Elementare Schritte zur rechtlichen Absicherung

Eine solide Rechtsstruktur beginnt bereits bei der Wahl der passenden Rechtsform. Ob GmbH, UG oder eine andere Variante, jede Gesellschaftsform hat eigene Haftungs- und Steueraspekte. Wer im Vorfeld klärt, wie Gesellschafter*innen entlohnt werden und welche Kontroll- oder Mitspracherechte bestehen, verhindert spätere Konflikte.

Ebenfalls wichtig ist ein umfassendes Risikomanagement, das mögliche Streitfälle frühzeitig einkalkuliert. Gemeinsam mit juristischen Fachpersonen lassen sich Verträge entwickeln, die Interessen aller Beteiligten klar definieren. Dabei lohnt es sich, den aktuellen Status quo abzubilden und zukünftige Entwicklungen wie Kapitalerhöhungen oder den Einstieg neuer Investorinnen zu berücksichtigen. Fehlende oder lückenhafte Regelungen sorgen im Eifer des Geschäftsalltags sonst für Unsicherheit.

Gerichtsprozesse und mögliche Stolpersteine

Kein junges Unternehmen plant, direkt vor Gericht zu landen. Dennoch entsteht gerade bei innovativen Geschäftsmodellen ein erhöhtes Konfliktpotenzial, beispielsweise durch Patentrechte, Markenstreitigkeiten oder Datenschutzvorwürfe. Ein Gerichtsverfahren bindet finanzielle Mittel und Kapazitäten des gesamten Teams. Somit empfiehlt sich eine klare Strategie für den Fall rechtlicher Auseinandersetzungen.

In diesem Kontext spielen Rechtsmittel wie Berufung oder Beschwerde eine Rolle, wenn ein Urteil nicht akzeptiert wird. Ergänzend besteht in seltenen Fällen die Möglichkeit zur Wiederaufnahme des Verfahrens, etwa bei neu aufgetauchten Beweisen oder gravierenden Verfahrensfehlern. Dieser Schritt wird häufig unterschätzt, da er komplexe Voraussetzungen hat und keineswegs immer zum Erfolg führt. Deshalb wird in den meisten Fällen auf gütliche Einigungen gesetzt oder eine möglichst rasche Beilegung angestrebt, bevor sich die Auseinandersetzung weiter zuspitzt.

Gerade bei Konflikten mit Kund*innen oder Geschäftspartner*innen können alternative Streitbeilegungsmechanismen wie Mediation oder Schiedsverfahren eine sinnvolle Ergänzung sein. Solche Verfahren gelten als schneller und weniger belastend für die Geschäftsbeziehung. Eine entsprechende Klausel in den Verträgen erleichtert später den Zugriff auf diese Methoden.

Vertragliche Grundlagen im Start-up

Grundlegende Dokumente wie Gesellschaftsverträge, Geschäftsordnungen und Investitionsvereinbarungen verdienen besondere Aufmerksamkeit. Jede Passage sollte praxisnah formuliert werden, damit keine Unklarheiten entstehen, etwa zu Stimmrechten oder Gewinnverteilung. Selbst wenn sich Gründer*innen gut kennen oder ein Vertrauensverhältnis zu Investor*innen besteht, ist Verbindlichkeit erforderlich.

Um ungewollte Interpretationsspielräume zu vermeiden, empfiehlt sich eine Dokumentation aller Vereinbarungen in schriftlicher Form. Besonders wichtig ist, bereits vor dem Markteintritt Regelungen zum Schutz geistigen Eigentums zu treffen. Ebenso helfen Geheimhaltungsvereinbarungen (NDAs), sensible Geschäftsdaten zu schützen. Wer standardisierte Vorlagen nutzt, riskiert jedoch, spezifische Risiken zu übersehen. Individuell zugeschnittene Verträge tragen maßgeblich zum Erfolg eines Unternehmens bei und verhindern, dass Ärgernisse erst in der Wachstumsphase auffallen.

Haftung und Risikoanalyse

Nicht nur die Gesellschaft als juristische Person kann in Haftung genommen werden, sondern unter Umständen auch einzelne Geschäftsführer*innen oder Gesellschafter*innen. Zu den häufigsten Problemfeldern zählt die Verletzung von Informations- und Aufklärungspflichten, die zu Schadensersatzansprüchen führt. Darüber hinaus setzt eine mangelhafte Buchführung das Team unkalkulierbaren Risiken aus.

Um Schieflagen vorzubeugen, empfiehlt sich eine gründliche Risikoanalyse, die potenzielle Gefährdungen beleuchtet. Datenschutzverstöße können beispielsweise hohe Bußgelder nach sich ziehen, während fehlerhafte Produktangaben zu Produktrückrufen führen können. Spezifische Branchenanforderungen sind zu beachten, etwa im Gesundheitssektor oder in hoch regulierten Bereichen wie FinTech.

Mit einer D&O-Versicherung lassen sich Schadensersatzansprüche gegen leitende Personen abfedern. Diese Police deckt allerdings nicht jede erdenkliche Situation ab. Im Vorfeld ist zu prüfen, welche Ausschlüsse gelten und in welchen Fällen die Versicherung tatsächlich greift. Auch eine allgemeine Betriebshaftpflicht ist ratsam, um bei Schäden gegenüber Dritten gewappnet zu sein.

Schutz des geistigen Eigentums und Datenschutz

Start-ups basieren oft auf innovativen Ideen, neuen Technologien und kreativen Marken. Daher sind Patente, Urheberrechte und Markenrechte wesentlich, um das eigene geistige Eigentum zu schützen. Die Anmeldung von Patenten oder Marken ist jedoch mit gewissen Kosten und formalen Anforderungen verbunden. Wer frühzeitig in diesen Schutz investiert, kann sich gegebenenfalls gegen Nachahmerinnen wehren und behält eine starke Position im Wettbewerb.

Daneben gewinnt der Datenschutz mit jedem Schritt in Richtung Digitalisierung an Bedeutung. Persönliche Daten von Kund*innen, Mitarbeiter*innen oder Nutzer*innen zu sammeln, ist an strenge Anforderungen gebunden. Bei einem Verstoß drohen empfindliche Strafen durch die Datenschutzaufsichtsbehörden. Zudem schadet schon ein Imageschaden dem Vertrauen der Öffentlichkeit und potenziellen Geschäftspartner*innen. Eine professionelle Datenschutz-Compliance schafft nicht nur Rechtssicherheit, sondern wird zunehmend zum Qualitätsmerkmal am Markt.

Strategische Absicherung und Versicherungen

Neben den bereits genannten Policen für Geschäftsführer*innen und den allgemeinen Betrieb lohnt sich eine Auseinandersetzung mit branchen- oder projektspezifischen Versicherungen. Cyber-Versicherungen etwa gewinnen an Bedeutung, da Angriffe auf IT-Infrastrukturen erhebliche finanzielle Verluste auslösen können. Warenkreditversicherungen werden ebenfalls relevant, wenn mit großen Liefermengen gearbeitet wird und Ausfälle die Liquidität bedrohen.

Eine gründliche Prüfung einzelner Versicherungsprodukte hilft dabei, den jeweils passenden Schutz zu finden. Pauschale Empfehlungen greifen selten, denn Umfang und Kosten variieren stark. Oftmals lässt sich aber ein individuelles Paket zusammenstellen, das zentrale Risikobereiche abdeckt, ohne das Budget über Gebühr zu belasten. Solche Maßnahmen fördern die Stabilität des Geschäftsmodells und signalisieren Stakeholder*innen, dass das Management verantwortungsbewusst handelt.

Praxisnahe Tipps für den Start-up-Alltag

Rechtliche Sorgfalt beginnt nicht erst bei formellen Verträgen oder Gerichtsstreitereien. Der tägliche Umgang mit E-Mails, Geschäftsgeheimnissen oder Kund*innendaten erfordert ebenso Aufmerksamkeit. Eine transparente Unternehmenskultur, in der rechtliche Belange offen diskutiert werden, senkt das Risiko teurer Fehler. Schulungen und Workshops können die Belegschaft für Themen wie Compliance, Geheimhaltung oder Datenschutz sensibilisieren.

Zusätzlich ist sinnvoll, Rechts- und Steuerberatung nicht nur punktuell, sondern als festen Bestandteil in Entscheidungsprozesse einzubinden. Regelmäßige Updates zu Gesetzesänderungen oder neuen Vorschriften verhindern böse Überraschungen. Außerdem entsteht durch enge Zusammenarbeit mit Expert*innen ein Netzwerk, das im Ernstfall rasch weiterhelfen kann. Dieser ganzheitliche Ansatz beschleunigt das Unternehmenswachstum, weil er Raum für strategische Überlegungen freihält und Streitfälle minimiert.

