Software ist Ausfuhr: Art. 2 Nr. 2 Buchst. d der Verordnung (EU) 2021/821 und die Kryptotechnik-Anmerkung

Wichtige Erkenntnisse

• Art. 2 Nr. 2 Buchst. d der Verordnung (EU) 2021/821 zählt zur Ausfuhr „das Bereitstellen solcher Software oder Technologie in elektronischer Form für natürliche oder juristische Personen oder für Personenvereinigungen außerhalb des Zollgebiets der Union“. Ein Nutzerkonto für einen Kunden in einem Drittstaat ist damit ein Ausfuhrvorgang.
• Genehmigungspflichtig ist nach Art. 3 Abs. 1 nur die Ausfuhr von Gütern, die in Anhang I gelistet sind; nach Art. 4 Abs. 1 auch nicht gelistete Güter, wenn die zuständige Behörde den Ausführer über eine kritische Endverwendung unterrichtet hat.
• Die Allgemeine Software-Anmerkung stellt frei erhältliche und allgemein zugängliche Software frei, ausdrücklich aber nicht Software der Kategorie 5 Teil 2 („Informationssicherheit“). Für Verschlüsselung gilt die eigene Kryptotechnik-Anmerkung.
• Die Kryptotechnik-Anmerkung stellt Massenmarkt-Kryptoprodukte frei, verlangt aber unter Nr. 4, dass „detaillierte technische Beschreibungen der Güter vorzuhalten und auf Verlangen der zuständigen Behörde … vorzulegen“ sind. Die Freistellung ist an eine Akte gebunden.
• Ein Internal Compliance Programme ist nach Art. 12 Abs. 4 nur für Nutzer von Globalausfuhrgenehmigungen vorgeschrieben. Art. 8 betrifft technische Unterstützung, nicht das ICP.
• Die ungenehmigte Ausfuhr gelisteter Güter ist nach § 18 Abs. 5 Nr. 1 AWG mit Freiheitsstrafe von drei Monaten bis zu fünf Jahren bedroht; fahrlässiges Handeln ist nach § 19 Abs. 1 AWG eine Ordnungswidrigkeit.

Warum ein Softwareunternehmen ohne Zollanmeldung ausführt

Die Ausfuhrkontrolle wird in Deutschland als Thema des Maschinenbaus wahrgenommen: Werkzeugmaschinen, Ventile, Sensoren, ein Container, eine Zollanmeldung. Die Verordnung (EU) 2021/821, die seit dem 9. September 2021 die Kontrolle von Gütern mit doppeltem Verwendungszweck in der Union regelt, ist an dieser Stelle weiter gefasst, als es der Sprachgebrauch vermuten lässt. Art. 2 Nr. 1 definiert Güter mit doppeltem Verwendungszweck als „Güter einschließlich Datenverarbeitungsprogramme (Software) und Technologie, die sowohl für zivile als auch für militärische Zwecke verwendet werden können“. Software ist also Gut, nicht Beiwerk.

Entscheidend ist die Definition der Ausfuhr in Art. 2 Nr. 2. Neben dem Ausfuhrverfahren, der Wiederausfuhr und der passiven Veredelung nach dem Zollkodex nennt Buchst. d „die Übertragung von Software oder Technologie mittels elektronischer Medien wie Telefax, Telefon, elektronischer Post oder sonstiger elektronischer Träger nach einem Bestimmungsziel außerhalb des Zollgebiets der Union; dies beinhaltet auch das Bereitstellen solcher Software oder Technologie in elektronischer Form für natürliche oder juristische Personen oder für Personenvereinigungen außerhalb des Zollgebiets der Union; dies beinhaltet auch die mündliche Weitergabe von Technologie, wenn die Technologie über ein Sprachübertragungsmedium beschrieben wird“.

Drei Vorgänge, die in einem Softwareunternehmen täglich stattfinden, fallen unter diesen Wortlaut: der Download eines Installationspakets durch einen Kunden in der Schweiz, dem Vereinigten Königreich oder den Vereinigten Staaten; das Anlegen eines Nutzerkontos für eine Tochtergesellschaft in Indien, über das die Anwendung im Browser läuft; und die Weitergabe von Quellcode oder Konstruktionsdaten an einen Entwicklungsdienstleister in einem Drittstaat. Ob dabei ein Datenträger die Grenze überschreitet, spielt keine Rolle. Das Zollgebiet der Union ist nach Art. 2 Nr. 17 das Zollgebiet im Sinne des Art. 4 des Zollkodex der Union; Norwegen, die Schweiz und das Vereinigte Königreich liegen außerhalb.

