ITrechtler

horak Rechtsanwälte · Fachanwälte

Kategorie: Archiv

Archiv: Beiträge aus den Jahren 2016 bis 2025 im damaligen Rechtsstand, jeweils mit Hinweis auf spätere Änderungen.

  • NIS2-Umsetzungsgesetz in Kraft: Registrierung, Meldepflichten, Haftung

    Archivbeitrag – Rechtsstand Dezember 2025. Das BSI hat die Registrierungsfrist inzwischen faktisch bis 31. Juli 2026 gestreckt; Registrierung über das BSI-Portal ist weiter nachholbar. Den aktuellen Stand finden Sie auf unserer Seite NIS2.

    Seit dem 6. Dezember 2025 gilt das Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS2UmsuCG). Der Bundestag hatte es im November beschlossen, der Bundesrat am 20. November 2025 zugestimmt, die Verkündung erfolgte am 5. Dezember 2025. Kern ist ein grundlegend neu gefasstes BSI-Gesetz (BSIG). Eine Übergangsfrist gibt es nicht.

    Verspätete Umsetzung

    Die NIS2-Richtlinie (EU) 2022/2555 hätte bis Oktober 2024 umgesetzt sein müssen. Ein erster Regierungsentwurf scheiterte mit dem Ende der Legislaturperiode, nach der Bundestagswahl musste das Verfahren neu beginnen. Unternehmen, die sich an den früheren Entwürfen orientiert haben, sind gut vorbereitet, sollten aber die Endfassung abgleichen.

    Wer betroffen ist

    Der Kreis der Verpflichteten wächst gegenüber dem bisherigen KRITIS-Recht deutlich, nach Schätzungen auf etwa 29.500 Unternehmen in 18 Sektoren. Maßgeblich sind die Zugehörigkeit zu einem der in den Anlagen genannten Sektoren und Größenschwellen bei Beschäftigten, Umsatz und Bilanzsumme. Das Gesetz unterscheidet besonders wichtige und wichtige Einrichtungen, daneben bleiben die Betreiber kritischer Anlagen mit zusätzlichen Pflichten. Unternehmen müssen selbst prüfen, ob sie betroffen sind. Das BSI bestätigt die Einordnung nicht. Häufig übersehen werden Konzerngesellschaften, deren Schwellenwerte unter Einbeziehung verbundener Unternehmen zu berechnen sind, sowie Anbieter von IT-Diensten, Rechenzentren und Managed Services, die unabhängig von ihrer Kundschaft erfasst sein können.

    Die wichtigsten Pflichten

    • Registrierung beim BSI innerhalb von drei Monaten, also bis Anfang März 2026
    • Risikomanagementmaßnahmen nach § 30 BSIG, unter anderem Richtlinien zur Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Notfallmanagement, Sicherheit der Lieferkette, Zugriffskontrolle, Kryptografie und Multi-Faktor-Authentifizierung
    • gestufte Meldung erheblicher Sicherheitsvorfälle nach § 32 BSIG: frühe Erstmeldung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussmeldung innerhalb eines Monats
    • Nachweise gegenüber dem BSI, für besonders wichtige Einrichtungen in regelmäßigen Abständen

    Geschäftsleitung in der Pflicht

    § 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen. Geschäftsleiter, die diese Pflichten verletzen, haften der Einrichtung für den entstandenen Schaden. Zudem müssen sie regelmäßig an Schulungen teilnehmen. Diese Pflichten lassen sich nicht vollständig delegieren. Wir raten dazu, die Billigung förmlich zu beschließen und die Überwachung in feste Berichtsroutinen der IT-Sicherheit an die Geschäftsleitung zu übersetzen.

    Bußgelder

    Für besonders wichtige Einrichtungen drohen Bußgelder bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis 7 Mio. Euro oder 1,4 Prozent. Auch die unterlassene Registrierung ist bußgeldbewehrt.

    Was jetzt zu tun ist

    Wir empfehlen folgende Reihenfolge:

    • Betroffenheit prüfen und das Ergebnis dokumentieren, auch wenn es negativ ausfällt
    • Registrierung vorbereiten, die technischen Zugänge zum BSI-Portal früh beantragen
    • Meldeprozess mit Zuständigkeiten, Vorlagen und Erreichbarkeit rund um die Uhr aufsetzen
    • Gap-Analyse gegen § 30 BSIG, bestehende ISO-27001-Strukturen nutzen
    • Geschäftsleitung schulen und Beschlüsse zur Billigung der Maßnahmen protokollieren
    • Verträge mit IT-Dienstleistern um Sicherheits- und Meldepflichten ergänzen

    Fragen dazu? Wir prüfen Ihre Betroffenheit und begleiten Registrierung, Meldeprozess und Geschäftsleiterschulung. Nutzen Sie unsere Onlineberatung. Mehr unter NIS2, IT-Sicherheit und Cyberangriff.

  • GEMA gegen OpenAI: LG München I sieht Urheberrechtsverletzung durch Memorisierung

    Archivbeitrag – Rechtsstand November 2025. Das Urteil ist nicht rechtskräftig; parallel hat das OLG Hamburg im Dezember 2025 im LAION-Verfahren entschieden. Den aktuellen Stand finden Sie auf unserer Seite KI und Urheberrecht.

    Das Landgericht München I hat mit Urteil vom 11. November 2025 (Az. 42 O 14139/24) der Klage der GEMA gegen OpenAI in wesentlichen Teilen stattgegeben. Die 42. Zivilkammer sieht in der Speicherung von Liedtexten in den Sprachmodellen und in ihrer Wiedergabe in ChatGPT-Antworten Urheberrechtsverletzungen. Es ist das erste deutsche Urteil, das sich mit der Verantwortlichkeit eines Anbieters großer Sprachmodelle für memorisierte Trainingsinhalte befasst.