Schlussfolgerung

Zukünftige Erfolgschancen hängen stark von einer soliden und vorausschauenden Rechtsstrategie ab. Zwar sorgen neue Technologien und internationale Märkte für enorme Expansionsmöglichkeiten, bringen jedoch auch weitergehende Verpflichtungen, etwa im Bereich Datenschutz oder E-Commerce. Zusätzlich spielen Kooperationen mit etablierten Unternehmen eine immer größere Rolle, was harmonisierte Verträge und gegenseitiges Vertrauen voraussetzt.

Wer frühzeitig in die Qualität der eigenen Rechtsgrundlagen investiert, schafft damit die Basis für Stabilität und langfristige Chancen. Bei sorgfältiger Planung bleiben Start-ups flexibel, können Innovationen zügig vorantreiben und sind zugleich gewappnet für die Herausforderungen eines sich rasant wandelnden Wirtschaftsumfelds.

Ziel der ePrivacy-Verordnung ist die Neuregelung der Nutzung und Bereitstellung elektronischer Kommunikationsdienste. Eine neue ePrivacy-Verordnung hätte erhebliche Auswirkungen auf digitale Geschäftsmodelle. Da sich der Entwurf der Bundesregierung nicht als konsensfähig erwiesen hat, hat das lange Ringen um eine Neuregelung allerdings vorerst kein Ende. Unternehmen sollten sich darauf einstellen, dass die bisherigen Regelungen womöglich noch etliche Jahre gelten werden.

ePrivacy-Verordnung: Neue Regeln für digitale Geschäftsmodelle

Parallel zur Datenschutzgrundverordnung (DSGVO) sollte am 25. Mai 2018 eigentlich eine weitere europäische Verordnung zum Thema Datenschutz in Kraft treten. Die „Verordnung über Privatsphäre und elektronische Kommunikation“ (kurz: ePrivacy-Verordnung) soll die Privatsphäre der Nutzer im Rahmen elektronischer Kommunikation schützen und die veraltete ePrivacy-Richtlinie ablösen. Als Ergänzung der DSGVO soll die ePrivacy-Verordnung unter anderem die Kommunikation über Messengerdienste und E-Mail regeln. Zudem sollen Anrufe und Nachrichten über internetbasiert Kommunikationsdienste gleichermaßen geschützt werden wie Telefonanrufe und SMS.

Für viele Start-ups ist das Thema ePrivacy relevant, weil die Verordnung neben der Werbung mittels elektronischer Nachrichten (E-Mail, SMS, Messenger) auch das Online-Marketing, einschließlich Tracking, neu regeln soll.

Wirtschaftsverbände warnen bereits seit 2017 vor restriktiven Neuregelungen

Die EU-Kommission und das Europäische Parlament haben bereits im Jahr 2017 eigene Entwürfe für eine ePrivacy-Verordnung vorgelegt. Vor allem der Entwurf des Parlaments fiel vergleichsweise nutzer- und datenschutzfreundlich aus und stieß in der Wirtschaft daher auf heftige Kritik. So sah der Entwurf des Parlaments zum Beispiel eine „Do Not Track“-Einstellung als zwingendes Default-Setting für Browser vor.

Neben den großen Technologie- und Telekommunikationskonzernen warnen auch Verlage und die Werbewirtschaft bereits seit Längerem vor derart restriktiven Neuregelungen. Sie befürchten irreparable Schäden für digitale Geschäftsmodelle – unter anderem weil weitere Einschränkungen beim Tracking die Werbefinanzierung im Internet zerstören könnten. Angesichts der erheblichen Kritik aus der Wirtschaft konnten sich die Mitgliedstaaten im Rat der Europäischen Union bislang nicht auf einen eigenen Entwurf einigen. In diesem Rat sitzen die Fachminister der EU-Mitgliedstaaten. Ein (Gegen-)Entwurf des Rats ist aber erforderlich, damit der Rat mit der EU Kommission und dem Europäischen Parlament in das weitere Gesetzgebungsverfahren eintreten kann (sogenanntes Trilog-Verfahren).

Seit Dezember 2017 hat der Rat unter der Führung von Estland, Bulgarien, Österreich, Rumänien, Finnland und Kroatien im Halbjahresturnus jeweils unterschiedliche Entwurfsfassungen veröffentlicht, von denen allerdings keine konsensfähig war. Wechselseitig wurden die Entwürfe von Beobachtern entweder als zu restriktiv für digitale Geschäftsmodelle oder als zu wirtschaftsfreundlich kritisiert.  

Aktueller deutscher Kompromissvorschlag scheitert ebenfalls

Angesichts dieser festgefahrenen Situation hatte sich die seit dem 1. Juli 2020 amtierende deutsche Ratspräsidentschaft vorgenommen, mit ihrem Entwurf vom 4. November 2020 endlich einen zustimmungsfähigen Kompromiss zwischen den unterschiedlichen Interessen von Verbraucherschützern und digitaler Wirtschaft zu finden. Etliche Beobachter bezeichneten den deutschen Entwurf im Vorfeld als letzte Chance für eine Einigung.

Mit seinem Vorschlag wich Deutschland von dem eher wirtschaftsfreundlichen Entwurf der kroatischen Präsidentschaft ab und kam den Bedenken der Verbraucherverbände und Daten-schützer entgegen. Vor allem schlug Deutschland vor, das sogenannte berechtigte Interesse als Rechtsgrundlage für Online-Tracking zu Werbezwecken aus dem Entwurf zu streichen. Dies hätte zur Folge gehabt, dass Tracking und Retargeting – also die gezielte werbliche Wiederansprache der Nutzer in den Online-Angeboten Dritter – auch in Zukunft nur mit einer ausdrücklichen Einwilligung der Nutzer möglich gewesen wären. Eine Ausnahme von dieser Grundregel sollte laut Entwurf lediglich für Presseverlage gelten.

Diverse Verbraucherverbände hatten vor dem Treffen der entscheidungsbefugten Arbeits-gruppe für Telekommunikation signalisiert, mit dem deutschen Vorschlag leben zu können. Bei den Vertretern der Werbe-, Verlags- und Technologie-Unternehmen stieß der Entwurf – und insbesondere die Streichung des berechtigten Interesses als Rechtsgrundlage für Tracking zu Werbezwecken – dagegen auf wenig Gegenliebe. Diese Kritik fand in einigen Mitgliedstaaten Gehör. Und so gelang es letztlich auch der deutschen Ratspräsidentschaft nicht, die so gegensätzlichen Interessen miteinander zu versöhnen.  

Unternehmen sollten sich auf Fortgeltung der aktuellen Regeln einstellen

Nach dem Scheitern des deutschen Entwurfs liegt der sprichwörtliche Ball ab dem 1. Januar 2021 bei der neuen portugiesischen Ratspräsidentschaft. Dass noch ein Kompromiss zwischen den Mitgliedstaaten erzielt werden kann, erscheint allerdings fraglich. Derzeit ist nicht ersichtlich, warum den Portugiesen gelingen sollte, woran bereits ein gutes Dutzend anderer Länder gescheitert ist. Selbst wenn der Rat unter der portugiesischen Präsidentschaft einen gemeinsamen Entwurf verabschieden sollte, bedarf es zudem viel Fantasie, um sich einen sowohl für das Parlament als auch für den Rat zustimmungsfähigen Gesamtkompromiss auszumalen. Die Zeichen sprechen also eher für ein endgültiges Aus der ePrivacy-Verordnung.

Welche Folgen hätte ein solches Scheitern für digitale Unternehmen?

Ohne Neuregelung würden bis auf Weiteres die aktuellen Bestimmungen der ePrivacy-Richtlinie anwendbar bleiben. Diese sind in Deutschland vor allem im Telemediengesetz (TMG) und im Telekommunikationsgesetz (TKG) umgesetzt. Danach ist das Setzen und Auslesen von Cookies zu Werbezwecken ohnehin nur mit vorheriger Einwilligung der Nutzer zulässig. Dies hat der Bundesgerichtshof vor Kurzem bestätigt. Dasselbe gilt, nach Auffassung der Datenschutzbehörden, auch für den Einsatz bekannter Analysetools wie Google Analytics.

