Der Bundesgerichtshof hatte mit Urteil vom 13. Dezember 2022 (II ZR 14/21) die zu Lasten der Klägerinnen und Kläger ergangene Entscheidung des Oberlandesgerichts Köln aufgehoben und die Sache an das Berufungsgericht zurückverwiesen (siehe Pressemitteilung Nr. 178/2022 vom 13. Dezember 2022). Nach erneuter Verhandlung hat das Oberlandesgericht die beklagte Deutsche Bank AG antragsgemäß verurteilt. Die Beschwerde der Beklagten gegen die Nichtzulassung der Revision hat der Bundesgerichtshof mit Beschluss vom 25. Februar 2026 zurückgewiesen, weil ein Grund für die Zulassung der Revision nicht vorgelegen hat.

Die maßgebliche Vorschrift lautet:

§ 543 ZPO

(…)

(2) Die Revision ist zuzulassen, wenn

1. die Rechtssache grundsätzliche Bedeutung hat oder

2. die Fortbildung des Rechts oder die Sicherung einer einheitlichen Rechtsprechung eine Entscheidung des Revisionsgerichts erfordert.

Quelle: Bundesgerichtshof

Der unter anderem für das Wettbewerbsrecht zuständige I. Zivilsenat des Bundesgerichtshofs hat entschieden, dass beim Verkauf und Versand von unbefüllten Ersatztanks für elektronische Zigaretten im Wege des Versandhandels sichergestellt werden muss, dass keine Abgabe an Kinder und Jugendliche erfolgt.

Sachverhalt:

Die Klägerin vertreibt E-Zigaretten sowie Zubehör und Ersatzteile hierfür. Die Beklagte vertreibt über das Internet ebenfalls Ersatzteile und Zubehör für E-Zigaretten. Im Juni 2023 bot sie auf der Internetplattform Amazon einen unbefüllten Tank als Ersatzteil für ein bestimmtes E-Zigaretten-Modell an. Erwerber können einen solchen Ersatztank mit einer in einer E-Zigarette zu verdampfenden Flüssigkeit, einem sogenannten E-Liquid, befüllen. Bei einer von der Klägerin veranlassten Testbestellung eines Ersatztanks bei der Beklagten wurde weder bei der Bestellung noch bei der Auslieferung durch die Post das Alter des Bestellers oder des Empfängers der Lieferung überprüft.

Die Klägerin meint, die Beklagte verstoße mit dem Verkauf und dem Versand von unbefüllten Ersatztanks für E-Zigaretten ohne Altersüberprüfung gegen das Jugendschutzgesetz (JuSchG). Sie nimmt die Beklagte auf Unterlassung, Auskunft und Feststellung der Schadensersatzpflicht sowie Erstattung von Abmahnkosten in Anspruch.

Bisheriger Prozessverlauf:

Das Landgericht hat der Klage mit Ausnahme des auf Feststellung der Schadensersatzpflicht gerichteten Antrags stattgegeben. Die Berufung der Beklagten hatte weit überwiegend keinen Erfolg. Das Berufungsgericht hat das landgerichtliche Urteil nur insoweit abgeändert und die Klage abgewiesen, als die Klägerin Auskunftserteilung über den von der Beklagten erzielten Gewinn und Erstattung von Abmahnkosten begehrt hat.

Beide Parteien haben die vom Berufungsgericht zugelassene Revision eingelegt, mit der sie jeweils ihre im Berufungsverfahren gestellten Anträge weiterverfolgen.

Entscheidung des Bundesgerichtshofs:

Die Revision der Beklagten blieb ohne Erfolg. Der Bundesgerichtshof hat auf die Revision der Klägerin das Berufungsurteil aufgehoben, soweit es zu ihrem Nachteil den Antrag auf Erstattung von Abmahnkosten abgewiesen hat. Hinsichtlich der von der Klägerin begehrten Auskunft über den von der Beklagten erzielten Gewinn blieb die Revision der Klägerin ohne Erfolg.

