ITAR-Compliance für europäische Unternehmen

ITAR: Ein US-Exportkontrollregime mit globaler Wirkung

Wer als europäisches Unternehmen mit US-amerikanischer Rüstungstechnologie in Berührung kommt – sei es als Entwicklungspartner, Lizenzfertiger oder Käufer von Systemkomponenten –, betritt ein rechtliches Terrain, das sich grundlegend von allem unterscheidet, was das deutsche und europäische Exportkontrollrecht kennt. Die International Traffic in Arms Regulations (ITAR), 22 CFR Parts 120–130, sind das schärfste Exportkontrollregime der Vereinigten Staaten. Sie regeln den Export, den Re-Export und die Weitergabe von Rüstungsgütern, Verteidigungsdienstleistungen und technischen Daten, die auf der United States Munitions List (USML, 22 CFR Part 121) gelistet sind. Rechtsgrundlage ist der Arms Export Control Act (AECA); zuständige Behörde ist das Directorate of Defense Trade Controls (DDTC) im US-Außenministerium.

Drei Merkmale des ITAR sind für europäische Unternehmen von besonderer Bedeutung, weil sie von den Grundprinzipien des deutschen und europäischen Exportkontrollrechts grundlegend abweichen.

Extraterritoriale Wirkung. Das ITAR gilt weltweit – unabhängig davon, ob ein Unternehmen eine Niederlassung in den USA unterhält, ob der Vertrag nach US-amerikanischem Recht geschlossen wurde oder ob die Transaktion auf deutschem oder europäischem Boden stattfindet. Wer ITAR-kontrollierte Güter oder Daten empfängt, verarbeitet oder weitergibt, unterliegt US-Recht. Dieser Satz klingt abstrakt; er hat sehr konkrete Konsequenzen: Ein deutsches Ingenieurbüro, das technische Zeichnungen von einem US-amerikanischen Rüstungsunternehmen erhält, um an einem Entwicklungsprojekt mitzuarbeiten, ist ab dem Moment des Datenempfangs an die ITAR gebunden – vollständig, ohne Einschränkung.

See-Through Rule. Das ITAR kennt keine Geringfügigkeitsschwelle. Wer eine einzige ITAR-kontrollierte Komponente in ein eigenes Produkt integriert, macht das gesamte Endprodukt ITAR-pflichtig – unabhängig vom Wertanteil der Komponente. Ein deutsches Funksystem, das einen US-amerikanischen Steuerungscomputer enthält, ist vollständig ITAR-pflichtig. Das AWG/AWV-Pendant hierzu – die EAR-De-minimis-Schwelle von 25 Prozent – existiert im ITAR nicht. Eine einzige Komponente genügt.

Strict Liability. Das ITAR begründet zivilrechtliche Haftung ohne Verschuldensprüfung. Unwissenheit schützt nicht. Wer gegen ITAR verstößt, haftet – auch ohne Vorsatz, auch ohne Fahrlässigkeit im deutschen Rechtssinn. Die Sanktionsfolgen sind erheblich: bis zu USD 1.163.217 Geldbuße je Verstoß (zivilrechtlich), bis zu USD 1.000.000 und 20 Jahre Freiheitsstrafe (strafrechtlich) sowie Debarment – der Ausschluss vom gesamten US-Rüstungsmarkt.

Das Internal Compliance Program: Pflicht, nicht Kür

Das DDTC erwartet von jedem Foreign Licensee – also von jedem ausländischen Unternehmen, das im Rahmen eines Technical Assistance Agreement (TAA) oder Manufacturing License Agreement (MLA) ITAR-kontrollierte Daten oder Fertigungsrechte erhält – den Aufbau und den Betrieb eines Internal Compliance Program (ICP). Das ICP ist kein optionaler Qualitätsschritt, sondern eine regulatorische Erwartung, die in den DDTC ITAR Compliance Program Guidelines ausdrücklich niedergelegt ist. Ein Unternehmen ohne ICP ist bei einer DDTC-Prüfung oder einer Blue Lantern-Überprüfung vor Ort nicht auskunftsfähig – mit erheblichen Konsequenzen für den Fortbestand der Lizenzbeziehung.

Das ICP ist nach acht Elementen der DDTC-Leitlinien aufgebaut: Management Commitment; Registrierung, Klassifizierung und Autorisierungen; Recordkeeping; Verstöße und Voluntary Disclosure; Schulung; Risikoanalyse; Audit und Monitoring; das ICP-Kerndokument selbst. Für europäische Unternehmen kommt eine vierte Dimension hinzu, die die US-Leitlinien nicht kennen: die Einbettung in das deutsche und europäische Recht – DSGVO, Betriebsverfassungsgesetz, AWG/AWV und EU-Dual-Use-Verordnung.

