KI-Training und personenbezogene Daten: Einige Erkenntnisse aus dem Urteil des OLG Köln im Fall Meta

Frau, auf die Code projiziert wird: Datenschutz beim KI-Training
Frau, auf die Code projiziert wird: Datenschutz beim KI-Training

KI-Training und personenbezogene Daten: Einige Erkenntnisse aus dem Urteil des OLG Köln im Fall Meta

Metas Umgang mit der Einwilligung der Nutzer

Für das Training von KI-Modellen werden umfangreiche Datenmengen benötigt. Viele Anbieter suchen nach geeigneten Quellen. Im Fall von Meta entschied sich das Unternehmen, öffentlich zugängliche Daten volljähriger Nutzer von Facebook und Instagram für das Training seiner KI-Modelle zu verwenden. Diese Maßnahme wurde den Nutzern vor der Umsetzung angekündigt. Anstelle einer ausdrücklichen Einwilligung setzte Meta jedoch auf ein Opt-out-Modell.

Dieses Vorgehen rief rechtliche Bedenken hervor und führte zu einem Antrag auf Erlass einer einstweiligen Verfügung durch den Verein zur Wahrnehmung kollektiver Verbraucherinteressen in Nordrhein-Westfalen. Das Oberlandesgericht Köln entschied am 23. Mai 2025 (Az. 15 UKl 2/25) über den Fall. Nachfolgend die wichtigsten Erkenntnisse zur Verarbeitung personenbezogener Daten im Rahmen des KI-Trainings von diesem Fall.

Dürfen personenbezogene Daten für das KI-Training verwendet werden?

Grundsätzlich ist die Verarbeitung personenbezogener Daten zum Zweck des Trainings von KI zulässig, sofern sie mit der Datenschutz-Grundverordnung (DSGVO) vereinbar ist. Während die EU-Verordnung über Künstliche Intelligenz (KI-VO) die Anforderungen an KI-Systeme regelt, bleibt jede Verarbeitung personenbezogener Daten dem Datenschutzrecht, insbesondere der DSGVO, unterworfen.

Im vorliegenden Fall wurde versucht, Meta die Verwendung öffentlich zugänglicher Nutzerdaten für das KI-Training zu untersagen. Das Gericht wies den Antrag auf Erlass einer einstweiligen Verfügung zurück, was darauf schließen lässt, dass personenbezogene Daten unter bestimmten Voraussetzungen für das Training von KI-Systemen verarbeitet werden dürfen, auch wenn der ursprüngliche Zweck ihrer Erhebung nicht das KI-Training war.

Das Urteil stellt jedoch keine generelle Freigabe dar. Unternehmen müssen bei der Nutzung von Kundendaten für KI-Entwicklung mit besonderer Sorgfalt vorgehen.

Ist das KI-Training ein „berechtigtes Interesse“?

Gemäß Art. 5 Abs. 1 Buchst. b DSGVO dürfen personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben werden. Nach der Erhebung dürfen sie nicht für andere, nicht vorher festgelegte Zwecke verwendet werden.

Zwar kann eine Einwilligung eine Rechtsgrundlage für die Verarbeitung darstellen, sie muss jedoch:

  • für einen oder mehrere bestimmte Zwecke gegeben;
  • durch eine eindeutige bestätigende Handlung erteilt werden.

Im Fall Meta wurde keine ausdrückliche Einwilligung eingeholt. Stattdessen berief sich das Unternehmen auf das berechtigte Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO. Das Gericht akzeptierte, dass die Entwicklung von KI-Systemen unter bestimmten Umständen ein berechtigtes Interesse darstellen könne, sofern die Nutzer informiert werden und die Möglichkeit haben, Widerspruch einzulegen.

Zentrale Empfehlungen für Unternehmen

  1. Transparenz ist unerlässlich
    Nutzer müssen klar und proaktiv darüber informiert werden, wie ihre Daten verwendet werden. Das Gericht akzeptierte Metas Opt-out-Modell, da die Nutzer informiert wurden und widersprechen konnten.

  2. Informierung vor Datenerhebung
    Nur Daten, die nach erfolgter Information und gewährtem Widerspruchsrecht erhoben wurden, dürfen für das KI-Training verwendet werden. Eine nachträgliche Zweckänderung ohne Offenlegung ist unzulässig.

  3. Berechtigtes Interesse konkret darlegen
    Die Verarbeitung muss einem konkreten, nachvollziehbaren Unternehmenszweck dienen. Allgemeine oder spekulative Interessen genügen nicht.

Fazit: Vorsicht ist geboten

Auch wenn das Gericht den Antrag gegen Meta abgewiesen hat, bedeutet dies nicht, dass personenbezogene Daten uneingeschränkt für KI-Training verwendet werden dürfen. Jede Verarbeitung muss einzelfallbezogen geprüft werden unter Berücksichtigung von:

  • Art und Umfang der angebotenen Dienste,
  • Art von personenbezogenen Daten,
  • Rechtsgrundlage der Verarbeitung.

Da sich das regulatorische Umfeld – insbesondere im Bereich der KI-Regulierung – fortlaufend weiterentwickelt, sind Unternehmen gehalten, sich kontinuierlich über neue Entwicklungen zu informieren und die geltenden Vorschriften einzuhalten. Wer beabsichtigt, personenbezogene Kundendaten für das Training von KI-Systemen zu nutzen, muss die damit verbundenen rechtlichen Risiken sorgfältig prüfen und für Transparenz sowie rechtskonforme Verarbeitung sorgen. 

Gerne unterstützen wir Sie dabei, diese komplexen Anforderungen zu erfüllen und Ihre Compliance-Maßnahmen effektiv umzusetzen. Sprechen Sie uns an, wir beraten Sie zu DSGVO-Compliance und IT-Recht.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
Logo 25 Jahre Rickert Rechtsanwaltsgesellschaft

Hackerangriff bei Motel One

Hackerangriff bei Motel One

Nach einem Hackerangriff der Cybergang ALPHV wurden schätzungsweise 6 Terabyte Daten im Darknet veröffentlicht. Angegriffen wurde die Hotelgruppe Motel One. 

Publik geworden sind hierbei insbesondere Adress- und Buchungsdaten der Hotelgäste, sowie 150 Kreditkartendaten. Laut Aussage von Motel One wurden zumindest diejenigen Gäste informiert, deren Kreditkartendaten veröffentlicht worden sind bereits informiert. Motel One hat dazu selbst Informationen auf der Unternehmenswebsite veröffentlicht.

Nach Presseinformationen sind ebenfalls nahezu vollständige Übernachtungslisten beginnend mit dem Jahr 2016 enthalten. Ob diese rechtmäßig in derartigem Umfang gespeichert werden durften, wird derzeit hinterfragt.

Ob auch Ihre Daten von dem Angriff bei Motel One betroffen sind oder bei einem anderen Datenleck veröffentlicht wurden, können Sie mit dem Identity Leak Checkers des Hasso-Plattner-Instituts überprüfen.

Fragen Sie sich, welche Rechte Ihnen als betroffene Person aus Datenschutzgesichtspunkten zustehen? Betroffene können Ihr Recht auf Auskunft (Art. 15 DS-GVO), das Recht auf Berichtigung oder Löschung (Art. 16 und Art. 17 DS-GVO), das Recht auf Einschränkung der Verarbeitung (Art. 18 DS-GVO), das Recht auf Datenübertragbarkeit (Art. 20 DS-GVO) sowie das Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DS-GVO) gegenüber dem Verantwortlichen geltend machen. Sollten Sie der Ansicht sein, dass die Verarbeitung gegen Datenschutzrecht verstößt, haben Sie gemäß Art. 77 Abs. 1 DS-GVO das Recht, sich bei einer Datenschutzaufsichtsbehörde eigener Wahl zu beschweren. Darüber hinaus sind auch mögliche Schadensersatzansprüche denkbar. Melden Sie sich dazu gerne bei unserem Team.
Gerne beraten wir auch Ihr Unternehmen hinsichtlich der Punkte zu Datensparsamkeit und rechtssicheren Löschkonzepten, die die Verarbeitung von personenbezogenen Daten minimieren und somit eine geringere Angriffsfläche für etwaige Hackerangriffe bieten können.

