Mobile App Entwicklung: Vertragsgestaltung, Datenschutz und Haftung nach deutschem Recht

Die Entwicklung einer mobilen Anwendung verbindet technische Planung mit zahlreichen rechtlichen Entscheidungen. Bereits vor der ersten Programmierleistung sollte geklärt werden, welche Funktionen geschuldet sind, welche Nutzungsrechte benötigt werden und unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen. Nach der Veröffentlichung treten weitere Fragen hinzu: Welche Informationen müssen Nutzer erhalten? Wer verantwortet Sicherheitsaktualisierungen? Welche Ansprüche können bei Funktionsausfällen, Datenschutzverletzungen oder Verstößen gegen anwendbare Barrierefreiheitsanforderungen entstehen?

„Mobile App Entwicklung“ bezeichnet rechtlich nicht allein die Herstellung von Software. Sie umfasst häufig eine Leistungskette aus Konzeption, Programmierung, Einbindung fremder Komponenten, Veröffentlichung, Betrieb und laufender Pflege. Auftraggeber, Entwicklungsunternehmen, Plattformbetreiber und technische Dienstleister übernehmen dabei unterschiedliche Aufgaben. Diese tatsächliche Arbeitsteilung und die gesetzliche Verantwortungsverteilung müssen nicht deckungsgleich sein.

Der folgende Beitrag ordnet diese Leistungskette in das deutsche Recht ein. Im Mittelpunkt stehen das Vertragsrecht des Bürgerlichen Gesetzbuchs, das Urheberrecht, das Datenschutzrecht und die gesetzlichen Anforderungen an digitale Angebote. Unionsrechtliche Vorgaben sind einzubeziehen, soweit sie unmittelbar anwendbar sind oder durch deutsche Gesetze umgesetzt werden. Die konkrete rechtliche Einordnung hängt insbesondere vom Geschäftsmodell, dem Funktionsumfang, der Vertragsgestaltung und dem angesprochenen Nutzerkreis ab.

Begriffsklärung und rechtliche Ausgangspunkte

Was unter mobiler App Entwicklung zu verstehen ist

Mobile Anwendungen können für ein bestimmtes Betriebssystem programmiert, plattformübergreifend entwickelt oder als webbasierte Anwendungen bereitgestellt werden. Für die rechtliche Bewertung ist die technische Kategorie allerdings häufig weniger entscheidend als die geschuldete Leistung und die Art ihrer Bereitstellung.

Zu unterscheiden sind insbesondere:

• die Erstellung einer individuellen Anwendung für einen Auftraggeber;
• die Überlassung einer bereits vorhandenen Standardanwendung;
• die dauerhafte Bereitstellung einer Anwendung einschließlich serverseitiger Funktionen;
• die Wartung, Weiterentwicklung und technische Betriebsführung;
• die entgeltliche oder unentgeltliche Bereitstellung gegenüber Endnutzern.

Eine App kann mehrere dieser Leistungsformen verbinden. Beispielsweise kann ein Unternehmen eine Anwendung individuell entwickeln lassen und ihren Betrieb anschließend einem anderen Dienstleister übertragen. Gegenüber Verbrauchern kann dieselbe Anwendung Bestandteil eines Abonnements sein.

Die Bezeichnung als „kostenlos“ klärt die Rechtslage nicht abschließend. Auch ohne Geldzahlung können vertragliche Pflichten bestehen. Datenschutzrechtliche Anforderungen hängen ohnehin nicht davon ab, ob für die Nutzung ein Preis verlangt wird.

Beteiligte und Verantwortungsbereiche

Rechtlich bestehen häufig mehrere voneinander zu unterscheidende Vertragsverhältnisse. Der Entwicklungsvertrag zwischen Unternehmen und Agentur ist nicht mit dem Nutzungsvertrag zwischen Anbieter und Endnutzer gleichzusetzen. Hinzu kommen Vereinbarungen mit Plattformen, Hostingunternehmen, Zahlungsdienstleistern und Anbietern eingebundener Softwarekomponenten.

Diese Trennung ist wesentlich: Wer gegenüber Nutzern eine Funktion schuldet, wird nicht bereits dadurch von seinen Pflichten frei, dass ein externer Dienstleister die technische Ursache einer Störung gesetzt hat. Bei Schadensersatzansprüchen kann insbesondere die Zurechnung fremden Verschuldens nach § 278 BGB relevant werden. Sie setzt voraus, dass die gesetzlichen Voraussetzungen, insbesondere der Einsatz der betreffenden Person zur Erfüllung einer eigenen Verbindlichkeit, vorliegen.

Auch Bezeichnungen wie „Entwickler“ und „Betreiber“ entscheiden nicht abschließend über gesetzliche Pflichten. Im Datenschutzrecht kommt es insbesondere darauf an, wer über Zwecke und Mittel einer Verarbeitung personenbezogener Daten entscheidet. Ein Unternehmen kann dabei für unterschiedliche Verarbeitungsvorgänge verschiedene Rollen einnehmen.

Entwicklungsvertrag: Leistung, Abnahme und Vergütung

Werkvertrag oder Dienstvertrag?

Wird die Herstellung einer funktionsfähigen, nach bestimmten Anforderungen individualisierten App geschuldet, kommt ein Werkvertrag nach § 631 BGB in Betracht. Maßgeblich ist der vereinbarte Erfolg. Beschränkt sich die Leistung dagegen auf Beratung, Unterstützung oder die Bereitstellung von Arbeitskapazität ohne bestimmten Herstellungserfolg, kann Dienstvertragsrecht nach § 611 BGB einschlägig sein.

Diese Gegenüberstellung erfasst allerdings nicht sämtliche Konstellationen. Bei der Überlassung von Software können auch kaufrechtliche oder mietrechtliche Regeln einschlägig sein. Bei Verträgen über die Lieferung herzustellender beweglicher Sachen ist § 650 BGB zu berücksichtigen; ob dessen Voraussetzungen bei der konkreten Softwareleistung erfüllt sind, bedarf einer gesonderten Einordnung. Bei Verbraucherverträgen können zudem die besonderen Vorschriften über digitale Produkte maßgeblich sein.

Die Vertragsüberschrift ist nicht ausschlaggebend. Auch die Abrechnung nach Stunden macht einen Vertrag nicht automatisch zum Dienstvertrag. Umgekehrt begründet die Erwähnung eines Projektziels allein noch keine Verpflichtung zur Herstellung einer vollständig einsatzfähigen Anwendung.

