Die 2013 gegründete tec4U-Solutions GmbH mit Sitz in Saarbrücken entwickelt Softwarelösungen und Datendienstleistungen für das Material- und Produkt-Compliance-Management. Mit ihrer Plattform "DataCross" unterstützt das Unternehmen Hersteller, Händler und Importeure bei der Einhaltung internationaler regulatorischer Anforderungen wie REACH, PFAS oder der EU- Verordnung für entwaldungsfreie Produkte (EUDR). 

Banyan Software ist ein international tätiger Erwerber spezialisierter Softwareunternehmen und verfolgt eine langfristige Buy-and-Hold-Strategie. Mit der Übernahme stärkt das Unternehmen seine Präsenz im europäischen Markt für vertikale Softwarelösungen. Die tec4U-Solutions GmbH wird ihre Geschäftstätigkeit auch künftig eigenständig vom Standort Saarbrücken aus fortführen.

ADVANT Beiten berät Banyan Software regelmäßig bei Akquisitionen im deutschsprachigen Raum und begleitet das Unternehmen kontinuierlich bei der Umsetzung seiner Wachstumsstrategie. Die erneute Beratung unterstreicht die besondere Expertise der Kanzlei bei grenzüberschreitenden M&A-Transaktionen im Technologiesektor sowie ihre langjährige Erfahrung in der Begleitung internationaler Software- und Technologieunternehmen.

Berater Banyan Software:
ADVANT Beiten: Christian Burmeister (Berlin und Freiburg, Federführung), Damien Heinrich (Freiburg, beide Corporate/M&A), Mathias Zimmer-Goertz, Christian Döpke (Düsseldorf, beide IP/IT), Michael Riedel (Berlin, Arbeitsrecht).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Von den ausgezeichneten Anwältinnen und Anwälten wurden 60 in der Kategorie "Best Lawyers" und weitere 10 in der Kategorie "Ones to Watch" berücksichtigt. Mehrere Anwältinnen und Anwälte wurden darüber hinaus in mehreren Rechtsgebieten empfohlen, sodass die Gesamtzahl der Auszeichnungen die Zahl der ausgezeichneten Personen deutlich übersteigt.

Die Ergebnisse werden in Deutschland exklusiv in Kooperation zwischen Best Lawyers und dem Handelsblatt veröffentlicht. Die Rankings zählen zu den renommiertesten Anerkennungen im Anwaltsmarkt und basieren auf einem umfassenden Peer-Review-Verfahren. Rechtsanwältinnen und Rechtsanwälte bewerten dabei die fachliche Expertise ihrer Kolleginnen und Kollegen innerhalb der jeweiligen Rechtsgebiete. Die Aufnahme in die Rankings erfolgt ausschließlich auf Grundlage dieser unabhängigen Empfehlungen.

Die diesjährigen Ergebnisse bestätigen die starke Marktposition von ADVANT Beiten in einer Vielzahl wirtschaftsrechtlicher Beratungsfelder. Zugleich verdeutlichen sie die erfolgreiche Entwicklung der nächsten Anwaltsgeneration innerhalb der Kanzlei, deren fachliche Leistungen in der Kategorie "Ones to Watch" besondere Anerkennung gefunden haben.

Die Auszeichnungen spiegeln die Expertise von ADVANT Beiten in einem breiten Spektrum wirtschaftsrechtlicher Expertise wider und bestätigen den Anspruch der Kanzlei, Mandantinnen und Mandanten bei komplexen nationalen und internationalen Fragestellungen auf höchstem Niveau zu beraten.

Die ANTENNE BAYERN GROUP zählt zu den größten privaten Audio- und Medienunternehmen Deutschlands. Neben dem Hauptprogramm ANTENNE BAYERN umfasst das Portfolio zahlreiche Digitalangebote, Webradios sowie Beteiligungen im nationalen und internationalen Audiomarkt. ROCK ANTENNE gehört zu den bekanntesten Rockradio-Marken im deutschsprachigen Raum und sendet neben Bayern auch regionalisierte Programme unter anderem für Hamburg und Österreich.

Mit dem Erwerb stärkt die ANTENNE BAYERN GROUP ihre strategische Position im Audiomarkt und bündelt künftig sämtliche Beteiligungen an ROCK ANTENNE innerhalb der eigenen Unternehmensgruppe. Gleichzeitig sollen die bestehenden regionalen Strukturen und die enge Zusammenarbeit der Standorte Hamburg, Wien und Ismaning weiter ausgebaut werden.

Berater ANTENNE BAYERN GROUP 
ADVANT Beiten: Dr. Holger Weimann (IP/IT/Medien), Dr. Markus Ley (Corporate/M&A) und Christoph Heinrich (Kartellrecht, alle München).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Gegenstand der Transaktion ist der Erwerb im Wesentlichen aller Assets der Sympatex Technologies GmbH, insbesondere der Markenrechte sowie weiterer zentraler immaterieller Vermögenswerte. Mit der Übernahme sichert Pidigi die Fortführung des operativen Geschäftsbetriebs der traditionsreichen Marke Sympatex.

ADVANT Beiten beriet Pidigi umfassend zu sämtlichen rechtlichen Aspekten der Transaktion, einschließlich der Strukturierung und Umsetzung des Asset Deals sowie gesellschafts-, IP- und arbeitsrechtlicher Fragestellungen.

Die Beratung zu den italienischen Rechtsaspekten erfolgte durch Rechtsanwalt Stefano Dindo von der Kanzlei Dindo, Zorzi e Associati, Verona, die das Mandat an ADVANT Beiten vermittelt hat.

Sympatex Technologies GmbH entwickelt seit 1986 innovative, PFAS-freie Membrantechnologien für funktionale Bekleidung, Schuhe, Schutzkleidung und technische Anwendungen. Pidigi S.p.A. ist seit 1953 international als Lieferant von Materialien für die Schuh-, Lederwaren- und Sportbekleidungsindustrie tätig.

Berater Pidigi S.p.A.:
ADVANT Beiten: Matthias W. Stecher (Federführung, IP/IT), Virginia Mäurer, Maike Pflästerer (beide Arbeitsrecht), Christoph Heinrich (Kartellrecht), Tanja Hogh Holub und Christian Hess (beide IP/IT), Mario Weichel (Corporate/M&A).

Dindo, Zorzi e Associati: Stefano Dindo

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Aber Moment, wie war das nochmals mit Schleichwerbung, Product Placement und so? Müsste man den Film nicht vielleicht gar als Dauerwerbesendung kennzeichnen, schlimmstenfalls von Beginn bis zum Ende? Älteren Lesern dürfte Derartiges noch aus den Stefan Raab Sendungen bekannt sein. 

Tatsächlich hat sich der Bundesgerichtshof schon vor über 30 Jahren mit der Frage befasst, wie Product Placement rechtlich zu beurteilen ist. 

Ausgangspunkt ist immer die Frage, ob eine Handlung „das Ziel hat, den Wettbewerb des betreffenden Unternehmens zu fördern“ – also den Absatz eines bestimmten Produktes anzukurbeln. Einfach ist der Fall, wenn für das Product Placement seitens der Markeninhaber etwas bezahlt wird. Das lässt sich von außen aber oft kaum erkennen. Die Gerichte behelfen sich daher mit folgender Überlegung: Nach der Lebenserfahrung sei dann von einer geschäftlichen Handlung (und einer Wettbewerbsförderungsabsicht) auszugehen, wenn ein Produkt auffällig oft und ohne erkennbare redaktionelle, künstlerische oder dramaturgische Veranlassung ins Bild gerate. 

Jedenfalls bei den Modemarken in „Der Teufel trägt Prada 2“ lässt sich kaum abstreiten, dass es eine „dramaturgische Veranlassung“ dafür gibt, diese in Szene zu setzen. Geld soll dafür übrigens – wenn man der Berichtserstattung in den Marketing-Medien glauben darf – aber keines geflossen sein, die Marken hätten dafür nur selbst den Film promotet (Maybach beispielsweise mit einer Co-Branded-Kampagne unter dem Titel „The Art of Arrival“). Dies dürfte allerdings dennoch eine relevante Gegenleistung sein. Insofern wird es sich, das können wir als Zwischenergebnis festhalten, wohl um Product Placement handeln.

Die Maßstäbe, die für Product Placement gelten, sind nun aber je nach Medium unterschiedlich. Im Rundfunk (wozu auch Fernsehen gehört) ist das Thema ausdrücklich im Medienstaatsvertrag geregelt. Danach ist Schleichwerbung verboten, Product Placement aber unter bestimmten Voraussetzungen und innerhalb gewisser Grenzen erlaubt. Insbesondere muss klar darauf hingewiesen werden, im TV beispielsweise zu Beginn und zum Ende einer Sendung sowie bei deren Fortsetzung nach einer Werbeunterbrechung.

Die Produzenten von „Der Teufel trägt Prada 2“ können aufatmen, da an Spielfilme tendenziell weniger strenge Anforderungen gestellt werden. Einfach ist die Abgrenzung aber nicht: Unzulässig ist nicht schon, wenn ein Autohersteller dafür bezahlt, dass in einem Film die Hauptperson eines seiner Fahrzeuge verwendet. Hinzukommen muss, dass dieses Fahrzeug häufig in auffälliger, durch den Handlungsablauf nicht gebotener Weise dargestellt wird. Was für eine Gratwanderung das sein kann, wird von Meryl Streep und Anne Hathaway (nicht nur) in ihrer Unterhaltung gegen Ende des Films nahezu mustergültig gezeigt.

Wer sich - wie Runway - von einem reinen Hochglanzmagazin hin zu einer hybriden Welt aus Social Media und strategischen Kooperationen entwickelt, muss zudem beachten, dass die rechtlichen Rahmenbedingungen für Werbung und Product Placement je nach Medienart variieren. Es können sogar unterschiedliche Gesetze anwendbar sein. Der Medienstaatsvertrag hat beispielsweise unterschiedliche Kapitel für Rundfunk einerseits und Telemedien andererseits (die sich auch inhaltlich unterscheiden), für Kino und Kiosk gilt er nicht. Der Pressekodex gilt nur für die Presse, das Wettbewerbsrecht für alle. Kompliziert? Ja. Product Placement und Cross-Promotions sind keine leichte Unterhaltung.

Auch deutsche Influencerinnen haben übrigens schon die Grenzen des Zulässigen ausgetestet: Cathy Hummels konnte beispielsweise den Bundesgerichtshof davon überzeugen, dass sie sich privat sehr für Mode interessiert. Posts, für die sie keine Gegenleistung erhält, muss sie daher nicht als Werbung kennzeichnen, auch wenn dadurch ihr kommerzielles Social-Media-Profil promotet wird. Anders ging es für Influencerinnen aus, die eine Gegenleistung erhalten hatten. Da fragt sich natürlich, ob es schon eine „Gegenleistung“ ist, wenn die Produktionsfirma die Coke nicht bezahlen muss – oder wenn Anne alias Andy das in den Hamptons getragene Kleid nach den Dreharbeiten behalten dürfte. Die Medienanstalten ziehen die Grenze übrigens bei einem Wert des Produktes von 100 Euro, darüber wird sich aber im Einzelfall diskutieren lassen.

Und damit nicht genug: Noch strenger sind die Grundsätze schließlich, wenn primär Kinder angesprochen werden. 

Daher gilt wie so oft bei juristischen Themen der altbewährte Spruch: Der Teufel steckt in Prada im Detail. 

Dr. Andreas Lober
Dr. Peggy Müller

Für wen gilt die Pflicht?

Die Pflicht zum Vorhalten des Widerrufsbuttons gilt für Fernabsatzverträge zwischen Unternehmern und Verbrauchern, die über eine Online-Benutzeroberfläche abgeschlossen werden. Damit sind sowohl Online-Shops betroffen, die über eine Website angeboten werden, als auch solche, die über Apps angeboten werden. Die Pflicht gilt grundsätzlich unabhängig davon, ob der Verbraucher Waren, digitale Inhalte oder Dienstleistungen (einschließlich Finanzdienstleistungen) in Anspruch nehmen möchte. Ausnahmen bestehen nur in Bereichen, in denen kein Widerrufsrecht besteht. Es bestehen keine Erleichterungen zugunsten kleinerer Unternehmen.

Welche Anforderungen gelten für den Widerrufsbutton?

Die gesetzlichen Vorgaben an den Widerrufsbutton (oder in der Sprache des Gesetzgebers: die Widerrufsfunktion) sind ziemlich konkret:

Die Widerrufsfunktion sieht ein zweistufiges Verfahren vor. In einem ersten Schritt muss der Verbraucher eine gut lesbare Schaltfläche mit der Aufschrift "Vertrag widerrufen" (oder gleichbedeutend) auffinden können. Die europarechtlichen Grundlagen sind noch etwas strenger: Nach der entsprechenden Richtlinie soll noch das Wörtchen „hier“ enthalten sein. Der deutsche Gesetzgeber ist beim Umsetzungsgesetz hinter dieser Anforderung zurückgeblieben. Diese Schaltfläche muss für den Verbraucher leicht zugänglich, hervorgehoben platziert und während des Laufs der Widerrufsfrist ständig verfügbar sein.

Sodann muss der Verbraucher in die Lage versetzt werden, wesentliche Informationen zur Identifizierung des zu widerrufenden Vertrags bereitzustellen oder zu bestätigen, konkret:

1. den Namen des Verbrauchers,
2. Angaben zur Identifizierung des Vertrags oder des Teils des Vertrags, den der Verbraucher widerrufen möchte,
3. Angaben zum Erhalt der Eingangsbestätigung.

Nach Eingabe der Informationen ist im zweiten Schritt eine Bestätigungsfunktion vorzusehen, mittels welcher der Verbraucher die Übermittlung des Widerrufs in die Wege leitet. Auch diese Bestätigungsfunktion muss gut lesbar und mit "Widerruf bestätigen" oder einer gleichbedeutenden eindeutigen Formulierung beschriftet sein.

Zudem sind Unternehmer dazu verpflichtet, dem Verbraucher unverzüglich eine Eingangsbestätigung auf einem dauerhaften Datenträger, beispielsweise per E-Mail, zu übermitteln.

Widerrufsbutton nicht gleich Kündigungsbutton

Unternehmen, die mit Verbrauchern Dauerschuldverhältnisse (z.B. Abonnements) über das Internet eingehen, ist die Konzeption des Widerrufsbuttons möglicherweise bereits vertraut: Sie ähnelt stark dem Kündigungsbutton aus § 312k BGB, der in Deutschland seit dem 1. Juli 2022 vorgehalten werden muss. Anders als beim Widerrufsbutton handelt es sich beim Kündigungsbutton jedoch nicht um eine unionsrechtliche Vorgabe, sondern um deutsches Recht. Die Pflicht zum Vorhalten eines Widerrufsbuttons besteht auch dann, wenn bereits ein Kündigungsbutton implementiert ist. Auch die Rechtsfolgen sind andere: Eine Kündigung (beispielsweise durch den Kündigungsbutton) beendet den Vertrag für die Zukunft, beim Widerruf sind die bereits ausgetauschten Leistungen (jedenfalls grundsätzlich) rückabzuwickeln.

Praktische Hinweise

Bis zum 19. Juni 2026 verbleiben noch knapp drei Monate. Unternehmen sollten daher die Umsetzung des Widerrufsbuttons zeitnah angehen, sofern noch nicht geschehen. Neben den technischen Anforderungen sind Anpassungen an der Widerrufserklärung sowie gegebenenfalls an der Datenschutzerklärung erforderlich. Bei Untätigkeit drohen ziemlich sicher direkt nach Inkrafttreten Abmahnungen durch Wettbewerber oder Verbraucherschutzverbände. Die Erfahrungen mit dem Kündigungsbutton zeigen, dass Verbraucherschutzverbände zeitnah nach Geltungsbeginn abmahnen und Verbrauchern entsprechende Meldeformulare bereitstellen; diverse „Abmahnspezialisten“ sind oft noch deutlich schneller am Start. Wenn der Abmahnung nicht innerhalb weniger Tage Folge geleistet wird, droht beispielsweise ein einstweiliges Verfügungsverfahren. Zusätzlich besteht das Risiko, dass bei fehlerhafter Widerrufsbelehrung die Widerrufsfrist erst gar nicht zu laufen beginnt und erst nach 12 Monaten und 14 Tagen erlischt. Unter bestimmten Voraussetzungen drohen auch Bußgelder; erfahrungsgemäß ist das Risiko direkt nach Inkrafttreten noch überschaubar.

Auch darüber hinaus unterliegt das E-Commerce-Recht einem kontinuierlichen Wandel. Händler sollten neben dem Widerrufsbutton weitere regulatorische Entwicklungen im Blick behalten: zusätzliche Informationspflichten (etwa zu Haltbarkeitsgarantien) und gesetzlich vorgeschriebene Kennzeichnungen (Labels) zu Gewährleistungsrechten. Mit dem Digital Fairness Act steht zudem eine weitere Verschärfung des Verbraucherschutzes bevor.

Daniel Trunk

Wesentliche Inhalte der Entscheidung

Das LAG München hat mit Urteil vom 12. Juni 2025, Az. 2 SLa 70/25, entschieden, dass Arbeitnehmer nach Abschluss einer sie betreffenden internen Untersuchung keinen Anspruch auf Zurverfügungstellung einer vollständigen Kopie eines Untersuchungsberichts nach Art. 15 Abs. 1, 3 DSGVO haben. Der Anspruch auf Auskunft über die verarbeiteten personenbezogenen Daten (und auch auf Erhalt einer Kopie dieser Daten) beziehe sich grundsätzlich nicht auf die Herausgabe ganzer Schriftstücke, die etwa rechtliche Bewertungen oder Aussagen Dritter enthalten. 

Es besteht nach Einschätzung des Gerichts jedoch ein Einsichtsrecht in den Untersuchungsbericht, soweit er personenbezogene Daten des betreffenden Arbeitnehmers enthalte. Dieser Anspruch bestehe auch unabhängig davon, ob der Arbeitnehmer mit seiner Geltendmachung datenschutzrechtliche oder gänzlich datenschutzfremde Motive verfolge.

Darüber hinaus bestehe ein Einsichtsrecht des Arbeitnehmers aus § 83 BetrVG (im Falle von leitenden Angestellten § 26 Abs. 2 Satz 1 SprAuG). Der Untersuchungsbericht sei als Teil der Personalakte des betroffenen Arbeitnehmers zu qualifizieren, da er Informationen über dessen Verhalten und Leistungen im Arbeitsverhältnis enthalte.

Grundsätzlich können der Einsichtnahme in Untersuchungsberichte nach Auffassung des LAG München im Einzelfall überwiegende Arbeitgeberinteressen nach § 242 BGB entgegengehalten werden. Das LAG München verweist insbesondere darauf, dass das betriebliche Compliance-Verfahren im Interesse der Wahrheitsfindung - soweit wie möglich - die vertrauliche Behandlung der Informationen und der Identität von Zeugen erfordere, um Hemmungen der Betroffenen abzubauen, an einem solchen Verfahren mitzuwirken. Eine bereits abgeschlossene interne Untersuchung könne durch die Einsichtnahme allerdings nicht mehr gefährdet werden.

Auch überwiegende berechtigte Interessen Dritter können nach Auffassung des LAG München das Einsichtsrecht einschränken. Sichert der Arbeitgeber bei Hinweisen aus der Belegschaft über betriebliches Fehlverhalten anderer Mitarbeiter dem Hinweisgeber die Wahrung seiner Anonymität zu, darf er keine Daten weitergeben, die die Person des Hinweisgebers offenbaren oder Rückschlüsse auf die Person zulassen. Weil andererseits das Führen von Geheimakten im Rahmen der Personalakte unzulässig ist, könne der Arbeitgeber nur den Teil des Hinweises zur Personalakte im materiellen Sinne nehmen, der die Person des Hinweisgebers weder offenbart noch Rückschlüsse auf die Person des Hinweisgebers zulässt. Den Hinweisgeber müsse der Arbeitgeber durch Unkenntlichmachung entsprechender Passagen in der Akte schützen. Die Unkenntlichmachung könne durch Schwärzung oder sonstige technische Vorkehrungen vorgenommen werden. Der Arbeitgeber könne dem Arbeitnehmer die Einsicht in seine Personalakte nicht unter Hinweis auf eine von ihm unterlassene Unkenntlichmachung verweigern.

Eine vollständige Verweigerung der Einsicht hielt das LAG München nicht für gerechtfertigt, auch nicht zum Schutz von Geschäftsgeheimnissen. Inhalte der Personalakte, die sich auf das Arbeitsverhältnis beziehen, könnten gegenüber dem Arbeitnehmer nicht als Geschäftsgeheimnis deklariert werden. 

Interne Untersuchung wegen Beschwerden über das Führungsverhalten einer leitenden Angestellten

Die Klägerin, eine leitende Angestellte, befindet sich seit Juli 2023 in Elternzeit. Im April 2023 gingen bei der Ombudsfrau des beklagten Unternehmens Beschwerden über den Führungsstil der Klägerin ein. Die Vorwürfe hatten u. a. ein einschüchterndes, respektloses Verhalten der Klägerin zum Gegenstand, das bereits zu gesundheitlichen Problemen und zu Kündigungen von ihr unterstellten Arbeitnehmern geführt habe. 

Die Beklagte beauftragte eine externe Kanzlei mit einer internen Compliance-Untersuchung. Die Kanzlei legte den Abschlussbericht am 6. Februar 2024 vor. Unter Berufung auf die Inhalte des Berichts beantragte die Beklagte beim Gewerbeaufsichtsamt die Zustimmung zur außerordentlichen, hilfsweise ordentlichen, Kündigung der Klägerin während der Elternzeit. 

Die Klägerin verlangte daraufhin von der Beklagten eine Kopie des Berichts nach Art. 15 Abs. 1, 3 DSGVO, hilfsweise Einsicht in den Bericht als Teil ihrer Personalakte. Sie argumentierte, dass der Bericht personenbezogene Daten enthalte, deren Verarbeitung sie im Hinblick auf Transparenz und Fairness überprüfen wolle. Zudem habe die Beklagte gegenüber Behörden und der Presse aus dem Bericht zitiert, was ihr Interesse an vollständiger Kenntnis der Inhalte erhöhe. Sie dürfe nicht in ihren Verteidigungsrechten beschnitten werden. Ein legitimes Interesse der befragten Zeugen an Vertraulichkeit gebe es nicht, zumal ihr deren Identität bereits bekannt sei. Jedenfalls könne einem solchen Interesse ggf. durch Schwärzungen Rechnung getragen werden.

Die Beklagte lehnte die Herausgabe ab und berief sich insbesondere auf den Schutz von Hinweisgebern und Zeugen vor Repressalien der Klägerin und auf das Ausforschungsverbot im Zivilprozess. Außerdem handele es sich nach Auffassung der Beklagten bei dem Untersuchungsbericht um ein Geschäftsgeheimnis, weil dieser für zukünftige Rechtsstreitigkeiten mit der Klägerin von Bedeutung sein könne und Rückschlüsse auf die Prozessstrategie der Beklagten erlauben würde.

Praktische Einordnung

Untersuchungsberichte sollten von vorneherein so strukturiert werden, dass sie auf Verlangen eines Betroffenen teilweise offengelegt werden können, ohne schutzwürdige Interessen Dritter, insbesondere der Hinweisgeber, zu beeinträchtigen. Erforderlich ist dafür insbesondere eine sachgerechte Trennung zwischen den tatsächlichen Feststellungen zu Arbeitnehmern einerseits sowie der Beweiswürdigung und der rechtlichen Bewertung andererseits. Nach Möglichkeit sollten die Feststellungen zu einzelnen Arbeitnehmern so von Feststellungen zu anderen Arbeitnehmern oder Dritten getrennt dargestellt werden, dass der möglicherweise zur Personalakte gehörende Teil mit wenig Aufwand ausgesondert werden kann. 

Untersuchungsberichte, die das Verhalten oder die Leistung des Arbeitnehmers betreffen, sind nach Auffassung des LAG München Bestandteil der Personalakte. Daher haben die betroffenen Arbeitnehmer vorbehaltlich überwiegender Arbeitgeberinteressen nach § 242 BGB selbst dann ein Einsichtsrecht, wenn kein datenschutzrechtlicher Anspruch auf Erhalt einer Kopie besteht.

Die Inhalte, die den jeweiligen Arbeitnehmer nicht betreffen, muss der Arbeitgeber unkenntlich machen. 

Unternehmen sollten standardisierte Verfahren für die Ablage von Untersuchungsberichten und für eine etwaige Einsichtnahme erarbeiten. Das Bestehen eines Einsichtsrechts und seine Reichweite müssen dennoch in jedem Einzelfall geprüft werden. Hierbei müssen Auskunfts- und Schutzinteressen von Arbeitnehmern ebenso wie berechtigte Arbeitgeberinteressen Berücksichtigung finden.

Losgelöst vom konkreten Einzelfall können Unternehmen ihre Arbeitnehmer über die grundsätzliche Reichweite und Grenzen des Einsichtsrechts in unternehmensinternen Richtlinien („Investigation Guidelines“) informieren. Durch die Schaffung verbindlicher Standards für den Ablauf, die Zuständigkeiten und die rechtlichen Rahmenbedingungen interner Untersuchungen können Investigation Guidelines dazu beitragen, das Vertrauen in die Objektivität der Untersuchung zu erhöhen und etwaige Hemmungen von Mitarbeitern, an der Untersuchung mitzuwirken, abzubauen.

Das Urteil ist noch nicht rechtskräftig. Das Verfahren ist nunmehr beim BAG als Revisionsinstanz anhängig.

Kristin Trittermann, LL.M.
Anna Kubitz
Christian Döpke, LL.M., LL.M.
Haitham Rashow

Banyan Software wurde 2016 gegründet und erwirbt regelmäßig wachsende Softwarefirmen mit dem Ziel, diese im Rahmen einer Buy-and-Hold-Strategie langfristig zu entwickeln. Banyan Software verfügt über Standorte in Kanada, Großbritannien sowie in der DACH-Region. 

Gini wurde 2011 gegründet und hat sich in über einem Jahrzehnt als vertrauenswürdiger Anbieter von Dokumenten- und Zahlungs-KI-Plattformen etabliert. Die Lösungen vereinfachen unter anderem Rechnungszahlungen, automatisieren Datenerfassung und sind fest in den Arbeitsprozessen führender Finanzinstitute verankert. Unter der neuen Eigentümerschaft von Banyan wird Gini seine Marktpräsenz insbesondere im Bankensektor, im Bereich privater Krankenversicherungen sowie im E-Commerce weiter ausbauen. 

Der Unternehmensstandort sowie die Produktentwicklung von Gini werden fortgeführt.

ADVANT Beiten berät Banyan Software regelmäßig bei der Umsetzung ihrer Wachstumsstrategie in der DACH-Region, zuletzt im Juni 2025 bei der Übernahme von star/trac.

Berater Banyan Software:

ADVANT Beiten: Christian Burmeister (Federführung), Damien Heinrich, Julius Bauer, (alle Corporate/M&A), Heiko Wunderlich, Fabian Moser (beide Steuern), Mathias Zimmer-Goertz, Christian Döpke (beide IP/IT), Michael Riedel (Arbeitsrecht).

Pressekontakt
Frauke Reuther
Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Das NIS-2 Umsetzungsgesetz ändert das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) ab und führt neue, verschärfte Cybersicherheitspflichten ein. Der Kreis der Unternehmen, die Cybersicherheitsmaßnahmen treffen müssen, wird gegenüber dem bisherigen Adressatenkreis deutlich erweitert. 

Nachdem der Gesetzgebungsprozess durch die Neuwahlen im Frühjahr 2025 unterbrochen war, ging es nun doch schneller als erwartet. Da die Umsetzungsfrist bis zum 17. Oktober 2024 längst abgelaufen war und die Europäische Kommission bereits ein Vertragsverletzungsverfahren gegen die Bundesrepublik Deutschland eingeleitet hatte, verabschiedete der deutsche Gesetzgeber im Jahresendspurt 2025 das NIS-2 Umsetzungsgesetz beschleunigt. Es überrascht daher nicht, dass das Gesetz bereits einen Tag nach seiner Verkündung im Bundesgesetzblatt und ohne jede Übergangsfristen in Kraft getreten ist. Für die betroffenen Unternehmen bedeutet dies, dass sie die neuen Cybersicherheitspflichten nun sehr kurzfristig umsetzen müssen. Sie sind verpflichtet, geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen zu treffen, um die IT-Sicherheit im Unternehmen zu gewährleisten.

Die NIS-2-Richtlinie (NIS = Network Information Security), die am 10. November 2022 vom Europäischen Parlament verabschiedet worden ist, gehört zu einer Reihe von EU-Rechtsakten, die Bestandteil der Digitalstrategie der Europäischen Kommission sind. Eine Evaluation der Europäischen Kommission hatte gezeigt, dass die bisherige NIS-Richtlinie und ihre Umsetzung in den einzelnen EU-Mitgliedstaaten nicht zu einem hinreichenden Niveau an Cybersicherheit in der EU geführt hatte. Deshalb werden die Cybersicherheitspflichten durch NIS-2 verschärft.

Anwendungsbereich: Für welche Unternehmen gelten die neuen Cybersicherheitspflichten?

Bisher differenzierte das BSIG zwischen drei Kategorien von Unternehmen: (1.) Betreiber Kritischer Infrastrukturen (§ 8a BSIG), (2.) Anbieter digitaler Dienste (§ 8c BSIG) und (3.) Unternehmen im besonderen öffentlichen Interesse (sog. „UBI“, § 8f BSIG).

Nun differenziert § 28 BSIG n.F. zwischen sog. besonders wichtigen Einrichtungen (§ 28 Abs. 1 BSIG) und wichtigen Einrichtungen (§ 28 Abs. 2 BSIG). Die Anlagen 1 und 2 zum BSIG definieren, wann ein Unternehmen – je nach Zugehörigkeit zu einem bestimmten Sektor / einer Branche – als besonders wichtige oder wichtige Einrichtung zu qualifizieren ist.

Für die Frage, ob ein Unternehmen in den Anwendungsbereich von NIS-2 fällt, sind folgende Kriterien maßgeblich: (1.) die Einstufung als KRITIS-Betreiber (d.h. als besonders wichtige oder wichtige Einrichtung), (2.) die Zugehörigkeit zu einem Sektor / einer Branche und (3.) die Größe des Unternehmens.

Besonders wichtige Einrichtungen sind neben Betreibern kritischer Anlagen, Anbietern von qualifizierten Vertrauensdiensten und Anbietern von Telekommunikationsdiensten oder Betreibern von Telekommunikationsnetzen auch Unternehmen, die mindestens 250 Mitarbeiter beschäftigen und einen Jahresumsatz von über 50 Mio. Euro oder eine Jahresbilanzsumme von über 43 Mio. Euro aufweisen.

Wichtige Einrichtungen sind jedoch nicht nur Unternehmen der kritischen Infrastruktur, sondern gerade auch produzierende Industrieunternehmen, mit mehr als 50 Mitarbeitern und einem Jahresumsatz von mehr als 10 Mio. Euro, sofern sie zu einem in Anlage 1 oder 2 des BSIG genannten Sektoren / Branchen gehören.

Der Anwendungsbereich wurde damit gegenüber der bisherigen NIS-Richtlinie von 2015 deutlich erweitert.

Von besonderer Bedeutung ist NIS-2 für den Sektor „Verarbeitendes Gewerbe/Herstellung von Waren“ (Manufacturing). Er wird erstmals von den neuen Cybersicherheitspflichten erfasst. Viele Unternehmen, deren Geschäftsmodelle weder digital sind noch einen besonderen Bezug zu Daten haben, werden sich somit erstmals vertiefter mit Cybersicherheits-Compliance auseinandersetzen müssen.

Verschärfte Cybersicherheitspflichten nach dem BSIG

In Umsetzung der NIS-2 Richtlinie erweitert das BSIG den Anwendungsbereich der Cybersicherheitspflichten wesentlich. Im Vergleich zur NIS-Richtlinie enthält die NIS-2-Richtlinie außerdem einen deutlich umfassenderen Katalog von Cybersicherheitspflichten. Verstöße gegen Cybersicherheitspflichten sollen außerdem streng sanktioniert werden. Für Verstöße sind nach dem deutschen Umsetzungsgesetz (BSIG) Geldbußen von EUR 100.000 bis zu 10 Mio. vorgesehen. Zudem werden Registrierungs- und Meldepflichten im Fall eines Cybersicherheitsvorfalls für Unternehmen eingeführt.

Cybersicherheitsmaßnahmen und Risikomanagement

Nach § 30 Abs. 1 S. 1 BSIG sind sog. besonders wichtige und sog. wichtige Einrichtungen dazu verpflichtet, „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit informationstechnischer Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.“

Dabei sind das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten, die Wahrscheinlichkeit des Eintritts und Schwere von Sicherheitsvorfällen sowie deren Auswirkungen zu berücksichtigen, vgl. § 30 Abs. 1 S. 2 BSIG.

Die Pflichten für das Risikomanagement umfassen u.a. folgende Maßnahmen, die § 30 Abs. 2 BSIG als Mindestanforderungen nennt: 

• Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme
• Sicherheitsvorfall-Management
• Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall
• Krisenmanagement
• Gewährleistung der Sicherheit in der Lieferkette
• Schwachstellen-Management
• Risikomanagement im Bereich der Cybersicherheit
• Schulungen zur Cybersicherheit
• Konzepte und Verfahren für den Einsatz von Verschlüsselungstechniken
• Personalsicherheit: Zugriffskontrolle und Berechtigungsmanagement
• Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung
• gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme

Pflicht zur Registrierung und Meldung von erheblichen Sicherheitsvorfällen

Außerdem ist eine Registrierungspflicht eingeführt worden, vgl. § 33 BSIG. Das zuständige Bundesamt für Sicherheit in der Informationstechnik (BSI) sieht für Einrichtungen in Deutschland, die von der NIS-2-Richtlinie betroffen sind, einen zweistufigen Registrierungsprozess vor:

Zunächst sollten Unternehmen einen Account bei „Mein Unternehmenskonto“ (MUK) anlegen, um sich im zweiten Schritt mit dem MUK-Nutzerkonto bei einem für NIS-2 neu entwickelten BSI-Portal zu registrieren. Das BSI-Portal ist seit Januar 2026 freigeschaltet. Es dient u.a. als Meldestelle für erhebliche Sicherheitsvorfälle. Frist für die Erstregistrierung von Unternehmen beim BSI-Portal ist der 6. März 2026 bzw. drei Monate ab dem Zeitpunkt, ab dem ein Unternehmen in die Kategorie der wichtigen oder besonders wichtigen Einrichtung fällt.

Unternehmen, die in den Anwendungsbereich von NIS-2 fallen, ist daher zu empfehlen, sich bis spätestens zum 6. März 2026 über das BSI-Portal zu registrieren. Dies zum einen, um ihrer Verpflichtung zur Registrierung nachzukommen sowie zum anderen, um IT-Sicherheitsvorfälle binnen der vorgesehenen Fristen elektronisch melden zu können.

Verschärft worden sind auch die Pflichten zur Meldung von erheblichen Sicherheitsvorfällen, vgl. § 32 BSIG. Innerhalb von 24 Stunden (sog. frühe Erstmeldung) bzw. 72 Stunden (sog. Meldung) sind gestaffelt Meldungen über erhebliche Sicherheitsvorfälle zu machen. Nach spätestens einem Monat ist eine zusammenfassende Abschlussmeldung abzugeben. Damit ist ein erheblicher Verwaltungsaufwand für Unternehmen verbunden, da sie im Fall eines Cyberangriffs nicht nur Maßnahmen zur Aufrechterhaltung des Betriebs bzw. Wiederherstellung ihrer IT-Systeme betreiben, sondern über Art, Umfang und getroffene Maßnahmen gegenüber Behörden Bericht erstatten müssen.

Cybersicherheit als Compliance-Thema und Haftung der Geschäftsführung

Neu ist insbesondere die Überwachungspflicht der Geschäftsleitung nach § 38 BSIG. Vorstand bzw. Geschäftsführung müssen sicherstellen, dass im Unternehmen geeignete und verhältnismäßige technische und organisatorische Maßnahmen zur Minimierung von Cyberrisiken getroffen werden. Außerdem sind Unternehmen verpflichtet, Schulungen zur IT-Sicherheit für Leitungspersonen und andere Mitarbeiter anzubieten. 

Diese Pflichten können nicht vollständig delegiert werden. Es verbleibt stets eine Letztverantwortung auf der Leitungsebene. Verletzt die Geschäftsleitung diese Compliance-Pflichten, macht sie sich gegenüber dem Unternehmen schadensersatzpflichtig. 

Die Verletzung von Cybersicherheitspflichten stellt damit ein nicht unerhebliches Risiko für die Geschäftsleitung dar. Dieses Risiko könnte ggf. durch eine D&O-Versicherung abgesichert werden. Betroffene Unternehmen sollten bestehende Versicherungsverträge überprüfen. Außerdem empfiehlt es sich zu evaluieren, ob sich der Abschluss einer Cyberversicherung lohnt.

Nach § 91 Abs. 3 AktG ist die Einrichtung eines Risikomanagementsystems bereits Bestandteil der Pflichten des Vorstands einer Aktiengesellschaft und damit Teil allgemeiner Compliance-Pflichten der Geschäftsleitung von Unternehmen. Neu ist allerdings die Erweiterung auf Cybersicherheitspflichten.

Praxishinweis

Nachdem das NIS-2-Umsetzungsgesetz ohne Übergangsfristen in Kraft getreten ist, wird es höchste Zeit für betroffene Unternehmen zu handeln. Die folgende Zusammenfassung soll betroffenen Unternehmen einen (nicht abschließenden) Leitfaden zu den wichtigsten, vorrangig zu klärenden Punkten bieten, um die neuen Cybersicherheitspflichten umzusetzen.

Klärung der Anwendbarkeit von NIS-2 und Registrierungspflichten: Zunächst sollte geklärt werden, ob und inwieweit NIS-2 für das jeweilige Unternehmen anwendbar ist und ob Registrierungspflichten beim BSI bestehen. Dies ist jeweils im Einzelfall anhand des Produkt-/Leistungs-Portfolios eines Unternehmens zu bestimmen.

Bestandsaufnahme und Dokumentation: Bereits existente Cybersicherheitskonzepte sollten überprüft, Risiken evaluiert und die erforderliche Dokumentation wie Cybersicherheitskonzepte, Notfallpläne, etc. sollten gemeinsam mit technischen und rechtlichen Experten ausgearbeitet werden. 

Prävention von Cyberangriffen: Investitionen in Cybersicherheit zahlen sich aus, da sie ein wichtiger Beitrag zum Schutz des Know-how von Unternehmen vor Industriespionage und zur Minimierung des Risikos von hohen Betriebsausfallschäden im Fall eines Cyberangriffs sind. Prävention und rechtzeitige Vorbereitung machen hier den entscheidenden Unterschied.

Compliance und Haftung: Im Zeitalter der Industrie 4.0 und mit Blick auf die gesetzlichen Neuerungen sollte IT-Sicherheit im Unternehmen zur „Chefsache“ werden. EDV und IT-Sicherheit sind als Leitungsaufgaben in einem Unternehmen zu verstehen. Zwar bedeutet das nicht, dass Geschäftsführer und Vorstände IT-Experten sein müssen. Vielmehr sollten sie IT-Sicherheitsexperten zuziehen. Eine vollständige Delegation der Verantwortung ist jedoch nicht möglich, denn die Letztverantwortung trägt der Vorstand bzw. Geschäftsführer.

IT-Sicherheit in der Lieferkette: Selbst wenn ein Unternehmen nicht in den Anwendungsbereich von NIS-2 fällt, wird es früher oder später für seine Kunden die NIS-2 Anforderungen erfüllen müssen. Unternehmen werden damit konfrontiert werden, dass deren Kunden ihre Cybersicherheitspflichten an ihre Lieferanten weitergeben. 

Der faktische Anwendungsbereich von NIS-2 ist damit sogar noch weiter. Mittelbar sind zahlreiche Unternehmen betroffen, die an Unternehmen liefern, die die neuen Cybersicherheitsanforderungen nach NIS-2 erfüllen müssen. Dies gilt z.B. für Zulieferer der Medizintechnik- und Arzneimittelbranche, aber auch für die produzierende Industrie, die lediglich Teile zur Verwendung in der Automobilindustrie, diversen Bereichen des Maschinenbaus oder der Elektrotechnik herstellt.

De facto wird sich nahezu jedes Unternehmen früher oder später mit dem Thema IT-Sicherheit befassen müssen.

Dr. Birgit Münchbach

Einführung

Generative KI unterstützt nicht nur beim Schreiben von Texten und Erstellen von Bildern, sondern zunehmend auch bei der Programmierung von Software. Dies kann Auswirkung auf die urheberrechtliche Schutzfähigkeit von Software haben. Dies ist auch bei Unternehmenskäufen wichtig. Wo die Software weitgehend von KI entwickelt wurde, kann es an einer urheberrechtlichen Schutzfähigkeit fehlen, was sich auf die Werthaltigkeit des Zielunternehmens auswirkt. Dies ist im Rahmen der Due Diligence wie auch bei der Vertragsgestaltung zu beachten.

Rechtlicher Rahmen

Computerprogramme sind urheberrechtlich geschützt, wenn sie individuelle Werke in dem Sinne darstellen, dass sie das Ergebnis der eigenen geistigen Schöpfung ihres Urhebers sind. Nach diesem Grundsatz waren bislang Computerprogramme in der Regel urheberrechtlich geschützt. Seit generative KI auch in die Softwareentwicklung Einzug gehalten hat, stellt sich die Frage, wie sich dies auf die Schutzfähigkeit auswirkt. Im Kern wird eine Schutzfähigkeit eines Computerprogramms dann gegeben sein, wenn ein Mensch die KI nur als untergeordnetes Werkzeug einsetzt. Das wird der Fall sein, wenn beispielsweise KI die zu entwickelnde Software testet und Inkonsistenzen aufdeckt. Werden dagegen relevante Teile des Codes von der KI generiert, wird ihnen in vielen Fällen die Schutzfähigkeit fehlen. Die genauen Abgrenzungen unterliegen derzeit noch weiterer Entwicklung. Dennoch sollte man nicht voreilig insgesamt von einem Graubereich sprechen. Die Grundsätze sind bereits relativ klar, das konkrete Ergebnis ist gleichwohl stark vom Sachverhalt im Einzelfall abhängig.

All dies gilt unabhängig davon, ob der KI-Anbieter dem Nutzer (sprich Softwareentwickler) alle Rechte an den Arbeitsergebnissen der KI einräumt. Wenn schon kein Urheberrecht entsteht, weil der menschliche Anteil zu gering ist, kann auch kein Urheberrecht übertragen werden.

Auswirkungen auf die Due Diligence

Heutzutage werden Softwareentwickler kaum gänzlich auf den Einsatz von KI bei der Entwicklung verzichten. Die Frage ist daher weniger, ob KI eingesetzt wird, sondern vielmehr wie sie eingesetzt wird. Und diese Frage sollte auch im Rahmen der Due Diligence gestellt werden. Offenzulegende interne Richtlinien und Dokumentation zu Mitarbeiterschulungen zum Einsatz von KI können Aufschluss geben, ebenso einschlägige Lizenzverträge. Darüber hinaus ist auch zu dezidierten Experten-Calls zu raten, um die tatsächliche Nutzung möglichst genau nachprüfen zu können. Bei einer nur oberflächlichen Due Diligence könnten Risiken übersehen werden; soll im Rahmen der Transaktion eine W&I Versicherung abgeschlossen werden, könnte die dazugehörige Police den Scope der Garantie insoweit streichen oder kürzen, wenn in der Due Diligence Lücken festgestellt wurden. 

Auswirkungen auf die Vertragsdokumente

Neben allgemeinen Garantien zur Inhaberschaft aller relevanten geistigen Eigentumsrechte (IP) bieten sich eigene Garantien in Bezug auf den Einsatz von KI an, zu denen dann ggf. Anlagen mit spezifischer Beschreibung bzw. Offenlegung gefertigt werden. Bei einer zu generischen Garantieklausel bestünde das Risiko, dass in Falle einer (vermeintlichen) Garantieverletzung rechtliche Unklarheit darüber entsteht, ob der bestimmte Fall unter die Garantie fällt oder nicht. 

Weitere Rechtsfragen: Rechte Dritter, AI Act, Scraping und Datenlizenzen, Internationale Aspekte

Eine von den vorstehenden Überlegungen zu trennende, gleichwohl benachbarte Frage ist, ob etwaiger KI-generierter Code Rechte Dritter verletzt. Das könnte beispielsweise dann der Fall sein, wenn die KI den fremden Code – mit dem sie trainiert wurde – weitgehend reproduziert. Das Risiko kann mit einem Software-Scan reduziert, aber nicht ganz ausgeschlossen werden; andererseits besteht das Risiko der Übernahme fremden Codes auch beim Einsatz menschlicher Programmierer. Ein größeres Risiko dürfte dagegen bestehen, wenn visuelle Inhalte KI-generiert werden. Dies ist aber nicht Gegenstand des vorliegenden Beitrages.

Wenn die fragliche Softwarelösung als Bestandteil der Zielgesellschaft oder als zu übergehendes Asset selbst KI darstellt, sollte nicht nur der AI Act im Blick behalten werden, sondern auch die Herkunft der Datensätze, mit denen sie trainiert wurde. Wenn diese auf Web-Scraping (automatisiertes Auslesen von Daten auf Websites mithilfe von Software-Bots oder Skripten) zurückgehen, können sich urheberrechtliche und datenschutzrechtliche Fragen stellen. Auch der Erwerb einer Lizenz von einem kommerziellen Anbieter nützt nur dann, wenn dieser wiederum selbst alle notwendigen Rechte hat; ein Blick auf die Lizenzbestimmungen ist in jedem Fall angezeigt (beispielsweise in Bezug auf Grenzen der Nutzung durch den Lizenznehmer).

Bei grenzüberschreitenden Unternehmenskäufen, insbesondere wenn die Zielgesellschaft international oder gar global tätig ist, verstärken sich die urheberrechtlichen Herausforderungen im Zusammenhang mit KI-generierter Software. Urheberrecht ist grundsätzlich nationales Recht, wenngleich sich die Voraussetzungen für die Entstehung von urheberrechtlichem Schutz in den meisten Ländern ähneln und damit auch die Grundsätze für die hier relevanten Rechtsfragen. Dennoch ist die Entwicklung auch auf internationaler Ebene noch im Fluss, und ein chinesisches Gericht mag die hier aufgeworfenen Rechtsfragen anders entscheiden als ein amerikanisches. Die Garantieerklärungen der Transaktionsdokumente sollten zudem flexible Formulierungen enthalten, die den unterschiedlichen rechtlichen Rahmenbedingungen in den betroffenen Jurisdiktionen Rechnung tragen. 

Fazit und Handlungsempfehlung

Wenn KI bei der Erstellung von Software nicht nur als untergeordnetes Tool eingesetzt wird, kann es an der Schutzfähigkeit der Software fehlen. Der Prozess der Softwareentwicklung sollte daher im Rahmen der Due Diligence hinterfragt werden. Die Findings werden sich beim Unternehmenskauf in der Vertragsdokumentation widerspiegeln müssen. Auch weitere Folgefragen wie Rechte Dritter, AI Act, Scraping und Datenlizenzen sowie internationale Aspekte sind zu beachten. 

Dr. Andreas Lober
Tassilo Klesen

Bosys ist ein spezialisierter Anbieter von Software- und Beratungsleistungen für die Touristikbranche. Das Unternehmen verfügt über langjährige Erfahrung in der Konzeption, Implementierung und Weiterentwicklung komplexer IT- und Abrechnungssysteme für Reisevermittler. Die Lösungen und Beratungsleistungen von Bosys kommen in anspruchsvollen Systemlandschaften großer touristischer Unternehmensgruppen zum Einsatz, wie sie unter anderem bei Marktführern wie TUI und DERTOUR anzutreffen sind. In diesem Umfeld ist Bosys auch in Projekten mit Gesellschaften wie der Travel – Basys GmbH & Co. KG tätig gewesen. Das Unternehmen ist darüber hinaus für zahlreiche Vertriebsorganisationen tätig, darunter die Kooperation RTK. Die Bosys-Plattformen unterstützen Vertriebs-, Buchhaltungs-, Reporting- und Betriebsprozesse von Reisebüros. Mehr als 3000 Agenturen in Deutschland und Österreich nutzen die Systeme von Bosys.

Travelsoft zählt zu den führenden europäischen Anbietern von Softwarelösungen für Reiseveranstalter und touristische Vertriebssysteme. Die Gruppe entwickelt zentrale Plattformen für Produktions-, Buchungs- und Abrechnungsprozesse und ist in mehreren europäischen Märkten technologischer Partner namhafter Reiseunternehmen. Mit der Akquisition von Bosys stärkt Travelsoft ihre Position im deutschsprachigen Raum und erweitert ihr Leistungsportfolio um zusätzliche Beratungs- und Implementierungskompetenz.

Das ADVANT Beiten-Team unterstütze die Gesellschafter von Bosys unter der Leitung des federführenden Partners Prof. Dr. Hans-Josef Vogel während sämtlicher Phasen der Transaktion, insbesondere bei der Strukturierung des Verkaufsprozesses, der Verhandlungsführung sowie der Ausarbeitung und Umsetzung der maßgeblichen Vertragsdokumentation. Die Beratung erfolgte in enger Abstimmung mit dem Berater und Branchenexperten Gunther Holzschuh, Holzschuh Consult mit Sitz in Kreuth.

Mit dem Zukauf stärkt Travelsoft die Präsenz im deutschen und österreichischen Reisemarkt und erweitert die Kompetenzen der Gruppe im Bereich CRM-, 
Midoffice- und Backoffice-Lösungen für Reisebüros, Vertriebsorganisationen und touristische Callcenter. Die Verschmelzung beider Unternehmen unterstreicht die fortschreitende Konsolidierung im Markt für touristische Software- und Beratungsleistungen sowie die strategische Bedeutung tiefgehender Branchen- und Systemkenntnis im Umfeld großer Reiseveranstalter. Für Bosys-Kunden bedeutet die Übernahme langfristige Produktkontinuität, eine verbesserte technische Anbindung an führende Reiseplattformen sowie die Unterstützung durch eine international aufgestellte Gruppe mit entsprechender Investitionskapazität.

Berater Gesellschafter Bosys GmbH: 

ADVANT Beiten: Prof. Dr. Hans-Josef Vogel (Federführung), Nico Frielinghaus, Dr. Martin Rappert, Sarah Peters, Simon Litterst (alle Corporate/M&A), Mathias Zimmer-Goertz, Christian Döpke (beide IP/IT), Marcus Mische, Markus Linnartz (beide Steuern), Dr. Andreas Imping, Anna Kubitz (beide Arbeitsrecht, alle Düsseldorf).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Der Elisabeth Vinzenz Verbund zählt zu den größten katholischen Trägern von Krankenhäusern, Pflegeheimen und Ausbildungsstätten in Deutschland. Er betreibt als Holdinggesellschaft elf Krankenhäuser mit mehr als 3.500 Klinikbetten. Seine knapp 10.000 Mitarbeiter erwirtschaften einen Jahresumsatz von rund EUR 1,1 Mrd.

Das Martha-Maria Krankenhaus Halle-Dölau ist ein Krankenhaus der Schwerpunktversorgung und verfügt über 510 Betten mit rund 1.200 Mitarbeitern. Die Einrichtung unterhält elf Fachabteilungen und mehrere medizinische Versorgungszentren. Damit erzielt das Unternehmen einen Jahresumsatz von über EUR 150 Mio.

Mit der Übernahme wollen die Beteiligten den Gesundheitsmarkt in Halle durch am Patienten orientierte Spitzenmedizin in verschiedenen Medizinzentren stärken. Die rund 30 medizinischen Fachbereiche der Standorte des Martha-Maria Krankenhauses Halle-Dölau und des Krankenhauses St. Elisabeth und St. Barbara werden standortübergreifend schrittweise gebündelt.

Das Healthcare-Team von ADVANT Beiten berät den Elisabeth Vinzenz Verbund regelmäßig zu M&A- und anderen Projekten.

Berater Elisabeth Vinzenz Verbund:

ADVANT Beiten: Dr. Karl-Dieter Müller (Federführung), Robert Schmid, Dr. Silke Dulle, Benjamin Knorr (alle Corporate/M&A, Healthcare, Berlin), Christoph Heinrich (München), Uwe Wellmann (beide Kartellrecht, Berlin), Helmut König (Tax, Düsseldorf), Anja Fischer (Real Estate, München), Wolf Reuter (Arbeitsrecht, Berlin), Dr. Sebastian Kroll, Dr. Mark Zimmer, Virginia Mäurer (alle Arbeitsrecht, München), Susanne Klein, Jason Komninos, Mirjam Kaiser (alle Datenschutz / IT, Frankfurt).

Inhouse: Norman Langhoff

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Karl-Dieter Müller
Rechtsanwalt Steuerberater
ADVANT Beiten
+49 (30) 26471-262
Karl-Dieter.Mueller@advant-beiten.com

DFT ist ein etablierter Anbieter innovativer Lösungen im Bereich Sterilisation, Pasteurisation und weiterer thermischer Prozesse für die Lebensmittel- und Getränkeindustrie. Mit der Übernahme von DFT setzt ProMach seine Wachstumsstrategie in Europa fort.

Die internationale Zusammenarbeit innerhalb der ADVANT-Allianz spielte bei dieser Transaktion eine zentrale Rolle: Unsere italienischen Allianz-Partner ADVANT Nctm beraten ProMach bereits seit vielen Jahren in Italien.
ADVANT Beiten kam in enger Abstimmung mit der US-Kanzlei Thompson Hine in das Mandat, die ProMach in den Vereinigten Staaten regelmäßig juristisch berät.

Berater ProMach:
ADVANT Beiten: Prof. Dr. Hans-Josef Vogel (Düsseldorf), Roy Naor (Frankfurt, beide Corporate/M&A, Federführung), Dr. Andreas Imping, Anna Kubitz (beide Arbeitsrecht), Mathias Zimmer-Goertz, Christian Döpke (beide IP/IT), Sarah Peters, Simon Litterst (beide Corporate/M&A, alle Düsseldorf), Christopher Harten (Konfliktlösung, Hamburg), Marcus Mische, Markus Linnartz (beide Steuern), Thomas Herten (Real Estate, alle Düsseldorf), Katrin Lüdtke (Public Sector, München).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Das interdisziplinäre Team von ADVANT Beiten hat Zoot während des gesamten Akquisitionsprozesses begleitet – von der rechtlichen und steuerlichen Due Diligence über die Strukturierung und Verhandlung der Transaktionsverträge bis hin zum erfolgreichen Vollzug.

Zoot Sports wurde 1983 in Kona, Hawaii, gegründet – dem Ursprungsort des Ironman-Triathlons. Das Unternehmen ist auf innovative Bekleidung, Schuhe und Ausrüstung für Triathleten und Ausdauersportler spezialisiert und gilt weltweit als eine der führenden Marken in diesem Segment. Zoot steht für technische Präzision, hohe Qualität und Athletenorientierung und vertreibt seine Produkte in über 25 Ländern. Seit 2023 gehört Zoot zur MVC Group, einem internationalen Sportartikelunternehmen mit Sitz in Italien.

Tailwind Brands ist ein in Bönen, ansässiges Unternehmen, das sich auf den Vertrieb und das Markenmanagement von Premium-Sport- und Lifestylemarken spezialisiert hat. Das Unternehmen verfügt über ein etabliertes Vertriebsnetz in der DACH-Region sowie langjährige Partnerschaften mit führenden Sportfachhändlern und Online-Plattformen. Tailwind Brands hat sich einen Namen als kompetenter Partner für den Auf- und Ausbau internationaler Marken im europäischen Markt gemacht.

Mit der Übernahme von Tailwind Brands schafft Zoot Sports die Grundlage für eine beschleunigte Expansion in Europa. Die Verbindung von Zoots internationaler Markenstärke mit der regionalen Markt- und Vertriebskompetenz von Tailwind Brands bietet erhebliche Wachstumspotenziale in den kommenden Jahren.

Berater Zoot Sports: 
ADVANT Beiten: Dr. Markus Ley (Corporate/M&A, München), Dr. Erik Schmid, Virginia Mäurer (beide Arbeitsrecht, München), Susanne Klein, Jason Komninos (beide IP/IT, Frankfurt), Markus Linnartz (Steuern, Düsseldorf), Petra Fendt (Bank- und Finanzrecht, München), Anja Fischer (Real Estate, München).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

RadioADMaker mit Sitz in München wurde 2023 als innovatives Start-up gegründet, um die Produktion und Buchung von Radiowerbung mithilfe künstlicher Intelligenz grundlegend zu verändern. Die Plattform erlaubt es Werbetreibenden, innerhalb weniger Minuten maßgeschneiderte Audiospots zu erstellen – von der Textkonzeption über Sprachsynthese und Sounddesign bis hin zur Buchung bei Radiosendern oder Vermarktern. Bereits heute setzen namhafte Partner wie SpotCom (ANTENNE BAYERN Group), STUDIO GONG sowie führende Radiounternehmen in der Schweiz auf die Technologie.

Die amy GmbH betreibt eine Handelsplattform für programmatische Audiowerbung und bietet Zugang zu den Werbeinventaren von über 160 Radiosendern. Über die Plattform können Werbekampagnen automatisiert und kontaktbasiert in linearer Radiowerbung gebucht werden – vergleichbar mit den Abläufen im digitalen Werbemarkt.

Die vollständige Einbindung von RadioADMaker in die amy-Plattform ist schrittweise bis Anfang 2026 geplant. Gleichzeitig bleibt RadioADMaker weiterhin als eigenständiges Produkt am Markt verfügbar.

Radio Gong ist Anbieter des meistgehörten Radiosenders in München, Radio Gong 96.3. ADVANT Beiten berät Radio Gong seit langem im Medienrecht.

Berater Radio Gong:

ADVANT Beiten: Dr. Holger Weimann (IP/IT/Medien) und Dr. Markus Ley (Corporate/M&A, beide München)

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Die Veräußerung war das Ergebnis eines während des vorläufigen Insolvenzverfahrens eingeleiteten internationalen Bieterverfahrens, welches ein ADVANT Beiten-Team aus den Bereichen Insolvenzrecht, IP und Kartellrecht umfassend begleitet hat. Die Insolvenzverwalterin hatte für die Vermögensgegenstände insgesamt 12 wirksame Gebote erhalten, von welchen am 29. August 2025 von drei Bietern endverhandelte Verträge vorlagen. 

Den Zuschlag hat die Euro Comfort Gruppe erhalten; über den Kaufpreis haben die Parteien Stillschweigen vereinbart. Der Verkaufsvertrag wurde nach Insolvenzeröffnung am 1. September 2025 unterschrieben. Die Mitarbeiter der Aquinos Bedding Germany GmbH wurden in einer Mitarbeiterinformationsveranstaltung noch am gleichen Tage informiert.

Seit dem Jahr 2022 gehört die Marke Schlaraffia zur Aquinos Bedding Germany GmbH, einem Tochterunternehmen der portugiesischen Aquinos-Gruppe. Hintergrund der Insolvenz der Aquinos Bedding Germany GmbH ist vornehmlich die finanzielle Schieflage ihrer Schwestergesellschaften in Polen, Belgien, Niederlande und Rumänien, die als Zulieferer agierten und selbst in Lieferschwierigkeiten geraten waren. 

Die Euro Comfort Gruppe gehört zu den größten Produzenten Europas auf dem Gebiet der Bettausstattung und Polsterelemente, welche an zehn Produktionsstandorten mit 4.595 Mitarbeitenden innovative Produkte und Lösungen rund um entspannten Sitz- und Liegekomfort entwickelt, produziert und vertreibt. Zur Unternehmensgruppe von Eigentümer Thomas Bußkamp gehören unter anderem die Unternehmen Badenia Bettcomfort, Lück, Brinkhaus, Abeil und Euroline sowie die bekannten Marken Irisette, Brinkhaus und Ewald Schillig.

ADVANT Beiten wird die Insolvenzverwalterin auch weiterhin im Rahmen der Umsetzung des Kaufvertrages und der Überprüfung von Haftungs- und Anfechtungsansprüchen beraten.

Berater Frauke Heier als Insolvenzverwalterin der Aquinos Bedding Germany GmbH:

ADVANT Beiten: Frank Primozic (Federführung), Dr. Moritz Handrup, Yekta Dündar (alle Frankfurt am Main, Insolvenzrecht), Christoph Heinrich (München), Uwe Wellmann (Berlin, beide Kartellrecht), Mathias Zimmer-Goertz (Düsseldorf, IP-Recht).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Yancoal International Holding Co., Ltd. erwirbt im Rahmen der Transaktion 51 Prozent der Anteile an der CFH GmbH. Über das Transaktionsvolumen haben die Parteien Stillschweigen vereinbart.

Die weltweit tätige CFH-Unternehmensgruppe bündelt unter ihrem Dach eine Reihe von Tochter- und Beteiligungsunternehmen, alle spezialisiert auf Ingenieurleistungen, die rund um das Thema Luft am Arbeitsplatz innovative Lösungen ermöglichen. 

Yancoal International Holding Co., Ltd bringt umfassende Erfahrung in globaler Ressourcenallokation und industrieller Zusammenarbeit mit. Die Beteiligung von Yancoal International Holding Co., Ltd. stellt einen wichtigen Meilenstein in der internationalen Wachstumsstrategie der CFH-Unternehmensgruppe dar. Die Partnerschaft eröffnet neue Möglichkeiten für technologische Innovation, globale Marktpräsenz und nachhaltige Entwicklung. Gemeinsam werden neue Standards in der Entwicklung intelligenter Lüftungs- und Umwelttechnologien gesetzt - insbesondere für Anwendungen in Bergbau, Tunnelbau und Industrie. 

Das internationale Team von ADVANT Beiten unter der Federführung von Dr. Martin Rappert (Düsseldorf) und Susanne Rademacher (Beijing) berät Unternehmen regelmäßig zu Investitionen und Geschäftsaktivitäten in Europa und der Volksrepublik China.

Berater CFH GmbH: 
ADVANT Beiten: Dr. Martin Rappert, Nico Frielinghaus, Prof. Dr. Hans-Josef Vogel, Dr. Winfried Richardt, Sarah Heinrichs, Simon Litterst (alle Düsseldorf), Susanne Rademacher (Beijing, alle Corporate/M&A), Christian Döpke, Mathias Zimmer-Goertz (Datenschutz/IP, Düsseldorf), Christoph Heinrich (Kartellrecht, München), Dr. Christian von Wistinghausen (Außenwirtschaftsrecht, Berlin), Thomas Herten (Real Estate, Düsseldorf), Vasily Ermolin (Sanktionen, Moskau).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Beim Vertrieb von Finanz- und Versicherungsprodukten kooperieren apoBank und die AXA-Versicherungsgruppe bereits seit über 25 Jahren. Die Vertriebsaktivitäten ihrer mobilen Vertriebsgesellschaften apoFinanz und Deutsche Ärzte Finanz wollen beide Häuser nun stärker bündeln. 

Im Rahmen der Neugestaltung wird die apoFinanz mit der Deutsche Ärzte Finanz verschmolzen. Gleichzeitig erwirbt die apoBank zusätzliche Anteile an der Deutsche Ärzte Finanz. Mit dem Zusammenschluss entsteht der größte Finanzvertrieb für akademische Heilberufe in Deutschland. Die neue Gesellschaft wird mit rund 500 selbständigen Finanzberaterinnen und Finanzberatern gemeinsam über 320.000 Kundinnen und Kunden betreuen. Der Zusammenschluss wird im August 2025 vollzogen. Ein standortübergreifendes Team von ADVANT Beiten berät die apoBank dabei rechtlich umfassend.

Die apoBank ist mit mehr als einer halben Million Kunden und einer Bilanzsumme von rund 52 Mrd. EUR die größte genossenschaftliche Primärbank Deutschlands und die Nummer eins unter den Finanzdienstleistern im Gesundheitswesen. Ihre Kunden sind vor allem Angehörige der Heilberufe, ihre Standesorganisationen und Berufsverbände, Einrichtungen der Gesundheitsversorgung und Unternehmen im Gesundheitsmarkt.

Mit der Neuaufstellung ihrer gemeinsamen Vertriebstöchter wollen die Partner die Stärken der Gesellschaften bündeln und die Synergien für zusätzliches Wachstum nutzen. 

Berater apoBank: 

ADVANT Beiten: Heinrich Meyer, Rainer Süßmann (beide Federführung, Banking/Finance, Frankfurt), Dr. Christian Ulrich Wolf, Maren Dedert (beide Corporate/M&A, Hamburg), Christoph Heinrich, Prof. Dr. Christian Heinichen (beide Kartellrecht, München), Oliver Korte, Christopher D. Harten (beide Commercial, Hamburg), Dr. Thomas Drosdeck, Dr. Gerald Müller-Machwirth (beide Arbeitsrecht), Susanne Klein, Lennart Kriebel und Daniel Trunk (alle IT-/Datenschutzrecht, alle Frankfurt)

Berater AXA: Hengeler Mueller

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Heinrich Meyer
Rechtsanwalt 
ADVANT Beiten
Tel.: +49 69 756095-414
heinrich.meyer@advant-beiten.com

Cyber Resilience Act (CRA): Einheitliche Sicherheitsstandards für Produkte mit digitalen Elementen

Mit dem Cyber Resilience Act (CRA) schafft die Europäische Union ein umfassendes und verbindliches Regelwerk zur Stärkung der Cybersicherheit von Produkten mit digitalen Elementen. Ziel der Verordnung ist es, einheitliche Cybersicherheitsstandards für den europäischen Binnenmarkt zu etablieren und dadurch das Risiko von Cyberangriffen signifikant zu reduzieren. Gleichzeitig soll das Vertrauen von Verbrauchern und Unternehmen in digitale Technologien gestärkt werden.

Der CRA verpflichtet Hersteller, Importeure und Händler dazu, während des gesamten Produktlebenszyklus – von der Konzeption und Entwicklung über die Herstellung und das Inverkehrbringen bis hin zur kontinuierlichen Wartung und Aktualisierung – Cybersicherheitsanforderungen zu erfüllen. Dadurch soll gewährleistet werden, dass Produkte nicht nur sicher sind, wenn sie auf den Markt gebracht werden, sondern über ihre gesamte Lebensdauer hinweg aktuellen Sicherheitsanforderungen entsprechen.

Für welche Produkte gilt der CRA?

Die Verordnung erfasst grundsätzlich alle Produkte mit digitalen Elementen, die im Gebiet der Europäischen Union hergestellt, importiert oder vertrieben werden. Produkte mit digitalen Elementen sind sowohl Software- als auch Hardwareprodukte und deren Datenfernverarbeitungslösungen, sowie Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden. Dazu zählen insbesondere Produkte, die zur Verarbeitung, Speicherung oder Übertragung von Daten fähig sind – beispielsweise Smart-Home-Geräte, vernetzte Haushaltsgeräte, mobile Endgeräte sowie andere internetfähige Produkte. Auch Softwareprodukte wie Firmware, Betriebssysteme und Anwendungen fallen in den Anwendungsbereich. 

Ausgenommen vom Anwendungsbereich sind hingegen Produkte, die unter bereits bestehende, sektorspezifische EU-Vorschriften mit gleichwertigen Cybersicherheitsanforderungen fallen – etwa Medizinprodukte gemäß der Medizinprodukteverordnung oder bestimmte Ersatzteile, die exakt nach den Spezifikationen der zu ersetzenden Teile gefertigt werden müssen und daher keine zusätzlichen Cybersicherheitsrisiken mit sich bringen. 

Zeitplan: Gestuftes Inkrafttreten des CRA und Übergangsfristen

Der CRA ist bereits am 10. Dezember 2024 in Kraft getreten. Die Umsetzung der Verordnung erfolgt in mehreren Stufen. Bereits ab dem 11. Juni 2026 sollen Konformitätsbewertungsstellen die Erfüllung der Anforderungen des CRA an Produkte mit digitalen Elementen bewerten. Ab dem 11. September 2026 bestehen Meldepflichten für Schwachstellen und Sicherheitsvorfälle. Ab dem 11. Dezember 2027 endet die Übergangsfrist vollständig, sodass die neuen Cybersicherheitsanforderungen an Produkte mit digitalen Elementen ab diesem Zeitpunkt verbindlich gelten. Dies gilt für ab dem 11. Dezember 2027 neu auf den Markt gebrachte Produkte sowie für bereits zuvor in Verkehr gebrachte Produkte, an denen wesentliche Änderungen vorgenommen wurden.

Für wen gelten die Pflichten nach dem CRA?

Der CRA verpflichtet nicht nur Hersteller, sondern sämtliche Akteure entlang der Wertschöpfungskette eines Produkts – darunter Importeure, Händler und Bevollmächtigte – zur Einhaltung der Cybersicherheitsanforderungen. Auch Unternehmen, die digitale Produkte verwalten, bereitstellen oder wesentlich verändern, werden von den Pflichten der Verordnung erfasst. Das gilt ausdrücklich auch für Entwickler oder Betreiber quelloffener Software, sofern diese ihre Produkte unter marktüblichen Bedingungen anbieten (Art. 3 Nr. 12 CRA).

Eine zentrale Neuerung liegt in der rechtlichen Erweiterung der sogenannten Herstellereigenschaft. Nach Art. 22 CRA gilt jede natürliche oder juristische Person als Hersteller, die ein Produkt mit digitalen Elementen wesentlich verändert und erneut in Verkehr bringt – und zwar unabhängig davon, ob sie zuvor als Händler oder Importeur gehandelt hat. Die Verordnung folgt damit der Systematik des europäischen Produktsicherheitsrechts, wonach das Inverkehrbringen eines Produkts maßgebliches Kriterium ist.

Für rein softwarebasierte Produkte wird der Begriff des Inverkehrbringens nicht an eine physische Übergabe gekoppelt. Maßgeblich ist in diesen Fällen der Moment, in dem die Software zum Download bereitgestellt, der Zugangscode übermittelt oder die Freischaltung für Nutzer technisch ermöglicht wird.

1. Pflichten für Hersteller

In erster Linie richten sich die Cybersicherheitsvorgaben des CRA an Hersteller. Die zentrale Botschaft lautet: Wer digitale Produkte auf den Markt bringt, muss dafür sorgen, dass sie sicher sind – und zwar nicht nur, wenn er sie selbst hergestellt bzw. programmiert hat. Das gilt auch für Software-Komponenten, die von Dritten stammen. Nach Art. 13 Abs. 5 CRA müssen Hersteller mit „gebotener Sorgfalt“ sicherstellen, dass diese Teile die Sicherheit des Produkts nicht gefährden. Open-Source-Software (OSS) fällt ebenfalls in den Anwendungsbereich des CRA. Dies gilt auch, wenn OSS kostenlos im Netz verfügbar ist und nicht von Unternehmen, sondern von Einzelpersonen angeboten wird. 

IT-Sicherheit über den gesamten Produkt-Lebenszyklus 

Hersteller von Produkten müssen zahlreiche Vorgaben erfüllen, um die Sicherheit ihrer Produkte während des gesamten Lebenszyklus zu gewährleisten. 

Die Cybersicherheit eines Produkts muss während des gesamten sog. „Life Cycle“ eines Produkts, d.h. von der Entwicklung bis zum Ende der Nutzungsdauer gewährleistet werden. Dies bedeutet für Software insbesondere die Schaffung einer sicheren Architektur, die Verwendung sicherer Standardkonfigurationen sowie die regelmäßige Bereitstellung von Sicherheitsaktualisierungen. Falls noch nicht implementiert, sind entsprechende Prozesse zur kontinuierlichen Sicherstellung der Produktintegrität einzurichten.

Meldepflichten

Hersteller werden verpflichtet, Schwachstellen und schwerwiegende Sicherheitsvorfälle aller Produkte zu melden. Die Meldung muss an das zuständige Computer Security Incident Response Team (CSIRT) sowie an die Europäische Agentur für Cybersicherheit (ENISA) erfolgen. Dabei sind festgelegte Fristen einzuhalten: Ereignisse (sog. Incidents) müssen innerhalb von 24 Stunden nach Bekanntwerden gemeldet werden, anschließend werden weitere relevante Informationen bereitgestellt.

Konformitätsbewertungen

Bevor ein Produkt auf den Markt kommt, muss geprüft werden, ob es den Anforderungen des Cyber Resilience Act entspricht. Diese sog. Konformitätsbewertung ist verpflichtend und hängt davon ab, wie das Produkt im Rahmen des CRA eingestuft wird. Je nachdem, wie sicherheitskritisch es ist, gelten unterschiedlich strenge Vorgaben. Wird das Produkt erfolgreich bewertet, erhält es das CE-Kennzeichen – ein offizieller Nachweis dafür, dass es die nötigen Standards erfüllt.

Management von Schwachstellen und Sicherheitsupdates

Schwachstellen im Produkt müssen in einem Zeitraum von mindestens fünf Jahren nach Entdeckung behoben werden. Diese Behebung erfolgt in Form von Sicherheitsupdates und muss in der Regel kostenfrei sein. Dieser Zeitraum entspricht mindestens der voraussichtlichen Nutzungsdauer des Produkts.

Dokumentationspflichten

Der Hersteller ist verpflichtet, die Einhaltung der Sicherheitsanforderungen für das Produkt zu dokumentieren. Diese Dokumentation muss während des gesamten Lebenszyklus des Produkts gepflegt und auf dem neuesten Stand gehalten werden. Sie muss den Mindestanforderungen des CRA entsprechen und jederzeit nachvollziehbar sein.

2. Pflichten für Importeure

Ähnlich wie der Hersteller darf der Importeur sein Produkt erst einführen, wenn die Anforderungen des CRA nach Art. 19 Abs. 1 CRA erfüllt sind. Der Importeur muss sicherstellen und nachweisen können, dass die Pflichten des Herstellers bereits erfüllt worden sind. Zudem ist er verpflichtet, seine Kontaktdaten auf dem Produkt (wenn dies nicht möglich ist, auf der Verpackung oder der beigefügten Dokumentation) anzugeben. Bei Sicherheitsmängeln müssen sowohl der Hersteller als auch die zuständigen Behörden informiert werden. Auch der Nutzer ist bei Bekanntwerden von Sicherheitsmängeln zu informieren.

3. Pflichten für Händler

Der Händler hat auf den ersten Blick weniger Pflichten als der Hersteller und Importeur. Er muss lediglich überprüfen, ob CE-Nummer, Konformitätserklärung, Enddatum des Unterstützungszeitraums und die Kontaktdaten des Herstellers und Importeurs vorliegen. Stellt der Händler fest, dass das Produkt CRA-konform ist, darf er dieses auf den Markt bringen. Ist dies nicht der Fall, muss auch der Händler Maßnahmen ergreifen, um vorhandene Sicherheitslücken zu bekämpfen. Er ist beispielsweise verpflichtet, das Produkt vom Markt zu nehmen und die zuständigen Behörden zu informieren.

Sanktionen bei Verstößen gegen den CRA

Wer als Hersteller, Importeur oder Händler gegen die neuen Cybersicherheitsvorgaben nach dem CRA verstößt, muss grundsätzlich mit Konsequenzen rechnen. Nach Art. 64 Abs. 3 können Geldbußen von bis zu EUR 10 Mio. oder von bis zu 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres eines Unternehmens verhängt werden, je nachdem, welcher Betrag höher ist. Bei Verstößen gegen die Herstellerpflichten drohen Sanktionen bis zu EUR 15 Mio. oder 2,5 % des gesamten weltweiten Jahresumsatzes. Dazu können weitere einschränkende Maßnahmen kommen. Ausnahmen gibt es nach Art. 64 Abs. 10 für Kleinst- und Kleinunternehmen und Verwalter quelloffener Software. Das im Einzelfall verhängte Bußgeld wird sich zwar immer an dem konkreten Verstoß, dessen Ausmaß und auch an dem Grad des Verschuldens des betroffenen Akteurs orientieren, d.h. es muss verhältnismäßig sein. Dennoch sollten Unternehmen diese Möglichkeit von Sanktionen nicht auf die leichte Schulter nehmen. Wie im Datenschutzrecht gilt auch im Rahmen des CRA: Eine gute Dokumentation der getroffenen Cybersicherheitsmaßnahmen hilft im Falle eines Verstoßes dabei nachzuweisen, dass ein Unternehmen seinen Pflichten nachgekommen ist.

Handlungsbedarf für Unternehmen: Was ist jetzt zu tun?

Unternehmen, die Produkte mit digitalen Elementen herstellen, importieren oder vertreiben, sollten diese bereits jetzt auf mögliche Cyberrisiken überprüfen und gegebenenfalls geeignete Sicherheitsmaßnahmen ergreifen. Zudem sollten sie sich auf ihre Dokumentations- und Nachweispflichten vorbereiten. Gezielte Schulungen und Sensibilisierungen der Mitarbeiter sind ebenso unerlässlich. Verträge mit Zulieferern sollten darauf geprüft werden, ob auch die Zulieferer von Komponenten entsprechende IT-Sicherheitsanforderungen erfüllen. Zudem empfiehlt es sich, einen Incident-Response-Plan zu entwickeln, der unter anderem die Einhaltung der Meldepflichten sicherstellt und Verantwortlichkeiten im Unternehmen klar definiert.

Last but not least sollten die neuen Anforderungen des CRA an Produkte mit digitalen Elementen bereits beim Produktdesign in der Entwicklung berücksichtigt werden, damit Hersteller im Dezember 2027 nicht von den neuen Cybersicherheitsanforderungen an ihre Produkte überrascht werden. Hier gilt es, rechtliche und technische Expertise zu kombinieren, um Lösungen zu finden, die nicht nur die Vorgaben des CRA erfüllen, sondern auch praktikabel und wirtschaftlich sind.

In Kürze:

• Der Anwendungsbereich der neuen Vorschriften ist denkbar weit; auch Lösungen, die auf die Bedürfnisse einzelner Kunden zugeschnitten sind, können betroffen sein
• Der Wechsel zwischen Diensten soll erleichtert werden, Wechselhindernisse sollen entfallen, Mindestvertragslaufzeiten werden obsolet
• Für Kunden derartiger Dienste ergeben sich Chancen – Anbieter sollten ihre Verträge anpassen, ggf. muss das kommerzielle Modell auf den Prüfstand
• Zur Frage, inwieweit die neuen Regelungen ab dem 12. September auch für Bestandsverträge gelten gibt es unterschiedliche Auffassungen
• Reseller derartiger Dienste müssen darauf achten, dass sie ihre Pflichten gegenüber Kunden erfüllen können und sollten die Verträge mit dem Dienstanbieter prüfen

Im Einzelnen:

Anbietern von Cloud-, SaaS-, Edge- und ähnlichen Diensten widmet der Data Act ein eigenes Kapitel. Dieses Kapitel VI enthält Regelungen für so genannte Datenverarbeitungsdienste und zielt primär darauf ab, den Wechsel zwischen verschiedenen Diensten zu erleichtern, d.h. bestehende Wechselhürden abzubauen.

Insbesondere sofern Anbieter mit langen Vertragslaufzeiten arbeiten oder der Export der Kundendaten aufwändig ist, muss das Geschäftsmodell auf den Prüfstand gestellt werden.

Dies hat im Wesentlichen die folgenden Gründe:

Lange Vertragslaufzeiten sind hinfällig. Der Kunde kann jederzeit mit einer Ankündigungsfrist von zwei Monaten den Wechsel zu einem anderen Anbieter einleiten. Nach weiteren 30 Tagen soll der Wechsel im Regelfall erfolgreich abgeschlossen sein. Hiernach gilt der bisherige Vertrag grundsätzlich als beendet. Die bisher verbreitete Praxis, anbieterseitige Anfangsinvestitionen über gewisse Mindestvertragslaufzeiten zu refinanzieren, wird also nicht mehr ohne weiteres funktionieren. Als Alternative kommen beispielsweise Set-up Fees in Betracht, die in den letzten Jahren im Zuge der Umstellung auf SaaS an Bedeutung verloren hatten, ggf. auch Zahlungen für den Fall einer vorzeitigen Vertragsbeendigung (z.B. sog. Termination Fees).

Besondere Abgrenzungsschwierigkeiten entstehen in der Praxis bei solchen Verträgen, unter denen Datenverarbeitungsdienste ebenso wie andere Leistungen angeboten werden.

Exit-Support kann sehr aufwändig sein, ist aber perspektivisch grundsätzlich kostenlos zu erbringen. Konkret: Seit dem 11. Januar 2024 dürfen nur noch ermäßigte Wechselentgelte erhoben werden, ab dem 12. Januar 2027 soll der Wechsel grundsätzlich kostenlos sein. Zugleich sieht der Data Act jedoch umfassende Support-Pflichten vor, denen sich der ursprüngliche Anbieter nicht entziehen kann.

Der Anbieter ist – bis zu einem gewissen Grad – für Interoperabilität mit dem System des neuen Anbieters verantwortlich.

Wenn der Data Act ab dem 12. September 2025 voll wirksam ist, müssen Anbieter von Datenverarbeitungsdiensten zudem auch die weiteren Pflichten aus dem Data Act erfüllen. Die zu ergreifenden Maßnahmen umfassen insbesondere:

• die Anpassung der Verträge (der Data Act gibt zwingende Vertragsinhalte vor, die Kommission hat dazu Mustervertragsklauseln vorgelegt)
• den Abbau von technisch-organisatorischen Wechselhürden
• Extensive Informationspflichten

Anbieter von Datenverarbeitungsdiensten müssen zudem Schutzvorkehrungen gegen staatlichen Zugriff aus Drittländern umsetzen.

Bei Verstößen gegen den Data Act drohen Sanktionen von Aufsichtsbehörden, wobei die Höhe der drohenden Bußgelder derzeit noch nicht feststeht.

