Source: http://docplayer.org/1497792-Newsletter-it-recht-1-halbjahr-2013.html
Timestamp: 2017-08-16 20:08:04+00:00

Document:
Newsletter IT-Recht 1. Halbjahr PDF
Newsletter IT-Recht 1. Halbjahr 2013
Download "Newsletter IT-Recht 1. Halbjahr 2013"
1 Newsletter IT-Recht 1. Halbjahr 2013 Liebe Leserin, lieber Leser, der erste Newsletter IT-Recht im Jahr 2013 greift zunächst noch einmal die aktuelle Rechtsprechung zur angeblichen Unzulässigkeit des Double-Opt-In-Verfahrens beim Versand von Newslettern auf und gibt Ihnen hierzu einen Leitfaden für das -Marketing an die Hand. Ein wiederkehrendes Thema in unserem Newsletter ist der Handel mit Gebrauchtsoftware, der nach dem jüngsten Urteil des EuGH nunmehr vom OLG Frankfurt weiterentwickelt wurde. Weitere Themen sind das geplante IT-Sicherheitsgesetz, Impressumspflichten in Facebook und der Umfang der Meldepflichten von Datenschutzbeauftragten. Im unserem Standpunkt zeigt Herr Francisco Concellón vom IT-Beratungsunternehmen Sandmeier & Partner außerdem die Risiken indirekter Softwarenutzung auf. Bitte zögern Sie nicht, uns bei Fragen, Kritik und Anregungen zu unserem Newsletter anzusprechen. Ihr HLFP-IT-Rechts-Team Inhalt Leitfaden für das -Marketing Stichwort: Umsetzung der Impressumspflicht in Facebook Der Datenschutzbeauftragte als Whistleblower? Neuerscheinung: Guide to Social Media Privacy Aktuelle Rechtsprechung Aktuelle Entwicklungen in der Gesetzgebung Standpunkt: Risikofaktor indirekte Nutzung - Francisco Concellón
2 Newsletter IT-Recht 1. Halbjahr 2013 Leitfaden für das -Marketing Umgang mit der neuesten Rechtsprechung zur Unzulässigkeit des Double-Opt-In-Verfahrens Nach einem aktuellen Urteil des Oberlandesgericht München (Urteil vom 27. September 2012, Az. 29 O 1682/12) wird das im -Marketing bislang gängige Double-Opt-In-Verfahren als unzulässig erachtet. Die Entscheidung stellt insofern die gesamte künftige Praxis für den Versand von Werbe- s in Frage, ist im Ergebnis allerdings sehr fragwürdig. Im folgenden Leitfaden sollen daher das Urteil und die daraus abzuleitenden Konsequenzen vorgestellt werden (I. + II.). Im Anschluss wird die tatsächliche Relevanz des Urteils bewertet (III.) und eine praktische Herangehensweise für zukünftiges -Marketing gegeben (IV.). I. Grundlage der Entscheidung des OLG München Werbe- eingeordnet. Obwohl kein direkter Mitbewerber des Versenders geklagt hatte, hat das OLG München hierzu die Voraussetzungen des 7 Abs. 2 Nr. 3 UWG herangezogen und bejaht. Das Gericht begründete seine Auffassung damit, dass die Check-Mail schon im unmittelbaren Zusammenhang mit der Förderung der Geschäftstätigkeit des Versenders steht und insofern eine Werbung darstellt. Für das Gericht steht somit fest, dass allein der Versand der nur zur Bestätigung dienenden Check-Mail einen Wettbewerbsverstoß begründet. II. Konsequenzen Auf den bestehenden Empfängerkreis hat die Entscheidung zunächst keinen Einfluss. Derjenige, der auf eine Check-Mail hin den Empfang von Werbe- s bestätigt und diese dauerhaft bezogen hat, kann sich nicht ernsthaft auf den unverlangten Bezug der Check-Mail berufen. Der Entscheidung des OLG München lag die Verwendung des klassischen Double-Opt-In-Verfahrens zugrunde, also einem Bestellverfahren für -Werbung mit den folgenden Merkmalen: Möglichkeit zur Eintragung einer -Adresse auf der Website des Versenders Verifizierung des Bestellers durch Versand einer sogenannten Check-Mail an die eingetragene -Adresse mit einem Link zur Bestätigung der Anmeldung Versand der -Werbung nur durch Einwilligung des Bestellers per Check-Mail Folgt man der Entscheidung des OLG München, so besteht die Gefahr vielmehr darin, für zukünftig versendete Check-Mails eine Rechtsverletzung zu begehen. An erster Stelle steht hier ein abmahnfähiger Wettbewerbsverstoß, der bereits durch Versand der Check-Mail an eine falsch eingetragene -Adresse begründet wird. Unabhängig vom Wettbewerbsverstoß sind auch mögliche Unterlassungsansprüche der betroffenen Empfänger zu beachten, die ebenfalls gerichtlich durchgesetzt werden können. Außerdem ist zu beachten, dass aufgrund des im Wettbewerbsrecht geltenden fliegenden Gerichtsstandes auch im Gerichtsbezirk München geklagt werden kann, dessen Rechtsprechung durch das OLG München vorgezeichnet ist. Dieses Verfahren wurde von der rechtswissenschaftlichen Literatur und der instanzgerichtlichen Rechtsprechung bislang gebilligt und für wettbewerbsrechtlich zulässig erachtet. Die Problematik liegt hier in 7 Abs. 2 Nr. 