Unternehmensstrafrecht.

Das VbVG: ein eigenes Strafrechtsregime für Verbände

Das Verbandsverantwortlichkeitsgesetz (VbVG) ist seit 1. Jänner 2006 in Kraft und hat das österreichische Strafrecht um eine Dimension erweitert, die es zuvor nicht kannte: die Strafbarkeit der juristischen Person selbst. Anwendungsbereich nach § 1 VbVG sind juristische Personen des Privatrechts, also insbesondere GmbH und AG, Personengesellschaften des Unternehmensrechts wie OG und KG, die Europäische wirtschaftliche Interessenvereinigung (EWIV), Genossenschaften, Privatstiftungen und Vereine. Ausgenommen bleiben nach § 1 Abs. 2 VbVG Bund, Länder, Gemeinden und andere juristische Personen des öffentlichen Rechts, soweit sie hoheitlich handeln. Die Einschränkung ist wichtig: Eine Gemeinde als Bauträgerin oder ein Land als Eigentümerin einer Beteiligungsgesellschaft kann sehr wohl Adressat eines VbVG-Verfahrens sein, sobald sie nicht hoheitlich tätig wird.

Die Voraussetzungen der Verantwortlichkeit sind in § 3 Abs. 1 VbVG doppelt verankert: Der Verband haftet für Straftaten, die entweder zu seinen Gunsten begangen wurden, in der Praxis nahezu jede umsatz- oder gewinnsteigernde Handlung, oder durch die Pflichten verletzt wurden, die den Verband treffen. Die zweite Alternative erfasst typischerweise Aufsichts- und Sorgfaltspflichten im Arbeitnehmerschutz, im Steuerrecht, im Kartellrecht und im Datenschutz. Für die Verteidigung entscheidend: Es ist nicht erforderlich, dass der Verband wirtschaftlich profitiert hat, der bloße Zweck, den Verband zu begünstigen, reicht. Umgekehrt kann ein Mitarbeiter, der sich privat bereichert und dem Verband schadet (klassische Untreue), eine VbVG-Haftung nicht begründen, soweit keine verbandsbezogene Pflicht gleichzeitig verletzt wurde.

Systematisch unterscheidet sich die Verbandsverantwortlichkeit grundlegend vom Individualstrafrecht. Der Verband handelt nicht und kann keine Schuld im klassischen Sinn tragen. Das VbVG arbeitet deshalb mit einer Zurechnungslogik: Die Tat einer natürlichen Person wird dem Verband zugerechnet, wenn bestimmte strukturelle Voraussetzungen vorliegen. Nicht der Vorsatz des Verbands steht zur Prüfung, sondern der Vorsatz oder die Fahrlässigkeit des Entscheidungsträgers oder Mitarbeiters sowie, im Mitarbeiterfall, der Organisationszustand des Verbands. Diese duale Konstruktion macht das VbVG anspruchsvoller als viele ausländische Corporate-Liability-Regime und verlangt von der Verteidigung, sowohl die individuelle Tat als auch die Organisationssphäre zu bearbeiten.

Verfahrensrechtlich führt die Staatsanwaltschaft das VbVG-Verfahren, bei den einschlägigen Wirtschafts- und Korruptionsmaterien die WKStA nach § 20a StPO, sonst die örtliche Staatsanwaltschaft. § 15 VbVG regelt das Verhältnis zum Individualverfahren: Verband und natürliche Person werden grundsätzlich im gemeinsamen Verfahren verfolgt, getrennte Verfahren sind zulässig, wenn es der Übersicht dient. In der Praxis bedeutet das zwei Verteidigungsstränge am selben Aktendeckel, einen für den Entscheidungsträger, einen für den Verband, mit allen Interessenkonflikten, die daraus entstehen können. Für den Verband agiert nach § 16 VbVG ein Vertreter, regelmäßig das Organ, das nicht selbst beschuldigt ist; bei vollständiger Überlappung muss ein besonderer Vertreter bestellt werden. Die enge Abstimmung zwischen den Verteidigern ist zwingend, die formale Trennung der Mandate ebenso.

