ITrechtler

horak Rechtsanwälte · Fachanwälte

Jahr: 2026

  • EuGH-Generalanwalt zu Gemini: Chatbot-Antworten können Presseverlegerrecht verletzen

    Im ersten Verfahren vor dem Gerichtshof der Europäischen Union zu generativer KI und Urheberrecht hat Generalanwalt Maciej Szpunar am 3. November 2026 seine Schlussanträge vorgelegt (Rs. C-250/25, Like Company ./. Google Ireland). Danach können Antworten eines KI-Chatbots das Recht des Presseverlegers verletzen. Das Training mit Presseartikeln sieht er dagegen grundsätzlich von der Ausnahme für Text- und Data-Mining gedeckt.

    Der Fall: Presseartikel in Gemini-Antworten

    Die Klägerin betreibt ungarische Nachrichtenportale. Sie stützt sich auf das Presseverlegerrecht nach Art. 15 Abs. 1 der DSM-Richtlinie (EU) 2019/790. Sie wirft Google vor, ihre Artikel zum Training der Gemini-Sprachmodelle genutzt und zwischen dem 13. Juni 2023 und dem 31. Mai 2024 über den Chatbot vervielfältigt und öffentlich zugänglich gemacht zu haben. Ein Budapester Gericht hat dem EuGH vier Fragen vorgelegt: zwei zum Training, zwei zu den Antworten.

    KI-Training: Fragen unzulässig, TDM-Ausnahme greift

    Die Fragen zum Training hält der Generalanwalt für unzulässig. Sie seien hypothetisch, weil nicht belegt sei, dass die Artikel tatsächlich zum Training verwendet wurden. Zudem sei Training keine Online-Nutzung im Sinne des Presseverlegerrechts. Hilfsweise führt er aus, dass die Nutzung geschützter Werke zum Training grundsätzlich unter die Text-und-Data-Mining-Ausnahme fällt.

    Chatbot-Antworten: Verletzung möglich

    Ruft ein Chatbot einen Presseartikel ab und verwendet ihn für seine Antwort, kann dies nach den Schlussanträgen das Vervielfältigungsrecht verletzen. Maßgeblich seien zwei Gesichtspunkte: ob der Zugriff rechtmäßig war, etwa ohne Umgehung einer Paywall, und ob die Antwort nur Fakten wiedergibt oder die konkrete Ausdrucksform so erkennbar übernimmt, dass Nutzer das Original nicht mehr aufrufen müssen. Ist die Ausdrucksform in den Antworten systematisch erkennbar, sei in der Regel auch das Recht der öffentlichen Zugänglichmachung verletzt.

    Der Anbieter haftet nach Ansicht des Generalanwalts, wenn solche Nutzungen fester Bestandteil seines Geschäftsmodells sind oder er keine geeigneten und wirksamen Gegenmaßnahmen trifft. Geschützt bleibt die Ausdrucksform, nicht die Nachricht selbst.

    Einordnung neben GEMA ./. OpenAI

    Das LG München I hatte am 11. November 2025 im Verfahren GEMA ./. OpenAI (Az. 42 O 14139/24) entschieden, dass bereits die Memorisierung von Liedtexten im Modell eine Vervielfältigung ist, die nicht von der TDM-Ausnahme gedeckt ist. Der Generalanwalt äußert sich zur Memorisierung nicht ausdrücklich, setzt beim Training aber einen großzügigeren Maßstab. Gegen das Münchner Urteil ist nach unserem Kenntnisstand ein Rechtsmittel anhängig; ein Aktenzeichen des Berufungsverfahrens konnten wir bislang nicht bestätigen. Die Schlussanträge binden den Gerichtshof nicht. Das Urteil wird für 2027 erwartet.

    Was Anbieter und Rechteinhaber jetzt tun können

    • Anbieter von KI-Suche und Retrieval-Funktionen sollten prüfen, ob Paywalls und maschinenlesbare Nutzungsvorbehalte technisch respektiert werden.
    • Ausgabefilter, die längere wörtliche Übernahmen verhindern, sind ein Argument für „wirksame Gegenmaßnahmen“.
    • Verlage sollten Fälle erkennbarer Übernahme dokumentieren und ihre Nutzungsvorbehalte nach § 44b Abs. 3 UrhG prüfen.

    Quellen: Schlussanträge GA Szpunar vom 3. November 2026, Rs. C-250/25 (Pressemitteilung des EuGH Nr. 155/26); LG München I, Urteil vom 11. November 2025, Az. 42 O 14139/24.

    Fragen dazu? Wir beraten KI-Anbieter und Rechteinhaber. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu KI und Urheberrecht, KI-Training, Presserecht und LAION-Urteil.

  • Neues Produkthaftungsgesetz beschlossen: Software haftet ab 9. Dezember 2026

    Der Bundestag hat am 8. Oktober 2026 in zweiter und dritter Lesung das Gesetz zur Modernisierung des Produkthaftungsrechts beschlossen. Es setzt die Produkthaftungsrichtlinie (EU) 2024/2853 um, die bis zum 9. Dezember 2026 umzusetzen ist. Es handelt sich um die erste grundlegende Reform des deutschen Produkthaftungsgesetzes seit 1989. Für Softwarehersteller ist die wichtigste Änderung, dass Software ausdrücklich als Produkt gilt und damit der verschuldensunabhängigen Haftung unterliegt.

    Software als Produkt

    Software fällt künftig unabhängig von der Art der Bereitstellung unter die Produkthaftung, also auch bei Download, SaaS oder als Bestandteil eines Geräts. Damit sind auch KI-Systeme erfasst. Open-Source-Software ist ausgenommen, wenn sie außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird.

