Interne Ermittlungen – ohne Grenzen?

Das aus dem angelsächsischen Ausland herüber geschwappte Instrument interner Ermittlungen (Corporate Investigations) hat sich als festes Element in der deutschen Unternehmenswirklichkeit etabliert. Zeigen sich in einem Unternehmen Anzeichen für einen Compliance-Verstoß, wartet man heute nicht mehr den Beginn oder das Ende externer, d. h. von Behörden durchgeführter oder angeordneter Ermittlungen ab, sondern wird selbst tätig. Zum Zwecke der Aufklärung werden unternehmensinterne Kräfte und einschlägig spezialisierte Dienstleister mobilisiert, die das Unternehmen, seine Mitarbeiter und bisweilen auch Vertragspartner durchleuchten. Derartige Untersuchungen können, wie der Initialfall Siemens und jüngst die Causa Volkswagen zeigen, enorme Ausmaße annehmen.

Blickt man sich auf den Internet-Seiten großer Wirtschaftskanzleien um, gehören interne Untersuchungen zum Standardrepertoire. Wie weit der Grad der Professionalisierung dabei fortgeschritten ist, wird dort sowie in Kanzleibroschüren eindrucksvoll sichtbar. Handbücher und Leitfäden geben vor, wie bei der Planung und Durchführung von internen Untersuchungen zu verfahren ist, so dass zumindest hinsichtlich der technischen Seite bereits von einer best practice gesprochen werden kann.1 Schon vor fünf Jahren konnte das Branchenblatt „JUVE-Rechtsmarkt“ daher mit dem Titel aufmachen: „Interne Ermittlungen – Wie aus einer Mode ein Markt für Anwälte wurde“.2

Ihrer tatsächlichen Etablierung zum Trotz bewegen sich interne Untersuchungen in einem rechtlichen Graubereich. Im Unterschied zur Vokabel „Compliance“ haben sie keinen Eingang in Gesetzestexte, geschweige denn eine nähere Regelung erfahren. Mit Blick auf die erwähnte best practice scheint das nebensächlich, denn wo sich verlässliche Privatstandards etabliert haben, werden manche keinen Bedarf für staatliche Regulierung sehen, zumal diese angesichts des grenzüberschreitenden Charakters vieler Ermittlungen ohnehin buchstäblich an Grenzen stößt. Da interne Untersuchungen jedoch eine Vielzahl sensibler Belange berühren und daher als „hartes Thema“ gelten,3 dürfen sie nicht im juristischen Niemandsland stattfinden. Daher soll an dieser Stelle einmal gefragt werden, ob dem unaufhaltsamen Trend zur allumfassenden Investigation Grenzen gesetzt sind.

I. Pflicht zur Durchführung interner Ermittlungen?

1. Zunächst ist die Frage zu stellen, ob es eine allgemeine Pflicht zur Durchführung interner Untersuchungen gibt. Aus der ARAG/Garmenbeck-Entscheidung des BGH lässt sie sich nicht ableiten.4 Diese verpflichtet zwar zur Aufklärung etwaiger Pflichtverletzungen (jedenfalls soweit sich daraus Schadensersatzansprüche der Gesellschaft ergeben),5 betrifft aber allein Pflichtverstöße des Vorstands, nicht solche der Mitarbeiter. In der Literatur wird zur Begründung von Untersuchungspflichten i. d. R. auf die Compliance-Verantwortung der Geschäftsleitung verwiesen. Diese bliebe Lippenbekenntnis, wäre der Vorstand nicht auch gehalten, Verdachtsmomenten im Unternehmen nachzugehen.6 Und in der Tat: Begreift man Compliance als aus den drei Säulen „Vorbeugen – Aufdecken – Reagieren“ bestehend,7 stellen interne Untersuchungen die zweite Säule dieses Gebäudes dar. Ein ähnliches Bild zeigt sich, zerlegt man Compliance in eine präventive und eine repressive Seite und spaltet den repressiven Teil in die Elemente „Aufdecken – Abstellen – Ahnden“ auf.8

Was diese Dreiklänge stört, ist die offenbleibende Frage, worin der Grund dafür liegt, dass die Unternehmensleitung sich überhaupt um Compliance kümmern muss. Die Diskussion darüber wird seit Jahren geführt, ohne dass sie ein klares Resultat erbracht hätte.9 Zweifellos geschuldet ist Compliance dort, wo Spezialgesetze wie KWG, VAG, WpHG u. a. Compliance-Maßnahmen explizit zur Pflicht machen. Verschiedentlich wird angenommen, dass diese Vorgaben auf das Aktienrecht „ausstrahlen“.10 Allein was man sich unter einer solchen „Ausstrahlung“ vorzustellen hat, bleibt offen.11 Kopiert wurde die Vokabel aus der Diskussion um die Drittwirkung der Grundrechte, doch passt die Analogie – wenn überhaupt – nur dort, wo die „ausstrahlende“ ZHR 180 (2016) S. 563 (565)Norm in der Hierarchie höher steht, was für das Aufsichtsrecht im Verhältnis zum Organisationsrecht nicht zutrifft.

