Die Sicherheit und der Schutz von sensiblen Daten sind in einer wachsenden digitalen Welt von größter Bedeutung. Denn leider sind Betrüger*innen ständig auf der Suche nach Möglichkeiten, an diese persönlichen Informationen zu gelangen. Dabei hat sich das Darknet zu einer der Hauptschnittstellen für den illegalen Handel mit gestohlenen Daten etabliert. Auch die Methoden der Betrüger zur Datenbeschaffung werden immer dreister und ausgeklügelter. Im Folgenden erfährst du, wie unsere Daten ins Darknet gelangen und wie sich Besorgte davor schützen können.

Die dunkle Seite des Internets und kriminellen Handlungen

Das Darknet ist ein abgeschotteter Bereich im Internet, der nicht über herkömmliche Suchmaschinen zugänglich ist. Hier können Nutzende ihre Identität verschleiern und anonym kommunizieren. Es wird für verschiedenste Zwecke genutzt, darunter illegale Aktivitäten wie der Austausch gestohlener Daten. Normalerweise gibt es verantwortliche Stellen bzw. spezielle Aufsichtsbehörden, die kontaktiert werden können, um gegen Datenschutzverletzungen im World Wide Web vorzugehen. Doch in diesem abgeschirmten Bereich des Internets wird alles dafür getan, um vor den entsprechenden Zuständigkeiten ungesehen zu bleiben. So befinden sich die Betreiber*innen der Server in der Regel außerhalb Europas, was es für Strafverfolgungsbehörden äußerst schwierig macht, einmal gestohlene Daten zu löschen oder Täter zur Rechenschaft zu ziehen. Erst im Darknet veröffentlicht, können solche Datensätze mehrfach betrügerisch genutzt oder verkauft werden, was die Sicherheit und Privatsphäre der Betroffenen langfristig gefährdet. Auch können die Personen schwerer ausfindig gemacht werden, da sie die entwendeten Informationen nicht selbst nutzen und ihre rechtswidrigen Aktivitäten schwer auf sie zurückzuführen sind. Auf dem digitalen Schwarzmarkt zahlen Käufer*innen für solche gestohlene Daten und damit verbundene Dienstleistungen in Kryptowährungen wie Bitcoin. Diese Währungen führen auch dazu, dass die Bezahlvorgänge kaum nachvollziehbar sind.

Von Phishing bis Europol-Masche: Wie Betrüger*innen an die Daten kommen

Zu den bekanntesten Methoden, um an die begehrten Informationen zu kommen, zählt Phishing. Diese Masche ist vor allem für ihre Spam-Mails bekannt, bei denen die Betroffenen dazu verleitet werden, auf einen Link zu klicken und vertrauliche Daten preiszugeben. Jedoch findet diese Methode inzwischen auch über das Telefon statt. Die Betrüger*innen tarnen sich beispielsweise als Europol-Mitarbeitende und fordern ihre Gesprächspartner*innen dazu auf, ihre IBAN-Nummer zu nennen. Mittlerweile ist selbst die Suche nach einer Wohnung oder einem Job nicht mehr sicher. So verwenden Trickser gefälschte Angebote und stellen ein vorgetäuschtes Identitätsverfahren vor, um Suchende dazu zu bringen, Fotos ihrer Ausweise zu übermitteln.

Eine weitere dreiste Masche besteht darin, Leidtragende während eines Gesprächs schnell zu einem eindeutigen „Ja“ zu animieren. Wenn die Person zum Beispiel zustimmt, dass das Telefonat aufgezeichnet wird, haben die Betrüger bereits fast alles erreicht, was sie wollten. Danach stellen sie einige harmlose Fragen, und schon haben sie genug Material gesammelt, um das Gespräch beliebig zusammenschneiden zu können. Dann scheint es, als hätten die Betroffenen mit ihrem „Ja“ einem Kaufvertrag oder einem Abonnement zugestimmt.

Finanzielle Ausbeute: So viel bis du wert

Im Darknet existiert bereits ein florierender Handel mit gestohlenen Identitäten, die es Käufer*innen ermöglichen, verschiedene kriminelle Aktivitäten durchzuführen. Doch wie viel Gewinn können die Betrüger*innen damit überhaupt erreichen? Im Report des auf Antiviren-Programme spezialisierten Herstellers Bitdefender wird deutlich, dass eine gestohlene Identität in Form eines biometrischen EU-Passes auf dem Schwarzmarkt bis zu 4.500 Euro bringen kann. Die McAfee-Studie „The Hidden Data Economy“ von 2018 enthüllte wiederum, dass Darknet-Händler*innen in der Europäischen Union bis zu 40 Euro für vollständige Kreditkartendaten verlangen können. Auch Konten von Online-Zahlungsdiensten werden hier gehandelt. Dabei ist jedoch der Preis abhängig vom Guthaben des gehackten Kontos und variiert zwischen 20 und 300 Euro. Um also Betrüger*innen nicht auf den Leim zu gehen und sich den Ärger mit geklauten Daten zu ersparen, ist der Datenschutz im digitalen Zeitalter auch für Privatpersonen wichtiger denn je!

Praktische Maßnahmen: Wie entgehe ich der Täuschung?

Identitätsklau per Telefon ist nach wie vor eine weitverbreitete Methode für Datenhändler*innen, über die jede(r) informiert sein sollte. Um die persönlichen Daten zu schützen, ist es wichtig, bei der Weitergabe sensibler Informationen generell vorsichtig zu sein. Hier sind einige wichtige Maßnahmen, die ergriffen werden können, um einem möglichen Betrugsversuch vorzubeugen: Wenn ein Anruf verdächtig erscheint oder eine unbekannte Person Geld verlangt, handelt es sich in den meisten Fällen um einen Schwindel. Die größte Sicherheit besteht darin, das Gespräch sofort zu beenden. Um Datenverluste und finanzielle Schäden zu vermeiden, sollten niemals persönliche Informationen wie Anschrift, E-Mail-Adresse, Geburtstag, Passwörter oder Bankdaten an Fremde weitergegeben werden. Seriöse Behörden oder Unternehmen werden am Telefon unter keinen Umständen nach solchen Angaben fragen.

Ist der Schaden bereits entstanden und die Daten wurden preisgegeben, sollte die Bundesnetzagentur eingeschaltet werden. Auch die Polizei sollte unter der Rufnummer 110 kontaktiert werden. Wurde beispielsweise Geld illegal vom eigenen Konto abgebucht, kann die Bank dieses innerhalb von vier Wochen zurückholen. Hier gilt es jedoch zu beachten, dass dies nur funktioniert, wenn die Überweisung nicht von der betroffenen Person selbst getätigt wurde. Daher sollten niemals Zahlungen an eine unbekannte Person getätigt werden. Häufig kommen betrügerische Anrufe aus dem Ausland. Daher ist besondere Vorsicht bei folgenden Vorwahlen geboten: +88 (Globales Navigationssatellitensystem), +225 (Elfenbeinküste), +231 (Liberia), +252 (Somalia), +257 (Burundi), +261 (Madagaskar) oder +370 (Litauen). Schließlich kann es auch helfen, sich regelmäßig über die neuesten Betrugsmaschen zu informieren und somit im Falle eines entsprechenden Anrufs sensibilisiert zu sein.

