SAP Fiori Launchpad im deutschen Recht: Datenschutz, Mitbestimmung und rechtssichere Unternehmensprozesse

Das SAP Fiori Launchpad dient als zentraler Zugang zu Anwendungen und Geschäftsprozessen innerhalb einer SAP-Systemlandschaft. Beschäftigte können darüber je nach Konfiguration beispielsweise Bestellungen bearbeiten, Arbeitszeiten erfassen, Personalinformationen abrufen oder Zahlungen freigeben. Seine rechtliche Bedeutung ergibt sich deshalb nicht allein aus der eingesetzten Software, sondern vor allem daraus, welche Daten verarbeitet, welche Entscheidungen vorbereitet und welche Handlungen dokumentiert werden.

Für Unternehmen und öffentliche Stellen stellt sich die Frage, unter welchen Voraussetzungen ein solcher Zugang eingerichtet, betrieben und verändert werden darf. Berührt sind insbesondere Datenschutzrecht, betriebliche oder personalvertretungsrechtliche Beteiligungsrechte, Vertrags- und Urheberrecht sowie handels- und steuerrechtliche Dokumentationspflichten. Hinzu kommen Anforderungen an Informationssicherheit, Barrierefreiheit und die Nachweisbarkeit elektronischer Vorgänge.

Eine rechtliche Bewertung muss die maßgeblichen Verarbeitungsschritte erfassen: die Benutzeroberfläche, die angebundenen Anwendungen, das Berechtigungssystem, die Identitätsverwaltung und gegebenenfalls externe Betriebsdienstleister. Das Launchpad isoliert zu prüfen, reicht regelmäßig nicht aus. Welche Pflichten tatsächlich bestehen, hängt insbesondere von den eingesetzten Funktionen, den betroffenen Personen, dem Betriebsmodell und den für die jeweilige Organisation geltenden Vorschriften ab.

Begriffsklärung und technische Ausgangspunkte

Was ist das SAP Fiori Launchpad?

Das SAP Fiori Launchpad ist eine rollenbezogene Einstiegsoberfläche für Anwendungen. Welche Funktionen sichtbar und erreichbar sind, hängt von der technischen Ausgestaltung und den zugewiesenen Rollen ab. Die Oberfläche kann insbesondere Anwendungen für Einkauf, Vertrieb, Rechnungswesen und Personalverwaltung zusammenführen. Einzelheiten unterscheiden sich nach Produktversion, Konfiguration und Betriebsmodell.

Rechtlich wesentlich ist die Unterscheidung zwischen dem Zugang zu einer Anwendung und der Berechtigung, innerhalb dieser Anwendung auf Daten zuzugreifen oder Transaktionen auszuführen. Eine ausgeblendete Anwendung ersetzt keine wirksame Zugriffskontrolle im dahinterliegenden System. Umgekehrt lässt die bloße Sichtbarkeit einer Verknüpfung noch nicht darauf schließen, dass ein unzulässiger Datenzugriff möglich ist. Bereits angezeigte Vorschauen oder Kennzahlen können allerdings personenbezogene oder vertrauliche Informationen enthalten.

Das Launchpad ist weder mit einer eigenständigen Fachdatenbank noch mit einem vollständigen Geschäftsprozess gleichzusetzen. Es vermittelt den Zugang zu Funktionen, deren rechtliche Anforderungen jeweils gesondert untersucht werden müssen. Auch wenn die Oberfläche selbst nur begrenzte Datenbestände vorhält, können ihre Konfiguration und ihre Verbindung mit anderen Diensten rechtlich erheblich sein.

Betriebsmodelle und Verantwortungsgrenzen

Der Betrieb kann innerhalb einer eigenen Infrastruktur oder unter Einbindung externer Dienste erfolgen. Auch Mischformen sind möglich. Daraus ergeben sich unterschiedliche Verantwortungs- und Vertragsstrukturen.

Für die juristische Prüfung sind insbesondere folgende Fragen entscheidend:

• Wer legt Zwecke und wesentliche Mittel der personenbezogenen Datenverarbeitung fest?
• Wer betreibt Oberfläche, Anwendungen und Identitätsverwaltung?
• Welche Stellen erhalten Zugriff auf Produktivdaten oder Protokolle?
• Wo werden Daten verarbeitet und welche Fernzugriffe sind vorgesehen?
• Welche Vertragsbedingungen gelten für Software, Betrieb und Erweiterungen?

Die Bezeichnungen „Cloud“, „Hosting“ oder „Support“ beantworten diese Fragen nicht abschließend. Maßgeblich sind die tatsächlichen Abläufe und die rechtlich zulässigen Einflussmöglichkeiten. Auch ein im Inland betriebener Dienst kann zusätzliche datenschutzrechtliche Fragen aufwerfen, wenn Daten gegenüber Empfängern in Drittstaaten offengelegt werden. Umgekehrt begründet die ausländische Konzernzugehörigkeit eines Dienstleisters für sich genommen noch nicht zwingend eine Drittstaatenübermittlung.

Datenschutzrechtlicher Rahmen

Personenbezug und Rechtsgrundlagen

Werden Benutzerkonten, Beschäftigtenkennungen, personenbezogene Protokolle oder personenbezogene Geschäftsdaten automatisiert verarbeitet, fällt dies bei gewöhnlichen Unternehmensanwendungen grundsätzlich in den Anwendungsbereich der Datenschutz-Grundverordnung. Schon technische Nutzungsinformationen können personenbezogen sein, wenn sie einer identifizierten oder identifizierbaren natürlichen Person zugeordnet werden können.

Art. 5 DSGVO verlangt insbesondere Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Der Verantwortliche muss die Einhaltung dieser Grundsätze nachweisen können. Art. 6 DSGVO bestimmt die möglichen Rechtsgrundlagen. Bei Beschäftigtendaten ist zusätzlich § 26 BDSG zu berücksichtigen, soweit diese Vorschrift auf die betreffende Stelle und Verarbeitung anwendbar ist. Bei öffentlichen Arbeitgebern können besondere bundes- oder landesrechtliche Regelungen maßgeblich sein.