Besonders relevant werden die Vorschriften aber in direkten Diskussionen oder Auseinandersetzungen zwischen den Vertragsparteien sein, wenn es um den Kündigungswunsch eines Kunden geht – der Anbieter des Dienstes wird sich nicht auf längere Vertragslaufzeiten berufen können. Dieses Thema kann auch relevant für Bilanz und Unternehmensbewertung sein.

Hinzu kommt: Die Cloud-Vorschriften des Data Act dürften Marktverhaltensregelungen darstellen; Wettbewerber könnten etwaige Verstöße abmahnen.

Dr. Andreas Lober
Lennart Kriebel

1. Einführung

Am 28. Juni 2025 ist das Barrierefreiheitsstärkungsgesetz (BFSG) mit der Zielsetzung der digitalen Inklusion in Kraft getreten. Menschen mit Behinderungen, Einschränkungen und ältere Menschen sollen gleichberechtigten Zugang zu Produkten und Dienstleistungen erhalten, die für eine Teilhabe an Leben in der Gesellschaft von Bedeutung sind. Für Unternehmen sind hiermit neue Pflichten verbunden. Bei Verstößen drohen Geldbußen und weitere Sanktionen. 

2. Wer ist betroffen?

Das Gesetz gilt für Unternehmen, die nach dem 28. Juni 2025 die im BFSG bestimmten Produkte in den Verkehr bringen oder Dienstleistungen erbringen. Dazu zählen insbesondere Bankdienstleistungen für Verbraucher, Telekommunikationsdienste, elektronische Ticketdienste, Selbstbedienungsterminals wie Geldautomaten oder Ticketautomaten, Hardwaresysteme und deren Betriebssysteme für Verbraucher (Computer, Tablets, Notebooks), Geräte mit interaktivem Leistungsumfang wie Smartphones und Smart-TVs, E-Books und E-Book-Reader. 

Darüber hinaus gelten die Vorgaben des BFSG auch für alle Dienstleistungen im Elektronischen Geschäftsverkehr. Damit ist jedes Unternehmen betroffen, das seine Produkte oder Leistungen über einen Online-Shop vertreibt.

Dies gilt grundsätzlich für alle in den relevanten Bereichen tätigen Unternehmen. Ausgenommen sind bei Dienstleistungen lediglich Kleinstunternehmen, die weniger als zehn Mitarbeiter beschäftigen und einen Jahresumsatz oder eine Jahresbilanzsumme von höchstens EUR 2 Mio. aufweisen. Sie sollen jedoch Beratungsangebote erhalten, um Dienstleistungen barrierefrei erbringen zu können. Unternehmen, die Produkte herstellen, importieren oder vertreiben, müssen auch als Kleinstunternehmen die Anforderungen des BFSG erfüllen. 

Die Barrierefreiheitsanforderungen müssen allerdings nur erfüllt werden, wenn deren Einhaltung keine grundlegende Veränderung der Wesensmerkmale eines Produkts oder einer Dienstleistung erfordert. Der Hersteller oder Dienstleistungserbringer muss eine solche Beurteilung dokumentieren und der zuständigen Marktüberwachungsbehörde auf Verlangen vorlegen.

Die Barrierefreiheitsanforderungen gelten zudem nur insoweit, als deren Einhaltung nicht zu einer unverhältnismäßigen finanziellen Belastung des Unternehmens führen würde. Unternehmen sind verpflichtet, eine entsprechende Beurteilung vor Bereitstellen eines Produktes oder einer Dienstleistung vorzunehmen und zu dokumentieren und die zuständige Marktüberwachungsbehörde unverzüglich zu unterrichten.

3. Was ist zu tun?

Das BFSG setzt die EU-Richtlinie 2019/882 („European Accessibility Act“, kurz EAA) in deutsches Recht um. Es verpflichtet die Adressaten, die erfassten Produkte und Dienstleistungen barrierefrei zu gestalten und Informationen bereitzustellen. 

3.1 Gewährleistung von Barrierefreiheit

Produkte und Dienstleistungen müssen konkreten Anforderungen an die Barrierefreiheit entsprechen. Sie sind nach der Legaldefinition in § 3 Abs. 1 S. 2 BFSG barrierefrei, wenn sie für Menschen mit Behinderungen in der allgemein üblichen Weise, ohne besondere Erschwernis und grundsätzlich ohne fremde Hilfe auffindbar, zugänglich und nutzbar sind. Hinsichtlich der konkreten Anforderungen verweist das BFSG auf die Verordnung über die Barrierefreiheitsanforderungen (BFSGV).

Produkte müssen Bestandteile, Funktionen und Merkmale enthalten, die es Menschen mit Behinderungen ermöglichen, auf das Produkt zuzugreifen, es wahrzunehmen, zu bedienen, zu verstehen und zu steuern. Dies gilt auch für die Produktverpackung, Gebrauchsanleitungen und Warnhinweise. Diese müssen beispielsweise über mehr als einen sensorischen Kanal zur Verfügung gestellt werden, leicht auffindbar und sprachlich verständlich sein und in einer angemessen Schriftgröße dargestellt werden.

Dienstleistungen müssen Funktionen, Verfahren und mögliche Änderungen bei der Ausführung vorsehen, die auf die Bedürfnisse von Menschen mit Behinderungen ausgerichtet sind. Dies betrifft insbesondere Informationen über die Funktionsweise der Dienstleistung. Hier gelten vergleichbare Vorgaben an die Verständlichkeit und Wahrnehmbarkeit wie bei Produktverpackungen.

Werden Dienstleistungen online angeboten, so müssen die entsprechenden Websites, einschließlich mobiler Apps, ebenfalls wahrnehmbar, bedienbar, verständlich und robust gestaltet werden. Dies beinhaltet die Gewährleistung der Interoperabilität mit assistiven Technologien, wie Screenreadern.

Neben diesen allgemeinen Vorgaben enthält die BFSGV zahlreiche zusätzliche Regelungen zu bestimmten Produkten und Dienstleistungen, wie z.B. Telekommunikationsdienste, Bankdienstleistungen oder E-Books. 

Bei der Erfüllung der Anforderungen der BFSGV müssen Unternehmen den Stand der Technik beachten. Bei Produkten und Dienstleistungen, die harmonisierten Normen oder technischen Spezifikationen entsprechen, wird vermutet, dass sie die Anforderungen der BFSGV erfüllen. 

Hersteller und Anbieter dürfen ihre Produkte und Dienstleistungen nur auf den Markt bringen bzw. anbieten, wenn sie die Barrierefreiheitsanforderungen erfüllen. Händler müssen die Einhaltung dieser Pflichten des Herstellers überwachen und dürfen ein Produkt nur bei Konformität auf dem Markt bereitstellen. Besteht Grund zur Annahme, dass es die Barrierefreiheitserfordernisse nicht erfüllt, dürfen Händler ein Produkt nicht vertreiben.

3.2 Informationspflichten

Neben der Umsetzung der Anforderungen an die Barrierefreiheit sind Dienstleistungserbringer auch verpflichtet, Informationen bereitzustellen, wie diese Anforderungen konkret erfüllt werden. Zusätzlich müssen diese Informationen mindestens eine allgemeine Beschreibung der Dienstleistung in einem barrierefreien Format, Beschreibungen und Erläuterungen, die zum Verständnis der Durchführung der Dienstleistung erforderlich sind, sowie die Angabe der zuständigen Marktüberwachungsbehörde enthalten.

Diese Informationen können in die verwendeten Allgemeinen Geschäftsbedingungen aufgenommen werden, dürfen aber auch anderweitig bereitgestellt werden, z.B. über einen separaten Link auf der Website, soweit dies deutlich wahrnehmbar ist.

3.3 Auswirkungen auf AGB & Datenschutzerklärungen

Soweit ein Produkt oder eine Dienstleistung gemäß BFSG barrierefrei bereitzustellen ist, müssen alle Inhalte, die funktional zum Produkt oder zur Dienstleistung gehören, dann ebenfalls barrierefrei zugänglich sein. Dies kann beispielsweise AGB aber auch Datenschutzerklärungen betreffen. 

In diesem Fall ist insbesondere sicherzustellen, dass eine Textstrukturierung durch Überschriften vorhanden ist, es bei eingebundenen Bildern oder anderen Medien Alternativtexte gibt, eine klare, verständliche Sprache verwendet wird, die Schriftgröße und der Kontrast angemessen sind sowie die Kompatibilität mit Screenreadern gewährleistet ist.

4. Umsetzungsfristen und Übergangsbestimmungen

Grundsätzlich müssen Unternehmen die neuen Barrierefreiheitsanforderungen seit Inkrafttreten des Gesetzes, also seit dem 28. Juni 2025, erfüllen. Teilweise greifen Übergangsbestimmungen. Dienstleistungen können bis zum 27. Juni 2030 weiterhin unter Einsatz von Produkten erbracht werden, die von dem Dienstleistungserbringer bereits vor dem 28. Juni 2025 rechtmäßig eingesetzt wurden. Vor dem 28. Juni 2025 geschlossene Verträge über Dienstleistungen müssen erst bis zum 27. Juni 2030 angepasst werden.

Selbstbedienungsterminals, die Unternehmen vor dem 28. Juni 2025 zur Erbringung von Dienstleistungen eingesetzt haben, dürfen sie bis zum Ende ihrer wirtschaftlichen Nutzungsdauer, aber längstens fünfzehn Jahre nach ihrer Ingebrauchnahme, weiter einsetzen.

5. Sanktionen

Fahrlässige und vorsätzliche Verstöße gegen bestimmte Vorgaben des BFSG sind in leichteren Fällen mit bis zu EUR 10.000 und in schweren Fällen mit bis zu EUR 100.000 bußgeldbewehrt. Die konkrete Höhe der Geldbuße richtet sich nach den Umständen des Einzelfalls. 

Die Einhaltung der Vorgaben des BFSG überprüfen die Marktüberwachungsstellen der Länder. Diese Aufgabe soll künftig zentral von der "Marktüberwachungsstelle der Länder für die Barrierefreiheit von Produkten und Dienstleistungen“ (MLBF) übernommen werden. Neben der Verhängung von Bußgeldern drohen Marktrücknahmen von nicht konformen Produkten und eine Untersagung der Dienstleistungserbringung.

Ein Ordnungswidrigkeitenverfahren kann von Amts wegen, auf Antrag eines Verbrauchers, eines nach dem Behindertengleichstellungsgesetz anerkannten Verbandes oder eines Verbraucherschutzvereins eingeleitet werden. Auch Mitbewerber können im Wege der wettbewerbsrechtlichen Abmahnung gegen vermeintliche Verstöße vorgehen. In diesem Falle droht die Geltendmachung von Unterlassungs- und Schadensersatzansprüchen.

6. Handlungsempfehlung

Unternehmen sollten prüfen, ob sie Adressaten der Pflichten des BFSG sind. Erforderlichenfalls sollten sie ihre digitalen Angebote auf Barrierefreiheit prüfen und gegebenenfalls anpassen. Ein Accessibility-Audit oder ein Schnellcheck können helfen, Schwachstellen bei der technischen Umsetzung der Barrierefreiheitsanforderungen oder der Informationspflichten zu identifizieren und zu beheben.  

Aber auch bei Unternehmen, die nicht in den Anwendungsbereich des BFSG fallen, kann eine Verbesserung der Barrierefreiheit ihrer Produkte und Dienstleistungen sinnvoll sein. Neben einem Imagegewinn durch die Förderung der Inklusion benachteiligter Menschen, kann dies auch zu einer messbaren Absatzsteigerung führen, indem neue Kundengruppen erreicht werden.

Kristin Trittermann, LL.M.
Mathias Zimmer-Goertz

Vom Schutzrecht zum Machtinstrument

Geistige Eigentumsrechte – insbesondere Patente – dienen traditionell dem Schutz technischer Innovationen. Doch ihre Funktion erschöpft sich nicht in ihrer Verwertung, beispielsweise durch Lizenzierung, oder ihrer gerichtlichen Durchsetzung. Vielmehr lassen sich IP-Rechte in strategischen Kontexten gezielt als Mittel zur Marktabschottung, zur Erweiterung des eigenen Handlungsspielraums oder sogar zur Kontrolle kritischer Infrastrukturen einsetzen.

So können IP-Rechte durch die konsequente Nutzung des bestehenden rechtlichen Rahmens, beispielsweise durch den Entzug von Lizenzen bei bestimmten Akteuren oder die selektive Vergabe von Know-how, zu einem strategischen Instrument werden. Auch der Aufbau umfangreicher Schutzrechtsportfolios in sicherheitsrelevanten Technologien, etwa in den Bereichen Satellitenkommunikation, Drohnentechnologie, Sensorik, Kryptographie oder Künstliche Intelligenz, kann eine gezielte Abschreckungswirkung entfalten.

Wer über Exklusivrechte in wichtigen Märkten verfügt, kann nicht nur Dritte am Markteintritt hindern, sondern auch regulatorische Hebel aktivieren – etwa im Rahmen von Exportkontrollen, Sicherheitsüberprüfungen oder Investitionsprüfverfahren.

In diesem Kontext können IP-Rechte auf verschiedene Weisen zum strategischen Hebel werden:

• Strategische Akquisition und Monopolisierung: Akteure könnten versuchen, kritische IP-Rechte in Schlüsselbereichen zu erwerben oder zu kontrollieren, um Wettbewerber auszuschließen, Lieferketten zu beeinflussen oder den Zugang zu essenziellen Technologien zu beschränken.
• Durchsetzung von Sanktionen und Exportkontrollen: IP-Lizenzen oder der Transfer von schutzrechtlich abgesicherten Technologien können gezielt genutzt werden, um strategische Ziele zu verfolgen oder die Fähigkeiten von Konkurrenten oder adversen Akteuren zu untergraben. Dies betrifft insbesondere Dual-Use-Technologien, die sowohl zivil als auch militärisch genutzt werden können.
• Aktiver IP-Schutz und -Durchsetzung: Relevante Technologien müssen vor unerlaubtem Erwerb und unberechtigtem Reverse Engineering geschützt, Schutzrechte müssen aktiv verteidigt werden. Dies erfordert nicht nur präventive Maßnahmen und interne Schutzmechanismen, sondern auch die konsequente außergerichtliche und gerichtliche Durchsetzung von IP-Rechten, um den Abfluss von Know-how zu verhindern und die Wettbewerbsfähigkeit zu sichern.
• Verteidigung gegen unerwünschten Technologietransfer („IP leakage“):
  Geistiges Eigentum und relevante Technologien müssen gegen strategisch motivierte Zugriffsversuche durch potentiell risikobehaftete Investoren, Joint-Venture-Partner oder Zulieferer geschützt werden.

Rechtliche Möglichkeiten zur Nutzung des bestehenden Systems

Für Unternehmen im Verteidigungs- und Raumfahrtsektor aber auch für Unternehmen, die Dual-Use-Technologien entwickeln, ist es unerlässlich, eine proaktive IP-Strategie zu entwickeln, die die vorgenannten Risiken adressiert und gleichzeitig die eigenen IP-Assets optimal schützt und nutzt. Die bestehenden rechtlichen Rahmenbedingungen bieten hierfür zahlreiche Ansatzpunkte:

1. Robuster IP-Schutz: Eine zentrale Maßnahme ist die Implementierung einer umfassenden Schutzrechtsstrategie und der Schutz von Geschäftsgeheimnissen und Know-how. Dies beinhaltet auch die konsequente Umsetzung strenger interner Prozesse zum Schutz von vertraulichen Informationen.
2. Due Diligence bei M&A und Kooperationen: Bei Akquisitionen oder Kooperationen, z. B. F&E-Kooperationen, ist eine genaue Prüfung der IP-Portfolios des Targets oder des potentiellen Vertragspartners unerlässlich, um Risiken von IP-Verletzungen oder das Vorhandensein von ungewünschten Abhängigkeiten zu identifizieren.
3. Strategische Lizenzierung und Technologietransfer-Vereinbarungen: Durch entsprechende Vertragsgestaltung und die Durchführung von Kontrollen für den Technologietransfer können Unternehmen den Zugang zu ihren IP-Rechten steuern und gleichzeitig die Einhaltung von Exportkontrollvorschriften sicherstellen. Dies kann auch die Aufnahme von "Clawback"-Klauseln umfassen, die den Entzug von Lizenzen im Falle bestimmter geopolitischer Entwicklungen ermöglichen.
4. Aktive Durchsetzung von IP-Rechten: Im Falle von IP-Verletzungen ist eine schnelle und konsequente rechtliche Durchsetzung entscheidend. Dies kann gerichtliche Verfahren, Schiedsverfahren oder die Inanspruchnahme von Zollbehörden umfassen, um den Vertrieb und den Import von schutzrechtsverletzenden Produkten zu unterbinden.
5. Vertragsgestaltung mit Blick auf geopolitische Risiken: Verträge mit internationalen Partnern sollten explizit Klauseln enthalten, die sich mit den Auswirkungen von Sanktionen, Exportkontrollen oder anderen geopolitischen Ereignissen auf die IP-Nutzung auseinandersetzen.

Fazit

Die dargestellten strategischen Einsatzmöglichkeiten von IP-Rechten verdeutlichen die große Bedeutung von IP-Rechten im geopolitischen Kontext. Für Unternehmen in der Verteidigungs- und Raumfahrtindustrie und solchen, die Dual-Use-Technologien entwickeln, ist ein fundiertes Verständnis dieser Zusammenhänge und der sich daraus ergebenden Dynamiken unerlässlich. IP-Rechte sind kein reiner Wettbewerbsfaktor mehr, sondern integraler Bestandteil von Risikominimierung und nationaler Sicherheit.

Banyan Software wurde 2016 gegründet und erwirbt regelmäßig wachsende Softwarefirmen mit dem Ziel, diese im Rahmen einer Buy-and-Hold-Strategie langfristig zu entwickeln. Banyan Software verfügt über Standorte in Kanada, Großbritannien sowie in der DACH-Region.

star/trac, ein Unternehmen mit Hauptsitz in München, hat sich auf die Optimierung komplexer Yard-Management-Abläufe spezialisiert. Die innovativen Lösungen von star/trac verbessern die betriebliche Effizienz, reduzieren die Wartezeiten für Lkw und gewährleisten die Einhaltung aller Sicherheits- und Regulierungsstandards.

ADVANT Beiten berät Banyan Software regelmäßig bei der Umsetzung ihrer Wachstumsstrategie in der DACH-Region, zuletzt im Januar dieses Jahres bei der Übernahme von FoxInsights.

Berater Banyan Software:
ADVANT Beiten: Christian Burmeister (Federführung), Damien Heinrich, Julius Bauer, (alle Corporate/M&A), Heiko Wunderlich, Fabian Buker (beide Steuern), Mathias Zimmer-Goertz, Christian Döpke (beide IP/IT), Lelu Li (Außenwirtschaftsrecht), Alexander Grässel (Arbeitsrecht). 

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Holger Weimann und Dr. Birgit Münchbach geben einen Überblick über die juristischen Rahmenbedingungen beim Einsatz von KI in der Unternehmenskommunikation. Der Beitrag zeigt, wie Unternehmen Innovation verantwortungsvoll und rechtskonform gestalten können.

Zum vollständigen Artikel im Magazin für kommunikationsmanager

Weg zur „KI-Nation“ und Cloud-Infrastruktur

Die Bundesregierung skizziert das ambitionierte Ziel, Deutschland zur führenden „KI-Nation“ Europas aufzubauen. Kern dieses Anspruchs sind umfangreiche Aufbauinvestitionen in eine leistungsfähige Cloud- und KI-Infrastruktur. Damit soll eine Basis für datenintensive Anwendungen geschaffen werden. Auch in die Verbindung von künstlicher Intelligenz und Robotik soll kräftig investiert werden. Leichtbau-Technologien und 3D-Druck werden als Schlüssel zur Modernisierung traditioneller Produktionsprozesse genannt. 

Datenstrategie und Datenschutz

Unter der Maxime „public money, public data“ soll der Grundsatz verankert werden, dass durch öffentliche Mittel generierte Daten grundsätzlich für staatliche und gesellschaftliche Zwecke offenstehen. Dazu plant die Koalition ein Datengesetzbuch, das Regelungen zusammenführen und einen Rechtsanspruch auf „Open Data“ bei staatlichen Einrichtungen schaffen soll. In Kombination mit der Stärkung von Datentreuhändern soll Vertrauen in die Qualität und Integrität solcher Datenbestände gewährleistet werden. 

Die Datenschutzaufsicht soll neu organisiert werden. Dafür sollen Zuständigkeiten und Kompetenzen bei der Bundesdatenschutzbeauftragten gebündelt werden. Sie soll dann Bundesbeauftragte für Datennutzung, Datenschutz und Informationsfreiheit genannt werden. Die Datenschutzkonferenz (DSK) soll fest im Bundesdatenschutzgesetz (BDSG) verankert werden, um fortwährend gemeinsame Standards für den Datenschutz zu erarbeiten. Bei staatlichen Serviceleistungen will die künftige Bundesregierung darauf hinwirken, dass erforderliche Einwilligungen durch „Widerspruchslösungen“ ersetzt werden. Auf europäischer Ebene soll veranlasst werden, dass Vereine, kleine und mittlere Unternehmen und risikoarme Datenverarbeitungen von dem Anwendungsbereich der DSGVO ausgenommen werden.

Verwaltung 4.0 und E-Justice

Ein zentrales Anliegen ist die Digitalisierung von Verwaltung und Justiz. Behördliche Abläufe sollen automatisiert und beschleunigt werden, wofür künstlicher Intelligenz eine Schlüsselrolle zugedacht ist. Gleichzeitig sollen Schriftformerfordernisse abgebaut werden, damit digitale Dokumente ohne Formhindernisse genutzt werden können. Außerdem ist der Aufbau einer bundesweiten „Justizcloud“ vorgesehen, in die Akten und Dokumente von Gerichten und Staatsanwaltschaften überführt werden sollen. Ergänzend soll ein nutzerfreundliches Justizportal eingeführt werden, das digitale Antragsverfahren, ein Vollstreckungsregister und zukünftig KI-gestützte Assistenzfunktionen bereitstellt. So sollen insbesondere Zivilverfahren deutlich verkürzt werden.

Europäischer Rahmen und Plattformregulierung

Die Koalition will EU-Digitalrecht in Deutschland innovationsfreundlich und kohärent umsetzen. Die nationale Umsetzung des AI-Acts soll durch eine zentrale Servicestelle begleitet werden, um bürokratische Hürden für Unternehmen zu minimieren. Zur Stärkung der digitalen Resilienz gegenüber Cyberbedrohungen soll die EuroStack-Initiative weiter unterstützt werden. Im Bereich Plattformregulierung steht die konsequente Anwendung des Digital Services Act (DSA) im Fokus. Anbieter sollen verpflichtet werden, strafbare Inhalte zeitnah zu entfernen und systemische Risiken wie Desinformation aktiv zu bekämpfen. Zudem wird die Prüfung einer verpflichtenden Bot-Identifizierung und eines Verbots manipulativer Designs („Dark Patterns“) angestoßen. Parallel dazu soll das Cyberstrafrecht modernisiert werden: Lücken bei der Strafbarkeit etwa von Deep Fakes oder bildbasierter sexualisierter Gewalt sollen geschlossen werden, und Plattformen werden schärferen Mitwirkungspflichten unterworfen. Mit dem geplanten „Digitalen Gewaltschutzgesetz“ soll zudem die Sperrung anonymer Hass-Accounts ermöglicht werden und eine Schnittstelle für Strafverfolgungsbehörden eingerichtet werden. In der Medienaufsicht sollen staatsferne Instanzen klare gesetzliche Vorgaben erhalten, um gegen Informationsmanipulation, Hass und Hetze auf digitalen Plattformen vorzugehen. Der massenhafte und koordinierte Einsatz von Bots und Fake Accounts soll verboten werden. Schließlich wird auch die Umsetzung der NIS-2-Richtline angekündigt, deren Umsetzungsfrist bereits abgelaufen ist.

Vertragsrecht und Verbraucherschutz

Auch im Verbraucher- und Vertragsrecht soll es digitaler werden. Sogenannte „Smart Contracts“ sollen es ermöglichen, einfache Entschädigungs- und Erstattungsfälle beispielsweise bei Ticketkäufen weitgehend automatisiert über vorausgefüllte Online-Formulare abzuwickeln, sofern entsprechende Daten bereits vorliegen. Parallel dazu ist eine Reform des AGB-Rechts geplant. Großunternehmen sollen darauf vertrauen können, dass untereinander geschlossene allgemeine Geschäftsbedingungen in der Praxis verlässlich anerkannt werden. Womöglich soll also im B2B die Klauselkontrolle abgeschwächt werden. Für telefonisch abgeschlossene Dauerschuldverhältnisse soll eine allgemeine Bestätigungslösung eingeführt werden, um lästige Rückfragen zu vermeiden. Der Leitgedanke „by design“ und „by default“ soll Anbieter dazu verpflichten, digitale Angebote von vornherein verbraucherfreundlich zu gestalten.

Urheber- und Medienrecht im Digitalzeitalter

Laut Koalitionsvertrag will die Regierung einen fairen Ausgleich zwischen Kreativen, Wirtschaft und Nutzern schaffen. Besonders relevant ist die Regelung, Urheber für die Nutzung ihrer Werke in generativen KI-Systemen angemessen zu vergüten. Die Formulierung klingt nach einer Art Urheberrechtsabgabe. Im digitalen Musikmarkt soll Streamingplattformen eine transparente Beteiligung der Künstler an den Erlösen auferlegt werden. 

Fazit

Viele Themen werden nur sehr vage umschrieben, aber zum Teil enthält der Koalitionsvertrag zwischen den Unionsparteien und der SPD auch sehr konkrete Vorhaben. Ob und inwiefern diese umgesetzt werden, bleibt abzuwarten. Jedenfalls ist erklärtes Ziel, Prozesse zu digitalisieren, Bürokratie abzubauen und in den Digitalbereich kräftig zu investieren. Wir werden die Entwicklungen jedenfalls weiter beobachten.

Fabian Eckstein

1. Koalition bekennt sich zur Verantwortung

Spätestens seit die Süddeutsche Zeitung im Februar 2025 gegenüber den Bayerischen Staatsgemäldesammlungen schwere Vorwürfe im Zusammenhang mit der - nach Auffassung der Zeitung - fehlenden Aufklärung von NS-Raubkunst-Verdachtsfällen erhoben hat, steht das Thema der NS-Raubkunstrestitution wieder im Mittelpunkt der Öffentlichkeit. Zwar haben die Bayerischen Staatsgemäldesammlungen die Vorwürfe als falsch zurückgewiesen. Mittlerweile hat der Bayerische Kunstminister Markus Blume jedoch Versäumnisse im Zusammenhang mit der Aufklärung von NS-Raubkunst-Verdachtsfällen eingeräumt und eine externe Kommission mit der Prüfung problematischer Provenienzen beauftragt. 

Die Geschehnisse rund um die Bayerischen Staatsgemäldesammlungen zeigen, dass das Thema der Restitution von NS-Raubkunst auch mehr als 26 Jahre nach Verabschiedung der Washingtoner Prinzipien keinesfalls abgeschlossen ist. Dies hat auch die neue Koalition erkannt. So findet sich zu den Plänen der neuen Bundesregierung für den Umgang mit NS-Raubkunst in dem am 9. April 2025 geschlossenen Koalitionsvertrag folgende bemerkenswerte Passage: 

"Der Staat trägt besondere Verantwortung bei der Rückgabe von NS-verfolgungsbedingt entzogenem Kulturgut. Wir werden die Provenienzforschung intensivieren, die Schiedsgerichtsbarkeit einführen und ein wirksames Restitutionsgesetz schaffen."

Vor allem die Aussage der Koalitionspartner, ein neues Restitutionsgesetz schaffen zu wollen, ist überaus beachtlich. Ein solches Restitutionsgesetz wird schon lange von verschiedenen Seiten, insbesondere von jüdischen Verbänden und Betroffenenanwälten gefordert, fand jedoch bisher keine politische Mehrheit. Auch die alte Ampel-Regierung wollte kein eigenständiges Restitutionsgesetz schaffen, sondern lediglich mit dem harsch kritisierten und wenig praktikablen Entwurf eines Gesetzes zur erleichterten Durchsetzung der Rückgabe von NS-Raubkunst punktuell in bestehende Gesetze eingreifen. Einen originären Restitutionsanspruch sah der Entwurf nicht vor. Im Vergleich dazu wäre die Schaffung eines eigenständigen Restitutionsgesetzes deutlich zielführender.

Der folgende Beitrag gibt zunächst einen Überblick über die bestehende Rechtslage bei der Restitution von NS-Raubkunst (Ziff. 2). Anschließend wird auf die im Koalitionsvertrag erwähnte Schiedsgerichtsbarkeit für NS-Raubkunst eingegangen, deren Einrichtung bereits unter der alten Bundesregierung beschlossen wurde (Ziff. 3). Der Beitrag endet mit einem Ausblick auf das von der neuen Bundesregierung angekündigte Restitutionsgesetz (Ziff. 4).

2. Unzureichender Rechtsrahmen

2.1 Spezielles Rückerstattungsrecht

Der Restitution von NS-Raubkunst auf Grundlage von § 985 BGB stehen zahlreiche rechtliche Hürden entgegen. Sie kommt daher nur in besonders gelagerten Ausnahmefällen in Betracht:

Nach Ende des Zweiten Weltkriegs konnten die Alteigentümer von NS-Raubkunst bzw. ihre Erben für eine kurze Zeit auf gesetzliche Anspruchsgrundlagen zurückgreifen und ihre Restitutionsansprüche vor Gericht geltend machen. So erließen die westalliierten Besatzungsmächte in ihren jeweiligen Besatzungszonen spezielle Rückerstattungsgesetze, welche die Restitution von NS-Raubkunst ermöglichten. Nach all diesen Gesetzen hatten die Anspruchsberechtigen für die Geltendmachung ihrer Ansprüche jedoch kurze Anmeldefristen zu beachten, wobei die letzte bereits Mitte des Jahres 1950 ablief. Insbesondere aufgrund dieser sehr kurz bemessenen Anmeldefristen konnte nur ein geringer Teil der tatsächlich entzogenen Kulturgüter auf Basis der alliierten Rückerstattungsgesetze restituiert werden. Auf Grundlage des nach Ende der Besatzungszeit in Kraft getretenen Bundesrückerstattungsgesetzes konnten die Anspruchsberechtigten lediglich Schadensersatzansprüche geltend machen, nicht jedoch die Herausgabe von NS-Raubkunst verlangen. 

Bei NS-verfolgungsbedingten Eigentumsverlusten auf dem Gebiet der DDR und Ostberlin bestand nach der Wiedervereinigung die Möglichkeit auf Grundlage des Vermögensgesetzes Restitutionsansprüche geltend zu machen. Für die Anmeldung der Ansprüche galt eine Ausschlussfrist bis zum 30. Juni 1993, sodass eine Geltendmachung heute nicht mehr möglich ist.¹

2.2 Herausgabeanspruch nach allgemeinem Zivilrecht

Der Restitution von NS-Raubkunst auf Grundlage von § 985 BGB stehen zahlreiche rechtliche Hürden entgegen. Sie kommt daher nur in besonders gelagerten Ausnahmefällen in Betracht:

Bereits die Anwendbarkeit des Herausgabeanspruchs nach § 985 BGB auf NS-Raubkunst ist problematisch. So ging der BGH in ständiger Rechtsprechung der Nachkriegszeit davon aus, dass das spezielle Rückerstattungsrecht der Alliierten (auch bei Versäumung der Anmeldefristen) § 985 BGB als lex specialis ausschließt. In seinem viel diskutierten Urteil aus dem Jahr 2012 zum Restitutionsfall der Plakatsammlung Sachs hat der BGH diese Sperrwirkung zumindest etwas aufgeweicht. So soll § 985 BGB immerhin dann greifen, wenn der verfolgungsbedingt entzogene Vermögensgegenstand nach dem Krieg verschollen war und der Berechtigte erst nach Ablauf der Anmeldefrist von seinem Verbleib Kenntnis erlangt hat.

Ein Herausgabeanspruch des Alteigentümers bzw. seiner Rechtsnachfolger nach § 985 BGB scheidet zudem dann aus, sofern ein Dritter gemäß § 932 BGB gutgläubig Eigentum erworben hat. Dies gilt zwar grundsätzlich nur dann, sofern die Entziehung des jeweiligen Werks nicht als ein Abhandenkommen im Sinne von § 935 Abs. 1 BGB einzustufen ist. Ein Eigentumserwerb an abhandengekommener NS-Raubkunst ist jedoch bei Veräußerungen im Wege der öffentlichen Versteigerung möglich (§ 935 Abs. 2 BGB). Zudem besteht im Falle des Abhandenkommens die Möglichkeit, dass ein gutgläubiger Besitzer nach 10 Jahren gemäß § 937 BGB durch Ersitzung Eigentum an einem entzogenen Werk erwirbt.

Selbst wenn all diese Hürden genommen wurden, kann der Kulturgutbesitzer immer noch die Einrede der Verjährung nach § 214 Abs. 1 BGB erheben, da die 30-jährige Verjährungsfrist für den Herausgabeanspruch aus Eigentum heute bereits abgelaufen ist. All das zeigt, dass das allgemeine Zivilrecht keine hinreichende Anspruchsgrundlage für die Restitution von NS-Raubkunst bietet.

2.3 Soft Law der Washingtoner Prinzipien

Bei den Washingtoner Prinzipen handelt es sich um "nicht bindende Grundsätze", auf die sich die Teilnehmer (u.a. 44 Staaten) der im Dezember 1998 durchgeführten "Washington Conference on Holocaust-Era Assets" als Abschlusserklärung geeinigt hatten. Mit Unterzeichnung dieser Prinzipien haben sich die Bundesrepublik und die anderen Teilnehmerstaaten zu ihrer historischen und moralischen Verantwortung zur Wiedergutmachung des NS-Unrechts bekannt. Sie bekunden ihre Bereitschaft zur Identifizierung von NS-Raubkunst (Ziff. 1) und zur Veröffentlichung der ermittelten Provenienzen in einem zentralen Register (Ziff. 6). Zudem soll gemäß Ziff. 4 der Prinzipien eine Beweiserleichterung zu Gunsten der Anspruchssteller greifen, da "aufgrund der verstrichenen Zeit und der besonderen Umstände des Holocausts Lücken und Unklarheiten in der Frage der Herkunft unvermeidlich sind." Sofern die Alteigentümer von NS-Raubkunst bzw. deren Erben ausfindig gemacht werden können, soll mit diesen rasch eine "gerechte und faire Lösung" gefunden werden (Ziff. 8). 

In rechtlicher Hinsicht handelt es sich bei den Washingtoner Prinzipien um sog. "soft law", d.h. eine rechtlich unverbindliche und nicht justiziable "Selbstverpflichtung" der Teilnehmerstaaten. Diesen steht es offen, dieses "soft law" durch eine entsprechende gesetzliche Transformierung in das nationale Recht in rechtsverbindliches "hard law" umzuwandeln. Daneben können die Teilnehmerstaaten rechtlich unverbindliche Präzisierungs- und Ausführungsbestimmungen erlassen, die ihrerseits wiederum nationales "soft law" darstellen.

2.4 Bisherige Umsetzung der Washingtoner Prinzipien in Deutschland

In Deutschland hatte man sich (bisher) dazu entschieden, die Washingtoner Prinzipien nicht in Gesetzesform zu gießen, sondern lediglich durch nationales "soft law" zu konkretisieren. So bekannten sich Bund, Länder und Kommunale Spitzenverbände im Dezember 1999 in der sog. "Gemeinsamen Erklärung" zu den Washingtoner Prinzipien und bekundeten ihre Bereitschaft, NS-Raubkunst den berechtigten Alteigentümern bzw. deren Nachfahren zurückzugeben. Im selben Jahr erschien die sog. "Handreichung" zur Umsetzung der Gemeinsamen Erklärung. Dabei handelt es sich um eine "rechtlich nicht verbindliche Orientierungshilfe", die öffentlichen Einrichtungen einen praktischen Leitfaden für den Umgang mit NS-Raubkunst an die Hand gibt. Deutsche Museen in öffentlicher Trägerschaft fühlen sich grundsätzlich an die Gemeinsame Erklärung und die Handreichung gebunden und werden daher in der Regel eine Restitution nicht unter Verweis auf formaljuristische Hindernisse (insb. die Einrede der Verjährung) verweigern. An private Kulturgutbesitzer wird lediglich appelliert, sich diesen Grundsätzen freiwillig anzuschließen.

Zentraler Bestandteil der Handreichung ist ein Schema zur Prüfung des NS-verfolgungsbedingten Entzugs. Danach ist zunächst zu prüfen, ob der Alteigentümer während der NS-Zeit verfolgt wurden. Bei jüdischen Geschädigten gilt dabei die Vermutung der Kollektivverfolgung. Anschließend ist zu prüfen, ob dem Alteigentümer das betroffene Kulturgut auch NS-verfolgungsbedingt entzogen wurde. Das ist bei Vermögensverlusten durch staatliche Zugriffe des NS-Regimes (z.B. Beschlagnahmen) in aller Regel der Fall. Bei rechtsgeschäftlichen Vermögensverlusten (z.B. bei Verkäufen zur Finanzierung der Flucht), wird vermutet, dass es sich bei Vermögensverlusten im Verfolgungszeitraum um ungerechtfertigte Entziehungen handelt. Der Anspruchsgegner kann diese Vermutung nur widerlegen, wenn er nachweisen kann, "dass der Veräußerer einen angemessenen Kaufpreis erhalten hat und dass er über ihn frei verfügen konnte". Bei Veräußerungen ab dem Inkrafttreten der "Nürnberger Gesetze" am 15. September 1935 wird diese Vermutung weiter verschärft. Der Anspruchsgegner muss zusätzlich nachweisen, dass die Veräußerung "auch ohne die Herrschaft des Nationalsozialismus stattgefunden hätte oder die Wahrung der Vermögensinteressen des Verfolgten in besonderer Weise und mit wesentlichem Erfolg vorgenommen wurde".

2.5 Fehlende einseitige Anrufbarkeit der beratenden Kommission

In Umsetzung der Washingtoner Prinzipen wurde in Deutschland 2003 die sog. "Beratende Kommission" eingerichtet. Die Kommission gibt auf Grundlage der Washingtoner Prinzipien, der Gemeinsamen Erklärung und der Handreichung rechtlich nicht bindende Empfehlungen ab. Sie fungiert als Vermittlerin zwischen den Anspruchstellern und den öffentlichen Eigentümern der betroffenen Werke. Die Beratende Kommission kann jedoch nur dann tätig werden, wenn beide Seiten, also sowohl die Nachfahren der Verfolgten als auch die Museen oder andere kulturgutwahrenden Einrichtungen der Anrufung zustimmen. Dies führte dazu, dass die Kommission bisher lediglich 24 Empfehlungen abgegeben hat. So sperren sich die Bayerischen Staatsgemäldesammlungen beispielsweise im Fall des ikonischen Picasso Werks "Madame Soler" seit mehr als zehn Jahren gegen eine Anrufung der Beratenden Kommission.

3. Die neue Schiedsgerichtsbarkeit

Insbesondere aufgrund des Makels der fehlenden Möglichkeit der einseitigen Anrufung der Beratenden Kommission war im Koalitionsvertrag der Ampel-Regierung zunächst die Reform der Kommission geplant. Dieser Reformplan wurde jedoch Anfang 2024 verworfen und es entstand die Idee die Beratende Kommission durch eine Schiedsgerichtsbarkeit für NS-Raubkunst zu ersetzen, die rechtsverbindliche Entscheidungen treffen soll. Trotz vielfacher Kritik und eines offenen Briefs an den damaligen Kanzler Olaf Scholz, in dem die Unterzeichner sich gegen die Schiedsgerichtsbarkeit aussprachen, stimmte das Bundeskabinett im Januar 2025 für deren Einrichtung. Am 26. März 2025 haben Bund, Länder und Kommunale Spitzenverbände ein Verwaltungsabkommen zur Einrichtung der Schiedsgerichtsbarkeit NS-Raubkunst abgeschlossen, deren Träger das Deutsche Zentrum für Kulturgutverluste in Magdeburg sein wird.

Die Schiedsgerichtsbarkeit soll auf Grundlage einer (formellen) Schiedsordnung und eines (materiellen) "Bewertungsrahmens" tätig werden, die beide von Bund, Ländern und Kommunalen Spitzenverbänden erarbeitet wurde. Damit die Schiedsgerichtsbarkeit auch einseitig von den Anspruchstellern angerufen werden kann, werden Bund und Länder sog. "stehende Angebote" zum Abschluss einer Schiedsvereinbarung abgeben. Zudem sollen Länder und Kommunale Spitzenverbände darauf hinwirken, dass kommunale kulturgutbewahrende Einrichtungen entsprechende "stehende Angebote" abgeben. Das Verfahren soll sowohl natürlichen Personen als auch juristischen Personen des öffentlichen Rechts und des Privatrechts offenstehen. Es können daher auch private kulturgutbewahrende Einrichtungen und Privatpersonen auf freiwilliger Basis an der Schiedsgerichtsbarkeit teilnehmen. 

Die Schiedsgerichte sollen jeweils aus fünf Mitgliedern bestehen: Drei Richterinnen oder Richtern oder Juristinnen oder Juristen sowie zwei Personen mit Expertise in der deutschen Geschichte des 20. Jahrhunderts oder zu Provenienzforschung zu NS-Raubkunst. Die Parteien müssen diese aus einem Schiedsrichterverzeichnis wählen. Der Zentralrat der Juden in Deutschland und die Jewish Claims Conference können Kandidaten für das Schiedsrichterverzeichnis vorschlagen. 

Die materielle Grundlage für die Entscheidungen der Schiedsgerichte bildet der erwähnte Bewertungsrahmen, der neben den Washingtoner Prinzipien u.a. auch die "Best Practices for the Washington Conference Principles on Nazi-confiscated Art" berücksichtigt. Der rechtsverbindliche Bewertungsrahmen wird die unverbindliche Handreichung ablösen, so dass die Schiedsgerichte auf dieser Basis rechtsverbindliche Entscheidungen treffen können. Private Kulturguteigentümer werden lediglich ermuntert und aufgefordert, sich den Grundsätzen des Bewertungsrahmen anzuschließen.

Nach Ziff. 2 des Bewertungsrahmens gelten unter Berücksichtigung von Ziff. 4 der Washingtoner Prinzipien (vgl. oben Ziff. 2.3) im Vergleich zum Strengbeweisverfahren der ZPO bestimmte Beweiserleichterungen (u.a. Zulässigkeit von eidesstattlichen Versicherungen). Die materiellen Voraussetzungen für einen Rückerstattungsanspruch des Antragsstellers ähneln an vielen Stellen den Voraussetzungen der Handreichung für einen NS-verfolgungsbedingten Entzug. Der Bewertungsrahmen konkretisiert die Regelungen der Handreichung jedoch erheblich und enthält im Vergleich zu dieser auch etliche gänzlich neue Bestimmungen.

Genau wie nach der Handreichung ist zunächst die NS-Verfolgung des Alteigentümers zu prüfen, wobei für Juden weiterhin die Vermutung der Kollektivverfolgung gilt (vgl. Ziff. 7.2 des Bewertungsrahmen). Anschließend wird geprüft, ob der Alteigentümer einen Kulturgutverlust erlitten hat, der in einem hinreichend engen Zusammenhang mit seiner NS-Verfolgung steht. Bei einem Kulturgutverlust durch Zugriff staatlicher Stellen während der NS-Zeit liegt dieser Zusammenhang wie bei der Handreichung grundsätzlich vor (vgl. Ziff. 8a.1, 8a.2 des Bewertungsrahmens). Bei rechtsgeschäftlichen Kulturgutverlusten von kollektivverfolgten Juden wird dieser Zusammenhang (mit Ausnahme von Fluchtfällen) grundsätzlich vermutet (vgl. Ziff. 8.2 des Bewertungsrahmens). Die Voraussetzungen für die Widerlegung dieser Vermutung (vgl. Ziff. 8b.1 und 8c.1 des Bewertungsrahmens) sind mit denen der Handreichung nahezu inhaltsgleich, so dass zur Erläuterung auf Ziff. 2.4 verwiesen werden kann. 

Die Schiedsgerichtsbarkeit NS-Raubkunst soll ihre Arbeit noch im Jahr 2025 aufnehmen. Bis dahin soll die Beratende Kommission ihre Arbeit fortsetzen. Der Bayerische Kunstminister Markus Blume hat bereits angekündigt, den Fall "Madame Soler" durch die Schiedsgerichtsbarkeit prüfen zu lassen, sobald hierzu die Möglichkeit besteht. Im Falle einer Anrufung der Schiedsgerichtsbarkeit durch die Anspruchssteller, könnte er eine solche Prüfung aber auch gar nicht mehr verhindern.

4. Kommt nun ein Restitutionsgesetz?

Dass die neue Bundesregierung, neben der bereits unter der alten Bundesregierung beschlossenen Einrichtung der Schiedsgerichtsbarkeit NS-Raubkunst auch ein Restitutionsgesetz schaffen will, lässt hoffen, dass nun endlich der politische Wille zur hinreichenden Wiedergutmachung des NS-Kunstraubs vorhanden ist. Da Privateigentümer nicht verpflichtet sind, sich der Schiedsgerichtsbarkeit anzuschließen und es zudem bisher wohl auch nicht absehbar ist, dass sich sämtliche kommunalen Kultureinrichtungen der Schiedsgerichtsbarkeit unterwerfen, ist die Schaffung eines umfassenden Restitutionsgesetzes sinnvoll. Neben den Schiedsgerichten könnten dann auch die ordentlichen Gerichte über Restitutionsansprüche entscheiden. Für ein Restitutionsgesetz spräche zudem, dass ein solches Gesetz in einem transparenten und demokratisch legitimierten parlamentarischen Prozess entstehen würde. Ein solches Gesetz dürfte daher auf eine breitere Akzeptanz stoßen als der ohne parlamentarischen Prozess sowie ohne öffentliche Anhörung und Diskussion durch Bund, Länder und Kommunale Spitzenverbände festgelegte Bewertungsrahmen. 

Für das Erfordernis eines Restitutionsgesetzes spricht auch, dass das allgemeine Zivilrecht keine hinreichende Rechtsgrundlage für die Restitution von NS-Raubkunst liefert. Neben der Einrede der Verjährung muss berücksichtigt werden, dass die Anwendbarkeit des Herausgabeanspruchs in einer Vielzahl der Fälle aufgrund der Sperrwirkung des Alliierten Rückerstattungsrechts ausgeschlossen ist. Zudem ist der Eigentumsverlust durch gutgläubigen Erwerb sowie durch Ersitzung zu beachten (vgl. oben Ziff. 2.2).

Sofern auch die Durchsetzung von Restitutionsansprüchen gegen Privatpersonen ermöglicht werden soll, bedarf es daher eines Restitutionsgesetzes, dass einen originären Herausgabeanspruch begründet. Dabei muss jedoch natürlich das Eigentumsgrundrecht gemäß Art. 14 Abs. 1 GG der zur Herausgabe verpflichteten Privateigentümer gewahrt werden. Dies wird regelmäßig voraussetzen, dass der Herausgabepflichtige einen Entschädigungs- oder Ausgleichsanspruch zugestanden bekommt. Die finanziellen Aufwendungen für solche Ausgleichs- und Entschädigungsleistungen wären von der Öffentlichen Hand zu tragen, wobei die Einrichtung eines öffentlich-rechtlichen Entschädigungsfonds diskutiert wird. 

Eine Restitution von NS-Raubkunst im Gegenzug für eine Entschädigung dürfte dabei regelmäßig durchaus auch im Interesse der herausgabepflichtigen Privateigentümer liegen. Diese werden häufig nicht nur ein moralisches Interesse an einer entschädigungspflichtigen Restitution haben, da Kulturgüter, die unter NS-Raubkunstverdacht stehen – und z.B. in der Lost Art-Datenbank eingetragen sind – faktisch unverkäuflich sind. 

In materieller Hinsicht könnte sich der Gesetzgeber bei der Ausgestaltung eines Restitutionsanspruchs an dem Bewertungsrahmen für die Schiedsgerichtsbarkeit NS-Raubkunst oder auch an der Handreichung orientieren. Zudem könnten das Alliierte Rückerstattungsgesetz und das Vermögensgesetz als Vorbilder für ein Restitutionsgesetz dienen. Ein erster Gesetzesentwurf und die daran anschließenden – sicherlich hitzigen – parlamentarischen und medialen Debatten werden schon jetzt mit großer Spannung erwartet. Damit ist natürlich die Hoffnung verbunden, dass es der neuen Bundesregierung gelingt, einen zielführenderen Entwurf vorzulegen, als der zu Recht als "Etikettenschwindel" kritisierte Gesetzesentwurf der letzten Bundesregierung.

Dr. David Moll
Felix Wahler

^{[1] Eine Ausnahme gilt dann, wenn der jeweilige Anspruch von der sog. "Globalanmeldung" der Jewish Claims Conference erfasst ist.} 

Die wirtschaftliche Situation Deutschlands war im Vorfeld der Koalitionsverhandlungen viel diskutiert worden. Der Koalitionsvertrag setzt nun klare Schwerpunkte: Mit Reformen und Investitionen soll Deutschland wieder nach vorne gebracht werden. Wie der Ökonom Clemens Fuest treffend bemerkt, ist ein Schwerpunkt auf Investitionen erkennbar und damit ein gutes Signal an Investoren und für Wachstum.

Der vorliegende Beitrag analysiert die im Koalitionsvertrag vorgesehenen Förderungen und Subventionen für verschiedene Branchen und Sektoren. Dabei werden sowohl die wirtschaftspolitischen Maßnahmen als auch die Förderungen für Forschung, Entwicklung und Bildungseinrichtungen detailliert betrachtet. Besonderes Augenmerk liegt auf der Frage, welche konkreten Fördermaßnahmen die verschiedenen Branchen in den kommenden vier Jahren erwarten können und wie diese im Koalitionsvertrag verankert sind.

1. Allgemeine wirtschaftliche Ausrichtung des Koalitionsvertrags

Der Koalitionsvertrag zwischen CDU, CSU und SPD setzt einen deutlichen Schwerpunkt auf die Stärkung der deutschen Wirtschaft. In Zeile 94-96 wird die grundlegende Ausrichtung klar formuliert: “Hierzu werden wir unter anderem Investitionen, Innovationen und Wettbewerb fördern, Steuern, Abgaben und Energiepreise senken, Arbeitsanreize verbessern, die Dekarbonisierung unterstützen, Bürokratie zurückbauen und eine aktive Handelspolitik betreiben.”

Der Deutschlandfonds als zentrales Instrument

Das Herzstück der wirtschaftlichen Fördermaßnahmen ist der geplante Deutschlandfonds. In Zeile 111-112 des Koalitionsvertrags heißt es: “Investitionen sind die Grundlage einer starken Wirtschaft. Wir werden einen Deutschlandfonds einrichten.” Dieser Fonds soll, wie die Spitzen von CDU, CSU und SPD in ihrer Präsentation des Koalitionsvertrags erläuterten, mit mindestens zehn Milliarden Euro vom Bund durch Garantien oder finanzielle Transaktionen ausgestattet werden. Mit zusätzlichem privaten Kapital und Garantien sollen so mindestens EUR 100 Mrd. zusammenkommen.

Der Deutschlandfonds zielt insbesondere auf die Unterstützung des Mittelstands und sogenannter Scale-ups ab – also kleiner Unternehmen mit Wachstumspotenzial. Laut Koalitionsvertrag sollen damit “Finanzierungslücken im Bereich des Wachstums- und Innovationskapitals” (Zeile 117) geschlossen werden. Die Koalition plant, die privaten Investitionen von Investoren bei der WIN-Initiative auf über EUR 25 Mrd. mehr als zu verdoppeln und “mit Garantien des Bundes weiter [zu] hebeln” (Zeile 122-123).

Steuerliche Entlastungen und Investitionsanreize

Ein weiterer zentraler Baustein der Wirtschaftsförderung sind steuerliche Entlastungen und Investitionsanreize. Der Koalitionsvertrag sieht vor, die Körperschaftsteuer in fünf Schritten um jeweils einen Prozentpunkt zu senken, beginnend ab dem Jahr 2028. Für die unmittelbare Zukunft – die Jahre 2025, 2026 und 2027 – sollen Unternehmen von einer degressiven Abschreibung von 30 Prozent auf Ausrüstungsinvestitionen profitieren können.

Wie aus dem Koalitionsvertrag hervorgeht, sollen Investitionen dadurch gefördert werden, dass der Unternehmenssteuersatz ab 2028 schrittweise gesenkt werden soll. Für die Jahre 2025, 2026 und 2027 soll auf Ausrüstungsinvestitionen eine degressive Abschreibung ihrer Investitionskosten von 30 Prozent gelten. 

Die Einkommensteuer für kleine und mittlere Einkommen soll ebenfalls sinken, allerdings erst zur Mitte der Legislaturperiode. Der umstrittene Solidaritätszuschlag soll hingegen unverändert bestehen bleiben – einkommensstarke Bürger und Unternehmen müssen diese Sonderabgabe also weiterhin zahlen.

Bürokratieabbau und Vereinfachung von Unternehmensgründungen

Ein wesentlicher Aspekt der Wirtschaftsförderung im Koalitionsvertrag ist der Abbau bürokratischer Hürden, insbesondere für Start-ups und Unternehmensgründungen. In Zeile 104-106 wird ein “vollständiger One-Stop-Shop” angekündigt, “der alle Anträge und Behördengänge auf einer Plattform digital bündelt und eine Unternehmensgründung innerhalb von 24 Stunden ermöglicht.”

Für Start-ups soll eine “Gründerschutzzone” geprüft werden, um Bürokratie zu reduzieren. Zudem sollen notarielle Vorgänge vereinfacht und digitale Beurkundungsprozesse sowie der automatische Datenaustausch zwischen Notariat, Finanzamt und Gewerbeamt ermöglicht werden (Zeile 101-104). Diese Maßnahmen zielen darauf ab, Deutschland als attraktiven Standort für Unternehmensgründungen zu positionieren und die administrativen Hürden für Gründerinnen und Gründer deutlich zu senken.

2. Branchenspezifische Förderungen für die Wirtschaft

Der Koalitionsvertrag enthält zahlreiche branchenspezifische Fördermaßnahmen, die auf die besonderen Bedürfnisse und Herausforderungen verschiedener Wirtschaftszweige zugeschnitten sind. Im Folgenden werden die wichtigsten Förderungen für einzelne Branchen detailliert dargestellt.

Industrie und Dekarbonisierung

Die Förderung der Industrie und insbesondere die Unterstützung bei der Dekarbonisierung nehmen im Koalitionsvertrag einen prominenten Platz ein. In Zeile 164-166 wird angekündigt: “Wir werden die Förderregeln und -praxis für Industrieansiedlungen und Großvorhaben modernisieren und bürokratische Hürden abbauen. Wir werden auch die Förderprogramme zur Dekarbonisierung der Industrie, unter anderem die Klimaschutzverträge, fortsetzen.”

Ein besonderer Fokus liegt auf der Entlastung energieintensiver Unternehmen. Der Koalitionsvertrag sieht vor, die Stromsteuer “für alle auf das europäische Mindestmaß” zu senken und einen Industriestrompreis für energieintensive Firmen einzuführen. Zudem sollen Umlagen und Netzentgelte reduziert werden. Diese Maßnahmen zielen darauf ab, die internationale Wettbewerbsfähigkeit der deutschen Industrie zu stärken und gleichzeitig den Übergang zu einer klimaneutralen Produktion zu unterstützen.

Für die Stahl- und Automobilindustrie, die vor besonderen Herausforderungen steht (Zeile 218), sind spezifische Unterstützungsmaßnahmen vorgesehen. Auch die Abscheidung und Speicherung von Kohlendioxid (CCS) soll insbesondere für schwer vermeidbare Emissionen des Industriesektors und für Gaskraftwerke ermöglicht werden. Die Stahlindustrie, die aus Sicht der Koalition “von zentraler strategischer Bedeutung für den Wirtschaftsstandort ist” (Capital, 09.04.2025), soll diese Technologie ebenfalls nutzen können.

Innovation und Digitalisierung

Die Förderung von Innovation und Digitalisierung bildet einen weiteren Schwerpunkt im Koalitionsvertrag. Deutschland soll als “KI-Nation” (Zeile 107-108) etabliert werden, was “massive Investitionen in die Cloud- und KI-Infrastruktur sowie in die Verbindung von KI und Robotik” erfordert. Zudem sollen “Leichtbau-Technologie, additive Fertigung und 3D-Druck” gefördert werden (Zeile 109).

Die Biotechnologie wird im Koalitionsvertrag als “Schlüsselindustrie” bezeichnet, die gefördert werden soll (Zeile 187). Auch die Mikroelektronik und Halbleiterindustrie sollen unterstützt werden, wobei “Investitionen unter dem European Chips Act und dem IPCEI-Rahmen weiterhin” gefördert werden sollen (Zeile 191).

Laut Koalitionsvertrag soll Deutschland als “führender Standort für Mikroelektronik” etabliert werden, wobei “Forschung, Fachkräfte und Fertigung zusammen” gedacht werden sollen. Ein Kompetenzzentrum für Chipdesign soll aufgebaut werden, um die technologische Souveränität Deutschlands in diesem strategisch wichtigen Bereich zu stärken.

Mobilität und Verkehr

Im Bereich Mobilität und Verkehr setzt der Koalitionsvertrag klare Schwerpunkte bei der Förderung der Elektromobilität. In Zeile 201 wird angekündigt: “Wir werden die E-Mobilität mit Kaufanreizen fördern.” Die steuerliche Förderung von E-Fahrzeugen soll auf EUR 100.000 angehoben werden (Zeile 204).

Konkret plant die Koalition Sonderabschreibungen für E-Autos, eine stärkere steuerliche Begünstigung von Dienstwagen durch eine Erhöhung der Bruttopreisgrenze sowie die Befreiung von der Kfz-Steuer für E-Autos bis 2035. Eine Förderung von Plug-In-Hybrid-Technologie (PHEVs) und Elektrofahrzeugen mit Range-Extender ist ebenfalls vorgesehen (Zeile 209).

Darüber hinaus soll der “beschleunigte Ausbau und die Sicherstellung der Finanzierung eines flächendeckenden” Ladenetzes vorangetrieben und “die stärkere Förderung des gewerblichen Depotladens” umgesetzt werden (Zeile 211-213). Auch eine “Förderung einer Wasserstoff-Ladeinfrastruktur für Nutzfahrzeuge” ist geplant (Zeile 215).

Die Luftfahrtbranche soll mit Steuererleichterungen entlastet werden. “Die luftverkehrsspezifischen Steuern, Gebühren und Abgaben wollen wir reduzieren und die Erhöhung der Luftverkehrsteuer zurücknehmen”, heißt es im Koalitionsvertrag.

Start-ups und Mittelstand

Start-ups und der Mittelstand erhalten im Koalitionsvertrag besondere Aufmerksamkeit. Neben dem bereits erwähnten Bürokratieabbau und der Vereinfachung von Unternehmensgründungen sind spezifische Fördermaßnahmen für diese Unternehmensgruppen vorgesehen.

Die Mitarbeiterkapitalbeteiligung soll “durch eine praxisnahe Ausgestaltung von Steuer- und Sozialversicherungsrecht weiter gestärkt” werden (Zeile 106-107). Zudem sollen “spezielle Förderungen für Gründerinnen ausgebaut” werden (Zeile 133), um die Unterrepräsentation von Frauen im Start-up-Bereich zu adressieren.

Der Koalitionsvertrag betont die Bedeutung von Start-ups als “Hidden Champions und DAX-Konzerne von morgen” (Zeile 101) und sieht verschiedene Maßnahmen vor, um das Start-up-Ökosystem in Deutschland zu stärken. Dazu gehört auch die Verbesserung der Finanzierungsbedingungen, insbesondere im Bereich des Wachstums- und Innovationskapitals.

Außenwirtschaft und Handel

Die Koalition bekennt sich zu einer aktiven Außenwirtschaftsförderung. In Zeile 293 wird angekündigt: “Wir werden die Instrumente der Außenwirtschaftsförderung strategisch ausrichten”. Die Außenwirtschaftsförderung soll mit der Entwicklungszusammenarbeit für die deutsche Wirtschaft verknüpft werden (Zeile 4246).

Die geplante Regierung strebt weitere Handels- und Investitionsabkommen an und unterstützt entsprechende Bemühungen der EU. “Mit den USA streben wir mittelfristig ein Freihandelsabkommen an, kurzfristig wollen wir einen Handelskonflikt vermeiden und setzen auf die Reduzierung von Einfuhrzöllen auf beiden Seiten des Atlantiks”, heißt es im Koalitionsvertrag.

Diese Maßnahmen zielen darauf ab, die internationale Wettbewerbsfähigkeit der deutschen Wirtschaft zu stärken und neue Absatzmärkte für deutsche Produkte und Dienstleistungen zu erschließen.

3. Förderungen für Forschung und Bildung

Der Koalitionsvertrag zwischen CDU, CSU und SPD setzt neben der Wirtschaftsförderung einen deutlichen Schwerpunkt auf die Förderung von Forschung, Innovation und Bildung. Diese Bereiche werden als zentrale Säulen für die Zukunftsfähigkeit Deutschlands betrachtet. Im Folgenden werden die wichtigsten Fördermaßnahmen für Forschung und Bildung detailliert dargestellt.

Hightech Agenda Deutschland

Ein Kernstück der Forschungsförderung im Koalitionsvertrag ist die “Hightech Agenda für Deutschland”. In Zeile 2503-2505 wird angekündigt: “Wir starten eine Hightech Agenda für Deutschland unter Einbindung der Länder. Wir wollen dazu in definierten Missionen technologieoffene Innovationsökosysteme und Forschungsfelder organisieren und fördern mit klaren Zielen und Meilensteinen”.

Die Hightech Agenda setzt klare Prioritäten bei der Förderung von Schlüsseltechnologien. Der Koalitionsvertrag nennt in Zeile 2507-2508 explizit: “Wir priorisieren für die Hightech Agenda in einem ersten Schritt die Forschungs- und Innovationsförderung des Bundes auf folgende Schlüsseltechnologien:”

Künstliche Intelligenz

Im Bereich der Künstlichen Intelligenz plant die Koalition eine umfassende Offensive. In Zeile 2509-2512 heißt es: “Wir starten eine KI-Offensive mit einem 100.000-GPU-Programm (AI-Gigafactory). Wir stellen eine exzellente Infrastruktur bereit, die Forschung und Hochschulen durch den Auf- und Ausbau von Hoch- und Höchstleistungsrechenzentren den Zugang zu entsprechenden Rechnerinfrastrukturen ermöglicht. Wir wollen im Verbund KI-Spitzenzentren errichten.”

Diese massive Investition in KI-Infrastruktur unterstreicht den Anspruch Deutschlands, sich als führende “KI-Nation” zu etablieren. Die Verbindung von KI und Robotik wird dabei besonders betont, was die Anwendungsorientierung der Forschungsförderung verdeutlicht.

Quantentechnologien

Die Quantentechnologie wird als weiterer Schwerpunkt der Forschungsförderung definiert. Der Koalitionsvertrag kündigt in Zeile 2513-2515 an: “Wir bauen das nationale Quantenökosystem aus. Leistungsfähige Quantensysteme machen wir in der Fläche verfügbar und sorgen für die beschleunigte Entwicklung von mindestens zwei Quantenhöchstleistungsrechnern im Wettbewerb.”

Die Förderung der Quantentechnologie zielt darauf ab, Deutschland in diesem zukunftsweisenden Technologiefeld international wettbewerbsfähig zu positionieren und die technologische Souveränität zu stärken.

Mikroelektronik

Im Bereich der Mikroelektronik setzt der Koalitionsvertrag auf eine ganzheitliche Förderung. In Zeile 2516-2518 wird angekündigt: “Wir stärken den Mikroelektronikstandort Deutschland und denken dabei Forschung, Fachkräfte und Fertigung zusammen – wir bauen ein Kompetenzzentrum für Chipdesign auf.”

Diese Maßnahme steht im Einklang mit der europäischen Chips-Strategie und soll dazu beitragen, die Abhängigkeit von internationalen Lieferketten im Bereich der Halbleiter zu reduzieren.

Biotechnologie

Die Biotechnologie wird im Koalitionsvertrag als Schlüsselindustrie definiert, die besondere Förderung erfahren soll. In Zeile 2519-2522 heißt es: “Wir fördern die Entwicklung neuer Wirkstoffe und Therapien durch die lebenswissenschaftliche, molekularbiologische und pharmazeutische Forschung sowie die Agrar-/Ernährungswissenschaften und Biodiversitätsforschung. Wir schaffen eine Nationale Biobank als Grundlage für Präventions-, Präzisions- und personalisierte Medizin.”

Die Förderung der Biotechnologie umfasst somit sowohl medizinische als auch landwirtschaftliche Anwendungen und zielt auf eine Stärkung des Biotechnologiestandorts Deutschland ab.

Fusion und klimaneutrale Energieerzeugung

Ein besonderer Schwerpunkt liegt auf der Förderung von Technologien zur klimaneutralen Energieerzeugung. Der Koalitionsvertrag kündigt in Zeile 2523-2526 an: “Wir bringen neuartige Klimatechnologien voran. Wir bauen die Forschung im Bereich Photovoltaik, Windenergie, Geothermie, Wasserstoff sowie Speichertechnologien wie zum Beispiel Batterien aus. Wir wollen die Fusionsforschung stärker fördern. Unser Ziel ist: Der erste Fusionsreaktor der Welt soll in Deutschland stehen.”

Diese ambitionierte Zielsetzung unterstreicht den Anspruch Deutschlands, eine Führungsrolle bei der Entwicklung zukunftsweisender Energietechnologien einzunehmen.

Klimaneutrale Mobilität

Im Bereich der Mobilitätsforschung setzt der Koalitionsvertrag klare Prioritäten. In Zeile 2527-2530 wird angekündigt: “Wir intensivieren unsere Forschungsaktivitäten für die Dekarbonisierung der bodengebundenen Mobilität sowie der Schiff- und Luftfahrt. Der verlässliche Auf- und Ausbau der Batterieforschung über die Kompetenzcluster spielt ebenso wie die vernetzte Mobilität eine zentrale Rolle.”

Die Förderung der Mobilitätsforschung ist eng mit den wirtschaftspolitischen Zielen der Koalition verknüpft und soll dazu beitragen, die Transformation der Automobilindustrie zu unterstützen.

Strategische Forschungsfelder

Neben den Schlüsseltechnologien definiert der Koalitionsvertrag mehrere strategische Forschungsfelder, die besondere Förderung erfahren sollen.

Gesundheitsforschung

Im Bereich der Gesundheitsforschung setzt der Koalitionsvertrag klare Schwerpunkte. In Zeile 2532-2538 heißt es: “Wir stärken die Gesundheitsforschung auch mit Fokus auf personalisierte Medizin. Den strategischen Ansatz bei der Gen- und Zelltherapie führen wir fort. Wir unterstützen die Bemühungen des Deutschen Krebsforschungszentrums (DKFZ) zur Gründung von Außenstellen, um so den Zugang zu Innovationen und Forschung flächendeckend zu verbessern. Wir bauen im Bereich der onkologischen Forschung und klinischen Versorgung relevante Netzwerke aus (DKTK, NCT). Wir fördern Forschung zu Frauengesundheit und postinfektiösen Erkrankungen (Long COVID, ME/CFS und PostVac).”

Die Förderung der Gesundheitsforschung zielt darauf ab, die medizinische Versorgung zu verbessern und innovative Therapieansätze zu entwickeln.

Meeres-, Klima- und Nachhaltigkeitsforschung

Die Koalition bekennt sich zu einer verstärkten Förderung der Umwelt- und Klimaforschung. In Zeile 2539-2542 wird angekündigt: “Wir erneuern die deutsche Forschungsflotte und verstetigen die Deutsche Allianz Meeresforschung. Wir stärken die Forschung zu Klimawandel, Klimafolgen und Klimaanpassung sowie zu klimarelevanten Ökosystemen wie Wäldern, Küsten, Mooren, Hochgebirgen und zur Kreislaufwirtschaft.”

Diese Forschungsförderung ist eng mit den klimapolitischen Zielen der Koalition verknüpft und soll dazu beitragen, wissenschaftliche Grundlagen für effektive Klimaschutz- und Anpassungsmaßnahmen zu schaffen.

Geistes- und Sozialwissenschaften

Auch die Geistes- und Sozialwissenschaften erfahren im Koalitionsvertrag besondere Aufmerksamkeit. In Zeile 2543-2546 heißt es: “Wir stärken die Förderung von Sozial-, Geistes- und Kulturwissenschaften, vor allem die Erinnerungskultur, politische Bildung und Demokratieforschung sowie die Sozialpolitikforschung. Wir entwickeln ein Kompetenznetzwerk für jüdische Gegenwartsforschung und stärken die Antisemitismusforschung.”

Diese Förderung unterstreicht die Bedeutung, die die Koalition den gesellschaftlichen und kulturellen Dimensionen der Forschung beimisst.

Sicherheits- und Verteidigungsforschung

Ein weiterer Schwerpunkt liegt auf der Sicherheits- und Verteidigungsforschung. Der Koalitionsvertrag kündigt in Zeile 2547-2551 an: “Wir bauen die Friedens- und Konfliktforschung sowie Regionalforschung (zum Beispiel zu Osteuropa, China, USA) aus und schaffen eine Förderkulisse für Sicherheits- und Verteidigungsforschung einschließlich Cybersicherheit und sicherer Infrastrukturen, um Kooperation von Hochschulen und außeruniversitärer Forschung mit Bundeswehr und Unternehmen gezielter zu ermöglichen.”

Diese Förderung spiegelt die sicherheitspolitischen Herausforderungen wider und zielt auf eine Stärkung der Resilienz kritischer Infrastrukturen ab.

Luft- und Raumfahrt

Im Bereich der Luft- und Raumfahrt plant die Koalition eine umfassende Offensive. In Zeile 2552-2554 heißt es: “Wir starten eine Offensive für Luft- und Raumfahrt und bringen Spitzenforschung und Kommerzialisierung erfolgreich zusammen. Wir errichten eine Nationale Hyperloop Referenzstrecke.”

Diese Förderung zielt darauf ab, Deutschland als führenden Standort für Luft- und Raumfahrttechnologie zu positionieren und innovative Mobilitätskonzepte zu entwickeln.

Hochschulen und Forschungstransfer

Ein zentrales Anliegen des Koalitionsvertrags ist die Stärkung des Forschungstransfers und die bessere Verzahnung von Wissenschaft und Wirtschaft.

Initiative Forschung & Anwendung

Der Koalitionsvertrag kündigt in Zeile 2556-2559 die Schaffung einer neuen Dachmarke an: “Wir schaffen eine Dachmarke „Initiative Forschung & Anwendung” mit drei Säulen: (1) Die Programme ZIM, IGF und INNO-KOM, (2) „Transferbooster” mit den Transfer-Programmen des BMBF inklusive DATI-Pilot unter Konsortialführerschaft der HAW, (3) „Deutsche Anwendungsforschungsgemeinschaft” (DAFG) mit den Programmen „Forschen an HAW” und „FH Personal”.”

Diese Initiative zielt darauf ab, den Wissens- und Technologietransfer zwischen Hochschulen, Forschungseinrichtungen und Unternehmen zu verbessern und die anwendungsorientierte Forschung zu stärken.

Stärkung der Hochschulen für angewandte Wissenschaften

Ein besonderer Fokus liegt auf der Stärkung der Hochschulen für angewandte Wissenschaften (HAW). In Zeile 2559-2561 heißt es: “Die DAFG soll perspektivisch in den Pakt für Forschung und Innovation (PFI) aufgenommen werden. Hochschulen für angewandte Wissenschaften (HAW) müssen angemessen am Förderaufkommen der DAFG beteiligt werden.”

Diese Maßnahme zielt darauf ab, die anwendungsorientierte Forschung an HAWs zu stärken und ihre Rolle im deutschen Wissenschaftssystem aufzuwerten.

Innovationsfreiheitsgesetz

Ein zentrales Element zur Stärkung der Forschung ist das geplante Innovationsfreiheitsgesetz. Der Koalitionsvertrag kündigt in Zeile 2565-2566 an: “Wir geben der Forschung mehr Freiheit und entfesseln sie von kleinteiliger Förderbürokratie. Wir schaffen Bereichsausnahmen für Forschung unter anderem im Umsatzsteuergesetz und identifizieren weitere Bereiche etwa im Vergaberecht.”

Ziel ist es, bürokratische Hürden abzubauen und die Rahmenbedingungen für Forschung und Innovation zu verbessern. In Zeile 2567-2570 wird konkretisiert: “Wir werden Antragslogiken, Nachweiserfordernisse und Regularien entschlacken und Entscheidungen beschleunigen. Hierzu gehören zum Beispiel eine flexiblere Bewirtschaftung von Projektmitteln und Verschlankung der Steuerungssystematik der Projektträger.”

Verlässlichkeit und Planbarkeit der Forschungsförderung

Der Koalitionsvertrag betont die Bedeutung von Verlässlichkeit und Planbarkeit in der Forschungsförderung. In Zeile 2591-2592 wird angekündigt: “Bei der steuerlichen Forschungszulage heben wir den Fördersatz und die Bemessungsgrundlage deutlich an”. Zudem sollen die “Rahmenbedingungen der Regelfinanzierung der Forschungsförderung” (Zeile 2594) verbessert werden.

Diese Maßnahmen zielen darauf ab, die Planungssicherheit für Forschungseinrichtungen und forschende Unternehmen zu erhöhen und langfristige Forschungsvorhaben zu ermöglichen.

Bildungsförderung

Neben der Forschungsförderung setzt der Koalitionsvertrag auch klare Akzente bei der Förderung von Bildung und Qualifizierung.

Berufliche Bildung und Weiterbildung

Im Bereich der beruflichen Bildung und Weiterbildung kündigt der Koalitionsvertrag verschiedene Fördermaßnahmen an. In Zeile 2384 wird die Bedeutung der “Begabtenförderung” betont. Zudem sollen “Fortbildungsstufen zunächst für Mangelberufe förderfähig” gemacht werden (Zeile 2393).

Ein besonderer Fokus liegt auf der Digitalisierung der Weiterbildung. In Zeile 2402 heißt es: “Wir legen einen Digitalpakt Weiterbildung und ein Förderprogramm zur digitalen Teilhabe auf.” Diese Maßnahme zielt darauf ab, die digitalen Kompetenzen der Bevölkerung zu stärken und lebenslanges Lernen zu fördern.

Begabtenförderung

Die Koalition bekennt sich zu einer Stärkung der Begabtenförderung. In Zeile 2458 wird angekündigt: “Wir stärken Begabtenförderwerke und die Stiftung Begabtenförderung Berufliche Bildung und heben die Förderung deutlich an.” Diese Maßnahme zielt darauf ab, talentierte junge Menschen unabhängig von ihrer sozialen Herkunft zu fördern und ihnen Bildungschancen zu eröffnen.

Bildungsstätten und Infrastruktur

Der Koalitionsvertrag adressiert auch den Investitionsstau in den Bildungseinrichtungen. In Zeile 349 heißt es: “Wir wollen den Investitionsstau in den Bildungsstätten mit einer verlässlichen Förderung lösen.” Diese Maßnahme zielt darauf ab, die Lehr- und Lernbedingungen zu verbessern und die Bildungsinfrastruktur zu modernisieren.

4. Fazit und Ausblick

Der Koalitionsvertrag zwischen CDU, CSU und SPD setzt klare Schwerpunkte bei der Förderung von Wirtschaft, Forschung und Bildung. Mit einem umfassenden Paket an Maßnahmen soll Deutschland wieder auf einen Wachstumskurs gebracht und die Wettbewerbsfähigkeit gestärkt werden.

Zusammenfassung der wichtigsten Fördermaßnahmen

Im Bereich der Wirtschaftsförderung stehen der Deutschlandfonds, steuerliche Entlastungen und Investitionsanreize sowie der Abbau bürokratischer Hürden im Mittelpunkt. Branchenspezifische Förderungen adressieren die besonderen Bedürfnisse und Herausforderungen verschiedener Wirtschaftszweige, wobei ein besonderer Fokus auf der Industrie, der Digitalisierung und der Mobilität liegt.

Im Bereich der Forschungsförderung setzt der Koalitionsvertrag auf eine Hightech Agenda mit klaren Prioritäten bei Schlüsseltechnologien wie KI, Quantentechnologie, Mikroelektronik, Biotechnologie und klimaneutraler Energieerzeugung. Strategische Forschungsfelder wie Gesundheitsforschung, Klima- und Nachhaltigkeitsforschung sowie Sicherheits- und Verteidigungsforschung erfahren besondere Förderung.

Im Bereich der Bildungsförderung stehen die berufliche Bildung und Weiterbildung, die Begabtenförderung sowie Investitionen in die Bildungsinfrastruktur im Mittelpunkt.

Bewertung der Erfolgsaussichten

Die im Koalitionsvertrag vorgesehenen Fördermaßnahmen haben das Potenzial, positive Impulse für die deutsche Wirtschaft zu setzen und die Wettbewerbsfähigkeit zu stärken. Besonders die Fokussierung auf Investitionen und Innovation sowie die Entlastung bei Energiekosten und Steuern könnten dazu beitragen, das Wirtschaftswachstum zu beleben.

Die Förderung von Schlüsseltechnologien und strategischen Forschungsfeldern kann dazu beitragen, Deutschlands Position in zukunftsweisenden Technologiebereichen zu stärken und die technologische Souveränität zu erhöhen.

Entscheidend für den Erfolg der Maßnahmen wird jedoch die konsequente Umsetzung sein. Hier wird es darauf ankommen, dass die angekündigten Fördermaßnahmen zügig und unbürokratisch implementiert werden und dass die notwendigen finanziellen Mittel bereitgestellt werden.

Ausblick auf die Umsetzung

Die Umsetzung der im Koalitionsvertrag vorgesehenen Fördermaßnahmen wird eine der zentralen Aufgaben der neuen Bundesregierung sein. 

Allerdings werden die fiskalischen Spielräume durch die Schuldenbremse und die wirtschaftlichen Herausforderungen begrenzt sein. Es wird daher darauf ankommen, Prioritäten zu setzen und die verfügbaren Mittel effizient einzusetzen.

Die ersten Maßnahmen, wie die degressive Abschreibung für Investitionen und der Deutschlandfonds, sollen bereits in den ersten 100 Tagen der Regierung auf den Weg gebracht werden. Andere Maßnahmen, wie die Senkung der Körperschaftsteuer, sind erst für die zweite Hälfte der Legislaturperiode oder sogar darüber hinaus geplant.

Insgesamt bietet der Koalitionsvertrag eine solide Grundlage für eine wachstumsorientierte Wirtschafts-, Forschungs- und Bildungspolitik. Die konsequente Umsetzung der vorgesehenen Fördermaßnahmen könnte dazu beitragen, Deutschland wieder auf einen nachhaltigen Wachstumspfad zu führen und die Wettbewerbsfähigkeit im internationalen Vergleich zu stärken.

Dennis Hillemann
Tanja Ehls
Johannes Voß-Lünemann

Ziel der Verordnung ist es, einerseits Innovationen zu fördern und das Vertrauen in KI zu stärken und andererseits sicherzustellen, dass KI nur so eingesetzt wird, dass die Grundrechte und die Sicherheit der Bürger der EU gewahrt bleiben. Dabei wird ein risikobasierter Ansatz verfolgt: Je höher das von einem KI-System ausgehende Risiko, desto umfassender sind die Verpflichtungen. KI-Systeme mit inakzeptablem Risiko sind gänzlich verboten.

Die KI-VO sieht einen zeitlich gestaffelten Geltungsbeginn vor. So gelten die Kapitel I und II (Allgemeine Bestimmungen und Unzulässige Praktiken) bereits ab dem 2. Februar 2025. Weitere Regelungen, insbesondere zu KI-Modellen für allgemeine Zwecke sowie Sanktionsvorschriften, gelten ab dem 2. August 2025. Der Großteil der Bestimmungen der KI-VO ist dann 24 Monate nach ihrem Inkrafttreten anwendbar, konkret ab dem 2. August 2026. Eine verlängerte Anwendungsfrist gilt schließlich für die Vorschriften zu den sog. Hochrisiko-KI-Systemen, die erst ab dem 2. August 2027 anwendbar sind.

Anwendungsbereich

Die KI-VO richtet sich insbesondere an Anbieter und Betreiber von KI-Systemen. Anbieter sind dabei diejenigen, die ein KI-System entwickeln oder entwickeln lassen und unter ihrem eigenen Namen oder ihrer eigenen Marke in Verkehr bringen oder in Betrieb nehmen. Betreiber ist derjenige, der ein KI-System in eigener Verantwortung einsetzt.

Öffentliche Stellen, die KI-Systeme einsetzen wollen, werden daher regelmäßig als Betreiber einzustufen sein. Zu denken ist beispielsweise an den Einsatz von KI-gestützten Chatbots in der Verwaltung, KI-Assistenten für Recherche und Texterstellung oder die Automatisierung von Routineaufgaben (Robotic Process Automation). Im Rahmen einer modernen, digitalen Verwaltung hat KI großes Potenzial und kann sich als Schlüsseltechnologie erweisen.

Pflichten ab dem 2. Februar 2025:

1.  KI-Kompetenz

Nach Art. 4 KI-VO müssen Anbieter und Betreiber von KI-Systemen sicherstellen, dass die Personen, die mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über eine ausreichende KI-Kompetenz verfügen. Dies betrifft regelmäßig alle Beschäftigten, die in irgendeiner Form mit KI-Systemen arbeiten. Ziel ist es, einen verantwortungsvollen Umgang mit KI sicherzustellen.

