Die Bundesnetzagentur hält diese Anbieterpflicht auch auf Verträge für anwendbar, die vor September 2025 abgeschlossen wurden.

Nicht vom Wechselrecht erfasst sind allerdings Dienste, die so stark individualisiert sind, dass sie schon keine Datenverarbeitungsdienste im Sinne von Art. 2 Nr. 8 Data Act darstellen, etwa weil der Anbieter sie eigens für einen einzelnen Kunden programmiert hat und sie nicht auf einem gemeinsam genutzten, elastisch skalierbaren Ressourcenpool beruhen.

Diese Ausnahme ist dabei eng: Nach einer im Auftrag der Bundesnetzagentur erstellten Studie genügt für das Merkmal der Elastizität bereits ein darauf angelegtes Geschäftsmodell. Auch als „maßgeschneidert“ vermarktete Private-Cloud-Angebote auf standardisierter Infrastruktur gelten danach als Datenverarbeitungsdienste. Die bloße Konfiguration eines Standarddienstes, die Aktivierung von Standardmodulen oder Wahlmöglichkeiten aus einer standardisierten Produktpalette begründen nach der Studie auch keine Privilegierung nach Art. 31 Abs. 1 Data Act. Für solche Dienste gilt Kapitel VI vollständig. Selbst Datenverarbeitungsdienste, die die Voraussetzungen des Art. 31 Abs. 1 Data Act erfüllen, sind nur von einzelnen Pflichten befreit (Art. 23 lit. d, Art. 29 und Art. 30 Abs. 1 und 3 Data Act); am Wechselrecht des Kunden nach Art. 25 Data Act ändert das nichts.

Tipp für die Unternehmenspraxis: Verantwortliche sollten sich ein Bild über bestehende Cloud-Verträge verschaffen und ggf. mit dem Verlangen nach Vertragsklauseln direkt den Wechsel beim Anbieter anmelden. Voraussetzung ist, dass Kunden diesen Wechsel dann auch tatsächlich und technisch-fachlich vollziehen wollen und können. Da es sich beim Wechselverlangen aber nicht um eine nicht zurücknehmbare Kündigung handelt, führt das Wechselverlangen in der Regel erst einmal zu Gesprächen. Diese Möglichkeit sollten sich Inhaber von Altverträgen nicht entgehen lassen, wenn das Vertragskorsett der aktuellen, noch länger laufenden Verträge nicht mehr zu ihrer unternehmerischen Realität passt.

Was gilt bei befristeten Verträgen?

Der Data Act verbietet keineswegs Festlaufzeiten. Er verpflichtet Anbieter aber, auch während laufender Festlaufzeitverträge eine wechselbedingte Vertragsbeendigung jederzeit mit einer grundsätzlichen Ankündigungsfrist von maximal zwei Monaten (Art. 25 Abs. 2 lit. d Data Act) zu ermöglichen. Wer also in einem Dreijahresvertrag steckt und zu einem anderen Anbieter wechseln will, soll das tun können.

Die Beendigungsfolgen bleiben gleichwohl vertraglich regelbar. Erwägungsgrund 89 nennt ausdrücklich „verhältnismäßige Sanktionen“ als zulässig; Art. 2 Nr. 36 Data Act nimmt sie vom Begriff der Wechselentgelte aus; Art. 29 Abs. 4 Data Act setzt sie als vorvertragliche Informationspflicht voraus. Dazu gehören auch Vertragsstrafen, die damit grundsätzlich für einen Wechsel vereinbart werden können.

Einige Anbieter haben inzwischen reagiert und Wechselklauseln aufgenommen. Fragwürdig erscheinen Klauseln, die zwar formal auf die Pflicht des Data Act reagieren, den Wechsel aber durch die Höhe der Sanktionen faktisch unattraktiv machen. Ob eine Klausel, die bei vorzeitiger Kündigung 60 Prozent der ausstehenden Gesamtvergütung als Pauschale vorsieht und gleichzeitig die Preise für verbleibende Services anhebt, noch als verhältnismäßig gilt, ist ernsthaft zu bezweifeln. Der Gedanke des Gesetzgebers, Lock-in-Situationen aufzubrechen, liefe wohl in diesem Fall ins Leere. Allerdings scheint die Bundesnetzagentur auf dem Standpunkt zu stehen, dass das „Ob“ der Wechselklausel in ihre Zuständigkeit fällt (und daher der Beschwerde zugänglich ist), die Frage der Angemessenheit von Ausstiegssanktionen aber keine des Data Acts und daher vor Zivilgerichten zu verhandeln sei. Diese Auffassung wird aus unserer Sicht nur bedingt vom Ziel des Data Acts, effektive Wechselmöglichkeiten zu schaffen, gestützt. Nicht zuletzt ist zu erwähnen, dass auch Kartellbehörden die Ansätze mancher IT-Anbieter, Kunden über eng gewobene, vertragliche Mechanismen (beispielsweise bei Softwarepflege) in langfristige und teure Bindungen zu zwingen, durchaus kritisch sehen.

Was gilt, wenn der Vertrag kein Wechselrecht vorsieht?

Viele Bestandsverträge enthalten keine Wechselklauseln. Der naheliegende erste Schritt: den Anbieter auffordern, ein konformes Vertragsanpassungsangebot vorzulegen, denn der Anbieter ist zur Umsetzung der Vorgaben des Data Act verpflichtet.

Bleibt bei fehlenden Klauseln die Reaktion des Anbieters aus, kommt eine Beschwerde bei der Bundesnetzagentur als zuständige Aufsichtsbehörde infrage, die ihrerseits Bußgelder verhängen kann (§ 15 DADG (Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetz)).

Ob daneben unmittelbare zivilrechtliche Ansprüche des Kunden – etwa auf Vertragsanpassung oder Schadensersatz – aus dem Data Act selbst folgen, ergibt sich aus der Verordnung nicht. Die Frage ist in Rechtsprechung und Literatur noch nicht geklärt. Ebenso offen ist die Frage, welche (Un)Wirksamkeitsfolgen für Regelungen eintreten, die gegen Kapitel VI DA (Art. 23 ff.) verstoßen. Ein Ansatzpunkt für kommerzielle Verhandlungen ergibt sich daraus aber allemal.

Fragen?

Wenn Sie prüfen möchten, ob Ihre bestehenden Verträge den Anforderungen des Data Act genügen, wie sich ein Wechselverlangen gegenüber Ihrem Anbieter sinnvoll aufsetzen lässt oder welche Handlungsoptionen bei Altverträgen ohne Wechselklauseln bestehen, stehen Ihnen Prof. Dr. Marc Strittmatter und Manuel Treiterer gerne zur Verfügung. Einen Überblick über unsere Beratung finden Sie auf unserer Seite zu IT-Verträgen.

Die Entscheidung zeigt, wie hoch die rechtlichen Hürden für den Markenschutz einzelner Farben liegen, und dürfte für alle Unternehmen von Interesse sein, die Farben als Teil ihrer Unternehmensidentität und Kennzeichnungsstrategie einsetzen.

Worum ging es in dem Verfahren?

Im Kern ging es um die Frage, ob eine seit 2010 eingetragene Farbmarke Orange für Einzelhandelsdienstleistungen im Bereich von Bau- und Heimwerkerartikeln Bestand haben konnte. Die Markeninhaberin, eine Baumarktkette, hatte sich die Marke seinerzeit auf der Grundlage eines demoskopischen Gutachtens als sogenannte verkehrsdurchgesetzte Marke eintragen lassen, also gestützt auf eine durch tatsächliche Benutzung erworbene Unterscheidungskraft im Sinne von § 8 Abs. 3 MarkenG. Konkurrierende Baumarktketten beantragten später die Löschung der Marke mit der Begründung, das Zeichen weise nicht auf ein bestimmtes Unternehmen hin und verfüge daher nicht über die erforderliche Unterscheidungskraft. Sowohl das Deutsche Patent- und Markenamt (DPMA) als auch das Bundespatentgericht gaben den Löschungsanträgen statt. Die Markeninhaberin verfolgte ihr Anliegen daraufhin mit der vom Bundespatentgericht zugelassenen Rechtsbeschwerde vor dem BGH weiter, allerdings ohne Erfolg.

Warum fehlt abstrakten Farbmarken regelmäßig die Unterscheidungskraft?

Abstrakten Farbmarken fehlt nach der vom BGH bestätigten Rechtsprechung im Allgemeinen die für die Eintragung erforderliche originäre Unterscheidungskraft nach § 8 Abs. 2 Nr. 1 MarkenG. Verbraucher schließen aus der Farbe eines Produkts oder einer Dienstleistung regelmäßig nicht auf ein bestimmtes Unternehmen, sondern nehmen Farben eher als gestalterisches oder werbliches Element wahr. Im entschiedenen Fall kam hinzu, dass der angesprochene Verkehr nach den Feststellungen des Bundespatentgerichts nicht daran gewöhnt ist, dass im Bereich von Bau- und Heimwerkerartikeln Farben überhaupt als Kennzeichnungsmittel eingesetzt werden. Besondere Umstände, die ausnahmsweise für eine originäre Unterscheidungskraft der angegriffenen Farbmarke hätten sprechen können, waren danach nicht ersichtlich.

Kann eine Farbmarke durch Verkehrsdurchsetzung geschützt werden?

Ja, grundsätzlich kann eine fehlende originäre Unterscheidungskraft nach § 8 Abs. 3 MarkenG überwunden werden, wenn sich das Zeichen vor der Eintragungsentscheidung infolge seiner Benutzung in den beteiligten Verkehrskreisen durchgesetzt hat. Hierfür bedarf es regelmäßig eines belastbaren Nachweises, häufig in Form demoskopischer Gutachten, aus denen sich ein hinreichender Zuordnungsgrad zwischen dem Zeichen und einem bestimmten Unternehmen ergibt. Im vorliegenden Fall legte die Markeninhaberin gleich mehrere Gutachten vor, die für den Nachweis der Verkehrsdurchsetzung jedoch nicht ausreichten.

Das im Eintragungsverfahren vorgelegte Gutachten aus dem Jahr 2012 wies für den Anmeldezeitpunkt 2010 lediglich einen Zuordnungsgrad von 45,6 Prozent in der Gesamtbevölkerung aus. Da es sich bei Bau- und Heimwerkerartikeln um Waren des Massenkonsums handelt, an denen bei praktisch jedem Verbraucher ein Bedarf entstehen kann, war für die Beurteilung der Verkehrsdurchsetzung auf die Gesamtbevölkerung und nicht nur auf einen engeren angesprochenen Verkehrskreis abzustellen. Auch für den späteren maßgeblichen Beurteilungszeitpunkt im Januar 2025 ließ sich eine Verkehrsdurchsetzung nicht mit der erforderlichen Sicherheit belegen: Ein Gutachten aus dem Jahr 2020 kam auf einen Zuordnungsgrad von 49,6 Prozent, während ein von den Antragstellerinnen vorgelegtes Gegengutachten aus dem Jahr 2021 lediglich einen Zuordnungsgrad von 30 Prozent ermittelte. Das Bundespatentgericht hielt es dabei ohne erkennbaren Rechtsfehler für ausgeschlossen, dass methodische Mängel des Gegengutachtens für den niedrigeren Wert ursächlich waren.

Warum hat der BGH die Löschung bestätigt?

Der BGH bestätigte, dass weder zum Anmeldezeitpunkt im Jahr 2010 noch zum späteren maßgeblichen Beurteilungszeitpunkt eine Verkehrsdurchsetzung im erforderlichen Umfang nachgewiesen werden konnte. Auch die von der Markeninhaberin vorgetragenen Umstände zu Dauer und Umfang der Markennutzung vermochten die bestehenden Zweifel nicht auszuräumen. Eine von Amts wegen einzuholende gerichtliche Begutachtung war zudem nicht geboten. Da die originäre Unterscheidungskraft von Anfang an fehlte und auch keine Verkehrsdurchsetzung festgestellt werden konnte, war die Marke nach § 50 MarkenG zu löschen.

Was bedeutet das Urteil für Unternehmen, die Farben als Markenzeichen nutzen wollen?

