Exportcompliance hoch 2 – Untergesetzliche Anforderungen beim Export von Gütern i.S.d. Art. 5 Dual-Use-VO 2021/821

I. Einführung

Complianceanforderungen an exportierende Unternehmen variieren u.a. nach Branche, Ware, Destination, Abnehmer und Endverwendung. Zur Konkretisierung der jeweiligen Anforderungen existieren unterhalb der recht abstrakten gesetzlichen bzw. unionsrechtlichen Ebene zahlreiche Dokumente wie Empfehlungen und Merkblätter, die sich sowohl im Grad ihrer (faktischen) Verbindlichkeit als auch in ihrer sachlichen Reichweite und ihren Inhalten unterscheiden. Solche Dokumente betreffen auch die zum 9.9.2021 in reformierter Fassung in Kraft getretene Dual-Use-VO 2021/821.^[1] Während ein spezielles BAFA-Merkblatt den neuen und nicht unbedingt selbsterklärenden Art. 5 Dual-Use-VO 2021/821 für den Export von Überwachungstechnologie gezielt in den Blick nimmt, betrifft die Empfehlung (EU) 2019/1318 der Kommission noch ausschließlich die von Art. 3 und 4 der früheren Dual-Use-VO 428/2009 erfassten[2], militärisch verwendbaren Güter. Gleichwohl verweist just jenes spezielle Merkblatt des BAFA zu Art. 5 Dual-Use-VO 2021/821 ausdrücklich auf die Empfehlung (EU) 2019/1318 der Kommission und sorgt damit für zusätzliche Verwirrung.

Das trifft insbesondere kleine und mittlere Unternehmen (KMU), deren Complianceabteilungen in Struktur und Ausstattung nicht mit denen großer Konzerne vergleichbar sind. Die Empfehlung (EU) 2019/1318 der Kommission wies bereits für die von ihr adressierten militärisch nutzbaren Güter auf die Schwierigkeiten für KMU hin.[3] Allerdings kommt der wehrtechnische Mittelstand in Deutschland Schätzungen zufolge gerade einmal auf 1.350 Unternehmen[4], sodass diese Feststellung im Bereich von Überwachungstechnologie erst recht Geltung beanspruchen muss, liegt die Zahl der KMU in dieser Branche doch um ein Vielfaches höher[5].

Derweil gehen, während ein spezialgesetzlicher Verweisungstatbestand in § 18 Abs. 5 AWG auf Art. 5 Dual-Use-VO 2021/821 noch nicht existiert, bei den Gerichten Anklageschriften wegen genehmigungsloser Exporte von Überwachungstechnologie ein[6], was Unsicherheit und Handlungsdruck für Unternehmen zusätzlich erhöht. Wie verhalten sich die Anforderungen des BAFA-Merkblatts zu der Empfehlung (EU) 2019/1318 der Kommission? Reichen die bisher üblichen Mechanismen weiterhin aus? Welche Unternehmen müssen in Sachen Exportcompliance „aufrüsten“? Der vorliegende Beitrag geht diesen Fragen anhand einer Gegenüberstellung von Empfehlung und Merkblatt nach.

II. Grundsätzliches zu der Empfehlung (EU) 2019/1318 der Kommission

1. Rechtscharakter und Verbindlichkeit von Empfehlungen

Empfehlungen i.S.d. Art. 288 Abs. 5 AEUV enthalten, genau wie Stellungnahmen und im Gegensatz zu den anderen Rechtshandlungen, keine rechtsverbindliche Regelung.[7] Sie gehen nach ihrem Sinngehalt auf die eigene Entschlusskraft eines innerhalb seiner Zuständigkeit[8] handelnden Unionsorgans zurück. Während Stellungnahmen bloße Meinungsäußerungen eines Unionsorgans beinhalten, die eine Reaktion auf eine fremde Initiative darstellen[9], richten sich Empfehlungen überwiegend – jedoch nicht ausschließlich[10] – an die Mitgliedstaaten[11], denen damit Hinweise zur Umsetzung oder Einhaltung von Unionsrecht gegeben werden. Nach dem Wortlaut des Art. 288 Abs. 5 AEUV sind Empfehlungen und Stellungnahmen „nicht verbindlich“. Sie entfalten damit keine rechtliche Bindungswirkung gegenüber ihren Adressaten[12] und begründen insbesondere keine vor nationalen Gerichten durchsetzbaren Rechte und Pflichten.[13]

Eine begrenzte rechtliche Relevanz kommt Empfehlungen jedoch im Lichte der allgemeinen Pflicht zur Unionstreue aus Art. 4 Abs. 3 EUV zu. Sofern Mitgliedstaaten Adressaten einer Empfehlung sind, dürfen sie nicht einfach über diese hinweggehen, sondern müssen sie ernsthaft prüfen und sich im begründeten Fall nach ihnen richten bzw. sie anderenfalls mit ausreichender Erklärung zurückweisen[14], wobei die h.Lit. die daraus erwachsende „Verpflichtung“ weder als gerichtlich durchsetzbar noch als sanktionsbewehrt einstuft.[15] Umgekehrt ergibt sich für das erlassende Organ, vorliegend die Kommission, aus dem Grundsatz des Vertrauensschutzes heraus ebenfalls eine gewisse Bindung an die Empfehlungen.[16] Zwar diskutiert die Lit. diese Bindungswirkung hauptsächlich insoweit, als Mitgliedstaaten und nicht Individuen die Adressaten der Empfehlungen sind.[17] Das wird im vorliegenden Kontext aber gleichwohl und insbesondere für die Grenzen der Compliancepflichten gelten.