Für die Frage des Umfangs der Wissensvermittlung kommt es auf den Einzelfall an. Entscheidend sind der konkrete Anwendungsfall des KI-Systems und die Rolle der Beschäftigten. Bei einem KI-System mit besonders hohem Risiko sind entsprechend höhere Anforderungen an die KI-Kompetenz der Beschäftigten zu stellen als bei der Verwendung einer standardisierten KI wie z.B. einem Schreibprogramm.

a) Maßnahmen zur Schaffung der KI-Kompetenz

Um die notwendige KI-Kompetenz zu erreichen, stehen verschiedene Compliance-Instrumente zur Verfügung. So können interne Richtlinien zum Einsatz von KI-Systemen den Aufbau und die Aufrechterhaltung eines ausreichenden Kompetenzniveaus unterstützen. Darin sollten die Regeln und Verbote im Umgang mit KI-Systemen festgelegt werden. Je nach Anwendung können auch Schulungen und Trainings hilfreich sein, wobei auch hier die Rolle der jeweiligen Beschäftigten und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind.

Eine zentrale Rolle kann zudem die Schaffung einer internen Anlaufstelle spielen, z.B. durch die Ernennung eines internen KI-Beauftragten, der die KI-Kompetenz innerhalb einer Organisation zentralisieren und fördern kann. Der KI-Beauftragte dient als Ansprechpartner für alle KI-bezogenen Fragen, überwacht die Einhaltung ethischer Richtlinien und Standards und stellt sicher, dass Aus- und Weiterbildungsinitiativen durchgeführt werden. Eine gesetzliche Verpflichtung zur Bestellung eines solchen KI-Beauftragten sieht die KI-VO allerdings nicht vor. Ob Unternehmen oder öffentliche Stellen eine solche Position benötigen, hängt daher insbesondere davon ab, wie und in welchem Umfang KI eingesetzt wird.

b) Der Datenschutzbeauftragte als KI-Beauftragter

Anders als für den Datenschutzbeauftragten (DSB) in der DSGVO ergibt sich aus der KI-VO, wie bereits erwähnt, keine ausdrückliche Verpflichtung zur Bestellung eines KI-Beauftragten. Wenn jedoch bereits ein DSB vorhanden ist, ist es denkbar, dessen Aufgabenbereich in Bezug auf KI zu erweitern. So ist es beispielsweise zulässig, dass der DSB Schulungs- und Sensibilisierungsaufgaben in Bezug auf die KI-VO übernimmt.

Auch wenn eine solche Doppelfunktion nicht verboten ist, sind doch einige Punkte zu beachten. So dürfen dem DSB keine wesentlichen Entscheidungsbefugnisse in Bezug auf den Einsatz von KI übertragen werden, soweit im Zusammenhang mit KI personenbezogene Daten verarbeitet werden. Dies würde der rein beratenden und unterstützenden Funktion des DSB widersprechen und auch seiner Kontrollfunktion zuwiderlaufen. Es ist zu vermeiden, dass der DSB durch eine derartige Doppelfunktion in einen Interessenkonflikt gerät. Der DSB darf daher nicht über konkret einzusetzende Lösungen von KI-Systemen entscheiden. Auch muss sichergestellt werden, dass dem DSB durch die zusätzlichen Aufgaben weiterhin ausreichend Ressourcen zur Verfügung stehen, um seinen gesetzlichen Verpflichtungen aus der DSGVO nachzukommen. Darüber hinaus sollte der DSB für die Wahrnehmung seiner erweiterten Aufgaben entsprechend geschult und hierfür von seiner Tätigkeit freigestellt werden.

2.  Verbot bestimmter Praktiken im KI-Bereich

Die zweite wichtige Verpflichtung aus der KI-VO, die ab dem
2. Februar 2025 gilt, ist die Unterbindung verbotener Praktiken.

In Art. 5 KI-VO werden sog. verbotene Praktiken aufgezählt, die ein unannehmbares Risiko für die Sicherheit, die Rechte und die Freiheiten von Personen darstellen. Darunter fallen beispielsweise KI-Systeme mit Manipulations- und Täuschungstechniken, Social Scoring und Systeme zur Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen.

Bei Verstößen gegen dieses Verbot drohen ab dem 2. August 2025 Geldbußen von bis zu 35 Millionen Euro oder – bei Unternehmen – bis zu 7 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist.

Auch wenn die meisten Verantwortlichen den Einsatz solcher Praktiken in ihren Unternehmen oder öffentlichen Stellen verneinen dürften, sollten bereits eingesetzte oder geplante KI-Systeme auf verbotene Praktiken nach Art. 5 KI-VO überprüft werden. KI-Anwendungen können z.B. schon heute die Stimmung einzelner Teilnehmer eines Online-Meetings abfragen, um z.B. Aufregung, Ärger, Belustigung oder Traurigkeit zu erkennen. Hilfestellung bieten insoweit die kürzlich veröffentlichten Leitlinien der EU-Kommission zu verbotenen KI-Praktiken, die auf der Webseite der EU-Kommission abrufbar sind.

Fazit

Da Teile der KI-VO bereits gelten, sollten die Verantwortlichen prüfen, ob in ihren Betrieben oder Einrichtungen KI-Systeme eingesetzt werden oder deren Einsatz geplant ist. Dies dürfte in den meisten Fällen bereits der Fall sein, auch wenn es sich nur um allgemeine Anwendungen oder Assistenzsysteme handelt.

Insofern sollten die KI-Systeme im Hinblick auf verbotene Praktiken nach Art. 5 KI-VO überprüft werden. Hinsichtlich der erforderlichen KI-Kompetenz der Beschäftigten ist der konkrete Schulungsbedarf zu ermitteln. Die Schulung sollte durch verbindliche KI-Richtlinien flankiert werden, um einen Verhaltenskodex im Umgang mit KI zu etablieren. Gegebenenfalls ist die Benennung eines KI-Beauftragten zur koordinierten Steuerung aller KI-Maßnahmen zu erwägen. Dieser kann Unternehmen und öffentliche Stellen auch auf die kommenden Pflichten aus der KI-Verordnung vorbereiten und diesbezüglich beraten. Schließlich ist bei der Einführung und Nutzung von KI-Systemen an eine mögliche Mitbestimmung durch Betriebs- oder Personalräte zu denken.

Jason Komninos

Banyan Software wurde 2016 gegründet und erwirbt regelmäßig wachsende Softwarefirmen mit dem Ziel, diese im Rahmen einer Buy-and-Hold-Strategie langfristig zu entwickeln. Banyan Software verfügt über Standorte in Kanada, Großbritannien sowie in der DACH-Region.

FoxInsights mit Hauptsitz in München ist ein Spin-off eines der Top3 Innovation Labs (EnBW Innovation) in Deutschland. Das Unternehmen bietet IoT-basierte Tankfernüberwachungslösungen. Durch Digitalisierung und Data Analytics optimiert FoxInsights das Verkaufs- und Bestellverfahren sowie die Lieferketten in den Bereichen Energie, Mobilität und Recycling.

Berater Banyan Software:
ADVANT Beiten: Christian Burmeister (Federführung), Damien Heinrich, Dr. Christian von Wistinghausen, Lelu Li (alle Corporate/M&A), Heiko Wunderlich, Fabian Buker (beide Steuern), Mathias Zimmer-Goertz, Christian Döpke (beide IP/IT), Dr. Erik Schmid, Alexander Grässel (beide Arbeitsrecht).

Pressekontakt
Frauke Reuther
Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Hintergrund

Die OS-Plattform geht auf die Verordnung über Online-Streitbeilegung in Verbraucherangelegenheiten (Verordnung (EU) 524/2013, nachfolgend: „OS-Verordnung“) zurück und zielte darauf ab, Verbrauchern Zugang zu einem einfachen, effizienten, schnellen und kostengünstigen Weg zur Beilegung von Streitigkeiten im Online-Handel zu bieten. Online-Händler und Online-Marktplätze wurden verpflichtet, einen leicht zugänglichen Link zur OS-Plattform auf ihrer Website und bei E-Mail-Kommunikation in die E-Mail aufzunehmen. Jedenfalls zuletzt wurde die OS-Plattform aber kaum mehr benutzt. Einem Bericht zur Überprüfung der Praxis der alternativen Streitbeilegung zufolge wurden nur 2 % der Verbraucherbeschwerden, d. h. nur etwa 200 Fälle pro Jahr in der gesamten EU, an eine Stelle für die außergerichtliche Streitbeilegung weitergeleitet. Die OS-Plattform wird daher als überholt betrachtet, da sich die digitalen Märkte seit ihrer Einführung stark verändert haben. Zudem haben sich inzwischen weitere alternative Streitbeilegungsmöglichkeiten auf digitalen Marktplätzen etabliert.

Aus diesem Grund wird die OS-Verordnung durch Verordnung (EU) 2024/3228 mit Wirkung vom 20. Juli 2025 aufgehoben.

Wie geht es weiter?

Bis zum 20. März 2025 ist die Einreichung von Beschwerden über die OS-Plattform noch möglich. Danach wird diese Funktion eingestellt. Spätestens ab dem 20. Juli 2025 sollen alle Informationen einschließlich personenbezogener Daten auf der OS-Plattform gelöscht werden. Mit Außerkrafttreten der OS-Verordnung entfällt ab 20. Juli 2025 auch die Hinweispflicht auf die OS-Plattform für Online-Händler. Entsprechende Hinweise im Impressum oder in AGB müssen daher angepasst werden. 

Online-Händler, die wegen eines Verstoßes gegen die Informationspflicht zur OS-Plattform eine Unterlassungs- und Verpflichtungserklärung abgegeben haben, sollten diese anpassen lassen oder unter Umständen zum Stichtag kündigen. Denn auch wenn die Verpflichtung kraft Gesetzes nicht mehr besteht, bleibt die Unterlassungsverpflichtung aus der Unterlassungs- und Verpflichtungserklärung als abstraktes Schuldverhältnis grundsätzlich bestehen.

Reform der alternativen Streitbeilegung steht noch aus

Neben der OS-Verordnung gibt es auch noch die Richtlinie über die alternative Streitbeilegung von Verbraucherangelegenheiten (Richtlinie 2013/11/EU, nachfolgend: „ADR-Richtlinie“), die ebenfalls allgemeine Informationspflichten für Unternehmer vorgibt. Auch zu dieser liegt ein Reformvorschlag der EU-Kommission vor. Danach soll diese Richtlinie nun auch nicht-vertragliche und vorvertragliche Streitigkeiten sowie Streitigkeiten mit Händlern außerhalb der EU umfassen.

Einschätzung

Die OS-Plattform wurde einer kritischen Bestandsaufnahme unterzogen. Wie sich gezeigt hat: Zu Recht. Mit ihrer Abschaltung entfällt eine von vielen Pflichtinformationen im Online-Handel. Um Konfusion zu vermeiden, muss der Hinweis auf die OS-Plattform zum 20. Juli 2025 entfernt werden. Ab diesem Datum ist er obsolet. 

Außergerichtliche Streitbeilegung wird für Verbraucher gleichwohl zunehmend an Bedeutung gewinnen. Im Bereich der Plattformregulierung legt der Digital Services Act (Verordnung (EU) 2022/2065) im Falle von Streitigkeiten zwischen Nutzern und Online-Plattformen einen Fokus auf außergerichtliche Streitbeilegung. Es bleibt daher abzuwarten, ob in Zukunft nicht eher mehr als weniger zu informieren sein wird.

Daniel Trunk

Der Fall Hayden gegen Take-Two: Wenn Körperkunst digital wird

Der renommierte Tattoo-Künstler Jimmy Hayden aus Cleveland zählt einige NBA-Stars, darunter Shaquille O'Neal, Kyrie Irving und - vorliegend relevant - auch LeBron James zu seinen Kunden. Dessen Tattoos wurden zum Gegenstand eines jahrelangen Rechtsstreits mit dem Videospiele-Publisher Take-Two Interactive, dem Unternehmen hinter der populären "NBA 2K"-Videospielreihe.

Hayden reichte bereits 2017 Klage ein. In seiner 2019 überarbeiteten Klageschrift argumentierte er, dass die detailgetreue Wiedergabe der von ihm gestochenen Tattoos in mehreren Titeln der NBA 2K-Reihe seine Urheberrechte verletze. 

Die zentrale Rechtsfrage war dabei: Benötigt ein Videospielunternehmen die Erlaubnis des Tätowierers, wenn es die Tattoos im Rahmen einer lizenzierten Nachbildung des Sportlers zeigt? Take-Two argumentierte, dass die Lizenz zur Nutzung von James' Erscheinungsbild auch das Recht einschließe, seine Tattoos darzustellen. Die Jury am Bundesgericht in Ohio folgte dieser Argumentation. Sie entschied, dass Take-Two durch die Vereinbarung zur Nutzung von James' Erscheinungsbild auch implizit das Recht erhalten habe, seine Tattoos darzustellen. 

Es ist aber nicht der einzige Fall dieser Art. Take-Two konnte bereits 2020 einen ähnlichen Rechtsstreit vor einem New Yorker Bundesgericht gewinnen. Dabei ging es um die Darstellung von Tattoos des verstorbenen Basketballspielers Kobe Bryant und anderer NBA-Spieler. 

Allerdings zeigt ein anderer Fall, dass die Rechtsprechung in diesem Bereich noch nicht völlig gefestigt ist: 2022 verurteilte eine Jury in Illinois Take-Two nämlich zur Zahlung von Schadensersatz an eine Tätowiererin, deren Werke am Körper des Wrestlers Randy Orton in der Spielereihe "WWE 2K" zu sehen waren, auch wenn es sich dabei nur um 3.750 Dollar handelte.

Diese unterschiedlichen Entscheidungen verdeutlichen, dass die rechtliche Bewertung von Tattoos in einem anderen Medium noch in der Entwicklung begriffen ist, denn der Tattookünstler Hayden soll auch bereits Berufung gegen die jüngste Entscheidung eingelegt haben. 

Was die Fototapeten-Entscheidungen des BGH damit zu tun haben

In Deutschland gibt es zwar noch keine vergleichbare Entscheidung zur Abbildung von Tätowierungen in Videospielen, die jüngst ergangenen Urteile des Bundesgerichtshof (BGH, Urteile vom 11. September 2024 - I ZR 139/23; I ZR 140/23; I ZR 141/23) zu sogenannten Fototapeten könnten aber andeuten, wie eine derartige Entscheidung vor deutschen Gerichten ausgehen würde.

Der BGH hatte sich mit einer Reihe von Fällen zu befassen, in denen es um die Abbildung von Fototapeten im Internet ging. Die Fälle, die dem BGH vorlagen, drehten sich um ein von einem Berufsfotografen gegründetes Unternehmen, das Fototapeten mit seinen Fotografien vermarktete. In drei verschiedenen Konstellationen wurden diese Tapeten von den jeweiligen Beklagten als Bilder ins Internet gestellt: Eine private Nutzerin zeigte die Tapete als Hintergrund in Facebook-Videos, eine Medienagentur präsentierte ein Kundenprojekt, bei dem die Tapete zu sehen war, und ein Hotelbetreiber warb mit Fotos seiner dekorierten Räume. In allen Fällen klagte das Unternehmen des Fotografen gegen diese Verwendung und verlangte Schadensersatz sowie die Erstattung von Abmahnkosten.

Der BGH erteilte diesen Forderungen jedoch eine klare Absage und ging von einer "konkludenten Einwilligung" aus. Die Kernüberlegung des Gerichts: Wer ein urheberrechtlich geschütztes Werk wie eine Fototapete ohne besondere Einschränkungen in den Verkehr bringt, muss mit bestimmten üblichen Nutzungen rechnen. Dazu gehört in der heutigen Zeit auch, dass die Tapete auf Fotos oder Videos zu sehen ist, die ins Internet gestellt werden - und zwar nicht nur im privaten, sondern auch im gewerblichen Kontext.

Besonders interessant ist, dass der BGH diese Überlegungen nicht auf die direkten Käufer der Tapeten beschränkte. Auch Dritte, wie etwa die Medienagentur im konkreten Fall, können sich auf die konkludente Einwilligung berufen, wenn ihre Nutzung als üblich anzusehen ist. Das Gericht betonte dabei, dass es dem Urheber selbstverständlich freistehe, bestimmte Nutzungen zu untersagen - allerdings müsse er solche Einschränkungen dann auch deutlich machen, etwa durch entsprechende vertragliche Vereinbarungen oder gut sichtbare Rechtsvorbehalte.

Diese Überlegungen sollten sich auch auf die Tattoos von in Videospielen abgebildeten Prominenten übertragen lassen. Auch ein Tätowierer bringt sein Werk ohne besondere Einschränkungen "in die Welt" - ja mehr noch: Er bringt es auf der Haut eines Menschen an, der sich naturgemäß in der Öffentlichkeit bewegt und dabei fotografiert oder gefilmt wird. Bei prominenten Sportstars wie LeBron James ist diese mediale Präsenz sogar ein wesentlicher Teil ihrer beruflichen Tätigkeit. Folgt man der Logik des BGH, müsste ein Tätowierer also damit rechnen, dass seine Werke zusammen mit ihrem "Träger" abgebildet werden - sei es in klassischen Medien, in sozialen Netzwerken oder eben auch in Videospielen.

Den Urhebern der Tattoos bleibt es überlassen, ihre Werke in expliziten Vereinbarungen mit ihren „Objekten“, den Tätowierten zu regeln. Inwieweit derartige Regelungen dann gerade im Hinblick auf das Persönlichkeitsrecht der Tätowierten wirksam wären, bietet Potential für weitere Entscheidungen des BGH.

Fabian Eckstein

Am 24. Juli 2024 ist daher nun das OZG-Änderungsgesetz in Kraft getreten. Mit dem OZG-Änderungsgesetz sollen die rechtlichen Rahmenbedingungen für die weitere Digitalisierung der Verwaltung geschaffen werden.

Um die betroffenen Stellen bei der Rechtsanwendung aus datenschutzrechtlicher Sicht zu unterstützen, hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz - „DSK“) im November 2024 eine Orientierungshilfe („OH“) zu ausgewählten Fragen des neuen OZG veröffentlicht. Darin haben die Datenschutzbehörden die aus ihrer Sicht wichtigsten datenschutzrechtlichen Änderungen zusammengefasst und geben anhand konkreter Beispiele Hilfestellungen zu bestimmten Sachverhalten.

Länderübergreifender Onlinedienst

Das OZG folgt dem so genannten "Einer-für-alle-Prinzip". Danach soll eine Behörde einen Onlinedienst, z. B. das elektronische Antragsformular für die Beantragung einer Baugenehmigung, entwickeln und allen anderen Behörden - auch länderübergreifend - zur Nachnutzung zur Verfügung stellen. Das elektronische Antragsformular basiert dabei auf der IT-Infrastruktur des entwickelnden Landes ("länderübergreifender Onlinedienst"). In dieses Antragsformular können Nutzer aus dem gesamten Bundesgebiet ihre Daten eingeben. Von dort werden die Daten an die für die jeweilige Antragsbearbeitung örtlich und fachlich zuständige Behörde weitergeleitet.

Verantwortlichkeit

§ 8a Abs. 4 des neuen OZG stellt nunmehr klar, dass in dieser Konstellation die jeweilige Behörde, die den länderübergreifenden Onlinedienst betreibt, für die Verarbeitung der Daten im Onlinedienst allein datenschutzrechtlich Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist. Soweit die Daten bei der dann zuständigen Fachbehörde (im Backend) verarbeitet werden, ist diese ebenfalls alleinige verantwortliche Stelle. Es reihen sich also mehrere Verantwortliche in einer Kette aneinander.

Bedient sich die den länderübergreifenden Onlinedienst betreibende Behörde selbst eines IT-Dienstleisters, handelt dieser als Auftragsverarbeiter nach Art. 28 DSGVO.

Rechtsgrundlage

Die Rechtsgrundlagen für die Verarbeitung personenbezogener Daten im länderübergreifenden Onlinedienst sind in § 8a Abs. 1 bis 3 OZG geregelt. Im oben genannten Beispiel einer Baugenehmigung darf die den länderübergreifenden Onlinedienst betreibende Behörde demnach die vom Antragsteller in das Antragsformular eingegebenen Daten verarbeiten, an die zuständige Fachbehörde weiterleiten und dem Nutzer über Schnittstellen auch Dokumente zu den Verwaltungsvorgängen zur Verfügung stellen.

Werden besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO verarbeitet (z. B. Gesundheitsdaten, Daten über religiöse oder weltanschauliche Überzeugungen), enthält das OZG Sonderregelungen, nach denen den technischen und organisatorischen Maßnahmen eine besondere Bedeutung zukommt.

Die Rechtsgrundlage für die Verarbeitung durch die Fachbehörde im Backend richtet sich allein nach dem jeweiligen Fachrecht, das auch ohne Nutzung des Onlinedienstes maßgeblich ist. Das OZG gilt auch nicht für Onlinedienste, die dezentral betrieben werden, also z. B. nur den Nutzern eines Bundeslandes zur Verfügung stehen.

Dokumentations- und Informationspflichten

Die Behörde, die den länderübergreifenden Onlinedienst betreibt, unterliegt als Verantwortliche verschiedenen Informations- und Dokumentationspflichten. So hat die Behörde die Informationspflichten aus Art. 12 ff. DSGVO zu erfüllen und sie muss die Betroffenenrechte aus Art. 15 ff. DSGVO wahren. Etwaige Datenpannen sind der zuständigen Datenschutzaufsichtsbehörde und ggf. den Betroffenen zu melden.

In der Regel wird vor Inbetriebnahme des jeweiligen Onlinedienstes die Erstellung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein. Darüber hinaus weist die DSK auf die Dokumentation der getroffenen technischen und organisatorischen Maßnahmen im Sinne des Art. 32 DSGVO hin. Nicht zu vergessen ist auch die Erweiterung des Verzeichnisses der Verarbeitungstätigkeiten nach Art. 30 DSGVO.

Sonstiges

Darüber hinaus enthält das OZG-Änderungsgesetz weitere Regelungen zur Digitalisierung der Verwaltung. Zur Identifizierung und Authentifizierung der Nutzer von Onlinediensten ist ein Nutzerkonto erforderlich, das künftig zentral vom Bund bereitgestellt wird. Zudem wird das bisherige Bürgerkonto des Bundes („BundID“) zur „DeutschlandID“ weiterentwickelt.

Des Weiteren wird das Gesetz zur Förderung der elektronischen Verwaltung („EGovG“) aktualisiert und in § 5 EGovG eine Rechtsgrundlage für den Abruf von Nachweisen in elektronischen Verwaltungsverfahren eingeführt. Damit werden Behörden ermächtigt, auf Weisung des Antragstellers die erforderlichen Dokumente selbst bei der ausstellenden Stelle abzurufen.

Jason Komninos

Was dann folgt, wird von betroffenen Unternehmen und deren Geschäftsleitern meist als die größte Herausforderung und Krise der Unternehmensgeschichte beschrieben. Mangels funktionierender IT-Strukturen kommt der Geschäftsbetrieb des Unternehmens häufig zum Erliegen. Während die IT-Abteilung unter Hochdruck gegen den Hackerangriff kämpft, versuchen die operativen Einheiten, den Geschäftsbetrieb unter widrigsten Umständen aufrecht zu erhalten. Kommunikation erfolgt vorübergehend nur noch über private Handys und E-Mail-Adressen. 

Ein geordneter Geschäftsbetrieb ist unter diesen Umständen meist nicht mehr möglich. Die Geschäftsleitung hat in dieser Zeit beinahe im Sekundentakt Entscheidungen mit weitreichenden Folgen zu treffen. Fristgerechte Meldungen gegenüber Datenschutzbehörden sind zu erledigen. Das Unternehmen steht in engem Austausch mit den Behörden, zum Beispiel dem Bundeskriminalamt. Externe Berater müssen kurzfristig beauftragt und koordiniert werden. An allen Stellen sind – meist sehr kurzfristig – Brandherde zu löschen. Sowohl Geschäftsleiter als auch Mitarbeiter agieren am Limit des Leistbaren. 

Aufarbeitung des Cyberangriffs – eine Zerreißprobe

Ist der Hackerangriff vorbei, beginnen die Aufräumarbeiten. Während der Angriff selbst meist nur wenige Stunden oder Tage dauert, benötigt die Wiederherstellung der IT-Systeme meist Wochen. Erste Ursachenanalysen erfolgen und Sicherheitslücken werden geschlossen. Die juristische Aufarbeitung des Cyberangriffes und dessen Folgen dauert hingegen meist Jahre. Sie wird aufgrund der finanziellen Belastung und wegen interner Schuldzuweisungen oftmals zur Zerreißprobe für das Unternehmen.

Die Suche nach Kompensation – Wer kommt für die Schäden auf?

Mit dem Cyberangriff gehen meist erhebliche finanzielle Schäden in Form von Umsatzverlusten und Kosten für die Systemwiederherstellung sowie die Krisenberatung einher. Die Angriffe führen auch häufig zu Betriebsunterbrechungen, aus welchen nicht nur eigene Umsatzverluste, sondern regelmäßig auch hohe Schadenersatzforderungen von Kunden resultieren. Schäden im zweistelligen Millionenbetrag sind nicht selten, sondern eher der Regelfall. 

Angesichts der hohen Schadenssummen steht für das geschädigte Unternehmen im Rahmen der Aufarbeitung vor allem die Kompensation der erlittenen Schäden im Vordergrund. Das Unternehmen beschäftigt sich intensiv mit der Frage, wer für diese Schäden aufzukommen hat. Nachdem die Täter in aller Regel nicht greifbar sind, wird der Schaden zunächst beim eigenen Cyberversicherer geltend gemacht – soweit überhaupt vorhanden. Häufig ist die Versicherungssumme der Cyberversicherung nicht ausreichend, sodass weitere Regressmöglichen gesucht werden. 

Sicherheitslücken und Organisationsdefizite werden identifiziert. Innerhalb des Unternehmens stellt man sich die typischen Fragen: Wie konnte es zu dem Vorfall kommen? Wer ist hierfür verantwortlich? War die IT-Infrastruktur ausreichend? Gibt es Organisationsdefizite? Der Cyberversicherungsfall weitet sich plötzlich zu weiteren Haftungs- und Versicherungsfällen aus. 

Verträge mit externen IT-Dienstleistern werden auf etwaige Pflichtverletzungen geprüft. Bei der Geschäftsleitung wird kritisch hinterfragt, ob das Unternehmen im Hinblick auf Cybersicherheit ordentlich organisiert und ausgestattet war. Der Cyberversicherungsfall ist plötzlich auch ein D&O-Versicherungsfall. Ähnliche Fragen stellen sich auch die beteiligten Versicherer, wobei dort der Fokus der Prüfung vor allem auf der Einhaltung von versicherungsrechtlichen Obliegenheiten und häufig gesondert vereinbarten IT-Sicherheitsmaßnahmen liegt. 

Juristisches Tauziehen mit ungewissem Ausgang

Ein juristisches Tauziehen sämtlicher Beteiligter beginnt. Das Unternehmen tritt in – oftmals sehr langwierige – Regulierungsgespräche mit den Versicherern ein. Gegenüber potenziellen Haftungsschuldnern werden – auch zur Sicherung etwaiger Regressansprüche nach Paragraf 86 Versicherungsvertragsgesetz – Schadenersatzansprüche geltend gemacht. 

Parallel hierzu hat das Unternehmen meist Schadenersatzforderungen von Kunden auf deren Berechtigung zu prüfen und sich hiergegen zu verteidigen. Das Unternehmen schlittert in Gerichtsverfahren mit häufig ungewissem Ausgang. Ursächlich ist hierfür unter anderem die bislang kaum existierende Rechtsprechung. Gerade das Zusammenspiel der verschiedenen Versicherungsarten und Regressgegner macht Cyberschäden in der Abwicklung sehr herausfordernd. 

Fazit

Cyberangriffe sind eine ernsthafte Bedrohung für Unternehmen jeder Größe. Sie können aufgrund der finanziellen Folgen und aufgrund interner Schuldzuweisung für das betroffene Unternehmen eine echte Bestandsprüfung darstellen, insbesondere, wenn das Unternehmen nicht über ausreichenden Versicherungsschutz verfügt. Zu einer Verbesserung der Cybersicherheitsstandards innerhalb der EU soll die NIS2-Richtlinie beitragen. Es bleibt nur zu hoffen, dass die Umsetzung dieser Richtlinie den gewünschten präventiven Effekt entfaltet und nicht nur zu einer verschärften Geschäftsleiterhaftung führt.

Florian Weichselgärtner

Dieser Beitrag ist erstmals am 04. November 2024 im Versicherungsmonitor erschienen. Hier gelangen Sie zum Originalbeitrag.

Die Hintergründe zum Scraping, das Meinungsbild der Instanzgerichte und die Entscheidung des BGH beleuchtet der folgende Beitrag.

Was ist Scraping?

Scraping (dt. „kratzen“) bezeichnet das Auslesen von Informationen aus verschiedenen Webseiten oder Web-Diensten durch dafür vorgesehene Anwendungen, Scripte oder Software – in der Regel durch Bots. Dabei werden Daten und Informationen aus verschiedenen Quellen „zusammengekratzt“, wodurch mit geringem Aufwand Unmengen an Daten gesammelt und zusammengestellt werden können. Die Scraping-Software extrahiert konkrete Informationen in automatisierter Art und Weise aus verschiedenen Quellen, regelmäßig aber aus dem Source-Code der Webseiten. Bekanntester Anwendungsfall des Web Scrapings ist z.B. die Nutzung von Online-Suchmaschinen oder Vergleichsportalen. 

Das Facebook-Scraping

In dem nun vom BGH entschiedenen Fall des sog. Facebook-Scrapings lief das Scraping etwas anders ab, geht aber im Kern auf die eben vorgestellte Funktionsweise zurück. 

Facebook bot verschiedenste Funktionen an, damit Nutzer ihren Bekanntenkreis auf dem sozialen Netzwerk vergrößern konnten. Eine dieser Optionen war die Hinterlegung der Telefonnummer im Facebook-Account. Über das sog. „Contact-Importer-Tool“ (CIT) war das Auffinden von Profilen möglich, die einer Telefonnummer aus dem Telefonbuch des mobilen Endgeräts eines Facebook-Nutzers zugeordnet werden konnte. Diese Funktion war bereits auf „alle“ Kontakte im Adressbuch der Smartphones voreingestellt. Dieses Feature machten sich Scraper zunutze, indem sie zufällige Zahlenfolgen in das CIT einpflegen mit dem Ziel, Profile zu ermitteln, die diese Zahlenfolgen als Telefonnummer hinterlegt hatten. Durch die Treffer der randomisierten Zahlenfolgen, welche sich als entsprechende Telefonnummern herausstellten, konnten die Scraper alle übrigen aus dem Facebook-Profil einsehbaren Informationen verknüpfen und veröffentlichten diverse Datensätze im Darknet.

Als die Facebook-Scraping-Vorfälle publik wurden, löste das bei vielen Facebook-Nutzern Bestürzen aus und mündete in zahlreichen Verfahren vor Gerichten wegen Unterlassungsansprüchen sowie datenschutzrechtlicher Schadensersatzbegehren in Form von Schmerzensgeld.

Bisherige Entscheidungen

Ablehnende Entscheidungen

Bislang lehnten die Instanzgerichte einen immateriellen Schadensersatz überwiegend ab. Die Kläger tragen immer wieder vor, dass sie in großer Sorge vor einem möglichen Missbrauch ihrer Daten seien oder auch überwältigende Mengen an Spam erhalten würden. Regelmäßig wird in der Urteilsbegründung jedoch darauf verwiesen, dass die Kläger nicht ausführlich genug vorgetragen hätten, um einen Schaden zu begründen. Es lesen sich Schlagworte wie „Kontrollverlust“, „Sorgen“, „bloßer Ärger“ oder „emotionales Ungemach“ (vgl. so z.B. LG Köln, Urt. v. 31.05.2023, Az. 28 O 138/22, Rn. 61; LG Kiel, Urt. v. 12.01.2023, Az. 6 O 154/22), die jedoch keinen immateriellen Schaden begründen sollen. Das OLG Köln beispielsweise schreibt in seiner Entscheidung vom 07.12.2023 (Az. 15 U 108/23) zum Kontrollverlust, dass dieser eine vorher bestandene Kontrolle über die verloren geglaubten Daten voraussetze. Das müsse dann umfassend dargelegt werden, denn bei einer Telefonnummer handele es sich nicht um ein per se der Geheimhaltung unterliegendes personenbezogenes Datum. Vielmehr solle diese gerade den Kontakt mit anderen Personen ermöglichen und werde deshalb oft in großem Umfang zugänglich gemacht. Außerdem reiche eine negative Folge des Datenschutzverstoßes, wie störender Spam, jedenfalls nicht aus, um dadurch einen Schaden begründen zu können.

Diese Argumentationslinie ist vor allem im Lichte der EuGH-Entscheidung zum immateriellen Schadensersatz nach dem Verlust der Kontrolle über die eigenen Daten fragwürdig (EuGH, Urt. v. 04.10.2024, C-200/23). Unter den Schadensbegriff fasst der EuGH insbesondere auch den bloßen Verlust der Kontrolle über personenbezogene Daten, selbst wenn konkret keine missbräuchliche Verwendung der betreffenden Daten zum Nachteil des Betroffenen erfolgt sein sollte. Das hohe Schutzniveau der DSGVO gebiete es, dass auch Befürchtungen einer künftigen missbräuchlichen Verwendung der Daten von Betroffenen einen Schaden darstellen können, wenn dies nachgewiesen wird.

Zusprechende Entscheidungen

Vereinzelt haben Gerichte einen immateriellen Schadensersatz in Folge des Facebook-Scrapings gewährt, wie etwa das LG Stuttgart (Urt. v. 26.01.2023, Az. 53 O 95/22). Das LG Osnabrück wies in der ersten Instanz die Klage noch ab (Urt. v. 28.07.2023, Az. 11 O 110/23), wohingegen die Berufungsinstanz, das OLG Oldenburg, dem Kläger Schadensersatz in Höhe von EUR 250 zusprach (Urt. v. 30.04.2024, Az. 13 U 89/23). Dabei räumte das OLG Oldenburg ein, dass der Erhalt von Spam-SMS oder -Anrufen noch nicht ausreichend sei, um einen Schaden zu begründen, denn dies gehöre „im Internetzeitalter“ zum allgemeinen Lebensrisiko. Das Gericht erkannte jedoch die Sorge des Klägers wegen eines möglichen Missbrauchs seiner Telefonnummer infolge des Scrapings als Schaden an. Dem Gericht reichte es aus, dass sich der Kläger verunsichert gefühlt habe und befürchtete, dass seine Nummer zu betrügerischen Zwecken weiterverwendet würde, denn er sei beruflich auf seine Telefonnummer angewiesen. Die Ängste seien dadurch ausreichend belegt, dass sich der Kläger eine zweite Telefonnummer zugelegt habe. Hier hatte die persönliche Anhörung des Klägers einen überzeugenden Eindruck beim Gericht für einen Schaden hinterlassen. 

Entscheidung des BGH

Nachdem drei Revisionen (Az. VI ZR 7/24, VI ZR 22/24, VI ZR 186/24), die beim BGH anhängig waren, zurückgenommen worden waren, hat der BGH die letzte noch anhängige Revision (Az. VI ZR 10/24) zum Leitentscheidungsverfahren bestimmt. Damit wurde sichergestellt, dass eine Entscheidung zu zentralen Rechtsfragen nicht wegen Rücknahmen, Vergleichen oder ähnlichem verhindert werden konnte. Damit bildet der Facebook-Scraping Komplex das erste Leitentscheidungsverfahren gemäß § 552b ZPO, so dass diese neue Vorschrift mit dem Tag ihres Inkrafttretens am 31.10.2024 unmittelbar zum Einsatz kam.

Der BGH nimmt bei seiner Entscheidung ausdrücklich Bezug auf die oben zitierte EuGH-Rechtsprechung und stellt nochmals heraus, dass der kurzzeitige Kontrollverlust über eigene personenbezogene Daten einen immateriellen Schaden darstellen kann. Insofern unterstreicht der BGH, dass weder die konkret missbräuchliche Verwendung dieser Daten zum Nachteil des Betroffenen noch zusätzliche spürbare negative Folgen Voraussetzungen eines Schadens sind. 

Die von Facebook voreingestellte Suchfunktion im CIT, dass „alle“ Kontakte im Adressbuch mit Facebook-Nutzer-Profilen abgeglichen werden, bewertet der BGH als unvereinbar mit dem Grundsatz der Datenminimierung. In diesem Zusammenhang sei ergänzend die Frage zu klären, ob überhaupt eine wirksame Einwilligung des Klägers in die Datenverarbeitung (hier in Form des Abgleichs der Kontakte mit Facebook-Profilen) vorlag.

Auch zur konkreten Höhe des immateriellen Schadensersatzes hat sich der BGH geäußert und sieht für den bloßen Kontrollverlust eine Größenordnung von EUR 100 als einen angemessenen Ausgleich an. 

Hinsichtlich der vom BGH aufgegriffenen Punkte wird der Rechtsstreit zur neuen Verhandlung und Entscheidung an das OLG Köln unter dem Aktenzeichen 15 U 67/23 zurückverwiesen, das letztendlich über den konkreten Fall zu entscheiden hat. 

Fazit

Mit seinem richtungsweisenden Urteil hat der BGH Klarheit für die Entscheidungen der Instanzgerichte geschaffen und zudem das Verständnis des EuGH zum Kontrollverlust über personenbezogene Daten umgesetzt. Das Urteil ist von großer Bedeutung für alle noch zu entscheidenden Klagen betroffener Facebook-Nutzer, die voraussichtlich in der Summe zu erheblichen Schadensersatzzahlungen von Meta führen werden. Vor allem aber wurden die Rechte der von Datenschutz-Vorfällen betroffenen Personen mit diesem Urteil gestärkt. Die klare Aussage des BGH zur Bedeutung des Datenschutzes sowie zur potentiellen Gewährung von immateriellem Schadensersatz aufgrund eines Kontrollverlusts über die eigenen Daten wird voraussichtlich auch in zukünftigen Verfahren sehr relevant werden.

• Die Pressemitteilung zur Entscheidung des BGH vom 18.11.2024 finden Sie hier: Link
• Mehr zum Verständnis des Schadensbegriffes des EuGH finden Sie in unserem Blog: EuGH: Datenschutzverstoß allein nicht ausreichend für immateriellen Schadensersatz
• oder in unserem monatlich erscheinenden Datenschutz-Ticker: Link

Mirjam Kaiser

Den gesamten Beitrag aus dem Versicherungsmonitor (4. November 2024) von unserem Experten Dr. Florian Weichselgärtner finden Sie hier: t1p.de/zh0sc

Amphenol ist einer der weltweit größten Entwickler, Hersteller und Vermarkter von Steckverbindern und Verbindungssystemen, Antennenlösungen, Sensoren sowie Hochgeschwindigkeitskabel.

Die Luetze International Group ist weltweit aktiv und setzt sich in einer Holding-Struktur aus verschiedenen Unternehmen zusammen. Die Unternehmensgruppe steht für über 60 Jahre Tradition in Automation und zählt heute zu den führenden Unternehmen in der Branche.

Die Luetze-Gruppe bietet innovative Lösungen in den Bereichen hochflexible Leitungen, Kabelkonfektion, Interface, Stromversorgung und -überwachung sowie Schaltschrankverdrahtung. Das Leistungsspektrum der Luetze-Gruppe ergänzt das Portfolio von Amphenol in verschiedenen Segmenten des schnell wachsenden Elektronikmarktes optimal und unterstreicht die zukunftsorientierte, grenzüberschreitende Positionierung von Amphenol.

In dieser Transaktion hat unsere ADVANT-Partnerkanzlei ADVANT Altana zum französischen Recht beraten, Fox Williams zum britischen Recht, Havel & Partners zum tschechischen Recht, Kellerhals Carrard zum schweizerischen Recht und E+H zum österreichischen Recht.

ADVANT berät Amphenol laufend bei europäischen M&A-Projekten, zuletzt haben ADVANT Altana und ADVANT Beiten gemeinsam bei dem Erwerb der CMR-Gruppe mit Sitz in Frankreich beraten.

Berater Amphenol Corporation: ADVANT Beiten: Dr. Christian von Wistinghausen, Tassilo Klesen (beide Federführung), Olga Prokopyeva (alle Corporate/M&A, Berlin), Susanne Rademacher, Lelu Li, Kelly Tang, Dr. Jenna Wang-Metzner (alle Corporate/M&A, Beijing), Michael Riedel (Arbeitsrecht, Berlin), Carsten Pütger, Danah El-Ismail (beide Real Estate, Berlin), Mathias Zimmer-Goertz, Christian Döpke (beide IP/IT/Medien, Düsseldorf), Uwe Wellmann (Kartellrecht, Berlin), Christoph Heinrich (Kartellrecht, München), Dr. Marion Frotscher sowie Simon Bauer (beide Steuern, Hamburg).

Berater Verkäufer der Luetze-Gruppe: Heuking Kühn Lüer Wojtek: Dr. Rainer Herschlein, LL.M., Dr. Emanuel Teichmann (beide Corporate/M&A, Stuttgart), Dr. Stefan Bretthauer, Jia-Xi Liu (beide Kartellrecht, Hamburg).

Pressekontakt
Frauke Reuther
Manager Kommunikation 
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

ADVANT Beiten erreicht in der Gesamtauswertung nach der Zahl der Empfehlungen (150) Position 12 der Liste „Top-100-Kanzleien“. Im vorigen Kanzleimonitor war es Rang 13. In den bewerteten Rechtsgebieten hat ADVANT Beiten im Öffentlichen Recht den deutlichsten Zuwachs erzielen können und erreicht Rang drei.  

Dr. Jochen Pörtge ist für ADVANT Beiten in der Gesamtwertung „Top-100-Anwälte“ vertreten. Er schafft es zudem auf die Listen der führenden Anwälte in Compliance und im Strafrecht. 

Dr. Detlef Koch ist einer der führenden Anwälte im Gesellschaftsrecht, Dr. Mark Zimmer im Arbeitsrecht.

Petra Fendt wird als eine der führenden Anwältinnen in der Finanzierung gelistet. 

ADVANT Beiten liegt bei diesen 18 Rechtsgebieten unter "Führende Kanzleien" (zwei oder mehr Empfehlungen): 

• Aktien- & Konzernrecht (3 Empfehlungen)
• Arbeitsrecht (11)
• Bankrecht (4)
• Compliance (14)
• Datenschutzrecht (14)
• Finanzierung (9)
• Gesellschaftsrecht (21)
• Gewerblicher Rechtsschutz (10)
• Immobilien- & Baurecht (4)
• IT-Recht (2)
• Kartellrecht (8)
• Litigation & ADR (7)
• M&A (5)
• Öffentliches Recht (12)
• Patentrecht (2)
• Strafrecht (6)
• Umweltrecht (2)
• Vertragsrecht (12)

Da sich ein Mandantenverhältnis zwischen einer Rechtsabteilung oder auch Compliance-Verantwortlichen und den externen Beratern in der Regel über längere Zeiträume erstreckt, wurde für den Kanzleimonitor 2024/25 keine isolierte Ein-Jahres-Betrachtung vorgenommen. Empfehlungen aus dem Jahr 2023 wurden noch mit dem Faktor 0,5, solche aus 2022 noch mit dem Faktor 0,25 berücksichtigt.

Die Befragung bietet seit 2013 einen unabhängigen Marktüberblick der Mandatierung externer Kanzlei durch Unternehmensjuristen. Das Deutsche Institut für Rechtsabteilungen stellt sicher, dass ausschließlich Personen, die im General Counsel Leadership Circle, Labour & Employment Law Leadership Circle sowie dem Chief Compliance Officer Leadership Circle aufgeführt sind, an der Erhebung teilnehmen.

Best Lawyers erweitert mit dem neuen Ranking die Kooperation mit dem „Handelsblatt“. Erstmals ging es nicht um die besten Einzelpersonen, sondern um Rechtsgebiete der Kanzleien. 

Das Ranking „Best Law Firms – Germany“ zeichnet Kanzleien aus, die durch juristische Kompetenz und Branchenkenntnis herausragen. Jede der aufgenommenen Kanzleien wurde auf der Grundlage von Mandantenfeedback, Empfehlungen von Kollegen, Interviews mit Führungskräften, weiteren Fachleuten und Branchenführen sowie der Tiefe ihrer Praxis bewertet. Der Bewertungsprozess umfasste auch die Überprüfung zusätzlicher Kanzlei-Highlights. 

Mandanten und berufliche Referenzen wurden gebeten, im Feedback zu den Leistungen der Kanzlei sechs Kriterien zu berücksichtigen: Fachwissen, Reaktionsfähigkeit, Verständnis für ein Unternehmen und dessen Bedürfnisse, Kosteneffizienz, Integrität und Empfehlungswürdigkeit. 

Darüber hinaus wurden Anwälte im Rahmen der grundlegenden Best Lawyers-Forschung aufgefordert, individuell und organisatorisch Feedback zu Wettbewerbern in bestimmten Bereichen zu geben. Die abstimmenden Anwälte sollten Erfahrung, Reaktionsfähigkeit sowie die Fragen, ob sie eine Angelegenheit an eine Kanzlei weiterleiten würden und ob sie eine Kanzlei für einen würdigen Wettbewerber halten, berücksichtigen.

Das Ergebnis ist ein umfassender Leitfaden zum deutschen Rechtsmarkt.

Das Ranking der Rechtsgebiete von ADVANT Beiten im Einzelnen:

National Tier 1

• Information Technology Law

National Tier 2

• Arbitration and Mediation
• Corporate Law
• Data Security and Privacy Law
• Intellectual Property Law
• Labor and Employment Law
• Mergers and Acquisitions Law
• Real Estate Law
• Tax Law

National Tier 3

• Construction Law
• Litigation
• Restructuring and Insolvency Law

Regional Tier 1

Baden-Württemberg

• Corporate Governance and Compliance Practice
• Corporate Law
• Mergers and Acquisitions Law

Bayern

• Arbitration and Mediation
• Art Law
• Competition / Antitrust Law
• Corporate Law
• Intellectual Property Law
• Labor and Employment Law
• Litigation
• Mergers and Acquisitions Law

Berlin

• Corporate Law
• Labor and Employment Law
• Mergers and Acquisitions Law

Hamburg

• Trade Law

Hessen

• Construction Law
• Data Security and Privacy Law
• Information Technology Law
• Labor and Employment Law
• Mergers and Acquisitions Law
• Trusts and Succession Planning

Nordrhein-Westfalen

• Corporate Law
• Tax Law

Regional Tier 2

Bayern

• Information Technology Law
• Real Estate Law
• Restructuring and Insolvency Law

Berlin

• Health Care Law
• Information Technology Law
• Intellectual Property Law

Hamburg

• Arbitration and Mediation
• Corporate Law
• Labor and Employment Law
• Media Law
• Mergers and Acquisitions Law

Hessen

• Banking and Finance Law
• Intellectual Property Law
• Real Estate Law
• Restructuring and Insolvency Law

Nordrhein-Westfalen

• Labor and Employment Law
• Mergers and Acquisitions Law

Regional Tier 3

Bayern

• Corporate Governance and Compliance Practice
• Criminal Defense
• Energy Law
• Public Private Partnership

Berlin

• Public Law
• Public Private Partnership
• Real Estate Law

Hamburg

• Litigation
• Tax Law

Hessen

• Private Equity Law
• Tax Law

Nordrhein-Westfalen

• Data Security and Privacy Law
• Insurance Law

1. Vorgang der funkgesteuerten Verbrauchsdatenerfassung

Die smarten Zähler, die in Haushalten für die Erfassung von Strom, Wasser und Wärme eingesetzt werden, ermöglichen die automatische Übertragung der Verbrauchswerte. Dies kann über unterschiedliche Methoden erfolgen, wie etwa durch sogenannte "Walk-by"- oder "Drive-by"-Verfahren. Bei diesen Verfahren können die Daten von außerhalb des Gebäudes im Vorbeifahren oder -laufen mit einem Ablesegerät abgerufen werden. Immer häufiger kommen jedoch auch stationäre "Gateways" zum Einsatz, die die Verbrauchsdaten sammeln und regelmäßig an den Energieversorger weiterleiten. Diese Systeme ermöglichen nicht nur eine kontinuierliche Verbrauchsmessung, sondern erlauben auch detailliertere Einblicke in den Energieverbrauch eines Haushalts.

Während diese Technologie erhebliche Vorteile hinsichtlich der Effizienz bieten dürfte, erhöht sie auch das Risiko eines Missbrauchs. Denn die erhobenen Daten lassen Rückschlüsse auf das individuelle Verbrauchsverhalten der Bewohner zu, was die Gefahr einer Überwachung der Lebensgewohnheiten birgt. Deshalb ist es erforderlich, geeignete technische und organisatorische Maßnahmen zum Schutz dieser Daten zu ergreifen.

2. Abruffrequenz der Verbrauchsdaten

Aus Sicht der DSK ist daher die Häufigkeit, mit der Verbrauchsdaten von den Zählern abgerufen werden dürfen, ein zentraler Aspekt. Hierbei ist besonders der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO zu beachten. Daten dürfen nur in dem Umfang erhoben und verarbeitet werden, der zur Erreichung des jeweiligen Zwecks erforderlich ist. Dies gilt insbesondere für die Frequenz des Datenabrufs.

Dabei soll die Abruffrequenz von verschiedenen Faktoren abhängen:

• Jährliche und monatliche Intervalle: Für die Abrechnung von Energie- oder Wasserverbräuchen ist in der Regel ein jährlicher Abruf der Daten ausreichend. Gesetzliche Vorgaben, wie etwa § 6a der Verordnung über die verbrauchsabhängige Abrechnung der Heiz- und Warmwasserkosten, können jedoch monatliche Abrufe erforderlich machen, um die Nutzer über ihren Verbrauch zu informieren.
• Häufigere Abrufe: In bestimmten Situationen kann es notwendig sein, die Daten in kürzeren Intervallen abzurufen. So sollen bei Stromzählern, die zur Netzstabilität beitragen, viertelstündliche Messungen zulässig sein, um die Lastgänge zu erfassen. Auch bei Wasserzählern können häufigere Messungen zur Leckage-Erkennung erforderlich sein.

3. Rechtsgrundlagen der Datenverarbeitung

Ein weiterer zentraler Punkt der Orientierungshilfe ist die Frage, auf welcher rechtlichen Grundlage die Verarbeitung von Verbrauchsdaten durch funkbasierte Zähler erfolgen darf. Die Datenschutzkonferenz unterscheidet dabei je nach Verbrauchsart:

• Strom: Die Erhebung und Verarbeitung von Stromverbrauchsdaten stützt sich auf das Messstellenbetriebsgesetz (MsbG). Dieses regelt den zulässigen Umfang der Datenerfassung und soll sicherstellen, dass nur die für die Abrechnung notwendigen Daten erhoben werden. Das MsbG enthält auch detaillierte Vorschriften zur Datensicherheit, um den Missbrauch der Verbrauchsdaten zu verhindern.
• Heizung und Warmwasser: Die bereits erwähnte Verordnung über Heizkostenabrechnung (HeizkostenV) bildet die gesetzliche Grundlage für die Verarbeitung von Heiz- und Warmwasserdaten. Nach § 6b HeizkostenV dürfen Verbrauchsdaten ausschließlich für die Abrechnung und die monatliche Information der Nutzer verwendet werden. Jede darüberhinausgehende Verarbeitung ist nur mit ausdrücklicher Einwilligung der betroffenen Person erlaubt.
• Kaltwasser: Für die Erfassung und Verarbeitung von Kaltwasserdaten gibt es bisher keine bundesweit einheitliche gesetzliche Regelung. In einigen Bundesländern existieren spezifische Vorgaben, wie beispielsweise in Berlin oder Bayern, wo die Nutzung von Fernmesstechnik einer Einwilligung bedarf. Die DSK hat hierzu bereits Vorschläge für eine bundeseinheitliche Regelung unterbreitet, die jedoch noch nicht umgesetzt wurden.

4. Technische und organisatorische Sicherheitsmaßnahmen

Damit die Erhebung und Verarbeitung von Verbrauchsdaten datenschutzkonform erfolgt, müssen technische und organisatorische Maßnahmen ergriffen werden. Laut der Orientierungshilfe der DSK zählen dazu unter anderem:

• Verschlüsselung der übertragenen Daten, um sicherzustellen, dass unbefugte Dritte keinen Zugriff auf die Verbrauchsdaten erhalten.
• Pseudonymisierung der Daten, sodass diese nur mit zusätzlichem Wissen einer Person zugeordnet werden können.
• Beachtung der Schutzprofile und Technischen Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik (BSI), insbesondere bei der Nutzung von Smart-Meter-Gateways. Diese gewährleisten, dass die Daten nur an berechtigte Stellen übertragen werden.

Handlungsbedarf

Die Orientierungshilfe zeigt, dass die Datenschutzbehörden Smart-Meter „auf dem Schirm“ haben. Es ist in Zukunft also damit zu rechnen, dass die Behörden bei den datenschutzrechtlich Verantwortlichen gezielt nachfragen könnten, ob und wie die datenschutzrechtlichen Bestimmungen eingehalten werden. Die DSK hält vor allem Gebäudeeigentümer, Versorgungsunternehmen, aber auch Messstellenbetreiber für datenschutzrechtlich verantwortlich. Diese sollten also untersuchen, ob sie den von der DSK aufgestellten Anforderungen entsprechen, insbesondere im Hinblick auf die Abruf- und Auswertungsfrequenz sowie die zu ergreifenden technischen und organisatorischen Maßnahmen zum Schutz von personenbezogenen Daten.

Fabian Eckstein

Auch für die öffentliche Hand haben Auskunftsansprüche eine hohe Relevanz und werden regelmäßig geltend gemacht. Jüngst hat deshalb die Sächsische Datenschutz- und Transparenzbeauftragte einen Handlungsleitfaden für Kommunen und Verwaltung zur Auskunftserteilung nach Artikel 15 DSGVO veröffentlicht. Der Leitfaden berücksichtigt die neuste Rechtsprechung von nationalen Gerichten und des Europäischen Gerichtshofes und bietet Empfehlungen und Anleitungen für Verantwortliche von öffentlichen Stellen, um dem Auskunftsanspruch nachzukommen.

Dieser Leitfaden dient als Grundlage, um im Rahmen dieses Beitrags die wichtigsten Voraussetzungen des Auskunftsanspruchs und damit verbundene Handlungsempfehlungen zusammenzufassen.

1. Regelungen im Vorfeld der Auskunft

Es ist ein Prozess zur Auskunftserteilung zu etablieren. Dazu sind die Zuständigkeiten innerhalb der Organisationseinheit festzulegen. Die Beschäftigten müssen sensibilisiert werden, damit Anfragen nicht untergehen und zeitnah an die richtige Stelle weitergeleitet werden. Zudem muss eine fachübergreifende Kommunikation gewährleistet werden. Es sollten dazu interne Dienstanweisungen formuliert werden, in denen die genauen Modalitäten der Beantwortung von Auskunftsersuchen festgelegt werden. Die Datenschutzbeauftragten sind zu beteiligen, auch wenn es grundsätzlich nicht Aufgabe der Datenschutzbeauftragten ist, Auskunftsersuchen selbst zu bearbeiten.

2. Prüfung und Berechnung der Frist

Auskünfte sind nach Art. 12 Abs. 3 DSGVO unverzüglich, spätestens aber innerhalb eines Monats nach Eingang des Antrags zu beantworten. Da eine verspätete Auskunft bereits einen Datenschutzverstoß darstellt, ist sicherzustellen, dass die Monatsfrist notiert wird und Anfragen zeitnah bearbeitet werden.

Im Ausnahmefall kann die Frist um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Personalmangel, etwa wegen Krankheit oder Urlaub von Beschäftigten, wird jedoch nicht als Ausnahmefall akzeptiert. In jedem Fall muss der Antragsteller innerhalb der Monatsfrist über eine Verlängerung der Frist und deren Gründe informiert werden.

3. Klärung der Identität und Berechtigung des Antragstellers

Die Auskunft über die Verarbeitung von personenbezogenen Daten darf nur gegenüber der tatsächlich betroffenen Person erteilt werden. Ansonsten riskiert der Verantwortliche wiederum einen Datenschutzverstoß. Weitere Informationen, insbesondere Ausweisdokumente, dürfen vom Antragsteller aber dennoch nur bei begründetem Zweifel an dessen Identität angefordert werden und müssen auf das Erforderliche begrenzt werden.

4. Prüfung, ob eine Pflicht zur Auskunft besteht

Auf jeden Fall muss die öffentliche Stelle prüfen, ob sie für die Auskunftserteilung überhaupt zuständig ist. Dabei ist auch entscheidend, ob die Stelle als Auftragsverarbeiter oder als Verantwortlicher agiert und ob ggf. eine gemeinsame Verantwortlichkeit vorliegt. Des Weiteren müssen Antragsteller selbst antragsberechtigt sein. Dies ist z. B. nicht der Fall, wenn sie Auskunft über Daten zu anderen Personen verlangen oder es sich um Erben einer verstorbenen Person handelt.

5. Prüfung einer Ausnahme oder Einschränkung

Vor der Auskunftserteilung ist zu prüfen, ob ggf. eine Ausnahme oder Beschränkung vorliegt. Bei offenkundig unbegründeten oder exzessiven Anträgen darf die Auskunft abgelehnt werden. Diese Einschränkungen werden jedoch sehr restriktiv ausgelegt und werden in der Praxis meist nicht greifen. Es ist ausdrücklich nicht missbräuchlich, wenn der Antrag nicht begründet wird oder offensichtlich für datenschutzfremde Zwecke genutzt werden soll.

Immer zu beachten ist, dass bei Auskunftserteilung keine Rechte Dritter verletzt werden dürfen. Daher ist z. B. bei der Herausgabe von Akten immer zu prüfen, ob personenbezogene Daten oder sonstige Rechte Dritter berührt sind. Ggf. sind Dokumente daher zu schwärzen oder ist die Auskunft einzuschränken, was jedoch stets begründet werden muss.

6. Umfang der Auskunftspflicht

Sehr kontrovers diskutiert wird die Frage des Umfangs der Auskunft. In jedem Fall muss mitgeteilt werden, ob überhaupt Daten über den Antragsteller verarbeitet werden. Auch die sonstigen Informationen gemäß Art. 15 Abs. 1 Hs. 2 DSGVO sind zu erteilen. Der Auskunftsanspruch wird sehr weit ausgelegt und umfasst alle personenbezogenen Daten des Antragstellers, sodass unter Umständen auch ganze Dokumente oder sogar Aktenteile beauskunftet werden müssen, wenn dies unerlässlich ist, um ihre Verständlichkeit zu gewährleisten. Auch interne Vermerke und Gesprächsprotokolle können daher umfasst sein. Der Antragsteller muss in der Lage sein, aufgrund der erteilten Auskunft die Rechtmäßigkeit der Datenverarbeitung durch die öffentliche Stelle zu prüfen. Generell sind die Details zu Umfang und Reichweite des Anspruchs stark umstritten. Die Sächsische Datenschutzbehörde empfiehlt ein zweistufiges Verfahren, bei dem zunächst die grundlegenden Informationen erteilt werden und gleichzeitig um eine Präzisierung gebeten wird. Im Zweifel ist der Verantwortliche aber verpflichtet, eine vollständige Auskunft und eine Kopie aller Daten zu erteilen, die Gegenstand der Verarbeitung sind, auch wenn dies eine hohen Arbeitsaufwand verursacht.

7. Form der Auskunftserteilung

Eine bestimmte Form sieht die DSGVO nicht vor. Die Auskunft kann schriftlich, elektronisch, oder auf Wunsch des Antragstellers auch mündlich erteilt werden. Wünscht der Antragsteller aber eine bestimmte Form der Auskunft, muss diese grundsätzlich eingehalten werden. Bei elektronischer Versendung, etwa per E-Mail, ist immer auf eine ausreichende Verschlüsselung zu achten.

8. Rechtsbehelf gegen die Versagung einer Auskunft

Die – auch teilweise – Nichterteilung einer Auskunft ist durch die antragstellende Person gerichtlich überprüfbar. Bei der Entscheidung über einen datenschutzrechtlichen Auskunftsanspruch durch eine öffentlich-rechtliche Einrichtung handelt es sich nach herrschender Meinung um einen Verwaltungsakt, sodass die Verpflichtungsklage statthafte Klageart für die gerichtliche Geltendmachung eines Auskunftsanspruchs ist.

Der Auskunftsanspruch nach Art. 15 DSGVO wird flankiert vom Akteneinsichtsrecht als Beteiligter eines Verfahrens sowie dem Anspruch auf Informationszugang nach den Informationsfreiheitsgesetzen, die jeweils eigene Voraussetzungen vorsehen.

Jason Komninos

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), welches im Dezember 2021 noch als „TTDSG“ eingeführt wurde, sieht in § 26 eine Verordnungsermächtigung für die Bundesregierung vor, um sogenannte Dienste zur Einwilligungsverwaltung zu regeln.

Die ursprüngliche Idee derartiger Dienste, die auch unter dem Stichwort „Personal Information Management System (PIMS)“ diskutiert werden, war es, dass der Internetnutzer einmal seine persönlichen Cookie-Präferenzen gegenüber dem PIMS abgibt und die Anbieter von digitalen Diensten bei dem PIMS diese Präferenz abfragen können. Es gäbe die Möglichkeit, etwa allen Cookies zuzustimmen, einzelne Kategorien von Cookies pauschal anzunehmen oder abzulehnen (z.B. Statistik-Cookies oder Marketing-Cookies) oder eben alle nicht notwendigen Cookies abzulehnen.

(Un-)Zulässigkeit von Generaleinwilligungen

Das Problem einer derart pauschalen Einwilligung in die Verwendung von Cookies, auch wenn sie nur für bestimmte Kategorien von Cookies gegeben wird, besteht darin, dass der Internetnutzer in diesem Fall eigentlich keine informierte Einwilligung erteilen kann. Denn auch wenn die Anbieter digitaler Dienste häufig ähnliche Cookies und Tools einsetzen, so sind es gerade nicht die gleichen. Jeder Anbieter verwendet zum Teil andere Cookies und übermittelt damit auch Informationen der Internetnutzer an verschiedene Empfänger. Die Internetnutzer wüssten also zum Zeitpunkt der Einwilligung nie, in welche Verarbeitung sie genau einwilligen, geschweige denn, an wen ihre Daten übermittelt werden. Aus diesem Grund hat sich die Bundesregierung auch gegen pauschale Voreinstellungen entschieden und schreibt dazu in der Verordnungsbegründung:

"Pauschale Voreinstellungen zu möglichen Einwilligungsanfragen des Anbieters von digitalen Diensten, die vom Endnutzer ohne Bezug zur konkreten Inanspruchnahme eines digitalen Dienstes getroffen werden, erfüllen nicht die Anforderungen an die Verwaltung von Einwilligungen."

Damit geht dann aber auch die gewünschte Wirkung des PIMS verloren, nämlich die Anzahl der Cookie-Banner zu reduzieren.

Lösung durch die EinwV?

§ 3 Abs. 1 der nun verabschiedeten Einwilligungsverordnung (EinwV) bestimmt, dass der anerkannte Dienst zur Einwilligungsverwaltung (also das PIMS) bei der erstmaligen Inanspruchnahme eines digitalen Dienstes durch den Endnutzer seine Einstellungen bezüglich der Cookies speichert. Nach dieser Formulierung bleibt die Notwendigkeit bestehen, dass die Internetnutzer weiterhin bei jedem erstmaligen Besuch einer Website einen Cookie-Banner zu Gesicht bekommen werden.

Der anerkannte Dienst muss außerdem nutzerfreundlich, d.h. transparent und verständlich gestaltet sein und es darf frühestens nach einem Jahr eine Aufforderung zur Überprüfung der Einstellungen der Endnutzer erfolgen (§ 4 EinwV). Auch muss der Wechsel zu einem anderen anerkannten Dienst zur Einwilligungsverwaltung jederzeit möglich sein (§ 5 EinwV). Ferner bestehen gemäß § 6 Anforderungen an ein wettbewerbskonformes Verfahren gegenüber den Anbietern von digitalen Diensten. Schließlich soll die Einbindung in sogenannte Abruf- und Darstellungssoftware (regelmäßig vermutlich Internetbrowser) ermöglicht werden (§ 7 EinwV).

Wie der Name „anerkannter Dienst zur Einwilligungsverwaltung“ verdeutlicht, muss der Dienst anerkannt werden. Dies erfolgt nach dem in Teil 3 der Verordnung beschriebenen Verfahren. Die zuständige Stelle dafür ist die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (§ 8 EinwV).

Teil 4, der letzte Teil der Verordnung, bestimmt technische und organisatorische Maßnahmen für Anbieter von digitalen Diensten sowie Hersteller und Anbieter von Abruf- und Darstellungssoftware. Hierbei ist besonderes Augenmerk auf § 18 Abs. 1 EinwV zu legen, der die Einbindung von anerkannten Diensten zur Einwilligungsverwaltung durch die Anbieter von digitalen Diensten als freiwillig erklärt. Diese Regelung hat der Verordnung Kritik von Verbraucherschützern beschert, weil dadurch die Anforderungen der Verordnung leicht umgangen werden könnten. Die Tatsache, dass die Nutzung der Dienste zur Einwilligungsverwaltung freiwillig ist, dürfte aber vor allem in der Praxis dazu führen, dass diese kaum genutzt werden. Denn gerade vor dem Hintergrund der anfangs zitierten Studie dürfte der Anteil derer, die einen solchen Dienst nutzen, um nicht optionale Cookies generell abzulehnen, sehr hoch sein. Dies werden auch die Anbieter von digitalen Diensten vermuten und daher kein Interesse haben, solche Dienste einzusetzen. Sie werden geneigt sein, weiterhin über die Cookie-Banner die Daten jedenfalls des Teils der Nutzer abzugreifen, die auf „alle annehmen“ klicken, weil sie tatsächlich eine Einwilligung erteilen wollen, es ihnen prinzipiell egal ist oder sie einfach gerne auf grüne Knöpfe drücken.

Fazit

Es bestehen große Zweifel, ob die verabschiedete Verordnung die Anzahl der Cookie-Banner im Internet wirklich verringern kann. Sie kann auch nur die Einwilligung gemäß § 25 Abs. 2 TDDDG regeln. In der Praxis werden über die Cookie-Banner häufig aber auch Einwilligungen nach der DSGVO (insb. auch gemäß Art. 49 Abs. 1 a) DSGVO) eingeholt. Diese können dann streng genommen nicht durch den Dienst der Einwilligungsverwaltung eingeholt werden, was dazu führen dürfte, dass jedenfalls für diese Einwilligungen die bisherigen Cookie-Banner bestehen bleiben müssten.

Gegen die Verordnung spricht aber auch, dass die Inanspruchnahme des Dienstes zur Einwilligungsverwaltung weder für Nutzer noch für Diensteanbieter einen Mehrwert zu haben scheint. Die Nutzer müssten trotzdem weiterhin zumindest bei jeder neuen Website eine Einstellung vornehmen und dies sogar mehrfach, falls die Website neue Cookies oder andere Tools verwendet, weil gerade keine pauschale Voreinstellung für verschiedene Anbieter von digitalen Diensten rechtlich zulässig sein soll. Die Diensteanbieter wiederum dürften kein Interesse daran haben, an einer Einwilligungsverwaltung teilzunehmen, die ihnen vermutlich mehr Ablehnungen von optionalen Cookies einbringen wird.

Letztlich wird sich die Relevanz der Dienste für die Einwilligungsverwaltung aber anhand der konkreten technischen Ausgestaltung entscheiden. Wenn diese möglichst einfach installierbar und niedrigschwellig gehalten ist, könnte es vielleicht doch für den ein oder anderen digitalen Diensteanbieter attraktiv sein. Dieser könnte bei einer gut funktionierenden Lösung, die dem Nutzer tatsächlich eine Erleichterung bringt, dann doch mit einem besonders nutzerfreundlichen Cookie-Umgang werben.

Fabian Eckstein

Die Transaktion wurde käuferseits von Keensight Capital, einem der führenden Private-Equity-Manager für europaweite Growth-Buyout-Investitionen, unterstützt. Über das Transaktionsvolumen haben die Parteien Stillschweigen vereinbart.

Fischer Information Technology konzentrierte sich seit der Gründung 1985 auf Expertise in der Entwicklung zuverlässiger Software für das effiziente Management, der Organisierung und der Verteilung von Technischer Dokumentation und Produktinformationen. Das Unternehmen hat den europäischen Markt für Software für die technische Dokumentation maßgeblich mitgestaltet.

Quanos ist ein Zusammenschluss von Software-Experten für After-Sales, Service und die Technische Dokumentation, optimiert durch KI-Fähigkeiten. Das Unternehmen bietet über 1.200 Kunden weltweit innovative, erfolgreiche und verlässliche Technologie.

Die Übernahme von Fischer IT erweitert die Marktpräsenz von Quanos und vergrößert den Kundenstamm auf 1.400 Kunden weltweit. Das befähigt Quanos, ein umfassendes Produktportfolio anzubieten, das dem gemeinsamen Kundenstamm einen signifikanten Mehrwert liefert. Darüber hinaus werden die etablierten technischen Fachkenntnisse von Fischer IT die Innovationsstärke von Quanos weiter stärken.

Berater Fischer Information Technology GmbH: 
ADVANT Beiten: Gerhard Manz, Dr. Christian Osbahr (beide Corporate/M&A, Freiburg), Dr. Birgit Münchbach und Dr. Holger Weimann (beide IP/IT, München)

Berater Quanos Group GmbH:
Renzenbrink & Partner: Team Dr. Ulf Renzenbrink

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Gerhard Manz
Rechtsanwalt
ADVANT Beiten
+49 (761) 15 09 84 - 11 
gerhard.manz@advant-beiten.com

Den gesamten Beitrag finden Sie hier: www.deutscheranwaltspiegel.de

Datenschutz und Krankenhaus – Auenland und Moria? Wir sprechen heute in „Schocktherapie“ mit Susanne Klein. Sie ist Rechtsanwältin und Partnerin bei ADVANT Beiten (susanne.klein@advant-beiten.com). Vor allem aber kennt sie sich im Krankenhaus bestens aus: Sie befasst sich mit Datenschutzrecht und fungiert auch als externe Datenschutzbeauftragte. Unser Ziel heute: Schalten Sie nicht gleich beim Titel ab – denn Sie wissen doch auch, wie wichtig der Datenschutz ist. „Schocktherapie“ will verhindern, dass Sie einfach den Kopf in den Sand stecken!

Für Susanne Klein sind Krankenhäuser im Datenschutz viel besser aufgestellt, als das Bauchgefühl es oft suggeriert. Trotzdem sind natürlich viele Akteure unsicher: Was etwa ist die Rolle einer Datenschutzbeauftragten? Verteilt sie Freibriefe für den Träger? Schützt sie Patienten und Arbeitnehmer? Ist sie gar eine Überwachungs- und Anzeigestelle?

In der aktuellen Lange sind zudem Unternehmenstransaktionen an der Tagesordnung: Träger A kauft ein Haus oder Teile davon bei Träger B – aber welche Daten dürfen im Vorfeld übermittelt werden, nicht nur von Arbeitnehmern, sondern von Patienten?

Das Spektrum des Datenschutzes reicht (natürlich) weit darüber hinaus. In weltweiten klinischen Studien europäisches, bundesdeutsches, und ggf. (16 Mal) landesdeutsches Datenschutzrecht zu beachten, geht das überhaupt, wenn ja wie? Ist Datenschutz damit ein Standortnachteil?

Keine schwere Kost, sondern Ihr Beipackzettel für die Navigation durch ein vermeintliches Dunkelfeld!

Die Gastgeber von #Schocktherapie: Dr. Silke Dulle, Rechtsanwältin, Fachanwältin für Medizinrecht, Partnerin, ADVANT Beiten (silke.dulle@advant-beiten.com) und Wolf J. Reuter, LL.M., Rechtsanwalt, Fachanwalt für Arbeitsrecht, ebenfalls Partner bei ADVANT Beiten (wolf.reuter@advant-beiten.com).

Die Implementierung des DSA in Deutschland erfolgt durch das Digitale-Dienste-Gesetz (DDG), das am 14. Mai 2024 in Kraft getreten ist. Dieses Gesetz passt den nationalen Rechtsrahmen an die Anforderungen des DSA an und ermöglicht es den deutschen Behörden, die Einhaltung des DSA zu überwachen.

Nachfolgend geben wir einen Überblick über den gesetzlichen Rahmen zur Durchsetzung des DSA in Deutschland.

Für wen gilt der DSA?

Der DSA richtet sich an die Anbieter sog. Vermittlungsdienste. Hierunter fallen unterschiedliche Dienstleistungen der Informationsgesellschaft, namentlich Dienste der "reinen Durchleitung", Caching-Leistungen und Hosting-Dienste. Dabei stellt der DSA die Online-Plattform als eine spezielle Form des Hosting-Dienstes heraus. Anbieter, die von Nutzern bereitgestellte Informationen in deren Auftrag speichern, sind jedenfalls als Hosting-Dienst einzuordnen (einen Überblick geben wir in unserem Blog). Ermöglichen diese die Veröffentlichung der Information und handelt es sich nicht bloß um eine untergeordnete Funktion, kommt eine Regulierung als Online-Plattform unter dem DSA in Betracht. Die Abgrenzung kann im Einzelnen durchaus schwierig sein und ist richterlich noch nicht geklärt.

Zuständige Behörden:

Die Zuständigkeit des EU-Mitgliedsstaats richtet sich grundsätzlich nach der Hauptniederlassung des Unternehmens. Hiervon gibt es einige Ausnahmen, die insbesondere die Anbieter von sehr großen Online-Plattformen oder sehr großen Online-Suchmaschinen betreffen. Diese werden bei der Erfüllung ihrer Verpflichtungen aus dem DSA teils ausschließlich, teils ergänzend von der EU-Kommission überwacht, die in den letzten Monaten bereits eine Vielzahl von Untersuchungen eingeleitet hat. Für Unternehmen ohne Niederlassung in der EU ist der Mitgliedsstaat, in welchem deren gesetzlicher Vertreter niedergelassen oder ansässig ist, zuständig. Haben diese keinen gesetzlichen Vertreter benannt, so können alle Mitgliedsstaaten die Einhaltung des DSA durch das betroffene Unternehmen überwachen und durchsetzen.

In Deutschland sind gleich mehrere Bundesbehörden mit der Überwachung und Durchsetzung des DSA beauftragt worden.

Die generelle Überwachung übernimmt dabei die Bundesnetzagentur für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen (Bundesnetzagentur). Als Koordinierungsstelle für digitale Dienste hat sie pünktlich zum Inkrafttreten des DDG ein Nutzer- und Beschwerdeportal für Verstöße ins Leben gerufen.

Für Online-Plattformen stellt die Bundeszentrale für Kinder- und Jugendmedienschutz (BzKJ) die Umsetzung struktureller Vorsorgemaßnahmen zum Online-Schutz Minderjähriger sicher. Darüber hinaus trägt sie dafür Sorge, dass allgemeine Geschäftsbedingungen bei Online-Diensten, die häufig von Minderjährigen genutzt werden, in einer altersgerechten, verständlichen Art und Weise bereitgestellt werden. Zu diesem Zweck hat die BzKJ die "Stelle zur Durchsetzung von Kinderrechten in digitalen Diensten" (KidD) ins Leben gerufen, die bereits die Arbeit aufgenommen hat.

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit ist für die Überwachung der Werbung auf Online-Plattformen zuständig. Der DSA sieht neben dem Verbot, Minderjährigen auf der Grundlage von Profiling Werbung zu zeigen, auch ein generelles Verbot, Werbung auf der Grundlage von Profiling unter Verwendung der besonderen Kategorien von personenbezogenen Daten (Art. 9 Abs. 1 DSGVO) zu betreiben, vor.

Meldungen des Verdachts auf Straftaten auf Hosting-Diensten nimmt das Bundeskriminalamt als Zentralstelle entgegen. Diese Informationen werden von dort an die zuständigen Strafverfolgungsbehörden weitergeleitet.

Befugnisse:

Zur Durchsetzung des DSA dürfen die oben genannten Behörden Ermittlungen führen und Beweise erheben, soweit dies erforderlich ist. Dies umfasst die Vernehmung von Zeugen und Sachverständigen, ggf. sogar unter Beeidung. Anbieter von Ermittlungsdiensten sind verpflichtet, auf Anfrage Auskunft zu erteilen und Unterlagen bereitzustellen. Sie müssen das Betreten der Geschäftsräume während der üblichen Geschäftszeiten dulden. Beweismittel können beschlagnahmt werden. Darüber hinaus sind die zuständigen Behörden zur Information der Öffentlichkeit befugt. Dies gilt sowohl für abgeschlossene Verfahren und getroffene Bußgeldentscheidungen, wie auch für Einzelheiten zum konkreten Verstoß und laufende Verfahren. Zur Durchsetzung kann die zuständige Behörde empfindliche Zwangsgelder von bis zu 5% des durchschnittlichen weltweiten Tagesumsatzes oder der durchschnittlich weltweiten Tageseinnahmen festsetzen.

Praxishinweis:

Diese Befugnisse bestehen nur im Rahmen des geltenden Rechts. Befragten stehen ggf. Zeugnisverweigerungsrechte zu, etwa wenn sie sich durch die Beantwortung selbst der Gefahr strafgerichtlicher Verfolgung oder eines Ordnungswidrigkeitenverfahrens aussetzen würden. Durchsuchungen bedürfen einer Anordnung des zuständigen Gerichts und sind unter Umständen anfechtbar. Der Beschlagnahme kann widersprochen und eine gerichtliche Entscheidung hierüber herbeigeführt werden.

Bußgelder:

Für sehr große Online-Plattformen und sehr große Online-Suchmaschinen enthält der DSA selbst Regelungen, die die Verhängung von Geldbußen durch die Europäische Kommission betreffen.

Für die nationalen Behörden müssen die Mitgliedsstaaten ihrerseits Regelungen zur Sanktionierung erlassen. Diese sollen, wie im DSA auch, Bußgelder in Höhe von bis zu 6% des weltweiten Jahresumsatzes des Anbieters betragen.

In Deutschland sind dies nunmehr Folgende: Gesamte Tabelle einsehen.

Praxishinweis:

Einige Verstöße, wie z.B. die Veröffentlichung von Kontaktstellen, können von Mitbewerbern, Verbraucherverbänden und Behörden ohne größeren Aufwand festgestellt werden. Es kann nur empfohlen werden, diese Pflichten kurzfristig umzusetzen, um sich nicht zum leichten Ziel für Abmahnungen, Rechtsstreitigkeiten oder Bußgeldverfahren zu machen. Die Klagebefugnis von Verbraucherverbänden bei DSGVO-Verstößen wurde erst vor wenigen Tagen durch den EuGH bestätigt. Auch der DSA sieht vor, dass betroffene Nutzer Organisationen ohne Gewinnerzielungsabsicht mit der Wahrnehmung ihrer Rechte aus dem DSA beauftragen können. Ein Gleichlauf mit den Regelungen der DSGVO liegt nahe.

Fazit:

Der Digital Services Act nimmt in Deutschland mehr und mehr an Fahrt auf. Die Behörden sind durch die nationalen Umsetzungsgesetze, allen voran dem DDG mit umfangreichen Befugnissen ausgestattet worden, um die Umsetzung des DSA zu überwachen und durchzusetzen. Trotz des weitreichenden Anwendungsbereichs der Verordnung, haben viele Anbieter von Online-Diensten, allen voran kleinere und mittelständische Unternehmen, die Vorgaben noch nicht auf dem Schirm oder nicht hinreichend umgesetzt. Die Einhaltung des DSA sollte schließlich bei allen M&A-Transaktionen von Unternehmen mit Tätigkeitsfeld im Anwendungsbereich der Verordnung bedacht werden.

Daniel Trunk

Wer die Spiele Deutschland gegen Dänemark und Deutschland gegen Spanien verfolgt hat, hat nicht nur Visualisierungen von Abseitssituationen erlebt, sondern auch gelernt: so ein Fußball hat heutzutage mehr Intus als heiße Luft, nämlich einen Sensor. Dieser misst in hoher Frequenz die exakte Position des Balls und kann so auch erkennen, wann der Ball berührt wird – wichtig für die Frage, ob der Ball die Hand eines Spielers berührt hat oder in welchem Moment er die Fußspitze berührt hat, was für die Beurteilung von Abseitssituationen wichtig sein kann. Informationen also, die den Videoschiedsrichtern zur Verfügung gestellt werden.

Damit wird es sich bei dem Ball um ein so genanntes vernetztes Produkt im Sinne des EU-Datengesetzes (auch bekannt als Data Act) handeln, die zugehörige Software könnte ein verbundener Dienst sein. Wenn der Data Act im September 2025 in Kraft tritt, wird sich auch für unseren Ball einiges ändern.

Vernetzte Produkte und damit verbundene Dienste müssen dann nämlich ermöglichen, dass die von ihnen erhobenen Daten für den Nutzer in einem gängigen und maschinenlesbaren Format zugänglich sind – nach Möglichkeit direkt. Soweit kein solcher Direktzugriff möglich, müssen dem Nutzer die Daten auf Anfrage übermittelt werden.

Kann also künftig jeder Kicker als "Nutzer" des Fußballs ein Kabel in das Leder stecken, um die Daten zu extrahieren? Eher nicht: „Nutzer“ wird im Data Act definiert als eine natürliche oder juristische Person, die ein vernetztes Produkt besitzt oder der vertraglich zeitweilige Rechte für die Nutzung des vernetzten Produkts übertragen wurden. Ob ein kurzzeitiger Ballbesitz hierfür ausreicht, ist sehr fraglich – Nutzer dürfte aber die UEFA sein (oder bei Weltmeisterschaften die FIFA).