 

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
Logo 25 Jahre Rickert Rechtsanwaltsgesellschaft

NIS-2 – Jetzt bereits die Anforderungen kennenlernen

NIS-2 – Jetzt bereits die Anforderungen kennenlernen

Oktober 2024 kommt schneller als man denkt

Einleitung

Spätestens seit der pandemiebedingten Kontaktreduktion hat die digitale Transformation auch in Deutschland alle gesellschaftlichen Bereiche durchzogen. Doch besonders im Bereich der kritischen Infrastruktur ist die Digitalisierung auch durchaus risikobehaftet: Unternehmen, Staatsbetriebe und Behörden sehen sich einer steigenden Bedrohung durch Cyberangriffe und -attacken ausgesetzt, denen sie mit geeigneten Maßnahmen begegnen müssen.

Wie real diese Bedrohung ist, zeigte in den letzten Jahren allein in Deutschland der lebensbedrohliche Hackerangriff auf das Uniklinikum Düsseldorf im Jahr 2020, die Cyberattacke auf den IT-Dienstleister der Landeshauptstadt Schwerin 2021, und jüngst mit dem wiederholten Angriff (sog. Brute-Force-Attacke) auf die Systeme der Stadt Potsdam im Dezember 2022, nachdem sie bereits 2020 Gegenstand einer Cyberattacke war.

Diese Entwicklung beobachtet auch die Europäische Union kritisch und hat daher bereits 2016 mit der Richtlinie zur Sicherheit von Netzwerk- und Informationssystemen (NIS) die erste EU-weite Gesetzgebungsmaßnahme für Einrichtungen im Bereich der kritischen Infrastruktur getroffen, um auf ein einheitliches, sich gegenseitig unterstützendes Cybersicherheitsniveau in den EU-Mitgliedstaaten hinzuwirken. Die Umsetzung erfolgte in Deutschland vor allem über Anpassungen des IT-Sicherheitsgesetzes, welches aber auch zuvor schon viele Anforderungen erfüllte.

Nach der Überprüfung dieser Richtlinie und ihrer Wirkung hat die EU es jedoch für erforderlich gehalten, die bereits bestehende Richtlinie nachzuschärfen. So wurde vergangenen November vom Rat der Europäischen Union und dem Europäischen Parlament die überarbeitete sogenannte NIS-2-Richtlinie angenommen. Am 27.12.2022 ist sie dann veröffentlicht worden und am 16.01.2023 in Kraft getreten.

1. Erweiterung und Konkretisierung des Anwendungsbereichs

Welche Sektoren betrifft die Richtlinie?

In den Anhängen I und II sind insgesamt achtzehn Sektoren definiert, in der ersten NIS-Richtlinie waren es nur sieben Sektoren. Zudem wurden die Sektoren in „Sektoren mit hoher Kritikalität“ und „sonstige kritische Sektoren“ aufgegliedert.

Sektoren mit hoher Kritikalität

(Anhang I)

  • Energie (Elektrizität; Fernwärme und -kälte; Erdöl; Erdgas; Wasserstoff)
  • (Luft-, Schienen-, Straßen-)Verkehr und Schifffahrt
  • Bankwesen
  • Finanzmarktinfrastrukturen
  • Gesundheitswesen
  • Trinkwasser
  • Abwasser
  • Digitale Infrastruktur
  • Verwaltung von IKT (B-to-B)
  • Öffentliche Verwaltung
  • Weltraum

Sonstige kritische Sektoren (Anhang II)

  • Post- und Kurierdienste
  • Abfallbewirtschaftung
  • Produktion, Herstellung und Handeln mit chemischen Stoffen
  • Produktion, Verarbeitung und Vertrieb von Lebensmitteln
  • Verarbeitendes Gewerbe/Herstellung von Waren
  • Anbieter digitaler Dienste, konkret: Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke
  • Forschung

 

Für welche öffentliche und private Einrichtungen innerhalb der Sektoren gilt die Richtlinie? 

Die Richtlinie regelt durch einheitliche Kriterien, welche öffentlichen und privaten Einrichtungen, die innerhalb der Sektoren tätig sind, verpflichtet werden (Art. 2):

  • alle Unternehmen, ab einer Beschäftigtenanzahl von 50 Personen und einem Jahresumsatz bzw. einer Jahresbilanz von mindestens 10 Millionen Euro
  • Anbieter von öffentlichen elektronischen Kommunikationsnetzen oder von öffentlich zugänglichen elektronischen Kommunikationsdiensten
  • Vertrauensdiensteanbieter
  • Namenregister der Domäne oberster Stufe (Registries) und DNS-Diensteanbieter
  • Einrichtung, die im jeweiligen Mitgliedstaat einziger Anbieter eines Dienstes sind, der für die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Tätigkeiten unerlässlich ist
  • Einrichtungen, die auf nationaler oder regionaler Ebene für den betreffenden Sektor, die betreffende Art des Dienstes oder für andere voneinander abhängige Sektoren im jeweiligen Mitgliedstaat eine besondere Bedeutung haben
  • Einrichtungen, bei denen sich eine Störung des von der Einrichtung erbrachten Dienstes wesentlich auf die öffentliche Ordnung, die öffentliche Sicherheit oder die öffentliche Gesundheit auswirken könnte
  • Einrichtungen, bei denen eine Störung ihrer Dienste zu einem wesentlichen Systemrisiko führen könnte
  • bestimmte kritische Einrichtungen der öffentlichen Verwaltung
  • Ggf. Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene und Bildungseinrichtungen, sofern der jeweilige Mitgliedstaat dies bestimmt
  • Einrichtungen, die Domänennamenregistrierungsdienste erbringen (Registrare)
  • Einrichtungen, die von dem jeweiligen Mitgliedstaat nach Art. 6 der Richtlinie (EU) 2022/2557 als kritische Einrichtungen eingestuft wurden

2. Festlegung konkreter Pflichten für betroffene Einrichtungen:

  • Pflicht zum Ergreifen von Risikomanagementmaßnahmen in einem durch die Richtlinie festgelegten Mindestumfang (vgl. Art. 21 Abs. 2)
  • Berichtspflichten gegenüber bestimmten nationalen Stellen/Behörden (Art. 23)
  • Ggf. Pflicht zur Verwendung spezieller IKT-Produkte, -Dienste und -Prozesse, die im Rahmen europäischer Schemata für die Cybersicherheitszertifizierung zertifiziert sind, sofern der jeweilige Mitgliedstaat dies bestimmt
  • Für Registries und Registrare: Pflicht, zukünftig genaue und vollständige Domänennamen-Registrierungsdaten unter Beachtung der Datenschutzbestimmungen in einer eigenen Datenbank zu sammeln und zu pflegen, zu validieren und zu beauskunften (Art. 28).

Die Einhaltung dieser Pflichten soll durch nationale Aufsichtsbehörden kontrolliert und bei Nichteinhaltung mit Geldbußen sanktioniert werden. Die konkrete Ausgestaltung der Aufsichts- und Durchsetzungsmaßnahmen erfolgt durch die Mitgliedstaaten, wobei die Richtlinie auch in diesem Bereich Vorgaben macht.

