Hofer Akademische Schriften zum Recht in Nachhaltigkeit, Compliance und IT
Refine
Document Type
- Master's Thesis (7)
Language
- German (7)
Keywords
- Compliance-System (3)
- Datenschutz (3)
- HinSchG (2)
- Hinweisgeber (2)
- Hinweisgeberschutzgesetz (2)
- Whistleblower (2)
- Anonymität (1)
- Arbeitsrecht (1)
- BSC (1)
- Balanced Score Card (1)
Institute
- Graduate School (7)
Has Fulltext
- yes (7)
Is part of the Bibliography
- no (7)
7
Das vorliegende Dokument soll der Zusammenfassung von Ziel, Inhalt und Ergebnis der Masterarbeit dienen.
Ziel der Arbeit war es, die Anforderungen für die Bewertung der Wirksamkeit eines Compliance Management Systems (CMS) zu erarbeiten und die Eignung des Wirtschaftsprüfungsstandards IDW PS 980 n.F. für diese Zwecke zu bewerten.
Im ersten Teil der Arbeit wurde anhand einer Analyse von Rechtsprechung, Literatur und gesetzlichen wie untergesetzlichen Regelungen herausgestellt, dass die wesentliche Anforderung eines Compliance Management in dessen Wirksamkeit (oder auch Effektivität) besteht. Nach der allgemeinen bzw. betriebswirtschaftlichen Bedeutung kommt es demnach zunächst einmal nur darauf an, dass (bzw. in welchem Umfang) das CMS sein Ziel erreicht, und nicht, wie dies geschieht. Diese Bedeutung scheint eher dem Konzept der Ergebniswirksamkeit zu entsprechen, das von der sog. Prozesswirksamkeit abzugrenzen ist. Weil allerdings keine Methoden zur Überprüfung der Ergebniswirksamkeit von CMS allgemein existieren und ein solcher kausaler Zusammenhang empirisch nicht nachweisbar ist, kann aus juristischer Sicht die Ergebniswirksamkeit nicht das entscheidende Kriterium sein. Denn dann würde von den betroffenen Unternehmen Unmögliches verlangt werden. Daher kommt es entscheidend auf das Kriterium der Prozesswirksamkeit an. Um im Rahmen des Möglichen und Zumutbaren eine gewisse Ergebniswirksamkeit sicherzustellen, ist ein essentieller Bestandteil dieses zu überprüfenden Prozesses die regelmäßige Überprüfung der Ergebniswirksamkeit einzelner Compliance Maßnahmen. Für die Dokumentation dieses Prozesses kann ein Reifegradmodell herangezogen werden.
Unter Zugrundelegung dieses Verständnisses wurde im zweiten Teil der Arbeit die Eignung der Wirksamkeitsprüfung nach dem IDW PS 980 n.F. zur Überprüfung der Wirksamkeit eines CMS bewertet. Auch die haftungsrechtlichen Auswirkungen wurden analysiert.
Die Ergebnisse dieser Bewertung können thesenartig wie folgt zusammengefasst werden:
1. Der IDW PS 980 n.F. eignet sich zur Überprüfung der Prozesswirksamkeit eines CMS.
2. Die Aussagekraft beschränkt sich auf die geprüften Teilbereiche.
3. Ein positives Testat kann sich sowohl straf-, ordnungswidrigkeiten-, als auch zivilrechtlich positiv auswirken.
Ein uneingeschränktes Prüfungsurteil nach dem IDW PS 980 n.F. liefert unterschiedliche Begründungsansätze, die gegen eine Haftung nach den §§ 30, 130 OWiG bzw. §§ §§ 43 Abs. 2 GmbHG oder § 93 Abs. 2 S. 1 AktG angeführt werden können.
4. Aus haftungsrechtlicher Sicht empfiehlt es sich, bei der Beauftragung des Wirtschaftsprüfers selbst die juristische Expertise des Prüfungsteams sicherzustellen.
