ITrechtler

horak Rechtsanwälte · Fachanwälte

Jahr: 2024

  • BGH zum Facebook-Scraping: Kontrollverlust allein kann Schaden sein

    Archivbeitrag – Rechtsstand 2024. Die Instanzgerichte haben die Vorgaben seitdem umgesetzt, der EuGH hat weitere Fragen zu Art. 82 DSGVO entschieden. Den aktuellen Stand finden Sie auf unserer Seite Bußgeld und Schadensersatz.

    Der Bundesgerichtshof hat mit Urteil vom 18. November 2024 (Az. VI ZR 10/24) im ersten Leitentscheidungsverfahren nach § 552b ZPO über eine der vielen Klagen gegen den Betreiber von Facebook nach dem sogenannten Scraping-Vorfall entschieden. Die Kernaussage: Schon der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten kann ein immaterieller Schaden im Sinne von Art. 82 Abs. 1 DSGVO sein. Weitere Nachteile, etwa ein Missbrauch der Daten oder besondere Ängste, müssen nicht hinzukommen.

    Der Hintergrund

    Unbekannte hatten 2018 und 2019 über die Kontakt-Import-Funktion von Facebook massenhaft Telefonnummern mit Nutzerprofilen verknüpft. Möglich war das, weil die Suchbarkeit über die Telefonnummer standardmäßig auf „alle“ eingestellt war. Im April 2021 wurden Datensätze von weit über 500 Millionen Nutzern weltweit im Internet veröffentlicht. In Deutschland folgten tausende Klagen, die Instanzgerichte entschieden sehr unterschiedlich.

    Was der BGH entschieden hat

    Der BGH folgt der Rechtsprechung des EuGH, wonach es keine Erheblichkeitsschwelle gibt. Ein Kontrollverlust ist für sich genommen ein Schaden. Der Kläger muss ihn aber nachweisen, also darlegen, dass gerade seine Daten betroffen sind. Kann er keinen Kontrollverlust nachweisen, reichen begründete Befürchtungen und Ängste nur, wenn er diese konkret darlegt.

    Zur Höhe gab der BGH dem Berufungsgericht eine Orientierung: Für den bloßen Kontrollverlust ohne weitere Folgen sei in einem Fall wie diesem ein Betrag in der Größenordnung von 100 Euro nicht zu beanstanden.

    Daneben hielt der BGH weitere Ansprüche für möglich: die Feststellung einer Ersatzpflicht für künftige Schäden und einen Unterlassungsanspruch gegen die Verwendung der Telefonnummer ohne wirksame Einwilligung. Die Sache ging zur neuen Verhandlung an das Oberlandesgericht zurück.

    Bedeutung für Unternehmen

    Der Betrag von 100 Euro wirkt gering. Bei Datenpannen mit vielen Betroffenen summiert er sich jedoch, und Prozesskosten und Verwaltungsaufwand kommen hinzu. Die Entscheidung erleichtert Klagen, weil Kläger keinen weiteren Nachteil darlegen müssen. Zu erwarten ist, dass Legal-Tech-Anbieter Massenverfahren nach Datenpannen künftig noch gezielter organisieren.

    Für die Verteidigung bleibt gleichwohl Raum. Zu prüfen ist stets, ob die Daten des Klägers tatsächlich betroffen sind, ob der Verstoß kausal war und ob vorgelegte Belege zur Betroffenheit belastbar sind. Zugleich setzt das Urteil Grenzen: Ohne konkreten Nachweis der eigenen Betroffenheit gibt es keinen Anspruch, und Beträge im Bereich von mehreren hundert oder tausend Euro für den bloßen Kontrollverlust sind nach dieser Linie kaum zu begründen.

    Was jetzt zu tun ist

    • datenschutzfreundliche Voreinstellungen nach Art. 25 Abs. 2 DSGVO überprüfen, insbesondere Such- und Importfunktionen
    • Schnittstellen und Funktionen gegen automatisiertes Auslesen absichern, etwa durch Rate-Limits
    • bei einer Datenpanne Meldung nach Art. 33 DSGVO und Benachrichtigung nach Art. 34 DSGVO sauber dokumentieren
    • für mögliche Massenverfahren eine Verteidigungsstrategie und Prozessbausteine vorbereiten

    Fragen dazu? Wir vertreten Unternehmen und Betroffene in Verfahren nach Art. 82 DSGVO. Nutzen Sie unsere Onlineberatung. Mehr unter Bußgeld und Schadensersatz, Datenpanne und Datenschutz.