Der Autor Thomas Wrobel ist Spam-Schutz-Experte, CTO der Müller Medien-Tochter validio und Gründer von Clever Dialer. Die App liefert verlässliche Anrufinformationen und schützt Verbraucher*innen vor Spam-Telefonaten.

Soweit Investor*innen im Rahmen einer Finanzierungsrunde Eigenkapital zur Verfügung stellen, werden die Terms üblicherweise im Rahmen eines Beteiligungsvertrages vereinbart. Strukturell umfasst ein Beteiligungsvertrag eine Beteiligungs- und Gesellschaftervereinbarung (Investment and Shareholders Agreement). Die Beteiligungsvereinbarung beinhaltet die Struktur und die Konditionen des Investments, wohingegen die Gesellschaftervereinbarung die gegenseitigen Rechte und Pflichten der künftigen Gesellschafter*innen sowie das Verhältnis zur Gesellschaft definiert.

Beteiligungsvereinbarung

Regelmäßig werden die durch die Investor*innen zu übernehmenden Geschäftsanteile im Rahmen einer Bar-Kapitalerhöhung neu ausgegeben. Die Beteiligungsvereinbarung beinhaltet die wesentlichen Konditionen der Beteiligung und der hierfür zu erbringenden Gegenleistung ausgehend von der (im Rahmen eines Cap Table) festgelegten Pre-Money-Bewertung.

Die Gegenleistung der Investor*innen besteht zunächst aus dem unmittelbar zu leistenden Nominalwert. Als weitere Leistungen werden Zuzahlungen in die Kapitalrücklage der Gesellschaft gemäß § 272 Abs. 2 Nr. 4 HGB, die Einbringung von Darlehensforderungen (soweit Wandeldarlehen gewandelt werden sollen), Sachleistungen (häufig bei strategischen Investor*innen) oder sonstige Leistungen vereinbart. Die Leistungspflichten können hierbei von sog. Milestones abhängig sein, mithin von bestimmten durch das Start-up zu erreichenden Zielen. Zur Vermeidung von Konflikten sind eine klare Beschreibung der Ziele und ein Konfliktlösungsmechanismus sinnvoll. Aus Sicht der Gründenden, aber auch der weiteren Gesellschafter*innen, ist ferner ein Mechanismus wichtig für den Fall, dass ein Investor seine Leistungsverpflichtung nicht (vollständig) erfüllt. Eine solche Investor-Default-Klausel sieht regelmäßig die Rückübertragung der übernommenen Anteile durch den betroffenen Investor für den Fall seiner Nichtleistung vor.

Beteiligungsvereinbarungen enthalten zudem regelmäßig eine Verwässerungsschutzklausel. Diese räumt den Investor*innen das Recht ein, weitere neu auszugebende Geschäftsanteile zum Nominalwert zu übernehmen, falls in einer späteren Finanzierungsrunde Anteile an der Gesellschaft zu einem geringeren Anteilspreis als dem der gegenwärtigen Finanzierungsrunde ausgegeben werden (sog. Downround). Die Anzahl der zusätzlich auszugebenden Geschäftsanteile berechnet sich auf Grundlage der Ausgabepreise der betreffenden Finanzierungsrunden.

Häufig wird eine Weighted-­Average-Betrachtung vereinbart, bei der der gewichtete Durchschnittspreis aus dem Anteilspreis der Downround und der ursprünglichen Finanzierungsrunde gebildet wird. Die Investor*innen werden nachträglich so gestellt, als hätten sie zwar nicht zum

Anteilspreis der Downround gezeichnet (dies wäre ein recht investorenfreundlicher Full-Ratchet-Verwässerungsschutz), aber zu dem entsprechend definierten Durchschnittspreis.

Wichtig in der Beteiligungsvereinbarung sind ferner die dort beinhalteten Garantieregelungen und deren Rechtsfolgen. Hierbei zu unterscheiden sind sog. Title-Garantien, die insbesondere das Bestehen des gesellschaftsrechtlichen Status der Gesellschaft und der Geschäftsanteile betreffen, von den Business- und/oder Company-Garantien, die den (auch operativen) Status der Gesellschaft umfassen. Abhängig vom Zuschnitt des Geschäftsbetriebs und dem Sicherungsinteresse des/der Investor*in werden die operativen Themen häufig umfassend in einem Garantiekatalog abgebildet. Im Gegensatz zu Exit-Transaktionen sind Freistellungen für Themen aus einer Due Diligence grundsätzlich nicht gebräuchlich, hier können aber sog. Post-Closing-­Conditions verlangt sein, durch die den Gründenden Pflichten nach Signing auferlegt werden, um bestehende rechtliche Themen zu lösen.

Gebräuchlich sind Haftungs-Cap, etwa in Höhe des Gesamtinvestments des/der betreffenden Investor*in und/oder der betreffenden Finanzierungsrunde. Für die persönliche Haftung der Gründenden (soweit etwa bei einem Early-Stage-Investment vereinbart) wird häufig auf einen Cap in der Größenordnung eines Jahresgehalts der Gründenden zurückgegriffen. Die beste Absicherung der Gründenden ist jedoch eine gewissenhafte Offen­legung der Themen gegenüber dem/der Investor*in, da die Kenntnis der Investor*innen von einem Sachverhalt einen Garantieverstoß auf dieser Grundlage ausschließt. Im Sinne der Vermeidung von Konflikten empfiehlt es sich, die Art der Offenlegung in der Beteiligungsvereinbarung zu referenzieren, etwa unter Bezugnahme auf den dokumentierten Status eines Datenraums.

Gesellschaftervereinbarung

Die Gesellschaftervereinbarung regelt im Wesentlichen die Rechte und Pflichten der Gesellschafter*innen untereinander und gegenüber der Gesellschaft. Regelmäßig unterliegen die Geschäftsanteile bestimmten Verfügungsbeschränkungen, die festlegen, ob und in welchem Umfang diese übertragen und/oder belastet werden dürfen. Die Gründenden werden häufig für einen definierten Zeitraum generell daran gehindert sein, über ihre Anteile ohne Zustimmung der Investor*innen zu verfügen (sog. Lock Up). Üblich ist zudem die Vereinbarung eines Vorerwerbsrechtes (Right of First Refusal) und eines Mitverkaufsrechts (Tag-Along). Umgekehrt sind (Minderheits-)Gesellschafter*innen beim Vorliegen bestimmter weiterer Bedingungen auf Verlangen regelmäßig verpflichtet, ihre Beteiligung an einen Dritten mitzuver­äußern (Mitverkaufspflicht bzw. Drag-Along).

Mittels der sog. Liquidationspräferenz (Liquidation Preference) erhalten die Investor*innen im Rahmen eines Erlösereignisses, insbesondere eines Exits, vorrangig ihre Investitionssumme. Marktüblich ist hier derzeit ein Vorzug in Höhe des 1,0-Fachen des getätigten Investments. Verbleibende Erlöse werden anteilig auf alle Gesellschafter*innen verteilt, wobei sich die Investoren den Erlösvorzug anrechnen lassen müssen (Non-Participating-Liquida­tion-Preference).