3 UWG, wonach der Versand von Werbe- s ohne ausdrückliche Einwilligung des Empfängers eine abmahnfähige Wettbewerbsverletzung darstellt. Problematisch sind insbesondere die Fälle, in denen irrtümlich oder mutwillig fremde -Adressen auf der Webseite eingetragen wurden. Das Double-Opt-In-Verfahren wurde in diesem Zusammenhang als einzige Möglichkeit des Versenders gesehen, die Identität des Bestellers auf elektronischem Weg rechtssicher nachzuweisen. Denn nur mit Hilfe der Check-Mail konnte der Versender im Zweifel hier einen entsprechenden Nachweis erbringen. Das OLG München hat nun bereits den Versand gerade dieser im Double-Opt-In-Verfahren nötigen Check-Mail als unverlangte III. Relevanz der Entscheidung Die Entscheidung ist kritisch zu sehen und sollte für das - Marketing nicht die Bedeutung erlangen, die damit bislang zum Ausdruck gekommen ist. Inhaltlich kommt die Entscheidung angesichts des in der Praxis etablierten Double-Opt-In-Verfahrens äußerst überraschend. Vor allem aber aus drei Gründen wird sich stark bezweifeln lassen, dass sie in Zukunft Bestand haben wird: 1) Fraglich ist zunächst, ob der Bundesgerichtshof (BGH), also die dem OLG München übergeordnete Instanz, in dieser Sache ähnlich entscheiden wird. Zweifel daran sind begründet, weil der BGH in einer jüngeren Entscheidung aus dem Jahre 2011 das Double-Opt-In-Verfahren noch ausdrücklich gebilligt hat (Urteil vom 10. Februar 2011, Az. I ZR 164/09). 2
3 Newsletter IT-Recht 1. Halbjahr 2013 Der BGH hat in dieser Entscheidung allerdings nur bestätigt, dass angenommen werden kann, dass bei Anwendung des Double-Opt-In-Verfahrens die Bestellung tatsächlich von der angegebenen -Adresse stammt und das Risiko der Versendung von -Werbung aufgrund von Falschangaben ausgeschlossen sei. Dies betraf zudem nur den Fall der per bestätigten Telefonwerbung, nicht aber die -Werbung als solche. Mit der Qualifikation der Check-Mail als Werbung hat sich der BGH hingegen nicht beschäftigt. Trotz alledem lässt sich den Aussagen des Gerichts insgesamt die Wertung entnehmen, dass das Double-Opt-In-Verfahren grundsätzlich ein geeignetes und rechtskonformes Verfahren darstellt. 2) Unter Heranziehung der europarechtlichen Vorgaben in der Werberichtlinie lässt sich damit argumentieren, dass es sich bei der Check-Mail nicht um Werbung handelt. Obwohl der Begriff der Werbung in den europarechtlichen Vorschriften grundsätzlich weit verstanden wird, muss er sich angesichts des Zwecks der Check-Mail jedoch sinnvoll begrenzen lassen. Denn mit dieser Mail soll gerade dem Versand der eigentlichen Werbung an falsche Empfänger vorgebeugt werden. 3) Bemerkenswert am Verfahren des OLG München ist, dass der Versender nicht nachweisen konnte, auf welcher Art und Weise er die -Adresse für die Versendung der Check- Mail erhalten hat. Hier fehlte es bereits an der Dokumentation für die Eintragung der Adresse auf der Webseite, also dem ersten Schritt des Double-Opt-In-Verfahrens. Wenn insofern ein wesentlicher Verfahrensschritt nicht vorliegt, kann darin eine Besonderheit des Verfahrens gesehen werden. Aufgrund dieser Besonderheit besteht ein begründeter Anlass dafür, sich mit einem maßgerecht dokumentierten Double-Opt-In-Verfahren vom vorliegenden Sachverhalt der Entscheidung des OLG München abgrenzen und auf ein abweichendes Urteil hoffen zu können. IV. Empfohlene Herangehensweise Angesichts der aufgezeigten Bedenken gegen das Urteil des OLG München muss für das -Marketing in Zukunft nicht gänzlich auf das Double-Opt-In-Verfahren verzichtet werden. Bei Verwendung dieses Verfahrens sind jedoch zusätzliche Voraussetzungen zu beachten, um sich von der Münchener Entscheidung und dessen offenbar unzureichender Tatsachengrundlage abzugrenzen. An dieser Stelle haben wir daher noch einmal alle wesentlichen Schritte in einer Checkliste zusammengefasst, die beim Versand von Werbe- s zu beachten sind: Checkliste Was ist bei der Newsletteranmeldung zu beachten? Anmeldeprozess auf der Website Es muss eine ausdrückliche Anmeldung des Bestellers vorliegen, wobei voreingestellte Kontrollkästchen oder Ähnliches auszuschließen sind. Der Besteller muss über den möglichen Inhalt und die Frequenz der Werbung hinreichend informiert werden, die er mit Angabe seiner -Adresse bestellt. Der Besteller ist über die Widerrufsmöglichkeit bezüglich des Empfangs der bestellten Werbung zu belehren. Zeitpunkt und IP-Adresse der Eintragung sind zu protokollieren. Es ist sicherzustellen, dass die entsprechende