Die 2013 gegründete tec4U-Solutions GmbH mit Sitz in Saarbrücken entwickelt Softwarelösungen und Datendienstleistungen für das Material- und Produkt-Compliance-Management. Mit ihrer Plattform "DataCross" unterstützt das Unternehmen Hersteller, Händler und Importeure bei der Einhaltung internationaler regulatorischer Anforderungen wie REACH, PFAS oder der EU- Verordnung für entwaldungsfreie Produkte (EUDR). 

Banyan Software ist ein international tätiger Erwerber spezialisierter Softwareunternehmen und verfolgt eine langfristige Buy-and-Hold-Strategie. Mit der Übernahme stärkt das Unternehmen seine Präsenz im europäischen Markt für vertikale Softwarelösungen. Die tec4U-Solutions GmbH wird ihre Geschäftstätigkeit auch künftig eigenständig vom Standort Saarbrücken aus fortführen.

ADVANT Beiten berät Banyan Software regelmäßig bei Akquisitionen im deutschsprachigen Raum und begleitet das Unternehmen kontinuierlich bei der Umsetzung seiner Wachstumsstrategie. Die erneute Beratung unterstreicht die besondere Expertise der Kanzlei bei grenzüberschreitenden M&A-Transaktionen im Technologiesektor sowie ihre langjährige Erfahrung in der Begleitung internationaler Software- und Technologieunternehmen.

Berater Banyan Software:
ADVANT Beiten: Christian Burmeister (Berlin und Freiburg, Federführung), Damien Heinrich (Freiburg, beide Corporate/M&A), Mathias Zimmer-Goertz, Christian Döpke (Düsseldorf, beide IP/IT), Michael Riedel (Berlin, Arbeitsrecht).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Von den ausgezeichneten Anwältinnen und Anwälten wurden 60 in der Kategorie "Best Lawyers" und weitere 10 in der Kategorie "Ones to Watch" berücksichtigt. Mehrere Anwältinnen und Anwälte wurden darüber hinaus in mehreren Rechtsgebieten empfohlen, sodass die Gesamtzahl der Auszeichnungen die Zahl der ausgezeichneten Personen deutlich übersteigt.

Die Ergebnisse werden in Deutschland exklusiv in Kooperation zwischen Best Lawyers und dem Handelsblatt veröffentlicht. Die Rankings zählen zu den renommiertesten Anerkennungen im Anwaltsmarkt und basieren auf einem umfassenden Peer-Review-Verfahren. Rechtsanwältinnen und Rechtsanwälte bewerten dabei die fachliche Expertise ihrer Kolleginnen und Kollegen innerhalb der jeweiligen Rechtsgebiete. Die Aufnahme in die Rankings erfolgt ausschließlich auf Grundlage dieser unabhängigen Empfehlungen.

Die diesjährigen Ergebnisse bestätigen die starke Marktposition von ADVANT Beiten in einer Vielzahl wirtschaftsrechtlicher Beratungsfelder. Zugleich verdeutlichen sie die erfolgreiche Entwicklung der nächsten Anwaltsgeneration innerhalb der Kanzlei, deren fachliche Leistungen in der Kategorie "Ones to Watch" besondere Anerkennung gefunden haben.

Die Auszeichnungen spiegeln die Expertise von ADVANT Beiten in einem breiten Spektrum wirtschaftsrechtlicher Expertise wider und bestätigen den Anspruch der Kanzlei, Mandantinnen und Mandanten bei komplexen nationalen und internationalen Fragestellungen auf höchstem Niveau zu beraten.

Die ANTENNE BAYERN GROUP zählt zu den größten privaten Audio- und Medienunternehmen Deutschlands. Neben dem Hauptprogramm ANTENNE BAYERN umfasst das Portfolio zahlreiche Digitalangebote, Webradios sowie Beteiligungen im nationalen und internationalen Audiomarkt. ROCK ANTENNE gehört zu den bekanntesten Rockradio-Marken im deutschsprachigen Raum und sendet neben Bayern auch regionalisierte Programme unter anderem für Hamburg und Österreich.

Mit dem Erwerb stärkt die ANTENNE BAYERN GROUP ihre strategische Position im Audiomarkt und bündelt künftig sämtliche Beteiligungen an ROCK ANTENNE innerhalb der eigenen Unternehmensgruppe. Gleichzeitig sollen die bestehenden regionalen Strukturen und die enge Zusammenarbeit der Standorte Hamburg, Wien und Ismaning weiter ausgebaut werden.

Berater ANTENNE BAYERN GROUP 
ADVANT Beiten: Dr. Holger Weimann (IP/IT/Medien), Dr. Markus Ley (Corporate/M&A) und Christoph Heinrich (Kartellrecht, alle München).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Aber Moment, wie war das nochmals mit Schleichwerbung, Product Placement und so? Müsste man den Film nicht vielleicht gar als Dauerwerbesendung kennzeichnen, schlimmstenfalls von Beginn bis zum Ende? Älteren Lesern dürfte Derartiges noch aus den Stefan Raab Sendungen bekannt sein. 

Tatsächlich hat sich der Bundesgerichtshof schon vor über 30 Jahren mit der Frage befasst, wie Product Placement rechtlich zu beurteilen ist. 

Ausgangspunkt ist immer die Frage, ob eine Handlung „das Ziel hat, den Wettbewerb des betreffenden Unternehmens zu fördern“ – also den Absatz eines bestimmten Produktes anzukurbeln. Einfach ist der Fall, wenn für das Product Placement seitens der Markeninhaber etwas bezahlt wird. Das lässt sich von außen aber oft kaum erkennen. Die Gerichte behelfen sich daher mit folgender Überlegung: Nach der Lebenserfahrung sei dann von einer geschäftlichen Handlung (und einer Wettbewerbsförderungsabsicht) auszugehen, wenn ein Produkt auffällig oft und ohne erkennbare redaktionelle, künstlerische oder dramaturgische Veranlassung ins Bild gerate. 

Jedenfalls bei den Modemarken in „Der Teufel trägt Prada 2“ lässt sich kaum abstreiten, dass es eine „dramaturgische Veranlassung“ dafür gibt, diese in Szene zu setzen. Geld soll dafür übrigens – wenn man der Berichtserstattung in den Marketing-Medien glauben darf – aber keines geflossen sein, die Marken hätten dafür nur selbst den Film promotet (Maybach beispielsweise mit einer Co-Branded-Kampagne unter dem Titel „The Art of Arrival“). Dies dürfte allerdings dennoch eine relevante Gegenleistung sein. Insofern wird es sich, das können wir als Zwischenergebnis festhalten, wohl um Product Placement handeln.

Die Maßstäbe, die für Product Placement gelten, sind nun aber je nach Medium unterschiedlich. Im Rundfunk (wozu auch Fernsehen gehört) ist das Thema ausdrücklich im Medienstaatsvertrag geregelt. Danach ist Schleichwerbung verboten, Product Placement aber unter bestimmten Voraussetzungen und innerhalb gewisser Grenzen erlaubt. Insbesondere muss klar darauf hingewiesen werden, im TV beispielsweise zu Beginn und zum Ende einer Sendung sowie bei deren Fortsetzung nach einer Werbeunterbrechung.

Die Produzenten von „Der Teufel trägt Prada 2“ können aufatmen, da an Spielfilme tendenziell weniger strenge Anforderungen gestellt werden. Einfach ist die Abgrenzung aber nicht: Unzulässig ist nicht schon, wenn ein Autohersteller dafür bezahlt, dass in einem Film die Hauptperson eines seiner Fahrzeuge verwendet. Hinzukommen muss, dass dieses Fahrzeug häufig in auffälliger, durch den Handlungsablauf nicht gebotener Weise dargestellt wird. Was für eine Gratwanderung das sein kann, wird von Meryl Streep und Anne Hathaway (nicht nur) in ihrer Unterhaltung gegen Ende des Films nahezu mustergültig gezeigt.

Wer sich - wie Runway - von einem reinen Hochglanzmagazin hin zu einer hybriden Welt aus Social Media und strategischen Kooperationen entwickelt, muss zudem beachten, dass die rechtlichen Rahmenbedingungen für Werbung und Product Placement je nach Medienart variieren. Es können sogar unterschiedliche Gesetze anwendbar sein. Der Medienstaatsvertrag hat beispielsweise unterschiedliche Kapitel für Rundfunk einerseits und Telemedien andererseits (die sich auch inhaltlich unterscheiden), für Kino und Kiosk gilt er nicht. Der Pressekodex gilt nur für die Presse, das Wettbewerbsrecht für alle. Kompliziert? Ja. Product Placement und Cross-Promotions sind keine leichte Unterhaltung.

Auch deutsche Influencerinnen haben übrigens schon die Grenzen des Zulässigen ausgetestet: Cathy Hummels konnte beispielsweise den Bundesgerichtshof davon überzeugen, dass sie sich privat sehr für Mode interessiert. Posts, für die sie keine Gegenleistung erhält, muss sie daher nicht als Werbung kennzeichnen, auch wenn dadurch ihr kommerzielles Social-Media-Profil promotet wird. Anders ging es für Influencerinnen aus, die eine Gegenleistung erhalten hatten. Da fragt sich natürlich, ob es schon eine „Gegenleistung“ ist, wenn die Produktionsfirma die Coke nicht bezahlen muss – oder wenn Anne alias Andy das in den Hamptons getragene Kleid nach den Dreharbeiten behalten dürfte. Die Medienanstalten ziehen die Grenze übrigens bei einem Wert des Produktes von 100 Euro, darüber wird sich aber im Einzelfall diskutieren lassen.

Und damit nicht genug: Noch strenger sind die Grundsätze schließlich, wenn primär Kinder angesprochen werden. 

Daher gilt wie so oft bei juristischen Themen der altbewährte Spruch: Der Teufel steckt in Prada im Detail. 

Dr. Andreas Lober
Dr. Peggy Müller

Für wen gilt die Pflicht?

Die Pflicht zum Vorhalten des Widerrufsbuttons gilt für Fernabsatzverträge zwischen Unternehmern und Verbrauchern, die über eine Online-Benutzeroberfläche abgeschlossen werden. Damit sind sowohl Online-Shops betroffen, die über eine Website angeboten werden, als auch solche, die über Apps angeboten werden. Die Pflicht gilt grundsätzlich unabhängig davon, ob der Verbraucher Waren, digitale Inhalte oder Dienstleistungen (einschließlich Finanzdienstleistungen) in Anspruch nehmen möchte. Ausnahmen bestehen nur in Bereichen, in denen kein Widerrufsrecht besteht. Es bestehen keine Erleichterungen zugunsten kleinerer Unternehmen.

Welche Anforderungen gelten für den Widerrufsbutton?

Die gesetzlichen Vorgaben an den Widerrufsbutton (oder in der Sprache des Gesetzgebers: die Widerrufsfunktion) sind ziemlich konkret:

Die Widerrufsfunktion sieht ein zweistufiges Verfahren vor. In einem ersten Schritt muss der Verbraucher eine gut lesbare Schaltfläche mit der Aufschrift "Vertrag widerrufen" (oder gleichbedeutend) auffinden können. Die europarechtlichen Grundlagen sind noch etwas strenger: Nach der entsprechenden Richtlinie soll noch das Wörtchen „hier“ enthalten sein. Der deutsche Gesetzgeber ist beim Umsetzungsgesetz hinter dieser Anforderung zurückgeblieben. Diese Schaltfläche muss für den Verbraucher leicht zugänglich, hervorgehoben platziert und während des Laufs der Widerrufsfrist ständig verfügbar sein.

Sodann muss der Verbraucher in die Lage versetzt werden, wesentliche Informationen zur Identifizierung des zu widerrufenden Vertrags bereitzustellen oder zu bestätigen, konkret:

1. den Namen des Verbrauchers,
2. Angaben zur Identifizierung des Vertrags oder des Teils des Vertrags, den der Verbraucher widerrufen möchte,
3. Angaben zum Erhalt der Eingangsbestätigung.

Nach Eingabe der Informationen ist im zweiten Schritt eine Bestätigungsfunktion vorzusehen, mittels welcher der Verbraucher die Übermittlung des Widerrufs in die Wege leitet. Auch diese Bestätigungsfunktion muss gut lesbar und mit "Widerruf bestätigen" oder einer gleichbedeutenden eindeutigen Formulierung beschriftet sein.

Zudem sind Unternehmer dazu verpflichtet, dem Verbraucher unverzüglich eine Eingangsbestätigung auf einem dauerhaften Datenträger, beispielsweise per E-Mail, zu übermitteln.

Widerrufsbutton nicht gleich Kündigungsbutton

Unternehmen, die mit Verbrauchern Dauerschuldverhältnisse (z.B. Abonnements) über das Internet eingehen, ist die Konzeption des Widerrufsbuttons möglicherweise bereits vertraut: Sie ähnelt stark dem Kündigungsbutton aus § 312k BGB, der in Deutschland seit dem 1. Juli 2022 vorgehalten werden muss. Anders als beim Widerrufsbutton handelt es sich beim Kündigungsbutton jedoch nicht um eine unionsrechtliche Vorgabe, sondern um deutsches Recht. Die Pflicht zum Vorhalten eines Widerrufsbuttons besteht auch dann, wenn bereits ein Kündigungsbutton implementiert ist. Auch die Rechtsfolgen sind andere: Eine Kündigung (beispielsweise durch den Kündigungsbutton) beendet den Vertrag für die Zukunft, beim Widerruf sind die bereits ausgetauschten Leistungen (jedenfalls grundsätzlich) rückabzuwickeln.

Praktische Hinweise

Bis zum 19. Juni 2026 verbleiben noch knapp drei Monate. Unternehmen sollten daher die Umsetzung des Widerrufsbuttons zeitnah angehen, sofern noch nicht geschehen. Neben den technischen Anforderungen sind Anpassungen an der Widerrufserklärung sowie gegebenenfalls an der Datenschutzerklärung erforderlich. Bei Untätigkeit drohen ziemlich sicher direkt nach Inkrafttreten Abmahnungen durch Wettbewerber oder Verbraucherschutzverbände. Die Erfahrungen mit dem Kündigungsbutton zeigen, dass Verbraucherschutzverbände zeitnah nach Geltungsbeginn abmahnen und Verbrauchern entsprechende Meldeformulare bereitstellen; diverse „Abmahnspezialisten“ sind oft noch deutlich schneller am Start. Wenn der Abmahnung nicht innerhalb weniger Tage Folge geleistet wird, droht beispielsweise ein einstweiliges Verfügungsverfahren. Zusätzlich besteht das Risiko, dass bei fehlerhafter Widerrufsbelehrung die Widerrufsfrist erst gar nicht zu laufen beginnt und erst nach 12 Monaten und 14 Tagen erlischt. Unter bestimmten Voraussetzungen drohen auch Bußgelder; erfahrungsgemäß ist das Risiko direkt nach Inkrafttreten noch überschaubar.

Auch darüber hinaus unterliegt das E-Commerce-Recht einem kontinuierlichen Wandel. Händler sollten neben dem Widerrufsbutton weitere regulatorische Entwicklungen im Blick behalten: zusätzliche Informationspflichten (etwa zu Haltbarkeitsgarantien) und gesetzlich vorgeschriebene Kennzeichnungen (Labels) zu Gewährleistungsrechten. Mit dem Digital Fairness Act steht zudem eine weitere Verschärfung des Verbraucherschutzes bevor.

Daniel Trunk

Banyan Software wurde 2016 gegründet und erwirbt regelmäßig wachsende Softwarefirmen mit dem Ziel, diese im Rahmen einer Buy-and-Hold-Strategie langfristig zu entwickeln. Banyan Software verfügt über Standorte in Kanada, Großbritannien sowie in der DACH-Region. 

Gini wurde 2011 gegründet und hat sich in über einem Jahrzehnt als vertrauenswürdiger Anbieter von Dokumenten- und Zahlungs-KI-Plattformen etabliert. Die Lösungen vereinfachen unter anderem Rechnungszahlungen, automatisieren Datenerfassung und sind fest in den Arbeitsprozessen führender Finanzinstitute verankert. Unter der neuen Eigentümerschaft von Banyan wird Gini seine Marktpräsenz insbesondere im Bankensektor, im Bereich privater Krankenversicherungen sowie im E-Commerce weiter ausbauen. 

Der Unternehmensstandort sowie die Produktentwicklung von Gini werden fortgeführt.

ADVANT Beiten berät Banyan Software regelmäßig bei der Umsetzung ihrer Wachstumsstrategie in der DACH-Region, zuletzt im Juni 2025 bei der Übernahme von star/trac.

Berater Banyan Software:

ADVANT Beiten: Christian Burmeister (Federführung), Damien Heinrich, Julius Bauer, (alle Corporate/M&A), Heiko Wunderlich, Fabian Moser (beide Steuern), Mathias Zimmer-Goertz, Christian Döpke (beide IP/IT), Michael Riedel (Arbeitsrecht).

Pressekontakt
Frauke Reuther
Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Das NIS-2 Umsetzungsgesetz ändert das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) ab und führt neue, verschärfte Cybersicherheitspflichten ein. Der Kreis der Unternehmen, die Cybersicherheitsmaßnahmen treffen müssen, wird gegenüber dem bisherigen Adressatenkreis deutlich erweitert. 

Nachdem der Gesetzgebungsprozess durch die Neuwahlen im Frühjahr 2025 unterbrochen war, ging es nun doch schneller als erwartet. Da die Umsetzungsfrist bis zum 17. Oktober 2024 längst abgelaufen war und die Europäische Kommission bereits ein Vertragsverletzungsverfahren gegen die Bundesrepublik Deutschland eingeleitet hatte, verabschiedete der deutsche Gesetzgeber im Jahresendspurt 2025 das NIS-2 Umsetzungsgesetz beschleunigt. Es überrascht daher nicht, dass das Gesetz bereits einen Tag nach seiner Verkündung im Bundesgesetzblatt und ohne jede Übergangsfristen in Kraft getreten ist. Für die betroffenen Unternehmen bedeutet dies, dass sie die neuen Cybersicherheitspflichten nun sehr kurzfristig umsetzen müssen. Sie sind verpflichtet, geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen zu treffen, um die IT-Sicherheit im Unternehmen zu gewährleisten.

Die NIS-2-Richtlinie (NIS = Network Information Security), die am 10. November 2022 vom Europäischen Parlament verabschiedet worden ist, gehört zu einer Reihe von EU-Rechtsakten, die Bestandteil der Digitalstrategie der Europäischen Kommission sind. Eine Evaluation der Europäischen Kommission hatte gezeigt, dass die bisherige NIS-Richtlinie und ihre Umsetzung in den einzelnen EU-Mitgliedstaaten nicht zu einem hinreichenden Niveau an Cybersicherheit in der EU geführt hatte. Deshalb werden die Cybersicherheitspflichten durch NIS-2 verschärft.

Anwendungsbereich: Für welche Unternehmen gelten die neuen Cybersicherheitspflichten?

Bisher differenzierte das BSIG zwischen drei Kategorien von Unternehmen: (1.) Betreiber Kritischer Infrastrukturen (§ 8a BSIG), (2.) Anbieter digitaler Dienste (§ 8c BSIG) und (3.) Unternehmen im besonderen öffentlichen Interesse (sog. „UBI“, § 8f BSIG).

Nun differenziert § 28 BSIG n.F. zwischen sog. besonders wichtigen Einrichtungen (§ 28 Abs. 1 BSIG) und wichtigen Einrichtungen (§ 28 Abs. 2 BSIG). Die Anlagen 1 und 2 zum BSIG definieren, wann ein Unternehmen – je nach Zugehörigkeit zu einem bestimmten Sektor / einer Branche – als besonders wichtige oder wichtige Einrichtung zu qualifizieren ist.

Für die Frage, ob ein Unternehmen in den Anwendungsbereich von NIS-2 fällt, sind folgende Kriterien maßgeblich: (1.) die Einstufung als KRITIS-Betreiber (d.h. als besonders wichtige oder wichtige Einrichtung), (2.) die Zugehörigkeit zu einem Sektor / einer Branche und (3.) die Größe des Unternehmens.

Besonders wichtige Einrichtungen sind neben Betreibern kritischer Anlagen, Anbietern von qualifizierten Vertrauensdiensten und Anbietern von Telekommunikationsdiensten oder Betreibern von Telekommunikationsnetzen auch Unternehmen, die mindestens 250 Mitarbeiter beschäftigen und einen Jahresumsatz von über 50 Mio. Euro oder eine Jahresbilanzsumme von über 43 Mio. Euro aufweisen.

Wichtige Einrichtungen sind jedoch nicht nur Unternehmen der kritischen Infrastruktur, sondern gerade auch produzierende Industrieunternehmen, mit mehr als 50 Mitarbeitern und einem Jahresumsatz von mehr als 10 Mio. Euro, sofern sie zu einem in Anlage 1 oder 2 des BSIG genannten Sektoren / Branchen gehören.

Der Anwendungsbereich wurde damit gegenüber der bisherigen NIS-Richtlinie von 2015 deutlich erweitert.

Von besonderer Bedeutung ist NIS-2 für den Sektor „Verarbeitendes Gewerbe/Herstellung von Waren“ (Manufacturing). Er wird erstmals von den neuen Cybersicherheitspflichten erfasst. Viele Unternehmen, deren Geschäftsmodelle weder digital sind noch einen besonderen Bezug zu Daten haben, werden sich somit erstmals vertiefter mit Cybersicherheits-Compliance auseinandersetzen müssen.

Verschärfte Cybersicherheitspflichten nach dem BSIG

In Umsetzung der NIS-2 Richtlinie erweitert das BSIG den Anwendungsbereich der Cybersicherheitspflichten wesentlich. Im Vergleich zur NIS-Richtlinie enthält die NIS-2-Richtlinie außerdem einen deutlich umfassenderen Katalog von Cybersicherheitspflichten. Verstöße gegen Cybersicherheitspflichten sollen außerdem streng sanktioniert werden. Für Verstöße sind nach dem deutschen Umsetzungsgesetz (BSIG) Geldbußen von EUR 100.000 bis zu 10 Mio. vorgesehen. Zudem werden Registrierungs- und Meldepflichten im Fall eines Cybersicherheitsvorfalls für Unternehmen eingeführt.

Cybersicherheitsmaßnahmen und Risikomanagement

Nach § 30 Abs. 1 S. 1 BSIG sind sog. besonders wichtige und sog. wichtige Einrichtungen dazu verpflichtet, „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit informationstechnischer Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.“

Dabei sind das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten, die Wahrscheinlichkeit des Eintritts und Schwere von Sicherheitsvorfällen sowie deren Auswirkungen zu berücksichtigen, vgl. § 30 Abs. 1 S. 2 BSIG.

Die Pflichten für das Risikomanagement umfassen u.a. folgende Maßnahmen, die § 30 Abs. 2 BSIG als Mindestanforderungen nennt: 

• Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme
• Sicherheitsvorfall-Management
• Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall
• Krisenmanagement
• Gewährleistung der Sicherheit in der Lieferkette
• Schwachstellen-Management
• Risikomanagement im Bereich der Cybersicherheit
• Schulungen zur Cybersicherheit
• Konzepte und Verfahren für den Einsatz von Verschlüsselungstechniken
• Personalsicherheit: Zugriffskontrolle und Berechtigungsmanagement
• Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung
• gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme

Pflicht zur Registrierung und Meldung von erheblichen Sicherheitsvorfällen

Außerdem ist eine Registrierungspflicht eingeführt worden, vgl. § 33 BSIG. Das zuständige Bundesamt für Sicherheit in der Informationstechnik (BSI) sieht für Einrichtungen in Deutschland, die von der NIS-2-Richtlinie betroffen sind, einen zweistufigen Registrierungsprozess vor:

Zunächst sollten Unternehmen einen Account bei „Mein Unternehmenskonto“ (MUK) anlegen, um sich im zweiten Schritt mit dem MUK-Nutzerkonto bei einem für NIS-2 neu entwickelten BSI-Portal zu registrieren. Das BSI-Portal ist seit Januar 2026 freigeschaltet. Es dient u.a. als Meldestelle für erhebliche Sicherheitsvorfälle. Frist für die Erstregistrierung von Unternehmen beim BSI-Portal ist der 6. März 2026 bzw. drei Monate ab dem Zeitpunkt, ab dem ein Unternehmen in die Kategorie der wichtigen oder besonders wichtigen Einrichtung fällt.

Unternehmen, die in den Anwendungsbereich von NIS-2 fallen, ist daher zu empfehlen, sich bis spätestens zum 6. März 2026 über das BSI-Portal zu registrieren. Dies zum einen, um ihrer Verpflichtung zur Registrierung nachzukommen sowie zum anderen, um IT-Sicherheitsvorfälle binnen der vorgesehenen Fristen elektronisch melden zu können.

Verschärft worden sind auch die Pflichten zur Meldung von erheblichen Sicherheitsvorfällen, vgl. § 32 BSIG. Innerhalb von 24 Stunden (sog. frühe Erstmeldung) bzw. 72 Stunden (sog. Meldung) sind gestaffelt Meldungen über erhebliche Sicherheitsvorfälle zu machen. Nach spätestens einem Monat ist eine zusammenfassende Abschlussmeldung abzugeben. Damit ist ein erheblicher Verwaltungsaufwand für Unternehmen verbunden, da sie im Fall eines Cyberangriffs nicht nur Maßnahmen zur Aufrechterhaltung des Betriebs bzw. Wiederherstellung ihrer IT-Systeme betreiben, sondern über Art, Umfang und getroffene Maßnahmen gegenüber Behörden Bericht erstatten müssen.

Cybersicherheit als Compliance-Thema und Haftung der Geschäftsführung

Neu ist insbesondere die Überwachungspflicht der Geschäftsleitung nach § 38 BSIG. Vorstand bzw. Geschäftsführung müssen sicherstellen, dass im Unternehmen geeignete und verhältnismäßige technische und organisatorische Maßnahmen zur Minimierung von Cyberrisiken getroffen werden. Außerdem sind Unternehmen verpflichtet, Schulungen zur IT-Sicherheit für Leitungspersonen und andere Mitarbeiter anzubieten. 

Diese Pflichten können nicht vollständig delegiert werden. Es verbleibt stets eine Letztverantwortung auf der Leitungsebene. Verletzt die Geschäftsleitung diese Compliance-Pflichten, macht sie sich gegenüber dem Unternehmen schadensersatzpflichtig. 

Die Verletzung von Cybersicherheitspflichten stellt damit ein nicht unerhebliches Risiko für die Geschäftsleitung dar. Dieses Risiko könnte ggf. durch eine D&O-Versicherung abgesichert werden. Betroffene Unternehmen sollten bestehende Versicherungsverträge überprüfen. Außerdem empfiehlt es sich zu evaluieren, ob sich der Abschluss einer Cyberversicherung lohnt.

Nach § 91 Abs. 3 AktG ist die Einrichtung eines Risikomanagementsystems bereits Bestandteil der Pflichten des Vorstands einer Aktiengesellschaft und damit Teil allgemeiner Compliance-Pflichten der Geschäftsleitung von Unternehmen. Neu ist allerdings die Erweiterung auf Cybersicherheitspflichten.

Praxishinweis

Nachdem das NIS-2-Umsetzungsgesetz ohne Übergangsfristen in Kraft getreten ist, wird es höchste Zeit für betroffene Unternehmen zu handeln. Die folgende Zusammenfassung soll betroffenen Unternehmen einen (nicht abschließenden) Leitfaden zu den wichtigsten, vorrangig zu klärenden Punkten bieten, um die neuen Cybersicherheitspflichten umzusetzen.

Klärung der Anwendbarkeit von NIS-2 und Registrierungspflichten: Zunächst sollte geklärt werden, ob und inwieweit NIS-2 für das jeweilige Unternehmen anwendbar ist und ob Registrierungspflichten beim BSI bestehen. Dies ist jeweils im Einzelfall anhand des Produkt-/Leistungs-Portfolios eines Unternehmens zu bestimmen.

Bestandsaufnahme und Dokumentation: Bereits existente Cybersicherheitskonzepte sollten überprüft, Risiken evaluiert und die erforderliche Dokumentation wie Cybersicherheitskonzepte, Notfallpläne, etc. sollten gemeinsam mit technischen und rechtlichen Experten ausgearbeitet werden. 

Prävention von Cyberangriffen: Investitionen in Cybersicherheit zahlen sich aus, da sie ein wichtiger Beitrag zum Schutz des Know-how von Unternehmen vor Industriespionage und zur Minimierung des Risikos von hohen Betriebsausfallschäden im Fall eines Cyberangriffs sind. Prävention und rechtzeitige Vorbereitung machen hier den entscheidenden Unterschied.

Compliance und Haftung: Im Zeitalter der Industrie 4.0 und mit Blick auf die gesetzlichen Neuerungen sollte IT-Sicherheit im Unternehmen zur „Chefsache“ werden. EDV und IT-Sicherheit sind als Leitungsaufgaben in einem Unternehmen zu verstehen. Zwar bedeutet das nicht, dass Geschäftsführer und Vorstände IT-Experten sein müssen. Vielmehr sollten sie IT-Sicherheitsexperten zuziehen. Eine vollständige Delegation der Verantwortung ist jedoch nicht möglich, denn die Letztverantwortung trägt der Vorstand bzw. Geschäftsführer.

IT-Sicherheit in der Lieferkette: Selbst wenn ein Unternehmen nicht in den Anwendungsbereich von NIS-2 fällt, wird es früher oder später für seine Kunden die NIS-2 Anforderungen erfüllen müssen. Unternehmen werden damit konfrontiert werden, dass deren Kunden ihre Cybersicherheitspflichten an ihre Lieferanten weitergeben. 

Der faktische Anwendungsbereich von NIS-2 ist damit sogar noch weiter. Mittelbar sind zahlreiche Unternehmen betroffen, die an Unternehmen liefern, die die neuen Cybersicherheitsanforderungen nach NIS-2 erfüllen müssen. Dies gilt z.B. für Zulieferer der Medizintechnik- und Arzneimittelbranche, aber auch für die produzierende Industrie, die lediglich Teile zur Verwendung in der Automobilindustrie, diversen Bereichen des Maschinenbaus oder der Elektrotechnik herstellt.

De facto wird sich nahezu jedes Unternehmen früher oder später mit dem Thema IT-Sicherheit befassen müssen.

Dr. Birgit Münchbach

Einführung

Generative KI unterstützt nicht nur beim Schreiben von Texten und Erstellen von Bildern, sondern zunehmend auch bei der Programmierung von Software. Dies kann Auswirkung auf die urheberrechtliche Schutzfähigkeit von Software haben. Dies ist auch bei Unternehmenskäufen wichtig. Wo die Software weitgehend von KI entwickelt wurde, kann es an einer urheberrechtlichen Schutzfähigkeit fehlen, was sich auf die Werthaltigkeit des Zielunternehmens auswirkt. Dies ist im Rahmen der Due Diligence wie auch bei der Vertragsgestaltung zu beachten.

Rechtlicher Rahmen

Computerprogramme sind urheberrechtlich geschützt, wenn sie individuelle Werke in dem Sinne darstellen, dass sie das Ergebnis der eigenen geistigen Schöpfung ihres Urhebers sind. Nach diesem Grundsatz waren bislang Computerprogramme in der Regel urheberrechtlich geschützt. Seit generative KI auch in die Softwareentwicklung Einzug gehalten hat, stellt sich die Frage, wie sich dies auf die Schutzfähigkeit auswirkt. Im Kern wird eine Schutzfähigkeit eines Computerprogramms dann gegeben sein, wenn ein Mensch die KI nur als untergeordnetes Werkzeug einsetzt. Das wird der Fall sein, wenn beispielsweise KI die zu entwickelnde Software testet und Inkonsistenzen aufdeckt. Werden dagegen relevante Teile des Codes von der KI generiert, wird ihnen in vielen Fällen die Schutzfähigkeit fehlen. Die genauen Abgrenzungen unterliegen derzeit noch weiterer Entwicklung. Dennoch sollte man nicht voreilig insgesamt von einem Graubereich sprechen. Die Grundsätze sind bereits relativ klar, das konkrete Ergebnis ist gleichwohl stark vom Sachverhalt im Einzelfall abhängig.

All dies gilt unabhängig davon, ob der KI-Anbieter dem Nutzer (sprich Softwareentwickler) alle Rechte an den Arbeitsergebnissen der KI einräumt. Wenn schon kein Urheberrecht entsteht, weil der menschliche Anteil zu gering ist, kann auch kein Urheberrecht übertragen werden.

Auswirkungen auf die Due Diligence

Heutzutage werden Softwareentwickler kaum gänzlich auf den Einsatz von KI bei der Entwicklung verzichten. Die Frage ist daher weniger, ob KI eingesetzt wird, sondern vielmehr wie sie eingesetzt wird. Und diese Frage sollte auch im Rahmen der Due Diligence gestellt werden. Offenzulegende interne Richtlinien und Dokumentation zu Mitarbeiterschulungen zum Einsatz von KI können Aufschluss geben, ebenso einschlägige Lizenzverträge. Darüber hinaus ist auch zu dezidierten Experten-Calls zu raten, um die tatsächliche Nutzung möglichst genau nachprüfen zu können. Bei einer nur oberflächlichen Due Diligence könnten Risiken übersehen werden; soll im Rahmen der Transaktion eine W&I Versicherung abgeschlossen werden, könnte die dazugehörige Police den Scope der Garantie insoweit streichen oder kürzen, wenn in der Due Diligence Lücken festgestellt wurden. 

Auswirkungen auf die Vertragsdokumente

Neben allgemeinen Garantien zur Inhaberschaft aller relevanten geistigen Eigentumsrechte (IP) bieten sich eigene Garantien in Bezug auf den Einsatz von KI an, zu denen dann ggf. Anlagen mit spezifischer Beschreibung bzw. Offenlegung gefertigt werden. Bei einer zu generischen Garantieklausel bestünde das Risiko, dass in Falle einer (vermeintlichen) Garantieverletzung rechtliche Unklarheit darüber entsteht, ob der bestimmte Fall unter die Garantie fällt oder nicht. 

Weitere Rechtsfragen: Rechte Dritter, AI Act, Scraping und Datenlizenzen, Internationale Aspekte

Eine von den vorstehenden Überlegungen zu trennende, gleichwohl benachbarte Frage ist, ob etwaiger KI-generierter Code Rechte Dritter verletzt. Das könnte beispielsweise dann der Fall sein, wenn die KI den fremden Code – mit dem sie trainiert wurde – weitgehend reproduziert. Das Risiko kann mit einem Software-Scan reduziert, aber nicht ganz ausgeschlossen werden; andererseits besteht das Risiko der Übernahme fremden Codes auch beim Einsatz menschlicher Programmierer. Ein größeres Risiko dürfte dagegen bestehen, wenn visuelle Inhalte KI-generiert werden. Dies ist aber nicht Gegenstand des vorliegenden Beitrages.

Wenn die fragliche Softwarelösung als Bestandteil der Zielgesellschaft oder als zu übergehendes Asset selbst KI darstellt, sollte nicht nur der AI Act im Blick behalten werden, sondern auch die Herkunft der Datensätze, mit denen sie trainiert wurde. Wenn diese auf Web-Scraping (automatisiertes Auslesen von Daten auf Websites mithilfe von Software-Bots oder Skripten) zurückgehen, können sich urheberrechtliche und datenschutzrechtliche Fragen stellen. Auch der Erwerb einer Lizenz von einem kommerziellen Anbieter nützt nur dann, wenn dieser wiederum selbst alle notwendigen Rechte hat; ein Blick auf die Lizenzbestimmungen ist in jedem Fall angezeigt (beispielsweise in Bezug auf Grenzen der Nutzung durch den Lizenznehmer).

Bei grenzüberschreitenden Unternehmenskäufen, insbesondere wenn die Zielgesellschaft international oder gar global tätig ist, verstärken sich die urheberrechtlichen Herausforderungen im Zusammenhang mit KI-generierter Software. Urheberrecht ist grundsätzlich nationales Recht, wenngleich sich die Voraussetzungen für die Entstehung von urheberrechtlichem Schutz in den meisten Ländern ähneln und damit auch die Grundsätze für die hier relevanten Rechtsfragen. Dennoch ist die Entwicklung auch auf internationaler Ebene noch im Fluss, und ein chinesisches Gericht mag die hier aufgeworfenen Rechtsfragen anders entscheiden als ein amerikanisches. Die Garantieerklärungen der Transaktionsdokumente sollten zudem flexible Formulierungen enthalten, die den unterschiedlichen rechtlichen Rahmenbedingungen in den betroffenen Jurisdiktionen Rechnung tragen. 

Fazit und Handlungsempfehlung

Wenn KI bei der Erstellung von Software nicht nur als untergeordnetes Tool eingesetzt wird, kann es an der Schutzfähigkeit der Software fehlen. Der Prozess der Softwareentwicklung sollte daher im Rahmen der Due Diligence hinterfragt werden. Die Findings werden sich beim Unternehmenskauf in der Vertragsdokumentation widerspiegeln müssen. Auch weitere Folgefragen wie Rechte Dritter, AI Act, Scraping und Datenlizenzen sowie internationale Aspekte sind zu beachten. 

Dr. Andreas Lober
Tassilo Klesen

Bosys ist ein spezialisierter Anbieter von Software- und Beratungsleistungen für die Touristikbranche. Das Unternehmen verfügt über langjährige Erfahrung in der Konzeption, Implementierung und Weiterentwicklung komplexer IT- und Abrechnungssysteme für Reisevermittler. Die Lösungen und Beratungsleistungen von Bosys kommen in anspruchsvollen Systemlandschaften großer touristischer Unternehmensgruppen zum Einsatz, wie sie unter anderem bei Marktführern wie TUI und DERTOUR anzutreffen sind. In diesem Umfeld ist Bosys auch in Projekten mit Gesellschaften wie der Travel – Basys GmbH & Co. KG tätig gewesen. Das Unternehmen ist darüber hinaus für zahlreiche Vertriebsorganisationen tätig, darunter die Kooperation RTK. Die Bosys-Plattformen unterstützen Vertriebs-, Buchhaltungs-, Reporting- und Betriebsprozesse von Reisebüros. Mehr als 3000 Agenturen in Deutschland und Österreich nutzen die Systeme von Bosys.

Travelsoft zählt zu den führenden europäischen Anbietern von Softwarelösungen für Reiseveranstalter und touristische Vertriebssysteme. Die Gruppe entwickelt zentrale Plattformen für Produktions-, Buchungs- und Abrechnungsprozesse und ist in mehreren europäischen Märkten technologischer Partner namhafter Reiseunternehmen. Mit der Akquisition von Bosys stärkt Travelsoft ihre Position im deutschsprachigen Raum und erweitert ihr Leistungsportfolio um zusätzliche Beratungs- und Implementierungskompetenz.

Das ADVANT Beiten-Team unterstütze die Gesellschafter von Bosys unter der Leitung des federführenden Partners Prof. Dr. Hans-Josef Vogel während sämtlicher Phasen der Transaktion, insbesondere bei der Strukturierung des Verkaufsprozesses, der Verhandlungsführung sowie der Ausarbeitung und Umsetzung der maßgeblichen Vertragsdokumentation. Die Beratung erfolgte in enger Abstimmung mit dem Berater und Branchenexperten Gunther Holzschuh, Holzschuh Consult mit Sitz in Kreuth.

Mit dem Zukauf stärkt Travelsoft die Präsenz im deutschen und österreichischen Reisemarkt und erweitert die Kompetenzen der Gruppe im Bereich CRM-, 
Midoffice- und Backoffice-Lösungen für Reisebüros, Vertriebsorganisationen und touristische Callcenter. Die Verschmelzung beider Unternehmen unterstreicht die fortschreitende Konsolidierung im Markt für touristische Software- und Beratungsleistungen sowie die strategische Bedeutung tiefgehender Branchen- und Systemkenntnis im Umfeld großer Reiseveranstalter. Für Bosys-Kunden bedeutet die Übernahme langfristige Produktkontinuität, eine verbesserte technische Anbindung an führende Reiseplattformen sowie die Unterstützung durch eine international aufgestellte Gruppe mit entsprechender Investitionskapazität.

Berater Gesellschafter Bosys GmbH: 

ADVANT Beiten: Prof. Dr. Hans-Josef Vogel (Federführung), Nico Frielinghaus, Dr. Martin Rappert, Sarah Peters, Simon Litterst (alle Corporate/M&A), Mathias Zimmer-Goertz, Christian Döpke (beide IP/IT), Marcus Mische, Markus Linnartz (beide Steuern), Dr. Andreas Imping, Anna Kubitz (beide Arbeitsrecht, alle Düsseldorf).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Der Elisabeth Vinzenz Verbund zählt zu den größten katholischen Trägern von Krankenhäusern, Pflegeheimen und Ausbildungsstätten in Deutschland. Er betreibt als Holdinggesellschaft elf Krankenhäuser mit mehr als 3.500 Klinikbetten. Seine knapp 10.000 Mitarbeiter erwirtschaften einen Jahresumsatz von rund EUR 1,1 Mrd.

Das Martha-Maria Krankenhaus Halle-Dölau ist ein Krankenhaus der Schwerpunktversorgung und verfügt über 510 Betten mit rund 1.200 Mitarbeitern. Die Einrichtung unterhält elf Fachabteilungen und mehrere medizinische Versorgungszentren. Damit erzielt das Unternehmen einen Jahresumsatz von über EUR 150 Mio.

Mit der Übernahme wollen die Beteiligten den Gesundheitsmarkt in Halle durch am Patienten orientierte Spitzenmedizin in verschiedenen Medizinzentren stärken. Die rund 30 medizinischen Fachbereiche der Standorte des Martha-Maria Krankenhauses Halle-Dölau und des Krankenhauses St. Elisabeth und St. Barbara werden standortübergreifend schrittweise gebündelt.

Das Healthcare-Team von ADVANT Beiten berät den Elisabeth Vinzenz Verbund regelmäßig zu M&A- und anderen Projekten.

Berater Elisabeth Vinzenz Verbund:

ADVANT Beiten: Dr. Karl-Dieter Müller (Federführung), Robert Schmid, Dr. Silke Dulle, Benjamin Knorr (alle Corporate/M&A, Healthcare, Berlin), Christoph Heinrich (München), Uwe Wellmann (beide Kartellrecht, Berlin), Helmut König (Tax, Düsseldorf), Anja Fischer (Real Estate, München), Wolf Reuter (Arbeitsrecht, Berlin), Dr. Sebastian Kroll, Dr. Mark Zimmer, Virginia Mäurer (alle Arbeitsrecht, München), Susanne Klein, Jason Komninos, Mirjam Kaiser (alle Datenschutz / IT, Frankfurt).

Inhouse: Norman Langhoff

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Karl-Dieter Müller
Rechtsanwalt Steuerberater
ADVANT Beiten
+49 (30) 26471-262
Karl-Dieter.Mueller@advant-beiten.com

DFT ist ein etablierter Anbieter innovativer Lösungen im Bereich Sterilisation, Pasteurisation und weiterer thermischer Prozesse für die Lebensmittel- und Getränkeindustrie. Mit der Übernahme von DFT setzt ProMach seine Wachstumsstrategie in Europa fort.

Die internationale Zusammenarbeit innerhalb der ADVANT-Allianz spielte bei dieser Transaktion eine zentrale Rolle: Unsere italienischen Allianz-Partner ADVANT Nctm beraten ProMach bereits seit vielen Jahren in Italien.
ADVANT Beiten kam in enger Abstimmung mit der US-Kanzlei Thompson Hine in das Mandat, die ProMach in den Vereinigten Staaten regelmäßig juristisch berät.

Berater ProMach:
ADVANT Beiten: Prof. Dr. Hans-Josef Vogel (Düsseldorf), Roy Naor (Frankfurt, beide Corporate/M&A, Federführung), Dr. Andreas Imping, Anna Kubitz (beide Arbeitsrecht), Mathias Zimmer-Goertz, Christian Döpke (beide IP/IT), Sarah Peters, Simon Litterst (beide Corporate/M&A, alle Düsseldorf), Christopher Harten (Konfliktlösung, Hamburg), Marcus Mische, Markus Linnartz (beide Steuern), Thomas Herten (Real Estate, alle Düsseldorf), Katrin Lüdtke (Public Sector, München).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Das interdisziplinäre Team von ADVANT Beiten hat Zoot während des gesamten Akquisitionsprozesses begleitet – von der rechtlichen und steuerlichen Due Diligence über die Strukturierung und Verhandlung der Transaktionsverträge bis hin zum erfolgreichen Vollzug.

Zoot Sports wurde 1983 in Kona, Hawaii, gegründet – dem Ursprungsort des Ironman-Triathlons. Das Unternehmen ist auf innovative Bekleidung, Schuhe und Ausrüstung für Triathleten und Ausdauersportler spezialisiert und gilt weltweit als eine der führenden Marken in diesem Segment. Zoot steht für technische Präzision, hohe Qualität und Athletenorientierung und vertreibt seine Produkte in über 25 Ländern. Seit 2023 gehört Zoot zur MVC Group, einem internationalen Sportartikelunternehmen mit Sitz in Italien.

Tailwind Brands ist ein in Bönen, ansässiges Unternehmen, das sich auf den Vertrieb und das Markenmanagement von Premium-Sport- und Lifestylemarken spezialisiert hat. Das Unternehmen verfügt über ein etabliertes Vertriebsnetz in der DACH-Region sowie langjährige Partnerschaften mit führenden Sportfachhändlern und Online-Plattformen. Tailwind Brands hat sich einen Namen als kompetenter Partner für den Auf- und Ausbau internationaler Marken im europäischen Markt gemacht.

Mit der Übernahme von Tailwind Brands schafft Zoot Sports die Grundlage für eine beschleunigte Expansion in Europa. Die Verbindung von Zoots internationaler Markenstärke mit der regionalen Markt- und Vertriebskompetenz von Tailwind Brands bietet erhebliche Wachstumspotenziale in den kommenden Jahren.

Berater Zoot Sports: 
ADVANT Beiten: Dr. Markus Ley (Corporate/M&A, München), Dr. Erik Schmid, Virginia Mäurer (beide Arbeitsrecht, München), Susanne Klein, Jason Komninos (beide IP/IT, Frankfurt), Markus Linnartz (Steuern, Düsseldorf), Petra Fendt (Bank- und Finanzrecht, München), Anja Fischer (Real Estate, München).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

iTernity wurde 2004 gegründet, hat seinen Hauptsitz in Freiburg und entwickelt softwaredefinierte Speicherlösungen für Archivierung und Backups, die langfristigen Datenschutz und die Einhaltung gesetzlicher Vorschriften gewährleisten. Die Flaggschiffprodukte iCAS und iCAS FS werden von über 1.400 internationalen Kunden aus den Bereichen Gesundheitswesen, Automobilindustrie, öffentlicher Sektor, Pharmaindustrie und Industrie eingesetzt. Das partnerorientierte Vertriebsmodell und die skalierbare Softwarearchitektur des Unternehmens haben zu einem starken Wachstum und einer hohen Kundenbindung beigetragen. 

Durch die Übernahme erweitert iTernity sein Know-how im stark regulierten Pharmabereich und behält gleichzeitig seinen breiten Fokus als branchenunabhängiger Anbieter von Datenmanagementlösungen bei.

Berater Gesellschafter der iTernity GmbH:

ADVANT Beiten: Dr. Barbara Mayer, Christian Burmeister (beide Federführung), Damien Heinrich, Julius Bauer (alle Corporate/M&A, Freiburg), Heiko Wunderlich und Fabian Moser (beide Steuerrecht, München).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Dominik Moser ist spezialisiert auf nationale und internationale Unternehmenstransaktionen, insbesondere in den Bereichen M&A, Private Equity, Joint Ventures und Venture Capital mit einem besonderen Schwerpunkt auf den Branchen IT, Technologie, Biotechnologie und Pharmazie. Darüber hinaus verfügt er über umfassende  Erfahrung im Bereich von Search-Funds-Transaktionen. Außerdem berät Dominik Moser regelmäßig zu allgemeinem Gesellschaftsrecht (insbesondere GmbH- und Aktienrecht), Corporate Governance, Compliance sowie nationalen und internationalen Transformationsprozessen. Neben seiner juristischen Ausbildung in Deutschland, Spanien, England (Oxford) und Singapur hat er auch einen Abschluss in Betriebswirtschaftslehre.

"Der Bereich Corporate/M&A, insbesondere mit dem Schwerpunkt Private Equity, ist ein zentraler Wachstumsbereich für unsere Kanzlei. Mit Dominik Moser gewinnen wir nicht nur einen herausragenden Juristen, sondern auch eine starke Unternehmerpersönlichkeit. Seine fundierte Branchenkenntnis und sein strategischer Weitblick ergänzen unsere Partnerschaft hervorragend,“ sagt Dr. Guido Krüger, Managing Partner von ADVANT Beiten.

Erst Anfang September hatte ADVANT Beiten ihre Visibilität auf dem europäischen Markt und ihre Beratungstätigkeit für grenzüberschreitende Transaktionen ausgebaut und mit Sebastian Diehl einen neuen Standort in London eröffnet. Der Zugang von Dominik Moser ist ein weiterer Schritt in der konsequenten Umsetzung der Wachstumsstrategie von ADVANT Beiten, nämlich gezielt in zukunftsorientierte Beratungsfelder zu investieren und die Partnerschaft durch ausgewiesene Marktpersönlichkeiten zu stärken.

Dominik Moser zu seinem Wechsel: "Ich freue mich darauf, den Bereich M&A, vor allem mit Fokus auf Private Equity und Search-Funds-Transaktionen, weiter auszubauen und gemeinsam mit meinen Kolleginnen und Kollegen das internationale Beratungsangebot von ADVANT Beiten zu vertiefen. Das exzellente fachliche Umfeld und die breite Expertise bieten aus meiner Sicht für diese Ziele eine ideale Ausgangsposition."

Pressekontakt

Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Die Veräußerung war das Ergebnis eines während des vorläufigen Insolvenzverfahrens eingeleiteten internationalen Bieterverfahrens, welches ein ADVANT Beiten-Team aus den Bereichen Insolvenzrecht, IP und Kartellrecht umfassend begleitet hat. Die Insolvenzverwalterin hatte für die Vermögensgegenstände insgesamt 12 wirksame Gebote erhalten, von welchen am 29. August 2025 von drei Bietern endverhandelte Verträge vorlagen. 

Den Zuschlag hat die Euro Comfort Gruppe erhalten; über den Kaufpreis haben die Parteien Stillschweigen vereinbart. Der Verkaufsvertrag wurde nach Insolvenzeröffnung am 1. September 2025 unterschrieben. Die Mitarbeiter der Aquinos Bedding Germany GmbH wurden in einer Mitarbeiterinformationsveranstaltung noch am gleichen Tage informiert.

Seit dem Jahr 2022 gehört die Marke Schlaraffia zur Aquinos Bedding Germany GmbH, einem Tochterunternehmen der portugiesischen Aquinos-Gruppe. Hintergrund der Insolvenz der Aquinos Bedding Germany GmbH ist vornehmlich die finanzielle Schieflage ihrer Schwestergesellschaften in Polen, Belgien, Niederlande und Rumänien, die als Zulieferer agierten und selbst in Lieferschwierigkeiten geraten waren. 

Die Euro Comfort Gruppe gehört zu den größten Produzenten Europas auf dem Gebiet der Bettausstattung und Polsterelemente, welche an zehn Produktionsstandorten mit 4.595 Mitarbeitenden innovative Produkte und Lösungen rund um entspannten Sitz- und Liegekomfort entwickelt, produziert und vertreibt. Zur Unternehmensgruppe von Eigentümer Thomas Bußkamp gehören unter anderem die Unternehmen Badenia Bettcomfort, Lück, Brinkhaus, Abeil und Euroline sowie die bekannten Marken Irisette, Brinkhaus und Ewald Schillig.

ADVANT Beiten wird die Insolvenzverwalterin auch weiterhin im Rahmen der Umsetzung des Kaufvertrages und der Überprüfung von Haftungs- und Anfechtungsansprüchen beraten.

Berater Frauke Heier als Insolvenzverwalterin der Aquinos Bedding Germany GmbH:

ADVANT Beiten: Frank Primozic (Federführung), Dr. Moritz Handrup, Yekta Dündar (alle Frankfurt am Main, Insolvenzrecht), Christoph Heinrich (München), Uwe Wellmann (Berlin, beide Kartellrecht), Mathias Zimmer-Goertz (Düsseldorf, IP-Recht).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Yancoal International Holding Co., Ltd. erwirbt im Rahmen der Transaktion 51 Prozent der Anteile an der CFH GmbH. Über das Transaktionsvolumen haben die Parteien Stillschweigen vereinbart.

Die weltweit tätige CFH-Unternehmensgruppe bündelt unter ihrem Dach eine Reihe von Tochter- und Beteiligungsunternehmen, alle spezialisiert auf Ingenieurleistungen, die rund um das Thema Luft am Arbeitsplatz innovative Lösungen ermöglichen. 

Yancoal International Holding Co., Ltd bringt umfassende Erfahrung in globaler Ressourcenallokation und industrieller Zusammenarbeit mit. Die Beteiligung von Yancoal International Holding Co., Ltd. stellt einen wichtigen Meilenstein in der internationalen Wachstumsstrategie der CFH-Unternehmensgruppe dar. Die Partnerschaft eröffnet neue Möglichkeiten für technologische Innovation, globale Marktpräsenz und nachhaltige Entwicklung. Gemeinsam werden neue Standards in der Entwicklung intelligenter Lüftungs- und Umwelttechnologien gesetzt - insbesondere für Anwendungen in Bergbau, Tunnelbau und Industrie. 

Das internationale Team von ADVANT Beiten unter der Federführung von Dr. Martin Rappert (Düsseldorf) und Susanne Rademacher (Beijing) berät Unternehmen regelmäßig zu Investitionen und Geschäftsaktivitäten in Europa und der Volksrepublik China.

Berater CFH GmbH: 
ADVANT Beiten: Dr. Martin Rappert, Nico Frielinghaus, Prof. Dr. Hans-Josef Vogel, Dr. Winfried Richardt, Sarah Heinrichs, Simon Litterst (alle Düsseldorf), Susanne Rademacher (Beijing, alle Corporate/M&A), Christian Döpke, Mathias Zimmer-Goertz (Datenschutz/IP, Düsseldorf), Christoph Heinrich (Kartellrecht, München), Dr. Christian von Wistinghausen (Außenwirtschaftsrecht, Berlin), Thomas Herten (Real Estate, Düsseldorf), Vasily Ermolin (Sanktionen, Moskau).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Beim Vertrieb von Finanz- und Versicherungsprodukten kooperieren apoBank und die AXA-Versicherungsgruppe bereits seit über 25 Jahren. Die Vertriebsaktivitäten ihrer mobilen Vertriebsgesellschaften apoFinanz und Deutsche Ärzte Finanz wollen beide Häuser nun stärker bündeln. 

Im Rahmen der Neugestaltung wird die apoFinanz mit der Deutsche Ärzte Finanz verschmolzen. Gleichzeitig erwirbt die apoBank zusätzliche Anteile an der Deutsche Ärzte Finanz. Mit dem Zusammenschluss entsteht der größte Finanzvertrieb für akademische Heilberufe in Deutschland. Die neue Gesellschaft wird mit rund 500 selbständigen Finanzberaterinnen und Finanzberatern gemeinsam über 320.000 Kundinnen und Kunden betreuen. Der Zusammenschluss wird im August 2025 vollzogen. Ein standortübergreifendes Team von ADVANT Beiten berät die apoBank dabei rechtlich umfassend.

Die apoBank ist mit mehr als einer halben Million Kunden und einer Bilanzsumme von rund 52 Mrd. EUR die größte genossenschaftliche Primärbank Deutschlands und die Nummer eins unter den Finanzdienstleistern im Gesundheitswesen. Ihre Kunden sind vor allem Angehörige der Heilberufe, ihre Standesorganisationen und Berufsverbände, Einrichtungen der Gesundheitsversorgung und Unternehmen im Gesundheitsmarkt.

Mit der Neuaufstellung ihrer gemeinsamen Vertriebstöchter wollen die Partner die Stärken der Gesellschaften bündeln und die Synergien für zusätzliches Wachstum nutzen. 

Berater apoBank: 

ADVANT Beiten: Heinrich Meyer, Rainer Süßmann (beide Federführung, Banking/Finance, Frankfurt), Dr. Christian Ulrich Wolf, Maren Dedert (beide Corporate/M&A, Hamburg), Christoph Heinrich, Prof. Dr. Christian Heinichen (beide Kartellrecht, München), Oliver Korte, Christopher D. Harten (beide Commercial, Hamburg), Dr. Thomas Drosdeck, Dr. Gerald Müller-Machwirth (beide Arbeitsrecht), Susanne Klein, Lennart Kriebel und Daniel Trunk (alle IT-/Datenschutzrecht, alle Frankfurt)

Berater AXA: Hengeler Mueller

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Heinrich Meyer
Rechtsanwalt 
ADVANT Beiten
Tel.: +49 69 756095-414
heinrich.meyer@advant-beiten.com

Cyber Resilience Act (CRA): Einheitliche Sicherheitsstandards für Produkte mit digitalen Elementen

Mit dem Cyber Resilience Act (CRA) schafft die Europäische Union ein umfassendes und verbindliches Regelwerk zur Stärkung der Cybersicherheit von Produkten mit digitalen Elementen. Ziel der Verordnung ist es, einheitliche Cybersicherheitsstandards für den europäischen Binnenmarkt zu etablieren und dadurch das Risiko von Cyberangriffen signifikant zu reduzieren. Gleichzeitig soll das Vertrauen von Verbrauchern und Unternehmen in digitale Technologien gestärkt werden.

Der CRA verpflichtet Hersteller, Importeure und Händler dazu, während des gesamten Produktlebenszyklus – von der Konzeption und Entwicklung über die Herstellung und das Inverkehrbringen bis hin zur kontinuierlichen Wartung und Aktualisierung – Cybersicherheitsanforderungen zu erfüllen. Dadurch soll gewährleistet werden, dass Produkte nicht nur sicher sind, wenn sie auf den Markt gebracht werden, sondern über ihre gesamte Lebensdauer hinweg aktuellen Sicherheitsanforderungen entsprechen.

Für welche Produkte gilt der CRA?

Die Verordnung erfasst grundsätzlich alle Produkte mit digitalen Elementen, die im Gebiet der Europäischen Union hergestellt, importiert oder vertrieben werden. Produkte mit digitalen Elementen sind sowohl Software- als auch Hardwareprodukte und deren Datenfernverarbeitungslösungen, sowie Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden. Dazu zählen insbesondere Produkte, die zur Verarbeitung, Speicherung oder Übertragung von Daten fähig sind – beispielsweise Smart-Home-Geräte, vernetzte Haushaltsgeräte, mobile Endgeräte sowie andere internetfähige Produkte. Auch Softwareprodukte wie Firmware, Betriebssysteme und Anwendungen fallen in den Anwendungsbereich. 

Ausgenommen vom Anwendungsbereich sind hingegen Produkte, die unter bereits bestehende, sektorspezifische EU-Vorschriften mit gleichwertigen Cybersicherheitsanforderungen fallen – etwa Medizinprodukte gemäß der Medizinprodukteverordnung oder bestimmte Ersatzteile, die exakt nach den Spezifikationen der zu ersetzenden Teile gefertigt werden müssen und daher keine zusätzlichen Cybersicherheitsrisiken mit sich bringen. 

Zeitplan: Gestuftes Inkrafttreten des CRA und Übergangsfristen

Der CRA ist bereits am 10. Dezember 2024 in Kraft getreten. Die Umsetzung der Verordnung erfolgt in mehreren Stufen. Bereits ab dem 11. Juni 2026 sollen Konformitätsbewertungsstellen die Erfüllung der Anforderungen des CRA an Produkte mit digitalen Elementen bewerten. Ab dem 11. September 2026 bestehen Meldepflichten für Schwachstellen und Sicherheitsvorfälle. Ab dem 11. Dezember 2027 endet die Übergangsfrist vollständig, sodass die neuen Cybersicherheitsanforderungen an Produkte mit digitalen Elementen ab diesem Zeitpunkt verbindlich gelten. Dies gilt für ab dem 11. Dezember 2027 neu auf den Markt gebrachte Produkte sowie für bereits zuvor in Verkehr gebrachte Produkte, an denen wesentliche Änderungen vorgenommen wurden.

Für wen gelten die Pflichten nach dem CRA?

Der CRA verpflichtet nicht nur Hersteller, sondern sämtliche Akteure entlang der Wertschöpfungskette eines Produkts – darunter Importeure, Händler und Bevollmächtigte – zur Einhaltung der Cybersicherheitsanforderungen. Auch Unternehmen, die digitale Produkte verwalten, bereitstellen oder wesentlich verändern, werden von den Pflichten der Verordnung erfasst. Das gilt ausdrücklich auch für Entwickler oder Betreiber quelloffener Software, sofern diese ihre Produkte unter marktüblichen Bedingungen anbieten (Art. 3 Nr. 12 CRA).

Eine zentrale Neuerung liegt in der rechtlichen Erweiterung der sogenannten Herstellereigenschaft. Nach Art. 22 CRA gilt jede natürliche oder juristische Person als Hersteller, die ein Produkt mit digitalen Elementen wesentlich verändert und erneut in Verkehr bringt – und zwar unabhängig davon, ob sie zuvor als Händler oder Importeur gehandelt hat. Die Verordnung folgt damit der Systematik des europäischen Produktsicherheitsrechts, wonach das Inverkehrbringen eines Produkts maßgebliches Kriterium ist.

Für rein softwarebasierte Produkte wird der Begriff des Inverkehrbringens nicht an eine physische Übergabe gekoppelt. Maßgeblich ist in diesen Fällen der Moment, in dem die Software zum Download bereitgestellt, der Zugangscode übermittelt oder die Freischaltung für Nutzer technisch ermöglicht wird.

1. Pflichten für Hersteller

In erster Linie richten sich die Cybersicherheitsvorgaben des CRA an Hersteller. Die zentrale Botschaft lautet: Wer digitale Produkte auf den Markt bringt, muss dafür sorgen, dass sie sicher sind – und zwar nicht nur, wenn er sie selbst hergestellt bzw. programmiert hat. Das gilt auch für Software-Komponenten, die von Dritten stammen. Nach Art. 13 Abs. 5 CRA müssen Hersteller mit „gebotener Sorgfalt“ sicherstellen, dass diese Teile die Sicherheit des Produkts nicht gefährden. Open-Source-Software (OSS) fällt ebenfalls in den Anwendungsbereich des CRA. Dies gilt auch, wenn OSS kostenlos im Netz verfügbar ist und nicht von Unternehmen, sondern von Einzelpersonen angeboten wird. 

IT-Sicherheit über den gesamten Produkt-Lebenszyklus 

Hersteller von Produkten müssen zahlreiche Vorgaben erfüllen, um die Sicherheit ihrer Produkte während des gesamten Lebenszyklus zu gewährleisten. 

Die Cybersicherheit eines Produkts muss während des gesamten sog. „Life Cycle“ eines Produkts, d.h. von der Entwicklung bis zum Ende der Nutzungsdauer gewährleistet werden. Dies bedeutet für Software insbesondere die Schaffung einer sicheren Architektur, die Verwendung sicherer Standardkonfigurationen sowie die regelmäßige Bereitstellung von Sicherheitsaktualisierungen. Falls noch nicht implementiert, sind entsprechende Prozesse zur kontinuierlichen Sicherstellung der Produktintegrität einzurichten.

Meldepflichten

Hersteller werden verpflichtet, Schwachstellen und schwerwiegende Sicherheitsvorfälle aller Produkte zu melden. Die Meldung muss an das zuständige Computer Security Incident Response Team (CSIRT) sowie an die Europäische Agentur für Cybersicherheit (ENISA) erfolgen. Dabei sind festgelegte Fristen einzuhalten: Ereignisse (sog. Incidents) müssen innerhalb von 24 Stunden nach Bekanntwerden gemeldet werden, anschließend werden weitere relevante Informationen bereitgestellt.

Konformitätsbewertungen

Bevor ein Produkt auf den Markt kommt, muss geprüft werden, ob es den Anforderungen des Cyber Resilience Act entspricht. Diese sog. Konformitätsbewertung ist verpflichtend und hängt davon ab, wie das Produkt im Rahmen des CRA eingestuft wird. Je nachdem, wie sicherheitskritisch es ist, gelten unterschiedlich strenge Vorgaben. Wird das Produkt erfolgreich bewertet, erhält es das CE-Kennzeichen – ein offizieller Nachweis dafür, dass es die nötigen Standards erfüllt.

Management von Schwachstellen und Sicherheitsupdates

Schwachstellen im Produkt müssen in einem Zeitraum von mindestens fünf Jahren nach Entdeckung behoben werden. Diese Behebung erfolgt in Form von Sicherheitsupdates und muss in der Regel kostenfrei sein. Dieser Zeitraum entspricht mindestens der voraussichtlichen Nutzungsdauer des Produkts.

Dokumentationspflichten

Der Hersteller ist verpflichtet, die Einhaltung der Sicherheitsanforderungen für das Produkt zu dokumentieren. Diese Dokumentation muss während des gesamten Lebenszyklus des Produkts gepflegt und auf dem neuesten Stand gehalten werden. Sie muss den Mindestanforderungen des CRA entsprechen und jederzeit nachvollziehbar sein.

2. Pflichten für Importeure

Ähnlich wie der Hersteller darf der Importeur sein Produkt erst einführen, wenn die Anforderungen des CRA nach Art. 19 Abs. 1 CRA erfüllt sind. Der Importeur muss sicherstellen und nachweisen können, dass die Pflichten des Herstellers bereits erfüllt worden sind. Zudem ist er verpflichtet, seine Kontaktdaten auf dem Produkt (wenn dies nicht möglich ist, auf der Verpackung oder der beigefügten Dokumentation) anzugeben. Bei Sicherheitsmängeln müssen sowohl der Hersteller als auch die zuständigen Behörden informiert werden. Auch der Nutzer ist bei Bekanntwerden von Sicherheitsmängeln zu informieren.

3. Pflichten für Händler

Der Händler hat auf den ersten Blick weniger Pflichten als der Hersteller und Importeur. Er muss lediglich überprüfen, ob CE-Nummer, Konformitätserklärung, Enddatum des Unterstützungszeitraums und die Kontaktdaten des Herstellers und Importeurs vorliegen. Stellt der Händler fest, dass das Produkt CRA-konform ist, darf er dieses auf den Markt bringen. Ist dies nicht der Fall, muss auch der Händler Maßnahmen ergreifen, um vorhandene Sicherheitslücken zu bekämpfen. Er ist beispielsweise verpflichtet, das Produkt vom Markt zu nehmen und die zuständigen Behörden zu informieren.

Sanktionen bei Verstößen gegen den CRA

Wer als Hersteller, Importeur oder Händler gegen die neuen Cybersicherheitsvorgaben nach dem CRA verstößt, muss grundsätzlich mit Konsequenzen rechnen. Nach Art. 64 Abs. 3 können Geldbußen von bis zu EUR 10 Mio. oder von bis zu 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres eines Unternehmens verhängt werden, je nachdem, welcher Betrag höher ist. Bei Verstößen gegen die Herstellerpflichten drohen Sanktionen bis zu EUR 15 Mio. oder 2,5 % des gesamten weltweiten Jahresumsatzes. Dazu können weitere einschränkende Maßnahmen kommen. Ausnahmen gibt es nach Art. 64 Abs. 10 für Kleinst- und Kleinunternehmen und Verwalter quelloffener Software. Das im Einzelfall verhängte Bußgeld wird sich zwar immer an dem konkreten Verstoß, dessen Ausmaß und auch an dem Grad des Verschuldens des betroffenen Akteurs orientieren, d.h. es muss verhältnismäßig sein. Dennoch sollten Unternehmen diese Möglichkeit von Sanktionen nicht auf die leichte Schulter nehmen. Wie im Datenschutzrecht gilt auch im Rahmen des CRA: Eine gute Dokumentation der getroffenen Cybersicherheitsmaßnahmen hilft im Falle eines Verstoßes dabei nachzuweisen, dass ein Unternehmen seinen Pflichten nachgekommen ist.

Handlungsbedarf für Unternehmen: Was ist jetzt zu tun?

Unternehmen, die Produkte mit digitalen Elementen herstellen, importieren oder vertreiben, sollten diese bereits jetzt auf mögliche Cyberrisiken überprüfen und gegebenenfalls geeignete Sicherheitsmaßnahmen ergreifen. Zudem sollten sie sich auf ihre Dokumentations- und Nachweispflichten vorbereiten. Gezielte Schulungen und Sensibilisierungen der Mitarbeiter sind ebenso unerlässlich. Verträge mit Zulieferern sollten darauf geprüft werden, ob auch die Zulieferer von Komponenten entsprechende IT-Sicherheitsanforderungen erfüllen. Zudem empfiehlt es sich, einen Incident-Response-Plan zu entwickeln, der unter anderem die Einhaltung der Meldepflichten sicherstellt und Verantwortlichkeiten im Unternehmen klar definiert.

Last but not least sollten die neuen Anforderungen des CRA an Produkte mit digitalen Elementen bereits beim Produktdesign in der Entwicklung berücksichtigt werden, damit Hersteller im Dezember 2027 nicht von den neuen Cybersicherheitsanforderungen an ihre Produkte überrascht werden. Hier gilt es, rechtliche und technische Expertise zu kombinieren, um Lösungen zu finden, die nicht nur die Vorgaben des CRA erfüllen, sondern auch praktikabel und wirtschaftlich sind.

In Kürze:

• Der Anwendungsbereich der neuen Vorschriften ist denkbar weit; auch Lösungen, die auf die Bedürfnisse einzelner Kunden zugeschnitten sind, können betroffen sein
• Der Wechsel zwischen Diensten soll erleichtert werden, Wechselhindernisse sollen entfallen, Mindestvertragslaufzeiten werden obsolet
• Für Kunden derartiger Dienste ergeben sich Chancen – Anbieter sollten ihre Verträge anpassen, ggf. muss das kommerzielle Modell auf den Prüfstand
• Zur Frage, inwieweit die neuen Regelungen ab dem 12. September auch für Bestandsverträge gelten gibt es unterschiedliche Auffassungen
• Reseller derartiger Dienste müssen darauf achten, dass sie ihre Pflichten gegenüber Kunden erfüllen können und sollten die Verträge mit dem Dienstanbieter prüfen

Im Einzelnen:

Anbietern von Cloud-, SaaS-, Edge- und ähnlichen Diensten widmet der Data Act ein eigenes Kapitel. Dieses Kapitel VI enthält Regelungen für so genannte Datenverarbeitungsdienste und zielt primär darauf ab, den Wechsel zwischen verschiedenen Diensten zu erleichtern, d.h. bestehende Wechselhürden abzubauen.

Insbesondere sofern Anbieter mit langen Vertragslaufzeiten arbeiten oder der Export der Kundendaten aufwändig ist, muss das Geschäftsmodell auf den Prüfstand gestellt werden.

Dies hat im Wesentlichen die folgenden Gründe:

Lange Vertragslaufzeiten sind hinfällig. Der Kunde kann jederzeit mit einer Ankündigungsfrist von zwei Monaten den Wechsel zu einem anderen Anbieter einleiten. Nach weiteren 30 Tagen soll der Wechsel im Regelfall erfolgreich abgeschlossen sein. Hiernach gilt der bisherige Vertrag grundsätzlich als beendet. Die bisher verbreitete Praxis, anbieterseitige Anfangsinvestitionen über gewisse Mindestvertragslaufzeiten zu refinanzieren, wird also nicht mehr ohne weiteres funktionieren. Als Alternative kommen beispielsweise Set-up Fees in Betracht, die in den letzten Jahren im Zuge der Umstellung auf SaaS an Bedeutung verloren hatten, ggf. auch Zahlungen für den Fall einer vorzeitigen Vertragsbeendigung (z.B. sog. Termination Fees).

Besondere Abgrenzungsschwierigkeiten entstehen in der Praxis bei solchen Verträgen, unter denen Datenverarbeitungsdienste ebenso wie andere Leistungen angeboten werden.

Exit-Support kann sehr aufwändig sein, ist aber perspektivisch grundsätzlich kostenlos zu erbringen. Konkret: Seit dem 11. Januar 2024 dürfen nur noch ermäßigte Wechselentgelte erhoben werden, ab dem 12. Januar 2027 soll der Wechsel grundsätzlich kostenlos sein. Zugleich sieht der Data Act jedoch umfassende Support-Pflichten vor, denen sich der ursprüngliche Anbieter nicht entziehen kann.

Der Anbieter ist – bis zu einem gewissen Grad – für Interoperabilität mit dem System des neuen Anbieters verantwortlich.

Wenn der Data Act ab dem 12. September 2025 voll wirksam ist, müssen Anbieter von Datenverarbeitungsdiensten zudem auch die weiteren Pflichten aus dem Data Act erfüllen. Die zu ergreifenden Maßnahmen umfassen insbesondere:

• die Anpassung der Verträge (der Data Act gibt zwingende Vertragsinhalte vor, die Kommission hat dazu Mustervertragsklauseln vorgelegt)
• den Abbau von technisch-organisatorischen Wechselhürden
• Extensive Informationspflichten

Anbieter von Datenverarbeitungsdiensten müssen zudem Schutzvorkehrungen gegen staatlichen Zugriff aus Drittländern umsetzen.

Bei Verstößen gegen den Data Act drohen Sanktionen von Aufsichtsbehörden, wobei die Höhe der drohenden Bußgelder derzeit noch nicht feststeht.

Besonders relevant werden die Vorschriften aber in direkten Diskussionen oder Auseinandersetzungen zwischen den Vertragsparteien sein, wenn es um den Kündigungswunsch eines Kunden geht – der Anbieter des Dienstes wird sich nicht auf längere Vertragslaufzeiten berufen können. Dieses Thema kann auch relevant für Bilanz und Unternehmensbewertung sein.

Hinzu kommt: Die Cloud-Vorschriften des Data Act dürften Marktverhaltensregelungen darstellen; Wettbewerber könnten etwaige Verstöße abmahnen.

Dr. Andreas Lober
Lennart Kriebel

1. Einführung

Am 28. Juni 2025 ist das Barrierefreiheitsstärkungsgesetz (BFSG) mit der Zielsetzung der digitalen Inklusion in Kraft getreten. Menschen mit Behinderungen, Einschränkungen und ältere Menschen sollen gleichberechtigten Zugang zu Produkten und Dienstleistungen erhalten, die für eine Teilhabe an Leben in der Gesellschaft von Bedeutung sind. Für Unternehmen sind hiermit neue Pflichten verbunden. Bei Verstößen drohen Geldbußen und weitere Sanktionen. 

