Ihre Kontakte
Louisa Galbraith
Michael Schüepp
Startups stehen für innovative Ideen, bahnbrechende Technologien und Digitalisierung. Sie schaffen damit einen Gegenpol zu den traditionell organisierten, am Markt etablierten Unternehmen. Eine bahnbrechende Idee reicht allerdings in der Regel nicht aus, um ein Startup zu nachhaltigem Erfolg zu führen. Insbesondere begegnen einem Startup auf dem Weg zum Unicorn auch zahlreiche rechtliche Herausforderungen, die oftmals aus Kostengründen auf unbestimmte Zeit vertagt werden. Während einige rechtliche Themen mit gutem Gewissen auf die lange Bank geschoben werden können, lohnt es sich, in anderen Bereichen frühzeitig aktiv zu werden und ganz genau hinzuschauen. Eines dieser Themen ist der Schutz des geistigen Eigentums (Intellectual Property, kurz IP). Technologie, Produktegestaltung, Software, Website – diese Elemente gehören oftmals zum «Herzstück» eines Startups und sollten entsprechend auch aus rechtlicher Sicht Beachtung finden. Doch welche rechtlichen Fragen sollte sich ein Startup im Zusammenhang mit IP und IT zu welchem Zeitpunkt stellen?
MLLStart! beantwortet die grundlegendsten Fragen aus diesen Bereichen in einem zweiteiligen FAQ. Nach dem ersten Teil zu den traditionellen IP-Rechten, widmet sich dieser zweite Teil den bedeutendsten Themen aus dem IT-Recht sowie dem Datenschutz.
Das Startup hat seinen Sitz in der Schweiz. Gelten für das Startup neben dem Schweizer Datenschutzrecht auch die Bestimmungen der EU-Datenschutzgrundverordnung?
Das kann tatsächlich schnell der Fall sein: Die EU-Datenschutzgrundverordnung (DSGVO) gilt seit dem 25. Mai 2018 in der gesamten EU. In gewissen Fällen ist sie auch auf Unternehmen anwendbar, die ihren Sitz ausserhalb der EU, beispielsweise in der Schweiz, haben.
Schweizer Startups müssen sich somit unter Umständen neben den Anforderungen des Schweizer Datenschutzrechts auch an die Vorgaben der DSGVO halten, wenn sie in deren Anwendungsbereich fallen: Sobald ein Schweizer Startup personenbezogene Daten von natürlichen Personen verarbeitet, die sich in der EU befinden (d.h. Personen, die sich, unabhängig von ihrer Staatsangehörigkeit oder ihres Wohnsitzes, auf dem Boden der EU aufhalten), und die Verarbeitung entweder dazu dient i) diesen Personen Waren oder Dienstleistungen anzubieten (unabhängig davon ob entgeltlich oder unentgeltlich; z.B. bei der Ausrichtung eines Angebots auf einen EU-Mitgliedstaat), oder ii) das Verhalten dieser Personen zu verfolgen (sofern dieses Verhalten in mindestens einem Mitgliedstaat der EU erfolgt; z.B. durch Tracking), ist die DSGVO anwendbar. Sind diese Voraussetzungen erfüllt, muss das Startup neben den Schweizer Datenschutzrecht ebenfalls die (strengeren) Vorgaben der DSGVO einhalten.
Werden die entsprechenden Vorgaben nicht befolgt bzw. umgesetzt, können einschneidende Bussen die Folge sein. Die DSGVO sieht empfindliche Geldbussen von bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes des vergangenen Geschäftsjahrs, je nach dem welcher Betrag höher ist, vor. Vor dem Hintergrund der drohenden hohen Bussen, sollte sich ein Startup frühzeitig mit den datenschutzrechtlichen Auswirkungen auf das Geschäftsmodell auseinandersetzen und insbesondere abklären, welches Datenschutzrecht bzw. welche Datenschutzrechte im konkreten Fall zur Anwendung kommen.
