Interne Untersuchung: Ablauf und Unterstützung

Von Christian Steinmetz und Maren Siegels

Kurzantwort: Eine interne Untersuchung gelingt, wenn Unternehmen vier Aufgaben trennen: Die Leitung, meist eine externe Kanzlei oder die Rechts- bzw. Compliance-Abteilung, legt Prüffrage und Umfang fest und bewertet die Ergebnisse. Die Forensik sichert und bereitet Daten auf. Ein Review-Team, intern oder mit Interim-Fachkräften, sichtet Dokumente nach Protokoll. Die Fallbearbeitung von Hinweisen läuft über die Meldestelle. In Deutschland müssen Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten eine interne Meldestelle betreiben, den Eingang einer Meldung nach spätestens sieben Tagen bestätigen und innerhalb von drei Monaten rückmelden (§§ 12, 17 HinSchG).

Dieser Ratgeber richtet sich an Heads of Compliance, General Counsel und HR in der Schweiz und in Deutschland. Er zeigt den Ablauf einer internen Untersuchung, wer welche Aufgabe übernimmt und was Datenschutz und Arbeitsrecht verlangen.

Phasen einer internen Untersuchung

Eine interne Untersuchung läuft in acht Phasen ab, von der Triage bis zur Umsetzung der Massnahmen. Die Reihenfolge schützt Beweise, Rechte der Betroffenen und die spätere Verwertbarkeit.

Eingang und Triage: Hinweis, Prüfungsfeststellung oder Verdacht erfassen, Zuständigkeit und Dringlichkeit festlegen, Interessenkonflikte prüfen.
Sofortmassnahmen: Beweise sichern, Löschroutinen aussetzen, gegebenenfalls Zugriffe beschränken.
Untersuchungsplan: Prüffrage, Zeitraum, zulässigen Dokumentenbestand, Rollen, Berichtslinie und Vertraulichkeit festlegen.
Datensicherung und Aufbereitung: E-Mails, Dateien und Chats forensisch sichern, filtern und auf eine Review-Plattform laden.
Document Review: Dokumente nach Protokoll kodieren, relevante Treffer eskalieren, Chronologie aufbauen.
Interviews: Zeugen und Betroffene befragen, Protokolle erstellen, Rechte der Betroffenen wahren.
Bewertung und Bericht: Sachverhalt feststellen, rechtlich würdigen, an das zuständige Gremium berichten.
Massnahmen und Abschluss: arbeitsrechtliche Schritte, Prozessverbesserungen, Meldungen an Behörden, Rückmeldung an die hinweisgebende Person.

Für die Planung gilt: Zeitkritische Schritte zuerst. In Deutschland kann eine Kündigung aus wichtigem Grund nur innerhalb von zwei Wochen ab Kenntnis der massgebenden Tatsachen erfolgen (§ 626 Abs. 2 BGB). In der Schweiz nennt Art. 337 OR keine feste Frist. Die fristlose Kündigung muss aber rasch erfolgen, sobald der Sachverhalt hinreichend geklärt ist; wer ohne Grund zuwartet, riskiert, dass der wichtige Grund nicht mehr anerkannt wird. Die Abklärung selbst sollte deshalb zügig laufen.

Wer was übernimmt: Kanzlei, Forensik, Interim-Team

Die Leitung einer Untersuchung und ihre operative Durchführung gehören in unterschiedliche Hände. Die Tabelle zeigt eine typische Arbeitsteilung bei einem grösseren Fall.

Aufgabe	Kanzlei	Forensik	Interim-Team	Intern
Untersuchungsauftrag und Prüffrage	berät, formuliert mit	–	–	erteilt (Geschäftsleitung, Verwaltungsrat oder Ausschuss)
Leitung und rechtliche Würdigung	führt bei schweren Vorwürfen oder Organbeteiligung	–	unterstützt mit Entwürfen	führt bei kleineren Fällen (Legal, Compliance)
Datensicherung und Aufbereitung	legt Umfang fest	führt	–	IT stellt Zugang bereit
Document Review	steuert Second Level, entscheidet Grenzfälle	stellt Plattform bereit	First Level, QC, Projektleitung	liefert Fachwissen zu Prozessen
Interviews	führt	–	bereitet vor, protokolliert	HR nimmt teil, wo vorgesehen
Hinweisgeberfälle	bei Eskalation	–	unterstützt die Meldestelle bei Erfassung und Fallführung	Meldestelle führt
Bericht und Massnahmen	verfasst oder prüft	Methodenbericht	Massnahmen-Tracking, Remediation	entscheidet und setzt um

Wann braucht es eine externe Kanzlei?

