news

Kategorie: News

Abheben mit Microsofts Copilot

Eine KI Sicherheitseinweisung

Am 13.03.2024 stimmte das EU-Parlament in Straßburg mehrheitlich für das KI-Gesetz, das wir in unserem Beitrag „Mal was Intelligentes aus Brüssel – Die europäische KI-Verordnung kommt!“ bereits vorgestellt hatten. Einhelliger Tenor der Medien: Die Anwendung von KI birgt sowohl Vorteile als auch Risiken.

Was für viele Unternehmen immer noch sehr theoretisch klingt, ist für andere Firmen schon seit einigen Monaten gelebte Praxis. Spätestens, als Microsoft im Januar 2023 als Hauptaktionär von OpenAI noch einmal 10 Mrd. US-Dollar in die Macher von ChatGPT steckte, war abzusehen, dass die Integration der KI-Anwendung in die Produktpalette von Microsoft nicht lange auf sich warten lassen konnte. Das Ergebnis lässt sich sehen: Gleicht der Nutzer von Microsoft 365 einem Flugkapitän und sein Unternehmen dem Flugzeug, so stellt der Softwaregigant nun die bahnbrechende KI-Anwendung als hilfreichen Unterstützer zur Seite – eben einen Copiloten.

Diesem Bild folgend stellt sich angesichts des doch steilen Aufstiegs der KI bei manchen Firmen eine gewisse Flugangst ein. Die diffusive Befürchtung, mit der Nutzung von Copilot die Büchse der Pandora zu öffnen, führt zur Unsicherheit im Umgang mit einer Technologie, an deren Einführung am Ende aber niemand herumkommt. Wir wollen nachfolgend die wesentlichen Risiken skizzieren und Wege aufzeigen, um Bruchlandungen zu vermeiden.

1. Destination und Muster

Die Einsatzmöglichkeiten in Microsoft 365 sind schon für gewöhnliche Anwender äußerst vielfältig. In Word lassen sich ganze Dokumente zu einem Thema mithilfe von KI erstellen oder auch verbessern. Für alle, die mit Excel-Tabellen etwas fremdeln, kann Copilot mit Formeln und Analysen helfen. Die PowerPoint-Muffel freuen sich, dass die KI-Lösung Präsentationen entwerfen und optimieren kann. E-Mails schreiben sich in Outlook quasi von selbst und Teams-Meetings lassen sich mittels Copilot organisieren und mittels Transkription schnell dokumentieren.

Doch damit nicht genug: Nutzer von Dynamics (CRM, z.B. Sales, Marketing) verfügen über Möglichkeiten zur optimierten Kommunikation im Team und mit Kunden, Marketing-Kampagnen lassen sich mit neuen Ideen entwerfen oder steuern. Inhalte für Internetseiten wie z.B. FAQs, vorher mühsam zusammengetragen, lassen sich in Windeseile erstellen.

Abseits der Welt von Microsoft 365 ist eine Nutzung von Copilot als Einzellizenz natürlich auch möglich. An dieser Stelle liegt der Gedanke nicht fern, dass Mitarbeiter – mit oder ohne Wissen der Geschäftsführung – schon jetzt diese KI-Software anwenden, ohne dass eine offizielle Einführung seitens des Unternehmens vorliegt. Schon deshalb, weil die einfachen Lizenzen nicht das Datenschutzniveau der Unternehmenslizenzen erreichen, sollten Alleingänge nicht zugelassen werden. Die nachfolgende Ziffer 2 liefert weitere Gründe für ein geordnetes Vorgehen.

2. Ready for Takeoff?

Bevor dem Verlangen nach Implementierung von KI nachgegeben wird, es ist dringend anzuraten, zuerst einen gründlichen Checkup am Boden durchzuführen. Dafür ist es insbesondere erforderlich, nicht nur aus einer interessierten Abteilung wie z.B. Marketing heraus den Bedarf zu analysieren, sondern sämtliche Use Cases in allen erdenklichen Ausgestaltungen zu erfassen.

2.1.       Data Governance

Grundlegend sollte die Funktionsweise des integrierten Chatbots verstanden werden: Bei Microsoft 365 greift dieser u.a. auf Sharepoint und Teams-Kanäle zu. Das klingt zunächst vorteilhaft, wird allerdings in den vielen Fällen zum Problem: Der den Chatbot nutzende Mitarbeiter erhält – je nach Anfrage – eine Verarbeitung von Informationen aus allen Ordnern und Kommunikationen, zu denen er irgendwann einmal Zugriffsrechte erhalten hat. Wenn die Verteilung von Rollen und Rechten im Unternehmen aus dem Ruder gelaufen ist, gelangt der einzelne Nutzer – ob er es darauf anlegt oder nicht – in den Besitz von Informationen, die nicht für seine Augen gedacht sind und die er ohne KI-Hilfe auch niemals aufgefunden hätte. Welche Auswirkungen eine solches Szenario allein im Datenschutzrecht haben kann, muss wahrscheinlich an dieser Stelle nicht ausführlich dargestellt werden. Wenn es also jemals einen Zeitpunkt gegeben hat, von Seiten der IT das Berechtigungskonzept endlich zu überarbeiten oder gar zu erstellen, dann vor Einführung von Copilot.

Auch unabhängig von der Frage der Zugriffsrechte besteht in Sachen Data Governance in den allermeisten Fällen Optimierungsbedarf, wenn Copilot optimal genutzt werden soll. Ähnlich der Suchmaschinenoptimierung, die den Seitenbetreiber zur Verschlagwortung von Inhalten nötigt, ist es als wichtige Unterstützung des KI-Helfers zu betrachten, wenn Dateien nicht nur richtig klassifiziert, sondern auch in den Dateiinformationen mit sinnvollen Tags versehen werden. Microsoft bietet für das wichtige Dateimanagement die Lösung Purview an, es gibt allerdings auch noch jede Menge Alternativen auf dem Markt, die noch zusätzliche Features bieten.

2.2.       KI-Richtlinie und deren Umsetzung

Daneben sollte auf der Checkliste vor dem Start auch das Thema Information und Schulungen von Mitarbeitern auftauchen. Zum einen bieten interne Richtlinien zum Thema die Gelegenheit, Regeln für die Anwendung mitzugeben und damit klar Grenzen zu setzen. Zum anderen wäre es am Ende des Tages auch ein Haftungsproblem, wenn die Nutzer im Unternehmen völlig freie Bahn eingeräumt bekommen und keinerlei Kontrolle ausgeübt wird. Nicht zuletzt sieht der dann zur Geltung kommende KI-Act zumindest mittelbar die Pflicht vor, bei den Beschäftigten eine ausreichende KI-Kompetenz herbeizuführen – wenn man so will einen Copiloten-Schein. Naturgemäß sollte diese Kompetenz bereits vorliegen und die Regeln im Unternehmen stehen, bevor die Anwendung live geht.

2.3.       Datenschutz

Wie immer vor Einführung einer neuen Anwendung freut sich der Datenschutzbeauftragte über eine Einbindung vor dem Start. Auch wenn kein Beauftragter bestellt ist, müssen vor dem Einsatz von Copilot wichtige Punkte abgearbeitet werden.

Eine im Verhältnis noch einfache Aufgabe ist die Vervollständigung der Dokumentation. Dazu gehört natürlich die Erstellung bzw. die Ergänzung eines Eintrags im Verarbeitungsverzeichnis, aber auch die Vorprüfung sowie ggf. die Durchführung einer Datenschutz-Folgenabschätzung. Schwieriger wird die Frage der Auftragsverarbeitung durch Microsoft bei der Nutzung von Copilot, da nach den im Moment zur Verfügung stehenden Informationen unklar ist, ob die dafür erforderlichen vertraglichen Grundlagen wie das Data Protection Addendum gelten. Anscheinend ist auch die Auswahl der Rechenzentren (Stichwort EU Data Boundary) nicht automatisch beschränkt, die Zulässigkeit einer vorliegenden Drittlandsübermittlung ist daher ggf. zu prüfen.

Nach den aktuellen Nutzungsbedingungen wird von Microsoft immerhin zugesichert, dass die in den Chat eingefügten Daten zum einen nur für die Zwecke der Copilot-Nutzung kurzzeitig gespeichert werden und dass zum anderen ausgeschlossen ist, dass die Daten zum weiteren Training der KI genutzt werden. Wichtig ist jedenfalls, dass vor der Implementierung allseits Klarheit darüber herrscht, dass die KI nicht zur automatisierten Entscheidungsfindung im Sinne des Art. 22 DSGVO genutzt werden darf – am Ende muss daher stets noch eine menschliche Prüfung und Bewertung der Ergebnisse stattfinden, bevor Kunden oder Mitarbeiter vom Output der Maschine tangiert werden.

3. Mögliche Turbolenzen

Die mit Copilot einhergehenden Probleme unterscheiden sich grundsätzlich nicht von denen, wie sie allgemein zum Thema KI diskutiert werden. Es ist nachvollziehbar, dass erhebliche Risiken in Kauf genommen werden, wenn der unter Ziffer 2 empfohlene Checkup nicht beherzigt wird. Gerade die in vielen Unternehmen zu leichtfertig gehandhabte Berechtigungsstruktur kann in Einzelfällen Ärger im Betrieb und mit Behörden auslösen. Die wichtige Schulung der Mitarbeiter auf den richtigen Umgang mit KI sowie die sorgfältige Auswahl von Einstellungen der Software können wertvolle Hilfen zur Risikominimierung sein.

Weitere Gefahren lauern derweil bei der Nutzung der Ergebnisse, die mit KI erzielt werden. Microsoft weist in den Nutzungsbedingungen und weiteren Informationen nicht nur darauf hin, dass KI dem Grunde nach fehlerhaft arbeitet und sich bisweilen unwahre Behauptungen zusammenreimt („Halluzinieren“), sondern gibt auch den Hinweis, dass die mit Copilot geschaffenen Texte nicht den Anspruch erheben, dem Nutzer das alleinige Nutzungsrecht zu verschaffen. Microsoft erhebt anscheinend keinen Anspruch auf das „Eigentum“ an den geschaffenen Daten, es kann daher bei der Nutzung auch keinerlei Recht vom Anbieter abgeleitet werden. Ohne das Thema Urheberecht bei KI, zu dem die KI-Verordnung keinen Lösungsansatz liefert, zu sehr zu vertiefen, soll hier jedoch das Problembewusstsein im Umgang mit den Kreationen ausgelöst werden. Es ist z.B. denkbar, dass der durch Copilot erschaffene Werbespruch für das Marketing untauglich ist, weil er bereits zuvor von anderen erschaffen und auch geschützt wurde.

Inwiefern die offenkundig mit der Nutzung einhergehende Beschleunigung von Prozessen gegenüber Personen, die von den Ergebnissen der KI betroffen sind oder für die die Ergebnisse aufgrund vertraglicher Verpflichtungen geschaffen werden, dazu zwingt, die Nutzung der KI transparent zu machen, wird eine Frage sein, mit der sich die Unternehmen beschäftigen müssen – die KI-Verordnung ordnet eine solche Transparenz jedenfalls grundsätzlich an. Angesichts der bekannten Fehleranfälligkeit der Anwendung erscheint es aus Haftungsgründen sogar ratsam, die Einbindung von KI offenzulegen, auch wenn dies nicht von der Verpflichtung der menschlichen Aufsicht über die Maschine ablenken kann.

