Internal Investigation in a Startup: What to Do When the Allegation Is on the Table
Interne Ermittlung im Startup: Was tun, wenn der Vorwurf im Raum steht
(English version below.)
TL;DR — Wenn im Startup ein ernstzunehmender Vorwurf aufkommt — Betrug, sexuelle Belästigung, Datenschutzverletzung, Bestechung, Selbstbedienung — entscheiden die ersten 72 Stunden mehr als alles danach. Nicht die Aufklärung selbst, sondern wie du sie strukturierst. Falsche Reihenfolge, falsche Personen, falsche Dokumentation — und aus dem ursprünglichen Vorwurf werden drei: gegen den Beschuldigten, gegen die Untersuchung, gegen dich als Geschäftsführer. Geschrieben von einem Founder-CEO, der als Anwalt und als Betroffener durch mehrere interne Ermittlungen gegangen ist.
Kurzantwort
Eine interne Ermittlung im Startup ist keine Managemententscheidung. Sie ist ein rechtlicher Prozess mit klar definierten Pflichten, Fristen und Beweissicherungs-Standards. Als Geschäftsführer haftest du persönlich, wenn du sie falsch aufsetzt — oder gar nicht aufsetzt, obwohl du hättest müssen. Die erste Frage ist nicht "was ist passiert?", sondern "wer darf davon wissen, wer muss außen vor bleiben, und wer führt formal die Untersuchung?"
Warum die meisten Founder das falsch angehen
Der Standard-Reflex ist: "Wir setzen uns zusammen und reden das durch." Das ist unter Freunden okay. Bei einem echten Vorwurf ist es die Vorlage für einen zweiten, größeren Skandal. Drei typische Fehler:
- Der CEO fragt den Beschuldigten direkt. Was subjektiv nach Fairness aussieht, ist prozessual verheerend: Beweismittel werden kontaminiert, der Beschuldigte kann Belege löschen, andere Zeugen werden vorgewarnt.
- Der CEO informiert das Team, "damit alle Bescheid wissen". Sofortige Meldepflicht, Vorverurteilung, Rufschaden — alles vor dem ersten belastbaren Faktum. Wenn der Vorwurf sich als haltlos herausstellt, hat der Beschuldigte gegen euch einen Anspruch.
- Der CEO holt seinen Hausanwalt für Arbeitsrecht. Der ist meist nicht auf interne Ermittlungen spezialisiert. Interne Ermittlung ist ein eigenes Fachgebiet, meist im Bereich Wirtschaftsstrafrecht und Compliance angesiedelt. (Mehr dazu warum die Wahl des Anwalts hier zentral ist: Directors' Liability in Deutschland — wann haftest du persönlich.)
Die Kombination aus diesen drei Fehlern habe ich in meiner eigenen Praxis mehrfach als Anwalt gesehen — und in einer Runde 2023 auch selbst durchgemacht. Was schief geht, geht meist strukturell schief, nicht inhaltlich.
Die ersten 72 Stunden — Reihenfolge, nicht Speed
Der erste Impuls in einer Ermittlungssituation ist Beschleunigung. "Wir müssen schnell handeln." Nein, du musst zuerst richtig handeln. In dieser Reihenfolge:
Stunde 0–4: Vertraulichkeits-Perimeter definieren
Wer weiß, dass der Vorwurf existiert? Wer darf es wissen? Wer muss es explizit nicht wissen? Das ist die einzige Entscheidung, die in dieser Phase zählt. Jede Person, die du unnötig informierst, wird zur Fehlerquelle.
Konkret: In den ersten vier Stunden sollten maximal drei Personen wissen, dass eine Untersuchung überhaupt läuft — du, der Compliance-verantwortliche C-Level (CFO oder COO, nicht der Beschuldigte), und der externe Anwalt. Nicht dein Co-Founder wenn du unsicher bist. Nicht die Kernrunde. Nicht dein Board — es sei denn, der Vorwurf betrifft direkt Board-Level oder finanzielle Angelegenheiten oberhalb einer bestimmten Schwelle.
Stunde 4–24: Beweissicherung
Bevor du irgendjemanden befragst, sichere die vorhandene Datenbasis. E-Mails, Slack-Nachrichten, Log-Files, Zugriffshistorien, Datenexport-Records. Alles was digital ist und potenziell manipuliert werden könnte, wird jetzt zwangsgesichert — im technischen Sinne, ohne dass irgendjemand außer dir und dem Anwalt davon weiß.
