwa solange Beweismittel
vernichtet werden könnten oder sonst der Zweck der Untersuchung beeinträchtigt
werden könnte. Hieran sind aber strenge Maßstäbe anzulegen und die Auskunft ist
baldmöglichst vollständig nachzuholen.
Dem Unternehmen ist zumindest bei einer größeren Zahl von Betroffenen zu empfehlen,
einen Regelprozess vorzusehen, wie mit Auskunftsersuchen umgegangen
wird – etwa, an wen sie zu adressieren sind und wie und wann Auskunft erteilt wird.
Thoma

VII. Auslandsberührung
Gerade angesichts der oftmals sensiblen Daten muss auch sichergestellt werden, dass
Auskunftsberechtigte sicher und zweifelsfrei identifiziert werden, damit nicht an
Unberechtigte Auskünfte erteilt werden.
Auskünfte auf Berichtigung, Sperrung und Löschung (zur Löschung vgl. schon
oben) sollen ebenso sicherstellen, dass keine nicht mehr erforderlichen Datenbestände
bestehen, Datenbestände unrichtig sind oder Daten weiterverbreitet werden und so
das Persönlichkeitsrecht beeinträchtigt wird.
Lässt sich eine Löschung technisch nicht oder nur mit erheblichem Aufwand realisieren,
stehen ihr Aufbewahrungspflichten entgegen oder werden Daten nur mehr im
Interesse des Betroffenen aufbewahrt, so sind die Daten zu sperren, d.h. Zugriffe
durch Anweisung und möglichst weitere technische und organisatorische Vorkehrungen
weitestmöglich auszuschließen.
VII. Auslandsberührung
Oftmals berührt eine Untersuchung auch andere Staaten – etwa weil relevante Projekte
grenzüberschreitend abgewickelt wurden oder Mitarbeiter ausländischer Niederlassungen
oder Tochtergesellschaften über Wissen und Informationen verfügen,
die für die Untersuchung von Bedeutung sein können. In solchen Fällen nimmt die
Komplexität der zu beachtenden Fragen meist schlagartig zu; die denkbaren Problemkreise
lassen sich dabei im Rahmen dieses Werkes nicht detailliert erörtern. Auf
einige wesentliche Aspekte sei jedoch hingewiesen.
Es liegt auf der Hand, dass bei einer Auslandsberührung andere Rechtsordnungen
berührt sind, die oft eigene Datenschutzbestimmungen treffen – sei es in Form eigenständiger
Datenschutzgesetze oder zumindest in der Form, dass aus der Verfassung
oder aus anderen Gesetzen datenschutzrelevante Regelungen ableitbar sind oder
solche von der Rechtsprechung entwickelt wurden. Dieser Rahmen ist zu ermitteln
und zu beachten, und der Aufwand dafür kann beträchtlich sein. Auch innerhalb der
Europäischen Union sollte hierauf nicht verzichtet werden: zwar gibt es europäische
Richtlinien zum Datenschutz 307 , aber diese Richtlinien sind zunächst durch alle Mitgliedstaaten
im nationalen Recht umzusetzen – von Mitgliedstaat zu Mitgliedstaat
unterschiedliche Regelungen sind die Folge. Zudem werden die nationalen Regelungen
wiederum unterschiedlich ausgelegt und angewandt.
Beispiele für derartige Unterschiede betreffen etwa die Frage, ob das Datenschutzrecht
nur Daten natürlicher Personen erfasst oder den Schutzbereich auch auf Daten
von Personenvereinigungen und juristischen Personen erstreckt (so etwa in Österreich,
der Schweiz und Italien). Auch bestehen in vielen anderen Staaten Verpflichtungen
gegenüber der Datenschutzaufsicht zur Anzeige oder Genehmigung von Datenerhebungen
oder bestimmten Übermittlungen, für die wiederum unterschiedlich
lange Fristen festgelegt sind.
Die Weitergabe von personenbezogenen Daten an Dritte, insbesondere auch ausländische
Berater, Kanzleien, Behörden und Gerichte ist ebenso wichtigen Beschränkungen
unterworfen. Greifen nicht enge Ausnahmen (vgl. dazu v.a. § 4c BDSG), so
setzt die Übermittlung voraus, dass bei der die Daten empfangenden Stelle ein angemessenes
Datenschutzniveau gewährleistet ist. Faktisch besonders bedeutsam ist hier,
dass die USA aus Sicht der Europäischen Union kein solches Schutzniveau aufwei-
307 Vor allem die Richtlinie 95/46/EG.
Thoma
99

100
F. Datenschutzrechtliche Rahmenbedingungen
sen. Eine Klärung der Rahmenbedingungen ist deshalb vor allem bei der Beteiligung
von Staaten außerhalb der Europäischen Union dringend angeraten.