Die erste Frage: Ist die Software gelistet?

Art. 3 Abs. 1 lautet: „Die Ausfuhr von in Anhang I aufgeführten Gütern mit doppeltem Verwendungszweck ist genehmigungspflichtig.“ Anhang I ist die Güterliste der Union, gegliedert in die Kategorien 0 bis 9, in jeder Kategorie unterteilt in die Gattungen A (Systeme), B (Prüfeinrichtungen), C (Werkstoffe), D (Software) und E (Technologie). Die Frage, ob ein Produkt ausfuhrgenehmigungspflichtig ist, ist deshalb zuerst eine Frage der Einreihung: Fällt die Software unter eine Nummer der Gattung D, oder fällt sie unter keine? Anhang I wird jährlich durch delegierte Verordnung der Kommission an die Beschlüsse der internationalen Kontrollregime angepasst; für die Einreihung gilt die jeweils geltende Fassung. Die Liste wurde durch die Delegierte Verordnung (EU) 2024/2547 vom 5. September 2024 vollständig ersetzt; auf diese Fassung verweist auch § 18 Abs. 5 AWG. Spätere Änderungen sind vor jeder Einreihung zu prüfen.

Für den weit überwiegenden Teil der Geschäftssoftware ist die Antwort: keine Nummer. Warenwirtschaft, Buchhaltung, Personalverwaltung, Projektsteuerung und die meisten Fachanwendungen erfüllen keinen technischen Parameter der Liste. Zwei Bereiche verlangen einen genauen Blick. Erstens Software, die für die „Entwicklung“, „Herstellung“ oder „Verwendung“ eines gelisteten Guts bestimmt ist, etwa Steuerungssoftware für gelistete Werkzeugmaschinen oder Simulationssoftware für gelistete Bauteile; hier folgt die Software dem Gut. Zweitens Kategorie 5 Teil 2, „Informationssicherheit“: Nummer 5A002 erfasst Systeme und Geräte mit bestimmten kryptografischen Funktionen, Nummer 5D002 die zugehörige Software. Jede Anwendung, die Daten verschlüsselt, speichert oder überträgt, muss gegen diese beiden Nummern geprüft werden, bevor sie für Nutzer in Drittstaaten freigeschaltet wird.

Die zweite Frage: Greift eine Anmerkung?

Anhang I enthält zwei allgemeine Freistellungen, die für Software wichtiger sind als jede Einzelnummer. Die Allgemeine Software-Anmerkung stellt fest: „Die Gattungen der Kategorien 1 bis 9 dieser Liste erfassen keine ‚Software‘, auf die eines der Folgenden zutrifft: a. sie ist frei erhältlich und 1. wird im Einzelhandel ohne Einschränkungen mittels einer der folgenden Geschäftspraktiken verkauft: a. Barverkauf, b. Versandverkauf, c. Verkauf über elektronische Medien oder d. Telefonverkauf und 2. sie wurde so konzipiert, dass der Benutzer sie ohne umfangreiche Unterstützung durch den Anbieter installieren kann“, oder „b. sie ist ‚allgemein zugänglich‘“, oder „c. der ‚Objektcode‘ stellt das unbedingt notwendige Minimum für Aufbau, Betrieb, Wartung oder Reparatur derjenigen Güter dar, für die eine Ausfuhrgenehmigung erteilt wurde“.

Die Anmerkung trägt jedoch eine Einschränkung, die in der Praxis regelmäßig überlesen wird: „Buchstabe a der Allgemeinen Software-Anmerkung stellt keine ‚Software‘ frei, die von Kategorie 5, Teil 2 (‚Informationssicherheit‘) erfasst wird.“ Für Verschlüsselung genügt es also nicht, dass das Produkt frei verkäuflich ist. Dafür gibt es die zweite Freistellung, die Kryptotechnik-Anmerkung, und sie setzt anders an.

Die Kryptotechnik-Anmerkung: freigestellt, aber mit Akte

Die Kryptotechnik-Anmerkung in Kategorie 5 Teil 2 lautet in ihrem ersten Teil: „Die Nummer 5A002 sowie die Unternummern 5D002a1, 5D002b und 5D002c1 erfassen keine Güter mit folgenden Eigenschaften: a. Güter, die alle folgenden Voraussetzungen erfüllen: 1. Die Güter sind frei erhältlich und werden im Einzelhandel ohne Einschränkungen mittels einer der folgenden Geschäftspraktiken verkauft: a. Barverkauf, b. Versandverkauf, c. Verkauf über elektronische Medien oder d. Telefonverkauf; 2. die kryptografische Funktionalität der Güter kann nicht mit einfachen Mitteln durch den Benutzer geändert werden; 3. sie wurden so konzipiert, dass der Benutzer sie ohne umfangreiche Unterstützung durch den Anbieter installieren kann, und 4. um die Übereinstimmung mit den unter 1. bis 3. beschriebenen Voraussetzungen feststellen zu können, sind detaillierte technische Beschreibungen der Güter vorzuhalten und auf Verlangen der zuständigen Behörde des EU-Mitgliedstaats, in dem der Ausführer niedergelassen ist, vorzulegen“.

