Sachverhalt · Beweis · Struktur

Erst den Sachverhalt. Dann die Konsequenz.

Wenn ein Verdacht im Raum steht, entscheidet die erste Woche über alles Weitere: was gesichert wurde, wer wann was wusste, ob die Dokumentation traegt. Wir klaeren den Sachverhalt methodisch und beweissicher – und bauen danach die Struktur, die den naechsten Fall verhindert.

Zwei Linien, ein Haus

Aufklaerung und Vorbeugung gehören zusammen

Forensic Consulting arbeitet rueckwaerts: Was ist geschehen, wer war beteiligt, welcher Schaden ist entstanden, was ist beweisbar. Compliance Consulting arbeitet vorwaerts: Welche Pflichten treffen das Unternehmen, wie werden sie organisiert, wie wird die Erfuellung nachgewiesen. Wer nur das eine betreibt, wiederholt entweder den Fall oder die Ueberraschung.

Linie 1 · rueckwaerts

Forensic Consulting

Methodische Sachverhaltsaufklaerung bei Verdachtsfaellen – von der ersten Sicherungsmassnahme bis zum belastbaren Untersuchungsbericht.

  • Verdacht auf Vermoegensdelikte, Manipulation, Abrechnungs- und Bestandsdifferenzen
  • Verstoesse gegen interne Richtlinien und gegen Arbeits-, Brand- und Anlagensicherheit
  • Auswertung nach Hinweisen aus dem Meldesystem
  • Sicherung und Auswertung digitaler Spuren
  • Vorbereitung arbeitsrechtlicher und zivilrechtlicher Entscheidungen durch Ihre Rechtsberatung
Linie 2 · vorwaerts

Compliance Consulting

Aufbau und Pruefung der Organisation, mit der das Unternehmen seine Pflichten erfuellt und diese Erfuellung belegen kann.

  • Pflichtenkataster und Risikoanalyse je Gesellschaft und Standort
  • Compliance-Managementsystem nach ISO 37301 oder IDW PS 980
  • Richtlinien, Zustaendigkeiten, Delegation und Kontrollen
  • Hinweisgebersystem nach dem Hinweisgeberschutzgesetz
  • Lieferkette, Sanktions- und Exportkontrolle, Geldwaescherecht

Der Uebergang ist der eigentliche Wert: Jede Untersuchung endet mit Feststellungen darueber, warum der Vorfall moeglich war – fehlende Funktionstrennung, nicht gelebte Freigaben, ungepruefte Berechtigungen, unterlassene Kontrolle. Diese Feststellungen sind die praeziseste Grundlage fuer den Aufbau der Compliance-Organisation, die es gibt. Sie stammen nicht aus einer Vorlage, sondern aus Ihrem Haus.

Fristen

Drei Uhren, die gleichzeitig laufen

Sobald ein Vorfall bekannt wird, laufen mehrere Fristen parallel – und sie beginnen zu unterschiedlichen Zeitpunkten. Wer die Untersuchung ohne Fristenplan beginnt, verliert Rechte, bevor der Sachverhalt steht.

2 Wochen Ausserordentliche Kuendigung Die Kuendigung aus wichtigem Grund kann nur innerhalb von zwei Wochen erfolgen. Die Frist beginnt mit dem Zeitpunkt, in dem der Kuendigungsberechtigte von den massgebenden Tatsachen Kenntnis erlangt. Zuegige, aber vollstaendige Aufklaerung einschliesslich Anhoerung ist deshalb kein Komfort, sondern Fristenmanagement. § 626 Abs. 2 BGB
72 Stunden Datenschutzvorfall Beruht der Vorfall auf einer Verletzung des Schutzes personenbezogener Daten, ist sie der Aufsichtsbehoerde unverzueglich und moeglichst binnen 72 Stunden nach Bekanntwerden zu melden. Die Frist laeuft ab Kenntnis, nicht ab Aufklaerung; die schrittweise Nachmeldung ist ausdruecklich zulaessig. Art. 33 Abs. 1, Abs. 4 DSGVO · Art. 34 DSGVO
7 Tage / 3 Monate Hinweisgebermeldung Geht der Vorfall auf eine Meldung ein, ist dem Hinweisgeber der Eingang innerhalb von sieben Tagen zu bestaetigen und innerhalb von drei Monaten eine Rueckmeldung ueber geplante und ergriffene Folgemassnahmen zu geben. Die Untersuchung muss in dieses Zeitfenster passen. § 17 Abs. 1 HinSchG

Hinzu treten je nach Sachverhalt weitere Melde- und Anzeigepflichten – etwa nach dem Geldwaeschegesetz, im Arbeitsschutz bei meldepflichtigen Unfaellen oder gegenueber dem Sachversicherer. Der Fristenplan ist deshalb Bestandteil jeder Untersuchung, nicht ihr Anhang.