In diesem Zusammenhang muss auch beachtet werden, dass vor Kurzem eine Revision des Schweizer Datenschutzgesetzes abgeschlossen wurde. Das revidierte Datenschutzgesetz führt – ähnlich wie die DSGVO – neue (formelle) Anforderungen ein, welche auch für Startups von entscheidender Relevanz sind. Dazu gehören u.a. die folgenden Neuerungen:
- Informationspflicht
Die Informationspflicht wird gegenüber dem bisherigen Recht stark ausgebaut. Das revidierte DSG enthält einen Mindestkatalog aller Pflichtinformationen, die vom Verantwortlichen der betroffenen Person bei der Beschaffung mitgeteilt werden müssen. Mindestens mitzuteilen sind folgende Pflichtangaben:
-
- die Identität und die Kontaktdaten des Verantwortlichen
- die Bearbeitungszwecke
- bei einer Bekanntgabe von Daten: die Empfänger oder die Kategorien von Empfänger
- bei einer Datenbekanntgabe ins Ausland zusätzlich: der Staat oder das internationale Organ und ggf. die Garantie für einen geeigneten Datenschutz oder den Ausnahmetatbestand, falls keine solchen Garantien gegeben sind
- bei indirekten Datenerhebung (d.h. Daten nicht bei der betroffenen Person selbst erhoben werden) zusätzlich: die Kategorien der bearbeiteten Personendaten
- über die Durchführung automatisierter Einzelentscheidungen, d.h. eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für die betroffene Person mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt.
- Pflicht zur Führung eines Verzeichnisses über alle Bearbeitungstätigkeiten
Künftig wird – wie unter der DSGVO – auch nach dem revidierten DSG ein Verzeichnis über sämtliche Datenbearbeitungen zu führen sein. Dabei müssen alle Datenbearbeitungen des gesamten Unternehmens erfasst und genaue Angaben dazu gemacht werden. Zudem sollte das Verzeichnis laufend aktualisiert werden. Der Mindestinhalt dieses Bearbeitungsverzeichnisses ist gesetzlich sowohl für den Verantwortlichen als auch den Auftragsbearbeiter vorgegeben und muss folgende Mindestangaben enthalten:
-
- die Identität des Verantwortlichen
- den Bearbeitungszweck
- eine Beschreibung der Kategorien betroffener Personen und der Kategorien bearbeiteter Personendaten
- die Kategorien der Empfängerinnen und Empfänger
- «wenn möglich» die Aufbewahrungsdauer der Personendaten oder die Kriterien zur Festlegung dieser Dauer
- «wenn möglich» eine allgemeine Beschreibung der Massnahmen zur Gewährleistung der Datensicherheit (d.h. geeignete technische und organisatorische Massnahmen, die es ermöglichen Verletzungen der Datensicherheit zu vermeiden)
- falls die Daten ins Ausland bekanntgegeben werden, die Angabe des Staates sowie die Garantien, durch die ein geeigneter Datenschutz gewährleistet wird.
- Pflicht zur Durchführung von Datenschutz-Folgenabschätzungen
Wenn eine beabsichtigte Datenbearbeitung ein hohes Risiko einer Verletzung der Persönlichkeit oder der Grundrechte einer betroffenen Person mit sich bringt, ist der Verantwortliche dazu verpflichtet, die Risiken einer solchen Bearbeitung in einer Datenschutz-Folgeabschätzung zu analysieren. Das revidierte DSG geht davon aus, dass insbesondere bei der Verwendung neuer Technologien und einer umfangreichen Bearbeitung besonders schützenswerter Personendaten (z.B. Gesundheitsdaten) oder bei der systematischen Überwachung umfangreicher öffentlicher Bereiche (z.B. bei Videoüberwachung) von einem hohen Risiko ausgegangen werden muss.
- Pflicht zur Meldung von Datenschutzverletzungen an die Aufsichtsbehörde
Verletzungen der Datensicherheit (z.B. Datenverluste durch Hackerangriffe), die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führen, müssen unverzüglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten und gegebenenfalls der betroffenen Person gemeldet werden.
Wie im aktuellen Schweizer Datenschutzgesetz, werden in der revidierten Fassung ebenfalls Strafbestimmungen für natürliche Personen enthalten sein. Allerdings wird der bislang eingeschränkte Katalog der strafbewehrten Verstösse stark erweitert. Neu ist eine maximale Busse von bis zu CHF 250’000 (anstelle von zurzeit max. CHF 10’000) explizit im Gesetz verankert. Eine Busse gegen Unternehmen selbst ist nur in Ausnahmefällen vorgesehen, nämlich dann, wenn die Ermittlung der strafbaren natürlichen Person unverhältnismässige Untersuchungen erfordert.
