Neue EU-Vorschriften für politische Werbung

Buttrons mit Partei-Werbung
Buttrons mit Partei-Werbung

Neue EU-Vorschriften für politische Werbung

Ab heute gelten EU-weit neue Vorschriften für bezahlte politische Werbung. Künftig muss jede entsprechende Anzeige klar als solche gekennzeichnet sein. Darüber hinaus muss offengelegt werden, wer hinter der Werbung steht und welcher finanzielle Aufwand dafür betrieben wurde.

Nach Angaben der EU-Kommission sollen diese Maßnahmen Bürgerinnen und Bürger dabei unterstützen, zwischen individueller Meinungsäußerung und gezielt platzierter politischer Werbung unterscheiden zu können. Ziel ist es, die Meinungs- und Informationsfreiheit wirksam zu schützen.

Besonders betroffen von den neuen Regelungen sind soziale Netzwerke, auf denen politische Inhalte häufig verbreitet werden.

Lesen Sie hier dazu die Pressemitteilung der Europäischen Kommission:
https://germany.representation.ec.europa.eu/news/transparenz-politischer-werbung-kommission-veroffentlicht-leitlinien-2025-10-08_de

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
Logo 25 Jahre Rickert Rechtsanwaltsgesellschaft

EuGH erklärt die Aufsichtsgebühr des Digital Services Act für nichtig

Sitz des Europäischen Gerichtshofs in Luxemburg
Sitz des Europäischen Gerichtshofs in Luxemburg

EuGH erklärt die Aufsichtsgebühr des Digital Services Act für nichtig

Am 10. September 2025 erklärte das Gericht der Europäischen Union (EuGH) in der Rechtssache T-55/24 die Beschlüsse der EU-Kommission über die Festlegung der Aufsichtsgebühr für Facebook, Instagram und TikTok für nichtig. 

Als Grundlage für die Beschlüsse diente das Gesetz über digitale Dienste (Digital Services Act, DSA), das der Kommission die Aufgabe überträgt, sehr große Online-Plattformen (VLOPs) und Suchmaschinen zu beaufsichtigen. Hierfür darf die Kommission eine jährliche Aufsichtsgebühr erheben, welche anhand der durchschnittlichen monatlichen Nutzerzahl berechnet wird. Die Kommission hatte daraufhin für Facebook, Instagram und TikTok entsprechende Gebühren durch Durchführungsbeschlüsse festgesetzt.

Trotz rechtswidriger Methodik, Zahlungspflicht für 2023 bleibt bestehen

Das Gericht stellte fest, dass die verwendete Methodik zur Berechnung der Nutzerzahlen essentiell sei und deshalb in einer delegierten Verordnung hätte geregelt werden müssen. Die Durchführungsbeschlüsse seien daher formell rechtswidrig.

Um Regelungslücken zu vermeiden und der Kommission Zeit für eine korrekte Umsetzung der Erhebung der Aufsichtsgebühr zu geben, entschied das Gericht, dass die Wirkung dieser Beschlüsse jedoch vorerst bestehen bleibt und damit auch die Zahlungspflicht für 2023 für Unternehmen. Das Gericht beschränkte die Übergangssituation auf höchstens zwölf Monate nach Rechtskraft des Urteils. Gegen die Entscheidung ist ein auf Rechtsfragen beschränktes Rechtsmittel zum EuGH möglich.

Veränderungen bei Gebührenhöhe möglich

Neben der Zahlungspflicht für 2023 müssen Unternehmen damit rechnen, dass die Kommission bald eine rechtssichere Regelung erlässt, die zu einer veränderten Gebührenhöhe führt. Dadurch können sowohl Rückerstattungen, aber auch Nachforderungen entstehen. Empfehlenswert ist daher auch, interne Systeme zur Erfassung der aktiven Nutzerzahlen zu verbessern und diese Daten transparent vorzuhalten, um bei künftigen Verfahren abgesichert zu sein.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
Logo 25 Jahre Rickert Rechtsanwaltsgesellschaft

EuGH weist Klage auf Nichtigkeitserklärung des Data Privacy Framework ab

Glasfaserkabel zur Datenübertragung in die USA
Glasfaserkabel zur Datenübertragung in die USA

EuGH weist Klage auf Nichtigkeitserklärung des Data Privacy Framework ab

Am 03. September 2025 hat das Gericht der Europäischen Union (EuGH) in der Rechtssache T-553/23 (Latombe/Kommission) eine Klage gegen den neuen Angemessenheitsbeschluss der EU-Kommission zum Data Privacy Framework (DPF) zurückgewiesen.