6
Die vorliegende Masterarbeit untersucht die rechtlichen Herausforderungen bei der Einführung von Systemen zur automatisierten Dokumentenklassifizierung unter Einsatz Künstlicher Intelligenz und entwickelt ein praxisorientiertes Vorgehensmodell. Ausgehend von den technischen Grundlagen – insbesondere Optical Character Recognition (OCR), Natural Language Processing (NLP) und Machine Learning (ML) – werden die rechtlichen Rahmenbedingungen systematisch analysiert.
Zentrale Regelwerke sind die europäische KI-Verordnung (KI-VO), welche Dokumentenklassifizierungssysteme regelmäßig als Systeme mit geringem Risiko einordnet, im Einzelfall jedoch Hochrisikopotenzial eröffnet, sowie die Datenschutz-Grundverordnung (DS-GVO), die weitreichende Anforderungen an Rechtsgrundlagen, Betroffenenrechte und technische sowie organisatorische Maßnahmen stellt. Ergänzend sind urheberrechtliche Schrankenregelungen (§§ 44a, 44b UrhG) sowie die Vorgaben des Geschäftsgeheimnisgesetzes zu beachten.
Auf dieser Grundlage wird ein dreiphasiges Vorgehensmodell entworfen: Phase 1 umfasst Anbieterwahl, Risikoanalyse und vertragliche Absicherung; Phase 2 widmet sich der Auswahl und Aufbereitung von Trainingsdaten, der datenschutzrechtlichen Bewertung sowie der Sensibilisierung von Mitarbeitenden; Phase 3 beschreibt den Live-Betrieb mit Zugriffskontrollen, Monitoring, menschlicher Aufsicht und Audits.
Die Arbeit kommt zu dem Ergebnis, dass eine rechtssichere Einführung nur durch die enge Verzahnung juristischer, technischer und organisatorischer Maßnahmen gelingen kann. Das entwickelte 3-Phasen-Vorgehensmodell bietet Unternehmen eine praktikable Grundlage, um Effizienzgewinne der KI-Nutzung zu realisieren und zugleich regulatorische Risiken zu beherrschen.
5
Das Hinweisgeberschutzgesetz trat am 2. Juli 2023 in Deutschland in Kraft und bezweckt sowohl die Wahrung der Vertraulichkeit als auch den Schutz vor Repressalien für
hinweisgebende Personen. Ziel der vorliegenden Arbeit ist es, anhand des Stands der Literatur die Anforderungen für den Hinweisgeberschutz nach der neuen Rechtslage zu untersuchen. Zugleich wird die Substanz der Schutzwirkung anhand der dem Gesetz immanenten Mechanismen durch die Einsortierung verschiedener Rechtsauffassungen bewertet. Auseinandergesetzt wird sich zuvörderst mit dem persönlichen wie auch dem sachlichen Anwendungsbereich der Norm. Letztgenannter ist aufgrund seiner Komplexität im Hinblick auf die mannigfachen Rechtsmaterien im Ergebnis problembehaftet. In der Folge dürften einzelne Normen regelmäßig zum Untersuchungsgegenstand sowohl von Hinweisgebern als auch von Meldestellen werden, um die Anwendbarkeit des Gesetzes zu prüfen. In diesem Zusammenhang wirft auch die Möglichkeit öffentlicher Stellen, Meldungen aufgrund einer Einstufung als Verschlusssache dem Hinweisgeberschutz zu entziehen, Fragen auf. Gleichwohl scheint das tatsächliche Risiko in der Bewertung eher unwahrscheinlich. Hinsichtlich der sog. Folgemaßnahmen der Meldestelle wird insbesondere das Aufbrechen des Grundsatzes der Vertraulichkeit beleuchtet. Die Offenlegung der Identität gegenüber verschiedenen Akteuren scheint dabei im Ergebnis alles andere als unwahrscheinlich. Hieraus lässt sich einerseits ein erhöhtes Aufklärungserfordernis seitens der Meldestelle gegenüber potentiellen Hinweisgebern und andererseits der Nutzen des Einsatzes von Ombudspersonen ableiten. Betrachtet wird überdies