Bei agilen Projekten ist die Einordnung besonders sorgfältig vorzunehmen. Die Arbeit in kurzen Entwicklungsabschnitten schließt einen Werkvertrag nicht aus. Entscheidend ist unter anderem, ob das Gesamtprojekt oder einzelne Abschnitte einen hinreichend bestimmbaren, überprüfbaren Erfolg zum Gegenstand haben.

Leistungsbeschreibung und Änderungsmanagement

Eine belastbare Leistungsbeschreibung sollte Funktionen, unterstützte Betriebssysteme, Schnittstellen, Sicherheitsanforderungen und die erforderliche Dokumentation erfassen. Ebenso wichtig sind nichtfunktionale Anforderungen, beispielsweise an Reaktionszeiten, Belastbarkeit und Zugänglichkeit.

Unbestimmte Formulierungen wie „marktübliche Qualität“ oder „vollständige App“ können erhebliche Auslegungsfragen auslösen. Besser überprüfbar sind festgelegte Nutzungsszenarien und konkrete Prüfkriterien. Dabei ist zwischen einem Fehler der geschuldeten Leistung und einer nachträglich gewünschten Erweiterung zu unterscheiden.

Für Änderungen empfiehlt sich ein nachvollziehbares Verfahren: Wer darf Anforderungen ändern? Welche Auswirkungen auf Preis und Zeitplan sind vor der Umsetzung zu vereinbaren? Wie werden Abhängigkeiten von Drittanbietern behandelt? Ohne entsprechende Festlegungen können Auseinandersetzungen darüber entstehen, ob zusätzlicher Aufwand bereits durch die ursprüngliche Vergütung abgedeckt ist.

Auch die Rangfolge der Vertragsunterlagen sollte geklärt werden. Widersprechen sich Angebot, Leistungsbeschreibung und allgemeine Vertragsbedingungen, ist durch Auslegung zu bestimmen, welche Vereinbarung maßgeblich ist. Individuelle Vertragsabreden haben nach § 305b BGB Vorrang vor Allgemeinen Geschäftsbedingungen.

Abnahme und Mitwirkung

Soweit Werkvertragsrecht gilt, hat die Abnahme nach § 640 BGB erhebliche Bedeutung. Sie ist grundsätzlich Voraussetzung für die Fälligkeit der Vergütung nach § 641 BGB und kann die Beweislast sowie den Beginn der Verjährung von Mängelansprüchen beeinflussen. Wegen unwesentlicher Mängel darf die Abnahme nach § 640 Abs. 1 BGB nicht verweigert werden.

Eine Veröffentlichung im App-Store ist nicht stets mit einer rechtsgeschäftlichen Abnahme gleichzusetzen. Ob darin eine schlüssige Billigung als im Wesentlichen vertragsgemäße Leistung liegt, hängt von den Umständen ab. Daneben kann unter den Voraussetzungen des § 640 Abs. 2 BGB eine Abnahmefiktion eintreten. Gegenüber Verbrauchern bestehen hierfür besondere Hinweisanforderungen.

Ein geregeltes Prüfverfahren mit dokumentierten Ergebnissen vermindert Unsicherheiten. Werden bei der Abnahme bekannte Mängel festgestellt, kann ein Vorbehalt wegen § 640 Abs. 3 BGB für den Erhalt bestimmter Mängelrechte erforderlich sein.

Der Auftraggeber muss häufig Testzugänge, Inhalte, technische Informationen oder Entscheidungen bereitstellen. Unterbleibt eine erforderliche Mitwirkung, können sich daraus bei Vorliegen der jeweiligen Voraussetzungen Folgen nach §§ 642, 643 BGB ergeben. Nicht jede Verzögerung rechtfertigt jedoch automatisch eine Verlängerung sämtlicher Termine oder jede verlangte Mehrvergütung.

Urheberrecht, Quellcode und fremde Komponenten

Schutzfähigkeit und Rechtekette

Computerprogramme sind unter den Voraussetzungen des § 69a UrhG urheberrechtlich geschützt. Der Schutz erfasst die Ausdrucksformen eines Programms, nicht die zugrunde liegenden Ideen und Grundsätze als solche. Grafiken, Texte, Musik und weitere Gestaltungselemente können unabhängig davon geschützt sein, wenn ihre jeweiligen Schutzvoraussetzungen erfüllt sind.

Wer eine App bezahlt, erhält nicht allein deshalb sämtliche urheberrechtlichen Befugnisse. Das Urheberrecht ist nach § 29 UrhG grundsätzlich nicht übertragbar; das Gesetz lässt insbesondere erbrechtliche Ausnahmen zu. Für die wirtschaftliche Nutzung werden regelmäßig Nutzungsrechte eingeräumt. Deren Umfang richtet sich insbesondere nach § 31 UrhG und der getroffenen Vereinbarung. Fehlt eine ausdrückliche Bestimmung, kann der Vertragszweck nach § 31 Abs. 5 UrhG maßgeblich sein.

Für Programme, die Arbeitnehmer in Wahrnehmung ihrer Aufgaben oder nach Anweisung ihres Arbeitgebers schaffen, enthält § 69b UrhG eine besondere Regelung: Vorbehaltlich anderer Vereinbarungen ist der Arbeitgeber ausschließlich zur Ausübung der vermögensrechtlichen Befugnisse berechtigt. Für freie Mitarbeiter besteht keine entsprechende allgemeine gesetzliche Zuordnung.

Ein Entwicklungsunternehmen muss daher sicherstellen, dass es die gegenüber dem Auftraggeber versprochenen Nutzungsrechte tatsächlich einräumen darf. Diese Rechtekette sollte auch Unterauftragnehmer und vorbestehende Komponenten erfassen.

Quellcodezugang und Bearbeitungsbefugnisse

Die Lieferung einer ausführbaren Anwendung ist nicht zwingend mit der Herausgabe des Quellcodes verbunden. Ob eine Herausgabepflicht besteht, richtet sich insbesondere nach dem Vertrag und dessen Auslegung. Ebenso beantwortet ein allgemeines Nutzungsrecht nicht abschließend, in welchem Umfang der Auftraggeber die Software durch Dritte verändern oder weiterentwickeln lassen darf.

Vertraglich sollten insbesondere geregelt werden:

• Inhalt, Ausschließlichkeit sowie zeitliche und räumliche Reichweite der Nutzungsrechte;
• Bearbeitung und Weiterentwicklung durch eigene Mitarbeiter oder andere Dienstleister;
• Übergabe von Quellcode, Build-Anleitungen und technischer Dokumentation;
• Rechte an vorbestehenden Modulen und projektspezifischen Erweiterungen;
• Zugang zu Repositorien, Signierschlüsseln und Veröffentlichungszugängen.