2. Richtigerweise muss zwischen einer Compliance-Pflicht im Außenverhältnis und einer solchen im Innenverhältnis unterschieden werden, die nicht notwendig deckungsgleich sind.12 Im Außenverhältnis ergibt sich eine allgemeine, d. h. auch für nicht regulierte Industrien geltende Compliance-Pflicht vor allem aus § 130 OWiG, der es Unternehmensleitern (§ 9 OWiG) zur Aufgabe macht, die Begehung von Straftaten und Ordnungswidrigkeiten aus dem Unternehmen heraus zu verhindern. Diese Compliance-Pflicht ist, wie der Wortlaut („verhindern“) zum Ausdruck bringt, präventiver Natur. Eine Pflicht zur Durchführung von internen Untersuchungen kann sich hieraus nur insofern ergeben, als solche Ermittlungen Schwachstellen zutage fördern, die es für die Zukunft zu beseitigen gilt.

Abgesehen davon gebietet § 130 OWiG nicht die Verhinderung jedweden rechtswidrigen Verhaltens, sondern eben nur eines solchen, das strafbar oder mit einem Bußgeld bedroht ist. Und selbst insoweit verlangt die Norm keine allumfassende Compliance, sondern spricht lediglich von „gehöriger“ Aufsicht, womit Einschränkungen des der Unternehmensleitung Zumutbaren im Tatbestand selbst angelegt sind.13 Aus dem Attribut „erforderlich“ lassen sich hingegen keine Einschränkungen herauslesen, denn „erforderlich“ können auch Maßnahmen sein, die außer Verhältnis zum Erfolg stehen. Um das nach § 130 OWiG Gebotene klarer zum Ausdruck zu bringen, wird de lege ferenda erwogen, den Terminus „erforderlich“ durch das Wort „geeignet“ zu ersetzen und die geeigneten Maßnahmen beispielhaft aufzuführen.14

3. Schwieriger ist die Begründung der Compliance-Verantwortung im Innenverhältnis, d. h. im Verhältnis Organmitglied – Gesellschaft. Üblicherweise wird sie auf §§ 76, 93 AktG gestützt.15 Das lässt sich hören, birgt aber eine gewisse Zirkularität. Denn wenn die Frage lautet, ob aus der Leitungsverantwortung eine Compliance-Pflicht folgt, kann man sich nicht damit begnügen, sie unter Hinweis auf eben jene Leitungsverantwortung zu beantworten. Die Auflösung des Zirkels soll das Legalitätsprinzip bringen, zu dem als selbstverständlicher Bestandteil eine Legalitätskontrollpflicht gerechnet wird.16 Dass der Vorstand die an ihn selbst gerichteten Anforderungen des Aktienrechts beachten muss, versteht sich. Warum muss er aber gegenüber der Gesellschaft dafür sorgen, dass sich auch alle Mitarbeiter des Unternehmens und womög¬ZHR 180 (2016) S. 563 (566)lich noch dessen Töchter, Kunden und Vertragspartner (nebst deren Kunden, Töchtern, Vertragspartnern usf.) regelkonform verhalten?

Einfach wäre die Frage mit der allgemeinen Schadensabwendungspflicht zu beantworten. Drohen der AG aus rechtswidrigem Verhalten von Mitarbeitern Bußgelder, Schadensersatzklagen oder sonstige Nachteile, ist der Vorstand gehalten, dieses Verhalten zu unterbinden. Mit dieser Begründung begnügt man sich heute freilich nicht mehr, weil – so wird befürchtet – dem Vorstand damit ein Freibrief für profitable Rechtsbrüche ausgestellt würde. Persönliche Bußgelder und die eigene Außenhaftung müssten ihn nicht schrecken, denn wenn der von ihm tolerierte Rechtsbruch der Gesellschaft per Saldo mehr Nutzen als Schaden beschert, könnte er – mangels Pflichtwidrigkeit im Innenverhältnis – von der Gesellschaft Erstattung verlangen.17 Um zu vermeiden, dass die AG zum Katalysator des Rechtsbruchs avanciert, wird dem Vorstand daher eine im öffentlichen Interesse liegende Organpflicht zur Legalitätskontrolle angesonnen.18

Praktisch gesehen scheint es nebensächlich zu sein, ob man die interne Compliance-Pflicht auf die eine oder andere Weise begründet. Auch wer nur auf die Schadensabwendungspflicht abstellt, wird dem Vorstand schon zur Vermeidung von Reputationsverlusten in den meisten Fällen raten, Rechtsverstöße konsequent aufzudecken. Mit Blick auf die hier interessierende Frage, wie weit der Vorstand es mit der Legalitätskontrolle zu treiben hat, hat der divergierende Begründungsansatz aber Bedeutung: Wer auf Schadensabwendung abstellt, kann schlicht die Business Judgement Rule (§ 93 Abs. 1 S. 2 AktG) heranziehen. Wer die Wurzel der Compliance-Pflicht dagegen im öffentlichen Interesse erblickt, muss den Vorstand auch dann zu strenger Compliance anhalten, wenn – etwa mangels Bußgeldbewehrung – der Gesellschaft aus der Nicht-Compliance kein Nachteil droht. Für eine Anwendung der Business Judgement Rule bleibt bei dieser Sichtweise naturgemäß kein Raum. Dennoch wollen auch diejenigen, die ihn im öffentlichen Interesse in die Pflicht nehmen, dem Vorstand bei der Rechtskontrolle beachtliche Freiräume zugestehen.19 Doch wie lässt sich das widerspruchsfrei begründen?