Das Berufungsgericht hat im Ergebnis zu Recht angenommen, dass zu den von § 10 Abs. 3 und 4 JuSchG erfassten Behältnissen auch unbefüllte Ersatztanks für elektronische Zigaretten gehören. Schon nach dem Wortsinn, aber auch nach dem Sinn und Zweck der jugendschützenden Abgabeverbote umfasst der Begriff des „Behältnisses“ in § 10 Abs. 3 und 4 JuSchG sowohl mit einer nikotinhaltigen oder nikotinfreien Flüssigkeit befüllte als auch noch nicht mit einer Flüssigkeit befüllte Behälter. Da Ersatztanks für elektronische Zigaretten allein dazu bestimmt und geeignet sind, zum Konsum von E-Liquids in elektronischen Zigaretten verwendet zu werden, geht von ihnen auch dann eine Gesundheitsgefahr für Kinder und Jugendliche aus, wenn sie nicht befüllt sind. Auch noch nicht mit einer Flüssigkeit befüllte Ersatztanks werden deshalb als „Behältnisse“ von den Abgabeverboten des § 10 Abs. 3 und 4 JuSchG erfasst. Eines Rückgriffs auf die Legaldefinitionen des Tabakerzeugnisrechts bedarf es hierfür nicht. Das Angebot und die anschließende Auslieferung solcher unbefüllter Behältnisse ohne Überprüfung des Alters des Bestellers beziehungsweise des Empfängers der Lieferung verstößt gegen die Marktverhaltensregelungen des § 10 Abs. 3 und 4 JuSchG und stellt eine unlautere geschäftliche Handlung gemäß § 3 Abs. 1, § 3a UWG dar.

Der Klägerin steht deshalb gegen die Beklagte ein Anspruch auf Unterlassung sowie ein Anspruch auf Auskunft über den Umfang der Verletzungshandlung zu. Die von der Klägerin darüber hinaus begehrte Auskunft über den erzielten Gewinn schuldet die Beklagte hingegen nicht, weil bei einer Verletzung allgemeiner Verhaltenspflichten im Wettbewerb nicht die Herausgabe eines Verletzergewinns beansprucht werden kann. Ebenfalls begründet ist der Anspruch der Klägerin auf Erstattung der Kosten ihrer Abmahnung, mit der sie ihre Anspruchsberechtigung klar und verständlich dargelegt hat.

Die maßgeblichen Vorschriften lauten:

§ 1 Abs. 4 JuSchG

Versandhandel im Sinne dieses Gesetzes ist jedes entgeltliche Geschäft, das im Wege der Bestellung und Übersendung einer Ware durch Postversand oder elektronischen Versand ohne persönlichen Kontakt zwischen Lieferant und Besteller oder ohne dass durch technische oder sonstige Vorkehrungen sichergestellt ist, dass kein Versand an Kinder und Jugendliche erfolgt, vollzogen wird.

§ 10 Abs. 3 und 4 JuSchG

(3) Tabakwaren und andere nikotinhaltige Erzeugnisse und deren Behältnisse dürfen Kindern und Jugendlichen weder im Versandhandel angeboten noch an Kinder und Jugendliche im Wege des Versandhandels abgegeben werden.

(4) Die Absätze 1 bis 3 gelten auch für nikotinfreie Erzeugnisse, wie elektronische Zigaretten oder elektronische Shishas, in denen Flüssigkeit durch ein elektronisches Heizelement verdampft und die entstehenden Aerosole mit dem Mund eingeatmet werden, sowie für deren Behältnisse.

§ 3 Abs. 1 UWG

Unlautere geschäftliche Handlungen sind unzulässig.

§ 3a UWG

Unlauter handelt, wer einer gesetzlichen Vorschrift zuwiderhandelt, die auch dazu bestimmt ist, im Interesse der Marktteilnehmer das Marktverhalten zu regeln, und der Verstoß geeignet ist, die Interessen von Verbrauchern, sonstigen Marktteilnehmern oder Mitbewerbern spürbar zu beeinträchtigen.

§ 8 Abs. 1 Satz 1 und Abs. 3 Nr. 1 UWG

(1) Wer eine nach § 3 oder § 7 unzulässige geschäftliche Handlung vornimmt, kann auf Beseitigung und bei Wiederholungsgefahr auf Unterlassung in Anspruch genommen werden.