Aus Unternehmenssicht ist das Scheitern der ePrivacy-Verordnung daher nicht nur Anlass zur Freude. Es bestand zumindest die Hoffnung, das vergleichsweise starre aktuelle Regelungskorsett durch einen progressiven Entwurf stärker an die Bedürfnisse der digitalen Wirtschaft anpassen zu können. Diese Hoffnung hat sich nun zerschlagen. Anderseits kann die Werbewirtschaft nach der flächendeckenden Implementierung der bekannten Cookie-Banner mit dem Status quo sicher deutlich besser leben als mit den restriktiven Vorschlägen des Europäischen Parlaments. Insofern bleibt der Trost, dass der Rat der Europäischen Union bis auf Weiteres größeres Unheil verhindert hat.

Der Autor, Dr. Lukas Stelten, ist Rechtsanwalt bei der Wirtschaftskanzlei CMS in Deutschland. Er berät deutsche und internationale Unternehmen zu sämtlichen datenschutzrechtlichen Fragestellungen, einschließlich internationalen Datentransfers, der Verwendung von Beschäftigten- und Sozialdaten sowie der Nutzung von Kundendaten.

In vielen Firmen ist der Einsatz von Fremdpersonal nicht mehr wegzudenken. So gewinnen Unternehmen Flexibilität und reduzieren Fixkosten. Das reformierte Arbeitnehmerüberlassungsgesetz (AÜG) macht das Thema zur Chefsache. Zum einen erschwert das neue AÜG den Einsatz von Leiharbeitern erheblich. Zum anderen erhöht es die Gefahr von Scheinselbständigkeit. Firmen sollten bestehende Verträge rund um Fremdpersonal kritisch prüfen und neue mit Weitblick ausgestalten. So können Unternehmen externe Kräfte trotz der verschärften Vorgaben bedenkenlos einsetzen.

Neues im Arbeitnehmerüberlassungsgesetz (AÜG)

Das neue Gesetz soll missbräuchlichen Praktiken beim Einsatz von Fremdpersonal einen Riegel vorschieben. Es regelt sowohl die Arbeitnehmerüberlassung als auch die Vermittlung und den Einsatz von Selbständigen. Ein zentraler Aspekt ist die Neuregelung der Einsatzzeiten von Leiharbeitern. Im alten AÜG war nicht klar geregelt, wie lange eine Überlassung höchstens erfolgen darf. Künftig ist die Höchstdauer auf 18 Monate limitiert. Tarifverträge oder Betriebsvereinbarungen lassen abweichend davon eine Einsatzdauer von maximal 24 Monaten zu.

Zeiträume vor dem 1. April 2017 bleiben außen vor. Personalverantwortliche sollten sich vorsichtshalber den 22. September 2018 im Kalender rot anstreichen. Dann endet bei laufenden Kontrakten erstmalig die Höchstüberlassungsdauer. Soll ein Zeitarbeiter im Anschluss im selben Unternehmen erneut zum Einsatz kommen, ist eine Unterbrechung von mehr als drei Monaten vorgeschrieben.

Vom Leiharbeiter ungewollt zum Arbeitnehmer

Werden die Zeitvorgaben nicht eingehalten, wird aus einem Leiharbeiter automatisch ein sozialversicherungspflichtiger Arbeitnehmer mit Urlaubsanspruch und Kündigungsschutz. Übersehen Unternehmen den Arbeitnehmerstatus, drohen neben hohen Lohnsteuer- und Sozialversicherungsnachzahlungen zusätzlich strafrechtliche Konsequenzen. Auch bei der Entlohnung von Zeitarbeitern müssen Entleiher aufpassen. Leiharbeitern steht spätestens nach neun Monaten das gleiche Gehalt („Equal Pay“) wie dem Stammpersonal zu. Tarifliche Sonderregelungen ermöglichen eine Einsatzzeit von bis zu 15 Monaten ohne Equal Pay.

Dazu muss der Entleiher dem Verleiher mitteilen, in welcher Höhe das vergleichbare Arbeitsentgelt zu veranschlagen ist. Bei Verstößen gegen das Equal-Pay-Gebot droht dem Verleiher ein Bußgeld, das in der Spitze 500.000 Euro betragen kann. Die Berechnung und Mitteilung des vergleichbaren Arbeitsentgeltes erfordert erhöhte Sorgfalt. Bei Fehlern kann das Zeitarbeitsunternehmen Bußgelder beim Entleiher einklagen.

Arbeitnehmer-Überlassungsvertrag

Für die Gestaltung eines Arbeitnehmer-Überlassungsvertrags (AÜV) gelten verschärfte Regeln. Der vereinbarte AÜV muss eindeutig als solcher bezeichnet und noch vor Arbeitsbeginn des Zeitarbeiters unter Dach und Fach sein. Im Vertrag darf der Name des Leiharbeiters sowie die Unterschrift des Ver- und Entleihers nicht fehlen. Bei Verstößen gegen die „Kennzeichnungs- und Konkretisierungspflicht“ kann die Arbeitsagentur gegen beiden Parteien ein Bußgeld in Höhe von bis zu 30.000 Euro verhängen. Darüber hinaus verliert der Überlassungsvertrag gegebenenfalls seine Gültigkeit und der Zeitarbeiter wird zum sozialversicherungspflichtigen Angestellten des Entleihers.

Festhaltenserklärung

Grundsätzlich bleibt ein Ausweg. Falls zwischen Entleiher und Zeitarbeiter unbeabsichtigt ein Arbeitsverhältnis entsteht, eröffnet das neue AÜG eine arbeitgeberfreundliche Lösung. Der frisch gebackene Arbeitnehmer kann innerhalb eines Monats erklären, dass er am Arbeitsvertrag mit dem Verleiher festhält (sog. Festhaltenserklärung). So vermeiden Mitarbeiter, dass sie sich wider Willen in der Rolle eines ungewollten Arbeitnehmers wiederfinden. Der Leiharbeitnehmer muss sich die Erklärung persönlich bei der Arbeitsagentur bestätigen lassen und spätestens drei Tage später beim Ver- oder Entleiher vorlegen. Firmen sollten nach einer erfolgten Festhaltenserklärung von einer Weiterführung der Überlassung absehen. Eine erneute Festhaltenserklärung wäre in jedem Fall unwirksam.

Einsatz von Freelancern

Auch beim Einsatz von Freelancern über Vermittlungsagenturen ist erhöhte Vorsicht geboten. Die Beschäftigung erfolgt auf der Grundlage eines Werk- oder Dienstvertrages zwischen dem Selbständigen und dem Einsatzunternehmen. Die Crux: Wenn Freelancer etwa über Zeit, Ort und Art ihrer Tätigkeit nicht frei entscheiden können, besteht eine Scheinselbständigkeit. Bisher konnten Vermittler im Rahmen der sog. Fallschirmlösung sich und ihre Auftraggeber vor negativen Konsequenzen schützen. Dafür sorgte eine vorsorglich beantragte Arbeitnehmerüberlassungserlaubnis. Der Dienstleister konnte so eine Scheinselbständigkeit nachträglich zur rechtmäßigen Leiharbeit umdeklarieren. Damit ist jetzt Schluss. Das neue Gesetz schließt die Fallschirmlösung grundsätzlich aus.

Der Rechtmäßigkeit bestehender und künftiger Verträge kommt damit eine enorme Bedeutung zu. Die tatsächliche Beurteilung der Beschäftigungsform hängt oft von Kleinigkeiten ab. Firmen sollten bestehende Verträge und die gelebte Einsatzpraxis kritisch unter die Lupe nehmen und gegebenenfalls nachjustieren.

Was ist das Mobilitätsbudget?

Das Mobilitätsbudget ist ein Angebot von Unternehmen für ihre Mitarbeitenden, alternative Verkehrsmitteln für privat veranlasste Reisen zu nutzen. Das Unternehmen stellt dafür einen bestimmten Betrag zur Verfügung, die Mitarbeitenden können die Verkehrsangebote je nach aktuellen Bedürfnissen, Verfügbarkeit und persönlichen Präferenzen flexibel miteinander kombinieren. Das Mobilitätsbudget ist damit eine gute Alternative zum privaten Auto oder Dienstwagen.

Was ist jetzt neu?

Im Regierungsentwurf für ein Jahressteuergesetz 2024 wurden die Rahmenbedingungen für ein Mobilitätsbudget definiert und steuerliche Anreize für dessen Nutzung geschaffen. So sollen Unternehmen die Möglichkeit erhalten, den damit verbundenen geldwerten Vorteil für Arbeitnehmende pauschal mit 25 Prozent zu versteuern. Die Regelungen zur Dienstwagenbesteuerung sollen damit nicht verändert werden.

Welche Verkehrsmittel können genutzt werden?