Die Entscheidung dürfte für Unternehmen relevant sein, die eine Farbe als zentrales Element ihrer Unternehmensidentität etabliert haben oder etablieren möchten. Sie verdeutlicht, dass der markenrechtliche Schutz einer einzelnen Farbe an hohe Voraussetzungen geknüpft ist und ein einmal erlangter Farbmarkenschutz keineswegs dauerhaft gesichert ist, sondern im Löschungsverfahren erneut auf dem Prüfstand stehen kann. Insbesondere der Nachweis der Verkehrsdurchsetzung erfordert nach den vorliegenden Feststellungen belastbare und im Zeitverlauf konsistente demoskopische Erhebungen, wobei bereits vergleichsweise geringe Abweichungen im Zuordnungsgrad entscheidungserheblich werden können. Unternehmen, die auf eine Farbe als Kennzeichnungsmittel setzen, sollten diese nach hiesiger Einschätzung nicht isoliert betrachten, sondern ergänzend auf weitere Kennzeichenrechte wie Wort- oder Bildmarken sowie auf eine sorgfältige, kontinuierliche Dokumentation der tatsächlichen Markennutzung achten.

Fazit

Die Entscheidung des Bundesgerichtshofs bestätigt die restriktive Linie der Rechtsprechung zu abstrakten Farbmarken und zeigt zugleich, dass ein einmal gewährter Markenschutz für eine Farbe im Löschungsverfahren nicht ohne Weiteres Bestand hat. Für Unternehmen, die ihre Kennzeichenstrategie auf Farben stützen möchten, empfiehlt sich nach dieser Entscheidung eine frühzeitige und fortlaufende rechtliche Begleitung im Markenrecht, um die Voraussetzungen einer Verkehrsdurchsetzung nach Möglichkeit zu sichern und zu dokumentieren.

Wenn Sie prüfen möchten, wie Sie Ihre Unternehmensfarbe oder andere Kennzeichen wirksam und rechtssicher schützen können, stehen Ihnen Jürgen Held, Fachanwalt für Gewerblichen Rechtsschutz/IP, und die Experten des IP-Teams in Stuttgart zur Verfügung.

Anwendungsbereich und Adressaten des CRA haben wir in unserem Übersichtsbeitrag behandelt.

Was muss gemeldet werden?

Art. 14 CRA kennt zwei Meldetatbestände, die unabhängig nebeneinander stehen:

• Aktiv ausgenutzte Schwachstelle: eine Schwäche des vernetzten Produkts mit digitalen Elementen, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie ohne Zustimmung des Herstellers tatsächlich ausgenutzt hat.

Dass eine Schwachstelle besteht oder theoretisch ausnutzbar wäre, genügt also nicht; für die tatsächliche Ausnutzung muss es konkrete Anhaltspunkte geben.

• Schwerwiegender Sicherheitsvorfall: ein Sicherheitsvorfall, der die Fähigkeit des vernetzten Produkts mit digitalen Elementen beeinträchtigt oder beeinträchtigen kann, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder der zur Einschleusung bzw. Ausführung von Schadcode im Produkt selbst oder im Netz- und Informationssystem eines Nutzers geführt hat oder führen kann.

In diesem Meldetatbestand geht es also um Ereignisse, die die Sicherheit des vernetzten Produkts mit digitalen Elementen berühren, nicht um allgemeine Betriebsstörung.

Beispiele: Wann greift die Meldepflicht, wann nicht?

Die Europäische Kommission veranschaulicht in ihren FAQ die Abgrenzung der Meldepflichtigkeit von Schwachstellen an drei Konstellationen:

• Meldepflichtig: Ein Sicherheitsforscher veröffentlicht einen Bericht über eine bislang unbekannte Schwachstelle, die bereits gezielt für Angriffe ausgenutzt wird.
• Nicht meldepflichtig: Ein ethischer Hacker meldet eine Schwachstelle über ein Bug-Bounty-Programm, oder ein beauftragtes Testlabor findet die Schwachstelle bei einem Penetrationstest. In beiden Konstellationen gibt es jeweils keine Anhaltspunkte für eine tatsächliche Ausnutzung der Schwachstelle.
• Drittkomponenten: Enthält das vernetzte Produkt mit digitalen Elementen eine Komponente eines Drittherstellers und in dieser Drittkomponente befindet sich eine aktiv ausgenutzte Schwachstelle, muss der Hersteller des Endprodukts die Schwachstelle melden, sofern diese im eigenen Produkt erreichbar und ausnutzbar ist. Andernfalls entfällt die Meldepflicht; die Schwachstelle muss aber trotzdem an den Dritthersteller gemeldet werden.

Für schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit des vernetzten Produkts mit digitalen Elementen auswirken, nennt Erwägungsgrund 68 des CRA ausdrücklich den Fall, dass ein Angreifer ein Schadprogramm in den Freigabekanal einschleust, über den der Hersteller des vernetzten Produkts mit digitalen Komponenten Sicherheitsaktualisierungen für dieses Produkt für die Nutzer bereitstellt.

Anders sieht es beispielsweise bei Ransomwareangriffen aus: Diese unterliegen nicht generell der Meldepflicht aus dem CRA, sondern nur, wenn sich derartige Angriffe auch konkret auf die Sicherheit vernetzter Produkte mit digitalen Elementen auswirken. Wichtig ist jedoch, dass neben der Meldepflicht aus dem CRA auch Meldepflichten aus anderen Gesetzen bestehen können, z.B. aus der NIS-2-Richtlinie oder aus der DSGVO. Ob die Meldepflichten nach diesen Gesetzen greifen, ist unabhängig davon zu beurteilen, ob eine Meldepflicht nach dem CRA besteht. Zudem können auch nicht meldepflichtige Schwachstellen und Sicherheitsvorfälle freiwillig an die ENISA gemeldet werden.

Welche Fristen gelten und an wen muss gemeldet werden?

Die Meldefristen nach dem CRA sind sehr kurz:

Frühwarnung

• Aktiv ausgenutzte Schwachstelle: binnen 24 Stunden ab Kenntnis
• Schwerwiegender Sicherheitsvorfall: binnen 24 Stunden ab Kenntnis

Meldung

• Aktiv ausgenutzte Schwachstelle: binnen 72 Stunden ab Kenntnis
• Schwerwiegender Sicherheitsvorfall: binnen 72 Stunden ab Kenntnis

Abschlussbericht

• Aktiv ausgenutzte Schwachstelle: binnen 14 Tagen, nachdem eine Korrektur- oder Risikominderungsmaßnahme (z. B. Patch) zur Verfügung steht
• Schwerwiegender Sicherheitsvorfall: binnen eines Monats nach der 72-Stunden-Meldung

In Bezug auf den Beginn der Meldefristen ist zu beachten, dass diese nach Art. 14 CRA erst beginnen, wenn der Hersteller einen angemessenen Grad an Gewissheit über die aktive Ausnutzung oder die Beeinträchtigung der Produktsicherheit hat. Das bedeutet jedoch nicht, dass Unternehmen diese Prüfung hinauszögern sollten; vielmehr hat auch hier die Prüfung zügig zu erfolgen.

Zudem regelt der CRA nicht, ob bei der Berechnung der 24- und 72-Stunden-Fristen Wochenenden und Feiertage berücksichtigt werden müssen. Da jedoch beide Fristen nach Stunden bemessen sind und die allgemeinen Fristenregelungen des Unionsrechts vorsehen, dass derartigen Fristen auch an Wochenenden und Feiertagen weiterlaufen, sollten Unternehmen auch an Wochenenden und Feiertag meldefähig sein.

Des Weiteren ist zu beachten, dass sich beim Abschlussbericht die Anknüpfungspunkte, ab wann die Fristen jeweils laufen, unterscheiden: Bei aktiv ausgenutzten Schwachstellen läuft die Frist erst ab Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme und ist daher einigermaßen flexibel; bei schwerwiegenden Sicherheitsvorfällen ist sie fest an die 72-Stunden-Meldung gekoppelt.

Gemeldet werden sowohl aktiv ausgenutzte Schwachstellen als auch schwerwiegende Sicherheitsvorfälle über die zentrale Single Reporting Platform der ENISA (SRP), gleichzeitig an die ENISA und an das zuständige Computer Security Incident Response Team (CSIRT). Das zuständige CSIRT ist in Deutschland das Bundesamt für Sicherheit in der Informationstechnik (BSI). Auch wenn das betroffene vernetzte Produkt mit digitalen Elementen in mehreren Mitgliedsstaaten bereitgestellt wird, reicht eine zentrale Meldung über die SRP; die Weiterleitung an betroffene Mitgliedstaaten übernimmt das empfangende CSIRT.

Welche Informationen muss eine Meldung enthalten?

Die unterschiedlichen Meldungen in Bezug auf eine aktiv ausgenutzte Schwachstelle bzw. einen schwerwiegenden Sicherheitsvorfall bauen aufeinander auf, so dass es sich bei allen drei abzugebenden Meldungen um eine sich fortschreibende Meldung und nicht um drei unabhängige Vorgänge handelt.

Bei der Frühwarnung muss beispielsweise angegeben werden, in welchen Mitgliedstaaten das vernetzte Produkt mit digitalen Elementen bereitgestellt wurde und ob bei schwerwiegenden Sicherheitsvorfällen der Verdacht rechtswidriger oder böswilliger Handlungen besteht.

Die 72-Stunden-Meldung muss demgegenüber

• allgemeine Angaben zum vernetzten Produkt mit digitalen Elementen,
• allgemeine Angaben zur Art der Schwachstellenausnutzung oder des Sicherheitsvorfalls,
• bei meldepflichtigen Sicherheitsvorfällen eine erste Bewertung des Sicherheitsvorfalls,
• Angaben zu ergriffenen Maßnahmen und zu Maßnahmen, die Nutzer ergreifen können, sowie
• eine Angabe dazu, als wie sensibel die gemeldeten Informationen angesehen werden,

enthalten.

Im Abschlussbericht müssen zusätzlich folgende Informationen zur Verfügung gestellt werden:

• Eine Beschreibung der Schwachstelle oder des Sicherheitsvorfalls (inklusive Schweregrad und Auswirkungen),
• bei Sicherheitsvorfällen Angaben zur Art der Bedrohung bzw. der dem Sicherheitsvorfall zugrundeliegenden Ursache,
• bei Schwachstellen Angaben über jeden böswilligen Akteur, der die Schwachstelle ausgenutzt hat oder noch ausnutzt, sowie
• Angaben zu getroffenen und laufenden Abhilfemaßnahmen bzw. bei Schwachstellen Informationen über die zur Verfügung gestellte Sicherheitsaktualisierung oder andere Korrekturmaßnahmen.

Nicht vergessen: Die Information der Nutzer

Neben der Meldung an Behörden sind Hersteller zusätzlich verpflichtet, betroffene Nutzer und, soweit angemessen, alle Nutzer des vernetzten Produkts mit digitalen Elementen über die Schwachstelle oder den Sicherheitsvorfall und über mögliche Gegenmaßnahmen zu informieren.

Ein Automatismus zur unterschiedslosen Veröffentlichung folgt daraus laut den Leitlinien der EU Kommission jedoch nicht. Nach der Auslegung der Kommission ist die Pflicht zur Information der Nutzer risikobasiert anzuwenden. Die Information kann daher beispielsweise bei sensiblen Einsatzumgebungen des vernetzten Produkts mit digitalen Elementen zunächst auf betroffene Kunden beschränkt werden; nach Behebung kann eine breitere Information sinnvoll sein.

Für derartige Nutzerinformationen sollte ein eigener, vom behördlichen Meldeweg getrennter,  Kommunikationspfad (z.B. Sicherheitshinweise auf der Website, direkte Kundenansprache) bestehen. Kommen Hersteller der Verpflichtung Nutzer zu informieren nämlich nicht rechtzeitig nach, können die CSIRTs die Nutzer selbst informieren.

Gelten die Meldepflichten auch für Bestandsprodukte?

Ja. Anders als die übrigen Anforderungen des CRA gelten die Meldepflichten ab dem 11. September 2026 unabhängig vom Zeitpunkt des Inverkehrbringens des vernetzten Produkts mit digitalen Elementen. Entsprechend greifen die Meldepflichten auch für Bestandsprodukte, selbst wenn diese schon länger nicht mehr weiterentwickelt werden.

Aktiv ausgenutzte Schwachstellen oder schwerwiegende Sicherheitsvorfälle, die bereits in der Vergangenheit liegen, sind jedoch nicht zu melden – jedenfalls, wenn diese bereits vor dem 11. September 2026 bekannt waren. Wird die aktiv ausgenutzte Schwachstelle oder der schwerwiegende Sicherheitsvorfall erst ab dem 11. September 2026 erkannt, greifen die Meldepflichten hingegen.

Was sollten Unternehmen jetzt konkret tun?

Da die Registrierung auf der SRP über ein EU-Login-Konto läuft, sollten Unternehmen bereits jetzt ein entsprechendes EU-Login-Konto für die Personen anlegen, die für spätere Meldungen verantwortlich sein sollen.