Eine externe Kanzlei ist sinnvoll, wenn Organe oder die Rechtsabteilung selbst betroffen sind, Behörden oder Gerichte beteiligt sein könnten, ein strafrechtliches Risiko besteht oder Unterlagen bestmöglich geschützt werden sollen. Im Schweizer Zivilprozess sind Unterlagen des unternehmensinternen Rechtsdienstes nur unter den Voraussetzungen von Art. 167a ZPO geschützt, etwa wenn eine Person mit Anwaltspatent ihn leitet.

Interim-Fachkräfte ergänzen Kanzlei und internes Team dort, wo Volumen entsteht: im Review, in der Fallbearbeitung und bei der Umsetzung der Massnahmen. Mögliche Einsätze im Bereich Verfahren und Untersuchungen beschreibt die Seite Litigation, Investigations & eDiscovery.

Document Review in der Untersuchung

Das Document Review ist in vielen Untersuchungen der grösste Aufwandsblock, und hier entlasten Interim-Teams am stärksten. Voraussetzung ist eine klare Trennung zwischen rechtlicher Steuerung, Datenaufbereitung und operativer Sichtung. Vor dem ersten Review klärt die Leitung:

welche Informationen geprüft werden dürfen und welcher Zeitraum gilt
welche Kategorien gelten und wie sensible oder rechtlich relevante Treffer behandelt werden
Zugriffsrechte, Vertraulichkeit und Anforderungen an die Dokumentation
Review-Protokoll mit Kategorien, Eskalationen und Qualitätskriterien
Kalibrierung der Reviewer an einer gemeinsamen Stichprobe

Externe Bearbeitung ersetzt diese Entscheidungen nicht. Die juristische Schlussfolgerung und der Bericht werden entsprechend der vereinbarten Rollen verantwortet. Rollen, Teamgrösse und Kalibrierung beschreibt der Ratgeber Document Review für Kanzleien.

Hinweisgeberfälle bearbeiten

In Deutschland regelt das Hinweisgeberschutzgesetz die Fallbearbeitung; in der Schweiz gibt es kein allgemeines Whistleblowing-Gesetz für die Privatwirtschaft. Für Deutschland gelten unter anderem diese Pflichten:

Meldestelle: Pflicht für Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten; bestimmte Finanz- und Wertpapierunternehmen unabhängig von der Grösse (§ 12 Abs. 2, 3 HinSchG).
Auch Leiharbeitnehmer: Die Meldekanäle müssen auch überlassenen Leiharbeitnehmerinnen und Leiharbeitnehmern offenstehen (§ 16 Abs. 1 HinSchG).
Fristen: Eingangsbestätigung spätestens nach sieben Tagen, Rückmeldung innerhalb von drei Monaten (§ 17 HinSchG).
Vertraulichkeit: Die Identität der hinweisgebenden und der betroffenen Personen dürfen nur die zuständigen Personen und die sie unterstützenden Personen kennen (§ 8 Abs. 1 HinSchG).
Dritte: Die Meldestelle kann einem Dritten übertragen werden; die Pflicht, Verstösse abzustellen, bleibt beim Beschäftigungsgeber (§ 14 Abs. 1 HinSchG).
Repressalien: Sie sind verboten (§ 36 HinSchG). Für das Behindern von Meldungen oder Repressalien sind Geldbussen bis EUR 50'000 vorgesehen, für eine fehlende Meldestelle bis EUR 20'000 (§ 40 HinSchG).

Eine Interim-Compliance-Fachkraft kann die Meldestelle als unterstützende Person verstärken, etwa bei einem Rückstau von Meldungen oder während einer Vakanz. Sie erfasst Fälle, überwacht Fristen und bereitet Folgemassnahmen vor; Entscheide trifft die Meldestelle. Mehr dazu auf der Seite Interim Compliance.

In der Schweiz entscheiden Gerichte im Einzelfall anhand der Treuepflicht, ob eine Meldung zulässig war. Viele Unternehmen betreiben trotzdem interne Meldekanäle nach ähnlichen Grundsätzen. Den Rechtsvergleich zeigt der Ratgeber Whistleblowing in Deutschland und der Schweiz.

Datenschutz und Arbeitsrecht

Eine interne Untersuchung ist eine Bearbeitung von Personendaten und muss verhältnismässig sein. Die wichtigsten Regeln:

Deutschland

Zur Aufdeckung von Straftaten dürfen Beschäftigtendaten nur verarbeitet werden, wenn dokumentierte tatsächliche Anhaltspunkte einen Verdacht begründen, die Verarbeitung erforderlich ist und die Interessen der Beschäftigten nicht überwiegen (§ 26 Abs. 1 S. 2 BDSG). Seit dem Urteil des EuGH vom 30. März 2023 (C-34/21) zu Art. 88 DSGVO ist umstritten, ob § 26 BDSG als eigenständige Rechtsgrundlage trägt; stützen und dokumentieren Sie die Verarbeitung deshalb zusätzlich nach Art. 6 Abs. 1 DSGVO.
Bei technischen Einrichtungen zur Verhaltens- oder Leistungskontrolle hat der Betriebsrat ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG).
Ist die private Nutzung von E-Mail erlaubt, ist die Auswertung heikler, weil private Inhalte betroffen sein können. Ob und unter welchen Voraussetzungen sie zulässig ist, klären Sie vorab mit der Datenschutz- und Arbeitsrechtsberatung; eine Richtlinie oder Betriebsvereinbarung zur privaten Nutzung schafft Klarheit.

