5 Todsünden, wenn ich Verstöße intern aufarbeite 🤯

Joel Kaczmarek: Hallo Leute, hier ist Joel und heute wird es wieder juristisch und gleichzeitig unterhaltsam. Wann hat man das schon mal? Das kann ich euch sagen, wenn die liebe Carolin Raspé und der gute David Rieks zu Gast sind. Die sind nämlich beide Partner bei YPOG, eine großartige Anwaltskanzlei. David zum Thema Strafrecht und Caroline zum Thema Internal Investigations. Und wir besprechen ja hier regelmäßig fleißig strafrechtliche Themen. Wann hat man sowas auch schon mal? Dass wir Unternehmertum uns mal anschauen mit dieser Brille. Und heute geht es darum, was sind denn eigentlich die fünf Hauptfehler, wenn ich eine interne Aufarbeitung von Verstößen vornehme? Also wann sowas einsetzt, werden wir gleich nochmal verstehen. Aber im Wesentlichen geht es heute wirklich darum, wenn da mal richtig was los ist und ich das intern aufarbeiten möchte, was kann ich dabei falsch machen? So, von daher auch heute wird es spannend. Und ihr beiden, ich freue mich darauf. Hallo, schön, dass ihr da seid.

Intro & Outro Speaker: Hallo, schön, dass wir wieder da sein dürfen.

Carolin Raspé: Hallo Joel.

Joel Kaczmarek: Ja, vielleicht fangen wir mal ganz bodenständig an. Also ich glaube, glücklicherweise wissen nicht so viele Menschen, also was eine interne Untersuchung ist, kann man sich schon grob vorstellen. Vielleicht nicht, was alles dazu gehört, aber vor allem. Wann mache ich sowas eigentlich? Also was so die Auslöser sind? Vielleicht beginnen wir mal ganz posenständig. Also Karin, was ist so der typische Ablauf von sowas und wann brauche ich das eigentlich?

Intro & Outro Speaker: Ja, also interne Untersuchung bedeutet eigentlich nur, dass ich versuche zu verstehen, was passiert ist. Also es ist letztendlich eine Sachverhaltsaufklärung, die man unternehmensintern durchführt. Und die Auslöser, die können sehr vielfältig sein. Das kann sein, dass... irgendein Vorwurf in der Öffentlichkeit zu meinem Unternehmen bekannt geworden ist. Also das kann ein Zeitungsartikel sein. Das können natürlich externe Hinweise sein. Das kann aber fast noch häufiger auch einfach internes Meldewesen sein. Wir haben ja jetzt auch schon seit einer Weile das Hinweisgeberschutzgesetz. Und das heißt, wenn also Mitarbeiter ein Fehlverhalten melden oder sagen, ich glaube, mein Mitarbeiter steckt regelmäßig das Geld aus der Kaffeekasse ein oder was es auch immer sein mag. Dann muss ich als Unternehmen ja irgendwas damit tun. und das ist eben oft eine interne Untersuchung. Also wie ausführlich und wie viel man da macht, dazu sprechen wir heute bestimmt noch mehr, das kann sehr unterschiedlich aussehen. Aber eigentlich bedeutet es eine Sachverhaltsaufklärung, zu verstehen, was ist an den Vorwürfen dran, was ist passiert. Und ein vielleicht dritter Faktor, der noch wichtig ist, wie es losgehen kann, ist natürlich auch eine behördliche Untersuchung. Also wenn eine Behörde auf mich zukommt und wirft mir ein Fehlverhalten vor oder Mitarbeitern ein Fehlverhalten vor, dann... Genau, ist das auch ein häufiger Auslöser dafür, dass ich halt selber nachgucken muss, was ist denn wirklich passiert.

Joel Kaczmarek: Okay, also entweder externer Angriff sozusagen, juristisches Vorhaben. Der Kollege hat die Büroklammer wieder mitgehen lassen oder Behörde schreitet ein. Was würdet ihr sagen, wie viel Prozent der Unternehmen, also sagen wir mal vielleicht so die Frequenz betrachtet, haben mit sowas zu tun? oder wie oft hat man damit zu tun?

Intro & Outro Speaker: Das liegt an der Unternehmensgröße natürlich vor allem. Aber also in großen Konzernen ist das an der Tagesordnung, da gibt es tatsächlich teilweise sogar Abteilungen für eben genau sowas. Das ist dann eine Meldeabteilung oder eine Abteilung in der Compliance-Abteilung, die sich eben mit vor allem internen Verstößen und Hinweisen auseinandersetzt. Und ja, in deutlich kleineren Unternehmen ist es natürlich seltener. Wir treffen auch immer wieder auf Unternehmen, die haben eben noch nie eine interne Untersuchung gehabt. Und sind da dann deswegen auch oft am Anfang immer etwas verunsichert und sagen, was müssen wir denn jetzt tun, wie geht das überhaupt. Aber in der Regel hat das einfach stark zugenommen, was auch vom regulatorischen Umfeld bedingt ist. Und das ist eben was, was auf jeden Fall auf dem Vormarsch ist, solche internen Aufklärungen.

Joel Kaczmarek: Na gut, dann fangen wir doch mal an. Also fünf Hauptfehler, drei bei Caro heute, zwei bei David, aber wir ergänzen uns bestimmt fleißig. Fangen wir mal vielleicht mit dem ersten an, der ist ja relativ plain vanilla, liebe Caro. Nichts tun.