Bei technischen Konten und Schlüsseln sind zusätzlich Plattformbedingungen und Sicherheitsanforderungen zu berücksichtigen. Nicht jeder Zugang lässt sich beliebig auf einen anderen Rechtsträger übertragen.

Gesetzliche Befugnisse aus §§ 69d, 69e UrhG können hinzutreten, etwa für bestimmte notwendige Nutzungshandlungen oder unter engen Voraussetzungen zur Herstellung von Interoperabilität. Sie begründen jedoch kein allgemeines Recht auf vollständige Herausgabe sämtlicher Entwicklungsunterlagen.

Open Source und Geschäftsgeheimnisse

Open-Source-Software ist nicht rechtefrei. Ihre Nutzung richtet sich nach der jeweiligen Lizenz. Abhängig von Lizenztext, Nutzungshandlung und Integrationsform können Hinweispflichten, Pflichten zur Beigabe von Lizenztexten oder zur Bereitstellung von Quellcode entstehen. Die pauschale Aussage, jede Open-Source-Komponente verlange die Offenlegung der gesamten App, wäre unzutreffend.

Erforderlich ist eine nachvollziehbare Prüfung der tatsächlich verwendeten Komponenten und ihrer Lizenzbedingungen. Auch die Art der Weitergabe oder Bereitstellung kann entscheidend sein. Entsprechende Prüfungen sind bei kommerziellen Bibliotheken, Schriftarten und Bildmaterial notwendig.

Nicht veröffentlichte Algorithmen, technische Konzepte oder Zugangsdaten können Geschäftsgeheimnisse im Sinne von § 2 Nr. 1 GeschGehG sein. Dafür müssen sämtliche gesetzlichen Voraussetzungen vorliegen. Hierzu gehören insbesondere ein wirtschaftlicher Wert aufgrund der Geheimhaltung, angemessene Geheimhaltungsmaßnahmen und ein berechtigtes Geheimhaltungsinteresse.

Vertraulichkeitsklauseln allein gewährleisten den Schutz nicht in jedem Fall. Tatsächliche Zugriffsbeschränkungen, dokumentierte Berechtigungen und ein angemessener Umgang mit vertraulichen Entwicklungsunterlagen sind ebenfalls bedeutsam.

Datenschutz und Zugriff auf mobile Endgeräte

Personenbezogene Daten und Rechtsgrundlagen

Mobile Anwendungen verarbeiten häufig Kontodaten, Gerätekennungen, Standortinformationen oder Nutzungsverhalten. Ob personenbezogene Daten vorliegen, beurteilt sich nach Art. 4 Nr. 1 DSGVO. Eine Ersetzung des Namens durch eine Kennziffer beseitigt den Personenbezug nicht notwendig. Pseudonymisierte Daten können weiterhin der DSGVO unterliegen.

Soweit die DSGVO anwendbar ist, benötigt jede Verarbeitung personenbezogener Daten eine tragfähige Rechtsgrundlage. In Betracht kommen insbesondere die Erforderlichkeit zur Vertragserfüllung, rechtliche Verpflichtungen, berechtigte Interessen oder eine Einwilligung nach Art. 6 Abs. 1 DSGVO. Die bloße Aufnahme einer Verarbeitung in Nutzungsbedingungen macht sie nicht zur notwendigen Vertragserfüllung.

Bei einer Interessenabwägung sind auch vernünftige Erwartungen der Betroffenen, Eingriffsintensität und mögliche Schutzmaßnahmen zu berücksichtigen. Eine Einwilligung muss die Voraussetzungen insbesondere der Art. 4 Nr. 11 und Art. 7 DSGVO erfüllen. Sie kann eine Verarbeitung nicht pauschal von den übrigen Datenschutzgrundsätzen befreien.

Für Gesundheitsdaten und andere besondere Kategorien personenbezogener Daten müssen zusätzlich die Anforderungen des Art. 9 DSGVO erfüllt sein. Eine Fitnessfunktion verarbeitet nicht zwangsläufig Gesundheitsdaten; maßgeblich ist insbesondere, ob die Informationen Aussagen über den körperlichen oder geistigen Gesundheitszustand enthalten oder ermöglichen.

Endeinrichtungszugriff und Einwilligung

§ 25 TDDDG regelt das Speichern von Informationen in Endeinrichtungen und den Zugriff auf dort bereits gespeicherte Informationen. Die Vorschrift ist nicht auf klassische Internetcookies beschränkt und setzt keinen Personenbezug der Informationen voraus.

Grundsätzlich ist eine Einwilligung erforderlich. Ausnahmen bestehen nach § 25 Abs. 2 TDDDG insbesondere für bestimmte Übertragungsvorgänge und bei unbedingter Erforderlichkeit, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen. Die bloße wirtschaftliche Nützlichkeit einer Funktion genügt für diese Ausnahme nicht.

Ob eine Analysefunktion, Werbekennung oder eingebundene Bibliothek einwilligungsbedürftige Vorgänge auslöst, muss anhand ihrer tatsächlichen Arbeitsweise geprüft werden. Nicht jede technische Funktion einer App beinhaltet automatisch einen von § 25 TDDDG erfassten Zugriff.

Die Berechtigungsabfrage des Betriebssystems ersetzt nicht automatisch eine wirksame Einwilligung. Erforderlich sind unter anderem ausreichende Informationen, Freiwilligkeit und hinreichend bestimmte Zwecke. Endgerätezugriff und anschließende Verarbeitung personenbezogener Daten sind rechtlich getrennt zu beurteilen. Eine zulässige Speicherung nach § 25 TDDDG schafft nicht ohne Weiteres eine Rechtsgrundlage nach Art. 6 DSGVO.

Dienstleister, Transparenz und internationale Übermittlung

Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag des Anbieters, ist bei Vorliegen einer Auftragsverarbeitung Art. 28 DSGVO zu beachten. Entscheiden Beteiligte gemeinsam über Zwecke und Mittel, kann Art. 26 DSGVO einschlägig sein. Auch eine eigenständige Verantwortlichkeit des Dienstleisters kommt in Betracht.

Diese Rollen dürfen nicht allein nach der bevorzugten Vertragsbezeichnung vergeben werden. Entscheidend sind die tatsächlichen Aufgaben, Entscheidungsbefugnisse und Datenflüsse. Ein bloßer Softwarelieferant wird nicht schon deshalb Auftragsverarbeiter, weil sein Programm personenbezogene Daten verarbeitet. Anders kann dies etwa bei Hosting oder einem Supportzugriff auf personenbezogene Daten liegen.

Informationspflichten ergeben sich insbesondere aus Art. 13 und Art. 14 DSGVO. Die Gestaltung muss außerdem Art. 12 DSGVO entsprechen. Hinweise müssen insbesondere verständlich, leicht zugänglich und inhaltlich zutreffend sein; ihre Bereitstellung darf nicht erst zu einem beliebigen Zeitpunkt nach Beginn der Verarbeitung erfolgen.

