Interne Untersuchungen: Vom Hinweis zu rechtssicheren Ergebnissen

Interne Unternehmensuntersuchungen sind der strukturierte Prozess, mit dem ein Unternehmen die über seinen Hinweisgeberkanal (Spanisches Gesetz 2/2023, Umsetzung der EU-Richtlinie 2019/1937) gemeldeten oder durch andere interne Kontrollmechanismen festgestellten Sachverhalte mit juristischer und forensischer Methodik prüft. Ihre ordnungsgemäße Durchführung ist eine Anforderung eines wirksamen strafrechtlichen Compliance-Programms nach Art. 31 bis des spanischen Strafgesetzbuchs und ein vom Obersten Gericht in seiner Rechtsprechung geforderter Standard, damit dieses Programm die strafrechtliche Haftung der juristischen Person befreien oder mildern kann.

Interne Untersuchungen nach Gesetz 2/2023: der Unterschied zwischen Bearbeitung und echter Untersuchung

Das spanische Gesetz 2/2023 vom 20. Februar über den Schutz von Personen, die Verstöße melden — Umsetzung der Richtlinie (EU) 2019/1937 — legt dem Verantwortlichen des internen Informationssystems konkrete Verfahrenspflichten auf: Eingangsbestätigung binnen 7 Kalendertagen, Bescheid oder Bericht binnen 3 Monaten (verlängerbar auf 6 Monate in komplexen Fällen). Doch das Gesetz geht über Fristen hinaus: Es verlangt, dass Hinweise tatsächlich und wirksam untersucht werden, unabhängig vom Ergebnis.

Unternehmen, die Meldungen bestätigen und anschließend zu den Akten legen, ohne zu ermitteln, sind technisch gesehen nicht compliant und riskieren, dass die AIPI — die durch dasselbe Gesetz geschaffene unabhängige Behörde zum Schutz von Hinweisgebern — dieses Verhalten als Behinderung einer Untersuchung einstuft, eine sehr schwere Verletzung, die mit Bußgeldern bis zu 1.000.000 € geahndet werden kann.

Digitale Beweismittelkette: Warum ohne sie Beweise vor Gericht nicht standhalten

Die meisten unternehmerischen Unregelmäßigkeiten hinterlassen eine digitale Spur: E-Mails, Nachrichten auf unternehmensinternen Messaging-Anwendungen, Zugriffsprotokolle auf Finanzsysteme, Überweisungsaufzeichnungen, Dokumente in Dokumentenverwaltungssystemen. Digitale Beweismittel sind fragil — sie können ohne sichtbare Spuren geändert, gelöscht oder überschrieben werden. Wenn das Unternehmen nicht schnell und mit der richtigen Methodik handelt, sobald die Unregelmäßigkeit entdeckt wird, können die relevantesten Beweise unwiederbringlich verloren gehen.

Die digitale Beweismittelkette ist die Gesamtheit der Verfahren, die Authentizität, Integrität und Zuverlässigkeit elektronischer Beweismittel von ihrer Erfassung bis zu ihrer Vorlage vor Gericht gewährleisten. Sie erfordert die Anwendung der Norm ISO/IEC 27037:2012 — kryptografischen Hashwert jeder Datei im Moment der Sicherung, verlässliche Aufzeichnung von Datum und Uhrzeit, Speicherung in schreibgeschützten Systemen mit geprüfter Zugriffskontrolle sowie detaillierte Dokumentation des Zustands jedes Beweismittels in jeder Verfahrensphase.

Unser Sicherungsprotokoll wird innerhalb der ersten Stunden der Untersuchung aktiviert, bevor Befragungen oder Dokumentenprüfungen stattfinden, die den Beschuldigten warnen könnten.