    Neue Schadensposition: Datenverlust

    Ersatzfähig ist künftig auch die Vernichtung oder Beschädigung von Daten, sofern sie nicht beruflich genutzt werden. Ein fehlerhaftes Update, das private Fotos oder Dokumente löscht, kann damit einen Produkthaftungsanspruch auslösen.

    Haftung nach Updates und Kontrolle des Herstellers

    Behält der Hersteller die Kontrolle über ein Produkt, etwa durch Updates, kommt es für die Fehlerhaftigkeit nicht mehr nur auf das erstmalige Inverkehrbringen an. Maßgeblich ist der Zeitpunkt, zu dem die Kontrolle endet. Wer ein Produkt ohne Zustimmung des Herstellers wesentlich verändert und es dann vertreibt, kann selbst als Hersteller haften.

    Mehr Anspruchsgegner

    Neben Hersteller, Importeur und Lieferant können auch Bevollmächtigte von Herstellern in der EU, bestimmte Fulfilment-Dienstleister und unter Umständen Betreiber von Online-Plattformen haften. Der Bundestag hat die Bundesregierung zudem aufgefordert zu prüfen, ob Bevollmächtigte von Herstellern außerhalb der EU eine Haftpflichtversicherung nachweisen müssen.

    Offenlegung und Beweiserleichterungen

    Gerichte können die Offenlegung von Beweismitteln anordnen, nach der Ausschussfassung auch gegenüber Dritten wie Marktüberwachungsbehörden. Geschäftsgeheimnisse lassen sich in einem eingeschränkten Verfahren schützen. Kommt ein Beklagter einer Offenlegungsanordnung nicht nach, wird die Fehlerhaftigkeit vermutet. In technisch komplexen Fällen gibt es außerdem Vermutungen für Fehler und Ursächlichkeit.

    Fristen und Übergang

    Ansprüche verjähren drei Jahre ab Kenntnis. Sie erlöschen grundsätzlich zehn Jahre nach dem Inverkehrbringen, bei latenten Körper- oder Gesundheitsschäden nach 25 Jahren. Das neue Recht soll am 9. Dezember 2026 in Kraft treten und gilt für Produkte, die ab diesem Tag in Verkehr gebracht oder in Betrieb genommen werden. Für ältere Produkte bleibt das Gesetz von 1989 anwendbar. Der Hersteller kann sich weiterhin darauf berufen, dass der Fehler nach dem Stand von Wissenschaft und Technik nicht erkennbar war.

    Was Softwareanbieter jetzt tun sollten

    • Haftungsklauseln in Lieferanten- und Kundenverträgen überprüfen. Die Produkthaftung gegenüber Geschädigten kann vertraglich nicht ausgeschlossen werden; Regress im B2B-Verhältnis lässt sich aber regeln.
    • Versicherungsschutz für Software und KI-Produkte mit dem Versicherer abstimmen.
    • Entwicklungs-, Test- und Update-Dokumentation so führen, dass sie im Offenlegungsverfahren verwertbar ist und Geschäftsgeheimnisse geschützt bleiben.
    • Den Updateprozess mit den Pflichten aus dem Cyber Resilience Act abstimmen.

    Quellen: Gesetzesbeschluss des Bundestags vom 8. Oktober 2026 zum Gesetz zur Modernisierung des Produkthaftungsrechts; RL (EU) 2024/2853. Die Verkündung im Bundesgesetzblatt stand bei Redaktionsschluss noch aus.

    Fragen dazu? Wir prüfen Ihre Verträge und Prozesse auf das neue Haftungsrecht. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu KI-Haftung, Softwarerecht, digitale Produkte und Cyber Resilience Act.

  • Data Act: DADG in Kraft, Design-Pflicht seit 12. September 2026

    Seit dem 30. Mai 2026 ist das Datenverordnung-Anwendungs- und Durchsetzungsgesetz (DADG) in Kraft. Es wurde am 29. Mai 2026 im Bundesgesetzblatt verkündet (BGBl. 2026 I Nr. 157). Damit kann der Data Act (Verordnung (EU) 2023/2854), der bereits seit dem 12. September 2025 gilt, in Deutschland behördlich durchgesetzt und mit Bußgeldern belegt werden. Am 12. September 2026 folgte die nächste Stufe der Verordnung: die Design-Pflicht für vernetzte Produkte.

    Bundesnetzagentur und BfDI als Aufsicht

    Der Bundestag hatte das DADG am 26. März 2026 gemeinsam mit dem Daten-Governance-Gesetz beschlossen. Zuständige Behörde und zentrale Anlaufstelle ist die Bundesnetzagentur (§ 2 DADG). Für den Schutz personenbezogener Daten bei nicht-öffentlichen Stellen ist die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit zuständig (§ 3 DADG). An deren Rechtsauffassung zur Rechtmäßigkeit einer Verarbeitung personenbezogener Daten ist die Bundesnetzagentur gebunden.

    Die Bundesnetzagentur wird auf Beschwerde oder von Amts wegen tätig. Sie kann Auskünfte und Unterlagen verlangen, Anordnungen erlassen und diese mit Zwangsgeldern bis 500.000 Euro durchsetzen. Sie lässt außerdem Streitbeilegungsstellen zu.

    Bußgelder nach § 15 DADG

    • bis 5 Mio. Euro oder 2 % des weltweiten Vorjahresumsatzes für bestimmte Verstöße von Torwächtern nach dem Digital Markets Act,
    • bis 500.000 Euro für Kernverstöße bei vernetzten Produkten, etwa unvollständige Datenbereitstellung, unzulässige Eigennutzung durch den Dateninhaber oder Verstöße gegen die Design-Pflicht nach Art. 3 Abs. 1,
    • bis 100.000 Euro etwa für Hindernisse beim Anbieterwechsel,
    • bis 50.000 Euro für sonstige Verstöße.