Umgekehrt kommt jedoch den indirekten rechtlichen Wirkungen von Empfehlungen im Einzelfall erhebliche Steuerungskraft für das Verhalten der Adressaten zu[18], denn die Praxis der Mitgliedstaaten misst ihnen häufig erhebliches Gewicht bei[19] und Mitgliedstaaten orientieren sich oft aus Praktikabilitätsgründen, aus Einsicht oder aus Opportunitätserwägungen an ihnen.[20] Teilweise kann es sich dabei um eine Art vorauseilenden Gehorsam handeln. Auch wird, nach Einschätzung der Lit., kein Mitgliedstaat bestrebt sein, sich ein integrationsfeindliches Verhalten vorwerfen zu lassen und sich daher bemühen, auch den unverbindlichen Rechtshandlungen Aufmerksamkeit zu schenken.[21]

Die prinzipielle Unverbindlichkeit schließt zudem nicht aus, dass Empfehlungen gleichwohl indirekt rechtliche Wirkungen[22] für Einzelne bspw. insofern erzeugen, als die Gerichte der Mitgliedstaaten Empfehlungen bei den Entscheidungen über bei ihnen anhängige Rechtsstreitigkeiten berücksichtigen (müssen[23]), wenn z.B. die Empfehlung Aufschluss über die Auslegung nationaler oder unionsrechtlicher Bestimmungen gibt.[24] Empfehlungen können dabei insbesondere in unbestimmten Rechtsbegriffen bzw. normativen Tatbestandsmerkmalen wirken.[25] Projiziert auf die vorliegend untersuchte Problematik bleibt also zu fragen, ob Art. 5 Dual-Use-VO 2021/821 solche konkretisierungsfähigen Merkmale enthält. Während sich aus Abs. 1 der Vorschrift keine offensichtlichen Anknüpfungsmöglichkeiten ergeben, da dort die von der Behörde ausgehende Unterrichtung des Ausführers konstitutiv für die Genehmigungspflicht ist, bleibt in Art. 5 Abs. 2 Dual-Use-VO 2021/821 dafür durchaus Raum, denn hier stellt die Norm darauf ab, dass Erkenntnisse durch den Ausführer „im Rahmen seiner Sorgfaltspflicht“ erlangt werden. Ebenjene Sorgfaltspflichten können durch die Empfehlung (EU) 2019/1318 der Kommission konkretisiert werden.

2. ICP-Leitlinien im Anhang der Empfehlung (EU) 2019/1318

a) Prinzipielle Gültigkeit der Empfehlung für die Dual-Use-VO 2021/821

Da sich, wie bereits gesagt, die Empfehlung (EU) 2019/1318 noch auf die frühere Dual-Use-VO 428/2009 bezieht, bleibt vorab zu klären, ob ihre Inhalte auch für die n.F. der Verordnung gelten können. Allerdings hat sich bereits der Zweck verschoben. Diente die Empfehlung unter der früheren Dual-Use-VO 428/2009 allein der Abwehr von Risiken im Zusammenhang mit der Verbreitung von Massenvernichtungswaffen und der destabilisierenden Anhäufung konventioneller Waffen[26], so schließt die n.F. der Dual-Use-VO laut ihrem Erwägungsgrund Nr. 2 auch die Erfüllung der „internationale[n] Verpflichtungen und Zusagen, Verpflichtungen im Rahmen einschlägiger Sanktionen, Erwägungen der nationalen Außen- und Sicherheitspolitik, einschließlich derjenigen, die im Gemeinsamen Standpunkt 2008/944/GASP des Rates, unter anderem in Bezug auf die Menschenrechte, enthalten sind“ ein. Bei Gütern für digitale Überwachung sollen die zuständigen Behörden der Mitgliedstaaten insbesondere das Risiko berücksichtigen, dass diese im Zusammenhang mit „interner Repression oder der Begehung schwerwiegender Verstöße gegen die Menschenrechte und das humanitäre Völkerrecht verwendet werden“. Es ist daher zu prüfen, ob die in der Empfehlung (EU) 2019/1318 genannten Einzelmaßnahmen auch diesem Zweck dienen können.

Die darin niedergelegten Leitlinien, die exportierenden Unternehmen als Orientierungshilfe dienen sollen, enthalten im Kern sieben Elemente für ein wirksames unternehmensinternes Complianceprogramm (ICP). Bei der Entwicklung dieser ICP-Leitlinien der EU für Kontrollen des Dual-Use-Handels wurden vorhandene Konzepte für Compliance im Zusammenhang mit Ausfuhrkontrollen herangezogen[27], darunter die „Best Practice Guidelines on Internal Compliance Programmes for Dual-Use Goods and Technologies“[28], die schon im Jahr 2011 von den Teilnehmerstaaten des Wassenaar-Arrangements verabschiedet wurden, sowie der „Best Practice Guide for Industry“ der Nuclear Suppliers Group[29]. Beide Guidelines passen jedoch ersichtlich nicht zu den Inhalten des Art. 5 Dual-Use-VO 2021/821, da sie historisch in erster Linie auf die Nichtverbreitung von Massenvernichtungswaffen ausgerichtet sind. Sollte sich diese Ausrichtung in den Kernelementen der Empfehlung widerspiegeln, so könnten diese einerseits gänzlich unpassend im Rahmen des Art. 5 Dual-Use-VO 2021/821 erscheinen, andererseits aber auch schlicht zu kurz greifen.

Die Empfehlung räumt jedoch ein, dass die konkreten Anforderungen und Merkmale des ICP neben Größe und Struktur des Unternehmens ebenso vom Umfang der Geschäftstätigkeit, der Produktpalette und den Abnehmern bzw. Endverwendern abhängen. Insofern bleibt durchaus Raum für die prinzipielle Anpassung eines der Empfehlung folgenden ICP an die spezifischen Anforderungen beim Export von Überwachungstechnologie. Welche Anforderungen das sind, steht damit allerdings noch nicht fest.

