Technologieentwicklung in Unternehmen: Rechtliche Grundlagen, Risiken und Gestaltungsmöglichkeiten

Technologieentwicklung ist für Unternehmen eine technische, wirtschaftliche und zugleich rechtliche Gestaltungsaufgabe. Wer Software programmiert, Produktionsverfahren automatisiert, vernetzte Geräte konstruiert oder künstliche Intelligenz einsetzt, schafft nicht nur neue Produkte und betriebliche Möglichkeiten. Es entstehen auch Fragen nach Schutzrechten, vertraglichen Verantwortlichkeiten, Datenschutz, Produktsicherheit und betrieblicher Mitbestimmung. Ihre Beantwortung beeinflusst, ob eine Entwicklung wirtschaftlich verwertbar ist und unter welchen Bedingungen sie eingesetzt werden darf.

Das deutsche Recht kennt kein einheitliches „Technologieentwicklungsrecht“. Maßgeblich ist vielmehr das Zusammenspiel verschiedener Rechtsgebiete, ergänzt und teilweise überlagert durch unmittelbar geltendes Unionsrecht. Ein Entwicklungsprojekt kann deshalb gleichzeitig dem Bürgerlichen Gesetzbuch, dem Urheberrechtsgesetz, der Datenschutz-Grundverordnung und besonderen produktbezogenen Vorschriften unterliegen.

Der Beitrag untersucht, wie Unternehmen Technologieentwicklung rechtlich organisieren können. Im Mittelpunkt stehen die Zuordnung von Entwicklungsergebnissen, die Verteilung technischer und wirtschaftlicher Risiken sowie die Anforderungen an Einführung und Betrieb. Dabei ist zwischen gesetzlichen Mindestpflichten und vertraglich gestaltbaren Fragen zu unterscheiden. Welche Regelungen tatsächlich greifen, hängt insbesondere von Technologie, Verwendungszweck, Vertragsstruktur und betroffenen Personengruppen ab.

Begriff und rechtliche Einordnung der Technologieentwicklung

Entwicklung, Beschaffung und Einsatz

Technologieentwicklung umfasst die planmäßige Erarbeitung oder wesentliche Veränderung technischer Lösungen. Dazu gehören Forschung, Konstruktion, Programmierung, Erprobung und Weiterentwicklung. Rechtlich relevant ist auch die Integration bereits vorhandener Komponenten: Wer fremde Software, Sensoren oder KI-Modelle zu einem neuen System verbindet, kann abhängig von seiner Tätigkeit und den einschlägigen Vorschriften eigene Verantwortlichkeiten übernehmen.

Zu unterscheiden sind Eigenentwicklung, Auftragsentwicklung und gemeinschaftliche Entwicklung. Bei der Eigenentwicklung stehen insbesondere die Rechte an Arbeitsergebnissen, Beschäftigtenrechte und interne Organisationspflichten im Vordergrund. Bei externen Entwicklungsleistungen werden Vertragsgestaltung und Rechteeinräumung entscheidend. Kooperationen verlangen zusätzlich eine Regelung der Beiträge und Verwertungsbefugnisse mehrerer Beteiligter.

Die bloße Anschaffung einer Technologie ist rechtlich anders zu beurteilen als deren Herstellung. Ebenso wenig sind Entwicklung und späterer Betrieb gleichzusetzen. Ein rechtmäßig entwickelter Prototyp darf nicht zwangsläufig ohne weitere Prüfung vermarktet oder mit echten Kundendaten betrieben werden. Auch Forschungs- und Erprobungszwecke begründen keine allgemeine Ausnahme von Datenschutz-, Sicherheits- oder Schutzrechtsvorschriften.

Kein einheitlicher Schutz des Entwicklungsergebnisses

Ein technisches System kann mehrere rechtlich unterschiedliche Bestandteile enthalten. Quellcode kann urheberrechtlich geschützt sein, eine technische Erfindung patentfähig und eine nicht veröffentlichte Fertigungsmethode ein Geschäftsgeheimnis. Datenbanken können als Datenbankwerke nach § 4 Abs. 2 UrhG oder durch das besondere Recht des Datenbankherstellers nach §§ 87a ff. UrhG geschützt sein. Voraussetzungen und Reichweite dieser Schutzformen unterscheiden sich.

Dagegen begründen Entwicklungsaufwand oder wirtschaftlicher Wert allein noch kein ausschließliches Recht. Auch ein allgemeines sachenrechtliches Eigentum an Daten als solchen besteht im deutschen Recht nicht. Eigentum an einem Datenträger, urheberrechtliche Befugnisse, datenschutzrechtliche Verantwortung und gesetzliche oder vertragliche Zugriffsmöglichkeiten sind getrennt zu beurteilen.

Diese Unterscheidung verhindert, dass Unternehmen aus dem Besitz eines Systems unzutreffend umfassende Nutzungsrechte ableiten. Umgekehrt bedeutet fehlender urheberrechtlicher Schutz nicht automatisch, dass Informationen frei verwendet werden dürfen. Geheimhaltungspflichten, Datenschutz oder vertragliche Nutzungsbeschränkungen können weiterhin entgegenstehen.

Rechtlicher Rahmen und unternehmerische Verantwortung

Zivilrecht, öffentliches Recht und Unionsrecht

Das Bürgerliche Gesetzbuch regelt insbesondere Vertragsschluss, Leistungsstörungen, Schadensersatz und Verjährung. Für geistige Leistungen treten das Urheberrechtsgesetz, das Patentgesetz und das Gesetz zum Schutz von Geschäftsgeheimnissen hinzu. Arbeitsrecht und Betriebsverfassungsrecht erfassen die Rechtsstellung und Beteiligung von Beschäftigten.

Öffentlich-rechtliche Vorschriften bestimmen, unter welchen Voraussetzungen eine Technologie hergestellt, auf dem Markt bereitgestellt oder eingesetzt werden darf. Hierzu zählen produktbezogene Sicherheitsanforderungen und sektorspezifische Vorgaben, etwa für Medizinprodukte. Datenschutzrecht enthält sowohl aufsichtsrechtliche Pflichten als auch individuelle Rechte betroffener Personen.

