Datenschutz – Seite 6 – Softwarerecht

Rücktritt von Software-Projekt wegen Dokumentationsmängeln

Das Landgericht Bonn, 10 O 296/19, hatte sich mit der Frage zu befassen, wie zu verfahren ist, wenn eine agile Softwareentwicklung scheitert und das Projekt trotz bereits erbrachter Leistungen abgebrochen werden soll. In diesem Fall ging es um die Frage, ob ein Rücktritt vom Vertrag möglich ist. Das Landgericht kam in diesem Fall zu dem Schluss, dass der Kläger durch den erklärten Rücktritt nicht von dem gesamten Vertrag zurücktreten und Rückabwicklung auch hinsichtlich der bereits erbrachten und vergüteten Teilleistungen (Inkrements) verlangen konnte.

Softwareentwicklung unter IT-rechtlicher Betrachtung

Bei der Entwicklung von Software (“Softwareentwicklung”) und deren kommerzieller Nutzung sind einige rechtliche Aspekte zu beachten, um mögliche rechtliche Probleme zu vermeiden.

In den letzten Jahren meiner Tätigkeit haben sich dabei immer wieder die gleichen Baustellen herauskristallisiert, die von den Softwareentwicklern teils unterschätzt, teils ignoriert werden. Dabei leidet die hiesige IT-Startup-Branche unter etwas, was im Ausland in dieser krassen Form seltener zu beobachten ist: die völlige Verweigerung juristischen Beistands. Die Vorstellung, im Budget einen festen Anteil für laufende Rechtsberatungskosten einzuplanen, überfordert viele – und führt am Ende zu unnötigen Mehrkosten.

Datenschutzkonforme Nutzung von Echtdaten zu Testzwecken im IT-System

Ungetestete Software ist nichts wert – soweit die Binsenweisheit. Gerade bei Weiterentwicklungen oder Fehlerbehebungen in Produktivumgebunden ist dabei nicht nur der Test nicht wegzudenken, sondern insbesondere muss man mit Echtdaten arbeiten.

Der Klassiker ist ein weiterentwickeltes Kundensupport-System, auf das umgestellt werden soll. Hier wird man im Regelfall mit bereits vorhandenen Kundendatensätzen (auszugsweise) erste Testläufe vornehmen. Doch: Ist das datenschutzrechtlich zulässig? Diese Frage war bisher umstritten, wurde vom EUGH nun aber – durchaus zufriedenstellend – in einer groben Skizzierung beantwortet.

Dongle mit Lizenzen vernichtet: Schadenersatz

Ein Klassiker unnötiger Vertragseskalation findet sich beim Landgericht Bochum, 15 O 145/20, wo es um die Vernichtung eines Dongles ging. Hier wurden – jedenfalls mit dem gerichtlichen Sachverhalt – vollkommen unnötig und nicht im Ansatz nachvollziehbar Software-Lizenzen auf einem Dongle vernichtet; vorausgegangen waren Zahlungsstreitigkeiten im Umfeld einer Insolvenz und ein ausgeübtes Zurückbehaltungsrecht.

Dazu bei uns:

Rechtliche Implikationen aus der Log4J / Log4Shell Lücke

Eine der sicherlich herausragendsten Sicherheitslücken in diesem Jahrzehnt ist schon jetzt die Log4Shell-Sicherheitslücke, die zunehmend massiv ausgenutzt wird – ich hatte, wie üblich, auf LinkedIn frühzeitig dazu berichtet. Nun langsam, nachdem die Lücke bekannt ist und auch nicht nur in Teilen sondern massiv ausgenutzt werden kann und wird, stellt sich natürlich die Frage, was an rechtlichen Konsequenzen damit verbunden ist. Wie immer gilt: Es kommt drauf an.

Tatsächlich zeigt sich, dass die Lücke einige – vorhersehbare – Konsequenzen hat; viel interessanter ist, dass sich Datenschutzbehörden bereits postieren und auch anlasslose Kontrollen angekündigt haben. Dies nicht nur für Log4J speziell, sondern für Ransomware allgemein.

