eDiscovery im Einsatz

Für die mit solchen internen Ermittlungen beauftragten Kanzleien ist aufgrund der Bonusregelung eine schnelle und exakte Beweisaufnahme und -sicherung sämtlicher Datensätze entscheidend. Hierzu nutzen die Kanzleien sogenannte "eDiscovery"-Tools, die dazu dienen, große Datensätze zu sammeln, zu sichten und auszuwerten. Unter eDiscovery-Tools versteht man allgemein sämtliche technologiegestützten Vorgehensweisen, bei denen digitale Daten und Dokumentensätze identifiziert, beweisfest gesichert und zur Faktenfindung analysiert werden. Der Datenaufbereitungsprozess durch eDiscovery-Tools umfasst in der Praxis dann im Wesentlichen folgende Schritte, die aus dem Electronic Discovery Reference Model ("EDRM") hervorgehen:

1. Die Identifikation potenziell relevanter Daten (Identification) und deren (gerichtsverwertbare) Sicherung (Collection).
2. Die Verhinderung des Löschens potenziell relevanter Unternehmensdaten (Preservation).
3. Die Erstellung eines einheitlichen Auswertungsformats aller Daten und eines entsprechenden Index' über alle Daten, um verschiedene Suchfilter zur Dateneingrenzung anwenden zu können (Processing).
4. Analyse und Sichtung von Dokumenten und Daten, um tatsächliche Fakten anhand einer Beurteilung der Inhalte zu erarbeiten und Zusammenhänge zwischen Personen und Inhalten in Dokumenten erkennen zu können (Analysis & Review).
5. Den formalisierten Export von Ergebnisdokumenten zur Bereitstellung an Behörden, Streitparteien oder auch zur Verwendung in Untersuchungsberichten (Production).
6. Darstellung der Ergebnisse vor dem entsprechenden Gremium (bei internen Audits), einem Gericht oder der zuständigen Behörde (Presentation).

Dabei sind die einzelnen Gesichtspunkte nicht immer vollständig voneinander zu trennen, sondern können fließend in einander übergehen.

‍

Daten identifizieren und sichern

In einem ersten Schritt müssen potentiell relevante Daten identifiziert und gesichert werden. Um die Struktur hinter einem möglichen Kartellverstoß aufzudecken, können sämtliche Unternehmensbereiche, vom Vorstand über die Buchhaltung, den Einkauf bis hin zum Vertrieb von der Datensammlung betroffen sein.

Im Vorgespräch mit dem Unternehmen werden die möglicherweise betroffenen Unternehmensbereiche und Mitarbeiter identifiziert (sog. "Custodians"). Nach Abschluss einer datenschutzrechtlichen Prüfung folgt dann die eigentliche unternehmensinterne Datensicherung und der Datentransfer an die beratende Kanzlei oder den externen eDiscovery-Anbieter. Bei kleineren Datensätzen kann dies mittels Sharepoint-Lösungen erfolgen. Für größere Datensätze empfiehlt sich die Verwendung einer verschlüsselten Festplatte.

Eine Möglichkeit, Zugriff auf Speichermedien, Hardware und diverse Endgeräte wie Mobiltelefone, Tablets und Laptops zu erhalten, sind spezielle Einsatzteams vor Ort, die mit forensischen „Field Kits“ – im Wesentlichen Anschlüsse, Adapter und Controller für verschiedenste IT-Systeme – Daten zusammentragen. Ein weiteres wichtiges Werkzeug sind sog. Writeblocker. Sie werden zwischen eine Beweisdatenquelle und eine Zielfestplatte geschaltet und verhindern, dass während des Kopierprozesses Daten auf der Beweisdatenquelle verändert oder neue Daten darauf geschrieben werden. Auch ein netzwerkbasierter Remote-Zugriff ist grundsätzlich technisch möglich, um den Prozess zu beschleunigen, sofern die Voraussetzungen dafür im jeweiligen Unternehmen gegeben sind.