Die Praxis verzichtet zumeist auf eine Begründung und begnügt sich mit der bewährten Formel, dass der Vorstand hinsichtlich des „Ob“ von Compli¬ZHR 180 (2016) S. 563 (567)ance gebunden sei, hinsichtlich des „Wie“ dagegen Ermessen habe.20 Kommt es einmal hart auf hart, hat also ein Gericht darüber zu befinden, ob der Vorstand genügend zur Aufklärung von Verdachtsmomenten getan hat, darf die Frage aber nicht offenbleiben.21 Eine überzeugende Antwort gelingt, wenn man davon ausgeht, dass das Legalitätsprinzip die Leitschnur des Gesellschaftsinteresses nicht verdrängt, sondern nur modifiziert.22 Nachhaltige Gewinnerzielung bleibt dann als Formalziel der AG weiterhin die Richtschnur des Vorstandshandelns, steht aber unter dem stillschweigenden Vorbehalt, dass die Gesellschaft dazu im Grundsatz keine illegalen Mittel einsetzt.23

Diese Relativierung der Legalitätskontrollpflicht lässt sich mit mehreren Argumenten stützen. Ein erstes, ganz einfaches Argument ist, dass der Vorstand durch die öffentliche Indienstnahme nicht zum Hilfsbeamten der Staatsanwaltschaft mutiert.24 Während das Tun von Staatsanwalt und Polizei vornehmlich darauf gerichtet ist – und angesichts des staatlichen Verfolgungsmonopols auch darauf gerichtet sein muss –, Straftaten zu ermitteln, verhält es sich für den Vorstand anders. Dieser soll (übrigens nicht nur im privaten, sondern auch im volkswirtschaftlichen Interesse!) primär Gewinne erwirtschaften und dabei keinen Gesetzesbruch begehen, nicht hingegen soll er primär Gesetzesbrüche aufdecken und dabei, gewissermaßen nebenher, Gewinne erwirtschaften. Zweitens würde eine kompromisslose Compliance-Pflicht den Vorstand unverhältnismäßig stärker in die Pflicht nehmen als ein Individuum. Denn es ist einfach, sich selbst rechtstreu zu verhalten, ungleich schwerer aber, eine Heerschar von Mitarbeitern im Zaum zu halten.25 Daraus folgt dann auch, dass der Vorstand im Rahmen der Legalitätskontrolle auf die begrenzten Ressourcen der Gesellschaft Bedacht nehmen darf.26 Schließlich kann selbst eine auf das öffentliche Interesse gestützte Legalitätskontrollpflicht nicht wei¬ZHR 180 (2016) S. 563 (568)ter als das in § 130 OWiG Geforderte gehen. Denn es wäre unstimmig, wenn der Vorstand ohne Rücksicht auf Verluste für Gesetzesbindung nach innen sorgen müsste, obwohl ihm das Gesetz nach außen weniger abverlangt.

Diesen Überlegungen lässt sich nicht entgegenhalten, dass es keine Rechtsnormen „zweiter Klasse“ gibt.27 Denn Rechtsnormen teilen zwar grundsätzlich die Eigenschaft, verbindlich zu sein, weshalb ihre Missachtung regelmäßig rechtswidrig ist. Das ändert aber nichts daran, dass es Normen höherer und niederer Wertigkeit gibt, was sich nicht nur an der Stellung in der Normenhierarchie, sondern auch und vor allem an ihrer Sanktionierung ablesen lässt. Die Skala reicht hier von gänzlich sanktionslosen Regeln bis zu strafbewehrten Vorschriften, wobei sich innerhalb der letzten Gruppe wiederum Differenzierungen ergeben, die sich u. a. in Art und Höhe des Strafmaßes, einer daran anknüpfenden kategorialen Scheidung („Ordnungswidrigkeit“, „Vergehen“, „Verbrechen“) und einer unterschiedlich strengen Verfolgungspflicht der staatlichen Behörden zeigen. Diese Differenzierungen müssen sich in Art und Umfang der dem Vorstand zugemuteten Aufklärungspflicht widerspiegeln.28 Denn wenn schon der Staatsanwalt bei minderwichtigen Fällen von der Pflicht zur Verfolgung und damit von derjenigen zur weiteren Aufklärung dispensiert ist (vgl. § 153 StPO), kann dem Vorstand kaum mehr abverlangt werden – das alles natürlich immer unter dem Vorbehalt, dass der Gesellschaft aus einer Nichtverfolgung kein größerer Schaden entsteht.