Praxistipp: Die frühzeitige Befassung mit dem Thema Datenschutz ist nicht nur bei datengetriebenen Geschäftsmodellen von grosser Bedeutung, sondern sollte fester Bestandteil jeder Compliance-Strategie sein. Je früher das Thema aktiv angegangen wird, desto (kosten-)effizienter ist die Umsetzung und desto kleiner sind die finanziellen Risiken. Schliesslich verhindert die Datenschutz-Compliance eines Startups nicht nur rechtliche Probleme und hohe Bussen, sondern sie stärkt auch die Reputation sowie das Vertrauen der Kunden und steigert die Attraktivität für Investoren.
Was ist beim Webauftritt eines Startups zu beachten?
Der Webauftritt eines Startups ist oft innovativ und unverwechselbar. Er bildet sozusagen die Visitenkarte gegen aussen. Daher sind bei der Gestaltung des Webauftritts grösstmögliche Kreativität und gestalterische Freiheit gefragt. Damit der unverwechselbare Auftritt jedoch auch ohne rechtliche Probleme und Einschränkungen verwendet werden kann, müssen in Bezug auf die Gestaltung einer Webseite einige Punkte beachtet werden:
- Urheberrechtlich geschützte Inhalte
Urheberrechtlich geschützte Werke von Dritten dürfen nicht ohne Weiteres verwendet und in den Webauftritt eingebunden werden. Inhalte wie Fotos, Videos, Musik, Texte, Icons usw. dürfen grundsätzlich nicht ohne Zustimmung des Urhebers öffentlich verbreitet werden (z.B. im Webauftritt oder auf sozialen Medien). Damit Inhalte von Dritten verwendet und in den Webauftritt eingebunden werden dürfen, ist regelmässig eine Lizenzvereinbarung mit dem Urheber notwendig. Die urheberrechtlich geschützten Fotos, Videos, Icons etc. dürfen dann nur im Rahmen der vereinbarten Lizenz verwendet werden. Dabei ist zu beachten, dass freiverfügbare Inhalten (z.B. Bilder oder Icons), welche ebenfalls gewissen Lizenzbedingungen unterliegen, oft gerade nicht zu kommerziellen Zwecken verwendet werden dürfen. Als kommerzielle Zwecke gilt beispielsweise auch der Einsatz solcher Inhalte auf dem Webauftritt eines Startups. Werden urheberrechtlich geschützte Werke ohne Vorliegen einer entsprechenden Lizenz oder durch Verletzung der Lizenz verwendet, kann der Urheber dem Startup die Verwendung der betroffenen Inhalte gerichtlich verbieten lassen und ggf. auch Schadenersatz verlangen.
Werden die die Bilder speziell für den Webauftritt erstellt werden (z.B. durch einen engagierten Fotografen), gilt es ebenfalls zu beachten, dass der Fotograf der Urheber der Bilder ist und die Rechte an den Bildern dem Startup übertragen werden müssen. Denkbar wäre eine vollständige Übertragung aber u.U. auch eine Lizenzierung. In diesem Zusammenhang sollte insbesondere daran gedacht werden, dass auf den Bildern Personen abgebildet sein können. Um die Persönlichkeitsrechte dieser Personen nicht zu verletzen, sollte stets eine Einwilligung der auf der Abbildung zu sehenden Person eingeholt werden (sog. Model Release).
- Impressum
Aus jedem Webauftritt muss hervorgehen, wer für den jeweiligen Auftritt verantwortlich ist. Darum ist es gesetzlich vorgeschrieben, dass der Verantwortliche seine Identität transparent offenlegt. Um dieser gesetzlichen Anforderung gerecht zu werden, sind klare und vollständige Angaben über die Identität sowie die Kontaktangaben des Verantwortlichen notwendig. Dazu gehören nicht nur die Firmenbezeichnung, wie sie aus dem Handelsregister hervorgeht, sondern insbesondere eine Kontaktadresse einschliesslich einer elektronischen Adresse (E-Mail). In der Praxis werden diese vorgeschriebenen Angaben im sog. Impressum offengelegt. Das Impressum befindet sich regelmässig im Footer des Webauftritts.
- Datenschutzerklärung
Neben dem Impressum gibt es noch weitere Informationen die den Nutzern einer Webseite zur Verfügung gestellt werden müssen. Unter anderem geht es dabei um Angaben dazu, wie Personendaten vom Startup durch den Webauftritt bearbeitet werden. In diesem Zusammenhang müssen wiederum die Bestimmungen des Datenschutzrechts beachtet werden. Das Schweizer Datenschutzgesetz (DSG) bezweckt den Schutz von Personendaten. Gemäss der Definition im Gesetz sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen Personendaten (z.B. Kontaktangaben, Zahlungsinformationen, IP-Adressen, Standortinformationen, etc.). Sobald Personendaten bearbeitet werden (d.h. z.B. das Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben, Archivieren oder Vernichten von Personendaten), gelten die Regeln des DSG. Demnach dürfen Personendaten nur zu dem Zweck bearbeitet werden, welcher bei der Beschaffung angegeben wurde, welcher aus den Umständen für die betroffene Person ersichtlich war oder welcher gesetzlich vorgesehen ist. Die darüberhinausgehende Bearbeitung von Personendaten stellt eine Verletzung des DSG dar.