‍

Extraktion der tatsächlich relevanten Dokumente und deren Analyse

Im nächsten Schritt beginnt die eigentliche Arbeit der Datenforensiker: Die gesicherten Daten (nicht selten mehrere 100 GB) müssen aufbereitet und in die eDiscovery-Plattform exportiert werden. Für die "Beweiserhebung" sollen irrelevante Dokumente so weit wie möglich aussortiert werden, um den Fokus auf relevante Dateien legen zu können. Üblicherweise wird dies – wie auch bei den Behörden – mittels bestimmter Suchbegriffe ("search terms") erreicht. Es kann dabei vorkommen, dass während einer internen Untersuchung die eingesetzten Suchbegriffe mehrfach überarbeitet werden müssen.

Mit Hilfe von eDiscovery-Tools lassen sich Daten dafür in sog. Clustern kategorisieren und optisch aufbereiten, um nachvollziehbar zu machen, wie oft ein bestimmtes Wort isoliert oder im Kontext mit anderen Begriffen auftaucht.

Durchsuchungen mittels Suchbegriffen haben den Vorteil, dass absehbar ist, wie viele Dokumente durchgesehen werden müssen. Für die Beteiligten bringt dies insbesondere mit Blick auf behördliche Fristen Planungssicherheit. Der Output dieser Vorgehensweise ist allerdings begrenzt. Denn für den Fall, dass die anvisierte Person ein solches Stichwort gar nicht verwendet, sondern auf andere Wörter oder Kommunikationselemente wie Bilder zurückgegriffen hat, kann unter einem konkreten Begriff zunächst keine Relevanzabgrenzung durch das eDiscovery-Tool allein erfolgen.

Schwierigkeiten ergeben sich auch bei handschriftlichen Dokumenten oder Bildern mit Textsymbolen. Diese werden gescannt und können über ein sog. "Optical Character Recognition (OCR)"-Verfahren durchsuchbar gemacht werden. Hier kann das jeweilige Programm Muster, wie z.B. Stempel oder Unterschriften, wiedererkennen und entsprechend einordnen. Die Methoden zur Analyse von Handschriften verbessern sich. Nach wie vor sind diese aber nicht mit derselben Verlässlichkeit analysierbar wie maschinenlesbare Druckschrift, die mittels OCR in eine technologisch analysierbare Form überführen lässt. Es bleibt festzuhalten, dass derzeitige Programme hauptsächlich für die Erkennung von Dokumenten optimiert sind, die relativ viel Text enthalten. Sinnzusammenhänge aus Nachrichten eines Kurz-Messenger-Dienstes herauszuarbeiten, bedarf noch der Verbesserung. Insgesamt sind Kartellanten natürlich daran interessiert, möglichst wenig Spuren zu hinterlassen, die auch mittels eDiscovery nicht aufgedeckt werden können. Zu Treffen, bei denen Preise abgesprochen werden, kann es zum Beispiel ausschließlich telefonische Einladungen geben. Die Treffen können jedes Mal von einem anderen Teilnehmer organisiert werden und in wechselnden Hotels stattfinden. Während der Treffen kann auf schriftliche Dokumentation verzichtet werden.

‍

Document Review

Nach der Sammlung und Aufbereitung der zu durchsuchenden Datensätze beginnt die eigentliche eDiscovery in Zusammenarbeit von Mensch und Maschine. Die auf Basis der search terms vorgefilterten Dokumente, werden nun von einem entsprechend geschulten Team durchgesehen (sog. "Document Review"). Hierbei ist entscheidend, dass die Mitarbeiter hinsichtlich des Untersuchungsgegenstandes hinreichend sensibilisiert wurden, um genau zu wissen wonach gesucht wird. Nach der Durchsicht eines Dokuments in der eDiscovery Plattform, wird dieses bewertet und enthält einen sog. "Tag". Im Wesentlichen werden Dokumente auf diese Weise als "relevant" oder "nicht relevant" markiert. Darüber hinaus können je nach Einzelfall zusätzliche Tags eingestellt werden, die zum Beispiel Hinweise auf bestimmte Länder, Personen oder kartellrechtlich problematische Verhaltensweisen berücksichtigen.

