Ein Compliance-System ist nur so viel wert, wie Sie im Ernstfall davon belegen können.

Der Vorgang beginnt selten mit einem Verfahren. Er beginnt mit einem Hinweis über die Meldestelle, einem Prüfungsvermerk, einem Anruf aus einer Landesgesellschaft. Manchmal auch damit, dass um sieben Uhr morgens Ermittler in der Poststelle stehen.

Ab diesem Moment gilt eine unbequeme Regel: Es zählt nicht mehr, ob ein Compliance-Management-System existiert. Es zählt, was sich davon innerhalb weniger Tage belegen lässt — mit Dokumenten, mit Fundstellen, mit einer nachvollziehbaren Kette. Ein Richtlinienordner im Intranet ist kein Beweis. Eine Schulungsfolie ohne Teilnahmenachweis ist kein Beweis. Und ein Untersuchungsbericht, der nicht offenlegt, wie er zustande gekommen ist, ist im Zweifel kein Beweis für Sie, sondern gegen Sie.

1. Was die Rechtsprechung honoriert — und wofür sie nichts gibt

Ein Unternehmen kann sich in Deutschland nicht strafbar machen. Straftaten begehen nur Menschen - der Geschäftsführer, die Einkaufsleiterin, der Vertriebsmitarbeiter. Das Unternehmen selbst, juristisch der „Verband", steht nie vor dem Strafgericht. Ein Verbandsstrafrecht, das genau das ändern würde, ist mehrfach diskutiert und zuletzt 2021 im Gesetzgebungsverfahren gescheitert.

Sanktioniert wird das Unternehmen deshalb über das Ordnungswidrigkeitenrecht: mit der Verbandsgeldbuße nach § 30 OWiG. Sie knüpft immer an eine fremde Tat an — entweder an die Straftat einer Leitungsperson oder daran, dass jemand seine Aufsichtspflicht verletzt hat und ein Mitarbeiter den Verstoß deshalb begehen konnte (§ 130 OWiG). Der zweite Weg ist der praktisch häufigere, und er ist der Grund, warum dieser Artikel von Dokumentation handelt: Ob die Aufsicht ausgereicht hat, entscheidet sich an Unterlagen.

Zwei Entscheidungen des BGH bilden das Fundament der heutigen Praxis:

BGH, Urteil vom 9. Mai 2017 – 1 StR 265/16. Der Senat stellt klar, dass es für die Höhe der Geldbuße darauf ankommt, ob das Unternehmen ein wirksames Compliance-System eingerichtet hat. Nicht, ob es ein Regelwerk gibt — ob es wirkt.

BGH, Beschluss vom 27. April 2022 – 5 StR 278/21. Der Senat erkennt auch das Nachtatverhalten an: Wer nach Entdeckung ernsthaft aufklärt, abstellt und nachrüstet, kann mit einer Milderung des Ahndungsteils rechnen.

Beide Entscheidungen haben denselben blinden Fleck — jedenfalls für Unternehmen, die sich darauf berufen wollen. Sie honorieren Wirksamkeit und Ernsthaftigkeit. Beides sind Tatsachen, die vorgetragen und belegt werden müssen. Formal bleibt es beim Amtsermittlungsgrundsatz; praktisch trägt die Darlegungslast, wer sich auf sein System beruft. Wer die Wirksamkeit nur behauptet, bekommt nichts.

Die Einsätze steigen gerade. Der Regierungsentwurf zur Umsetzung der EU-Umweltstrafrechtsrichtlinie (BT-Drs. 21/6133 vom 26. Mai 2026) sieht vor, das Höchstmaß der Verbandsgeldbuße bei vorsätzlicher Anknüpfungstat von 10 auf 40 Millionen Euro und bei Fahrlässigkeit von 5 auf 20 Millionen Euro anzuheben — deliktsübergreifend, also auch für Korruption, Untreue, Steuerhinterziehung, Geldwäsche und Sanktionsverstöße. Ein neuer § 30 Abs. 2a OWiG-E soll erstmals gesetzliche Zumessungskriterien schaffen und Compliance-Vorkehrungen, Aufklärung und Wiedergutmachung ausdrücklich benennen. Der Bundesrat hat in seinen Ausschussempfehlungen (BR-Drs. 266/1/26) darüber hinaus gefordert, Aufklärungshilfe stärker zu verankern.

