Interne Untersuchungen – Aufklärung und Beweissicherung: Teil 1: Ablaufbeschreibung und technische Hintergründe

Interne Untersuchungen gehören inzwischen zum Standardvorgehen in Unternehmen, wenn der Verdacht eines Regelverstoßes durch einen Mitarbeiter besteht. Anknüpfend an unsere FAQ-Reihe zu internen Untersuchungen (Teil 1: FAQ: Interne Untersuchungen – Was Arbeitgeber beachten müssen (Teil 1), Teil 2: FAQ: Interne Untersuchungen – Was Arbeitgeber beachten müssen (Teil 2); Teil 3: FAQ: Interne Untersuchungen – Was Arbeitgeber beachten müssen (Teil 3)) befasst sich die Beitragsreihe „Interne Untersuchungen – Aufklärung und Beweissicherung“ vertieft mit den technischen und rechtlichen Rahmenbedingungen der hierbei genutzten Aufklärungsmaßnahmen. Welche Maßnahmen internen Ermittlern zur Verfügung stehen und wie diese in der Praxis ablaufen, beleuchtet der erste Teil der Reihe.

Was ist der Unterschied zwischen Aufklärungsmaßnahmen und Beweissicherung?

Hat ein Mitarbeiter einen Rechtsverstoß begangen, besteht die Gefahr, dass er belastende Dokumente, E-Mails oder Daten löscht oder beschädigt, um Beweise für sein Fehlverhalten zu beseitigen (sog. Verdunklungshandlungen). Um dieser Gefahr vorzubeugen, ist eine frühzeitige Beweissicherung notwendig. Die Beweissicherung soll verhindern, dass Beweismittel (wie z.B. Akten, Schriftstücke, E-Mails) vernichtet werden und so eine spätere Aufklärung des Sachverhalts vereitelt wird (vgl. Minoggio, in: Galley/Minoggio/Schuba (Hrsg.), Unternehmenseigene Ermittlungen, 1. Aufl. 2016, S. 148 f.). Eine Beweissicherung kommt aber nicht nur bei strafrechtlichen Vorwürfen in Betracht, sondern auch, wenn in Vorbereitung auf zivilrechtliche Auseinandersetzungen eine Datensicherung betrieben wird (sog. „Litigation Hold“, vgl. van Rienen NStZ 2023, 274, 275). Sind die potenziellen Beweismittel gesichert, beginnt die eigentliche Aufklärungsmaßnahme. Hierbei werden die gesicherten Beweismittel gesichtet, ausgewertet und hinsichtlich ihrer Relevanz für die interne Untersuchung bewertet (vgl. Minoggio aaO S. 149). Beweissicherung und Aufklärungsmaßnahme sind daher zwei verschiedene Schritte in der internen Untersuchung.

Was passiert bei einer Vor-Ort-Besichtigung?

Eine simple Aufklärungsmaßnahme ist die Besichtigung von Räumen und Gegenständen. Konkret geht es dabei um die Besichtigung von Mitarbeiterbüros in den Gebäuden des Arbeitgebers. Der Arbeitgeber kann internen Ermittlern eine solche Besichtigung aufgrund seines Hausrechts gestatten (Grützner/Klaas/Wybitul, in: Momsen/Grützner (Hrsg.), WirtschaftsStrafR-Hdb. 2. Aufl. 2020, § 16 Rn. 354). Kenntnis, Zustimmung oder Anwesenheit des betroffenen Mitarbeiters sind nicht erforderlich (vgl. Klengel/Mückenberger CCZ 2009, 81, 85). Ob der betreffende Mitarbeiter vor Ort ist, hängt häufig vor allem davon ab, ob seine Anwesenheit den Zweck der Besichtigung gefährden würde. Ob neben den eigentlichen Ermittlern noch weitere Personen vor Ort sind, hängt von der Zusammenstellung des Untersuchungsteams ab (zu möglichen Beteiligten vgl. Galley, in: Galley/Minoggio/Schuba (Hrsg.), Unternehmenseigene Ermittlungen, 1. Auf. 2016, S. 99 ff.). Ggf. sind auch andere Unternehmensmitarbeiter oder Kollegen vor Ort, wenn dies erforderlich ist, um Zugang zum Büro zu erhalten (Bsp. Facility Manager).