(…)

(3) Die Ansprüche aus Absatz 1 stehen zu:

1. jedem Mitbewerber, der Waren oder Dienstleistungen in nicht unerheblichem Maße und nicht nur gelegentlich vertreibt oder nachfragt, …

§ 13 Abs. 2 Nr. 2 und Abs. 3 UWG

(2) In der Abmahnung muss klar und verständlich angegeben werden:

(…)

2. die Voraussetzungen der Anspruchsberechtigung nach § 8 Absatz 3,

(…)

(3) Soweit die Abmahnung berechtigt ist und den Anforderungen des Absatzes 2 entspricht, kann der Abmahnende vom Abgemahnten Ersatz der erforderlichen Aufwendungen verlangen.

Quelle: Bundesgerichtshof

War der gelieferte Reitsand mangelhaft oder entsprach er der üblichen Beschaffenheit? Über diese Frage hatte vor einiger Zeit der 9. Zivilsenat des Oberlandesgerichts Oldenburg zu entscheiden.

Die Klägerin betreibt eine Reitanlage, auf der sich unter anderem eine 20 x 60 Meter große Reithalle befindet. Nachdem sie sich den Boden einer anderen Halle angesehen hatte, beauftragte sie im Jahr 2020 eine auf Reitsand spezialisierte Firma aus Norddeutschland mit der Lieferung und dem Einbau eines bestimmten Reitsandbodens zum Preis von rund 12.000 Euro.

Mit diesem Sand wurde die Klägerin allerdings nicht glücklich. Er sei zu tief, werde bei Wasserzugabe seifig und weise keinerlei Scherfestigkeit auf. Zudem führe seine Zusammensetzung zu einer verstärkten Belastung von Gelenken und Hufen der Pferde und berge ein erhöhtes Verletzungsrisiko; Springen sei nicht möglich. Außerdem enthalte der Sand Mikroplastik.

Da die Beklagte eine Nachbesserung ablehnte, schritt die Klägerin schließlich selbst zur Tat. Für einen Betrag von 17.000 Euro ließ sie im Jahr 2023 den kompletten Sandboden entfernen und eine neue Tretschicht einbringen. Das Geld verlangte sie danach von der Beklagten zurück. Deren Einwand, man hätte doch einfach den beanstandeten Sand mit anderem Sand von kleinerer Körnung mischen können, widersprach die Klägerin: Wegen der Kontamination des Bodens mit Mikroplastikanteilen sei ein vollständiger Austausch unumgänglich gewesen.

Das Landgericht Osnabrück holte das Gutachten einer öffentlich bestellten und vereidigten Sachverständigen für Reitplatzbau ein und gab der Klage schließlich statt: Der gelieferte Sand sei von Anfang an mangelhaft gewesen. Zwar habe die Klägerin nicht bewiesen, dass eine bestimmte Beschaffenheit des Sandes vertraglich vereinbart war. Der Sand sei jedoch für die reiterliche Nutzung ungeeignet gewesen, da es an einer ausreichenden Tritt- und Rutschfestigkeit gefehlt habe. Nicht überzeugt war das Landgericht hingegen davon, dass der Sand von Anfang an Mikroplastik enthalten habe; auch nach einer Schlämmprobe durch die Sachverständige und der Übersendung einer Probe an ein Prüflabor konnte letztlich nicht ausgeschlossen werden, dass es sich bei dem gefundenen Mikroplastik um Abrieb oder später eingetragenes Material handelte.

Aufgrund des festgestellten Mangels habe die Beklagte, so die Entscheidung des Landgerichts, der Klägerin die vollen 17.000 Euro zu ersetzen. Diese Kosten seien – auch unter der Prämisse, dass von mehreren möglichen Wegen der wirtschaftlichere Weg der Schadensbehebung gewählt werden muss – erforderlich und angemessen gewesen; eine bloße Aufbesserung des Bodens hätte nach Einschätzung der Sachverständigen keinen sicheren Erfolg gebracht.

Dem ist in zweiter Instanz auch der 9. Zivilsenat des Oberlandesgerichts gefolgt. Zwar hatte die Beklagte im Berufungsverfahren sogar noch von sich aus ein Gutachten in Auftrag gegeben, welches zu dem Ergebnis kam, dass der Reitsand „– vielleicht mit kleinen Einschränkungen – durchaus nutzbar gewesen wäre“. Dies ließ der Senat jedoch nicht gelten: „Kleinere Einschränkungen“ bedeute eben doch nicht ohne Einschränkungen. Die Trittfestigkeit von Reitsand sei für die vorgesehene Nutzung essenziell und könne im Reitsportbetrieb erwartet werden, um eine sichere und für Pferd und Reiter möglichst verletzungsfreie Nutzung der Reithalle zu gewährleisten. Die labortechnische Untersuchung durch den Privatgutachter habe zudem zweifelsfrei einen zu geringen Gehalt an Feinsand ergeben.

