Interne Ermittlungen: Compliance-Vorgehen und Handbuch für den Ernstfall
Eine interne Ermittlung ohne Handbuch ist ein Risiko. Der Beitrag zeigt das vollstaendige Vorgehen, die Fristen nach HinSchG und Art. 33 DSGVO, sowie die Vorlagen, mit denen Sie jeden Schritt audit-fest dokumentieren.
Seit dem Hinweisgeberschutzgesetz vom 02. Juli 2023 muessen Unternehmen mit 50 oder mehr Beschaeftigten eine interne Meldestelle betreiben und Hinweise innerhalb von sieben Tagen bestätigen sowie binnen drei Monaten Folgemassnahmen kommunizieren (§ 17 HinSchG). Wer ohne dokumentiertes Vorgehen ermittelt, riskiert nicht nur Bussgelder bis 50.000 Euro nach § 40 HinSchG, sondern auch Beweismittelverwertungsverbote und persoenliche Haftung nach § 130 OWiG.
Dieses Handbuch beschreibt das vollstaendige Vorgehen einer internen Ermittlung: Eingang, Triage, Datenschutz-Prüfung, Beweissicherung, Befragung, Bericht und Abschluss. CIVAC liefert das Geruest als Compliance-Plattform und Officer-as-a-Service. Sie erhalten 490 einsatzbereite Audit-Vorlagen, eine fristengefuehrte Berichtslinie und einen Workspace, in dem jede Aktion belegbar bleibt.
Auf einen Blick
- Jede interne Ermittlung folgt sechs Phasen mit klaren Fristen nach HinSchG, DSGVO und StPO-analoger Beweissicherung.
- Ohne dokumentierte Triage und Datenschutz-Folgenabschaetzung werden Beweise unverwertbar und der Compliance-Beauftragte persoenlich haftbar.
- Ein audit-festes Handbuch besteht aus Rollenmatrix, Fristen-Cockpit, Vorlagen-Bibliothek und revisionssicherem Audit-Trail.
Warum ein Investigation-Handbuch zwingend ist
Ein internes Ermittlungs-Handbuch ist keine Komfortuebung, sondern eine Pflichtdokumentation. § 130 OWiG verlangt von der Unternehmensleitung „gehoerige Aufsicht“. Bei Pflichtverletzungen drohen Bussgelder bis 10 Millionen Euro je Verstoss. Der Bundesgerichtshof hat in mehreren Entscheidungen klargestellt, dass die Aufsichtspflicht ohne dokumentiertes Vorgehen nicht erfuellt ist.
Hinzu kommt die Anwaltliche Pflicht zur Verschwiegenheit und das Mandantengeheimnis bei externer Untersuchung. Ohne klare Rollenverteilung zwischen interner Meldestelle, Compliance-Funktion und Rechtsabteilung entstehen Beweismittelverwertungsverbote, insbesondere bei E-Mail-Auswertungen ohne Betriebsratsbeteiligung nach § 87 Abs. 1 Nr. 6 BetrVG.
Ein Handbuch schafft Reproduzierbarkeit. Wenn drei verschiedene Faelle in drei verschiedenen Niederlassungen nach demselben Schema bearbeitet werden, bleibt die Untersuchung nachvollziehbar. Aufsichtsbehoerden, Wirtschaftspruefer und Versicherer erwarten genau diese Konsistenz.
Die Pflicht zur Dokumentation ergibt sich auch aus Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) und aus den Anforderungen an ein Compliance-Management-System nach IDW PS 980. Der externe Auditor prüft nicht die Aufrichtigkeit, sondern die Belegbarkeit jedes Schrittes.
Die CIVAC-Workspace-Logik adressiert genau diesen Punkt. Bestellurkunde, unterschrieben, abgelegt, belegbar. Mehr zur Rolle des Compliance-Beauftragten und seinen Pflichten finden Sie in unserem Rollenprofil.