Forensic Consulting

Sechs Arbeitsschritte einer belastbaren Untersuchung

Belastbar heisst: nachvollziehbar dokumentiert, auf zulaessiger Grundlage erhoben, ohne Vorfestlegung gefuehrt und so aufbereitet, dass Ihre Rechtsberatung darauf aufbauen kann.

01

Sofortmassnahmen und Sicherung

Eingrenzung des Sachverhalts, Sicherung fluechtiger und veraenderlicher Daten, Sperrung von Berechtigungen, Unterbrechung von Loeschroutinen und Aufbewahrungsanweisung an die betroffenen Bereiche.

02

Digitale Beweissicherung

Identifizierung, Sammlung, Sicherung und Aufbewahrung digitaler Beweismittel nach anerkannter Methodik, mit Hashwerten, Sicherungsprotokoll und lueckenloser Beweiskette.

ISO/IEC 27037 · ergaenzend ISO/IEC 27041, 27042, 27043 · BSI-Leitfaden IT-Forensik
03

Auswertung

Analyse von Systemdaten, Protokollen, Buchungen, Bestaenden und Dokumenten. Rekonstruktion der Zeitachse, Abgleich von Soll- und Ist-Prozess, Eingrenzung des Personenkreises.

04

Befragungen

Strukturierte Gespraeche mit Auskunftspersonen und Betroffenen, mit vorheriger Belehrung ueber Rolle und Zweck, Protokoll und Gelegenheit zur Stellungnahme. Auf Wunsch unter Beteiligung Ihrer Rechtsberatung.

05

Schaden und Ursache

Ermittlung und Plausibilisierung des Schadens, Feststellung der organisatorischen Ursachen und der Kontrollluecken, die den Vorfall ermoeglicht haben.

06

Bericht

Untersuchungsbericht mit Trennung von gesicherter Feststellung, begruendeter Annahme und offener Frage. Anlagenverzeichnis, Beweismittelregister und Massnahmenempfehlung – verwendbar gegenueber Aufsichtsrat, Versicherer und Rechtsberatung.

Compliance Consulting

Die Organisation, an der die Haftung ansetzt

Der Vorwurf lautet im Ernstfall selten „Sie haben es getan“, sondern „Sie haben es nicht organisiert“. Genau dort setzen wir an.

Fundament

Aufsichts- und Organisationspflicht

Die Verletzung der Aufsichtspflicht ist nach § 130 OWiG bussgeldbewehrt; ueber §§ 9, 30 OWiG trifft die Geldbusse auch das Unternehmen. Zivilrechtlich folgt die Organisationspflicht aus § 43 Abs. 1 GmbHG und § 93 Abs. 1 AktG, die Ueberwachungspflicht des Vorstands aus § 91 Abs. 2 AktG.

BGH, Urt. v. 21.04.1997 – II ZR 175/95 · LG Muenchen I, Urt. v. 10.12.2013 – 5 HKO 1387/10 · BGH, Urt. v. 09.05.2017 – 1 StR 265/16
System

Compliance-Managementsystem

Aufbau nach ISO 37301 als zertifizierbarer Anforderungsnorm oder nach IDW PS 980 als Pruefungsstandard: Compliance-Kultur, -Ziele, -Risiken, -Programm, -Organisation, -Kommunikation, -Ueberwachung und -Verbesserung.

Nach der Rechtsprechung wirkt ein wirksames System auch auf die Bemessung einer Geldbusse.

ISO 37301 · ISO 37001 (Antikorruption) · IDW PS 980
Kataster

Pflichten- und Risikoanalyse

Systematische Erhebung der auf Ihr Unternehmen anwendbaren Pflichten je Gesellschaft, Standort und Prozess – Arbeitsschutz, Anlagensicherheit, Umwelt, Datenschutz, Informationssicherheit, Steuern, Aussenwirtschaft – mit Zustaendigkeit und Nachweis.

Delegation

Pflichtenuebertragung und Kontrolle

Wirksame Uebertragung von Unternehmerpflichten mit klarer Aufgabenbeschreibung, Kompetenz, Mittelausstattung und dokumentierter Ueberwachung. Uebertragung entlastet nur, wenn Auswahl, Einweisung und Kontrolle belegt sind.