Der Prozess folgt dabei dem "Technology-Assisted Review (TAR)" bzw. "supervised machine learning"-Abläufen. Wie der Begriff "supervised" bereits nahelegt, erfolgt der Lernprozess bei der Extraktion von Dokumenten unter menschlicher Beteiligung. Im Rahmen des Document Review-Prozesses kann dabei das "continuous active learning"-Verfahren (CAL) zum Einsatz kommen: Ein Rechtsanwalt sieht eine überschaubare Anzahl der, je nach Unternehmensgröße und Dauer des potentiellen Kartellrechtsverstoßes zahlreichen, Dokumente ein und markiert sie als "relevant" oder "nicht relevant". Auf dieser Basis "erlernt" das Programm den Relevanzfaktor und kann sie im Anschluss bei allen Daten auf dieser Grundlage ermitteln, ohne dabei – wie eine Stichwortsuche – auf das Ergebnis "schwarz und weiß" beschränkt zu sein. Das System kann hierdurch die relevantesten Dokumente identifizieren und sodann priorisieren. Der Anteil wirklich relevanter Dokumente innerhalb des ursprünglich gesicherten Datensatzes ist regelmäßig sehr gering. Durch die Verwendung von CAL wird der Review somit deutlich effizienter, indem sicher gestellt wird, dass die systemseitig als am relevantesten projizierten Dokumente in der Review-Queue vorangestellt werden. In diesem Zusammenhang ist eine enge Abstimmung des Prozesses mit dem Mandanten besonders wichtig. Insbesondere muss der Mandant über mögliche Risiken / Schwierigkeiten aufgeklärt werden, die sich daraus ergeben können, dass nicht jedes Dokument separat von Rechtsanwälten geprüft wird.

Die nachfolgende Grafik zeigt exemplarisch, wie viele Dokumente durch das Programm als relevant eingestuft wurden. Eine natürliche Person, für gewöhnlich ein erfahrener Anwalt, hat dabei nur den gelben und blauen Bereich tatsächlich angesehen; die violett gekennzeichneten Daten dagegen nicht. Der gelbe Bereich enthielt ein bestimmtes Stichwort, der blaue Bereich hingegen nicht. Das Programm hat die Einschätzung des größten Teils selbstständig auf dieser Basis vorgenommen.

Aus dieser Grafik lassen sich folgende Erkenntnisse herleiten:

• Das Programm hat mit dem Input die Klassifizierung nach relevant/nicht relevant selbstständig vorgenommen. Allerdings bedeutet das Vorhandensein eines bestimmten Stichworts nicht, dass das Dokument zu "100 %" relevant oder irrelevant ist. Das Programm kann auch hier Abstufungen vornehmen.
• Eine natürliche Person muss lediglich einen vergleichsweise geringen Anteil der Dokumente tatsächlich überprüfen. Mit jedem überprüften Dokument wird die Einschätzung präziser und das Programm führt den Lernprozess fort.

Fraglich ist dann jedoch, wann das TAR-System den Lernprozess abgeschlossen hat, sodass das Processing abgeschlossen werden kann. Beim Einsatz des CAL-Verfahrens kann eine solche Stopp-Bedingung aus den gefundenen, relevanten Dokumenten hervorgehen.

Wie die abgebildete Grafizeigt, findet das eDiscovery-Tool zu Beginn der Dokumentenanalyse eine hohe Anzahl von relevanten Dateien. Im Laufe des weiteren Verfahrens analysiert das System alle Dokumente und gleicht diese mit den CAL-Protokoll ab, sodass tendenziell immer weniger relevante Daten gefunden werden. Sollten jedoch neue Dokumentensätze während der Voranalyse beigefügt werden, kann das System neue relevante Dokumente erkennen und auf der obigen Grafik anzeigen. Findet es dagegen keine relevanten Dokumente mehr, kann der Review beendet werden.