4. Wir wünschen einen guten Flug!

Der Copilot ist kein echter Autopilot. Trotz aller anzuerkennenden Erleichterungen, die die KI im Arbeitsalltag mit Microsoft-Produkten bringen kann, sollte der Mensch weiter das Steuer in der Hand halten. Eine Einführung ohne grundlegende Vorbereitungen käme einem Blindflug gleich, sie sollten daher durchaus ernstgenommen werden. Das Thema KI gehört auch dann auf die Tagesordnung, wenn eine offizielle Einführung im Unternehmen gar nicht geplant ist – dafür ist es für die Mitarbeiter viel zu verlockend, sich mit Anwendungen wie Copilot heimlich die Arbeit zu erleichtern.

Und nein, dieser Text ist nicht durch künstliche, sondern durch menschliche Intelligenz kreiert worden, was man vielleicht an der bildhaften Sprache erkennen kann. Wenn wir Sie und Ihr Unternehmen bei der Implementierung von KI-Anwendungen rechtlich unterstützen können, werden wir das ebenfalls auf ganz persönliche Weise gerne tun.

Die Kündigung als datenschutzrechtliches Risiko

Wenn Mitarbeitende gehen – was bleibt – ist das Bußgeld?

Der Europäische Datenschutzausschuss (EDSA) hat bereits 2021 Leitlinien „zu Beispielen für die Meldung von Verletzungen des Schutzes personenbezogener Daten“ in der Version 2.0 veröffentlicht. Darin hat sich der EDSA auch mit der internen menschlichen Risikoquelle beschäftigt. Nach der EDSA-Leitlinie Beispielsfall 8 kann es auch einen datenschutzrechtlichen Verstoß darstellen, wenn ein Mitarbeitender nach einer Kündigung – unabhängig davon, ob es sich um eine Eigenkündigung oder eine Kündigung durch den Arbeitgeber handelt – weiterhin Zugriff auf personenbezogene Daten von anderen Mitarbeitenden oder von Kunden hat. Dies gilt unabhängig davon, ob der Mitarbeitende die Daten für seine Arbeit bis zur Beendigung des Arbeitsverhältnisses benötigt. Es stellt sich daher die Frage, was Arbeitgeber im Arbeitsverhältnis zu beachten haben, damit der größte Wert des Unternehmens, die Mitarbeitenden, nicht zum größten Schaden des Unternehmens werden.

Im Folgenden geben wir Ihnen einen Überblick über mögliche Maßnahmen, die der Arbeitgeber nach Ausspruch einer Kündigung im Arbeitsverhältnis beachten sollte.

1. Vertragliche Maßnahmen

Der erste Schritt im Rahmen einer Kündigung sollte immer sein, den Mitarbeitenden noch einmal an die Pflichten aus der Datenschutzbelehrung und etwaigen Verschwiegenheitspflichten zu erinnern. Dies kann direkt im Kündigungsschreiben geschehen oder bei der Bestätigung des Eingangs der Kündigung. Soll die Erinnerung an die Pflichten aus dem Arbeitsverhältnis mit einer Kündigungsbestätigung im Rahmen einer Eigenkündigung des Mitarbeitenden erfolgen, sollte diese zeitnah nach Erhalt der Kündigung mit dem Hinweis auf die datenschutzrechtlichen Pflichten sowie die Verschwiegenheitspflichten des Mitarbeitenden geschehen.

Im Kündigungsschreiben bzw. in der Kündigungsbestätigung kann auch nochmals auf bestehende Wettbewerbsverbote während der Kündigungsfrist hingewiesen werden. Dies bietet sich vor allem dann an, wenn der Mitarbeitende über einen längeren Zeitraum freigestellt werden soll oder geht, um sich selbständig zu machen.

Spätestens bei Beendigung des Arbeitsverhältnisses bzw. bei Freistellungen mit Beginn der Freistellung sollte der ausscheidende Mitarbeitende schriftlich aufgefordert werden, alle Schlüssel und alle im Rahmen des Arbeitsverhältnisses überlassenen oder sonst erhaltenen Arbeitsmittel, Originale sowie Kopien firmeninterner Unterlagen und Dateien herauszugeben bzw. zu löschen und dies schriftlich zu bestätigen.

2. Technische und organisatorische Maßnahmen

Nach Ausspruch einer Kündigung sollten zudem organisatorische Maßnahmen vom Arbeitgeber ergriffen werden, um personenbezogene Daten und Geschäftsgeheimnisse zu schützen. In den EDSA-Leitlinien wird unter anderem genannt, dass Zugriffe protokolliert und gekennzeichnet werden oder gar bestimmte Formen des Zugangs ganz entzogen werden. Die Verwendung von privaten externen Speichermedien sollte bereits im laufenden Arbeitsverhältnis verboten werden, um einen Virenbefall zu vermeiden. Darüber hinaus kann über eine Schnittstellensicherheit oder den Einsatz von Software zur Kontrolle von Computerschnittstellen verhindert werden, dass externe Speichermedien angebracht werden.

Im Falle einer Kündigung muss zudem ggfs. erneut geprüft werden, welche Zugriffe der betroffene Mitarbeitende für die Ausübung seiner vertraglich geschuldeten Tätigkeit benötigt. Zugleich muss entschieden werden, ob weitere Einschränkungen ausreichen oder der einzelne Zugriff auf Daten durch den Mitarbeitenden protokolliert werden muss, sofern dies nicht bereits standardmäßig erfolgt (etwa bei besonders sensiblen Informationen).

Bei der Protokollierung sollte in Betrieben mit einem Betriebsrat eine Betriebsvereinbarung abgeschlossen sein, die eine Auswertung bzw. eine Prüfung der Zugriffe auch in diesen Fällen ermöglicht. In Betrieben ohne Betriebsrat sollte es hierzu eine interne Richtlinie geben. Hierbei ist maßgeblich, ob eine Privatnutzung der betrieblichen IT (Internet, E-Mail, etc.) erlaubt ist, um beurteilen zu können, ob ggfs. noch eine Einwilligung der Mitarbeitenden in die Auswertung benötigt wird oder in welcher Art und Weise auf die Protokolle zugegriffen werden kann.

Einige Firmen ermöglichen zudem einen Fernzugriff über private Endgeräte auf das E-Mail-Postfach oder firmeninterne Kommunikationsmöglichkeiten, durch die auch ein Zugriff auf Dateien ermöglicht wird oder nutzen – trotz aller datenschutzrechtlichen Bedenken – die Möglichkeit, dass Mitarbeitende ihre privaten Endgeräte für dienstliche Zwecke nutzen (Bring your own device – BYOD). Hierbei ist besonders darauf zu achten, dass der Fernzugriff für den Mitarbeitenden nach einer Kündigung bzw. spätestens nach Beendigung des Arbeitsverhältnisses nicht mehr möglich ist.

Bei BYOD sollte zudem bereits vor dem Beginn der Nutzung privater Endgeräte durch Mitarbeitende klar geregelt sein, wie unter anderem bei Ausscheiden zu verfahren ist. Generell sollte BYOD nur mit einer wirksamen Regelung (Betriebsvereinbarung, Richtlinie, individuelle Vereinbarung) erfolgen, um Daten auch im BYOD zu schützen. Denn auf privaten Endgeräten lässt sich ein Herunterladen von Daten durch den Arbeitgeber nur schwer nachweisen.

In Fällen, in denen eine weitere Beschäftigung nicht mehr gewünscht ist, weil Gründe vorliegen, aus denen eine weitere Beschäftigung nicht mehr hinnehmbar ist, kann auch eine entsprechende (widerrufliche oder unwiderrufliche) Freistellung des betroffenen Mitarbeitenden ausgesprochen werden, um so in jedem Fall einen weiteren Zugriff auf personenbezogene Daten und einen entsprechenden Missbrauch zu vermeiden. Wichtig ist dabei aber, dass Mitarbeitende aufgefordert werden, auch die Arbeitsmittel wie Diensthandy, Laptop, Schlüssel, etc. zurückzugeben und dass darauf geachtet wird, dass sie diese nicht während der Freistellung behalten.

3. Was tun, wenn es zu spät ist?

Zur Minderung der Auswirkungen, wenn Mitarbeitende Daten vor dem Ausscheiden „abgegriffen“ haben, müssen diese in einem ersten Schritt daran gehindert werden, die Daten weiter zu verwenden. Hierzu kann je nach Fall eine Aufforderung zur Einstellung der Nutzung der abgezogenen Daten oder gar ein rechtliches Vorgehen relevant sein. In einem solchen Fall sollte jedoch schnell gehandelt werden, um eine weitere Verbreitung der Daten zu vermeiden.

4. Fazit

Einen Einheitsweg für alle Fälle eines Ausscheidens gibt es nicht. Letztlich wird es immer erforderlich sein, bereits im laufenden Arbeitsverhältnis entsprechende Schutzmaßnahmen vertraglicher, technischer und organisatorischer Natur zu nutzen und diese im Falle einer Kündigung auszuweiten. Dabei kommt es jeweils auf den Einzelfall an. Nichts zu unternehmen kann für Arbeitgeber aber aufgrund von Bußgeldern im Bereich des Datenschutzes und des allgemeinen Verlustes von Geschäftsgeheimnissen teuer zu stehen kommen. Die aufgezeigten Möglichkeiten stellen daher keine abschließende Aufzählung dar. Kommen Sie bei Kündigungen gerne auf uns zu.

Künstliche Intelligenz

Begriff, (kommende) Gesetze und letzte Änderungen des AI Acts

“AI is too important not to regulate, and too important not to regulate well.” (Sundar Pichai)

Soziale Medien und Fernsehen sind diese Tage voll mit digitalen Produkten und Online-Anwendungen, die bereits sogenannte „KI“ enthalten. Dass uns das Thema also mit aller Macht ereilt und die Gesetzgeber gehalten sind, sich des Themas rasch anzunehmen, daran dürfte kaum mehr ein Zweifel bestehen.

Nachfolgend findet sich neben dem Versuch, den Begriff der KI zu erläutern, ein Überblick über die wichtigsten gesetzlichen Regelungen auf EU- und deutscher Ebene, die in Vorbereitung oder bereits in Kraft getreten sind.

1.    Was wird eigentlich reguliert?
     Ein Abriss zur Definition von KI aus technischer Sicht

Um etwas zu regulieren, muss es – zumindest in der Welt der Juristen – erst einmal definiert werden. Diese Anforderung ist bei der Künstlichen Intelligenz (KI) nicht so einfach. Deswegen hat es auch bei der Ausgestaltung des AI Act der EU hierzu einige Anläufe gegeben.

Grundsätzlich einmal gilt folgendes aus technischer Sicht: Künstliche Intelligenz (KI) ist ein Teilgebiet der Informatik. Sie imitiert menschliche kognitive Fähigkeiten, indem sie Informationen aus Eingabedaten erkennt und sortiert. Diese Intelligenz kann auf programmierten Abläufen basieren oder durch maschinelles Lernen erzeugt werden. Anders als bei herkömmlichen Algorithmen wird kein Lösungsweg modelliert. Der Computer lernt selbstständig die Struktur der Daten zu erkennen.

Beispielsweise können Roboter selbst erlernen, wie sie bestimmte Objekte greifen müssen, um sie von A nach zu B transportieren. Sie bekommen nur gesagt, von wo und nach wo sie die Objekte transportieren sollen. Wie genau der Roboter greift, erlernt er durch das wiederholte Ausprobieren und durch Feedback aus erfolgreichen Versuchen.