Für Gründende wesentlich ist die Regelung zum Vesting. Diese legt fest, welche Konsequenzen das Ausscheiden eines Gründenden aus seiner Tätigkeit bei der Gesellschaft auf seine Beteiligung hat. Anknüpfend an ein bestehendes Beschäftigungsverhältnis (i.d.R. Geschäftsführeranstellungsvertrag) werden bestimmte Ausscheidensszenarien in sogenannte Good-Leaver- und Bad-Leaver-Fälle aufgeteilt. Da das selbstverschuldete Ausscheiden eines Gründenden sanktioniert werden soll, muss dieser in Bad-Leaver-Fällen (i.d.R. Kündigung durch die Gesellschaft aus wichtigem Grund gemäß § 626 BGB; Straftaten gegenüber der Gesellschaft) sämtliche Anteile zum Nominalwert abgeben. In Good-Leaver-­Fällen wird er, abhängig von der Dauer der Zugehörigkeit zur Gesellschaft, einen Teil seiner Anteile behalten dürften (die „gevesteten“ Anteile). Mitunter sind diese treuhänderisch auf einen anderen Gesellschafter zu übertragen.

Ferner werden in der Gesellschaftervereinbarung Regelungen zur Corporate Governance und zum Wettbewerbsverbot enthalten sein. Mitsprache- und Informa­tionsrechte stellen ­sicher, dass die Investor*innen bzw. die Investor*innenmehrheit bei bestimmten Grundsatzentscheidungen, ein Mitspracherecht erhält. Üblich sind Zustimmungsvorbehalte, im Einzelfall die Einrichtung eines Beirats und regelmäßig die Verabschiedung einer Geschäftsordnung für die Geschäftsführung.

Fazit

Ein Beteiligungsvertrag beinhaltet überwiegend Standard­regelungen, wobei sich im Detail gründer*innen-/oder investor*innenfreundliche Ausgestaltungen zeigen. Bei den Verhandlungen über die Ausgestaltung dieser Regelungen ist im Einzelfall ein Ausgleich zu finden zwischen dem (Sicherungs-)Interesse der Investor*innen und den Interessen der Gründenden.

Die Autoren:
Alexander Weber, LL.M. ist Rechtsanwalt und Partner bei Heuking Kühn Lüer Wojtek in München.
Roman Ettl-Steger, LL.M. (King’s College London) ist Senior Associate im Bereich Venture Capital am Münchner Standort derselben Kanzlei, www.heuking.de

Elektronische Transaktionen und Daten, die von Endgeräten und anderen Quellen stammen, bilden die Grundlage für die Geschäftsmodelle einige der größten Unternehmen der Welt. Doch der jahrzehntelange Wildwuchs in der Datenspeicherung sorgte für Misstrauen der Verbraucher*innen und verlangte nach gesetzgeberischen und regulatorischen Maßnahmen.

Auch das Jahr 2023 wird einige neue Regelungen und Maßnahmen bringen, auf die sich die Unternehmen vorbereiten müssen. Hier vier Prognosen:

1. Internationale Datenübermittlungen

Bis Juli 2020 galten die USA laut eines Angemessenheitsbeschlusses der Europäischen Kommission (basierend auf dem EU-US-Privacy-Shield-Abkommen) als sicheres Drittland. Das Datenschutzniveau wurde also als ähnlich gut eingeschätzt wie das der EU. Dies änderte sich jedoch, als der Österreicher Max Schrems mit seiner Klage in der Sache „Schrems II“ vor dem Europäischen Gerichtshof (EuGH) Erfolg hatte.

Am 16. Juli 2020 erklärte der EuGH das bis dahin geltende Privacy Shield für ungültig (Rechtssache C-311/18, Schrems II). Seitdem gelten die USA nicht mehr als sicheres Drittland, was den Datentransfer für Firmen bedeutend komplizierter gestaltete. Die rechtskonforme Gestaltung von Datenübermittlungen aus Europa in die USA ist inzwischen eines der komplexesten und zeitaufwendigsten Themen, mit denen sich Datenschutzbeauftragte in Unternehmen in den letzten zwei Jahren beschäftigen mussten.

Nun kommt Bewegung in die Sache: Die EU-Kommission hat Mitte Dezember 2022 ihren Entwurf für den bevorstehenden Angemessenheitsbeschluss veröffentlicht, die Arbeiten am neuen EU-U.S.-Data-Privacy-Framework laufen auf Hochtouren.

Bis zum Erlass, der in der ersten Jahreshälfte 2023 erwartet wird, bleibt es jedoch bei der derzeitigen Rechtslage. Bis dahin werden die anderen möglichen Übermittlungsinstrumente des Art. 46 DSGVO – insbesondere Standardvertragsklauseln (SCC) und Binding Corporate Rules (BCR) – sowie die Ausnahmetatbestände des Art. 49 DSGVO (speziell die Einwilligung der betroffenen Personen) genutzt werden, und zwar mit allen bekannten Herausforderungen und Nachteilen.

2. EU-Dateninitiativen werden verabschiedet

Neue EU-Dateninitiativen werden verabschiedet oder in Kraft treten. Sie beeinflussen, wie Daten mit anderen geteilt werden dürfen und zwingen Organisationen, die einen Wert aus personenbezogenen Daten ziehen, dazu, die Modalitäten für die Weitergabe, den Schutz und den Zugriff auf diese Informationen zu ändern. Besonders folgende:

• Digital Services Act (DSA): Der DSA wird die veraltete E-Commerce-Richtlinie aus dem Jahr 2000 ablösen. Sein extraterritorialer Geltungsbereich betrifft die derzeitigen Geschäftsmodelle vieler datengesteuerter Organisationen, darunter Internetdienst- und Cloud-Anbieter, soziale Medien und Online-Plattformen, Marktplätze und Suchmaschinen. So werden unter anderem zusätzliche Transparenzanforderungen für Online-Werbung, ein Verbot von „Dark Patterns“ und Einschränkungen für Werbung auf der Grundlage sensibler Daten erlassen.
• Data Act: Das Datengesetz soll harmonisierte Regeln für den fairen Zugang zu und die Nutzung von Daten schaffen. Es stellt sicher, dass ein breiteres Spektrum von Akteuren die Kontrolle über ihre Daten erhält. Es sollen mehr Informationen für innovative Zwecke zur Verfügung stehen, während gleichzeitig Anreize für Investitionen in die Datengenerierung erhalten bleiben. Das soll schließlich zu einem maximalen Wert der Daten für Wirtschaft und Gesellschaft führen.
• Europäischer Raum für Gesundheitsdaten: Befasst sich mit den gesundheitsspezifischen Schwierigkeiten beim Zugang zu elektronischen Gesundheitsdaten, der gemeinsamen Nutzung und der Gestaltung eines gemeinsamen Raums, in dem natürliche Personen ihre elektronischen Gesundheitsdaten leicht kontrollieren können. Zudem soll er es Forschern und politischen Entscheidungsträgern ermöglichen, diese elektronischen Gesundheitsdaten in einer vertrauenswürdigen und sicheren Weise zu nutzen, bei der die Privatsphäre gewahrt bleibt.
• Artificial Intelligence Act: Viele Umfragen zeigen, dass sich Verbraucher über die Verwendung ihrer personenbezogenen Daten in KI-Anwendungen Sorgen machen. Der Vorschlag für eine Verordnung mit harmonisierten Regeln für künstliche Intelligenz soll diese Bedenken ausräumen und die ethische Nutzung von KI gewährleisten. Flankiert wird er von den außervertraglichen, zivilrechtlichen Haftungsregeln für künstliche Intelligenz. Diese sollen dafür sorgen, dass Betroffene die gleichen Schutzstandards genießen, falls ihnen unter anderen Umständen durch KI-Produkte oder -Dienste ein Schaden entstehen sollte.