Ohne Handbuch verlieren Unternehmen den Erstangriff. Der wichtigste Zeitraum einer Ermittlung sind die ersten 72 Stunden nach Kenntnis, denn fluechtige Daten wie Chat-Verlaeufe, Zugangsprotokolle und Cache-Inhalte werden ohne Sofortmassnahmen überschrieben.
Phase 1: Eingang, Triage und Sofortmassnahmen
Der Eingang eines Hinweises markiert den Fristbeginn. Nach § 17 Abs. 1 HinSchG muss die hinweisgebende Person innerhalb von sieben Tagen eine Eingangsbestaetigung erhalten. Diese Frist gilt unabhängig davon, ob der Hinweis über das interne Meldesystem, per E-Mail, postalisch oder muendlich eingeht.
Die Triage erfolgt in den ersten 24 Stunden. Geprueft wird, ob ein verfolgungsrelevanter Sachverhalt vorliegt, welche Rolle (DSB, ISB, Compliance, Personalleitung) zuständig ist und ob ein Anfangsverdacht im Sinne von § 152 StPO besteht. Wird ein Datenpannen-Verdacht erkannt, startet parallel die 72-Stunden-Frist nach Art. 33 DSGVO.
Sofortmassnahmen umfassen die Beweissicherung. Dazu gehoeren das Einfrieren von E-Mail-Postfaechern (Litigation Hold), das Anfertigen forensischer Images relevanter Endgeraete und die Sperrung von Zugriffen nach dem Vier-Augen-Prinzip. Diese Schritte muessen vor jeder Konfrontation des Betroffenen erfolgen.
Eine Risikobewertung ordnet den Fall in vier Stufen ein: bagatell, intern, regulatorisch meldepflichtig, strafrechtlich relevant. Die Einstufung steuert das weitere Eskalationsmuster und die Berichtslinie zur Geschäftsfuehrung.
Die Vertraulichkeit ist absolut zu wahren. § 8 HinSchG schreibt das Identitaetsschutzgebot vor. Verstoesse führen zu Bussgeldern bis 50.000 Euro und persoenlicher Haftung der Meldestellenleitung. Frist laeuft ab Kenntnis.
CIVAC stellt im Workspace ein Triage-Formular mit automatischer Fristberechnung bereit. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen.
Phase 2: Untersuchungsplan und Datenschutz-Prüfung
Ein Untersuchungsplan strukturiert die Ermittlung in Arbeitspaketen. Er definiert das Untersuchungsziel, den Sachverhaltsumriss, die zu prüfenden Vorwuerfe, die einzubindenden Personen, den Zeitrahmen und das Budget. Ohne Plan droht der scope creep, eine schleichende Ausweitung, die Beweise unverwertbar macht.
Die Datenschutz-Folgenabschaetzung nach Art. 35 DSGVO ist bei systematischer Mitarbeiterueberwachung zwingend. Dazu zaehlen E-Mail-Auswertung, Auswertung von System-Logs, Auswertung von Zutrittskontrollen und Auswertung von Telefonverbindungsdaten. Die DSFA wird vor Datenerhebung erstellt, nicht danach.
Die Verhaeltnismaessigkeit ist die zentrale Prüfkategorie. Geeignet, erforderlich, angemessen, in dieser Reihenfolge. Eine Vollauswertung aller E-Mails der letzten zwoelf Monate ist regelmäßig unverhaeltnismaessig, eine gezielte Stichwortsuche im Zeitfenster des Vorwurfs hingegen vertretbar.
Die Mitbestimmung des Betriebsrats nach § 87 BetrVG ist zu prüfen. Bei technischer Überwachung greift Nr. 6, bei Ordnung und Verhalten greift Nr. 1. Fehlt die Zustimmung, sind Beweise im arbeitsgerichtlichen Verfahren regelmäßig unverwertbar.