Die Begrifflichkeiten rund um die KI bedürfen einer Einordnung. Heutzutage sprechen wir in der Regel von der sog. „schwachen“ KI, die auf verschiedenen Formen des maschinellen Lernens basiert. Der Vorgang einer Entwicklung einer KI geht in diesem Kontext normalerweise von einer sehr großen Datenmenge aus (Big Data), die es zu analysieren gilt, dies geschieht z.B. mit Methoden des Data Mining, durch welche Strukturen und Muster erkannt werden. Darauf hin erfolgt das Training (machine learning) mit Hilfe verschiedener Arten des Lernens:

  1. Supervised Learning: angeleitetes Lernen, bei dem die Ergebnisse vorher bekannt sind.
  2. Unsupervised Learning: Algorithmus erhält weder das gewünschte Ergebnis vorab, noch ein feedback.
  3. Reinforcement Learning: Die selbständig produzierten Ergebnisse des Algorithmus erfahren ein (positives oder negatives) Feedback, das mit Hilfe dieser Wertefunktion und dem Training irgendwann zu den gewünschten Ergebnissen führt.
  4. Künstliche neuronale Netze (KNN): Konzeptionelles Vorbild für KNN ist die Informations-übertragung im menschlichen Nervensystem. Sie entstehen durch die Verknüpfung einer Vielzahl von Neuronen und bestehen aus unterschiedlichen Schichten (Layer). Sind viele dieser sog. versteckten Schichten vorhanden, spricht man von deep learning, die eine hohe Zahl an Trainingsdaten benötigen und komplexere Probleme lösen können.

2.    Überblick über gesetzliche Regelungen

Folgende gesetzliche Regelungen finden sich derzeit rund um die KI im europäischen und / oder nationalen Gesetzgebungsraum:

KI-Verordnung, KI-VO oder auch AI-Act:

Die KI-VO regelt, was KI im Sinne des Gesetzgebers ist und welche Rahmenbedingungen beim Einsatz zu beachten sind. Die KI-VO fordert für KI-Systeme Genauigkeit, Robustheit und Cybersicherheit. Dies bestimmt die Sicherheitserwartungen für die Einordnung eines Produkts als fehlerhaft und damit haftungsrelevant im Sinne der Produkthaftungsrichtlinie (EU ProdHaftRL).

EU Produkthaftungsrichtlinie (Entwurf), ProdHaftRL-E:

Hier geht es um Haftung für Schäden, die u.a. aus der Nutzung von KI (Software) entstehen. Wichtigste Neuerung ist, dass Software als Produkt i.S.d. Richtlinie gelten soll. Eine Klarstellung des Gesetzgebers besagt, dass nicht der Quellcode von Software als Produkt zu betrachten ist, sondern das System selbst, in dem die KI verwendet wird. Hersteller und damit Haftungssubjekt ist der Anbieter(!) von KI (so auch in der KI-VO).

Cyberresilience Act (Entwurf), CRA-E:

Der Anwendungsbereich der CRA-E betrifft sämtliche Produkte mit digitalen Elementen, deren beabsichtigte oder absehbare Nutzung darin liegt, eine direkte und/oder indirekte Verknüpfung gleich welcher Art zu einem Gerät und/oder Netzwerk herzustellen. Für diese sind entsprechende Sicherheitsvorgaben einzuhalten. Wenn durch die Nichteinhaltung der Vorgaben ein Schaden entsteht, kann dies eine Haftung nach der ProdukthaftungsRL (s.o.) bedeuten:

Datenschutzgrundverordnung, DSGVO / Europ. Menschenrechte-Charta, EGMR:

Die DSGO wird dann KI-relevant, wenn personenbezogene Daten oder Daten das Persönlichkeitsrecht betreffend verarbeitet (Trainingszwecke) oder interpretiert (Nutzung) oder erzeugt (wahre Prognosen oder falsche Halluzinationen) werden. Insbesondere Regelung zu sog. automatisierten Entscheidungen, die ohne menschliche Beteiligung stattfinden, können hier relevant werden.

KI-Haftungs-RL-E:

Dies ist eine zusätzliche Richtlinie nur zur Haftung von KI. Das Verhältnis der KI Haftungs-Richtlinie zur ProdHaftRL ist auch unter den Fachleuten noch nicht wirklich geklärt. Im Ergebnis sind jedoch die Produkthaftungs-Regelungen weitergehender sowie genauer und berücksichtigen „selbstlernende Software“. Die ProdHaftRL-E verdrängt daher im Wesentlichen die Vorgaben der KI-Haftungs-RL-E. Weiteres hierzu bleibt abzuwarten.

Trotz dieser Menge an gesetzgeberischen Tätigkeiten – und hier sind nur die relevantesten aufgezählt – bleiben noch zahllose rechtserhebliche Fragen zur künstlichen Intelligenz unbeantwortet oder werden nicht einmal gestellt. Die Themenfelder Urheber- und Patentrecht, Geheimnisschutz, Schutz personenbezogener Daten und Wettbewerbsrecht sind dabei nur die offensichtlichsten. Stattdessen zielt die KI-Verordnung auf Produktsicherheit und Marktregulierung ab.

3.    Der finale Entwurf der KI-VO im Detail

Nachdem wir oben unter Ziffer 1 versucht haben, uns der KI von technischer Seite zu nähern, schauen wir nun auf die Definition, wie sie sich nun in der KI-VO findet. Nachdem wir in unserem Artikel „Mal was Intelligentes aus Brüssel – die europäische KI-Verordnung kommt!“ den Begriff auf der Grundlage eines mittlerweile überholten Entwurfs erläutern haben, können wir nunmehr die endgültige Fassung präsentieren (keine offizielle Übersetzung):

„Ein KI-System ist ein maschinengestütztes System, das so konzipiert ist, dass es mit unterschiedlichem Grad an Autonomie arbeitet und das nach dem Einsatz Anpassungsfähigkeit zeigen kann und das für explizite oder impliziten Zielen aus den Eingaben, die es erhält, ableitet, wie es Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen generiert, die physische oder virtuelle Umgebungen beeinflussen können.“

Ziele der KI VO sind das Schaffen von Vertrauen in eine sog. „menschenzentrierte KI“. Sie soll die Balance finden zwischen Sicherheit und Wahrung der Grundrechte auf der einen Seite und genügend Raum für Innovationen auf der anderen Seite. Aus diesem Grund verfolgt die KI VO einen risikobasierten Ansatz, der eine KI um so enger reguliert, je leistungsfähiger sie ist. Dabei geht sie in ihrer Regulierung von den Basismodellen für KI Software aus und versucht, den darauf jeweils aufbauenden Innovationen genügend Raum für neue Entwicklungen zu lassen. Mit dem zusätzlichen Mittel der obligatorischen Selbstregulierung in Gestalt von Codes of Practice will man – anders als z.B. bei der freiwilligen Selbstregulierung im Digital Services Act (DSA) – die Beteiligten mehr in die Pflicht nehmen und zugleich der hochdynamischen Entwicklung in diesem Bereich Rechnung tragen. Über mögliche Sanktionen im Fall eines Verstoßes gegen solche von der Kommission erarbeiteten Codes of Practice ist allerdings nichts bekannt.

Anstelle der zunächst vorgesehenen Foundation Models (Basismodelle) werden nun KI-Systeme mit allgemeinem Verwendungszweck (generative KI, general purpose AI models) eingeführt. Weiterhin geht es dabei inhaltlich um Systeme, die mit enormen Datenmengen trainiert wurden, ein großes Spektrum an unterschiedlichen Aufgaben durchführen und in eine Vielzahl von nachgelagerten Anwendungen integriert werden können. Allseits bekannte Beispiele sind ChatGPT von OpenAI, Bard aus dem Hause Google und LLaMA von Meta AI. Schon grundsätzlich gelten für diese Modelle wichtige Transparenzpflichten aus Artikel 52 der KI-VO, bei solchen mit systemischen Risiko gelten nach Artikel 52a ff. weitaus strengere Vorschriften in Bezug auf Transparenz, Risikoanalyse und Dokumentation.

Neben der Begrifflichkeit des KI-Systems mit allgemeinem Verwendungszweck ist die Unterteilung in Risikoklassen wesentlich. für hochriskante Anwendungen gelten strengere Regeln als für weniger risikobehaftete. Systeme mit unannehmbarem Risiko sind grundsätzlich verboten. Sie finden sich in Artikel 5 der KI-VO und stellen Anwendungen dar, die als Bedrohung für den Menschen gelten, weil sie das Verhalten von Personen manipulieren, weil sie Menschen aufgrund ihres Verhaltens, persönlicher Merkmale oder ihres sozialen Status’ klassifizieren oder weil sie Gesichtserkennung in Echtzeit im öffentlichen Raum ermöglichen. Gerade zu letzterem Verbot sieht Artikel 5 Ausnahmen vor, die bis zuletzt heftig umstritten waren.

Die zweite Kategorie, die sog. Hochrisiko-KI-Systeme, die ein hohes Risiko für die Gesundheit, Sicherheit oder Grundrechte darstellen, fallen entweder unter die EU-Produktsicherheitsvorschriften (zB über Spielzeug, Luftfahrt oder medizinische Geräte) oder sie müssen in einer EU-Datenbank in einer von acht Klassen registriert werden (Annex III zur KI-VO). Das gilt beispielsweise für Systeme für die Verwaltung kritischer Infrastrukturen, für die Verwaltung von Migration und Grenzkontrollen oder für die Unterstützung bei der Auslegung und Anwendung von Gesetzen. Die EU-Kommission soll zur besseren Handhabung dieser Kategorie spätestens 18 Monate nach dem Inkrafttreten der Verordnung entsprechende Use Cases definieren und zur Verfügung stellen. Hochrisiko-KI-Systeme werden vor ihrem Inverkehrbringen und auch danach dahingehend bewertet, ob für sie alle Transparenz- und Sorgfaltsvorgaben des AI Act erfüllt werden. Im Laufe der Verhandlungen wurden Anwendungen wie z.B. eine Sprachsteuerung oder eine KI für Terminplanung aus der Gruppe der Hochrisiko-KI herausgenommen, selbst wenn sie in kritischen Bereichen eingesetzt werden.

Systeme mit begrenztem Risiko brauchen bloß vergleichsweise geringe Transparenzanforderungen zu erfüllen. Hier geht es vor allem darum, dass Nutzern bewusst gemacht werden muss, dass sie z.B. mit einem Chatbot interagieren oder dass eine Bildaufnahme manipuliert worden ist (Deepfake). Die Mehrheit der KI-Systeme soll in diese Kategorie minimal riskanter Anwendungen fallen. Dadurch sollen beispielsweise Empfehlungssysteme oder Spam-Filter, sofern sie überhaupt die Definition von künstlicher Intelligenz erfüllen, weitestgehend frei von KI-bezogenen Verpflichtungen bleiben. Um ihre besondere Vertrauenswürdigkeit hervorzuheben, können sich die Anbieter solcher Systeme zur Einhaltung freiwilliger Verhaltenskodizes verpflichten.

Es soll grundsätzlich eine Übergangsfrist von zwei Jahren für die Verordnung gelten. Die Verbote nach Artikel 5 gelten hingegen bereits nach sechs Monaten, die Vorschriften für KI-Systeme mit allgemeinem Verwendungszweck immerhin nach zwölf Monaten. Soweit spezielle Anforderungen für bestimmte Hochrisiko-KI-Systeme nach Annex II geregelt sind, bleibt mit einer Frist von 36 Monaten nach dem Inkrafttreten etwas mehr Zeit.

