Suchergebnisse für

Dr. Dorothee Altenburg berät und vertritt Mandanten in allen Aspekten des gewerblichen Rechtsschutzes, insbesondere beim Aufbau von Markenstrategien im In- und Ausland sowie der Verwertung und Verteidigung von Marken, Geschmacksmustern und Patenten. Neben der Recherche von Marken und Geschmacksmustern sowie deren Durchsetzung bei den Ämtern Deutschlands, der EU sowie der WIPO verwaltet und überwacht Dorothee Altenburg Markeneintragungen und -portfolios weltweit. Sie verfügt über langjährige Expertise in der Konzeption von Lizenz- und Abgrenzungsverträgen sowie in der Prozessführung vor deutschen Gerichten im Immaterialgüter- und Wettbewerbsrecht. Zur Sicherung effektiven Rechtsschutzes vertritt Dr. Altenburg Schutzrechtsinhaber vor den Zollbehörden in Fällen von Produktpiraterie und koordiniert EU-weite Grenzbeschlagnahmeverfahren.

Ein weiterer Schwerpunkt ihrer Tätigkeit liegt in der Beratung und Vertretung von Verlagen, Medienunternehmen und Künstlern auf den Gebieten des Urheber- und Verlagsrechts sowie des Persönlichkeitsrechts.

Nikolaus Bertermann war rund zehn Jahre lang Justiziar eines europaweit führenden Internet-Service-Providers und kann daher bei der Beratung auf vertieftes technisches Know-how, gute Kenntnisse der IT-Branche und langjährige Erfahrung als Unternehmensjurist zurückgreifen.

Er berät umfassend, zu allen Formen von klassischen und agilen Softwareerstellungs- und IT-Projektverträgen, zur Nutzung und Anpassung von Open-Source-Software sowie zum Cloud Computing innerhalb und außerhalb der EU.

Herr Bertermann führt Datenschutzaudits durch, berät Unternehmen bei der rechtskonformen Gestaltung von Datenverarbeitungsprozessen innerhalb und außerhalb von Konzernstrukturen und begleitet Mandanten in Projekten zur Umsetzung der Anforderungen der EU-Datenschutz-Grundverordnung. Für den Verlag C.H.Beck hat er zentrale Vorschriften der DS-GVO kommentiert.

Eva Bonacker berät in- und ausländische Mandanten bei allen Fragen des europäischen und deutschen Kartell- und Wettbewerbsrechts sowie im Gesellschaftsrecht und bei Unternehmenskäufen und sonstigen Unternehmenstransaktionen.

Die von Eva Bonacker betreuten Mandanten kommen aus verschiedenen Branchen. Dazu gehören insbesondere Medien, IT und Software, E-Commerce, Verlagswesen, Energie, Klimatechnologie und Konsumgüter.

Dr. Mathias Pajunk berät in allen Fragen des öffentlichen Wirtschaftsrechts. Der Schwerpunkt seiner Tätigkeit liegt in der Beratung von öffentlichen Auftraggebern bei der Vergabe von öffentlichen Aufträgen und Dienstleistungskonzessionen. Dies umfasst die Begleitung von Vergaben in sämtlichen Phasen, einschließlich der Vertragsgestaltung. Zugleich vertritt Dr. Mathias Pajunk gleichermaßen öffentliche Auftraggeber und Bieter im Rahmen von vergaberechtlichen Nachprüfungsverfahren. Zu seinen weiteren Tätigkeitsfeldern zählt die Bearbeitung komplexer Fragestellungen auf den Gebieten des Beihilfen- und Kartellrechts. 

Dr. Brock ist spezialisiert auf den Schutz geistigen Eigentums (Marken, Patente, Designs, Urheberrecht etc.), das Lauterkeits- bzw. Wettbewerbsrecht (einschließlich des Werberechts), das IT- und Datenschutzrecht sowie das Vertriebs- und Vertragsrecht.

Seine umfassende Beratung zum geistigen Eigentum beinhaltet sowohl die Anmeldung nationaler und internationaler Schutzrechte als auch deren vertragliche Lizenzierung sowie deren Durchsetzung in gerichtlichen und außergerichtlichen Auseinandersetzungen. Daneben berät er seine Mandanten seit vielen Jahren zu Fragen des Innovations- und Know-how-Schutzes (einschließlich des Schutzes von Geschäftsgeheimnissen), zu grenzüberschreitenden Forschungs- und Entwicklungsprojekten, zu Fragen des Arbeitnehmererfinderrechts sowie zu standardessentiellen Patenten (SEP). Ferner beinhaltet seine Beratung den Aufbau von markenbasierten Gütezeichen-, Label- und Siegelsystemen.

Seine Mandanten kommen aus einer Vielzahl von Branchen (z.B. aus den Bereichen Health Care & Life Sciences, Information Technology und Konsumgüter), wobei der Schwerpunkt bei technologiebasierten und innovativen Unternehmen liegt, deren Unternehmensgröße von Start-ups über mittelständische Unternehmen bis hin zu weltweit agierenden Großkonzernen reicht.

Dr. Oliver M. Bühr berät seit vielen Jahren in allen Themen rund um die Informationstechnologie. Dazu gehören insbesondere Software, Hardware, Projekte, Outsourcing. Häufig unterstützt er seine Mandanten auch bei allen Fragen rund um den Datenschutz, insbesondere bei der Umsetzung der DS-GVO. Er hat ebenfalls im Bereich des E-Business vertiefte Erfahrungen und unterstützt Unternehmen bei der Gestaltung ihrer Angebote im Internet. Auch innovative Themen wie Cloud Computing oder die Beratung von FinTechs gehören zu seinen Tätigkeitsgebieten. Viele der von ihm begleiteten Projekte haben einen internationalen Bezug und er arbeitet dabei eng mit Anwälten aus anderen Rechtsordnungen zusammen.

Als Notar ist er insbesondere in den Bereichen des Immobilienrechts, des Gesellschaftsrechts und des Erbrechts tätig.

Markus von Fuchs ist im Bereich des gewerblichen Rechtsschutzes, insbesondere im Wettbewerbs-, Patent- und Markenrecht sowie im Know-how-Schutz tätig. Er berät Unternehmen bei der Absicherung und wirtschaftlichen Verwertung geistigen Eigentums, zum Beispiel durch Lizenz-, Vertriebs-, F&E- sowie Kooperationsverträge. Ein weiterer Schwerpunkt liegt in der gerichtlichen und außergerichtlichen Verteidigung von geistigen Schutzrechten durch einstweilige Verfügungsverfahren und Hauptsacheklagen, durch Grenzbeschlagnahmeverfahren sowie durch Einleitung und Begleitung strafrechtlicher Maßnahmen bei Produkt- und Markenpiraterie und bei Verletzung von Betriebs- und Geschäftsgeheimnissen. Darüber hinaus berät Markus von Fuchs viele Unternehmen bei der Entwicklung und Einführung neuer Technologien und Geschäftsmodelle. Über besondere Branchenerfahrungen verfügt Markus von Fuchs in der optischen und medizintechnischen Industrie. 

Der Tätigkeitsbereich von Christoph Haesner deckt die gesamte Bandbreite des Medien-, Urheber- und Entertainmentrechts ab. Im Film- und Fernsehbereich sowie im Bereich des Vertriebs und des Lizenzgeschäfts betreut er Mandanten bei rechtlichen Fragen in allen Phasen der Entwicklung, Herstellung, des Vertriebs und der Auswertung von audiovisuellen Produktionen, sowohl im nationalen als auch im internationalen Bereich.

Einen Schwerpunkt der Tätigkeit bilden dabei sämtliche Fragen in und um die Filmfinanzierung, nicht nur bei rein nationalen Projekten, sondern auch bei solchen mit vielfältigem internationalen Bezug.

Ein weiterer Tätigkeitsfokus liegt in der rechtlichen Beratung im Transaktionsgeschäft (M&A) innerhalb der Medienbranche. Hier betreut Christoph Haesner regelmäßig Unternehmen während der gesamten Transaktionsphase und berät bei allen sich im Zuge von M&A-Transaktionen ergebenden sowohl gesellschaftsrechtlichen als auch vertrags-, urheber- und medienrechtlichen Fragen.

Dr. Johann Heyde berät umfassend im gesamten Medien- und Entertainmentrecht. Einer seiner Tätigkeitsschwerpunkte liegt im Bereich von Film und Fernsehen. Im Fokus steht hierbei die rechtliche Begleitung von nationalen und internationalen Film- und TV-Produktionen in allen Belangen – beginnend mit der Filmfinanzierung, dem Filmförderrecht, der Rechteklärung insbesondere im Urheber- und Persönlichkeitsrecht, dem Lizenzvertragsrecht bis hin zur Auswertung der Produktionen.

Ferner umfasst die anwaltliche Tätigkeit von Dr. Johann Heyde die Beratung auf allen Ebenen des Digital Business. Er beschäftigt sich hierbei insbesondere mit Internet-Portalen, Online-Diensten und sonstigen digitalen Medien (einschließlich On-Demand-Plattformen) in Bezug auf sämtliche hierfür relevanten rechtlichen Fragestellungen im E-Commerce-Bereich wie etwa AGB, Verbraucherschutz, Werbe- und Wettbewerbsrecht, Lizenzierung und Verbreitung von Inhalten im Internet.

Dr. Johann Heyde verfügt darüber hinaus über eine besondere Expertise im Musikrecht einschließlich des Rechts der Verwertungsgesellschaften – gerade auch im Bereich der digitalen Medien.

Die Tätigkeit von Dr. Magnus Hirsch umfasst unter anderem die Beratung deutscher und ausländischer Mandanten beim Aufbau von nationalen und internationalen Markenstrategien, grenzüberschreitende Verfolgung von Marken-, Patent- und Designverletzungen sowie bei der Entwicklung von Werbekonzepten, vor allem bei der Werbung und der Gestaltung von Verträgen, wie zum Beispiel Lizenzverträgen, Abgrenzungs- und Vorrechtsvereinbarungen, Werbeagenturverträgen etc. Sie umfasst ferner äußerungs- und presserechtliche Beratung und Vertretung.

Dr. Magnus Hirsch hat mehr als 25 Jahre Erfahrung in der Prozessführung vor zahlreichen Land- und Oberlandesgerichten in Deutschland in Kennzeichen-, Design-, Wettbewerbs- und Urheberrechtsstreitigkeiten und hat mehrere von ihm geführte Verfahren auch bis zum BGH begleitet.

Ein weiterer Schwerpunkt liegt im Bereich Marken- und Wettbewerbsverletzungen im Internet, vor allem im Führen von gerichtlichen und außergerichtlichen Streitigkeiten auch im Zusammenhang mit Internet-Domains sowie der Verfolgung von Patentverletzungen.

Dr. Magnus Hirsch war einige Monate am Standort Hongkong einer internationalen Wirtschaftskanzlei tätig, wobei der Schwerpunkt seiner Tätigkeit im Bereich des gewerblichen Rechtsschutzes in Asien insbesondere in der gerichtlichen und außergerichtlichen Durchsetzung von gewerblichen Schutzrechten sowie der Verfolgung von Marken- und Produktpiraterie in Südostasien lag.

Dr. Oliver Hornung berät nationale und internationale IT-Dienstleister und Anwender, und zwar bei der rechtlichen Strukturierung und Verhandlung von IT-, Projekt- und Outsourcingverträgen, sowie in Fragen des Urheberrechts und der Lizenzierung. Er ist dabei auch regelmäßig in notleidenden Projekten (Konfliktbewältigung) tätig und betreut Mandanten in Schlichtungs- und Schiedsverfahren und widrigenfalls in gerichtlichen Auseinandersetzungen.

Das regulatorische Umfeld für die Nutzung von Daten und entsprechenden Technologien ist komplex und ständig kommen neue Rechtsakte der Europäischen Kommission hinzu. In diesem dynamischen Umfeld berät Dr. Oliver Hornung seine Mandanten zu allen Rechtsfragen, insbesondere mit Fokus KI-Compliance, Data Act, NIS-2, Cyber-Security, Cloud Computing und Datenrecht. 

Ein weiterer Schwerpunkt der anwaltlichen Beratung sind der Datenschutz im Fokus auf Digital Health und die Digital Decade der EU. Falls erforderlich, verteidigt Dr. Oliver Hornung und sein Team die Rechte seiner Mandanten gegenüber Aufsichtsbehörden oder vor Gericht. 

Schließlich betreut Dr. Oliver Hornung Start-ups in allen Fragen rund um das IT-Recht und das Datenschutzrecht. Neben seiner umfangreichen praktischen Arbeit ist Dr. Oliver Hornung auch ein häufig gefragter Vortragender im Datenschutzrecht und IT-Recht.

Klaus Jankowski berät bei komplexen Investitionsprojekten und Unternehmensansiedlungen, schwerpunktmäßig im öffentlichen Bau- und Planungsrecht.

Seit einigen Jahren berät er zudem die Öffentliche Hand bei Gesetzgebungsvorhaben und sensiblen Infrastrukturprojekten.

Er ist im internationalen Anwaltsnetzwerk First Law International an der Spitze aktiv und verfügt über exzellente Kontakte zu Anwaltskanzleien weltweit.

Dr. Bernd Joch gestaltet Unternehmensumstrukturierungen im arbeitsrechtlichen und gesellschaftsrechtlichen Bereich, führt Interessenausgleichs- und Sozialplanverhandlungen und vertritt seine Mandanten in Einigungsstellenverfahren.

Er verfügt über langjährige Erfahrung bei der Beratung von Unternehmen, Vorständen, Geschäftsführern sowie Angestellten insbesondere auch in Kündigungsschutzsachen.

Im handelsrechtlichen Bereich berät und vertritt er Unternehmen insbesondere in Handelsvertreterangelegenheiten.

