Ziel der ePrivacy-Verordnung ist die Neuregelung der Nutzung und Bereitstellung elektronischer Kommunikationsdienste. Eine neue ePrivacy-Verordnung hätte erhebliche Auswirkungen auf digitale Geschäftsmodelle. Da sich der Entwurf der Bundesregierung nicht als konsensfähig erwiesen hat, hat das lange Ringen um eine Neuregelung allerdings vorerst kein Ende. Unternehmen sollten sich darauf einstellen, dass die bisherigen Regelungen womöglich noch etliche Jahre gelten werden.

ePrivacy-Verordnung: Neue Regeln für digitale Geschäftsmodelle

Parallel zur Datenschutzgrundverordnung (DSGVO) sollte am 25. Mai 2018 eigentlich eine weitere europäische Verordnung zum Thema Datenschutz in Kraft treten. Die „Verordnung über Privatsphäre und elektronische Kommunikation“ (kurz: ePrivacy-Verordnung) soll die Privatsphäre der Nutzer im Rahmen elektronischer Kommunikation schützen und die veraltete ePrivacy-Richtlinie ablösen. Als Ergänzung der DSGVO soll die ePrivacy-Verordnung unter anderem die Kommunikation über Messengerdienste und E-Mail regeln. Zudem sollen Anrufe und Nachrichten über internetbasiert Kommunikationsdienste gleichermaßen geschützt werden wie Telefonanrufe und SMS.

Für viele Start-ups ist das Thema ePrivacy relevant, weil die Verordnung neben der Werbung mittels elektronischer Nachrichten (E-Mail, SMS, Messenger) auch das Online-Marketing, einschließlich Tracking, neu regeln soll.

Wirtschaftsverbände warnen bereits seit 2017 vor restriktiven Neuregelungen

Die EU-Kommission und das Europäische Parlament haben bereits im Jahr 2017 eigene Entwürfe für eine ePrivacy-Verordnung vorgelegt. Vor allem der Entwurf des Parlaments fiel vergleichsweise nutzer- und datenschutzfreundlich aus und stieß in der Wirtschaft daher auf heftige Kritik. So sah der Entwurf des Parlaments zum Beispiel eine „Do Not Track“-Einstellung als zwingendes Default-Setting für Browser vor.

Neben den großen Technologie- und Telekommunikationskonzernen warnen auch Verlage und die Werbewirtschaft bereits seit Längerem vor derart restriktiven Neuregelungen. Sie befürchten irreparable Schäden für digitale Geschäftsmodelle – unter anderem weil weitere Einschränkungen beim Tracking die Werbefinanzierung im Internet zerstören könnten. Angesichts der erheblichen Kritik aus der Wirtschaft konnten sich die Mitgliedstaaten im Rat der Europäischen Union bislang nicht auf einen eigenen Entwurf einigen. In diesem Rat sitzen die Fachminister der EU-Mitgliedstaaten. Ein (Gegen-)Entwurf des Rats ist aber erforderlich, damit der Rat mit der EU Kommission und dem Europäischen Parlament in das weitere Gesetzgebungsverfahren eintreten kann (sogenanntes Trilog-Verfahren).

Seit Dezember 2017 hat der Rat unter der Führung von Estland, Bulgarien, Österreich, Rumänien, Finnland und Kroatien im Halbjahresturnus jeweils unterschiedliche Entwurfsfassungen veröffentlicht, von denen allerdings keine konsensfähig war. Wechselseitig wurden die Entwürfe von Beobachtern entweder als zu restriktiv für digitale Geschäftsmodelle oder als zu wirtschaftsfreundlich kritisiert.  

Aktueller deutscher Kompromissvorschlag scheitert ebenfalls

Angesichts dieser festgefahrenen Situation hatte sich die seit dem 1. Juli 2020 amtierende deutsche Ratspräsidentschaft vorgenommen, mit ihrem Entwurf vom 4. November 2020 endlich einen zustimmungsfähigen Kompromiss zwischen den unterschiedlichen Interessen von Verbraucherschützern und digitaler Wirtschaft zu finden. Etliche Beobachter bezeichneten den deutschen Entwurf im Vorfeld als letzte Chance für eine Einigung.

Mit seinem Vorschlag wich Deutschland von dem eher wirtschaftsfreundlichen Entwurf der kroatischen Präsidentschaft ab und kam den Bedenken der Verbraucherverbände und Daten-schützer entgegen. Vor allem schlug Deutschland vor, das sogenannte berechtigte Interesse als Rechtsgrundlage für Online-Tracking zu Werbezwecken aus dem Entwurf zu streichen. Dies hätte zur Folge gehabt, dass Tracking und Retargeting – also die gezielte werbliche Wiederansprache der Nutzer in den Online-Angeboten Dritter – auch in Zukunft nur mit einer ausdrücklichen Einwilligung der Nutzer möglich gewesen wären. Eine Ausnahme von dieser Grundregel sollte laut Entwurf lediglich für Presseverlage gelten.

Diverse Verbraucherverbände hatten vor dem Treffen der entscheidungsbefugten Arbeits-gruppe für Telekommunikation signalisiert, mit dem deutschen Vorschlag leben zu können. Bei den Vertretern der Werbe-, Verlags- und Technologie-Unternehmen stieß der Entwurf – und insbesondere die Streichung des berechtigten Interesses als Rechtsgrundlage für Tracking zu Werbezwecken – dagegen auf wenig Gegenliebe. Diese Kritik fand in einigen Mitgliedstaaten Gehör. Und so gelang es letztlich auch der deutschen Ratspräsidentschaft nicht, die so gegensätzlichen Interessen miteinander zu versöhnen.  

Unternehmen sollten sich auf Fortgeltung der aktuellen Regeln einstellen

Nach dem Scheitern des deutschen Entwurfs liegt der sprichwörtliche Ball ab dem 1. Januar 2021 bei der neuen portugiesischen Ratspräsidentschaft. Dass noch ein Kompromiss zwischen den Mitgliedstaaten erzielt werden kann, erscheint allerdings fraglich. Derzeit ist nicht ersichtlich, warum den Portugiesen gelingen sollte, woran bereits ein gutes Dutzend anderer Länder gescheitert ist. Selbst wenn der Rat unter der portugiesischen Präsidentschaft einen gemeinsamen Entwurf verabschieden sollte, bedarf es zudem viel Fantasie, um sich einen sowohl für das Parlament als auch für den Rat zustimmungsfähigen Gesamtkompromiss auszumalen. Die Zeichen sprechen also eher für ein endgültiges Aus der ePrivacy-Verordnung.

Welche Folgen hätte ein solches Scheitern für digitale Unternehmen?

Ohne Neuregelung würden bis auf Weiteres die aktuellen Bestimmungen der ePrivacy-Richtlinie anwendbar bleiben. Diese sind in Deutschland vor allem im Telemediengesetz (TMG) und im Telekommunikationsgesetz (TKG) umgesetzt. Danach ist das Setzen und Auslesen von Cookies zu Werbezwecken ohnehin nur mit vorheriger Einwilligung der Nutzer zulässig. Dies hat der Bundesgerichtshof vor Kurzem bestätigt. Dasselbe gilt, nach Auffassung der Datenschutzbehörden, auch für den Einsatz bekannter Analysetools wie Google Analytics.

Aus Unternehmenssicht ist das Scheitern der ePrivacy-Verordnung daher nicht nur Anlass zur Freude. Es bestand zumindest die Hoffnung, das vergleichsweise starre aktuelle Regelungskorsett durch einen progressiven Entwurf stärker an die Bedürfnisse der digitalen Wirtschaft anpassen zu können. Diese Hoffnung hat sich nun zerschlagen. Anderseits kann die Werbewirtschaft nach der flächendeckenden Implementierung der bekannten Cookie-Banner mit dem Status quo sicher deutlich besser leben als mit den restriktiven Vorschlägen des Europäischen Parlaments. Insofern bleibt der Trost, dass der Rat der Europäischen Union bis auf Weiteres größeres Unheil verhindert hat.

Der Autor, Dr. Lukas Stelten, ist Rechtsanwalt bei der Wirtschaftskanzlei CMS in Deutschland. Er berät deutsche und internationale Unternehmen zu sämtlichen datenschutzrechtlichen Fragestellungen, einschließlich internationalen Datentransfers, der Verwendung von Beschäftigten- und Sozialdaten sowie der Nutzung von Kundendaten.

