Anspruch auf IT-Sicherheitsaktualisierungen bei smarten Produkten: Eine Analyse des Rechtsverhältnisses zwischen Verbraucher und Verkäufer

Dr. Carola Kaiser

doi:10.5771/9783748971733

Summary

For a long time, there has been tension between the continuous assurance of IT security through updates and the sales contract as an originally one-off exchange of services. On 1 January 2022, the update obligation pursuant to Section 475b(4)(2) of the German Civil Code (BGB) was introduced into sales contract law, which is intended to defuse this tension. This work sets out to examine this update obligation in detail. On the one hand, it provides insights into the function and effect of the update obligation from a ‘practical‘ perspective, and on the other hand, it answers the question of how the update obligation fits into the overall system of sales contract law from a ‘dogmatic‘ point of view.

Keywords

Search publication

Bibliographic data

Edition: 1/2026
Copyright Year: 2026
ISBN-Print: 978-3-7560-4312-5
ISBN-Online: 978-3-7489-7173-3
Publisher: Nomos, Baden-Baden
Series: Product Compliance
Volume: 6
Language: German
Pages: 365
Product Type: Monograph

1. Vorwort No access
2. Abkürzungen No access
1. I. Anlass der Untersuchung No access
2. II. Untersuchungsgegenstand und Arbeitshypothesen No access
3. III. Stand der Rechtsprechung und der Forschung No access
4. IV. Gang der Darstellung No access
1. 1. 1. a) Körperliche Ware No access
    2. b) Integrierte Software No access
    3. 1. aa) Backend-Server No access
      2. bb) Steuerungs-App No access
    4. d) Funktionserweiterungen aufgrund der verbundenen Softwareelemente No access
  2. 2. Abgrenzung zum Begriff „künstliche Intelligenz“ No access
  3. 3. Anwendungen im Smart Home als Beispiele No access
2. 1. 1. a) Bedeutung der IT-Sicherheit No access
    2. b) Softwarebasierte IT-Sicherheitslücken No access
    3. 1. aa) Grundlegende Aspekte zu Cyberangriffen No access
      2. bb) Ausnutzung der IT-Sicherheitslücken No access
      3. (1) Angriffe mit Auswirkungen auf die Funktionsfähigkeit smarter Produkte No access
        (2) Angriffe ohne Auswirkungen auf die Funktionsfähigkeit smarter Produkte No access
      4. dd) Zwischenergebnis No access
    4. d) Tatsächliches Gefahrenpotenzial bei smarten Produkten im Smart Home No access
    5. e) Ergebnis zu softwarebasierten IT-Sicherheitsproblemen bei smarten Produkten No access
  2. 1. a) Grundlegende Aspekte zu Aktualisierungen No access
    2. 1. aa) Verhinderung von IT-Sicherheitslücken bei der Herstellung der Software No access
      2. bb) Notwendigkeit von IT-Sicherheitsaktualisierungen aufgrund tatsächlicher Veränderungen im Bereich der IT-Sicherheit No access
    3. 1. aa) „Updatability“ einzelner Softwareelemente als Voraussetzung No access
      2. (a) Over-the-Air-Updates No access
        (b) Bereitstellung auf einer Webseite No access
        (c) Übertragung im Rahmen einer physischen Wartung No access
        (2) Installation No access
        (3) Entscheidungshoheit über die Vornahme der Aktualisierungsschritte No access
      3. cc) Aktualisierung der Steuerungs-App No access
      4. dd) Aktualisierung des Backend-Servers No access
    4. d) Ergebnis zu IT-Sicherheitsaktualisierungen als notwendige Gegenmaßnahme No access
  3. 1. a) Abgrenzung zu hardwarebasierten IT-Sicherheitslücken No access
    2. b) Abgrenzung zur Funktionssicherheit No access
3. III. Beteiligte Akteure bei Herstellung, Vertrieb und Aktualisierung smarter Produkte No access
4. IV. Zusammenfassung No access
1. 1. 1. Vertragliche Einordnung des dauerhaften Erwerbs eines smarten Produkts No access
  2. 1. 1. aa) Sachmangel als Anknüpfungspunkt No access
      2. bb) Leistungssichernde Nebenpflichten No access
