Die Gesetzgeber sind produktiv. Mehr als 1.000 Seiten Gesetze erscheinen jedes Jahr im Bundesgesetzblatt. Die Europäische Kommission hat im vergangenen Jahr rund 1.900 Rechtsakte erlassen. „Diese Regelungsdichte ist in der Tat eine Belastung für Unternehmen“, sagt Dr. Christian Schefold, Partner im Berliner Büro und Co-Head der deutschen Praxisgruppe Compliance und Untersuchungen der internationalen Wirtschaftskanzlei Dentons. „Neben der europäischen und der deutschen Gesetzgebung müssen sie mehr und mehr auch das sogenannte Soft Law beachten.“ Gemeint sind nicht unmittelbar rechtsverbindliche Übereinkünfte, Absichtserklärungen und Leitlinien, die Behörden, aber auch Nichtregierungsorganisationen einbringen. 

Stichtag für viele neue Gesetze und Regelungen ist oft der Jahreswechsel. Die Vorbereitungen, um sie zu erfüllen, sollten Unternehmen in der Regel aber schon viel früher treffen – vorausgesetzt, sie wissen um die bevorstehenden Änderungen. „Hier zahlt sich die Mitgliedschaft in einem Branchenverband aus“, sagt Schefold. Weitere Informationsquellen seien Anwälte und Steuerberater sowie natürlich Wirtschafts- und Fachmedien. Was also wird 2023 wichtig? Diese gesetzlichen Änderungen – darunter auch solche ohne Schlagzeilenpotenzial – sollten Unternehmen auf dem Schirm haben: 

Lieferkettensorgfaltspflichtengesetz (LkSG)

Das LkSG ist wahrlich nicht unbekannt – zumindest nicht, dass es ab Januar 2023 für Unternehmen mit Hauptsitz in Deutschland und mehr als 3.000 Mitarbeitern gilt und ihnen Sorgfaltspflichten auferlegt, die sie innerhalb ihrer Lieferketten zu beachten haben. „Entscheidend ist aber, dass es eigentlich alle Unternehmen betrifft, die Teil einer Lieferkette sind. Die Anforderungen werden nach unten weitergegeben“, sagt Compliance-Experte Schefold. Hinzu komme, dass zwar der Inhalt des Gesetzes hinreichend bekannt sei, doch über die genaue Umsetzung noch große Unsicherheit herrsche. „Das Bundesamt für Wirtschaft und Ausfuhrkontrolle, BAFA, das über die Einhaltung des LkSG wachen soll, hat dazu Handreichungen herausgegeben, etwa zur Umsetzung einer Risikoanalyse und zur Einrichtung eines Beschwerdesystems, sagt Schefold. „Sie gehen eigentlich über das hinaus, was im Gesetz gefordert ist.“ Hier sollten Unternehmen genau hinsehen. Besonders warnt der Experte vor leichtfertigen Grundsatzerklärungen. „Wer etwa schreibt, er verpflichte sich zur Einhaltung der UN-Nachhaltigkeitsprinzipien, schafft einen Haftungstatbestand. Das ist eine Verpflichtungserklärung, deren Einhaltung einklagbar wäre.“ 

Veränderung der Produkthaftung in Europa

Erst Ende September 2022 hat die Europäische Kommission einen Entwurf für eine neue Produkt­haftungsrichtlinie vorgestellt. „Unternehmen sollten sich frühzeitig damit beschäftigen, denn der Entwurf – wird er Gesetz – hat es in sich“, sagt Dr. Rebekka Hye-Knudsen, Partnerin und Co-Head Corporate/M&A Deutschland bei Dentons. Mit der Neufassung wird eine bestehende Richtlinie aus dem Jahr 1985 erstmals grundlegend aktualisiert. „Es wird sich viel am Haftungsumfang von Unternehmen ändern, die Produkte in Verkehr bringen, wenn der Entwurf der Kommission nach weiterer Behandlung in Rat und Parlament in aktueller Gestalt in Kraft tritt“, so die Expertin. „Die verschuldensunabhängige Haftung wird sich massiv verschärfen.“ Zum einen, weil der Produktbegriff neu definiert wird. Erfasst sind nicht mehr nur bewegliche und elektrische Dinge, sondern ausdrücklich auch digitale Produktionsdateien und Software. Ein Produkt gilt wie bisher als fehlerhaft, wenn es nicht der „berechtigten Sicherheitserwartung eines durchschnittlichen Verbrauchers“ entspricht. Aber sind in diesem Zusammenhang auch Anforderungen an die Cybersicherheit zu berücksichtigen. Die Details sind noch unklar. Darüber hinaus endet die Haftung nicht mehr beim reinen Inverkehrbringen. Sie kann künftig weiterbestehen, wenn ­Hersteller ihre Produkte über die gesamte Lebensdauer weiter kon­trollieren können, etwa durch Softwareupdates. 