4.    Die Haftung für KI in der Produkthaftungsrichtlinie (ProdHaftRL-E)

Die EU hat sich entschieden, die Haftung für die Hersteller von Systemen, die mit KI arbeiten, nicht in der KI Verordnung zu regeln. Stattdessen gibt es derzeit einen neuen Entwurf der Produkthaftungsrichtlinie, die erstmalig unter die bisher nur körperlichen Produkte auch Software als solches einbezieht. Unter „Software“ sind nach Erwägungsgrund 12 beispielhaft „Betriebssysteme, Firmware, Computerprogramme, Applikationen oder KI-Systeme“ genannt. Das Ziel ist es, Gefahren, die von fehlerhaft arbeitenden Systemen ausgehen, die KI verwenden, zu reglementieren und Schadensersatzansprüche zu gewähren. Hinzu kommt, dass von den Haftungsregelungen ebenfalls Trainingsdaten für KI-Anwendungen erfasst werden, die zuvor lediglich von der Produzentenhaftung und damit auch vereinfachten Exkulpationsmöglichkeiten der Produzenten erfasst wurden.

Aus Sicht des Datenschutzrechts ist es spannend, dass die neue Produkthaftungsrichtlinie Open Source Software, die nicht kommerziell genutzt wird, zwar grundsätzlich nicht erfasst. Anders ist dies jedoch, wenn zwar für die Nutzung kein Geld, dafür aber die Preisgabe persönlicher Daten verlangt wird. Daten werden also (auch) hier nun zum „Zahlungsmittel“.

Als Haftender kommen neben dem eigentlichen Softwareentwickler unter bestimmten Voraussetzungen auch der Einführer in die EU sowie die Anbieter (Händler und Fullfillmentdienstleister) in Betracht.

Für den Haftungstatbestand muss ein Schaden durch ein fehlerhaftes Produkt verursacht worden sein. Dabei soll nun auch berücksichtigt werden, dass KI Systeme nach ihrer Fertigstellung weiterhin hinzulernen. Dies soll bereits bei der Konzeption der KI Systeme berücksichtigt werden. Dazu kann hier auf die verschiedenen Methoden des maschinellen Lernen nach oben verwiesen werden, bei denen solches Verhalten anzutrainieren und  zu berücksichtigen ist.

Für Hersteller von Software und softwaregestützten Produkten ist Artikel 6 Absatz 1 Buchstabe f) der Produkthaftungsrichtlinie-E von Bedeutung. Dieser besagt, dass bei der Beurteilung der Fehlerhaftigkeit eines Produkts auch die darin umgesetzten Sicherheitsanforderungen zu berücksichtigen sind, einschließlich relevanter Cybersicherheitsanforderungen (z.B. aus dem Cyberresilience Act). Dies stellt Wirtschaftsakteure vor besondere Herausforderungen, da der Bereich der Cybersicherheit und seine Regulierung derzeit auf europäischer Ebene umfassend, jedoch bisweilen fragmentiert durch verschiedene Rechtsakte reguliert sind.

Neben den Sicherheitsanforderungen kann auch das Verfälschen von Daten oder deren Verlust unter bestimmten Voraussetzungen einen Schaden darstellen. (Art. 4 Abs. 6 (c)). Allerdings soll dies nur Daten betreffen, die nicht ausschließlich beruflich genutzt werden.

Weitere Regelungen zur Offenlegung von Beweismitteln und Beweiserleichterungen für Betroffene runden das Bild der Richtlinie ab. Die EU-Kommission plant, den Mitgliedstaaten ab Inkrafttreten der Richtlinie zwölf Monate Zeit zu gewähren, um die neuen Vorgaben in nationales Recht umzusetzen. Ob der Vorschlag in seiner jetzigen Gestalt angenommen wird, bleibt abzuwarten, mit dem Inkrafttreten ist in 2024 zu rechnen.

5.    Ausblick

Das Feld der KI beschäftigt uns schon jetzt in vielen Lebensbereichen und wird nach Meinung des Autors noch viel weiter in unser aller Alltag – beruflich und privat – vordringen, ohne dass wir daran etwas ändern könnten. Im Ergebnis gilt es, sich damit auseinanderzusetzen und so das Beste daraus zu machen.

Gerne hilft Ihnen das Team von MKM bei allen Gestaltungs- und Rechtsfragen zum KI-Umfeld weiter. Kontaktieren Sie uns dazu gern.

Einschränkungen bei Aufrechnung in der Insolvenz nach Kündigung von Bauverträgen wegen Insolvenz des Bauunternehmers

Beachtenswerte Entscheidung des BGH sowohl zum Bau- als auch zum Insolvenzrecht

Sachverhalt

Der Auftraggeber (AG) und der Bauunternehmer (U) schlossen in 2017 für zwei unterschiedliche Bauvorhaben zwei Bauverträge über die Erbringung von Metallarbeiten. Nachdem U am 06.02.2018 Antrag auf Eröffnung des Insolvenzverfahrens gestellt hatte, kündigte der AG wegen dieses Insolvenzantrags am 09.03.2018 beide Verträge unter Berufung auf den jeweils vertraglich einbezogenen § 8 Abs. 2 Nr. 1 Fall 2 VOB/B und nahm anschließend jeweils die erbrachten Teilleistungen ab. Am 01.05.2018 wurde das Insolvenzverfahren über das Vermögen des U eröffnet. Der Insolvenzverwalter über das Vermögen des U verlangte vom AG aus einem der Bauverträge noch eine offene Restvergütung i.H.v. 173.000 €. Hiergegen versuchte der AG erfolglos mit einem (streitigen) Schadensersatzanspruch gem. § 8 Abs. 2 Nr. 2 Satz 2 VOB/B aus dem zweiten, anderen Bauvertrag i.H.v. 383.000 € aufzurechnen.

Entscheidung

Der IX. Zivilsenat des BGH erklärte mit Urteil vom 19.10.2023 (AZ: IX ZR 249/22) die Aufrechnung des AG aus insolvenzrechtlichen Gründen für unzulässig. Isolierter Gegenstand der Anfechtung gem. § 96 Abs. 1 Nr. 3 InsO i. V. m. § 130 Abs. 1 S. 1 Nr. 2 InsO  sei das Herstellen der Aufrechnungslage. Als anfechtbare Rechtshandlung komme jede Handlung in Betracht, die zum Entstehen der Aufrechnungslage führe, insbesondere die Kündigung eines Vertrags. Durch die in Kenntnis des von U gestellten Insolvenzantrags erklärte Kündigung stellte der AG erst eine Aufrechnungslage mit etwaigen Gegenforderungen aus § 8 Abs. 2 Nr. 2 Satz 2 VOB/B her, wodurch die Voraussetzungen von § 130 Abs. 1 Satz 1 Nr. 2 InsO vorliegen. Diese Entscheidung erscheint im Hinblick auf die bisherige Rechtsprechung des BGH für einige überraschend. Einerseits hatte der BGH bereits mehrfach, zuletzt 2022 die Wirksamkeit von § 8 Abs. 2 VOB/B als insolvenzabhängige Lösungsklausel bei Bauverträgen bestätigt (BGH, Urteil vom 7. April 2016 – VII ZR 56/15, Urteil vom 27. Oktober 2022 – IX ZR 213/21). Wegen des gesetzlich eigentlich vorgesehenen Privilegs des Insolvenzverwalters, entscheiden zu dürfen, ob er an einem Vertrag festhalten möchte und Erfüllung wählt (§§ 103 InsO) sind bei vielen anderen Vertragsarten Lösungsklauseln wegen Insolvenz des anderen Vertragspartners unzulässig (119 InsO).

Andererseits hatte der VII. Zivilsenat des BGH innerhalb ein und desselben Vertrages die Aufrechnung mit einer Schadensersatzforderung nach § 8 Abs. 2 Nr. 2 Satz 2 VOB/B nach einer insolvenzbedingten Kündigung des Auftraggebers gem. § 8 Abs. 2 Nr. 1 Fall 2 VOB/B bereits zugelassen.

Bei denselben Vertragsparteien aber zwei unabhängig voneinander geschlossenen Bauverträgen verneint nun der für Insolvenzrecht zuständige IX. Zivilsenat des BGH ausdrücklich die Zulässigkeit einer solchen Aufrechnung, auch wenn die Kündigung selbst wirksam gewesen sei.

Praxishinweis

Aufgrund von Andeutungen des für Insolvenzrecht zuständigen IX. Zivilsenats des BGH in seiner neuesten Entscheidung ist zu befürchten, dass künftig auch die Aufrechnungsmöglichkeit innerhalb ein und desselben Vertrages aus insolvenzrechtlichen Gründen für unzulässig eingestuft wird.

Auch wenn wir dies innerhalb des Wechselwirkungsverhältnisses eines einzigen Vertrages (Synallagma) für dogmatisch falsch halten, sollten Sie dieses potentielle Risiko künftig vor jeder insolvenzbedingten Kündigungserklärung vorsorglich einkalkulieren und prüfen lassen.

Dass das Insolvenzrecht in der Geschäftswelt häufig als ungerecht empfunden wird, ist bekannt. Die insolvenzrechtliche Anfechtung und das Erfordernis einer Rückzahlung an den Insolvenzverwalter bei einer mühevoll vor Gericht erstrittenen und später im Wege der Zwangsvollstreckung beigetriebenen Forderung erschließt sich einem Geschäftsführer nicht wirklich. Diese ungerechte Tendenz setzt sich hier fort. Der Insolvenzverwalter bekommt durch die Insolvenzverwalter-freundliche Rechtsprechung des IX. Zivilsenats des BGH mehr in die Masse, als es das insolvente Schuldnerunternehmen ohne Insolvenz jemals bekommen hätte.

Das Bau- und Insolvenzrechtsteam von MKM + PARTNER unterstützt Sie insoweit gerne!

Menschenrechtsbeauftragter im Sinne des LkSG – Was gilt es zu beachten?

Um für angemessene Sorgfaltsstandards hinsichtlich der Einhaltung von Menschenrechten und Umweltvorschriften in der Lieferkette zu sorgen, ist zum 01.01.2023 das nationale Lieferkettensorgfaltspflichtengesetz (LkSG) in Kraft getreten. Mit Inkrafttreten des LkSG gehen für die verpflichteten Unternehmen zahlreiche Sorgfaltspflichten einher. So ist u.a. nach § 3 Abs. 1 S. 2 Nr. 2 LkSG das Unternehmen dazu verpflichtet, eine betriebsinterne Zuständigkeit zu regeln. Danach ist dafür Sorge zu tragen, dass eine Festlegung darüber getroffen wird, wer innerhalb des Unternehmens für die Überwachung des Risikomanagements zuständig ist (§ 4 Abs. 3 LkSG). So stellt sich für Unternehmen die Frage, welche rechtlichen Aspekte bei der Benennung eines Menschenrechtsbeauftragten im Sinne von § 4 Abs. 3 LkSG zu beachten sind.

