Kategorie: Rechtsprechung

Seit nun fast zwei Jahren wird an einer Erweiterung zum IT-Sicherheitsgesetz gearbeitet. Das IT-Sicherheitsgesetz ist erstmals im Juli 2015 in Kraft getreten (IT-SiG 1.0). Lange wurde über ein zweites Gesetz diskutiert, das sog. IT-SiG 2.0, dessen Fertigstellung ursprünglich bereits im Jahr 2019 erwartet wurde, jedoch bis heute nicht verabschiedet wurde. Stattdessen wurden drei weitere Referentenentwürfe eingereicht bis schließlich der dritte Entwurf am 16.12.2020 von der Bundesregierung beschlossen wurde. Dieser Beschluss blieb nicht ohne Kritik, da der Beschluss bereits innerhalb von zwei Wochen nach Vorlage des dritten Referentenentwurfs erfolgte. Kritiker sehen diesen Zeitraum als zu kurz an, um noch die restlichen Problemstellen des Entwurfs zu bereinigen, wie zum Beispiel die Höhe der Kosten oder die Verwendung von Netzwerkkomponenten chinesischer Netzwerkausrüster. Zudem beanstanden sie, dass die gesetzlich erforderliche Evaluierung nicht stattgefunden hat. Eine Verabschiedung wird nicht vor Frühjahr 2021 erwartet. Die erste Lesung des Gesetzes erfolgte am 28.01.2021 und wurde mit zwei Anträgen zur weiteren Beratung an den Ausschuss für Inneres und Heimat überwiesen.

Wozu dient das IT-Sicherheitsgesetz im Allgemeinen?

Der Fokus des Gesetzes ist die Verbesserung der Sicherheit und des Schutzes der IT-Systeme und Dienste. Insbesondere im Bereich der kritischen Infrastrukturen (KRITIS) sollen diese Verbesserungen erreicht werden. Aber auch die IT-Sicherheit der Bundesverwaltung, der Unternehmen sowie der Bürger wird von den Regelungen des IT-Sicherheitsgesetzes erfasst.

Um die Sicherheit informationstechnischer Systeme weiter zu erhöhen und ganzheitliche Ansätze zu integrieren wurde ein Entwurf für ein zweites Gesetz (IT-SiG 2.0) ausgearbeitet.

Was soll mit dem neuen Gesetz erreicht werden?

Mit dem neuen Gesetz soll die Informationssicherheit weiter verbessert werden. Der Fokus liegt vor allem auf der Ausweitung von Befugnissen des BSI. Das BSI soll nun verstärkt als Verbraucherschützer auftreten und dafür u.a. ein IT-Sicherheitskennzeichen einführen dürfen. Dadurch soll letztlich auch die IT-Sicherheit von Produkten sichtbar gemacht werden.

Das BSI erhält durch das neue Gesetz auch das Recht auf Abfrage- und Anordnungsbefugnis gegenüber Telekommunikationsdienstanbietern.

Im Rahmen der Gesetzesänderung sollen des Weiteren die bestehenden Meldepflichten für Betreiber von KRITIS auf weitere Teile der Wirtschaft erstreckt werden.

Darüber hinaus ist das BSI nun befugt Daten über einen längeren Zeitraum zu speichern. Im Entwurf ist ein Zeitraum von zwölf Monaten vorgesehen.

Des Weiteren soll das BSI vermehrt mit dem BKA oder dem Verfassungsschutz zusammenarbeiten.

Außerdem beinhaltet das neue Gesetz mehrere Änderungen oder Eingriffe in andere Gesetze, bspw. das TKG, TMG oder das EnWG, sowie erhebliche Änderungen des Bußgeldregimes.

Was haben Unternehmen zu beachten?

Sofern der Gesetzesentwurf verabschiedet wird, haben Unternehmer insbesondere folgende Änderungen zu beachten:

Zunächst sind die drastisch steigenden Geldbußen zu nennen. Im IT-SiG 1.0 lag der Strafrahmen bei 100.000,00 € pro Verstoß und nun werden Geldbußen bis zu 2.000.000,00 € veranschlagt. In vorherigen Entwürfen war noch eine Bußgeldverhängung in Höhe von 20.000.000,00 € oder eine Verknüpfung an die Jahresumsätze vorgesehen. Dahingehend wurde zumindest eine mildere Regelung getroffen, wenngleich die jetzige Bußgeldhöhe als empfindlich einzustufen ist.

Weiter wird das Security Incident & Event Management System (SIEM) verpflichtend, bisher galt es nur als Empfehlung. Bei einem SIEM handelt es sich um ein softwarebasiertes Konzept aus dem Bereich des Sicherheits-Managements, mit dem ein umfassender und zentralisierter Überblick über die Sicherheitslage einer IT-Infrastruktur ermöglicht wird.