Eine proaktive Registrierung bei der SRP soll hingegen nach Auskunft der ENISA – anders als beispielsweise bei den Registrierungspflichten nach der NIS-2-Richtlinie – nicht erforderlich sein. Vielmehr empfiehlt die ENISA, sich erst zu registrieren, wenn es eine meldepflichtige Schwachstelle oder einen meldepflichtigen Sicherheitsvorfall bei dem jeweiligen Unternehmen gibt.

Entsprechend liegen die aktuellen ToDos für Unternehmen weniger bei der Registrierung, sondern vielmehr in der eigenen Organisation. Um im Ernstfall frist- und ordnungsgemäße Meldungen abgeben zu können, sollten Unternehmen bereits jetzt

• interne Verantwortlichkeiten für Erkennung, Bewertung und Meldung festlegen,
• Eskalationswege definieren, die die 24-Stunden-Frist auch außerhalb der Geschäftszeiten tragen, und
• Bestandsprodukte identifizieren, für die im Ernstfall gemeldet werden müsste.

Wer erst im Ernstfall klärt, wer bewertet, wer freigibt und wer meldet, wird die 24-Stunden-Frist nämlich kaum einhalten können.

Haben Sie Fragen?

Wenn Sie klären möchten, welche Ihrer Produkte von den Meldepflichten des Cyber Resilience Act erfasst sind, wie ein interner Meldeprozess aussehen kann oder wenn wir Sie beim Umgang mit aktiv ausgenutzten Schwachstellen oder schwerwiegenden Sicherheitsvorfällen unterstützen sollen, stehen Ihnen Nora Steddin, Senior Associate und Rechtsanwältin im Referat IT-Recht und Datenschutz, sowie das Team von Vogel & Partner Rechtsanwälte mbB gerne zur Verfügung.

Nora Steddin, Senior Associate, Rechtsanwältin: nos@vogel-partner.eu

Genau hier entstehen die Konflikte, die Projekte später teuer machen. Aus einer großen Zahl begleiteter Verhandlungsprozesse mittlerer bis großer IT-Projektverträge, mit Projektvolumina zwischen 100.000 Euro und 50 Millionen Euro, lassen sich einige Erfolgsfaktoren benennen, von denen ich die aus meiner Erfahrung wichtigsten fünf kurz darstelle.

1. Die zentrale Frage vor jeder Unterschrift: Trägt der Vertrag die Investitionsentscheidung?

Der Business Case unterstellt einen Go-live-Termin, einen bestimmten Grad an Standardnutzung, einen kalkulierten internen Aufwand, einen Nutzen im Unternehmen. Tragen die Verträge diese Annahmen, auf denen die Investitionsentscheidung beruht? Das ist die Kernfrage, und sie ist überraschend selten sauber beantwortet. Wenn diese Annahmen im Vertrag nicht wiederkehren, existieren sie rechtlich nicht. Der Vertrag folgt dem Business Case, nicht umgekehrt.

Praktisch heißt das: Die tragenden Annahmen vor der Verhandlung schriftlich festhalten und anschließend Position für Position prüfen, ob sie vertraglich abgesichert sind. Eine saubere rechtliche Sachverhaltsermittlung bedeutet, dass man das Projektvorhaben danach analysiert. Wir arbeiten dazu mit Termsheets, die einige hundert Vertragsdatenpunkte abfragen.

2. Scope matters: Woran Projekte tatsächlich scheitern

Der häufigste Streitpunkt in ERP-Projekten ist nicht z.B. die Haftungsbegrenzungsklausel, sondern die Frage, was eigentlich geschuldet ist. Leistungsbeschreibungen entstehen aus Angeboten, Präsentationen und Workshop-Notizen, idealerweise aber aus einem strukturierten und detaillierten Lastenheft. Die Unterlagen sind oft umfangreich, aber selten eindeutig. Was im Vertriebsgespräch plausibel klang, lässt im Streitfall meist mehrere Lesarten zu.

Fünf Fragen, die vor Vertragsschluss beantwortet sein sollten:

• Welche Prozesse und Module sind Gegenstand der Einführung und welche ausdrücklich nicht?
• Wer verantwortet die Projektführung? Hilfe zur Selbsthilfe oder Führung des Anbieters?
• Wo verläuft die Grenze zwischen Standardfunktionalität und kostenpflichtiger Anpassung?
• Welche Mitwirkungsleistungen erwartet der Anbieter vom Kunden und in welchem Umfang?
• Wer verantwortet Datenmigration, Schnittstellen und Testdurchführung?

Ein gutes ERP-Vertragswerk liest sich streckenweise wie eine Bedienungsanleitung für den Ablauf des Projekts: Es beschreibt, wer was bis wann liefert und wie mit Abweichungen umgegangen wird. Verträge, die das leisten, werden im Projekt tatsächlich genutzt statt abgeheftet. Wer annimmt, dass Verträge für die „Schublade“ sind und nur im Streitfall hervorgeholt werden, vergibt sich ein effektives Steuerungsinstrument.

3. §§ = €€: Jede Klausel trägt ein Preisschild

In einem ERP-Einführungsvertrag ist nahezu jede Regelung preisschildfähig. Wer engere Termine, weitergehende Gewährleistungen oder höhere Haftungsgrenzen durchsetzt, verschiebt Risiko auf den Anbieter. Das ist ein Problem, wenn diese Optimierung zu einseitig ausfällt. Wird sie aber eingepreist, offen über den Preis oder verdeckt über Puffer im Aufwand, kann der Anbieter damit umgehen.

Daraus folgt kein Verzicht auf Absicherung, sondern Priorisierung. Bewährt hat sich eine klare Strukturierung der Verhandlungspunkte:

• A-Punkte: tragend für den Business Case. Ohne sie erreicht das Projekt seine Ziele voraussichtlich nicht.
• B-Punkte: wirtschaftlich erheblich, aber kompromissfähig.
• C-Punkte: üblich und wünschenswert, aber nicht um jeden Preis durchzusetzen.

Showstopper gehören an den Anfang der Verhandlung, nicht ans Ende. Wer sie aufschiebt, verhandelt später unter Zeitdruck. Die Ergebnisse dieser Verhandlung sind zufällig oder davon abhängig, wer zu einem bestimmten Zeitpunkt mehr Abschlussdruck hat. Und schließlich gilt es, den schmalen Grat zwischen Absicherung und Bürokratie zu halten: Ein Vertrag, der jede Eventualität regelt, wird im Projektalltag unpraktikabel. Je näher die Vertragssprache an der Projektrealität verläuft, desto nützlicher ist der Vertrag.

4. 80 Prozent eines IT-Vertrags sind kein Jura

Der größte Teil eines ERP-Vertrags ist Fachlichkeit: Prozessbeschreibungen, Mengengerüste, Rollenmodelle, Migrationskonzepte, Testverfahren. Das kann kein Anwalt aus sich heraus beurteilen. Fachberater sind deshalb zentral, sie kennen Prozesse, Markt und Anbieterlandschaft. Dazu korrelieren die Vergütungsmodelle: Kostendach, Festpreis, t&m, agiler Festpreis und die Frage, was eine Anforderungsänderung ist und was zum vereinbarten Scope gehört: Hier sollte die meiste Arbeit investiert werden und nicht in das Ausschmücken der „what if´s“ wie z.B. die Unterfallgruppen bei der Freistellung von Ansprüchen Dritter im Falle einer IP-Verletzung. In meinem ganzen Berufsleben bin ich keinem einzigen ERP-Anbieter begegnet, der zerknirscht zu seinem Kunden gehen musste, weil ein Dritter an der Software, die er dem Kunden überlassen hatte, Rechte geltend machte oder auch Softwareanbieter die direkt auf die Kunden zukamen, sodass das Thema Freistellung überhaupt relevant wurde. Natürlich kann das passieren, aber Stunden für die Verhandlung der Freistellungsklausel aufzuwenden, die besser in die Beschreibung von Leistung und der Vergütung dafür geflossen wären, ist bei einem begrenzten Kosten- und Zeitbudget wenig unternehmerisch gedacht.

Die juristische Begleitung ergänzt die fachlich-kommerzielle Perspektive: Sie überführt fachliche und kommerzielle Ergebnisse in belastbare Vertragssprache. Der Fachberater bleibt fachlicher Ansprechpartner, ohne als Rechtsberater zu haften.

Entscheidend ist auch der Zeitpunkt. Wer die juristische Seite erst einbindet, wenn der Anbieter feststeht und der Vertragsentwurf vorliegt, verhandelt über ein Dokument mit bereits festgelegter Grundstruktur und verschenkt einen erheblichen Teil des Spielraums.

5. Cloud-Verträge: Passen sie zum Projekt?

ERP-Einführungen laufen zunehmend in Cloud-Modellen. Neben Einführungs- und Dienstleistungsvertrag treten Subskriptions- und Serviceelemente, die stark standardisiert sind.

Die Frage ist, ob diese zum konkreten Projekt passen:

• Bilden die Service-Level die betriebliche Kritikalität des Systems ab, etwa bei Verfügbarkeit und Reaktionszeiten?
• Passen Laufzeit, Verlängerung und Kündigung zur geplanten Nutzungs- und angenommener Amortisationsdauer?
• Welche Preisanpassungsmechanismen greifen über die Laufzeit?
• Wie sind Datenzugang, Datenherausgabe und ein späterer Anbieterwechsel geregelt?
• Was passiert, wenn die Subskription bereits läuft, das System aber noch gar nicht produktiv ist? Gibt es ein ramp-up/ staged buying Modell?

Der letzte Punkt wird häufig übersehen und ist wirtschaftlich einer der unangenehmsten: Verzögert sich der Go-live, laufen die Lizenzkosten weiter, ohne dass ihnen ein Nutzen gegenübersteht. Ob und wie sich das vertraglich abfedern lässt, hängt vom Anbietermodell und der Verhandlungssituation ab.

Und nach der Unterschrift: vertragsnahes Projektmanagement

Ein Vertrag nützt nur, wenn er angewendet wird. In vielen Projekten kennen die operativ Verantwortlichen die Fristen, Abnahmeverfahren und Change-Request-Prozesse jedoch nur in Grundzügen. Sinnvoll sind daher eine Vertragsschulung zu Projektbeginn, das konsequente Nachhalten von Mitwirkungsleistungen und Meilensteinen sowie die schriftliche Dokumentation jeder Änderung am Leistungsumfang. Auch das finanzielle Controlling (Fortschritt gegen Leistungsnachweise gegen Budget) ist unabdingbar. Das ist zwar aufwändig, verbessert die Position aber erheblich, sollte es später zu Diskussionen kommen.

Fazit

Rechtliche Begleitung bei ERP-Projekten ist keine Formalie am Ende des Auswahlprozesses, sondern ein Instrument der Risikosteuerung. Ihre Wirkung entfaltet sie vor allem dann, wenn sie früh einsetzt, idealerweise bereits in der Auswahlphase. Kein Vertragswerk kann sämtliche Risiken einer ERP-Einführung ausschließen. Es kann aber dafür sorgen, dass Abweichungen früh sichtbar werden und im Zweifel klar ist, wer wofür einzustehen hat.

Im nächsten Beitrag dieser Reihe geht es um den Fall, den niemand einplant: Was tun, wenn das ERP-Projekt in Schieflage gerät, bei Verzögerungen, Mehrkosten und Streit über den Leistungsumfang?

Haben Sie Fragen?

Wenn Sie eine ERP-Einführung planen, mitten im Auswahlprozess stehen oder prüfen möchten, ob die vorliegenden Vertragsentwürfe die Annahmen Ihres Business Case tatsächlich absichern, unterstützen wir Sie gerne. Wir begleiten Unternehmen bei Vertragsanalyse und Anbietervergleich, bei der Verhandlung von ERP-, Cloud- und Implementierungsverträgen sowie bei der vertragsnahen Projektbegleitung bis zum Go-live.

Für Fragen zu ERP- und IT-Projektverträgen stehen Ihnen Prof. Dr. Marc Strittmatter und Manuel Treiterer zur Verfügung.

Einen Überblick über unsere Beratung finden Sie auf unserer Seite zu IT-Verträgen.

Zugleich hat sich der Senat zu den Anforderungen an das Impressum eines geschäftsmäßig genutzten Instagram-Profils geäußert.

Die Entscheidung ist für Unternehmen aus zwei Perspektiven interessant: als Betreiber eigener Marken- und Unternehmensaccounts und als Auftraggeber von Influencer-Kooperationen. Beide Konstellationen sind rechtlich unterschiedlich zu beurteilen.