Die unionsrechtliche Tragfähigkeit und Reichweite nationaler Beschäftigtendatenschutzvorschriften sind differenziert zu beurteilen. Ein pauschaler Verweis auf § 26 BDSG ersetzt deshalb keine Prüfung von Zweck, Erforderlichkeit und Verhältnismäßigkeit. Auch darf bei einer nicht tragfähigen Rechtsgrundlage nicht ohne weitere Prüfung auf eine andere Erlaubnisnorm ausgewichen werden.

Die Einführung einer Unternehmenssoftware schafft selbst keine Verarbeitungsbefugnis. Für jeden wesentlichen Vorgang muss geklärt werden, auf welcher Grundlage und zu welchem Zweck die Daten verarbeitet werden. Reisekostenabrechnung, Sicherheitsprotokollierung und personenbezogene Produktivitätsanalyse verfolgen unterschiedliche Zwecke und benötigen entsprechend differenzierte Bewertungen.

Eine Einwilligung ist im Beschäftigungsverhältnis wegen des Abhängigkeitsverhältnisses besonders sorgfältig auf Freiwilligkeit zu prüfen. Maßgeblich sind insbesondere Art. 7 DSGVO und, soweit anwendbar, § 26 Abs. 2 BDSG. Bei Gesundheitsdaten oder anderen besonderen Kategorien personenbezogener Daten müssen zusätzlich die Voraussetzungen des Art. 9 DSGVO erfüllt sein; gegebenenfalls ist § 26 Abs. 3 BDSG zu berücksichtigen.

Rollenverteilung und externe Dienstleister

Datenschutzrechtlich verantwortlich ist nach Art. 4 Nr. 7 DSGVO grundsätzlich, wer allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet. Bei einer unternehmensinternen Anwendung ist dies häufig das einsetzende Unternehmen. Die konkrete Zuordnung richtet sich jedoch nach dem jeweiligen Verarbeitungsvorgang und dem tatsächlichen Betriebsmodell.

Verarbeitet ein externer Anbieter personenbezogene Daten im Auftrag des Verantwortlichen, ist Art. 28 DSGVO zu prüfen. Die Verarbeitung muss auf einem Vertrag oder einem anderen zulässigen Rechtsinstrument beruhen. Zu regeln sind unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten, Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Hinzu kommen insbesondere Vorgaben zu Weisungen, Vertraulichkeit, Sicherheit, weiteren Auftragsverarbeitern und Unterstützungspflichten.

Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO folgt nicht schon daraus, dass mehrere Unternehmen technisch zusammenarbeiten. Erforderlich ist eine gemeinsame Bestimmung der Zwecke und Mittel. Umgekehrt kann ein Anbieter für bestimmte eigene Verarbeitungszwecke selbst verantwortlich sein. Die vertragliche Bezeichnung allein entscheidet darüber nicht.

Besonders relevant sind Supportzugriffe und Testumgebungen. Werden echte Personaldaten zur Fehleranalyse in ein Entwicklungssystem kopiert, liegt eine zusätzliche Verarbeitung vor. Auch hierfür sind Rechtsgrundlage, Erforderlichkeit, Zugriffsbegrenzung und Löschung zu klären. Wo geeignete synthetische oder wirksam anonymisierte Testdaten ausreichen, spricht die Datenminimierung gegen die Verwendung identifizierbarer Echtdaten.

Transparenz, Datenschutzgestaltung und Folgenabschätzung

Art. 13 und Art. 14 DSGVO regeln Informationspflichten, deren Inhalt und Zeitpunkt insbesondere davon abhängen, ob Daten bei der betroffenen Person oder anderweitig erhoben werden. Gesetzliche Ausnahmen sind gesondert zu prüfen. Eine allgemeine Datenschutzerklärung für die Unternehmenswebsite deckt interne Anwendungen nicht automatisch ab.

Sollen vorhandene Daten für einen anderen Zweck weiterverarbeitet werden, können zusätzliche Informationspflichten vor dieser Weiterverarbeitung entstehen. Die Information ersetzt jedoch weder eine erforderliche Rechtsgrundlage noch die Prüfung der Zweckvereinbarkeit.

Nach Art. 25 DSGVO sind Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen sicherzustellen. Praktisch betrifft dies etwa die Beschränkung angezeigter Daten, restriktive Standardrollen und zweckbezogene Löschregeln. Welche Maßnahmen erforderlich sind, hängt unter anderem von Risiken, Verarbeitungsumfang und Stand der Technik ab.

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist nicht bei jeder Launchpad-Einführung erforderlich. Sie muss vor der Verarbeitung durchgeführt werden, wenn diese voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Umfangreiche Beschäftigtenüberwachung oder weitreichende Verknüpfungen sensibler Daten können hierfür sprechen. Auch einschlägige Listen der Aufsichtsbehörden sind zu berücksichtigen.

Ergibt die Folgenabschätzung, dass das verbleibende hohe Risiko nicht durch geeignete Maßnahmen hinreichend eingedämmt werden kann, ist die vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO zu prüfen.

Drittstaatentransfers und Zugriff auf Endgeräte

Bei Übermittlungen personenbezogener Daten an Empfänger außerhalb des Europäischen Wirtschaftsraums sind zusätzlich Art. 44 ff. DSGVO zu beachten. Ein europäischer Serverstandort beantwortet deshalb nicht abschließend, ob eine Drittstaatenübermittlung stattfindet. Insbesondere vorgesehene Support- und Administrationszugriffe durch rechtlich eigenständige Empfänger sind zu untersuchen.

Als Übermittlungsgrundlage können unter den jeweiligen Voraussetzungen beispielsweise ein Angemessenheitsbeschluss nach Art. 45 DSGVO oder geeignete Garantien nach Art. 46 DSGVO dienen. Welche Grundlage im konkreten Fall trägt, hängt unter anderem vom Empfänger, vom Geltungsbereich des betreffenden Instruments und von der tatsächlichen Übermittlungssituation ab.

Für das Speichern von Informationen auf Endgeräten oder den Zugriff auf dort gespeicherte Informationen kann § 25 TDDDG einschlägig sein. Die Vorschrift kann auch Informationen ohne Personenbezug erfassen. Ob sie auf eine konkrete betriebliche Konstellation anwendbar ist, muss anhand des Vorgangs und des gesetzlichen Anwendungsbereichs geprüft werden.