Schweiz

Der Arbeitgeber darf Daten über Arbeitnehmende nur bearbeiten, soweit sie deren Eignung betreffen oder zur Durchführung des Arbeitsvertrags erforderlich sind (Art. 328b OR).
Die Bearbeitung muss zweckgebunden und verhältnismässig sein (Art. 6 DSG).
Überwachungssysteme, die das Verhalten am Arbeitsplatz überwachen sollen, dürfen nicht eingesetzt werden (Art. 26 ArGV 3). Sind Überwachungs- oder Kontrollsysteme aus anderen Gründen erforderlich, sind sie so zu gestalten, dass Gesundheit und Bewegungsfreiheit der Arbeitnehmenden nicht beeinträchtigt werden (Art. 26 Abs. 2 ArGV 3). Ob eine gezielte, anlassbezogene Auswertung im Einzelfall zulässig ist, klären Sie vorab mit der Datenschutz- und Arbeitsrechtsberatung.
Betroffene haben ein Auskunftsrecht; es kann bei überwiegenden Interessen eingeschränkt oder aufgeschoben werden (Art. 25, 26 DSG).

In beiden Ländern ist bei voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung nötig (Art. 35 DSGVO; Art. 22 DSG). Massenhafte Auswertungen von Postfächern sollten deshalb vorab geprüft und dokumentiert werden.

Grenzen und Risiken

Alpinum Solutions stellt Unternehmen und Kanzleien Legal- und Compliance-Fachkräfte für Review, Fallbearbeitung und Remediation bereit, über Staff Leasing oder Freelancing. Alpinum ist keine Kanzlei und führt keine Untersuchungen in eigener Verantwortung.
Wer selbst betroffen ist oder in einem Interessenkonflikt steht, darf die Untersuchung nicht leiten. Das gilt auch für Interim-Fachkräfte mit früheren Berührungspunkten zum Sachverhalt.
Fehler bei Beweissicherung und Datenschutz lassen sich später kaum korrigieren. Der Untersuchungsplan gehört an den Anfang.

Häufige Fragen zur internen Untersuchung

Dürfen E-Mails von Mitarbeitenden ausgewertet werden?

Ja, aber nur anlassbezogen und verhältnismässig. In Deutschland verlangt § 26 Abs. 1 S. 2 BDSG für die Aufdeckung von Straftaten dokumentierte Anhaltspunkte, Erforderlichkeit und eine Interessenabwägung; der Betriebsrat kann mitbestimmen. In der Schweiz begrenzen Art. 328b OR und Art. 6 DSG die Bearbeitung, und Verhaltensüberwachung ist nach Art. 26 ArGV 3 verboten. Suchbegriffe, Zeitraum und Personenkreis sollten vorab festgelegt werden.

Darf ein Interim-Team Hinweise aus der Meldestelle bearbeiten?

Ja, als unterstützende Personen der Meldestelle. Das HinSchG erlaubt, dass Personen, die die Meldestelle bei ihren Aufgaben unterstützen, die Identität der Beteiligten kennen (§ 8 Abs. 1). Voraussetzung sind klare Rollen, Vertraulichkeitsverpflichtungen und Zugriffe nur auf die zugewiesenen Fälle. Entscheide über Folgemassnahmen bleiben bei der Meldestelle und beim Unternehmen.

Wie schnell lässt sich ein Review- oder Fallteam aufbauen?

Bei Alpinum liegen ausgewählte Profile in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab. Den tatsächlichen Start bestimmen meist Konfliktprüfung, Vertraulichkeitsverpflichtungen und Zugänge zur Review-Plattform. Teilen Sie zunächst nur eine Beschreibung des Vorhabens; vertrauliche Falldaten gehören in freigegebene Austauschwege.

Kann eine Untersuchung remote durchgeführt werden?

Das Review lässt sich gut remote durchführen, wenn die Plattform es erlaubt und Downloads gesperrt sind. Interviews finden bei sensiblen Vorwürfen meist persönlich statt. Remote-, Vor-Ort- oder hybride Einsätze werden passend zum Fall vereinbart.

Nächster Schritt

Beschreiben Sie Anlass, Datenmenge, Sprachen, Zeitplan und gewünschte Rollen. Daraus ergibt sich, welche Aufgaben ein Interim-Team übernehmen kann.

Stand: 30. Oktober 2026.

Interne Untersuchungen: welche Unterstützung wofür geeignet ist