Worum ging es in dem Verfahren?

Beklagte war eine bekannte Influencerin mit einer Followerzahl im Millionenbereich und verifiziertem Instagram-Account. Sie ist Geschäftsführerin und mittelbar Mehrheitsgesellschafterin der Gesellschaft, für die die beworbene Kosmetikmarke eingetragen ist.

Im Kern ging es um zwei Unterlassungsanträge sowie den Ersatz von Abmahnkosten. Der eine Antrag betraf einen behaupteten Verstoß gegen die Impressumspflicht, der andere einen Beitrag, in dem die Beklagte Haarpflegeprodukte der genannten Marke präsentierte, ohne ihn ausdrücklich als Werbung zu kennzeichnen. Das Impressum war über einen Link unterhalb der Profilbeschreibung, der sogenannten Bio, auf einer externen Webseite abrufbar.

Bereits das Landgericht Hamburg hatte die Klage abgewiesen (Urteil vom 22.10.2024, Az. 406 HKO 31/24). Das OLG Hamburg wies die Berufung zurück und ließ die Revision nicht zu.

Genügt ein Link unterhalb der Bio für die Impressumspflicht?

Nach § 5 Abs. 1 des Digitale-Dienste-Gesetzes (DDG) haben Diensteanbieter für geschäftsmäßige, in der Regel gegen Entgelt angebotene digitale Dienste die dort aufgeführten Informationen in leicht erkennbarer und unmittelbar erreichbarer Weise ständig verfügbar zu halten. Der Senat hat den streitgegenständlichen Instagram-Account als geschäftsmäßig angebotenen digitalen Dienst in diesem Sinne eingeordnet.

Ein vollständiges Impressum unmittelbar im Profil hielt der Senat nicht für erforderlich. Maßgeblich ist nach der von ihm herangezogenen Gesetzesbegründung (BT-Drs. 14/6098, S. 21), dass die Informationen an gut wahrnehmbarer Stelle stehen und ohne langes Suchen jederzeit auffindbar sind. Abzustellen ist auf den durchschnittlichen Instagram-Nutzer, der nach Einschätzung des Senats damit rechnet, das Impressum gegebenenfalls auch über einen im Profil bereitgehaltenen Link zu einer Webseite auffinden zu können.

Der Senat hat dabei mehrere Umstände herangezogen: Der Link war direkt unterhalb der Bio platziert und durch blaue Schrift optisch hervorgehoben, und auf der verlinkten Seite wurde nach dem Parteivortrag ein vollständiges Impressum vorgehalten. Wichtig für die Einordnung der Entscheidung ist, dass der Kläger weder bestritten hatte, dass das Impressum an den fraglichen Tagen dort abrufbar war, noch geltend gemacht hatte, es sei schwer auffindbar gewesen oder inhaltlich unvollständig. Die Entscheidung lässt sich daher nur eingeschränkt verallgemeinern.

Für die Praxis dürfte es sich empfehlen zu prüfen, ob ein solcher Link tatsächlich ohne nennenswertes Suchen ins Auge fällt und ob die verlinkte Seite die Pflichtangaben vollständig enthält.

Was gilt bei vorübergehenden technischen Störungen?

Der Kläger hatte vorgetragen, an zwei Tagen im streitgegenständlichen Zeitraum seien beim Aufruf des Links Fehlermeldungen erschienen. Das genügte dem Senat nicht: Eine lediglich vorübergehende technische Störung der Erreichbarkeit begründet danach für sich genommen noch keinen Verstoß gegen § 5 Abs. 1 DDG, auch nicht gegen die Pflicht, das Impressum ständig verfügbar zu halten. Erst recht soll dies gelten, wenn die Störung ihre Ursache im technischen Herrschaftsbereich des Anspruchstellers hat.

Der Senat hat beanstandet, dass dem Vortrag weder die Dauer der Störung noch Angaben dazu zu entnehmen waren, ob sie auch auf verschiedenen Endgeräten oder in verschiedenen Netzen aufgetreten sei. Wer eine auf punktuelle Screenshots gestützte Abmahnung erhält, sollte daher prüfen lassen, wie belastbar der behauptete Verstoß dargelegt ist. Eine allgemeine Aussage, ab wann eine Störung nicht mehr nur vorübergehend ist, lässt sich der Entscheidung allerdings nicht entnehmen.

Wann ist die Kennzeichnung als Werbung entbehrlich?

• 5a Abs. 4 Satz 1 UWG lautet: „Unlauter handelt auch, wer den kommerziellen Zweck einer geschäftlichen Handlung nicht kenntlich macht, sofern sich dieser nicht unmittelbar aus den Umständen ergibt, und das Nichtkenntlichmachen geeignet ist, den Verbraucher oder sonstigen Marktteilnehmer zu einer geschäftlichen Entscheidung zu veranlassen, die er andernfalls nicht getroffen hätte.“

Dass der Beitrag eine geschäftliche Handlung mit kommerziellem Zweck war, hat der Senat bejaht. Entscheidend war deshalb die Ausnahme. Insoweit gilt nach der Rechtsprechung des Bundesgerichtshofs, dass eine Kennzeichnung dann nicht erforderlich ist, wenn ein durchschnittlich informierter, situationsadäquat aufmerksamer und verständiger Angehöriger des angesprochenen Verkehrskreises den kommerziellen Zweck klar und eindeutig auf den ersten Blick erkennen kann. Bei Instagram-Beiträgen ist dabei eine Gesamtbetrachtung von Account und konkretem Beitrag vorzunehmen (BGH, Urteil vom 09.09.2021, Az. I ZR 125/20, GRUR 2021, 1414, Rn. 34, „Influencer II“). Dass Influencer ein eigenes Unternehmen betreiben, wenn sie eigene Waren vertreiben, hatte der Bundesgerichtshof bereits in der Entscheidung „Influencer I“ ausgeführt (Urteil vom 09.09.2021, Az. I ZR 90/20, MMR 2021, 875, Rn. 36).

Nach Auffassung des Senats ergab sich der kommerzielle Zweck hier aus dem Zusammenspiel mehrerer Umstände:

• In der dritten Zeile der Bio war die Beklagte hervorgehoben als „Founderin“ der Marke bezeichnet.
• Die in der Kopfzeile des Beitrags hervorgehobene Markenbezeichnung folgte dem Muster „… by …“ und verdeutlichte nach Einschätzung des Senats die Zuordnung zur eigenen Marke.
• Der Beitragstext war typisch werblich gestaltet und enthielt Formulierungen zur Verfügbarkeit der Produkte, zu „my 10 products“ und zum Versand in europäische Länder.
• Ergänzend hat der Senat den verifizierten Account und die hohe Followerzahl berücksichtigt, an denen auch Nutzer ohne Vorkenntnis die erhebliche Bekanntheit erkennen konnten.

Aus denselben Gründen hat der Senat einen Verstoß gegen § 6 Abs. 1 Nr. 1 DDG verneint. Da die Abmahnung danach nicht berechtigt war, bestand nach seiner Auffassung auch kein Aufwendungsersatzanspruch nach § 13 Abs. 3 UWG.

Was gilt bei Werbung für fremde Marken?

Die Ausführungen zur Kennzeichnung betreffen Werbung für ein eigenes Unternehmen. Auf beauftragte Influencer dürften sie sich nicht ohne Weiteres übertragen lassen. Bei Handlungen zugunsten eines fremden Unternehmens liegt ein kommerzieller Zweck nach § 5a Abs. 4 Satz 2 UWG nicht vor, wenn der Handelnde kein Entgelt oder keine ähnliche Gegenleistung für die Handlung von dem fremden Unternehmen erhält oder sich versprechen lässt. Nach Satz 3 wird der Erhalt oder das Versprechen einer Gegenleistung vermutet, es sei denn, der Handelnde macht glaubhaft, dass er eine solche nicht erhalten hat.

Für bezahlte Kooperationen dürfte es daher im Ausgangspunkt bei der Kennzeichnungspflicht bleiben, sofern sich der kommerzielle Zweck nicht ausnahmsweise unmittelbar aus den Umständen ergibt. Unternehmen, die mit Influencerinnen und Influencern zusammenarbeiten, sollten die Kennzeichnung deshalb vertraglich absichern, etwa durch:

• konkrete Vorgaben zu Formulierung und Platzierung des Hinweises,
• Abstimmungs- oder Freigabevorbehalte vor der Veröffentlichung,
• Regelungen zu Haftung und Freistellung,
• eine nachvollziehbare Dokumentation der erteilten Vorgaben und Freigaben.

Welche Fragen bleiben offen?

Nicht entschieden hat der Senat, ob etwas anderes gilt, wenn ein Beitrag über einen Algorithmus auch an Nutzer außerhalb des eigenen Accounts ausgespielt wird. Darauf kam es nach seiner Auffassung nicht an; die Parteien hatten dazu nichts vorgetragen (vgl. zu einer solchen Konstellation OLG Karlsruhe, Urteil vom 03.03.2026, Az. 14 UKl 2/24). Da die Begründung maßgeblich auf dem Gesamtauftritt des Accounts beruht, dürfte dieser Punkt nach hiesiger Einschätzung praktisch bedeutsam sein, etwa bei Reels oder Ausspielungen im Explore-Bereich.

Ebenfalls nicht entschieden ist, ob ein separates Instagram-Profil mit Impressumsangaben den Anforderungen des § 5 Abs. 1 DDG genügen würde. Ein solches Profil existierte zwar, darauf kam es aus Sicht des Senats aber nicht mehr an. Hinzu kommt, dass die Entscheidung auf einer Gesamtbetrachtung des konkreten Einzelfalls beruht, in dem die Verbindung zwischen Person, Unternehmen und Marke besonders deutlich zutage trat. Wer sich auf sie berufen möchte, sollte prüfen lassen, ob die eigene Konstellation vergleichbar ist.

Fazit und Handlungsempfehlung

Das OLG Hamburg hat in beiden Streitpunkten eine praxisnahe Linie eingenommen: Ein gut sichtbarer Link unterhalb der Bio, der zu einem vollständigen Impressum führt, kann § 5 Abs. 1 DDG genügen, und Eigenwerbung muss nicht in jedem Fall zusätzlich gekennzeichnet werden, wenn ihr kommerzieller Charakter aus dem Gesamtauftritt hinreichend deutlich hervorgeht. Als Freibrief sollte die Entscheidung gleichwohl nicht verstanden werden, zumal beide Ergebnisse maßgeblich auf den Umständen und dem Vortrag des konkreten Verfahrens beruhen.

Für die eigene Praxis empfiehlt sich eine nüchterne Selbstprüfung: Ist die Verbindung zwischen Account, werbender Person, Unternehmen und Produkt bereits aus dem Profil ersichtlich? Würde auch ein Nutzer ohne Vorkenntnis den kommerziellen Zweck sogleich erfassen? Wo diese Fragen nicht klar zu bejahen sind, dürfte der ausdrückliche Hinweis der risikoärmere Weg sein, sofern der Beitrag tatsächlich kommerziellen Zwecken dient.

Sie haben Fragen zur Werbekennzeichnung oder zu Influencer-Kooperationen?

Wenn Sie prüfen möchten, ob die Beiträge auf Ihren Social-Media-Kanälen den Anforderungen an die Werbekennzeichnung genügen, ob die Impressumsangaben in Ihren Profilen als leicht erkennbar und unmittelbar erreichbar einzuordnen sein dürften, wie sich Kennzeichnungspflichten in Kooperationsverträgen mit Influencerinnen und Influencern belastbar regeln lassen oder welche Handlungsoptionen nach dem Zugang einer wettbewerbsrechtlichen Abmahnung bestehen, steht Ihnen Benjamin Janowitz gerne zur Verfügung. Einen Überblick über unsere Beratung finden Sie auf unseren Seiten zu Wettbewerb und Werbung sowie zu Internetrecht und E-Commerce.

Die Vorschrift verpflichtet Unternehmen in bestimmten Fällen dazu, offenzulegen, wenn Inhalte durch eine KI erstellt oder verändert wurden oder wenn Nutzer mit einer KI interagieren. Die Vorgaben können auch den alltäglichen Einsatz von KI mit keinem oder geringem Risiko erfassen, etwa die Nutzung von ChatGPT oder Bildgenerierungsprogrammen im Marketing oder in der Kundenkommunikation.