3. Umstellung auf neue Standardvertragsklauseln (SCC)

Im Juni 2021 erließ die Europäische Kommission neue Standardvertragsklauseln (SCC), die seit dem 27. September 2021 für alle neuen Verträge gelten. Diese neuen SCC sind modular aufgebaut und decken alle praktisch relevanten Varianten des Datentransfers ab, ohne wie bisher auf komplizierte und teilweise unpraktische Vertragskonstellationen zurückzugreifen.

In diesem Zusammenhang mussten Unternehmen bis zum 27. Dezember 2022 alle Altverträge auf die neuen Standardvertragsklauseln umstellen. Laut diversen deutschen Datenschutzbehörden soll es keine weitere Fristverlängerung geben, sie wollen also kein Auge mehr zudrücken. Daher müssen Firmen, die bis Ende Dezember 2022 alte Verträge nicht auf die neuen SCCs angepasst haben, mit Sanktionen der Aufsichtsbehörden rechnen.

4. Vormarsch neuer Instrumente der Rechtsdurchsetzung

Reine Kontrollmaßnahmen der Aufsichtsbehörden werden 2023 nicht mehr allein im Vordergrund stehen. Der Trend geht vielmehr zur zivilrechtlichen Durchsetzung der Beendigung datenschutzwidriger Verarbeitungen und der Entschädigung von Datenschutzverstößen. Dies zeigte sich bereits 2022 im Fall von Google Fonts.

Hunderte von Organisationen in Deutschland und Österreich sahen sich im Sommer und Herbst 2022 mit Abmahnungen und Unterlassungserklärungen wegen Google Fonts konfrontiert. Solche Trittbrettfahrer werden in Zukunft voraussichtlich vermehrt einzelne Gerichtsentscheidungen nutzen, um mit derartigen Massenverfahren gegen angebliche Datenschutzverstöße auf breiter Front vorzugehen. Davon dürften insbesondere Websites und Apps betroffen sein, da sich datenschutzwidrige Konfigurationen und nicht autorisierte Tools mit geringem Aufwand schnell und eindeutig nachweisen lassen. Dass sich solche Massenabmahnungen zumindest in einer Grauzone bewegen und die Schwelle zur Missbräuchlichkeit leicht überschritten werden dürfte, zeigen die ersten Gerichtsverfahren gegen die abmahnenden Anwälte.

Natürlich werden auch die Aufsichtsbehörden weiterhin die DSGVO durchsetzen, doch auch diese dürften in Zukunft Neuland betreten. Es ist nur eine Frage der Zeit, bis sie zunehmend die ihnen nach Artikel 58 DSGVO zur Verfügung stehenden Instrumente nutzen, um die Datenverarbeitung (vorübergehend) zu untersagen und die Löschung von Daten anzuordnen. Da die Wirkung dieser Maßnahmen sofort eintritt, sind die Auswirkungen und die Intensität der Intervention am größten. Aufgrund der rechtlichen Brisanz solcher Entscheidungen haben die Behörden bisher jedoch nur selten von ihnen Gebrauch gemacht. Doch ändert sich bald. So könnten in Fällen wie bei Google Analytics im Jahre 2022 zukünftig nicht nur eine Feststellung der Datenschutzwidrigkeit seitens Behörden erfolgen, sondern zusätzlich eine Untersagung der Übermittlung.

Die größte und wesentlichste Veränderung bei der Rechtsdurchsetzung dürfte jedoch das verstärkte Eingreifen von NGOs und anderen Verbraucherschutzverbänden darstellen. Organisationen wie NOYB haben bei verschiedenen europäischen Aufsichtsbehörden Hunderte von Beschwerden über Cookie-Banner und Websites eingereicht, die gegen Datenschutzgesetze verstoßen. Artikel 80 der DSGVO ermöglicht es NGOs und Verbraucherverbänden, Beschwerden bei den Behörden einzureichen und im Namen der betroffenen Personen Schadenersatz zu fordern. Diese Möglichkeit kannten bisher nur wenige, deswegen wurde sie kaum wahrgenommen. Allerdings dürfte es zu einer verstärkten Aktivität solcher Organisationen kommen, speziell nach dem Grundsatzurteil des EuGH über die Rechtsstellung von Verbraucherschutz-Organisationen im Mai 2022.

Der Europäische Verbraucherverband hat bereits angekündigt, dass seine Mitglieder ihre Befugnisse im Rahmen der DSGVO nutzen wollen, um den Verbraucherdatenschutz zu verbessern.

Der Autor Dr. Frank Schemmel (Practice Lead International Privacy & Compliance) ist seit 2018 bei DataGuard - der All-in-one-Plattform in Sachen Compliance-Anforderungen, Informationssicherheit und Datenschutz – tätig.

Die meisten Gründer*innen denken bei Datenschutz erstmal an Cookie-Banner und Einwilligungen zur Datenerhebung. Dabei steckt viel mehr dahinter. So richtig erfolgreich werden Datenschutzpraktiken erst, wenn jedes Teammitglied auch an die Bedeutsamkeit und Notwendigkeit einer datenschutzfreundlichen Organisation glaubt. Gerade beim Aufbau eines neuen Unternehmens ist es deshalb wichtig, dass das Managementteam eine Vorbildfunktion einnimmt, wenn es um den Datenschutz geht. So wird auch für die Mitarbeitenden deutlich, wie überzeugt die Führungsriege von der Bedeutung des Datenschutzes ist. Im besten Fall zieht dann das ganze Team bei diesem komplexen Thema mit. Und das bringt eine Menge Vorteile mit sich:

• Konform mit allen Regulierungen: Die Europäische Datenschutz-Grundverordnung (DSGVO) ist seit einigen Jahren offiziell das gesetzliche Schutzschild der Privatsphäre europäischer Nutzer*innen. Auch in den USA gilt inzwischen der California Consumer Privacy Act (CCPA), der Datenschutzrechte und den Verbraucher*innenschutz in Kalifornien verbessert. Inzwischen gibt es Absprachen, die Bürger*innen aus Europa und den USA gleichermaßen schützen sollen. Es ist also eine rationale und rechtssichere Entscheidung, mit den wachsenden und sich ändernden Datenschutzbestimmungen Schritt zu halten.
• Niemand traut einem Datendealer: Datenkraken werden meist nur deshalb genutzt, weil ihre Verwendung so weitverbreitet ist. Man denke an die großen Messenger oder sozialen Netzwerke. Da sticht der Netzwerkeffekt die Datenschutzbedenken aus. Ansonsten gilt aber: Je weniger Daten ein Unternehmen von den Nutzer*innen sammelt, desto weniger Daten können missbraucht werden. Gerade bei Start-ups können ein Leak und der damit verbundene Reputationsverlust das Unternehmen massiv schädigen. Kommuniziert das gesamte Team jedoch das Bewusstsein für den Datenschutz klar und deutlich, gewinnt das Unternehmen eine der wichtigsten Währungen beim Markenaufbau: Vertrauen.
• Datenschutz als soziale Verantwortung: Der Schutz der Privatsphäre ist ein Gesellschaftsthema: Die vielen Skandale von den Snowden-Leaks bis hin zu Cambridge Analy­tica haben gezeigt, wie Daten wirklich missbraucht werden. Sich von solchen Praktiken abzugrenzen, zeugt von einem klaren moralischen Kompass und ist zugleich ein valides Arbeitgeber*innenargument am umkämpften Arbeitsmarkt.