Die Empfehlung enthält einen Katalog von sieben Eckpfeilern[30], von denen die ersten beiden unproblematisch auch für den Export von Überwachungstechnologie herangezogen werden können. Ein Bekenntnis der obersten Führungsebene zur Compliance[31] wie auch eine klare Organisationsstruktur und Zuständigkeiten sowie die Bereitstellung von organisatorischen, personellen und technischen Ressourcen[32] erscheinen prinzipiell in jeder Branche und hinsichtlich jedes Compliancezwecks möglich und sinnvoll. Nichts anderes gilt für die Erfordernisse von Schulungen und Sensibilisierung[33], ebenso wie für stetige Evaluation und Optimierung des ICP im Wege von Leistungsüberprüfung, Audits, Berichterstattung und Korrekturmaßnahmen[34]. Mit Leistungsüberprüfungen und Audits wird der Empfehlung zufolge festgestellt, ob das ICP auf operativer Ebene zufriedenstellend umgesetzt wird und mit den geltenden nationalen und europäischen Anforderungen an Ausfuhrkontrollen in Einklang steht. Darüber hinaus sind Aufzeichnungen und Dokumentation aller Maßnahmen[35] Teil eines vollständigen ICP. Schließlich gibt die Empfehlung physische Sicherheit und Informationssicherheit[36] als Teil des ICP vor, wobei sicherheitssensible Dual-Use-Güter „geschützt“ werden und angemessene Sicherheitsmaßnahmen dazu beitragen sollen, die Risiken unerlaubter Wegnahmen oder des Zugangs zu kontrollierten Gütern einzugrenzen. Bereits für die a.F. der Dual-Use-VO 428/2009 hatte dieser letzte Punkt enorme Bedeutung, doch erscheint seine Relevanz gerade bei Software oder Technologie aufgrund der spezifischen Produkteigenschaften noch größer. Gerade im digitalen Raum kann es sich als schwierig erweisen, die Einhaltung von Vorschriften für den Handel mit Dual-Use-Gütern zu gewährleisten[37]; insofern sind auch im Anwendungsbereich der n.F. der Verordnung Maßnahmen zur Informationssicherung unerlässlich.

b) Screeningablauf und -verfahren in Bezug auf Geschäftsvorgänge

Unter Ziffer 4 der Empfehlung findet sich der Punkt „Screeningablauf und -verfahren in Bezug auf Geschäftsvorgänge“, der im Zentrum des ICP steht, und der die konkret erforderlichen, betriebsinternen Maßnahmen beinhaltet.[38] Verlangt wird dabei, dass das Unternehmen ein (je nach Größe manuelles oder automatisiertes[39]) Bewertungsverfahren entwickelt, um festzustellen, ob ein Geschäft mit Dual-Use-Gütern überhaupt Ausfuhrkontrollvorschriften des Mitgliedstaats oder der EU unterliegt. Das Verfahren muss zum einen ein System zur Klassifizierung von physischen Gütern, Software und Technologie enthalten, zum anderen hat eine Bewertung des Geschäftsrisikos stattzufinden. Letztgenanntes Kriterium schließt nach der Empfehlung eine Prüfung im Hinblick auf mit Embargo oder Sanktionen belegte oder sicherheitssensible Ziele und Unternehmen, ein Screening in Bezug auf die angegebene Endverwendung und beteiligte Parteien, ein Screening hinsichtlich von Umlenkungsrisiken sowie eine Sichtung der Catch-all-Kontrollen nicht gelisteter Dual-Use-Güter ein. Wird ein Genehmigungserfordernis festgestellt, so ist ein Antrag auf Genehmigung der Ausfuhr, Vermittlung, Verbringung oder Durchfuhr zu stellen, wobei der Screeningprozess nicht nach Erteilung der Genehmigung endet, sondern Kontrollen des Versands und der Einhaltung der Genehmigungsbedingungen stattfinden müssen.

Die Empfehlung schlägt dazu ein mehrschrittiges Verfahren vor[40]:

• Klassifizierung von physischen Gütern, Software und Technologie,
• Bewertung des Geschäftsrisikos,
• Feststellung der Genehmigungsanforderungen und gegebenenfalls Antrag sowie
• Kontrollen nach Erteilung einer Genehmigung.

Das Verfahren beginnt mit einer Güterklassifizierung, durch die zunächst festgestellt werden soll, ob die betreffenden Güter in einer einschlägigen Liste aufgeführt sind. Dafür sind die technischen Merkmale des Produkts mit den Dual-Use-Güter-Kontrolllisten der EU sowie des Mitgliedstaats abzugleichen und ggf. festzustellen, ob das betreffende Produkt Beschränkungen bzw. Sanktionen der EU oder des Mitgliedstaats unterliegt. Die Empfehlung geht zudem ausdrücklich darauf ein, dass auch Komponenten, Ersatzteile, Software und Technologie zu klassifizieren sind. Zudem wird gesondert auf die im vorliegenden Kontext besonders relevanten digitalen Übertragungswege (Email oder Cloud-Dienste) hingewiesen.[41]