Intro & Outro Speaker: Ja genau, also ich glaube, es ist manchmal so ein urmenschliches Verhalten oder auch eine Reaktion, die nachvollziehbar ist, dass wenn einem erstmal was Unschönes mitgeteilt wird, das jetzt noch nicht von Anfang an offensichtlich ist, ob da wirklich was dran ist, dass man erstmal denkt. Ich würde es gerne ignorieren. Also eigentlich würde ich gerne nicht so genau hinschauen und vielleicht hoffen, dass es sich in Luft auflöst oder dass es vielleicht nur ein Mitarbeiter war, der gerade irgendwie sich mit einem Kollegen gestritten hat und mir irgendwas gemeldet hat, womit ich aber auf den ersten Blick gar nicht so viel anfangen kann oder ich halte es auch für unwahrscheinlich. Und dann kann man eben schon erstmal denken, naja, muss ich jetzt wirklich was tun? Auch wenn eben die Behörden kommen, wir haben ja gerade die drei Faktoren aus. aufgefächert, es kann eben sein, dass es aus dem Unternehmen kommt, der Vorwurf, dass der Vorwurf aus der Öffentlichkeit kommt, also von Dritten oder eben auch von der Behörde und wenn eine Strafbehörde auf einen zukommt, ist es durchaus in Deutschland noch weit vertreten, da kann sich ja David noch was zu sagen, aber dass eben erstmal die Leute sagen, naja, das müssen die mir doch erstmal nachweisen, also warum soll ich denn überhaupt tätig werden, die müssen doch Beweise sammeln, eine Staatsanwaltschaft muss den Fall nachweisen können, muss, wie gesagt, einfach eine Kausalkette herstellen und muss dann sagen, ihr habt was falsch gemacht. Und solange ich die Füße stillhalte und dabei nicht helfe, ist die Wahrscheinlichkeit vielleicht auch geringer, dass sie das schaffen. Also könnte man eben immer auch überlegen, vielleicht ist doch eigentlich Nichtstun eine ganz gute Variante. Und das ist aber in unserer Erfahrung, ich würde sagen, mit 95 Prozent der Fälle ist das keine gute Entscheidung. Und das liegt einfach daran, dass das hat Soft- und Hard-Faktoren. Also einerseits kann man wirklich mit dem Nichtstun einen eigenen Pflichtverstoß begründen. Also wir hatten in den letzten Folgen auch immer schon mal über das schöne lange Wort der Legalitätskontrollpflicht eines Managements gesprochen. Also letztendlich hat eine Geschäftsführung die Aufgabe, mögliches Fehlverhalten zu untersuchen und abzustellen. Abstellen kann man meistens nur, wenn man weiß, wo das Problem liegt und was schiefgelaufen ist. Das heißt, allein daraus kann sich schon eine Pflicht zur Aufklärung konkretisieren. Dann gibt es zunehmend, ich habe eben schon mal das Hinweisgeberschutzgesetz angesprochen, auch darin ist die interne Untersuchung eine der relevanten Folgemaßnahmen, die ergriffen werden sollen, wenn man einen stichhaltigen Hinweis bekommt. Und zunehmend gibt es auch Regelungsregime. Und das sind einfach alles Punkte, die schon mal auf rechtlicher Seite dafür sprechen, dass man sich das anschauen sollte. Also insbesondere, um auch zukünftige Verstöße auszuschließen. Und dann gibt es noch ein paar Soft-Faktoren, die aber mindestens genauso wichtig sind. Das ist nämlich, wenn, also erstens, wenn ich gar nichts tue, bin ich nicht Herr über die Storyline und über die Kommunikation, gerade wenn es schon in der Öffentlichkeit läuft. Also ich habe ja dann keine Möglichkeit, irgendwie einzugreifen oder substantiert gewisse Vorwürfe zu entkräften oder generell einfach mich dazu zu verhalten, weil ich ja selber gar nicht weiß, was passiert ist. Und ganz wichtig ist auch das Interne, also selbst wenn ein Verstoß bislang nur intern gemeldet wurde, wenn Mitarbeiter merken, und ich hatte das gerade kürzlich in einer internen Untersuchung, die ich geführt habe, wenn die merken, wir melden was, also wir gehen schon den Schritt und der fällt den Deutschen gerade in der Kultur auch gar nicht so leicht, zu so einer Unternehmens-Hotline zu greifen, Hörer aufzunehmen oder eine E-Mail zu schreiben. Und dann merke ich aber, es passiert gar nichts, es versandet. Die Frage stellen wir noch nicht mal Fragen zurück. Dann wächst das Un... die Unzufriedenheit enorm im Unternehmen und das kann dann einfach dazu sorgen, dass das Problem viel größer wird, als das eigentliche Thema, das gemeldet wurde. Also die sprechen dann natürlich mit anderen Kollegen darüber und dann sagen alle, ja stimmt und wir haben ja schon immer eine toxische Kultur. Also ich hatte das jetzt eben, wie gesagt, neulich im wissenschaftlichen Kontext, da waren Nachwuchswissenschaftler sehr unzufrieden und das rutschte dann auch immer mehr ab. Also die Vorwürfe wurden auch immer lauter, immer stärker, gingen dann auch Richtung MeToo und Mobbing und das ist dann einfach... Und ein Hauptthema, warum das so weit gekommen ist, ist, dass einfach gefühlt seit der ersten Meldung nicht signifikant was passiert ist. Und die Mitarbeiter einfach das Gefühl hatten, sie werden damit nicht ernst genommen. Und allein das ist auch ein Grund, wenn Vorwürfe kommen, die auch nur annähernd gefasst werden können. Also wenn was völlig Abstruses kommt, kann ich damit manchmal auch nichts tun. Aber wenn ich die Möglichkeit habe, zurückzufragen. oder irgendeinen Ansatzpunkt, irgendeinen Ansatzpunkt für eine interne Untersuchung habe oder für Nachfragen, dann sollte ich den ergreifen. Natürlich immer alles in einem ausgewogenen Maße. Man muss jetzt nicht gleich mit 50 Anwälten da reingehen und alle Mitarbeiter screenen, aber man muss sich dann einfach überlegen, was ist der richtige Weg? und das Wichtige ist eigentlich wirklich nur keine Inaktivität zeigen und solche Vorwürfe ernst zu nehmen.

Joel Kaczmarek: Okay, da war jetzt schon ganz viel drin. Sag mal David, jetzt hat ja Caro eben gesagt, wenn ich hier angeschossen werde von staatlicher Seite, da könnte ja die Vogelstrauß-Strategie schon sinnvoll sein, so nach dem Motto, ich belaste mich mit nichts, wenn ich erstmal stillhalte und so weiter. Magst du das nochmal ein bisschen spezifizieren, warum das nicht so ist?

Carolin Raspé: Das kann ich gerne machen. Das hat meines Erachtens zwei Komponenten, die man bedenken muss. Die eine ist die von Carolin gerade angesprochene, also die Problematik, dass ich sehr, sehr lange nicht weiß, ob an dem Vorwurf eigentlich was dran ist. Und jedenfalls, wenn es sich um Vorwürfe handelt, die das aktuelle Geschäft betreffen, also Dinge, die ich quasi morgen ja weiter am Markt tue, dann habe ich ja schon mal das grundsätzliche Problem, dass ich gar nicht weiß, ob ich damit in der Form, wie ich es gerade mache, aufhören muss oder nicht. Also ob es tatsächlich ein Problem gibt, ich mache es mal konkret, irgendwer wirft dem Unternehmen vor, irgendein Produkt, was es auf den Markt bringt, hat angeblich vielleicht irgendwelche gesundheitsgefährdenden Risiken. die bei der Testung bewusst von den Produktverantwortlichen ignoriert worden sind. Das ist jetzt mal ein fiktives Beispiel, aber solche Dinge gibt es in der Praxis natürlich. Wenn ich das nicht kläre, ob es tatsächlich dazu gekommen ist, dass die Messwerte nicht ordnungsgemäß erfasst worden sind, verkaufe ich das Produkt ja morgen wieder. Und wenn ich es morgen wieder verkaufe, Und ich habe diesen Hinweis, aber nicht aufgeklärt, ob er richtig ist, dann ist spätestens dann natürlich ein gravierendes Risiko, dass auch mir als demjenigen, der das Geschäft verantwortet, der Geschäftsführer beispielsweise, der Vorwurf gemacht wird, dass ich zumindest in Kauf genommen habe, dass die zukünftigen Straftaten dann sozusagen auch von mir vorsätzlich mitverantwortet werden. Also das alleine ist ein zentraler Punkt. Aber auch wenn es die Vergangenheit betrifft, ist meine Erfahrung, dass sehr, sehr viele Stakeholder, sei es Gesellschafter, Beiräte, andere Mitarbeiter, andere Geschäftsführer von mir eine Antwort haben wollen, ob da was dran ist. Und wenn ich dann sage, ja, die Ermittlungsbehörden klären das gerade, dann ist es gerade bei wirtschaftsschrafrechtlichen Sachverhalten so, dass diese Klärung Jahre dauern kann. Das heißt, die nehmen dann an einem Tag vielleicht ganz viel Daten mit, die Antwort, ob sie da was zu ermitteln. oder nicht und wann, kann aber auch drei Jahre später kommen. Und bis dahin bin ich dann eben in einer gewissen Weise gelähmt, es sei denn, ich schaffe es vielleicht etwas schneller, parallel schon mal selber so weit zu klären, dass ich mich sicher fühle, auf irgendwas zu antworten.

Joel Kaczmarek: Also ich finde den Punkt relativ plain vanilla und klar, nur hast du eben, ich glaube, mir so halb ernst gesagt, Caro, in 95 Prozent der Fälle ist es keine gute Idee, zu schweigen, nichts zu tun. Gibt es denn diese fünf Prozent der Fälle, wo es sinnvoll ist?

