Source: https://www.webservice-schmitz.de/it-haftpflicht/
Timestamp: 2020-01-28 18:00:03+00:00

Document:
Webservice-Schmitz - IT-Haftpflicht
Die Frage nach der Notwendigkeit einer IT-Haftpflicht für Verbraucher und Unternehmen wird hier thematisiert. Grundlegend stellt sich hier aber auch die Frage, wie eine Verortung von Haftung definiert ist.
In der Europäischen Union wie auch in Deutschland gelten diesbezügliche Rechtsbezüge. So ist in Deutschland das Bürgerliche Gesetzbuch, BGB, eine wesentliche Grundlage:
In § 823 geht es um die Schadensersatzpflicht:
"...(1) Wer vorsätzlich oder fahrlässig das Leben, den Körper, die Gesundheit, die Freiheit, das Eigentum oder ein sonstiges Recht eines anderen widerrechtlich verletzt, ist dem anderen zum Ersatz des daraus entstehenden Schadens verpflichtet..."
Anmerkung: Damit steht im Grunde auch jeder in der Pflicht, der internetfähige Geräte nutzt!
Die Datenschutzgrundverordnung und jüngst das Urteil des EuGH betreffend der Verwendung von Cookies werfen das Licht auf einen Teilaspekt. Die im www erfassten und profilierten gigantischen Datenmengen und die dahinter eingesetzten Technologien unter Einsatz z.B. von KI werden hier nur teilweise erfasst, z.B. der Einsatz von Chatbots oder die zunehmende virtuelle Assistenzsysteme (Avatare) am Arbeitsplatz mit Cloudanbindungen.
Restriktionen wie eine Risiko-Folgen-Abschätzung oder ein TOM-Verzeichnis dienen hier als Sicherungs- und Sicherheitselemente, können aber nicht die Transmission aller vernetzten Geräte, Daten und Technologien an Hersteller und indirekt Staaten, deren gesamte Erfassung bewerten, filtern, verhindern. Ein enfacher Blick in zentrale Datenschnittstellen und die Erfassung von Datenabläufen wie in einem Router zeigt dies direkt auf.
Betrachtet man das Spektrum der Technologien, der rasanten Fortschritte der Vernetzung und insbesondere der Maßgaben um die Entwicklungen von künstlicher Intelligenz, ist hier eine Abgrenzung kaum möglich.
Wie soll ein System, bzw. lokales privates oder Unternehmsnetzwerk gehärtet und abgesichert werden gegen Angriffe von innen und außen, wenn durch die Vielzahl an Technologien sich bei der Erfassung von Profilen ein genauerer Daten-Abdruck erschließen lässt, als es der Einzelne vermuten lässt?
Für kritische Infrastrukturen wie z.B. Telekommunikationsunternehmen, bestehen hier Strategien und Rechtsgrundlagen:
In diesem Zusammenhang werden seit 2004 auch sogenannte "LÜKEX"-Übungen, Tests kritischer Infrastrukturen abgehalten - z.B. auch gegen Cyber-Angriffe:
https://crisis-prevention.de/innere-sicherheit/quo-vadis-luekex.html
https://www.innenministerkonferenz.de/IMK/DE/termine/to-beschluesse/2017-12-07_08/anlage-zu-top-34.pdf
Link zum Vergleichsportal zu Betriebshaftpflichtversicherungen von: "powered by TARIFCHECK24 GmbH"
Sie haben bereits eine Haftpflichtversicherung? Dann prüfen Sie, ob eine IT-Haftpflicht enthalten ist, als Unternehmen prüfen Sie zusätzlich, ob hier auch eine Haftung bei Datenschutzverletzungen enthalten ist? Fragen Sie hier bei Anbietern von Check24 oder bei Ihrem bestehenden Haftpflichtversicherer nach!
Im Digitalisierungsprozess ist jeder in der (Mit-)Verantwortung ist, gleich ob privat oder im Unternehmen...!
Eine IT-Haftpflicht ist daher eine sinnvolle Ergänzung, da breits selbst in Privathaushalten viele internetfähige Geräte vorhanden sind, angefangen vom Router bis zu mobilen Endgeräten. Ihr(e) Provider für den DSL- und Mobilfunk weisen in deren Verträgen und AGB´s hierzu auch auf Ihre Obliegenheiten hin!