Etwas unsystematisch erscheinen die sich anschließenden Ausführungen der Empfehlung: Der Ausführer soll Informationen über eventuelle missbräuchliche Verwendungen der Dual-Use-Güter, z.B. im Zusammenhang mit der Weiterverbreitung von konventionellen militärischen Gütern oder Massenvernichtungswaffen „sammeln und im Unternehmen weiterleiten“.[42] In dieser Anforderung werden güterbezogene, endverwenderbezogene und destinationsbezogene Aspekte miteinander vermengt. Auffällig erscheint zudem der Ratschlag, vom Lieferanten Auskünfte über die Dual-Use-Klassifizierung der Materialien, Komponenten und Teilsysteme anzufordern, die im Unternehmen verarbeitet oder eingebaut werden, einschließlich der in der Produktion verwendeten Maschinen, und die von den Lieferanten erhaltene Klassifizierung zu überprüfen.[43] Dies kehrt die Prüfungsrichtung dahingehend um, dass nicht nur der Abnehmer, sondern im Hinblick auf güterbezogene Aspekte schon der Zulieferer durch den Exporteur kontrolliert werden soll.[44] Während in der (Straf)Rechtsdogmatik durchaus Konzepte existieren, die die Verantwortlichkeit an ein sich an die Täterhandlung anschließendes illegitimes Drittverhalten knüpfen[45], fehlen solche Konstruktionen – schon aus chronologischen Gründen – für vorangegangenes Drittverhalten. Die Empfehlung kann diesbezüglich nur so gemeint sein, dass die fraglichen Informationen Aufschluss über das Missbrauchspotential geben sollen, das dann wiederum im Zusammenhang mit dem konkreten Abnehmer und der Destination abzuschätzen ist. Dies dehnt die Reichweite der Prüfpflichten enorm aus und begründet eine Verantwortlichkeit für die Vermeidung von Fehlinformationen durch den Zulieferer, der – zumal im Umfeld der Catch-all-Klausel des Art. 5 Dual-Use-VO 2021/821 angesichts der teilweise kaum abschätzbaren Einsatzmöglichkeiten IT-technischer Systeme – schon aus fachlichen Gründen schwer nachzukommen sein wird.

Die Empfehlung fasst unter dem Punkt „Bewertung des Geschäftsrisikos“ sodann die Prüfung im Hinblick auf mit Embargos oder Sanktionen belegte oder sicherheitssensible Ziele und Unternehmen zusammen. Hier finden sich somit erneut endverwenderbezogene und destinationsbezogene Prüfpunkte, wobei neben den Empfängern auch Zwischenhändler oder -käufer eingeschlossen sind. Die Überprüfung der Zuverlässigkeit des Empfängers nimmt innerhalb der Feststellung des Geschäftsrisikos einen erheblichen Raum ein. So werden Endverbleibserklärungen u.a. mit Blick auf die Informationserhebung bspw. auch dann empfohlen, wenn sie rechtlich nicht vorgeschrieben sind, und es wird vorgegeben etwaige Umlenkungsrisiken zu prüfen[46]. Demgegenüber enthält die Empfehlung jedoch kaum konkrete Prüferfordernisse hinsichtlich der Destination als solcher. Dies überrascht, ist doch die Endverbleibserklärung des zuverlässigsten Abnehmers vollkommen wertlos, wenn im Destinationsstaat gleichwohl ein Zugriff durch staatliche bzw. militärische oder paramilitärische Dritte erfolgt, ggf. sogar gegen den Willen des eigentlichen Abnehmers. In Bezug auf derlei Risiken schweigt die Empfehlung jedoch.[47]

III. Anforderungen nach dem BAFA-Merkblatt zu Art. 5 Dual-Use-VO 2021/821

1. Rechtscharakter und Verbindlichkeit der Merkblätter des BAFA

Das Merkblatt des BAFA zu Art. 5 Dual-Use-VO 2021/821 soll den Ausführern „Hilfestellung bei der Anwendung“ der Vorschrift geben.[48] Es handelt sich dabei nach eigener Einschätzung des BAFA um eine „Empfehlung“, die „rechtlich unverbindlich“ ist.[49] Die Ratschläge des Merkblatts lassen zudem Sorgfaltspflichten unberührt, die auf der Grundlage anderer Rechtsakte als der Dual-Use-VO 2021/821 bestehen, und sollen nicht als Einschränkung dieser Sorgfaltspflichten verstanden werden. Auch internationale Leitlinien, wie die UN-Leitprinzipien für Wirtschaft und Menschenrechte (United Nations Guiding Principles on Business and Human Rights[50]), sollen durch die Inhalte des Merkblatts keine Einschränkung erfahren.[51]

Die rechtliche Einordnung der BAFA-Merkblätter ist in der Lit. jedenfalls dahingehend geklärt, dass es sich nicht um Rechtsverordnungen[52] oder Verwaltungsakte[53] handelt. Stattdessen wird den Merkblättern überwiegend der Charakter als informelles Verwaltungshandeln oder Verwaltungsvorschrift beigemessen.[54] Im Wege informellen Verwaltungshandelns informieren, warnen oder belehren Behörden in Bezug auf bestimmte Sachverhalte. Daher werde auf diese Handlungsform vor allem dann zurückgegriffen, wenn „flexibel und schnell auf politische Gemengelagen oder Gefährdungssituationen reagiert“ werden muss.[55] Die Besonderheit der BAFA-Merkblätter gegenüber anderem informellem Verwaltungshandeln besteht indes darin, dass bei Nichtbefolgung der Inhalte der Merkblätter eben auch keine Ausfuhrgenehmigung erteilt wird.[56] Aufgrund des dann abgeschnittenen Marktzugangs ist von einem durchaus erheblichen praktischen Befolgungsdruck auszugehen.