Unternehmen können die Angebotswahl in ihrem Mobilitätsangebot selbst bestimmen. Grundsätzlich können neben ebenfalls steuerlich geförderten Jobtickets auch Budgets für die gelegentliche Inanspruchnahme von Sharing-Angeboten wie E-Roller, Leihräder oder Carsharing-Autos, enthalten sein. Auch Einzelfahrkarten, Zeitkarten und Ermäßigungskarten für den Bus- und Bahnverkehr, also etwa der monatliche Anteil einer BahnCard, können Teil des Mobilitätsbudgets sein.

Was fällt nicht unter das Mobilitätsbudget?

Die dauerhafte und nicht nur gelegentlichen Nutzung von Pkw ist ausgeschlossen. Auf Dauer ausgelegte Mietwagen-, Leasing- oder Abo-Modelle fallen also nicht unter das Mobilitätsbudget. Gleiches gilt für Luftfahrzeuge, Privatwagen der Mitarbeitenden und dauerhaft auch zur privaten Nutzung überlassene Dienstwagen. Wird für die Arbeitnehmenden bereits eine Pauschalbesteuerung für die Fahrten Wohnung-Arbeitsstätte vorgenommen, kann die Pauschalbesteuerung für ein Mobilitätsbudget nicht dafür in Anspruch genommen werden.

Wer muss das Mobilitätsbudget versteuern?

Grundsätzlich müssen die Mitarbeitenden einen solchen geldwerten Vorteil versteuern. Die Betriebe hingegen müssen entsprechende Sozialversicherungsbeiträge abführen. Werden die Pläne der Regierung umgesetzt und entschließen sich Unternehmen dann das Mobilitätsbudget künftig selbst pauschal mit 25 Prozent zu versteuern, ist dieses beitragsfrei.

Was sind die Voraussetzungen für eine Pauschalbesteuerung?

Die pauschale Versteuerung ist nur zulässig, wenn Betriebe das Mobilitätsbudget zusätzlich zum geschuldeten Arbeitslohn gewähren. Zudem ist die Möglichkeit der Pauschalbesteuerung auf einen Höchstbetrag von 2.400 Euro im Kalenderjahr begrenzt und kann nicht für bereits pauschal versteuerte Sachbezüge oder Zuschüsse genutzt werden. Die Regelungen sind also nur alternativ anwendbar.

Tipp: Was solltest du jetzt tun?

• Behalte die geplanten Steuerbegünstigungen im Blick!
• Prüfe, ob deine Belegschaft Interesse an einem Mobilitätsbudget als Benefit hat.
• Sprich mit deinem/deiner Steuerberater*in, um zu klären, welche Vor- und Nachteile eine Pauschbesteuerung für dein Unternehmen hat.

Der Autor Andreas Islinger – LL.M. Sozialrecht, Master of Arts in Taxation – ist Partner, Steuerberater und Leiter Rentenberatung und Lohnzentrum bei ECOVIS in München.

Alljährlich werden über 100 EXIST-Gründungsstipendien (im Folgenden nur „Stipendien“) zur Förderung innovativer Spinn-offs aus Hochschulen und anderen wissenschaftlichen Einrichtungen (im Folgenden nur „Hochschulen“) vergeben. In der aktuellen Förderrichtlinie des Bundesministeriums für Wirtschaft und Klimaschutz (BMWK) vom 18. April 2023 wird von den Hochschulen auch die Überlassung von IP an die Unternehmensgründungen erwartet. „IP“ – kurz für Intellectual Property (geistiges Eigentum) – umfasst Immaterialgüter wie z.B. Erfindungen, Software und Designs sowie die für diese erhältlichen Schutzrechte, z.B. Patente, Urheberrechte und Gemeinschaftsgeschmacksmuster.

Warum IP-Abgrenzung gegenüber Hochschulen?

Konkret sollen die Hochschulen während der Projektlaufzeiten u.a. „der Unternehmensgründung einen Zugriff auf das notwendige geistige Eigentum zu marktüblichen Konditionen gewähren“. Marktübliche Konditionen beinhalten oft Lizenzgebühren. Die Aussicht auf Lizenzeinnahmen kann bei Hochschulen Begehrlichkeiten wecken und dazu führen, auch IP für sich zu beanspruchen, das originär den EXIST-Stipen­diat*innen (im Folgenden nur „Stipendiat*innen“) zusteht. Daher sollten Stipendiat*innen ihre IP-Position kennen. Diese ist stark und wird im Folgenden zusammengefasst.

Hintergrund: EXIST-Stipendien

Die EXIST-Programme des BMWK fördern innovative Gründungsprojekte aus der Wissenschaft in deren Frühphase. Förderfähige Mitglieder eines Gründungsteams können insbesondere Absolvent*innen, Wissenschaftler*innen und Studierende sein, die im Rahmen von Vorarbeiten bereits Grund­lagen des Gründungsprojekts erarbeitet haben. Um die Förderung zu erhalten, muss noch kein Businessplan ausgearbeitet sein und es darf weder eine Geschäftstätigkeit aufgenommen noch eine Kapitalgesellschaft gegründet worden sein.

Die Stipendien werden auf Antrag von Hochschulen gewährt. Diese müssen die Gründungsteams während der Projektlaufzeit unter anderem durch Mentoring und Bereitstellung von Arbeitsmöglichkeiten (z.B. Laboreinrichtungen) unterstützen und die Fördermittel verwalten. Die Fördermittel umfassen nicht nur die zur Finanzierung der Stipendien erforderlichen Beträge – abhängig von der jeweiligen Qualifikation je Teammitglieder ein Jahr lang zwischen 1000 und 3000 Euro monatlich zuzüglich Zuschläge für unterhaltsberechtigte Kinder. Auf Antrag der Hochschulen kommen bis zu 30.000 Euro für Sachmittel und 5000 Euro für Coaching/Beratung des Gründungsteams hinzu. Zur Umsetzung schließen die Hochschulen mit den Mitgliedern der Gründungsteams Stipendiatenverträge. IP-rechtlich besonders relevant ist dabei:

Dass Hochschulen Arbeitsplätze zur Verfügung stellen und Geld an die Stipendiat*innen auszahlen, macht die Stipen­diat*innen nicht zu Arbeitnehmer*innen der Hochschulen. Stipendiat*innen sind keine Arbeitnehmer*innen, sondern „Begünstigte“. Sie müssen nicht für die Hochschule arbeiten, sondern nur für sich selbst. Das wird von Hochschulverwaltungen gelegentlich missverstanden. Aber für die IP-Zuordnung ist dieser Status der Stipendiat*innen entscheidend.

Basics der IP-Zuordnung: Schutzfähiges gehört den Kreativen

Sowohl im deutschen als auch im EU-Recht gilt ein wichtiger Grundsatz: Die schutzfähigen Ergebnisse kreativer menschlicher Tätigkeiten stehen grundsätzlich der/dem Kreativen zu, also der/dem Schöpfer*in, Urheber*in, Entwerfer*in, Erfinder*in oder Züchter*in. Dies folgt unmittelbar aus den jeweiligen gesetzlichen Bestimmungen in §§ 7, 15 Urheberrechtsgesetz (UrhG), § 7 Abs. 1 Satz 1 Designgesetz (DesignG), § 6 Patentgesetz (PatG), § 13 Abs. 3 Gebrauchsmustergesetz (GebrMG), § 8 Abs. 1 Satz 1 Sortenschutzgesetz (SortSchG), § 2 Abs. 1 Satz 1 Halb­leiterschutzgesetz (HalblSchG) und §§ 4, 14 Markengesetz sowie aus Art. 14 Abs. 1 EU-Gemeinschafts­geschmacksmuster-VO (GGV) und Art. 11 Abs. 1 EU-Sortenschutz-VO (siehe dazu auch die Tabelle „IP-Zuordnung“).

Keine Geltung arbeitsrechtlicher Bestimmungen für Stipendiat*innen

Ausnahmen von diesem Grundsatz gelten in Arbeitsverhältnissen und bei Herstellung von Software auch im Rahmen sonstiger Dienstverhältnisse. Entwickeln Arbeitnehmer*innen in Erfüllung ihres Arbeitsvertrags schutzfähige Immaterialgüter, z.B. eine neue technische Lehre (Erfindung) oder eine Software, dann stehen diese der/dem Arbeitgeber*in zu. Dies folgt aus § 2 Abs. 2 HalblSchG, § 7 Abs. 2 DesignG, 43, § 69b UrhG (in Abs. 2 auch für sonstige Dienstverhältnisse), Art. 14 Abs. 3 GGV, Art. 11 Abs. 3 EU-Sortenschutz-VO und aus dem Arbeitnehmererfindungsgesetz (ArbnErfG). Da Stipendiat*innen als solche aber gerade keine Arbeitnehmer*innen sind, wird das IP, das sie im Rahmen ihrer Gründungsvorbereitungen generieren, nicht von diesen Regelungen erfasst. Deshalb erwerben Stipendiat*innen, die

• technische Lehren (Erfindungen), Topografien oder Designs entwickeln,
• Sorten züchten,
• Datenbanken erstellen,
• Software oder andere Werke (z.B. Filmwerke) herstellen,
• Marken mit Unterscheidungskraft entwickeln sowie anmelden und/oder
• Geschäftsgeheimnisse entwickeln und kontrollieren, unmittelbar selbst die Rechte an diesen Immaterialgütern.