René M. Kieselmann ist auf EU-Vergaberecht und damit verbundene Gebiete spezialisiert. Er ist u.a. in der Praxisgruppe IT & Digital Business bei SKW Schwarz sowie Life Sciences & Health aktiv und verfügt über umfassende technische Kenntnisse in unterschiedlichen Bereichen. Neben dem IT-Recht berät er im Beihilfenrecht, Fördermittelrecht/Zuwendungsrecht und im Bereich Rettungsdienst und Bevölkerungsschutz, also der gesundheitlichen Gefahrenabwehr. Er gestaltet mit seinem Team komplexe Vergabeprojekte. René Kieselmann achtet auf eine adäquate Kommunikation zwischen Bietern und Auftraggebern und gestaltet Verhandlungen konstruktiv. SKW Schwarz begleitet große Ausschreibungsprojekte u.a. in der Wohnungswirtschaft, im Gesundheitswesen/Pharma und im IT-/Bankbereich. Ebenfalls kennt er die Strukturen in Rettungsdienst und Bevölkerungsschutz bzw. Katastrophenschutz und den regulatorischen Kontext (SGB). Er gestaltet auch dort Vergabeverfahren langfristig konstruktiv („Planungsmodell“, v.a. im Kontext der Bereichsausnahme Rettungsdienst bzw – präziser – Bereichsausnahme Gefahrenabwehr). In diesem Zusammenhang befasst er sich auch mit Fragen des Medizinrechts vom Notarzt bis zum Notfallsanitäter. Er muss zwar nicht oft vor Gericht bzw. vor die Vergabekammer, hat dennoch seit 2009 erhebliche forensische Erfahrung bis hin zum EuGH gesammelt.

Norbert Klingner ist auf nationale und internationale Film- / TV- und Werbefilmproduktion, -finanzierung, -versicherung und -vertrieb spezialisiert. Er vertritt namhafte Produzenten, Verleiher, Weltvertriebe und Filmfinanziers. Seine Expertise reicht damit in der Verhandlung und Vertragsgestaltung vom Beginn der Stoffentwicklung über sämtliche Fragen im Zusammenhang mit der Produktion und deren Finanzierung bis hin zur strategisch richtigen Auswertung und Lizensierung. Eine Auswahl von Filmproduktionen, an denen Herr Klingner mitgewirkt hat, finden Sie auf der Internet Movie Database IMDb.

Margret Knitter berät Ihre Mandanten in allen Belangen des gewerblichen Rechtsschutzes und Wettbewerbsrechts. Dies umfasst nicht nur die strategische Beratung, sondern auch gerichtliche Streitigkeiten. Schwerpunkte ihrer Tätigkeit sind der Aufbau und die Verteidigung von Marken- und Designportfolios, Grenzbeschlagnahmeverfahren sowie die Beratung bei der Entwicklung von Marketingkampagnen. Zudem berät sie zu Kennzeichnungsverpflichtungen, Labeling (Packungsgestaltung), Vermarktungsstrategien & regulatorischen Fragen, insbesondere von Kosmetika, Waschmitteln, Spielwaren, Lebensmitteln sowie im Bereich Cannabis. Ihre Mandanten vertritt sie gegenüber Behörden, Gerichten und der Staatsanwaltschaft.

Im Medien- und Entertainmentrecht berät sie hauptsächlich in Fragen des Werberechts, insbesondere des Product Placements, Branded Entertainment und des Influencer Marketings. Sie ist Mitglied des Vorstands der Branded Content Marketing Association (BCMA) für die DACH Länder sowie des INTA Non-Traditional Marks Committee.

Dr. Olaf Kreißl ist Notar und Rechtsanwalt und schwerpunktmäßig im Bereich des Immobilien-, Gesellschafts- und Erbrechts tätig. Er begleitet hier u.a. bei Immobilientransaktionen, Bauträgerprojekten, Grundstücks- und Wohnungseigentumskaufverträgen sowie Unternehmenstransaktionen (M&A) und allen gesellschaftsrechtlichen Vorgängen (Corporate Housekeeping, Kapitalerhöhungen, Umwandlungs- und Umstrukturierungsmaßnahmen etc.). Im Bereich der Vermögensvorsorge und in der Nachfolgegestaltung bzw. vorweggenommener Erbfolge konzipiert und beurkundet er Schenkungen, Testamente, Eheverträge, Scheidungsfolgevereinbarungen sowie Vorsorge- und Spezialvollmachten.

Er hat zudem langjährige anwaltliche Expertise im Bereich des Real Estate Managements sowie im privaten Bau- und Architektenrecht.  Im Vordergrund steht hier auch die Beratung bei Rechtsfragen im Zusammenhang mit der Verwaltung von Immobilien (gewerbliche Vermietung, Asset Management etc.), bei der Realisierung einer Baumaßnahme sowie der Gestaltung und Verhandlung der entsprechenden immobilienspezifischen Verträge.  

Stefan Kridlo berät laufend nationale und internationale Unternehmen in allen wesentlichen Fragen des Wirtschafts-, Handels- und Gesellschaftsrechts, insbesondere auch bei Unternehmenskäufen.

Schwerpunkte seiner langjährigen Tätigkeit sind die Betreuung von Immobilieninvestoren bei Transaktionen von Immobilien und Immobilienportfolios, deren Strukturierung und Verwaltung. Stefan Kridlo war als Notar bis April 2025 in den Bereichen des Gesellschaftsrechts, des Immobilienrechts und des Erbrechts tätig. Er arbeitet zudem als Testamentsvollstrecker.

Sabine Kröger ist Fachanwältin für Handels- und Gesellschaftsrecht sowie für Bank- und Kapitalmarktrecht und berät und vertritt nationale und internationale Unternehmen, Führungskräfte und Gesellschafter umfassend im Bereich des Gesellschaftsrechts und des Bankrechts.

Sie ist dabei für ihre Mandanten als erfahrene Prozessanwältin auch umfassend forensisch tätig (Corporate Litigation / Banking Litigation).

Besondere Schwerpunkte der Tätigkeiten von Frau Kröger liegen in:

• der Beratung und Vertretung von mittelständischen Unternehmen bzw. deren Geschäftsführer oder Gesellschafter in Gesellschafterstreitigkeiten und gesellschafterinternen Auseinandersetzungen;
• der Übernahme von Gremienvertretungen für Gesellschafter;
• der Beratung und Vertretung von Finanzinvestoren und Kreditinstituten auf dem Gebiet des Kredit- und Kreditsicherungsrechts und bei der Abwehr von Forderungen von Kunden/Anlegern, einschließlich der Vertretung in Masseklageverfahren.

Traditioneller Schwerpunkt ist im Bereich Medien das Entertainment- und Musikrecht. Hier betreut Dr. Kromer Künstler, Musikverlage, Labels, Internetdienstleister, Managements und Veranstalter. Ebenso ist er seit den Anfangstagen des Internet im Bereich Digital Business zuhause. Der schnelle Wandel von E-Commerce-Modellen, Social-Media-Plattformen und Digitalisierungstiefe (Web 4.0, Internet der Dinge) ist laufender Begleiter seiner Arbeit.

Dr. Kromers Erfahrungen als früherer Chefjustiziar und Business-Affairs-Verantwortlicher in einem internationalen Medienkonzern helfen ihm, die operativen und strukturellen Stärken und Schwächen von Unternehmen zu erkennen. Mit diesen Stärken oder auch Schwächen kann man arbeiten und Lösungen finden.

Franziska Ladiges berät Mandanten seit mehr als 10 Jahren in allen Fragen des IT- und Datenschutzrechts. Ihre Schwerpunkte liegen in der Vertragsgestaltung sowie dem Datenschutzrecht.

Franziska Ladiges berät Mandanten insbesondere bei der Implementierung neuer Prozesse und Technologien sowohl national als auch international. Zudem unterstützt Sie bei der fortlaufenden Einhaltung datenschutzrechtlicher Anforderungen und dem Umgang mit neuen EU-Regularien. Zu ihren Mandanten gehören sowohl kleine, stark spezialisierte Unternehmen als auch börsennotierte internationale Konzerne. Sie berät branchenübergreifend, insbesondere in der Automobilbranche sowie im Gesundheitsbereich.

Besonderes Interesse widmet sie neuen EU-Gesetzen und unterstützt ihre Mandanten mit Begeisterung bei der Auslegung und Umsetzung in die Praxis. Ihre Beratung umfasst auch die Prozessführung und Vertretung gegenüber Aufsichtsbehörden.

Franziska Ladiges hält regelmäßig Vorträge / Webinare zu ihren Beratungsschwerpunkten und ist Lehrbeauftragte am Mainzer Medieninstitut. Zudem ist sie Mitglied des Fachanwaltsausschusses „Informationstechnologierecht“ der Rechtsanwaltskammer Frankfurt am Main.

Im Bereich Private Clients besteht besonderes Know-how im Bereich der Gründung und Administrierung von Familienstiftungen, der Erstellung von Nachfolgeregelungen für mittelständische Unternehmen und vermögende Privatpersonen sowie in allen Fragen im Zusammenhang mit dem Familienrecht, wobei auch hier der Fokus auf komplexere Vermögenssituationen gerichtet ist. Die Errichtung von Testamenten, Vorsorgevollmachten und Eheverträgen spielt ebenfalls eine große Rolle, wobei ein erheblicher Teil der Fälle einen internationalen Bezug aufweist. Sollten einvernehmliche Lösungen nicht zu erzielen sein, begleitet Herr Meyer die Mandanten im Rahmen einer sorgfältigen strategischen und taktischen Planung auch mit der gebotenen Konfliktbereitschaft durch etwaige Gerichtsverfahren vor den Zivil- und Finanzgerichten. 

Dr. Ulrich Muth berät Unternehmen, insbesondere Kreditinstitute und Finanzdienstleister. Besondere Schwerpunkte seiner Tätigkeit liegen in der Beratung von Gläubigern immobiliengesicherter Kreditforderungen, der Begleitung von Kredit- und Sanierungsverhandlungen, der Abwehr von Schadensersatzansprüchen wegen angeblicher Aufklärungs- und Beratungspflichtverletzungen sowie der Durchsetzung von Gläubigerinteressen in der Insolvenz des Schuldners. Auf der Grundlage langjähriger Prozesserfahrung in den Bereichen Bank-, Handels- und Gesellschaftsrecht sowie in wettbewerbsrechtlichen Auseinandersetzungen entwickelt Dr. Muth gemeinsam mit den Mandanten wirtschaftliche Lösungen zur Vermeidung von Rechtsstreitigkeiten ebenso wie effiziente Prozessstrategien.

Dr. Matthias Nordmann berät internationale Konzerne, Mittelständler, Investoren und Unternehmer bei Fragen des Unternehmens-, Handels- und Gesellschaftsrechts, insbesondere bei Strukturierungen und Mergers & Acquisitions. Ein spezieller Fokus liegt auf Transaktionen in IP/IT getriebenen Branchen sowie Real Estate.

Dr. Orthwein ist seit 2003 als Rechtsanwalt zugelassen und seit 2011 Partner bei SKW Schwarz. Er erhielt in 2000 den Titel Master of Laws (LL.M.) in American Law von der Boston University (USA) und promovierte 2003 an der Universität Münster mit einem Thema aus dem Telekommunikationsrecht.

Er berät seine Mandanten in allen Bereichen des IT Rechts insbesondere im Cloud- und Softwarevertragsrecht und bei agilen Vertrags- oder Softwareentwicklungsformen, bei der Nutzung von Daten und KI sowie bei Projekten zur digitalen Transformation. Mit seinen Mandanten entwickelt und realisiert er neue Digitale Plattformen und Geschäftsmodelle. Er ist ein erfahrener Experte für nationale und internationale Datenschutzrechtsfragen, insbesondere im Zusammenhang mit der Nutzung von Cloud Diensten.

Der Lexology Index Germany 2025 listet ihn als „world´s leading practitioner” in der Kategorie Daten. Auch in 2025 empfiehlt ihn das Handelsblatt / Best Lawyers als Anwalt in den Kategorien „IT-Recht“ und „Datenschutzrecht“. Er wird im JUVE Handbuch 2025 erneut als „häufig empfohlener Anwalt“ für IT- und Datenschutzrecht geführt.

Dr. Orthwein ist Lehrbeauftragter für IT und Datenschutzrecht der Hochschule Rosenheim. Dr. Orthwein ist Mitglied der Deutschen Gesellschaft für Recht und Informatik, der International Association of Privacy Professionals, des Deutschen Outsourcing Verbandes und der Deutsch-Amerikanischen Juristenvereinigung. Er ist Senior Vice Chairman im Technology Law Commitee der International Bar Association.

Dr. Andreas Peschel-Mehner begleitet seit Beginn des Internets alle Formen des Digital Business, von Start-ups über Multichannel-Angebote bis zu internationalen Internet-Konzernen. Im Mittelpunkt der Beratung stehen alle hierfür relevanten rechtlichen Bereiche, insbesondere Datenschutz- und Nutzungskonzepte, AGB und Verbraucherschutz, Compliance, Werbe-, Gewinnspiel- und Wettbewerbsrecht und andere mehr.
Ein weiterer Schwerpunkt der anwaltlichen Beratung von Dr. Andreas Peschel-Mehner ist das Medien- und Entertainmentrecht, insbesondere sämtliche Belange der Film- und Fernsehbranche. Im Fokus stehen hier alle Aspekte der Finanzierung und weltweiten Auswertung der Produktionen sowie der Rechteerwerb. Einen besonderen Ausschnitt stellen dabei die digitalen Medien dar, sowohl hinsichtlich der Veränderung der Nutzungskonzepte und Erlösströme als auch die Begleitung von Video-On-Demand Plattformen. Einen Auszug der von ihm betreuten Film- und Serien-Projekte finden Sie hier auf der Internet Movie Database IMDb.
Er berät außerdem seit jeher nationale und internationale Computer-Game Publisher und Studios und seit einigen Jahren die Esport-Branche.
Ein wichtiges Querschnittsthema ist für ihn inzwischen in seiner Beratung die Entwicklung und der Einsatz von KI-Technologien geworden.

Ulrich Reber ist Fachanwalt für Internationales Wirtschaftsrecht, er berät und vertritt in- und ausländische Unternehmen im Bereich des Zivil- und Wirtschaftsrechts, insbesondere auf dem Gebiet der Prozessführung (Litigation), etwa in handels- und gesellschaftsrechtlichen Streitigkeiten vor Zivil- und Schiedsgerichten. Ein besonderer Fokus liegt dabei auf der grenzüberschreitenden Forderungsdurchsetzung und Rechtsverteidigung vor Gericht. Zu den Mandanten zählen Unternehmen aus dem europäischen und außereuropäischen Ausland mit Rechtsproblemen in Deutschland. Einen weiteren Tätigkeitsschwerpunkt bilden Spezialfragen auf dem Gebiet des Insolvenzrechts. Zahlreiche Mandanten kommen dabei aus dem Medien- und Entertainment- und IT-Bereich.