Unionsrecht ist keine bloße Ergänzung nationaler Regeln. Die Datenschutz-Grundverordnung und die europäische KI-Verordnung enthalten unmittelbar geltende Anforderungen, wobei jeweils ihr sachlicher, räumlicher und zeitlicher Anwendungsbereich zu prüfen ist. Ihre Anwendung lässt sich innerhalb dieses Anwendungsbereichs nicht durch die Wahl deutschen oder ausländischen Vertragsrechts ausschließen.

Bei grenzüberschreitenden Projekten sind gerichtliche Zuständigkeit, anwendbares Vertragsrecht und zwingende regulatorische Vorschriften auseinanderzuhalten. Eine Rechtswahlklausel beantwortet insbesondere nicht abschließend, welche Produktanforderungen in einem Absatzmarkt gelten.

Organisationspflichten der Unternehmensleitung

Technische Entscheidungen unterliegen unternehmerischen Spielräumen. Diese entbinden die Leitung jedoch nicht von der Pflicht, rechtliche Risiken angemessen zu ermitteln und zu beherrschen. Für GmbH-Geschäftsführer ist insbesondere § 43 GmbHG, für Vorstandsmitglieder einer Aktiengesellschaft § 93 AktG maßgeblich.

Nicht jede fehlgeschlagene Entwicklung begründet eine Pflichtverletzung. Forschung und Innovation sind regelmäßig mit Unsicherheit verbunden. § 93 Abs. 1 Satz 2 AktG berücksichtigt unter den dort genannten Voraussetzungen den Entscheidungsspielraum bei unternehmerischen Entscheidungen. Daraus folgt jedoch keine Befugnis, zwingende gesetzliche Anforderungen bewusst zu missachten.

Problematisch können Entscheidungen auf unzureichender Informationsgrundlage, ungeklärte Zuständigkeiten oder eine fehlende Reaktion auf erkennbare erhebliche Risiken sein. Die Organisationspflichten sind nach Größe, Geschäftsmodell und Risikolage des Unternehmens zu konkretisieren.

Ein sicherheitskritisches Steuerungssystem verlangt regelmäßig eine andere Prüfungsintensität als ein internes Hilfsprogramm ohne vergleichbare Gefährdungen. Maßgeblich sind die gesetzlichen Einzelpflichten und eine darüber hinaus angemessene, risikogerechte Organisation. Technische oder rechtliche Aufgaben dürfen grundsätzlich delegiert werden; notwendige Auswahl-, Organisations- und Überwachungspflichten entfallen dadurch nicht ohne Weiteres.

Entwicklungsverträge und Verantwortungsverteilung

Dienstvertrag, Werkvertrag und gemischte Verträge

Die rechtliche Einordnung eines Entwicklungsvertrags richtet sich nach dem geschuldeten Inhalt, nicht allein nach seiner Überschrift. Bei einem Dienstvertrag gemäß § 611 BGB wird eine Tätigkeit geschuldet. Ein Werkvertrag gemäß § 631 BGB verpflichtet dagegen zur Herbeiführung eines vereinbarten Erfolgs.

Wird fachkundige Forschung ohne zugesagtes bestimmtes Ergebnis beauftragt, kann dies für eine dienstvertragliche Ausgestaltung sprechen. Soll eine funktionsfähige Anwendung mit festgelegten Eigenschaften erstellt werden, kann Werkvertragsrecht einschlägig sein. Bei der Lieferung herzustellender beweglicher Sachen ist außerdem § 650 BGB zu beachten, der grundsätzlich auf das Kaufrecht verweist.

Bei Hardwarelieferung, Softwareentwicklung, Schulung und laufendem Betrieb können mehrere Vertragstypen zusammentreffen. Ob einzelne Teile getrennt zu behandeln sind oder ein Schwerpunkt den Gesamtvertrag prägt, bedarf der Auslegung.

Auch eine agile Arbeitsweise legt den Vertragstyp nicht automatisch fest. Entscheidend bleibt, ob bestimmte Ergebnisse verbindlich geschuldet werden und wie die Parteien Verantwortung, Leistungsumfang und Vergütung vereinbaren. Eine Vergütung nach Zeitaufwand schließt eine werkvertragliche Erfolgspflicht nicht bereits für sich genommen aus.

Leistungsbeschreibung, Änderungen und Abnahme

Eine rechtlich brauchbare Leistungsbeschreibung übersetzt technische Erwartungen in überprüfbare Anforderungen. Dazu können Schnittstellen, Leistungsgrenzen, Sicherheitsfunktionen, Dokumentation und zulässige Einsatzbedingungen gehören. Unbestimmte Formulierungen wie „zukunftssicher“ oder „vollständig kompatibel“ erzeugen dagegen erhebliche Auslegungsrisiken.

Änderungswünsche sollten über ein geregeltes Verfahren behandelt werden. Festzulegen ist, wer Änderungen freigibt, wie Auswirkungen auf Vergütung und Termine bewertet werden und wann die geänderte Leistung verbindlich wird. Ohne solche Regeln können ursprüngliche Pflichten und spätere Erweiterungen schwer voneinander abzugrenzen sein.

Beim Werkvertrag besitzt die Abnahme nach § 640 BGB zentrale Bedeutung. Sie beeinflusst insbesondere die Vergütungsfälligkeit nach § 641 BGB sowie Beweisfragen und den Beginn bestimmter Verjährungsfristen nach § 634a BGB. Wegen unwesentlicher Mängel darf die Abnahme nach § 640 Abs. 1 BGB nicht verweigert werden.

Ein technischer Test, eine Teilfreigabe und eine rechtsgeschäftliche Abnahme sollten begrifflich und organisatorisch auseinandergehalten werden. Gleichwohl entscheidet nicht allein die Bezeichnung eines Dokuments: Auch Erklärungen und tatsächliches Verhalten können für die Auslegung erheblich sein. Gesetzliche Voraussetzungen einer fingierten Abnahme sind gesondert zu prüfen.

Nutzungsrechte und laufender Betrieb

Die Vergütung einer Entwicklung sichert nicht automatisch alle wirtschaftlich benötigten Rechte. Verträge sollten ausdrücklich klären, ob das Unternehmen die Lösung vervielfältigen, verändern, weitergeben und durch Dritte warten lassen darf. Auch zeitlicher und räumlicher Umfang sowie Ausschließlichkeit und Übertragbarkeit können wesentlich sein.