Intro & Outro Speaker: Also es gibt, glaube ich, schon Fälle, also eben habe ich es schon mal ein bisschen angesprochen, dass halt Themen kamen, die sind wirklich abwegig. Also ich glaube, jeder, der so eine Hotline betreut, der weiß, dass manche Leute da einfach ihren Frust ablassen. Also die beschweren sich dann, dass... was weiß ich, irgendwelche Konferenzkekse nicht mehr gibt. Und außerdem hat sie jetzt ihr Tischnachbar irgendwie böse angeguckt und so. Also da kann man dann wirklich schon überlegen, wie viele Unternehmensressourcen ich auf sowas allokiere. Teilweise sind sie auch wahnsinnig unverständlich in irgendwie dann Pitching-Englisch. Man weiß überhaupt nicht, um welche Gesellschaft es geht. Also da ist einem schlicht einfach manchmal die Hände gebunden, wenn vor allem auf Nachfragen auch nichts mehr kommt. Das ist meine Erfahrung bei internen Sachen. Und naja, also bei ... Bei anderen Themen ist es natürlich schon manchmal so, dass man immer auch realistisch abwägen muss, wie hoch ist, also jedenfalls auch als guter Anwalt jedenfalls, immer zumindest mal gegenstellt, wie hoch ist denn mein Entdeckungsrisiko und die Wahrscheinlichkeit, dass das jetzt groß wird. Also gerade wenn man sich überlegt, sollte ich mit internen Ergebnissen auch vielleicht aktiv selber an die Behörden rangehen. Also das ist spätestens der Schritt, wo man schon mal gut überlegen sollte. ist es immer gut, erstmal zu verstehen, was war überhaupt und habe ich es eben für die Zukunft auf jeden Fall im Griff. Aber wenn ich jetzt zum Beispiel weiß, gut, das liegt irgendwie super lang zurück, es ist höchstwahrscheinlich verjährt und da sind jetzt irgendwelche Themen, die vielleicht auch gar nicht mehr relevant sind. Also das betrifft einen Unternehmensbereich, den ich schon längst abgestoßen habe oder so. Da gibt es dann sicherlich schon Punkte, deswegen ist es immer schwer zu sagen, in 100 Prozent der Fälle. Ich habe es persönlich noch nicht erlebt, dass ich empfohlen habe, gar nichts mehr zu machen. Jedenfalls mal eine Notiz oder mal jemanden anweisen oder nochmal nachfragen lohnt sich meistens. Aber ich möchte halt auch nicht ausschließen, dass es sich... mal anbieten kann, zu sagen, komm, das ist jetzt so abwegig oder auch so lange her und wir wissen, das Risiko haben wir nicht mehr im Unternehmen, dass man das dann ad acta legt.

Joel Kaczmarek: Kommen wir zu unserem zweiten Hauptfehler, nämlich Interessenskonflikte zu ignorieren. Eher so in Davids Spirit.

Carolin Raspé: Genau, betrifft glaube ich Karolins Praxis so wie meine, ist der Punkt, den wir gerade besprochen haben. Es setzt ja gedankenlogisch sozusagen an dem Punkt an, wo der Hinweis eingeht und ich, das ist glaube ich so gesagt, stecke den Kopf in den Sand, mache einfach gar nichts, hoffe, dass es vorbeizieht. Wenn ich diese Hürde überkommen habe, dann ist meines Erachtens in der Praxis der häufigste Fehler oder die größte Herausforderung, dass man nicht genau weiß, wie man jetzt diese Untersuchung eigentlich beginnt. Also wer macht die eigentlich im Unternehmen, um mal ganz konkret zu werden? In welchem Setting? Was macht der? An wen berichtet der das? Wer darf von der Untersuchung wissen? Wer darf von der Untersuchung gerade nicht wissen? Also das, was man als Jurist vielleicht als sogenannte Governance bezeichnen würde, also die Struktur, das Aufsetzen der Untersuchung. Und warum ist das so zentral und warum ist das so wichtig, wenn man sich darüber keine Gedanken macht? Ich glaube, das zentrale Problem liegt relativ offen auf der Hand. Es gibt natürlich, wenn ein Hinweis eingeht, Auch Personen, die von dem Hinweis betroffen sind, also meistens oder regelmäßig auch Geschäftsleitungsfunktionen, wenn es um unternehmensbezogene Vorwürfe geht oder eben einzelne konkrete Personen. Carolin hatte das schon mal eben angesprochen bei MeToo-Vorwürfen. Wenn dann eine oder mehrere Personen kommen und sagen, hier auf den und den Partys, wir finden die Person verhält sich hier komplett inakzeptabel. dann ist ja diese Person neben den Hinweisgebern konkret von dem Hinweis betroffen. Und dann muss man sich ja sehr gut überlegen, wie setze ich das jetzt so auf, dass ich in der Lage bin, eine ergebnisoffene, faire Untersuchung tatsächlich durchzuführen. Und das fällt aus unserer Erfahrung Personen, die damit nicht so regelmäßig befasst sind, sehr, sehr schwer, weil es gerade in kleineren Unternehmen häufig natürlich auch persönliche Beziehungen gibt. Es gibt Hierarchien, es gibt Weisungs... gebundene Personen, die am Ende alle vielleicht beim Geschäftsführer weisungsgebunden ankommen. Das heißt, wenn ich den untersuchen soll, stehe ich vielleicht erstmal so ein bisschen auch mit einem großen Fragezeichen davor, zu sagen, wenn ich den jetzt anrufe und ihm sage, es gibt diesen Hinweis, dann habe ich schon nicht mehr im Griff, was er damit macht. Geht er dann direkt auf die Leute zu, die den Hinweis erteilt haben, ruft er die dann an, kündigt er den, was macht er dann? Aber wenn ich den nicht einbinde, ist das vielleicht arbeitsrechtlich verboten, den nicht zu fragen. Also das ist aus unserer Erfahrung oft eine ganz große Verunsicherung. die dann in der Praxis eben häufig auch dazu führt, dass man es eben unsauber aufsetzt, weil man irgendwie verschiedenen Gedanken gerecht werden will, die einfach nicht zu einem stringenten Vorgehen zusammenführen.

Joel Kaczmarek: Also es ist gar nicht immer so eine Form von Buddy-Kultur, so hey, du guck mal, hier läuft was gegen dich, sondern vielmehr auch manchmal die Unsicherheit, wie damit eigentlich umzugehen ist.

Carolin Raspé: Das ist meine Erfahrung. Also Carolin hat es angesprochen, es gibt natürlich viele große Unternehmen. Das muss auch kein DAX-Konzern sein, das können auch große Mittelständler sein. Die haben dafür Prozesse und Strukturen, da ist wahrscheinlich die Rechts- oder die Compliance-Abteilung, manchmal auch die Arbeits-, also HR-Abteilung befasst, solche Hinweise zu bearbeiten. Und die haben dann vielleicht dafür eine konkrete Richtlinie, ein Protokoll und die wissen, wenn der Geschäftsführer eingebunden ist, dann habe ich die Möglichkeit, ein Kontrollgremium anzusprechen, vielleicht einen Aufsichtsrat oder ich habe die Möglichkeit. die anderen Geschäftsführer anzusprechen und die dürfen mich dann ohne den betroffenen Geschäftsführer zu informieren, beauftragen. Da kann es ganz unterschiedliche Strukturen geben. Aber das führt eben zu einer gewissen Sicherheit, was ich zu tun habe. Während gerade in einem kleineren Unternehmen diese Sicherheit häufig nicht so richtig da ist und dann eher aus einer gewissen Unsicherheit. Man will niemanden auf den Fuß treten. Natürlich erst recht vielleicht auch niemanden, der für das eigene Wohl und Wehe der zukünftigen Karriere zuständig ist, auf den Fuß treten. Und dann kommt das eben häufig dazu, dass man dann den Geschäftsführer anspricht. Und wenn der dann, der hat ja auch eine undankbare Lage, der weiß dann, es gibt gegen einen selber einen Hinweis. Entweder hält er den für berechtigt oder für unberechtigt. Beide Rollen sind sehr schwierig fair auszuüben, um eine Untersuchung zu beauftragen, die einen selber betrifft. Also das betrifft gar nicht nur die Personen, die die Untersuchung dann führen sollen, vielleicht auch die Personen, die man dann anspricht, obwohl sie mit der Lage gar nicht richtig was Sinnvolles machen können. Und dafür gibt es auch keine Schablone, dass man jetzt im Podcast hier sagen kann, ihr müsst dann immer diese beiden Personen fragen, weil das total davon abhängt, welche Personen gibt es überhaupt in meinem Unternehmen, welche Gremien gibt es und welche Personen sind von dem Hinweis betroffen. Das Idealszenario ist meines Erachtens trotzdem, man denkt über diese Konstellation mal nach, bevor es zu so einem Hinweis und dann zum Schwur kommt. Weil in dem Fall habe ich ja das Problem, dass ich dann auch diese Prozesse mit jemandem etablieren muss, der ja dann auch wieder schon betroffen ist wahrscheinlich. Besser ist, man denkt darüber mal im Grundsatz, im Kern vorher nach. Faktisch ist es ehrlich gesagt, das wahrscheinlich der zentrale Anlass, warum häufig auch externe beauftragt werden. Einfach damit die dann in der Lage sind, das sauber aufzusetzen und niemand sich dem Vorwurf intern aussetzt, er hätte irgendwen nicht informiert, nicht in Kenntnis gesetzt, nicht regelmäßig im Loop gehalten und ähnliches. Und es gibt auch viele Konstellationen, wo sich das dann eben als sinnhaft erweist.