Wichtig: Das darf nicht dein IT-Chef machen, wenn du nicht sicher bist ob er selbst involviert ist. Externe Forensik-Dienstleister sind in dieser Phase Gold wert. Deutschland hat mehrere gut etablierte (Deloitte Forensic, KPMG Forensic, oder für kleinere Fälle spezialisierte Boutiquen wie AGH Legal in Hamburg). Kosten für eine Ersteinschätzung mit Datensicherung: 15.000–40.000 EUR. Klingt viel. Ist im Vergleich zu einem verpfuschten Verfahren nichts.
Stunde 24–72: Ermittlungsauftrag formal aufsetzen
Jetzt entstehen die Dokumente, die später alles bestimmen:
- Untersuchungsauftrag an den externen Anwalt (nicht an eine interne Person)
- Attorney-Client-Privilege sicherstellen — deutscher juristischer Kontext: Kommunikation zwischen Geschäftsführung und externem Rechtsanwalt ist geschützt, Kommunikation innerhalb der Firma ist es nicht
- Umfang der Ermittlung schriftlich fixieren: Was wird untersucht, was explizit nicht, welche Personen, welche Zeiträume, welche Datenquellen
- Vertraulichkeitsstufen definieren: Wer bekommt welche Zwischenergebnisse, wer bekommt nur das Endergebnis, wer bekommt gar nichts
Was der Beschuldigte darf, und was nicht
Deutschland ist kein Ermittlungs-Wildwest. Der Beschuldigte hat konkrete Rechte, und du hast konkrete Pflichten. Die wichtigsten:
Der Beschuldigte hat kein Recht darauf, sofort informiert zu werden. In den ersten Tagen einer Untersuchung kann und soll er außen vor bleiben. Erst wenn du strukturelle Ergebnisse hast und ein Interview durchführen willst, entstehen Informationspflichten. (Details zur Interview-Phase: Investigatives Interview — was ich als Anwalt in internen Untersuchungen gelernt habe.)
Aber: Sobald du ihn zum Interview bittest, hat er das Recht, einen eigenen Rechtsanwalt hinzuzuziehen. Das solltest du ihm proaktiv anbieten, nicht nur zulassen. Wer versucht, das Interview "unter vier Augen" zu führen um informelle Aussagen zu bekommen, riskiert die spätere Verwertbarkeit.
Der Beschuldigte darf nicht suspendiert werden nur aufgrund eines Vorwurfs. Bei arbeitsrechtlichen Freistellungen musst du zwischen bezahlter Freistellung (kein Präjudiz), unbezahlter Freistellung (Präjudiz-Risiko) und Kündigung (nur bei bereits belastbaren Fakten) unterscheiden. Falsche Freistellung kann als Nötigung oder als Diskriminierung ausgelegt werden.
Der Beschuldigte darf keine Rechnung dafür bekommen, dass er beschuldigt wurde. Kosten für seinen Anwalt musst du in bestimmten Konstellationen tragen. Kosten für Reputationsschäden bei falschem Vorwurf können dich treffen.
Wenn der Vorwurf gegen einen Co-Founder oder C-Level geht
Das ist der schwierigste Fall — und der häufigste, den ich in der Praxis sehe. Grund: Bei Startups mit 30–80 Mitarbeitern sind die C-Level oft die einzigen, die überhaupt Zugriff auf die kritischen Systeme haben. Wenn dort ein Vorwurf entsteht, hast du drei Probleme gleichzeitig:
- Fachliches Vakuum: Die Person weiß am meisten über den Bereich, den du gerade untersuchst
- Machtvakuum: Wenn sie ausfällt, fehlt jemand an einer strategisch wichtigen Position
- Loyalitäts-Vakuum: Das Team ist meist emotional mit dieser Person verbunden, die Untersuchung fühlt sich wie Verrat an
Meine harte Regel aus eigener Erfahrung: Wenn ein Vorwurf gegen einen C-Level oder Co-Founder im Raum steht, kann die Untersuchung nicht CEO-geführt sein. Du musst formal einen Untersuchungsverantwortlichen delegieren — an einen Aufsichtsrat, einen externen Compliance Officer, oder eine unabhängige Kanzlei mit Untersuchungsauftrag. Alles andere ist strukturell befangen und wird bei einem späteren gerichtlichen Verfahren als voreingenommen bewertet.
