Im vorangegangenen Beitrag dieser Serie haben wir beschrieben, wie technologische Entwicklungen, cloudbasierte Infrastrukturen und neue organisatorische Anforderungen die Rahmenbedingungen für eDiscovery verändern. Regulatorische Entwicklungen sind dabei einer von mehreren Faktoren, die zusammen auf Prozesse, Technologien und Operating Models wirken.
Datenschutzrechtliche Vorgaben, internationale Datentransfers, neue Anforderungen an den Einsatz von KI, Fragen der digitalen Souveränität oder branchenspezifische Regelwerke prägen heute zahlreiche Entscheidungen entlang des eDiscovery-Lebenszyklus. Fragen der Regulierung treten damit nicht erst auf, wenn ein Matter bereits läuft, sondern beeinflussen beispielsweise, welche Daten verarbeitet werden dürfen, wo diese verarbeitet werden, welche Technologien eingesetzt werden können und wer Zugriff auf die Ergebnisse erhält.
Anforderungen entwickeln sich weiter, neue Regelwerke kommen hinzu, und grenzüberschreitende Matters verbinden häufig unterschiedliche Anforderungen an Datenschutz, Datentransfers, Beschäftigtendaten oder Technologieeinsatz. Belastbare Strukturen entstehen dort, wo regulatorische Anforderungen systematisch eingeordnet und in wiederverwendbare Entscheidungs- und Governancemodelle übersetzt werden können. Regulierung wird damit zunehmend zum Gestaltungsfaktor.
Mehr als Datenschutz: Die regulatorische Landkarte von eDiscovery
In der Praxis wirken heute häufig mehrere regulatorische Ebenen gleichzeitig auf ein Matter ein. Datenschutzrechtliche Vorgaben treffen auf Anforderungen zu internationalen Datentransfers, Fragen des KI-Einsatzes, Cloud- und Providermodelle sowie sektor- oder länderspezifische Regelwerke. Die Auswirkungen zeigen sich in konkreten Entscheidungen zu Daten, Technologien, Zugriffsmodellen und Prozessen.
Den Ausgangspunkt bildet weiterhin das Datenschutzrecht. Die Datenschutz-Grundverordnung (DSGVO) prägt nahezu jeden eDiscovery-Prozess, da in der Regel personenbezogene Daten verarbeitet werden. Fragen der Rechtsgrundlage, Datenminimierung, Zweckbindung, Sicherheit und Dokumentation begleiten daher viele Matters von der Datensammlung bis zur Bereitstellung der Ergebnisse.
Gerade in Deutschland, Österreich und der Schweiz (DACH-Staaten) kommen häufig arbeitsrechtliche und mitbestimmungsrechtliche Fragestellungen hinzu. Dies gilt insbesondere bei internen Untersuchungen, der Auswertung von Mitarbeiterkommunikation, HR-bezogenen Sachverhalten oder Hinweisgeberverfahren. So kann zum Beispiel die Untersuchung eines über eine interne Meldestelle eingegangenen Hinweises die Auswertung von E-Mails, Chatnachrichten und anderen Kommunikationsdaten erforderlich machen. Bevor die eigentliche Sachverhaltsaufklärung beginnt, muss dabei häufig geklärt werden, welche Daten ausgewertet werden dürfen, welche Beteiligungsrechte bestehen und welche Grenzen für die Untersuchung gelten.
Darüber hinaus gewinnen internationale Datentransfers zunehmend an Bedeutung. Ein typisches Szenario ist die Auswertung von in Deutschland gespeicherten Daten durch ein Investigations- oder Litigation-Team in einer anderen Jurisdiktion. Bereits die Entscheidung, ob die Daten an das Team übermittelt werden, ob ein Zugriff aus dem Ausland erfolgt oder ob bestimmte Verarbeitungsschritte lokal durchgeführt werden müssen, kann regulatorische Anforderungen an Datentransfers und Drittstaatenzugriffe auslösen. Damit wird aus einer operativen Projektentscheidung unmittelbar eine Frage der zulässigen Datenübermittlung, geeigneter Schutzmaßnahmen sowie der Anforderungen aus Standardvertragsklauseln (Standard Contractual Clausels; kurz: SCCs) und Art. 48 DSGVO.