  • LG Hamburg zu LAION: KI-Trainingsdatensatz durch Text und Data Mining gedeckt

    Archivbeitrag – Rechtsstand 2024. Das OLG Hamburg hat die Berufung am 10. Dezember 2025 entschieden (5 U 104/24), beim BGH ist ein Verfahren anhängig. Den aktuellen Stand finden Sie auf unserer Seite LAION-Urteil.

    Das Landgericht Hamburg hat mit Urteil vom 27. September 2024 (Az. 310 O 227/23) die Klage des Fotografen Robert Kneschke gegen den gemeinnützigen Verein LAION abgewiesen. Es ist die erste deutsche Gerichtsentscheidung, die sich mit der Erstellung von Trainingsdatensätzen für KI befasst. Das Gericht hält die Vervielfältigung eines Fotos für den Datensatz LAION-5B für zulässig, weil sie als Text und Data Mining für Zwecke der wissenschaftlichen Forschung erlaubt ist.

    Der Sachverhalt

    LAION stellt Datensätze aus Bild-Text-Paaren bereit, die zum Training von Bildgeneratoren verwendet werden. Für den Datensatz lud LAION Bilder von Webseiten herunter, darunter ein Foto des Klägers von einer Bildagentur, und prüfte mit einer Software, ob Bild und Beschreibung zueinander passen. Die Nutzungsbedingungen der Bildagentur enthielten einen Vorbehalt gegen automatisierte Programme. Der Kläger verlangte Unterlassung.

    Die Begründung

    Das Gericht prüfte mehrere Schranken des Urheberrechts:

    • § 44a UrhG greift nicht, weil die Vervielfältigung weder vorübergehend noch begleitend war.
    • § 60d UrhG greift. LAION betreibt wissenschaftliche Forschung, auch wenn der Datensatz am Ende von kommerziellen KI-Unternehmen genutzt werden kann. Der Verein handelt nicht kommerziell, weil er den Datensatz kostenlos veröffentlicht. Dass ein Unternehmen bevorzugten Zugang zu den Ergebnissen hat, hatte der Kläger nicht dargelegt.
    • Ob daneben § 44b UrhG eingreift, ließ die Kammer offen. Das Herunterladen und Analysieren der Bilder kann nach ihrer Ansicht Text und Data Mining sein.

    Interessant sind Ausführungen, die das Urteil nicht tragen: Ein Nutzungsvorbehalt in natürlicher Sprache, etwa in AGB, könne „maschinenlesbar“ im Sinne von § 44b Abs. 3 UrhG sein. Das hänge vom Stand der Technik ab. Die Kammer verweist dabei auf die Pflicht von Anbietern von KI-Modellen nach Art. 53 Abs. 1 lit. c KI-Verordnung, Nutzungsvorbehalte zu beachten.

    Was das Urteil nicht entscheidet

    Das Urteil betrifft nur die Erstellung des Datensatzes durch eine Forschungseinrichtung. Ob das eigentliche Training eines KI-Modells durch ein kommerzielles Unternehmen zulässig ist, war nicht Gegenstand. Ebenso wenig ging es um die Frage, ob KI-generierte Ergebnisse Rechte verletzen. Die Entscheidung ist nicht rechtskräftig, eine Berufung zum Oberlandesgericht ist möglich.

    Was Rechteinhaber jetzt tun sollten

    Wer nicht möchte, dass seine Werke für Text und Data Mining verwendet werden, sollte den Nutzungsvorbehalt doppelt erklären: in den Nutzungsbedingungen und technisch, etwa in der robots.txt oder über einschlägige Protokolle. Gegen Forschungseinrichtungen nach § 60d UrhG hilft ein Vorbehalt allerdings nicht.

    Was KI-Entwickler beachten sollten

    Für kommerzielle Anbieter bleibt § 44b UrhG die maßgebliche Schranke. Wer Trainingsdaten sammelt, sollte Nutzungsvorbehalte systematisch erfassen und dokumentieren, auch solche in natürlicher Sprache. Ab August 2025 verlangt der AI Act von Anbietern allgemeiner KI-Modelle ohnehin eine Strategie zur Einhaltung des Urheberrechts.

    Fragen dazu? Wir beraten Rechteinhaber und KI-Entwickler zu Trainingsdaten. Nutzen Sie unsere Onlineberatung. Mehr unter KI-Training, KI und Urheberrecht und LAION-Urteil.

