Festschrift für Jürgen Taeger

Wie eingangs bereits aufgezeigt, liegt eine der größten Schwierigkeiten darin, eine wirksame Einwilligung von der zur Einwilligung berechtigten Person einzuholen. Zum einen muss gewährleistet sein, dass der Einwilligende die Tragweite seiner Entscheidung versteht. Er muss also über die Inhalte und mögliche Implikationen, insbesondere über Veränderungen an bestehenden Features ausreichend umfangreich und verständlich aufgeklärt werden. Inwiefern diese Informationen sinnvoll über das Fahrzeug selbst zur Verfügung gestellt werden können, ist von dessen Beschaffenheit abhängig. Gegen die Einholung der Einwilligung unmittelbar über das Fahrzeug spricht allerdings der bereits eingangs angesprochene Umstand, dass regelmäßig auch Dritte, wie beispielsweise die Kinder der Fahrzeugnutzer, die Bedienelemente verwenden werden. Es muss daher als nicht unwahrscheinlich angesehen werden, dass die Einwilligung nicht durch den berechtigten Fahrzeugnutzer selbst abgegeben wird und damit ggf. nicht wirksam ist. Dieser Problematik kann durch verschiedene Sicherheitsvorkehrungen entgegengewirkt werden, beispielsweise durch eine Passwortsicherung für solche Einwilligungsvorgänge, wobei dieses Passwort dann ausschließlich für solche Konstellationen reserviert sein und nicht etwa ein allgemeines Zugangspasswort zur Steuerungskonsole des Fahrzeugs darstellen sollte. Sinnvoller erscheint es jedoch, die Einwilligung außerhalb des Fahrzeugs einzuholen, z.B. durch eine mit dem Auto verknüpfte Service-App oder entsprechende Online-Portale mit Identifizierung des Berechtigten. Zwar lassen sich die oben beschriebenen Risiken dadurch nicht vollkommen ausschließen, aber dennoch bedeutend minimieren.

Zu beachten ist schließlich, dass den Hersteller bei der Bereitstellung von Software-Updates die üblichen produzentenhaftungsrechtlichen Verkehrssicherungspflichten treffen, mithin die Konstruktions-, Fabrikations- und insbesondere die Instruktionspflichten.70 Natürlich unterliegt auch die aktualisierte Software der Produktbeobachtungspflicht.

In eine ähnliche Richtung zielt schließlich die Frage, wie es sich auswirkt, wenn Automobilhersteller Software-Updates (anbieten und) durchführen, die unreife Technologien umfassen. Unreif können die Updates dabei jedenfalls in zweierlei Hinsicht sein. Zum einen kann die Software instabil sein; gemeint ist, dass die reibungslose Funktionsfähigkeit eines an sich sicheren Features noch nicht gewährleistet werden kann. Dies ist insbesondere bei sog. ‚Beta-Versionen‘ der Fall. Zum anderen können Funktionen freigeschaltet werden, die aus technischer Perspektive funktionstüchtig sind, den Voraussetzungen für die straßenverkehrsrechtliche Zulassung und Betriebserlaubnis (vgl. § 16 Abs. 1 StVZO und insb. § 19 Abs. 2 Satz 2 Nr. 2 StVZO) hingegen nicht entsprechen. Selbstverständlich können auch beide Aspekte zusammenfallen.

Eindeutig erscheint, dass die im Rahmen der Produktbeobachtungspflicht zur Gefahrenabwehr aufgespielte Software keine neue Gefahr begründen darf. Dennoch sind Fälle denkbar, in denen Hersteller ihrer Update-Pflicht durch die Bereitstellung (und Installation) von Beta-Versionen der betreffenden Patches bzw. Bug Fixes gerecht werden können. Dies ist beispielsweise dann anzunehmen, wenn die Lösung für die aufgedeckte Schwachstelle noch nicht abschließend geprüft werden konnte, sie sich aber bereits als vielversprechend erwiesen hat. Voraussetzung ist weiterhin, dass die Beta-Version keine zusätzlichen Gefahren begründet, sondern sich im Falle des Versagens nur die ursprünglich gegebene spezifische Gefahr materialisiert. Die Hersteller müssen weiterhin mit Hochdruck an der Bereitstellung endgültiger Lösungen arbeiten und in der Zwischenzeit zusätzliche Maßnahmen ergreifen, um die Gefahr effektiv abzuwehren. Erforderlich wird daher regelmäßig die zusätzliche Warnung der betroffenen Fahrzeugnutzer sein sowie die Aufklärung dieser darüber, dass es sich bei dem durchzuführenden Update noch nicht um die abschließende Lösung handelt und die Verwirklichung der Gefahr deshalb nicht in ausreichendem Maße ausgeschlossen werden kann. Auf die Durchführung von Beta-Updates zu verzichten, würde hingegen dem Schutzzweck der Produzentenhaftung entgegenstehen, wenn die Abwendung der Gefahr durch das Update mit ausreichend hoher Wahrscheinlichkeit erreicht werden kann.