    Bei Verstößen mit Bezug zu personenbezogenen Daten verhängt die BfDI Bußgelder nach dem Rahmen der DSGVO.

    Data Act: Design-Pflicht seit 12. September 2026

    Für vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden, gilt Art. 3 Abs. 1 Data Act. Sie müssen so konzipiert sein, dass Nutzer die Produkt- und Dienstdaten samt Metadaten einfach, sicher und, soweit relevant und technisch möglich, direkt abrufen können. Wer neue Geräte oder Gerätegenerationen auf den Markt bringt, muss Zugriffswege über Gerät, App oder Schnittstelle also bereits in der Architektur vorsehen. Nach § 15 DADG gehört ein Verstoß zur Bußgeldstufe bis 500.000 Euro.

    Die nächsten Data-Act-Fristen

    • 12. Januar 2027: Wechselentgelte beim Wechsel von Cloud- und anderen Datenverarbeitungsdiensten entfallen (Art. 29).
    • 12. September 2027: Die Klauselkontrolle nach Art. 13 erfasst auch bestimmte vor dem 12. September 2025 geschlossene Altverträge.

    Was jetzt zu tun ist

    Hersteller sollten prüfen, ob ihre Nutzungsbedingungen die Eigennutzung nicht-personenbezogener Produktdaten vertraglich absichern (Art. 4 Abs. 13). Ohne eine solche Vereinbarung riskieren sie jetzt Bußgelder. Cloud-Anbieter sollten ihre Verträge auf die Wechselregeln des Kapitels VI überprüfen, bevor die Wechselentgelte im Januar 2027 vollständig wegfallen. Für Beschwerden von Kunden oder Wettbewerbern bei der Bundesnetzagentur empfehlen wir eine dokumentierte Datenzugangsstrecke, die sich im Verfahren vorlegen lässt.

    Quellen: DADG vom 26. Mai 2026, BGBl. 2026 I Nr. 157 (in Kraft seit 30. Mai 2026); Art. 3, 29, 50 VO (EU) 2023/2854.

    Fragen dazu? Wir prüfen Ihre Produkte, Datenlizenzen und Cloud-Verträge. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu Data Act, IoT-Recht, Cloud und SaaS-Verträge.

  • Cyber Resilience Act: Meldepflichten für Hersteller seit 11. September 2026

    Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die Pflicht folgt aus Art. 14 des Cyber Resilience Act (Verordnung (EU) 2024/2847). Am selben Tag hat die ENISA die zentrale Meldeplattform, die Single Reporting Platform, freigeschaltet. Die übrigen Pflichten der Verordnung, etwa CE-Kennzeichnung und Konformitätsbewertung, gelten erst ab dem 11. Dezember 2027.

    Wer muss melden?

    Meldepflichtig sind Hersteller von Hardware und Software mit digitalen Elementen im Anwendungsbereich des CRA, also etwa vernetzte Verbrauchergeräte, Industriesteuerungen, eigenständige Software und zugehörige Datenverarbeitungslösungen aus der Ferne. Entscheidend ist: Die Meldepflicht gilt auch für Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Wer heute Geräte im Markt hat, ist betroffen, auch wenn die Produkte noch keine CE-Kennzeichnung nach dem CRA tragen.

    Meldefristen nach Art. 14 CRA

    StufeFrist ab Kenntnis
    Frühwarnung24 Stunden
    Meldung mit erster Bewertung72 Stunden
    Abschlussbericht bei aktiv ausgenutzter Schwachstelle14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist
    Abschlussbericht bei schwerwiegendem Vorfallein Monat nach der 72-Stunden-Meldung

    Nach den Leitlinien der Kommission vom 27. Juli 2026 beginnt die Frist, sobald der Hersteller nach einer ersten Prüfung mit hinreichender Sicherheit von einer Ausnutzung oder Kompromittierung ausgeht. Ausnutzungen, die vor dem 11. September 2026 bekannt waren, müssen nicht nachgemeldet werden. Zusätzlich sind betroffene Nutzer zu informieren, gegebenenfalls alle Nutzer.

    So funktioniert die Meldung

    Gemeldet wird einmal über die Plattform der ENISA, gleichzeitig an die ENISA und das als Koordinator benannte CSIRT, in der Regel das des Mitgliedstaats der Hauptniederlassung in der EU. Für Deutschland ist das BSI zuständig. Der Zugang läuft über EU Login mit Zwei-Faktor-Authentifizierung. Je Hersteller gibt es einen primären und bis zu 20 weitere Vertreter. Zum Start ist die Plattform nur per Webformular und in englischer Sprache nutzbar. Die Wahl eines falschen Koordinators kann eine Meldung unwirksam machen.

    Die Delegierte Verordnung (EU) 2026/881 regelt, wann ein CSIRT eine Meldung zurückhalten darf, bevor es sie weitergibt. Sie ändert nichts an den Fristen für Hersteller.

    Bußgelder

    Verstöße gegen die Meldepflichten können mit bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.

    Verhältnis zu NIS2 und DSGVO

    Ein Vorfall kann gleichzeitig eine CRA-Meldung, eine Meldung nach NIS2 an das BSI und eine Datenpannenmeldung nach Art. 33 DSGVO auslösen. Die Fristen und Empfänger unterscheiden sich. Wir empfehlen ein gemeinsames Incident-Playbook mit klarer Zuordnung, wer welche Meldung entscheidet und absendet.

    Was Hersteller jetzt brauchen

    • Registrierung der Vertreter auf der Plattform, bevor der erste Fall eintritt.
    • Ein Prozess für die Bewertung eingehender Schwachstellenhinweise mit Rufbereitschaft auch am Wochenende.
    • Aktuelle Software-Stücklisten (SBOM), um betroffene Produkte schnell zu identifizieren.
    • Verträge mit Zulieferern, die Informationspflichten über Schwachstellen in Komponenten regeln.

