Ombudsperson, Hinweisgebersysteme und interne Untersuchungen

Das Hinweisgeberschutzgesetz vom 31. Mai 2023 verpflichtet Unternehmen mit in der Regel mindestens fünfzig Beschäftigten, interne Meldestellen einzurichten (§ 12 HinSchG), und schreibt nicht vor, wer sie betreibt. Die Beauftragung eines externen Rechtsanwalts als Ombudsperson oder Vertrauensanwalt ist eine verbreitete Gestaltung, die auch unsere Kanzlei für mehrere Unternehmen übernimmt. Sie wirft Fragen auf, die das klassische Berufsrecht nicht beantwortet, weil sein Bild vom parteiischen Interessenvertreter auf eine unparteiische Rolle nicht passt. Wer ein solches Amt übernimmt, muss die Rollen klären, bevor der erste Hinweis eingeht. Die Erfahrungen der Kanzlei damit beschreibt der Beitrag zur Korruptionsprävention durch externen Vertrauensanwalt. Ergänzende Informationen zu Aufgaben und Rollen bietet unser Portal zum externen Vertrauensanwalt.

Die Rolle und ihre gesetzliche Grundlage

Das Gesetz kennt interne Meldestellen beim Beschäftigungsgeber und externe Meldestellen des Bundes und der Länder, allen voran beim Bundesamt für Justiz. Die interne Meldestelle kann nach § 14 HinSchG eine beim Unternehmen beschäftigte Person betreiben, eine Organisationseinheit oder ein Dritter, und der Rechtsanwalt ist einer der Dritten, an die der Gesetzgeber gedacht hat. Die Meldestelle muss Meldungen mündlich oder in Textform ermöglichen, die Identität der hinweisgebenden Person vertraulich halten, den Eingang bestätigen, den Hinweis prüfen, Folgemaßnahmen ergreifen und Rückmeldung geben. Der Anwalt als Ombudsperson erfüllt diese Aufgaben im Auftrag des Unternehmens. Er ist nicht Behörde und nicht Ermittler, und er hat gegenüber Beschäftigten keine Befugnisse, die über die des Unternehmens hinausgehen. Die Ombudstätigkeit ist anwaltliche Tätigkeit, weil sie Hinweise rechtlich bewertet und das Unternehmen über Folgemaßnahmen berät, und deshalb unterliegt sie dem Berufsrecht, der Verschwiegenheit, der Kollisionsprüfung und der Berufshaftpflicht.

Abgrenzung zum externen Compliance Officer

Die anwaltliche Ombudstätigkeit und die Übernahme einer Compliance-Funktion können unterschiedliche Pflichtenlagen begründen. Maßgeblich sind die tatsächlich übernommenen Aufgaben, Informationsrechte und Handlungsmöglichkeiten. Die bloße Bezeichnung im Vertrag entscheidet weder die berufsrechtliche Einordnung noch abschließend über eine mögliche strafrechtliche Verantwortlichkeit. Bei der Übernahme zusätzlicher Kontroll- oder Abhilfepflichten ist deshalb zu prüfen, ob daraus eigenständige Verantwortungsbereiche entstehen und wie sie sich mit dem bisherigen Mandat vertragen.

Wer der Mandant ist

Die zentrale Frage lautet, wer der Mandant ist. Regelmäßig ist es das Unternehmen, das beauftragt, organisiert und bezahlt. Der Hinweisgeber ist nicht Mandant des Ombudsanwalts, auch wenn er das vertrauliche Gespräch sucht, und der Anwalt darf ihn nicht darin beraten, wie er seine Interessen gegenüber dem Unternehmen wahrt, weil er sonst beiden Seiten dient. Diese Zuordnung muss beim ersten Kontakt offengelegt werden, in der Beschreibung des Meldeverfahrens, auf der Website und im ersten Gespräch. Sonst entstehen Scheinmandate, aus denen später Pflichten abgeleitet werden, die niemand übernehmen wollte. Ein Hinweisgeber, der den Ombudsanwalt für seinen Anwalt hält, sagt ihm Dinge, die er dem Unternehmen nie sagen würde, und fühlt sich verraten, wenn der Anwalt sie weitergibt. Das Unternehmen umgekehrt muss wissen, dass der Ombudsanwalt ihm nicht alles weitergibt, was er erfährt, weil die Vertraulichkeit gegenüber dem Hinweisgeber Teil seines Auftrags ist. Beide Erwartungen lassen sich nur durch eine Vereinbarung ausgleichen, die vorab regelt, was der Anwalt weitergibt und was nicht.