    2. b) Ansprüche gegen den Hersteller No access
  3. 3. WK-RL und DI-RL gegen bestehende Rechtsunsicherheit No access
2. 1. 1. a) §§ 475b ff. BGB – Kaufvertrag über Waren mit digitalen Elementen No access
    2. b) §§ 327 ff. BGB – Vertrag über digitale Produkte No access
  2. 2. Die jeweiligen Regelungen zu Aktualisierungen No access
3. 1. 1. a) „Enthalten- oder Verbundensein“ No access
    2. 1. aa) (Unionsrechtlicher) Hintergrund des Kriteriums No access
      2. bb) Individuelle Kategorisierung aller digitalen Produkte No access
      3. (1) Beschränkung auf die Grundfunktionen einer Ware? No access
        (2) Bestimmung anhand des konkreten Vertrags No access
        (3) Bestimmung anhand eines Hardwarebezugs No access
        (4) Bestimmung anhand eines objektiven Maßstabs No access
      4. c) Zwischenergebnis No access
  2. 2. Bereitstellung der digitalen Elemente als Teil des Kaufvertrags (vertragliches Kriterium) No access
  3. 3. Ergebnis zur Zuordnung des Kaufs smarter Produkte No access
4. IV. Zusammenfassung und Schlussfolgerung für die weitere Untersuchung No access
1. 1. 1. a) Mangel und Nacherfüllungsanspruch bei Verletzung der Aktualisierungspflicht No access
    2. b) Primärer Erfüllungsanspruch bei Verletzung der Aktualisierungspflicht No access
    3. c) Unterschiede zwischen beiden Varianten No access
  2. 2. Stellungnahme: Mangel und Nacherfüllungsanspruch bei Verletzung der Aktualisierungspflicht No access
  3. 1. 1. aa) Primärleistungspflichtverletzung als Voraussetzung für Mängelansprüche No access
      2. bb) Die Aktualisierungspflicht als Primärleistungspflicht – trotz fehlenden primären Erfüllungsanspruchs No access
      3. cc) Keine Verankerung der Aktualisierungspflicht in § 433 Abs. 1 S. 2 BGB No access
      4. dd) Systematischer Unterschied zwischen der Aktualisierungspflicht gem. § 475b Abs. 4 Nr. 2 BGB und § 433 Abs. 1 S. 2 BGB No access
      5. ee) Zwischenergebnis No access
    2. b) Besonderheiten innerhalb des Systems des Mangelgewährleistungsrechts mit Blick auf die Aktualisierungspflicht No access
  4. 4. Ergebnis No access
2. 1. 1. 1. aa) Zentrale Bestandteile der objektiven Vertragsmäßigkeitsanforderungen No access
      2. bb) Beeinträchtigung der gewöhnlichen Verwendung durch IT-Sicherheitslücken? No access
      3. (1) IT-Sicherheit als Beschaffenheitsmerkmal No access
        (2) Vergleichsgruppe zur Ware mit digitalen Elementen No access
        (3) Verhältnis zwischen üblicher und erwartbarer Beschaffenheit No access
        (a) Grundlagen zur Erwartbarkeit No access
        (b) Technikstandards zur Beschreibung von IT-Sicherheitserwartungen No access
        (aa) Konzept der Bestimmung No access
        (bb) Funktionsbezogene Cyberangriffe No access
        (cc) Nicht funktionsbezogene Cyberangriffe No access
        (dd) Sonderfall: Angriffe auf die „allgemeine Cybersicherheit“ No access
        (ee) Schlussfolgerungen No access
        (d) Überprüfung der Ausrichtung des Äquivalenzinteresses an Integritätsinteressen No access
        (e) Kongruenz zu öffentlich-rechtlichen Vorgaben betreffend die IT-Sicherheit von Waren mit digitalen Elementen No access
        (f) Skizzierung des Stands der Technik hinsichtlich der IT-Sicherheit bei smarten Produkten No access
      4. dd) Ergebnis zur IT-Sicherheit als Teil der objektiven Vertragsmäßigkeitsanforderungen, § 434 Abs. 3 BGB No access
    2. 1. aa) Abgrenzung zu Mängeln bei Gefahrübergang No access
      2. (1) Dynamisches Umfeld statt Verschleiß der digitalen Elemente No access
        (2) Dynamische Vertragsmäßigkeit als Bezugspunkt für Aktualisierungen No access
      3. (1) Unterscheidung zwischen Vertragsmäßigkeit und Mangelfreiheit No access