  • AI Act in Kraft: Die KI-Verordnung gilt ab 1. August 2024 in Stufen

    Archivbeitrag – Rechtsstand 2024. Der KI-Omnibus (VO (EU) 2026/1744) hat seit Juli 2026 mehrere Fristen verschoben, Hochrisiko-Pflichten nach Anhang III gelten nun ab 2. Dezember 2027. Den aktuellen Stand finden Sie auf unserer Seite AI Act.

    Heute tritt die Verordnung (EU) 2024/1689 über künstliche Intelligenz in Kraft, kurz AI Act oder KI-Verordnung. Sie wurde am 12. Juli 2024 im Amtsblatt der EU veröffentlicht und ist das erste horizontale KI-Gesetz eines großen Wirtschaftsraums. Die Pflichten greifen nicht sofort, sondern gestaffelt bis 2027. Für Unternehmen beginnt damit die Umsetzungsphase.

    Für wen die KI-Verordnung gilt

    Der AI Act unterscheidet vor allem zwischen Anbietern, die ein KI-System entwickeln oder unter eigenem Namen in Verkehr bringen, und Betreibern, die ein KI-System in eigener Verantwortung beruflich einsetzen. Er gilt auch für Anbieter außerhalb der EU, wenn ihre Systeme hier in Verkehr gebracht werden oder ihre Ergebnisse in der EU verwendet werden. Rein private Nutzung ist ausgenommen.

    Der risikobasierte Ansatz

    • Verbotene Praktiken: etwa Social Scoring, manipulative Techniken, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, ungezieltes Auslesen von Gesichtsbildern aus dem Internet für Gesichtserkennungsdatenbanken
    • Hochrisiko-KI: Sicherheitsbauteile regulierter Produkte sowie Systeme in sensiblen Bereichen wie Beschäftigung, Bildung, Kreditwürdigkeitsprüfung und kritische Infrastruktur
    • Transparenzpflichten: Hinweis bei Chatbots, Kennzeichnung von Deepfakes und maschinenlesbare Markierung KI-generierter Inhalte
    • Minimales Risiko: keine besonderen Pflichten, freiwillige Verhaltenskodizes

    Eigene Regeln gelten für KI-Modelle mit allgemeinem Verwendungszweck, also große Sprach- und Bildmodelle.

    Die Fristen im Überblick

    • 2. Februar 2025: Verbote nach Art. 5 und Pflicht zur KI-Kompetenz nach Art. 4
    • 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, Governance und Sanktionen
    • 2. August 2026: die meisten übrigen Vorschriften, insbesondere für Hochrisiko-Systeme nach Anhang III und die Transparenzpflichten
    • 2. August 2027: Hochrisiko-Systeme, die Sicherheitsbauteil eines Produkts nach Anhang I sind

    KI-Kompetenz: Pflicht für fast alle Unternehmen

    Leicht übersehen wird Art. 4. Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Das gilt unabhängig vom Risiko des Systems. Wer seinen Beschäftigten Chatbots, Übersetzungstools oder KI-Assistenten im Office-Paket zur Verfügung stellt, ist Betreiber und muss ab Februar 2025 tätig werden.

    Sanktionen

    Verstöße gegen die Verbote können mit bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden, andere Verstöße mit bis zu 15 Mio. Euro oder 3 Prozent. Für KMU gelten niedrigere Obergrenzen.

    Was jetzt zu tun ist

    Wir empfehlen, bis Ende 2024 drei Schritte zu gehen:

    • Inventar aller KI-Systeme, die das Unternehmen entwickelt, vertreibt oder einsetzt, einschließlich KI-Funktionen in bestehender Software
    • Einordnung der eigenen Rolle und der Risikoklasse je System, Prüfung auf verbotene Praktiken
    • Schulungskonzept für die KI-Kompetenz und interne KI-Richtlinie

    Hochrisiko-Anbieter sollten zusätzlich mit Risikomanagement, technischer Dokumentation und Konformitätsbewertung beginnen. Die harmonisierten Normen und Leitlinien der Kommission stehen noch aus.

    Fragen dazu? Wir begleiten Sie bei der Umsetzung der KI-Verordnung. Nutzen Sie unsere Onlineberatung. Mehr unter AI Act, KI im Unternehmen und KI-Kompetenz.

  • Digitale-Dienste-Gesetz in Kraft: TMG ist Geschichte, aus TTDSG wird TDDDG

    Archivbeitrag – Rechtsstand 2024. DDG und TDDDG gelten weiterhin; Rechtsprechung und Behördenpraxis zum DSA haben sich seitdem fortentwickelt. Den aktuellen Stand finden Sie auf unserer Seite Plattformrecht.

