Versicherbarkeit von IT-Risiken

Transkript

1 Versicherbarkeit von IT-Risiken in der Sach-, Vertrauensschadenund Haftpflichtversicherung von Prof. Dr. Robert Koch, LL.M. (McGill) Hochschule Nürtingen-Geislingen ERICH SCHMIDT VERLAG

2 Bibliografische Information der Deutschen Bibliothek Die Deutsche Bibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über dnb.ddb.de abrufbar. Weitere Informationen zu diesem Titel finden Sie im Internet unter: esv.info/ ISBN Alle Rechte vorbehalten Erich Schmidt Verlag GmbH & Co., Berlin Dieses Papier erfüllt die Frankfurter Forderungen der Deutschen Bibliothek und der Gesellschaft für das Buch bezüglich der Alterungsbeständigkeit und entspricht sowohl den strengen Bestimmungen der US Norm Ansi/Niso Z als auch der ISO Norm Gesetzt aus der 9/11 Punkt Stempel Garamond Satz: multitext, Berlin Druck: Druckhaus Berlin-Mitte

3 Vorwort Die Frage der Versicherbarkeit von Risiken der Informationstechnologie (IT) rückt mit wachsender Zahl von Schäden immer stärker ins Bewusstsein der Unternehmensöffentlichkeit. Diese Risiken sind bei weitem nicht nur auf die Bereiche der Herstellung und des Vertriebs von Hardware/Software oder des Angebots von IT-Dienstleistungen beschränkt. Sie betreffen auch und vor allem die bloße Nutzung von Hardware (Computer etc.), IT-Anwendungen (Software) und IT-Infrastrukturen (z. B. Intranet, Corporate Network, Internet) und sind somit für alle Unternehmen relevant. Insoweit täuscht der vielfach bei Studium der Medien und Fachliteratur gewonnene Eindruck, wonach vornehmlich IT-Dienstleister und IT-Hersteller von Technologierisiken betroffen sind. Nach anfänglichem Zögern hat die Versicherungswirtschaft damit begonnen, speziell auf IT-Risiken zugeschnittene Produkte zu entwickeln, die zumeist auf vorhandenen Konzepten basieren. Sie werden hier ebenso wie die traditionellen Deckungskonzepte auf ihre Eignung zur Absicherung sowohl von IT-Eigenschäden ( First Party Risks ) als auch IT-Fremdschäden ( Third Party Risks ) untersucht. Es wird dabei deutlich werden, dass die herkömmlichen Versicherungsprodukte in der Sach-, Vertrauensschaden- und Haftpflichtversicherung vielfach nicht ausreichen, um die vorhandenen Risiken aufzufangen. Aber auch die neuen Konzepte bedürfen kritischer Prüfung. Stets ist zu überlegen, ob nicht Deckungserweiterungen von konventionellen Produkten die bessere Alternative sind. Dieses Werk wendet sich gleichermaßen an Rechtsanwälte, Versicherungsmakler, Underwriter und Schadensachbearbeiter von Versicherern sowie Versicherungsexperten in Unternehmen. Zahlreiche Beispiele erleichtern das Verständnis der auch für Juristen als schwierig empfundenen Materie des Versicherungsrechts. Es soll nicht zuletzt zur Bewusstseinsbildung/-schärfung und als Entscheidungshilfe dienen. Rechtsprechung und Literatur sind auf dem Stand von Juli Die 27. Aufl. des Standardwerks von Prölss/Martin zum VVG hat ebenso Eingang gefunden wie die Neufassung der AHB 2004 und die neu herausgegebenen Zusatzbedingungen zur Betriebshaftpflichtversicherung für die Nutzer von Internet- Technologien. Beide Bedingungswerke sind im Juni 2004 seitens des Gesamtverbands der Deutschen Versicherungswirtschaft e.v. (GDV) veröffentlicht worden. Schließlich wurden die Neufassungen des TKG und des UWG berücksichtigt. Der Autor schuldet besonderen Dank Herrn Ass. jur. Wolfgang Ossenbrüggen (Gayen & Berns Homann GmbH, Hamburg) für die zahlreichen Informationen und wertvollen Hinweise aus der Praxis, den Herren Lämmrich und Thyrolf (GDV) für die Überlassung der aktuellen Verbandsempfehlungen sowie Herrn Ass. jur. Joachim Diehm (Erich Schmidt Verlag) für seine Geduld und kompetente Projektbetreuung. Der Autor ist dankbar für kritische Anmerkungen. Diese können gerichtet werden an die -Adresse koch@asg.fh-nuertingen.de. Geislingen, im November 2004 Robert Koch 5