Eine Einwilligung ist insbesondere dann nicht erforderlich, wenn Speicherung oder Zugriff unbedingt erforderlich sind, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen kann. Die bloße Zweckmäßigkeit einer Analysefunktion genügt dafür nicht. Eine Ausnahme nach § 25 TDDDG legitimiert zudem nicht automatisch jede anschließende personenbezogene Verarbeitung.

Beschäftigtendatenschutz und betriebliche Mitbestimmung

Technische Überwachungsmöglichkeiten

Nach § 87 Abs. 1 Nr. 6 BetrVG hat ein zuständiger Betriebsrat bei der Einführung und Anwendung technischer Einrichtungen mitzubestimmen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Zu beachten ist außerdem der Eingangsvorbehalt des § 87 Abs. 1 BetrVG für bestehende gesetzliche oder tarifliche Regelungen.

Nach der arbeitsgerichtlichen Auslegung setzt die Mitbestimmung keine ausdrücklich erklärte Überwachungsabsicht des Arbeitgebers voraus. Eine objektive Eignung der Einrichtung zur Überwachung von Verhalten oder Leistung kann ausreichen. Ob diese Voraussetzungen erfüllt sind, richtet sich nach den technisch ermöglichten Vorgängen und den verarbeitbaren Informationen.

Beim SAP Fiori Launchpad und den angebundenen Anwendungen können Anmeldezeiten, Bearbeitungsstände oder Freigabedauern Rückschlüsse auf Beschäftigte ermöglichen. Dabei ist die gesamte relevante Anwendungskette zu betrachten. Ein bloßer Einstiegspunkt kann mit personenbezogenen Auswertungen in anderen Systemen verbunden sein.

Nicht jede Systemänderung ist rechtlich gleich zu behandeln. Wird eine neue personenbezogene Auswertung freigeschaltet oder eine bislang ausgeschlossene Verknüpfung ermöglicht, muss jedoch erneut geprüft werden, ob Mitbestimmungsrechte betroffen sind. Eine frühere Vereinbarung zu einer anderen Konfiguration deckt solche Änderungen nicht notwendig ab. Ebenso ist zu klären, welches betriebsverfassungsrechtliche Gremium zuständig ist.

Inhalt einer Betriebsvereinbarung

Eine Betriebsvereinbarung sollte zulässige Zwecke, Rollen, Auswertungen und Kontrollbefugnisse möglichst konkret bestimmen. Regelungsbedürftig sind insbesondere:

• erlaubte und ausgeschlossene personenbezogene Auswertungen;
• Zugriff auf Protokolle und administrative Werkzeuge;
• Voraussetzungen und Grenzen anlassbezogener Kontrollen;
• Speicher- und Löschregeln;
• Beteiligung bei Erweiterungen und Funktionsänderungen;
• Schulung, Transparenz und Beschwerdewege.

Kollektivvereinbarungen können im Rahmen von Art. 88 DSGVO und § 26 Abs. 4 BDSG eine Grundlage für die Verarbeitung von Beschäftigtendaten bilden. Sie müssen jedoch die unionsrechtlichen Anforderungen und angemessene Schutzmaßnahmen einhalten. Die Betriebsparteien können insbesondere die Anforderungen an Rechtmäßigkeit, Erforderlichkeit und Verhältnismäßigkeit nicht beliebig absenken.

Datenschutzprüfung und Mitbestimmung ersetzen einander nicht. Eine datenschutzrechtlich zulässige Anwendung kann bei unterbliebener erforderlicher Beteiligung betriebsverfassungsrechtlich unzulässig sein. Umgekehrt beseitigt eine Zustimmung des Betriebsrats keinen Datenschutzverstoß.

Bei öffentlichen Dienststellen sind die jeweils einschlägigen personalvertretungsrechtlichen Vorschriften zu prüfen. Für öffentlich beherrschte Unternehmen in privatrechtlicher Organisationsform kann dagegen das Betriebsverfassungsgesetz maßgeblich sein. Die bloße Zuordnung zum öffentlichen Bereich entscheidet daher nicht abschließend über das Beteiligungsrecht.

Vertragsrecht, Nutzungsrechte und elektronische Erklärungen

Vertragsgestaltung bei Einführung und Betrieb

Die rechtliche Einordnung eines Einführungsprojekts hängt von den geschuldeten Leistungen ab. Wird ein bestimmter funktionsfähiger Erfolg versprochen, kann Werkvertragsrecht nach §§ 631 ff. BGB einschlägig sein. Reine Beratungsleistungen können dienstvertraglichen Charakter haben. Bei zeitweiser Softwarebereitstellung kommen mietrechtliche Elemente in Betracht. Auch gemischte Verträge oder rechtlich getrennte Leistungsbestandteile sind möglich.

Entscheidend ist nicht die Überschrift des Vertrags, sondern sein Inhalt. Ein Projektvertrag sollte festlegen, welche Anwendungen eingebunden werden, welche Schnittstellen funktionieren müssen und welche Anforderungen an Berechtigungen, Verfügbarkeit, Datenmigration und Dokumentation bestehen.

Bei werkvertraglicher Einordnung ist die Abnahme nach § 640 BGB besonders wichtig. Die Produktivsetzung ist nicht automatisch eine Abnahme. Sie kann allerdings zusammen mit weiteren Umständen für eine schlüssige Abnahme sprechen; außerdem sind die gesetzlichen Voraussetzungen einer Abnahmefiktion zu beachten. Abnahmekriterien sollten auch vereinbarte rechtlich relevante Eigenschaften erfassen, etwa die Umsetzung des Berechtigungskonzepts.

Unbestimmte Zusagen wie „datenschutzkonforme Einführung“ sind als alleinige Leistungsbeschreibung riskant. Sie sollten durch überprüfbare Anforderungen, Verantwortlichkeiten und Mitwirkungspflichten konkretisiert werden. Die Beauftragung eines Dienstleisters beseitigt nicht die eigenen öffentlich-rechtlichen Pflichten des einsetzenden Unternehmens.