Protokolldatei in verwertbarer Form abgespeichert wird. Die Datenschutzerklärung der Website ist entsprechend anzupassen (Erhebung und Speicherung der oben angegebenen personenbezogenen Daten). Inhalt der Check-Mail Die Check-Mail muss einen Link für die Bestätigung zur Anmeldung enthalten. Informationen über Art und Frequenz der Werbung sowie die Widerrufsbelehrung müssen in der Mail wiederholt werden (siehe oben). Die Check-Mail darf keine Werbung enthalten. Hierzu sollte auch darauf verzichtet werden, Corporate-Design Elemente in die Check-Mail aufzunehmen. Bestenfalls wird diese im reinen Textformat versendet (Plain-Text). Abschluss des Anmeldevorgangs Werb s dürfen nur bei Bestätigung des Links in der Check-Mail versendet werden. Der Zeitpunkt der Bestätigung ist ebenso zu protokollieren wie der Inhalt der individuellen Bestätigungs- . Auch hier ist sicherzustellen, dass die Protokolldatei in verwertbarer Form abgespeichert wird. 3
4 Newsletter IT-Recht 1. Halbjahr 2013 Stichwort Umsetzung der Impressumspflicht in Facebook Wer als Unternehmen in Facebook zu Werbezwecken eine eigene Seite betreibt (sog. Fanpage ), ist Diensteanbieter im Sinne des 2 Nr. 1 TMG und muss daher ein Impressum mit verschiedenen Pflichtangaben in diese Seite integrieren. Dies gilt im Übrigen nicht nur für Facebook, sondern auch für sämtliche andere Social Media-Dienste wie Twitter, XING etc. Zu den vorgeschriebenen Pflichtangaben gehören sowohl der Name und die Anschrift, als auch die Rechtsform und die Vertretungsberechtigten des Anbieters. Hinzu kommen unter anderem auch noch Kontaktdaten, zuständiges Handelsregister und Handelsregister-Nummer (siehe 5 TMG). Probleme ergeben sich allerdings bei der Umsetzung dieser Impressumspflicht, denn nach den gesetzlichen Vorschriften muss das Impressum leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein. Die Rechtsprechung hat hierzu hohe Anforderungen aufgestellt, so dass sich jeder Betreiber einer Firmen-Fanpage fragen sollte, ob er diese Anforderungen mit seiner Präsentation tatsächlich erfüllen kann. Problematisch daran sind vor allem die vielen Endgeräte, auf denen die Facebook- Page angezeigt wird. Teilweise wird dadurch die Darstellung dieser Page so verändert, dass die Impressumsangaben schwieriger aufzufinden sind, möglicherweise auch ganz verschwinden. Insbesondere die für Smartphones optimierte Darstellung dürfte insofern kritisch werden. Wir haben zu diesem Thema ebenfalls eine kurze Checkliste entworfen, an der Sie Ihr Facebook-Profil überprüfen können: Checkliste Was ist bei der Gestaltung des Impressums auf Facebook- Fanpages zu beachten? Es dürfen von jeder Unterseite aus nicht mehr als zwei Klicks notwendig sein, um die Impressumsangaben zu erreichen (vom BGH anerkannte sog. Zwei-Klick- Regel ) Sind die Impressumsangaben hinter einem Link verborgen, so sollte als Linkbezeichnung nur Impressum, Kontakt oder Anbieterkennzeichnung gewählt werden. Die Angaben können aber auch direkt mit einer entsprechenden Bezeichnung im Profil unter der Info-Rubrik stehen. Dass das Impressum abrufbar ist und vollständig dargestellt wird, sollte durch einen Test auf verschiedenen Endgeräten und Browsern sichergestellt werden. Das gilt vor allem dann, wenn bestimmte Anzeigeflächen für die Impressumsangaben zweckentfremdet werden. Aufgrund der dauernden Fortentwicklung der Facebook-Darstellung und der Anzeigemittel sind die Testläufe regelmäßig zu wiederholen. Achtung: Verstöße gegen die Impressumspflicht sind abmahnfähige Wettbewerbsverstöße und können darüber hinaus mit einem Bußgeld von bis zu EUR belegt werden ( 16 Abs. 2 Nr. 1 TMG). Dies wurde jüngst durch eine aktuelle Entscheidung des LG Regensburg bestätigt (Urteil vom HK O 1884/12). Der Datenschutzbeauftragte als Whistleblower? Zur Meldepflicht des Datenschutzbeauftragten Viele Unternehmen sind verpflichtet, einen Datenschutzbeauftragten zu bestellen ( 4f Abs. 1 BDSG). Worüber sich viele aber bislang wenig Gedanken gemacht haben, sind die Konsequenzen einer solchen Bestellung und wie die Rollenverteilung zu datenschutzrechtlichen Fragen im Unternehmen danach aussieht. Vor allem im Hinblick darauf, was der Datenschutzbeauftragte im Falle von Datenschutzverletzungen an die zuständige Datenschutzbehörde zu melden hat, sollten den Beteiligten die jeweiligen Befugnisse klar sein. Dieses Problem stellt sich nicht nur bei der Bestellung eines externen, sondern gleichermaßen bei der Bestellung eines internen Datenschutzbeauftragten. Auch der interne Datenschutzbeauftragte ist weisungsfrei in seinem Aufgabenbereich und unterliegt insofern den gleichen gesetzlichen Anforderungen wie der externe. Die Rolle des Datenschutzbeauftragten im Unternehmen versteht sich nach der gesetzlichen Konzeption in erster Linie als datenschutzrechtliches Kontrollorgan. Nach 4g Abs. 1 BDSG liegen seine Aufgaben vor allem darin, die ordnungsgemäße Anwendung der Datenverarbeitungsprogramme zu überwachen und die bei der Verarbeitung personenbezogener Daten tätigen Personen zu sensibilisieren. Soweit automatisierte Datenverarbeitungsprozesse im Unternehmen eingeführt werden sollen 4