Bestellung eines Menschenrechtsbeauftragten

Die Überwachung des Risikomanagements kann zum Beispiel von einem Menschenrechtsbeauftragten übernommen werden. Hierbei ist anzumerken, dass das Unternehmen nicht gesetzlich dazu verpflichtet ist, einen Menschenrechtsbeauftragten zu benennen. Im LkSG wurde der Menschenrechtsbeauftragte nur beispielhaft als zuständige Person aufgeführt, wonach durchaus auch andere Personen des Unternehmens diese Aufgabe wahrnehmen können. Jedoch ist es äußerst empfehlenswert, einen Menschenrechtsbeauftragten im Unternehmen konkret zu benennen, da hierdurch der gesetzlichen Empfehlung nachgegangen und somit das Risiko vermieden wird, sich als Unternehmen bzgl. einer alternativen Ausgestaltung rechtfertigen zu müssen. Weiterhin wäre es von Vorteil, wenn man die zuständige Person nicht nur explizit als Menschenrechtsbeauftragten bezeichnet, sondern ihm vielmehr die Bezeichnung „Menschenrechts- und Umweltbeauftragter“ verleiht. Denn der Menschenrechtsbeauftragte überprüft nicht nur die Einhaltung der Menschenrechte, sondern auch die Einhaltung der Umweltstandards.

Auch dürfen mehrere Personen für die Überwachung des Risikomanagements eingeteilt werden. Weiterhin legt das Gesetz nicht näher fest, ob eine Vertretung für den Menschenrechtsbeauftragten zu bestellen ist. Allein aufgrund der Möglichkeit der urlaubsbedingten oder krankheitsbedingten Abwesenheit eines Menschenrechtsbeauftragten sollte jedoch für eine ordnungsgemäße Vertretung im Unternehmen gesorgt werden.

Des Weiteren ist von einem Outsourcing der Überwachung des Risikomanagements an Externe abzuraten, da bereits der Wortlaut des § 3 Abs. 1 S. 2 Nr. 2 LkSG von einer „betriebsinternen Zuständigkeit“ spricht. Nichtsdestotrotz kann sich der Menschenrechtsbeauftragte Unterstützung von Externen heranziehen (z.B. zur Durchführung von Internal Investigations oder Audits), um alle Aufgaben umfassend bewältigen zu können.

Aufgaben und Kompetenzen

Dem Menschenrechtsbeauftragten obliegt die Wahrnehmung zahlreicher Aufgaben. Die zentrale Aufgabe liegt nach § 3 Abs. 1 S. 2 Nr. 2, § 4 Abs. 3 S. 1 LkSG darin, das Risikomanagement zu überwachen. Damit wird deutlich, dass der Beauftragte gerade nicht dafür verantwortlich ist, dass notwendige Maßnahmen nach dem LkSG eingeführt bzw. abgeändert werden. Die konkreten Aufgaben sind kaum gesetzlich geregelt, sodass für Unternehmen hinsichtlich der Ausgestaltung der Rechte und Pflichten des Menschenrechtsbeauftragten ein großer Gestaltungsspielraum besteht. Deshalb sollten Unternehmen konkret die Zuständigkeiten und die Aufgaben des Menschenrechtsbeauftragten festlegen und dokumentieren. Hierbei besteht die Möglichkeit, Zuständigkeiten und Pflichten im Arbeitsvertrag zu regeln. Ferner können die Pflichten auch in internen Richtlinien geregelt werden, da diese einseitig vom Arbeitgeber abgeändert werden können.

Das Gesetz nennt keine konkreten Voraussetzungen für die persönlichen und fachlichen Befähigungen eines Menschenrechtsbeauftragten. Er sollte jedenfalls ausgeprägte Kommunikationsfähigkeiten besitzen, um die Geschäftsführung regelmäßig über den aktuellen Sachstand zu informieren. Weiterhin sind fundierte Kenntnisse zu den rechtlichen Anforderungen hinsichtlich des Risikomanagements zwingend erforderlich, die ggfs. auch durch Schulungen und Weiterbildungen erworben und vertieft werden können. Auch muss der Menschenrechtsbeauftragte gute Kenntnisse über die unternehmensinternen Strukturen aufweisen.

Das Unternehmen ist regelmäßig, mindestens jedoch einmal jährlich und auch anlassbezogen über die Arbeit der zuständigen Person zu informieren. Damit besitzt der Menschenrechtsbeauftragte auch ein Recht darauf, vom Unternehmen angehört zu werden bzw. über seine Arbeit zu berichten. Diese Informations- und Berichtsrechte sollten ebenfalls klar gegenüber dem Menschenrechtsbeauftragten kommuniziert werden.

Stellung des Menschenrechtsbeauftragten und besondere Schutzrechte

Nach der Gesetzesbegründung wird empfohlen, dass die zuständige Person unmittelbar der Geschäftsleitung unterstellt ist. Völlig offen lässt das LkSG die Frage, welcher Abteilung der Menschenrechtsbeauftragte zugeteilt wird. Jedoch finden sich in der Gesetzesbegründung beispielhafte Aufzählungen wie z.B., dass er im Bereich Compliance oder Einkauf tätig ist.

Weiterhin hat das Unternehmen auch die notwendigen Hilfsmittel zur Verfügung zu stellen, die erforderlich sind, um eine angemessene Überwachung zu gewährleisten. Dem Menschenrechtsbeauftragten muss auch ausreichend Zeit gewährt werden, um seine Funktion ordnungsgemäß auszuüben, was bestenfalls vertraglich geregelt wird, um Missverständnisse vorzubeugen

Die Menschenrechtsbeauftragten genießen keine privilegierte arbeitsrechtliche Stellung. Folglich besteht kein besonderer Kündigungsschutz für diesen. Empfehlenswert ist es jedoch, dem Menschenrechtsbeauftragten eine gewisse Unabhängigkeit einzuräumen, sodass dieser vollumfänglich seine Aufgaben erfüllen kann und nicht mit Disziplinarmaßnahmen oder anderen Maßregelungen rechnen muss.

Haftungsrisiken

Eine fehlende Überwachung des Risikomanagements kann gemäß §§ 4 Abs. 3 S. 1 i.V.m. 24 Abs. 1 Nr. 1, Abs. 2 Nr. 2, Abs. 3 LkSG mit sehr hohen Bußgeldern geahndet werden. Ob auch gegenüber dem Menschenrechtsbeauftragten Bußgelder verhängt werden können, ist davon abhängig, ob er als eigenverantwortlicher oder nicht eigenverantwortlicher Betriebsbeauftragter im Unternehmen tätig wird. Sollte er nicht eigenverantwortlich tätig werden, können dem Menschenrechtsbeauftragten keine Bußgelder für Rechtsverstöße verhängt werden. Wenn sich das Unternehmen dazu entscheidet, den Arbeitnehmer als nicht eigenverantwortlichen Menschenrechtsbeauftragten einzusetzen, sollte dies arbeitsvertraglich ausdrücklich klargestellt werden. Nimmt der Menschenrechtsbeauftragte die dem Unternehmensinhaber obliegenden Aufgaben in eigener Verantwortung wahr, können ihm gegenüber auch Bußgelder verhängt werden gemäß § 9 Abs. 2 Satz 1 Nr. 2 OWiG i.V.m. § 24 Abs. 1 LkSG, wobei sich das Risiko eines persönlichen Bußgeldes für den Geschäftsleiter auf die Versäumnisse bei der sorgfältigen Auswahl und Überwachung des Menschenrechtsbeauftragten und der Behinderung dessen Tätigwerdens reduziert. Unabhängig davon ist es möglich, dass Arbeitnehmer, die die Rolle eines Menschenrechtsbeauftragten einnehmen, unter Umständen gegenüber dem Arbeitgeber in arbeitsrechtlicher Hinsicht haften, wobei hierbei die Grundsätze des innerbetrieblichen Schadensausgleiches Anwendung finden werden. Es wird sich zeigen, wie sich die Gerichte zu den Haftungsfragen zukünftig äußern werden.

Änderungen 2024: Was ändert sich zum Jahreswechsel im Arbeitsrecht?

1. Interne Meldestelle für Unternehmen ab 50 Beschäftigten und LkSG für Unternehmen ab 1.000 Mitarbeitenden

Bereits am 17.12.2023 endete die Umsetzungsfrist für die Einrichtung einer internen Meldestelle für Unternehmen ab 50 Beschäftigten. Seit Anfang Dezember 2023 kann nach dem Hinweisgeberschutzgesetz (HinSchG) bei einer fehlenden Meldestelle ein Bußgeld von bis zu 20.000,00 Euro verhängt werden.

Zudem müssen Unternehmen mit mehr als 1.000 Mitarbeitenden ab dem 01.01.2024 die Vorgaben des Lieferkettensorgfaltspflichtengesetzes (LkSG) einhalten.

Wenn Sie bei der Einrichtung einer internen Meldestelle oder zu den Anforderungen des LkSG Fragen haben, kommen Sie gerne auf uns zu.

2. Erhöhung des Mindestlohns und der Mindestvergütung für Auszubildende

Mit dem Jahreswechsel steigt der Mindestlohn auf 12,41 Euro brutto je Zeitstunde an. Mit der Erhöhung des Mindestlohnes steigt auch die Geringfügigkeitsgrenze von bisher 520,00 Euro auf 538,00 Euro. Auf diese Weise muss bei geringfügig Beschäftigten lediglich das Gehalt angepasst werden, die bisherige Stundenzahl kann aber beibehalten werden.

Mit dem Mindestlohn steigt auch die Mindestvergütung für Auszubildende nach § 17 Absatz 2 Berufsbildungsgesetz (BBiG), gestaffelt nach Ausbildungsjahren.

Arbeitgeber haben daher die Verträge entsprechend zu prüfen und ggfs. nachzubessern. Hierbei sollten Arbeitgeber auch das Nachweisgesetz im Blick behalten, das verlangt, dass wesentliche Arbeitsbedingungen vom Arbeitgeber schriftlich niedergelegt und dem Arbeitnehmenden ausgehändigt werden. Hierzu zählt auch das Gehalt des Arbeitnehmenden.

Diese Pflicht gilt auch für Änderungen der Arbeitsbedingungen und zwar ab dem Tag, ab dem die Änderung gelten soll. Bei einem Verstoß kann ein Bußgeld von bis zu 2.000,00 Euro drohen.
 

3. Meldepflicht bei Elternzeit

Arbeitgeber haben zukünftig für Elternzeiten, die ab dem 01.01.2024 anfangen, den Beginn und das Ende der Elternzeit für gesetzlich krankenversicherte Personen, zusätzlich zu den „normalen“ Unterbrechungsmeldungen der Krankenkasse mitzuteilen. Die Meldungen sind dann jeweils mit der nächsten Entgeltabrechnung, spätestens sechs Wochen nach dem Beginn bzw. dem Ende der Elternzeit vorzunehmen.

Wird während der Elternzeit eine mehr als geringfügige Beschäftigung beim selben Arbeitgeber aufgenommen, hat dieser eine Ende-Meldung abzugeben. Die Meldungen müssen nicht vorgenommen werden, wenn es sich um privat krankenversicherte Mitarbeitende oder geringfügig Beschäftigte handelt sowie wenn während einer Elternzeit eine geringfügige Beschäftigung aufgenommen wird.

4. Neuregelung beim Kinderkrankengeld

Zum Jahresbeginn wurde auch die Anspruchsdauer für den Bezug von Kinderkrankengeld erhöht. Für gesetzlich krankenversicherte Eltern steigen die Kinderkrankheitstage damit auf 15 Arbeitstage pro Kind, das jünger ist als 12 Jahre. Alleinerziehende haben ab 2024 Anspruch auf 30 Arbeitstage Kinderkrankengeld. Die Gesamtzahl der jährlichen Anspruchstage pro Elternteil steigt damit auf insgesamt 35 Arbeitstage und für Alleinerziehende auf 70 Arbeitstage pro Jahr.