(Wenn der Vorwurf mit einer Investoren-Auseinandersetzung zusammenfällt: Wenn ein Investor droht — Rechtsposition, Verhandlungsposition, Ausstieg.)
Wann du melden musst — und an wen
Das ist der Bereich, den fast alle Founder unterschätzen. Es gibt konkrete Meldepflichten, deren Verletzung dich als Geschäftsführer persönlich treffen kann:
- Datenschutzverletzung: 72 Stunden Meldepflicht an die zuständige Datenschutzbehörde nach Art. 33 DSGVO. Nicht "wenn ihr sicher seid" — sondern ab dem Moment, wo eine Verletzung wahrscheinlich ist.
- Steuerdelikte: Bei bestimmten Verdachtsmomenten (Umsatzsteuerkarussell, Scheinrechnungen) gibt es Selbstanzeige-Optionen mit strengen Fristen. Nur dein Steuerberater kann dir sagen, wann welche Frist läuft.
- Insiderhandel oder Marktmissbrauch (falls das Startup an regulierten Märkten aktiv ist): BaFin-Meldepflichten mit sehr kurzen Fristen.
- Hinweisgeberschutz nach HinSchG: Wenn ein Whistleblower den ursprünglichen Vorwurf erhoben hat, gelten Schutzpflichten für den Hinweisgeber, deren Verletzung dich persönlich treffen kann.
- Board- oder Investorenmeldepflicht: Meist im Beteiligungsvertrag als "material adverse event"-Klausel geregelt — dort ist definiert ab welcher Schadenshöhe oder welcher Kategorie du das Board innerhalb welcher Frist informieren musst.
Die häufigste Falle: Du wartest mit der Meldung, "bis ihr wisst, was passiert ist". Das ist meist juristisch falsch. Die Meldepflicht entsteht mit dem begründeten Verdacht, nicht mit der endgültigen Aufklärung.
Die drei Dinge, die ich in meiner eigenen Ermittlung falsch gemacht habe
Um dir konkret zu zeigen, wo es hakt — hier meine Fehler aus einer Ermittlung 2023 bei SECJUR:
- Zu breit informiert am Anfang. Ich habe im ersten Impuls zwei Personen aus dem C-Level informiert, die es nicht hätten wissen müssen. Beide waren nicht die Ursache eines Lecks — aber beide wurden dadurch von Zeugen zu Mitwissern, was ihre Aussagekraft im späteren Verfahren reduziert hat.
- Interne IT als Datensicherung eingesetzt. Statt sofort externe Forensik dazu zu holen, habe ich den Head of IT gebeten, bestimmte Log-Files zu ziehen. Das war kein Loyalitätsproblem — aber ein Kompetenzproblem. Er hatte nicht die forensischen Standards, und ein Teil der Daten war später prozessual nicht verwertbar.
- Zu emotional beim Interview. Bei einer der beteiligten Personen habe ich mich beim ersten formalen Interview zu einer Reaktion hinreißen lassen — Stimme lauter, Wortwahl direkter. Der Anwalt der Person hat das protokolliert, und es wurde später als Indiz für Voreingenommenheit angeführt. Ich habe seither die Regel: Der CEO führt keine Interviews selbst, wenn er emotional involviert ist. Ausnahmen bestätigen die Regel, aber die Ausnahmen sind selten.
Wann eine interne Ermittlung in ein Strafverfahren umschlagen kann
Der Übergang ist fließender als die meisten denken. Wenn du im Rahmen der internen Ermittlung Feststellungen triffst, die einen strafrechtlichen Tatbestand erfüllen — Untreue, Betrug, Bestechung, Datenschutzstraftaten — hast du drei Optionen:
Option 1: Selbstanzeige des Unternehmens durch dich als Geschäftsführer. Wichtig zu wissen: Es gibt in Deutschland keine echte "Verbandsstrafe" wie in den USA, aber es gibt Bußgeld-Möglichkeiten nach OWiG bis 10 Millionen EUR — die durch frühe Kooperation reduziert werden können.
Option 2: Zivilrechtliche Aufklärung ohne strafrechtliche Anzeige, mit anschließendem Zivilprozess gegen die betroffene Person auf Schadenersatz. Nur wenn kein Strafverfahren durch Dritte droht.