Bei Übermittlungen in Drittländer sind zusätzlich Art. 44 ff. DSGVO zu prüfen. Ein Fernzugriff durch einen dort ansässigen gesonderten Empfänger kann eine solche Übermittlung darstellen. Der Standort des Hauptservers beantwortet die Übermittlungsfrage deshalb nicht abschließend. Die konkret verwendete Übermittlungsgrundlage muss für den jeweiligen Empfänger und Verarbeitungsvorgang tragfähig sein.

Sicherheit und laufender Betrieb

Datenschutz durch Technikgestaltung

Art. 25 DSGVO verpflichtet den Verantwortlichen zu Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. Datenschutz ist deshalb keine bloße Dokumentationsaufgabe unmittelbar vor Veröffentlichung. Externe Entwickler sind nicht allein aufgrund ihrer Programmierleistung unmittelbare Adressaten sämtlicher Verantwortlichenpflichten; entsprechende Anforderungen sollten jedoch in die Leistungsvereinbarung einfließen.

Praktisch betrifft dies etwa Datenminimierung, begrenzte Zugriffsrechte, Löschkonzepte und die Trennung von Test- und Produktivdaten. Für Tests dürfen echte Kundendaten nicht ohne Prüfung der Rechtsgrundlage, Erforderlichkeit und Schutzmaßnahmen verwendet werden. Auch Protokolldateien unterliegen den Datenschutzanforderungen, soweit sie personenbezogene Informationen enthalten.

Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter zu einem dem Risiko angemessenen Sicherheitsniveau. Welche Maßnahmen erforderlich sind, hängt unter anderem vom Stand der Technik, den Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung ab. Maßgeblich sind die Risiken für die Rechte und Freiheiten natürlicher Personen.

Die Vorschrift verlangt keine absolute Sicherheit. Umgekehrt rechtfertigt der Hinweis auf technische Restrisiken nicht den Verzicht auf angemessene Schutzmaßnahmen oder deren regelmäßige Überprüfung.

Wartung und Verantwortungsübergang

Der rechtliche Lebenszyklus endet nicht mit der ersten Veröffentlichung. Betriebssystemänderungen, Sicherheitslücken in Bibliotheken oder abgeschaltete Schnittstellen können eine zuvor funktionierende App beeinträchtigen.

Entwicklungsvertrag, Wartungsvertrag und Betreiberpflichten sollten deshalb aufeinander abgestimmt werden. Nicht jede später notwendige Anpassung ist bereits als unentgeltliche Mängelbeseitigung geschuldet. Umgekehrt lässt sich eine gesetzlich oder vertraglich bestehende Aktualisierungspflicht nicht allein durch die Bezeichnung als „Zusatzleistung“ beseitigen.

Zu regeln sind insbesondere Störungsmeldung, Priorisierung, Reaktionszeiten, Datensicherung und Zuständigkeiten bei Sicherheitsvorfällen. Reaktionszeit und Wiederherstellungszeit sollten unterschieden werden: Eine schnelle Bestätigung der Meldung besagt noch nichts über den Zeitpunkt der Fehlerbehebung.

Beim Dienstleisterwechsel sind Datenexport, Löschung verbleibender Kopien, Lizenzfortbestand und technische Zugriffsmöglichkeiten zu klären. Die Beendigung eines Wartungsvertrags entbindet den App-Anbieter nicht automatisch von fortbestehenden Verpflichtungen gegenüber Nutzern.

Verbraucherverträge, Anbieterpflichten und Barrierefreiheit

Digitale Produkte nach dem BGB

Bei Verbraucherverträgen über digitale Inhalte oder digitale Dienstleistungen sind §§ 327 ff. BGB von zentraler Bedeutung, sofern ihr Anwendungsbereich eröffnet ist. Nach § 327 Abs. 3 BGB können sie auch eingreifen, wenn Verbraucher personenbezogene Daten bereitstellen oder deren Bereitstellung zusagen.

Ausgenommen sind insbesondere Konstellationen, in denen der Unternehmer die Daten ausschließlich zur Erfüllung seiner Leistungspflicht oder zur Erfüllung rechtlicher Anforderungen verarbeitet und nicht zu anderen Zwecken nutzt. Darüber hinaus sind die weiteren gesetzlichen Bereichsausnahmen zu beachten. Bei Apps, die Bestandteil eines Produkts mit digitalen Elementen sind, kann eine abweichende kaufrechtliche Einordnung erforderlich sein.

Eine als kostenlos beworbene App ist daher nicht notwendig außerhalb des Verbrauchervertragsrechts angesiedelt. Umgekehrt begründet nicht jede technisch anfallende Datenverarbeitung einen Anwendungsfall der §§ 327 ff. BGB. Ein entsprechender Verbrauchervertrag muss vorliegen.

Die Vertragsmäßigkeit digitaler Produkte richtet sich insbesondere nach §§ 327d ff. BGB. Neben vereinbarten Funktionen spielen objektive Anforderungen und Integrationsanforderungen eine Rolle. § 327f BGB regelt die Bereitstellung erforderlicher Aktualisierungen einschließlich Sicherheitsaktualisierungen und die Information hierüber. Bei dauerhafter Bereitstellung ist grundsätzlich der Bereitstellungszeitraum maßgeblich; in anderen Fällen kommt es auf den gesetzlich bestimmten Erwartungszeitraum an.

Abschluss, Widerruf und Kündigung

Bei Fernabsatzverträgen sind im jeweiligen Anwendungsbereich Informationspflichten nach § 312d BGB in Verbindung mit Art. 246a EGBGB zu beachten. Für elektronische Vertragsabschlüsse können außerdem § 312i BGB und § 312j BGB einschlägig sein.

Bei einer zahlungspflichtigen Bestellung muss insbesondere die Bestellsituation den Anforderungen des § 312j Abs. 3 BGB entsprechen. Wird eine Schaltfläche verwendet, muss ihre Beschriftung die Zahlungspflicht eindeutig erkennen lassen. Bei einem Verstoß gegen diese Bestätigungspflicht kommt nach § 312j Abs. 4 BGB der betreffende Vertrag nicht zustande. Auch auf einem kleinen Bildschirm müssen die gesetzlich geforderten Informationen ordnungsgemäß dargestellt werden.