Eine Betroffenenliste wird gefuehrt. Sie enthaelt alle Personen, deren personenbezogene Daten verarbeitet werden, mit Rechtsgrundlage, Speicherdauer und Loeschkonzept. Nach Abschluss erfolgt eine Information nach Art. 14 DSGVO, sofern keine Ausnahme greift.
Erfahren Sie mehr über die Aufgaben des Datenschutzbeauftragten in internen Ermittlungen und wie Sie ihn rechtzeitig einbinden.
Phase 3: Beweissicherung und forensische Datenanalyse
Die Beweissicherung folgt einer standardisierten Kette (Chain of Custody). Jeder Datentraeger wird mit eindeutiger ID erfasst, der Zugriff protokolliert und der Hash-Wert berechnet. Ohne lueckenlose Kette verliert das Beweismittel im Prozess seine Beweiskraft, selbst bei materieller Richtigkeit.
Forensische Images werden mit anerkannten Tools wie EnCase, FTK oder X-Ways erstellt. Originaldatentraeger werden nicht verwendet, sondern ausschliesslich Arbeitskopien. Der Bit-genaue Abzug ist zwingend, denn ein selektiver Export verfaelscht Metadaten und macht Loeschspuren unsichtbar.
Die Sichtung erfolgt nach dem Trichtermodell. Erst werden Datentypen und Zeitraeume reduziert, dann erfolgen Stichwortlaeufe, anschliessend die manuelle Prüfung relevanter Treffer. Eine vollstaendige Sichtung aller Dokumente ist weder erforderlich noch verhaeltnismaessig.
Der Umgang mit privilegierten Dokumenten ist gesondert zu regeln. E-Mails mit Anwaeltinnen und Anwaelten unterliegen dem Beschlagnahmeschutz nach § 160a StPO. Eine versehentliche Auswertung kann die gesamte Untersuchung kompromittieren und zu einem Verwertungsverbot führen.
Die forensische Analyse wird in einem Asservatenverzeichnis dokumentiert. Es enthaelt Quelle, Zeitpunkt der Sicherung, durchführende Person, Prüfsumme und Lagerort. Der Prüfer ruft an, der Nachweis liegt bereit.
CIVAC unterstuetzt mit Vorlagen für Chain-of-Custody-Protokolle und Asservatenverzeichnisse. Die 490 Audit-Vorlagen decken den gesamten forensischen Prozess ab und sind im Workspace mit Versionierung und Audit-Trail hinterlegt.
Phase 4: Interviews und Mitarbeiterbefragung
Interviews sind das sensibelste Element einer internen Ermittlung. Sie folgen einer festen Reihenfolge: erst Zeugen, dann periphere Auskunftspersonen, zuletzt der Beschuldigte. Eine umgekehrte Reihenfolge gefaehrdet die Untersuchung, weil der Beschuldigte mit Wissen über die Beweislage in das Gespraech geht.
Die Belehrung ist zentral. Mitarbeitende sind aus dem Arbeitsverhaeltnis zur Auskunft verpflichtet, sofern es um dienstliche Sachverhalte geht. Eine strafrechtliche Selbstbelastungsfreiheit (nemo tenetur) bleibt aber bestehen, soweit eigene Straftaten betroffen sind. Die Belehrung wird schriftlich protokolliert.
Der sogenannte Upjohn-Warning-Hinweis ist auch im deutschen Kontext sinnvoll. Der Mitarbeitende wird darauf hingewiesen, dass das Gespraech im Interesse des Unternehmens gefuehrt wird und dass das Unternehmen, nicht der Mitarbeitende, über die Verwendung der Informationen entscheidet.
Ein zweiter Interviewer führt Protokoll. Das Wortprotokoll ist dem Gedaechtnisprotokoll vorzuziehen, sofern die befragte Person zustimmt. Bei Verweigerung der Aufzeichnung wird ein strukturiertes Gedaechtnisprotokoll erstellt und am Tag des Gespraechs unterzeichnet.