Umgekehrt bedeutet faktisch bestehender Befolgungsdruck aber nicht, dass Gerichte die Inhalte der Merkblätter zum rechtlichen Maßstab rechtmäßigen Handelns machen dürfen. An dieser Stelle kommt vielmehr der norminterpretierende Charakter von Verwaltungsvorschriften zum Tragen. Handelte es sich bei den Merkblättern um solche Verwaltungsvorschriften, so würden Rechtsanwender jene bei der Auslegung der Vorschriften heranziehen und sich von ihnen leiten lassen. Zwar spricht die Bezeichnung als „Merkblatt“ eher für die Einordnung als informelles Verwaltungshandeln. Der Umstand, dass realiter nicht ein spezifischer Einzelfall adressiert wird, sondern abstrakt-generelle Hinweise gegeben und damit ebensolche Rechtsauffassungen transportiert werden, spricht indes eher für ein Verständnis des Merkblatts als Verwaltungsvorschrift. Dasselbe folgt auch daraus, dass sich das Merkblatt unmittelbar auf Erwägungsgrund Nr. 7 Dual-Use-VO 2021/21 sowie Art. 2 Nr. 21 Dual-Use-VO 2021/21[57] bezieht, aus denen sich das Erfordernis eines transaktionsbezogenen Screeningprozesses ergibt, der sodann durch das Merkblatt weiter konkretisiert wird. Unabhängig von der Einordnung als informelles Verwaltungshandeln oder Verwaltungsvorschrift bleibt es indes beim rechtlich unverbindlichen Charakter des Merkblatts, dessen Inhalt von Gerichten eben auch nicht als starre Mindestanforderung an sorgfaltsgemäßes Verhalten verstanden werden darf.[58]

2. Transaktionsbezogener dreistufiger Screeningprozess

a) Konkrete Prozessvorgaben des BAFA-Merkblatts zu Art. 5 Dual-Use-VO 2021/821

Das Merkblatt stuft die in Art. 5 Abs. 2 Dual-Use-VO 2021/21 genannte Sorgfaltspflicht als Teil des ICP ein.[59] Es nimmt sodann selbst Bezug auf diese Wendung in der Vorschrift und konkretisiert die „im Rahmen dieser Sorgfaltspflicht“ empfohlenen Maßnahmen zur Bewertung der mit der Ausfuhr verbundenen Risiken, insbesondere die Durchführung eines dreistufigen transaktionsbezogenen Screeningprozesses anhand von güterbezogenen, länderbezogenen und endverwenderbezogenen Anhaltspunkten.[60]

Das transaktionsbezogene Screening wird als ein durch den Ausführer aufzusetzender Prozess beschrieben, mit dessen Hilfe er das mit einer Ausfuhr verbundene Risiko bspw. von schwerwiegenden Menschenrechtsverletzungen auf der Grundlage der ihm bereits vorliegenden sowie in zumutbarer Weise und ohne besondere Mühe zu gewinnenden Informationen ermittelt, bewertet und abmindert oder gänzlich vermeidet.[61] Zu berücksichtigen seien dabei sämtliche Auswirkungen, die durch die Ausfuhr unmittelbar ermöglicht werden oder zu denen sie beitragen kann. Hier erweist sich als problematisch, dass das Merkblatt selbst keinerlei Vorschläge zu dem Screeningprozess als solchem enthält, sondern lediglich Hinweise und Beispiele (insbesondere in Gestalt sog. Red Flags) zu den einzelnen Tatbestandsmerkmalen des Art. 5 Dual-Use-VO 2021/821 liefert.[62] Erst auf S. 11 geht das Merkblatt unter der Überschrift „Sorgfaltspflicht“ auf den Screeningprozess selbst ein.

Dogmatisch verbirgt sich dahinter die Überlegung, dass Sorgfaltsregeln in Gestalt konkreter (auch untergesetzlicher) Sondernormen das Maß des grds. erlaubten Risikos umschreiben.[63] Insofern darf man die Überschrift des Merkblatts nur wörtlich nehmen, denn der dort weiter beschriebene Screeningprozess, der dem Ausführer dazu dienen soll, das „mit einer Ausfuhr verbundene Risiko von schwerwiegenden Menschenrechtsverletzungen auf der Grundlage der ihm bereits vorliegenden sowie in zumutbarer Weise und ohne besondere Mühe zu gewinnenden Informationen“ zu ermitteln, zu bewerten und abzumindern, sagt genau genommen nichts über den Sorgfaltsmaßstab, sondern nur etwas über die Sorgfaltspflicht. Vereinfacht ausgedrückt gibt das Merkblatt Anhaltspunkte, wo und in welchem Verfahren der Ausführer nach Risiken zu suchen hat; es gibt aber keinen Aufschluss darüber, mit welchem Genauigkeitsgrad er diese Risiken betrachten muss.[64] Klargestellt wird – insoweit dogmatisch korrekt[65] – immerhin, dass es sich bei den Sorgfaltspflichten um Bemühungspflichten und nicht um Erfolgspflichten handelt.[66] Das bedeutet, Unternehmen sind rechtlich nicht dazu verpflichtet, unter allen Umständen zu verhindern, dass ihre Güter für die in Art. 5 Dual-Use-VO 2021/821 bezeichneten Verstöße eingesetzt werden. Auch wird vom Ausführer i.d.R. nicht erwartet, dass er bei Auftreten einer sog. Red Flag unmittelbar von dem Geschäft Abstand nimmt; vielmehr sei das Vorliegen einer Red Flag nur der Anlass, eine tiefergehende Prüfung anzustoßen und zu versuchen, die Umstände aufzuklären bzw. ihnen abzuhelfen.