Manche Staaten kennen schließlich auch gesetzliche Regelungen (sog. „blocking
statutes“ 308 ), die Wirkungen ausländischer Rechtsvorschriften auf ihrem Territorium
verhindern oder zumindest einschränken sollen. Hier kann es häufig zu widersprüchlichen
Anforderungen kommen, denen sich ein Unternehmen in unterschiedlichen
Staaten ausgesetzt sieht – etwa eine vor einem US-Gericht beklagte Bank, die sich
auf das Bankgeheimnis in ihrem Herkunftsstaat berufen will. In der Europäischen
Union kennen etwa auch Frankreich und die Schweiz 309 spezifisch auf den Ausschluss
solcher extraterritorialer Einwirkungen gerichtete Bestimmungen.
VIII. Praktische Hinweise
– Zuvörderst: denken Sie an die umgehende Einbindung des betrieblichen Datenschutzbeauftragten,
der Arbeitnehmervertretung und gegebenenfalls auch der Datenschutzaufsicht!
Deren Mitwirkung ist entweder ohnehin gesetzlich vorgesehen
oder bietet jedenfalls zusätzliche Gewähr für ein insgesamt abgewogenes, transparentes
und für alle Beteiligten akzeptables Vorgehen.
– Gehen Sie stets davon aus, dass der Datenschutz relevant ist – angesichts weit gefasster
Definitionen sind Fälle ohne Datenschutzbezug selten.
– Vermeiden Sie, Maßnahmen ausschließlich auf die Einwilligung der Betroffenen zu
stützen – greifen die gesetzlichen Erlaubnistatbestände nicht, so ist auch eine Einwilligung
zumindest fragwürdig.
– Klare Regeln zum Umgang mit personenbezogenen Daten (unter Einschluss der
Rückgabe oder Vernichtung) sind mit allen Dritten zu vereinbaren und angemessen
zu kontrollieren.
– Schaffen Sie Transparenz! Compliance-bezogene Untersuchungen müssen selbst
compliant sein; machen Sie deutlich, welche Schritte warum unternommen werden,
und erhöhen Sie damit die Akzeptanz der Aktivitäten.
– Beschränken Sie sich auf das Erforderliche: was ist wirklich notwendig, welche
Personen und welche Datenbestände sind relevant?
– Stellen Sie klar: Daten werden zu einem bestimmten Zweck genutzt. Dieser Zweck
steht in engem Zusammenhang mit dem Gegenstand der Untersuchung – weichen
Sie ihn nicht auf. Regeln Sie den Umgang mit Erkenntnissen, die nicht im Fokus
stehen (Zufallsfunde).
– Treffen Sie von Anfang an Vorsorge: wie werden Daten möglichst zeitnah nach der
Auswertung, spätestens nach dem Abschluss der Untersuchung gelöscht? Können
sie schon frühzeitig anonymisiert oder pseudonymisiert ausgewertet werden?
308 Siehe B.III.
309 §§ 201, 203 schweizerisches StGB.
Thoma

G. Einrichtung einer internen Untersuchungsabteilung und deren
Prozesse
Rainer-Diethardt Bührer
I. Einleitung
Empfiehlt es sich eine unternehmenseigene Untersuchungsabteilung zu etablieren
oder sollten diese Aufgaben extern vergeben werden?
Jedes Unternehmen, das ein effektives Compliance Programm einführt, wird mit
der Frage konfrontiert zu entscheiden, wer sich im Unternehmen mit Vorwürfen
nicht regelkonformen Verhaltens befassen sollte. Dies bedeutet aber auch, dass man
sich über die Vorzüge einer internen Untersuchungsabteilung gegenüber den Möglichkeiten
externer Vergaben klarwerden muss. Welche Gründe würden also eine
Unternehmensleitung davon überzeugen, sich für eine interne anstelle einer externen
Lösung zu entscheiden?
II. Grundsätze und Zielsetzung einer internen Untersuchungsabteilung
Grundsätzlich ist festzuhalten, dass die Themen, die zu beachten und zu bedenken
sind, von vielen Faktoren abhängen, zum Beispiel von der Art und der Größe des
Unternehmens und den Märkten und Regionen, in denen das Unternehmen tätig ist.