Datenschutz zum Führungsthema machen

Datenschutz hat somit zahlreiche Qualitäten, die Gründer*innen in Betracht ziehen sollten. Nachfolgend ein paar Tipps und Denkanstöße, wie man dem Thema im Unternehmen Priorität einräumen kann.

Authentizität

Gründer*innen können ein datenschutzbewusstes Team nur dann fördern, wenn sie selbst Einsatz zeigen. Kommunizieren Gründer*innen an ihre Teams, dass sie sich persönlich für den Datenschutz einsetzen, fördert das die interne Akzeptanz. Gab es vielleicht einen Aha-Moment, den Gründer*innen im Team-Meeting teilen könnten? Wie stehen die Gründer*innen beispielsweise zu Tracking und Anzeigen, die sie über mehrere Websites hinweg verfolgen? Nutzen sie selbst Browser-­Add-ons mit „Do-not-Track“-Funktion oder Cookie-Blocker? Solche persönlichen Erfahrungen und Einstellung bewegen andere oft dazu, sich bewusster mit dem Thema Datenschutz auseinanderzusetzen. Auch informelle Formate wie ein gemeinsamer Filmabend mit dem Team können Diskussion entfachen – z.B. mit dem Dokumentarfilm „Das Dilemma mit den sozialen Medien“.

Transparenz

Es ist wichtig, das ganze Team auf der Reise zu mehr Datenschutz mitzunehmen und transparent alle Bemühungen, Erfolge und Herausforderungen zu teilen. Wenn es beispielsweise zu einem Datenschutzverstoß kommt, sollte dies das Führungsteam intern rechtzeitig kommunizieren. Aber auch in der Kommunikation nach außen ist Transparenz gefragt: So sollten etwa Datenpannen offen an Benutzer*innen und Partner*innen kommuniziert werden; am besten, bevor etwas schiefgegangen ist.

Generell ist es wichtig, offen und ehrlich in Bezug auf alle erhobenen Daten zu sein, die vorübergehend verwendet, gespeichert oder an andere weitergeben werden. Es stärkt das Vertrauen, wenn Firmen offen erklären, warum welche Daten erhoben und zu welchem Zeitpunkt diese wieder gelöscht werden. Gleichzeitig ist das auch für die Mitarbeitenden eine gute, verbindliche Richtlinie

Verantwortungsvolle Technologien unterstützen

Start-ups haben im Gründungsprozess noch die Wahl, welche Kommunikations-, Zahlungs- und Abwicklungsplattformen und andere Technologien sie für den Einsatz im Unternehmen verwenden. Daher ist die Wahl der Technologieanbieter mit Sorgfalt zu treffen. Meist sind europäische Unternehmen gegenüber US-amerikanischen im Vorteil, da sie der DSGVO unterliegen und näher an den Marktanforderungen sind.

Wandel im Team

Im Tagesgeschäft sind es die Mitarbeiter*innen, die Datenschutzmaßnahmen umsetzen. So fördern etwa interne Datenschutzbeauftragte das Bewusstsein innerhalb eines Unternehmens, sind Expert*innen und Anlaufstelle für ihre Teammitglieder und entwickeln mit der Zeit ein gestärktes Verantwortungsgefühl für das Thema. Um Datenschutz in der Unternehmenskultur zu verankern, können Unternehmen Best Practices für das Tagesgeschäft etablieren. Alltägliche Praktiken wie Zoom-Anrufe sind ein guter Ansatzpunkt: Es ist eine einfache Geste, den Mitarbeiter*innen die Wahl zu lassen, ob sie mit oder ohne Kamera an Meetings teilnehmen. Auch können Gründer*innen auf datensichere Suchmaschinenalternativen hinweisen, Browsererweiterungen empfehlen oder Richtlinien im Umgang mit sozialen Medien anstoßen.

Denkanstöße für alle Unternehmensbereiche

Start-ups und kleinere Unternehmen haben häufig keinen Chief Information Security Officer (CISO), also eine Person, die für die gesamte IT-Sicherheit im Unternehmen verantwortlich ist. Für Start-ups empfiehlt es sich für den Anfang, folgende drei Abteilungen unter die Lupe zu nehmen:

• Marketing: Marketingexpert*innen setzen oft auf verhaltensorientiertes Targeting. Für sie sind alle Daten, die potenzielle Kund*innen im Internet preisgeben, ein Datenschatz, um gezielt Werbung auszuspielen. Dabei gibt es durchaus erprobte Alternativen. Das Marketingteam kann viele enger mit dem Feedback echter Kund*innen arbeiten und so auf deren direkte Wünsche eingehen – statt abstrakte Daten zu analysieren. Eine weitere Möglichkeit ist die Umstellung von verhaltensbasiertem auf kontextbasiertes Marketing. Eine weltweite Umfrage zeigt: 69 Prozent der Verbraucher*innen sind eher bereit, sich auf Werbung einzulassen, die auf dem Kontext des besuchten Seiteninhalts beruht.
• Produktentwicklung: Produktentwickler*innen und -verantwortliche sind normalerweise darauf trainiert, so viele Daten wie möglich über das Nutzer*innenverhalten zu sammeln. Ein Denkansatz für sie ist, zu hinterfragen, ob es nicht einen diskreten, datenschutzbewussten Weg gibt, um an der Produktoptimierung zu arbeiten. Eine Möglichkeit sind häufigere Iterationszyklen und Besprechungen im Team sowie mit potenziellen Kund*innen. Eigentlich eine wichtige Grundlage im Design-Thinking-Ansatz. Ein positiver Nebeneffekt: Die vielen Feedbackschleifen führen zu unkonventionellen Lösungen, geben jedem Teammitglied mehr Raum, kreativ zu werden und sich einzubringen – und stärken so das Teamgefüge.
• Kundensupport: Dieses Team verfügt über viele Informationen, um einen personalisierten Service zu bieten. Aber auch dieses Team sollte sorgfältig abwägen, welche persönlichen Informationen gesammelt werden sollten. Getreu dem Motto: So viel wie nötig, so wenig wie möglich.

Fazit

Es zeigt sich: Datenschutz spielt nicht nur in Sachen Rechtssicherheit eine entscheidende Rolle. Der Umgang mit Daten ist eine Frage der Unternehmenskultur, der viele Vorteile mit sich bringen kann. Dabei müssen besonders die Gründer*innen ihr Engagement bei dem Thema vorleben. Denn Datenschutz ist oft nicht die einfachste Lösung, aber eine langfristige Verpflichtung, die auf lange Sicht Früchte trägt. Ein vorbildlicher Umgang mit Daten schafft Vertrauen, zeigt einen stabilen Wertekompass und schützt vor Strafen und Reputationsverlust. So entwickelt sich Datenschutz, sofern alle Teams an Bord sind, von einem bürokratischen Aufwand zu einem echten Wettbewerbsvorteil.