3. Bestimmung des Verhältnisses zu sektorspezifischen Rechtsvorschriften

Gibt es für die erfassten Sektoren bereits spezielle, mindestens gleich wirksame EU-Vorschriften, wie beispielsweise in der Verordnung über die digitale operative Betriebsstabilität digitaler Systeme des Finanzsektors (DORA – Digital Operational Resilience Act) und aufgrund der Richtlinie über die Resilienz kritischer Einrichtungen (CER – Critical Entities Resilience Directive), sind diese vorrangig anzuwenden (Art. 5).

4. Ausweitung der Unterstützung und Erleichterung der strategischen Zusammenarbeit und des Informationsaustauschs zwischen den Mitgliedstaaten durch…

  • das (bereits zuvor bestandene) Netzwerk der nationalen Computer-Notfallteams (CSIRTs)
  • Einrichtung einer europäische Schwachstellendatenbank durch die Agentur der Europäischen Union für Cybersicherheit (ENISA) auf Basis von Mitteilungen mitgliedstaatliche CSIRT Koordinatoren
  • Schaffung des Europäischen Netzwerkes der Verbindungsorganisationen für Cyberkrisen (EU-CyCLONe)
  • Veranstaltung von themenbezogenen Peer Reviews durch Sachverständige für Cybersicherheit (Teilnahme freiwillig)

Umsetzung der Richtlinie

Die Mitgliedstaaten müssen die Richtlinie innerhalb von 21 Monaten nach ihrem Inkrafttreten durch eigene Gesetzgebung in nationales Recht umsetzen. Die Richtlinie legt nur Mindestanforderungen im Bereich der Cybersicherheit fest, sodass die Mitgliedsstaaten nach Belieben auch ein höheres Schutzniveau etablieren können.
Für Unternehmen empfiehlt es sich bereits jetzt zu kontrollieren, ob sie (neuerdings) von der Richtlinie betroffen sind und falls ja, die Planung der Neuerungen voranzutreiben. Die technische Umsetzung kann teilweise viel Zeit in Anspruch nehmen und die reale Gefahr von Cyberangriffen besteht unabhängig von der gesetzlichen Absicherung.

Falls Sie Fragen bezüglich der Richtlinie oder der dadurch erforderlich werdenden Anpassungen haben, beraten wir Sie gerne.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
Logo 25 Jahre Rickert Rechtsanwaltsgesellschaft

Gatekeeper an die Leine: der Digital Markets Act

Digital Markets Act und Digital Service Act

Die EU nimmt Gatekeeper ins Visir

Digital Markets Act und Digital Service Act

Der Digital Markets Act und Digital Service Act

Einleitung

Die EU will sog. Gatekeeper-Unternehmen wie Google, Amazon oder Apple künftig in ihrer Marktmacht regulieren zugunsten fairer Wettbewerbsbedingungen für digitale Unternehmen. Dafür werden derzeit zwei Gesetzespakete entwickelt, der »Digital Services Act« und der »Digital Markets Act«. Noch sind sich EU-Parlament und der Ministerrat nicht einig, aber es gibt Fortschritte.

Das Gesetzesvorhaben für den Digital Markets Act wurde bereits im Dezember 2020 initiiert. Am 24. März 2022 gab es dann endlich eine erste Einigung.

Diese Einigung muss noch von den EU-Abgeordneten und Mitgliedstaaten offiziell angenommen werden, was vermutlich einige Zeit in Anspruch nehmen wird.

Ein Parallelvorhaben ist der Digital Services Act (DSA), der bereits im Januar 2022 im EU-Parlament beschlossen wurde.

Beide Gesetzesentwürfe sollen nach Abschluss aller Verhandlungen in Form einer Verordnung umgesetzt werden, die dann für sämtliche Mitgliedstaaten gelten wird.

Ein Inkrafttreten beider Gesetzesvorhaben wird allerdings nicht vor 2023 erwartet.

Was regelt der Digital Markets Act?

Der Digital Markets Act will verhindern, dass Unternehmen überhaupt erst zu Gatekeeper-Unternehmen heranwachsen können, bevor sie (kartell-)rechtlich verfolgt werden. Die Regulierungen zielen auf rechtzeitige und angemessene Maßnahmen ab, die es Einzelunternehmen erschweren, ihre Marktmacht auszubauen und die Entwicklung der Konkurrenz zu verhindern.

Als Gatekeeper werden solche Unternehmen bezeichnet,

  • die mindestens 6,5 Mrd. EURO Jahresumsatz im europäischen Wirtschaftsraum erzielen,
  • sowie über 45 Mio. Endnutzer pro Monat haben und
  • über 10 Tsd. gewerbliche Nutzer nachweisen.

Außerdem müssen sie einen signifikanten Einfluss im Binnenmarkt ausüben, d.h. in mehreren Mitgliedstaaten unternehmerisch aktiv sein. Dafür ist es nicht erforderlich, dass das Unternehmen seinen Sitz in der EU hat. Zurzeit erfüllen ungefähr 10 bis 15 Unternehmen diese Kriterien, wie beispielsweise Google, Amazon, facebook, Apple & Co.

Die Feststellung, ob man als Gatekeeper-Unternehmen gilt, müssen die Unternehmen zunächst selbst vornehmen. Gemäß des DMA trifft die Unternehmen diesbezüglich eine Anzeigepflicht gegenüber der EU-Kommission.

Wie werden Gatekeeper künftig reguliert?

  • Gatekeeper dürfen keine unfairen Bedingungen für andere Unternehmen, Geschäftskunden und Verbraucher schaffen. Hier orientiert sich der Regelgeber an bereits laufenden oder abgeschlossenen Untersuchungsverfahren wegen Missbrauchs der Marktmacht.
  • Bei Firmenübernahmen soll mehr Kontrolle ausgeübt werden können, damit kleinere Unternehmen nicht einfach vom Markt weggekauft werden.
  • Gewerbliche Nutzer sollen auf Kunden- und Transaktionsdaten zuzugreifen können, jedoch nur auf solche, welche sie selbst auf den Gatekeeper-Plattformen generieren. Derartiges ist für Händler von Verkaufsplattformen zurzeit nicht möglich.
  • Eine der Kernforderungen ist die Interoperabilität von Messenger-Diensten. Es sollen künftig Nachrichten zwischen verschiedenen Anbietern verschickt werden können.
  • In Sachen personalisierte Werbung gibt es zwar kein absolutes Verbot, dennoch sollen Minderjährige stärker geschützt werden. Die Datenzusammenführung ohne vorherige ausdrückliche Einwilligung wird verboten.
  • Auch dürfen Gatekeeper nicht mehr auf die Suchergebnisanzeige einwirken, um ihre eigenen Dienste und Produkte höher zu setzen, sog. self-preferencing.
  • Sie dürfen Kunden nicht mehr daran hindern, sich an Unternehmen außerhalb ihrer Plattform zu wenden.

In strengen Ausnahmesituationen soll es sogar erlaubt sein, Gatekeeper-Konzerne zu zerschlagen, wenn diese wiederholt und systematisch gegen die Auflagen verstoßen.

Ansonsten arbeitet der DMA mit Bußgeldern in Höhe von bis zu 10 % des Jahresumsatzes. Das EU-Parlament forderte sogar eine Bußgeldhöhe von bis zu 20 % des Jahresumsatzes. Diese Forderung fand jedoch keine Zustimmung.

Was regelt der Digital Services Act?

Der Digitale Services Act beschränkt sich im Gegensatz zum DMA nicht nur auf Gatekeeper-Unternehmen, sondern richtet sich an alle digitalen Dienste. Daher werden auch Internetprovider, Vergleichs- oder Buchungsportale, App-Stores oder Cloud-Services eingeschlossen. Der DSA möchte eine sichere und vertrauenswürdige Online-Umgebung für alle schaffen.