Die Entscheidung des Oberlandesgerichts ist rechtskräftig.

Quelle: Oberlandesgericht Oldenburg

Vor dem Hintergrund der Lage im Nahen Osten hat die EU-Kommission einen Fragen-Antworten-Katalog zu den geltenden Fluggastrechten erstellt.

Darin informiert sie unter anderem über die Rechte, wenn Flüge in eines der Länder des Nahen Ostens oder aus einem dieser Länder aufgrund der jüngsten Entwicklungen in der Region gestrichen wurden. Außerdem gibt sie einen Überblick über Maßnahmen der EU-Mitgliedstaaten, um ihre Bürgerinnen und Bürger zurückzuholen.

Weitere Informationen über Fluggastrechte finden sie auf der Homepage er EU-Kommission.

Quelle: Europäische Kommission

Wird in einem Anwaltsschreiben der wirkliche Parteiwille – die Lösung vom Vertrag – deutlich, so ist der Rücktritt auch ohne dessen Benennung erklärt.

Erklärt eine Anwältin oder ein Anwalt für einen Mandanten oder eine Mandantin ausdrücklich nur die Anfechtung und den Widerruf des Kaufvertrags, kann die Erklärung dennoch so ausgelegt werden, dass die Käuferin damit konkludent auch den Rücktritt von dem Vertrag erklärt hat. Damit verneint der Bundesgerichtshof (BGH) die Rechtsansicht der Vorinstanz, für eine „laienfreundliche“ Auslegung sei hier kein Raum, da die Erklärung von einem zugelassenen Rechtsanwalt abgegeben worden sei (Urt. v. 11.02.2026, Az. VIII ZR 37/24).

Frau kauft „Faksimile“-Buch für 16.000 Euro an ihrer Haustür

Im zugrundeliegenden Fall wollte sich eine Frau von einem Kaufvertrag lösen, der bereits zwei Jahre zurücklag. In einem Haustürgeschäft ohne Vorankündigung des Besuchs hatte ihr ein Mitarbeiter der nun Beklagten ein „Faksimile“ eines offenbar historischen Buches („Exemplar 375/999“), versehen mit einem Messingschild mit ihrem Namen und der Editionsnummer, für 15.999,00 Euro angeboten.

Die Frau hatte das Angebot direkt angenommen, außerdem die Möglichkeit, das Ganze über die Verkäufer über ein Darlehen zu finanzieren. Im Rahmen des Verkaufsgesprächs unterzeichnete sie ein Informationsblatt zur Bedeutung von Faksimiles, die angeblich einen „maximal möglichen Perfektionsgrad“ anstrebten, und dass altes Handwerkszeug und Techniken für eine möglichst originalgetreue Nachbildung sorgen würden. Sie zahlte und bekam das Buch geliefert.

Knapp zwei Jahre später verlangte die Frau jedoch zunächst mit Anwaltsschreiben, später im Wege der Klage die Rückerstattung des Kaufpreises und bot die Rückgabe des Buchs an. Zur Begründung berief sie sich auf eine Nichtigkeit des Kaufvertrags nach § 138 Abs. 1, 2 BGB (Sittenwidrigkeit wegen Wuchers). Ferner erklärte sie den Widerruf sowie die Anfechtung des Kaufvertrags wegen Irrtums und arglistiger Täuschung. Das ihr übersandte Buch weise die in dem Informationsblatt angegebenen Eigenschaften eines Faksimiles nicht auf. Es handele sich um einen einfachen, nicht limitierten Nachdruck, dessen Herstellung nicht besonders aufwendig sei. Im Übrigen stehe der tatsächliche Wert des Buchs in einem krassen Missverhältnis zum gezahlten Kaufpreis.