Die USA bieten ein angemessenes Datenschutzniveau

Die Klägerseite kritisierte zum einen die Praxis umfassender Datenerhebungen durch US-Dienste und stellte zum anderen die Unabhängigkeit der gerichtlichen Kontrolle in Frage. Der EuGH sah wiederum die erlassenen Vorgaben und die gerichtliche Kontrolle durch den Data Protection Review Court (DPRC) zur Sicherstellung des Rechtschutzes bei Datenzugriffen als ausreichend an und wies die Klage vollständig ab. Damit bestätigt der EuGH, dass die USA zum Zeitpunkt des Beschlusses ein angemessenes Datenschutzniveau gewährleisteten.

Datenübermittlung an US-Unternehmen

Für Unternehmen heißt das: Eine Datenübermittlung an US-Unternehmen ist rechtmäßig, sofern diese nach dem DPF zertifiziert sind. In diesen Fällen sind weder Standardvertragsklauseln (SCCs) noch zusätzliche Genehmigungen erforderlich.

Unternehmen in der EU stehen jedoch weiterhin in der Verantwortung, sorgfältig zu prüfen und zu dokumentieren, ob ihre US-Dienstleister tatsächlich in der offiziellen Zertifizierungsliste geführt werden. Liegt keine Zertifizierung vor, bleiben weiterhin SCCs oder Binding Corporate Rules (BCRs) notwendig. Zudem bestehen die Pflichten zur Transparenz gegenüber Betroffenen fort, etwa durch Anpassung der Datenschutzerklärung und klare Hinweise auf Datenübermittlungen in die USA.

Weiterhin Risiken bei der Datenübermittlung an US-Unternehmen

Es bleibt jedoch weiterhin Vorsicht geboten, da die Vorgängerabkommen („Safe Harbor“ und „Privacy Shield“) beide wegen des unzureichenden Schutzniveau der Überwachungspraxis in den USA durch den EuGH aufgehoben wurden („Schrems I“ (C‑362/14) und „Schrems II“ (C‑311/18)). Daher sollten EU-Unternehmen weiterhin vorsorglich SCC bereithalten und die weitere Rechtsentwicklung beobachten.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
Logo 25 Jahre Rickert Rechtsanwaltsgesellschaft

KI-Training und personenbezogene Daten: Einige Erkenntnisse aus dem Urteil des OLG Köln im Fall Meta

Frau, auf die Code projiziert wird: Datenschutz beim KI-Training
Frau, auf die Code projiziert wird: Datenschutz beim KI-Training

KI-Training und personenbezogene Daten: Einige Erkenntnisse aus dem Urteil des OLG Köln im Fall Meta

Metas Umgang mit der Einwilligung der Nutzer

Für das Training von KI-Modellen werden umfangreiche Datenmengen benötigt. Viele Anbieter suchen nach geeigneten Quellen. Im Fall von Meta entschied sich das Unternehmen, öffentlich zugängliche Daten volljähriger Nutzer von Facebook und Instagram für das Training seiner KI-Modelle zu verwenden. Diese Maßnahme wurde den Nutzern vor der Umsetzung angekündigt. Anstelle einer ausdrücklichen Einwilligung setzte Meta jedoch auf ein Opt-out-Modell.

Dieses Vorgehen rief rechtliche Bedenken hervor und führte zu einem Antrag auf Erlass einer einstweiligen Verfügung durch den Verein zur Wahrnehmung kollektiver Verbraucherinteressen in Nordrhein-Westfalen. Das Oberlandesgericht Köln entschied am 23. Mai 2025 (Az. 15 UKl 2/25) über den Fall. Nachfolgend die wichtigsten Erkenntnisse zur Verarbeitung personenbezogener Daten im Rahmen des KI-Trainings von diesem Fall.

Dürfen personenbezogene Daten für das KI-Training verwendet werden?

Grundsätzlich ist die Verarbeitung personenbezogener Daten zum Zweck des Trainings von KI zulässig, sofern sie mit der Datenschutz-Grundverordnung (DSGVO) vereinbar ist. Während die EU-Verordnung über Künstliche Intelligenz (KI-VO) die Anforderungen an KI-Systeme regelt, bleibt jede Verarbeitung personenbezogener Daten dem Datenschutzrecht, insbesondere der DSGVO, unterworfen.