Daneben sind Herausgabe und Zugriff zu regeln. Quellcode, Build-Anleitungen, Administrationszugänge und technische Dokumentation können für die tatsächliche Handlungsfähigkeit ebenso wichtig sein wie eine Lizenz. Eine Pflicht zur Quellcodeherausgabe folgt nicht allein daraus, dass eine Individualsoftware bezahlt wurde; maßgeblich sind insbesondere die Vereinbarung und ihre Auslegung.

Wartung, Sicherheitsaktualisierungen und Unterstützung beim Anbieterwechsel sollten ausdrücklich behandelt werden. Ob entsprechende Pflichten bereits gesetzlich bestehen, hängt vom Vertrag und gegebenenfalls von besonderen produkt- oder verbraucherschützenden Vorschriften ab.

Allgemeine Geschäftsbedingungen unterliegen auch zwischen Unternehmen der Inhaltskontrolle, insbesondere nach § 307 BGB unter Berücksichtigung von § 310 BGB. Eine Unterschrift macht vorformulierte Klauseln nicht automatisch zu ausgehandelten Individualvereinbarungen. Pauschale Haftungsausschlüsse oder einseitige Änderungsrechte sind deshalb nicht ohne Prüfung ihrer Voraussetzungen und Grenzen wirksam.

Schutzrechte, Beschäftigtenerfindungen und Geschäftsgeheimnisse

Software und technische Erfindungen

Computerprogramme werden nach §§ 69a ff. UrhG geschützt, wenn die gesetzlichen Voraussetzungen vorliegen. Der Schutz betrifft die Ausdrucksform des Programms; zugrunde liegende Ideen und Grundsätze sind nach § 69a Abs. 2 UrhG nicht als solche geschützt. Funktionale Ähnlichkeit bedeutet daher nicht automatisch eine Urheberrechtsverletzung. Eine Übernahme geschützter Programmteile oder anderer geschützter Gestaltungselemente kann dagegen relevant sein.

Patentschutz setzt nach § 1 PatG insbesondere eine neue, auf erfinderischer Tätigkeit beruhende und gewerblich anwendbare Erfindung voraus. Computerprogramme als solche sind vom Patentschutz ausgeschlossen. Computerimplementierte Erfindungen können patentfähig sein; ein technischer Bezug allein ersetzt jedoch nicht die Prüfung sämtlicher Patentierungsvoraussetzungen.

Eine Veröffentlichung vor dem maßgeblichen Anmelde- oder Prioritätstag kann die Neuheit nach § 3 PatG gefährden. Präsentationen, wissenschaftliche Beiträge und öffentliche Erprobungen sollten deshalb mit der Schutzrechtsstrategie abgestimmt werden. Auf gesetzliche Ausnahmen sollte nicht ohne Prüfung ihrer engen Voraussetzungen vertraut werden.

Umgekehrt erlaubt ein eigenes Patent nicht zwingend die Nutzung der gesamten Technologie. Es vermittelt ein Ausschließlichkeitsrecht im gesetzlichen Umfang, aber keine umfassende positive Benutzungserlaubnis. Schutzrechte Dritter oder öffentlich-rechtliche Anforderungen können einer Nutzung weiterhin entgegenstehen.

Rechte an Arbeitsergebnissen von Beschäftigten

Für Computerprogramme, die Arbeitnehmer in Wahrnehmung ihrer Aufgaben oder nach Anweisungen des Arbeitgebers erstellen, enthält § 69b UrhG eine besondere Regelung: Soweit nichts anderes vereinbart ist, ist ausschließlich der Arbeitgeber zur Ausübung der vermögensrechtlichen Befugnisse berechtigt. Die Urheberschaft des Beschäftigten wird dadurch nicht auf den Arbeitgeber übertragen.

Für andere urheberrechtliche Werke besteht keine in jeder Hinsicht gleichartige Pauschalregel. Hier sind insbesondere § 43 UrhG, die arbeitsvertraglichen Aufgaben und getroffene Vereinbarungen zu berücksichtigen. Bei freien Mitarbeitern greift § 69b UrhG nicht allein aufgrund des Auftragsverhältnisses.

Unternehmen benötigen deshalb eine belastbare Rechtekette. Das gilt auch, wenn Auftragnehmer weitere Personen oder Unterauftragnehmer einsetzen. Vertragliche Zusicherungen ersetzen nicht stets die Prüfung, ob die erforderlichen Rechte tatsächlich eingeräumt werden können.

Technische Diensterfindungen richten sich nach dem Arbeitnehmererfindungsgesetz. Nach § 5 ArbNErfG sind sie unverzüglich gesondert in Textform zu melden; die Meldung muss als Erfindungsmeldung erkennbar sein. Gemäß § 6 ArbNErfG gilt die Inanspruchnahme als erklärt, wenn der Arbeitgeber die Diensterfindung nicht innerhalb von vier Monaten nach Eingang der ordnungsgemäßen Meldung in Textform freigibt.

Bei Inanspruchnahme besteht nach § 9 ArbNErfG grundsätzlich ein Anspruch auf angemessene Vergütung. Dessen Höhe ist gesondert zu bestimmen. Arbeitsvertragliche Pauschalklauseln ersetzen das gesetzliche Verfahren nicht; außerdem sind die Grenzen abweichender Vereinbarungen nach § 22 ArbNErfG zu beachten.

Geheimnisschutz und fremde Komponenten

Ein Geschäftsgeheimnis im Sinne von § 2 Nr. 1 GeschGehG setzt mehrere Merkmale voraus. Dazu gehören fehlende allgemeine Bekanntheit oder leichte Zugänglichkeit in den einschlägigen Kreisen, wirtschaftlicher Wert aufgrund der Geheimhaltung, angemessene Geheimhaltungsmaßnahmen und ein berechtigtes Geheimhaltungsinteresse.

Eine bloße interne Kennzeichnung als „vertraulich“ genügt deshalb nicht notwendig. Angemessen können je nach Umständen abgestufte Zugriffsrechte, vertragliche Verpflichtungen, technische Sicherungen und kontrollierte Weitergabeverfahren sein. Die Schutzmaßnahmen müssen zur Bedeutung der Information und zum konkreten Risiko passen.