Der Autor Robert E.G. Beens ist Mitgründer und CEO der datensicheren Suchmaschine Startpage sowie Experte und Verfechter des Datenschutzes.

Als Unternehmer*in und Arbeitgeber*in ist man in der Verantwortung, Verträge rechtskonform abzuschließen und alle arbeitsrechtlichen Vorschriften einzuhalten. Anwaltliche Unterstützung ist nicht nur beim Formulieren von Kündigungen oder Abmahnungen ratsam. Denn auch der Arbeitsvertrag muss natürlich fehlerfrei sein.

Fair und rechtskonform: Was muss im Arbeitsvertrag stehen?

Die Gründung ist erfolgt und nun werden Mitarbeitende eingestellt. Doch wie führt man ein Bewerbungsgespräch und was gehört in den Arbeitsvertrag? Viele Berliner Start-ups arbeiten mit einem Rechtsanwalt für Arbeitsrecht in Berlin zusammen und profitieren von rechtssicheren und fairen Verträgen. Wer als zukünftige(r) Arbeitgeber*in Konflikten im Bezug auf den Urlaub, den Kündigungsschutz oder die Bezahlung von Überstunden aus dem Weg gehen möchte, sollte beim Arbeitsvertrag keine Kompromisse eingehen. Übrigens kann ein(e) Arbeitsrechtsanwalt*in auch als Berater*in für die ersten Bewerbungsgespräche zur Verfügung stehen. Fehler oder mangelnde Eindeutigkeit in mündlichen Absprachen und in Schriftform können langfristig Ärgernisse nach sich ziehen und sollten vermieden werden.

Mitarbeiter*in schaltet Anwalt ein: Was tun?

Grundsätzlich gibt es vor dem Arbeitsgericht weder für den Arbeitgebenden noch für den Arbeitnehmenden Anwaltszwang. Davon abgesehen, sollte ein Unternehmen nicht ohne eigenen Rechtsbeistand auftreten, wenn die Gegenseite bereits einen Anwalt bzw. eine Anwältin eingeschaltet hat. Bei tiefgreifenden Streitigkeiten die vor dem Landes- oder Bundesarbeitsgericht verhandelt werden, besteht grundsätzliche Anwaltspflicht. Um eine Streitigkeit vorher beizulegen und es nicht soweit kommen zu lassen, empfiehlt es sich, frühzeitig mit einem Anwalt bzw. einer Anwältin zu kooperieren und sich unterstützen zu lassen. Als Nicht-Jurist*in ist es nicht möglich, Recht zu bekommen und sich gegen die anwaltlich gestützten Forderungen zu wehren. In diesem Fall kann der Arbeitgeber bzw. die Arbeitgerberin sogar recht haben, doch Recht bekommen wird er/sie im Regelfall nicht.

Der Unternehmenskauf - eine komplexe Angelegenheit

Wer ein bestehendes Unternehmen aufkauft, sollte die Vertragsabwicklung nicht ohne juristischen Beistand vornehmen. Handelt es sich um eine Firma mit Angestellten, ist ein Anwalt bzw. eine Anwältin für Arbeitsrecht umso wichtiger, da es zusätzliche Fragen zu klären gibt. Dem gegenüber kann man unkompliziert in die Freiberuflichkeit starten, da man in diesem Fall keine Verantwortung für Mitarbeitende eingeht. Neben dem Unternehmenskauf spielt die rechtssichere Abwicklung auch beim Firmenverkauf oder im Falle einer drohenden Insolvenz eine essenzielle Rolle. Hier geht es nicht nur um große Geldsummen, sondern um die Vertragserfüllung gegenüber den Mitarbeitenden.

Um eine Klageflut zu umgehen und sich von Anfang an abzusichern, sollten Kündigungs- und Aufhebungsverträge grundsätzlich rechtssicher sein.

Ein(e) Unternehmer*in haftet für seine Firma und ist zur Einhaltung aller arbeitsrechtlichen Vorschriften verpflichtet. Doch Hand aufs Herz: Welche(r) Gründer*in und Jungunternehmer*in kennt all die gesetzlichen Vorschriften aus dem Effeff? Die beste Strategie für eine reibungslose Gründung und Mitarbeitendenanstellung beruht auf den Kompetenzen eines Anwalts bzw. einer Anwältin für Arbeitsrecht. Diese kennen die Fallstricke und wissen, welcher Ausdruck in einem Vertrag welche Bedeutung hat. Rechtssicherheit ist ein wichtiges Fundament für Arbeitgeber*innen, die unanfechtbare Verträge abschließen möchten.

Folgendes Beispiel verdeutlicht, wie zeit- und kostenintensiv ein Rechtsstreit sein kann: Bei einem Unfall mit einem Firmenwagen geht es um einen Streitwert von insgesamt 40.000 Euro. Schon für die erste Instanz liegen die Kosten bei rund 12.500 Euro. Geht die Auseinandersetzung in die zweite Instanz kommen etwa weitere 9.000 Euro hinzu. Verfahrensdauern von mehreren Jahren sind keine Seltenheit.

Setzen Unternehmen dagegen frühzeitig auf eine Mediation, kommt es häufig schon nach zwei bis drei Tagen zu einer einvernehmlichen Lösung. Die Mediation gehört zu den außergerichtlichen Formen der Konfliktbeilegung. Durch vermittelnde Gespräche, begleitet von unabhängigen Mediatorinnen und Mediatoren, können sich die streitenden Parteien möglichst stressfrei aussprechen und einigen. Die Württembergische Versicherung unterstützt die Konfliktlösung durch Mediation mit bis zu 3.000 Euro je Versicherungsfall.

Frühzeitig Rat einholen

Geschäftliche Konflikte können schneller als gedacht entstehen. Ein Start-up, das gerade noch in der Entstehungsphase ist, kann zum Beispiel Probleme mit einer unvollständigen Firmenwebsite bekommen. Rechtliche Lücken im Impressum oder bei der Datenschutzerklärung sind ein häufiger Ausgangspunkt für Streitigkeiten. Ein anderes Szenario: Die Vermieterin oder der Vermieter der Büroflächen erhöht schon nach kurzer Zeit die Miete, obwohl die nächste Mieterhöhung erst zu einem späteren Zeitpunkt vertraglich vereinbart war.

In solchen Fällen gilt: Rechtzeitig die eigene Rechtschutzversicherung informieren und handeln, bevor die Situation eskaliert. Das Angebot der Württembergischen umfasst zum Beispiel eine telefonische Rechtsberatung. Hier können sich Gründerinnen und Gründer Rat von einem erfahrenen Anwaltsteam einholen und früh die richtigen Schritte einleiten.

Im Premium Schutz haben Start-ups darüber hinaus auch Anspruch auf juristischen Rat in Form von Vertragsprüfungen – zum Beispiel rund um Arbeitsverträge. Eine Anwältin oder ein Anwalt checkt vorab die Verträge und gibt Tipps.

Corona-Pandemie verstärkt Bedarf an Arbeits-Rechtsschutz

Die Auswirkungen der Pandemie haben in vielen Unternehmen Streitigkeiten rund um das Arbeitsrecht verschärft – etwa in den Bereichen Kurzarbeit oder Homeoffice. Gerade für junge Unternehmen ist es hier hilfreich, sich auf rechtlichen Rat durch Fachanwältinnen und Fachanwälte verlassen zu können.