Des Weiteren werden Unternehmen von besonderem öffentlichem Interesse dazu verpflichtet sich beim BSI zu registrieren und im Rahmen einer Selbsterklärung darzulegen, welche Schutzmaßnahmen zur IT-Sicherheit vorgesehen sind und durchgeführt werden. Unternehmen stehen dann im besonderen öffentlichen Interesse, wenn sie nach ihrer inländischen Wertschöpfung zu den größten Unternehmen in Deutschland gehören und daher von erheblicher volkswirtschaftlicher Bedeutung sind. Welche Unternehmen dann konkret unter diese Regelung fallen, muss von der Rechtsverordnung noch abschließend definiert werden. Vor allem ist bislang nicht ersichtlich, ob diese Unternehmen immer noch unter Aufsicht des BSI stehen, wenn sie wirtschaftlich betrachtet nicht mehr zu den größten Unternehmen zählen.

Fazit

Die Erweiterung des Schutzes für kritische Infrastrukturen und die Abwehr von Gefahren für die Wirtschaft und Allgemeinheit ist durchaus zu begrüßen. Dennoch geht durch die Ausweitung der Befugnisse des BSI ein weitgehender Eingriff in die technischen Zugriffs- und Weisungsbefugnisse einzelner Unternehmen einher. Diese Befugnisse sollten nicht dem BSI zustehen. Ferner weist das neue Gesetz noch Lücken auf, die letztlich erst durch Rechtsverordnungen ausgefüllt werden müssen und so die Unternehmen vor einigen Unsicherheiten stellt. Insgesamt stellt das neue IT-SiG 2.0 die Unternehmen vor einen höheren bürokratischen Verwaltungsaufwand und unverhältnismäßigen Sanktionsmaßstab.

Wir werden Sie über die weiteren Entwicklungen informieren.

Einleitung

Das LG Wiesbaden hat am 30.11.2016 entschieden, dass für SCRUM das Werkvertragsrecht anzuwenden sei. Obwohl Scrum als agile Softwareentwicklung tendenziell dem Dienstvertrag unterfällt, scheint eine durchgehende Einordnung als Dienstvertrag nicht sachgerecht. 

Zum Sachverhalt 

Die Beklagte als sog. Projekt-Owner plante die Erstellung einer Internet-Plattform, die dazu dienen sollte, ehemalige Soldaten und potentielle Arbeitgeber aus der Wirtschaft zusammenzubringen. Diesbezüglich schloss die Beklagte mit der Klägerin als Programmierteam und zugleich auch SCRUM-Master einen LOI (Ein LOI – englisch Letter of Intent – ist eine unverbindliche Absichtserklärung zwischen zwei oder mehreren Vertragspartnern, in dem die Vertragsparteien bestätigen, dass sie in Verhandlungen über einen Vertragsabschluss stehen. Der LOI bildet i.d.R. die Grundlage für den anschließenden Vertrag. Er begründet keinerlei Rechtsansprüche.). Die Parteien vereinbarten, dass das Projekt im sog. SCRUM-Verfahren durchgeführt werden sollte. 

SCRUM ist ein agiler Prozess in der Software-Entwicklung. Der Begriff entstammt dem Englischen und bezeichnet das „Gedränge“ von Rugbyspielern um den Spielball. In der Software-Entwicklung wird der Begriff deswegen genutzt, weil sich das gesamte Team ähnlich wie beim Rugby täglich trifft, um sich gegenseitig abzustimmen und zu informieren. Beim SCRUM-Verfahren erfolgt die Softwareerstellung in kleinen Schritten orientiert an den vom Auftraggeber fortlaufend definierten Aufgaben oder vorgegebenen, in der Software abzubildenden Sachverhalten, ohne dass zuvor das Endergebnis der Entwicklung festgelegt ist. Dabei ist der SCRUM-Master dafür verantwortlich, dass das Projekt gelinkt und das gewünschte Ergebnis erzielt wird. Das Verfahren zeichnet sich dadurch ab, dass der Kunde am Anfang in Umrissen beschreibt, was er möchte. Die Software wird dann durch die Entwicklung sog. Sprints zur Projektreife entwickelt und programmiert. Diese Methode eignet sich besonders in den Fällen, in denen der Auftraggeber selbst nicht über genügende Kenntnisse verfügt, um wie bei der klassischen Softwareerstellung ein Lasten- und Pflichtenheft zu erstellen. 