Juristische Expertise – digital durchdacht

Stefan Schicker berät seit über 20 Jahren an der Schnittstelle von Recht, Technologie und Innovation. Als erfahrener und mehrfach ausgezeichneter Rechtsanwalt im IT- und IP-Recht begleitet er nationale und internationale Unternehmen bei der rechtssicheren Gestaltung digitaler Geschäftsmodelle – von der Gestaltung komplexer Internet-Plattformen bis zum Schutz geistigen Eigentums.

Ein besonderer Beratungsbereich von Stefan Schicker ist die rechtliche Gestaltung von Corporate-Influencer-Initiativen: Mit speziell entwickelten Workshops unterstützt er Unternehmen dabei, unternehmensnahe LinkedIn-Kommunikation rechtssicher und wirkungsvoll aufzusetzen – im Einklang mit Urheber-, Persönlichkeits- und Wettbewerbsrecht etc. – Mehr Informationen.

Legal Tech & Kanzleientwicklung – mit Führungserfahrung

Parallel zur juristischen Praxis ist Stefan Schicker einer der profiliertesten Legal-Tech-Experten im deutschsprachigen Raum. Als ehemaliger COO und CEO von SKW Schwarz hat er die digitale Transformation der Kanzlei maßgeblich mitgestaltet – von der Strategie bis zur operativen Umsetzung.

Heute begleitet er Kanzleien und Rechtsabteilungen beim Auf- und Ausbau moderner Strukturen:

• Entwicklung und Einführung KI-gestützter Tools
• Aufbau interner Expertenteams und Fortbildungskonzepte
• Change-Prozesse zur nachhaltigen Verankerung digitaler Arbeitsweisen
• Organisation von Kanzleien als Unternehmen

Dabei bringt Stefan Schicker eine einzigartige Kombination aus juristischer Tiefe, technologischer Erfahrung und operativer Kanzleiführung mit – ausgezeichnet unter anderem als „Top 3 Legal Leader des Jahres“ (Best of Legal Awards).

Für Unternehmen & Kanzleien, die Zukunft nicht abwarten

Ob Unternehmen mit digitalen Geschäftsmodellen oder Kanzleien im Wandel: Stefan Schicker verbindet rechtliche Sicherheit mit unternehmerischer Weitsicht – und macht komplexe Transformationen verständlich, machbar und wirksam – Mehr Informationen.

Dr. Tatjana Schroeder verfügt über große Erfahrung in aktienrechtlichen Fragestellungen und begleitet auch mit  regelmäßigen Veröffentlichungen die Fortentwicklung dieses sehr spezifischen Rechtsgebiets. Aktienrecht lebt dabei immer auch von Trends im Kapitalmarkt und unterliegt damit kontinuierlichen Veränderungen.

Schwerpunkte der Tätigkeit von Mathias Schwarz stellen die Film- und Fernsehproduktion, Urheber- und Persönlichkeitsrechte, Lizenzverträge und die Medienfinanzierung dar. Seine Mandanten sind Finanzinstitute, private Investoren, Film- und Fernsehproduzenten sowie Sende- und Verlagsunternehmen. Er vertritt zudem eine Reihe prominenter Persönlichkeiten der deutschen Medienwirtschaft. Darüber hinaus berät er seit langem eine Reihe von Family Offices und betreut eine Reihe persönlicher Mandate.

Den vollständigen Fachbeitrag finden Sie bei DER BETRIEB.

Aus alledem ergibt sich für betroffene Diensteanbieter ein Handlungsrahmen, der überschaubar, aber zeitkritisch ist. Eine empfangsbereite Stelle muss benannt oder bestellt werden, interne Workflows für Eingang, Prüfung, Sicherung, Übermittlung und Dokumentation sind zu etablieren, und das zuständige Personal sollte mit den engen Fristen vertraut sein, bevor der Ernstfall eintritt. Um hier einen schnellen Überblick zu bekommen, haben wir die maßgeblichen Fristen und Prüfschritte für EPOC und EPOC-PR in diesem One-Pager zusammengefasst. 

Damit sind die auch praktischen Pflichten aus der EEVO umrissen. Diensteanbieter, die in den Anwendungsbereich der Verordnung fallen, sollten die dargestellten Fristen, Prüf- und Reaktionspflichten spätestens bis zum 18. August 2026 in ihre internen Prozesse überführt haben, um im Fall einer EPOC oder EPOC-PR fristgerecht und rechtssicher reagieren zu können.

Sie möchten Ihre internen Prozesse aufsetzen oder überprüfen lassen? Wir unterstützen Sie gerne bei der Entwicklung praxistauglicher Workflows und begleiten Sie gerne bei der Vorbereitung auf den 18. August 2026.

Den vollständigen Fachbeitrag lesen Sie bei DER BETRIEB.

Zusätzlich zu den beiden Beiträgen haben wir einen One-Pager entworfen, der Ihnen einen schnellen Überblick über die maßgeblichen Fristen und Prüfschritte gibt. 
>> Zum One-Pager <<

Zwei neue Instrumente: EPOC und EPOC-PR

Kernstück der EEVO sind zwei neue Anordnungsarten, mit denen Strafverfolgungsbehörden eines Mitgliedstaats Diensteanbieter in einem anderen Mitgliedstaat künftig direkt adressieren können – ohne den bisher üblichen Umweg über ein Rechtshilfeverfahren. Die Europäische Herausgabeanordnung (European Production Order, EPOC) verpflichtet einen Diensteanbieter zur Herausgabe bestimmter elektronischer Beweismittel, etwa Inhalts-, Verkehrs- oder Bestandsdaten. Die Europäische Sicherungsanordnung (European Preservation Order, EPOC-PR) setzt einen Schritt davor an: Sie verpflichtet den Diensteanbieter lediglich, Daten für einen bestimmten Zeitraum zu sichern, damit sie nicht gelöscht werden, bevor gegebenenfalls eine Herausgabeanordnung nachfolgt.

Für betroffene Unternehmen bedeutet das vor allem eines: Beide Anordnungen entfalten unmittelbare Wirkung. Anders als bisher braucht es dafür keine gesonderte Mitwirkung einer deutschen Behörde mehr – die Anordnung eines anderen Mitgliedstaats verpflichtet direkt, sobald sie bei der zuständigen Stelle im Unternehmen eingeht. Aus der zuvor beschriebenen passiven Rolle wird damit eine aktive Handlungspflicht. Soweit ein Dienstanbieter eine ausländische Anfrage bislang folgenlos unbeantwortet lassen durfte, ist er nun ab Zugang einer EPOC oder EPOC-PR unmittelbar selbst in der Pflicht.

Wer ist von der EEVO betroffen?

Adressiert werden Diensteanbieter mit Bezug zur EU nach Art. 2 Abs. 1 EEVO, und zwar unabhängig davon, ob sie ihren Sitz überhaupt in der EU haben. Das ist ein wichtiger Unterschied zu manch anderer europäischer Regelung: Ein Cloud-Anbieter ohne jede europäische Niederlassung kann ebenso betroffen sein wie ein deutsches Unternehmen. Erfasst sind nach Art. 3 Nr. 3 EEVO insbesondere Anbieter elektronischer Kommunikationsdienste (etwa Messaging-Dienste oder VoIP), Domain-Name-Registrierungsstellen und -Registrare sowie sonstige Dienste der Informationsgesellschaft – worunter die Verordnung ausdrücklich Plattformbetreiber wie soziale Netzwerke und Filehosting-Dienste sowie Hosting-Provider und Cloud-Dienste fasst.

Adressat einer Anordnung ist dabei grundsätzlich der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO, also wer über Zwecke und Mittel der Datenverarbeitung entscheidet. Nur ausnahmsweise darf sich eine EPOC direkt an einen Auftragsverarbeiter richten: wenn der Verantwortliche trotz angemessener Bemühungen der Anordnungsbehörde nicht ermittelt werden kann, oder wenn die Ermittlungen andernfalls gefährdet wären (Art. 5 Abs. 6 EEVO).

Wann liegt ein „Bezug zur EU“ vor?

Die Verordnung verlangt zunächst, dass die Dienste für Personen in einem Mitgliedstaat zugänglich sind – erkennbar etwa an Sprache, Währung oder gezieltem Marketing. Das allein reicht aber noch nicht. Hinzukommen muss eine wesentliche Verbindung zu einem oder mehreren Mitgliedstaaten, etwa eine Niederlassung mit echter wirtschaftlicher Tätigkeit, eine erhebliche Nutzerzahl oder eine erkennbare Ausrichtung der Tätigkeit auf den jeweiligen Mitgliedstaat. Die bloße technische Erreichbarkeit einer Website reicht dafür nach Erwägungsgrund 29 EEVO ausdrücklich nicht aus – wer zufällig auch aus Deutschland aufrufbar ist, fällt damit noch nicht automatisch in den Anwendungsbereich der Verordnung.

Wer empfängt die Anordnungen?

Ist die Frage der Betroffenheit geklärt, bleibt die praktische Frage, wo eine Anordnung überhaupt ankommt. Jeder Diensteanbieter muss nach Art. 3 Abs. 1 der Richtlinie (EU) 2023/1544 eine benannte Niederlassung oder einen Vertreter für den Empfang von EPOC und EPOC-PR bestellen – spätestens bis zum 18. August 2026 oder innerhalb von sechs Monaten nach Aufnahme des Diensteangebots in der EU. Anordnungen werden grundsätzlich ausschließlich an diese benannte Stelle gerichtet (Art. 7 Abs. 1 EEVO). Reagiert sie in einem Notfall nicht rechtzeitig, oder wurde noch gar keine Stelle bestellt, darf die Behörde ausnahmsweise eine andere Niederlassung des Unternehmens adressieren (Art. 7 Abs. 2 EEVO).

In der Praxis empfiehlt es sich daher, dass die intern für EPOC/EPOC-PR zuständige Stelle mit der nach außen benannten Stelle übereinstimmt und tatsächlich erreichbar ist. Andernfalls droht, dass ausgerechnet eine Notfall-Anordnung mit besonders kurzer Frist bei einer Konzerneinheit landet, die nicht vorbereitet ist und dann gegebenenfalls eine rechtzeitige Reaktion unmöglich macht.

Damit steht der rechtliche Rahmen. Wie sich das im Alltag konkret anfühlt – welche Fristen im Einzelnen laufen, wann eine Anordnung abgelehnt werden darf und was bei Nichtbefolgung droht – ist Thema des zweiten und letzten Teils dieser Serie.

Sie möchten prüfen, ob und in welchem Umfang Ihr Unternehmen von der EEVO betroffen ist, oder benötigen Unterstützung bei der Benennung einer empfangsbereiten Stelle? Wir unterstützen Sie bei der rechtlichen Einordnung und der Vorbereitung auf den 18. August 2026.

KI-Inhalte transparent zu kennzeichnen klingt zunächst einfach – die praktische Umsetzung stellt Unternehmen jedoch vor zahlreiche Einzelfragen. In unserem bereits veröffentlichten Grundlagenbeitrag zu den Transparenz- und Kennzeichnungspflichten nach Art. 50 KI-VO haben wir die zentralen Anforderungen vorgestellt und bereits erste praktische Hinweise für die Umsetzung im Unternehmen gegeben (Jetzt lesen →). 

Dieser Q&A-Beitrag geht nun einen Schritt weiter und beantwortet die wichtigsten Fragen aus der Praxis: Wann muss gekennzeichnet werden? Welche Ausnahmen gibt es? Und welche Maßnahmen sollten Unternehmen jetzt ergreifen?

Wann muss ich offenlegen, dass Nutzer mit einer KI interagieren?

Art. 50 Abs. 1 KI-VO verpflichtet Anbieter interaktiver KI-Systeme, dafür zu sorgen, dass natürliche Personen erkennen können, dass sie mit einem KI-System interagieren. Das Das betrifft etwa Chatbots, virtuelle Assistenten oder automatisierte Dialogsysteme und gilt unabhängig davon, ob die Interaktion intern oder extern stattfindet, solange es sich um eine direkte, unmittelbare Interaktion mit natürlichen Personen handelt.

Eine Ausnahme besteht, wenn die künstliche Natur der Interaktion für ein angemessen informiertes, aufmerksames und verständiges Mitglied des Zielpublikums offensichtlich ist. Für technische Fachkreise oder streng interne Tools kann das im Einzelfall angenommen werden. Ausnahmen sind jedoch tendenziell eng auszulegen.

Der Hinweis muss spätestens bei der ersten Interaktion erfolgen und zudem klar wahrnehmbar und barrierefrei sein. Das Format ist grundsätzlich frei, wobei rein maschinenlesbare Hinweise oder Informationen, die nur in AGB, im Impressum, in Handbüchern oder auf Unterseiten versteckt sind, nicht ausreichen.

Müssen Anbieter jede KI-Ausgabe markieren?

Art. 50 Abs. 2 KI‑VO erfasst synthetische Audio‑, Bild‑, Video‑ und Textinhalte, die durch KI erzeugt oder manipuliert werden und über reine Standardbearbeitung hinausgehen. Aber: Nicht jeder KI-Output ist automatisch kennzeichnungspflichtig. Nach den Leitlinien der EU-Kommission fallen insbesondere folgende Inhalte aus dem Anwendungsbereich:

• reine Standardbearbeitung (Rechtschreibung, Grammatik, einfache Formatierung, Rauschunterdrückung, geringfügige Zuschnitte),
• reine interne Analyseschritte, die Daten nur extrahieren und strukturieren, ohne sie zusammenzufassen oder inhaltlich zu verändern,
• bloße Beobachtungen und Aufzeichnungen von Daten, die nicht als synthetische Inhalte erzeugt oder manipuliert werden,
• sehr kurze technische Outputs und bestimmte Formen von Quellcode, die nicht dazu bestimmt sind, von natürlichen Personen als „Inhalt“ im informationsbezogenen Sinne betrachtet zu werden.