    Quellen: Art. 14 VO (EU) 2024/2847; Leitlinien der Kommission vom 27. Juli 2026; Delegierte VO (EU) 2026/881.

    Fragen dazu? Wir richten mit Ihnen Meldeprozesse und Lieferantenverträge ein. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu Cyber Resilience Act, NIS2, Cyberangriff und Datenpanne melden.

  • NIS2: Registrierungsfrist beim BSI abgelaufen

    Die verlängerte Frist für die Registrierung beim BSI nach dem NIS2-Umsetzungsgesetz ist am 31. Juli 2026 abgelaufen. Nach Presseberichten im Vorfeld des Fristablaufs waren von geschätzt rund 29.500 betroffenen Unternehmen zu diesem Zeitpunkt erst etwa 11.500 registriert. Wer bisher nicht geprüft hat, ob sein Unternehmen unter das neue BSI-Gesetz fällt, sollte das jetzt nachholen.

    NIS2 gilt in Deutschland seit Dezember 2025

    Das Gesetz zur Umsetzung der NIS2-Richtlinie (EU) 2022/2555 ist am 6. Dezember 2025 in Kraft getreten. Es hat das BSI-Gesetz neu gefasst und den Kreis der regulierten Unternehmen stark erweitert. Erfasst sind „besonders wichtige“ und „wichtige“ Einrichtungen in zahlreichen Sektoren, darunter Energie, Transport, Gesundheit, digitale Infrastruktur, Managed Services, Abfallwirtschaft, Lebensmittel, Chemie und verarbeitendes Gewerbe. Maßgeblich sind in der Regel Sektor, Mitarbeiterzahl und Umsatz.

    Registrierungspflicht beim BSI

    Betroffene Einrichtungen müssen sich selbst beim BSI registrieren. Eine Aufforderung durch die Behörde erfolgt nicht. Die Frist dafür wurde bis zum 31. Juli 2026 verlängert. Eine unterlassene Registrierung ist bußgeldbewehrt. Viele Unternehmen haben ihre Betroffenheit bislang nicht geprüft, insbesondere im Mittelstand und bei Zulieferern, die sich nicht als „kritische Infrastruktur“ verstehen.

    Pflichten neben der Registrierung

    • Risikomanagementmaßnahmen nach dem Stand der Technik, unter anderem zu Notfallmanagement, Lieferkettensicherheit, Zugriffskontrolle und Verschlüsselung.
    • Ein gestuftes Meldeverfahren bei erheblichen Sicherheitsvorfällen: frühe Erstmeldung, Folgemeldung und Abschlussmeldung an das BSI.
    • Billigung und Überwachung der Maßnahmen durch die Geschäftsleitung sowie regelmäßige Schulung der Geschäftsleiter. Bei Pflichtverletzungen droht eine persönliche Haftung gegenüber der Gesellschaft.

    Was bei verpasster Frist zu tun ist

    Eine verspätete Registrierung ist besser als keine. Wir empfehlen folgende Reihenfolge:

    1. Betroffenheit dokumentiert prüfen: Sektor, Unternehmensgröße, Konzernzurechnung und Sonderfälle wie DNS-, Cloud- oder Rechenzentrumsdienste.
    2. Registrierung unverzüglich nachholen und den Zeitpunkt der Prüfung festhalten.
    3. Meldewege für Sicherheitsvorfälle einrichten, abgestimmt mit Datenpannenmeldungen nach Art. 33 DSGVO und, für Hersteller, mit den Meldepflichten nach dem Cyber Resilience Act seit dem 11. September 2026.
    4. Geschäftsleitung schulen und die Billigung der Risikomanagementmaßnahmen protokollieren.
    5. Verträge mit IT-Dienstleistern um Sicherheits-, Melde- und Auditpflichten ergänzen.

    Auch Unternehmen, die selbst nicht unter NIS2 fallen, spüren die Regeln: Regulierte Kunden geben die Anforderungen an die Lieferkette über Verträge und Fragebögen weiter.

    Häufige Fragen zur NIS2-Registrierung

    Gilt NIS2 auch für kleine Unternehmen?

    In der Regel erst ab mittlerer Unternehmensgröße. Für bestimmte Dienste, etwa DNS-Dienste oder Vertrauensdienste, gilt das Gesetz aber größenunabhängig. Zudem werden Mitarbeiter und Umsatz verbundener Unternehmen nach den Regeln der KMU-Empfehlung zugerechnet.

    Wer meldet, wenn wir einen Vorfall beim IT-Dienstleister haben?

    Die Meldepflicht trifft die regulierte Einrichtung selbst. Der Dienstleister muss sie deshalb vertraglich so schnell informieren, dass die Erstmeldung fristgerecht möglich ist.

    Quellen: NIS2-Umsetzungsgesetz, in Kraft seit 6. Dezember 2025; RL (EU) 2022/2555; Presseberichte (boerse-express.com, Sommer 2026) zu Inkrafttreten, Fristverlängerung bis 31. Juli 2026 und Registrierungszahlen. Die Zahlen sind Schätzungen und nicht amtlich bestätigt.

    Fragen dazu? Wir prüfen Ihre Betroffenheit und begleiten die Umsetzung. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu NIS2, IT-Sicherheit, Cyberangriff und Cybersecurity-SLA.

  • AI Act: Was seit dem 2. August 2026 für Chatbots und KI-Inhalte gilt

    Der 2. August 2026 war als großer Stichtag der KI-Verordnung geplant. Durch den AI Omnibus sind die Pflichten für Hochrisiko-KI zwar verschoben worden. Seit diesem Tag gelten aber die Transparenzpflichten nach Art. 50 KI-Verordnung. Sie treffen weit mehr Unternehmen als die Hochrisiko-Regeln, weil sie an alltägliche Anwendungen wie Chatbots und generierte Bilder anknüpfen.