Joel Kaczmarek: Na gut, da ich dich gerade fragen wollte, was eine Blaupause sein könnte in so einer Situation, du gerade gesagt hast, gibt es keine. Dafür gibt es ja aber Leute wie euch, kann man ja auch sich sozusagen eure Hilfe holen. Würde ich sagen, machen wir doch mal mit dem dritten Hauptfehler weiter, nämlich, der dreht sich rund um das Thema Daten, wo ja Caro und ich immer schon in der Vergangenheit fleißig drüber geredet haben, nämlich, dass man Daten vielleicht verliert oder falsch nutzt. Also vielleicht kannst du ja mal so aus der Praxis erzählen, Carolin, was da so die typische Szenerie ist, die du eigentlich siehst.

Intro & Outro Speaker: Also tatsächlich, Gerade in größeren Compliance-Fällen gibt es ja meistens so eine Stunde Null und da explodiert eine Bombe. Und das ist eben meistens mit Öffentlichkeitsbezug. Also genau, ein Beispiel beim Dieselskandal war das eben im September 2015. Da kam halt die Notice of Violation von der Environmental Protection Agency und in dem Moment war klar, es gibt einfach ein Thema. Und ab dann läuft bei allen möglichen beteiligten Unternehmen eigentlich so ein Ausnahmezustand an. Also wir nennen das dann gerne, das ist dann wirklich so der Feuerwehreinsatz in den ersten Wochen. Und vor allem die ersten 48 Stunden sind da absolut kritisch. Denn wenn sowas publik wird, und da sind wir jetzt auch wieder so ein bisschen beim Wesenskern des Menschen, wenn ich dann das in der Zeitung lese und realisiere, ich bin da nah dran gewesen und weiß vielleicht sogar, Mist, da habe ich ja auch damals E-Mails zugeschrieben und habe gesagt, let's do it, oder gibt es da ein Problem? dann ist es eben tatsächlich sehr naheliegend in einer Panik- oder Spontanreaktion zu sagen, jetzt lösche ich mal schnell diese ganzen E-Mails. Oder es gab ja durchaus auch schon bekannte Wirtschaftsstrafverfahren, wo das angewiesen wurde von der Unternehmensleitung oder eben auch von einem General Counsel, der gesagt hat, so, jetzt geht es mal an den Schredder, jetzt wird alles zu dem Komplex vernichtet, weil vielleicht kommt morgen die Staatsanwaltschaft. Und das ist natürlich das Falscheste, was man in dem Moment tun kann. Aber es hilft auch als Unternehmen, die eigenen Mitarbeiter davor zu schützen. Denn erstens kann das natürlich auch das strafrechtlich relevant sein, wenn man solche Beweise vernichtet. Aber es ist eben auch so, ich möchte ja selber aus den Gründen, die wir eben schon erklärt haben, habe ich ja selber als Unternehmen Interesse daran, tatsächlich selbst die unangenehmen E-Mails zu behalten, um einfach zu verstehen, was passiert. Denn ich kann Dinge, das wissen wir alle, die per E-Mail verschickt werden. ja auch nicht mehr ungeschehen machen. Die liegen noch bei den Kommunikationspartnern rum, die mögen in anderen Unternehmen liegen. Und wenn dann jemand damit kommt und ich selber habe diese E-Mails nicht mehr, dann stehe ich schlechter da, als wenn ich sie eben frühzeitig selbst kannte und mich dann darauf auch vorbereiten kann. Das heißt, was ist das Wichtigste, was man tun muss? Der erste Anruf. Also wenn uns in so einem Fall ein Unternehmen anruft, dann ist das allererste Gespräch, das wir führen, tatsächlich mit dem IT-Zuständigen. Also wir sagen dann als erstes, okay, wir müssen wissen, Wo werden eure E-Mails gehostet? Wer hat darauf Zugriff? Wie sind überhaupt die Löschroutinen? Können Mitarbeiter überhaupt eigenständig löschen? Das wissen ja auch viele Mitarbeiter nicht, aber ganz oft, wenn ich in meinem Outlook-Posteingang auf Löschen drücke, dann fällt das quasi in so eine Art Auffangkorb, der nochmal 30 Tage aufbewahrt wird, der beim Unternehmen zum Beispiel nachgehalten wird, auch aus verschiedenen gesetzlichen Pflichten. Und das ist ja noch viel unangenehmer als Mitarbeiter. Dann lösche ich das, das sehen die ganz genau in der ... Dateneinsammlung dann. Also das heißt, es gibt eigentlich zwei ganz konkrete Maßnahmen, nach denen du gefragt hast, Joel. Das eine ist ein sogenannter Technical Hold und das andere ist ein Legal Hold, der dann sehr schnell ausgesprochen werden müsste. Der Technical Hold heißt wirklich, am besten zentral über die IT, das können inzwischen auch die meisten Unternehmen, zu sagen, okay, mach jetzt einfach einen Freeze. Also die Daten müssen so, wie sie gerade sind. bewahrt bleiben, es sind keine Löschungen mehr möglich. Vielleicht schafft man sogar schon, das komplett einmal zu spiegeln oder jedenfalls sicherzustellen, dass eben nichts mehr verloren geht. Das muss man als allererstes machen und dann muss man also nach den US-Verfahren oder Verfahren mit US-Bezug ist das tatsächlich auch von den US-Behörden regelmäßig gefordert, sogenannte Legal Hold Notices zu versenden. Das ist dann im deutschen Recht übersetzt eine arbeitsrechtliche Anweisung. Da bekommen die Mitarbeiter, die potenziell involviert sind, in kleinen Unternehmen vielleicht sogar alle oder gewisse Abteilungen, einen Hinweis, ein Schreiben. Da steht dann drin, also es gibt die und die Vorwürfe, haben sie wahrscheinlich der Presse entnommen. Wir nehmen das sehr ernst, wir gehen dem jetzt nach. Sie sind ab sofort angewiesen, keinerlei Daten zu verändern oder zu löschen, die irgendwie eben damit zu tun haben könnten. Und dann gibt es sehr detaillierte Anweisungen, tatsächlich technischer Art, auf das Unternehmen zugeschritten, was die Mitarbeiter jetzt tun sollen. Manchmal müssen sie sich durch Fragebögen klicken, sollen dann angeben, wo sie Daten zu dem Thema abgelegt haben. Und dann wird in den ersten Tagen eben auch oft wirklich so Datensicherungsgespräche geführt mit Leuten, die eben wissen, was damals passiert ist oder die jedenfalls nah dran waren, dass man überhaupt weiß, wo wurden denn Themen zu dem Bereich abgelegt. Klar, E-Mails ist naheliegend, aber vielleicht gibt es Abteilungslaufwerke, die keiner mehr kennt. Oder es gibt tatsächlich noch das Hardcopy-Archiv im Keller, das man jetzt, wenn man als externer Anwalt reinkommt, natürlich auch nicht kennt. Und deswegen am Anfang... ist wirklich, bevor man überhaupt in den eigentlichen Verstoß eintaucht oder versucht zu verstehen, was passiert ist, ist das allererste immer so eine Datenkarte zu machen und zu verstehen, wie läuft das bei euch im Unternehmen, wo sind die relevanten, wo könnten diese Daten sein und wie stellen wir sicher, dass sie auf keinen Fall verloren gehen. Und das muss man auch oft gegenüber Behörden dann nachweisen. Damit kann man es dann durchaus schaffen, die auch nicht immer, aber ab und zu ist uns das durchaus schon gelungen, dann auch... Behörden zu überzeugen, dass sie eben nicht selber kommen müssen, weil eben alles unter Kontrolle ist, weil die Daten gesichert sind, weil sie vielleicht irgendwo separat abgelegt sind und dann so auch rausgegeben werden können, ohne dass jetzt, wie David es in unserer ersten Folge beschrieben hat, damit mit dicken Bussen und kugelgesicherter Weste reinkommen müssen, was natürlich immer noch zu viel, viel mehr Unordnung und tatsächlich Unruhe sorgt. Also das ist eben das ganze Thema Datenverlust.