Nach den Leitlinien der EU-Kommission (Rn. 86 f.) können sodann auch bestimmte Outputs aus „industrial AI applications“ oder „business‑to‑business applications“ ausnahmsweise von der Markierungs‑ und Detektionspflicht nach Art. 50 Abs. 2 KI‑VO ausgenommen sein, wenn kumulativ 

1. der Output strikt technischer Natur ist (bspw. Engineering Designs, Predictive Maintenance Outputs o.Ä.), 
2. ihn nur ein begrenzter, vordefinierter Kreis beruflich handelnder Personen wahrnimmt und 
3. keine externe Weitergabe vorgesehen und durch geeignete Vorkehrungen abgesichert ist. Sobald Inhalte extern publiziert oder gegenüber Dritten verwendet werden, greifen jedoch die Markierungspflichten. 

Was genau verlangt die Pflicht zur maschinenlesbaren Markierung und Detektion – und welche technischen Ansätze kommen in Betracht?

Art. 50 Abs. 2 KI-VO verpflichtet Anbieter generativer oder manipulativer KI-Systeme, die Ausgaben ihrer Systeme in zweierlei Hinsicht transparent zu machen: Erstens müssen die Outputs in einem maschinenlesbaren Format markiert werden; zweitens müssen sie detektierbar sein, also erkennbar als KI-generierte oder -manipulierte Inhalte. Beide Elemente sind gleichrangig und müssen kumulativ erfüllt sein. Eine bloße Markierung ohne Detektionsmöglichkeit – oder umgekehrt eine Detektionslösung ohne robuste Markierung – genügt den Anforderungen des Art. 50 Abs. 2 KI-VO nicht.

Mit „maschinenlesbar“ ist gemeint, dass die Markierung so strukturiert ist, dass Software sie automatisiert erkennen, auslesen und auswerten kann, ohne menschliches Zutun. Die Leitlinien und der Code of Practice nennen als zentrale technische Ansätze insbesondere:

• kryptografisch signierte Metadaten / Provenance-Lösungen, bei denen Herkunftsinformationen in Dateien eingebettet und kryptografisch abgesichert werden,
• unsichtbare, robust eingewobene Wasserzeichen im Bild- oder Audiosignal,
• optional ergänzend Fingerprinting- und Logging-Verfahren, bei denen charakteristische Muster oder Hashwerte der Outputs gespeichert und wiedererkennbar gemacht werden.

Da nach dem derzeitigen Stand der Technik kein Einzelverfahren alle Anforderungen („wirksam“, „interoperabel“, „belastbar“, „zuverlässig“) gleichermaßen erfüllt, gehen Leitlinien und Kodex davon aus, dass in der Regel eine Kombination mehrerer Verfahren erforderlich ist („Multi Layer Marking“). 

Zur Detektion verlangt Art. 50 Abs. 2 KI-VO, dass geeignete Mittel bereitgestellt werden, mit denen die Markierungen tatsächlich erkannt und bewertet werden können. Das kann etwa über:

• eine öffentliche oder zumindest zugängliche Detektions-Schnittstelle (API oder Web-Tool),
• oder über integrierte Funktionen in eigenen Produkten und Diensten erfolgen.

Technisch können Unternehmen die Umsetzung im Detail frei gestalten, solange sie nachweisbar Lösungen wählen, die im konkreten Einsatzkontext tatsächlich greifen (wirksam), mit anderen Systemen und Tools interagieren können (interoperabel), gegenüber üblichen Bearbeitungsschritten und Angriffen robust sind (belastbar) und verlässlich zwischen KI-generierten und nicht KI-generierten Inhalten unterscheiden (zuverlässig).

Müssen wir als Anbieter immer selbst markieren – auch wenn wir KI-Komponenten von Drittanbietern einsetzen?

Art. 50 Abs. 2 KI-VO adressiert den Anbieter des Systems, das die synthetischen Inhalte generiert oder manipuliert. Setzt ein Unternehmen ein vorgelagertes KI-Modell eines Dritten ein und bringt darauf ein eigenes generatives KI-System unter eigener Marke in Verkehr oder nimmt es unter eigenem Namen in Betrieb, ist es Anbieter im Sinne der KI-VO.

Unternehmen können sich zwar – soweit vorhanden – auf technische Markierungslösungen des Drittanbieters stützen, ihre eigene Verantwortung bleibt hiervon aber unberührt. In der Praxis sollten Unternehmen daher:

• sich die Markierungs- und Detektionsfähigkeit vertraglich zusichern lassen,
• prüfen, ob die Markierungen in der eigenen Integration erhalten bleiben,
• und die Wirksamkeit der Detektionslösung regelmäßig testen.

Die gleichen Fragen stellen sich auch dann, wenn KI-Systeme „von der Stange“ als White-Label-Lösungen lizenziert und dann unter dem eigenen Unternehmensname in Verkehr gebracht oder in Betrieb genommen werden. Auch hier sind die passenden vertraglichen Regelungen mit dem Entwickler essenziell.

Wann liegt ein „Deepfake“ im Sinne der KI-VO vor?

Ob ein Inhalt als Deepfake im Sinne von Art. 3 Nr. 60 KI-VO einzustufen ist, ist für Betreiber zentral, weil daran die Kennzeichnungspflichten nach Art. 50 Abs. 4 KI-VO anknüpfen. „Deepfake“ meint einen durch KI erzeugten oder manipulierten Bild‑, Ton‑ oder Videoinhalt, der wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähnelt und einer Person fälschlicherweise als echt oder wahrheitsgemäß erscheinen würde. Das betrifft klassische Deepfakes ebenso wie realistisch wirkende KI-Bilder oder synthetische Videos in der Werbung.

Die Anforderung, dass der Inhalt einer „wirklichen“ Person, Sache, Einrichtung, einem Ort oder einem Ereignis ähnelt, ist dabei grundsätzlich nicht im engen Sinne zu verstehen, dass die dargestellte Person oder das dargestellte Objekt tatsächlich existieren muss. Nach den Leitlinien genügt es, wenn der Inhalt realistische Subjekte simuliert, die existieren, plausibel existieren oder plausibel existiert haben könnten. Entscheidend ist, dass der Inhalt wie eine Darstellung der realen Welt wirkt und sich nicht offensichtlich außerhalb des physikalisch oder biologisch Möglichen bewegt. Auch wenn Einzelfälle u.E. einen gewissen Spielraum zulassen, ist das Kriterium „wirklich“ grundsätzlich weit zu verstehen.

Es kommt ebenso nicht darauf an, ob eine Täuschungsabsicht besteht. Entscheidend ist, dass der Inhalt einem real wirkenden „Original“ so nahekommt, dass das beabsichtigte Publikum ihn vernünftigerweise für authentisch halten könnte.

Die Leitlinien der Kommission betonen jedoch mehrere Abgrenzungen:

• Inhalte, die erkennbar gegen Naturgesetze verstoßen (z.B. physikalisch unmögliche Szenen, extrem stilisierte Comicfiguren), fallen in der Regel nicht unter die Deepfake-Definition, weil ihnen das Täuschungspotenzial fehlt.
• Technisch künstliche Inhalte (z.B. generische KI-Landschaften, Kunstfilter, stilisierte Avatare), die keinen konkreten realen oder plausibel realen Bezug haben, sind zwar synthetisch, aber nicht zwingend Deepfakes.
• Entscheidend ist auch das vernünftigerweise vorhersehbare Publikum: Ein und derselbe Inhalt kann gegenüber verschiedenen Zielgruppen eine unterschiedliche Deepfake-Relevanz haben.

Typische Beispiele für Deepfakes im Sinne der KI-VO sind:

• ein KI-generiertes Video, in dem eine bekannte Person eine Aussage trifft, die sie nie getätigt hat, wobei Stimme, Mimik und Umgebung realistisch an eine Pressekonferenz oder Fernsehansprache erinnern,
• ein Bild, das eine zwar nicht tatsächlich stattgefundene, aber plausibel erscheinende Szene zeigt, etwa eine Politikerin bei einer vermeintlichen Demonstration oder Rede,
• eine Audioaufnahme mit KI-synthetischer Stimme, die eine reale Person fälschlicherweise bei einem Telefonat zeigt.

Nicht oder nur ausnahmsweise als Deepfakes zu qualifizieren sind demgegenüber etwa:

• deutlich als fiktional oder künstlerisch erkennbare Inhalte (z.B. Filmszenen mit offenkundig überzeichneten Effekten),
• Parodien oder Memes, bei denen aus Sicht eines durchschnittlichen Mitglieds des Publikums klar ist, dass es sich nicht um eine authentische Darstellung handelt,
• rein generische KI-Avatare ohne erkennbaren Bezug zu konkreten Personen oder Ereignissen, sofern kein realistischer Eindruck einer „echten“ Person vermittelt wird.

Grenzfälle ergeben sich vor allem dort, wo der Kontext zwischen „künstlerisch/fiktional“ und „authentisch“ verschwimmt. Die Leitlinien verlangen hier eine einzelfallbezogene Betrachtung des vorgesehenen Publikums, des Veröffentlichungsumfelds und der Realitätsnähe des Inhalts. Ein satirischer Beitrag in einem klar erkennbaren Satireformat kann anders zu bewerten sein als derselbe Clip in einem vermeintlich seriösen Nachrichtenkontext.

In der Praxis empfiehlt es sich, nicht nur die technische Entstehung (KI‑generiert oder manipuliert) zu dokumentieren, sondern auch zu prüfen und zu begründen, ob für das jeweils adressierte Zielpublikum ein realistisches Täuschungspotenzial besteht. Dabei sind Einzelfall und Kontext entscheidend: Maßgeblich sind insbesondere der konkrete Einsatzbereich, die Art der Darstellung, die erwartbare Zusammensetzung des Publikums und dessen typische Erwartungshaltungen.

Wo dieses Täuschungspotenzial für das relevante Publikum bejaht werden muss, ist von einem Deepfake auszugehen – mit den entsprechenden Kennzeichnungspflichten nach Art. 50 Abs. 4 KI‑VO.

Wann und wie genau müssen Betreiber Deepfakes kennzeichnen?

Die Kennzeichnungspflicht für Deepfakes ergibt sich aus Art. 50 Abs. 4 und 5 KI‑VO. Gesetzlich gilt:

• Betreiber eines KI‑Systems, das Bild‑, Ton‑ oder Videoinhalte erzeugt oder manipuliert, die ein Deepfake sind, müssen offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden.
• Die Information muss nach Art. 50 Abs. 5 spätestens zum Zeitpunkt der ersten Exposition gegenüber natürlichen Personen bereitgestellt werden und klar, unterscheidbar sowie barrierefrei ausgestaltet sein.

Eine bloß technische Markierung des Inhalts durch den Anbieter (z.B. Metadaten, Wasserzeichen) erfüllt diese sichtbare Betreiberpflicht nicht; sie dient primär der maschinenlesbaren Erkennbarkeit im Sinne von Art. 50 Abs. 2 KI‑VO.

Die Leitlinien der Kommission und der Transparenz‑Kodex konkretisieren, wie diese Anforderungen praktisch erfüllt werden sollen. Sie empfehlen, die Kennzeichnung für Deepfakes und andere KI‑Inhalte in unmittelbarer Nähe des Inhalts anzubringen:

• bei Bild- und Videoinhalten typischerweise durch klar sichtbare Labels oder standardisierte EU‑Icons (z.B. „AI Generated“, „AI Modified“), die direkt im Bild/Video oder im unmittelbaren Sichtbereich angezeigt werden,
• bei Audioinhalten durch einen kurzen, verständlichen Hinweis zu Beginn (ggf. ergänzt um eine visuelle Kennzeichnung im Player oder in der Beschreibung).

Kennzeichnungsorte, die für das Publikum nicht unmittelbar wahrnehmbar sind – etwa allein im Impressum, in allgemeinen Nutzungsbedingungen oder ausschließlich in technischen Metadaten – gelten nach Leitlinien und Kodex ausdrücklich nicht als ausreichend, um die Transparenzpflichten aus Art. 50 Abs. 4 und 5 KI‑VO zu erfüllen.

Gesetzliche Ausnahmen von der Kennzeichnungspflicht bestehen nur in eng begrenzten Fällen. Art. 50 Abs. 4 KI‑VO sieht vor, dass Deepfakes nicht gekennzeichnet werden müssen, wenn ihre Verwendung zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten gesetzlich zugelassen ist. Zudem wird die Transparenzpflicht für Deepfakes in „offensichtlich künstlerischen, kreativen, satirischen, fiktionalen oder analogen Werken oder Programmen“ abgeschwächt: Hier genügt eine geeignete Offenlegung des Vorhandenseins künstlich erzeugter oder manipulierter Inhalte, die Darstellung oder Genuss des Werks nicht beeinträchtigt. Inhalte, die mangels realistischer Täuschungspotenziale bereits nicht als Deepfakes im Sinne von Art. 3 Nr. 60 KI‑VO einzustufen sind – etwa physikalisch unmögliche Szenen, klar erkennbar fiktionale Fantasy‑Darstellungen oder stark stilisierte Comicfiguren ohne Bezug zur realen Welt –, fallen ebenfalls nicht unter die Kennzeichnungspflicht. 

Wann müssen Betreiber KI-generierte Texte kennzeichnen – und wann nicht?

Art. 50 Abs. 4 KI‑VO sieht eine Kennzeichnungspflicht für KI‑generierte oder KI‑manipulierte Texte vor, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Maßgeblich sind damit drei gesetzliche Kriterien:

• der Text ist (ganz oder teilweise) durch KI erzeugt oder manipuliert,
• der Text wird veröffentlicht,
• Zweck der Veröffentlichung ist die Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse.

Der Begriff „Angelegenheiten von öffentlichem Interesse“ ist unionsrechtlich auszulegen und umfasst Themen, die gesellschaftlich relevant und diskussionswürdig sind – etwa öffentliche Verwaltung und Dienste, Grundrechte (einschließlich Justiz und Strafverfolgung), öffentliche Gesundheit, Umweltschutz, Verbrauchersicherheit sowie wirtschaftliche, politische, wissenschaftliche oder kulturelle Entwicklungen von Belang. Die Aufzählung ist nicht abschließend; reine Unterhaltung sowie Service‑ oder Werbetexte ohne Informationsanspruch fallen demgegenüber regelmäßig nicht darunter.