Um Benachteiligungen zu vermeiden, werden die Unterschiede der verschiedenen Dienste im Rahmen eines abgestuften Regelungssystems innerhalb des DSA berücksichtigt. Auch die E-Commerce-Richtlinie (2000/31/EC) wird teilweise abgelöst. Es hat sich gezeigt, dass die Mitgliedstaaten jeweils ihre eigenen nationalen Regelungen eingeführt haben, was zu einem unübersichtlichen Flickenteppich an Vorschriften geführt hat. Das möchte der DSA korrigieren.

Der bisherige Gesetzesentwurf ist umfangreicher als der Gesetzesentwurf zum DMA. Er zielt auf den Schutz der Nutzer ab.

Nachfolgend geben wir Ihnen einen groben Überblick über die Themen, die im DSA künftig geregelt werden:

  • Online-Marktplätze sollen die Identität ihrer Händler verstärkt prüfen, um Produktsicherheit zu gewährleisten. Damit entstehen unter anderem neue “due-diligence-Pflichten“ für Online-Marktplätze. Durch die Identitätsprüfung ist es Markeninhabern auch möglich, besser gegen Produktfälschungen vorzugehen. Zusätzlich sollen sog. Trusted Flagger zum Einsatz kommen, damit man zuverlässige Händler besser erkennen kann.
  • Große Plattformbetreiber, sog. VLOPs (Very Large Online Platforms), sollen jährlich mindestens eine eigene Risikobewertung vornehmen, um zu überprüfen, wie sich die Verbreitung illegaler oder falscher Inhalte auswirkt. Sie sollen illegale oder falsche Inhalte löschen oder gezielt moderieren können. Empfehlungssysteme sorgen dabei für zuverlässigere Informationsquellen. Insbesondere illegale Inhalte sollen durch Host-Provider schneller entfernt werden dürfen (Notice-and-Action-System). Dem Nutzer wird vor der Löschung jedoch eine Widerspruchsmöglichkeit eingeräumt.
  • Die Funktionsweise von Algorithmen soll transparenter werden, damit Nutzer ein besseres Verständnis für die technischen und analytischen Abläufe bekommen. Dies soll ihnen helfen, Suchmaschinen und ihre Ergebnisse zu verstehen.
  • An Minderjährige gerichtete personalisierte Werbung soll gänzlich verboten sein. Volljährige Nutzer dagegen können selbst entscheiden, ob ihnen personalisierte Werbung angezeigt wird oder nicht. Ganz wichtig: Den Nutzern sollen die Abläufe im Hintergrund transparent gemacht werden, damit sie verstehen können, wie es überhaupt dazu kommt, dass ihnen ganz bestimmte Werbung angezeigt wird.
  • Einfach zugängliche Meldesysteme soll es Nutzern und Betroffenen künftig leichter machen, sich zu beschweren.

Hinsichtlich der VLOPs behält sich die Kommission eigene Untersuchungs- und Eingriffsbefugnisse vor. Die Durchsetzung des DSA hingegen ist Sache der einzelnen Mitgliedstaaten.

Bei Verstößen wird ein Bußgeld in Höhe von 6 % des weltweiten jährlichen Konzernumsatzes fällig.

Kritik

Es klingt erst einmal gut, dass Großplattformbetreiber und Gatekeeper an die Leine genommen werden sollen, um Platz für fairen Wettbewerb zu lassen.

Dennoch sind die avisierten Regelungen auch kritisch zu betrachten.

Es ist gewagt, ein völlig neues Regulierungsmodell zu schaffen, ohne dieses mit den bereits vorhandenen wettbewerbsrechtlichen Vorschriften zu verknüpfen.

Es besteht die Gefahr einer doppelten Verfolgung, einmal im Rahmen der Verordnung und andererseits nach europäischen wettbewerbsrechtlichen Regelungen. In diesem Zusammenhang ist auch noch nicht geklärt, in welchem Verhältnis das nationale Kartellrecht, allen voran § 19a GWB, angewendet werden soll.

Hinsichtlich des Verbots von personalisierter Werbung bei Minderjährigen wird es wohl kaum eine Umsetzung in der Praxis geben, weil letzten Endes keine Überprüfung stattfindet, wer tatsächlich den PC nutzt.

Dies gilt auch im Hinblick auf die Interoperabilität zwischen den Diensten, die technisch zwar möglicherweise umsetzbar ist, jedoch erhebliche datenschutzrechtliche Bedenken bzgl. der unkontrollierten Datenweitergabe aufwirft.

Da der DSA die Verwendung von Upload-Filtern anerkennt, könnte eine erneute urheberrechtliche Diskussion über die Verwendung dieser Filter entfacht werden.

Der DSA gewährt erhebliche Eingriffsmöglichkeiten bei falschen und illegalen Inhalten. Doch ist es noch nicht abschließend geklärt, welche Inhalte überhaupt darunterfallen und wer eine entsprechende Bewertung vornimmt. Dadurch könnte es zu einer Einschränkung der Meinungs- und Pressefreiheit kommen.

Fazit

Die Hoffnungen der EU sind groß, dass DMA und DSA einen größtmöglichen Nutzen für die Regulierung der digitalen Marktwirtschaft bringen. Einige Regelungen werden sicherlich dazu beitragen. Doch bleibt die Umsetzung abzuwarten. Da die Verhandlungen noch nicht endgültig abgeschlossen sind, sind Änderungen nach wie vor möglich.

Dennoch lässt sich bereits jetzt festhalten, dass der Umfang der zu beachtenden Regeln stark an die Größe eines Unternehmens gekoppelt sein wird.

Und natürlich wird es für große Unternehmen teuer und aufwändig, die neuen gesetzlichen Vorgaben umzusetzen.

Ein Inkrafttreten ist nicht vor 2023 geplant. Mit der geplanten Übergangsfrist von 6-12 Monaten dürfte es also erst 2024 zu einer faktischen Umsetzung kommen.

Über die weiteren Entwicklungen werden wir Sie hier gerne informieren.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

Das Telekommunikationsmodernisierungsgesetz (TKMoG) ist da!

TKMoG

Telekommunikationsmodernisierungsgesetz (TKMoG): Das ist neu!

TKMoG

Am 1.12.2021 wurde es endlich  verabschiedet: das TKMoG.  

Nach langer Unstimmigkeit bezüglich der Umsetzung der EU-Richtlinie 2018/1972 wurde am 1.12.2021 endlich das TKMoG verabschiedet. 

Einführung    

Das Telekommunikationsgesetz (TKG) reguliert grundsätzlich den Wettbewerb im Bereich der Telekommunikation. Die Modernisierungen an dem inzwischen fast 26-jährigen Gesetz von Juli 1996 vereinen sich unter dem sperrigen Begriff Telekommunikationsmodernisierungsgesetz (TKMoG). Im Fokus stehen dabei vor allem der Netzausbau und der Verbraucherschutz. Das gilt jedoch nicht nur für Mobilfunk-, sondern auch für Festnetz- und Internetverträge.

Die Neuerungen im TKMoG 

Grundlegendes Ziel des TKMoG ist es, allen Bürgerinnen und Bürgern die Telekommunikation durch einen flächendeckenden und schnellen Ausbau der Gigabitnetze zugänglich zu machen.