Ein Widerrufsrecht entfällt bei digitalen Angeboten nicht pauschal mit dem Download. Für ein vorzeitiges Erlöschen gelten die differenzierten Voraussetzungen des § 356 BGB. Bei digitalen Inhalten, die nicht auf einem körperlichen Datenträger bereitgestellt werden, gelten andere Regeln als bei Dienstleistungen. Je nach Vertragsart und Zahlungspflicht können eine ausdrückliche Zustimmung zum vorzeitigen Leistungsbeginn, eine Kenntnisbestätigung und weitere Voraussetzungen erforderlich sein.

§ 312k BGB sieht für bestimmte über eine Webseite abschließbare entgeltliche Dauerschuldverhältnisse einen Kündigungsmechanismus vor. Die Vorschrift ist nicht ohne Prüfung ihres Wortlauts und ihrer Ausnahmen auf jede ausschließlich appbasierte Vertragsgestaltung übertragbar. Bei kombinierten App- und Webseitenangeboten muss insbesondere geklärt werden, über welchen Weg der betreffende Vertrag abgeschlossen werden kann.

Impressum, Werbung und Zugänglichkeit

Für geschäftsmäßige, in der Regel gegen Entgelt angebotene digitale Dienste enthält § 5 DDG allgemeine Informationspflichten. Auch ein für Nutzer unentgeltliches, beispielsweise wirtschaftlich anderweitig finanziertes Angebot kann darunter fallen. Die erforderlichen Anbieterinformationen müssen leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein.

Werbung muss insbesondere die Grenzen des UWG beachten. Irreführende Funktionsversprechen können ebenso problematisch sein wie eine unzureichende Kennzeichnung des kommerziellen Zwecks. Bei werblichen Nachrichten ist § 7 UWG zu prüfen. Welche Anforderungen gelten, hängt unter anderem vom Kommunikationskanal, dem Adressatenkreis und möglichen gesetzlichen Ausnahmen ab.

Die Anforderungen des BFSG sind für die von seinem Anwendungsbereich erfassten Produkte und Dienstleistungen nach Maßgabe der gesetzlichen Anwendungs- und Übergangsregelungen seit dem 28. Juni 2025 relevant. Für Apps kann insbesondere die Bereitstellung von Dienstleistungen im elektronischen Geschäftsverkehr gegenüber Verbrauchern erfasst sein. Auch andere im BFSG genannte Dienstleistungskategorien können einschlägig werden.

Nicht jede App unterliegt deshalb dem BFSG. Kleinstunternehmen, die Dienstleistungen anbieten oder erbringen, sind unter den Voraussetzungen des § 3 Abs. 3 BFSG ausgenommen. Weitere Ausnahmen, etwa wegen einer grundlegenden Veränderung oder unverhältnismäßigen Belastung, setzen eine gesonderte Prüfung voraus. Öffentliche Stellen unterliegen daneben eigenen bundes- oder landesrechtlichen Anforderungen an die Barrierefreiheit.

Rechtsprechungslinien und ihre Bedeutung für Apps

Einwilligung muss aktiv und informiert erfolgen

Der Gerichtshof der Europäischen Union hat im Urteil vom 1. Oktober 2019, C-673/17, „Planet49“, Anforderungen an die Einwilligung bei der Speicherung beziehungsweise dem Abruf von Informationen mittels Cookies konkretisiert. Eine voreingestellte Auswahl, die erst abgewählt werden muss, genügt nicht. Zu den erforderlichen Informationen gehören nach der Entscheidung auch Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff erhalten können.

Der Bundesgerichtshof hat diese Linie im Urteil vom 28. Mai 2020, I ZR 7/16, „Cookie-Einwilligung II“, im damaligen deutschen Rechtsrahmen aufgegriffen.

Die Entscheidungen betreffen weder § 25 TDDDG in seiner heutigen Bezeichnung noch jede App-Technik unmittelbar. Ihre Aussagen zur aktiven, informierten Entscheidung sind jedoch auch für die Gestaltung mobiler Einwilligungsoberflächen bedeutsam. Soweit eine Einwilligung erforderlich ist, genügt ein vorab aktivierter Schalter nicht als zustimmende Handlung.

Datenschutzverstoß und Schadensersatz sind zu trennen

Nach dem Urteil des Gerichtshofs der Europäischen Union vom 4. Mai 2023, C-300/21, „Österreichische Post“, setzt ein Schadensersatzanspruch aus Art. 82 DSGVO einen Verstoß, einen Schaden und einen ursächlichen Zusammenhang zwischen beiden voraus. Der bloße Verstoß allein begründet keinen Ersatzanspruch. Für immaterielle Schäden darf andererseits keine zusätzliche Erheblichkeitsschwelle verlangt werden.

Damit sind die Voraussetzungen eines Anspruchs noch nicht in jeder Hinsicht abschließend beschrieben. Insbesondere ist auch die Verantwortlichkeit nach Art. 82 DSGVO zu berücksichtigen. Ein konkreter Anspruch bedarf einer Prüfung der tatsächlichen Umstände und der einschlägigen Beweisregeln.

Für App-Anbieter folgt daraus eine differenzierte Risikobewertung: Nicht jeder formale Fehler führt automatisch zu einer Zahlungspflicht gegenüber jedem Nutzer. Materielle oder immaterielle Schäden dürfen aber auch nicht allein wegen einer vermeintlich geringen Intensität pauschal ausgeschlossen werden.

Keine einheitliche Sonderrechtsprechung für sämtliche Apps

Viele Streitigkeiten werden nach allgemeinen Grundsätzen des Vertrags-, Urheber- und Datenschutzrechts entschieden. Ein Urteil über Standardsoftware, eine Internetplattform oder ein bestimmtes Trackingverfahren lässt sich deshalb nicht ungeprüft auf jede mobile Anwendung übertragen.

Entscheidend bleiben die konkrete Leistungszusage, die technische Umsetzung, der maßgebliche rechtliche Zeitraum und die jeweilige Anspruchsgrundlage. Gerade bei gemischten Entwicklungs- und Betriebsverträgen kann dieselbe technische Störung in verschiedenen Vertragsverhältnissen unterschiedliche Rechtsfolgen auslösen.

Hinzu kommt, dass eine Entscheidung auf einer inzwischen geänderten Vorschrift beruhen kann. Ihre rechtliche Begründung muss daher von der Frage getrennt werden, welche Norm heute auf den konkreten Sachverhalt anzuwenden ist.

Typische Fallkonstellationen und besondere Regulierungsbereiche

Gescheitertes Entwicklungsprojekt

Erwartet ein Auftraggeber eine unmittelbar veröffentlichungsfähige App, während das Entwicklungsunternehmen lediglich einen Prototyp erstellen will, stehen Vertragsauslegung und Beweisfragen im Vordergrund.