Die Verschwiegenheit in zwei Richtungen

Die Verschwiegenheit wirkt in zwei Richtungen. Gegenüber dem Hinweisgeber ist zu klären, welche Inhalte in welcher Form an das Unternehmen gehen und ob seine Identität geschützt bleibt. § 8 HinSchG verpflichtet die Meldestelle, die Identität der hinweisgebenden Person vertraulich zu behandeln und nur den Personen zugänglich zu machen, die für die Entgegennahme und Bearbeitung zuständig sind, mit gesetzlich geregelten Ausnahmen, etwa für das Strafverfahren, in dem die Strafverfolgungsbehörden die Offenlegung verlangen. Der Ombudsanwalt, der die Identität an das Unternehmen weitergibt, verletzt das Gesetz und seine Vereinbarung mit dem Hinweisgeber, und die Meldung verliert für den Hinweisgeber ihren Sinn. Gegenüber dem Unternehmen ist zu regeln, was der Anwalt aus dem Vertrauensverhältnis zum Hinweisgeber nicht weitergeben darf, obwohl das Unternehmen sein Auftraggeber ist. Wer Geheimnisherr ist, richtet sich nach der geschützten Vertrauensbeziehung. Der Bundesgerichtshof hat für den Wirtschaftsprüfer einer Gesellschaft entschieden, dass die Entbindung von der Schweigepflicht für die juristische Person durch ihre zuständigen Organe erklärt wird, in der Insolvenz durch den Insolvenzverwalter (BGH, Beschluss vom 27. Januar 2021 – StB 44/20). Entschieden ist damit, wer über das Mandatsgeheimnis der Gesellschaft verfügt, nicht die Freigabe aller Geheimnisse Dritter, die in einem Mandat anfallen. Auf die Ombudsperson übertragen spricht das dafür, dass das Unternehmen über das verfügt, was der Anwalt in seinem Auftrag erarbeitet hat, nicht über das, was der Hinweisgeber ihm anvertraut hat. Das ist ein Argument, keine entschiedene Frage. Das Hinweisgeberschutzgesetz nimmt in § 5 Abs. 2 Nr. 3 die anwaltliche Verschwiegenheit aus seinem Anwendungsbereich aus, sodass ein Anwalt, der als Hinweisgeber Mandatsgeheimnisse meldet, nicht geschützt ist. Einen allgemeinen Rechtfertigungsgrund für Whistleblower kennt das Strafrecht nicht. Außerhalb spezieller Normen wie § 5 GeschGehG bleibt der Notstand des § 34 StGB, und der verlangt regelmäßig den Versuch interner Abhilfe, bevor Außenstehende erfahren, was im Unternehmen geschieht.

Verfahrenspflichten und Ombudsvertrag

Betreibt der Anwalt die Meldestelle, treffen ihn die Verfahrenspflichten des § 17 HinSchG. Er muss den Eingang der Meldung binnen sieben Tagen bestätigen, prüfen, ob der gemeldete Verstoß in den Anwendungsbereich des Gesetzes fällt, den Kontakt mit der hinweisgebenden Person halten, die Stichhaltigkeit prüfen, wenn nötig weitere Informationen erbitten, angemessene Folgemaßnahmen ergreifen und der hinweisgebenden Person binnen drei Monaten Rückmeldung über geplante oder ergriffene Folgemaßnahmen geben. Die Meldungen sind nach § 11 HinSchG zu dokumentieren und in der Regel drei Jahre nach Abschluss des Verfahrens zu löschen. Diese Pflichten gehen über das hinaus, was ein Anwalt in einem gewöhnlichen Mandat schuldet, und sie sind sanktionsbewehrt, denn das Unternehmen riskiert bei Verstößen ein Bußgeld nach § 40 HinSchG. Der Ombudsvertrag mit dem Unternehmen sollte deshalb regeln, welche Aufgaben der Anwalt übernimmt, welche Meldekanäle er einrichtet, wie er die Identität des Hinweisgebers schützt, was er dem Unternehmen berichtet, in welcher Form und an wen, welche Folgemaßnahmen in seiner Verantwortung liegen und welche in der des Unternehmens, wie die Vergütung bemessen wird, nach Pauschale oder Aufwand, und welche Folgemandate ausgeschlossen sind. Die Vergütung darf nicht vom Ergebnis der Prüfung abhängen, weil das die Unparteilichkeit beschädigt, und sie sollte so bemessen sein, dass der Anwalt vom Unternehmen nicht wirtschaftlich abhängig wird.