Der Anspruch auf Kinderkrankengeld besteht nur dann gegen die Krankenkasse, wenn der Arbeitgeber die Regelung des § 616 BGB vertraglich ausgeschlossen hat.


5. Auslaufen der Inflationsausgleichsprämie

Nur noch bis Ende 2024 können Arbeitgeber ihren Beschäftigten eine steuer- und sozialabgabenfreie Inflationsausgleichsprämie gewähren. Die Prämie kann in mehreren Teilbeträgen ausbezahlt werden und muss nicht an alle Mitarbeitenden ausbezahlt werden. Bei der konkreten Ausgestaltung sind jedoch nicht nur arbeitsrechtliche, sondern auch steuerrechtliche Vorgaben zu beachten. Bei Rückfragen kommen Sie daher gerne auf uns zu!

6. Elektronische Meldung von Arbeitsunfällen

Arbeitsunfälle und Berufskrankheiten können ab dem 01.01.2024 digital gemeldet werden. Die Meldung kann über das Serviceportal der gesetzlichen Unfallversicherung erfolgen. Ab dem 01.01.2028 wird eine elektronische Meldung dann für alle Betriebe Pflicht. Eine Meldung in Papierform ist daher noch bis Ende 2027 zulässig.


7. Erhöhung der Ausgleichsabgabe

Alle privaten und öffentlichen Arbeitgeber mit mindestens 20 Arbeitsplätzen müssen gemäß § 154 SGB IX wenigstens 5% der Arbeitsplätze mit schwerbehinderten Menschen besetzen. Halten sich Arbeitgeber nicht an diese Vorgabe, ist abhängig von der Anzahl besetzter Pflichtarbeitsplätze eine Ausgleichsabgabe zu zahlen. Ist keiner der Pflichtarbeitsplätze mit einem schwerbehinderten Menschen besetzt, beträgt die Ausgleichsquote nunmehr 720,00 Euro. Die erhöhte Ausgleichsabgabe ist Ende März 2025 zu zahlen, wenn sie für das Jahr 2024 fällig wird. Für kleinere Arbeitgeber gelten aber weiterhin Sonderreglungen. Kommen Sie bei Fragen zu den aktuellen Änderungen und der Umsetzung in Ihrem Unternehmen gerne auf uns zu!

Beschwerdeverfahren nach dem Lieferkettensorgfaltspflichtengesetz (LkSG)

Die Pflicht, eine Beschwerdestelle nach den gesetzlichen Vorgaben des Lieferkettensorgfaltspflichtengesetzes (LkSG) ab spätesten dem 01.01.2024 einzurichten, rückt für Unternehmen, die in der Regel mindestens 1000 Arbeitnehmer beschäftigen, immer näher. Für Unternehmen, die in der Regel mindestens 3000 Arbeitnehmer beschäftigen, muss eine Beschwerdestelle bereits eingerichtet worden sein. Zu den Meldesystemen nach dem Hinweisgeberschutzgesetz (HinSchG) und dem LkSG wurde bereits im Februar 2023 ein Newsletterartikel unsererseits veröffentlicht.

Pflicht zur Einrichtung einer Beschwerdestelle

Gemäß § 8 Abs. 1 LkSG müssen Unternehmen, die in den Geltungsbereich des LkSG fallen, ein angemessenes unternehmensinternes Beschwerdeverfahren einrichten. Das Beschwerdeverfahren dient als Kernelement der Sorgfaltspflichten dazu, menschenrechtliche und umweltbezogene Risiken oder Verletzungen zu melden, die durch das wirtschaftliche Handeln eines Unternehmens im eigenen Geschäftsbereich oder entlang der Lieferkette (z.B. bei dem unmittelbaren Zulieferer) entstanden sind.

Die Unternehmen haben hierbei zum einen die Möglichkeit, eine oder mehrere interne Beschwerdestellen (eine Meldestelle für interne Mitarbeiter und eine Meldestelle für Dritte) einzurichten. Des Weiteren können Unternehmen sich aber auch an einem unternehmensübergreifend externen Beschwerdeverfahren beteiligen gemäß § 8 Abs. 1 Satz 6 LkSG. Darunter versteht man insbesondere Beschwerdemechanismen, die von Branchenverbänden eingerichtet werden.

Der Zugang zu einer Beschwerdestelle muss sowohl den Arbeitnehmern der Unternehmen entlang der Lieferkette (auch unmittelbaren Zulieferern) als auch sonstigen Personen (z.B. Anwohnern rund um die lokalen Standorte) offenstehen. Hierbei gilt es zu beachten, dass eine eigene Verletzung oder Betroffenheit von der Risikolage auf Seiten des Hinweisgebers nicht erforderlich ist. Zudem können Hinweise auch von Minderjährigen abgegeben werden. Die Abgabe von anonymen Hinweisen ist ebenfalls gesetzlich zulässig.

Empfehlenswert kann es in diesem Zusammenhang auch sein, dass unmittelbare Zulieferer selbst eine Meldestelle einrichten, um menschrechtliche und umweltbezogene Missstände oder Risiken im eigenen Unternehmen frühestmöglich zu beseitigen oder gar gänzlich zu verhindern. Womöglich sind viele der Zulieferer ohnehin aufgrund des HinSchG bereits jetzt oder spätestens ab dem 17.12.2023 gesetzlich dazu verpflichtet, eine solche interne Meldestelle einzurichten. Diese kann unter Umständen auch als Beschwerdestelle im Sinne des LkSG genutzt werden. Durch die Einrichtung einer solchen Beschwerdestelle, bei der eben auch menschrechtliche und umweltbezogene Risiken oder Verletzungen gemeldet werden können, könnten sich unmittelbare Zulieferer erheblich von anderen Konkurrenten abheben und zielgerichtet dazu beitragen, dass Unternehmen die gesetzlichen Anforderungen des LkSG erfüllen. Denn ohnehin werden vor allem die unmittelbaren Zulieferer von den vom LkSG betroffenen Unternehmen dazu aufgefordert werden, bei der Einhaltung der gesetzlichen Vorgaben des LkSG mitzuwirken.

Wesentliche Pflichten der Beschwerdestelle

Sobald eine Meldung bei der Beschwerdestelle eingegangen ist, muss der Eingang der Meldung bestätigt werden. Eine konkrete Frist, bis wann eine solche Eingangsbestätigung erfolgen muss, ist gesetzlich nicht festgelegt. Dennoch sollte die Eingangsbestätigung im Hinblick auf den Zweck der Vorschrift zügig erfolgen. Der Eingang des Hinweises ist intern zu dokumentieren.

Darüber hinaus sollte laut der Handreichung des Bundesamts für Wirtschaft und Ausfuhrkontrolle (BAFA) der Hinweisgeber auch über die nachfolgenden Schritte (u.a. den aktuellen Stand des Verfahrens) sowie den zeitlichen Verlauf des Verfahrens und seine Rechte bzgl. des Schutzes vor Benachteiligungen bzw. Bestrafung informiert werden.

Erörterungspflicht und einvernehmliche Streitbeilegung

Weiterhin muss gemeinsam mit dem Hinweisgeber der Sachverhalt näher erörtert werden. Es muss daher ein konkreter Austausch mit dem Hinweisgeber stattfinden, um den Sachverhalt umfassend aufzuklären und Missstände/Risiken zu beheben. Die Erörterung sollte vorzugsweise mündlich (in Präsenz, telefonisch oder per Videokonferenz) stattfinden, um einen aufwändigen Schriftverkehr zu vermeiden. Eine schriftliche Erörterung ist jedoch gesetzlich ebenfalls zugelassen. Die wesentlichen Gesprächsinhalte sollten protokolliert werden. Empfehlenswert ist, die Personen, die diese Gespräche mit dem Hinweisgeber durchführen, entsprechend zu schulen, vor allem in Fällen, in denen Hinweisgeber von Risiken bzw. Verletzungen stark betroffen oder ggf. auch traumatisiert sind.

Es besteht auch die Möglichkeit, dem Hinweisgeber die Option einer einvernehmlichen Streitbeilegung gemäß § 8 Abs. 1 LkSG aufzuzeigen. Im Rahmen der einvernehmlichen Streitbeilegung suchen die beteiligten Parteien einen vermittelnden neutralen Dritten auf, um gemeinsam zu einer einvernehmlichen Lösung zu gelangen. Die einvernehmliche Streitbeilegung hat unter anderem den Vorteil, Kosten zu vermeiden, die aufgrund von langwierigen Verhandlungen oder Untersuchungen anfallen würden.

Veröffentlichung einer Verfahrensordnung

Des Weiteren werden die Unternehmen dazu verpflichtet, eine Verfahrensordnung in Textform zu veröffentlichen. Nähere Bestimmungen, welche inhaltlichen Aspekte in der Verfahrensordnung geregelt sein müssen, sind im Gesetzeswortlaut nicht enthalten. Es ist jedoch empfehlenswert, u.a. über die eingerichteten Beschwerdekanäle zu berichten, die Zuständigkeit und Erreichbarkeit näher zu benennen sowie Informationen darüber zu erteilen, dass der Hinweisgeber keine Repressalien aufgrund der Abgabe eines Hinweises zu befürchten hat, und vieles mehr.

Eignung und Qualifikation von zuständigen Personen

Die von dem Unternehmen mit der Durchführung des Verfahrens betrauten Personen müssen Gewähr für unparteiisches Handeln bieten, insbesondere müssen sie unabhängig sein und dürfen an Weisungen nicht gebunden sein (d.h. die zuständigen Personen dürfen nicht in einem Abhängigkeitsverhältnis zu den Konfliktparteien stehen und auch nicht deren Weisungen unterworfen sein). Sie sind zudem zur Verschwiegenheit verpflichtet.

Durchführung der Überprüfung

Die Wirksamkeit des Beschwerdeverfahrens muss mindestens einmal im Jahr sowie anlassbezogen überprüft werden, wenn das Unternehmen mit einer wesentlich veränderten oder wesentlich erweiterten Risikolage im eigenen Geschäftsbereich oder beim unmittelbaren Zulieferer rechnen muss gemäß § 8 Abs. 5 LkSG (z.B. durch die Einführung neuer Produkte, Projekte oder eines neuen Geschäftsfeldes). Die Maßnahmen sind bei Bedarf unverzüglich zu wiederholen.

Nutzung der internen Meldestelle nach dem HinSchG als Beschwerdestelle

Viele Unternehmen werden aufgrund des bereits geltenden HinSchG eine interne Hinweisgebermeldestelle eingerichtet haben. Es kann daher ratsam sein, zu prüfen, ob diese bereits bestehenden Meldestellen auch als Beschwerdestelle gemäß dem LkSG genutzt werden können. Grundsätzlich ist es zulässig, eine eingerichtete interne Meldestelle auch als Beschwerdestelle nach dem LkSG zu nutzen. Unternehmen sollten demnach prüfen, ob Ihre interne Meldestelle auch die Möglichkeit eröffnet, Hinweise über menschenrechtliche und umweltbezogene Risiken und Verletzungen entgegenzunehmen. Zudem müsste die interne Meldestelle dann aber auch so ausgestaltet sein, dass Dritte Zugang zu dieser Meldestelle erlangen können. Unternehmen sollten daher genau prüfen, ob ihre nach dem HinSchG eingerichtete interne Meldestelle auch als Beschwerdestelle gemäß § 8 LkSG genutzt werden kann und hierbei alle rechtlichen Anforderungen, die das LkSG stellt, erfüllt sind.