§ 13 Abs. 2 ArbSchG · § 13 DGUV Vorschrift 1 · § 9 OWiG
Lieferkette

Sorgfaltspflichten und Aussenwirtschaft

Risikoanalyse und Praeventionsmassnahmen in der Lieferkette, Beschwerdeverfahren und Berichtspflichten sowie Screening gegen Sanktionslisten und Pruefung von Dual-Use-Sachverhalten vor Vertragsschluss.

LkSG · RL (EU) 2024/1760 (CSDDD) · VO (EU) 2021/821 · §§ 8, 9 AWG, AWV · GwG
Wirksamkeit

Kontrolle und Nachweis

Kontrollplan, interne Pruefungen, Kennzahlen und Managementbericht. Ein System ohne Wirksamkeitsnachweis ist im Ernstfall ein Ordner, kein Entlastungsargument.

Hinweisgeberschutz

Interne Meldestelle – ausgelagert und dadurch wirksam

Das Hinweisgeberschutzgesetz erlaubt ausdruecklich, die Aufgaben der internen Meldestelle einem Dritten zu uebertragen. Genau das ist der Punkt, an dem ein solches System steht oder faellt: Beschaeftigte melden nicht dorthin, wo sie den Empfaenger jeden Morgen im Flur treffen.

Wir uebernehmen die interne Meldestelle als beauftragter Dritter nach § 14 Abs. 1 HinSchG. Der Betrieb einer solchen Stelle ist kein Postfach, sondern ein Verfahren mit gesetzlich vorgegebenen Schritten und Fristen: Eingangsbestaetigung, Pruefung der Stichhaltigkeit, Kontakt mit der hinweisgebenden Person, Folgemassnahmen und Rueckmeldung.

Zentral ist das Vertraulichkeitsgebot: Die Identitaet der hinweisgebenden Person und der von der Meldung betroffenen Personen ist zu schuetzen, mit eng begrenzten gesetzlichen Ausnahmen. Ebenso zentral ist das Verbot von Repressalien – mit einer Beweislastregel, die im Streit zulasten des Arbeitgebers wirkt.

Anschlussfaehig ist die Meldestelle an die Beschwerdestelle nach § 13 AGG und an das Beschwerdeverfahren nach dem Lieferkettensorgfaltspflichtengesetz. Drei Kanaele, ein Verfahren, eine Dokumentation.

§§ 12, 14 Abs. 1, 15, 16, 17, 18 HinSchG · Vertraulichkeit § 8 HinSchG · Repressalienverbot § 36 HinSchG · § 13 AGG

Was die Auslagerung leistet

Unabhaengigkeit: Die Meldestelle handelt bei ihrer Taetigkeit unabhaengig und ist nicht weisungsgebunden in der Sache. Extern ist das strukturell leichter zu gewaehrleisten als intern.

Fachkunde: Die Beschaeftigten der Meldestelle muessen ueber die notwendige Fachkunde verfuegen. Das betrifft Verfahren, Datenschutz und die inhaltliche Ersteinschaetzung gleichermassen.

Anschluss: Ergibt die Ersteinschaetzung einen belastbaren Verdacht, geht die Sache unmittelbar in die Sachverhaltsaufklaerung ueber – ohne Uebergabeverlust und ohne dass ein neuer Dienstleister sich einarbeiten muss.

Die Verantwortung bleibt bei Ihnen: Die Beauftragung eines Dritten laesst nach § 14 Abs. 1 Satz 2 HinSchG die Pflicht des Beschaeftigungsgebers unberuehrt, selbst geeignete Massnahmen zur Abstellung des Verstosses zu ergreifen. Die Meldestelle klaert und empfiehlt – entscheiden und handeln muss das Unternehmen.

Rechtliche Leitplanken

Vier Punkte, ueber die wir vor Beginn sprechen

Wir sagen diese vier Dinge am Anfang, nicht im Kleingedruckten. Sie entscheiden darueber, ob das Ergebnis der Untersuchung spaeter traegt.

Punkt 1

Wir sind keine Rechtsanwaltskanzlei

Wir erbringen keine Rechtsdienstleistung im Sinne der §§ 2, 3 RDG. Die rechtliche Bewertung des Sachverhalts, die Gestaltung arbeits- und zivilrechtlicher Massnahmen und jede Vertretung gehoeren zur Rechtsanwaltschaft.

Wir arbeiten deshalb regelmaessig unter Einbindung einer Rechtsanwaltskanzlei Ihrer Wahl.