In einer viel beachteten Entscheidung hat der Europäische Gerichtshof am 16. Juli 2020 das sog. EU-U.S. Privacy Shield für ungültig erklärt. Was bedeutet das in der Praxis? Nach manchen Äußerungen der Datenschutzaufsichtsbehörden müssen jetzt alle Übermittlungen personenbezogener Daten in die USA gestoppt werden. Sofort. Das wäre das Ende für die Einbindung von Google Tools, die unternehmerische Nutzung von Facebook oder auch von Service Tools wie Salesforce, Monday u.v.m. Aber ist die Lage wirklich so ernst?

Im Unternehmensalltag sind die helfenden digitalen Tools kaum noch wegzudenken, das CRM-System bis hin zur Reisebuchung oder Projektmanagement ist selbstredend digital. In den unternehmerischen Online-Angeboten sind etliche Tools von Drittanbietern eingebunden, Google analysiert die Website-Nutzung, der Facebook-Zählpixel hilft bei passgenauer Werbung und Vimeo garantiert das optimale Bewegtbild-Erlebnis.

Etliche dieser Tools werden dabei von US-Unternehmen bereitgestellt. Auf alle diese Tools hat das EuGH-Urteil vom 16. Juli 2020 daher ganz erhebliche Auswirkungen.

Warum?

Wenn ein Unternehmen personenbezogene Daten verarbeitet, muss es sicherstellen, dass das datenschutzkonform erfolgt. Dafür braucht es auf erster Stufe zunächst eine Erlaubnis, diese Daten überhaupt zu verarbeiten. Wenn die Daten den Europäischen Wirtschaftsraum verlassen (also etwa auf Servern gespeichert werden, die in den USA stehen), muss das Unternehmen auf zweiter Stufe zusätzlich noch absichern, dass in dem Zielland auch ein angemessenes Datenschutzniveau herrscht. Um diese zweite Stufe dreht sich das EuGH-Urteil.

Bisher nämlich war für die USA auf zweiter Stufe ein angemessenes Datenschutzniveau einfach nachzuweisen, wenn sich der Vertragspartner in den USA unter dem EU-U.S. Privacy Shield zertifiziert hatte. Die meisten großen Unternehmen hatten das erledigt und so konnten wir hier in der EU sehr einfach Daten auch in die USA schicken. Das geht jetzt nicht mehr so einfach. Das EU-U.S. Privacy Shield ist nach der EuGH-Entscheidung nämlich unwirksam. Es ist schlicht und einfach „weg“.

Was tun?

Unternehmen müssen auf die Suche nach einer anderen Möglichkeit gehen, ein angemessenes Datenschutzniveau auf der zweiten Stufe abzusichern (oder die Datenübermittlung sofort stoppen). Das heißt konkret:

1. Analyse: Du musst in deinem Unternehmen auf die Suche gehen, wo personenbezogene Daten in Drittländer außerhalb des Europäischen Wirtschaftsraums übermittelt werden. Das kann bei Einsatz von digitalen Tools schnell der Fall sein, wenn die Server weltweit platziert sind.

2. Prüfe dann, wie dafür das angemessene Datenschutzniveau abgesichert ist. Typische Mittel dafür sind sog. Angemessenheitsbeschlüsse der EU-Kommission wie früher das EU-U.S. Privacy Shield für die USA oder auch sog. Standardvertragsklauseln (standard contractual clauses – SCC), die von der EU-Kommission veröffentlicht wurden und oft in Data Processing Agreements einbezogen werden.

3. Bei allen Übermittlungen, die sich auf das EU-U.S. Privacy Shield stützen, musst du sofort handeln: Gibt es eine alternative Lösung für ein angemessenes Datenschutzniveau? Oft können dies Standardvertragsklauseln sein.

4. Bei allen Übermittlungen, die sich auf Standardvertragsklauseln stützen, besteht angesichts des EuGH-Urteils jetzt auch akuter Handlungsbedarf (auch außerhalb der USA):

- Die Standardvertragsklauseln müssen 1:1, so wie sie von der EU-Kommission veröffentlicht wurden, vereinbart werden.

- Du musst überprüfen, ob dein Vertragspartner die Standardvertragsklauseln auch tatsächlich einhalten kann und einhält. Diese Prüfpflicht ist so klar vom EuGH jetzt ganz neu formuliert worden und gerade für die USA wichtig: Kann dein Vertragspartner überhaupt ausschließen, dass der US-Geheimdienst auch deine Daten einsieht? Du musst hier aktiv werden und deinen Vertragspartner dokumentiert danach fragen. Notwendig wird eine kleine Due Diligence (die du auf Nachfrage auch der Aufsichtsbehörde zeigen musst).

- Ob US-Unternehmen, die elektronische Kommunikationsdienste anbieten, den Zugriff von US-Geheimdiensten unterbinden können, ist gerade ziemlich fraglich. Wenn nicht, dann können auch die Standardvertragsklauseln die Übertragung in die USA nicht retten. Helfen könnte dann im Einzelfall etwa noch eine wirksame Verschlüsselung der übertragenen Daten.

5. Denkbar sind auch noch andere Mittel, um ein angemessenes Datenschutzniveau sicherzustellen. So kann eine Verschlüsselung in Kombination mit den Standardvertragsklauseln helfen, im Einzelfall können auch Einwilligungen der Betroffenen eine taugliche Grundlage sein.

6. Findet sich kein anderes, gutes Mittel, muss die Datenübermittlung gestoppt werden und die Daten abroad müssen zurückgeholt werden. Geschieht dies nicht, drohen Beschwerden, Klagen und gar schmerzhafte Bußgelder. Die Datenschutzaufsichtsbehörden legen gerade ihren Fokus auf dieses Thema und greifen zunehmend auch zu schmerzhaft hohen Bußgeldern.

Und was bedeutet dies nun ganz konkret?

Du musst aktiv werden, US-Transfers identifizieren und entweder stoppen oder mit den US-Unternehmen gemeinsam nach alternativen Absicherungen suchen. Das höchste Bußgeldrisiko für dein Unternehmen entsteht, wenn du trotz des EuGH-Urteils „Schrems II“ und US-Datentransfers jetzt gar nichts tust.

Die Autorin Dr. Kristina Schreiber ist auf die rechtliche Begleitung von Digitalisierungsprojekten spezialisiert und Partnerin bei Loschelder Rechtsanwälte

In vielen Firmen ist der Einsatz von Fremdpersonal nicht mehr wegzudenken. So gewinnen Unternehmen Flexibilität und reduzieren Fixkosten. Das reformierte Arbeitnehmerüberlassungsgesetz (AÜG) macht das Thema zur Chefsache. Zum einen erschwert das neue AÜG den Einsatz von Leiharbeitern erheblich. Zum anderen erhöht es die Gefahr von Scheinselbständigkeit. Firmen sollten bestehende Verträge rund um Fremdpersonal kritisch prüfen und neue mit Weitblick ausgestalten. So können Unternehmen externe Kräfte trotz der verschärften Vorgaben bedenkenlos einsetzen.

Neues im Arbeitnehmerüberlassungsgesetz (AÜG)

Das neue Gesetz soll missbräuchlichen Praktiken beim Einsatz von Fremdpersonal einen Riegel vorschieben. Es regelt sowohl die Arbeitnehmerüberlassung als auch die Vermittlung und den Einsatz von Selbständigen. Ein zentraler Aspekt ist die Neuregelung der Einsatzzeiten von Leiharbeitern. Im alten AÜG war nicht klar geregelt, wie lange eine Überlassung höchstens erfolgen darf. Künftig ist die Höchstdauer auf 18 Monate limitiert. Tarifverträge oder Betriebsvereinbarungen lassen abweichend davon eine Einsatzdauer von maximal 24 Monaten zu.

Zeiträume vor dem 1. April 2017 bleiben außen vor. Personalverantwortliche sollten sich vorsichtshalber den 22. September 2018 im Kalender rot anstreichen. Dann endet bei laufenden Kontrakten erstmalig die Höchstüberlassungsdauer. Soll ein Zeitarbeiter im Anschluss im selben Unternehmen erneut zum Einsatz kommen, ist eine Unterbrechung von mehr als drei Monaten vorgeschrieben.