Wenn außergerichtliche Einigungen scheitern, hilft manchmal nur der Gang vor Gericht. Eine Rechtsschutzversicherung steht Gründerinnen und Gründern auch hier zu Seite. Übernommen werden unter anderem die Vergütung von Anwältinnen und Anwälten, Gerichtskosten, Kosten der Verwaltungsbehörde sowie für Sachverständige oder Zeuginnen und Zeugen.

Erfahren Sie mehr zur gewerblichen Rechtsschutzversicherung der Württembergischen.

Unternehmen müssen ihre digitalen Produkte bis zum Jahresende an das neue digitale Vertragsrecht anpassen. Sie müssen Verträge umgestalten, neue Hinweise verfassen und platzieren. Die Weiterverarbeitung von Daten ist an den neuen Vorgaben auszurichten. Unternehmerischer Erfolg kann so nachhaltig gesichert werden.

Für wen gilt das neue digitale Vertragsrecht?

Das neue digitale Vertragsrecht gilt für alle digitalen Produkte, die ein Unternehmen anbietet. Unternehmen müssen das neue Recht für ihre Produkte bis zum Jahresende umsetzen.

Erfasst von den neuen Vorgaben sind alle Produkte, die einen digitalen Bezug aufweisen. Das können digitale Inhalte oder digitale Dienstleistungen sein. Es reicht also bereits aus, wenn Inhalte in digitaler Form bereitgestellt werden. Das Recht gilt auch, wenn angebotene Dienstleistungen mit der digitalen Bereitstellung von Daten zusammenhängen, so wie beispielsweise Apps, Cloud-Speicher, Streaming-Angebote, E-Books u.v.m.

Voraussetzung ist außerdem, dass die digitalen Produkte (auch) Verbrauchern angeboten werden. Das ist zum Beispiel der Fall, wenn eine App für jeden zum Download im AppStore bereitsteht. Es ist aber auch der Fall, wenn Unternehmen eigene Beziehungen zu ihren Endkunden aufbauen, auch wenn sie sonst im B2B-Bereich aktiv waren. Unternehmen machen das vermehrt, um etwa die Produktbindung zu verbessern.

Bezahlen mit Daten

Damit das neue Recht anwendbar ist, müssen Verbraucher für die digitale Leistung eine Gegenleistung erbringen. Hier ist Vorsicht geboten: Eine „Gegenleistung“ kann eine Geldzahlung sein, muss es aber nicht. Ganz neu wird ein „Bezahlen mit Daten“ im Gesetz geregelt.

Konkret heißt das: die neuen Vorgaben sind auch dann anwendbar, wenn der Verbraucher Daten von sich preisgibt, die für Werbemaßnahmen oder Anderes genutzt werden können. Beispiele könnten sein:

• Gratis-Nutzung gegen Newsletter-Einwilligung
• Bonuspunkte für Informationen über das Einkaufsverhalten
• Extra-Minuten auf dem Online-Portal für eine Übertragung der Standortdaten
• Angaben zu Alter und Interessen für passende Werbeanzeigen bei Gratis-Nutzung

Das reicht künftig aus. Die Nutzer „bezahlen“ in allen Fällen mit ihren Daten. Nur ehrlich „kostenlose“ Angebote, in denen der Anbieter vom nutzenden Kunden keinerlei Mehrwert generiert, fallen also nicht unter das neue Recht.

Ausnahmen

Ausgenommen sind Produkte, die schon heute einer strikten Regulierung unterworfen sind. Darunter fallen zum Beispiel:

• Verträge über elektronische Kommunikationsdienste,
• Behandlungsverträge zwischen Arzt und Patient oder
• Verträge über Finanzdienstleistungen.

In der Praxis relevant sind außerdem die Ausnahme von Verträgen über Open-Source-Software. Das gilt nur, wenn sie tatsächlich ohne Bezahlung und ohne alternative Verarbeitung personenbezogener Daten bereitgestellt wird.

Was müssen Unternehmen jetzt tun?

1. Hinweis auf Produkteigenschaften

Schon heute enthält der Bestellprozess für digitale Produkte etliche Hinweise: Die Nutzungsbedingungen gelten. Das Widerrufsrecht ist mir bekannt. Die Datenschutzhinweise habe ich gesehen.

Und jetzt kommt ein wichtiger neuer Hinweis dazu: Besondere Eigenschaften des Produkts sind zu benennen. Und vom Verbraucher zu bestätigen. Wenn das nicht umgesetzt wird, gilt ein „objektiver Mängelbegriff“ und das Risiko ist hoch, dass Verbraucher Nacherfüllung, Minderung, Schadensersatz und weitere Rechte geltend machen können. Damit ist immer dann zu rechnen, wenn das Produkt nicht den „berechtigten“ Erwartungen des Verbrauchers entspricht.

2. Einwilligungen einholen

Wenn der Verbraucher kein Geld bezahlt, sondern Daten bereitstellt, muss eine wirksame Einwilligung eingeholt werden. Auch hier muss im Prozess ein eigener Klick mit eigenem Hinweistext eingebaut werden. Das muss ordnungsgemäß erfolgen, denn Fehler an dieser Stelle führen dazu, dass die Daten nicht verwendet werden dürfen. Zudem können Bußgelder und Schadensersatzansprüche entstehen.

3. Änderungsrechte vorsehen

Digitale Produkte entwickeln sich.  Oft werden erste Beta-Versionen zum Test auf dem Markt bereitgestellt. Neue Produktversionen können ohne Zustimmung jedes einzelnen Nutzers künftig nur noch unter engen Voraussetzungen als Ersatz für die alte Version aktualisiert werden.

Das führt regelmäßig zu einer „Änderung“ der Leistung, auch wenn es letztlich eine Verbesserung ist. Dies geht aber ohne aufwändiges Einholen neuer Zustimmungen aller Bestandskunden nur, wenn schon im Vertrag Änderungsrechte nach neuem Rechts enthalten sind. Wird dies versäumt, müssen unter Umständen etliche Versionen im Markt parallel bereitgestellt werden.

4. Kündigungsrechte einbauen

Weitere Anpassung: Das Unternehmen muss sich Kündigungsrechte vorbehalten, für neue Fallgruppen. Dies betrifft zum einen die Fälle, in denen Änderungen ohne Zustimmung nicht möglich sind. Dann sollte zumindest die Möglichkeit einer zeitnahen Kündigung bestehen, um nicht zwangsweise etliche Versionen aktiv bereitzustellen. Außerdem sollten Kündigungsrechte für den Fall eingebaut werden, in dem der Verbraucher die Einwilligung widerruft und so die Weiterverarbeitung von als Bezahlung bereitgestellten Daten unterbindet. Das Gesetz erlaubt, wenn es sonst „unzumutbar“ wird, zu kündigen. Das muss aber im Vertrag eingebaut werden.

