Source: https://www.lathamgermany.de/2019/08/gesetzentwurf-zur-bekampfung-der-unternehmenskriminalitat-bringt-neue-regeln-fur-interne-untersuchungen-datenschutz-gewinnt-grose-bedeutung/
Timestamp: 2020-01-21 19:47:30+00:00

Document:
Gesetzentwurf zur Bekämpfung der Unternehmenskriminalität bringt neue Regeln für interne Untersuchungen – Datenschutz gewinnt große Bedeutung | LathamGermany
Von Tim Wybitul und Prof. Dr. Thomas Grützner
Das Justizministerium arbeitet mit Hochdruck an einem Entwurf für ein Unternehmensstrafrecht. Der Entwurf verfolgt das Ziel, die Sanktionierung von Unternehmen und sonstigen Verbänden auf eine eigene gesetzliche Grundlage zu stellen. Er soll eine angemessene Ahndung von Verbandsstraftaten ermöglichen. Zudem soll die Neuregelung Compliance-Maßnahmen fördern. Sie sieht Anreize dafür vor, dass Unternehmen über interne Untersuchungen dazu beitragen, Straftaten aufzuklären. Kern der Neuregelung ist der Entwurf für das geplante Verbandssanktionengesetz, abgekürzt „VerSanG-E“. Der vorliegende Überblick fasst die Regelungen des Gesetzentwurfs zu internen Untersuchungen zusammen und zeigt, welche Auswirkungen sie künftig auf die Unternehmenspraxis haben. Schwerpunkte liegen dabei auf Fragen der Kooperation mit den Verfolgungsbehörden, der Durchführung fairer Ermittlungsgrundsätze und den Anforderungen des Datenschutzes. Gerade bei internen Untersuchungen erfährt der Datenschutz durch die Neuregelung eine enorme Aufwertung. Unternehmen müssen die Vorgaben der EU-Datenschutz-Grundverordnung (DSGVO) und sonstiger datenschutzrechtlicher Vorschriften richtig und belastbar umsetzen. Andernfalls können sie aufgrund der durchgeführten Untersuchung eine Sanktionsmilderung nicht in Anspruch nehmen. Abschließend gibt der Beitrag Empfehlungen, wie man die neuen Spielregeln für interne Untersuchungen in der Praxis belastbar umsetzt.
Das Verbandssanktionengesetz sieht hohe Verbandsgeldsanktionen von bis zu zehn Prozent des durchschnittlichen Jahresumsatzes vor. Der für die Bemessung der Sanktion relevante Umsatz kann geschätzt werden. Ähnlich wie im Kartell- oder Datenschutzrecht ist der Umsatz der wirtschaftlichen Einheit relevant, also gegebenenfalls der Umsatz eines gesamten Konzerns. Bei Wirtschaftsunternehmen mit Umsätzen von bis zu 100 Millionen Euro beträgt die Höchstgrenze möglicher Verbandgeldsanktionen zehn Millionen Euro, § 9 Abs. 2 Nr. 1 VerSanG-E. Wer mit den US-amerikanischen Federal Sentencing Guidelines vertraut ist, wird in dem vorgelegten Entwurf den einen oder anderen bekannten Regelungsmechanismus wiederfinden. Einen umfassenden Überblick über die einzelnen Regelungen können Sie hier abrufen.
Der etwas sperrige Begriff der “Verbandsgeldsanktion” soll offenbar klarstellen, dass es sich hier neben den gegen einzelne Personen zu verhängenden Geld- oder Haftstrafen sowie Bußgeldern um eine neue, eigenständige Sanktionsform handelt. Die Definition eines Verbands im Sinne der geplanten Neuregelung ist sehr weit. Sie umfasst juristische Personen des öffentlichen oder privaten Rechts sowie nicht rechtsfähige Vereine und rechtsfähige Personengesellschaften.
Der im Gesetzentwurf vorgesehene Verbandsgeldsanktionsrahmen ist ausgesprochen hoch. Das legt es für Unternehmen nahe, Möglichkeiten zu suchen, um drohende Sanktionsrisiken abzumildern. Eine Möglichkeit hierfür ist die freiwillige Aufklärung und Offenlegung von Verbandsstraftaten durch das Unternehmen selbst. Wenn Unternehmen oder sonstige Verbände durch verbandsinterne Untersuchungen einen wesentlichen Beitrag zur Sachverhaltsaufklärung leisten, kann das Gericht die Verbandssanktion mildern.