5 Newsletter IT-Recht 1. Halbjahr 2013 und diese besondere Risiken für die Rechte und Freiheiten der Betroffenen aufweisen, z.b. durch Verarbeitung besonders sensibler Daten, ist ein Beteiligung des Datenschutzbeauftragten im Sinne einer Vorabkontrolle erforderlich. Stellt der Datenschutzbeauftragte einen Verstoß fest, stehen ihm selbst keine eigenen Anordnungsbefugnisse zur Seite, diesen Verstoß zu beseitigen. Die Gewalt über datenschutzrechtlich relevante Entscheidungen verbleibt im Verhältnis zum Datenschutzbeauftragten somit ausschließlich beim Unternehmen. Dieses ist in keiner Weise an die Einschätzungen des Datenschutzbeauftragten gebunden. Daran schließt sich aber die Frage an, wie der Datenschutzbeauftragte die Datenschutzbehörde instrumentalisieren muss, um seiner Rolle gerecht zu werden: Das Gesetz bestimmt hierzu lediglich, dass er sich in Zweifelsfällen an die Behörde wenden kann ( 4g Abs. 1 S. 2 BDSG), dies bei der Vorabkontrolle von automatisierten Datenverarbeitungen sogar zu tun hat ( 4f Abs. 6 S. 3 BDSG). In der rechtswissenschaftlichen Literatur ist es umstritten, ob damit auch eine Meldepflicht des Datenschutzbeauftragten begründet wird. Aus der Formulierung im Zweifelsfall wird von diversen Autoren geschlossen, dass eine Meldung erst recht im Fall eines aus Sicht des Datenschutzbeauftragten sicher feststehenden Datenschutzverstoßes erfolgen muss. Die besseren Gründe sprechen allerdings dagegen. Denn nach der gesetzgeberischen Konzeption ist der Datenschutzbeauftragte nicht als potentieller Whistleblower im Unternehmen installiert. Das Gesetz möchte mit seinen Formulierungen lediglich sicherstellen, dass bei einer für ihn nicht zu beurteilenden Sachlage automatisch die Behörde involviert wird. Dies unterscheidet sich aber gerade von dem Fall, in dem ein Unternehmen sich gegen die feststehenden Einschätzungen des Datenschutzbeauftragten entscheidet. Dennoch: Solange die Aufsichtsbehörden und Gerichte zur Meldepflicht des Datenschutzbeauftragten keine klare Linie erkennen lassen, ist die Auswahl des Datenschutzbeauftragten mit großer Sorgfalt vorzunehmen. Im Zweifel sollte im Vorfeld abgestimmt werden, wie die Beteiligten bei Unstimmigkeiten über die Bewertung datenschutzrechtlicher Fragen reagieren. Dabei steht es dem Unternehmen natürlich frei, später auch anwaltliche Beratung hinzuzuziehen und auf diese Weise auf den Datenschutzbeauftragten einzuwirken. Neuerscheinung: Guide to Social Media Privacy In Zusammenarbeit mit Hoffmann Liebs Fritsch & Partner hat unsere belgische Partnerkanzlei Lorenz einen neuen internationalen Guide to Social Media Privacy für 30 Länder herausgegeben: Die Veröffentlichung widmet sich den wichtigsten Fragen zum Datenschutz im Zusammenhang mit Social Media am Arbeitsplatz. Ein Beispiel dafür ist etwa die Nutzung von Profildaten potentieller Kandidaten bei Neueinstellungen. Ein weiterer Schwerpunkt sind z.b. die Grenzen der Gestaltungs- und Überwachungsrechte des Arbeitgebers für die Social Media-Nutzung seiner Mitarbeiter. Diese Fragen haben namhafte Autoren für insgesamt 30 verschiedene Länder beantwortet. Der Beitrag zur deutschen Rechtslage wurde von Herrn Rechtsanwalt Peter Huppertz, LL.M. erstellt (S. 87 ff.). Der Guide ist auf unserer Homepage als PDF-Datei abrufbar unter: 5