2. Wer ist betroffen?

Das Gesetz gilt für Unternehmen, die nach dem 28. Juni 2025 die im BFSG bestimmten Produkte in den Verkehr bringen oder Dienstleistungen erbringen. Dazu zählen insbesondere Bankdienstleistungen für Verbraucher, Telekommunikationsdienste, elektronische Ticketdienste, Selbstbedienungsterminals wie Geldautomaten oder Ticketautomaten, Hardwaresysteme und deren Betriebssysteme für Verbraucher (Computer, Tablets, Notebooks), Geräte mit interaktivem Leistungsumfang wie Smartphones und Smart-TVs, E-Books und E-Book-Reader. 

Darüber hinaus gelten die Vorgaben des BFSG auch für alle Dienstleistungen im Elektronischen Geschäftsverkehr. Damit ist jedes Unternehmen betroffen, das seine Produkte oder Leistungen über einen Online-Shop vertreibt.

Dies gilt grundsätzlich für alle in den relevanten Bereichen tätigen Unternehmen. Ausgenommen sind bei Dienstleistungen lediglich Kleinstunternehmen, die weniger als zehn Mitarbeiter beschäftigen und einen Jahresumsatz oder eine Jahresbilanzsumme von höchstens EUR 2 Mio. aufweisen. Sie sollen jedoch Beratungsangebote erhalten, um Dienstleistungen barrierefrei erbringen zu können. Unternehmen, die Produkte herstellen, importieren oder vertreiben, müssen auch als Kleinstunternehmen die Anforderungen des BFSG erfüllen. 

Die Barrierefreiheitsanforderungen müssen allerdings nur erfüllt werden, wenn deren Einhaltung keine grundlegende Veränderung der Wesensmerkmale eines Produkts oder einer Dienstleistung erfordert. Der Hersteller oder Dienstleistungserbringer muss eine solche Beurteilung dokumentieren und der zuständigen Marktüberwachungsbehörde auf Verlangen vorlegen.

Die Barrierefreiheitsanforderungen gelten zudem nur insoweit, als deren Einhaltung nicht zu einer unverhältnismäßigen finanziellen Belastung des Unternehmens führen würde. Unternehmen sind verpflichtet, eine entsprechende Beurteilung vor Bereitstellen eines Produktes oder einer Dienstleistung vorzunehmen und zu dokumentieren und die zuständige Marktüberwachungsbehörde unverzüglich zu unterrichten.

3. Was ist zu tun?

Das BFSG setzt die EU-Richtlinie 2019/882 („European Accessibility Act“, kurz EAA) in deutsches Recht um. Es verpflichtet die Adressaten, die erfassten Produkte und Dienstleistungen barrierefrei zu gestalten und Informationen bereitzustellen. 

3.1 Gewährleistung von Barrierefreiheit

Produkte und Dienstleistungen müssen konkreten Anforderungen an die Barrierefreiheit entsprechen. Sie sind nach der Legaldefinition in § 3 Abs. 1 S. 2 BFSG barrierefrei, wenn sie für Menschen mit Behinderungen in der allgemein üblichen Weise, ohne besondere Erschwernis und grundsätzlich ohne fremde Hilfe auffindbar, zugänglich und nutzbar sind. Hinsichtlich der konkreten Anforderungen verweist das BFSG auf die Verordnung über die Barrierefreiheitsanforderungen (BFSGV).

Produkte müssen Bestandteile, Funktionen und Merkmale enthalten, die es Menschen mit Behinderungen ermöglichen, auf das Produkt zuzugreifen, es wahrzunehmen, zu bedienen, zu verstehen und zu steuern. Dies gilt auch für die Produktverpackung, Gebrauchsanleitungen und Warnhinweise. Diese müssen beispielsweise über mehr als einen sensorischen Kanal zur Verfügung gestellt werden, leicht auffindbar und sprachlich verständlich sein und in einer angemessen Schriftgröße dargestellt werden.

Dienstleistungen müssen Funktionen, Verfahren und mögliche Änderungen bei der Ausführung vorsehen, die auf die Bedürfnisse von Menschen mit Behinderungen ausgerichtet sind. Dies betrifft insbesondere Informationen über die Funktionsweise der Dienstleistung. Hier gelten vergleichbare Vorgaben an die Verständlichkeit und Wahrnehmbarkeit wie bei Produktverpackungen.

Werden Dienstleistungen online angeboten, so müssen die entsprechenden Websites, einschließlich mobiler Apps, ebenfalls wahrnehmbar, bedienbar, verständlich und robust gestaltet werden. Dies beinhaltet die Gewährleistung der Interoperabilität mit assistiven Technologien, wie Screenreadern.

Neben diesen allgemeinen Vorgaben enthält die BFSGV zahlreiche zusätzliche Regelungen zu bestimmten Produkten und Dienstleistungen, wie z.B. Telekommunikationsdienste, Bankdienstleistungen oder E-Books. 

Bei der Erfüllung der Anforderungen der BFSGV müssen Unternehmen den Stand der Technik beachten. Bei Produkten und Dienstleistungen, die harmonisierten Normen oder technischen Spezifikationen entsprechen, wird vermutet, dass sie die Anforderungen der BFSGV erfüllen. 

Hersteller und Anbieter dürfen ihre Produkte und Dienstleistungen nur auf den Markt bringen bzw. anbieten, wenn sie die Barrierefreiheitsanforderungen erfüllen. Händler müssen die Einhaltung dieser Pflichten des Herstellers überwachen und dürfen ein Produkt nur bei Konformität auf dem Markt bereitstellen. Besteht Grund zur Annahme, dass es die Barrierefreiheitserfordernisse nicht erfüllt, dürfen Händler ein Produkt nicht vertreiben.

3.2 Informationspflichten

Neben der Umsetzung der Anforderungen an die Barrierefreiheit sind Dienstleistungserbringer auch verpflichtet, Informationen bereitzustellen, wie diese Anforderungen konkret erfüllt werden. Zusätzlich müssen diese Informationen mindestens eine allgemeine Beschreibung der Dienstleistung in einem barrierefreien Format, Beschreibungen und Erläuterungen, die zum Verständnis der Durchführung der Dienstleistung erforderlich sind, sowie die Angabe der zuständigen Marktüberwachungsbehörde enthalten.

Diese Informationen können in die verwendeten Allgemeinen Geschäftsbedingungen aufgenommen werden, dürfen aber auch anderweitig bereitgestellt werden, z.B. über einen separaten Link auf der Website, soweit dies deutlich wahrnehmbar ist.

3.3 Auswirkungen auf AGB & Datenschutzerklärungen

Soweit ein Produkt oder eine Dienstleistung gemäß BFSG barrierefrei bereitzustellen ist, müssen alle Inhalte, die funktional zum Produkt oder zur Dienstleistung gehören, dann ebenfalls barrierefrei zugänglich sein. Dies kann beispielsweise AGB aber auch Datenschutzerklärungen betreffen. 

In diesem Fall ist insbesondere sicherzustellen, dass eine Textstrukturierung durch Überschriften vorhanden ist, es bei eingebundenen Bildern oder anderen Medien Alternativtexte gibt, eine klare, verständliche Sprache verwendet wird, die Schriftgröße und der Kontrast angemessen sind sowie die Kompatibilität mit Screenreadern gewährleistet ist.

4. Umsetzungsfristen und Übergangsbestimmungen

Grundsätzlich müssen Unternehmen die neuen Barrierefreiheitsanforderungen seit Inkrafttreten des Gesetzes, also seit dem 28. Juni 2025, erfüllen. Teilweise greifen Übergangsbestimmungen. Dienstleistungen können bis zum 27. Juni 2030 weiterhin unter Einsatz von Produkten erbracht werden, die von dem Dienstleistungserbringer bereits vor dem 28. Juni 2025 rechtmäßig eingesetzt wurden. Vor dem 28. Juni 2025 geschlossene Verträge über Dienstleistungen müssen erst bis zum 27. Juni 2030 angepasst werden.

Selbstbedienungsterminals, die Unternehmen vor dem 28. Juni 2025 zur Erbringung von Dienstleistungen eingesetzt haben, dürfen sie bis zum Ende ihrer wirtschaftlichen Nutzungsdauer, aber längstens fünfzehn Jahre nach ihrer Ingebrauchnahme, weiter einsetzen.

5. Sanktionen

Fahrlässige und vorsätzliche Verstöße gegen bestimmte Vorgaben des BFSG sind in leichteren Fällen mit bis zu EUR 10.000 und in schweren Fällen mit bis zu EUR 100.000 bußgeldbewehrt. Die konkrete Höhe der Geldbuße richtet sich nach den Umständen des Einzelfalls. 

Die Einhaltung der Vorgaben des BFSG überprüfen die Marktüberwachungsstellen der Länder. Diese Aufgabe soll künftig zentral von der "Marktüberwachungsstelle der Länder für die Barrierefreiheit von Produkten und Dienstleistungen“ (MLBF) übernommen werden. Neben der Verhängung von Bußgeldern drohen Marktrücknahmen von nicht konformen Produkten und eine Untersagung der Dienstleistungserbringung.

Ein Ordnungswidrigkeitenverfahren kann von Amts wegen, auf Antrag eines Verbrauchers, eines nach dem Behindertengleichstellungsgesetz anerkannten Verbandes oder eines Verbraucherschutzvereins eingeleitet werden. Auch Mitbewerber können im Wege der wettbewerbsrechtlichen Abmahnung gegen vermeintliche Verstöße vorgehen. In diesem Falle droht die Geltendmachung von Unterlassungs- und Schadensersatzansprüchen.

6. Handlungsempfehlung

Unternehmen sollten prüfen, ob sie Adressaten der Pflichten des BFSG sind. Erforderlichenfalls sollten sie ihre digitalen Angebote auf Barrierefreiheit prüfen und gegebenenfalls anpassen. Ein Accessibility-Audit oder ein Schnellcheck können helfen, Schwachstellen bei der technischen Umsetzung der Barrierefreiheitsanforderungen oder der Informationspflichten zu identifizieren und zu beheben.  

Aber auch bei Unternehmen, die nicht in den Anwendungsbereich des BFSG fallen, kann eine Verbesserung der Barrierefreiheit ihrer Produkte und Dienstleistungen sinnvoll sein. Neben einem Imagegewinn durch die Förderung der Inklusion benachteiligter Menschen, kann dies auch zu einer messbaren Absatzsteigerung führen, indem neue Kundengruppen erreicht werden.

Kristin Trittermann, LL.M.
Mathias Zimmer-Goertz

Banyan Software wurde 2016 gegründet und erwirbt regelmäßig wachsende Softwarefirmen mit dem Ziel, diese im Rahmen einer Buy-and-Hold-Strategie langfristig zu entwickeln. Banyan Software verfügt über Standorte in Kanada, Großbritannien sowie in der DACH-Region.

star/trac, ein Unternehmen mit Hauptsitz in München, hat sich auf die Optimierung komplexer Yard-Management-Abläufe spezialisiert. Die innovativen Lösungen von star/trac verbessern die betriebliche Effizienz, reduzieren die Wartezeiten für Lkw und gewährleisten die Einhaltung aller Sicherheits- und Regulierungsstandards.

ADVANT Beiten berät Banyan Software regelmäßig bei der Umsetzung ihrer Wachstumsstrategie in der DACH-Region, zuletzt im Januar dieses Jahres bei der Übernahme von FoxInsights.

Berater Banyan Software:
ADVANT Beiten: Christian Burmeister (Federführung), Damien Heinrich, Julius Bauer, (alle Corporate/M&A), Heiko Wunderlich, Fabian Buker (beide Steuern), Mathias Zimmer-Goertz, Christian Döpke (beide IP/IT), Lelu Li (Außenwirtschaftsrecht), Alexander Grässel (Arbeitsrecht). 

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Holger Weimann und Dr. Birgit Münchbach geben einen Überblick über die juristischen Rahmenbedingungen beim Einsatz von KI in der Unternehmenskommunikation. Der Beitrag zeigt, wie Unternehmen Innovation verantwortungsvoll und rechtskonform gestalten können.

Zum vollständigen Artikel im Magazin für kommunikationsmanager

Weg zur „KI-Nation“ und Cloud-Infrastruktur

Die Bundesregierung skizziert das ambitionierte Ziel, Deutschland zur führenden „KI-Nation“ Europas aufzubauen. Kern dieses Anspruchs sind umfangreiche Aufbauinvestitionen in eine leistungsfähige Cloud- und KI-Infrastruktur. Damit soll eine Basis für datenintensive Anwendungen geschaffen werden. Auch in die Verbindung von künstlicher Intelligenz und Robotik soll kräftig investiert werden. Leichtbau-Technologien und 3D-Druck werden als Schlüssel zur Modernisierung traditioneller Produktionsprozesse genannt. 

Datenstrategie und Datenschutz

Unter der Maxime „public money, public data“ soll der Grundsatz verankert werden, dass durch öffentliche Mittel generierte Daten grundsätzlich für staatliche und gesellschaftliche Zwecke offenstehen. Dazu plant die Koalition ein Datengesetzbuch, das Regelungen zusammenführen und einen Rechtsanspruch auf „Open Data“ bei staatlichen Einrichtungen schaffen soll. In Kombination mit der Stärkung von Datentreuhändern soll Vertrauen in die Qualität und Integrität solcher Datenbestände gewährleistet werden. 

Die Datenschutzaufsicht soll neu organisiert werden. Dafür sollen Zuständigkeiten und Kompetenzen bei der Bundesdatenschutzbeauftragten gebündelt werden. Sie soll dann Bundesbeauftragte für Datennutzung, Datenschutz und Informationsfreiheit genannt werden. Die Datenschutzkonferenz (DSK) soll fest im Bundesdatenschutzgesetz (BDSG) verankert werden, um fortwährend gemeinsame Standards für den Datenschutz zu erarbeiten. Bei staatlichen Serviceleistungen will die künftige Bundesregierung darauf hinwirken, dass erforderliche Einwilligungen durch „Widerspruchslösungen“ ersetzt werden. Auf europäischer Ebene soll veranlasst werden, dass Vereine, kleine und mittlere Unternehmen und risikoarme Datenverarbeitungen von dem Anwendungsbereich der DSGVO ausgenommen werden.

Verwaltung 4.0 und E-Justice

Ein zentrales Anliegen ist die Digitalisierung von Verwaltung und Justiz. Behördliche Abläufe sollen automatisiert und beschleunigt werden, wofür künstlicher Intelligenz eine Schlüsselrolle zugedacht ist. Gleichzeitig sollen Schriftformerfordernisse abgebaut werden, damit digitale Dokumente ohne Formhindernisse genutzt werden können. Außerdem ist der Aufbau einer bundesweiten „Justizcloud“ vorgesehen, in die Akten und Dokumente von Gerichten und Staatsanwaltschaften überführt werden sollen. Ergänzend soll ein nutzerfreundliches Justizportal eingeführt werden, das digitale Antragsverfahren, ein Vollstreckungsregister und zukünftig KI-gestützte Assistenzfunktionen bereitstellt. So sollen insbesondere Zivilverfahren deutlich verkürzt werden.

Europäischer Rahmen und Plattformregulierung

Die Koalition will EU-Digitalrecht in Deutschland innovationsfreundlich und kohärent umsetzen. Die nationale Umsetzung des AI-Acts soll durch eine zentrale Servicestelle begleitet werden, um bürokratische Hürden für Unternehmen zu minimieren. Zur Stärkung der digitalen Resilienz gegenüber Cyberbedrohungen soll die EuroStack-Initiative weiter unterstützt werden. Im Bereich Plattformregulierung steht die konsequente Anwendung des Digital Services Act (DSA) im Fokus. Anbieter sollen verpflichtet werden, strafbare Inhalte zeitnah zu entfernen und systemische Risiken wie Desinformation aktiv zu bekämpfen. Zudem wird die Prüfung einer verpflichtenden Bot-Identifizierung und eines Verbots manipulativer Designs („Dark Patterns“) angestoßen. Parallel dazu soll das Cyberstrafrecht modernisiert werden: Lücken bei der Strafbarkeit etwa von Deep Fakes oder bildbasierter sexualisierter Gewalt sollen geschlossen werden, und Plattformen werden schärferen Mitwirkungspflichten unterworfen. Mit dem geplanten „Digitalen Gewaltschutzgesetz“ soll zudem die Sperrung anonymer Hass-Accounts ermöglicht werden und eine Schnittstelle für Strafverfolgungsbehörden eingerichtet werden. In der Medienaufsicht sollen staatsferne Instanzen klare gesetzliche Vorgaben erhalten, um gegen Informationsmanipulation, Hass und Hetze auf digitalen Plattformen vorzugehen. Der massenhafte und koordinierte Einsatz von Bots und Fake Accounts soll verboten werden. Schließlich wird auch die Umsetzung der NIS-2-Richtline angekündigt, deren Umsetzungsfrist bereits abgelaufen ist.

Vertragsrecht und Verbraucherschutz

Auch im Verbraucher- und Vertragsrecht soll es digitaler werden. Sogenannte „Smart Contracts“ sollen es ermöglichen, einfache Entschädigungs- und Erstattungsfälle beispielsweise bei Ticketkäufen weitgehend automatisiert über vorausgefüllte Online-Formulare abzuwickeln, sofern entsprechende Daten bereits vorliegen. Parallel dazu ist eine Reform des AGB-Rechts geplant. Großunternehmen sollen darauf vertrauen können, dass untereinander geschlossene allgemeine Geschäftsbedingungen in der Praxis verlässlich anerkannt werden. Womöglich soll also im B2B die Klauselkontrolle abgeschwächt werden. Für telefonisch abgeschlossene Dauerschuldverhältnisse soll eine allgemeine Bestätigungslösung eingeführt werden, um lästige Rückfragen zu vermeiden. Der Leitgedanke „by design“ und „by default“ soll Anbieter dazu verpflichten, digitale Angebote von vornherein verbraucherfreundlich zu gestalten.

Urheber- und Medienrecht im Digitalzeitalter

Laut Koalitionsvertrag will die Regierung einen fairen Ausgleich zwischen Kreativen, Wirtschaft und Nutzern schaffen. Besonders relevant ist die Regelung, Urheber für die Nutzung ihrer Werke in generativen KI-Systemen angemessen zu vergüten. Die Formulierung klingt nach einer Art Urheberrechtsabgabe. Im digitalen Musikmarkt soll Streamingplattformen eine transparente Beteiligung der Künstler an den Erlösen auferlegt werden. 

Fazit

Viele Themen werden nur sehr vage umschrieben, aber zum Teil enthält der Koalitionsvertrag zwischen den Unionsparteien und der SPD auch sehr konkrete Vorhaben. Ob und inwiefern diese umgesetzt werden, bleibt abzuwarten. Jedenfalls ist erklärtes Ziel, Prozesse zu digitalisieren, Bürokratie abzubauen und in den Digitalbereich kräftig zu investieren. Wir werden die Entwicklungen jedenfalls weiter beobachten.

Fabian Eckstein

1. Koalition bekennt sich zur Verantwortung

Spätestens seit die Süddeutsche Zeitung im Februar 2025 gegenüber den Bayerischen Staatsgemäldesammlungen schwere Vorwürfe im Zusammenhang mit der - nach Auffassung der Zeitung - fehlenden Aufklärung von NS-Raubkunst-Verdachtsfällen erhoben hat, steht das Thema der NS-Raubkunstrestitution wieder im Mittelpunkt der Öffentlichkeit. Zwar haben die Bayerischen Staatsgemäldesammlungen die Vorwürfe als falsch zurückgewiesen. Mittlerweile hat der Bayerische Kunstminister Markus Blume jedoch Versäumnisse im Zusammenhang mit der Aufklärung von NS-Raubkunst-Verdachtsfällen eingeräumt und eine externe Kommission mit der Prüfung problematischer Provenienzen beauftragt. 

Die Geschehnisse rund um die Bayerischen Staatsgemäldesammlungen zeigen, dass das Thema der Restitution von NS-Raubkunst auch mehr als 26 Jahre nach Verabschiedung der Washingtoner Prinzipien keinesfalls abgeschlossen ist. Dies hat auch die neue Koalition erkannt. So findet sich zu den Plänen der neuen Bundesregierung für den Umgang mit NS-Raubkunst in dem am 9. April 2025 geschlossenen Koalitionsvertrag folgende bemerkenswerte Passage: 

"Der Staat trägt besondere Verantwortung bei der Rückgabe von NS-verfolgungsbedingt entzogenem Kulturgut. Wir werden die Provenienzforschung intensivieren, die Schiedsgerichtsbarkeit einführen und ein wirksames Restitutionsgesetz schaffen."

Vor allem die Aussage der Koalitionspartner, ein neues Restitutionsgesetz schaffen zu wollen, ist überaus beachtlich. Ein solches Restitutionsgesetz wird schon lange von verschiedenen Seiten, insbesondere von jüdischen Verbänden und Betroffenenanwälten gefordert, fand jedoch bisher keine politische Mehrheit. Auch die alte Ampel-Regierung wollte kein eigenständiges Restitutionsgesetz schaffen, sondern lediglich mit dem harsch kritisierten und wenig praktikablen Entwurf eines Gesetzes zur erleichterten Durchsetzung der Rückgabe von NS-Raubkunst punktuell in bestehende Gesetze eingreifen. Einen originären Restitutionsanspruch sah der Entwurf nicht vor. Im Vergleich dazu wäre die Schaffung eines eigenständigen Restitutionsgesetzes deutlich zielführender.

Der folgende Beitrag gibt zunächst einen Überblick über die bestehende Rechtslage bei der Restitution von NS-Raubkunst (Ziff. 2). Anschließend wird auf die im Koalitionsvertrag erwähnte Schiedsgerichtsbarkeit für NS-Raubkunst eingegangen, deren Einrichtung bereits unter der alten Bundesregierung beschlossen wurde (Ziff. 3). Der Beitrag endet mit einem Ausblick auf das von der neuen Bundesregierung angekündigte Restitutionsgesetz (Ziff. 4).

2. Unzureichender Rechtsrahmen

2.1 Spezielles Rückerstattungsrecht

Der Restitution von NS-Raubkunst auf Grundlage von § 985 BGB stehen zahlreiche rechtliche Hürden entgegen. Sie kommt daher nur in besonders gelagerten Ausnahmefällen in Betracht:

Nach Ende des Zweiten Weltkriegs konnten die Alteigentümer von NS-Raubkunst bzw. ihre Erben für eine kurze Zeit auf gesetzliche Anspruchsgrundlagen zurückgreifen und ihre Restitutionsansprüche vor Gericht geltend machen. So erließen die westalliierten Besatzungsmächte in ihren jeweiligen Besatzungszonen spezielle Rückerstattungsgesetze, welche die Restitution von NS-Raubkunst ermöglichten. Nach all diesen Gesetzen hatten die Anspruchsberechtigen für die Geltendmachung ihrer Ansprüche jedoch kurze Anmeldefristen zu beachten, wobei die letzte bereits Mitte des Jahres 1950 ablief. Insbesondere aufgrund dieser sehr kurz bemessenen Anmeldefristen konnte nur ein geringer Teil der tatsächlich entzogenen Kulturgüter auf Basis der alliierten Rückerstattungsgesetze restituiert werden. Auf Grundlage des nach Ende der Besatzungszeit in Kraft getretenen Bundesrückerstattungsgesetzes konnten die Anspruchsberechtigten lediglich Schadensersatzansprüche geltend machen, nicht jedoch die Herausgabe von NS-Raubkunst verlangen. 

Bei NS-verfolgungsbedingten Eigentumsverlusten auf dem Gebiet der DDR und Ostberlin bestand nach der Wiedervereinigung die Möglichkeit auf Grundlage des Vermögensgesetzes Restitutionsansprüche geltend zu machen. Für die Anmeldung der Ansprüche galt eine Ausschlussfrist bis zum 30. Juni 1993, sodass eine Geltendmachung heute nicht mehr möglich ist.¹

2.2 Herausgabeanspruch nach allgemeinem Zivilrecht

Der Restitution von NS-Raubkunst auf Grundlage von § 985 BGB stehen zahlreiche rechtliche Hürden entgegen. Sie kommt daher nur in besonders gelagerten Ausnahmefällen in Betracht:

Bereits die Anwendbarkeit des Herausgabeanspruchs nach § 985 BGB auf NS-Raubkunst ist problematisch. So ging der BGH in ständiger Rechtsprechung der Nachkriegszeit davon aus, dass das spezielle Rückerstattungsrecht der Alliierten (auch bei Versäumung der Anmeldefristen) § 985 BGB als lex specialis ausschließt. In seinem viel diskutierten Urteil aus dem Jahr 2012 zum Restitutionsfall der Plakatsammlung Sachs hat der BGH diese Sperrwirkung zumindest etwas aufgeweicht. So soll § 985 BGB immerhin dann greifen, wenn der verfolgungsbedingt entzogene Vermögensgegenstand nach dem Krieg verschollen war und der Berechtigte erst nach Ablauf der Anmeldefrist von seinem Verbleib Kenntnis erlangt hat.

Ein Herausgabeanspruch des Alteigentümers bzw. seiner Rechtsnachfolger nach § 985 BGB scheidet zudem dann aus, sofern ein Dritter gemäß § 932 BGB gutgläubig Eigentum erworben hat. Dies gilt zwar grundsätzlich nur dann, sofern die Entziehung des jeweiligen Werks nicht als ein Abhandenkommen im Sinne von § 935 Abs. 1 BGB einzustufen ist. Ein Eigentumserwerb an abhandengekommener NS-Raubkunst ist jedoch bei Veräußerungen im Wege der öffentlichen Versteigerung möglich (§ 935 Abs. 2 BGB). Zudem besteht im Falle des Abhandenkommens die Möglichkeit, dass ein gutgläubiger Besitzer nach 10 Jahren gemäß § 937 BGB durch Ersitzung Eigentum an einem entzogenen Werk erwirbt.

Selbst wenn all diese Hürden genommen wurden, kann der Kulturgutbesitzer immer noch die Einrede der Verjährung nach § 214 Abs. 1 BGB erheben, da die 30-jährige Verjährungsfrist für den Herausgabeanspruch aus Eigentum heute bereits abgelaufen ist. All das zeigt, dass das allgemeine Zivilrecht keine hinreichende Anspruchsgrundlage für die Restitution von NS-Raubkunst bietet.

2.3 Soft Law der Washingtoner Prinzipien

Bei den Washingtoner Prinzipen handelt es sich um "nicht bindende Grundsätze", auf die sich die Teilnehmer (u.a. 44 Staaten) der im Dezember 1998 durchgeführten "Washington Conference on Holocaust-Era Assets" als Abschlusserklärung geeinigt hatten. Mit Unterzeichnung dieser Prinzipien haben sich die Bundesrepublik und die anderen Teilnehmerstaaten zu ihrer historischen und moralischen Verantwortung zur Wiedergutmachung des NS-Unrechts bekannt. Sie bekunden ihre Bereitschaft zur Identifizierung von NS-Raubkunst (Ziff. 1) und zur Veröffentlichung der ermittelten Provenienzen in einem zentralen Register (Ziff. 6). Zudem soll gemäß Ziff. 4 der Prinzipien eine Beweiserleichterung zu Gunsten der Anspruchssteller greifen, da "aufgrund der verstrichenen Zeit und der besonderen Umstände des Holocausts Lücken und Unklarheiten in der Frage der Herkunft unvermeidlich sind." Sofern die Alteigentümer von NS-Raubkunst bzw. deren Erben ausfindig gemacht werden können, soll mit diesen rasch eine "gerechte und faire Lösung" gefunden werden (Ziff. 8). 

In rechtlicher Hinsicht handelt es sich bei den Washingtoner Prinzipien um sog. "soft law", d.h. eine rechtlich unverbindliche und nicht justiziable "Selbstverpflichtung" der Teilnehmerstaaten. Diesen steht es offen, dieses "soft law" durch eine entsprechende gesetzliche Transformierung in das nationale Recht in rechtsverbindliches "hard law" umzuwandeln. Daneben können die Teilnehmerstaaten rechtlich unverbindliche Präzisierungs- und Ausführungsbestimmungen erlassen, die ihrerseits wiederum nationales "soft law" darstellen.

2.4 Bisherige Umsetzung der Washingtoner Prinzipien in Deutschland

In Deutschland hatte man sich (bisher) dazu entschieden, die Washingtoner Prinzipien nicht in Gesetzesform zu gießen, sondern lediglich durch nationales "soft law" zu konkretisieren. So bekannten sich Bund, Länder und Kommunale Spitzenverbände im Dezember 1999 in der sog. "Gemeinsamen Erklärung" zu den Washingtoner Prinzipien und bekundeten ihre Bereitschaft, NS-Raubkunst den berechtigten Alteigentümern bzw. deren Nachfahren zurückzugeben. Im selben Jahr erschien die sog. "Handreichung" zur Umsetzung der Gemeinsamen Erklärung. Dabei handelt es sich um eine "rechtlich nicht verbindliche Orientierungshilfe", die öffentlichen Einrichtungen einen praktischen Leitfaden für den Umgang mit NS-Raubkunst an die Hand gibt. Deutsche Museen in öffentlicher Trägerschaft fühlen sich grundsätzlich an die Gemeinsame Erklärung und die Handreichung gebunden und werden daher in der Regel eine Restitution nicht unter Verweis auf formaljuristische Hindernisse (insb. die Einrede der Verjährung) verweigern. An private Kulturgutbesitzer wird lediglich appelliert, sich diesen Grundsätzen freiwillig anzuschließen.

Zentraler Bestandteil der Handreichung ist ein Schema zur Prüfung des NS-verfolgungsbedingten Entzugs. Danach ist zunächst zu prüfen, ob der Alteigentümer während der NS-Zeit verfolgt wurden. Bei jüdischen Geschädigten gilt dabei die Vermutung der Kollektivverfolgung. Anschließend ist zu prüfen, ob dem Alteigentümer das betroffene Kulturgut auch NS-verfolgungsbedingt entzogen wurde. Das ist bei Vermögensverlusten durch staatliche Zugriffe des NS-Regimes (z.B. Beschlagnahmen) in aller Regel der Fall. Bei rechtsgeschäftlichen Vermögensverlusten (z.B. bei Verkäufen zur Finanzierung der Flucht), wird vermutet, dass es sich bei Vermögensverlusten im Verfolgungszeitraum um ungerechtfertigte Entziehungen handelt. Der Anspruchsgegner kann diese Vermutung nur widerlegen, wenn er nachweisen kann, "dass der Veräußerer einen angemessenen Kaufpreis erhalten hat und dass er über ihn frei verfügen konnte". Bei Veräußerungen ab dem Inkrafttreten der "Nürnberger Gesetze" am 15. September 1935 wird diese Vermutung weiter verschärft. Der Anspruchsgegner muss zusätzlich nachweisen, dass die Veräußerung "auch ohne die Herrschaft des Nationalsozialismus stattgefunden hätte oder die Wahrung der Vermögensinteressen des Verfolgten in besonderer Weise und mit wesentlichem Erfolg vorgenommen wurde".

2.5 Fehlende einseitige Anrufbarkeit der beratenden Kommission

In Umsetzung der Washingtoner Prinzipen wurde in Deutschland 2003 die sog. "Beratende Kommission" eingerichtet. Die Kommission gibt auf Grundlage der Washingtoner Prinzipien, der Gemeinsamen Erklärung und der Handreichung rechtlich nicht bindende Empfehlungen ab. Sie fungiert als Vermittlerin zwischen den Anspruchstellern und den öffentlichen Eigentümern der betroffenen Werke. Die Beratende Kommission kann jedoch nur dann tätig werden, wenn beide Seiten, also sowohl die Nachfahren der Verfolgten als auch die Museen oder andere kulturgutwahrenden Einrichtungen der Anrufung zustimmen. Dies führte dazu, dass die Kommission bisher lediglich 24 Empfehlungen abgegeben hat. So sperren sich die Bayerischen Staatsgemäldesammlungen beispielsweise im Fall des ikonischen Picasso Werks "Madame Soler" seit mehr als zehn Jahren gegen eine Anrufung der Beratenden Kommission.

3. Die neue Schiedsgerichtsbarkeit

Insbesondere aufgrund des Makels der fehlenden Möglichkeit der einseitigen Anrufung der Beratenden Kommission war im Koalitionsvertrag der Ampel-Regierung zunächst die Reform der Kommission geplant. Dieser Reformplan wurde jedoch Anfang 2024 verworfen und es entstand die Idee die Beratende Kommission durch eine Schiedsgerichtsbarkeit für NS-Raubkunst zu ersetzen, die rechtsverbindliche Entscheidungen treffen soll. Trotz vielfacher Kritik und eines offenen Briefs an den damaligen Kanzler Olaf Scholz, in dem die Unterzeichner sich gegen die Schiedsgerichtsbarkeit aussprachen, stimmte das Bundeskabinett im Januar 2025 für deren Einrichtung. Am 26. März 2025 haben Bund, Länder und Kommunale Spitzenverbände ein Verwaltungsabkommen zur Einrichtung der Schiedsgerichtsbarkeit NS-Raubkunst abgeschlossen, deren Träger das Deutsche Zentrum für Kulturgutverluste in Magdeburg sein wird.

Die Schiedsgerichtsbarkeit soll auf Grundlage einer (formellen) Schiedsordnung und eines (materiellen) "Bewertungsrahmens" tätig werden, die beide von Bund, Ländern und Kommunalen Spitzenverbänden erarbeitet wurde. Damit die Schiedsgerichtsbarkeit auch einseitig von den Anspruchstellern angerufen werden kann, werden Bund und Länder sog. "stehende Angebote" zum Abschluss einer Schiedsvereinbarung abgeben. Zudem sollen Länder und Kommunale Spitzenverbände darauf hinwirken, dass kommunale kulturgutbewahrende Einrichtungen entsprechende "stehende Angebote" abgeben. Das Verfahren soll sowohl natürlichen Personen als auch juristischen Personen des öffentlichen Rechts und des Privatrechts offenstehen. Es können daher auch private kulturgutbewahrende Einrichtungen und Privatpersonen auf freiwilliger Basis an der Schiedsgerichtsbarkeit teilnehmen. 

Die Schiedsgerichte sollen jeweils aus fünf Mitgliedern bestehen: Drei Richterinnen oder Richtern oder Juristinnen oder Juristen sowie zwei Personen mit Expertise in der deutschen Geschichte des 20. Jahrhunderts oder zu Provenienzforschung zu NS-Raubkunst. Die Parteien müssen diese aus einem Schiedsrichterverzeichnis wählen. Der Zentralrat der Juden in Deutschland und die Jewish Claims Conference können Kandidaten für das Schiedsrichterverzeichnis vorschlagen. 

Die materielle Grundlage für die Entscheidungen der Schiedsgerichte bildet der erwähnte Bewertungsrahmen, der neben den Washingtoner Prinzipien u.a. auch die "Best Practices for the Washington Conference Principles on Nazi-confiscated Art" berücksichtigt. Der rechtsverbindliche Bewertungsrahmen wird die unverbindliche Handreichung ablösen, so dass die Schiedsgerichte auf dieser Basis rechtsverbindliche Entscheidungen treffen können. Private Kulturguteigentümer werden lediglich ermuntert und aufgefordert, sich den Grundsätzen des Bewertungsrahmen anzuschließen.

Nach Ziff. 2 des Bewertungsrahmens gelten unter Berücksichtigung von Ziff. 4 der Washingtoner Prinzipien (vgl. oben Ziff. 2.3) im Vergleich zum Strengbeweisverfahren der ZPO bestimmte Beweiserleichterungen (u.a. Zulässigkeit von eidesstattlichen Versicherungen). Die materiellen Voraussetzungen für einen Rückerstattungsanspruch des Antragsstellers ähneln an vielen Stellen den Voraussetzungen der Handreichung für einen NS-verfolgungsbedingten Entzug. Der Bewertungsrahmen konkretisiert die Regelungen der Handreichung jedoch erheblich und enthält im Vergleich zu dieser auch etliche gänzlich neue Bestimmungen.

Genau wie nach der Handreichung ist zunächst die NS-Verfolgung des Alteigentümers zu prüfen, wobei für Juden weiterhin die Vermutung der Kollektivverfolgung gilt (vgl. Ziff. 7.2 des Bewertungsrahmen). Anschließend wird geprüft, ob der Alteigentümer einen Kulturgutverlust erlitten hat, der in einem hinreichend engen Zusammenhang mit seiner NS-Verfolgung steht. Bei einem Kulturgutverlust durch Zugriff staatlicher Stellen während der NS-Zeit liegt dieser Zusammenhang wie bei der Handreichung grundsätzlich vor (vgl. Ziff. 8a.1, 8a.2 des Bewertungsrahmens). Bei rechtsgeschäftlichen Kulturgutverlusten von kollektivverfolgten Juden wird dieser Zusammenhang (mit Ausnahme von Fluchtfällen) grundsätzlich vermutet (vgl. Ziff. 8.2 des Bewertungsrahmens). Die Voraussetzungen für die Widerlegung dieser Vermutung (vgl. Ziff. 8b.1 und 8c.1 des Bewertungsrahmens) sind mit denen der Handreichung nahezu inhaltsgleich, so dass zur Erläuterung auf Ziff. 2.4 verwiesen werden kann. 

Die Schiedsgerichtsbarkeit NS-Raubkunst soll ihre Arbeit noch im Jahr 2025 aufnehmen. Bis dahin soll die Beratende Kommission ihre Arbeit fortsetzen. Der Bayerische Kunstminister Markus Blume hat bereits angekündigt, den Fall "Madame Soler" durch die Schiedsgerichtsbarkeit prüfen zu lassen, sobald hierzu die Möglichkeit besteht. Im Falle einer Anrufung der Schiedsgerichtsbarkeit durch die Anspruchssteller, könnte er eine solche Prüfung aber auch gar nicht mehr verhindern.

4. Kommt nun ein Restitutionsgesetz?

Dass die neue Bundesregierung, neben der bereits unter der alten Bundesregierung beschlossenen Einrichtung der Schiedsgerichtsbarkeit NS-Raubkunst auch ein Restitutionsgesetz schaffen will, lässt hoffen, dass nun endlich der politische Wille zur hinreichenden Wiedergutmachung des NS-Kunstraubs vorhanden ist. Da Privateigentümer nicht verpflichtet sind, sich der Schiedsgerichtsbarkeit anzuschließen und es zudem bisher wohl auch nicht absehbar ist, dass sich sämtliche kommunalen Kultureinrichtungen der Schiedsgerichtsbarkeit unterwerfen, ist die Schaffung eines umfassenden Restitutionsgesetzes sinnvoll. Neben den Schiedsgerichten könnten dann auch die ordentlichen Gerichte über Restitutionsansprüche entscheiden. Für ein Restitutionsgesetz spräche zudem, dass ein solches Gesetz in einem transparenten und demokratisch legitimierten parlamentarischen Prozess entstehen würde. Ein solches Gesetz dürfte daher auf eine breitere Akzeptanz stoßen als der ohne parlamentarischen Prozess sowie ohne öffentliche Anhörung und Diskussion durch Bund, Länder und Kommunale Spitzenverbände festgelegte Bewertungsrahmen. 

Für das Erfordernis eines Restitutionsgesetzes spricht auch, dass das allgemeine Zivilrecht keine hinreichende Rechtsgrundlage für die Restitution von NS-Raubkunst liefert. Neben der Einrede der Verjährung muss berücksichtigt werden, dass die Anwendbarkeit des Herausgabeanspruchs in einer Vielzahl der Fälle aufgrund der Sperrwirkung des Alliierten Rückerstattungsrechts ausgeschlossen ist. Zudem ist der Eigentumsverlust durch gutgläubigen Erwerb sowie durch Ersitzung zu beachten (vgl. oben Ziff. 2.2).

Sofern auch die Durchsetzung von Restitutionsansprüchen gegen Privatpersonen ermöglicht werden soll, bedarf es daher eines Restitutionsgesetzes, dass einen originären Herausgabeanspruch begründet. Dabei muss jedoch natürlich das Eigentumsgrundrecht gemäß Art. 14 Abs. 1 GG der zur Herausgabe verpflichteten Privateigentümer gewahrt werden. Dies wird regelmäßig voraussetzen, dass der Herausgabepflichtige einen Entschädigungs- oder Ausgleichsanspruch zugestanden bekommt. Die finanziellen Aufwendungen für solche Ausgleichs- und Entschädigungsleistungen wären von der Öffentlichen Hand zu tragen, wobei die Einrichtung eines öffentlich-rechtlichen Entschädigungsfonds diskutiert wird. 

Eine Restitution von NS-Raubkunst im Gegenzug für eine Entschädigung dürfte dabei regelmäßig durchaus auch im Interesse der herausgabepflichtigen Privateigentümer liegen. Diese werden häufig nicht nur ein moralisches Interesse an einer entschädigungspflichtigen Restitution haben, da Kulturgüter, die unter NS-Raubkunstverdacht stehen – und z.B. in der Lost Art-Datenbank eingetragen sind – faktisch unverkäuflich sind. 

In materieller Hinsicht könnte sich der Gesetzgeber bei der Ausgestaltung eines Restitutionsanspruchs an dem Bewertungsrahmen für die Schiedsgerichtsbarkeit NS-Raubkunst oder auch an der Handreichung orientieren. Zudem könnten das Alliierte Rückerstattungsgesetz und das Vermögensgesetz als Vorbilder für ein Restitutionsgesetz dienen. Ein erster Gesetzesentwurf und die daran anschließenden – sicherlich hitzigen – parlamentarischen und medialen Debatten werden schon jetzt mit großer Spannung erwartet. Damit ist natürlich die Hoffnung verbunden, dass es der neuen Bundesregierung gelingt, einen zielführenderen Entwurf vorzulegen, als der zu Recht als "Etikettenschwindel" kritisierte Gesetzesentwurf der letzten Bundesregierung.

Dr. David Moll
Felix Wahler

^{[1] Eine Ausnahme gilt dann, wenn der jeweilige Anspruch von der sog. "Globalanmeldung" der Jewish Claims Conference erfasst ist.} 

Die wirtschaftliche Situation Deutschlands war im Vorfeld der Koalitionsverhandlungen viel diskutiert worden. Der Koalitionsvertrag setzt nun klare Schwerpunkte: Mit Reformen und Investitionen soll Deutschland wieder nach vorne gebracht werden. Wie der Ökonom Clemens Fuest treffend bemerkt, ist ein Schwerpunkt auf Investitionen erkennbar und damit ein gutes Signal an Investoren und für Wachstum.

Der vorliegende Beitrag analysiert die im Koalitionsvertrag vorgesehenen Förderungen und Subventionen für verschiedene Branchen und Sektoren. Dabei werden sowohl die wirtschaftspolitischen Maßnahmen als auch die Förderungen für Forschung, Entwicklung und Bildungseinrichtungen detailliert betrachtet. Besonderes Augenmerk liegt auf der Frage, welche konkreten Fördermaßnahmen die verschiedenen Branchen in den kommenden vier Jahren erwarten können und wie diese im Koalitionsvertrag verankert sind.

1. Allgemeine wirtschaftliche Ausrichtung des Koalitionsvertrags

Der Koalitionsvertrag zwischen CDU, CSU und SPD setzt einen deutlichen Schwerpunkt auf die Stärkung der deutschen Wirtschaft. In Zeile 94-96 wird die grundlegende Ausrichtung klar formuliert: “Hierzu werden wir unter anderem Investitionen, Innovationen und Wettbewerb fördern, Steuern, Abgaben und Energiepreise senken, Arbeitsanreize verbessern, die Dekarbonisierung unterstützen, Bürokratie zurückbauen und eine aktive Handelspolitik betreiben.”

Der Deutschlandfonds als zentrales Instrument

Das Herzstück der wirtschaftlichen Fördermaßnahmen ist der geplante Deutschlandfonds. In Zeile 111-112 des Koalitionsvertrags heißt es: “Investitionen sind die Grundlage einer starken Wirtschaft. Wir werden einen Deutschlandfonds einrichten.” Dieser Fonds soll, wie die Spitzen von CDU, CSU und SPD in ihrer Präsentation des Koalitionsvertrags erläuterten, mit mindestens zehn Milliarden Euro vom Bund durch Garantien oder finanzielle Transaktionen ausgestattet werden. Mit zusätzlichem privaten Kapital und Garantien sollen so mindestens EUR 100 Mrd. zusammenkommen.

Der Deutschlandfonds zielt insbesondere auf die Unterstützung des Mittelstands und sogenannter Scale-ups ab – also kleiner Unternehmen mit Wachstumspotenzial. Laut Koalitionsvertrag sollen damit “Finanzierungslücken im Bereich des Wachstums- und Innovationskapitals” (Zeile 117) geschlossen werden. Die Koalition plant, die privaten Investitionen von Investoren bei der WIN-Initiative auf über EUR 25 Mrd. mehr als zu verdoppeln und “mit Garantien des Bundes weiter [zu] hebeln” (Zeile 122-123).

Steuerliche Entlastungen und Investitionsanreize

Ein weiterer zentraler Baustein der Wirtschaftsförderung sind steuerliche Entlastungen und Investitionsanreize. Der Koalitionsvertrag sieht vor, die Körperschaftsteuer in fünf Schritten um jeweils einen Prozentpunkt zu senken, beginnend ab dem Jahr 2028. Für die unmittelbare Zukunft – die Jahre 2025, 2026 und 2027 – sollen Unternehmen von einer degressiven Abschreibung von 30 Prozent auf Ausrüstungsinvestitionen profitieren können.

Wie aus dem Koalitionsvertrag hervorgeht, sollen Investitionen dadurch gefördert werden, dass der Unternehmenssteuersatz ab 2028 schrittweise gesenkt werden soll. Für die Jahre 2025, 2026 und 2027 soll auf Ausrüstungsinvestitionen eine degressive Abschreibung ihrer Investitionskosten von 30 Prozent gelten. 

Die Einkommensteuer für kleine und mittlere Einkommen soll ebenfalls sinken, allerdings erst zur Mitte der Legislaturperiode. Der umstrittene Solidaritätszuschlag soll hingegen unverändert bestehen bleiben – einkommensstarke Bürger und Unternehmen müssen diese Sonderabgabe also weiterhin zahlen.

Bürokratieabbau und Vereinfachung von Unternehmensgründungen

Ein wesentlicher Aspekt der Wirtschaftsförderung im Koalitionsvertrag ist der Abbau bürokratischer Hürden, insbesondere für Start-ups und Unternehmensgründungen. In Zeile 104-106 wird ein “vollständiger One-Stop-Shop” angekündigt, “der alle Anträge und Behördengänge auf einer Plattform digital bündelt und eine Unternehmensgründung innerhalb von 24 Stunden ermöglicht.”

Für Start-ups soll eine “Gründerschutzzone” geprüft werden, um Bürokratie zu reduzieren. Zudem sollen notarielle Vorgänge vereinfacht und digitale Beurkundungsprozesse sowie der automatische Datenaustausch zwischen Notariat, Finanzamt und Gewerbeamt ermöglicht werden (Zeile 101-104). Diese Maßnahmen zielen darauf ab, Deutschland als attraktiven Standort für Unternehmensgründungen zu positionieren und die administrativen Hürden für Gründerinnen und Gründer deutlich zu senken.

2. Branchenspezifische Förderungen für die Wirtschaft

Der Koalitionsvertrag enthält zahlreiche branchenspezifische Fördermaßnahmen, die auf die besonderen Bedürfnisse und Herausforderungen verschiedener Wirtschaftszweige zugeschnitten sind. Im Folgenden werden die wichtigsten Förderungen für einzelne Branchen detailliert dargestellt.

Industrie und Dekarbonisierung

Die Förderung der Industrie und insbesondere die Unterstützung bei der Dekarbonisierung nehmen im Koalitionsvertrag einen prominenten Platz ein. In Zeile 164-166 wird angekündigt: “Wir werden die Förderregeln und -praxis für Industrieansiedlungen und Großvorhaben modernisieren und bürokratische Hürden abbauen. Wir werden auch die Förderprogramme zur Dekarbonisierung der Industrie, unter anderem die Klimaschutzverträge, fortsetzen.”

Ein besonderer Fokus liegt auf der Entlastung energieintensiver Unternehmen. Der Koalitionsvertrag sieht vor, die Stromsteuer “für alle auf das europäische Mindestmaß” zu senken und einen Industriestrompreis für energieintensive Firmen einzuführen. Zudem sollen Umlagen und Netzentgelte reduziert werden. Diese Maßnahmen zielen darauf ab, die internationale Wettbewerbsfähigkeit der deutschen Industrie zu stärken und gleichzeitig den Übergang zu einer klimaneutralen Produktion zu unterstützen.

Für die Stahl- und Automobilindustrie, die vor besonderen Herausforderungen steht (Zeile 218), sind spezifische Unterstützungsmaßnahmen vorgesehen. Auch die Abscheidung und Speicherung von Kohlendioxid (CCS) soll insbesondere für schwer vermeidbare Emissionen des Industriesektors und für Gaskraftwerke ermöglicht werden. Die Stahlindustrie, die aus Sicht der Koalition “von zentraler strategischer Bedeutung für den Wirtschaftsstandort ist” (Capital, 09.04.2025), soll diese Technologie ebenfalls nutzen können.

Innovation und Digitalisierung

Die Förderung von Innovation und Digitalisierung bildet einen weiteren Schwerpunkt im Koalitionsvertrag. Deutschland soll als “KI-Nation” (Zeile 107-108) etabliert werden, was “massive Investitionen in die Cloud- und KI-Infrastruktur sowie in die Verbindung von KI und Robotik” erfordert. Zudem sollen “Leichtbau-Technologie, additive Fertigung und 3D-Druck” gefördert werden (Zeile 109).

Die Biotechnologie wird im Koalitionsvertrag als “Schlüsselindustrie” bezeichnet, die gefördert werden soll (Zeile 187). Auch die Mikroelektronik und Halbleiterindustrie sollen unterstützt werden, wobei “Investitionen unter dem European Chips Act und dem IPCEI-Rahmen weiterhin” gefördert werden sollen (Zeile 191).

Laut Koalitionsvertrag soll Deutschland als “führender Standort für Mikroelektronik” etabliert werden, wobei “Forschung, Fachkräfte und Fertigung zusammen” gedacht werden sollen. Ein Kompetenzzentrum für Chipdesign soll aufgebaut werden, um die technologische Souveränität Deutschlands in diesem strategisch wichtigen Bereich zu stärken.

Mobilität und Verkehr

Im Bereich Mobilität und Verkehr setzt der Koalitionsvertrag klare Schwerpunkte bei der Förderung der Elektromobilität. In Zeile 201 wird angekündigt: “Wir werden die E-Mobilität mit Kaufanreizen fördern.” Die steuerliche Förderung von E-Fahrzeugen soll auf EUR 100.000 angehoben werden (Zeile 204).

Konkret plant die Koalition Sonderabschreibungen für E-Autos, eine stärkere steuerliche Begünstigung von Dienstwagen durch eine Erhöhung der Bruttopreisgrenze sowie die Befreiung von der Kfz-Steuer für E-Autos bis 2035. Eine Förderung von Plug-In-Hybrid-Technologie (PHEVs) und Elektrofahrzeugen mit Range-Extender ist ebenfalls vorgesehen (Zeile 209).

Darüber hinaus soll der “beschleunigte Ausbau und die Sicherstellung der Finanzierung eines flächendeckenden” Ladenetzes vorangetrieben und “die stärkere Förderung des gewerblichen Depotladens” umgesetzt werden (Zeile 211-213). Auch eine “Förderung einer Wasserstoff-Ladeinfrastruktur für Nutzfahrzeuge” ist geplant (Zeile 215).

Die Luftfahrtbranche soll mit Steuererleichterungen entlastet werden. “Die luftverkehrsspezifischen Steuern, Gebühren und Abgaben wollen wir reduzieren und die Erhöhung der Luftverkehrsteuer zurücknehmen”, heißt es im Koalitionsvertrag.

Start-ups und Mittelstand

Start-ups und der Mittelstand erhalten im Koalitionsvertrag besondere Aufmerksamkeit. Neben dem bereits erwähnten Bürokratieabbau und der Vereinfachung von Unternehmensgründungen sind spezifische Fördermaßnahmen für diese Unternehmensgruppen vorgesehen.

Die Mitarbeiterkapitalbeteiligung soll “durch eine praxisnahe Ausgestaltung von Steuer- und Sozialversicherungsrecht weiter gestärkt” werden (Zeile 106-107). Zudem sollen “spezielle Förderungen für Gründerinnen ausgebaut” werden (Zeile 133), um die Unterrepräsentation von Frauen im Start-up-Bereich zu adressieren.

Der Koalitionsvertrag betont die Bedeutung von Start-ups als “Hidden Champions und DAX-Konzerne von morgen” (Zeile 101) und sieht verschiedene Maßnahmen vor, um das Start-up-Ökosystem in Deutschland zu stärken. Dazu gehört auch die Verbesserung der Finanzierungsbedingungen, insbesondere im Bereich des Wachstums- und Innovationskapitals.

Außenwirtschaft und Handel

Die Koalition bekennt sich zu einer aktiven Außenwirtschaftsförderung. In Zeile 293 wird angekündigt: “Wir werden die Instrumente der Außenwirtschaftsförderung strategisch ausrichten”. Die Außenwirtschaftsförderung soll mit der Entwicklungszusammenarbeit für die deutsche Wirtschaft verknüpft werden (Zeile 4246).

Die geplante Regierung strebt weitere Handels- und Investitionsabkommen an und unterstützt entsprechende Bemühungen der EU. “Mit den USA streben wir mittelfristig ein Freihandelsabkommen an, kurzfristig wollen wir einen Handelskonflikt vermeiden und setzen auf die Reduzierung von Einfuhrzöllen auf beiden Seiten des Atlantiks”, heißt es im Koalitionsvertrag.

Diese Maßnahmen zielen darauf ab, die internationale Wettbewerbsfähigkeit der deutschen Wirtschaft zu stärken und neue Absatzmärkte für deutsche Produkte und Dienstleistungen zu erschließen.

3. Förderungen für Forschung und Bildung

Der Koalitionsvertrag zwischen CDU, CSU und SPD setzt neben der Wirtschaftsförderung einen deutlichen Schwerpunkt auf die Förderung von Forschung, Innovation und Bildung. Diese Bereiche werden als zentrale Säulen für die Zukunftsfähigkeit Deutschlands betrachtet. Im Folgenden werden die wichtigsten Fördermaßnahmen für Forschung und Bildung detailliert dargestellt.

Hightech Agenda Deutschland

Ein Kernstück der Forschungsförderung im Koalitionsvertrag ist die “Hightech Agenda für Deutschland”. In Zeile 2503-2505 wird angekündigt: “Wir starten eine Hightech Agenda für Deutschland unter Einbindung der Länder. Wir wollen dazu in definierten Missionen technologieoffene Innovationsökosysteme und Forschungsfelder organisieren und fördern mit klaren Zielen und Meilensteinen”.

Die Hightech Agenda setzt klare Prioritäten bei der Förderung von Schlüsseltechnologien. Der Koalitionsvertrag nennt in Zeile 2507-2508 explizit: “Wir priorisieren für die Hightech Agenda in einem ersten Schritt die Forschungs- und Innovationsförderung des Bundes auf folgende Schlüsseltechnologien:”

Künstliche Intelligenz

Im Bereich der Künstlichen Intelligenz plant die Koalition eine umfassende Offensive. In Zeile 2509-2512 heißt es: “Wir starten eine KI-Offensive mit einem 100.000-GPU-Programm (AI-Gigafactory). Wir stellen eine exzellente Infrastruktur bereit, die Forschung und Hochschulen durch den Auf- und Ausbau von Hoch- und Höchstleistungsrechenzentren den Zugang zu entsprechenden Rechnerinfrastrukturen ermöglicht. Wir wollen im Verbund KI-Spitzenzentren errichten.”

Diese massive Investition in KI-Infrastruktur unterstreicht den Anspruch Deutschlands, sich als führende “KI-Nation” zu etablieren. Die Verbindung von KI und Robotik wird dabei besonders betont, was die Anwendungsorientierung der Forschungsförderung verdeutlicht.

Quantentechnologien

Die Quantentechnologie wird als weiterer Schwerpunkt der Forschungsförderung definiert. Der Koalitionsvertrag kündigt in Zeile 2513-2515 an: “Wir bauen das nationale Quantenökosystem aus. Leistungsfähige Quantensysteme machen wir in der Fläche verfügbar und sorgen für die beschleunigte Entwicklung von mindestens zwei Quantenhöchstleistungsrechnern im Wettbewerb.”

Die Förderung der Quantentechnologie zielt darauf ab, Deutschland in diesem zukunftsweisenden Technologiefeld international wettbewerbsfähig zu positionieren und die technologische Souveränität zu stärken.

Mikroelektronik

Im Bereich der Mikroelektronik setzt der Koalitionsvertrag auf eine ganzheitliche Förderung. In Zeile 2516-2518 wird angekündigt: “Wir stärken den Mikroelektronikstandort Deutschland und denken dabei Forschung, Fachkräfte und Fertigung zusammen – wir bauen ein Kompetenzzentrum für Chipdesign auf.”

Diese Maßnahme steht im Einklang mit der europäischen Chips-Strategie und soll dazu beitragen, die Abhängigkeit von internationalen Lieferketten im Bereich der Halbleiter zu reduzieren.

Biotechnologie

Die Biotechnologie wird im Koalitionsvertrag als Schlüsselindustrie definiert, die besondere Förderung erfahren soll. In Zeile 2519-2522 heißt es: “Wir fördern die Entwicklung neuer Wirkstoffe und Therapien durch die lebenswissenschaftliche, molekularbiologische und pharmazeutische Forschung sowie die Agrar-/Ernährungswissenschaften und Biodiversitätsforschung. Wir schaffen eine Nationale Biobank als Grundlage für Präventions-, Präzisions- und personalisierte Medizin.”

Die Förderung der Biotechnologie umfasst somit sowohl medizinische als auch landwirtschaftliche Anwendungen und zielt auf eine Stärkung des Biotechnologiestandorts Deutschland ab.

Fusion und klimaneutrale Energieerzeugung

Ein besonderer Schwerpunkt liegt auf der Förderung von Technologien zur klimaneutralen Energieerzeugung. Der Koalitionsvertrag kündigt in Zeile 2523-2526 an: “Wir bringen neuartige Klimatechnologien voran. Wir bauen die Forschung im Bereich Photovoltaik, Windenergie, Geothermie, Wasserstoff sowie Speichertechnologien wie zum Beispiel Batterien aus. Wir wollen die Fusionsforschung stärker fördern. Unser Ziel ist: Der erste Fusionsreaktor der Welt soll in Deutschland stehen.”

Diese ambitionierte Zielsetzung unterstreicht den Anspruch Deutschlands, eine Führungsrolle bei der Entwicklung zukunftsweisender Energietechnologien einzunehmen.

Klimaneutrale Mobilität

Im Bereich der Mobilitätsforschung setzt der Koalitionsvertrag klare Prioritäten. In Zeile 2527-2530 wird angekündigt: “Wir intensivieren unsere Forschungsaktivitäten für die Dekarbonisierung der bodengebundenen Mobilität sowie der Schiff- und Luftfahrt. Der verlässliche Auf- und Ausbau der Batterieforschung über die Kompetenzcluster spielt ebenso wie die vernetzte Mobilität eine zentrale Rolle.”

Die Förderung der Mobilitätsforschung ist eng mit den wirtschaftspolitischen Zielen der Koalition verknüpft und soll dazu beitragen, die Transformation der Automobilindustrie zu unterstützen.

Strategische Forschungsfelder

Neben den Schlüsseltechnologien definiert der Koalitionsvertrag mehrere strategische Forschungsfelder, die besondere Förderung erfahren sollen.

Gesundheitsforschung

Im Bereich der Gesundheitsforschung setzt der Koalitionsvertrag klare Schwerpunkte. In Zeile 2532-2538 heißt es: “Wir stärken die Gesundheitsforschung auch mit Fokus auf personalisierte Medizin. Den strategischen Ansatz bei der Gen- und Zelltherapie führen wir fort. Wir unterstützen die Bemühungen des Deutschen Krebsforschungszentrums (DKFZ) zur Gründung von Außenstellen, um so den Zugang zu Innovationen und Forschung flächendeckend zu verbessern. Wir bauen im Bereich der onkologischen Forschung und klinischen Versorgung relevante Netzwerke aus (DKTK, NCT). Wir fördern Forschung zu Frauengesundheit und postinfektiösen Erkrankungen (Long COVID, ME/CFS und PostVac).”

Die Förderung der Gesundheitsforschung zielt darauf ab, die medizinische Versorgung zu verbessern und innovative Therapieansätze zu entwickeln.

Meeres-, Klima- und Nachhaltigkeitsforschung

Die Koalition bekennt sich zu einer verstärkten Förderung der Umwelt- und Klimaforschung. In Zeile 2539-2542 wird angekündigt: “Wir erneuern die deutsche Forschungsflotte und verstetigen die Deutsche Allianz Meeresforschung. Wir stärken die Forschung zu Klimawandel, Klimafolgen und Klimaanpassung sowie zu klimarelevanten Ökosystemen wie Wäldern, Küsten, Mooren, Hochgebirgen und zur Kreislaufwirtschaft.”

Diese Forschungsförderung ist eng mit den klimapolitischen Zielen der Koalition verknüpft und soll dazu beitragen, wissenschaftliche Grundlagen für effektive Klimaschutz- und Anpassungsmaßnahmen zu schaffen.

Geistes- und Sozialwissenschaften

Auch die Geistes- und Sozialwissenschaften erfahren im Koalitionsvertrag besondere Aufmerksamkeit. In Zeile 2543-2546 heißt es: “Wir stärken die Förderung von Sozial-, Geistes- und Kulturwissenschaften, vor allem die Erinnerungskultur, politische Bildung und Demokratieforschung sowie die Sozialpolitikforschung. Wir entwickeln ein Kompetenznetzwerk für jüdische Gegenwartsforschung und stärken die Antisemitismusforschung.”

Diese Förderung unterstreicht die Bedeutung, die die Koalition den gesellschaftlichen und kulturellen Dimensionen der Forschung beimisst.

Sicherheits- und Verteidigungsforschung

Ein weiterer Schwerpunkt liegt auf der Sicherheits- und Verteidigungsforschung. Der Koalitionsvertrag kündigt in Zeile 2547-2551 an: “Wir bauen die Friedens- und Konfliktforschung sowie Regionalforschung (zum Beispiel zu Osteuropa, China, USA) aus und schaffen eine Förderkulisse für Sicherheits- und Verteidigungsforschung einschließlich Cybersicherheit und sicherer Infrastrukturen, um Kooperation von Hochschulen und außeruniversitärer Forschung mit Bundeswehr und Unternehmen gezielter zu ermöglichen.”

Diese Förderung spiegelt die sicherheitspolitischen Herausforderungen wider und zielt auf eine Stärkung der Resilienz kritischer Infrastrukturen ab.

Luft- und Raumfahrt

Im Bereich der Luft- und Raumfahrt plant die Koalition eine umfassende Offensive. In Zeile 2552-2554 heißt es: “Wir starten eine Offensive für Luft- und Raumfahrt und bringen Spitzenforschung und Kommerzialisierung erfolgreich zusammen. Wir errichten eine Nationale Hyperloop Referenzstrecke.”

Diese Förderung zielt darauf ab, Deutschland als führenden Standort für Luft- und Raumfahrttechnologie zu positionieren und innovative Mobilitätskonzepte zu entwickeln.

Hochschulen und Forschungstransfer

Ein zentrales Anliegen des Koalitionsvertrags ist die Stärkung des Forschungstransfers und die bessere Verzahnung von Wissenschaft und Wirtschaft.

Initiative Forschung & Anwendung

Der Koalitionsvertrag kündigt in Zeile 2556-2559 die Schaffung einer neuen Dachmarke an: “Wir schaffen eine Dachmarke „Initiative Forschung & Anwendung” mit drei Säulen: (1) Die Programme ZIM, IGF und INNO-KOM, (2) „Transferbooster” mit den Transfer-Programmen des BMBF inklusive DATI-Pilot unter Konsortialführerschaft der HAW, (3) „Deutsche Anwendungsforschungsgemeinschaft” (DAFG) mit den Programmen „Forschen an HAW” und „FH Personal”.”

Diese Initiative zielt darauf ab, den Wissens- und Technologietransfer zwischen Hochschulen, Forschungseinrichtungen und Unternehmen zu verbessern und die anwendungsorientierte Forschung zu stärken.

Stärkung der Hochschulen für angewandte Wissenschaften

Ein besonderer Fokus liegt auf der Stärkung der Hochschulen für angewandte Wissenschaften (HAW). In Zeile 2559-2561 heißt es: “Die DAFG soll perspektivisch in den Pakt für Forschung und Innovation (PFI) aufgenommen werden. Hochschulen für angewandte Wissenschaften (HAW) müssen angemessen am Förderaufkommen der DAFG beteiligt werden.”

Diese Maßnahme zielt darauf ab, die anwendungsorientierte Forschung an HAWs zu stärken und ihre Rolle im deutschen Wissenschaftssystem aufzuwerten.

Innovationsfreiheitsgesetz

Ein zentrales Element zur Stärkung der Forschung ist das geplante Innovationsfreiheitsgesetz. Der Koalitionsvertrag kündigt in Zeile 2565-2566 an: “Wir geben der Forschung mehr Freiheit und entfesseln sie von kleinteiliger Förderbürokratie. Wir schaffen Bereichsausnahmen für Forschung unter anderem im Umsatzsteuergesetz und identifizieren weitere Bereiche etwa im Vergaberecht.”

Ziel ist es, bürokratische Hürden abzubauen und die Rahmenbedingungen für Forschung und Innovation zu verbessern. In Zeile 2567-2570 wird konkretisiert: “Wir werden Antragslogiken, Nachweiserfordernisse und Regularien entschlacken und Entscheidungen beschleunigen. Hierzu gehören zum Beispiel eine flexiblere Bewirtschaftung von Projektmitteln und Verschlankung der Steuerungssystematik der Projektträger.”

Verlässlichkeit und Planbarkeit der Forschungsförderung

Der Koalitionsvertrag betont die Bedeutung von Verlässlichkeit und Planbarkeit in der Forschungsförderung. In Zeile 2591-2592 wird angekündigt: “Bei der steuerlichen Forschungszulage heben wir den Fördersatz und die Bemessungsgrundlage deutlich an”. Zudem sollen die “Rahmenbedingungen der Regelfinanzierung der Forschungsförderung” (Zeile 2594) verbessert werden.

Diese Maßnahmen zielen darauf ab, die Planungssicherheit für Forschungseinrichtungen und forschende Unternehmen zu erhöhen und langfristige Forschungsvorhaben zu ermöglichen.

Bildungsförderung

Neben der Forschungsförderung setzt der Koalitionsvertrag auch klare Akzente bei der Förderung von Bildung und Qualifizierung.

Berufliche Bildung und Weiterbildung

Im Bereich der beruflichen Bildung und Weiterbildung kündigt der Koalitionsvertrag verschiedene Fördermaßnahmen an. In Zeile 2384 wird die Bedeutung der “Begabtenförderung” betont. Zudem sollen “Fortbildungsstufen zunächst für Mangelberufe förderfähig” gemacht werden (Zeile 2393).

Ein besonderer Fokus liegt auf der Digitalisierung der Weiterbildung. In Zeile 2402 heißt es: “Wir legen einen Digitalpakt Weiterbildung und ein Förderprogramm zur digitalen Teilhabe auf.” Diese Maßnahme zielt darauf ab, die digitalen Kompetenzen der Bevölkerung zu stärken und lebenslanges Lernen zu fördern.

Begabtenförderung

Die Koalition bekennt sich zu einer Stärkung der Begabtenförderung. In Zeile 2458 wird angekündigt: “Wir stärken Begabtenförderwerke und die Stiftung Begabtenförderung Berufliche Bildung und heben die Förderung deutlich an.” Diese Maßnahme zielt darauf ab, talentierte junge Menschen unabhängig von ihrer sozialen Herkunft zu fördern und ihnen Bildungschancen zu eröffnen.

Bildungsstätten und Infrastruktur

Der Koalitionsvertrag adressiert auch den Investitionsstau in den Bildungseinrichtungen. In Zeile 349 heißt es: “Wir wollen den Investitionsstau in den Bildungsstätten mit einer verlässlichen Förderung lösen.” Diese Maßnahme zielt darauf ab, die Lehr- und Lernbedingungen zu verbessern und die Bildungsinfrastruktur zu modernisieren.

4. Fazit und Ausblick

Der Koalitionsvertrag zwischen CDU, CSU und SPD setzt klare Schwerpunkte bei der Förderung von Wirtschaft, Forschung und Bildung. Mit einem umfassenden Paket an Maßnahmen soll Deutschland wieder auf einen Wachstumskurs gebracht und die Wettbewerbsfähigkeit gestärkt werden.

Zusammenfassung der wichtigsten Fördermaßnahmen

Im Bereich der Wirtschaftsförderung stehen der Deutschlandfonds, steuerliche Entlastungen und Investitionsanreize sowie der Abbau bürokratischer Hürden im Mittelpunkt. Branchenspezifische Förderungen adressieren die besonderen Bedürfnisse und Herausforderungen verschiedener Wirtschaftszweige, wobei ein besonderer Fokus auf der Industrie, der Digitalisierung und der Mobilität liegt.

Im Bereich der Forschungsförderung setzt der Koalitionsvertrag auf eine Hightech Agenda mit klaren Prioritäten bei Schlüsseltechnologien wie KI, Quantentechnologie, Mikroelektronik, Biotechnologie und klimaneutraler Energieerzeugung. Strategische Forschungsfelder wie Gesundheitsforschung, Klima- und Nachhaltigkeitsforschung sowie Sicherheits- und Verteidigungsforschung erfahren besondere Förderung.

Im Bereich der Bildungsförderung stehen die berufliche Bildung und Weiterbildung, die Begabtenförderung sowie Investitionen in die Bildungsinfrastruktur im Mittelpunkt.

Bewertung der Erfolgsaussichten

Die im Koalitionsvertrag vorgesehenen Fördermaßnahmen haben das Potenzial, positive Impulse für die deutsche Wirtschaft zu setzen und die Wettbewerbsfähigkeit zu stärken. Besonders die Fokussierung auf Investitionen und Innovation sowie die Entlastung bei Energiekosten und Steuern könnten dazu beitragen, das Wirtschaftswachstum zu beleben.

Die Förderung von Schlüsseltechnologien und strategischen Forschungsfeldern kann dazu beitragen, Deutschlands Position in zukunftsweisenden Technologiebereichen zu stärken und die technologische Souveränität zu erhöhen.

Entscheidend für den Erfolg der Maßnahmen wird jedoch die konsequente Umsetzung sein. Hier wird es darauf ankommen, dass die angekündigten Fördermaßnahmen zügig und unbürokratisch implementiert werden und dass die notwendigen finanziellen Mittel bereitgestellt werden.

Ausblick auf die Umsetzung

Die Umsetzung der im Koalitionsvertrag vorgesehenen Fördermaßnahmen wird eine der zentralen Aufgaben der neuen Bundesregierung sein. 

Allerdings werden die fiskalischen Spielräume durch die Schuldenbremse und die wirtschaftlichen Herausforderungen begrenzt sein. Es wird daher darauf ankommen, Prioritäten zu setzen und die verfügbaren Mittel effizient einzusetzen.

Die ersten Maßnahmen, wie die degressive Abschreibung für Investitionen und der Deutschlandfonds, sollen bereits in den ersten 100 Tagen der Regierung auf den Weg gebracht werden. Andere Maßnahmen, wie die Senkung der Körperschaftsteuer, sind erst für die zweite Hälfte der Legislaturperiode oder sogar darüber hinaus geplant.

Insgesamt bietet der Koalitionsvertrag eine solide Grundlage für eine wachstumsorientierte Wirtschafts-, Forschungs- und Bildungspolitik. Die konsequente Umsetzung der vorgesehenen Fördermaßnahmen könnte dazu beitragen, Deutschland wieder auf einen nachhaltigen Wachstumspfad zu führen und die Wettbewerbsfähigkeit im internationalen Vergleich zu stärken.

Dennis Hillemann
Tanja Ehls
Johannes Voß-Lünemann

Ziel der Verordnung ist es, einerseits Innovationen zu fördern und das Vertrauen in KI zu stärken und andererseits sicherzustellen, dass KI nur so eingesetzt wird, dass die Grundrechte und die Sicherheit der Bürger der EU gewahrt bleiben. Dabei wird ein risikobasierter Ansatz verfolgt: Je höher das von einem KI-System ausgehende Risiko, desto umfassender sind die Verpflichtungen. KI-Systeme mit inakzeptablem Risiko sind gänzlich verboten.

Die KI-VO sieht einen zeitlich gestaffelten Geltungsbeginn vor. So gelten die Kapitel I und II (Allgemeine Bestimmungen und Unzulässige Praktiken) bereits ab dem 2. Februar 2025. Weitere Regelungen, insbesondere zu KI-Modellen für allgemeine Zwecke sowie Sanktionsvorschriften, gelten ab dem 2. August 2025. Der Großteil der Bestimmungen der KI-VO ist dann 24 Monate nach ihrem Inkrafttreten anwendbar, konkret ab dem 2. August 2026. Eine verlängerte Anwendungsfrist gilt schließlich für die Vorschriften zu den sog. Hochrisiko-KI-Systemen, die erst ab dem 2. August 2027 anwendbar sind.

Anwendungsbereich

Die KI-VO richtet sich insbesondere an Anbieter und Betreiber von KI-Systemen. Anbieter sind dabei diejenigen, die ein KI-System entwickeln oder entwickeln lassen und unter ihrem eigenen Namen oder ihrer eigenen Marke in Verkehr bringen oder in Betrieb nehmen. Betreiber ist derjenige, der ein KI-System in eigener Verantwortung einsetzt.

Öffentliche Stellen, die KI-Systeme einsetzen wollen, werden daher regelmäßig als Betreiber einzustufen sein. Zu denken ist beispielsweise an den Einsatz von KI-gestützten Chatbots in der Verwaltung, KI-Assistenten für Recherche und Texterstellung oder die Automatisierung von Routineaufgaben (Robotic Process Automation). Im Rahmen einer modernen, digitalen Verwaltung hat KI großes Potenzial und kann sich als Schlüsseltechnologie erweisen.

Pflichten ab dem 2. Februar 2025:

1.  KI-Kompetenz

Nach Art. 4 KI-VO müssen Anbieter und Betreiber von KI-Systemen sicherstellen, dass die Personen, die mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über eine ausreichende KI-Kompetenz verfügen. Dies betrifft regelmäßig alle Beschäftigten, die in irgendeiner Form mit KI-Systemen arbeiten. Ziel ist es, einen verantwortungsvollen Umgang mit KI sicherzustellen.

