Klotzkette Legal Hold und Datenextraktion bei Aussenwirtschafts-Ermittlungen
Arbeitsweg
- Rolle, Ziel und gewünschtes Arbeitsprodukt klären: Wer handelt, welche Entscheidung steht an, welche Frist läuft und welcher Output wird gebraucht?
- Fristen und Eilrisiken zuerst markieren: nur die Fristen des konkreten Rechtsgebiets und der Akte verwenden; Widerspruch, Klage, Einspruch, Rechtsmittel, Verjährung, Verwirkung, Rüge-, Anzeige-, Anmelde- und Ausschlussfristen strikt trennen und nie aus einem anderen Fachgebiet übernehmen.
- Tragende Normen verifizieren: AWG, AWV, EU-Dual-Use-VO 2021/821, EU-Sanktionsverordnungen, ZollkodexUnion, IranEmbargoVO, RusslandSanktionenVO — Fundstellen über gesetze-im-internet.de, dejure.org, openJur, BVerfG-/BGH-/EuGH-Datenbank live prüfen; keine Modellwissen-Zitate.
- Zuständige Stelle bestimmen und Adressaten richtig wählen: Mandant, Gegner, zuständige Behörde oder Gericht, Sachverständige, ggf. EU-/internationale Stelle (siehe Skill-Detail).
- Dokumente und Beweismittel sammeln und auf Lücken prüfen: Verwaltungsakte, Vertragsurkunden, Schriftsätze, Bescheide, Protokolle, Sachverständigengutachten und externe Beweismittel des Fachgebiets — fehlende Belege durch Akteneinsicht oder Rückfrage beim Mandanten beschaffen, Live-Check für tagesaktuelle Normänderungen und Verwaltungspraxis.
Mandantenfall
- BAFA kuendigt Aussenpruefung an; Legal Hold für alle Exportdaten der letzten 5 Jahre notwendig.
- OFAC-Anfrage zu Transaktionen; US-eDiscovery-Standards und deutsches Datenschutzrecht kollidieren.
- Interne Investigation nach Hinweisgeber-Meldung; IT-forensische Sicherung vor regulaerer Loeschung noetig.
Erste Schritte
- Legal-Hold-Anordnung formulieren und an IT, Compliance, Archiv und betroffene Abteilungen senden.
- Datenkategorien definieren: ATLAS-Daten, ERP-Exportmodule, E-Mails, Verträge, EUC, Sanktionsscreening-Logs.
- Technische Sicherungsmassnahmen einrichten: Backup-Stopp für relevante Datenbereiche.
- DSGVO-Rechtsgrundlage für Datensicherung prüfen (Art. 6 Abs. 1 lit. c für gesetzliche Pflicht).
- Bei US-eDiscovery: Datenschutzkonforme Transfer-Grundlage beachten (SCCs, DSGVO Art. 49).
- Protokollierung der gesicherten Datenbestaende mit Hash-Werten für Integritaetssicherung.
Rechtsrahmen
- AWV § 24: Aufbewahrungspflicht für Ausfuhrunterlagen (10 Jahre).
- UZK Art. 51: Aufbewahrungspflicht für Zollanmeldungen.
- DSGVO Art. 6: Rechtsgrundlage für Datensicherung.
- § 146 AO: Buchfuehrungsunterlagen-Aufbewahrungspflicht.
- § 97 StPO: Beschlagnahmefreiheit anwaltlicher Unterlagen.
Prüf-Raster
- Legal-Hold-Anordnung alle relevante Datenkategorien erfassend?
- IT-Sicherungsmassnahmen zeitnah eingeleitet?
- DSGVO-Rechtsgrundlage für Datenzugriff geprueft?
- US-eDiscovery-Anforderungen mit deutschem Datenschutzrecht abgestimmt?
- Integritaets-Hash-Werte für gesicherte Datenbestaende erstellt?
- Aufbewahrungsfristen (AWV 10 Jahre) gegen Legal-Hold-Anforderungen abgeglichen?
Typische Fallstricke
- Legal Hold zu spaet: regulaere Loeschroutinen haben Daten vernichtet.
- US-eDiscovery und DSGVO kollidieren direkt; ohne datenschutzkonforme Grundlage keine Uebertragung.
- Hash-Werte fehlen; Integritaet der gesicherten Daten nicht nachweisbar.
- ERP-Daten enthalten keine Exportkontroll-spezifischen Felder; separate ATLAS-Sicherung noetig.
Schnittstellen zu anderen Skills
Dieser Skill kann mit thematisch benachbarten Skills kombiniert werden, insbesondere:
- Sanktionsscreening und Listenpruefung:
aussenwirtschaft-sanktionsscreening-fuzzy-match - Exportkontrollklassifizierung:
aussenwirtschaft-gueterlisten-klassifizierung - Freiwillige Offenlegung gegenueber BAFA oder Hauptzollamt:
aussenwirtschaft-freiwillige-offenlegung-bafa-zoll - Interne Compliance-Programme:
aussenwirtschaft-icp-kontrollsystem
Qualitaetsanforderungen
- Sachverhalt vollstaendig: Alle Beteiligten inklusive UBO/Eigentum/Kontrolle erfasst?
- Normverweise konkret: Artikel und Absatz zitiert, nicht nur Verordnungsnummer?
- Quellenstand datiert: Sanktionslisten, TARIC, Gueltigkeitsdaten dokumentiert?
- Sofortmassnahmen klar: Stop-Ship, Hold, Eskalation explizit benannt wenn Risiko rot?
- Audit-Trail vollstaendig: Entscheidung, Begruendung, Verantwortlicher, Frist?
- Output mandantentauglich: Kein Fachwort ohne Erläuterung für Compliance und Business?
- Vertraulichkeit: Mandatsgeheimnisse nicht in ungesicherte externe Systeme eingeben.