Link zum Vergleichsportal zu Privathaftpflichtversicherungen von: "powered by TARIFCHECK24 GmbH"
Grundsätzlicher Zusammenhang: Verantwortung und Haftungsabgrenzung!
Zur Haftungsabgrenzung nach deutschem Recht ist eine IT-Haftpflichtversicherung unter Einschluss des Datenschutzes daher ein elementarer Bestandteil für jedes Unternehmen als auch Verbraucher.
Insbesondere für Unternehmen ergibt sich hier aus der Risikoabdeckung eine besondere wirtschaftliche Bedeutung. So ist z.B. der Einschluss auch eine Rückdeckung sehr sinnvoll, wenn beim Blick auf die Haftungsbedingunen in den AGB´s der Provider hier bereits von Haftungsgrenzen von 12.500,- € der Fall ist.
Für den einzelnen Verbraucher stellt sich die Frage nach individueller Haftung. Abzusehen ist auch hier durch die Iot-Vernetzung, dass Lücken in Technik und Netzwerk, auch Unkenntnis, fatale Auswirkungen auf sich selbst und Dritte (...Arbeitsplatz, Familie, Freunde, Bekannte, etc.) haben kann, z.B. durch Identitätsdiebstahl. Weil man ja nur dachte, außer einem selbst benutzt ja niemand den eigenen Computer, Smartphone, Tablet...!
Hinweise hierzu: https://www.daserste.de/information/wirtschaft-boerse/plusminus/sendung/internet-der-dinge100.html
Zu über 80 % wird unsere Gesellschaft von Klein- und Mittelständischen Betrieben geführt, in den denen die Mitbürger beschäftigt sind. Millionen von Bürgern sind zudem in Vereinen und gemeinnützigen Einrichtungen engagiert oder als Mitglieder registriert. All diese Menschen sind auch über privat und beruflich vernetzt, Im Verein, im Unternehmen - und dort durch die Methodik des "BYOD - Bring your own device" mit der IT u.a. von Servern vernetzt.
Anmerkung zu Ehrenamtlichen:
Insbesondere bei gemeinnützig Engagierten besteht hier häufig eine Diskrepanz zur Haftungsdeckung. Obwohl gesellschafts- und vereinstragender Pfeiler, ist hier i.d.R. keine Haftungsdeckung durch eine Privathaftpflicht angezeigt, siehe AGB´s in den Verträgen! In Hessen gibt es hier eine subsidäre Haftungs- und Unfallversicherung durch das Land Hessen. Eine Haftungsklärung insbesondere in Sachen IT-Haftpflicht ist hier allen Vereinsverantwortlichen angeraten. Auch, weil die DSGVO hier keine Unterschiede hinsichtlich Verantwortung macht und gerade Vereinen und gemeinnützigen Einrichtungen Kapital, Technik und Know-how für adäquate IT-Sicherheit und Datenschutz fehlen.
Dies erscheint jedoch nur tragbar, wenn die technischen Rahmenbedingungen hier einen gesicherten Umgang zulassen. Dazu gehört neben dem Einsatz von qualifizierter und zertifizierter Technik eben auch das Wissen um die eingesetzten Technologien als auch die Verantwortung hierfür. Und dies fängt bei der Entwicklung an (Stichwort Produkthaftung), setzt sich durch adäquaten Support fort (Auslieferung aktueller Firmware und Updates der Hersteller) als auch durch die Kenntnis und Verantwortung des Nutzers.
Und große Konzerne? Die sind natürlich umringt von KMU´s, die als Zulieferer und Dienstleister große Unternehmen stützen.
Würden Sie so ein Haus bauen, bei dem die schwächsten Pfeiler das Gerüst Ihres Hauses stellen...?
Deshalb ist es essentiell, dass die Digitalisierung Zivilgesellschaft braucht!
BfDI - Bundesbeauftrate für den Datenschutz und die Informationsfreiheit:
Fragwürdige Behauptung...!