Die Besichtigung kann alle Geschäftsräume des Arbeitgebers umfassen. Besondere Vorsicht ist aber bei Räumen selbständiger (Tochter-)Gesellschaften geboten, denn hier kann das Hausrecht des Arbeitgebers begrenzt sein (vgl. Salvenmoser/Schreier, in: Achenbach/Ransiek/Rönnau (Hrsg.), Hdb. Wirtschaftsstrafrecht, 6. Aufl. 2023, 2. Teil, 2. Kap., Rn. 102). Neben den Räumlichkeiten werden regelmäßig auch im Raum befindliche Möbel, d.h. unverschlossene Aktenschränke, Schreibtischschubladen und Regale in Augenschein genommen. Rechtliche Grenzfälle der zulässigen Besichtigung sind die Inaugenscheinnahme eines unverschlossenen Aktenkoffers oder von im Büro befindlichen Kleidungsstücken (Bittmann/Brockhaus/von Coelln/Heuking NZWiSt 2019, 1, 6). Hier müssen die Ermittler bei der internen Untersuchung abwägen, ob das Aufklärungsinteresse des Arbeitgebers das Persönlichkeitsrecht des betroffenen Mitarbeiters überwiegt (BAG, Urt. v. 13.12.2007 – 2 AZR 537/06). Der persönliche Spind des Mitarbeiters wird in aller Regel nur in dessen Anwesenheit besichtigt (BAG, Urt. v. 20.06.2013 – 2 AZR 546/12). Stimmt dieser der Besichtigung seines Spinds nicht zu, ist beim Verdacht einer Straftat die Polizei einzuschalten (Müller öAT 2017, 95, 97). Zur Beweissicherung werden oft Fotos oder Kopien angefertigt. Nicht besichtigt, fotografiert oder kopiert werden an den Mitarbeiter persönlich adressierte (verschlossene) Schriftstücke sowie Gegenstände, die erkennbar seinem privaten Lebensbereich zuzuordnen sind.

Was passiert beim „Dokumentenreview“?

Eine der wichtigsten Erkenntnisquellen bei internen Untersuchungen ist die Auswertung von Dokumenten und Dateien (Dokumentenreview). Die betroffenen Mitarbeiter sind zur Herausgabe dienstlicher Unterlagen aufgrund ihres Anstellungsvertrags verpflichtet (vgl. §§ 667, 675, 241 Abs. 2 BGB). Ein Einverständnis ist nicht erforderlich. Ob die Dokumente unter einem Vorwand oder offen angefordert werden, hängt von der Ermittlungstaktik ab. Die Herausgabepflicht umfasst sowohl Unterlagen in Papier- als auch solche in elektronischer Form (vgl. Klengel/Mükenberger CCZ 2009, 81, 85). Unterlagen in Papierform werden im Original sichergestellt oder kopiert und anschließend auf ihre Relevanz für die interne Untersuchung hin überprüft. Gegebenenfalls kann bereits vor der Beweissicherung (d.h. dem Sicherstellen oder Kopieren) eine Auswahl bzgl. der potenziell relevanten Unterlagen getroffen werden, um die zu sichtende Dokumentenmenge nicht unnötig anwachsen zu lassen.

Größere praktische Relevanz entfaltet heute freilich die Auswertung elektronisch gespeicherter Dokumente. Das liegt daran, dass Arbeitsabläufe in vielen Unternehmen inzwischen ganz oder teilweise digitalisiert sind. Der Arbeitgeber ist dabei berechtigt, sowohl passwortgeschützte als auch nicht passwortgeschützte dienstliche Dateien zu sichten (Salvenmoser/Schreier aaO, 2. Teil 2 Kap., Rn. 105 f.). Als privat zu qualifizierende Dateien werden von der Durchsicht im Regelfall ausgenommen. Durchgeführt wird die Auswertung von der unternehmensinternen IT-Abteilung oder externen Spezialisten der IT-Forensik (Galley aaO S. 112, 114). Wie genau Sicherung und Auswertung technisch erfolgen, hängt von mehreren Faktoren ab. Entscheidend ist im Ausgangspunkt, ob flüchtige Daten (die beim Abschalten des IT-Systems unwiederbringlich verloren gehen) oder nicht-flüchtige Daten gesichert und ausgewertet werden sollen. Je nachdem kommen sog. „Live-Response-Methoden“ (bei flüchtigen Daten) oder „Post-Mortem-Analysen“ (bei nicht flüchtigen Daten) zum Einsatz. Insbesondere bei Letzteren wird im Standardfall eine IT-forensische Kopie des jeweiligen Dokuments angefertigt, das im Anschluss ausgewertet werden kann (Schuba, in: Galley/Minoggio/Schuba (Hrsg.), Unternehmenseigene Ermittlungen, 1. Aufl. 2016, S. 263 ff.).