Vom Leiharbeiter ungewollt zum Arbeitnehmer

Werden die Zeitvorgaben nicht eingehalten, wird aus einem Leiharbeiter automatisch ein sozialversicherungspflichtiger Arbeitnehmer mit Urlaubsanspruch und Kündigungsschutz. Übersehen Unternehmen den Arbeitnehmerstatus, drohen neben hohen Lohnsteuer- und Sozialversicherungsnachzahlungen zusätzlich strafrechtliche Konsequenzen. Auch bei der Entlohnung von Zeitarbeitern müssen Entleiher aufpassen. Leiharbeitern steht spätestens nach neun Monaten das gleiche Gehalt („Equal Pay“) wie dem Stammpersonal zu. Tarifliche Sonderregelungen ermöglichen eine Einsatzzeit von bis zu 15 Monaten ohne Equal Pay.

Dazu muss der Entleiher dem Verleiher mitteilen, in welcher Höhe das vergleichbare Arbeitsentgelt zu veranschlagen ist. Bei Verstößen gegen das Equal-Pay-Gebot droht dem Verleiher ein Bußgeld, das in der Spitze 500.000 Euro betragen kann. Die Berechnung und Mitteilung des vergleichbaren Arbeitsentgeltes erfordert erhöhte Sorgfalt. Bei Fehlern kann das Zeitarbeitsunternehmen Bußgelder beim Entleiher einklagen.

Arbeitnehmer-Überlassungsvertrag

Für die Gestaltung eines Arbeitnehmer-Überlassungsvertrags (AÜV) gelten verschärfte Regeln. Der vereinbarte AÜV muss eindeutig als solcher bezeichnet und noch vor Arbeitsbeginn des Zeitarbeiters unter Dach und Fach sein. Im Vertrag darf der Name des Leiharbeiters sowie die Unterschrift des Ver- und Entleihers nicht fehlen. Bei Verstößen gegen die „Kennzeichnungs- und Konkretisierungspflicht“ kann die Arbeitsagentur gegen beiden Parteien ein Bußgeld in Höhe von bis zu 30.000 Euro verhängen. Darüber hinaus verliert der Überlassungsvertrag gegebenenfalls seine Gültigkeit und der Zeitarbeiter wird zum sozialversicherungspflichtigen Angestellten des Entleihers.

Festhaltenserklärung

Grundsätzlich bleibt ein Ausweg. Falls zwischen Entleiher und Zeitarbeiter unbeabsichtigt ein Arbeitsverhältnis entsteht, eröffnet das neue AÜG eine arbeitgeberfreundliche Lösung. Der frisch gebackene Arbeitnehmer kann innerhalb eines Monats erklären, dass er am Arbeitsvertrag mit dem Verleiher festhält (sog. Festhaltenserklärung). So vermeiden Mitarbeiter, dass sie sich wider Willen in der Rolle eines ungewollten Arbeitnehmers wiederfinden. Der Leiharbeitnehmer muss sich die Erklärung persönlich bei der Arbeitsagentur bestätigen lassen und spätestens drei Tage später beim Ver- oder Entleiher vorlegen. Firmen sollten nach einer erfolgten Festhaltenserklärung von einer Weiterführung der Überlassung absehen. Eine erneute Festhaltenserklärung wäre in jedem Fall unwirksam.

Einsatz von Freelancern

Auch beim Einsatz von Freelancern über Vermittlungsagenturen ist erhöhte Vorsicht geboten. Die Beschäftigung erfolgt auf der Grundlage eines Werk- oder Dienstvertrages zwischen dem Selbständigen und dem Einsatzunternehmen. Die Crux: Wenn Freelancer etwa über Zeit, Ort und Art ihrer Tätigkeit nicht frei entscheiden können, besteht eine Scheinselbständigkeit. Bisher konnten Vermittler im Rahmen der sog. Fallschirmlösung sich und ihre Auftraggeber vor negativen Konsequenzen schützen. Dafür sorgte eine vorsorglich beantragte Arbeitnehmerüberlassungserlaubnis. Der Dienstleister konnte so eine Scheinselbständigkeit nachträglich zur rechtmäßigen Leiharbeit umdeklarieren. Damit ist jetzt Schluss. Das neue Gesetz schließt die Fallschirmlösung grundsätzlich aus.

Der Rechtmäßigkeit bestehender und künftiger Verträge kommt damit eine enorme Bedeutung zu. Die tatsächliche Beurteilung der Beschäftigungsform hängt oft von Kleinigkeiten ab. Firmen sollten bestehende Verträge und die gelebte Einsatzpraxis kritisch unter die Lupe nehmen und gegebenenfalls nachjustieren.

Unter steuerlichen Gesichtspunkten erwies sich bislang eine Holdingstruktur als vorteilhaft, wobei die operative Gesellschaft (GmbH) von einer ebenfalls als GmbH gestalteten Gesellschaft gehalten wurde, welche ihrerseits von dem / der Gründenden gehalten wurde. Vielfach wurde zwischen den beiden Gesellschaften noch eine Organschaft geschlossen, der ein Ergebnisabführungsvertrag zugrunde lag. Diese Struktur ermöglichte es einerseits, etwaige Gewinne lediglich mit einem kombinierten Steuersatz aus Gewerbe- und Körperschaftsteuer von circa 30% vorzubelasten, die dann als Ausschüttung von der natürlichen Person mit dem Abgeltungsteuersatz von 25% bezogen werden konnte. Andererseits war eine nahezu steuerfreie Veräußerung der operativen Gesellschaft möglich. Dieser Veräußerungserlös konnte dann wieder investiert werden und löste erst im Rahmen einer späteren Ausschüttung an den Gründer eine weitergehende Besteuerung in Höhe des Abgeltungsteuersatzes von 25% aus.

2021: Rechtsformneutralität bringt gleiche steuerliche Ergebnisse

Mit der Option zur Körperschaftsteuer können Gründende einer Personengesellschaft nunmehr das gleiche steuerliche Ergebnis erzielen, denn 2021 schuf der Gesetzgeber mit dem Körperschaftmodernisierungsgesetz eine Rechtsformneutralität bezüglich der Besteuerung von Unternehmen zwischen Personen- und Kapitalgesellschaften, indem er der Personengesellschaft ein Wahlrecht zur Körperschaftsteuer eingeräumt hat. Das aus gesellschaftsrechtlicher Perspektive oft vorteilhaftere Personengesellschaftsrecht kann also gewählt werden, ohne dadurch steuerliche Nachteile gegenüber einer Kapitalgesellschaft zu erleiden.

Steuerliche Rahmenbedingungen für Mitarbeitervergütungen

Genauso wichtig sind die steuerlichen Rahmenbedingungen für Mitarbeitervergütungen. In den letzten Jahren wurden hier zwar gesetzliche Änderungen vorgenommen, diese konnten aber nur unzureichend die Realität und Bedürfnisse der Start-ups abdecken. Im Kern geht die Besteuerung davon aus, dass Arbeit jeweils gleich besteuert und nicht einer unternehmerischen Beteiligung gleichgestellt werden soll: Die Besteuerung für den/die Gründenden selbst mit seiner/ihrer Gesellschaft gilt eben nicht für die Mitarbeitenden, obwohl sie, wie der/die Gründer*innen auch, ebenfalls ihre Arbeits- und Innovationskraft einbringen.

Echte Beteiligung als Instrument immer noch realitätsfern?

Vor diesem Hintergrund scheint der einfachste Weg eine echte Beteiligung der Mitarbeitenden am Unternehmen. So erhalten sie Gewinnausschüttungen und sind an Exit-Erlösen beteiligt. Sie erlangen im Gegenzug aber auch alle mit einer gesellschaftsrechtlichen Beteiligung verbundenen Rechte (etwa Teilnahme- und Stimmrechte) und Pflichten (beispielsweise Treuepflichten). Ein solcher gesellschaftsrechtlicher Einfluss ist aus Sicht des Gründenden nicht immer wünschenswert, da er seine gestalterische Freiheit einschränken kann. Steuerlich stellt sich bei echten Beteiligungen das Problem, wenn die jeweilige Beteiligung unter dem Verkehrswert des Unternehmens gewährt wird. Dann liegt ein geldwerter Vorteil in Höhe der Differenz vor, der mit Zufluss einer Besteuerung wie Lohn unterliegt, obwohl keine Liquidität erlangt wird (Dry Income).