4 Inhaltsverzeichnis Seite Vorwort Inhaltsverzeichnis Abkürzungsverzeichnis Randziffer A. Einführung B. Verpflichtung der Unternehmensleitung zur Sicherstellung von Versicherungsschutz Ausgangspunkt: Pflicht der Unternehmensleitung zur Einrichtung eines Risikomanagement-Systems I. Rechtliche Grundlagen II. Begriff des Risikos III. Risikomanagement und unternehmerischer Handlungsspielraum Risikomanagement Unternehmerischer Beurteilungs- und Handlungsspielraum a) ARAG/Garmenbeck-Urteil aa) Voraussetzungen für die Inanspruchnahme eines Beurteilungs- und Handlungsspielraums bb) Folgerungen für den Bereich des Risikomanagements b) Reformvorschläge zur Organhaftung Verpflichtung des Unternehmens zur Sicherstellung von Versicherungsschutz aus Gesetz und/oder Vertrag I. Verpflichtung zum Abschluss einer Versicherung Gesetzliche Regelungen Vertragspraxis II. Deckungsumfang Verpflichtung zur Sicherstellung von Versicherungsschutz zur Wahrung der Vermögensinteressen des Unternehmens I. Pflicht der Unternehmensleitung zur Vermögensinteressenwahrnehmung

5 8 Inhaltsverzeichnis II. Sicherstellung der Realisierbarkeit von Schadenersatzansprüchen Arbeitnehmer a) Eigenschäden (Schädigung des eigenen Unternehmens) aa) Leichte Fahrlässigkeit bb) Mittlere Fahrlässigkeit cc) Grobe Fahrlässigkeit dd) Vorsatz b) Fremdschäden (Schädigung Dritter) aa) Haftungssituation bb) Leichte Fahrlässigkeit cc) Mittlere Fahrlässigkeit dd) Grobe Fahrlässigkeit ee) Vorsatz Mitglieder der Unternehmensleitung Außenstehende Dritte III. Legitimation von Haftungsfreizeichnungsklauseln Versicherbarkeit als Zuordnungskriterium von Haftungsrisiken a) Möglichkeit zum Abschluss einer Haftpflichtversicherung b) Branchenüblichkeit von Sachversicherungsschutz Folgerungen a) Versicherbarkeit von Fremdschäden aa) Sachschäden bb) Vermögensschäden b) Versicherbarkeit von Fremdschäden IV. Zwischenergebnis: Pflicht der Unternehmensleitung zur Sicherstellung risikoadäquaten Versicherungsschutzes Identifizierung, Messung und Bewertung von Risiken I. Risikoidentifizierung II. Grundsätze zur Risikomessung Quantitative Risikomessung Qualitative Risikobestimmung III. Risikobewertung Risikoklassifizierung a) Kleinrisiken b) Mittlere Risiken c) Großrisiken d) Existenzielle Risiken Risikoklassifizierung und risikoadäquater Versicherungsschutz a) Grundsatz: Maßgeblichkeit der Kosten-/ Nutzen-Abwägung b) Ausnahme: Großrisiken und existenzielle Risiken