Fragwürdig erscheint gleichfalls die Behauptung von Herstellern oder allgemein statuierte Formulierungen zur Sicherheit geschlossener Systeme. Im Falle ein Verbindung ans Internet ist dies obsolet. Zur Behauptung, dass einige Betriebssysteme von Schadsoftware nicht heimgesucht werden:
Es wird oft behauptet, dass einige Betriebssysteme von Schadsoftware nicht heimgesucht werden. Dieses so zu behaupten, ist falsch. Hierfür muss auch die Denkweise der Täter bedacht werden. Diese wollen mit Ihrer Schadsoftware in der Regel eine breite Masse erreichen. Dafür werden letztendlich Betriebssysteme genutzt, die entsprechend am meisten verbreitet sind. Weniger verbreitete Betriebssysteme sind weniger rentabel für die Täter. Dies bedeutet aber nicht, dass es dafür keine Schadsoftware gibt. Auch dort wurden bereits in der Vergangenheit mehr oder weniger erfolgreiche Angriffe registriert und es ist sehr wahrscheinlich, dass das Augenmerk der Täter zunehmend auch auf solche Betriebssysteme gelegt wird, die derzeit einen Boom erleben. Dieses kann auch auf die Betriebssysteme der derzeitigen Smartphones bezogen werden. So gibt es aktuelle schon zahlreiche Schadprogramme für z.B. Android-Smartphones. Weiterhin sollten Sie auch bedenken, dass Ihr Betriebssystem vielleicht nicht so stark durch Schadsoftware angegriffen wird, wie ein Windows-System, Sie jedoch als Überträger/Weiterverbreiter (z.B. Anhang in einer Mail) von Schadsoftware fungieren könnten..."
Quelle:https://www.polizei-praevention.de/themen-und-tipps/basisschutz-hard-software.html
Dabei spielt auch eine tragende Rolle, inwiefern hier der Gesetzgeber nur getestete Geräte und Technologien zulässt, die der Digitalisierungswandel, die Revolution 4.0, hervor bringt. Allein sich auf die Verantwortung oder Apelle an Unternehmen auszurichten, greift zu kurz.
Auch, weil der Innovationsdruck und das Wirtschaftlichkeitsprinzip von Entwicklung und Vermarktung dem nicht standhalten können. Die Revolution 4.0 mit intransparenten Strategien der Hersteller, Märkte und Staaten macht nicht Halt vor digitalen Staatsgrenzen, zunehmend weniger vor den realen. Dabei geht es auch um Interessenkonflikte, wie es sich aktuell im Fall Huawei zeigt:
https://www.pcwelt.de/news/Wem-gehoert-Huawei-eigentlich-die-Antwort-10642232.html
Die Frage richtet sich stärker nach dem Potenzial und der Macht der Software und ihrer Intelligenz, die sich globale Maßgaben erschließt. Wie oben beschrieben, u.a. zum Artikel "Spionage 4.0", stehen hier unmittelbar grundlegende Fragen zu Lösungswegen an.
Moderne Computersysteme, Smartphones und Tablets enthalten bionische Computerchips, neuromorphe Hardware mit künstlicher Intelligenz an Board z.B. von Smartphones und Tablets. Dies wirft Fragen auf, wie z.B. KI gefiltert wird, die auf dem Gerät aktiv ist, Daten verarbeitet und sendet? Das KI zur Abwehr in Sicherheitstechnik genutzt wird, darauf weisen Hersteller wie z.B. Avira, GData und Sophos hin.
Neuromorphe Hardware:
https://www.iis.fraunhofer.de/de/ff/kom/iot/embedded-ml/neuromorphic.html
Bionische Prozessoren:
Worauf können Sie sich als Kunde verlassen?
Wie sicher sind die Technologien unter Einsatz von KI, mittels derer unkrontollierbar global am Markt agiert wird? Und: Welche Haftungsrisiken ergeben sich daraus, wenn der Anwender hier zu einem kommerzialisierten Produkt gewandelt wird?
Denn nichts ist wirklich kostenlos in der digitalen Welt: Private Daten im Tausch für Dienste und Technik!
Ein Ansatz ist hier die Datenschutzgrundverordnung. Doch wer kontrolliert und erfasst letztlich die Datenströme, die sich zusammengesetzt aus den Informationen der IoT-Technologien zu eindeutigen Profilen erfassen lassen?
Zusammenwirken von Faktoren und Plädoyer für Weiterentwicklung...?
Aufgrund der vorgenannten Aspekte ist daher nicht ein Faktor wie Datenschutz oder IT-Sicherheit für sich alleine entscheidend, sondern das Zusammenwirken von Technik, Sicherheit, datenschutzrechtlichen, versicherungstechnischen, gesellschaftlichen und persönlichen Erfordernissen, die kontinuierlich in einem Gesamtkontext fortentwickelt werden. Hier ist Gesellschaft und Politik insgesamt gefordert.