    Der Streit

    Die GEMA machte Rechte an Texten von neun bekannten deutschen Liedern geltend, darunter Titel von Herbert Grönemeyer, Reinhard Mey und Helene Fischer. Sie zeigte, dass ChatGPT auf einfache Eingaben hin die Liedtexte ganz oder nahezu wörtlich ausgab. OpenAI argumentierte, die Modelle speicherten keine Werke, sondern nur statistische Muster, und für die Ausgaben seien die Nutzer verantwortlich.

    Die Entscheidung

    Das Gericht folgte dieser Argumentation nicht:

    • Memorisierung ist Vervielfältigung: Wenn ein Modell Texte bei einfachen Eingaben reproduziert, sind sie im Modell gespeichert. Das ist eine Vervielfältigung im Sinne des Urheberrechts.
    • Ausgaben verletzen Rechte: Die Wiedergabe der Texte in den Antworten ist eine Vervielfältigung und öffentliche Zugänglichmachung. Verantwortlich ist OpenAI als Betreiber, nicht der Nutzer, der die Eingabe macht.
    • Keine Rechtfertigung durch Text und Data Mining: Die Schranke des § 44b UrhG deckt technische Vervielfältigungen beim Zusammenstellen der Trainingsdaten. Die Übernahme der Werke in das Modell selbst geht darüber hinaus. Auch § 57 UrhG (unwesentliches Beiwerk) greift nicht.
    • Keine konkludente Einwilligung: Das Training von KI-Modellen ist keine übliche Nutzung, mit der Rechteinhaber rechnen müssen.

    Das Gericht verurteilte OpenAI zur Unterlassung, zu Schadensersatz und zur Auskunft über Nutzung und Erträge. Auf das allgemeine Persönlichkeitsrecht gestützte Ansprüche wies es ab. Das Urteil ist nicht rechtskräftig.

    Einordnung

    Die Entscheidung unterscheidet sich vom LAION-Urteil des LG Hamburg aus dem September 2024. Dort ging es nur um die Erstellung eines Datensatzes für Forschungszwecke. Das Münchner Gericht befasst sich mit dem kommerziellen Modell selbst und dessen Ausgaben. Gegenstand waren allerdings nur Liedtexte, die das Modell nachweislich wörtlich ausgibt. Ob jedes Training mit geschützten Werken unzulässig ist, sagt das Urteil nicht.

    Was das für die Praxis bedeutet

    Für Anbieter von KI-Modellen steigt das Risiko, wenn Modelle geschützte Werke reproduzieren. Filter gegen die Ausgabe memorisierter Inhalte, Lizenzen mit Verwertungsgesellschaften und eine sorgfältige Beachtung von Nutzungsvorbehalten gewinnen an Gewicht. Seit August 2025 verlangt zudem der AI Act von Anbietern allgemeiner KI-Modelle eine Urheberrechtsstrategie.

    Unternehmen, die KI-Dienste einsetzen, sollten ihre Verträge mit Anbietern auf Freistellungen bei Urheberrechtsverletzungen prüfen und Beschäftigte anweisen, KI-Ausgaben vor der Veröffentlichung auf übernommene fremde Inhalte zu kontrollieren.

    Rechteinhaber erhalten mit dem Urteil eine Grundlage, um Auskunfts- und Vergütungsansprüche geltend zu machen. Die Beweisführung über reproduzierbare Ausgaben ist dafür der entscheidende Ansatz.

    Fragen dazu? Wir beraten Rechteinhaber, KI-Anbieter und Anwenderunternehmen. Nutzen Sie unsere Onlineberatung. Mehr unter KI und Urheberrecht, KI-Training und KI-Verträge.

  • BFSG ab 28. Juni 2025: Onlineshops müssen barrierefrei sein

    Archivbeitrag – Rechtsstand Juni 2025. Das BFSG gilt seit 28. Juni 2025; zu Reichweite und Durchsetzung haben sich seitdem Behördenpraxis und Rechtsprechung entwickelt. Den aktuellen Stand finden Sie auf unserer Seite Barrierefreiheit.

    Am 28. Juni 2025 tritt das Barrierefreiheitsstärkungsgesetz (BFSG) in Kraft. Es setzt den European Accessibility Act (Richtlinie (EU) 2019/882) um und verpflichtet erstmals auch private Unternehmen, bestimmte Produkte und Dienstleistungen barrierefrei anzubieten. Für den Onlinehandel ist die Änderung erheblich, denn Dienstleistungen im elektronischen Geschäftsverkehr zählen ausdrücklich dazu.

    Wer betroffen ist

    Das BFSG erfasst bestimmte Produkte, etwa Computer, Smartphones, E-Book-Lesegeräte und Selbstbedienungsterminals, sowie bestimmte Dienstleistungen, darunter Telekommunikationsdienste, Bankdienstleistungen, E-Books, Personenbeförderungsdienste und Dienstleistungen im elektronischen Geschäftsverkehr.

    Letztere sind Angebote über Websites und Apps, die auf individuelle Anfrage eines Verbrauchers zum Abschluss eines Verbrauchervertrags erbracht werden. Praktisch heißt das: Onlineshops, Buchungsstrecken, Bestellformulare und Ticketsysteme. Nicht erfasst sind reine Informations- oder Unternehmenswebsites ohne Vertragsschluss sowie Angebote, die sich ausschließlich an Unternehmen richten. Bei kostenlosen Angeboten ist die Rechtslage umstritten.