Gerade im Zusammenhang mit Webauftritten werden regelmässig verschiedene Personendaten der Nutzer bearbeitet und gespeichert. Dies erfolgt nicht nur durch in der Webseite implementierte Formulare, sondern auch über eingebundene Tools und Funktionen (z.B. Google Analytics, Social Media Plugins oder andere Cookie-basierte Tools). Diese Bearbeitungen sind für die Nutzer nicht (immer) erkennbar, sodass über die vorgenommenen Bearbeitungstätigkeiten transparent informiert werden muss (nach der DSGVO und dem revidierten DSG besteht aber ohnehin eine Informationspflicht mit gewissen Anforderungen an den Inhalt).
Die Information, d.h. die Datenschutzerklärung, muss für die betroffenen Personen einfach zugänglich und verständlich sein. Wichtig ist insbesondere, dass die Datenschutzerklärung alle Bearbeitungen von Personendaten abdeckt, die auf der Webseite vorgenommen werden. Zudem sollte geprüft werden, ob nicht auch ausländische Anforderungen, wie z.B. diejenigen der DSGVO, umgesetzt werden müssen. Häufig werden Datenschutzerklärung und Impressum in Webauftritten vermischt. Das sollte vermieden werden. Bei der Umsetzung des Webauftritts sollten die Datenschutzerklärung konsequent vom Impressum getrennt werden. Dadurch kann die gesetzeskonforme Umsetzung sichergestellt und Transparenz gegenüber den Webseitenbesuchern geschaffen werden. Wie das Impressum wird die Datenschutzerklärung den Nutzern regelmässig im Footer der Webseite zur Verfügung gestellt.
- Allgemeine Geschäftsbedingungen (AGB) / Nutzungsbedingungen
Weitere rechtliche Herausforderungen betreffend Webauftritt können sich im Zusammenhang mit AGB bzw. Nutzungsbedingungen stellen. Im Unterschied zum Impressum und der Datenschutzerklärung handelt es sich bei den AGB und den Nutzungsbedingungen nicht um zwingende Webseiteninhalte. AGBs können aber durchaus sinnvoll sein, insbesondere wenn eine Vielzahl von gleichartigen Rechtsgeschäften über die Webseite abgeschlossen werden sollen (z.B. im Rahmen eines Webshops). Diesbezüglich ist es ratsam, die AGB nicht einfach von einem Dritten zu übernehmen, sondern sie von Anfang an auf das Geschäftsmodell des Startups masszuschneidern, sodass die jeweiligen Besonderheiten berücksichtigt und abgebildet werden können. Die Risiken von übernommenen AGB von Dritten sind dabei vielfältig und reichen von den eigenen Interessen entgegenstehenden Klauseln (z.B. unklare Klauseln, ein unvorteilhafter Vertragsschlussmechanismus, fehlen von wichtigen Klauseln, etc.) bis hin zum Verstoss gegen zwingendes Recht. U.U. kann es sogar sein, dass das schlichte Übernehmen von AGBs von Dritten in gewissen Rechtsordnungen ein Verstoss gegen das Urheberrecht oder das Wettbewerbsrecht darstellt.
Nutzungsbedingungen sind insbesondere dann sinnvoll und wichtig, wenn der Webauftritt einen Login-Bereich für die Nutzer vorsieht. In diesem Zusammenhang drängt es sich auf, den Nutzern vertraglich gewisse Regeln zu überbinden. Auch Nutzungsbedingungen sollten möglichst von Anfang an auf das Geschäftsmodell des Startups zugeschnitten werden.
Das Startup arbeitet bei der Entwicklung einer Software oder einer App mit Freelancern zusammen, auf was ist dabei zu achten?