Lösung der Dry Income-Problematik

Dieses Problem hat der Gesetzgeber im Juli 2021 mit § 19a EStG abzumildern versucht, indem die Besteuerung aufgeschoben wurde. Die Einzelheiten und Anforderungen an einen solchen Steueraufschub wurden aber als realitätsfern und unzureichend angesehen. Ungewöhnlich zügig reagiert der Gesetzgeber nun mit dem Zukunftsfinanzierungsgesetz hierauf:

• Die Besteuerung des geldwerten Vorteils aus der Beteiligung soll mit Veräußerung oder Beendigung des Arbeitsverhältnisses erfolgen; ab 2024 spätestens 20 statt bisher zwölf Jahre nach deren Übertragung.
• Im Falle des Rückerwerbs der Anteile bei Verlassen des Unternehmens soll nur die tatsächlich an den/die Mitarbeitenden gezahlte Vergütung maßgeblich sein, wodurch insbesondere in Leaver-Fällen, in denen der Kaufpreis in der Regel unterhalb des Verkehrswerts der Beteiligung liegt, das Risiko einer Besteuerung von nicht realisierten Werten entschärft wird.
• Eine Besteuerung wird weitergehend bis zum Zeitpunkt des tatsächlichen Verkaufs hinausgeschoben, wenn der/die Arbeitgebende auf freiwilliger Basis unwiderruflich erklärt, dass er/sie die Haftung für die einzubehaltende und abzuführende Lohnsteuer übernimmt.

Hierzu müssen die Beteiligungen

• nicht vom Arbeitgebenden selbst, sondern können auch durch (Gründungs-)Gesellschafter*innen gewährt werden;
• nicht solche des Unternehmens des Arbeitgebenden, sondern können auch konzernangehörige Beteiligungen sein.

Des Weiteren wird der Anwendungsbereich dergestalt ausgeweitet, dass

• begünstigte Unternehmen solche mit bis zu 1.000 Mitarbeitenden sind, die einen Jahresumsatz von höchstens 100 Mio. EUR oder eine Jahresbilanzsumme von höchstens 86 Mio. EUR aufweisen, wobei diese Schwellenwerte im Zeitpunkt der Übertragung der Beteiligung oder in einem der sechs vorangegangenen Kalenderjahre nicht überschritten sein dürfen, und
• der maßgebliche Gründungszeitraum des Unternehmens maximal 20 Jahre vor dem Beteiligungszeitpunkt liegen darf.

Steuerliche Stärkung unter anderem durch Pauschalbesteuerung

Weitergehend kann der durch die Anteilsübertragung gewährte geldwerte Vorteil bei dem Mitarbeiter pauschal mit einem Steuersatz in Höhe von 25% besteuert werden und unterliegt nicht mehr dem persönlichen Einkommensteuersatz. Auch wird der Freibetrag für die verbilligte oder unentgeltliche Überlassung von Mitarbeiterkapitalbeteiligungen vom Arbeitgeber ab 2024 von derzeit 1.440 auf 5.000 EUR jährlich erhöht, was auch zu einer Sozialversicherungsfreiheit in gleicher Höhe führt. Dies erfordert aber, dass es sich um eine freiwillige Leistung des Arbeitgebenden handelt, die grundsätzlich allen Mitarbeitenden des Unternehmens offensteht, die ein Jahr oder länger ununterbrochen in einem gegenwärtigen Dienstverhältnis zu diesem stehen. Daher ist dieses Tool für eine reine Managementbeteiligung nicht geeignet.

Was das Zukunftsfinanzierungsgesetz vermissen lässt

Bedauerlicherweise hat der Gesetzgeber keine Anpassung im Vermögensbildungsgesetz vorgenommen, auf welchem die Begünstigungen für die Mitarbeiterbeteiligungen aufbauen. Diese Regelungen kommen nicht zur Anwendung, wenn es sich beim Start-up um eine Personengesellschaft handelt, die sich für die Körperschaftsteuer entscheidet – und deshalb steuerlich wie eine Körperschaft behandelt wird.

Alternative Beteiligungsmodelle noch notwendig?

Dem Problem des Dry Income begegnete die Gestaltungspraxis bislang durch Hurdle- oder Growth Shares. Bei Hurdle Shares erfolgt lediglich eine Beteiligung an den zukünftigen Wertsteigerungen, weshalb diese im Zeitpunkt der Gewährung grundsätzlich nicht zu einem sofortigen steuerlich relevanten Lohnzufluss führen. Weiterhin haben sich Virtual Shares oder Virtual Options als Instrument der Incentivierung von Mitarbeitenden erwiesen. Mit solchen Ansprüchen vermeidet man wegen ihrer rein schuldrechtlichen Ausgestaltung eine gegebenenfalls nicht gewünschte Teilhabe an Zukunftsfragen des Unternehmens. Steuerlich betrachtet stellt lediglich die jeweilige (indirekte) Partizipation an den Gewinnen und/oder dem Exit-Erlös zu besteuernden Lohn dar. Dieser wird nach dem individuellen Steuersatz besteuert, sodass die steuerlichen Regelungen für Einkünfte aus Kapitalvermögen nicht angewendet werden. Dem/der Mitarbeitenden fließt hier nicht bereits mit Einräumung dieser Ansprüche etwas zu, sodass sich das Dry Income-Problem nicht stellt.

Fazit

Die Regierung ist das Thema verbesserter steuerlicher Rahmenbedingungen angegangen. Man ist dabei zwar noch lange nicht bei den Vergünstigungen, die andere Standorte insoweit genießen – aber es ist ein wesentlicher Schritt. Nun müssen die Gründenden die jeweiligen Weichen selbst stellen.

Zu den Autoren:

Dr. Matthias Geurts ist Partner bei der Kanzlei Schalast und berät Venture Capital-/Private Equity-Investoren in aufsichtsrechtlichen Strukturierungsfragen und Start-ups sowie Gründer bei der Optimierung ihrer Unternehmensgestaltung, deren Finanzierung und Mitarbeiter-beteiligungsmodellen.

Dr. Marc-Andre Rousseau ist Partner bei der Kanzlei Schalast für den Bereich Venture Capital/Start-ups. Er berät Venture Capital-Investoren, Family Offices und Angel-Investoren sowie Startups in allen rechtlichen Finanzierungsfragen sowie Start-ups bei Exit- und Gewinnbeteiligungsmodellen.

Die Sicherheit und der Schutz von sensiblen Daten sind in einer wachsenden digitalen Welt von größter Bedeutung. Denn leider sind Betrüger*innen ständig auf der Suche nach Möglichkeiten, an diese persönlichen Informationen zu gelangen. Dabei hat sich das Darknet zu einer der Hauptschnittstellen für den illegalen Handel mit gestohlenen Daten etabliert. Auch die Methoden der Betrüger zur Datenbeschaffung werden immer dreister und ausgeklügelter. Im Folgenden erfährst du, wie unsere Daten ins Darknet gelangen und wie sich Besorgte davor schützen können.

Die dunkle Seite des Internets und kriminellen Handlungen

Das Darknet ist ein abgeschotteter Bereich im Internet, der nicht über herkömmliche Suchmaschinen zugänglich ist. Hier können Nutzende ihre Identität verschleiern und anonym kommunizieren. Es wird für verschiedenste Zwecke genutzt, darunter illegale Aktivitäten wie der Austausch gestohlener Daten. Normalerweise gibt es verantwortliche Stellen bzw. spezielle Aufsichtsbehörden, die kontaktiert werden können, um gegen Datenschutzverletzungen im World Wide Web vorzugehen. Doch in diesem abgeschirmten Bereich des Internets wird alles dafür getan, um vor den entsprechenden Zuständigkeiten ungesehen zu bleiben. So befinden sich die Betreiber*innen der Server in der Regel außerhalb Europas, was es für Strafverfolgungsbehörden äußerst schwierig macht, einmal gestohlene Daten zu löschen oder Täter zur Rechenschaft zu ziehen. Erst im Darknet veröffentlicht, können solche Datensätze mehrfach betrügerisch genutzt oder verkauft werden, was die Sicherheit und Privatsphäre der Betroffenen langfristig gefährdet. Auch können die Personen schwerer ausfindig gemacht werden, da sie die entwendeten Informationen nicht selbst nutzen und ihre rechtswidrigen Aktivitäten schwer auf sie zurückzuführen sind. Auf dem digitalen Schwarzmarkt zahlen Käufer*innen für solche gestohlene Daten und damit verbundene Dienstleistungen in Kryptowährungen wie Bitcoin. Diese Währungen führen auch dazu, dass die Bezahlvorgänge kaum nachvollziehbar sind.