    Ausnahme für Kleinstunternehmen

    Kleinstunternehmen, die Dienstleistungen anbieten, sind von den Anforderungen ausgenommen. Kleinstunternehmen sind solche mit weniger als zehn Beschäftigten und einem Jahresumsatz oder einer Jahresbilanzsumme von höchstens 2 Mio. Euro. Beide Voraussetzungen müssen erfüllt sein. Für Hersteller und Händler von Produkten gilt die Ausnahme nicht in gleicher Weise. Teilzeitkräfte werden anteilig gezählt. Wer knapp unter den Schwellenwerten liegt, sollte die Zahlen dokumentieren und bei Wachstum rechtzeitig umplanen, denn die Ausnahme entfällt, sobald eine Schwelle überschritten ist.

    Was „barrierefrei“ konkret bedeutet

    Die Einzelheiten regelt die Verordnung zum BFSG. Maßstab in der Praxis ist die Norm EN 301 549, die auf die Web Content Accessibility Guidelines (WCAG 2.1) auf Stufe AA verweist. Wer diese Standards einhält, profitiert von einer Konformitätsvermutung. Typische Prüfpunkte sind Bedienbarkeit per Tastatur, ausreichende Kontraste, Textalternativen für Bilder, sinnvolle Überschriftenstruktur, verständliche Fehlermeldungen in Formularen und eine Bestellstrecke, die mit Screenreadern funktioniert.

    Zusätzlich müssen Anbieter in ihren Informationen, etwa auf einer eigenen Unterseite, erläutern, wie die Dienstleistung die Anforderungen erfüllt, und die zuständige Marktüberwachungsbehörde nennen.

    Aufsicht und Sanktionen

    Zuständig ist die gemeinsame Marktüberwachungsstelle der Länder mit Sitz in Magdeburg. Sie kann Prüfungen durchführen, Nachbesserungen anordnen und im äußersten Fall das Angebot untersagen. Bußgelder können bis zu 100.000 Euro betragen. Daneben ist mit Abmahnungen durch Wettbewerber und Verbände zu rechnen, weil die Anforderungen als Marktverhaltensregeln eingeordnet werden können.

    Was Sie jetzt vorrangig tun sollten

    Wer bis heute nicht begonnen hat, wird bis morgen nicht fertig. Sinnvoll ist eine Priorisierung:

    • Prüfen, ob das Angebot unter das BFSG fällt und ob die Kleinstunternehmen-Ausnahme greift
    • Bestellprozess, Warenkorb, Kontoerstellung und Formulare zuerst prüfen, weil dort Vertragsschlüsse scheitern
    • Erklärung zur Barrierefreiheit veröffentlichen und einen Kontaktweg für Rückmeldungen anbieten
    • Verträge mit Agenturen und Shop-Anbietern um Barrierefreiheitsanforderungen und Gewährleistung ergänzen
    • einen Zeitplan für die übrigen Mängel dokumentieren

    Fragen dazu? Wir prüfen, ob das BFSG für Sie gilt, und gestalten die Verträge mit Ihren Dienstleistern. Nutzen Sie unsere Onlineberatung. Mehr unter Barrierefreiheit, Onlineshop und Abmahnung.

  • AI Act ab 2. Februar 2025: Erste Verbote und Pflicht zur KI-Kompetenz

    Archivbeitrag – Rechtsstand Februar 2025. Der KI-Omnibus (VO (EU) 2026/1744) hat Art. 4 im Juli 2026 abgeschwächt: Statt ein bestimmtes Kompetenzniveau sicherzustellen, müssen Unternehmen nachweisbar Maßnahmen zur Förderung der KI-Kompetenz ergreifen. Den aktuellen Stand finden Sie auf unserer Seite KI-Kompetenz.

    Seit dem 2. Februar 2025 gelten die ersten Vorschriften der KI-Verordnung (EU) 2024/1689: die allgemeinen Bestimmungen, die Verbote bestimmter KI-Praktiken nach Art. 5 und die Pflicht zur KI-Kompetenz nach Art. 4. Die Bußgeldvorschriften greifen zwar erst ab August 2025, die Pflichten bestehen aber schon jetzt. Verstöße können zivilrechtlich und wettbewerbsrechtlich relevant werden.

    Verbotene KI-Praktiken nach Art. 5 AI Act

    Untersagt sind KI-Systeme, deren Risiko der Gesetzgeber für unannehmbar hält. Dazu gehören insbesondere:

    • unterschwellige oder absichtlich manipulative Techniken, die Verhalten wesentlich beeinflussen und erheblichen Schaden verursachen können
    • Ausnutzen der Schutzbedürftigkeit von Personen wegen Alter, Behinderung oder sozialer Lage
    • Social Scoring mit nachteiligen Folgen in fremden Zusammenhängen
    • Vorhersage von Straftaten allein auf Grundlage von Profiling oder Persönlichkeitsmerkmalen
    • ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachung für Gesichtserkennungsdatenbanken
    • Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen
    • biometrische Kategorisierung, um etwa auf politische Einstellung, Religion oder sexuelle Orientierung zu schließen
    • biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum zu Strafverfolgungszwecken, von engen Ausnahmen abgesehen

    Die Kommission hat Leitlinien zu den verbotenen Praktiken angekündigt. Für die meisten Unternehmen sind die Verbote kein Alltagsthema. Relevant werden sie bei Software zur Mitarbeiterüberwachung, bei Analyse von Stimme oder Mimik in Callcentern, bei Bewerbungsvideos und bei personalisierten Verkaufsstrategien, die Schwächen ausnutzen.

    KI-Kompetenz nach Art. 4: Das betrifft fast jedes Unternehmen

    Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen umgehen, über ausreichende KI-Kompetenz verfügen. Zu berücksichtigen sind technische Kenntnisse, Erfahrung, Ausbildung und der Einsatzkontext.