Ein Plädoyer u.a. für Pluralismus, Meinungsvielfalt, gesellschaftlichen Schutz und Fortentwicklung, Wissenschaft, Kognition, Empathie, Soziologie! Was würde all diese informelle und technologische Macht in nur einer Hand - ob Mensch oder Maschine - bedeuten?
Das "Denken" nicht aus der Hand zu geben, nicht moderner Technik blind zu vertrauen, sondern verantwortungsvollen Umgang zu führen, gerade an der Schwelle, wo Technik zunehmend in unser Bewusstsein drängt, beeinflusst und dies verändert...
Und wie kommt es zu milliardenschweren Wirtschaftsschäden...?
Wie umfassend Wirtschaftsschäden sind, weist z.B. die Bitkom-Studie von 2018 aus: 43 Milliarden Euro Wirtschaftsschaden im 2-Jahres-Zeitraum (!) - Dokumentation über Cyberangriffe:
https://www.bitkom.org/sites/default/files/file/import/Bitkom-PK-Wirtschaftsschutz-Industrie-13-09-2018-2.pdf
Ergänzend wird hier Bezug genommen zu dem Artikel "Spionage 4.0" - Seiten 53-59 der Handelsblattausgabe vom 3./.4./5.Mai 2019:
Hinweise von Harvard-Professorin Shoshana Zuboff i.S. „Überwachungskapitalismus“ und Wirtschaftsprofessorin Sarah Spiekermann zur digitalen Ethik,
Philosophieprossorin Lisa Herzog der TU München zur Verantwortung bei der Entwicklung von künstlicher Intelligenz.
"...Übrigens sind auch solche Leute, die wegen der Dumpfheit ihres Bewusstseins ohne Bedürfnis und ohne Anlage zur Philosophie sind, darum doch nicht ohne eine Art von Philosophie, von System religiöser oder andrer Art: denn sie sind doch Menschen und bedürfen als solche einer Metaphysik: aber sie haben eben das erste beste festgehalten und sind meistens sehr hartnäckig in dessen Behauptung, weil, wenn sie es fahren ließen, dies ihnen die Notwendigkeit auflegen würde, zu denken, zu forschen, zu lernen: was sie eben vorzüglich scheuen und daher sehr froh sind, so etwas ein für allemal zu haben, was sie jeder Arbeit dieser Art überhebt..."
Verantwortlichkeit und Obliegenheitspflichten als Kunde von Providern und Versicherungen
Hier geht es um die Verantwortlichkeit und Obliegenheitspflichten von Kunden von Providern und Versicherungen, gleich ob privat oder Unternehmer: Den Stand der Technik und allgemein anerkannte Sicherheitsmaßgaben zu beachten, wie den Umgang mit Passwörtern.
Dies sind beispielhaft AGB-Maßgaben von bekannten Telekommunikationsunternehmen, deren Technologien Infrastrukturen sichern:
Beispiele: Maßgaben der bekannten Provider "1und1" und "Telekom" zur Verantwortung der Kunden...
Allgemeine Geschäftsbedingungen der 1und1 Telecom GmbH
Haftungsmaßgaben 1und1 AGB
https://dsl.1und1.de/AgbUebersicht
3.7. Fristlose Kündigung
Eine fristlose Kündigung ist nur aus wichtigem Grund möglich. Ein solcher liegt für 1&1 insbesondere vor, wenn aufgrund äußerer Umstände davon auszugehen ist, dass Dienstleistungen missbräuchlich in Anspruch genommen werden. Liegt ein wichtiger Grund vor, ist 1&1 ferner befugt, die Zugangsberechtigung des Kunden zu 1&1 Diensten mit sofortiger Wirkung zu sperren, sofern keine anderen besonderen Regelungen greifen, vgl. Ziffer A 9.2 dieser AGB. Ist die Vertragsfort-führung insgesamt unzumutbar, kann ein Verstoß bezüglich einzelner Leistungen die Kündigung aller Leistungen und des gesamten Vertragsverhältnisses bewirken. Dies erfordert in der Regel neben einem besonders schwerwiegenden Verstoß die vorherige erfolglose Abmahnung des Kunden.3.8. Im Falle der von 1&1 ausgesprochenen Kündigung aus wichtigem Grund ist 1&1 berechtigt, den in der Preisliste genannten Betrag, zu verlangen. Dem Kunden steht der Nachweis offen, dass 1&1 überhaupt kein Schaden entstanden ist oder der tatsächliche Schaden wesentlich niedriger ist, als dieser Betrag. 1&1 steht der Nachweis eines höheren Schadens offen.