Dabei muss das beanspruchte Geheimnis hinreichend bestimmbar bleiben. Eine unterschiedslose Behandlung sämtlicher Unternehmensinformationen als geheim ersetzt kein nachvollziehbares Schutzkonzept. Zudem ist nicht jeder Umgang mit einem Geheimnis rechtswidrig; das Gesetz unterscheidet erlaubte Handlungen, Verbote und Ausnahmen.

Bei Open-Source-Komponenten sind die jeweiligen Lizenzbedingungen zu prüfen. Open Source bedeutet nicht Rechtefreiheit. Abhängig von Lizenz und Nutzung können Hinweise, Lizenztexte oder die Bereitstellung von Quellcode erforderlich werden. Ob solche Pflichten nur eine Komponente oder weitere Programmteile erfassen, hängt von den Lizenzbestimmungen und der konkreten technischen Einbindung ab.

Datenschutz und Datenverwendung

Rechtsgrundlage und Zweckbindung

Die Verarbeitung personenbezogener Daten unterliegt der Datenschutz-Grundverordnung, soweit deren sachlicher und räumlicher Anwendungsbereich eröffnet ist. Bereits Entwicklungs- und Testumgebungen können erfasst sein, etwa bei der Nutzung von Kundenhistorien, Beschäftigtendaten oder personenbeziehbaren Gerätekennungen.

Eine Verarbeitung benötigt eine tragfähige Rechtsgrundlage nach Art. 6 DSGVO. Bei besonderen Kategorien personenbezogener Daten sind zusätzlich die Voraussetzungen des Art. 9 DSGVO zu beachten. Ein wirtschaftlich sinnvolles Entwicklungsziel ersetzt diese Voraussetzungen nicht. Auch eine Einwilligung ist nur bei Einhaltung ihrer gesetzlichen Anforderungen wirksam.

Rechtmäßig erhobene Daten dürfen nicht ohne weitere Prüfung für beliebige Entwicklungszwecke verwendet werden. Zweckbindung, Datenminimierung und Speicherbegrenzung folgen aus Art. 5 DSGVO. Bei einer Zweckänderung sind insbesondere die einschlägige Rechtsgrundlage und gegebenenfalls die Vereinbarkeitsprüfung nach Art. 6 Abs. 4 DSGVO zu berücksichtigen.

Pseudonymisierte Daten sind nicht schon wegen der Pseudonymisierung anonym. Entscheidend ist, ob eine Person unter Berücksichtigung der vernünftigerweise einsetzbaren Mittel identifiziert werden kann. Dabei können Zusatzwissen, Zugriffsrechte und tatsächliche Zugriffsmöglichkeiten erheblich sein. Die Entfernung von Namen allein belegt daher keine Anonymisierung.

Rollen, Schutzmaßnahmen und Folgenabschätzung

Bei externen Dienstleistern ist zwischen Auftragsverarbeitung, eigener Verantwortlichkeit und gemeinsamer Verantwortlichkeit zu unterscheiden. Maßgeblich ist insbesondere, wer tatsächlich über Zwecke und wesentliche Mittel der Verarbeitung entscheidet. Vertragsüberschriften allein bestimmen die datenschutzrechtliche Rolle nicht.

Für Auftragsverarbeitung gilt insbesondere Art. 28 DSGVO, für gemeinsame Verantwortlichkeit Art. 26 DSGVO. Übermittlungen an Empfänger in Drittländern erfordern zusätzlich die Prüfung der Art. 44 ff. DSGVO. Eine europäische Vertragsgesellschaft schließt eine Drittlandübermittlung nicht aus, wenn personenbezogene Daten tatsächlich einem entsprechend einzuordnenden Empfänger außerhalb des maßgeblichen europäischen Rechtsraums zugänglich gemacht werden.

Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen sind nach Art. 25 DSGVO zu berücksichtigen. Art. 32 DSGVO verlangt risikogerechte technische und organisatorische Schutzmaßnahmen. Welche Maßnahmen angemessen sind, hängt unter anderem von Art und Umfang der Verarbeitung, dem Stand der Technik sowie Eintrittswahrscheinlichkeit und Schwere möglicher Beeinträchtigungen ab.

Hat eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, ist unter den Voraussetzungen des Art. 35 DSGVO vor ihrem Beginn eine Datenschutz-Folgenabschätzung durchzuführen. Verbleibt trotz vorgesehener Maßnahmen ein entsprechendes hohes Risiko, kann zusätzlich eine vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO erforderlich sein.

Künstliche Intelligenz, Produktsicherheit und Cybersicherheit

Pflichten nach Rolle und Einsatzzweck

Die Verordnung (EU) 2024/1689 über künstliche Intelligenz unterscheidet nach Systemen, Risiken und Rollen der Beteiligten. Anbieter und Betreiber können unterschiedlichen Pflichten unterliegen. Eigene Vermarktung, wesentliche Veränderungen oder eine Änderung der Zweckbestimmung können unter den gesetzlichen Voraussetzungen zu einer anderen regulatorischen Einordnung führen.

Nicht jedes KI-System ist ein Hochrisiko-KI-System. Die Einordnung hängt insbesondere vom vorgesehenen Verwendungszweck, den gesetzlichen Fallgruppen und gegebenenfalls vorgesehenen Ausnahmen ab. Neben Anforderungen an Hochrisikosysteme enthält die Verordnung unter anderem Verbote bestimmter Praktiken, Transparenzpflichten und Vorgaben zur KI-Kompetenz. Für KI-Modelle mit allgemeinem Verwendungszweck bestehen besondere Regelungen.

Die zeitliche Anwendbarkeit ist gesondert anhand von Art. 113 der Verordnung und den einschlägigen Übergangsvorschriften zu prüfen. Inkrafttreten und Anwendbarkeit einzelner Pflichten sind nicht gleichzusetzen. Auch der Zeitpunkt des Inverkehrbringens oder der Inbetriebnahme sowie spätere Veränderungen können erheblich sein.

Eine pauschale Aussage, sämtliche Pflichten seien bereits vollständig anwendbar oder insgesamt noch unbeachtlich, wäre deshalb unzutreffend. Unabhängig davon bleiben etwa Datenschutz-, Arbeits- und Produktsicherheitsrecht nach ihren jeweiligen Voraussetzungen anwendbar.