Das Gesetzgebungsverfahren läuft noch. Aber die Richtung ist eindeutig: Der Sanktionsrahmen wächst, und die Frage, wie ein Unternehmen organisiert war und wie es reagiert hat, rückt aus dem Richterrecht in den Gesetzestext. Nebenbei bemerkt: Die 40 Millionen betreffen nur den Ahndungsteil. Die Abschöpfung des Erlangten kommt hinzu und ist in der Praxis oft der größere Posten.

2. Das Dilemma: Die eigene Untersuchung als Beweismittel der Gegenseite

Wer aufklärt, produziert Beweismittel. Interviewprotokolle, E-Mail-Auswertungen, Lückenlisten, Zwischenberichte — Material, das den Sachverhalt oft präziser abbildet, als die Ermittlungsbehörde es aus eigener Kraft je könnte.

Ein allgemeines Legal Privilege für interne Untersuchungen gibt es in Deutschland nicht. Das Bundesverfassungsgericht hat das im Jones-Day-Komplex deutlich gemacht (Beschluss vom 27. Juni 2018 – 2 BvR 1405/17): Die Durchsuchung der Münchener Kanzleiräume und die Beschlagnahme von Unterlagen aus der VW-internen Aufklärung waren verfassungsrechtlich nicht zu beanstanden. Der Schutz des § 97 Abs. 1 Nr. 3 StPO setzt ein Vertrauensverhältnis zum Beschuldigten des konkreten Verfahrens voraus — daran fehlte es. Der EGMR hat die Beschwerden dagegen 2024 zurückgewiesen. Die Hoffnung auf eine europarechtliche Korrektur ist damit erledigt.

Für die Praxis bleiben drei Stellschrauben, an denen sich entscheidet, ob Untersuchungsmaterial geschützt ist:

• Mandatsart. Verteidigungsmandat an externe Anwälte, nicht allgemeine Beratung, nicht reines Fact-Finding.

• Verfahrensstellung. Das mandatierende Unternehmen muss Beschuldigter oder Nebenbeteiligter sein; die bloße Sorge, es könnte ein Verfahren kommen, genügt nicht. Im Konzern heißt das: betroffene Tochtergesellschaften gehören eigenständig in das Mandat.

• Gewahrsam. Was im Zugriffsbereich des Unternehmens liegt, ist zugriffsfähig.

Besonders exponiert ist die Rechtsabteilung selbst. Der Syndikus hat ein Zeugnisverweigerungsrecht, aber keinen entsprechenden Beschlagnahmeschutz für seine Memos. Der ehrliche interne Lückenbericht — fachlich genau das Richtige — kann im Ernstfall zum zentralen Belastungsdokument werden. Das ist kein Argument dafür, nicht aufzuschreiben. Es ist ein Argument dafür, vorher zu klären, wer schreibt, in welcher Rolle, in wessen Gewahrsam.

3. Das Material: Beschäftigtendatenschutz ist kein Nebenschauplatz

Sachverhaltsaufklärung heißt heute: Postfächer, Chats, Logfiles, Systemauszüge. Genau dort liegen die schärfsten Grenzen.

Die Rechtsgrundlage hat sich verschoben. Mit dem Urteil des EuGH vom 30. März 2023 (C-34/21, Hessen) ist § 26 Abs. 1 BDSG als Legitimationsgrundlage weitgehend weggefallen: Eine nationale Norm auf Basis der Öffnungsklausel des Art. 88 DSGVO muss spezifischere Vorschriften mit eigenen Garantien enthalten; eine Paraphrase der DSGVO reicht nicht. Für interne Untersuchungen bedeutet das: Die Auswertung steht und fällt regelmäßig mit der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO. Auf eine Einwilligung im Arbeitsverhältnis sollte sich niemand verlassen.

Die praktische Konsequenz ist eine Dokumentationspflicht vor dem ersten Zugriff: Welcher konkrete Verdacht, welche Tatsachen tragen ihn, welche Postfächer, welcher Zeitraum, welche Suchbegriffe, welches mildere Mittel wurde erwogen. Eine Abwägung, die erst im Nachhinein für den Schriftsatz geschrieben wird, ist keine Abwägung.