Für die Frage des Umfangs der Wissensvermittlung kommt es auf den Einzelfall an. Entscheidend sind der konkrete Anwendungsfall des KI-Systems und die Rolle der Beschäftigten. Bei einem KI-System mit besonders hohem Risiko sind entsprechend höhere Anforderungen an die KI-Kompetenz der Beschäftigten zu stellen als bei der Verwendung einer standardisierten KI wie z.B. einem Schreibprogramm.

a) Maßnahmen zur Schaffung der KI-Kompetenz

Um die notwendige KI-Kompetenz zu erreichen, stehen verschiedene Compliance-Instrumente zur Verfügung. So können interne Richtlinien zum Einsatz von KI-Systemen den Aufbau und die Aufrechterhaltung eines ausreichenden Kompetenzniveaus unterstützen. Darin sollten die Regeln und Verbote im Umgang mit KI-Systemen festgelegt werden. Je nach Anwendung können auch Schulungen und Trainings hilfreich sein, wobei auch hier die Rolle der jeweiligen Beschäftigten und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind.

Eine zentrale Rolle kann zudem die Schaffung einer internen Anlaufstelle spielen, z.B. durch die Ernennung eines internen KI-Beauftragten, der die KI-Kompetenz innerhalb einer Organisation zentralisieren und fördern kann. Der KI-Beauftragte dient als Ansprechpartner für alle KI-bezogenen Fragen, überwacht die Einhaltung ethischer Richtlinien und Standards und stellt sicher, dass Aus- und Weiterbildungsinitiativen durchgeführt werden. Eine gesetzliche Verpflichtung zur Bestellung eines solchen KI-Beauftragten sieht die KI-VO allerdings nicht vor. Ob Unternehmen oder öffentliche Stellen eine solche Position benötigen, hängt daher insbesondere davon ab, wie und in welchem Umfang KI eingesetzt wird.

b) Der Datenschutzbeauftragte als KI-Beauftragter

Anders als für den Datenschutzbeauftragten (DSB) in der DSGVO ergibt sich aus der KI-VO, wie bereits erwähnt, keine ausdrückliche Verpflichtung zur Bestellung eines KI-Beauftragten. Wenn jedoch bereits ein DSB vorhanden ist, ist es denkbar, dessen Aufgabenbereich in Bezug auf KI zu erweitern. So ist es beispielsweise zulässig, dass der DSB Schulungs- und Sensibilisierungsaufgaben in Bezug auf die KI-VO übernimmt.

Auch wenn eine solche Doppelfunktion nicht verboten ist, sind doch einige Punkte zu beachten. So dürfen dem DSB keine wesentlichen Entscheidungsbefugnisse in Bezug auf den Einsatz von KI übertragen werden, soweit im Zusammenhang mit KI personenbezogene Daten verarbeitet werden. Dies würde der rein beratenden und unterstützenden Funktion des DSB widersprechen und auch seiner Kontrollfunktion zuwiderlaufen. Es ist zu vermeiden, dass der DSB durch eine derartige Doppelfunktion in einen Interessenkonflikt gerät. Der DSB darf daher nicht über konkret einzusetzende Lösungen von KI-Systemen entscheiden. Auch muss sichergestellt werden, dass dem DSB durch die zusätzlichen Aufgaben weiterhin ausreichend Ressourcen zur Verfügung stehen, um seinen gesetzlichen Verpflichtungen aus der DSGVO nachzukommen. Darüber hinaus sollte der DSB für die Wahrnehmung seiner erweiterten Aufgaben entsprechend geschult und hierfür von seiner Tätigkeit freigestellt werden.

2.  Verbot bestimmter Praktiken im KI-Bereich

Die zweite wichtige Verpflichtung aus der KI-VO, die ab dem
2. Februar 2025 gilt, ist die Unterbindung verbotener Praktiken.

In Art. 5 KI-VO werden sog. verbotene Praktiken aufgezählt, die ein unannehmbares Risiko für die Sicherheit, die Rechte und die Freiheiten von Personen darstellen. Darunter fallen beispielsweise KI-Systeme mit Manipulations- und Täuschungstechniken, Social Scoring und Systeme zur Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen.

Bei Verstößen gegen dieses Verbot drohen ab dem 2. August 2025 Geldbußen von bis zu 35 Millionen Euro oder – bei Unternehmen – bis zu 7 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist.

Auch wenn die meisten Verantwortlichen den Einsatz solcher Praktiken in ihren Unternehmen oder öffentlichen Stellen verneinen dürften, sollten bereits eingesetzte oder geplante KI-Systeme auf verbotene Praktiken nach Art. 5 KI-VO überprüft werden. KI-Anwendungen können z.B. schon heute die Stimmung einzelner Teilnehmer eines Online-Meetings abfragen, um z.B. Aufregung, Ärger, Belustigung oder Traurigkeit zu erkennen. Hilfestellung bieten insoweit die kürzlich veröffentlichten Leitlinien der EU-Kommission zu verbotenen KI-Praktiken, die auf der Webseite der EU-Kommission abrufbar sind.

Fazit

Da Teile der KI-VO bereits gelten, sollten die Verantwortlichen prüfen, ob in ihren Betrieben oder Einrichtungen KI-Systeme eingesetzt werden oder deren Einsatz geplant ist. Dies dürfte in den meisten Fällen bereits der Fall sein, auch wenn es sich nur um allgemeine Anwendungen oder Assistenzsysteme handelt.

Insofern sollten die KI-Systeme im Hinblick auf verbotene Praktiken nach Art. 5 KI-VO überprüft werden. Hinsichtlich der erforderlichen KI-Kompetenz der Beschäftigten ist der konkrete Schulungsbedarf zu ermitteln. Die Schulung sollte durch verbindliche KI-Richtlinien flankiert werden, um einen Verhaltenskodex im Umgang mit KI zu etablieren. Gegebenenfalls ist die Benennung eines KI-Beauftragten zur koordinierten Steuerung aller KI-Maßnahmen zu erwägen. Dieser kann Unternehmen und öffentliche Stellen auch auf die kommenden Pflichten aus der KI-Verordnung vorbereiten und diesbezüglich beraten. Schließlich ist bei der Einführung und Nutzung von KI-Systemen an eine mögliche Mitbestimmung durch Betriebs- oder Personalräte zu denken.

Jason Komninos

Der vollständige Artikel ist hier abrufbar (Login/Abonnement erforderlich).

Banyan Software wurde 2016 gegründet und erwirbt regelmäßig wachsende Softwarefirmen mit dem Ziel, diese im Rahmen einer Buy-and-Hold-Strategie langfristig zu entwickeln. Banyan Software verfügt über Standorte in Kanada, Großbritannien sowie in der DACH-Region.

FoxInsights mit Hauptsitz in München ist ein Spin-off eines der Top3 Innovation Labs (EnBW Innovation) in Deutschland. Das Unternehmen bietet IoT-basierte Tankfernüberwachungslösungen. Durch Digitalisierung und Data Analytics optimiert FoxInsights das Verkaufs- und Bestellverfahren sowie die Lieferketten in den Bereichen Energie, Mobilität und Recycling.

Berater Banyan Software:
ADVANT Beiten: Christian Burmeister (Federführung), Damien Heinrich, Dr. Christian von Wistinghausen, Lelu Li (alle Corporate/M&A), Heiko Wunderlich, Fabian Buker (beide Steuern), Mathias Zimmer-Goertz, Christian Döpke (beide IP/IT), Dr. Erik Schmid, Alexander Grässel (beide Arbeitsrecht).

Pressekontakt
Frauke Reuther
Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Hintergrund

Die OS-Plattform geht auf die Verordnung über Online-Streitbeilegung in Verbraucherangelegenheiten (Verordnung (EU) 524/2013, nachfolgend: „OS-Verordnung“) zurück und zielte darauf ab, Verbrauchern Zugang zu einem einfachen, effizienten, schnellen und kostengünstigen Weg zur Beilegung von Streitigkeiten im Online-Handel zu bieten. Online-Händler und Online-Marktplätze wurden verpflichtet, einen leicht zugänglichen Link zur OS-Plattform auf ihrer Website und bei E-Mail-Kommunikation in die E-Mail aufzunehmen. Jedenfalls zuletzt wurde die OS-Plattform aber kaum mehr benutzt. Einem Bericht zur Überprüfung der Praxis der alternativen Streitbeilegung zufolge wurden nur 2 % der Verbraucherbeschwerden, d. h. nur etwa 200 Fälle pro Jahr in der gesamten EU, an eine Stelle für die außergerichtliche Streitbeilegung weitergeleitet. Die OS-Plattform wird daher als überholt betrachtet, da sich die digitalen Märkte seit ihrer Einführung stark verändert haben. Zudem haben sich inzwischen weitere alternative Streitbeilegungsmöglichkeiten auf digitalen Marktplätzen etabliert.

Aus diesem Grund wird die OS-Verordnung durch Verordnung (EU) 2024/3228 mit Wirkung vom 20. Juli 2025 aufgehoben.

Wie geht es weiter?

Bis zum 20. März 2025 ist die Einreichung von Beschwerden über die OS-Plattform noch möglich. Danach wird diese Funktion eingestellt. Spätestens ab dem 20. Juli 2025 sollen alle Informationen einschließlich personenbezogener Daten auf der OS-Plattform gelöscht werden. Mit Außerkrafttreten der OS-Verordnung entfällt ab 20. Juli 2025 auch die Hinweispflicht auf die OS-Plattform für Online-Händler. Entsprechende Hinweise im Impressum oder in AGB müssen daher angepasst werden. 

Online-Händler, die wegen eines Verstoßes gegen die Informationspflicht zur OS-Plattform eine Unterlassungs- und Verpflichtungserklärung abgegeben haben, sollten diese anpassen lassen oder unter Umständen zum Stichtag kündigen. Denn auch wenn die Verpflichtung kraft Gesetzes nicht mehr besteht, bleibt die Unterlassungsverpflichtung aus der Unterlassungs- und Verpflichtungserklärung als abstraktes Schuldverhältnis grundsätzlich bestehen.

Reform der alternativen Streitbeilegung steht noch aus

Neben der OS-Verordnung gibt es auch noch die Richtlinie über die alternative Streitbeilegung von Verbraucherangelegenheiten (Richtlinie 2013/11/EU, nachfolgend: „ADR-Richtlinie“), die ebenfalls allgemeine Informationspflichten für Unternehmer vorgibt. Auch zu dieser liegt ein Reformvorschlag der EU-Kommission vor. Danach soll diese Richtlinie nun auch nicht-vertragliche und vorvertragliche Streitigkeiten sowie Streitigkeiten mit Händlern außerhalb der EU umfassen.

Einschätzung

Die OS-Plattform wurde einer kritischen Bestandsaufnahme unterzogen. Wie sich gezeigt hat: Zu Recht. Mit ihrer Abschaltung entfällt eine von vielen Pflichtinformationen im Online-Handel. Um Konfusion zu vermeiden, muss der Hinweis auf die OS-Plattform zum 20. Juli 2025 entfernt werden. Ab diesem Datum ist er obsolet. 

Außergerichtliche Streitbeilegung wird für Verbraucher gleichwohl zunehmend an Bedeutung gewinnen. Im Bereich der Plattformregulierung legt der Digital Services Act (Verordnung (EU) 2022/2065) im Falle von Streitigkeiten zwischen Nutzern und Online-Plattformen einen Fokus auf außergerichtliche Streitbeilegung. Es bleibt daher abzuwarten, ob in Zukunft nicht eher mehr als weniger zu informieren sein wird.

Daniel Trunk

Der Fall Hayden gegen Take-Two: Wenn Körperkunst digital wird

Der renommierte Tattoo-Künstler Jimmy Hayden aus Cleveland zählt einige NBA-Stars, darunter Shaquille O'Neal, Kyrie Irving und - vorliegend relevant - auch LeBron James zu seinen Kunden. Dessen Tattoos wurden zum Gegenstand eines jahrelangen Rechtsstreits mit dem Videospiele-Publisher Take-Two Interactive, dem Unternehmen hinter der populären "NBA 2K"-Videospielreihe.

Hayden reichte bereits 2017 Klage ein. In seiner 2019 überarbeiteten Klageschrift argumentierte er, dass die detailgetreue Wiedergabe der von ihm gestochenen Tattoos in mehreren Titeln der NBA 2K-Reihe seine Urheberrechte verletze. 

Die zentrale Rechtsfrage war dabei: Benötigt ein Videospielunternehmen die Erlaubnis des Tätowierers, wenn es die Tattoos im Rahmen einer lizenzierten Nachbildung des Sportlers zeigt? Take-Two argumentierte, dass die Lizenz zur Nutzung von James' Erscheinungsbild auch das Recht einschließe, seine Tattoos darzustellen. Die Jury am Bundesgericht in Ohio folgte dieser Argumentation. Sie entschied, dass Take-Two durch die Vereinbarung zur Nutzung von James' Erscheinungsbild auch implizit das Recht erhalten habe, seine Tattoos darzustellen. 

Es ist aber nicht der einzige Fall dieser Art. Take-Two konnte bereits 2020 einen ähnlichen Rechtsstreit vor einem New Yorker Bundesgericht gewinnen. Dabei ging es um die Darstellung von Tattoos des verstorbenen Basketballspielers Kobe Bryant und anderer NBA-Spieler. 

Allerdings zeigt ein anderer Fall, dass die Rechtsprechung in diesem Bereich noch nicht völlig gefestigt ist: 2022 verurteilte eine Jury in Illinois Take-Two nämlich zur Zahlung von Schadensersatz an eine Tätowiererin, deren Werke am Körper des Wrestlers Randy Orton in der Spielereihe "WWE 2K" zu sehen waren, auch wenn es sich dabei nur um 3.750 Dollar handelte.

Diese unterschiedlichen Entscheidungen verdeutlichen, dass die rechtliche Bewertung von Tattoos in einem anderen Medium noch in der Entwicklung begriffen ist, denn der Tattookünstler Hayden soll auch bereits Berufung gegen die jüngste Entscheidung eingelegt haben. 

Was die Fototapeten-Entscheidungen des BGH damit zu tun haben

In Deutschland gibt es zwar noch keine vergleichbare Entscheidung zur Abbildung von Tätowierungen in Videospielen, die jüngst ergangenen Urteile des Bundesgerichtshof (BGH, Urteile vom 11. September 2024 - I ZR 139/23; I ZR 140/23; I ZR 141/23) zu sogenannten Fototapeten könnten aber andeuten, wie eine derartige Entscheidung vor deutschen Gerichten ausgehen würde.

Der BGH hatte sich mit einer Reihe von Fällen zu befassen, in denen es um die Abbildung von Fototapeten im Internet ging. Die Fälle, die dem BGH vorlagen, drehten sich um ein von einem Berufsfotografen gegründetes Unternehmen, das Fototapeten mit seinen Fotografien vermarktete. In drei verschiedenen Konstellationen wurden diese Tapeten von den jeweiligen Beklagten als Bilder ins Internet gestellt: Eine private Nutzerin zeigte die Tapete als Hintergrund in Facebook-Videos, eine Medienagentur präsentierte ein Kundenprojekt, bei dem die Tapete zu sehen war, und ein Hotelbetreiber warb mit Fotos seiner dekorierten Räume. In allen Fällen klagte das Unternehmen des Fotografen gegen diese Verwendung und verlangte Schadensersatz sowie die Erstattung von Abmahnkosten.

Der BGH erteilte diesen Forderungen jedoch eine klare Absage und ging von einer "konkludenten Einwilligung" aus. Die Kernüberlegung des Gerichts: Wer ein urheberrechtlich geschütztes Werk wie eine Fototapete ohne besondere Einschränkungen in den Verkehr bringt, muss mit bestimmten üblichen Nutzungen rechnen. Dazu gehört in der heutigen Zeit auch, dass die Tapete auf Fotos oder Videos zu sehen ist, die ins Internet gestellt werden - und zwar nicht nur im privaten, sondern auch im gewerblichen Kontext.

Besonders interessant ist, dass der BGH diese Überlegungen nicht auf die direkten Käufer der Tapeten beschränkte. Auch Dritte, wie etwa die Medienagentur im konkreten Fall, können sich auf die konkludente Einwilligung berufen, wenn ihre Nutzung als üblich anzusehen ist. Das Gericht betonte dabei, dass es dem Urheber selbstverständlich freistehe, bestimmte Nutzungen zu untersagen - allerdings müsse er solche Einschränkungen dann auch deutlich machen, etwa durch entsprechende vertragliche Vereinbarungen oder gut sichtbare Rechtsvorbehalte.

Diese Überlegungen sollten sich auch auf die Tattoos von in Videospielen abgebildeten Prominenten übertragen lassen. Auch ein Tätowierer bringt sein Werk ohne besondere Einschränkungen "in die Welt" - ja mehr noch: Er bringt es auf der Haut eines Menschen an, der sich naturgemäß in der Öffentlichkeit bewegt und dabei fotografiert oder gefilmt wird. Bei prominenten Sportstars wie LeBron James ist diese mediale Präsenz sogar ein wesentlicher Teil ihrer beruflichen Tätigkeit. Folgt man der Logik des BGH, müsste ein Tätowierer also damit rechnen, dass seine Werke zusammen mit ihrem "Träger" abgebildet werden - sei es in klassischen Medien, in sozialen Netzwerken oder eben auch in Videospielen.

Den Urhebern der Tattoos bleibt es überlassen, ihre Werke in expliziten Vereinbarungen mit ihren „Objekten“, den Tätowierten zu regeln. Inwieweit derartige Regelungen dann gerade im Hinblick auf das Persönlichkeitsrecht der Tätowierten wirksam wären, bietet Potential für weitere Entscheidungen des BGH.

Fabian Eckstein

Am 24. Juli 2024 ist daher nun das OZG-Änderungsgesetz in Kraft getreten. Mit dem OZG-Änderungsgesetz sollen die rechtlichen Rahmenbedingungen für die weitere Digitalisierung der Verwaltung geschaffen werden.

Um die betroffenen Stellen bei der Rechtsanwendung aus datenschutzrechtlicher Sicht zu unterstützen, hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz - „DSK“) im November 2024 eine Orientierungshilfe („OH“) zu ausgewählten Fragen des neuen OZG veröffentlicht. Darin haben die Datenschutzbehörden die aus ihrer Sicht wichtigsten datenschutzrechtlichen Änderungen zusammengefasst und geben anhand konkreter Beispiele Hilfestellungen zu bestimmten Sachverhalten.

Länderübergreifender Onlinedienst

Das OZG folgt dem so genannten "Einer-für-alle-Prinzip". Danach soll eine Behörde einen Onlinedienst, z. B. das elektronische Antragsformular für die Beantragung einer Baugenehmigung, entwickeln und allen anderen Behörden - auch länderübergreifend - zur Nachnutzung zur Verfügung stellen. Das elektronische Antragsformular basiert dabei auf der IT-Infrastruktur des entwickelnden Landes ("länderübergreifender Onlinedienst"). In dieses Antragsformular können Nutzer aus dem gesamten Bundesgebiet ihre Daten eingeben. Von dort werden die Daten an die für die jeweilige Antragsbearbeitung örtlich und fachlich zuständige Behörde weitergeleitet.

Verantwortlichkeit

§ 8a Abs. 4 des neuen OZG stellt nunmehr klar, dass in dieser Konstellation die jeweilige Behörde, die den länderübergreifenden Onlinedienst betreibt, für die Verarbeitung der Daten im Onlinedienst allein datenschutzrechtlich Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist. Soweit die Daten bei der dann zuständigen Fachbehörde (im Backend) verarbeitet werden, ist diese ebenfalls alleinige verantwortliche Stelle. Es reihen sich also mehrere Verantwortliche in einer Kette aneinander.

Bedient sich die den länderübergreifenden Onlinedienst betreibende Behörde selbst eines IT-Dienstleisters, handelt dieser als Auftragsverarbeiter nach Art. 28 DSGVO.

Rechtsgrundlage

Die Rechtsgrundlagen für die Verarbeitung personenbezogener Daten im länderübergreifenden Onlinedienst sind in § 8a Abs. 1 bis 3 OZG geregelt. Im oben genannten Beispiel einer Baugenehmigung darf die den länderübergreifenden Onlinedienst betreibende Behörde demnach die vom Antragsteller in das Antragsformular eingegebenen Daten verarbeiten, an die zuständige Fachbehörde weiterleiten und dem Nutzer über Schnittstellen auch Dokumente zu den Verwaltungsvorgängen zur Verfügung stellen.

Werden besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO verarbeitet (z. B. Gesundheitsdaten, Daten über religiöse oder weltanschauliche Überzeugungen), enthält das OZG Sonderregelungen, nach denen den technischen und organisatorischen Maßnahmen eine besondere Bedeutung zukommt.

Die Rechtsgrundlage für die Verarbeitung durch die Fachbehörde im Backend richtet sich allein nach dem jeweiligen Fachrecht, das auch ohne Nutzung des Onlinedienstes maßgeblich ist. Das OZG gilt auch nicht für Onlinedienste, die dezentral betrieben werden, also z. B. nur den Nutzern eines Bundeslandes zur Verfügung stehen.

Dokumentations- und Informationspflichten

Die Behörde, die den länderübergreifenden Onlinedienst betreibt, unterliegt als Verantwortliche verschiedenen Informations- und Dokumentationspflichten. So hat die Behörde die Informationspflichten aus Art. 12 ff. DSGVO zu erfüllen und sie muss die Betroffenenrechte aus Art. 15 ff. DSGVO wahren. Etwaige Datenpannen sind der zuständigen Datenschutzaufsichtsbehörde und ggf. den Betroffenen zu melden.

In der Regel wird vor Inbetriebnahme des jeweiligen Onlinedienstes die Erstellung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein. Darüber hinaus weist die DSK auf die Dokumentation der getroffenen technischen und organisatorischen Maßnahmen im Sinne des Art. 32 DSGVO hin. Nicht zu vergessen ist auch die Erweiterung des Verzeichnisses der Verarbeitungstätigkeiten nach Art. 30 DSGVO.

Sonstiges

Darüber hinaus enthält das OZG-Änderungsgesetz weitere Regelungen zur Digitalisierung der Verwaltung. Zur Identifizierung und Authentifizierung der Nutzer von Onlinediensten ist ein Nutzerkonto erforderlich, das künftig zentral vom Bund bereitgestellt wird. Zudem wird das bisherige Bürgerkonto des Bundes („BundID“) zur „DeutschlandID“ weiterentwickelt.

Des Weiteren wird das Gesetz zur Förderung der elektronischen Verwaltung („EGovG“) aktualisiert und in § 5 EGovG eine Rechtsgrundlage für den Abruf von Nachweisen in elektronischen Verwaltungsverfahren eingeführt. Damit werden Behörden ermächtigt, auf Weisung des Antragstellers die erforderlichen Dokumente selbst bei der ausstellenden Stelle abzurufen.

Jason Komninos

Was dann folgt, wird von betroffenen Unternehmen und deren Geschäftsleitern meist als die größte Herausforderung und Krise der Unternehmensgeschichte beschrieben. Mangels funktionierender IT-Strukturen kommt der Geschäftsbetrieb des Unternehmens häufig zum Erliegen. Während die IT-Abteilung unter Hochdruck gegen den Hackerangriff kämpft, versuchen die operativen Einheiten, den Geschäftsbetrieb unter widrigsten Umständen aufrecht zu erhalten. Kommunikation erfolgt vorübergehend nur noch über private Handys und E-Mail-Adressen. 

Ein geordneter Geschäftsbetrieb ist unter diesen Umständen meist nicht mehr möglich. Die Geschäftsleitung hat in dieser Zeit beinahe im Sekundentakt Entscheidungen mit weitreichenden Folgen zu treffen. Fristgerechte Meldungen gegenüber Datenschutzbehörden sind zu erledigen. Das Unternehmen steht in engem Austausch mit den Behörden, zum Beispiel dem Bundeskriminalamt. Externe Berater müssen kurzfristig beauftragt und koordiniert werden. An allen Stellen sind – meist sehr kurzfristig – Brandherde zu löschen. Sowohl Geschäftsleiter als auch Mitarbeiter agieren am Limit des Leistbaren. 

Aufarbeitung des Cyberangriffs – eine Zerreißprobe

Ist der Hackerangriff vorbei, beginnen die Aufräumarbeiten. Während der Angriff selbst meist nur wenige Stunden oder Tage dauert, benötigt die Wiederherstellung der IT-Systeme meist Wochen. Erste Ursachenanalysen erfolgen und Sicherheitslücken werden geschlossen. Die juristische Aufarbeitung des Cyberangriffes und dessen Folgen dauert hingegen meist Jahre. Sie wird aufgrund der finanziellen Belastung und wegen interner Schuldzuweisungen oftmals zur Zerreißprobe für das Unternehmen.

Die Suche nach Kompensation – Wer kommt für die Schäden auf?

Mit dem Cyberangriff gehen meist erhebliche finanzielle Schäden in Form von Umsatzverlusten und Kosten für die Systemwiederherstellung sowie die Krisenberatung einher. Die Angriffe führen auch häufig zu Betriebsunterbrechungen, aus welchen nicht nur eigene Umsatzverluste, sondern regelmäßig auch hohe Schadenersatzforderungen von Kunden resultieren. Schäden im zweistelligen Millionenbetrag sind nicht selten, sondern eher der Regelfall. 

Angesichts der hohen Schadenssummen steht für das geschädigte Unternehmen im Rahmen der Aufarbeitung vor allem die Kompensation der erlittenen Schäden im Vordergrund. Das Unternehmen beschäftigt sich intensiv mit der Frage, wer für diese Schäden aufzukommen hat. Nachdem die Täter in aller Regel nicht greifbar sind, wird der Schaden zunächst beim eigenen Cyberversicherer geltend gemacht – soweit überhaupt vorhanden. Häufig ist die Versicherungssumme der Cyberversicherung nicht ausreichend, sodass weitere Regressmöglichen gesucht werden. 

Sicherheitslücken und Organisationsdefizite werden identifiziert. Innerhalb des Unternehmens stellt man sich die typischen Fragen: Wie konnte es zu dem Vorfall kommen? Wer ist hierfür verantwortlich? War die IT-Infrastruktur ausreichend? Gibt es Organisationsdefizite? Der Cyberversicherungsfall weitet sich plötzlich zu weiteren Haftungs- und Versicherungsfällen aus. 

Verträge mit externen IT-Dienstleistern werden auf etwaige Pflichtverletzungen geprüft. Bei der Geschäftsleitung wird kritisch hinterfragt, ob das Unternehmen im Hinblick auf Cybersicherheit ordentlich organisiert und ausgestattet war. Der Cyberversicherungsfall ist plötzlich auch ein D&O-Versicherungsfall. Ähnliche Fragen stellen sich auch die beteiligten Versicherer, wobei dort der Fokus der Prüfung vor allem auf der Einhaltung von versicherungsrechtlichen Obliegenheiten und häufig gesondert vereinbarten IT-Sicherheitsmaßnahmen liegt. 

Juristisches Tauziehen mit ungewissem Ausgang

Ein juristisches Tauziehen sämtlicher Beteiligter beginnt. Das Unternehmen tritt in – oftmals sehr langwierige – Regulierungsgespräche mit den Versicherern ein. Gegenüber potenziellen Haftungsschuldnern werden – auch zur Sicherung etwaiger Regressansprüche nach Paragraf 86 Versicherungsvertragsgesetz – Schadenersatzansprüche geltend gemacht. 

Parallel hierzu hat das Unternehmen meist Schadenersatzforderungen von Kunden auf deren Berechtigung zu prüfen und sich hiergegen zu verteidigen. Das Unternehmen schlittert in Gerichtsverfahren mit häufig ungewissem Ausgang. Ursächlich ist hierfür unter anderem die bislang kaum existierende Rechtsprechung. Gerade das Zusammenspiel der verschiedenen Versicherungsarten und Regressgegner macht Cyberschäden in der Abwicklung sehr herausfordernd. 

Fazit

Cyberangriffe sind eine ernsthafte Bedrohung für Unternehmen jeder Größe. Sie können aufgrund der finanziellen Folgen und aufgrund interner Schuldzuweisung für das betroffene Unternehmen eine echte Bestandsprüfung darstellen, insbesondere, wenn das Unternehmen nicht über ausreichenden Versicherungsschutz verfügt. Zu einer Verbesserung der Cybersicherheitsstandards innerhalb der EU soll die NIS2-Richtlinie beitragen. Es bleibt nur zu hoffen, dass die Umsetzung dieser Richtlinie den gewünschten präventiven Effekt entfaltet und nicht nur zu einer verschärften Geschäftsleiterhaftung führt.

Florian Weichselgärtner

Dieser Beitrag ist erstmals am 04. November 2024 im Versicherungsmonitor erschienen. Hier gelangen Sie zum Originalbeitrag.

Die Änderung betrifft zum einen Leistungen an nicht-unternehmerische Leistungsempfänger. Diese Leistungen sollen gemäß § 3a Abs. 3 Nr. 3 UStG künftig am Ansässigkeits-, Wohn- oder gewöhnlichen Aufenthaltsort des Verbrauchers und nicht mehr am Ort, wo sie vom Unternehmer tatsächlich erbracht werden, besteuert werden. 

Neu aufgenommen wurde zudem eine Ergänzung in Satz 2 des § 3a Abs. 3 Nr. 5 UStG für die Einräumung von Eintrittsberechtigungen an Unternehmer für deren Unternehmen. Nach der Neuregelung soll nun als Leistungsort der Ort gelten, von dem aus der Empfänger sein Unternehmen betreibt (§ 3a Abs. 2 UStG), wenn die Eintrittsberechtigung eine virtuelle Teilnahme ermöglicht. Mangels gesonderter Regelung für virtuelle Veranstaltungen war hier bisher der Veranstaltungsort maßgeblich.

Die Ortsbestimmung ist ab 1. Januar 2025 gültig.

Teresa Werner
Gamze Dogan

Die Hintergründe zum Scraping, das Meinungsbild der Instanzgerichte und die Entscheidung des BGH beleuchtet der folgende Beitrag.

Was ist Scraping?

Scraping (dt. „kratzen“) bezeichnet das Auslesen von Informationen aus verschiedenen Webseiten oder Web-Diensten durch dafür vorgesehene Anwendungen, Scripte oder Software – in der Regel durch Bots. Dabei werden Daten und Informationen aus verschiedenen Quellen „zusammengekratzt“, wodurch mit geringem Aufwand Unmengen an Daten gesammelt und zusammengestellt werden können. Die Scraping-Software extrahiert konkrete Informationen in automatisierter Art und Weise aus verschiedenen Quellen, regelmäßig aber aus dem Source-Code der Webseiten. Bekanntester Anwendungsfall des Web Scrapings ist z.B. die Nutzung von Online-Suchmaschinen oder Vergleichsportalen. 

Das Facebook-Scraping

In dem nun vom BGH entschiedenen Fall des sog. Facebook-Scrapings lief das Scraping etwas anders ab, geht aber im Kern auf die eben vorgestellte Funktionsweise zurück. 

Facebook bot verschiedenste Funktionen an, damit Nutzer ihren Bekanntenkreis auf dem sozialen Netzwerk vergrößern konnten. Eine dieser Optionen war die Hinterlegung der Telefonnummer im Facebook-Account. Über das sog. „Contact-Importer-Tool“ (CIT) war das Auffinden von Profilen möglich, die einer Telefonnummer aus dem Telefonbuch des mobilen Endgeräts eines Facebook-Nutzers zugeordnet werden konnte. Diese Funktion war bereits auf „alle“ Kontakte im Adressbuch der Smartphones voreingestellt. Dieses Feature machten sich Scraper zunutze, indem sie zufällige Zahlenfolgen in das CIT einpflegen mit dem Ziel, Profile zu ermitteln, die diese Zahlenfolgen als Telefonnummer hinterlegt hatten. Durch die Treffer der randomisierten Zahlenfolgen, welche sich als entsprechende Telefonnummern herausstellten, konnten die Scraper alle übrigen aus dem Facebook-Profil einsehbaren Informationen verknüpfen und veröffentlichten diverse Datensätze im Darknet.

Als die Facebook-Scraping-Vorfälle publik wurden, löste das bei vielen Facebook-Nutzern Bestürzen aus und mündete in zahlreichen Verfahren vor Gerichten wegen Unterlassungsansprüchen sowie datenschutzrechtlicher Schadensersatzbegehren in Form von Schmerzensgeld.

Bisherige Entscheidungen

Ablehnende Entscheidungen

Bislang lehnten die Instanzgerichte einen immateriellen Schadensersatz überwiegend ab. Die Kläger tragen immer wieder vor, dass sie in großer Sorge vor einem möglichen Missbrauch ihrer Daten seien oder auch überwältigende Mengen an Spam erhalten würden. Regelmäßig wird in der Urteilsbegründung jedoch darauf verwiesen, dass die Kläger nicht ausführlich genug vorgetragen hätten, um einen Schaden zu begründen. Es lesen sich Schlagworte wie „Kontrollverlust“, „Sorgen“, „bloßer Ärger“ oder „emotionales Ungemach“ (vgl. so z.B. LG Köln, Urt. v. 31.05.2023, Az. 28 O 138/22, Rn. 61; LG Kiel, Urt. v. 12.01.2023, Az. 6 O 154/22), die jedoch keinen immateriellen Schaden begründen sollen. Das OLG Köln beispielsweise schreibt in seiner Entscheidung vom 07.12.2023 (Az. 15 U 108/23) zum Kontrollverlust, dass dieser eine vorher bestandene Kontrolle über die verloren geglaubten Daten voraussetze. Das müsse dann umfassend dargelegt werden, denn bei einer Telefonnummer handele es sich nicht um ein per se der Geheimhaltung unterliegendes personenbezogenes Datum. Vielmehr solle diese gerade den Kontakt mit anderen Personen ermöglichen und werde deshalb oft in großem Umfang zugänglich gemacht. Außerdem reiche eine negative Folge des Datenschutzverstoßes, wie störender Spam, jedenfalls nicht aus, um dadurch einen Schaden begründen zu können.

Diese Argumentationslinie ist vor allem im Lichte der EuGH-Entscheidung zum immateriellen Schadensersatz nach dem Verlust der Kontrolle über die eigenen Daten fragwürdig (EuGH, Urt. v. 04.10.2024, C-200/23). Unter den Schadensbegriff fasst der EuGH insbesondere auch den bloßen Verlust der Kontrolle über personenbezogene Daten, selbst wenn konkret keine missbräuchliche Verwendung der betreffenden Daten zum Nachteil des Betroffenen erfolgt sein sollte. Das hohe Schutzniveau der DSGVO gebiete es, dass auch Befürchtungen einer künftigen missbräuchlichen Verwendung der Daten von Betroffenen einen Schaden darstellen können, wenn dies nachgewiesen wird.

Zusprechende Entscheidungen

Vereinzelt haben Gerichte einen immateriellen Schadensersatz in Folge des Facebook-Scrapings gewährt, wie etwa das LG Stuttgart (Urt. v. 26.01.2023, Az. 53 O 95/22). Das LG Osnabrück wies in der ersten Instanz die Klage noch ab (Urt. v. 28.07.2023, Az. 11 O 110/23), wohingegen die Berufungsinstanz, das OLG Oldenburg, dem Kläger Schadensersatz in Höhe von EUR 250 zusprach (Urt. v. 30.04.2024, Az. 13 U 89/23). Dabei räumte das OLG Oldenburg ein, dass der Erhalt von Spam-SMS oder -Anrufen noch nicht ausreichend sei, um einen Schaden zu begründen, denn dies gehöre „im Internetzeitalter“ zum allgemeinen Lebensrisiko. Das Gericht erkannte jedoch die Sorge des Klägers wegen eines möglichen Missbrauchs seiner Telefonnummer infolge des Scrapings als Schaden an. Dem Gericht reichte es aus, dass sich der Kläger verunsichert gefühlt habe und befürchtete, dass seine Nummer zu betrügerischen Zwecken weiterverwendet würde, denn er sei beruflich auf seine Telefonnummer angewiesen. Die Ängste seien dadurch ausreichend belegt, dass sich der Kläger eine zweite Telefonnummer zugelegt habe. Hier hatte die persönliche Anhörung des Klägers einen überzeugenden Eindruck beim Gericht für einen Schaden hinterlassen. 

Entscheidung des BGH

Nachdem drei Revisionen (Az. VI ZR 7/24, VI ZR 22/24, VI ZR 186/24), die beim BGH anhängig waren, zurückgenommen worden waren, hat der BGH die letzte noch anhängige Revision (Az. VI ZR 10/24) zum Leitentscheidungsverfahren bestimmt. Damit wurde sichergestellt, dass eine Entscheidung zu zentralen Rechtsfragen nicht wegen Rücknahmen, Vergleichen oder ähnlichem verhindert werden konnte. Damit bildet der Facebook-Scraping Komplex das erste Leitentscheidungsverfahren gemäß § 552b ZPO, so dass diese neue Vorschrift mit dem Tag ihres Inkrafttretens am 31.10.2024 unmittelbar zum Einsatz kam.

Der BGH nimmt bei seiner Entscheidung ausdrücklich Bezug auf die oben zitierte EuGH-Rechtsprechung und stellt nochmals heraus, dass der kurzzeitige Kontrollverlust über eigene personenbezogene Daten einen immateriellen Schaden darstellen kann. Insofern unterstreicht der BGH, dass weder die konkret missbräuchliche Verwendung dieser Daten zum Nachteil des Betroffenen noch zusätzliche spürbare negative Folgen Voraussetzungen eines Schadens sind. 

Die von Facebook voreingestellte Suchfunktion im CIT, dass „alle“ Kontakte im Adressbuch mit Facebook-Nutzer-Profilen abgeglichen werden, bewertet der BGH als unvereinbar mit dem Grundsatz der Datenminimierung. In diesem Zusammenhang sei ergänzend die Frage zu klären, ob überhaupt eine wirksame Einwilligung des Klägers in die Datenverarbeitung (hier in Form des Abgleichs der Kontakte mit Facebook-Profilen) vorlag.

Auch zur konkreten Höhe des immateriellen Schadensersatzes hat sich der BGH geäußert und sieht für den bloßen Kontrollverlust eine Größenordnung von EUR 100 als einen angemessenen Ausgleich an. 

Hinsichtlich der vom BGH aufgegriffenen Punkte wird der Rechtsstreit zur neuen Verhandlung und Entscheidung an das OLG Köln unter dem Aktenzeichen 15 U 67/23 zurückverwiesen, das letztendlich über den konkreten Fall zu entscheiden hat. 

Fazit

Mit seinem richtungsweisenden Urteil hat der BGH Klarheit für die Entscheidungen der Instanzgerichte geschaffen und zudem das Verständnis des EuGH zum Kontrollverlust über personenbezogene Daten umgesetzt. Das Urteil ist von großer Bedeutung für alle noch zu entscheidenden Klagen betroffener Facebook-Nutzer, die voraussichtlich in der Summe zu erheblichen Schadensersatzzahlungen von Meta führen werden. Vor allem aber wurden die Rechte der von Datenschutz-Vorfällen betroffenen Personen mit diesem Urteil gestärkt. Die klare Aussage des BGH zur Bedeutung des Datenschutzes sowie zur potentiellen Gewährung von immateriellem Schadensersatz aufgrund eines Kontrollverlusts über die eigenen Daten wird voraussichtlich auch in zukünftigen Verfahren sehr relevant werden.

• Die Pressemitteilung zur Entscheidung des BGH vom 18.11.2024 finden Sie hier: Link
• Mehr zum Verständnis des Schadensbegriffes des EuGH finden Sie in unserem Blog: EuGH: Datenschutzverstoß allein nicht ausreichend für immateriellen Schadensersatz
• oder in unserem monatlich erscheinenden Datenschutz-Ticker: Link

Mirjam Kaiser

Den gesamten Beitrag aus dem Versicherungsmonitor (4. November 2024) von unserem Experten Dr. Florian Weichselgärtner finden Sie hier: t1p.de/zh0sc

Amphenol ist einer der weltweit größten Entwickler, Hersteller und Vermarkter von Steckverbindern und Verbindungssystemen, Antennenlösungen, Sensoren sowie Hochgeschwindigkeitskabel.

Die Luetze International Group ist weltweit aktiv und setzt sich in einer Holding-Struktur aus verschiedenen Unternehmen zusammen. Die Unternehmensgruppe steht für über 60 Jahre Tradition in Automation und zählt heute zu den führenden Unternehmen in der Branche.

Die Luetze-Gruppe bietet innovative Lösungen in den Bereichen hochflexible Leitungen, Kabelkonfektion, Interface, Stromversorgung und -überwachung sowie Schaltschrankverdrahtung. Das Leistungsspektrum der Luetze-Gruppe ergänzt das Portfolio von Amphenol in verschiedenen Segmenten des schnell wachsenden Elektronikmarktes optimal und unterstreicht die zukunftsorientierte, grenzüberschreitende Positionierung von Amphenol.

In dieser Transaktion hat unsere ADVANT-Partnerkanzlei ADVANT Altana zum französischen Recht beraten, Fox Williams zum britischen Recht, Havel & Partners zum tschechischen Recht, Kellerhals Carrard zum schweizerischen Recht und E+H zum österreichischen Recht.

ADVANT berät Amphenol laufend bei europäischen M&A-Projekten, zuletzt haben ADVANT Altana und ADVANT Beiten gemeinsam bei dem Erwerb der CMR-Gruppe mit Sitz in Frankreich beraten.

Berater Amphenol Corporation: ADVANT Beiten: Dr. Christian von Wistinghausen, Tassilo Klesen (beide Federführung), Olga Prokopyeva (alle Corporate/M&A, Berlin), Susanne Rademacher, Lelu Li, Kelly Tang, Dr. Jenna Wang-Metzner (alle Corporate/M&A, Beijing), Michael Riedel (Arbeitsrecht, Berlin), Carsten Pütger, Danah El-Ismail (beide Real Estate, Berlin), Mathias Zimmer-Goertz, Christian Döpke (beide IP/IT/Medien, Düsseldorf), Uwe Wellmann (Kartellrecht, Berlin), Christoph Heinrich (Kartellrecht, München), Dr. Marion Frotscher sowie Simon Bauer (beide Steuern, Hamburg).

Berater Verkäufer der Luetze-Gruppe: Heuking Kühn Lüer Wojtek: Dr. Rainer Herschlein, LL.M., Dr. Emanuel Teichmann (beide Corporate/M&A, Stuttgart), Dr. Stefan Bretthauer, Jia-Xi Liu (beide Kartellrecht, Hamburg).

Pressekontakt
Frauke Reuther
Manager Kommunikation 
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

ADVANT Beiten erreicht in der Gesamtauswertung nach der Zahl der Empfehlungen (150) Position 12 der Liste „Top-100-Kanzleien“. Im vorigen Kanzleimonitor war es Rang 13. In den bewerteten Rechtsgebieten hat ADVANT Beiten im Öffentlichen Recht den deutlichsten Zuwachs erzielen können und erreicht Rang drei.  

Dr. Jochen Pörtge ist für ADVANT Beiten in der Gesamtwertung „Top-100-Anwälte“ vertreten. Er schafft es zudem auf die Listen der führenden Anwälte in Compliance und im Strafrecht. 

Dr. Detlef Koch ist einer der führenden Anwälte im Gesellschaftsrecht, Dr. Mark Zimmer im Arbeitsrecht.

Petra Fendt wird als eine der führenden Anwältinnen in der Finanzierung gelistet. 

ADVANT Beiten liegt bei diesen 18 Rechtsgebieten unter "Führende Kanzleien" (zwei oder mehr Empfehlungen): 

• Aktien- & Konzernrecht (3 Empfehlungen)
• Arbeitsrecht (11)
• Bankrecht (4)
• Compliance (14)
• Datenschutzrecht (14)
• Finanzierung (9)
• Gesellschaftsrecht (21)
• Gewerblicher Rechtsschutz (10)
• Immobilien- & Baurecht (4)
• IT-Recht (2)
• Kartellrecht (8)
• Litigation & ADR (7)
• M&A (5)
• Öffentliches Recht (12)
• Patentrecht (2)
• Strafrecht (6)
• Umweltrecht (2)
• Vertragsrecht (12)

Da sich ein Mandantenverhältnis zwischen einer Rechtsabteilung oder auch Compliance-Verantwortlichen und den externen Beratern in der Regel über längere Zeiträume erstreckt, wurde für den Kanzleimonitor 2024/25 keine isolierte Ein-Jahres-Betrachtung vorgenommen. Empfehlungen aus dem Jahr 2023 wurden noch mit dem Faktor 0,5, solche aus 2022 noch mit dem Faktor 0,25 berücksichtigt.

Die Befragung bietet seit 2013 einen unabhängigen Marktüberblick der Mandatierung externer Kanzlei durch Unternehmensjuristen. Das Deutsche Institut für Rechtsabteilungen stellt sicher, dass ausschließlich Personen, die im General Counsel Leadership Circle, Labour & Employment Law Leadership Circle sowie dem Chief Compliance Officer Leadership Circle aufgeführt sind, an der Erhebung teilnehmen.

1. Vorgang der funkgesteuerten Verbrauchsdatenerfassung

Die smarten Zähler, die in Haushalten für die Erfassung von Strom, Wasser und Wärme eingesetzt werden, ermöglichen die automatische Übertragung der Verbrauchswerte. Dies kann über unterschiedliche Methoden erfolgen, wie etwa durch sogenannte "Walk-by"- oder "Drive-by"-Verfahren. Bei diesen Verfahren können die Daten von außerhalb des Gebäudes im Vorbeifahren oder -laufen mit einem Ablesegerät abgerufen werden. Immer häufiger kommen jedoch auch stationäre "Gateways" zum Einsatz, die die Verbrauchsdaten sammeln und regelmäßig an den Energieversorger weiterleiten. Diese Systeme ermöglichen nicht nur eine kontinuierliche Verbrauchsmessung, sondern erlauben auch detailliertere Einblicke in den Energieverbrauch eines Haushalts.

Während diese Technologie erhebliche Vorteile hinsichtlich der Effizienz bieten dürfte, erhöht sie auch das Risiko eines Missbrauchs. Denn die erhobenen Daten lassen Rückschlüsse auf das individuelle Verbrauchsverhalten der Bewohner zu, was die Gefahr einer Überwachung der Lebensgewohnheiten birgt. Deshalb ist es erforderlich, geeignete technische und organisatorische Maßnahmen zum Schutz dieser Daten zu ergreifen.

2. Abruffrequenz der Verbrauchsdaten

Aus Sicht der DSK ist daher die Häufigkeit, mit der Verbrauchsdaten von den Zählern abgerufen werden dürfen, ein zentraler Aspekt. Hierbei ist besonders der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO zu beachten. Daten dürfen nur in dem Umfang erhoben und verarbeitet werden, der zur Erreichung des jeweiligen Zwecks erforderlich ist. Dies gilt insbesondere für die Frequenz des Datenabrufs.

Dabei soll die Abruffrequenz von verschiedenen Faktoren abhängen:

• Jährliche und monatliche Intervalle: Für die Abrechnung von Energie- oder Wasserverbräuchen ist in der Regel ein jährlicher Abruf der Daten ausreichend. Gesetzliche Vorgaben, wie etwa § 6a der Verordnung über die verbrauchsabhängige Abrechnung der Heiz- und Warmwasserkosten, können jedoch monatliche Abrufe erforderlich machen, um die Nutzer über ihren Verbrauch zu informieren.
• Häufigere Abrufe: In bestimmten Situationen kann es notwendig sein, die Daten in kürzeren Intervallen abzurufen. So sollen bei Stromzählern, die zur Netzstabilität beitragen, viertelstündliche Messungen zulässig sein, um die Lastgänge zu erfassen. Auch bei Wasserzählern können häufigere Messungen zur Leckage-Erkennung erforderlich sein.

3. Rechtsgrundlagen der Datenverarbeitung

Ein weiterer zentraler Punkt der Orientierungshilfe ist die Frage, auf welcher rechtlichen Grundlage die Verarbeitung von Verbrauchsdaten durch funkbasierte Zähler erfolgen darf. Die Datenschutzkonferenz unterscheidet dabei je nach Verbrauchsart:

• Strom: Die Erhebung und Verarbeitung von Stromverbrauchsdaten stützt sich auf das Messstellenbetriebsgesetz (MsbG). Dieses regelt den zulässigen Umfang der Datenerfassung und soll sicherstellen, dass nur die für die Abrechnung notwendigen Daten erhoben werden. Das MsbG enthält auch detaillierte Vorschriften zur Datensicherheit, um den Missbrauch der Verbrauchsdaten zu verhindern.
• Heizung und Warmwasser: Die bereits erwähnte Verordnung über Heizkostenabrechnung (HeizkostenV) bildet die gesetzliche Grundlage für die Verarbeitung von Heiz- und Warmwasserdaten. Nach § 6b HeizkostenV dürfen Verbrauchsdaten ausschließlich für die Abrechnung und die monatliche Information der Nutzer verwendet werden. Jede darüberhinausgehende Verarbeitung ist nur mit ausdrücklicher Einwilligung der betroffenen Person erlaubt.
• Kaltwasser: Für die Erfassung und Verarbeitung von Kaltwasserdaten gibt es bisher keine bundesweit einheitliche gesetzliche Regelung. In einigen Bundesländern existieren spezifische Vorgaben, wie beispielsweise in Berlin oder Bayern, wo die Nutzung von Fernmesstechnik einer Einwilligung bedarf. Die DSK hat hierzu bereits Vorschläge für eine bundeseinheitliche Regelung unterbreitet, die jedoch noch nicht umgesetzt wurden.

4. Technische und organisatorische Sicherheitsmaßnahmen

Damit die Erhebung und Verarbeitung von Verbrauchsdaten datenschutzkonform erfolgt, müssen technische und organisatorische Maßnahmen ergriffen werden. Laut der Orientierungshilfe der DSK zählen dazu unter anderem:

• Verschlüsselung der übertragenen Daten, um sicherzustellen, dass unbefugte Dritte keinen Zugriff auf die Verbrauchsdaten erhalten.
• Pseudonymisierung der Daten, sodass diese nur mit zusätzlichem Wissen einer Person zugeordnet werden können.
• Beachtung der Schutzprofile und Technischen Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik (BSI), insbesondere bei der Nutzung von Smart-Meter-Gateways. Diese gewährleisten, dass die Daten nur an berechtigte Stellen übertragen werden.

Handlungsbedarf

Die Orientierungshilfe zeigt, dass die Datenschutzbehörden Smart-Meter „auf dem Schirm“ haben. Es ist in Zukunft also damit zu rechnen, dass die Behörden bei den datenschutzrechtlich Verantwortlichen gezielt nachfragen könnten, ob und wie die datenschutzrechtlichen Bestimmungen eingehalten werden. Die DSK hält vor allem Gebäudeeigentümer, Versorgungsunternehmen, aber auch Messstellenbetreiber für datenschutzrechtlich verantwortlich. Diese sollten also untersuchen, ob sie den von der DSK aufgestellten Anforderungen entsprechen, insbesondere im Hinblick auf die Abruf- und Auswertungsfrequenz sowie die zu ergreifenden technischen und organisatorischen Maßnahmen zum Schutz von personenbezogenen Daten.

Fabian Eckstein

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), welches im Dezember 2021 noch als „TTDSG“ eingeführt wurde, sieht in § 26 eine Verordnungsermächtigung für die Bundesregierung vor, um sogenannte Dienste zur Einwilligungsverwaltung zu regeln.

Die ursprüngliche Idee derartiger Dienste, die auch unter dem Stichwort „Personal Information Management System (PIMS)“ diskutiert werden, war es, dass der Internetnutzer einmal seine persönlichen Cookie-Präferenzen gegenüber dem PIMS abgibt und die Anbieter von digitalen Diensten bei dem PIMS diese Präferenz abfragen können. Es gäbe die Möglichkeit, etwa allen Cookies zuzustimmen, einzelne Kategorien von Cookies pauschal anzunehmen oder abzulehnen (z.B. Statistik-Cookies oder Marketing-Cookies) oder eben alle nicht notwendigen Cookies abzulehnen.

(Un-)Zulässigkeit von Generaleinwilligungen

Das Problem einer derart pauschalen Einwilligung in die Verwendung von Cookies, auch wenn sie nur für bestimmte Kategorien von Cookies gegeben wird, besteht darin, dass der Internetnutzer in diesem Fall eigentlich keine informierte Einwilligung erteilen kann. Denn auch wenn die Anbieter digitaler Dienste häufig ähnliche Cookies und Tools einsetzen, so sind es gerade nicht die gleichen. Jeder Anbieter verwendet zum Teil andere Cookies und übermittelt damit auch Informationen der Internetnutzer an verschiedene Empfänger. Die Internetnutzer wüssten also zum Zeitpunkt der Einwilligung nie, in welche Verarbeitung sie genau einwilligen, geschweige denn, an wen ihre Daten übermittelt werden. Aus diesem Grund hat sich die Bundesregierung auch gegen pauschale Voreinstellungen entschieden und schreibt dazu in der Verordnungsbegründung:

"Pauschale Voreinstellungen zu möglichen Einwilligungsanfragen des Anbieters von digitalen Diensten, die vom Endnutzer ohne Bezug zur konkreten Inanspruchnahme eines digitalen Dienstes getroffen werden, erfüllen nicht die Anforderungen an die Verwaltung von Einwilligungen."

Damit geht dann aber auch die gewünschte Wirkung des PIMS verloren, nämlich die Anzahl der Cookie-Banner zu reduzieren.

Lösung durch die EinwV?

§ 3 Abs. 1 der nun verabschiedeten Einwilligungsverordnung (EinwV) bestimmt, dass der anerkannte Dienst zur Einwilligungsverwaltung (also das PIMS) bei der erstmaligen Inanspruchnahme eines digitalen Dienstes durch den Endnutzer seine Einstellungen bezüglich der Cookies speichert. Nach dieser Formulierung bleibt die Notwendigkeit bestehen, dass die Internetnutzer weiterhin bei jedem erstmaligen Besuch einer Website einen Cookie-Banner zu Gesicht bekommen werden.

Der anerkannte Dienst muss außerdem nutzerfreundlich, d.h. transparent und verständlich gestaltet sein und es darf frühestens nach einem Jahr eine Aufforderung zur Überprüfung der Einstellungen der Endnutzer erfolgen (§ 4 EinwV). Auch muss der Wechsel zu einem anderen anerkannten Dienst zur Einwilligungsverwaltung jederzeit möglich sein (§ 5 EinwV). Ferner bestehen gemäß § 6 Anforderungen an ein wettbewerbskonformes Verfahren gegenüber den Anbietern von digitalen Diensten. Schließlich soll die Einbindung in sogenannte Abruf- und Darstellungssoftware (regelmäßig vermutlich Internetbrowser) ermöglicht werden (§ 7 EinwV).

Wie der Name „anerkannter Dienst zur Einwilligungsverwaltung“ verdeutlicht, muss der Dienst anerkannt werden. Dies erfolgt nach dem in Teil 3 der Verordnung beschriebenen Verfahren. Die zuständige Stelle dafür ist die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (§ 8 EinwV).

Teil 4, der letzte Teil der Verordnung, bestimmt technische und organisatorische Maßnahmen für Anbieter von digitalen Diensten sowie Hersteller und Anbieter von Abruf- und Darstellungssoftware. Hierbei ist besonderes Augenmerk auf § 18 Abs. 1 EinwV zu legen, der die Einbindung von anerkannten Diensten zur Einwilligungsverwaltung durch die Anbieter von digitalen Diensten als freiwillig erklärt. Diese Regelung hat der Verordnung Kritik von Verbraucherschützern beschert, weil dadurch die Anforderungen der Verordnung leicht umgangen werden könnten. Die Tatsache, dass die Nutzung der Dienste zur Einwilligungsverwaltung freiwillig ist, dürfte aber vor allem in der Praxis dazu führen, dass diese kaum genutzt werden. Denn gerade vor dem Hintergrund der anfangs zitierten Studie dürfte der Anteil derer, die einen solchen Dienst nutzen, um nicht optionale Cookies generell abzulehnen, sehr hoch sein. Dies werden auch die Anbieter von digitalen Diensten vermuten und daher kein Interesse haben, solche Dienste einzusetzen. Sie werden geneigt sein, weiterhin über die Cookie-Banner die Daten jedenfalls des Teils der Nutzer abzugreifen, die auf „alle annehmen“ klicken, weil sie tatsächlich eine Einwilligung erteilen wollen, es ihnen prinzipiell egal ist oder sie einfach gerne auf grüne Knöpfe drücken.

Fazit

Es bestehen große Zweifel, ob die verabschiedete Verordnung die Anzahl der Cookie-Banner im Internet wirklich verringern kann. Sie kann auch nur die Einwilligung gemäß § 25 Abs. 2 TDDDG regeln. In der Praxis werden über die Cookie-Banner häufig aber auch Einwilligungen nach der DSGVO (insb. auch gemäß Art. 49 Abs. 1 a) DSGVO) eingeholt. Diese können dann streng genommen nicht durch den Dienst der Einwilligungsverwaltung eingeholt werden, was dazu führen dürfte, dass jedenfalls für diese Einwilligungen die bisherigen Cookie-Banner bestehen bleiben müssten.

Gegen die Verordnung spricht aber auch, dass die Inanspruchnahme des Dienstes zur Einwilligungsverwaltung weder für Nutzer noch für Diensteanbieter einen Mehrwert zu haben scheint. Die Nutzer müssten trotzdem weiterhin zumindest bei jeder neuen Website eine Einstellung vornehmen und dies sogar mehrfach, falls die Website neue Cookies oder andere Tools verwendet, weil gerade keine pauschale Voreinstellung für verschiedene Anbieter von digitalen Diensten rechtlich zulässig sein soll. Die Diensteanbieter wiederum dürften kein Interesse daran haben, an einer Einwilligungsverwaltung teilzunehmen, die ihnen vermutlich mehr Ablehnungen von optionalen Cookies einbringen wird.

Letztlich wird sich die Relevanz der Dienste für die Einwilligungsverwaltung aber anhand der konkreten technischen Ausgestaltung entscheiden. Wenn diese möglichst einfach installierbar und niedrigschwellig gehalten ist, könnte es vielleicht doch für den ein oder anderen digitalen Diensteanbieter attraktiv sein. Dieser könnte bei einer gut funktionierenden Lösung, die dem Nutzer tatsächlich eine Erleichterung bringt, dann doch mit einem besonders nutzerfreundlichen Cookie-Umgang werben.

Fabian Eckstein

Die Transaktion wurde käuferseits von Keensight Capital, einem der führenden Private-Equity-Manager für europaweite Growth-Buyout-Investitionen, unterstützt. Über das Transaktionsvolumen haben die Parteien Stillschweigen vereinbart.

Fischer Information Technology konzentrierte sich seit der Gründung 1985 auf Expertise in der Entwicklung zuverlässiger Software für das effiziente Management, der Organisierung und der Verteilung von Technischer Dokumentation und Produktinformationen. Das Unternehmen hat den europäischen Markt für Software für die technische Dokumentation maßgeblich mitgestaltet.

Quanos ist ein Zusammenschluss von Software-Experten für After-Sales, Service und die Technische Dokumentation, optimiert durch KI-Fähigkeiten. Das Unternehmen bietet über 1.200 Kunden weltweit innovative, erfolgreiche und verlässliche Technologie.

Die Übernahme von Fischer IT erweitert die Marktpräsenz von Quanos und vergrößert den Kundenstamm auf 1.400 Kunden weltweit. Das befähigt Quanos, ein umfassendes Produktportfolio anzubieten, das dem gemeinsamen Kundenstamm einen signifikanten Mehrwert liefert. Darüber hinaus werden die etablierten technischen Fachkenntnisse von Fischer IT die Innovationsstärke von Quanos weiter stärken.

Berater Fischer Information Technology GmbH: 
ADVANT Beiten: Gerhard Manz, Dr. Christian Osbahr (beide Corporate/M&A, Freiburg), Dr. Birgit Münchbach und Dr. Holger Weimann (beide IP/IT, München)

Berater Quanos Group GmbH:
Renzenbrink & Partner: Team Dr. Ulf Renzenbrink

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Gerhard Manz
Rechtsanwalt
ADVANT Beiten
+49 (761) 15 09 84 - 11 
gerhard.manz@advant-beiten.com

Den gesamten Beitrag finden Sie hier: www.deutscheranwaltspiegel.de

Datenschutz und Krankenhaus – Auenland und Moria? Wir sprechen heute in „Schocktherapie“ mit Susanne Klein. Sie ist Rechtsanwältin und Partnerin bei ADVANT Beiten (susanne.klein@advant-beiten.com). Vor allem aber kennt sie sich im Krankenhaus bestens aus: Sie befasst sich mit Datenschutzrecht und fungiert auch als externe Datenschutzbeauftragte. Unser Ziel heute: Schalten Sie nicht gleich beim Titel ab – denn Sie wissen doch auch, wie wichtig der Datenschutz ist. „Schocktherapie“ will verhindern, dass Sie einfach den Kopf in den Sand stecken!

Für Susanne Klein sind Krankenhäuser im Datenschutz viel besser aufgestellt, als das Bauchgefühl es oft suggeriert. Trotzdem sind natürlich viele Akteure unsicher: Was etwa ist die Rolle einer Datenschutzbeauftragten? Verteilt sie Freibriefe für den Träger? Schützt sie Patienten und Arbeitnehmer? Ist sie gar eine Überwachungs- und Anzeigestelle?

In der aktuellen Lange sind zudem Unternehmenstransaktionen an der Tagesordnung: Träger A kauft ein Haus oder Teile davon bei Träger B – aber welche Daten dürfen im Vorfeld übermittelt werden, nicht nur von Arbeitnehmern, sondern von Patienten?

Das Spektrum des Datenschutzes reicht (natürlich) weit darüber hinaus. In weltweiten klinischen Studien europäisches, bundesdeutsches, und ggf. (16 Mal) landesdeutsches Datenschutzrecht zu beachten, geht das überhaupt, wenn ja wie? Ist Datenschutz damit ein Standortnachteil?

Keine schwere Kost, sondern Ihr Beipackzettel für die Navigation durch ein vermeintliches Dunkelfeld!

Die Gastgeber von #Schocktherapie: Dr. Silke Dulle, Rechtsanwältin, Fachanwältin für Medizinrecht, Partnerin, ADVANT Beiten (silke.dulle@advant-beiten.com) und Wolf J. Reuter, LL.M., Rechtsanwalt, Fachanwalt für Arbeitsrecht, ebenfalls Partner bei ADVANT Beiten (wolf.reuter@advant-beiten.com).

Hintergrund der Entscheidung war eine Klage der Wettbewerbszentrale gegen den Lakritz- und Fruchtgummihersteller Katjes. Katjes hatte in einer Fachzeitung damit geworben, dass alle ihre Produkte klimaneutral hergestellt werden. Erst auf der, über einen in der Werbeanzeige abgedruckten QR-Code abrufbaren Internetseite eines Kooperationspartners von Katjes, konnten die Verbraucher nachlesen, dass Katjes nicht emissionsfrei produziert, sondern Klimaschutzprojekte unterstützt.

Die Wettbewerbszentrale hielt die Aussage, dass das Unternehmen "klimaneutral" produziere, für irreführend und klagte daher auf Unterlassung. Die Verbraucher verstünden die Angabe so, dass die Produktherstellung selbst klimaneutral ablaufe. Zumindest müsse klargestellt werden, dass die Klimaneutralität erst durch kompensatorische Maßnahmen hergestellt werde.

Das Landgericht wies die Klage ab und auch die Berufung der Klägerin blieb erfolglos. Das Berufungsgericht war der Auffassung, der Klägerin stehe kein Unterlassungsanspruch wegen Irreführung zu. Die Leser der Fachzeitung verstünden den Begriff "klimaneutral" im Sinne einer ausgeglichenen Bilanz der CO2-Emissionen, da ihnen bekannt sei, dass die Neutralität sowohl durch Vermeidung als auch durch Kompensationsmaßnahmen erreicht werden könne. Zudem bestehe auch kein Unterlassungsanspruch wegen Vorenthaltens der Information, auf welche Weise die "Klimaneutralität" des beworbenen Produkts erreicht werde. Nach Auffassung des Gerichts sei es ausreichend, dass diese Information auf der Website des Kooperationspartners von Katjes verfügbar war, die über einen QR-Code in der Werbeanzeige abrufbar war.

Entgegen der Entscheidung des Berufungsgerichts urteilte der BGH nun, dass die beanstandete Werbung irreführend sei. In der Pressemeldung zum Urteil führt der BGH aus, dass die Werbung mehrdeutig sei, weil der Begriff "klimaneutral" sowohl im Sinne einer Reduktion von CO2 im Produktionsprozess als auch im Sinne einer bloßen Kompensation von CO2 verstanden werden könne. Der BGH betont, dass im Bereich der umweltbezogenen Werbung eine Irreführungsgefahr besonders groß sei und daher ein gesteigerter Aufklärungsbedarf bestehe. Bei einer Werbung mit einem umweltbezogenen Begriff wie "klimaneutral", müsse deshalb zur Vermeidung einer Irreführung regelmäßig bereits in der Werbung selbst erläutert werden, welche konkrete Bedeutung maßgeblich ist. Aufklärende Hinweise außerhalb der umweltbezogenen Werbung seien hingegen nicht ausreichend. Dabei betonte der BGH, dass eine Erläuterung des Begriffs "klimaneutral" auch deshalb erforderlich sei, weil die Reduktion und die Kompensation von CO2-Emissionen keine gleichwertigen Maßnahmen seien, sondern die Reduktion unter dem Gesichtspunkt des Klimaschutzes vorrangig sei.

Dr. David Moll

Die Implementierung des DSA in Deutschland erfolgt durch das Digitale-Dienste-Gesetz (DDG), das am 14. Mai 2024 in Kraft getreten ist. Dieses Gesetz passt den nationalen Rechtsrahmen an die Anforderungen des DSA an und ermöglicht es den deutschen Behörden, die Einhaltung des DSA zu überwachen.

Nachfolgend geben wir einen Überblick über den gesetzlichen Rahmen zur Durchsetzung des DSA in Deutschland.

Für wen gilt der DSA?

Der DSA richtet sich an die Anbieter sog. Vermittlungsdienste. Hierunter fallen unterschiedliche Dienstleistungen der Informationsgesellschaft, namentlich Dienste der "reinen Durchleitung", Caching-Leistungen und Hosting-Dienste. Dabei stellt der DSA die Online-Plattform als eine spezielle Form des Hosting-Dienstes heraus. Anbieter, die von Nutzern bereitgestellte Informationen in deren Auftrag speichern, sind jedenfalls als Hosting-Dienst einzuordnen (einen Überblick geben wir in unserem Blog). Ermöglichen diese die Veröffentlichung der Information und handelt es sich nicht bloß um eine untergeordnete Funktion, kommt eine Regulierung als Online-Plattform unter dem DSA in Betracht. Die Abgrenzung kann im Einzelnen durchaus schwierig sein und ist richterlich noch nicht geklärt.

Zuständige Behörden:

Die Zuständigkeit des EU-Mitgliedsstaats richtet sich grundsätzlich nach der Hauptniederlassung des Unternehmens. Hiervon gibt es einige Ausnahmen, die insbesondere die Anbieter von sehr großen Online-Plattformen oder sehr großen Online-Suchmaschinen betreffen. Diese werden bei der Erfüllung ihrer Verpflichtungen aus dem DSA teils ausschließlich, teils ergänzend von der EU-Kommission überwacht, die in den letzten Monaten bereits eine Vielzahl von Untersuchungen eingeleitet hat. Für Unternehmen ohne Niederlassung in der EU ist der Mitgliedsstaat, in welchem deren gesetzlicher Vertreter niedergelassen oder ansässig ist, zuständig. Haben diese keinen gesetzlichen Vertreter benannt, so können alle Mitgliedsstaaten die Einhaltung des DSA durch das betroffene Unternehmen überwachen und durchsetzen.

In Deutschland sind gleich mehrere Bundesbehörden mit der Überwachung und Durchsetzung des DSA beauftragt worden.

Die generelle Überwachung übernimmt dabei die Bundesnetzagentur für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen (Bundesnetzagentur). Als Koordinierungsstelle für digitale Dienste hat sie pünktlich zum Inkrafttreten des DDG ein Nutzer- und Beschwerdeportal für Verstöße ins Leben gerufen.

Für Online-Plattformen stellt die Bundeszentrale für Kinder- und Jugendmedienschutz (BzKJ) die Umsetzung struktureller Vorsorgemaßnahmen zum Online-Schutz Minderjähriger sicher. Darüber hinaus trägt sie dafür Sorge, dass allgemeine Geschäftsbedingungen bei Online-Diensten, die häufig von Minderjährigen genutzt werden, in einer altersgerechten, verständlichen Art und Weise bereitgestellt werden. Zu diesem Zweck hat die BzKJ die "Stelle zur Durchsetzung von Kinderrechten in digitalen Diensten" (KidD) ins Leben gerufen, die bereits die Arbeit aufgenommen hat.

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit ist für die Überwachung der Werbung auf Online-Plattformen zuständig. Der DSA sieht neben dem Verbot, Minderjährigen auf der Grundlage von Profiling Werbung zu zeigen, auch ein generelles Verbot, Werbung auf der Grundlage von Profiling unter Verwendung der besonderen Kategorien von personenbezogenen Daten (Art. 9 Abs. 1 DSGVO) zu betreiben, vor.

Meldungen des Verdachts auf Straftaten auf Hosting-Diensten nimmt das Bundeskriminalamt als Zentralstelle entgegen. Diese Informationen werden von dort an die zuständigen Strafverfolgungsbehörden weitergeleitet.

Befugnisse:

Zur Durchsetzung des DSA dürfen die oben genannten Behörden Ermittlungen führen und Beweise erheben, soweit dies erforderlich ist. Dies umfasst die Vernehmung von Zeugen und Sachverständigen, ggf. sogar unter Beeidung. Anbieter von Ermittlungsdiensten sind verpflichtet, auf Anfrage Auskunft zu erteilen und Unterlagen bereitzustellen. Sie müssen das Betreten der Geschäftsräume während der üblichen Geschäftszeiten dulden. Beweismittel können beschlagnahmt werden. Darüber hinaus sind die zuständigen Behörden zur Information der Öffentlichkeit befugt. Dies gilt sowohl für abgeschlossene Verfahren und getroffene Bußgeldentscheidungen, wie auch für Einzelheiten zum konkreten Verstoß und laufende Verfahren. Zur Durchsetzung kann die zuständige Behörde empfindliche Zwangsgelder von bis zu 5% des durchschnittlichen weltweiten Tagesumsatzes oder der durchschnittlich weltweiten Tageseinnahmen festsetzen.

Praxishinweis:

Diese Befugnisse bestehen nur im Rahmen des geltenden Rechts. Befragten stehen ggf. Zeugnisverweigerungsrechte zu, etwa wenn sie sich durch die Beantwortung selbst der Gefahr strafgerichtlicher Verfolgung oder eines Ordnungswidrigkeitenverfahrens aussetzen würden. Durchsuchungen bedürfen einer Anordnung des zuständigen Gerichts und sind unter Umständen anfechtbar. Der Beschlagnahme kann widersprochen und eine gerichtliche Entscheidung hierüber herbeigeführt werden.

Bußgelder:

Für sehr große Online-Plattformen und sehr große Online-Suchmaschinen enthält der DSA selbst Regelungen, die die Verhängung von Geldbußen durch die Europäische Kommission betreffen.

Für die nationalen Behörden müssen die Mitgliedsstaaten ihrerseits Regelungen zur Sanktionierung erlassen. Diese sollen, wie im DSA auch, Bußgelder in Höhe von bis zu 6% des weltweiten Jahresumsatzes des Anbieters betragen.

In Deutschland sind dies nunmehr Folgende: Gesamte Tabelle einsehen.

Praxishinweis:

Einige Verstöße, wie z.B. die Veröffentlichung von Kontaktstellen, können von Mitbewerbern, Verbraucherverbänden und Behörden ohne größeren Aufwand festgestellt werden. Es kann nur empfohlen werden, diese Pflichten kurzfristig umzusetzen, um sich nicht zum leichten Ziel für Abmahnungen, Rechtsstreitigkeiten oder Bußgeldverfahren zu machen. Die Klagebefugnis von Verbraucherverbänden bei DSGVO-Verstößen wurde erst vor wenigen Tagen durch den EuGH bestätigt. Auch der DSA sieht vor, dass betroffene Nutzer Organisationen ohne Gewinnerzielungsabsicht mit der Wahrnehmung ihrer Rechte aus dem DSA beauftragen können. Ein Gleichlauf mit den Regelungen der DSGVO liegt nahe.

Fazit:

Der Digital Services Act nimmt in Deutschland mehr und mehr an Fahrt auf. Die Behörden sind durch die nationalen Umsetzungsgesetze, allen voran dem DDG mit umfangreichen Befugnissen ausgestattet worden, um die Umsetzung des DSA zu überwachen und durchzusetzen. Trotz des weitreichenden Anwendungsbereichs der Verordnung, haben viele Anbieter von Online-Diensten, allen voran kleinere und mittelständische Unternehmen, die Vorgaben noch nicht auf dem Schirm oder nicht hinreichend umgesetzt. Die Einhaltung des DSA sollte schließlich bei allen M&A-Transaktionen von Unternehmen mit Tätigkeitsfeld im Anwendungsbereich der Verordnung bedacht werden.

Daniel Trunk

Wer die Spiele Deutschland gegen Dänemark und Deutschland gegen Spanien verfolgt hat, hat nicht nur Visualisierungen von Abseitssituationen erlebt, sondern auch gelernt: so ein Fußball hat heutzutage mehr Intus als heiße Luft, nämlich einen Sensor. Dieser misst in hoher Frequenz die exakte Position des Balls und kann so auch erkennen, wann der Ball berührt wird – wichtig für die Frage, ob der Ball die Hand eines Spielers berührt hat oder in welchem Moment er die Fußspitze berührt hat, was für die Beurteilung von Abseitssituationen wichtig sein kann. Informationen also, die den Videoschiedsrichtern zur Verfügung gestellt werden.

Damit wird es sich bei dem Ball um ein so genanntes vernetztes Produkt im Sinne des EU-Datengesetzes (auch bekannt als Data Act) handeln, die zugehörige Software könnte ein verbundener Dienst sein. Wenn der Data Act im September 2025 in Kraft tritt, wird sich auch für unseren Ball einiges ändern.

Vernetzte Produkte und damit verbundene Dienste müssen dann nämlich ermöglichen, dass die von ihnen erhobenen Daten für den Nutzer in einem gängigen und maschinenlesbaren Format zugänglich sind – nach Möglichkeit direkt. Soweit kein solcher Direktzugriff möglich, müssen dem Nutzer die Daten auf Anfrage übermittelt werden.

Kann also künftig jeder Kicker als "Nutzer" des Fußballs ein Kabel in das Leder stecken, um die Daten zu extrahieren? Eher nicht: „Nutzer“ wird im Data Act definiert als eine natürliche oder juristische Person, die ein vernetztes Produkt besitzt oder der vertraglich zeitweilige Rechte für die Nutzung des vernetzten Produkts übertragen wurden. Ob ein kurzzeitiger Ballbesitz hierfür ausreicht, ist sehr fraglich – Nutzer dürfte aber die UEFA sein (oder bei Weltmeisterschaften die FIFA).