Neues Kaufrecht und Softwarerecht 2022

Sind Ihre Verträge bereit für das nächste Jahrzehnt? Es ist ohnehin schon erschreckend, wie wenig Mühe sich Unternehmen mit Ihren Verträgen machen: Dabei beruhen hierauf doch sämtliche erzielten Umsätze.

Und nun kommt auch noch etwas ganz Neues: Von der “größten Reform des Schuldrechts seit zwei Jahrzehnten” spricht der Beck-Verlag zu Recht zur Neuauflage des Grüneberg-BGB-Kommentars (vormals Palandt). Die Umsetzung von Digitale-Inhalte-RL, Warenkauf-Richtlinie und des Gesetzes für faire Verbraucherverträge bringen weitreichende Änderungen, die man im kaufmännischen und vertragsrechtlichen Alltag ab dem 1.1.22 kennen muss. Weitreichende Änderungen im Kaufrecht und AGB-Recht werden die Arbeit der nächsten Jahre prägen, besonders für jeden, der mit der Überlassung digitaler Produkte zu tun hat oder der mit dem An- oder Verkauf sein Geld verdient.

Abmahnung: Gründe für Abmahnungen von Online-Shops beim Verkauf im Internet

Beim Verkaufen im Internet gibt es eine Vielzahl von Fallstricken, die am Ende zu einer Abmahnung führen können. In diesem Beitrag stelle ich eine Auswahl typischer Problemfälle dar, um einen Überblick über “Abmahnfallen” zu geben.

Der Beitrag soll nicht vollständig oder abschließend sein, es geht wirklich nur um einen Überblick der Themen, die aus meiner Sicht wichtig sind. Bei vielen Punkten gibt es Verweisungen auf weitere vorhandene Inhalte zu Abmahnungen beim Verkauf im Internet.

Haftung für Webseiten-Inhalte nach Hackangriff

Eine wichtige Entscheidung hat das OLG Hamburg (5 U 33/19) getroffen, dies hinsichtlich der urheberrechtlichen Haftung für Inhalte, die nach einem Hackangriff auf der eigenen Webseite stehen.

Im Sachverhalt hatte ein Fotograf einen Webseitenbetreiber auf Unterlassung in Anspruch nehmen wollen, nachdem nach einem Hacker-Angriff unbemerkt ganz neue Seiten hochgeladen waren, auf denen auch das Foto des Fotografen unberechtigt verwendet wurde. Kern der Frage am Ende ist dann, ob durch Verstöße gegen grundregelnde Regeln der IT-Sicherheit eine Haftung als Störer in Betracht kommen kann, wenn Hacker Inhalte hochladen. Das OLG hat dies verneint.

Bundesjustizministerium zu den weiteren Entwicklungen im IT-Sicherheitsrecht – Ausblick auf die Gesetzgebung im Cybercrime 2019

Im Nachgang zu dem “Doxing-Skandal 2018/2019” hat das Bundesjustizministerium im Januar 2019 ein Thesenpapier veröffentlicht (unten als Download), dem weitere Maßnahmen einer eventuellen zukünftigen Gesetzgebung im Bereich IT-Sicherheit zu entnehmen sind. Dies sind in aller Kürze:

IT-Sicherheit mit Updateverpflichtung: Es soll EU-weit einheitliche und rechtlich verbindliche Standards geben, die den Herstellern und Diensteanbietern klare Anforderungen zur IT-Sicherheit auferlegen. Diese Standards sollten über die gesetzlichen Mindestanforderungen hinausgehen und eine mehrjährige Update-Verpflichtung des Herstellers enthalten.
Produkthaftung: Auch fehlerhafte Software soll unter das Produkthaftungsregime fallen und mangelnde IT-Sicherheit muss einen Produktfehler begründen. (Hinweis: Grundsätzlich gilt die Produkthaftung auch jetzt bei Software)
Stärkung im Datenschutz: Es soll eine Stärkung der Datenschutzbehörden erfolgen (fraglich wie, es geht um Landesbehörden, wo der Bund nicht wirklich eingreifen kann). Weiterhin soll ein verbesserter Schutz in die EU-ePrivacy-Verordnung (was auch skeptisch gesehen werden kann, nach meiner Wahrnehmung blockt genau hier die deutsche Regierung?).
Wettbewerbsrecht: Es soll ausdrücklich die Anwendbarkeit des Gesetzes gegen den unlauteren Wettbewerb auf Datenschutzverstöße klargestellt werden: “Wenn Daten von Verbraucherinnen und Verbrauchern missbräuchlich verwendet wurden und dadurch Gewinne erzielt werden, dann dürfen diese nicht bei dem bleiben, der das Recht verletzt hat.”. Hier wird fraglich sein, ob man wenigstens so klug ist, nur bestimmte Verstöße/Klauseln dem UWG zu unterstellen – oder ob am Ende dann doch massenhaft Abmahnungen wegen Formfehler in Datenschutzerklärungen auf Webseiten folgen können. Wichtig ist auch, dass man über das Instrument der “Gewinnabschöpfungsklage” nachdenkt.
Online-Dienste in die Pflicht nehmen: Eher unscheinbar ist der Satz “Ein gehacktes Nutzerkonto bei einem Online-Dienst muss schnell und unkompliziert gesperrt werden können.”. Gemeint ist aber wohl, dass Online-Dienste klare Ansprechpartner mit kurzen Reaktionszeiten bereit halten müssen. Es bleibt abzuwarten ob man das wirklich angeht in einer Zeit, in der es als Erfolg verbucht werden muss, dass man bei Google überhaupt mal Mails liest.
Long Term Support: Ich bin mir nicht sicher, man schreibt unter dem Stichpunkt nachhaltige Sicherheit “Durch das Auslaufen des Software-Supports werden zum Teil Neuanschaffungen erzwungen” und möchte erreichen, dass Software länger gepflegt wird. Ich vermute, dass für bestimmte Bereiche eine Art LTS begründet werden soll, wobei kritische Systeme schon heute langjährige Pflegepakete haben (und man oben ja schon die Updateverpflichtung angesprochen hat). Hier ist mir nicht ganz klar, wo man hin will … durch den pauschalen Verweis auf die EU könnte es sich aber auch mehr um einen unkonkreten Fülltext handeln.

Für mich zeigt sich eines deutlich mit der nunmehrigen Liste des BMJV: So unverbindlich es klingt, darf man wohl davon ausgehen, dass wir zeitnah ein IT-Sicherheitsgesetz 2 erleben werden. Dieses dürfte sich auf Online-Dienste und Softwareregeln konzentrieren. Weiterhin wird der deutsche Gesetzgeber – das macht er nun mal am liebsten – versuchen die Sanktionsschraube zu drehen. Schon fast unweigerlich dürften daher Klarstellungen im UWG zu erwarten sein, damit DSGVO-Verstöße dann definitiv erfasst sind. Datenschutzrecht und Softwarerecht werden den Bereich der IT-Sicherheit möglicherweise beherrschen, jedenfalls verstehe ich so die hier vorgenommenen Ankündigungen.

Softwarepflegevertrag: Pflicht zur Anpassung von Software an gesetzliche Änderungen?

Softwarepflegevertrag und gesetzliche Änderungen: Spätestens mit der Datenschutzgrundverordnung ab Mitte 2018 dürfte gerade in Fällen von Software im Bereich “Big Data” und beim Kundenbezug die Frage aufkommen, ob eine Pflicht des Softwareanbieters zur Anpassung an gesetzliche Änderungen besteht. Tatsächlich dürfte dies mitunter in Betracht kommen, allerdings wird es auf den Einzelfall ankommen.
Softwarepflegevertrag: Pflicht zur Anpassung von Software an gesetzliche Änderungen? weiterlesen