    Was gilt seit dem 2. August 2026?

    Chatbots und KI-Interaktion (Art. 50 Abs. 1)

    Anbieter müssen KI-Systeme, die mit Menschen interagieren, so gestalten, dass die Nutzer erfahren, dass sie mit einer KI kommunizieren. Das betrifft Service-Chatbots, Voicebots und KI-Assistenten im Kundenportal. Eine Ausnahme besteht nur, wenn dies für einen verständigen Nutzer ohnehin offensichtlich ist.

    Kennzeichnung synthetischer Inhalte (Art. 50 Abs. 2)

    Anbieter generativer KI müssen erzeugte Audio-, Bild-, Video- und Textinhalte in maschinenlesbarem Format als künstlich erzeugt kennzeichnen. Für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, gilt nach dem AI Omnibus eine Übergangsfrist bis zum 2. Dezember 2026. Neue Systeme müssen die Pflicht sofort erfüllen.

    Emotionserkennung und biometrische Kategorisierung (Art. 50 Abs. 3)

    Betreiber solcher Systeme müssen die betroffenen Personen über den Betrieb informieren und die DSGVO beachten. Am Arbeitsplatz und in Bildungseinrichtungen ist Emotionserkennung schon seit Februar 2025 grundsätzlich verboten (Art. 5 Abs. 1 lit. f).

    Deepfakes und KI-Texte (Art. 50 Abs. 4)

    Betreiber, die Deepfakes erzeugen oder verbreiten, müssen offenlegen, dass die Inhalte künstlich erzeugt oder verändert wurden. Bei erkennbar künstlerischen oder satirischen Werken genügt ein Hinweis, der die Darstellung nicht beeinträchtigt. KI-generierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, sind ebenfalls zu kennzeichnen, es sei denn, sie wurden menschlich geprüft und redaktionell verantwortet.

    Wer kontrolliert die Kennzeichnungspflicht?

    In Deutschland ist seit Ende Juli 2026 nach dem KI-MIG grundsätzlich die Bundesnetzagentur zuständig; für Medienanbieter sind es Landesbehörden. Verstöße gegen Art. 50 können nach Art. 99 Abs. 4 KI-Verordnung mit bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden. Daneben halten wir wettbewerbsrechtliche Abmahnungen für möglich, wenn eine fehlende Kennzeichnung Verbraucher in die Irre führt; gerichtlich geklärt ist das noch nicht.

    Neues Verbot ab 2. Dezember 2026

    Der AI Omnibus hat Art. 5 um ein Verbot von KI-Systemen ergänzt, die nicht einvernehmliche intime Darstellungen realer Personen oder Darstellungen sexuellen Missbrauchs von Kindern erzeugen. Es gilt ab dem 2. Dezember 2026. Anbieter von Bild- und Videogeneratoren sollten ihre Schutzmechanismen bis dahin dokumentieren.

    Unsere Empfehlung

    • Chatbot-Oberflächen mit einem klaren Hinweis zu Beginn der Interaktion versehen.
    • Mit Lieferanten generativer KI klären, welches Kennzeichnungsverfahren (Metadaten, Wasserzeichen) eingesetzt wird und wer es bis zum 2. Dezember 2026 umsetzt.
    • Redaktionelle Freigabeprozesse für KI-Texte dokumentieren, wenn Sie sich auf die Ausnahme in Art. 50 Abs. 4 berufen wollen.
    • Werbe- und Social-Media-Teams für Deepfake-Kennzeichnung schulen.

    Quellen: Art. 50 VO (EU) 2024/1689 in der Fassung der VO (EU) 2026/1744 (ABl. der EU vom 24. Juli 2026).

    Fragen dazu? Wir prüfen Ihre KI-Anwendungen auf Kennzeichnungspflichten. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu AI Act, Deepfakes, KI-Einsatz im Unternehmen und Online-Marketing.

  • KI-MIG verkündet: Bundesnetzagentur wird zentrale KI-Aufsicht

    Deutschland hat die Behördenstruktur für die KI-Verordnung festgelegt. Das Gesetz zur Durchführung der Verordnung über künstliche Intelligenz vom 22. Juli 2026 wurde am 28. Juli 2026 verkündet (BGBl. 2026 I Nr. 223) und tritt am Tag nach der Verkündung in Kraft. Kernstück ist in Artikel 1 das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG).

    Gesetzgebungsverfahren

    Das Bundeskabinett hatte den Entwurf am 11. Februar 2026 beschlossen. Die erste Lesung im Bundestag fand am 20. März 2026 statt (BT-Drs. 21/4594), die Anhörung im Digitalausschuss am 23. März 2026. Der Bundestag verabschiedete das Gesetz in der Sitzungswoche vom 10. bis 11. Juni 2026 mit den Stimmen von CDU/CSU und SPD.

    Bundesnetzagentur als KI-Aufsicht

    Die Bundesnetzagentur ist nach § 2 Abs. 1 KI-MIG die allgemeine Marktüberwachungsbehörde. Sie ist zugleich zentrale Anlaufstelle nach der KI-Verordnung (§ 6) und zentrale Beschwerdestelle (§ 8). Bei ihr werden ein Koordinierungs- und Kompetenzzentrum (§ 5) und eine unabhängige KI-Marktüberwachungskammer (§ 4) eingerichtet. Außerdem führt sie ein Register bestimmter Hochrisiko-KI-Systeme (§ 20).