Aus dem oben bezeichneten Projekt begehrt die Klägerin Schadensersatz. Die Parteien verhandelten über eine Projektbeendigung gegen Zahlung einer gewissen Summe. Die Beklagte leistete aber nur teilweise. 

Entscheidungsgründe des LG 

Das LG Wiesbaden wies die Klage als unbegründet ab. Nach der Auffassung des LG unterliegt das vorliegende Vertragsverhältnis den werkvertragsrechtlichen Vorschriften. Denn für die Parteien war nicht die Tätigkeit der Klägerin im Rahmen des Projekts entscheidend, sondern die Realisierung der angestrebten Plattform. Somit lag ein erfolgsabhängiges Schuldverhältnis vor. 

Der vereinbarte Erfolg – die Verwirklichung der Plattform – ist nicht eingetreten. Zwar handelt es sich hier nicht um eine klassische IT-Leistung, die eindeutig unter das Werkvertragsrecht einzuordnen wäre, sondern um eine Software-Erstellung im sog. SCRUM-System. Nach diesem System wird auf eine vorgeschaltete Planungsphase verzichtet, da die Planung unmittelbarer Bestandteil des Erstellungsprozesses ist und innerhalb der verschiedenen Sprints stattfindet. Obwohl die Verantwortlichkeiten der Beteiligten im Gegensatz zum klassischen Softwareerstellungsvertrag nicht eindeutig voneinander abzugrenzen sind, bleibt es bei der agilen Software-Erstellung bei der Konzeptionshoheit des Auftraggebers und der Ausführungsverantwortlichkeit des Auftragnehmers. 

Ferner vertritt die Beklagte die Auffassung, dass ein Vergütungsanspruch der Klägerin bereits aus dem Grund zu verneinen sei, dass die Leistung nicht fertiggestellt wurde. Jedoch scheitert der Werklohnanspruch der Klägerin nicht nur daran. Die Klägerin kann die Bezahlung des Werklohns schon vor Fertigstellung und Abnahme des Werkes verlangen, weil die Beklagte mit dem Ausgleich der fälligen Rechnungen der Klägerin in Verzug war und die Parteien deshalb die Zusammenarbeit beenden wollten. Aufgrund dessen scheitert der Werklohnanspruch nach der Auffassung des LG daran, dass die von ihr erbrachten Teilleistungen mangels einer hinreichenden Dokumentation für die Beklagte unbrauchbar und damit letztlich wertlos sind. Das seitens des LG eingeholte Sachverständigengutachten hat bei der Überprüfung der Java-Doc-Dokumentation festgestellt, dass eine übergreifende System-/Architektur-Dokumentation gefehlt hat. Diese System-Architektur ist nach den Ausführungen des Sachverständigen essentiell zum Verständnis des Sourcecodes. Ohne die System-Architektur kann eine Weiterführung der Arbeitsergebnisse der Klägerin durch einen Außenstehenden nicht durchgeführt werden. 

Stellungnahme 

Die Entscheidung des LG Wiesbaden statuiert ein Exempel im Hinblick auf die Vertragsgestaltung von Scrum. Obwohl agile Softwareentwicklungen, wie beispielsweise Scrum, tendenziell als Dienstvertrag einzustufen sind, ordnet das LG diese unter das Werkvertragsrecht ein. 

Dies hat zur Bedeutung, dass Scrum anwenderfreundlicher und zugleich haftungsreicher ist. Die Anwenderfreundlichkeit lässt sich auf die werkvertragsrechtlichen Vorschriften zurückführen. Zentrales Argument ist dabei, dass der Auftragnehmer einen Erfolg statt eine Leistung schuldet. Außerdem bestehen bei der Annahme eines Dienstvertrags keine Mängelrechte. 

Eine durchgehende Einordnung als Werkvertrag ist nicht sachgerecht, da die Eigenheit agiler Projektverfahren eine vertragsrechtliche Differenzierung erfordert. Es hat eine vertragsrechtliche Differenzierung zwischen der Phase bis zur Herstellung einer ersten Fassung einer lauffähigen und demonstrierbaren Grundfunktionalität und der darauffolgenden Phase der Anpassung und Weiterentwicklungen zu erfolgen. Erstere liegt ausschließlich im Verantwortungsbereich des Auftragnehmers. Dieser schuldet die Erbringung eines vereinbarten Erfolgs und ist daher klar unter das Werkvertragsrecht zufassen. Letztere Phase ist durch die starke Mitwirkung und Mitgestaltung des Auftraggebers geprägt und daher unter das Dienstvertragsrecht zu fassen. Nach dieser Differenzierung ist allenfalls die Annahme eines gemischt-typischen Vertrags sachgerecht.