Softwarelizenzen und Erweiterungen

Computerprogramme können nach §§ 69a ff. UrhG urheberrechtlich geschützt sein. Voraussetzung ist insbesondere die in § 69a Abs. 3 UrhG beschriebene eigene geistige Schöpfung. Welche Nutzung zulässig ist, ergibt sich aus den gesetzlichen Befugnissen und den wirksam eingeräumten Nutzungsrechten.

Ein zentraler Zugang über das Launchpad bedeutet nicht, dass sämtliche darüber erreichbaren Anwendungen ohne zusätzliche Lizenzprüfung genutzt werden dürfen. Relevant können Benutzerkategorien, verbundene Systeme, Zusatzprodukte und vertraglich definierte Nutzungsmodelle sein. Ob eine bestimmte technische Integration zusätzliche Vergütungsansprüche auslöst, lässt sich nur anhand der anwendbaren Vereinbarungen und ihrer rechtlichen Wirksamkeit beurteilen.

Bei eigenen oder beauftragten Erweiterungen sind Rechte am Quellcode, Bearbeitungsbefugnisse, Dokumentation und Nutzungsrechte an Fremdkomponenten zu klären. Die Bezahlung einer Entwicklung verschafft nicht automatisch sämtliche denkbaren Nutzungsrechte. Ebenso sind technische Administratorrechte nicht mit urheberrechtlichen Befugnissen gleichzusetzen.

Bei quelloffenen Komponenten können besondere Lizenzpflichten bestehen. Deren Inhalt hängt von der jeweiligen Lizenz und der konkreten Nutzung, Veränderung oder Weitergabe ab.

Freigaben und Vertretungsmacht

Eine im System ausgeführte Freigabe kann eine interne Zustimmung dokumentieren oder Bestandteil einer rechtsgeschäftlichen Erklärung sein. Ob dadurch ein Vertrag zustande kommt, richtet sich nach den allgemeinen Regeln des BGB, insbesondere nach Erklärungsinhalt, Empfängerhorizont, Zugang und Vertretungsmacht.

Eine technische Rolle begründet nicht automatisch rechtsgeschäftliche Vertretungsmacht nach §§ 164 ff. BGB. Ihre Zuweisung und die Kommunikation darüber können allerdings im Einzelfall für die Auslegung einer Bevollmächtigung oder für Rechtsscheintatbestände erheblich sein. Umgekehrt muss eine bestehende Vertretungsbefugnis nicht deckungsgleich mit der Systemberechtigung sein.

Auch Formanforderungen bleiben eigenständig zu prüfen. Ein gewöhnlicher Freigabeklick ersetzt eine gesetzlich verlangte Schriftform regelmäßig nicht. Nach § 126 Abs. 3 BGB kann die Schriftform grundsätzlich durch die elektronische Form ersetzt werden, soweit das Gesetz nichts anderes bestimmt. Die elektronische Form nach § 126a BGB erfordert insbesondere eine qualifizierte elektronische Signatur.

Davon zu unterscheiden sind Textform nach § 126b BGB und vertraglich vereinbarte Formen nach § 127 BGB. Welche Anforderungen gelten, hängt vom jeweiligen Rechtsgeschäft ab.

Ordnungsmäßigkeit, Informationssicherheit und Barrierefreiheit

Nachvollziehbare Buchführungsprozesse

Werden über das Launchpad buchführungs- oder steuerrelevante Vorgänge bearbeitet, können insbesondere §§ 238, 239 und 257 HGB sowie §§ 145 bis 147 AO einschlägig sein. Ihr Anwendungsbereich hängt unter anderem von der Buchführungspflicht und der Art der Unterlagen ab.

Bedeutung haben außerdem die GoBD, also die vom Bundesministerium der Finanzen veröffentlichten Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung elektronischer Bücher, Aufzeichnungen und Unterlagen sowie zum Datenzugriff. Sie konkretisieren die Sicht der Finanzverwaltung. Sie sind kein formelles Gesetz und binden Gerichte nicht wie ein Gesetz.

Die Prüfung betrifft nicht bloß das Speichern einzelner Belege. Auch Zuordnung, Änderung, Freigabe und spätere Nachvollziehbarkeit können relevant sein. Soweit Aufzeichnungen gesetzlichen Ordnungsvorschriften unterliegen, dürfen Änderungen insbesondere nicht dazu führen, dass der ursprüngliche Inhalt nicht mehr feststellbar ist.

Nicht sämtliche technischen Protokolle unterliegen denselben Aufbewahrungspflichten. Dokumentenart, Funktion, gesetzlicher Anwendungsbereich und gegebenenfalls Übergangsvorschriften sind entscheidend. Deshalb lässt sich für das Launchpad keine einheitliche Aufbewahrungsfrist angeben. Steuerliche Pflichten rechtfertigen insbesondere keine pauschale unbegrenzte Speicherung sämtlicher personenbezogener Nutzungsdaten.

Sicherheitsorganisation und Funktionstrennung

Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau. Bei einem zentralen Zugang ist insbesondere zu berücksichtigen, welche Folgen die Übernahme eines Benutzerkontos hätte. Je nach Risiko können Mehrfaktorauthentisierung, eng begrenzte Administrationsrechte und zusätzliche Kontrollen erforderlich sein.

Art. 32 DSGVO schreibt nicht unterschiedslos eine bestimmte technische Lösung für jedes System vor. Die Auswahl muss vielmehr auf einer nachvollziehbaren Risikobewertung beruhen. Zu berücksichtigen sind auch Verfügbarkeit, Wiederherstellbarkeit und Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen.

Besondere Aufmerksamkeit verdient die Funktionstrennung. Wer Lieferantenstammdaten ändern und zugleich Zahlungen freigeben kann, verfügt möglicherweise über eine kritische Berechtigungskombination. Welche Trennung oder ergänzende Kontrolle rechtlich geboten ist, hängt unter anderem von Branche, Organisationspflichten und Schadenspotenzial ab. Ein allgemeines, für jede Transaktion gesetzlich vorgeschriebenes Vier-Augen-Prinzip besteht nicht.