Joel Kaczmarek: Ich hab grad so diese Bilder im Kopf, wenn die Menschen so in so Kellerräumen mit Leuchtstoffröhren an so fünf unterschiedlichen Schreddern stehen und immer alles noch so reinpressen. So diese Filme hat man dann so im Kopf, ne? Genau. Also so ein bisschen der Klassiker eigentlich, wie bei den Kids auch, dass wenn du mit der Hand irgendwie in der Kekstose erwischt wurdest, dass du noch schnell die Krümel wegräumen willst. Dass das auch eigentlich so der unschlauste Weg ist. Ja, okay. Vielleicht können wir von hier aus auch uns auch mal gleich weiterhangeln, weil ich finde der... Der ist da sozusagen sehr nah dran auch. Der vierte Punkt, nämlich der vierte Hauptfehler rund um den Gedanken, wie eigentlich so ein Untersuchungsplan aussehen sollte. Also wenn der fehlt, ist ja quasi so das nächste Kind, das vierte in dem Fall, dann in den Brunnen gefallen. Vielleicht nimmst du uns da damit mal noch an die Hand. Das dockt ja da genau gut an, Carolin.

Intro & Outro Speaker: Genau, also vielleicht noch eine Brücke zwischen den beiden Themen. Und zwar das Thema, was mache ich dann mit diesen Daten, die ich jetzt hoffentlich nicht verloren habe und gesichert habe. Und das führt ganz gut über zu dem Unternehmensplan. Ich will die dann ja auswerten. Das hat ja jetzt die ganze Zeit schon angeklungen. Und da muss ich mich immer fragen, darf ich das überhaupt? Also wir haben ja ein strenges Datenschutzrecht in Deutschland. Das weiß ja auch jeder. Und nur weil das meine Unternehmensdaten sind, heißt das nicht, dass ich mich nicht an gewisse Regeln halten muss, in die reinzuschauen. Das betrifft Mitarbeiterdaten ganz besonders, denn natürlich Mitarbeiterdaten... Oder Mitarbeiterdatenschutz ist tatsächlich ein hohes Gut bei uns in Deutschland und auch in Europa. Und das heißt, ich sollte immer einen sehr klaren Plan haben. Ich habe eben von diesem Data Freeze gesprochen. Das ist jedenfalls nach herrschender Meinung so ein Act. Den kann ich wirklich schnell machen, bevor ich jetzt mir lange Datenschutzfragen gestellt habe, dass ich erstmal dafür sorge, dass nichts verloren geht. Aber eigentlich schon in dem Moment, wo ich anfange, Daten zu sichern. Das heißt, auf ein anderes Medium rüberzuziehen, auf eine Data Review Plattform zu laden. Das sind alles schon datenerhebliche Vorgänge und die müssen eben zulässig sein. Das heißt, da brauche ich einen Grund. Das ist meistens natürlich der potenzielle Verstoß, dass ich also begründe, warum habe ich ein Unternehmensinteresse, diese Daten anzuschauen. Das muss ich dokumentieren. Ich muss Mitarbeiter gegebenenfalls darüber auch informieren, dass die Daten jetzt zu diesem Zweck ausgewertet werden. Ich sollte mit meinem Datenschutz... Ich sollte, wenn ich es habe, mit meinem Betriebsrat dazu sprechen. Also es gibt dann einfach ganz viele sehr technische, prozedurale Steps, die ich durchgehen sollte. Und Datenschutz ist jetzt nur ein gutes Beispiel dafür, warum ein Untersuchungsplan sehr sinnvoll ist. Ein Untersuchungsplan, den gibt es in ganz vielen Beschreibungen oder Namen oder Titeln, die es dafür gibt. Also teilweise wird er eben tatsächlich einfach als Investigation Plan oder als Terms of Reference oder so beziffert. Und darin sollte eben stehen, erstens, was untersuche ich überhaupt? Also das klingt total banal, aber ich hatte schon Untersuchungen, die sind über Jahre gelaufen. Und man hat in der Regel so einen sogenannten Follow-the-Evidence-Approach. Das heißt, ich fange irgendwo an zu suchen und hoffe dann, dass ich natürlich immer besser verstehe, was damals passiert ist. Und dann mag es ja auch sein, dass ich meinen Untersuchungsrahmen etwas erweitere und sage, ach, jetzt sollten wir uns doch auch noch die Tochter in Singapur anschauen oder auch noch den Mitarbeiter, den wir am Anfang gar nicht auf dem Zettel hatten. Und das ist auch alles möglich, aber ich sollte trotzdem einmal aufgeschrieben haben, Was ist denn eigentlich der Untersuchungsauftrag? Das machen wir als Anwälte dann immer auch, um uns selber abzusichern, was möchte ich eigentlich rausfinden? Und das kann wahnsinnig viel bringen, wenn man, ich habe es auch schon erlebt, tatsächlich in Untersuchungen mit US-Bezug, dass man den auch mit den Behörden abstimmt. Und wenn dann irgendwann kommt, ja, warum habt ihr euch eigentlich das nicht angeguckt? Oder wieso habt ihr euch das angeguckt und nicht das, dass man halt sagt, ja, wir hatten ja genau diesen Auftrag und genau in dem Rahmen haben wir agiert. Und daran denkt am Anfang keiner und es sind auch so Dokumente, wo jeder denkt so. das ist doch jetzt super unnötig, darauf Zeit zu verwenden. Aber es lohnt sich immer, also ich habe selten solche Dokumente geschrieben und die dann nie wieder angefasst, sondern in der Regel, und da steht dann eben, wie gesagt, drin, was untersuche ich, wie untersuche ich es? Also da stehen dann auch Regelungen drin, wie interne Befragungen stattfinden und wie auch, welche Unterlagen ausgewertet werden, an welche Datenquellen ich eben rangehe. Und das sichert eigentlich alle ab, die an so einer Untersuchung mitwirken. Und da kann auch stehen, mit wem. Also wer ist das Untersuchungsteam? Mit dem Punkt, den David vorhin erklärt hat, dass ich eben zum Beispiel Vorbefassungsprüfungen mache, wenn ich mein internes Untersuchungsteam erweitere, dass immer steht, es wird einmal gescreent, dass diese Person zum Beispiel in den gesicherten Daten nicht relevant vorkommt und dann kann die halt auch mit ins Team. Und das sind alles so Dinge, womit man sich eben selber... besser sicherstellt, dass so eine Untersuchung auch unabhängig erfolgt. Das ist ja immer der Anspruch, der natürlich sehr schwer ist. Wir haben ja eben schon besprochen, warum. Aber man möchte eben so unabhängig wie möglich sein, um erstens allen Stakeholdern gerecht zu werden und eben auch eine gewisse Zuverlässigkeit und Vertrauen auch auf Behördenseite schaffen zu können. Und das kann man nur, wenn die einem glauben, dass man nichts verschwinden lässt und auch die unschönen Wahrheiten aufarbeitet und da auch nicht in der Untersuchung beschränkt ist. Und vielleicht noch ein Punkt zu dem Untersuchungsplan. Weil das ein ganz konkretes Beispiel ist. Die Frage ist auch oft, mit wem spreche ich wann? Also ganz naheliegend ist ja, es kommt so ein Vorwurf rein. Und gerade in kleinen Unternehmen können die, die den Vorwurf empfangen, sehr schnell einordnen, wer an dem Thema nah dran war. Und dann ist es ganz oft so, dass es dann schon zig informelle Gespräche gab mit der Person, die da relativ tief drin steckt. Bis man irgendwann mal darüber nachdenkt, sollte das vielleicht in einem formalen Rahmen stattfinden? Sollten wir uns dazu Notizen machen, was uns die Person erzählt hat? Sollte die Person vielleicht einen eigenen Anwalt bekommen? Das sind dann alles so Dinge, man hat dann, also auch Staatsanwaltschaften mögen das gar nicht, selbst die geplanten internen Untersuchungen oder gut strukturierten, weil sie immer das Gefühl haben, ihnen werden ihre Zeugen verbraucht. Also wenn jemand halt schon 20 Mal eine Story erzählt hat, weiß er ja auch nicht mehr. tatsächlich irgendwann, was ist jetzt das, was ich mir nach und nach zusammengesponnen habe, dadurch, dass ich auch selber noch mal in E-Mails geguckt habe und was erinnere ich aktiv über diesen Sachverhalt damals, der ja oft Jahre zurückliegt. Und deswegen ist auch da ganz wichtig, dass man sagt, wann beginnen wir mit Befragungen, wie führen wir die, wer ist dabei, ist da jemand aus dem Betriebsrat dabei, machen das externe Anwälte, macht man das intern und eine Regel ist ja sowieso, also gerade wenn man jetzt mal von Opfer und Täter sprechen will, dass das beides Personen sind, die man auch nicht unnötig oft sprechen sollte, weil wie gesagt einfach die Qualität der Aussage darunter leidet und man sich dann gut die Frage stellen muss, mit wem spreche ich zuerst und wem zuletzt? und auch versuchen sollte, das klappt nicht immer, aber eben mehrfach Befragungen zu verhindern oder möglichst zu reduzieren, denn das sind auch enorme Belastungssituationen für Mitarbeiter, da oft stundenlang in Interviews zu setzen mit externen Anwälten und auch da verspielt man natürlich wieder viel Goodwill der Mitarbeiter und insofern. einfach eine gute Planung, wenn man wie gesagt diese hektischen 48 Stunden überlebt hat und hat schon mal sichergestellt, dass keine Daten verloren gehen, dann hat man wirklich Zeit, dann kann man sich hinsetzen, dann macht man einmal den Punkt 2, den David angesprochen hat, was ist die richtige Governance, an wen berichten wir, wer macht's, wie machen wir's und dann schreibt man das auch alles einmal in einem Dokument runter und damit hat man dann meistens einen guten Fahrplan für die nächsten Monate und manchmal sogar Jahre.