    Betreiber ist jedes Unternehmen, das KI-Systeme in eigener Verantwortung beruflich verwendet. Wer Mitarbeitern einen Chatbot, ein KI-Übersetzungstool oder KI-Funktionen in Office-Anwendungen bereitstellt, ist erfasst. Ein Zertifikat schreibt die Verordnung nicht vor, eine Dokumentation der Maßnahmen ist aber dringend zu empfehlen.

    So setzen wir die KI-Kompetenz in Mandaten um

    • Bestandsaufnahme: Welche KI-Systeme werden wo von wem genutzt, auch inoffiziell?
    • Rollen bilden: Gelegentliche Nutzer, Fachanwender, IT und Entscheider brauchen unterschiedliche Inhalte.
    • Schulungsinhalte festlegen: Funktionsweise und Grenzen von KI, typische Fehler, Datenschutz, Vertraulichkeit, Urheberrecht, Kennzeichnung
    • KI-Richtlinie erlassen: zugelassene Tools, verbotene Eingaben, Freigabeprozess für neue Anwendungen
    • Dokumentation: Teilnahme, Inhalte und Aktualisierung festhalten

    Bei Einführung einer KI-Richtlinie und bei Systemen, die Leistung oder Verhalten von Beschäftigten erfassen können, ist der Betriebsrat zu beteiligen.

    Ausblick

    Am 2. August 2025 folgen die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck sowie die Sanktionsvorschriften. Bis dahin muss Deutschland auch die zuständige Marktüberwachungsbehörde benennen.

    Fragen dazu? Wir unterstützen Sie bei KI-Richtlinie, Schulungskonzept und der Prüfung Ihrer KI-Anwendungen. Nutzen Sie unsere Onlineberatung. Mehr unter KI-Kompetenz, AI Act und KI im Personalbereich.

  • BGH zum Facebook-Scraping: Kontrollverlust allein kann Schaden sein

    Archivbeitrag – Rechtsstand 2024. Die Instanzgerichte haben die Vorgaben seitdem umgesetzt, der EuGH hat weitere Fragen zu Art. 82 DSGVO entschieden. Den aktuellen Stand finden Sie auf unserer Seite Bußgeld und Schadensersatz.

    Der Bundesgerichtshof hat mit Urteil vom 18. November 2024 (Az. VI ZR 10/24) im ersten Leitentscheidungsverfahren nach § 552b ZPO über eine der vielen Klagen gegen den Betreiber von Facebook nach dem sogenannten Scraping-Vorfall entschieden. Die Kernaussage: Schon der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten kann ein immaterieller Schaden im Sinne von Art. 82 Abs. 1 DSGVO sein. Weitere Nachteile, etwa ein Missbrauch der Daten oder besondere Ängste, müssen nicht hinzukommen.

    Der Hintergrund

    Unbekannte hatten 2018 und 2019 über die Kontakt-Import-Funktion von Facebook massenhaft Telefonnummern mit Nutzerprofilen verknüpft. Möglich war das, weil die Suchbarkeit über die Telefonnummer standardmäßig auf „alle“ eingestellt war. Im April 2021 wurden Datensätze von weit über 500 Millionen Nutzern weltweit im Internet veröffentlicht. In Deutschland folgten tausende Klagen, die Instanzgerichte entschieden sehr unterschiedlich.

    Was der BGH entschieden hat

    Der BGH folgt der Rechtsprechung des EuGH, wonach es keine Erheblichkeitsschwelle gibt. Ein Kontrollverlust ist für sich genommen ein Schaden. Der Kläger muss ihn aber nachweisen, also darlegen, dass gerade seine Daten betroffen sind. Kann er keinen Kontrollverlust nachweisen, reichen begründete Befürchtungen und Ängste nur, wenn er diese konkret darlegt.

    Zur Höhe gab der BGH dem Berufungsgericht eine Orientierung: Für den bloßen Kontrollverlust ohne weitere Folgen sei in einem Fall wie diesem ein Betrag in der Größenordnung von 100 Euro nicht zu beanstanden.

    Daneben hielt der BGH weitere Ansprüche für möglich: die Feststellung einer Ersatzpflicht für künftige Schäden und einen Unterlassungsanspruch gegen die Verwendung der Telefonnummer ohne wirksame Einwilligung. Die Sache ging zur neuen Verhandlung an das Oberlandesgericht zurück.

    Bedeutung für Unternehmen

    Der Betrag von 100 Euro wirkt gering. Bei Datenpannen mit vielen Betroffenen summiert er sich jedoch, und Prozesskosten und Verwaltungsaufwand kommen hinzu. Die Entscheidung erleichtert Klagen, weil Kläger keinen weiteren Nachteil darlegen müssen. Zu erwarten ist, dass Legal-Tech-Anbieter Massenverfahren nach Datenpannen künftig noch gezielter organisieren.

    Für die Verteidigung bleibt gleichwohl Raum. Zu prüfen ist stets, ob die Daten des Klägers tatsächlich betroffen sind, ob der Verstoß kausal war und ob vorgelegte Belege zur Betroffenheit belastbar sind. Zugleich setzt das Urteil Grenzen: Ohne konkreten Nachweis der eigenen Betroffenheit gibt es keinen Anspruch, und Beträge im Bereich von mehreren hundert oder tausend Euro für den bloßen Kontrollverlust sind nach dieser Linie kaum zu begründen.

    Was jetzt zu tun ist

    • datenschutzfreundliche Voreinstellungen nach Art. 25 Abs. 2 DSGVO überprüfen, insbesondere Such- und Importfunktionen
    • Schnittstellen und Funktionen gegen automatisiertes Auslesen absichern, etwa durch Rate-Limits
    • bei einer Datenpanne Meldung nach Art. 33 DSGVO und Benachrichtigung nach Art. 34 DSGVO sauber dokumentieren
    • für mögliche Massenverfahren eine Verteidigungsstrategie und Prozessbausteine vorbereiten

    Fragen dazu? Wir vertreten Unternehmen und Betroffene in Verfahren nach Art. 82 DSGVO. Nutzen Sie unsere Onlineberatung. Mehr unter Bußgeld und Schadensersatz, Datenpanne und Datenschutz.