Aus diesem gesetzlichen Rahmen folgt, dass insbesondere keine Kennzeichnungspflicht nach Art. 50 Abs. 4 KI‑VO besteht für:

• Werbung ohne Bezug zu Angelegenheiten von öffentlichem Interesse,
• Produktbeschreibungen,
• individuelle Beratungen und interne Dokumente,

Die Kennzeichnungspflicht entfällt außerdem, wenn zwei Voraussetzungen kumulativ vorliegen:

• Die KI‑Inhalte haben eine echte menschliche redaktionelle Kontrolle durch fachlich geeignete Personen durchlaufen, und
• eine natürliche oder juristische Person übernimmt die redaktionelle Verantwortung für die Veröffentlichung.

Die Leitlinien stellen klar, dass eine bloß formale Durchsicht, rein automatisierte Prüfungen oder oberflächliche Checks hierfür nicht ausreichen. Erfolgt nach der redaktionellen Freigabe noch ein substantieller KI‑Eingriff – etwa eine wesentliche Umformulierung oder Neu‑Generierung –, lebt die Kennzeichnungspflicht wieder auf.

Reicht ein Hinweis im Quellcode oder in den AGB?

In der Regel nein. Die Kennzeichnung muss klar, unterscheidbar und für den Nutzer ohne Umwege erkennbar sein. Ein Hinweis im Quellcode, in allgemeinen Geschäftsbedingungen oder in einem schwer auffindbaren Untermenü genügt typischerweise nicht.

Die Kennzeichnung muss dort erscheinen, wo der Inhalt wahrgenommen wird. Bei Bildern also am Bild, bei Audio idealerweise zu Beginn der Wiedergabe, bei Video unmittelbar im sichtbaren Bereich. Maßgeblich ist nicht technische Eleganz, sondern praktische Verständlichkeit. 

Gilt die Pflicht auch für Social Media, Newsletter und Landingpages?

Ja, wenn die Inhalte in den Anwendungsbereich fallen. Der Ort der Veröffentlichung ist nicht entscheidend, sondern die Art des Inhalts und die Rolle des Unternehmens. Wer etwa für die Social Media-Seite des Unternehmens realistisch wirkende KI-Bilder, KI-Videos oder Deepfakes einsetzt, muss die Kennzeichnung auch dort sicherstellen.

Das gilt ebenso für Kampagnen-Landingpages, Newsletter oder sonstige öffentliche Kommunikation. Gerade im Marketing sollte geprüft werden, ob ein Inhalt nur kreativ unterstützt wurde oder ob er tatsächlich KI-generiert und damit kennzeichnungspflichtig ist.

Was gilt bei rein interner Nutzung?

Die Frage, ob Art. 50 KI-VO bei rein interner Nutzung greift, ist für Anbieter- und Betreiberpflichten unterschiedlich zu beantworten.

Art. 50 Abs. 2 KI-VO verpflichtet Anbieter generativer oder manipulativer KI-Systeme zur maschinenlesbaren Markierung und Detektion von synthetischen Inhalten. Diese Pflicht knüpft weder an eine Veröffentlichung noch an eine externe Nutzung an, sondern daran, dass das KI-System Audio-, Bild-, Video- oder Textinhalte erzeugt oder manipuliert, die über eine bloße Standardbearbeitung hinausgehen. 

Sobald ein KI-System synthetische Inhalte erzeugt oder manipuliert, die für Menschen wahrnehmbar sind – etwa Bilder, Videos oder Texte, die intern in Präsentationen gezeigt, in internen Newslettern verbreitet oder als Entscheidungsgrundlage in Gremien verwendet werden –, greift Art. 50 Abs. 2 KI-VO grundsätzlich ein. Es spielt aus Sicht des Abs. 2 keine Rolle, ob diese Inhalte nur intern oder auch extern verwendet werden.

Art. 50 Abs. 4 KI-VO unterscheidet für Betreiber sodann zwischen Deepfakes und KI‑Texten:

• KI‑Texte:
  Die Pflicht greift nur für Texte, „die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren“. Nach den Leitlinien der EU-Kommission liegt Veröffentlichung nur vor, wenn der Text einer unbestimmten, relativ großen Zahl potenzieller Leser zugänglich ist (z.B. Website, Social Media, Pressemitteilung, öffentlich zugänglicher Newsletter).
  Interne Kommunikation – E‑Mails, Intranet‑Beiträge, interne Rundschreiben, Präsentationen oder Inhalte in internen Kollaborationstools – gilt ausdrücklich nicht als „veröffentlicht“ und fällt daher grundsätzlich nicht unter Art. 50 Abs. 4 S. 2 KI-VO.
• Deepfakes:
  Für Deepfakes verlangt Art. 50 Abs. 4 S. 1 KI-VO eine Offenlegung, wenn Bild‑, Ton‑ oder Videoinhalte als Deepfake erzeugt oder manipuliert werden und Personen zugänglich sind. Ein formaler Veröffentlichungsakt ist hierfür keine zusätzliche Voraussetzung; entscheidend ist die Wahrnehmbarkeit des Deepfakes durch Betroffene bzw. Publikum. Verbleiben Deepfakes strikt in einem internen, eng begrenzten Personenkreis, kann im Einzelfall zu prüfen sein, ob nach Sinn und Zweck der Vorschrift eine zusätzliche Kennzeichnung angezeigt ist.

Wie ist die rein private Nutzung zu behandeln?

Für Anwender von KI gilt eine Ausnahme für die rein private Nutzung. Wer ein KI-System ausschließlich im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet, ist kein Betreiber im Sinne der KI-VO. 

Diese Ausnahme endet jedoch, sobald die Tätigkeit erkennbar wirtschaftlich motiviert ist oder in einem gewerblichen, freiberuflichen oder sonstigen beruflichen Kontext erfolgt, etwa bei Influencer-Tätigkeit mit Einnahmen, nebenberuflichen Agenturleistungen oder regelmäßiger Nutzung im Rahmen eines Unternehmens. 

Der Anbieter bleibt unabhängig davon, ob sein System privat oder beruflich genutzt wird, den Transparenzpflichten aus Art. 50 KI-VO unterworfen.

Gilt Art. 50 KI-VO (auch/nur) für Hochrisiko-KI?

Art. 50 KI-VO ist von der Hochrisiko-Einstufung unabhängig. Die Transparenzpflichten knüpfen nur an bestimmte Nutzungssituationen an. Konkret erfasst sind die direkte Interaktion mit natürlichen Personen, die Erzeugung oder Manipulation synthetischer Inhalte, die Emotionserkennung bzw. biometrische Kategorisierung und die Veröffentlichung von Deepfakes oder bestimmten Texten zu Angelegenheiten von öffentlichem Interesse.

Ein Marketing-Team, das einen gängigen Bildgenerator nutzt, fällt mit der Veröffentlichung der erstellten Bilder regelmäßig unter Art. 50 Abs. 4 KI-VO, ohne dass ein Hochrisiko-System eingesetzt wird. Umgekehrt gilt: Die Erfüllung der Transparenz- und Kennzeichnungspflichten macht einen KI-Einsatz nicht automatisch rechtmäßig. Auch ein ordnungsgemäß gekennzeichneter KI-Einsatz kann weiterhin verboten sein oder als Hochrisiko-KI eingestuft werden.

Was gilt für Open-Source?

Für Art. 50 KI-VO wird grundsätzlich nicht zwischen proprietären und Open-Source-Systemen unterschieden (vgl. Art. 2 Abs. 12 KI-VO). Unter freier und quelloffener Lizenz bereitgestellte KI-Systeme bleiben im Anwendungsbereich des Art. 50 KI-VO, sofern die maßgeblichen Voraussetzungen erfüllt sind. Entscheidend ist, ob das System im konkreten Einsatzszenario:

• direkt mit natürlichen Personen interagiert,
• synthetische Inhalte erzeugt oder manipuliert,
• Emotionserkennung bzw. biometrische Kategorisierung vornimmt,
• oder zur Erzeugung von Deepfakes bzw. einschlägigen Texten zu Angelegenheiten von öffentlichem Interesse verwendet wird, die veröffentlicht werden.

Open Source setzt Pflichten insoweit nicht außer Kraft und begründet auch keine Sonderrechte.

Welche Risiken drohen bei Verstößen?

Neben aufsichtsrechtlichen Folgen einschließlich Bußgelder von bis zu 15 Millionen Euro oder bis zu 3 % des gesamten weltweiten Jahresumsatzes  drohen vor allem wettbewerbsrechtliche Risiken (u.a. Unterlassungs- und Schadensersatzansprüche). Für werbliche Kommunikation ist das besonders relevant, weil unklare oder fehlende Kennzeichnungen schnell als irreführend bewertet werden können.

Hinzu kommt ein Reputationsrisiko. Wer den KI-Einsatz nicht sauber kennzeichnet, riskiert nicht nur juristische Auseinandersetzungen, sondern auch Vertrauensverlust bei Kunden, Nutzern und Geschäftspartnern. Gerade deshalb ist eine klare, frühzeitig umgesetzte Kennzeichnung die wirtschaftlich vernünftigste Lösung.

Die häufigsten Fragen in der Unternehmenspraxis beantworten wir hier →

Die Grundlagen: Verordnung, Leitlinien und Verhaltenskodex

Zentraler Anknüpfungspunkt ist Art. 50 der KI-VO. Dieser wird durch die Leitlinien der Europäischen Kommission und einen ebenfalls bereits veröffentlichten (unverbindlichen) Verhaltenskodex mit spezifischen Icons flankiert:

• Verordnung. Art. 50 KI-VO bündelt die Transparenz- und Kennzeichnungspflichten der KI-Verordnung. Er enthält vier maßgebliche Pflichtengruppen: den Hinweis bei Interaktionen des Nutzers mit KI (Abs. 1), die Markierung und Detektion synthetischer Inhalte (Abs. 2), die Informationspflicht bei Emotionserkennung und biometrischer Kategorisierung (Abs. 3) sowie die Kennzeichnung von sogenannten Deepfakes und bestimmten KI-Texten (Abs. 4).

• Leitlinien. Konkretisiert werden die Transparenz- und Kennzeichnungspflichten durch die von der Europäischen Union hierzu veröffentlichten Leitlinien sowie eines amtlichen Fragen-/Antwortkatalogs (FAQ), der typische Praxisfragen und Beispielfälle aufgreift. Die Leitlinien und FAQ sind zwar rechtlich unverbindlich, helfen aber bei der Auslegung der neuen Pflichten und es wird erwartet, dass diese auch von den Gerichten und nationalen Marktüberwachungsbehörden als maßgebliche Orientierung herangezogen werden. 

  Eine abschließende „Checkliste“ o.ä. enthalten die Leitlinien hingegen genauso wenig wie zwingende Gestaltungsvorgaben. Als Auslegungshilfe bieten sie rechtssichere Orientierungspunkte für die Umsetzung der Transparenzpflichten. Die Transparenz kann aber auch auf andere Weise hergestellt werden. Dies spielt gerade im Content- und Werbebereich eine große Rolle. In der Praxis zeichnet sich bereits ein Wettbewerb um kreative Kennzeichnungslösungen ab. Es ist daher absehbar, dass sich Marktstandards nicht nur an formalen Mindestanforderungen, sondern auch an stilistischen und markenbezogenen Überlegungen orientieren werden.

• Verhaltenskodex. Mit dem „Code of Practice on Transparency of AI-Generated Content“ liegt seit dem 10. Juni 2026 zudem ein praktischer Rahmen für die Umsetzung und den Nachweis der Transparenzpflichten vor. Der Kodex beschreibt insbesondere technische und organisatorische Standards für die Markierung und Kennzeichnung von KI-Output und enthält in seinem Anhang I einen offiziellen EU-Icon-Satz für KI-generierte und KI-veränderte Inhalte:

  

  (Auswahl an verwendbaren Icons)

  Unternehmen, die den Kodex unterzeichnen und die dort vorgesehenen Maßnahmen einhalten, können die Umsetzung der wesentlichen Transparenz- und Kennzeichnungspflichten an einem unionsweit anerkannten Referenzrahmen ausrichten. Die Unterzeichnung ist freiwillig. Unternehmen, die dies nicht tun, müssen die Gleichwertigkeit ihrer eigenen Lösungen anderweitig nachweisen. 

Transparenz- und Kennzeichnungspflichten für Anbieter und Betreiber von KI-Systemen sowie eine mögliche Doppelrolle

Der Gesetzgeber unterscheidet bei den Transparenz- und Kennzeichnungspflichten danach, wer der Anbieter und wer „nur“ der Betreiber des KI-Systems ist. Hiervon ist abhängig, welche Maßnahmen im Rahmen der internen Compliance erforderlich sind:

• Anbieter ist jede natürliche oder juristische Person, die ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke auf dem Markt bereitstellt oder in Betrieb nimmt. 
  Anbieter treffen die designbezogenen Transparenzpflichten. Sie müssen ihre Systeme so gestalten, dass natürliche Personen erkennen können, dass sie mit einem KI-System interagieren (Art. 50 Abs. 1 KI-VO). KI-generierte oder -manipulierte Inhalte müssen zudem maschinenlesbar markiert sowie eine Detektionsmöglichkeit zur Verfügung gestellt werden (Art. 50 Abs. 2 KI-VO).
• Betreiber ist jede natürliche oder juristische Person, die ein KI-System in eigener Verantwortung beruflich verwendet. Werden dabei mit dem KI-System sogenannte Deepfakes, also realistisch wirkende Fotos, Audioinhalte etc. sowie bestimmte Texte erstellt, müssen diese für Menschen klar und unterscheidbar als KI-generiert oder -manipuliert gekennzeichnet werden (Art. 50 Abs. 4 KI-VO). Über den Einsatz eines KI-Systems muss zudem informiert werden, wenn dieses zur Erkennung von Emotionen oder für eine biometrische Kategorisierung eingesetzt wird (Art. 50 Abs. 3 KI-VO). 

In vielen Fällen kann auch eine Doppelrolle vorliegen. Ein Unternehmen entwickelt etwa ein generatives KI-System zur Bildbearbeitung und setzt es zugleich für eigene Marketingkampagnen ein. Es ist dann Anbieter und Betreiber zugleich und muss beide Pflichtenkreise erfüllen.