6 Newsletter IT-Recht 1. Halbjahr 2013 Aktuelle Rechtsprechung Gebrauchtsoftwarehandel: Nun sogar Weiterveräußerung von abgespalteten Volumenlizenzen zulässig? OLG Frankfurt, Teilurteil vom U 68/11 Wir erinnern: In unserem vorletzten Newsletter haben wir die EuGH-Entscheidung in Sachen UsedSoft (EuGH, Urteil vom Rs. C 128/11) vorgestellt, die die bisherige obergerichtliche Rechtsprechung zum Gebrauchtsoftwarehandel auf den Kopf gestellt hat. Bis zu diesem Urteil schien es nur möglich, Softwarelizenzen an Dritte weiterzuveräußern, die an einen bestimmten Datenträger gekoppelt waren und zusammen mit der auf dem Datenträger gespeicherten Software erworben wurden. Die Entscheidung des EuGH ermöglicht jetzt aber auch die Weiterveräußerung von aus dem Internet heruntergeladenen Programmkopien und verleiht dem Gebrauchtsoftwarehandel dadurch einen gehörigen Schub. Das OLG Frankfurt hat nun als erstes deutsches Gericht an diese Öffnung des Gebrauchtsoftwaremarktes durch den EuGH angeknüpft. Es hat die Weiterveräußerungsmöglichkeiten allerdings Disclaimer Diese Veröffentlichung hat den Stand 6. Mai Die darin enthaltenen Informationen sind allgemeiner Natur und ohne vorherige Beratung im Einzelfall nicht als Entscheidungsgrundlage geeignet. Sie ersetzen insbesondere keine rechtliche Beratung im Einzelfall. Für die Vollständigkeit und Richtigkeit der in dieser Veröffentlichung enthaltenen Informationen wird keine Haftung übernommen. Impressum Hoffmann Liebs Fritsch & Partner Als Verantwortlicher im Sinne des 55 RStV steht Ihnen zur Verfügung: Claus Eßers, Hoffmann Liebs Fritsch & Partner, Kaiserswerther Straße 119, Düsseldorf, Telefon 0211/ , Telefax 0211/ USt-IdNr.: DE Die Rechtsanwälte der Sozietät Hoffmann Liebs Fritsch & Partner sind nach dem Recht der Bundesrepublik Deutschland zugelassen und Mitglieder der Rechtsanwaltskammer Düsseldorf, Freiligrathstraße 25, Düsseldorf, Sie unterliegen berufsrechtlichen Regelungen, insbesondere der Bundesrechtsanwaltsordnung (BRAO), dem Rechtsanwaltsvergütungsgesetz (RVG) und seiner Vorgängerregelung (BRAGO), der Berufsordnung der Rechtsanwälte (BORA), Fachanwaltsordnung (FAO) und Standesregelungen der Rechtsanwälte in der Europäischen Gemeinschaft. Diese Regelungen werden auf der Homepage der Bundesrechtsanwaltskammer (http://www.brak.de) bereitgehalten. sogar noch erweitert und auf Teile von Volumenlizenzen erstreckt. Nach dem OLG Frankfurt ist es demnach auch erlaubt, herunterladbare Programmkopien aus einem größeren und gegebenenfalls sogar rabattierten Lizenzpaket mit einer einheitlichen Seriennummer an Dritte zu veräußern. Das Gericht hat somit eine Möglichkeit angenommen, die Softwarelizenzen unabhängig von einem Datenträger weiterzuveräußern und im Paket erworbene Lizenzen voneinander zu trennen. Ob dies in Einklang mit der genannten EuGH-Entscheidung zu bringen ist, wird zurzeit allerdings noch kritisch diskutiert. Denn der EuGH hatte bewusst als Einschränkung an die Weiterveräußerung von heruntergeladenen Programmkopien das sogenannte Aufspaltungsverbot formuliert. Danach ist es dem weiterveräußernden Ersterwerber untersagt, die von ihm erworbene Lizenz, die für einen seinen Bedarf übersteigende Zahl von Nutzern gilt, aufzuspalten und das Recht zur Nutzung des betreffenden Computerprogramms nur für eine von ihm bestimmte Nutzerzahl weiterzuverkaufen. Dies entsprach auch der bisher anerkannten obergerichtlichen Rechtsprechung zu diesem Thema in Deutschland (vgl. OLG Karlsruhe, Urteil vom U 18/10). Das OLG Frankfurt sah jedoch einen besonderen Unterschied im Vergleich zu der Konstellation, die dem EuGH vorlag. Dort ging es noch um eine Client-Server-Nutzung der Software, die somit nur einmalig auf dem Server für eine bestimmte Anzahl lizenzierter Clients zur Verfügung stand. Mit Aufspaltung der Lizenzen führt dies zwangsläufig zu einer weiteren Kopie der Software auf einem anderen Server, ohne dass die ursprüngliche Kopie unbrauchbar gemacht wird. Nach dem EuGH konnte damit keine urheberrechtskonforme Weiterveräußerung einer abgespalteten Client-Server- Lizenz erfolgen. Anders lag es aber beim Fall des OLG Frankfurt. Hier wurden zwar ebenfalls Lizenzen im Paket erworben und unter einer einheitlichen Seriennummer verwendet. Letztlich ist hier aber eine Vielzahl von selbstständig nutzbaren Einzelplatzlizenzen vermittelt worden. Das Gericht nahm dies zum Anlass, bewusst von den Vorgaben des EuGH abzuweichen. Es begründete seine Entscheidung damit, dass mit einer Weiterveräußerung keine Veränderung der ursprünglich mit Zustimmung der Herstellerin in Verkehr gebrachten Anzahl an Lizenzen einhergehe. Das OLG Frankfurt stellte in diesem Zusammenhang auch klar, dass es für die Weiterveräußerung keine Rolle spielt, wenn für das Lizenzpaket ein Rabatt auf die Einzellizenzen eingeräumt wurde. Der rechtliche Hintergrund dieser Klarstellung ist, dass eine Weiterveräußerung der Lizenzen nur dann möglich ist, wenn sie erstmalig mit Zustimmung des Softwareherstellers in den Verkehr 6
7 Newsletter IT-Recht 1. Halbjahr 2013 gebracht werden. Dies setzt nach den Auslegungsgrundsätzen des EuGH wiederum ein angemessenes Entgelt der zur dauerhaften Nutzung in den Verkehr gegebenen Lizenzen voraus. Dem OLG Frankfurt zufolge hat der Hersteller allerdings die Möglichkeit, ein angemessenes Entgelt selbst festzulegen, wenn die Vergütung gesondert ausgehandelt wird. Denn dem Hersteller stünde es somit frei, ob er die Software dem Markt unter diesen Konditionen zur Verfügung stellt oder nicht. Selbst wenn der auf das Lizenzpaket erwirkte Rabatt dann keine Gewinne mehr für den Hersteller zulässt, soll dies nach Auffassung des Gerichts keinen Einfluss auf die Weiterveräußerung der Lizenzen haben. Ein weiterer interessanter Aspekt der Entscheidung ist die Schlussfolgerung des Gerichts, dass, wenn es nach den Vorgaben des EuGH schon beim Inverkehrbringen der Lizenzen nicht auf deren Verkörperung ankomme, es auch bei der Weiterveräußerung nicht darauf ankommen könne. Das OLG Frankfurt hat hier den Fall beurteilt, in dem nur ein Datenträger, aber mehrere Lizenzen weitergegeben wurden, und es für zulässig erachtet, beliebig viele Lizenzen auf Grundlage dieses einen Datenträgers weiterzuveräußern. Führt man den Gedanken jedoch fort, stellt sich die Frage, ob damit nicht auch beim Inverkehrbringen der Lizenzen auf einem Datenträger dessen Weitergabe entbehrlich ist und ein Online-Transfer in allen Fällen ausreicht. Angesichts der sehr auf den Client-Server-Betrieb bezogenen Formulierungen des EuGH überzeugt das Urteil des OLG Frankfurt inhaltlich. Das Gericht hat hier ähnlich wie der EuGH eine wirtschaftliche und pragmatische Betrachtungsweise angewendet, sich auf diese Weise überzeugend von der Sachverhaltskonstellation des EuGH abgegrenzt und über das dort angenommene Aufspaltungsverbot hinweggesetzt. Tatsächlich kann mit dieser wirtschaftlichen Betrachtungsweise, mit der der EuGH die UsedSoft-Entscheidung angegangen ist, ein allgemeines Aufspaltungsverbot für Volumenlizenzen schwer begründet werden. Werden die Lizenzen im Sinne einer Vielzahl von separat nutzbaren Einzellizenzen erworben, bleibt das wirtschaftliche Interesse des Herstellers an diesen Lizenzen in allen Fällen gleich. Dass die Lizenzen im Paket erworben werden, darf dann nicht schaden. Auch dass ein möglicher Rabatt insofern keinen Einfluss auf die Weiterveräußerung haben soll, findet Zustimmung. Die Entscheidung des OLG Frankfurt ist daher begrüßenswert und zeigt, dass es im Bereich des Gebrauchtsoftwarehandels stetig voran geht. Trotz der maßgebenden Entscheidung des EuGH in Sachen UsedSoft sind nach wie vor viele Detailfragen offen, die noch abschließend geklärt und zu einem stimmigen Gesamtsystem zusammengefügt werden müssen. Das OLG Frankfurt hat einige dieser offenen Fragen aufgegriffen, wenngleich hierzu die vom Gericht zugelassene Revision zum BGH abzuwarten ist. Es erscheint möglich, dass diese Fragen dann wiederum dem EuGH vorgelegt werden müssen. Jedenfalls bedarf es noch einiger Zeit, bis hier alle Details festgelegt sind. Die nächsten Erkenntnisse zu diesem Thema dürfte ein Urteil des BGH bringen. Denn in Sachen UsedSoft steht hier nach Beantwortung der Vorlagefragen durch den EuGH immer noch eine Entscheidung aus. Aktuelle Entwicklungen in der Gesetzgebung Das neue IT-Sicherheitsgesetz: Eine Welle der Kritik Am 12. März 2013 hat der Bundesinnenminister Dr. Hans-Peter Friedrich den Entwurf eines neuen IT-Sicherheitsgesetzes vorgestellt. Das Gesetz soll Änderungen im Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz), Bundeskriminalamtgesetz, Telemediengesetz (TMG) sowie Telekommunikationsgesetz (TKM) nach sich ziehen. Der Entwurf enthält dabei drei Schwerpunkte zur Verbesserung der IT-Sicherheit: Die Betreiber kritischer Infrastrukturen werden zu einer Verbesserung des Schutzes der von ihnen eingesetzten Informationstechnik und zur Verbesserung ihrer Kommunikation mit dem Staat bei IT-Vorfällen verpflichtet. Telemediendiensteanbieter, die eine Schlüsselrolle für die Sicherheit des Cyberraums haben, werden stärker als bisher hierfür in die Verantwortung genommen. Das Bundesamt für Sicherheit in der Informationstechnik wird in seinen Aufgaben und Kompetenzen gestärkt. Das Gesetz richtet sich damit im Wesentlichen an Unternehmen, die am Betrieb kritischer Infrastrukturen wie dem Strom- oder Wasserversorgungsnetz beteiligt sind. Gleichwohl sind aber auch Telekommunikations- und Medienunternehmen davon betroffen. Mit dem Entwurf wird somit der als Schutzniveau für IT-Technologie in 9 BDSG seit Jahren vorgeschriebene Stand der Technik, der bisher nur im Rahmen der Erhebung, Verarbeitung und Nutzung personenbezogener Daten galt, fast wortgleich auf den Betrieb von IT-Anlagen und IT-Systemen ausgeweitet. Darüber hinaus ist in dem Entwurf vorgesehen, dass IT-Sicherheitsvorfälle umgehend gemeldet werden müssen. Adressat dieser Meldungen sind allerdings nicht die Betroffenen, sondern ausschließlich das Bundesamt für Sicherheit in der Informationstechnik (BSI). 7
8 Newsletter IT-Recht 1. Halbjahr 2013 Nachdem bereits Ende März 2013 vom Bundesdatenschutzbeauftragten Peter Schaar Kritik an dem geplanten IT-Sicherheitsgesetz laut wurde, zogen kürzlich auch die betroffenen Branchenverbände nach. Schaar hatte zunächst kritisiert, dass es nicht zulasten des Datenschutzes gehen dürfe, wenn Unternehmen und staatliche Stellen mehr für die IT-Sicherheit tun. Entsprechende Vorgaben zur Datensparsamkeit und dem Vorrang der Verwendung anonymer oder pseudonymisierter Daten fehlten ihm dazu in dem Gesetzentwurf aber. Im Übrigen bemängelt er, dass die tatsächliche Gefahr, die von den befürchteten Cyber-Attacken ausgehe, dramatisiert werde. Auch der BITKOM, der Bundesverband Informationswirtschaft, Telekommunikation und neue Medien e.v., äußerte sich überwiegend kritisch zu dem Entwurf. Hauptkritikpunkt des Verbandes waren die zuvor erwähnten Meldepflichten an das BSI. In erster Linie sei vom Gesetzgeber klarzustellen, welche Unternehmen betroffen und welche Ereignisse meldepflichtig sind. Ohne eine gesetzliche Vorgabe wird hier die Gefahr einer zu großen Ausweitung der Meldepflicht gesehen. Dadurch drohe ein hoher bürokratischer Aufwand und eine Flut kaum relevanter Meldungen, was dem eigentlichen Ziel, ein möglichst umfassendes Bild über die Sicherheitslage im Internet zu erlangen, entgegenstehe. Zwar soll der Kreis der betroffenen Unternehmen später im Rahmen einer Verordnung konkretisiert werden. Dieses Vorgehen wird jedoch von der BITKOM als intransparent angesehen. Eine Ausweitung der Meldepflichten auf andere ITK-Unternehmen wie Online-Shops, Cloud Service Provider oder soziale Netzwerke, wie sie die EU- Kommission plant, wird vom Verband in diesem Zusammenhang ausdrücklich abgelehnt. Als problematisch wird auch die Doppelregulierung von TK-Unternehmen angesehen, die mögliche Sicherheitsvorfälle dann nicht nur an das BSI melden müssten, sondern zusätzlich an die Bundesnetzagentur gemäß 109 TKG. eco, der Verband der deutschen Internetwirtschaft e.v., beurteilt die Meldepflicht und die damit verbundene Doppelregulierung ähnlich kritisch, nicht zuletzt aufgrund der bereits etablierten freiwilligen Meldesysteme in der Wirtschaft. eco sieht den Zeitpunkt für ein nationales Gesetz insgesamt als verfrüht an, da IT-Sicherheit ein internationales Thema sei und die EU eine entsprechende Regulierung vorbereite. Durch die Internationalität der Angriffe seien letztendlich international abgestimmte Standards erforderlich. Vor diesem Hintergrund bestehe aber kein Sinn darin, kleinteilige nationale Regeln aufzustellen, die in Kürze durch völlig andere und wahrscheinlich praxisnähere Standards abgelöst werden. Die Kritik ist durchaus berechtigt. Dem Gesetzgeber ließe sich im Übrigen weiter vorhalten, dass der Stand der Technik im Gesetz nicht klar formuliert ist. Vor allem aber ist in datenschutzrechtlicher Hinsicht noch Einiges zu bemängeln. Themen sind dabei etwa die Transparenz der Verarbeitung von personenbezogenen Daten und die Anwendbarkeit der besonderen Zweckbindung des 31 BDSG auch für den Regelungsgegenstand des IT-Sicherheitsgesetzes. Es bleibt somit im Ergebnis noch viel zu tun für den Gesetzgeber. In dieser Legislaturperiode ist daher wohl nicht mehr mit einer Verabschiedung des Gesetzentwurfes zu rechnen. Die ausführlichen Stellungnahmen der Verbände können unter folgenden Links abgerufen werden: Francisco Concellón Risikofaktor indirekte Nutzung die Cash- Cow in einem ERP Bestandskundenmarkt Unter einer indirekten Nutzung eines IT-Systems versteht man die Nutzung von Software über eine Drittsoftware (im Hintergrund oder im Dialog). Beispiele hierfür sind: Verwendung einer Software über ein Portal Nutzung einer Schnittstelle zwischen einem CRM- und einem ERP-System zur Pflege von Kunden- und Auftragsdaten Erfassung von Zeitstempel-Informationen via PZE- oder BDE- Systeme Web-Shops, die Bestellungen direkt in ein ERP-System schreiben An ERP angebundene Lager-, CAQ- oder Instandhaltungs- Systeme Erfolgt der Zugriff einer solchen Schnittstelle ohne zeitlichen Puffer oder gar im Dialog oder werden Funktionen des Zielsystems direkt aktiviert, so liegt tatsächlich eine Nutzung der Zielsoftware vor, ohne dass hierfür ein User für die eigentlich nutzende Person vorliegt. In jeder Software mit einem Named-User-Lizenzmodell liegt in einem solchen Fall der Sachverhalt der indirekten Nutzung vor. Die Lizenzierung einer solchen Nutzung entspricht in der Regel der einer direkten Nutzung der Software. 8