Beim Fernmeldegeheimnis ist Bewegung — aber keine Entwarnung. Die Bundesnetzagentur hat in einem Hinweispapier (Juli 2025) die Auffassung vertreten, dass Arbeitgeber, die dienstliche Postfächer bereitstellen, auch bei erlaubter oder geduldeter Privatnutzung keine Telekommunikationsdienste anbieten — es fehle an einer eigenständigen wirtschaftlichen Tätigkeit. Die LDI NRW argumentiert ähnlich. Das entschärft das Strafbarkeitsrisiko aus § 206 StGB erheblich. Aber: Die Datenschutzkonferenz hat ihre gegenteilige Position bislang nicht revidiert, höchstrichterlich geklärt ist die Frage nicht. Wer heute darauf ein Untersuchungskonzept stützt, sollte das bewusst tun und dokumentieren — nicht, weil es „inzwischen erlaubt" sei.

Und selbst wenn die Strafbarkeit entfällt, bleibt die Verwertbarkeit. Das BAG zieht enge Grenzen: Die heimliche, anlasslose Totalüberwachung war schon in der Keylogger-Entscheidung unzulässig (Urteil vom 27. Juli 2017 – 2 AZR 681/16); es braucht einen auf konkrete Tatsachen gestützten Verdacht, nicht das Suchen ins Blaue hinein. Bei unverhältnismäßiger Auswertung privater Kommunikation droht nicht nur ein Beweisverwertungs-, sondern ein Sachvortragsverwertungsverbot — das Gericht darf die Erkenntnis dann nicht einmal als Tatsachenbehauptung zur Kenntnis nehmen. Die Tat mag feststehen. Durchsetzbar ist sie trotzdem nicht.

4. Mitbestimmung: das Zeitproblem, das niemand im Ernstfall lösen kann

Forensik- und e-Discovery-Werkzeuge sind objektiv geeignet, Verhalten und Leistung zu erfassen. Damit greift § 87 Abs. 1 Nr. 6 BetrVG — unabhängig davon, wozu sie eingesetzt werden sollen. Der Betriebsrat ist zu beteiligen, und zwar bevor Daten ausgeleitet und indexiert werden.

Das eigentliche Risiko ist nicht das Mitbestimmungsrecht. Es ist die Zeitachse. Wer erst nach der Durchsuchung anfängt zu verhandeln und im Konfliktfall die Einigungsstelle anrufen muss, verliert Wochen bis Monate — genau in dem Zeitraum, in dem Kooperationsbereitschaft etwas wert gewesen wäre.

Die Antwort darauf ist eine Rahmenbetriebsvereinbarung zu internen Untersuchungen und IT-Forensik, geschlossen in ruhigen Zeiten. Die Argumente dafür sind gegenüber der Arbeitnehmerseite belastbar: Ein strukturiertes, suchbegriffbasiertes Verfahren ist für die Belegschaft der mildere Eingriff als das manuelle Durchsehen von Postfächern durch Vorgesetzte, es entlastet Unbeteiligte schneller, und eine Vereinbarung schafft überprüfbare Spielregeln — Vier-Augen-Prinzip, Trennung von Ermittler und Betroffenem, Zweckbindung, Löschkonzept — statt eines Ad-hoc-Prozesses unter Krisendruck.

5. Der Kern: das Selektionsprotokoll

Alle vier Themenfelder laufen an derselben Stelle zusammen. Wenn ein Unternehmen sich später auf seine eigene Untersuchung beruft, wird nicht nur gefragt, was gefunden wurde. Gefragt wird, wie es gefunden wurde:

• Welche Datenquellen und welche Custodians wurden einbezogen — und welche nicht?

• Welche Suchbegriffe, in welchen Sprachen, mit welchen Varianten?

• Welcher Zeitraum, und warum dieser?

• Welche Treffer wurden aussortiert, von wem, aus welchem Grund?

• Welche Fassung eines Dokuments lag der Feststellung zugrunde?

• Wann wurde was gesichert, und ist die Kette lückenlos?

Genau diese Angaben fehlen in der Praxis regelmäßig. Nicht aus Nachlässigkeit, sondern weil sie über E-Mail, Datenraum und drei Excel-Listen verteilt entstehen und nie an einer Stelle zusammengeführt werden. Eine Untersuchung ohne Selektionsprotokoll ist ein Bericht mit Ergebnissen, aber ohne Methode — und damit angreifbar von der ersten Nachfrage an.