6 3. Schlussfolgerungen a) Kleinrisiken b) Mittleres Risiko c) Großrisiken und existenzielle Risiken Haftung der Unternehmensleitung für Verletzung der Pflicht zur Sicherstellung von risikoadäquatem Versicherungsschutz I. Bedeutung der Darlegungs- und Beweislast II. Voraussetzungen für die Inanspruchnahme des unternehmerischen Beurteilungs- und Handlungsspielraums Sorgfältige Ermittlung der Entscheidungsgrundlagen Überschreiten des Beurteilungs- und Handlungsspielraums a) Ebene der Risikoidentifikation b) Ebene der Risikobewertung c) Ebene der Risikosteuerung aa) Nichtversicherung von Großrisiken/ existenziellen Risiken bb) Nichtversicherung von Kleinrisiken und mittleren Risiken cc) Schwierigkeiten bei der Risikokategorisierung III. Haftung bei mehrköpfiger Unternehmensleitung IV. Einschaltung unternehmensfremder Dritter zur Sicherstellung von Versicherungsschutz C. Erfassung von IT-Risiken Begriff der Informationstechnologie Ansätze zur Erfassung von IT-Risiken in der Praxis I. Anknüpfung an die geschäftlichen Kernprozesse eines Unternehmens II. Aufteilung in Störungsrisiken und Sicherheitsrisiken III. Differenzierung zwischen Störungs-, Sicherheits- und Medienrisiken IV. Eigener Ansatz D. Identifikation und Bewertung von IT-Eigenschadenrisiken Identifikation von IT-Eigenschadenrisiken I. Beeinträchtigung der IT-Schutzziele Verfügbarkeit

7 10 Inhaltsverzeichnis 2. Integrität Vertraulichkeit Zurechenbarkeit (Authentizität) Verbindlichkeit II. IT-risikobehaftete Schutzbereiche Daten IT-Infrastruktur a) Begriff b) Schwachstellen aa) Hardware und/oder Betriebssystem bb) Unzureichende physische Sicherungsmaßnahmen cc) Unzureichende Datensicherungs- und Auslagerungsverfahren dd) Unzureichende Maßnahmen für den Regel- und Notbetrieb ee) Unzureichende Maßnahmen zur Sicherung der Betriebsbereitschaft IT-Anwendungen a) Softwarefehler b) Fehlerhafte Eingabe-, Verarbeitungs- und Ausgabekontrollen IT-Kommunikation über öffentliche Netzwerke IT-Organisation Mitarbeiter a) Fahrlässigkeit b) Vorsatz IT-Outsourcing E-Commerce a) Begriff b) Ausprägungen des E-Commerce aa) E-Information bb) E-Interaktion cc) E-Business c) Eigenschadenrisiken aus E-Commerce-Aktivitäten Bewertung von IT-Eigenschadenrisiken I. Studien zur IT-Sicherheit KES/KPMG-Sicherheitsstudie Ernst & Young-Studie Global Information Security Survey II. Risikozuordnungskriterien Art des bedrohten IT-Schutzziels Umfang von Abhängigkeiten Bezifferbarkeit des Schadens

8 a) Verletzung der IT-Schutzziele Integrität, Verfügbarkeit, Verbindlichkeit und Zurechenbarkeit b) Verletzung des IT-Schutzziels Vertraulichkeit Bestehen und Eignung von Risikominderungsmaßnahmen Ursache der Bedrohung a) Höhere Gewalt b) Vorsätzliche Handlungen c) Fahrlässigkeit aa) Organisationsfehler bb) Anwendungs-/Bedienungsfehler Ausweichmöglichkeiten auf manuelle Verfahren Möglichkeit der Regressnahme III. Kategorisierung von IT-Eigenschadenrisiken IV. Folgerungen für die Verpflichtung der Unternehmensleitung zur Sicherstellung risikoadäquaten Versicherungsschutzes für IT-Eigenschadenrisiken Versicherungspflicht bei Maßgeblichkeit des Brutto-Risikos Versicherungspflicht bei Maßgeblichkeit des Netto-Risikos Übersicht 1: Versicherungspflicht bei Brutto-Risiko Übersicht 2: Versicherungspflicht bei Netto-Risiko E. Identifikation und Bewertung von IT- Fremdschadenrisiken Haftungsrisiken aus der IT-Nutzung I. Nutzung von IT-Infrastruktur, IT-Anwendungen und Daten Sach- und Personenschäden a) Vertragliche Ansprüche b) Deliktische Ansprüche aa) 823 BGB bb) 831 BGB c) Ansprüche nach Produkthaftungsgesetz d) Auslandsberührung aa) Vertragliche Haftung bb) Deliktische Haftung Verletzung des allgemeinen Persönlichkeitsrechts Eingriff in den eingerichteten und ausgeübten Gewerbebetrieb