Diese können die Stipendiat*innen ohne Mitspracherechte und Lizenzansprüche der Hochschule nutzen. Die Stipen­diat*innen können auch allein entscheiden, ob dafür Schutzrechte beantragt werden sollen (Urheberrechts- und kurzfristiger EU-Geschmacksmusterschutz entsteht auch ohne Antrag automatisch). Wichtig ist, dass den Stipendiat*innen bewusst ist, dass ihnen nach den gesetzlichen Bestimmungen das IP zusteht, das sie während des EXIST-Förderzeitraums als Stipendiat*innen generieren. Denn vor diesem Hintergrund bleibt oft kein oder zumindest nur wenig IP übrig, für das sie eine Lizenz der Hochschule benötigen.

Welches Hochschul-IP bleibt relevant?

Die IP- und Transfer-Strategien deutscher Hochschulen sind primär auf Wissens- und Technologietransfer sowie die Verwertung von Erfindungen ausgerichtet. Deshalb verfügen die wenigsten Hochschulen über Design-, Marken- oder Softwareportfolios, die für Gründer*innen interessant sind. In der Praxis verengt sich das für Stipendiat*innen relevante Hochschul-IP daher im Wesentlichen auf folgende zwei Gruppen:

• Erfindungen, für die die Hochschule ein Patent hält oder beanspruchen kann (sowie, in seltenen Fällen, von Hochschulen geschützte Sorten);
• IP, das Stipendiat*innen bereits vor Beginn der Förderung noch als Arbeitnehmer*innen der Hochschule in Erfüllung ihrer Dienstpflichten generiert haben und nunmehr selbst unternehmerisch nutzen wollen. Denn solches IP steht der Hochschule als (zu diesem Zeitpunkt noch) Arbeitgeberin zu (siehe oben) – wobei für Diensterfindungen gemäß § 42 ArbnErfG bestimmte Besonderheiten gelten.

Die Schnittmenge der beiden Gruppen bilden von Hochschulen nach dem ArbnErfG in Anspruch genommene Dienst­erfindungen, die Mitglieder eines Gründungsteams zuvor (noch) als Hochschulbeschäftigte gemacht haben und anschließend EXIST-gefördert auf eigene Rechnung verwerten wollen. Wenn Stipendiat*innen ihre IP-Position vor diesem Hintergrund optimieren wollen, sollten sie Folgendes nicht vergessen:

Woran Stipendiat*innen bei Lizensierung von Hochschul-IP denken sollten

Wenn Hochschulen entsprechend der Förderrichtlinie Lizenzgebühren für die Nutzung von Hochschul-IP verlangen, sollten die Stipendiat*innen versuchen, absatzabhängige Lizenzgebühren auszuhandeln. Auch absatzabhängige Lizenzgebühren sind marktüblich. Diese fallen aber nur dann an, wenn das Start-up durch die Nutzung des Hochschul-IP auch tatsächlich selbst Einnahmen erzielt. Das ist für die Stipen­diat*innen liquiditätsschonend und risikoärmer.

Und wenn Stipendiat*innen Lizenzgebühren für eine frühere Diensterfindung (Schnittmenge oben) eines Mitglieds ihres Gründungsteams an die Hochschule zahlen, gilt § 42 Nr. 4 ArbnErfG. Danach muss die Hochschule 30 Prozent der vereinnahmten Lizenzgebühren direkt wieder an dasjenige Mitglied des Gründungsteams auskehren, das die Diensterfindung gemacht hat.

Der Autor Prof. Dr. Nicolai Schädel ist Professor für Wirtschaftsrecht an der Hochschule der Medien Stuttgart (HdM) und of Counsel bei der Rechtsanwaltssozietät Kurz Pfitzer Wolf & Partner (KPW) in Stuttgart

Ein für Gründer*innen regelmäßig relevantes Thema ist die Beteiligung eines/einer später hinzutretenden Co-Founder*in zu dem als UG/GmbH organisierten Start-up. Klassischerweise soll der/die hinzutretende Gründer*in dabei kein Cash Investment mitbringen, sondern das Start-up durch seine künftige Tätigkeit unterstützen. Das Ziel ist mithin regelmäßig, dass der/die hinzutretende Co-Founder*in lediglich den Nominalbetrag der Anteile (in der Regel ein Euro je Anteil) leistet, nicht aber den ggf. weit höheren Verkehrswert. Dies ist etwa beabsichtigt, wenn das Gründungsteam nachträglich erweitert werden soll, auf Betreiben eines/einer beteiligten Investor*in oder wenn in einer Nachfolgekonstellation ein(e) neue(r) Co-Founder*in für ein ausgeschiedenes Teammitglied nachrückt.

Das Problem besteht nun darin, dass die Gewährung der Anteile in diesen Szenarien nach deutschem Steuerrecht grundsätzlich der Einkommensteuer unterliegen kann. Ein für die Einkommensbesteuerung relevanter Zufluss liegt bei der Gewährung einer Beteiligung grundsätzlich schon vor, wenn „echte“ Anteile (im Gegensatz zu virtuellen Anteilen) rechtlich wirksam übernommen werden.

Je nach konkreter Situation dürfte dann der/die beitretende Co-Founder*in, der/die für die Einräumung lediglich den Nominalbetrag leistet, im Hinblick auf den Differenzbetrag bis zum Verkehrswert der eingeräumten Anteile einkommensteuerpflichtig sein. Es erfolgt mithin eine Besteuerung auf Grundlage des Werts der Anteile, obgleich dem/der Co-Founder*in kein Cash-Betrag zufließt (sog. Dry Income). Dies ist ein ganz erhebliches Steuerrisiko, das den/die beitretende(n) Co-Founder*in direkt betrifft. Es ist wegen der Pflicht der Gesellschaft zur ordnungsgemäßen Abführung entsprechender Lohnsteuer auch ein Thema für die Geschäftsführung der Gesellschaft.

Fondsstandort- und  Einkommensteuergesetz

Der Gesetzgeber hatte an sich im Jahr 2021 die Intention, dieses Thema zu regeln, und als Folge sollte auch der/die beitretende Co-Founder*in entlastet werden. Der in diesem Zusammenhang im Rahmen des sog. Fondsstandortgesetzes (2021) neu gefasste § 19a Einkommensteuergesetz (EStG) hilft an dieser Stelle allerdings nur bedingt. Nach § 19a Abs. 1 EStG unterliegen die Anteile bei Einräumung zwar zunächst nicht der Einkommensbesteuerung, sondern gemäß § 19 Abs. 4 Nr. 1 EStG erst bei der späteren Übertragung im Exit-Fall. Dies würde für sich gesehen dem/der Co-Founder*in zur Risikominimierung steuerrechtlich entgegenkommen, da eine Besteuerung dann erst erfolgt, wenn tatsächlich der Exit-Erlös erzielt wird.

Allerdings wird die Einkommensteuer nach den weiteren Varianten des § 19 Abs. 4 EStG auch dann fällig, wenn seit der Übertragung der Vermögensbeteiligung zwölf Jahre vergangen sind oder das Dienstverhältnis des/der Gründer*in beendet wird.

Nach § 19a Abs. 5 EStG hat das Betriebsstättenfinanzamt den nicht besteuerten Vorteil im Rahmen einer Anrufungsauskunft gemäß § 42e EStG bei Einräumung der Anteile zu bestätigen. Im Falle des späteren Exits wird dann für die Bewertung des zu besteuernden geldwerten Vorteils auf diese Feststellungen Bezug genommen.

Aus Sicht des/der beitretenden Co-Founder*in besteht damit auch bei Anwendung des § 19a EStG weiterhin die Gefahr, dass sich das Steuerrisiko zu einem Zeitpunkt realisiert, in dem er/sie aus dem Beitritt noch keine Erlöse erzielt hat. Auch wird die Steuerlast nicht abhängig von der Wertentwicklung der eingeräumten Anteile reduziert, sondern lediglich auf einen späteren Zeitpunkt verlagert.

