Non Disclosure Agreement – Softwarerecht

Cybersecurity in der Software-Lieferkette

Die jüngsten Angriffe auf die JavaScript-Bibliotheksplattform npm zeigen auf dramatische Weise, wie verwundbar moderne Software-Lieferketten sind. Ein selbstvermehrender Wurm namens Shai-Hulud hat Hunderte von Code-Paketen infiziert, Zugangsdaten gestohlen und diese öffentlich zugänglich gemacht. Für Unternehmen und ihre Führungskräfte wirft dies nicht nur technische, sondern auch erhebliche rechtliche und haftungsrelevante Fragen auf. Was ist passiert, welche Risiken bestehen für Unternehmen, und wie können sich Verantwortliche absichern?

Software Bill of Materials (SBOM)

Eine SBOM ist ein maschinenlesbares Dokument und entspricht einer elektronischen Stückliste: Es inventarisiert eine Codebasis und enthält somit Informationen über alle verwendeten Komponenten einer Software. Inzwischen gewinnt die SBOM durch den CRA erhebliche juristische Relevanz und gehört zwingend zur Compliance bei Einsatz oder Entwicklung von Software, speziell mit Blick auf die Supply-Chain.

Die SBOM-Informationen können in unterschiedlicher Breite und Tiefe dargestellt werden und von einer groben Struktur bis zu einer detaillierten Aufschlüsselung von Produkten und Softwarekomponenten reichen. Entsprechende Vorgaben sind in der Technischen Richtlinie TR-03183 des BSI enthalten.

Designprinzipien für LLM-basierte Systeme des BSI

Ein aktuelles BSI-Whitepaper zu Designprinzipien für LLM-basierte Systeme mit „Zero Trust“-Ansatz enthält zentrale Empfehlungen zur sicheren Implementierung von KI-Systemen in Unternehmen und Behörden. Die Vorgaben reichen von der Authentifizierung und dem Input-/Output-Schutz bis hin zum Monitoring und Hintergrundwissen für die Awareness.

Doch Vorsicht, diese Empfehlungen sind mehr als reine IT-Empfehlungen: Sie berühren unmittelbar haftungsrechtliche Fragen und betreffen die konkrete Umsetzung datenschutzrechtlicher Vorgaben gemäß Art. 25 DSGVO („Privacy by Design“ und „Privacy by Default“).

Spitzenstellungsbehauptung bei Software

Superlative in der Werbung: Wenn „einfachste und effizienteste“ zu weit geht – Werbeaussagen mit Superlativen wie „das einfachste und effizienteste Lernmanagementsystem“ sind ein klassisches Mittel, um Kunden zu überzeugen. Doch was aus Marketingsicht verlockend klingt, kann wettbewerbsrechtlich problematisch sein.

Das Oberlandesgericht Koblenz hat in einem aktuellen Urteil vom 8. Juli 2025 (Az. 9 U 443/25) klargestellt, dass solche Spitzenstellungsbehauptungen nur unter strengen Voraussetzungen zulässig sind. Die Entscheidung betrifft einen Streit zwischen zwei Anbietern von Lernmanagement-Systemen (LMS) und wirft grundsätzliche Fragen zur Zulässigkeit von Alleinstellungswerbung, zur Dringlichkeit im einstweiligen Rechtsschutz und zur Abgrenzung zwischen legitimer Werbung und irreführender Geschäftspraxis auf.

Kein WLAN: Anfechtung von Softwareüberlassungsvertrag wegen Irrtums

Digitale Vertragsbeziehungen, insbesondere im Bereich der Softwareüberlassung, zeichnen sich durch Komplexität, Standardisierung und hohe Informationsasymmetrie aus. Der Nutzer verlässt sich auf die technische Funktionalität, während der Anbieter seine Leistung präzise umrissen wissen will.

Kommt es zu Missverständnissen über technische Voraussetzungen, stellt sich schnell die Frage, ob das Rechtsgeschäft Bestand hat – oder ob ein Irrtum vorliegt, der zur Anfechtung berechtigt. Zwei Entscheidungen – das Urteil des LG Kleve (1 O 166/22) und der Hinweisbeschluss des OLG Düsseldorf (10 U 70/23) – zeigen eindrucksvoll, wie diese dogmatischen Fragen in der rechtlichen Praxis konkretisiert werden.