Daneben können sektorspezifische Sicherheitsanforderungen gelten. Ob Vorschriften des BSI-Gesetzes oder besondere aufsichtsrechtliche Regelungen einschlägig sind, muss anhand der Organisation und ihrer Tätigkeiten geprüft werden. Die Verwendung eines bestimmten Softwareprodukts allein löst diese Pflichten nicht aus.

Barrierefreier Zugang

Für öffentliche Stellen des Bundes können insbesondere § 12a BGG und die Barrierefreie-Informationstechnik-Verordnung relevant sein. Für öffentliche Stellen der Länder und Kommunen sind die jeweils einschlägigen Landesregelungen zu prüfen. Auch interne digitale Angebote können vom jeweiligen Anwendungsbereich erfasst sein; Einzelheiten und gesetzliche Ausnahmen sind gesondert zu untersuchen.

Das Barrierefreiheitsstärkungsgesetz erfasst nicht pauschal jede betriebsinterne Unternehmenssoftware. Entscheidend ist, ob ein vom Gesetz erfasstes Produkt oder eine erfasste Dienstleistung vorliegt. Zusätzlich sind der zeitliche Anwendungsbereich, Übergangsregelungen und mögliche Ausnahmen zu beachten.

Daneben können arbeitsrechtliche Pflichten bestehen, insbesondere nach § 164 Abs. 4 SGB IX. Der Anspruch schwerbehinderter Beschäftigter auf behinderungsgerechte Gestaltung der Arbeitsbedingungen und erforderliche technische Arbeitshilfen unterliegt den gesetzlichen Voraussetzungen und Grenzen.

Die Barrierefreiheit der zentralen Oberfläche allein gewährleistet noch keine barrierefreie Nutzung eines gesamten Geschäftsprozesses. Tastatursteuerung, verständliche Beschriftungen und Unterstützung assistiver Technologien sollten deshalb über die relevante Nutzungskette betrachtet werden. Eine Herstellerangabe ersetzt nicht die Prüfung der tatsächlich eingesetzten Konfiguration.

Rechtsprechungslinien und ihre Bedeutung

Grenzen technischer Beschäftigtenkontrolle

Das Bundesarbeitsgericht hat mit Urteil vom 27. Juli 2017 – 2 AZR 681/16 – den anlasslosen Einsatz eines Software-Keyloggers zur weitreichenden Beschäftigtenüberwachung beanstandet. Die dadurch gewonnenen Erkenntnisse durften im dortigen Kündigungsschutzverfahren nicht verwertet werden.

Die Entscheidung erging zur damaligen Rechtslage und betrifft nicht das SAP Fiori Launchpad. Ihre übergreifende Bedeutung liegt in der Begrenzung unverhältnismäßiger technischer Überwachung. Aus der Möglichkeit, detaillierte Nutzungsdaten zu erheben, folgt keine umfassende Kontrollbefugnis des Arbeitgebers.

Die damalige Fallgestaltung lässt sich nicht ohne Weiteres auf jede Sicherheitsprotokollierung übertragen. Ein zweckgebundenes, begrenztes Sicherheitsprotokoll unterscheidet sich insbesondere nach Umfang, Eingriffsintensität und Verwendungszweck von einer umfassenden Erfassung von Tastatureingaben.

Aus der Entscheidung folgt zudem kein allgemeines prozessuales Verwertungsverbot für sämtliche rechtswidrig erhobenen Systemdaten. Die Verwertbarkeit verlangt eine eigenständige Prüfung unter Berücksichtigung des jeweiligen Verfahrens und der betroffenen Rechte.

Arbeitszeiterfassung und Aussagekraft von Protokollen

Mit Beschluss vom 13. September 2022 – 1 ABR 22/21 – hat das Bundesarbeitsgericht aus § 3 Abs. 2 Nr. 1 ArbSchG bei unionsrechtskonformer Auslegung eine Pflicht des Arbeitgebers zur Einführung eines Systems zur Erfassung der geleisteten Arbeitszeit hergeleitet. Die Entscheidung betraf zugleich die Grenzen eines Initiativrechts des Betriebsrats zur Einführung einer elektronischen Arbeitszeiterfassung.

Ein Launchpad kann den Zugang zu einem entsprechenden Erfassungssystem bereitstellen. Die Entscheidung macht aber nicht aus jedem technischen Anmeldeprotokoll eine Arbeitszeitaufzeichnung. Anmeldung, aktive Bildschirmnutzung und arbeitsrechtliche Arbeitszeit sind unterschiedliche Sachverhalte.

Technische Protokolle können Arbeit außerhalb des Systems übersehen und andererseits Zeiten erfassen, in denen keine Arbeit geleistet wird. Ihre automatische Gleichsetzung mit Arbeitszeit kann daher zu fehlerhaften Vergütungsentscheidungen oder unzutreffenden Leistungsaussagen führen.

Die konkrete Ausgestaltung eines Erfassungssystems muss die einschlägigen gesetzlichen Anforderungen und etwaige Ausnahmen berücksichtigen. Aus der genannten Entscheidung folgt insbesondere keine Pflicht, gerade das SAP Fiori Launchpad oder ein bestimmtes elektronisches Produkt einzusetzen.

IT-Projektverträge und internationale Datenverarbeitung

Der Bundesgerichtshof hat mit Urteil vom 4. März 2010 – III ZR 79/09 – einen sogenannten Internet-System-Vertrag nach seinem konkreten Leistungsbild werkvertraglich eingeordnet. Für andere IT-Projekte verdeutlicht dies die Bedeutung des geschuldeten Erfolgs und des Schwerpunkts der vereinbarten Leistungen.

Eine allgemeine Aussage, jeder Launchpad-Vertrag sei ein Werkvertrag, folgt daraus nicht. Laufender Betrieb, Beratung, Softwareüberlassung und Implementierung können unterschiedlich zu beurteilen sein.

Für internationale Datenverarbeitung ist außerdem das Urteil des Gerichtshofs der Europäischen Union vom 16. Juli 2020 – C-311/18 – bedeutsam. Der Gerichtshof erklärte den damaligen EU-US-Privacy-Shield-Beschluss für ungültig und präzisierte Anforderungen an Übermittlungen auf Grundlage von Standardvertragsklauseln.

