Compliance – Softwarerecht

KI-Verordnung: EU reguliert Einsatz künstlicher Intelligenz

KI-Verordnung (KI-VO, auch AI-Act): Die EU möchte Entwicklung und Einsatz künstlicher Intelligenz regulieren. Hierzu liegt inzwischen ein Vorschlag für eine Verordnung über ein europäisches Konzept für Künstliche Intelligenz vor, wobei aus meiner Sicht zuvorderst besonders spannend die Frage sein dürfte, was man überhaupt unter künstlicher Intelligenz verstehen möchte.

Im Übrigen ist es noch recht früh für eine umfassende Übersicht der KI-Verordnung. Wichtig ist: Es soll einen Katalog absolut verbotener Einsatz-Szenarien von KI geben, es soll eine „High-Risk“-KI geben, für die besondere Vorgaben gelten; darüber hinaus gibt es Transparenzpflichten bei eingesetzter KI.

Update zum Stand der KI-Verordnung: Am 19.10.2022 hat die (tschechische) EU-Ratspräsidentschaft einen neuen Kompromiss vorgeschlagen, Ziel ist gegen Ende des Jahres 2022 eine Einigung für ein „KI-Gesetz“ zu finden. In dem 8. Vorschlag werden wesentliche Streitpunkte aufgegriffen. Am 11.5. wurde dann ein Kompromissvorschlag gefunden und beschlossen (der aber noch durch die weitere Gesetzgebung muss). Mehr dazu unten im Abschnitt „laufende Updates“.

Hinweis: Hier geht es um den Entwurf einer Verordnung zur Regulierung von KI („KI-Verordnung“, auch „AI Act“). Dies ist nicht zu verwechseln mit dem zugleich laufenden Versuch der EU, zivilrechtliche Haftungsregelung für künstliche Intelligenz aufzustellen, dazu siehe beispielsweise den zwischenzeitlich beschlossenen Text hier.

Digitale Produkte

Digitale Produkte werden in Deutschland nun rechtlich eigenständig geregelt. Hintergrund ist, dass das deutsche Recht auf Basis zweier EU-Richtlinien aus seiner überwiegend analogen Zeit in eine moderne, digitale Form gezwungen wurde.

Softwareentwicklung unter IT-rechtlicher Betrachtung

Bei der Entwicklung von Software („Softwareentwicklung“) und deren kommerzieller Nutzung sind einige rechtliche Aspekte zu beachten, um mögliche rechtliche Probleme zu vermeiden.

In den letzten Jahren meiner Tätigkeit haben sich dabei immer wieder die gleichen Baustellen herauskristallisiert, die von den Softwareentwicklern teils unterschätzt, teils ignoriert werden. Dabei leidet die hiesige IT-Startup-Branche unter etwas, was im Ausland in dieser krassen Form seltener zu beobachten ist: die völlige Verweigerung juristischen Beistands. Die Vorstellung, im Budget einen festen Anteil für laufende Rechtsberatungskosten einzuplanen, überfordert viele – und führt am Ende zu unnötigen Mehrkosten.

Scheinselbstständigkeit eines Programmierers

Beim LSG Baden-Württemberg (L 8 BA 1374/20) ging es um die Frage der Scheinselbstständigkeit eines Softwareentwicklers. Dabei konnte das Landessozialgericht hervorheben, dass bei diesem Beruf ein durchaus gewichtiges Argument die Frage sein kann, ob Spezialkenntnisse – etwa hinsichtlich einer speziellen Programmiersprache – vorhanden sind.

Grundsätzlich gilt bekanntlich, dass kein Indiz für eine selbstständige Tätigkeit ist, wenn in der vertraglichen Vereinbarung keine Arbeitnehmerschutzrechte wie Lohnfortzahlung im Krankheitsfall oder Urlaubsansprüche geregelt sind. Denn solche Vertragsgestaltungen sind als typisch anzusehen, wenn beide Seiten eine selbstständige freie Mitarbeit wollten. Ebenso ist der Gedanke der (hier fehlenden) Schutzbedürftigkeit des in Betracht kommenden Personenkreises kein Merkmal dafür, ob es sich um eine abhängige Beschäftigung oder selbstständige Tätigkeit handelt.