9 a) Unterschiedliche Voraussetzungen für die Entstehung von vertraglichen Schutz- und deliktischen Verkehrspflichten b) Inhalt und Umfang vertraglicher Schutzpflichten und deliktischer Verkehrspflichten aa) Bestimmung von Inhalt und Umfang bb) Interessenabwägung cc) Rechtsfolgen im Fall der Verletzung von Schutz-/Verkehrspflichten Vermögensschäden Urheberrecht a) Verletzungshandlungen aa) Nichtbeachtung von Verwendungsbeschränkungen bei Computerprogrammen bb) Vornahme von Vervielfältigungen von Computerprogrammen cc) Vervielfältigung von fremden Inhalten (z.b. Texten, Bildern, Grafiken) b) Rechtsfolgen bei Verletzungen des Urheberrechts aa) Schadenersatz und Unterlassung bb) Herausgabe der Bereicherung c) Auslandsberührung Gewerbliche Schutzrechte a) Markenrechte aa) Anwendungsbereich des MarkenG bb) Voraussetzungen für die Entstehung des markenrechtlichen Schutzes b) Patentrechte c) Rechtsfolgen bei Verletzungen gewerblicher Schutzrechte aa) Schadenersatz und Unterlassung bb) Herausgabe der Bereicherung d) Auslandsberührung Wettbewerbsrecht a) Verletzung der 3, 4 Nr. 9 UWG n.f b) Rechtsfolgen aa) UWG bb) 823 ff. BGB c) Auslandsberührung Schutz personenbezogener Daten a) Vorbemerkung aa) Grundsatz der Zweckbindung bb) Grundsatz der Datenvertraulichkeit b) Zulässigkeit der Erhebung, Verarbeitung und Nutzung personenbezogener Daten

10 aa) Natürliche Person als Schutzsubjekt bb) Bestimmte oder bestimmbare Person cc) Erlaubnisvorbehalt c) Unterrichtungspflichten d) Verpflichtung zur Datensicherung aa) 9 BDSG bb) Anlage zu 9 S. 1 BDSG e) Rechtsfolgen bei Verstößen gegen datenschutzrechtliche Bestimmungen aa) Anspruch auf Schadenersatz bb) Sonstige Ansprüche f) Auslandsberührung II. Unternehmensinterne Kommunikation Verletzung des Fernmeldegeheimnisses a) Inhalt des Fernmeldegeheimnisses b) Kreis der Verpflichteten aa) Geschäftsmäßiges Erbringen von Telekommunikationsdiensten bb) Drittbezogenheit der Leistungserbringung c) Zulässigkeit der Kontrolle unternehmensinterner Kommunikation aa) Gestattung der Kommunikation zu privaten Zwecken bb) Verbot der Kommunikation zu privaten Zwecken d) Verpflichtung zur Sicherung des Fernmeldegeheimnisses e) Rechtsfolgen der Verletzung des Fernmeldegeheimnisses aa) Vertragliche Ansprüche bb) Außervertragliche Ansprüche Nichtbeachtung der Vertraulichkeit personenbezogener Daten a) Telekommunikationsdatenschutz aa) Regelungsgrundsätze bb) Zulässigkeit der Erhebung und Verwendung personenbezogener Daten cc) Verpflichtung zur Sicherung personenbezogener Daten dd) Rechtsfolgen der Verletzung personenbezogener Daten b) Teledienstedatenschutz aa) Anwendungsbereich bb) Regelungsgrundsätze cc) Erlaubnistatbestände