Gesetz zur Modernisierung des Personengesellschaftsrechts (MoPeG)

Dieses Gesetz ist bereits im August 2021 verabschiedet worden und tritt zum 1. Januar 2024 in Kraft. Genau deshalb wird es aber schon 2023 für viele Unternehmen wichtig. „Es ist eine große Reform, weil nun die Grundsätze kodifiziert werden, die die Rechtsprechung in den letzten Jahrzehnten entwickelt hat“, sagt Rebekka Hye-Knudsen. „Das gibt Personengesellschaften nun eine größere Rechtssicherheit.“ Für einige bringt es allerdings auch neue Pflichten mit sich. Gesellschaften bürgerlichen Rechts (GbR), für die es bislang kein Register gab, können und müssen ab 2024 unter bestimmten Umständen registriert werden. „Wenn eine GbR etwa Grundstücke erwerben möchte, wird vorausgesetzt, dass sie im neuen Register eingetragen ist“, so die Expertin. Auch künftige Änderungen des Grundbuchs, die Rechte einer bestehenden Grundstücks-GbR betreffen, setzen eine Eintragung in das Gesellschaftsregister und eine Eintragung der Grundstücks-GbR im Grundbuch voraus. Ebenfalls neu eingeführt wird das freie Sitzwahlrecht für GbR und andere Personengesellschaften. Bisher galt: Wenn sie Verwaltungsentscheidungen im Ausland getroffen haben, hatte dies die Auflösung und Liquidation der Gesellschaft zur Folge. Das wird ab 2024 geändert. „Dann können eingetragene GbR auch einen vom deutschen Vertragssitz abweichenden ausländischen Verwaltungssitz haben“, sagt Hye-Knudsen.  Durch die Möglichkeit eines internationalen Verwaltungssitzes wird deutschen Gesellschaften der Weg geebnet, vermehrt in anderen Ländern der EU tätig zu sein.  

EU-Standard-Vertragsklauseln

Am 27. Dezember 2022 endet eine Übergangsfrist. Danach muss in Verträgen zwingend die neue Generation der EU-Standard-Vertragsklauseln umgesetzt werden. Was klingt, als wäre es nur für Juristen interessant, kann tatsächlich handfeste Auswirkungen auf unternehmerische Entscheidungen haben. „Die Standard-Vertragsklauseln sind im Wesentlichen das Instrument, um einen Datentransfer ins außereuropäische Ausland zu ermöglichen“, erklärt Christian Schefold. Für deutsche Unternehmen ist vor allem der Datentransfer in die USA relevant, etwa wenn sie Produkte und Services von Microsoft, Apple und Co. nutzen. In einem Verfahren des österreichischen Datenschutzaktivisten Max Schrems gegen Facebook hatte der Europäische Gerichtshof im Juli 2020 geurteilt, dass die Datenschutzbestimmungen zwischen der EU und den USA nicht ausreichten. Mit neuen Standard-Vertragsklauseln für die Übermittlung personenbezogener Daten ins Ausland trägt die EU-Kommission diesem Urteil nun besser Rechnung. Unternehmen sollten also ihre Datentransfers in die USA und andere Drittländer überprüfen und falls nötig bestehende Verträge anpassen, etwa für die Nutzung von Cloud-Produkten und -Services. „Die neuen Klauseln sind flexibler gestaltet als die alte Version“, ordnet Schefold ein. „Allerdings zweifeln die Datenschutzbehörden – nicht nur in Deutschland – bereits an, ob sie für einen Datentransfer in die USA ausreichen. Das muss man auf jeden Fall weiter beobachten.“

EU-Datenstrategie 

Mit der EU-Datenstrategie versucht sich die Europäische Kommission an einem Spagat. Auf der einen Seite will sie die Daten von Verbrauchern schützen, auf der ­anderen Seite aber auch das Innovationspotenzial fördern, das die Nutzung von Daten bietet. Ein Teil der Datenstrategie ist der EU Data Act. „Er sorgt dafür, dass Europa eine gesetzliche Infrastruktur bekommt, mit der Daten gerecht Nutzen bringen. Dass etwa kleine Unternehmen auf Plattformen nicht benachteiligt werden. Oder dass Datengeber, oft Verbraucher, nicht ausgenutzt werden, sondern ihren Anteil bekommen an den Daten und den damit verbundenen wirtschaftlichen Möglichkeiten“, sagt Schefold. Er erwartet dadurch großen Einfluss auf die Digitalisierungsstrategie von Unternehmen. Ebenso wie durch den im September 2022 vorgestellten EU Cyber Resilience Act, mit dem ein Rechtsrahmen für die IT-Sicherheit im europäischen Binnenmarkt etabliert werden soll. „Wir rechnen damit, dass die Anforderungen deutlich steigen“, sagt Schefold. So ist etwa vorgesehen, dass Produkte grundlegende Anforderungen an die Cybersicherheit erfüllen müssen – und Hersteller über den gesamten Lebenszyklus mögliche Schwachstellen durch Updates beheben. Zudem kommen im Fall einer Cyberattacke umfangreichere Dokumentations- und Meldepflichten auf Unternehmen zu. „Im Grunde entsteht ein ganz neues Rechtsgebiet, das auch noch sehr technisch ist“, sagt Schefold. „Darum muss es gerade für den Mittelstand Hilfestellung von Behörden wie dem Bundesamt für Sicherheit in der Informationstechnik (BSI) geben.“ 

Quelle: Magazin "Creditreform"
Text: Christian Raschke