Die Begleitung durch eine Vertrauensperson ist zu ermoeglichen, wenn der Mitarbeitende dies wuenscht. Das Mitbestimmungsrecht des Betriebsrats bei Anhoerungen vor Versetzung oder Kuendigung nach § 102 BetrVG bleibt unberuehrt.
Die Interviewreihenfolge, das Belehrungsprotokoll und das Gespraechsprotokoll werden im CIVAC-Workspace als Pflichtvorlagen gefuehrt. Audit-fest, dokumentiert, § 130-fest.
Phase 5: Bewertung, Bericht und Maßnahmen
Die Sachverhaltsbewertung trennt zwischen tatsaechlicher Feststellung und rechtlicher Wuerdigung. Erst werden die Ergebnisse der Beweisaufnahme als Tatsachen festgehalten, dann erfolgt die juristische Subsumtion unter die einschlaegigen Tatbestaende, etwa § 266 StGB (Untreue), § 299 StGB (Bestechlichkeit) oder kartellrechtliche Vorschriften.
Der Abschlussbericht folgt einer festen Struktur: Auftrag, Vorgehen, Sachverhalt, Beweiswuerdigung, Rechtliche Bewertung, Empfehlungen. Er ist anonymisiert oder pseudonymisiert, soweit nicht Bezugspersonen klar benannt werden muessen. Der Bericht wird unter Anwaltsprivileg gefuehrt, wenn extern beauftragt.
Empfehlungen umfassen drei Ebenen: arbeitsrechtliche Maßnahmen (Abmahnung, Kuendigung), zivilrechtliche Forderungen (Schadensersatz, Herausgabe), strafrechtliche Optionen (Strafanzeige, Selbstanzeige nach § 371 AO bei Steuerthemen). Die Geschäftsfuehrung entscheidet, die Compliance-Funktion empfiehlt.
Die Berichtslinie ist klar definiert. Der Compliance-Beauftragte berichtet direkt an die Geschäftsfuehrung, bei Verdacht gegen die Geschäftsfuehrung an den Aufsichtsrat oder Beirat. Diese Eskalationspfade sind in der Bestellurkunde geregelt und nicht situativ wandelbar.
Meldepflichten an Behoerden werden geprueft. Datenpannen an die Aufsichtsbehoerde nach Art. 33 DSGVO, NIS-2-Vorfaelle an das BSI binnen 24 Stunden, Verdachtsmeldungen nach § 43 GwG an die FIU. Frist laeuft ab Kenntnis.
Die Geschäftsfuehrung dokumentiert die Entscheidung schriftlich. Ein abweichendes Vorgehen vom Empfehlungsschreiben ist zulässig, muss aber begruendet sein, sonst greift die Aufsichtspflichtverletzung nach § 130 OWiG.
Phase 6: Abschluss, Lessons Learned und Audit-Trail
Der Fallabschluss ist mehr als Aktenschluss. Er umfasst die Information der hinweisgebenden Person nach § 17 Abs. 2 HinSchG über den Stand der Folgemassnahmen, die Information betroffener Personen nach Art. 14 DSGVO und die Loeschung nicht mehr benötigter Daten nach Art. 5 Abs. 1 lit. e DSGVO.
Der Audit-Trail dokumentiert jede Aktion mit Zeitstempel, handelnder Person und Änderungsgrund. Eine nachtraegliche Änderung des Berichts ist nur mit erkennbarem Änderungsvermerk zulässig. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.
Lessons Learned werden in einem strukturierten Format erfasst: Was hat funktioniert, was nicht, welche Vorlagen wurden veraendert, welche neuen Risiken sind sichtbar geworden. Diese Erkenntnisse fliessen in das Compliance-Management-System nach IDW PS 980 zurück.