Hurdle Shares und Growth Shares

Dieses Thema wird im Rahmen einer Finanzierungsrunde aktuell anderweitig über die Gewährung von sog. Hurdle Shares oder auch Growth Shares gelöst. Hierbei handelt es sich um Anteile (in der Regel Common Shares mit Stimmrechten etc.), deren Wert im Ergebnis im Zeitpunkt der Übertragung bei einer späteren Erlösverteilung als negativer Rechnungsposten zum Abzug gebracht wird (sog. negative Liquidationsprä­ferenz). Deren Anerkennung durch die Finanzverwaltung setzt dabei voraus, dass sämtliche Erlöse, also Liquidations-, Gewinn- und sonstige Erlöse, erfasst werden. Im Zeitpunkt der Einräumung wird so der Wert der Anteile und damit der zu besteuernde geldwerte Vorteil neutralisiert.

Wesentlich bei der Einräumung dieser Anteile ist damit die Festlegung eines sog. Hurdle Amount je Anteil, der definiert, welcher Abzug von künftigen Erlösen erfolgen soll. Dieser Wert entspricht regelmäßig dem Verkehrswert des jeweiligen Anteils zum Zeitpunkt der Einräumung abzüglich des tatsächlich gezahlten Anteilspreises (in der Regel Nominalbetrag). Vereinfacht ist der/die hinzutretende Co-Founder*in bei einem künftigen Exit mithin nur mit der Wertsteigerung ab seinem/ihrem Beitritt beteiligt. In der Folge erzielt der/die Co-Founder*in, anders als in den Fällen der Dry-Income-Besteuerung, keinen unmittelbaren Lohnzufluss, der bereits bei Einräumung zu versteuern wäre. Dies gilt allerdings nur insoweit, als der Hurdle Amount der tatsächlichen Differenz zwischen dem gezahltem Anteilspreis und dem Verkehrswert entspricht. Bei Abweichungen zugunsten des/der Co-Founder*in führt die Differenz zu einem sog. geldwerten Vorteil, der als Teil des Arbeitslohns im Zeitpunkt des Zuflusses zu versteuern ist.

Neben der Vermeidung der Anfangsbesteuerung bei Einräumung der Anteile erzielen die Hurdle Shares auch eine reduzierte Steuerlast im Exit-Fall. Aufgrund der Gestaltung als echte Beteiligung (im Gegensatz etwa zu einer virtuellen Beteiligung, hier Besteuerung mit dem persönlichen Steuersatz – also unter Umständen bis zu 45 Prozent zzgl. Solidaritätszuschlag), werden aus der Beteiligung Kapitaleinkünfte erzielt, die dem sog. Abgeltungssteuersatz (25 Prozent zzgl. Solidaritätszuschlag) unterliegen oder (bei Beteiligungen von mindestens einem Prozent) im Teileinkünfteverfahren zu 40 Prozent steuerfrei gestellt sind. Bei Zwischenschaltung einer Holding-UG kann die Steuerlast unter Umständen noch weiter reduziert werden (bis zu 95 Prozent der Einkünfte steuerfrei).

Zur Vermeidung von steuerlichen Risiken empfiehlt es sich, die Strukturierung der Co-Founder-Beteiligung über Hurdle Shares im Rahmen einer Lohnsteueranrufungsauskunft (denkbar, aber aufwendiger ist auch eine verbindliche Auskunft oder eine Kombination) mit der Finanzverwaltung abzustimmen. Die diesbezügliche Rückmeldung hat zwar nur Bindungswirkung für die Gesellschaft und nimmt zudem einige Monate in Anspruch – während dieser Zeit kann die Beteiligung noch nicht final umgesetzt werden –, sollte aber insbesondere wegen der Bewertungsunsicherheiten bei Start-ups als Absicherung erwogen werden.

Diese Wartezeit bedeutet jedoch nicht, dass der Beitritt der/des Co-Founder*in (etwa im Rahmen einer Finanzierungsrunde) bis zur positiven Auskunft des Finanzamts aufgeschoben werden muss. Dieser Umstand kann im Rahmen der Erstellung der Beteiligungsdokumentation entsprechend abgebildet werden und die finale Einräumung der Beteiligung vom Eingang einer positiven Rückmeldung abhängig gemacht werden. Auch für den Fall einer negativen Rückmeldung werden in der Regel bereits Vorkehrungen getroffen, etwa durch die alternative Einräumung von virtuellen Anteilen (dann allerdings mit höherer Besteuerung; s.o.).

Zukunftsfinanzierungsgesetz

Aktuell bestehen Diskussionen über weitere gesetzgeberische Maßnahmen, die für das hier beschriebene Thema relevant sind. Insbesondere durch den aktuell vorliegenden Referenten­entwurf des Gesetzes zur Finanzierung von zukunftssichernden Investitionen (kurz: Zukunftsfinanzierungsgesetz) werden verschiedene Maßnahmen vorgesehen, durch die unter anderem die o.g. Punkte an den bestehenden Regelungen aufgegriffen werden.

Bezüglich der Beteiligung eines/einer Co-Founder*in sind die rechtlichen und insbesondere steuerrechtlichen Rahmenbedingungen zu beachten. Hier wird der Gesetzgeber seit einiger Zeit tätig; es ist jedoch noch nicht absehbar, mit welchen Änderungen zu rechnen ist. Bis dahin wird es in den meisten Fällen einer nachträglichen Beteiligung naheliegen, eine Gestaltung von Hurdle Shares vorzusehen und den Vorgang steuerrechtlich mit der Finanzverwaltung entsprechend vorab zu klären.

Die Autoren: Alexander Weber, LL.M. (Victoria University of Wellington) ist Partner und Roman Ettl-Steger, LL.M. (King’s College London) Salaried Partner, beide am Münchner Standort der Kanzlei Heuking Kühn Lüer Wojtek im Bereich Venture Capital, www.heuking.de

Elektronische Transaktionen und Daten, die von Endgeräten und anderen Quellen stammen, bilden die Grundlage für die Geschäftsmodelle einige der größten Unternehmen der Welt. Doch der jahrzehntelange Wildwuchs in der Datenspeicherung sorgte für Misstrauen der Verbraucher*innen und verlangte nach gesetzgeberischen und regulatorischen Maßnahmen.

Auch das Jahr 2023 wird einige neue Regelungen und Maßnahmen bringen, auf die sich die Unternehmen vorbereiten müssen. Hier vier Prognosen:

1. Internationale Datenübermittlungen

Bis Juli 2020 galten die USA laut eines Angemessenheitsbeschlusses der Europäischen Kommission (basierend auf dem EU-US-Privacy-Shield-Abkommen) als sicheres Drittland. Das Datenschutzniveau wurde also als ähnlich gut eingeschätzt wie das der EU. Dies änderte sich jedoch, als der Österreicher Max Schrems mit seiner Klage in der Sache „Schrems II“ vor dem Europäischen Gerichtshof (EuGH) Erfolg hatte.

Am 16. Juli 2020 erklärte der EuGH das bis dahin geltende Privacy Shield für ungültig (Rechtssache C-311/18, Schrems II). Seitdem gelten die USA nicht mehr als sicheres Drittland, was den Datentransfer für Firmen bedeutend komplizierter gestaltete. Die rechtskonforme Gestaltung von Datenübermittlungen aus Europa in die USA ist inzwischen eines der komplexesten und zeitaufwendigsten Themen, mit denen sich Datenschutzbeauftragte in Unternehmen in den letzten zwei Jahren beschäftigen mussten.

Nun kommt Bewegung in die Sache: Die EU-Kommission hat Mitte Dezember 2022 ihren Entwurf für den bevorstehenden Angemessenheitsbeschluss veröffentlicht, die Arbeiten am neuen EU-U.S.-Data-Privacy-Framework laufen auf Hochtouren.

Bis zum Erlass, der in der ersten Jahreshälfte 2023 erwartet wird, bleibt es jedoch bei der derzeitigen Rechtslage. Bis dahin werden die anderen möglichen Übermittlungsinstrumente des Art. 46 DSGVO – insbesondere Standardvertragsklauseln (SCC) und Binding Corporate Rules (BCR) – sowie die Ausnahmetatbestände des Art. 49 DSGVO (speziell die Einwilligung der betroffenen Personen) genutzt werden, und zwar mit allen bekannten Herausforderungen und Nachteilen.