Das bedeutet konkret:

  • Jede Bürgerin und jeder Bürger soll einen Anspruch auf einen Internetzugang zu einem erschwinglichen Preis bekommen (§§ 156 ff. TKMoG). Damit erhalten sie die Möglichkeit, ein E-Mail-Postfach, Online-Banking, Online-Shopping oder Social Media zu nutzen sowie im Home-Office arbeiten zu können.
  • Die Genehmigungsverfahren für Telekommunikationsunternehmen werden dazu weitgehend vereinfacht, um einen Anreiz für den zügigen und lückenlosen Ausbau des Glasfasernetzes zu schaffen (§§ 78 ff. TKMoG).
  • Die derzeitigen Mindestvertragslaufzeiten von Mobilfunk- und Festnetzverträgen werden angepasst (§ 56 Abs. 1 TKMoG). Es muss die Möglichkeit für einen 1-Jahres-Vertrags geben, auch wenn es keine pauschale Herabsenkung der Mindestvertragslaufzeit auf zwölf Monate gibt. So könnten die Unternehmen etwa zwei Vertragsmodelle mit verschiedenen Mindestvertragslaufzeiten anbieten. Einmal mit der kürzeren Vertragslaufzeit von zwölf Monaten, und einmal mit der derzeitigen “Standardvariante” von 24 Monaten.
  • Den Kundinnen und Kunden muss es nach Ablauf der Mindestvertragslaufzeit möglich sein, jederzeit mit einer Frist von einem Monat zu kündigen.Die Verträge können sich nicht mehr automatisch um z. B. weitere 12 Monate verlängern.
  • Um zu vermeiden, dass Kunden ahnungslos teure Alt-Tarife weiterführen, gibt es eine jährliche Informationspflicht seitens des Anbieters.
  • Das neue sog. Glasfaserbereitstellungsentgelt regelt die Kostenumlage bei Erstanschluss eines Gebäudes an das Glasfasernetz. Der Vermieter kann die Kosten demnach über die Nebenkosten an den Mieter weiterreichen, auch wenn der Mieter den Anschluss nicht nutzt.
  • Mieterinnen und Mieter können den jeweilen Anschluss nach Ablauf von zwei Jahren selbstständig kündigen, sofern sie ihren TV-Kabelanschluss über die Betriebskosten des Mietobjekts zahlen. Damit können sie nach einer Übergangszeit frei über ihren Anbieter entscheiden (§ 71 Abs. 2 TKMoG).
  • Wenn vertraglich festgelegte Leistungen nicht in vollem Umfang erbracht werden können oder Störungen nicht binnen einer bestimmten Frist behoben werden, können Verbraucher eine Zahlungsminderung oder eine Entschädigung fordern.

Die hier vorgestellten Änderungen durch das TKMoG sind jedoch nicht abschließend. Es gibt weitere Änderungen in den Bereichen Marktregulierung (Teil 2, §§ 10 ff TKMoG), Kundenschutz (Teil 3, §§ 51 ff. TKMoG), sowie bei der Vergabe von Frequenzen, Nummern und Wegerechten (Teile 6, 7, 8, §§ 87 ff. TKMoG). 

Fazit 

Die gestärkten Rechte der Verbraucher und Verbraucherinnen auf dem Gebiet der Telekommunikation treiben den flächendeckenden Netzausbau voran. Das ist in Anbetracht des internationalen Wettbewerbs auch dringend notwendig, da bislang vor allem ländliche Gebiete vom modernen digitalen Arbeitsmarkt regelrecht ausgeschlossen waren.

Den Telekommunikationsunternehmen blieb letztendlich nur wenig Zeit für die Umsetzung der weitreichenden Änderungen. Zwar war bekannt, dass Änderungen aufgrund der europäischen Richtlinie folgen würden, den Mitgliedstaaten verblieb jedoch noch ein gewisser Umsetzungsspielraum, sodass bis zuletzt unklar war, wie genau die neuen Regelungen aussehen würden.

Siehe auch https://rickert.law/ttdsg-entwurf-wurde-beschlossen/

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

BVerfG: Hetzkommentare in Sozialen Netzwerken sind nicht anstandslos hinzunehmen

BVerfG

Die Politikerin Renate Künast kann einen Etappensieg feiern: die Beschlüsse des Landgerichts und Kammergerichts Berlin, welche die Hetzkommentare größtenteils als hinnehmbar einstuften, wurden vom BVerfG jetzt aufgehoben.

BVerfG

Stand März 2022

BVerfG: Hetzkommentare in Sozialen Netzwerken sind nicht anstandslos hinzunehmen 

Einführung 

Gerade im Zeitalter der sozialen Medien stellt sich häufig die Frage, wie weit die Meinungsfreiheit aus Art. 5 Abs. 1 Grundgesetz (GG) geht und was sich Empfänger von Hetzkommentaren alles gefallen lassen müssen. Nun hat das Bundesverfassungsgericht (BVerfG) sich erneut mit dieser Frage beschäftigt. Dem einschlägigen Beschluss (BVerfG, Beschl. v. 19.12.2021, Az.: 1 BvR 1073/20) liegen zahlreiche beleidigende Kommentare auf Facebook zugrunde, die Anfang 2019 gegen die Grünen-Politikerin Renate Künast gerichtet waren. Es fielen hierbei u.a. Ausdrücke wie “Pädophilen-Trulla”, “Gehirn Amputiert” und “Stück Scheiße”. Hiergegen wendete sich Frau Künast und verlangte von der Betreiberin der Social Media Plattform Facebook, dass diese die personenbezogenen Daten der Verfasserinnen und Verfasser der jeweiligen Kommentare gem. § 14 Abs. 3 Telemediengesetz in der alten (damals geltenden) Fassung (TMG a.F.; heute: § 21 Abs. 2, 3 Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG)) an sie herauszugeben, damit sie gegen sie rechtlich weiter vorgehen könnte. In erster und zweiter Instanz verweigerten jedoch sowohl das Landgericht (LG) als auch das Kammergericht (KG) Berlin die Auskunftsansprüche größtenteils, da sie in der Mehrheit der Kommentare keine Beleidigungen sahen. Grund dafür war zum Teil, dass die Äußerungen genügend Sachbezug zur erneut aufgekommenen „Pädophilie-Debatte“ aus dem Jahr 2015 hätten, in der es vorwiegend um die Haltung der „Grünen“ zur Pädophilie in den 1980er Jahren ging, so die Berliner Gerichte. 

Gegen die Berliner Beschlüsse legte Frau Künast Verfassungsbeschwerde beim BVerfG ein. Im Folgenden wird der Beschluss des BVerfG erläutert und zudem darauf eingegangen, anhand welcher Kriterien eine Abwägung zwischen der Meinungsfreiheit auf der einen Seite und dem allgemeinen Persönlichkeitsrecht aus Sicht des BVerfG auf der anderen Seite stattzufinden hat.  

Entscheidung des BVerfG 

Nach Auffassung des Karlsruher Gerichts haben die vorinstanzlichen Gerichte das allgemeine Persönlichkeitsrecht der Politikerin gem. Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG nicht ausreichend berücksichtigt. Bei Hetzkommentaren, insbesondere wenn es um deren Zulässigkeit geht, sei immer zwischen Schmähkritik und anderen verletzenden Aussagen mit Sachbezug zu differenzieren. Schmähkritik bezeichnet dabei Äußerungen, bei denen die betroffenen Personen lediglich herabgewürdigt und diffamiert werden sollen, ohne dass die Aussage einen Sachbezug aufweist. Diese Aussagen sind nach ständiger Rechtsprechung stets als Beleidigungen i.S.d. § 185 Strafgesetzbuch (StGB) anzusehen und unterfallen daher nicht (mehr) der allgemeinen Meinungsfreiheit nach Art. 5 Abs.1 GG.  

Nach Ansicht des BVerfG seien die Berliner Richterinnen und Richter jedoch vorschnell und unzutreffend davon ausgegangen, dass einige Kommentare keine Beleidigungen i.S.d. § 185 StGB darstellen würden, nur weil sie keine Schmähkritik seien. Sofern die jeweiligen Aussagen keine Schmähkritik darstellen würden, sondern außerdem einen Sachbezug hätten oder zur öffentlichen Meinungsbildung beitragen würden, müsse von den Gerichten in einem weiteren Schritt zwischen der Meinungsfreiheit der Verfasserin oder des Verfassers und dem allgemeinen Persönlichkeitsrecht des Opfers abgewogen werden. Es gebe jedoch keine Vermutung eines generellen Vorrangs der Meinungsfreiheit, auch nicht bei Personen, die in der Öffentlichkeit stehen.  