Rechtliche Aspekte und Handlungsempfehlungen für IT-Projekte

Ihr Rechtsanwalt für IT-Projekte: IT-Projekte sind komplexe Vorhaben, die eine Vielzahl rechtlicher Fragestellungen aufwerfen. Diese reichen von urheberrechtlichen Themen bis hin zu vertraglichen Regelungen, die sowohl während der Durchführung als auch beim Abbruch eines Projekts relevant werden können. In diesem Beitrag beleuchte ich als Fachanwalt für IT-Recht die wichtigsten rechtlichen Aspekte in einem kurzen Überblick – und gebe einige praktische Tipps für eine rechtssichere Umsetzung von IT-Projekten.

Beteiligungszuständigkeit von Stufenvertretung bei Software-Einführung?

In seinem Beschluss vom 10. Dezember 2024 (Az.: 17 A 4454/23) hat das Verwaltungsgericht Hannover eine zentrale Frage des Personalvertretungsrechts entschieden: Wer ist bei der Einführung einer neuen Software mitbestimmungsberechtigt? Konkret ging es um die Software „FOLIO/ERM“, die in wissenschaftlichen Bibliotheken des Landes Niedersachsen eingeführt werden sollte. Der Hauptpersonalrat des Niedersächsischen Ministeriums für Wissenschaft und Kultur (MWK) beanspruchte ein Mitbestimmungsrecht bei der Einführung und Ausgestaltung der Software.

Das Gericht wies diesen Anspruch zurück und stellte fest, dass nicht die übergeordnete Stufenvertretung, sondern die örtlichen Personalräte der betroffenen Bibliotheken zuständig sind. Damit wurde eine bedeutsame Weichenstellung zur Kompetenzverteilung im Personalvertretungsrecht getroffen, insbesondere hinsichtlich der Frage, ob eine zentrale Softwareeinführung durch ein Ministerium automatisch die Zuständigkeit des Hauptpersonalrats begründet.

EUGH zum Erfüllungsort im Softwarerecht: Zuständigkeitsfragen und europarechtliche Konsequenzen

Die Bestimmung des Erfüllungsorts spielt eine zentrale Rolle bei der Frage, welches Gericht für einen grenzüberschreitenden Vertrag zuständig ist. Gerade im Bereich des Softwarerechts, wo digitale Dienstleistungen oftmals länderübergreifend erbracht werden, führt die gerichtliche Zuständigkeit regelmäßig zu Streitigkeiten.

Der Europäische Gerichtshof (EuGH) hat in seiner Entscheidung vom 28. November 2024 in der Rechtssache C-526/23 (VariusSystems digital solutions GmbH gegen GR, Inhaberin des Unternehmens B & G) diese Problematik aufgegriffen und zur Auslegung von Art. 7 Nr. 1 Buchst. b der Brüssel-Ia-Verordnung (Verordnung (EU) Nr. 1215/2012) Stellung genommen.

Softwareprojekte zwischen Werk- und Dienstvertrag

In einem Urteil des Oberlandesgerichts Frankfurt (Az.: 10 U 201/22) vom 19. Dezember 2024 ging es um einen zentralen Konflikt bei IT-Dienstleistungen: die Abgrenzung zwischen einem Werk- und einem Dienstvertrag. Dabei ging es um die Entwicklung von Schnittstellen innerhalb eines größeren Softwareprojekts und die Frage, ob der Anbieter für einen konkreten Erfolg oder lediglich für ein sorgfältiges Tätigwerden haftet. Diese Entscheidung ist für Unternehmen von erheblicher Relevanz, da sie Leitlinien für die Vertragsgestaltung und die rechtliche Absicherung bei Softwareprojekten liefert.

Auswirkungen des Data Act auf Softwareentwicklung und Softwareangebote

Der Data Act (DA) zielt bekanntlich darauf ab, den Zugang zu und die Nutzung von Daten in der EU durch klare rechtliche Rahmenbedingungen zu regeln – dabei werden einige spezifische Regelungen zu Software getroffen, die bislang im öffentlichen Diskurs untergehen. Wobei der Data Act speziell bei den Regeln zum Cloud Switching alle Unternehmen betrifft, es gibt hier keine Ausnahme für KMU!

So fokussiert sich der Data Act zum einen auf Datenportabilität, Interoperabilität und die Förderung eines fairen Wettbewerbs, was reflexartig spürbare Auswirkungen auf Softwareentwicklung und Softwareangebote hat, vornehmlich in Bereichen wie Software-as-a-Service (SaaS) und Cloud-Computing. Daneben werden ausdrückliche Regelungen zu Smart Contracts getroffen. Und Cybercrime kommt auch nicht zu kurz.

Data Act