In dem Verhältnis zwischen der UEFA und adidas als Hersteller des offiziellen Balls "FUSSBALLLIEBE" wird wohl ohnehin vertraglich geregelt sein, dass die Daten an die UEFA gehen. Spätestens bei der nächsten EM oder WM ist dann aber von Gesetzes wegen definiert, dass adidas im Grundsatz wirklich alle Daten herausgeben muss, die der Ball – wie auch immer er dann heißen wird – erhebt. Die – in anderen Bereichen nicht ganz einfache – Frage der Rechte der Spieler dürfte hier kaum eine Rolle spielen, allenfalls könnte adidas einen (sehr begrenzten) Schutz für Geschäftsgeheimnisse in Anspruch nehmen.

Spätesten dann, wenn UEFA oder FIFA Schiri Taylor durch eine automatisierte Entscheidungsfindung ersetzen wollte, käme aber das Datenschutzrecht ins Spiel: dieses schränkt die automatisierte Entscheidungsfindung im Einzelfall stark ein.

Was der Data Act für andere Unternehmern bedeutet, lesen Sie in unseren weiteren Blogbeiträgen:
Das EU-Datengesetz (Data Act): Relevanz für Unternehmen – Internet der Dinge und darüber hinaus | Advant Beiten (advant-beiten.com)
Cloud-, SaaS- und Edge-Geschäftsmodelle unter Feuer | Advant Beiten (advant-beiten.com)

Dr. Andreas Lober

Mit Urteil vom 27. Juni 2024 hat der Bundesgerichtshof entschieden, dass die Werbung mit einem mehrdeutigen umweltbezogenen Begriff wie "klimaneutral" regelmäßig nur dann zulässig ist, wenn in der Werbung selbst erläutert wird, welche konkrete Bedeutung dem Begriff zukommt.

Hintergrund der Entscheidung war eine Klage der Wettbewerbszentrale gegen den Lakritz- und Fruchtgummihersteller Katjes. Katjes hatte in einer Fachzeitung damit geworben, dass alle ihre Produkte klimaneutral hergestellt werden. Erst auf der, über einen in der Werbeanzeige abgedruckten QR-Code abrufbaren Internetseite eines Kooperationspartners von Katjes, konnten die Verbraucher nachlesen, dass Katjes nicht emissionsfrei produziert, sondern Klimaschutzprojekte unterstützt.

Die Wettbewerbszentrale hielt die Aussage, dass das Unternehmen "klimaneutral" produziere, für irreführend und klagte daher auf Unterlassung. Die Verbraucher verstünden die Angabe so, dass die Produktherstellung selbst klimaneutral ablaufe. Zumindest müsse klargestellt werden, dass die Klimaneutralität erst durch kompensatorische Maßnahmen hergestellt werde.

Das Landgericht wies die Klage ab und auch die Berufung der Klägerin blieb erfolglos. Das Berufungsgericht war der Auffassung, der Klägerin stehe kein Unterlassungsanspruch wegen Irreführung zu. Die Leser der Fachzeitung verstünden den Begriff "klimaneutral" im Sinne einer ausgeglichenen Bilanz der CO2-Emissionen, da ihnen bekannt sei, dass die Neutralität sowohl durch Vermeidung als auch durch Kompensationsmaßnahmen erreicht werden könne. Zudem bestehe auch kein Unterlassungsanspruch wegen Vorenthaltens der Information, auf welche Weise die "Klimaneutralität" des beworbenen Produkts erreicht werde. Nach Auffassung des Gerichts sei es ausreichend, dass diese Information auf der Website des Kooperationspartners von Katjes verfügbar war, die über einen QR-Code in der Werbeanzeige abrufbar war.

Entgegen der Entscheidung des Berufungsgerichts urteilte der BGH nun, dass die beanstandete Werbung irreführend sei. In der Pressemeldung zum Urteil führt der BGH aus, dass die Werbung mehrdeutig sei, weil der Begriff "klimaneutral" sowohl im Sinne einer Reduktion von CO2 im Produktionsprozess als auch im Sinne einer bloßen Kompensation von CO2 verstanden werden könne. Der BGH betont, dass im Bereich der umweltbezogenen Werbung eine Irreführungsgefahr besonders groß sei und daher ein gesteigerter Aufklärungsbedarf bestehe. Bei einer Werbung mit einem umweltbezogenen Begriff wie "klimaneutral", müsse deshalb zur Vermeidung einer Irreführung regelmäßig bereits in der Werbung selbst erläutert werden, welche konkrete Bedeutung maßgeblich ist. Aufklärende Hinweise außerhalb der umweltbezogenen Werbung seien hingegen nicht ausreichend. Dabei betonte der BGH, dass eine Erläuterung des Begriffs "klimaneutral" auch deshalb erforderlich sei, weil die Reduktion und die Kompensation von CO2-Emissionen keine gleichwertigen Maßnahmen seien, sondern die Reduktion unter dem Gesichtspunkt des Klimaschutzes vorrangig sei.

Dr. David Moll

Die besten Juristinnen und Juristen für Deutschland sind im neuen Ranking des US-Fachverlags Best Lawyers in Zusammenarbeit mit dem „Handelsblatt“ veröffentlicht worden. Die Ergebnisse für „The Best Laywers in Germany (2025 Edition)“ beruhen traditionell auf Empfehlungen von Wettbewerbern und untermauern damit die hohe Reputation der gelisteten Experten. Basis der Recherche ist stets eine umfassende Peer-to-Peer-Umfrage. Ausschließlich Anwältinnen und Anwälte werden nach der Reputation ihrer Wettbewerber befragt.

Die Befragten sollen für den hypothetischen Fall, selbst ein Mandat - aus Zeitgründen oder wegen einer Interessenkollision - nicht übernehmen zu können, Empfehlungen für Kollegen außerhalb der eigenen Kanzlei aussprechen. Die Best Lawyers Aufstellung ist somit eine umfassende Übersicht der angesehensten Juristen, die die Auszeichnung aufgrund ihres besonderen Renommees im Markt erhalten.

Von ADVANT Beiten werden 76 Juristinnen und Juristen in mindestens einem Rechtsgebiet empfohlen, dabei sind alle sechs deutschen Standorte der Kanzlei vertreten.

Oliver Korte (Hamburg) erhält den „Lawyer of the Year Award 2025“ für das beste Feedback auf dem Fachgebiet Trade Law für den deutschen Markt. Jedes Jahr wird lediglich ein Anwalt/eine Anwältin als "Lawyer of the Year" pro Rechtsgebiet und Region ausgezeichnet.

Alexander Braun, Christian Burmeister, Moritz Jenne, Tassilo Klesen, Markus Schönherr und Max Stanko sind als „Ones to watch“ gelistet, eine Auszeichnung herausragender juristischer Talente für bestimmte Rechtsgebiete.

Die vollständige Liste aller von ADVANT Beiten empfohlenen Anwältinnen und Anwälte können Sie hier einsehen.

Worauf müssen Unternehmen achten, wenn sie KI in der Kommunikation einsetzen? Welche rechtlichen Rahmenbedingungen gilt es zu beachten? Transparenz ist ein wichtiger Faktor.

Ohne den Einsatz von Social Media ist eine zeitgemäße Unternehmenskommunikation nicht denkbar. Das gilt vor allem in der Konsumgüterindustrie. Wer seine Kunden erreichen will, der muss sie kennen, finden und Inhalte platzieren, die sie interessieren. Das ist kein neuer Trend, und Juristen beschäftigen die rechtlichen Aspekte von Social-Media-Marketing seit Jahren. So hat es die Influencerin Cathy Hummels schon 2021 bis zum Bundesgerichtshof (BGH) geschafft mit der Frage, ob sie ihre produktbezogenen Posts als 'Werbung' kennzeichnen muss. Muss sie nicht, wenn sie keine Gegenleistung erhält (BGH, Az. I ZR 126/20). Neu ist, dass sich Social-Media-Marketing durch den Einsatz Künstlicher Intelligenz (KI) beliebig skalieren lässt. Ob es um die Analyse von Nutzerverhalten geht oder um die Erstellung von Inhalten: KI verändert die Unternehmenskommunikation. Was ist hier zu erwarten? Worauf sollte man unbedingt achten?

Nutzung von KI-Content

Die Nutzung von KI-generierten Texten und Bildern (Output) eröffnet neue Möglichkeiten der Kommunikation: Die Produktion von Inhalten hat keine personellen Limits mehr, wird schneller und kostengünstiger. Die Kehrseite ist der Kontrollaufwand. Wer KI nutzt, der kennt die Anfälligkeit für inhaltliche Fehler. Die Anbieter von KI weisen mit gutem Grund genau darauf hin. Das führt auch aus rechtlicher Sicht dazu, dass KI-generierte Inhalte gründlich überprüft werden müssen. Wer Unwahrheiten veröffentlicht, der ist dafür rechtlich verantwortlich. Unwahre Angaben in der Unternehmenskommunikation sind oft wettbewerbswidrig. Ansprüche von Wettbewerbern und Verbraucherschutzverbänden können die Folge sein.

Transparenz ist essenziell

Neben der Haftung für inhaltliche Fehler lautet ein Kernthema bei der Output-Nutzung Transparenz. Das Transparenzgebot gilt bei jeder öffentlichen Kommunikation, es ist in etlichen Normen verankert. Es besagt im Kern, dass der Zweck und die Herkunft einer Veröffentlichung erkennbar sein müssen: Wer für ein Produkt wirbt, darf das nicht im Gewand einer redaktionellen Berichterstattung tun; wer einen fremden Text veröffentlicht, darf ihn nicht als eigenen ausgeben; und wer KI-generierte Inhalte wiedergibt, der darf sich nicht als Autor bezeichnen. Das ergab sich schon bisher aus der bestehenden Gesetzeslage.
Im Mai 2024 ist durch mit Verabschiedung der KI-Verordnung der EU (AI Act) das Transparenzgebot jetzt auch speziell für Inhalte geregelt worden, die mit KI generiert sind. Danach muss der künstliche Charakter von Deepfakes offengelegt werden (Art. 52 Abs. 3 AI Act), gleiches gilt bei jeder Interaktion von KI mit Menschen (Art. 52 Abs. 1 AI Act), also auch bei automatisierten Postings und Chatbot-Inhalten. Die Transparenzpflichten nach dem AI Act treten erst im Sommer 2026 in Kraft. Verstöße gegen das Transparenzgebot können aber auch nach aktueller Rechtslage Folgen haben, insbesondere sind wettbewerbsrechtliche Ansprüche wegen irreführender Werbung denkbar.

KI richtig kennzeichnen

Wegen des Transparenzgebots ist es sehr wichtig, darauf hinzuweisen, dass ein Text oder ein Bild KI-generiert sind, wenn das nicht aus sich heraus erkennbar ist. Ein solcher Hinweis kann beispielsweise nach Art eines Fotocredits lauten 'KI-generiert' oder 'Erstellt unter Einsatz von Dall-E'. In der Praxis taucht häufig die Frage auf, wie mit Mischformen umzugehen ist. Gerade Textautoren arbeiten häufig so, dass sie sich zunächst einen Vorschlag von einer generativen KI-Anwendung machen lassen, ihn dann aber überarbeiten. Ob ein Hinweis auf dieses Vorgehen rechtlich geboten ist, hängt davon ab, wie viel vom KI-Text im Endergebnis noch vorhanden ist. Sind ganze Sätze oder Absätze übernommen, dann muss auf den Ursprung hingewiesen werden. Sind dagegen nur noch Struktur und Information übernommen, dann ist das nicht notwendig – Chat GPT ist dann nur als Recherche-Tool genutzt worden.

Persönlichkeits- und Urheberrechte beachten

Ein weiteres wesentliches Output-Thema betrifft Persönlichkeitsrechte. Kurz gesagt: Finger weg von Deep Fakes in der Werbung! Aber auch die bloße Bezugnahme auf reale Personen, insbesondere Prominente, ist – wie immer in der Unternehmenskommunikation – ein No-Go, es sei denn sie haben eingewilligt. Das gilt selbst dann, wenn transparent gemacht wird, dass es sich um KI-Darstellungen handelt. Denn die Kommerzialisierung von Persönlichkeitsrechten löst immer Ansprüche aus, vor allem bei Prominenten. Dabei können auch im deutschen Recht hohe Zahlungsansprüche entstehen. Betroffene können das verlangen, was sie vertraglich vereinbart hätten, wenn sie gefragt worden wären. Weniger Probleme macht das Urheberrecht. Weder die Erstellung von Inhalten durch KI noch die Nutzung dieser Inhalte sind urheberrechtlich relevant. Ausnahmen kann dort geben, wo durch gezieltes Prompting ein Output provoziert wird, der bestehenden Werken zu ähnlich ist (z. B. »Erstelle eine Grafik, die wie ein Siebdruck von Marylin Monroe aus der Hand von Andy Warhol aussieht«).

Influencer und Mitarbeiter briefen

Die Grundsätze zum Output gelten auch für Inhalte, die Influencer oder beauftragte Agenturen erstellen und posten. Gerade hier kann die Versuchung groß sein, Beiträge mit KI-Unterstützung zu produzieren – ein Vorgehen, das nicht im Interesse des Auftraggebers ist. Es ist deshalb ratsam, bestehende Verträge mit Influencern oder Agenturen um eine KI-Klausel zu ergänzen, mit der die Nutzung von KI für vertraglich geschuldete Inhalte untersagt oder eingeschränkt wird. Was das eigene Business Development angeht, so sollten Unternehmen klare Anweisungen zur Erstellung, Kontrolle und Veröffentlichung von KI-Inhalten machen – beispielsweise im Rahmen einer KI-Richtlinie. Im Haftungsfall können solche Vorgaben dabei helfen, ein Verschulden auszuschließen. Das kann Schadensersatzrisiken senken.

Vorsicht bei der Datenanalyse

Soziale Medien bieten riesige Datenschätze, die mit KI-Hilfe analysiert und aufbereitet werden können, um das eigene Marketing zu optimieren. Wer spricht über welche Produkte, welche Memes gehen viral und warum? KI kann diese Datenmengen verarbeiten, Trends nachverfolgen und Ergebnisse analysieren. Die Plattformen selbst weiten zurzeit ihre Möglichkeiten für das Training von KI-Anwendungen aus: Meta hat am 1. Juni 2024 seine Nutzer darüber informiert, dass man ab Ende Juni 2024 Postings für Trainingszwecke der eigenen KIs nutzen werde. Für Unternehmen liegt es nahe, auf Mess- und Analyse-Tools der Plattformanbieter zurückgreifen. Die Gewinnung von Informationen auf eigene Faust ist technisch und rechtlich nicht trivial, vor allem dann, wenn sie nicht nur Inhalte auf eigenen Accounts betreffen. Denn das Auslesen von fremden Accounts zu Analysezwecken, das sogenannte »Scraping«, kann gegen Nutzungsbedingungen der Anbieter verstoßen und ist datenschutzrechtlich sowie urheberrechtlich problematisch. Es ist urheberrechtlich zwar erlaubt, frei zugängliche Inhalte für das KI-Training zu verwenden – wenn nicht der Rechtsinhaber einen Vorbehalt erklärt hat (§ 44b UrhG). Die Ausnahme gilt aber nur für KI-Training und nicht für die Datenauswertung unter Einsatz von KI. Außerdem sind die meisten Plattforminhalte nicht frei zugänglich, sondern erst nach Anmeldung abrufbar. Sofern man über die von Plattformanbietern angebotene Analyse-Tools hinaus Datenanalysen betreiben möchte, sollte man das deshalb über einen spezialisierten Dienstleister tun.

Dr. Holger Weimann

Dieser Blogbeitrag erscheint ebenso im Magazin markenartikel und im Haufe Wirtschaftsrechtsnewsletter.

Was war passiert?

Geklagt hat eine GbR, gegründet durch einen Künstler und eine Galerie. Zweck dieser Gesellschaft ist es, bis zu drei Skulptureninstallationen herzustellen, zu vermarkten sowie zu veräußern. Gefertigt wurden die Skulpturen nach den künstlerischen Vorgaben des Künstlers selbst im Auftrag der GbR. Die GbR gab die Herstellung der Skulptureninstallationen bei einem Dritten in Auftrag.

In der Folge verkauften die GbR und der Künstler zwei der Skulpturen. Die Klägerin nahm dabei an, dass die Lieferung einer der beiden Skulpturen im Jahr 2015 dem ermäßigten Umsatzsteuersatz unterliege. Das Finanzamt war anderer Auffassung. So seien die Voraussetzungen einer Steuersatzermäßigung nach § 12 Abs. 2 Nr. 13 UStG nicht erfüllt. Diese sind dann gegeben, wenn die Lieferung eines Kunstgegenstands entweder (i) direkt von seinem Urheber oder dessen Rechtsnachfolger erfolgt oder (ii) der Kunstgegenstand zunächst von seinem Urheber oder dessen Rechtsnachfolger an einen Unternehmer geliefert wurde, der den Kunstgegenstand sodann einem Dritten liefert, sofern der liefernde Unternehmer kein Wiederverkäufer i.S.d. § 25a Abs. 1 Nr. 1 Satz 2 UStG ist. Als Wiederverkäufer gilt danach derjenige, der gewerbsmäßig mit beweglichen körperlichen Gegenständen handelt oder solche Gegenstände im eigenen Namen öffentlich versteigert. Das Finanzamt unterwarf die Lieferung der zweiten Skulptureninstallation daher dem Regelsteuersatz und die GbR klagte daraufhin vor dem Finanzgericht Düsseldorf. Dieses wies die Klage mit der Begründung ab, dass die Voraussetzungen des § 12 Abs. 2 Nr. 13 UStG nicht erfüllt seien, da die Klägerin weder Urheberin noch Rechtsnachfolgerin des Urhebers sei und die Skulptureninstallation nicht vom Künstler an die GbR geliefert worden war.

In der Revision wandte die GbR als Klägerin ein, dass sie die Kunstwerke nach den Vorstellungen und Plänen des Künstlers als Urheber geschaffen habe. Der Begriff des Urhebers in § 12 Abs. 2 Nr. 13 UrhG sei weit zu verstehen. Der BFH hat die Revision als unbegründet zurückgewiesen. Die Voraussetzungen des § 12 Abs. 2 Nr. 13 UrhG liegen nicht vor. Die Klägerin ist weder Urheberin noch Rechtsnachfolgerin des Urhebers des gelieferten Gegenstandes. Der BFH führt aus, dass sich der Begriff des Urhebers nach den Vorschriften des Urheberrechtsgesetzes richtet und begründet dies unter anderem damit, dass der Begriff nicht anders zu verstehen ist als in § 12 Abs. 2 Nr. 7 c UStG, in dem ausdrücklich auf das Urhebergesetz verwiesen wird.

Nach § 7 UrhG ist Urheber der Schöpfer eines Werkes. Zu den geschützten Werken gehören nach § 2 Abs. 1 Nr. 4 UrhG insbesondere Werke der bildenden Kunst, wobei ein Werk nur eine persönliche geistige Schöpfung sein kann (§ 2 Abs. 2 UrhG). Eine persönliche geistige Schöpfung ist dabei eine Schöpfung individueller Prägung, deren ästhetischer Gehalt einen solchen Grad erreicht hat, dass nach Auffassung der für Kunst empfänglichen und mit Kunstanschauung einigermaßen vertrauten Kreise von einer künstlerischen Leistung gesprochen werden kann. Das Urheberrecht ist zwar vererblich, jedoch nach § 29 Abs. 1 UrhG nicht übertragbar, es sei denn, es wird in Erfüllung einer Verfügung von Todes wegen oder an Miterben im Wege der Erbauseinandersetzung übertragen. Die Auffassung der GbR, sie sei umsatzsteuerrechtlich als Urheberin der streitgegenständlichen Skulptureninstallation anzusehen, obwohl sie nach dem Urheberrechtsgesetz nicht deren Urheberin ist, geht fehl. Auch wenn die Klägerin in Erfüllung des Gesellschaftszwecks die Kunstwerke nach den künstlerischen Vorgaben des Künstlers als Urhebers hat herstellen lassen, vermag dies nichts daran zu ändern, dass die streitgegenständliche Skulptureninstallation keine eigene geistige Schöpfung der Klägerin, sondern eine des Künstlers verkörpert. Die GbR ist daher weder Urheberin noch Miturheberin.

Auch ein Blick in die Kunstgeschichte zeigt, dass die hier dargestellte Situation tatsächlich in der Praxis durchaus von Relevanz und nicht immer eindeutig ist. Alte Meister wie Tizian haben nicht selten ihre Werke ausschließlich eigenhändig geschaffen, sondern Schüler mit der Ausführung beauftragt. Die Werke sind jedoch heutzutage in der Kunstgeschichte ausschließlich unter dem Namen des Meisters bekannt. Auch in der zeitgenössischen Kunst gibt es ähnliche Szenarien, so fertigt beispielsweise Jeff Koons nicht jedes seiner Werke alleine und eigenhändig an, sondern bedient sich einer Vielzahl von Mitarbeiter. Dennoch handelt es sich in der Kunstwelt um Werke von Jeff Koons.

Der BFH hat weiter geurteilt, dass die GbR auch keine Rechtsnachfolgerin sei. Rechtsnachfolgerin im Sinne der Vorschrift ist der Gesamtrechtsnachfolger. Auch dies ergibt sich daraus, dass das Urheberrecht nach § 28 Abs. 1 UrhG vererblich, nicht aber übertragbar ist.

Auch eine entsprechende Anwendung des § 12 Abs. 2 Nr. 13 b UStG kommt nicht in Betracht, da bereits eine Regelungslücke nicht ersichtlich ist. So heißt es in der Gesetzesbegründung, dass der ermäßigte Steuersatz im gewerblichen Kunsthandel (z.B. Galeristen und Kunsthändler) nicht mehr regelmäßig Anwendung finden soll.
Im Ergebnis verdeutlicht diese Gerichtsentscheidung somit, dass der Begriff des Urhebers nicht anders auszulegen ist als im Urhebergesetz und erteilt damit einer autonomen steuerrechtlichen Auslegung eine Absage. Der ermäßigte Steuersatz von 7 % gilt nur, wenn die Lieferung vom geistigen Schöpfer oder dessen Rechtsnachfolger selbst stammt. Damit beseitigt die Entscheidung eine rechtliche Unsicherheit für die Fälle, in denen Künstler ihr Werk nicht selbst schaffen, sondern den Schaffensprozess auf einen Zusammenschluss von Künstlern und Galerie auslagern.

Rechtliche Unsicherheiten bestehen zwar in den Fällen nicht, in denen Künstler ihre eigenen Werke selbst verkaufen, da sie auch unter Zugrundelegung des „engen“ Urheberbegriffs aus dem UrhG in den Anwendungsbereich des ermäßigten Steuersatzes fallen. Ebenso unproblematisch sind die Fälle, in denen nicht der Künstler, sondern sein Käufer sein Werk weiterverkauft, denn entweder ist auch hier der ermäßigte Umsatzsteuersatz anwendbar oder es finden, sofern der weiterveräußerende Käufer als Wiederverkäufer einzustufen ist, die Regeln zur Differenzbesteuerung nach § 25a UStG Anwendung.

Die Entscheidung des BFH betraf das Streitjahr 2015, in dem aufgrund der alten unionsrechtlichen Grundlage, nämlich Art. 103 Abs. 2 Mehrwertsteuersystem-Richtlinie alte Fassung, nach der seit dem 1.1.2014 geltenden Neufassung des § 12 Abs. 2 Nr. 13 UStG nur noch die Lieferungen von Kunstwerken des „Urhebers“ und dessen „Rechtsnachfolgers“ dem ermäßigten Steuersatz unterlagen.

Dies führte in der Kunstwelt zu erheblicher Kritik, da auf diese Weise Galerien eine massive Ungleichbehandlung erfahren, auch gegenüber dem Ausland. So liegt in Frankreich die Mehrwertsteuer bei 5,5 Prozent, in der Schweiz bei 8,1 Prozent und in England ebenfalls bei 5,5 Prozent.

Aber es besteht Grund zur Hoffnung: Ab dem 1.1.2025 erlaubt die Neufassung von Art. 98 Abs. 1 UAbs. 2 i.V.m. Nr. 26 Anhang III MwStSystRL den Mitgliedsstaaten die generelle Anwendung des ermäßigten Umsatzsteuersatzes auf Lieferungen von Kunstwerken, ohne dabei explizit darauf abzustellen, dass diese vom „Urheber“ oder von dessen „Rechtsnachfolger“ geliefert werden sollen. Insofern besteht nun die vom Kunsthandel mit Vehemenz eingeforderte Möglichkeit, dass der nationale Gesetzgeber zur Rechtslage vor 2014 zurückkehrt und dadurch wieder sämtliche Lieferungen von Kunstwerken, unabhängig von der Person des Verkäufers, unter dem ermäßigten Steuersatz fallen können.

Bislang hat der nationale Gesetzgeber im Zuge des derweil kursierenden Jahressteuergesetzes 2024 von dieser Steilvorlage zur Änderung von § 12 Abs. 2 Nr. 13 UStG aber keinen Gebrauch gemacht. Damit wird das Urteil des BFH zum Begriff des “Urhebers” für die Frage der Anwendung des ermäßigten Steuersatzes beim Verkauf von Kunstwerken weiterhin Relevanz haben.

Adrienne Bauer
Markus P. Linnartz

Unbestreitbar müssen Hersteller von KI-Systemen die Regelungen des AI Acts befolgen und beobachten die europäische Regulierung daher sicherlich mit großer Aufmerksamkeit. Allerdings sei selbiges auch Unternehmen, die KI "nur" im Einsatz haben, geraten. Nachfolgend haben wir die zehn praxisrelevanten Fragen zusammengestellt, die sich Unternehmen stellen sollten, die KI im Einsatz haben bzw. zum Einsatz bringen möchten.

1.Welche Unternehmen müssen die Regelungen des AI Act beachten?

Der Großteil der Regelungen des AI Acts befasst sich mit den verbotenen sowie mit Hochrisiko-KI-Systemen und den hieraus resultierenden Verpflichtungen für Anbieter, daneben auch für Einführer und Händler entsprechender KI-Systeme. Dies bedeutet allerdings nicht, dass man sich als Nutzer eines KI-Systems nunmehr im Sessel zurücklehnen könnte. Im Gegenteil: auch Nutzer (im AI Act als "Betreiber" bezeichnet) von KI-Systemen werden vom AI Act erfasst und müssen umfangreiche Verpflichtungen erfüllen.

Es unterfallen nicht nur Unternehmen mit Sitz in der EU dem AI Act, vielmehr werden auch außerhalb der EU ansässige Anbieter und Nutzer erfasst, sofern der von den KI-Systemen erzeugte Output in der EU Verwendung findet;

2. Ausgenommene Anwendungsbereiche

Zunächst nimmt der AI Act den Einsatz von KI durch natürliche Personen für rein persönliche, nicht berufliche Zwecke vom Anwendungsbereich aus. Ebenfalls vom Anwendungsbereich ausgenommen sind KI-Systeme, die ausschließlich im Bereich der wissenschaftlichen Forschung und Entwicklung entwickelt und eingesetzt werden.

Bedeutung erlangen könnte zukünftig die Regelung, dass der AI Act nicht für bestimmte KI mit freien und quelloffenen Lizenzen (Open Source) gilt. Eine weitere bedeutende Ausnahme sieht der AI Act für den Einsatz von KI-Systemen im Bereich des Militärs, der Verteidigung und der nationalen Sicherheit vor. Darüber hinaus haben die Mitgliedstaaten in bestimmten Bereichen die Möglichkeit, weitere Ausnahmen zu regeln. So können sie beispielsweise im Rahmen der Verwendung von KI-Systemen durch Arbeitgeber weitere Rechts- und Verwaltungsvorschriften zum weitergehenden Schutz von Arbeitnehmern vorsehen.

3. Verbotene KI-Systeme

KI-Systeme, von denen ein inakzeptables Risiko ausgeht, werden gemäß Art. 5 AI Act gänzlich untersagt. Dazu gehören KI-Systeme der nachfolgenden acht Bereiche:

• Techniken unterschwelliger Beeinflussung außerhalb des menschlichen Bewusstseins, um das Verhalten einer Person erheblich zu beeinflussen bzw. ihr Schaden zuzufügen
• das gezielte Ausnutzen des Schutzbedürfnisses bestimmter Personengruppen aufgrund ihres Alters oder einer Behinderung
• Social Scoring
• Verwendung sogenannter Profiling-Systeme, mit denen das Risiko natürlicher Personen, eine Straftat zu begehen, bewertet oder vorhergesagt werden kann
• Ungezielte Erfassung (Scraping) von Gesichtsbildern aus dem Internet oder aus Video-überwachungsanlagen zur Erstellung von Gesichtserkennungsdatenbanken
• Einsatz von Emotionserkennungssystemen am Arbeitsplatz und in Bildungseinrichtungen
• Die Verwendung von Systemen zur biometrischen Kategorisierung
• Die Verwendung biometrischer Echtzeit-Fernidentifizierungssysteme im öffentlich zugänglichen Räumen zu Strafverfolgungszwecken (wobei diese in enge Grenzen für zulässig erklärt wird)

4. Welche Systeme sind Hochrisiko-KI-Systeme?

Kernstück des AI Acts sind die Regelungen zu den sogenannten Hochrisiko-KI-Systemen. Grundsätzlich gelten KI-Systeme dann als Hochrisiko-KI-Systeme, wenn von ihnen erhebliche Gefahren für die Grundrechte ausgehen.

Ein Hochrisiko-KI-System liegt vor, wenn ein KI-System als Sicherheitsbauteil für ein Produkt verwendet wird, das unter die in Anhang I aufgelisteten Harmonisierungsrechtsvorschriften der EU fällt oder selbst ein solches Produkt ist. Dazu zählen beispielsweise Maschinen, Spielzeug und Medizinprodukte.

Als Hochrisiko-KI-System wird ferner ein KI-System klassifiziert, welches in einen der folgenden Bereiche des Anhang III fällt:

• Biometrische Fernidentfizierungssysteme sowie KI-Systeme zur biometrischen Kategorisierung sowie zur Emotionserkennung
• Kritische Infrastruktur: Erfasst sind KI-Systeme, die bestimmungsgemäß als Sicherheitsbauteile in der Verwaltung und dem Betrieb kritischer digitaler Infrastruktur, dem Straßenverkehr oder der Wasser-, Gas-, Wärme- und Stromversorgung verwendet werden.
• Allgemeine und berufliche Bildung: Erfasst sind KI-Systeme, wenn diese für Entscheidungen über den Zugang natürlicher Personen zu Einrichtungen der allgemeinen oder beruflichen Bildung verwendet werden.
• Beschäftigung, Personalmanagement und Zugang zur Selbständigkeit: Erfasst sind KI-Systeme, die für die Analyse und Filterung sowie der Bewertung von Bewerber eingesetzt werden.
• Bestimmte grundlegende private und öffentliche Dienste und Leistungen: Hierunter fallen etwa KI-Systeme, die zur Prüfung der Kreditwürdigkeit und Bonität natürlicher Personen verwendet werden.
• Strafverfolgung
• Migration, Asyl und Grenzkontrolle
• Rechtspflege und demokratische Prozesse

Allerdings sieht der AI Act eine wichtige Ausnahme vor: KI-Systeme aus den zuvor genannten Kategorien des Annex III können unter bestimmten Voraussetzungen von der Klassifizierung als Hochrisiko-KI-System ausgenommen werden. Voraussetzung ist, dass kein erhebliches Risiko einer Schädigung der Gesundheit, Sicherheit oder Grundrechte von natürlichen Personen vorliegt. Beispielhaft genannt seien hier solche KI-Systeme, die dazu dienen, eine vom Menschen zuvor durchgeführte Tätigkeit zu verbessern. Gleiches gilt, wenn das KI-System lediglich dazu bestimmt ist, eine eng begrenzte verfahrenstechnische Aufgabe zu erfüllen. Die Beurteilung, ob eine solche Ausnahme vorliegt, ist im Rahmen einer Risikoevaluierung vom Unternehmen selbst vorzunehmen und entsprechend zu dokumentieren.

5. Welche Regelungen gelten für Betreiber von Hochrisiko-KI-Systemen?

Unternehmen, die als Betreiber Hochrisiko-KI-Systeme einsetzen, müssen einen umfassenden Pflichtenkatalog erfüllen. Hierzu gehören beispielsweise die folgenden:

• Sie treffen geeignete technische und organisatorische Maßnahmen, um sicherzustellen, dass das Hochrisiko-KI-Systeme in Übereinstimmung mit den Gebrauchsanweisungen verwendet werden.
• Sie übertragen natürlichen Personen die menschliche Aufsicht.
• Sie stellen sicher, dass Eingabedaten im Hinblick auf den Zweck des KI-Systems relevant und ausreichend repräsentativ sind.
• Sie überwachen den Betrieb der Hochrisiko-KI-Systems anhand der Gebrauchsanweisung und informieren gegebenenfalls die Anbieter bzw. bei schwerwiegenden Vorfällen auch den Einführer, Händler und die entsprechenden Behörden.
• Sie bewahren automatisch erzeugte Protokolle mindestens sechs Monate auf.
• Sofern sie gleichzeitig Arbeitgeber sind, informieren sie die betroffenen Arbeitnehmer und die Arbeitnehmervertreter über den Einsatz eines Hochrisiko-KI-Systems am Arbeitsplatz.
• Sie unterliegen einer Verpflichtung zur Zusammenarbeit mit den Behörden.

Die ursprünglich für alle Betreiber geforderte Grundrechte-Folgenabschätzung für Hochrisiko-KI-Systeme ist im aktuellen Verordnungstext nur noch für staatliche Einrichtungen sowie für private Unternehmen, die staatliche Aufgaben wahrnehmen, vorgesehen, ferner für solche Hochrisiko-KI-Systeme, in denen öffentliche Dienstleistungserbringungen, Kreditwürdigkeitsprüfungen oder risikobasierte Preisgestaltungen von Lebens- und Krankenversicherungen betroffen sind.

Betreiber können unter bestimmten Voraussetzungen auch selbst zum Anbieter eines Hochrisiko-KI-Systems werden und dann den strengeren Anbieterpflichten - beispielsweise die Einrichtung eines Risikomanagementsystems, die Durchführung eines Konformitätsbe-wertungsverfahrens sowie die Eintragung in eine EU-Datenbank - unterliegen. Ein solcher Wechsel der Verantwortlichkeit kommt dann zum Tragen, wenn ein Hochrisiko-KI-System unter eigenem Namen oder eigener Marke in den Verkehr gebracht oder in Betrieb genommen oder aber eine wesentliche Änderung an einem Hockrisiko-KI-System vorgenommen wird.

6. Welche Pflichten treffen Betreiber von KI-Systemen, die keine Hochrisiko-KI-Systeme darstellen?

Während für Betreiber von Hockrisiko-KI-Systemen der zuvor skizierte umfassende Pflichtenkatalog gilt, sind Betreiber von KI-Systemen, von denen nur ein geringes Risiko ausgeht, grundsätzlich nur gewissen Transparenzpflichten ausgesetzt. So muss offengelegt werden, wenn Inhalte wie Bilder, Videos oder Audioinhalte von einer KI erstellt oder verändert werden. Dieselbe Pflicht greift, wenn eine KI einen Text erstellt oder verändert, der zum Zweck der öffentlichen Information verbreitet wird.

7. Was gilt für KMU?

Erklärtes Ziel des AI Acts ist es, einen innovationsfreundlichen Rechtsrahmen zu schaffen. Dementsprechend hat der Gesetzgeber regulatorische Erleichterungen für Kleinst-, kleine und mittlere Unternehmen (KMU) – einschließlich Start-Ups - mit Sitz in der EU festgeschrieben. So können KMU beispielsweise in den Genuss ideeller und finanzieller Unterstützung kommen. Schließlich sollen KMU unter bestimmten Bedingungen einen priorisierten und kostenlosen Zugang zu sogenannten regulatorischen Sandboxes erhalten. Schließlich können die Geldbußen gedeckelt werden.

8. Ab wann gilt der AI Act?

Genaue Daten können aktuell noch nicht genannt werden, da für das Inkrafttreten des AI Acts noch die Veröffentlichung des finalen Gesetzestextes im Amtsblatt der EU erforderlich ist. Das Verbot von KI-Systemen greift bereits sechs Monate nach Inkrafttreten der Verordnung. Der Großteil der Vorschriften des AI Acts gilt 24 Monate nach Inkrafttreten. Demgegenüber gelten die für Hochrisiko-KI-Systeme festgeschriebenen Pflichten erst nach 36 Monaten.

9. Wie sind Verstöße gegen den AI Act sanktioniert?

Die Nichteinhaltung der Vorgaben des AI Acts kann zu exorbitant hohen Geldstrafen führen. Diese variieren je nach Verstoß und Unternehmensgröße. Während bei Verstößen gegen verbotene KI-Systeme bis zu EUR 35 Millionen oder 7 % des weltweiten Jahresumsatzes drohen, können sonstige Verstöße gegen Verpflichtungen des AI Acts mit bis zu EUR 15 Millionen bzw. 3% des weltweiten Umsatzes sanktioniert werden. Für die Erteilung falscher Informationen kommen Bußgelder in Höhe von EUR 7,5 Millionen oder 1 % des Umsatzes in Betracht.

Mit der Durchsetzung werden diverse nationale und EU-weite Behörden beschäftigt, so dass ein komplexes Gefüge aus Zuständigkeiten und Abstimmungsverfahren entsteht. Welche Behörde in Deutschland für die Einhaltung der Vorgaben des AI Acts Sorge tragen wird, steht aktuell noch nicht fest. Im Gespräch sind die Bundesnetzagentur und das Bundesamt für Sicherheit in der Informationstechnologie.

10. ToDos für Unternehmen

Zunächst sollte im Unternehmen eine Ermittlung und Einordnung erfolgen, in welche Risikoklasse die verwendeten KI-Systeme einzuordnen sind. Aus dieser Kategorisierung leiten sich dann die Erfordernisse für deren ordnungsgemäße Nutzung ab. Insbesondere für zukünftige Projekte gilt es, die entsprechend mit KI im Unternehmen betrauten Abteilungen frühzeitig einzubinden, so dass eine hinreichende Prüfung und Compliance mit den Vorschriften sichergestellt werden kann. Dies ist insbesondere mit Blick auf die hohen Bußgelder dringend zu empfehlen.

Dr. Peggy Müller

Einen weiteren Blogbeitrag zum Thema finden Sie unter diesem Link.

Die weltweit agierende Knill Gruppe baut damit ihre Präsenz im Bereich Schranksysteme für die Energiewirtschaft im deutschen Markt weiter aus. Für ADVANT Beiten war dies unter der Federführung von Dr. Jack Schiffer die dritte Transaktion für die Knill Gruppe.

Die Knill Gruppe ist ein privat geführtes, global tätiges Familienunternehmen, das Produkte und Lösungen für die Energie-, Kommunikations- und Mobilitätsinfrastruktur anbietet. Zur Unternehmensgruppe gehören 29 Gesellschaften in 17 Ländern. Das Unternehmen ist in der 12. Generation im Familienbesitz, hat über 2300 Mitarbeitende und einen Gruppenumsatz in Höhe von rund EUR 450 Mio.

ELSTA-Mosdorfer ist mit mehr als 40 Jahren Erfahrung führender internationaler Anbieter von Kunststoff-Schranksystemen für Energie-, Telekommunikations-, Verkehrs- und Kontrollsysteme.

Die EBG group, eine mittelständische, familiengeführte Unternehmensgruppe, hat ihre Tätigkeitsschwerpunkte in der Elektro- und Kunststofftechnik. EBG electro ist Experte für die Stromverteilung im Außenbereich; EBG innolab, deren Kompetenz im Bereich der Elektrotechnik und Kunststoffverarbeitung liegt, ist das Innovationslabor der Unternehmensgruppe.

Berater Knill Gruppe/ELSTA-Mosdorfer GmbH:
 

ADVANT Beiten: Dr. Jack Schiffer (Federführung, Corporate/M&;A), Dr. André Depping, Dr. Daniel Walden (beide Konfliktlösung & Prozessführung), Christoph Heinrich (Kartellrecht & Beihilfenrecht), Christian Hess, Katharina Mayerbacher, Dr. David Moll (alle IP/IT/Medien), Simone Schmatz (Corporate/M&A), Insa Cornelia Müller-Trucksaess (Corporate/M&A, China Desk), Dr. Dirk Tuttlies, Petra Fendt, Peter Wimber (alle Banking, Finance & Restructuring), Dr. Mark Zimmer (Arbeitsrecht, alle München), Sascha Nowottny (Corporate/M&;A), Christian Schenk (Steuern, beide Düsseldorf), Frank Primozic (Banking, Finance & Restructuring, Frankfurt).

Pressekontakt
 

Frauke Reuther
 

Manager Kommunikation
 

ADVANT Beiten
 

+49 (69) 75 60 95 - 570
 

frauke.reuther@advant-beiten.com

Dr. Jack Schiffer
 

Rechtsanwalt
 

ADVANT Beiten
 

+49 (89) 35065 - 1310
 

jack.schiffer@advant-beiten.com

Kürzlich hat die EU unter mächtigem Getöse das EU-Gesetz über Künstliche Intelligenz (AI Act) verabschiedet.

Das Gesetz mag ein Meilenstein sein (näheres hierzu in unserem Blogbeitrag). Wirklich relevant ist er für Anbieter und Betreiber von KI-Systemen, insbesondere solche mit hohem Risiko. Ein Großteil der praktischen und rechtlichen Probleme beim Einsatz von KI wird in dem Gesetz jedoch nicht geregelt oder gar thematisiert. Diese müssen nach wie vor zwischen den Parteien ausgehandelt werden.

1. Intern: Klare Regelungen

Überall da, wo Mitarbeitenden ein Internet-Zugang zur Verfügung gestellt wird, wird dieser genutzt – auch, um mit KI wenigstens zu experimentieren, also insbesondere auszuprobieren, was ChatGPT, Copilot, Claude, Dall-E-, Midjourney u.a. leisten können. Ebenso hat sich inzwischen weitgehend herumgesprochen, dass mit der Nutzung Risiken für das Unternehmen verbunden sein können. Nicht wenige hat das bereits ihren Job gekostet. Umso erstaunlicher ist es, dass viele Unternehmen noch keine internen Vorgaben zum korrekten Einsatz von Künstlicher Intelligenz bei der Arbeit machen. Unbedingt geregelt gehört dabei der Umgang mit sensiblen Informationen und die Verwendung der Arbeitsergebnisse von KI, am besten aber auch Zuständigkeiten, Verantwortlichkeiten und Dokumentationserfordernisse. Denn eins ist sicher: Genutzt werden diese Systeme in jedem Fall. Ein Totalverbot ist nicht durchsetzbar und wäre auch produktivitätshemmend.

2. Mitbestimmung

Bei Betrieben, die der Mitbestimmung unterliegen, kann die Einführung von KI durchaus aufwändig sein. Denn: Muss der Betriebsrat zur Durchführung seiner Aufgaben die Einführung oder Anwendung von Künstlicher Intelligenz beurteilen, gilt insoweit die Hinzuziehung eines Sachverständigen als erforderlich (§ 80 Abs 3 S. 2 BetrVG).

3. Verlässliche Verträge

Viele Unternehmen kaufen KI-Lösungen von Dritten ein bzw. lizenzieren Software, in der KI enthalten ist. Dafür sollten Verträge verwendet werden, die den speziellen Themen beim Einsatz von KI Rechnung tragen - und nicht etwa nur veraltete Standard-Einkaufsbedingungen für IT, die zum Thema KI noch schweigen. Natürlich spricht nichts dagegen, etwaige veraltete Standard-Einkaufsbedingungen für IT gleich an die zahlreichen neuen praktischen und gesetzlichen Anforderungen anzupassen.

Einige wichtige Herausforderungen:

Bei Systemen generativer KI (die oben bereits genannten wurden, wie Chat GPT u.ä.) sollte sich kein Lizenznehmer oder Anwender darauf verlassen, dass diese rechtskonform sind. Insbesondere ist fraglich, ob die zum Training verwendeten Daten rechtmäßig beschafft und genutzt wurden, insbesondere in Bezug auf Datenschutz, Persönlichkeitsrechte und Urheberrechte Dritter. Das heißt nicht, dass ein Unternehmen grundsätzlich vom Einsatz Abstand nehmen muss. Aber die Risikoverteilung muss vernünftig geregelt werden.

Ebenso liefert Künstliche Intelligenz gelegentlich unerwünschte Resultate oder zeigt merkwürdiges Verhalten. Beispielsweise können Arbeitsergebnisse von KI regelmäßig Rechte Dritter verletzen. Ein Rechteclearing kann hier wesentlich schwieriger als bei von Menschen erzeugten Arbeitsergebnissen sein, weil die KI erst gar nicht offenlegt oder offenlegen kann, bei welchen Urhebern sie sich bedient hat (besonderes Problem: die korrekte Offenlegung der Nutzung von Open Source Code wird so nahezu unmöglich und die Nutzung damit unzulässig). Es sind auch Aussagen von auf Unternehmenswebsites eingesetzten Chatbots überliefert, die den Unternehmen buchstäblich auf die Füße gefallen sind – weil der Chatbot Kunden Rechte zugestanden hat, die die Kunden vertraglich an sich gar nicht gehabt hätten. Schließlich macht KI auch Fehler, was aber auch unerwartete Folgen haben kann: Bei manchen Systemen wird vor diesem Hintergrund regelmäßig eine gewisse Fehlertoleranz in Kauf genommen. Wenn allerdings ein KI-System, bspw. zur Betrugsprävention, so „scharf“ eingestellt wird, dass es Vorgänge nur dann freigibt, wenn ein Betrugsversuch zu 100% ausgeschlossen werden kann, wird es wahrscheinlich nie einen Vorgang freigeben. Zugleich bedeutet aber ein geringerer Wert eine bewusste Inkaufnahme von Fehlentscheidungen, was beispielsweise den ansonsten für Fehlentscheidungen bestehenden Versicherungsschutz aushebeln kann.

Ganz generell geht es darum, dass KI zwar effektiv ist, häufig aber intransparent arbeitet und früher oder später auch Fehler produzieren wird. Vertraglich muss also geregelt werden, wie mit der Intransparenz umzugehen ist bzw. wer das Risiko trägt, wenn nicht ermittelt werden kann, wo der Fehler lag – und auch, welcher Grad an Fehleranfälligkeit noch akzeptabel ist.

Die üblichen Maßstäbe von Vorsatz und grober Fahrlässigkeit, die sich in den meisten Standardverträgen finden, passen hier nicht: Beide Parteien wissen ja, dass es zu Fehler kommen kann. Geregelt werden muss also, welche Fehler welcher Vertragspartei zugerechnet werden. Das kann beispielsweise in Regelungen über Datenqualität, Servicelevels und Freistellungsklauseln erfolgen. Eine Standardlösung für jeglichen Einsatz von KI gibt es natürlich nicht. Wichtig ist aber, dass das Thema mitgedacht und angemessen geregelt wird.

Ebenfalls wichtig: Zu regeln, inwieweit die KI anhand der Daten des Lizenznehmers „trainiert“ werden und ob das so von der KI Gelernte dann auch anderen Kunden zugutekommen darf. Schlimmstenfalls könnten die zum Training eingesetzten Daten gegenüber anderen Kunden oder deren Endnutzern der KI offengelegt werden, was eine Verletzung von Persönlichkeitsrechten, Rechten des geistigen Eigentums oder Geschäftsgeheimnissen darstellen kann. Soweit der Datensatz des Lizenznehmers auch personenbezogene Daten umfasst, dürfen diese regelmäßig ohnehin nicht zum Training der KI für andere Kunden herangezogen werden.

In Zusammenhang mit dem AI Act hat die Europäische Kommission übrigens den Entwurf von Standardvertragsklauseln für die Beschaffung von KI-Systemen durch öffentliche Einrichtungen vorgelegt (KI-SCCs). Die darin festgelegten Anforderungen sollen die Konformität der Vertragsbedingungen mit den Anforderungen des AI Act gewährleisten, wobei für Hochrisiko-KI-Systeme und nicht-Hochrisiko-KI-Systeme je eine Version der KI-SCCs veröffentlicht wurde.

Die KI-SCCs können nicht als alleinige vertragliche Grundlage für den Einsatz von den KIs herangezogen werden, da viele vertragsrechtlich relevante Themen (z.B. Haftung, geistiges Eigentum) gar nicht oder nicht hinreichend behandelt werden. Dennoch können die KI-SCCs bei der Aushandlung von Vertragsbedingungen – auch zwischen privaten Unternehmen – nützliche Orientierungspunkte liefern.

4. HR-Software

Einleitend wurde bereits gesagt, dass das EU-Gesetz über Künstliche Intelligenz nicht flächendeckend relevant sein wird, sondern insbesondere Anbieter und Betreiber von KI-Systemen verpflichtet. Ein Einsatzbereich soll vorlegend aber besonders erwähnt werden: Software im HR-Bereich gilt häufig als Hochrisiko-System, insbesondere Recruiting Tools (für die Einstellung und Auswahl von Bewerbern bzw. die Schaltung gezielter Stellenanzeigen) und Personalmanagement-Tools. Hochrisiko-Systeme unterliegen besonders strengen Anforderungen.

Dr. Andreas Lober
 

Lennart Kriebel

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Was umfasst der Cyber Resilience Act?

Der Anwendungsbereich ist damit sehr weit gefasst und umfasst alle möglichen Arten von Hard- und Software mit niedrigem bis hohem Risikoprofil. Der CRA unterscheidet zunächst zwischen drei Produktkategorien:

• den „einfachen“ Produkten mit digitalen Elementen,
• den wichtigen Produkten mit digitalen Elementen der Klasse I und II und
• den kritischen Produkten mit digitalen Elementen.

Je nach Produktkategorie sind die Anforderungen an die Produkte unterschiedlich.

Wichtige Produkte der Klasse I umfassen

• Identitätsmanagementsysteme,
• eigenständige und eingebettete Browser,
• Passwort-Manager,
• Anti-Malware,
• Netzmanagementsysteme,
• Systeme für die Verwaltung von Sicherheitsinformationen und -ereignissen,
• Bootmanager,
• Public-Key-Infrastrukturen und Software für die Ausstellung digitaler Zertifikate,
• physische und virtuelle Netzschnittstellen,
• Betriebssysteme,
• Router, Modems und Switches,
• Mikroprozessoren,
• Mikrocontroller,
• Anwendungsspezifische integrierte Schaltungen und Field Programmable Gate Arrays,
• Produkte mit Sicherheitsfunktionen für die intelligente häusliche Umgebung,
• internetfähiges Spielzeug,
• Smart Home Assistenten,
• Wearables für die Gesundheitsüberwachung.

In die Klasse II fallen

• Hypervisoren,
• Container-Laufzeitsysteme,
• Firewalls,
• Angriffserkennungs- und/oder -präventionssysteme sowie
• Manipulationssichere Mikroprozessoren und Mikrocontroller.

Der Anhang mit den kritischen Produkten umfasst derzeit Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways in intelligenten Messsystemen sowie Smartcards oder ähnliche Geräte. Beide Listen sollen von der EU-Kommission künftig durch delegierte Rechtsakte erweitert und präzisiert werden.

Grundlegende Anforderungen an die Cybersicherheit

Um ein Produkt mit digitalen Elementen in Verkehr bringen zu können, muss es einige grundlegende Anforderungen erfüllen.

In einem ersten Schritt müssen die Hersteller eine Bewertung der Cybersicherheitsrisiken ihrer Produkte durchführen und dokumentieren, deren Ergebnisse sie von der Planung über die Herstellung bis hin zur erwarteten Produktlebensdauer berücksichtigen müssen.

Auf der Grundlage dieser Bewertung müssen die Produkte insbesondere

• frei von bekannten Sicherheitslücken sein,
• über sichere Standardeinstellungen verfügen und
• grundsätzlich kostenlose Sicherheitsupdates, auch automatisch, ermöglichen.

Sie müssen

• vor unberechtigtem Zugriff schützen,
• die Vertraulichkeit und Integrität der Daten wahren,
• die Datenverarbeitung minimieren und
• die Kernfunktionen auch nach Störfällen sicherstellen.

Das Produktdesign muss Angriffe minimieren, Auswirkungen begrenzen und transparente Sicherheitsinformationen bereitstellen.

Damit verbunden ist die Verpflichtung, Schwachstellen zu identifizieren und zu dokumentieren, die Produktsicherheit regelmäßig zu überprüfen und Vorsorgemaßnahmen zu treffen, einschließlich einer Strategie für die koordinierte Offenlegung von Schwachstellen.

Der Unterstützungszeitraum für Produkte mit digitalen Elementen, in dem auch Sicherheitsupdates bereitgestellt werden müssen und die technische Dokumentation zu erstellen ist, soll grundsätzlich mindestens fünf Jahre betragen. Das Ende des Unterstützungszeitraums soll beim Kauf klar und verständlich angegeben werden.

Gleichzeitig werden Importeure und Händler von Produkten in die Pflicht genommen, sicherzustellen, dass die Produkte den Anforderungen der Verordnung entsprechen.

Konformitätsverfahren und Kennzeichnung (CE-Kennzeichnung)

Für Produkte mit digitalen Komponenten muss eine EU-Konformitätserklärung des Herstellers vorliegen, die die Einhaltung der grundlegenden Anforderungen gewährleistet. Die entsprechende CE-Kennzeichnung muss gut sichtbar, leserlich und dauerhaft auf dem Produkt angebracht sein. Bei Softwareprodukten ist die Software entweder auf der Konformitätserklärung oder auf der das Softwareprodukt begleitenden Website anzugeben.

Das vorgesehene Konformitätsbewertungsverfahren kann bei Produkten, die nicht als wichtig oder kritisch eingestuft sind, vom Hersteller in eigener Verantwortung durchgeführt werden. Die Einschaltung einer unabhängigen benannten Stelle ist für wichtige Produkte der Klasse I freiwillig, für wichtige Produkte der Klasse II jedoch verpflichtend.

Zentrale Meldestelle

Die Hersteller sollen eine zentrale Meldestelle einrichten, bei der die Anwender Schwachstellen melden und Informationen darüber erhalten können. Diese Meldestelle sollte nicht nur automatisiert betrieben werden, sondern auch den Kontakt zu einem menschlichen Ansprechpartner ermöglichen.

Meldepflichten

Hersteller müssen Sicherheitsverletzungen durch böswillige Akteure sowie Cybersicherheitsvorfälle, die zu einem erhöhten Risiko für Nutzer oder andere Personen führen, melden. Hierfür wird von der ENISA eine einheitliche Meldeplattform eingerichtet. Diese Meldungen müssen in der Regel unverzüglich erfolgen, können aber im Einzelfall aus Sicherheitsgründen für einen erforderlichen Zeitraum aufgeschoben werden. Behobene Schwachstellen werden im Einvernehmen mit dem Hersteller in einer europäischen Schwachstellendatenbank erfasst.

Überwachung und Durchsetzung

Die Überwachung und Durchsetzung erfolgt im Wesentlichen durch Marktüberwachungsbehörden, die nun in jedem Mitgliedstaat benannt werden müssen. Diese können bei Bedarf auch Zugang zu internen Daten der Hersteller verlangen, um die Konformität der Produkte zu beurteilen.

Bei Verstößen drohen - wie auch bei anderen EU-Rechtsakten - je nach Art und Schwere empfindliche Bußgelder. Im Falle des Cyber Resilience Act können sie bis zu 15 Millionen Euro oder 2,5 % des gesamten weltweit erzielten Jahresumsatzes des Unternehmens im vorangegangenen Geschäftsjahr betragen. Die konkrete Ausgestaltung obliegt den EU-Mitgliedstaaten.

Zeitlicher Horizont

Der CRA muss nun noch formell vom Rat der Europäischen Union verabschiedet werden. Dies geschieht voraussichtlich im April 2024. Wie bei anderen EU-Rechtsakten üblich, tritt der CRA dann am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Die Verordnung wird 36 Monate nach ihrem Inkrafttreten in vollem Umfang anwendbar sein, wobei einige Teilaspekte, darunter die Meldepflicht für Sicherheitsvorfälle, bereits früher gelten werden.

Produkte mit digitalen Elementen, die vor dem vollständigen Inkrafttreten der Verordnung in Verkehr gebracht wurden, sind von den Anforderungen nicht betroffen, sofern sie nach diesem Zeitpunkt nicht wesentlich geändert werden. Dies gilt jedoch nicht für die Meldepflicht von Sicherheitsvorfällen.

Einschätzung

Der Cyber Resilience Act verpflichtet Wirtschaftsakteure zu besonderer Sorgfalt im Kontext der Cybersicherheit. Dies führt einerseits zu einem beachtlichen Mehraufwand, gewährleistet aber eine gewisse Rechtssicherheit, da die Verordnung unionsweit gilt. Damit können Produkte, die die Anforderungen der Verordnung erfüllen, grundsätzlich auch in jedem andere EU-Mitgliedsstaat auf den Markt gebracht werden, ohne dass striktere Anforderungen an die Cybersicherheit das wirtschaftliche Tätigwerden verhindern. Auch wenn die Anforderungen des Cyber Resilience Act erst in gut 36 Monaten in vollem Umfang anwendbar sind, müssen sie bei Produkten mit langen Entwicklungszyklen und bei Verträgen mit langer Laufzeit frühzeitig mitgedacht werden.

Aus rechtlicher Sicht werden neben der Einhaltung von Pflichtinformationen neue Aspekte bei der Verhandlung von IT-Verträgen eine tragende Rolle spielen. So sollten Hersteller, die Komponenten von Dritten für ihre Produkte beziehen, Absicherungen fordern, dass diese Komponenten im Einklang mit der Verordnung stehen.

Daniel Trunk

Aber auch Anbieter von Cloud-, SaaS-, Edge- und ähnlichen Diensten sind betroffen. Ihnen widmet der Data Act ein eigenes Kapitel. Dieses Kapitel VI enthält Regelungen für so genannte Datenverarbeitungsdienste und zielt primär darauf ab, den Wechsel zwischen verschiedenen Diensten zu erleichtern, d.h. bestehende Wechselhürden abzubauen.

Insbesondere sofern Anbieter mit langen Vertragslaufzeiten arbeiten oder der Export der Kundendaten aufwändig ist, muss das Geschäftsmodell auf den Prüfstand gestellt werden – am besten sofort.
 

Dies hat im Wesentlichen die folgenden Gründe:

Lange Vertragslaufzeiten sind hinfällig. Der Kunde kann jederzeit mit einer Ankündigungsfrist von zwei Monaten den Wechsel zu einem anderen Anbieter einleiten. Nach weiteren 30 Tagen soll der Wechsel im Regelfall erfolgreich abgeschlossen sein. Hiernach gilt der bisherige Vertrag grundsätzlich als beendet. Die bisherige Praxis, anbieterseitige Anfangsinvestitionen über gewisse Mindestvertragslaufzeiten zu refinanzieren, wird also nicht mehr ohne weiteres funktionieren. Als Alternative kommen beispielsweise Set-up Fees in Betracht, die in den letzten Jahren im Zuge der Umstellung auf SaaS an Bedeutung verloren hatten, ggf. auch Zahlungen für den Fall einer vorzeitigen Vertragsbeendigung (z.B. sog. Termination Fees).

Exit-Support kann sehr aufwändig sein, ist aber perspektivisch grundsätzlich kostenlos zu erbringen. Konkret: Seit dem 11. Januar 2024 dürfen nur noch ermäßigte Wechselentgelte erhoben werden, ab dem 12. Januar 2027 soll der Wechsel grundsätzlich kostenlos sein. Zugleich sieht der Data Act jedoch umfassende Support-Pflichten vor, denen sich der ursprüngliche Anbieter nicht entziehen kann.

Der Anbieter ist – bis zu einem gewissen Grad – für Interoperabilität mit dem System des neuen Anbieters verantwortlich.

Diese Themen sollten sofort angegangen werden, da sie viele Anbieter zu einer Anpassung des Geschäftsmodells zwingen werden. Wenn der Data Act ab dem 12. September 2025 voll wirksam ist, müssen Anbieter von Datenverarbeitungsdiensten zudem auch die weiteren Pflichten aus dem Data Act erfüllen. Die zu ergreifenden Maßnahmen umfassen insbesondere:

• die Anpassung der Verträge (der Data Act gibt zwingende Vertragsinhalte vor)
• den Abbau von technisch-organisatorischen Wechselhürden
• Extensive Informationspflichten

Anbieter von Datenverarbeitungsdiensten müssen zudem Schutzvorkehrungen gegen staatlichen Zugriff aus Drittländern umsetzen.

Bei Verstößen gegen den Data Act drohen – neben den zivilgerichtlichen Auseinandersetzungen mit Kunden – auch Sanktionen von Aufsichtsbehörden, wobei die Höhe der drohenden Bußgelder derzeit noch nicht feststeht. Besonders pikant: Die Cloud-Vorschriften des Data Act dürften Marktverhaltensregelungen darstellen; Wettbewerber könnten etwaige Verstöße abmahnen.

Einen Überblick über die Regelungen des Data Act auch zu vernetzten Produkten gibt Ihnen dieser Blogbeitrag.

Dr. Andreas Lober
 

Lennart Kriebel 

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

1. Zulässige "Grüne" Werbung oder rechtswidriges "Greenwashing"?

Die gesellschaftliche Bedeutung von Umwelt- und Klimaschutz ist in den letzten Jahren rasant gewachsen. Auch bei der Kaufentscheidung von Verbrauchern spielen diese Themen mittlerweile eine erhebliche Rolle. Unternehmen bemühen sich daher, mit Hilfe umweltbezogener Werbung (z.B. durch Angaben wie "klimaneutral", "umweltfreundlich" oder "bio") möglichst grün und nachhaltig zu erscheinen.

Doch häufig halten solche grünen Werbebotschaften nicht das, was sie versprechen. Versuchen sich Unternehmen in Bezug auf die Themen Umwelt- und Klimaschutz in der Werbung besser darzustellen, als dies tatsächlich der Fall ist, spricht man von "Greenwashing". Greenwashing kann sowohl durch ausdrückliche Werbeaussagen als auch durch Suggerieren der Umweltverträglichkeit der beworbenen Produkte erfolgen. Letzteres geschieht häufig durch Verwendung von Symbolen und Siegeln, die für umweltbezogene Eigenschaften stehen oder auch durch eine bestimmte Verpackungsgestaltung.

Ob ein Fall des rechtswidrigen Greenwashings vorliegt, beurteilt sich in Deutschland insbesondere nach den Regeln über irreführende geschäftliche Handlungen des Gesetzes gegen den unlauteren Wettbewerb (UWG). Daneben gibt es auch auf EU-Ebene verschiedene Vorgaben für umweltbezogene Werbung, die Unternehmen künftig zu beachten haben. In diesem Zusammenhang dominierte vor allem der Entwurf der Richtlinie über die Begründung ausdrücklicher Umweltaussagen und die diesbezügliche Kommunikation (sog. "Green Claims Richtlinie") in letzter Zeit die Medienberichterstattung (zum Stand des Gesetzgebungsverfahrens). Aktuell rückt zudem die Richtlinie (EU) 2024/825 zur Änderung der Richtlinien 2005/29/EG¹ und 2011/83/EU² hinsichtlich der Stärkung der Verbraucher für den ökologischen Wandel ("EmpCo-Richtlinie" genannt) in den Vordergrund des Medieninteresses, die EU-Parlament und -Rat Anfang 2024 beschlossen haben.

Die EmpCo-Richtlinie schränkt umweltbezogene Werbung stark ein und lässt diese nur noch unter strengen Voraussetzungen zu. Damit sagt die EU dem Greenwashing den Kampf an. Ein nicht zu vernachlässigender Nebenaspekt der Richtlinie ist zudem die Bekämpfung von "Social Washing". Wir stellen in diesem Beitrag die wesentlichen Vorgaben der EmpCo-Richtlinie dar und skizzieren, was Unternehmen beachten müssen, wenn sie künftig mit "Green Claims" bzw. "Social Claims" werben möchten.

2. Strenge Regulierung von "Green Claims"

Die EmpCo-Richtlinie bestimmt zum einen, dass verschiedene Geschäftspraktiken im Zusammenhang mit umweltbezogener Werbung stets verboten sind. Zum anderen werden Tatbestände geregelt, aus denen sich im Einzelfall die Unlauterkeit einer geschäftlichen Handlung ergeben kann.

2.1 Neue Per-Se-Verbote

Die EmpCo-Richtlinie bestimmt die Ergänzung der sog. "schwarzen Liste" im Anhang der UGP-Richtlinie in Bezug auf umweltbezogene Werbung. Danach gelten verschiedene Geschäftspraktiken per se als unlauter, ohne dass es einer Einzelfallprüfung der nationalen Gerichte bedarf. Mit diesen vollharmonisierten Regelungen soll ein EU-weit einheitliches Schutzniveau erreicht werden. Insbesondere folgende Geschäftspraktiken wurden in die "schwarze Liste" aufgenommen und sind daher künftig stets unlauter:

• Verbot "eigener" Nachhaltigkeitssiegel: Verboten wird das "Anbringen eines Nachhaltigkeitssiegels, das nicht auf einem Zertifizierungssystem beruht oder nicht von staatlichen Stellen festgesetzt wurde" (neue Ziff. 2 lit. a) des Anhangs der UGP-Richtlinie). Danach ist die weit verbreitete Praxis, dass Unternehmen eigene Nachhaltigkeitssiegel zur Bewerbung ihrer Produkte verwenden, nicht mehr zulässig. Vielmehr dürfen künftig nur noch Nachhaltigkeitssiegel verwendet werden, wenn es sich bei dem Siegelgeber um eine staatliche Stelle oder einen Dritten handelt, der ein Zertifizierungssystem für sein Siegel aufgestellt hat. Die Bedingungen eines solchen Zertifizierungssystems müssen öffentlich einsehbar sein. Zudem muss die Überwachung der Anforderungen des Systems einem objektiven Verfahren unterliegen und von unabhängigen Dritten durchgeführt werden (zu den Voraussetzungen des Zertifizierungssystems vgl. neuer Art. 2 lit. r) der UGP-Richtlinie).
  
  Die Verwendung von Nachhaltigkeitssiegeln ist unter diesen Voraussetzungen zwar weiterhin möglich, wird jedoch für die werbenden Unternehmen künftig mit einem erheblich höheren Zeit- und Kostenaufwand verbunden sein. Unternehmen dürften sich daher in Zukunft genau überlegen, ob sich der Aufwand und die Kosten für eine Zertifizierung lohnen. Die Verwendung von Nachhaltigkeitssiegeln wird daher wahrscheinlich künftig stark nachlassen.
• Verbot allgemeiner Umweltaussagen: Verboten werden sog. "allgemeine Umweltaussagen", wenn der Werbende, "die anerkannte hervorragende Umweltleistung, auf die sich die Aussage bezieht, nicht nachweisen kann" (vgl. neue Ziff. 4 lit. a) des Anhangs der UGP-Richtlinie). Unter einer allgemeinen Umweltaussage ist eine Aussage zu verstehen, "die nicht auf einem Nachhaltigkeitssiegel enthalten ist und bei der die Spezifizierung der Aussage nicht auf demselben Medium klar und in hervorgehobener Weise angegeben ist" (vgl. neuer Art. 2 lit. p) der UGP-Richtlinie). Als Beispiele für solche allgemeinen Umweltaussagen nennen die Erwägungsgründe der EmpCo-Richtlinie unter anderem Angaben wie "umweltfreundlich", "umweltschonend", "grün", "ökologisch", "klimafreundlich", "umweltverträglich", "CO2-freundlich" und "energieeffizient". Diese Aussagen sind künftig verboten, wenn das werbende Unternehmen eine solche anerkannte hervorragende Umweltleistung nicht nachweisen kann.
• Umweltaussagen mit falschem Bezugspunkt: Verboten sind zudem Umweltaussagen "zum gesamten Produkt oder der gesamten Geschäftstätigkeit des Gewerbetreibenden, wenn sie sich nur auf einen bestimmten Aspekt des Produkts oder eine bestimmte Aktivität der Geschäftstätigkeit des Gewerbetreibenden bezieh[en]" (vgl. neue Ziff. 4 lit. b) des Anhangs der UGP-Richtlinie). Beispielhaft für dieses Verbot wird in den Erwägungsgründen der Fall genannt, dass ein Produkt als "mit Recyclingmaterial hergestellt" vermarktet wird, um den Eindruck zu erwecken, dass das gesamte Produkt aus Recyclingmaterial besteht, obwohl dies tatsächlich nur auf die Verpackung zutrifft.
• WICHTIG! Verbot der Werbung mit Kompensation von Treibhausgasemissionen: Zudem bestimmt die EmpCo-Richtlinie ein per-se-Verbot für Werbeaussagen, "die sich auf der Kompensation von Treibhausgasemissionen begründe[n] und wonach ein Produkt hinsichtlich der Treibhausgasemissionen neutrale, verringerte oder positive Auswirkungen auf die Umwelt hat" (vgl. neue Ziff. 4 lit. c) des Anhangs der UGP-Richtlinie). Danach dürfen Unternehmen künftig nicht mehr mit der Klimaneutralität ihrer Waren und Dienstleistungen werben, wenn diese Eigenschaft lediglich auf Maßnahmen zur Kompensation von Treibhausgasen und nicht auf tatsächlichen CO2-Einsparungen beruht. Aus den Erwägungsgründen der EmpCo-Richtlinie ergibt sich, dass die EU das Verbot der Werbung mit solchen Kompensationsmaßnahmen als "besonders wichtig" erachtet, da tatsächliche CO2-Einsparungen und CO2-Kompensationsmaßnahmen nicht vergleichbar seien.
  
  Damit dürfte die Werbung mit der "Klimaneutralität" künftig nur ausnahmsweise zulässig sein, da diese nur in den seltensten Fällen mit den tatsächlichen Auswirkungen des Produkts begründet werden kann, ohne dass Kompensationsmaßnahmen einbezogen werden. Dieses per-se-Verbot der EmpCo-Richtlinie geht weit über die bisherige Rechtsprechung deutscher Gerichte zur Werbung mit der Angabe "klimaneutral" hinaus. So unterstellten deutsche Gerichte zuletzt, dass dem Durchschnittsverbraucher bekannt sei, dass Klimaneutralität sowohl durch Vermeidung von CO2-Emissionen als auch durch Kompensationsmaßnahmen erreicht werden kann. Sie stuften daher die Werbung mit der Angabe "klimaneutral" als grundsätzlich zulässig ein, wenn das werbende Unternehmen den Verkehr darüber informiert, ob die ausgeglichene CO2 -Bilanz durch Kompensationsmaßnahmen oder durch eigene Bemühungen erreicht wurde. Zudem muss in diesen Fällen offengelegt werden, ob bestimmte klimarelevante Emissionen bei der Bilanzierung ausgenommen wurden und Informationen bereitgestellt werden, anhand derer die Prüfkriterien für die Bilanzierung ersichtlich sind (vgl. u.a. OLG Düsseldorf GRUR 2023, 1207 Rn. 18, 27 ff. – klimaneutrale Marmelade; OLG Frankfurt a.M. GRUR 2023, 177 Rn. 29 ff. – klimaneutral). Diese Rechtsprechung kann nach Umsetzung der EmpCo-Richtlinie nicht mehr aufrechterhalten werden.

2.2 Irreführende Geschäftspraktiken

Zudem kann sich nach den Vorgaben der EmpCo-Richtlinie die Unlauterkeit von Werbebotschaften im Einzelfall auch aus folgenden Umständen ergeben:

• Irreführung über soziale Produktmerkmale: Nach dem neuen Art. 6 Abs. 1 lit. b) der UGP-Richtlinie kann sich die Unlauterkeit einer Werbeaussage - neben falschen Angaben über die ökologischen Produktmerkmale - auch aus unrichtigen Angaben über die sozialen Produktmerkmale ergeben. Das zeigt, dass die EU nicht nur gegen Greenwashing, sondern auch gegen "Social Washing" vorgehen will. Nach den Erwägungsgründen der EmpCo-Richtlinie können sich die sozialen Merkmale eines Produkts auf verschiedene Umstände entlang der Wertschöpfungskette beziehen. Beispielhaft werden unter anderem die Qualität und Gerechtigkeit der Arbeitsbedingungen der beteiligten Arbeitskräfte, die Achtung der Menschenrechte, die Gleichbehandlung und Chancengleichheit für alle sowie Beiträge zu sozialen Initiativen genannt.
  
  Zudem ergibt sich aus Erwägungsgründen der EmpCo-Richtlinie, dass allgemeine Werbeaussagen wie "bewusst", "nachhaltig" oder "verantwortungsbewusst" nicht ausschließlich auf Umweltaspekten beruhen dürfen, da sich diese Angaben auch auf andere Merkmale, wie z.B. soziale Merkmale beziehen. Auch aus diesem Grund wird die Nachhaltigkeitswerbung künftig weiter eingeschränkt werden.
• Verbotene Aussagen über künftige Umweltleistungen: Angaben über künftige Umweltleistungen sind nur noch zulässig, wenn sie sich auf "klare, objektive und überprüfbare Verpflichtungen und Ziele" beziehen, die in einem "detaillierten und realistischen Umsetzungsplan" festgelegt sind, der regelmäßig "von einem unabhängigen externen Sachverständigen überprüft wird" (vgl. neuer Art. 6 Abs. 2 lit. d) der UGP-Richtlinie). Wollen Unternehmen solche Angaben in der Werbung verwenden, wird dies künftig mit einem erheblichen Zeit- und Kostenaufwand verbunden sein.

3. Umsetzung der EmpCo-Richtlinie

Die Mitgliedsstaaten haben bis zum 27. März 2026 Zeit, die Vorgaben der EmpCo-Richtlinie umzusetzen. Hierfür werden in Deutschland die Regelungen des UWG geändert werden. Die geänderten Vorschriften und die daran anknüpfende Beschränkung von umweltbezogener Werbung müssen anschließend bis zum 27. September 2026 in Kraft treten.

Da die Regelungen der EmpCo-Richtlinie vollharmonisiert sind, kann der deutsche Gesetzgeber nicht von diesen Vorgaben abweichen. Es ist daher bereits jetzt klar, welchen Einschränkungen umweltbezogene Werbung künftig unterliegen wird. Angesichts der einschneidenden Verbote und Vorgaben der EmpCo-Richtlinie werden zahlreiche Unternehmen ihre Werbestrategie umstellen müssen. Das gilt insbesondere für die Vorgaben für die Verwendung von Nachhaltigkeitssiegeln sowie die Nachweispflichten bei der Werbung mit allgemeinen Umweltaussagen. Generell sollten Unternehmen in der Lage sein, ihre umweltbezogenen Werbeaussagen durch solide, nachvollziehbare und wissenschaftlich fundierte Beweise zu stützen. Dies erfordert eine sorgfältige Dokumentation der zugrundeliegenden Daten und Fakten. Zudem wird die Werbung mit der Klimaneutralität von Produkten, künftig allenfalls in Ausnahmefällen zulässig sein, wenn diese ohne Kompensationsmaßnahmen erreicht werden kann.