Im vorliegenden Fall wurde versucht, Meta die Verwendung öffentlich zugänglicher Nutzerdaten für das KI-Training zu untersagen. Das Gericht wies den Antrag auf Erlass einer einstweiligen Verfügung zurück, was darauf schließen lässt, dass personenbezogene Daten unter bestimmten Voraussetzungen für das Training von KI-Systemen verarbeitet werden dürfen, auch wenn der ursprüngliche Zweck ihrer Erhebung nicht das KI-Training war.

Das Urteil stellt jedoch keine generelle Freigabe dar. Unternehmen müssen bei der Nutzung von Kundendaten für KI-Entwicklung mit besonderer Sorgfalt vorgehen.

Ist das KI-Training ein „berechtigtes Interesse“?

Gemäß Art. 5 Abs. 1 Buchst. b DSGVO dürfen personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben werden. Nach der Erhebung dürfen sie nicht für andere, nicht vorher festgelegte Zwecke verwendet werden.

Zwar kann eine Einwilligung eine Rechtsgrundlage für die Verarbeitung darstellen, sie muss jedoch:

  • für einen oder mehrere bestimmte Zwecke gegeben;
  • durch eine eindeutige bestätigende Handlung erteilt werden.

Im Fall Meta wurde keine ausdrückliche Einwilligung eingeholt. Stattdessen berief sich das Unternehmen auf das berechtigte Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO. Das Gericht akzeptierte, dass die Entwicklung von KI-Systemen unter bestimmten Umständen ein berechtigtes Interesse darstellen könne, sofern die Nutzer informiert werden und die Möglichkeit haben, Widerspruch einzulegen.

Zentrale Empfehlungen für Unternehmen

  1. Transparenz ist unerlässlich
    Nutzer müssen klar und proaktiv darüber informiert werden, wie ihre Daten verwendet werden. Das Gericht akzeptierte Metas Opt-out-Modell, da die Nutzer informiert wurden und widersprechen konnten.

  2. Informierung vor Datenerhebung
    Nur Daten, die nach erfolgter Information und gewährtem Widerspruchsrecht erhoben wurden, dürfen für das KI-Training verwendet werden. Eine nachträgliche Zweckänderung ohne Offenlegung ist unzulässig.

  3. Berechtigtes Interesse konkret darlegen
    Die Verarbeitung muss einem konkreten, nachvollziehbaren Unternehmenszweck dienen. Allgemeine oder spekulative Interessen genügen nicht.

Fazit: Vorsicht ist geboten

Auch wenn das Gericht den Antrag gegen Meta abgewiesen hat, bedeutet dies nicht, dass personenbezogene Daten uneingeschränkt für KI-Training verwendet werden dürfen. Jede Verarbeitung muss einzelfallbezogen geprüft werden unter Berücksichtigung von:

  • Art und Umfang der angebotenen Dienste,
  • Art von personenbezogenen Daten,
  • Rechtsgrundlage der Verarbeitung.

Da sich das regulatorische Umfeld – insbesondere im Bereich der KI-Regulierung – fortlaufend weiterentwickelt, sind Unternehmen gehalten, sich kontinuierlich über neue Entwicklungen zu informieren und die geltenden Vorschriften einzuhalten. Wer beabsichtigt, personenbezogene Kundendaten für das Training von KI-Systemen zu nutzen, muss die damit verbundenen rechtlichen Risiken sorgfältig prüfen und für Transparenz sowie rechtskonforme Verarbeitung sorgen. 

Gerne unterstützen wir Sie dabei, diese komplexen Anforderungen zu erfüllen und Ihre Compliance-Maßnahmen effektiv umzusetzen. Sprechen Sie uns an, wir beraten Sie zu DSGVO-Compliance und IT-Recht.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
Logo 25 Jahre Rickert Rechtsanwaltsgesellschaft

Hackerangriff bei Motel One

Hackerangriff bei Motel One

Nach einem Hackerangriff der Cybergang ALPHV wurden schätzungsweise 6 Terabyte Daten im Darknet veröffentlicht. Angegriffen wurde die Hotelgruppe Motel One. 

Publik geworden sind hierbei insbesondere Adress- und Buchungsdaten der Hotelgäste, sowie 150 Kreditkartendaten. Laut Aussage von Motel One wurden zumindest diejenigen Gäste informiert, deren Kreditkartendaten veröffentlicht worden sind bereits informiert. Motel One hat dazu selbst Informationen auf der Unternehmenswebsite veröffentlicht.

Nach Presseinformationen sind ebenfalls nahezu vollständige Übernachtungslisten beginnend mit dem Jahr 2016 enthalten. Ob diese rechtmäßig in derartigem Umfang gespeichert werden durften, wird derzeit hinterfragt.