Von der internen Untersuchung zum Strafverfahren: den Übergang gestalten

Wenn die interne Untersuchung Sachverhalte aufdeckt, die strafrechtlich relevant sein können, steht das Unternehmen vor einer der komplexesten Entscheidungen im Unternehmensrecht: ob es Strafanzeige erstattet, zu welchem Zeitpunkt, und wie die während der internen Untersuchung gewonnenen Beweise so gesichert werden, dass sie in einem Strafverfahren als Urkundsbeweis zugelassen werden.

Die am häufigsten bei internen Untersuchungen in Spanien festgestellten Unternehmensdelikte umfassen Untreue (Art. 252 StGB-ES), Veruntreuung (Art. 253 StGB-ES), Betrug (Art. 248 StGB-ES), Steuerdelikte (Art. 305 ff. StGB-ES), aktive und passive Bestechung im privaten Sektor (Art. 286 bis ff. StGB-ES) sowie bei Beteiligung von Amtsträgern (Art. 419 ff. StGB-ES), und Geldwäsche (Art. 301 StGB-ES).

Die Koordination zwischen interner Untersuchung und Strafverfahren birgt reale Spannungen. Die interne Untersuchung ist kein Verfahren mit strafrechtlichen Verfahrensgarantien — der Beschuldigte hat kein Schweigerecht im prozessualen Sinne — und wenn Materialien der internen Untersuchung in Strafverfahren ohne angemessene Vorkehrungen verwendet werden, können sie als unzulässige Beweise ausgeschlossen werden. Unser Team unter Leitung von Raúl Herrera García als Of Counsel (ICAM Madrid, Nr. 79.836), spezialisiert auf Wirtschaftsstrafrecht, entwirft das Koordinationsprotokoll zwischen der internen und der gerichtlichen Phase.

Rechte des Beschuldigten und des Hinweisgebers

Eine interne Untersuchung ist darauf ausgelegt, die Wahrheit der Sachverhalte zu ermitteln, nicht den Beschuldigten vorab zu verurteilen. Dieses Prinzip wird in der Praxis häufig verletzt, wenn das Untersuchungsteam implizit auf die Bestätigung einer von der Unternehmensführung bereits gezogenen Schlussfolgerung ausgerichtet ist.

Auf Seiten des Hinweisgebers garantiert das Gesetz 2/2023 in den Artikeln 16 und 17 die absolute Vertraulichkeit seiner Identität, ein ausdrückliches Verbot von Vergeltungsmaßnahmen und die gesetzliche Vermutung, dass jede anschließende nachteilige Maßnahme eine Vergeltung darstellt, sofern nicht das Gegenteil bewiesen wird. Diese Beweislastumkehr ist erheblich: In der Praxis muss der Arbeitgeber dokumentieren, dass die gegenüber dem Hinweisgeber ergriffenen Maßnahmen eine von der Meldung völlig unabhängige objektive Ursache haben.

Auf Seiten des Beschuldigten gebieten die Grundsätze des rechtlichen Gehörs, dass ihm die Vorwürfe im geeigneten Verfahrensstadium mitgeteilt werden und er eine echte Möglichkeit erhält, seinen Standpunkt und seine Beweismittel vor Abschluss der Ermittlungen einzubringen. Werden Disziplinarmaßnahmen — Suspendierung, Kündigung — ohne Beachtung des spanischen Arbeitsrechts verhängt, sind diese arbeitsrechtlich nichtig oder rechtswidrig, unabhängig davon, ob das untersuchte Verhalten real und schwerwiegend ist.

Interne Untersuchungen im Compliance-Programm nach Art. 31 bis StGB-ES: Rechtsprechung des Obersten Gerichtshofs

Art. 31 bis des spanischen Strafgesetzbuchs in der durch das Organgesetz 1/2015 geänderten Fassung sieht vor, dass eine juristische Person von der Strafverantwortlichkeit befreit ist, wenn sie vor der Begehung der Straftat Organisations- und Managementmodelle eingeführt und wirksam umgesetzt hat, die geeignete Überwachungs- und Kontrollmaßnahmen zur Verhütung von Straftaten gleicher Art oder zur wesentlichen Verringerung des Risikos ihrer Begehung umfassen.