Umgekehrt gilt: Eine belegte Lücke ist ein Ergebnis. Der Satz „für dieses Aufsichtselement liegt kein Nachweis vor" ist unangenehm, aber belastbar. Der Satz „unser CMS ist wirksam" ohne Unterlage ist angenehm und wertlos.

6. Wo Technologie trägt — und wo nicht

Die Auswertung großer, unstrukturierter Datenbestände ist ohne Werkzeuge nicht mehr zu leisten. Aber nicht jedes Werkzeug taugt für einen Vorgang, dessen Ergebnisse einmal vor einer Behörde oder einem Gericht Bestand haben müssen. Drei Anforderungen halten wir für nicht verhandelbar:

Belegpflicht statt Zusammenfassung. Jede Feststellung braucht eine Fundstelle, und das Zitat muss gegen das Originaldokument geprüft sein. In Unternehmensdaten gibt es kein „Band und Blatt" — die Fundstelle besteht aus Custodian, Dokument-ID und Fassungsstand. Wer diese Konvention nicht von Anfang an durchhält, kann später nichts davon rekonstruieren.

Nichtwissen muss sichtbar sein. Ein Modell, das Lücken glättet, ist in einer internen Untersuchung nicht hilfreich, sondern gefährlich. Es muss sagen, wenn eine Frage aus dem vorliegenden Material nicht beantwortbar ist — und der Bericht muss diese Stellen ausweisen, statt sie zu überschreiben.

Vertraulichkeit ist eine Voraussetzung, kein Feature. Untersuchungsmaterial ist Beschäftigtendaten, Mandatsgeheimnis und potenzielles Beweismittel in einem. Wer es in Systeme gibt, die zu Trainingszwecken mitlesen oder in Drittstaaten verarbeiten, hat den Beschaffungsprozess in einer Rechtsabteilung ohnehin verloren — und zu Recht.

Für wiederkehrende Prüfungen lässt sich diese Methodik festschreiben. In PyleHound heißen solche geprüften Anweisungssets Fähigkeiten: einmal sauber definiert — welche Elemente geprüft werden, welche Belege gefordert sind, wie das Ergebnis aussieht — liefern sie konsistente, nachvollziehbare Ergebnisse, statt bei jeder Untersuchung neu formuliert zu werden. Die Zerlegung der Aufsichtspflicht in einzeln belegbare Elemente (Auswahl, Instruktion, Organisation, Kontrolle, Sanktion, Nachjustierung) ist dafür das nächstliegende Beispiel: Das Ergebnis ist eine Matrix, die pro Element sagt, ob er belegt, teilweise belegt, nur behauptet oder nicht dokumentiert ist — und nichts erfindet, um eine Zelle zu füllen.

Was Technologie nicht leistet: Sie entscheidet nicht über die Mandatsstruktur, sie führt keine Interessenabwägung, sie verhandelt keine Betriebsvereinbarung und sie ersetzt keine Verteidigerin. Diese Weichen werden vorher gestellt — von Menschen.

Was das für die nächste Woche heißt

Fünf Fragen, die sich ohne Projekt beantworten lassen. Wenn eine davon offenbleibt, ist das der nächste Arbeitsschritt:

1. Gibt es eine Rahmenbetriebsvereinbarung für interne Untersuchungen und IT-Forensik — oder verhandeln wir im Ernstfall unter Zeitdruck?

2. Existiert eine Vorlage für die DSGVO-Interessenabwägung, die vor dem ersten Zugriff ausgefüllt wird?

3. Ist vorab geklärt, welche Kanzlei bei welchem Szenario als Verteidigung mandatiert wird — konzernweit, nicht nur für die Muttergesellschaft?

4. Können wir für die zentralen Aufsichtselemente jeweils ein Dokument benennen, das sie belegt? Für wie viele endet die Antwort bei „müsste irgendwo sein"?

5. Wer führt das Selektionsprotokoll, ab der ersten Stunde?

Die Kernthese noch einmal, in ihrer unbequemsten Form: Ein Compliance-System ist nur so viel wert, wie Sie im Ernstfall in wenigen Tagen davon belegen können. Alles andere ist eine Behauptung über sich selbst.

Dieser Beitrag gibt den Diskussionsstand wieder und ersetzt keine Rechtsberatung im Einzelfall. Der Gesetzentwurf zu § 30 OWiG (BT-Drs. 21/6133) befindet sich im parlamentarischen Verfahren; die Angaben geben den Stand August 2026 wieder.