Ob auch Ihre Daten von dem Angriff bei Motel One betroffen sind oder bei einem anderen Datenleck veröffentlicht wurden, können Sie mit dem Identity Leak Checkers des Hasso-Plattner-Instituts überprüfen.

Fragen Sie sich, welche Rechte Ihnen als betroffene Person aus Datenschutzgesichtspunkten zustehen? Betroffene können Ihr Recht auf Auskunft (Art. 15 DS-GVO), das Recht auf Berichtigung oder Löschung (Art. 16 und Art. 17 DS-GVO), das Recht auf Einschränkung der Verarbeitung (Art. 18 DS-GVO), das Recht auf Datenübertragbarkeit (Art. 20 DS-GVO) sowie das Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DS-GVO) gegenüber dem Verantwortlichen geltend machen. Sollten Sie der Ansicht sein, dass die Verarbeitung gegen Datenschutzrecht verstößt, haben Sie gemäß Art. 77 Abs. 1 DS-GVO das Recht, sich bei einer Datenschutzaufsichtsbehörde eigener Wahl zu beschweren. Darüber hinaus sind auch mögliche Schadensersatzansprüche denkbar. Melden Sie sich dazu gerne bei unserem Team.
Gerne beraten wir auch Ihr Unternehmen hinsichtlich der Punkte zu Datensparsamkeit und rechtssicheren Löschkonzepten, die die Verarbeitung von personenbezogenen Daten minimieren und somit eine geringere Angriffsfläche für etwaige Hackerangriffe bieten können.

 

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
Logo 25 Jahre Rickert Rechtsanwaltsgesellschaft

NIS-2 – Jetzt bereits die Anforderungen kennenlernen

NIS-2 – Jetzt bereits die Anforderungen kennenlernen

Oktober 2024 kommt schneller als man denkt

Einleitung

Spätestens seit der pandemiebedingten Kontaktreduktion hat die digitale Transformation auch in Deutschland alle gesellschaftlichen Bereiche durchzogen. Doch besonders im Bereich der kritischen Infrastruktur ist die Digitalisierung auch durchaus risikobehaftet: Unternehmen, Staatsbetriebe und Behörden sehen sich einer steigenden Bedrohung durch Cyberangriffe und -attacken ausgesetzt, denen sie mit geeigneten Maßnahmen begegnen müssen.

Wie real diese Bedrohung ist, zeigte in den letzten Jahren allein in Deutschland der lebensbedrohliche Hackerangriff auf das Uniklinikum Düsseldorf im Jahr 2020, die Cyberattacke auf den IT-Dienstleister der Landeshauptstadt Schwerin 2021, und jüngst mit dem wiederholten Angriff (sog. Brute-Force-Attacke) auf die Systeme der Stadt Potsdam im Dezember 2022, nachdem sie bereits 2020 Gegenstand einer Cyberattacke war.

Diese Entwicklung beobachtet auch die Europäische Union kritisch und hat daher bereits 2016 mit der Richtlinie zur Sicherheit von Netzwerk- und Informationssystemen (NIS) die erste EU-weite Gesetzgebungsmaßnahme für Einrichtungen im Bereich der kritischen Infrastruktur getroffen, um auf ein einheitliches, sich gegenseitig unterstützendes Cybersicherheitsniveau in den EU-Mitgliedstaaten hinzuwirken. Die Umsetzung erfolgte in Deutschland vor allem über Anpassungen des IT-Sicherheitsgesetzes, welches aber auch zuvor schon viele Anforderungen erfüllte.

Nach der Überprüfung dieser Richtlinie und ihrer Wirkung hat die EU es jedoch für erforderlich gehalten, die bereits bestehende Richtlinie nachzuschärfen. So wurde vergangenen November vom Rat der Europäischen Union und dem Europäischen Parlament die überarbeitete sogenannte NIS-2-Richtlinie angenommen. Am 27.12.2022 ist sie dann veröffentlicht worden und am 16.01.2023 in Kraft getreten.

1. Erweiterung und Konkretisierung des Anwendungsbereichs

Welche Sektoren betrifft die Richtlinie?

In den Anhängen I und II sind insgesamt achtzehn Sektoren definiert, in der ersten NIS-Richtlinie waren es nur sieben Sektoren. Zudem wurden die Sektoren in „Sektoren mit hoher Kritikalität“ und „sonstige kritische Sektoren“ aufgegliedert.