Zurechnung: Entscheidungsträger und Organisationsmangel

Die Zurechnung einer Tat an den Verband erfolgt nach § 3 VbVG über zwei Schienen. § 3 Abs. 2 VbVG erfasst die Tat eines Entscheidungsträgers: Wer hier rechtswidrig und schuldhaft handelt, begründet ohne weiteres die Verbandsverantwortlichkeit. Die Definition des Entscheidungsträgers in § 2 Abs. 1 VbVG ist weit und in der Praxis regelmäßig Streitpunkt. Erfasst sind Geschäftsführer und Vorstände, Prokuristen, Mitglieder des Aufsichtsrats, Verwaltungsrats oder eines anderen Kontrollorgans sowie hier wird es offen, „andere Personen, die sonst maßgeblichen Einfluss auf die Geschäftsführung des Verbands ausüben". Der OGH hat diese Figur in mehreren Entscheidungen auf den faktischen Geschäftsführer und auf leitende Angestellte mit echter Kontrollbefugnis erstreckt (13 Os 87/18k u.a.), ein Abteilungsleiter mit Budgetverantwortung und Zeichnungsbefugnis kann sehr wohl Entscheidungsträger sein, ein Vertriebsmitarbeiter ohne Leitungsmacht nicht.

Für die Verteidigung lohnt sich die genaue Analyse der internen Organisationsstruktur: Wer zeichnet, wer budgetiert, wer entscheidet über Einstellungen, wer berichtet wem? Je weniger Entscheidungsmacht beim Beschuldigten verankert war, desto eher lässt sich die Zurechnungsschiene des § 3 Abs. 2 VbVG angreifen. Gelingt dies, bleibt der Anklage nur die zweite Schiene und die ist deutlich angreifbarer. Umgekehrt: Wenn die Anklage einen Entscheidungsträger substanziiert darstellt und dessen Tat zu Gunsten des Verbands oder unter Verletzung einer Verbandspflicht erfolgt ist, ist die Zurechnung praktisch nicht mehr zu vermeiden, dann verlagert sich die Verteidigung auf die Frage der Strafzumessung und der Verbandsgeldbuße.

Die zweite Zurechnungsschiene ist § 3 Abs. 3 VbVG, die Mitarbeitertat in Verbindung mit einem Organisationsmangel. Ein Mitarbeiter ist nach § 2 Abs. 2 VbVG jeder, der auf Grund eines Arbeits-, Lehr- oder sonstigen Ausbildungsverhältnisses, eines freien Dienstverhältnisses, einer Arbeitskraefteüberlassung oder auf Grund einer ehrenamtlichen Tätigkeit für den Verband tätig ist. Die Mitarbeitertat begründet die Verbandsverantwortlichkeit nur, wenn entweder ein Entscheidungsträger selbst rechtswidrig oder schuldhaft durch die Außerachtlassung gebotener und zumutbarer Sorgfalt die Begehung erheblich erleichtert oder nicht verhindert hat. Das ist der zentrale Hebel: ohne Organisationsmangel keine Zurechnung. Die Fahrlässigkeit, die zur Zurechnung genügt, betrifft die Strukturen, nicht die einzelne Tat.

Was „Organisationsmangel" konkret ist, bleibt eine Rechtsfrage mit Tatsacheneinschlag. Der OGH hat in Leitentscheidungen, beginnend mit 13 Os 87/18k und fortgeführt in weiteren Erkenntnissen zur Unternehmenssphäre, folgendes Muster gefestigt: Es fehlt an Risikoanalysen für die Bereiche, in denen sich die Tat ereignet; es fehlen Schulungen und Dokumentation; es fehlen Meldewege; frühere Hinweise wurden nicht aufgegriffen; die Kontrolldichte war der Risikolage nicht angemessen; oder es wurden Aufsichtspflichten delegiert, ohne dass der Delegierende seine Auswahl- und Überwachungspflicht wahrgenommen hätte. Wer all das belegen kann, bricht die Zurechnungsschiene bereits auf Tatbestandsebene. Wer es nicht kann, verliert den ersten Kampf im Verfahren ohne Not.