Die vierte Voraussetzung ist der Punkt, an dem dieser Beitrag hängt. Die Freistellung ist keine Feststellung, die ein Unternehmen einmal trifft und dann vergisst. Sie ist an eine Unterlage gebunden, die vorzuhalten ist: eine technische Beschreibung, aus der sich ergibt, dass das Produkt frei erhältlich ist, dass der Nutzer die kryptografische Funktion nicht mit einfachen Mitteln verändern kann und dass er das Produkt ohne umfangreiche Unterstützung installieren kann. Wer sich auf die Anmerkung beruft und diese Beschreibung auf Verlangen des Bundesamts für Wirtschaft und Ausfuhrkontrolle nicht vorlegen kann, kann die Voraussetzungen der Freistellung nicht belegen. Für ein Softwareunternehmen heißt das: Die Ausfuhrkontrolle beginnt nicht mit einem Genehmigungsantrag, sondern mit einer Akte, die niemand anfordert, bis jemand sie anfordert.

Der zweite Teil der Anmerkung, Buchst. b, stellt zusätzlich Komponenten und ausführbare Software frei, die für solche freigestellten Güter entwickelt wurden, sofern „‚Informationssicherheit‘ … nicht die Hauptfunktion oder Teil der Menge der Hauptfunktionen der Komponente oder der ‚ausführbaren Software‘“ ist und die Komponente „keine kryptografischen Funktionen der bestehenden Güter“ verändert oder hinzufügt. Für Anwendungen, die eine Standardbibliothek zur Transportverschlüsselung nutzen, ohne selbst Kryptografie anzubieten, ist das der relevante Weg; auch er will dokumentiert sein.

Die dritte Frage: Endverwendung und Empfänger

Eine Software, die unter keine Nummer des Anhangs I fällt, ist damit noch nicht frei von Kontrolle. Art. 4 Abs. 1 lautet: „Die Ausfuhr von Gütern mit doppeltem Verwendungszweck, die nicht in Anhang I aufgeführt sind, ist genehmigungspflichtig, wenn der Ausführer von der zuständigen Behörde davon unterrichtet worden ist, dass die betreffenden Güter ganz oder teilweise bestimmt sind oder bestimmt sein können: a) zur Verwendung im Zusammenhang mit der Entwicklung, der Herstellung, der Handhabung, dem Betrieb, der Wartung, der Lagerung, der Ortung, der Identifizierung oder der Verbreitung von chemischen, biologischen oder Kernwaffen oder sonstigen Kernsprengkörpern oder zur Entwicklung, Herstellung, Wartung oder Lagerung von Flugkörpern für derartige Waffen; b) für eine militärische Endverwendung, wenn gegen das Käuferland oder Bestimmungsland ein Waffenembargo verhängt wurde“. Art. 5 Abs. 1 enthält eine entsprechende Regel für nicht gelistete „Güter für digitale Überwachung“, wenn sie „für eine Verwendung im Zusammenhang mit interner Repression und/oder der Begehung schwerwiegender Verstöße gegen die Menschenrechte“ bestimmt sind oder sein können.

Diese Vorschriften knüpfen an die Unterrichtung durch die Behörde und an eigene Kenntnis an. Für den Betrieb heißt das, dass der Prüfschritt „Wer ist der Empfänger, wofür wird das Produkt eingesetzt“ nicht nur den Sanktionslistenabgleich meint, sondern auch die Frage nach Endverwendung und Bestimmungsland. Für die überwiegende Zahl der Kunden ist die Antwort in Sekunden gegeben; die Dokumentation, dass die Frage gestellt wurde, ist der Nachweis.

Was ein Internal Compliance Programme ist und wann es Pflicht ist

Art. 2 Nr. 21 definiert das „interne Programm für rechtskonformes Verhalten“ oder ICP als „laufende wirksame, geeignete und verhältnismäßige Strategien und Verfahren, die von Ausführern angenommen werden, um die Einhaltung der Bestimmungen und Ziele dieser Verordnung und der Bedingungen der gemäß dieser Verordnung erteilten Genehmigungen zu fördern, unter anderem Maßnahmen im Rahmen der Sorgfaltspflicht zur Bewertung der Risiken im Zusammenhang mit der Ausfuhr der Güter zu Endverwendern und Endverwendungen“.