Beschäftigte, Freelancer und Dienstleister werden regelmäßig nicht selbst zu Betreibern, solange sie innerhalb der Weisungen eines Unternehmens handeln; Betreiber bleibt das jeweilige Unternehmen. Eigenständige Akteure wie Agenturen, die aus eigener Verantwortung entscheiden, ob und wie sie KI in Kundenprojekten einsetzen, sind demgegenüber Betreiber ihrer Systeme. 

Sämtliche Informationen müssen spätestens bei der ersten Interaktion oder Exposition bereitgestellt werden, klar und unterscheidbar sein und den einschlägigen Barrierefreiheitsanforderungen genügen. 

Für die Praxis ist wichtig, dass ein KI-System mehrere dieser Pflichten gleichzeitig auslösen kann. Ein Chatbot, der mit Nutzerinnen und Nutzern interagiert und gleichzeitig synthetische Inhalte (bspw. Text und Bild) erzeugt, löst typischerweise Art. 50 Abs. 1 (Interaktion) und Abs. 2 (Markierung/Detektion) aus. Werden die erzeugten Inhalte anschließend als Deepfakes oder als Text zu Themen von öffentlichem Interesse veröffentlicht, können zusätzlich die Betreiberpflichten nach Abs. 4 hinzukommen.

Wichtig: 

Grundsätzlich sind sämtliche Pflichten aus Art. 50 KI-VO seit dem 02. August 2026 umzusetzen – für alle erfassten Systeme und für alle Rollen. Davon wird nur ein sehr eng begrenzter Teilbereich über die Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744) vorübergehend erleichtert.

Die Digital-Omnibus-Verordnung wurde am 24. Juli 2026 im Amtsblatt verkündet und ist am 27. Juli 2026 in Kraft getreten. Sie sieht ausschließlich für die Markierungs- und Detektionspflicht nach Art. 50 Abs. 2 KI-VO eine Übergangsfrist von vier Monaten vor, und zwar nur für KI-Systeme, die bereits vor dem 02. August 2026 in Verkehr gebracht oder in Betrieb genommen wurden. Für diese Bestandssysteme gilt: Die Pflicht zur maschinenlesbaren Markierung und zur Bereitstellung einer Detektionslösung muss spätestens bis zum 02. Dezember 2026 umgesetzt sein. Für KI-Systeme, die am oder nach dem 02. August 2026 erstmals in Verkehr gebracht oder in Betrieb genommen werden, muss die Markierungs- und Detektionspflicht vom ersten Tag an umgesetzt werden.

Für alle anderen Pflichten – insbesondere die Chatbot-Interaktionshinweise sowie die Kennzeichnungspflichten – gibt es keine Übergangsfrist. Sie sind seit dem 02. August 2026 vollumfänglich einzuhalten. 

Praxishinweis

Art. 50 KI-VO greift unmittelbar in Produktdesign, Publikationsworkflows und Vertragsgestaltung ein – und seine Einhaltung ist für jede Person sichtbar, die den Inhalt sieht oder hört. Unternehmen sollten daher strukturiert vorgehen:

• Zentrale Voraussetzung ist eine Inventur der eingesetzten KI-Systeme und eine klare Rollenzuordnung (Anbieter, Betreiber, Doppelrolle).
• Anschließend sollten KI-Systeme, die mit Transparenzrisiken der KI-VO einhergehen, entlang der vier Pflichtengruppen in Art. 50 KI-VO eingeteilt und entsprechende Prozesse festgelegt werden: Markierungs- und Detektionsarchitektur auf Anbieterseite, Kennzeichnungs- und Redaktionsworkflows auf Betreiberseite, vertragliche Sicherung der Lieferkette und Schulung der relevanten Fachbereiche. Hierbei bieten die Leitlinien und der Verhaltenskodex eine gute Orientierung, um eine Compliance mit den Transparenz- und Kennzeichnungspflichten sicherzustellen.

Neben der Anpassung von Workflows, Freigabeprozessen und Vorlagen ist auch eine saubere interne Verantwortungsverteilung wichtig: Wer Inhalte erstellt, prüft und veröffentlicht? Wer entscheidet über die Kennzeichnung? Wer dokumentiert den Einsatz?

Gerade im Content- und Werbebereich ist Transparenz zunehmend auch ein Gestaltungsfeld. Leitlinien und Transparenz-Kodex geben zwar einen sicheren Rahmen vor, schreiben aber nicht jeden Hinweistext und jedes Icon verbindlich fest. Viele Unternehmen entwickeln bereits kreative Kennzeichnungslösungen. Entscheidend ist, dass diese Kreativität im Einklang mit den rechtlichen Mindestanforderungen steht und zugleich zur Marke und zum Kommunikationsstil des Unternehmens passt.

SKW Schwarz kann Unternehmen bei all diesen Schritten gezielt unterstützen. Zu unserem Beratungsportfolio gehören insbesondere:

• die gemeinsame Inventur und Rollenzuordnung der eingesetzten KI-Systeme, einschließlich der Abgrenzung von Anbieter- und Betreiberpflichten,
• die Entwicklung konkreter Arbeitsanweisungen und FAQs für einzelne Fachbereiche – etwa für Marketing, Kommunikation, E‑Commerce, HR oder IT –,
• die Ausarbeitung passgenauer Schulungen zu Art. 50 KI-VO, zugeschnitten auf unterschiedliche Zielgruppen (Management, Fachbereiche, Redaktionsteams),
• die Unterstützung bei der Konzeption und Dokumentation von Markierungs- und Detektionsarchitekturen für KI-Output, einschließlich der Einbindung technischer Dienstleister,
• die Erstellung und Verhandlung vertraglicher Regelungen mit Drittanbietern, Plattformen und anderen KI-Dienstleistern, um Markierung und Detektionsfähigkeit entlang der Verarbeitungskette abzusichern,
• die Begleitung beim Aufbau von Kennzeichnungs- und Redaktionsprozessen für Deepfakes und KI-Texte zu Angelegenheiten von öffentlichem Interesse,
• sowie die Unterstützung beim Lifecycle-Management von KI-Systemen, von der Planung über die Einführung bis zur laufenden Anpassung und Nachweisdokumentation.

Unternehmen, die zum 2. August 2026 noch nicht vollständig rechtskonform auftreten, sollten sehr zeitnah prüfen, welche Systeme betroffen sind, welche Maßnahmen bereits umgesetzt wurden und nach welchem Plan verbleibende Lücken geschlossen werden. Gerne unterstützen wie Sie dabei, diesen Prozess rechtlich und organisatorisch zu begleiten und bei Rückfragen zu unterstützen.

Die häufigsten Fragen in der Unternehmenspraxis beantworten wir hier →

Die EU-Kommission hat nun Leitlinien zur Anwendung des CRA veröffentlicht. Darin erläutert die EU-Kommission anhand praxisnaher Beispiele, wie zentrale Begriffe und Pflichten des CRA nach ihrer Auffassung zu verstehen sind. Die Leitlinien sind zwar rechtlich nicht bindend, bieten Unternehmen und voraussichtlich auch den zuständigen Behörden aber wichtige Orientierung für die laufende Umsetzung.

Nachfolgend haben wir Aspekte der Leitlinien mit besonders hoher Praxisrelevanz zusammengefasst: 

1. Die 24-Stunden-Meldefrist beginnt nicht beim ersten Verdacht

Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die Leitlinien erläutern, ab welchem Zeitpunkt die kurzen Meldefristen laufen.

Ein unbestätigter Hinweis allein löst die Frist noch nicht aus. Der Hersteller muss ihn jedoch unverzüglich prüfen. Die Meldefrist beginnt, sobald nach dieser ersten Prüfung mit hinreichender Sicherheit feststeht, dass:

• eine im Produkt enthaltene Schwachstelle aktiv ausgenutzt wird oder
• ein schwerwiegender Sicherheitsvorfall aufgetreten ist und die Sicherheit des Produkts beeinträchtigt hat.

Ab diesem Zeitpunkt ist grundsätzlich innerhalb von 24 Stunden eine erste Warnmeldung abzugeben. Innerhalb von 72 Stunden folgt eine ergänzende Meldung. Bei einer aktiv ausgenutzten Schwachstelle ist der vollständige Bericht grundsätzlich innerhalb von 14 Tagen nach Verfügbarkeit einer Korrektur- oder Minderungsmaßnahme einzureichen. Bei einem schwerwiegenden Sicherheitsvorfall beträgt die Frist einen Monat nach der 72-Stunden-Meldung.

Unternehmen benötigen daher neben einem technischen Meldeweg auch klare Zuständigkeiten für die erste Bewertung und Eskalation. Der Prozess sollte sowohl externe Hinweise als auch Erkenntnisse aus eigenen Sicherheitstests erfassen. Die Leitlinien betonen, dass die erste Prüfung unverzüglich erfolgen muss – insbesondere, wenn die mögliche Schwachstelle ein erhebliches Risiko darstellt. Entsprechende Abläufe sollten vor dem 11. September 2026 praktisch erprobt werden.

2. Eine Softwareversion wird grundsätzlich nur einmal in Verkehr gebracht

Software, die als eigenes Produkt angeboten wird, wird nach Auffassung der EU-Kommission zu dem Zeitpunkt in Verkehr gebracht, zu dem die fertiggestellte Version erstmals auf dem EU-Markt angeboten wird. Dies gilt unabhängig davon, wann einzelne Kunden die Software erwerben oder herunterladen.

Die Leitlinien verdeutlichen dies anhand eines Beispiels: Wird die Softwareversion 1.0.0 am 1. Januar 2028 erstmals zum Download angeboten, gilt sie an diesem Tag als in Verkehr gebracht – auch wenn einzelne Kunden sie erst später herunterladen. Eine später bereitgestellte Version 1.0.1 gilt nicht als neu in Verkehr gebracht, sofern die Änderungen nicht wesentlich sind. Für sie bleibt daher das ursprüngliche Datum maßgeblich.

Anders kann es bei verschiedenen Varianten derselben Software sein, etwa bei Builds für unterschiedliche Betriebssysteme oder bei Paketen mit abweichenden Funktionen. Solche Varianten können als eigenständige Produkte gelten. Eine neue Softwareversion wird zudem erneut in Verkehr gebracht, wenn sie wesentlich geändert wurde.

Diese Abgrenzung ist vor allem für die Übergangsregeln des CRA wichtig. Hersteller sollten dokumentieren, wann einzelne Versionen erstmals angeboten wurden, welche Varianten sie als eigene Produkte behandeln und welche Änderungen später vorgenommen wurden.

3. Bereits entwickelte Produkte müssen nicht automatisch neu konstruiert werden

Viele Produkte, die erst nach dem 11. Dezember 2027 auf den Markt kommen, befinden sich bereits heute in der Entwicklung oder sind schon fertig entwickelt. Nach den Leitlinien verlangt der CRA in solchen Fällen nicht automatisch eine Neukonstruktion.

Hersteller müssen allerdings die Cybersicherheitsrisiken des Produkts bewerten. Anhand der technischen Dokumentation müssen sie nachweisen können, dass das Produkt ein angemessenes Sicherheitsniveau erreicht und die Anforderungen des CRA erfüllt. Auch die vorgeschriebene Konformitätsbewertung, die EU-Konformitätserklärung und die CE-Kennzeichnung bleiben erforderlich.

Die Kommission verlangt jedoch nicht zwingend, sämtliche Nachweise und Tests aus früheren Entwicklungsphasen nachträglich zu erstellen. Lässt sich nicht mehr belegen, wie die Cybersicherheitsrisiken während der ursprünglichen Entwicklung berücksichtigt wurden, kann der Hersteller eine aktuelle Risikobewertung vornehmen und darlegen, wie das bestehende Produktdesign und die vorhandenen Sicherheitsmaßnahmen die festgestellten Risiken begrenzen.

Diese Klarstellung ist insbesondere für Industrieprodukte mit langen Entwicklungszyklen relevant. Unternehmen sollten prüfen, welche Nachweise für laufende Produktentwicklungen bereits vorhanden sind und wo noch Dokumentationslücken geschlossen werden müssen.

4. Bei Softwareupdates entscheidet das Sicherheitsrisiko, nicht der Umfang

Nicht jedes größere Update ist eine „wesentliche Änderung“ im Sinne des CRA. Umgekehrt kann auch eine kleine Anpassung wesentlich sein. Entscheidend ist, ob sich der vorgesehene Einsatz des Produkts verändert oder neue beziehungsweise höhere Cybersicherheitsrisiken entstehen, die bisher nicht berücksichtigt wurden.

Als Beispiel nennt die Kommission ein System, das zunächst nur Betriebsdaten von Maschinen anzeigt. Erhält es später die Möglichkeit, diese Maschinen zu steuern, verändert sich sein vorgesehener Einsatz. Das Update ist daher als wesentliche Änderung einzustufen.

Die Leitlinien nennen zudem nicht abschließende Prüfkriterien. Zu untersuchen ist insbesondere, ob ein Update:

• zusätzliche Schnittstellen, Kommunikationskanäle, Ausführungsumgebungen oder externe Abhängigkeiten einführt,
• neue Angriffsszenarien ermöglicht oder
• die Wahrscheinlichkeit oder die möglichen Auswirkungen bereits betrachteter Angriffe erheblich verändert.

Eine größere Funktionserweiterung muss dagegen nicht wesentlich sein, wenn sie bereits bei der ursprünglichen Entwicklung geplant und in der Risikobewertung berücksichtigt wurde. Updates, die ausschließlich Schwachstellen beheben oder bestehende Sicherheitsmaßnahmen stärken, stellen regelmäßig keine wesentliche Änderung dar, sofern sie weder den Verwendungszweck ändern noch neue oder höhere Cybersicherheitsrisiken verursachen.

Unternehmen sollten ihre Produkt-Roadmaps deshalb frühzeitig mit der Risikobewertung verknüpfen. Die technische Einstufung als Major- oder Minor-Release reicht für die rechtliche Bewertung nicht aus. Sinnvoll ist ein dokumentierter Prozess, mit dem sicherheitsrelevante Updates anhand der Kriterien des CRA geprüft werden.