Kennzahlen werden aktualisiert. Anzahl der Hinweise, Durchschnittsdauer der Bearbeitung, Anteil bestätigter Vorwuerfe, Anteil arbeitsrechtlicher Konsequenzen. Diese Zahlen sind Teil des jaehrlichen Compliance-Berichts an die Geschäftsfuehrung und den Aufsichtsrat.
Die Akte wird revisionssicher archiviert. Aufbewahrungsfristen ergeben sich aus § 257 HGB (sechs Jahre), § 147 AO (zehn Jahre bei steuerlicher Relevanz) und arbeitsrechtlich aus dem jeweiligen Sachverhalt. Eine pauschale Loeschung nach drei Jahren ist unzulässig.
CIVAC bietet im Workspace ein Lessons-Learned-Modul mit Tagging und Suchfunktion. Über die CIVAC-FAQ finden Sie weitere Fragen zur Aufbewahrung und Archivierung von Ermittlungsakten.
Rollen, Vorlagen und Werkzeuge: Was in jedes Handbuch gehoert
Eine klare Rollenmatrix ist das Rückgrat. Sie weist jeder Phase Verantwortliche, Mitwirkende und Informierte zu (RACI). Ohne Matrix entstehen Doppelarbeiten oder Luecken. Compliance-Beauftragter, Datenschutzbeauftragter, Informationssicherheitsbeauftragter und Rechtsabteilung muessen synchronisiert agieren.
Die Vorlagen-Bibliothek umfasst mindestens 30 Dokumente. Dazu zaehlen Triage-Formular, Untersuchungsplan, DSFA-Template, Chain-of-Custody-Protokoll, Asservatenverzeichnis, Interview-Belehrung, Wortprotokoll-Vorlage, Abschlussbericht und Loeschkonzept. CIVAC liefert 490 einsatzbereite Audit-Vorlagen.
Werkzeuge umfassen ein Case-Management-System, eine forensische Analyseumgebung, einen sicheren Aktenspeicher mit Verschluesselung nach BSI TR-02102 und eine getrennte Kommunikationsumgebung für den Investigation-Bereich. Die Trennung verhindert ein Vermischen mit dem Tagesgeschaeft.
Die Eskalationsmatrix legt fest, ab welcher Risikostufe wer informiert wird und welche Externen einzubinden sind. Externe Berater, Strafverteidiger, IT-Forensik, Steuerberater und Versicherer sind in der Matrix mit Kontaktdaten und SLA hinterlegt.
Die Sprachregelung schuetzt vor Schaden. Pressekontakte, Behoerdenanfragen und Mitarbeiterkommunikation werden zentralisiert. Ohne Sprachregelung entstehen widerspruechliche Aussagen, die die Untersuchung gefaehrden.
Schulungen für die Untersuchungsteams sind verpflichtend. Jaehrlich mindestens vier Stunden, dokumentiert mit Teilnehmerliste, Inhalt und Prüfungsergebnis. Diese Pflicht ergibt sich aus den Anforderungen an die Sachkunde nach IDW PS 980 Abschnitt 23.
Vom Handbuch zur Umsetzung mit CIVAC
Ein Handbuch lebt nur, wenn es täglich genutzt wird. CIVAC ist eine deutsche Compliance-Plattform und Officer-as-a-Service. Sie erhalten den Workspace mit fristengefuehrter Berichtslinie, 490 Audit-Vorlagen, einem Audit-Trail und einer EU-Datenresidenz. Jeder Untersuchungsschritt ist belegbar.
Die Plattform führt durch die sechs Phasen, berechnet Fristen automatisch und meldet rechtzeitig Eskalationen. Eingaenge aus der internen Meldestelle, Audit-Funden oder Whistleblower-Kanaelen werden zentral aggregiert. Bestellurkunde, unterschrieben, abgelegt, belegbar.
Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Im zweiten Modell übernimmt CIVAC die Rolle des externen Compliance-Beauftragten oder führt Investigation-Mandate. Beide Modelle sind kombinierbar und je nach Reifegrad sinnvoll.