Die Entscheidung bedeutet kein generelles Verbot sämtlicher Übermittlungen in die Vereinigten Staaten. Ebenso ersetzen Standardvertragsklauseln nicht die Prüfung, ob ihr Schutz im konkreten Übermittlungskontext tatsächlich gewährleistet werden kann. Spätere Rechtsakte, deren jeweilige Geltung und die konkrete Empfängersituation müssen zusätzlich berücksichtigt werden.

Typische Fallkonstellationen

Zu weitreichende Personalberechtigungen

Eine Führungskraft erhält über eine pauschale Rolle Zugriff auf Personaldaten außerhalb ihres Zuständigkeitsbereichs. Rechtlich entscheidend ist nicht nur, ob sie die Daten tatsächlich geöffnet hat. Schon eine unnötig weitreichende Zugriffsmöglichkeit kann gegen Anforderungen an datenschutzfreundliche Voreinstellungen oder angemessene Sicherheitsmaßnahmen verstoßen.

Die Berechtigung ist zu überprüfen und erforderlichenfalls unverzüglich zu begrenzen. Zugleich sind Umfang und Dauer der Fehlkonfiguration sowie mögliche tatsächliche Zugriffe zu untersuchen. Dabei sollten für die Aufklärung erforderliche Nachweise nicht vorschnell gelöscht werden.

Ob eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO vorliegt und ob daraus Meldepflichten folgen, hängt vom Sachverhalt ab. Eine bloße abstrakte Schwachstelle ist von einer unbefugten Offenlegung oder einem unbefugten Zugang zu unterscheiden. Bei festgestellten Datenschutzverletzungen ist außerdem die Dokumentationspflicht nach Art. 33 Abs. 5 DSGVO zu beachten.

Nutzung von Protokollen für Leistungsrankings

Anmelde- und Bearbeitungsdaten werden ursprünglich zur Fehleranalyse gespeichert. Später möchte die Personalabteilung daraus Ranglisten einzelner Beschäftigter erstellen.

Damit ist eine zusätzliche Zweckbestimmung verbunden. Zu prüfen sind insbesondere Rechtsgrundlage, gegebenenfalls Zweckvereinbarkeit nach Art. 6 Abs. 4 DSGVO, Verhältnismäßigkeit, Informationspflichten und Mitbestimmung. Die vorhandene Datenbasis begründet keine Berechtigung zur beliebigen Weiterverwendung.

Auch eine Information der Beschäftigten oder die bloße Aufnahme des Zwecks in eine interne Richtlinie macht eine unverhältnismäßige Auswertung nicht zulässig. Besondere Vorsicht ist geboten, wenn die Ergebnisse für Entgelt, Beförderung oder arbeitsrechtliche Maßnahmen verwendet werden sollen.

Zusätzlich ist die Aussagekraft fraglich: Eine lange Bearbeitungsdauer kann auf komplexen Aufgaben, Rückfragen oder technischen Problemen beruhen. Rechtliche Risiken entstehen daher auch durch sachlich unzutreffende Interpretationen und eine unzureichende Berücksichtigung des Arbeitskontexts.

Wechsel des Betriebsdienstleisters

Nach einem Anbieterwechsel sind frühere Freigaben zwar sichtbar, die zugehörigen Änderungsnachweise aber nicht mehr verfügbar. Dadurch können gesetzliche oder vertragliche Nachweispflichten beeinträchtigt werden. Ob dies der Fall ist, hängt von der Bedeutung der verlorenen Informationen für die jeweiligen Vorgänge ab.

Ein geordneter Anbieterwechsel sollte deshalb Datenformate, Exportmöglichkeiten, Protokolle, Dokumentation und verbleibende Zugriffsrechte erfassen. Eine Zusage zur Datenherausgabe hilft nur begrenzt, wenn die exportierten Informationen anschließend nicht lesbar oder zuordenbar sind.

Bei einer Auftragsverarbeitung ist Art. 28 Abs. 3 Buchst. g DSGVO zu beachten. Danach sind personenbezogene Daten nach Abschluss der Verarbeitungsleistungen grundsätzlich nach Wahl des Verantwortlichen zurückzugeben oder zu löschen, sofern keine gesetzliche Speicherpflicht entgegensteht. Migration, notwendige Restaufbewahrung und endgültige Löschung müssen daher aufeinander abgestimmt werden.

Rechtsfolgen und Risiken

Öffentlich-rechtliche und individuelle Ansprüche

Datenschutzaufsichtsbehörden können nach Art. 58 DSGVO unter anderem Auskünfte verlangen, Abhilfemaßnahmen anordnen und Verarbeitungen beschränken oder untersagen. Unter den Voraussetzungen des Art. 83 DSGVO kommen Geldbußen in Betracht. Für Behörden und öffentliche Stellen sind besondere Regelungen zu beachten; insbesondere enthält § 43 Abs. 3 BDSG für die dort erfassten öffentlichen Stellen einen Ausschluss von Geldbußen.

Betroffene Personen können nach Maßgabe der jeweiligen Voraussetzungen insbesondere Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung verlangen. Diese Rechte gelten nicht schrankenlos. Beispielsweise können gesetzliche Aufbewahrungspflichten einer Löschung entgegenstehen, ohne damit jede andere Verwendung der Daten zu erlauben.

Ein Schadensersatzanspruch nach Art. 82 DSGVO setzt einen Verstoß, einen materiellen oder immateriellen Schaden und den erforderlichen ursächlichen Zusammenhang voraus. Der Verstoß allein genügt nicht. Für einen immateriellen Schaden darf allerdings keine zusätzliche allgemeine Erheblichkeitsschwelle verlangt werden.

Bei missachteter Mitbestimmung kommen betriebsverfassungsrechtliche Verfahren und unter den jeweiligen Voraussetzungen Unterlassungsansprüche in Betracht. Fehlerhafte oder unzulässig verarbeitete Daten können außerdem die rechtliche Belastbarkeit darauf gestützter Personalentscheidungen beeinträchtigen. Eine automatische Unwirksamkeit jeder solchen Entscheidung folgt daraus nicht.