Sicherheit ist mehr als Funktionsfähigkeit

Bei Produkten sind das Produktsicherheitsgesetz sowie einschlägige europäische Vorschriften zu prüfen. Dazu gehört für erfasste Verbraucherprodukte die Verordnung (EU) 2023/988 über die allgemeine Produktsicherheit. Daneben können speziellere Regelungen gelten, etwa für Maschinen, Medizinprodukte oder Funkanlagen. Nicht jedes Regelwerk erfasst jedes Produkt oder jede wirtschaftliche Tätigkeit.

Eine CE-Kennzeichnung ist nur im Rahmen der dafür vorgesehenen Vorschriften zulässig und gegebenenfalls vorgeschrieben. Sie ist kein allgemeines staatliches Qualitätssiegel. Die erforderlichen Konformitätsbewertungsverfahren und die mögliche Einbindung unabhängiger Stellen hängen vom jeweiligen Produktrecht ab.

Auch digitale Funktionen können sicherheitsrelevant sein. Fehlerhafte Steuerungssoftware, unzureichende Zugangssicherung oder fehlende Aktualisierungsmöglichkeiten können Risiken verursachen, obwohl das Produkt im Normalbetrieb funktioniert. Sicherheit muss deshalb bereits bei Konstruktion, Integration und Erprobung berücksichtigt werden.

Cybersicherheit ist zugleich Vertrags-, Datenschutz- und Organisationsfrage. Abhängig von Branche, Tätigkeit, Produkt und Unternehmensmerkmalen können zusätzliche gesetzliche Pflichten hinzukommen. Unternehmen sollten Zuständigkeiten für Schwachstellen, Sicherheitsaktualisierungen und Vorfallbearbeitung festlegen. Vertragliche Verteilungen beseitigen gesetzliche Verantwortlichkeiten gegenüber Behörden oder Geschädigten nicht ohne Weiteres.

Arbeitsrecht und betriebliche Mitbestimmung

Technische Überwachungseinrichtungen

Nach § 87 Abs. 1 Nr. 6 BetrVG besteht unter den allgemeinen Voraussetzungen des § 87 BetrVG ein Mitbestimmungsrecht bei Einführung und Anwendung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung der Arbeitnehmer bestimmt sind. Nach der arbeitsgerichtlichen Auslegung kommt es nicht allein auf eine erklärte Überwachungsabsicht an. Auch eine objektive Eignung zur entsprechenden Überwachung kann das Mitbestimmungsrecht auslösen.

Daher können personenbezogene Protokolldaten, Aktivitätsauswertungen oder algorithmische Leistungsbewertungen mitbestimmungsrechtlich relevant sein. Nicht jedes technische Hilfsmittel ist allerdings schon deshalb mitbestimmungspflichtig, weil es im Betrieb verwendet wird. Die Funktionen der Einrichtung und ihre Einbindung in die Verarbeitung sind konkret zu untersuchen.

Auch eine als Pilotprojekt bezeichnete Einführung ist nicht automatisch ausgenommen. Entscheidend sind die tatsächliche Nutzung und die gesetzlichen Voraussetzungen.

Datenschutzrechtliche Zulässigkeit und Mitbestimmung sind getrennt zu prüfen. Eine Betriebsvereinbarung kann die Verarbeitung ausgestalten und innerhalb des rechtlichen Rahmens eine datenschutzrechtliche Grundlage bilden. Sie darf jedoch höherrangige Datenschutzanforderungen nicht unterschreiten. Umgekehrt entfallen Beteiligungsrechte nicht allein deshalb, weil eine Verarbeitung datenschutzrechtlich zulässig erscheint.

Veränderung von Arbeitsabläufen

Technologieentwicklung verändert häufig Aufgaben, Qualifikationsanforderungen und Arbeitsplätze. § 90 BetrVG enthält Unterrichtungs- und Beratungsrechte bei bestimmten Planungen, darunter technische Anlagen sowie Arbeitsverfahren und Arbeitsabläufe. Die Vorschrift bezieht den Einsatz künstlicher Intelligenz ausdrücklich ein.

Erreicht eine Umgestaltung die Voraussetzungen einer Betriebsänderung nach § 111 BetrVG, können weitergehende Beteiligungspflichten entstehen. Maßgeblich sind unter anderem der gesetzliche Schwellenwert auf Unternehmensebene, die Art der Veränderung und die möglichen Nachteile für die Belegschaft oder erhebliche Teile davon.

Nicht jede neue Software stellt eine Betriebsänderung dar. Umgekehrt kann eine umfassende Umgestaltung von Arbeitsmethoden oder der Betriebsorganisation auch ohne vollständige Stilllegung von Arbeitsbereichen relevant sein.

Technische Planung, Personalplanung und Beteiligungsverfahren sollten deshalb zeitlich aufeinander abgestimmt werden. Beteiligung erst nach endgültigen, praktisch unumkehrbaren Entscheidungen kann gesetzlichen Anforderungen widersprechen und zusätzliche Anpassungen erforderlich machen.

Maßgebliche Rechtsprechungslinien

Softwarelizenzen und Erschöpfung

Der Bundesgerichtshof behandelte im Urteil vom 17. Juli 2013 – I ZR 129/08, „UsedSoft II“ – die urheberrechtlichen Voraussetzungen des Weitervertriebs gebrauchter Software im Anschluss an die unionsrechtliche Rechtsprechung.

Die Entscheidung verdeutlicht, dass die Bereitstellung durch Herunterladen eine Erschöpfung des Verbreitungsrechts unter bestimmten Voraussetzungen nicht ausschließt. Wesentlich sind insbesondere die rechtlichen Bedingungen der ursprünglichen Überlassung. Bei einem Weiterverkauf darf der ursprüngliche Erwerber seine Programmkopie nicht weiterbenutzen, sondern muss sie im erforderlichen Umfang unbrauchbar machen.

Daraus folgt keine allgemeine Freiheit zur Übertragung sämtlicher Softwarezugänge. Die Erschöpfung des Verbreitungsrechts ist insbesondere nicht mit einer unbegrenzten Übertragung aller Vertragsrechte oder Dienstleistungen gleichzusetzen. Auf zeitlich begrenzte Nutzungsmodelle oder reine Cloud-Leistungen lässt sich die Aussage nicht pauschal übertragen.

