IT-Recht

§ 1151 ABGB unterscheidet: Wer die Herstellung eines Werkes gegen Entgelt übernimmt, schließt einen Werkvertrag; wer sich auf gewisse Zeit zur Dienstleistung für einen anderen verpflichtet, einen Dienstvertrag. Beim Werkvertrag ist ein Ergebnis geschuldet, beim Dienstvertrag ein sorgfältiges Bemühen – davon hängt ab, wann das Entgelt fällig wird und wofür der Dienstleister einstehen muss. In der Praxis wird Individualsoftware meist als Werkvertrag eingeordnet, laufender Betrieb und Wartung eher als Dienstvertrag; maßgeblich ist aber der Einzelfall, nicht die Überschrift des Vertrags. Wir klären diese Einordnung vor der Unterschrift – hinterher wird über sie gestritten.

Fehlende Ansprechpartner, nicht gelieferte Testdaten, ausbleibende Freigaben – in IT-Projekten liegt die Verzögerung oft beim Auftraggeber. Das Gesetz gibt darauf zwei Antworten: Nach § 1168 Abs 1 ABGB gebührt dem Dienstleister das vereinbarte Entgelt auch dann, wenn er leistungsbereit war und durch Umstände auf Seiten des Bestellers an der Ausführung gehindert wurde; anrechnen muss er sich, was er sich dadurch erspart oder anderweitig erworben hat. Nach § 1168 Abs 2 ABGB kann er zudem eine angemessene Nachfrist setzen, verbunden mit der Erklärung, dass der Vertrag nach fruchtlosem Ablauf als aufgehoben gilt. Wir fassen Mitwirkungspflichten deshalb vertraglich so konkret, dass beide Seiten wissen, was bis wann zu liefern ist.

Ja. Nach § 1168a ABGB ist der Unternehmer für den Schaden verantwortlich, wenn das Werk infolge offenbarer Untauglichkeit des vom Besteller beigestellten Stoffes oder offenbar unrichtiger Anweisungen des Bestellers misslingt und er nicht gewarnt hat. Auf IT-Projekte übertragen: Erkennt der Dienstleister, dass Pflichtenheft, Altdaten oder die vorhandene Systemumgebung offenbar untauglich sind, muss er das sagen. Schweigt er, trägt er die Folgen des Misslingens; hat er gewarnt, liegen sie beim Auftraggeber. Die Warnpflicht schneidet also in beide Richtungen – und entschieden wird meist über die Beweisbarkeit. Wir dokumentieren Warnungen und die Reaktionen darauf in laufenden Projekten und arbeiten sie bei gescheiterten auf.

Die gesetzliche Grundregel steht in § 1170 ABGB: Das Entgelt ist in der Regel nach vollendetem Werk zu entrichten. Wird das Werk in Abschnitten erbracht, darf der Dienstleister einen verhältnismäßigen Teil aber schon vorher verlangen – bei IT-Projekten mit Meilensteinen der Normalfall. Von dieser Regel kann der Vertrag abweichen, und genau dort entscheidet sich viel: Eine vertraglich geregelte Abnahme legt fest, wann das Werk als vollendet gilt, wie geprüft wird und welche Folgen die Freigabe hat. Wir empfehlen, Zahlungsplan und Abnahmeverfahren gemeinsam zu regeln, damit die Zahlung an den nachgewiesenen Projektfortschritt gekoppelt bleibt.

§ 933 Abs 1 ABGB gibt zwei Jahre: Der Übergeber leistet Gewähr für jeden Mangel, der bei der Übergabe vorliegt und binnen zwei Jahren danach hervorkommt. Die Ansprüche daraus verjähren drei Monate nach Ablauf dieser Frist (§ 933 Abs 3 ABGB). Wichtig: § 933 Abs 4 ABGB erlaubt ausdrücklich, diese Fristen vertraglich zu verkürzen oder zu verlängern – in Verträgen zwischen Unternehmern ist die Gewährleistung deshalb oft enger gefasst, als das Gesetz es vorsieht. Was im konkreten Fall gilt, entscheidet also der Vertrag, nicht die Erinnerung an die gesetzliche Frist. Wir prüfen solche Klauseln vor der Unterschrift – und im Streitfall als Erstes.

Im Geschäft zwischen Unternehmern ja – nicht auf den Tag genau, aber binnen angemessener Frist. § 377 UGB verlangt, Mängel, die bei ordnungsgemäßem Geschäftsgang durch Untersuchung festzustellen waren, dem Verkäufer anzuzeigen; das gilt auch für Mängel, die sich erst später zeigen. Wer die Rüge versäumt, verliert Gewährleistung, Schadenersatz wegen des Mangels selbst und die Berufung auf einen Irrtum über die Mangelfreiheit – ein sonst intakter Anspruch geht damit zur Gänze verloren. Eine feste Tagesfrist nennt das Gesetz nicht; was angemessen ist, hängt vom Einzelfall ab. Wir raten, Auffälligkeiten sofort schriftlich festzuhalten und anzuzeigen, und regeln in Verträgen das Untersuchungs- und Rügeverfahren, damit diese Frage gar nicht offen bleibt.

In aller Regel ja: Sobald der Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet – IT-Betreuung mit Zugriff auf Ihre Systeme, Hosting, Cloud-Speicher –, verlangt Art 28 DSGVO einen Auftragsverarbeitungsvertrag. Aus Sicht des IT-Rechts ist er ein Baustein des gesamten Vertragspakets: Er gehört neben Leistungsbeschreibung, Service-Level und Regelungen für das Vertragsende, damit Daten und Zugänge am Schluss auch wirklich zurückkommen. Die datenschutzrechtlichen Einzelheiten sind bei unserer Kompetenz im Datenschutzrecht beschrieben.

