Ihre Anwälte für IT-Recht

IT-Recht ist ein Sammelbegriff für rechtliche Fragen rund um Informationstechnologie und digitale Geschäftsmodelle. Dazu gehören insbesondere IT-Vertragsrecht, Software- und Lizenzrecht, Datenschutzrecht, E-Commerce, Plattformrecht, Cloud- und SaaS-Verträge sowie rechtliche Fragen zu künstlicher Intelligenz und Cybersecurity. Ein eigenständiges „IT-Gesetz“ gibt es nicht. Je nach Sachverhalt greifen unterschiedliche nationale und europäische Regelungen ineinander.

Anwaltliche Beratung ist besonders sinnvoll, bevor ein größeres IT-Projekt startet, Software entwickelt oder eingekauft wird oder ein digitales Geschäftsmodell auf den Markt kommt. Typische Anlässe sind: Softwareentwicklungsprojekte, Einführung von SaaS- oder Cloud-Lösungen, Lizenzverträge, Plattform- und App-Projekte, Datenschutzfragen, KI-Anwendungen, Cybersecurity-Anforderungen sowie Streit mit IT-Dienstleistern. Je früher zentrale rechtliche Punkte geklärt werden, desto leichter lassen sich spätere Konflikte vermeiden.

Typische IT-Verträge sind insbesondere: Softwareentwicklungsverträge, Softwarelizenzverträge, SaaS-Verträge, Cloud-Verträge, Hostingverträge, Wartungs- und Supportverträge, Service Level Agreements, Outsourcingverträge, Projektverträge sowie Verträge über IT-Beratung. Welche Vertragsform sinnvoll ist, hängt von der konkreten Leistung und dem jeweiligen Geschäftsmodell ab.

Ein Softwareentwicklungsvertrag sollte insbesondere klar beschreiben, welche Software beziehungsweise Funktionen geschuldet sind und wie das Projekt abgewickelt wird. Wichtige Punkte sind regelmäßig: Leistungsbeschreibung, Projektphasen und Termine, Mitwirkungspflichten, Vergütung, Change Requests, Tests und Abnahme, Nutzungsrechte, Quellcode, Dokumentation, Gewährleistung, Haftung sowie Wartung und Support. Gerade eine präzise Leistungsbeschreibung kann spätere Streitigkeiten erheblich reduzieren.

Das lässt sich nicht allein mit der Beauftragung beantworten. Computerprogramme können urheberrechtlich geschützt sein. Welche Nutzungsrechte der Auftraggeber erhält, richtet sich insbesondere nach dem jeweiligen Vertrag und den gesetzlichen Regelungen. Deshalb sollte ausdrücklich festgelegt werden, ob Software beispielsweise nur intern genutzt, verändert, vervielfältigt, an verbundene Unternehmen weitergegeben oder kommerziell weiterverwertet werden darf.

Bei Software steht häufig nicht das Eigentum an einem körperlichen Gegenstand im Vordergrund, sondern das Recht, das Computerprogramm in einem bestimmten Umfang zu nutzen. Lizenzbedingungen können beispielsweise festlegen, wie viele Nutzer zugreifen dürfen, auf welchen Systemen die Software eingesetzt werden darf und ob eine Weitergabe oder Bearbeitung zulässig ist. Welche gesetzlichen Regelungen zusätzlich gelten, hängt von Vertriebsform und Vertragsgestaltung ab.

Open-Source-Software darf nicht automatisch ohne Bedingungen für jeden Zweck verwendet werden. Die jeweilige Open-Source-Lizenz legt fest, welche Rechte bestehen und welche Pflichten einzuhalten sind. Je nach Lizenz können insbesondere Hinweise auf Urheber und Lizenztexte oder weitergehende Pflichten bei Veränderung und Weitergabe erforderlich sein. Unternehmen sollten deshalb dokumentieren, welche Open-Source-Komponenten sie einsetzen und unter welchen Lizenzbedingungen dies geschieht.

SaaS steht für „Software as a Service“. Die Software wird typischerweise nicht dauerhaft auf dem eigenen System installiert, sondern über einen Onlinedienst bereitgestellt. Ein SaaS-Vertrag sollte insbesondere Leistungen, Verfügbarkeit, Support, Vergütung, Nutzungsrechte, Datenschutz, Haftung und Vertragsbeendigung regeln. Besonders wichtig ist häufig auch die Frage, wie Kunden nach Vertragsende ihre Daten zurückerhalten beziehungsweise exportieren können.