Wesentlicher Beitrag zur Aufklärung: Der Verband muss einen wesentlichen Beitrag dazu erbringen, dass die Verbandsstraftat aufgeklärt wird, § 18 Abs. 1 Nr. 1 VerSanG-E. Eine Sanktionsmilderung kommt nach der Entwurfsbegründung etwa dann nicht in Betracht, wenn die Verfolgungsbehörden den Sachverhalt bereits aufgeklärt hat. Der Verband hat auch keinen rechtlichen Anspruch darauf, zunächst eine eigene interne Untersuchung durchzuführen. Die Verfolgungsbehörde bleibt jederzeit Herrin des Ermittlungsverfahrens.
Trennung von Verteidigung und Untersuchung: Verbandsinterne Untersuchungen können sowohl vom Verband selbst als auch von beauftragten Dritten durchgeführt werden, § 17 VerSanG-E. Allerdings darf ein solcher Dritter weder Verteidiger des Verbandes im Sanktionsverfahren sein noch der Verteidiger eines Beschuldigten, dessen Verbandsstraftat dem Sanktionsverfahren zugrunde liegt, § 18 Abs. 1 Nr. 2 VerSanG-E. Laut Entwurfsbegründung schwächt die Verbindung von verbandsinternen Untersuchungen und Unternehmensverteidigung die Glaubwürdigkeit von Untersuchungsergebnissen. Zudem könne eine solche Konstellation zu Konflikten mit dem Strafverteidigungsmandat führen. Verbandsinterne Untersuchungen dienten der objektiven Aufklärung des Sachverhalts einschließlich aller belastenden und entlastenden Umstände. Die Unabhängigkeit des Untersuchungsführers könne zudem auch der erste Schritt zu einer ernsthaften Selbstreinigung des Unternehmens und zu einem nachhaltigen Kulturwandel sein. Zwar kann der betroffene Verband mit der verbandsinternen Untersuchung auch eine Kanzlei beauftragen, der auch der Verteidiger eines Verbandes oder eines Beschuldigten angehört. Der Verteidiger darf dann aber nicht an der verbandsinternen Ermittlung beteiligt gewesen sein. Insbesondere darf er keinen direkten Zugriff auf die Ergebnisse aus der Ermittlung haben. Die beauftragte Kanzlei muss hierfür entsprechende organisatorische Vorkehrungen treffen.
Kooperation: Der ermittelnde Verband oder der mit der Durchsuchung beauftragte Dritte muss uneingeschränkt mit den Verfolgungsbehörden zusammenarbeiten, § 18 Abs. 1 Nr. 3 VerSanG-E. Die genauen Umstände einer umfassenden Kooperation stehen im Ermessen der Verfolgungsbehörde. Die Kooperationspflicht kann auch die Beantwortung von Fragen der Verfolgungsbehörden oder das Vorlegen von Zwischenberichten erfordern. Der Verband darf keine relevanten Informationen über die Untersuchung oder ihren Ablauf zurückhalten. Die Pflicht zur umfassenden Kooperation führt aber nicht zu einer Obliegenheit, den Umstand offenzulegen, dass das Unternehmen oder der sonstige Verband eine verbandsinterne Untersuchung vornimmt oder sogar Ermittlungsergebnisse zu offenbaren. Wenn allerdings die Ermittlungsbehörden im Laufe ihrer Ermittlungen von sich aus an den Verband herantreten, kann der Verband eine Sanktionsmilderung nur erlangen, wenn er unmittelbar mit den Verfolgungsbehörden kooperiert.
Ergebnis der Untersuchung: Der Verband oder der Dritte müssen den Verfolgungsbehörden spätestens mit Abschluss der verbandsinternen Untersuchung das Ergebnis der Untersuchung zur Verfügung stellen. Dies umfasst auch alle für die Untersuchung wesentlichen Dokumente und den Abschlussbericht, § 18 Abs. 1 Nr. 4 VerSanG-E. Hierzu gehören auch Dokumente oder sonstige Indizien, die zur Entlastung einzelner Mitarbeiter beitragen könnten. Die durch den Untersuchungsführer zur Verfügung gestellten Dokumente müssen die Verfolgungsbehörde in die Lage versetzen, das Ergebnis der Untersuchung vollumfänglich zu überprüfen. Dabei endet die Kooperationpflicht nicht mit der Übergabe der Untersuchungsergebnisse, sondern sie erstreckt sich auch auf weitere Nachfragen der Verfolgungsbehörde und zusätzlich angeforderte Dokumente.
