ITrechtler

horak Rechtsanwälte · Fachanwälte

Jahr: 2025

  • NIS2-Umsetzungsgesetz in Kraft: Registrierung, Meldepflichten, Haftung

    Archivbeitrag – Rechtsstand Dezember 2025. Das BSI hat die Registrierungsfrist inzwischen faktisch bis 31. Juli 2026 gestreckt; Registrierung über das BSI-Portal ist weiter nachholbar. Den aktuellen Stand finden Sie auf unserer Seite NIS2.

    Seit dem 6. Dezember 2025 gilt das Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS2UmsuCG). Der Bundestag hatte es im November beschlossen, der Bundesrat am 20. November 2025 zugestimmt, die Verkündung erfolgte am 5. Dezember 2025. Kern ist ein grundlegend neu gefasstes BSI-Gesetz (BSIG). Eine Übergangsfrist gibt es nicht.

    Verspätete Umsetzung

    Die NIS2-Richtlinie (EU) 2022/2555 hätte bis Oktober 2024 umgesetzt sein müssen. Ein erster Regierungsentwurf scheiterte mit dem Ende der Legislaturperiode, nach der Bundestagswahl musste das Verfahren neu beginnen. Unternehmen, die sich an den früheren Entwürfen orientiert haben, sind gut vorbereitet, sollten aber die Endfassung abgleichen.

    Wer betroffen ist

    Der Kreis der Verpflichteten wächst gegenüber dem bisherigen KRITIS-Recht deutlich, nach Schätzungen auf etwa 29.500 Unternehmen in 18 Sektoren. Maßgeblich sind die Zugehörigkeit zu einem der in den Anlagen genannten Sektoren und Größenschwellen bei Beschäftigten, Umsatz und Bilanzsumme. Das Gesetz unterscheidet besonders wichtige und wichtige Einrichtungen, daneben bleiben die Betreiber kritischer Anlagen mit zusätzlichen Pflichten. Unternehmen müssen selbst prüfen, ob sie betroffen sind. Das BSI bestätigt die Einordnung nicht. Häufig übersehen werden Konzerngesellschaften, deren Schwellenwerte unter Einbeziehung verbundener Unternehmen zu berechnen sind, sowie Anbieter von IT-Diensten, Rechenzentren und Managed Services, die unabhängig von ihrer Kundschaft erfasst sein können.

    Die wichtigsten Pflichten

    • Registrierung beim BSI innerhalb von drei Monaten, also bis Anfang März 2026
    • Risikomanagementmaßnahmen nach § 30 BSIG, unter anderem Richtlinien zur Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Notfallmanagement, Sicherheit der Lieferkette, Zugriffskontrolle, Kryptografie und Multi-Faktor-Authentifizierung
    • gestufte Meldung erheblicher Sicherheitsvorfälle nach § 32 BSIG: frühe Erstmeldung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussmeldung innerhalb eines Monats
    • Nachweise gegenüber dem BSI, für besonders wichtige Einrichtungen in regelmäßigen Abständen

    Geschäftsleitung in der Pflicht

    § 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen. Geschäftsleiter, die diese Pflichten verletzen, haften der Einrichtung für den entstandenen Schaden. Zudem müssen sie regelmäßig an Schulungen teilnehmen. Diese Pflichten lassen sich nicht vollständig delegieren. Wir raten dazu, die Billigung förmlich zu beschließen und die Überwachung in feste Berichtsroutinen der IT-Sicherheit an die Geschäftsleitung zu übersetzen.

    Bußgelder

    Für besonders wichtige Einrichtungen drohen Bußgelder bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis 7 Mio. Euro oder 1,4 Prozent. Auch die unterlassene Registrierung ist bußgeldbewehrt.

    Was jetzt zu tun ist

    Wir empfehlen folgende Reihenfolge:

    • Betroffenheit prüfen und das Ergebnis dokumentieren, auch wenn es negativ ausfällt
    • Registrierung vorbereiten, die technischen Zugänge zum BSI-Portal früh beantragen
    • Meldeprozess mit Zuständigkeiten, Vorlagen und Erreichbarkeit rund um die Uhr aufsetzen
    • Gap-Analyse gegen § 30 BSIG, bestehende ISO-27001-Strukturen nutzen
    • Geschäftsleitung schulen und Beschlüsse zur Billigung der Maßnahmen protokollieren
    • Verträge mit IT-Dienstleistern um Sicherheits- und Meldepflichten ergänzen

    Fragen dazu? Wir prüfen Ihre Betroffenheit und begleiten Registrierung, Meldeprozess und Geschäftsleiterschulung. Nutzen Sie unsere Onlineberatung. Mehr unter NIS2, IT-Sicherheit und Cyberangriff.