Option 3: Warten und interne Sanktion. Rechtlich riskant — wenn später eine Anzeige durch Dritte erfolgt und rauskommt, dass du bereits wusstest, kannst du selbst wegen Strafvereitelung im Amt belangt werden.
Welche Option richtig ist, ist keine Founder-Entscheidung. Das gehört auf den Tisch eines Wirtschaftsstrafrecht-Anwalts, der beide Perspektiven kennt. (Passend dazu: der Zusammenhang zwischen internen Feststellungen und späteren Führungsentscheidungen: Wenn dein Board dir nicht mehr traut — Wiederaufbau in 90 Tagen.)
Kommunikation nach außen — und nach innen
Eine typische Sünde in Startup-Ermittlungen: Es wird intern zu spät und extern zu früh kommuniziert. Faustregeln:
Intern: Kernteam informieren sobald du eine gesicherte Faktenlage hast, spätestens beim ersten arbeitsrechtlichen Schritt (Freistellung oder Kündigung). Nicht vorher, aber auch nicht nach Wochen der Gerüchte. Ein 2-Satz-Statement in der All-Hands, mit klarem "wir informieren, sobald wir mehr sagen dürfen" — das ist das Maximum was du vor Abschluss der Untersuchung sagen solltest.
Extern (Board, Investoren): Sobald der Vorwurf material wird — also Auswirkungen auf Bewertung, Runway oder Compliance-Status haben könnte. Später ist besser als früher, aber ein "wir wussten das schon vor 4 Wochen und haben nichts gesagt" ist der beste Weg, das Investorenvertrauen zu verlieren.
Extern (Presse, Kunden): Nur nach Rücksprache mit Rechtsanwalt und PR-Berater. Und niemals ohne. Ein hilfloses Statement kann mehr Schaden anrichten als der ursprüngliche Vorwurf.
Wann du wirklich Hilfe brauchst
Diese Signale sagen: du brauchst externen Rat, und zwar sofort:
- Der Vorwurf betrifft einen C-Level, Co-Founder oder Board-Mitglied
- Es sind Steuer-, Datenschutz-, oder strafrechtliche Aspekte im Raum
- Der Hinweisgeber ist ein bestehender Mitarbeiter, der HinSchG-Schutz beansprucht
- Presse oder ein Wettbewerber ist bereits informiert
- Der Beschuldigte hat bereits einen Anwalt eingeschaltet
- Du fühlst dich persönlich in einer Loyalitätsfrage gefangen
Für die letzte Zeile gilt: Coaching hilft. Nicht Rechtsberatung — dafür brauchst du einen Anwalt. Aber für die Frage, wie du als CEO durch die nächsten Wochen kommst, ohne selbst die falschen Entscheidungen zu treffen, ist eine externe Perspektive Gold wert.
Wenn das gerade auf dich zutrifft: → Coaching bei BFC anfragen. Ich nehme kleine Kohorten. Nicht jede Anfrage wird angenommen, aber jede wird gelesen.
Weiterlesen
Interne Ermittlungen berühren fast immer andere Themen. Die relevantesten Vertiefungen:
- → Investigatives Interview: Was ich als Anwalt in internen Untersuchungen gelernt habe
- → Directors' Liability in Deutschland: Wann haftest du persönlich
- → Kündigung eines Senior-Mitarbeiters: Recht, Timing, Kommunikation
- → Wenn ein Investor droht: Rechtsposition, Verhandlungsposition, Ausstieg
- → Wenn dein Board dir nicht mehr traut: Wiederaufbau in 90 Tagen
FAQ
Muss ich als Geschäftsführer eine interne Ermittlung durchführen, wenn ein Vorwurf kommt?
Nicht immer, aber häufiger als du denkst. Es gibt eine gesetzliche Aufklärungspflicht (Sorgfaltspflicht nach § 43 GmbHG), die bei jedem substantiierten Vorwurf greift. Diese Pflicht zu ignorieren, ist ein persönliches Haftungsrisiko — auch wenn der Vorwurf sich später als haltlos herausstellt.
Was kostet eine interne Ermittlung typischerweise?