Bevor jedoch auf diese Themen genauer eingegangen wird, sollten innerhalb der
Unternehmensstruktur die Grundprinzipien, die dem Aufbau einer Untersuchungsabteilung
zugrunde liegen, verankert werden. Der Grundgedanke einer Untersuchung
bzw. der Sinn und Zweck einer solchen Abteilung ist es, die Verdachtsmomente zu
überprüfen, den Sachverhalt zu untersuchen und die Fakten herauszuarbeiten, die
einen Vorwurf erhärten oder entkräften.
1. Definition einer Compliance Untersuchung
Eine Compliance-Untersuchung kann somit wie folgt definiert werden:
„Eine Compliance-Untersuchung dient der Feststellung
– ob ein Fehlverhalten oder ein Compliance Verstoß vorgefallen ist
und
– wer die dafür Verantwortlichen sind.“
Die Ziele einer solchen Abteilung sind dabei: Die kostengünstige aber gründliche
Durchführung interner Untersuchungen innerhalb eines angemessenen Zeitraums.
Daneben ist ein weiterer wichtiger Aspekt interner Untersuchungen die Minimierung
von künftigen Risiken.
Bührer

102
G. Einrichtung einer internen Untersuchungsabteilung und deren Prozesse
2. Herausforderungen und Überlegungen zur Vorbereitung einer
Entscheidung – Abwägung Kosten gegen Risiken
a) Rechtliche Überlegungen zur Schaffung eines internen „Unternehmens-
Gedächtnisses“
Die Kosten für den Aufbau einer funktionsfähigen internen Untersuchungsabteilung
sind oftmals nicht unbedeutend und können auf den ersten Blick abschreckend
wirken. Wenn man diese Kosten jedoch als Teil einer permanenten und effektiven
Compliance Struktur im Unternehmen betrachtet, können diese Aufbaukosten bald
wieder refinanziert werden. Die Kostendiskussion für eine interne Abteilung geht
einher mit dem immer relevanten Thema der Mitarbeiteranzahl und dem Druck auf
die Abteilungsführung, diese so niedrig wie möglich zu halten.
Für viele Unternehmen scheint die sogenannte „Übertragung des Risikos“ oder
der Verantwortung auf externe Anbieter deshalb eine attraktive Alternative zu sein.
Dies trifft jedoch gewöhnlich auf Unternehmen zu, die über eine kleine oder noch im
Entstehen befindliche Compliance Organisation verfügen. Die Dienste von professionellen
externen Anbietern sind allerdings ebenfalls teuer und deren Nutzung wirft
organisatorische und rechtliche Fragen auf.
b) Vor- und Nachteile eines internen Lösungsansatzes
Ein Vorteil der internen Untersuchungsabteilung gegenüber der externen Lösung
ist die Möglichkeit, ihre Expertise hinsichtlich des eigenen Unternehmens immer
weiter auszubauen und zu nutzen: Zu wissen wo und nach was gesucht und mit wem
gesprochen werden muss. Dieser Faktor und die daraus resultierende Effektivität sind
auch hinsichtlich der Kostenersparnisse bedeutsam. Dieser Vorzug, quasi ein sogenanntes
„Unternehmens-Gedächtnis“ aufzubauen, ist ein großer Pluspunkt für den
Aufbau einer internen Untersuchungsabteilung. Ein „Unternehmens-Gedächtnis“
bedeutet, dass die Untersuchungssabteilung ein spezifisches Wissen über falsche
Praktiken, Warnsignale und weitere Risiken und Schwächen, sowohl personen- als
auch prozessbezogen, ansammelt.
Ein weiterer und bedeutsamer Vorteil ist, dass allein die Existenz einer professionellen
Untersuchungsabteilung bereits abschreckend auf mögliches Fehlverhalten
wirken kann.
Der größte Nachteil ist, dass sich das Unternehmen jedem Risiko, das während einer
Untersuchung entstehen kann, annehmen muss. Es gibt zahlreiche Risiken, angefangen
von den Konsequenzen unvollständiger und unprofessioneller Untersuchungen
(z.B. wenn der Sachverhalt nicht einwandfrei festgestellt wurde und das
Fehlverhalten weiter andauert, oder wenn der Täter nicht ermittelt werden konnte
und dies das Unternehmen exponiert), bis dahin, dass ein erkanntes Fehlverhalten
aufgrund von Widerständen im Unternehmen nicht geahndet wird.