Faires Verfahren: Die verbandsinterne Untersuchung muss unter Beachtung der Grundsätze eines fairen Verfahrens durchgeführt werden, § 18 Abs. 1 Nr. 5 VerSanG-E. Diese Anforderung orientiert sich an dem sogenannten fair-trial Grundsatz, der auf dem Rechtsstaatsprinzip und dem allgemeinen Persönlichkeitsrecht basiert. Verletzen Verbände bei internen Untersuchungen den Grundsatz eines fairen Verfahrens, kann dies beispielsweise den Beweiswert erheblich mindern. Insbesondere müssen Verband oder beauftragter Dritter zu befragende Mitarbeiter vor ihrer Befragung darauf hinweisen, dass ihre Auskünfte später in einem Strafverfahren gegen sie verwendet werden können. Zudem müssen sie den Befragten das Recht einräumen, zu solchen Befragungen einen Rechtsanwalt oder ein Betriebsratsmitglied zu der Befragung hinzuzuziehen. Vor der Befragung müssen Verband oder beauftragter Dritter die Befragte auf dieses Recht, einen Beistand herbeizuziehen, vor sie Befragung hinweisen. Zudem haben die Befragten das Recht, Auskünfte auf solche Fragen verweigern, durch deren Beantwortung sie riskieren würden, sich selbst oder (Angehörige der Befragten) zu belasten. Die Befragten müssen auf dieses Auskunftsverweigerungsrecht vor der Befragung hingewiesen werden. Diese Regelungen zu einem fairen Verfahren sollen unter anderem sicherstellen, dass Befragungen nicht so durchgeführt werden, dass dabei Zeugen beeinflusst oder unter Druck gesetzt werden.
Einhaltung geltender Gesetze: Die verbandsinterne Untersuchung muss in Übereinstimmung mit den geltenden Gesetzen durchgeführt werden. Die Entwurfsbegründung führt hierzu aus, dass der Staat nur gesetzestreues Verhalten mit einer Sanktionsmilderung belohnen könne: “Erforderlich ist insbesondere die Einhaltung der datenschutzrechtlichen und arbeitsrechtlichen Bestimmungen.” Gerade an dieser Stelle hätte sich die Praxis klarere Hinweise gewünscht, welche Pflichten des Datenschutz- und des Arbeitsrechts auf welche Weise umgesetzt werden sollten, um in den Genuss einer Sanktionsmilderung zu geraten. Daher stellt der vorliegende Beitrag im Folgenden einige Anforderungen des Arbeitsrechts und des Datenschutzes dar, die bei unternehmensinternen Untersuchungen oftmals zu einigen Herausforderungen führen.
Dokumentation: Der Verband muss dokumentieren, dass und wie er die Untersuchung nach den in § 18 Abs. 1 Nr. 1 bis Nr. 5 VerSanG-E geregelten Grundsätzen durchgeführt hat. Die Vorschrift enthält keine Anforderung, dass die verbandsinterne Untersuchung im Einklang mit den geltenden Gesetzen durchgeführt werden muss. In Bezug auf den Datenschutz ergibt sich eine entsprechende Dokumentationspflicht aber aus Art. 5 Abs. 2 und gegebenenfalls aus Art. 24 Abs. 1 Satz 2 BDSG.
Gerade die Auswertung von Emails und sonstigen Dokumenten kann gegebenenfalls sogar der vorherigen Zustimmung des Betriebsrats bedürfen. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat beim Betrieb von Einrichtungen, die der Kontrolle des Verhaltens oder der Leistung, ein zwingendes Mitbestimmungsrecht (vgl. etwa Fuhlrott, NZA 2019, 1105; Wybitul/Böhm, RdA 2011, 362).
Die Anforderungen des Datenschutzes bei internen Sachverhaltsaufklärungen ergeben sich vor allem aus EU-Datenschutz-Grundverordnung, dem Bundesdatenschutzgesetz (BDSG) und der Rechtsprechung des BAG zu internen Sachverhaltsaufklärungsmaßnahmen. Dabei erfährt der Datenschutz dadurch eine enorme Aufwertung, dass jede Missachtung des Datenschutzrechts dazu führen kann, dass die Untersuchung keine Sanktionsminderung nach sich zieht. Nachstehend sind einige Beispiele dargestellt, die in der Praxis oft zu Problemen führen.