Seit 2. August 2026 gelten die Transparenzpflichten des Art 50 KI-VO: KI-generierte oder KI-manipulierte Inhalte, insbesondere Deepfakes, sind zu kennzeichnen, und wer im Kundenkontakt einen Chatbot einsetzt, muss offenlegen, dass eine Maschine antwortet – sofern das nicht ohnehin offensichtlich ist. Ob eine konkrete Veröffentlichung unter die Kennzeichnungspflicht fällt, hängt von Inhalt und Verwendung ab; das prüfen wir anhand des tatsächlichen Einsatzes. Verstöße sind mit Geldbußen bedroht.

Art 4 KI-VO verpflichtet Unternehmen bereits seit Februar 2025, für ausreichende KI-Kompetenz ihrer Beschäftigten zu sorgen. Diese Schulungspflicht trifft jedes Unternehmen, das KI-Systeme einsetzt, unabhängig von Größe und Branche. Ein bestimmtes Format schreibt die Verordnung nicht vor; maßgeblich ist, dass die Mitarbeiter die eingesetzten Werkzeuge, deren Grenzen und die internen Vorgaben kennen. Eine dokumentierte Schulung samt KI-Richtlinie deckt die Pflicht in den meisten Betrieben ab.

Anbieter ist, wer ein KI-System entwickelt oder unter eigenem Namen auf den Markt bringt; Betreiber ist, wer ein System in eigener Verantwortung beruflich einsetzt. Die meisten Unternehmen, die Werkzeuge wie Chatbots oder Bildgeneratoren nutzen, sind Betreiber – mit Transparenz- und Schulungspflichten, aber ohne die weitergehenden Anbieterpflichten. Vorsicht: Wer ein fremdes System unter eigener Marke anbietet oder wesentlich verändert, kann in die Anbieterrolle wechseln. Die Einordnung ist der erste Schritt jeder KI-Beratung, denn an ihr hängen alle weiteren Pflichten.

Ein generelles Verbot ist selten sinnvoll und in der Praxis kaum durchsetzbar – genutzt wird dann trotzdem, nur unkontrolliert. Besser sind klare Regeln: eine interne KI-Richtlinie, eine Freigabeliste der zulässigen Werkzeuge und die Schulung nach Art 4 KI-VO. Inhaltlich gilt vor allem: keine personenbezogenen Daten und keine Geschäftsgeheimnisse in Dienste eingeben, deren Verarbeitung Sie nicht kontrollieren. Die datenschutzrechtlichen Fragen dazu gehören ins Datenschutzrecht – beide Bereiche greifen hier ineinander.

Das Urheberrecht schützt menschliche Schöpfungen. Ein Ergebnis, das ohne eigenen gestalterischen Beitrag rein maschinell entstanden ist, genießt danach keinen urheberrechtlichen Schutz – es kann also grundsätzlich auch von Dritten verwendet werden. Was Sie mit den Ergebnissen tun dürfen, regeln daneben die Nutzungsbedingungen des jeweiligen Anbieters. Umgekehrt kann ein KI-Ergebnis fremde Rechte verletzen, etwa wenn es einem geschützten Werk zu nahe kommt. Vieles davon ist noch nicht höchstgerichtlich geklärt; wir benennen die offenen Fragen, statt Sicherheit vorzutäuschen.

Der Kreis ist deutlich größer als früher: Statt rund hundert Betreibern kritischer Infrastruktur erfasst das NISG 2026 mehrere tausend Unternehmen in 18 Sektoren – je nach Sektor ab 50 Beschäftigten oder 10 Millionen Euro Umsatz. Wichtig: Es gilt eine Selbstregistrierungspflicht. Wer wartet, bis sich eine Behörde meldet, versäumt bereits die erste Pflicht. Die Betroffenheit lässt sich anhand von Sektor und Unternehmensgröße meist rasch klären.

Erhebliche Sicherheitsvorfälle sind nach dem NISG 2026 binnen 24 Stunden erstzumelden, mit Folgeberichten danach. Verstöße gegen Melde- und Sicherheitspflichten sind mit Geldbußen bedroht, und das Gesetz nimmt die Leitungsorgane ausdrücklich in die Verantwortung: Sie müssen die Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und sich selbst schulen lassen – die Delegation an die IT-Abteilung entlastet nicht. Ein vorbereiteter Meldeablauf gehört deshalb zur Pflicht, nicht zur Kür.

Ja. Die österreichischen Pflichtangaben nach E-Commerce-Gesetz und Mediengesetz gelten auch für geschäftlich genutzte Auftritte in sozialen Medien, nicht nur für die eigene Website. In der Praxis genügt ein leicht auffindbarer Link auf das Impressum der Website, etwa in der Profilbeschreibung. Fehlende Pflichtangaben sind mit Verwaltungsstrafen bedroht und liefern Mitbewerbern einen einfachen Angriffspunkt – der Aufwand für die Korrektur ist gering. Wir prüfen Website und Kanäle in einem Durchgang.

Nach gefestigter Auffassung der Datenschutzbehörden muss das Ablehnen so einfach möglich sein wie das Zustimmen – in der Praxis heißt das: eine gleichwertige Ablehnen-Möglichkeit auf der ersten Ebene des Banners, nicht versteckt hinter „Einstellungen“. Vorausgewählte Häkchen und Banner, die schon vor der Einwilligung Cookies setzen, sind unzulässig. Oft ist die beste Lösung die einfachste: Wer auf entbehrliche Dienste verzichtet, braucht gar kein Banner.