Dies führt zu dem nächsten wichtigen Punkt: Eine Untersuchungsabteilung kann
nicht agieren und erfolgreich sein, wenn sie in einem Vakuum arbeitet. Die Durchführung
einer Untersuchung ist ein juristischer Prozess; die Rechte Einzelner können
eingeschränkt werden und es kann zu erheblichen straf- oder zivilrechtliche Konsequenzen
für diejenigen führen, die direkt oder auch nur indirekt in eine Untersuchung
involviert sind. Außerdem können diese Untersuchungen auch Auswirkungen auf das
Unternehmen selbst und deren gesetzliche Vertreter nach sich ziehen. Aus diesem
Bührer

III. Lösungskonzept und entsprechende Herausforderungen
Grund benötigt eine Untersuchungsabteilung die permanente Beratung und Unterstützung
in juristischen Angelegenheiten, von arbeitrechtlichen bis hin zu einer Vielzahl
von straf- und zivilrechtlichen Fragen.
Weiterhin ist es unabdingbar, dass eine Untersuchungsabteilung innerhalb einer
Unternehmenskultur agieren kann, die Integrität auf allen Ebenen des Unternehmens
unterstützt und fördert. Dies verhindert, dass die Untersuchungsabteilung in
einem „Elfenbeinturm“ agiert, sondern in einem Umfeld, das unmissverständlich die
Botschaft des „Clean Business“ propagiert. Ein wirksames Compliance Programm
und eine solide Compliance Organisation bilden mit Sicherheit einen verlässlichen
Rahmen, um die Untersuchungstätigkeit zu unterstützen und die notwendigen Ressourcen
bereitzustellen.
III. Art und Beschaffenheit des Lösungskonzepts und entsprechender
Herausforderungen
III. Lösungskonzept und entsprechende Herausforderungen
1. Interner Lösungsansatz
Welche interne Struktur sollte eine Untersuchungsabteilung aufweisen? Welche
Einflüsse gibt es: Größe, Struktur und Komplexität des Unternehmens?
Strebt man eine interne Lösung an, ist die zentrale Frage, wo eine solche Abteilung
in der Unternehmensstruktur verankert werden kann. Dies ist wahrscheinlich die
wichtigste Frage, die das Management bei der Entscheidung zur Einrichtung einer
internen Untersuchungsabteilung beantworten muss. Das Problem ist hierbei nicht,
welches der zahlreichen Modelle verfolgt werden sollte, oder wo die Abteilung strukturell
verankert wird, beispielsweise im Finanz/Revisions-Bereich oder im Legal/Compliance-Bereich,
oder ob die Abteilung direkt dem oberen Management oder
einem quasi-unabhängigen Komitee zuarbeitet. Wichtiger ist: An wen berichtet die
Abteilung ihre Untersuchungsergebnisse konkret?
Natürlich gibt es keine allgemein gültige Antwort. Viel wird von den Spezifika des
betrachteten Unternehmens abhängen, und die Lösung wird dementsprechend von
Unternehmen zu Unternehmen variieren. Obgleich viele, die sich mit dieser Frage
beschäftigen, schnell mit „je höher desto besser“ antworten, mag es sich unter Umständen
als kontraproduktiv herausstellen, wenn das Arbeitsumfeld und die relevanten,
unterstützenden Einheiten organisatorisch in unterschiedlichen Bereichen innerhalb
des Unternehmens verankert sind. Aus diesem Grund ist es, unabhängig davon
welches Modell ausgewählt wird, notwendig sicherzustellen, dass die Untersuchungsabteilung
zusammen mit einem etablierten, unterstützenden Netzwerk (aus
weiteren Abteilungen) als Teil des Ganzen funktioniert, und dass sie ihre Aufgaben
unparteiisch erfüllen kann.
Dieser Entscheidung liegt die Frage nach der „Unabhängigkeit der Untersuchungen“
zugrunde. Obgleich sehr viel mehr zu diesem Thema gesagt werden kann,
ist es im Zuge dieses Kapitels ausreichend, das Folgende hervorzuheben: Anzuerkennen
ist, dass es keine Unabhängigkeit im absoluten Sinn für jedwede Funktion
(oder Tätigkeit) in einem Unternehmen gibt oder geben kann – sogar der Vorstandsvorsitzende
eines Unternehmens besitzt Verpflichtungen gegenüber dem Vorstand,
dieser wiederum gegenüber dem Aufsichtsrat und den Anteilseignern. Was ist also
nun gemeint mit der oft zitierten ‚Unabhängigkeit der Untersuchungen’? Eine, und
die in diesem Kontext bevorzugte Antwort ist, dass die durch die Untersuchungsab-
Bührer
103