das Meldeverfahren, bei dem vor allem die anonyme Meldung in den Blick gerät. Das Ausklammern der Pflicht, solchartige Meldekanäle zu etablieren, stellt mitunter das größte Manko des Hinweisgeberschutzgesetzes dar und untergräbt mithin einen wirkungsvollen Whistleblowerschutz. Es kann aufgezeigt werden, dass die befürchtete Überlastung der Meldestellen, wie auch die Zunahme von Meldungen „ins Blaue hinein“ trotz anonymer Meldewege nicht eingetreten wäre und der Mehrwert anonymer Informationsweitergaben klar überwiegt. Die Untersuchung des Schadensersatzanspruchs und der damit eng verknüpften Beweislastumkehr zeigt in der Gesamtschau auf, dass hinweisgebende Personen tendenziell weitreichende Ansprüche gegen die Maßregelnden geltend machen können. Aus Sicht des Datenschutzes sind Bedingungen an die rechtmäßige Weitergabe der Identitäten, die technische Ausgestaltung der Meldekanäle und die Risiken aufgrund der Transparenzregelungen der DSGVO von Belang und entsprechend zu begutachten. Zuletzt zeigt die Beurteilung der beamtenrechtlichen Besonderheiten nach Maßgabe des Hinweisgeberschutzes ein größeres Spektrum an Meldeverfahren auf, was dem Grunde nach eine Erleichterung für das Beamtentum darstellen dürfte. In der Gesamtschau entfaltet das Hinweisgeberschutzgesetz jedoch nur unzureichend die gewünschte Wirkung.
4
Die Masterarbeit behandelt die Thematik der Verarbeitung von personenbezogenen Daten im Rahmen strafrechtlicher Ermittlungen, die aufgrund einer Einwilligung der betroffenen Person vorgenommen werden. Dabei werden die datenschutzrechtlichen Voraussetzungen analysiert, um festzustellen welche Vorgaben aus den zugrundeliegenden Datenschutzgesetzen beachtet werden müssen und wie diese umzusetzen sind. Hierbei wird sich maßgeblich auf das Bundesdatenschutzgesetz gestützt, welches die von der Europäischen Union erlassene JI-Richtlinie in Deutschland umsetzt. Dabei wird zunächst am Beispiel des Angebotes der Atemalkoholkontrolle durch die Polizei im Rahmen einer Verkehrskontrolle einführend die Praxisrelevanz der Frage dargestellt. Neben einer Darstellung der sich aus dem Bundesdatenschutzgesetz ergebenden Datenschutzgrundsätze und deren Ausprägung im Kontext der behördlichen Datenverarbeitung wird vor allem auf die speziellen Probleme der Einwilligung Bezug genommen. Hierbei zählt zum einen die Frage der Notwendigkeit des Vorliegens einer Rechtsvorschrift, welche die Einwilligung als legitime Verarbeitung bedenkt, womit derzeit nur wenige Vorschriften der Strafprozessordnung ausgestattet sind. Zum anderen wird das Verhältnis zwischen Staat und Bürger problematisiert, da die Durchführung einer polizeilichen Maßnahme für den Bürger immer eine Drucksituation bedeutet. Die Arbeit untersucht, inwiefern unter diesen Bedingungen die freiwillige Abgabe einer Einwilligung erfolgen kann und stellt dabei auch heraus, welche Informations- und Dokumentationspflichten seitens der verarbeitenden Behörde erbracht werden müssen. Die Thesis schließt mit dem Fazit, dass sich die Verarbeitung im Rahmen strafprozessualer Maßnahmen durch die Polizei auf einzelne Ausnahmefälle beschränkt. Die Hürden der Vornahme der Verarbeitung sind in der Praxis zu hoch, da die tatsächliche freiwillige Abgabe der Einwilligung des Betroffenen durch die Polizei nur schwer nachgewiesen werden kann und damit das Risiko einer staatlichen Datenverarbeitung ohne Rechtsgrundlage hoch ist.