In dem Verhältnis zwischen der UEFA und adidas als Hersteller des offiziellen Balls "FUSSBALLLIEBE" wird wohl ohnehin vertraglich geregelt sein, dass die Daten an die UEFA gehen. Spätestens bei der nächsten EM oder WM ist dann aber von Gesetzes wegen definiert, dass adidas im Grundsatz wirklich alle Daten herausgeben muss, die der Ball – wie auch immer er dann heißen wird – erhebt. Die – in anderen Bereichen nicht ganz einfache – Frage der Rechte der Spieler dürfte hier kaum eine Rolle spielen, allenfalls könnte adidas einen (sehr begrenzten) Schutz für Geschäftsgeheimnisse in Anspruch nehmen.

Spätesten dann, wenn UEFA oder FIFA Schiri Taylor durch eine automatisierte Entscheidungsfindung ersetzen wollte, käme aber das Datenschutzrecht ins Spiel: dieses schränkt die automatisierte Entscheidungsfindung im Einzelfall stark ein.

Was der Data Act für andere Unternehmern bedeutet, lesen Sie in unseren weiteren Blogbeiträgen:
Das EU-Datengesetz (Data Act): Relevanz für Unternehmen – Internet der Dinge und darüber hinaus | Advant Beiten (advant-beiten.com)
Cloud-, SaaS- und Edge-Geschäftsmodelle unter Feuer | Advant Beiten (advant-beiten.com)

Dr. Andreas Lober

Die auf regenerative Medizin spezialisierte TETEC AG war über die in Tuttlingen ansässige Chirurgie-Sparte Aesculap in den internationalen Medizintechnologiekonzern B. Braun eingebunden. Künftig wird sich Aesculap strategisch noch stärker auf innovative Medizintechnologie rund um die chirurgischen Prozesse im OP ausrichten, wodurch das Geschäftsfeld der regenerativen Medizin nicht länger ins Portfolio des Medizintechnologiekonzerns passt.

B. Braun hat in den USA bereits seit über zehn Jahren mit Octane Medical zusammengearbeitet. Mit Abschluss der Transaktion hat der kanadische Spezialist für regenerative Medizin TETEC komplett übernommen, inklusive der rund 160 hochspezialisierten Mitarbeitenden am Standort Reutlingen.

Octane ist eine globale Unternehmensgruppe mit Hauptsitz in Ontario, Kanada, und Niederlassungen in den USA und Europa und ist auf innovative Prozesse, Biomaterialien und Bioreaktoren für die regenerative Medizin spezialisiert. Zur Gruppe gehören die Octane Clinical Systems, Octane Orthobiologics, Octane Exo, Octane Biotech und Octane Biotherapeutics (BioTx).

B. Braun ist eines der weltweit führenden Unternehmen der Medizintechnologie. Mit über 60.000 Mitarbeitenden ist B. Braun ein verlässlicher Partner, der intelligente Lösungen entwickelt und wegweisende Standards setzt, um den Fortschritt im Gesundheitswesen zu beschleunigen.

Berater Aesculap AG:
ADVANT Beiten: Dr. Sebastian Weller (Federführung), Nico Frielinghaus, Dr. Winfried Richardt, Markus Schönherr, Sarah Heinrichs, Simon Litterst (alle Corporate/M&A), Christian Schenk, Markus Linnartz (beide Steuern), Thomas Herten (Real Estate), Christian Döpke (Datenschutzrecht, alle Düsseldorf), Dr. Erik Schmid (Arbeitsrecht), Christoph Heinrich (Kartellrecht, beide München), Rainer Süßmann (Bank- und Finanzrecht, Frankfurt), Dr. Christian von Wistinghausen, Lelu Li (beide Außenwirtschaftsrecht, Berlin).

Berater Octane Medical:
Osborne Clarke

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Sebastian Weller
Rechtsanwalt
ADVANT Beiten
+49 (211) 51 89 89 - 134
sebastian.weller@advant-beiten.com

Die besten Juristinnen und Juristen für Deutschland sind im neuen Ranking des US-Fachverlags Best Lawyers in Zusammenarbeit mit dem „Handelsblatt“ veröffentlicht worden. Die Ergebnisse für „The Best Laywers in Germany (2025 Edition)“ beruhen traditionell auf Empfehlungen von Wettbewerbern und untermauern damit die hohe Reputation der gelisteten Experten. Basis der Recherche ist stets eine umfassende Peer-to-Peer-Umfrage. Ausschließlich Anwältinnen und Anwälte werden nach der Reputation ihrer Wettbewerber befragt.

Die Befragten sollen für den hypothetischen Fall, selbst ein Mandat - aus Zeitgründen oder wegen einer Interessenkollision - nicht übernehmen zu können, Empfehlungen für Kollegen außerhalb der eigenen Kanzlei aussprechen. Die Best Lawyers Aufstellung ist somit eine umfassende Übersicht der angesehensten Juristen, die die Auszeichnung aufgrund ihres besonderen Renommees im Markt erhalten.

Von ADVANT Beiten werden 76 Juristinnen und Juristen in mindestens einem Rechtsgebiet empfohlen, dabei sind alle sechs deutschen Standorte der Kanzlei vertreten.

Oliver Korte (Hamburg) erhält den „Lawyer of the Year Award 2025“ für das beste Feedback auf dem Fachgebiet Trade Law für den deutschen Markt. Jedes Jahr wird lediglich ein Anwalt/eine Anwältin als "Lawyer of the Year" pro Rechtsgebiet und Region ausgezeichnet.

Alexander Braun, Christian Burmeister, Moritz Jenne, Tassilo Klesen, Markus Schönherr und Max Stanko sind als „Ones to watch“ gelistet, eine Auszeichnung herausragender juristischer Talente für bestimmte Rechtsgebiete.

Die vollständige Liste aller von ADVANT Beiten empfohlenen Anwältinnen und Anwälte können Sie hier einsehen.

Neben den viel beachteten Pflichten, insbesondere zur Einrichtung von Meldekanälen, finden sich im neuen Hinweisgeberschutzgesetz (HinSchG) vor allem Rechte für die hinweisgebenden Personen (sog. Whistleblower). Sie haben nämlich nunmehr das ausdrückliche Recht, gewisse Rechtsverstöße zu melden. Dabei sollen sie sich zunächst an die internen Meldestellen halten (§ 7 Abs. 1 HinSchG), können sich aber auch direkt an externe Meldestellen wenden, die bei bestimmten Behörden eingerichtet wurden. Gemeldet werden dürfen insbesondere Verstöße, die straf- oder bußgeldbewehrt sind, wobei die bußgeldbewehrten Verstöße wiederum dahingehend eingeschränkt werden, dass nur solche betroffen sind, die dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dienen. Hinzu kommt ein langer Katalog an Verstößen gegen allerlei Spezialgesetze, die in § 2 HinSchG aufgeführt sind.

Dieses Recht, entsprechende Verstöße zu melden, wird unter anderem durch § 39 HinSchG abgesichert. Die Norm regelt: „Vereinbarungen, die die nach diesem Gesetz bestehenden Rechte hinweisgebender Personen oder sonst nach diesem Gesetz geschützter Personen einschränken, sind unwirksam.“

Vereinbarungen, die geeignet sind, das Melden von Verstößen zu verbieten, sind typischerweise Geheimhaltungs- oder Verschwiegenheitsvereinbarungen, auch als Non-Disclosure-Agreements (NDA) bekannt. Sie werden häufig in Arbeitsverträgen, tariflichen oder auch betrieblichen Vereinbarungen zu finden sein. Sie sind aber auch oft in Verträgen mit anderen Unternehmen oder Personen enthalten, die nicht im Arbeitsverhältnis mit demjenigen stehen, dem die Verschwiegenheit zugutekommen soll. Das HinSchG schützt aber nicht nur die Beschäftigten eines Unternehmens, sondern auch diejenigen Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangen können (vgl. § 1 Abs. 1 HinSchG). Der Schutzbereich ist also sehr weit gefasst, so dass zunächst alle Geheimhaltungs- und Verschwiegenheitsvereinbarungen betroffen sein dürften.

Derartige Vereinbarungen gebieten typischerweise, während oder im Vorfeld eines Vertragsverhältnisses erlangte Informationen nur für die vorgesehenen Zwecke zu verwenden, oder untersagen es generell, diese Informationen mit Dritten zu teilen. Es kommt dabei natürlich auf die genaue Gestaltung der Vereinbarung an. Wenn diese etwa Meldungen an interne Stellen nach ihrer Formulierung zulässt, ist das Recht der internen Meldung eines Verstoßes nicht betroffen; externe Meldungen dürften aber jedenfalls betroffen sein. Die allgemeine Beschränkung der Weitergabe von Informationen, also auch intern, beschneidet daher zwangsläufig das Recht aus dem HinSchG, während des Vertragsverhältnisses wahrgenommene Verstöße zu melden. Wenn eine solche Vereinbarung nämlich pauschal verbietet, sich gegenüber anderen über interne Sachverhalte zu äußern, so bleibt von dem Recht, Hinweise über Rechtsverstöße zu geben, nichts mehr übrig.

Zwar stellt § 6 Abs. 2 HinSchG klar, dass Informationen, die einer vertraglichen Verschwiegenheitspflicht unterliegen, unter den Voraussetzungen des HinSchG trotzdem an die zuständige Stelle weitergegeben oder offengelegt werden dürfen. Darüber hinaus kann aber § 39 HinSchG auch die ganze Vertraulichkeitsvereinbarung beseitigen.

Vertraulichkeitsvereinbarungen, welche die Rechte aus dem neuen HinSchG nämlich nicht berücksichtigen, sind gemäß § 39 HinSchG unwirksam und damit nichtig (§ 134 BGB). Dabei wird in den meisten Fällen auch kein Raum für Umdeutungen oder erweiterte Vertragsauslegungen bleiben, um einen Restgehalt der Vereinbarung zu retten. Denn Vertraulichkeitsvereinbarungen sind regelmäßig für eine Vielzahl von Verträgen vorformuliert (§ 305 Abs. 1 BGB). Daher unterliegen sie der AGB-Kontrolle, womit eine geltungserhaltende Reduktion der Vertraulichkeitsvereinbarungen ausscheidet (§ 306 Abs. 2 BGB). Sie können also nicht einfach mit der Maßgabe weiterbestehen, dass der zur Verschwiegenheit Verpflichtete alles, was nach dem HinSchG erlaubt ist, weitersagen darf, über alles andere aber Stillschweigen bewahren muss. Es besteht vielmehr aufgrund des neuen HinSchG das Risiko, dass Vertraulichkeitsvereinbarungen, die den Schutz der hinweisgebenden Person nicht berücksichtigen, insgesamt nichtig sind. Dies hat wiederum zur Folge, dass derjenige, der im Rahmen einer solchen Vereinbarung versprochen hat, Verschwiegenheit zu bewahren, an diese nicht mehr gebunden ist und theoretisch Informationen frei preisgeben kann, sofern dies nicht von anderen Normen (etwa § 4 Geschäftsgeheimnisgesetz oder § 201 StGB) untersagt ist.

Auswirkungen auf bereits vor Inkrafttreten des neuen Gesetzes abgeschlossene Verträge scheinen nicht gegeben zu sein. Da eine Rückwirkung im Gesetz nicht ausdrücklich angeordnet ist, kann schon aus verfassungsrechtlichen Gründen nicht davon ausgegangen werden, dass eine Rückwirkung auf ältere Verträge durch den Gesetzgeber gewollt ist, womit diese nicht betroffen sein dürften. Für zukünftige Vertraulichkeitsvereinbarungen, bzw. Templates oder Muster, auf denen diese basieren, sollte jedoch geprüft werden, ob sie die Rechte aus dem HinSchG ausreichend berücksichtigen, d.h. die Anforderungen des § 6 HinSchG widerspiegeln. Wir gehen derzeit davon aus, dass diese durch geringfügige Anpassungen der Drohkulisse des § 39 HinSchG und der damit einhergehenden Unwirksamkeit der gesamten Vertraulichkeitsvereinbarung entkommen können.

Fabian Eckstein

Unbestreitbar müssen Hersteller von KI-Systemen die Regelungen des AI Acts befolgen und beobachten die europäische Regulierung daher sicherlich mit großer Aufmerksamkeit. Allerdings sei selbiges auch Unternehmen, die KI "nur" im Einsatz haben, geraten. Nachfolgend haben wir die zehn praxisrelevanten Fragen zusammengestellt, die sich Unternehmen stellen sollten, die KI im Einsatz haben bzw. zum Einsatz bringen möchten.

1.Welche Unternehmen müssen die Regelungen des AI Act beachten?

Der Großteil der Regelungen des AI Acts befasst sich mit den verbotenen sowie mit Hochrisiko-KI-Systemen und den hieraus resultierenden Verpflichtungen für Anbieter, daneben auch für Einführer und Händler entsprechender KI-Systeme. Dies bedeutet allerdings nicht, dass man sich als Nutzer eines KI-Systems nunmehr im Sessel zurücklehnen könnte. Im Gegenteil: auch Nutzer (im AI Act als "Betreiber" bezeichnet) von KI-Systemen werden vom AI Act erfasst und müssen umfangreiche Verpflichtungen erfüllen.

Es unterfallen nicht nur Unternehmen mit Sitz in der EU dem AI Act, vielmehr werden auch außerhalb der EU ansässige Anbieter und Nutzer erfasst, sofern der von den KI-Systemen erzeugte Output in der EU Verwendung findet;

2. Ausgenommene Anwendungsbereiche

Zunächst nimmt der AI Act den Einsatz von KI durch natürliche Personen für rein persönliche, nicht berufliche Zwecke vom Anwendungsbereich aus. Ebenfalls vom Anwendungsbereich ausgenommen sind KI-Systeme, die ausschließlich im Bereich der wissenschaftlichen Forschung und Entwicklung entwickelt und eingesetzt werden.

Bedeutung erlangen könnte zukünftig die Regelung, dass der AI Act nicht für bestimmte KI mit freien und quelloffenen Lizenzen (Open Source) gilt. Eine weitere bedeutende Ausnahme sieht der AI Act für den Einsatz von KI-Systemen im Bereich des Militärs, der Verteidigung und der nationalen Sicherheit vor. Darüber hinaus haben die Mitgliedstaaten in bestimmten Bereichen die Möglichkeit, weitere Ausnahmen zu regeln. So können sie beispielsweise im Rahmen der Verwendung von KI-Systemen durch Arbeitgeber weitere Rechts- und Verwaltungsvorschriften zum weitergehenden Schutz von Arbeitnehmern vorsehen.

3. Verbotene KI-Systeme

KI-Systeme, von denen ein inakzeptables Risiko ausgeht, werden gemäß Art. 5 AI Act gänzlich untersagt. Dazu gehören KI-Systeme der nachfolgenden acht Bereiche:

• Techniken unterschwelliger Beeinflussung außerhalb des menschlichen Bewusstseins, um das Verhalten einer Person erheblich zu beeinflussen bzw. ihr Schaden zuzufügen
• das gezielte Ausnutzen des Schutzbedürfnisses bestimmter Personengruppen aufgrund ihres Alters oder einer Behinderung
• Social Scoring
• Verwendung sogenannter Profiling-Systeme, mit denen das Risiko natürlicher Personen, eine Straftat zu begehen, bewertet oder vorhergesagt werden kann
• Ungezielte Erfassung (Scraping) von Gesichtsbildern aus dem Internet oder aus Video-überwachungsanlagen zur Erstellung von Gesichtserkennungsdatenbanken
• Einsatz von Emotionserkennungssystemen am Arbeitsplatz und in Bildungseinrichtungen
• Die Verwendung von Systemen zur biometrischen Kategorisierung
• Die Verwendung biometrischer Echtzeit-Fernidentifizierungssysteme im öffentlich zugänglichen Räumen zu Strafverfolgungszwecken (wobei diese in enge Grenzen für zulässig erklärt wird)

4. Welche Systeme sind Hochrisiko-KI-Systeme?

Kernstück des AI Acts sind die Regelungen zu den sogenannten Hochrisiko-KI-Systemen. Grundsätzlich gelten KI-Systeme dann als Hochrisiko-KI-Systeme, wenn von ihnen erhebliche Gefahren für die Grundrechte ausgehen.

Ein Hochrisiko-KI-System liegt vor, wenn ein KI-System als Sicherheitsbauteil für ein Produkt verwendet wird, das unter die in Anhang I aufgelisteten Harmonisierungsrechtsvorschriften der EU fällt oder selbst ein solches Produkt ist. Dazu zählen beispielsweise Maschinen, Spielzeug und Medizinprodukte.

Als Hochrisiko-KI-System wird ferner ein KI-System klassifiziert, welches in einen der folgenden Bereiche des Anhang III fällt:

• Biometrische Fernidentfizierungssysteme sowie KI-Systeme zur biometrischen Kategorisierung sowie zur Emotionserkennung
• Kritische Infrastruktur: Erfasst sind KI-Systeme, die bestimmungsgemäß als Sicherheitsbauteile in der Verwaltung und dem Betrieb kritischer digitaler Infrastruktur, dem Straßenverkehr oder der Wasser-, Gas-, Wärme- und Stromversorgung verwendet werden.
• Allgemeine und berufliche Bildung: Erfasst sind KI-Systeme, wenn diese für Entscheidungen über den Zugang natürlicher Personen zu Einrichtungen der allgemeinen oder beruflichen Bildung verwendet werden.
• Beschäftigung, Personalmanagement und Zugang zur Selbständigkeit: Erfasst sind KI-Systeme, die für die Analyse und Filterung sowie der Bewertung von Bewerber eingesetzt werden.
• Bestimmte grundlegende private und öffentliche Dienste und Leistungen: Hierunter fallen etwa KI-Systeme, die zur Prüfung der Kreditwürdigkeit und Bonität natürlicher Personen verwendet werden.
• Strafverfolgung
• Migration, Asyl und Grenzkontrolle
• Rechtspflege und demokratische Prozesse

Allerdings sieht der AI Act eine wichtige Ausnahme vor: KI-Systeme aus den zuvor genannten Kategorien des Annex III können unter bestimmten Voraussetzungen von der Klassifizierung als Hochrisiko-KI-System ausgenommen werden. Voraussetzung ist, dass kein erhebliches Risiko einer Schädigung der Gesundheit, Sicherheit oder Grundrechte von natürlichen Personen vorliegt. Beispielhaft genannt seien hier solche KI-Systeme, die dazu dienen, eine vom Menschen zuvor durchgeführte Tätigkeit zu verbessern. Gleiches gilt, wenn das KI-System lediglich dazu bestimmt ist, eine eng begrenzte verfahrenstechnische Aufgabe zu erfüllen. Die Beurteilung, ob eine solche Ausnahme vorliegt, ist im Rahmen einer Risikoevaluierung vom Unternehmen selbst vorzunehmen und entsprechend zu dokumentieren.

5. Welche Regelungen gelten für Betreiber von Hochrisiko-KI-Systemen?

Unternehmen, die als Betreiber Hochrisiko-KI-Systeme einsetzen, müssen einen umfassenden Pflichtenkatalog erfüllen. Hierzu gehören beispielsweise die folgenden:

• Sie treffen geeignete technische und organisatorische Maßnahmen, um sicherzustellen, dass das Hochrisiko-KI-Systeme in Übereinstimmung mit den Gebrauchsanweisungen verwendet werden.
• Sie übertragen natürlichen Personen die menschliche Aufsicht.
• Sie stellen sicher, dass Eingabedaten im Hinblick auf den Zweck des KI-Systems relevant und ausreichend repräsentativ sind.
• Sie überwachen den Betrieb der Hochrisiko-KI-Systems anhand der Gebrauchsanweisung und informieren gegebenenfalls die Anbieter bzw. bei schwerwiegenden Vorfällen auch den Einführer, Händler und die entsprechenden Behörden.
• Sie bewahren automatisch erzeugte Protokolle mindestens sechs Monate auf.
• Sofern sie gleichzeitig Arbeitgeber sind, informieren sie die betroffenen Arbeitnehmer und die Arbeitnehmervertreter über den Einsatz eines Hochrisiko-KI-Systems am Arbeitsplatz.
• Sie unterliegen einer Verpflichtung zur Zusammenarbeit mit den Behörden.

Die ursprünglich für alle Betreiber geforderte Grundrechte-Folgenabschätzung für Hochrisiko-KI-Systeme ist im aktuellen Verordnungstext nur noch für staatliche Einrichtungen sowie für private Unternehmen, die staatliche Aufgaben wahrnehmen, vorgesehen, ferner für solche Hochrisiko-KI-Systeme, in denen öffentliche Dienstleistungserbringungen, Kreditwürdigkeitsprüfungen oder risikobasierte Preisgestaltungen von Lebens- und Krankenversicherungen betroffen sind.

Betreiber können unter bestimmten Voraussetzungen auch selbst zum Anbieter eines Hochrisiko-KI-Systems werden und dann den strengeren Anbieterpflichten - beispielsweise die Einrichtung eines Risikomanagementsystems, die Durchführung eines Konformitätsbe-wertungsverfahrens sowie die Eintragung in eine EU-Datenbank - unterliegen. Ein solcher Wechsel der Verantwortlichkeit kommt dann zum Tragen, wenn ein Hochrisiko-KI-System unter eigenem Namen oder eigener Marke in den Verkehr gebracht oder in Betrieb genommen oder aber eine wesentliche Änderung an einem Hockrisiko-KI-System vorgenommen wird.

6. Welche Pflichten treffen Betreiber von KI-Systemen, die keine Hochrisiko-KI-Systeme darstellen?

Während für Betreiber von Hockrisiko-KI-Systemen der zuvor skizierte umfassende Pflichtenkatalog gilt, sind Betreiber von KI-Systemen, von denen nur ein geringes Risiko ausgeht, grundsätzlich nur gewissen Transparenzpflichten ausgesetzt. So muss offengelegt werden, wenn Inhalte wie Bilder, Videos oder Audioinhalte von einer KI erstellt oder verändert werden. Dieselbe Pflicht greift, wenn eine KI einen Text erstellt oder verändert, der zum Zweck der öffentlichen Information verbreitet wird.

7. Was gilt für KMU?

Erklärtes Ziel des AI Acts ist es, einen innovationsfreundlichen Rechtsrahmen zu schaffen. Dementsprechend hat der Gesetzgeber regulatorische Erleichterungen für Kleinst-, kleine und mittlere Unternehmen (KMU) – einschließlich Start-Ups - mit Sitz in der EU festgeschrieben. So können KMU beispielsweise in den Genuss ideeller und finanzieller Unterstützung kommen. Schließlich sollen KMU unter bestimmten Bedingungen einen priorisierten und kostenlosen Zugang zu sogenannten regulatorischen Sandboxes erhalten. Schließlich können die Geldbußen gedeckelt werden.

8. Ab wann gilt der AI Act?

Genaue Daten können aktuell noch nicht genannt werden, da für das Inkrafttreten des AI Acts noch die Veröffentlichung des finalen Gesetzestextes im Amtsblatt der EU erforderlich ist. Das Verbot von KI-Systemen greift bereits sechs Monate nach Inkrafttreten der Verordnung. Der Großteil der Vorschriften des AI Acts gilt 24 Monate nach Inkrafttreten. Demgegenüber gelten die für Hochrisiko-KI-Systeme festgeschriebenen Pflichten erst nach 36 Monaten.

9. Wie sind Verstöße gegen den AI Act sanktioniert?

Die Nichteinhaltung der Vorgaben des AI Acts kann zu exorbitant hohen Geldstrafen führen. Diese variieren je nach Verstoß und Unternehmensgröße. Während bei Verstößen gegen verbotene KI-Systeme bis zu EUR 35 Millionen oder 7 % des weltweiten Jahresumsatzes drohen, können sonstige Verstöße gegen Verpflichtungen des AI Acts mit bis zu EUR 15 Millionen bzw. 3% des weltweiten Umsatzes sanktioniert werden. Für die Erteilung falscher Informationen kommen Bußgelder in Höhe von EUR 7,5 Millionen oder 1 % des Umsatzes in Betracht.

Mit der Durchsetzung werden diverse nationale und EU-weite Behörden beschäftigt, so dass ein komplexes Gefüge aus Zuständigkeiten und Abstimmungsverfahren entsteht. Welche Behörde in Deutschland für die Einhaltung der Vorgaben des AI Acts Sorge tragen wird, steht aktuell noch nicht fest. Im Gespräch sind die Bundesnetzagentur und das Bundesamt für Sicherheit in der Informationstechnologie.

10. ToDos für Unternehmen

Zunächst sollte im Unternehmen eine Ermittlung und Einordnung erfolgen, in welche Risikoklasse die verwendeten KI-Systeme einzuordnen sind. Aus dieser Kategorisierung leiten sich dann die Erfordernisse für deren ordnungsgemäße Nutzung ab. Insbesondere für zukünftige Projekte gilt es, die entsprechend mit KI im Unternehmen betrauten Abteilungen frühzeitig einzubinden, so dass eine hinreichende Prüfung und Compliance mit den Vorschriften sichergestellt werden kann. Dies ist insbesondere mit Blick auf die hohen Bußgelder dringend zu empfehlen.

Dr. Peggy Müller

Einen weiteren Blogbeitrag zum Thema finden Sie unter diesem Link.

Die weltweit agierende Knill Gruppe baut damit ihre Präsenz im Bereich Schranksysteme für die Energiewirtschaft im deutschen Markt weiter aus. Für ADVANT Beiten war dies unter der Federführung von Dr. Jack Schiffer die dritte Transaktion für die Knill Gruppe.

Die Knill Gruppe ist ein privat geführtes, global tätiges Familienunternehmen, das Produkte und Lösungen für die Energie-, Kommunikations- und Mobilitätsinfrastruktur anbietet. Zur Unternehmensgruppe gehören 29 Gesellschaften in 17 Ländern. Das Unternehmen ist in der 12. Generation im Familienbesitz, hat über 2300 Mitarbeitende und einen Gruppenumsatz in Höhe von rund EUR 450 Mio.

ELSTA-Mosdorfer ist mit mehr als 40 Jahren Erfahrung führender internationaler Anbieter von Kunststoff-Schranksystemen für Energie-, Telekommunikations-, Verkehrs- und Kontrollsysteme.

Die EBG group, eine mittelständische, familiengeführte Unternehmensgruppe, hat ihre Tätigkeitsschwerpunkte in der Elektro- und Kunststofftechnik. EBG electro ist Experte für die Stromverteilung im Außenbereich; EBG innolab, deren Kompetenz im Bereich der Elektrotechnik und Kunststoffverarbeitung liegt, ist das Innovationslabor der Unternehmensgruppe.

Berater Knill Gruppe/ELSTA-Mosdorfer GmbH:
 

ADVANT Beiten: Dr. Jack Schiffer (Federführung, Corporate/M&;A), Dr. André Depping, Dr. Daniel Walden (beide Konfliktlösung & Prozessführung), Christoph Heinrich (Kartellrecht & Beihilfenrecht), Christian Hess, Katharina Mayerbacher, Dr. David Moll (alle IP/IT/Medien), Simone Schmatz (Corporate/M&A), Insa Cornelia Müller-Trucksaess (Corporate/M&A, China Desk), Dr. Dirk Tuttlies, Petra Fendt, Peter Wimber (alle Banking, Finance & Restructuring), Dr. Mark Zimmer (Arbeitsrecht, alle München), Sascha Nowottny (Corporate/M&;A), Christian Schenk (Steuern, beide Düsseldorf), Frank Primozic (Banking, Finance & Restructuring, Frankfurt).

Pressekontakt
 

Frauke Reuther
 

Manager Kommunikation
 

ADVANT Beiten
 

+49 (69) 75 60 95 - 570
 

frauke.reuther@advant-beiten.com

Dr. Jack Schiffer
 

Rechtsanwalt
 

ADVANT Beiten
 

+49 (89) 35065 - 1310
 

jack.schiffer@advant-beiten.com

Kürzlich hat die EU unter mächtigem Getöse das EU-Gesetz über Künstliche Intelligenz (AI Act) verabschiedet.

Das Gesetz mag ein Meilenstein sein (näheres hierzu in unserem Blogbeitrag). Wirklich relevant ist er für Anbieter und Betreiber von KI-Systemen, insbesondere solche mit hohem Risiko. Ein Großteil der praktischen und rechtlichen Probleme beim Einsatz von KI wird in dem Gesetz jedoch nicht geregelt oder gar thematisiert. Diese müssen nach wie vor zwischen den Parteien ausgehandelt werden.

1. Intern: Klare Regelungen

Überall da, wo Mitarbeitenden ein Internet-Zugang zur Verfügung gestellt wird, wird dieser genutzt – auch, um mit KI wenigstens zu experimentieren, also insbesondere auszuprobieren, was ChatGPT, Copilot, Claude, Dall-E-, Midjourney u.a. leisten können. Ebenso hat sich inzwischen weitgehend herumgesprochen, dass mit der Nutzung Risiken für das Unternehmen verbunden sein können. Nicht wenige hat das bereits ihren Job gekostet. Umso erstaunlicher ist es, dass viele Unternehmen noch keine internen Vorgaben zum korrekten Einsatz von Künstlicher Intelligenz bei der Arbeit machen. Unbedingt geregelt gehört dabei der Umgang mit sensiblen Informationen und die Verwendung der Arbeitsergebnisse von KI, am besten aber auch Zuständigkeiten, Verantwortlichkeiten und Dokumentationserfordernisse. Denn eins ist sicher: Genutzt werden diese Systeme in jedem Fall. Ein Totalverbot ist nicht durchsetzbar und wäre auch produktivitätshemmend.

2. Mitbestimmung

Bei Betrieben, die der Mitbestimmung unterliegen, kann die Einführung von KI durchaus aufwändig sein. Denn: Muss der Betriebsrat zur Durchführung seiner Aufgaben die Einführung oder Anwendung von Künstlicher Intelligenz beurteilen, gilt insoweit die Hinzuziehung eines Sachverständigen als erforderlich (§ 80 Abs 3 S. 2 BetrVG).

3. Verlässliche Verträge

Viele Unternehmen kaufen KI-Lösungen von Dritten ein bzw. lizenzieren Software, in der KI enthalten ist. Dafür sollten Verträge verwendet werden, die den speziellen Themen beim Einsatz von KI Rechnung tragen - und nicht etwa nur veraltete Standard-Einkaufsbedingungen für IT, die zum Thema KI noch schweigen. Natürlich spricht nichts dagegen, etwaige veraltete Standard-Einkaufsbedingungen für IT gleich an die zahlreichen neuen praktischen und gesetzlichen Anforderungen anzupassen.

Einige wichtige Herausforderungen:

Bei Systemen generativer KI (die oben bereits genannten wurden, wie Chat GPT u.ä.) sollte sich kein Lizenznehmer oder Anwender darauf verlassen, dass diese rechtskonform sind. Insbesondere ist fraglich, ob die zum Training verwendeten Daten rechtmäßig beschafft und genutzt wurden, insbesondere in Bezug auf Datenschutz, Persönlichkeitsrechte und Urheberrechte Dritter. Das heißt nicht, dass ein Unternehmen grundsätzlich vom Einsatz Abstand nehmen muss. Aber die Risikoverteilung muss vernünftig geregelt werden.

Ebenso liefert Künstliche Intelligenz gelegentlich unerwünschte Resultate oder zeigt merkwürdiges Verhalten. Beispielsweise können Arbeitsergebnisse von KI regelmäßig Rechte Dritter verletzen. Ein Rechteclearing kann hier wesentlich schwieriger als bei von Menschen erzeugten Arbeitsergebnissen sein, weil die KI erst gar nicht offenlegt oder offenlegen kann, bei welchen Urhebern sie sich bedient hat (besonderes Problem: die korrekte Offenlegung der Nutzung von Open Source Code wird so nahezu unmöglich und die Nutzung damit unzulässig). Es sind auch Aussagen von auf Unternehmenswebsites eingesetzten Chatbots überliefert, die den Unternehmen buchstäblich auf die Füße gefallen sind – weil der Chatbot Kunden Rechte zugestanden hat, die die Kunden vertraglich an sich gar nicht gehabt hätten. Schließlich macht KI auch Fehler, was aber auch unerwartete Folgen haben kann: Bei manchen Systemen wird vor diesem Hintergrund regelmäßig eine gewisse Fehlertoleranz in Kauf genommen. Wenn allerdings ein KI-System, bspw. zur Betrugsprävention, so „scharf“ eingestellt wird, dass es Vorgänge nur dann freigibt, wenn ein Betrugsversuch zu 100% ausgeschlossen werden kann, wird es wahrscheinlich nie einen Vorgang freigeben. Zugleich bedeutet aber ein geringerer Wert eine bewusste Inkaufnahme von Fehlentscheidungen, was beispielsweise den ansonsten für Fehlentscheidungen bestehenden Versicherungsschutz aushebeln kann.

Ganz generell geht es darum, dass KI zwar effektiv ist, häufig aber intransparent arbeitet und früher oder später auch Fehler produzieren wird. Vertraglich muss also geregelt werden, wie mit der Intransparenz umzugehen ist bzw. wer das Risiko trägt, wenn nicht ermittelt werden kann, wo der Fehler lag – und auch, welcher Grad an Fehleranfälligkeit noch akzeptabel ist.

Die üblichen Maßstäbe von Vorsatz und grober Fahrlässigkeit, die sich in den meisten Standardverträgen finden, passen hier nicht: Beide Parteien wissen ja, dass es zu Fehler kommen kann. Geregelt werden muss also, welche Fehler welcher Vertragspartei zugerechnet werden. Das kann beispielsweise in Regelungen über Datenqualität, Servicelevels und Freistellungsklauseln erfolgen. Eine Standardlösung für jeglichen Einsatz von KI gibt es natürlich nicht. Wichtig ist aber, dass das Thema mitgedacht und angemessen geregelt wird.

Ebenfalls wichtig: Zu regeln, inwieweit die KI anhand der Daten des Lizenznehmers „trainiert“ werden und ob das so von der KI Gelernte dann auch anderen Kunden zugutekommen darf. Schlimmstenfalls könnten die zum Training eingesetzten Daten gegenüber anderen Kunden oder deren Endnutzern der KI offengelegt werden, was eine Verletzung von Persönlichkeitsrechten, Rechten des geistigen Eigentums oder Geschäftsgeheimnissen darstellen kann. Soweit der Datensatz des Lizenznehmers auch personenbezogene Daten umfasst, dürfen diese regelmäßig ohnehin nicht zum Training der KI für andere Kunden herangezogen werden.

In Zusammenhang mit dem AI Act hat die Europäische Kommission übrigens den Entwurf von Standardvertragsklauseln für die Beschaffung von KI-Systemen durch öffentliche Einrichtungen vorgelegt (KI-SCCs). Die darin festgelegten Anforderungen sollen die Konformität der Vertragsbedingungen mit den Anforderungen des AI Act gewährleisten, wobei für Hochrisiko-KI-Systeme und nicht-Hochrisiko-KI-Systeme je eine Version der KI-SCCs veröffentlicht wurde.

Die KI-SCCs können nicht als alleinige vertragliche Grundlage für den Einsatz von den KIs herangezogen werden, da viele vertragsrechtlich relevante Themen (z.B. Haftung, geistiges Eigentum) gar nicht oder nicht hinreichend behandelt werden. Dennoch können die KI-SCCs bei der Aushandlung von Vertragsbedingungen – auch zwischen privaten Unternehmen – nützliche Orientierungspunkte liefern.

4. HR-Software

Einleitend wurde bereits gesagt, dass das EU-Gesetz über Künstliche Intelligenz nicht flächendeckend relevant sein wird, sondern insbesondere Anbieter und Betreiber von KI-Systemen verpflichtet. Ein Einsatzbereich soll vorlegend aber besonders erwähnt werden: Software im HR-Bereich gilt häufig als Hochrisiko-System, insbesondere Recruiting Tools (für die Einstellung und Auswahl von Bewerbern bzw. die Schaltung gezielter Stellenanzeigen) und Personalmanagement-Tools. Hochrisiko-Systeme unterliegen besonders strengen Anforderungen.

Dr. Andreas Lober
 

Lennart Kriebel

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Was umfasst der Cyber Resilience Act?

Der Anwendungsbereich ist damit sehr weit gefasst und umfasst alle möglichen Arten von Hard- und Software mit niedrigem bis hohem Risikoprofil. Der CRA unterscheidet zunächst zwischen drei Produktkategorien:

• den „einfachen“ Produkten mit digitalen Elementen,
• den wichtigen Produkten mit digitalen Elementen der Klasse I und II und
• den kritischen Produkten mit digitalen Elementen.

Je nach Produktkategorie sind die Anforderungen an die Produkte unterschiedlich.

Wichtige Produkte der Klasse I umfassen

• Identitätsmanagementsysteme,
• eigenständige und eingebettete Browser,
• Passwort-Manager,
• Anti-Malware,
• Netzmanagementsysteme,
• Systeme für die Verwaltung von Sicherheitsinformationen und -ereignissen,
• Bootmanager,
• Public-Key-Infrastrukturen und Software für die Ausstellung digitaler Zertifikate,
• physische und virtuelle Netzschnittstellen,
• Betriebssysteme,
• Router, Modems und Switches,
• Mikroprozessoren,
• Mikrocontroller,
• Anwendungsspezifische integrierte Schaltungen und Field Programmable Gate Arrays,
• Produkte mit Sicherheitsfunktionen für die intelligente häusliche Umgebung,
• internetfähiges Spielzeug,
• Smart Home Assistenten,
• Wearables für die Gesundheitsüberwachung.

In die Klasse II fallen

• Hypervisoren,
• Container-Laufzeitsysteme,
• Firewalls,
• Angriffserkennungs- und/oder -präventionssysteme sowie
• Manipulationssichere Mikroprozessoren und Mikrocontroller.

Der Anhang mit den kritischen Produkten umfasst derzeit Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways in intelligenten Messsystemen sowie Smartcards oder ähnliche Geräte. Beide Listen sollen von der EU-Kommission künftig durch delegierte Rechtsakte erweitert und präzisiert werden.

Grundlegende Anforderungen an die Cybersicherheit

Um ein Produkt mit digitalen Elementen in Verkehr bringen zu können, muss es einige grundlegende Anforderungen erfüllen.

In einem ersten Schritt müssen die Hersteller eine Bewertung der Cybersicherheitsrisiken ihrer Produkte durchführen und dokumentieren, deren Ergebnisse sie von der Planung über die Herstellung bis hin zur erwarteten Produktlebensdauer berücksichtigen müssen.

Auf der Grundlage dieser Bewertung müssen die Produkte insbesondere

• frei von bekannten Sicherheitslücken sein,
• über sichere Standardeinstellungen verfügen und
• grundsätzlich kostenlose Sicherheitsupdates, auch automatisch, ermöglichen.

Sie müssen

• vor unberechtigtem Zugriff schützen,
• die Vertraulichkeit und Integrität der Daten wahren,
• die Datenverarbeitung minimieren und
• die Kernfunktionen auch nach Störfällen sicherstellen.

Das Produktdesign muss Angriffe minimieren, Auswirkungen begrenzen und transparente Sicherheitsinformationen bereitstellen.

Damit verbunden ist die Verpflichtung, Schwachstellen zu identifizieren und zu dokumentieren, die Produktsicherheit regelmäßig zu überprüfen und Vorsorgemaßnahmen zu treffen, einschließlich einer Strategie für die koordinierte Offenlegung von Schwachstellen.

Der Unterstützungszeitraum für Produkte mit digitalen Elementen, in dem auch Sicherheitsupdates bereitgestellt werden müssen und die technische Dokumentation zu erstellen ist, soll grundsätzlich mindestens fünf Jahre betragen. Das Ende des Unterstützungszeitraums soll beim Kauf klar und verständlich angegeben werden.

Gleichzeitig werden Importeure und Händler von Produkten in die Pflicht genommen, sicherzustellen, dass die Produkte den Anforderungen der Verordnung entsprechen.

Konformitätsverfahren und Kennzeichnung (CE-Kennzeichnung)

Für Produkte mit digitalen Komponenten muss eine EU-Konformitätserklärung des Herstellers vorliegen, die die Einhaltung der grundlegenden Anforderungen gewährleistet. Die entsprechende CE-Kennzeichnung muss gut sichtbar, leserlich und dauerhaft auf dem Produkt angebracht sein. Bei Softwareprodukten ist die Software entweder auf der Konformitätserklärung oder auf der das Softwareprodukt begleitenden Website anzugeben.

Das vorgesehene Konformitätsbewertungsverfahren kann bei Produkten, die nicht als wichtig oder kritisch eingestuft sind, vom Hersteller in eigener Verantwortung durchgeführt werden. Die Einschaltung einer unabhängigen benannten Stelle ist für wichtige Produkte der Klasse I freiwillig, für wichtige Produkte der Klasse II jedoch verpflichtend.

Zentrale Meldestelle

Die Hersteller sollen eine zentrale Meldestelle einrichten, bei der die Anwender Schwachstellen melden und Informationen darüber erhalten können. Diese Meldestelle sollte nicht nur automatisiert betrieben werden, sondern auch den Kontakt zu einem menschlichen Ansprechpartner ermöglichen.

Meldepflichten

Hersteller müssen Sicherheitsverletzungen durch böswillige Akteure sowie Cybersicherheitsvorfälle, die zu einem erhöhten Risiko für Nutzer oder andere Personen führen, melden. Hierfür wird von der ENISA eine einheitliche Meldeplattform eingerichtet. Diese Meldungen müssen in der Regel unverzüglich erfolgen, können aber im Einzelfall aus Sicherheitsgründen für einen erforderlichen Zeitraum aufgeschoben werden. Behobene Schwachstellen werden im Einvernehmen mit dem Hersteller in einer europäischen Schwachstellendatenbank erfasst.

Überwachung und Durchsetzung

Die Überwachung und Durchsetzung erfolgt im Wesentlichen durch Marktüberwachungsbehörden, die nun in jedem Mitgliedstaat benannt werden müssen. Diese können bei Bedarf auch Zugang zu internen Daten der Hersteller verlangen, um die Konformität der Produkte zu beurteilen.

Bei Verstößen drohen - wie auch bei anderen EU-Rechtsakten - je nach Art und Schwere empfindliche Bußgelder. Im Falle des Cyber Resilience Act können sie bis zu 15 Millionen Euro oder 2,5 % des gesamten weltweit erzielten Jahresumsatzes des Unternehmens im vorangegangenen Geschäftsjahr betragen. Die konkrete Ausgestaltung obliegt den EU-Mitgliedstaaten.

Zeitlicher Horizont

Der CRA muss nun noch formell vom Rat der Europäischen Union verabschiedet werden. Dies geschieht voraussichtlich im April 2024. Wie bei anderen EU-Rechtsakten üblich, tritt der CRA dann am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Die Verordnung wird 36 Monate nach ihrem Inkrafttreten in vollem Umfang anwendbar sein, wobei einige Teilaspekte, darunter die Meldepflicht für Sicherheitsvorfälle, bereits früher gelten werden.

Produkte mit digitalen Elementen, die vor dem vollständigen Inkrafttreten der Verordnung in Verkehr gebracht wurden, sind von den Anforderungen nicht betroffen, sofern sie nach diesem Zeitpunkt nicht wesentlich geändert werden. Dies gilt jedoch nicht für die Meldepflicht von Sicherheitsvorfällen.

Einschätzung

Der Cyber Resilience Act verpflichtet Wirtschaftsakteure zu besonderer Sorgfalt im Kontext der Cybersicherheit. Dies führt einerseits zu einem beachtlichen Mehraufwand, gewährleistet aber eine gewisse Rechtssicherheit, da die Verordnung unionsweit gilt. Damit können Produkte, die die Anforderungen der Verordnung erfüllen, grundsätzlich auch in jedem andere EU-Mitgliedsstaat auf den Markt gebracht werden, ohne dass striktere Anforderungen an die Cybersicherheit das wirtschaftliche Tätigwerden verhindern. Auch wenn die Anforderungen des Cyber Resilience Act erst in gut 36 Monaten in vollem Umfang anwendbar sind, müssen sie bei Produkten mit langen Entwicklungszyklen und bei Verträgen mit langer Laufzeit frühzeitig mitgedacht werden.

Aus rechtlicher Sicht werden neben der Einhaltung von Pflichtinformationen neue Aspekte bei der Verhandlung von IT-Verträgen eine tragende Rolle spielen. So sollten Hersteller, die Komponenten von Dritten für ihre Produkte beziehen, Absicherungen fordern, dass diese Komponenten im Einklang mit der Verordnung stehen.

Daniel Trunk

Aber auch Anbieter von Cloud-, SaaS-, Edge- und ähnlichen Diensten sind betroffen. Ihnen widmet der Data Act ein eigenes Kapitel. Dieses Kapitel VI enthält Regelungen für so genannte Datenverarbeitungsdienste und zielt primär darauf ab, den Wechsel zwischen verschiedenen Diensten zu erleichtern, d.h. bestehende Wechselhürden abzubauen.

Insbesondere sofern Anbieter mit langen Vertragslaufzeiten arbeiten oder der Export der Kundendaten aufwändig ist, muss das Geschäftsmodell auf den Prüfstand gestellt werden – am besten sofort.
 

Dies hat im Wesentlichen die folgenden Gründe:

Lange Vertragslaufzeiten sind hinfällig. Der Kunde kann jederzeit mit einer Ankündigungsfrist von zwei Monaten den Wechsel zu einem anderen Anbieter einleiten. Nach weiteren 30 Tagen soll der Wechsel im Regelfall erfolgreich abgeschlossen sein. Hiernach gilt der bisherige Vertrag grundsätzlich als beendet. Die bisherige Praxis, anbieterseitige Anfangsinvestitionen über gewisse Mindestvertragslaufzeiten zu refinanzieren, wird also nicht mehr ohne weiteres funktionieren. Als Alternative kommen beispielsweise Set-up Fees in Betracht, die in den letzten Jahren im Zuge der Umstellung auf SaaS an Bedeutung verloren hatten, ggf. auch Zahlungen für den Fall einer vorzeitigen Vertragsbeendigung (z.B. sog. Termination Fees).

Exit-Support kann sehr aufwändig sein, ist aber perspektivisch grundsätzlich kostenlos zu erbringen. Konkret: Seit dem 11. Januar 2024 dürfen nur noch ermäßigte Wechselentgelte erhoben werden, ab dem 12. Januar 2027 soll der Wechsel grundsätzlich kostenlos sein. Zugleich sieht der Data Act jedoch umfassende Support-Pflichten vor, denen sich der ursprüngliche Anbieter nicht entziehen kann.

Der Anbieter ist – bis zu einem gewissen Grad – für Interoperabilität mit dem System des neuen Anbieters verantwortlich.

Diese Themen sollten sofort angegangen werden, da sie viele Anbieter zu einer Anpassung des Geschäftsmodells zwingen werden. Wenn der Data Act ab dem 12. September 2025 voll wirksam ist, müssen Anbieter von Datenverarbeitungsdiensten zudem auch die weiteren Pflichten aus dem Data Act erfüllen. Die zu ergreifenden Maßnahmen umfassen insbesondere:

• die Anpassung der Verträge (der Data Act gibt zwingende Vertragsinhalte vor)
• den Abbau von technisch-organisatorischen Wechselhürden
• Extensive Informationspflichten

Anbieter von Datenverarbeitungsdiensten müssen zudem Schutzvorkehrungen gegen staatlichen Zugriff aus Drittländern umsetzen.

Bei Verstößen gegen den Data Act drohen – neben den zivilgerichtlichen Auseinandersetzungen mit Kunden – auch Sanktionen von Aufsichtsbehörden, wobei die Höhe der drohenden Bußgelder derzeit noch nicht feststeht. Besonders pikant: Die Cloud-Vorschriften des Data Act dürften Marktverhaltensregelungen darstellen; Wettbewerber könnten etwaige Verstöße abmahnen.

Einen Überblick über die Regelungen des Data Act auch zu vernetzten Produkten gibt Ihnen dieser Blogbeitrag.

Dr. Andreas Lober
 

Lennart Kriebel 

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Das Hanseatische Oberlandesgericht hat festgestellt, dass ein auf der Plattform Kununu bewerteter Arbeitgeber die Löschung einer Bewertung verlangen kann, wenn der Portalbetreiber den Bewertenden ihm gegenüber nicht so individualisiert, dass er das Vorliegen eines geschäftlichen Kontaktes überprüfen kann. Das klagende Unternehmen erhielt auf der Bewertungsplattform Kununu zwei negative Bewertungen von zwei angeblich ehemaligen Arbeitnehmern. Das Unternehmen behauptete, die Bewertungen stammten nicht von ehemaligen Arbeitnehmern, und forderte Kununu zur Offenlegung der Identität auf, was die Plattform unter Berufung auf den Datenschutz ablehnte. Das Gericht gab dem Unternehmen Recht und verpflichtete Kununu, die beiden Bewertungen zu löschen. Das Portal könne die Offenlegung der Identitäten der Bewertenden nicht wegen datenschutzrechtlicher Bestimmungen verweigern. Will eine Plattform die Äußerung eines Dritten weiter öffentlich halten, müsse sie dem Bewerteten die Individualisierung der Bewertung ermöglichen.

Jason Komninos

Das Arbeitsgericht Hamburg hat in einem Eilverfahren entschieden, dass der Einsatz von ChatGPT und Regelungen des Arbeitgebers zum Umgang mit KI nicht der Zustimmung des Betriebsrates bedürfen. Der Betriebsrat des Unternehmens wandte sich gegen die Einführung von Richtlinien zur Nutzung von ChatGPT, bei der er nicht beteiligt worden war. Das Unternehmen gestattet den Arbeitnehmern den Einsatz unter Verwendung eigener Accounts und auf eigene Kosten. Zudem stellt es für die betriebliche Nutzung von ChatGPT bestimmte Verhaltensregeln auf. Nach Ansicht des Gerichts bedarf weder die Einführung des KI-Tools selbst einer Einwilligung des Betriebsrats noch die Aufstellung von Regeln zur Nutzung der Software. Die KI-Richtlinie stelle lediglich Anordnungen auf, welche die Art und Weise der Arbeitserbringung betreffen, weshalb kein Mitbestimmungsrecht gegeben sei. Zudem sei ChatGPT hier nicht dazu bestimmt, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Dafür sprach nach Auffassung des Gerichts, dass das Tool nicht auf den IT-Systemen des Unternehmens installiert wurde. Vielmehr konnten sich die Arbeitnehmer freiwillig einen eigenen Account anlegen und diesen über den Browser aufrufen.

Jason Komninos

Gemäß Art. 82 DSGVO hat jede Person, der wegen eines Verstoßes gegen die DSGVO materieller oder immaterieller Schaden entsteht, Anspruch auf Schadenersatz. Das gilt auch, wenn es sich bei der verantwortlichen Stelle um eine Einrichtung der öffentlichen Hand oder einen Hoheitsträger handelt.

Voraussetzungen des Schadensersatzanspruchs

Der Europäische Gerichtshof (EuGH) hat im Jahr 2023 mehrere wegweisende Urteile zu den Voraussetzungen und dem Umfang von Schadenersatzansprüchen erlassen. Dabei waren insbesondere Gemeinden und Behörden Beklagte der Verfahren.

Urteil vom 4. Mai 2023 (C‑300/21) "Österreichische Post"

Bereits im Mai 2023 hat der EuGH eine wichtige Grundsatzentscheidung zu den Voraussetzungen des immateriellen Schadensersatzes bei Verstößen gegen die DSGVO erlassen. So reicht allein ein Datenschutzverstoß nicht aus, um einen Schadensersatzanspruch zu begründen. Diese Auffassung hatten viele Arbeitsgerichte bislang vertreten. Zudem kommt es für die Begründung eines immateriellen Schadens nicht auf das Erreichen einer bestimmten Erheblichkeit (sog. Bagatellgrenze) an, was bislang unter deutschen Gerichten stark umstritten war. Die konkrete Festsetzung der Höhe des Schadensersatzes überlässt der EuGH weiter den nationalen Gerichten. Hintergrund des Falles war der Rechtsstreit eines Betroffenen gegen die Österreichische Post. Diese hatte mit Hilfe eines Algorithmus Informationen über die politischen Affinitäten des Klägers gesammelt. Der Kläger behauptete dadurch einen Vertrauensverlust und eine Bloßstellung erlitten zu haben und forderte Schadensersatz von EUR 1.000.

Diese Rechtsprechung hat der EuGH sodann mit zwei Urteilen vom 14. Dezember 2023 bestätigt und fortgeführt:

Urteil vom 14. Dezember 2023 (C-340/21) "Bulgarische Finanzbehörde"

In seiner Entscheidung hat der EuGH klargestellt, dass bereits die Befürchtung eines möglichen Missbrauchs personenbezogener Daten für sich genommen einen immateriellen Schadensersatz im Sinne der DSGVO darstellen kann. Geklagt hatte eine Frau, deren personenbezogene Daten bei einem Hackerangriff auf eine bulgarische Finanzbehörde durch die Täter im Internet veröffentlicht wurden. Nach Ansicht des EuGH genügt in Fällen eines Datenschutzverstoßes schon die Sorge einer missbräuchlichen Verwendung der Daten durch Dritte. Es sei aber Aufgabe des nationalen Gerichts zu prüfen, ob diese Befürchtung im konkreten Fall als begründet angesehen werden kann. Daneben hat der EuGH klargestellt, dass der Verantwortliche beweisen muss, dass die von ihm ergriffenen IT-Schutzmaßnahmen ausreichend waren.

Urteil vom 14. Dezember 2023 (C-456/22) "Gemeinde Ummendorf"

Hintergrund dieses Urteils war ein Rechtsstreit zwischen zwei natürlichen Personen und der Gemeinde Ummendorf wegen Zahlung von Schmerzensgeld zur Wiedergutmachung des Schadens, der ihnen dadurch entstanden sein soll, dass ihre personenbezogenen Daten ohne ihre Einwilligung auf der Internetseite der Gemeinde veröffentlicht wurden. Der EuGH hat in diesem Urteil nochmals bestätigt, dass für das Vorliegen eines immateriellen Schadens keine Bagatellgrenze vorliegt. Dennoch müssen Betroffene nachweisen, dass ihnen durch die Verletzung der DSGVO ein konkreter immaterieller Schaden entstanden ist.

Urteil vom 21. Dezember 2023 (C-667/21) "Medizinischer Dienst der Krankenversicherung Nordrhein"

In dem zugrundeliegenden Fall wehrte sich der Kläger gegen die Verarbeitung seiner Gesundheitsdaten durch seinen Arbeitgeber. Die Besonderheit bestand hier darin, dass es sich bei dem Arbeitgeber um den Medizinischen Dienst der Krankenversicherung (MDK) Nordrhein handelte, eine Körperschaft des öffentlichen Rechts. Der MDK hat die gesetzliche Aufgabe, medizinische Gutachten zur Beseitigung von Zweifeln an der Arbeitsunfähigkeit von Versicherten zu erstellen, auch dann, wenn diese Gutachten seine eigenen Mitarbeiter betreffen. Der Kläger sah darin eine Datenschutzverletzung und verlangte immateriellen Schadensersatz von EUR 20.000. Der EuGH hat entschieden, dass der Schadensersatz nach Art. 82 DSGVO keine abschreckende Funktion oder Straffunktion erfüllt, sondern nur einen Ausgleich für einen Schaden begründen soll. Zudem wurde klargestellt, dass das Verschulden bei einem Datenschutzverstoß vermutet wird und der Verantwortliche beweisen muss, dass ihn kein Verschulden trifft.

Urteil vom 25. Januar 2024 (C-687/21) "MediaMarktSaturn"

Mit diesem aktuellen Urteil hat der EuGH seine Rechtsprechung wiederum etwas eingeschränkt und entschieden, dass es dem Kläger einer Schadensersatzforderung obliegt, das Vorliegen eines solchen Schadens nachzuweisen. Insbesondere kann ein rein hypothetisches Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten nicht zu einer Entschädigung führen. Dies ist der Fall, wenn kein Dritter die fraglichen personenbezogenen Daten zur Kenntnis genommen hat.

Konsequenzen für die Praxis

Mit den oben genannten Urteilen stärkt der EuGH die Rechte der Betroffenen bezüglich Datenschutzverstößen deutlich. Jeder materielle oder immaterielle Schaden kann danach ein ersatzfähiger Schaden im Sinne des Art. 82 DSGVO darstellen. Eine Bagatellgrenze hinsichtlich der Höhe des Schadens ist mit den Schutzzielen der DSGVO nicht vereinbar. Seit Geltung der DSGVO ist die Sensibilität für Datenschutz enorm gestiegen. Datenschutzverstöße werden von Betroffenen vermehrt geltend gemacht und häufig auch als Druckmittel verwendet. Ein besonders brisantes Beispiel ist der Auskunftsanspruch nach Art. 15 DSGVO. Wenn dieser Anspruch unvollständig oder verspätet beantwortet wird, kann dies ebenfalls einen immateriellen Schadensersatz nach sich ziehen. Dieser Auskunftsanspruch wird auch gerne in arbeitsrechtlichen Prozessen als Druckmittel eingesetzt.

Neben Schadensersatzforderungen können die Datenschutzbehörden in bestimmten Fällen auch gegen öffentliche Stellen Bußgelder verhängen. Dies geschieht vor allem dann, wenn öffentliche Stellen als öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen.

Praxistipp

Aufgrund der Stärkung der Betroffenenrechte steigt auch für öffentliche Stellen das Risiko, bei Datenschutzverstößen zu haften, sei es im Rahmen einer Schadensersatzforderung der Betroffenen oder durch Bußgelder oder sonstige Maßnahmen der Datenschutzbehörden. Daher ist es umso wichtiger, das Datenschutzmanagement und die IT-Sicherheit zu überwachen und anzupassen. Das Bewusstsein für Datenschutz und die Risiken von Datenschutzverletzungen muss weiter erhöht werden, um Haftungsrisiken zu minimieren.

Jason Komninos

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Die IT4process GmbH mit Sitz in Herzogenrath bei Aachen entwickelt und installiert Softwarelösungen für das OP-Management zur Optimierung und Digitalisierung von Prozessen in Krankenhäusern.

Mit diesem Erwerb erweitert B. Braun sein Dienstleistungsportfolio für OP-Management. Durch eine geplante Verschmelzung der IT4process mit der Aesculap-Tochtergesellschaft Invitec, Essen, welche eine eigene Software für die Steuerung der Sterilgutversorgung anbietet, wird eine IT-Plattform für Gesundheitseinrichtungen entstehen.

Die IT4process GmbH ist eine Ausgründung der RWTH Aachen. Vor über 10 Jahren entwickelten IT-Mitarbeitende gemeinsam mit der Aachener Uniklinik eine Software, mit der die komplexe OP-Logistik geplant werden kann. Heute bietet IT4process Softwarelösungen und Beratungsleistungen für Krankenhäuser mit Schwerpunkt in den Bereichen OP-Ressourcensteuerung, Sterilgutversorgung (AEMP/ZSVA) und Fallwagenlogistik.

Die Invitec GmbH & Co. KG mit Hauptsitz in Essen entwickelt seit mehr als 20 Jahren Softwarelösungen für das Instrumentenmanagement sowie die Sterilgutversorgung in Krankenhäusern. 

B. Braun ist eines der weltweit führenden Unternehmen der Medizintechnologie. Mit über 65.000 Mitarbeitenden ist das Unternehmen ein verlässlicher Partner, der intelligente Lösungen entwickelt und wegweisende Standards setzt, um den Fortschritt im Gesundheitswesen zu beschleunigen. 2022 erwirtschaftete die B. Braun-Gruppe einen Umsatz von EUR 8,5 Mrd.

Berater Aesculap AG: 
ADVANT Beiten: Dr. Christian Ulrich Wolf (Federführung, Hamburg), Benjamin Knorr (Berlin), Maren Dedert (alle Corporate/M&A), Dr. Marion Frotscher, Simon Bauer (beide Tax, alle Hamburg), Dr. Andreas Lober, Daniel Trunk (beide IP/IT, Frankfurt am Main), Christian Hipp, Helin Alkan (beide Beihilferecht, Berlin), 
Dr. Dietmar Müller-Boruttau und Dr. Michael Matthiessen (beide Arbeitsrecht, Berlin).

Inhouse: Dr. Stefan Todt (Associate General Counsel B. Braun Group), Robin Giers, LL.M. (Senior Legal Counsel)
    
Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Christian Ulrich Wolf
Rechtsanwalt
ADVANT Beiten
+49 (40) 68 87 45 – 124
ChristianUlrich.Wolf@advant-beiten.com
 

Wir freuen uns, im Bereich Medien (Gaming) abermals – wie auch 2023 - als TOP TIER-Kanzlei genannt zu sein. 

In diesen Rechtsgebieten/Praxisbereichen ist die Kanzlei für 2024 im Ranking gelistet: 

• Arbeitsrecht 
• Branchenfokus Energie 
• Corporate/M&A (mittelgroße Deals) 
• Gewerblicher Rechtsschutz (Markenrecht und Wettbewerbsrecht)
• Immobilien- und Baurecht (Immobilienrecht) 
• Informationstechnologie (Datenschutz und IT/Digitalisierung) 
• Kartellrecht 
• Medien (Gaming, Entertainment, Presse- und Verlagsrecht) 
• Öffentliches Recht (Planungs- und Umweltrecht, Vergaberecht) 
• Private Clients und Nonprofit-Sektor
• Versicherungsrecht (Beratung von Versicherungen)

Eine „Firm to watch“ sind wir im Steuerrecht.

Unserem Experten Dr. Gerrit Ponath (Private Clients und Nonprofit-Sektor) gratulieren wir zur Aufnahme in die „Hall of Fame“.

Mit Dr. Andreas Lober (Medien/Entertainment) und Dr. Marc-Oliver Srocke freuen wir uns über die Nennung als „Führende Anwälte“ sowie mit Wojtek Ropel (Medien/Entertainment) und Katharina Fink (Private Clients und Nonprofit-Sektor) über die Nennung als Partner der nächsten Generation.

Unsere empfohlenen Anwälte und weiteren Kernanwälte:

• Arbeitsrecht: Christian Freiherr von Buddenbrock, Dr. Thomas Drosdeck, Martin Fink, Dr. Andreas Imping, Jörn Manhart, Dr. Sebastian Kroll, Markus Künzel, Dr. Michael Matthiessen, Dr. Dietmar Müller-Boruttau, Dr. Gerald Müller-Machwirth, Maike Pflästerer, Dr. Erik Schmid, Dr. Mark Zimmer
• Branchenfokus Energie: Dr. Christof Aha, Sebastian Berg, Dr. Ralf Hafner, Stephan Rechten, Dr. Christian Ulrich Wolf
• Corporate/M&A: Christian Burmeister, Dr. Barbara Mayer, Gerhard Manz, Dr. Sebastian Weller, Prof. Dr. Hans-Josef Vogel
• Gewerblicher Rechtsschutz (Wettbewerbsrecht): Dr. Andreas Lober, Matthias W. Stecher, Dr. Holger Weimann, Uwe Wellmann 
• Gewerblicher Rechtsschutz (Markenrecht): Dr. Christina Hackbarth, Tanja Hogh Holub, Dr. Andreas Lober
• Immobilienrecht: Florian Baumann, Klaus Beine, Annalena Benz, Verena Nader 
• Informationstechnologie (Datenschutz): Susanne Klein, Dr. Andreas Lober, Dr. Birgit Münchbach, Matthias W. Stecher, Matthias Zimmer-Goertz
• Informationstechnologie (IT/Digitalisierung): Susanne Klein, Dr. Andreas Lober, Dr. Peggy Müller, Dr. Birgit Münchbach, Wojtek Ropel, Matthias W. Stecher, Dr. Holger Weimann
• Kartellrecht: Dr. Christian Heinichen, Christoph Heinrich, Dr. Dietmar O. Reich, Uwe Wellmann 
• Medien (Entertainment): Dr. Andreas Lober, Dr. Peggy Müller, Wojtek Ropel, Dr. Holger Weimann
• Medien (Presse- und Verlagsrecht): Dr. Andreas Lober, Katharina Mayerbacher, Dr. Marc-Oliver Srocke, Dr. Holger Weimann
• Öffentliches Recht (Umwelt- und Planungsrecht): Katrin Lüdtke, Hans Georg Neumeier, Stephan Rechten 
• Öffentliches Recht (Vergaberecht): Michael Brückner, Hans Georg Neumeier, Stephan Rechten, Max Stanko, Christopher Theis
• Private Clients und Nonprofit-Sektor: Katharina Fink, Dr. Guido Krüger, Dr. Gerrit Ponath, Stephan Raddatz, Dr. Lucas van Randenborgh, Dr. Georg Tolksdorf
• Versicherungsrecht: Dr. Florian Weichselgärtner

Wir bedanken uns bei unseren Mandanten für das anerkennende Feedback und Vertrauen.
 

BGH, Beschluss vom 24.10.2023 – II ZB 3/23

Ein Auskunftsersuchen des Gesellschafters, das auch dem Ziel dient, die Namen, Anschriften und Beteiligungshöhen der Mitgesellschafter dazu zu verwenden, diesen Kaufangebote für ihre Anteile zu unterbreiten, ist gesellschaftsrechtlich zulässig und datenschutzkonform.

Hintergrund

In dem nun höchstrichterlich entschiedenen Fall war die Klägerin Mitgesellschafterin an einer Zweitmarktfondsgesellschaft in der Rechtsform einer Kommanditgesellschaft. Sie war mit einem Anteil von nominal EUR 20.000,00 über einen Treuhand- und Servicevertrag mit der Beklagten als Treuhandkommanditistin an der I GmbH & Co. geschlossene lnvestment-KG (im Folgenden: "Fondsgesellschaft") beteiligt. Nach dem Gesellschaftsvertrag der Fondsgesellschaft waren die Treugeber mittelbar beteiligte Anleger im Sinne des Kapitalanlagegesetzbuches und hatten im lnnenverhältnis der Gesellschaft und der Gesellschafter zueinander die gleiche Rechtsstellung wie ein Kommanditist. Die Beklagte führte im Auftrag der Fondsgesellschaft ein Register mit den personenbezogenen Daten sowie der Beteiligungshöhe sämtlicher Treugeber. Die Klägerin nahm nun die Beklagte in Anspruch, ihr Auskunft über den akademischen Titel, die Namen und die Adressen sowie die Beteiligungshöhe sämtlicher Treugeberkommanditisten der Fondsgesellschaft zu erteilen.
Zur Begründung hieß es, die Klägerin benötige die Gesellschafterliste, um mit diesen zur Vorbereitung einer Gesellschafterversammlung und zum Zwecke des Meinungsaustauschs in Kontakt zu treten. Es sei auch nicht ausgeschlossen, dass die Daten dazu benötigt würden, den Mitgesellschaftern ein Kaufangebot zu unterbreiten.

Das erstinstanzliche Amtsgericht hatte die Beklagte zur Auskunft verurteilt. Die dagegen gerichtete Berufung der Beklagten hat das Berufungsgericht als unzulässig verworfen. Gegen den Verwerfungsbeschluss richtete sich die Rechtsbeschwerde der Beklagten – ohne Erfolg.

Entscheidung des BGH

Der BGH stellte nunmehr klar, dass ein solches Auskunftsbegehren datenschutzkonform ist und bekräftigt mit seinem Beschluss seine bisherige Rechtsprechung. Danach muss, wer sich an einer Personen- beziehungsweise Personenhandelsgesellschaft, insbesondere in Form einer Publikumsgesellschaft, beteiligt, damit rechnen, dass neben seinen Daten auch seine Beteiligungshöhe an seine Mitgesellschafter beziehungsweise diesen gleichgestellten Mittreugebern mitgeteilt wird. Aufgrund des durch den Gesellschaftsvertrag begründeten Vertragsverhältnisses ist es ein unentziehbares mitgliedschaftliches Recht eines jeden Gesellschafters, die Beteiligungshöhe seiner Mitgesellschafter zu erfahren. In jeder Gesellschaft ist das Zusammenwirken der Gesellschafter ein elementarer Bestandteil der Willensbildung. Deshalb muss insbesondere der Anleger einer Publikumsgesellschaft, wenn seine Stimmkraft von der Höhe der gezeichneten Kapitaleinlage abhängig ist, wissen, wie die Stimmen und damit die Machtverhältnisse in der Gesellschaft verteilt sind, um seine Mitgliedschaftsrechte informiert ausüben zu können. Es macht für die Stellung des die Auskunft begehrenden Gesellschafters gerade einen entscheidenden Unterschied, ob neben ihm nur Kleinanleger oder auch ein oder mehrere Großanleger beteiligt sind. Infolgedessen ist auch die Kenntnis vom Umfang der Beteiligungen der Mitgesellschafter für die informierte Ausübung der Mitgliedschaftsrechte erforderlich im Sinne des Art. 6 Abs. 1 UAbs. 1 Buchst. b DSGVO.

Darüber hinaus wird laut BGH entgegen der Ansicht der Rechtsbeschwerde der Rahmen der üblichen gesellschaftlichen Belange nicht verlassen, wenn darüber hinaus die Auskunft auch zu dem weiteren Zweck verlangt wird, Kaufangebote für Anteile von Mitgesellschaftern vorzubereiten. Es ist ein legitimes, aus dem Gesellschaftsverhältnis und dem daraus entstandenen Vertragsverhältnis entstandenes Interesse eines Gesellschafters, seinen Einfluss auf die Gesellschaft durch den Ankauf weiterer Anteile zu vergrößern. Aufgrund der Verwendung der Daten in Angelegenheiten der Gesellschaft(er) sowie nur gegenüber Mitgesellschaftern kann ein solches Erwerbsangebot auch nicht mit einer Weitergabe der Daten an Dritte oder einer Nutzung zu gesellschaftsfremden Zwecken verglichen werden. Die nur abstrakte Missbrauchsgefahr gewährt kein Recht, gegenüber dem Mitgesellschafter anonym zu bleiben.

Anmerkungen

Mit diesem Beschluss hat der BGH betont und für unerheblich befunden, dass der überwiegende Anteil der Treugeber einer Weitergabe ihrer Daten an die Klägerin widersprochen hat. Das Auskunftsrecht kann weder durch Regelungen im Gesellschaftsvertrag noch durch Regelungen im Treuhandvertrag ausgeschlossen werden, eine entsprechende Vereinbarung wäre nach Treu und Glauben unwirksam. Dies muss erst recht für eine einseitige Widerspruchserklärung der im Innenverhältnis gleichgestellten Treugeber gelten.

Da die konkreten Regelungen im Fall einer Publikums-KG in der Regel der Verhandlungsmacht des einzelnen Anlegers entzogen sind, sollte die Ausgestaltung der Rechte der Gesellschafter vor dem Eingehen der Beteiligung umso sorgfältiger geprüft werden, insbesondere dann, wenn es dem Anleger auf bestimmte Rechte – wie die Auskunft über die Identität und Beteiligungshöhen der übrigen Investoren – ankommt.

Sarah Heinrichs

Dieser Blogbeitrag erscheint ebenso im Haufe Wirtschaftsrechtsnewsletter.

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Mit Blick auf die durch die NIS-2-Richtlinie neu eingeführte nicht delegierbare Verantwortung des Vorstands bzw. der Geschäftsführung für die Gewährleistung der IT-Sicherheit im Unternehmen wird aktuell diskutiert, ob ein eigenes Ressort für IT-Sicherheit erforderlich ist. Brauchen Unternehmen künftig einen Cyber-Vorstand?

Eine Reihe neuer EU-Rechtsakte, die Bestandteil der Digitalstrategie der Europäischen Kommission sind, sowie deren deutsche Umsetzungsgesetze bilden einen neuen Rechtsrahmen zur Stärkung der Cybersicherheit in der EU. Dazu gehört die NIS-2-Richtlinie (NIS = Network Information Security), die am 10. November 2022 vom Europäischen Parlament verabschiedet worden ist und bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden muss. Sie verpflichtet Unternehmen dazu, geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen zu treffen, um die IT-Sicherheit im Unternehmen zu gewährleisten. In Deutschland soll die Umsetzung der NIS-2-Richtlinie durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz erfolgen, das aktuell in einem Referentenentwurf (Stand: Mai 2023) vorliegt.

Damit wird ein Kernelement der Cyber-Sicherheitsstrategie der EU von 2013, die NIS-Richtlinie (Richtlinie über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union) vom August 2016 aktualisiert. Die Cybersicherheitspflichten werden verschärft. Die bisherige NIS-Richtlinie und ihre Umsetzung hatten, so eine Evaluation der Europäischen Kommission, nicht zu einem hinreichenden Niveau an Cybersicherheit in der EU geführt. Die Umsetzung in den EU-Mitgliedstaaten divergierte teilweise erheblich.

Anwendungsbereich: Für welche Unternehmen gelten die neuen Cybersicherheitspflichten?

Die NIS-2-Richtlinie differenziert zwischen sog. wesentlichen und wichtigen Einrichtungen (in der Terminologie der NIS-Richtlinie früher: Betreiber wesentlicher und Anbieter digitaler Dienste). Die Anhänge I und II zur Richtlinie definieren, wann ein Unternehmen in den Anwendungsbereich fällt. Dabei sind folgende Kriterien maßgeblich: (1.) die Einstufung als KRITIS-Betreiber, (2.) die Zugehörigkeit zu einem Sektor und (3.) die Größe des Unternehmens.

KRITIS-Betreiber sind jedoch nicht nur Unternehmen der kritischen Infrastruktur, sondern gerade auch produzierende Industrieunternehmen, mit mehr als 50 Mitarbeitern und einem Jahresumsatz von mehr als 10 Mio. Euro. Der Anwendungsbereich wurde damit gegenüber der bisherigen NIS-Richtlinie von 2015 deutlich erweitert.

Von besonderer Bedeutung ist die NIS-2-Richtlinie für den Sektor Verarbeitendes Gewerbe/Herstellung von Waren (Manufacturing), der erstmals von den neuen Cybersicherheitspflichten erfasst wird. Viele Unternehmen, deren Geschäftsmodelle weder digital sind noch einen besonderen Bezug zu Daten haben, werden sich erstmals vertiefter mit Cybersicherheits-Compliance auseinandersetzen müssen.

Status Quo: Cybersicherheitspflichten nach BSIG, DSGVO und TTDSG

Das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) normiert bereits jetzt Cybersicherheitspflichten. Allerdings gelten diese nur für einen eingeschränkten Kreis von Unternehmen, der sich durch die Umsetzung der NIS-2-Richtlinie deutlich erweitern wird. Aktuell differenziert das BSIG für seinen Anwendungsbereich zwischen drei Kategorien von Unternehmen: (1.) Betreiber Kritischer Infrastrukturen (§ 8a BSIG), (2.) Anbieter digitaler Dienste (§ 8c BSIG) und (3.) Unternehmen im besonderen öffentlichen Interesse (sog. „UBI“, § 8f BSIG).

• Betreiber Kritischer Infrastrukturen unterliegen dabei den strengsten Cybersicherheitspflichten. Sie müssen unter Einhaltung des Stands der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Syste-me, Komponenten oder Prozesse treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind (§ 8a BSIG). Seit dem 01.05.2023 müssen als Bestandteil dieser Maßnahmen auch Systeme zur Angriffserkennung einge-setzt werden. Außerdem müssen die Unternehmen sicherstellen, dass die erforderlichen technische, organisatorischen und personellen Rahmenbedingungen zum effektiven Einsatz solcher Systeme gewährleistet und die Systeme so konfiguriert sind, dass sie das Anforderungsprofil erfüllen. Die Einhaltung dieser Pflichten muss alle zwei Jahre gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (BSI) nachgewiesen werden (§ 8a Abs. 3 BSIG).
• Anbieter digitaler Dienste müssen geeignete und verhältnismäßige technische und organisatorische Maßnahmen treffen, um Risiken für die Sicherheit der Netz- und Informationssysteme, die sie zur Bereitstellung der digitalen Dienste innerhalb der Europäischen Union nutzen, zu bewältigen (§ 8c Abs. 1 S. 1 BSIG). Sicherheitsvorfälle mit erheblichen Auswirkungen auf die Bereitstellung ihrer Dienste müssen die Anbieter unverzüglich an das BSI melden (§ 8c Abs. 3 S. 1, 3 BSIG).
• Unternehmen im besonderen öffentlichen Interesse (sog. UBI) unterliegen einer Verpflichtung zur Registrierung beim BSI. Sie müssen die getroffenen IT-Sicherheitsmaßnahmen sowie Zertifizierungen und Audits dem BSI melden (§ 8f Abs. 1, 5 BSIG).

Auch nach der Datenschutz-Grundverordnung (DSGVO) gelten Cybersicherheitspflichten. Art. 32 DSGVO sieht vor, dass geeignete technische und organisatorische Maßnahmen zu treffen sind mit dem Ziel der Gewährleistung eines angemessene Schutzniveaus. IT-Sicherheit im Sinne der DSGVO bedeutet in erster Linie Datensicherheit. Dabei steht die Gewährleistung der Sicherheit, Integrität, Authentizität, Vertraulichkeit und Verfügbarkeit informationstechnischer Systeme einerseits immer in einem Spannungsverhältnis zu ihrer Bedienbarkeit und Funktionalität andererseits.

Das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) normiert ebenfalls Cybersicherheitspflichten. Nach § 19 Abs. 1 TTDSG haben Anbieter von Telemedien durch technische und organisatorische Vorkehrungen sicherzustellen, dass der Nutzer von Telemedien die Nutzung des Dienstes jederzeit beenden kann und er Telemedien gegen Kenntnisnahme Dritter geschützt in Anspruch nehmen kann. Diese Pflichten treffen zahlreiche Unternehmen, da bereits eine Website oder ein Webshop ein sog. Telemedium darstellt. Jedoch bleibt das Schutzniveau hinter der NIS-2-Richtlinie zurück Die Vorkehrungen nach § 19 Abs. 4 S. 1 TTDSG müssen den Stand der Technik lediglich „berücksichtigen“. Ein als sicher anerkanntes Verschlüsselungsverfahren reicht schon aus, z.B. die HTTPS- und SSL-Verschlüsselung oder Firewalls.

Ausblick: Verschärfte Cybersicherheitspflichten nach der NIS-2-Richtlinie

Die NIS-2-Richlinie erweitert den Anwendungsbereich der Cybersicherheitspflichten, d.h. die betroffenen Unternehmen, wesentlich. Im Vergleich zur NIS-Richtlinie enthält die NIS-2-Richtlinie außerdem einen deutlich umfassenderen Katalog von Cybersicherheitspflichten. Verstöße gegen Cybersicherheitspflichten sollen streng sanktioniert werden. Der Entwurf des deutschen Umsetzungsgesetzes sieht Geldbußen in einem Rahmen von 100.000 EUR über 500.000 EUR bis zu 20 Mio. EUR vor, die über die Vorgaben der NIS-2-Richtlinie (bis zu 10 Mio. EUR) sogar noch deutlich hinausgehen.

Cybersicherheitsmaßnahmen und Risikomanagement

Nach Art. 21 Abs. 1 der NIS-2-Richtlinie sind wesentliche und wichtige Einrichtungen dazu verpflichtet, „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen [zu] ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die diese Einrichtungen für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu beherrschen und die Auswirkungen von Sicherheitsvorfällen auf die Empfänger ihrer Dienste und auf andere Dienste zu verhindern oder möglichst gering zu halten.“

Dabei sind der Stand der Technik, EU- und internationale Normen sowie die Umsetzungskosten zu berücksichtigen, wobei die Maßnahmen dem Risiko angemessen sein müssen, vgl. Art. 21 Abs. 1 S. 2, 3.

Die Pflichten zum Risikomanagement umfassen u.a. folgende Maßnahmen, die Art. 21 Abs. 2 beispielhaft nennt:

• Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme
• Sicherheitsvorfall-Management
• Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall
• Krisenmanagement
• Gewährleistung der Sicherheit in der Lieferkette
• Schwachstellen-Management
• Risikomanagement im Bereich der Cybersicherheit
• Schulungen zur Cybersicherheit
• Konzepte und Verfahren für den Einsatz von Verschlüsselungstechniken
• Personalsicherheit: Zugriffskontrolle und Berechtigungsmanagement
• Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme

Verschärft werden auch die Pflichten zur Meldung von erheblichen Sicherheitsvorfällen.

Cybersicherheit als Compliance-Thema und Haftung der Geschäftsführung

Neu ist insbesondere die Überwachungspflicht der Geschäftsleitung nach § 38 Abs. 1 des Entwurfs des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes. Vorstand bzw. Geschäftsführung müssen sicherstellen, dass im Unternehmen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen zur Minimierung von Cyberrisiken getroffen werden. Außerdem besteht eine Pflicht, Schulungen zur IT-Sicherheit für Leitungspersonen und andere Mitarbeiter anzubieten.

Diese Pflichten können nicht vollständig delegiert werden. Es verbleibt stets eine Letztverantwortung auf Leitungsebene. Verletzt die Geschäftsleitung diese Compliance Pflichten, macht sie sich gegenüber dem Unternehmen schadensersatzpflichtig. Ein Verzicht auf oder Vergleich über diese Schadensersatzansprüche ist nach dem Gesetzesentwurf ausdrücklich ausgeschlossen.

Sollte dieser Vorschlag tatsächlich gesetzlich so normiert werden, wie im Gesetzesentwurf vorgesehen, müssten bestehende Versicherungslösungen überprüft werden. Die Verletzung von Cybersicherheitspflichten würde ein nicht unerhebliches Risiko für die Geschäftsleitung darstellen, das ggf. durch eine D&O-Versicherung abgesichert werden könnte. Außerdem sollten Unternehmen evaluieren, ob sich der Abschluss einer Cyberversicherung lohnt.

Nach § 91 Abs. 3 AktG ist die Einrichtung eines Risikomanagementsystems bereits Bestandteil der Pflichten des Vorstands einer Aktiengesellschaft und damit Teil allgemeiner Compliance-Pflichten der Geschäftsleitung von Unternehmen. Neu ist die konkrete Erweiterung auf Cybersicherheitspflichten. Aktuell wird daher diskutiert, ob ein eigenes Ressort für Cybersicherheit, d.h. ein Cyber-Vorstand benötigt wird.

