Auftragsverarbeitung – Seite 4

OECD-Papier über gemeinsame Leitlinien zur Förderung der Interoperabilität im KI-Risikomanagement

Die rasante Entwicklung und der Einsatz von Künstlicher Intelligenz (KI) bringen immense Vorteile, aber auch erhebliche Risiken mit sich. Um diese Risiken zu managen und vertrauenswürdige KI-Systeme zu entwickeln, ist ein kohärentes Risikomanagement unerlässlich.

Das OECD-Papier „Common Guideposts to Promote Interoperability in AI Risk Management“, veröffentlicht im November 2023, bietet eine umfassende Analyse der Gemeinsamkeiten und Unterschiede führender Risikomanagement-Rahmenwerke für KI. Ziel ist es, eine gemeinsame Grundlage zu schaffen, um die Interoperabilität dieser Rahmenwerke zu fördern und die Effizienz zu steigern.

Rücktritt von Software-Projekt wegen Dokumentationsmängeln

Das Landgericht Bonn, 10 O 296/19, hatte sich mit der Frage zu befassen, wie zu verfahren ist, wenn eine agile Softwareentwicklung scheitert und das Projekt trotz bereits erbrachter Leistungen abgebrochen werden soll. In diesem Fall ging es um die Frage, ob ein Rücktritt vom Vertrag möglich ist. Das Landgericht kam in diesem Fall zu dem Schluss, dass der Kläger durch den erklärten Rücktritt nicht von dem gesamten Vertrag zurücktreten und Rückabwicklung auch hinsichtlich der bereits erbrachten und vergüteten Teilleistungen (Inkrements) verlangen konnte.

Zustimmungspflichtige Nutzung bei Einsatz von Software im Cloud-Computing?

Das OLG Frankfurt (11 U 36/18) hat zu der Frage Stellung genommen, ob eine Vervielfältigung i.S.d. § 69c Nr. 1 UrhG auch dann vorliegt, wenn die Nutzung einer Software im Wege des Cloud Computing zu einer (technischen) Vervielfältigung nicht auf Rechnern im Bereich des Nutzers, sondern auf fremden Servern führt, die sich im Einflussbereich des Nutzungsberechtigten befinden.

Diese Frage ist bislang nicht höchstrichterlich entschieden. In der Literatur wird hierzu teilweise die Auffassung vertreten, dass keine Vervielfältigung durch den Nutzer vorliegt, wenn der zugreifende Client keine Kopie in den Arbeitsspeicher seines Rechners erhält oder eine Vervielfältigung des Programms ausschließlich auf dem Server des Diensteanbieters erfolgt.

Grundsätzlich stellt das Laden eines Programms in den Arbeitsspeicher eines anderen Computers nach allgemeiner Auffassung eine Vervielfältigung im Sinne von § 69c Nr. 1 UrhG dar. Tragender Gedanke ist dabei, dass durch dieses Laden eines Programms in den Arbeitsspeicher eines Computers eine weitere Nutzung des Programms durch weitere Programmkopien ermöglicht wird.

Das OLG ist nun der Auffassung, dass die Beantwortung der Frage, ob beim Cloud Computing eine urheberrechtlich relevante Vervielfältigungshandlung vorliegt, nicht allein davon abhängig gemacht werden kann, in wessen Einflussbereich sich der Computer befindet, auf dem die Vervielfältigung erfolgt.

Nach § 69c Nr. 1 Satz 2 UrhG ist die Zustimmung des Rechtsinhabers immer dann erforderlich, wenn das „Laden, Anzeigen, Ablaufen, Übertragen oder Speichern“ des Programms eine Vervielfältigung erfordert. Das Vervielfältigungsrecht gehört zu den grundlegenden Verwertungsrechten des Urhebers (§§ 15 Abs. 1 Nr. 1, 16 UrhG). Eine Vervielfältigung hat grundsätzlich zur Folge, dass das Vervielfältigungsstück in gleicher Weise wie das Werk selbst genutzt (z.B. betrachtet, gelesen, gehört ….) werden kann. Sie ermöglicht also einen zusätzlichen Werkgenuss.

Vor diesem Hintergrund ist auch die ratio des § 69c Nr. 1 UrhG zu sehen: Der bloße „Werkgenuss“ stellt auch bei Computerprogrammen keine urheberrechtlich relevante Nutzungshandlung dar. Hat ein Nutzer ein Programm rechtmäßig erworben und stationär auf seinem eigenen PC installiert, so wird kein Urheberrecht verletzt, wenn er einen Dritten auf diesem PC mit diesem Programm arbeiten lässt, ebenso wenig, wenn er einen Dritten dort einen von ihm erworbenen Film ansehen lässt (das OLG verweist insoweit auf BGH, I ZR 139/89). Urheberrechtlich relevant wird die Nutzung durch den Dritten erst dann, wenn diesem durch eine Vervielfältigung des Programms eine weitere Nutzung ermöglicht wird. Dieser Gesetzeszweck greift nach Auffassung des OLG aber unabhängig davon ein, in wessen Sphäre die für die zusätzliche Nutzung erforderliche Vervielfältigung erfolgt.