Für ein Startup: 30.000–150.000 EUR bei Standardfällen (Betrug einzelner Mitarbeiter, Compliance-Verstoß). 200.000–500.000 EUR bei komplexeren Fällen (mehrere Personen, mehrere Standorte, forensische Auswertung großer Datenmengen). Wenn Vorwürfe gegen Board oder C-Level: 500.000 EUR aufwärts, weil Untersuchung länger und Beteiligte teurer sind.
Muss ich das Board sofort informieren?
Kommt auf den Beteiligungsvertrag an. Prüfe die "material adverse event"-Klausel und die "Notification"-Bestimmungen. Bei Vorwürfen mit finanzieller Auswirkung oder gegen Personen oberhalb einer Definitionsschwelle: ja, meist mit sehr kurzer Frist. Bei internen Personalvorwürfen ohne finanzielle Dimension: meist nicht sofort.
Kann ich den Beschuldigten während der Ermittlung freistellen?
Bezahlt: fast immer möglich, aber trotzdem prozessual heikel — es gibt Fälle wo eine Freistellung als Präjudiz gewertet wurde. Unbezahlt: nur mit sehr konkreten Belegen, sonst arbeitsrechtlich problematisch. Kündigung: nur bei belastbaren Fakten, nicht bei Verdacht. Verdachtskündigung ist ein eigenes juristisches Kapitel und braucht sehr sorgfältige Formulierung.
Was, wenn der Vorwurf sich als haltlos herausstellt?
Der Beschuldigte hat Ansprüche — auf Reputationsschutz, unter Umständen auf Anwaltskostenerstattung, in seltenen Fällen auf Schadenersatz. Ein sauberer Abschluss der Untersuchung mit dokumentiertem Ergebnis ist deshalb genauso wichtig wie ein Ergebnis mit Sanktion. Beide Fälle brauchen ein Protokoll.
English version
Internal Investigation in a Startup: What to Do When the Allegation Is on the Table
TL;DR — When a serious allegation surfaces in a startup — fraud, sexual harassment, data protection breach, bribery, self-dealing — the first 72 hours decide more than anything after. Not the investigation itself, but how you structure it. Wrong order, wrong people, wrong documentation — and the original allegation becomes three: against the accused, against the investigation, against you as managing director. Written by a founder-CEO who has been through multiple internal investigations both as a lawyer and as a subject.
Short Answer
An internal investigation in a startup is not a management decision. It's a legal process with clearly defined obligations, deadlines, and evidence-preservation standards. As managing director, you're personally liable if you set it up wrong — or fail to set it up at all when you should have. The first question is not "what happened?" but "who's allowed to know, who must be kept out, and who formally leads the investigation?"
Why Most Founders Get This Wrong
The standard reflex: "Let's sit down and talk it through." That's fine among friends. With a real allegation, it's the template for a second, bigger scandal. Three typical mistakes:
- The CEO asks the accused directly. What looks like fairness is procedurally devastating: evidence gets contaminated, the accused can delete records, other witnesses get pre-warned.
- The CEO informs the team "so everyone's in the loop." Immediate reporting duty, pre-judgment, reputational damage — all before the first verifiable fact. If the allegation turns out to be baseless, the accused has claims against you.
- The CEO calls the in-house employment lawyer. Usually not specialized in internal investigations. Internal investigation is its own field, mostly located in business criminal law and compliance. (More on why choice of counsel is central here: Directors' Liability in Germany — when you're personally on the hook.)
The combination of these three mistakes I've seen multiple times in my practice as a lawyer — and lived through myself in a 2023 case. What goes wrong usually goes wrong structurally, not substantively.
The First 72 Hours — Order, Not Speed
The first impulse in an investigation is acceleration. "We have to move fast." No — you have to move right first. In this order:
Hour 0–4: Define the Confidentiality Perimeter
Who knows the allegation exists? Who's allowed to know? Who explicitly must not know? This is the only decision that counts in this phase. Every person you inform unnecessarily becomes a source of error.
Specifically: in the first four hours, at most three people should know an investigation is running — you, the compliance-responsible C-level (CFO or COO, not the accused), and the external lawyer. Not your co-founder if you're unsure. Not the inner circle. Not your board — unless the allegation directly affects board level or financial matters above a certain threshold.
Hour 4–24: Evidence Preservation
Before you interview anyone, secure the existing data. Emails, Slack messages, log files, access histories, data export records. Anything digital and potentially manipulable gets preserved now — technically, without anyone but you and the lawyer knowing.