Das Merkblatt geht davon aus, dass aufgrund der Bezugnahme auf interne Repression sowie aufgrund der Formulierung „im Zusammenhang“[67] nicht nur die unmittelbaren Auswirkungen des Einsatzes von Gütern für digitale Überwachung in die Betrachtung einfließen sollen, sondern auch mittelbare Auswirkungen ihres Einsatzes bzw. Auswirkungen, zu denen die Güter einen Beitrag leisten können, z.B. „zu Folter oder rechtswidrig gegen Oppositionelle“.[68] Dies dehnt die Sorgfaltspflichten auf Bereiche aus, die von den meisten (unter)gesetzlichen Sorgfaltsregeln eher ausgenommen werden.[69]

b) Offene Fragen und Widersprüchlichkeiten

Bei den von Art. 5 Abs. 2 Dual-Use-VO 2021/821 und dem Merkblatt erwähnten Sorgfaltspflichten handelt es sich, wie schon gesagt, um Bemühungspflichten, nicht um Erfolgspflichten. Probleme bereitet allerdings die Formulierung der Norm, die darauf abstellt, dass einem Ausführer aufgrund von „im Rahmen seiner Sorgfaltspflicht erlangten Erkenntnissen bekannt“ ist, dass Güter für digitale Überwachung ganz oder teilweise für eine illegitime Verwendung bestimmt sind. Zufallserkenntnisse, die außerhalb der allgemeinen und spezifischen Sorgfaltsanforderungen an den Ausführer gelangt sind, lösen nach dem eindeutigen Wortlaut der Vorschrift keine Unterrichtungspflicht aus. Das kann zu wahrlich befremdlichen Konstellationen führen, in denen mit großer Wahrscheinlichkeit damit zu rechnen ist, dass die Rspr. den im Merkblatt konkretisierten Maßstab der Sorgfaltspflicht eben nicht ausreichen lassen wird.

Fraglich bleibt zudem die Einordnung nicht waffenfähiger Überwachungstechnologie. Die Legaldefinition des Art. 2 Nr. 20 Dual-Use-VO 2021/821 bezeichnet als Überwachungstechnologie sämtliche Güter mit doppeltem Verwendungszweck, d.h. Güter i.S.d. Art. 2 Nr. 1 Dual-Use-VO 2021/821, die besonders dafür konstruiert sind, die verdeckte Überwachung natürlicher Personen durch Überwachung, Extraktion, Erhebung oder Analyse von Daten aus Informations- und Telekommunikationssystemen zu ermöglichen. Damit stellt sich die Frage, ob die Bezeichnung als „Güter mit doppeltem Verwendungszweck“ einen echten Rechtsbegriff darstellt und damit die Beschränkung auf militärische Einsatzbereiche des Art. 2 Nr. 1 Dual-Use-VO auch für Überwachungstechnologie gelten muss. Ob dies der durch die Verordnung in ihren Art. 3 bis 5 getroffenen Abschichtung und damit der Binnensystematik der Verordnung[70] entspräche, erscheint zweifelhaft.^[71]

Zu klären bleibt damit, welche Bereiche der Terminus „militärisch“^[72] (bzw. militärische Verwendung) außerhalb der Waffenfähigkeit noch erfassen kann. Fest steht mit der Formulierung „darin eingeschlossen“ (Art. 2 Nr. 1 2. Hs. Dual-Use-VO 2021/821) zwar, dass die Waffenfähigkeit nicht allein den Ausschlag über die Einordnung als Dual-Use-Ware gibt. Vielmehr genügen sämtliche Einsatzbereiche, die potenziell in den Tätigkeitsbereich des Militärs fallen – eben einschließlich von Überwachung, Spionage, Informationserhebung, Observation etc. Dem entsprechen Art. 4 Abs. 1 lit. b und c Dual-Use-VO 2021/821, die anstelle der Waffenfähigkeit auf das Vorliegen eines Waffenembargos und/oder die Listung in nationalen Militärgüterlisten abstellen. Liegen diese Voraussetzungen nicht vor, fällt nicht gelistete Überwachungstechnologie trotz einer i.w.S. potenziell militärischen Einsatzmöglichkeit allenfalls unter Art. 5 Dual-Use-VO 2021/821.

Zweifelhaft ist schließlich, was unter „bekannt“ sein i.S.d. Art. 5 Abs. 2 Dual-Use-VO 2021/821 zu verstehen ist. Im Allgemeinen meint dies Kenntnis und damit das sichere Wissen i.S.e. dolus directus 2. Grades. Das Merkblatt geht allerdings davon aus, dass mit dem Begriff „bekannt“ ein für die Statuierung verwendungsabhängiger Genehmigungspflichten (sog. Catch-All-Vorschriften[73]) typisches Regelungsinstrument verwendet wurde, das bereits in Art. 4 Dual-Use-VO 2021/821 zur Anwendung gelangt sei.[74] In dem Merkblatt heißt es daher zunächst zutreffend, das Merkmal „bekannt“ sei nur bei positivem Wissen bzw. positiver Kenntnis erfüllt, was strafrechtlich i.S.e. dolus directus 2. Grades zu verstehen wäre. Das bloße „für möglich halten“ sei gerade nicht ausreichend, sodass Eventualvorsätzlichkeit oder gar fahrlässiges Nicht-Wissen die Unterrichtungspflicht nicht begründen.[75]

Danach heißt es allerdings, Kenntnis sei auch dann gegeben, wenn der Ausführer „ausreichende Erkenntnisquellen kennt, aus denen er in zumutbarer Weise und ohne besondere Mühe die Erkenntnisse gewinnen kann“.[76] Auch dürfe der Ausführer offensichtliche Anhaltspunkte nicht bewusst ignorieren, denn ein bewusstes sich Verschließen und vorsätzlich eine gleichsam auf der Hand liegende Kenntnisnahmemöglichkeit, die jeder andere in seiner Lage wahrgenommen hätte, zu übergehen, sei unzulässig und werde nach Lage des Falles „einer Kenntnis gleichgesetzt“. Diese Aussage ließe sich nach den Maßstäben des deutschen (Straf-)Rechts nur halten, wenn man die Formulierung in Art. 5 Abs. 2 Dual-Use-VO 2021/821 wie folgt liest: „Sind einem Ausführer aufgrund von im Rahmen seiner Sorgfaltspflicht erlangten Erkenntnissen Umstände bekannt, aus denen sich ergibt, dass Güter für digitale Überwachung“ zu einer der genannten illegitimen Verwendungen bestimmt sind […]. Lässt sich diese modifizierende Lesart grds. noch mit der im Strafrecht geläufigen Unterscheidung zwischen Rechts- und Tatsachenkenntnis erklären[77], so fügt das Merkblatt aber hinzu, auch „das völlige Unterlassen der Erfüllung von Sorgfaltspflichten“ sei „unzulässig (‚Passivität schützt nicht‘)“.[78] Dieser Zusatz verlangte, um als rechtlich korrekt zu gelten, eine zusätzliche Änderung des Normtextes wie folgt: „Müssten einem Ausführer aufgrund von im Rahmen seiner Sorgfaltspflicht erlangten Erkenntnissen Umstände bekannt sein, aus denen sich ergibt, dass Güter für digitale Überwachung“ zu einer der genannten illegitimen Verwendungen bestimmt sind […]. Dies wiederum entspricht der klassischen Formulierung eines Fahrlässigkeitsvorwurfs, der sich darauf bezieht, die im Verkehr erforderliche Sorgfalt außer Acht gelassen zu haben.[79] Möglicherweise ging die EU bei Schaffung der Norm aber davon aus, dies schon mit der Wendung „im Rahmen seiner Sorgfaltspflicht“ hinreichend deutlich gemacht zu haben.[80]