Digitale Produkte

Digitale Produkte werden in Deutschland nun rechtlich eigenständig geregelt. Hintergrund ist, dass das deutsche Recht auf Basis zweier EU-Richtlinien aus seiner überwiegend analogen Zeit in eine moderne, digitale Form gezwungen wurde.

Softwareentwicklung unter IT-rechtlicher Betrachtung

Bei der Entwicklung von Software („Softwareentwicklung“) und deren kommerzieller Nutzung sind einige rechtliche Aspekte zu beachten, um mögliche rechtliche Probleme zu vermeiden.

In den letzten Jahren meiner Tätigkeit haben sich dabei immer wieder die gleichen Baustellen herauskristallisiert, die von den Softwareentwicklern teils unterschätzt, teils ignoriert werden. Dabei leidet die hiesige IT-Startup-Branche unter etwas, was im Ausland in dieser krassen Form seltener zu beobachten ist: die völlige Verweigerung juristischen Beistands. Die Vorstellung, im Budget einen festen Anteil für laufende Rechtsberatungskosten einzuplanen, überfordert viele – und führt am Ende zu unnötigen Mehrkosten.

Datenschutzkonforme Nutzung von Echtdaten zu Testzwecken im IT-System

Ungetestete Software ist nichts wert – soweit die Binsenweisheit. Gerade bei Weiterentwicklungen oder Fehlerbehebungen in Produktivumgebunden ist dabei nicht nur der Test nicht wegzudenken, sondern insbesondere muss man mit Echtdaten arbeiten.

Der Klassiker ist ein weiterentwickeltes Kundensupport-System, auf das umgestellt werden soll. Hier wird man im Regelfall mit bereits vorhandenen Kundendatensätzen (auszugsweise) erste Testläufe vornehmen. Doch: Ist das datenschutzrechtlich zulässig? Diese Frage war bisher umstritten, wurde vom EUGH nun aber – durchaus zufriedenstellend – in einer groben Skizzierung beantwortet.

Markenrechtsverletzung durch Verwendung von Softwarename

Wann ist eine für Software geschützte Marke verletzt? Das OLG Köln (6 U 18/22) konnte der Frage nachgehen und aufzeigen, dass es hier Unterschiede in der „Benutzung“ einer Marke auch bei Software gibt.

Verstoß gegen Sanktionen

Der Verstoß gegen Sanktionen („Embargoverstoß“) ist mit erheblichen Sanktionen bewehrt – und gerade in den vergangenen Monaten keineswegs ein so exotischer Verstoß, dass man ihn nicht auf dem Schirm haben müsste. Wir sind in unserer Kanzlei in den vergangenen Monaten vorwiegend mit Beratungsanfragen konfrontiert im Bereich Software und Technologie-Güter, bei denen sich die Frage einer Einfuhr bzw. Ausfuhr über durchaus trickreiche Umwege stellt.

Aktualisierungspflicht für Software

Pflicht zur Bereitstellung von Aktualisierungen („Updatepflicht“) bei Software: Seit dem 1.1.22 haben wir ein EU-weit normiertes Verbraucher-Softwarerecht. Mit diesem Softwarerecht kommt ein besonderes Novum: die gesetzliche Vorgabe einer Updatepflicht für Software.

Rechtliche Implikationen aus der Log4J / Log4Shell Lücke

Eine der sicherlich herausragendsten Sicherheitslücken in diesem Jahrzehnt ist schon jetzt die Log4Shell-Sicherheitslücke, die zunehmend massiv ausgenutzt wird – ich hatte, wie üblich, auf LinkedIn frühzeitig dazu berichtet. Nun langsam, nachdem die Lücke bekannt ist und auch nicht nur in Teilen sondern massiv ausgenutzt werden kann und wird, stellt sich natürlich die Frage, was an rechtlichen Konsequenzen damit verbunden ist. Wie immer gilt: Es kommt drauf an.

Tatsächlich zeigt sich, dass die Lücke einige – vorhersehbare – Konsequenzen hat; viel interessanter ist, dass sich Datenschutzbehörden bereits postieren und auch anlasslose Kontrollen angekündigt haben. Dies nicht nur für Log4J speziell, sondern für Ransomware allgemein.