BGH: Auf die Formulierung kommt es nicht an

Vor dem Landesgericht bekam sie noch Recht, doch das Oberlandesgericht (OLG) wies die Klage ab. Der Widerruf sei nach fast zwei Jahren nicht mehr möglich, eine Anfechtung wegen Eigenschaftsirrtums scheitere am Vorrang des Gewährleistungsrechts, eine arglistige Täuschung liege nicht vor. Für die Annahme von Wucher habe die Klägerin nicht genug dargelegt. Der mithin einzig in Betracht kommende Anspruch auf Rücktritt scheitere daran, dass das Wort „Rücktritt“ in den Schreiben und der Klage nicht erwähnt sei. Eine laienfreundliche Auslegung komme nicht in Betracht, weil die Erklärung von einem zugelassenen Rechtsanwalt abgegeben worden sei.

Der BGH widersprach dem OLG in diesem entscheidenden Punkt jedoch: Das Anwaltsschreiben sei durchaus als Rücktrittserklärung auszulegen. Zur wirksamen Erklärung eines Rücktritts sei der Gebrauch dieses Worts auch in dem Fall, dass ein Anwalt die Erklärung verfasst habe, nicht erforderlich. Der wirkliche Wille der Erklärenden nach § 133 BGB – so wie der Empfänger ihn unter Berücksichtigung der Verkehrssitte verstehen musste – sei hier maßgeblich, nicht allein der Wortlaut. Die Benennung verschiedener Anspruchsgrundlagen, allesamt mit dem Ziel, sich unter Rückgabe des Buches vom Vertrag zu lösen, mache unmissverständlich deutlich, dass die Käuferin den Kaufvertrag auf jeden Fall und unter jedem in Betracht kommenden rechtlichen Gesichtspunkt rückabgewickelt wissen wolle. Anders könne auch ein Empfänger die anwaltliche Erklärung nicht verstehen.

Ob hier tatsächlich die Voraussetzungen eines Rücktritts gegeben sind, muss nun aber die Vorinstanz klären. Außerdem muss sie der Klägerin erneut Gelegenheit geben, Sachvortrag zur möglichen Sittenwidrigkeit wegen Wuchers zu ergänzen – auch hier habe die Vorinstanz zu strenge Maßstäbe angelegt, so der BGH.

Quelle: Bundesrechtsanwaltskammer

Fristwahrend geht der Schriftsatz nur als .docx ein und wird als PDF nachgereicht – dann nur mit Glaubhaftmachung der Identität beider Dokumente.

Bei elektronischer Gerichtsakte müssen Schriftsätze zwingend als PDF eingereicht werden; eine .docx-Datei wahrt die Form nicht, so der BGH. Wird zunächst eine .docx-Datei eingereicht und erst nach Fristablauf ein formwahrender Schriftsatz, so muss die Identität beider Dokumente anwaltlich glaubhaft gemacht werden (Urteil vom 10.02.2026, Az. VI ZR 313/24).

Formfehler später geheilt oder nicht?

In einer Verkehrssache hatten die Beklagten eigentlich form- und fristgerecht Berufung eingelegt. Die dreiseitige Berufungsbegründung erreichte das Gericht jedoch nur als docx.-Dokument einen Tag vor Fristablauf. Dieser Formfehler war zunächst nur den Klägervertretern aufgefallen, das Gericht teilte dies dem Beklagtenvertreter mit. Daraufhin reichte dieser eine PDF-Datei nach Ablauf der Frist „vorsorglich nochmals als PDF“ nach.

Das Gericht störte sich zunächst – wie später auch der BGH – daran, dass dies nicht ausreichen dürfte, um den Formfehler zu heilen, weil die maßgebliche Vorschrift des § 130a Abs. 6 ZPO eine Glaubhaftmachung verlangt, dass sie mit dem zuerst eingereichten Dokument inhaltlich übereinstimme.