        (aa) Ansätze unabhängig von der Einführung der Aktualisierungspflichten gem. § 475b Abs. 4 Nr. 2 BGB und § 327f BGB No access
        (bb) Ansätze nach Einführung der Aktualisierungspflichten gem. § 475b Abs. 4 Nr. 2 BGB und § 327f BGB No access
        (b) Dynamische Vertragsmäßigkeit nur im Rahmen des Erhalts der Vertragsmäßigkeit gem. § 475b Abs. 4 Nr. 2 BGB No access
        (a) Konzept der Vertragsmäßigkeitsanforderungen gem. § 434 Abs. 3 BGB No access
        (b) Verhältnis der Aktualisierungspflicht zur dauerhaften Mangelfreiheit digitaler Elemente gem. § 475c BGB No access
        (c) Anwendung der Beweislastumkehr gem. § 477 BGB No access
        (d) Einheitliche Anwendung der Aktualisierungspflicht bei Weiterentwicklungen der Vertragsmäßigkeitsanforderungen No access
        (e) Zwischenergebnis No access
        (a) Gesamtkonzept der Vertragsmäßigkeitsanforderungen No access
        (b) Ausdehnung des Haftungszeitpunkts auf einen Haftungszeitraum in § 475b Abs. 2 BGB für die Aktualisierungspflicht No access
        (c) Vergleich zur Systematik der mietvertraglichen Erhaltungspflicht gem. § 535 Abs. 1 S. 2 BGB No access
        (5) Zwischenergebnis No access
      4. (a) Weiterentwickelte Anforderungen an die Vertragsmäßigkeit als alleiniger Maßstab No access
        (b) Grundsätze zur Bestimmung weiterentwickelter Anforderungen an die Vertragsmäßigkeit No access
        (c) Weiterentwicklungen der Anforderungen an die IT-Sicherheit am Beispiel des Stands der Technik No access
        (d) Konkreter Umfang der IT-Sicherheitsaktualisierungen No access
        (e) Zwischenergebnis No access
        (a) Umfassende Berücksichtigung von Weiterentwicklungen im Rahmen der Aktualisierungspflicht No access
        (b) Abgrenzung nach Umfang der Funktionsänderungen No access
        (aa) Gewährleistung einer Gleichwertigkeit von Leistung und Gegenleistung als Ziel des Mangelgewährleistungsrechts No access
        (bb) Aktualisierungen zur Gewährleistung einer Gleichwertigkeit bei digitalen Elementen im Rahmen eines Kaufvertrags No access
        (cc) Anwendung auf Merkmale der Vertragsmäßigkeit jenseits der IT-Sicherheit No access
        (dd) Anwendung auf das Beschaffenheitsmerkmal IT-Sicherheit No access
        (ee) Einordnung inhaltsbezogener Weiterentwicklungen No access
        (d) Zwischenergebnis No access
        (3) Verhältnis zu hardwarebasierten IT-Sicherheitsproblemen No access
        (4) Zwischenergebnis No access
      5. ee) Einordnung der Vorgaben des Cyber Resilience Act (CRA) No access
      6. ff) Ergebnis zum Erhalt der Vertragsmäßigkeit mit Blick auf die IT-Sicherheit No access
  2. 1. 1. aa) Mögliche Varianten der Aktualisierungsbereitstellung No access
      2. (1) Gesetzliche Einordnung No access
        (2) Geschuldete Maßnahmen No access
      3. (1) Eigenständigkeit der Aktualisierungsbereitstellungen neben § 327b Abs. 3 BGB No access
        (2) Gesetzliche Einordnung No access
        (3) Konturierung der von der Installationspflicht erfassten (Ausnahme-)Fälle No access
        (4) Geschuldete Maßnahmen No access
        (5) Zwischenergebnis No access
      4. dd) Inhaltliche Anforderungen an die Bereitstellung bei subjektiv geschuldeten Aktualisierungen No access
      5. ee) Funktion des § 475b Abs. 5 BGB No access
      6. ff) Ergebnis zu den inhaltlichen Anforderungen an die Bereitstellung No access
    2. 1. aa) Ausgangslage: Pflichtverletzung durch das Ausbleiben von Bereitstellung und Information statt durch einen vertragswidrigen Zustand No access
      2. (1) Bereitstellungszeitpunkt als Fälligkeit der (Aktualisierungs-)Leistung No access
        (2) Bereitstellungszeitpunkt bei vertragswidrigem Zustand der Ware No access
        (a) (Gesteigerte) Rechtsunsicherheit No access