Die Abgrenzung zum klassischen Strafverfahren gegen die handelnde Person ist dabei keine formale: Beide Verfahren laufen in aller Regel parallel, mit denselben Akten und Sachverständigen, aber mit unterschiedlichen Erfolgsfragen. Der Entscheidungsträger verteidigt sich gegen den individuellen Vorwurf, der Verband gegen die Zurechnungsvoraussetzungen und, nachgelagert, die Strafzumessung. Dabei kann ein Freispruch des Individuums dem Verband helfen, ihn aber nicht zwingend retten: Wird die Tat einem Mitarbeiter zugerechnet, dessen Identität offen bleibt, oder wird ein Entscheidungsträger aus persönlichen Gründen freigesprochen (etwa wegen Verjährung oder Unzurechnungsfähigkeit), bleibt die Verbandshaftung dennoch möglich. Eng verwandt ist deshalb unser Schwerpunkt Wirtschaftsstrafrecht, in dem wir die Individualverteidigung für Geschäftsführer, Vorstände und leitende Angestellte ausführlich behandeln.

Verbandsgeldbuße: Tagsätze, Bemessung, Strafzumessung

Die einzige Sanktion des VbVG ist die Verbandsgeldbuße nach § 4 VbVG. Sie folgt dem Tagsatzsystem des Individualstrafrechts, ist aber grundlegend anders bemessen. Der Tagsatz beträgt nach § 4 Abs. 4 VbVG mindestens 50 und höchstens 10.000 Euro; er wird nach der Ertragslage des Verbands im Zeitpunkt des Urteils bestimmt, wobei auf die konsolidierte wirtschaftliche Lage abzustellen ist, nicht auf den formalen Jahresabschluss einer Einzelgesellschaft, sondern auf die reale Ertragskraft unter Einbeziehung von Konzernbeziehungen. Das schafft Spielräume für die Verteidigung: Eine Tochtergesellschaft mit schwacher Ertragslage, aber starker Konzernmutter lässt sich nicht automatisch mit Maximaltagsätzen belegen; umgekehrt kann eine ertragsstarke Mittelstandsgesellschaft nicht über eine dünne formale Bilanz abgeschirmt werden.

Die Tagsatzanzahl richtet sich nach der Strafdrohung der Grundtat (§ 4 Abs. 1 und 2 VbVG) und ist nach oben scharf gestaffelt. Bei Straftaten mit Strafdrohung bis zu einem Jahr Freiheitsstrafe liegt die Obergrenze bei 85 Tagsätzen, bei Strafdrohung bis zu drei Jahren bei 130, bei Strafdrohung bis zu fünf Jahren bei 180, bei Strafdrohung bis zu zehn Jahren bei 360 und bei darüber hinausgehenden Strafdrohungen einschliesslich lebenslanger Freiheitsstrafe bei bis zu 600 Tagsätzen; in besonders schweren Fällen kann nach § 4 Abs. 2 VbVG bis zu 850 Tagsätze verhängt werden. Das rechnerische Maximum liegt damit bei 8,5 Millionen Euro pro Verfahren. In der Praxis werden diese Werte selten ausgeschöpft, die tatsächliche Bemessung bewegt sich bei mittelständischen Unternehmen meist im unteren bis mittleren dreistelligen Bereich pro Tagsatz und bei Tagsatzanzahlen im niedrigen zwei- bis dreistelligen Bereich. Wer hier argumentiert, argumentiert immer mit konkreten Zahlen aus der Ertragsrechnung des Verbands.

Die Strafzumessung des § 5 VbVG führt eigene Milderungs- und Erschwerungsgründe ein, die über die allgemeinen Regeln des StGB hinausgehen. Als Milderungsgrund (§ 5 Abs. 2 VbVG) wirken insbesondere: ein vor der Tat bestehendes, funktionierendes Compliance-System, die erhebliche Beitragsleistung zur Wahrheitsfindung (Kooperation mit der Staatsanwaltschaft, freiwillige Herausgabe von Unterlagen), die Wiedergutmachung des Schadens, die ernstliche Bemühung um Wiedergutmachung auch ohne Erfolg, die Einführung wirksamer organisatorischer, technischer oder personeller Maßnahmen nach der Tat sowie die Meldung der Tat an die zuständige Behörde durch den Verband selbst. Erschwerend (§ 5 Abs. 3 VbVG) sind unter anderem wiederholte Begehung, gezieltes Verheimlichen, das Ausnutzen struktureller Schwächen und die Behinderung der Aufklärung. Eine gut vorbereitete Verteidigung bringt diese Faktoren nicht erst in der Hauptverhandlung vor, sondern dokumentiert sie lange vorher, jede Schulung, jeder Audit, jede Prozessänderung nach dem Vorfall ist ein potenzieller Milderungsgrund.