Unternehmen sollten daher möglichst zeitnah ihre Werbestrategie an die neuen Vorgaben anpassen, um bei Inkrafttreten der neuen UWG-Bestimmungen vorbereitet zu sein. Unternehmen, denen eine solche Anpassung rechtzeitig gelingt, können weiter mit umweltbezogenen Aussagen werben, worin auch eine wirtschaftliche Chance liegen kann. Sofern Unternehmen ihre Werbung nicht rechtzeitig anpassen, laufen sie hingegen Gefahr von Mitbewerbern sowie von Verbraucherschutz- und Interessenverbänden auf Unterlassung, Auskunft und Schadensersatz in Anspruch genommen zu werden (vgl. §§ 8, 9 UWG sowie § 242 BGB). Zudem können gemäß § 9 Abs. 2 UWG mittlerweile auch Verbraucher Schadensersatzansprüche gegen ein irreführend werbendes Unternehmen geltend machen.

Dr. David Moll

¹ Richtlinie über unlautere Geschäftspraktiken ("UGP-Richtlinie" genannt)
² Verbraucherrechte Richtlinie.

Unter diesem Link finden Sie unseren Flyer zum Lieferkettensorgfaltspflichtengesetz.

Ebenso finden Sie hier die Beiträge Europäisches Lieferkettengesetz auf der Zielgeraden und Europaparlament unterstützt Pläne für europäisches Lieferkettengesetz .

Dieser Blogbeitrag erscheint ebenso im Haufe Wirtschaftsrechtsnewsletter.

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Das Hanseatische Oberlandesgericht hat festgestellt, dass ein auf der Plattform Kununu bewerteter Arbeitgeber die Löschung einer Bewertung verlangen kann, wenn der Portalbetreiber den Bewertenden ihm gegenüber nicht so individualisiert, dass er das Vorliegen eines geschäftlichen Kontaktes überprüfen kann. Das klagende Unternehmen erhielt auf der Bewertungsplattform Kununu zwei negative Bewertungen von zwei angeblich ehemaligen Arbeitnehmern. Das Unternehmen behauptete, die Bewertungen stammten nicht von ehemaligen Arbeitnehmern, und forderte Kununu zur Offenlegung der Identität auf, was die Plattform unter Berufung auf den Datenschutz ablehnte. Das Gericht gab dem Unternehmen Recht und verpflichtete Kununu, die beiden Bewertungen zu löschen. Das Portal könne die Offenlegung der Identitäten der Bewertenden nicht wegen datenschutzrechtlicher Bestimmungen verweigern. Will eine Plattform die Äußerung eines Dritten weiter öffentlich halten, müsse sie dem Bewerteten die Individualisierung der Bewertung ermöglichen.

Jason Komninos

Das Arbeitsgericht Hamburg hat in einem Eilverfahren entschieden, dass der Einsatz von ChatGPT und Regelungen des Arbeitgebers zum Umgang mit KI nicht der Zustimmung des Betriebsrates bedürfen. Der Betriebsrat des Unternehmens wandte sich gegen die Einführung von Richtlinien zur Nutzung von ChatGPT, bei der er nicht beteiligt worden war. Das Unternehmen gestattet den Arbeitnehmern den Einsatz unter Verwendung eigener Accounts und auf eigene Kosten. Zudem stellt es für die betriebliche Nutzung von ChatGPT bestimmte Verhaltensregeln auf. Nach Ansicht des Gerichts bedarf weder die Einführung des KI-Tools selbst einer Einwilligung des Betriebsrats noch die Aufstellung von Regeln zur Nutzung der Software. Die KI-Richtlinie stelle lediglich Anordnungen auf, welche die Art und Weise der Arbeitserbringung betreffen, weshalb kein Mitbestimmungsrecht gegeben sei. Zudem sei ChatGPT hier nicht dazu bestimmt, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Dafür sprach nach Auffassung des Gerichts, dass das Tool nicht auf den IT-Systemen des Unternehmens installiert wurde. Vielmehr konnten sich die Arbeitnehmer freiwillig einen eigenen Account anlegen und diesen über den Browser aufrufen.

Jason Komninos

Gemäß Art. 82 DSGVO hat jede Person, der wegen eines Verstoßes gegen die DSGVO materieller oder immaterieller Schaden entsteht, Anspruch auf Schadenersatz. Das gilt auch, wenn es sich bei der verantwortlichen Stelle um eine Einrichtung der öffentlichen Hand oder einen Hoheitsträger handelt.

Voraussetzungen des Schadensersatzanspruchs

Der Europäische Gerichtshof (EuGH) hat im Jahr 2023 mehrere wegweisende Urteile zu den Voraussetzungen und dem Umfang von Schadenersatzansprüchen erlassen. Dabei waren insbesondere Gemeinden und Behörden Beklagte der Verfahren.

Urteil vom 4. Mai 2023 (C‑300/21) "Österreichische Post"

Bereits im Mai 2023 hat der EuGH eine wichtige Grundsatzentscheidung zu den Voraussetzungen des immateriellen Schadensersatzes bei Verstößen gegen die DSGVO erlassen. So reicht allein ein Datenschutzverstoß nicht aus, um einen Schadensersatzanspruch zu begründen. Diese Auffassung hatten viele Arbeitsgerichte bislang vertreten. Zudem kommt es für die Begründung eines immateriellen Schadens nicht auf das Erreichen einer bestimmten Erheblichkeit (sog. Bagatellgrenze) an, was bislang unter deutschen Gerichten stark umstritten war. Die konkrete Festsetzung der Höhe des Schadensersatzes überlässt der EuGH weiter den nationalen Gerichten. Hintergrund des Falles war der Rechtsstreit eines Betroffenen gegen die Österreichische Post. Diese hatte mit Hilfe eines Algorithmus Informationen über die politischen Affinitäten des Klägers gesammelt. Der Kläger behauptete dadurch einen Vertrauensverlust und eine Bloßstellung erlitten zu haben und forderte Schadensersatz von EUR 1.000.

Diese Rechtsprechung hat der EuGH sodann mit zwei Urteilen vom 14. Dezember 2023 bestätigt und fortgeführt:

Urteil vom 14. Dezember 2023 (C-340/21) "Bulgarische Finanzbehörde"

In seiner Entscheidung hat der EuGH klargestellt, dass bereits die Befürchtung eines möglichen Missbrauchs personenbezogener Daten für sich genommen einen immateriellen Schadensersatz im Sinne der DSGVO darstellen kann. Geklagt hatte eine Frau, deren personenbezogene Daten bei einem Hackerangriff auf eine bulgarische Finanzbehörde durch die Täter im Internet veröffentlicht wurden. Nach Ansicht des EuGH genügt in Fällen eines Datenschutzverstoßes schon die Sorge einer missbräuchlichen Verwendung der Daten durch Dritte. Es sei aber Aufgabe des nationalen Gerichts zu prüfen, ob diese Befürchtung im konkreten Fall als begründet angesehen werden kann. Daneben hat der EuGH klargestellt, dass der Verantwortliche beweisen muss, dass die von ihm ergriffenen IT-Schutzmaßnahmen ausreichend waren.

Urteil vom 14. Dezember 2023 (C-456/22) "Gemeinde Ummendorf"

Hintergrund dieses Urteils war ein Rechtsstreit zwischen zwei natürlichen Personen und der Gemeinde Ummendorf wegen Zahlung von Schmerzensgeld zur Wiedergutmachung des Schadens, der ihnen dadurch entstanden sein soll, dass ihre personenbezogenen Daten ohne ihre Einwilligung auf der Internetseite der Gemeinde veröffentlicht wurden. Der EuGH hat in diesem Urteil nochmals bestätigt, dass für das Vorliegen eines immateriellen Schadens keine Bagatellgrenze vorliegt. Dennoch müssen Betroffene nachweisen, dass ihnen durch die Verletzung der DSGVO ein konkreter immaterieller Schaden entstanden ist.

Urteil vom 21. Dezember 2023 (C-667/21) "Medizinischer Dienst der Krankenversicherung Nordrhein"

In dem zugrundeliegenden Fall wehrte sich der Kläger gegen die Verarbeitung seiner Gesundheitsdaten durch seinen Arbeitgeber. Die Besonderheit bestand hier darin, dass es sich bei dem Arbeitgeber um den Medizinischen Dienst der Krankenversicherung (MDK) Nordrhein handelte, eine Körperschaft des öffentlichen Rechts. Der MDK hat die gesetzliche Aufgabe, medizinische Gutachten zur Beseitigung von Zweifeln an der Arbeitsunfähigkeit von Versicherten zu erstellen, auch dann, wenn diese Gutachten seine eigenen Mitarbeiter betreffen. Der Kläger sah darin eine Datenschutzverletzung und verlangte immateriellen Schadensersatz von EUR 20.000. Der EuGH hat entschieden, dass der Schadensersatz nach Art. 82 DSGVO keine abschreckende Funktion oder Straffunktion erfüllt, sondern nur einen Ausgleich für einen Schaden begründen soll. Zudem wurde klargestellt, dass das Verschulden bei einem Datenschutzverstoß vermutet wird und der Verantwortliche beweisen muss, dass ihn kein Verschulden trifft.

Urteil vom 25. Januar 2024 (C-687/21) "MediaMarktSaturn"

Mit diesem aktuellen Urteil hat der EuGH seine Rechtsprechung wiederum etwas eingeschränkt und entschieden, dass es dem Kläger einer Schadensersatzforderung obliegt, das Vorliegen eines solchen Schadens nachzuweisen. Insbesondere kann ein rein hypothetisches Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten nicht zu einer Entschädigung führen. Dies ist der Fall, wenn kein Dritter die fraglichen personenbezogenen Daten zur Kenntnis genommen hat.

Konsequenzen für die Praxis

Mit den oben genannten Urteilen stärkt der EuGH die Rechte der Betroffenen bezüglich Datenschutzverstößen deutlich. Jeder materielle oder immaterielle Schaden kann danach ein ersatzfähiger Schaden im Sinne des Art. 82 DSGVO darstellen. Eine Bagatellgrenze hinsichtlich der Höhe des Schadens ist mit den Schutzzielen der DSGVO nicht vereinbar. Seit Geltung der DSGVO ist die Sensibilität für Datenschutz enorm gestiegen. Datenschutzverstöße werden von Betroffenen vermehrt geltend gemacht und häufig auch als Druckmittel verwendet. Ein besonders brisantes Beispiel ist der Auskunftsanspruch nach Art. 15 DSGVO. Wenn dieser Anspruch unvollständig oder verspätet beantwortet wird, kann dies ebenfalls einen immateriellen Schadensersatz nach sich ziehen. Dieser Auskunftsanspruch wird auch gerne in arbeitsrechtlichen Prozessen als Druckmittel eingesetzt.

Neben Schadensersatzforderungen können die Datenschutzbehörden in bestimmten Fällen auch gegen öffentliche Stellen Bußgelder verhängen. Dies geschieht vor allem dann, wenn öffentliche Stellen als öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen.

Praxistipp

Aufgrund der Stärkung der Betroffenenrechte steigt auch für öffentliche Stellen das Risiko, bei Datenschutzverstößen zu haften, sei es im Rahmen einer Schadensersatzforderung der Betroffenen oder durch Bußgelder oder sonstige Maßnahmen der Datenschutzbehörden. Daher ist es umso wichtiger, das Datenschutzmanagement und die IT-Sicherheit zu überwachen und anzupassen. Das Bewusstsein für Datenschutz und die Risiken von Datenschutzverletzungen muss weiter erhöht werden, um Haftungsrisiken zu minimieren.

Jason Komninos

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Die IT4process GmbH mit Sitz in Herzogenrath bei Aachen entwickelt und installiert Softwarelösungen für das OP-Management zur Optimierung und Digitalisierung von Prozessen in Krankenhäusern.

Mit diesem Erwerb erweitert B. Braun sein Dienstleistungsportfolio für OP-Management. Durch eine geplante Verschmelzung der IT4process mit der Aesculap-Tochtergesellschaft Invitec, Essen, welche eine eigene Software für die Steuerung der Sterilgutversorgung anbietet, wird eine IT-Plattform für Gesundheitseinrichtungen entstehen.

Die IT4process GmbH ist eine Ausgründung der RWTH Aachen. Vor über 10 Jahren entwickelten IT-Mitarbeitende gemeinsam mit der Aachener Uniklinik eine Software, mit der die komplexe OP-Logistik geplant werden kann. Heute bietet IT4process Softwarelösungen und Beratungsleistungen für Krankenhäuser mit Schwerpunkt in den Bereichen OP-Ressourcensteuerung, Sterilgutversorgung (AEMP/ZSVA) und Fallwagenlogistik.

Die Invitec GmbH & Co. KG mit Hauptsitz in Essen entwickelt seit mehr als 20 Jahren Softwarelösungen für das Instrumentenmanagement sowie die Sterilgutversorgung in Krankenhäusern. 

B. Braun ist eines der weltweit führenden Unternehmen der Medizintechnologie. Mit über 65.000 Mitarbeitenden ist das Unternehmen ein verlässlicher Partner, der intelligente Lösungen entwickelt und wegweisende Standards setzt, um den Fortschritt im Gesundheitswesen zu beschleunigen. 2022 erwirtschaftete die B. Braun-Gruppe einen Umsatz von EUR 8,5 Mrd.

Berater Aesculap AG: 
ADVANT Beiten: Dr. Christian Ulrich Wolf (Federführung, Hamburg), Benjamin Knorr (Berlin), Maren Dedert (alle Corporate/M&A), Dr. Marion Frotscher, Simon Bauer (beide Tax, alle Hamburg), Dr. Andreas Lober, Daniel Trunk (beide IP/IT, Frankfurt am Main), Christian Hipp, Helin Alkan (beide Beihilferecht, Berlin), 
Dr. Dietmar Müller-Boruttau und Dr. Michael Matthiessen (beide Arbeitsrecht, Berlin).

Inhouse: Dr. Stefan Todt (Associate General Counsel B. Braun Group), Robin Giers, LL.M. (Senior Legal Counsel)
    
Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Christian Ulrich Wolf
Rechtsanwalt
ADVANT Beiten
+49 (40) 68 87 45 – 124
ChristianUlrich.Wolf@advant-beiten.com
 

Wir freuen uns, im Bereich Medien (Gaming) abermals – wie auch 2023 - als TOP TIER-Kanzlei genannt zu sein. 

In diesen Rechtsgebieten/Praxisbereichen ist die Kanzlei für 2024 im Ranking gelistet: 

• Arbeitsrecht 
• Branchenfokus Energie 
• Corporate/M&A (mittelgroße Deals) 
• Gewerblicher Rechtsschutz (Markenrecht und Wettbewerbsrecht)
• Immobilien- und Baurecht (Immobilienrecht) 
• Informationstechnologie (Datenschutz und IT/Digitalisierung) 
• Kartellrecht 
• Medien (Gaming, Entertainment, Presse- und Verlagsrecht) 
• Öffentliches Recht (Planungs- und Umweltrecht, Vergaberecht) 
• Private Clients und Nonprofit-Sektor
• Versicherungsrecht (Beratung von Versicherungen)

Eine „Firm to watch“ sind wir im Steuerrecht.

Unserem Experten Dr. Gerrit Ponath (Private Clients und Nonprofit-Sektor) gratulieren wir zur Aufnahme in die „Hall of Fame“.

Mit Dr. Andreas Lober (Medien/Entertainment) und Dr. Marc-Oliver Srocke freuen wir uns über die Nennung als „Führende Anwälte“ sowie mit Wojtek Ropel (Medien/Entertainment) und Katharina Fink (Private Clients und Nonprofit-Sektor) über die Nennung als Partner der nächsten Generation.

Unsere empfohlenen Anwälte und weiteren Kernanwälte:

• Arbeitsrecht: Christian Freiherr von Buddenbrock, Dr. Thomas Drosdeck, Martin Fink, Dr. Andreas Imping, Jörn Manhart, Dr. Sebastian Kroll, Markus Künzel, Dr. Michael Matthiessen, Dr. Dietmar Müller-Boruttau, Dr. Gerald Müller-Machwirth, Maike Pflästerer, Dr. Erik Schmid, Dr. Mark Zimmer
• Branchenfokus Energie: Dr. Christof Aha, Sebastian Berg, Dr. Ralf Hafner, Stephan Rechten, Dr. Christian Ulrich Wolf
• Corporate/M&A: Christian Burmeister, Dr. Barbara Mayer, Gerhard Manz, Dr. Sebastian Weller, Prof. Dr. Hans-Josef Vogel
• Gewerblicher Rechtsschutz (Wettbewerbsrecht): Dr. Andreas Lober, Matthias W. Stecher, Dr. Holger Weimann, Uwe Wellmann 
• Gewerblicher Rechtsschutz (Markenrecht): Dr. Christina Hackbarth, Tanja Hogh Holub, Dr. Andreas Lober
• Immobilienrecht: Florian Baumann, Klaus Beine, Annalena Benz, Verena Nader 
• Informationstechnologie (Datenschutz): Susanne Klein, Dr. Andreas Lober, Dr. Birgit Münchbach, Matthias W. Stecher, Matthias Zimmer-Goertz
• Informationstechnologie (IT/Digitalisierung): Susanne Klein, Dr. Andreas Lober, Dr. Peggy Müller, Dr. Birgit Münchbach, Wojtek Ropel, Matthias W. Stecher, Dr. Holger Weimann
• Kartellrecht: Dr. Christian Heinichen, Christoph Heinrich, Dr. Dietmar O. Reich, Uwe Wellmann 
• Medien (Entertainment): Dr. Andreas Lober, Dr. Peggy Müller, Wojtek Ropel, Dr. Holger Weimann
• Medien (Presse- und Verlagsrecht): Dr. Andreas Lober, Katharina Mayerbacher, Dr. Marc-Oliver Srocke, Dr. Holger Weimann
• Öffentliches Recht (Umwelt- und Planungsrecht): Katrin Lüdtke, Hans Georg Neumeier, Stephan Rechten 
• Öffentliches Recht (Vergaberecht): Michael Brückner, Hans Georg Neumeier, Stephan Rechten, Max Stanko, Christopher Theis
• Private Clients und Nonprofit-Sektor: Katharina Fink, Dr. Guido Krüger, Dr. Gerrit Ponath, Stephan Raddatz, Dr. Lucas van Randenborgh, Dr. Georg Tolksdorf
• Versicherungsrecht: Dr. Florian Weichselgärtner

Wir bedanken uns bei unseren Mandanten für das anerkennende Feedback und Vertrauen.
 

Mit Blick auf die durch die NIS-2-Richtlinie neu eingeführte nicht delegierbare Verantwortung des Vorstands bzw. der Geschäftsführung für die Gewährleistung der IT-Sicherheit im Unternehmen wird aktuell diskutiert, ob ein eigenes Ressort für IT-Sicherheit erforderlich ist. Brauchen Unternehmen künftig einen Cyber-Vorstand?

Eine Reihe neuer EU-Rechtsakte, die Bestandteil der Digitalstrategie der Europäischen Kommission sind, sowie deren deutsche Umsetzungsgesetze bilden einen neuen Rechtsrahmen zur Stärkung der Cybersicherheit in der EU. Dazu gehört die NIS-2-Richtlinie (NIS = Network Information Security), die am 10. November 2022 vom Europäischen Parlament verabschiedet worden ist und bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden muss. Sie verpflichtet Unternehmen dazu, geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen zu treffen, um die IT-Sicherheit im Unternehmen zu gewährleisten. In Deutschland soll die Umsetzung der NIS-2-Richtlinie durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz erfolgen, das aktuell in einem Referentenentwurf (Stand: Mai 2023) vorliegt.

Damit wird ein Kernelement der Cyber-Sicherheitsstrategie der EU von 2013, die NIS-Richtlinie (Richtlinie über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union) vom August 2016 aktualisiert. Die Cybersicherheitspflichten werden verschärft. Die bisherige NIS-Richtlinie und ihre Umsetzung hatten, so eine Evaluation der Europäischen Kommission, nicht zu einem hinreichenden Niveau an Cybersicherheit in der EU geführt. Die Umsetzung in den EU-Mitgliedstaaten divergierte teilweise erheblich.

Anwendungsbereich: Für welche Unternehmen gelten die neuen Cybersicherheitspflichten?

Die NIS-2-Richtlinie differenziert zwischen sog. wesentlichen und wichtigen Einrichtungen (in der Terminologie der NIS-Richtlinie früher: Betreiber wesentlicher und Anbieter digitaler Dienste). Die Anhänge I und II zur Richtlinie definieren, wann ein Unternehmen in den Anwendungsbereich fällt. Dabei sind folgende Kriterien maßgeblich: (1.) die Einstufung als KRITIS-Betreiber, (2.) die Zugehörigkeit zu einem Sektor und (3.) die Größe des Unternehmens.

KRITIS-Betreiber sind jedoch nicht nur Unternehmen der kritischen Infrastruktur, sondern gerade auch produzierende Industrieunternehmen, mit mehr als 50 Mitarbeitern und einem Jahresumsatz von mehr als 10 Mio. Euro. Der Anwendungsbereich wurde damit gegenüber der bisherigen NIS-Richtlinie von 2015 deutlich erweitert.

Von besonderer Bedeutung ist die NIS-2-Richtlinie für den Sektor Verarbeitendes Gewerbe/Herstellung von Waren (Manufacturing), der erstmals von den neuen Cybersicherheitspflichten erfasst wird. Viele Unternehmen, deren Geschäftsmodelle weder digital sind noch einen besonderen Bezug zu Daten haben, werden sich erstmals vertiefter mit Cybersicherheits-Compliance auseinandersetzen müssen.

Status Quo: Cybersicherheitspflichten nach BSIG, DSGVO und TTDSG

Das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) normiert bereits jetzt Cybersicherheitspflichten. Allerdings gelten diese nur für einen eingeschränkten Kreis von Unternehmen, der sich durch die Umsetzung der NIS-2-Richtlinie deutlich erweitern wird. Aktuell differenziert das BSIG für seinen Anwendungsbereich zwischen drei Kategorien von Unternehmen: (1.) Betreiber Kritischer Infrastrukturen (§ 8a BSIG), (2.) Anbieter digitaler Dienste (§ 8c BSIG) und (3.) Unternehmen im besonderen öffentlichen Interesse (sog. „UBI“, § 8f BSIG).

• Betreiber Kritischer Infrastrukturen unterliegen dabei den strengsten Cybersicherheitspflichten. Sie müssen unter Einhaltung des Stands der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Syste-me, Komponenten oder Prozesse treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind (§ 8a BSIG). Seit dem 01.05.2023 müssen als Bestandteil dieser Maßnahmen auch Systeme zur Angriffserkennung einge-setzt werden. Außerdem müssen die Unternehmen sicherstellen, dass die erforderlichen technische, organisatorischen und personellen Rahmenbedingungen zum effektiven Einsatz solcher Systeme gewährleistet und die Systeme so konfiguriert sind, dass sie das Anforderungsprofil erfüllen. Die Einhaltung dieser Pflichten muss alle zwei Jahre gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (BSI) nachgewiesen werden (§ 8a Abs. 3 BSIG).
• Anbieter digitaler Dienste müssen geeignete und verhältnismäßige technische und organisatorische Maßnahmen treffen, um Risiken für die Sicherheit der Netz- und Informationssysteme, die sie zur Bereitstellung der digitalen Dienste innerhalb der Europäischen Union nutzen, zu bewältigen (§ 8c Abs. 1 S. 1 BSIG). Sicherheitsvorfälle mit erheblichen Auswirkungen auf die Bereitstellung ihrer Dienste müssen die Anbieter unverzüglich an das BSI melden (§ 8c Abs. 3 S. 1, 3 BSIG).
• Unternehmen im besonderen öffentlichen Interesse (sog. UBI) unterliegen einer Verpflichtung zur Registrierung beim BSI. Sie müssen die getroffenen IT-Sicherheitsmaßnahmen sowie Zertifizierungen und Audits dem BSI melden (§ 8f Abs. 1, 5 BSIG).

Auch nach der Datenschutz-Grundverordnung (DSGVO) gelten Cybersicherheitspflichten. Art. 32 DSGVO sieht vor, dass geeignete technische und organisatorische Maßnahmen zu treffen sind mit dem Ziel der Gewährleistung eines angemessene Schutzniveaus. IT-Sicherheit im Sinne der DSGVO bedeutet in erster Linie Datensicherheit. Dabei steht die Gewährleistung der Sicherheit, Integrität, Authentizität, Vertraulichkeit und Verfügbarkeit informationstechnischer Systeme einerseits immer in einem Spannungsverhältnis zu ihrer Bedienbarkeit und Funktionalität andererseits.

Das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) normiert ebenfalls Cybersicherheitspflichten. Nach § 19 Abs. 1 TTDSG haben Anbieter von Telemedien durch technische und organisatorische Vorkehrungen sicherzustellen, dass der Nutzer von Telemedien die Nutzung des Dienstes jederzeit beenden kann und er Telemedien gegen Kenntnisnahme Dritter geschützt in Anspruch nehmen kann. Diese Pflichten treffen zahlreiche Unternehmen, da bereits eine Website oder ein Webshop ein sog. Telemedium darstellt. Jedoch bleibt das Schutzniveau hinter der NIS-2-Richtlinie zurück Die Vorkehrungen nach § 19 Abs. 4 S. 1 TTDSG müssen den Stand der Technik lediglich „berücksichtigen“. Ein als sicher anerkanntes Verschlüsselungsverfahren reicht schon aus, z.B. die HTTPS- und SSL-Verschlüsselung oder Firewalls.

Ausblick: Verschärfte Cybersicherheitspflichten nach der NIS-2-Richtlinie

Die NIS-2-Richlinie erweitert den Anwendungsbereich der Cybersicherheitspflichten, d.h. die betroffenen Unternehmen, wesentlich. Im Vergleich zur NIS-Richtlinie enthält die NIS-2-Richtlinie außerdem einen deutlich umfassenderen Katalog von Cybersicherheitspflichten. Verstöße gegen Cybersicherheitspflichten sollen streng sanktioniert werden. Der Entwurf des deutschen Umsetzungsgesetzes sieht Geldbußen in einem Rahmen von 100.000 EUR über 500.000 EUR bis zu 20 Mio. EUR vor, die über die Vorgaben der NIS-2-Richtlinie (bis zu 10 Mio. EUR) sogar noch deutlich hinausgehen.

Cybersicherheitsmaßnahmen und Risikomanagement

Nach Art. 21 Abs. 1 der NIS-2-Richtlinie sind wesentliche und wichtige Einrichtungen dazu verpflichtet, „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen [zu] ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die diese Einrichtungen für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu beherrschen und die Auswirkungen von Sicherheitsvorfällen auf die Empfänger ihrer Dienste und auf andere Dienste zu verhindern oder möglichst gering zu halten.“

Dabei sind der Stand der Technik, EU- und internationale Normen sowie die Umsetzungskosten zu berücksichtigen, wobei die Maßnahmen dem Risiko angemessen sein müssen, vgl. Art. 21 Abs. 1 S. 2, 3.

Die Pflichten zum Risikomanagement umfassen u.a. folgende Maßnahmen, die Art. 21 Abs. 2 beispielhaft nennt:

• Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme
• Sicherheitsvorfall-Management
• Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall
• Krisenmanagement
• Gewährleistung der Sicherheit in der Lieferkette
• Schwachstellen-Management
• Risikomanagement im Bereich der Cybersicherheit
• Schulungen zur Cybersicherheit
• Konzepte und Verfahren für den Einsatz von Verschlüsselungstechniken
• Personalsicherheit: Zugriffskontrolle und Berechtigungsmanagement
• Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme

Verschärft werden auch die Pflichten zur Meldung von erheblichen Sicherheitsvorfällen.

Cybersicherheit als Compliance-Thema und Haftung der Geschäftsführung

Neu ist insbesondere die Überwachungspflicht der Geschäftsleitung nach § 38 Abs. 1 des Entwurfs des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes. Vorstand bzw. Geschäftsführung müssen sicherstellen, dass im Unternehmen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen zur Minimierung von Cyberrisiken getroffen werden. Außerdem besteht eine Pflicht, Schulungen zur IT-Sicherheit für Leitungspersonen und andere Mitarbeiter anzubieten.

Diese Pflichten können nicht vollständig delegiert werden. Es verbleibt stets eine Letztverantwortung auf Leitungsebene. Verletzt die Geschäftsleitung diese Compliance Pflichten, macht sie sich gegenüber dem Unternehmen schadensersatzpflichtig. Ein Verzicht auf oder Vergleich über diese Schadensersatzansprüche ist nach dem Gesetzesentwurf ausdrücklich ausgeschlossen.

Sollte dieser Vorschlag tatsächlich gesetzlich so normiert werden, wie im Gesetzesentwurf vorgesehen, müssten bestehende Versicherungslösungen überprüft werden. Die Verletzung von Cybersicherheitspflichten würde ein nicht unerhebliches Risiko für die Geschäftsleitung darstellen, das ggf. durch eine D&O-Versicherung abgesichert werden könnte. Außerdem sollten Unternehmen evaluieren, ob sich der Abschluss einer Cyberversicherung lohnt.

Nach § 91 Abs. 3 AktG ist die Einrichtung eines Risikomanagementsystems bereits Bestandteil der Pflichten des Vorstands einer Aktiengesellschaft und damit Teil allgemeiner Compliance-Pflichten der Geschäftsleitung von Unternehmen. Neu ist die konkrete Erweiterung auf Cybersicherheitspflichten. Aktuell wird daher diskutiert, ob ein eigenes Ressort für Cybersicherheit, d.h. ein Cyber-Vorstand benötigt wird.

Praxishinweis

Auch wenn das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz noch nicht in einer finalen Entwurfsversion vorliegt und bis zur Umsetzung der NIS-2-Richtlinie noch Zeit bis Oktober 2024 bleibt, sind bereits jetzt konkrete Tendenzen erkennbar, welche Pflichten auf die betroffenen Unternehmen zukommen werden. Es ist daher zu empfehlen, die Zeit bis dahin zu nutzen, bereits existente Cybersicherheitskonzepte zu überprüfen, Risiken zu evaluieren und damit zu beginnen, die erforderliche Dokumentation wie Cybersicherheitskonzepte, Notfallpläne, etc. bereits jetzt gemeinsam mit technischen und rechtlichen Experten auszuarbeiten und Cybersicherheits-Expertise im Unternehmen zu bündeln. Investitionen in Cybersicherheit zahlen sich vor allem auch aus, da sie ein wichtiger Beitrag zum Schutz des Know-how von Unternehmen vor Industriespionage und zur Minimierung des Risikos von hohen Betriebsausfallschäden in Fall eines Cyberangriffs sind. Prävention und rechtzeitige Vorbereitung können hier den entscheidenden Unterschied machen.

Bisher war man eher zurückhaltend, EDV und IT-Sicherheit als Leitungsaufgabe in einem Unternehmen zu bezeichnen. Im Zeitalter der Industrie 4.0 jedoch, liegt es insbesondere mit Blick auf die gesetzlichen Neuerungen nahe, dass IT-Sicherheit zur „Chefsache“ werden muss. Zwar bedeutet das nicht, dass Geschäftsführer und Vorstände IT-Experten sein müssen. Vielmehr sollten sie technische Expertise von entsprechenden Fachkräften beiziehen. Eine vollständige Delegation wird jedoch nicht mehr möglich sein, denn die Letztverantwortung trägt der Vorstand bzw. Geschäftsführer. Ob es einen „Cyber-Vorstand“ braucht, kann pauschal nicht beurteilt werden. Es sollte im Einzelfall für das jeweilige Unternehmen unter Berücksichtigung seiner vorhandenen Strukturen evaluiert werden, wie die neuen Cybersicherheitspflichten und die Leitungsverantwortung für IT-Sicherheit am besten umgesetzt werden können. Das Thema IT-Sicherheit wird viele Unternehmen in jedem Fall zunehmend weiter beschäftigen, dies nicht zuletzt vor dem Hintergrund der stetig steigenden Zahl von Cyberangriffen.

Dr. Birgit Münchbach

Download NIS-2-Whitepaper: Nach der Registrierung unter folgendem Link können Sie das NIS-2-Whitepaper herunterladen.

Dieser Blogbeitrag erscheint ebenso im Haufe Wirtschaftsrechtsnewsletter.

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Willkommen zurück im Games-Recht-Universum! Das Jahr 2023 liegt hinter uns, und was für ein Jahr es war! Wie schon im vergangenen Jahr wollen wir in einem juristischen "Speedrun" die prägendsten rechtlichen Entwicklungen im Bereich der Videospiele und des E-Sports beleuchten. Dabei fokussieren wir uns auf die Hauptquests und Easter-Eggs, zu welchen sich ein Abstecher (nach Auffassung unserer antagonistischen Avatare) am meisten lohnt.

Deutschland und Europa

Games-Recht setzt sich aus einer Vielzahl unterschiedlicher Rechtsmaterien zusammen. Insbesondere im digitalen Kontext stammen viele Vorschriften aus Europa. Dies führt zum Teil zu sehr komplexen rechtlichen Überlappungen. Der Europäische Gerichtshof (EuGH) hat mit Urteil vom 9. November 2023 (Az. C-376/22) betont, dass EU-Mitgliedsstaaten im Anwendungsbereich der E-Commerce-Richtlinie (Richtlinie 2000/31/EG) – in diesem Fall Österreich mit dem Kommunikationsplattformgesetz – keine abstrakt generellen Maßnahmen erlassen können, die gegenüber Internetdiensten mit Sitz in einem anderen Mitgliedsstaat greifen. Der E-Commerce-Richtlinie liegt das so genannte Herkunftslandprinzip zugrunde. Soll heißen: es gilt das Rechte des Landes, wo der Anbieter „herkommt“ (also seinen Unternehmenssitz hat). Das soll dem Ziel des Europäischen Binnenmarktes dienen, die Abschottung der Märkte verhindern und letztlich wohl auch das Leben erleichtern für Unter-nehmen in der EU, auch für Spieleentwickler und -publisher, da sie sich nicht mit allen EU-Rechtsordnungen befassen müssen, sondern nur mit ihrem „Heimatrecht“. Dieses Herkunftslandprinzip wurde in letzter Zeit immer wieder ausgehöhlt, weil Mitgliedsstaaten weitergehende Regelungen treffen wollten – einerseits, um ihre eigenen Bürger umfassend zu schützen, andererseits, damit die eigenen Unternehmen nicht gegenüber denen anderer EU-Staaten durch strengere Regeln benachteiligt werden. Dem hat der EuGH nun für die E-Commerce-Richtlinie Grenzen gesetzt, wobei gerade die E-Commerce-Richtlinie ohnehin durch den Digital Services Act in einen kohärenten und harmonisierten Rechtsrahmen überführt wird. Durchbrechungen des Herkunftslandprinzips befinden sich aber auch in einer Reihe nationaler Vorschriften wie solcher aus dem Jugendmedienschutzstaatsvertrag, die dann ggf. auf den Prüfstand zu stellen sind (siehe nur VG Düsseldorf, Urt. v. 4.4.2023 – 27 K 3905/20)

Digitaler Safe Space

Die Harmonisierung der Rechte und Pflichten von Online-Spielen geht mit dem Gesetz über Digitale Dienste (Digital Services Act) mit großen Schritten voran. Im vergangenen Jahr standen viele Publisher vor der Herausforderung, ihre Spiele unter die Kategorien der Vermittlungsdienste des Digital Services Act zu subsumieren (beispielsweise Hosting-Dienst oder Online-Plattform). Dies ist schon deshalb ein Novum, weil mit der Eigenschaft als Vermittlungsdienst in der Vergangenheit vor allem Privilegierungen wie eine eingeschränkte Haftung durch das Host-Provider-Privileg einhergingen. Mit dem Digital Services Act greifen nun jedoch auch aktive Sorgfaltspflichten, bei deren Nichteinhaltung massive Bußgelder von bis zu sechs Prozent des Konzernjahresumsatzes verhängt werden können. Die Einordnung in die „richtige“ Kategorie ist dagegen alles andere als einfach. Neben einer technischen Betrachtung der einzelnen Funktionalitäten müssen fremde und eigene Informationen voneinander abgegrenzt werden. Ein besonderes Augenmerk liegt beispielsweise für Spiele mit nutzergenerierten Inhalten, Avataren oder serverseitig gespeicherten Replays auf der Frage, ob deren öffentliche Verbreitung eine untergeordnete Funktion darstellt. Ansonsten greifen eine Vielzahl zusätzlicher Pflichten, was mit personellem und technischem Mehraufwand verbunden sein wird. Im Einzelfall gibt es jedoch oft gute Argumente, dass ein Online-Spiel nicht direkt als eine Online-Plattform einzustufen ist.

Der Digital Services Act fungiert dabei auch als Grundgerüst für weitere Spezifikationen durch den Unionsgesetzgeber, etwa durch zusätzliche Regelungen zum Schutze Minderjähriger vor Cybergrooming.

Cheats, Hacks und Exploits

Der Bundesgerichtshof (BGH) hat im Fall einer "Cheat-Software", die Spielabläufe auf Konsolen manipuliert, den EuGH um Klärung gebeten. Im Kern geht es darum, ob solche Software, die zwar nicht den Code des Spiels, aber Daten im Arbeitsspeicher verändert, als unzulässige Umarbeitung nach dem deutschen Urheberrechtsgesetz gilt. Nachdem das Landgericht Hamburg bereits im Jahr 2012 der klagenden Spielevertriebsgesellschaft zunächst Recht gab, hob das Oberlandesgericht dieses Urteil im Jahr 2021 auf. Der BGH sucht nun beim EuGH nach Antworten, ob diese Eingriffe in den Schutzbereich des Urheberrechts fallen und als rechtswidrige Umarbeitungen anzusehen sind. Der BGH hat in der Vergangenheit bereits bestätigt, dass das Anbieten von Cheat-Software für Massively Multiplayer Games einen Verstoß gegen das Gesetz gegen den unlauteren Wettbewerb und eine Urheberrechtsverletzung darstellen kann. Diese Entscheidungen bleiben von dem laufenden Verfahren unberührt.

Auch darüber hinaus beschäftigten uns im vergangenen Jahr diverse Cheats, Hacks und Exploits in Videospielen. Das Thema ist für Publisher von massiver wirtschaftlicher Bedeutung und wird auch in Zukunft ein Dauerbrenner sein.

„Pastiches“ und nutzergenerierte Inhalte

In einem langwierigen Urheberrechtsstreit hat der Bundesgerichtshof (BGH) im September 2023 den EuGH um Klärung des Begriffs "Pastiche" gebeten. Dieser Begriff bezieht sich auf § 51a UrhG und Artikel 5 Absatz 3 Buchstabe k) der Infosoc-Richtlinie (Richtlinie 2001/29/EG), wonach die Nutzung urheberrechtlich geschützter Werke auch ohne Zustimmung des Rechteinhabers möglich sein kann. Der Begriff wird dort aber nicht genauer definiert. Der EuGH muss nun entscheiden, ob auch das Sampling unter diese Ausnahmeregelung fällt und ob eine konkrete Absicht für die Nutzung vorausgesetzt wird. Eine genauere Konturierung des Begriffs "Pastiche" kann auch für Fan-Fiction oder nutzergenerierte Inhalte rund um Videospiele aufschlussreich sein, da dieser eine Nachahmung fremder Werke unter bestimmten Voraussetzungen gestattet.

Die wachsende Bedeutung nutzergenerierter Inhalte in Online-Spielen bringt sowohl Herausforderungen in der Plattformregulierung, wie bereits beim Digital Services Act (siehe oben unter "Digital Safe Space") diskutiert, als auch urheberrechtliche Fragestellungen mit sich. Rechtsverletzungen durch Nutzer auf Online-Spielplattformen rücken zunehmend in den Fokus. Auch ist es denkbar, dass ein nutzergenerierter Inhalt in einem Spiel eine Nachahmung einer Schöpfung eines anderen Nutzers darstellt. Auch dabei geht es oft um wirtschaftlich bedeutsame Positionen. Diese Entwicklungen erfordern eine verstärkte Überwachung von relevanten Kreativplattformen.

E-Sport

Im Bereich des E-Sports hat die Esports Integrity Commission (ESIC) aufgrund schwerwiegender Verstöße gegen den ESIC-Verhaltenskodex und den Anti-Korruptions-Kodex disziplinarische Maßnahmen gegen mehrere E-Sport-Profis ergriffen, einschließlich lebenslanger Sperren.

Zusätzlich zu den Maßnahmen der ESIC gab es signifikante Entwicklungen im Zusammenhang mit dem Louvre Agreement, einer wichtigen Vereinbarung im Bereich des professionellen Counter-Strike: Global Offensive (CS:GO). Das Team Astralis wurde von der ESL mit einer Geldstrafe von 100.000 US-Dollar belegt, weil es im Jahr 2021 gegen die Regeln des Louvre Agreement verstoßen hatte, indem es einen zukünftigen Mitarbeiter um Dienstleistungen bat, der zu diesem Zeitpunkt noch eine führende Position bei einem Mitbewerber innehatte.

Riot Games veröffentlichte im Dezember 2023 einen neuen E-Sports-Verhaltenskodex, der ab Januar 2024 für alle professionellen und semiprofessionellen Spieler, Trainer, Teambesitzer und für alle Wettbewerbe von Riot Games gilt. Der Verhaltenskodex enthält unter anderem Regelungen zur Gewährleistung der Integrität im eSport, indem Interessenkonflikte verhindert werden und ein sicheres Umfeld für alle Beteiligten geschaffen wird.

Die im Koalitionsvertrag zwischen den Regierungsparteien versprochene Gemeinnützigkeit des E-Sport wurde auch im Jahr 2023 trotz anderslautender Versprechen nicht umgesetzt.

Künstliche Intelligenz

Künstliche Intelligenz (KI) hat Stakeholder und Gesetzgeber im vergangenen Jahr massiv beschäftigt und wird dies auch weiterhin tun. Im Jahr 2023 war aus Sicht von Spieleunternehmen der Einsatz von generativer KI zur Erzeugung von Spielinhalten das zentrale Thema: Die Verringerung von rechtlichen Risiken einerseits (weil KI generierte Inhalte auch Rechte Dritter verletzen können), die Frage der urheberrechtlichen Schutzfähigkeit von KI-generierten Inhalten andererseits (die bisherige Rechtsprechung von US-Gerichten ist hier sehr zurückhaltend).

Im Dezember 2023 haben sich dann die Institutionen der Europäischen Union in den Trilogverhandlungen auf eine KI-Verordnung geeinigt, deren Veröffentlichung mit Spannung erwartet wird. Die KI-Verordnung verfolgt das Ziel, dass auf dem europäischen Markt eingesetzte KI sicher ist und mit den Grundwerten der EU im Einklang steht. Hieraus folgen auch für Publisher, die sich künstlicher Intelligenz bedienen wollen, Sorgfaltspflichten. Relevant kann im Spielebereich u.a. sein, dass „emotional recognition“ als Hochrisiko qualifiziert und einer besonders strengen Regulierung unterworfen wird.

Zudem können sich aus Spielen mit generativer KI neue jugendschutzrechtliche Risiken ergeben: Wenn Spielinhalte „on the fly“ durch generative KI erzeugt werden, können damit potenziell auch unvorhergesehene Inhalte entstehen.

Jugendschutz

Jugendschutz in Spielen war auch 2023 ein wichtiges Thema. Durch die überarbeiteten Prüfkriterien der USK zur Prüfung von digitalen Spielen, die auf das zuletzt im Jahr 2021 novellierte Jugendschutzgesetz zurückgehen, sind nunmehr auch sog. Nutzungsrisiken wie In-Game-Käufe oder Chatfunktionen bei der Überprüfung eines Spiels zu berücksichtigen. Dies hatte zur Folge, dass die jährliche Fußball-Sportsimulation von Electronic Arts (EA Sports FC24) erstmalig mit einer Altersfreigabe „Ab 12 Jahren“ versehen wurde. Dies ist auf die im Spiel enthaltenen Lootboxen zurückzuführen.

Die rechtliche Bewertung von Lootboxen ist bekanntlich seit Jahren ein Diskussionsthema. Für Schlagzeilen sorgten in diesem Zusammenhang diverse Urteile aus Österreich, wonach die Lootboxen u.a. von FIFA 23 als illegales Glücksspiel einzustufen seien. Ob dies auf die Rechtslage in Deutschland zu übertragen ist, ist fraglich, aber die Diskussionen über bezahlpflichtige Beutekisten wird auch im neuen Jahr nicht abreißen.

Geoblocking

Im September 2023 bestätigte das Gericht der Europäischen Union ein durch die Europäische Kommission verhängtes Bußgeld gegen Valve, den Betreiber der bekannten Spieleplattform Steam wegen unzulässigen Geoblockings. Geoblocking beschreibt die Praxis, den Zugang zu digitalen Inhalten aufgrund des geografischen Standorts des Nutzers zu beschränken. Im Falle von Valve bestätigte das Gericht die Auffassung der EU-Kommission, dass Valve zusammen mit anderen Anbietern bilateral ein Geoblocking vereinbart und durch die geografische Beschränkung von Spielaktivierungsschlüsseln Verbraucher daran gehindert hatte, das beste Angebot in den verschiedenen EU-Mitgliedstaaten zu wählen.

Der EuGH hat mit Urteil vom 7. Dezember (Az. C-634/21) entschieden, dass eine Kreditwürdigkeitsprüfung durch die SCHUFA eine automatisierte Entscheidung im Sinne von Art. 22 DS-GVO darstellt, die grundsätzlich rechtswidrig ist. Laut EuGH ist ein Scoring nur dann zulässig, wenn es notwendig ist, eine Rechtsgrundlage besteht oder der Betroffene seine Einwilligung gibt. Der EuGH hat entschieden, dass eine Entscheidung im Sinne von Art. 22 DSGVO auch dann vorliegt, wenn diese automatisierte Bewertungsmaßnahmen enthalten kann, die die eigentliche Entscheidung erheblich beeinflussen. Das Urteil kann über den Einzelfall hinausgehende gravierende Auswirkungen (z.B. auf das automatisierte Bannen von Spielern) haben.

Verbraucherschutz

Im Verbraucherschutz ist immer was los. Bußgelder wurden trotz erster Untersuchungen durch die EU-Kommission nicht bekannt. Gleichwohl beschäftigen die Instanzgerichte oftmals verbraucherrechtliche Themen wie etwa Preisanpassungsklauseln, Widerrufsrechte und In-Game-Käufe Minderjähriger.
Der "Kündigungsbutton" bei Online-Verträgen war auch im Jahr 2023 ein Dauerbrenner bei den Verbraucherzentralen. Wir erinnern uns : 

Auf nationaler Ebene gilt seit dem 1.7.2022 § 312k BGB nF, der vorsieht, dass für Verbraucher bei entgeltlichen Dauerschuldverhältnissen im elektronischen Geschäftsverkehr ein Kündigungsbutton bereitgehalten werden muss.

Aus einer Untersuchung des Verbraucherzentrale Bundesverbands (vzbv) im vergangenen Jahr folgte, dass die Umsetzung auch weiterhin mangelhaft war. Mittlerweile existieren auch die ersten rechtskräftigen Urteile, die eine leichte Auffindbarkeit und eine Möglichkeit zur Kündigung ohne Login fordern.

More Mana more Problems

Das Landgericht Hamburg hatte es im Jahr 2023 mit einem Energydrink-Pulver für Gamer zu tun. Dieses wurde von dem Anbieter damit beworben, dass Gamer bessere Leistungs- und Konzentrationsfähigkeiten erhalten können. Verbraucherschützer und das Landgericht sahen hierin einen Verstoß gegen die Health-Claims-Verordnung (Verordnung 1924/2006/EG) und untersagten die Bewerbung.

Fazit

Die rechtliche Beratung und Betreuung bei Videospielen und im E-Sport war auch im Jahr 2023 wieder geprägt von einem dynamischen, komplexen, aber insbesondere farbenfrohen Umfeld mit stetig neuen Herausforderungen. Im Kontext sich stetig weiterentwickelnder Unionsrechtsakte gilt es, den Überblick zu behalten und das passende Loadout für den Run zu wählen. Angesichts der raschen technologischen Entwicklungen und der ständigen Veränderungen im digitalen Raum bleibt die Rechtslandschaft der Spielewelt ein spannendes und herausforderndes Feld, das kontinuierliche Aufmerksamkeit und Anpassungsfähigkeit erfordert.

P.S.: Wir suchen stets Referendare (w/m/d), die sich für diesen dynamischen Themenkomplex interessieren und Teil unseres Teams in Frankfurt werden wollen. Die Systemvoraussetzungen sowie aktuelle Angaben zum Loot befindet sich hier.

Dr. Andreas Lober
Daniel Trunk

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Den gesamten Beitrag erreichen Sie hier: sueddeutsche.de

Mit diesem Blogbeitrag stellen wir die neuen, teils tiefgreifenden Änderungen der Richtlinie vor, die nach den Vorstellungen der EU-Kommission insbesondere durch die Einbeziehung von Software in den Produktbegriff nunmehr für das digitale Zeitalter gerüstet werden soll - eine der Prioritäten der EU-Kommission im Rahmen ihrer Digitalstrategie.

Neuer Produktbegriff umfasst Software

Die Produkthaftungsrichtlinie ist die Rechtsgrundlage für Schadensersatz aufgrund eines fehlerhaften Produkts, durch welches natürliche Personen einen Schaden erleiden. Dabei steht naturgemäß der Begriff des Produkts im Mittelpunkt. Nachdem jahrelang Uneinigkeit darüber herrschte, ob Software als solche ebenfalls vom Produktbegriff umfasst wird, wurde dieser Diskussion nun ein Ende bereitet. Künftig soll nun explizit auch Software vom Produktbegriff umfasst werden. Hierzu gehören beispielsweise Betriebssysteme, Firmware und Computerprogramme. Dabei soll Software unabhängig davon als Produkt gelten, ob sie auf einem Gerät gespeichert wird oder über Cloud-Technologien abgerufen wird. Ausgenommen ist der Quellcode von Software.

Ausnahme Open Source Software

Vom Anwendungsbereich der Produkthaftungsrichtline ausgenommen ist demgegenüber freie und open source Software, allerdings nur, wenn sie außerhalb einer gewerblichen Tätigkeit entwickelt oder bereitgestellt wird. Sofern derartige Software gegen ein Entgelt bereitgestellt oder sofern personenbezogene Daten verwendet werden, ist die Verwendung als gewerbliche Tätigkeit zu qualifizieren mit der Konsequenz, dass dann die Produkthaftungsrichtlinie Anwendung findet.

Fehlerhaftigkeit eines Produkts

Nach der Richtlinie hat ein Produkt einen Fehler, wenn es nicht die Sicherheit bietet, die die breite Öffentlichkeit erwarten kann. Insoweit gibt es keine wesentlichen Änderungen zur alten Produkthaftungsrichtlinie. Neu ist dabei allerdings, dass die Gerichte nunmehr im Rahmen der Beurteilung, ob ein Fehler vorliegt, eine Reihe von Faktoren wie die Vernetzung, Selbstlernfunktionen und insbesondere Cybersicherheit von Produkten berücksichtigen sollen.

Recht auf Schadenersatz auch bei Verlust oder Verfälschung von Daten

Jede natürliche Person, die durch ein fehlerhaftes Produkt einen Schaden erleidet, hat einen Anspruch auf Schadensersatz. Schäden können dabei sowohl der Tod als auch Körperverletzungen sein, wobei zu letzterem nun auch medizinisch anerkannte Beeinträchtigungen der psychischen Gesundheit zählen. Ferner normiert die neue Richtline auch die Beeinträchtigung oder Zerstörung von Vermögensgegenständen als Schaden. Darüber hinaus soll zukünftig auch ein Verlust oder die Verfälschung von Daten als Schaden angesehen werden. Abgedeckt werden aus dem Schaden resultierende Verluste sowohl materieller als auch immaterieller Art.

Neue Regelungen zur Beweislast und Zugang zu Beweismitteln

Ein weiteres Kernelement der neuen Produkthaftungsrichtlinie sind neue Beweislastregelungen. Für einen geschädigten Verbraucher ist es oftmals schwierig, die Fehlerhaftigkeit eines Produkts, den Schaden bzw. den ursächlichen Zusammenhang zwischen dessen Fehlerhaftigkeit und dem entstandenen Schaden nachzuweisen, nicht zuletzt wegen der zunehmenden technischen Komplexität vieler Produkte. Die neue Produkthaftungsrichtlinie sieht daher zum Ausgleich dieser Informationsasymmetrie vor, dass eine geschädigte Person, die vor einem nationalen Gericht eine Entschädigung geltend macht, Zugang zu relevanten, in der Verfügungsgewalt des Herstellers befindlichen Beweismitteln beantragen kann, um ihre Ansprüche nachweisen zu können. Dies steht allerdings unter dem Grundsatz der Verhältnismäßigkeit. Vorgesehen sind dabei auch Maßnahmen zum Schutz der Vertraulichkeit der offenzulegenden Informationen einschließlich Geschäftsgeheimnissen. Es bleibt abzuwarten, wie diese Regelungen in nationales Recht umgesetzt werden. Diese Pflicht zur Offenlegung stellt jedenfalls ein Novum im Produkthaftungsrecht dar, welches Grundprinzipien des deutschen Zivilprozessrechts auf den Kopf stellt und zu einem erhöhten Haftungsrisiko für die Wirtschaftsakteure führen dürfte.

Ferner wird festgeschrieben, dass Gerichte Beweiserleichterungen dergestalt anordnen können, dass der Geschädigte lediglich die "wahrscheinliche Fehlerhaftigkeit" bzw. dass diese den Schaden "wahrscheinlich verursacht" hat nachweisen muss. Damit soll gewährleistet werden, dass Verbrauchern eine faire Chance haben, in komplexen Fällen Schadensersatz zu erlangen. Auf eine Umkehr der Beweislast konnte man sich demgegenüber nicht verständigen.

Haftung von Plattformbetreibern

Die neue Produkthaftungsrichtlinie nimmt auch die neue digitale Realität in den Blick und bestimmt, dass nunmehr auch Online-Plattformen für fehlerhafte Produkte haftbar gemacht werden können. Voraussetzung ist, dass sie die Rolle eines Herstellers, Einführers oder Händlers wahrnehmen. Online-Plattformen sollen daher insbesondere haften, wenn sie ein Produkt so präsentieren, dass ein Durchschnittsverbraucher zu der Annahme veranlasst würde, dass das Produkt von der Online-Plattform selbst bereitgestellt wird und wenn die Online-Plattformen es versäumen, unverzüglich einen relevanten Wirtschaftsakteur mit Sitz in der EU zu benennen. Sofern sie lediglich eine reine Vermittlerrolle spielen, greift zu ihren Gunsten der bedingte Haftungsausschluss nach dem Gesetz über digitale Dienste (Digital Services Act – DSA).

Haftbarkeit des Fulfilment-Dienstleisters

Verbraucher erwerben zunehmend Produkte von Herstellern mit Sitz außerhalb der EU. Vor diesem Hintergrund soll dem Verbraucherschutz dadurch besser Rechnung getragen werden, dass in diesen Fällen der Einführer des fehlerhaften Produkts, der in der EU ansässige Bevollmächtigte des Herstellers oder als ultima ratio auch der sogenannte „Fulfilment-Dienstleister“ haftbar gemacht werden können. Als „Fulfilment-Dienstleister“ definiert die Produkthaftungsrichtlinie jede natürliche oder juristische Person, die im Rahmen einer Geschäftstätigkeit mindestens zwei der folgenden Dienstleistungen anbietet: Lagerhaltung, Verpackung, Adressierung und Versand eines Produkts.

KI-Systeme

Explizit umfasst werden sollen auch KI-Systeme. Die Produkthaftungsrichtlinie steht neben dem jüngst verabschiedeten AI Act und ergänzt diesen. Während ausweislich der Gesetzesbegründung mit dem AI Act unter anderem sichergestellt werden soll, dass Hochrisiko-KI-Systeme die Sicherheits- und Grundrechtsanforderungen erfüllen (z. B. Daten-Governance, Transparenz, menschliche Aufsicht), soll mit der Produkthaftungsrichtlinie sichergestellt werden, dass bei fehlerhaften KI-Systemen, die physische Schäden, Sachschäden oder Datenverluste verursachen, vom Anbieter des KI-Systems oder von jedem Hersteller, der ein KI-System in ein anderes Produkt integriert, Schadenersatz verlangt werden kann.

Offenbar keine Einigung gab es bislang zum Entwurf der "Richtlinie über außervertragliche zivilrechtliche Haftung künstlicher Intelligenz (Richtlinie über KI-Haftung)", welchen die EU-Kommission im Jahr 2022 zur Diskussion gestellt hat. Dieses Vorhaben dürfte für 2024 wieder auf der Tagesordnung stehen.

Ausblick

Bevor die Produkthaftungsrichtline in Kraft treten kann, ist im nächsten Schritt noch die formelle Zustimmung der EU-Gremien notwendig. Sodann haben die Mitgliedstaaten zwei Jahre Zeit, diese in nationales Recht umzusetzen.

Die neue Produkthaftungsrichtlinie statuiert eine verschuldensunabhängige Haftung. Dies ist für Hersteller in vielen Bereichen bereits Usus, für Softwarehersteller einschließlich Anbietern von Cloud-Technologien allerdings juristisches Neuland. Bemerkenswert ist, dass recht geräuschlos der Rotstift angesetzt und der bisherige Selbstbehalt des Geschädigten in Höhe von 500 Euro gestrichen wurde. Mit der im Jahr 2020 durch die EU-Verbandsklagerichtlinie festgeschriebenen und inzwischen im Verbandsklagenrichtlinienumsetzungsgesetz (VRUG) umgesetzten Möglichkeit der sogenannten Abhilfeklage steht zu vermuten, dass sich Unternehmen unter Umständen auf Sammelklagen von Verbrauchern einstellen müssen, können somit doch nun massenhaft Bagatellschäden gebündelt eingeklagt werden.

Dr. Peggy Müller

Dem Änderungsvorhaben liegt ein Bericht zur Überprüfung der derzeitigen Praxis im Bereich der alternativen Streitbeilegung mit Verbrauchern zugrunde. Er stellt fest, dass die ADR-Richtlinie (Richtlinie 2013/11/EU) zwar einen Zugang zu qualitativen Verbraucherschlichtungsverfahren im europäischen Raum geschaffen hat, diese Verfahren aber unzureichend genutzt würden. Nur 2% der Verbraucheranträge werden an ADR-Einrichtungen weitergeleitet, oft weil Unternehmen außerhalb der Plattform Lösungen vorschlagen. Die OS-Verordnung (Verordnung 2013/524/EU) wird als überholt betrachtet, da sich die digitalen Märkte seit ihrer Einführung stark verändert haben. Außerdem gebe es jetzt viele alternative Streitbeilegungsmöglichkeiten auf digitalen Marktplätzen.

Das Änderungsvorhaben:

Die Kommission schlägt daher vor, die OS-Verordnung aufzuheben. Zusätzlich veröffentlichte die Kommission eine Empfehlung zu Qualitätsanforderungen für Streitbeilegungsverfahren, die von Online-Marktplätzen und Wirtschaftsverbänden angeboten werden. Einen Überblick der Vorhaben haben wir hier für Sie zusammengestellt:

Reformierung der alternativen Streitbeilegung:

Das Herzstück der Reform liegt in der Anpassung der ADR-Richtlinie. Die Richtlinie soll nun auch nicht-vertragliche und vorvertragliche Streitigkeiten sowie Streitigkeiten mit Händlern außerhalb der EU umfassen. Grenzüberschreitende Streitigkeiten sollen durch digitale Tools vereinfacht werden. Außerdem sollen die Berichtspflichten der ADR-Kontaktstellen aufgeweicht werden. Diese sollen nun alle zwei Jahre statt jährlich berichten. Händler werden laut dem Vorschlag in die Pflicht genommen, auf Anfragen von ADR-Kontaktstellen zu antworten. Gleichwohl sind sie zur Teilnahme nicht verpflichtet. Die Richtlinie soll mindestharmonisierend bleiben. Damit behalten die EU-Mitgliedsstaaten Gestaltungsspielräume bei der Ausgestaltung ihrer ADR-Systeme. Mit den Änderungen sollen den heutigen Verbraucherbedürfnissen Rechnung getragen werden.

Einstellung der OS-Plattform:

Die OS-Verordnung soll aufgehoben werden. Der Vorschlag basiert auf der Feststellung, dass die OS-Plattform trotz hoher Besucherzahlen nur eine geringe Anzahl von Fällen (durchschnittlich 200 pro Jahr EU-weit) an ADR-Einrichtungen weiterleitet. Diese geringe Nutzung rechtfertige nicht die Kosten für die Aufrechterhaltung der Plattform.

Ein verbraucherfreundliches Umfeld im digitalen Raum:

Die Empfehlung der Kommission, ein nicht-verbindliches Instrument, zielt darauf ab, Qualitätsstandards für Streitbeilegungsverfahren zu setzen, die von Online-Marktplätzen und Wirtschaftsverbänden in der EU angeboten werden. Diese Empfehlung basiert auf der ADR-Richtlinie und legt nahe, dass diese Verfahren den Qualitätskriterien der Richtlinie entsprechen sollten, um Fairness und Effektivität zu gewährleisten. Die Empfehlung umfasst Richtlinien für Fachwissen, Unabhängigkeit, Unparteilichkeit, Effektivität und Fairness in diesen Verfahren. Online-Marktplätze und Wirtschaftsverbände werden zudem angehalten, regelmäßige Selbstbewertungsberichte zu veröffentlichen und vor Beginn des Verfahrens über wesentliche Merkmale zu informieren.

Einschätzung:

Die Reformvorschläge der EU-Kommission sind ein zweckmäßiger Schritt in Richtung eines sinnvollen und effizienteren Verbraucherschutzsystems im digitalen Zeitalter. Sowohl Verbraucher als auch die Unternehmen können von der alternativen Streitbeilegung profitieren. Spannend wird sein, wie sich die alternative Streitbeilegung auf nicht-vertragliche Streitigkeiten auswirkt und, ob dies zu einer Zunahme von Beschwerden durch Verbraucher führt. Positiv ist ferner, dass die OS-Plattform einer kritischen Bestandsaufnahme unterzogen wurde. Selbstverständlich wird ein Wegfall der OS-Plattform den bis dato spärlichen und dem Bericht zufolge weitgehend sinnlosen Hinweis, die Bezugnahme in diversen Impressen und Geschäftsbedingungen hinfällig machen.

Daniel Trunk

Der AI-Act verfolgt das Ziel, dass nur solche KI-Systeme auf den europäischen Markt gebracht und in der EU genutzt werden, die sowohl sicher sind als auch die Grundrechte und Werte der EU respektieren. Allerdings: auch wenn man unbedingt eine Einigung erzielen wollte, so wurde das Verhandlungsergebnis verkündet, ohne bislang einen konsolidierten Text präsentieren zu können. Die politische Einigung soll nun erst in den kommenden Monaten in einen endgültigen Text gegossen werden. Hierzu sind bis Ende Februar mehrere technische Verhandlungstermine angesetzt. Da die aktuell verfügbaren Informationen teilweise erheblich voneinander abweichen, gilt es, bis zur Veröffentlichung des finalen Textes im ersten Quartal des Jahres 2024 abzuwarten. Der nachfolgende Überblick soll die wichtigsten bekannten Regelungen vorstellen.

Definition KI-System

Im neuen AI-Act wird zunächst eine zu den letzten Vorschlägen des Europäischen Parlaments veränderte Definition eines KI-Systems enthalten sein, welche sich an die Definition der OECD anlehnt. Die Definition der OECD lautet wie folgt:

“An AI system is a machine-based system that, for explicit or implicit objectives, infers, from the input it receives, how to generate outputs such as predictions, content, recommendations, or decisions that can influence physical or virtual environments. Different AI systems vary in their levels of autonomy and adaptiveness after deployment.”

Hieran wird insbesondere kritisiert, dass die Definition ausgesprochen weit gefasst ist und hiernach beispielsweise sogar einfache Autokorrektur- oder Excel-Funktionen hierunter fallen. Insoweit bleibt der finale Gesetzestext einschließlich seiner Erwägungsgründe, die ja bekanntlich oft zur Feinjustierung bestimmter Begrifflichkeiten genutzt werden, abzuwarten.

Risikobasierter Ansatz

Diese Verordnung, die auf einen Vorschlag seitens der EU-Kommission vom April 2021 zurückgeht und Teil der Digitalstrategie der EU ist, verfolgt einen risikobasierten Ansatz. Danach werden KI-Systeme – je nach dem von ihnen ausgehenden Risiko - in verschiedene Gruppen eingeteilt: von solchen mit einem geringen Risiko über Hochrisiko-KI-Systeme bis hin zu verbotenen KI-Systemen.

Danach gelten für alle KI-Systeme sechs Grundsätze, respektive sollen sie (1) menschliches Handeln und menschliche Aufsicht ermöglichen, (2) technisch robust und sicher sein, (3) die Vorschriften der Privatsphäre und des Datenschutzes einhalten, (4) transparent sein, (5) Vielfalt, Diskriminierungsfreiheit und Fairness und (6) soziales und nachhaltiges Wohlergehen gewährleisten.

Verbotene KI-Systeme

Verboten sein werden in der EU zukünftige KI-Systeme, die ein inakzeptables Risiko beinhalten. Hierzu gehören beispielsweise Systeme manipulativer Techniken, Schwächen oder Schutzbedürftigkeit ausnutzende Systeme, das Social Scoring sowie Datenbanken, die auf einem massenhaften Auslesen von Gesichtsbildern basieren.

Bis zuletzt wurde schwer gerungen, ob KI zur Gesichtserkennung erlaubt sein soll oder nicht. Während sich einzelne Länder für einen Einsatz von KI zur Gesichtserkennung stark gemacht hatten, beispielsweise Frankreich mit dem Argument, hiermit die Sicherheit rund um Großereignisse wie die Olympischen Spiele 2024 absichern zu können, herrschte überwiegend Skepsis. Trotz eines harten Kampfes über mehrere Verhandlungstage war kein vollständiges Verbot der biometrischen Echtzeit-Identifizierung gegen den massiven Widerstand der Mitgliedsländer erreichbar.Nach langen Diskussionen wurden die Verbote angepasst, bei denen es um eine Erkennung von Emotionen sowie um biometrische Fernidentifizierung geht.

So gilt das Verbot von KI-Systemen zur Erkennung von Emotionen jetzt nur noch am Arbeitsplatz und in der Ausbildung. Demgegenüber soll es auch zukünftig möglich bleiben, derartige Systeme aus medizinischen oder sicherheitstechnischen Gründen einzusetzen, um beispielsweise die Müdigkeit von Piloten zu überwachen.

Ebenfalls geändert wurden die Vorschriften zur biometrischen Fernidentifizierung. So blieben sowohl die Identifizierung in Echtzeit als auch die nachträgliche verboten. Ausnahmen sind zur Strafverfolgung in klar definierten Fallgestaltungen vorgesehen. Zusätzlich sieht das Gesetz einen Katalog an Schutzmaßnahmen, mit dem etwaige Missbräuche verhindert werden sollen.

Hochrisiko-Systeme

Ein großer Teil von KI-Systemen wird als Hochrisiko-KI-System einzuordnen sein. Hierunter fallen beispielsweise KI-gestützte Medizinprodukte oder autonome Fahrzeuge. Generell gelten unter anderem die Bereiche Bildung, kritische Infrastruktur, Migration, Asyl oder Grenzkontrollen als kritische Bereiche mit hohem Risiko.

Hockrisiko-KI-Systeme müssen eine Reihe von Anforderungen und Verpflichtungen erfüllen, um innerhalb der EU zugelassen zu werden. So müssen Konformitätsbewertungen durchgeführt werden sowie ein Qualitäts- und Risikomanagementsystem integriert werden. Ferner müssen Hockrisiko-KI-Systeme in der entsprechenden EU-Datenbank registriert werden. Unangetastet blieb, dass eine Folgenabschätzung für die Grundrechte durchgeführt werden muss, allerdings gilt dies nur für öffentliche Einrichtung und solche privaten Stellen, die wesentliche öffentliche Dienstleistungen erbringen, wie beispielsweise Krankenhäuser oder Banken. Nochmalige Änderungen wurden dabei zur Verteilung der Verantwortlichkeiten und der Rollen der verschiedenen Akteure vorgenommen.

Neu ist die Einführung eines Filtersystems. Danach kann ein KI-System seine Einstufung als Hockrisiko-System verlieren, wenn es eine von insgesamt vier Voraussetzungen erfüllt, etwa wenn es (1) eine menschliche Tätigkeit überprüfen oder verbessern soll oder (2) lediglich dazu dient, Entscheidungsmuster oder Abweichungen von früheren Entscheidungsmustern zu erkennen, (3) nur zur Durchführung vorbereitender Aufgaben für eine Bewertung verwendet, die für kritische Anwendungsfälle relevant ist oder (4) nur eine enge verfahrenstechnische Aufgabe erfüllen soll.

KI-Systeme mit begrenztem Risiko

Für KI-Systeme mit begrenztem Risiko gelten zukünftig Transparenzverpflichtungen. Hierzu zählt vor allem die Information, dass ein bestimmter Inhalt von KI generiert wurde. Hierdurch soll sichergestellt werden, dass der Nutzer eine fundierte Entscheidung über die weitere Nutzung treffen kann.

Generative KI

In Bezug auf generative AI gibt es ebenfalls einige Änderungen. Dies verwundert nicht, handelte es sich hierbei doch um die umstrittensten Bestimmungen. Während sich das Europäische Parlament – nicht zuletzt unter dem Eindruck von ChatGPT – dafür ausgesprochen hatte, generative KI-Systeme zu regulieren, hatte die Kommission zuletzt die Auffassung vertreten, dass derartige KI-Systeme keiner Regelung bedürfen, es vielmehr ausreiche, wenn sich deren Hersteller lediglich Selbstverpflichtungen unterwerfen.

Anstelle der bisher als "Foundation Models" bezeichneten KI-Systeme wird nun von "General purpose AI" gesprochen. Die Definition von "general purspose AI" wurde dahingehend verändert, dass nur noch große generative KI-Systeme hierunter fallen:

“‘General purpose AI model’ means an AI model, including when trained with a large amount of data using self-supervision at scale, that is capable to competently perform a wide range of distinct tasks regardless of the way the model is released on the market.”

Entwickler von general purpose AI-Modellen müssen gewisse Mindestanforderungen erfüllen, wie beispielsweise eine technische Dokumentation erstellen, Informationen für nachgelagerte Anbieter bereitstellen und Aufschluss über Trainings- und Testverfahren geben. Ferner müssen sie urheberrechtliche Bestimmungen einhalten und die damit generierten Produkte müssen mit einem Wasserzeichen versehen werden.

Große KI-Systeme mit systemischen Risiken, sogenannte "systemic risk AI" bzw. Top Tier Modelle, die beim Training eine bestimmte Rechenleistung (10²⁵ FLOPs) übersteigen, müssen zusätzliche Verpflichtungen einhalten. Hierzu gehört es beispielsweise ein Risikomanagement einzurichten und ein angemessenes Niveau der Cybersicherheit aufrechtzuerhalten. Die Einzelheiten hierzu stehen noch nicht fest. Aktuell wird aber davon ausgegangen, dass OpenAIs GPT4 ebenso wie Googles Gemini als solche Systeme mit systemischem Risiko angesehen werden. Die Modelle der europäischen Entwickler Aleph Alpha und Mistral dürften aufgrund ihrer Rechenleistung demgegenüber nicht als KI-Modell mit systemischem Risiko einzustufen sein. Ein Schelm, der Böses dabei denkt.

Das Anknüpfen an die Rechenleistung wird stark kritisiert, da diese wenig über die Risiken eines KI-Systems aussage. Um zukünftig Anpassungen an den Stand der Technik vornehmen zu können, kann der aktuelle Schwellenwert zukünftig von der Kommission angepasst und zusätzlich weitere Kriterien festgelegt werden.

Open Source Modelle

Bereits im bisherigen Vorschlag waren KI-Modelle, die auf Open Source Lizenzen basieren, vom AI-Act ausgenommen. Nach der jüngsten Einigung sollen nur solche open source generative purpose AI-Systeme in den Anwendungsbereich des AI-Acts fallen, die als systemische Risiko-KI-Systeme eingestuft werden, auch sind sie nicht von den Anforderungen an Hockrisiko-KI-Systeme befreit. Dies ist zu begrüßen, sagt doch allein die Tatsache, ob ein KI-Modell auf Open Source Lizenzen basiert oder nicht, wenig über das von ihm ausgehende Risiko aus.

Urheberrechtliche Vorgaben

KI-Entwickler müssen künftig eine Copyright Policy sowie eine detaillierte Zusammenfassung der Inhalte öffentlich bereitstellen, die sie zum Trainieren ihrer generative purpose AI-Modelle benutzt haben. Die Transparenzvorgabe soll es den Urhebern ermöglichen nachzuvollziehen, ob ihre Werke genutzt wurden. Bislang wurde nicht ausgeführt, was genau "detailliert" bedeutet. Schenkt man den bislang mitgeteilten Informationen Glauben, so wird ausdrücklich die Text und Data Mining Schranke für generative KI anerkannt. Das war bislang umstritten. Zum Hintergrund: Eingriffe in die urheberrechtlichen Verwertungsrechte sind nur dann zulässig, wenn diese durch Schrankenbestimmungen freigestellt werden. Für das mit dem Training von KI einhergehenden Vervielfältigungen sind die Schranken für Text und Data Mining, respektive die automatisierte Analyse von Werken zur Informationsgewinnung über Muster, Trends und Korrelationen, relevant. Ausweislich der Text und Data Mining Schranke sind insbesondere Vorbehalte der Rechteinhaber zu beachten.

Sanktionen

Die im AI-Act angedrohten Strafen wurden nochmals verändert, bleiben aber je nach Schwere des Verstoßes gestaffelt. Danach kann beispielsweise ein Verstoß gegen das Verbot bestimmter Systeme und die Nichteinhaltung der Datenanforderungen mit bis zu 7 % des weltweiten Jahresumsatzes des Unternehmens oder EUR 35 Mio. sanktioniert werden.

Durchsetzung und Behörden

Innerhalb der Europäischen Kommission wird (bereits jetzt) ein AI Office eingerichtet, welche die Regulierung der generative purpose AI-Systeme durchsetzen soll. Alle anderen KI-Systeme werden von den zuständigen nationalen Behörden überwacht. Um eine einheitliche Anwendung der Rechtsvorschriften zu gewährleisten, sollen diese regelmäßig in einem Europäischen Ausschuss für künstliche Intelligenz zusammenkommen.