  • GEMA gegen OpenAI: LG München I sieht Urheberrechtsverletzung durch Memorisierung

    Archivbeitrag – Rechtsstand November 2025. Das Urteil ist nicht rechtskräftig; parallel hat das OLG Hamburg im Dezember 2025 im LAION-Verfahren entschieden. Den aktuellen Stand finden Sie auf unserer Seite KI und Urheberrecht.

    Das Landgericht München I hat mit Urteil vom 11. November 2025 (Az. 42 O 14139/24) der Klage der GEMA gegen OpenAI in wesentlichen Teilen stattgegeben. Die 42. Zivilkammer sieht in der Speicherung von Liedtexten in den Sprachmodellen und in ihrer Wiedergabe in ChatGPT-Antworten Urheberrechtsverletzungen. Es ist das erste deutsche Urteil, das sich mit der Verantwortlichkeit eines Anbieters großer Sprachmodelle für memorisierte Trainingsinhalte befasst.

    Der Streit

    Die GEMA machte Rechte an Texten von neun bekannten deutschen Liedern geltend, darunter Titel von Herbert Grönemeyer, Reinhard Mey und Helene Fischer. Sie zeigte, dass ChatGPT auf einfache Eingaben hin die Liedtexte ganz oder nahezu wörtlich ausgab. OpenAI argumentierte, die Modelle speicherten keine Werke, sondern nur statistische Muster, und für die Ausgaben seien die Nutzer verantwortlich.

    Die Entscheidung

    Das Gericht folgte dieser Argumentation nicht:

    • Memorisierung ist Vervielfältigung: Wenn ein Modell Texte bei einfachen Eingaben reproduziert, sind sie im Modell gespeichert. Das ist eine Vervielfältigung im Sinne des Urheberrechts.
    • Ausgaben verletzen Rechte: Die Wiedergabe der Texte in den Antworten ist eine Vervielfältigung und öffentliche Zugänglichmachung. Verantwortlich ist OpenAI als Betreiber, nicht der Nutzer, der die Eingabe macht.
    • Keine Rechtfertigung durch Text und Data Mining: Die Schranke des § 44b UrhG deckt technische Vervielfältigungen beim Zusammenstellen der Trainingsdaten. Die Übernahme der Werke in das Modell selbst geht darüber hinaus. Auch § 57 UrhG (unwesentliches Beiwerk) greift nicht.
    • Keine konkludente Einwilligung: Das Training von KI-Modellen ist keine übliche Nutzung, mit der Rechteinhaber rechnen müssen.

    Das Gericht verurteilte OpenAI zur Unterlassung, zu Schadensersatz und zur Auskunft über Nutzung und Erträge. Auf das allgemeine Persönlichkeitsrecht gestützte Ansprüche wies es ab. Das Urteil ist nicht rechtskräftig.

    Einordnung

    Die Entscheidung unterscheidet sich vom LAION-Urteil des LG Hamburg aus dem September 2024. Dort ging es nur um die Erstellung eines Datensatzes für Forschungszwecke. Das Münchner Gericht befasst sich mit dem kommerziellen Modell selbst und dessen Ausgaben. Gegenstand waren allerdings nur Liedtexte, die das Modell nachweislich wörtlich ausgibt. Ob jedes Training mit geschützten Werken unzulässig ist, sagt das Urteil nicht.

    Was das für die Praxis bedeutet

    Für Anbieter von KI-Modellen steigt das Risiko, wenn Modelle geschützte Werke reproduzieren. Filter gegen die Ausgabe memorisierter Inhalte, Lizenzen mit Verwertungsgesellschaften und eine sorgfältige Beachtung von Nutzungsvorbehalten gewinnen an Gewicht. Seit August 2025 verlangt zudem der AI Act von Anbietern allgemeiner KI-Modelle eine Urheberrechtsstrategie.

    Unternehmen, die KI-Dienste einsetzen, sollten ihre Verträge mit Anbietern auf Freistellungen bei Urheberrechtsverletzungen prüfen und Beschäftigte anweisen, KI-Ausgaben vor der Veröffentlichung auf übernommene fremde Inhalte zu kontrollieren.

    Rechteinhaber erhalten mit dem Urteil eine Grundlage, um Auskunfts- und Vergütungsansprüche geltend zu machen. Die Beweisführung über reproduzierbare Ausgaben ist dafür der entscheidende Ansatz.

    Fragen dazu? Wir beraten Rechteinhaber, KI-Anbieter und Anwenderunternehmen. Nutzen Sie unsere Onlineberatung. Mehr unter KI und Urheberrecht, KI-Training und KI-Verträge.