Die Rechtsprechung des Obersten Gerichtshofs — insbesondere STS 154/2016 vom 29. Februar und die folgenden Urteile — hat die Anforderungen präzisiert: Neben Präventionsmechanismen erfordert das Programm auch eine regelmäßige Überprüfung des Modells mit Anpassung, wenn relevante Verstöße festgestellt werden. Genau hier greifen interne Untersuchungen. Ein Compliance-Programm, das nie etwas untersucht hat, das Meldungen erhält, ohne Konsequenzen zu ziehen, erfüllt diese Anforderung nicht. Dieses dokumentierte Defizit in der Gerichtsakte reicht aus, damit das Gericht das Programm als formelles Dokument ohne operative Substanz einstuft und die Strafbefreiung verweigert.

Sektoren mit erhöhtem Untersuchungsrisiko

Finanz- und Versicherungssektor. Von der Banco de España und der CNMV beaufsichtigte Einrichtungen müssen robuste interne Kontrollsysteme unterhalten. DORA (Verordnung (EU) 2022/2554) fügt spezifische Anforderungen an Vorfallsmanagement und Meldepflichten hinzu. Untersuchungen zu Betrug, Geldwäsche, Marktmanipulation oder Insiderhandel erfordern die Koordination mit der CNMV und häufig der Staatsanwaltschaft für Korruptionsdelikte.

Bau- und öffentliches Auftragswesen. Bestechung im Vergabeverfahren (Art. 286 bis StGB-ES), Veruntreuung öffentlich finanzierter Mittel und Unregelmäßigkeiten bei der Baukostenabrechnung sind die häufigsten Risikovektoren. Erforderlich ist eine forensische Analyse der Kostenrechnung und der Vergabeprozesse.

Multinationale Gruppen in Hochrisikoländern. Der US Foreign Corrupt Practices Act (FCPA) und der UK Bribery Act begründen extraterritoriale Pflichten für Unternehmen mit Bezug zu diesen Jurisdiktionen, mit anspruchsvolleren Standards für interne Untersuchungen als das spanische Recht.

Gesundheits- und Pharmasektor. Interessenkonflikte in Beziehungen zu Angehörigen der Heilberufe, Verschreibungsanreize und Unregelmäßigkeiten bei klinischen Studien sind Bereiche besonderer Sensibilität, mit AEMPS-Aufsicht und strafrechtlichem Haftungsrisiko nach Art. 286 bis StGB-ES.

Beauftragungsmodelle

Untersuchung mit Pauschalhonorar. Für Untersuchungen mit definiertem Umfang — konkrete Meldung, eingegrenzte Sachverhalte — erstellen wir ein Pauschalangebot für alle Phasen: Triage, Untersuchungsplan, Beweissicherung, Befragungen, Analyse und Abschlussbericht. Das Angebot wird nach einem ersten Scoping-Gespräch erstellt, ohne Kosten für das Unternehmen.

Rahmenvertrag. Für Unternehmen mit hohem Meldeaufkommen oder dem Bedarf an schneller Reaktionsfähigkeit bieten wir einen Rahmenvertrag an, der die Verfügbarkeit des Untersuchungsteams innerhalb von maximal 24 Stunden nach Aktivierung garantiert. Dieses Modell eignet sich besonders für Unternehmen, bei denen BMC auch den ausgelagerten Hinweisgeberkanal betreibt, und integriert Kanalmanagement und interne Untersuchung in einen einzigen koordinierten Prozess.

In beiden Fällen koordinieren wir bei Bedarf an spezialisierter digitaler Forensik — Festplattenabbilder, Arbeitsspeicheranalyse, Untersuchung mobiler Endgeräte — mit spezialisierten Dienstleistern in unserem Netzwerk im Rahmen spezifischer Vertraulichkeitsvereinbarungen für Unternehmensumgebungen.