9 Newsletter IT-Recht 1. Halbjahr 2013 Auf die Art und Weise muss beispielsweise jeder CRM-User gleichzeitig einen ERP-User lizenzieren, auch wenn er sich dort (direkt) kein einziges Mal anmeldet. Nicht selten verdoppeln sich hiermit die Lizenzkosten für eine CRM-Nutzung. Die Tragweite und Absurdität einer indirekten Nutzung wird an einem zweiten Beispiel besonders deutlich: Sie nutzen als Kunde die Zeitwirtschafts-Komponente eines Personalmoduls, welches in einem ERP-System integriert ist. 25 % Ihrer Mitarbeiter haben einen lizenzierten User für die Nutzung der eingesetzten Module. Die restlichen 75 % erfassen Ihre Kommen- und Gehen-Zeiten über ein Terminal, welches die Daten an die Zeitwirtschaft übermittelt. Nach Auffassung von Software-Herstellern sind diese 75 % Ihrer Mitarbeiter zusätzlich als User zu registrieren, da der Stempelvorgang direkt (im Hintergrund) eine Funktion aufruft. Diese Art der indirekten Nutzung lässt sich vermeiden, indem Sie die Definition der indirekten Nutzung des jeweiligen Softwareherstellers zu Ihren Gunsten auslegen. Sollte dies mit der bestehenden Schnittstelle nicht möglich sein (liegt als ohne Zweifel eine indirekte Nutzung vor), lässt sich diese gegebenenfalls durch eine gezielte Anpassung der Schnittstelle beseitigen. Ist auch dies nicht möglich, muss die kostengünstigste Form der Lizenzierung für die se Schnittstelle gefunden werden. Wahl hat. Da der Umfang der indirekten Nutzung in vielen Fällen nicht aus einem Vermessungsergebnis abgelesen werden kann, häufen sich die Kunden-Audits, um den Nachweis seitens des Softwareherstellers zu erbringen. Jeder große Softwarehersteller in einem Bestandskundensegment ist auf dieses Thema vorbereitet. Um nun das Risiko (qualitativ und monetär) zu bewerten, gilt es 1. die potentiellen Schnittstellen für indirekte Nutzung gemäß der jeweils gültigen Definition für indirekte Nutzung zu identifizieren, 2. das Risiko einer Forderung fachlich zu bewerten, 3. die Höhe einer Forderung monetär zu bewerten, 4. das Thema proaktiv (in Vorbereitung eines potentiellen Audits) vorzubereiten. Weitere Informationen finden Sie unter: Zum Autor Francisco Concellón: Mitbegründer der Sandmeier Consulting und dort für den Geschäftsbereich Solutions verantwortlich. Der Bereich Solutions umfasst vorkonfigurierte Lösungen für den Einsatz in Prozess- und IT-Projekten. Darunter fallen branchenspezifische Referenzmodelle, Business Workflows als auch Lösungen rund um elearning. Zuvor war Herr Concellón bei einem führenden Anbieter für Business-Kommunikation im internationalen Mittelstandsmarketing tätig. In einem Neukundenmarkt wurde diese unpopuläre Form der Lizenzierung in der Regel nicht vom Kunden verlangt. Der deutsche Markt entwickelt sich im konservativen ERP-Segment mehr und mehr zum Bestandskundenmarkt, in dem nicht nur die Erhöhung von Wartungsgebühren legitim erscheint, sondern auch die versteckten Kostenfallen einer Preisliste gezogen werden, um nachträglich Umsatz zu generieren, ohne dass der Kunde eine 9
10 Newsletter IT-Recht 1. Halbjahr 2013 Veranstaltungshinweise Mai Kooperationsverträge 7. Mai 2013 Die mehrköpfige GmbH-Geschäftsführung 22. und 23. Mai 2013 Rechtsfragen Open Source 22. und 23. Mai 2013 Vergaberechtsfrühstück - Workshop zu VOF-Verfahren 23. Mai 2013 Steuer-Update Was kommt noch nach Offshore- Leaks und CD-Fällen? 28. Mai 2013 Team IT-Recht Peter Huppertz, LL.M. Rechtsanwalt Fachanwalt für IT-Recht Partner Telefon Telefax Dr. Mathias Schneider Rechtsanwalt Telefon Telefax Workshop - Umgang mit AGB für Nichtjuristen 29. Mai 2013 Hoffmann Liebs Fritsch & Partner Kaiserswerther Straße Düsseldorf Telefon Telefax Internet 10
Rechtssicheres E-Mail-Marketing Leitfaden zum Versand von Werbe-E-Mails Stand April 2014 Autoren: Peter Huppertz, LL.M., Partner und Fachanwalt für Informationstechnologierecht bei Hoffmann Liebs Fritsch

References: EuGH 
 BGH 
 BGH 
 BGH 
 BGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 BGH 
 EuGH 
 BGH 
 EuGH