4. Was folgt aus alledem für die Pflicht zur Durchführung interner Ermittlungen? Eine allumfassende, unbedingte Pflicht zur Aufklärung aller möglichen Rechtsverstöße im Unternehmen existiert nicht.29 Der verschiedentlich zu lesende Satz, die Aufklärungspflicht sei indisponibel und nur in besonders gelagerten Ausnahmefällen dispensiert,30 schießt zu weit. Steht nicht Organverhalten in Rede (dazu unten III.), bestehen strikte Aufklärungspflichten grundsätzlich nur dann, wenn es um den Verdacht eines strafbaren oder bußgeldbewehrten Verhaltens geht.31 Selbst in diesen Fällen muss noch geprüft werden, ob die Verstöße nach Art und Ausmaß so gravierend sind, dass sie das Anleiern der Untersuchungsmaschine rechtfertigen.32 Jenseits dessen kommt ZHR 180 (2016) S. 563 (569)es darauf an, ob dem Unternehmen aus der Nichtaufklärung rechtswidrigen Verhaltens ein größerer Schaden droht als aus dessen Aufklärung, was bei andauernden Verstößen eher anzunehmen ist als bei abgeschlossenen. Weil diese Entscheidung gesetzlich nicht determiniert ist, kommt dem Vorstand dabei schon aus logischen Gründen ein Entscheidungsspielraum zu. Verortet man die Aufklärungspflicht in der allgemeinen Schadensabwendungspflicht, ist dieser Spielraum der Business Judgement Rule zuzuordnen, also nur bei evidenter Fehlentscheidung pflichtwidrig. Aber auch sonst darf dem Vorstand ein Spielraum zugebilligt werden, denn die Kodifizierung der Business Judgement Rule schließt nicht aus, dass daneben ungeschriebene, wenngleich enger gesteckte Entscheidungsfreiräume bestehen.33

5. In der Realität ist Anlass für die Aufnahme interner Ermittlungen oft nicht eine vermeintliche oder als solche empfundene Rechtspflicht, sondern der Druck, der von Behörden auf das Unternehmen ausgeübt wird. Ein solcher Druck ist nicht unbedenklich. Zwar mag es aus staatlicher Sicht bequem und ressourcenschonend sein, die Ermittlungsarbeit auf Private auszulagern. Das deutsche Recht gibt Behörden dazu aber mit gutem Grund keine Befugnis. Der Hebel, mit dem in der Praxis gearbeitet wird, ist denn auch nicht der Verwaltungszwang, sondern das In-Aussicht-Stellen von Strafrabatten, wenn sich das betroffene Unternehmen „kooperationswillig“ zeigt. Der an Schadensminderung interessierte und vom Aktienrecht zu einer solchen verpflichtete Vorstand wird daher meist gar keine andere Wahl haben, als sich auf ein derartiges Ansinnen einzulassen. Erleichtert wird ihm dieser Entschluss durch den Umstand, dass ihm die Art und Weise der Ermittlungen und die Auswahl der ermittelnden Personen auf diesem Weg selbst in die Hand gegeben ist. Die Entscheidung, eine interne Ermittlung auf behördliche „Anregung“ durchzuführen, dürfte daher kaum je ermessensfehlerhaft sein.

6. Strafrabatte stellen eine zunehmend verwandte Form der Anreizregulierung dar. Sie werden insbesondere in ausländischen Rechten sowie europarechtlich geprägten Rechtsgebieten (Kartellrecht, Kapitalmarktrecht etc.) eingesetzt. Sollte das in der Diskussion befindliche Verbandsstrafgesetzbuch (VerbStrG) in Kraft treten, wird der Druck zur Durchführung interner Ermittlungen noch weiter wachsen. Denn dort ist ausdrücklich vorgesehen, dass von einer Verbandssanktion abgesehen werden kann, wenn das Unternehmen sich „freiwillig“ offenbart und den Strafverfolgern die benötigten Beweismittel an die Hand gibt (vgl. § 5 Abs. 2 VerbStrG). Entsprechende Wohltaten locken, wenn das Unternehmen personelle und organisatorische Maßnahmen ZHR 180 (2016) S. 563 (570)ergreift, um vergleichbare Taten in Zukunft zu vermeiden (§ 5 Abs. 1 VerbStrG). Das kann es naturgemäß nur tun, wenn es weiß, was intern vorgefallen ist und vor allem, welche Mitarbeiter dafür die Verantwortung tragen.

Ob die Verbandsstrafe kommen wird, steht derzeit in den Sternen. An scharfer Kritik, die von grundsätzlichen Einwänden („Schuldunfähigkeit der juristischen Person“) bis zu Rügen im Detail reicht, fehlt es nicht. Der Bundesverband der Unternehmensjuristen (BUJ) hat daher einen Alternativentwurf vorgelegt, der unter Verzicht auf die Verbandsstrafe eine Reform von §§ 30, 130 OWiG vorschlägt.34 Doch auch wenn dieser politisch möglicherweise kompromissfähige Text seinen Weg ins Gesetzblatt findet, wird der Druck zur Durchführung interner Untersuchungen dadurch nicht geringer werden. Im Gegenteil: § 130 Abs. 1 S. 3 Nr. 5 OWiG-E (BUJ) spricht die Obliegenheit zur Durchführung interner Ermittlungen noch deutlicher aus, als es der gegenwärtige Vorschlag des VerbStrG tut.