Von Phishing bis Europol-Masche: Wie Betrüger*innen an die Daten kommen

Zu den bekanntesten Methoden, um an die begehrten Informationen zu kommen, zählt Phishing. Diese Masche ist vor allem für ihre Spam-Mails bekannt, bei denen die Betroffenen dazu verleitet werden, auf einen Link zu klicken und vertrauliche Daten preiszugeben. Jedoch findet diese Methode inzwischen auch über das Telefon statt. Die Betrüger*innen tarnen sich beispielsweise als Europol-Mitarbeitende und fordern ihre Gesprächspartner*innen dazu auf, ihre IBAN-Nummer zu nennen. Mittlerweile ist selbst die Suche nach einer Wohnung oder einem Job nicht mehr sicher. So verwenden Trickser gefälschte Angebote und stellen ein vorgetäuschtes Identitätsverfahren vor, um Suchende dazu zu bringen, Fotos ihrer Ausweise zu übermitteln.

Eine weitere dreiste Masche besteht darin, Leidtragende während eines Gesprächs schnell zu einem eindeutigen „Ja“ zu animieren. Wenn die Person zum Beispiel zustimmt, dass das Telefonat aufgezeichnet wird, haben die Betrüger bereits fast alles erreicht, was sie wollten. Danach stellen sie einige harmlose Fragen, und schon haben sie genug Material gesammelt, um das Gespräch beliebig zusammenschneiden zu können. Dann scheint es, als hätten die Betroffenen mit ihrem „Ja“ einem Kaufvertrag oder einem Abonnement zugestimmt.

Finanzielle Ausbeute: So viel bis du wert

Im Darknet existiert bereits ein florierender Handel mit gestohlenen Identitäten, die es Käufer*innen ermöglichen, verschiedene kriminelle Aktivitäten durchzuführen. Doch wie viel Gewinn können die Betrüger*innen damit überhaupt erreichen? Im Report des auf Antiviren-Programme spezialisierten Herstellers Bitdefender wird deutlich, dass eine gestohlene Identität in Form eines biometrischen EU-Passes auf dem Schwarzmarkt bis zu 4.500 Euro bringen kann. Die McAfee-Studie „The Hidden Data Economy“ von 2018 enthüllte wiederum, dass Darknet-Händler*innen in der Europäischen Union bis zu 40 Euro für vollständige Kreditkartendaten verlangen können. Auch Konten von Online-Zahlungsdiensten werden hier gehandelt. Dabei ist jedoch der Preis abhängig vom Guthaben des gehackten Kontos und variiert zwischen 20 und 300 Euro. Um also Betrüger*innen nicht auf den Leim zu gehen und sich den Ärger mit geklauten Daten zu ersparen, ist der Datenschutz im digitalen Zeitalter auch für Privatpersonen wichtiger denn je!

Praktische Maßnahmen: Wie entgehe ich der Täuschung?

Identitätsklau per Telefon ist nach wie vor eine weitverbreitete Methode für Datenhändler*innen, über die jede(r) informiert sein sollte. Um die persönlichen Daten zu schützen, ist es wichtig, bei der Weitergabe sensibler Informationen generell vorsichtig zu sein. Hier sind einige wichtige Maßnahmen, die ergriffen werden können, um einem möglichen Betrugsversuch vorzubeugen: Wenn ein Anruf verdächtig erscheint oder eine unbekannte Person Geld verlangt, handelt es sich in den meisten Fällen um einen Schwindel. Die größte Sicherheit besteht darin, das Gespräch sofort zu beenden. Um Datenverluste und finanzielle Schäden zu vermeiden, sollten niemals persönliche Informationen wie Anschrift, E-Mail-Adresse, Geburtstag, Passwörter oder Bankdaten an Fremde weitergegeben werden. Seriöse Behörden oder Unternehmen werden am Telefon unter keinen Umständen nach solchen Angaben fragen.

Ist der Schaden bereits entstanden und die Daten wurden preisgegeben, sollte die Bundesnetzagentur eingeschaltet werden. Auch die Polizei sollte unter der Rufnummer 110 kontaktiert werden. Wurde beispielsweise Geld illegal vom eigenen Konto abgebucht, kann die Bank dieses innerhalb von vier Wochen zurückholen. Hier gilt es jedoch zu beachten, dass dies nur funktioniert, wenn die Überweisung nicht von der betroffenen Person selbst getätigt wurde. Daher sollten niemals Zahlungen an eine unbekannte Person getätigt werden. Häufig kommen betrügerische Anrufe aus dem Ausland. Daher ist besondere Vorsicht bei folgenden Vorwahlen geboten: +88 (Globales Navigationssatellitensystem), +225 (Elfenbeinküste), +231 (Liberia), +252 (Somalia), +257 (Burundi), +261 (Madagaskar) oder +370 (Litauen). Schließlich kann es auch helfen, sich regelmäßig über die neuesten Betrugsmaschen zu informieren und somit im Falle eines entsprechenden Anrufs sensibilisiert zu sein.

Der Autor Thomas Wrobel ist Spam-Schutz-Experte, CTO der Müller Medien-Tochter validio und Gründer von Clever Dialer. Die App liefert verlässliche Anrufinformationen und schützt Verbraucher*innen vor Spam-Telefonaten.

Soweit Investor*innen im Rahmen einer Finanzierungsrunde Eigenkapital zur Verfügung stellen, werden die Terms üblicherweise im Rahmen eines Beteiligungsvertrages vereinbart. Strukturell umfasst ein Beteiligungsvertrag eine Beteiligungs- und Gesellschaftervereinbarung (Investment and Shareholders Agreement). Die Beteiligungsvereinbarung beinhaltet die Struktur und die Konditionen des Investments, wohingegen die Gesellschaftervereinbarung die gegenseitigen Rechte und Pflichten der künftigen Gesellschafter*innen sowie das Verhältnis zur Gesellschaft definiert.

Beteiligungsvereinbarung

Regelmäßig werden die durch die Investor*innen zu übernehmenden Geschäftsanteile im Rahmen einer Bar-Kapitalerhöhung neu ausgegeben. Die Beteiligungsvereinbarung beinhaltet die wesentlichen Konditionen der Beteiligung und der hierfür zu erbringenden Gegenleistung ausgehend von der (im Rahmen eines Cap Table) festgelegten Pre-Money-Bewertung.

Die Gegenleistung der Investor*innen besteht zunächst aus dem unmittelbar zu leistenden Nominalwert. Als weitere Leistungen werden Zuzahlungen in die Kapitalrücklage der Gesellschaft gemäß § 272 Abs. 2 Nr. 4 HGB, die Einbringung von Darlehensforderungen (soweit Wandeldarlehen gewandelt werden sollen), Sachleistungen (häufig bei strategischen Investor*innen) oder sonstige Leistungen vereinbart. Die Leistungspflichten können hierbei von sog. Milestones abhängig sein, mithin von bestimmten durch das Start-up zu erreichenden Zielen. Zur Vermeidung von Konflikten sind eine klare Beschreibung der Ziele und ein Konfliktlösungsmechanismus sinnvoll. Aus Sicht der Gründenden, aber auch der weiteren Gesellschafter*innen, ist ferner ein Mechanismus wichtig für den Fall, dass ein Investor seine Leistungsverpflichtung nicht (vollständig) erfüllt. Eine solche Investor-Default-Klausel sieht regelmäßig die Rückübertragung der übernommenen Anteile durch den betroffenen Investor für den Fall seiner Nichtleistung vor.

Beteiligungsvereinbarungen enthalten zudem regelmäßig eine Verwässerungsschutzklausel. Diese räumt den Investor*innen das Recht ein, weitere neu auszugebende Geschäftsanteile zum Nominalwert zu übernehmen, falls in einer späteren Finanzierungsrunde Anteile an der Gesellschaft zu einem geringeren Anteilspreis als dem der gegenwärtigen Finanzierungsrunde ausgegeben werden (sog. Downround). Die Anzahl der zusätzlich auszugebenden Geschäftsanteile berechnet sich auf Grundlage der Ausgabepreise der betreffenden Finanzierungsrunden.