Daraufhin schrieb der Anwalt: „Hinsichtlich der Einreichung der Berufungsbegründung im PDF-Format ist nach unserer Auffassung eine Glaubhaftmachung der inhaltlichen Übereinstimmung nicht erforderlich, da diese Übereinstimmung ganz offensichtlich vorlag. Aus der Einreichung ergibt sich insoweit, dass hier lediglich das Format abgeändert worden war.“ Später ergänzte er, dass „eine Glaubhaftmachung der Identität der übersandten Berufungsbegründung aufgrund des geringen Umfanges nicht erforderlich wäre.“

Das Berufungsgericht stimmte dem Anwalt letztlich zu und sah den ursprünglichen Formfehler als nach § 130a Abs. 6 ZPO geheilt an. Da die eingereichte Word-Datei von vornherein ohne weiteres einsehbar gewesen sei, habe der Abgleich der Dokumente unmittelbar nach Eingang des formwahrenden Schriftsatzes erfolgen können, so das Gericht.

BGH sieht die Vorschriften strenger

Der BGH sah dies nun anders und verwarf die Berufung als unzulässig, weil die Begründung nicht innerhalb der Frist formwahrend eingereicht worden sei. Bei elektronisch geführten Akten müsse ein Schriftsatz „für die Bearbeitung durch das Gericht geeignet sein“ (§ 130a Abs. 1, Abs. 2 Satz 1 ZPO). Nach § 2 Abs. 1 Satz 1 Elektronischer-Rechtsverkehr-Verordnung (ERVV) sei hier das Dateiformat .pdf notwendig. Diese Vorschriften seien zwingendes Recht, sodass eine docx.-Datei nicht als formwirksam gelte. Anderes könne allenfalls bei Papierakten gelten, wenn der Schriftsatz ausgedruckt zu dieser genommen werde – bei elektronisch geführten Akten gehe dies aber nicht.

Dieser Mangel sei auch nicht geheilt worden, weil die später eingereichte PDF-Datei nicht die Voraussetzungen des § 130a Abs. 6 ZPO erfülle. Denn es fehle die anwaltliche Glaubhaftmachung, dass das zweite Dokument mit dem zuerst eingereichten Dokument inhaltlich übereinstimmt. Diese Erklärung sei nicht entbehrlich, sondern unverzichtbare Tatbestandsvoraussetzung, die nicht einschränkend auszulegen sei. Keine der Ausführungen des Anwalts enthielte jedoch eine solche Glaubhaftmachung unter Bezugnahme auf die anwaltlichen Standespflichten. Im Gegenteil zeige der spätere Schriftverkehr, dass der Anwalt sie für entbehrlich gehalten habe.

Entgegen der Auffassung des Berufungsgerichts reiche es nicht, dass die Richterinnen und Richter selbst einen Abgleich vornehmen konnten und dies auch getan haben. Das Gesetz sei – jedenfalls in diesem Fall einer mehrseitigen Berufungsbegründung – zwingend. Der Absender einer Datei in einem unzulässigen Format könne nicht davon ausgehen, dass sich das Gericht weiter von sich aus damit befasse. Ein zuverlässiger Abgleich könne außerdem nur auf Grundlage von technischen Voraussetzungen erfolgen, die für die Arbeit der Gerichte und ihre technische Infrastruktur gerade nicht maßgeblich seien.

Allerdings ließ der BGH offen, ob „für die Fälle, in denen der Inhalt der Schriftsätze von allen Beteiligten mit einem kurzen Blick erfasst werden kann, etwa bei der bloßen Einlegung eines Rechtsmittels ohne jeden Ansatz einer Begründung“, die Entbehrlichkeit der Glaubhaftmachung in Betracht komme.

Quelle: Bundesrechtsanwaltskammer

Mit dem Entwurf der Leitlinien zur Anwendung des Cyber Resilience Act (CRA) hat die EU-Kommission konsolidierte Auslegungshinweise zu zentralen Anwendungsfragen der Verordnung vorgelegt.

Fortgesetzte Bereitstellung unveränderter On-Premise-Software nach dem Anwendungsdatum gilt nicht als erneutes Inverkehrbringen