II. Schranken interner Ermittlungen

1. Technisch gesehen kennen interne Untersuchungen keine Grenzen. Mittels moderner Datenanalyse können E-Mails aller Art, auch längst vergessen geglaubte oder (vermeintlich) gelöschte, ans Tageslicht gebracht werden. Und einschlägig geschulte Experten, die sich z.T. aus ehemaligen Staatsanwälten oder Strafverteidigern rekrutieren, wissen, wie man mittels professioneller Vernehmungstaktik in „Interviews“ an die benötigten Informationen gelangt. Dass in einschlägigen Handbüchern längst nicht nur Rechtsliteratur, sondern mit Selbstverständlichkeit kriminalistisches Fachschrifttum zitiert wird, spricht für sich.

2. Vom Zweck der internen Untersuchung her betrachtet, erscheint absolute Wahrheitsfindung unter Einsatz des technisch Machbaren wünschenswert. Allerdings sind ihr rechtliche Schranken gesetzt, die heute in zunehmendem Maße erkannt und – zumindest bei professionell begleiteten Untersuchungen – auch beachtet werden. Derartige Schranken ergeben sich vor allem aus dem Straf-, dem Datenschutz- und dem Arbeitsrecht. Die Fragen, die sich hier stellen, lauten etwa, ob der E-Mail-Verkehr von Mitarbeitern ohne deren Einwilligung durchleuchtet werden darf und ob diese verpflichtet sind, sich einer Befragung zu unterziehen. Über diese und ähnliche Fragen ist viel gesagt und noch mehr geschrieben worden, so dass sich weitere Ausführungen an dieser Stelle erübrigen.35

3. Offen ist, ob die strafprozessualen Verfahrensgarantien, wie etwa das Recht, sich eines Rechtsbeistands zu bedienen oder das Recht zu schweigen, nebst den einschlägigen Belehrungspflichten (§§ 136, 163a Abs. 3 StPO), bei privaten Vernehmungen entsprechend gelten. Hierzu ist ein beachtliches Schrifttum entstanden, das die Frage ebenso wenig einheitlich beantwortet wie die (spärliche) Rechtsprechung.36 Praktische Bedeutung erlangt sie, wenn später ein Strafverfahren gegen den betreffenden Mitarbeiter eröffnet wird und die Erkenntnisse aus der internen Untersuchung dort als Beweismittel verwendet werden sollen. In der Praxis wird meist die Beiziehung eines Rechtsbeistands zugestanden, während man sich bei den Belehrungspflichten eher lose an der StPO orientiert.37 Vorsorglich sollten Mitarbeiter im Zweifel darauf hingewiesen werden, dass ihre Aussagen an staatliche Stellen weitergegeben und dort gegen sie verwendet werden können.

4. Jenseits der genannten Schranken scheint für interne Untersuchungen freie Bahn zu sein. Auch dort, wo das Gesetz keine expliziten Grenzen setzt, stellt sich aber doch die Frage, ob grenzenlose Ermittlungen gesellschaftsrechtlich geboten sind. Denn einmal angelaufen, ist diese Maschinerie kaum mehr zu stoppen. Wer sucht, der findet – und gerät dabei unversehens vom „Hölzchen aufs Stöckchen“, stößt also auf immer weitere Informationen, die zu weiteren Informationen führen usf. Ab einer gewissen Größenordnung sind Zufallsfunde dann unvermeidlich. Will man aber wirklich immer wissen, wen oder was der einzelne Mitarbeiter im Internet angesteuert hat oder ob sich alle penibel an die Arbeitszeitverordnung halten? Und wenn man es weiß, muss man dem immer und in allen Verästelungen nachgehen?

Damit ist die grundsätzliche Frage gestellt, wie weit der Vorstand es mit internen Untersuchungen zu treiben hat. Die Praxis operiert auch hier mit eingängigen Faustformeln. Danach ist bei Verdachtsmomenten zunächst eine Art „Erstaufklärung“ zu leisten. Ergibt diese, dass die Vorwürfe Substanz haben, ist weiter zu ermitteln, wobei je nach Verdachtsgrad und Intensität des Vorwurfs das volle Untersuchungsprogramm oder auch einfache Aufklärungsmaßnahmen zum Einsatz gelangen.38 Das entspricht dem common sense. Es liefert aber nicht mehr als Daumenregeln. Wer einen festeren Halt sucht, der kann sich bei der Abstufung der Verdachtsgrade an der StPO orientieren.39 Auch im Übrigen kann eine wenigstens grobe Ausrichtung am Strafverfahrensrecht dienlich sein, etwa wenn es um die Pflicht zur Verwertung von Zufallsfunden bzw. privat erlangten Wissens oder um die Einstellung der Ermittlung aus Opportunitätsgründen geht.