    Daneben bleiben Fachbehörden zuständig:

    • BaFin für KI-Systeme, die unmittelbar mit regulierten Finanztätigkeiten zusammenhängen (§ 2 Abs. 3),
    • Landesbehörden für öffentliche Stellen der Länder und für Medienanbieter (§ 2 Abs. 6 und 8),
    • die Deutsche Akkreditierungsstelle für die Bewertung und Überwachung von Konformitätsbewertungsstellen bei bestimmten Hochrisiko-Systemen (§ 3 Abs. 4),
    • das BSI als notifizierende Behörde, bis die Marktüberwachungsbehörde nach dem Cyber Resilience Act benannt ist (§ 3 Abs. 2).

    KI-Reallabore und Beratung für KMU

    Das Gesetz enthält Innovationsmaßnahmen (§§ 12, 13). Die Bundesnetzagentur informiert und berät vor allem kleine und mittlere Unternehmen sowie Start-ups und betreibt mindestens ein KI-Reallabor, in dem Anwendungen unter Aufsicht erprobt werden können. Ihr Beratungsangebot soll die Bundesregierung anhand messbarer Kriterien regelmäßig überprüfen; das Gesetz wird nach 18 Monaten und nach drei Jahren evaluiert.

    Bußgelder nach dem KI-MIG

    Die hohen Geldbußen für Verstöße gegen die KI-Verordnung selbst ergeben sich unmittelbar aus Art. 99 der Verordnung. Das KI-MIG ergänzt sie um Bußgelder von bis zu 50.000 Euro für Verstöße gegen bestimmte Mitwirkungs- und Auskunftspflichten gegenüber den Behörden. Wer Auskunftsersuchen der Bundesnetzagentur ignoriert, riskiert also schon vor jeder inhaltlichen Prüfung ein Verfahren.

    Was das für Unternehmen bedeutet

    Mit dem KI-MIG gibt es in Deutschland erstmals eine Behörde, die Beschwerden zu KI-Systemen entgegennimmt und Auskünfte verlangen kann. Für Betreiber, die KI etwa in der Kundenkommunikation einsetzen, sind die Transparenzpflichten nach Art. 50 der KI-Verordnung seit dem 2. August 2026 die erste prüffähige Pflicht. Für Hochrisiko-KI bleibt durch den AI Omnibus Zeit bis Dezember 2027.

    Wir empfehlen, eine interne Zuständigkeit für Behördenanfragen festzulegen und das KI-Inventar so zu führen, dass es bei einem Auskunftsersuchen kurzfristig vorgelegt werden kann. Wer frühzeitig Rechtssicherheit für ein neues Produkt braucht, sollte prüfen, ob eine Teilnahme am KI-Reallabor der Bundesnetzagentur in Betracht kommt.

    Quelle: Gesetz zur Durchführung der Verordnung über künstliche Intelligenz vom 22. Juli 2026, BGBl. 2026 I Nr. 223 vom 28. Juli 2026; BT-Drs. 21/4594.

    Fragen dazu? Wir begleiten Sie bei Auskunftsersuchen und Verfahren vor der Bundesnetzagentur. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu AI Act, Verfahren im KI-Recht, KI-Einsatz im Unternehmen und zum AI Omnibus.

  • AI Omnibus in Kraft: Neue Fristen für Hochrisiko-KI

    Am 27. Juli 2026 ist die Verordnung (EU) 2026/1744, der sogenannte AI Omnibus, in Kraft getreten. Sie wurde am 24. Juli 2026 im Amtsblatt der EU veröffentlicht und ändert die KI-Verordnung (EU) 2024/1689 an mehreren Stellen. Für Anbieter und Betreiber von Hochrisiko-KI verschiebt sich der wichtigste Stichtag um 16 Monate.

    Vom Kommissionsvorschlag zur Verordnung

    Die Kommission hatte den Digital Omnibus zur KI-Verordnung Ende 2025 vorgeschlagen. Parlament und Rat einigten sich am 7. Mai 2026 im Trilog. Das Europäische Parlament stimmte am 16. Juni 2026 zu, der Rat am 29. Juni 2026. Damit kam die Änderung rechtzeitig vor dem 2. August 2026, an dem nach der ursprünglichen Fassung die Pflichten für Hochrisiko-KI nach Anhang III gegolten hätten.

    AI Act: neue Fristen für Hochrisiko-KI

    Regelungsbereichbisherneu
    Hochrisiko-KI nach Art. 6 Abs. 2 i. V. m. Anhang III (z. B. Personal, Bildung, Kreditwürdigkeit)2. August 20262. Dezember 2027
    Hochrisiko-KI in regulierten Produkten nach Art. 6 Abs. 1 i. V. m. Anhang I (z. B. Medizinprodukte, Maschinen, Spielzeug)2. August 20272. August 2028
    Maschinenlesbare Kennzeichnung synthetischer Inhalte bei Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden2. August 20262. Dezember 2026
    Neues Verbot: KI zur Erzeugung nicht einvernehmlicher intimer Darstellungen und von Missbrauchsdarstellungen Minderjähriger–2. Dezember 2026
    Nationale KI-Reallabore2. August 20262. August 2027

    Weitere Änderungen der KI-Verordnung

    • KI-Kompetenz (Art. 4): Verlangt werden Maßnahmen, die den Aufbau von KI-Kompetenz unterstützen. Ein bestimmtes Kenntnisniveau jeder einzelnen Person wird nicht mehr vorausgesetzt.
    • Erkennung von Verzerrungen: Die Rechtsgrundlage für die ausnahmsweise Verarbeitung besonderer Kategorien personenbezogener Daten gilt künftig auch für Akteure jenseits der Anbieter von Hochrisiko-KI.
    • Sektorrecht: Der Begriff des Sicherheitsbauteils wird präzisiert. Die Kommission kann per delegiertem Rechtsakt Pflichten zurücknehmen, wo sektorale Produktvorschriften gleichwertigen Schutz bieten.
    • Erleichterungen, die bisher KMU und Start-ups vorbehalten waren, gelten nun auch für kleine Mid-Cap-Unternehmen.
    • Das KI-Büro der Kommission erhält die alleinige Aufsicht über bestimmte KI-Systeme auf Basis von KI-Modellen mit allgemeinem Verwendungszweck sowie über KI in sehr großen Online-Plattformen und Suchmaschinen nach dem DSA.