Vertragliche und organisatorische Haftung

Unzureichende Implementierungen können je nach Vertragstyp und Pflichtverletzung Mängelrechte, Schadensersatzansprüche oder Kündigungsrechte auslösen. Dabei sind vereinbarte Anforderungen, Mitwirkungspflichten, Verantwortungsbereiche und wirksame Haftungsbegrenzungen zu beachten.

Nicht jeder technische Fehler ist zugleich ein vom Dienstleister zu vertretender Vertragsverstoß. Umgekehrt kann eine technisch funktionsfähige Lösung mangelhaft sein, wenn verbindlich vereinbarte Sicherheits- oder Berechtigungsanforderungen fehlen. Entscheidend ist der geschuldete Leistungsumfang.

Auch interne Organisationsmängel können relevant sein, etwa wenn kritische Berechtigungen trotz bekannter Risiken nicht überprüft werden. Eine persönliche Haftung einzelner Organmitglieder oder Beschäftigter folgt daraus jedoch nicht automatisch. Sie verlangt eine gesonderte Prüfung der einschlägigen Pflichten, des Verschuldens, des Schadens und des Ursachenzusammenhangs.

Verfahren und Fristen

Auskunftsersuchen und Datenschutzvorfälle

Bei Anträgen auf Ausübung der Rechte nach Art. 15 bis Art. 22 DSGVO muss der Verantwortliche nach Art. 12 Abs. 3 DSGVO unverzüglich, grundsätzlich spätestens innerhalb eines Monats nach Eingang, über die ergriffenen Maßnahmen informieren. Die Monatsfrist ist nicht pauschal mit dreißig Tagen gleichzusetzen.

Unter Berücksichtigung der Komplexität und der Anzahl der Anträge kann eine Verlängerung um zwei weitere Monate erforderlich sein. Über die Verlängerung und ihre Gründe muss innerhalb des ersten Monats informiert werden. Lehnt der Verantwortliche ein Tätigwerden ab, gelten die Informationsanforderungen des Art. 12 Abs. 4 DSGVO.

Eine Verletzung des Schutzes personenbezogener Daten ist nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde zu melden. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung später, ist die Verzögerung zu begründen. Fehlende Einzelheiten können unter den gesetzlichen Voraussetzungen schrittweise nachgereicht werden.

Ein Auftragsverarbeiter muss den Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich nach Bekanntwerden einer Datenschutzverletzung informieren. Die für die Behördenmeldung genannte Zeitspanne ist für ihn keine allgemeine Wartefrist.

Art. 34 DSGVO verlangt bei voraussichtlich hohem Risiko grundsätzlich zusätzlich eine unverzügliche Benachrichtigung der betroffenen Personen, sofern keine gesetzliche Ausnahme greift. Hierfür enthält die Vorschrift keine eigene 72-Stunden-Frist.

Streitigkeiten, Verjährung und Beweissicherung

Betriebsverfassungsrechtliche Streitigkeiten werden regelmäßig im arbeitsgerichtlichen Beschlussverfahren behandelt. Bei Meinungsverschiedenheiten über die Ausgestaltung einer nach § 87 BetrVG mitbestimmungspflichtigen Angelegenheit kann die Einigungsstelle entscheiden. Ihre Zuständigkeit und die rechtlichen Grenzen der Regelung sind dabei eigenständig zu prüfen.

Vertragliche Ansprüche unterliegen unterschiedlichen Fristen. Die regelmäßige Verjährung beträgt nach § 195 BGB drei Jahre. Ihr Beginn richtet sich grundsätzlich nach § 199 Abs. 1 BGB, insbesondere nach Anspruchsentstehung und Kenntnis beziehungsweise grob fahrlässiger Unkenntnis. Daneben können kenntnisunabhängige Höchstfristen einschlägig sein.

Für werkvertragliche Mängelansprüche enthält § 634a BGB besondere Regeln. Welche Frist auf einen IT-Vertrag anzuwenden ist, hängt von dessen Einordnung und dem konkreten Anspruch ab. Eine einheitliche „IT-Verjährungsfrist“ existiert nicht.

Bei Störungen sollten Konfigurationen, Fehlermeldungen und relevante Protokolle nachvollziehbar gesichert werden. Die Möglichkeit einer späteren Auseinandersetzung rechtfertigt jedoch keine unbegrenzte Vorratsspeicherung. Umfang, Zugriffsrechte und Dauer der Beweissicherung müssen am konkreten Sicherungszweck ausgerichtet werden.

Praktische Handlungsschritte

Vorbereitung und Einführung

Vor der Einführung empfiehlt sich eine Bestandsaufnahme der angebundenen Anwendungen, Datenarten, Empfänger und Betriebsdienstleister. Darauf aufbauend sind Verantwortlichkeiten und Rechtsgrundlagen festzulegen. Soweit erforderlich, ist das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO anzulegen oder zu aktualisieren.

Das Berechtigungskonzept sollte sich an Aufgaben und tatsächlichem Informationsbedarf orientieren. Zu prüfen sind nicht nur einzelne Rollen, sondern auch problematische Rollenkombinationen. Besondere Rechte für Administration, Vertretung und Notfälle benötigen eigene Regeln und angemessene Nachweise.

Ein bestellter Datenschutzbeauftragter ist nach Art. 38 Abs. 1 DSGVO ordnungsgemäß und frühzeitig in alle mit dem Schutz personenbezogener Daten zusammenhängenden Fragen einzubinden. Informationssicherheit, Fachbereiche und zuständige Arbeitnehmervertretung sollten ebenfalls entsprechend ihren Aufgaben beteiligt werden. Bestehende gesetzliche Beteiligungspflichten sind nicht bloß organisatorische Empfehlungen.

Vor der Freigabe sollten insbesondere folgende Punkte anhand festgelegter Anforderungen überprüft werden:

• Zugriffsbeschränkungen auch in den angebundenen Systemen;
• Umsetzung von Vertretungs- und Freigaberegeln;
• Umfang und Schutz der Protokollierung;
• Löschung beziehungsweise Aufbewahrung relevanter Daten;
• Wiederherstellung und Datenexport;
• Bedienbarkeit und gegebenenfalls Barrierefreiheit.