c) Verhältnis zu den ICP-Leitlinien im Anhang der Empfehlungen 2019/1318

Das Merkblatt zu Art. 5 Dual-Use-VO 2021/821 verweist hinsichtlich der generellen Anmerkungen zur Implementierung eines ICP unmittelbar auf das BAFA-Merkblatt „Firmeninterne Exportkontrolle“[81] sowie auf die Empfehlung (EU) 2019/1318 der Kommission.[82] Bereits diese beiden Verweisungsziele entsprechen einander nicht, sondern weichen inhaltlich voneinander ab.[83]

Während das Merkblatt zu Art. 5 Dual-Use-VO 2021/821 seiner Konzeption nach zum ICP selbst wenig Aussagen trifft und stattdessen in erster Linie die Tatbestandsmerkmale der Vorschrift beispielhaft beschreibt, finden sich in der Empfehlung güterunabhängige Vorgaben zum ICP als solchem. Man könnte daher konstatieren, dass das Merkblatt eine inhaltliche Konkretisierung des in der Empfehlung beschriebenen Screeningablaufs liefert, wobei insbesondere die Punkte der Güterklassifizierung und des Geschäftsrisikos Ansatzpunkte bilden können.

(1) Recht unmittelbar erscheint auf den ersten Blick der Bezug zwischen dem Punkt Güterklassifizierung der Empfehlung und dem güterbezogenen Screening nach dem BAFA-Merkblatt. Allerdings konzentriert sich dieser Punkt in der Empfehlung darauf, gelistete Dual-Use-Güter zu erkennen. Freilich können auch Überwachungstechnologie und/oder ihre Komponenten i.S.d. Art. 3 Dual-Use-VO 2021/821 gelistet sein, sofern sie einem militärischen Nutzen zugänglich sind. Der Regelfall ist das jedoch gerade nicht; vielmehr wird ein Großteil der exportierten Überwachungstechnologie eher unter die Catch-all-Klausel des Art. 5 Dual-Use-VO 2021/821 fallen.[84]

Damit kann das Merkblatt zu Art. 5 Dual-Use-VO 2021/821 im Hinblick auf den Güterbezug allenfalls bei dem Punkt „Bewertung des Geschäftsrisikos“ der Empfehlung relevant werden, dort an dem Unterpunkt „Catch-all-Kontrollen nicht gelisteter Dual-Use-Güter“.[85] Die Empfehlung verlangt hier, dass „das Unternehmen Verfahren anwendet, um festzustellen, ob ihm bekannt ist, dass bedenkliche Informationen hinsichtlich der angegebenen Endverwendung vorliegen“. Dabei stellen sich allerdings zwei Probleme: 1. Welche konkreten Verfahren dies sind, ergibt sich aus der Empfehlung nicht.[86] 2. Im Kern geht es hier eigentlich um die anvisierte Endverwendung und nicht um die Güter bzw. deren Konstruktion selbst.

Auch das Merkblatt enthält ausgerechnet zu dem Punkt „Güterbezogenes Screening“ nur wenige Anhaltspunkte. Dort heißt es lediglich, dass Ausführer sicherstellen sollten, dass „sie die Güter für digitale Überwachung, die sie ausführen, kennen und mit ihren Verwendungsmöglichkeiten vertraut sind“.[87] Sind die Güter für digitale Überwachung objektiv-technisch dazu geeignet, im Zusammenhang mit einer Verwendung i.S.v. Art. 5 Dual-Use-VO 2021/821 eingesetzt zu werden, sollte dies – das Merkblatt spricht hier von „diesem Wissen“, wenngleich die objektiv-technische Eignung allein auf subjektives Wissen noch keinen Rückschluss gestattet – dokumentiert und der Exportkontrollstelle des Unternehmens zur Verfügung gestellt werden. Liegen Informationen, Berichte, Artikel oder Veröffentlichungen vor, die darauf hinweisen, dass eine ähnliche Ware im Zusammenhang mit einer Verwendung i.S.v. Art. 5 Dual-Use-VO 2021/821 eingesetzt worden ist oder das bzw. ein ähnliches Gut in der im Amtsblatt der EU veröffentlichten Liste nach Art. 5 Abs. 6 Dual-Use-VO 2021/821 aufgeführt ist, stelle dies eine „Red Flag“ dar. Unternehmen müssen daher wohl oder übel die systematische Suche nach derartigen Informationen, Berichten, Artikeln oder Veröffentlichungen[88] in das Screening integrieren.