Bei Bildern, Audios und Videos besteht die Kennzeichnungspflicht, wenn KI die Inhalte so erzeugt oder manipuliert, dass sie real wirken und fälschlicherweise für echt oder wahrheitsgemäß gehalten werden können (Deepfakes). Nach den Leitlinien der EU-Kommission können darunter auch fotorealistische Personen, Gegenstände oder Orte fallen, die tatsächlich gar nicht existieren, aber plausibel existieren könnten. Klar erkennbare Comics oder offensichtlich unrealistische Fantasieszenen fallen dagegen in der Regel nicht darunter, ebenso wenig Bilder, die nur geschärft oder farbkorrigiert wurden.

Bei Texten ist die Pflicht deutlich enger: Erfasst sind KI-generierte oder -manipulierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren (z.B. in einem Blog). Die Kennzeichnungspflicht entfällt, wenn der Inhalt durch einen Menschen überprüft oder redaktionell kontrolliert wurde und eine Person die redaktionelle Verantwortung für die Veröffentlichung trägt. Eine bloße Rechtschreib- oder Grammatikprüfung genügt hierfür nicht.

Wichtig für die Praxis: Eine erforderliche Kennzeichnung muss spätestens beim ersten Kontakt mit dem Inhalt klar und eindeutig erkennbar sein. Ein Hinweis im Impressum oder auf einer allgemeinen Transparenzseite genügt hierfür in der Regel nicht. Bei Chatbots, KI-Sprachsystemen am Telefon oder digitalen Avataren müssen Nutzer erkennen können, dass sie mit einer KI kommunizieren (sofern dies nicht ohnehin offensichtlich ist).

Was bedeutet das für Ihr Unternehmen?
Welche KI-Tools werden bereits eingesetzt? Welche Inhalte werden damit erstellt oder verändert? Und wo müssen Hinweise erfolgen? Wer nicht jeden einzelnen Inhalt bewerten möchte, sollte eine interne Transparenzstrategie festlegen, d.h. klare Regeln dafür, welche Inhalte wann und wo gekennzeichnet werden müssen. Eine Bestandsaufnahme der KI-Tools, die in den einzelnen Abteilungen tatsächlich eingesetzt werden, kann hierbei helfen. Je nach Anwendungsfall und je nach Rolle des Unternehmens als Anbieter oder Betreiber können über Art. 50 KI-VO hinaus weitere Anforderungen aus der KI-VO, aber auch aus angrenzenden Rechtsgebieten wie Datenschutz-, Urheber- und Wettbewerbsrecht, gelten.

Wir unterstützen Sie gerne dabei, Ihre konkreten KI-Einsätze zu prüfen, Transparenzpflichten einzuordnen und eine praktikable Strategie für die Umsetzung zu entwickeln.

Für Ihre Fragen stehen Ihnen Dr. Oliver Meyer-van Raay und Josua Neudeck sowie unser Team für IT- und KI-Recht gerne zur Verfügung. Wir schauen uns Ihren konkreten Anwendungsfall gerne an.

Für erste Informationen für die Praxis können zudem folgende Quellen hilfreich sein:

• EU-Kommission: Leitlinien zu den Transparenzpflichten nach Art. 50 KI-VO
• Bundesnetzagentur: Überblick zu den Transparenzpflichten
• Wettbewerbszentrale: Leitfaden „Kennzeichnung KI-generierter Inhalte“

Vernetzte Produkte gehören längst zum Unternehmensalltag: vom Router über die Industriesteuerung bis zur Buchhaltungssoftware. Cybersicherheitsanforderungen gab es dafür bislang vor allem sektorbezogen, ein horizontaler und produktübergreifender Rahmen fehlte. Mit dem CRA hat sich das geändert.

Was der CRA bezweckt

Der CRA verfolgt im Wesentlichen vier Ziele:

• einheitliche Cybersicherheitsanforderungen für vernetzte Hard- und Software im EU-Binnenmarkt,
• die Stärkung von Security by Design und Security by Default,
• die Verantwortung der Hersteller für Schwachstellen und Sicherheitsupdates über den gesamten Produktlebenszyklus,
• eine bessere Information der Nutzer über Sicherheitseigenschaften und Unterstützungszeiträume.

Welche Produkte erfasst der CRA?

Nach Art. 2 Abs. 1 CRA gilt die Verordnung für „auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt“. Vereinfacht ausgedrückt geht es somit um vernetzte Produkte mit digitalen Elementen.

Der Produktbegriff ist dabei weit zu verstehen. Gemäß Art. 3 Nr. 1 CRA sind Software- und Hardwareprodukte einschließlich getrennt in den Verkehr gebrachter Komponenten umfasst. Die Palette reicht von Smartphones, Smart-Home-Geräten und vernetztem Spielzeug über Mikroprozessoren bis zu reinen Softwareprodukten wie Buchhaltungssoftware oder mobilen Anwendungen (Apps, etc.). Datenfernverarbeitungslösungen werden dem Produkt zugerechnet, soweit sie vom Hersteller oder unter dessen Verantwortung entwickelt wurden und das Produkt ohne sie eine seiner Funktionen nicht erfüllen könnte (vgl. Art. 3 Nr. 2 CRA). Gerade bei SaaS- und Cloud-Angeboten erfordert diese Abgrenzung eine genaue Betrachtung der Produktarchitektur.

Wann liegt eine direkte oder indirekte logische oder physische Datenverbindung vor?

Anknüpfungspunkt ist die Fähigkeit zum Datenaustausch, etwa über Hardware-Schnittstellen, Programmierschnittstellen (APIs), Bluetooth oder eine Internetverbindung. Auf ihrer grundlegendsten Ebene setzt eine Datenverbindung nach Ansicht der EU-Kommission die Übertragung von Informationen in binärer Form voraus, das heißt als Folge von Nullen und Einsen. Das bloße Ein- und Ausschalten eines Ausgangs (Ein/Aus) soll nach Ansicht der EU-Kommission für sich genommen allerdings keine Datenverbindung darstellen, solange diese Zustände weder dazu bestimmt sind, Daten darzustellen, noch von einem digitalen Eingang als Daten gelesen werden. Dasselbe soll gelten, wenn elektrische oder elektronische Signale ausschließlich dazu dienen, eine Funktion zu aktivieren oder Energie bereitzustellen, ohne dabei digital codierte Informationen zu übertragen. Erforderlich ist nach Ansicht der EU-Kommission vielmehr, dass ein Sender digitale Symbole gezielt nach einem definierten Schema erzeugt und ein Empfänger diese als Daten interpretieren kann.

Konkret festgemacht an einem Beispiel bedeutet das Folgendes: Ein einfacher Lichtschalter, der lediglich den Stromkreis zur Lampe schließt, erzeugt und übermittelt selbst keine Information, sondern löst nur unmittelbar eine Funktion aus – unter Zugrundelegung der Ansicht der EU-Kommission sollte daher keine Datenverbindung vorliegen. Anders sollte es bei einem smarten Lichtschalter sein, der den Schaltzustand als codierte Nachricht an eine Smart-Home-Zentrale sendet, die diese Information auswertet: Hier wird bewusst Information erzeugt und übertragen, sodass eine Datenverbindung vorliegt.

Welche Produkte sind ausgenommen?

Nicht jedes vernetzte Produkt mit digitalen Elementen fällt in den Anwendungsbereich. Ausgenommen sind nach Art. 2 Abs. 2 bis 4 CRA vor allem Produkte, für die bereits sektorspezifische Rechtsakte gelten, namentlich unter anderem Medizinprodukte und In-vitro-Diagnostika, Produkte unter der Verordnung (EU) 2019/2144 zur Fahrzeugsicherheit, nach der Verordnung (EU) 2018/1139 zertifizierte Produkte der zivilen Luftfahrt sowie Schiffsausrüstung. Ebenfalls ausgenommen sind Ersatzteile mit identischen Spezifikationen wie die bisher im Produkt enthaltenen Bauteile (vgl. Art. 2 Abs. 6 CRA) , Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder für Verteidigungszwecke entwickelt oder geändert wurden oder Produkte, die speziell für die Verarbeitung von Verschlusssachen konzipiert wurden (vgl. Art. 2 Abs. 7 CRA).

Bei freier und quelloffener Software ist zu differenzieren. Eine Bereitstellung auf dem Markt setzt nach Art. 3 Nr. 22 CRA eine Abgabe im Rahmen einer Geschäftstätigkeit voraus; fehlt es daran, greift der CRA regelmäßig nicht ein. Für Verwalter quelloffener Software im Sinne des Art. 3 Nr. 14 CRA sieht Art. 24 CRA demgegenüber ein eigenständiges und deutlich reduziertes Pflichtenprogramm vor.

Wer ist Adressat des CRA?

Hauptadressaten sind die Hersteller, deren umfangreiche Pflichten in den Art. 13 und 14 CRA festgelegt werden. Einführer und Händler treffen eigene Prüf- und Informationspflichten nach Art. 19 und Art. 20 CRA. Ein Bevollmächtigter kann nach Art. 18 CRA benannt werden und handelt nach Maßgabe seines Auftrags, wobei zentrale Herstellerpflichten davon ausgenommen sind (Art. 18 Abs. 2 CRA).

Praktisch besonders bedeutsam ist Art. 21 CRA: Ein Einführer oder Händler gilt selbst als Hersteller und unterliegt den Pflichten aus Art. 13 und Art. 14 CRA, wenn er ein vernetztes Produkt mit digitalen Elementen unter eigenem Namen oder eigener Marke in den Verkehr bringt oder daran eine wesentliche Änderung vornimmt. Nach Art. 22 CRA kann diese Rechtsfolge auch Dritte treffen. Wer Produkte zukauft und unter eigener Marke vertreibt, sollte diese Regelung im Blick behalten und seine Rolle daher frühzeitig klären.

Welche Pflichten treffen Hersteller?

Der Pflichtenkatalog der Hersteller ist umfangreich. Zu den zentralen Anforderungen zählen:

• Konzeption, Entwicklung und Herstellung des vernetzten Produkts mit digitalen Elementen nach den grundlegenden Cybersicherheitsanforderungen des Anhangs I Teil I CRA (vgl. Art. 13 Abs. 1 CRA),
• Durchführung, Dokumentation und Aktualisierung einer Bewertung der Cybersicherheitsrisiken (vgl. Art. 13 Abs. 2 bis 4 CRA),
• Sorgfaltspflichten bei der Integration von Komponenten Dritter (vgl. Art. 13 Abs. 5 und 6 CRA),
• Festlegung und transparente Angabe eines Unterstützungszeitraums (vgl. Art. 13 Abs. 8 und 19 CRA),
• Behandlung von Schwachstellen nach Anhang I Teil II CRA einschließlich der Zurverfügungstellung von Sicherheitsupdates während des Unterstützungszeitraums und der Erstellung einer Software-Stückliste (SBOM) (vgl. Art. 13 Abs. 8 und 9 CRA),
• technische Dokumentation, Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung (vgl. Art. 13 Abs. 12 CRA),
• Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle (vgl. Art. 14 CRA).

Der Unterstützungszeitraum soll dabei die voraussichtliche Nutzungsdauer widerspiegeln und beträgt mindestens fünf Jahre; er kann bei kürzerer erwarteter Nutzung darunter liegen und sollte bei längerer Nutzung aber entsprechend länger bemessen werden (vgl. Art. 13 Abs. 8 CRA).

Die Meldepflichten sind eng getaktet: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, jeweils ab Kenntniserlangung, danach ein Abschlussbericht (vgl. Art. 14 Abs. 2 und 4 CRA).

Standard, wichtig oder kritisch: die Einstufung des Produkts

Der CRA unterscheidet zwischen Standardprodukten, wichtigen Produkten (Anhang III, Klassen I und II) und kritischen Produkten (Anhang IV). Zu den wichtigen Produkten zählen etwa Passwort-Manager, Betriebssysteme und Browser in Klasse I sowie Firewalls und manipulationssichere Mikroprozessoren in Klasse II; als kritisch gelten unter anderem Smart-Meter-Gateways und Chipkarten mit Sicherheitselementen. Weiterführende technische Beschreibungen enthält die Durchführungsverordnung (EU) 2025/2392.

Maßgeblich für die Festlegung, ob ein Produkt als wichtiges oder kritisches Produkt zählt, ist dabei, ob das Produkt die Kernfunktionen einer gelisteten Kategorie aufweist (vgl. Art. 7 Abs. 1, Art. 8 Abs. 1 CRA). Die bloße Integration eines wichtigen oder kritischen Produkts in ein anderes vernetztes Produkt mit digitalen Elementen führt für sich genommen entsprechend nicht dazu, dass auch das Gesamtprodukt als wichtiges oder kritisches Produkt gilt.