Angesichts der riesigen Datenmengen in einem Unternehmen erfolgt die (erste) Sichtung elektronsicher Dokumente in aller Regel nicht händisch, sondern mittels technischer Unterstützung (sog. IT-Forensik). Hierbei gibt es verschiedene Möglichkeiten, Datenbestände auf relevante Dokumente zu durchforsten. Neben Software, die Dokumente und Daten nach bestimmten Personen, Eigenschaften oder Stichwörtern durchsucht (vgl. hierzu Fährmann MMR 2020, 228, 232), besteht auch die Möglichkeit des sog. Data Minings. Darunter versteht man die systematische Anwendung von statistisch-mathematischen Methoden, um in einem Daten- oder Dokumentenbestand Muster und Anomalien zu erkennen (vgl. Salvenmoser/Schreier aaO, 2. Teil 2 Kap., Rn. 131). Diese Muster oder Anomalien lassen dann ggf. Rückschlüsse auf etwaiges Fehlverhalten zu. Die Zahl IT-forensischer Tools für Dokumentenreview und Data Mining ist gewaltig (für eine kleine Auswahl siehe Geschonneck, Computer Forensik, 5. Aufl. 2011, S. 155 ff.). Teilweise kommen bei internen Untersuchungen aber auch für den Einzelfall entwickelte, passgenaue Softwarelösungen zum Einsatz (zum Vorgehen der Ermittlungsbehörden siehe z.B. BKA – Technologien).

Was passiert beim Screening von dienstlichen E-Mails/Messengerdiensten und bei der Telefonüberwachung?

Auch die Einsicht in E-Mails und Nachrichten aus Messengerdiensten erfolgt bei internen Untersuchungen zumeist durch entsprechende technische, IT-forensische Lösungen (sog. Screenings). Dabei können unterschiedliche Informationen von Interesse sein. Zum einen können die Ermittler Nutzungsdaten erheben, d.h. die in sog. logfiles gespeicherten Angaben über Kommunikationspartner, Zeitpunkt und Dauer der Kommunikation (vgl. Salvenmoser/Schreier aaO 2. Teil, 2. Kap. Rn. 113). Aber auch der Inhalt eines E-Mail-Verkehrs oder Chatverlaufs kann von Bedeutung sein. Gängig dürfte auch hier das automatisierte, mit festgelegten Such-Stichwörtern arbeitende Screening sein (vgl. Mengel NZA 2017, 1494, 1497). Grundlage für ein Screening kann, muss aber nicht die Einwilligung des betroffenen Mitarbeiters sein. Unter bestimmten Voraussetzungen ist damit ein heimliches Screening möglich. Ob private E-Mails und Nachrichten Gegenstand des Screenings sind, hängt davon ab, ob der betroffene Mitarbeiter dienstliche Geräte für private Kommunikation genutzt hat. Für die rechtliche Zulässigkeit des Screenings auch privater Mails und Nachrichten ist u.a. entscheidend, ob der Mitarbeiter die dienstlichen Geräte hierfür nutzen durfte.

Wie der Zugang zu den Nutzungsdaten bzw. dem Inhalt von E-Mails oder Chatnachrichten erfolgt, hängt von der technischen Umgebung ab. Es macht z.B. einen Unterschied, ob Mails auf unternehmenseigenen Servern oder auf Servern von Drittanbietern gespeichert werden. Die Durchführung bzw. Überwachung des Screeningvorgangs obliegt – wie beim Dokumentenreview – häufig der IT-Abteilung oder externen IT-Forensikern. Die nach der Stichwortsuche verbleibenden Treffer werden dann manuell weiter auf Relevanz für die interne Untersuchung geprüft (Scharnberg, Illegale Internal Investigations 2015, S. 125).

Bei einer internen Untersuchung kommt auch der Einsatz einer Telefonüberwachung in Betracht. Zu unterscheiden ist – wie beim E-Mail Screening – zwischen der Ermittlung der Nutzungsdaten (d.h. Dauer, Datum, Uhrzeit und angerufene Nummer des Gesprächs) und des Gesprächsinhalts. Während erstere bspw. beim Telekommunikationsanbieter abgefragt werden können, erfordert letztere entweder einen technischen Zugriff auf den Telekommunikationsvorgang ohne Wissen der Beteiligten („Abhören“) oder die Einwilligung eines Gesprächsteilnehmers, dass der Arbeitgeber (für den anderen Gesprächspartner unbemerkt) den Inhalt des Gesprächs mitbekommt („Mithören“). Zu Zwecken der Beweissicherung wird das Gespräch zumeist aufgezeichnet. Denkbar ist aber auch ein nur auditives Ab- oder Mithören durch einen internen Ermittler.