Beschwerderecht

Ebenfalls neu eingeführt wurde die Möglichkeit für natürliche und juristische Personen, bei der zuständigen nationalen Behörde Beschwerde über die Nichteinhaltung der Vorgaben des AI-Acts einzureichen.

Inkrafttreten des AI-Acts

Grundsätzlich wird der überwiegende Pflichtenkatalog des AI-Acts 24 Monate nach seinem Inkrafttreten anwendbar sein. Allerdings sieht der aktuelle Entwurf des AI-Acts vor, dass bestimmte Pflichten schon früher gelten sollen. So wird das Verbot bestimmter Systeme bereits sechs Monate nach Inkrafttreten des Gesetzes wirksam und damit aller Voraussicht bereits im Laufe des Jahres 2024. Die Anforderungen an generative purpose AI-Systeme gelten bereits 12 Monate nach Inkrafttreten des AI-Acts.

Daher ist es unbedingt anzuraten, sich frühzeitig mit den Regelungen des AI-Acts auseinanderzusetzen, nicht zuletzt vor dem Hintergrund, dass die Umstellung etwaiger Systeme durchaus Zeit in Anspruch nehmen kann.

Next steps

Wie eingangs bereits erläutert, ist der AI-Act noch – lange - nicht fertiggestellt. Zwar gibt es die jüngst verkündete politische Einigung auf die Eckpunkte, die technischen Details des Gesetzestextes müssen nun aber in den nächsten Wochen erst noch im Detail ausgehandelt werden. Dieses Auseinanderdividieren und Verhandeln der bits & pieces kann noch ein Weilchen dauern, denn wie heißt es doch so schön: der Teufel steckt im Detail. Abschließend müssen sodann die Gremien der EU dem finalen Verordnungstext zustimmen. Das es sich um eine Verordnung handelt, gilt sie jedoch unmittelbar in allen Mitgliedsstaaten, eine Umsetzung in nationales Recht ist nicht erforderlich.

Fazit

Die EU beabsichtigt, mit dem AI-Act ein - wie sie selbst es nennt - "äußerst heikles Gleichgewicht" zwischen der Förderung von Innovation und der Verbreitung von KI in Europa einerseits und der Wahrung der Grundrechte der EU-Bürger andererseits herzustellen. Das zuletzt über 250 Seiten lange Werk kommt eher als ein bürokratisches Monstrum daher und wird vielen Unternehmen hohe Dokumentationspflichten aufbürden. Aufgrund der Unschärfe vieler Regelungen wird es eine Reihe von Graubereichen geben, die zu Unsicherheiten und schlimmstenfalls zu Überlegungen führen können, ob vor diesem Hintergrund zunächst eher auf den Einsatz von KI verzichtet werden sollte, bis sich eine einheitliche Anwendungspraxis der zuständigen Behörden herauskristallisiert. Nichtsdestotrotz ist im Grundsatz der Versuch der EU zu begrüßen, sich diesem großen zeitgemäßem Themenkomplex anzunehmen und den dynamischen Entwicklungen dadurch Rechnung zu tragen, dass eine kontinuierliche Anpassung der Bestimmungen, wie explizit vorgesehen, vorgenommen wird.

Dr. Peggy Müller

Frankfurt/München, 1. Dezember 2023 – Die internationale Wirtschaftskanzlei ADVANT Beiten hat die Interhyp AG, Vermittler für private Baufinanzierungen, beim Erwerb sämtlicher Geschäftsanteile an der plattformübergreifenden Meta-Immobiliensuchmaschine ThinkImmo GmbH rechtlich und steuerlich umfassend beraten. Über das Transaktionsvolumen haben die Parteien Stillschweigen vereinbart.

Die plattformübergreifende Meta-Immobiliensuchmaschine erreicht mit über 400.000 Immobilienangeboten von etablierten Plattformen bis hin zu Zeitungsangeboten eine fast vollständig Marktabdeckung. Die Suchdienste wenden sich an Privatkunden, Immobilieninvestoren und Kreditvermittler.

Die Interhyp AG will mit der Übernahme ihre Marktposition weiter stärken und die beiden Kernkompetenzen „Immobiliensuche“ und „Immobilienfinanzierung“ optimal miteinander verknüpfen und ihr Leistungsspektrum dementsprechend erweitern.

Das gesamte ThinkImmo-Team um die Gründer Fabian Lurz, René Füchtenkordt und Stefan Perlebach bleibt vollständig an Bord und wird sich darauf konzentrieren, die Weiterentwicklung der ThinkImmo-Produktlösungen voranzutreiben.

Die Interhyp AG hat im Jahr 2022 ein Finanzierungsvolumen von EUR 29 Mrd. erfolgreich bei ihren über 500 Finanzierungspartnern platziert. Das Unternehmenbeschäftigt rund 1.600 Mitarbeiterinnen und Mitarbeiter und ist an über 100 Standorten persönlich vor Ort für ihre Kundinnen und Kunden und Partner präsent.

Berater Interhyp AG:
ADVANT Beiten: Dr. Christoph Schmitt (Banking/Finance, Frankfurt), Dr. Markus Ley (Corporate/M&A, München, beide Federführung), Susanne Klein, Jason Komninos (beide IP/IT, Frankfurt), Christian Schenk, Dennis Grimmer (beide Steuern, Düsseldorf), Dr. Gerald Müller-Machwirth (Arbeitsrecht, Frankfurt) und Maximilian Matusewicz (Corporate/M&A, München).

Pressekontakt
Frauke Reuther
Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Der Data Act – eine EU-Verordnung und als solche in allen EU-Staaten direkt anwendbar – sieht harmonisierte Regeln für den „fairen Zugang zu und die Nutzung von Daten“ vor. Anders als die DSGVO ist er nicht auf personenbezogene Daten beschränkt. Ziel ist es, diese Daten wirtschaftlich nutzbar zu machen.

Schon jetzt ist klar, dass das Gesetz weit über die Regulierung des „Internet der Dinge“ (IoT) hinausgehen wird. Es betrifft insbesondere so genannte „connected products“ und Cloud Dienste.

Nachfolgend geben wir einen ersten Überblick auf Basis der politischen Einigung. Da die Diskussionen über den Data Act europaweit erfolgen – auch innerhalb vieler Unternehmen grenzüberschreitend – verwenden wir im Folgenden auch die englischen Begriffe aus dem Data Act.

DATA SHARING (Datenweitergabe): Sogenannten data holdern (Dateninhabern) werden weitreichende Pflichten auferlegt, insbesondere Bereitstellungs- und Zugangspflichten in Bezug auf Nutzerdaten.

Daten von connected products (vernetzten Produkten) oder related services (verbundenen Diensten) müssen unter Umständen mit dem Nutzer oder einem Dritten (Datenempfänger) geteilt werden. Damit sollen die Rechte der Nutzer im Verhältnis zum data holder gestärkt werden. Zudem sollen Anreize für neue Akteure geschaffen werden, in die Datenwirtschaft zu investieren.

connected products und related services müssen anhand der Vorgaben aus dem Data Act gestaltet werden („Access by Design“). Das Gesetz verlangt von den data holdern außerdem, dass sie Daten aus connected products oder related services unentgeltlich und gegebenenfalls kontinuierlich in Echtzeit zugänglich machen.

Bislang sind viele connected products und related services nicht in diesem Sinne konzipiert, weshalb der Data Act und seine Pflichten künftig von Anfang an in der Produktentwicklung mitgedacht werden müssen.

Umgekehrt dürfen data holder nicht-personenbezogene Daten nicht mehr völlig frei mit anderen Akteuren – etwa zu Werbezwecken – teilen. Insoweit wird das Recht zur Datenweitergabe grundsätzlich auf das zur Erfüllung des Nutzervertrags erforderliche Maß eingeschränkt. Eine darüberhinausgehende Weitergabe von nicht-personenbezogenen Daten kann künftig einen Datenlizenzvertrag erfordern. Dies betrifft voraussichtlich auch Alt-Datenbestände.

Kleine und mittelständische Unternehmen sind in der Regel von den Verpflichtungen zur gemeinsamen Nutzung von Daten befreit (weniger als 50 Beschäftigte oder 10 Mio. EUR Jahresumsatz).

• Missbräuchliche Vertragsklauseln: Die Vorschriften gegen missbräuchliche Vertragsklauseln (Kapitel IV) sollen den Missbrauch von vertraglichen Ungleichgewichten verhindern. Dabei führt das Gesetz ein Verbot missbräuchlicher Klauseln in B2B-Verträgen ein und orientiert sich in der Regelungstechnik am AGB-Recht. Neben einer Generalklausel sind im Data Act auch (nicht abschließende) Regelbeispiele für missbräuchliche Klauseln enthalten. Darunter fallen beispielsweise Regelungen, die die Haftung für die Qualität der zur Verfügung gestellten Daten einschränken. Darüber hinaus können ausschließliche Nutzungsrechte an Daten, die einseitig auferlegt werden, problematisch sein. Unterstützend sollen in diesem Rahmen von der Europäischen Kommission Mustervertragsklauseln veröffentlicht werden, an denen sich Unternehmen orientieren können.
• Daten für den öffentlichen Sektor: in Notlagen, beispielsweise bei Naturkatastrophen, müssen öffentlichen Stellen (public sector bodies) Daten, die zur Bewältigung der Notlage erforderlich sind, bereitgestellt werden.
• Regulierung von Datenverarbeitungsdiensten, insbesondere von Cloud-Diensten: Der Data Act will den Wechsel zwischen gleichartigen „data processing services“ erleichtern (Kapitel VI). Unter den generischen Begriff „data processing services“ fallen u. a. Software as a Service (SaaS), Infrastructure as a Service (IaaS) und Platform as a Service (PaaS). Diese Vorschriften sollen den EU-Cloud-Markt aufbrechen und die Portabilität von Daten zwischen Cloudanbietern zu erleichtern. Geregelt werden sehr detailliert vor allem technische und organisatorische Maßnahmen, aber auch vertragliche Details. So ist beispielsweise eine Höchstgrenze für Kündigungsfristen vorgesehen. Weiter müssen Schnittstellen zur Datenübertragung beim Export von Daten zwischen verschiedenen Anbietern von Cloud-Diensten geschaffen werden. Neben diesen sehr detaillierten Vorgaben im Einzelfall findet sich aber auch ein - jedenfalls nach dem Wortlaut – nahezu uferlos anmutendes Verbot von Hindernissen für einen Wechsel („Insbesondere dürfen Anbieter von Datenverarbeitungsdiensten keine vorkommerziellen, gewerblichen, technischen, vertraglichen und organisatorischen Hindernisse aufzwingen und müssen solche Hindernisse beseitigen“). Ausnahmen gelten für „custom-built“ data processing services.
• Internationale Datenübermittlung und Interoperabilität: Auch der internationale Datentransfer wird eigens geregelt, um den unrechtmäßigen Zugriff ausländischer staatlicher Stellen auf nicht-personenbezogenen Daten zu verhindern (Kapitel VII). Die Vorgaben sind aber nicht mit den Bestimmungen der DSGVO zu Datenübermittlungen an Drittländer identisch. Daneben sind Regelungen zur Interoperabilität vorgesehen (Kapitel VIII).

Last-Minute Änderungen von Definitionen

Der Gesetzgebungsprozess für das Gesetz begann Anfang 2022. Es gab noch in der Schlussphase des Gesetzgebungsprozesses wesentliche Änderungen, sogar bei Bestimmungen wie den Definitionen von „connected product“ und „related services“. Diese sind aber elementar für den Anwendungsbereich des Gesetzes, konkret: für die Bestimmung, wer als „data holder“ (Dateninhaber) gilt und somit von zahlreichen Verpflichtungen betroffen ist. Der erste Entwurf der Europäischen Kommission schloss noch Geräte wie PCs, Smartphones und Spielkonsolen aus. In der politischen Einigung, die nun erzielt wurde, sind sie nicht mehr ausgeschlossen.

Die Definition des Begriffs „connected product“ („vernetztes Produkt") lautet nun wie folgt (wir geben aufgrund der Ambiguität der verwendeten Begriffe hier den englischen und den deutschen Originalwortlaut wieder):

‘connected product’ means an item that obtains, generates or collects data concerning ist use or environment and that is able to communicate product data via an electronic communications service, physical connection or on-device access, and whose primary function is not the storing, processing or transmission of data on behalf of any party other than the user;

‚vernetztes Produkt‘ [bezeichnet] einen Gegenstand, der Daten über seine Nutzung oder Umgebung erlangt, generiert oder erhebt und der Produktdaten über einen elektronischen Kommunikationsdienst, eine physische Verbindung oder einen geräteinternen Zugang übermitteln kann und dessen Hauptfunktion nicht die Speicherung, Verarbeitung oder Übertragung von Daten im Namen einer anderen Partei – außer dem Nutzer – ist;

‘related service’ means a digital service, other than an electronic communications service, including software, which is connected with the product at the time of the purchase, rent or lease in such a way that its absence would prevent the connected product from performing one or more of its functions, or which is subsequently connected to the product by the manufacturer or a third party to add to, update or adapt the functions of the connected product;

‚Verbundener Dienst‘ einen digitalen Dienst, bei dem es sich nicht um einen elektronischen Kommunikationsdienst handelt, – einschließlich Software –, der zum Zeitpunkt des Kaufs, der Miete oder des Leasings so mit dem Produkt verbunden ist, dass das vernetzte Produkt ohne ihn eine oder mehrere seiner Funktionen nicht ausführen könnte oder der anschließend vom Hersteller oder einem Dritten mit dem Produkt verbunden wird, um die Funktionen des vernetzten Produkts zu ergänzen, zu aktualisieren oder anzupassen;

Geschäftsgeheimnisse immer noch wenig geschützt

Die Verpflichtung zur Weitergabe von Daten kann sich sogar auf Geschäftsgeheimnisse erstrecken, obwohl es auch im Laufe des Gesetzgebungsverfahrens noch einige Änderungen gegeben hat. Auffällig ist dabei, dass der Schutz von Geschäftsgeheimnissen schwächer ausgeprägt zu sein scheint als unter der DSGVO. Der Schutz von Geschäftsgeheimnissen umfasst im Grundsatz einen mehrstufigen Mechanismus: Die relevanten Daten müssen vom data holder bzw. trade secret holder zunächst als Geschäftsgeheimnis identifiziert werden. Sodann sollen die Akteure der Datenweitergabe vertragliche, technische und organisatorische Maßnahmen vereinbaren, mit denen die Vertraulichkeit der zu übermittelnden Geschäftsgeheimnisse gewährleistet wird. Hierfür sollen künftig auch Standardvertragsklauseln bereitstehen. Nach der Vereinbarung von Schutzmaßnahmen müssen grundsätzlich auch Geschäftsgeheimnisse weitergegeben werden. Unklar ist, wie ein data holder diese Schutzmaßnahmen in der Praxis gegenüber den Empfängern der Daten, also typischerweise den eigenen Nutzern oder beauftragten dritten Unternehmen, durchsetzen soll. Die Weitergabe von Geschäftsgeheimnissen kann grundsätzlich nur ausgesetzt werden, wenn keine Einigung über die zu ergreifenden Schutzmaßnahmen erzielt, oder diese vom Empfänger der Daten unzureichend umgesetzt werden. Letzteres wird aber häufig mit einer Kompromittierung der Geschäftsgeheimnisse einhergehen. Jede Entscheidung über die Aussetzung der Datenweitergabe muss vom data holder begründet und der zuständigen Behörde gemeldet werden.

Der data holder kann die Weitergabe von Geschäftsgeheimnissen im Einzelfall zudem unter außergewöhnlichen Umständen ex ante verweigern, wenn er nachweist, dass ihm durch die Offenlegung des Geschäftsgeheimnisses mit hoher Wahrscheinlichkeit ein ernsthafter Schaden entsteht – auch in diesem Fall muss der data holder jedoch nicht nur den Nutzer über die Verweigerung informieren, sondern auch die zuständige nationale Behörde. Die Schwelle zum Verweigerungsrecht („highly likely to suffer serious economic damage“) wurde zuletzt etwas abgeschwächt, ist aber nach wie vor sehr hoch. Dies ist aus Sicht des data holders bzw.trade secret holders bedauerlich, könnte dieses ex ante Recht in vielen Fällen doch effektivste Möglichkeit sein, eine Offenlegung von Geschäftsgeheimnissen von vornherein zu verhindern.

Was ist mit der DSGVO?

Anders als die DSGVO gilt der Data Act sowohl für personenbezogene als auch für nicht-personenbezogene Daten. Die DSGVO dient vornehmlich dem Schutz natürlicher Personen und schafft Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Der Data Act will hingegen in erster Linie den freien Datenverkehr nicht-personenbezogener Daten realisieren. Das Datengesetz lässt die DSGVO unberührt, d. h. für Fälle der Nutzung eines connected products oder eines related services, wobei auch personenbezogene Daten erzeugt werden, gelten beide Gesetze nebeneinander.

Insbesondere will der Data Act den Schutz, den die DSGVO für personenbezogene Daten bietet, nicht herabsetzen, und kann daher auch nicht als Rechtsgrundlage für die Datenverarbeitung gemäß der DSGVO dienen. In der Praxis wird dies wahrscheinlich mehr Schwierigkeiten bereiten, als es auf den ersten Blick scheint, insbesondere wenn ein connected product oder ein related service personenbezogene und nicht-personenbezogene Daten sammelt - in diesem Fall müssen die letzteren möglicherweise weitergegeben werden, die ersteren jedoch nicht (soweit es sich um andere Personen als den Nutzer handelt) oder nicht ohne weiteres: Hier stellt sich dann jedenfalls die Frage, ob eine Rechtsgrundlage i.S. der DSGVO eine Weitergabe erlauben würde. Dies kann data holder künftig vor schwierige Situationen stellen. Sie müssen nun klarer als bisher entscheiden, welche Daten tatsächlich Personenbezug haben: Für diese ist ggf. eine Herausgabe nicht verpflichtend, für Daten ohne Personenbezug aber schon. Nicht einfacher wird dies, da es sich bei Daten von connected products oft um solche mit „relativem“ Personenbezug handeln wird – und die Frage des relativen Personenbezugs liegt gerade dem EuGH vor.

Zu Diskussionen kann es auch kommen bei der Frage, ob sich Inhaber von Geschäftsgeheimnissen darauf berufen können, dass die DSGVO deren Interessen durchaus stärker zu gewichten scheint als der Data Act.

Zeitplan

Nach der Annahme durch das Europäische Parlament muss nun noch der Rat zustimmen.

Im Anschluss an die Annahme wird der Data Act nach einer Übergangsfrist von etwa 20 Monaten in allen EU-Mitgliedstaaten unmittelbar anwendbar sein, ohne dass es der mitgliedstaatlichen Umsetzung der Regelungen bedarf. Die sog. „Access by Design“ Pflicht, also die Vorgabe zur Gestaltung von (neuen) connected products und related services, greift erst nach weiteren 12 Monaten. Abgesehen von dieser „Access by Design“ Pflicht sind vom Data Act aber nicht nur neue connected products bzw. related services betroffen, sondern – jedenfalls im Grundsatz – auch bereits im Markt befindliche. Damit dürften potenziell auch Inhaber von Alt-Datenbeständen bzw. vorhandenen Datensilos den neuen Regeln, insbesondere den Datenbereitstellungspflichten und den Einschränkungen in der Datennutzung (Stichwort: Datenlizenzvertrag), unterfallen. Gerade für solche potenziellen data holder könnte die Zeitspanne von 20 Monaten recht knapp ausfallen, um sich ausreichend auf die Verpflichtungen des Data Act vorzubereiten.

Seit dem 9. November 2023 liegt nun auch eine konsolidierte Fassung in deutscher Sprache vor. Diese finden Sie unter europarl.europa.eu

Dr. Andreas Lober
 

Lennart Kriebel

Dieser Blogbeitrag erscheint ebenso im Haufe Wirtschaftsrechtsnewsletter.

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Die Konzentration auf die Leiter Recht sowie Bereichsleiter in den Rechtsabteilungen stellt eine Neuerung bei der Erhebung dar und hat zu teils deutlichen Veränderungen geführt. In 32 definierten Rechtsgebieten wurden 9044 Empfehlungen abgegeben. 

Da sich ein Mandantenverhältnis zwischen einer Rechtsabteilung oder auch Compliance-Verantwortlichen und den externen Berater:innen häufig über längere Zeiträume erstreckt, hat der neue Kanzleimonitor keine isolierte Ein-Jahres-Betrachtung vorgenommen. Empfehlungen aus dem Jahr 2021 wurden mit dem Faktor 1, solche aus 2022 mit dem Faktor 3 und diejenigen aus 2023 mit den Faktor 4 berücksichtigt.

ADVANT Beiten erreicht in der Gesamtauswertung nach der Zahl der Empfehlungen (138) Position 13 der Liste „Top-100-Kanzleien“. Im vorigen Kanzleimonitor war es Rang 19.
 
Petra Fendt, Christian Hipp und Dr. Jochen Pörtge sind für ADVANT Beiten in der Gesamtwertung „Top-100-Anwälte“ vertreten.

Zudem gehört Tanja Hogh Holub zu den führenden Anwält:innen im Rechtsgebiet Patentrecht. Petra Fendt wird als eine der führenden Anwält:innen in der Finanzierung gelistet. Dr. Jochen Pörtge schafft es auf die Listen der führenden Anwälte in Compliance und im Strafrecht.

ADVANT Beiten liegt bei diesen 18 Rechtsgebieten unter "Führende Kanzleien" (zwei oder mehr Empfehlungen): 

• Aktien- & Konzernrecht (2)
• Arbeitsrecht (6)
• Compliance (18)
• Datenschutzrecht (6)
• Finanzierung (10)
• Gesellschaftsrecht (18)
• Gewerblicher Rechtsschutz (12)
• Immobilien- & Baurecht (2)
• IT-Recht (2)
• Kapitalmarktrecht (2)
• Kartellrecht (14)
• Litigation & ADR (10)
• M&A (7)
• Öffentliches Recht (4)
• Patentrecht (4)
• Strafrecht (8)
• Umweltrecht (4)
• Vertragsrecht (6)

Die Befragung bietet seit 2013 einen unabhängigen Marktüberblick der Mandatierung externer Kanzlei durch Unternehmensjuristen.

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Zwei.7 übernimmt im Zuge des Erwerbs die Kundenbeziehungen von Blue Safety. Mit Wirkung zum 1. Oktober 2023 sind sämtliche Mitarbeiter, die immateriellen Vermögenswerte sowie das Anlage- und Umlagevermögen auf den Investor übergegangen. Zwei.7 wird den Geschäftsbetrieb unter der Firma Blue Safety Hygienetechnologie GmbH fortführen.

Blue Safety hat sich seit 2010 der Entwicklung ganzheitlicher, rechtssicherer Hygiene-Technologien verschrieben. Der Fokus liegt dabei auf zahnärztlichen Praxen und Kliniken. Wasserhygiene ist integraler Bestandteil einer geschlossenen Hygienekette. Mit ihrem ganzheitlichen Hygiene-Technologie-Konzept garantiert das Unternehmen Zahnärzten rechtssichere Wasserhygiene und sorgt für hygienisch einwandfreies Wasser in der gesamten Praxis. Mithilfe zentral zudosierter hypochloriger Säure wird bestehender Biofilm abgebaut und dessen Neubildung dauerhaft verhindert.

Zwei.7 investiert regelmäßig in mittelständische Unternehmen und in Start-ups. Das inhabergeführte Unternehmen konzentriert sich dabei auf die Beteiligung an Unternehmen, Immobilien sowie die Ausstellung von Kunst.

ADVANT Beiten-Partner Wilken Beckering berät regelmäßig Unternehmen verschiedener Branchen aus dem Raum Osnabrück/Münster.

Berater Zwei.7:
ADVANT Beiten: Wilken Beckering (Federführung, Corporate/M&A und Insolvenzrecht), Jan-Moritz Degener (Corporate/M&A), Mathias Zimmer Goertz, Christian Frederik Döpke (beide IP/IT/Medien), Peter Weck (Arbeitsrecht), Thomas Herten (Mietrecht, alle Düsseldorf)

Insolvenzverwalter:
Michels Vorast Insolvenzverwaltung: Stephan Michels, Marcus Vorast (Münster)

Pressekontakt
Frauke Reuther
Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Unser Partner Dr. Andreas Lober beantwortet in diesem Artikel der Games Wirtschaft vom 29. September 2023 Fragen zu Unity und der Runtime Fee. Den gesamten Beitrag können Sie unter diesem Link einsehen.

Lesen Sie den vollständigen Artikel vom 04. September 2023 über das Urteil, bei welchem unser Partner Dr. Marc-Oliver Srocke das Nachrichtenmagazin "Spiegel" vertrat, auf lto.de.

Ab Freitag müssen große Online-Plattformen und Suchmaschinen die Regelungen einhalten, doch die Umsetzung wird herausfordernd. Unsere Expertin Dr. Peggy Müller betont, dass das Gesetz erstmals Bußgelder für Nichteinhaltung einführt – bis zu 6% des weltweiten Jahresumsatzes. Die neuen Anforderungen betreffen Inhaltsmoderation, Kennzeichnung illegaler Inhalte und Risikobewertungen. Experten sorgen sich um Qualifikationsdefizite und Rechtsunsicherheit. Details im vollständigen Beitrag auf der Webseite von Euractiv.

Lesen Sie den vollständigen Artikel vom 24. August 2023 mit unserem Partner Dr. Marc-Oliver Srocke auf dwdl.de.

SKF verfügt mit Spandau Pumpen über äußerst wettbewerbsfähige Schraubenspindel- und dichtungslose Eintauchpumpen mit einem wertvollen Kundenstamm hauptsächlich im europäischen Markt. EBARA zielt durch die Übernahme auf den weltweiten Markt für Werkzeugmaschinen und Filteranlagen ab und wird ihr Portfolio durch neue Produkte und Services erweitern.

EBARA wird den Kundenstamm und bestimmte Assets von Spandau Pumpen übernehmen, die Produktion in eines ihrer Werke in Italien verlagern und am Ausbau des Geschäfts arbeiten. Die EBARA Corporation hat sich die Erreichung mehrerer UN-Ziele für nachhaltige Entwicklung (SDGs) auf die Fahnen geschrieben, um unternehmerischen Mehrwert zu schaffen und ihren Ruf als exzellenter Global Player zu festigen.

Die globale Entwicklung neuer Märkte durch Übernahmen und Integration wertschöpfender Produkte sind zentraler Bestandteil der Strategie von EBARA. Weitere Investitionen im Bereich M&A sind geplant.

Berater EBARA Pumps Europe:
ADVANT Beiten: Dr. Markus Ley und Moritz Kopp (beide Federführung, Corporate/M&A), Christian Hess (IP/IT), Dr. Erik Schmid, Regina Dietel (beide Arbeitsrecht), Christoph Heinrich, Cathleen Laitenberger (beide Kartellrecht) und Maximilian Matusewicz (Corporate/M&A, alle München).

Pressekontakt
Frauke Reuther
Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Markus Ley
Rechtsanwalt
ADVANT Beiten
+49 (89) 3 50 65 - 1211
markus.ley@advant-beiten.com

Verbraucherschützer haben begonnen, Verstöße gegen Informationspflichten bei Online-Bewertungen zu überprüfen und gegen diese vorzugehen. Die Verbraucherzentrale Bundesverband (vzbv) schreibt in einer Pressemitteilung vom 11. Juli 2023, dass sie in ausgewählten Fällen die Einleitung von Unterlassungsverfahren prüfe und Anbieter abgemahnt habe.

Das Ergebnis der Überprüfung

Die Evaluierung fällt nach Angaben des vzbv ernüchternd aus. So haben 90% der untersuchten Anbieter (27 von 30) nach Auffassung des vzbv gegen bestehende Verbraucherschutzvorschriften verstoßen. So sei es unter anderem problematisch, dass Bewertungen zu Produkten oder Dienstleistungen auf der Startseite angezeigt würden, ohne dass an dieser Stelle eine Aufklärung über die Verifizierung der entsprechenden Bewertungen erfolge. Kritisiert wurde ferner, dass Anbieter nicht offenlegen würden, wie sie die Echtheit der Kundenbewertungen sicherstellen. Schließlich moniert der vzbv, dass Informationen über die Herkunft der Bewertung auf den Webseiten versteckt und nicht unmittelbar aufzufinden seien.

Hintergrund

Im Rahmen der Umsetzung der Modernisierungsrichtlinie (Richtlinie 2019/2161/EU, auch bekannt als Omnibus-Richtlinie) sind für Unternehmen, die Nutzerwerbewertungen von Waren oder Dienstleistungen online zugänglich machen, zusätzliche Pflichten hinzugekommen.

Diese müssen seit 28. Mai 2022 darüber informieren, ob und wie sie sicherstellen, dass die veröffentlichen Bewertungen von Verbrauchern stammen, die diese Waren oder Dienstleistungen tatsächlich genutzt oder erworben haben, also „echt“ sind.
Eine aktive Pflicht zur Sicherstellung besteht demnach grundsätzlich nicht. Unternehmer müssen dann auf ihrer Webseite öffentlich deklarieren, dass die Bewertungen nicht auf ihre Echtheit überprüft worden sind. Treffen Unternehmer hingegen Maßnahmen zur Sicherstellung der Echtheit der Bewertungen, müssen sie über das „Wie“ informieren. Welche Maßnahmen dies konkret sein sollen, ist gesetzlich nicht vorgeschrieben. Der deutsche Gesetzgeber nennt in der Gesetzesbegründung als Beispiel, dass nur solche Verbraucher ein Produkt bewerten dürfen, die dieses tatsächlich über die Plattform des Unternehmers erworben haben.
Informiert werden soll ferner ausweislich den Erwägungsgründen der Richtlinie darüber, wie mit Bewertungen generell umgegangen wird, etwa ob alle Bewertungen – positive wie negative – veröffentlicht würden oder ob die Bewertungen gesponsert oder beeinflusst wurden.

Zwei weitere aktive Verhaltensweisen haben es in die sog. „schwarze Liste“ des UWG geschafft

Dies betrifft zunächst die Behauptung, dass Bewertungen eines Produkts von Verbrauchern stammen, die dieses tatsächlich verwendet oder erworben haben, ohne dass angemessene und verhältnismäßige Maßnahmen ergriffen wurden, um zu prüfen, ob die Bewertungen tatsächlich von solchen Verbrauchern stammen. Ferner unzulässig ist das Übermitteln oder Beauftragen gefälschter Verbraucherbewertungen sowie die falsche Darstellung von Bewertungen oder Empfehlungen von Verbrauchern in sozialen Medien zum Zwecke der Verkaufsförderung.

Ist einer der beiden Tatbestände erfüllt, so liegt stets ein unlauteres Verhalten des Unternehmers vor.

Einschätzung

Bewertungen und Empfehlungen von anderen Verbrauchern sind ein elementares Kaufentscheidungskriterium für Verbraucher. An einer ersichtlich unechten Kundenbewertung hat kein Verbraucher ein ernsthaftes Interesse. Dies hat sich nicht erst zum 28. Mai 2022 geändert, sondern hat die Gerichte auch schon zuvor beschäftigt. Die zusätzlichen Informationspflichten scheinen daher grundsätzlich sinnvoll. Gleichwohl besteht auch hier ein gewisses Risiko, dass der gute Gedanke hinter diesen Informationspflichten dazu führt, dass Verbraucher nunmehr „erst recht“ getäuscht werden, weil sie auf die Echtheit der Bewertungen vertrauen.

Indem Unternehmer dazu verpflichtet werden, Angaben über die Aussagekraft der bereitgestellten Online-Bewertungen zu machen, müssen diese aus eigenem Antrieb Transparenz schaffen (oder klarstellen, dass sie dies gerade nicht tun). Ob und wie sie dies tun, ist für Verbraucherschützer, Mitbewerber und Behörden, weil sie es offenlegen müssen, leicht nachprüfbar. Mithin besteht ein nicht unerhebliches Risiko, für die Verletzung von Verbraucherinteressen abgemahnt zu werden oder gar ein empfindliches Bußgeld zahlen zu müssen. Angesichts der ernüchternden Bilanz des vzbv ist mit einer Überprüfung weiterer Anbieter in absehbarer Zeit zu rechnen.

Daniel Trunk

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Das EuGH-Urteil vom 16. Juli 2020 und seine Auswirkungen

Der Europäische Gerichtshof (EuGH) hatte im sogenannten "Schrems II"-Urteil im Juli 2020 entschieden, dass der sog. EU-US-Datenschutzschild („Privacy Shield“), der bis dahin in der Praxis als wichtigster Mechanismus für Datenübermittlungen in die USA diente, unwirksam ist (wir berichteten im Datenschutz-Ticker Juli 2020). Seitdem herrschte große Unsicherheit, ob und unter welchen Voraussetzungen Datenübertragungen in die USA noch rechtlich möglich waren. Das Urteil hatte somit weitreichende Auswirkungen auf den transatlantischen Datenaustausch. Dies galt vor allem, aber nicht nur, für die Nutzung beliebter Onliner-Dienste wie Google und Facebook. Der EuGH hatte argumentiert, dass die Datenschutzstandards in den USA insbesondere aufgrund ausufernder Befugnisse der US-Geheimdienste nicht ausreichend seien und dass europäischen Bürgerinnen und Bürgern kein ausreichender Schutz vor staatlicher Überwachung und Datenmissbrauch zukomme. Auch das Fehlen effektiven Rechtsschutzes für EU-Bürgerinnen und -Bürger in den USA im Hinblick auf ihre Datenschutzrechte hatte der EuGH beanstandet.

Die alternative Absicherung der Datenübertragungen etwa durch den Abschluss von sog. Standardvertragsklauseln („SCC“) oder gar durch die Einholung von Einwilligungen für die Datenübertragung in Drittländer, insbesondere die USA, blieben höchst umstritten und bargen stets ein gewisses Risiko, einer gerichtlichen Überprüfung nicht Stand halten zu können oder ein erhebliches Bußgeld durch eine Datenschutzbehörde nach sich zu ziehen.

Der EU-US Data Privacy Framework als Lösung

Nachdem die EU-Kommission und die US-Regierung bereits im März 2022 verlautbaren ließen, sich grundsätzlich auf einen Rechtsrahmen für den transatlantischen Datentransfer geeinigt zu haben, hat die EU-Kommission nun den lange ersehnten Angemessenheitsbeschluss für den EU-US-Data Privacy Framework („Data Privacy Framework“) erlassen. Damit reagiert sie auf die Beanstandungen des EuGH im „Schrems II“-Urteil und bescheinigt den USA erneut, diesmal aber unter bestimmten Voraussetzungen, ein angemessenes Datenschutzniveau im Sinne der DSGVO.

Ähnlich wie schon der frühere „Privacy Shield“ basiert der Data Privacy Framework auf einem System der Zertifizierung. US-Organisationen und Unternehmen können sich zur Einhaltung der sog. EU-US Data Privacy Framework Principles verpflichten, welche sich an den Grundsätzen der DSGVO orientieren, sowie an weiteren Grundsätzen, die vom US-Handelsministerium (Department of Commerce) herausgegeben werden. Das US-Handelsministerium wird auch ähnlich wie beim früheren „Privacy Shield“ eine Liste im Internet veröffentlichen, in der die unter dem Data Privacy Framework zertifizierten Organisationen und Unternehmen aufgeführt werden.

Um sich gemäß dem Data Privacy Framework zu zertifizieren (oder sich jährlich zu rezertifizieren), müssen Organisationen und Unternehmen sich öffentlich zur Einhaltung der o.g. Grundsätze bekennen, ihre Datenschutzrichtlinien verfügbar machen und diese vollständig umsetzen. Im Rahmen ihres Zertifizierungsantrags müssen sie dem US-Handelsministerium diverse weitere Informationen vorlegen. Diese umfassen ihre Organisation, eine Beschreibung der Zwecke, für die personenbezogene Daten verarbeitet werden, die von der Zertifizierung erfassten personenbezogenen Daten sowie die gewählte Überprüfungsmethode, den relevanten unabhängigen Beschwerdemechanismus und schließlich die zuständige Durchsetzungsbehörde.

Organisationen und Unternehmen können erst ab dem Zeitpunkt, an dem sie in die Data Privacy Framework-Liste des US-Handelsministeriums aufgenommen worden sind, personenbezogene Daten auf der Grundlage des Data Privacy Framework erhalten und verarbeiten. Um Rechtssicherheit zu gewährleisten und um zu vermeiden, dass Organisation oder Unternehmen fälschlicherweise behaupten, zertifiziert zu sein, dürfen sie, wenn sie sich erstmals zertifizieren lassen, erst dann öffentlich auf ihre Einhaltung der Grundsätze bzw. ihre Zertifizierung hinweisen, wenn das US-Handelsministerium festgestellt hat, dass der entsprechende Zertifizierungsantrag vollständig ist und die Organisation bzw. das Unternehmen zur Liste hinzugefügt wurde. Um sich weiterhin auf den Data Privacy Framework als Transfermechanismus berufen zu können, muss eine jährliche Rezertifizierung durchgeführt werden.

Was müssen Unternehmen in der EU beachten?

Die bloße Existenz des Angemessenheitsbeschluss bzw. des Data Privacy Framework bedeutet leider noch nicht, dass in der EU bzw. im EWR ansässige Unternehmen nun unmittelbar ihre Datenübertragungen auf diesen stützen können. Denn zunächst muss die Zertifizierung des jeweiligen US-Unternehmens, an welches die Daten übermittelt werden sollen, erfolgt sein und dieses in der Data Privacy Framework-Liste veröffentlicht werden. Dies dürfte noch ein wenig Zeit in Anspruch nehmen, da die US-Unternehmen zunächst die oben beschriebenen Grundsätze umsetzen und Vorgaben einhalten müssen.

Wenn es so weit ist, müssen ggf. die Datenschutzerklärungen der Daten übermittelnden Unternehmen angepasst werden, da diese sich bezüglich der Datenübertragung in die USA bislang auf andere Mechanismen als den Angemessenheitsbeschluss berufen dürften. Die Datenschutzerklärung muss bei Datenübertragungen in Drittländer jedoch stets das Vorhandensein oder Fehlen eines Angemessenheitsbeschlusses der Kommission erwähnen (Art. 13 Abs. 1 lit. f) DSGVO).

Fazit und Ausblick

Der Angemessenheitsbeschluss der EU-Kommission beendet zunächst eine lange Periode der Rechtsunsicherheit für die Übertragung von personenbezogenen Daten in die USA. Sofern die oben beschriebenen Voraussetzungen erfüllt sind, dürfte der Beschluss in der Praxis zu erheblichen Vereinfachungen bei der rechtlichen Bewertung und Durchführung von rechtmäßigen US-Datentransfers führen. Der Data Privacy Framework hat aber auch unmittelbar harsche Kritik erfahren, weil er angeblich zu wenig von dem bereits vor dem EuGH gescheiterten Privacy Shield abweiche und daher keinen echten Schutz für die personenbezogenen Daten von EU-Bürgerinnern und -Bürgern in den USA biete. Es bleibt also abzuwarten, wie lange dieses Abkommen diesmal Bestand hat. Vorerst heißt es jedoch für viele in der EU bzw. dem EWR ansässige Unternehmen, die regelmäßig Daten in die USA übertragen wollen oder müssen: Aufatmen!

Fabian Eckstein

Das relevante Datum für klassische Webshop-Betreiber ist jedoch der 17. Februar 2024, wenn der DSA vollständige Geltung erlangt. Der Anwendungsbereich des DSA ist denkbar weit. Er erstreckt sich auf sämtliche Online-Vermittlungsdienste, die Dienste für EU-Nutzer zur Verfügung stellen. Der Begriff „Online-Vermittlungsdienste“ umfasst jeden Dienst, der auch in digitaler Form erbracht wird und damit zwangsläufig jeden Webshop. Der DSA stellt zunächst (1) ein Haftungsprivileg für die Dienste auf, was jedoch der bisherigen Rechtslage nach dem Telemediengesetz (TMG) weitgehend entspricht. Im Grundsatz gilt: Haben die Anbieter keine tatsächliche Kenntnis von rechtswidrigen Inhalten der Nutzer oder entfernen sie die Inhalte, sobald sie Kenntnis erlangen, haften sie nicht dafür. Außerdem enthält der DSA (2) Sorgfalts- und Transparenzpflichten sowie (3) Durchsetzungsmechanismen, zu denen auch Bußgelder gehören.

Die verschiedenen Arten von Vermittlungsdiensten

Der Digital Services Act unterscheidet verschiedene Arten von Vermittlungsdiensten. Je nach Einordnung in eine dieser Kategorien, gelten für die Anbieter dieser Dienste unterschiedliche Pflichten. Der Fokus des vorliegenden Beitrags liegt auf Webshops, die als Hosting-Dienste einzuordnen sind. Ob für Webshops mit einer Kommentarfunktion etwas anderes gilt, ist noch nicht abschließend geklärt.

1. Bei einer reinen Durchleitung werden vom Nutzer bereitgestellte Informationen lediglich übermittelt oder der Zugang zu einem Kommunikationsnetz vermittelt. Beispiele sind etwa VPN und WLAN-Anbieter, Top-Level-Domain oder E-Mail-Dienste.
2. 2Eine Caching-Leistung liegt hingegen bei einer automatischen, zeitlich begrenzten Zwischenspeicherung von Informationen vor, die allein der effizienteren Informationsübermittlung dient. Beispiele dafür sind Web- oder DNS-Caching.
3. Ein Hosting-Dienst speichert durch den Nutzer bereitgestellte Informationen in dessen Auftrag. Klassische Beispiele sind Cloud-Computing-Dienste sowie das Web-, E-Mail- und Server-Hosting.
4. Eine besondere Form des Hosting-Dienstes ist die Online-Plattform, ein Hosting-Dienst, der im Auftrag eines Nutzers nicht lediglich Informationen bzw. Inhalte speichert, sondern diese auch öffentlich verbreitet. Beispiele für Online-Plattformen sind Social-Media-Plattformen und Online-Marktplätze, also Online-Shops, bei denen auch dritte Unternehmer ihre Ware anbieten können. Ab einer durchschnittlichen monatlichen Zahl von mindestens 45 Millionen aktiven Nutzern in der EU gilt eine Online-Plattform als eine sog. sehr große Online-Plattform (Art. 33 Abs. 1 DSA).

Einordnung eines Webshops mit Kommentarfunktion

Soweit es sich lediglich um einen Webshop handelt, der keine Nutzerdaten langfristig speichert, ist der Dienst eine reine Durchleitung. Speichert der Anbieter – wie in den meisten Fällen – jedoch Nutzerdaten, leistet er einen Hosting-Dienst i.S.v. Art. 6 DSA. Bei einer Bewertungs- und Kommentarfunktion liegt dies jedenfalls vor, da die von den kommentierenden Nutzern hinterlegten Daten und Inhalte für längere Dauer gespeichert werden. Zudem werden sie vom Anbieter im Auftrag des Nutzers veröffentlicht, was den Webshop zu einer Online-Plattform i.S.d. DSA machen würde. Es gibt jedoch gute Gründe, die gegen die Einordnung des Webshops als Online-Plattform mit den damit einhergehenden erhöhten Pflichten sprechen.

Ein Vermittlungsdienst ist von den erhöhten Pflichten einer Online-Plattform ausgenommen, wenn die öffentliche Verbreitung von Informationen lediglich eine unbedeutende und reine Nebenfunktion eines anderen Dienstes oder eine unbedeutende Funktion des Hauptdienstes ist, die aus objektiven und technischen Gründen nicht ohne diesen anderen Dienst genutzt werden kann (Art. 3 lit. i DSA). Als eindeutiges Beispiel für eine Nebenfunktion nennt Erwägungsgrund 13 des DSA den Kommentarbereich einer Online-Zeitung, deren Hauptfunktion die Veröffentlichung von Nachrichten ist. Bei Social-Media-Plattformen ist die Kommentarfunktion hingegen eine der Hauptfunktionen. Die Bewertungs- und Kommentarfunktion im Webshop könnte vergleichbar zur Online-Zeitung als bloße Nebenfunktion des Hauptdienstes gesehen werden. Zwar wird im Erwägungsgrund des DSA auch ausdrücklich darauf hingewiesen, dass durch diese Einschränkung eine extensive Ausweitung der Pflichten verhindert werden soll. Aktuelle Rechtsprechung dazu liegt jedoch noch nicht vor, so dass eine eindeutige Einschätzung erst im Laufe der praktischen Anwendung des neuen Gesetzes gegeben werden kann.

Pflichten eines Webshop-Betreibers nach dem DSA

Für Betreiber eines Webshops gelten unabhängig davon, ob diese als Online-Plattform zu qualifizieren sind oder nicht, in jedem Fall diejenigen Pflichten, die für alle Vermittlungsdienste gelten:

• Ein Unternehmen, das einen Webshop betreibt, ist verpflichtet, jährliche Transparenzberichte über das Lösch- und Sperrverhalten zu veröffentlichen (Art. 15 DSA). Davon sind Kleinst- und Kleinunternehmer ausgenommen, d.h. Unternehmen mit weniger als 50 Beschäftigten und einem Jahresumsatz von unter 10 Mio. Euro. Für Online-Plattformen (Art. 24 DSA) und für sehr große Online-Plattformen (Art. 42 DSA) sind die Berichtspflichten verschärft.
• Zudem muss der Betreiber eine Kontaktstelle für den Kontakt zu Behörden (Art. 11 DSA) und eine Kontaktstelle für die Kommunikation mit den Nutzern (Art. 12) bereitstellen.
• Die Ausführung von Anordnungen durch nationale Behörden zum Vorgehen gegen rechtswidrige Inhalte muss diesen unverzüglich mitgeteilt werden (Art. 9 DSA).
• Die Allgemeinen Geschäftsbedingungen (AGB) müssen den Anforderungen des Art. 14 DSA genügen, d.h. insbesondere:
  • Sie müssen in klarer, verständlicher und benutzerfreundlicher Sprache angeben, welche Beschränkungen und Moderationsmaßnahmen für Nutzerinhalte gelten (Art. 14 Abs. 1 S. 1 DSA)
  • Werden Beschränkungen auferlegt, müssen Vermittlungsdienste sorgfältig, objektiv und verhältnismäßig vorgehen und alle Interessen der Nutzer berücksichtigen (insb. Charta-Grundrechte wie die Meinungsfreiheit der Nutzer, Art. 14 Abs. 3 DSA)
  • Sie müssen die Nutzer zudem über wesentliche Änderungen der AGB informieren (Art. 14 Abs. 2 DSA)
  • Wenn sich die Vermittlungsdienste an Minderjährige richten oder diese die Dienste überwiegend nutzen, müssen die AGB so verfasst sein, dass auch Minderjährige sie verstehen können (Art. 14 Abs. 3 DSA).

Ist der Webshop ein Hosting-Dienst, d.h. speichert er Nutzerdaten und -inhalte, muss der Betreiber weiteren Pflichten nachkommen. Diese umfassen insbesondere:

• Die Pflicht zur Meldung beim Verdacht der Begehung einer Straftat durch die veröffentlichten Inhalte der Nutzer und die Bereitstellung erforderlicher Informationen (Art. 18 DSA).
• Die Pflicht zur Einrichtung eines Notice-and-action-Systems, durch das Nutzer sowie Dritte rechtswidrige Inhalte melden können (Art. 16 DSA).
• Beschränkungen für Nutzer, die rechtswidrige oder den Nutzungsbedingungen widersprechende Inhalte veröffentlicht haben, müssen klar und spezifisch begründet werden (Art. 17 DSA).

Sollte der Webshop als Online-Plattform zu qualifizieren sein, treten die deutlich erhöhten Pflichten für Online-Plattformen hinzu. Zudem gibt es einige Sondervorschriften (Art. 29-32 DSA) für Online-Plattformen, die Verbrauchern den Abschluss von Fernabsatzverträgen mit dritten Unternehmern ermöglichen (Online-Marktplätze). Ausgenommen von diesen Sondervorschriften sind wiederum Kleinst- oder Kleinunternehmen.

Praxishinweis

Die Einordnung eines Online-Shops kann von Details abhängen und die damit einhergehenden Pflichten nach dem Digital Services Act sind vielfältig. Eine konkrete Prüfung des Einzelfalls ist daher empfehlenswert.

Dies zeigt auch das aktuell beim Europäischen Gericht erster Instanz (EuG) anhängige Verfahren betreffend den Online-Versandhändler Zalando, in dem es um die Qualifizierung als sehr große Online-Plattform geht. Am 25. April 2023 veröffentlichte die Europäische Kommission eine Liste mit 17 sehr großen Online-Plattformen, auf der sich auch Zalando wiederfand. Gegen die Qualifizierung als sehr große Online-Plattform reichte Zalando am 27. Juni 2023 eine Klage beim EuG ein. Das Unternehmen argumentiert unter anderem, dass die Europäische Kommission den mehrheitlichen Einzelhandelscharakter seines Geschäftsmodells nicht berücksichtigt habe und bemängelt die Art und Weise, wie „aktive Nutzer“ gezählt werden. Im Gegensatz zu einem klassischen Webshop, bei dem der Betreiber lediglich eigene Produkte anbietet und selbst Geschäfte mit den Nutzern abschließt, hat Zalando auch eine Marketplace-Funktion im Rahmen des Zalando-Partnerprogramms. Dabei vermittelt Zalando Geschäftsabschlüsse mit dritten Händlern. Je nach Produkt kommt entweder ein Vertrag allein mit dem Zalando-Partner zustande oder sowohl mit der Zalando SE als auch mit dem jeweiligen Zalando-Partner. Daher ist der Dienst von Zalando im Gegensatz zu Webshops ohne Marketplace-Funktion als Online-Plattform zu qualifizieren.

Für Webshop-Betreiber besteht in jedem Fall Handlungsbedarf. Unternehmen, die Webshops betreiben, sollten sich daher bis zum 17. Februar 2024 gut vorbereiten und die für sie geltenden Pflichten umsetzen. Wichtig ist insbesondere die rechtzeitige Einrichtung aller erforderlichen Kontaktstellen, die Veröffentlichung der erforderlichen Transparenzberichte, die Anpassung der AGB sowie der Einrichtung eines den Anforderungen entsprechenden Notice-and-action-Systems. Um diese Prozesse unternehmensintern und mit externen Beratern vorzubereiten und umzusetzen, sollte man einigen zeitlichen Vorlauf einplanen.

Dr. Birgit Münchbach

Dieser Blogbeitrag erscheint ebenso im Haufe Wirtschaftsrechtsnewsletter.

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

München, 16. Juni 2023 - Das neue Ranking der besten Jurist:innen für Deutschland hat der US-Fachverlag Best Lawyers in Zusammenarbeit mit dem „Handelsblatt“ veröffentlicht. Die Ergebnisse für „The Best Laywers in Germany (2024 Edition)“ beruhen auf Empfehlungen von Wettbewerbern und untermauern damit die hohe Reputation der gelisteten Expert:innen.

Basis der Recherche ist immer eine intensive Peer-to-Peer-Umfrage. Ausschließlich Anwält:innen werden nach der Reputation ihrer Wettbewerber befragt. Im Fokus steht dabei, Kolleg:innen außerhalb der eigenen Kanzlei zu empfehlen: Der Befragte soll für den hypothetischen Fall, selbst ein Mandat - aus Zeitgründen oder wegen einer Interessenkollision - nicht übernehmen zu können, Empfehlungen von Kolleg:innen aussprechen. Die Best Lawyers-Aufstellung ist eine umfassende Übersicht der angesehensten Jurist:innen, die die Auszeichnung aufgrund ihres herausragenden Renommees im Markt erhalten.

Von ADVANT Beiten werden 71 Juristinnen und Juristen in mindestens einem Rechtsgebiet empfohlen, dabei sind alle sechs deutschen Standorte der Kanzlei vertreten.

Zwei Berufsträger erhalten den „Lawyer of the year Award“: Dr. Gerrit Ponath für den Bereich Trust and Succession Planning und Stephan Rechten für den Bereich Public Private Partnerschip. Beide haben das jeweils beste Feedback für ihr jeweiliges Fachgebiet für den deutschen Markt erhalten. Jedes Jahr wird lediglich ein Anwalt/eine Anwältin als "Lawyer of the Year" pro Rechtsgebiet und Region ausgezeichnet.

Alexander Braun, Dr. Moritz Jenne und Markus Schönherr werden als „Ones to Watch“ gelistet. Hierbei werden herausragende juristische Talente für ein bestimmtes Rechtsgebiet ausgezeichnet.

Die vollständige Liste aller empfohlenen ADVANT Beiten-Anwältinnen und Anwälte, einschließlich der für Belgien empfohlenen Juristen, können Sie hier einsehen.

Den Beschluss können Sie im Downloadbereich einsehen.

Lighthouse gehört ab sofort als 100-prozentiges Tochterunternehmen zum Portfolio des Schwäbischen Verlags. Der in Hamburg ansässige Vermarkter wird als eigenständige Tochtergesellschaft operieren und sein Managementteam behalten.

Zum Schwäbischen Verlag gehören die Medienhäuser Schwäbisch Media, Nordkurier Mediengruppe sowie der Zollern-Alb-Kurier. Schwäbisch Media ist eines der führenden Medienhäuser in Baden-Württemberg, Kernprodukt ist die Schwäbische Zeitung - die größte regionale Abonnementzeitung Baden-Württembergs. Zum Medienmix gehören zudem u.a. die Tageszeitung Zollern-Alb-Kurier, das Tageszeitungs-Portal Schwäbische.de und Deutschlands größte regionale Privatsendergruppe Regio TV. Die Nordkurier Mediengruppe GmbH & Co. KG ist das führende Medienhaus im Nordosten Deutschlands für die Bundesländer Mecklenburg-Vorpommern und Brandenburg. Neben den klassischen Medien gehören zum Angebot auch Logistiklösungen sowie Dienstleistungen im Bereich Vermarktung, E-Commerce und weiteren Kreativdienstleistungen. Mit der Akquisition von Lighthouse stärkt der Schwäbische Verlag seine Position als modernes Medienunternehmen.

Lighthouse hat in den vergangenen Jahren die Transformation von einem Distributor von DVD und Blu-ray Discs für den stationären Handel zu einem Digitalunternehmen durchlaufen. Derzeit werden mehr als die Hälfte der Umsätze über den Digitalvertrieb erzielt. Durch die Integration beim Schwäbischen Verlag können neue Vermarktungsstrategien entwickelt und u.a. den Tageszeitungsabonnenten vielfältige zusätzliche Angebote zur Verfügung gestellt werden.

ADVANT Beiten berät und vertritt den Schwäbischen Verlag regelmäßig bei Transaktionen, zuletzt bei der Übernahme des Druck- und Verlagshauses Hermann Daniel.

Berater Schwäbischer Verlag GmbH & Co. KG Drexler, Gessler:
ADVANT Beiten: Dr. Barbara Mayer (Freiburg) und Christian Burmeister (Freiburg/Berlin, beide Federführung, Corporate/M&A), Daniel Rombach, Simon Schuler (beide Freiburg, Commercial), Dr. Holger Weimann, Dr. David Moll (beide München, IP), Dr. Dietmar Müller-Boruttau (Berlin, Arbeitsrecht).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Barbara Mayer
Rechtsanwältin
ADVANT Beiten
+49 (761) 15 09 84 - 14
Barbara.Mayer@advant-beiten.com

Der Hintergrund des Falles

Hintergrund des Falles war der Rechtsstreit eines Betroffenen in Österreich gegen die Österreichische Post AG („Österreichische Post“). Diese hatte seit 2017 mit Hilfe eines Algorithmus Informationen über die Affinitäten bzw. Neigungen der österreichischen Bevölkerung zu bestimmten politischen Parteien gesammelt. Durch die Berücksichtigung verschiedener sozialer und demografischer Merkmale wurden so „Zielgruppenadressen“ definiert. Diese Daten hatte die Österreichische Post wiederum zum Zweck des zielgerichteten Versands von Werbung an verschiedene Organisationen verkauft.

Dem Betroffenen und späteren Kläger des Ausgangsverfahrens war im Rahmen dieses automatisierten Verfahrens eine besondere Nähe zu der rechtspopulistischen FPÖ zugeschrieben worden. Obwohl die Daten des Klägers im konkreten Fall nicht an Dritte übermittelt worden waren, fühlte sich der Kläger, der einer Verarbeitung seiner personenbezogenen Daten nicht zugestimmt hatte, durch diese Einstufung beleidigt. Der Kläger behauptete, die Speicherung seiner Daten zu einer mutmaßlichen politischen Meinung habe bei ihm großen Ärger, einen Vertrauensverlust und ein Gefühl der Bloßstellung verursacht. Er erhob daher Klage gegen die Österreichische Post und verlangte Unterlassung der Verarbeitung seiner Daten sowie Zahlung von Schadensersatz in Höhe von EUR 1.000 wegen eines angeblich erlittenen immateriellen Schadens.

Land- und Oberlandesgericht bejahten den Unterlassungsanspruch, lehnten den begehrten Schadensersatz jedoch ab. Beide Gerichte sahen zwar die Möglichkeit eines Datenschutzverstoßes, verlangten aber für das Vorliegen eines Schadens die Überschreitung einer Erheblichkeitsschwelle. Der bloße Ärger des Klägers über eine unrechtmäßige Verarbeitung läge unterhalb dieser Schwelle, insbesondere da die Daten des Klägers nicht an Dritte weitergegeben worden waren.

Der mit der Revision befasste Oberste Gerichtshof in Österreich (OGH) legte die Sache daher dem EuGH mit sinngemäß folgenden Fragen zur Entscheidung vor:

1. Reicht bereits die Verletzung der DSGVO, um Schadensersatz zu begründen, oder braucht es einen tatsächlichen Schaden?
2. Muss für die Zuerkennung von Schadensersatz ein Schaden vorliegen, der einen bestimmten Grad an Erheblichkeit erreicht?
3. Macht das Unionsrecht weitere Vorgaben für den Schadensersatzanspruch?

Bloßer Verstoß gegen die DSGVO nicht ausreichend

In Bezug auf die erste Vorlagefrage hat der EuGH unmissverständlich klargestellt, dass allein der Verstoß gegen Bestimmungen der DSGVO nicht ausreicht, um einen immateriellen Schadenersatzanspruch zu begründen. Dies leitet der EuGH insbesondere aus dem Wortlaut des Art. 82 Abs. 1 DSGVO ab:

„Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.“

Die Erwähnung eines „Schadens“ und eines „Verstoßes“ in der Norm wäre überflüssig, wenn schon der bloße Verstoß gegen Bestimmungen der DSGVO für sich allein den Schadensersatzanspruch begründen könnte. Zudem würde die Vorschrift ansonsten ihren Ausgleichscharakter verlieren und zu einer reinen Sanktionsvorschrift werden.

Damit vertritt der EuGH eine andere Auffassung als insbesondere die deutschen Arbeitsgerichte. So ist das Bundesarbeitsgericht (BAG) bislang der Meinung gewesen, dass bereits ein Verstoß gegen die DSGVO zu einem immateriellen Schaden führe. Das BAG hat die Frage mit Beschluss vom 22. September 2022 (Az. 8 AZR 209/21) ebenfalls dem EuGH zur Entscheidung vorgelegt. Dieser Auffassung hat der EuGH bereits jetzt eine deutliche Absage erteilt und insoweit für Rechtsklarheit gesorgt.

Keine Erheblichkeitsschwelle für immateriellen Schaden

Hinsichtlich der zweiten Vorlagefrage hat der EuGH festgestellt, dass es für die Begründung eines immateriellen Schadens im Sinne von Art. 82 Abs. 1 DSGVO nicht auf das Erreichen einer bestimmten Erheblichkeit ankommt. Eine sogenannte Bagatellgrenze für den Schadensersatzanspruch gibt es damit nicht.

Insbesondere dieser Punkt wurde zuvor in der deutschen Rechtsprechung und Literatur sehr lebhaft diskutiert. Viele deutsche Gerichte urteilten dabei sehr zurückhaltend und setzten oftmals das Überschreiten einer Erheblichkeitsschwelle für die Begründung von immateriellem Schadensersatz voraus. Ein bloßes Ärgernis oder Unwohlsein des Betroffenen ließen sie daher nicht genügen. Auch der für das vorliegende EuGH-Verfahren zuständige Generalanwalt sprach sich in seinem Schlussantrag noch für das Erfordernis einer Erheblichkeitsschwelle aus.

Der EuGH legt den Begriff des Schadens jedoch unionsrechtlich aus und folgt einem sehr weiten Verständnis. Der Wortlaut der Vorschrift erwähne eine Erheblichkeitsschwelle an keiner Stelle. Es widerspreche auch dem vom Gesetzgeber gewollten weiten Verständnis des Schadensbegriffs, wenn man eine solche Schwelle voraussetzen würde. Zuletzt würde eine solche Begrenzung auch die einheitliche Rechtsanwendung in der Union gefährden, da eine Erheblichkeitsschwelle von den nationalen Gerichten in jedem Einzelfall unterschiedlich ausgelegt werden könne.

Der EuGH betont bei dieser Frage aber, dass der Betroffene dennoch den Nachweis eines durch den Rechtsverstoß kausal verursachten Schadens führen muss.

Keine Vorgaben zur Bemessung des Schadensersatzes

Zur dritten Vorlagefrage stellt der EuGH fest, dass die DSGVO hinsichtlich der Bemessung des konkreten Schadensersatzes keine Vorgaben macht. Damit überlässt der EuGH den nationalen Gerichten weiterhin die eigenständige Festsetzung der Höhe des Schadensersatzes. Die Gerichte in den Mitgliedstaaten müssen dabei aber die unionsrechtlichen Grundsätze der Äquivalenz und der Effektivität beachten. Art. 82 DSGVO verfolge eine Ausgleichsfunktion und eine finanzielle Entschädigung, um den erlittenen Schaden wirksam und vollständig auszugleichen.

Auswirkungen der Entscheidung

Die Entscheidung des EuGH wird voraussichtlich große Auswirkungen auf die deutsche Rechtsprechung haben. Die nationalen Gerichte sind an die Auslegung des EuGH gebunden und werden künftig Schadensersatzansprüche von potenziell geschädigten Personen nicht mehr unter Verweis auf eine Erheblichkeitsschwelle abweisen dürfen. Andererseits wird aber auch der sehr weitgehenden Auffassung vieler Arbeitsgerichte widersprochen, wonach bereits jeder Datenschutzverstoß einen immateriellen Schaden begründen soll. Insoweit bringt das Urteil des EuGH also einen wirklichen Mehrwert und mehr Rechtssicherheit.

Sicherlich könnte es Klägern damit leichter gemacht werden, einen immateriellen Schaden vor Gericht geltend zu machen. Ob es dadurch aber auch tatsächlich zu einer Häufung von Klageverfahren und stattgebenden Urteilen kommen wird, bleibt abzuwarten. Denn es ist weiter Aufgabe der Kläger, einen Verstoß gegen die DSGVO sowie einen dadurch erlittenen Schaden im Prozess nachzuweisen. Dabei werden Betroffene insbesondere zu dem erlittenen Schaden konkrete Ausführungen machen müssen, wobei floskelhafte Ausführungen nicht genügen dürften. Auch die Entscheidung über die Höhe eines Schadens liegt weiter allein bei den nationalen Gerichten, so dass weiterhin mit großen Unterschieden bei der Bemessung des Schadensersatzes zu rechnen ist.

Die Thematik bleibt auch über die aktuelle Entscheidung hinaus spannend, da dem EuGH eine Reihe von weiteren Vorabentscheidungsersuchen zu ähnlichen Fragen vorliegen. So möchte etwa das bulgarische Oberste Verwaltungsgericht vom EuGH wissen, ob bei einem Hackerangriff bereits Ängste und Sorgen wegen eines möglichen künftigen Missbrauchs von Daten einen immateriellen Schaden begründen (Az. C-340/21). Möglicherweise wird der EuGH hier in naher Zukunft weitere Klarheit in diese sehr praxisrelevanten Fragen bringen.

Jason Komninos

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Als einer der führenden deutschen Games-Publisher stärkt astragon Entertainment mit der Übernahme die Entwicklung der eigenen Simulationsmarken. astragon sieht in Independent Arts einen erfahrenen und zuverlässigen Partner, um die Entwicklung bestehender und neuer Working-Simulations-Titel weiter auszubauen sowie das Portfolio an Eigenproduktionen über verschiedene Plattformen hinweg zu diversifizieren.

Die in Hamm ansässige Independent Arts entwickelt seit 1990 kommerzielle Spielesoftware und gehört damit zu den ältesten und traditionsreichsten deutschen Entwicklerstudios. Das Studio mit 39 Mitarbeitenden verfügt über jahrzehntelange Erfahrung und Expertise durch eigene Entwicklungsprojekte und Portierungen, aber auch über eine starke kreative Eigenleistung sowie ein hervorragendes Management. Independent Arts begrüßt die weitere Vertiefung der Zusammenarbeit und die Möglichkeit, das Studio fortan als Teil von astragon personell und strukturell auszubauen, um zukünftig weitere Projekte umzusetzen und Geschäftsstrategien zu entwickeln.

Berater astragon:
ADVANT Beiten: Dr. Andreas Lober (IT/IP/Medien), Dr. Guido Ruegenberg (Corporate/M&A, beide Federführung), Lennart Kriebel (IT/IP/Medien), Dr. Gerald Müller-Machwirth (Arbeitsrecht, alle Frankfurt).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Guido Ruegenberg
Rechtsanwalt
ADVANT Beiten
Tel.: +49 69 756095-393
E-mail: guido.ruegenberg@advant-beiten.com

Dr. Andreas Lober
Rechtsanwalt
ADVANT Beiten
Tel.: +49 69 756095-582
E-mail: andreas.lober@advant-beiten.com

Die rasante technologische Entwicklung führt dazu, dass Unternehmen immer häufiger KI einsetzen. Dessen Potential wird aktuell kontrovers diskutiert, wie am Beispiel von ChatGPT deutlich wird. Das IDW definiert im PS 861 die Anforderungen an Prüfungen von KI-Systemen. Der Standard definiert erstmals ein Rahmenwerk und gibt Anwendern Kriterien und Maßnahmen zur Prüfung eines KI-Systems an die Hand.

Kriterien zur Prüfung von KI

Die konkrete Auswahl der Kriterien für die Ausgestaltung der Maßnahmen des KI-Systems liegen in der Verantwortung der gesetzlichen Vertreter des Unternehmens. Sie umfassen zumindest die folgenden Anforderungen:

1. Ethische und rechtliche Anforderungen für künstliche Intelligenz

Die Entwicklung, Einführung und Nutzung von KI soll mit den ethischen Werten des Unternehmens sowie mit gesetzlichen und regulatorischen Vorschriften im Einklang stehen. Diese umfassen zumindest menschliche Autonomie, Fairness und Nichtdiskriminierung.

2. Nachvollziehbarkeit

Das Unternehmen muss in der Lage sein, Entscheidungen des KI-Systems nachvollziehbar dazulegen. Die genutzten Daten müssen erklärbar und transparent sein. Transparenz bedeutet, dass die bereitgestellten Informationen, d.h. die Datensätze und Prozessschritte, die zu einer unternehmerischen Entscheidung geführt haben, nachvollziehbar dokumentiert sind. Erklärbarkeit bezieht sich auf die Möglichkeit, die Daten und die Modelle eines KI-Systems als auch die darauf basierenden Entscheidungen für den Anwender verständlich zu machen.

3. IT-Sicherheit

Zu den Anforderungen an die IT-Sicherheit gehören insbesondere: Vertraulichkeit, Integrität, Verfügbarkeit, Autorisierung, Authentizität, Verbindlichkeit.

4. Leistungsfähigkeit

Leistungsfähigkeit bezieht sich auf die Fähigkeit des KI-Systems, aufgrund interner Betriebspraktiken oder Technologien den vom Unternehmen definierten Anforderungen zu entsprechen.

Geeignete Maßnahmen bezogen auf die Elemente des KI-Systems

Folgende Maßnahmen erfüllen nach Maßgabe des IDW die vorgenannten Kriterien und sind bei einer Prüfung zugrunde zu legen:

1. KI-Governance/KI-Compliance/KI-Monitoring

KI-Governance betrifft die Grundeinstellung, das Problembewusstsein und das Verhalten in Bezug auf den Einsatz von KI.

KI-Compliance umfasst Maßnahmen, die der Einhaltung gesetzlicher sowie regulatorischer Vorgaben beim Einsatz von KI dienen.

KI-Monitoring meint die objektivierte Beurteilung der Angemessenheit und Wirksamkeit des KI-Systems durch das Unternehmen. Festgestellte Mängel im KI-System sind zu beseitigen und das KI-System soll so verbessert werden.

2. Daten

Das Unternehmen definiert Richtlinien und Anweisungen, die sicherstellen, dass Beschaffung und Nutzung der Daten im Einklang mit ethischen sowie rechtlichen Anforderungen stehen. Die Quelle der Daten wird identifiziert und dokumentiert. Die Sicherheit der Daten ist gewährleistet.

3. KI-Algorithmus/KI-Modell

Das eingerichtete Verfahren für die Entwicklung des KI-Algorithmus und KI-Modells ist für den Anwendungsfall geeignet und so ausgestaltet, dass die getroffenen Entscheidungen des KI-Algorithmus und KI-Modells nachvollziehbar sind und den Zielen und der definierten Leistungsfähigkeit im Zusammenhang mit dem Anwendungsfall entsprechen.

4. KI-Anwendung

Die Entwicklung bzw. Auswahl und Beschaffung von KI-Anwendungen entsprechen den unternehmensinternen Vorgaben.

Durch ein geeignetes Change-Management werden nur autorisierte und freigegebene Änderungen der KI-Anwendung produktiv genutzt.

Geschäftsprozesse werden durch den Einsatz von KI nicht ungewollt unterbrochen oder ungewollt verlangsamt.

5. IT-Infrastruktur

Es ist ein KI-Sicherheitskonzept vorhanden, welches in das IT-Sicherheitskonzept des Unternehmens eingebunden ist. Das KI-Sicherheitskonzept berücksichtigt die dynamische Weiterentwicklung des KI-Systems, ist dokumentiert, kommuniziert und beinhaltet insb. logische Zugriffskontrollen, Schutz vor Schadprogrammen, physische Sicherheitsmaßnahmen und Datensicherungsverfahren.

Die gesetzlichen Vertreter verantworten die Auswahl der Kriterien des KI-Systems. Darüber hinaus tragen sie die Verantwortung für Konzeption, Ausgestaltung, Implementierung, Angemessenheit und Wirksamkeit des KI-Systems.

Beschreibung des KI-Systems und dessen Prüfung

Ihre Dokumentationspflichten erfüllen die gesetzlichen Vertreter über die Erstellung einer detaillierten Beschreibung des KI-Systems, die frei von wesentlichen falschen Darstellungen aufgrund doloser Handlungen oder Irrtümern, sowie für die internen Kontrollen, die hierfür als notwendig erachtet werden.

Eine solche Beschreibung des KI-Systems einschließlich der darin enthaltenen Darstellungen der gesetzlichen Vertreter des Unternehmens zur Einhaltung der Kriterien definiert der IDW PS 861 als Gegenstand der Prüfung.

Die Mindestanforderung an die Beschreibung umfassen die folgenden Aspekte:

a. Darstellung der bei der Ausgestaltung des KI-Systems und bei der Erstellung der Beschreibung verwendeten Kriterien

b. Abgrenzung und Beschreibung der Elemente des KI-Systems

c. Klare, verständliche, vollständige und aktuelle Darstellung der Maßnahmen des KI-Systems zur Einhaltung der Kriterien

d. Aussage der gesetzlichen Vertreter des Unternehmens, dass die eingerichteten Maßnahmen zur Einhaltung der Kriterien angemessen und – im Fall einer Wirksamkeitsprüfung – im Berichtszeitraum wirksam gewesen sind

e. Veränderungen des zu prüfenden KI-Systems bezogen auf den Berichtszeitraum, sofern eine Wirksamkeitsprüfung erfolgt.

Die Prüfung der Beschreibung des KI-Systems ist entweder als Angemessenheitsprüfung oder als Wirksamkeitsprüfung durchzuführen.

Ausblick und Einordnung

Bereits im Februar 2022 hatte das IDW einen Entwurfsstandard EPS 861 veröffentlicht, der nunmehr in einen sofort gültigen, unmittelbar anwendbaren PS überführt wurde. Insofern ist der IDW PS 861 erstmals anzuwenden auf Prüfungen außerhalb der Abschlussprüfung, die nach dem 10. März 2023 beauftragt werden.

Aufgrund der Vielschichtigkeit und des hohen technischen Anspruchs der KI dürfte die Umsetzung des IDW PS 861 weiterhin eine Herausforderung darstellen. Insbesondere könnte die Anforderung der Nachvollziehbarkeit Anwendern Probleme bereiten.

Unternehmerische Entscheidung werden zwar immer häufiger unter Zuhilfenahme von KI getroffen. Letztlich fließen aber immer auch persönliche Erfahrungen und Eindrücke der handelnden Personen mit in die jeweilige Entscheidung ein. Diese sind selten objektiv und daher oftmals nicht eindeutig nachzuvollziehen. Ein KI-System dagegen handelt ausschließlich objektiv, indem es seine "Erfahrungswerte" ausschließlich datenbasiert trifft. Es bestehen für das KI-Systems regelmäßig keine Entscheidungsspielräume.

Im Ergebnis sind Schadensersatzansprüche, die einer Person aufgrund eines von einem KI-System hervorgebrachten Ereignisses entstehen, vor dem Hintergrund der aktuell herrschenden Rechtslage aufgrund der Besonderheiten des Systems oftmals sehr schwierig – im Einzelfall sogar unmöglich – durchzusetzen.

KI-Systeme sind oftmals sehr komplex und es dürfte daher häufig unmöglich sein, die haftenden Personen zu ermitteln oder der Beweispflicht hinsichtlich einer vorsätzlichen oder fahrlässigen Handlung nachzukommen.

Aus vorgenannten Gründen ist es daher für Entscheidungsträger ratsam, die bestehenden Risiken von KI – insbesondere im Bereich der (juristischen) Nachvollziehbarkeit – im Wege einer freiwilligen Prüfung nach IDW PS 861 zu minimieren.

Dennis Grimmer

Der Grundsatz scheint schon so alt wie Methusalem: Daten sind das Gold des 21. Jahrhunderts. Im Zeitalter einer datenagilen Wirtschaft ist es dementsprechend nicht verwunderlich, dass sich die EU-Kommission, allen voran die Kommissionspräsidentin Ursula von der Leyen, in ihrer Datenstrategie auf die Fahne geschrieben hat, die „Nutzung von Daten kanalisieren und gleichzeitig hohe ethische Datenschutz- und Sicherheitsstandards wahren“ zu wollen. Diesem Ziel nähert sich die EU nun durch den Entwurf des Data Act bzw. Datengesetz. Ein erster Entwurf des Data Act stammt bereits aus Februar 2022. Das Europäische Parlament hat mit großer Mehrheit nun seine Position zum Entwurf der EU-Kommission beschlossen. Damit nimmt dieses wichtige Gesetzgebungsvorhaben mit den folgenden Trilog Verhandlungen seinen weiteren Lauf und könnte bereits Ende 2023 abgeschlossen werden und in einem Gesetz münden.