Auch regulatorische Anforderungen an den Einsatz von KI entwickeln sich weiter. Die KI-Verordnung der Europäischen Union (EU AI Act) sowie Veröffentlichungen des European Data Protection Board (EDPB) schaffen zusätzliche Anforderungen an Transparenz, Dokumentation, Nachvollziehbarkeit und den kontrollierten Einsatz KI-gestützter Verfahren. Für eDiscovery betrifft dies insbesondere Anwendungsfälle wie Zusammenfassung oder Reviewunterstützung. Wird beispielsweise KI eingesetzt, um mehrere Hunderttausend Dokumente zu priorisieren oder Kommunikationsverläufe zusammenzufassen, entstehen Anforderungen an Transparenz, Dokumentation und menschliche Kontrolle – Fragen der Überprüfbarkeit von Ergebnissen und der Rolle menschlicher Reviewer geraten damit zunehmend in den regulatorischen Fokus.
Hinzu treten regulatorische Fragen rund um Cloudnutzung, digitale Souveränität und den Einsatz externer Technologieanbieter. Entwicklungen wie der EU Data Act rücken die Frage, wo Daten verarbeitet werden, wer darauf zugreifen kann und welche Anforderungen für den Einsatz externer Technologieanbieter gelten, stärker in den Vordergrund.
Je nach Branche treten weitere Anforderungen hinzu. Die NIS-2-Richtlinie (NIS2), der Digital Operational Resilience Act (DORA) und andere sektorspezifische Regelwerke adressieren Themen wie Cybersicherheit, Resilienz, Drittparteienrisiken oder Meldepflichten. Für eDiscovery können daraus Anforderungen an den Einsatz externer Dienstleister, die Absicherung von Plattformen, den Umgang mit Dienstleisterrisiken oder die Dokumentation und Nachvollziehbarkeit von Prozessen entstehen.
Besonders anspruchsvoll werden regulatorische Fragestellungen in den bereits erwähnten grenzüberschreitenden Matters. Unterschiedliche Rechtsräume bringen häufig unterschiedliche Anforderungen an Datenschutz, Datenzugriffe, Aufbewahrung oder den Einsatz von Technologie mit sich. Während in einem Land bestimmte Kommunikationsdaten ohne Weiteres ausgewertet werden können, gelten in einem anderen Land zusätzliche Anforderungen aus Beschäftigtendatenschutz oder Mitbestimmungsrechten. Ein global einheitliches Vorgehen ist deshalb häufig nicht möglich – Umfang, Vorgehensweise und zulässige Auswertungen müssen oft an die jeweiligen rechtlichen Rahmenbedingungen angepasst werden.
Von Regeln zu Matter-Merkmalen
Die Herausforderung besteht in der Praxis selten darin, Datenschutzrecht, Datentransfers oder arbeitsrechtliche Vorgaben grundsätzlich zu benennen. Sie beginnt häufig in dem Moment, in dem ein neues Matter auf dem Tisch liegt. Welche Daten sind betroffen? Ist Mitarbeiterkommunikation involviert? Müssen Daten über Landesgrenzen hinweg ausgewertet werden? Ist der Einsatz von KI geplant? Von den Antworten hängt ab, welche regulatorischen Anforderungen konkret relevant werden und wie sich daraus ein rechtssicheres und praktikables Vorgehen ableiten lässt.
Organisationen mit etablierten eDiscovery-Prozessen arbeiten deshalb häufig mit wiederkehrenden Fallgruppen und Merkmalen, anhand derer sich typische Fragestellungen frühzeitig erkennen lassen.