Entscheidend bei alledem ist, dass der Vorstand bei der Beurteilung, ob und in welchem Umfang weiterermittelt wird, einen haftungsfreien Ermessensspielraum genießt. Die Literatur ist hier z.T. großzügig und lässt die Ermittlungspflicht immer dann enden, wenn eine weitere Aufklärung nicht (mehr) im Unternehmensinteresse liegt.40 Folgt man der h.M., wonach die Pflicht zur Durchführung interner Untersuchungen aus der Legalitätspflicht und diese wiederum aus dem öffentlichen Normdurchsetzungsinteresse resultiert (oben, I. 3.), bleibt für ein echtes business judgment indes kein Raum.41 Der Vorstand darf sich dann auch nicht ausschließlich am Unternehmensinteresse orientieren. Dennoch muss Aufklärung, darüber besteht Einigkeit, nicht um jeden Preis betrieben werden. Vielmehr ist eine Gesamtabwägung vorzunehmen, bei der sowohl öffentliche Interessen (z. B. Gewicht der potenziell verletzten Norm) als auch Unternehmensinteressen (z. B. störungsfreier Betriebsablauf) in die Waagschale zu legen sind. Dass diese Abwägung nicht mechanisch vonstattengehen kann, ergibt sich schon daraus, dass beide Interessen ihrerseits aus gegenläufigen Subinteressen (z. B. Ressourcenschonung vs. Reputationserhalt) zusammengesetzt sind. Ist diese Abwägung nachvollziehbar vorgenommen, darf der Richter sie aus der – stets und auch jenseits der Business Judgement Rule gebotenen! – ex-ante-Perspektive nicht beanstanden.

5. Der Dreiklang „Aufdecken – Abstellen – Ahnden“ legt eine bestimmte Reihenfolge nahe, wonach erst aufzuklären und dann zu ahnden ist. Logischerweise kann nicht geahndet werden, was nicht zuvor aufgedeckt wurde. Die Reihenfolge ist dennoch nicht zwingend, weil schon bei der Aufklärung im Blick zu behalten ist, welche Maßnahmen im Falle bestimmter Ergebnisse überhaupt getroffen werden können. Zeigt sich etwa, dass ein Mitarbeiter gar nicht mehr belangt werden kann, dass ein Amnestieprogramm geboten ist oder dass mit Verstößen dieser Art künftig nicht mehr zu rechnen ist, kann die Ermittlung vorzeitig beendet werden. Dasselbe gilt, wenn sich abzeichnet, dass die Ermittlungskosten exponentiell ansteigen, ohne dass noch nennenswerte Erkenntnisse zu erwarten sind.42 All das folgt daraus, dass bei der Rechtsdurchsetzung das Unternehmenswohl zwar nicht allein-, wohl aber mitentscheidend ist.43

Leider hält die Rechtsordnung hier die eine oder andere Zwickmühle bereit. Wird etwa einem verdächtigen Mitarbeiter ohne ausreichende Ermittlung gekündigt, riskiert der Vorstand das Unterliegen im Kündigungsschutzprozess.44 Wird dagegen zu lange ermittelt, kann die Kündigungserklärungsfrist ZHR 180 (2016) S. 563 (573)(§ 626 Abs. 2 BGB) verstrichen sein.45 Staatsanwaltschaften mögen gar auf die Idee kommen, dass das Zuwarten mit der Erhebung von Schadensersatzansprüchen, weil der Vorstand den Sachverhalt erst ausermitteln will, den Tatbestand der Untreue erfüllt.46 Entsprechendes gilt, wenn kostspielige Ermittlungen angeleiert werden, die sich rückblickend als unnötig und damit (scheinbar) als Verschwendung von Gesellschaftsvermögen darstellen. Hier sind die Gerichte gefordert, mit einem Kurs gegenzusteuern, der Compliance nicht zur Haftungsfalle geraten lässt.

III. Insbesondere: Interne Ermittlungen gegen Organmitglieder

1. Heikel werden interne Untersuchungen, wenn Mitglieder der Unternehmensleitung in den Fokus geraten. Nicht nur ist in diesen Fällen mit einer erhöhten Medienaufmerksamkeit zu rechnen, auch werden dann diejenigen zum Objekt der Untersuchung, welche die Aufklärungsprozesse eigentlich lenken sollen. Dabei handelt es sich nicht um seltene Ausnahmen. Aufgrund der umfassenden Organisationsverantwortung, welche Rechtsprechung und h.L. der Unternehmensführung aufbürden, wird bei jedem Compliance-Vorfall beinahe schon reflexartig die Frage nach der Verantwortlichkeit von Vorstand und Aufsichtsrat gestellt.

2. Trifft der Verdacht einer Pflichtwidrigkeit den Vorstand, ist der Aufsichtsrat nach § 111 AktG zum Handeln berufen. Handelt es sich dabei um Vorgänge, wegen derer der Vorstand selbst schon Ermittlungen in Gang gesetzt hat, mag der Aufsichtsrat zunächst abwarten, was die Untersuchungen des Vorstands ergeben.47 Spätestens wenn Schadensersatzansprüche gegen Vorstandsmitglieder im Raume stehen, muss er selbst tätig werden. Sein Pflichtenheft buchstabiert ihm dann das vielzitierte ARAG/Garmenbeck-Urteil des BGH. Danach ist zunächst der Tatbestand, aus dem sich eine etwaige Ersatzpflicht des Vorstandsmitglieds ergibt, in tatsächlicher und rechtlicher Hinsicht aufzuklären. Ergibt diese Aufklärung, dass ein Ersatzanspruch besteht, ist im Rahmen einer Risikoanalyse zu ermitteln, ob die Forderung durchsetzbar und beitreibbar ist.48 Auf einer weiteren Prüfungsstufe darf der Aufsichtsrat entscheiden, von der Durchsetzung eines wahrscheinlich gegebenen Anspruchs ausnahmsweise abzusehen, wenn gewichtige Interessen des Gesellschaftswohls dies rechtfertigen.49