Angebote, Präsentationen, Nachrichten, Aufgabenlisten und freigegebene Zwischenstände können für die Auslegung nach §§ 133, 157 BGB bedeutsam sein. Fehlt eine eindeutige Leistungsbeschreibung, wird dadurch nicht automatisch jede Erwartung des Auftraggebers zur geschuldeten Beschaffenheit. Ebenso wenig kann sich der Entwickler allein auf nicht mitgeteilte interne Vorstellungen berufen.

Davon zu unterscheiden ist die Frage, wie das Vertragsverhältnis beendet werden kann und welche Vergütung verbleibt. Kündigung, Rücktritt und einvernehmliche Aufhebung haben unterschiedliche Voraussetzungen und Folgen. Ein erfolgloses Projekt bedeutet deshalb nicht notwendig, dass sämtliche bisherigen Zahlungen zurückzugewähren sind oder sämtliche offenen Rechnungen bezahlt werden müssen.

Ablehnung durch einen App-Store

Technische Funktionsfähigkeit garantiert keine Zulassung durch eine Plattform. Deren Bedingungen können zusätzliche Anforderungen an Inhalte, Zahlungen oder Datenschutzangaben stellen.

Ob eine Ablehnung einen Mangel der Entwicklungsleistung begründet, hängt insbesondere davon ab, ob Veröffentlichungsfähigkeit für die betreffende Plattform geschuldet war und welche Ursache die Ablehnung hat. Nachträgliche Regeländerungen können anders zu bewerten sein als die Nichtbeachtung bereits bei Vertragsschluss maßgeblicher Anforderungen. Entscheidend bleibt die vertragliche Risikoverteilung.

Eine Plattformfreigabe ersetzt umgekehrt keine Prüfung der gesetzlichen Zulässigkeit. Ebenso wenig beseitigt die Einhaltung von Plattformbedingungen mögliche Ansprüche der Nutzer oder datenschutzrechtliche Pflichten des Anbieters.

Gesundheits-, Finanz- und Kinderangebote

Bei Gesundheitsanwendungen kann insbesondere eine medizinische Zweckbestimmung zur Einordnung als Medizinprodukt nach der Verordnung (EU) 2017/745 führen. Software ist jedoch nicht bereits deshalb ein Medizinprodukt, weil sie im Gesundheitsbereich eingesetzt wird. Maßgeblich sind die gesetzlichen Definitionen, die Funktionen und die vom Hersteller festgelegte Zweckbestimmung.

Finanzfunktionen können aufsichtsrechtliche Erlaubnisfragen aufwerfen, beispielsweise bei Zahlungsdiensten oder bestimmten Anlageleistungen. Ob der App-Anbieter selbst eine regulierte Tätigkeit ausübt oder lediglich technische Leistungen für einen anderen Anbieter erbringt, bedarf einer gesonderten Prüfung. Die Bezeichnung als technische Plattform entscheidet diese Frage nicht.

Bei Angeboten für Minderjährige sind unter anderem Geschäftsfähigkeit, Jugendschutz und Datenschutz zu beachten. Art. 8 DSGVO betrifft bestimmte auf Einwilligung gestützte Verarbeitungen bei unmittelbar an Kinder gerichteten Diensten der Informationsgesellschaft. Daraus folgt keine einheitliche Altersgrenze für jede Nutzung jeder App. Auch eine datenschutzrechtlich wirksame Zustimmung beantwortet nicht automatisch die Frage nach der zivilrechtlichen Wirksamkeit des Nutzungsvertrags.

Rechtsfolgen, Haftung und wirtschaftliche Risiken

Mängelrechte und Schadensersatz

Bei einem mangelhaften Werk richten sich die Rechte des Bestellers grundsätzlich nach § 634 BGB. In Betracht kommen Nacherfüllung, Selbstvornahme und Aufwendungsersatz, Rücktritt, Minderung sowie Schadensersatz oder Ersatz vergeblicher Aufwendungen.

Nicht jede Rechtsfolge kann sofort und voraussetzungslos verlangt werden. Häufig muss zunächst Gelegenheit zur Nacherfüllung gegeben werden; in gesetzlich geregelten Fällen kann eine Fristsetzung entbehrlich sein. Auch der Leistungsstand, insbesondere die Frage einer bereits erfolgten Abnahme, kann für die anwendbaren Rechte bedeutsam sein.

Schadensersatz wegen einer Pflichtverletzung richtet sich insbesondere nach §§ 280 ff. BGB. Die weiteren Voraussetzungen hängen von der Anspruchsart ab. Ein technischer Fehler begründet nicht ohne Prüfung eine Ersatzpflicht für sämtliche wirtschaftlichen Nachteile.

Bei Verbraucherverträgen über digitale Produkte gelten im Anwendungsbereich die besonderen Rechtsbehelfe der §§ 327i ff. BGB. Diese dürfen nicht schematisch durch die Regeln des Entwicklungsvertrags zwischen Unternehmern ersetzt werden.

Datenschutz- und Urheberrechtsverstöße

Datenschutzverstöße können insbesondere aufsichtsbehördliche Maßnahmen nach Art. 58 DSGVO und Geldbußen nach Art. 83 DSGVO auslösen. Hinzu kommen gegebenenfalls individuelle Ansprüche. Ob und in welcher Höhe eine Geldbuße verhängt wird, richtet sich nach den gesetzlichen Voraussetzungen und Zumessungskriterien, nicht allein nach der Nutzerzahl.

Bei unberechtigter Nutzung geschützter Software oder anderer Inhalte kommen insbesondere Ansprüche nach § 97 UrhG in Betracht. Für Schadensersatz ist grundsätzlich vorsätzliches oder fahrlässiges Handeln erforderlich; der Unterlassungsanspruch setzt dagegen nicht in gleicher Weise ein Verschulden voraus. Fehlende Nutzungsrechte können zudem die rechtmäßige Weiterentwicklung oder Verwertung der Anwendung beeinträchtigen.

Vertragliche Haftungsbegrenzungen unterliegen gesetzlichen Grenzen. Die Haftung wegen Vorsatzes kann nach § 276 Abs. 3 BGB nicht im Voraus erlassen werden. Bei Allgemeinen Geschäftsbedingungen sind insbesondere §§ 305 ff. BGB zu beachten. Im unternehmerischen Verkehr gelten die Besonderheiten des § 310 BGB; eine Inhaltskontrolle nach § 307 BGB bleibt möglich. Pauschale Haftungsausschlüsse sind deshalb keine verlässliche Lösung.