Sektoren mit hoher Kritikalität

(Anhang I)

  • Energie (Elektrizität; Fernwärme und -kälte; Erdöl; Erdgas; Wasserstoff)
  • (Luft-, Schienen-, Straßen-)Verkehr und Schifffahrt
  • Bankwesen
  • Finanzmarktinfrastrukturen
  • Gesundheitswesen
  • Trinkwasser
  • Abwasser
  • Digitale Infrastruktur
  • Verwaltung von IKT (B-to-B)
  • Öffentliche Verwaltung
  • Weltraum

Sonstige kritische Sektoren (Anhang II)

  • Post- und Kurierdienste
  • Abfallbewirtschaftung
  • Produktion, Herstellung und Handeln mit chemischen Stoffen
  • Produktion, Verarbeitung und Vertrieb von Lebensmitteln
  • Verarbeitendes Gewerbe/Herstellung von Waren
  • Anbieter digitaler Dienste, konkret: Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke
  • Forschung

 

Für welche öffentliche und private Einrichtungen innerhalb der Sektoren gilt die Richtlinie? 

Die Richtlinie regelt durch einheitliche Kriterien, welche öffentlichen und privaten Einrichtungen, die innerhalb der Sektoren tätig sind, verpflichtet werden (Art. 2):

  • alle Unternehmen, ab einer Beschäftigtenanzahl von 50 Personen und einem Jahresumsatz bzw. einer Jahresbilanz von mindestens 10 Millionen Euro
  • Anbieter von öffentlichen elektronischen Kommunikationsnetzen oder von öffentlich zugänglichen elektronischen Kommunikationsdiensten
  • Vertrauensdiensteanbieter
  • Namenregister der Domäne oberster Stufe (Registries) und DNS-Diensteanbieter
  • Einrichtung, die im jeweiligen Mitgliedstaat einziger Anbieter eines Dienstes sind, der für die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Tätigkeiten unerlässlich ist
  • Einrichtungen, die auf nationaler oder regionaler Ebene für den betreffenden Sektor, die betreffende Art des Dienstes oder für andere voneinander abhängige Sektoren im jeweiligen Mitgliedstaat eine besondere Bedeutung haben
  • Einrichtungen, bei denen sich eine Störung des von der Einrichtung erbrachten Dienstes wesentlich auf die öffentliche Ordnung, die öffentliche Sicherheit oder die öffentliche Gesundheit auswirken könnte
  • Einrichtungen, bei denen eine Störung ihrer Dienste zu einem wesentlichen Systemrisiko führen könnte
  • bestimmte kritische Einrichtungen der öffentlichen Verwaltung
  • Ggf. Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene und Bildungseinrichtungen, sofern der jeweilige Mitgliedstaat dies bestimmt
  • Einrichtungen, die Domänennamenregistrierungsdienste erbringen (Registrare)
  • Einrichtungen, die von dem jeweiligen Mitgliedstaat nach Art. 6 der Richtlinie (EU) 2022/2557 als kritische Einrichtungen eingestuft wurden

2. Festlegung konkreter Pflichten für betroffene Einrichtungen:

  • Pflicht zum Ergreifen von Risikomanagementmaßnahmen in einem durch die Richtlinie festgelegten Mindestumfang (vgl. Art. 21 Abs. 2)
  • Berichtspflichten gegenüber bestimmten nationalen Stellen/Behörden (Art. 23)
  • Ggf. Pflicht zur Verwendung spezieller IKT-Produkte, -Dienste und -Prozesse, die im Rahmen europäischer Schemata für die Cybersicherheitszertifizierung zertifiziert sind, sofern der jeweilige Mitgliedstaat dies bestimmt
  • Für Registries und Registrare: Pflicht, zukünftig genaue und vollständige Domänennamen-Registrierungsdaten unter Beachtung der Datenschutzbestimmungen in einer eigenen Datenbank zu sammeln und zu pflegen, zu validieren und zu beauskunften (Art. 28).

Die Einhaltung dieser Pflichten soll durch nationale Aufsichtsbehörden kontrolliert und bei Nichteinhaltung mit Geldbußen sanktioniert werden. Die konkrete Ausgestaltung der Aufsichts- und Durchsetzungsmaßnahmen erfolgt durch die Mitgliedstaaten, wobei die Richtlinie auch in diesem Bereich Vorgaben macht.

3. Bestimmung des Verhältnisses zu sektorspezifischen Rechtsvorschriften

Gibt es für die erfassten Sektoren bereits spezielle, mindestens gleich wirksame EU-Vorschriften, wie beispielsweise in der Verordnung über die digitale operative Betriebsstabilität digitaler Systeme des Finanzsektors (DORA – Digital Operational Resilience Act) und aufgrund der Richtlinie über die Resilienz kritischer Einrichtungen (CER – Critical Entities Resilience Directive), sind diese vorrangig anzuwenden (Art. 5).