Alle, die Produkte oder Dienste entwickeln, die Daten generieren, sollten nun hellhörig werden, denn das Gesetzesvorhaben bringt weitreichende Änderungen mit sich, die bereits in der Produktentwicklung Berücksichtigung finden müssen. Insofern ist Eile geboten, sind Entwicklungszyklen von neuen Produkten doch üblicherweise recht lang und mit einem Inkrafttreten des Data Act wäre bereits Ende 2024 zu rechnen. Dies gilt insbesondere vor dem Hintergrund, dass sich der Data Act – anders als die DSGVO – nicht auf personenbezogene Daten beschränkt. Er erfasst alle Arten von Daten - beispielsweise aus Fahrzeugen, Haushaltsgeräten und Konsumgütern, Gesundheits- und Lifestyleprodukten. Die im ursprünglichen Entwurf aus 2022 noch ausgenommenen Produkte wie Smartphones, Server oder Tablets fallen nach dem aktuellen Entwurf nun in den Anwendungsbereich. Damit sind diese Produkte nunmehr zum einen selbst, zum anderen aber auch die damit verbundenen digitalen Dienste, einschließlich essenzieller Software, vom Data Act umfasst.

Warum ist das Gesetz so einschneidend?

Ein primäres Ziel des neuen Gesetzes ist es, den Datenzugang und die Datennutzung für Verbraucher und Unternehmen zu erleichtern. Hierzu bestimmt der Entwurf des Data Act, dass Produkte so konzipiert und hergestellt werden müssen, dass die bei ihrer Nutzung erzeugten Daten standardmäßig für den Nutzer einfach, sicher und – soweit relevant und angemessen – direkt zugänglich sein müssen. Gleiches gilt für verbundene Dienste. Der aktuell im Entwurf verwendete Begriff der Daten reicht sehr weit und umfasst jede digitale Darstellung von Handlungen, Tatsachen oder Informationen auch in Form von Ton-, Bild- oder audiovisuellen Material. Verbundene Produkte im Sinne des Data Acts sind solche, die Daten über seine Nutzung erlangt, erzeugt oder sammelt und diese über einen elektronischen Kommunikationsdienst übermitteln kann (zumeist als Internet der Dinge bezeichnet). Derartige Produkte können beispielsweise Haushaltsgeräte und Konsumgüter sein, ebenso Medizin- und Gesundheitsprodukte oder industrielle Maschinen. Vom neuen Entwurf ebenfalls umfasst sind virtuelle Sprachassistenten und Chatbots.

Als Idealfall bestimmt der Entwurf des Data Act, dass der Nutzer direkt vom Produkt aus auf seine Daten zugreifen können soll. Andernfalls sollen nach dem geänderten Entwurf des Data Act Dateninhaber verpflichtet werden, die entsprechend generierten Daten dem Nutzer zur Verfügung zu stellen. Dies soll unverzüglich, kostenlos und gegebenenfalls kontinuierlich und in Echtzeit geschehen. Nutzer im Sinne dieser Vorschrift können dabei sowohl natürliche Personen als auch Unternehmen sein. Für Nutzer hätte dies den Vorteil, dass sie beispielsweise Wartungsdienste nicht beim Originalhersteller eines Produkts, sondern auch von einem anderen Unternehmen durchführen lassen könnten.

Damit nicht genug. Der Entwurf des Data Act erfordert ferner, dass der Hersteller bzw. der Verkäufer vor Abschluss von Verträgen über Produkte, seien es Kauf-, Miet- oder Leasingverträge, dem Nutzer klare und ausreichende Informationen bereitgestellt werden, wie auf die erzeugten Daten zugegriffen werden kann. Hierzu zählen beispielsweise Informationen über Art und Umfang der Daten, die voraussichtlich bei der Nutzung des Produkts erzeugt werden, und ferner darüber, ob die Daten voraussichtlich kontinuierlich und in Echtzeit erzeugt werden. Darüber hinaus verlangt der Data Act, dass Hersteller bzw. Verkäufer dem Nutzer vor Vertragsschluss mitteilen, ob sie beabsichtigen, die Daten selbst zu nutzen oder Dritten die Nutzung der Daten zu gestatten und falls ja, für welche Zwecke. Ferner muss der Hersteller konkrete Angaben zur Identität des Dateninhabers machen, sofern er dies nicht selbst ist. Ähnliche Regelungen enthält der Entwurf für die Anbieter von verbundenen Diensten.

Schließlich bürdet der Entwurf des Data Act den Unternehmen auf, dass sie den Nutzer vor Vertragsabschluss darüber informieren, wie er auf diese Daten zugreifen kann und wie er veranlassen kann, dass die Daten an einen Dritten weitergegeben werden können. Diese Pflichten sollen für Transparenz sorgen und werden es sicherlich auch. Es bedeutet aber gleichzeitig, dass diese weitreichende Datenbereitstellungspflicht, die nach dem Willen des Gesetzgebers unverzüglich, kostenlos und gegebenenfalls kontinuierlich und in Echtzeit zu erfolgen hat, von Unternehmen frühzeitig bei der technischen Umsetzung berücksichtigt werden sollte. Die Anpassung der entsprechenden Verträge wird dabei das geringste Übel sein.

Sofern ein Dateninhaber nach den Bestimmungen zur Bereitstellung von Daten verpflichtet ist, so hat dies zu fairen, angemessenen und nichtdiskriminierenden Bedingungen und in transparenter Weise zu erfolgen. Hier werden sich möglicherweise ähnliche Diskussionen entfachen wir im Rahmen der Lizenzvergabe von Patenten zu FRAND Bedingungen.

Zu begrüßen ist, dass der Data Act auch die Interessen des Dateninhabers im Blick hat und Geschäftsgeheimnisse nur dann offengelegt werden müssen, wenn alle erforderlichen Maßnahmen getroffen wurden, um eine Vertraulichkeit von Geschäftsgeheimnissen, insbesondere gegenüber Dritten, zu wahren. Ferner wird explizit bestimmt, dass der Nutzer die herausverlangten Daten nicht zur Entwicklung eines konkurrierenden Produktes nutzen darf. Da der Industrie diese Regelungen noch nicht weitreichend genug sind und sie deshalb Auswirkungen auf die Innovationsbereitschaft befürchtet, dürfte dieser im Ansatz richtige Interessensausgleich noch weitere Anpassungen und Verästelungen erfahren.

Auch mit dem Data Act gelangt wieder das Marktortprinzip zur Anwendung. Dieses bereits aus der DSGVO und aus dem Digital Service Act bekannte Prinzip besagt, dass alle Anbieter dieser Verordnung unterfallen, die ihre Produkte in der Europäischen Union in den Verkehr bringen.

Was wird noch geregelt?

Ein weiteres Ziel ist eine bessere Datenübertragbarkeit durch eine Erleichterung des Wechsels zwischen Datenverarbeitungsdiensten wie Cloud- und Edge-Diensten. Ein solcher wird als eine wesentliche Voraussetzung für eine florierende Datenwirtschaft angesehen. Dies leuchtet ein, vermeidet dies doch „Lock-in“-Effekte und fördert damit den Wettbewerb zwischen den Anbietern. Hierfür sieht der Entwurf des Data Act vor, dass ein Kunde in der Lage sein muss, den Vertrag mit einem Datenverarbeitungsdienst zu kündigen und einen neuen Vertrag mit einem neuen Datenverarbeitungsdienst zu schließen und dabei alle seine digitalen Vermögenswerte, einschließlich Daten, zu den betreffenden anderen Anbieter zu übertragen. Hierfür soll der Anbieter verpflichtet sein, die erforderliche Unterstützung zu leisten, um den Wechselvorgang erfolgreich und wirksam zu gestalten. Aktuell sind im ursprünglichen Kommissionsentwurf sehr kurze Kündigungsfristen von höchstens 30 Kalendertagen vorgesehen, sofern vertraglich nichts anderes vereinbart. Der vorgesehene Übergangszeitraum von Daten in der Hand eines Datenverarbeitungsdienstleisters auf den Kunden soll ebenfalls höchstens 30 Kalendertage betragen und darf in Ausnahmefällen – sofern technisch schwierig und nur mit entsprechender schriftlicher Begründung– ausgedehnt werden auf maximal sechs Monate. Allerdings zeichnet sich bereits jetzt ein Sturm der Entrüstung seitens der Industrie ab – zu Recht, müssen doch Investitionen berücksichtigt werden. Auch mag eine Demigration von Daten bei Verbrauchern zwar möglicherweise innerhalb kurzer Zeit möglich sein, bei einer langjährigen komplexen Geschäftsbeziehung – man denke beispielsweise nur an Banken und deren IT-Dienstleistungen- dürfte eine solche eher Jahre in Anspruch nehmen. Hier dürfte es im Rahmen des Trilogs aller Voraussicht nach noch zu Nachbesserungen kommen. Zu begrüßen ist es daher, dass bereits die jetzige Position des EU-Parlaments schon längere Fristen vorsieht.

Der Entwurf des Data Act statuiert ferner einen gesetzliche Datenbereitstellungspflicht: In Fällen außergewöhnlicher Situationen soll es zur Wahrung von Aufgaben im öffentlichen Interesse möglich sein, dass öffentliche Stellen auf Daten, die sich im Besitz von Unternehmen befinden, zurückgreifen. Hierfür sieht der Entwurf des Data Act detaillierte Regelungen vor. Als Beispiele solcher außergewöhnlichen Situationen werden Notlagen im Bereich der öffentlichen Gesundheit, aufgrund von Umweltschäden und großen Naturkatastrophen angeführt. In derartigen Fällen sollen Dateninhaber verpflichtet werden, die Daten den öffentlichen Stellen auf deren Verlangen bereitzustellen.

Vorgesehen sind ferner Regelungen zur Interoperabilität, zu missbräuchlichen Vertragsklauseln im Sinne Allgemeiner Geschäftsbedingungen sowie zu Smart Contracts, gegen deren Regulierung sich die Bundesregierung explizit ausgesprochen hatte, um Innovationen im Bereich Kryptowährungen zu gewährleisten. Schließlich ist im Entwurf ein ausführlicher Mechanismus zur Streitbeilegung enthalten. Im Rahmen der vorgesehenen Sanktionen greift der Entwurf des Data Act auf das inzwischen bewährte Regime der DSGVO zurück, wonach Bußgelder bis zur Höhe von 4 % des gesamten weltweit erzielten Jahresumsatzes verhängt werden können.

Wer ist nicht betroffen?

Kleinere und mittlere Unternehmen können aufatmen: Sie sind von den Regelungen des Data Act ausgenommen. Dies gilt allerdings dann nicht, wenn sie als Partnerunternehmen oder verbundene Unternehmen einzuordnen sind.

Ausblick

Der Data Act bringt die EU ihren Zielen, einen Binnenmarkt für Daten zu verwirklichen und Innovationen durch die verstärkte Nutzung von Daten zu ermöglichen, ein Stück näher. Der Data Act befindet sich zwar noch im Stadium des Gesetzesentwurfs. Mit dem Eintritt in den Trilog kann daraus aber schnell ein Gesetz werden. Der Data Act ist als unmittelbar in der EU geltende Verordnung ausgestaltet, so dass sich Unternehmen auch nicht zunächst noch bequem zurücklehnen können, wie es zumeist bei Richtlinien der Fall ist, für deren Umsetzung den Mitgliedsstaaten meist zwei Jahre Zeit gewährt wird und die - wie beispielsweise im Fall der EU Whistleblowing Richtlinie - auch dann manchmal erst verspätet umgesetzt werden und in Kraft treten.

Der Data Act wird tiefgreifende Auswirkungen für eine Vielzahl von Unternehmen mit sich bringen. Daher besteht dringender Handlungsbedarf bei allen, deren Produkte oder Dienste in irgendeiner Form mit Daten agieren – getreu dem Grundsatz „Better safe than sorry" sollten frühzeitig Abstimmungen mit der Produktentwicklung erfolgen, damit die entsprechenden Vorgaben des Data Act rechtzeitig implementiert werden können, betrifft der Data Act doch sämtliche Industriesektoren.

Dr. Peggy Müller

Zur besseren Lesbarkeit wird in dem vorliegenden Dokument auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Die Welt ist aus den Fugen, seit der breiten Öffentlichkeit Ende November 2022 ChatGPT, der Textgenerator des Unternehmens OpenAI, vorgestellt wurde. Nicht nur Schüler und Studenten erfreuen sich einer vereinfachten Bearbeitung ihrer Hausaufgaben, auch im geschäftlichen Umfeld wird diese künstliche Intelligenz (KI) zunehmend eingesetzt, erleichtert sie doch die eigene Denkleistung ungemein. Gleichzeitig werden die Gefahren derartiger Tools heraufbeschworen, von einem „Tsunami des Cheatens“ ist im Magazin Gizmodo die Rede. Erste französische Elite-Universitäten untersagen bereits die Nutzung und New Yorker Schulen verbannen KIs wie ChatGPT von öffentlichen Schulen.

Fragt man ChatGPT, so wird man belehrt, dass ChatGPT auf einem tiefen neuronalen Netzwerk basiere, das auf großen Mengen von Texten trainiert wurde und während des Trainings gelernt habe, Sprachmuster und Zusammenhänge zu erkennen, um menschenähnliche Antworten auf Fragen zu geben. ChatGPT verwende dabei Techniken wie maschinelles Lernen, Sprachmodellierung und künstliche Intelligenz. Um eine Antwort zu generieren, werde eine Methode namens "Generative Pre-trained Transformer" (GPT) verwendet, die auf einer Architektur namens „Transformers“ basiert. Diese Architektur wurde speziell für Sprachverarbeitungsaufgaben entwickelt und ermögliche es, eine große Bandbreite an Sprachmustern zu verstehen und zu generieren.

Neben dem Textgenerator ChatGPT, der aktuell in aller Munde ist, existieren auch zahlreiche Bildgeneratoren wie beispielsweise DallE2, Jasper Art oder Runway. Sie alle basieren auf KI. Mithilfe kurzer Textbefehle, sogenannter prompts, können neue Texte oder Bilder erschaffen werden. Auf einem Modell des Deep Learning beruhend, werden sie mit großen Datenmengen aus dem Internet und sodann mit Algorithmen trainiert, so dass KIs in der Lage sind, eigene, neue Inhalte auszugeben. Anschaulich wurde das Training beispielsweise an Projekten wie Next Rembrandt und auch im Rahmen der Vervollständigung von Beethovens 10. Symphonie. Dabei wurden von der KI wiederkehrende Stilelemente des jeweiligen Künstlers analysiert und extrahiert, um auf dieser Basis neue Werke zu schaffen. Berühmt wurde das Porträt eines gewissen fiktiven Edmond de Belamy, welches aus einem Datenset von 15.000 Porträts beruht und als eines der ersten seiner Gattung bereits 2018 bei Christie’s versteigert wurde.

Inzwischen sind erste Gerichtsverfahren anhängig und nicht nur Getty Images wehrt sich gegen das sogenannte Scraping seines Bildmaterials, das sich auf ein vermeintlich verletztes Repertoire von sage und schreibe 12 Millionen Photographien beläuft. Dies gibt Anlass, sich vertieft mit den rechtlichen Problemen von KI auseinanderzusetzen, allen voran mit dem deutschen Urheberrecht.

KI und das Urheberrecht

Drei urheberrechtliche Themenkomplexe sind zu unterscheiden: erstens die Frage nach der urheberrechtlichen Bewertung im Hinblick auf die in die KI eingespeisten Daten, der sogenannte Input. Zweitens die Frage, wer Urheber der mittels KI generierten Ergebnisse ist oder anders gefragt ob und unter welchem Voraussetzungen Bilder und Texte trotz des Einsatzes von KI eine kreative Leistung desjenigen sein können, der die KI einsetzt. Drittens ist schließlich zu untersuchen, ob durch KI generierte Werke eventuell in bestehende Urheberrechte eingegriffen wird.

Rechtsverletzung bereits beim Input?

Zwangsläufig stellt man sich zuerst die Frage, ob die Verwendung von Datensätzen zum Training von KI-Anwendungen rechtlich überhaupt zulässig ist. So wehrt sich nicht nur Getty Images hiergegen, auch die Künstlerinnen Sarah Andersen, Kelly McKernan und Karla Ortiz klagen vor US-amerikanischen Gerichten gegen die Nutzung ihrer Bilder zu Trainingszwecken mit dem Vorwurf, die Werke seien ohne entsprechende Einwilligung in die Datenbanken der KI-generierte Systeme eingespeist worden.

Nach Angaben von OpenAI stammen die ursprünglichen Datenmengen mit Stand 2020 aus dem Internet, beispielsweise aus Büchern, Wikipedia und anderen frei zugänglichen Textquellen.

Grundsätzlich bedarf es zur Verwendung urheberrechtlich geschützter Texte oder Bilder einer Erlaubnis des Urhebers oder einer gesetzlichen Erlaubnis, dem Grunde nach also auch für die Verwendung von Werken zu Trainingszwecken für eine KI. Nach deutschem Recht greift hier die Schranke des sog. Data Mining ein. Unter Data Mining wird dabei die automatisierte Analyse von einzelnen oder mehreren digitalen oder digitalisierten Werken zur Gewinnung von Informationen, insbesondere über Muster, Trends und Korrelationen, verstanden. Nach der auf einer europäischen Richtlinie aus dem Jahr 2019 beruhenden Vorschrift des § 44 b) UrhG sind Vervielfältigungen von rechtmäßig zugänglichen Werken für das Text und Data Mining auch ohne Einwilligung des jeweiligen Urhebers zulässig.

Das Training einer KI-Anwendungen unter Verwendung von urheberrechtlich geschützten Werken ist dementsprechend grundsätzlich lizenzfrei zulässig. Nach Abschluss des Trainings sind die Daten allerdings zu löschen.

Rechteinhaber haben jedoch die Möglichkeit zum Opt-Out: Sie können einen Vorbehalt gegen ein solches Data Mining erklären, der allerdings zwingend in maschinenlesbarer Form erfolgen muss. Hier herrscht noch weitestgehend Unklarheit, wie dieser Vorbehalt im Einzelnen ausgestaltet sein muss.

Den drei Künstlerinnen wäre daher in Deutschland mit ihrer Klage vermutlich nur wenig Erfolg beschieden, es sei denn, sie hätten vom Opt-Out Gebrauch gemacht. Auch die von ihnen geforderte Vergütung käme vor deutschen Gerichten zu keinem guten Ausgang, da der europäische Gesetzgeber auf eine Vergütungspflicht bewusst verzichtet hat.

Wer ist Urheber des Outputs?

Ausgangspunkt der Frage, wer als Urheber des mittels KI kreierten Werkes ist, ist § 2 Abs. 2 UrhG. Urheberrechtlich schutzfähig ist ein Werk jeglicher Art nur dann, wenn es eine persönliche geistige Schöpfung des Urhebers ist. Dabei ist persönlich nur dasjenige, was auf menschliches Schaffen zurückgeht. Daher konnte das berühmte Selfie des Affen Naruto keinen Schutz genießen.

Computerprogramme wie ChatGPT selbst können demgegenüber nach deutschem Urheberrecht grundsätzlich keine persönliche Schöpfung erbringen. OpenAI als das Unternehmen hinter der KI ChatGPT ist mithin nicht Urheber des erzeugten Outputs und die von ChatGPT erzeugten Ergebnisse sind nicht urheberrechtlich geschützt. Daher kann OpenAI an den mittel ChatGPT generierten Inhalten eigentlich auch keine Nutzungs- und Verwertungsrechte einräumen. Interessanterweise hält dies OpenAI nicht davon ab, in seinen Terms und Conditions dem Nutzer sämtliche Rechte einzuräumen: „Open AI assigns you all its right, title and interest in and to Output”.

Naturgemäß kann sich ein Urheber technischer Hilfsmittel bedienen und die hierdurch erschaffenen Werke können schutzfähig sein. Man denke nur an den Einsatz eines Computers oder einer Kamera. Für sämtliche Werke gilt, dass sie ein gewisses Mindestmaß an Schöpfungshöhe erreichen und sich vom Handwerklichen oder Alltäglichen abheben müssen, um in den Genuss des urheberrechtlichen Schutzes - mit einer Dauer von 70 Jahren nach dem Tod des Urhebers - zu kommen.

Als Urheber in Betracht käme derjenige Nutzer, der die Anfrage bei der KI wie ChatGPT stellt, da er die Computersoftware lediglich als Werkzeug/Hilfsmittel nutzt. Man denke nur an die Arbeit des OpenAI Mitarbeiters, der Vermeers berühmtes gemeinfreies Gemälde „Das Mädchen mit dem Perlenohrring“ mittels KI über den Rand hinaus fortsetzen ließ. Um den Schutzanforderungen zu genügen, müsste aber der menschliche Anteil am Output der KI so hoch sein, dass dem Einsatz der KI eine lediglich untergeordnete Bedeutung zukommt. Der Output lässt sich allerdings vom Nutzer im Regelfall nur wenig steuern, so dass kaum davon ausgegangen werden dürfte, dass das Ergebnis dasjenige einer künstlerischen Leitung und eines gestalterischen Prozesses des Eingebenden ist.

Rechtsverletzungen durch die neu von einer KI erstellten Werke?

Ein Nutzer von Texten und Bildern, die mithilfe von KI generiert wurden, wird sich die Frage stellen, ob er hierdurch ggf. eine Urheberrechtsverletzung begehen könnte. Praktisch relevant ist dies beispielsweise dann, wenn ChatGPT einem urheberrechtlich geschützten Liedtext sehr stark ähnelt oder ein Gedicht nahezu identisch zum Original „ausgespuckt“ wird. Der EuGH hat in der Vergangenheit bereits entschieden, dass ein aus elf Wörtern bestehender Auszug eines geschützten Werkes urheberrechtlich geschützt sein kann. Noch plastischer wird es, wenn man sich vorstellt, dass eine bildgenerierende KI ein neues Bild auswirft, das beispielsweise auf der Grundlage eines berühmten Gemäldes eines noch lebenden Künstlers erschaffen wurde oder diesem stark angelehnt ist.

Aber auch Urheber erfinden seit jeher das Rad nicht neu, sondern knüpfen oft an bereits bestehende schutzfähige Werke an. Dementsprechend regelt § 23 UrhG, dass Bearbeitungen eines Werkes nur mit Zustimmung des Urhebers veröffentlicht und verwertet werden dürfen. Wahrt das neu geschaffene Werk demgegenüber einen hinreichenden Abstand zum benutzten Werk, so liegt keine Bearbeitung, sondern eine freie Benutzung vor.

Die Frage der Abgrenzung zwischen (zulässiger) freier Benutzung und (zustimmungsbedürftiger) Bearbeitung stellte sich auch in der Vergangenheit in der analogen Welt vielfach. Es kommt entscheidend auf den Abstand an, den das neue Werk zum ursprünglichen einhält. Für eine zulässige freie Benutzung müssen angesichts der Eigenart des neu geschaffenen Werks die entlehnten eigenpersönlichen Züge des geschützten älteren Werks verblassen.

Diesen Maßstab wird man auch bei durch KI generierten neuen Werken anwenden. Dabei wird es im Einzelfall darauf ankommen, ob ein mittels KI-generiertes Werk (Text, Bild oder Graphik) einen hinreichenden Abstand zum ursprünglichen Werk aufweist und damit ohne Zustimmung des Urhebers des ursprünglichen Werkes zulässig ist. Das ist stes eine Frage des Einzelfalls.

Sofern eine Rechtsverletzung zu bejahen wäre, gilt im Verhältnis zwischen dem Nutzer und dem verletzten Urheber folgendes: Der Unterlassungsanspruch ist verschuldensunabhängig und der Nutzer wäre Täter der Urheberrechtsverletzung, wenn er selbst die KI generierten Inhalte öffentlich zugänglich macht, beispielsweise durch Verwendung auf seiner Webseite.

Für einen Schadensersatzanspruch wäre darüber hinaus ein vorsätzliches oder fahrlässiges Handeln erforderlich. Dem Nutzer einer KI sind Fehler nicht zuzurechnen, die für ihn – aufgrund seiner Stellung als Nutzer und nicht als Entwickler der KI – nicht erkennbar waren. Allerdings können Nutzer von KI sich wohl in der Regel nicht darauf berufen, dass sie Funktionen der KI nicht kannten bzw. abschätzen konnten und sie dennoch eingesetzt haben. Viele Fragen des Haftungsregimes sind aktuell umstritten. Es ist daher nicht ausgeschlossen, dass insbesondere ein ungeprüftes Übernehmen von durch ChatGPT generierten Inhalten eine eigene Sorgfaltspflichtverletzung seitens des Nutzers darstellt und dass ein Urheber den Nutzer für Rechtsverletzungen durch den Einsatz einer KI verantwortlich macht.

Im Falle von ChatGPT und Dall E wäre auch ein Rückgriff auf OpenAI schwierig. Nach den Nutzungsbedingungen haftet das Unternehmen OpenAI nicht für etwaige Urheberechtsverletzungen, die aus einer Verwendung des ChatGPT resultieren. Vielmehr verweist OpenAI den Nutzer auf seine eigene Verantwortung sicherzustellen, dass die Inhalte, die ChatGPT liefert, angemessen genutzt werden und dass der Nutzer ggf. die erforderlichen Rechte und Genehmigungen besitzt. Auch eine deliktische Haftung von OpenAI wird in den Nutzungsbedingungen ausgeschlossen. Darüber hinaus können ChatGPT und Dall E als KIs auch nicht schuldhaft handeln. Das Unternehmen OpenAI möglicherweise schon.

Praxistipp

Die kommerzielle Nutzung von Text- und Bildgeneratoren ist ein Meilenstein. Die Entwicklungen im Bereich der KI und die rechtlichen Antworten hierauf bleiben ein spannendes Feld. Sie wird die Jurisprudenz sicherlich in den nächsten Jahren beschäftigen.

Da für den Nutzer einer KI nicht ersichtlich ist, mit welchen Inhalten eine KI trainiert wurde und dementsprechend unklar ist, ob eventuell Urheberrechte an den verwendeten Inhalten verletzt werden, ist große Sorgfalt geboten. Wenn Output ohne manuelle Prüfung übernommen wird, besteht die Gefahr, dass die Übernahme solcher Inhalte als fahrlässiges, wenn nicht sogar als grob fahrlässiges Verhalten gewertet werden wird. Dafür hätte der Nutzer als Täter der Urheberrechtsverletzung einzustehen. Die Folgen einer Urheberrechtsverletzung sind weitreichend: so bestehen nicht nur – verschuldensunabhängige – Unterlassungsansprüche des Urhebers, sondern darüber hinaus auch noch Schadensersatzansprüche und ggf. auch Rückrufansprüche. Zu denken wäre beispielsweise an die Konstellation, dass von durch KI generierte Marken oder Texte auf Produktverpackungen verwendet werden, was schnell zu beträchtlichen Kosten auf Seiten des Verletzers führen kann. Hier sollte das individuelle Risikoprofil geklärt werden.

Diejenigen, die eine Verwendung ihrer Daten durch KI zu Trainingszwecken verhindern wollen, müssen aktiv werden und das Data und Text Mining untersagen. Hierzu dürfte es nicht ausreichen, in den Nutzungsbedingungen eine Verwendung von Data Mining, Robotern oder ähnlichen Methoden zur Datensammlung oder -extraktion zu verbieten. Erforderlich ist die Implementierung eines maschinenlesbaren Hinweises. Da diese Erklärung aber nicht nachträglich erfolgen kann, sollten Rechteinhaber möglichst schnell aktiv werden.

Alle, die sich vertiefter mit der spannenden Problematik KI auseinandersetzen und sich auch die anderen rechtlichen Minenfelder zu Gemüte führen wollen, empfehlen wir die ADVANT Beiten Broschüre zu diesem Thema, die hier abrufbar ist.

Dr. Peggy Müller

Ein herzlicher Dank gilt Frau Prof. Yvonne Hofstetter, Repräsentantin im Auftrag des Auswärtigen Amtes im NATO Data and Artificial Intelligence Review Board (DARB), die mir und meinen Teamkollegen die technischen Grundlagen von KIs erläutert hat.

Dieser Blogbeitrag erscheint ebenso im Haufe Wirtschaftsrechtsnewsletter.

Zur besseren Lesbarkeit wird in dem vorliegenden Dokument auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Erfahren Sie mehr in diesem GamesWirtschaft Artikel vom 21. Februar 2023: Link.

Wir freuen uns, im Bereich Medien (Gaming) als TOP TIER-Kanzlei genannt zu sein.

Diese 16 Rechtsgebiete/Praxisbereiche sind 2023 im Ranking:

• Arbeitsrecht
• Branchenfokus Energie
• Corporate/M&A (mittelgroße Deals)
• Gewerblicher Rechtsschutz (Markenrecht und Wettbewerbsrecht)
• Immobilien- und Baurecht (Immobilienrecht und Projektentwicklung)
• Informationstechnologie (Datenschutz und IT/Digitalisierung)
• Kartellrecht
• Medien (Gaming, Entertainment, Presse- und Verlagsrecht)
• Öffentliches Recht (Planungs- und Umweltrecht, Vergaberecht)
• Private Client
• Nonprofit-Sektor

Eine „Firm to watch“ sind wir in den Bereichen Außenwirtschaftsrecht und Steuerrecht.

Unseren Experten Dr. Andreas Lober (Medien/Entertainment), Dr. Wolfgang Lipinski (Arbeitsrecht), Dr. Gerrit Ponath (Private Clients und Nonprofit-Sektor) gratulieren wir zur Nennung als „Führende Anwälte“, sowie Wojtek Ropel (Medien/Entertainment) und Katharina Fink (Private Client und Nonprofit-Sektor) zur Nennung als Partner der nächsten Generation.

Empfohlene Anwälte/weitere Kernanwälte:

• Arbeitsrecht: Dr. Ariane Loof, Elisabeth Miesen, Dr. Gerald Müller-Machwirth, Markus Künzel, Dr. Michael Matthiessen, Dr. Olga Morasch, Dr. Sebastian Kroll, Sonja Müller, Dr. Stefan Lochner, Dr. Christopher Melms, Dr. Daniel Hund, Christian Freiherr von Buddenbrock, Dr. Thomas Barthel, Dr. Thomas Drosdeck
• Branchenfokus Energie: Dr. Christian Ulrich Wolf, Dr. Christof Aha, Stephan Rechten, Sebastian Berg, Dr. Ralf Hafner
• Corporate/M&A: Dr. Christian von Wistinghausen, Prof. Dr. Hans-Josef Vogel, Dr. Barbara Mayer, Gerhard Manz, Dr. Sebastian Weller
• Gewerblicher Rechtsschutz (Wettbewerbsrecht): Dr. Andreas Lober, Matthias W. Stecher; Dr. David Moll, Dr. Holger Weimann, Uwe Wellmann
• Gewerblicher Rechtsschutz (Markenrecht): Dr. Andreas Lober, Dr. Christina Hackbarth, Dr. David Moll, Tanja Hogh Holub, Dr. Holger Weimann, Uwe Wellmann, Matthias W. Stecher
• Informationstechnologie (Datenschutz): Dr. Andreas Lober, Matthias W. Stecher, Susanne Klein; Matthias Zimmer-Goertz
• Informationstechnologie (IT/Digitalisierung): Dr. Andreas Lober, Matthias W. Stecher, Wojtek Ropel; Dr. Holger Weimann
• Immobilienrecht: Florian Baumann, Klaus Beine
• Kartellrecht: Dr. Dietmar O. Reich, Uwe Wellmann
• Medien (Entertainment): Matthias W. Stecher, Dr. Peggy Müller, Dr. Holger Weimann, Katharina Mayerbacher
• Medien (Presse- und Verlagsrecht): Dr. Andreas Lober, Dr. Holger Weimann, Dr. Oliver Srocke, Matthias W. Stecher, Katharina Mayerbacher
• Öffentliches Recht (Umwelt- und Planungsrecht): Hans Georg Neumeier, Katrin Lüdtke, Stephan Rechten
• Öffentliches Recht (Vergaberecht): Hans Georg Neumeier, Max Stanko, Stephan Rechten, Michael Brückner, Katrin Lüdtke
• Private Clients und Nonprofit-Sektor: Dr. Lucas van Randenborgh, Dr. Guido Krüger, Dr. Klaus Zimmermann

Wir gratulieren den Praxis- und Branchengruppen sowie unseren empfohlenen Anwälten und Anwältinnen und bedanken uns bei unseren Mandanten für das anerkennende Feedback und Vertrauen.

Lesen Sie den vollständigen Artikel vom 11. Februar 2023 mit unserem Partner Dr. Marc-Oliver Srocke auf lto.de.

Mit der Aussage „Consumer authorities will finally get teeth to punish the cheaters“, kündigte die ehemalige Kommissarin für Justiz, Verbraucherschutz und Gleichstellung, Vera Jourová, die durch die Richtlinie 2019/2161/EU (vor allem bekannt als „Omnibus-Richtlinie“) neugestalteten Rahmenbedingungen im Verbraucherschutz an.

Und in der Tat ließen sich die in Aussicht gestellten Sanktionen, die sich – wie auch bei DSGVO-Verstößen – am weltweiten Jahresumsatz eines Unternehmens bemessen, sehen. Bis zu 4% des Jahresumsatzes kann die verbotene Verletzung von bestimmten Verbraucherinteressen kosten.

Nunmehr stellte die Europäische Kommission gemeinsam mit nationalen Verbraucherschutzbehörden von 23 Mitgliedsstaaten sowie Norwegen und Island die Ergebnisse einer unionsweiten Überprüfung von Einzelhandelswebsites und App-Shops vor.

Der Schwerpunkt der Überprüfung waren drei bestimmte Arten von manipulativen Praktiken (sog. „Dark Patterns“), die darauf ausgelegt sind, Verbraucher zu Handlungen zu bewegen, die nicht ihrem tatsächlichen Interesse entsprechen. Dazu gehörte das Vorenthalten entscheidungsrelevanter Informationen, falsche Countdowns und Webseiten, deren Design darauf ausgelegt war, Verbraucher zum Abschluss von Kaufverträgen und Abonnements zu drängen.

Die Bilanz fällt ernüchternd aus:
Der amtierende EU-Justizkommissar erklärte, dass sich von den knapp 400 überprüften Online-Shops fast 40% manipulativer Praktiken bedient haben, um die Schwächen der Verbraucherinnen und Verbraucher auszunutzen. Es läge nun an den nationalen Behörden, auf die Händler einzuwirken und erforderlichenfalls weitere Maßnahmen zu ergreifen.

Bei der koordinierten Überprüfung der Shop-Anbieter handelt es sich um einen sogenannten „Sweep“ zur Überprüfung der Einhaltung des EU-Verbraucherschutzrechts. Die Durchsetzung der Korrekturaufforderung ist nun der zweite Schritt, deren Nichteinhaltung in den geschilderten Konstellationen ein solch empfindliches Bußgeld nach sich ziehen kann.

In ihrer damaligen Stellungnahme erklärte Vera Jourová, Betrüger dürften nicht billig davonkommen. Es bleibt daher mit Spannung zu erwarten, ob nunmehr die ersten Millionenbußgelder folgen, die es in die Schlagzeilen schaffen.

Daniel Trunk

Zur Pressemitteilung der Europäischen Kommission
Zu unserem ursprünglichen Blogbeitrag

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Was ist passiert?

Der Betreiber der Webseite „schlafbook.de“ stellt dort redaktionell aufbereitete Beiträge rund um die Themen „Gesunder Schlaf“ und „Matratzen“ bereit. In einem Beitrag zu den „besten Matratzen 2019“ findet der Leser eine kurze Beschreibung und ein Bild der jeweiligen Matratze sowie einen Link „Jetzt bei Amazon kaufen“. Hierüber landet der Leser direkt bei der ausgewählten Matratze im Amazon-Marktplatz. Der Webseiten-Betreiber nimmt dabei am Affiliate-Partnerprogramm von Amazon teil, so dass er bei jedem Matratzenkauf über den Link eine Provision erhält.

Im vom Gericht entschiedenen Fall führte der Amazon-Link bei dem Siegerprodukt des Matratzen-Rankings allerdings nicht zu der dort genannten Matratze, sondern zu einem Konkurrenzprodukt.

Irreführende Werbung?

Der Hersteller sah in dem Verhalten des Webseiten-Betreiber eine irreführende Werbung, damit vermeintlich neutralen Rankings und Testergebnissen eine Objektivität vorspiegelt würde, obwohl Schlafbook die Leser letztlich nur dazu animieren möchte, Matratzen über die Links zu erwerben, um so über das Affiliate-Programm Einnahmen zu erzielen.

Der Matratzen-Hersteller verlangte dementsprechend eine Unterlassungserklärung – jedoch nicht vom Schlafbook-Betreiber, sondern vom Unternehmen Amazon, dem das Verhalten der Werbepartner gemäß § 8 Absatz 2 UWG zurechenbar sei. Diese Vorschrift regelt die wettbewerbsrechtliche Haftung des Inhabers eines Unternehmens für seine Mitarbeiter und Beauftragten.

Die Entscheidung des Bundesgerichtshofs

Auch wenn entsprechend der Entscheidungen der Vorinstanzen von einer irreführende Werbung wegen Täuschung über den kommerziellen Charakter des Matratzen-Rankings auf Schlafbook auszugehen ist, so verneint der Bundesgerichtshof jedoch eine Haftung von Amazon, da der Betreiber von Schlafbook kein Beauftragter im Sinne des § 8 Absatz 2 UWG ist.

In der Begründung verweisen die Richter darauf, dass ein Unternehmensinhaber, der Beauftragte in seinen Geschäftsbetrieb integriert, diesen Geschäftsbetrieb hierdurch erweitert, was ihm zugutekommt und daher auch eine wettbewerbsrechtliche Haftung rechtfertigt. Außerdem kann er in diesem Auftragsverhältnis in gewisser Weise über den Ablauf des Geschäftsbetriebs verfügen und beherrscht so diesen Risikobereich.

Nach Einschätzung des Gerichts fehlt es beim Affiliate-Programm von Amazon aber gerade an einer solchen Erweiterung des Geschäftsbetriebs und Beherrschung des Risikobereichs.

Schlafbook erstellt eigene redaktionell gestaltete Beiträge, deren Inhalt der Website-Betreiber nach eigenem Ermessen bestimmt. Dass er als Werbung Affiliate-Links in den Beiträgen einbettet, ist nur ein Teil seiner Dienstleistung. Dabei ist er völlig frei und kann den Affiliate-Link inhaltlich in eigener Verantwortung und im eigenen Interesse gestalten. Der Link wird nur gesetzt, um hierüber für sich Provisionen zu generieren. Der Website-Betreiber kann zudem Affiliate-Links zu verschiedenen Anbietern setzen. Ein solch eigener Geschäftsbetrieb des Affiliates stellt aber keine Erweiterung des Geschäftsbetriebs von Amazon dar.

Außerdem kann Amazon auch den Risikobereich von Schlafbook nicht ausreichend beherrschen. Durch die Teilnahme am Affiliate-Programm verpflichtet Schlafbook sich gegenüber Amazon nicht zur Erfüllung eines Auftrags oder der Erbringung bestimmter Leistungen. Stattdessen handelt der Teilnehmer im Rahmen des von ihm entwickelten Produkts sowie allein im eigenen Namen und im eigenen Interesse. In diesem Falle ist eine Haftung von Amazon für Wettbewerbsverstöße des Affiliates daher nicht geboten.

Fazit

Mit diesem Urteil sorgt der Bundesgerichtshof für Rechtssicherheit hinsichtlich der Frage, wann Anbieter eines Affiliate-Programms für das Verhalten der Teilnehmer haften.

Beim Affiliate-Programm von Amazon war es entscheidend, dass Amazon den Teilnehmern keine inhaltlichen Vorgaben gegeben hat und der Teilnehmer so die Affiliate-Links nach eigenem Ermessen in seine Website integriert hat. Fehlt es an dieser Freiheit, so kommt eine Haftung des Anbieters eines Affiliate-Programms für dessen Werbepartner nach § 8 Absatz 2 UWG durchaus in Betracht. Daher wird auch in der Zukunft für Betreiber eines Affiliate-Programms die konkrete Ausgestaltung des Programms zur Vermeidung von Haftungsrisiken von zentraler Bedeutung sein.

Mathias Zimmer-Goertz

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Die Pressemitteilung des MVFP vom 02. Februar 2023 finden Sie im Downloadbereich.

Es scheint, dass viele Betreiber von Online-Diensten dem DSA immer noch weniger Aufmerksamkeit schenken, als sie das sollten. Der DSA wird ein echter „Game Changer“ sein - für „Online-Plattformen“ mehr noch als für andere Vermittlungsdienste. In diesem Beitrag geht es darum, was eine Online-Plattform kennzeichnet.

Eine Online-Plattform ist - leicht vereinfacht - definiert als ein Hosting-Dienst, der im Auftrag eines Nutzers des Dienstes Informationen speichert und öffentlich verbreitet (es sei denn, diese Tätigkeit stellt eine bloß unbedeutende und reine Nebenfunktion des Hosting-Dienstes dar). Ein Hosting-Dienst wiederum ist jeder Dienst, der von einem Nutzer bereitgestellte Informationen in dessen Auftrag speichert.

Das Problem mit dieser Definitionen ist, dass sie so allgemein bzw. weit gefasst sind: So gut wie alles, was ein Nutzer eines Online-Dienstes tut, hat etwas mit Informationen zu tun, die irgendwo gespeichert sind. Nutzer geben ihren Namen und ihre Kontaktdaten in ein Webformular ein, wählen einen Benutzernamen, hinterlassen Kommentare auf einer Website, rezensieren und bewerten Produkte in einem Online-Shop, kommunizieren mit anderen in einem Chat, speichern Präferenzen für ihre Nachrichten-Websites, passen Avatare in einer virtuellen Welt an, bauen Welten oder interagieren auf andere Weise mit einem Online-Spiel. Unternehmen können ihre Profile bei einem Lieferdienst, Details zu ihren Fahrzeugen in einer Taxi-App oder ihre Produkte auf einem Online-Marktplatz einstellen. Die meisten dieser Informationen werden irgendwo vom Betreiber eines solchen Dienstes gespeichert. Und wie oben ausgeführt, ist ein Hosting-Dienst ein Dienst, der von einem Nutzer bereitgestellte Informationen in dessen Auftrag speichert (die Definition eines Hosting-Dienstes ist fast identisch mit derjenigen, die in der Richtlinie über den elektronischen Geschäftsverkehr eingeführt wurde - in der Richtlinie über den elektronischen Geschäftsverkehr gibt es einige Rechtsprechung zur Definition von Hosting-Diensten, aber nicht viel, was helfen würde, diese sehr breite Definition einzugrenzen). Hinzu kommt: Auch Anbieter, die sich bisher nicht auf den Haftungsausschluss des Host-Provider-Privilegs berufen konnten, weil sie sich fremde Inhalte zu eigen machen, können von den Sorgfaltspflichten als Hosting-Dienstanbieter betroffen sein.

Sobald diese Informationen nicht nur gespeichert, sondern mit der Öffentlichkeit geteilt werden, könnte der Dienst sogar als Online-Plattform qualifiziert werden. Für Online-Plattformen enthält der DSA viele neue Pflichten. Die meisten davon sind erst bis Februar 2024 zu erfüllen, einige aber schon ab dem 17. Februar 2023 - insbesondere muss die durchschnittliche Anzahl der monatlich aktiven Nutzer veröffentlicht werden (sehr große Online-Plattformen mit 45 Millionen oder mehr aktiven Nutzern sind eine weitere Kategorie mit weitaus aufwändigeren Pflichten). Ab Februar 2024 gelten alle auch anderen Pflichten. Für Online-Plattformen gehören dazu die Verpflichtung, ein internes Beschwerdemanagementsystem und ein System zur außergerichtlichen Beilegung von Streitigkeiten einzurichten, Meldungen problematischer Inhalte durch vertrauenswürdige Hinweisgeber zügig und vorrangig zu behandeln, Schutzmaßnahmen gegen Missbrauch der Online-Dienste zu ergreifen, Transparenz-Berichtspflichten, Beschränkungen für die Gestaltung und Organisation von Online-Schnittstellen (einschließlich Beschränkungen sogenannter „Dark Patterns“) zu beachten, hinzu kommen Regelungen für die Werbung auf Online-Plattformen (mit Beschränkungen für personalisierte Werbung, die teilweise strenger sind als die Bestimmungen der Datenschutz-Grundverordnung), Regelungen über die Transparenz von Empfehlungssystemen sowie den Schutz von Minderjährigen.

Die Erfüllung einiger dieser Verpflichtungen kann recht aufwändig sein. Sie erfordern einen sehr hohen Umsetzungsaufwand, da - je nach Dienst - möglicherweise die Kernprozesse überprüft werden müssen.

Es scheint auch, dass die Definition der Online-Plattform weiter gefasst ist als beabsichtigt und vom Wortlaut her Dienste umfasst, die der Gesetzgeber nicht im Sinn hatte. Unternehmen sind daher gut beraten, sorgfältig zu prüfen, ob es sich bei den von ihnen angebotenen Diensten tatsächlich um solche einer Online-Plattform handelt, und dabei die einzelnen Funktionen genau zu betrachten. Dies kann eine rechtliche Analyse erfordern, z. B. wenn die gespeicherten Informationen aus Elementen bestehen, die vom Betreiber des Dienstes bereitgestellt werden und wenig Raum für Missbrauch lassen, wenn der Diensteanbieter die Kontrolle über die gespeicherten oder verbreiteten Informationen ausübt, oder wenn es um die Frage geht, ob eine „Verbreitung“ tatsächlich „öffentlich“ ist und „im Auftrag“ des Nutzers erfolgt. Eine sorgfältige Analyse muss unter Umständen auch eine technische Analyse umfassen, z. B. welche Art von Informationen tatsächlich gespeichert wird und wo. Und schließlich sollte geprüft werden, ob die Ausnahmeregelung für „unbedeutende und reine Nebenfunktionen“ angewendet werden kann.

Diese Bewertungen müssen individuell vorgenommen werden: In einigen Online-Shops kann beispielsweise das Bewertungssystem wichtiger sein als in anderen, „Replays“ von Online-Spielen können nur auf dem PC des Nutzers gespeichert werden, während andere sie auf dem Server speichern und den Nutzern erlauben, sie weiterzugeben, und der Einfluss, den ein Dienstbetreiber auf die von ihm gespeicherten und weitergegebenen Informationen ausübt, kann sehr unterschiedlich sein.

ADVANT wird am 16. Februar 2023 um 17:00 Uhr MEZ ein englischsprachiges Webinar zum Digital Services Act veranstalten: Webinar registration | Microsoft Teams

Dr. Andreas Lober

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Schwäbisch Media ist eines der führenden Medienhäuser in Baden-Württemberg und beschäftigt rund 900 festangestellte, 3.000 freie Mitarbeiter und 5.000 Zusteller. Kernprodukt ist die Schwäbische Zeitung - die größte regionale Abonnementzeitung Baden-Württembergs. Zum Medienmix gehören zudem das Tageszeitungs-Portal Schwäbische.de einschließlich mobiler Anwendungen, das Anzeigenblatt Südfinder, Deutschlands größte regionale Privatsendergruppe Regio TV, zahlreiche Special-Interest-Magazine sowie Tochterunternehmen und Business Units für Briefzustellung sowie Beteiligungen an Radiosendern. Die zum Schwäbischen Verlag gehörende Nordkurier Mediengruppe GmbH & Co. KG mit Sitz in Neubrandenburg ist das führende Medienhaus im Nordosten Deutschlands. In den Bundesländern Mecklenburg-Vorpommern und Brandenburg werden täglich rund 200.000 Leser erreicht. Neben den klassischen Medien gehören zum Angebot von Schwäbisch Media auch Logistiklösungen sowie Dienstleistungen im Bereich Vermarktung, E-Commerce und weiteren Kreativdienstleistungen.

Das in Balingen ansässige Zielunternehmen hat sich in seiner über 170-jährigen Geschichte vom klassischen Zeitungsverlag zum modernen Medienhaus entwickelt. Mit einer Auflage von ca. 20.000 Exemplaren der Tageszeitung "ZOLLERN-ALB-KURIER", 80.000 Exemplaren des Anzeigenblatts "Südwest Markt" sowie digitalen Kanälen und Portalen liefert das Medienhaus aktuelle Themen und Nachrichten im Zollernalbkreis. Die Übernahme ist Teil der Strategie des Schwäbischen Verlags, sich durch Digitalisierung, Effizienzsteigerung und Wachstum für die Zukunft zu rüsten.

Ein Team von ADVANT Beiten hat das Unternehmen in den letzten Monaten bereits beim Erwerb des Digitalunternehmen Print Royal beraten.

Berater Schwäbischer Verlag Drexler, Gessler GmbH & Co. KG:
ADVANT Beiten:
Dr. Barbara Mayer (Corporate/M&A, Freiburg), Christian Burmeister (Corporate/M&A, Freiburg/Berlin), Daniel Rombach (Corporate/Fusionskontrolle, Freiburg).

Berater Druck- und Verlagshaus Hermann Daniel:
Ebner Stolz

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
Frauke.Reuther@advant-beiten.com

Dr. Barbara Mayer
Rechtsanwältin
ADVANT Beiten
+49 (761) 15 09 84 - 14
Barbara.Mayer@advant-beiten.com

Datenschutz

Der Bundesgerichtshof (BGH I ZR 186/17) hatte sich erneut mit der Verbandsklagebefugnis von Verbraucherschutzverbänden bei DSGVO-Verstößen zu beschäftigen und ein weiteres Mal den Europäischen Gerichtshof um eine Vorabentscheidung gebeten. Das Verfahren zwischen dem Dachverband der Verbraucherzentralen (vzbv) und Facebook (Meta) wegen der ursprünglichen Gestaltung des App-Zentrums für Instant-Games hatte der BGH zuletzt im Jahr 2020 ausgesetzt und dem EuGH vorgelegt, um die Frage der Verbandsklagebefugnis zu klären. Diese hatte der EuGH im Anschluss dem Grunde nach bereits bejaht. Nunmehr sei jedoch eine weitergehende Klärung erforderlich, so der BGH.

E-Sport

Die im Koalitionsvertrag zwischen den Regierungsparteien versprochene Gemeinnützigkeit des E-Sport wurde 2022 nicht umgesetzt. Dies wäre, da E-Sport in Deutschland bis dato nicht als Sportart anerkannt ist, beispielsweise durch eine Ergänzung des Katalogs der gemeinnützigen Zwecke (§ 52 Abgabenordnung) möglich, wurde aber zuletzt bei der Beratung über das Jahressteuergesetz nicht realisiert. In der Antwort auf eine Kleine Anfrage der CDU/CSU-Bundestagsfraktion erklärte die Bundesregierung hierzu, dass Inhalt und Zeitplan für die Umsetzung der Gemeinnützigkeit im E-Sport noch nicht feststünden.

Erfreulichere Töne zum E-Sport kamen aus Brüssel. Dort betonte das Europäische Parlament in seiner Entschließung 2022/2027 die Bedeutung und positive Wirkung von E-Sport und Videospielen. Aus der Entschließung geht unter anderem hervor, dass nationale, regionale und globale E-Sportturniere als Mittel zur Förderung des kulturellen Austauschs und der Kultur und Werte Europas angesehen werden könnten und dass Videospiele und E-Sport vielen Spielern mit Blick auf die psychische Gesundheit auch erhebliche Vorteile bieten können und es ermöglichen, positive Werte zu verbreiten. Das Europäische Parlament ist gleichwohl der Ansicht, dass E-Sport und herkömmlicher Sport unterschiedliche „Branchen“ sind, was mit der Machtstellung des Publishers zusammenhängt, der an seinen Spielen ein exklusives und uneingeschränktes Nutzungsrecht innehat. Gleichwohl ergänzten sich Sport und E-Sport, lernten voneinander und förderten vergleichbar positive Werte. Die Forderungen des Europäischen Parlaments gegenüber der Kommission umfassen die Einführung eines E-Sport Visums für den Schengenraum sowie den Erlass von Leitlinien in Bezug auf den Status professioneller E-Sportler. Es bleibt mit Spannung zu erwarten, wie die Europäische Kommission diese Aufforderung umsetzt.

Mit einem weniger blumigen Sachverhalt hatte es das Landgericht Kiel (17 O 24/20) zu tun. Dort klagte ein E-Sportler gegen einen anderen E-Sportler erfolgreich auf Unterlassung von und Schmerzensgeld wegen über die Streaming-Plattform Twitch ausgestrahlter, ehrverletzender Äußerungen. Das Landgericht Kiel stellte fest, dass der Kläger durch die streitgegenständlichen Beleidigungen in seinem allgemeinen Persönlichkeitsrecht rechtswidrig verletzt worden war. Daran ändere sich auch nichts, wenn im E-Sport – wie vom Beklagten vorgetragen – ein „rauer Ton“ herrsche.

Jugendschutz

Über den Jugendschutz in Spielen wurde auch in 2022 angeregt diskutiert. Dies betraf einerseits die Inhalte der Spiele selbst, wie die Darstellung der Gewalthandlungen in dem post-apokalyptischen Survivalspiel „Dying Light 2“, andererseits und vor allem Nutzungsrisken in digitalen Spielen. Zu dem vermeintlichen „Enfant terrible“ unter den Nutzungsrisken – namentlich der Lootbox – veröffentlichte die norwegische Verbraucherorganisation Forbrukerrådet einen umfangreichen Bericht, der von weiteren Verbraucherorganisationen in Europa unterstützt wurde. Diesen Bericht griff unter anderem das ZDF Magazin Royale, eine journalistisch-satirische Fernsehsendung, auf, und regte damit in Deutschland eine erneute Diskussion über die zwischenzeitlich eingeschlafene Lootbox-Thematik an.

Nutzungsrisiken in Computerspielen und wie mit diesen umzugehen ist werden uns auch im Jahr 2023 intensiv beschäftigen, denn durch die überarbeiteten Prüfkriterien der USK zur Prüfung von digitalen Spielen, die auf das zuletzt im Jahr 2021 novellierte Jugendschutzgesetz zurückgehen, sind diese bei der Überprüfung eines Spiels zu berücksichtigen und die Spiele müssen auf diese Hinweise durch sog. Deskriptoren ausdrücklich hinweisen. Derzeit gibt es die folgenden vier Kategorien von Nutzungsrisiken:

• In-Game-Käufe
• Chats
• In-Game-Käufe + zufällige Objekte (z.B. Lootboxen)
• Standortweitergabe

Dass das Thema brandheiß ist, belegt auch die im Dezember in den USA verhängte Rekord-strafe in Höhe von 520 Millionen US-Dollar gegen die Firma Epic Games u.a. wegen im Spiel Fortnite vorhandener Kommunikationsmöglichkeiten (Fortnite wurde mittlerweile insoweit angepasst). Abzuwarten bleibt, ob ähnliche Verfahren in 2023 europäische oder gar deutsche Gerichte beschäftigen werden.

Was war sonst noch los?

Das Oberverwaltungsgericht Nordrhein-Westfalen (19 B 961/21) hat sich mit der Rechtmäßigkeit der Indizierung eines Computerspiels wegen Jugendgefährdung beschäftigen müssen. Dabei stellte das OVG unter Bezugnahme auf die Bushido-Entscheidung des VG Köln klar, dass eine unterbliebene Anhörung gegenüber dem Urheber gemäß § 21 Abs. 7 Jugendschutzgesetz im gerichtlichen Verfahren auch noch nachgeholt werden könne.

Plattformregulierung

Neue Aufgabenfelder in der Rechtsberatung, die uns auch in das Jahr 2023 begleiten, ergaben sich durch das In-Kraft-Treten des Gesetzes über digitale Märkte (Digital Markets Act) sowie insbesondere des Gesetzes über digitale Dienste (Digital Services Act). Letzteres unterwirft Anbieter von Vermittlungsdiensten (Durchleitungs-, Caching- und Hosting-Diensten sowie die Betreiber von Online-Plattformen und -suchmaschinen) einem umfangreichen Pflichtenkatalog.

Mit dem Gesetz über digitale Dienste wird der in der Europäischen Union bisher vorhandene Flickenteppich an Regularien für Vermittlungsdienstleister weitgehend vereinheitlicht. Dabei verfolgt das Gesetz den einleuchtenden und einfach anmutenden Grundsatz, dass das, was offline illegal ist, auch online illegal sein soll. Weniger einfach und deshalb sorgfältig zu prüfen ist der mit dem Gesetz einhergehende, mitunter umfangreiche, abgestufte Pflichtenkatalog.

Anbieter von Online-Diensten, wie etwa Mehrspielerspielen, müssen nunmehr an erster Stelle überprüfen, ob und welche ihrer Dienste unter eine der o.g. Kategorien fallen, um die daraus resultierenden neuen Pflichten zu ermitteln. Die Nichteinhaltung der Vorschriften kann zukünftig mit hohen Geldbußen von bis zu sechs Prozent des Konzernjahresumsatzes sanktioniert werden.

Urheberrecht

Der Bundesgerichtshof hat seine bisherige Linie zu Netzsperren bei Urheberrechtsverletzungen im Oktober mit einem Urteil (BGH I ZR 111/21) bestätigt. Danach kann die Sperrung von Webseiten durch Access-Provider nur dann verlangt werden, wenn der Rechteinhaber alle anderen zumutbaren Mittel erfolglos ausgeschöpft hat. In dem entschiedenen Fall sei noch eine Auskunftsklage gegen den schwedischen Host-Provider zur Ermittlung des vorrangig in Anspruch zu nehmenden Verletzers möglich gewesen.

Das Landgericht Köln (14 O 38/19) beschäftigte sich Anfang 2022 mit der mittäterschaftlichen Haftung für die Urheberrechtsverletzung an einer Automatisierungssoftware (auch bekannt als: Bots) für ein bekanntes Smartphone- und Tablet-Spiel. Dabei stellte sich die Frage, ob neben der beklagten Firma auch ein Geschäftsführer für die Verletzungshandlungen in Anspruch genommen werden konnte. Dies nahm das LG Köln unter Hinzuziehung der allgemeinen Grundsätze der Mittäterschaft gemäß § 25 Abs. 2 Strafgesetzbuch an, weil dieser einen maßgeblichen Anteil und Einfluss auf den organisatorischen, technischen und unternehmerischen Rahmen der Urheberrechtsverletzung hatte.

Bots waren im Jahr 2022 auch (mittelbar) Thema vor dem Bundesverfassungsgericht (BVerfG – 1 BvR 1021/17). Dort wehrte sich ein Bothersteller gegen die Vollstreckung eines auf die Bundesrepublik Deutschland eingegrenzten Unterlassungstitels. Die Vollstreckungsgläubigerin vertrat hingegen die Auffassung, dass der Titel vom Schuldner auch im Inland auch alles zu tun habe, um künftige Urheberrechtsverletzungen durch Dritte – auch im Ausland – zu verhindern. So sah es auch das OLG Dresden in seinem Ordnungsgeldbeschluss zulasten des Botherstellers. Das BVerfG sah in dem Beschluss jedoch einen Verstoß gegen das Willkürverbot und damit eine Verletzung des Botherstellers in seinem Grundrecht aus Art. 3 Abs 1 Grundgesetz. Als Folge des im Urheberrecht geltenden Territorialitätsprinzips müsse die im Raum stehende Verletzungshandlung daher zumindest teilweise im Inland begangen worden sein. Der Unterlassungstitel aus dem Hauptsacheverfahren (BGH I ZR 25/15) dürfe nicht als allgemeine Handlungspflicht verstanden werden.

Verbraucherschutzrecht

Herausforderungen für Unternehmen ergaben sich auf nationaler und unionsweiter Ebene durch neue Vorgaben im Verbraucherschutzrecht. Durch die Umsetzung der „Richtlinie über bestimmte vertragsrechtliche Aspekte bei der Bereitstellung digitaler Inhalte und digitaler Dienstleistungen“ (Richtlinie 2019/770/EU – Digital Content and Service Directive) erhielt das BGB in den §§ 327 ff. BGB einen neuen Abschnitt, der Rechte und Pflichten bei Verträgen über digitale Inhalte und Dienstleistungen zwischen Unternehmern und Verbrauchern regelt. Wie auch Erwägungsgrund 19 der Richtlinie klarstellt: Sehr relevant für „digitale Spiele“.

Neu und für einige Unternehmen überraschend war auch die Tatsache, dass Verbraucherschutzvorschriften aus dem Fernabsatzrecht nunmehr auch Anwendung finden, wenn ein Verbraucher nicht mit Geld, sondern „mit seinen Daten bezahlt“. Daraus resultieren nunmehr unter anderem umfassende vorvertragliche Informationspflichten, das Erfordernis einer Widerrufsbelehrung und die Notwendigkeit einer Vertragsbestätigung.

Diese und weitere Hausaufgaben (wie etwa die Überprüfung der Nutzerbedingungen) sollten Unternehmen im Jahr 2022 dringend in Angriff genommen haben, denn durch die Umsetzung des sog. „New Deal for Consumers“ drohen Unternehmen bei Verstößen gegen das europäische Verbraucherschutzrecht in Zukunft empfindliche Bußgelder von bis zu 4% des globalen Jahresumsatzes.

Auf nationaler Ebene gilt seit dem 1.7.2022 § 312k BGB nF, der vorsieht, dass für Verbraucher bei entgeltlichen Dauerschuldverhältnissen im elektronischen Geschäftsverkehr ein „Kündigungsbutton“ bereitgehalten werden muss. Erste Abmahnungen und einstweilige Verfügungsverfahren durch Verbraucherzentralen und -verbände ließen nicht lange auf sich warten und führten nach Angaben der Verbraucherschützer zu Nachbesserungen durch die Unternehmen. Der Kündigungsbutton ist für die allermeisten Dauerschuldverhältnisse vorgeschrieben, die online abgeschlossen werden können, unabhängig davon, ob diese vor dem 1.7.2022 abgeschlossen wurden.

Was war sonst noch los?

Das Landgericht Karlsruhe (3 O 108/21) befasste sich unter anderem mit dem vorzeitigen Erlöschen des Widerrufsrechts beim Erwerb von Spielwährung in einem In-Game Shop. Abweichend von der üblichen 14-tägigen Widerrufsfrist kann das gesetzliche Verbraucherwiderrufsrecht gemäß 356 Abs. 5 BGB unter bestimmten Voraussetzungen bei Verträgen über die Lieferung von digitalen Inhalten vorzeitig erlöschen. Dass das Widerrufsrecht in diesem Fall vorzeitig erlischt und der Unternehmer vor Ablauf der Widerrufsfrist mit der Bereitstellung der digitalen Inhalte beginnt, muss der Verbraucher bei entgeltlichen Verträgen bestätigen. Wie das LG Karlsruhe in seinem Urteil ausführt, bedarf es hierzu jedoch keiner vorgelagerten Belehrung über die Bedingungen, das Verfahren und die Ausübung des Widerrufsrechts. Aus einer Checkbox mit dem Zusatz „Ich stimme der Vertragsausführung […] vor Ablauf der Widerrufsfrist zu und weiß, dass dadurch mein Widerrufsrecht erlischt.“ mache hinreichend deutlich, dass ein Widerrufsrecht existiere und zum Erlöschen gebracht würde. Der Entscheidung des LG Karlsruhe folgend ist ein „Verzicht“ auf das Widerrufsrecht auch vor der finalen Kaufbestätigung rechtlich zulässig.

Fazit

Wir halten fest: Auch in 2022 gab es viel zu tun. Den ein oder anderen Kampf im Urheberrecht galt es auszufechten. Für den Compliance-Dschungel, der von Jahr zu Jahr neue Herausforderungen bereithält, war das richtige Rüstzeug anzulegen. Nun geht es darum, die Quests der Gesetzgeber, die das Jahr 2023 bereithält, in den Blick zu nehmen.

Daniel Trunk

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Was das Gesetz für Verlage bedeutet

Am 28. Juni 2025 soll die Welt für Menschen mit Behinderungen zugänglicher werden: Dann tritt das Barrierefreiheitsstärkugsgesetz (BFSG) in Kraft. Auf die Zeitschriftenverlage kommen deshalb Veränderungen zu: Webseiten müssen angepasst werden.

Den gesamten Beitrag von Dr. Holger Weimann können Sie auf der Webseite des MVFP (Medienverband der freien Presse) unter folgedem Link lesen: www.mvfp.de

Dr. Peggy Müllers ist spezialisiert auf den gewerblichen Rechtsschutz (IP). Ein besonderer Schwerpunkt ihrer Beratungstätigkeit liegt im Bereich Gaming und eSports. Ihre Expertise gewann sie während ihrer langjährigen Tätigkeit in der Rechtsabteilung von Nintendo. Darüber hinaus verfügt sie über umfangreiche Erfahrungen im Marken-, Design- und Patentrecht und berät Unternehmen aus den Bereichen Konsum- und Luxusgüter sowie Mobility und Pharma.

„Frau Dr. Müller ist eine hervorragende Verstärkung für unsere Praxisgruppe und insbesondere für die Bereiche Gewerblicher Rechtsschutz, Games und eSports, mit der wir der stetig steigenden Nachfrage nach Beratung in diesen Bereichen, national wie international, Rechnung tragen“, sagt Dr. Andreas Lober, Leiter der Praxisgruppe IP/IT/Medien.

Der Ausbau des Bereichs IP/IT/Medien ist fester Bestandteil der strategischen Ausrichtung von ADVANT Beiten. Die Kanzlei folgt mit dem Zugang ihrer Strategie des gezielten Wachstums durch Quereinsteiger in ausgewählten Bereichen.

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
Frauke.Reuther@advant-beiten.com

Dr. Andreas Lober
Rechtsanwalt
ADVANT Beiten
+49 (69) 75 60 95 - 581
Andreas.Lober@advant-beiten.com
 

Berater SAC Sirius Advanced Cybernetics GmbH:
ADVANT Beiten: Dr. Christof Aha, Mark Thönißen (beide Corporate/M&A, Frankfurt), Peter Weck (Arbeitsrecht, Düsseldorf).

Gleiss & Große für IP: Prof. Dr. Nils Heide, Dr. Mattias Kordel (Stuttgart).

Berater Cognex Corporation: 
Pinsent Masons: Tobias Rodehau, Dr. Florian Anselm, Dr. Alexander Karst (alle München), Yasmin Ali, Julia Ohlerich (beide Düsseldorf).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Christof Aha
Rechtsanwalt
ADVANT Beiten
+49 (69) 756095 – 451
christof.aha@advant-beiten.com

Dr. Kathrin Bürger, Dr. Silke Dulle, Christina Kamppeter, Susanne Klein, Dr. Ralf Hafner, Dr. Georg Tolksdorf und Dr. Sebastian Weller vertreten fünf verschiedene Rechtsgebiete und verteilen sich auf fünf Standorte.

• Dr. Kathrin Bürger (Arbeitsrecht, Frankfurt und München), Fachanwältin für Arbeitsrecht, berät schwerpunktmäßig im kollektiven Bereich. Sie begleitet Unternehmen bei tariflichen Veränderungen und (Haus-) Tarifvertragsver-handlungen sowie bei streikvorbereitenden Maßnahmen. Darüber hinaus berät sie Unternehmen bei der Verhandlung mit Betriebsräten, auch im Rahmen von Einigungsstellen sowie bei sämtlichen individualrechtlichen Fragestellungen.
• Dr. Silke Dulle (Corporate/M&A, Berlin), Fachanwältin für Medizinrecht, berät Mandanten des Gesundheitswesens, insbesondere im Krankenhaus- und Krankenkassensektor. Sie berät dabei im Krankenhausrecht, Sozialversicherungs- und Pharmarecht, Vergaberecht und Gesellschaftsrecht.
• Christina Kamppeter (Arbeitsrecht, München), Fachanwältin für Arbeitsrecht, berät nationale und internationale Unternehmen in allen Belangen des individuellen und kollektiven Arbeitsrechts, insbesondere bei Verhandlungen mit Betriebsräten und Gewerkschaften. Ein Schwerpunkt ihrer Tätigkeit liegt auf der arbeitsrechtlichen Begleitung von Restrukturierungen.
• Susanne Klein (IP/IT/Medien, Frankfurt), Fachanwältin für Informations-technologierecht, ist ausgewiesene Expertin im Datenschutzrecht. Darüber hinaus berät sie ihre nationalen und internationalen Mandanten im IT- und Urheberrecht.
• Dr. Ralf Hafner (Prozessführung & Konfliktlösung, München), berät seine nationalen und internationalen Mandanten in komplexen internationalen Konflikten bei der außergerichtlichen Konfliktlösung und vertritt sie vor staatlichen Gerichten und Schiedsgerichten.
• Dr. Georg Tolksdorf (Vermögen/Nachfolge/Stiftungen, Hamburg) ist im Bereich des Erb- und Stiftungsrechts sowie der (steueroptimierten) Vermögensnachfolgeplanung von Privatpersonen und (Familien-)Unternehmern tätig. Ein weiterer Schwerpunkt seiner Tätigkeit liegt im Bereich der Durch-führung von (unternehmerischen) Testamentsvollstreckungen.
• Dr. Sebastian Weller (Corporate/M&A, Düsseldorf) ist schwerpunktmäßig in den Bereichen Gesellschaftsrecht/M&A sowie Private Equity/Venture Capital tätig und berät insbesondere bei Übernahmen, Beteiligungen und Restrukturierungen. Er unterstützt bei sämtlichen Fragen rund um das Gesellschafts- und Umwandlungsrecht sowie Corporate Compliance.

Neben den sieben neuen Equity Partnerinnen und Partnern wurden die folgenden Salary Partnerinnen und Partner zu Local Partnerinnen und Partnern gewählt:

• Dr. Anne Dziuba, Arbeitsrecht, München
• Dr. Daniel Fischer, Real Estate, Frankfurt
• Dr. Christina Hackbarth, IP/IT/Medien, München
• Christian Hipp, Kartellrecht, Berlin
• Tanja Hogh Holub, IP/IT/Medien, München
• Sylvia Jenoh, Steuern, Frankfurt
• Dr. Klaus Kemen, Real Estate, Berlin
• Dr. Markus Ley, Corporate/M&A, Berlin
• Jörn Manhart, Arbeitsrecht, Düsseldorf
• Carsten Pütger, Corporate/M&A, Düsseldorf
• Dr. Jochen Reuter, Real Estate, Frankfurt
• Dr. Winfried Richardt, Corporate/M&A, Düsseldorf
• Dr. Florian Weichselgärtner, Konfliktlösung, München
• Mathias Zimmer-Goertz, IP/IT/Medien, Düsseldorf

Weiterhin setzen folgende Kolleg:innen ihren Karriereweg erfolgreich fort und wurden vom Senior Associate zur/zum Salary Partner:in gewählt:

• Annalena Benz, Real Estate, München
• Jens Ledermann, Steuern, Frankfurt
• Dr. Martina Schlamp, Arbeitsrecht, München

Über das Wachstum aus den eigenen Reihen hinaus, verfolgt ADVANT Beiten kontinuierlich ihre Strategie des gezielten Wachstums durch Quereinsteiger:innen in ausgewählten Bereichen und bestätigt die Salary Partnerschaft für folgende Kolleg:innen:

• Christian Burmeister, Corporate/M&A, Freiburg/Berlin
• Dr. Moritz Jenne, Corporate/M&A, Freiburg
• Dr. Sebastian Kroll, Arbeitsrecht, München
• Markus P. Linnartz, Steuern, Düsseldorf
• Dr. Ariane Loof, Arbeitsrecht, Berlin
• Dr. Michael Matthiessen, Arbeitsrecht, Berlin
• Dr. Birgit Münchbach, Corporate/M&A, Freiburg
• Kristin Müller-Nedebock, Steuern, Hamburg

„Alle Senioritätsstufen sind für die Zukunft unserer Kanzlei von zentraler Bedeutung. Umso mehr freuen wir uns, dass wir so viele Kolleg:innen unterschiedlicher Senioritäten, Rechtsgebiete und Standorte auf ihrem Karriereweg begleiten dürfen, sagt Philipp Cotta, Managing Partner von ADVANT Beiten und ergänzt: „Unser modifizierter Karrieretrack bietet allen Kolleg:innen zusätzliche Flexibilität in der individuellen Karriereplanung und ermöglicht es uns, unsere fachliche Expertise über die verschiedenen Ebenen noch klarer gegenüber unserer Mandantschaft herauszustellen.“

Herzlichen Glückwunsch an alle gewählten und bestätigten Partnerinnen und Partnern.

Berater Gesellschafter RNT Rausch GmbH:
ADVANT Beiten: Dr. Barbara Mayer, Lisa Werle, Daniel Rombach (alle Corporate / M&A, Freiburg).

Kontakt
Barbara Mayer
Rechtsanwältin
ADVANT Beiten
+49 (761) 15 09 84 - 14
barbara.mayer@advant-beiten.com 

In der Auswertung der Auslandsempfehlungen landet die internationale Wirtschaftskanzlei ADVANT Beiten unter den „Top-Kanzleien Europa“ mit 25 Empfehlungen auf dem fünften Platz.

ADVANT Beiten erreicht in der Gesamtauswertung nach der Zahl der Empfehlungen (70) Position 19 der Top-100-Liste.

ADVANT Beiten zählt bei diesen Rechtsgebieten zu den „Führenden Kanzleien“ (zwei oder mehr Empfehlungen):
Arbeitsrecht (5), Compliance (4), Datenschutz (6), Finanzierung (5), Gesellschaftsrecht (3), Gewerblicher Rechtsschutz (2), Immobilien- & Baurecht (2), IT-Recht (5), Kartellrecht (9), Medienrecht (7), M&A (3), Öffentliches Recht (2), Produkthaftung (2), Steuerrecht (2), Vertragsrecht (8).

Als „Führende Anwälte“ (zwei oder mehr Empfehlungen) sind benannt:
Petra Fendt (Finanzierung/4), Dr. Christian Heinichen (Kartellrecht/6 und Vertragsrecht/3), Christoph Heinrich (Kartellrecht/2), Dr. Holger Weimann (Medienrecht/2), Dr. Ralf Hafner (Vertragsrecht/2), Heinrich Meyer (Vertragsrecht/2).