Das LG und das KG hätten diese Abwägung aber gerade nicht vorgenommen, sondern mit der Begründung, dass bei den Kommentaren ein Sachbezug zur Pädophilie-Debatte aus 2015 vorläge, eine Schmähkritik und damit auch eine Beleidigung schließlich abgelehnt. Letzteres dürfe so aber per se nicht geschehen. Aufgrund dieses Abwägungsausfalls der Vorinstanzen hat das BVerfG mithin einen Verstoß gegen Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG festgestellt und deshalb die Beschlüsse der Berliner Gerichte (LG, Beschl. v. 07.09.2019, 21.01.2020, Az.: 27 AR 19/19; KG, Beschl. v. 11.03.2020, 06.04.2020, Az.: 10 W 13/20) aufgehoben. Das BVerfG hat in seiner Entscheidung hierbei den Sachverhalt nicht in Gänze, sondern lediglich auf Grundrechtsverletzungen überprüft. Deshalb hat das BVerfG den Fall auch zur erneuten Prüfung des Auskunftsanspruchs gem. § 14 Abs. 3 TMG a.F. an das KG Berlin zurückverwiesen, sodass dieses sich nochmals mit den Hetzkommentaren im Einzelnen auseinandersetzen muss. 

Kriterien für die Abwägung zwischen der Meinungsfreiheit und dem allgemeinen Persönlichkeitsrecht  

Das Karlsruher Gericht betonte in seinem Beschluss erneut (vgl. BVerfG, Beschl. v. 19.05.2020, Az.: 1 BvR 2397/19), auf welche Kriterien bei der Abwägung zwischen Art. 5 Abs. 1 GG und Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG abzustellen sei. Die hierbei nun mehr aufgestellten Punkte seien aber keinesfalls zwingend bei jeder Abwägung heranzuziehen, sondern sollen lediglich einen Leitfaden bilden. 

  1. Zunächst sei zu beachten, dass die Meinungsfreiheit umso stärker ins Gewicht falle, je mehr ein Beitrag oder eine Aussage darauf ziele, der öffentlichen Meinungsbildung zu dienen bzw. umso geringer, je mehr es davon unabhängig lediglich um die persönliche Meinung gegenüber einer anderen Person ginge. 
  2. Zudem sei es bedeutend, ob es sich bei der getroffenen Aussage um Machtkritik handele – denn diese sei besonders schutzwürdig. Politikerinnen und Politiker müssten für deren Art und Weise der Machtausübung auch angegriffen werden können. Jedoch folge daraus nicht, dass Amtsträgerinnen und Amtsträger vom Schutz vor Beleidigungen und Verächtlichmachungen ausgenommen seien. Deren Persönlichkeitsrechte seien ebenso hinreichend zu wahren wie die von jeder anderen Person auch.  
  3. Relevant sei des Weiteren, ob die Aussagen spontan gefallen seien oder ob sie mit Vorbedacht getätigt wurden. Äußerungen in sozialen Netzwerken seien nach Ansicht des BVerfG keine Spontanäußerungen, sondern solche mit Vorbedacht, für die ein strengerer Maßstab gelte. 
  4. In die Abwägung könne außerdem miteinfließen, wie viele Personen die Äußerungen zur Kenntnis genommen hätten und ob sie schriftlich fixiert und damit jederzeit abrufbar seien. 

Fazit 

Das KG Berlin muss sich im Ergebnis nochmals mit den Hetzkommentaren gegen Frau Künast auseinandersetzen und dabei nach Auffassung des BVerfG vermutlich zu einem anderen Ergebnis kommen. Es ist also festzuhalten, dass bisher noch nicht abschließend geklärt ist, ob die Aussagen strafbar sind und ob Frau Künast einen Anspruch auf Herausgabe der Nutzerdaten hat. Das Karlsruher Gericht hat lediglich festgestellt, dass die vorherigen Beschlüsse Frau Künast in ihrem allgemeinen Persönlichkeitsrecht verletzen, weil keine ausreichende Abwägung mit der Meinungsfreiheit stattgefunden hat. Dennoch stellte das BVerfG auch klar, dass Personen, die in der Öffentlichkeit stehen, sich nicht wie bisher häufig angenommen, alles bzw. mehr hetzerische Kritik gefallen lassen müssen, sondern gegen Beleidigungen ebenfalls geschützt sind. 

Mit seinem Beschluss stärkt das BVerfG mithin die Persönlichkeitsrechte von Opfern von Hasskommentaren. Gerichte sind nun dazu verpflichtet, in solchen Fällen eine ausführliche Abwägung zwischen den widerstreitenden Interessen vorzunehmen.  

Bisher scheiterten zivilrechtliche Ansprüche meist daran, dass die Verfasserinnen und Verfasser von Hetzkommentaren sich im Internet hinter pseudonymisierten Usernamen versteckten und deshalb nicht identifizierbar waren. Durch den Beschluss könnte sich dies nun ändern, da nach der eingehenden Abwägung, jetzt häufiger Beleidigungen angenommen werden könnten, sodass auch häufiger Auskunftsansprüche nach § 21 Abs. 2, 3 TTDSG durchgesetzt werden könnten. 

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

Neuer Mangelbegriff im Schuldrecht

Am 01.01.2022 treten umfangreiche Neuerungen im Schuldrecht in Kraft. Wir erläutern, worin diese Änderungen bestehen und welche Auswirkungen sie im digitalen Bereich haben.

Neuer Mangelbegriff im Schuldrecht

Einführung 

Am 24. Juni 2021 wurden im deutschen Bundestag die Umsetzungen der europäischen Warenkaufrichtlinie (WKRL (EU) 2019/711) und der europäischen Richtlinie zu digitalen Inhalten und Dienstleistungen (DIDRL (EU) 2019/770) beschlossen. Die Änderungen treten ab dem 01. Januar 2022 in Kraft und gelten für alle neu geschlossenen Verträge. Die Ziele der Richtlinie sind eine weitgehende Digitalisierung des Kaufrechts und eine Stärkung der Verbraucherrechte. Insbesondere steht in den Richtlinien ein neuer Mangelbegriff im Fokus. Bisher herrschte ein einheitlicher Mangelbegriff in § 434 BGB a.F., ab dem 01. Januar 2022 wird es mehrere Mangelbegriffe geben, die in mehreren Paragraphen des BGB zu finden und anhand des Vertragstypus zu bestimmen und zuzuordnen sind.  

Den genauen Wortlaut der Gesetzesänderungen der WKRL finden Sie hier und den der DIDRL hier. Hierbei handelt es sich um die umfangreichsten Änderungen des Schuldrechts nach der Schuldrechtsmodernisierung im Jahr 2002. 

Im Folgenden wird auf die Neuerungen durch die Umsetzung der Richtlinien und dabei insbesondere auf die Auswirkungen im digitalen Bereich eingegangen.  

Einführung eines neuen Vertragstypen durch die DIDRL? 

Mit Einführung der §§ 327 ff. BGB n.F., welche die DIDRL umsetzen, wird ein neuer Vertragstypus geschaffen: ein Verbrauchervertrag, der digitale Produkte und Dienstleistungen zum Inhalt hat. Dabei ist die Vertragsart aufgrund ihrer Stellung im allgemeinen Schuldrecht nicht auf einen bestimmten Vertrag, wie etwa einen Kauf gem. § 433 BGB, beschränkt, sondern gilt für alle besonderen Vertragstypen des BGB, bspw. Kaufverträge, Mietverträge, Schenkungen und Werkverträge. Im besonderen Schuldrecht stehen bei den Vertragstypen sodann Vorschriften, die regeln, dass, sofern ein digitales Produkt Vertragsgegenstand ist und es sich um einen Verbrauchervertrag handelt, die §§ 327 ff. BGB n.F. Vorrang vor den Regelungen des besonderen Schuldrechts haben. 