11 14 Inhaltsverzeichnis dd) Technische und organisatorische Anforderungen ee) Rechtsfolgen bei Verletzung des TDDSG Haftung für rechtswidrige Inhalte privater Kommunikation a) Verletzung einer arbeitsvertraglichen Schutzpflicht aa) Verantwortlichkeit des Arbeitgebers bb) Einschränkungen der Verantwortlichkeit bei Gestattung privater Nutzung cc) Einschränkungen der Verantwortlichkeit bei Verbot privater Nutzung b) Verletzung einer deliktischen Verkehrspflicht III. Unternehmensexterne Kommunikation Haftungsrisiken gegenüber Arbeitnehmern Haftungsrisiken gegenüber außenstehenden Dritten a) Eingriffe in die Datenvertraulichkeit b) Weiterverbreitung von Viren aa) Deliktische Verkehrspflicht zum Virenschutz bb) Vertragliche Schutzpflichten des - Versenders/Besitzer des Datenträgers cc) Einwendungen des Versenders IV. Nutzung des Internets zum Zwecke des Vertriebs (E-Commerce) Wahl der Internetadresse a) Missbräuchliche Domainregistrierungen aa) Missbrauchsvarianten bb) Markenrecht cc) Namensrecht dd) Wettbewerbsrecht b) Kollision mit Marken und geschäftlichen Bezeichnungen aa) Voraussetzungen bb) Rechtsfolgen c) Verletzung von Werktiteln d) Namensgleiche Domains e) Kollision mit ähnlichen, prioritätsälteren Domains f) Gattungsbegriff als Domain aa) Vorliegen einer wettbewerbswidrigen Behinderung bb) Irreführende Gattungsbegriffe cc) Übertriebenes Anlocken durch beschreibende Domain dd) Rechtsfolgen Ausgestaltung der Homepage a) Integration fremder Informationsinhalte

12 aa) Haftungsrisiken gegenüber Rechteinhabern bb) Haftung gegenüber Besuchern der Homepage b) Beachtung von Gestaltungs- und Unterrichtungspflichten aa) Vertriebsbezogene Gestaltungs- und Unterrichtungspflichten bb) Datenschutzrechtliche Gestaltungs- und Unterrichtungspflichten cc) Haftung bei Verstößen gegen Gestaltungsund Unterrichtungspflichten Setzen von Hyperlinks a) Formen des Hyperlinking b) Rechtmäßigkeit der Setzung von Hyperlinks aa) Urheberrecht und Wettbewerbsrecht bb) Markenrecht c) Verantwortlichkeit und Haftung für die Inhalte der verlinkten Seite aa) Haftung auf Schadenersatz bb) Verantwortlichkeit nach den Grundsätzen der Störerhaftung Einrichtung eines Meinungsforums a) Reichweite der Haftungsprivilegierung nach TDG/MDStV b) Modifikation der Schadenersatzhaftung nach 11 TDG/ 9 MDStV aa) Beschränkung der Haftung auf Schadenersatz bb) Entfallen der Haftungsbeschränkung cc) Keine Haftungsprivilegierung bei zu Eigen machen fremder Inhalte Ausgewählte Haftungsrisiken im E-Commerce a) Cookies aa) Begriff bb) Wirkungsweise cc) Rechtmäßigkeit b) Manipulation von Suchmaschinen aa) Meta-Tagging/Keyword-Stuffing bb) Rechtmäßigkeit cc) Rechtsfolgen c) Suchmaschinenmarketing aa) Keyword-Buying bb) Keyword-Advertising d) Unverlangte -Werbung (Spam-Mail) aa) Unzumutbare Belästigung bb) Rechtliche Beurteilung

13 16 Inhaltsverzeichnis 6. Auslandsberührung a) Urheberrecht und Markenrecht b) Wettbewerbsrecht aa) Außerhalb des Territoriums der EU/ des EWR bb) Innerhalb des Territoriums der EU/ des EWR V. Haustechnik VI. Zusammenfassung der Risiken aus der IT-Nutzung Nutzung von IT-Infrastruktur, IT-Anwendungen und Daten Unternehmensinterne/-externe Kommunikation E-Commerce Haftungsrisiken aus Herstellung und Vertrieb von IT-Produkten I. Vorüberlegungen Abgrenzung von IT-Produkt und IT-Dienstleistung Versicherungsrechtliche Überlegungen und Differenzierungen II. Vertragliche Haftung auf Schadenersatz für Pflichtverletzungen gegenüber dem Erwerber Entgeltliche Hardware-/Softwareüberlassung auf Dauer a) Vertragstypologie b) Haftung wegen Lieferverzögerung und Nichtlieferung aa) Verzögerung der Lieferung bb) Unmöglichkeit der Leistung c) Haftung wegen Lieferung mangelhafter Hardware/Software aa) Begriff des Sachmangels bb) Vorliegen eines Rechtsmangels cc) Keine Kenntnis oder grobfahrlässige Unkenntnis dd) Verletzung der Rügepflicht beim beiderseitigen Handelsgeschäft ee) Anspruch auf Ersatz von Mangelschäden ff) Anspruch auf Ersatz von Mangelfolgeschäden gg) Rechte aus einer Beschaffenheits- und Haltbarkeitsgarantie hh) Verjährung d) Verletzung von Nebenpflichten e) Verletzung von Schutzpflichten