  • BFSG ab 28. Juni 2025: Onlineshops müssen barrierefrei sein

    Archivbeitrag – Rechtsstand Juni 2025. Das BFSG gilt seit 28. Juni 2025; zu Reichweite und Durchsetzung haben sich seitdem Behördenpraxis und Rechtsprechung entwickelt. Den aktuellen Stand finden Sie auf unserer Seite Barrierefreiheit.

    Am 28. Juni 2025 tritt das Barrierefreiheitsstärkungsgesetz (BFSG) in Kraft. Es setzt den European Accessibility Act (Richtlinie (EU) 2019/882) um und verpflichtet erstmals auch private Unternehmen, bestimmte Produkte und Dienstleistungen barrierefrei anzubieten. Für den Onlinehandel ist die Änderung erheblich, denn Dienstleistungen im elektronischen Geschäftsverkehr zählen ausdrücklich dazu.

    Wer betroffen ist

    Das BFSG erfasst bestimmte Produkte, etwa Computer, Smartphones, E-Book-Lesegeräte und Selbstbedienungsterminals, sowie bestimmte Dienstleistungen, darunter Telekommunikationsdienste, Bankdienstleistungen, E-Books, Personenbeförderungsdienste und Dienstleistungen im elektronischen Geschäftsverkehr.

    Letztere sind Angebote über Websites und Apps, die auf individuelle Anfrage eines Verbrauchers zum Abschluss eines Verbrauchervertrags erbracht werden. Praktisch heißt das: Onlineshops, Buchungsstrecken, Bestellformulare und Ticketsysteme. Nicht erfasst sind reine Informations- oder Unternehmenswebsites ohne Vertragsschluss sowie Angebote, die sich ausschließlich an Unternehmen richten. Bei kostenlosen Angeboten ist die Rechtslage umstritten.

    Ausnahme für Kleinstunternehmen

    Kleinstunternehmen, die Dienstleistungen anbieten, sind von den Anforderungen ausgenommen. Kleinstunternehmen sind solche mit weniger als zehn Beschäftigten und einem Jahresumsatz oder einer Jahresbilanzsumme von höchstens 2 Mio. Euro. Beide Voraussetzungen müssen erfüllt sein. Für Hersteller und Händler von Produkten gilt die Ausnahme nicht in gleicher Weise. Teilzeitkräfte werden anteilig gezählt. Wer knapp unter den Schwellenwerten liegt, sollte die Zahlen dokumentieren und bei Wachstum rechtzeitig umplanen, denn die Ausnahme entfällt, sobald eine Schwelle überschritten ist.

    Was „barrierefrei“ konkret bedeutet

    Die Einzelheiten regelt die Verordnung zum BFSG. Maßstab in der Praxis ist die Norm EN 301 549, die auf die Web Content Accessibility Guidelines (WCAG 2.1) auf Stufe AA verweist. Wer diese Standards einhält, profitiert von einer Konformitätsvermutung. Typische Prüfpunkte sind Bedienbarkeit per Tastatur, ausreichende Kontraste, Textalternativen für Bilder, sinnvolle Überschriftenstruktur, verständliche Fehlermeldungen in Formularen und eine Bestellstrecke, die mit Screenreadern funktioniert.

    Zusätzlich müssen Anbieter in ihren Informationen, etwa auf einer eigenen Unterseite, erläutern, wie die Dienstleistung die Anforderungen erfüllt, und die zuständige Marktüberwachungsbehörde nennen.

    Aufsicht und Sanktionen

    Zuständig ist die gemeinsame Marktüberwachungsstelle der Länder mit Sitz in Magdeburg. Sie kann Prüfungen durchführen, Nachbesserungen anordnen und im äußersten Fall das Angebot untersagen. Bußgelder können bis zu 100.000 Euro betragen. Daneben ist mit Abmahnungen durch Wettbewerber und Verbände zu rechnen, weil die Anforderungen als Marktverhaltensregeln eingeordnet werden können.

    Was Sie jetzt vorrangig tun sollten

    Wer bis heute nicht begonnen hat, wird bis morgen nicht fertig. Sinnvoll ist eine Priorisierung:

    • Prüfen, ob das Angebot unter das BFSG fällt und ob die Kleinstunternehmen-Ausnahme greift
    • Bestellprozess, Warenkorb, Kontoerstellung und Formulare zuerst prüfen, weil dort Vertragsschlüsse scheitern
    • Erklärung zur Barrierefreiheit veröffentlichen und einen Kontaktweg für Rückmeldungen anbieten
    • Verträge mit Agenturen und Shop-Anbietern um Barrierefreiheitsanforderungen und Gewährleistung ergänzen
    • einen Zeitplan für die übrigen Mängel dokumentieren

    Fragen dazu? Wir prüfen, ob das BFSG für Sie gilt, und gestalten die Verträge mit Ihren Dienstleistern. Nutzen Sie unsere Onlineberatung. Mehr unter Barrierefreiheit, Onlineshop und Abmahnung.