Important: This must not be done by your IT chief if you're unsure whether they're involved. External forensic providers are gold in this phase. Germany has several established firms (Deloitte Forensic, KPMG Forensic, or for smaller cases specialized boutiques like AGH Legal in Hamburg). Cost for initial assessment plus data preservation: 15,000–40,000 EUR. Sounds like a lot. Compared to a botched proceeding, it's nothing.
Hour 24–72: Formalize the Investigation Mandate
This is when the documents that will decide everything later get created:
- Investigation mandate to the external lawyer (not to an internal person)
- Attorney-client privilege secured — German context: communication between management and external counsel is protected, communication within the company is not
- Scope of investigation in writing: what's being investigated, what explicitly not, which people, which timeframes, which data sources
- Confidentiality tiers defined: who gets which interim results, who gets only the final result, who gets nothing
What the Accused May Do, and What Not
Germany is not an investigation Wild West. The accused has specific rights, and you have specific obligations. The most important:
The accused has no right to be informed immediately. In the first days of an investigation, they can and should be kept out. Only once you have structural findings and want to conduct an interview do information obligations arise. (Details on the interview phase: Investigative Interview — what I learned as a lawyer in internal investigations.)
However: as soon as you ask them for an interview, they have the right to bring their own lawyer. You should offer this proactively, not merely allow it. Anyone trying to conduct an interview "off the record" to get informal statements risks later inadmissibility.
The accused may not be suspended based on an allegation alone. For employment-law suspensions, distinguish between paid leave (no prejudice), unpaid leave (prejudice risk), and termination (only with defensible facts). Wrong suspension can be interpreted as coercion or discrimination.
The accused may not be billed for having been accused. Costs for their lawyer must be borne by you in certain constellations. Costs for reputational damage in case of false allegation can hit you.
When the Allegation Targets a Co-Founder or C-Level
That's the hardest case — and the most common one I see in practice. Reason: in startups with 30–80 employees, C-level are often the only people with access to the critical systems. When an allegation arises there, you have three problems at once:
- Domain vacuum: the person knows most about the area you're investigating
- Power vacuum: if they're out, someone strategic is missing
- Loyalty vacuum: the team is usually emotionally attached to this person, the investigation feels like betrayal
My hard rule from experience: when an allegation against C-level or co-founder is on the table, the investigation cannot be CEO-led. You must formally delegate an investigation lead — to a supervisory board, an external compliance officer, or an independent law firm with an investigation mandate. Anything else is structurally biased and will be judged as prejudiced in a later court proceeding.
(If the allegation coincides with an investor dispute: When an investor is applying pressure — legal position, negotiation position, exit.)
When You Must Report — and to Whom
This is the area almost all founders underestimate. There are specific reporting obligations whose violation can hit you personally as managing director:
- Data protection breach: 72-hour reporting duty to the responsible data protection authority under Art. 33 GDPR. Not "when you're sure" — from the moment a breach becomes likely.
- Tax offenses: for certain suspicions (VAT carousel, sham invoices) there are self-disclosure options with strict deadlines. Only your tax advisor can tell you when which deadline runs.
- Insider trading or market abuse (if the startup is active in regulated markets): BaFin reporting duties with very short deadlines.
- Whistleblower protection under HinSchG: if a whistleblower raised the original allegation, protection duties apply to the whistleblower whose violation can hit you personally.
- Board or investor reporting duty: usually regulated in the shareholders' agreement as a "material adverse event" clause — defining above what damage amount or category you must inform the board within what deadline.
The most common trap: you wait with the report "until you know what happened." That's usually legally wrong. The reporting obligation arises with substantiated suspicion, not with final clarification.
The Three Things I Got Wrong in My Own Investigation
To show concretely where things go wrong — here are my mistakes from a 2023 investigation at SECJUR:
- Informed too broadly at the start. In the first impulse, I informed two C-level people who didn't need to know. Neither was the source of a leak — but both were converted from witnesses to insiders, which reduced their testimonial weight in the later proceeding.
- Used internal IT for data preservation. Instead of immediately bringing in external forensics, I asked the Head of IT to pull certain log files. Not a loyalty issue — a competence issue. He didn't have the forensic standards, and part of the data was later procedurally unusable.