Punkt 2

Kein Beschlagnahmeschutz

Unterlagen aus internen Untersuchungen geniessen keinen automatischen Schutz vor Beschlagnahme – auch bei anwaltlicher Fuehrung ist der Schutz nach der Rechtsprechung des Bundesverfassungsgerichts begrenzt.

Deshalb werden Auftragsverhaeltnis, Ablage und Berichtsweg vor Beginn festgelegt, nicht danach.

BVerfG, Beschl. v. 27.06.2018 – 2 BvR 1405/17 u. a.
Punkt 3

Mitbestimmung

Massnahmen, die zur Ueberwachung von Verhalten oder Leistung geeignet sind, unterliegen der Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG. Auswertungen ohne diese Grundlage sind ein Risiko fuer das Ergebnis.

Wir klaeren den Beteiligungsbedarf vor der ersten Auswertung.

Punkt 4

Datenschutz

Jede Auswertung braucht eine Rechtsgrundlage. Im Beschaeftigungsverhaeltnis kommt insbesondere § 26 BDSG in Verbindung mit Art. 88 DSGVO in Betracht, im Uebrigen Art. 6 Abs. 1 lit. f DSGVO mit dokumentierter Interessenabwaegung.

Verhaeltnismaessigkeit, Datenminimierung und Dokumentation sind Teil der Methodik, nicht ein nachtraeglicher Vermerk.

Ablauf

Vom ersten Anruf zur Entscheidungsgrundlage

Die Schritte sind eine Reihenfolge, keine Kalenderangabe. In akuten Faellen laufen die Schritte 1 und 2 am selben Tag.

  1. Schritt 1 – Erstgespraech und Sofortmassnahmen

    Kurze Sachverhaltsaufnahme, Feststellung der laufenden Fristen, Sicherung des Status quo, Aufbewahrungsanweisung und Klaerung, wer im Unternehmen informiert wird und wer nicht.

  2. Schritt 2 – Auftrag und Rahmen

    Festlegung von Untersuchungsgegenstand, Berichtsweg, Beteiligung der Rechtsberatung, Beteiligungsrechten des Betriebsrats und der datenschutzrechtlichen Grundlage.

  3. Schritt 3 – Sicherung und Auswertung

    Beweissicherung nach anerkannter Methodik, Auswertung, Rekonstruktion der Zeitachse und Eingrenzung des Sachverhalts.

  4. Schritt 4 – Befragungen

    Strukturierte Gespraeche in abgestimmter Reihenfolge, mit Protokoll und Gelegenheit zur Stellungnahme.

  5. Schritt 5 – Bericht

    Untersuchungsbericht mit Feststellungen, Beweismittelregister, Bewertung der organisatorischen Ursachen und Massnahmenempfehlung.

  6. Schritt 6 – Konsequenz und Struktur

    Umsetzung der organisatorischen Massnahmen, Schliessung der festgestellten Kontrollluecken und – wo sinnvoll – Ueberfuehrung in ein Compliance-Managementsystem mit Wirksamkeitsnachweis.

Abgrenzung

Was wir nicht tun

Keine Rechtsdienstleistung

Keine rechtliche Bewertung im Einzelfall, keine Vertragsgestaltung, keine Vertretung in Straf-, Bussgeld-, Arbeits- oder Zivilverfahren (§§ 2, 3 RDG).

Keine Abschlusspruefung

Wir sind keine Wirtschaftspruefungsgesellschaft. Jahresabschlusspruefungen und gesetzlich vorbehaltene Pruefungen erbringen wir nicht.

Keine Observation

Keine verdeckte Ueberwachung von Personen, keine Detektivleistungen, keine Massnahmen ausserhalb einer klaren Rechtsgrundlage und ohne die erforderliche Beteiligung.

Keine Zertifizierung

Wir beraten beim Aufbau von Managementsystemen, zertifizieren aber nicht. Die Zertifizierung erfolgt durch eine akkreditierte Stelle (ISO/IEC 17021-1).

Kontakt

Fall besprechen

Schildern Sie den Anlass in groben Zuegen, den betroffenen Bereich und den Zeitpunkt der Kenntnisnahme – Letzteres ist fuer die Fristen entscheidend. Bitte senden Sie im Erstkontakt keine personenbezogenen Details und keine Anlagen; wir stimmen zuerst einen gesicherten Uebertragungsweg ab. Wir arbeiten ohne Kontaktformular und ohne Telefonhotline; die Anfrage per E-Mail ist der einzige Weg.