3
Die wachsende Bedeutung der internen Untersuchungen ist in den verschiedenen Gesetzentwürfen zu einem Unternehmenssanktionsrecht, die seit 2013 vorgelegt und im Rahmen der Masterarbeit analysiert wurden, festzustellen. Die Regelungen zu internen Untersuchungen in den Gesetzentwürfen nehmen über die Zeit hinweg zu. Der Ausblick auf die kommenden Jahre lässt einen weiteren Anstieg der internen Untersuchungen erwarten, denn sowohl das Lieferkettensorgfaltspflichtengesetz als auch das kommende Hinweisgeberschutzgesetz sehen einen Beschwerde- bzw. internen Meldekanal vor, über den Hinweise auf Compliance-Verstöße gemeldet werden können. Mancher Hinweis wird einen Auslöser für interne Untersuchungen darstellen und deshalb ist es notwendig, dass der Gesetzgeber über ein neues Unternehmenssanktionsrecht einen präzisen Rechtsrahmen für interne Untersuchungen vorgibt. So sieht es zumindest der Koalitionsvertrag der aktuellen Ampelkoalition vor.
In der empirischen Untersuchung wurde im Rahmen von Interviews mit Vertretern der drei Staatsgewalten über die möglichen Eckpunkte eines neuen Gesetzentwurfes gesprochen. Neben den repressiven Sanktionen sollte in einem neuen Gesetzesvorhaben der Anreiz für präventive Compliance-Maßnahmen geschaffen werden. Vor- und nachtatliche Compliance-Maßnahmen, die Durchführung von internen Untersuchungen und die Kooperation mit den Strafverfolgungsbehörden sollten sich für die Unternehmen sanktionsbefreiend bzw. -mildernd auswirken.
Für die Unternehmen ist es wichtig, dass die rechtlichen Unsicherheiten, die sich aus dem fehlenden Rechtsrahmen ergeben, behoben werden. Als Schlagworte sollen hier die Themen Beschlagnahmeschutz, Selbstbelastungsfreiheit für die Mitarbeitenden, die datenschutzrechtliche Unsicherheiten beim Screening von Dokumenten und Kommunikationsdaten und die Mindestanforderungen für Compliance Management Systeme genannt werden. Ferner benötigen die Unternehmen verfahrensrechtliche Vorgaben, damit die Ergebnisse aus den internen Untersuchungen bei einer Kooperation mit den Ermittlungsbehörden verwendet und verwertet werden können.
Als Ergebnis der empirischen Untersuchung und aus den Erkenntnissen aus den ersten beiden einleitenden Kapiteln wurde eine Skizze für zukünftige Regelungen erarbeitet. Aufgrund der weiterhin wachsenden Bedeutung von internen Untersuchungen und der fehlenden höchstrichterlichen Rechtsprechung zu diesem Thema ist der Gesetzgeber mehr denn je gefordert, mit einem neuen Unternehmenssanktionsrecht für Klarheit und Rechtssicherheit bei den Unternehmen zu sorgen und eine Basis für die Zusammenarbeit mit den Ermittlungsbehörden zu schaffen.
1
Mit der Einführung digitaler Produkte in § 327 Absätze 1 und 2 BGB zum 1. Januar 2022 ist mit dem Inkrafttreten des Gesetzes zur Umsetzung der Richtlinie über bestimmte vertragsrechtliche Aspekte der Bereitstellung digitaler Inhalte und digitaler Dienstleistungen, ein neuer Gegenstand, ein spezielles digitales Gut in die deutsche Rechtsordnung getreten. Die §§ 327 ff. BGB betreffen sämtliche Leistungsbeziehungen, deren Leistungsgegenstand oder Leistungs-modalitäten in digitalen Gütern oder Dienstleistungen bestehen, das heißt fast alles, was die digitale Welt an Gütern und Dienstleistungen bereithält.