Verfahren, Nachweise und Fristen

Mängel dokumentieren und Ansprüche sichern

Bei Funktionsstörungen sollte nachvollziehbar festgehalten werden, unter welchen Bedingungen der Fehler auftritt. Relevant sind App-Version, Betriebssystem, betroffene Funktion, Zeitpunkt und reproduzierbare Arbeitsschritte. Bildschirmaufnahmen und Protokolle können hilfreich sein, müssen aber ihrerseits datenschutzkonform erhoben, verwendet und weitergegeben werden.

Eine Mängelanzeige sollte den Fehler konkret beschreiben und, soweit für den beabsichtigten Rechtsbehelf erforderlich, mit einer angemessenen Frist zur Abhilfe verbunden werden. Welche Frist angemessen ist, hängt insbesondere von Schwere, Komplexität und Dringlichkeit ab. Eine universelle gesetzliche Standardfrist für jede App-Störung existiert nicht.

Die Verjährung ist nach Anspruchsgrundlage und Vertragstyp zu bestimmen. § 634a BGB enthält werkvertragliche Regelungen, § 327j BGB besondere Vorgaben für digitale Produkte. Daneben können die allgemeinen §§ 195, 199 BGB einschlägig sein. Beginn, Hemmung und zulässige vertragliche Änderungen sind gesondert zu prüfen.

Eine bloße Mängelanzeige hemmt die Verjährung nicht automatisch. Verhandlungen können unter den Voraussetzungen des § 203 BGB, bestimmte Rechtsverfolgungsmaßnahmen unter den Voraussetzungen des § 204 BGB eine Hemmung bewirken.

Datenschutzvorfälle und Betroffenenanträge

Eine Verletzung des Schutzes personenbezogener Daten ist vom Verantwortlichen nach Art. 33 Abs. 1 DSGVO unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde zu melden. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung nicht innerhalb von 72 Stunden, ist die Verzögerung zu begründen.

Die Frist ist kein allgemeiner Aufschub, der unabhängig von den Umständen vollständig ausgeschöpft werden darf. Fehlende Einzelinformationen können unter den Voraussetzungen des Art. 33 Abs. 4 DSGVO schrittweise nachgereicht werden. Datenschutzverletzungen sind nach Art. 33 Abs. 5 DSGVO zu dokumentieren.

Auftragsverarbeiter müssen den Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich nach Bekanntwerden informieren. Eine unverzügliche Benachrichtigung betroffener Personen ist nach Art. 34 DSGVO grundsätzlich bei voraussichtlich hohem Risiko erforderlich; die dort geregelten Ausnahmen sind zu beachten.

Bei Anträgen nach Art. 15 bis Art. 22 DSGVO muss der Verantwortliche nach Art. 12 Abs. 3 DSGVO unverzüglich, spätestens innerhalb eines Monats nach Eingang, über die ergriffenen Maßnahmen informieren. Eine Verlängerung um zwei weitere Monate ist unter den gesetzlichen Voraussetzungen möglich. Über die Verlängerung und ihre Gründe muss innerhalb des ersten Monats informiert werden. Wird nicht tätig geworden, gelten die Informationspflichten des Art. 12 Abs. 4 DSGVO.

Gerichtliche und außergerichtliche Durchsetzung

Privatrechtliche Vertragsstreitigkeiten werden grundsätzlich vor den Zivilgerichten ausgetragen, soweit keine wirksame anderweitige Zuständigkeitsregelung, etwa eine Schiedsvereinbarung, eingreift. Bei urheberrechtlichen oder wettbewerbsrechtlichen Konflikten können Abmahnungen und einstweiliger Rechtsschutz relevant werden.

Die Voraussetzungen vorläufigen Rechtsschutzes richten sich nach dem jeweiligen Verfahren. Eine allgemein gültige feste Frist, innerhalb derer jeder App-bezogene Eilantrag gestellt werden müsste, lässt sich nicht angeben. Gleichwohl kann längeres Zuwarten die erforderliche Dringlichkeit infrage stellen.

Technische Streitfragen können sachverständige Begutachtung erfordern. Unter den Voraussetzungen der §§ 485 ff. ZPO kommt ein selbständiges Beweisverfahren in Betracht. Eine Datenschutzbeschwerde nach Art. 77 DSGVO ist hiervon zu unterscheiden und ersetzt nicht ohne Weiteres die zivilgerichtliche Durchsetzung eines Zahlungsanspruchs.

Praktische Handlungsschritte entlang des Entwicklungsprozesses

Vor Projektbeginn

Zunächst sollten Geschäftsmodell, Nutzergruppen und mögliche regulatorische Besonderheiten bestimmt werden. Daraus lassen sich technische und rechtliche Anforderungen ableiten. Datenschutz, Barrierefreiheit und Sicherheit sollten bereits in die Leistungsbeschreibung einfließen, soweit sie für das Projekt relevant sind.

Eine Bestandsaufnahme vorhandener Software, Lizenzen und Datenquellen verringert das Risiko, dass fehlende Rechte oder unzulässige Datenverwendungen zur Projektgrundlage werden. Zugleich sollte feststehen, wer Vertragspartner der späteren Nutzer wird und welche Leistungen dieser Anbieter tatsächlich schuldet.

Auch der geplante Betrieb ist frühzeitig einzubeziehen. Eine technisch fertiggestellte Anwendung kann ohne erforderliche Zugänge, Betriebsressourcen oder rechtmäßig nutzbare Schnittstellen wirtschaftlich nicht wie vorgesehen einsetzbar sein.

Während der Umsetzung

Anforderungen und Änderungen sollten nachvollziehbar dokumentiert werden. Für wesentliche Komponenten empfiehlt sich ein Verzeichnis mit Lizenzbedingungen, Herkunft und Zuständigkeiten für Aktualisierungen.

Datenschutzprüfungen müssen die tatsächlichen Datenflüsse erfassen. Eingebundene Entwicklungsbausteine dürfen nicht allein aufgrund ihrer Produktbeschreibung als unbedenklich gelten. Führt eine geplante Verarbeitung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen, ist nach Art. 35 DSGVO vor Beginn eine Datenschutz-Folgenabschätzung durchzuführen. Ob diese Voraussetzung vorliegt, muss anhand des konkreten Verarbeitungsvorhabens beurteilt werden.

Tests sollten neben der Funktion auch Berechtigungen, Löschvorgänge, Einwilligungsverwaltung und Sicherheitsverhalten abdecken. Festgestellte Abweichungen sind daraufhin zu bewerten, ob sie technische Fehler, vertragliche Mängel oder Verstöße gegen gesetzliche Anforderungen darstellen.