Neben den allgemeinen Leistungs- und Vergütungsregelungen sind bei Cloud-Diensten insbesondere folgende Punkte wichtig: Verfügbarkeit, Leistungsstandards, Datensicherheit, Support, Unterauftragnehmer, Datenstandorte, Datenschutz, Backup, Migration, Exit-Regelungen sowie Haftung. Welche Regelungen erforderlich sind, hängt stark davon ab, welche Daten und Geschäftsprozesse in die Cloud verlagert werden.

Ein Service Level Agreement – kurz SLA – definiert messbare Qualitätsanforderungen an eine IT-Leistung. Typische Regelungen betreffen beispielsweise Verfügbarkeit, Reaktionszeiten, Wiederherstellungszeiten oder Supportzeiten. Sinnvoll ist außerdem festzulegen, wie die Einhaltung gemessen wird und welche Folgen eintreten, wenn vereinbarte Service Levels nicht erreicht werden.

Zunächst muss geprüft werden, welche Leistungen vereinbart waren und welche Partei ihre vertraglichen Pflichten möglicherweise verletzt hat. Relevant sind insbesondere Leistungsbeschreibung, Projektänderungen, Mitwirkungspflichten, Abnahme, Mängeldokumentation und Kommunikation zwischen den Beteiligten. Je nach Situation können Ansprüche auf Vertragserfüllung, Nachbesserung, Vergütungsanpassung, Schadensersatz oder Vertragsbeendigung in Betracht kommen. Bei größeren Projekten empfiehlt es sich, den Projektverlauf und offene Punkte frühzeitig beweissicher zu dokumentieren.

Ob ein Mangel vorliegt, richtet sich insbesondere danach, welche Beschaffenheit und Funktionalität vertraglich vereinbart wurden und welche gesetzlichen Anforderungen an die konkrete Leistung gelten. Fehler allein führen nicht automatisch zu denselben Rechtsfolgen. Entscheidend ist unter anderem, wie erheblich sie sind, welche Funktionen betroffen sind und welche Möglichkeiten zur Nachbesserung bestehen.

Bei digitalen Projekten sollte frühzeitig geprüft werden, welche personenbezogenen Daten verarbeitet werden, zu welchen Zwecken dies geschieht und welche externen Dienstleister eingebunden sind. Relevant können insbesondere Rechtsgrundlagen, Informationspflichten, Auftragsverarbeitung, technische und organisatorische Maßnahmen sowie internationale Datentransfers sein. Bei Websites und digitalen Diensten kommen zusätzlich besondere Vorgaben für den Zugriff auf Endgeräte beziehungsweise den Einsatz von Tracking-Technologien hinzu. Das TDDDG enthält hierzu spezielle Regelungen zum Schutz der Privatsphäre bei digitalen Diensten.

Nicht jede Speicherung oder jeder Zugriff auf Informationen im Endgerät eines Nutzers ist ohne Weiteres zulässig. § 25 TDDDG enthält besondere Vorgaben für das Speichern von Informationen in Endeinrichtungen oder den Zugriff auf bereits gespeicherte Informationen. Je nach Technologie und Zweck kann eine Einwilligung erforderlich sein; das Gesetz sieht zugleich gesetzliche Ausnahmen vor. Bei Tracking- und Consent-Lösungen sollte deshalb sowohl das TDDDG als auch das Datenschutzrecht berücksichtigt werden.

Geschäftlich betriebene Websites müssen verschiedene rechtliche Anforderungen beachten. Dazu können insbesondere gehören: Anbieterkennzeichnung, Datenschutzerklärung, Cookie- und Tracking-Regelungen, Urheber- und Bildrechte, Markenrecht, Wettbewerbsrecht, Verbraucherschutz sowie Barrierefreiheitsanforderungen. Das Digitale-Dienste-Gesetz enthält unter anderem allgemeine Informationspflichten für Anbieter geschäftsmäßiger digitaler Dienste.

Online-Shops müssen insbesondere verbraucherrechtliche Informationspflichten, Vertragsinformationen, Preisangaben und gegebenenfalls Widerrufsrechte berücksichtigen. Hinzu kommen datenschutzrechtliche Fragen, Zahlungsdienste, Versand, Werbung sowie Anforderungen an die Allgemeinen Geschäftsbedingungen. Welche Regelungen konkret gelten, hängt davon ab, ob sich das Angebot an Verbraucher oder ausschließlich an Unternehmen richtet und welche Produkte oder Leistungen angeboten werden.

Das ist regelmäßig sinnvoll. Unternehmensinterne KI-Richtlinien können beispielsweise festlegen: welche KI-Systeme verwendet werden dürfen, welche Informationen eingegeben werden dürfen, wie mit personenbezogenen Daten umzugehen ist, wie Ergebnisse überprüft werden, welche urheberrechtlichen Risiken zu beachten sind sowie wer für Auswahl und Einsatz verantwortlich ist. Zusätzlich können sich aus dem AI Act konkrete gesetzliche Pflichten ergeben.