14 III. aa) Verletzung von Schutzpflichten nach Vertragsschluss bb) Verletzung vorvertraglicher Pflichten f) Auslandsberührung Unentgeltliche Hardware-/Softwareüberlassung auf Dauer a) Unterscheidung zwischen Freeware und Open-Source -Software b) Rechtsnatur der Überlassung von Freeware und Open-Source-Software c) Haftung für Leistungsstörungen aa) Unmöglichkeit und Verzögerung der Leistung bb) Sach- und Rechtsmängel cc) Mangelfolgeschäden d) Verletzung von Schutzpflichten e) Auslandsberührung Entgeltliche Hardware-/Softwareüberlassung auf Zeit a) Mietvertrag aa) Vertragspflichten des Vermieters bb) Haftung für Nichterfüllung der Gebrauchsüberlassungspflicht cc) Haftung für Sach- und Rechtsmängel dd) Verletzung von Schutzpflichten ee) Verjährung b) Hardware-/Softwareleasing aa) Erscheinungsformen bb) Vertragspflichten des Leasinggebers cc) Haftung für Pflichtverletzungen dd) Verjährung c) Auslandsberührung Unentgeltliche Hardware-/Softwareüberlassung auf Zeit a) Beispiel Shareware b) Rechtsnatur der Überlassung von Shareware c) Haftung für Leistungsstörungen d) Verletzung von Schutzpflichten e) Verjährung f) Auslandsberührung Außervertragliche Haftung auf Schadenersatz gegenüber Erwerbern Haftung nach dem ProdHaftG a) Produktbegriff b) Ersatzfähigkeit von Sachschäden

15 IV. aa) Begriff der Sachbeschädigung bb) Privater Ge- oder Verbrauch cc) Rechtliche Behandlung sog. Weiterfresserschäden dd) Haftungsausschlusstatbestände c) Begriff des Fehlers d) Fehlerkategorien aa) Konstruktionsfehler bb) Fabrikationsfehler cc) Instruktionsfehler e) Produktverantwortliche aa) Gesamthersteller - Teilhersteller bb) EWR-Importeur cc) Händler dd) Gesamtschuldnerische Haftung f) Beweislast g) Umfang der Haftung aa) Höchstgrenze/Selbstbehalt bei Sachschäden bb) Ersatzfähigkeit von immateriellen Schäden cc) Ersatzfähigkeit von Sachfolgeschäden dd) Mitverschulden h) Verjährung und Erlöschen der Ansprüche Produzentenhaftung a) Gesetzliche Grundlagen b) Haftungsvoraussetzungen aa) Verletzung deliktisch geschützter Rechtsgüter bb) Verletzung einer Verkehrspflicht cc) Verschulden dd) Beweislast c) Umfang der Haftung d) Verjährung Verhältnis zwischen vertraglicher und außervertraglicher Haftung a) Begrenzung der außervertraglichen Haftung durch das Nacherfüllungsrecht des Verkäufers? b) Vorrang der kaufrechtlichen Sonderverjährung? aa) Gesetzgebungsmaterialien bb) Eigene Stellungnahme c) Vertragliche Haftungsbeschränkungen Auslandsberührung Haftung aus Herstellung und Vertrieb von IT-Produkten gegenüber Dritten Verletzung gewerblicher Schutzrechte und des Urheberrechts