Vor Veröffentlichung und im Betrieb

Vor der Freigabe sollten insbesondere folgende Punkte abgestimmt sein:

• dokumentierter Funktions- und gegebenenfalls Abnahmestand;
• erforderliche Rechte- und Lizenznachweise;
• zutreffende Anbieterinformationen und Datenschutzhinweise;
• gesetzeskonforme Bestell-, Widerrufs- und Kündigungsprozesse im jeweiligen Anwendungsbereich;
• Wartungs-, Sicherheits- und Notfallzuständigkeiten;
• Übergabe, Datenexport und späterer Anbieterwechsel.

Diese Aufstellung ist keine abschließende gesetzliche Prüfliste. Bei regulierten Funktionen oder besonderen Nutzergruppen können zusätzliche Anforderungen bestehen.

Im Betrieb sind Änderungen erneut rechtlich zu bewerten. Ein zunächst datensparsames Angebot kann durch ein später integriertes Werbemodul zusätzliche Einwilligungen oder andere Anpassungen erfordern. Ein Wechsel des Geschäftsmodells kann außerdem weitere verbraucherrechtliche Pflichten auslösen.

Offene Streitfragen und Abgrenzungsprobleme

Agile Entwicklung und dauerhafte Leistungspflichten

Bei agilen Projekten können Umfang und Verbindlichkeit früher Zielbeschreibungen sowie die Abnahmefähigkeit einzelner Arbeitsergebnisse streitig werden. Allgemeine Antworten greifen zu kurz, weil Vertragsinhalt und tatsächliche Zusammenarbeit ineinandergreifen.

Ähnliche Schwierigkeiten bestehen bei der Abgrenzung zwischen ursprünglichem Mangel und späterem Anpassungsbedarf. Eine Änderung des Betriebssystems kann neuen Wartungsbedarf auslösen. Sie kann aber auch zeigen, dass vereinbarte Anforderungen bereits zuvor nicht erfüllt waren. Technische Ursachenanalyse und Vertragsauslegung müssen deshalb zusammengeführt werden.

Für die rechtliche Bewertung ist außerdem zu unterscheiden, ob eine punktuelle Entwicklungsleistung oder eine fortlaufende Bereitstellung geschuldet wird. Dieselbe technische Änderung kann in diesen Vertragsmodellen unterschiedliche Verpflichtungen auslösen.

Aktualisierungen und Daten als Vertragsbestandteil

Die erforderliche Dauer von Sicherheitsaktualisierungen ist nicht für jede App einheitlich kalendermäßig festgelegt. Bei digitalen Produkten sind die gesetzlichen Unterscheidungen zwischen dauerhafter und sonstiger Bereitstellung zu beachten. Je nach Fall sind insbesondere Vertragsdauer, Produktart, Zweck und berechtigte Verbrauchererwartungen maßgeblich.

Pauschale Aussagen über stets identische Unterstützungszeiträume sind daher nicht tragfähig. Ebenso wenig kann ein Anbieter gesetzliche Aktualisierungspflichten ohne Weiteres durch einen einseitig gewählten kurzen Unterstützungszeitraum verkürzen.

Das Zusammenspiel von Datenschutzrecht und Verbrauchervertragsrecht bleibt anspruchsvoll. Die Anwendung der §§ 327 ff. BGB auf bestimmte datenbezogene Vertragsmodelle erlaubt nicht, personenbezogene Daten beliebig als Gegenleistung zu verarbeiten. Datenschutzrechtliche Zulässigkeit und verbrauchervertragliche Pflichten sind eigenständig zu prüfen. Auch die Folgen eines Einwilligungswiderrufs lassen sich nicht pauschal mit einem automatischen Vertragsende gleichsetzen.

Automatisierte Funktionen und künstliche Intelligenz

Wer KI-Funktionen integriert, muss abhängig vom Einsatz zusätzliche Fragen zu Datenherkunft, Transparenz, diskriminierenden Ergebnissen und menschlicher Kontrolle prüfen. Art. 22 DSGVO kann bei ausschließlich automatisierten Entscheidungen relevant werden, die gegenüber einer Person rechtliche Wirkung entfalten oder sie in ähnlich erheblicher Weise beeinträchtigen. Nicht jede automatisierte Empfehlung erreicht diese Voraussetzungen.

Daneben ist die Verordnung (EU) 2024/1689 über künstliche Intelligenz zu berücksichtigen. Ihre Vorschriften haben gestaffelte Anwendungszeitpunkte und unterscheiden nach Systemkategorie, Verwendung und Rolle der beteiligten Akteure. Welche Pflichten zu einem bestimmten Zeitpunkt gelten, muss anhand der jeweils einschlägigen Regelungen geprüft werden.

Die Einbindung eines fremden Modells entlastet den App-Anbieter nicht automatisch von eigenen Pflichten. Umgekehrt übernimmt er dadurch nicht zwangsläufig sämtliche Pflichten des ursprünglichen Modellentwicklers. Entscheidend sind seine tatsächliche und rechtliche Rolle sowie mögliche Veränderungen an System und Verwendungszweck.

Zusammenfassung

Mobile App Entwicklung ist rechtlich als zusammenhängender Prozess von Planung, Herstellung, Veröffentlichung und Betrieb zu betrachten. Ein belastbarer Entwicklungsvertrag beschreibt nicht nur Funktionen und Vergütung, sondern auch Prüf- und Abnahmeverfahren, Änderungen, Nutzungsrechte, Dokumentation und spätere Pflege. Die Zuordnung zu einem Vertragstyp muss anhand der konkret vereinbarten Leistungen erfolgen.

Datenschutzrechtliche Zulässigkeit, Endgerätezugriffe und Informationspflichten sind anhand der tatsächlichen technischen Vorgänge zu prüfen. Einwilligungsdialoge und Datenschutzerklärungen ersetzen weder eine tragfähige Rechtsgrundlage noch angemessene Schutzmaßnahmen. Gegenüber Verbrauchern können insbesondere die Vorschriften über digitale Produkte, Aktualisierungen und elektronische Vertragsabschlüsse hinzutreten.

Wesentliche Risiken entstehen an Schnittstellen: zwischen Entwicklung und Betrieb, eigener Software und fremden Komponenten sowie gesetzlichen Pflichten und Plattformbedingungen. Klare Zuständigkeiten und nachvollziehbare Nachweise sind deshalb ebenso wichtig wie wirksame Vertragsklauseln. Vertragliche Aufgabenverteilungen beseitigen gesetzliche Verantwortlichkeiten gegenüber Nutzern oder Behörden nicht ohne Weiteres.

Eine allgemeine Freigabe als „rechtssichere App“ lässt sich daraus nicht ableiten. Erforderlich ist eine fortlaufende, auf den konkreten Anwendungsbereich bezogene Bewertung, die Funktionsänderungen, neue Dienstleister und die jeweils maßgeblichen gesetzlichen Anforderungen berücksichtigt.