4. Ausweitung der Unterstützung und Erleichterung der strategischen Zusammenarbeit und des Informationsaustauschs zwischen den Mitgliedstaaten durch…

  • das (bereits zuvor bestandene) Netzwerk der nationalen Computer-Notfallteams (CSIRTs)
  • Einrichtung einer europäische Schwachstellendatenbank durch die Agentur der Europäischen Union für Cybersicherheit (ENISA) auf Basis von Mitteilungen mitgliedstaatliche CSIRT Koordinatoren
  • Schaffung des Europäischen Netzwerkes der Verbindungsorganisationen für Cyberkrisen (EU-CyCLONe)
  • Veranstaltung von themenbezogenen Peer Reviews durch Sachverständige für Cybersicherheit (Teilnahme freiwillig)

Umsetzung der Richtlinie

Die Mitgliedstaaten müssen die Richtlinie innerhalb von 21 Monaten nach ihrem Inkrafttreten durch eigene Gesetzgebung in nationales Recht umsetzen. Die Richtlinie legt nur Mindestanforderungen im Bereich der Cybersicherheit fest, sodass die Mitgliedsstaaten nach Belieben auch ein höheres Schutzniveau etablieren können.
Für Unternehmen empfiehlt es sich bereits jetzt zu kontrollieren, ob sie (neuerdings) von der Richtlinie betroffen sind und falls ja, die Planung der Neuerungen voranzutreiben. Die technische Umsetzung kann teilweise viel Zeit in Anspruch nehmen und die reale Gefahr von Cyberangriffen besteht unabhängig von der gesetzlichen Absicherung.

Falls Sie Fragen bezüglich der Richtlinie oder der dadurch erforderlich werdenden Anpassungen haben, beraten wir Sie gerne.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
Logo 25 Jahre Rickert Rechtsanwaltsgesellschaft

Gatekeeper an die Leine: der Digital Markets Act

Digital Markets Act und Digital Service Act

Die EU nimmt Gatekeeper ins Visir

Digital Markets Act und Digital Service Act

Der Digital Markets Act und Digital Service Act

Einleitung

Die EU will sog. Gatekeeper-Unternehmen wie Google, Amazon oder Apple künftig in ihrer Marktmacht regulieren zugunsten fairer Wettbewerbsbedingungen für digitale Unternehmen. Dafür werden derzeit zwei Gesetzespakete entwickelt, der »Digital Services Act« und der »Digital Markets Act«. Noch sind sich EU-Parlament und der Ministerrat nicht einig, aber es gibt Fortschritte.

Das Gesetzesvorhaben für den Digital Markets Act wurde bereits im Dezember 2020 initiiert. Am 24. März 2022 gab es dann endlich eine erste Einigung.

Diese Einigung muss noch von den EU-Abgeordneten und Mitgliedstaaten offiziell angenommen werden, was vermutlich einige Zeit in Anspruch nehmen wird.

Ein Parallelvorhaben ist der Digital Services Act (DSA), der bereits im Januar 2022 im EU-Parlament beschlossen wurde.

Beide Gesetzesentwürfe sollen nach Abschluss aller Verhandlungen in Form einer Verordnung umgesetzt werden, die dann für sämtliche Mitgliedstaaten gelten wird.

Ein Inkrafttreten beider Gesetzesvorhaben wird allerdings nicht vor 2023 erwartet.

Was regelt der Digital Markets Act?

Der Digital Markets Act will verhindern, dass Unternehmen überhaupt erst zu Gatekeeper-Unternehmen heranwachsen können, bevor sie (kartell-)rechtlich verfolgt werden. Die Regulierungen zielen auf rechtzeitige und angemessene Maßnahmen ab, die es Einzelunternehmen erschweren, ihre Marktmacht auszubauen und die Entwicklung der Konkurrenz zu verhindern.

Als Gatekeeper werden solche Unternehmen bezeichnet,

  • die mindestens 6,5 Mrd. EURO Jahresumsatz im europäischen Wirtschaftsraum erzielen,
  • sowie über 45 Mio. Endnutzer pro Monat haben und
  • über 10 Tsd. gewerbliche Nutzer nachweisen.