    Was unverändert bleibt

    Die Verbote nach Art. 5 gelten weiter seit dem 2. Februar 2025, die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (Art. 53 ff.) seit dem 2. August 2025. Die Transparenzpflichten nach Art. 50 gelten seit dem 2. August 2026; nur die maschinenlesbare Kennzeichnung bei Bestandssystemen hat eine Übergangszeit bis zum 2. Dezember 2026. Einzelheiten dazu in unserem Beitrag zu den Transparenzpflichten seit dem 2. August 2026.

    Was Unternehmen jetzt tun sollten

    Die Verschiebung ist kein Anlass, Compliance-Projekte anzuhalten. Ein Hochrisiko-System im Personalbereich braucht Risikomanagement, Datengovernance, technische Dokumentation, menschliche Aufsicht und eine Konformitätsbewertung. Erfahrungsgemäß dauert der Aufbau dieser Prozesse länger als ein Jahr.

    1. KI-Inventar aktualisieren und die Einstufung jedes Systems anhand der neuen Fristen prüfen.
    2. Verträge mit KI-Lieferanten anpassen: Zusicherungen, Mitwirkungspflichten und Termine, die auf den 2. August 2026 abstellen, laufen sonst ins Leere.
    3. Generative Anwendungen bis zum 2. Dezember 2026 auf maschinenlesbare Kennzeichnung umstellen und prüfen, ob Funktionen unter das neue Verbot fallen könnten.
    4. Schulungskonzepte zur KI-Kompetenz beibehalten; sie bleiben der einfachste Nachweis ordnungsgemäßer Organisation.

    Quelle: Verordnung (EU) 2026/1744, ABl. der EU vom 24. Juli 2026, in Kraft seit 27. Juli 2026.

    Fragen dazu? Wir prüfen Ihre KI-Systeme und Verträge auf die neuen Fristen. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu AI Act, Pflichten von KI-Anbietern, KI-Kompetenz und KI im Personalbereich.

  • Widerrufsbutton: Pflicht für Onlinehändler seit 19. Juni 2026

    Seit dem 19. Juni 2026 müssen Unternehmer, die Fernabsatzverträge über eine Online-Benutzeroberfläche schließen, eine elektronische Widerrufsfunktion bereitstellen. Grundlage ist der neue § 356a BGB. Er setzt die Richtlinie (EU) 2023/2673 um und wurde mit dem Gesetz zur Änderung des Verbrauchervertrags- und des Versicherungsvertragsrechts sowie zur Änderung des Behandlungsvertragsrechts eingeführt (BGBl. 2026 I Nr. 28 vom 5. Februar 2026). Eine Übergangsfrist für Bestandsverträge gibt es nicht.

    Anforderungen an den Widerrufsbutton nach § 356a BGB

    1. Eine gut lesbare Schaltfläche mit „Vertrag widerrufen“ oder einer gleichbedeutenden Formulierung, während der gesamten Widerrufsfrist ständig verfügbar, hervorgehoben platziert und leicht zugänglich.
    2. Eine Eingabemaske, in der der Verbraucher seinen Namen, die Angaben zur Identifizierung des Vertrags und ein elektronisches Kommunikationsmittel für die Eingangsbestätigung angibt oder bestätigt.
    3. Eine Bestätigungsschaltfläche mit „Widerruf bestätigen“ oder einer gleichbedeutenden Formulierung.
    4. Eine unverzügliche Eingangsbestätigung auf einem dauerhaften Datenträger mit Inhalt sowie Datum und Uhrzeit des Eingangs.

    Ein Widerruf über die Funktion ist rechtzeitig, wenn er vor Ablauf der Widerrufsfrist abgesendet wurde.

    Praxisfragen aus der Gesetzesbegründung

    Die Begründung (BT-Drs. 21/1856) beantwortet einige Umsetzungsfragen:

    • Lässt sich die individuelle Widerrufsfrist nicht oder nur mit unangemessenem Aufwand ermitteln, darf die Funktion dauerhaft für alle Nutzer angezeigt werden.
    • Eine Funktion nur im Kundenkonto genügt allein dann, wenn der Vertrag ausschließlich über ein Kundenkonto geschlossen werden kann. Anders als beim Kündigungsbutton nach § 312k BGB gibt es keine allgemeine Ausnahme.
    • Apps sind ausdrücklich Online-Benutzeroberflächen.
    • Die Funktion muss von jeder Unterseite erreichbar sein. Ein unauffälliger Textlink im Footer reicht nicht.
    • Wer über Marktplätze verkauft, bleibt selbst verantwortlich und muss die Umsetzung mit dem Plattformbetreiber regeln.

    Eingangsbestätigung richtig formulieren

    Die Bestätigung bescheinigt nur den Eingang. Sie sollte klarstellen, dass Wirksamkeit und Umfang des Widerrufs noch nicht geprüft sind. Formulierungen wie „Ihr Widerruf wird hiermit bestätigt“ können als Anerkenntnis verstanden werden, etwa bei verfristeten Widerrufen oder bei Waren, für die kein Widerrufsrecht besteht.