Teil dieses neuen Vertragsgegenstandes sind digitale Produkte. Von den §§ 327 ff. BGB n.F. sind nun vor allem Verträge betroffen, die die Erstellung, Bereitstellung, Verarbeitung und Speicherung von digitalen Daten beinhalten. Maßgeblich ist nicht die Art des Vertrages, sondern dessen digitale Form. Beispielsweise fallen darunter nun Cloudanbieter, Streamingdienste und Anbieter von Computersoftware. Für die Einordnung als “digitalen Vertrag” ist es zudem unerheblich, ob die Daten zusätzlich in physischer Form, wie etwa auf einer CD, gespeichert sind. §§ 327 Abs. 5, 475a Abs. 1 BGB n.F. stellen klar, dass nicht der Datenträger für die Einordnung als Sache maßgeblich ist, sondern die darauf befindliche Software, welche den Datenträger letztlich zum digitalen Inhalt macht und nicht zu einer Sache. 

Neuer Mangelbegriff  

Je nach Vertragstyp und -gegenstand gibt es nun verschiedene Mängelbegriffe, namentlich in den §§ 434, 475b, 475c BGB n.F. Dabei handelt es sich jedoch nicht um gänzlich unterschiedliche Begriffe und Bestimmungen. Vielmehr ergänzen sie sich und sind für verschiedene Arten von Verträgen anwendbar. 

Kaufrechtlicher Mangelbegriff gem. § 434 BGB n.F. 

Sofern ein Kaufvertrag gem. § 433 BGB vorliegt, der kein Verbrauchervertrag ist, gilt der Mangelbegriff des § 434 BGB n.F. Demnach ist gem. § 434 Abs. 1 BGB n.F. eine Sache frei von Sachmängeln, wenn sie bei Gefahrübergang den subjektiven, den objektiven und den Montageanforderungen entspricht und keine andere als die vertraglich geschuldete Sache geliefert wird.  

Den subjektiven Anforderungen wird gem. § 434 Abs. 2 BGB n.F. entsprochen, wenn die vertraglich vereinbarte Beschaffenheit vorliegt oder sich die Sache für die nach dem Vertrag vorausgesetzte Verwendung eignet. Die objektive Beschaffenheit der Sache gem. § 434 Abs. 3 BGB n.F. bezieht sich sodann darauf, dass die Sache der üblichen Beschaffenheit entspricht, also mittlerer Art und Güte ist. Die Anforderungen des § 434 Abs. 4 BGB n.F. sind erfüllt, wenn die Montage sachgemäß durchgeführt worden ist oder zwar unsachgemäß durchgeführt worden ist, dies jedoch weder auf einer unsachgemäßen Montage durch den Verkäufer noch auf einem Mangel in der vom Verkäufer übergebenen Anleitung beruht. 

Im Unterschied zum derzeit geltenden kaufrechtlichen Mangelbegriff in § 434 BGB a.F. ist der subjektive Fehlerbegriff nun nicht mehr vorrangig, vielmehr stehen subjektive und objektive Fehler nun gleichwertig nebeneinander. Demnach können ab dem 01. Januar 2022 Fälle eintreten, in denen der Kaufgegenstand zwar der vereinbarten Beschaffenheit entspricht, jedoch trotzdem mangelhaft ist, weil er den objektiven Anforderungen des Produkts nicht gerecht wird.  

Kaufrechtlicher Mangelbegriff gem. § 475b BGB n.F.  

Des Weiteren wurde ein Mangelbegriff für den Verbrauchsgüterkauf eingeführt. Dieser ist in § 475b BGB n.F. verankert und gilt für Verbrauchsgüterkäufe, die eine Ware mit digitalen Elementen zum Kaufgegenstand haben. Dabei handelt es sich um Waren, die digitale Produkte enthalten oder derart mit digitalen Produkten verbunden sind, dass die Ware ohne den digitalen Part seine Funktion nicht erfüllen kann. Beispiele sind Smartphones, Tablets oder Smart Home Geräte.  

Mangelhaft sind diese Produkte gem. § 475b Abs. 2 BGB n.F., wenn sie bei Gefahrübergang nicht den subjektiven oder objektiven Anforderungen entsprechen oder wenn die Montage- oder Installationsanforderungen nicht erfüllt sind. Zunächst gilt der Mangelbegriff des § 434 BGB n.F. (s.o.) vollumfänglich. Außerdem ergänzt der § 475b BGB n.F. diese Voraussetzungen mit einer Aktualisierungspflicht des Verkäufers.  

Im Rahmen der subjektiven Anforderungen an das Produkt bestimmt § 475b Abs. 3 BGB n.F., dass die Ware nur frei von Sachmängeln ist, wenn der Verkäufer die im Vertrag vereinbarten Aktualisierungen im maßgeblichen Zeitraum bereitstellt. Unter Aktualisierungen fallen sodann Updates und Upgrades. Neu ist hier, dass der Mangelbegriff sich bezüglich der Aktualisierungen nicht auf den Zeitpunkt des Gefahrübergangs beschränkt, sondern der ganze Vertragszeitraum maßgeblich ist. 

Auch wenn im Vertrag selbst keine Aktualisierungen vereinbart wurden, müssen im Rahmen der objektiven Anforderungen aus § 475b Abs. 4 BGB n.F. vom Verkäufer dennoch diejenigen Aktualisierungen vorgenommen werden, die für den Erhalt der Vertragsmäßigkeit der Ware erforderlich sind. Erfasst sind von dieser Vorschrift vor allem funktionserhaltende Updates und Sicherheitsupdates. Im Gesetz ist kein genauer Zeitraum für die Aktualisierungspflichten nach § 475b Abs. 3 BGB n.F. genannt, er bestimmt sich also danach, wann und wie lange ein Durchschnittskäufer die Updates nach den Umständen des Einzelfalls erwarten kann. Des Weiteren muss der Verkäufer den Kunden über die Aktualisierungen informieren. Diese Informationspflicht unterliegt aber keiner bestimmten Form.  

Die objektiven Aktualisierungspflichten sind abdingbar. Dies kann beispielsweise in Allgemeinen Geschäftsbedingungen (AGB) geschehen. Zu beachten ist dabei aber, dass die strengen Voraussetzungen des § 476 Abs. 1 S. 2 BGB n.F. eingehalten werden müssen. 

In § 475b Abs. 6 BGB n.F. stehen die Neuerungen für Montage- und Installationsanforderungen. Für die Montageanforderungen gilt nichts anderes als bei § 434 BGB n.F. Die Installationsanforderungen sind ähnlich wie die Montageanforderungen dann erfüllt, wenn die Installation der Produkte sachgemäß durchgeführt worden ist oder die unsachgemäße Installation weder auf einer unsachgemäßen Installation durch den Unternehmer noch auf einer fehlerhaften Anleitung beruht, die durch den Unternehmer oder durch denjenigen, der die digitalen Elemente bereitgestellt hat, übergeben worden ist. 

Kaufrechtlicher Mangelbegriff gem. § 475c BGB n.F. 

§ 475c BGB n.F. BGB ergänzt den § 475b BGB n.F., wenn es um die dauerhafte Bereitstellung von digitalen Elementen in Verbrauchsgüterkäufen geht. Dauerhaft bedeutet gem. § 327e Abs. 1 S. 3 BGB n.F. die fortlaufende Bereitstellung über einen Zeitraum. Beispiele sind hier Verkehrsdaten in einem Navigationsgerät, Smartphone Apps oder eine Cloudanbindung bei einer Spielekonsole. 