5. Fünf Jahre sind kein pauschaler Supportzeitraum

Der CRA verlangt grundsätzlich einen Supportzeitraum von mindestens fünf Jahren. Wird ein Produkt voraussichtlich kürzer genutzt, darf auch der Supportzeitraum kürzer sein. Bei Produkten mit einer längeren erwarteten Nutzungsdauer reichen fünf Jahre dagegen nicht automatisch aus.

Das betrifft insbesondere Industrieanlagen, Steuerungen und andere langlebige Produkte. Bei ihnen muss sich der Supportzeitraum an der realistisch zu erwartenden Nutzungsdauer orientieren. Die Leitlinien stellen ausdrücklich klar, dass fünf Jahre nicht als pauschaler Standard für alle Produkte anzusehen sind.

Eine wesentliche Änderung führt zudem nicht automatisch dazu, dass ein neuer fünfjähriger Supportzeitraum beginnt. Entscheidend ist, ob die Änderung auch die erwartete Nutzungsdauer des Produkts beeinflusst. Ergänzt etwa ein Softwareupdate lediglich neue Funktionen, ohne die Lebensdauer der Hardware oder die Erwartungen der Nutzer zu verändern, bleibt es grundsätzlich bei der noch verbleibenden ursprünglichen Supportdauer.

Bei laufend weiterentwickelter Software darf sich die Behebung von Schwachstellen unter bestimmten Voraussetzungen auf die zuletzt in Verkehr gebrachte Version beschränken. Nutzer müssen kostenlos und ohne zusätzliche Kosten auf diese Version wechseln können. Normaler Aufwand für Tests oder Konfigurationsänderungen gilt dabei grundsätzlich nicht als zusätzliche Kosten. Ist hingegen der Kauf neuer Hardware oder ein grundlegender Umbau der Systemumgebung erforderlich, kann sich der Hersteller nicht auf diese Erleichterung berufen.

Praxistipp

Die Leitlinien schaffen keine zusätzlichen gesetzlichen Pflichten. Sie konkretisieren aber wichtige Fragen, die Unternehmen bei der Umsetzung des CRA beantworten müssen.

Hersteller sollten insbesondere prüfen, ob Softwareversionen und Updates nachvollziehbar dokumentiert werden, die Risikobewertung mit der Produktplanung verknüpft ist, Supportzeiträume realistisch festgelegt wurden und der Meldeprozess ab September 2026 einsatzbereit ist.

Darüber hinaus behandeln die Leitlinien unter anderem freie und quelloffene Software, cloudbasierte Funktionen, Ersatzteile sowie das Zusammenspiel des CRA mit der Fahrzeugregulierung, der Funkanlagenrichtlinie und der Maschinenverordnung.

Entdecken Sie auch unsere CRA Compliance Suite
Modulare Festpreis-Beratung zur Umsetzung der Anforderungen des Cyber Resilience Act (CRA) für Hersteller, Importeure und Händler digitaler Produkte. Mehr Informationen.

Den vollständigen Fachbeitrag können Sie hier als PDF herunterladen.

• Die Leitlinien der Europäischen Kommission finden Sie hier.
• Weitere Informationen zu unserer CRA Compliance Suite finden Sie hier.

Den gesamten Beitrag lesen Beck-Online-Abonnenten hier.

Den vollständigen Fachbeitrag können Sie hier als PDF herunterladen.

Den vollständigen Beitrag lesen Sie hier.

Der vollständige Beitrag ist für Abonnentinnen und Abonnenten von beck-online unter folgendem Link abrufbar: beck-online.beck.de

Während Informationen im Internet jederzeit und überall weltumspannend abrufbar sind, unterliegen seine rechtlichen Regelungen und Schutzrechte stets strengen territorialen Grenzen. Wer Inhalte im Netz veröffentlicht, muss daher befürchten, Rechte Dritter im Ausland zu verletzen. Der Europäische Gerichtshof (EuGH) hat nun entschieden, dass ein wirksames Geoblocking solche Verletzungen im Ausland ausschließen kann (Urteil vom 09.07.2026, Az. C-788/24 – Anne Frank Fonds).

Der Fall Anne Frank: Geoblocking schützt vor Urheberrechtsklagen

In dem Verfahren stritten der Anne Frank Fonds und die Anne Frank Stichting über die Online-Veröffentlichung der Tagebücher der weltberühmten Jüdin. In Belgien sind die Werke bereits gemeinfrei, in den Niederlanden jedoch teilweise noch bis 2037 geschützt. Die Beklagten veröffentlichten eine wissenschaftliche Ausgabe auf einer belgischen Website, sperrten jedoch den Zugriff für Nutzer aus den Niederlanden mittels Geoblocking. Der Anne Frank Fonds sah darin trotzdem eine Verletzung seiner Urheberrechte, weil User die Sperre über allgemeine VPN-Dienste umgehen konnten.

Der EuGH entschied: Eine unzulässige „öffentliche Wiedergabe“ und damit eine Verletzung der in den Niederlande noch bestehenden Urheberrechte liegt nicht vor, sofern die geografische Sperre wirksam ist. Hierfür muss die Sperre vor allem dem neuesten Stand der Technik entsprechen. Eine absolute Sicherheit ist nicht nötig. Eine nutzerseitige Umgehung mittels VPN-Diensten macht die Sperre nicht automatisch unwirksam.

Relevanz über das Urheberrecht hinaus

Zugleich betont der EuGH im Umkehrschluss, dass denjenigen eine aktive Pflicht trifft, der um bestehende Schutzrechte im Ausland weiß oder wissen müsste. Wer in Kenntnis dieser Rechte keine wirksamen Geoblocking-Maßnahmen ergreift, ziele darauf ab, dass seine Inhalte dem gesamten weltweiten Publikum zugänglich sind (Rn. 42 des Urteils). Wann ein solches Kennen(-müssen) angenommen werden kann, lässt der EuGH offen. Frühere Geschäftsbeziehungen oder das Bestehen von Abgrenzungsvereinbarungen könnten hierfür schon ausreichend sein.

Diese Pflicht betrifft keineswegs nur das Urheberrecht. Auch im Markenrecht spielt das Geoblocking eine immer größere Rolle. Eine Verletzung einer nationalen Marke im Internet setzt nämlich voraus, dass die Markenbenutzung überhaupt im Inland erfolgt. Die Gerichte prüfen hierbei, ob die Zeichennutzung eine spürbare wirtschaftliche Auswirkung im Inland erzeugt – den sogenannten „commercial effect“.

Ob dieser Inlandsbezug vorliegt, ist grds. anhand der jeweiligen Umstände des Einzelfalls zu beurteilen. Dazu gehören u.a. die Sprache der Website, die Top-Level-Domain, Angaben auf der Website oder – sofern vorhanden -– konkrete Lieferoptionen, sowie andere Umstände, wie z.B. eine wirtschaftliche Tätigkeit im Inland. Nunmehr bestätigt durch den EuGH ist das Unterlassen von Geoblocking-Maßnahmen mindestens ein starkes, wenn nicht sogar entscheidendes Indiz dafür, dass sich die betreffende Website (auch) an die inländischen Verkehrskreise richtet. Dies dürfte insbesondere für globale Websites gelten.

Haftung des Webseitenbetreibers, nicht des VPN-Anbieters

Im Übrigen haftet laut EuGH allein der Webseitenbetreiber für unwirksame technische Maßnahmen und nicht der VPN-Anbieter, dessen Dienst zur Umgehung genutzt wurde. Dies gilt selbst dann, wenn er Kenntnis von der Folge hat, dass sein Dienst dazu genutzt werden kann, ohne die Zustimmung der Inhaber zu geschützten Inhalten Zugang zu erhalten.

Fazit

Das EuGH-Urteil schafft dringend benötigte Klarheit für die Praxis im Internet. Geoblocking ist im geistigen Eigentum ein zentrales Werkzeug zur rechtssicheren Marktsegmentierung geworden. Zugleich können fehlende Geoblocking-Maßnahmen darauf hinweisen, dass ein Abruf der Inhalte auch im Ausland bewusst gewollt ist. Wer seine Online-Aktivitäten gezielt auf bestimmte Länder beschränkt und dies technisch sauber mittels Geoblocking umsetzt, kann indes Haftungsrisiken im Ausland effektiv ausschließen. 
 

Beck-Online-Abonnenten lesen den vollständigen Beitrag hier.

Der Oberste Gerichtshof (Österreich) wollte es wissen und hat diese Frage, die letztlich darüber bestimmt, ab welchem Zeitpunkt das Widerrufsrecht von Verbrauchern erlischt und damit weit über eine bloß semantische Abgrenzung hinausgeht, dem Gerichtshof der Europäischen Union (EuGH) vorgelegt. Am 9. Juli hat der EuGH nun zugunsten eines stärkeren Verbraucherschutzes entschieden (Urteil vom 9.7.2026, C-234/25).

Personalisiertes Streaming-Angebot stellt „digitale Dienstleistung“ dar

Wer bei Sky und anderen Streamingdiensten bereits vor Ablauf der Widerrufsfrist von 14 Tagen auf Filme, Serien oder Live-Sport zugreifen möchte, muss dafür regelmäßig bei Vertragsschluss auf das Widerrufsrecht verzichten. Art. 16 Abs. 1 lit. m in Verbindung mit Art. 2 Nr. 11 VR-RL eröffnet für „digitale Inhalte“ dahingehend die Möglichkeit, von dem Grundsatz des Art. 9 Abs. 1 (Widerrufsrecht binnen 14 Tagen ohne Angabe von Gründen) abzuweichen.

Nach Auffassung der Europäischen Kommission und des Generalanwalts, der sich der EuGH angeschlossen hat, stellen Streaming-Abonnements jedoch regelmäßig keine „digitalen Inhalte“, sondern „digitale Dienstleistungen“ dar, für die diese Ausnahme nicht greift. Vielmehr entfällt das Widerrufsrecht danach erst dann, wenn der Unternehmer die vertragliche Leistung vollständig erbracht hat (Art. 16 Abs. 1 lit. a in Verbindung mit Art. 2 Nr. 16 VR-RL).

Kennzeichnend für die Bereitstellung „digitaler Dienstleistungen“ sei der „dynamische[…] Charakter der vom betreffenden Unternehmer angebotenen Leistung […], die über die bloße zuverlässige und gegebenenfalls fortlaufende Bereitstellung spezifischer Inhalte hinausgeht“. Ein solcher sei insbesondere dann anzunehmen, wenn die Leistungen an das „Verhalten oder [die] individuellen Erwartungen [des Verbrauchers] angepasst werden oder die Art und Weise beeinflussen soll, in der dieser die betreffenden Dienste nutzt – beispielsweise, indem ihm bestimmte Inhalte empfohlen werden“ (Rn. 39). Solche Empfehlungssysteme sind inzwischen in alle modernen Streamingdienste integriert und tragen dazu bei, die Auswahl angesichts der Vielfalt an Inhalten zu erleichtern.

Keine Missbrauchsgefahr in Form kostenlosen Streamings nach Widerruf wegen Entschädigungsanspruch der Streamingplattformen

Nicht durchgedrungen ist die beteiligte Sky Österreich Fernsehen GmbH (im Folgenden: "Sky Österreich") mit dem Einwand der Missbrauchsgefahr. Sky Österreich hatte in dem Verfahren darauf hingewiesen, dass insbesondere bei der Zurverfügungstellung der ersten oder letzten Staffel populärer Serien oder bei entscheidenden Spielen der Fußballmeisterschaften Spitzenwerte bei Abonnements für den Streamingdienst zu verzeichnen seien. Der Verbraucher könne diesen Inhalt quasi kostenlos ansehen, wenn er die Möglichkeit hätte, sein Abonnement unmittelbar nach dem Konsum eines Inhalts rückwirkend durch den Widerruf zu beendigen. 

Nach Ansicht des EuGH hat der Gesetzgeber diesen Umstand in Art. 14 Abs. 3 VR-RL ausdrücklich berücksichtigt. Die Vorschrift sieht vor, dass der Unternehmer eine Entschädigung verlangen kann, die „verhältnismäßig dem entspricht, was bis zu dem Zeitpunkt, zu dem der Verbraucher den Unternehmer von der Ausübung des Widerrufsrechts unterrichtet, im Vergleich zum Gesamtumfang der vertraglich vereinbarten Leistungen geleistet worden ist.“ Hierbei sei der Unternehmer nicht darauf festgelegt, die Entschädigung zeitanteilig (pro rata temporis) zu berechnen; vielmehr könne der Unternehmer auch den Marktwert der erbrachten Leistung zugrunde legen, um der Verschiedenheit der wirtschaftlichen Werte der angebotenen Inhalte (Bsp.: Endrunde eines sportlichen Wettbewerbs verglichen mit einer täglichen Fernsehserie) abzubilden (Rn. 52). Dies bedeutet im Klartext, dass die vom Verbraucher zu leistende Entschädigung sogar höher ausfallen könnte als die monatliche Abo-Gebühr, jedenfalls ist aber die Abrechnung der zumindest zeitanteiligen Abo-Gebühr zulässig. Insofern dürfte das EUGH-Urteil ein theoretischer Sieg für die Verbraucher sein, in der Praxis dürfte sich nicht viel ändern, und das wohl zurecht.

Übertragbarkeit auf die deutsche Rechtslage

Da die in dem Vorabentscheidungsverfahren zentrale Vorschrift österreichischen Rechts, § 18 Abs. 1 Nrn. 1 und 11 des Fern- und Auswärtsgeschäfte-Gesetz, im Wesentlichen § 356 Abs. 5 und 6 BGB entspricht, ist die Entscheidung auch ohne weiteres übertragbar. Zudem verweist die VR-RL zur Auslegung des Begriffs des „digitalen Inhalts“ nicht ausdrücklich auf das Recht der Mitgliedstaaten, weshalb dieser unionsrechtlich autonom und einheitlich auszulegen ist (Rn. 30).

Ausblick

Mit dieser Entscheidung wirbelt der EuGH die bestehende digitale Vertragslandschaft erheblich um, insbesondere da einerseits die Architektur der Streamingdienste in Gestalt der Empfehlungssysteme betroffen ist und andererseits Entschädigungsansprüche bei erfolgtem Widerruf und vorherigen Streaming-Konsum erstmal auf wenig Akzeptanz stoßen wird. 