Der AI Act ist die europäische Verordnung zur Regulierung künstlicher Intelligenz. Er verfolgt einen risikobasierten Ansatz und sieht je nach KI-System unterschiedliche Anforderungen vor. Der AI Act trat 2024 in Kraft und ist seit dem 2. August 2026 grundsätzlich anwendbar. Einzelne Vorschriften galten bereits früher; für bestimmte Hochrisiko-Systeme bestehen weitergehende Übergangsfristen. Unternehmen sollten deshalb prüfen, welche Rolle sie beim Einsatz eines KI-Systems einnehmen und welche gesetzlichen Anforderungen daraus entstehen.

Das lässt sich nicht pauschal beantworten. Urheberrechtlich stellen sich insbesondere Fragen danach, ob überhaupt eine menschliche schöpferische Leistung vorliegt und ob bei der Erstellung oder Nutzung bestehende Rechte Dritter betroffen sind. Daneben können Nutzungsbedingungen des jeweiligen KI-Anbieters relevant sein. Unternehmen sollten deshalb sowohl den Entstehungsprozess als auch die Nutzungsbedingungen und die geplante wirtschaftliche Verwendung berücksichtigen.

Ja. IT-Sicherheit ist zunehmend Gegenstand gesetzlicher, regulatorischer und vertraglicher Anforderungen. Neben Cybersecurity-Vorschriften können insbesondere Datenschutzrecht, vertragliche Sicherheitszusagen, Meldepflichten und Haftungsfragen relevant werden. Die NIS2-Richtlinie hebt außerdem die Verantwortung der Unternehmensleitung für Cybersecurity-Risikomanagement ausdrücklich hervor.

Neben der technischen Eindämmung sollte frühzeitig geprüft werden, welche rechtlichen Pflichten ausgelöst wurden. Je nach Vorfall können beispielsweise Melde- oder Benachrichtigungspflichten, datenschutzrechtliche Anforderungen, Pflichten gegenüber Kunden und Vertragspartnern sowie Anforderungen an die Beweissicherung relevant sein. Bei größeren Sicherheitsvorfällen sollten technische Incident Response und rechtliche Bewertung deshalb eng miteinander abgestimmt werden.

NIS2 ist die europäische Richtlinie zur Cybersicherheit von Netz- und Informationssystemen. Sie erweitert den Kreis betroffener Sektoren und Unternehmen und sieht unter anderem Anforderungen an Risikomanagement, Sicherheitsmaßnahmen und die Meldung erheblicher Sicherheitsvorfälle vor. Welche Anforderungen ein konkretes Unternehmen treffen, hängt insbesondere von Branche, Tätigkeit und Unternehmensgröße sowie der nationalen Umsetzung ab.

Entscheidend ist eine klare Aufgaben- und Risikoverteilung. Der Vertrag sollte insbesondere regeln: geschuldete Leistungen, technische Anforderungen, Mitwirkungspflichten, Termine, Vergütung, Nutzungsrechte, Datenschutz, IT-Sicherheit, Haftung, Support sowie Vertragsbeendigung. Bei geschäftskritischen Leistungen sollten zudem Exit- und Übergaberegelungen berücksichtigt werden.

Zunächst sollte geprüft werden, welche Leistungen vertraglich geschuldet sind und ob vereinbarte Termine oder Qualitätsanforderungen tatsächlich verletzt wurden. Wichtig ist außerdem, ob der Auftraggeber notwendige Mitwirkungsleistungen erbracht hat und ob sich der Leistungsumfang während des Projekts verändert hat. Auf dieser Grundlage kann entschieden werden, ob Nachbesserung, Fristsetzung, Vertragsänderung, Schadensersatz oder eine Beendigung der Zusammenarbeit sinnvoll ist.

Ja. Wir prüfen bestehende Vertragsentwürfe und gestalten individuelle Vereinbarungen für Software, SaaS, Cloud, Entwicklung, Lizenzierung und andere digitale Leistungen. Dabei konzentrieren wir uns insbesondere darauf, welche Leistung tatsächlich geschuldet ist, wem die erforderlichen Rechte zustehen, wer welches wirtschaftliche Risiko trägt und was passiert, wenn das Projekt nicht wie geplant verläuft..

Ja. Wir beraten Softwareanbieter, IT-Dienstleister, Agenturen, Plattformbetreiber, Start-ups und andere Technologieunternehmen ebenso wie Unternehmen, die IT-Leistungen einkaufen oder digitale Projekte umsetzen. Dadurch kennen wir die typischen Interessen und Konfliktpunkte beider Seiten und können Vertragsmodelle entsprechend gestalten.