Die Sache ist nur frei von Sachmängeln, wenn im Bereitstellungszeitraum die erforderlichen Aktualisierungen vorgenommen werden. Unabhängig von einer konkreten Vereinbarung über den Bereitstellungszeitraum müssen gem. § 475c Abs. 2 BGB n.F. die digitalen Elemente nach Ablieferung der Sache mindestens zwei Jahre in einem vertragsgemäßen Zustand gehalten werden. 

Verbraucherrechtlicher Mangelbegriff bei digitalen Produkten gem. § 327e BGB n.F.  

In § 327e BGB n.F. ist der Mangelbegriff für Verbraucherverträge mit digitalen Inhalten geregelt. Das Produkt ist demnach frei von Sachmängeln, wenn es den subjektiven, objektiven und Integrationsanforderungen entspricht.  

Bezüglich der subjektiven Anforderungen ist auf die Ausführungen zu § 434 Abs. 2 BGB n.F. zu verweisen. Darüber hinaus gehört dazu aber noch die Bereitstellung des vertraglich vereinbarten Zubehörs, der Anleitungen, eines Kundendienstes und der Aktualisierungen. Unter Aktualisierungen fallen Updates und Upgrades der Software (vgl. die Ausführungen zu § 475b Abs. 3 BGB n.F.). 

Um die objektiven Voraussetzungen des Produkts gem. § 327e Abs. 3 BGB n.F. zu erfüllen, muss es sich für die gewöhnliche Verwendung eignen oder die übliche Beschaffenheit aufweisen, also mittlerer Art und Güte sein. Zudem müssen (anders als in § 434 BGB n.F.), auch zwingend die Vorschriften der DS-GVO eingehalten werden, da die digitalen Produkte sonst nicht den berechtigten Erwartungen der Verbraucher entsprechen. Darüber hinaus muss das digitale Produkt zusätzlich gem. § 327e Abs. 3 S. 1 Nr. 3 BGB n.F. der Testversion entsprechen und gem. § 327e Abs. 3 S. 1 Nr. 4 BGB n.F. Zubehör und Anleitungen enthalten, sofern der Verbraucher dies erwarten kann. Des Weiteren sind auch die erforderlichen Aktualisierungen im Sinne des § 327f BGB n.F. vorzunehmen (§ 327e Abs. 3 S. 1 Nr. 5) und es ist jeweils die aktuellste Version des Produkts bereitzustellen (§ 327e Abs. 3 S. 1 Nr. 6 BG n.F.) 

Die Integration ist gem. § 327e Abs. 4 BGB n.F. gewahrt, wenn sie ähnlich wie die Montageanforderungen, sachgemäß durchgeführt wurde oder zwar unsachgemäß durchgeführt worden ist, dies jedoch weder auf einer unsachgemäßen Integration durch den Unternehmer noch auf einem Mangel in der vom Unternehmer bereitgestellten Anleitung beruht. Integration bedeutet dabei, dass das digitale Produkt durch Verbindung oder Einbindung mit den oder in die Komponenten der digitalen Umgebung des Verbrauchers eingebracht wird, damit das Produkt den Anforderungen der §§ 327a ff. BGB n.F. entspricht. Zur digitalen Umgebung gehören Hardware, Software und Netzverbindungen aller Art. 

Abgrenzungen 

Wie bereits erläutert, ergänzen sich die neuen Mangelbegriffe im BGB und sind je nachdem, was für ein Vertrag vorliegt, anwendbar.  § 434 BGB n.F. gilt für Kaufverträge, die keine Verbraucherverträge sind. §§ 475b, c BGB n.F. kommen ergänzend zur Anwendung, wenn ein Verbrauchsgüterkauf vorliegt, der eine Ware mit digitalen Elementen zum Gegenstand hat. Ein Beispiel hierfür wäre ein Vertrag über ein Smartphone oder ein Smart Home Gerät. Letztlich ist der   § 327e BGB n.F. maßgeblich, wenn es sich um einen Verbrauchervertrag handelt, bei dem ein digitales Produkt der Vertragsgegenstand ist. Beispiele hierfür sind SaaS- (Software as a Service) oder Cloudverträge zwischen einem Verbraucher und einem Unternehmer, da bei ihnen die Software als digitales Produkt im Fokus des Vertrages steht. 

Es ist also genau abzugrenzen, ob ein Verbrauchervertrag vorliegt und wenn es um Verträge im digitalen Bereich geht, welche Art von Produkten oder Dienstleistungen vertrieben werden, damit genau unter §§ 327 ff., 475b, c BGB n.F. subsumiert werden kann. Falls die Fallkonstellation weder unter §§ 327 ff. BGB n.F. noch unter § 475b BGB n.F. fällt, bspw. wenn es um einen Kaufgegenstand mit digitalen Elementen geht, bei dem die digitalen Elemente aber nicht bei Vertragsschluss bereitgestellt wurden oder das Produkt auch ohne digitale Elemente funktionieren kann, richtet sich die Mangelhaftigkeit der Sache nach § 434 BGB n.F. und die der digitalen Inhalte, also der Software, nach § 327e BGB n.F. 

Weitere Änderungen des Schuldrechts 

Neben den Mangelbegriffen wurde noch der § 439 Abs. 3 BGB geändert; in der neuen Fassung kann dem Käufer vom Verkäufer der Kostenersatz bei Entfernung der mangelhaften Sache bei vertragsgemäßem Einbau nur verweigert werden, wenn der Käufer positive Kenntnis von der Mangelhaftigkeit beim Einbau hatte. Vorher schadete ebenfalls fahrlässige Unkenntnis von der Mangelhaftigkeit. Zudem wird die Beweislastumkehr in       § 477 BGB n.F. von sechs Monaten auf ein Jahr verlängert. 

Fazit 

Die Einführung des neuen Schuldrechts wird vermutlich zu einer großen Umstellung führen, gerade weil es seit der großen Schuldrechtsmodernisierung im Jahr 2002 keine vergleichbar umfangreiche Änderung des Schuldrechts und vor allem auch keine Änderung des Mangelbegriffs gab. 

Durch die Einführung der verschiedenen Mangelbegriffe wird nun deutlich, dass das Verbraucherrecht immer weiter vom geltenden Recht zwischen zwei Unternehmern oder zwei Verbrauchern abweicht. Wie bereits dargestellt, finden die Ausführungen zu §§ 327 ff., 475b, c BGB n.F. keine Anwendung auf Verträge, an denen kein Verbraucher beteiligt ist bzw. zwei Verbraucher beteiligt sind.  

Neu ist vor allem die Einführung des Verbrauchervertrages über digitale Produkte und des Verbrauchsgüterkaufs über Waren mit digitalen Elementen und die dabei entstehenden Aktualisierungspflichten in Form von Updates und Upgrades. 

Als Folge der umfangreichen Stärkung der Verbraucherrechte durch die Umsetzung der Richtlinien ergibt sich nun eine verschärfte Haftung für Unternehmen, da sie fortan eine weitaus umfangreichere Sachmängelgewähr leisten müssen. Außerdem müssen bisher genutzte AGB ggf. geändert werden, damit sie die ab dem 01. Januar 2022 geltenden schuldrechtlichen Bestimmungen erfüllen. 

Wir unterstützen Sie gerne dabei, Ihre Verträge über digitale Produkte und Ihre AGB auf den neusten Stand zu bringen.

https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/12741-Commission-Implementing-Decision-on-standard-contractual-clauses-for-the-transfer-of-personal-data-to-third-countrie

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!