In der Beratungspraxis erlebe ich, dass europäische Unternehmen das ICP in zwei typischen Fehlerrichtungen angehen. Die erste: Sie kaufen ein US-amerikanisches Compliance-Template und setzen es unverändert um. Das Ergebnis ist ein Dokument, das keinen Empowered Official benennen kann (weil das Unternehmen keine US Persons beschäftigt), das Homeoffice-Regelungen nach US-amerikanischen Maßstäben formuliert (die mit dem Betriebsverfassungsgesetz kollidieren) und das die DSGVO-Implikationen der Staatsangehörigkeitserhebung ignoriert. Die zweite: Sie warten mit dem ICP-Aufbau, bis das TAA bereits unterzeichnet ist. Das ist zu spät – die Compliance-Pflichten entstehen mit dem ersten Datenempfang.

Aufbau des ICP für ein europäisches Unternehmen

Ein vollständiges ITAR-ICP für ein europäisches Unternehmen besteht aus drei Schichten: dem übergeordneten Compliance Policy Manual als Programmdokument für alle Mitarbeiterebenen; dem ITAR Compliance Manual (ICM) als operativem Prozesshandbuch mit allen acht DDTC-Elementen; und den Standard Operating Procedures (SOPs) für einzelne Compliance-Prozesse sowie den Technology Control Plans (TCP) als technische Kontrollpläne. Für europäische Unternehmen in der Lizenzfertigungsphase kommen der TCP Annex Phase 2 für den Fertigungsbereich und – bei Bedarf – ein eigenständiger TCP für den Sonderfall des Komponenteneinbaus hinzu.

Zwei Aspekte unterscheiden das europäische ICP strukturell vom US-amerikanischen Pendant. Erstens die Phasenarchitektur: Das ICP muss mit der Geschäftsentwicklung wachsen. Phase 1 (Datenempfang und F&E unter TAA) hat eine andere Compliance-Architektur als Phase 2 (Lizenzfertigung unter MLA) oder der Sonderfall des eigenständigen Komponenteneinbaus. Ein einheitliches Dokument für alle Phasen ist entweder zu dünn oder zu unhandlich. Zweitens das Parallelregime: Das ITAR tritt neben AWG/AWV und die EU-Dual-Use-Verordnung (VO (EU) 2021/821), ersetzt sie aber nicht. ITAR-Exportlizenz und AWV-Genehmigung sind eigenständig einzuholen; eine ersetzt nicht die andere.

Persönlicher Kommentar

Das ITAR ist für europäische Unternehmen eines der anspruchsvollsten Compliance-Regime überhaupt. Es kennt keine Verhältnismäßigkeitsprüfung, keine Geringfügigkeitsschwelle und keine Toleranz für gutgläubige Verstöße. Wer in das Regime einsteigt, übernimmt vom ersten Datenempfang an volle Verantwortung – ohne die Lernkurve, die das deutsche Exportkontrollrecht durch gestufte Ahndung und behördliche Beratungsangebote zulässt.

Was mich in der Beratungspraxis am häufigsten beschäftigt, ist nicht die technische Komplexität des ITAR – die ist beherrschbar –, sondern das Organisations- und Führungsproblem. Ein ICP ist nur so gut wie das Commitment der Geschäftsführung, die personellen Ressourcen des ECO und die Bereitschaft aller Beteiligten, Compliance-Bedenken offen anzusprechen. Eine Unternehmenskultur, in der der ECO als bürokratisches Hindernis gilt, ist eine Unternehmenskultur, die auf einen ITAR-Verstoß zusteuert.

Ich erlebe zunehmend, dass europäische Unternehmen das ICP als Investition begreifen – nicht als Kostenfaktor. Ein gut aufgestelltes ICP ist ein Verhandlungsargument gegenüber dem US-Partner, ein Schutzschild bei einer DDTC-Überprüfung und ein Signal an potenzielle Kunden im Rüstungsbereich, dass das Unternehmen seine Compliance-Pflichten ernst nimmt. Wer mit einem funktionierenden ICP in die TAA-Verhandlungen geht, ist nicht nur rechtlich auf der sicheren Seite – er ist auch der bessere Vertragspartner.

 Ein vollständiges ICP umfasst in unserer Beratungspraxis elf Kerndokumente für Phase 1 und Phase 2 – von der Compliance Policy bis zu den Standard Operating Procedures für Lizenzmanagement, Personalprüfung, Datentransfer, Recordkeeping, Audit und Vorfallmanagement. Für den Sonderfall des Komponenteneinbaus kommt ein eigenständiger TCP hinzu. Diese Dokumente sind nicht aus einer Vorlage abzuleiten, sondern auf das konkrete Unternehmen, seine Produkte, seine Personalstruktur und seine IT-Infrastruktur zuzuschneiden.

Prof. Dr. Schindler | MBA
Justiziar | Of Counsel