2. EU-Dateninitiativen werden verabschiedet

Neue EU-Dateninitiativen werden verabschiedet oder in Kraft treten. Sie beeinflussen, wie Daten mit anderen geteilt werden dürfen und zwingen Organisationen, die einen Wert aus personenbezogenen Daten ziehen, dazu, die Modalitäten für die Weitergabe, den Schutz und den Zugriff auf diese Informationen zu ändern. Besonders folgende:

• Digital Services Act (DSA): Der DSA wird die veraltete E-Commerce-Richtlinie aus dem Jahr 2000 ablösen. Sein extraterritorialer Geltungsbereich betrifft die derzeitigen Geschäftsmodelle vieler datengesteuerter Organisationen, darunter Internetdienst- und Cloud-Anbieter, soziale Medien und Online-Plattformen, Marktplätze und Suchmaschinen. So werden unter anderem zusätzliche Transparenzanforderungen für Online-Werbung, ein Verbot von „Dark Patterns“ und Einschränkungen für Werbung auf der Grundlage sensibler Daten erlassen.
• Data Act: Das Datengesetz soll harmonisierte Regeln für den fairen Zugang zu und die Nutzung von Daten schaffen. Es stellt sicher, dass ein breiteres Spektrum von Akteuren die Kontrolle über ihre Daten erhält. Es sollen mehr Informationen für innovative Zwecke zur Verfügung stehen, während gleichzeitig Anreize für Investitionen in die Datengenerierung erhalten bleiben. Das soll schließlich zu einem maximalen Wert der Daten für Wirtschaft und Gesellschaft führen.
• Europäischer Raum für Gesundheitsdaten: Befasst sich mit den gesundheitsspezifischen Schwierigkeiten beim Zugang zu elektronischen Gesundheitsdaten, der gemeinsamen Nutzung und der Gestaltung eines gemeinsamen Raums, in dem natürliche Personen ihre elektronischen Gesundheitsdaten leicht kontrollieren können. Zudem soll er es Forschern und politischen Entscheidungsträgern ermöglichen, diese elektronischen Gesundheitsdaten in einer vertrauenswürdigen und sicheren Weise zu nutzen, bei der die Privatsphäre gewahrt bleibt.
• Artificial Intelligence Act: Viele Umfragen zeigen, dass sich Verbraucher über die Verwendung ihrer personenbezogenen Daten in KI-Anwendungen Sorgen machen. Der Vorschlag für eine Verordnung mit harmonisierten Regeln für künstliche Intelligenz soll diese Bedenken ausräumen und die ethische Nutzung von KI gewährleisten. Flankiert wird er von den außervertraglichen, zivilrechtlichen Haftungsregeln für künstliche Intelligenz. Diese sollen dafür sorgen, dass Betroffene die gleichen Schutzstandards genießen, falls ihnen unter anderen Umständen durch KI-Produkte oder -Dienste ein Schaden entstehen sollte.

3. Umstellung auf neue Standardvertragsklauseln (SCC)

Im Juni 2021 erließ die Europäische Kommission neue Standardvertragsklauseln (SCC), die seit dem 27. September 2021 für alle neuen Verträge gelten. Diese neuen SCC sind modular aufgebaut und decken alle praktisch relevanten Varianten des Datentransfers ab, ohne wie bisher auf komplizierte und teilweise unpraktische Vertragskonstellationen zurückzugreifen.

In diesem Zusammenhang mussten Unternehmen bis zum 27. Dezember 2022 alle Altverträge auf die neuen Standardvertragsklauseln umstellen. Laut diversen deutschen Datenschutzbehörden soll es keine weitere Fristverlängerung geben, sie wollen also kein Auge mehr zudrücken. Daher müssen Firmen, die bis Ende Dezember 2022 alte Verträge nicht auf die neuen SCCs angepasst haben, mit Sanktionen der Aufsichtsbehörden rechnen.

4. Vormarsch neuer Instrumente der Rechtsdurchsetzung

Reine Kontrollmaßnahmen der Aufsichtsbehörden werden 2023 nicht mehr allein im Vordergrund stehen. Der Trend geht vielmehr zur zivilrechtlichen Durchsetzung der Beendigung datenschutzwidriger Verarbeitungen und der Entschädigung von Datenschutzverstößen. Dies zeigte sich bereits 2022 im Fall von Google Fonts.

Hunderte von Organisationen in Deutschland und Österreich sahen sich im Sommer und Herbst 2022 mit Abmahnungen und Unterlassungserklärungen wegen Google Fonts konfrontiert. Solche Trittbrettfahrer werden in Zukunft voraussichtlich vermehrt einzelne Gerichtsentscheidungen nutzen, um mit derartigen Massenverfahren gegen angebliche Datenschutzverstöße auf breiter Front vorzugehen. Davon dürften insbesondere Websites und Apps betroffen sein, da sich datenschutzwidrige Konfigurationen und nicht autorisierte Tools mit geringem Aufwand schnell und eindeutig nachweisen lassen. Dass sich solche Massenabmahnungen zumindest in einer Grauzone bewegen und die Schwelle zur Missbräuchlichkeit leicht überschritten werden dürfte, zeigen die ersten Gerichtsverfahren gegen die abmahnenden Anwälte.

Natürlich werden auch die Aufsichtsbehörden weiterhin die DSGVO durchsetzen, doch auch diese dürften in Zukunft Neuland betreten. Es ist nur eine Frage der Zeit, bis sie zunehmend die ihnen nach Artikel 58 DSGVO zur Verfügung stehenden Instrumente nutzen, um die Datenverarbeitung (vorübergehend) zu untersagen und die Löschung von Daten anzuordnen. Da die Wirkung dieser Maßnahmen sofort eintritt, sind die Auswirkungen und die Intensität der Intervention am größten. Aufgrund der rechtlichen Brisanz solcher Entscheidungen haben die Behörden bisher jedoch nur selten von ihnen Gebrauch gemacht. Doch ändert sich bald. So könnten in Fällen wie bei Google Analytics im Jahre 2022 zukünftig nicht nur eine Feststellung der Datenschutzwidrigkeit seitens Behörden erfolgen, sondern zusätzlich eine Untersagung der Übermittlung.

Die größte und wesentlichste Veränderung bei der Rechtsdurchsetzung dürfte jedoch das verstärkte Eingreifen von NGOs und anderen Verbraucherschutzverbänden darstellen. Organisationen wie NOYB haben bei verschiedenen europäischen Aufsichtsbehörden Hunderte von Beschwerden über Cookie-Banner und Websites eingereicht, die gegen Datenschutzgesetze verstoßen. Artikel 80 der DSGVO ermöglicht es NGOs und Verbraucherverbänden, Beschwerden bei den Behörden einzureichen und im Namen der betroffenen Personen Schadenersatz zu fordern. Diese Möglichkeit kannten bisher nur wenige, deswegen wurde sie kaum wahrgenommen. Allerdings dürfte es zu einer verstärkten Aktivität solcher Organisationen kommen, speziell nach dem Grundsatzurteil des EuGH über die Rechtsstellung von Verbraucherschutz-Organisationen im Mai 2022.

Der Europäische Verbraucherverband hat bereits angekündigt, dass seine Mitglieder ihre Befugnisse im Rahmen der DSGVO nutzen wollen, um den Verbraucherdatenschutz zu verbessern.

Der Autor Dr. Frank Schemmel (Practice Lead International Privacy & Compliance) ist seit 2018 bei DataGuard - der All-in-one-Plattform in Sachen Compliance-Anforderungen, Informationssicherheit und Datenschutz – tätig.