Die Einstufung als wichtiges oder kritisches Produkt wirkt sich vor allem auf das Konformitätsbewertungsverfahren nach Art. 32 CRA aus: Standardprodukte können im internen Kontrollverfahren selbst bewertet werden, bei wichtigen Produkten der Klasse I bleibt das möglich, solange einschlägige harmonisierte Normen oder gleichwertige Vorgaben vollständig angewandt werden, bei wichtigen Produkten der Klasse II und bei kritischen Produkten ist im Grundsatz eine notifizierte Stelle oder eine europäische Zertifizierung einzubinden. Da die Fundstellen harmonisierter Normen bislang nur teilweise vorliegen, sollten Unternehmen den Normungsstand beobachten.

Im Übrigen gelten die Pflichten des CRA unabhängig davon, wie ein Produkt einzustufen ist. Allerdings kann sich die Einstufung insbesondere auf Zuschnitt und Tiefe der anzustellenden Risikobewertung und der umzusetzenden Cybersicherheitsanforderungen durchschlagen.

Welche Fristen gelten?

• Dezember 2024: Inkrafttreten des CRA.
• Juni 2026: Geltung der Vorschriften über die Notifizierung von Konformitätsbewertungsstellen.
• September 2026: Beginn der Meldepflichten nach Art. 14 CRA.
• Dezember 2027: Umfassende Geltung der übrigen Anforderungen des CRA.

Für Bestandsprodukte enthält Art. 69 CRA eine Übergangsregelung. Vernetzte Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, werden von den Anforderungen erst erfasst, wenn sie ab dem 11. Dezember 2027 wesentlich geändert werden (vgl. Art. 3 Nr. 30 CRA). Reine Sicherheitsaktualisierungen, die die Zweckbestimmung des Produkts nicht verändern, zählen nach Erwägungsgrund 39 des CRA nicht als derartige wesentliche Änderungen.

Maßgeblich bei der Betrachtung, ob ein Produkt unter diese Übergangsregelung fällt, ist dabei das einzelne Produkt, nicht die Produktreihe (vgl. Erwägungsgrund 38 CRA). Einheiten desselben Modells, die erst nach dem 11. Dezember 2027 in den Verkehr gebracht werden, haben daher die Anforderungen des CRA vollständig zu erfüllen, während dies für die gleichen Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht werden, nicht gilt.

Demgegenüber gibt es für die Meldepflichten des Art. 14 CRA keine vergleichbare Übergangsregelung. Die Meldepflichten gelten für vernetzte Produkte mit digitalen Elementen unabhängig davon, zu welchem Zeitpunkt diese auf den Markt gebracht wurden.

Fazit

Der Zeitplan wirkt komfortabler, als er ist. Die Meldepflichten greifen bereits für alle auf dem Markt befindlichen vernetzten Produkte mit digitalen Elementen ab dem 11. September 2026 und setzen – insbesondere aufgrund der sehr kurzen Meldefristen – funktionierende interne Prozesse voraus. Diese lassen sich kurzfristig in der Regel kaum aufbauen. Sinnvoll ist daher ein strukturiertes Vorgehen: (1) Sichtung des Produktportfolios darauf, welche vernetzten Produkte mit digitalen Elementen erfasst sind, (2) Klärung der eigenen Rolle in der Lieferkette, (3) dokumentierte Einstufung der Produkte, (4) eine Bestandsaufnahme der Prozesse für die Risikobewertung, die Umsetzung der Cybersicherheitsanforderungen sowie das Schwachstellenmanagement und die Meldewege sowie (5) Prüfung der Verträge mit Kunden und Lieferanten, ob diese aufgrund des CRA angepasst werden sollten.

Dieser Beitrag gibt einen allgemeinen Überblick zum Stand August 2026 und ersetzt keine rechtliche Beratung im Einzelfall.

Haben Sie Fragen?

Wenn Sie prüfen möchten, ob Ihre Produkte in den Anwendungsbereich des Cyber Resilience Act fallen, wie sie einzustufen sind, welche Rolle Ihr Unternehmen in der Lieferkette einnimmt oder wie sich die Melde- und Dokumentationspflichten prozessual umsetzen lassen, stehen Ihnen Nora Steddin, Senior Associate und Rechtsanwältin im Referat IT-Recht und Datenschutz, sowie das Team von Vogel & Partner Rechtsanwälte mbB in Stuttgart und Karlsruhe gerne zur Verfügung. Einen Überblick über unsere Beratung finden Sie auf unserer Seite zum IT-Sicherheitsrecht.

Einen Überblick über die Herstellerpflichten aus dem CRA aus der Vogelperspektive finden Sie unter Lesen.

Seit dem 19. Juni 2026 müssen Händler auf ihrer Online-Benutzeroberfläche eine elektronische Widerrufsfunktion einrichten: den sogenannten Widerrufsbutton. Der Gesetzgeber setzt damit eine EU-Richtlinie um und verfolgt ein klares Ziel: Der Widerruf soll genauso einfach sein wie der Vertragsschluss selbst.

Was das konkret bedeutet, welche Anforderungen gelten und welche Konsequenzen drohen, wenn Shops nicht rechtzeitig nachziehen, haben wir im Folgenden zusammengefasst.

Wer ist betroffen?

Die Pflicht trifft grundsätzlich jeden Unternehmer, der im Fernabsatzverträge mit Verbrauchern über eine Online-Benutzeroberfläche schließt. Der Gesetzgeber definiert diesen Begriff ausdrücklich als Software, darunter auch Websites oder Teile davon sowie Anwendungen einschließlich Mobil-Apps. Konkret fallen darunter:

• klassische Online-Shops,
• Apps und mobile Verkaufsplattformen,
• Buchungsseiten und Online-Formulare,
• Chatbots und KI-Assistenten, wenn der Vertragsschluss technisch über diese erfolgt,
• Händler, die über Marktplätze wie Amazon oder eBay verkaufen,
• Anbieter von Finanzdienstleistungen im Fernabsatz.

Voraussetzung ist stets, dass für den jeweiligen Vertrag ein gesetzliches Widerrufsrecht besteht. Nicht erfasst sind insbesondere reine B2B-Geschäfte sowie Vertragstypen, bei denen das Widerrufsrecht gesetzlich ausgeschlossen ist, etwa bei individuell angefertigten Waren oder schnell verderblichen Lebensmitteln. Bietet eine Website lediglich Informationen über Leistungen an und kommt der Vertragsschluss erst per E-Mail oder Telefon zustande, gilt die Buttonpflicht ebenfalls nicht. Eine Ausnahme für Kleinunternehmer oder Schwellenwerte, die sich am Umsatz orientieren, sieht das Gesetz nicht vor.

Wichtig: Der Widerrufsbutton tritt nicht an die Stelle der bisherigen Widerrufsmöglichkeiten per E-Mail oder Brief. Er ergänzt diese als zusätzlichen, elektronischen Weg. Die übrigen Widerrufsrechte des Verbrauchers bleiben unberührt.

Technische Anforderungen: Was der Button leisten muss

Der Gesetzestext spricht nicht von einem „Button“, sondern technikneutral von einer „Widerrufsfunktion“. Das bedeutet: Auch ein klar bezeichneter und hervorgehobener Link dürfte die Anforderungen erfüllen, sofern er die nachfolgenden Vorgaben im Übrigen einhält. Die wichtigsten Punkte im Überblick:

• Hervorgehobene Platzierung: Die Widerrufsfunktion muss gut lesbar, hervorgehoben platziert, ständig verfügbar und für den Verbraucher leicht zugänglich sein. Die Gesetzesbegründung verlangt ausdrücklich besondere Maßnahmen wie Farbwahl oder Kontraste sowie eine hervorgehobene Platzierung, die die Widerrufsfunktion eindeutig von anderen Informationen wie AGB, Impressum oder ähnlichem abgrenzt. Nach der Gesetzesbegründung muss die Widerrufsfunktion von jeder Unterseite der Website unmittelbar erreichbar sein; Hyperlinks sind dabei ausdrücklich zulässig. Der Button sollte nicht durch Pop-ups oder andere Elemente verdeckt werden.
• Eindeutige Beschriftung: Die Beschriftung muss unmissverständlich sein, etwa „Vertrag widerrufen“ oder eine andere gleichbedeutende eindeutige Formulierung. Bezeichnungen wie „Stornieren“, „Kontakt“ oder „Serviceanfrage“ dürften den gesetzlichen Anforderungen nicht genügen, da sie keinen hinreichend eindeutigen Bezug zur Widerrufserklärung herstellen.
• Zweistufiges Verfahren: Der erste Klick löst den Widerruf nicht sofort aus. Stattdessen gelangt der Verbraucher auf eine separate Seite, auf der er Name, Vertragsidentifikation (z.B. Bestellnummer) und ein elektronisches Kommunikationsmittel für die Eingangsbestätigung angeben oder bestätigen muss. Der Unternehmer darf diese Felder vorausfüllen, sofern die Angaben bereits vorliegen; der Verbraucher bestätigt sie dann. Erst durch einen zweiten Klick auf eine Schaltfläche mit der Aufschrift „Widerruf bestätigen“ oder einer gleichbedeutenden Formulierung wird die Erklärung wirksam übermittelt.
• Datensparsamkeit: Pflichtfelder dürfen nur die im Gesetz genannten Angaben umfassen: Name, Vertragsidentifikation und Kommunikationsmittel für die Eingangsbestätigung. Der Widerrufsgrund darf nicht als Pflichtangabe verlangt werden. Eine optionale Abfrage ist zulässig, soweit der Verbraucher den Prozess auch ohne Angabe abschließen kann.
• Dauerhaft verfügbar, aber keine Individualisierung erforderlich: Die Widerrufsfunktion muss während der gesamten Widerrufsfrist verfügbar sein. Da die Frist individuell beginnt und eine nutzerspezifische Steuerung technisch kaum umsetzbar ist, sieht die Gesetzesbegründung die pauschale und dauerhafte Bereitstellung als Standardfall vor. Praktisch bedeutet das aber: Der Button wird auch Verbrauchern angezeigt, deren Frist bereits abgelaufen ist. Unternehmen müssen intern darauf vorbereitet sein, unberechtigte Widerrufserklärungen zu erkennen und sachgerecht zu beantworten.
• Login und Gastbestellungen: Die Widerrufsfunktion muss grundsätzlich auch ohne vorherige Anmeldung zugänglich sein. Eine Ausnahme gilt nach der Gesetzesbegründung dann, wenn auch der Vertragsschluss selbst ausschließlich mit der Einrichtung eines Kundenkontos möglich war. In diesem Fall reicht eine Bereitstellung der Widerrufsfunktion im Login-Bereich aus. Diese Differenzierung unterscheidet den Widerrufsbutton vom Kündigungsbutton, für den die Rechtsprechung eine Login-Pflicht bereits mehrfach als unzulässig eingestuft hat. Diese Frage ist aber bislang noch nicht im Einzelnen geklärt.
• Kein App-Download als Voraussetzung: Das Herunterladen einer App als Bedingung für den Zugang zur Widerrufsfunktion dürfte unzulässig sein. Der Button muss auf mobilen Endgeräten genauso einwandfrei funktionieren wie auf dem Desktop.

Pflichten nach dem Widerruf: Eingangsbestätigung und Rückabwicklung

Sobald ein Verbraucher den Widerruf über die elektronische Funktion erklärt hat, ist der Händler verpflichtet, den Eingang unverzüglich auf einem dauerhaften Datenträger zu bestätigen, in der Regel per E-Mail. Die Bestätigung muss den Inhalt der Widerrufserklärung sowie Datum und Uhrzeit des Eingangs enthalten. Wichtig ist dabei, dass die Bestätigungsmail zwingend über das vom Verbraucher angegebene Kommunikationsmittel zu übermitteln ist; eine Abweichung dürfte nach dem Gesetzeswortlaut nicht zulässig sein.

Bei der Formulierung ist besondere Sorgfalt geboten. Die Gesetzesbegründung weist ausdrücklich darauf hin, dass die Mail nicht den Eindruck erwecken darf, der Händler habe bereits die materielle Wirksamkeit des Widerrufs geprüft. Formulierungen wie „Bestätigung Ihres Widerrufs“ oder „Ihr Widerruf wird hiermit bestätigt“ sollten nach hiesiger Einschätzung daher vermieden werden. Empfehlenswert ist ein standardmäßiger Hinweis, dass die Mail ausschließlich den Eingang der Widerrufserklärung bestätigt und eine Prüfung der Wirksamkeit und Reichweite noch aussteht.