5. Updates bereitstellen

Weitreichende Auswirkungen in der Praxis werden die neuen „Updatepflichten“ haben. Aktualisierungen müssen während der gesamten Vertragslaufzeit und darüber hinaus solange erfolgen, wie der Verbraucher „aufgrund der Art und des Zwecks“ der digitalen Produkte „unter Berücksichtigung der Umstände und der Art des Vertrags“ dies „vernünftigerweise“ erwarten kann. Das heißt ganz einfach: So lange der Verbraucher die Anwendung braucht und nutzt, muss es Updates geben. Eine Einstellung der Updates für Windows 7 wären danach vermutlich heute nicht mehr zulässig. Zu viele Nutzer hatten eigentlich „erwartet“, dass es weiter Updates geben wird. Unternehmen müssen das bedenken und kalkulieren. Sinn macht es, die „Erwartungshaltung“ durch gute Kommunikation und Vertragsgestaltung zu steuern.

6. Daten weiterverwenden?

Endet ein Vertrag, müssen dem Kunden seine Daten zur Verfügung gestellt werden. Diese Funktion muss das digitale Angebot enthalten.

Daten ohne Personenbezug dürfen vom Unternehmen nach Vertragsende nicht beliebig weiterverwendet werden. Das ist ein Hindernis für die Produktverbesserung oder Entwicklung neuer Produkte. Hier muss geprüft werden, welche Weiterverwendung kommerziell wichtig ist. Eventuell greift eine Ausnahme im neuen Recht. Aggregierte Daten, beispielsweise, dürfen weiterverwendet werden. Auch das muss geprüft werden.

Angebote für Unternehmen

Unmittelbar gelten die Neuregelungen für Verbraucherverträge. Für Verträge zwischen Unternehmen gelten sie grundsätzlich nicht. Aber: Wenn die Produkte im Dual Use sowohl Verbrauchern als auch Unternehmen angeboten werden, sollten regelmäßig auch die Unternehmer-Verträge angepasst werden. Neuregelungen haben auch Auswirkungen auf die Auslegung von Verträgen zwischen zwei Unternehmen haben. Das gilt besonders für Themen wie Mängel und Updatepflichten. Wer sicher unterwegs sein will, der orientiert sich an den Neuregelungen für Verbraucherverträge.

Die Zukunft digitaler Produkte

Das neue Digitale Vertragsrecht kommt. Der Gesetzgeber wird es am 24. Juni auf den Weg bringen. Anbieter von digitalen Produkten müssen sich mit der Umsetzung der neuen Vorschriften auseinandersetzen. Das Angebot muss angepasst werden, wenn der Produkterfolg nicht gefährdet werden soll. Spätestens zum 1. Januar 2022 müssen alle digitalen Produkten den neuen Anforderungen genügen.

Bei Verstößen drohen nicht nur Schadensersatzansprüche der eigenen Nutzer. Auch Wettbewerber und Verbraucherschutzverbände können gegen Verstöße vorgehen. Das wird dann teuer und unter Umständen führt es zu Vertriebsverboten, bis die Verstöße beseitigt sind.

Die Autorin Dr. Kristina Schreiber berät zu allen Rechtsfragen rund um digitale Produkte von der Gestaltung über den Vertrieb bis zur Klärung von Streitfragen; Sie ist Partnerin bei Loschelder Rechtsanwälte

Arbeitszeitgesetz und Vereinbarungen zur Arbeitszeit

Auch im Homeoffice gelten weiter die Vereinbarungen zur Arbeitszeit und natürlich die Arbeitszeitgesetze. Ist eine Höchstarbeitszeit von beispielsweise acht Stunden vereinbart, darf diese nicht einfach so überschritten werden. Auch Ruhepausen von mindestens 30 Minuten und bei einer Arbeitszeit von mehr als sechs Stunden 45 Minuten müssen eingehalten werden. Auch müssen zwischen Ende des vorherigen Arbeitstages und Beginn des Neuen grundsätzlich 11 Stunden Freizeit sein.

Arbeitszeiterfassung

Ein sehr spezielles Thema ist das der Arbeitszeiterfassung. Der Arbeitgeber ist dazu verpflichtet alle Stunden, die über die Höchstarbeitszeit von acht Stunden hinausgehen, aufzuzeichnen. Diese Pflicht kann jedoch auch an den Arbeitnehmer übertragen werden. Vor Ort haben die meisten großen Unternehmen ein Zeiterfassungssystem, welches im Homeoffice allerdings nicht genutzt werden kann. Kann auf solche Systeme online zugegriffen werden, dann müssen diese auch von Mitarbeiter genutzt werden. Dazu gibt es hilfreiche Tools, wie zum Beispiel die kostenlose Stundenzettel Vorlage von Papershift, womit man eine Arbeitszeiterfassung von überall aus möglich machen kann.

Wann Überwachungsmaßnahmen angebracht sind

Grundsätzlich kann ein Arbeitszeitbetrug zu einer fristlosen Kündigung führen. Nicht jeder Arbeitnehmer geht sorgsam mit diesem Privileg um und geht während der Arbeitszeit anderen Dingen nach oder ist gar nicht erst erreichbar. Wird die notwendige Arbeitsleistung erbracht, kann man das Thema sicherlich locker angehen, wird diese aber nicht mehr ausreichend erbracht, wird es schwierig. Überwachung darf jedoch nur dann stattfinden, wenn ein klarer Anlass besteht. Ein einfacher Verdacht reicht nicht aus, dieser muss auf Tatsachen gestützt werden. Regelmäßige Kommunikation und gute Abstimmung können solche Themen oftmals bereits frühzeitig vom Tisch räumen und Missverständnisse vermeiden.

Arbeits(zeit)schutz

Vor allem hinsichtlich des Arbeitszeitschutzes ist eine genaue Aufzeichnung sehr wichtig. Der Arbeitgeber hat eine Überwachungs- und Fürsorgefunktion und muss sich darum kümmern, dass die gesetzlichen Beschränkungen eingehalten werden. Wird über einen betrieblichen Laptop gearbeitet, kann dieser beispielsweise die Nutzung nur für einen bestimmten Zeitraum freigeben oder aber man arbeitet mit Cloud Lösungen bzw. E-Mail Accounts die nach einer bestimmten Zeit nicht mehr zur Verfügung stehen.

Müssen Mitarbeiter im Homeoffice permanent erreichbar sein?

Nur weil man im Homeoffice arbeitet, heißt das nicht, dass man auch ständig erreichbar sein muss. Vor allem nicht in der Freizeit. Ausnahmen müssen vertraglich festgehalten werden und es gelten die Grundsätze des Arbeitszeitgesetzes. Der Arbeitgeber ist aber auch befugt feste Zeitfenster einzurichten, in denen man erreichbar sein muss oder eben an Telefonkonferenzen teilnimmt.

Flexible Arbeitszeiten

Wann man sich vorher mit dem Arbeitgeber abspricht, dann ist auch eine gewisse Flexibilität im Homeoffice gewährleistet, die dieses ja gerade erst so attraktiv macht. Das beruht allerdings auf Gegenseitigkeit, da die meisten Arbeitnehmer auch deutlich zufriedener sind, wenn sie den Arbeitsalltag selbst gestalten dürfen. Wenn man während der Arbeitszeit mal schnell die Waschmaschine befüllt ist das auch noch nicht gleich ein Verstoß. Vertrauensarbeitszeit ist immer noch das beste Modell, da das Homeoffice auch nach Corona noch eine große Rolle spielen wird und der Arbeitnehmer die erforderlichen Leistungen in der Regel auch von sich aus erbringt.