Vorgeschrieben ist ein ICP in der Verordnung an einer Stelle: Art. 12 Abs. 4 bestimmt, dass „Ausführer, die Globalausfuhrgenehmigungen nutzen, … über ein ICP zu verfügen“ haben, „es sei denn, die zuständige Behörde erachtet dies aufgrund anderer Informationen … für nicht erforderlich“. Wer ausschließlich nicht gelistete Software oder unter die Anmerkungen fallende Produkte bereitstellt, unterliegt dieser Pflicht nicht. Die im Markt verbreitete Angabe, das ICP folge aus Art. 8 der Verordnung, ist unzutreffend: Art. 8 regelt die Genehmigungspflicht für technische Unterstützung im Zusammenhang mit gelisteten Gütern. Was auch ohne Pflicht bleibt, ist die Frage, wie ein Unternehmen ohne dokumentiertes Verfahren nachweisen will, dass es die Einreihung vorgenommen, die Anmerkung geprüft und die Beschreibung nach Nr. 4 vorgehalten hat.

Was auf dem Spiel steht

§ 18 Abs. 5 AWG stellt unter Strafe, wer „gegen die Verordnung (EU) 2021/821 … verstößt, indem er 1. ohne Genehmigung nach Artikel 3 Absatz 1, Artikel 4 Absatz 1, Artikel 5 Absatz 1 oder Artikel 10 Absatz 1 Güter mit doppeltem Verwendungszweck oder Güter für digitale Überwachung ausführt“; der Strafrahmen des Absatzes 5 verweist auf Absatz 1 und beträgt Freiheitsstrafe von drei Monaten bis zu fünf Jahren. Nach § 18 Abs. 6 AWG ist der Versuch strafbar. Wer eine solche Handlung fahrlässig begeht, handelt nach § 19 Abs. 1 AWG ordnungswidrig; die Geldbuße kann nach § 19 Abs. 6 AWG in diesen Fällen bis zu fünfhunderttausend Euro betragen. Für ein Unternehmen, das seine Software ohne Einreihung und ohne Akte weltweit freischaltet, ist die Fahrlässigkeitsvariante die realistische.

Ein Instrument, das der Wortlaut ausdrücklich vorsieht, wird selten genutzt: § 8 Abs. 2 Satz 2 AWG erwähnt „Bescheinigungen des Bundesamtes für Wirtschaft und Ausfuhrkontrolle (BAFA), dass eine Ausfuhr keiner Genehmigung bedarf“. Wer bei der Einreihung eines Produkts unsicher ist, kann diese Bescheinigung beantragen und hat dann die Antwort der Behörde in der Akte statt der eigenen Einschätzung.

Wie die Prüfung in den Betrieb kommt

Aus dem Wortlaut ergibt sich eine Reihenfolge, die ein Softwareunternehmen einmal je Produkt und danach bei jeder wesentlichen Änderung durchläuft. Erstens: Gibt es Nutzer außerhalb des Zollgebiets der Union? Wenn nein, ist die Verordnung für diesen Vorgang nicht einschlägig, die Verbringung innerhalb der Union folgt eigenen, engeren Regeln. Zweitens: Fällt das Produkt unter eine Nummer des Anhangs I, insbesondere unter 5A002 oder 5D002? Die Einreihung wird mit Datum, Bearbeiter und Begründung festgehalten. Drittens: Greift die Allgemeine Software-Anmerkung oder die Kryptotechnik-Anmerkung? Wenn ja, wird die technische Beschreibung nach Nr. 4 erstellt und abgelegt. Viertens: Gibt es Anhaltspunkte für eine Endverwendung nach Art. 4 oder Art. 5, oder eine Unterrichtung durch die Behörde? Fünftens: Ist der Empfänger gegen die Sanktionslisten geprüft? Erst dann wird das Konto angelegt.

Diese Prüfung ist keine Beauftragtenpflicht. Die Verordnung schreibt keine bestimmte Person vor, und weder das AWG noch die AWV verlangen für nicht gelistete Software eine Benennung gegenüber dem BAFA. Sie verlangt eine Entscheidung, die jemand trifft und dokumentiert. In CIVAC lässt sich die Einreihung je Produkt als Aufgabe mit Wiedervorlage führen, die technische Beschreibung nach Nr. 4 als Dokument am Vorgang ablegen und der Sanktionsabgleich je Kunde mit Zeitstempel festhalten, sodass bei einer Anfrage der Behörde die Akte vorliegt und nicht erst entsteht.