Nach wirksamem Widerruf ist der Vertrag rückabzuwickeln. Der Händler muss bereits geleistete Zahlungen innerhalb von 14 Tagen nach Zugang der Widerrufserklärung erstatten, kann die Rückzahlung aber bis zum Eingang der zurückgesandten Ware oder bis zum Nachweis der Rücksendung zurückhalten.

Anpassungsbedarf über den Button hinaus

Die Einführung des Widerrufsbuttons zieht weiteren Anpassungsbedarf nach sich, der in der Praxis häufig unterschätzt wird:

• Widerrufsbelehrung (allgemeine Fernabsatzverträge): Das Belehrungsmuster für Fernabsatzverträge außerhalb von Finanzdienstleistungen ist an den neuen Gestaltungshinweis 3 in Anlage 1 (zu Art. 246a § 1 Abs. 2 S. 2 EGBGB) anzupassen.
• Datenschutzerklärung: Da im Widerrufsprozess personenbezogene Daten verarbeitet werden, muss die Datenschutzerklärung um Informationen zu Datenerhebung, Verarbeitungszweck und Speicherdauer ergänzt werden.
• Interne Prozesse: Die Bearbeitung eingehender Widerrufserklärungen muss organisatorisch vorbereitet sein. Da der Button dauerhaft für alle Besucher angezeigt wird, ist mit einem Anstieg auch unberechtigter Widerrufserklärungen zu rechnen. Unternehmen benötigen klare interne Abläufe, um Wirksamkeit und Reichweite jeder Erklärung zu prüfen.
• Abgrenzung zum Kündigungsbutton: Für Shops, die sowohl widerrufbare Verträge als auch Dauerschuldverhältnisse anbieten, ist eine klare Trennung beider Funktionen erforderlich. Verbraucher müssen auf den ersten Blick erkennen können, ob sie einen Vertrag widerrufen (sodass sie nicht mehr an ihre Vertragserklärung gebunden sind und der Vertrag rückabgewickelt wird) oder kündigen (sodass das Vertragsverhältnis für die Zukunft beendet wird).

Welche Sanktionen drohen bei Verstößen?

Die Konsequenzen eines fehlenden oder fehlerhaft eingebundenen Widerrufsbuttons sind nicht ganz unerheblich. Dabei ist zu beachten, dass Verstöße gegen die Buttonpflicht relativ einfach festzustellen sind, was erfahrungsgemäß das Abmahnrisiko erhöht. Rechtsfolgen können insb. sein:

• Verlängertes Widerrufsrecht: Wer die Widerrufsfunktion nicht bereitstellt bzw. den Verbraucher nicht hierüber unterrichtet, riskiert, dass die 14-tägige Widerrufsfrist für Verbraucher nicht zu laufen beginnt. Zwar erlischt das Widerrufsrecht in der Regel spätestens 12 Monate und 14 Tage nach Vertragsschluss oder Warenerhalt. Es entsteht damit kein dauerhaft unbegrenztes Widerrufsrecht; der wirtschaftliche Nachteil für den Händler kann gleichwohl erheblich sein.
• Abmahnungen: Sofern die Widerrufsbutton-Pflicht – was naheliegt – als Marktverhaltensregelung einzuordnen ist, können Wettbewerber und Verbraucherschutzverbände bei Verstößen abmahnen und hierdurch Unterlassungs- und Beseitigungsansprüche geltend machen. Die Erfahrungen mit dem Kündigungsbutton zeigen, dass solche Verstöße nach Inkrafttreten auch verfolgt werden.
• Bußgelder: Eine nicht ordnungsgemäß umgesetzte Widerrufsfunktion kann als Ordnungswidrigkeit geahndet werden, wenn es sich um einen weitverbreiteten Verstoß handelt. Das Gesetz sieht unterschiedlich hohe Bußgelder je nach Jahresumsatz der Unternehmen vor.

Haben Sie Fragen zur Umsetzung in Ihrem Online-Shop?

Wenn Sie prüfen möchten, ob Ihr Shop die ab dem 19. Juni 2026 geltenden Anforderungen erfüllt, oder wenn Sie Unterstützung bei der rechtssicheren Einbindung des Widerrufsbuttons, der Anpassung Ihrer Rechtstexte oder der Abwehr von Abmahnungen benötigen, stehen Ihnen Josua Neudeck, Benjamin Janowitz und unsere Experten von Vogel und Partner gerne zur Verfügung.

Das Urteil (Az. 4 UKl 3/25 vom 12. Mai 2026) betrifft eine ästhetische Praxis, die über ihren Chatbot falsche und teilweise nicht existente Facharzttitel den ärztlichen Geschäftsführern zuschrieb. Das Gericht verurteilte das Unternehmen dazu, die irreführenden Aussagen künftig zu unterlassen. Die Revision zum Bundesgerichtshof (BGH) ist zugelassen.

Der Sachverhalt: KI erfindet Facharzttitel

Die Aesthetify GmbH bietet unter der Leitung der ärztlichen Geschäftsführer „Dr. Rick“ und „Dr. Nick“ an mehreren Standorten ästhetische Gesichtsbehandlungen an. Auf der Unternehmenswebsite war ein KI-Chatbot eingebunden, über den Patientinnen und Patienten in Echtzeit Fragen stellen und Termine buchen konnten.

Auf konkrete Anfragen antwortete der Chatbot unter anderem, die beiden Ärzte seien „Fachärzte für plastische und ästhetische Chirurgie“, „Fachärzte für ästhetische Medizin“ sowie „Fachärzte für ästhetische Behandlungen“. Tatsächlich verfügten die Geschäftsführer nicht über diese Weiterbildungen. Hinzu kommt: Die Bezeichnungen „Facharzt für ästhetische Medizin“ und „Facharzt für ästhetische Behandlungen“ existieren als anerkannte Facharzttitel in Deutschland gar nicht.

Die Verbraucherzentrale Nordrhein-Westfalen mahnte die Gesellschaft ab und forderte eine strafbewehrte Unterlassungserklärung also das verbindliche und mit einer Vertragsstrafe abgesicherte Versprechen, die beanstandeten Aussagen nicht zu wiederholen. Der Chatbot wurde daraufhin zunächst deaktiviert und anschließend technisch angepasst. Die geforderte Unterlassungserklärung gab das Unternehmen jedoch nicht ab. Der Verbraucherverband erhob daraufhin Klage.

Die Entscheidung: Der Chatbot gehört zum Marktauftritt des Unternehmens

Der 4. Zivilsenat des OLG Hamm gab der Klage auf Unterlassung statt. Das Gericht bejahte eine Irreführung gemäß § 5 Abs. 1, Abs. 2 Nr. 3 UWG (Gesetz gegen den unlauteren Wettbewerb). Vereinfacht gesagt verbietet diese Vorschrift geschäftliche Aussagen, die Verbraucher über wesentliche Eigenschaften eines Unternehmens täuschen und dadurch ihre Entscheidungen beeinflussen können. Dazu gehören insbesondere falsche Angaben über die Befähigung, den Status oder die Zulassung eines Unternehmers.

Zentrale Frage war, ob die Antworten des KI-Chatbots der Beklagten als eigene Geschäftshandlung zugerechnet werden können. Das OLG Hamm hat dies bejaht:

• Die Gesellschaft setze den Chatbot in Gang und verfügte über ausreichend Einfluss, wie er mit potenziellen Kunden kommunizierte.
• Der Chatbot sei kein „Dritter“ im Sinne des Gesetzes, sondern Teil der geschäftlichen Organisation des Unternehmens.
• Die autonome Funktionsweise des KI-Systems schließe die Zurechnung nicht aus.

Auch der sogenannte Black-Box-Charakter eines lernfähigen KI-Tools, also der Umstand, dass sich die Entstehung einer einzelnen KI-Antwort nicht vollständig nachvollziehen lässt, stehe der Zurechnung nicht entgegen.

Wer einen Chatbot zur Kundenkommunikation und Absatzförderung einsetzt, muss sich dessen Aussagen nach dieser Entscheidung als eigenen Marktauftritt gegen sich gelten lassen.

Keine Entlastung durch technische Schutzmaßnahmen

Die beklagte Praxis hatte im Verfahren geltend gemacht, der Chatbot sei durch einen externen IT-Dienstleister eingerichtet und ausschließlich mit korrekten Website-Texten und häufig gestellten Fragen des Unternehmens trainiert worden. Diese Inhalte enthielten keine falschen Angaben über die Facharztqualifikation der Geschäftsführer.

Das genügte dem OLG Hamm nicht. Entscheidend war für das Gericht, dass das Unternehmen den Chatbot für die eigene Kundenkommunikation eingesetzt hatte und dessen Tätigkeitsrahmen beeinflussen konnte.

Die Prompt-Anweisung und der Keyword-Filter, mit denen der Begriff „Facharzt“ später unterdrückt wurde, wurden erst nach der Abmahnung eingerichtet. Das Gericht sah in der schnellen technischen Anpassung einen Beleg dafür, dass das Unternehmen Einfluss auf die Antworten nehmen und die konkrete Fehlerquelle mit vertretbarem Aufwand absichern konnte.

Auch der Einwand, der Chatbot sei durch einen externen IT-Dienstleister eingebunden worden, half nicht weiter. Das Gericht rechnete die Tätigkeit des eingeschalteten Dienstleisters dem Unternehmen zu. Die Beauftragung eines externen Anbieters beseitigt damit jedenfalls gegenüber Kunden, Mitbewerbern und Verbraucherverbänden nicht die eigene Verantwortung des Unternehmens.

Von besonderer Bedeutung ist auch die Einschätzung des Gerichts zur Nutzererwartung: Das Gericht ging nicht davon aus, dass Verbraucher KI-generierte Antworten grundsätzlich mit Misstrauen lesen. Viele Nutzer vertrauen nach Einschätzung des Gerichts vielmehr in besonderem Maße auf die Richtigkeit computergenerierter Antworten.

BGH-Revision zugelassen: Die Grundsatzfrage bleibt offen

Das Urteil ist noch nicht rechtskräftig. Das OLG Hamm hat die Revision zum Bundesgerichtshof ausdrücklich zugelassen, weil die Entscheidung grundsätzliche Rechtsfragen zur Verantwortung für KI-generierte Aussagen aufwirft.

Die Zulassung der Revision unterstreicht die über den Einzelfall hinausgehende Bedeutung des Verfahrens. Im Kern geht es um die Frage, welche Maßstäbe für Unternehmen gelten, die KI-Chatbots auf der eigenen Website einsetzen. Der BGH wird Gelegenheit haben, Grundsätze für KI-generierte Inhalte in Werbung und Kundenkommunikation zu konkretisieren.

Was Unternehmen jetzt beachten sollten

Das Urteil des OLG Hamm ist ein deutliches Signal: Nach Auffassung des Gerichts übernimmt, wer einen KI-Chatbot auf seiner Website einsetzt, die Verantwortung für dessen Aussagen. Im entschiedenen Fall half es dem Unternehmen weder, dass ein externer Dienstleister eingeschaltet war, noch dass nach seiner Darstellung ausschließlich korrekte Ausgangsdaten verwendet worden waren. Auch die fehlende Kenntnis der konkreten Einzelantwort verhinderte den Unterlassungsanspruch nicht.

Für die Praxis bedeutet das:

• Einsatzbereich klar begrenzen. Unternehmen sollten genau festlegen, zu welchen Themen der Chatbot Auskunft geben darf. Bei rechtlich oder wirtschaftlich besonders sensiblen Angaben – etwa zu Qualifikationen, Preisen, Lieferzeiten oder Produkteigenschaften – sollte der Chatbot nur geprüfte Antworten ausgeben oder an einen Menschen weiterleiten.
• Kritische Angaben verbindlich hinterlegen und regelmäßig testen. Wesentliche Informationen sollten aus einer freigegebenen Wissensbasis stammen. Vor dem Start und nach Änderungen sollten typische sowie ungewöhnliche Nutzerfragen getestet und festgestellte Fehler korrigiert und dokumentiert werden.
• Technische und organisatorische Schutzmaßnahmen kombinieren. Prompt-Anweisungen und Filter sind ein wichtiger Baustein. Zusätzlich erforderlich sind jedoch laufende Kontrollen, klare interne Zuständigkeiten und ein Verfahren für den Umgang mit Fehlantworten (z.B. IT-Dienstleister und / oder Rechtsabteilung einschalten).
• Erwartungshaltung der Nutzer:innen steuern. Am Chatfenster sollte gut sichtbar erklärt werden, dass die Antworten von einer KI erzeugt werden, fehlerhaft oder unvollständig sein können und bei wichtigen Fragen überprüft werden müssen. Diese Erwartungshaltung kann in detaillierten rechtlichen Hinweisen noch konkretisiert und somit gesteuert werden (allein dies ersetzt aber nicht die rechtliche Verantwortung für die Falschaussagen des Chatbots).
• Verträge mit IT-Dienstleistern prüfen. Sie sollten insbesondere regeln, wer für Datenqualität, Tests, Überwachung, Fehlerbehebung und mögliche Schäden verantwortlich ist. Gegenüber Dritten bleibt das Unternehmen jedoch selbst verantwortlich.