Drittlandtransfers und Datenschutzschäden

Mit Urteil vom 16. Juli 2020 – C-311/18, „Schrems II“ – erklärte der Gerichtshof der Europäischen Union den damaligen Angemessenheitsbeschluss zum EU-US Privacy Shield für ungültig. Die in dem Verfahren überprüften Standardvertragsklauseln wurden nicht allgemein für ungültig erklärt. Ihre Verwendung entbindet jedoch nicht von der Prüfung, ob im konkreten Fall ein unionsrechtlich ausreichendes Schutzniveau gewährleistet werden kann.

Die Entscheidung besagt nicht, dass jede Datenübermittlung in die Vereinigten Staaten dauerhaft unzulässig wäre. Für einen konkreten Transfer sind die jeweils anwendbaren Angemessenheitsbeschlüsse, Garantien, Voraussetzungen und gegebenenfalls erforderlichen zusätzlichen Maßnahmen zu prüfen.

Im Urteil vom 4. Mai 2023 – C-300/21, „Österreichische Post“ – stellte der Gerichtshof klar, dass ein DSGVO-Verstoß allein keinen Schadensersatzanspruch nach Art. 82 DSGVO begründet. Erforderlich sind ein materieller oder immaterieller Schaden und ein Kausalzusammenhang zwischen Verstoß und Schaden.

Eine besondere Erheblichkeitsschwelle für immaterielle Schäden darf dagegen nicht verlangt werden. Daraus folgt weder ein automatischer Geldanspruch noch die Entbehrlichkeit des Schadensnachweises. Rechtmäßigkeit der Verarbeitung, aufsichtsrechtliche Sanktionen und individueller Schadensersatz sind auseinanderzuhalten.

Typische Fallkonstellationen

Externe Entwicklung ohne gesicherte Wartbarkeit

Ein Unternehmen beauftragt in einer beispielhaften Konstellation eine individuelle Software. Der Vertrag enthält einen Festpreis, aber keine eindeutigen Regelungen zu Quellcode, Dokumentation und Bearbeitungsrechten. Nach Projektabschluss soll ein anderer Dienstleister übernehmen.

Ein möglicher Streit betrifft dann nicht allein die Funktionsfähigkeit, sondern auch die Reichweite der eingeräumten Rechte und etwaiger Herausgabepflichten. § 31 Abs. 5 UrhG kann bei der Bestimmung des Umfangs eingeräumter Nutzungsrechte anhand des Vertragszwecks bedeutsam sein. Die Vorschrift verschafft jedoch nicht automatisch sämtliche wirtschaftlich gewünschten Befugnisse oder einen umfassenden Herausgabeanspruch.

Eine frühzeitige Rechte- und Übergaberegelung reduziert diese Unsicherheit. Dabei sollten auch Abhängigkeiten von fremden Bibliotheken, Zugangssystemen und Entwicklungswerkzeugen berücksichtigt werden. Ein übergebener Quellcode allein gewährleistet noch keine technisch oder rechtlich uneingeschränkte Wartbarkeit.

KI-Training mit betrieblichen Daten

Ein Unternehmen möchte beispielsweise Supportanfragen zur Verbesserung eines KI-Systems verwenden. Enthalten die Datensätze personenbezogene Informationen, müssen Rechtsgrundlage, Zweckänderung und Informationspflichten geprüft werden. Bei sensiblen Inhalten können zusätzliche Anforderungen hinzukommen.

Auch Geschäftsgeheimnisse der Kunden, vertragliche Vertraulichkeitspflichten oder urheberrechtlich geschützte Inhalte können betroffen sein. Der Umstand, dass die Daten technisch verfügbar sind, beantwortet keine dieser Rechtsfragen. Ebenso wenig rechtfertigt die bloße Bezeichnung als „Training“ eine bestimmte rechtliche Behandlung.

Nutzt ein Dienstleister die Inhalte für eigene Trainingszwecke, kann dies die datenschutzrechtliche Rollenverteilung verändern. Eine als Auftragsverarbeitung bezeichnete Zusammenarbeit deckt solche eigenen Zwecke nicht automatisch ab. Deshalb sind tatsächliche Verarbeitung, vertragliche Zusagen und technische Einstellungen zusammen zu bewerten.

Gemeinsame Entwicklung mehrerer Unternehmen

Bei einer beispielhaften Kooperation bringt ein Beteiligter bestehende Software ein, ein anderer technische Kenntnisse und ein weiterer Versuchsdaten. Ohne klare Vereinbarung kann ungewiss sein, welche Beiträge und Ergebnisse unabhängig weiterverwendet werden dürfen.

Zu regeln sind bestehende Rechte, neu entstehende Ergebnisse, Schutzrechtsanmeldungen, Veröffentlichungen und das Ausscheiden einzelner Partner. Eine Zusammenarbeit begründet nicht automatisch gleichberechtigte Rechte an sämtlichen Beiträgen. Ebenso können gemeinschaftlich entstandene Rechte besonderen gesetzlichen Regeln unterliegen.

Hinzu kommen kartellrechtliche Grenzen nach § 1 GWB und, soweit dessen Voraussetzungen vorliegen, Art. 101 AEUV. Forschungskooperationen sind nicht grundsätzlich verboten; Freistellungen können in Betracht kommen. Sie rechtfertigen jedoch insbesondere nicht ohne Weiteres Preisabsprachen oder eine Aufteilung von Absatzmärkten.

Rechtsfolgen, Verfahren und Fristen

Ansprüche und behördliche Maßnahmen

Bei mangelhafter werkvertraglicher Entwicklung ergeben sich mögliche Rechte aus § 634 BGB. Dazu gehören unter den jeweiligen Voraussetzungen Nacherfüllung, Selbstvornahme mit Aufwendungsersatz, Rücktritt, Minderung und Schadensersatz.

Nicht jedes Recht steht sofort oder gleichzeitig zur Verfügung. Für bestimmte Rechte ist grundsätzlich zunächst eine angemessene Frist zur Nacherfüllung erforderlich; gesetzliche Ausnahmen sind gesondert zu prüfen. Auch der Zeitpunkt der Abnahme und die Frage, ob überhaupt Werkvertragsrecht gilt, können für das einschlägige Anspruchssystem entscheidend sein.