I. Der Einsatz von künstlicher Intelligenz in der Kunst

Künstlicher Intelligenz („KI“) wird die Fähigkeit zugeschrieben, menschliche Kreativität zu imitieren. Es verwundert daher nicht, dass KI immer öfters auch bei der Schaffung von Kunst zum Einsatz kommt. Insbesondere folgende Arten mittels KI geschaffener Kunst lassen sich gegenwärtig unterscheiden:

Zum einen gibt es Kunstwerke, die zwar ein eigenständiges Motiv haben, dabei aber den typischen Stil eines bestimmten Künstlers oder ein bestimmtes Genre imitieren. So sorgte bereits 2016 das Projekt „The Next Rembrandt“ für große Aufmerksamkeit. Bei diesem Vorhaben wurden 346 Originale des niederländischen Meisters mithilfe von 3D-Scannern erfasst und von einer KI analysiert. Die entstandene Datenmenge wurde anschließend von der KI genutzt, um ein dem einzigartigen Stil Rembrandts nachempfundenes Bild zu schaffen. Ähnlich schlagzeilenträchtig war die Versteigerung des durch KI geschaffenen Portraits von „Edmond de Belamy“ im Oktober 2018 durch das Auktionshaus Christie's für einen Erlös von 432.500 USD. In diesem Fall wurde die KI nicht nur mit den Bilddaten eines Künstlers, sondern mit den Daten von über 15.000 Portraits des 14. bis 20. Jahrhunderts trainiert. Auf Grundlage dieser Datenbasis hat die KI anschließend ein neues eigenständiges Portrait geschaffen.

Zum anderen setzen zahlreiche Künstler KI auch zur Schaffung originärer Kunstwerke ein, die keinem vorgegebenen Stil folgen. So zum Beispiel der türkisch-amerikanische Künstler Refik Anadol, dessen Datenskulpturen in den letzten Jahren große Popularität erlangt haben. Bei Anadols Medienkunst werden häufig bestimmte Daten (z. B. Wetterdaten oder Fotos) mittels KI so bearbeitet, dass ihre ursprünglichen Erscheinungen selbst unkenntlich werden, aber ihre Bestandteile zu neuen Verbindungen mutieren. Hierdurch entstehen in einem zufälligen Rhythmus ständig neue Anordnungen mit immer wieder neuen dreidimensionalen Farbkonstellationen und Mustern, die Anadol über große Screens oder Projektionen für sein Publikum wahrnehmbar macht.

Wie diese Bespiele zeigen, wird KI auf mannigfaltige Art und Weise zur Schaffung von Kunst eingesetzt. Es ist daher nicht erstaunlich, dass sich die juristische Literatur in letzter Zeit vermehrt mit der Frage der Schutzfähigkeit gemäß § 2 UrhG von mittels KI geschaffener Kunst befasst hat¹. Dieser Beitrag soll einen Überblick über den Meinungsstand geben.

II. Urheberrechtlicher Schutz mittels KI geschaffener Kunst

1. Keine Urheberschaft der KI

Nach § 2 Abs. 2 UrhG sind nur persönliche geistige Schöpfungen urheberrechtlich schutzfähige Werke. Voraussetzung dafür ist, dass sich die Individualität des Schöpfers im geschaffenen Werk widerspiegelt. Nach einhelliger Ansicht sind daher nur Menschen zu einer solchen Schöpfung fähig. KI kann folglich kein urheberrechtlich schutzfähiges Werk schaffen und daher auch nicht Träger von Urheberrechten sein. Ausschließlich von KI geschaffene Kunst ist daher nie schutzfähig.

2. Urheberschaft des Künstlers?

Das bedeutet allerdings nicht, dass Kunst, die von einem Künstler unter Zuhilfenahme von KI geschaffen wurde, nie schutzfähig ist. Vielmehr wird einvernehmlich vertreten, dass es darauf ankommt, wie prägend der menschliche Anteil des Künstlers für das konkrete, von der KI generierte Ergebnis ist.

Unproblematisch sind die Fälle, in denen der Künstler KI ausschließlich als Hilfs- und Ausführungsmittel einsetzt und das erzeugte Kunstwerk nach seiner Art und Gestalt gänzlich dem konkreten eigenschöpferischen Beitrag des Künstlers entspricht. Dann nutzt der Künstler KI nur zur Verwirklichung seiner eigenen künstlerischen Vorstellungen. Deswegen liegt die für den Schöpfungsbegriff des § 2 Abs. 2 UrhG erforderliche Unmittelbarkeit zwischen dem geistigen Schaffensvorgang des Künstlers und dem von der KI generierten Ergebnis vor. Ein solcher Einsatz von KI kann durchaus mit der Verwendung eines Pinsels beim Malen eines Gemäldes oder auch mit der Nutzung einer Kamera durch einen Fotografen verglichen werden.

Setzt der Künstler dagegen bereits im Schöpfungsprozess eine KI ein, ist diese Unmittelbarkeit jedenfalls dann nicht mehr gegeben, wenn der Künstler keinen Einfluss mehr auf die wesentliche Gestaltung des Erzeugnisses der KI hat und dessen finales Erscheinungsbild für ihn nicht mehr vorhersehbar und kontrollierbar ist. Das entstandene Ergebnis ist dann nur noch mittelbar auf einen menschlichen Schaffensprozess zurückzuführen. Ein urheberrechtlicher Schutz scheidet aus.

Schwierig zu beurteilen sind die Grenzfälle: Nutzt ein Künstler KI im Schöpfungsprozess, soll ein urheberrechtlicher Schutz des generierten Werks grundsätzlich möglich sein, wenn der Künstler weiterhin prägenden Einfluss auf die konkrete Form des Kunstwerkes hat und die formativen Entscheidungen nicht ausschließlich durch die KI getroffen wurden. Streitig ist jedoch, wie prägend der menschliche Einfluss auf das KI-generierte Ergebnis sein muss. Teilweise wird gefordert, dass der Künstler Gestalt und Eigenart des endgültigen Kunstwerks jedenfalls skizzieren und sein Beitrag so weit konkretisiert und ausgestaltet sein muss, dass er seinerseits als persönliche geistige Schöpfung einzustufen ist. Eine bloße Selektionsentscheidung, bei der der Künstler aus mehreren Erzeugnissen einer KI eines auswählt und dieses als Kunstwerk bestimmt, reicht für ein urheberrechtsfähiges Wert jedenfalls nicht aus. Auch bloße Ideen oder Anregungen des Künstlers für das zu schaffende Werk sowie Instruktionen und Weisungen stellen nur dann einen eigenschöpferischen Beitrag des Künstlers dar, wenn sich diese bestimmend auf die konkrete Form des Kunstwerks auswirken. Ob der Einfluss des Künstlers für die konkrete Form des Kunstwerks hinreichend prägend war, muss im Einzelfall unter Heranziehung des Beitrags des Künstlers und der konkreten Gestalt und Eigenart des von der KI generierten Ergebnisses beurteilt werden.

3. Urheberschaft des KI-Entwicklers?

Diskutiert wird auch die Urheberschaft des Entwicklers der KI an dem durch diese geschaffenen Kunstwerk. Auch für den Entwickler müssen jedoch die oben für den Künstler aufgestellten Kriterien gelten: Er kann nur dann Urheber des entstanden Kunstwerks sein, wenn er – durch die Entwicklung der KI – einen konkret formativen Einfluss auf das von der KI erzeugte Ergebnis hatte. Hieran wird es in der Regel fehlen. Die bloße geistige Schöpfung für das ursprüngliche Programm, auf dem die KI basiert, ist für die Urheberschaft an dem durch die KI generierten Werk nicht ausreichend.

III. Fazit

Ausschließlich von KI geschaffene Kunst ist nicht nach § 2 UrhG geschützt. Sofern hingegen ein Künstler ein Kunstwerk mittels KI schafft, muss im Einzelfall untersucht werden, ob er einen hinreichend prägenden Einfluss auf die konkrete Form und Gestalt des durch die KI generierten Ergebnisses hatte. Nur wenn ein unmittelbarer Zusammenhang zwischen dem eigenschöpferischen Beitrag des Künstlers und dem KI-Output besteht, kommt der Künstler als Urheber des entstandenen Werkes in Betracht. Nach den gleichen Maßstäben ist eine mögliche Urheberschaft des Entwicklers einer KI an dem durch diese erzeugten Ergebnis zu beurteilen.

Vor diesem Hintergrund wird ein urheberrechtlicher Schutz des eingangs erwähnten Portraits von „Edmond de Belamy“ abgelehnt. Angesichts der aus über 15.000 Portraits bestehenden Datenbasis, auf deren Grundlage die KI das Bild schuf und der sich hieraus ergebenden Varianz, sei es fernliegend, dass die hinter dem Projekt stehenden Entwickler einen formativen Einfluss auf die konkrete Gestalt und Eigenart des generierten Erzeugnisses hatten². Selbst wenn die Datenbasis, auf deren Grundlage die KI im Fall des Projekts „The Next Rembrandt“ gearbeitet hat und die sich daraus ergebende Varianz deutlich geringer war als im vorgenannten Fall, erscheint ein hinreichend formativ prägender Einfluss der hinter dem Vorhaben stehenden Entwickler hier ebenfalls fernliegend. Auch die urheberrechtliche Schutzfähigkeit der Datenskulpturen des Medienkünstlers Refik Anadol ist angesichts der durch die KI generierten Zufallsergebnisse fraglich. Für einen urheberrechtlichen Schutz müsste im Einzelfall ein hinreichend prägender und formativer Einfluss Anadols auf die jeweils mittels KI generierte Datenskulptur nachgewiesen werden.

Dr. David Moll

¹Die ebenfalls diskutierte Frage des Schutzes von mittels KI generierter Kunst durch das Datenbankherstellerrecht gemäß §§ 87a ff. UrhG ist nicht Gegenstand dieses Beitrages.

²So Dornis, GRUR 2021, 784, 789.

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Freiburg, 15. September 2022 – Die internationale Wirtschaftskanzlei ADVANT Beiten hat mit einem Team um die federführende Partnerin Dr. Barbara Mayer die SV Gruppe - Schwäbischer Verlag GmbH & Co KG Drexler, Gessler - bei der Übernahme von 100 Prozent der Anteile an dem E-Commerce Unternehmen Print Royal GmbH beraten. Über das Transaktionsvolumen haben die Parteien Stillschweigen vereinbart.

Die SV Gruppe beschäftigt rund 2.500 Mitarbeiterinnen und Mitarbeiter in sechs Bundesländern. Das Unternehmen mit Sitz in Ravensburg deckt mit seinem Portfolio die komplette Bandbreite der Medien und mediennahen Dienstleistungen ab und setzt auf regionale und lokale Inhalte für seine Leser, Zuschauer, Hörer, Internetnutzer und Werbepartner. Kernprodukte sind die „Schwäbische Zeitung“ und der „Nordkurier“ mit ihren verschiedenen Print- und Digitalausgaben. Zum Medienmix gehören daneben die Anzeigenblätter „Südfinder“ und „Lokalfuchs“, Deutschlands größte regionale Privatsendergruppe „Regio TV“ sowie zahlreiche Special-Interest-Magazine und Amtsblätter.

Die Integration der in Oranienburg bei Berlin ansässigen Print Royal als hundertprozentige Tochter ermöglicht es, das stark wachsende E-Commerce-Business weiter auszubauen und dieses Geschäftsfeld als Säule in der SV Gruppe zu etablieren. Print Royal, 2017 gegründet, erhält Zugriff auf kompatible Bereiche wie Logistik und Fulfillment der SV Gruppe und kann zentrale Shared Services gezielt nutzen.

Print Royal hat über 30 feste Mitarbeiterinnen und Mitarbeiter und personalisiert eine große Breite an Konsumgütern am Standort Oranienburg. Über mehrere Plattformen, darunter www.printroyal.de, erfolgt der Vertrieb an Privat- als auch Business-Kunden. Personalisierung gehört zu den wichtigen, nachhaltigen Trends im E-Commerce.

Berater SV Gruppe:
ADVANT Beiten: Dr. Barbara Mayer (Corporate / M&A, Freiburg), Christian Burmeister (Corporate / M&A, Berlin), Simon Schuler (Corporate / M&A, Freiburg).

Berater Print Royal:
CMS Hasche Sigle; in rebus corporate finance

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
Tel.: +49 (69) 75 60 95 - 570
E-Mail: Frauke.Reuther@advant-beiten.com

Dr. Barbara Mayer
Rechtsanwältin
ADVANT Beiten
Tel.: +49 (761) 15 09 84 - 14
E-Mail: Barbara.Mayer@advant-beiten.com

Zur besseren Lesbarkeit wird in dem vorliegenden Beitrag auf die gleichzeitige Verwendung männlicher und weiblicher Sprachformen verzichtet. Es wird das generische Maskulin verwendet, wobei alle Geschlechter gleichermaßen gemeint sind.

Was hätten die Hinterbliebenen in Deutschland als Schadensersatz erhalten?

Dr. Marc-Oliver Srocke, Rechtsanwalt und Fachanwalt für Urheber- und Medienrecht, im Interview mit DER SPIEGEL vom 2. September 2022. Den gesamten Beitrag lesen Sie hier: LINK

Zur Einführung: Metaversen sind spätestens seit 2021, als sich Facebook in Meta umbenannte, wieder im Gespräch. Es sind konsistente und persistente digitale Räume, die durch die Konvergenz von virtueller, erweiterter und physischer Realität entstehen. Die Visionen sind gewaltig. Auch der Rechtsmarkt lässt sich locken: „Gleiss eröffnet Büro im Metaversum”, las man kürzlich. – und als erste größere Kanzlei in der virtuellen Welt galt damals Field Fisher Waterhouse...“ 

Das gesamte Interview mit unserem Partner Dr. Andreas Lober finden Sie auf der Webseite von Libra, eine Marke der juris GmbH, unter: Link

Von ADVANT Beiten werden 73 Juristinnen und Juristen in mindestens einem Rechtsgebiet empfohlen, dabei sind alle fünf deutschen Standorte der Kanzlei vertreten: München mit 34 Berufsträgern, Berlin mit 10 und Frankfurt mit 13, Düsseldorf mit 11 und Hamburg mit 5. Hinzu kommen zwei Berufsträger als „Ones to Watch“.

Die vollständige Liste aller empfohlenen ADVANT Beiten-Anwältinnen und Anwälte können Sie hier einsehen.

Weitere Informationen zur Omnibus-Richtlinie erhalten Sie in diesem Video von unserer Partnerin Dr. Julia Offermanns.

An dem Projekt beteiligt sind elf Gründungsgesellschafter, darunter Antenne NRW, radio NRW, ffn und ROCK ANTENNE. Die Landesanstalt für Medien NRW hat den Antrag der neu gegründeten NRW Audio GmbH & Co. KG für das landesweit ausgerichtete Hörfunk-Vollprogramm und den entsprechenden Antrag auf Zuweisung der verfügbaren UKW-Frequenzkette nun genehmigt. Das Programm soll im Sommer 2022 an den Start gehen. Es wird mit seiner Ausrichtung als landesweites privates Vollprogramm für junge Erwachsene einmalig in NRW sein und ein breites Themenspektrum aus den Bereichen Information, Bildung, Beratung und Unterhaltung abdecken.

Zum Hintergrund:
Am Ende der im April 2021 ausgeschriebenen Zuweisung wird ein landesweites Privatradio mit einer technischen UKW-Reichweite von 7,1 Millionen Menschen in NRW (voll versorgt, darüber hinaus 5,7 Millionen bedingt versorgt) eines der reichweitenstärksten Einzelprogramme in Deutschland. Im Rahmen des landesrechtlich vorgesehenen Verständigungsverfahrens hat die Landesanstalt für Medien NRW die Gründung des neuen Veranstalters aufsichtsrechtlich begleitet und am 8. März 2022 die Genehmigungen erteilt.

Im Rahmen des Verständigungsverfahrens hatten sich die elf zugelassenen Bewerberinnen und Bewerber geeinigt, das gemeinsame Programm anzubieten. Die Gesellschafter der neuen Unternehmung NRW Audio GmbH & Co. KG sind Antenne NRW GmbH & Co. KG, radio NRW GmbH, ffnrw GmbH, NiedersachsenRock 21 GmbH & Co. KG, KISS FM Radio GmbH & Co. KG, Metropol FM GmbH, Radio TEDDY GmbH & Co. KG, ROCK ANTENNE GmbH & Co. KG, Studio Gong NRW GmbH & Co. Studiobetriebs KG, Arabella NRW GmbH & Co. KG i. G. und Plattform für regionale Musikwirtschaft GmbH. Geschäftsführer der Komplementärgesellschaft sind Herr Felix Kovac (auch Geschäftsführer von ANTENNE BAYERN und Antenne NRW), der auch Programmverantwortlicher ist, und Herr Harald Gehrung (auch Geschäftsführer von ffn).

Die Beratung spiegelt die praxisgruppenübergreifende Stärke von ADVANT Beiten wider und vereint sowohl komplexe medienrechtliche, gesellschaftsrechtliche als auch kartellrechtliche Fragestellungen. Das Projekt ist in dieser Form einzigartig in der Rundfunklandschaft und gilt als richtungsweisend für die Zukunft.

Berater Gründungsgesellschafter und NRW Audio GmbH Co. KG:
ADVANT Beiten: Dr. Holger Weimann (Federführung, Rundfunkrecht), Dr. Markus Ley (Gesellschaftsrecht), Dr. Christian Heinichen und Christoph Heinrich (beide Kartellrecht, alle München).

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Dr. Holger Weimann
Rechtsanwalt
ADVANT Beiten 
+49 (89) 3 50 65 - 1312
Holger.Weimann@advant-beiten.com

Zum Sachverhalt

Der SPIEGEL veröffentlichte auf seiner Internetseite ein Interview, in dem die Antragstellerin des Ausgangsverfahrens kritisiert wurde. Die Antragstellerin stellte daraufhin beim Landgericht Hamburg nach erfolgloser Abmahnung einen Antrag auf Erlass einer einstweiligen Unterlassungsverfügung. Der begehrte Unterlassungstenor entsprach der zuvor außergerichtlich geforderten Unterlassungserklärung. Nachdem das Gericht dem Anwalt der Antragstellerin telefonisch mitteilte, dass die Anträge nach vorläufiger Beratung keine Aussicht auf Erfolg hätten, formulierte die Antragstellerin ihren ursprünglich gestellten Antrag um und ergänzte zwei Hilfsanträge. Das Landgericht wies den Antrag auch in seiner nachgebesserten Form durch Beschluss zurück. Im Verfahren der sofortigen Beschwerde wies ein Richter des Pressesenats des Oberlandesgerichts Hamburg den Anwalt der Antragstellerin telefonisch darauf hin, dass man nur einem bestimmten Antrag stattgeben werde. Die Antragstellerin nahm die übrigen Anträge daraufhin zurück. Das Oberlandesgericht erließ anschließend eine einstweilige Unterlassungsverfügung „der Dringlichkeit wegen ohne mündliche Verhandlung“ gegen den SPIEGEL, der zuvor nicht angehört worden war.

Zur Entscheidung

Durch den Erlass der einstweiligen Verfügung ohne vorherige Anhörung des SPIEGEL war laut BVerfG keine Gleichwertigkeit der prozessualen Stellung gegenüber dem Verfahrensgegner gewährleistet. Der Verfügungsantrag, dem der Pressesenat stattgab, entsprach nicht mehr der außerprozessualen Abmahnung. Er war wesentlich verändert worden. Zudem waren mehrere gerichtliche Hinweise an die Antragstellerin ergangen, infolge derer sie ihre Anträge umgestellt, ergänzt und teilweise zurückgenommen hatte. Während die Antragstellerin somit mehrfach und flexibel nachsteuern konnte, um ein für sie positives Ergebnis des Verfahrens zu erreichen, hatte der SPIEGEL laut BVerfG keinerlei Möglichkeit, auf die veränderte Sach- und Streitlage zu reagieren. Der Verlag wusste bis zur Zustellung der einstweiligen Verfügung nicht, dass überhaupt ein Verfahren gegen ihn geführt wurde. Dies alles verletzt die prozessuale Waffengleichheit.

Zur Bedeutung

Das Bundesverfassungsgericht folgt in seiner Entscheidung der Begründung der Verfassungsbeschwerde und betont mit deutlichen Worten die hohe Bedeutung des Grundsatzes der prozessualen Waffengleichheit. Zum Schutz dieses Grundrechts hatte das Gericht in vorherigen Entscheidungen bereits klare Spielregeln speziell für presserechtliche Verfügungsverfahren entwickelt. Aufgrund des wiederholten Verstoßes gegen diese Vorgaben wurde das OLG Hamburg nunmehr sogar erstmals ausdrücklich auf die rechtliche Bindungswirkung der Entscheidungen des Bundesverfassungsgerichts hingewiesen. Mit dieser klaren Positionierung haben die Karlsruher Richter die Verfahrensgrundrechte nicht nur des SPIEGEL, sondern aller Verlage und Medienhäuser und somit letztlich die Pressefreiheit gestärkt.

ADVANT Beiten-Partner Marc-Oliver Srocke vertritt die SPIEGEL-Gruppe regelmäßig in gerichtlichen Auseinandersetzungen und konnte dabei bereits zahlreiche Grundsatzentscheidungen zugunsten seiner Mandantin erwirken.

Kontakt
Dr. Marc-Oliver Srocke
Rechtsanwalt, Fachanwalt für Urheber- und Medienrecht
ADVANT Beiten
+49 (40) 68 87 45 - 0
oliver.srocke@advant-beiten.com

Pressekontakt
Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
frauke.reuther@advant-beiten.com

Unsere Partner Dr. Andreas Lober (Medien/Entertainment), Dr. Wolfgang Lipinski (Arbeitsrecht) und Dr. Gerrit Ponath (Private Clients und Nonprofit-Sektor) werden als führende Namen in ihrem jeweiligen Rechtsgebiet gelistet. Wojtek Ropel (Medien/Entertainment) und Katharina Fink (Private Clients und Nonprofit-Sektor) zählen zu den Namen der nächsten Generation. Zudem sind zahlreiche Anwälte und Anwältinnen auf der Empfehlungsliste der verschiedenen Rechtsgebiete vertreten.

Rechtsgebiete/Praxisbereiche im Ranking:

Arbeitsrecht, Gesellschaftsrecht und M&A (mittelgroße Deals), Gewerblicher Rechtsschutz (Markenrecht und Wettbewerbsrecht), Immobilien- und Baurecht (Immobilienrecht und Projektentwicklung), Informationstechnologie (Datenschutz und IT/Digitalisierung), Medien (Gaming, Entertainment, Presse- und Verlagsrecht), Private Clients und Nonprofit-Sektor, Öffentliches Recht (Planungs- und Umweltrecht, Vergaberecht, Beihilfenrecht).

Wir gratulieren den Praxis- und Branchengruppen sowie unseren empfohlenen Anwältinnen und Anwälten.

Hintergrund:
The Legal 500 wird seit 35 Jahren veröffentlicht und ist ein unabhängiges Handbuch. Kanzleien sowie Anwälte bzw. Anwältinnen werden ausschließlich aufgrund ihrer Leistung empfohlen. Inhouse-Juristen und -Juristinnen erhalten einen umfassenden Überblick über rund 400 Wirtschaftsrechtskanzleien und 2700 Anwälte in Deutschland. Die Analyse umfasst 23 Praxisbereiche und 90 Rankings. Im Rahmen der Recherche von The Legal 500 Deutschland werden hunderte von Interviews mit Anwälten und Anwältinnen geführt und mehr als 23.000 Mandanten befragt.

Das gesamte Interview von Dr. Adreas Lober vom 08. Februar 2022 in der GamesWirtschaft, kann hier eingesehen werden.

So hat Christie's eine Kooperation mit der NFT-Handelsplattform Open Sea gestartet und im Dezember 2021 erste Auktionen über diese Plattform durchgeführt. Auch der Konkurrent Sotheby's schläft nicht und betreibt bereits seit Anfang des Jahres 2021 ein Auktionshaus in der interaktiven virtuellen Welt Decentraland. Über dieses digitale Auktionshaus können Nutzerinnen und Nutzer mit NFT-Kunst und anderen digitalen Werken handeln. Im Oktober 2021 verkündete Sotheby's dann mit dem Launch einer eigenen NFT-Handelsplattform unter dem Namen „Sotheby's Metaverse“ den nächsten großen Schritt in Richtung Verknüpfung von analoger und virtueller Kunstwelt.

Ein weiterer Paukenschlag folgte Anfang Dezember 2021 mit der Auktion des NFT-Kunstwerks „the Merge“ des Künstlers PAK über die NFT-Handelsplattform Nifty Gateway, bei der ein Rekorderlös von insgesamt 91,8 Millionen USD erzielt wurde. Die Besonderheit bestand in diesem Fall darin, dass das Werk in einem komplexen Verfahren in insgesamt 266.455 Einheiten und entsprechende NFTs aufgesplittet wurde (sog. „Fraktionalisierung“) und an über 28.000 Käufer verkauft wurde. Betrachtet man nur den Gesamtverkaufserlös, hat „the Merge“ nicht nur den Beeple-Rekord für das teuerste NFT-Kunstwerk gebrochen, sondern ist auch das teuerste Kunstwerk eines lebenden Künstlers, das jemals öffentlich verkauft wurde.

Doch was macht digitale NFT-Kunst so wertvoll? Zur Beantwortung dieser Frage hilft es, sich das bisherige Grundproblem digitaler Kunst zu vergegenwärtigen: Sie ist sehr leicht in identischer Form reproduzierbar. Die Erschaffung singulärer Digitalkunstwerke war daher unmöglich. Künstlerinnen und Künstler konnten nach der Veröffentlichung nicht mehr kontrollieren, ob ihre Werke kopiert und weiterverbreitet werden.

Die digitale Kunst ist daher ein idealer Anwendungsfall für den Einsatz der blockchainbasierten NFTs. Wie sich aus der Bezeichnung ergibt, sind NFTs „non-fungible“, d. h. nicht austauschbar und deshalb einzigartig. Sie bilden somit das Gegenstück zu den sog. „Fungible Token“, die beliebig austauschbar und deren Hauptanwendungsfall die verschiedenen Kryptowährungen sind. Wird ein digitales Kunstwerk nun mit einem solchen einzigartigen NFT verknüpft (sog. „Tokenisierung“), entsteht eine Art Zertifikat, das es seinem Inhaber ermöglicht, sich als exklusiver Inhaber des verknüpften digitalen Kunstwerks auszugeben. Das tokenisierte Kunstwerk wird daher zu einer Art digitalem Originalkunstwerk. Damit wird digitale Kunst erstmals wirklich handelbar. Dies hat innerhalb des letzten Jahres zu einem exponentiellen Anstieg des Kaufinteresses an digitaler Kunst und zu einer Explosion der Verkaufserlöse geführt.

Die Auflistung der Beispiele für den boomenden NFT-Kunstmarkt lässt sich endlos weiterführen. Doch während ein Verkaufsrekord den nächsten jagt, stellt sich die Frage, wie rechtssicher der Handel mit NFT-Kunst überhaupt ist. Dieser Beitrag soll einen Überblick über verschiedene im Zusammenhang mit digitaler NFT-Kunst bestehende rechtliche Probleme und aktuell diskutierte Rechtsfragen geben.

I. Technischer Hintergrund

Bevor die rechtlichen Probleme im Zusammenhang mit NFT-Kunst erläutert werden können, bedarf es einer kurzen Darstellung der Grundzüge der blockchainbasierten NFT-Technologie:

Die Blockchain² kann als eine sich ständig erweiternde öffentliche Datenbank beschrieben werden, die dezentral über eine unbegrenzte Anzahl beteiligter Rechner in einem globalen Netzwerk laufend aktualisiert wird. Diese Datenbank besteht aus einzelnen Blöcken, in denen bestimmte Informationen der Blockchain-Teilnehmer (z. B. Transaktionen) gespeichert werden. Die Blöcke sind dabei auf eine Art und Weise kryptografisch miteinander verkettet, dass jeder neue Block den vorherigen Block eindeutig referenziert. Durch diese Verkettung kann sichergestellt werden, dass die in den früheren Blöcken gespeicherten Daten nicht nachträglich abgeändert werden können. Da die ganze Blockchain auf sämtlichen beteiligten Rechnern hinterlegt ist, können die Daten auch nicht durch eine einzelne zentrale Stelle manipuliert werden.

Innerhalb einer Blockchain können Vermögenswerte durch NFTs repräsentiert werden. Die Erstellung von NFTs (sog. „Minting“ bzw. deutsch „Prägen“) ist nur auf frei programmierbaren Blockchains (z. B. Ethereum) möglich. Auf solchen Blockchains können NFTs durch sog. „Smart Contracts“ erzeugt werden. Bei Smart Contracts handelt es sich nicht um Verträge im rechtlichen Sinne, sondern um Programmcodes, die nicht nur bestimmte Vertragsbedingungen technisch abbilden, sondern auch deren Umsetzung dokumentieren und steuern können. Nachträgliche Veränderungen von Smart Contracts sind aufgrund der beschriebenen Funktionsweise der Blockchain nicht möglich.

Jedes NFT verfügt über eine sog. „Token-ID“ und ist über diese, in Kombination mit der Adresse des Smart Contracts über den das NFT generiert wurde, eindeutig identifizierbar. Darüber hinaus können in dem Smart Contract eines NFT insbesondere Informationen zu dem von dem Token repräsentierten Vermögenswert sowie zu dem Inhaber gebündelt werden. Sofern der Token ein digitales Kunstwerk repräsentiert, wird die entsprechende Bilddatei in aller Regel nicht selbst in dem Smart Contract abgebildet, sondern lediglich verlinkt. Bei dieser Verlinkung sind verschiedene Ausgestaltungen möglich. Eine Möglichkeit, die z. B. bei dem erwähnten Beeple-NFT genutzt wurde, ist die Verlinkung des Smart Contracts mit dem sog. „IPFS-Hashwert“. Dabei handelt es sich um einen eindeutigen kryptografisch erzeugten Fingerabdruck einer Datei. Bei dem Beeple-NFT wurde nicht direkt der Hashwert der Bilddatei verlinkt, sondern eine Textdatei, die die wichtigsten Metadaten zu dem Bild enthält. Erst über einen weiteren Link gelangt man zur eigentlichen Bilddatei des Beeple-Werks.

II. Viele ungeklärte Rechtsfragen

Angesicht der schlagzeilenträchtigen Verkäufe von NFT-Kunst verwundert es nicht, dass sich auch die juristische Literatur in den letzten Monaten vermehrt mit dem Thema befasst hat. Da es in Deutschland bisher kein Gesetz gibt, dass für eine klare rechtliche Einordnung von NFTs, NFT-Transaktionen und den damit im Zusammenhang stehenden Fragen sorgt, ist eine rege und offene Diskussion über das Phänomen NFTs entstanden. Hierüber soll der Beitrag einen Überblick geben.

1. Eigentumsähnlichkeit von NFTs

Da es sich bei NFTs mangels Körperlichkeit nicht um Sachen gemäß § 90 BGB handelt, können NFTs nicht als Eigentum im Sinne von § 903 BGB eingestuft werden. Erwogen wird jedoch die analoge Anwendung von § 903 BGB. Die für eine solche Analogie erforderliche planwidrige Regelungslücke dürfte vorhanden sein, da der Gesetzgeber das Thema NFTs wohl bisher nicht wahrgenommen hat. Darüber hinaus können die Interessen des Inhabers eines NFTs durchaus mit denen des Eigentümers eines körperlichen Gegenstandes verglichen werden. Genau wie dem Eigentum, kommt dem NFT in gewisser Weise eine Zuordnungs- und Ausschlussfunktion zu, da er über den Smart Contract einem bestimmten Inhaber zugewiesen ist und andere Nutzer von seiner Nutzung ausgeschlossen sind. Zudem wird vertreten, dass durch die Zuordnung des NFT zu einem einzigen Berechtigten und die durch den Smart Contract gewährleistete Transparenz, dem sachenrechtlichen Publizitäts- und Bestimmtheitsgrundsatz hinreichend Rechnung getragen wird. Aufgrund der Eigentumsähnlichkeit von NFTs scheint daher eine analoge Anwendung von § 903 BGB vertretbar. Klarheit könnte der Gesetzgeber durch eine (mit § 2 Abs. 3 eWPG vergleichbare) gesetzliche Fiktion schaffen, nach welcher NFTs als Sachen im Sinne des § 90 BGB gelten.

Darüber hinaus wird vertreten, dass NFTs als sonstige Rechte im Sinne von § 823 Abs. 1 BGB einzustufen sind. Die dazu erforderliche eigentümerähnliche Position dürfte dem Inhaber eines NFTs wie oben dargestellt zukommen. Die Einstufung des NFT als sonstiges Recht im Sinne des § 823 Abs. 1 BGB scheint daher ebenfalls vertretbar.

2. Urheberrechtliche Relevanz des Minting

Rege diskutiert wird auch die Frage, ob das Minting eines mit einem digitalen Werk verknüpften NFT zu einer urheberrechtlich relevanten Nutzung dieses Werkes führt. Hierbei ist zu beachten, dass das digitale Kunstwerk selbst in aller Regel im Smart Contract nur verlinkt wird (vgl. oben Ziff. I.). Eine Vervielfältigung im Sinne von § 16 UrhG kommt daher nicht in Betracht. Auch eine öffentliche Zugänglichmachung des digitalen Werks gemäß § 19a UrhG durch die Setzung des Links in dem Smart Contract wird jedenfalls dann regelmäßig ausscheiden, wenn der Urheber das Werk selbst online gestellt hat. In diesem Fall handelt es sich beim Minting nicht um eine urheberrechtlich relevante Verwertungshandlung.

3. Welche Nutzungsrechte erwirbt der Käufer?

Ob der Käufer eines NFT auch die Nutzungsrechte an dem durch das NFT repräsentierten Kunstwerk erwirbt, hängt von dem im Einzelfall zu ermittelnden Parteiwillen ab. Keineswegs ist mit einer NFT-Transaktion stets eine Übertragung von Nutzungsrechten verbunden. Die Rechteeinräumung sollte daher transparent geregelt werden. Regelmäßig wird sich der Umfang der Rechteeinräumung aus den Allgemeinen Geschäftsbedingungen der jeweiligen NFT-Handelsplattform ergeben. Darüber hinaus können die Lizenzbedingungen auch in den Metadaten des Smart Contracts verlinkt werden.

4. Urheberrechtliche Bewertung des Verkaufs von NFT-Kunst

Diskutiert wird auch die Frage, wie der Verkauf von NFT-Kunst urheberrechtlich einzuordnen ist. Da das mit dem NFT verknüpfte digitale Kunstwerk im Smart Contract im Regelfall lediglich verlinkt wird (vgl. oben Ziff. I.), wird dieses durch die Transaktion nicht angetastet. Mit dem Verkauf des NFT in der Blockchain geht daher keine Vervielfältigung oder Verbreitung (§§ 16, 17 UrhG) des Werkes einher. Auch eine öffentliche Zugänglichmachung gemäß § 19a UrhG scheidet aus, da die Verlinkung des Kunstwerks in dem Smart Contract schon im Rahmen des Minting erfolgt ist (das regelmäßig selbst bereits nicht § 19a UrhG unterfällt, vgl. oben Ziff. II. 2).

Urheberrechtlich relevant können daher allenfalls etwaige verkaufsbegleitende Maßnahmen sein, wie z. B. die Bewerbung des NFT mit einer Vorschau auf das verknüpfte Werk auf der Verkaufsplattform. Darin wird regelmäßig eine Vervielfältigung (§ 16 UrhG) und eine öffentliche Zugänglichmachung (§ 19a UrhG) liegen.

5. Erhebliches Missbrauchsrisiko!

Rein technisch kann jeder ein NFT für ein online veröffentlichtes digitales Kunstwerk prägen. Es gibt daher keine Garantie, dass der Ersteller des NFT tatsächlich auch der Urheber des Kunstwerks bzw. zumindest der Rechteinhaber ist. Genau wie ein Fälscher eines Gemäldes die Signatur eines der alten Meister auf ein Bild schreiben kann, kann auch ein betrügerischer Internetnutzer ein NFT für ein digitales Werk prägen und behaupten, es sei das Original oder zumindest eine autorisierte Kopie. Da ein gutgläubiger Erwerb urheberrechtlicher Nutzungsrechte nicht möglich ist, geht der Erwerber in diesem Falle leer aus. Auch der Rechteinhaber hat grundsätzlich keine rechtliche Handhabe gegen das unberechtigte Minting, da dieses keine urheberrechtlich relevante Verwertungshandlung darstellt (vgl. oben Ziff. II. 2).

Es verwundert daher nicht, dass bereits die ersten Fälle von unberechtigten NFT-Prägungen Schlagzeilen machen. So warfen im November letzten Jahres mehrere bekannten Künstlerinnen und Künstler dem Londoner Kurator und Gründer des „Art Wars“-Projekts Ben Moore vor, unberechtigt NFTs von Fotos der von ihnen im Zuge dieses Projekts geschaffenen Werke geprägt und verkauft zu haben.

6. Automatisierte Beteiligung am Verkaufserlös

Großes Potential bietet die Möglichkeit bei NFT-Kunst, eine Partizipation der Künstler an künftigen Verkaufserlösen über den Smart Contract zu automatisieren. Der Ersteller des NFT kann im Smart Contract festlegen, dass ihm stets ein bestimmter Anteil an künftigen Weiterveräußerungserlösen zufließt. Wird der NFT veräußert, überweist die Blockchain den Betrag automatisch an den Ersteller.

Eine solche automatisierte Erlösbeteiligung über den Smart Contract ist den Schöpfern von digitalen NFT-Kunstwerken auch aus rechtlichen Gründen zu empfehlen. Diese können sich in der Regel nämlich nicht auf eine Erlösbeteiligung aufgrund des urheberrechtlichen Folgerechts gemäß § 26 UrhG berufen, das grundsätzlich nur physische Originalwerke erfasst.

III. Bedeutung für Künstler und Kunsthandel

All das zeigt, dass im Zusammenhang mit dem Handel von NFT-Kunst zahlreiche Rechtsfragen ungeklärt sind. Der deutsche Gesetzgeber und die Rechtsprechung sind daher gefordert, die Rahmenbedingungen für eine rechtssichere Token-Wirtschaft zu schaffen. Bis dahin liegt es an den Künstlern, Galeristen und Plattformbetreibern, NFT-Transaktionen so transparent zu gestalten, dass für sämtliche Parteien die notwendige Rechtssicherheit besteht.

Vor allem können die Künstler selbst dazu beitragen, ein unberechtigtes Minting von NFTs ihrer Werke zu erschweren. Sinnvoll ist es in jedem Fall, digitale Kunstwerke nicht vor dem Minting des dazugehörigen NFT zu veröffentlichen. So haben Dritte gar nicht erst die Möglichkeit, erstmalig ein NFT zu dem Werk zu kreieren. Darüber hinaus sollten die Künstler (und Galerien) möglichst transparent veröffentlichen, welches NFT das mit ihrem Kunstwerk verknüpfte Original ist. Hierdurch können sie sich zumindest in gewissem Umfang absichern.

Dr. David Moll

¹Mit dem Begriff „NFT-Kunst“ werden hier mit einem NFT verknüpfte digitale Kunstwerke bezeichnet.

²Der Begriff „Blockchain“ wird hier im Sinne einer öffentlichen Blockchain verwendet.

Lesen Sie den vollständigen Artikel vom 18. Januar 2022 mit unserem Partner Dr. Marc-Oliver Srocke auf lto.de.

Lesen Sie den vollständigen Artikel vom 17. Januar 2022 mit unserem Partner Dr. Marc-Oliver Srocke auf dwdl.de.

Im Rahmen des Potsdamer Universitätsstipendienprogramms werden zehn Studierende der Fachrichtungen Jura, Informatik und Digital Engineering ein Jahr lang nicht nur finanziell gefördert. Sie erhalten im Smart Room Legal Tech ein von Experten ausgestaltetes und betreutes Rahmenprogramm, innerhalb dessen sie sich mit der Thematik der digital unterstützten Rechtsanwendung praktisch auseinandersetzen und selbst beispielhafte Legal Tech-Lösungen erarbeiten können. 

Mit Auftakt am 3. Dezember 2021 wird es im laufenden Studienjahr eine Reihe von Weiterbildungsveranstaltungen im Workshop-Format geben. Gemeinsam begleitet von Björn Steinrötter, Professor für Rechtsfragen der Digitalisierung, und Legal Tech-Experten der Kanzlei ADVANT Beiten, werden in den Workshops theoretische und praktische Fähigkeiten vermittelt. Die Studierenden können, je nach eigenem Interessenschwerpunkt, ihren Lernweg individuell mitgestalten.

Besonderes Augenmerk wird im "Smart Room Legal Tech" auf die Ermöglichung einer Zusammenarbeit von Informatik- und Jurastudierenden gelegt, um der zunehmenden Relevanz von Legal Tech-Anwendungen in der anwaltlichen Praxis gerecht zu werden. An der Schnittstelle der Fachgebiete wird mit dem Smart Room ein Denkrahmen geschaffen, der innovative interdisziplinäre Lösungsansätze fördert.

ADVANT Beiten verfügt über umfangreiche Expertise in der Entwicklung und beim Einsatz von Legal Tech-Lösungen, beispielsweise in der Bearbeitung von Masseverfahren und in der Erstellung Digitaler Produkte wie dem prämierten Entsendetool BBGO, einer innovativen Arbeitsrechtslösung. ADVANT Beiten sieht in dem Format "Smart Room Legal Tech" eine hervorragende Möglichkeit, Talente aus verschiedenen Disziplinen nicht nur zu fördern, sondern auch für die zukünftigen Herausforderungen einer Wirtschaftskanzlei zu begeistern.

Das Stipendienprogramm der Universität Potsdam im Rahmen des bundesweiten Deutschlandstipendium-Programms vergibt Leistungsstipendien an Studierende, um sie möglichst früh in ihrer akademischen Laufbahn zu unterstützen. Das Stipendium wird zur einen Hälfte von Stiftungen, Unternehmen oder Privatpersonen und zur anderen Hälfte vom Bund (BMBF) finanziert. Berücksichtigt werden bei der Vergabe neben überdurchschnittlichen Studienleistungen Kriterien wie gesellschaftliches Engagement, finanzielle Bedürftigkeit, Bildungsherkunft sowie familiäre und soziale Umstände.

Pressekontakt

Frauke Reuther
Manager Kommunikation
ADVANT Beiten
+49 (69) 75 60 95 - 570
Frauke.Reuther@advant-beiten.com

Oliver Schwarz
Rechtsanwalt
ADVANT Beiten
+49 30 26471-311
Oliver.Schwarz@advant-beiten.com

Das neue Urheberrechts-Diensteanbieter-Gesetz (UrhDaG) tritt zum 1. August in Kraft, gleichzeitig finden sich umfangreiche Änderungen im Urhebergesetz (UrhG) selbst, die bereits seit 7. Juni 2021 in Kraft sind.

Sollen Facebook, Youtube und Instagram selbst für Urheberrechtsverletzungen haften? Die Gerichte beschäftigt diese Frage seit Jahren, und in der Öffentlichkeit sind Konsequenzen automatisierter Upload Filter ein kontrovers diskutiertes Thema. Es gab also dringenden Handlungsbedarf. Das neue Urheberrecht stellt hier eine wichtige Weiche: Plattformanbieter müssen entweder Lizenzen für Inhalte erwerben, oder sie müssen rechtsverletzende Inhalte blockieren. Tun sie weder das eine noch das andere, dann haften sie in der Regel selbst für Urheberrechtsverletzungen. Der Gesetzgeber hat jedoch den hohen Stellenwert der Meinungsfreiheit bei dieser Neuregelung beachtet und beim Einsatz von Upload Filtern Ausnahmen für mutmaßlich erlaubte Nutzungen vorgesehen. Gemeint ist damit die geringfügige Nutzung fremder Inhalte oder die vom Uploader als erlaubt gekennzeichnete Nutzung (Flagging). Die Plattformen informieren den Rechteinhaber im Anschluss über den Upload und er kann Beschwerde einlegen.

Der EuGH hatte das Leistungsschutzrecht für Presseverleger 2019 aus formellen Gründen gekippt, jetzt wird es im Zuge der Reform neu eingeführt. JournalistInnen haben von nun an einen Anspruch auf eine angemessene Beteiligung an den Einnahmen, die die Presseverleger durch die Lizenzierung erhalten, um damit einer Ausbeutung journalistischer Inhalte entgegenzuwirken.

Das Text-und Data Mining ist eine Schlüsseltechnologie für maschinelles Lernen und künstliche Intelligenz. Das Urheberrecht passt sich auch hier den technischen Entwicklungen an, so ist die Auswertung großer Datenmengen nun aufgrund gesetzlicher Nutzungserlaubnisse ohne Vergütungspflicht möglich.

Reproduktionen visueller Werke, die gemeinfrei sind, erhalten künftig keinen Leistungsschutz mehr (§ 68 UrhG), wobei diese Neuregelung eine teilweise Abkehr zur aktuellen BGH Rechtsprechung darstellt.

Online-Angebote von Universitäten sind ab jetzt rechtssicher europaweit nutzbar, so dass damit digitales Lehren und Lernen einfacher wird.

Die Modernisierung des Urheberrechts ergeht auf Grundlage von zwei EU-Richtlinien und sorgt auf diese Weise für eine europaweite Harmonisierung.

Welche Auswirkungen ergeben sich durch die Neuregelungen für die anwaltliche Beratungspraxis? Auch wenn es unsicher ist, welche Plattformen vom neuen Haftungskonzept betroffen sind, werden Youtube, Facebook und Instagram auf automatisierte Verfahren in Form von Upload Filtern zurückgreifen, um ihre Sorgfaltspflichten zu erfüllen. Die Unterstützung von Anwälten wird in diesem Zusammenhang nötig sein, weil insbesondere die technischen Möglichkeiten zur Erkennbarkeit von zulässigen Zitaten und Parodien begrenzt sind.

Adrienne Bauer, Associate
 

Künstliche Intelligenz und Roboter dringen in unsere Industrie, Gesellschaft und unser Leben ein.

Mit diesem Buch wollen wir einen knappen Überblick über die aktuelle Rechtslage geben.

Eine kurze Darstellung wie die vorliegende kann dabei keinen Anspruch auf Vollständigkeit in Breite und Tiefe erheben.

Daneben wagen wir einen Ausblick auf künftig bevorstehende Entwicklungen und mögliche Anpassungen des Rechtsrahmens im Hinblick auf die fortschreitende Autonomie von KI- und Roboter-Systemen. Besonders spannend erscheinen uns hier Fragen um die Schutzfähigkeit von durch KI geschaffenen Werken einerseits und Haftungsfragen andererseits – bis hin zu der nicht nur provokanten Frage, ob Künstliche Intelligenzen Inhaber von Rechten sein sollten, vielleicht sogar eine Rechtspersönlichkeit erhalten. Auch hier können und wollen wir bei einem Werk mit beschränktem Umfang nur Denk- und Diskussionsanstöße geben.

Das Werk befindet sich überwiegend auf dem Stand von Januar 2021.

Zur besseren Lesbarkeit soll im Folgenden „Künstliche Intelligenz“ (kurz „KI“) als Oberbegriff verwendet werden, der sowohl (intelligente) Roboter als auch autonome und/oder selbstlernende Systeme, Computerprogramme und Anwendungen umfasst.

Dr. Andreas Lober

Mit der neuen Förderung stehen bis 2023 jedes Jahr 50 Millionen Euro zur Förderung von Games (oder Prototypen), die inhaltlich und entwicklerisch einen Bezug zu Deutschland aufweisen, zur Verfügung. Nachfolgend wollen wir Ihnen die Eckpunkte dieser Fördermaßnahme vorstellen:

Antragsverfahren

Anträge können ab dem 28. September gestellt werden. Antragsberechtigt sind dabei Unternehmen, die einen Sitz, eine Betriebsstätte oder eine Niederlassung in Deutschland während der gesamten Projektlaufzeit aufweisen und die Entwicklung des Spiels verantworten. Bei Ko-Entwicklungen gelten diese Anforderungen ebenfalls, dann für alle antragstellenden Unternehmen.

Die Gesamtfinanzierung des Vorhabens muss dabei gesichert sein und bspw. durch einen Finanzierungsplan nachgewiesen werden.

Förderungsumfang

Der jeweilige Förderanteil ist abhängig von der Höhe des Budgets, wobei die Entwicklungskosten eines Games mindestens EUR 100.000 betragen müssen:

• Bis zu einem Projektvolumen von EUR 2 Millionen werden 50 Prozent der zuwendungsfähigen Kosten gefördert.
• Bis zu einem Projektvolumen von EUR 8 Millionen werden nach einer bestimmten Formel degressiv 50 bis 25 Prozent der zuwendungsfähigen Kosten gefördert.
• Ab einem Projektvolumen von EUR 8 Millionen beträgt die Förderung 25 Prozent der zuwendungsfähigen Kosten.

Prototypen mit Entwicklungskosten zwischen EUR 30.000 und EUR 400.000 werden bis maximal 50 Prozent gefördert.

Besonders hervorzuheben ist, dass die Zuschüsse des Bundes, anders als Fördermittel der Länder, nicht zurückgezahlt werden müssen.

Die Bundesförderung kann dabei grundsätzlich auch mit Fördermitteln der Länder kombiniert werden, sofern Förderhöchstgrenzen nach deutschem oder europäischem Recht nicht überschritten werden. Eigenmittel sind „in Abhängigkeit von der gewährten Förderquote“ notwendig, mindestens aber zu 10 Prozent.

Wichtig zu wissen: Zuwendungsfähig sind nur Kosten, die unmittelbar in Zusammenhang mit dem Vorhaben stehen. Unteraufträge dürfen nur bis zu 50 Prozent der eigenen Personalkosten des Antragstellers erteilt werden. Kosten, die vor der Antragstellung angefallen sind, sind nicht förderfähig.

Kulturtest

Insbesondere ist für die Beurteilung, ob ein Vorhaben förderfähig ist, ein sogenannter „Kulturtest“ vorgesehen. Dies bedeutet, dass das zu fördernde Spiel diverse Kriterien, die in der Förderrichtlinie niedergelegt sind, erfüllen muss. Abstrakt sind dies inhaltliche, strukturell-personelle und kreativ-innovative Kriterien. Dabei bestehen allerdings gewisse Spielräume; ein Spiel muss nicht sämtliche Kriterien erfüllen. Zudem ist bei manchen Kriterien auch ein Bezug auf den Europäischen Wirtschaftsraum ausreichend.

Zu den inhaltlichen Kriterien zählen bspw. das Erscheinen in deutscher Sprache, ein Bezug zur Kultur, Gesellschaft oder Geschichte Deutschlands in Gameplay, Story oder Spieldesign oder das Beruhen auf einer Vorlage aus dem deutschen (Sprach-)Raum.

Strukturell-personelle Kriterien sind erfüllt, wenn entweder ein wesentlicher Teil der kreativen Arbeiten in Deutschland erfolgt oder mindestens 50 Prozent der Teammitglieder einen Bezug zu Deutschland haben (z. B. Wohnsitz oder in Deutschland erworbene Qualifikationen; bestimmte Teammitglieder wie u. a. Producer müssen dieses Kriterium in jedem Fall erfüllen) oder wenn das Team Absolventen deutscher Hochschulen enthält.

Weiterhin muss das zu fördernde Spiel besonders kreativ oder innovativ sein, bspw. hinsichtlich des Gameplays, des Designs oder durch die Anwendung Künstlicher Intelligenz.

Weitere zu beachtende Aspekte

Förderfähig sind (nur) Spiele, die binnen drei Monaten nach Projektende eine Alterskennzeichnung erhalten (Early-Access-Versionen o. ä. entsprechend bereits zur jeweiligen Veröffentlichung). Anderenfalls wird die Förderung durch den Bund zurückgefordert.

Hat das Vorhaben bereits begonnen, bevor die Förderung behördlich bewilligt wurde, ist eine Förderung grundsätzlich nicht mehr möglich. Ist ausnahmsweise ein vorzeitiger Förderungsbeginn für eine erfolgreiche Projektdurchführung unbedingt notwendig, kann dieser mit Begründung beantragt werden - mit dem Projekt darf aber erst nach der Genehmigung begonnen werden, soll die Förderung nicht gefährdet werden.

Projekte mit zuwendungsfähigen Entwicklungskosten von über EUR 40 Millionen (entsprechend EUR 10 Millionen Fördermitteln) werden ebenso wie Projekte von Antragstellern, die nicht mindestens eine Referenzentwicklung vorweisen können, gesondert begutachtet.

Gerne beraten Sie unsere Experten, wenn Sie an einer Förderung interessiert sind und begleiten Sie durch den Förderungsprozess. Auch wenn Sie allgemein Fragen zu weiteren Aspekten der Förderung haben, helfen wir Ihnen gerne weiter.

Dr. Florian Jäkel-Gottmann

Dr. Andreas Lober

Wir geben Ihnen nachfolgend einen kurzen Überblick dazu, wie und unter welchen Voraussetzungen ein Live-Stream anzuzeigen ist.

Für wen gilt das vereinfachte Anzeigeverfahren?

Besteht eine Anzeigepflicht (dazu sogleich unten), gilt das vereinfachte Anzeigeverfahren nicht für sämtliche Live-Streams. Vielmehr sind Live-Streams nur dann privilegiert, wenn sie „kulturelle oder religiöse Veranstaltungen oder Bildungsangebote“ betreffen.

Insbesondere den Begriff der Veranstaltung wird man derzeit aber weit auslegen müssen: Angesichts der bestehenden Kontaktverbote und anderer Bestimmungen kann eine "Veranstaltung" aktuell üblicherweise kein Publikum verlangen. Die heimische Lesung oder der Gottesdienst in einer leeren Kirche sind daher als „Veranstaltungen“ zu sehen. Die Frage, ob ein Angebot „kulturell“ ist, bleibt eine Frage des Einzelfalls, sollte gegenwärtig aber auch großzügig beantwortet werden.

Warum und für wen gibt es eine Anzeigepflicht?

Der Rundfunkstaatsvertrag der Bundesländer sieht vor, dass bei der Veranstaltung von „privatem Rundfunk“ eine Zulassung notwendig ist, eine sogenannte Rundfunklizenz. Um diese zu erlangen, muss grundsätzlich eine Anzeige bei der zuständigen Medienanstalt erfolgen.

Diese Pflicht gilt auch für Dienste, die über das Internet erbracht werden, wenn sie rechtlich als „Rundfunk“ zu qualifizieren sind. Allerdings ist nicht jeder Live-Stream auch gleich als zulassungspflichtiger „Rundfunk“ einzustufen.

Was ist "Rundfunk"?

Rundfunk liegt im Wesentlichen dann vor, wenn folgende vier Kernmerkmale erfüllt sind:

• Lineare Verbreitung: Live-Streams werden dann linear verbreitet, wenn sie – zunächst – keine Möglichkeit bieten, dass der jeweilige Zuschauer zu bereits vergangenen Teilen des Streams zurückgehen kann, ebenso wenig wie er zu künftigen Teilen „vorspulen“ kann. In diesem Sinne sind (echte) Live-Streams üblicherweise linear. Dies gilt auch dann, wenn der Live-Stream nachträglich noch zum Abruf „on demand" angeboten wird.
  Live-Streams, die zwar als solche bezeichnet werden, aber tatsächlich ein sendezeitunabhängiges Angebot darstellen, sind nicht lizenzpflichtig. Stellt also eine Band ein Video bei YouTube ein, das ausschließlich on demand verfügbar war und ist, stellt dieses Video kein lineares Angebot dar – auch wenn die Band das Video als „Live-Stream“ bezeichnet.
• Gleichzeitig 500 oder mehr potenzielle Zuschauer: Dieses Kriterium ist, folgt man der Ansicht der Medienanstalten, bei Live-Streams im Internet in aller Regel erfüllt, weil über das Internet zahllose Zuschauer „potenziell“ erreicht werden können. Nur dann, wenn der Anbieter von vornherein die Teilnehmerzahl auf maximal 499 begrenzt, ist diese Anzahl „potenzieller Zuschauer“ nicht erreicht.
  Ist die Teilnehmerzahl nicht begrenzt, kommt es auf die tatsächliche Anzahl der Zuschauer nicht an: Auch wenn der Live-Stream nur 20 Zuschauer erreicht, ist er potenziell an 500 oder mehr Zuschauer gerichtet.
• Redaktionelle Gestaltung: Auch dieses Kriterium ist entsprechend der Auffassung der Medienanstalten schnell erfüllt. Hierfür reicht es bereits, wenn verschiedene Kameraperspektiven eingenommen werden oder mit der Kamera gezoomt wird. Auch das Kommentieren der Inhalte des Live-Streams stellt eine redaktionelle Gestaltung dar.
  Gibt ein Live-Stream also nicht lediglich technisch und inhaltlich neutral ein bestimmtes Geschehen wieder, ist von einer „redaktionellen Gestaltung“ auszugehen.
• Vorliegen eines Sendeplans oder regelmäßige Wiederholung: Wird der Live-Stream regelmäßig gesendet, beispielsweise jeden Abend um 19 Uhr oder jeden Sonntag, ist eine „regelmäßige Wiederholung“ gegeben.
  Der Begriff des „Sendeplans“ wirkt antiquiert, ist nach Auffassung der Medienanstalten aber bereits mit einer Ankündigung mehrerer künftiger Live-Streams erfüllt.
  Liegt ein solcher „Sendeplan“ vor, beispielsweise weil ein Autor mehrere künftige Lesungen per Live-Stream über Twitter ankündigt, bedarf es keiner regelmäßigen Wiederholungen mehr. Kein Sendeplan soll vorliegen, wenn „nur vereinzelt, sporadisch, in sehr unregelmäßigen Abständen und/oder nur gelegentlich anlassbezogen live gestreamt wird“.

Wo erhalte ich eine Lizenz?

Sollten Sie einen Live-Stream als Rundfunk im dargestellten Sinne anbieten, ist die jeweilige Landesmedienanstalt Ihres Bundeslandes für Sie zuständig (hier zu finden). Für das vereinfachte Anzeigeverfahren sind dabei in der Regel folgende Angaben zu machen, die Sie per E-Mail an die für Sie zuständige Medienanstalt übermitteln können:

• Name und Adresse des Künstlers (ggf. der übertragenden Einrichtung, hierbei dann mit Kontaktdaten des für den Live-Stream Verantwortlichen)
• Welche Inhalte hat Ihr Live-Stream? Welche Angebot oder Veranstaltung wird gestreamt?

• Darstellung der Inhalte: Nutzen Sie eine oder mehrere (feste) Kameras? Gibt es redaktionelle Elemente wie Kommentare, Moderation, Interviews?

Üblicherweise halten die Landesmedienanstalten aber auch Formulare für eine vereinfachte Anzeige online bereit.

Wieviel kostet eine Lizenz?

Die Gebühren für die Erteilung einer Lizenz sind sehr unterschiedlich und hängen unter anderem vom wirtschaftlichen Erfolg des Live-Streams ab. Die Landesmedienanstalt NRW gibt den Kostenrahmen mit EUR 100 bis 10.000 an. Diese fallen im Übrigen nur einmalig an.

Bitte beachten Sie, dass Sie die aufsichtführende Landesmedienanstalt gegebenenfalls in Ihrem Impressum als Aufsichtsbehörde erwähnen müssen.

Wenn Sie hierzu weitere Fragen haben, können Sie sich gerne jederzeit an unsere Experten wenden.

Dr. Florian Jäkel-Gottmann

„Sonntagsarbeit ist in Deutschland grundsätzlich verboten. Das gilt auch und gerade für gesetzliche Feiertage, etwa Allerheiligen (regional) oder den Tag der Deutschen Einheit (bundesweit). Dass der Pastor trotzdem von der Kanzel predigt, dass Bäckereien und Cafés frische Brötchen anbieten, dass Kongresszentren, Messen und Rummelplätze geöffnet sind, dass verderbliche Ware in LKWs quer durchs Land fahren und dass Ärzte und Pfleger auch an Sonn- und Feiertagen praktizieren, liegt an den gesetzlich festgelegten Ausnahme-Tatbeständen.“

Den gesamten Beitrag von Angela Schilling können Sie auf der Webseite der GamesWirtschaft (1. November 2019) nachlesen.

Bei der App handelt es sich um das Spiel „Coin Master“, welches der Einstieg in die „Glücksspielwelt“ für viele Minderjährige sein soll.

Den gesamten Artikel können Sie auf der Webseite der Frankfurter Allgemeine Zeitung nachlesen.

„Das BKartA hat im November 2018 aufgrund zahlreicher Beschwerden betroffener Marktplatzhändler ein Missbrauchsverfahren gegen Amazon eingeleitet. Das BKartA hat Amazon vorgeworfen, Nutzungsbedingungen einseitig zu Lasten der Marktplatzhändler ausgestaltet zu haben. Im Laufe des anhängigen Missbrauchsverfahrens hat Amazon auf Druck des BKartA zugesagt, die beanstandeten Klauseln und Verhaltensweisen anzupassen, sodass das BKartA das Verfahren nunmehr eingestellt hat (17.7. 2019, B2-88/18, BeckRS 2019, 20389). Die zugesagten Änderungen stellen nach Auffassung des BKartA einen ausreichenden und fairen Ausgleich mit den berechtigten Interessen der Marktplatzhändler dar. Diese Änderungen sollen laut Amazon weltweit umgesetzt werden, sodass das deutsche Verfahren eine enorme praktische Bedeutung für Marktplatzhändler weltweit haben wird.“

Die gesamte Urteilsanmerkung können Sie auf der Webseite von beck-online lesen.

Oft kann ein Artikel während des Ermittlungsverfahrens unzulässig, wenig später nach rechtskräftiger Verurteilung aber erlaubt sein. Das hat nun auch der BGH entschieden:

„Staatsanwalt gegen Star-Anwalt“ titelte die Bild am Sonntag passend, als die Staatsanwaltschaft München I das Ermittlungsverfahren wegen des Verdachts der Vergewaltigung gegen den ehemaligen Partner einer renommierten Kanzlei eröffnete. Mit der daran anschließenden Berichterstattung überschritt die Zeitung nach Ansicht des Oberlandesgerichts Münchens aber die fließenden Grenzen zwischen zulässiger und verbotener Verdachtsberichterstattung. Logische Folge: Der Star-Anwalt konnte einen Unterlassungsanspruch gegen die Zeitung durchsetzen - zumindest damals!

Der Bundesgerichtshof („BGH“) stellte nun fest, dass sich die damals getätigten Äußerungen durch die mittlerweile rechtskräftige Verurteilung des Anwalts nachträglich bewahrheitet hätten. Erschiene der Artikel heute, wäre er damit zulässig. Damit entfällt nach Auffassung des BGH die für den Unterlassungsanspruch erforderliche Wiederholungsgefahr. Ein Anspruch darauf, die Verbreitung des Artikels zukünftig zu unterlassen, besteht damit nicht (mehr).

Sachverhalt

Im Februar 2015 eröffnete die Staatsanwaltschaft München I ein Ermittlungsverfahren gegen den Anwalt.

Unmittelbar danach berichtete die Bild am Sonntag mehrfach über den Fall. In einem Artikel zeigte sie ein Foto des damals nur als verdächtig geltenden Anwalts, den sie mit einem schwarzen Balken „unkenntlich“ machte. Sodann behauptete die Zeitung, die Staatsanwalt-schaft soll während des Münchner Oktoberfests mehrere Straftaten begangen haben. Den Ermittlungen sei eine 14-seitige Strafanzeige seines ehemaligen Kollegen vorausgegangen.

Der Anwalt erwirkte umgehend mehrere einstweilige Verfügungen, mit denen das Landgericht München I sowie das Oberlandesgericht München die Verbreitung von Fotos und Texten untersagte. Das Landgericht München I verurteilte den Anwalt im Februar 2018 schließlich zu drei Jahren und drei Monaten Haft. Anfang 2019 ist das Urteil rechtskräftig geworden.

Entscheidung

Der BGH hatte nun darüber zu entscheiden, ob die Unterlassungsansprüche des mittlerweile verurteilten Anwalts gegen die Zeitung fortbestehen. Dies verneinte der BGH.

Der behauptete Tatvorwurf gilt mit rechtskräftiger Verurteilung des Anwalts nun als wahr. Aus dem vormals Verdächtigen ist ein Täter geworden. Die strengen Grundsätze der Verdachtsberichterstattung gelten somit nicht mehr. Vielmehr wäre die Berichterstattung der Bild-Zeitung heute zulässig. Mangels Wiederholungsgefahr entfällt damit auch der Anspruch des verurteilten Anwalts auf Unterlassung der angegriffenen Äußerungen.

Im Einzelnen:

Der BGH bestätigte zunächst die von ihm aufgestellten Grundsätze zur Verdachtsberichterstattung. Ist eine Person nur einer Tat verdächtig, sei es im Ermittlungsverfahren der Staatsanwaltschaft oder noch im Hauptverfahren vor Gericht, darf die Presse grundsätzlich darüber berichten. Dazu müssen aber die folgenden Voraussetzungen vorliegen:

1. Es muss sich um eine Angelegenheit handeln, die das öffentliche Interesse wesentlich berührt. Das ist in der Regel bei besonderes schweren Tatvorwürfen der Fall.
2. Vor Veröffentlichung müssen sorgfältige Recherchen über den Wahrheitsgehalt angestellt werden. Je schwerwiegender der Tatvorwurf, desto höhere Anforderungen an die Sorgfaltspflicht. Die Recherche muss zumindest einen Grundverdacht bestätigen.
3. Die Berichterstattung muss ausgewogen sein und auch entlastende Umstände nennen. In keinem Fall darf es zu einer Vorverurteilung des mutmaßlichen Täters kommen.
4. Dem Betroffenen muss eine Gelegenheit zur Stellungnahme gegeben werden.

Nach Auffassung des BGH waren diese Voraussetzungen nicht erfüllt, als die Bild am Sonntag ursprünglich über den Vorfall berichtete.

Mit der rechtskräftigen Verurteilung greifen die Grundsätze der Verdachtsberichterstattung aber nicht mehr. Es gilt nun als wahr, dass der Anwalt die Tat begangen hat. Ob die Berichterstattung darüber zulässig ist, ist durch Abwägung des allgemeinen Persönlichkeitsrechts des Anwalts und der Pressefreiheit zu ermitteln.

Wahre Tatsachen müssen vom Betroffenen aber in der Regel hingenommen werden. Bei Straftätern gilt darüber hinaus der Grundsatz:

„Wer den Rechtsfrieden bricht, durch diese Tat und ihre Folgen Mitmenschen angreift oder verletzt, muss sich nicht nur den hierfür verhängten strafrechtlichen Sanktionen beugen, sondern er muss auch dulden, dass das von ihm selbst erregte Informationsinteresse der Öffentlichkeit  auf den dafür üblichen Wegen befriedigt wird.“ (BGH, BeckRS 2019, 16175 - Verletzung des allgemeinen Persönlichkeitsrechts durch Wort- und Bildberichterstattung m.w.N.)

Je länger die Straftat aber zurückliegt, desto mehr rückt das Interesse des Täters in den Vordergrund, von einer fortwährenden Diskussion um seine Verbrechen verschont zu bleiben. Denn dies könnte einer erfolgreichen Resozialisierung des Täters entgegenstehen. Ein Recht des Täters darauf, mit der Verbüßung einer Strafe, mit der Tat gänzlich in Ruhe gelassen zu werden, besteht hingegen nicht.

Diese Gefahr sah der BGH im vorliegenden Fall nicht und hielt die Berichterstattung nach dem heutigen Stand der Dinge für zulässig. Diese neue Rechtslage wirkt sich nach Ansicht des BGH auch auf den Unterlassungsanspruch des Täters gegen die Bild am Sonntag aus.

Ein Unterlassungsanspruch nach § 1004 Abs. 1 Satz 2 BGB analog, § 823 Abs. 1 BGB i.V.m. Art. 1 Abs. 1, Art. 2 Abs. 1 GG setzt eine sogenannte Wiederholungsgefahr voraus. In den allermeisten Fällen wird die Wiederholungsgefahr aber vermutet, wenn es in der Vergangenheit bereits zu einer rechtswidrigen Beeinträchtigung von Rechten des Betroffenen gekommen ist. Durch die rechtswidrige (Erst-)Berichterstattung begründete die Bild am Sonntag damit auch die Gefahr, diese rechtswidrige Berichterstattung zu wiederholen.

Allerdings, so stellte der BGH nun fest, entfällt diese Vermutung, wenn sich die tatsächlichen Umstände ändern und die Berichterstattung nunmehr rechtlich zulässig ist. Das ist hier der Fall. Denn wegen § 190 S. 1 StGB gilt die Vergewaltigung nun als wahr. Damit fehlt es an einer zwingenden Voraussetzung des Unterlassungsanspruchs. Der Unterlassungsanspruch besteht damit nicht mehr fort.

Praxishinweis

Die Entscheidung des BGH verdeutlicht, welche unterschiedlichen Anforderungen an die Berichterstattung über (mutmaßliche) Straftäter von der Presse zu beachten sind.

Besondere Vorsicht ist geboten, wenn ein vermeintlicher Täter noch nicht (formell) rechtskräftig verurteilt ist oder die Verurteilung bereits einige Jahre zurückliegt. In beiden Fällen unterliegt die Berichterstattung über die Straftat besonders engen Anforderungen. Eine Entscheidung des Gerichts ist dabei formell rechtskräftig, wenn die Prozessbeteiligten keine Rechtsmittel mehr gegen die richterliche Entscheidung eingelegen können.

Erneut hat der BGH außerdem angenommen, dass der „schwarze Balken“ über den Augen des Betroffenen nicht ausreicht, um die Identifikation einer Person unmöglich zu machen. In manchen Fällen ist eine Verpixelung des Gesichts daher das effektivere Mittel, um eine Identifizierung zu verhindern. Aber auch die Verpixelung kann eine Identifizierung nicht immer verhindern.

Das Urteil des BGH zeigt letztlich, dass es sich lohnen kann, zu prüfen, ob vermeintliche Unterlassungsansprüche auch nach einiger Zeit noch bestehen oder ob sich die tatsächlichen Umstände geändert haben.

Bei Fragen zu diesem Thema wenden Sie sich gerne an Paul Bek.

Der Beschluss ist sowohl für die Anmeldepraxis als auch die Rechtsdurchsetzung von erheblicher Bedeutung. Abweichungen bei Designdarstellungen kommen in der Praxis regelmäßig vor. In Verletzungsverfahren wird nun ebenso regelmäßig der Rechtsbestand zur Überprüfung durch das Gericht gestellt werden.

Die gesamte Urteilsanmerkung können Sie auf der Webseite von beck-online lesen.

Schaltet ein Wiederverkäufer wie Amazon bei Google eine Anzeige mit einer Marke (hier: Ortlieb) und geht der Kunde aufgrund der Gestaltung der Anzeige davon aus, nur Produkte des Markeninhabers präsentiert zu bekommen, werden ihm jedoch verlinkt zu der Anzeige Alternativangebote von Drittanbietern präsentiert, so liegt eine Markenverletzung vor.

Sachverhalt

Die Klägerin Ortlieb vertreibt wasserdichte Fahrradtaschen unter der Marke "Ortlieb". Die Beklagten sind Gesellschaften des Amazon-Konzerns.

Ortlieb ging dagegen vor, dass bei Eingabe der Suchbegriffe "Ortlieb Fahrradtasche", "Ortlieb Gepäcktasche" und "Ortlieb Outlet" bei Google Anzeigen unter der Verwendung der Marken "Ortlieb" erschienen, die wiederum mit Angebotslisten auf www.amazon.de verlinkt waren. Dort erschienen neben Ortlieb-Produkten, die aber nicht von der Klägerin selbst angeboten wurden, auch Produkte anderer Hersteller. Die Klägerin sah die Marke "Ortlieb" durch die Nutzung in der Anzeige bei gleichzeitiger Verlinkung mit gemischten Angebotslisten verletzt.

Amazon vertrat die Auffassung, dass - ähnlich wie bei der gerade zu ihren Gunsten ergangenen Entscheidung "Ortlieb I" - keine Markenverletzung vorliegt, weil generell auf einer Amazon-Seite auch Konkurrenzprodukte angezeigt werden dürfen, wenn Internetnutzer nach dem Produkt eines bestimmten Herstellers suchen. Die Situation sei vergleichbar mit einem Kaufhaus, in dem verschiedene Produkte nebeneinander angeboten würden.

Entscheidung

Der BGH gab jetzt Ortlieb - ebenso wie die Vorinstanz - recht: Das OLG München war davon ausgegangen, dass die herkunftshinweisende Funktion der Marke "Ortlieb" durch die Präsentation von Produkten anderer Hersteller beeinträchtigt werde; der Kunde erwarte nach Anklicken der Anzeige nur Ortlieb-Taschen. Würden auch Taschen von Mitbewerbern angeboten, würde die "Lotsenfunktion" der Marke ausgenutzt.

Diese Auffassung hat der BGH nun bestätigt: Die Gestaltung der Anzeigen gebe dem Verkehr keinerlei Veranlassung anzunehmen, ihm werde eine Angebotsübersicht präsentiert, in der ohne gesonderte Kenntlichmachung neben Ortlieb-Produkten gleichrangig Angebote anderer Hersteller enthalten sind. Die verkürzten Adressen der Internetseiten unter dem Text der Anzeigen - z.B. www.amazon.de/ortlieb+fahrradtasche - suggeriere vielmehr, dass dieser Link zu einer Zusammenstellung von Angeboten auf der Webseite www.amazon.de führt, die die genannten Kriterien erfüllen, mithin (allein) zu Produkten der Marke Ortlieb.  Wenn die Kunden dann aber zu Angebotslisten geführt werden, die auch Fremdprodukte enthalten, läge eine Irreführung vor. Einer solchen irreführenden Verwendung der Marke kann sich die Klägerin widersetzen.

Konsequenzen für die Praxis

Wiederverkäufer im Internet dürfen künftig also zwar Konkurrenzprodukte anzeigen, wenn Kunden nach den Produkten eines bestimmten Herstellers suchen. Sie dürfen aber die Marke des Herstellers nicht in einer Anzeige nutzen, ohne den Kunden irrezuführen.

Es bleibt abzuwarten, ob der BGH in seiner Urteilsbegründung darlegt, welche Anforderungen an den Ausschluss der Irreführung zu stellen sind.

Praxistipp

In der Praxis ist Wiederverkäufern nur zu raten, bei der Nutzung von Marken Dritter in Anzeigen Vorsicht walten zu lassen.

Fragen dazu beantwortet Ihnen Dr. Christina Hackbarth gerne.

A practical cross-border insight into data protection law

The ICLG to: Data Protection Laws and Regulations covers relevant legislation and competent authorities, territorial scope, key principles, individual rights, registration formalities, appointment of data protection officer and of processors - in 42 jurisdictions.

We are happy to contribute to this important publication with a whole chapter written by Dr. Axel von Walter.

If you are interessted in the whole publication: it is available on the webpage ICLG (International Comparative Legal Guides).

Den gesamten englischen Beitrag können Sie ab Seite 91 auf der Webseite von Legal 500 nachlesen.