Carolin Raspé: Vielleicht eine Ergänzung von meiner Seite, der auch immer wieder in diesen Investigations dabei ist, meine Erfahrung ist, dass wenn die Unternehmen das selber machen, was in manchen Punkten ja vorkommt und natürlich auch im Grundsatz rechtlich völlig in Ordnung ist, ist einmal das, was Carolin beschrieben hat, dass man keine klare Struktur in die Frage, wann will ich Daten auswerten und wann will ich mit Personen sprechen und mit wem möchte ich wann sprechen, hineinbringt, sondern eher so opportunistisch, situativ beginnt und sich dadurch eben in Gespräche begibt, ohne die Person wirklich hinterfragen zu können, weil man die E-Mails ja noch gar nicht kennt. Dann diverse Male mit der Person spricht. Der zweite klassische Fehler ist aber eben dann, dass die Themen nicht sauber dokumentiert werden. Da würde man jetzt erstmal denken, naja gut, man war ja dabei. Nur darüber, was in solchen Gesprächen beispielsweise gesagt wurde, gibt es hinterher oftmals sehr unterschiedliche Erinnerungen. Gerade wenn es dann über eine längere Zeit passiert und vielleicht auch... die Ergebnisse am Ende des Tages nicht so ausfallen, wie sich die Gesprächspartner das so vorstellen, was bei der Untersuchung rauskommen soll. Also der Betroffene will sich verteidigen und am Ende wird ihm trotzdem der Vorwurf gemacht, dass man den Vorwurf bestätigt hätte und sagt, du hast es ja an den Punkten selber bestätigt. Dann sagt er, das habe ich ganz anders gemeint, das habe ich ganz anders gesagt. Und daher erlebe ich das ganz oft, dass Personen, die nicht so häufig solche Gespräche führen oder solche Untersuchungen machen, sehr grob zusammenfassende Vermerke zu solchen Gesprächen machen. die aber am Ende des Tages für beide Seiten nichts Belastbares belegen, vielleicht auch der anderen Person nicht mehr vorgelegt wurden zur Freizeichnung oder Bestätigung, dass das der Gesprächsinhalt war. Also wenn man einen guten Plan hat und Maßnahmen umsetzt, dann sollte man diese Maßnahmen auch noch so sauber gut dokumentieren, dass man mit denen dann später weiterarbeiten kann, sowohl für die Ergebnisse der Untersuchung als auch für etwaige gerichtliche Prozesse, arbeitsgerichtliche oder strafgerichtliche oder was auch immer dann alles denkbar ist.

Joel Kaczmarek: Und sag mal, Carolin, Also es klang ja fast ein bisschen deutsch, was für Prozesshaftigkeit da drin steckt. Also so unglaublich detailliert, was darf ich mit den Daten etc. pp. Würdest du sagen, so einen Untersuchungsplan brauche ich für quasi jede Art von interner Aufarbeitung? oder bezieht sich das eher auf die krassen 40 Prozent?

Intro & Outro Speaker: Also genau, dass ich einen separaten für einen spezifischen Vorwurf schreibe, das mache ich wirklich, genau, wenn wir über so Themen wie Diesel und anderes sprechen, da lohnt sich das. Wo ich das nicht brauche, sind also so kleine Hinweise, die ich einfach intern aufkläre. Aber da habe ich in der Regel eben ein allgemeines Protokoll. Das hatte David vorhin auch schon mal angesprochen, dass man eben sich schon vorab einfach abstrakt Regeln gibt. Also wer ist zuständig für Vorwürfe, die und denen in den Bereich fallen? Wer arbeitet das intern auf? Und dann gibt es eben, und das ist mit dem Hinweisgeberschutzgesetz inzwischen auch eben teilweise auch verpflichtend, weil da braucht man eben dann auch interne Regelungen, wie solche Hinweise aufgeklärt werden. muss die auch den Benutzern eines solchen Tools zur Verfügung stellen. Das heißt, die wissen dann auch, wer ist die interne Meldestelle, wo kommt mein Hinweis an und was wird damit dann in der Regel gemacht. Das heißt, es gibt quasi zwei Möglichkeiten. Es gibt wirklich den spezifischen Untersuchungsplan für große Investigations, der sich lohnt und es gibt den allgemeinen, also dass ich einfach interne Richtlinie haben sollte, wie gehe ich generell mit internen Aufklärungen um, an dem ich mich eben orientieren sollte, wo mögliche Interessenkonflikte oder so eben schon gelöst sind. im besten Falle und dann nehme ich den zur Hand und schreibe den nicht aktiv um, sondern nutze den einfach. Das ist halt dann so eine allgemeine Guideline. Und ich glaube, das sind so die beiden Wege, die man gehen sollte. Datenschutz ist da doch auch eine kleine Ausnahme. Das sollte ich wirklich für jeden separaten Fall machen. Das muss nicht immer, ich habe schon selber welche geschrieben, die sind 50 Seiten lang. Das muss sicherlich auch nicht für jede kleine Investigation so sein. Aber das kann, ich habe das in Unternehmen schon oft gesehen, die es intern machen. Die haben dann so eine Art Tatsächlich mal Blaupause. Also die haben ein Formular. Da steht dann oben der Anlass der Untersuchung, die Betroffenen, worum es geht und dann unten ein Kasten, wo man eben die Abwägungserwägungen reinschreiben soll. Und das wird dann zu dem eigentlichen Fall geheftet. Auch das ist eben jetzt gesetzlich auch notwendig, dass man eine Akte führt zu solchen internen Untersuchungen. Und da muss genau sowas eben weit oben mit rein, wenn man eben E-Mails oder Unterlagen auswertet. Es gibt ja auch durchaus interne Untersuchungen, wo man wirklich nur zwei, drei Gespräche führt und das war's. Da braucht man auch keine datenschutzrechtliche Prüfung, aber wenn man eben eine E-Discovery macht, das heißt insbesondere E-Mails und andere Unterlagen elektronisch auswertet, sollte man jedenfalls einen One-Pager immer haben, aber auch da, das kann dann wie gesagt formularmäßig sein und man passt es dann nur auf die Gegebenheit an. Aber dieses, ich habe mir intern mal Gedanken gemacht, wie und wer bei uns intern Themen aufarbeiten würde, die aufkommen, das lohnt sich schon runterzuschreiben, auch für kleinere Fälle.