Information der betroffenen Personen: Art. 13 und 14 DSGVO sehen umfassende Transparenzpflichten für Verbände vor, wenn sie personenbezogene Daten verarbeiten. In aller Regel setzen unternehmensinterne Untersuchungen sogar sehr umfassende Verarbeitungen personenbezogener Daten voraus. Zudem neigt das BAG dazu, heimliche Datenverarbeitungen ohne Kenntnis der betroffenen Beschäftigten als unzulässig zu bewerten. Ein heimliches Vorgehen soll grundsätzlich nur in Ausnahmefällen erlaubt sein, etwa bei “notwehrähnlichen” Aufklärungsmaßnahmen. In der Praxis sind Unternehmen gut beraten, ihre Datenschutzinformationen für Mitarbeiter gegebenenfalls so zu ergänzen, dass sie die Zwecke, typischen Anlässe, Rechtsgrundlagen und Umstände verbandsinterner Untersuchungen in transparenter Form beschreiben. Zudem sollten Verbände versuchen, den Forderungen der Datenschutzbehörden nach einer gestaffelten Information (sogenannter layered approach) nachzukommen und in auch Einzefällen so früh und umfassend wie rechtlich geboten unterrichten. Zudem sollten mögliche Ausnahmen von der Informationspflicht genau geprüft und dokumentiert werden, etwa nach § 32 BDSG (vgl. hierzu etwa Klaas, CCZ 2018, 242).
Nicht-automatisierte Datenverarbeitungen: Verbände sollten daran denken, dass auch bei Befragungen, Beobachtungen oder anderen nicht-automatisierten Datenverarbeitungen datenschutzrechtliche Anforderungen gelten. Nach § 26 Abs. 7 BDSG sind die deutschen Regelungen zum Beschäftigtendatenschutz auch dann anwendbar, wenn personenbezogene Daten von Beschäftigten verarbeitet werden, ohne dass sie in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
Datenschutz-Folgenabschätzungen: Nach Ansicht vieler Datenschutzbehörden sind vor der Durchführung unternehmensinterner Untersuchungen grundsätzlich vorherige Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO und gegebenenfalls auch Konsultationen mit der zuständigen Datenschutzbehörde nötig.
Bereits die wenigen vorstehend gezeigten Beispiele zeigen, dass der Gesetzgeber auch beim Datenschutz noch einmal nachbessern sollte. Zudem sollte er klarstellen, dass Emails von Beschäftigten auf Firmenservern gegenüber Arbeitgebern nach § 88 Telekommunikationsgesetz nicht dem Fernmeldegeheimnis unterliegen, wenn der Arbeitgeber die private Nutzung betrieblicher Emails duldet oder gestattet (vgl. hierzu etwa Wybitul, NJW 2014, 3605; Wybitul/Böhm, CCZ 2015, 133; ).
Unternehmen sollten gründlich prüfen, wie sie die Vorgaben von § 18 VerSanG-E strukturiert und belastbar umsetzen. Hierfür sind gründliche vorherige Planung und ein entsprechender Prozess oder Ablaufplan nötig. Gerade große Unternehmen oder Verbände mit hohen Risiken werden bestehende Untersuchungs-Leitfäden (beziehungsweise sogenannte Investigation Guidelines oder Defense Manuals) wohl zeitnah anpassen wollen.
Zudem wäre die Wirtschaft gut beraten, im weiteren Verfahren auf den Gesetzgeber dahingehend einzuwirken, dass er die im vorliegenden Beitrag gezeigten Regelungslücken schließt oder die entsprechenden Vorschriften zumindest präzisiert. Ein bloß allgemeiner Hinweis auf die Übereinstimmung mit den geltenden Gesetzen ist angesichts der wenig klaren Rechtslage im Datenschutz- und Arbeitsrecht nicht ausreichend.

References: § 9
 § 18
 § 17
 § 18
 § 18
 § 18
 § 18
 § 18
 Art. 5
 Art. 24
 § 87
 Art. 13
 § 32
 § 26
 Art. 35
 § 88
 § 18