11.1.5. Der Kunde ist verpflichtet, ausschließlich solche Geräte und Anwendungen mit dem 1&1 Netz zu verbinden, die den einschlägigen Vorschriften und anerkannten Kommunikations-Protokollen entsprechen.
11.3. Der Kunde darf die Leistungen nicht missbräuchlich nutzen, insbesondere keine Anrufe tätigen, die Dritte belästigen, oder bedrohen, oder sogenannte Spam-Nach-richten und/oder sog. Schadsoftware versenden.
11.4. Eine Anrufweiterleitung darf nur zum Zweck der Erreichbarkeit des Kunden, oder der mit ihm unter der 1&1 genannten Kundenadresse in einem Haushalt lebenden Personen eingerichtet werden. Vor der Einrichtung einer solchen Anrufweiter-schaltung auf den Anschluss eines Dritten, hat er dessen Einverständnis einzuholen.
11.5. Den Verdacht auf missbräuchliche Nutzung seiner Benutzerkennung / seines Passwortes teilt der Kunde 1&1 unverzüglich mit. Der Kunde verpflichtet sich, das Passwort auf Verlangen von 1&1 unverzüglich zu ändern.
11.8 Dem Kunden obliegt es, für die Einrichtung und/oder Konfiguration der erforderlichen Hardware und sonstigen Einrichtungen des Kunden wie der Hausverkabelung Sorge zu tragen.
Besondere Bestimmungen für Mobilfunkdienste:
2.Schutz gegen Abhandenkommen und Sperre
2.1.Der Kunde hat für die üblichen und angemessen Schutzmaßnahmen zu sorgen, damit Dritte die SIM bzw. sein Endgerät nicht missbräuchlich nutzen können (Code-Sperre, Schutz gegen Diebstahl).
2.2.Der Kunde hat ab dem Zeitpunkt, ab dem ihm die SIM von 1&1 zur Verfügung ge-stellt wird, das Abhandenkommen oder die unbefugte Drittnutzung unverzüglich mitzuteilen. 1&1 wird die SIM sofort sperren und dem Kunden eine neue SIM zur Verfügung stellen. Unterlässt der Kunde die unverzügliche Meldung, haftet er für verschuldete Fremdnutzung, die bei unverzüglicher Meldung vermieden worden wären. Bei unverzüglicher Mitteilung haftet der Kunde nur für die bis zum Eingang der Mitteilung geführten Gespräche und nur bis zu 50,– EUR. Die betragsmäßige Haftungsbegrenzung gilt nicht, wenn der Kunde das Abhandenkommen oder die unbefugte Drittnutzung vorsätzlich oder grob fahrlässig verursacht hat.
E. E-Mail-Dienst
2.2. Gegenstand des Dienstes ist, dass zum Schutz aller Nutzer sowie zum Schutz der Systeme von 1&1 alle E-Mails auf die Freiheit von Viren (einschließlich Würmern, trojanischen Pferden u.ä.) mittels eines automatisierten Verfahrens oder im Einzel-fall überprüft werden können. Ein Anspruch auf Prüfung, oder deren Erfolg, kann aufgrund der technischen Besonderheiten nicht übernommen werden.
F. Web-Space
2.1. Der Kunde wird bei Inhalten, die unter das Gesetz zum Schutz vor jugend-gefährdenden Schriften fallen oder offensichtlich geeignet sind, Kinder oder Jugendliche schwer zu gefährden oder in Ihrem Wohl zu beeinträchtigen, durch technische Vorkehrungen oder in sonstiger geeigneter Weise Vorsorge treffen, dass die Übermittlung an oder die Kenntnisnahme durch nicht volljährige Nutzer ausgeschlossen ist.
2.2. Im Falle, dass die Webseite einen rechtswidrigen oder sittenwidrigen Inhalt hat, kann 1&1 nach Kenntniserlangung das Angebot unmittelbar sperren sowie Schadensersatz oder weitere Rechte geltend machen. Im Falle, dass eine Strafver-folgungsbehörde gegenüber 1&1 den begründeten Verdacht über strafbare Inhalte mitteilt, ist 1&1 zur Sperre berechtigt.