Carolin Raspé: Aber Joel, ein Gedanke von mir zu der Frage Prozess, weil ich kann das total nachvollziehen. Es ist im Strafrecht und in strafrechtlich relevanten Sachverhalten ganz oft so, dass die Leute den Eindruck haben, es ist aber sehr technisch und sehr kompliziert, wie man damit umgeht. Aber wir müssen uns bei internen Untersuchungen eins klar machen. Interne Untersuchungen machen meistens dem Unternehmen selber keinen Spaß und führen unternehmensintern eigentlich immer zu Unzufriedenheit. Und das ist auch total klar. Es gibt jemanden, entweder einen externen oder einen internen, der gibt einen Hinweis auf ein Fehlverhalten und dann wird aufgeklärt. Und entweder dabei kommt raus... der Hinweis ist nicht richtig, jetzt ich mache es etwas vereinfacht, natürlich gibt es auch Graustufen, der Hinweis ist nicht richtig, dann ist der Hinweisgeber unzufrieden. Oder es kommt raus, da ist was dran, dann sind auf jeden Fall diverse Personen, die betroffen sind, unzufrieden, dass sie erwischt worden sind. Das heißt, es gibt immer Beteiligte, die versuchen, das Ergebnis der Untersuchung zu diskreditieren. Es ist immer relativ schwierig, im Unternehmen wirklich sozusagen dieses, wir ziehen an einem Strang, wir müssen aufklären, Gefühl zu entwickeln. Das heißt, Es gibt immer diese Versuche, durch bestimmte Freundlichkeiten den Leuten nicht zu sehr auf die Füße zu treten. Das hattest du auch angesprochen, dass man sich vielleicht gut kennt und so weiter. Aber am Ende des Tages machen sich alle, die daran mitwirken, halt angreifbar in dem Fall, weil es gibt immer jemanden, der keine Lust hat und dass das dabei rausgekommen ist, was rausgekommen ist. Und der einzige Weg, wirklich am Ende das Ergebnis nicht zu kompromittieren, ist ein sozusagen integrativer ... objektiver, vernünftiger Prozess, auf den man rekurrieren kann und sagen, so haben wir das gemacht, so machen wir das immer. Das ist dabei herausgekommen. Hier ist die Dokumentation, falls du nachfragst. Und das ist jetzt das Ergebnis. Das wird immer noch nicht allen gefallen, aber es bietet einem selber einfach die Möglichkeit, diesen Angriffen, und ich meine jetzt nicht als Anwalt, der untersucht, sondern als der, der intern untersucht, zum Beispiel, zu entkommen, indem man auf den Prozess verweisen kann. Und deshalb ist dieser Prozess eigentlich total essentiell.

Joel Kaczmarek: Da sind wir ja schon fast auch im letzten Hauptfehler, den man begehen kann, nämlich rund um das Thema Kommunikation. Wenn ich eine schlechte Stakeholder-Kommunikation habe und ich glaube, das können wir uns alle ausmalen, dann wird das auch zu einem sehr unangenehmen Unterfangen. Was ist denn da so dein Blick drauf, David? Was ist denn dabei wichtig?