Die Verbandsgeldbuße kann, wie eine Individualstrafe, bedingt oder teilbedingt nachgesehen werden (§ 6 VbVG). Voraussetzung ist eine günstige Prognose; die Probezeit beträgt ein bis drei Jahre. Ergänzend kann das Gericht nach § 8 VbVG Weisungen erteilen, die auf die Ursachen der Tat zielen: Aufbau oder Ausbau eines Compliance-Systems, Einführung bestimmter Kontrollen, regelmäßige Berichterstattung an Bewährungshelfer oder externe Prüfer, personelle Umstrukturierungen. Weisungen sind das eigentlich kreative Instrument des VbVG, sie erlauben maßgeschneiderte Auflagen, die dem Verband zugleich Chance und Verpflichtung sind. Wer die Weisungslage aktiv mitgestaltet, erhält regelmäßig mildere Tagsatzzahlen und bedingte Nachsicht.

Schließlich die Diversion nach §§ 18 und 19 VbVG. Im VbVG-Verfahren ist der Rücktritt von der Verfolgung auch ohne Hauptverhandlung möglich, sofern die Schuld nicht als schwer anzusehen ist und die Erledigung geeignet erscheint, den Verband zu ordnungsgemäßem Verhalten anzuhalten. Als diversionelle Maßnahmen kommen insbesondere die Zahlung eines Geldbetrags, die Erbringung gemeinnütziger Leistungen (selten), eine Probezeit mit Auflagen sowie, dem VbVG eigen, die Einführung oder Anpassung organisatorischer Maßnahmen in Betracht. Gerade mittelständische Unternehmen können so ein VbVG-Verfahren ohne Verurteilung und ohne Eintrag in die Strafregister-Verbandsdatei beenden, zum Preis eines dokumentierten Compliance-Aufbaus, den sie ohnehin brauchen.

Internal Investigations: zwischen Aufklärungspflicht und Selbstbelastung

Eine interne Untersuchung beginnt selten geplant. Auslöser ist meist ein Hinweis aus dem eigenen Haus, über einen anonymen Kanal, einen besorgten Mitarbeiter, einen Betriebsratskontakt oder eine Whistleblower-Meldung nach HSchG. Hinzu kommen behördliche Anfragen, Presseberichte, Audit-Feststellungen der Abschlussprüfer, Meldungen von Geschäftspartnern und, zunehmend, Anfragen der Finanzmarktaufsicht, der Wettbewerbsbehörde oder der Datenschutzbehörde. Der erste Schritt ist in jedem Fall eine Triage: Was wird genau behauptet, wie verdichtet ist die Informationslage, welches Risiko steht im Raum? Nur auf dieser Basis lässt sich entscheiden, ob eine formelle interne Untersuchung geboten ist, eine einfache Sachverhaltsaufklärung ausreicht oder sofort externe Stellen einzubeziehen sind.

Der Ablauf einer ordentlichen Internal Investigation folgt einem festen Muster, das sich über Jahre in der Praxis verfestigt hat. Am Anfang steht die Mandatierung durch das zuständige Organ, Geschäftsführung oder Aufsichtsrat und die klare Definition des Untersuchungsgegenstands. Dann die Beweissicherung: Sicherung elektronischer Daten (E-Mail, Kollaborationssysteme, ERP), physischer Dokumente, Zutrittsprotokolle, Videoaufzeichnungen. Erst danach die Mitarbeiterinterviews, in aller Regel beginnend mit Aussenstehenden und endend mit den am stärksten involvierten Personen. Parallel laufen Datenauswertung, Forensik und, bei finanziellen Sachverhalten, die Einbindung eines Wirtschaftsprüfers. Das gesamte Vorgehen ist zu dokumentieren; ein Untersuchungsbericht fasst Feststellungen, Bewertung und Empfehlungen am Ende zusammen.