Beispiel: Telekom /Tarif: Magenta Smart Home
https://www.telekom.de/dlp/agb/pdf/45833.pdf
7 Technische Beschränkungen
Bei verschiedenen Steuerungselementen kann der Kunde zusätzlich Accounts zu Plattformen anderen Anbieter aktivieren. Die Telekom übernimmt keine Gewähr für die Funktionsfähigkeit des Daten-austauschs mit den anderen Accounts des Kunden. Die Telekom be-hält sich ausdrücklich vor, einen Account, der Betriebsstörungen verursacht oder die Sicherheit der Smart Home Plattform gefährdet, von der Smart Home Plattform zu trennen.
a) Der Kunde hat die persönlichen Zugangsdaten (Kennwort/Pass-wort) geheim zu halten. Sie dürfen nicht an Dritte weitergegeben werden und sind vor dem Zugriff durch Dritte geschützt aufzubewahren. Der Kunde hat Zugangsdaten unverzüglich zu ändern, falls die Vermutung besteht, dass unberechtigte Personen davon Kenntnis erlangt haben.
b) Dem Kunden ist es nicht gestattet, die überlassenen Leistungen Dritten zum alleinigen Gebrauch oder zur gewerblichen Nutzung zu überlassen oder an Dritte weiterzugeben oder unter Einsatz der von der Telekom überlassenen Leistungen selbst als Anbieter aufzutreten.
c) Die überlassenen Leistungen dürfen nicht missbräuchlich genutzt werden.
d) Der Telekom ist das Aufspielen von Firmware-Updates auf der kundeneigenen Home Base bzw. dem kundeneigenen Gatewayzu gestatten. Die aktuelle Firmware ist zwingende Voraussetzung für das Funktionieren von Magenta SmartHome.
Beispiel: Telekom-Anschluss /Tarif: Magenta Zuhause
AGB für Festnetz- und Mobilfunk-Anschlüsse https://www.telekom.de/dlp/agb/pdf/45905.pdf
Welche Pflichten und Obliegenheiten haben Sie?
5.3 Ihnen ist es nicht gestattet unsere Leistungen für die Übermittlung oder Verbreitung oder den Hinweis auf rechts- oder sittenwidrigeInhalte zu nutzen. Sie dürfen ferner keine gesetzlich verbotenen, unaufgeforderten Informationen, Sachen und sonstigen Leistungen (wie z. B. unerwünschte und unverlangte Werbung) übersenden.
Auszugsweise Beispiele zur Notwendigkeit einer IT-Haftpflichtversicherung für Verbraucher und Unternehmen.
Die folgenden Auszüge weise eindeutig darauf hin, dass der Kunde, bzw. Versicherungsnehmer Obliegenheitspflichten hinsichtlich dem Stand der Technik und allgemein anerkannten Sicherheitsmaßgaben zu beachten hat wie den Umgang mit Passwörtern.
Auch liegt es im Interesse des Versicherers und dessen Kunden, dass hier sowohl die Beitragshöhe als auch der Umfang der versicherten Risiken abwägbar und kalkulierbar ist.
Beispiel: IT-Haftpflicht für Verbraucher...
Haftpflichtversicherungsbedingungen (HPB) R+V Allgemeine Versicherung AG
R+V PrivatPolice basic
https://ga.ruv.de/de/uec/bedingungen/aktuell/ruv-khp_privatkunden_haftpflichtpolice_verbraucherinfo.pdf
Seite 25 und 26...
A.9 Elektronischer Datenaustausch/Internetnutzung
A.9.1 Eingeschlossen ist - insoweit abweichend von Ziffer 4.1.10 der Haftpflichtversicherungsbedingungen - die gesetzliche Haftpflicht des Versicherungsnehmers wegen Schäden aus dem Austausch, der Übermittlung und der Bereitstellung elektronischer Daten seitens des Versicherungsnehmers bzw. über das ihm zurechenbare System, z. B. im Internet, per E-Mail oder mittels Datenträger, soweit es sich handelt um
1. Löschung, Unterdrückung, Unbrauchbarmachung oder Veränderung von Daten
(Datenveränderungen) bei Dritten durch Computer-Viren und/oder andere Schadprogramme;
2. Datenveränderung aus sonstigen Gründen sowie der Nichterfassung und fehlerhaften
Speicherung von Daten bei Dritten und zwar wegen
- sich daraus ergebender Personen- und Sachschäden, nicht jedoch weiterer
Datenveränderungen außerhalb des Systems des Adressaten sowie
- der Kosten zur Wiederherstellung der veränderten Daten des Adressaten bzw. Erfassung
oder korrekter Speicherung nicht oder fehlerhaft erfasster Daten;