Spezialisten wie Programmierer bieten ihre Dienstleistungen oft als Freelancer an. Die Zusammenarbeit mit einem Freelancer unterscheidet sich in wesentlichen Punkten von der langfristigen Zusammenarbeit mit einem Festangestellten. Obwohl das Schweizer Recht den Begriff des Freelancers als solchen nicht explizit kennt, stellen sich bei der Zusammenarbeit mit Freelancern zahlreiche rechtliche Fragen. Für Startups stehen dabei arbeitsrechtliche / sozialversicherungsrechtliche Fragen sowie die Frage der Inhaberschaft an den Arbeitsresultaten des Freelancers (z.B. eines vom Freelancer programmierten Bestandteils einer Software) im Fokus.
Bei der Zusammenarbeit mit Freelancern stellt sich regelmässig die Frage, ob der Freelancer aus rechtlicher Sicht als selbständig oder unselbständig erwerbstätig gilt. Diese Qualifikation kann unter Umständen ungewollte finanzielle Folgen für das Startup haben (z.B. die Pflicht zur Abführung von Sozialabgaben). Hierfür bietet das Staatssekretariat für Wirtschaft (SECO) auf seiner Webseite gewisse (erste) Hilfestellungen an. Jedoch kann die Abgrenzung im Einzelfall schwierig sein, sodass eine professionelle Beratung oftmals unumgänglich ist. Neben der eingehenden Abklärung im Einzelfall ist es insbesondere wichtig, dass ein Startup von Anfang an klare Verhältnisse schafft, beispielsweise durch eine vertragliche Regelung des Beizugs eines Freelancers.
Bei der Vereinbarung mit der Freelancerin ist es zentral, dass eine Übertragung (oder ausnahmsweise die Lizenzierung) der von ihr geschaffenen IP-Rechte vertraglich vereinbart wird. Diese Übertragung erfolgt in aller Regel nicht automatisch. Nur durch eine klar vertragliche Regelung kann sichergestellt werden, dass die Arbeitsergebnisse und die Rechte an den Arbeitsergebnissen des Freelancers auf das Startup übergehen. Dies wird insbesondere und spätestens im Rahmen einer Due Diligence bei einer zukünftigen Finanzierungsrunde oder aber beim Verkauf des Startups relevant. Kann in einem solchen Fall nicht lückenlos nachgewiesen werden, dass das Startup die Rechte an den Arbeitsergebnissen eines Freelancers rechtlich einwandfrei erworben hat, wird dies eine erhebliche Minderung des Investments / Kaufpreises zur Folge haben oder aber das Investment / den Verkauf ganz verhindern. Deshalb empfiehlt es sich, sich bereits in einem frühen Stadium mit dieser Thematik auseinanderzusetzen und bei Bedarf professionelle Beratung beizuziehen.
Ein Startup bindet Open Source Bestandteile in den Sourcecode ein; ist das zulässig?
Die Übernahme bzw. Einbindung von Open Source Bestandteilen ist oftmals nicht nur bequem, sondern scheint auf den ersten Blick auch kostengünstig. Auch in diesem Zusammenhang lauern allerdings einige rechtliche «Fallen». Inhalte, die im Internet kostenfrei bereitstehen, ermöglichen nur in den seltensten Fällen eine vollständig freie Nutzung. Normalerweise existieren Lizenzbedingungen, die z.B. vorschreiben, dass der Urheber bei der Nutzung zu nennen ist oder eine Open Source Software zwar überarbeitet, aber nicht gegen Zahlungen eines Entgelts vertrieben werden darf. Im äussersten Fall sehen die Lizenzbedingungen von Open Source Bestandteilen gar vor, dass die Arbeitsergebnisse, in welche die Open Source Komponente eingebunden wird, der entsprechenden Community kostenlos zur Verfügung gestellt werden müssen.
Die Einbindung von Open Source kann folglich dazu führen, dass das Startup die eigene (mit Open Source Komponenten kombinierte) Software/App nicht oder nicht im gewünschten Umfang verwerten kann. Dadurch geht nicht nur der Schutz des geistigen Eigentums verloren, sondern der vertrauliche und private Code eines Startups könnte, je nach Lizenzbedingungen der eingebundenen Open Source Komponente, sogar öffentlich bekannt gemacht werden. Ausserdem liegt beim Verstoss gegen eine Bestimmung einer kostenlosen Lizenz eine Rechtsverletzung bzw. eine Urheberrechtsverletzung vor, welche gerichtliche Unterlassungs- und Schadenersatzansprüche nach sich ziehen kann. Insofern ist bei der Nutzung von Open Source Komponenten Vorsicht geboten und die anwendbaren Lizenzbestimmungen sollten vor der Nutzung eingehend geprüft werden.
Weitere Informationen:
