eDiscovery & technologiegestützte Prüfung (Rechtsstreit, Untersuchungen, DSAR)

In Gerichtsverfahren, bei behördlichen Auskunftsverlangen, internen Untersuchungen und Massenanfragen nach Art. 15 DSGVO muss eine Partei die relevanten Dokumente in Millionen von E-Mails, Chats und Dateien finden. Technology-Assisted Review (TAR, technologiegestützte Prüfung) ordnet Dokumente per Active Learning; seit 2023-2024 ergänzt die LLM-gestützte Erstprüfung natürlichsprachliche Prüfkriterien mit schriftlichen Begründungen. In Verbindung mit statistischer Validierung (Recall, Elusion) verringert dies die Menge, die Juristen lesen müssen, und hält das Verfahren vor Gericht oder Behörde belastbar.

Problem & Nutzen

• Heute: Die Sammlungen der Datenbesitzer (Custodians) umfassen Hunderttausende bis Millionen Objekte. Die Eingrenzung per Stichwort ist grob; die lineare Prüfung durch externe Juristen ist langsam und teuer. Eine RAND-Studie zu den US-E-Discovery-Kosten ist die klassische Referenz dafür, dass die Prüfung den größten Kostenblock bildet [8]. Der gleiche Druck besteht in der EU-Praxis: kartellrechtliche Durchsuchungen, interne Compliance-Untersuchungen, Hinweisgeberfälle und Massenanfragen nach Art. 15 DSGVO.
• KI-Nutzen: (1) Deduplizierung, E-Mail-Threading und Gruppierung von Beinahe-Duplikaten; (2) TAR/Continuous Active Learning zur Priorisierung; (3) LLM-Erstprüfung mit Begründungen und Fundstellen; (4) Qualitätskontrolle der menschlichen Prüfung anhand einer statistischen Stichprobe; (5) Erkennung von Privilegien und personenbezogenen Daten; (6) Chronologien und Fallzusammenfassungen.
• Berichtete Ergebnisse (Herstellerangaben, als Behauptungen behandeln): Relativity gibt an, aiR for Review erreiche „90%+ Recall“ ohne den Einrichtungsaufwand klassischer TAR-Modelle [1]. Ein Forschungspapier zu Graph-/LLM-eDiscovery beschreibt Retrieval- und Reasoning-Methoden für Untersuchungen [5]. Wiederholen Sie jede Messung immer an der eigenen Angelegenheit mit einer Validierungsstichprobe.
• Rechtliche Akzeptanz: US-Gerichte billigten TAR ab 2012 (Moore v. Publicis), nannten es in Rio Tinto v. Vale (2015) „black letter law“ und sahen darin in Hyles v. NYC (2016) in den meisten Fällen wahrscheinlich das beste Werkzeug, wollten es der herausgabepflichtigen Partei aber nicht aufzwingen [4]. Englische und irische Gerichte folgten (z. B. Pyrrho v MWB, 2016).

Varianten

• Rechtsstreit / Schiedsverfahren: Relevanzprüfung, Issue-Kodierung, Privilegienprüfung und Privilegienlog.
• Behördliche und kartellrechtliche Auskunftsverlangen: Prüfung mit hohem Recall unter behördlichen Fristen; mehrsprachige Sammlungen.
• Interne und Hinweisgeber-Untersuchungen: gezielte Datenbesitzer, Chat- und Mobilgerätedaten, Aufbau von Zeitleisten; es gelten Regeln zu Beschäftigtendaten und Mitbestimmung (BDSG §26, Betriebsrat).
• Beantwortung von DSAR nach Art. 15 DSGVO: alle personenbezogenen Daten einer betroffenen Person in E-Mails und Dateien finden, Daten Dritter trennen, schwärzen (siehe DOC-018). Die EDPB-Leitlinien zum Auskunftsrecht (Endfassung April 2023) legen den erwarteten Suchaufwand und seine Grenzen fest [3].
• Legal Hold und frühe Fallbewertung: Daten sichern, Umfang schätzen, Erfolgsaussichten beurteilen, bevor alles gesammelt wird.
• KMU / privat: Sehr kleine Angelegenheiten nutzen Prüffunktionen in M365/Google Vault oder ein SaaS mit Abrechnung pro GB; ein Anwendungsfall für Privatpersonen besteht nicht.

So funktioniert es

1. Legal Hold + Erfassung (M365, Google, Slack/Teams, Dateiablagen, Mobilgeräte)
2. Verarbeitung: Extraktion, OCR, Spracherkennung, Deduplizierung, E-Mail-Threading, Gruppierung von Beinahe-Duplikaten
3. Suche/Eingrenzung: Datum, Datenbesitzer, Stichworte, Konzept-/Embedding-Suche
4. Priorisierung: TAR (Continuous Active Learning) und/oder LLM-Erstbewertung
5. Prüfung: Juristen kodieren Stichproben; das LLM schlägt Tags für Relevanz/Issue/Privileg mit Begründung und zitierten Passagen vor
6. Validierung: Zufallsstichprobe
7. Recall, Precision, Elusion mit Konfidenzintervall
8. Privilegienlog, Schwärzung (DOC-018), Herausgabe- oder DSAR-Paket
9. Prüfpfad und Dokumentation des Protokolls

• TAR 1.0/2.0: Ein Klassifikator (logistische Regression oder Ähnliches über Textmerkmale) wird mit den Entscheidungen der Juristen trainiert; beim Continuous Active Learning kommen als Nächstes die am höchsten eingestuften ungeprüften Dokumente an die Reihe, und der Prozess endet, wenn ein validiertes Recall-Ziel erreicht ist.
• LLM-Prüfung: Das Fallteam formuliert die Prüfkriterien als Prompt; das Modell liefert für jedes Dokument (oder jede Dokumentfamilie) ein Label, eine Begründung und zitierte Passagen. Vor dem Einsatz wird es an einer Stichprobe anhand der Entscheidungen erfahrener Juristen kalibriert.
• Mensch-in-der-Schleife (Human-in-the-Loop): Die Rechtsberatung definiert die Issues, gibt das Protokoll frei, entscheidet über Privilegien und bestätigt die Herausgabe. Modelle entscheiden nie allein über den Verlust eines Privilegs oder über die Herausgabe.

Datenaufbereitung

Die Daten sind die Sammlung selbst: Postfächer und Teams-/Slack-Chats (M365, Google), Dateiablagen, DMS, Cloud-Dokumente, Mobilgerätedaten und Papierscans. Typische Lücken sind reine Bild-PDFs ohne Text, doppelte und nahezu doppelte Kopien bei mehreren Datenbesitzern, fehlende Metadaten zu Datenbesitzer und Datum, passwortgeschützte oder exotische Dateiformate, gemischte Sprachen und unklare Zugriffsrechte auf private Chats und Postfächer.

Schritte der Aufbereitung: zuerst einen Legal Hold anordnen und die Liste der Datenbesitzer festlegen; mit forensisch sauberen Exportwerkzeugen sammeln (Purview, Plattform-Collectors); die Verarbeitung für Textextraktion, OCR (siehe PREP-006), Deduplizierung, E-Mail-Threading und Spracherkennung durchführen; Altarchive konvertieren (PREP-007) und für Tests verwendete Exporte pseudonymisieren (PREP-022). Die Rechtsgrundlage für die Weiterverwendung der Daten in der Angelegenheit prüfen (PREP-025) und klassifizieren, was in welches KI-Werkzeug darf (PREP-024). Danach mit erfahrenen Juristen ein kleines Seed- und Validierungsset aufbauen (PREP-018) und vor dem ersten KI-Lauf die Issue-Kategorien festlegen (PREP-019).

Den Großteil der Verarbeitung übernimmt die Plattform; die Datenaufbereitung macht daher einen mittleren Anteil des Aufwands aus, etwa 20 bis 30 Prozent. Die eigentliche Arbeit liegt in der Abgrenzung, im Legal Hold und in den Zugriffsrechten je Angelegenheit. Siehe auch DOC-018 zur Schwärzung und GUIDE-003 für einen Reifegradcheck.

Umsetzungswege

Welcher Weg für wen

• smb: Weg A, weil eDiscovery- und DSAR-Fälle nur gelegentlich auftreten und eine gehostete Prüfplattform oder ein DSAR-Werkzeug den Prüfpfad liefert, ohne dass etwas gebaut werden muss.
• enterprise: Weg A, weil gerichtsfeste Belastbarkeit und ausgereifte Plattformen wichtiger sind als die Kosten pro Lizenz; nur bei wiederkehrenden, umfangreichen internen Untersuchungen auf B wechseln.
• public: Weg C, weil privilegiertes und ermittlungsrelevantes Material die Behörde oft nicht verlassen darf und ein Betrieb ohne Netzanbindung (Air-Gap) möglich ist.
• developer: Weg B, weil Kanzleien und Legal-Tech-Anbieter maßgeschneiderte Prüf- oder DSAR-Werkzeuge auf in der EU gehosteten APIs bauen und die Validierung dokumentieren können.

Weg A — Kaufen (Standardsoftware) (empfohlen)

• Prüfplattformen mit GenAI: Relativity (RelativityOne mit aiR for Review und aiR for Case Strategy) [1]; Everlaw; DISCO; Reveal (einschließlich Logikcull, Brainspace); Nuix; Exterro; Epiq und andere Dienstleister, die Plattform und betreute Prüfung bündeln. Prüfen Sie Hosting-Region, Auftragsverarbeitungsvertrag und welcher LLM-Unterauftragsverarbeiter je Funktion eingesetzt wird.
• In der Plattform für M365-Nutzer: Microsoft Purview eDiscovery (Standard/Premium) mit Legal Hold, Verwaltung der Datenbesitzer, Prüfsets, Threading, Analyse von Beinahe-Duplikaten und Modellen für Predictive Coding [2]; die klassischen Oberflächen wurden am 31. Aug. 2025 abgeschaltet, nutzen Sie daher die neue Oberfläche im Purview-Portal.
• EU-/deutscher Kontext: Prüfen Sie bei jedem Anbieter das Hosting in der EU-Region; deutsche Anbieter von DSAR-/eDiscovery-Werkzeugen und Legal-Tech-Integratoren gibt es, sie sollten aber einzeln bewertet werden. Für Auskunftsverfahren nach Art. 15 genügt oft ein DSAR-spezifisches SaaS (Datenschutzmanagement-Suiten).
• Wählen Sie A, wenn: Fälle nur gelegentlich auftreten, Belastbarkeit und gerichtliche Akzeptanz am wichtigsten sind und Sie einen Prüfpfad brauchen, den Gegenseite und Aufsichtsbehörden kennen.

Weg B — Auf Cloud-KI-Diensten aufbauen

• Spitzenmodelle oder in der EU gehostete LLMs über Cloud-APIs (Azure OpenAI in EU-Regionen, Mistral, Claude oder Gemini in EU-Regionen) für die Klassifikation auf Dokumentebene mit strukturierter Ausgabe (Label, Begründung, Zitat, Konfidenz).
• Embedding + Reranker für Konzeptsuche und Seeds fürs Active Learning; Hybridindex (OpenSearch/Elasticsearch plus Vektoren).
• Pipeline in Python mit Extraktion im Stil von Tika/Docling; Orchestrierung mit n8n oder einer Job-Queue. Erforderlich: Verträge ohne Datenspeicherung (Zero Retention), Datentrennung je Angelegenheit, Datenhaltung in der EU, Protokollierung jedes Prompts und jeder Antwort für die spätere Verteidigung.
• Wählen Sie B, wenn: Sie eine Kanzlei, eine Big-4-Gesellschaft oder ein Softwareanbieter sind, ein maßgeschneidertes Prüf- oder DSAR-Werkzeug bauen und die Validierung dokumentieren können.

Weg C — Selbst betreiben (Open Source)

• Stack: Einlesen mit Apache Tika, Docling oder PaddleOCR; OpenSearch für die Volltextsuche; Postgres/pgvector oder Qdrant; Open-Weight-LLMs (Qwen-, Mistral-, Llama-Familien, Klasse 30-120B), betrieben mit vLLM; mehrsprachige Embedding- und Reranker-Modelle (z. B. BGE, Qwen3-Embedding). TAR-Klassifikatoren mit scikit-learn sind günstig und laufen auf der CPU. Open-Source-eDiscovery-Frameworks gibt es, sie sind aber deutlich weniger vollständig als kommerzielle Prüfplattformen; rechnen Sie damit, Prüfoberfläche, Hold-Verwaltung und Herausgabeformate selbst zu bauen.
• Hardware: HW3 (eine GPU mit 48-141 GB) für ein Modell mit 30-70B über einige Hunderttausend Dokumente; ein Betrieb ohne Netzanbindung (Air-Gap) ist möglich, was für staatliche Stellen und hochsensible Untersuchungen passt.
• Wählen Sie C, wenn: die Daten die Organisation nicht verlassen dürfen (öffentlicher Sektor, verteidigungsnahe Bereiche, privilegierte Untersuchungen) und die Mengen den Entwicklungsaufwand rechtfertigen.

Weg D — Eigenes Training

Feintuning lohnt sich selten: Die Relevanz wird je Angelegenheit festgelegt, und TAR trainiert bereits je Angelegenheit einen Klassifikator. Es lohnt sich nur bei einer stabilen, wiederkehrenden Aufgabe (zum Beispiel wiederkehrende Kategorien der Verhaltensüberwachung einer Bank oder ein Erkennungsmodell für personenbezogene Daten bei DSAR) mit Tausenden gelabelten Beispielen oder um aus LLM-Labels ein günstiges kleines Modell zu destillieren und so die Kosten bei sehr großen Mengen zu senken.

Stand der Technik (2026)

• Zwei Generationen bestehen nebeneinander: klassisches TAR mit Continuous Active Learning (gerichtlich erprobt, nachvollziehbar, günstig) und LLM-Prüfung (keine Trainingsrunden, Begründungen, Kriterien lassen sich mitten im Verfahren ändern). Plattformen bieten inzwischen beides an; die Praxis ist hybrid, z. B. LLM für die Erstbewertung einer priorisierten Menge, mit TAR oder Stichproben für die Stoppentscheidung [1][2].
• Die Validierung ist der Schlüssel: Recall, geschätzt anhand einer Zufallsstichprobe der ungeprüften (Null-)Menge, Elusionsrate und Vergleich mit der Kodierung erfahrener Juristen. Validierungsprotokolle werden mit der Gegenseite verhandelt oder für die Behörde dokumentiert.
• Agentische und graphbasierte Methoden für Untersuchungen: Entitätsextraktion, Chronologien, Kommunikationsgraphen und Fragebeantwortung mit Quellenangaben über eine Sammlung [5].
• Grenzen und Fehlerbilder: erfundene Begründungen, uneinheitliche Labels über Prompt-Versionen hinweg, schwacher Recall bei seltenen Issues, Umgangssprache/Codesprache, Bilder, Sprachnachrichten, Tabellen und Chat-Fragmente ohne Kontext; lange Dokumentfamilien; mehrsprachige Sammlungen; Privilegienentscheidungen, die Kontext brauchen (Unternehmensjurist vs. externe Kanzlei, Anwesenheit Dritter). Recall-Angaben der Hersteller stammen aus vom Hersteller ausgewählten Fällen.

Gemeinsame Bausteine & Kombinationen

• Gleiche Bausteine: ocr-docparse + Embedding/Reranker/Vektorindex + LLM-Server. Ein RAG-Stack bedient KNOW-002 und KNOW-001; DOC-014 liefert die Parsing-Pipeline; DOC-008 (Klassifikation) und KNOW-025 (Aufbewahrungskennzeichnung) nutzen die Textklassifikatoren erneut.
• Naheliegende Kombinationen: DOC-018 (Schwärzung personenbezogener Daten und privilegierter Passagen, DSAR-Pakete), DOC-011 (Datenraumprüfung nutzt ähnliches Clause-/Issue-Tagging auf einer kuratierten Menge), DOC-009 (Vertragsanalyse der gefundenen Dokumente), KNOW-006 (juristische Recherche), KNOW-026 (Link-Analyse in Untersuchungen, Entity Resolution), SEC-017 (Auffinden sensibler Daten, um Sammlungen abzugrenzen), DOC-020 (gerichtsseitige Aktenverarbeitung nimmt die Herausgabesets entgegen).
• Hardware: Ein HW3-GPU-Server kann LLM, Embeddings und Reranker für all das hosten; bei sensiblen Angelegenheiten vollständig offline.

Aufwand, Kosten & Kennzahlen

• Weg A: Wochen bis zur Einführung, Preise je Angelegenheit oder pro GB/Monat; betreute Prüfung verursacht zusätzliche Servicegebühren. Weg B: 3-6 Monate einschließlich Validierungsprotokoll und Sicherheitsprüfung. Weg C: 6-12 Monate für einen vergleichbaren Funktionsumfang; vor allem durch Souveränitätsanforderungen gerechtfertigt. Weg D: 2-4 Monate und gelabelte Daten zusätzlich.
• Kostentreiber: Datenvolumen (gehostete GB), Zahl der durch LLMs geschickten Dokumente, verbleibende Prüferstunden, Sprachmix, Gutachter-/Validierungsarbeit.
• Kennzahlen: Recall und Precision am Stoppunkt (mit Konfidenzintervall), Elusionsrate, von Menschen geprüfte Dokumente in % der Sammlung, Kosten je Dokument, eingesparte Prüfstunden, Fehler-/Rückforderungsquote beim Privilegienlog, DSAR-Bearbeitungszeit gegenüber der Monatsfrist (Art. 12 DSGVO), Übereinstimmung zwischen Prüfern und Modell.

Menschen & Veränderung

Beziehen Sie die Geschäftsleitung und Legal/Compliance von Anfang an ein (Regeln für Angelegenheiten, Budget, wer KI auf privilegiertes Material anwenden darf). Die Datenschutzbeauftragte bzw. der Datenschutzbeauftragte kommt vor der ersten Sammlung hinzu: Rechtsgrundlage, AVV mit der Plattform und ihren LLM-Unterauftragsverarbeitern sowie eine Datenschutz-Folgenabschätzung (DSFA), da die massenhafte Auswertung von Beschäftigtenkommunikation sie voraussichtlich erfordert (GUIDE-005). IT und IT-Sicherheit richten Erfassung, Zugriffsrechte und Mandantentrennung ein; die Datenverantwortlichen geben Postfächer und Ablagen frei.

Betriebsrat: ja, in der Regel. Die Prüfung von Beschäftigten-E-Mails und -Chats berührt §87 Abs. 1 Nr. 6 BetrVG, weil die Plattformen Nutzeraktivitäten protokollieren und auswerten (nach dem BAG genügt die objektive Eignung), und interne Untersuchungen verwenden Beschäftigtendaten. Informieren Sie ihn früh nach §90 Abs. 1 Nr. 3 und vereinbaren Sie Regeln zu Zweck, Zugriff und Aufbewahrung; ein Sachverständiger nach §80 Abs. 3 kann hinzugezogen werden (GUIDE-004). Im öffentlichen Dienst gilt der Personalrat.

Schulen Sie die Prüfer (Art. 4 der KI-Verordnung (AI Act) verlangt Maßnahmen zur Förderung der KI-Kompetenz, GUIDE-006): wie das LLM Tags vorschlägt, wie man Fehler erkennt und wie die Validierung funktioniert. Beginnen Sie mit einer Pilotangelegenheit und einem kleinen Prüfteam, vergleichen Sie die LLM-Tags mit den Entscheidungen erfahrener Juristen und entscheiden Sie dann über Go/No-Go (GUIDE-009). Typische Sorgen sind der Verlust von Stellen bei den Prüfern und die Haftung für übersehene Dokumente. Begegnen Sie ihnen, indem die Rechtsberatung die Verantwortung für Privilegien, Protokoll und Bestätigung behält und indem Sie die Recall-Werte dokumentieren.

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): Das eigene Prüfwerkzeug einer Partei ist in der Regel kein Annex-III-System; KI, die eine Justizbehörde bei der Ermittlung und Auslegung von Tatsachen und Recht unterstützen soll, fällt unter Annex III Nr. 8 (Rechtspflege) und ist hochriskant, relevant für DOC-020 und die gerichtsseitige Nutzung. Untersuchungen mit Bezug zu Beschäftigten dürfen nicht in eine Überwachung oder Bewertung von Arbeitnehmern abgleiten, die Annex III Nr. 4 auslöst. Art. 5 verbietet Emotionserkennung am Arbeitsplatz; setzen Sie keine Stimmungs-/Emotionsbewertung auf Beschäftigtenkommunikation ein. Art. 4 (KI-Kompetenz) gilt. Daher: abhängig vom Einzelfall [6].
• DSGVO: Prüfsets enthalten große Mengen personenbezogener und besonderer Kategorien von Daten; nötig sind eine Rechtsgrundlage (Art. 6 Abs. 1 lit. f oder c, Art. 9 Abs. 2 lit. f), Zweckbindung, Datenminimierung (früh eingrenzen), eine DSFA bei großen Untersuchungen, Auftragsverarbeitungsverträge und Regeln für Übermittlungen (US-Anfragen vs. Art. 48; Blocking-Statute und Schrems-II-Fragen bei grenzüberschreitender Discovery). Die DSAR-Bearbeitung folgt den EDPB-Leitlinien [3].
• Arbeits- und Geheimnisschutzrecht: Mitbestimmung des Betriebsrats (§87 BetrVG), BDSG §26, Fernmeldegeheimnis bei privater Nutzung des E-Mail-Systems, anwaltliches Mandatsgeheimnis und Berufsgeheimnis (§203 StGB) beim Einsatz von Cloud-Anbietern.
• Verfahrensrecht: Pflicht zur Beweissicherung, Sanktionen bei Beweisvernichtung (Spoliation), Kooperationspflichten vor dem jeweiligen Gericht; das deutsche Zivilprozessrecht kennt keine Discovery nach US-Muster, daher konzentriert sich EDD in Deutschland auf Untersuchungen, Kartellrecht, Schiedsverfahren und US-Verfahren.
• Gegenmaßnahmen: dokumentiertes Protokoll, Validierungsstichprobe, Qualitätskontrolle durch erfahrene Juristen, vollständige Protokollierung von Prompts und Antworten, Trennung auf Ebene der Angelegenheit, kein Training mit Kundendaten, Hosting in der EU oder Air-Gap, menschliche Freigabe bei Privilegien und Herausgabe.

Erste Schritte

1. Wählen Sie eine abgeschlossene frühere Angelegenheit mit bekanntem Ausgang und führen Sie sie als Pilot durch; vergleichen Sie das KI-Ergebnis mit der tatsächlichen menschlichen Kodierung.
2. Definieren Sie Issues und Prüfkriterien präzise; lassen Sie eine erfahrene Juristin oder einen erfahrenen Juristen eine Kontrollstichprobe von 300-500 Dokumenten kodieren.
3. Bewerten Sie 2-3 Plattformen (Weg A) an dieser Angelegenheit: Messen Sie Recall, Precision und Elusion, prüfen Sie EU-Hosting und Unterauftragsverarbeiter.
4. Schreiben Sie das Validierungs- und Stoppprotokoll und holen Sie die Freigabe von Recht und Datenschutz ein (DSFA, gegebenenfalls Betriebsrat).
5. Führen Sie das Verfahren zuerst bei einem laufenden DSAR oder einer internen Untersuchung ein, bevor Sie es in streitigen Gerichtsverfahren nutzen.

Quellen

1. Relativity — aiR for Review / aiR for Case Strategy — https://www.relativity.com/data-solutions/air/
2. Microsoft Learn — Microsoft Purview eDiscovery overview (Standard, Premium, predictive coding, classic retirement 31 Aug 2025) — https://learn.microsoft.com/en-us/purview/ediscovery
3. EDPB — Guidelines 01/2022 on data subject rights, right of access (final April 2023) — https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_en
4. Wikipedia — Electronic discovery (EDRM stages, TAR, Rio Tinto v. Vale, Hyles v. NYC) — https://en.wikipedia.org/wiki/Electronic_discovery
5. arXiv 2405.19164 — Learning from Litigation: Graphs and LLMs for Retrieval and Reasoning in eDiscovery — https://arxiv.org/abs/2405.19164
6. Regulation (EU) 2024/1689 (AI Act), Annex III and Art. 5, 6, 50 — https://eur-lex.europa.eu/eli/reg/2024/1689/oj
7. arXiv 2512.08078 — A Comparative Study of Retrieval Methods in Azure AI Search (early case assessment) — https://arxiv.org/abs/2512.08078
8. RAND Institute for Civil Justice — Where the Money Goes: Understanding Litigant Expenditures for Producing Electronic Discovery (MG-1208) — https://www.rand.org/pubs/monographs/MG1208.html