Die Rechtsstellung der befragten Mitarbeiter ist das heikelste Thema jeder internen Untersuchung. Arbeitsrechtlich bestehen nach der Rechtsprechung und Lehre weitgehende Auskunftspflichten des Arbeitnehmers gegenüber dem Arbeitgeber, solange sich die Fragen auf den dienstlichen Tätigkeitsbereich beziehen und keine ungerechtfertigte Belastung bedeuten. Strafrechtlich gilt das Aussageverweigerungsrecht des § 157 Abs. 1 Z 1 StPO, sobald die Person in den Kreis potenziell Beschuldigter gerät. Das Spannungsfeld ist real: Verweigert der Mitarbeiter, droht dem Unternehmen die Hypothese unzureichender Aufklärung; redet er, können seine Aussagen später in einem Strafverfahren gegen ihn oder gegen Kollegen verwertet werden. Eine saubere Interviewdokumentation mit expliziten Hinweisen auf Rechte und Pflichten, gegebenenfalls unter Beiziehung eines Rechtsbeistands des Mitarbeiters, ist der einzige professionelle Weg durch dieses Dilemma.

Wesentlich ist der Beschlagnahmeschutz. Seit der OGH-Entscheidung 14 Os 39/23z ist endgültig klargestellt: Dokumente aus internen Untersuchungen sind nicht automatisch anwaltlich geschützt. Der Schutz besteht nur, soweit die Unterlagen einem Rechtsanwalt zur Wahrung des Mandantenverhältnisses anvertraut sind und die Erstellung tatsächlich Teil anwaltlicher Berufsausübung war. Interviewprotokolle, die durch eine unternehmensinterne Complianceabteilung erstellt wurden, fallen regelmäßig nicht darunter; dasselbe gilt für reine Forensikberichte. Wer Internal Investigations vor einer potenziellen Beschlagnahme schützen will, muss sie von Anfang an unter anwaltlicher Leitung führen, die Unterlagen in der Kanzlei verwahren und für die Erstellung anwaltlicher Berufspflichten (§ 9 RAO) dokumentieren. Fehlt das, greift nur der allgemeine Aussonderungsantrag nach § 112 StPO, ein deutlich schwächerer Schutz.

Die Frage, wann und wie man mit der Staatsanwaltschaft oder der WKStA kooperiert, entscheidet oft über Strafmaß und Reputation. § 5 Abs. 2 VbVG nennt die Kooperation ausdrücklich als Milderungsgrund, aber Kooperation heisst nicht vollständige Preisgabe. Die Verteidigung prüft, welche Informationen sich ohne Selbstbelastung offenlegen lassen, welche unter dem Schutz der Unschuldsvermutung bleiben müssen und zu welchem Zeitpunkt die Kontaktaufnahme mit der Behörde strategisch sinnvoll ist. Flankierend gilt seit 2023 das HinweisgeberInnenschutzgesetz (HSchG), das Verbänden mit 50 oder mehr Mitarbeitern die Einrichtung interner Meldekanäle vorschreibt (§ 13 HSchG), den Hinweisgeber vor Vergeltungsmaßnahmen schützt (§ 20 HSchG) und klare Fristen für die Rückmeldung an den Hinweisgeber setzt (drei Monate, § 15 HSchG). Das HSchG ist damit doppelt relevant: als eigene Compliance-Pflicht und als Auslöser jeder zweiten Internal Investigation der letzten zwei Jahre.

Compliance als Verteidigungsfaktor und Präventionsinstrument

Ein funktionierendes Compliance-Management-System (CMS) ist der wichtigste einzelne Faktor der Unternehmensverteidigung. Nicht weil es formal im VbVG genannt wäre, es ist es nicht, sondern weil es auf zwei Ebenen wirkt. Zum einen bricht es auf Tatbestandsebene die Zurechnungsschiene des § 3 Abs. 3 Z 2 VbVG: Wo ein Entscheidungsträger die gebotene und zumutbare Sorgfalt gerade nicht außer Acht gelassen hat, fehlt die Organisationsmangel-Voraussetzung. Zum anderen wirkt es im Strafzumessungsbereich als qualifizierter Milderungsgrund nach § 5 Abs. 2 VbVG. Beide Effekte setzen voraus, dass das System nicht auf dem Papier existiert, sondern nachweisbar gelebt wird, Dokumentation ist hier nicht Selbstzweck, sondern Beweismittel.