  • LG Hamburg zu LAION: KI-Trainingsdatensatz durch Text und Data Mining gedeckt

    Archivbeitrag – Rechtsstand 2024. Das OLG Hamburg hat die Berufung am 10. Dezember 2025 entschieden (5 U 104/24), beim BGH ist ein Verfahren anhängig. Den aktuellen Stand finden Sie auf unserer Seite LAION-Urteil.

    Das Landgericht Hamburg hat mit Urteil vom 27. September 2024 (Az. 310 O 227/23) die Klage des Fotografen Robert Kneschke gegen den gemeinnützigen Verein LAION abgewiesen. Es ist die erste deutsche Gerichtsentscheidung, die sich mit der Erstellung von Trainingsdatensätzen für KI befasst. Das Gericht hält die Vervielfältigung eines Fotos für den Datensatz LAION-5B für zulässig, weil sie als Text und Data Mining für Zwecke der wissenschaftlichen Forschung erlaubt ist.

    Der Sachverhalt

    LAION stellt Datensätze aus Bild-Text-Paaren bereit, die zum Training von Bildgeneratoren verwendet werden. Für den Datensatz lud LAION Bilder von Webseiten herunter, darunter ein Foto des Klägers von einer Bildagentur, und prüfte mit einer Software, ob Bild und Beschreibung zueinander passen. Die Nutzungsbedingungen der Bildagentur enthielten einen Vorbehalt gegen automatisierte Programme. Der Kläger verlangte Unterlassung.

    Die Begründung

    Das Gericht prüfte mehrere Schranken des Urheberrechts:

    • § 44a UrhG greift nicht, weil die Vervielfältigung weder vorübergehend noch begleitend war.
    • § 60d UrhG greift. LAION betreibt wissenschaftliche Forschung, auch wenn der Datensatz am Ende von kommerziellen KI-Unternehmen genutzt werden kann. Der Verein handelt nicht kommerziell, weil er den Datensatz kostenlos veröffentlicht. Dass ein Unternehmen bevorzugten Zugang zu den Ergebnissen hat, hatte der Kläger nicht dargelegt.
    • Ob daneben § 44b UrhG eingreift, ließ die Kammer offen. Das Herunterladen und Analysieren der Bilder kann nach ihrer Ansicht Text und Data Mining sein.

    Interessant sind Ausführungen, die das Urteil nicht tragen: Ein Nutzungsvorbehalt in natürlicher Sprache, etwa in AGB, könne „maschinenlesbar“ im Sinne von § 44b Abs. 3 UrhG sein. Das hänge vom Stand der Technik ab. Die Kammer verweist dabei auf die Pflicht von Anbietern von KI-Modellen nach Art. 53 Abs. 1 lit. c KI-Verordnung, Nutzungsvorbehalte zu beachten.

    Was das Urteil nicht entscheidet

    Das Urteil betrifft nur die Erstellung des Datensatzes durch eine Forschungseinrichtung. Ob das eigentliche Training eines KI-Modells durch ein kommerzielles Unternehmen zulässig ist, war nicht Gegenstand. Ebenso wenig ging es um die Frage, ob KI-generierte Ergebnisse Rechte verletzen. Die Entscheidung ist nicht rechtskräftig, eine Berufung zum Oberlandesgericht ist möglich.

    Was Rechteinhaber jetzt tun sollten

    Wer nicht möchte, dass seine Werke für Text und Data Mining verwendet werden, sollte den Nutzungsvorbehalt doppelt erklären: in den Nutzungsbedingungen und technisch, etwa in der robots.txt oder über einschlägige Protokolle. Gegen Forschungseinrichtungen nach § 60d UrhG hilft ein Vorbehalt allerdings nicht.

    Was KI-Entwickler beachten sollten

    Für kommerzielle Anbieter bleibt § 44b UrhG die maßgebliche Schranke. Wer Trainingsdaten sammelt, sollte Nutzungsvorbehalte systematisch erfassen und dokumentieren, auch solche in natürlicher Sprache. Ab August 2025 verlangt der AI Act von Anbietern allgemeiner KI-Modelle ohnehin eine Strategie zur Einhaltung des Urheberrechts.

    Fragen dazu? Wir beraten Rechteinhaber und KI-Entwickler zu Trainingsdaten. Nutzen Sie unsere Onlineberatung. Mehr unter KI-Training, KI und Urheberrecht und LAION-Urteil.

  • AI Act in Kraft: Die KI-Verordnung gilt ab 1. August 2024 in Stufen

    Archivbeitrag – Rechtsstand 2024. Der KI-Omnibus (VO (EU) 2026/1744) hat seit Juli 2026 mehrere Fristen verschoben, Hochrisiko-Pflichten nach Anhang III gelten nun ab 2. Dezember 2027. Den aktuellen Stand finden Sie auf unserer Seite AI Act.

    Heute tritt die Verordnung (EU) 2024/1689 über künstliche Intelligenz in Kraft, kurz AI Act oder KI-Verordnung. Sie wurde am 12. Juli 2024 im Amtsblatt der EU veröffentlicht und ist das erste horizontale KI-Gesetz eines großen Wirtschaftsraums. Die Pflichten greifen nicht sofort, sondern gestaffelt bis 2027. Für Unternehmen beginnt damit die Umsetzungsphase.