Dazu zählen beispielsweise:
- Art und Sensitivitaet der Daten
- Mitarbeiter- oder HR-Bezug
- beteiligte Jurisdiktionen
- Behörden- oder Gerichtsbezug
- Einsatz KI-gestützter Verfahren
- Cloud- und Datentransferbezug
- branchenspezifische regulatorische Anforderungen
- Fragen des Berufsgeheimnisses, der Privilegierung oder arbeitsrechtlicher Vorgaben
Die praktische Bedeutung solcher Merkmale zeigt sich schnell im Einzelfall. So stehen bei einer internen HR-Untersuchung häufig Beschäftigtendatenschutz, Mitbestimmungsrechte und der Umgang mit Mitarbeiterdaten im Vordergrund. Bei einer grenzüberschreitenden Untersuchung können dagegen Datentransfers, Zugriffsrechte oder mehrere beteiligte Jurisdiktionen die entscheidenden Fragestellungen sein. Andere Matters bringen wiederum Anforderungen an Vertraulichkeit, Aufbewahrung oder den Einsatz bestimmter Technologien mit sich.
Die Einordnung eines Matters anhand solcher Merkmale ersetzt keine individuelle rechtliche Würdigung. Sie schafft jedoch einen strukturierten Ausgangspunkt für wiederkehrende Entscheidungen. Der Fokus verschiebt sich damit von der Frage, welche Regulierung existiert, hin zur Frage, welche Anforderungen durch die konkreten Merkmale eines Matters ausgelöst werden – und wie sich daraus ein praktikables Vorgehen ableiten lässt.
Ein praktischer Ansatz für den Umgang mit regulatorischen Anforderungen
Die Einordnung von Matters anhand wiederkehrender Merkmale ist ein wichtiger erster Schritt. In der Praxis entsteht der eigentliche Mehrwert jedoch erst dann, wenn für wiederkehrende Fragestellungen belastbare Vorgehensweisen zur Verfügung stehen.
Viele Fragestellungen treten in ähnlicher Form immer wieder auf: der Umgang mit Mitarbeiterdaten, grenzüberschreitende Datenzugriffe, der Einsatz von KI oder die Nutzung externer Technologieanbieter. Für solche Konstellationen bewährte Vorgehensweisen, Entscheidungsgrundlagen und Eskalationswege vorzuhalten, reduziert den Aufwand einer Neubewertung und erhöht die Konsistenz der Entscheidungen.
Nicht jedes Matter lässt sich einer bekannten Fallgruppe zuordnen. Neue oder außergewöhnliche Konstellationen erfordern eine gesonderte Bewertung. Ziel ist nicht die vollständige Standardisierung regulatorischer Entscheidungen, sondern ein strukturierter Umgang mit wiederkehrenden Fragestellungen.
Die regulatorische Landschaft bleibt in Bewegung. Neue Vorgaben, Leitlinien und technologische Entwicklungen müssen laufend beobachtet und in bestehende Strukturen eingeordnet werden. Bestehende Vorgehensweisen sind daher regelmäßig zu überprüfen und bei Bedarf anzupassen.
Fazit: Regulierung in operative Entscheidung übersetzen
Datenschutz, Datentransfers, Beschäftigtendatenschutz, KI-Regulierung oder digitale Souveränität werden eDiscovery auch künftig prägen. Für die Praxis entscheidet jedoch selten die einzelne Regulierung über den Erfolg eines Matters. Entscheidend ist, wie unterschiedliche Anforderungen im konkreten Sachverhalt zusammenwirken und welche Konsequenzen sich daraus für Daten, Technologien, Zugriffsmodelle und Prozesse ergeben.
Der Weg von regulatorischer Komplexität zu belastbaren Entscheidungen führt nicht über die isolierte Betrachtung einzelner Regelwerke. Er erfordert Strukturen, mit denen sich neue Anforderungen einordnen, wiederkehrende Fragestellungen bewerten und praktikable Vorgehensweisen ableiten lassen. Dort, wo Regulierung systematisch in operative Entscheidungen übersetzt wird, wird sie zum Gestaltungsfaktor für eDiscovery.