Die inhaltlichen Bausteine sind seit den mittleren 2010er-Jahren fachlich konsolidiert. Kern ist die regelmäßige Risikoanalyse, die konkrete Risikobereiche des jeweiligen Unternehmens identifiziert, bei einem Bauträger andere als bei einem Softwarehaus, bei einem international agierenden Unternehmen andere als bei einem regionalen Handwerksbetrieb. Darauf aufbauend: ein Code of Conduct mit klaren Verhaltensregeln, ein strukturiertes Schulungsprogramm für Führungskraefte und Mitarbeiter, Meldekanäle nach HSchG, ein Verfahren zur Aufklärung und Sanktionierung von Verstößen, ein regelmäßiges Management-Review und die Dokumentation des gesamten Systems. Ohne Dokumentation ist das System vor Gericht wertlos, nicht weil das Gesetz sie verlangt, sondern weil sich sonst der Vollzug nicht beweisen lässt.

Als Orientierungsrahmen haben sich die Normen ISO 37301 (Compliance-Management-Systeme) und ISO 37001 (Antikorruptions-Management-Systeme) etabliert. Keine der beiden Normen ist in Österreich gesetzlich verpflichtend, beide liefern aber eine anerkannte Struktur, die vor Gericht schwerer anzugreifen ist als ein selbst gestricktes System. Für Unternehmen mit Auslandsbezug spielen zusätzlich die Corporate Sustainability Due Diligence Directive (CSDDD/CS3D) der EU, die künftige österreichische Umsetzung des Lieferkettensorgfaltspflichtgesetzes, das deutsche LkSG sowie berufsspezifische Regelwerke wie das FM-GwG, das Sanktionengesetz 2010, das Kartellgesetz und die UWG-Vorgaben zu wettbewerbskonformem Verhalten eine Rolle. All diese Regelwerke überschneiden sich mit strafrechtlichen Vorsorgepflichten und sind bei der Gestaltung des CMS mitzudenken.

In der Verteidigung zählt die Dokumentation als Beweismittel: Schulungsnachweise mit Teilnehmerlisten und Schulungsinhalten, Trainings-Protokolle, Risikoanalysen mit Datum und Verantwortlichem, Audit-Berichte, Protokolle der Compliance-Committee-Sitzungen, E-Mail-Verkehr zu aufgegriffenen Hinweisen, dokumentierte Sanktionsentscheidungen bei früheren Verstößen. Ein Gericht, das diese Dokumentationslage sieht, bewertet die Organisationssphäre des Verbands wesentlich günstiger als bei leeren Ordnern. Umgekehrt: Ein „Compliance-System", das erst nach Bekanntwerden des Ermittlungsverfahrens plötzlich auftaucht, wirkt nicht mildernd, sondern verdächtig. Der zeitliche Nachweis der Etablierung und des Vollzugs ist deshalb genauso wichtig wie der Inhalt. Eng verwandt sind die Amts- und Korruptionsdelikte, die wir im Schwerpunkt Amtsdelikte ausführlich behandeln, Compliance-Systeme müssen genau dort besonders scharf greifen, wo öffentliche Auftraggeber, Subventionen oder Vergabeverfahren berührt sind.

Ein gutes Compliance-System entsteht nicht in der Strafverteidigung, sondern vorher. Wir begleiten Aufbau, Review und regelmäßige Aktualisierung gemeinsam mit dem unternehmensrechtlichen und gesellschaftsrechtlichen Team der Brandauer Rechtsanwälte, die Kanzlei deckt Unternehmensrecht, M&A, Gesellschaftsrecht und Bauträgerrecht seit Jahrzehnten ab und ein CMS lässt sich nur dann sauber zuschneiden, wenn die zivilrechtlichen Strukturen und die strafrechtlichen Risiken gemeinsam gedacht werden. Für deutsche Konzernmütter mit österreichischen Töchtern koordinieren wir die Anforderungen zwischen deutschem und österreichischem Recht und verknüpfen interne Untersuchungen bei grenzüberschreitenden Sachverhalten. Und wenn es eng wird, Hausdurchsuchung, Vorladung, WKStA-Ermittlung, greift die präventive Arbeit und die Verteidigung ineinander. Anknüpfungspunkte zu Individualdelikten finden sich in unserem Schwerpunkt Vermögensdelikte, der Betrug, Untreue, Veruntreuung und die klassischen wirtschaftsstrafrechtlichen Kernnormen aus Sicht der natürlichen Person behandelt.