Interessenkonflikte bei Folgemandaten und das Sonderwissen

Wird aus einem Hinweis ein Ermittlungsverfahren, entstehen die Kollisionsrisiken, die das Kapitel zum Interessenkonflikt beschreibt. Ein Anwalt, der als Ombudsperson von Pflichtverletzungen eines Geschäftsführers erfahren hat, kann später nicht ohne Weiteres den Geschäftsführer verteidigen oder das Unternehmen gegen ihn vertreten. In beiden Fällen dient er in derselben Rechtssache einer Partei, nachdem er von der anderen Seite Informationen erhalten hat. § 45 BRAO versagt die Tätigkeit in Angelegenheiten, mit denen der Anwalt zuvor außerhalb seiner anwaltlichen Tätigkeit beruflich befasst war, und wer die Ombudstätigkeit für nichtanwaltlich hält, landet dort. Wer sie mit diesem Kapitel als anwaltliche Tätigkeit einordnet, landet beim Verbot der Vertretung widerstreitender Interessen. Das Ergebnis ist dasselbe. Ob der Ombudsanwalt für Hinweisgeber tätig werden darf, für Dritte, die ein Hinweis betrifft, ob er interne Ermittlungen führen, das Unternehmen im Bußgeldverfahren nach den §§ 30 und 130 OWiG verteidigen, Mitarbeiter oder Vorstände vertreten, mehrere verbundene Unternehmen betreuen oder allgemeine Compliance-Beratung leisten darf, ist jedes Mal eine Frage derselben Rechtssache und des Sonderwissens, das er aus der Ombudstätigkeit mitbringt. Das Sonderwissen des Zeugenbeistands ist die nächste Verwandte dieses Problems. Deshalb gehört in den Ombudsvertrag, welche Folgemandate ausgeschlossen sind und wie mit Kenntnissen aus Hinweisen umgegangen wird. Und die Kanzlei, die mehrere Unternehmen als Ombudsperson betreut, muss prüfen, ob diese Unternehmen zueinander in Beziehung stehen, weil ein Hinweis über das eine das andere betreffen kann.

Ein Konflikt kann etwa entstehen, wenn ein Hinweis die Qualität eines Compliance-Prozesses betrifft, den die später untersuchende Person selbst entworfen oder überwacht hat. Dann genügt ein allgemeiner Vertraulichkeitshinweis nicht. Zu prüfen sind die konkreten Mandanteninteressen, das aus dem Ombudsmandat erlangte Wissen, die anwaltlichen Tätigkeitsverbote und die Unabhängigkeitsanforderungen an die Meldestelle. Je nach Fall kann eine andere Person oder eine andere Kanzlei mit der Untersuchung zu betrauen sein.

Interne Untersuchungen

Von der Ombudstätigkeit zu unterscheiden ist die interne Untersuchung, bei der eine Kanzlei im Auftrag des Unternehmens einen Sachverhalt aufklärt, Mitarbeiter befragt, Daten auswertet und einen Bericht schreibt. Untersuchungshandlungen gegen Beschäftigte berühren Arbeits- und Datenschutzrecht und gehören nicht zu den Aufgaben, die ein Ombudsanwalt stillschweigend mitübernimmt. Die Befragung eines Mitarbeiters durch Unternehmensanwälte ist keine Vernehmung. Der Mitarbeiter hat kein Schweigerecht aus der Strafprozessordnung, arbeitsrechtlich aber eine Auskunftspflicht, und er sollte erfahren, welche Rolle der Fragende hat und dass seine Angaben in einem Strafverfahren gegen ihn verwendet werden können. Der Anwalt, der ihn befragt, muss klarstellen, dass er das Unternehmen vertritt und nicht den Mitarbeiter, und er darf ihn nicht davon abhalten, sich anwaltlich beraten zu lassen. Bei anwaltlich geführten internen Ermittlungen stellt sich schließlich die Beschlagnahmefrage. Das Bundesverfassungsgericht hat sie in der Sache Jones Day zum Nachteil der Kanzlei beantwortet. Der Schutz der Untersuchungsunterlagen hängt danach von der verfahrensrechtlichen Stellung des Unternehmens ab, und weil das Unternehmen dort nicht Beschuldigter war, griff der Beschlagnahmeschutz des § 97 StPO nicht, der am Vertrauensverhältnis zum Beschuldigten hängt, nicht am Anwaltstitel (BVerfG, Beschluss vom 27. Juni 2018 – 2 BvR 1405/17). Eine allgemeine Beschlagnahmefreiheit für alles, was in einer Kanzlei liegt, gibt es nicht. Die Untersuchungsunterlagen einer Kanzlei können deshalb beschlagnahmt werden, solange das Unternehmen nicht selbst die Stellung eines Beschuldigten hat, und wer eine Untersuchung führt, sollte das Unternehmen darüber aufklären, bevor die Ergebnisse aufgeschrieben werden. Für die Ombudsperson gilt nichts anderes. Was ein Hinweisgeber ihr meldet, ist nicht schon deshalb vor dem Zugriff der Ermittler geschützt, weil ein Anwalt es entgegennimmt. Welche praktischen Folgen das hat, vor allem für die Verschlüsselung der Daten, behandelt ein Beitrag aus der Kanzlei (Rudolph, Verschlüsselung von Daten in der Anwaltskanzlei. Praktische Konsequenzen nach Jones Day am Beispiel externer Compliance-Ombudspersonen, StraFo 2019, 57 ff.), und die Kanzleiseite zur Beschlagnahme beim Compliance-Rechtsanwalt nach der Jones-Day-Entscheidung. Für die Unternehmensverteidigung im Bußgeldverfahren nach den §§ 30 und 130 OWiG gilt das Trennungsprinzip, das der gescheiterte Entwurf eines Verbandssanktionengesetzes vorsah, als Empfehlung weiter. Wer untersucht, sollte nicht verteidigen, und beides in derselben Kanzlei verlangt organisatorische Vorkehrungen, die das Kapitel zum Interessenkonflikt beschreibt.

Interessenkonflikt und Parteiverrat