Ausblick

Unternehmen sollten die Einrichtung eines Beschwerdeverfahrens als Chance ansehen. Denn Beschwerdeverfahren können dazu beitragen, dass Unternehmen aufgrund eingehender Hinweise Nachschärfungen bei der eigenen Risikoanalyse vornehmen. Weiterhin kann durch Rücksprache mit dem Hinweisgeber in vielen Fällen eine schnelle Abhilfe der bestehenden Missstände bzw. möglichen Risiken geschaffen werden. Unser kompetentes Compliance-Team berät Sie gern bei rechtlichen Fragen, die hinsichtlich der Einrichtung einer Beschwerdestelle entstehen sowie zu allgemeinen Rückfragen hinsichtlich der gesetzlichen Regelungen des LkSG. Auch unmittelbare Zulieferer werden von nach dem LkSG verpflichteten Unternehmen dazu aufgefordert werden, ggf. selbst ein solches Beschwerdesystem einzuführen oder andere Vertragsbedingungen zu unterzeichnen, um den Anforderungen des LkSG gerecht zu werden. Hierbei unterstützt Sie unser Compliance-Team jederzeit gern.

Hilfe! Wir haben schlechte Bewertungen erhalten!

Wir alle kennen sie und wir alle verlassen uns auch in vielen Fällen auf sie: Die Bewertung in diversen Internet-Portalen. Sei es der Kauf eines Produkts, bei Buchen einer Dienstleistung und vielfach auch bei der Auswahl des Arbeitgebers – häufig hängt die Entscheidungsfindung von den Bewertungen in den einschlägigen Portalen ab.

Die eigene Online-Präsenz bringt es mit sich, dass sich Unternehmen den Urteilen der eigenen Mitarbeitenden, der Kunden und manchmal auch weiteren Dritten stellen müssen.

In diesem Beitrag wollen wir einen Überblick geben, welche Bewertungen geduldet werden müssen und wann sich ein Vorgehen gegen Bewertungen lohnt.

Der Grundsatz – Meinungsfreiheit oder warum ein Unternehmen kritische bis unfaire Bewertungen dulden muss

Im Grundsatz gilt: Wer im Internet zu finden ist, der muss damit rechnen, dass verärgerte Beschäftigte und Kunden sich mit einer negativen Bewertung für (empfundene) Schlechtbehandlung „revanchieren“.

Ob ein Vorgehen gegen eine Bewertung Aussicht auf Erfolg hat, hängt – wie sollte es auch anders sein – vom jeweiligen Einzelfall ab. Die Einzelfälle lassen sich grob in die nachfolgend dargestellten Kategorien einsortieren.

Meinung oder Schmähkritik

Besteht eine Bewertung aus der Meinung des Bewertenden, ist die Bewertung grundsätzlich von der in Artikel 5 Grundgesetz verankerten Meinungsfreiheit gedeckt und muss dann geduldet werden.

Unter „Meinung“ ist alles zu verstehen, was nicht einem Beweis zugänglich ist. Vereinfacht gesagt: eine Meinung ist dadurch gekennzeichnet, dass diese nicht als „wahr“ oder „unwahr“ eingestuft werden kann, also nicht objektiv überprüfbar ist. Die Meinung ist vielmehr vom Element der Stellungnahme, der Bewertung und der Beurteilung geprägt.

Allerdings hat auch die Meinungsfreiheit ihre Grenzen. Dies ist dann der Fall, wenn die Meinung die Grenze zur Schmähkritik übersteigt. Eine solche Schmähkritik liegt dann vor, wenn die Diffamierung des Bewerteten und gerade nicht die Auseinandersetzung mit der Sache im Vordergrund steht. Bei der Frage der Abgrenzung, ob eine Äußerung (gerade noch) im Zusammenhang mit der Sache steht, sind viele Gerichte sehr großzügig.

Dies zeigte sich in jüngster Vergangenheit an Äußerungen über eine Politikerin. So stellte das Kammergericht Berlin mittels Beschlusses (Beschluss vom 11.03.2020, Az. 10 W 13/20) – zur Überraschung vieler – fest, dass z.B. die Bezeichnungen „Dieses Stück Scheisse. Überhaupt so eine Aussage zu treffen zeugt von kompletter Geisteskrankheit.“ und „Schlampe“ einen Sachbezug zu einem von der Politikerin getätigten Zwischenruf im Berliner Abgeordnetenhaus hatten.

Erst auf Einschreiten des Bundesverfassungsgerichts (Beschluss vom 19.12.2021, Az. 1 BvR 1073/20) korrigierte das Kammergericht Berlin seine ursprüngliche Rechtsauffassung und stufte diese und weitere Begriffe als unzulässige Schmähkritik ein.Die Schmähkritik von der zulässigen Meinungsäußerung abzugrenzen, fällt nicht nur den Richterinnen und Richtern am Berliner Kammergericht schwer.

Aber eine genaue Prüfung, ob die Grenze zur Schmähkritik überschritten ist, ist entscheidend dafür, ob für die Löschung einer Bewertung (sehr) gute Erfolgsaussichten bestehen oder nicht.

(Unwahre) Tatsachen

Etwas einfacher als die Abgrenzung von zulässiger Meinungsfreiheit und Schmähkritik ist die Abgrenzung von Meinung und Tatsache. Im Gegensatz zur Meinung ist die Tatsache dem Beweis zugänglich. Eine Tatsache liegt immer dann vor, wenn diese auf den Wahrheitsgehalt hin überprüfbar ist.

In Bewertungen muss ein Unternehmen nur wahre Tatsachenbehauptungen dulden. Erweist sich eine Behauptung des Bewertenden jedoch als unwahr, lohnt sich in der Regel ein juristisches Vorgehen gegen den Bewertenden.

Dies ist z.B. auch dann der Fall, wenn Bewertende ein Unternehmen ohne Angaben weiteren Inhalts mit einem Stern bewerten, obwohl Bewertende und Bewerteter gar nicht in einer Kundenbeziehung oder in einem Beschäftigungsverhältnis standen. Dies ist in der Praxis durchaus nicht unrelevant, denn auch Mitbewerber können den Versuch unternehmen, die Konkurrenz durch schlechte Bewertungen zu diskreditieren.

Mischform: Meinung und Tatsachen

In der Praxis bestehen Bewertungen selten aus reinen Meinungen oder reinen Tatsachenbehauptungen. Vielmehr sind häufig beide Elemente in einer einzelnen Bewertung miteinander vermischt oder vereint. Können die geäußerten Tatsachen nicht von den Meinungen getrennt werden, ist auf den Gesamtkontext der Bewertung abzustellen. Hierbei ist dann der Schwerpunkt der Bewertung insgesamt zu ermitteln.

Auch im Rahmen dieser Abwägung wird die grundrechtlich geschützte Meinung sehr weit ausgelegt. Bei einer gemischten Äußerung wird in der Regel davon ausgegangen, dass diese als Meinung zu verstehen ist.

Aber auch hier lohnt sich eine genaue Prüfung des Einzelfalls zur Ermittlung der Chancen eines Vorgehens. 

Wie kann MKM unterstützen?

Schlechte Bewertungen können für Unternehmen somit dazu führen, dass Bewerbungen ausbleiben oder Interessenten nicht zu Kunden werden. Aus diesem Grund sollten Sie Ihre Bewertungen stets im Blick haben.

Wir unterstützen Sie selbstverständlich gerne bei der Prüfung der Erfolgsaussichten eines Vorgehens gegen eine Bewertung bis hin zur gerichtlichen Auseinandersetzung mit den Bewertenden.

Haben Sie keine eigenen Kapazitäten für das Monitoring der Bewertungen Ihres Unternehmens auf diversen Plattformen? Wir übernehmen auch gerne das Monitoring und bereiten für Sie auf Wunsch die Entscheidungsgrundlage vor, ob Sie gegen eine Bewertung vorgehen möchten oder nicht. Sprechen Sie unser Team am besten einfach an!

BGH verschärft Aufklärungspflichten für Immobilienverkäufer

Mit Urteil vom 15.09.2023 zum Aktenzeichen V ZR 77/22 stellte der Bundesgerichtshof nunmehr klar, dass der Verkäufer eines bebauten Grundstücks, der dem Käufer Zugriff auf einen Datenraum mit Unterlagen und Informationen zur Immobilie gewährt, seine Aufklärungspflicht nur dann erfüllt, wenn und soweit er aufgrund der Umstände die berechtigte Erwartung haben kann, dass der Käufer durch Einsichtnahme in den Datenraum tatsächlich Kenntnis von dem offenbarungspflichtigen Umstand erlangen kann.

Sachverhalt

Der Streitfall betrifft den Kauf mehrerer Gewerbeeinheiten in einem großen Gebäudekomplex im Wert von über 1,5 Millionen Euro unter Ausschluss der Sachmängelhaftung. Im Kaufvertrag versicherte die Verkäuferin, dass keine Beschlüsse gefasst seien, aus denen sich eine künftige Sonderumlage ergäbe und nach ihrer Kenntnis keine außergewöhnlichen Sanierungen bevorstünden, deren Kosten durch die Instandhaltungsrücklage nicht gedeckt seien. Weiter hieß es in dem Kaufvertrag, die Verkäuferin habe der Käuferin Protokolle der Eigentümerversammlungen der vergangenen drei Jahre übergeben, und die Käuferin kenne den Inhalt der Unterlagen.

Im Rahmen der Kaufvertragsverhandlungen erhielt die Käuferin Zugriff auf einen von der Verkäuferin eingerichteten virtuellen Datenraum, der verschiedene Unterlagen zu dem Kaufobjekt enthielt. Drei Tage vor Vertragsschluss stellte die Verkäuferin dort das Protokoll einer Eigentümerversammlung ein, aus welchem sich ergab, dass auf die Käuferin Kosten von bis zu 50 Millionen Euro für die Instandhaltung des Gemeinschaftseigentums zukommen könnten. Nachdem die Mehrheitseigentümerin die Zahlung der Instandhaltungskosten verweigerte, kam es zu einer gerichtlichen Auseinandersetzung, in welcher ein Vergleich mit dem Inhalt geschlossen wurde, dass die Eigentümer der Gewerbeeinheiten eine Sonderumlage zahlen sollten.

Daraufhin focht die Käuferin den Kaufvertrag wegen arglistiger Täuschung an und erklärte vorsorglich den Rücktritt vom Kaufvertrag. Die Käuferin begründete ihr Vorgehen damit, dass ihr das Protokoll untergeschoben worden sei, da dieses erst kurz vor dem Notartermin klammheimlich hochgeladen wurde.Mit der Klage verlangt die Klägerin die Freistellung von den zur Finanzierung des Kaufpreises eingegangenen Darlehensverbindlichkeiten, hilfsweise die Zahlung von 1.500.000 €, daneben die Zahlung von 184.551,82 € – jeweils Zug um Zug gegen Übereignung der Gewerbeeinheiten und Abtretung der Rückgewähransprüche bezüglich der eingetragenen Grundschulden – sowie die Feststellung der Ersatzpflicht für künftige Schäden und des Annahmeverzugs.