(2) Evtl. besteht ein dichterer Bezug zwischen dem länderbezogenen Screening des Merkblatts und der Empfehlung. Hierbei enthält die Empfehlung den einschlägigen Unterpunkt „Prüfung im Hinblick auf mit Embargo oder Sanktionen belegte oder sicherheitssensible Ziele und Unternehmen“.[89] Allerdings beschränken sich die Hinweise in der Empfehlung darauf, dass sich Unternehmen durch Konsultation der aktuellen Sanktionslisten[90] vergewissern, dass keine der beteiligten Parteien (einschließlich von Zwischenhändlern, Käufern, Empfängern oder Endverwendern) Beschränkungen (d.h. Sanktionen) unterliegt. Daran knüpft das Merkblatt zwar an, geht aber darüber hinaus: Ausführer von Gütern für digitale Überwachung sollen sich, unabhängig von der Listung des Empfangslands der Ware, mit der dortigen Situation, insbesondere mit der dortigen allgemeinen Menschenrechtslage „vertraut machen“.[91] Diese biete einen wichtigen Indikator für das mit einer Ausfuhr verbundene Risiko von schwerwiegenden Menschenrechtsverletzungen oder von Verstößen gegen das humanitäre Völkerrecht. Ist es im Empfangsland in der Vergangenheit zu Maßnahmen der internen Repression oder zu anderen schwerwiegenden Verstößen gegen die Menschenrechte, insbesondere des Rechts auf Privatsphäre, des Rechts auf Meinungs-, Vereinigungs- und Versammlungsfreiheit sowie des Rechts auf Gedanken-, Gewissens- und Religionsfreiheit gekommen oder herrscht im Empfangsland ein bewaffneter Konflikt, solle dies den Ausführer dazu veranlassen, ein „sorgfältiges Endverwenderscreening“ durchzuführen.[92] Die Prüfung des Empfangslands bildet damit nach der Konzeption des Merkblatts die Vorstufe zum Endverwenderscreening. Woher allerdings die Informationen über die Situation im Empfangsland stammen sollen, lässt das Merkblatt offen[93] – genau wie die Empfehlung, die dazu ohnehin schweigt.

Liegen dem Ausführer keine Informationen zur Situation im Empfangsland vor, so sei es im Rahmen seiner Sorgfaltspflicht nicht ausreichend, wenn von ihm „in zumutbarer Weise und ohne große Mühe aus zugänglichen Quellen erhältliche Informationen“ ignoriert werden.[94] Ferner wird dem Ausführer auferlegt, weitere im Anhang aufgeführte öffentlich zugängliche Quellen für das länderbezogene Screening heranzuziehen.[95] Diese Quellen werden allerdings nur beispielhaft aufgezählt, sodass der Kreis der heranzuziehenden Informationsquellen letzten Endes offen bleibt. Auch sind die im Anhang genannten Quellen inhaltlich teilweise sehr weit aufgestellt und beziehen sich nicht nur auf den Missbrauch von Überwachungstechnologie, sondern auf zahlreiche – im Rahmen des Art. 5 Dual-Use-VO 2021/821 aber irrelevante – länderspezifische Schieflagen, sodass eine Selektion notwendig wird, die sich am Zusammenhang zwischen den schwerwiegenden Menschenrechtsverletzungen und dem Einsatz der Überwachungstechnologie orientiert.[96] Zum prinzipiellen Ablauf dieser Selektion verhält sich das Merkblatt allerdings nicht.

(3) Schließlich sieht die Empfehlung ein Screening in Bezug auf angegebene Endverwendung und beteiligte Parteien vor[97], die mit dem endverwendungsbezogenen Screening des Merkblatts[98] korreliert. Dabei verweist die Empfehlung ausdrücklich auf die Informationen der „zuständigen Behörde über EU- und nationale Rechtsvorschriften und Anforderungen an die Endverwendungserklärung“.[99] Unter diesen Verweis dürften auch die Angaben des Merkblatts zu Art. 5 Dual-Use-VO 2021/821 fallen. Sowohl Empfehlung als auch Merkblatt weisen darauf hin, dass selbst wenn auf nationaler Ebene eine korrekt ausgefüllte und unterzeichnete Endverwendungserklärung nicht zwingend vorgeschrieben ist, eine solche Erklärung zur Überprüfung der Zuverlässigkeit des Endverwenders bzw. Empfängers hilfreich sein kann, da sich anhand der enthaltenen Angaben feststellen lasse, ob für nicht gelistete Dual-Use-Güter eine Ausfuhrgenehmigung erforderlich ist, wenn Bedenken hinsichtlich der Endverwendung bestehen.[100]

IV. Fazit

Zwar sind sowohl Merkblätter als auch Empfehlungen unverbindlich, dennoch kommt ihnen eine faktische Durchsetzungskraft zu, die nicht zu unterschätzen ist. Problematisch wäre es daher vor allem, wenn zwischen Merkblatt und Empfehlung Widersprüchlichkeiten bestünden, was nach den vorstehenden Ausführungen jedoch nicht der Fall ist. Beide Quellen ergänzen sich gegenseitig und geben – teils Art. 5 Dual-Use-VO 2021/821 überinterpretierende – Leitlinien für Exporteure. Als kritisch erwiesen haben sich insbesondere zwei Punkte: Zum einen ist der Kreis der systematisch in das Screening einzubeziehenden Quellen nicht klar abgesteckt. Zum anderen sind auch bloß mittelbare Folgen in das Screening einzubeziehen, die sich im Umfeld von Art. 5 Dual-Use-VO 2021/821 kaum abschätzen lassen. Es hat sich aber auch gezeigt, dass ein allgemeines ICP zumindest seiner Struktur nach die Anforderungen des Art. 5 Dual-Use-VO 2021/821 durchaus bedienen kann, sofern der Screeningprozess entsprechend angepasst wird. Eine Black Box bleibt allerdings, wie die Rspr. mit der neuen Vorschrift umgehen wird.