3. Störung des Zugangs Dritter zum elektronischen Datenaustausch.
Für die Ziffern A.9.1.1 bis A.9.1.3 gilt:
Dem Versicherungsnehmer obliegt es, dass seine auszutauschenden, zu übermittelnden,
bereitgestellten Daten durch Sicherheitsmaßnahmen und/oder -techniken (z. B. Virenscanner, Firewall) gesichert oder geprüft werden bzw. worden sind, die dem Stand der Technik entsprechen. Diese Maßnahmen können auch durch Dritte erfolgen.
Verletzt der Versicherungsnehmer diese Obliegenheit, so gilt Ziffer 6 der Haftpflichtversicherungsbedingungen (Rechtsfolgen bei Verletzung von Obliegenheiten)
Beispiel: IT-Haftpflicht bei UnternehmensPolice für kleine und mittlere Unternehmen:
CyberRisk-Versicherung der R+V Versicherung
https://www.ruv.de/firmenkunden/multiline/mittelstand
https://www.ruv.de/static-files/ruvde/downloads/versicherungsbedingungen/kfm_unternehmenspolice.pdf
CyberRiskR+V Allgemeine Versicherung AGStand 01.01.2017
CyberRisk-Versicherung ab Seite 898...
1.1 Versicherte Schäden
Der Versicherer gewährt dem Versicherungsnehmer Versicherungsschutz für den Fall, dass ihm selbst, entweder durch Dritte oder durch das fahrlässige Handeln der mitversicherten Personen (1.10), ein unmittelbarer Schaden entsteht (2 -Eigenschäden) oder er oder eine Person, für die er einzutreten hat oder an deren Stelle er nach gesetzlichen Vorschriften haftbar gemacht wird, einen Dritten unmittelbar schädigt (3 -Drittschäden).Versicherte Schäden in diesem Sinn sind Vermögensschäden sowie, soweit besonders vereinbart (siehe Versicherungsschein), Sach-und Personenschäden."
Seite 909...
7.10.1 Obliegenheiten vor Eintritt des Versicherungsfalls
Der Versicherungsnehmer hat vor Eintritt des Versicherungsfalls alle vertraglich vereinbarten Obliegenheiten einzuhalten.
1) Verletzt der Versicherungsnehmer eine der genannten Obliegenheiten, so ist der Versicherer nach Maßgabe des § 28 VVG zur Kündigung berechtigt oder auch leistungsfrei. Eine Kündigung des Versicherers wird mit Zugang wirksam.
2) Dazu gehört insbesondere, dass die informationsverarbeitenden Systeme
a. einzelne Nutzer und Befugnisebenen unterscheiden. Hierzu sind individuelle Zugänge für alle Nutzer erforderlich, die mit ausreichend komplexen Passwörtern gesichert werden. Administrative Zugänge sind ausschließlich Administratoren und ausschließlich zur Erledigung administrativer Tätigkeiten vorbehalten.