Häufig wird eine Weighted-­Average-Betrachtung vereinbart, bei der der gewichtete Durchschnittspreis aus dem Anteilspreis der Downround und der ursprünglichen Finanzierungsrunde gebildet wird. Die Investor*innen werden nachträglich so gestellt, als hätten sie zwar nicht zum

Anteilspreis der Downround gezeichnet (dies wäre ein recht investorenfreundlicher Full-Ratchet-Verwässerungsschutz), aber zu dem entsprechend definierten Durchschnittspreis.

Wichtig in der Beteiligungsvereinbarung sind ferner die dort beinhalteten Garantieregelungen und deren Rechtsfolgen. Hierbei zu unterscheiden sind sog. Title-Garantien, die insbesondere das Bestehen des gesellschaftsrechtlichen Status der Gesellschaft und der Geschäftsanteile betreffen, von den Business- und/oder Company-Garantien, die den (auch operativen) Status der Gesellschaft umfassen. Abhängig vom Zuschnitt des Geschäftsbetriebs und dem Sicherungsinteresse des/der Investor*in werden die operativen Themen häufig umfassend in einem Garantiekatalog abgebildet. Im Gegensatz zu Exit-Transaktionen sind Freistellungen für Themen aus einer Due Diligence grundsätzlich nicht gebräuchlich, hier können aber sog. Post-Closing-­Conditions verlangt sein, durch die den Gründenden Pflichten nach Signing auferlegt werden, um bestehende rechtliche Themen zu lösen.

Gebräuchlich sind Haftungs-Cap, etwa in Höhe des Gesamtinvestments des/der betreffenden Investor*in und/oder der betreffenden Finanzierungsrunde. Für die persönliche Haftung der Gründenden (soweit etwa bei einem Early-Stage-Investment vereinbart) wird häufig auf einen Cap in der Größenordnung eines Jahresgehalts der Gründenden zurückgegriffen. Die beste Absicherung der Gründenden ist jedoch eine gewissenhafte Offen­legung der Themen gegenüber dem/der Investor*in, da die Kenntnis der Investor*innen von einem Sachverhalt einen Garantieverstoß auf dieser Grundlage ausschließt. Im Sinne der Vermeidung von Konflikten empfiehlt es sich, die Art der Offenlegung in der Beteiligungsvereinbarung zu referenzieren, etwa unter Bezugnahme auf den dokumentierten Status eines Datenraums.

Gesellschaftervereinbarung

Die Gesellschaftervereinbarung regelt im Wesentlichen die Rechte und Pflichten der Gesellschafter*innen untereinander und gegenüber der Gesellschaft. Regelmäßig unterliegen die Geschäftsanteile bestimmten Verfügungsbeschränkungen, die festlegen, ob und in welchem Umfang diese übertragen und/oder belastet werden dürfen. Die Gründenden werden häufig für einen definierten Zeitraum generell daran gehindert sein, über ihre Anteile ohne Zustimmung der Investor*innen zu verfügen (sog. Lock Up). Üblich ist zudem die Vereinbarung eines Vorerwerbsrechtes (Right of First Refusal) und eines Mitverkaufsrechts (Tag-Along). Umgekehrt sind (Minderheits-)Gesellschafter*innen beim Vorliegen bestimmter weiterer Bedingungen auf Verlangen regelmäßig verpflichtet, ihre Beteiligung an einen Dritten mitzuver­äußern (Mitverkaufspflicht bzw. Drag-Along).

Mittels der sog. Liquidationspräferenz (Liquidation Preference) erhalten die Investor*innen im Rahmen eines Erlösereignisses, insbesondere eines Exits, vorrangig ihre Investitionssumme. Marktüblich ist hier derzeit ein Vorzug in Höhe des 1,0-Fachen des getätigten Investments. Verbleibende Erlöse werden anteilig auf alle Gesellschafter*innen verteilt, wobei sich die Investoren den Erlösvorzug anrechnen lassen müssen (Non-Participating-Liquida­tion-Preference).

Für Gründende wesentlich ist die Regelung zum Vesting. Diese legt fest, welche Konsequenzen das Ausscheiden eines Gründenden aus seiner Tätigkeit bei der Gesellschaft auf seine Beteiligung hat. Anknüpfend an ein bestehendes Beschäftigungsverhältnis (i.d.R. Geschäftsführeranstellungsvertrag) werden bestimmte Ausscheidensszenarien in sogenannte Good-Leaver- und Bad-Leaver-Fälle aufgeteilt. Da das selbstverschuldete Ausscheiden eines Gründenden sanktioniert werden soll, muss dieser in Bad-Leaver-Fällen (i.d.R. Kündigung durch die Gesellschaft aus wichtigem Grund gemäß § 626 BGB; Straftaten gegenüber der Gesellschaft) sämtliche Anteile zum Nominalwert abgeben. In Good-Leaver-­Fällen wird er, abhängig von der Dauer der Zugehörigkeit zur Gesellschaft, einen Teil seiner Anteile behalten dürften (die „gevesteten“ Anteile). Mitunter sind diese treuhänderisch auf einen anderen Gesellschafter zu übertragen.

Ferner werden in der Gesellschaftervereinbarung Regelungen zur Corporate Governance und zum Wettbewerbsverbot enthalten sein. Mitsprache- und Informa­tionsrechte stellen ­sicher, dass die Investor*innen bzw. die Investor*innenmehrheit bei bestimmten Grundsatzentscheidungen, ein Mitspracherecht erhält. Üblich sind Zustimmungsvorbehalte, im Einzelfall die Einrichtung eines Beirats und regelmäßig die Verabschiedung einer Geschäftsordnung für die Geschäftsführung.

Fazit

Ein Beteiligungsvertrag beinhaltet überwiegend Standard­regelungen, wobei sich im Detail gründer*innen-/oder investor*innenfreundliche Ausgestaltungen zeigen. Bei den Verhandlungen über die Ausgestaltung dieser Regelungen ist im Einzelfall ein Ausgleich zu finden zwischen dem (Sicherungs-)Interesse der Investor*innen und den Interessen der Gründenden.

Die Autoren:
Alexander Weber, LL.M. ist Rechtsanwalt und Partner bei Heuking Kühn Lüer Wojtek in München.
Roman Ettl-Steger, LL.M. (King’s College London) ist Senior Associate im Bereich Venture Capital am Münchner Standort derselben Kanzlei, www.heuking.de

Elektronische Transaktionen und Daten, die von Endgeräten und anderen Quellen stammen, bilden die Grundlage für die Geschäftsmodelle einige der größten Unternehmen der Welt. Doch der jahrzehntelange Wildwuchs in der Datenspeicherung sorgte für Misstrauen der Verbraucher*innen und verlangte nach gesetzgeberischen und regulatorischen Maßnahmen.

Auch das Jahr 2023 wird einige neue Regelungen und Maßnahmen bringen, auf die sich die Unternehmen vorbereiten müssen. Hier vier Prognosen:

1. Internationale Datenübermittlungen

Bis Juli 2020 galten die USA laut eines Angemessenheitsbeschlusses der Europäischen Kommission (basierend auf dem EU-US-Privacy-Shield-Abkommen) als sicheres Drittland. Das Datenschutzniveau wurde also als ähnlich gut eingeschätzt wie das der EU. Dies änderte sich jedoch, als der Österreicher Max Schrems mit seiner Klage in der Sache „Schrems II“ vor dem Europäischen Gerichtshof (EuGH) Erfolg hatte.

Am 16. Juli 2020 erklärte der EuGH das bis dahin geltende Privacy Shield für ungültig (Rechtssache C-311/18, Schrems II). Seitdem gelten die USA nicht mehr als sicheres Drittland, was den Datentransfer für Firmen bedeutend komplizierter gestaltete. Die rechtskonforme Gestaltung von Datenübermittlungen aus Europa in die USA ist inzwischen eines der komplexesten und zeitaufwendigsten Themen, mit denen sich Datenschutzbeauftragte in Unternehmen in den letzten zwei Jahren beschäftigen mussten.