Praxishinweis

Auch wenn das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz noch nicht in einer finalen Entwurfsversion vorliegt und bis zur Umsetzung der NIS-2-Richtlinie noch Zeit bis Oktober 2024 bleibt, sind bereits jetzt konkrete Tendenzen erkennbar, welche Pflichten auf die betroffenen Unternehmen zukommen werden. Es ist daher zu empfehlen, die Zeit bis dahin zu nutzen, bereits existente Cybersicherheitskonzepte zu überprüfen, Risiken zu evaluieren und damit zu beginnen, die erforderliche Dokumentation wie Cybersicherheitskonzepte, Notfallpläne, etc. bereits jetzt gemeinsam mit technischen und rechtlichen Experten auszuarbeiten und Cybersicherheits-Expertise im Unternehmen zu bündeln. Investitionen in Cybersicherheit zahlen sich vor allem auch aus, da sie ein wichtiger Beitrag zum Schutz des Know-how von Unternehmen vor Industriespionage und zur Minimierung des Risikos von hohen Betriebsausfallschäden in Fall eines Cyberangriffs sind. Prävention und rechtzeitige Vorbereitung können hier den entscheidenden Unterschied machen.

Bisher war man eher zurückhaltend, EDV und IT-Sicherheit als Leitungsaufgabe in einem Unternehmen zu bezeichnen. Im Zeitalter der Industrie 4.0 jedoch, liegt es insbesondere mit Blick auf die gesetzlichen Neuerungen nahe, dass IT-Sicherheit zur „Chefsache“ werden muss. Zwar bedeutet das nicht, dass Geschäftsführer und Vorstände IT-Experten sein müssen. Vielmehr sollten sie technische Expertise von entsprechenden Fachkräften beiziehen. Eine vollständige Delegation wird jedoch nicht mehr möglich sein, denn die Letztverantwortung trägt der Vorstand bzw. Geschäftsführer. Ob es einen „Cyber-Vorstand“ braucht, kann pauschal nicht beurteilt werden. Es sollte im Einzelfall für das jeweilige Unternehmen unter Berücksichtigung seiner vorhandenen Strukturen evaluiert werden, wie die neuen Cybersicherheitspflichten und die Leitungsverantwortung für IT-Sicherheit am besten umgesetzt werden können. Das Thema IT-Sicherheit wird viele Unternehmen in jedem Fall zunehmend weiter beschäftigen, dies nicht zuletzt vor dem Hintergrund der stetig steigenden Zahl von Cyberangriffen.

Dr. Birgit Münchbach

Download NIS-2-Whitepaper: Nach der Registrierung unter folgendem Link können Sie das NIS-2-Whitepaper herunterladen.

Dieser Blogbeitrag erscheint ebenso im Haufe Wirtschaftsrechtsnewsletter.

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Willkommen zurück im Games-Recht-Universum! Das Jahr 2023 liegt hinter uns, und was für ein Jahr es war! Wie schon im vergangenen Jahr wollen wir in einem juristischen "Speedrun" die prägendsten rechtlichen Entwicklungen im Bereich der Videospiele und des E-Sports beleuchten. Dabei fokussieren wir uns auf die Hauptquests und Easter-Eggs, zu welchen sich ein Abstecher (nach Auffassung unserer antagonistischen Avatare) am meisten lohnt.

Deutschland und Europa

Games-Recht setzt sich aus einer Vielzahl unterschiedlicher Rechtsmaterien zusammen. Insbesondere im digitalen Kontext stammen viele Vorschriften aus Europa. Dies führt zum Teil zu sehr komplexen rechtlichen Überlappungen. Der Europäische Gerichtshof (EuGH) hat mit Urteil vom 9. November 2023 (Az. C-376/22) betont, dass EU-Mitgliedsstaaten im Anwendungsbereich der E-Commerce-Richtlinie (Richtlinie 2000/31/EG) – in diesem Fall Österreich mit dem Kommunikationsplattformgesetz – keine abstrakt generellen Maßnahmen erlassen können, die gegenüber Internetdiensten mit Sitz in einem anderen Mitgliedsstaat greifen. Der E-Commerce-Richtlinie liegt das so genannte Herkunftslandprinzip zugrunde. Soll heißen: es gilt das Rechte des Landes, wo der Anbieter „herkommt“ (also seinen Unternehmenssitz hat). Das soll dem Ziel des Europäischen Binnenmarktes dienen, die Abschottung der Märkte verhindern und letztlich wohl auch das Leben erleichtern für Unter-nehmen in der EU, auch für Spieleentwickler und -publisher, da sie sich nicht mit allen EU-Rechtsordnungen befassen müssen, sondern nur mit ihrem „Heimatrecht“. Dieses Herkunftslandprinzip wurde in letzter Zeit immer wieder ausgehöhlt, weil Mitgliedsstaaten weitergehende Regelungen treffen wollten – einerseits, um ihre eigenen Bürger umfassend zu schützen, andererseits, damit die eigenen Unternehmen nicht gegenüber denen anderer EU-Staaten durch strengere Regeln benachteiligt werden. Dem hat der EuGH nun für die E-Commerce-Richtlinie Grenzen gesetzt, wobei gerade die E-Commerce-Richtlinie ohnehin durch den Digital Services Act in einen kohärenten und harmonisierten Rechtsrahmen überführt wird. Durchbrechungen des Herkunftslandprinzips befinden sich aber auch in einer Reihe nationaler Vorschriften wie solcher aus dem Jugendmedienschutzstaatsvertrag, die dann ggf. auf den Prüfstand zu stellen sind (siehe nur VG Düsseldorf, Urt. v. 4.4.2023 – 27 K 3905/20)

Digitaler Safe Space

Die Harmonisierung der Rechte und Pflichten von Online-Spielen geht mit dem Gesetz über Digitale Dienste (Digital Services Act) mit großen Schritten voran. Im vergangenen Jahr standen viele Publisher vor der Herausforderung, ihre Spiele unter die Kategorien der Vermittlungsdienste des Digital Services Act zu subsumieren (beispielsweise Hosting-Dienst oder Online-Plattform). Dies ist schon deshalb ein Novum, weil mit der Eigenschaft als Vermittlungsdienst in der Vergangenheit vor allem Privilegierungen wie eine eingeschränkte Haftung durch das Host-Provider-Privileg einhergingen. Mit dem Digital Services Act greifen nun jedoch auch aktive Sorgfaltspflichten, bei deren Nichteinhaltung massive Bußgelder von bis zu sechs Prozent des Konzernjahresumsatzes verhängt werden können. Die Einordnung in die „richtige“ Kategorie ist dagegen alles andere als einfach. Neben einer technischen Betrachtung der einzelnen Funktionalitäten müssen fremde und eigene Informationen voneinander abgegrenzt werden. Ein besonderes Augenmerk liegt beispielsweise für Spiele mit nutzergenerierten Inhalten, Avataren oder serverseitig gespeicherten Replays auf der Frage, ob deren öffentliche Verbreitung eine untergeordnete Funktion darstellt. Ansonsten greifen eine Vielzahl zusätzlicher Pflichten, was mit personellem und technischem Mehraufwand verbunden sein wird. Im Einzelfall gibt es jedoch oft gute Argumente, dass ein Online-Spiel nicht direkt als eine Online-Plattform einzustufen ist.

Der Digital Services Act fungiert dabei auch als Grundgerüst für weitere Spezifikationen durch den Unionsgesetzgeber, etwa durch zusätzliche Regelungen zum Schutze Minderjähriger vor Cybergrooming.

Cheats, Hacks und Exploits

Der Bundesgerichtshof (BGH) hat im Fall einer "Cheat-Software", die Spielabläufe auf Konsolen manipuliert, den EuGH um Klärung gebeten. Im Kern geht es darum, ob solche Software, die zwar nicht den Code des Spiels, aber Daten im Arbeitsspeicher verändert, als unzulässige Umarbeitung nach dem deutschen Urheberrechtsgesetz gilt. Nachdem das Landgericht Hamburg bereits im Jahr 2012 der klagenden Spielevertriebsgesellschaft zunächst Recht gab, hob das Oberlandesgericht dieses Urteil im Jahr 2021 auf. Der BGH sucht nun beim EuGH nach Antworten, ob diese Eingriffe in den Schutzbereich des Urheberrechts fallen und als rechtswidrige Umarbeitungen anzusehen sind. Der BGH hat in der Vergangenheit bereits bestätigt, dass das Anbieten von Cheat-Software für Massively Multiplayer Games einen Verstoß gegen das Gesetz gegen den unlauteren Wettbewerb und eine Urheberrechtsverletzung darstellen kann. Diese Entscheidungen bleiben von dem laufenden Verfahren unberührt.

Auch darüber hinaus beschäftigten uns im vergangenen Jahr diverse Cheats, Hacks und Exploits in Videospielen. Das Thema ist für Publisher von massiver wirtschaftlicher Bedeutung und wird auch in Zukunft ein Dauerbrenner sein.

„Pastiches“ und nutzergenerierte Inhalte

In einem langwierigen Urheberrechtsstreit hat der Bundesgerichtshof (BGH) im September 2023 den EuGH um Klärung des Begriffs "Pastiche" gebeten. Dieser Begriff bezieht sich auf § 51a UrhG und Artikel 5 Absatz 3 Buchstabe k) der Infosoc-Richtlinie (Richtlinie 2001/29/EG), wonach die Nutzung urheberrechtlich geschützter Werke auch ohne Zustimmung des Rechteinhabers möglich sein kann. Der Begriff wird dort aber nicht genauer definiert. Der EuGH muss nun entscheiden, ob auch das Sampling unter diese Ausnahmeregelung fällt und ob eine konkrete Absicht für die Nutzung vorausgesetzt wird. Eine genauere Konturierung des Begriffs "Pastiche" kann auch für Fan-Fiction oder nutzergenerierte Inhalte rund um Videospiele aufschlussreich sein, da dieser eine Nachahmung fremder Werke unter bestimmten Voraussetzungen gestattet.

Die wachsende Bedeutung nutzergenerierter Inhalte in Online-Spielen bringt sowohl Herausforderungen in der Plattformregulierung, wie bereits beim Digital Services Act (siehe oben unter "Digital Safe Space") diskutiert, als auch urheberrechtliche Fragestellungen mit sich. Rechtsverletzungen durch Nutzer auf Online-Spielplattformen rücken zunehmend in den Fokus. Auch ist es denkbar, dass ein nutzergenerierter Inhalt in einem Spiel eine Nachahmung einer Schöpfung eines anderen Nutzers darstellt. Auch dabei geht es oft um wirtschaftlich bedeutsame Positionen. Diese Entwicklungen erfordern eine verstärkte Überwachung von relevanten Kreativplattformen.

E-Sport

Im Bereich des E-Sports hat die Esports Integrity Commission (ESIC) aufgrund schwerwiegender Verstöße gegen den ESIC-Verhaltenskodex und den Anti-Korruptions-Kodex disziplinarische Maßnahmen gegen mehrere E-Sport-Profis ergriffen, einschließlich lebenslanger Sperren.

Zusätzlich zu den Maßnahmen der ESIC gab es signifikante Entwicklungen im Zusammenhang mit dem Louvre Agreement, einer wichtigen Vereinbarung im Bereich des professionellen Counter-Strike: Global Offensive (CS:GO). Das Team Astralis wurde von der ESL mit einer Geldstrafe von 100.000 US-Dollar belegt, weil es im Jahr 2021 gegen die Regeln des Louvre Agreement verstoßen hatte, indem es einen zukünftigen Mitarbeiter um Dienstleistungen bat, der zu diesem Zeitpunkt noch eine führende Position bei einem Mitbewerber innehatte.

Riot Games veröffentlichte im Dezember 2023 einen neuen E-Sports-Verhaltenskodex, der ab Januar 2024 für alle professionellen und semiprofessionellen Spieler, Trainer, Teambesitzer und für alle Wettbewerbe von Riot Games gilt. Der Verhaltenskodex enthält unter anderem Regelungen zur Gewährleistung der Integrität im eSport, indem Interessenkonflikte verhindert werden und ein sicheres Umfeld für alle Beteiligten geschaffen wird.

Die im Koalitionsvertrag zwischen den Regierungsparteien versprochene Gemeinnützigkeit des E-Sport wurde auch im Jahr 2023 trotz anderslautender Versprechen nicht umgesetzt.

Künstliche Intelligenz

Künstliche Intelligenz (KI) hat Stakeholder und Gesetzgeber im vergangenen Jahr massiv beschäftigt und wird dies auch weiterhin tun. Im Jahr 2023 war aus Sicht von Spieleunternehmen der Einsatz von generativer KI zur Erzeugung von Spielinhalten das zentrale Thema: Die Verringerung von rechtlichen Risiken einerseits (weil KI generierte Inhalte auch Rechte Dritter verletzen können), die Frage der urheberrechtlichen Schutzfähigkeit von KI-generierten Inhalten andererseits (die bisherige Rechtsprechung von US-Gerichten ist hier sehr zurückhaltend).

Im Dezember 2023 haben sich dann die Institutionen der Europäischen Union in den Trilogverhandlungen auf eine KI-Verordnung geeinigt, deren Veröffentlichung mit Spannung erwartet wird. Die KI-Verordnung verfolgt das Ziel, dass auf dem europäischen Markt eingesetzte KI sicher ist und mit den Grundwerten der EU im Einklang steht. Hieraus folgen auch für Publisher, die sich künstlicher Intelligenz bedienen wollen, Sorgfaltspflichten. Relevant kann im Spielebereich u.a. sein, dass „emotional recognition“ als Hochrisiko qualifiziert und einer besonders strengen Regulierung unterworfen wird.

Zudem können sich aus Spielen mit generativer KI neue jugendschutzrechtliche Risiken ergeben: Wenn Spielinhalte „on the fly“ durch generative KI erzeugt werden, können damit potenziell auch unvorhergesehene Inhalte entstehen.

Jugendschutz

Jugendschutz in Spielen war auch 2023 ein wichtiges Thema. Durch die überarbeiteten Prüfkriterien der USK zur Prüfung von digitalen Spielen, die auf das zuletzt im Jahr 2021 novellierte Jugendschutzgesetz zurückgehen, sind nunmehr auch sog. Nutzungsrisiken wie In-Game-Käufe oder Chatfunktionen bei der Überprüfung eines Spiels zu berücksichtigen. Dies hatte zur Folge, dass die jährliche Fußball-Sportsimulation von Electronic Arts (EA Sports FC24) erstmalig mit einer Altersfreigabe „Ab 12 Jahren“ versehen wurde. Dies ist auf die im Spiel enthaltenen Lootboxen zurückzuführen.

Die rechtliche Bewertung von Lootboxen ist bekanntlich seit Jahren ein Diskussionsthema. Für Schlagzeilen sorgten in diesem Zusammenhang diverse Urteile aus Österreich, wonach die Lootboxen u.a. von FIFA 23 als illegales Glücksspiel einzustufen seien. Ob dies auf die Rechtslage in Deutschland zu übertragen ist, ist fraglich, aber die Diskussionen über bezahlpflichtige Beutekisten wird auch im neuen Jahr nicht abreißen.

Geoblocking

Im September 2023 bestätigte das Gericht der Europäischen Union ein durch die Europäische Kommission verhängtes Bußgeld gegen Valve, den Betreiber der bekannten Spieleplattform Steam wegen unzulässigen Geoblockings. Geoblocking beschreibt die Praxis, den Zugang zu digitalen Inhalten aufgrund des geografischen Standorts des Nutzers zu beschränken. Im Falle von Valve bestätigte das Gericht die Auffassung der EU-Kommission, dass Valve zusammen mit anderen Anbietern bilateral ein Geoblocking vereinbart und durch die geografische Beschränkung von Spielaktivierungsschlüsseln Verbraucher daran gehindert hatte, das beste Angebot in den verschiedenen EU-Mitgliedstaaten zu wählen.

Der EuGH hat mit Urteil vom 7. Dezember (Az. C-634/21) entschieden, dass eine Kreditwürdigkeitsprüfung durch die SCHUFA eine automatisierte Entscheidung im Sinne von Art. 22 DS-GVO darstellt, die grundsätzlich rechtswidrig ist. Laut EuGH ist ein Scoring nur dann zulässig, wenn es notwendig ist, eine Rechtsgrundlage besteht oder der Betroffene seine Einwilligung gibt. Der EuGH hat entschieden, dass eine Entscheidung im Sinne von Art. 22 DSGVO auch dann vorliegt, wenn diese automatisierte Bewertungsmaßnahmen enthalten kann, die die eigentliche Entscheidung erheblich beeinflussen. Das Urteil kann über den Einzelfall hinausgehende gravierende Auswirkungen (z.B. auf das automatisierte Bannen von Spielern) haben.

Verbraucherschutz

Im Verbraucherschutz ist immer was los. Bußgelder wurden trotz erster Untersuchungen durch die EU-Kommission nicht bekannt. Gleichwohl beschäftigen die Instanzgerichte oftmals verbraucherrechtliche Themen wie etwa Preisanpassungsklauseln, Widerrufsrechte und In-Game-Käufe Minderjähriger.
Der "Kündigungsbutton" bei Online-Verträgen war auch im Jahr 2023 ein Dauerbrenner bei den Verbraucherzentralen. Wir erinnern uns : 

Auf nationaler Ebene gilt seit dem 1.7.2022 § 312k BGB nF, der vorsieht, dass für Verbraucher bei entgeltlichen Dauerschuldverhältnissen im elektronischen Geschäftsverkehr ein Kündigungsbutton bereitgehalten werden muss.

Aus einer Untersuchung des Verbraucherzentrale Bundesverbands (vzbv) im vergangenen Jahr folgte, dass die Umsetzung auch weiterhin mangelhaft war. Mittlerweile existieren auch die ersten rechtskräftigen Urteile, die eine leichte Auffindbarkeit und eine Möglichkeit zur Kündigung ohne Login fordern.

More Mana more Problems

Das Landgericht Hamburg hatte es im Jahr 2023 mit einem Energydrink-Pulver für Gamer zu tun. Dieses wurde von dem Anbieter damit beworben, dass Gamer bessere Leistungs- und Konzentrationsfähigkeiten erhalten können. Verbraucherschützer und das Landgericht sahen hierin einen Verstoß gegen die Health-Claims-Verordnung (Verordnung 1924/2006/EG) und untersagten die Bewerbung.

Fazit

Die rechtliche Beratung und Betreuung bei Videospielen und im E-Sport war auch im Jahr 2023 wieder geprägt von einem dynamischen, komplexen, aber insbesondere farbenfrohen Umfeld mit stetig neuen Herausforderungen. Im Kontext sich stetig weiterentwickelnder Unionsrechtsakte gilt es, den Überblick zu behalten und das passende Loadout für den Run zu wählen. Angesichts der raschen technologischen Entwicklungen und der ständigen Veränderungen im digitalen Raum bleibt die Rechtslandschaft der Spielewelt ein spannendes und herausforderndes Feld, das kontinuierliche Aufmerksamkeit und Anpassungsfähigkeit erfordert.

P.S.: Wir suchen stets Referendare (w/m/d), die sich für diesen dynamischen Themenkomplex interessieren und Teil unseres Teams in Frankfurt werden wollen. Die Systemvoraussetzungen sowie aktuelle Angaben zum Loot befindet sich hier.

Dr. Andreas Lober
Daniel Trunk

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Den gesamten Beitrag erreichen Sie hier: sueddeutsche.de

Mit diesem Blogbeitrag stellen wir die neuen, teils tiefgreifenden Änderungen der Richtlinie vor, die nach den Vorstellungen der EU-Kommission insbesondere durch die Einbeziehung von Software in den Produktbegriff nunmehr für das digitale Zeitalter gerüstet werden soll - eine der Prioritäten der EU-Kommission im Rahmen ihrer Digitalstrategie.

Neuer Produktbegriff umfasst Software

Die Produkthaftungsrichtlinie ist die Rechtsgrundlage für Schadensersatz aufgrund eines fehlerhaften Produkts, durch welches natürliche Personen einen Schaden erleiden. Dabei steht naturgemäß der Begriff des Produkts im Mittelpunkt. Nachdem jahrelang Uneinigkeit darüber herrschte, ob Software als solche ebenfalls vom Produktbegriff umfasst wird, wurde dieser Diskussion nun ein Ende bereitet. Künftig soll nun explizit auch Software vom Produktbegriff umfasst werden. Hierzu gehören beispielsweise Betriebssysteme, Firmware und Computerprogramme. Dabei soll Software unabhängig davon als Produkt gelten, ob sie auf einem Gerät gespeichert wird oder über Cloud-Technologien abgerufen wird. Ausgenommen ist der Quellcode von Software.

Ausnahme Open Source Software

Vom Anwendungsbereich der Produkthaftungsrichtline ausgenommen ist demgegenüber freie und open source Software, allerdings nur, wenn sie außerhalb einer gewerblichen Tätigkeit entwickelt oder bereitgestellt wird. Sofern derartige Software gegen ein Entgelt bereitgestellt oder sofern personenbezogene Daten verwendet werden, ist die Verwendung als gewerbliche Tätigkeit zu qualifizieren mit der Konsequenz, dass dann die Produkthaftungsrichtlinie Anwendung findet.

Fehlerhaftigkeit eines Produkts

Nach der Richtlinie hat ein Produkt einen Fehler, wenn es nicht die Sicherheit bietet, die die breite Öffentlichkeit erwarten kann. Insoweit gibt es keine wesentlichen Änderungen zur alten Produkthaftungsrichtlinie. Neu ist dabei allerdings, dass die Gerichte nunmehr im Rahmen der Beurteilung, ob ein Fehler vorliegt, eine Reihe von Faktoren wie die Vernetzung, Selbstlernfunktionen und insbesondere Cybersicherheit von Produkten berücksichtigen sollen.

Recht auf Schadenersatz auch bei Verlust oder Verfälschung von Daten

Jede natürliche Person, die durch ein fehlerhaftes Produkt einen Schaden erleidet, hat einen Anspruch auf Schadensersatz. Schäden können dabei sowohl der Tod als auch Körperverletzungen sein, wobei zu letzterem nun auch medizinisch anerkannte Beeinträchtigungen der psychischen Gesundheit zählen. Ferner normiert die neue Richtline auch die Beeinträchtigung oder Zerstörung von Vermögensgegenständen als Schaden. Darüber hinaus soll zukünftig auch ein Verlust oder die Verfälschung von Daten als Schaden angesehen werden. Abgedeckt werden aus dem Schaden resultierende Verluste sowohl materieller als auch immaterieller Art.

Neue Regelungen zur Beweislast und Zugang zu Beweismitteln

Ein weiteres Kernelement der neuen Produkthaftungsrichtlinie sind neue Beweislastregelungen. Für einen geschädigten Verbraucher ist es oftmals schwierig, die Fehlerhaftigkeit eines Produkts, den Schaden bzw. den ursächlichen Zusammenhang zwischen dessen Fehlerhaftigkeit und dem entstandenen Schaden nachzuweisen, nicht zuletzt wegen der zunehmenden technischen Komplexität vieler Produkte. Die neue Produkthaftungsrichtlinie sieht daher zum Ausgleich dieser Informationsasymmetrie vor, dass eine geschädigte Person, die vor einem nationalen Gericht eine Entschädigung geltend macht, Zugang zu relevanten, in der Verfügungsgewalt des Herstellers befindlichen Beweismitteln beantragen kann, um ihre Ansprüche nachweisen zu können. Dies steht allerdings unter dem Grundsatz der Verhältnismäßigkeit. Vorgesehen sind dabei auch Maßnahmen zum Schutz der Vertraulichkeit der offenzulegenden Informationen einschließlich Geschäftsgeheimnissen. Es bleibt abzuwarten, wie diese Regelungen in nationales Recht umgesetzt werden. Diese Pflicht zur Offenlegung stellt jedenfalls ein Novum im Produkthaftungsrecht dar, welches Grundprinzipien des deutschen Zivilprozessrechts auf den Kopf stellt und zu einem erhöhten Haftungsrisiko für die Wirtschaftsakteure führen dürfte.

Ferner wird festgeschrieben, dass Gerichte Beweiserleichterungen dergestalt anordnen können, dass der Geschädigte lediglich die "wahrscheinliche Fehlerhaftigkeit" bzw. dass diese den Schaden "wahrscheinlich verursacht" hat nachweisen muss. Damit soll gewährleistet werden, dass Verbrauchern eine faire Chance haben, in komplexen Fällen Schadensersatz zu erlangen. Auf eine Umkehr der Beweislast konnte man sich demgegenüber nicht verständigen.

Haftung von Plattformbetreibern

Die neue Produkthaftungsrichtlinie nimmt auch die neue digitale Realität in den Blick und bestimmt, dass nunmehr auch Online-Plattformen für fehlerhafte Produkte haftbar gemacht werden können. Voraussetzung ist, dass sie die Rolle eines Herstellers, Einführers oder Händlers wahrnehmen. Online-Plattformen sollen daher insbesondere haften, wenn sie ein Produkt so präsentieren, dass ein Durchschnittsverbraucher zu der Annahme veranlasst würde, dass das Produkt von der Online-Plattform selbst bereitgestellt wird und wenn die Online-Plattformen es versäumen, unverzüglich einen relevanten Wirtschaftsakteur mit Sitz in der EU zu benennen. Sofern sie lediglich eine reine Vermittlerrolle spielen, greift zu ihren Gunsten der bedingte Haftungsausschluss nach dem Gesetz über digitale Dienste (Digital Services Act – DSA).

Haftbarkeit des Fulfilment-Dienstleisters

Verbraucher erwerben zunehmend Produkte von Herstellern mit Sitz außerhalb der EU. Vor diesem Hintergrund soll dem Verbraucherschutz dadurch besser Rechnung getragen werden, dass in diesen Fällen der Einführer des fehlerhaften Produkts, der in der EU ansässige Bevollmächtigte des Herstellers oder als ultima ratio auch der sogenannte „Fulfilment-Dienstleister“ haftbar gemacht werden können. Als „Fulfilment-Dienstleister“ definiert die Produkthaftungsrichtlinie jede natürliche oder juristische Person, die im Rahmen einer Geschäftstätigkeit mindestens zwei der folgenden Dienstleistungen anbietet: Lagerhaltung, Verpackung, Adressierung und Versand eines Produkts.

KI-Systeme

Explizit umfasst werden sollen auch KI-Systeme. Die Produkthaftungsrichtlinie steht neben dem jüngst verabschiedeten AI Act und ergänzt diesen. Während ausweislich der Gesetzesbegründung mit dem AI Act unter anderem sichergestellt werden soll, dass Hochrisiko-KI-Systeme die Sicherheits- und Grundrechtsanforderungen erfüllen (z. B. Daten-Governance, Transparenz, menschliche Aufsicht), soll mit der Produkthaftungsrichtlinie sichergestellt werden, dass bei fehlerhaften KI-Systemen, die physische Schäden, Sachschäden oder Datenverluste verursachen, vom Anbieter des KI-Systems oder von jedem Hersteller, der ein KI-System in ein anderes Produkt integriert, Schadenersatz verlangt werden kann.

Offenbar keine Einigung gab es bislang zum Entwurf der "Richtlinie über außervertragliche zivilrechtliche Haftung künstlicher Intelligenz (Richtlinie über KI-Haftung)", welchen die EU-Kommission im Jahr 2022 zur Diskussion gestellt hat. Dieses Vorhaben dürfte für 2024 wieder auf der Tagesordnung stehen.

Ausblick

Bevor die Produkthaftungsrichtline in Kraft treten kann, ist im nächsten Schritt noch die formelle Zustimmung der EU-Gremien notwendig. Sodann haben die Mitgliedstaaten zwei Jahre Zeit, diese in nationales Recht umzusetzen.

Die neue Produkthaftungsrichtlinie statuiert eine verschuldensunabhängige Haftung. Dies ist für Hersteller in vielen Bereichen bereits Usus, für Softwarehersteller einschließlich Anbietern von Cloud-Technologien allerdings juristisches Neuland. Bemerkenswert ist, dass recht geräuschlos der Rotstift angesetzt und der bisherige Selbstbehalt des Geschädigten in Höhe von 500 Euro gestrichen wurde. Mit der im Jahr 2020 durch die EU-Verbandsklagerichtlinie festgeschriebenen und inzwischen im Verbandsklagenrichtlinienumsetzungsgesetz (VRUG) umgesetzten Möglichkeit der sogenannten Abhilfeklage steht zu vermuten, dass sich Unternehmen unter Umständen auf Sammelklagen von Verbrauchern einstellen müssen, können somit doch nun massenhaft Bagatellschäden gebündelt eingeklagt werden.

Dr. Peggy Müller

Dem Änderungsvorhaben liegt ein Bericht zur Überprüfung der derzeitigen Praxis im Bereich der alternativen Streitbeilegung mit Verbrauchern zugrunde. Er stellt fest, dass die ADR-Richtlinie (Richtlinie 2013/11/EU) zwar einen Zugang zu qualitativen Verbraucherschlichtungsverfahren im europäischen Raum geschaffen hat, diese Verfahren aber unzureichend genutzt würden. Nur 2% der Verbraucheranträge werden an ADR-Einrichtungen weitergeleitet, oft weil Unternehmen außerhalb der Plattform Lösungen vorschlagen. Die OS-Verordnung (Verordnung 2013/524/EU) wird als überholt betrachtet, da sich die digitalen Märkte seit ihrer Einführung stark verändert haben. Außerdem gebe es jetzt viele alternative Streitbeilegungsmöglichkeiten auf digitalen Marktplätzen.

Das Änderungsvorhaben:

Die Kommission schlägt daher vor, die OS-Verordnung aufzuheben. Zusätzlich veröffentlichte die Kommission eine Empfehlung zu Qualitätsanforderungen für Streitbeilegungsverfahren, die von Online-Marktplätzen und Wirtschaftsverbänden angeboten werden. Einen Überblick der Vorhaben haben wir hier für Sie zusammengestellt:

Reformierung der alternativen Streitbeilegung:

Das Herzstück der Reform liegt in der Anpassung der ADR-Richtlinie. Die Richtlinie soll nun auch nicht-vertragliche und vorvertragliche Streitigkeiten sowie Streitigkeiten mit Händlern außerhalb der EU umfassen. Grenzüberschreitende Streitigkeiten sollen durch digitale Tools vereinfacht werden. Außerdem sollen die Berichtspflichten der ADR-Kontaktstellen aufgeweicht werden. Diese sollen nun alle zwei Jahre statt jährlich berichten. Händler werden laut dem Vorschlag in die Pflicht genommen, auf Anfragen von ADR-Kontaktstellen zu antworten. Gleichwohl sind sie zur Teilnahme nicht verpflichtet. Die Richtlinie soll mindestharmonisierend bleiben. Damit behalten die EU-Mitgliedsstaaten Gestaltungsspielräume bei der Ausgestaltung ihrer ADR-Systeme. Mit den Änderungen sollen den heutigen Verbraucherbedürfnissen Rechnung getragen werden.

Einstellung der OS-Plattform:

Die OS-Verordnung soll aufgehoben werden. Der Vorschlag basiert auf der Feststellung, dass die OS-Plattform trotz hoher Besucherzahlen nur eine geringe Anzahl von Fällen (durchschnittlich 200 pro Jahr EU-weit) an ADR-Einrichtungen weiterleitet. Diese geringe Nutzung rechtfertige nicht die Kosten für die Aufrechterhaltung der Plattform.

Ein verbraucherfreundliches Umfeld im digitalen Raum:

Die Empfehlung der Kommission, ein nicht-verbindliches Instrument, zielt darauf ab, Qualitätsstandards für Streitbeilegungsverfahren zu setzen, die von Online-Marktplätzen und Wirtschaftsverbänden in der EU angeboten werden. Diese Empfehlung basiert auf der ADR-Richtlinie und legt nahe, dass diese Verfahren den Qualitätskriterien der Richtlinie entsprechen sollten, um Fairness und Effektivität zu gewährleisten. Die Empfehlung umfasst Richtlinien für Fachwissen, Unabhängigkeit, Unparteilichkeit, Effektivität und Fairness in diesen Verfahren. Online-Marktplätze und Wirtschaftsverbände werden zudem angehalten, regelmäßige Selbstbewertungsberichte zu veröffentlichen und vor Beginn des Verfahrens über wesentliche Merkmale zu informieren.

Einschätzung:

Die Reformvorschläge der EU-Kommission sind ein zweckmäßiger Schritt in Richtung eines sinnvollen und effizienteren Verbraucherschutzsystems im digitalen Zeitalter. Sowohl Verbraucher als auch die Unternehmen können von der alternativen Streitbeilegung profitieren. Spannend wird sein, wie sich die alternative Streitbeilegung auf nicht-vertragliche Streitigkeiten auswirkt und, ob dies zu einer Zunahme von Beschwerden durch Verbraucher führt. Positiv ist ferner, dass die OS-Plattform einer kritischen Bestandsaufnahme unterzogen wurde. Selbstverständlich wird ein Wegfall der OS-Plattform den bis dato spärlichen und dem Bericht zufolge weitgehend sinnlosen Hinweis, die Bezugnahme in diversen Impressen und Geschäftsbedingungen hinfällig machen.

Daniel Trunk

Der AI-Act verfolgt das Ziel, dass nur solche KI-Systeme auf den europäischen Markt gebracht und in der EU genutzt werden, die sowohl sicher sind als auch die Grundrechte und Werte der EU respektieren. Allerdings: auch wenn man unbedingt eine Einigung erzielen wollte, so wurde das Verhandlungsergebnis verkündet, ohne bislang einen konsolidierten Text präsentieren zu können. Die politische Einigung soll nun erst in den kommenden Monaten in einen endgültigen Text gegossen werden. Hierzu sind bis Ende Februar mehrere technische Verhandlungstermine angesetzt. Da die aktuell verfügbaren Informationen teilweise erheblich voneinander abweichen, gilt es, bis zur Veröffentlichung des finalen Textes im ersten Quartal des Jahres 2024 abzuwarten. Der nachfolgende Überblick soll die wichtigsten bekannten Regelungen vorstellen.

Definition KI-System

Im neuen AI-Act wird zunächst eine zu den letzten Vorschlägen des Europäischen Parlaments veränderte Definition eines KI-Systems enthalten sein, welche sich an die Definition der OECD anlehnt. Die Definition der OECD lautet wie folgt:

“An AI system is a machine-based system that, for explicit or implicit objectives, infers, from the input it receives, how to generate outputs such as predictions, content, recommendations, or decisions that can influence physical or virtual environments. Different AI systems vary in their levels of autonomy and adaptiveness after deployment.”

Hieran wird insbesondere kritisiert, dass die Definition ausgesprochen weit gefasst ist und hiernach beispielsweise sogar einfache Autokorrektur- oder Excel-Funktionen hierunter fallen. Insoweit bleibt der finale Gesetzestext einschließlich seiner Erwägungsgründe, die ja bekanntlich oft zur Feinjustierung bestimmter Begrifflichkeiten genutzt werden, abzuwarten.

Risikobasierter Ansatz

Diese Verordnung, die auf einen Vorschlag seitens der EU-Kommission vom April 2021 zurückgeht und Teil der Digitalstrategie der EU ist, verfolgt einen risikobasierten Ansatz. Danach werden KI-Systeme – je nach dem von ihnen ausgehenden Risiko - in verschiedene Gruppen eingeteilt: von solchen mit einem geringen Risiko über Hochrisiko-KI-Systeme bis hin zu verbotenen KI-Systemen.

Danach gelten für alle KI-Systeme sechs Grundsätze, respektive sollen sie (1) menschliches Handeln und menschliche Aufsicht ermöglichen, (2) technisch robust und sicher sein, (3) die Vorschriften der Privatsphäre und des Datenschutzes einhalten, (4) transparent sein, (5) Vielfalt, Diskriminierungsfreiheit und Fairness und (6) soziales und nachhaltiges Wohlergehen gewährleisten.

Verbotene KI-Systeme

Verboten sein werden in der EU zukünftige KI-Systeme, die ein inakzeptables Risiko beinhalten. Hierzu gehören beispielsweise Systeme manipulativer Techniken, Schwächen oder Schutzbedürftigkeit ausnutzende Systeme, das Social Scoring sowie Datenbanken, die auf einem massenhaften Auslesen von Gesichtsbildern basieren.

Bis zuletzt wurde schwer gerungen, ob KI zur Gesichtserkennung erlaubt sein soll oder nicht. Während sich einzelne Länder für einen Einsatz von KI zur Gesichtserkennung stark gemacht hatten, beispielsweise Frankreich mit dem Argument, hiermit die Sicherheit rund um Großereignisse wie die Olympischen Spiele 2024 absichern zu können, herrschte überwiegend Skepsis. Trotz eines harten Kampfes über mehrere Verhandlungstage war kein vollständiges Verbot der biometrischen Echtzeit-Identifizierung gegen den massiven Widerstand der Mitgliedsländer erreichbar.Nach langen Diskussionen wurden die Verbote angepasst, bei denen es um eine Erkennung von Emotionen sowie um biometrische Fernidentifizierung geht.

So gilt das Verbot von KI-Systemen zur Erkennung von Emotionen jetzt nur noch am Arbeitsplatz und in der Ausbildung. Demgegenüber soll es auch zukünftig möglich bleiben, derartige Systeme aus medizinischen oder sicherheitstechnischen Gründen einzusetzen, um beispielsweise die Müdigkeit von Piloten zu überwachen.

Ebenfalls geändert wurden die Vorschriften zur biometrischen Fernidentifizierung. So blieben sowohl die Identifizierung in Echtzeit als auch die nachträgliche verboten. Ausnahmen sind zur Strafverfolgung in klar definierten Fallgestaltungen vorgesehen. Zusätzlich sieht das Gesetz einen Katalog an Schutzmaßnahmen, mit dem etwaige Missbräuche verhindert werden sollen.

Hochrisiko-Systeme

Ein großer Teil von KI-Systemen wird als Hochrisiko-KI-System einzuordnen sein. Hierunter fallen beispielsweise KI-gestützte Medizinprodukte oder autonome Fahrzeuge. Generell gelten unter anderem die Bereiche Bildung, kritische Infrastruktur, Migration, Asyl oder Grenzkontrollen als kritische Bereiche mit hohem Risiko.

Hockrisiko-KI-Systeme müssen eine Reihe von Anforderungen und Verpflichtungen erfüllen, um innerhalb der EU zugelassen zu werden. So müssen Konformitätsbewertungen durchgeführt werden sowie ein Qualitäts- und Risikomanagementsystem integriert werden. Ferner müssen Hockrisiko-KI-Systeme in der entsprechenden EU-Datenbank registriert werden. Unangetastet blieb, dass eine Folgenabschätzung für die Grundrechte durchgeführt werden muss, allerdings gilt dies nur für öffentliche Einrichtung und solche privaten Stellen, die wesentliche öffentliche Dienstleistungen erbringen, wie beispielsweise Krankenhäuser oder Banken. Nochmalige Änderungen wurden dabei zur Verteilung der Verantwortlichkeiten und der Rollen der verschiedenen Akteure vorgenommen.

Neu ist die Einführung eines Filtersystems. Danach kann ein KI-System seine Einstufung als Hockrisiko-System verlieren, wenn es eine von insgesamt vier Voraussetzungen erfüllt, etwa wenn es (1) eine menschliche Tätigkeit überprüfen oder verbessern soll oder (2) lediglich dazu dient, Entscheidungsmuster oder Abweichungen von früheren Entscheidungsmustern zu erkennen, (3) nur zur Durchführung vorbereitender Aufgaben für eine Bewertung verwendet, die für kritische Anwendungsfälle relevant ist oder (4) nur eine enge verfahrenstechnische Aufgabe erfüllen soll.

KI-Systeme mit begrenztem Risiko

Für KI-Systeme mit begrenztem Risiko gelten zukünftig Transparenzverpflichtungen. Hierzu zählt vor allem die Information, dass ein bestimmter Inhalt von KI generiert wurde. Hierdurch soll sichergestellt werden, dass der Nutzer eine fundierte Entscheidung über die weitere Nutzung treffen kann.

Generative KI

In Bezug auf generative AI gibt es ebenfalls einige Änderungen. Dies verwundert nicht, handelte es sich hierbei doch um die umstrittensten Bestimmungen. Während sich das Europäische Parlament – nicht zuletzt unter dem Eindruck von ChatGPT – dafür ausgesprochen hatte, generative KI-Systeme zu regulieren, hatte die Kommission zuletzt die Auffassung vertreten, dass derartige KI-Systeme keiner Regelung bedürfen, es vielmehr ausreiche, wenn sich deren Hersteller lediglich Selbstverpflichtungen unterwerfen.

Anstelle der bisher als "Foundation Models" bezeichneten KI-Systeme wird nun von "General purpose AI" gesprochen. Die Definition von "general purspose AI" wurde dahingehend verändert, dass nur noch große generative KI-Systeme hierunter fallen:

“‘General purpose AI model’ means an AI model, including when trained with a large amount of data using self-supervision at scale, that is capable to competently perform a wide range of distinct tasks regardless of the way the model is released on the market.”

Entwickler von general purpose AI-Modellen müssen gewisse Mindestanforderungen erfüllen, wie beispielsweise eine technische Dokumentation erstellen, Informationen für nachgelagerte Anbieter bereitstellen und Aufschluss über Trainings- und Testverfahren geben. Ferner müssen sie urheberrechtliche Bestimmungen einhalten und die damit generierten Produkte müssen mit einem Wasserzeichen versehen werden.

Große KI-Systeme mit systemischen Risiken, sogenannte "systemic risk AI" bzw. Top Tier Modelle, die beim Training eine bestimmte Rechenleistung (10²⁵ FLOPs) übersteigen, müssen zusätzliche Verpflichtungen einhalten. Hierzu gehört es beispielsweise ein Risikomanagement einzurichten und ein angemessenes Niveau der Cybersicherheit aufrechtzuerhalten. Die Einzelheiten hierzu stehen noch nicht fest. Aktuell wird aber davon ausgegangen, dass OpenAIs GPT4 ebenso wie Googles Gemini als solche Systeme mit systemischem Risiko angesehen werden. Die Modelle der europäischen Entwickler Aleph Alpha und Mistral dürften aufgrund ihrer Rechenleistung demgegenüber nicht als KI-Modell mit systemischem Risiko einzustufen sein. Ein Schelm, der Böses dabei denkt.

Das Anknüpfen an die Rechenleistung wird stark kritisiert, da diese wenig über die Risiken eines KI-Systems aussage. Um zukünftig Anpassungen an den Stand der Technik vornehmen zu können, kann der aktuelle Schwellenwert zukünftig von der Kommission angepasst und zusätzlich weitere Kriterien festgelegt werden.

Open Source Modelle

Bereits im bisherigen Vorschlag waren KI-Modelle, die auf Open Source Lizenzen basieren, vom AI-Act ausgenommen. Nach der jüngsten Einigung sollen nur solche open source generative purpose AI-Systeme in den Anwendungsbereich des AI-Acts fallen, die als systemische Risiko-KI-Systeme eingestuft werden, auch sind sie nicht von den Anforderungen an Hockrisiko-KI-Systeme befreit. Dies ist zu begrüßen, sagt doch allein die Tatsache, ob ein KI-Modell auf Open Source Lizenzen basiert oder nicht, wenig über das von ihm ausgehende Risiko aus.

Urheberrechtliche Vorgaben

KI-Entwickler müssen künftig eine Copyright Policy sowie eine detaillierte Zusammenfassung der Inhalte öffentlich bereitstellen, die sie zum Trainieren ihrer generative purpose AI-Modelle benutzt haben. Die Transparenzvorgabe soll es den Urhebern ermöglichen nachzuvollziehen, ob ihre Werke genutzt wurden. Bislang wurde nicht ausgeführt, was genau "detailliert" bedeutet. Schenkt man den bislang mitgeteilten Informationen Glauben, so wird ausdrücklich die Text und Data Mining Schranke für generative KI anerkannt. Das war bislang umstritten. Zum Hintergrund: Eingriffe in die urheberrechtlichen Verwertungsrechte sind nur dann zulässig, wenn diese durch Schrankenbestimmungen freigestellt werden. Für das mit dem Training von KI einhergehenden Vervielfältigungen sind die Schranken für Text und Data Mining, respektive die automatisierte Analyse von Werken zur Informationsgewinnung über Muster, Trends und Korrelationen, relevant. Ausweislich der Text und Data Mining Schranke sind insbesondere Vorbehalte der Rechteinhaber zu beachten.

Sanktionen

Die im AI-Act angedrohten Strafen wurden nochmals verändert, bleiben aber je nach Schwere des Verstoßes gestaffelt. Danach kann beispielsweise ein Verstoß gegen das Verbot bestimmter Systeme und die Nichteinhaltung der Datenanforderungen mit bis zu 7 % des weltweiten Jahresumsatzes des Unternehmens oder EUR 35 Mio. sanktioniert werden.

Durchsetzung und Behörden

Innerhalb der Europäischen Kommission wird (bereits jetzt) ein AI Office eingerichtet, welche die Regulierung der generative purpose AI-Systeme durchsetzen soll. Alle anderen KI-Systeme werden von den zuständigen nationalen Behörden überwacht. Um eine einheitliche Anwendung der Rechtsvorschriften zu gewährleisten, sollen diese regelmäßig in einem Europäischen Ausschuss für künstliche Intelligenz zusammenkommen.

Beschwerderecht

Ebenfalls neu eingeführt wurde die Möglichkeit für natürliche und juristische Personen, bei der zuständigen nationalen Behörde Beschwerde über die Nichteinhaltung der Vorgaben des AI-Acts einzureichen.

Inkrafttreten des AI-Acts

Grundsätzlich wird der überwiegende Pflichtenkatalog des AI-Acts 24 Monate nach seinem Inkrafttreten anwendbar sein. Allerdings sieht der aktuelle Entwurf des AI-Acts vor, dass bestimmte Pflichten schon früher gelten sollen. So wird das Verbot bestimmter Systeme bereits sechs Monate nach Inkrafttreten des Gesetzes wirksam und damit aller Voraussicht bereits im Laufe des Jahres 2024. Die Anforderungen an generative purpose AI-Systeme gelten bereits 12 Monate nach Inkrafttreten des AI-Acts.

Daher ist es unbedingt anzuraten, sich frühzeitig mit den Regelungen des AI-Acts auseinanderzusetzen, nicht zuletzt vor dem Hintergrund, dass die Umstellung etwaiger Systeme durchaus Zeit in Anspruch nehmen kann.

Next steps

Wie eingangs bereits erläutert, ist der AI-Act noch – lange - nicht fertiggestellt. Zwar gibt es die jüngst verkündete politische Einigung auf die Eckpunkte, die technischen Details des Gesetzestextes müssen nun aber in den nächsten Wochen erst noch im Detail ausgehandelt werden. Dieses Auseinanderdividieren und Verhandeln der bits & pieces kann noch ein Weilchen dauern, denn wie heißt es doch so schön: der Teufel steckt im Detail. Abschließend müssen sodann die Gremien der EU dem finalen Verordnungstext zustimmen. Das es sich um eine Verordnung handelt, gilt sie jedoch unmittelbar in allen Mitgliedsstaaten, eine Umsetzung in nationales Recht ist nicht erforderlich.

Fazit

Die EU beabsichtigt, mit dem AI-Act ein - wie sie selbst es nennt - "äußerst heikles Gleichgewicht" zwischen der Förderung von Innovation und der Verbreitung von KI in Europa einerseits und der Wahrung der Grundrechte der EU-Bürger andererseits herzustellen. Das zuletzt über 250 Seiten lange Werk kommt eher als ein bürokratisches Monstrum daher und wird vielen Unternehmen hohe Dokumentationspflichten aufbürden. Aufgrund der Unschärfe vieler Regelungen wird es eine Reihe von Graubereichen geben, die zu Unsicherheiten und schlimmstenfalls zu Überlegungen führen können, ob vor diesem Hintergrund zunächst eher auf den Einsatz von KI verzichtet werden sollte, bis sich eine einheitliche Anwendungspraxis der zuständigen Behörden herauskristallisiert. Nichtsdestotrotz ist im Grundsatz der Versuch der EU zu begrüßen, sich diesem großen zeitgemäßem Themenkomplex anzunehmen und den dynamischen Entwicklungen dadurch Rechnung zu tragen, dass eine kontinuierliche Anpassung der Bestimmungen, wie explizit vorgesehen, vorgenommen wird.

Dr. Peggy Müller

Frankfurt/München, 1. Dezember 2023 – Die internationale Wirtschaftskanzlei ADVANT Beiten hat die Interhyp AG, Vermittler für private Baufinanzierungen, beim Erwerb sämtlicher Geschäftsanteile an der plattformübergreifenden Meta-Immobiliensuchmaschine ThinkImmo GmbH rechtlich und steuerlich umfassend beraten. Über das Transaktionsvolumen haben die Parteien Stillschweigen vereinbart.

Die plattformübergreifende Meta-Immobiliensuchmaschine erreicht mit über 400.000 Immobilienangeboten von etablierten Plattformen bis hin zu Zeitungsangeboten eine fast vollständig Marktabdeckung. Die Suchdienste wenden sich an Privatkunden, Immobilieninvestoren und Kreditvermittler.

Die Interhyp AG will mit der Übernahme ihre Marktposition weiter stärken und die beiden Kernkompetenzen „Immobiliensuche“ und „Immobilienfinanzierung“ optimal miteinander verknüpfen und ihr Leistungsspektrum dementsprechend erweitern.

Das gesamte ThinkImmo-Team um die Gründer Fabian Lurz, René Füchtenkordt und Stefan Perlebach bleibt vollständig an Bord und wird sich darauf konzentrieren, die Weiterentwicklung der ThinkImmo-Produktlösungen voranzutreiben.

Die Interhyp AG hat im Jahr 2022 ein Finanzierungsvolumen von EUR 29 Mrd. erfolgreich bei ihren über 500 Finanzierungspartnern platziert. Das Unternehmenbeschäftigt rund 1.600 Mitarbeiterinnen und Mitarbeiter und ist an über 100 Standorten persönlich vor Ort für ihre Kundinnen und Kunden und Partner präsent.

Berater Interhyp AG:
ADVANT Beiten: Dr. Christoph Schmitt (Banking/Finance, Frankfurt), Dr. Markus Ley (Corporate/M&A, München, beide Federführung), Susanne Klein, Jason Komninos (beide IP/IT, Frankfurt), Christian Schenk, Dennis Grimmer (beide Steuern, Düsseldorf), Dr. Gerald Müller-Machwirth (Arbeitsrecht, Frankfurt) und Maximilian Matusewicz (Corporate/M&A, München).

Pressekontakt
Frauke Reuther
Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Die Allgemeinen Nutzungsbedingungen zur datenschutzrechtlichen Auftragsverarbeitung durch staatliche Stellen für öffentliche Stellen finden Sie hier.

Dr. Ariane Loof

Der Data Act – eine EU-Verordnung und als solche in allen EU-Staaten direkt anwendbar – sieht harmonisierte Regeln für den „fairen Zugang zu und die Nutzung von Daten“ vor. Anders als die DSGVO ist er nicht auf personenbezogene Daten beschränkt. Ziel ist es, diese Daten wirtschaftlich nutzbar zu machen.

Schon jetzt ist klar, dass das Gesetz weit über die Regulierung des „Internet der Dinge“ (IoT) hinausgehen wird. Es betrifft insbesondere so genannte „connected products“ und Cloud Dienste.

Nachfolgend geben wir einen ersten Überblick auf Basis der politischen Einigung. Da die Diskussionen über den Data Act europaweit erfolgen – auch innerhalb vieler Unternehmen grenzüberschreitend – verwenden wir im Folgenden auch die englischen Begriffe aus dem Data Act.

DATA SHARING (Datenweitergabe): Sogenannten data holdern (Dateninhabern) werden weitreichende Pflichten auferlegt, insbesondere Bereitstellungs- und Zugangspflichten in Bezug auf Nutzerdaten.

Daten von connected products (vernetzten Produkten) oder related services (verbundenen Diensten) müssen unter Umständen mit dem Nutzer oder einem Dritten (Datenempfänger) geteilt werden. Damit sollen die Rechte der Nutzer im Verhältnis zum data holder gestärkt werden. Zudem sollen Anreize für neue Akteure geschaffen werden, in die Datenwirtschaft zu investieren.

connected products und related services müssen anhand der Vorgaben aus dem Data Act gestaltet werden („Access by Design“). Das Gesetz verlangt von den data holdern außerdem, dass sie Daten aus connected products oder related services unentgeltlich und gegebenenfalls kontinuierlich in Echtzeit zugänglich machen.

Bislang sind viele connected products und related services nicht in diesem Sinne konzipiert, weshalb der Data Act und seine Pflichten künftig von Anfang an in der Produktentwicklung mitgedacht werden müssen.

Umgekehrt dürfen data holder nicht-personenbezogene Daten nicht mehr völlig frei mit anderen Akteuren – etwa zu Werbezwecken – teilen. Insoweit wird das Recht zur Datenweitergabe grundsätzlich auf das zur Erfüllung des Nutzervertrags erforderliche Maß eingeschränkt. Eine darüberhinausgehende Weitergabe von nicht-personenbezogenen Daten kann künftig einen Datenlizenzvertrag erfordern. Dies betrifft voraussichtlich auch Alt-Datenbestände.

Kleine und mittelständische Unternehmen sind in der Regel von den Verpflichtungen zur gemeinsamen Nutzung von Daten befreit (weniger als 50 Beschäftigte oder 10 Mio. EUR Jahresumsatz).

• Missbräuchliche Vertragsklauseln: Die Vorschriften gegen missbräuchliche Vertragsklauseln (Kapitel IV) sollen den Missbrauch von vertraglichen Ungleichgewichten verhindern. Dabei führt das Gesetz ein Verbot missbräuchlicher Klauseln in B2B-Verträgen ein und orientiert sich in der Regelungstechnik am AGB-Recht. Neben einer Generalklausel sind im Data Act auch (nicht abschließende) Regelbeispiele für missbräuchliche Klauseln enthalten. Darunter fallen beispielsweise Regelungen, die die Haftung für die Qualität der zur Verfügung gestellten Daten einschränken. Darüber hinaus können ausschließliche Nutzungsrechte an Daten, die einseitig auferlegt werden, problematisch sein. Unterstützend sollen in diesem Rahmen von der Europäischen Kommission Mustervertragsklauseln veröffentlicht werden, an denen sich Unternehmen orientieren können.
• Daten für den öffentlichen Sektor: in Notlagen, beispielsweise bei Naturkatastrophen, müssen öffentlichen Stellen (public sector bodies) Daten, die zur Bewältigung der Notlage erforderlich sind, bereitgestellt werden.
• Regulierung von Datenverarbeitungsdiensten, insbesondere von Cloud-Diensten: Der Data Act will den Wechsel zwischen gleichartigen „data processing services“ erleichtern (Kapitel VI). Unter den generischen Begriff „data processing services“ fallen u. a. Software as a Service (SaaS), Infrastructure as a Service (IaaS) und Platform as a Service (PaaS). Diese Vorschriften sollen den EU-Cloud-Markt aufbrechen und die Portabilität von Daten zwischen Cloudanbietern zu erleichtern. Geregelt werden sehr detailliert vor allem technische und organisatorische Maßnahmen, aber auch vertragliche Details. So ist beispielsweise eine Höchstgrenze für Kündigungsfristen vorgesehen. Weiter müssen Schnittstellen zur Datenübertragung beim Export von Daten zwischen verschiedenen Anbietern von Cloud-Diensten geschaffen werden. Neben diesen sehr detaillierten Vorgaben im Einzelfall findet sich aber auch ein - jedenfalls nach dem Wortlaut – nahezu uferlos anmutendes Verbot von Hindernissen für einen Wechsel („Insbesondere dürfen Anbieter von Datenverarbeitungsdiensten keine vorkommerziellen, gewerblichen, technischen, vertraglichen und organisatorischen Hindernisse aufzwingen und müssen solche Hindernisse beseitigen“). Ausnahmen gelten für „custom-built“ data processing services.
• Internationale Datenübermittlung und Interoperabilität: Auch der internationale Datentransfer wird eigens geregelt, um den unrechtmäßigen Zugriff ausländischer staatlicher Stellen auf nicht-personenbezogenen Daten zu verhindern (Kapitel VII). Die Vorgaben sind aber nicht mit den Bestimmungen der DSGVO zu Datenübermittlungen an Drittländer identisch. Daneben sind Regelungen zur Interoperabilität vorgesehen (Kapitel VIII).

Last-Minute Änderungen von Definitionen

Der Gesetzgebungsprozess für das Gesetz begann Anfang 2022. Es gab noch in der Schlussphase des Gesetzgebungsprozesses wesentliche Änderungen, sogar bei Bestimmungen wie den Definitionen von „connected product“ und „related services“. Diese sind aber elementar für den Anwendungsbereich des Gesetzes, konkret: für die Bestimmung, wer als „data holder“ (Dateninhaber) gilt und somit von zahlreichen Verpflichtungen betroffen ist. Der erste Entwurf der Europäischen Kommission schloss noch Geräte wie PCs, Smartphones und Spielkonsolen aus. In der politischen Einigung, die nun erzielt wurde, sind sie nicht mehr ausgeschlossen.

Die Definition des Begriffs „connected product“ („vernetztes Produkt") lautet nun wie folgt (wir geben aufgrund der Ambiguität der verwendeten Begriffe hier den englischen und den deutschen Originalwortlaut wieder):

‘connected product’ means an item that obtains, generates or collects data concerning ist use or environment and that is able to communicate product data via an electronic communications service, physical connection or on-device access, and whose primary function is not the storing, processing or transmission of data on behalf of any party other than the user;

‚vernetztes Produkt‘ [bezeichnet] einen Gegenstand, der Daten über seine Nutzung oder Umgebung erlangt, generiert oder erhebt und der Produktdaten über einen elektronischen Kommunikationsdienst, eine physische Verbindung oder einen geräteinternen Zugang übermitteln kann und dessen Hauptfunktion nicht die Speicherung, Verarbeitung oder Übertragung von Daten im Namen einer anderen Partei – außer dem Nutzer – ist;

‘related service’ means a digital service, other than an electronic communications service, including software, which is connected with the product at the time of the purchase, rent or lease in such a way that its absence would prevent the connected product from performing one or more of its functions, or which is subsequently connected to the product by the manufacturer or a third party to add to, update or adapt the functions of the connected product;

‚Verbundener Dienst‘ einen digitalen Dienst, bei dem es sich nicht um einen elektronischen Kommunikationsdienst handelt, – einschließlich Software –, der zum Zeitpunkt des Kaufs, der Miete oder des Leasings so mit dem Produkt verbunden ist, dass das vernetzte Produkt ohne ihn eine oder mehrere seiner Funktionen nicht ausführen könnte oder der anschließend vom Hersteller oder einem Dritten mit dem Produkt verbunden wird, um die Funktionen des vernetzten Produkts zu ergänzen, zu aktualisieren oder anzupassen;

Geschäftsgeheimnisse immer noch wenig geschützt

Die Verpflichtung zur Weitergabe von Daten kann sich sogar auf Geschäftsgeheimnisse erstrecken, obwohl es auch im Laufe des Gesetzgebungsverfahrens noch einige Änderungen gegeben hat. Auffällig ist dabei, dass der Schutz von Geschäftsgeheimnissen schwächer ausgeprägt zu sein scheint als unter der DSGVO. Der Schutz von Geschäftsgeheimnissen umfasst im Grundsatz einen mehrstufigen Mechanismus: Die relevanten Daten müssen vom data holder bzw. trade secret holder zunächst als Geschäftsgeheimnis identifiziert werden. Sodann sollen die Akteure der Datenweitergabe vertragliche, technische und organisatorische Maßnahmen vereinbaren, mit denen die Vertraulichkeit der zu übermittelnden Geschäftsgeheimnisse gewährleistet wird. Hierfür sollen künftig auch Standardvertragsklauseln bereitstehen. Nach der Vereinbarung von Schutzmaßnahmen müssen grundsätzlich auch Geschäftsgeheimnisse weitergegeben werden. Unklar ist, wie ein data holder diese Schutzmaßnahmen in der Praxis gegenüber den Empfängern der Daten, also typischerweise den eigenen Nutzern oder beauftragten dritten Unternehmen, durchsetzen soll. Die Weitergabe von Geschäftsgeheimnissen kann grundsätzlich nur ausgesetzt werden, wenn keine Einigung über die zu ergreifenden Schutzmaßnahmen erzielt, oder diese vom Empfänger der Daten unzureichend umgesetzt werden. Letzteres wird aber häufig mit einer Kompromittierung der Geschäftsgeheimnisse einhergehen. Jede Entscheidung über die Aussetzung der Datenweitergabe muss vom data holder begründet und der zuständigen Behörde gemeldet werden.

Der data holder kann die Weitergabe von Geschäftsgeheimnissen im Einzelfall zudem unter außergewöhnlichen Umständen ex ante verweigern, wenn er nachweist, dass ihm durch die Offenlegung des Geschäftsgeheimnisses mit hoher Wahrscheinlichkeit ein ernsthafter Schaden entsteht – auch in diesem Fall muss der data holder jedoch nicht nur den Nutzer über die Verweigerung informieren, sondern auch die zuständige nationale Behörde. Die Schwelle zum Verweigerungsrecht („highly likely to suffer serious economic damage“) wurde zuletzt etwas abgeschwächt, ist aber nach wie vor sehr hoch. Dies ist aus Sicht des data holders bzw.trade secret holders bedauerlich, könnte dieses ex ante Recht in vielen Fällen doch effektivste Möglichkeit sein, eine Offenlegung von Geschäftsgeheimnissen von vornherein zu verhindern.

Was ist mit der DSGVO?

Anders als die DSGVO gilt der Data Act sowohl für personenbezogene als auch für nicht-personenbezogene Daten. Die DSGVO dient vornehmlich dem Schutz natürlicher Personen und schafft Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Der Data Act will hingegen in erster Linie den freien Datenverkehr nicht-personenbezogener Daten realisieren. Das Datengesetz lässt die DSGVO unberührt, d. h. für Fälle der Nutzung eines connected products oder eines related services, wobei auch personenbezogene Daten erzeugt werden, gelten beide Gesetze nebeneinander.

Insbesondere will der Data Act den Schutz, den die DSGVO für personenbezogene Daten bietet, nicht herabsetzen, und kann daher auch nicht als Rechtsgrundlage für die Datenverarbeitung gemäß der DSGVO dienen. In der Praxis wird dies wahrscheinlich mehr Schwierigkeiten bereiten, als es auf den ersten Blick scheint, insbesondere wenn ein connected product oder ein related service personenbezogene und nicht-personenbezogene Daten sammelt - in diesem Fall müssen die letzteren möglicherweise weitergegeben werden, die ersteren jedoch nicht (soweit es sich um andere Personen als den Nutzer handelt) oder nicht ohne weiteres: Hier stellt sich dann jedenfalls die Frage, ob eine Rechtsgrundlage i.S. der DSGVO eine Weitergabe erlauben würde. Dies kann data holder künftig vor schwierige Situationen stellen. Sie müssen nun klarer als bisher entscheiden, welche Daten tatsächlich Personenbezug haben: Für diese ist ggf. eine Herausgabe nicht verpflichtend, für Daten ohne Personenbezug aber schon. Nicht einfacher wird dies, da es sich bei Daten von connected products oft um solche mit „relativem“ Personenbezug handeln wird – und die Frage des relativen Personenbezugs liegt gerade dem EuGH vor.

Zu Diskussionen kann es auch kommen bei der Frage, ob sich Inhaber von Geschäftsgeheimnissen darauf berufen können, dass die DSGVO deren Interessen durchaus stärker zu gewichten scheint als der Data Act.

Zeitplan

Nach der Annahme durch das Europäische Parlament muss nun noch der Rat zustimmen.

Im Anschluss an die Annahme wird der Data Act nach einer Übergangsfrist von etwa 20 Monaten in allen EU-Mitgliedstaaten unmittelbar anwendbar sein, ohne dass es der mitgliedstaatlichen Umsetzung der Regelungen bedarf. Die sog. „Access by Design“ Pflicht, also die Vorgabe zur Gestaltung von (neuen) connected products und related services, greift erst nach weiteren 12 Monaten. Abgesehen von dieser „Access by Design“ Pflicht sind vom Data Act aber nicht nur neue connected products bzw. related services betroffen, sondern – jedenfalls im Grundsatz – auch bereits im Markt befindliche. Damit dürften potenziell auch Inhaber von Alt-Datenbeständen bzw. vorhandenen Datensilos den neuen Regeln, insbesondere den Datenbereitstellungspflichten und den Einschränkungen in der Datennutzung (Stichwort: Datenlizenzvertrag), unterfallen. Gerade für solche potenziellen data holder könnte die Zeitspanne von 20 Monaten recht knapp ausfallen, um sich ausreichend auf die Verpflichtungen des Data Act vorzubereiten.

Seit dem 9. November 2023 liegt nun auch eine konsolidierte Fassung in deutscher Sprache vor. Diese finden Sie unter europarl.europa.eu

Dr. Andreas Lober
 

Lennart Kriebel

Dieser Blogbeitrag erscheint ebenso im Haufe Wirtschaftsrechtsnewsletter.

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Die Konzentration auf die Leiter Recht sowie Bereichsleiter in den Rechtsabteilungen stellt eine Neuerung bei der Erhebung dar und hat zu teils deutlichen Veränderungen geführt. In 32 definierten Rechtsgebieten wurden 9044 Empfehlungen abgegeben. 

Da sich ein Mandantenverhältnis zwischen einer Rechtsabteilung oder auch Compliance-Verantwortlichen und den externen Berater:innen häufig über längere Zeiträume erstreckt, hat der neue Kanzleimonitor keine isolierte Ein-Jahres-Betrachtung vorgenommen. Empfehlungen aus dem Jahr 2021 wurden mit dem Faktor 1, solche aus 2022 mit dem Faktor 3 und diejenigen aus 2023 mit den Faktor 4 berücksichtigt.

ADVANT Beiten erreicht in der Gesamtauswertung nach der Zahl der Empfehlungen (138) Position 13 der Liste „Top-100-Kanzleien“. Im vorigen Kanzleimonitor war es Rang 19.
 
Petra Fendt, Christian Hipp und Dr. Jochen Pörtge sind für ADVANT Beiten in der Gesamtwertung „Top-100-Anwälte“ vertreten.

Zudem gehört Tanja Hogh Holub zu den führenden Anwält:innen im Rechtsgebiet Patentrecht. Petra Fendt wird als eine der führenden Anwält:innen in der Finanzierung gelistet. Dr. Jochen Pörtge schafft es auf die Listen der führenden Anwälte in Compliance und im Strafrecht.

ADVANT Beiten liegt bei diesen 18 Rechtsgebieten unter "Führende Kanzleien" (zwei oder mehr Empfehlungen): 

• Aktien- & Konzernrecht (2)
• Arbeitsrecht (6)
• Compliance (18)
• Datenschutzrecht (6)
• Finanzierung (10)
• Gesellschaftsrecht (18)
• Gewerblicher Rechtsschutz (12)
• Immobilien- & Baurecht (2)
• IT-Recht (2)
• Kapitalmarktrecht (2)
• Kartellrecht (14)
• Litigation & ADR (10)
• M&A (7)
• Öffentliches Recht (4)
• Patentrecht (4)
• Strafrecht (8)
• Umweltrecht (4)
• Vertragsrecht (6)

Die Befragung bietet seit 2013 einen unabhängigen Marktüberblick der Mandatierung externer Kanzlei durch Unternehmensjuristen.

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Zwei.7 übernimmt im Zuge des Erwerbs die Kundenbeziehungen von Blue Safety. Mit Wirkung zum 1. Oktober 2023 sind sämtliche Mitarbeiter, die immateriellen Vermögenswerte sowie das Anlage- und Umlagevermögen auf den Investor übergegangen. Zwei.7 wird den Geschäftsbetrieb unter der Firma Blue Safety Hygienetechnologie GmbH fortführen.

Blue Safety hat sich seit 2010 der Entwicklung ganzheitlicher, rechtssicherer Hygiene-Technologien verschrieben. Der Fokus liegt dabei auf zahnärztlichen Praxen und Kliniken. Wasserhygiene ist integraler Bestandteil einer geschlossenen Hygienekette. Mit ihrem ganzheitlichen Hygiene-Technologie-Konzept garantiert das Unternehmen Zahnärzten rechtssichere Wasserhygiene und sorgt für hygienisch einwandfreies Wasser in der gesamten Praxis. Mithilfe zentral zudosierter hypochloriger Säure wird bestehender Biofilm abgebaut und dessen Neubildung dauerhaft verhindert.

Zwei.7 investiert regelmäßig in mittelständische Unternehmen und in Start-ups. Das inhabergeführte Unternehmen konzentriert sich dabei auf die Beteiligung an Unternehmen, Immobilien sowie die Ausstellung von Kunst.

ADVANT Beiten-Partner Wilken Beckering berät regelmäßig Unternehmen verschiedener Branchen aus dem Raum Osnabrück/Münster.

Berater Zwei.7:
ADVANT Beiten: Wilken Beckering (Federführung, Corporate/M&A und Insolvenzrecht), Jan-Moritz Degener (Corporate/M&A), Mathias Zimmer Goertz, Christian Frederik Döpke (beide IP/IT/Medien), Peter Weck (Arbeitsrecht), Thomas Herten (Mietrecht, alle Düsseldorf)

Insolvenzverwalter:
Michels Vorast Insolvenzverwaltung: Stephan Michels, Marcus Vorast (Münster)

Pressekontakt
Frauke Reuther
Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Unser Partner Dr. Andreas Lober beantwortet in diesem Artikel der Games Wirtschaft vom 29. September 2023 Fragen zu Unity und der Runtime Fee. Den gesamten Beitrag können Sie unter diesem Link einsehen.

Ab Freitag müssen große Online-Plattformen und Suchmaschinen die Regelungen einhalten, doch die Umsetzung wird herausfordernd. Unsere Expertin Dr. Peggy Müller betont, dass das Gesetz erstmals Bußgelder für Nichteinhaltung einführt – bis zu 6% des weltweiten Jahresumsatzes. Die neuen Anforderungen betreffen Inhaltsmoderation, Kennzeichnung illegaler Inhalte und Risikobewertungen. Experten sorgen sich um Qualifikationsdefizite und Rechtsunsicherheit. Details im vollständigen Beitrag auf der Webseite von Euractiv.

Düsseldorf, 21. August 2023 – Die internationale Wirtschaftskanzlei ADVANT Beiten hat die JD Investment GmbH, das Investmentvehikel des Fußballprofis Julian Draxler, beim Einstieg in das Sportstech-Start-up Coachwhisperer GmbH umfassend rechtlich beraten. Über die Höhe des Investments haben die Parteien Stillschweigen vereinbart.

Das 2021 in Jena gegründete Start-up hat ein innovatives Live-Kommunikationssystem für Trainer und Athleten entwickelt: Die Sport-Weste „Soundstar“ mit integriertem Lautsprecher und eine zugehörige App ermöglichen es Trainern, mit Spielern einzeln oder in Gruppen live während des Trainings – interaktiv – zu kommunizieren. Mit dem einzigartigen System können in der trainingstaktischen Ausbildung Lernprozesse optimiert und Trainingszeit eingespart werden. Neben diesem Kernprodukt entwickelt Coachwhisperer derzeit ein sogenanntes Hearable „LiveHearo“, das zusätzlich Vital-Parameter wie Herzfrequenz und Sauerstoffsättigung der Sportler misst. Die Produkte sind nicht nur auf Fußball begrenzt, sondern vielseitig integrierbar und somit auch auf andere Teamsportarten ausgerichtet.

Julian Draxler hat bereits in mehrere Start-up-Unternehmen investiert, bei deren Einstiegen ADVANT Beiten ebenfalls umfassend rechtlich beratend zur Seite stand. Bei Coachwhisperer bringt Julian Draxler auch seine Spielerexpertise und seine umfassende internationale Erfahrung ein. 2014 wurde er mit der deutschen Fußball-Nationalmannschaft Weltmeister. Das Gründerteam von Coachwhisperer bilden Philipp Zacher, Julien Pascal Then und Hendrik Thiedke. 2022 gelang eine siebenstellige Seed-Runde, an der sich Business Angel Joachim Bleschke und die Beteiligungsgesellschaft des Freistaats Thüringen beteiligten. Sie bleiben weiterhin als Investoren engagiert. Im März dieses Jahres gewann Coachwhisperer den Pitchwettbewerb der Startup-Plattform „Founders League“.

Berater JD Investment GmbH:
ADVANT Beiten:
Dr. Sebastian Weller (Corporate/M&A/Venture Capital, Düsseldorf), Markus Schönherr (Corporate/M&A/Venture Capital, Düsseldorf), Christian Döpke (IP/IT/Datenschutz, Düsseldorf), Peter Weck (Arbeitsrecht, Düsseldorf).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Sebastian Weller
Rechtsanwalt
ADVANT Beiten
+49 (211) 51 89 89 -134
sebastian.weller@advant-beiten.com

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Mit der Veräußerung des Geschäftsbereichs Reha-Technik übergibt die B. Braun Gesundheitsservice GmbH die Versorgung ihrer Reha-Technik-Patienten an die MEDI-CENTER Mittelrhein GmbH. Alle Mitarbeitenden, sowie Kund:innen werden übernommen; die bestehenden Verträge mit Krankenkassen sowie die Patientenversorgung werden uneingeschränkt fortgeführt.

Für die B. Braun Gesundheitsservice GmbH ist ihr stark regional begrenztes Geschäft der Reha-Technik nicht länger Bestandteil der strategischen Ausrichtung des Unternehmens. Mit MEDI-CENTER Mittelrhein hat das Unternehmen einen etablierten Partner im Bereich Krankenhaus-Entlassmanagement gefunden, der das Geschäft verlässlich weiterführt und die Bereitstellung von Reha-Technik-Hilfsmitteln wie Rollatoren, Rollstühlen oder Pflegebetten an allen Standorten weiterhin sicherstellt.

Berater B. Braun Gesundheitsservice GmbH:
ADVANT Beiten: Dr. Sebastian Weller (Federführung), Markus Schönherr (beide Corporate/M&A), Peter Weck (Arbeitsrecht, alle Düsseldorf), Susanne Klein (Frankfurt), Christian Döpke (Düsseldorf, beide Datenschutz), Christian Schenk, Alexander Thees, Moritz Bocks, Markus Linnartz (alle Steuern, Düsseldorf).

Berater MEDI-CENTER Mittelrhein GmbH,/ C. Krieger Konzern:
Lars Petrak (M&A, Corporate, federführend), Anke Diehn-Zilius (Arbeitsrecht), beide Gruppe Dr. Dienst & Partner, Koblenz

Pressekontakt
Frauke Reuther
Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Sebastian Weller
Rechtsanwalt
ADVANT Beiten
+49 (211) 51 89 89 - 134
sebastian.weller@advant-beiten.com

Verbraucherschützer haben begonnen, Verstöße gegen Informationspflichten bei Online-Bewertungen zu überprüfen und gegen diese vorzugehen. Die Verbraucherzentrale Bundesverband (vzbv) schreibt in einer Pressemitteilung vom 11. Juli 2023, dass sie in ausgewählten Fällen die Einleitung von Unterlassungsverfahren prüfe und Anbieter abgemahnt habe.

Das Ergebnis der Überprüfung

Die Evaluierung fällt nach Angaben des vzbv ernüchternd aus. So haben 90% der untersuchten Anbieter (27 von 30) nach Auffassung des vzbv gegen bestehende Verbraucherschutzvorschriften verstoßen. So sei es unter anderem problematisch, dass Bewertungen zu Produkten oder Dienstleistungen auf der Startseite angezeigt würden, ohne dass an dieser Stelle eine Aufklärung über die Verifizierung der entsprechenden Bewertungen erfolge. Kritisiert wurde ferner, dass Anbieter nicht offenlegen würden, wie sie die Echtheit der Kundenbewertungen sicherstellen. Schließlich moniert der vzbv, dass Informationen über die Herkunft der Bewertung auf den Webseiten versteckt und nicht unmittelbar aufzufinden seien.

Hintergrund

Im Rahmen der Umsetzung der Modernisierungsrichtlinie (Richtlinie 2019/2161/EU, auch bekannt als Omnibus-Richtlinie) sind für Unternehmen, die Nutzerwerbewertungen von Waren oder Dienstleistungen online zugänglich machen, zusätzliche Pflichten hinzugekommen.

Diese müssen seit 28. Mai 2022 darüber informieren, ob und wie sie sicherstellen, dass die veröffentlichen Bewertungen von Verbrauchern stammen, die diese Waren oder Dienstleistungen tatsächlich genutzt oder erworben haben, also „echt“ sind.
Eine aktive Pflicht zur Sicherstellung besteht demnach grundsätzlich nicht. Unternehmer müssen dann auf ihrer Webseite öffentlich deklarieren, dass die Bewertungen nicht auf ihre Echtheit überprüft worden sind. Treffen Unternehmer hingegen Maßnahmen zur Sicherstellung der Echtheit der Bewertungen, müssen sie über das „Wie“ informieren. Welche Maßnahmen dies konkret sein sollen, ist gesetzlich nicht vorgeschrieben. Der deutsche Gesetzgeber nennt in der Gesetzesbegründung als Beispiel, dass nur solche Verbraucher ein Produkt bewerten dürfen, die dieses tatsächlich über die Plattform des Unternehmers erworben haben.
Informiert werden soll ferner ausweislich den Erwägungsgründen der Richtlinie darüber, wie mit Bewertungen generell umgegangen wird, etwa ob alle Bewertungen – positive wie negative – veröffentlicht würden oder ob die Bewertungen gesponsert oder beeinflusst wurden.

Zwei weitere aktive Verhaltensweisen haben es in die sog. „schwarze Liste“ des UWG geschafft

Dies betrifft zunächst die Behauptung, dass Bewertungen eines Produkts von Verbrauchern stammen, die dieses tatsächlich verwendet oder erworben haben, ohne dass angemessene und verhältnismäßige Maßnahmen ergriffen wurden, um zu prüfen, ob die Bewertungen tatsächlich von solchen Verbrauchern stammen. Ferner unzulässig ist das Übermitteln oder Beauftragen gefälschter Verbraucherbewertungen sowie die falsche Darstellung von Bewertungen oder Empfehlungen von Verbrauchern in sozialen Medien zum Zwecke der Verkaufsförderung.

Ist einer der beiden Tatbestände erfüllt, so liegt stets ein unlauteres Verhalten des Unternehmers vor.

Einschätzung

Bewertungen und Empfehlungen von anderen Verbrauchern sind ein elementares Kaufentscheidungskriterium für Verbraucher. An einer ersichtlich unechten Kundenbewertung hat kein Verbraucher ein ernsthaftes Interesse. Dies hat sich nicht erst zum 28. Mai 2022 geändert, sondern hat die Gerichte auch schon zuvor beschäftigt. Die zusätzlichen Informationspflichten scheinen daher grundsätzlich sinnvoll. Gleichwohl besteht auch hier ein gewisses Risiko, dass der gute Gedanke hinter diesen Informationspflichten dazu führt, dass Verbraucher nunmehr „erst recht“ getäuscht werden, weil sie auf die Echtheit der Bewertungen vertrauen.

Indem Unternehmer dazu verpflichtet werden, Angaben über die Aussagekraft der bereitgestellten Online-Bewertungen zu machen, müssen diese aus eigenem Antrieb Transparenz schaffen (oder klarstellen, dass sie dies gerade nicht tun). Ob und wie sie dies tun, ist für Verbraucherschützer, Mitbewerber und Behörden, weil sie es offenlegen müssen, leicht nachprüfbar. Mithin besteht ein nicht unerhebliches Risiko, für die Verletzung von Verbraucherinteressen abgemahnt zu werden oder gar ein empfindliches Bußgeld zahlen zu müssen. Angesichts der ernüchternden Bilanz des vzbv ist mit einer Überprüfung weiterer Anbieter in absehbarer Zeit zu rechnen.

Daniel Trunk

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Das EuGH-Urteil vom 16. Juli 2020 und seine Auswirkungen

Der Europäische Gerichtshof (EuGH) hatte im sogenannten "Schrems II"-Urteil im Juli 2020 entschieden, dass der sog. EU-US-Datenschutzschild („Privacy Shield“), der bis dahin in der Praxis als wichtigster Mechanismus für Datenübermittlungen in die USA diente, unwirksam ist (wir berichteten im Datenschutz-Ticker Juli 2020). Seitdem herrschte große Unsicherheit, ob und unter welchen Voraussetzungen Datenübertragungen in die USA noch rechtlich möglich waren. Das Urteil hatte somit weitreichende Auswirkungen auf den transatlantischen Datenaustausch. Dies galt vor allem, aber nicht nur, für die Nutzung beliebter Onliner-Dienste wie Google und Facebook. Der EuGH hatte argumentiert, dass die Datenschutzstandards in den USA insbesondere aufgrund ausufernder Befugnisse der US-Geheimdienste nicht ausreichend seien und dass europäischen Bürgerinnen und Bürgern kein ausreichender Schutz vor staatlicher Überwachung und Datenmissbrauch zukomme. Auch das Fehlen effektiven Rechtsschutzes für EU-Bürgerinnen und -Bürger in den USA im Hinblick auf ihre Datenschutzrechte hatte der EuGH beanstandet.

Die alternative Absicherung der Datenübertragungen etwa durch den Abschluss von sog. Standardvertragsklauseln („SCC“) oder gar durch die Einholung von Einwilligungen für die Datenübertragung in Drittländer, insbesondere die USA, blieben höchst umstritten und bargen stets ein gewisses Risiko, einer gerichtlichen Überprüfung nicht Stand halten zu können oder ein erhebliches Bußgeld durch eine Datenschutzbehörde nach sich zu ziehen.

Der EU-US Data Privacy Framework als Lösung

Nachdem die EU-Kommission und die US-Regierung bereits im März 2022 verlautbaren ließen, sich grundsätzlich auf einen Rechtsrahmen für den transatlantischen Datentransfer geeinigt zu haben, hat die EU-Kommission nun den lange ersehnten Angemessenheitsbeschluss für den EU-US-Data Privacy Framework („Data Privacy Framework“) erlassen. Damit reagiert sie auf die Beanstandungen des EuGH im „Schrems II“-Urteil und bescheinigt den USA erneut, diesmal aber unter bestimmten Voraussetzungen, ein angemessenes Datenschutzniveau im Sinne der DSGVO.