- Too emotional in the interview. With one of the people involved, I let myself react in the first formal interview — voice louder, wording more direct. The person's lawyer documented it, and it was later used as evidence of bias. Since then I have the rule: the CEO doesn't conduct interviews themselves when emotionally involved. Exceptions exist, but rarely.
When an Internal Investigation Can Flip Into Criminal Proceedings
The transition is more fluid than most think. If during the internal investigation you make findings that fulfill a criminal offense — embezzlement, fraud, bribery, data protection crimes — you have three options:
Option 1: Self-disclosure of the company by you as managing director. Important: Germany doesn't have real "corporate criminal liability" like the US, but there are fines under the OWiG up to 10 million EUR — which can be reduced through early cooperation.
Option 2: Civil-law clarification without criminal complaint, with subsequent civil suit against the affected person for damages. Only when no criminal proceedings by third parties are threatened.
Option 3: Wait and internal sanction. Legally risky — if a third party later files a complaint and it comes out that you already knew, you can yourself be prosecuted for obstruction of justice.
Which option is right is not a founder decision. That belongs on the desk of a business criminal law attorney who knows both perspectives. (Related: the connection between internal findings and later leadership decisions: When your board no longer trusts you — rebuilding in 90 days.)
Communication Outside — and Inside
A typical sin in startup investigations: internal communication comes too late, external too early. Rules of thumb:
Internal: Inform the inner circle once you have a secured factual basis, at latest by the first employment-law step (suspension or termination). Not before, but also not after weeks of rumors. A 2-sentence statement at the all-hands, with a clear "we'll inform once we're allowed to say more" — that's the maximum before the investigation concludes.
External (board, investors): as soon as the allegation becomes material — that is, potentially affects valuation, runway, or compliance status. Later is better than early, but a "we knew this 4 weeks ago and said nothing" is the fastest path to losing investor trust.
External (press, customers): only after consultation with lawyer and PR advisor. And never without. A helpless statement can do more damage than the original allegation.
When You Actually Need Help
These signals say: you need external counsel, immediately:
- The allegation targets a C-level, co-founder, or board member
- Tax, data protection, or criminal aspects are on the table
- The whistleblower is an existing employee claiming HinSchG protection
- Press or a competitor is already informed
- The accused already has a lawyer
- You feel personally caught in a loyalty question
For the last line: coaching helps. Not legal advice — for that you need a lawyer. But for the question how you as CEO get through the next weeks without making the wrong decisions yourself, external perspective is gold.
If that's you right now: → Request coaching at BFC. I take small cohorts. Not every request is accepted, but every one is read.
Related reading
Internal investigations almost always touch other topics. The most relevant deep-dives:
- → Investigative Interview: What I learned as a lawyer in internal investigations
- → Directors' Liability in Germany: When you're personally on the hook
- → Terminating a senior employee: law, timing, communication
- → When an investor is applying pressure: legal position, negotiation position, exit
- → When your board no longer trusts you: rebuilding in 90 days
FAQ
Do I as managing director have to conduct an internal investigation when an allegation comes in?
Not always, but more often than you think. There's a statutory duty of clarification (duty of care under § 43 GmbHG) that applies to every substantiated allegation. Ignoring this duty is a personal liability risk — even if the allegation later turns out to be baseless.
What does an internal investigation typically cost?
For a startup: 30,000–150,000 EUR for standard cases (single-employee fraud, compliance violation). 200,000–500,000 EUR for more complex cases (multiple people, multiple sites, forensic evaluation of large datasets). If allegations against board or C-level: 500,000 EUR upward, because investigations run longer and participants are more expensive.
Do I have to inform the board immediately?
Depends on the shareholders' agreement. Check the "material adverse event" clause and the "notification" provisions. For allegations with financial impact or against people above a definitional threshold: yes, usually with a very short deadline. For internal personnel allegations without financial dimension: usually not immediately.
Can I suspend the accused during the investigation?
Paid: almost always possible, but still procedurally delicate — there are cases where suspension was interpreted as prejudice. Unpaid: only with very concrete evidence, otherwise employment-law problematic. Termination: only with defensible facts, not on suspicion. Suspicion-based termination is its own legal chapter and needs very careful drafting.
What if the allegation turns out to be baseless?
The accused has claims — for reputational protection, potentially for lawyer cost reimbursement, in rare cases for damages. A clean conclusion of the investigation with documented outcome is therefore just as important as an outcome with sanction. Both cases need a protocol.