    Mit dem Inkrafttreten des Digitale-Dienste-Gesetzes (DDG) im Mai 2024 ist das Telemediengesetz (TMG) außer Kraft getreten. Das DDG passt das deutsche Recht an den Digital Services Act (DSA) an, der seit dem 17. Februar 2024 vollständig gilt. Zugleich wurde das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) in Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) umbenannt. Aus „Telemedien“ werden im Bundesrecht „digitale Dienste“.

    Warum das TMG weichen musste

    Der DSA regelt als EU-Verordnung die Verantwortlichkeit von Vermittlungsdiensten und ihre Sorgfaltspflichten unmittelbar. Nationale Vorschriften mit gleichem Regelungsgegenstand darf es daneben nicht geben. Die Haftungsprivilegien für Zugangs-, Caching- und Hostingdienste, die bisher in den §§ 7 bis 10 TMG standen, ergeben sich nun direkt aus den Art. 4 bis 6 DSA. Das DDG enthält vor allem das, was der DSA den Mitgliedstaaten überlässt: Zuständigkeiten, Verfahren und Bußgelder.

    Bundesnetzagentur als Koordinator für digitale Dienste

    Zuständige Behörde und Koordinator für digitale Dienste in Deutschland ist die Bundesnetzagentur. Bei ihr können Nutzer Beschwerden über Verstöße gegen den DSA einreichen. Für einzelne Bereiche sind weitere Behörden zuständig, etwa für den Jugendmedienschutz. Für Verstöße gegen Pflichten aus dem DSA sieht das DDG Bußgelder vor, die sich am Rahmen des DSA orientieren.

    Impressum: Jetzt § 5 DDG

    Für die meisten Unternehmen ist die Änderung im Alltag zunächst redaktionell: Die Impressumspflicht steht nicht mehr in § 5 TMG, sondern in § 5 DDG. Inhaltlich hat sich an den Pflichtangaben nichts Wesentliches geändert. Wer in seinem Impressum noch auf das TMG verweist, sollte den Verweis trotzdem anpassen. Ein veralteter Normverweis ist nach unserer Einschätzung kein großes Abmahnrisiko, wirkt aber nachlässig und kann in Verbindung mit anderen Mängeln Angriffsfläche bieten.

    Cookies: § 25 TDDDG

    Die Regeln zu Cookies und dem Zugriff auf Endgeräte bleiben inhaltlich unverändert, heißen aber nun § 25 TDDDG. Datenschutzerklärungen und Cookie-Banner, die auf § 25 TTDSG verweisen, sollten aktualisiert werden. Gleiches gilt für Verträge mit Dienstleistern, in denen das TMG oder das TTDSG zitiert wird.

    Checkliste für Website- und Plattformbetreiber

    • Impressum: Verweis auf § 5 DDG statt § 5 TMG
    • Datenschutzerklärung und Consent-Banner: Verweise auf TDDDG statt TTDSG
    • AGB, Nutzungsbedingungen und Musterverträge auf TMG-Verweise durchsuchen
    • als Hostingdienst oder Plattform: DSA-Pflichten prüfen, insbesondere Melde- und Abhilfeverfahren, Begründung von Moderationsentscheidungen und Kontaktstellen
    • Transparenzberichte, soweit nach DSA erforderlich, vorbereiten

    Was bleibt

    Viele Begriffe aus der bisherigen Rechtsprechung zum TMG, etwa zur Störerhaftung oder zu Prüfpflichten nach Hinweis, sind nicht hinfällig. Sie werden künftig anhand des DSA neu zu bewerten sein. Bis sich eine gefestigte Rechtsprechung entwickelt, bleiben einige Fragen offen. Das betrifft vor allem die Frage, wie weit Plattformen nach einem konkreten Hinweis auch kerngleiche Rechtsverletzungen verhindern müssen. Wer Inhalte Dritter hostet, sollte Hinweise deshalb weiterhin zügig prüfen und die Entscheidung dokumentieren. Bei Unterlassungsansprüchen gegen Plattformen und bei einstweiligen Verfügungen beraten wir sowohl Betroffene als auch Diensteanbieter.

    Fragen dazu? Wir prüfen Impressum, Datenschutzerklärung und DSA-Pflichten Ihres Angebots. Nutzen Sie unsere Onlineberatung. Mehr unter Plattformrecht, Digital Services Act und Telemedienrecht.