    Neue Widerrufsbelehrung

    Mit der Gesetzesänderung wurde die Muster-Widerrufsbelehrung in Anlage 1 zum EGBGB um einen Gestaltungshinweis zur Widerrufsfunktion ergänzt. Wer die Musterbelehrung nicht aktualisiert, verliert deren Gesetzlichkeitsfiktion. Für Finanzdienstleistungen gilt die Pflicht ebenfalls; die bisherigen Muster in den Anlagen 3 bis 3b zum EGBGB sind entfallen.

    Verhältnis zum Kündigungsbutton

    Bei Abonnements und anderen Dauerschuldverhältnissen bleibt daneben der Kündigungsbutton nach § 312k BGB Pflicht. Beide Funktionen haben unterschiedliche Voraussetzungen und Beschriftungen und sollten getrennt umgesetzt werden. Eine gemeinsame Schaltfläche für „Widerruf oder Kündigung“ halten wir für riskant, weil sie keiner der beiden gesetzlich vorgegebenen Formulierungen eindeutig entspricht.

    Abmahnrisiko

    Ein fehlender oder versteckter Button ist von außen leicht festzustellen. Wir rechnen deshalb mit Abmahnungen durch Wettbewerber und Verbände nach dem UWG und dem UKlaG. Shopbetreiber sollten auch prüfen, ob ihr Shopsystem die Funktion für alle Vertriebskanäle, einschließlich Apps und Abonnements, korrekt abbildet.

    Quellen: § 356a BGB; BGBl. 2026 I Nr. 28 vom 5. Februar 2026; BT-Drs. 21/1856; RL (EU) 2023/2673.

    Fragen dazu? Wir prüfen Ihren Bestellprozess und Ihre Widerrufsbelehrung. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu Onlineshop, Abmahnung, Apps und Verkaufsportale.

  • DSA-Verfahren: Kommission wirft Meta mangelnden Schutz von Kindern vor

    Die Europäische Kommission ist nach eigener vorläufiger Einschätzung der Ansicht, dass Meta mit Facebook und Instagram gegen den Digital Services Act (Verordnung (EU) 2022/2065) verstößt. Nach Berichten vom 29. April 2026 hält die Kommission die Maßnahmen für unzureichend, mit denen Meta Kinder unter 13 Jahren von seinen Plattformen fernhält. Das Verfahren war 2024 eingeleitet worden. Eine Geldbuße ist noch nicht festgesetzt.

    Die Vorwürfe der Kommission

    • unzureichende Altersüberprüfung bei der Registrierung,
    • keine wirksame Entfernung von Konten Minderjähriger, unter anderem wegen eines umständlichen Meldewegs,
    • eine Risikobewertung, die die Risiken für Minderjährige nicht ausreichend erfasst.

    Sehr große Online-Plattformen müssen systemische Risiken, auch für Minderjährige, bewerten und mindern (Art. 34 und 35 DSA). Für alle Online-Plattformen, die Minderjährigen zugänglich sind, verlangt Art. 28 DSA zusätzlich ein hohes Maß an Privatsphäre, Sicherheit und Schutz.

    Wie es im DSA-Verfahren weitergeht

    Vorläufige Feststellungen sind noch keine Entscheidung. Meta kann die Akte einsehen, schriftlich Stellung nehmen und Verpflichtungszusagen anbieten. Hält die Kommission an ihrer Bewertung fest, kann sie einen Nichteinhaltungsbeschluss nach Art. 73 DSA erlassen und eine Geldbuße von bis zu 6 % des weltweiten Jahresumsatzes verhängen (Art. 74 Abs. 1 DSA). Gegen einen solchen Beschluss steht der Rechtsweg zum Gericht der EU offen.

    Es ist nicht das erste Verfahren gegen Meta. Bereits im Oktober 2025 hatte die Kommission vorläufig festgestellt, dass Meta und TikTok Forschenden keinen ausreichenden Zugang zu öffentlichen Daten gewähren und dass die Melde- und Beschwerdewege bei Facebook und Instagram nicht den Anforderungen genügen.

    Bedeutung für kleinere Plattformen

    Die Kommission ist nur für sehr große Online-Plattformen und Suchmaschinen zuständig. Für alle übrigen Plattformen mit Sitz in Deutschland überwacht die Bundesnetzagentur als Koordinator für digitale Dienste die Einhaltung des DSA, beim Jugendschutz unterstützt durch die Bundeszentrale für Kinder- und Jugendmedienschutz. Die Maßstäbe, die die Kommission bei Meta anlegt, werden aber in die Auslegung von Art. 28 DSA einfließen. Betreiber von Communitys, Spieleplattformen oder Marktplätzen mit jungen Nutzern sollten deshalb prüfen:

    • Wie wird das Alter bei der Registrierung festgestellt, und lässt sich die Angabe leicht umgehen?
    • Gibt es einen einfachen Meldeweg für Konten mutmaßlich zu junger Nutzer, und wie schnell wird er bearbeitet?
    • Sind Voreinstellungen für Minderjährige datenschutzfreundlich, und wird auf profilbasierte Werbung an Minderjährige verzichtet (Art. 28 Abs. 2 DSA)?
    • Ist die Altersprüfung mit der DSGVO vereinbar, insbesondere beim Einsatz biometrischer Verfahren?

    Die Spannung zwischen wirksamer Altersprüfung und Datenminimierung ist das eigentliche Praxisproblem. Wir empfehlen, die gewählte Lösung in einer Datenschutz-Folgenabschätzung zu begründen und die Abwägung zu dokumentieren.

    Quellen: Vorläufige Feststellungen der Europäischen Kommission gegenüber Meta (Facebook, Instagram), berichtet am 29. April 2026; Art. 28, 34, 35, 73, 74 VO (EU) 2022/2065.

    Fragen dazu? Wir beraten Plattformbetreiber zu DSA-Pflichten und Verfahren. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu Digital Services Act, Plattformrecht, Datenschutz-Folgenabschätzung und Spielerecht.