Schutzrechtsverletzungen können Unterlassungs-, Auskunfts- und Schadensersatzansprüche auslösen. Für urheberrechtliche Unterlassungs- und Schadensersatzansprüche ist insbesondere § 97 UrhG, für entsprechende patentgesetzliche Ansprüche § 139 PatG relevant. Auskunftsansprüche haben zusätzliche, eigenständig zu prüfende Grundlagen, etwa § 101 UrhG oder § 140b PatG. Das Geschäftsgeheimnisgesetz enthält eigene Ansprüche und Einschränkungen.

Daneben kommen behördliche Anordnungen, Verarbeitungsbeschränkungen oder produktbezogene Maßnahmen in Betracht. Datenschutzverstöße können unter den Voraussetzungen des Art. 83 DSGVO mit Geldbußen geahndet werden. Verantwortlichkeit und Höhe richten sich nach den einschlägigen gesetzlichen Voraussetzungen und dem Einzelfall.

Haftung gegenüber Geschädigten

Neben Vertragshaftung können deliktische Ansprüche, insbesondere nach § 823 BGB, sowie Ansprüche nach dem Produkthaftungsgesetz relevant werden. Anspruchsberechtigte, geschützte Rechtsgüter, Verschuldenserfordernisse und Beweisfragen unterscheiden sich je nach Anspruchsgrundlage.

Die verschuldensunabhängige Haftung nach dem Produkthaftungsgesetz erfasst nicht jeden wirtschaftlichen Nachteil. Insbesondere sind Schäden am fehlerhaften Produkt selbst von den dort geregelten Sachschäden zu unterscheiden. Reine Vermögensschäden werden nicht schon deshalb ersetzt, weil eine Technologie fehlerhaft war.

Bei Software und digital geprägten Produkten ist außerdem zwischen verschiedenen rechtlichen Produktbegriffen zu unterscheiden. Die Richtlinie (EU) 2024/2853 über die Haftung für fehlerhafte Produkte sieht Änderungen des europäischen Produkthaftungsrechts vor. Ihre Vorgaben dürfen jedoch nicht ohne Prüfung von Umsetzung, zeitlicher Anwendbarkeit und Übergangsrecht als unmittelbar geltende Anspruchsgrundlage zwischen Privaten behandelt werden.

Haftungsbegrenzungen im Entwicklungsvertrag wirken grundsätzlich zwischen den Vertragsparteien und nur innerhalb ihrer rechtlichen Wirksamkeitsgrenzen. Ansprüche unbeteiligter Dritter oder öffentlich-rechtliche Pflichten lassen sich dadurch nicht beliebig ausschließen.

Verjährung, Meldungen und Beweissicherung

Die regelmäßige Verjährungsfrist beträgt nach § 195 BGB drei Jahre. Ihr Beginn richtet sich grundsätzlich nach § 199 Abs. 1 BGB: Sie beginnt regelmäßig mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und die anspruchsberechtigte Person die maßgeblichen Umstände sowie den Schuldner kennt oder ohne grobe Fahrlässigkeit kennen müsste.

Daneben bestehen kenntnisunabhängige Höchstfristen und besondere Verjährungsregelungen. Für kauf- und werkvertragliche Mängelansprüche sind insbesondere §§ 438 und 634a BGB zu prüfen. Die konkrete Frist und ihr Beginn hängen von Anspruch, Vertragsgegenstand und weiteren Umständen ab. Die regelmäßige Dreijahresfrist darf daher nicht unterschiedslos auf Entwicklungsstreitigkeiten übertragen werden.

Ein bloßes Anspruchsschreiben hemmt die Verjährung nicht automatisch. Verhandlungen können nach § 203 BGB, bestimmte Maßnahmen der Rechtsverfolgung nach § 204 BGB eine Hemmung bewirken. Ob ihre Voraussetzungen erfüllt sind, ist anhand des konkreten Ablaufs zu beurteilen.

Bei meldepflichtigen Verletzungen des Schutzes personenbezogener Daten verlangt Art. 33 DSGVO vom Verantwortlichen eine Meldung an die zuständige Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden. Erfolgt die Meldung später, ist die Verzögerung zu begründen. Eine Meldung ist nicht erforderlich, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Auftragsverarbeiter müssen entsprechende Verletzungen dem Verantwortlichen unverzüglich melden. Eine zusätzliche Benachrichtigung betroffener Personen richtet sich nach Art. 34 DSGVO und hat eigene Voraussetzungen. Auch nicht meldepflichtige Datenschutzverletzungen unterliegen der Dokumentationspflicht nach Art. 33 Abs. 5 DSGVO.

Für Streitigkeiten sollten Vertragsstände, Änderungsaufträge, Tests und Fehlerberichte nachvollziehbar gesichert werden. Protokolle müssen ihrerseits rechtmäßig erhoben und aufbewahrt werden. Ein selbständiges Beweisverfahren nach §§ 485 ff. ZPO kann unter den gesetzlichen Voraussetzungen technische Tatsachen unabhängig von einem Hauptprozess sichern.

Praktische Handlungsschritte

Prüfung entlang des Entwicklungsprozesses

Eine wirksame rechtliche Begleitung orientiert sich an den tatsächlichen Projektentscheidungen:

• Vor Projektbeginn: Verwendungszweck, regulatorische Einordnung, Verantwortlichkeiten und vorhandene Rechte erfassen.
• Vor Beauftragung: Leistungsumfang, Änderungsverfahren, Vergütung, Nutzungsrechte und Übergabepflichten festlegen.
• Während der Entwicklung: Datenschutz, Sicherheitsanforderungen, Beschäftigtenbeteiligung und Fremdkomponenten überprüfen.
• Vor Veröffentlichung: Mögliche Auswirkungen auf Patentfähigkeit und Geheimnisschutz sowie Rechte Dritter prüfen.
• Vor Inbetriebnahme: Vertragliche Abnahme, vorgeschriebene Bewertungen, Dokumentation und betriebliche Freigaben voneinander unterscheiden und koordinieren.
• Im laufenden Betrieb: Schwachstellen, erforderliche Aktualisierungen, Beschwerden und einschlägige Rechtsänderungen verfolgen.