Wo dieser Beitrag endet

CIVAC ist keine Rechtsanwaltskanzlei und erbringt keine Rechtsdienstleistung im Sinne des Rechtsdienstleistungsgesetzes. Dieser Beitrag ordnet den Wortlaut der Verordnung (EU) 2021/821 und des Außenwirtschaftsgesetzes ein und beschreibt, welche Unterlagen ein Unternehmen vorhalten sollte. Ob ein bestimmtes Produkt unter Nummer 5A002 oder 5D002 fällt und ob die Voraussetzungen der Kryptotechnik-Anmerkung im Einzelfall erfüllt sind, ist eine Einreihungsentscheidung, die das Unternehmen trifft und die es beim BAFA bescheinigen lassen kann. Die Ausfuhrliste des Anhangs I wird jährlich geändert; maßgeblich ist die zum Zeitpunkt der Ausfuhr geltende Fassung, nicht die hier zitierte.

Häufige Fragen

Ist Software-as-a-Service eine Ausfuhr im Sinne der Dual-Use-Verordnung?

Art. 2 Nr. 2 Buchst. d der Verordnung (EU) 2021/821 erfasst „das Bereitstellen solcher Software oder Technologie in elektronischer Form für natürliche oder juristische Personen oder für Personenvereinigungen außerhalb des Zollgebiets der Union“. Ein Nutzerkonto, über das eine Person in einem Drittstaat die Anwendung nutzt, ist ein Bereitstellen in elektronischer Form. Genehmigungspflichtig wird der Vorgang aber nur, wenn die Software in Anhang I gelistet ist oder ein Fall des Art. 4 oder Art. 5 vorliegt.

Braucht Software mit Verschlüsselung eine Ausfuhrgenehmigung?

Nur, wenn sie unter Nummer 5A002 oder 5D002 der Kategorie 5 Teil 2 fällt und keine Anmerkung greift. Die Kryptotechnik-Anmerkung stellt Produkte frei, die frei erhältlich sind, deren kryptografische Funktion der Nutzer nicht mit einfachen Mitteln ändern kann und die ohne umfangreiche Unterstützung installierbar sind. Voraussetzung Nr. 4 verlangt, dass detaillierte technische Beschreibungen vorgehalten und der zuständigen Behörde auf Verlangen vorgelegt werden. Die Allgemeine Software-Anmerkung Buchst. a hilft bei Kategorie 5 Teil 2 ausdrücklich nicht.

Ist ein Internal Compliance Programme für Softwareunternehmen Pflicht?

Nach Art. 12 Abs. 4 der Verordnung (EU) 2021/821 ist ein ICP für Ausführer vorgeschrieben, die Globalausfuhrgenehmigungen nutzen. Wer keine gelisteten Güter ausführt, unterliegt dieser Pflicht nicht. Art. 8 der Verordnung betrifft die technische Unterstützung, nicht das ICP. Unabhängig von der Pflicht bleibt die Frage, wie ein Unternehmen ohne dokumentiertes Verfahren die Einreihung und die Beschreibung nach der Kryptotechnik-Anmerkung nachweisen will.

Welche Strafe droht bei einer ungenehmigten Ausfuhr von Software?

§ 18 Abs. 5 Nr. 1 AWG bedroht die Ausfuhr gelisteter Güter ohne Genehmigung nach Art. 3 Abs. 1, Art. 4 Abs. 1, Art. 5 Abs. 1 oder Art. 10 Abs. 1 der Verordnung mit Freiheitsstrafe von drei Monaten bis zu fünf Jahren; der Versuch ist nach § 18 Abs. 6 AWG strafbar. Fahrlässiges Handeln ist nach § 19 Abs. 1 AWG eine Ordnungswidrigkeit mit einer Geldbuße bis zu fünfhunderttausend Euro nach § 19 Abs. 6 AWG.

Wie belege ich, dass mein Produkt nicht genehmigungspflichtig ist?

Mit einer dokumentierten Einreihung gegen Anhang I in der geltenden Fassung, mit der technischen Beschreibung nach Nr. 4 der Kryptotechnik-Anmerkung, wenn Sie sich auf diese berufen, und, bei Zweifeln, mit einer Bescheinigung des BAFA nach § 8 Abs. 2 Satz 2 AWG, dass die Ausfuhr keiner Genehmigung bedarf. Alle drei Unterlagen gehören zum Produkt, nicht zum einzelnen Kunden.