Der CIVAC-SLA liegt bei zwei Werktagen für Erstkontakt und Bestellurkunde, statt der branchenueblichen zwei bis sechs Wochen. Bei akuten Vorfaellen besteht eine Hotline mit Aktivierungszeit unter vier Stunden. Diese Geschwindigkeit ist regulatorisch entscheidend, denn Fristen laufen ab Kenntnis.
Die Integration in bestehende Compliance-Strukturen erfolgt ohne Bruch. Bestehende Vorlagen werden übernommen, fehlende ergaenzt. Schnittstellen zu DMS, HR-Systemen und SIEM-Loesungen sind über Standardkonnektoren möglich. Die ISO/IEC 27001:2022-Zertifizierung sichert das ISMS ab.
Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular für ein 30-minuetiges Erstgespraech. Unsere Beauftragten skizzieren den Migrationspfad für Ihr Investigation-Handbuch innerhalb von zwei Werktagen.
FAQ
Wann beginnt die Sieben-Tage-Frist zur Eingangsbestaetigung nach HinSchG?
Die Frist beginnt mit dem objektiven Eingang des Hinweises bei der internen Meldestelle, unabhängig vom Eingangskanal. Eine muendliche Meldung in der Sprechstunde loest die Frist genauso aus wie ein E-Mail-Eingang um 23:55 Uhr. Wochenenden und Feiertage zaehlen mit.
Muss der Betriebsrat in eine interne Ermittlung eingebunden werden?
Bei technischer Überwachung ist die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG zwingend. Ohne Zustimmung sind Beweise im Arbeitsgericht regelmäßig unverwertbar. Bei reinen Personalmassnahmen greift § 102 BetrVG erst bei Kuendigungsentscheidungen, nicht waehrend der Ermittlung.
Wie lange sind Investigation-Akten aufzubewahren?
Die Aufbewahrungspflicht ergibt sich aus dem Anlass. Handelsrechtlich sechs Jahre nach § 257 HGB, steuerrechtlich zehn Jahre nach § 147 AO. Personenbezogene Daten ohne weitere Aufbewahrungspflicht muessen nach Art. 5 DSGVO geloescht werden, sobald der Zweck entfallen ist.
Wann ist ein externer Untersuchungsfuehrer sinnvoll?
Bei Verdacht gegen Geschäftsfuehrung, Aufsichtsrat oder Compliance-Funktion ist die externe Vergabe Pflicht, um Unabhängigkeit zu sichern. Auch bei strafrechtlich relevanten Sachverhalten ist das Anwaltsprivileg zentral. Die Bestellurkunde regelt Auftrag, Berichtslinie und Vertraulichkeit verbindlich.
Wie schuetze ich die hinweisgebende Person vor Repressalien?
Das HinSchG verbietet Repressalien in § 36 ausdruecklich. Es gilt eine Beweislastumkehr: Bei einer Benachteiligung innerhalb von zwei Jahren muss das Unternehmen nachweisen, dass diese nichts mit der Meldung zu tun hat. Eine separate Berichtslinie und Pseudonymisierung sind Pflicht.
Welche Rolle hat der Datenschutzbeauftragte in einer internen Ermittlung?
Der DSB wird vor jeder umfangreichen Datenverarbeitung konsultiert, insbesondere vor der DSFA. Er ist nicht Untersuchungsfuehrer, sondern Kontrolleur und Berater. Eine Doppelrolle DSB plus Ermittler ist mit Art. 38 Abs. 6 DSGVO unvereinbar und faehrt das Verfahren in den Verwertungsausschluss.
Klingt nach viel Arbeit?
Beauftragten-Pflichten, Fristen, Nachweise — genau das nehmen wir dir ab. Sag kurz Hallo, wir zeigen dir wie.
Aus dem Beitrag ein Mandat machen.
Wir übernehmen die operative Last: externer Beauftragter, Vorlagen und Dokumentation in einem Workspace. Unverbindlich.