Carolin Raspé: Ja, Kommunikation. Ist key, ist natürlich überall wie immer, ist auch bei internen Untersuchungen nicht anders, vom Anfang bis zum Abschluss letztlich. Erste Grundüberlegung ist natürlich klar, internen Untersuchungen ist jetzt ja meistens etwas, was eher vertraulich ist und daher ist umfassende Kommunikation meistens jetzt nicht das Mittel der Wahl. Also man wird sehr selten allen Beteiligten und der Presse mitteilen, dass man jetzt intern untersucht, weil ein Fehlverhalten angezeigt wurde. Es gibt natürlich die beiden von Carolin schon beschriebenen Konstellationen. Das Ganze wird durch einen internen Hinweis ausgelöst oder es wird durch einen externen Hinweis ausgelöst, vielleicht auch durch eine Pressemitteilung. Jetzt bleiben wir mal bei dem ersten. Man hat einen internen Hinweis und man weiß nur selber darum und untersucht. Dann wird es sich selten als sinnvoll zeigen, aktiv von alleine erstmal, bevor man untersucht hat, groß darüber zu sprechen. Aber es gibt ja logischerweise Personen, mit denen muss man sprechen. Also sei es die Hinweisgeber, sei es die Personen, die vielleicht was über den Sachverhalt intern sagen und wissen können. Und mit denen muss ich ja irgendwie jedenfalls mal umgehen und kommunizieren. Und da ist meine Erfahrung, dass es da zwei zentrale Probleme gibt. Das eine ist, man will zu freundlich sein. Das leuchtet erstmal ein, man will den Eindruck vermitteln, hier ist sicherlich nichts Schlimmes passiert und wir wollen jetzt nur vorsorglich irgendwas angucken. Dir machen wir sicherlich keinen Vorwurf, Person XY. Wir wissen ja, dass du integer bist und wir vertrauen dir. Dabei wird oft der Fehler gemacht, dass Unternehmen dann Mitarbeitern Dinge versprechen, die sie nicht einhalten können. Also beispielsweise, wir schützen dich, wir sagen keinem, dass du mit uns gesprochen hast, wir halten das alles geheim. Dir kann am Ende des Tages nichts passieren. Dass dir kann nichts passieren und wir schützen dich, kann man unternehmensintern vielleicht aufrechterhalten. Man kann es aber nicht aufrechterhalten vor Dritten. Also ich habe schon Fälle gehabt, wo Unternehmen einem Mitarbeiterkreis versprochen haben, wenn ihr gegen euren Abteilungsleiter in Anführungsstrichen aussagt, dann halten wir eure Namen geheim. Und dann kam die Staatsanwaltschaft, weil sie davon Wind bekommen hat und dass es Vorwürfe gibt und hat gesagt, wir wollen alle Protokolle haben. Und dafür gab es überhaupt kein Verweigerungsrecht. Und dann musste man quasi sozusagen bei den Mitarbeitern zu Kreuze kriechen und sagen, ja. Die Daten müssen wir jetzt doch an die Staatsanwaltschaft geben und dann hat der beschuldigte Abteilungsleiter ein Einsichtsrecht und auf einmal weiß er das dann eben doch alles. Und wenn man sich da nicht vernünftig vorher informiert hat, was man eigentlich versprechen kann, verliert man natürlich total viel Vertrauen und Glaubwürdigkeit bei den Mitarbeitern. Die andere Problematik ist, dass man... manchmal das Risiko hat, dass Personen, vielleicht weil sie schon ausgeschieden sind oder weil sie sowieso im Unternehmen nicht mehr so wohl gelitten sind, viel zu früh vor den Bus geworfen werden, sage ich jetzt mal ganz bewusst. Also dass man so den Eindruck hat, oh, das klingt aber gar nicht gut, was da vorgeworfen wird. Da distanzieren wir uns mal direkt als Unternehmen, bevor man überhaupt geklärt hat, ob was dran ist. Also da ist vielleicht auch so ein bisschen der Klassiker in den letzten Jahren MeToo-Vorwürfe. Dann klingt natürlich erstmal dann meistens so, als wenn relativ klar wäre, wer... Karolin hatte vorhin die Formulierung Täter und Opfer sein könnte durch die Hinweise. Und wenn man dann zu früh Kommunikationen wählt, die sich total distanzieren von der Person, die zu untersuchen ist, schadet das auch der Integrität der Untersuchung, weil die soll ja ergebnisoffen und objektiv sein. Wenn am Ende rauskommt, dass die Vorwürfe richtig sind, dann kann man immer noch klar kommunizieren. Man kann sich auch in Anführungsstrichen distanzieren für den Fall, dass der Vorwurf zutrifft, aber da wird häufig nicht hinreichend differenziert. Das ist meine Erfahrung. Weil man eben mit dem Vorwurf nichts zu tun haben will und sagen, ja, also das klingt ja alles ganz schlimm, aber in Wirklichkeit muss man erstmal prüfen, ob es so war. Das wird dann manchmal ein bisschen vergessen. Bei externen Vorwürfen, also Dingen, die schon in der Presse sind, wie gesagt, kann man natürlich gar nicht, gar nicht kommunizieren, weil man wird meistens von den Medien angefragt, entweder der Anwalt oder das Unternehmen selber. Und da muss man sich eben überlegen, was man sagt. Und da gelten ein bisschen die gleichen Maßgaben, die ich gerade hatte. Also wenn ich ganz frühzeitig mich schon entscheide, dass... dass ich mich distanziere von den Personen, denen das vorgeworfen wird, dann wird das intern vielleicht als Vertrauensmissbrauch gewertet werden. Vielleicht ist es auch unberechtigt, vielleicht bestätigt man damit Positionen, die am Ende des Tages als Verteidigung eigentlich noch erforderlich wären. Aber der Klassiker ist natürlich das Gegenteil. Man sagt erstmal der Presse, es ist überhaupt nichts dran. Man ist es gar nichts dran und wir kooperieren vollumfänglich mit der Staatsanwaltschaft. Das sind dann gern so die Statements, die dann die Unternehmen schon vorbereitet haben wollen. Und da warne ich dann auch häufig vor, weil wenn ich gar nicht weiß, ob da nichts dran ist, dann ist das natürlich nicht besonders vertrauensbildend gegenüber den Ermittlungsbehörden, gegenüber der Presse, aber auch nicht gegenüber der Öffentlichkeit und meinen Geschäftspartnern, wenn ich diese Position dann sukzessive räumen muss und immer sagen, ja gut, da war jetzt doch ein bisschen was dran und da war vielleicht auch ein bisschen was dran. Und ja, vollumfänglich kooperiere ich eigentlich auch nicht, weil ich bestimmte Sachen gar nicht mitteilen will und rausgeben und prozessual gerade einen harten Kampf darum kämpfe, dass ich das nicht muss. Da ist es meistens sinnvoller, auch da eher auf den Prozess zu vertrauen und darauf hinzuweisen, dass man Dinge ernst nimmt und dass man intern darum bestrebt ist, zur Aufklärung des Sachverhalts beizutragen. Das ist in dem Fall immer richtig. Auch da kann man jetzt nicht sagen, folgendes Statement ist immer richtig, aber sich da hinzusetzen und nicht frühzeitig dem internen Drängen nach, wir müssen eine klare Botschaft senden, nachzugeben, zahlt sich meistens hinten raus. aus, ist meine Erfahrung, weil ich es schon zu oft erlebt habe, dass relativ schnell dann häufig auch in der Presse dann der Hinweisgeber oder jemand Drittes auf dieses Statement wieder reagiert und einen total unter Druck setzt. und diesem Druck kann man gar nicht standhalten, weil man ja gerade erst angefangen hat rauszufinden, was eigentlich wirklich war.

Joel Kaczmarek: Okay, ist interessant, weil ich hätte damit gerechnet, dass es auch viel um das Thema Transparenz geht. Also es gibt ja vielleicht manchmal auch Unbetroffene in so einem Austausch, die dann natürlich überwissen wollen, was ist da los in meiner Firma. Würdest du sagen, also fällt das wahrscheinlich in die gleiche Kategorie, oder?

Carolin Raspé: Ja und nein. Also beispielsweise Kommunikation, die man machen kann, sollte man meines Erachtens auch machen. Also sowohl intern als auch extern. Ich bin jetzt wieder bei den Mitarbeitern. Es gab eine Durchsuchung. Ich erinnere an unser allererstes Gespräch in Folge 1. Das kriegen die Mitarbeiter ja mit. Und wenn ich morgens zur Arbeit gegangen bin und da kamen 40 Beamte mit schusssicherer Weste, dann frage ich mich vielleicht so ein bisschen, was da intern los ist in dem Unternehmen, wo ich arbeite. Und wenn ich dann gar nichts kommuniziere als Geschäftsleitung, dann habe ich wahrscheinlich auch was falsch gemacht, weil die Mitarbeiter dann anfangen zu spekulieren und sich Sorgen zu machen. Da ist eine klare Kommunikation. Ihr könnt entnehmen, es gab eine Untersuchung. Wir werden das aufklären und die notwendigen Schritte unternehmen und wir halten euch periodisch informiert. Man kann ja Vertrauen schaffen, indem man, das meine ich, mit einem klaren Kommunikationsprozess und einem klaren Vorgehen aufwartet. Wenn ich sage, das ist alles Unsinn, kann ich das machen, aber wenn ich es nicht weiß, habe ich einfach das Risiko, dass es sich relativ schnell anders darstellt und dann glaubt mir natürlich keiner mehr gar nichts. Also das ist einfach das klassische Problem, auch bei Geschäftspartnern. Denen was zu sagen, von dem ich nicht weiß, dass es richtig ist, klingt erstmal transparent, aber es ist ja gar nicht transparent, es ist ja einfach unrichtig. Das heißt, es ist transparent zu sagen, wir halten die Vorwürfe nach derzeitiger Einschätzung nicht für zutreffend, sind aber bestrebt, den Sachverhalt schnellstmöglich umfassend aufzuklären. Das ist ja schon eine ganz andere Aussage beispielsweise. Und dazwischen zu differenzieren klingt manchmal so ein bisschen wie Wortklauberei, macht aber am Ende des Tages hinsichtlich Integrität und Transparenz einen signifikanten Unterschied. Es ist ja auch menschlich, Caroline hat es gesagt, wenn einem was vorgeworfen wird, will man erstmal sagen, das stimmt nicht. Aber wenn man gar nicht weiß, ob es stimmt, trägt es meistens nichts zum Vertrauen bei, es einfach zu behaupten.

Joel Kaczmarek: Gut, also wir fassen nochmal ganz kurz zusammen die fünf Hauptfehler bei der internen Aufarbeitung von Verstößen. Nummer eins, nichts tun. Nummer zwei, Interessenkonflikte ignorieren. Nummer drei, Daten verlieren oder falsch nutzen. Nummer vier, ein fehlender Untersuchungsplan. Und Nummer fünf... schlechte Stakeholder-Kommunikation. Also ihr beiden, ganz herzlichen Dank. Ich baue mal darauf, dass wir viele jetzt hier beschützt haben, auf dass sie da was lernen können und freue mich schon aufs nächste Mal mit euch. Mit euch ist ja auch nie langweilig.

Carolin Raspé: Das hoffen wir. Vielen Dank dir, Joel.