        (b) Keine Vereinbarkeit mit der Systematik der Aktualisierungspflicht No access
        (c) Zwischenergebnis No access
        (a) Relevante Konstellationen No access
        (b) Systematische Einordnung eines verschobenen Bereitstellungszeitpunkts No access
        (c) Vergleich zu anfänglichen Mängeln No access
        (d) Konzeption der objektiven Vertragsmäßigkeitsanforderungen im Lichte des Systems des Gewährleistungsrechts No access
        (e) Auswirkungen auf (kaufrechtliche) Sekundäransprüche No access
        (f) Darstellung des Verschiebens No access
        (g) Zwischenergebnis No access
      3. cc) Ergebnis zu den zeitlichen Anforderungen an die Bereitstellung No access
  3. 1. 1. aa) Verhältnis zur Informationspflicht gem. § 475b Abs. 5 Nr. 1 BGB No access
      2. bb) Informationen gem. § 475b Abs. 4 Nr. 2 BGB im Konkreten No access
    2. b) Häufigkeit und Zeitpunkt der Information No access
    3. c) Kommunikationsmöglichkeiten No access
    4. d) Information bei subjektiv geschuldeten Aktualisierungen No access
    5. e) Ergebnis No access
  4. 1. a) Warenbezogene Kriterien No access
    2. b) Vertragsbezogene Kriterien No access
    3. c) Öffentlich-rechtliche Vorgaben als Mindestzeitraum No access
    4. d) Verhältnis zum Gewährleistungszeitraum für anfängliche Mängel No access
    5. e) Beginn des Aktualisierungszeitraums No access
    6. f) Ergebnis No access
  5. 5. Vorgaben des § 475c BGB betreffend dauerhaft bereitzustellende digitale Elemente No access
  6. 6. Zusammenfassung zum Mangeleintritt bei Verletzung der Aktualisierungspflicht No access
3. 1. 1. Entgelt für die einzelnen Aktualisierungen No access
  2. 1. a) Kombination im Rahmen der Aktualisierungspflicht gem. § 475b Abs. 4 Nr. 2 BGB No access
    2. b) Anwendung des § 327r BGB im Zusammenhang mit objektiv geschuldeten Aktualisierungen No access
  3. 3. Nicht installierte Aktualisierungen und Folgeaktualisierungen No access
  4. 4. Abdingbarkeit der Aktualisierungspflicht No access
  5. 5. Ergebnisse No access
4. 1. 1. Beweislastumkehr gem. § 477 BGB No access
  2. 2. Andere Regelungen zu einer Beweislastumkehr im Zusammenhang mit der Aktualisierungspflicht No access
  3. 3. Ergebnis No access
5. V. Zusammenfassung No access
1. I. Der zu beseitigende Mangel bei Verletzung der Aktualisierungspflicht No access
2. II. Recht auf Nachlieferung, § 439 Abs. 1 Var. 2 BGB No access
3. 1. 1. a) Pflichtenprogramm gem. § 475b Abs. 4 Nr. 2 BGB im Rahmen der Nachbesserung No access
    2. 1. aa) Länge der Frist No access
      2. bb) Fristbeginn No access
  2. 1. a) Verkäufer ist zugleich Hersteller der Ware mit digitalen Elementen No access
    2. 1. (1) Einbindung des Herstellers No access
        (aa) (Verwertungs-)Rechte des Herstellers einer Ware mit digitalen Elementen mit Blick auf Aktualisierungen No access
        (i) Erfasste Handlungen und Einordnung von Dekompilierungsmaßnahmen No access
        (ii) IT-Sicherheitsaktualisierungen als Fehlerberichtigungen No access
        (iii) Notwendigkeit bei erfolgloser Herstellereinbindung No access
        (iv) Möglichkeit zur Beauftragung eines Dritten No access
        (cc) Zwischenergebnis No access
        (b) Einordnung anderer (Immaterialgüter-)Rechte des Herstellers No access
        (c) Praktische Hürden bei der Her- und Bereitstellung einer entsprechenden Aktualisierung No access
        (3) Zwischenergebnis No access
      2. bb) (Absolute) Unverhältnismäßigkeit der Nachbesserung, § 439 Abs. 4 BGB No access
    3. c) Ergebnis zu den praktischen Erfolgsaussichten und Schlussfolgerung No access
4. IV. Zusammenfassung No access
F. Untersuchungsergebnisse und Fazit No access Pages 337 - 346
Literaturverzeichnis No access Pages 347 - 364