Die meisten Gründer*innen denken bei Datenschutz erstmal an Cookie-Banner und Einwilligungen zur Datenerhebung. Dabei steckt viel mehr dahinter. So richtig erfolgreich werden Datenschutzpraktiken erst, wenn jedes Teammitglied auch an die Bedeutsamkeit und Notwendigkeit einer datenschutzfreundlichen Organisation glaubt. Gerade beim Aufbau eines neuen Unternehmens ist es deshalb wichtig, dass das Managementteam eine Vorbildfunktion einnimmt, wenn es um den Datenschutz geht. So wird auch für die Mitarbeitenden deutlich, wie überzeugt die Führungsriege von der Bedeutung des Datenschutzes ist. Im besten Fall zieht dann das ganze Team bei diesem komplexen Thema mit. Und das bringt eine Menge Vorteile mit sich:

• Konform mit allen Regulierungen: Die Europäische Datenschutz-Grundverordnung (DSGVO) ist seit einigen Jahren offiziell das gesetzliche Schutzschild der Privatsphäre europäischer Nutzer*innen. Auch in den USA gilt inzwischen der California Consumer Privacy Act (CCPA), der Datenschutzrechte und den Verbraucher*innenschutz in Kalifornien verbessert. Inzwischen gibt es Absprachen, die Bürger*innen aus Europa und den USA gleichermaßen schützen sollen. Es ist also eine rationale und rechtssichere Entscheidung, mit den wachsenden und sich ändernden Datenschutzbestimmungen Schritt zu halten.
• Niemand traut einem Datendealer: Datenkraken werden meist nur deshalb genutzt, weil ihre Verwendung so weitverbreitet ist. Man denke an die großen Messenger oder sozialen Netzwerke. Da sticht der Netzwerkeffekt die Datenschutzbedenken aus. Ansonsten gilt aber: Je weniger Daten ein Unternehmen von den Nutzer*innen sammelt, desto weniger Daten können missbraucht werden. Gerade bei Start-ups können ein Leak und der damit verbundene Reputationsverlust das Unternehmen massiv schädigen. Kommuniziert das gesamte Team jedoch das Bewusstsein für den Datenschutz klar und deutlich, gewinnt das Unternehmen eine der wichtigsten Währungen beim Markenaufbau: Vertrauen.
• Datenschutz als soziale Verantwortung: Der Schutz der Privatsphäre ist ein Gesellschaftsthema: Die vielen Skandale von den Snowden-Leaks bis hin zu Cambridge Analy­tica haben gezeigt, wie Daten wirklich missbraucht werden. Sich von solchen Praktiken abzugrenzen, zeugt von einem klaren moralischen Kompass und ist zugleich ein valides Arbeitgeber*innenargument am umkämpften Arbeitsmarkt.

Datenschutz zum Führungsthema machen

Datenschutz hat somit zahlreiche Qualitäten, die Gründer*innen in Betracht ziehen sollten. Nachfolgend ein paar Tipps und Denkanstöße, wie man dem Thema im Unternehmen Priorität einräumen kann.

Authentizität

Gründer*innen können ein datenschutzbewusstes Team nur dann fördern, wenn sie selbst Einsatz zeigen. Kommunizieren Gründer*innen an ihre Teams, dass sie sich persönlich für den Datenschutz einsetzen, fördert das die interne Akzeptanz. Gab es vielleicht einen Aha-Moment, den Gründer*innen im Team-Meeting teilen könnten? Wie stehen die Gründer*innen beispielsweise zu Tracking und Anzeigen, die sie über mehrere Websites hinweg verfolgen? Nutzen sie selbst Browser-­Add-ons mit „Do-not-Track“-Funktion oder Cookie-Blocker? Solche persönlichen Erfahrungen und Einstellung bewegen andere oft dazu, sich bewusster mit dem Thema Datenschutz auseinanderzusetzen. Auch informelle Formate wie ein gemeinsamer Filmabend mit dem Team können Diskussion entfachen – z.B. mit dem Dokumentarfilm „Das Dilemma mit den sozialen Medien“.

Transparenz

Es ist wichtig, das ganze Team auf der Reise zu mehr Datenschutz mitzunehmen und transparent alle Bemühungen, Erfolge und Herausforderungen zu teilen. Wenn es beispielsweise zu einem Datenschutzverstoß kommt, sollte dies das Führungsteam intern rechtzeitig kommunizieren. Aber auch in der Kommunikation nach außen ist Transparenz gefragt: So sollten etwa Datenpannen offen an Benutzer*innen und Partner*innen kommuniziert werden; am besten, bevor etwas schiefgegangen ist.

Generell ist es wichtig, offen und ehrlich in Bezug auf alle erhobenen Daten zu sein, die vorübergehend verwendet, gespeichert oder an andere weitergeben werden. Es stärkt das Vertrauen, wenn Firmen offen erklären, warum welche Daten erhoben und zu welchem Zeitpunkt diese wieder gelöscht werden. Gleichzeitig ist das auch für die Mitarbeitenden eine gute, verbindliche Richtlinie

Verantwortungsvolle Technologien unterstützen

Start-ups haben im Gründungsprozess noch die Wahl, welche Kommunikations-, Zahlungs- und Abwicklungsplattformen und andere Technologien sie für den Einsatz im Unternehmen verwenden. Daher ist die Wahl der Technologieanbieter mit Sorgfalt zu treffen. Meist sind europäische Unternehmen gegenüber US-amerikanischen im Vorteil, da sie der DSGVO unterliegen und näher an den Marktanforderungen sind.

Wandel im Team

Im Tagesgeschäft sind es die Mitarbeiter*innen, die Datenschutzmaßnahmen umsetzen. So fördern etwa interne Datenschutzbeauftragte das Bewusstsein innerhalb eines Unternehmens, sind Expert*innen und Anlaufstelle für ihre Teammitglieder und entwickeln mit der Zeit ein gestärktes Verantwortungsgefühl für das Thema. Um Datenschutz in der Unternehmenskultur zu verankern, können Unternehmen Best Practices für das Tagesgeschäft etablieren. Alltägliche Praktiken wie Zoom-Anrufe sind ein guter Ansatzpunkt: Es ist eine einfache Geste, den Mitarbeiter*innen die Wahl zu lassen, ob sie mit oder ohne Kamera an Meetings teilnehmen. Auch können Gründer*innen auf datensichere Suchmaschinenalternativen hinweisen, Browsererweiterungen empfehlen oder Richtlinien im Umgang mit sozialen Medien anstoßen.

Denkanstöße für alle Unternehmensbereiche

Start-ups und kleinere Unternehmen haben häufig keinen Chief Information Security Officer (CISO), also eine Person, die für die gesamte IT-Sicherheit im Unternehmen verantwortlich ist. Für Start-ups empfiehlt es sich für den Anfang, folgende drei Abteilungen unter die Lupe zu nehmen:

• Marketing: Marketingexpert*innen setzen oft auf verhaltensorientiertes Targeting. Für sie sind alle Daten, die potenzielle Kund*innen im Internet preisgeben, ein Datenschatz, um gezielt Werbung auszuspielen. Dabei gibt es durchaus erprobte Alternativen. Das Marketingteam kann viele enger mit dem Feedback echter Kund*innen arbeiten und so auf deren direkte Wünsche eingehen – statt abstrakte Daten zu analysieren. Eine weitere Möglichkeit ist die Umstellung von verhaltensbasiertem auf kontextbasiertes Marketing. Eine weltweite Umfrage zeigt: 69 Prozent der Verbraucher*innen sind eher bereit, sich auf Werbung einzulassen, die auf dem Kontext des besuchten Seiteninhalts beruht.
• Produktentwicklung: Produktentwickler*innen und -verantwortliche sind normalerweise darauf trainiert, so viele Daten wie möglich über das Nutzer*innenverhalten zu sammeln. Ein Denkansatz für sie ist, zu hinterfragen, ob es nicht einen diskreten, datenschutzbewussten Weg gibt, um an der Produktoptimierung zu arbeiten. Eine Möglichkeit sind häufigere Iterationszyklen und Besprechungen im Team sowie mit potenziellen Kund*innen. Eigentlich eine wichtige Grundlage im Design-Thinking-Ansatz. Ein positiver Nebeneffekt: Die vielen Feedbackschleifen führen zu unkonventionellen Lösungen, geben jedem Teammitglied mehr Raum, kreativ zu werden und sich einzubringen – und stärken so das Teamgefüge.
• Kundensupport: Dieses Team verfügt über viele Informationen, um einen personalisierten Service zu bieten. Aber auch dieses Team sollte sorgfältig abwägen, welche persönlichen Informationen gesammelt werden sollten. Getreu dem Motto: So viel wie nötig, so wenig wie möglich.

Fazit

Es zeigt sich: Datenschutz spielt nicht nur in Sachen Rechtssicherheit eine entscheidende Rolle. Der Umgang mit Daten ist eine Frage der Unternehmenskultur, der viele Vorteile mit sich bringen kann. Dabei müssen besonders die Gründer*innen ihr Engagement bei dem Thema vorleben. Denn Datenschutz ist oft nicht die einfachste Lösung, aber eine langfristige Verpflichtung, die auf lange Sicht Früchte trägt. Ein vorbildlicher Umgang mit Daten schafft Vertrauen, zeigt einen stabilen Wertekompass und schützt vor Strafen und Reputationsverlust. So entwickelt sich Datenschutz, sofern alle Teams an Bord sind, von einem bürokratischen Aufwand zu einem echten Wettbewerbsvorteil.

Der Autor Robert E.G. Beens ist Mitgründer und CEO der datensicheren Suchmaschine Startpage sowie Experte und Verfechter des Datenschutzes.