Auch wenn über die genaue Tragweite dieser Aussagen bis heute diskutiert wird, steht doch außer Streit, dass ARAG keine fixe Prüfungsreihenfolge vor¬ZHR 180 (2016) S. 563 (574)gibt.50 Zeigen die Untersuchungen, dass gar kein Schaden entstanden ist oder dass das Prozessrisiko außer Verhältnis zum eintreibbaren Betrag steht oder dass gewichtige Belange des Gesellschaftswohls einer Durchsetzung entgegenstehen, kann der Aufsichtsrat von einer weiteren Aufklärung absehen. Dabei wandelt er auf einem schmalen Grat: Bricht er die Untersuchung zu früh ab, droht ihm der Vorwurf, seiner Kontrollpflicht nicht genügt zu haben, treibt er sie aus eben dieser Sorge immer weiter, riskiert er den Tadel, Gesellschaftsvermögen zu verschwenden. Weil es nicht Sinn der aktienrechtlichen Kontrollpflicht sein kann, den Aufsichtsrat in eine Lage zu manövrieren, aus der er haftungsfrei nicht wieder herauskommt, ist ihm bei seiner Entscheidung zwangsläufig ein Ermessenspielraum einzuräumen.51 Ob man diesen der Business Judgement Rule zuordnet oder daneben ansiedelt, spielt für das Ergebnis keine Rolle. Ist der Gesellschaft kein Schaden entstanden (und ARAG daher nicht einschlägig), darf – ja ggfs. muss – der Aufsichtsrat gleichwohl gegen den Vorstand ermitteln, etwa um festzustellen, ob aus einem Vorkommnis personelle, organisatorische oder sonstige Konsequenzen zu ziehen sind.

3. Schwieriger wird es, wenn sich der Verdacht pflichtwidrigen Verhaltens gegen den Aufsichtsrat richtet. Auch dies ist keine Seltenheit mehr, lässt sich ein Fehlverhalten des Vorstands mit etwas Fantasie doch leicht in ein (vermeintliches) Überwachungsverschulden des Aufsichtsrats ummünzen.52 Zwar meinte man lange, eine Inanspruchnahme des Aufsichtsrats durch den Vorstand sei reine Theorie. Doch die Zeiten haben sich gewandelt. Schon aus Selbstschutz wird der Vorstand nicht völlig außer Acht lassen, ob ein (ehemaliger) Aufsichtsrat seinen gesetzlichen Pflichten nachgekommen ist.

Aber gilt die ARAG-Doktrin, die den Aufsichtsrat zur Aktion gegenüber dem Vorstand verpflichtet, auch in umgekehrter Richtung? Im Schrifttum wird das einhellig bejaht.53 Bei näherem Hinsehen drängen sich Zweifel auf. Der BGH begründet die Verfolgungspflicht in erster Linie mit der in § 111 AktG verankerten Überwachungspflicht des Aufsichtsrats.54 Eine derartige Überwachungsverantwortung gegenüber dem Aufsichtsrat wird dem Vorstand vom Gesetz nicht auferlegt. Sicherlich ist auch der Vorstand im Rahmen seiner Legalitätskontrollpflicht gehalten, einen Blick auf den Aufsichtsrat zu richten. Das kann aber nicht so weit gehen, dass der Vorstand den Aufsichtsrat ZHR 180 (2016) S. 563 (575)in gleicher Weise kontrollieren müsste wie dieser ihn.55 Denn das AktG will nicht zwei Organe, die sich wechselseitig beäugen, sondern es will ein Organ, welches das Unternehmen führt, und ein anderes, das diese Führung überwacht. Mehr noch: Denkt man diesen Gedanken konsequent zu Ende, müsste sich der Vorstand letztendlich selbst kontrollieren, da es seine Aufgabe wäre, sein eigenes Überwachungsorgan zu überwachen – was dem Gedanken der Gewaltenteilung, der auch der aktienrechtlichen Organisationsverfassung zugrunde liegt, diametral zuwiderläuft. Dass ARAG wenigstens dann nicht in gleicher Strenge für den Vorstand gelten kann, wenn es um amtierende Aufsichtsratsmitglieder geht, zeigt sich daran, dass die Verfolgung eines Organmitglieds dieses faktisch aus dem Amt drängt. Der Vorstand hat aber gegenüber dem Aufsichtsrat – anders als umgekehrt – keine Personalkompetenz. Ihm bleibt nur die allgemeine Vertretungsbefugnis (§ 78 AktG), aus der sich eine strikte Verfolgungspflicht nicht ableiten lässt.56