Nach dem Ende der Voranalyse werden die Dokumente absteigend nach Relevanz sortiert und können von natürlichen Personen individuell gesichtet werden ("First level review"). Auf diese Weise werden alle relevanten Dokumente auf ihre Qualität überprüft und gleichzeitig bereits zu Beginn durchgesehen. Dies spart Zeit und Ressourcen, sodass der federführende Rechtsanwalt und sein Team, das die eigentliche juristische Arbeit vornimmt, deutlich früher involviert werden können ("Second level review"). Der First level review ist seinerseits abgeschlossen, wenn lediglich Dokumente, die das Programm zuvor als nicht relevant eingeordnet hat, auftauchen. Sicherheitshalber überprüft hier jedoch eine natürliche Person stichprobenartig die von dem System als wenig bzw. nicht relevant eingestuften Dokumente.

Wie die folgende Grafik verdeutlicht, lassen sich die tatsächlich relevanten Dokumente auf einen Bruchteil der ursprünglichen Daten reduzieren:

Vor allem bei einer hohen Dokumentenanzahl bietet sich ein "rolling production"-Verfahren an. Dabei werden die aufbereiteten Dateien "häppchenweise" an erfahrene Anwälte zur juristischen Bewertung übermittelt. Dadurch kann der Arbeitsfluss aufrecht erhalten bleiben und mögliche Formatfehler und Zugangshindernisse von Dokumenten können früher erkannt werden.

‍

Export und Darstellung der Ergebnisdokumente

Nachdem die entsprechenden relevanten Ergebnisdokumente analysiert wurden, müssen sie abschließend so aufbereitet und exportiert werden, dass sie in unserem Fall dem Bundeskartellamt präsentiert werden können. Dabei gestaltet sich die Präsentation digitaler Dateien weitaus komplizierter als die Einreichung analoger Papierschriftsätze. Bei den digitalen Dokumenten handelt es sich aber genauso um Beweismittel, an deren Handhabung und Verwertbarkeit strenge Anforderungen gestellt werden.

Während personenbezogene Daten, sofern diese nicht sachverhaltsrelevant sind, durch fortgeschrittene, technologische Lösungsansätze mit Hilfe von Programmen wie "entity based recognition" erkannt und entsprechend zensiert werden ("Redaction"), erfordert dagegen die Aufbereitung von "Metadaten" Fingerspitzengefühl. Hinter dem Begriff "Metadaten" stecken sämtliche Daten einer stattfindenden Kommunikation, ausgenommen vom tatsächlichen Inhalt der Konversation. Dazu zählen insbesondere Zugangsrechte bestimmter Personen auf beweiserhebliche Dokumente und deren letzter Bearbeitungszeitpunkt. Solche Daten können für eDiscovery-Tools den Unterschied zwischen relevanten und irrelevanten Dokumenten darstellen, sind gleichzeitig aber nicht lesbar und müssen in zugängliche Formate übertragen werden. Es handelt sich bei der Präsentation dann nicht mehr um ihre ursprüngliche, technologische Struktur, sondern um "near-native" Dateiformate. Die relevanten Metadaten und wesentlichen Funktionen des nativen Dateiformats bleiben bei einer solchen Umwandlung allerdings erhalten.

Abschließend muss die Integrität der Dateien durch eine Darstellung der "chain of custody" (Beweismittelkette) dokumentiert werden. Die chronologische Dokumentation des Flusses häufig ausgetauschter und bearbeiteter digitaler Dateien soll ihre Authentizität belegen und ihre Tauglichkeit als Beweismittel bewahren. Fehlt es an einer solchen lückenlosen Dokumentation der genau bezeichneten Datenmengen und können diese deshalb später im Bußgeldverfahren nicht verwertet werden, schadet dies den Aussichten auf eine geminderte Geldbuße.

Zusammenfassend kann daher nur eine klare Strukturierung, Zugänglichkeit und Nachvollziehbarkeit der Ergebnisdokumente zu einem erfolgreichen eDiscovery-Verfahren führen. Es empfiehlt sich daher schon zu Beginn des Prozesses, Überlegungen über potentielle Dateiformate und Zeitabläufe vorzunehmen, um über wahrscheinlich relevante Datensätze so früh wie möglich informiert zu sein und diese zu transformieren. Ein solches Vorgehen erhöht die Effizienz eines jeden eDiscovery-Tools und gewährleistet eine effektive und ergebnisorientierte Arbeitsweise.