    Für wen die KI-Verordnung gilt

    Der AI Act unterscheidet vor allem zwischen Anbietern, die ein KI-System entwickeln oder unter eigenem Namen in Verkehr bringen, und Betreibern, die ein KI-System in eigener Verantwortung beruflich einsetzen. Er gilt auch für Anbieter außerhalb der EU, wenn ihre Systeme hier in Verkehr gebracht werden oder ihre Ergebnisse in der EU verwendet werden. Rein private Nutzung ist ausgenommen.

    Der risikobasierte Ansatz

    • Verbotene Praktiken: etwa Social Scoring, manipulative Techniken, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, ungezieltes Auslesen von Gesichtsbildern aus dem Internet für Gesichtserkennungsdatenbanken
    • Hochrisiko-KI: Sicherheitsbauteile regulierter Produkte sowie Systeme in sensiblen Bereichen wie Beschäftigung, Bildung, Kreditwürdigkeitsprüfung und kritische Infrastruktur
    • Transparenzpflichten: Hinweis bei Chatbots, Kennzeichnung von Deepfakes und maschinenlesbare Markierung KI-generierter Inhalte
    • Minimales Risiko: keine besonderen Pflichten, freiwillige Verhaltenskodizes

    Eigene Regeln gelten für KI-Modelle mit allgemeinem Verwendungszweck, also große Sprach- und Bildmodelle.

    Die Fristen im Überblick

    • 2. Februar 2025: Verbote nach Art. 5 und Pflicht zur KI-Kompetenz nach Art. 4
    • 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, Governance und Sanktionen
    • 2. August 2026: die meisten übrigen Vorschriften, insbesondere für Hochrisiko-Systeme nach Anhang III und die Transparenzpflichten
    • 2. August 2027: Hochrisiko-Systeme, die Sicherheitsbauteil eines Produkts nach Anhang I sind

    KI-Kompetenz: Pflicht für fast alle Unternehmen

    Leicht übersehen wird Art. 4. Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Das gilt unabhängig vom Risiko des Systems. Wer seinen Beschäftigten Chatbots, Übersetzungstools oder KI-Assistenten im Office-Paket zur Verfügung stellt, ist Betreiber und muss ab Februar 2025 tätig werden.

    Sanktionen

    Verstöße gegen die Verbote können mit bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden, andere Verstöße mit bis zu 15 Mio. Euro oder 3 Prozent. Für KMU gelten niedrigere Obergrenzen.

    Was jetzt zu tun ist

    Wir empfehlen, bis Ende 2024 drei Schritte zu gehen:

    • Inventar aller KI-Systeme, die das Unternehmen entwickelt, vertreibt oder einsetzt, einschließlich KI-Funktionen in bestehender Software
    • Einordnung der eigenen Rolle und der Risikoklasse je System, Prüfung auf verbotene Praktiken
    • Schulungskonzept für die KI-Kompetenz und interne KI-Richtlinie

    Hochrisiko-Anbieter sollten zusätzlich mit Risikomanagement, technischer Dokumentation und Konformitätsbewertung beginnen. Die harmonisierten Normen und Leitlinien der Kommission stehen noch aus.

    Fragen dazu? Wir begleiten Sie bei der Umsetzung der KI-Verordnung. Nutzen Sie unsere Onlineberatung. Mehr unter AI Act, KI im Unternehmen und KI-Kompetenz.

  • Digitale-Dienste-Gesetz in Kraft: TMG ist Geschichte, aus TTDSG wird TDDDG

    Archivbeitrag – Rechtsstand 2024. DDG und TDDDG gelten weiterhin; Rechtsprechung und Behördenpraxis zum DSA haben sich seitdem fortentwickelt. Den aktuellen Stand finden Sie auf unserer Seite Plattformrecht.

    Mit dem Inkrafttreten des Digitale-Dienste-Gesetzes (DDG) im Mai 2024 ist das Telemediengesetz (TMG) außer Kraft getreten. Das DDG passt das deutsche Recht an den Digital Services Act (DSA) an, der seit dem 17. Februar 2024 vollständig gilt. Zugleich wurde das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) in Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) umbenannt. Aus „Telemedien“ werden im Bundesrecht „digitale Dienste“.

    Warum das TMG weichen musste

    Der DSA regelt als EU-Verordnung die Verantwortlichkeit von Vermittlungsdiensten und ihre Sorgfaltspflichten unmittelbar. Nationale Vorschriften mit gleichem Regelungsgegenstand darf es daneben nicht geben. Die Haftungsprivilegien für Zugangs-, Caching- und Hostingdienste, die bisher in den §§ 7 bis 10 TMG standen, ergeben sich nun direkt aus den Art. 4 bis 6 DSA. Das DDG enthält vor allem das, was der DSA den Mitgliedstaaten überlässt: Zuständigkeiten, Verfahren und Bußgelder.

    Bundesnetzagentur als Koordinator für digitale Dienste

    Zuständige Behörde und Koordinator für digitale Dienste in Deutschland ist die Bundesnetzagentur. Bei ihr können Nutzer Beschwerden über Verstöße gegen den DSA einreichen. Für einzelne Bereiche sind weitere Behörden zuständig, etwa für den Jugendmedienschutz. Für Verstöße gegen Pflichten aus dem DSA sieht das DDG Bußgelder vor, die sich am Rahmen des DSA orientieren.

    Impressum: Jetzt § 5 DDG

    Für die meisten Unternehmen ist die Änderung im Alltag zunächst redaktionell: Die Impressumspflicht steht nicht mehr in § 5 TMG, sondern in § 5 DDG. Inhaltlich hat sich an den Pflichtangaben nichts Wesentliches geändert. Wer in seinem Impressum noch auf das TMG verweist, sollte den Verweis trotzdem anpassen. Ein veralteter Normverweis ist nach unserer Einschätzung kein großes Abmahnrisiko, wirkt aber nachlässig und kann in Verbindung mit anderen Mängeln Angriffsfläche bieten.