Die Zuweisung neuer, in der Regel durch zuvor nicht verfügbare Technologien gewonnene Güter, stellt die Privatrechtsordnung immer wieder vor die Frage, ob eine Zuordnung durch Gesetz oder richterliche Rechtsfortbildung vorgenommen werden oder unterbleiben soll. Vor diesem Hintergrund, widmet sich die vorliegende Arbeit des Themas der Gesamteinordnung digitaler Produkte in die Systematik der Rechtsobjekte der deutschen Zivilrechtsordnung. Bis heute fehlt es allerdings an einer einheitlichen und verbindlichen Definition von Rechtsobjekten. Bereits kurz nach der Kodifikation des BGB haben sich verschiedene Theorien betreffend die Definition des Begriffs „Rechtsobjekt“ herausgebildet. Der Schlüssel für die rechtliche Einordnung in das System der Rechtsobjekte ist die Differenzierung digitaler Produkte in verschiedene Informationsebenen. Die schwerpunktmäßig behandelte strukturelle Informationsebene digitaler Produkte lässt sich nach dem hier vertretenen Ergebnis nicht als Rechtsobjekt qualifizieren. Digitale Produkte erfüllen die Anforderungen des Sachbegriffs gemäß § 90 BGB nicht, vielmehr besteht an diesen, eine aus dem Strafrecht stammende, Datenverfügungsberechtigung. In Abhängigkeit von der jeweils betrachteten Informationsebene digitaler Produkte lassen sich verschiedene Arten von Rechtsobjekten bestimmen. Die Erkenntnisse dieser Arbeit ermöglichen die Feststellung, dass digitale Produkte keine einheitlichen, sondern vielmehr hybride Rechtsobjekte sind.
2
Die Umsetzungsfrist der Richtlinie (EU) 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden (Whistleblower-Richtlinie) ist in Deutschland zum 17.12.2021 erfolglos abgelaufen. Ein vom Bundestag verabschiedeter Entwurf eines Gesetzes für einen besseren Schutz hinweisgebender Personen (Hinweisgeberschutzgesetz) hat am 10. Februar 2023 im Bundesrat keine Mehrheit erhalten. Mit einem zeitnahen Abschluss des Gesetzgebungsverfahrens ist dennoch zu rechnen, da die Koalition das Gesetzesvorhaben nun in zwei Teile gefasst hat, welche seit dem 14. März 2023 in das parlamentarische Verfahren eingebracht wurden.
Die Umsetzung des Hinweisgeberschutzgesetzes in Unternehmen birgt an einigen Stellen rechtliche Unsicherheiten, woraus Risiken resultieren können. So geht die vorliegende Arbeit der Frage nach, ob eine Balanced Score Card für Unternehmen im Umgang mit rechtlichen Unsicherheiten und aus der Umsetzung des Hinweisgeberschutzgesetzes resultierenden Risiken eine geeignete Hilfestellung darstellen könnte.
Um die Forschungsfrage zu beantworten, wurde zunächst die Eignung einer Balanced Score Card als Instrument des Risikomanagements untersucht. Anschließend wurden rechtliche Unsicherheiten und Risiken, welche für Unternehmen durch die Umsetzung des Hinweisgeberschutzgesetzes entstehen könnten, herausgearbeitet. Behandelt wurden dabei die Themengebiete persönlicher und sachlicher Anwendungsbereich, Anreize zur Wahl der internen Meldestelle, zentrale Konzernmeldestelle, anonyme Meldungen, Schutzvoraussetzungen, Repressalienverbot und Beweislastumkehr sowie interne Untersuchungen als Folgemaßnahmen. Im Anschluss wurde eine Risiko-Balanced Score Card für den Umgang mit dem Hinweisgeberschutzgesetz erstellt und das Vorgehen geprüft und bewertet. Zuletzt wurden Handlungsempfehlungen für Unternehmen herausgearbeitet.
Die Risiko-Balanced Score Card kann als Instrument zur Risikoidentifikation und -analyse und als Grundlage für die Risikobewertung dienen. Für viele Unternehmen kann sie als Hilfestellung im Umgang mit den genannten Risiken gelten, da für sie eine Pflicht zur Einrichtung interner Meldekanäle besteht und daraus Schutzansprüche für Whistleblower entstehen können.