Ähnlich wie schon der frühere „Privacy Shield“ basiert der Data Privacy Framework auf einem System der Zertifizierung. US-Organisationen und Unternehmen können sich zur Einhaltung der sog. EU-US Data Privacy Framework Principles verpflichten, welche sich an den Grundsätzen der DSGVO orientieren, sowie an weiteren Grundsätzen, die vom US-Handelsministerium (Department of Commerce) herausgegeben werden. Das US-Handelsministerium wird auch ähnlich wie beim früheren „Privacy Shield“ eine Liste im Internet veröffentlichen, in der die unter dem Data Privacy Framework zertifizierten Organisationen und Unternehmen aufgeführt werden.

Um sich gemäß dem Data Privacy Framework zu zertifizieren (oder sich jährlich zu rezertifizieren), müssen Organisationen und Unternehmen sich öffentlich zur Einhaltung der o.g. Grundsätze bekennen, ihre Datenschutzrichtlinien verfügbar machen und diese vollständig umsetzen. Im Rahmen ihres Zertifizierungsantrags müssen sie dem US-Handelsministerium diverse weitere Informationen vorlegen. Diese umfassen ihre Organisation, eine Beschreibung der Zwecke, für die personenbezogene Daten verarbeitet werden, die von der Zertifizierung erfassten personenbezogenen Daten sowie die gewählte Überprüfungsmethode, den relevanten unabhängigen Beschwerdemechanismus und schließlich die zuständige Durchsetzungsbehörde.

Organisationen und Unternehmen können erst ab dem Zeitpunkt, an dem sie in die Data Privacy Framework-Liste des US-Handelsministeriums aufgenommen worden sind, personenbezogene Daten auf der Grundlage des Data Privacy Framework erhalten und verarbeiten. Um Rechtssicherheit zu gewährleisten und um zu vermeiden, dass Organisation oder Unternehmen fälschlicherweise behaupten, zertifiziert zu sein, dürfen sie, wenn sie sich erstmals zertifizieren lassen, erst dann öffentlich auf ihre Einhaltung der Grundsätze bzw. ihre Zertifizierung hinweisen, wenn das US-Handelsministerium festgestellt hat, dass der entsprechende Zertifizierungsantrag vollständig ist und die Organisation bzw. das Unternehmen zur Liste hinzugefügt wurde. Um sich weiterhin auf den Data Privacy Framework als Transfermechanismus berufen zu können, muss eine jährliche Rezertifizierung durchgeführt werden.

Was müssen Unternehmen in der EU beachten?

Die bloße Existenz des Angemessenheitsbeschluss bzw. des Data Privacy Framework bedeutet leider noch nicht, dass in der EU bzw. im EWR ansässige Unternehmen nun unmittelbar ihre Datenübertragungen auf diesen stützen können. Denn zunächst muss die Zertifizierung des jeweiligen US-Unternehmens, an welches die Daten übermittelt werden sollen, erfolgt sein und dieses in der Data Privacy Framework-Liste veröffentlicht werden. Dies dürfte noch ein wenig Zeit in Anspruch nehmen, da die US-Unternehmen zunächst die oben beschriebenen Grundsätze umsetzen und Vorgaben einhalten müssen.

Wenn es so weit ist, müssen ggf. die Datenschutzerklärungen der Daten übermittelnden Unternehmen angepasst werden, da diese sich bezüglich der Datenübertragung in die USA bislang auf andere Mechanismen als den Angemessenheitsbeschluss berufen dürften. Die Datenschutzerklärung muss bei Datenübertragungen in Drittländer jedoch stets das Vorhandensein oder Fehlen eines Angemessenheitsbeschlusses der Kommission erwähnen (Art. 13 Abs. 1 lit. f) DSGVO).

Fazit und Ausblick

Der Angemessenheitsbeschluss der EU-Kommission beendet zunächst eine lange Periode der Rechtsunsicherheit für die Übertragung von personenbezogenen Daten in die USA. Sofern die oben beschriebenen Voraussetzungen erfüllt sind, dürfte der Beschluss in der Praxis zu erheblichen Vereinfachungen bei der rechtlichen Bewertung und Durchführung von rechtmäßigen US-Datentransfers führen. Der Data Privacy Framework hat aber auch unmittelbar harsche Kritik erfahren, weil er angeblich zu wenig von dem bereits vor dem EuGH gescheiterten Privacy Shield abweiche und daher keinen echten Schutz für die personenbezogenen Daten von EU-Bürgerinnern und -Bürgern in den USA biete. Es bleibt also abzuwarten, wie lange dieses Abkommen diesmal Bestand hat. Vorerst heißt es jedoch für viele in der EU bzw. dem EWR ansässige Unternehmen, die regelmäßig Daten in die USA übertragen wollen oder müssen: Aufatmen!

Fabian Eckstein

Das relevante Datum für klassische Webshop-Betreiber ist jedoch der 17. Februar 2024, wenn der DSA vollständige Geltung erlangt. Der Anwendungsbereich des DSA ist denkbar weit. Er erstreckt sich auf sämtliche Online-Vermittlungsdienste, die Dienste für EU-Nutzer zur Verfügung stellen. Der Begriff „Online-Vermittlungsdienste“ umfasst jeden Dienst, der auch in digitaler Form erbracht wird und damit zwangsläufig jeden Webshop. Der DSA stellt zunächst (1) ein Haftungsprivileg für die Dienste auf, was jedoch der bisherigen Rechtslage nach dem Telemediengesetz (TMG) weitgehend entspricht. Im Grundsatz gilt: Haben die Anbieter keine tatsächliche Kenntnis von rechtswidrigen Inhalten der Nutzer oder entfernen sie die Inhalte, sobald sie Kenntnis erlangen, haften sie nicht dafür. Außerdem enthält der DSA (2) Sorgfalts- und Transparenzpflichten sowie (3) Durchsetzungsmechanismen, zu denen auch Bußgelder gehören.

Die verschiedenen Arten von Vermittlungsdiensten

Der Digital Services Act unterscheidet verschiedene Arten von Vermittlungsdiensten. Je nach Einordnung in eine dieser Kategorien, gelten für die Anbieter dieser Dienste unterschiedliche Pflichten. Der Fokus des vorliegenden Beitrags liegt auf Webshops, die als Hosting-Dienste einzuordnen sind. Ob für Webshops mit einer Kommentarfunktion etwas anderes gilt, ist noch nicht abschließend geklärt.

1. Bei einer reinen Durchleitung werden vom Nutzer bereitgestellte Informationen lediglich übermittelt oder der Zugang zu einem Kommunikationsnetz vermittelt. Beispiele sind etwa VPN und WLAN-Anbieter, Top-Level-Domain oder E-Mail-Dienste.
2. 2Eine Caching-Leistung liegt hingegen bei einer automatischen, zeitlich begrenzten Zwischenspeicherung von Informationen vor, die allein der effizienteren Informationsübermittlung dient. Beispiele dafür sind Web- oder DNS-Caching.
3. Ein Hosting-Dienst speichert durch den Nutzer bereitgestellte Informationen in dessen Auftrag. Klassische Beispiele sind Cloud-Computing-Dienste sowie das Web-, E-Mail- und Server-Hosting.
4. Eine besondere Form des Hosting-Dienstes ist die Online-Plattform, ein Hosting-Dienst, der im Auftrag eines Nutzers nicht lediglich Informationen bzw. Inhalte speichert, sondern diese auch öffentlich verbreitet. Beispiele für Online-Plattformen sind Social-Media-Plattformen und Online-Marktplätze, also Online-Shops, bei denen auch dritte Unternehmer ihre Ware anbieten können. Ab einer durchschnittlichen monatlichen Zahl von mindestens 45 Millionen aktiven Nutzern in der EU gilt eine Online-Plattform als eine sog. sehr große Online-Plattform (Art. 33 Abs. 1 DSA).

Einordnung eines Webshops mit Kommentarfunktion

Soweit es sich lediglich um einen Webshop handelt, der keine Nutzerdaten langfristig speichert, ist der Dienst eine reine Durchleitung. Speichert der Anbieter – wie in den meisten Fällen – jedoch Nutzerdaten, leistet er einen Hosting-Dienst i.S.v. Art. 6 DSA. Bei einer Bewertungs- und Kommentarfunktion liegt dies jedenfalls vor, da die von den kommentierenden Nutzern hinterlegten Daten und Inhalte für längere Dauer gespeichert werden. Zudem werden sie vom Anbieter im Auftrag des Nutzers veröffentlicht, was den Webshop zu einer Online-Plattform i.S.d. DSA machen würde. Es gibt jedoch gute Gründe, die gegen die Einordnung des Webshops als Online-Plattform mit den damit einhergehenden erhöhten Pflichten sprechen.

Ein Vermittlungsdienst ist von den erhöhten Pflichten einer Online-Plattform ausgenommen, wenn die öffentliche Verbreitung von Informationen lediglich eine unbedeutende und reine Nebenfunktion eines anderen Dienstes oder eine unbedeutende Funktion des Hauptdienstes ist, die aus objektiven und technischen Gründen nicht ohne diesen anderen Dienst genutzt werden kann (Art. 3 lit. i DSA). Als eindeutiges Beispiel für eine Nebenfunktion nennt Erwägungsgrund 13 des DSA den Kommentarbereich einer Online-Zeitung, deren Hauptfunktion die Veröffentlichung von Nachrichten ist. Bei Social-Media-Plattformen ist die Kommentarfunktion hingegen eine der Hauptfunktionen. Die Bewertungs- und Kommentarfunktion im Webshop könnte vergleichbar zur Online-Zeitung als bloße Nebenfunktion des Hauptdienstes gesehen werden. Zwar wird im Erwägungsgrund des DSA auch ausdrücklich darauf hingewiesen, dass durch diese Einschränkung eine extensive Ausweitung der Pflichten verhindert werden soll. Aktuelle Rechtsprechung dazu liegt jedoch noch nicht vor, so dass eine eindeutige Einschätzung erst im Laufe der praktischen Anwendung des neuen Gesetzes gegeben werden kann.

Pflichten eines Webshop-Betreibers nach dem DSA

Für Betreiber eines Webshops gelten unabhängig davon, ob diese als Online-Plattform zu qualifizieren sind oder nicht, in jedem Fall diejenigen Pflichten, die für alle Vermittlungsdienste gelten:

• Ein Unternehmen, das einen Webshop betreibt, ist verpflichtet, jährliche Transparenzberichte über das Lösch- und Sperrverhalten zu veröffentlichen (Art. 15 DSA). Davon sind Kleinst- und Kleinunternehmer ausgenommen, d.h. Unternehmen mit weniger als 50 Beschäftigten und einem Jahresumsatz von unter 10 Mio. Euro. Für Online-Plattformen (Art. 24 DSA) und für sehr große Online-Plattformen (Art. 42 DSA) sind die Berichtspflichten verschärft.
• Zudem muss der Betreiber eine Kontaktstelle für den Kontakt zu Behörden (Art. 11 DSA) und eine Kontaktstelle für die Kommunikation mit den Nutzern (Art. 12) bereitstellen.
• Die Ausführung von Anordnungen durch nationale Behörden zum Vorgehen gegen rechtswidrige Inhalte muss diesen unverzüglich mitgeteilt werden (Art. 9 DSA).
• Die Allgemeinen Geschäftsbedingungen (AGB) müssen den Anforderungen des Art. 14 DSA genügen, d.h. insbesondere:
  • Sie müssen in klarer, verständlicher und benutzerfreundlicher Sprache angeben, welche Beschränkungen und Moderationsmaßnahmen für Nutzerinhalte gelten (Art. 14 Abs. 1 S. 1 DSA)
  • Werden Beschränkungen auferlegt, müssen Vermittlungsdienste sorgfältig, objektiv und verhältnismäßig vorgehen und alle Interessen der Nutzer berücksichtigen (insb. Charta-Grundrechte wie die Meinungsfreiheit der Nutzer, Art. 14 Abs. 3 DSA)
  • Sie müssen die Nutzer zudem über wesentliche Änderungen der AGB informieren (Art. 14 Abs. 2 DSA)
  • Wenn sich die Vermittlungsdienste an Minderjährige richten oder diese die Dienste überwiegend nutzen, müssen die AGB so verfasst sein, dass auch Minderjährige sie verstehen können (Art. 14 Abs. 3 DSA).

Ist der Webshop ein Hosting-Dienst, d.h. speichert er Nutzerdaten und -inhalte, muss der Betreiber weiteren Pflichten nachkommen. Diese umfassen insbesondere:

• Die Pflicht zur Meldung beim Verdacht der Begehung einer Straftat durch die veröffentlichten Inhalte der Nutzer und die Bereitstellung erforderlicher Informationen (Art. 18 DSA).
• Die Pflicht zur Einrichtung eines Notice-and-action-Systems, durch das Nutzer sowie Dritte rechtswidrige Inhalte melden können (Art. 16 DSA).
• Beschränkungen für Nutzer, die rechtswidrige oder den Nutzungsbedingungen widersprechende Inhalte veröffentlicht haben, müssen klar und spezifisch begründet werden (Art. 17 DSA).

Sollte der Webshop als Online-Plattform zu qualifizieren sein, treten die deutlich erhöhten Pflichten für Online-Plattformen hinzu. Zudem gibt es einige Sondervorschriften (Art. 29-32 DSA) für Online-Plattformen, die Verbrauchern den Abschluss von Fernabsatzverträgen mit dritten Unternehmern ermöglichen (Online-Marktplätze). Ausgenommen von diesen Sondervorschriften sind wiederum Kleinst- oder Kleinunternehmen.

Praxishinweis

Die Einordnung eines Online-Shops kann von Details abhängen und die damit einhergehenden Pflichten nach dem Digital Services Act sind vielfältig. Eine konkrete Prüfung des Einzelfalls ist daher empfehlenswert.

Dies zeigt auch das aktuell beim Europäischen Gericht erster Instanz (EuG) anhängige Verfahren betreffend den Online-Versandhändler Zalando, in dem es um die Qualifizierung als sehr große Online-Plattform geht. Am 25. April 2023 veröffentlichte die Europäische Kommission eine Liste mit 17 sehr großen Online-Plattformen, auf der sich auch Zalando wiederfand. Gegen die Qualifizierung als sehr große Online-Plattform reichte Zalando am 27. Juni 2023 eine Klage beim EuG ein. Das Unternehmen argumentiert unter anderem, dass die Europäische Kommission den mehrheitlichen Einzelhandelscharakter seines Geschäftsmodells nicht berücksichtigt habe und bemängelt die Art und Weise, wie „aktive Nutzer“ gezählt werden. Im Gegensatz zu einem klassischen Webshop, bei dem der Betreiber lediglich eigene Produkte anbietet und selbst Geschäfte mit den Nutzern abschließt, hat Zalando auch eine Marketplace-Funktion im Rahmen des Zalando-Partnerprogramms. Dabei vermittelt Zalando Geschäftsabschlüsse mit dritten Händlern. Je nach Produkt kommt entweder ein Vertrag allein mit dem Zalando-Partner zustande oder sowohl mit der Zalando SE als auch mit dem jeweiligen Zalando-Partner. Daher ist der Dienst von Zalando im Gegensatz zu Webshops ohne Marketplace-Funktion als Online-Plattform zu qualifizieren.

Für Webshop-Betreiber besteht in jedem Fall Handlungsbedarf. Unternehmen, die Webshops betreiben, sollten sich daher bis zum 17. Februar 2024 gut vorbereiten und die für sie geltenden Pflichten umsetzen. Wichtig ist insbesondere die rechtzeitige Einrichtung aller erforderlichen Kontaktstellen, die Veröffentlichung der erforderlichen Transparenzberichte, die Anpassung der AGB sowie der Einrichtung eines den Anforderungen entsprechenden Notice-and-action-Systems. Um diese Prozesse unternehmensintern und mit externen Beratern vorzubereiten und umzusetzen, sollte man einigen zeitlichen Vorlauf einplanen.

Dr. Birgit Münchbach

Dieser Blogbeitrag erscheint ebenso im Haufe Wirtschaftsrechtsnewsletter.

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Prof. Dr. Hans-Josef Vogel im TALK TOURISM shorts - Zukunftsdialoge von Touristik und Tourismus Podcast vom 22. Juni 2023. Den gesamten Podcast finden Sie unter diesem Link.

München, 16. Juni 2023 - Das neue Ranking der besten Jurist:innen für Deutschland hat der US-Fachverlag Best Lawyers in Zusammenarbeit mit dem „Handelsblatt“ veröffentlicht. Die Ergebnisse für „The Best Laywers in Germany (2024 Edition)“ beruhen auf Empfehlungen von Wettbewerbern und untermauern damit die hohe Reputation der gelisteten Expert:innen.

Basis der Recherche ist immer eine intensive Peer-to-Peer-Umfrage. Ausschließlich Anwält:innen werden nach der Reputation ihrer Wettbewerber befragt. Im Fokus steht dabei, Kolleg:innen außerhalb der eigenen Kanzlei zu empfehlen: Der Befragte soll für den hypothetischen Fall, selbst ein Mandat - aus Zeitgründen oder wegen einer Interessenkollision - nicht übernehmen zu können, Empfehlungen von Kolleg:innen aussprechen. Die Best Lawyers-Aufstellung ist eine umfassende Übersicht der angesehensten Jurist:innen, die die Auszeichnung aufgrund ihres herausragenden Renommees im Markt erhalten.

Von ADVANT Beiten werden 71 Juristinnen und Juristen in mindestens einem Rechtsgebiet empfohlen, dabei sind alle sechs deutschen Standorte der Kanzlei vertreten.

Zwei Berufsträger erhalten den „Lawyer of the year Award“: Dr. Gerrit Ponath für den Bereich Trust and Succession Planning und Stephan Rechten für den Bereich Public Private Partnerschip. Beide haben das jeweils beste Feedback für ihr jeweiliges Fachgebiet für den deutschen Markt erhalten. Jedes Jahr wird lediglich ein Anwalt/eine Anwältin als "Lawyer of the Year" pro Rechtsgebiet und Region ausgezeichnet.

Alexander Braun, Dr. Moritz Jenne und Markus Schönherr werden als „Ones to Watch“ gelistet. Hierbei werden herausragende juristische Talente für ein bestimmtes Rechtsgebiet ausgezeichnet.

Die vollständige Liste aller empfohlenen ADVANT Beiten-Anwältinnen und Anwälte, einschließlich der für Belgien empfohlenen Juristen, können Sie hier einsehen.

Den Beschluss können Sie im Downloadbereich einsehen.

Lighthouse gehört ab sofort als 100-prozentiges Tochterunternehmen zum Portfolio des Schwäbischen Verlags. Der in Hamburg ansässige Vermarkter wird als eigenständige Tochtergesellschaft operieren und sein Managementteam behalten.

Zum Schwäbischen Verlag gehören die Medienhäuser Schwäbisch Media, Nordkurier Mediengruppe sowie der Zollern-Alb-Kurier. Schwäbisch Media ist eines der führenden Medienhäuser in Baden-Württemberg, Kernprodukt ist die Schwäbische Zeitung - die größte regionale Abonnementzeitung Baden-Württembergs. Zum Medienmix gehören zudem u.a. die Tageszeitung Zollern-Alb-Kurier, das Tageszeitungs-Portal Schwäbische.de und Deutschlands größte regionale Privatsendergruppe Regio TV. Die Nordkurier Mediengruppe GmbH & Co. KG ist das führende Medienhaus im Nordosten Deutschlands für die Bundesländer Mecklenburg-Vorpommern und Brandenburg. Neben den klassischen Medien gehören zum Angebot auch Logistiklösungen sowie Dienstleistungen im Bereich Vermarktung, E-Commerce und weiteren Kreativdienstleistungen. Mit der Akquisition von Lighthouse stärkt der Schwäbische Verlag seine Position als modernes Medienunternehmen.

Lighthouse hat in den vergangenen Jahren die Transformation von einem Distributor von DVD und Blu-ray Discs für den stationären Handel zu einem Digitalunternehmen durchlaufen. Derzeit werden mehr als die Hälfte der Umsätze über den Digitalvertrieb erzielt. Durch die Integration beim Schwäbischen Verlag können neue Vermarktungsstrategien entwickelt und u.a. den Tageszeitungsabonnenten vielfältige zusätzliche Angebote zur Verfügung gestellt werden.

ADVANT Beiten berät und vertritt den Schwäbischen Verlag regelmäßig bei Transaktionen, zuletzt bei der Übernahme des Druck- und Verlagshauses Hermann Daniel.

Berater Schwäbischer Verlag GmbH & Co. KG Drexler, Gessler:
ADVANT Beiten: Dr. Barbara Mayer (Freiburg) und Christian Burmeister (Freiburg/Berlin, beide Federführung, Corporate/M&A), Daniel Rombach, Simon Schuler (beide Freiburg, Commercial), Dr. Holger Weimann, Dr. David Moll (beide München, IP), Dr. Dietmar Müller-Boruttau (Berlin, Arbeitsrecht).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Barbara Mayer
Rechtsanwältin
ADVANT Beiten
+49 (761) 15 09 84 - 14
Barbara.Mayer@advant-beiten.com

Der Hintergrund des Falles

Hintergrund des Falles war der Rechtsstreit eines Betroffenen in Österreich gegen die Österreichische Post AG („Österreichische Post“). Diese hatte seit 2017 mit Hilfe eines Algorithmus Informationen über die Affinitäten bzw. Neigungen der österreichischen Bevölkerung zu bestimmten politischen Parteien gesammelt. Durch die Berücksichtigung verschiedener sozialer und demografischer Merkmale wurden so „Zielgruppenadressen“ definiert. Diese Daten hatte die Österreichische Post wiederum zum Zweck des zielgerichteten Versands von Werbung an verschiedene Organisationen verkauft.

Dem Betroffenen und späteren Kläger des Ausgangsverfahrens war im Rahmen dieses automatisierten Verfahrens eine besondere Nähe zu der rechtspopulistischen FPÖ zugeschrieben worden. Obwohl die Daten des Klägers im konkreten Fall nicht an Dritte übermittelt worden waren, fühlte sich der Kläger, der einer Verarbeitung seiner personenbezogenen Daten nicht zugestimmt hatte, durch diese Einstufung beleidigt. Der Kläger behauptete, die Speicherung seiner Daten zu einer mutmaßlichen politischen Meinung habe bei ihm großen Ärger, einen Vertrauensverlust und ein Gefühl der Bloßstellung verursacht. Er erhob daher Klage gegen die Österreichische Post und verlangte Unterlassung der Verarbeitung seiner Daten sowie Zahlung von Schadensersatz in Höhe von EUR 1.000 wegen eines angeblich erlittenen immateriellen Schadens.

Land- und Oberlandesgericht bejahten den Unterlassungsanspruch, lehnten den begehrten Schadensersatz jedoch ab. Beide Gerichte sahen zwar die Möglichkeit eines Datenschutzverstoßes, verlangten aber für das Vorliegen eines Schadens die Überschreitung einer Erheblichkeitsschwelle. Der bloße Ärger des Klägers über eine unrechtmäßige Verarbeitung läge unterhalb dieser Schwelle, insbesondere da die Daten des Klägers nicht an Dritte weitergegeben worden waren.

Der mit der Revision befasste Oberste Gerichtshof in Österreich (OGH) legte die Sache daher dem EuGH mit sinngemäß folgenden Fragen zur Entscheidung vor:

1. Reicht bereits die Verletzung der DSGVO, um Schadensersatz zu begründen, oder braucht es einen tatsächlichen Schaden?
2. Muss für die Zuerkennung von Schadensersatz ein Schaden vorliegen, der einen bestimmten Grad an Erheblichkeit erreicht?
3. Macht das Unionsrecht weitere Vorgaben für den Schadensersatzanspruch?

Bloßer Verstoß gegen die DSGVO nicht ausreichend

In Bezug auf die erste Vorlagefrage hat der EuGH unmissverständlich klargestellt, dass allein der Verstoß gegen Bestimmungen der DSGVO nicht ausreicht, um einen immateriellen Schadenersatzanspruch zu begründen. Dies leitet der EuGH insbesondere aus dem Wortlaut des Art. 82 Abs. 1 DSGVO ab:

„Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.“

Die Erwähnung eines „Schadens“ und eines „Verstoßes“ in der Norm wäre überflüssig, wenn schon der bloße Verstoß gegen Bestimmungen der DSGVO für sich allein den Schadensersatzanspruch begründen könnte. Zudem würde die Vorschrift ansonsten ihren Ausgleichscharakter verlieren und zu einer reinen Sanktionsvorschrift werden.

Damit vertritt der EuGH eine andere Auffassung als insbesondere die deutschen Arbeitsgerichte. So ist das Bundesarbeitsgericht (BAG) bislang der Meinung gewesen, dass bereits ein Verstoß gegen die DSGVO zu einem immateriellen Schaden führe. Das BAG hat die Frage mit Beschluss vom 22. September 2022 (Az. 8 AZR 209/21) ebenfalls dem EuGH zur Entscheidung vorgelegt. Dieser Auffassung hat der EuGH bereits jetzt eine deutliche Absage erteilt und insoweit für Rechtsklarheit gesorgt.

Keine Erheblichkeitsschwelle für immateriellen Schaden

Hinsichtlich der zweiten Vorlagefrage hat der EuGH festgestellt, dass es für die Begründung eines immateriellen Schadens im Sinne von Art. 82 Abs. 1 DSGVO nicht auf das Erreichen einer bestimmten Erheblichkeit ankommt. Eine sogenannte Bagatellgrenze für den Schadensersatzanspruch gibt es damit nicht.

Insbesondere dieser Punkt wurde zuvor in der deutschen Rechtsprechung und Literatur sehr lebhaft diskutiert. Viele deutsche Gerichte urteilten dabei sehr zurückhaltend und setzten oftmals das Überschreiten einer Erheblichkeitsschwelle für die Begründung von immateriellem Schadensersatz voraus. Ein bloßes Ärgernis oder Unwohlsein des Betroffenen ließen sie daher nicht genügen. Auch der für das vorliegende EuGH-Verfahren zuständige Generalanwalt sprach sich in seinem Schlussantrag noch für das Erfordernis einer Erheblichkeitsschwelle aus.

Der EuGH legt den Begriff des Schadens jedoch unionsrechtlich aus und folgt einem sehr weiten Verständnis. Der Wortlaut der Vorschrift erwähne eine Erheblichkeitsschwelle an keiner Stelle. Es widerspreche auch dem vom Gesetzgeber gewollten weiten Verständnis des Schadensbegriffs, wenn man eine solche Schwelle voraussetzen würde. Zuletzt würde eine solche Begrenzung auch die einheitliche Rechtsanwendung in der Union gefährden, da eine Erheblichkeitsschwelle von den nationalen Gerichten in jedem Einzelfall unterschiedlich ausgelegt werden könne.

Der EuGH betont bei dieser Frage aber, dass der Betroffene dennoch den Nachweis eines durch den Rechtsverstoß kausal verursachten Schadens führen muss.

Keine Vorgaben zur Bemessung des Schadensersatzes

Zur dritten Vorlagefrage stellt der EuGH fest, dass die DSGVO hinsichtlich der Bemessung des konkreten Schadensersatzes keine Vorgaben macht. Damit überlässt der EuGH den nationalen Gerichten weiterhin die eigenständige Festsetzung der Höhe des Schadensersatzes. Die Gerichte in den Mitgliedstaaten müssen dabei aber die unionsrechtlichen Grundsätze der Äquivalenz und der Effektivität beachten. Art. 82 DSGVO verfolge eine Ausgleichsfunktion und eine finanzielle Entschädigung, um den erlittenen Schaden wirksam und vollständig auszugleichen.

Auswirkungen der Entscheidung

Die Entscheidung des EuGH wird voraussichtlich große Auswirkungen auf die deutsche Rechtsprechung haben. Die nationalen Gerichte sind an die Auslegung des EuGH gebunden und werden künftig Schadensersatzansprüche von potenziell geschädigten Personen nicht mehr unter Verweis auf eine Erheblichkeitsschwelle abweisen dürfen. Andererseits wird aber auch der sehr weitgehenden Auffassung vieler Arbeitsgerichte widersprochen, wonach bereits jeder Datenschutzverstoß einen immateriellen Schaden begründen soll. Insoweit bringt das Urteil des EuGH also einen wirklichen Mehrwert und mehr Rechtssicherheit.

Sicherlich könnte es Klägern damit leichter gemacht werden, einen immateriellen Schaden vor Gericht geltend zu machen. Ob es dadurch aber auch tatsächlich zu einer Häufung von Klageverfahren und stattgebenden Urteilen kommen wird, bleibt abzuwarten. Denn es ist weiter Aufgabe der Kläger, einen Verstoß gegen die DSGVO sowie einen dadurch erlittenen Schaden im Prozess nachzuweisen. Dabei werden Betroffene insbesondere zu dem erlittenen Schaden konkrete Ausführungen machen müssen, wobei floskelhafte Ausführungen nicht genügen dürften. Auch die Entscheidung über die Höhe eines Schadens liegt weiter allein bei den nationalen Gerichten, so dass weiterhin mit großen Unterschieden bei der Bemessung des Schadensersatzes zu rechnen ist.

Die Thematik bleibt auch über die aktuelle Entscheidung hinaus spannend, da dem EuGH eine Reihe von weiteren Vorabentscheidungsersuchen zu ähnlichen Fragen vorliegen. So möchte etwa das bulgarische Oberste Verwaltungsgericht vom EuGH wissen, ob bei einem Hackerangriff bereits Ängste und Sorgen wegen eines möglichen künftigen Missbrauchs von Daten einen immateriellen Schaden begründen (Az. C-340/21). Möglicherweise wird der EuGH hier in naher Zukunft weitere Klarheit in diese sehr praxisrelevanten Fragen bringen.

Jason Komninos

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Als einer der führenden deutschen Games-Publisher stärkt astragon Entertainment mit der Übernahme die Entwicklung der eigenen Simulationsmarken. astragon sieht in Independent Arts einen erfahrenen und zuverlässigen Partner, um die Entwicklung bestehender und neuer Working-Simulations-Titel weiter auszubauen sowie das Portfolio an Eigenproduktionen über verschiedene Plattformen hinweg zu diversifizieren.

Die in Hamm ansässige Independent Arts entwickelt seit 1990 kommerzielle Spielesoftware und gehört damit zu den ältesten und traditionsreichsten deutschen Entwicklerstudios. Das Studio mit 39 Mitarbeitenden verfügt über jahrzehntelange Erfahrung und Expertise durch eigene Entwicklungsprojekte und Portierungen, aber auch über eine starke kreative Eigenleistung sowie ein hervorragendes Management. Independent Arts begrüßt die weitere Vertiefung der Zusammenarbeit und die Möglichkeit, das Studio fortan als Teil von astragon personell und strukturell auszubauen, um zukünftig weitere Projekte umzusetzen und Geschäftsstrategien zu entwickeln.

Berater astragon:
ADVANT Beiten: Dr. Andreas Lober (IT/IP/Medien), Dr. Guido Ruegenberg (Corporate/M&A, beide Federführung), Lennart Kriebel (IT/IP/Medien), Dr. Gerald Müller-Machwirth (Arbeitsrecht, alle Frankfurt).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Guido Ruegenberg
Rechtsanwalt
ADVANT Beiten
Tel.: +49 69 756095-393
E-mail: guido.ruegenberg@advant-beiten.com

Dr. Andreas Lober
Rechtsanwalt
ADVANT Beiten
Tel.: +49 69 756095-582
E-mail: andreas.lober@advant-beiten.com

Die rasante technologische Entwicklung führt dazu, dass Unternehmen immer häufiger KI einsetzen. Dessen Potential wird aktuell kontrovers diskutiert, wie am Beispiel von ChatGPT deutlich wird. Das IDW definiert im PS 861 die Anforderungen an Prüfungen von KI-Systemen. Der Standard definiert erstmals ein Rahmenwerk und gibt Anwendern Kriterien und Maßnahmen zur Prüfung eines KI-Systems an die Hand.

Kriterien zur Prüfung von KI

Die konkrete Auswahl der Kriterien für die Ausgestaltung der Maßnahmen des KI-Systems liegen in der Verantwortung der gesetzlichen Vertreter des Unternehmens. Sie umfassen zumindest die folgenden Anforderungen:

1. Ethische und rechtliche Anforderungen für künstliche Intelligenz

Die Entwicklung, Einführung und Nutzung von KI soll mit den ethischen Werten des Unternehmens sowie mit gesetzlichen und regulatorischen Vorschriften im Einklang stehen. Diese umfassen zumindest menschliche Autonomie, Fairness und Nichtdiskriminierung.

2. Nachvollziehbarkeit

Das Unternehmen muss in der Lage sein, Entscheidungen des KI-Systems nachvollziehbar dazulegen. Die genutzten Daten müssen erklärbar und transparent sein. Transparenz bedeutet, dass die bereitgestellten Informationen, d.h. die Datensätze und Prozessschritte, die zu einer unternehmerischen Entscheidung geführt haben, nachvollziehbar dokumentiert sind. Erklärbarkeit bezieht sich auf die Möglichkeit, die Daten und die Modelle eines KI-Systems als auch die darauf basierenden Entscheidungen für den Anwender verständlich zu machen.

3. IT-Sicherheit

Zu den Anforderungen an die IT-Sicherheit gehören insbesondere: Vertraulichkeit, Integrität, Verfügbarkeit, Autorisierung, Authentizität, Verbindlichkeit.

4. Leistungsfähigkeit

Leistungsfähigkeit bezieht sich auf die Fähigkeit des KI-Systems, aufgrund interner Betriebspraktiken oder Technologien den vom Unternehmen definierten Anforderungen zu entsprechen.

Geeignete Maßnahmen bezogen auf die Elemente des KI-Systems

Folgende Maßnahmen erfüllen nach Maßgabe des IDW die vorgenannten Kriterien und sind bei einer Prüfung zugrunde zu legen:

1. KI-Governance/KI-Compliance/KI-Monitoring

KI-Governance betrifft die Grundeinstellung, das Problembewusstsein und das Verhalten in Bezug auf den Einsatz von KI.

KI-Compliance umfasst Maßnahmen, die der Einhaltung gesetzlicher sowie regulatorischer Vorgaben beim Einsatz von KI dienen.

KI-Monitoring meint die objektivierte Beurteilung der Angemessenheit und Wirksamkeit des KI-Systems durch das Unternehmen. Festgestellte Mängel im KI-System sind zu beseitigen und das KI-System soll so verbessert werden.

2. Daten

Das Unternehmen definiert Richtlinien und Anweisungen, die sicherstellen, dass Beschaffung und Nutzung der Daten im Einklang mit ethischen sowie rechtlichen Anforderungen stehen. Die Quelle der Daten wird identifiziert und dokumentiert. Die Sicherheit der Daten ist gewährleistet.

3. KI-Algorithmus/KI-Modell

Das eingerichtete Verfahren für die Entwicklung des KI-Algorithmus und KI-Modells ist für den Anwendungsfall geeignet und so ausgestaltet, dass die getroffenen Entscheidungen des KI-Algorithmus und KI-Modells nachvollziehbar sind und den Zielen und der definierten Leistungsfähigkeit im Zusammenhang mit dem Anwendungsfall entsprechen.

4. KI-Anwendung

Die Entwicklung bzw. Auswahl und Beschaffung von KI-Anwendungen entsprechen den unternehmensinternen Vorgaben.

Durch ein geeignetes Change-Management werden nur autorisierte und freigegebene Änderungen der KI-Anwendung produktiv genutzt.

Geschäftsprozesse werden durch den Einsatz von KI nicht ungewollt unterbrochen oder ungewollt verlangsamt.

5. IT-Infrastruktur

Es ist ein KI-Sicherheitskonzept vorhanden, welches in das IT-Sicherheitskonzept des Unternehmens eingebunden ist. Das KI-Sicherheitskonzept berücksichtigt die dynamische Weiterentwicklung des KI-Systems, ist dokumentiert, kommuniziert und beinhaltet insb. logische Zugriffskontrollen, Schutz vor Schadprogrammen, physische Sicherheitsmaßnahmen und Datensicherungsverfahren.

Die gesetzlichen Vertreter verantworten die Auswahl der Kriterien des KI-Systems. Darüber hinaus tragen sie die Verantwortung für Konzeption, Ausgestaltung, Implementierung, Angemessenheit und Wirksamkeit des KI-Systems.

Beschreibung des KI-Systems und dessen Prüfung

Ihre Dokumentationspflichten erfüllen die gesetzlichen Vertreter über die Erstellung einer detaillierten Beschreibung des KI-Systems, die frei von wesentlichen falschen Darstellungen aufgrund doloser Handlungen oder Irrtümern, sowie für die internen Kontrollen, die hierfür als notwendig erachtet werden.

Eine solche Beschreibung des KI-Systems einschließlich der darin enthaltenen Darstellungen der gesetzlichen Vertreter des Unternehmens zur Einhaltung der Kriterien definiert der IDW PS 861 als Gegenstand der Prüfung.

Die Mindestanforderung an die Beschreibung umfassen die folgenden Aspekte:

a. Darstellung der bei der Ausgestaltung des KI-Systems und bei der Erstellung der Beschreibung verwendeten Kriterien

b. Abgrenzung und Beschreibung der Elemente des KI-Systems

c. Klare, verständliche, vollständige und aktuelle Darstellung der Maßnahmen des KI-Systems zur Einhaltung der Kriterien

d. Aussage der gesetzlichen Vertreter des Unternehmens, dass die eingerichteten Maßnahmen zur Einhaltung der Kriterien angemessen und – im Fall einer Wirksamkeitsprüfung – im Berichtszeitraum wirksam gewesen sind

e. Veränderungen des zu prüfenden KI-Systems bezogen auf den Berichtszeitraum, sofern eine Wirksamkeitsprüfung erfolgt.

Die Prüfung der Beschreibung des KI-Systems ist entweder als Angemessenheitsprüfung oder als Wirksamkeitsprüfung durchzuführen.

Ausblick und Einordnung

Bereits im Februar 2022 hatte das IDW einen Entwurfsstandard EPS 861 veröffentlicht, der nunmehr in einen sofort gültigen, unmittelbar anwendbaren PS überführt wurde. Insofern ist der IDW PS 861 erstmals anzuwenden auf Prüfungen außerhalb der Abschlussprüfung, die nach dem 10. März 2023 beauftragt werden.

Aufgrund der Vielschichtigkeit und des hohen technischen Anspruchs der KI dürfte die Umsetzung des IDW PS 861 weiterhin eine Herausforderung darstellen. Insbesondere könnte die Anforderung der Nachvollziehbarkeit Anwendern Probleme bereiten.

Unternehmerische Entscheidung werden zwar immer häufiger unter Zuhilfenahme von KI getroffen. Letztlich fließen aber immer auch persönliche Erfahrungen und Eindrücke der handelnden Personen mit in die jeweilige Entscheidung ein. Diese sind selten objektiv und daher oftmals nicht eindeutig nachzuvollziehen. Ein KI-System dagegen handelt ausschließlich objektiv, indem es seine "Erfahrungswerte" ausschließlich datenbasiert trifft. Es bestehen für das KI-Systems regelmäßig keine Entscheidungsspielräume.

Im Ergebnis sind Schadensersatzansprüche, die einer Person aufgrund eines von einem KI-System hervorgebrachten Ereignisses entstehen, vor dem Hintergrund der aktuell herrschenden Rechtslage aufgrund der Besonderheiten des Systems oftmals sehr schwierig – im Einzelfall sogar unmöglich – durchzusetzen.

KI-Systeme sind oftmals sehr komplex und es dürfte daher häufig unmöglich sein, die haftenden Personen zu ermitteln oder der Beweispflicht hinsichtlich einer vorsätzlichen oder fahrlässigen Handlung nachzukommen.

Aus vorgenannten Gründen ist es daher für Entscheidungsträger ratsam, die bestehenden Risiken von KI – insbesondere im Bereich der (juristischen) Nachvollziehbarkeit – im Wege einer freiwilligen Prüfung nach IDW PS 861 zu minimieren.

Dennis Grimmer

Der Grundsatz scheint schon so alt wie Methusalem: Daten sind das Gold des 21. Jahrhunderts. Im Zeitalter einer datenagilen Wirtschaft ist es dementsprechend nicht verwunderlich, dass sich die EU-Kommission, allen voran die Kommissionspräsidentin Ursula von der Leyen, in ihrer Datenstrategie auf die Fahne geschrieben hat, die „Nutzung von Daten kanalisieren und gleichzeitig hohe ethische Datenschutz- und Sicherheitsstandards wahren“ zu wollen. Diesem Ziel nähert sich die EU nun durch den Entwurf des Data Act bzw. Datengesetz. Ein erster Entwurf des Data Act stammt bereits aus Februar 2022. Das Europäische Parlament hat mit großer Mehrheit nun seine Position zum Entwurf der EU-Kommission beschlossen. Damit nimmt dieses wichtige Gesetzgebungsvorhaben mit den folgenden Trilog Verhandlungen seinen weiteren Lauf und könnte bereits Ende 2023 abgeschlossen werden und in einem Gesetz münden.

Alle, die Produkte oder Dienste entwickeln, die Daten generieren, sollten nun hellhörig werden, denn das Gesetzesvorhaben bringt weitreichende Änderungen mit sich, die bereits in der Produktentwicklung Berücksichtigung finden müssen. Insofern ist Eile geboten, sind Entwicklungszyklen von neuen Produkten doch üblicherweise recht lang und mit einem Inkrafttreten des Data Act wäre bereits Ende 2024 zu rechnen. Dies gilt insbesondere vor dem Hintergrund, dass sich der Data Act – anders als die DSGVO – nicht auf personenbezogene Daten beschränkt. Er erfasst alle Arten von Daten - beispielsweise aus Fahrzeugen, Haushaltsgeräten und Konsumgütern, Gesundheits- und Lifestyleprodukten. Die im ursprünglichen Entwurf aus 2022 noch ausgenommenen Produkte wie Smartphones, Server oder Tablets fallen nach dem aktuellen Entwurf nun in den Anwendungsbereich. Damit sind diese Produkte nunmehr zum einen selbst, zum anderen aber auch die damit verbundenen digitalen Dienste, einschließlich essenzieller Software, vom Data Act umfasst.

Warum ist das Gesetz so einschneidend?

Ein primäres Ziel des neuen Gesetzes ist es, den Datenzugang und die Datennutzung für Verbraucher und Unternehmen zu erleichtern. Hierzu bestimmt der Entwurf des Data Act, dass Produkte so konzipiert und hergestellt werden müssen, dass die bei ihrer Nutzung erzeugten Daten standardmäßig für den Nutzer einfach, sicher und – soweit relevant und angemessen – direkt zugänglich sein müssen. Gleiches gilt für verbundene Dienste. Der aktuell im Entwurf verwendete Begriff der Daten reicht sehr weit und umfasst jede digitale Darstellung von Handlungen, Tatsachen oder Informationen auch in Form von Ton-, Bild- oder audiovisuellen Material. Verbundene Produkte im Sinne des Data Acts sind solche, die Daten über seine Nutzung erlangt, erzeugt oder sammelt und diese über einen elektronischen Kommunikationsdienst übermitteln kann (zumeist als Internet der Dinge bezeichnet). Derartige Produkte können beispielsweise Haushaltsgeräte und Konsumgüter sein, ebenso Medizin- und Gesundheitsprodukte oder industrielle Maschinen. Vom neuen Entwurf ebenfalls umfasst sind virtuelle Sprachassistenten und Chatbots.

Als Idealfall bestimmt der Entwurf des Data Act, dass der Nutzer direkt vom Produkt aus auf seine Daten zugreifen können soll. Andernfalls sollen nach dem geänderten Entwurf des Data Act Dateninhaber verpflichtet werden, die entsprechend generierten Daten dem Nutzer zur Verfügung zu stellen. Dies soll unverzüglich, kostenlos und gegebenenfalls kontinuierlich und in Echtzeit geschehen. Nutzer im Sinne dieser Vorschrift können dabei sowohl natürliche Personen als auch Unternehmen sein. Für Nutzer hätte dies den Vorteil, dass sie beispielsweise Wartungsdienste nicht beim Originalhersteller eines Produkts, sondern auch von einem anderen Unternehmen durchführen lassen könnten.

Damit nicht genug. Der Entwurf des Data Act erfordert ferner, dass der Hersteller bzw. der Verkäufer vor Abschluss von Verträgen über Produkte, seien es Kauf-, Miet- oder Leasingverträge, dem Nutzer klare und ausreichende Informationen bereitgestellt werden, wie auf die erzeugten Daten zugegriffen werden kann. Hierzu zählen beispielsweise Informationen über Art und Umfang der Daten, die voraussichtlich bei der Nutzung des Produkts erzeugt werden, und ferner darüber, ob die Daten voraussichtlich kontinuierlich und in Echtzeit erzeugt werden. Darüber hinaus verlangt der Data Act, dass Hersteller bzw. Verkäufer dem Nutzer vor Vertragsschluss mitteilen, ob sie beabsichtigen, die Daten selbst zu nutzen oder Dritten die Nutzung der Daten zu gestatten und falls ja, für welche Zwecke. Ferner muss der Hersteller konkrete Angaben zur Identität des Dateninhabers machen, sofern er dies nicht selbst ist. Ähnliche Regelungen enthält der Entwurf für die Anbieter von verbundenen Diensten.

Schließlich bürdet der Entwurf des Data Act den Unternehmen auf, dass sie den Nutzer vor Vertragsabschluss darüber informieren, wie er auf diese Daten zugreifen kann und wie er veranlassen kann, dass die Daten an einen Dritten weitergegeben werden können. Diese Pflichten sollen für Transparenz sorgen und werden es sicherlich auch. Es bedeutet aber gleichzeitig, dass diese weitreichende Datenbereitstellungspflicht, die nach dem Willen des Gesetzgebers unverzüglich, kostenlos und gegebenenfalls kontinuierlich und in Echtzeit zu erfolgen hat, von Unternehmen frühzeitig bei der technischen Umsetzung berücksichtigt werden sollte. Die Anpassung der entsprechenden Verträge wird dabei das geringste Übel sein.

Sofern ein Dateninhaber nach den Bestimmungen zur Bereitstellung von Daten verpflichtet ist, so hat dies zu fairen, angemessenen und nichtdiskriminierenden Bedingungen und in transparenter Weise zu erfolgen. Hier werden sich möglicherweise ähnliche Diskussionen entfachen wir im Rahmen der Lizenzvergabe von Patenten zu FRAND Bedingungen.

Zu begrüßen ist, dass der Data Act auch die Interessen des Dateninhabers im Blick hat und Geschäftsgeheimnisse nur dann offengelegt werden müssen, wenn alle erforderlichen Maßnahmen getroffen wurden, um eine Vertraulichkeit von Geschäftsgeheimnissen, insbesondere gegenüber Dritten, zu wahren. Ferner wird explizit bestimmt, dass der Nutzer die herausverlangten Daten nicht zur Entwicklung eines konkurrierenden Produktes nutzen darf. Da der Industrie diese Regelungen noch nicht weitreichend genug sind und sie deshalb Auswirkungen auf die Innovationsbereitschaft befürchtet, dürfte dieser im Ansatz richtige Interessensausgleich noch weitere Anpassungen und Verästelungen erfahren.

Auch mit dem Data Act gelangt wieder das Marktortprinzip zur Anwendung. Dieses bereits aus der DSGVO und aus dem Digital Service Act bekannte Prinzip besagt, dass alle Anbieter dieser Verordnung unterfallen, die ihre Produkte in der Europäischen Union in den Verkehr bringen.

Was wird noch geregelt?

Ein weiteres Ziel ist eine bessere Datenübertragbarkeit durch eine Erleichterung des Wechsels zwischen Datenverarbeitungsdiensten wie Cloud- und Edge-Diensten. Ein solcher wird als eine wesentliche Voraussetzung für eine florierende Datenwirtschaft angesehen. Dies leuchtet ein, vermeidet dies doch „Lock-in“-Effekte und fördert damit den Wettbewerb zwischen den Anbietern. Hierfür sieht der Entwurf des Data Act vor, dass ein Kunde in der Lage sein muss, den Vertrag mit einem Datenverarbeitungsdienst zu kündigen und einen neuen Vertrag mit einem neuen Datenverarbeitungsdienst zu schließen und dabei alle seine digitalen Vermögenswerte, einschließlich Daten, zu den betreffenden anderen Anbieter zu übertragen. Hierfür soll der Anbieter verpflichtet sein, die erforderliche Unterstützung zu leisten, um den Wechselvorgang erfolgreich und wirksam zu gestalten. Aktuell sind im ursprünglichen Kommissionsentwurf sehr kurze Kündigungsfristen von höchstens 30 Kalendertagen vorgesehen, sofern vertraglich nichts anderes vereinbart. Der vorgesehene Übergangszeitraum von Daten in der Hand eines Datenverarbeitungsdienstleisters auf den Kunden soll ebenfalls höchstens 30 Kalendertage betragen und darf in Ausnahmefällen – sofern technisch schwierig und nur mit entsprechender schriftlicher Begründung– ausgedehnt werden auf maximal sechs Monate. Allerdings zeichnet sich bereits jetzt ein Sturm der Entrüstung seitens der Industrie ab – zu Recht, müssen doch Investitionen berücksichtigt werden. Auch mag eine Demigration von Daten bei Verbrauchern zwar möglicherweise innerhalb kurzer Zeit möglich sein, bei einer langjährigen komplexen Geschäftsbeziehung – man denke beispielsweise nur an Banken und deren IT-Dienstleistungen- dürfte eine solche eher Jahre in Anspruch nehmen. Hier dürfte es im Rahmen des Trilogs aller Voraussicht nach noch zu Nachbesserungen kommen. Zu begrüßen ist es daher, dass bereits die jetzige Position des EU-Parlaments schon längere Fristen vorsieht.

Der Entwurf des Data Act statuiert ferner einen gesetzliche Datenbereitstellungspflicht: In Fällen außergewöhnlicher Situationen soll es zur Wahrung von Aufgaben im öffentlichen Interesse möglich sein, dass öffentliche Stellen auf Daten, die sich im Besitz von Unternehmen befinden, zurückgreifen. Hierfür sieht der Entwurf des Data Act detaillierte Regelungen vor. Als Beispiele solcher außergewöhnlichen Situationen werden Notlagen im Bereich der öffentlichen Gesundheit, aufgrund von Umweltschäden und großen Naturkatastrophen angeführt. In derartigen Fällen sollen Dateninhaber verpflichtet werden, die Daten den öffentlichen Stellen auf deren Verlangen bereitzustellen.

Vorgesehen sind ferner Regelungen zur Interoperabilität, zu missbräuchlichen Vertragsklauseln im Sinne Allgemeiner Geschäftsbedingungen sowie zu Smart Contracts, gegen deren Regulierung sich die Bundesregierung explizit ausgesprochen hatte, um Innovationen im Bereich Kryptowährungen zu gewährleisten. Schließlich ist im Entwurf ein ausführlicher Mechanismus zur Streitbeilegung enthalten. Im Rahmen der vorgesehenen Sanktionen greift der Entwurf des Data Act auf das inzwischen bewährte Regime der DSGVO zurück, wonach Bußgelder bis zur Höhe von 4 % des gesamten weltweit erzielten Jahresumsatzes verhängt werden können.

Wer ist nicht betroffen?

Kleinere und mittlere Unternehmen können aufatmen: Sie sind von den Regelungen des Data Act ausgenommen. Dies gilt allerdings dann nicht, wenn sie als Partnerunternehmen oder verbundene Unternehmen einzuordnen sind.

Ausblick

Der Data Act bringt die EU ihren Zielen, einen Binnenmarkt für Daten zu verwirklichen und Innovationen durch die verstärkte Nutzung von Daten zu ermöglichen, ein Stück näher. Der Data Act befindet sich zwar noch im Stadium des Gesetzesentwurfs. Mit dem Eintritt in den Trilog kann daraus aber schnell ein Gesetz werden. Der Data Act ist als unmittelbar in der EU geltende Verordnung ausgestaltet, so dass sich Unternehmen auch nicht zunächst noch bequem zurücklehnen können, wie es zumeist bei Richtlinien der Fall ist, für deren Umsetzung den Mitgliedsstaaten meist zwei Jahre Zeit gewährt wird und die - wie beispielsweise im Fall der EU Whistleblowing Richtlinie - auch dann manchmal erst verspätet umgesetzt werden und in Kraft treten.

Der Data Act wird tiefgreifende Auswirkungen für eine Vielzahl von Unternehmen mit sich bringen. Daher besteht dringender Handlungsbedarf bei allen, deren Produkte oder Dienste in irgendeiner Form mit Daten agieren – getreu dem Grundsatz „Better safe than sorry" sollten frühzeitig Abstimmungen mit der Produktentwicklung erfolgen, damit die entsprechenden Vorgaben des Data Act rechtzeitig implementiert werden können, betrifft der Data Act doch sämtliche Industriesektoren.

Dr. Peggy Müller

Zur besseren Lesbarkeit wird in dem vorliegenden Dokument auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Die Welt ist aus den Fugen, seit der breiten Öffentlichkeit Ende November 2022 ChatGPT, der Textgenerator des Unternehmens OpenAI, vorgestellt wurde. Nicht nur Schüler und Studenten erfreuen sich einer vereinfachten Bearbeitung ihrer Hausaufgaben, auch im geschäftlichen Umfeld wird diese künstliche Intelligenz (KI) zunehmend eingesetzt, erleichtert sie doch die eigene Denkleistung ungemein. Gleichzeitig werden die Gefahren derartiger Tools heraufbeschworen, von einem „Tsunami des Cheatens“ ist im Magazin Gizmodo die Rede. Erste französische Elite-Universitäten untersagen bereits die Nutzung und New Yorker Schulen verbannen KIs wie ChatGPT von öffentlichen Schulen.

Fragt man ChatGPT, so wird man belehrt, dass ChatGPT auf einem tiefen neuronalen Netzwerk basiere, das auf großen Mengen von Texten trainiert wurde und während des Trainings gelernt habe, Sprachmuster und Zusammenhänge zu erkennen, um menschenähnliche Antworten auf Fragen zu geben. ChatGPT verwende dabei Techniken wie maschinelles Lernen, Sprachmodellierung und künstliche Intelligenz. Um eine Antwort zu generieren, werde eine Methode namens "Generative Pre-trained Transformer" (GPT) verwendet, die auf einer Architektur namens „Transformers“ basiert. Diese Architektur wurde speziell für Sprachverarbeitungsaufgaben entwickelt und ermögliche es, eine große Bandbreite an Sprachmustern zu verstehen und zu generieren.

Neben dem Textgenerator ChatGPT, der aktuell in aller Munde ist, existieren auch zahlreiche Bildgeneratoren wie beispielsweise DallE2, Jasper Art oder Runway. Sie alle basieren auf KI. Mithilfe kurzer Textbefehle, sogenannter prompts, können neue Texte oder Bilder erschaffen werden. Auf einem Modell des Deep Learning beruhend, werden sie mit großen Datenmengen aus dem Internet und sodann mit Algorithmen trainiert, so dass KIs in der Lage sind, eigene, neue Inhalte auszugeben. Anschaulich wurde das Training beispielsweise an Projekten wie Next Rembrandt und auch im Rahmen der Vervollständigung von Beethovens 10. Symphonie. Dabei wurden von der KI wiederkehrende Stilelemente des jeweiligen Künstlers analysiert und extrahiert, um auf dieser Basis neue Werke zu schaffen. Berühmt wurde das Porträt eines gewissen fiktiven Edmond de Belamy, welches aus einem Datenset von 15.000 Porträts beruht und als eines der ersten seiner Gattung bereits 2018 bei Christie’s versteigert wurde.

Inzwischen sind erste Gerichtsverfahren anhängig und nicht nur Getty Images wehrt sich gegen das sogenannte Scraping seines Bildmaterials, das sich auf ein vermeintlich verletztes Repertoire von sage und schreibe 12 Millionen Photographien beläuft. Dies gibt Anlass, sich vertieft mit den rechtlichen Problemen von KI auseinanderzusetzen, allen voran mit dem deutschen Urheberrecht.

KI und das Urheberrecht

Drei urheberrechtliche Themenkomplexe sind zu unterscheiden: erstens die Frage nach der urheberrechtlichen Bewertung im Hinblick auf die in die KI eingespeisten Daten, der sogenannte Input. Zweitens die Frage, wer Urheber der mittels KI generierten Ergebnisse ist oder anders gefragt ob und unter welchem Voraussetzungen Bilder und Texte trotz des Einsatzes von KI eine kreative Leistung desjenigen sein können, der die KI einsetzt. Drittens ist schließlich zu untersuchen, ob durch KI generierte Werke eventuell in bestehende Urheberrechte eingegriffen wird.

Rechtsverletzung bereits beim Input?

Zwangsläufig stellt man sich zuerst die Frage, ob die Verwendung von Datensätzen zum Training von KI-Anwendungen rechtlich überhaupt zulässig ist. So wehrt sich nicht nur Getty Images hiergegen, auch die Künstlerinnen Sarah Andersen, Kelly McKernan und Karla Ortiz klagen vor US-amerikanischen Gerichten gegen die Nutzung ihrer Bilder zu Trainingszwecken mit dem Vorwurf, die Werke seien ohne entsprechende Einwilligung in die Datenbanken der KI-generierte Systeme eingespeist worden.

Nach Angaben von OpenAI stammen die ursprünglichen Datenmengen mit Stand 2020 aus dem Internet, beispielsweise aus Büchern, Wikipedia und anderen frei zugänglichen Textquellen.

Grundsätzlich bedarf es zur Verwendung urheberrechtlich geschützter Texte oder Bilder einer Erlaubnis des Urhebers oder einer gesetzlichen Erlaubnis, dem Grunde nach also auch für die Verwendung von Werken zu Trainingszwecken für eine KI. Nach deutschem Recht greift hier die Schranke des sog. Data Mining ein. Unter Data Mining wird dabei die automatisierte Analyse von einzelnen oder mehreren digitalen oder digitalisierten Werken zur Gewinnung von Informationen, insbesondere über Muster, Trends und Korrelationen, verstanden. Nach der auf einer europäischen Richtlinie aus dem Jahr 2019 beruhenden Vorschrift des § 44 b) UrhG sind Vervielfältigungen von rechtmäßig zugänglichen Werken für das Text und Data Mining auch ohne Einwilligung des jeweiligen Urhebers zulässig.

Das Training einer KI-Anwendungen unter Verwendung von urheberrechtlich geschützten Werken ist dementsprechend grundsätzlich lizenzfrei zulässig. Nach Abschluss des Trainings sind die Daten allerdings zu löschen.

Rechteinhaber haben jedoch die Möglichkeit zum Opt-Out: Sie können einen Vorbehalt gegen ein solches Data Mining erklären, der allerdings zwingend in maschinenlesbarer Form erfolgen muss. Hier herrscht noch weitestgehend Unklarheit, wie dieser Vorbehalt im Einzelnen ausgestaltet sein muss.

Den drei Künstlerinnen wäre daher in Deutschland mit ihrer Klage vermutlich nur wenig Erfolg beschieden, es sei denn, sie hätten vom Opt-Out Gebrauch gemacht. Auch die von ihnen geforderte Vergütung käme vor deutschen Gerichten zu keinem guten Ausgang, da der europäische Gesetzgeber auf eine Vergütungspflicht bewusst verzichtet hat.

Wer ist Urheber des Outputs?

Ausgangspunkt der Frage, wer als Urheber des mittels KI kreierten Werkes ist, ist § 2 Abs. 2 UrhG. Urheberrechtlich schutzfähig ist ein Werk jeglicher Art nur dann, wenn es eine persönliche geistige Schöpfung des Urhebers ist. Dabei ist persönlich nur dasjenige, was auf menschliches Schaffen zurückgeht. Daher konnte das berühmte Selfie des Affen Naruto keinen Schutz genießen.

Computerprogramme wie ChatGPT selbst können demgegenüber nach deutschem Urheberrecht grundsätzlich keine persönliche Schöpfung erbringen. OpenAI als das Unternehmen hinter der KI ChatGPT ist mithin nicht Urheber des erzeugten Outputs und die von ChatGPT erzeugten Ergebnisse sind nicht urheberrechtlich geschützt. Daher kann OpenAI an den mittel ChatGPT generierten Inhalten eigentlich auch keine Nutzungs- und Verwertungsrechte einräumen. Interessanterweise hält dies OpenAI nicht davon ab, in seinen Terms und Conditions dem Nutzer sämtliche Rechte einzuräumen: „Open AI assigns you all its right, title and interest in and to Output”.

Naturgemäß kann sich ein Urheber technischer Hilfsmittel bedienen und die hierdurch erschaffenen Werke können schutzfähig sein. Man denke nur an den Einsatz eines Computers oder einer Kamera. Für sämtliche Werke gilt, dass sie ein gewisses Mindestmaß an Schöpfungshöhe erreichen und sich vom Handwerklichen oder Alltäglichen abheben müssen, um in den Genuss des urheberrechtlichen Schutzes - mit einer Dauer von 70 Jahren nach dem Tod des Urhebers - zu kommen.

Als Urheber in Betracht käme derjenige Nutzer, der die Anfrage bei der KI wie ChatGPT stellt, da er die Computersoftware lediglich als Werkzeug/Hilfsmittel nutzt. Man denke nur an die Arbeit des OpenAI Mitarbeiters, der Vermeers berühmtes gemeinfreies Gemälde „Das Mädchen mit dem Perlenohrring“ mittels KI über den Rand hinaus fortsetzen ließ. Um den Schutzanforderungen zu genügen, müsste aber der menschliche Anteil am Output der KI so hoch sein, dass dem Einsatz der KI eine lediglich untergeordnete Bedeutung zukommt. Der Output lässt sich allerdings vom Nutzer im Regelfall nur wenig steuern, so dass kaum davon ausgegangen werden dürfte, dass das Ergebnis dasjenige einer künstlerischen Leitung und eines gestalterischen Prozesses des Eingebenden ist.

Rechtsverletzungen durch die neu von einer KI erstellten Werke?

Ein Nutzer von Texten und Bildern, die mithilfe von KI generiert wurden, wird sich die Frage stellen, ob er hierdurch ggf. eine Urheberrechtsverletzung begehen könnte. Praktisch relevant ist dies beispielsweise dann, wenn ChatGPT einem urheberrechtlich geschützten Liedtext sehr stark ähnelt oder ein Gedicht nahezu identisch zum Original „ausgespuckt“ wird. Der EuGH hat in der Vergangenheit bereits entschieden, dass ein aus elf Wörtern bestehender Auszug eines geschützten Werkes urheberrechtlich geschützt sein kann. Noch plastischer wird es, wenn man sich vorstellt, dass eine bildgenerierende KI ein neues Bild auswirft, das beispielsweise auf der Grundlage eines berühmten Gemäldes eines noch lebenden Künstlers erschaffen wurde oder diesem stark angelehnt ist.

Aber auch Urheber erfinden seit jeher das Rad nicht neu, sondern knüpfen oft an bereits bestehende schutzfähige Werke an. Dementsprechend regelt § 23 UrhG, dass Bearbeitungen eines Werkes nur mit Zustimmung des Urhebers veröffentlicht und verwertet werden dürfen. Wahrt das neu geschaffene Werk demgegenüber einen hinreichenden Abstand zum benutzten Werk, so liegt keine Bearbeitung, sondern eine freie Benutzung vor.

Die Frage der Abgrenzung zwischen (zulässiger) freier Benutzung und (zustimmungsbedürftiger) Bearbeitung stellte sich auch in der Vergangenheit in der analogen Welt vielfach. Es kommt entscheidend auf den Abstand an, den das neue Werk zum ursprünglichen einhält. Für eine zulässige freie Benutzung müssen angesichts der Eigenart des neu geschaffenen Werks die entlehnten eigenpersönlichen Züge des geschützten älteren Werks verblassen.

Diesen Maßstab wird man auch bei durch KI generierten neuen Werken anwenden. Dabei wird es im Einzelfall darauf ankommen, ob ein mittels KI-generiertes Werk (Text, Bild oder Graphik) einen hinreichenden Abstand zum ursprünglichen Werk aufweist und damit ohne Zustimmung des Urhebers des ursprünglichen Werkes zulässig ist. Das ist stes eine Frage des Einzelfalls.

Sofern eine Rechtsverletzung zu bejahen wäre, gilt im Verhältnis zwischen dem Nutzer und dem verletzten Urheber folgendes: Der Unterlassungsanspruch ist verschuldensunabhängig und der Nutzer wäre Täter der Urheberrechtsverletzung, wenn er selbst die KI generierten Inhalte öffentlich zugänglich macht, beispielsweise durch Verwendung auf seiner Webseite.

Für einen Schadensersatzanspruch wäre darüber hinaus ein vorsätzliches oder fahrlässiges Handeln erforderlich. Dem Nutzer einer KI sind Fehler nicht zuzurechnen, die für ihn – aufgrund seiner Stellung als Nutzer und nicht als Entwickler der KI – nicht erkennbar waren. Allerdings können Nutzer von KI sich wohl in der Regel nicht darauf berufen, dass sie Funktionen der KI nicht kannten bzw. abschätzen konnten und sie dennoch eingesetzt haben. Viele Fragen des Haftungsregimes sind aktuell umstritten. Es ist daher nicht ausgeschlossen, dass insbesondere ein ungeprüftes Übernehmen von durch ChatGPT generierten Inhalten eine eigene Sorgfaltspflichtverletzung seitens des Nutzers darstellt und dass ein Urheber den Nutzer für Rechtsverletzungen durch den Einsatz einer KI verantwortlich macht.

Im Falle von ChatGPT und Dall E wäre auch ein Rückgriff auf OpenAI schwierig. Nach den Nutzungsbedingungen haftet das Unternehmen OpenAI nicht für etwaige Urheberechtsverletzungen, die aus einer Verwendung des ChatGPT resultieren. Vielmehr verweist OpenAI den Nutzer auf seine eigene Verantwortung sicherzustellen, dass die Inhalte, die ChatGPT liefert, angemessen genutzt werden und dass der Nutzer ggf. die erforderlichen Rechte und Genehmigungen besitzt. Auch eine deliktische Haftung von OpenAI wird in den Nutzungsbedingungen ausgeschlossen. Darüber hinaus können ChatGPT und Dall E als KIs auch nicht schuldhaft handeln. Das Unternehmen OpenAI möglicherweise schon.

Praxistipp

Die kommerzielle Nutzung von Text- und Bildgeneratoren ist ein Meilenstein. Die Entwicklungen im Bereich der KI und die rechtlichen Antworten hierauf bleiben ein spannendes Feld. Sie wird die Jurisprudenz sicherlich in den nächsten Jahren beschäftigen.

Da für den Nutzer einer KI nicht ersichtlich ist, mit welchen Inhalten eine KI trainiert wurde und dementsprechend unklar ist, ob eventuell Urheberrechte an den verwendeten Inhalten verletzt werden, ist große Sorgfalt geboten. Wenn Output ohne manuelle Prüfung übernommen wird, besteht die Gefahr, dass die Übernahme solcher Inhalte als fahrlässiges, wenn nicht sogar als grob fahrlässiges Verhalten gewertet werden wird. Dafür hätte der Nutzer als Täter der Urheberrechtsverletzung einzustehen. Die Folgen einer Urheberrechtsverletzung sind weitreichend: so bestehen nicht nur – verschuldensunabhängige – Unterlassungsansprüche des Urhebers, sondern darüber hinaus auch noch Schadensersatzansprüche und ggf. auch Rückrufansprüche. Zu denken wäre beispielsweise an die Konstellation, dass von durch KI generierte Marken oder Texte auf Produktverpackungen verwendet werden, was schnell zu beträchtlichen Kosten auf Seiten des Verletzers führen kann. Hier sollte das individuelle Risikoprofil geklärt werden.

Diejenigen, die eine Verwendung ihrer Daten durch KI zu Trainingszwecken verhindern wollen, müssen aktiv werden und das Data und Text Mining untersagen. Hierzu dürfte es nicht ausreichen, in den Nutzungsbedingungen eine Verwendung von Data Mining, Robotern oder ähnlichen Methoden zur Datensammlung oder -extraktion zu verbieten. Erforderlich ist die Implementierung eines maschinenlesbaren Hinweises. Da diese Erklärung aber nicht nachträglich erfolgen kann, sollten Rechteinhaber möglichst schnell aktiv werden.

Alle, die sich vertiefter mit der spannenden Problematik KI auseinandersetzen und sich auch die anderen rechtlichen Minenfelder zu Gemüte führen wollen, empfehlen wir die ADVANT Beiten Broschüre zu diesem Thema, die hier abrufbar ist.

Dr. Peggy Müller

Ein herzlicher Dank gilt Frau Prof. Yvonne Hofstetter, Repräsentantin im Auftrag des Auswärtigen Amtes im NATO Data and Artificial Intelligence Review Board (DARB), die mir und meinen Teamkollegen die technischen Grundlagen von KIs erläutert hat.

Dieser Blogbeitrag erscheint ebenso im Haufe Wirtschaftsrechtsnewsletter.

Zur besseren Lesbarkeit wird in dem vorliegenden Dokument auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Erfahren Sie mehr in diesem GamesWirtschaft Artikel vom 21. Februar 2023: Link.

Wir freuen uns, im Bereich Medien (Gaming) als TOP TIER-Kanzlei genannt zu sein.

Diese 16 Rechtsgebiete/Praxisbereiche sind 2023 im Ranking:

• Arbeitsrecht
• Branchenfokus Energie
• Corporate/M&A (mittelgroße Deals)
• Gewerblicher Rechtsschutz (Markenrecht und Wettbewerbsrecht)
• Immobilien- und Baurecht (Immobilienrecht und Projektentwicklung)
• Informationstechnologie (Datenschutz und IT/Digitalisierung)
• Kartellrecht
• Medien (Gaming, Entertainment, Presse- und Verlagsrecht)
• Öffentliches Recht (Planungs- und Umweltrecht, Vergaberecht)
• Private Client
• Nonprofit-Sektor

Eine „Firm to watch“ sind wir in den Bereichen Außenwirtschaftsrecht und Steuerrecht.

Unseren Experten Dr. Andreas Lober (Medien/Entertainment), Dr. Wolfgang Lipinski (Arbeitsrecht), Dr. Gerrit Ponath (Private Clients und Nonprofit-Sektor) gratulieren wir zur Nennung als „Führende Anwälte“, sowie Wojtek Ropel (Medien/Entertainment) und Katharina Fink (Private Client und Nonprofit-Sektor) zur Nennung als Partner der nächsten Generation.

Empfohlene Anwälte/weitere Kernanwälte:

• Arbeitsrecht: Dr. Ariane Loof, Elisabeth Miesen, Dr. Gerald Müller-Machwirth, Markus Künzel, Dr. Michael Matthiessen, Dr. Olga Morasch, Dr. Sebastian Kroll, Sonja Müller, Dr. Stefan Lochner, Dr. Christopher Melms, Dr. Daniel Hund, Christian Freiherr von Buddenbrock, Dr. Thomas Barthel, Dr. Thomas Drosdeck
• Branchenfokus Energie: Dr. Christian Ulrich Wolf, Dr. Christof Aha, Stephan Rechten, Sebastian Berg, Dr. Ralf Hafner
• Corporate/M&A: Dr. Christian von Wistinghausen, Prof. Dr. Hans-Josef Vogel, Dr. Barbara Mayer, Gerhard Manz, Dr. Sebastian Weller
• Gewerblicher Rechtsschutz (Wettbewerbsrecht): Dr. Andreas Lober, Matthias W. Stecher; Dr. David Moll, Dr. Holger Weimann, Uwe Wellmann
• Gewerblicher Rechtsschutz (Markenrecht): Dr. Andreas Lober, Dr. Christina Hackbarth, Dr. David Moll, Tanja Hogh Holub, Dr. Holger Weimann, Uwe Wellmann, Matthias W. Stecher
• Informationstechnologie (Datenschutz): Dr. Andreas Lober, Matthias W. Stecher, Susanne Klein; Matthias Zimmer-Goertz
• Informationstechnologie (IT/Digitalisierung): Dr. Andreas Lober, Matthias W. Stecher, Wojtek Ropel; Dr. Holger Weimann
• Immobilienrecht: Florian Baumann, Klaus Beine
• Kartellrecht: Dr. Dietmar O. Reich, Uwe Wellmann
• Medien (Entertainment): Matthias W. Stecher, Dr. Peggy Müller, Dr. Holger Weimann, Katharina Mayerbacher
• Medien (Presse- und Verlagsrecht): Dr. Andreas Lober, Dr. Holger Weimann, Dr. Oliver Srocke, Matthias W. Stecher, Katharina Mayerbacher
• Öffentliches Recht (Umwelt- und Planungsrecht): Hans Georg Neumeier, Katrin Lüdtke, Stephan Rechten
• Öffentliches Recht (Vergaberecht): Hans Georg Neumeier, Max Stanko, Stephan Rechten, Michael Brückner, Katrin Lüdtke
• Private Clients und Nonprofit-Sektor: Dr. Lucas van Randenborgh, Dr. Guido Krüger, Dr. Klaus Zimmermann

Wir gratulieren den Praxis- und Branchengruppen sowie unseren empfohlenen Anwälten und Anwältinnen und bedanken uns bei unseren Mandanten für das anerkennende Feedback und Vertrauen.

Mit der Aussage „Consumer authorities will finally get teeth to punish the cheaters“, kündigte die ehemalige Kommissarin für Justiz, Verbraucherschutz und Gleichstellung, Vera Jourová, die durch die Richtlinie 2019/2161/EU (vor allem bekannt als „Omnibus-Richtlinie“) neugestalteten Rahmenbedingungen im Verbraucherschutz an.

Und in der Tat ließen sich die in Aussicht gestellten Sanktionen, die sich – wie auch bei DSGVO-Verstößen – am weltweiten Jahresumsatz eines Unternehmens bemessen, sehen. Bis zu 4% des Jahresumsatzes kann die verbotene Verletzung von bestimmten Verbraucherinteressen kosten.

Nunmehr stellte die Europäische Kommission gemeinsam mit nationalen Verbraucherschutzbehörden von 23 Mitgliedsstaaten sowie Norwegen und Island die Ergebnisse einer unionsweiten Überprüfung von Einzelhandelswebsites und App-Shops vor.

Der Schwerpunkt der Überprüfung waren drei bestimmte Arten von manipulativen Praktiken (sog. „Dark Patterns“), die darauf ausgelegt sind, Verbraucher zu Handlungen zu bewegen, die nicht ihrem tatsächlichen Interesse entsprechen. Dazu gehörte das Vorenthalten entscheidungsrelevanter Informationen, falsche Countdowns und Webseiten, deren Design darauf ausgelegt war, Verbraucher zum Abschluss von Kaufverträgen und Abonnements zu drängen.

Die Bilanz fällt ernüchternd aus:
Der amtierende EU-Justizkommissar erklärte, dass sich von den knapp 400 überprüften Online-Shops fast 40% manipulativer Praktiken bedient haben, um die Schwächen der Verbraucherinnen und Verbraucher auszunutzen. Es läge nun an den nationalen Behörden, auf die Händler einzuwirken und erforderlichenfalls weitere Maßnahmen zu ergreifen.

Bei der koordinierten Überprüfung der Shop-Anbieter handelt es sich um einen sogenannten „Sweep“ zur Überprüfung der Einhaltung des EU-Verbraucherschutzrechts. Die Durchsetzung der Korrekturaufforderung ist nun der zweite Schritt, deren Nichteinhaltung in den geschilderten Konstellationen ein solch empfindliches Bußgeld nach sich ziehen kann.

In ihrer damaligen Stellungnahme erklärte Vera Jourová, Betrüger dürften nicht billig davonkommen. Es bleibt daher mit Spannung zu erwarten, ob nunmehr die ersten Millionenbußgelder folgen, die es in die Schlagzeilen schaffen.

Daniel Trunk

Zur Pressemitteilung der Europäischen Kommission
Zu unserem ursprünglichen Blogbeitrag

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Die Pressemitteilung des MVFP vom 02. Februar 2023 finden Sie im Downloadbereich.

Es scheint, dass viele Betreiber von Online-Diensten dem DSA immer noch weniger Aufmerksamkeit schenken, als sie das sollten. Der DSA wird ein echter „Game Changer“ sein - für „Online-Plattformen“ mehr noch als für andere Vermittlungsdienste. In diesem Beitrag geht es darum, was eine Online-Plattform kennzeichnet.

Eine Online-Plattform ist - leicht vereinfacht - definiert als ein Hosting-Dienst, der im Auftrag eines Nutzers des Dienstes Informationen speichert und öffentlich verbreitet (es sei denn, diese Tätigkeit stellt eine bloß unbedeutende und reine Nebenfunktion des Hosting-Dienstes dar). Ein Hosting-Dienst wiederum ist jeder Dienst, der von einem Nutzer bereitgestellte Informationen in dessen Auftrag speichert.

Das Problem mit dieser Definitionen ist, dass sie so allgemein bzw. weit gefasst sind: So gut wie alles, was ein Nutzer eines Online-Dienstes tut, hat etwas mit Informationen zu tun, die irgendwo gespeichert sind. Nutzer geben ihren Namen und ihre Kontaktdaten in ein Webformular ein, wählen einen Benutzernamen, hinterlassen Kommentare auf einer Website, rezensieren und bewerten Produkte in einem Online-Shop, kommunizieren mit anderen in einem Chat, speichern Präferenzen für ihre Nachrichten-Websites, passen Avatare in einer virtuellen Welt an, bauen Welten oder interagieren auf andere Weise mit einem Online-Spiel. Unternehmen können ihre Profile bei einem Lieferdienst, Details zu ihren Fahrzeugen in einer Taxi-App oder ihre Produkte auf einem Online-Marktplatz einstellen. Die meisten dieser Informationen werden irgendwo vom Betreiber eines solchen Dienstes gespeichert. Und wie oben ausgeführt, ist ein Hosting-Dienst ein Dienst, der von einem Nutzer bereitgestellte Informationen in dessen Auftrag speichert (die Definition eines Hosting-Dienstes ist fast identisch mit derjenigen, die in der Richtlinie über den elektronischen Geschäftsverkehr eingeführt wurde - in der Richtlinie über den elektronischen Geschäftsverkehr gibt es einige Rechtsprechung zur Definition von Hosting-Diensten, aber nicht viel, was helfen würde, diese sehr breite Definition einzugrenzen). Hinzu kommt: Auch Anbieter, die sich bisher nicht auf den Haftungsausschluss des Host-Provider-Privilegs berufen konnten, weil sie sich fremde Inhalte zu eigen machen, können von den Sorgfaltspflichten als Hosting-Dienstanbieter betroffen sein.

Sobald diese Informationen nicht nur gespeichert, sondern mit der Öffentlichkeit geteilt werden, könnte der Dienst sogar als Online-Plattform qualifiziert werden. Für Online-Plattformen enthält der DSA viele neue Pflichten. Die meisten davon sind erst bis Februar 2024 zu erfüllen, einige aber schon ab dem 17. Februar 2023 - insbesondere muss die durchschnittliche Anzahl der monatlich aktiven Nutzer veröffentlicht werden (sehr große Online-Plattformen mit 45 Millionen oder mehr aktiven Nutzern sind eine weitere Kategorie mit weitaus aufwändigeren Pflichten). Ab Februar 2024 gelten alle auch anderen Pflichten. Für Online-Plattformen gehören dazu die Verpflichtung, ein internes Beschwerdemanagementsystem und ein System zur außergerichtlichen Beilegung von Streitigkeiten einzurichten, Meldungen problematischer Inhalte durch vertrauenswürdige Hinweisgeber zügig und vorrangig zu behandeln, Schutzmaßnahmen gegen Missbrauch der Online-Dienste zu ergreifen, Transparenz-Berichtspflichten, Beschränkungen für die Gestaltung und Organisation von Online-Schnittstellen (einschließlich Beschränkungen sogenannter „Dark Patterns“) zu beachten, hinzu kommen Regelungen für die Werbung auf Online-Plattformen (mit Beschränkungen für personalisierte Werbung, die teilweise strenger sind als die Bestimmungen der Datenschutz-Grundverordnung), Regelungen über die Transparenz von Empfehlungssystemen sowie den Schutz von Minderjährigen.

Die Erfüllung einiger dieser Verpflichtungen kann recht aufwändig sein. Sie erfordern einen sehr hohen Umsetzungsaufwand, da - je nach Dienst - möglicherweise die Kernprozesse überprüft werden müssen.

Es scheint auch, dass die Definition der Online-Plattform weiter gefasst ist als beabsichtigt und vom Wortlaut her Dienste umfasst, die der Gesetzgeber nicht im Sinn hatte. Unternehmen sind daher gut beraten, sorgfältig zu prüfen, ob es sich bei den von ihnen angebotenen Diensten tatsächlich um solche einer Online-Plattform handelt, und dabei die einzelnen Funktionen genau zu betrachten. Dies kann eine rechtliche Analyse erfordern, z. B. wenn die gespeicherten Informationen aus Elementen bestehen, die vom Betreiber des Dienstes bereitgestellt werden und wenig Raum für Missbrauch lassen, wenn der Diensteanbieter die Kontrolle über die gespeicherten oder verbreiteten Informationen ausübt, oder wenn es um die Frage geht, ob eine „Verbreitung“ tatsächlich „öffentlich“ ist und „im Auftrag“ des Nutzers erfolgt. Eine sorgfältige Analyse muss unter Umständen auch eine technische Analyse umfassen, z. B. welche Art von Informationen tatsächlich gespeichert wird und wo. Und schließlich sollte geprüft werden, ob die Ausnahmeregelung für „unbedeutende und reine Nebenfunktionen“ angewendet werden kann.

Diese Bewertungen müssen individuell vorgenommen werden: In einigen Online-Shops kann beispielsweise das Bewertungssystem wichtiger sein als in anderen, „Replays“ von Online-Spielen können nur auf dem PC des Nutzers gespeichert werden, während andere sie auf dem Server speichern und den Nutzern erlauben, sie weiterzugeben, und der Einfluss, den ein Dienstbetreiber auf die von ihm gespeicherten und weitergegebenen Informationen ausübt, kann sehr unterschiedlich sein.

ADVANT wird am 16. Februar 2023 um 17:00 Uhr MEZ ein englischsprachiges Webinar zum Digital Services Act veranstalten: Webinar registration | Microsoft Teams

Dr. Andreas Lober

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Auf Basis eigener Plattformtechnologien entwickelt Ethris seit mehr als 10 Jahren mRNA-Therapeutika für bisher nur unzureichend behandelbare Erkrankungen und für die regenerative Medizin. Das Biotechnologieunternehmen entwickelt hochwirksame mRNA-basierte Arzneimittel zur Verabreichung direkt in die oberen und unteren Atemwege sowie durch intra-muskuläre Injektion.

Cipla ist das drittgrößte Pharmaunternehmen Indiens und der drittgrößte Generikahersteller Südafrikas. Das Unternehmen hat einen besonderen Fokus auf Medikamente und Therapien gegen Atemwegserkrankungen. International bekannt wurde Cipla durch die Herstellung von preisgünstigen HIV-Medikamenten. 1935 gegründet, beschäftigt Cipla rund 23.000 Personen.

ADVANT Beiten hat eine starke Positionierung im Healthcare Sektor und in der Beratung internationaler Mandanten bei Investitionen in den deutschen Markt.

Berater Cipla Ltd.:
ADVANT Beiten: Christian Hipp (Kartell- und Beihilfenrecht), Benjamin Knorr (Corporate/M&A und Steuern, beide Federführung, Berlin), Dr. Dietmar O. Reich (Kartell- und Beihilfenrecht, Hamburg und Brüssel), Wolf J. Reuter (Arbeitsrecht, Berlin), Robert Schmid (Corporate/M&A, Berlin), Dr. Christian Ulrich Wolf (Corporate/M&A, Hamburg), Christian Hess (IP/IT, München).

Berater Ethris GmbH:
m law group. München

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Benjamin Knorr
Rechtsanwalt
ADVANT Beiten
+49 (30) 26471 – 262
benjamin.knorr@advant-beiten.com

Das von Wienerberger zu erwerbende Terreal-Geschäft wird im Geschäftsjahr 2022 voraussichtlich einen Umsatz von EUR 740 Millionen und ein Run-Rate EBITDA von EUR 100 Millionen erwirtschaften. Der Enterprise Value der betreffenden Terreal-Geschäftsbereiche beträgt EUR 600 Millionen, vorbehaltlich Anpassungen. Ende Dezember wurde die Vereinbarung zum Erwerb unterzeichnet, womit die exklusive Verhandlungsphase startete. Das Closing wird voraussichtlich im Laufe des Jahres 2023 nach fusionskontrollrechtlicher Prüfung und Erfüllung weiterer Bedingungen stattfinden.

Der fusionskontrollrechtliche Teil der Transaktion steht unter der Federführung der ADVANT Beiten Partner Uwe Wellmann und Christoph Heinrich, welche gemeinsam die Fusionskontrolle in Deutschland verantworten und zusätzlich ein Team an Kanzleien in verschiedenen Jurisdiktionen koordinieren. Die länderübergreifende fusionskontrollrechtliche Beratung findet unter anderem in Zusammenarbeit mit ADVANT Altana in Frankreich, Binder Grösswang in Österreich, Woźniak Legal in Polen und Radovanović Stojanović & Partners in Südosteuropa statt.

Der M&A-Arbeitsstrang wurde von E+H (Wien, Graz) geleitet. ADVANT Beiten Partner Dr. Mario Weichel übernahm hier den deutschen Part und führte gemeinsam mit einem multidisziplinären Team die Due Diligence-Prüfung bezüglich des Creaton-Geschäfts durch. ADVANT Altana verantwortete die französische Due Diligence-Prüfung.

Berater Wienerberger:
 

ADVANT Beiten: Uwe Wellmann (Berlin) und Christoph Heinrich (beide Federführung, beide Kartellrecht), Dr. Mario Weichel, Maximilian Matusewicz (beide Corporate/M&A), Cathleen Laitenberger (Kartellrecht), Anja Fischer (Real Estate), Katrin Lüdtke und Philipp Früh (beide Öffentliches Recht), Christian Hess (IP), Michael Ziegler und Petra Fendt (Finance), Chiara Peterhammer (Commercial, alle München), Nima Valadkhani (Commercial), Wolf J. Reuter (Arbeitsrecht) und Dr. Ariane Loof (Datenschutzrecht, alle Berlin).

Pressekontakt
 

Frauke Reuther
 

Manager Kommunikation
 

ADVANT Beiten
 

+49 (69) 75 60 95 - 570
 

frauke.reuther@advant-beiten.com

Uwe Wellmann
 

Rechtsanwalt
 

ADVANT Beiten
 

+49 30 26471-243
 

Uwe.Wellmann@advant-beiten.com

Dr. Kathrin Bürger, Dr. Silke Dulle, Christina Kamppeter, Susanne Klein, Dr. Ralf Hafner, Dr. Georg Tolksdorf und Dr. Sebastian Weller vertreten fünf verschiedene Rechtsgebiete und verteilen sich auf fünf Standorte.

• Dr. Kathrin Bürger (Arbeitsrecht, Frankfurt und München), Fachanwältin für Arbeitsrecht, berät schwerpunktmäßig im kollektiven Bereich. Sie begleitet Unternehmen bei tariflichen Veränderungen und (Haus-) Tarifvertragsver-handlungen sowie bei streikvorbereitenden Maßnahmen. Darüber hinaus berät sie Unternehmen bei der Verhandlung mit Betriebsräten, auch im Rahmen von Einigungsstellen sowie bei sämtlichen individualrechtlichen Fragestellungen.
• Dr. Silke Dulle (Corporate/M&A, Berlin), Fachanwältin für Medizinrecht, berät Mandanten des Gesundheitswesens, insbesondere im Krankenhaus- und Krankenkassensektor. Sie berät dabei im Krankenhausrecht, Sozialversicherungs- und Pharmarecht, Vergaberecht und Gesellschaftsrecht.
• Christina Kamppeter (Arbeitsrecht, München), Fachanwältin für Arbeitsrecht, berät nationale und internationale Unternehmen in allen Belangen des individuellen und kollektiven Arbeitsrechts, insbesondere bei Verhandlungen mit Betriebsräten und Gewerkschaften. Ein Schwerpunkt ihrer Tätigkeit liegt auf der arbeitsrechtlichen Begleitung von Restrukturierungen.
• Susanne Klein (IP/IT/Medien, Frankfurt), Fachanwältin für Informations-technologierecht, ist ausgewiesene Expertin im Datenschutzrecht. Darüber hinaus berät sie ihre nationalen und internationalen Mandanten im IT- und Urheberrecht.
• Dr. Ralf Hafner (Prozessführung & Konfliktlösung, München), berät seine nationalen und internationalen Mandanten in komplexen internationalen Konflikten bei der außergerichtlichen Konfliktlösung und vertritt sie vor staatlichen Gerichten und Schiedsgerichten.
• Dr. Georg Tolksdorf (Vermögen/Nachfolge/Stiftungen, Hamburg) ist im Bereich des Erb- und Stiftungsrechts sowie der (steueroptimierten) Vermögensnachfolgeplanung von Privatpersonen und (Familien-)Unternehmern tätig. Ein weiterer Schwerpunkt seiner Tätigkeit liegt im Bereich der Durch-führung von (unternehmerischen) Testamentsvollstreckungen.
• Dr. Sebastian Weller (Corporate/M&A, Düsseldorf) ist schwerpunktmäßig in den Bereichen Gesellschaftsrecht/M&A sowie Private Equity/Venture Capital tätig und berät insbesondere bei Übernahmen, Beteiligungen und Restrukturierungen. Er unterstützt bei sämtlichen Fragen rund um das Gesellschafts- und Umwandlungsrecht sowie Corporate Compliance.

Neben den sieben neuen Equity Partnerinnen und Partnern wurden die folgenden Salary Partnerinnen und Partner zu Local Partnerinnen und Partnern gewählt:

• Dr. Anne Dziuba, Arbeitsrecht, München
• Dr. Daniel Fischer, Real Estate, Frankfurt
• Dr. Christina Hackbarth, IP/IT/Medien, München
• Christian Hipp, Kartellrecht, Berlin
• Tanja Hogh Holub, IP/IT/Medien, München
• Sylvia Jenoh, Steuern, Frankfurt
• Dr. Klaus Kemen, Real Estate, Berlin
• Dr. Markus Ley, Corporate/M&A, Berlin
• Jörn Manhart, Arbeitsrecht, Düsseldorf
• Carsten Pütger, Corporate/M&A, Düsseldorf
• Dr. Jochen Reuter, Real Estate, Frankfurt
• Dr. Winfried Richardt, Corporate/M&A, Düsseldorf
• Dr. Florian Weichselgärtner, Konfliktlösung, München
• Mathias Zimmer-Goertz, IP/IT/Medien, Düsseldorf

Weiterhin setzen folgende Kolleg:innen ihren Karriereweg erfolgreich fort und wurden vom Senior Associate zur/zum Salary Partner:in gewählt:

• Annalena Benz, Real Estate, München
• Jens Ledermann, Steuern, Frankfurt
• Dr. Martina Schlamp, Arbeitsrecht, München

Über das Wachstum aus den eigenen Reihen hinaus, verfolgt ADVANT Beiten kontinuierlich ihre Strategie des gezielten Wachstums durch Quereinsteiger:innen in ausgewählten Bereichen und bestätigt die Salary Partnerschaft für folgende Kolleg:innen:

• Christian Burmeister, Corporate/M&A, Freiburg/Berlin
• Dr. Moritz Jenne, Corporate/M&A, Freiburg
• Dr. Sebastian Kroll, Arbeitsrecht, München
• Markus P. Linnartz, Steuern, Düsseldorf
• Dr. Ariane Loof, Arbeitsrecht, Berlin
• Dr. Michael Matthiessen, Arbeitsrecht, Berlin
• Dr. Birgit Münchbach, Corporate/M&A, Freiburg
• Kristin Müller-Nedebock, Steuern, Hamburg

„Alle Senioritätsstufen sind für die Zukunft unserer Kanzlei von zentraler Bedeutung. Umso mehr freuen wir uns, dass wir so viele Kolleg:innen unterschiedlicher Senioritäten, Rechtsgebiete und Standorte auf ihrem Karriereweg begleiten dürfen, sagt Philipp Cotta, Managing Partner von ADVANT Beiten und ergänzt: „Unser modifizierter Karrieretrack bietet allen Kolleg:innen zusätzliche Flexibilität in der individuellen Karriereplanung und ermöglicht es uns, unsere fachliche Expertise über die verschiedenen Ebenen noch klarer gegenüber unserer Mandantschaft herauszustellen.“

Herzlichen Glückwunsch an alle gewählten und bestätigten Partnerinnen und Partnern.

OIS mit Sitz in Freiburg i.Br. (Deutschland) und deren Tochter CDN mit Sitz in Basel (Schweiz) sind europaweit im Bereich der Real-World-Data und der evidenzbasierten Gesundheits- und Marktforschung für die pharmazeutische Industrie tätig. Die Dienstleistungen beider Unternehmen sind auf die Bereiche Health Economics and Outcomes Research (HEOR), Marketing und Medizin in der Onkologie/Hämatologie fokussiert und nehmen eine besondere Position in diesem Bereich in Europa ein.

Die von Investoren wie der Carlyle Group und dem Merck Global Health Innovation Fund finanzierte TriNetX Gruppe verfügt mit einem globalen Netzwerk von Forschungskrankenhäusern und akademischen Einrichtungen, führenden Biotech- und Pharmaunternehmen, Auftragsforschungsinstituten und anderen spezialisierten Datenpartnern über das weltweit größte Ökosystem von Datenaus der klinischen Realität und der resultierenden Evidenz für die Bereiche Life Sciences und Health Care. Damit schafft die TriNetX Gruppe für die Pharmaindustrie eine Voraussetzung für die beschleunigte Entwicklung neuer Therapien. Mit der Übernahme von OIS und CDN gelingt es TriNetX, Zugang zu umfangreichen qualitätsgeprüften Hämatologie- und Onkologiedaten aus europäischem Netzwerk von Therapieeinrichtungen zu erhalten und somit Projekte und Daten liefern zu können, die von Pharmaunternehmen in Zulassungsverfahren bei der FDA und der Europäischen Arzneimittelagentur genutzt werden können.

Beide Unternehmen arbeiten mit den größten Herstellern von Krebstherapeutika, aufstrebenden anderen innovativen Unternehmen und Forschungsnetzwerken zusammen.

OIS/CDN wird in die TriNetX-Organisation als Teil der Gruppe unter der Leitung von Chief Scientific Officer Dr. Jeffrey Brown integriert. Lenka Kellermann, Gründerin von OIS und CDN, wird die Rolle des Senior Vice President of Oncology übernehmen und diesen Bereich in der TriNetX-Organisation führen. Sébastien Wischlen, CEO von CDN, steigt als Vice President auf.

Berater OIS und CDN:

ADVANT Beiten: Gerhard Manz (Federführung, Corporate/M&A), Dr. Birgit Münchbach (Life Sciences, Datenschutz, IT-Recht), Dr. Barbara Mayer (Corporate/M&A, alle Freiburg).

Pressekontakt

Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
Frauke.Reuther@advant-beiten.com

Gerhard Manz
Rechtsanwalt
ADVANT Beiten
Tel.: +49 (761) 15 09 84 - 11
Gerhard.Manz@advant-beiten.com

In der Auswertung der Auslandsempfehlungen landet die internationale Wirtschaftskanzlei ADVANT Beiten unter den „Top-Kanzleien Europa“ mit 25 Empfehlungen auf dem fünften Platz.

ADVANT Beiten erreicht in der Gesamtauswertung nach der Zahl der Empfehlungen (70) Position 19 der Top-100-Liste.

ADVANT Beiten zählt bei diesen Rechtsgebieten zu den „Führenden Kanzleien“ (zwei oder mehr Empfehlungen):
Arbeitsrecht (5), Compliance (4), Datenschutz (6), Finanzierung (5), Gesellschaftsrecht (3), Gewerblicher Rechtsschutz (2), Immobilien- & Baurecht (2), IT-Recht (5), Kartellrecht (9), Medienrecht (7), M&A (3), Öffentliches Recht (2), Produkthaftung (2), Steuerrecht (2), Vertragsrecht (8).

Als „Führende Anwälte“ (zwei oder mehr Empfehlungen) sind benannt:
Petra Fendt (Finanzierung/4), Dr. Christian Heinichen (Kartellrecht/6 und Vertragsrecht/3), Christoph Heinrich (Kartellrecht/2), Dr. Holger Weimann (Medienrecht/2), Dr. Ralf Hafner (Vertragsrecht/2), Heinrich Meyer (Vertragsrecht/2).

München/Frankfurt, 7. Oktober 2022 – ADVANT Beiten hat die Sappi Limited ("Sappi") bei der geplanten Veräußerung der grafischen Papierfabriken von Sappi in Stockstadt (Deutschland), Maastricht (Niederlande) und Kirkniemi (Finnland) mit zusammen über 1.400 Arbeitnehmern an AURELIUS Investment Lux One S.à.r.l. ("Aurelius") zum deutschen Recht beraten.

Die Transaktion ist als Share Deal strukturiert, bei dem Aurelius die einzelnen Gesellschaften, d. h. die Sappi Stockstadt GmbH, die Sappi Maastricht Real Estate B.V. (einschließlich ihrer Tochtergesellschaft Sappi Maastricht B.V.), die Sappi Finland I Oy und die Sappi Finland Operations Oy erwirbt, welche die Vermögenswerte und Verbindlichkeiten der einzelnen Werke halten und kontrollieren.

Der Unternehmenswert der Transaktion beläuft sich auf rund EUR 272 Mio. Der Vollzug der Transaktion wird für das erste Quartal 2023 erwartet und unterliegt verschiedenen Bedingungen.

Sappi ist ein weltweit führender Anbieter von Zellstoff- und Papierlösungen mit Hauptsitz in Johannesburg, Südafrika. Das Unternehmen beschäftigt über 12.000 Mitarbeiter, verfügt über Produktionsstätten in zehn Ländern auf drei Kontinenten und hat Kunden in über 150 Ländern weltweit.

Berater von Sappi Limited:

Advant Beiten: Dr. Christoph Schmitt (Federführung; Banking & Finance) und Dr. Markus Ley (Federführung, Gesellschaftsrecht); Dr. Mario Weichel und Maximilian Matusewicz (beide Gesellschaftsrecht); Dr. Gerald Müller-Machwirth und Maike Pflästerer (beide Arbeitsrecht); Katrin Lüdtke und Philipp Früh (beide Öffentliches Recht); Anja Fischer (Real Estate); Susanne Klein (IT-Recht und Datenschutz) sowie Christoph Heinrich, Dr. Christian Heinichen und Cathleen Laitenberger (alle Kartell- und Wettbewerbsrecht).

Stibbe berät zu den Aspekten des niederländischen Rechts und Fondia zu den Aspekten des finnischen Rechts der Transaktion.

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
Frauke.Reuther@advant-beiten.com

Dr. Markus Ley
Rechtsanwalt
ADVANT Beiten
+49 (89) 35 0 65 - 1211
Markus.Ley@advant-beiten.com

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Adressaten des DSA

Adressaten des DSA sind „intermediary services providers“ also Erbringer von Vermittlungsdiensten, die ihre Dienste in der EU anbieten. Davon erfasst sind zum Beispiel Internet-Provider, Clouddienste und Content-Sharing Plattformen, aber auch soziale Netzwerke, App Stores und Online-Marktplätze. Das Ausmaß der Regelungstiefe richtet sich dabei nach der jeweiligen Art der Vermittlungsdienstleistung. Unterschieden wird zwischen der reinen Übermittlung von Daten („mere conduit“), einer Übermittlung mit kurzzeitiger Zwischenspeicherung („caching“) und dem „hosting“, mit dem Spezialfall der Online-Plattformen. Die strengsten Regelungen gelten für „very large online platforms“ und „very large online search engines“.

Was regelt der DSA – Harmonisierte Haftungsbefreiungen und Sorgfaltspflichten

Zunächst legt der DSA einen einheitlichen Rechtsrahmen für die bedingte Haftungsbefreiung der Vermittlungsdienstleister für die von ihnen übermittelten Daten bzw. Inhalte fest, die sich im wesentlichen Kern nach der Kenntnis der Vermittlungsdienstleister über die Illegalität der Inhalte richtet.

Sorgfaltspflichten, die für alle Vermittlungsdienste gelten

Weiterhin sind – zum Teil sehr ausführliche – Obliegenheitspflichten der Vermittlungsdienstleister aufgeführt.

• Die Anbieter aller Vermittlungsdienste werden verpflichtet, auf Anweisung der zuständigen nationalen Justiz- oder Verwaltungsbehörden gegen illegale Inhalte vorzugehen und über die ergriffenen Maßnahmen zu berichten. Der DSA legt dabei den Vermittlungsdienstleistern jedoch weder eine allgemeine Pflicht zur Überwachung aller Informationen auf, noch verpflichtet er die Dienstleister ohne vorherige Anhaltspunkte aktiv nach Fakten zu suchen, die auf illegale Aktivitäten hindeuten.
• Für eine schnelle und direkte Kommunikation sowohl mit den Behörden einerseits als auch mit den Nutzern andererseits sollen die Vermittlungsdienstleister jeweils Kommunikationspunkte einrichten.
• Die Vermittlungsdienstleister sollen für mehr Transparenz mittels ihrer AGB sorgen, indem sie mehr Informationen über ihre Leistungen darin aufnehmen. So sollen Angaben zu Strategien, Verfahren und Instrumenten, mittels deren illegale Inhalte festgestellt und beschränkt werden können, aufgeführt werden und verständliche Informationen zum internen Verfahren zur Bearbeitung von Beschwerden enthalten sein. Richtet sich der Vermittlungsdienst in erster Linie an Minderjährige oder wird er überwiegend von ihnen genutzt, sind die Bedingungen und Beschränkungen für die Nutzung des Dienstes in einer für Minderjährige verständlichen Form zu erläutern. Damit soll sichergestellt werden, dass die Grundrechte der Nutzer, wie das Recht auf freie Meinungsäußerung, die Freiheit und der Pluralismus der Medien und andere Grundrechte, in den Nutzungsbedingungen angemessen berücksichtigt werden. Es empfiehlt sich für Erbringer von Vermittlungsdienstleistungen jedweder Art die eigenen AGB frühzeitig nach diesen Maßstäben zu überprüfen.
• Zudem bestehen nunmehr Transparenzpflichten (z. B. Jahresberichte) für alle Vermittlungsdienstleister. Der Umfang dieser Verpflichtung variiert je nach Art des Vermittlungsdienstes.

Besondere Pflichten für Hosting-Dienste (inklusive Online-Plattformen)

Anbieter von Hosting-Diensten, welche also die übermittelten Daten für einen längeren Zeitraum speichern, müssen bestimmte Melde- und Aktionsmechanismen implementieren. Dazu gehört eine Meldefunktion für illegale Inhalte, die für Nutzer leicht zugänglich ist. Im Fall einer sogenannten „Moderation“ von Nutzerinhalten oder -verhalten muss eine klare und spezifische Begründung für die auferlegte Beschränkung an den jeweils betroffenen Nutzer des Dienstes erfolgen. Erhält ein Hosting-Anbieter Kenntnis von Informationen, die den Verdacht einer Straftat durch den Nutzer begründen, welche insbesondere eine Bedrohung für das Leben oder die Sicherheit einer Person darstellt, ist die zuständige Behörde zu informieren.

Besondere Kategorie: Online-Plattformen

Online-Plattformen, wie z. B. soziale Netzwerke oder Online-Marktplätze, werden als Anbieter von Hosting-Diensten definiert, die nicht nur die Informationen speichern, sondern diese auch auf Wunsch des jeweiligen Nutzers an die Öffentlichkeit weitergeben. Für Online-Plattformen gelten daher noch weitergehende Verpflichtungen.

• Zu diesen Verpflichtungen gehören unter anderem die Errichtung eines internen Beschwerdeverfahrens sowie eines außergerichtlichen Streitbeilegungsverfahrens.
• Online-Plattformen sollen Hinweise von so genannten „Trusted Flaggers“ auf illegale Inhalte ohne unnötige Verzögerung bearbeiten.
• Es wird geregelt, wie mit Nutzern umzugehen ist, die häufig offenkundig illegale Inhalte bereitstellen.
• Für die Werbung auf Online-Plattformen gelten neue Transparenzpflichten. Generell müssen Nutzer Informationen über den Werbetreibenden und die Person, die für die Werbung bezahlt hat, erhalten.
• Online-Plattformen, die Empfehlungssysteme einsetzen, müssen Nutzer unter anderem in den AGB über die wichtigsten Parameter, die in ihren Empfehlungssystemen verwendet werden, und die verfügbaren Optionen zur Änderung oder Beeinflussung dieser Parameter informieren.
• Online-Plattformen dürfen keine Werbung präsentieren, die auf Profiling unter Verwendung sensibler personenbezogener Daten, wie zum Beispiel der sexuellen Orientierung, beruhen. Dies gilt auch dann, wenn der Nutzer in diese Verarbeitung eingewilligt hat. Gegenüber Minderjährigen darf keine personalisierte Werbung präsentiert werden. Dies gilt, sofern die Anbieter mit hinreichender Sicherheit wissen, dass der Nutzer minderjährig ist. Das bedeutet auch: Funktionen wie „Für Sie empfohlen“ oder ähnliches sollten geprüft werden, da auch bei solchen Algorithmus-basierten Vorschlägen die Nutzerprofile zum Zwecke der personalisierten Werbung im Sinne des DSA verarbeitet werden können.
• So genannte „dark pattern“, also Anwendungsoberflächen, die eine freie Entscheidung der Nutzer entsprechend behindern (zum Beispiel durch unterschiedliche Anzeigegrößen von Zustimmungs- und Ablehnungsoptionen), sind nunmehr verboten.
• Online-Plattformen, die Verbrauchern den Abschluss von Fernabsatzverträgen mit gewerbetreibenden Händlern ermöglichen, müssen sicherstellen, dass diese Händler legitim und rückverfolgbar sind.

Für sehr große Online-Plattformen (ab durchschnittlich 45 Millionen EU-Nutzern im Monat) gilt eine noch umfassendere Transparenzpflicht. Sie müssen den Nutzern die Möglichkeit geben, Empfehlungen auf der Grundlage von Profiling abzulehnen. Sie müssen ein Risikomanagement einrichten und sich jährlichen unabhängigen Prüfungen unterziehen. Im Falle einer Krise (z. B. Krieg) können für sehr große Online-Plattformen weitere Verpflichtungen gelten. Diese Anforderungen gelten auch für sehr große Online-Suchmaschinen.

Durchsetzung und Sanktionen

Die Nichteinhaltung des DSA kann mit hohen Geldbußen von bis zu sechs Prozent des Konzernjahresumsatzes geahndet werden. Zuständig für die Durchsetzung der Vorschriften und die Verhängung von Geldbußen ist grundsätzlich der Mitgliedsstaat (insbesondere die zuständige nationale Behörde), in dessen territoriale Zuständigkeit der Vermittlungsdienst fällt. Bei sehr großen Online-Plattformen/sehr großen Suchmaschinen liegt die Zuständigkeit hier bei der EU-Kommission.

Für Unternehmen ergeben sich nicht nur Verpflichtungen, sofern sie Erbringer von Vermittlungsdienstleistungen jedweder Art sind; sie erhalten nunmehr die Möglichkeit besser gegen illegale Inhalte oder illegale Produkte (zum Beispiel Produktfälschungen usw.) vorzugehen.
Die neuen Regelungen werden wahrscheinlich ab Februar 2024 gelten (für sehr große Onlineplattformen bereits früher). Es wird sich zeigen, ob und wie der „neue Sheriff“ für eine bessere Kontrolle und Sicherheit online sorgen wird.

Dr. Andreas Lober und Cathleen Laitenberger

Was hätten die Hinterbliebenen in Deutschland als Schadensersatz erhalten?

Dr. Marc-Oliver Srocke, Rechtsanwalt und Fachanwalt für Urheber- und Medienrecht, im Interview mit DER SPIEGEL vom 2. September 2022. Den gesamten Beitrag lesen Sie hier: LINK

Zur Einführung: Metaversen sind spätestens seit 2021, als sich Facebook in Meta umbenannte, wieder im Gespräch. Es sind konsistente und persistente digitale Räume, die durch die Konvergenz von virtueller, erweiterter und physischer Realität entstehen. Die Visionen sind gewaltig. Auch der Rechtsmarkt lässt sich locken: „Gleiss eröffnet Büro im Metaversum”, las man kürzlich. – und als erste größere Kanzlei in der virtuellen Welt galt damals Field Fisher Waterhouse...“ 

Das gesamte Interview mit unserem Partner Dr. Andreas Lober finden Sie auf der Webseite von Libra, eine Marke der juris GmbH, unter: Link

Regelung des Datenschutzrechts für Anbieter von Telemedien- und Telekommunikations-Dienstleistungen

Ziel dieses Gesetzes ist es, das Datenschutzrecht in Deutschland zu konsolidieren. Die 2002 verabschiedete und 2009 erweiterte ePrivacy-Richtlinie der EU wurde damit in nationales Recht umgesetzt. Zudem wurden datenschutzrechtliche Vorschriften aus dem TKG und dem TMG zusammengefasst und an die DS-GVO angeglichen. Rechtsunsicherheiten, die durch das bisherige Nebeneinander von drei Gesetzen (TKG, TMG, DS-GVO) entstanden sind, sollten so ausgeräumt werden. Die Rechtsanwendung wird nunmehr durch ein einheitliches Gesetz erleichtert.

Für die Praxis bringt das Gesetz eine wesentliche Neuerung: Es kodifiziert die bisher von der Rechtsprechung vorgegebenen Grundsätze zur Einwilligung in die Speicherung von Informationen auf Endeinrichtungen und regelt die Zulässigkeit des Zugriffs auf vorhandene Informationen.

Technologieneutraler Anwendungsbereich des TTDSG

Das TTDSG ist technologieneutral gefasst, d.h. es erfasst sämtliche Endeinrichtungen. Darunter fallen klassische Endgeräte wie Smartphones und Tablets, aber auch Haushaltsgeräte vom smarten Kühlschrank bis zur Beleuchtung mit Anschluss an das heimische WLAN.

Der Anwendungsbereich des TTDSG ist weit. Er umfasst z.B. auch OTT-Dienstleister als Anbieter von Telemedien- und Telekommunikations-Dienstleistungen. OTT-Kommunikationsdienste sind Dienste, die über eine Internetverbindung angeboten werden, ohne dass der Internetanbieter selbst Einfluss auf oder Kontrolle über den Content hat.

Zentrale Norm des TTDSG: Die Einwilligung nach § 25 TTDSG am Beispiel von Tracking Cookies

Die zentrale Norm des Gesetzes ist § 25 TTDSG, der das Erfordernis einer Einwilligung des Endnutzers regelt und für die Modalitäten der Einwilligung auf die DS-GVO verweist. Besonders praxisrelevant ist dies für die Zulässigkeit von Tracking Cookies. Tracking Cookies verfolgen das Verhalten eines Nutzers beim Aufruf von Websites. Dabei wird eine Cookie-ID an den Nutzer vergeben, mittels der ihm alle seine Interaktionen zugeordnet werden können.

Anforderungen an eine wirksame Einwilligung

Die Einwilligung muss vom Nutzer des Geräts vor dem Zugriff der Website bzw. der App auf das Endgerät eingeholt werden.

Der Einwilligende muss hinreichend informiert sein. Dafür ist entscheidend, dass bei Einwilligung jegliche Speicher- und Ausleseaktivitäten für den Nutzer transparent und nachvollziehbar sind.

In der Praxis wird häufig mit der sog. Banner-Lösung gearbeitet. Bereits im Banner müssen folgende Informationen dem Nutzer angezeigt werden: Wer greift in welcher Form, zu welchem Zweck und über welche Dauer auf die Endeinrichtung zu? Erhalten auch Dritte Zugriff bzw. werden Daten an Dritte weitergeben? Ein Hinweis, wie beispielsweise „Wir verwenden Cookies, um ihr Nutzungserlebnis zu verbessern“, reicht nicht aus. Nicht ausreichend ist auch, wenn erst eine ausklappbare Detailansicht zu den erforderlichen Informationen führt. Die Ablehnung von Cookies muss direkt möglich sein. Von einem Button „weitere Informationen" ist daher abzuraten.

Außerdem muss der Nutzer über einen möglichen Widerruf der Einwilligung aufgeklärt werden. Ein Widerruf muss genau so einfach möglich sein, wie die Einwilligung erteilt wurde.

Die Einwilligung muss ausdrücklich erteilt werden. Das Aufrufen einer Website allein stellt noch keine Einwilligung dar. Es ist möglich, die Einwilligung nach dem TTDSG und die nach DS-GVO, gleichzeitig einzuholen. Jedoch muss erkennbar sein, dass beide Einwilligungen gleichzeitig erteilt werden.

Für eine echte Wahlmöglichkeit muss der Nutzer die Möglichkeit haben, Cookies abzulehnen. Die Wahlmöglichkeit muss websiteintern gegeben sein. Es genügt nicht, wenn darauf verwiesen wird, dass ein Endnutzer die gleiche Dienstleistung auf einer anderen Website „ohne Cookies“ in Anspruch nehmen könnte. Die Wahl, eine Einwilligung zu erteilen oder nicht, darf sich also nur auf eine Website beziehen und nicht das Angebot anderer Websites als Rechtfertigung dafür anführen, dass die Cookies auf der eigenen Website zwingend sind.

Wann muss keine Einwilligung des Nutzers eingeholt werden?

In zwei Fällen muss keine Einwilligung eingeholt werden:

(1.) beim Speichern von Daten, die zur Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz gespeichert werden und
(2.) bei unbedingt erforderlichen Zugriffen, um vom Endnutzer ausdrücklich gewünschte Telemediendienste zur Verfügung zu stellen. „Unbedingt erforderlich“ bedeutet: Der Auslese-/Speichervorgang darf erst dann erfolgen, wenn die durch ihn ermöglichte Funktion benutzt wird. Es dürfen nur Auslese-/Speichervorgänge stattfinden, die technisch notwendig sind und die Speicherung darf nur so lange erfolgen, wie sie zur technischen Umsetzung der Funktion gebraucht wird.

Was droht bei einem Verstoß?

Bei einem Verstoß gegen datenschutzrechtliche Vorgaben des TTDSG und der DS-GVO drohen Bußgelder. Auch eine doppelte Verhängung eines Bußgelds nach TTDSG und DS-GVO ist nach Gesetzeslage möglich. Das stellt eine Änderung durch das neue Gesetz dar. Es bleibt abzuwarten, wie die Datenschutzbehörden dies praktisch handhaben.

Ausblick und Einordnung: Quo vadis Datenschutz?

Auch in Zukunft bleibt es spannend im Datenschutzrecht. Perspektivisch zeichnen sich zwei weitere Änderungen ab, mit denen Anbieter von Telemedien und TK-Dienstleistungen in absehbarer Zeit rechnen sollten:

Zum einen wird die sog. Einwilligungsverwaltung, die bereits in § 26 TTDSG vorgesehen ist, zunehmend praktisch relevant werden. Personal Information Management Systems (kurz: PIMS) sollen dem Nutzer ermöglichen, einen Überblick über seine Einwilligungen zu behalten und im konkreten Einzelfall die Einwilligung zu Cookies zu erteilen. Die PIMS würden nach vorheriger, genereller Auswahl des Endnutzers eine Einwilligung automatisiert erteilen. Für die Umsetzung in der Praxis bedarf es aber nach. § 26 Abs. 2 TTDSG einer Verordnung der Bundesregierung, die ein Anerkennungsverfahren für solche PIMS-Dienstleister statuiert und das Zusammenspiel aller Beteiligten regelt. Diese gibt es bis dato noch nicht.

Zudem wird auf EU-Ebene weiterhin an einer ePrivacy-Verordnung gearbeitet. Auch wenn die Verhandlungen noch andauern, zeichnen sich bereits gewisse Tendenzen ab: Geplant ist u.a. eine erweiterte Reichweitenmessung ohne Einwilligungserfordernis. Daneben sollen auch Einwilligungsverwaltungen ermöglicht werden.

Durch das TTDSG ist das Einwilligungserfordernis für Cookies nun gesetzlich geregelt. Unternehmen sollten ihre Websites entsprechend anpassen, wenn sie Tracking Cookies verwenden. Andernfalls könnte es teuer werden.

Dr. Birgit Münchbach

Dieser Blogbeitrag ist bereits im Haufe Wirtschaftsrechtsnewsletter erschienen. Sie finden den Beitrag hier.

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Von ADVANT Beiten werden 73 Juristinnen und Juristen in mindestens einem Rechtsgebiet empfohlen, dabei sind alle fünf deutschen Standorte der Kanzlei vertreten: München mit 34 Berufsträgern, Berlin mit 10 und Frankfurt mit 13, Düsseldorf mit 11 und Hamburg mit 5. Hinzu kommen zwei Berufsträger als „Ones to Watch“.

Die vollständige Liste aller empfohlenen ADVANT Beiten-Anwältinnen und Anwälte können Sie hier einsehen.

Das ADVANT Beiten-Team um den federführenden Partner Dr. Sebastian Weller hat die komplexe Transaktion praxisgruppen- und standortübergreifend vollumfänglich begleitet: von der Vorbereitung und Strukturierung der Transaktion (inklusive Due Diligence), über die Verhandlung, Umsetzung und den Vollzug der Transaktion einschließlich Kartellanmeldung.

Medline ist ein führendes globales Unternehmen im Gesundheitswesen, das qualitativ hochwertige medizinische und chirurgische Produkte herstellt und vertreibt. Medline Europe wurde im Jahr 2011 gegründet und betreibt europaweit Niederlassungen sowie Produktions- und Vertriebszentren.

Asid Bonz ist ein führender Lieferant für Klinken und Krankenhäuser in Deutschland und bietet hochwertige Produkte für die Chirurgie, Anästhesie, Stationsversorgung und Urologie. Asid Bonz wurde 1811 gegründet und ist weltweit bekannt für die Entwicklung des ersten Narkose-Äthers. Im Jahr 2021 erzielte Asid Bonz einen Umsatz von über 30 Millionen Euro und belieferte über 1.100 Krankenhäuser in Deutschland.

Mit ähnlichen Geschäftsmodellen und hervorragenden Kundenservice passen die beiden Unternehmen strategisch hervorragend zusammen. In Zukunft wird Medline die Marke Asid Bonz auch außerhalb Deutschlands für seinen breiten europäischen Kundenstamm verfügbar machen. Innerhalb Deutschlands werden die Vertriebsmitarbeiter von Asid Bonz Zugang zu ausgewählten Produkten von Medline haben, um ihre Partnerschaft mit den Kunden weiter auszubauen.

Berater Medline International B.V.:
ADVANT Beiten: Dr. Sebastian Weller (Corporate/M&A, Federführung), Nico Frielinghaus (Corporate/M&A), Dr. Tassilo Klesen (Corporate/Commercial), Markus Schönherr (Corporate/M&A), Dr. Patrick Hübner (Investitionskontrolle), Peter Weck (Arbeitsrecht), Dr. Andrea Pomana (Kartellrecht), Christoph Heinrich (Kartellrecht), Marco Mirceta (Kartellrecht), Mathias Zimmer-Goertz (IP), Christian Döpke (Datenschutz), Dr. Marion Frotscher (Steuern), Simon Bauer (Steuern), Katrin Lüdtke (Öffentliches Recht), Sascha Opheys (Beihilfen).

Berater Medi-Globe Europe:
White & : Dr. Stefan Koch, Federführung

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
Frauke.Reuther@advant-beiten.com

Dr. Sebastian Weller
Rechtsanwalt
ADVANT Beiten
+49 (211) 51 89 89 - 134
Sebastian.Weller@advant-beiten.com

Weitere Informationen zur Omnibus-Richtlinie erhalten Sie in diesem Video von unserer Partnerin Dr. Julia Offermanns.

In einem Krankenhaus-IT Journal Interview erläutert unsere Expertin Susanne Klein, weshalb Daten im Kontext der medizinischen Qualität notwendig sind, welche Herausforderungen die Datengewinnung mit sich bringt und wie die Ärzteschaft und die Datenschutzbehörde einer Datenspende gegenüberstehen. Das vollständige Video finden Sie unter diesem Link. 

Rüdiger Wienberg hatte als Verfügungsbeklagter argumentiert, dass es sein gesetzlicher Auftrag sei, eine lückenhafte Buchhaltung auf den aktuellen Stand zu bringen. Das Landgericht Berlin geht in seiner Entscheidung davon aus, dass die von Balke behaupteten kriminellen Buchhaltungsmanipulationen "durch nichts belegt" sind. Die vom Insolvenzverwalter veranlassten Nachbuchungen seien nicht zu beanstanden. Wienberg sei vielmehr verpflichtet gewesen, die von Karsten Balke als Geschäftsführer unterlassenen Buchungen vorzunehmen.
Nach seiner Bestellung zum Insolvenzverwalter hatte Wienberg eine Vielzahl von Rechnungen vorgefunden, die noch nicht von der Germania-Unternehmensbuchhaltung erfasst waren. Diesen Buchungsrückstand hatte er beseitigt, um belastbare Bilanzen zu erzeugen und den tatsächlichen Verschuldungsgrad des Unternehmens zu ermitteln. Das Landgericht Berlin geht in seiner Entscheidung von "konkreten Mängeln" der von Karsten Balke verantworteten Buchführung aus.

Das Gericht folgte ebenfalls nicht dem Vorwurf, der Insolvenzverwalter habe Verknüpfungen oder Geschäftsunterlagen "absichtsvoll" gelöscht, vernichtet oder verändert. Die Richter betonten, es müsse dem Insolvenzverwalter nach einer Abwägung grundsätzlich möglich sein, die Geschäftsunterlagen neu zu strukturieren oder auch (z. B. zur Kostenersparnis) zu vernichten. Des Weiteren bestätigte das Gericht, dass Rüdiger Wienberg seine Verpflichtung zur Einsichtnahme mit dem von ihm bereitgestellten Datenfernzugriff erfüllt habe.

Hintergrund ist, dass sich aus den Unternehmensdaten Anhaltspunkte für Haftungsansprüche gegen Karsten Balke ergeben, die Wienberg als Insolvenzverwalter zugunsten der Gläubiger geltend machen muss.

Berater Rüdiger Wienberg/hww
ADVANT BEITEN: Frank R. Primozic (Federführung), Haide Spanier, Lutz Bachmann (Insolvenzrecht, Frankfurt), Susanne Klein (Datenschutzrecht, Frankfurt).

Berater Karsten Balke, Germania:
Schalast: Dr. Jan Ludwig und Tom Brägelmann

Berater der Nebenintervenienten: 
Pluta: Tillmann de Vries und
Heinichen Laudien: Cord Henrich Heinichen

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Frank R. Primozic
Rechtsanwalt
ADVANT Beiten
+49 (69) 75 60 95 - 424
frank.primozic@advant-beiten.com

Unsere Partner Dr. Andreas Lober (Medien/Entertainment), Dr. Wolfgang Lipinski (Arbeitsrecht) und Dr. Gerrit Ponath (Private Clients und Nonprofit-Sektor) werden als führende Namen in ihrem jeweiligen Rechtsgebiet gelistet. Wojtek Ropel (Medien/Entertainment) und Katharina Fink (Private Clients und Nonprofit-Sektor) zählen zu den Namen der nächsten Generation. Zudem sind zahlreiche Anwälte und Anwältinnen auf der Empfehlungsliste der verschiedenen Rechtsgebiete vertreten.

Rechtsgebiete/Praxisbereiche im Ranking:

Arbeitsrecht, Gesellschaftsrecht und M&A (mittelgroße Deals), Gewerblicher Rechtsschutz (Markenrecht und Wettbewerbsrecht), Immobilien- und Baurecht (Immobilienrecht und Projektentwicklung), Informationstechnologie (Datenschutz und IT/Digitalisierung), Medien (Gaming, Entertainment, Presse- und Verlagsrecht), Private Clients und Nonprofit-Sektor, Öffentliches Recht (Planungs- und Umweltrecht, Vergaberecht, Beihilfenrecht).

Wir gratulieren den Praxis- und Branchengruppen sowie unseren empfohlenen Anwältinnen und Anwälten.

Hintergrund:
The Legal 500 wird seit 35 Jahren veröffentlicht und ist ein unabhängiges Handbuch. Kanzleien sowie Anwälte bzw. Anwältinnen werden ausschließlich aufgrund ihrer Leistung empfohlen. Inhouse-Juristen und -Juristinnen erhalten einen umfassenden Überblick über rund 400 Wirtschaftsrechtskanzleien und 2700 Anwälte in Deutschland. Die Analyse umfasst 23 Praxisbereiche und 90 Rankings. Im Rahmen der Recherche von The Legal 500 Deutschland werden hunderte von Interviews mit Anwälten und Anwältinnen geführt und mehr als 23.000 Mandanten befragt.

ADVANT Beiten hat Paca Puratos ursprünglich beim Erwerb von Aktien und bei einem geplanten Investment von/in frizle fresh foods beraten. Im Verlauf der Transaktion hat die auf innovative Lebensmittelprodukte spezialisierte frizle fresh foods AG jedoch Insolvenz anmelden müssen. Das ADVANT Beiten Team um den federführenden Partner Prof. Dr. Hans-Josef Vogel hat daraufhin die Strategie geändert und ihre Mandantin beim Erwerb des vollständigen Geschäftsbetriebs vom Insolvenzverwalter beraten.

Frischer Spätzleteig aus der Tüte – mit dieser Geschäftsidee gingen die Gründer von frizle fresh foods 2015 an den Start. Auch wenn es damals mit einem Deal in der bekannten Serie "Die Höhle der Löwen" nicht klappte, erfuhr das Start-up hohe mediale Aufmerksamkeit und war mit seinem Produkt schnell in vielen Einzelhandelsketten vertreten. Es folgten eine Reihe weiterer frischer, fließfähiger Teige und Produkte, die noch nicht im deutschen Markt etabliert waren.

PACA wurde 1934 gegründet und ist seit mehr als 40 Jahren führend auf dem israelischen Markt für Frischhefe. Das Unternehmen ist bekannt für "Shimrit", einer berühmten israelischen Marke für Backwaren, die für erfolgreiche Produkte wie frische Hefe, Hefemehle, Margarine, frische Gebäckteiggrundlagen und Frischteige bekannt ist. PACA ist im gemeinsamen Besitz von Puratos und der Familie Sommerfeld. Mit dem Erwerb von frizle fresh foods erweitert das Unternehmen sein Produktportfolio innovativer Lebensmittelprodukte und setzt deren Geschäftsbetrieb weiter fort.

Berater Paca Puratos:
ADVANT Beiten: Prof. Dr. Hans-Josef Vogel (Federführung, Corporate/M&A), Wilken Beckering (Insolvenzrecht), Dr. Winfried Richardt (Corporate/M&A), Mathias Zimmer-Goertz, Christian Döpke (beide IP), Thomas Herten (Real Estate), Doreen Methfessel und Peter Weck (beide Arbeitsrecht, alle Düsseldorf).

Insolvenzverwalter frizle fresh foods:
Rochade Anwälte (Mannheim)

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Prof. Dr. Hans-Josef Vogel
Rechtsanwalt
ADVANT Beiten
+49 (211) 51 89 89 - 0
Hans-Josef.Vogel@advant-beiten.com

Das 2014 gegründete Berliner Startup JUNIQE ist auf Prints und Poster von Künstlerinnen und Künstlern spezialisiert und hervorragend im Markt positioniert. Seit Gründung hat JUNIQE mehr als 20 Millionen Euro Kapital von Gesellschaftern erhalten, darunter bekannte Namen wie Vorwerk Ventures, der High-Tech Gründerfonds und die Cewe-Stiftung. Die JUNIQE-Gründer scheiden aus der operativen Geschäftsführung aus, bleiben dem Unternehmen aber in beratender Funktion eng verbunden. Der JUNIQE-Standort in Berlin und die Marke bleiben erhalten. Die Zahl der MYPOSTER-Beschäftigten steigt mit der Übernahme um 70 auf 350 Mitarbeiterinnen und Mitarbeiter.

MYPOSTER wurde 2011 gegründet und verzeichnete in den vergangenen Jahren rasantes Wachstum. Zur MYPOSTER Gruppe gehören die Marken myposter, Kartenliebe, ArtPhotoLimited sowie das eigene Produktionsunternehmen Printhouse. Die Übernahme von JUNIQE ist die bisher größte Akquisition für MYPOSTER und bedeutet einen Meilenstein für das Unternehmen. MYPOSTER wird das Geschäftsmodell von JUNIQE strategisch und innovativ weiterentwickeln und so zu einem noch stärkeren Anbieter im europäischen E-Commerce ausbauen.

Berater MYPOSTER:
ADVANT Beiten: Dr. Sebastian Weller (federführend, Corporate/M&A/Venture Capital, Düsseldorf), Dr. Martin Rappert, Dr. Julia Offermanns, Nico Frielinghaus, Dr. Winfried Richardt, Markus Schönherr (alle Corporate/M&A, alle Düsseldorf), Tassilo Klesen (Corporate/Commercial, Berlin), Wilken Beckering (Corporate/Commercial, Düsseldorf), Lelu Li (Commercial, Berlin), Thomas Herten (Immobilienrecht, Düsseldorf), Peter Weck (Arbeitsrecht, Düsseldorf), Christoph Heinrich (Kartellrecht, München), Mathias Zimmer-Goertz (IP, Düsseldorf), Christian Döpke (Datenschutz, Düsseldorf), Helmut König (Tax, Düsseldorf), Jan Christian Mohrmann (Tax, Frankfurt), Dennis Grimmer, Vivienne Sulek (beide Financial Due Diligence, beide Düsseldorf).

Berater JUNIQE: Osborne Clarke (Nicolas Gabrysch, Alexandra Nautsch)

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Sebastian Weller
Rechtsanwalt
ADVANT Beiten
+49 (211) 51 89 89 -134
Sebastian.Weller@advant-beiten.com

WPG ist ein führender Anbieter von hochentwickelten, einsatzkritischen Antriebssystemen und Dienstleistungen für Off-Highway- und Industrieanwendungen mit Hauptsitz in Lohmar bei Köln. WPG ist mit Komponenten und Antriebssystemen für Landwirtschafts-, Industrie-, Bau- und Bergbaumaschinen in 75 Ländern vertreten und beschäftigt weltweit mehr als 2.200 Mitarbeiter.

Durch den Zusammenschluss der an der Borsa Italiana notierten Comer Industries mit WPG entsteht einer der weltweit größten Anbieter von Antriebslösungen im Agrarsektor, der im Jahr 2021 einen gemeinsamen Umsatz von einer Milliarde Euro erwartet.

ADVANT Beiten hat die Transaktion, welche im Dezember 2021 vollzogen werden konnte, insbesondere mit der Durchführung der Legal Due Diligence, der Durchführung eines Freigabeverfahrens nach der Außenwirtschaftsverordnung und bei der deutschen und russischen Kartellfreigabe unterstützt.

Berater Comer Industries:
ADVANT Beiten: Dr. Christian von Wistinghausen (federführend), Tassilo Klesen, Dr. Patrick A. Hübner, Lelu Li, Olga Prokopyeva (alle Corporate / M&A, Berlin), Dr. Klaus Kemen, Robin Maletz (beide Real Estate, Berlin), Katrin Lüdtke, (Public Sector, München), Michael Ziegler, Petra Fendt (beide Bank-/Finanzrecht und Kapitalmarktrecht, München), Christoph Heinrich, Cathleen Laitenberger (beide Kartellrecht, München), Uwe Wellmann (Kartellrecht, Berlin), Susanne Klein (IP/IT, Frankfurt), Dr. Nicole Hirschvogel (IP/IT, München), Julia Alexandra Schütte (Arbeitsrecht, Berlin), Christian Freiherr von Buddenbrock (Arbeitsrecht, Düsseldorf), Julia Meler (Arbeitsrecht, München).

ADVANT Beiten, Moskau (Russland) (für behördliche Freigaben nach russischem Recht): Vasily Ermolin

ADVANT Nctm, Mailand (Italien), NOBILI RTZ Legal

Berater WPG: Freshfields Bruckhaus Deringer LLP, Mailand (Italien)

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Christian von Wistinghausen
Rechtsanwalt
ADVANT Beiten
Tel.: +49 30 26471-351
E-Mail: Christian.Wistinghausen@advant-beiten.com

Im Rahmen des Potsdamer Universitätsstipendienprogramms werden zehn Studierende der Fachrichtungen Jura, Informatik und Digital Engineering ein Jahr lang nicht nur finanziell gefördert. Sie erhalten im Smart Room Legal Tech ein von Experten ausgestaltetes und betreutes Rahmenprogramm, innerhalb dessen sie sich mit der Thematik der digital unterstützten Rechtsanwendung praktisch auseinandersetzen und selbst beispielhafte Legal Tech-Lösungen erarbeiten können. 

Mit Auftakt am 3. Dezember 2021 wird es im laufenden Studienjahr eine Reihe von Weiterbildungsveranstaltungen im Workshop-Format geben. Gemeinsam begleitet von Björn Steinrötter, Professor für Rechtsfragen der Digitalisierung, und Legal Tech-Experten der Kanzlei ADVANT Beiten, werden in den Workshops theoretische und praktische Fähigkeiten vermittelt. Die Studierenden können, je nach eigenem Interessenschwerpunkt, ihren Lernweg individuell mitgestalten.

Besonderes Augenmerk wird im "Smart Room Legal Tech" auf die Ermöglichung einer Zusammenarbeit von Informatik- und Jurastudierenden gelegt, um der zunehmenden Relevanz von Legal Tech-Anwendungen in der anwaltlichen Praxis gerecht zu werden. An der Schnittstelle der Fachgebiete wird mit dem Smart Room ein Denkrahmen geschaffen, der innovative interdisziplinäre Lösungsansätze fördert.

ADVANT Beiten verfügt über umfangreiche Expertise in der Entwicklung und beim Einsatz von Legal Tech-Lösungen, beispielsweise in der Bearbeitung von Masseverfahren und in der Erstellung Digitaler Produkte wie dem prämierten Entsendetool BBGO, einer innovativen Arbeitsrechtslösung. ADVANT Beiten sieht in dem Format "Smart Room Legal Tech" eine hervorragende Möglichkeit, Talente aus verschiedenen Disziplinen nicht nur zu fördern, sondern auch für die zukünftigen Herausforderungen einer Wirtschaftskanzlei zu begeistern.

Das Stipendienprogramm der Universität Potsdam im Rahmen des bundesweiten Deutschlandstipendium-Programms vergibt Leistungsstipendien an Studierende, um sie möglichst früh in ihrer akademischen Laufbahn zu unterstützen. Das Stipendium wird zur einen Hälfte von Stiftungen, Unternehmen oder Privatpersonen und zur anderen Hälfte vom Bund (BMBF) finanziert. Berücksichtigt werden bei der Vergabe neben überdurchschnittlichen Studienleistungen Kriterien wie gesellschaftliches Engagement, finanzielle Bedürftigkeit, Bildungsherkunft sowie familiäre und soziale Umstände.

Pressekontakt

Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
Frauke.Reuther@advant-beiten.com

Oliver Schwarz
Rechtsanwalt
ADVANT Beiten
+49 30 26471-311
Oliver.Schwarz@advant-beiten.com

„Die Gerichtsentscheidung in Kürze

Das LAG entschied, dass der Gesamtbetriebsrat für die Ausübung des Mitbestimmungsrechts nach §50 Abs.1 Satz 1 i.V.m. 
§87 Abs.1 Nr.6 BetrVG zuständig ist und nicht ein örtlicher Betriebsrat. Denn bei der Einführung von Microsoft Office 365 handelt es sich um eine Angelegenheit, die das Gesamtunternehmen und somit mehrere Betriebe betrifft und nicht durch einen einzelnen Betriebsrat geregelt werden kann.“

Der im Datenschutz-Berater (Nr. 11/2021) erschienene Beitrag von Dr. Dominik Sorber kann unten im Downloadbereich vollständig eingesehen werden. 

Der im Datenschutz-Berater (Nr. 10/2021) erschienene Beitrag von Dr. Dominik Sorber kann unten im Downloadbereich als PDF vollständig eingesehen werden.

„Die Gerichtsentscheidung in Kürze

Das LAG entschied, dass dem Betriebsrat kein permanenter Zugang zu digitalen Personalakten zusteht. Eine solche Vereinbarung in einer (Gesamt)Betriebsvereinbarung ist unwirksam, weil eine solch weitreichende Befugnis des Betriebsrats unverhältnismäßig ist. Weiterhin besteht keine betriebsverfassungsrechtliche – und damit gesetzliche – Aufgabe, die ein Einsichtsrecht legitimiert (betriebsverfassungsrechtliche Erforderlichkeit). Die Betriebsparteien haben vielmehr die Aufgabe, die freie Entfaltung der Persönlichkeit gemäß § 75 Abs. 2 BetrVG i.V.m. Art. 1 Abs.1, Art.2 Abs.1 GG zu schützen und nicht darin einzugreifen. Dieser Maßstab gilt als Rechtmäßigkeitsvoraussetzung für eine Betriebsvereinbarung.“

Der Beitrag von Dr. Dominik Sorber erschien im Datenschutz-Berater (Nr. 07-08/2021) und kann vollständig im unten beigefügten PDF eingesehen werden. 

Das neue Urheberrechts-Diensteanbieter-Gesetz (UrhDaG) tritt zum 1. August in Kraft, gleichzeitig finden sich umfangreiche Änderungen im Urhebergesetz (UrhG) selbst, die bereits seit 7. Juni 2021 in Kraft sind.

Sollen Facebook, Youtube und Instagram selbst für Urheberrechtsverletzungen haften? Die Gerichte beschäftigt diese Frage seit Jahren, und in der Öffentlichkeit sind Konsequenzen automatisierter Upload Filter ein kontrovers diskutiertes Thema. Es gab also dringenden Handlungsbedarf. Das neue Urheberrecht stellt hier eine wichtige Weiche: Plattformanbieter müssen entweder Lizenzen für Inhalte erwerben, oder sie müssen rechtsverletzende Inhalte blockieren. Tun sie weder das eine noch das andere, dann haften sie in der Regel selbst für Urheberrechtsverletzungen. Der Gesetzgeber hat jedoch den hohen Stellenwert der Meinungsfreiheit bei dieser Neuregelung beachtet und beim Einsatz von Upload Filtern Ausnahmen für mutmaßlich erlaubte Nutzungen vorgesehen. Gemeint ist damit die geringfügige Nutzung fremder Inhalte oder die vom Uploader als erlaubt gekennzeichnete Nutzung (Flagging). Die Plattformen informieren den Rechteinhaber im Anschluss über den Upload und er kann Beschwerde einlegen.

Der EuGH hatte das Leistungsschutzrecht für Presseverleger 2019 aus formellen Gründen gekippt, jetzt wird es im Zuge der Reform neu eingeführt. JournalistInnen haben von nun an einen Anspruch auf eine angemessene Beteiligung an den Einnahmen, die die Presseverleger durch die Lizenzierung erhalten, um damit einer Ausbeutung journalistischer Inhalte entgegenzuwirken.

Das Text-und Data Mining ist eine Schlüsseltechnologie für maschinelles Lernen und künstliche Intelligenz. Das Urheberrecht passt sich auch hier den technischen Entwicklungen an, so ist die Auswertung großer Datenmengen nun aufgrund gesetzlicher Nutzungserlaubnisse ohne Vergütungspflicht möglich.

Reproduktionen visueller Werke, die gemeinfrei sind, erhalten künftig keinen Leistungsschutz mehr (§ 68 UrhG), wobei diese Neuregelung eine teilweise Abkehr zur aktuellen BGH Rechtsprechung darstellt.

Online-Angebote von Universitäten sind ab jetzt rechtssicher europaweit nutzbar, so dass damit digitales Lehren und Lernen einfacher wird.

Die Modernisierung des Urheberrechts ergeht auf Grundlage von zwei EU-Richtlinien und sorgt auf diese Weise für eine europaweite Harmonisierung.

Welche Auswirkungen ergeben sich durch die Neuregelungen für die anwaltliche Beratungspraxis? Auch wenn es unsicher ist, welche Plattformen vom neuen Haftungskonzept betroffen sind, werden Youtube, Facebook und Instagram auf automatisierte Verfahren in Form von Upload Filtern zurückgreifen, um ihre Sorgfaltspflichten zu erfüllen. Die Unterstützung von Anwälten wird in diesem Zusammenhang nötig sein, weil insbesondere die technischen Möglichkeiten zur Erkennbarkeit von zulässigen Zitaten und Parodien begrenzt sind.

Adrienne Bauer, Associate
 

Die "Version 2.0" der "Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data" vom 18. Juni 2021 (europa.eu) bringt gegenüber der vorherigen Version (Konsultationsversion vom 10. November 2020, (europa.eu) zwar nur kleine Änderungen, diese erweitern in wichtigen Fällen aber den Spielraum von Unternehmen.

Hintergrund

Wir erinnern uns: Der Europäische Gerichtshof (EuGH) hatte am 16. Juli 2020 mit Urteil in der Sache „Schrems II“ (C-311/18) den EU-US-Privacy-Shield-Beschluss für ungültig erklärt.

Das Urteil betrifft insbesondere die Datenübermittlung in die USA, die bisher sehr häufig über das so genannte "EU-US Privacy Shield" abgesichert war. Der EuGH hat das "EU-US Privacy Shield" vor allem aufgrund der weitreichenden Kompetenzen der US-Sicherheitsbehörden und Geheimdienste als nicht ausreichend angesehen, um ein angemessenes Datenschutzniveau im Sinne der DSGVO zu gewährleisten.

Standardvertragsklauseln (kurz: SCCs) – zuvor das Mittel der Wahl für viele Unternehmen zur Absicherung der Datentransfers in die USA – können zwar weiter für Datenübertragungen genutzt werden, der bloße Vertragsschluss reicht hierfür aber nicht aus. Notwendig sind vielmehr zusätzliche Maßnahmen.

Bisherige EDSA-Empfehlung

Die Konsultationsversion der EDSA-Empfehlungen vom 10. November 2020 befasst sich mit der Frage, welche zusätzlichen Maßnahmen in Frage kommen.

Ausgehend von der Annahme, dass sich die US-Sicherheitsbehörden beispielsweise von vertraglichen Vereinbarungen zwischen einem EU-Unternehmen (als Datenexporteur) und einem US-Unternehmen (als Datenimporteur) nicht beeindrucken lassen, waren die vorgeschlagenen Maßnahmen vor allem technischer und organisatorischer Natur, insbesondere Anonymisierung und Verschlüsselung, mit dem Ziel, die Verarbeitung von Klardaten durch den Datenempfänger in den USA und dadurch den Zugriff von US-Sicherheitsbehörden auf personenbezogene Daten zu verhindern. Vertragliche Maßnahmen wurden zwar empfohlen, für sich genommen aber nicht als ausreichend erachtet.

Defizite der bisherigen EDSA-Empfehlungen: Cloud-Dienste, Mitarbeiterdaten im Konzern, eCommerce…

Das Schrems-II-Urteil und die EDSA-Empfehlungen stellten viele Unternehmen vor kaum lösbare Herausforderungen, da für wichtige Anwendungsfälle keine Lösung angeboten wurde. Ausdrücklich als Problem ohne Lösung identifiziert wurde beispielsweise die Übermittlung an Cloud-Service-Anbieter oder andere Verarbeiter, die Zugang zu unverschlüsselten Daten benötigen, oder der Datenfernzugriff zu Geschäftszwecken (Tz. 88 ff). Gar nicht thematisiert wurde die Übermittlung von Mitarbeiterdaten innerhalb von internationalen Konzernen, was insbesondere US-Amerikanische Konzerne vor große Probleme stellte.

Hinzu kam, dass sich der EDSA auch in Bezug auf die in der DSGVO angelegten Ausnahmen, die ebenfalls Garantien zur Absicherung von Drittlandtransfers beinhalten, sehr restriktiv gab: "Artikel 49 DSGVO ist eine Ausnahmeregelung. Die darin vorgesehenen Ausnahmen sind deshalb eng auszulegen; sie beziehen sich überwiegend auf Verarbeitungstätigkeiten, die nur gelegentlich erfolgen und sich nicht wiederholen. Der EDSA hat dazu seine Leitlinien 2/2018 zu den Ausnahmen nach Artikel 49 der Verordnung 2016/679 erlassen" (Tz. 25 – der englische Wortlaut ist hier noch strenger als der deutsche). Die Übermittlung von Mitarbeiterdaten innerhalb von internationalen Konzernen, die Übermittlung an Cloud-Service-Anbieter oder grenzüberschreitender eCommerce sind in der Regel keine Ausnahmen, die nur gelegentlich stattfinden – sie wiederholen sich typischerweise.

Die neuen EDSA-Empfehlungen

Auch die neuen EDSA-Empfehlungen bieten keine ausdrücklichen Lösungen für die aufgezeigten Probleme.

Allerdings geben sie Unternehmen doch etwas mehr Spielraum. Der strenge Wortlaut zu den Ausnahmeregelungen nach Artikel 49 DSGVO wurde wenigstens etwas aufgeweicht ("Article 49 GDPR has an exceptional nature. The derogations it contains must be interpreted in a way which does not contradict the very nature of the derogations as being exceptions from the rule that personal data may not be transferred to a third country unless the country provides for an adequate level of data protection or, alternatively, appropriate safeguards are put in place. Derogations cannot become “the rule” in practice, but need to be restricted to specific situations.") Die Anforderung, dass Artikel 49 nicht angewandt werden könne, wenn es sich um eine große Zahl von Vorgängen oder wiederholte Vorgänge handelt, findet sich in dieser Schärfe nicht mehr. Sie war auch bisher schon nicht vom Wortlaut der DSGVO gedeckt. Dies ermöglicht Handlungsspielräume, um – jedenfalls unter strengen Voraussetzungen – die Datenübermittlung in die USA doch auf die Notwendigkeit zur Vertragserfüllung oder Einwilligung zu stützen, wobei freilich die Notwendigkeit genau geprüft werden muss und die Einwilligung informiert erteilt werden muss, wozu auch eine Aufklärung über die Risiken des internationalen Datentransfers gehört.

Schließlich korrigiert der EDSA seine Linie in einem weiteren Detail. Bei der Beurteilung der Risiken eines Datenexports kann jetzt – stärker als unter der Konsultationsversion - einbezogen werden, inwieweit der jeweilige Datenimporteur und der jeweilige Datenverarbeitungsvorgang tatsächlich problematischen US-Gesetzen unterfällt. Das erfordert freilich ebenfalls eine genaue Analyse, die zu dokumentieren ist.

Fazit

Die Datenübermittlung in die USA bleibt schwierig, aber es gibt einen Silberstreifen am Horizont. Unternehmen, die den Empfehlungen des EDSA folgen wollten, hatten bisher in einigen wichtigen Bereichen schlicht keine Lösung. Insofern war die von den Datenschutzbehörden unisono verlangte Risikoprüfung eine frustrierende Übung, weil unabhängig von dem ermittelten Risiko keine Lösung gefunden werden konnte. Hier scheint jetzt in wichtigen Bereichen etwas Bewegung entstanden zu sein, insbesondere da, wo der Datenempfänger in den USA Zugang zu unverschlüsselten Daten benötigt, beispielsweise bei der Übermittlung von Mitarbeiterdaten innerhalb des Konzerns oder bei globalen technischen Infrastrukturen wie beispielsweise manchen Cloud-Diensten oder eCommerce-Angeboten.

Die neuen Empfehlungen sind dabei jedoch kein Freifahrtschein: Die deutschen Datenschutzbehörden sind bereits dabei, den Stand der Umsetzung des Schrems-II-Urteils in Unternehmen zu untersuchen, beispielsweise über Fragebogen (Koordinierte Prüfung internationaler Datentransfers | Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg). Verstöße werden sicherlich sanktioniert werden. Unternehmen sind gut beraten, die entsprechende Analyse sorgfältig und orientiert an den EDSA-Empfehlungen durchzuführen (auch wenn diese keine Gesetzeskraft haben) und dies auch zu dokumentieren. Die Ausrede, dass die Anforderungen nicht erfüllbar sind, zählt jedenfalls nicht mehr.

Dr. Andreas Lober

Das Bundesarbeitsgericht hatte über die praxisrelevante Frage zu entscheiden, inwieweit der Arbeitgeber einem ausgeschiedenen Mitarbeiter eine Kopie seiner E-Mail-Korrespondenz und aller E-Mails zur Verfügung stellen muss, in denen der Arbeitnehmer genannt wird. Das Gericht konnte die eigentlich spannende Frage nach der Reichweite des Anspruchs auf Datenkopie (Art. 15 Abs. 3 DSGVO) offenlassen, da die Revision aus prozessualen Gründen scheiterte.

Hintergrund

Derzeit sehen sich Arbeitgeber solchen, nur mit erheblichem Mehraufwand zu erfüllenden Forderungen im Zusammenhang mit (drohenden) Kündigungsschutzprozessen regelmäßig ausgesetzt. In den seltensten Fällen stehen dabei allerdings datenschutzrechtliche Fragen im Vordergrund des Interesses. Vielmehr geht es den Arbeitnehmern häufig darum, den Druck auf den (ehemaligen) Arbeitgeber zu erhöhen, um diesen zu einer großzügigeren Abfindung zu bewegen. Der Datenschutz wird dabei nicht selten zum Spielball der Beteiligten, ohne dass der Schutz des Rechts auf informationelle Selbstbestimmung tatsächlich in den Fokus tritt.

Dabei stellen sich bei dem Anspruch auf Herausgabe von umfassenden Datenkopien sehr wichtige datenschutzrechtliche Fragen. Wenn eine Kopie des gesamten E-Mail-Verkehrs aus dem Beschäftigungszeitraum herausverlangt wird, offenbart diese Kopie regelmäßig nicht nur die personenbezogenen Daten des Arbeitnehmers, der den Anspruch geltend macht, sondern auch stets die Daten seiner Kommunikationspartner, also der Absender oder Empfänger der jeweiligen E-Mails. Deren personenbezogene Daten darf der Arbeitgeber jedoch nicht ohne weiteres herausgeben, selbst wenn dem betreffenden Arbeitnehmer natürlich bereits bekannt ist, mit wem er per E-Mail kommuniziert hat. Insoweit schränkt Art. 15 Abs. 4 DSGVO das Recht auf Datenkopie bereits dahingehend ein, dass hierdurch nicht die Rechte und Freiheiten anderer Personen beeinträchtigt werden dürfen. Im Verhältnis zu den von der E-Mail-Herausgabe betroffenen Dritten, also den Absendern oder Empfängern dieser E-Mails, stellt diese Herausgabe nämlich eine gesonderte Datenverarbeitung dar, die einer Rechtsgrundlage bedarf. Daher muss der Arbeitgeber vor der Herausgabe solcher Datenkopien entweder eine sorgfältige Datenschutzprüfung durchführen und dokumentieren oder sämtliche personenbezogenen Daten dieser Dritten unkenntlich machen. Beides ist regelmäßig mit einem erheblichen Aufwand verbunden.

Sachverhalt

Der Entscheidung des BAG lag ein Sachverhalt zu Grunde, wie er derzeit häufig vor deutschen Gerichten anzutreffen ist. Der Arbeitgeber kündigte das Arbeitsverhältnis des Arbeitnehmers in der Probezeit. Der Mitarbeiter erhob Kündigungsschutzklage. Gleichzeitig klagte er u.a. auf Auskunft über seine vom Arbeitgeber verarbeiteten personenbezogenen Daten sowie auf Überlassung einer Kopie dieser Daten. Er forderte auf Grundlage des Datenschutzrechts die Herausgabe sämtlicher E-Mails, die er selbst versendet bzw. empfangen hatte oder in der seine Person namentlich genannt worden war. Das Arbeitsgericht wies die Klage ab. Das Landesarbeitsgericht verurteilte den Arbeitgeber zur Herausgabe einer Kopie derjenigen personenbezogenen Daten, die Gegenstand der Beantwortung seines Auskunftsbegehrens waren. Im Übrigen wies es die Berufung zurück. Mit der Revision beim BAG verfolgte der Arbeitnehmer sein Begehren auf Übergabe des gesamten E-Mail-Verkehrs, in dem er namentlich genannt wird, weiter.

Forderung nach Kopie sämtlicher E-Mails zu „unbestimmt“

Die Revision beim BAG blieb aus prozessualen Gründen (mangels Bestimmtheit des Antrags) ohne Erfolg. Aus Sicht des Gerichts blieb unklar, welche E-Mail-Kopien im Falle einer Vollstreckung des Auskunftsanspruchs überlassen werden müssten, wenn der Arbeitnehmer sämtliche E-Mails herausverlangt, „die ihn namentlich erwähnen". Der Kläger müsse die E-Mails vielmehr so genau bezeichnen, dass sie in einem Vollstreckungsverfahren unzweifelhaft identifizierbar seien. Der Volltext der Entscheidung liegt noch nicht vor. Die Pressemitteilung des Gerichts deutet aber an, dass die Erfurter Richter vom Arbeitnehmer verlangen, dass er im Wege einer sogenannten Stufenklage zunächst den Arbeitgeber auf Auskunft verklagen muss, welche ihn betreffenden E-Mails dem Arbeitgeber vorliegen. Auf Grundlage dieser Auskunft kann der Arbeitnehmer seinen Antrag auf Herausgabe einer Datenkopie sodann ausreichend genau bestimmen und geltend machen.

Konsequenzen für die Praxis

Damit bleibt die in der Rechtsprechung umstrittene und hochrelevante Frage, welchen Umfang der datenschutzrechtliche Anspruch auf Überlassung einer Datenkopie hat, insbesondere inwieweit auch Kopien eines umfangreichen E-Mail-Bestands herauszugeben sind, weiterhin höchstrichterlich ungeklärt. Für die Praxis ist das unbefriedigend. Denn eine nicht ordnungsgemäße Erfüllung des Rechts auf Datenkopie kann drakonische Bußgelder und teure Schadenersatzansprüche zur Folge haben.

Zumindest ist nun klargestellt, dass ein Anspruch auf Datenkopie gerichtlich hinreichend bestimmt werden muss. Dadurch erhält der Anspruch "prozessuale Hürden" bei Gericht, die Arbeitnehmer davon abbringen dürften, ihre gesamte E-Mail-Korrespondenz aufs Geratewohl pauschal herauszuverlangen.  Vielmehr sind entsprechende Herausgabe-Begehren inhaltlich zu konkretisieren, indem spezifiziert werden muss, welche Kopien genau herausgegeben werden sollen. Dies dürfte den Umfang dieser Ansprüche zukünftig nicht nur auf ein angemessenes Maß beschränken, sondern auch den Arbeitgebern die Nachvollziehbarkeit und Erfüllbarkeit derartiger Ansprüche erleichtern.

Bis zu einer höchstrichterlichen Klärung der datenschutzrechtlichen Frage dürften vergleichbare Verfahren mit einer leicht abgewandelten Prozesstaktik, etwa im Wege der Stufenklage, auch in Zukunft vor deutschen Gerichten geführt werden. Es ist nicht zu erwarten, dass Arbeitnehmer gegenüber ihren (ehemaligen) Arbeitgebern die Strategie ändern und der Datenschutz nur noch dann zum Gegenstand des Verfahrens wird, wenn es auch tatsächlich inhaltlich um ihn geht. Ob und in welchem Umfang von der Möglichkeit einer Stufenklage Gebrauch gemacht wird, bleibt abzuwarten, da ein solches Vorgehen häufig sehr zeitaufwändig ist und damit gegebenenfalls – für beide Parteien – nicht zielführend.

Praxistipp

Unternehmen sollten daher weiterhin ein Datenschutzkonzept implementieren, mit dem sie Kopien von Beschäftigtendaten, einschließlich einzelner E-Mails, auf Verlangen der Arbeitnehmer rechtssicher (ggf. teilweise unkenntlich gemacht) herausgeben können. Häufig wird der Auskunftsanspruch im Zusammenhang mit einer Kündigungsschutzklage erhoben, um als "Druckmittel" die Verhandlungsposition bezüglich einer Abfindung zu verbessern. Insbesondere bei Probezeitkündigungen – wie sie dem Fall beim BAG zugrunde lag – hat der Arbeitnehmer mangels Kündigungsschutzes wenige Argumente für die Zahlung einer Abfindung. Unternehmen sollten bei vergleichsweiser Beendigung des Kündigungsschutzverfahrens dann auch den datenschutzrechtlichen Auskunftsanspruch und das Recht auf Datenkopie im Rahmen eines "Gesamt-Deals miterledigen". Hierzu bietet sich z.B. ein sogenannter Tatsachenvergleich, eine Rücknahme der datenschutzrechtlichen Ansprüche oder ggf. ein Verzicht auf dieselben an.

Gerd Kaindl
Susanne Klein
Lennart Kriebel

Praxis-Info!

Dem BAG lag eine Entscheidung vor, in der ein gekündigter Arbeitnehmer (Wirtschaftsjurist) von seinem ehemaligen Arbeitgeber u.a. die Herausgabe sämtlicher E-Mails verlangte. Rechtlich stellte sich also die Frage nach der Reichweite des Auskunftsanspruchs gemäß Art. 15 DS-GVO (Datenschutz-Grundverordnung). Das BAG kam erfreulicherweise – aus Unternehmenssicht – zu dem Ergebnis, dass ein solch (weitreichender )Anspruch nicht besteht. Allerdings dürfte hier das letzte Wort noch nicht gesprochen sein; denn das BAG verneinte diese Frage „nur“ mit formellen, nicht aber mit datenschutzrechtlichen Gründen.“

Den vollständigen Artikel von Dr. Dominik Sorber zur Bewertung und Einschätzung der Reichweite des Auskunftsanspruchs, finden Sie Online bei der Zeitschriftfür Bilanzierung, Rechnungswesen und Controlling.

1. Keine garantierte Schutzwirkung

Bei Mund-Nasen-Bedeckungen handelt es sich um Masken, die (teils in Eigenherstellung auf Basis von Anleitungen aus dem Internet) aus handelsüblichen Stoffen genäht werden. Solche Mund-Nasen-Bedeckungen sollen insbesondere die Geschwindigkeit des Atemstoßes und des Tröpfchenauswurfes (z. B. beim Husten) des Trägers verlangsamen. Hierdurch soll das Risiko einer Infektion seines unmittelbaren Umfelds verringert werden. Darüber hinaus garantieren solche Masken jedoch keinen Schutz für das Umfeld des Trägers und erst recht keinen Schutz für den Träger selbst.
Im Vergleich zu einem als Medizinprodukt einzustufenden Medizinischen Mund-Nasen-Schutz (z. B. OP-Maske) vermittelt die Mund-Nasen-Bedeckung daher (wenn überhaupt) einen wesentlich geringeren Fremdschutz. Zudem vermittelt eine Mund-Nasen-Bedeckung keinen Eigenschutz und muss daher von der sog. „Persönlichen Schutzausrüstung“ (z. B. Filtrierende Halbmasken) abgegrenzt werden. Auch in rechtlicher Hinsicht bestehen Unterschiede, da einfache Mund-Nasen-Bedeckungen nicht die für Medizinprodukte und Persönliche Schutzausrüstung einschlägigen Vorgaben erfüllen bzw. die dafür vorgesehenen gesetzlichen Nachweisverfahren durchlaufen haben.

2. Bezeichnung und Beschreibung von Mund-Nasen-Bedeckungen darf keine Schutzwirkung suggerieren

Hersteller von Mund-Nasen-Bedeckungen müssen daher bei deren Bezeichnung und Beschreibung darauf achten, dass bei den Verbrauchern nicht der Eindruck entsteht, es handele sich um ein Medizinprodukt oder um Persönliche Schutzausrüstung. Ins-besondere darf die Bezeichnung und Beschreibung nicht auf eine Schutzwirkung der Masken hindeuten. Hierauf weist auch das Bundesinstitut für Arzneimittel und Medizinprodukte („BfArM“) in seiner Empfehlung vom 31. März 2020 hin. Problematisch ist es daher, wenn Mund-Nasen-Bedeckungen z. b. als „Atemschutzmaske“ oder „Mundschutz“ bezeichnet werden. Hierdurch wird den Verbrauchern das Vorhandensein eines (geprüften) Schutzes vermittelt, der bei Mund-Nasen-Bedeckungen gerade nicht besteht.

3. Rechtsfolge: Verstoß gegen Irreführungsverbote

Werden Mund-Nasen-Bedeckungen unter einer Bezeichnung und/oder Beschreibung in den Verkehr gebracht, die den Verbrauchern eine Schutzwirkung suggeriert, liegt darin ein Verstoß gegen das Irreführungsverbot nach § 4 Abs. 2 MPG. Werden die Mund-Nasen-Bedeckungen auch auf diese Weise beworben, verstößt diese Werbung zudem gegen die Irreführungsverbote des § 3 HWG und des § 5 UWG. Ein vorsätzlicher Verstoß gegen die beiden genannten Verbotstatbestände des MPG und des HWG begründet sogar ein strafrechtrechtliches Vergehen.

4. Wie können Hersteller Verstöße vermeiden?

Hersteller von Mund-Nasen-Bedeckungen sollten daher bei der Bezeichnung und Beschreibung darauf achten, dass diese nicht auf eine Schutzfunktion hindeuten. Die Begriffe „Atemschutz“ oder „Schutzmaske“ sollten folglich vermieden werden. Neben dem hier verwendeten Begriff „Mund-Nasen-Bedeckungen“, ist z. B. auch eine Bezeichnung als „Mundbedeckung“, „Mund- und Nasenmaske“, „Behelfsmaske“ oder „Community-Maske“ nicht zu beanstanden. Um jegliches Irreführungsrisiko auszuschließen, sollte der Hersteller zudem in der Produktbeschreibung ausdrücklich darauf hinweisen, dass es sich weder um ein Medizinprodukt, noch um Persönliche Schutzausrüstung handelt.

Dr. David Moll

Übersicht

Die Verordnung

• gilt für das Inverkehrbringen, die Inbetriebnahme und die Nutzung von „KI-Systemen",
• statuiert Verbote bestimmter KI-Praktiken
• stellt Anforderungen insbesondere für KI-Systeme mit hohem Risiko auf,
• sieht Transparenzvorschriften vor für „KI-Systeme, die zur Interaktion mit natürlichen Personen bestimmt sind" ebenso wie für Systeme zur Erkennung von Emotionen und biometrischen Kategorisierung und Systeme zur Erzeugung oder Bearbeitung von Bild-, Audio- oder Videoinhalten.

Neben Anbietern und Nutzern aus EU-Mitgliedsstaaten sind auch Anbieter aus Drittstaaten adressiert, wenn sie KI-Systeme in der EU anbieten; gleiches gilt, wenn der von KI-Systemen aus Drittstaaten erzeugte „output" in der EU verwendet wird. Keine Anwendung findet die Verordnung auf militärische KI-Systeme.

Damit soll nach der Vorstellung der EU-Kommission "Europa das globale Zentrum für vertrauenswürdige künstliche Intelligenz werden". Der Verordnungsvorschlag befindet sich nun im Gesetzgebungsverfahren, bei dem das EU-Parlament und der Ministerrat noch einige Änderungsvorschläge unterbreiten dürften.

KI-Systeme

Ein KI-System soll nach der Definition der Verordnung Software sein, „die mit einer oder mehreren der in Anhang I aufgeführten Techniken und Ansätzen entwickelt wurde und für einen gegebenen Satz von durch den Menschen definierten Zielen Ausgaben wie Inhalte, Vorhersagen, Empfehlungen oder Entscheidungen erzeugen kann, die die Umgebungen beeinflussen, mit denen sie interagieren". (Übersetzung durch den Verfasser) Bei den in Anhang I genannten Techniken handelt es sich beispielsweise um machine-learning oder logik- und wissensbasierte Ansätze wie u.a. induktive (logische) Programmierung.

Damit ist die Definition von „KI-Systemen" nach der Verordnung recht weit und erfasst eine Vielzahl von Anwendungen, sowohl zur unmittelbaren wie auch zur mittelbaren Nutzung.

Risikobasierter Ansatz

Die vorgeschlagenen Vorschriften orientieren sich maßgeblich an dem Risiko, das von dem jeweiligen System ausgeht:

Systeme mit „unannehmbarem Risiko"

Bestimmte KI-Systeme, die ein sogenanntes „unannehmbares Risiko" darstellen (beispielsweise Systeme, die menschliches Verhalten durch unterschwellige Techniken manipulieren und hierdurch dem Menschen schaden oder Systeme, die Behörden eine Bewertung der Vertrauenswürdigkeit von Menschen, basierend auf deren Sozialverhalten ermöglichen und dies zu einer Benachteiligung von Menschen führt) sollen verboten werden.

Systeme mit „hohem Risiko"

Systeme, die ein „hohes Risiko" aufweisen (wie in kritischen Infrastrukturen, aber auch im Bereich der Produktsicherheit beispielsweise bei roboterassistierter Chirurgie oder bei der Strafverfolgung und Rechtspflege) sollen strenge Vorgaben erfüllen, bevor sie auf den Markt kommen. Der Schwerpunkt der Verordnung liegt derzeit auf diesen Systemen.

Solche Systeme sollen u.a. angemessene Risikobewertungs- und Risikominderungssysteme aufweisen, Vorgänge zur Rückverfolgbarkeit protokollieren („Logs"), eine angemessene menschliche Aufsicht vorweisen und hinreichend robust, sicher und genau sein. Systeme mit hohem Risiko, die Techniken verwenden, bei denen Modelle mit Daten trainiert werden, werden auf der Grundlage von Trainings-, Validierungs- und Testdatensätzen entwickelt, die bestimmte Qualitätskriterien erfüllen müssen. Vor dem Inverkehrbringen oder der Inbetriebnahme von Systemen mit hohem Risiko ist eine technische Dokumentation entsprechend in der Verordnung vorgesehener Anforderungen zu erstellen und auf dem neuesten Stand zu halten. Zudem wird das Durchlaufen eines bestimmten Konformitätsbewertungsverfahrens verlangt, mit dem die Anforderungen an Systeme mit hohem Risiko überprüft werden; eine EU-Konformitätserklärung und das Anbringen eines CE-Kennzeichens werden ebenfalls notwendig.

Ergänzend sieht die Verordnung Pflichten für Importeure und Vertriebe vor, insbesondere hinsichtlich der Prüfung von Konformitätsanforderungen. Nutzer müssen Systeme mit hohem Risiko nach der Gebrauchsanweisung benutzen und den Betrieb überwachen; Nutzer, die Veränderungen an solchen Systemen vornehmen, werden diversen Anforderungen unterworfen, die für Anbieter von KI mit hohem Risiko gelten.

Neben Systemen, die bestimmte Voraussetzungen erfüllen und damit nach der Verordnung ein „hohes Risiko" aufweisen, ist auch eine (regelmäßig anzupassende) Liste von Systemen, die in jedem Fall ein „hohes Risiko" aufweisen, vorgesehen.

Insbesondere interessant: Nach den Erwägungsgründen sollten für die Entwicklung von KI-Systemen mit hohem Risiko bestimmte Akteure (Anbieter, benannte Stellen, Innovations- und Forschungseinrichtungen) in der Lage sein, auf „hochwertige Datensätze" im Zusammenhang mit dieser Verordnung zuzugreifen und diese zu nutzen. Die von der EU-Kommission einzurichtenden gemeinsamen europäischen Datenräume (vgl. die „europäische Datenstrategie" der EU-Kommission) und eine Erleichterung des Datenaustauschs zwischen Unternehmen im öffentlichen Interesse sollen „entscheidend dazu beitragen, einen vertrauenswürdigen, verantwortlichen und diskriminierungsfreien Zugang zu hochwertigen Daten für das Training, die Validierung und das Testen von KI-Systemen zu ermöglichen".

Weitere Systeme

Die EU-Kommission (nicht der eigentliche Verordnungstext) differenziert weiter nach KI-Systemen mit „geringem" Risiko und „minimalem" Risiko.

Für bestimmte KI-Systeme (die die EU-Kommission, aber nicht der eigentliche Verordnungstext als Systeme mit „geringem Risiko" bezeichnet) sollen vor allem Transparenzvorgaben gelten. Dies betrifft beispielsweise Chatbots, aber auch „deep fakes". Hierbei handelt es sich um die eingangs genannten Systeme, „die zur Interaktion mit natürlichen Personen bestimmt sind", die Bearbeitung audiovisueller Inhalte ermöglichen usw. – bei diesen Systemen geht die EU-Kommission augenscheinlich aufgrund der allgemeinen Dienstkategorie davon aus, dass solche Systeme generell nur ein „geringes" Risiko darstellen.

Für alle anderen Systeme (EU-Kommission: Systeme mit einem „minimalen Risiko") sollen keine weiteren Anforderungen gelten; diese Systeme sollen frei nutzbar sein. Dies soll u.a. KI-gestützte Videospiele oder Spamfilter betreffen – und nach Auffassung der EU-Kommission „die große Mehrheit der KI-Systeme" erfassen.

Die Echtzeit-Nutzung von „biometrischen Fernidentifizierungssystemen", wie sie beispielsweise Strafverfolgungsbehörden nutzen können, soll grundsätzlich verboten werden. Ausnahmen sollen nur in besonderen Fällen gelten, beispielsweise bei der Suche eines vermissten Kindes, der Abwehr von Gefahren für Leib und Leben oder terroristischen Bedrohungen.

Strafen

Verstöße gegen das Verbot bestimmter KI-Systeme sollen mit bis zu EUR 30 Mio. oder, bei Unternehmen, bis zu 6% des weltweiten Jahresumsatzes bestraft werden können – je nachdem, welcher Wert höher ist. Diese Strafen sollen auch anfallen, wer die Anforderungen an Systeme mit hohem Risiko, die Techniken verwenden, bei denen Modelle mit Daten trainiert werden, nicht eingehalten werden.

Hinsichtlich aller anderen KI-Systeme sollen Verstöße gegen die Anforderungen der Verordnung mit bis zu EUR 20 Mio. oder, bei Unternehmen, bis zu 4 % des weltweiten Jahresumsatzes geahndet werden. Die Erteilung falscher, unvollständiger oder irreführender Auskünfte an benannte Stellen und zuständigen nationalen Behörden in Beantwortung eines Ersuchens sollen mit Geldbußen von bis zu EUR 10 Mio. oder, bei Unternehmen, bis zu 2 % des weltweiten Jahresumsatzes geahndet werden.

Angesichts dieser drastischen Rechtsfolgen, die offenbar grundsätzlich auch für Nutzer von AI gelten, dürfte um eine Vielzahl von Fragen, im Gesetzgebungsverfahren und der späteren Rechtsanwendung noch massiv gestritten werden.

Behörden, Europäischer Ausschuss für Künstliche Intelligenz

Überwacht werden sollen die neuen Regelungen von den nationalen Marktüberwachungsbehörden. Jeder Mitgliedstaat soll eine Behörde benennen, die für die Begutachtung, Benennung und Notifizierung von Konformitätsbewertungsstellen und für deren Überwachung zuständig ist. Zusätzlich soll ein „Europäischer Ausschuss für künstliche Intelligenz" die Umsetzung begleiten, die durch freiwillige Verhaltenskodizes und die in jüngerer Zeit immer öfter von der EU vorgeschlagenen regulatorischen „Sandkästen" ergänzt werden soll. Regulatorische „Sandkästen“ sind ein konkreter Rahmen für bestimmte, strukturierte Experimente, der es ermöglicht, beispielsweise innovative Technologien oder Dienstleistungen in einer realen Umgebung für einen begrenzten Zeitraum oder in einem begrenzten Teil einer Branche oder eines Gebiets unter behördlicher Aufsicht und Gewährleistung angemessener Schutzmaßnahmen zu erproben.

Im Übrigen soll der Europäische Datenschutzbeauftragte berechtigt werden, Geldbußen gegen Organe, Agenturen und Einrichtungen der EU zu verhängen, die in den Anwendungsbereich der Verordnung fallen.

Ausblick

Gerade am vorliegenden Verordnungsentwurf wird der regulatorische Spagat zwischen den Interessen der Wirtschaft und den Interessen der Bevölkerung – zwischen „sicherer" KI einerseits und Innovationswachstum andererseits – besonders deutlich.

Der Entwurf erhöht insgesamt die Regulierungsdichte, birgt aber möglicherweise auch einiges Potenzial zur Einführung und Nutzung von KI-Systemen verschiedenster "Risikoniveaus". Damit einher geht das Potenzial, KI-Systeme zu schaffen, die idealerweise (bestmöglich) „sicher" sind. Die Akzeptanz und Nutzung von KI-Systemen könnte dies idealerweise tatsächlich fördern.

Vor den Erfolg hat die Kommission jedoch den Fleiß gesetzt. So müssen Anbieter von KI nach dem bisherigen Vorschlag künftig prüfen, ob ihre Systeme zulässig sind – und wenn ja, unter welchen Voraussetzungen. Weiterhin müssen insbesondere Anbieter von KI-Systemen mit „hohem Risiko" einige Anforderungen erfüllen, um ihre Produkte in der EU auf den Markt zu bringen. Zwar geht die EU-Kommission davon aus, dass die Mehrzahl der Systeme (derzeit) KI-Systeme mit minimalem Risiko darstellen. In der Praxis dürfte indes immer noch eine ganze Reihe von Systemen betroffen sein. Die erheblichen Strafen könnten dabei durchaus innovationshemmende Wirkungen entfalten.

Welche spezifischen Voraussetzungen letztlich zu erfüllen sind, dürfte im Gesetzgebungsprozess noch die eine oder andere Veränderung erfahren. Allerdings verfolgte bereits in der Vergangenheit auch das EU-Parlament grundsätzlich einen risikobasierten Ansatz (vgl. die Entschließung des Europäischen Parlaments vom 20. Oktober 2020 mit Empfehlungen an die EU-Kommission für eine Regelung der zivilrechtlichen Haftung beim Einsatz Künstlicher Intelligenz, (2020/2014(INL)). Daher dürfte dieser Ansatz auch im weiteren Prozess beibehalten werden. Der Vorschlag des Parlaments, eine Liste von KI-Systemen mit hohem Risiko zu erstellen, die regelmäßig überarbeitet wird, hat die EU-Kommission (für bestimmte Systeme) schon einmal aufgegriffen – ob dieser Ansatz wirklich praktikabel ist, muss sich noch zeigen. Politisch durchsetzen dürften sich hingegen die verlangte Konformitätsprüfung und die Notwendigkeit einer CE-Kennzeichnung – auch wenn fraglich ist, wie letzteres gerade bei Software oder komplexen KI-Systemen (bspw. autonomen Fahrzeugen) in der Praxis sinnstiftend anzuwenden ist.

Ob die Mitgliedstaaten sich zur Einführung „regulatorischer Sandkästen" hinreißen lassen, bleibt ebenfalls abzuwarten. Tatsächlich könnten diese Sandkästen aber eine Möglichkeit bieten, Innovationen, ggf. auch unter entsprechend struktureller und finanzieller staatlicher Förderung, zu testen, bevor sie „marktreif" werden. Möglicherweise gibt es hiernach demnächst Sandkästen für Flugtaxis?

Weitergehende Informationen zu rechtlichen Bedingungen für Künstliche Intelligenz finden Sie übrigens auch in unserer Publikation „Recht der Künstlichen Intelligenz und intelligenten Robotik", die Sie HIER erhalten können.

Für Fragen zu Künstlicher Intelligenz stehen Ihnen unsere Experten gern zur Verfügung.

Dr. Florian Jäkel-Gottmann
 

Künstliche Intelligenz und Roboter dringen in unsere Industrie, Gesellschaft und unser Leben ein.

Mit diesem Buch wollen wir einen knappen Überblick über die aktuelle Rechtslage geben.

Eine kurze Darstellung wie die vorliegende kann dabei keinen Anspruch auf Vollständigkeit in Breite und Tiefe erheben.

Daneben wagen wir einen Ausblick auf künftig bevorstehende Entwicklungen und mögliche Anpassungen des Rechtsrahmens im Hinblick auf die fortschreitende Autonomie von KI- und Roboter-Systemen. Besonders spannend erscheinen uns hier Fragen um die Schutzfähigkeit von durch KI geschaffenen Werken einerseits und Haftungsfragen andererseits – bis hin zu der nicht nur provokanten Frage, ob Künstliche Intelligenzen Inhaber von Rechten sein sollten, vielleicht sogar eine Rechtspersönlichkeit erhalten. Auch hier können und wollen wir bei einem Werk mit beschränktem Umfang nur Denk- und Diskussionsanstöße geben.

Das Werk befindet sich überwiegend auf dem Stand von Januar 2021.

Zur besseren Lesbarkeit soll im Folgenden „Künstliche Intelligenz“ (kurz „KI“) als Oberbegriff verwendet werden, der sowohl (intelligente) Roboter als auch autonome und/oder selbstlernende Systeme, Computerprogramme und Anwendungen umfasst.

Dr. Andreas Lober

Der gesamte Beitrag von Dr. Axel von Walter im Datenschutz-Berater 04/2021 steht Ihnen unten im Downloadbereich zur Verfügung.

Nachfolgend geben wir Ihnen einen kurzen Überblick über die bisherige Entwicklung, über die aktuelle Rechtslage im Hinblick auf den Datenschutz sowie einen Ausblick, was zu erwarten ist. Dies ist insbesondere für Unternehmen relevant, die in Bezug auf bestimmte Dienstleistungen noch steuern können, mit welchen Geschäftspartnern sie bestimmte Infrastrukturen aufbauen. Hier sollte das Sitzland möglicherweise berücksichtigt werden.

Was bisher geschah

Das Vereinigte Königreich ist am 31. Januar 2020 aus der Europäischen Union („EU“) ausgetreten („Brexit“). Nach zwei Verschiebungen haben die EU und das Vereinigte Königreich als Austrittstermin den 31. Januar 2020 vereinbart. Am 1. Februar 2020 trat das Abkommen über den Austritt des Vereinigte Königreichs aus der EU in Kraft. Im Hinblick auf das Datenschutzrecht wurde darin vereinbart, dass bis zum 31. Dezember 2020 das Unionsrecht über den Schutz personenbezogener Daten im Vereinigten Königreich für die Verarbeitung personenbezogener Daten Betroffener außerhalb des Vereinigten Königreichs weiterhin gelten sollte. Also galten auch nach dem Austritt des Vereinigten Königreichs aus der EU weiterhin dort die DS-GVO und das Vereinigte Königreich nicht als Drittland im Sinne des Art. 44 DS-GVO. Damit blieb in datenschutzrechtlicher Hinsicht bis zum 31. Dezember 2020 zunächst alles beim Alten; vorbehaltlich etwaiger Anpassungen in den Datenschutzinformationen und sonstigen datenschutzrechtlichen Dokumentationen.

Was gilt nun?

Kurz vor dem Ende der Übergangsfrist haben sich die EU und das Vereinigte Königreich im Rahmen eines Handels- und Zusammenarbeitsabkommens in Bezug auf Datenübermittlungen auf eine neue Übergangsregelung geeinigt. Diese sieht vor, dass die Übermittlung personenbezogener Daten von der EU in das Vereinigte Königreich für eine weitere Übergangsperiode erneut nicht als Übermittlung in ein Drittland gemäß Art. 44 DS-GVO angesehen wird. Diese Periode begann mit dem Inkrafttreten des Abkommens am 1. Januar 2021 und endet entweder, wenn die EU-Kommission einen das Vereinigte Königreich betreffenden Angemessenheitsbeschluss gemäß Art. 45 Abs. 3 DS-GVO (und Art. 36 Abs. 1 Richtlinie (EU) 2016/680) getroffen hat oder spätestens vier Monate nach Beginn dieser Übergangsperiode, mithin zum 30. April 2021.

Damit sind Datenübermittlungen in das Vereinigte Königreich zunächst weiterhin unter den bisherigen Voraussetzungen möglich. Das Enddatum zum 30. April 2021 kann auch nochmals um zwei Monate verlängert werden, falls keine der beteiligten Parteien widerspricht.

Damit ändert sich bis zum Erlass eines Angemessenheitsbeschlusses oder bis zum 30. April 2021 bzw. 30. Juni 2021 im Hinblick auf die Übermittlung personenbezogener Daten von der EU in das Vereinigte Königreich zunächst erneut nichts; vorbehaltlich etwaiger Anpassungen in den Datenschutzinformationen und sonstigen datenschutzrechtlichen Dokumentationen.

Was kommt

Die EU-Kommission hatte nun den Auftrag, einen sog. Angemessenheitsbeschluss in Bezug auf das Vereinigte Königreich gemäß Art. 45 Abs. 3 DS-GVO vorzulegen.

Allerdings: Einen solchen Angemessenheitsbeschluss kann die EU-Kommission nur treffen, wenn sie nach eingehender Prüfung zu dem Ergebnis kommt, dass in dem Vereinigten Königreich ein der DS-GVO gleichwertiges bzw. ein angemessenes Schutzniveau für die Verarbeitung personenbezogener Daten besteht.

Denn: Besteht für ein Land oder eine Organisation ein solcher Angemessenheitsbeschluss, wird dieses Land bei der Übermittlung personenbezogener Daten als ein sicheres Drittland betrachtet, und die zusätzlichen Voraussetzungen für die Übermittlung personenbezogener Daten, die die Art. 44 ff. DS-GVO aufstellt, sind durch das Vorliegen eines Angemessenheitsbeschlusses gem. Art. 45 Abs. 3 DS-GVO erfüllt. Solche Angemessenheitsbeschlüsse gibt es beispielsweise für die Schweiz, Israel oder Neuseeland.

Die EU-Kommission ist in beeindruckender Geschwindigkeit tätig geworden und hat den Entwurf eines Angemessenheitsbeschlusses, über den das Vereinigte Königreich zu einem sicheren Drittstaat erklärt wird, bereits vorgelegt: LINK.

Dabei stand die EU-Kommission durchaus vor Herausforderungen: Denn soll der Angemessenheitsbeschluss Bestand haben, muss er die aktuelle Rechtsprechung des Europäischen Gerichtshofs („EuGH“) berücksichtigen, damit er der Prüfung durch den Europäischen Datenschutzausschuss („EDSA“) oder ggf. sogar einer Überprüfung durch den EuGH standhält.

Hier spielt insbesondere die Entscheidung des EuGH vom 16. Juli 2020 (Rechtssache C-311/18 – „Schrems II“) eine Rolle. Darin hat der EuGH das „Privacy Shield“ für unwirksam erklärt, da kein angemessenes Datenschutzniveau in den USA gewährleistet werden könne. Hierbei kritisierte der EuGH insbesondere, dass Informationen über Europäische Bürger auf US-Servern nicht vor dem Zugriff dortiger Behörden und Geheimdienste geschützt seien. Zu Einzelheiten vgl. LINK.

Insoweit musste die EU-Kommission bei ihrer Prüfung des Datenschutzniveaus im Vereinigten Königreich die Regelungen des Investigatory Power Acts von 2016 in den Blick nehmen. Dieses Gesetz lässt gezielte und thematische Massenüberwachung, Gerätezugriffe und Befugnisse zur Erfassung von Kommunikationsdaten zu. Es enthält zudem Überwachungsbefugnisse britischer Geheimdienste.

Gegenüber dem Handelsblatt äußerte der Datenschutzbeauftragte des Landes Baden-Württemberg, Stefan Brink, „wegen der „Verbandelung“ der britischen Geheimdienste mit denen der USA grundsätzliche Zweifel. Der Brexit lege eigentlich nur das offen, was Datenschützer schon seit Langem wissen, sagte er. „Die Überwachungs- und Austauschtätigkeit auch der Geheimdienste des Vereinigten Königreichs verletzen die EU-Grundrechte-Charta als unangemessene, übermäßige staatliche Überwachung der Bürgerinnen und Bürger.“

Es kann unterstellt werden, dass der nun vorgelegte Entwurf die vorstehenden Punkte berücksichtigt hat. Nun müssen der EDSA und der EU-Rat sich noch mit dem Entwurf befassen. Im Anschluss kann der Angemessenheitsbeschluss in Kraft treten und für die nächsten vier Jahre – auf diesen Zeitraum ist er befristet – Rechtssicherheit in Hinblick auf die Übermittlung personenbezogener Daten von der EU in das Vereinigte Königreich geben.

Was ist zu tun?

Es empfiehlt sich jedoch, das weitere Verfahren im Blick zu behalten. Auch, wenn der nun vorgelegte Beschluss in eine Angemessenheitsentscheidung gem. Art. 45 Abs. 3 DS-GVO mündet (was nicht sicher ist) und das Vereinigte Königreich als ein sicheres Drittland gilt, gibt es Handlungsbedarf. In diesem Fall sind die Datenschutzinformationen (erneut) anzupassen. Die Betroffenen sind über den Transfer ihrer personenbezogenen Daten in ein Drittland zu informieren. Darüber hinaus müssen bei der Übermittlung personenbezogener Daten in Drittländer Garantien angegeben werden, auf deren Basis der Transfer erfolgt. Diese Garantie wäre dann der Angemessenheitsbeschluss.

Es ist jedoch ratsam, diesen Komplex darüber hinaus weiter zu verfolgen. Denn es ist nicht ausgeschlossen, dass jemand gegen den Beschluss vorgeht und – der EuGH nach Vorlage durch nationale Gerichte – die Angemessenheitsentscheidung für ebenso nichtig erklärt, wie das „Privacy Shield“ für die Übermittlung personenbezogener Daten in die USA.

Mehr Rechtssicherheit bietet es vor diesem Hintergrund möglicherweise, wo möglich, sich Partner mit Sitz in der EU bzw. dem EWR zu suchen.

Katharina Mayerbacher

Überschreiten der „Erheblichkeitsschwelle“ für Schmerzensgeld

Anlass für die Entscheidung des BVerfG war ein Urteil des Amtsgerichts Goslar, das eine Schadensersatzforderung in Höhe von (mindestens) 500 Euro wegen des unrechtmäßigen Versendens einer einzigen Werbe-Email zurückgewiesen hatte. Das Amtsgericht wertete den Versand der Email zwar als unrechtmäßige Datenverarbeitung, konnte aber nicht erkennen, dass der Versand den Kläger derart gravierend in seinem allgemeinen Persönlichkeitsrecht beeinträchtigt hat, dass dies beim Kläger zu einem ersatzfähigen immateriellen Schaden geführt hätte. Diese rechtliche Würdigung entspricht der deutschen Rechtsprechungspraxis vor Einführung der DSGVO. Verletzungen des Persönlichkeitsrechts waren grundsätzlich nur dann ersatzfähig, wenn sie zu spürbaren, schwerwiegenden Auswirkungen beim Betroffenen geführt haben (sog. „Erheblichkeitsschwelle“). Dies war bei reinen Bagatellschäden nicht der Fall.

Seit Wirksamkeit der DSGVO ist heftig umstritten, ob die Voraussetzung der Erheblichkeitsschwelle nun auch für Art. 82 DSGVO gilt. Die meisten deutschen Instanzgerichte, die sich mit dieser Frage bisher beschäftigen durften, haben dies bejaht und Schmerzensgeld-Forderungen abgelehnt bzw. nur in geringem Umfang zuerkannt. Einige wenige Gerichte sahen dies jedoch auch schon anders und haben den Klägern Beträge im vierstelligen Bereich zugesprochen (siehe den Überblick bei Klein, GRUR-Prax 2020, S. 433 ff.)

Vorlagepflicht zum EuGH

Wie das BVerfG auf die Verfassungsbeschwerde des Klägers jetzt festgestellt hat, lässt der Gesetzestext der DSGVO keine eindeutige Auslegung zu. Der Geldentschädigungsanspruch aus Art. 82 DSGVO sei in der Rechtsprechung des EuGH weder erschöpfend geklärt noch könne er in seinen einzelnen, für die Beurteilung des im Ausgangsverfahrens vorgetragenen Sachverhalts notwendigen Voraussetzungen unmittelbar aus der DSGVO bestimmt werden. Auch in der bislang vorliegenden Literatur, die sich im Hinblick auf Erwägungsgrund 146 wohl für ein weites Verständnis des Schadensbegriffes ausspreche, seien die Details und der genaue Umfang des Anspruchs noch unklar. Es handele sich somit um eine ungeklärte Rechtsfrage über die Anwendung von Unionsrecht. Das Amtsgericht Goslar, das die Problematik der Auslegung dieser Norm durchaus gesehen habe, hätte die Frage nach der Erheblichkeitsschwelle daher dem EuGH zur Entscheidung vorlegen müssen, bevor es den Schadensersatzanspruch des Klägers abwies.

Mögliche Entscheidung des EuGH und Auswirkungen

Es ist fest damit zu rechnen, dass ein deutsches Gericht diese Frage nun zeitnah dem EuGH vorlegen wird. Die Frage dürfte für eine Vielzahl von (potentiellen) Schadensersatzansprüchen entscheidungserheblich sein. In der Sache ist der EuGH traditionell eher datenschutzfreundlich eingestellt. Der Wortlaut und die Erwägungsgründe der DSGVO könnten ebenfalls für ein weites Verständnis des europäischen Schadensbegriffs sprechen. Es ist daher nicht unwahrscheinlich, dass der EuGH mit der deutschen Rechtsprechungspraxis bricht und die Erheblichkeitsschwelle ablehnen wird.

Eine solche EuGH-Entscheidung würde dazu führen, dass jede unzulässige Verarbeitung personenbezogener Daten – sei sie auch „gefühlt“ noch so unbedeutend für den einzelnen Betroffenen – einen ersatzfähigen immateriellen Schaden auslösen kann. Prozessfinanzierer oder sog. Verbraucherschutzportale könnten versuchen, derartige Ansprüche in standardisierten Massenverfahren durchzusetzen. Ob aber tatsächlich die befürchtete Klagewelle eintreten wird, bleibt abzuwarten. Schließlich setzt ein Schmerzensgeld nicht nur den erlittenen immateriellen Schaden voraus. Kläger müssen vielmehr zunächst eine Verletzung von DSGVO-Pflichten darlegen und beweisen, die dann auch zu dem geltend gemachten Schaden geführt haben muss. Insoweit bleibt es bei der allgemeinen Beweislastverteilung, denn nur im Hinblick auf das Verschulden gilt die Beweislastumkehr des Art. 82 Abs. 3 DSGVO. Und die Höhe eines Schadensersatzes wird auch weiterhin nicht vom EuGH, sondern von deutschen Gerichten ermittelt werden. Daher ist zwar anzunehmen, dass eine entsprechende EuGH-Entscheidung zur Rechtssicherheit bezüglich der Voraussetzungen für einen Schmerzensgeldanspruch wegen Datenschutzverletzungen beitragen würde. Ob solche Ansprüche in der Praxis dann aber bestehen und durchgesetzt werden können, ist eine ganz andere Frage.

Susanne Klein

Lennart Kriebel

DSGVO-Bußgeld in Rekordhöhe

Im Herbst 2019 hatte die BlnBDI gegen die Immobiliengesellschaft das bis dahin höchste DSGVO-Bußgeld wegen der unzulässigen Speicherung von personenbezogenen Mieterdaten festgesetzt. Es seien teilweise Jahre alte Informationen zu Mieterinnen und Mietern, darunter Sozial-und Krankenversicherungsdaten, Arbeitsverträge, Steuerdaten und Informationen zu finanziellen Verhältnissen, ohne erkennbaren Zweck und Rechtsgrundlage gespeichert worden. Das verwendete Archivsystem habe überhaupt keine Möglichkeit vorgesehen, die nicht mehr erforderlichen Daten zu löschen. Dem Bußgeld waren zwei Vorortkontrollen der BlnBDI in den Jahren 2017 und 2019 vorausgegangen. Daher bemängelte die BlnBDI vor allem, dass der Datenschutzverstoß in diesem Zeitraum nicht abgeholfen worden war. Die Bemessung des Bußgeldes lag nach Angaben der BlnBDI – trotz der Rekordhöhe – allerdings nur ungefähr bei der Hälfte des von der DSGVO zugelassenen Rahmens.

Einspruch gegen den Bußgeldbescheid vorläufig erfolgreich

Die Immobiliengesellschaft legte Einspruch gegen den Bußgeldbescheid ein und dieser war nun erfolgreich. Das Landgericht Berlin stellt fest, dass der Bußgeldbescheid aufgrund gravierender Mängel nicht Grundlage eines Verfahrens sein könne. Nach Ansicht des Gerichts hätte der Bußgeldbescheid Angaben zu konkreten Tathandlungen des Leitungspersonals der Deutsche Wohnen SE und zu dessen Verschulden enthalten müssen. Diese Angaben fehlten jedoch. Deshalb wurde das Verfahren eingestellt. Die zuständige Staatsanwaltschaft kann nun binnen einer Woche ab Zustellung sofortige Beschwerde gegen den Beschluss des Landgerichts einlegen. Die BlnBDI hat bereits angekündigt, die Staatsanwaltschaft hierum zu bitten. Die endgültige Entscheidung in dieser Sache steht also noch aus.

Susanne Klein

Lennart Kriebel

Ein besonderer Festtag

Der 28. Januar ist für Datenschutzinteressierte in Europa ein ganz besonderer Tag: Es jährt sich die Unterzeichnung der Europäischen Datenschutzkonvention.

Mit diesem völkerrechtlichen Vertrag wurde bereits im Jahr 1981(!) versucht, ein einheitliches Datenschutzniveau innerhalb der Unterzeichnerstaaten herzustellen.

Damit wurden bereits vor vierzig Jahren Ziele formuliert, die auch dem DSGVO-Kundigen nur allzu bekannt vorkommen dürften. Dennoch stellt die Verarbeitung personenbezogener Daten die Beteiligten immer wieder vor besondere Herausforderungen. Dies zeigt sich aktuell besonders im Zusammenhang mit dem Einsatz von Tracking-Tools. Grund genug also, um überblicksartig zu beleuchten, was es dabei zu beachten gilt.

Was ist ein „Tracking-Tool“?

Wenn die Autoren dieses Beitrags zur Feier des Europäischen Datenschutztages online eine Flasche Champagner bestellen, so bleibt dies ebenso wenig unbemerkt wie die Tatsache, dass Sie gerade diesen Beitrag lesen.

Verantwortlich hierfür sind Tracking-Tools, die Bewegungen eines Nutzers im Internet beobachten und auswerten. Dabei kann auf eine Vielzahl von Technologien zurückgegriffen werden, deren abschließende Auflistung kaum möglich erscheint.

I. Cookies

Bei der wohl bekanntesten Tracking-Technologie handelt es sich um Cookies, kleinen Textdateien also, die vom Browser gespeichert werden und die dazu dienen, bestimmte Informationen während des Navigierens auf einer Webseite aufzunehmen bzw. diese bei zukünftigen Besuchen wieder abrufen zu können. Auf diese Weise kann sich die Webseite etwa die Spracheinstellungen sowie Anmelde- oder Warenkorbinformationen eines Nutzers merken.

Cookies ermöglichen es aber zudem, das Surfverhalten des einzelnen Nutzers über mehrere Webseiten hinweg zu beobachten, um ihm dann verhaltensabhängige Werbung auszuspielen.

II. Browser-Fingerprinting

Das Browser-Fingerprinting verspricht dem Anwender einen ähnlichen Erkenntnisgewinn über die Besucher einer Webseite wie die Cookies. Dabei werden bestimmte Informationen ausgelesen, die beim Aufrufen einer Webseite aus technischer Sicht zwangsläufig übermittelt werden, wie etwa der vom Besucher verwendete Browsertyp, die Browser-Einstellungen, das verwendete Endgerät – und natürlich dessen IP-Adresse. Je nach Art des eingesetzten Fingerprintings lassen sich zudem Erkenntnisse über die vom Besucher verwendeten Bildschirm- oder Farbeinstellungen gewinnen.

In der Summe entsteht also ein individueller Fingerabdruck, der jederzeit einem individuellen Nutzer zugeordnet werden kann.

III. Zählpixel

Zählpixel sind extrem kleine Bilddateien (regelmäßig 1x1 Pixel), die in einer Vielzahl von E-Mail-Newslettern zu finden sind. Öffnet der Nutzer eine solche E-Mail, werden der Zählpixel vom Server des Newsletter-Betreibers geladen und sodann Informationen über den E-Mail-Empfänger übermittelt, etwa über die Tatsache und den Zeitpunkt des Öffnens der E-Mail – und auch hier natürlich dessen IP-Adresse. Die Zählpixel-Bilddatei kann dabei auch individuell generiert und damit einer konkreten E-Mail-Adresse zugewiesen werden.

IV. Social Plugins

Social Plugins werden auf einer Webseite eingebunden, um das einfache Teilen von Inhalten derselben auf den Nutzerprofilen von sozialen Netzwerken zu ermöglichen. Das Plugin kontaktiert dabei den Server des sozialen Netzwerks und stellt Informationen über die vom Nutzer besuchte Webseite bereit. Häufig werden dabei bereits dann Daten über den Besucher einer Webseite an das soziale Netzwerk gesendet, wenn dieser das jeweilige Plugin noch gar nicht betätigt hat.

Welche Rechtsgrundlage gilt beim Einsatz von Tracking-Tools?

Der Einsatz von Tracking-Tools geht zumeist mit der Verarbeitung personenbezogener Daten einher, so dass die Vorgaben der Datenschutzgrundverordnung zu beachten sind, wonach hierfür eine rechtliche Grundlage als Legitimation erforderlich ist. Als solche können etwa die Einwilligung der betroffenen Person, die Erfüllung eines Vertrages mit der betroffenen Person oder die berechtigten Interessen des Verantwortlichen herangezogen werden.

Für den Einsatz von Tracking-Tools galt lange Zeit, dass entweder § 15 Abs. 3 TMG oder aber Art. 6 Abs. 1 lit. f) DSGVO (berechtigte Interessen des Webseiten-Betreibers) als Rechtsgrundlage ausreichen. Dem Nutzer war es damit zwar im Nachhinein möglich, dem Einsatz von Tracking-Tools zu widersprechen, eine vorherige Einwilligung hierzu war aber nicht erforderlich.

Dies änderte sich jedoch durch das Urteil des Europäischen Gerichtshofs (EuGH) vom 1. Oktober 2019 (Az. C-673/17), dem mittlerweile auch der Bundesgerichtshof (BGH) mit Urteil vom 28. Mai 2020 (Az. I-ZR 7/16) gefolgt ist.

Dabei entschied der EuGH, dass das Setzen von Cookies, die nicht zwingend erforderlich sind, stets der aktiven und vorherigen Einwilligung des jeweiligen Nutzers bedarf – ganz unabhängig von der Frage, ob überhaupt die Verarbeitung personenbezogener Daten im Raum steht oder nicht.

Gleichzeitig machte das Gericht auch konkrete Vorgaben dazu, wie die Einwilligung vom Webseiten-Betreiber einzuholen sei. Eine Einwilligung durch voraktiviertes Ankreuzkästchen genügt danach ebenso wenig den Anforderungen wie eine Einwilligung, bei der der Nutzer nicht ausreichend über Funktionsweise und Speicherdauer der Cookies informiert wird.

Auch wenn die Urteile explizit nur Cookies ins Visier nehmen, sind die darin enthaltenen Erwägungen im gleichen Maße auf die sonstigen Tracking-Technologien zu übertragen. Die praktischen Konsequenzen sind daher enorm:

Jeder Webseiten-Betreiber muss im ersten Schritt prüfen, welche Cookies (respektive: welche Tracking-Technologien) auf der eigenen Webseite eingesetzt werden. Er muss sodann danach differenzieren, ob diese „zwingend erforderlich“ sind, um den Betrieb der Webseite zu gewährleisten. Dabei wird es sich in erster Linie um Log-In-Cookies, Warenkorb-Cookies und Spracheinstellungs-Cookies handeln, sowie um solche Cookies, die individuelle Cookie-Einstellungen speichern. Der Einsatz derartiger Cookies lässt sich auch nach wie vor auf ein berechtigtes Interesse des Webseiten-Betreibers stützen.

Für alle anderen Cookies und sonstigen Tracking-Tools gilt, dass der Nutzer seine Einwilligung erklären muss.

Wie gestalte ich einen „Cookie-Banner“?

In letzter Zeit ist zu beobachten, dass sich das Erscheinungsbild der „Cookie-Banner“ wandelt. Handelte sich früher häufig um unauffällige Fenster in der Fußzeile einer Webseite, die dazu noch ignoriert oder weggeklickt werden konnten, sind solche Banner nunmehr in der Regel den Webseiten vorgeschaltet. Der Nutzer ist gezwungen eine Auswahl darüber zu treffen, in welche Cookies (und andere Tracking-Tools) er einwilligen möchte. Es handelt sich also streng genommen nicht um ein einfaches Cookie-Banner, sondern vielmehr um ein !Consent-Tool“.

Um rechtskonform zu sein, muss das Consent-Tool allerdings einige Voraussetzungen erfüllen.

1. Jedes einwilligungsbedürftige Tracking muss solange unterbunden bleiben, bis die Einwilligung vom jeweiligen Nutzer erteilt wurde.
2. Diese Einwilligung kann nur in informierter Weise und in Form einer ausdrücklichen Handlung erfolgen. Der Nutzer muss also zumindest über die verschiedenen Tracking-Gruppen (etwa „zwingend erforderlich“, „Statistik“, „Komfort“ oder „Marketing“), bei umfangreichen Tracking-Maßnahmen besser über die einzelnen Tools („Google Analytics“, „Piwik/Matomo“, „Facebook-Pixel“, …) informiert werden, was etwa über die Datenschutzerklärung erfolgen kann. Jede nicht zwingend erforderliche Tracking-Maßnahme muss vom Nutzer aktiv ausgewählt werden, damit diese eingesetzt werden kann.
3. Die Einwilligung muss freiwillig erfolgen, das heißt der Nutzer muss die Möglichkeit haben, einzelne Tracking-Maßnahmen abzulehnen, ohne dass ihm dadurch der Zugang zur Webseite selbst versperrt wird. Dazu kann der Betreiber grundsätzlich verschiedene Auswahlmöglichkeiten vorhalten, wie „Nur notwendige Cookies zulassen“, „Statistik-Cookies zulassen“ oder auch „Alle Cookies zulassen“.
4. Der Betreiber der Webseite darf kein Nudging betreiben. Dabei handelt es sich um Techniken, durch die das Verhalten der Nutzer beeinflusst werden soll. Im Zusammenhang mit dem Consent-Tool wird Nudging eingesetzt, um den Nutzer zur Abgabe einer Einwilligung zu „schubsen“, etwa indem die „Zustimmen“-Option im Vergleich zur „Ablehnen“-Option durch Wahl von Form, Farbe und Größe auffälliger gestaltet ist.

Zum Abschluss: Ein Prosit

Die Beachtung datenschutzrechtlicher Vorgaben kann kompliziert und zeitintensiv sein, das wissen auch die Aufsichtsbehörden. Gerade im Bereich der Tracking-Tools ist aber perspektivisch mit zunehmenden behördlichen Stichproben und im schlimmsten Falle auch mit Sanktionen zu rechnen. Es lohnt sich daher, die eigene Webseite und die dort ablaufenden Tracking-Maßnahmen genau im Blick zu behalten.

In diesem Sinne hoffen wir, mit diesem Beitrag eine kleine Orientierungshilfe formuliert zu haben und wünschen allen Lesern einen fröhlichen Europäischen Datenschutztag.

Mathias Zimmer-Goertz

Christian Frederik Döpke

1. Hintergrund des Bußgeldverfahrens des BfDI

Dem Unternehmen, einem Telekommunikationsanbieter, wurde vom BfDI vorgeworfen, dass es „keine hinreichenden technisch-organisatorischen Maßnahmen ergriffen [hatte], um zu verhindern, dass Unberechtigte bei der telefonischen Kundenbetreuung Auskünfte zu Kundendaten erhalten können“ (Pressemitteilung des BfDI vom 09.12.2019)

So sei es möglich gewesen, „dass Anrufer bei der Kundenbetreuung des Unternehmens allein schon durch Angabe des Namens und Geburtsdatums eines Kunden weitreichende Informationen zu weiteren personenbezogenen Kundendaten erhalten konnten“, worin der BfDI „einen Verstoß gegen Artikel 32 DSGVO, nach dem das Unternehmen verpflichtet ist, geeignete technische und organisatorische Maßnahmen zu ergreifen, um die Verarbeitung von personenbezogenen Daten systematisch zu schützen“, erblickt hat (Pressemitteilung des BfDI vom 09.12.2019).

Obwohl das Unternehmen sich „einsichtig und äußerst kooperativ“ gezeigt habe und die Prozesse nachgebessert worden seien, hat der BfDI gegen das Unternehmen eine Geldbuße verhängt, da „der Verstoß nicht nur auf einen geringen Teil der Kunden begrenzt“ gewesen sei, „sondern […] ein Risiko für den gesamten Kundenbestand dar[gestellt]“ habe (Pressemitteilung des BfDI vom 09.12.2019).

2. Das Bußgeldkonzept der Datenschutzaufsichtsbehörden

Mit dem „Konzept der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder zur Bußgeldzumessung in Verfahren gegen Unternehmen“ haben die Datenschutzaufsichtsbehörden im Oktober 2019 ein fünfstufiges Konzept zur Bußgeldzumessung in Verfahren gegen Unternehmen vorgelegt (wir berichteten).

Grundlage der Bußgeldzumessung war danach der Umsatz des betroffenen Unternehmens. Über vier Berechnungsstufen kennt das Konzept unter Nutzung verschiedener Einstufungen und Multiplikatoren nur den Weg nach oben. Selbst die vierte Stufe, auf welcher die Schwere der Tat zu berücksichtigen ist, sieht keine Möglichkeit der Herabsetzung des bis dahin ermittelten Bußgeldbetrags (im Bußgeldkonzept Grundwert genannt) vor. Eine Herabsetzung des nach dem Zumessungskonzept zu verhängenden Bußgeldbetrags wird erstmals auf der fünften und letzten Berechnungsstufe ermöglicht. Dabei bleibt jedoch offen, in welchem Umfang eine solche Herabsetzung möglich und in welchen Fällen sie – ggf. auch in erheblicher Weise – angezeigt ist.

Die Berechnung einer Geldbuße nach dem Konzept führt deshalb zwangsläufig zu hohen Bußgeldern, die sich vor allem bei Unternehmen mit hohen Umsätzen schnell im Millionenbereich bewegen. Dass der tatsächliche Unternehmensgewinn oftmals weit hinter den Umsätzen zurückbleibt, berücksichtigt das Konzept hingegen nicht. Es wird zur Anpassung auf der fünften Stufe lediglich lapidar ausgeführt, dass eine „drohende Zahlungsunfähigkeit des Unternehmens“ zu berücksichtigen sei (siehe Bußgeldkonzept, S. 8).

Die Verhängung einer Geldbuße in Höhe von 9,55 Mio. Euro im vorliegenden Fall durch den BfDI verwundert angesichts der formalen Bußgeldberechnung nach dem Bußgeldkonzept nicht.

3. Die Entscheidung des Landgerichts Bonn

Das Landgericht Bonn sieht im vorliegenden Fall zwar auch einen Verstoß des Telekommunikationsunternehmens gegen Art. 32 Abs. 1 DSGVO, hält aber das vom BfDI verhängte Bußgeld in Höhe von 9,55 Mio. Euro für „unangemessen hoch“ und hat es deshalb mit seinem Urteil auf 900.000 Euro herabgesetzt (Pressemitteilung des LG Bonn vom 11.11.2020).

Dabei stellt es wesentlich auf das Verschulden des Unternehmens ab, das gering sei. Zudem habe es sich nur um einen geringen Datenschutzverstoß gehandelt, der „nicht zur massenhaften Herausgabe von Daten an Nichtberechtigte [habe] führen können“ (Pressemitteilung des LG Bonn vom 11.11.2020). Zur berücksichtigen sei auch, dass die von dem Telekommunikationsanbieter ausgeübte Authentifizierungspraxis über Jahre bestanden habe und bis zu dem Bußgeldbescheid nicht beanstandet worden sei (Pressemitteilung des LG Bonn vom 11.11.2020).

Einer rein am Unternehmensumsatz orientierten Bußgeldzumessung hat das Gericht damit eine Absage erteilt.

Hinsichtlich des Täters des Bußgeldverstoßes hat das Landgericht Bonn zudem festgestellt, dass die Verhängung einer Geldbuße gegen das Unternehmen die Feststellung eines „konkret[en] Verstoß[es] einer Leitungsperson des Unternehmens“ nicht bedürfe (Pressemitteilung des LG Bonn vom 11.11.2020). Insoweit liegt eine Abweichung des europäischen Datenschutzrechts zum deutschen Recht, insb. der Verbandsgeldbuße nach § 30 des Ordnungswidrigkeitengesetzes (OWiG) vor, die grundsätzlich das Vorliegen einer Anknüpfungstat einer dort näher bezeichneten Leitungsperson verlangt.

4. Ausblick

Ob das Bußgeldkonzept der Datenschutzaufsichtsbehörden durch das Landgericht Bonn in Gänze verworfen wurde oder auf der fünften Stufe der Zumessung nach dem Konzept im Einzelfall erhebliche Anpassungen nach unten vorzunehmen sind, ergibt sich aus der bisher veröffentlichen Pressemitteilung des Gerichts nicht. Auf die schriftlichen Urteilsgründe warten wir daher gespannt.

Deutlich ist aber schon jetzt, dass eine rein am Unternehmensumsatz orientierte Bußgeldzumessung – ohne deutliche Möglichkeit der Herabsetzung – nach Auffassung des Landgerichts Bonn nicht dem Schuldgrundsatz genügt. Allzu schematisch gewählte und damit für Datenschutzbehörden „einfache“ Wege der Sanktionierung werden also mit guten Chancen angreifbar sein. Eine sorgfältig vorbereitete und entschiedene Verteidigung gegen das Vorgehen der Behörden ist also sinnvoll. Eine aktive Verteidigung im Bußgeldverfahren wird Erfolg haben. Auch die Behörden werden sich einer intensiven Erörterung der Sach- und Rechtslage mit versierten Verteidigern nicht verschließen können, wollen sie eine spätere gerichtliche Korrektur der erlassenen Bescheide vermeiden.

Wichtig: Auch ohne eine rein am Umsatz orientierte Bußgeldzumessung können Datenschutzverstöße für Unternehmen teuer werden, wenn nicht (viele) Milderungsgründe vorliegen. Insoweit können etwa wirksame Compliance-Maßnahmen und eine zügige Reaktion bei festgestellten Verstößen zu einer erheblichen Bußgeldminderung führen. Investitionen in den Datenschutz werden sich deshalb auch nach dem Urteil des Landgerichts Bonn weiterhin auszahlen. Sie sind ein essentielles Verteidigungswerkzeug.

Jörg Bielefeld

Timo Handel

^{Hinweis: Nähere Informationen zu dem Bußgeldkonzept der Datenschutzaufsichtsbehörden finden sich in dem Beitrag von Handel, „Das Konzept der Datenschutzaufsichtsbehörden zur Bußgeldzumessung in Verfahren gegen Unternehmen“, in Kommunikation & Recht (K&R), Heft 12/2019, S. 757 ff.}

Was ist passiert?

Mehrere deutsche Datenschutzbehörden prüfen aktuell den Einsatz von Tracking-Diensten im Zusammenhang mit Analytics-Tools, Online-Werbung und sonstiger Dritt-Dienste auf Webseiten. Dazu versenden die Behörden einen abgestimmten Fragebogen mit der Aufforderung, diesen Fragebogen ausgefüllt zurückzuschicken. Gegenstand der Prüfung sind nach Angaben der Datenschutzbehörden in erster Linie Internetpräsenzen von Medienunternehmen, z.B. von Zeitungen und Zeitschriften, da dort Tracking-Dienste häufig in besonders großem Umfang eingesetzt werden.

Während einige beteiligte Datenschutzbehörden diese Prüfung bereits durchführen (etwa der Landesbeauftragte für den Datenschutz Niedersachsen), haben andere Datenschutzbehörden angekündigt, auf Unternehmen „in Kürze“ zuzugehen (siehe das LfDI Baden-Württemberg). Laut dem LfDI Baden-Württemberg sollen die Prüfungen in erster Linie bei Anbietern mit „besonders reichweitenstarken Online-Präsenzen“ durchgeführt werden.

Welche Fragen stellen die Aufsichtsbehörden?

Die Fragebögen sind detailliert und enthalten Fragen bzw. Aufforderungen wie:

• „Sind auf Ihrer Website Dienste von Dritten […], z.B. Zählpixel, Analysedienste, Marketingdienste, Trackingdienste, Kartendienste, Wetterdienste, Chatdienste eingebunden und wenn ja, welche?“
• „Welche Daten der Nutzer Ihrer Website werden aufgrund der Dienste von Dritten verarbeitet?“
• „Werden Datenverarbeitungen auf Ihrer Website, insbesondere Datenübermittlungen an Drittdienstleister und die Verwendung von Cookies, auf eine Einwilligung der Nutzer der Webseite gestützt“ und wenn ja: „Benennen Sie die konkreten Datenverarbeitungen, für die eine Einwilligung der Nutzer eingeholt wird“.
• „Werden Datenverarbeitungen auf Ihrer Website, insbesondere Datenübermittlungen an Drittdienstleister und die Verwendung von Cookies, auf eine andere Rechtsgrundlage als die Einwilligung gestützt?“
• „Welche konkreten Datenverarbeitungen werden auf welches konkrete berechtige Interesse gestützt?“ und „Welche Kriterien wurden bei der von Art. 6 Abs. 1 Buchstabe f DS-GVO geforderten Interessenabwägung berücksichtigt?“

Darüber hinaus fragen die Datenschutzbehörden nach dem Einsatz von „Fingerprinting“, nach der Erfüllung von Informationspflichten, nach der Umsetzung datenschutzfreundlicher Voreinstellungen gemäß Art. 25 Abs. 2 DS-GVO, nach der Durchführung von Datenschutz-Folgenabschätzungen und der Erfüllung von Nachweispflichten.

Dem Fragenbogen angehängt sind mehrere Tabellen, in denen die angeschriebenen Unternehmen Details zu den eingebundenen Diensten, zu etwaiger Kommunikation der Anbieter-Webseite mit anderen Webseiten (z.B. Kartendienste) und zur Speicherung von Informationen auf dem Endgerät der Nutzer (z.B. Cookies) angeben müssen.

Was sollten Unternehmen jetzt tun?

Unternehmen sollten sich darauf vorbereiten, auf diese Fragebögen Antworten liefern zu können. Streng genommen enthalten die Fragebögen keine völlig unerwarteten Fragen. Der Detailgrad der Fragen ist jedoch ausgesprochen hoch. Viele der angesprochenen Unternehmen werden die abgefragten Informationen ohne Hilfe der Dritt-Anbieter nicht vollständig beantworten können. Diese Informationen in der von den Behörden gesetzten Frist zusammenzutragen, ist, je nach Anzahl der eingesetzten Tracking-Dienste, nur unter großen Anstrengungen möglich.

Soweit noch nicht geschehen, sollten Unternehmen jetzt eine umfassende Prüfung der auf ihren Webseiten eingesetzten Tracking-Dienste durchführen. Der von den Datenschutzbehörden versendete Fragebogen kann hierfür als Orientierung dienen. Unternehmen sollten für die Auswahl der Tracking-Tools einen sachgerechten Prüfkatalog entwerfen, der (insbesondere im Fall von aufsichtsbehördlichen Maßnahmen) auch als Nachweis der Erfüllung der Rechenschaftspflicht (Art. 5 Abs. 2 DS-GVO) dienen kann.

Zudem müssen Unternehmen konkret festlegen, auf welcher datenschutzrechtlichen Rechtsgrundlage sie die Tracking-Dienste einbeziehen. Herfür kommt in der Regel nur eine Einwilligung (Art. 6 Abs. 1 lit. a) DS-GVO) oder eine Interessenabwägung (Art. 6 Abs. 1 lit. f) DS-GVO) in Frage. Stützt das Unternehmen den Einsatz der Drittanbieter auf eine Interessenabwägung, muss diese Interessenabwägung detailliert dokumentiert werden.

Die aktuelle Prüfung ist auch für Unternehmen relevant, die nicht unmittelbar von der Prüfung betroffen sind. Insbesondere ist davon auszugehen, dass sich die Datenschutzbehörden in anlassbezogenen Prüfungen (z.B. bei Beschwerden einzelner Nutzer) an dem Fragebogen orientieren werden.

Die Datenschutzbehörden haben den Druck auf Unternehmen, bei der Auswahl von Tracking-Diensten datenschutzrechtliche Gesichtspunkte zu berücksichtigen und nachzuvollziehen, in welchem Umfang die eingesetzten Tracking-Dienste personenbezogene Daten verarbeiten, weiter erhöht.

Dr. Johannes Baumann

Europäische und britische Unternehmen aller Branchen und Größenordnungen werden vor große Herausforderungen gestellt. Im datenschutzrechtlichen Bereich müssen Unternehmen zügig Vorkehrungen treffen, damit auch nach dem Ende der Übergangsphase ab dem 1. Januar 2021 Datentransfers zwischen der EU und Großbritannien möglich bleiben.

Die britische Sicht auf den Datentransfer

Mit dem 31. Dezember 2020 wird das EU-Recht (mit einigen Ausnahmen) vollständig in das nationale britische Recht übernommen. Dies gilt auch für die DSGVO, die unter Ausschluss einiger Artikel zur Zusammenarbeit mit anderen europäischen Behörden und unter Anpassung zur britischen Situation wortwörtlich ins nationale Recht übernommen wird („UK-GDPR“). Vorerst sind daher keine inhaltlichen Änderungen im Datenschutzrecht ersichtlich.

Die EU-Sicht auf den Datentransfer

Allerdings ist Großbritannien ab 31. Dezember 2020 aus europäischer Sicht als Drittland zu behandeln. Danach dürfen personenbezogene Daten nach Großbritannien nur dann übermittelt werden, wenn für die Übermittlung ein angemessenes Datenschutzniveau sichergestellt ist, wie in den Artikeln 44 ff. DSGVO festgelegt ist. Grundsätzlich wird von den Beteiligten ein „Angemessenheitsbeschluss“ angestrebt, der Datenübermittlungen aus der EU an Großbritannien nach Maßgabe der Art. 45 DSGVO grundsätzlich erlauben würde. Die Fassung eines solchen Angemessenheitsbeschlusses vorm Ende der Übergangsphase ist jedoch keineswegs gewiss. Zum einen stehen andere Länder (z.B. Südkorea) seit langem an, die mit einer zeitlichen Bevorzugung Großbritanniens höchst unzufrieden wären. Zum anderen besteht trotz fast identischer datenschutzrechtlicher Rechtslage die realistische Möglichkeit, dass ein Angemessenheitsbeschluss (zumindest vorübergehend) nicht kommt. Die weitreichenden Überwachungsgesetze – insbesondere das Investigatory Powers Act 2016 – und die großen Befugnisse der Geheimdienste in Großbritannien sorgen für erhebliche Bedenken für den entsprechenden Angemessenheitsbeschluss.

Handlungsbedarf: Datentransfer absichern und notwendige Anpassungen vornehmen

Aus diesem Grund sollten sich Verantwortliche innerhalb der EU auf den Brexit ohne schnellen Angemessenheitsbeschluss vorbereiten. Sie sollten sicherstellen, dass Datenübermittlungen nur mit geeigneten Garantien erfolgen. Soweit bis Ende des Jahres kein Angemessenheitsbeschluss vorliegt, empfiehlt sich für den Datentransfer über den Kanal der Abschluss der von der EU-Kommission veröffentlichten Standardvertragsklauseln mit den Datenempfängern in Großbritannien.

Darüber hinaus besteht zusätzlich Anpassungsbedarf sowohl bei den Dokumentationspflichten (z.B. Aktualisierung der Datenschutzerklärung und des Verzeichnisses von Verarbeitungstätigkeiten) als auch bei internen Organisationsfragen (z.B. doppelte Meldung von Datenschutzvorfällen, soweit europäische und britische Betroffene davon betroffen werden).

Verantwortliche sollten sich mit der Umsetzung dieser Maßnahmen bald befassen, um diese noch vor Jahreswechsel umzusetzen. Ab Anfang nächsten Jahres drohen aufsichtsrechtliche Maßnahmen.

Dr. Axel von Walter

Das Coronavirus „SARS-CoV-2“ wird immer mehr zur Belastung für Menschen und Wirtschaft. Angesichts der rasanten Entwicklung kann eine Erkrankung von Mitarbeitern oder eine behördliche Quarantäne der Betriebsstätte auch für IT-Auftragnehmer dazu führen, dass Verpflichtungen nicht mehr vollumfänglich eingehalten werden können. Das kann Ansprüche der Auftraggeber auslösen.

Aus aktuellem Anlass geben wir Ihnen einen kurzen Überblick über die wichtigsten Fragen, die sich im Umgang mit IT-Verträgen für Auftragnehmer stellen. Ebenso finden Sie eine Liste mit Empfehlungen, die wir aufgrund der rechtlichen Anforderungen und unserer Erfahrungen zusammengestellt haben.

1. Informationspflichten

Sobald sich abzeichnet, dass es zu Verzögerungen oder Ausfällen bei der Auftragserfüllung kommt, sollten Sie Ihre Vertragspartner vorsorglich und unverzüglich informieren.

IT-Verträge enthalten regelmäßig Informationspflichten des Auftragnehmers, beispielsweise für den Fall, dass dieser mit seiner Leistung in Verzug zu kommen droht oder dass Leistungshindernisse absehbar sind. Kommt der Auftragnehmer diesen Pflichten nicht hinreichend nach, können alleine deswegen Schadensersatzansprüche drohen.

Sind Informationspflichten nicht ausdrücklich im IT-Vertrag geregelt, so können diese sich aus dem Gesetz ergeben. Denn jeder Vertragspartner ist zur Rücksichtnahme auf die Interessen der anderen Partei verpflichtet. Dazu gehört es auch, den Vertragspartner darüber zu informieren, dass ein Verzug mit der Leistungserbringung droht.

2. Verpflichtung zur Leistungserbringung

Für viele Auftragnehmer stellt sich die Frage, ab welchem Zeitpunkt sie nicht mehr zur Leistungserbringung verpflichtet sind und ob dies dauerhaft oder nur vorübergehend gilt.

Wie so oft gilt auch hier: Es kommt auf den Einzelfall an. Auftragnehmer sollten jedoch auf keinen Fall pauschal annehmen, nicht mehr zur Leistung verpflichtet zu sein. Es können dann nicht nur Schadensersatzansprüche der Auftraggeber drohen, sondern schlimmstenfalls die Rückabwicklung des gesamten Auftrags oder eine Ersatzvornahme durch einen Wettbewerber auf Ihre Kosten.

2.1 Unmöglichkeit der Leistungserbringung

Das deutsche Recht sieht zunächst vor, dass ein Schuldner eine Leistung nicht mehr erbringen muss, wenn ihm die Erbringung der Leistung unmöglich ist. Dies kann auch vorübergehend gelten. Der Schuldner kann die Leistung zudem verweigern, wenn der erforderliche Aufwand des Schuldners in einem groben Missverhältnis zum Leistungsinteresse des Gläubigers steht. Das Gesetz kennt hier im Einzelnen mehrere Fallgruppen, aber alle unterliegen hohen Tatbestandsvoraussetzungen. Eine Unmöglichkeit wird mehr die Ausnahme als der Regelfall sein.

IT-Projekte können zwar durch Ausfall von Personal schnell gefährdet sein. Auch ist der Aufwand, sich um geeignetes Ersatzpersonal zu kümmern, sehr hoch und meistens wegen der erforderlichen Einarbeitungszeit von Ersatzkräften bei engen Zeitplänen nicht dazu geeignet, einen Verzug noch rechtzeitig verhindern zu können. Auch andere Umstände können derzeit die Ausführung von IT-Projekten stören oder – vermeintlich – unmöglich machen.

Dennoch gilt hier: Nehmen Sie zu Ihrer eigenen Sicherheit nicht pauschal an, nicht zur Leistung verpflichtet zu sein. Die gesetzlichen Anforderungen an eine „Unmöglichkeit“ oder einen unverhältnismäßigen Aufwand der Leistungserbringung sind hoch, in den meisten Fällen wohl zu hoch. Gerade im IT-Bereich können die meisten Leistungen von überall auf der Welt „remote“ erbracht werden, d. h. selbst eine behördliche Quarantäne-Anordnung muss dank Home-Office nicht zwingend dazu führen, dass die Leistungserbringung unmöglich wird. Verweigern Sie zu Unrecht die Leistung, können Sie Schadensersatzansprüchen ausgesetzt – und daneben weiterhin zur Leistung verpflichtet – sein.

2.2 Eine Frage des Verschuldens

Aber nur weil keine vorübergehende Unmöglichkeit und damit auch keine Befreiung von der der Leistungspflicht vorliegen, bedeutet dies noch nicht, dass die derzeitige Ausnahmesituation gänzlich unberücksichtigt bleibt. Die meisten nachteiligen Rechtsfolgen (Schadensersatzansprüche u. Ä.) erfordern ein Verschulden. Dieses wird zwar bei einer Verletzung der Leistungspflicht grundsätzlich vermutet, aber der Auftragnehmer kann sich hier gegebenenfalls exkulpieren, d. h. nachweisen, dass ihn am Leistungsverzug kein Verschulden, also nicht einmal leichte Fahrlässigkeit, trifft.

2.3 Vertragliche Garantien

Aber auch hier ist Vorsicht geboten. Häufig haben Auftragnehmer eine vertragliche Garantie zur Leistungserbringung, insbesondere zur Leistung von kritischen Meilensteinen spätestens bis zu einem bestimmten Zeitpunkt, übernommen. Je nach Ausgestaltung einer solchen Garantie kann dies im Falle der nicht (rechtzeitig) erbrachten Leistung und damit der Verletzung der abgegebenen Garantie zu einer verschuldensunabhängigen Haftung führen. In solchen Fällen kommt auch keine Exkulpation in Betracht.

2.4 Vertragliche Klauseln zu „Force Majeure“ / „Höhere Gewalt“

Aber selbst bei der scheinbaren Verletzung von Garantien können gegebenenfalls noch Vertragsklauseln helfen, die für gerade solche Ausnahmesituationen wie Epidemien oder andere Katastrophen gedacht sind. Viele Verträge sehen solche sogenannte „Force Majeure“-Klauseln vor. Diese sollen die Parteien im Falle von höherer Gewalt von ihren Leistungspflichten teilweise oder ganz, oft begrenzt auf die Dauer des Ereignisses, freistellen.

Höhere Gewalt ist ein von außen kommendes, auch durch die äußerste vernünftigerweise zu erwartende Sorgfalt nicht abwendbares Ereignis, das den Sphären der Vertragsparteien nicht zuzuordnen ist. Die Auswirkungen von Epidemien können in einzelnen Regionen zur Annahme von „höherer Gewalt“ führen. Ob und wann Sie tatsächlich von einer Leistungspflicht befreit sind – und welche Rechte Ihrem Vertragspartner in diesem Fall zustehen – ist allerdings abhängig von der Formulierung der konkreten Klausel, dem anwendbaren Recht und den Einzelheiten des Falles. Bei diesen Klauseln gibt es unzählige Ausgestaltungen, so dass hier stets eine Einzelfallprüfung erforderlich ist. Es kann auch einen Unterschied machen, ob diese Klausel nur Teil der AGB ist oder einzelvertraglich verhandelt wurde.

Relevante IT-Verträge sollten also auf das Vorhandensein und die Wirksamkeit von „Force Majeure“-Klauseln geprüft werden. Sie sollten sich aber unter keinen Umständen vorschnell auf eine „Force Majeure“-Klausel verlassen.

3. Haftung, Rücktritt, Kündigung, Vertragsanpassung

Können Sie Ihren Leistungsverpflichtungen aus einem IT-Vertrag nicht nachkommen, kann dies zu Schadensersatzansprüchen des Auftraggebers oder auch zu einer Beendigung oder Rückabwicklung des Vertrages führen. Schlimmstenfalls ist hierzu nicht einmal eine Abmahnung des Auftraggebers notwendig.

Wir empfehlen daher dringend, dass Sie alle zur Verfügung stehenden Maßnahmen ergreifen, um die Arbeitsfähigkeit Ihres Unternehmens aufrecht zu erhalten. Dies umfasst insbesondere Personalfragen wie auch Präventionsmaßnahmen zur Eindämmung des Coronavirus. Dokumentieren Sie sämtliche Maßnahmen, Entscheidungen und sonstiges Vorgehen wie interne Diskussionen usw., um im Streitfalle belegen zu können, dass Sie kein Verschulden trifft, wenn Sie eine Leistung nicht mehr erbringen können.

Dabei ist aber ebenfalls zur Vorsicht zu raten: Zu weitgehende Präventivmaßnahmen, beispielsweise die bewusste Entscheidung, zum Wohle der Mitarbeiter bestimmte Aufträge vorübergehend nicht mehr auszuführen, kann schlimmstenfalls zu einer vorsätzlichen Vertragsverletzung führen, womit Sie sich auch sämtlichen Haftungsbegrenzungen berauben. Vorsorge- und Gegenmaßnahmen eines Unternehmens sind eigene unternehmerische Entscheidungen und führen nicht per se zur Annahme von höherer Gewalt. Hier besteht also zumindest höherer Rechtfertigungsbedarf.

Sollte daher erkennbar sein, dass bestimmte Arbeiten nicht mehr guten Gewissens erledigt werden können, sollten Sie hier stets versuchen, zunächst gemeinsam mit Ihrem Vertragspartner eine angebrachte Lösung zu finden. Im Einzelfall kann sogar ein – gegenseitiges – Recht zur Vertragsanpassung bestehen.

Unsere Empfehlungen:

• Prüfen Sie, ob eine rechtzeitige Leistungserbringung tatsächlich objektiv unmöglich geworden ist
• Prüfen Sie Ihre Vertragsverhältnisse auf das Bestehen und die Ausgestaltung von
  - Informationspflichten
  - Garantien
  - „Force Majeure“ –Klauseln
  - verschuldensunabhängigen Vertragsstrafen oder sonstigen Sanktionen
• Informieren Sie Ihre Vertragspartner frühzeitig über drohende Leistungsausfälle und Verzögerungen.
• Eine frühzeitige Kontaktaufnahme mit Ihren Auftraggebern kann eine konstruktive Umgebung und Lösungen für beide Seiten schaffen.
• Nehmen Sie keinesfalls vorschnell an, nicht mehr zur Leistungserbringung verpflichtet zu sein.
• Ergreifen und dokumentieren Sie alle betrieblichen Vorsichtsmaßnahmen zur Eindämmung des Coronavirus und zur Aufrechterhaltung Ihres Geschäftsbetriebs.
• Unterscheiden Sie stets, ob Leistungshindernisse tatsächlich durch höhere Gewalt geschaffen wurden oder ob unternehmerische Entscheidungen erst zum Leistungshindernis führen.
• Prüfen Sie, ob für den Fall einer Betriebsschließung oder bei Leistungsausfällen eine Versicherung besteht, die etwaige Schäden Ihrerseits abdeckt.

Dr. Florian Jäkel-Gottmann

Lennart Kriebel

Wojtek Ropel

Bei der App handelt es sich um das Spiel „Coin Master“, welches der Einstieg in die „Glücksspielwelt“ für viele Minderjährige sein soll.

Den gesamten Artikel können Sie auf der Webseite der Frankfurter Allgemeine Zeitung nachlesen.

„Das BKartA hat im November 2018 aufgrund zahlreicher Beschwerden betroffener Marktplatzhändler ein Missbrauchsverfahren gegen Amazon eingeleitet. Das BKartA hat Amazon vorgeworfen, Nutzungsbedingungen einseitig zu Lasten der Marktplatzhändler ausgestaltet zu haben. Im Laufe des anhängigen Missbrauchsverfahrens hat Amazon auf Druck des BKartA zugesagt, die beanstandeten Klauseln und Verhaltensweisen anzupassen, sodass das BKartA das Verfahren nunmehr eingestellt hat (17.7. 2019, B2-88/18, BeckRS 2019, 20389). Die zugesagten Änderungen stellen nach Auffassung des BKartA einen ausreichenden und fairen Ausgleich mit den berechtigten Interessen der Marktplatzhändler dar. Diese Änderungen sollen laut Amazon weltweit umgesetzt werden, sodass das deutsche Verfahren eine enorme praktische Bedeutung für Marktplatzhändler weltweit haben wird.“

Die gesamte Urteilsanmerkung können Sie auf der Webseite von beck-online lesen.

Nach den bisherigen Überlegungen der Generaldirektion Connect könnten folgende Aspekte den Kern eines solchen Rechtsakts bilden:

• Schließung regulatorischer Lücken, Harmonisierung diverser Rechtsbereiche
• Regelungen zu Hate Speech und politischer Desinformation – diesmal auf EU-Ebene
• Größere Spielräume für innovative digitale Geschäftsmodelle
• Update/Verschärfung der Haftung von Plattformen

Ausgangspunkt

Ausgangspunkt der Überlegungen ist der umfassende Wandel der Digitalwirtschaft und ihrer Produkte. Dem steht ein Regulierungsrahmen gegenüber, der in einigen Teilen nicht mehr aktuell ist. Dies gilt insbesondere für die sogenannte E-Commerce-Richtlinie, die zentrale Vorgaben zum elektronischen Geschäftsverkehr in der EU enthält. Sie beinhaltet mit dem „Host-Provider-Privileg“ zudem ein grundlegendes Prinzip der Haftung von Plattformen im Internet: Anbieter, die lediglich die technische Infrastruktur für Inhalte Dritter zur Verfügung stellen, haften grundsätzlich für rechtswidrige Inhalte nur dann, wenn sie positive Kenntnis von ihnen haben bzw. nach Kenntnisnahme keine unverzüglichen Maßnahmen gegen diese Inhalte treffen.

Zwar hatte das Host-Provider-Privileg eine spürbare innovationsfördernde Wirkung. Es hat mutmaßlich jedoch auch die Entstehung großer und damit markt- und meinungsmächtiger Plattformen gefördert, die ökonomisch sehr erfolgreich, aber nur begrenzt einer Haftung unterworfen sind. Der politische Wille, Plattformen wie Google, YouTube oder amazon gezielter und umfassender zu regulieren, ist mittlerweile europaweit deutlich wahrnehmbar.

Die scheidende EU-Kommission setzte dabei auf einen sektorbasierten Ansatz. Nun soll augenscheinlich die um die vielfältigen Einzelrechtsakte gezogene „Klammer“, die E-Commerce-Richtlinie, in Angriff genommen werden.

Was ist Gegenstand der beabsichtigten Neuregelungen?

Die bislang erkennbaren Überlegungen zu einem „Digital Services Act“ befassen sich mit einem „Update“ des Regulierungsrahmens für „alle digitalen Inhalte“, vom Netz- bis zum Cloudanbieter, mit Schwerpunkt auf Online-Plattformen wie sozialen Netzwerken oder Suchmaschinen.

1. Allgemein: Lücken schließen, für mehr Klarheit sorgen

Viele der Kernregelungen der E-Commerce-Richtlinie seien seit dem Jahr 2000 nicht modernisiert worden. Die heutige technische, ökonomische und soziale Realität würde nicht reflektiert. Die Konsequenz sei eine „rechtliche Unsicherheit für viele etablierte und neue, grenzüberschreitend tätige Dienste, verbunden mit einem Mangel an regulatorischer Kontrolle von Schlüsselfragen der heutigen Informationsumgebung.“ Die Harmonisierung diverser Regulierungsbereiche durch eine EU-weite Regulierung mittels des „Digital Services Act“ solle auch für mehr Rechtsklarheit und Rechtssicherheit sorgen.

2. Vereinheitlichung der Regulierung von Hate Speech und politischer Desinformation

Darüber hinaus solle ein einheitlicher Regulierungsrahmen für Hate Speech geschaffen werden. Dazu sollten auch einheitliche Regelungen zum Entfernen rechtswidriger Inhalte („content moderation“) gehören. Hierzu könnten „notice and action“-Regelungen für einzelne Dienste „maßgeschneidert“ werden.

Ein Thema, das häufiger Erwähnung findet, ist Online-Werbung für politische Kampagnen. Insbesondere seien Microtargeting-Kampagnen zur Desinformation leicht zu installieren, aber schwer zu entdecken. Auch hierauf solle der „Digital Services Act“ eine Antwort finden.

Gleichzeitig wird mehr Transparenz für die Moderation von Inhalten und für Empfehlungssysteme von öffentlicher Relevanz, die auf Algorithmen basieren (z.B. Newsfeeds) gefordert.

3. Mehr Raum für innovative digitale Geschäftsmodelle

Aufgrund des stark fragmentierten Rechtsrahmens könnten gegenwärtig nur große Plattformunternehmen wachsen und überleben; innovative Anbieter digitaler Geschäftsmodelle würden durch den fragmentierten Markt mit einer Vielzahl unterschiedlicher Regeln abgeschreckt. Dies sei eine wesentliche strategische Schwäche der EU-Digitalwirtschaft, was nicht nur außereuropäische Angebote stärke, sondern auch die Abhängigkeit der EU-Bürger von außereuropäischen Angeboten erhöhe. Eine Konkurrenz mit großen US-Anbietern sei deshalb nur schwer möglich.

Eine Vereinheitlichung des Regulierungsrahmens sei daher zur Förderung der europäischen Digitalwirtschaft nötig. Außerdem sollen rechtliche Experimentiermöglichkeiten geschaffen werden, sog. „regulatorische Sandkästen“, bei denen innovative Dienste und Regulierungsbehörden innerhalb eines definierten Zeitraums die Möglichkeit gegeben wird, einander kennenzulernen und regulatorisch zu experimentieren. So soll letztlich eine „passende“ Regulierung gefunden werden.

4. Haftung von Plattformen

Letztlich führe der Mangel an regulatorischer Klarheit zu Fehlanreizen für Plattformen, nicht proaktiv gegen illegale Inhalte vorzugehen. Diese Erwägung mag daher rühren, dass Plattformanbieter durchaus ihre Haftungsrisiken erhöhen können, je mehr sie sich mit den auf ihren Plattformen befindlichen Inhalten befassen – wenn auch aus eigentlich begrüßenswerten Motiven wie dem proaktiven Vorgehen gegen rechtswidrige Inhalte.

Gleichzeitig bestehe nur ein geringer Anreiz zum Schutz rechtmäßiger Inhalte. Es gebe zwar viele Regulierungsbehörden für Datenschutz, audiovisuelle Inhalte, Wettbewerb usw., aber keinen dezidierten „Plattformregulierer“, der eine effektive Aufsicht und Rechtsdurchsetzung gewährleisten würde. Viele Entscheidungen, die von unabhängigen öffentlichen Behörden getroffen werden sollten, würden deshalb auf Online-Plattformen übertragen, die damit de facto zu Regulierern würden, wenn auch ohne adäquate, aber notwendige Aufsicht.

Dies alles zu ändern, dürfte ein Schlüsselanliegen eines „Digital Services Act“ werden, der novellierte oder neue Rechtsakte wie die Richtlinie für Audiovisuelle Mediendienste oder den „New Deal for Consumers“ hierdurch ergänzt.

Bewertung

Dass das europäische Recht zu Online-Plattformen und die dazugehörige Regulierung gegenwärtig erheblich fragmentiert sind, ist unbestritten. Diese Fragmentierung kann ebenso unbestritten zu vielfältigen Rechtsunklarheiten und -unsicherheiten führen. Zum Teil ist sie aber auch den Rechtssystemen der Mitgliedsstaaten geschuldet. So bedingt beispielsweise das föderale System in Deutschland, dass Plattformen wie Google oder soziale Netzwerke, sobald die Meinungsfreiheit tangiert wird, diesbezüglich in die Gesetzgebungskompetenz der Länder fallen – und damit im Einzelfall der Regulierung durch die Landesmedienanstalten. Ob es tatsächlich derer 14 bedarf, steht auf einem anderen Blatt.

Mancher „innovative“ Vorschlag dürfte auch mit grundlegenden rechtlichen Prinzipien in Konflikt geraten: So ist durchaus fraglich, wie „regulatorische Sandkästen“ beispielsweise mit dem Vorbehalt des Gesetzes übereinkommen. Dieser Grundsatz soll garantieren, dass (u.a.) Regulierer nur aufgrund gesetzlicher Regelungen tätig werden können. Wenn aber im „regulatorischen Sandkasten“ nicht nur digitale Dienste, sondern auch Regulierer experimentelle Burgen bauen können sollen, müssen diese Sandkästen jedenfalls äußerlich ausreichend eingefasst werden, damit rechtsstaatliche Prinzipien nicht von der Schippe springen und innovative Modelle nicht durch regulatorische Experimente im Sand verlaufen.

Was bei aller Kritik nicht unberücksichtigt bleiben sollte: Durch unterschiedliche nationale Regelungsinstrumente entsteht auch ein „Mehr“ an regulatorischen Ideen, von denen die Nationalstaaten gegenseitig lernen können. Ob sich hingegen bei einer europaweiten Regulierung immer die beste Idee durchsetzt, ist fraglich. Zu berücksichtigen ist auch, dass digitale Innovationen ihren Regulierern quasi systemimmanent enteilen. Diese Tatsache lässt sich auch nicht mit dem Wunsch nach einheitlicher Regulierung oder gar Aktionismus lösen. Vielmehr ist auch diese Erkenntnis in den Regulierungsprozess mit einzubeziehen.

Es ist an einigen Stellen durchaus zu begrüßen, wenn Regulierung von internationalen Sachverhalten nicht an Landesgrenzen halt macht. Je weiter dies reicht und je mehr vereinheitlicht wird, desto stärker muss allerdings mit Augenmaß vorgegangen werden. Der Gesetzgebungsprozess zur EU-Urheberrechtsrichtlinie hat hierfür jüngst gerade kein leuchtendes Beispiel abgegeben. Insbesondere sollte eine solche Regulierung Innovationen nicht behindern und sich auf wesentliche regulatorische Aspekte konzentrieren. Nicht jeder Dienst braucht eine „maßgeschneiderte“ Lösung. Diese birgt vielmehr auch die Gefahr, vom Regen einer regional fragmentierten Regulierung in die Traufe einer gegenständlich fragmentierten Gesetzgebung zu kommen.

Auch die Überlegungen zu einem „Digital Services Act“ offenbaren erste Schwierigkeiten eines umfassenden Regulierungsunterfangens, das möglichst alle wünschenswerten Aspekte vereint. Der Wunsch nach Freiheit des Internets ist groß. Der Wunsch nach einheitlicher, EU-weiter Regulierung möglichst vieler Aspekte des digitalen Binnenmarkts ist jedoch mindestens ebenso groß. Und manche Geister, deren Wirkung oder Transparenz man nun verbessern möchte, hat man gar selbst vor gar nicht allzu langer Zeit gerufen.

Bis die EU-Kommission den endgültigen Vorschlag eines solchen „Gesetzes“ (denkbar als Verordnung) veröffentlicht, dürfte noch einige Zeit vergehen. Auch das Gesetzgebungsverfahren wird seine Spuren hinterlassen. Und nach der unerwartet großen öffentlichen Anteilnahme an der Reform des EU-Urheberrechts ist eine breite Beteiligung der Öffentlichkeit nicht mehr ausgeschlossen, wenn es um die Änderung wesentlicher Haftungsfragen im Internet geht.

Dass ein solcher Rechtsakt kommt, daran dürfte seit der „Agenda“ von Ursula von der Leyen indes kein Zweifel mehr bestehen. Ob er es schafft, die deutlichen Gegensätze zwischen freiem Internet und intensivierter Regulierung und Überwachung zu vereinen, bleibt bis dahin abzuwarten. Gleiches gilt für den Zielkonflikt zwischen der Einführung umfassenderer und generellerer Regelungen bei gleichzeitiger „maßgeschneiderter“ Regulierung verschiedener Dienste.

Unternehmen sollten sich in jedem Fall darauf vorbereiten, dass ihre Geschäftsmodelle in Zukunft deutlich anders reguliert werden könnten.

Wenn Sie Fragen zu dem Thema haben, wenden Sie sich gerne an Dr. Florian Jäkel-Gottmann.

Die vollständige Meldung zu dem Patentkonflikt zwischen ZF Friedrichshafen und VOITH finden Sie bei JUVE-Patent.

Der Beschluss ist sowohl für die Anmeldepraxis als auch die Rechtsdurchsetzung von erheblicher Bedeutung. Abweichungen bei Designdarstellungen kommen in der Praxis regelmäßig vor. In Verletzungsverfahren wird nun ebenso regelmäßig der Rechtsbestand zur Überprüfung durch das Gericht gestellt werden.

Die gesamte Urteilsanmerkung können Sie auf der Webseite von beck-online lesen.

A practical cross-border insight into data protection law

The ICLG to: Data Protection Laws and Regulations covers relevant legislation and competent authorities, territorial scope, key principles, individual rights, registration formalities, appointment of data protection officer and of processors - in 42 jurisdictions.

We are happy to contribute to this important publication with a whole chapter written by Dr. Axel von Walter.

If you are interessted in the whole publication: it is available on the webpage ICLG (International Comparative Legal Guides).

Den gesamten englischen Beitrag können Sie ab Seite 91 auf der Webseite von Legal 500 nachlesen.