    Cookies: § 25 TDDDG

    Die Regeln zu Cookies und dem Zugriff auf Endgeräte bleiben inhaltlich unverändert, heißen aber nun § 25 TDDDG. Datenschutzerklärungen und Cookie-Banner, die auf § 25 TTDSG verweisen, sollten aktualisiert werden. Gleiches gilt für Verträge mit Dienstleistern, in denen das TMG oder das TTDSG zitiert wird.

    Checkliste für Website- und Plattformbetreiber

    • Impressum: Verweis auf § 5 DDG statt § 5 TMG
    • Datenschutzerklärung und Consent-Banner: Verweise auf TDDDG statt TTDSG
    • AGB, Nutzungsbedingungen und Musterverträge auf TMG-Verweise durchsuchen
    • als Hostingdienst oder Plattform: DSA-Pflichten prüfen, insbesondere Melde- und Abhilfeverfahren, Begründung von Moderationsentscheidungen und Kontaktstellen
    • Transparenzberichte, soweit nach DSA erforderlich, vorbereiten

    Was bleibt

    Viele Begriffe aus der bisherigen Rechtsprechung zum TMG, etwa zur Störerhaftung oder zu Prüfpflichten nach Hinweis, sind nicht hinfällig. Sie werden künftig anhand des DSA neu zu bewerten sein. Bis sich eine gefestigte Rechtsprechung entwickelt, bleiben einige Fragen offen. Das betrifft vor allem die Frage, wie weit Plattformen nach einem konkreten Hinweis auch kerngleiche Rechtsverletzungen verhindern müssen. Wer Inhalte Dritter hostet, sollte Hinweise deshalb weiterhin zügig prüfen und die Entscheidung dokumentieren. Bei Unterlassungsansprüchen gegen Plattformen und bei einstweiligen Verfügungen beraten wir sowohl Betroffene als auch Diensteanbieter.

    Fragen dazu? Wir prüfen Impressum, Datenschutzerklärung und DSA-Pflichten Ihres Angebots. Nutzen Sie unsere Onlineberatung. Mehr unter Plattformrecht, Digital Services Act und Telemedienrecht.

  • Data Act im Amtsblatt: Neue Datenzugangsrechte ab September 2025

    Archivbeitrag – Rechtsstand 2023. Der Data Act gilt seit 12. September 2025; in Deutschland ist seit 30. Mai 2026 das Data-Act-Durchführungsgesetz mit der Bundesnetzagentur als Aufsicht in Kraft. Den aktuellen Stand finden Sie auf unserer Seite Data Act.

    Am 22. Dezember 2023 ist die Verordnung (EU) 2023/2854 über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung im Amtsblatt der EU veröffentlicht worden, besser bekannt als Data Act. Sie tritt am 11. Januar 2024 in Kraft und gilt im Wesentlichen ab dem 12. September 2025. Für Hersteller vernetzter Produkte, Anbieter digitaler Dienste und Cloud-Anbieter beginnt damit eine Übergangszeit von gut 20 Monaten.

    Datenzugang bei vernetzten Produkten

    Kern des Data Act ist ein Anspruch der Nutzer vernetzter Produkte auf die Daten, die bei der Nutzung entstehen. Erfasst sind Maschinen, Fahrzeuge, Smart-Home-Geräte, Medizin- und Agrartechnik sowie verbundene Dienste, etwa Steuerungs-Apps. Nutzer können verlangen, dass der Dateninhaber ihnen die verfügbaren Daten samt Metadaten unverzüglich, kostenlos und maschinenlesbar bereitstellt (Art. 4). Sie können außerdem die Weitergabe an einen Dritten verlangen, zum Beispiel an einen unabhängigen Wartungsdienstleister (Art. 5).

    Für Produkte, die ab dem 12. September 2026 in Verkehr gebracht werden, kommt die Pflicht hinzu, den Datenzugang bereits im Design vorzusehen (Art. 3 Abs. 1). Wer heute Produkte entwickelt, die 2026 auf den Markt kommen, muss das jetzt einplanen.

    Die Daten gehören nicht mehr selbstverständlich dem Hersteller

    Eine der größten praktischen Folgen: Der Dateninhaber darf nicht personenbezogene Produktdaten nur noch auf Grundlage eines Vertrags mit dem Nutzer verwenden. Viele Hersteller werten Nutzungsdaten heute ohne ausdrückliche Vereinbarung für Produktentwicklung oder neue Geschäftsmodelle aus. Das braucht künftig eine Datenlizenz mit dem Kunden.

    Unfaire Klauseln in B2B-Datenverträgen

    Art. 13 führt eine Inhaltskontrolle für Klauseln über Datenzugang und Datennutzung ein, die ein Unternehmen einem anderen einseitig auferlegt. Unwirksam ist etwa ein Haftungsausschluss für Vorsatz und grobe Fahrlässigkeit. Weitere Klauseln werden als unfair vermutet. Das betrifft Liefer-, Lizenz- und Wartungsverträge ebenso wie Einkaufsbedingungen.

    Cloud-Wechsel

    Anbieter von Datenverarbeitungsdiensten, also IaaS, PaaS und SaaS, müssen ihren Kunden den Wechsel zu einem anderen Anbieter ermöglichen. Die Kündigungsfrist darf höchstens zwei Monate betragen, die Datenübertragung muss regelmäßig innerhalb von 30 Tagen erfolgen. Wechselentgelte sind zunächst auf die Kosten begrenzt und entfallen ab dem 12. Januar 2027 ganz.