Außerdem müssen sie einen signifikanten Einfluss im Binnenmarkt ausüben, d.h. in mehreren Mitgliedstaaten unternehmerisch aktiv sein. Dafür ist es nicht erforderlich, dass das Unternehmen seinen Sitz in der EU hat. Zurzeit erfüllen ungefähr 10 bis 15 Unternehmen diese Kriterien, wie beispielsweise Google, Amazon, facebook, Apple & Co.

Die Feststellung, ob man als Gatekeeper-Unternehmen gilt, müssen die Unternehmen zunächst selbst vornehmen. Gemäß des DMA trifft die Unternehmen diesbezüglich eine Anzeigepflicht gegenüber der EU-Kommission.

Wie werden Gatekeeper künftig reguliert?

  • Gatekeeper dürfen keine unfairen Bedingungen für andere Unternehmen, Geschäftskunden und Verbraucher schaffen. Hier orientiert sich der Regelgeber an bereits laufenden oder abgeschlossenen Untersuchungsverfahren wegen Missbrauchs der Marktmacht.
  • Bei Firmenübernahmen soll mehr Kontrolle ausgeübt werden können, damit kleinere Unternehmen nicht einfach vom Markt weggekauft werden.
  • Gewerbliche Nutzer sollen auf Kunden- und Transaktionsdaten zuzugreifen können, jedoch nur auf solche, welche sie selbst auf den Gatekeeper-Plattformen generieren. Derartiges ist für Händler von Verkaufsplattformen zurzeit nicht möglich.
  • Eine der Kernforderungen ist die Interoperabilität von Messenger-Diensten. Es sollen künftig Nachrichten zwischen verschiedenen Anbietern verschickt werden können.
  • In Sachen personalisierte Werbung gibt es zwar kein absolutes Verbot, dennoch sollen Minderjährige stärker geschützt werden. Die Datenzusammenführung ohne vorherige ausdrückliche Einwilligung wird verboten.
  • Auch dürfen Gatekeeper nicht mehr auf die Suchergebnisanzeige einwirken, um ihre eigenen Dienste und Produkte höher zu setzen, sog. self-preferencing.
  • Sie dürfen Kunden nicht mehr daran hindern, sich an Unternehmen außerhalb ihrer Plattform zu wenden.

In strengen Ausnahmesituationen soll es sogar erlaubt sein, Gatekeeper-Konzerne zu zerschlagen, wenn diese wiederholt und systematisch gegen die Auflagen verstoßen.

Ansonsten arbeitet der DMA mit Bußgeldern in Höhe von bis zu 10 % des Jahresumsatzes. Das EU-Parlament forderte sogar eine Bußgeldhöhe von bis zu 20 % des Jahresumsatzes. Diese Forderung fand jedoch keine Zustimmung.

Was regelt der Digital Services Act?

Der Digitale Services Act beschränkt sich im Gegensatz zum DMA nicht nur auf Gatekeeper-Unternehmen, sondern richtet sich an alle digitalen Dienste. Daher werden auch Internetprovider, Vergleichs- oder Buchungsportale, App-Stores oder Cloud-Services eingeschlossen. Der DSA möchte eine sichere und vertrauenswürdige Online-Umgebung für alle schaffen.

Um Benachteiligungen zu vermeiden, werden die Unterschiede der verschiedenen Dienste im Rahmen eines abgestuften Regelungssystems innerhalb des DSA berücksichtigt. Auch die E-Commerce-Richtlinie (2000/31/EC) wird teilweise abgelöst. Es hat sich gezeigt, dass die Mitgliedstaaten jeweils ihre eigenen nationalen Regelungen eingeführt haben, was zu einem unübersichtlichen Flickenteppich an Vorschriften geführt hat. Das möchte der DSA korrigieren.

Der bisherige Gesetzesentwurf ist umfangreicher als der Gesetzesentwurf zum DMA. Er zielt auf den Schutz der Nutzer ab.

Nachfolgend geben wir Ihnen einen groben Überblick über die Themen, die im DSA künftig geregelt werden:

  • Online-Marktplätze sollen die Identität ihrer Händler verstärkt prüfen, um Produktsicherheit zu gewährleisten. Damit entstehen unter anderem neue “due-diligence-Pflichten“ für Online-Marktplätze. Durch die Identitätsprüfung ist es Markeninhabern auch möglich, besser gegen Produktfälschungen vorzugehen. Zusätzlich sollen sog. Trusted Flagger zum Einsatz kommen, damit man zuverlässige Händler besser erkennen kann.
  • Große Plattformbetreiber, sog. VLOPs (Very Large Online Platforms), sollen jährlich mindestens eine eigene Risikobewertung vornehmen, um zu überprüfen, wie sich die Verbreitung illegaler oder falscher Inhalte auswirkt. Sie sollen illegale oder falsche Inhalte löschen oder gezielt moderieren können. Empfehlungssysteme sorgen dabei für zuverlässigere Informationsquellen. Insbesondere illegale Inhalte sollen durch Host-Provider schneller entfernt werden dürfen (Notice-and-Action-System). Dem Nutzer wird vor der Löschung jedoch eine Widerspruchsmöglichkeit eingeräumt.
  • Die Funktionsweise von Algorithmen soll transparenter werden, damit Nutzer ein besseres Verständnis für die technischen und analytischen Abläufe bekommen. Dies soll ihnen helfen, Suchmaschinen und ihre Ergebnisse zu verstehen.
  • An Minderjährige gerichtete personalisierte Werbung soll gänzlich verboten sein. Volljährige Nutzer dagegen können selbst entscheiden, ob ihnen personalisierte Werbung angezeigt wird oder nicht. Ganz wichtig: Den Nutzern sollen die Abläufe im Hintergrund transparent gemacht werden, damit sie verstehen können, wie es überhaupt dazu kommt, dass ihnen ganz bestimmte Werbung angezeigt wird.
  • Einfach zugängliche Meldesysteme soll es Nutzern und Betroffenen künftig leichter machen, sich zu beschweren.

Hinsichtlich der VLOPs behält sich die Kommission eigene Untersuchungs- und Eingriffsbefugnisse vor. Die Durchsetzung des DSA hingegen ist Sache der einzelnen Mitgliedstaaten.

Bei Verstößen wird ein Bußgeld in Höhe von 6 % des weltweiten jährlichen Konzernumsatzes fällig.

Kritik

Es klingt erst einmal gut, dass Großplattformbetreiber und Gatekeeper an die Leine genommen werden sollen, um Platz für fairen Wettbewerb zu lassen.

Dennoch sind die avisierten Regelungen auch kritisch zu betrachten.

Es ist gewagt, ein völlig neues Regulierungsmodell zu schaffen, ohne dieses mit den bereits vorhandenen wettbewerbsrechtlichen Vorschriften zu verknüpfen.

Es besteht die Gefahr einer doppelten Verfolgung, einmal im Rahmen der Verordnung und andererseits nach europäischen wettbewerbsrechtlichen Regelungen. In diesem Zusammenhang ist auch noch nicht geklärt, in welchem Verhältnis das nationale Kartellrecht, allen voran § 19a GWB, angewendet werden soll.

Hinsichtlich des Verbots von personalisierter Werbung bei Minderjährigen wird es wohl kaum eine Umsetzung in der Praxis geben, weil letzten Endes keine Überprüfung stattfindet, wer tatsächlich den PC nutzt.

Dies gilt auch im Hinblick auf die Interoperabilität zwischen den Diensten, die technisch zwar möglicherweise umsetzbar ist, jedoch erhebliche datenschutzrechtliche Bedenken bzgl. der unkontrollierten Datenweitergabe aufwirft.

Da der DSA die Verwendung von Upload-Filtern anerkennt, könnte eine erneute urheberrechtliche Diskussion über die Verwendung dieser Filter entfacht werden.

Der DSA gewährt erhebliche Eingriffsmöglichkeiten bei falschen und illegalen Inhalten. Doch ist es noch nicht abschließend geklärt, welche Inhalte überhaupt darunterfallen und wer eine entsprechende Bewertung vornimmt. Dadurch könnte es zu einer Einschränkung der Meinungs- und Pressefreiheit kommen.

Fazit

Die Hoffnungen der EU sind groß, dass DMA und DSA einen größtmöglichen Nutzen für die Regulierung der digitalen Marktwirtschaft bringen. Einige Regelungen werden sicherlich dazu beitragen. Doch bleibt die Umsetzung abzuwarten. Da die Verhandlungen noch nicht endgültig abgeschlossen sind, sind Änderungen nach wie vor möglich.

Dennoch lässt sich bereits jetzt festhalten, dass der Umfang der zu beachtenden Regeln stark an die Größe eines Unternehmens gekoppelt sein wird.

Und natürlich wird es für große Unternehmen teuer und aufwändig, die neuen gesetzlichen Vorgaben umzusetzen.

Ein Inkrafttreten ist nicht vor 2023 geplant. Mit der geplanten Übergangsfrist von 6-12 Monaten dürfte es also erst 2024 zu einer faktischen Umsetzung kommen.

Über die weiteren Entwicklungen werden wir Sie hier gerne informieren.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!