Nun kommt Bewegung in die Sache: Die EU-Kommission hat Mitte Dezember 2022 ihren Entwurf für den bevorstehenden Angemessenheitsbeschluss veröffentlicht, die Arbeiten am neuen EU-U.S.-Data-Privacy-Framework laufen auf Hochtouren.

Bis zum Erlass, der in der ersten Jahreshälfte 2023 erwartet wird, bleibt es jedoch bei der derzeitigen Rechtslage. Bis dahin werden die anderen möglichen Übermittlungsinstrumente des Art. 46 DSGVO – insbesondere Standardvertragsklauseln (SCC) und Binding Corporate Rules (BCR) – sowie die Ausnahmetatbestände des Art. 49 DSGVO (speziell die Einwilligung der betroffenen Personen) genutzt werden, und zwar mit allen bekannten Herausforderungen und Nachteilen.

2. EU-Dateninitiativen werden verabschiedet

Neue EU-Dateninitiativen werden verabschiedet oder in Kraft treten. Sie beeinflussen, wie Daten mit anderen geteilt werden dürfen und zwingen Organisationen, die einen Wert aus personenbezogenen Daten ziehen, dazu, die Modalitäten für die Weitergabe, den Schutz und den Zugriff auf diese Informationen zu ändern. Besonders folgende:

• Digital Services Act (DSA): Der DSA wird die veraltete E-Commerce-Richtlinie aus dem Jahr 2000 ablösen. Sein extraterritorialer Geltungsbereich betrifft die derzeitigen Geschäftsmodelle vieler datengesteuerter Organisationen, darunter Internetdienst- und Cloud-Anbieter, soziale Medien und Online-Plattformen, Marktplätze und Suchmaschinen. So werden unter anderem zusätzliche Transparenzanforderungen für Online-Werbung, ein Verbot von „Dark Patterns“ und Einschränkungen für Werbung auf der Grundlage sensibler Daten erlassen.
• Data Act: Das Datengesetz soll harmonisierte Regeln für den fairen Zugang zu und die Nutzung von Daten schaffen. Es stellt sicher, dass ein breiteres Spektrum von Akteuren die Kontrolle über ihre Daten erhält. Es sollen mehr Informationen für innovative Zwecke zur Verfügung stehen, während gleichzeitig Anreize für Investitionen in die Datengenerierung erhalten bleiben. Das soll schließlich zu einem maximalen Wert der Daten für Wirtschaft und Gesellschaft führen.
• Europäischer Raum für Gesundheitsdaten: Befasst sich mit den gesundheitsspezifischen Schwierigkeiten beim Zugang zu elektronischen Gesundheitsdaten, der gemeinsamen Nutzung und der Gestaltung eines gemeinsamen Raums, in dem natürliche Personen ihre elektronischen Gesundheitsdaten leicht kontrollieren können. Zudem soll er es Forschern und politischen Entscheidungsträgern ermöglichen, diese elektronischen Gesundheitsdaten in einer vertrauenswürdigen und sicheren Weise zu nutzen, bei der die Privatsphäre gewahrt bleibt.
• Artificial Intelligence Act: Viele Umfragen zeigen, dass sich Verbraucher über die Verwendung ihrer personenbezogenen Daten in KI-Anwendungen Sorgen machen. Der Vorschlag für eine Verordnung mit harmonisierten Regeln für künstliche Intelligenz soll diese Bedenken ausräumen und die ethische Nutzung von KI gewährleisten. Flankiert wird er von den außervertraglichen, zivilrechtlichen Haftungsregeln für künstliche Intelligenz. Diese sollen dafür sorgen, dass Betroffene die gleichen Schutzstandards genießen, falls ihnen unter anderen Umständen durch KI-Produkte oder -Dienste ein Schaden entstehen sollte.

3. Umstellung auf neue Standardvertragsklauseln (SCC)

Im Juni 2021 erließ die Europäische Kommission neue Standardvertragsklauseln (SCC), die seit dem 27. September 2021 für alle neuen Verträge gelten. Diese neuen SCC sind modular aufgebaut und decken alle praktisch relevanten Varianten des Datentransfers ab, ohne wie bisher auf komplizierte und teilweise unpraktische Vertragskonstellationen zurückzugreifen.

In diesem Zusammenhang mussten Unternehmen bis zum 27. Dezember 2022 alle Altverträge auf die neuen Standardvertragsklauseln umstellen. Laut diversen deutschen Datenschutzbehörden soll es keine weitere Fristverlängerung geben, sie wollen also kein Auge mehr zudrücken. Daher müssen Firmen, die bis Ende Dezember 2022 alte Verträge nicht auf die neuen SCCs angepasst haben, mit Sanktionen der Aufsichtsbehörden rechnen.

4. Vormarsch neuer Instrumente der Rechtsdurchsetzung

Reine Kontrollmaßnahmen der Aufsichtsbehörden werden 2023 nicht mehr allein im Vordergrund stehen. Der Trend geht vielmehr zur zivilrechtlichen Durchsetzung der Beendigung datenschutzwidriger Verarbeitungen und der Entschädigung von Datenschutzverstößen. Dies zeigte sich bereits 2022 im Fall von Google Fonts.

Hunderte von Organisationen in Deutschland und Österreich sahen sich im Sommer und Herbst 2022 mit Abmahnungen und Unterlassungserklärungen wegen Google Fonts konfrontiert. Solche Trittbrettfahrer werden in Zukunft voraussichtlich vermehrt einzelne Gerichtsentscheidungen nutzen, um mit derartigen Massenverfahren gegen angebliche Datenschutzverstöße auf breiter Front vorzugehen. Davon dürften insbesondere Websites und Apps betroffen sein, da sich datenschutzwidrige Konfigurationen und nicht autorisierte Tools mit geringem Aufwand schnell und eindeutig nachweisen lassen. Dass sich solche Massenabmahnungen zumindest in einer Grauzone bewegen und die Schwelle zur Missbräuchlichkeit leicht überschritten werden dürfte, zeigen die ersten Gerichtsverfahren gegen die abmahnenden Anwälte.

Natürlich werden auch die Aufsichtsbehörden weiterhin die DSGVO durchsetzen, doch auch diese dürften in Zukunft Neuland betreten. Es ist nur eine Frage der Zeit, bis sie zunehmend die ihnen nach Artikel 58 DSGVO zur Verfügung stehenden Instrumente nutzen, um die Datenverarbeitung (vorübergehend) zu untersagen und die Löschung von Daten anzuordnen. Da die Wirkung dieser Maßnahmen sofort eintritt, sind die Auswirkungen und die Intensität der Intervention am größten. Aufgrund der rechtlichen Brisanz solcher Entscheidungen haben die Behörden bisher jedoch nur selten von ihnen Gebrauch gemacht. Doch ändert sich bald. So könnten in Fällen wie bei Google Analytics im Jahre 2022 zukünftig nicht nur eine Feststellung der Datenschutzwidrigkeit seitens Behörden erfolgen, sondern zusätzlich eine Untersagung der Übermittlung.

Die größte und wesentlichste Veränderung bei der Rechtsdurchsetzung dürfte jedoch das verstärkte Eingreifen von NGOs und anderen Verbraucherschutzverbänden darstellen. Organisationen wie NOYB haben bei verschiedenen europäischen Aufsichtsbehörden Hunderte von Beschwerden über Cookie-Banner und Websites eingereicht, die gegen Datenschutzgesetze verstoßen. Artikel 80 der DSGVO ermöglicht es NGOs und Verbraucherverbänden, Beschwerden bei den Behörden einzureichen und im Namen der betroffenen Personen Schadenersatz zu fordern. Diese Möglichkeit kannten bisher nur wenige, deswegen wurde sie kaum wahrgenommen. Allerdings dürfte es zu einer verstärkten Aktivität solcher Organisationen kommen, speziell nach dem Grundsatzurteil des EuGH über die Rechtsstellung von Verbraucherschutz-Organisationen im Mai 2022.

Der Europäische Verbraucherverband hat bereits angekündigt, dass seine Mitglieder ihre Befugnisse im Rahmen der DSGVO nutzen wollen, um den Verbraucherdatenschutz zu verbessern.

Der Autor Dr. Frank Schemmel (Practice Lead International Privacy & Compliance) ist seit 2018 bei DataGuard - der All-in-one-Plattform in Sachen Compliance-Anforderungen, Informationssicherheit und Datenschutz – tätig.