    Geschäftsgeheimnisse

    Hersteller befürchten, über den Datenzugang Know-how preiszugeben. Der Data Act sieht vor, dass Geschäftsgeheimnisse nur offengelegt werden müssen, wenn zuvor Schutzmaßnahmen vereinbart sind. In Ausnahmefällen darf die Herausgabe verweigert werden. Das setzt voraus, dass Geheimnisse im Sinne des GeschGehG überhaupt dokumentiert und geschützt sind.

    Was jetzt zu tun ist

    • Produkte und Dienste daraufhin prüfen, ob sie unter den Data Act fallen
    • Datenflüsse und Datenkategorien erfassen
    • Nutzungsbedingungen um eine Datenlizenz und Informationen zum Datenzugang ergänzen
    • B2B-Musterverträge an Art. 13 ausrichten
    • als Cloud-Anbieter Wechselprozesse und Vertragsklauseln vorbereiten

    Offen sind noch die nationalen Durchsetzungsregeln und die zuständige Behörde in Deutschland.

    Fragen dazu? Wir beraten Hersteller, Nutzer und Cloud-Anbieter zum Data Act. Nutzen Sie unsere Onlineberatung. Mehr unter Data Act, Cloud und IoT-Recht.

  • EuGH zum SCHUFA-Score: Scoring kann automatisierte Entscheidung sein

    Archivbeitrag – Rechtsstand 2023. Der Gesetzgeber hat reagiert: § 31 BDSG wird am 20. November 2026 durch den neuen § 37a BDSG zu Scoring und Bonitätsprüfung ersetzt; für KI-gestützte Kreditprüfungen gilt zudem der AI Act. Den aktuellen Stand finden Sie auf unserer Seite Datenschutz.

    Mit Urteil vom 7. Dezember 2023 (Rs. C-634/21) hat der Gerichtshof der Europäischen Union entschieden, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswerts durch eine Auskunftei eine automatisierte Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO sein kann. Voraussetzung ist, dass ein Dritter, etwa eine Bank, seine Entscheidung über Begründung, Durchführung oder Beendigung eines Vertrags maßgeblich auf diesen Wert stützt. Das Urteil betrifft weit mehr als die SCHUFA.

    Der Ausgangsfall

    Hintergrund ist ein Verfahren einer Verbraucherin, der ein Vertrag mit einem Dritten verweigert worden war, nachdem dieser einen ungünstigen Scorewert der SCHUFA erhalten hatte. Sie verlangte von der Auskunftei Auskunft über die gespeicherten Daten und die Berechnung sowie die Löschung aus ihrer Sicht falscher Einträge. Ein deutsches Verwaltungsgericht legte dem EuGH die Frage vor, ob schon die Erstellung des Scores unter Art. 22 DSGVO fällt.

    Was der EuGH entschieden hat

    Der EuGH legt den Begriff der Entscheidung weit aus. Er sieht eine Rechtsschutzlücke, wenn man nur auf die abschließende Entscheidung der Bank abstellt: Die Auskunftei wäre dann nicht an Art. 22 gebunden, die Bank könnte über die Berechnung keine Auskunft geben, weil sie die Logik nicht kennt. Deshalb ist bereits das Scoring erfasst, wenn der Score für die Entscheidung des Dritten maßgeblich ist.

    Fällt das Scoring unter Art. 22 Abs. 1 DSGVO, ist es grundsätzlich verboten. Es ist nur zulässig, wenn eine der Ausnahmen des Art. 22 Abs. 2 greift: Erforderlichkeit für einen Vertrag, ausdrückliche Einwilligung oder eine Rechtsgrundlage im Unionsrecht oder im Recht der Mitgliedstaaten, die angemessene Schutzmaßnahmen vorsieht.

    Problem § 31 BDSG

    Die deutsche Regelung zum Scoring in § 31 BDSG kommt als solche Rechtsgrundlage in Betracht. Der EuGH äußert jedoch durchgreifende Bedenken, ob die Vorschrift mit der DSGVO vereinbar ist, weil sie weitgehend Fragen des Verbraucherschutzes regelt und die Grenzen der Öffnungsklausel möglicherweise überschreitet. Die abschließende Prüfung obliegt dem vorlegenden Gericht. Wir rechnen damit, dass der Gesetzgeber nachbessern muss.

    Folgen für Auskunfteien, Banken und andere Anwender

    Betroffen sind nicht nur Auskunfteien. Das Urteil lässt sich auf alle Konstellationen übertragen, in denen ein Dienstleister automatisiert einen Wert berechnet, auf den ein anderes Unternehmen seine Entscheidung im Wesentlichen stützt: Betrugsprävention im Onlinehandel, Bewerberauswahl durch HR-Software, Risikoprüfung bei Versicherungen oder Mietinteressenten.

    Für die Praxis heißt das:

    • Prüfen, ob ein eingesetzter oder angebotener Score für Entscheidungen maßgeblich ist
    • eine tragfähige Ausnahme nach Art. 22 Abs. 2 DSGVO dokumentieren
    • menschliche Überprüfung ermöglichen, das Recht auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung sicherstellen
    • Auskunftsprozesse nach Art. 15 Abs. 1 lit. h DSGVO um aussagekräftige Informationen über die involvierte Logik ergänzen

    Unternehmen, die eigene Scoring-Modelle oder KI-Systeme für Kredit-, Bewerber- oder Kundenentscheidungen einsetzen, sollten ihre Prozesse jetzt überprüfen. Der Grat zwischen bloßer Unterstützung und maßgeblicher Grundlage einer Entscheidung ist schmal.

    Fragen dazu? Wir prüfen Ihre Scoring- und Entscheidungsprozesse. Nutzen Sie unsere Onlineberatung. Mehr unter Datenschutz, KI im Personalbereich und Datenschutz-Folgenabschätzung.