Ähnliche Entwicklung beim Landgericht München I (Google – KI)

In eine ähnliche Richtung weist übrigens ein noch nicht rechtskräftiges Urteil des Landgerichts München I vom 28. Mai 2026 (Az. 26 O 869/26). Dort hatte die KI-Funktion einer Suchmaschine in einer automatisch erzeugten Übersicht zwei Verlagsunternehmen unter anderem unseriöse Geschäftspraktiken und sogenannte Abo-Fallen vorgeworfen.

Das Gericht verpflichtete die Suchmaschinenbetreiberin, die beanstandeten Behauptungen künftig nicht mehr in ihrer KI-Übersicht zu verbreiten. Entscheidend war: Die KI-Übersicht gab nicht lediglich fremde Suchergebnisse wieder, sondern fasste Informationen zu einem neuen Text zusammen. Diesen selbst erzeugten Inhalt musste sich die Suchmaschinenbetreiberin als eigene Aussage zurechnen lassen.

Die Fälle unterscheiden sich zwar: Beim LG München ging es um rufschädigende Aussagen einer Suchmaschine, beim OLG Hamm um irreführende Angaben eines Unternehmens-Chatbots. Beide Entscheidungen machen jedoch deutlich, dass sich Betreiber nicht allein mit dem Hinweis entlasten können, die falsche Aussage sei von einer KI automatisch erzeugt worden.

Sie setzen KI-Chatbots ein oder planen deren Einsatz?

Wenn Sie prüfen möchten, ob Ihr KI-Chatbot rechtlich sicher aufgesetzt ist, ob Ihre Verträge mit IT-Dienstleistern die Risiken angemessen abbilden, stehen Ihnen unsere KI-Rechts – Experten von Vogel & Partner gerne zur Verfügung.

Mit Urteil vom 2. Juli 2026 hat der I. Zivilsenat ein Berufungsurteil aufgehoben, das dem Möbelsystem den urheberrechtlichen Schutz versagt hatte (Az. I ZR 96/22). Vorausgegangen war eine Vorabentscheidung des Gerichtshofs der Europäischen Union (EuGH) zur Auslegung des urheberrechtlichen Werkbegriffs.

Das Wichtigste in Kürze

• Gericht und Datum: Bundesgerichtshof, I. Zivilsenat, Urteil vom 2. Juli 2026, Az. I ZR 96/22.
• Worum es geht: Ob das modulare Möbelsystem USM Haller als Werk der angewandten Kunst urheberrechtlich geschützt ist.
• Vorinstanz: Das Oberlandesgericht Düsseldorf hatte den urheberrechtlichen Schutz verneint und nur wettbewerbsrechtliche Ansprüche zugesprochen.
• Entscheidung des BGH: Für Werke der angewandten Kunst gelten keine höheren Anforderungen an die Originalität als für andere Werkarten. Das Urteil des Oberlandesgerichts Düsseldorf wurde aufgehoben.
• Wie es weitergeht: Das Oberlandesgericht Düsseldorf muss den Fall erneut verhandeln und klären, ob USM Haller urheberrechtlich geschützt ist und ob Konektra dieses Recht verletzt hat.

Der Streit: USM Haller gegen Konektra

USM Haller vertreibt seit Jahrzehnten sein modulares Möbelsystem. Kennzeichnend dafür sind hochglanzverchromte Rundrohre, die mittels kugelförmiger Verbindungsknoten zu einem Gestell zusammengesetzt werden, sowie verschiedenfarbige Verschlussflächen aus Metall, sogenannte Tablare.

Die Klage richtet sich laut BGH gegen zwei Beklagte: den Betreiber eines Onlineshops sowie dessen Geschäftsführer persönlich. Beide werden in der Pressemitteilung des BGH nicht namentlich genannt, nach übereinstimmenden Medienberichten handelt es sich um das Nürnberger Unternehmen Konektra. Zur besseren Lesbarkeit wird im Folgenden vereinfachend von Konektra gesprochen.

Konektra bot über seinen Onlineshop zunächst ausschließlich Ersatzteile und Erweiterungsteile an, die in Form und überwiegend auch in der Farbe den Originalkomponenten von USM Haller entsprachen. Solange es dabei blieb, beanstandete USM Haller dies nicht. In den Jahren 2017 und 2018 gestaltete Konektra seinen Onlineshop jedoch neu: Seither werden dort sämtliche Komponenten angeboten, die für den Zusammenbau vollständiger USM Haller Möbel erforderlich sind, ergänzt um einen Montageservice.

USM Haller sah darin eine neue Ausrichtung des Geschäftsmodells von Konektra: Es gehe nicht mehr um Ersatzteile, sondern um die Herstellung und den Vertrieb eines eigenen, mit dem Original identischen Möbelsystems. USM Haller nahm Konektra deshalb auf Unterlassung, Auskunftserteilung und Rechnungslegung, Ersatz von Abmahnkosten sowie Feststellung der Schadensersatzpflicht in Anspruch, gestützt in erster Linie auf Urheberrecht und hilfsweise auf wettbewerbsrechtlichen Leistungsschutz.

Der Weg vor den Bundesgerichtshof

Das Landgericht Düsseldorf gab USM Haller am 14. Juli 2020 aus Urheberrecht überwiegend recht (Az. 14c O 57/19). Das Oberlandesgericht Düsseldorf sah dies in der Berufung anders und lehnte urheberrechtliche Ansprüche ab, USM Haller erhielt lediglich Ansprüche aus Wettbewerbsrecht zugesprochen (Urteil vom 2. Juni 2022, Az. 20 U 259/20). Beide Parteien legten die zugelassene Revision ein: USM Haller verfolgte die abgewiesenen urheberrechtlichen Ansprüche weiter, Konektra erstrebte die vollständige Abweisung der Klage.

Der BGH setzte das Verfahren mit Beschluss vom 21. Dezember 2023 aus und legte dem EuGH Fragen zur Auslegung des in der Richtlinie 2001/29/EG enthaltenen Werkbegriffs vor. Der EuGH beantwortete diese Fragen mit Urteil vom 4. Dezember 2025 (verbundene Rechtssachen C 580/23 und C 795/23, „Mio u.a.“). Erst danach konnte der BGH abschließend entscheiden.

Die Entscheidung des BGH: Urheberrecht auch für Möbel

Die Revision von USM Haller hatte Erfolg, die von Konektra blieb erfolglos. Der BGH hat das Berufungsurteil aufgehoben und die Sache insoweit an das Oberlandesgericht Düsseldorf zurückverwiesen, als dieses die urheberrechtlichen Klageanträge abgewiesen hatte.

Nach § 2 Abs. 1 Nr. 4 UrhG gehören Werke der bildenden Kunst einschließlich der Werke der angewandten Kunst zu den urheberrechtlich geschützten Werken, sofern sie nach § 2 Abs. 2 UrhG persönliche geistige Schöpfungen sind. Werke der angewandten Kunst sind Gestaltungen, die neben einem praktischen Gebrauchszweck auch künstlerischen Charakter haben können, etwa Möbel, Gebrauchsgegenstände oder Designobjekte. Eine persönliche geistige Schöpfung setzt voraus, dass die Gestaltung auf einer individuellen kreativen Leistung beruht, die über eine rein handwerkliche oder routinemäßige Arbeit hinausgeht. Die Begründung, mit der das Oberlandesgericht Düsseldorf dies für das USM Haller System verneint hatte, hielt nach Auffassung des BGH der rechtlichen Nachprüfung nicht stand. Der Senat stellte dazu vier Grundsätze auf:

• Kein strengerer Maßstab: Bei Werken der angewandten Kunst sind keine höheren Anforderungen an die freie und kreative Entscheidung des Schöpfers zu stellen als bei anderen Werkarten.
• Einheitliche, objektive Prüfung: Die Prüfung der Originalität hat für alle Werkarten einheitlich, objektiv und ausgehend vom konkret vorgelegten Werk zu erfolgen.
• Absicht des Schöpfers unerheblich: Auf die subjektive Sicht des Urhebers, also auf eine schöpferische Absicht oder das Bewusstsein freier kreativer Entscheidungen, kommt es nicht entscheidend an.
• Spätere Umstände zählen mit: Auch Umstände, die erst nach der Entstehung der Gestaltung eingetreten sind, etwa die Präsentation in Kunstausstellungen oder Museen oder die Anerkennung in Fachkreisen, können als Anhaltspunkte herangezogen werden.

Diese Grundsätze hatte das Oberlandesgericht Düsseldorf nach Auffassung des BGH nicht hinreichend beachtet. Bestätigt hat der BGH dagegen, dass die ästhetische Wirkung einer Gestaltung für sich genommen keinen Urheberrechtsschutz begründet.

Wie geht es weiter?

Das Oberlandesgericht Düsseldorf muss nun erneut prüfen, ob das USM Haller System als Werk der angewandten Kunst urheberrechtlichen Schutz genießt. Bejaht es dies, muss es bei der Prüfung einer möglichen Rechtsverletzung durch Konektra die vom Gerichtshof der Europäischen Union entwickelten Grundsätze beachten. Danach gilt:

• Nur konkrete kreative Elemente zählen: Eine Urheberrechtsverletzung liegt nur vor, wenn Konektra gerade die konkret identifizierbaren kreativen Elemente übernommen hat, die die Originalität des USM Haller Systems begründen.
• Wiedererkennbarkeit erforderlich: Diese Elemente müssen in den Produkten von Konektra wiedererkennbar sein.
• Gesamteindruck reicht nicht: Auf einen bloßen Vergleich des Gesamteindrucks beider Möbelsysteme kommt es dagegen nicht entscheidend an.

Bedeutung für die Praxis

Die Entscheidung reicht über den Einzelfall hinaus und ist für alle Unternehmen relevant, die ihr Produktdesign urheberrechtlich schützen wollen oder sich gegen entsprechende Vorwürfe verteidigen müssen:

• Möbel sind gleichberechtigt: Möbelstücke und andere Gebrauchsgegenstände können ebenso wie klassische Kunstwerke urheberrechtlich geschützt sein. Es gelten keine strengeren Maßstäbe für die erforderliche Schöpfungshöhe.
• Objektive Betrachtung entscheidet: Für die Originalität kommt es auf eine objektive Betrachtung des konkreten Werks an, nicht auf die ursprüngliche Absicht des Gestalters.
• Spätere Anerkennung kann helfen: Auch eine spätere Anerkennung, etwa durch Museen oder Fachkreise, kann als Indiz für den künstlerischen Charakter einer Gestaltung herangezogen werden.
• Nachahmung braucht mehr als Ähnlichkeit: Bei der Frage, ob eine Nachahmung das Urheberrecht verletzt, kommt es auf die Übernahme konkreter, die Originalität begründender Gestaltungselemente an, nicht allein auf einen ähnlichen Gesamteindruck.
• Verfahren läuft weiter: Ob USM Haller tatsächlich Urheberrechtsschutz genießt, ist noch nicht entschieden. Das Oberlandesgericht Düsseldorf muss dies im wiedereröffneten Berufungsverfahren erneut klären.

Fazit

Der BGH hat mit seinem Urteil vom 2. Juli 2026 die Hürden für den urheberrechtlichen Schutz von Gebrauchsdesign nicht gesenkt, aber klargestellt, dass Werke der angewandten Kunst nach denselben Maßstäben zu beurteilen sind wie andere Werkarten. Für Unternehmen, die ihr Produktdesign schützen wollen oder sich gegen Plagiatsvorwürfe verteidigen, lohnt sich ein genauer Blick auf die vom BGH aufgestellten Kriterien.

Haben Sie Fragen?

Wenn Sie Fragen zum urheberrechtlichen Schutz Ihres Produktdesigns haben oder prüfen möchten, ob und wie Sie gegen Nachahmungen vorgehen können, stehen Ihnen Jürgen Held und das Team von Vogel & Partner Rechtsanwälte mbB gerne zur Verfügung.