Entscheidung der Vorinstanzen

Das Landgericht hat die Klage abgewiesen. Das Oberlandesgericht hat die Berufung der Klägerin zurückgewiesen. Mit der von dem Bundesgerichtshof zugelassenen Revision hat die Klägerin ihre Klageanträge weiterverfolgt.

Entscheidung des BGH

Der Bundesgerichtshof hat das Urteil des Berufungsgerichts im Wesentlichen aufgehoben und die Sache zur erneuten Verhandlung und Entscheidung an das Berufungsgericht zurückverwiesen. Die Annahme des Berufungsgerichts, die Verkäuferin habe hinsichtlich des Kostenumfangs für die anstehenden Sanierungsmaßnahmen keine sie treffende Aufklärungspflicht verletzt, sei rechtsfehlerhaft.

Der BGH hat in seiner Entscheidung klargestellt, dass allein der Umstand, dass der Verkäufer einen Datenraum einrichtet und dem Kaufinteressenten den Zugriff auf die Daten ermöglicht, nicht stets den Schluss zulässt, dass der Käufer den offenbarungspflichtigen Umstand zur Kenntnis nehmen wird. Nur wenn im Einzelfall die Erwartung gerechtfertigt ist, dass der Käufer bestimmte, von dem Verkäufer in dem Datenraum bereitgestellte Informationen – etwa im Rahmen einer Due Diligence – wahrnehmen und in seine Kaufentscheidung einbeziehen wird, ist eine gesonderte Aufklärung durch den Verkäufer nicht erforderlich. Der BGH hat insofern seine bisherige Rechtsprechung zu übergebenen Papier-Unterlagen sinngemäß auf virtuelle Dokumente in einem Datenraum übertragen.

Ob der Verkäufer erwarten durfte, dass der Käufer durch Einsichtnahme in den Datenraum Kenntnis von dem offenbarungspflichtigen Umstand erlangen wird, hängt von den Umständen des Einzelfalls ab, etwa davon, ob und in welchem Umfang der Käufer – wozu er von Gesetzes wegen nicht verpflichtet ist – eine Due Diligence durchführt, wie der Datenraum und der Zugriff hierauf strukturiert und organisiert sind, welche Vereinbarungen hierzu getroffen wurden, wie wichtig die Information ist, um deren Offenbarung es geht, und wie leicht sie im Datenraum aufzufinden ist.

Auswirkung

Das Urteil hat erhebliche Auswirkungen für künftige Transaktionen, da die bisherige Praxis von Verkäufern, sich allein durch die Offenlegung von Unterlagen von jeder Haftung zu befreien, erheblich eingeschränkt wird. Vielmehr sind diese nunmehr verpflichtet, über für die Kaufentscheidung wesentliche Umstände, frühzeitig und eindeutig aufklären. Der BGH hat mit der nun vorliegenden Entscheidung der bislang üblichen Praxis der Verkäufer, sich allein durch eine übermäßige und bisweilen auch sehr kurzfristige Offenlegung von Unterlagen von jeglicher Haftung frei zu zeichnen, einen Riegel vorgeschoben.

Sanktionen, Bußgelder und Schadensersatzpflicht – das neue Hinweisgeberschutzgesetz ist da!

Seit 02.07.2023 ist das neue Hinweisgeberschutzgesetz in Kraft – eine echte Herausforderung für Unternehmen. Mit dem Hinweisgeberschutzgesetz (HinSchG) trifft Unternehmen ab einer gewissen Größenordnung die gesetzliche Pflicht, eine interne Meldestelle einzuführen.

Die Einrichtung des Hinweisgeberverfahrens gilt dabei für Unternehmen mit mehr als 250 Beschäftigten bereits seit 02.07.2023. Kleineren Betrieben mit mehr als 50 Beschäftigten, aber weniger als 250 Mitarbeitenden wird noch eine „Schonfrist“ bis zum 17.12.2023 zur Implementierung einer internen Meldestelle eingeräumt.

Die Anschaffung und die Inbetriebnahme eines funktionierenden Hinweisgebersystems verursachen Aufwände in finanzieller und personeller Hinsicht. Gerade kleinere Unternehmen stehen vor der Frage, einen professionellen Anbieter eine Meldestelle zu beauftragen oder eigene betriebsinterne Personalressourcen für die Entgegennahme und Bearbeitung von Hinweisen entsprechend einzusetzen und zu schulen. Nicht zuletzt verlangt das HinSchG für die mit dem internen Meldesystem beauftragten Mitarbeiter eine gewisse Fachkunde, sodass entsprechende Schulungen für das Personal zu empfehlen sind, um eine ordnungsgemäße Bearbeitung von Hinweisen zu gewährleisten.

Die Einführung eines internen Meldesystems sollte von Betriebsinhabern und Geschäftsführern nicht stiefmütterlich behandelt werden, auch wenn die Nicht-Umsetzung eines internen Hinweisgebersystems oder aber eine kostengünstige Hinweisgeberplattform, wie eine einfache E-Mail-Adresse, zunächst lukrativer erscheint.

Ordnungswidrigkeiten nach dem HinSchG – gestaffelte Bußgelder

Verstöße gegen die Vorgaben des HinSchG können als Ordnungswidrigkeiten mit empfindlichen Geldbußen bewertet werden. § 40 Abs. 2 HinSchG normiert als bußgeldbewehrten Tatbestand, die Nicht-Einrichtung und Nicht-Inbetriebnahme einer internen Meldestelle trotz gesetzlicher Verpflichtung der Implementierung eines internen Meldesystems. Gleichzeitig werden die Behinderung der Kommunikation entgegen der gesetzlichen Vorschiften und der Verstoß gegen Repressalien mit Bußgeldern bedroht. Gemäß § 40 Abs. 3 HinSchG stellt auch die Verletzung der Vertraulichkeit ein bußgeldbewährtes Verhalten dar.

Die Bußgelder nach dem HinSchG unterliegen einer Staffelung:

Der Gesetzgeber hat Unternehmen ab 250 Beschäftigten aufgrund der kurzen Frist zwischen Verkündung des Gesetzes und Inkrafttreten ab dem 02.07.2023 eine „Übergangsfrist“ hinsichtlich der Verhängung von Bußgeldern wegen Nicht-Einrichtung einer internen Meldestelle gewährt. So werden Bußgelder wegen Nicht-Einrichtung erst ab dem 01.12.2023 vorgesehen. Während die Nicht-Einrichtung einer internen Meldestelle eine Geldbuße bis zu 20.000 € nach sich ziehen kann, fallen die Bußgelder für die Behinderung der Kommunikation und dem Einsatz von Repressalien deutlich höher aus.

Die Behinderung der Meldung von Hinweisen oder die Kommunikation zwischen hinweisgebender Person und der Meldestelle kann ebenso wie die Androhung oder Anwendung von Repressalien gegenüber hinweisgebenden Personen und die Verletzung der Vertraulichkeit mit einer Geldbuße von bis zu 50.000 € geahndet werden. Unter bestimmten Voraussetzungen verzehnfacht sich das Höchstmaß der Geldbuße im Fall der Behinderung der Kommunikation oder dem Einsatz von Repressalien auf mitunter 500.000 €. Betriebsinhaber, die sich aus finanziellen Gründen weigern eine interne Meldestelle einzuführen und darauf spekulieren, dass die Nicht-Implementierung unentdeckt bleibt, riskieren daher ein erhebliches Bußgeld, welches in der Summe höher ausfallen dürfte als die Einrichtung einer internen Meldestelle und die dazugehörige Personalschulung oder Beauftragung externer Dritter.

Kostengünstige Meldestellenvarianten – Problem der Vertraulichkeit

Die Verunsicherung vieler Unternehmen hinsichtlich der Einrichtung eines internen Meldesystems ist groß. Es gibt daher vielerorts Überlegungen, ein internes Meldesystem durch geringfügige Änderungen zu generieren.

Eigene Meldekanäle wie betriebseigene E-Mail-Adressen über einen allgemeinen E-Mailanbieter werden ebenso wie allgemeine Telefonhotlines den Anforderungen des Vertraulichkeitsgrundsatzes nach dem HinSchG nicht gerecht. Es besteht bei diesen Alternativen keinerlei Garantie, dass ausschließlich die mit dem internen Meldesystem beauftragte Person Zugriff auf interne Meldekanäle erhält und die Anonymität des Hinweisgebenden gewahrt wird.

Nicht zuletzt die interne IT-Administration des Unternehmens oder des Server-Anbieters kann auf das entsprechende E-Mail-Konto zugreifen und so die Kommunikation mitlesen. Die Rufnummer des Hinweisgebers kann gespeichert und ausgelesen werden, sodass Rückschlüsse auf den Hinweisgebenden bzw. sogar auf den Inhalt des Hinweises gezogen werden können.

Dies steht im direkten Widerspruch zum Vertraulichkeitsgebot des HinSchG. Das gesamte Hinweisgebersystem beruht auf dem Schutzgedanken des Hinweisgebers und muss dergestalt konzipiert sein, ein Meldesystem einzurichten, bei welchem die Vertraulichkeit der Identität der hinweisgebenden Person gewahrt wird. Nur die beauftragten Personen, die eingehende Hinweise bearbeiten, sollen auf diese Informationen Zugriff haben, sofern nicht eine Weitergabe nach § 8 HinSchG zulässig ist.

Weitergehende Schutzvorkehrungen wie eine Zwei-Faktor-Authentifizierung sind bei den genannten Konstellationen auch nur schwer realisierbar, aber zum Schutz der Vertraulichkeit dringend anzuraten. Beispielsweise bei Verhinderung der für die Meldestelle beauftragten Person müssen Zugangsbeschränkungen zur Hinweisgeberplattform wie Passwörter etc. an Vertreterpersonen weitergegeben werden. Dies stellt mitunter ein weiteres Risiko dar, dass Unberechtigte Zugang zur Hinweisgeberplattform erhalten oder etwa ausgeschiedene Mitarbeitende auch nach Beendigung des Arbeitsverhältnisses auf ein allgemeines E-Mail-Postfach zugreifen können.

Auch aus datenschutzrechtlicher Sicht bereiten derartige kostengünstigere Varianten Probleme, sodass hier weitere Bußgelder für die Unternehmen oder Betriebe drohen können.

Schadensersatz bei Verstößen – weitere finanzielle Belastung für Unternehmen

Neben den genannten empfindlichen Bußgeldern verpflichtet der Gesetzgeber Unternehmen und Betriebe zur Zahlung von Schadensersatz. Wird eine hinweisgebende Person im Zusammenhang mit ihrer beruflichen Tätigkeit nach einer Meldung benachteiligt, so steht ihr nach dem HinSchG ein Anspruch auf Schadensersatz zu. Dieser Anspruch besteht neben der Auferlegung des Bußgeldes, sodass es hier zu einer doppelten finanziellen Belastung des Unternehmens kommen kann. 

Fazit

Das HinSchG stellt betroffene Unternehmen vor besondere Herausforderungen. Um hohe Bußgelder zu vermeiden, sollten Unternehmen innerhalb der für sie geltenden Frist IT-geschützte Hinweisgebersysteme einführen und entsprechende Kosten auf sich nehmen, um später nicht mit noch größeren finanziellen Konsequenzen konfrontiert zu werden.

Wir beraten Sie gerne zu den rechtlichen Anforderungen nach dem HinSchG und unserem sicheren Hinweisgebersystem White Sparrow der MKM Compliance GmbH.