Diese Prüfung sollte bei wesentlichen Änderungen wiederholt werden. Neue Datenquellen, Funktionen oder Einsatzgebiete können eine zunächst zutreffende rechtliche Bewertung verändern. Dasselbe gilt für den Wechsel von Dienstleistern oder die Überführung eines internen Werkzeugs in ein vermarktetes Produkt.

Die genannten Schritte sind ein allgemeines Organisationsmodell. Sie ersetzen nicht die Ermittlung spezieller gesetzlicher Pflichten und begründen ihrerseits keine pauschale gesetzliche Pflicht zu jedem einzelnen beschriebenen Arbeitsschritt.

Dokumentation und Zuständigkeiten

Wesentliche Pflichten sollten einer zuständigen Stelle zugeordnet sein. Soweit gesetzliche Nachweispflichten bestehen, müssen die erforderlichen Unterlagen verfügbar und aussagekräftig sein. Darüber hinaus kann Dokumentation die Nachvollziehbarkeit technischer Entscheidungen und die spätere Beweisführung verbessern.

Entwicklung, Einkauf, Datenschutz, Informationssicherheit und Rechtsfunktion sollten mit einem abgestimmten Projektstand arbeiten. Unterschiedliche Annahmen über Datenflüsse, zugesagte Eigenschaften oder eingesetzte Komponenten können rechtliche Bewertungen entwerten.

Für kleinere Unternehmen bedeutet dies nicht zwingend eine umfangreiche Verwaltungsstruktur. Entscheidend sind angemessene Zuständigkeiten, nachvollziehbare Entscheidungen und funktionsfähige Eskalationswege. Externe Prüfungen können unterstützen, ersetzen aber nicht ohne Weiteres die Verantwortung für die tatsächliche Umsetzung.

Offene Streitfragen und Entwicklungsbedarf

KI-Ergebnisse und Trainingsmaterial

Bei KI-generierten Ergebnissen ist die urheberrechtliche Schutzfähigkeit differenziert zu beurteilen. Nach § 2 Abs. 2 UrhG setzt Werkschutz eine persönliche geistige Schöpfung voraus. Rein maschinell erzeugte Inhalte werden deshalb nicht allein durch wirtschaftlichen Aufwand oder die Bedienung eines Systems zu urheberrechtlich geschützten Werken.

Menschliche Auswahl, Bearbeitung oder Gestaltung können eigenständig schutzfähig sein, wenn sie die erforderliche schöpferische Qualität erreichen. Ob und in welchem Umfang sich eine menschliche Gestaltung im Ergebnis niederschlägt, bleibt einzelfallabhängig. Die bloße Formulierung einer Anweisung gewährleistet keinen Schutz des erzeugten Ergebnisses.

Bei Trainingsmaterial stellen sich Fragen zu Vervielfältigungen, Lizenzen und den Schranken für Text und Data Mining, insbesondere nach §§ 44b und 60d UrhG. § 44b UrhG ist nicht generell auf nichtkommerzielle Zwecke beschränkt. Seine Voraussetzungen, insbesondere rechtmäßiger Zugang und wirksame Nutzungsvorbehalte, müssen jedoch erfüllt sein.

§ 60d UrhG betrifft Text und Data Mining für wissenschaftliche Forschung innerhalb eines besonderen gesetzlichen Rahmens. Eine pauschale Erlaubnis für jedes KI-Training lässt sich aus keiner der beiden Vorschriften ableiten. Die Einordnung einzelner technischer Verarbeitungsschritte und die Reichweite der Schranken können rechtlich umstritten sein. Datenschutz und Geheimnisschutz bleiben unabhängig davon zu beachten.

Autonomie und Verantwortlichkeit

Je stärker Systeme selbständig handeln, desto schwieriger kann die Zuordnung einzelner Fehler werden. Das führt nicht automatisch zu einer Haftungslücke oder zu einer eigenständigen Rechtspersönlichkeit des Systems. Bestehende Regeln knüpfen insbesondere an Entwicklung, Bereitstellung, Auswahl und Betrieb an.

Offen oder einzelfallabhängig bleiben unter anderem die angemessene Überwachungsintensität, Anforderungen an Erklärbarkeit und die Beweisführung bei komplexen Modellen. Eine fehlende vollständige technische Erklärbarkeit beseitigt gesetzliche Pflichten nicht. Sie kann vielmehr die Frage aufwerfen, ob ein bestimmter Einsatz unter den gegebenen Bedingungen zulässig und ausreichend beherrschbar ist.

Vertragliche Risikoverteilung kann Zuständigkeiten und Informationspflichten strukturieren. Zwingende gesetzliche Verantwortung lässt sich dadurch jedoch nicht vollständig verlagern. Auch eine weitgehende technische Autonomie entbindet Unternehmen nicht von der Prüfung ihrer eigenen Sorgfalts- und Organisationspflichten.

Zusammenfassung

Technologieentwicklung in Unternehmen ist rechtlich als zusammenhängender Prozess von Planung, Entwicklung, Vermarktung und Betrieb zu betrachten. Ein einzelner Entwicklungsvertrag oder eine ausschließlich abschließende Datenschutzprüfung deckt die dabei auftretenden Fragen regelmäßig nicht vollständig ab.

Im Zentrum stehen eine eindeutige Leistungsbeschreibung, belastbare Rechteketten, angemessener Geheimnisschutz und die frühzeitige Berücksichtigung von Datenschutz, Sicherheit und Beschäftigtenrechten. Bei künstlicher Intelligenz und vernetzten Produkten müssen zusätzlich technologie- und verwendungsbezogene Vorschriften einschließlich ihrer zeitlichen Anwendbarkeit geprüft werden.

Rechtliche Risiken entstehen besonders dort, wo technische Annahmen ungeprüft in rechtliche Schlussfolgerungen übergehen: Datenzugriff bedeutet keine freie Nutzbarkeit, Bezahlung keine umfassende Rechteeinräumung und technische Funktionsfähigkeit keine regulatorische Zulässigkeit.

Klare Zuständigkeiten, nachvollziehbare Dokumentation und anlassbezogene erneute Prüfungen unterstützen tragfähige Entscheidungen. Welche Maßnahmen rechtlich erforderlich sind, bleibt nach Technologie, Vertragslage, anwendbaren Vorschriften und konkretem Gefährdungspotenzial zu bestimmen.