Technisch unbedenkliche, aber straßenverkehrszulassungsrechtlich bedenkliche Update-Lösungen können hingegen der Pflicht zur Durchführung von Updates nicht genügen. Sie würden die rechtlich zulässige Nutzbarkeit des Fahrzeugs unter Umständen entfallen lassen und damit eine erhebliche Beeinträchtigung des Eigentums bzw. des berechtigten Besitzes des Fahrzeugnutzers begründen. Die Pflicht zur Duldung von Updates kann sich daher darauf nicht erstrecken.

Problematisch erscheint ferner auch, inwiefern solche aus rechtlicher Perspektive unreifen Features mit Einwilligung des Nutzers installiert werden dürfen. Zwingend notwendig muss jedenfalls die umfangreiche Aufklärung des Einwilligenden über die Charakteristika des Updates und die (möglichen) rechtlichen Implikationen sein.

Hersteller vernetzter Fahrzeuge sind im Rahmen der Produzentenhaftung gem. §§ 823ff. BGB zur Beobachtung des Fahrzeugs als Gesamtsache verpflichtet, sodass sich die Produktbeobachtungspflicht auch auf die aufgespielte Embedded Software erstreckt. Werden dabei Fehler in der Software bzw. Sicherheitslücken entdeckt, müssen diese derart geschlossen werden, dass die sich daraus ergebende Gefahr für die Fahrzeugnutzer und Dritte effektiv abgewendet wird. Neben der Möglichkeit, Warnungen auszusprechen und die betroffenen Fahrzeuge im Rahmen eines Produktrückrufs vom Markt zu nehmen, besteht aufgrund der Verbindung der Fahrzeuge mit dem Internet die Möglichkeit, die entdeckten Schwachstellen im Wege eines Software-Updates ohne Besuch einer Werkstatt zu beheben. Im Vergleich zu den vorgenannten Maßnahmen stellen solche OTA-Updates häufig die effektivere Maßnahme dar. Im Ergebnis besteht damit grundsätzlich eine produzentenhaftungsrechtliche Pflicht zur Gefahrenabwendung durch OTA-Updates. Begrenzt wird die Gefahrenabwendungspflicht durch die technische Machbarkeit und die wirtschaftliche Zumutbarkeit. Fehlfunktionen von Connected Cars können allerdings ohne Weiteres zu erheblichen Gefahren für die Gesundheit und das Leben der Insassen und unbeteiligter Dritter führen, sodass nicht nur die Produktbeobachtung besonders intensiv ausgestaltet sein muss, sondern auch die Zumutbarkeitsschwelle nur in vereinzelten Ausnahmefällen als überschritten anzusehen sein wird.

Mit der Update-Pflicht der Hersteller korrespondiert zudem eine Update-Duldungspflicht der Fahrzeugnutzer nach dem Rechtsgedanken des § 1004 Abs. 2 BGB, welche das ansonsten bestehende Erfordernis der Einwilligung in die Durchführung von Updates entfallen lässt. Im Ergebnis können und müssen Hersteller also die für die Gefahrenabwendung zwingend erforderlichen Updates Over the Air auf die betroffenen Fahrzeuge aufspielen.

Beta-Versionen der Gefahrenabwendung dienender Updates können dann der Update-Pflicht genügen, wenn es sich um eine Zwischenlösung handelt, sie keine weiteren Gefahren begründen und von zusätzlichen Gefahrenabwendungsmaßnahmen flankiert werden.

Hersteller können die ihnen obliegende Update-Pflicht schließlich nicht dazu verwenden, zusätzliche Veränderungen an der Software ohne die Einwilligung des Nutzers vorzunehmen: Die Duldungspflicht erstreckt sich nur auf die zwingend gebotenen Änderungen. Das Einholen einer wirksamen Einwilligung ist mit einer Vielzahl von Problemen behaftet, insbesondere wenn es sich um Updates handelt, welche straßenverkehrszulassungsrechtliche Folgefragen aufwerfen. Hersteller sollten die Einwilligungseinholung unter Beachtung dieser Fragen ausgestalten, um haftungsrechtlichen Risiken vorzubeugen.