b. mit einem zusätzlichen geeigneten Schutz gegen unberechtigten Zugriff ausgerüstet sind, wenn diese einem erhöhten Risiko ausgesetzt sind. Ein erhöhtes Risiko besteht bei Geräten, die über das Internet erreichbar, oder im mobilen Einsatz sind;
c. über einen geeigneten Schutz gegen Schadsoftware verfügen, der automatisch auf dem aktuellen Stand gehalten wird;
d. einem Patch-Management-Verfahren unterliegen, das eine zeitnahe Installation von relevanten Sicherheitspatches sicherstellt. Systeme und Anwendungen mit bekannten Sicherheitslücken dürfen nicht ohne zusätzliche Maßnahmen zur Absicherung eingesetzt werden;
e. einem mindestens wöchentlichen Sicherungsprozess unterliegen, wobei die Sicherungsdatenträger physisch getrennt aufbewahrt werden, um sicher zu stellen, dass im Versicherungsfall auf Originale und Duplikate nicht gleichzeitig zugegriffen, oder diese manipuliert, oder zerstört werden können. Der Versicherungsnehmer hat eine ordnungsgemäße Funktion des Sicherungs-und Wiederherstellungsprozesses durch regelmäßige Prüfung nach einem festgelegten Turnus sicherzustellen
Beispiel: Haftpflichtbedingungen der R+V Versicherung - Betriebshaftpflicht mit IT-Haftpflicht
https://ga.ruv.de/de/uec/bedingungen/aktuell/ruv-kfh_firmenkunden_haftpflicht_verbraucherinfo.pdf
Versichert ist - insoweit abweichend von § 4 I 6 b), § 4 I 8, § 4 I 10 und § 4 I 11 AHB sowie § 4 II 6a), e) und h) AHB - die gesetzliche Haftpflicht des Versicherungsnehmers wegen Schäden ausdem Austausch, der Übermittlung und der Bereitstellung elektronischer Daten seitens desVersicherungsnehmers bzw. über das ihm zurechenbare System, z. B. im Internet, per E-Mailoder mittels Datenträger, soweit es sich handelt um Schäden aus
2.1 der Löschung, Unterdrückung, Unbrauchbarmachung oder Veränderung von Daten(Datenveränderung) bei Dritten durch Computer-Viren und/oder andere Schadprogramme;
2.2 der Datenveränderung aus sonstigen Gründen sowie der Nichterfassung und fehlerhaftenSpeicherung von Daten bei Dritten und zwar wegen - sich hieraus ergebender Personen- und Sachschäden, nicht jedoch weiterer Datenveränderungen außerhalb des Systems des Adressaten, sowie-der Kosten zur Wiederherstellung der veränderten Daten bzw. Erfassung/korrekten Speicherung nicht oder fehlerhaft erfasster Daten;
2.3 der Störung des Zugangs Dritter zum elektronischen Datenaustausch;
Zu 2.1 bis 2.3 gilt: Dem Versicherungsnehmer obliegt es, dass seine auszutauschenden, zu übermittelnden, bereitgestellten Daten durch Sicherheitsmaßnahmen und/oder -techniken (z. B. Virenscanner,Firewall) gesichert oder geprüft werden bzw. worden sind, die dem Stand der Technik entsprechen. Diese Maßnahmen können auch durch Dritte erfolgen. Verletzt der Versicherungsnehmer diese Obliegenheit, so gilt § 6 AHB (Rechtsfolgen bei Verletzung von Obliegenheiten).
2.4 der Verletzung von Persönlichkeits- und Namensrechten, insoweit besteht auch Versicherungsschutz für immaterielle Schäden; nicht jedoch aus der Verletzung von Urheberrechten. In Erweiterung von § 1, 1 AHB ersetzt der Versicherer -Gerichts- und Anwaltskosten eines Verfahrens, mit dem der Erlass einer einstweiligen Verfügung gegen den Versicherungsnehmer begehrt wird, auch wenn es sich um Ansprüche auf Unterlassung oder Widerruf handelt;-Gerichts- und Anwaltskosten einer Unterlassungs- oder Widerrufsklage gegen den Versicherungsnehmer..."
Deshalb ist letztlich eine IT-Haftung, eine IT-Haftpflichtversicherung sinnvoll - gleich ob es sich um einen Endkunden (Verbraucher) handelt oder ein Unternehmen!
Aus den vorgannten Punkten zu Auszügen aus den AGB´s bekannter Provider und den Auszügen aus den Haftungsbedingungen von einem bekannten Haftpflichtversicherer ist die Analogie zur MItverantwortung und Beachtung von Obliegenheiten aller Kunden der Provider und Haftpflichtversicherer ergänzend ersichtlich.
Sie haben bereits eine Haftpflichtversicherung? Dann prüfen Sie, ob eine IT-Haftpflicht enthalten ist, als Unternehmen prüfen Sie zusätzlich, ob hier auch eine Haftung bei Datenschutzverletzungen enthalten ist.
"Es gibt zwei Arten von Unternehmen: Die einen sind gehackt worden. Die anderen wissen es nur noch nicht...!"
https://www.spiegel.de/wirtschaft/unternehmen/cyberangriffe-so-gefaehrdet-ist-die-deutsche-wirtschaft-a-1178050.html

References: § 823
 EuGH 
 § 28
 § 4
 § 4
 § 4
 § 4
 § 4
 § 6
 § 1