Ein gewichtiges Indiz für eine selbstständige Tätigkeit ist dagegen das mit dem Einsatz eigenen Kapitals verbundene Unternehmerrisiko. Maßgebliches Kriterium für ein solches Risiko eines Selbstständigen ist, ob eigenes Kapital oder die eigene Arbeitskraft auch mit der Gefahr des Verlustes eingesetzt wird, der Erfolg des Einsatzes der tatsächlichen und sächlichen Mittel also ungewiss ist. Hierbei ist mit dem LSG dann zu beachten, dass es sich bei dem Bereich der Softwareentwicklung um eine betriebsmittelarme Dienstleistungsbranche handelt, die im Wesentlichen durch den bloßen Einsatz von Know-how geprägt wird. In dem Zusammenhang macht das LSG deutlich, dass etwa Spezialkenntnisse dafür sprechen, dass man sich nicht an einen einzelnen Arbeitgeber heften möchte.

Rechtliche Implikationen aus der Log4J / Log4Shell Lücke

Eine der sicherlich herausragendsten Sicherheitslücken in diesem Jahrzehnt ist schon jetzt die Log4Shell-Sicherheitslücke, die zunehmend massiv ausgenutzt wird – ich hatte, wie üblich, auf LinkedIn frühzeitig dazu berichtet. Nun langsam, nachdem die Lücke bekannt ist und auch nicht nur in Teilen sondern massiv ausgenutzt werden kann und wird, stellt sich natürlich die Frage, was an rechtlichen Konsequenzen damit verbunden ist. Wie immer gilt: Es kommt drauf an.

Tatsächlich zeigt sich, dass die Lücke einige – vorhersehbare – Konsequenzen hat; viel interessanter ist, dass sich Datenschutzbehörden bereits postieren und auch anlasslose Kontrollen angekündigt haben. Dies nicht nur für Log4J speziell, sondern für Ransomware allgemein.

Neues Kaufrecht: Sicherheit als Mangel

Es tut sich etwas im Vertragsrecht in Sachen Sicherheit – zukünftig wird die Sicherheit ein zentrales Element sein bei der Frage, ob ein Mangel vorliegt, gleich ob Software (jedenfalls gegenüber Verbrauchern) oder Kaufgegenstand.

Denn: Mit dem neuen Kaufrecht zum 1.1.2022 ändert sich auch die Frage, wann ein Sachmangel vorliegt. Zum einen versucht der Gesetzgeber zwar am einheitlichen Sachmangel-Begriff festzuhalten – zum anderen aber gibt es ab dem 1.1.22 dann an drei verschiedenen Stellen einen unterschiedlichen Begriff des Sachmangels.

Deutsche Unternehmen setzen zunehmend auf Opensource

Eine Umfrage des BITKOM ergab, dass 71 Prozent befragter Unternehmen (ab 20 Mitarbeiter) Opensource-Software nutzen. Dabei sind 67 Prozent „interessiert und aufgeschlossen“ sowie ein weiteres Viertel noch unentschieden – jedenfalls gerade mal 7 % sehen sich „grundsätzlich kritisch oder ablehnend“. Und dies war nicht die einzige Analyse im September 2021.

Abmahnung: Gründe für Abmahnungen von Online-Shops beim Verkauf im Internet

Beim Verkaufen im Internet gibt es eine Vielzahl von Fallstricken, die am Ende zu einer Abmahnung führen können. In diesem Beitrag stelle ich eine Auswahl typischer Problemfälle dar, um einen Überblick über „Abmahnfallen“ zu geben.

Der Beitrag soll nicht vollständig oder abschließend sein, es geht wirklich nur um einen Überblick der Themen, die aus meiner Sicht wichtig sind. Bei vielen Punkten gibt es Verweisungen auf weitere vorhandene Inhalte zu Abmahnungen beim Verkauf im Internet.

Bundesjustizministerium zu den weiteren Entwicklungen im IT-Sicherheitsrecht – Ausblick auf die Gesetzgebung im Cybercrime 2019

Im Nachgang zu dem „Doxing-Skandal 2018/2019“ hat das Bundesjustizministerium im Januar 2019 ein Thesenpapier veröffentlicht (unten als Download), dem weitere Maßnahmen einer eventuellen zukünftigen Gesetzgebung im Bereich IT-Sicherheit zu entnehmen sind. Dies sind in aller Kürze:

IT-Sicherheit mit Updateverpflichtung: Es soll EU-weit einheitliche und rechtlich verbindliche Standards geben, die den Herstellern und Diensteanbietern klare Anforderungen zur IT-Sicherheit auferlegen. Diese Standards sollten über die gesetzlichen Mindestanforderungen hinausgehen und eine mehrjährige Update-Verpflichtung des Herstellers enthalten.
Produkthaftung: Auch fehlerhafte Software soll unter das Produkthaftungsregime fallen und mangelnde IT-Sicherheit muss einen Produktfehler begründen. (Hinweis: Grundsätzlich gilt die Produkthaftung auch jetzt bei Software)
Stärkung im Datenschutz: Es soll eine Stärkung der Datenschutzbehörden erfolgen (fraglich wie, es geht um Landesbehörden, wo der Bund nicht wirklich eingreifen kann). Weiterhin soll ein verbesserter Schutz in die EU-ePrivacy-Verordnung (was auch skeptisch gesehen werden kann, nach meiner Wahrnehmung blockt genau hier die deutsche Regierung?).
Wettbewerbsrecht: Es soll ausdrücklich die Anwendbarkeit des Gesetzes gegen den unlauteren Wettbewerb auf Datenschutzverstöße klargestellt werden: „Wenn Daten von Verbraucherinnen und Verbrauchern missbräuchlich verwendet wurden und dadurch Gewinne erzielt werden, dann dürfen diese nicht bei dem bleiben, der das Recht verletzt hat.“. Hier wird fraglich sein, ob man wenigstens so klug ist, nur bestimmte Verstöße/Klauseln dem UWG zu unterstellen – oder ob am Ende dann doch massenhaft Abmahnungen wegen Formfehler in Datenschutzerklärungen auf Webseiten folgen können. Wichtig ist auch, dass man über das Instrument der „Gewinnabschöpfungsklage“ nachdenkt.
Online-Dienste in die Pflicht nehmen: Eher unscheinbar ist der Satz „Ein gehacktes Nutzerkonto bei einem Online-Dienst muss schnell und unkompliziert gesperrt werden können.“. Gemeint ist aber wohl, dass Online-Dienste klare Ansprechpartner mit kurzen Reaktionszeiten bereit halten müssen. Es bleibt abzuwarten ob man das wirklich angeht in einer Zeit, in der es als Erfolg verbucht werden muss, dass man bei Google überhaupt mal Mails liest.
Long Term Support: Ich bin mir nicht sicher, man schreibt unter dem Stichpunkt nachhaltige Sicherheit „Durch das Auslaufen des Software-Supports werden zum Teil Neuanschaffungen erzwungen“ und möchte erreichen, dass Software länger gepflegt wird. Ich vermute, dass für bestimmte Bereiche eine Art LTS begründet werden soll, wobei kritische Systeme schon heute langjährige Pflegepakete haben (und man oben ja schon die Updateverpflichtung angesprochen hat). Hier ist mir nicht ganz klar, wo man hin will … durch den pauschalen Verweis auf die EU könnte es sich aber auch mehr um einen unkonkreten Fülltext handeln.

Für mich zeigt sich eines deutlich mit der nunmehrigen Liste des BMJV: So unverbindlich es klingt, darf man wohl davon ausgehen, dass wir zeitnah ein IT-Sicherheitsgesetz 2 erleben werden. Dieses dürfte sich auf Online-Dienste und Softwareregeln konzentrieren. Weiterhin wird der deutsche Gesetzgeber – das macht er nun mal am liebsten – versuchen die Sanktionsschraube zu drehen. Schon fast unweigerlich dürften daher Klarstellungen im UWG zu erwarten sein, damit DSGVO-Verstöße dann definitiv erfasst sind. Datenschutzrecht und Softwarerecht werden den Bereich der IT-Sicherheit möglicherweise beherrschen, jedenfalls verstehe ich so die hier vorgenommenen Ankündigungen.

Anspruch auf Updates: IT-Sicherheit von Software & Hardware als Faktor der Produkthaftung

Gibt es einen Anspruch auf Updates: Auf Spiegel-Online ist ein bemerkenswerter Beitrag zu lesen, der sich mit der IT-Sicherheit von Herzschrittmachern beschäftigt. Dort wird angesprochen, dass die IT-Sicherheit von Herzschrittmachern auf den Prüfstand gehört, insbesondere eingebaute Software offen gelegt sein sollte und ein Zugriff von außen abgesichert sein muss.

Das Thema ist ideal geeignet, um eine zunehmende Problematik zu verdeutlichen, denn hier geht es um ein äusserst sensibles Produkt an extrem gefährlicher Stelle – und offenkundig ist nicht einmal in diesem Bereich IT-Sicherheit ein Thema. Dabei haben Unternehmen auch in juristischer Hinsicht sehr gute Gründe, sich mit der IT-Sicherheit zu beschäftigen, die in Zukunft über die Produkthaftung eine ganz enorme Rolle spielen wird.