Start-ups gelten als Vorreiter bei neuen Arbeitsweisen und -strukturen. Flache Hierarchien, digitale Lösungen, Innovationsfreude und Austausch zwischen verschiedenen Disziplinen schwirren dabei als Buzzwords in Sachen dynamische Unternehmenskultur durch die Medien. Trotz all der gelebten Offenheit empfiehlt es sich bei arbeitsrechtlichen Fragen, und hier insbesondere in Vertragsangelegenheiten, eher traditionelle Wege einzuschlagen. Vor allem im Arbeitsrecht gibt es eine Vielzahl unterschiedlicher Gesetze, Bestimmungen und Stolperfallen, die Gründer*innen kennen sollten. Schließlich unterliegt das Arbeitsrecht einem sehr dynamischen Wandel.

So kommen gemäß der Arbeitsbedingungenrichtlinie (EU 2019/1152) ab August 2022 neue Vorgaben hinzu. Ein erster deutscher Gesetzesentwurf, der die EU-Regelungen in nationales Recht übertragen soll, sieht weitreichende Änderungen vor. Bei Nichtbeachtung drohen Sanktionen.

Vom Müssen, Können und Sollen

Schon jetzt macht der Gesetzgeber bei Arbeitsverträgen Vorgaben zu verpflichtenden Inhalten. Gemäß § 2 des Nachweisgesetzes gehören dazu Name und Adresse der beschäftigten Person sowie Name und Adresse des Unternehmens – inklusive Nennung der Geschäftsleitung. Ebenso essenziell sind eine Jobbeschreibung sowie allgemeine Hinweise auf Tarifverträge und Betriebsvereinbarungen. Darüber hinaus muss nicht nur der Beginn des Arbeitsverhältnisses, sondern auch der Arbeitsort und, wenn zutreffend, eine Information auf wechselnde Tätigkeitsorte angegeben werden. Ergänzt wird das Ganze von einzelnen Klauseln, die Details zu Vertragsdauer, Arbeitszeiten, Entgelt, Sonderzuwendungen, Kündigungsfristen und Urlaubsanspruch enthalten.

Unabhängig von diesen unbedingt erforderlichen Punkten räumt der Gesetzgeber Unternehmen jedoch Gestaltungspielräume ein, um auf die individuellen Bedürfnisse und Gegebenheiten im Unternehmen einzugehen. Konkret bedeutet das: Innerhalb der Grenzen des Arbeitsschutzrechts gilt die Vertragsfreiheit. Finden Gleichbehandlungsgrundsatz, Allgemeines Gleichbehandlungsgesetz und AGB-Recht Berücksichtigung, bestimmen beide Parteien nicht nur über den Inhalt, sondern auch über den Abschluss als solches, der dann mit den jeweiligen Unterschriften Gültigkeit bekommt. Insbesondere bei komplexen Vertragsinhalten lohnt es sich im Einzelfall, juristischen Beistand zu suchen, da eigene Formulierungen etwa zu Arbeitsunfähigkeit, Geheimhaltung oder Nebentätigkeiten im Streitfall nicht immer vor Gericht standhalten.

Zurück ans Reißbrett

In der Praxis wird en détail nicht jede einzelne Klausel diskutiert. Tatsächlich kommen einseitig vom Unternehmen erstellte, vorformulierte Muster zum Einsatz. Aus rechtlicher Sicht werden diese seit 2002 wie Allgemeine Geschäftsbedingungen (AGBs) behandelt und unterliegen daher einer strengen Inhaltskontrolle. Nichtsdestotrotz schleichen sich in dem ein oder anderen Vertragswerk unwirksame Klauseln ein. Wann Bestimmungen in AGBs als unzulässig gelten, ist dabei in § 307 des Bürgerlichen Gesetzbuches (BGB) klar geregelt. Entsprechend gilt es auf überraschende, unklare und missverständliche Klauseln zu verzichten, die die gesetzlichen Rechte von Arbeitnehmern einschränken und zu unangemessenen Benachteiligungen führen.

Dazu gehören beispielswese Regelungen, die Mitarbeiter gegenüber Kollegen zum Stillschweigen über ihr Gehalt verpflichten sollen (LAG Mecklenburg-Vorpommern, Az. 2 Sa 183/09). Ist die Rede von einer unbestimmten Anzahl von „Überstunden“ (BAG, Az. 5 AZR 517/09) oder sogar „erforderlichen Überstunden“ (LAG Düsseldorf, Az. 9 Sa 1958/07), die nicht gesondert vergütet, sondern vollständig mit dem monatlichen Festgehalt abgegolten werden, ist die Klausel unwirksam. Gleiches gilt für sogenannte Versetzungsklauseln, die es etwa Unternehmen erlauben, Arbeitnehmern eine minderwertige Tätigkeit zuzuweisen. In der Vergangenheit mussten Gerichte aber auch über exzessiv hohe Vertragsstrafen bei Pflichtverletzungen, Freiwilligkeits- und Widerrufsvorbehalte im Zusammenhang mit Sonderzahlungen oder sogar Schwangerschaftsverbote für erwerbstätige Frauen urteilen und sind zum Schluss gekommen, dass sie gegen geltendes Recht verstoßen. In der Folge wurden die entsprechenden Regelungen des Vertrags außer Kraft gesetzt.

Mehr Transparenz wagen

Mit der Umsetzung der Arbeitsbedingungenrichtline der EU (2019/1152) erweitert sich der Katalog von Pflichtangaben in Beschäftigungsverträgen. Ein erster Gesetzesentwurf sieht dabei weitreichende Neuerungen vor, wobei sich im Wesentlichen alles um die Ergänzung bestehender Nachweispflichten dreht. Sollte das Gesetz in dieser Form in Kraft treten, genügt es in Zukunft nicht mehr, etwa eine Arbeitszeit von 40 Wochenstunden anzugeben. Neben genauen Schichtzeiten gilt es vertraglich festzuhalten, wie viel Geld für Überstunden gezahlt wird und ob Überstunden überhaupt angeordnet werden dürfen. Darüber hinaus finden vereinbarte Ruhepausen ebenso Eingang in das Dokument wie die Dauer der Probezeit. Außerdem müssen alle Jobvereinbarungen, die nach dem 31. Juli 2022 aufgenommen werden, auch Kündigungsmodalitäten sowie die Zusammensetzung und die Höhe des Arbeitsentgeltes inklusive Fälligkeit und Art der Auszahlung beinhalten.

Wichtig dabei: Die vorgesehenen Gesetzesänderungen wirken sich nicht nur unmittelbar auf die Gestaltung neuer Verträge aus – also alle Beschäftigungsvereinbarungen, die ab 1. August 2022 geschlossen werden. Im aktuellen Entwurf räumt der Gesetzgeber Lohnempfängern in bestehenden Arbeitsverhältnissen das Recht auf Offenlegung ein. Innerhalb von sieben Tagen müssen Unternehmen dann detailliert Auskunft über besonders wichtige Informationen wie beispielsweise Dauer der Probezeit oder Zusammensetzung und Höhe des Arbeitsentgelts geben. Binnen eines Monats folgen in einer Niederschrift alle restlichen wesentlichen Bedingungen des Arbeitsverhältnisses.

Leisten Betriebe dem Widerstand, drohen Strafen. Schon in der EU-Richtline von 2019 ist festgelegt, dass ein wirksamer, angemessener und abschreckender Sanktionsmechanismus bei der Umsetzung in nationales Recht integriert werden muss. Entsprechend definiert der deutsche Gesetzesentwurf, dass Unternehmen ordnungswidrig handeln, wenn die Vertragsbedingungen nicht richtig, rechtzeitig, vollständig oder in der vorgeschriebenen Weise niedergelegt werden. Ein solcher Verstoß kann eine Geldstrafe von bis zu 2.000 Euro nach sich ziehen.

Der Autor Paul-Benjamin Gashon ist Fachanwalt für Arbeitsrecht bei der Korten Rechtsanwälte AG. Die 2003 gegründete Wirtschaftskanzlei mit Standorten in Hamburg, München und Göttingen bietet vor allem mittelständischen Unternehmen Unterstützung, Beratung und Expertise bei zivil- und wirtschaftsrechtlichen Fragen.