Die Ergebnisse sollten so dokumentiert werden, dass erkannte Abweichungen, deren Bewertung und die Entscheidung über den Produktivbetrieb nachvollziehbar bleiben.

Laufender Betrieb und Änderungsmanagement

Rechtskonformer Betrieb ist kein einmaliger Projektzustand. Rollen müssen bei Aufgabenwechseln und Ausscheiden überprüft und erforderlichenfalls angepasst werden. Veraltete Sammelberechtigungen und gemeinsam genutzte Konten sind insbesondere hinsichtlich Zugriffsschutz und Nachvollziehbarkeit kritisch.

Neue Anwendungen, Analysefunktionen und Dienstleister können eine erneute rechtliche Bewertung auslösen. Ein geregeltes Änderungsverfahren sollte deshalb festlegen, wann Datenschutzprüfung, Beteiligung der Arbeitnehmervertretung, Lizenzprüfung und Sicherheitsbewertung erforderlich sind.

Bei Auftragsverarbeitung müssen Änderungen bei weiteren Auftragsverarbeitern im Einklang mit Art. 28 DSGVO und der vereinbarten Genehmigungsregelung erfolgen. Eine allgemeine Genehmigung macht die gesetzlich vorgesehene Information über beabsichtigte Änderungen nicht entbehrlich.

Sinnvoll ist außerdem ein dokumentiertes Vorfallverfahren mit Meldewegen, Entscheidungsbefugnissen und Vorgaben zur Beweissicherung. Vertragliche Informationspflichten müssen eine rechtzeitige Reaktion des Verantwortlichen ermöglichen. Die Verantwortung für die Bewertung gesetzlicher Meldepflichten lässt sich nicht allein durch Verweis auf den technischen Dienstleister erledigen.

Offene Streitfragen

Datenbasierte Entscheidungen und neue Analysefunktionen

Besondere Abgrenzungsprobleme entstehen, wenn technische Nutzungsdaten für Personalplanung oder automatisierte Bewertungen verwendet werden. Hier können Fragen nach Profiling und Art. 22 DSGVO hinzutreten. Nicht jede automatisierte Auswertung ist bereits eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung.

Profiling und automatisierte Entscheidungen sind deshalb begrifflich zu trennen. Auch ein Vorgang außerhalb des Art. 22 DSGVO muss die übrigen datenschutzrechtlichen Anforderungen erfüllen. Umgekehrt setzt eine Anwendung des Art. 22 DSGVO nicht zwingend ein technisch besonders komplexes Verfahren voraus.

Entscheidend sind unter anderem Einfluss, Verbindlichkeit und tatsächliche menschliche Prüfung. Eine lediglich formale Bestätigung eines maschinell erzeugten Ergebnisses genügt nicht ohne Weiteres, um eine ausschließlich automatisierte Entscheidung auszuschließen. Die prüfende Person muss das Ergebnis tatsächlich beurteilen und gegebenenfalls verändern können.

Soweit eine Ausnahme vom grundsätzlichen Schutz des Art. 22 Abs. 1 DSGVO in Betracht kommt, sind deren besondere Voraussetzungen und Schutzvorkehrungen zu prüfen. Eine allgemeine Zustimmung zur Verwendung der Unternehmenssoftware reicht dafür nicht aus.

Veränderliche Dienste und Verantwortungszuweisung

Dynamische Cloud-Dienste erschweren eine dauerhaft abschließende Bewertung. Neue Unterauftragnehmer, geänderte Standardfunktionen oder erweiterte Telemetrie können die rechtlich relevanten Umstände verändern.

Einzelfallabhängig bleibt häufig, welche Änderungen bereits durch bestehende Verträge und Betriebsvereinbarungen erfasst sind. Pauschale Änderungsklauseln lösen dieses Problem nicht zuverlässig. Ihre Reichweite und Wirksamkeit sind gesondert zu beurteilen; zwingende Datenschutz- und Beteiligungspflichten können durch sie nicht ausgeschlossen werden.

Erforderlich sind deshalb angemessene Informationswege und tatsächliche Kontrollmöglichkeiten. Dazu gehört auch, Herstellerinformationen und Änderungsankündigungen daraufhin auszuwerten, ob neue Datenarten, Empfänger oder Verarbeitungszwecke hinzutreten.

Das Verhältnis zwischen unionsrechtlichem Beschäftigtendatenschutz und nationalen Vorschriften wird weiterhin durch Rechtsprechung konkretisiert. Rechtliche Bewertungen sollten daher nicht ausschließlich auf einmal erstellten Standardunterlagen beruhen. Maßgeblich bleiben die geltende Rechtslage und die tatsächliche Verarbeitung.

Zusammenfassung

Das SAP Fiori Launchpad ist rechtlich als Zugangsschicht zu konkreten Datenverarbeitungen und Geschäftsprozessen zu beurteilen. Seine Einführung verlangt deshalb mehr als eine technische Funktionsprüfung. Weder eine bestimmte Produktbezeichnung noch eine Herstellerzusage gewährleistet die Rechtmäßigkeit jeder Konfiguration.

Zentrale Anforderungen betreffen tragfähige Datenschutzgrundlagen, begrenzte Berechtigungen, die erforderliche Beteiligung der Arbeitnehmervertretung und klare Vereinbarungen mit Implementierungs- und Betriebsdienstleistern. Hinzu kommen Nutzungsrechte, nachvollziehbare Freigaben, einschlägige Aufbewahrungspflichten und gegebenenfalls Anforderungen an Barrierefreiheit.

Besonders risikobehaftet sind weitreichende Personalzugriffe, zweckfremde Protokollauswertungen und unzureichend kontrollierte Änderungen. Eine rechtlich belastbare Organisation verbindet deshalb technische Maßnahmen, Zuständigkeiten und Dokumentation. Sie überprüft den Ausgangszustand ebenso wie den laufenden Betrieb und spätere Erweiterungen. Welche Einzelmaßnahmen erforderlich sind, bleibt von den konkreten Verarbeitungen, Risiken und gesetzlichen Rahmenbedingungen abhängig.