IV. Problemfall Parallelermittlungen

1. Wird neben der internen Untersuchung eine weitere Untersuchung eröffnet, stellt sich für den Vorstand die Frage, wie er darauf reagieren soll. Praxisrelevant ist der Fall, dass neben einer bereits laufenden internen Untersuchung behördliche Ermittlungen eingeleitet werden. Dieser Umstand soll „selbstredend“ nicht die Aufklärungsverantwortung von Vorstand und Aufsichtsrat entfallen lassen.57 Ganz so schneidig sollte die Frage besser nicht beantwortet werden. Zwar sind interne und behördliche Untersuchungen von ihrer Zielrichtung nicht deckungsgleich, weshalb die Einleitung einer behördlichen Untersuchung nicht automatisch die interne Aufklärung hinfällig werden lässt.58 Wenn aber im Unternehmen doppelte Untersuchungen laufen, bei der etwa die Mitarbeiter nacheinander von Staatsanwaltschaft und privaten Ermittlern befragt werden, ist das nicht nur lästig für die Betroffenen, sondern stört nachhaltig den Betriebsablauf und beschwört das Risiko divergierender Ermittlungsergebnisse herauf.59 Ein dem Unternehmenswohl verpflichteter Vor¬ZHR 180 (2016) S. 563 (576)stand darf und muss das ins Kalkül ziehen. Mindestens ist eine Abstimmung mit den ermittelnden Behörden geboten, was in Praxisleitfäden denn auch so empfohlen wird.60

2. Eine andere Konkurrenzfrage stellt sich, wenn während einer laufenden internen Untersuchung eine Sonderprüfung initiiert wird. Klar ist, dass eine vom Vorstand oder Aufsichtsrat angestoßene interne Ermittlung weder einen Beschluss der Hauptversammlung nach § 142 Abs. 1 AktG noch den Antrag einer Aktionärsminderheit nach § 142 Abs. 2 AktG unzulässig macht.61 Wird ein entsprechender Beschluss gefasst bzw. dem Antrag stattgegeben, sollen beide Verfahren nebeneinander geführt werden.62 Aus den soeben genannten Gründen erscheint das wenig zweckhaft. Der Vorstand darf (und muss) vielmehr überlegen, die interne Untersuchung einzustellen und die bislang gewonnenen Ergebnisse dem Sonderprüfer zur Verfügung zu stellen. Ob er zu letzterem nach § 145 Abs. 1 u. 2 AktG verpflichtet ist, ist eine offene, aber wohl zu bejahende Frage. Der Vorstand kann versuchen, die Konkurrenzsituation im Vorfeld zu vermeiden, indem er einem Sonderprüfungsverlangen freiwillig nachgibt. §§ 142 ff. AktG finden auf eine solche, aktienrechtlich zulässige Untersuchung keine Anwendung.63 Ob er diesen Weg beschreitet, ist in sein Ermessen gestellt.

3. Koordinationsbedarf kann sich schließlich ergeben, wenn Vorstand und Aufsichtsrat in derselben Sache ermitteln. Grundsätzlich liegt die Führung interner Untersuchungen beim Vorstand, während der Aufsichtsrat nur zu überwachen hat, ob der Vorstand seiner Compliance-Verantwortung gerecht wird.64 Sind Mitglieder von Vorstand und/oder Aufsichtsrat selbst von Compliance-Vorwürfen betroffen, kann es freilich auch hier zu Parallelermittlungen kommen.65 Für diesen Fall wird vertreten, dass die Organe die rechtliche Bewertung unabhängig voneinander vorzunehmen haben, der Austausch von Informationen oder die gemeinsame Sachverhaltsermittlung dagegen grundsätzlich zulässig sei.66 Dieser Kompromiss erscheint tragfähig, weil er nicht nur Ressourcen der Gesellschaft schont, sondern auch die Wahrheitsfindung ZHR 180 (2016) S. 563 (577)fördert, was sowohl im Interesse der Gesellschaft als auch in demjenigen der Öffentlichkeit liegt.

V. Schluss

Interne Untersuchungen haben sich als Instrument zur Aufklärung von Rechtsverstößen etabliert. Auch ohne gesetzliche Detailvorgaben hat die Praxis dafür Standards entwickelt, mit denen sich einigermaßen operieren lässt. Allerdings erweist es sich als schwierig, der einmal angelaufenen Ermittlungsmaschinerie Einhalt zu gebieten. Wichtig ist daher der Hinweis, dass der Vorstand bei der Entscheidung, ob und in welchem Umfang (weiter-)ermittelt wird, Ermessensspielräume besitzt. Das gilt selbst dann, wenn man – wie es die heute h.M. tut – die Compliance-Verantwortung und die aus ihr fließende Aufklärungspflicht aus dem grundsätzlich indisponiblen öffentlichen Interesse an allgemeiner Normbefolgung ableitet. Rechtsprechung und Lehre können diese Einsicht befördern, indem sie die allseits betonte Compliance nicht zum Götzen erheben. Empirisch bleibt zu erforschen, was bei all den internen Untersuchungen am Ende eigentlich herauskommt. Dieser Herausforderung will sich jetzt eine aus Praktikern und Professoren zusammengesetzte Arbeitsgruppe stellen. Auf ihre Erkenntnisse darf man gespannt sein.

Gregor Bachmann