Ein wesentlicher Punkt betrifft die Auslegung des Begriffs des „Placing on the market“ bei Standalone Software, die über digitale Mittel bereitgestellt wird. Die Guidance stellt klar, dass bei immateriellen Produkten die erstmalige kommerzielle Bereitstellung einer konkreten Softwareversion auf dem EU Markt maßgeblich ist. Mit diesem Zeitpunkt gilt die jeweilige Version als in Verkehr gebracht. Die fortgesetzte Bereitstellung derselben unveränderten Version – etwa durch spätere Downloads – wird nicht als erneutes Inverkehrbringen qualifiziert, sondern als fortgesetztes „Making available“. Vor diesem Hintergrund fallen Softwareversionen, die vor dem Anwendungsbeginn des CRA erstmals in Verkehr gebracht wurden, nicht allein deshalb unter die CRA Anforderungen, weil sie nach diesem Zeitpunkt weiterhin unverändert verfügbar sind. Ein neues Inverkehrbringen setzt vielmehr voraus, dass eine nachträgliche Änderung als wesentliche Änderung („substantial modification“) einzuordnen ist. Dies bedeutet, dass selbst neue Versionen einer bereits in Verkehr gebrachten Standalone Software nur dann eine CRA-Konformität notwendig machen, wenn eine wesentliche Änderung vorliegt.

„Wesentliche Änderung“

Als wesentlich sind nach der Guidance nur solche nachträglichen Änderungen einzuordnen, die entweder Auswirkungen auf die Erfüllung der wesentlichen Cybersicherheitsanforderungen haben oder den ursprünglich bewerteten Verwendungszweck der Software verändern. Maßgeblich ist dabei, ob durch ein Update neue oder erhöhte Cybersicherheitsrisiken entstehen, die in der ursprünglichen Risikoanalyse nicht berücksichtigt waren. Nicht entscheidend sind hingegen Umfang, Häufigkeit oder Bezeichnung eines Updates. Insbesondere reine Sicherheitsupdates oder Änderungen, die sich innerhalb der Annahmen der ursprünglichen Risikoanalyse bewegen und keine neuen Risiken einführen, gelten grundsätzlich nicht als neues Inverkehrbringen

Cybersecurity Risk Assessment

Die Guidance konkretisiert, dass sich die Cybersecurity Risk Assessment auf das Produkt selbst bezieht und danach zu beurteilen ist, ob identifizierte Cyberrisiken hinreichend adressiert wurden. Relevant sind dabei insbesondere Zweck und vorhersehbare Nutzung des Produkts, seine Einsatzbedingungen, die zu schützenden Assets sowie die erwartete Nutzungsdauer.

Identifizierte Cyberrisiken müssen durch Maßnahmen auf Produktebene behandelt werden. Der CRA sieht keine Möglichkeit vor, Risiken oder Verantwortung auf Nutzer oder Dritte zu verlagern. Informationen und Anleitungen könnten die sichere Nutzung unterstützen, ersetzen jedoch keine technischen oder organisatorischen Maßnahmen im Produkt selbst.

Lassen sich identifizierte Risiken nicht ausreichend mitigieren (d. h. mindern), kann dies Anpassungen von Design, Funktionalität oder vorgesehenem Verwendungszweck erforderlich machen. Auch Risiken aus externen Abhängigkeiten (etwa aus Cloud Diensten oder integrierten Drittkomponenten) sind in der Risikoanalyse zu berücksichtigen und dürfen die Erfüllung der wesentlichen Anforderungen nicht beeinträchtigen.

Remote Data Processing Solutions

Es wird klargestellt, dass Remote Data Processing Solutions (RDPS) Teil des Produkts im Sinne des CRA sind, wenn sie für die Ausführung von Produktfunktionen erforderlich sind. In diesem Fall sind sie bereits in der Risikoanalyse sowie bei den Lifecycle Pflichten zu berücksichtigen. RDPS liegen nur vor, wenn (kumulativ) eine Datenverarbeitung außerhalb der Nutzerumgebung erfolgt, diese Verarbeitung funktional notwendig ist und die betreffende Software vom Hersteller selbst entwickelt oder maßgeschneidert unter seiner Verantwortung erstellt wurde. Der Funktionsbegriff wird dabei weit verstanden und erfasst auch unterstützende Funktionen wie Authentifizierung, Konfiguration, Synchronisation oder Updates.

Nicht vom Produktbegriff erfasst sind hingegen interne Unternehmenssysteme des Herstellers sowie generische SaaS Dienste oder lizenzierte Standardsoftware. Solche externen Dienste gelten als Drittkomponenten und sind im Rahmen der Risikoanalyse und Due Diligence zu berücksichtigen, ohne selbst Teil des Produkts zu werden.

Quelle: DATEV eG, Informationsbüro Brüssel