  • AI Act ab 2. Februar 2025: Erste Verbote und Pflicht zur KI-Kompetenz

    Archivbeitrag – Rechtsstand Februar 2025. Der KI-Omnibus (VO (EU) 2026/1744) hat Art. 4 im Juli 2026 abgeschwächt: Statt ein bestimmtes Kompetenzniveau sicherzustellen, müssen Unternehmen nachweisbar Maßnahmen zur Förderung der KI-Kompetenz ergreifen. Den aktuellen Stand finden Sie auf unserer Seite KI-Kompetenz.

    Seit dem 2. Februar 2025 gelten die ersten Vorschriften der KI-Verordnung (EU) 2024/1689: die allgemeinen Bestimmungen, die Verbote bestimmter KI-Praktiken nach Art. 5 und die Pflicht zur KI-Kompetenz nach Art. 4. Die Bußgeldvorschriften greifen zwar erst ab August 2025, die Pflichten bestehen aber schon jetzt. Verstöße können zivilrechtlich und wettbewerbsrechtlich relevant werden.

    Verbotene KI-Praktiken nach Art. 5 AI Act

    Untersagt sind KI-Systeme, deren Risiko der Gesetzgeber für unannehmbar hält. Dazu gehören insbesondere:

    • unterschwellige oder absichtlich manipulative Techniken, die Verhalten wesentlich beeinflussen und erheblichen Schaden verursachen können
    • Ausnutzen der Schutzbedürftigkeit von Personen wegen Alter, Behinderung oder sozialer Lage
    • Social Scoring mit nachteiligen Folgen in fremden Zusammenhängen
    • Vorhersage von Straftaten allein auf Grundlage von Profiling oder Persönlichkeitsmerkmalen
    • ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachung für Gesichtserkennungsdatenbanken
    • Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen
    • biometrische Kategorisierung, um etwa auf politische Einstellung, Religion oder sexuelle Orientierung zu schließen
    • biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum zu Strafverfolgungszwecken, von engen Ausnahmen abgesehen

    Die Kommission hat Leitlinien zu den verbotenen Praktiken angekündigt. Für die meisten Unternehmen sind die Verbote kein Alltagsthema. Relevant werden sie bei Software zur Mitarbeiterüberwachung, bei Analyse von Stimme oder Mimik in Callcentern, bei Bewerbungsvideos und bei personalisierten Verkaufsstrategien, die Schwächen ausnutzen.

    KI-Kompetenz nach Art. 4: Das betrifft fast jedes Unternehmen

    Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen umgehen, über ausreichende KI-Kompetenz verfügen. Zu berücksichtigen sind technische Kenntnisse, Erfahrung, Ausbildung und der Einsatzkontext.

    Betreiber ist jedes Unternehmen, das KI-Systeme in eigener Verantwortung beruflich verwendet. Wer Mitarbeitern einen Chatbot, ein KI-Übersetzungstool oder KI-Funktionen in Office-Anwendungen bereitstellt, ist erfasst. Ein Zertifikat schreibt die Verordnung nicht vor, eine Dokumentation der Maßnahmen ist aber dringend zu empfehlen.

    So setzen wir die KI-Kompetenz in Mandaten um

    • Bestandsaufnahme: Welche KI-Systeme werden wo von wem genutzt, auch inoffiziell?
    • Rollen bilden: Gelegentliche Nutzer, Fachanwender, IT und Entscheider brauchen unterschiedliche Inhalte.
    • Schulungsinhalte festlegen: Funktionsweise und Grenzen von KI, typische Fehler, Datenschutz, Vertraulichkeit, Urheberrecht, Kennzeichnung
    • KI-Richtlinie erlassen: zugelassene Tools, verbotene Eingaben, Freigabeprozess für neue Anwendungen
    • Dokumentation: Teilnahme, Inhalte und Aktualisierung festhalten

    Bei Einführung einer KI-Richtlinie und bei Systemen, die Leistung oder Verhalten von Beschäftigten erfassen können, ist der Betriebsrat zu beteiligen.

    Ausblick

    Am 2. August 2025 folgen die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck sowie die Sanktionsvorschriften. Bis dahin muss Deutschland auch die zuständige Marktüberwachungsbehörde benennen.

    Fragen dazu? Wir unterstützen Sie bei KI-Richtlinie, Schulungskonzept und der Prüfung Ihrer KI-Anwendungen. Nutzen Sie unsere Onlineberatung. Mehr unter KI-Kompetenz, AI Act und KI im Personalbereich.