Was passiert bei Interviews mit Mitarbeitern?

Interviews mit Mitarbeitern spielen bei internen Untersuchungen eine zentrale Rolle. Sie finden meistens im Anschluss an andere Aufklärungsmaßnahmen wie z.B. Dokumentenreviews oder E-Mail-Screenings statt. Sie können sich entweder auf eigene Regelverstöße des Mitarbeiters oder auf das Fehlverhalten Dritter (Bsp. Arbeitskollegen) beziehen. Grundlage des Interviews bilden oft die bisher zusammengetragenen Ergebnisse der internen Untersuchung (vgl. Krug/Skoupil NJW 2017, 2374, 2375).

Die Befragung wird vom beauftragten Ermittler und/oder vom Arbeitgeber durchgeführt. Der betroffene Mitarbeiter ist nach Einladung zum Interviewtermin zur Teilnahme und Auskunft verpflichtet (§§ 666, 675 BGB, § 106 GewO). Er muss – in Bezug auf Geschehen in seinem unmittelbaren Arbeitsbereich – wahrheitsgemäß antworten. Die Bundesrechtsanwaltskammer empfiehlt, dass der Mitarbeiter zur Befragung einen Rechtsbeistand hinzuziehen können soll (BRAK Thesen Unternehmensanwalt im Strafrecht, S. 10). Ein Anspruch auf Hinzuziehung besteht aber grundsätzlich nicht. Nur in speziell gelagerten Fällen kann sich aus der Fürsorgepflicht des Arbeitgebers ein solcher ergeben (BAG, Urt. v. 13.3.2008 – 2 AZR 961/06). Die Hinzuziehung eines Betriebsratsmitglieds gem. § 82 Abs. 2 S. 2 BetrVG oder § 84 Abs. 1 S. 2 BetrVG kann typischerweise nicht verlangt werden (Scharnberg, Illegale Internal Investigations 2015, S. 125). Sie kann aus ermittlungstaktischen Gründen aber hilfreich sein, wenn dadurch die Aussagebereitschaft des betroffenen Mitarbeiters steigt.

Im Übrigen gibt es keinen festgeschriebenen Ablauf eines Mitarbeiterinterviews. Belehrungspflichten bestehen nicht. Gegenstand der Befragung können Amnestiezusagen sein (siehe zu beiden Aspekten: FAQ: Interne Untersuchungen – Was Arbeitgeber beachten müssen (Teil 2) – unternehmensstrafrecht.de). Im Übrigen wird empfohlen, Befragungen (wie in § 69 Abs. 1 S. 1 StPO vorgesehen) so zu gestalten, dass der Mitarbeiter zunächst zusammenhängend den Sachverhalt schildert und erst im Anschluss zu einer Befragung im Einzelnen übergegangen wird (Krug/Skoupil NJW 2017, 2374, 2377 f.). Die Fragen werden im Idealfall offen und empfängergerecht gestellt, um Suggestivfragen zu vermeiden und keine relevanten Informationen durch die Fragestellung selbst auszuklammern. Die Ermittler klären zudem, ob der Mitarbeiter eigene Erfahrungen wiedergibt oder nur Informationen „vom Hörensagen“ weiterträgt. Das Interview wird schriftlich oder mittels Audio-/Videoaufnahme dokumentiert. Letzterem müssen alle Gesprächspartner zustimmen. Dem Befragten kann, muss aber nicht Zugang zum Protokoll gewährt werden. Auch eine Genehmigung oder ggf. eine Ergänzungsmöglichkeit des Protokolls ist nicht zwingend, kann aber zu Beweiszwecken sinnvoll sein (vgl. insgesamt zur Protokollierung Krug/Skoupil NJW 2017, 2374, 2378).

Welche anderen Aufklärungsmaßnahmen kommen noch in Betracht?

Neben den erläuterten Maßnahmen kommen bei internen Untersuchungen eine Reihe weiterer Aufklärungsmaßnahmen in Betracht. Wenig belastend für den Betroffenen sind Hintergrundrecherchen in öffentlich zugänglichen Quellen wie Presse oder Registern. Es sind aber auch Maßnahmen denkbar, die tief in die persönliche Lebensführung des Betroffenen eingreifen. Beispiele hierfür sind offene oder verdeckte Videoüberwachungen, heimliche Tonaufzeichnungen, Nutzung von GPS-Trackern oder das Öffnen von dienstlicher Post.