Mittelbar dürfte die Entscheidung auch auf andere Streamingmodelle – sei es das Streaming von Musiktiteln und Podcasts über Spotify, Hörbüchern über Audible oder das Zeitschriftenabonnement bei der Süddeutschen Zeitung – ausstrahlen; überall dort, wo die Leistung des Anbieters über die bloße Bereitstellung eines einzelnen digitalen Gegenstands hinausgeht. Der EuGH hat damit eine dogmatische Schneise geschlagen, die weit über die konkrete Vorlagefrage hinausweist. In ökonomischer Hinsicht wird die Schneise weniger groß, da sich für die bis zum Widerruf erfolgten Nutzungen Entschädigungsentgelte etablieren werden.

Web Scraping ist für das Training großer KI-Modelle praktisch unverzichtbar und datenschutzrechtlich zugleich eine der größten Unbekannten: Wer haftet, wenn beim automatisierten Absammeln des offenen Internets personenbezogene Daten in den Trainingsdatensatz geraten? Der Europäische Datenschutzausschuss (EDSA) hat dazu am 7. Juli 2026 mit den Leitlinien 03/2026 erstmals ein konkretes Prüfraster vorgelegt. Nachdem wir in einem vorangegangenen KI-Flash bereits zur Stellungnahme 28/2024 des EDSA zu KI-Modellen berichtet haben, blicken wir heute auf diese zweite große Neuerung aus derselben Plenarsitzung. Zu den zeitgleich verabschiedeten Guidelines zur Anonymisierung personenbezogener Daten hatten wir bereits gesondert berichtet. Auch die neuen Web-Scraping-Leitlinien liegen bis zum 30. Oktober 2026 zur öffentlichen Konsultation vor.

Web Scraping zu KI-Trainingszwecken

Genauer gesagt handelt es sich beim Web Scraping um das automatisierte Extrahieren großer Datenmengen aus öffentlich zugänglichen Internetquellen – eine der zentralen Methoden zur Beschaffung von Trainingsdaten für generative KI-Modelle. Eine spezifische, EU-weit abgestimmte Orientierung dazu, wie sich diese Praxis mit den Anforderungen der DS-GVO vereinbaren lässt, fehlte bislang. Die neuen Leitlinien schließen diese Lücke und knüpfen an die bereits erwähnte Stellungnahme 28/2024 sowie an die Leitlinien 1/2024 zu Art. 6 Abs. 1 lit. f) DS-GVO an. Sie richten sich an private Stellen, die selbst scrapen, Dritte damit beauftragen oder bereits gescrapte Datensätze zum Training oder Fine-Tuning einsetzen.

Verantwortlichkeit: Wer haftet für den Scraping-Vorgang?

Eine zentrale Frage in der Praxis betrifft die datenschutzrechtliche Rollenverteilung: Der EDSA stellt klar, dass die scrapende Stelle nicht automatisch Verantwortliche im Sinne der DS-GVO ist. Entscheidend ist vielmehr, wer Zwecke und Mittel der Verarbeitung festlegt. Beauftragt ein KI-Entwickler einen Dienstleister mit dem Scraping nach dokumentierten Weisungen, ist dieser regelmäßig als Auftragsverarbeiter einzuordnen, während der Entwickler als Verantwortlicher gilt. Wird ein bereits gescrapter Datensatz von einem Dritten weiterverwendet, sind Scraper und nachnutzender KI-Entwickler grundsätzlich für ihre jeweils eigene Verarbeitung getrennt verantwortlich. Nur wenn beide Parteien Zwecke und Mittel gemeinsam festlegen, kommt eine gemeinsame Verantwortlichkeit in Betracht.

Transparenz: Wann entfällt die individuelle Informationspflicht?

Ist die Verantwortlichkeit geklärt, stellt sich als außerdem die Frage der ausreichenden Transparenz: Die Informationspflichten nach Art. 13, 14 DS-GVO stellen Verantwortliche bei Web Scraping vor praktische Schwierigkeiten, da betroffene Personen bei indirekter Erhebung häufig nicht individuell identifizierbar sind. Der EDSA erkennt an, dass eine individuelle Information dann entbehrlich sein kann, wenn sie unmöglich ist oder einen unverhältnismäßigen Aufwand bedeuten würde (Art. 14 Abs. 5 lit. b) DS-GVO). Diese Ausnahme ist jedoch nicht pauschal anwendbar, sondern erfordert eine Abwägung des Aufwands gegen die Auswirkungen auf die betroffenen Personen, unter Berücksichtigung von Datenmenge, Alter der Daten und getroffenen Schutzmaßnahmen. Als Mindestmaßnahme verlangt der EDSA in diesen Fällen die öffentliche Bereitstellung der Informationen, etwa über eine Datenschutzerklärung mit Angaben zu Datenkategorien, Quellen und, soweit möglich, den Merkmalen des eingesetzten Crawlers.

Datenminimierung: Maßnahmen vor, während und nach der Erhebung

Der Grundsatz schließt das Training mit großen Datenmengen nicht per se aus, verlangt aber, personenbezogene Daten, die für den Zweck nicht erforderlich sind, gar nicht erst zu erheben. Der EDSA schlägt hierfür ein mehrstufiges Maßnahmenpaket vor. Vor der Erhebung sollten Verantwortliche etwa den Einsatz synthetischer Daten prüfen, präzise Auswahlkriterien definieren und Websites ausschließen, die strukturell besonders schutzbedürftige Daten enthalten oder das Scraping technisch ablehnen, etwa über robots.txt, ai.txt oder CAPTCHA. Während und nach der Erhebung kommen zudem syntaxbasierte Filterung, Pseudonymisierung und Anonymisierung in Betracht. Ergänzend fordert der EDSA, die Datenqualität durch Rückgriff auf verlässliche Quellen, Zeitstempel und Stichprobenprüfungen sicherzustellen, um dem Grundsatz der Richtigkeit gerecht zu werden.

Berechtigtes Interesse als zentrale Rechtsgrundlage

Die Frage, auf welcher Rechtsgrundlage all dies überhaupt zulässig ist, führt in der Praxis meist zu Art. 6 Abs. 1 lit. f) DS-GVO: Eine Einwilligung ist bei indirekter Massenerhebung faktisch kaum einholbar, sodass Web Scraping für generative KI regelmäßig auf das berechtigte Interesse gestützt wird. Der EDSA wendet den bekannten Dreistufentest an: Vorliegen eines berechtigten Interesses, Erforderlichkeit der Verarbeitung sowie eine Interessenabwägung. Als Beispiele legitimer Interessen nennt er etwa die Entwicklung von Chatbots oder die Verbesserung der Bedrohungserkennung. Im Rahmen der Abwägung sind insbesondere die Kontrollmöglichkeiten der betroffenen Personen über ihre Daten, mögliche Einschüchterungseffekte durch das Gefühl der Überwachung sowie die vernünftigen Erwartungen der betroffenen Personen zu berücksichtigen, etwa danach, ob eine Website das Scraping technisch ausschließt oder die Daten erkennbar öffentlich zugänglich gemacht wurden.

Fällt die Abwägung zulasten der betroffenen Personen aus, können Abhilfemaßnahmen wie Opt-out-Listen, verkürzte Speicherfristen oder verstärkte Transparenzmaßnahmen die Rechtmäßigkeit der Verarbeitung wiederherstellen.

Besondere Kategorien personenbezogener Daten

Eine besondere Herausforderung stellt auch der Umgang mit sensiblen Daten dar: Für besondere Kategorien personenbezogener Daten nach Art. 9 DS-GVO gilt grundsätzlich ein Verarbeitungsverbot, das nur bei Vorliegen einer Ausnahme nach Art. 9 Abs. 2 DS-GVO durchbrochen werden kann. Da sich beim Scraping großer Datenmengen im Vorfeld kaum zuverlässig ausschließen lässt, dass auch sensible Daten miterfasst werden, überträgt der EDSA die Erwägungen des EuGH aus der Entscheidung GC u.a. (C-136/17) zur Verantwortlichkeit von Suchmaschinenbetreibern auf den Web-Scraping-Kontext: Das Verbot des Art. 9 Abs. 1 DS-GVO gilt danach nur im Rahmen der Verantwortlichkeiten, Befugnisse und Möglichkeiten des Verantwortlichen, sofern dieser vor, während und nach der KI-Entwicklung geeignete Maßnahmen zur Vermeidung und Löschung solcher Daten trifft. Diese Übertragung ist an enge Voraussetzungen geknüpft: Sie gilt nur bei struktureller Vergleichbarkeit mit der Tätigkeit einer Suchmaschine und ausschließlich für die zufällige, nicht beabsichtigte Miterfassung sensibler Daten.

Praxishinweis

Auch wenn die Leitlinien noch nicht endgültig verabschiedet sind, geben sie bereits jetzt eine klare Richtung vor, an der sich die nationalen Aufsichtsbehörden bei der Prüfung bestehender und künftiger Trainingsdatenpipelines orientieren dürften. Unternehmen, die selbst scrapen, Scraping beauftragen oder gescrapte Datensätze einkaufen, sollten die eigene Dokumentation zur Interessenabwägung, zu Datenminimierungsmaßnahmen und zum Umgang mit besonderen Datenkategorien zeitnah gegen die Kriterien der Leitlinien prüfen. Die laufende Konsultation bietet zudem die Möglichkeit, eigene Praxiserfahrungen und Bedenken direkt in den finalen Text einfließen zu lassen.

Gerne unterstützen wir Sie bei der Prüfung Ihrer Trainingsdatenpipelines auf Vereinbarkeit mit den neuen EDSA-Leitlinien sowie bei der Erstellung oder Aktualisierung Ihrer Datenschutzdokumentation zu KI-Trainingsprozessen.

Am 07. Juli 2026 hat der EDSA seine langerwarteten Richtlinien zur Anonymisierung von personenbezogenen Daten veröffentlicht („Guidelines“). Diese Guidelines befinden sich im Entwurfsstadium und werden voraussichtlich nach dem bis zum 30. Oktober 2026 angesetzten öffentlichen Konsultationsverfahren verabschiedet.

Worum geht es?

Das zentrale Kriterium für die Anwendung der Datenschutz-Grundverordnung („DSGVO“) ist die Verarbeitung von personenbezogenen Daten („pbD“). Dieser Begriff wird in Artikel 4 Nr. 1 DSGVO weit gefasst. Nach Erwägungsgrund Nr. 26 S. 5 DSGVO sollen die Grundsätze des Datenschutzes nicht für anonyme Informationen gelten. Die DSGVO ist also nicht auf Informationen anwendbar, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen. Ein bestehender Personenbezug von Informationen kann durch Anonymisierung aufgehoben werden.

Obwohl diese datenschutzrechtliche Weichenstellung schon vor der DSGVO galt, ist es in der Praxis eine technische und rechtliche Herausforderung, wann Informationen datenschutzrechtlich ausreichend anonymisiert sind. 

Die ehemalige Art. 29-Arbeitsgruppe hatte dafür bereits im Jahr 2014 eine Opinion veröffentlicht. Der Europäische Gerichtshof hat dazu in den letzten 10 Jahren mehrere Urteile gesprochen (siehe z. B. zuletzt zur SRB-Entscheidung hier).

Kerninhalte der Guidelines

Der EDSA möchte einen Beitrag zur Abgrenzung zwischen anonymen und pbD leisten und dafür einen praktischen Prüfmaßstab bereitstellen. 

Entscheidend sind nach dem EDSA insbesondere die drei Kriterien No Record Isolation, No Linkage und No Inference (vgl. RdNrn. 52 ff. der Guidelines). 

Das erste Kriterium „No Record Isolation“ setzt voraus, dass ein Datensatz keine personenidentifizierenden Merkmale enthält. Das Datum darf, für sich betrachtet, keinen Personenbezug darstellen. 

Daran knüpft das zweite Kriterium „No Linkage“ an. Dieses fordert, dass keine Verknüpfung zu einem anderen Datensatz gegeben ist, durch die eine natürliche Person identifiziert werden kann.

Nach dem dritten Kriterium „No Inference“ dürfen aus vorhandenen Daten keine Rückschlüsse auf eine bestimmte Person gezogen werden können. Ein solcher Rückschluss oder eine Ableitung darf auch nicht durch Kombination mit naheliegenden Zusatzinformationen ermöglicht werden. Praktisch darf die Wiedererkennung einer natürlichen Person durch Auswertung, Verknüpfung oder statistische Ableitung nicht möglich sein.

Diese Kriterien stehen in Wechselwirkungen und können unterschiedlich stark ausgeprägt sein. Wichtig ist, dass in der Gesamtschau eine entsprechende Anonymisierung gegeben ist (vgl. RdNr. 53 der Guidelines).

Wie geht es weiter?

Der EDSA lädt alle Interessierten zur Teilnahme an dem öffentlichen Konsultationsverfahren bis zum 30. Oktober 2026 ein. Da auf EU-Ebene aktuell auch über den DSGVO-Teil des Digital Omnibus Acts diskutiert wird, bei dem auch der Personenbezug im Fokus steht (oder stand?), gehen wir von zahlreichen Stellungnahmen aus.

Aus unserer Sicht können die Guidelines ein wichtiger Schritt sein, um die Anforderungen der DSGVO und der Rechtsprechung an eine Anonymisierung praktisch besser anwendbar zu machen.

Wir werden zu der finalen Fassung der Guidelines ebenfalls einen Beitrag veröffentlichen.

Die Auszeichnung ergänzt die starken Ergebnisse von SKW Schwarz im diesjährigen IP STARS 2026-Ranking, in dem die Kanzlei erneut zu den führenden Adressen im Marken- und Urheberrecht zählt und mehrere Anwältinnen und Anwälte individuell ausgezeichnet wurden.

Wir gratulieren Margret Knitter herzlich zu dieser besonderen Anerkennung.

Den vollständigen Beitrag lesen Sie hier.

Die Übersicht der nominierten Kanzleien finden Sie hier:
https://iurratio.de/die-besten-arbeitgeber-fuer-referendariat-berufseinstieg-2027

Die Gewinnerinnen und Gewinner der iurratio awards 2027 werden im November 2026 bekannt gegeben.