Stellen Sie sich einen Agrarbetrieb vor, der seit mehreren Jahren eine digitale Plattform zur Feldbewirtschaftung nutzt. Darin sind Ertragsverlauf, Bodenzustandsdaten, Treibstoffverbrauch, Maschinenrouten und ausgeführte Arbeiten gesammelt. Entscheidet sich das Unternehmen für den Wechsel zu einem anderen Programm, stellt sich heraus: Nur fertige Berichte lassen sich mitnehmen, die gesamte gesammelte Information kann weder aus technischen Gründen noch aufgrund der Nutzungsbedingungen der Plattform übertragen werden.
Dies ist ein hypothetisches Beispiel, doch es verdeutlicht die rechtliche Seite der Digitalisierung. Ein Unternehmen bezahlt nicht nur für eine bequeme Oberfläche. Es überträgt einem externen System schrittweise einen Teil seines Produktionswissens und macht die tägliche Arbeit von dessen Verfügbarkeit abhängig. Genau deshalb sollten Fragen zu Daten, Haftung und der Möglichkeit eines Plattformwechsels vor Beginn der Nutzung gestellt werden, nicht erst nach einem Konflikt.
In diesem Beitrag bezeichnet der Begriff digitale Plattform ein Programm oder einen Internetdienst, mit dessen Hilfe ein Agrarbetrieb Produktionsdaten sammelt, speichert und analysiert oder einzelne Prozesse steuert. Als Anbieter der digitalen Lösung gilt ein Unternehmen, das vertraglich das Recht und die technische Möglichkeit zur Nutzung der Plattform gewährt und je nach vereinbarten Bedingungen diese auch konfiguriert, den Datenaustausch mit anderen Systemen sicherstellt, Informationen speichert und technischen Support leistet. Der Agrarbetrieb, der eine solche Lösung beauftragt, wird im Folgenden als Auftraggeber bezeichnet. Der entsprechende Vertrag wird als Vertrag über Einführung und Nutzung einer digitalen Plattform bezeichnet. Er kann gleichzeitig das Nutzungsrecht am Programm, Konfigurationsleistungen, Datenspeicherung und technischen Support umfassen; der konkrete Inhalt richtet sich nach den von den Parteien vereinbarten Bedingungen.
Digitale Technologien können Landwirten helfen, Arbeiten präziser zu planen, Ressourcen effizienter zu nutzen und die Herkunft von Produkten nachzuverfolgen. Auf diese Möglichkeiten weist auch die Europäische Kommission hin. Der erwartete Nutzen hängt jedoch nicht nur von der Qualität des Programms oder der Ausrüstung ab. Ebenso wichtig ist zu verstehen, welche Rechte das Unternehmen erhält, welche Pflichten der Anbieter übernimmt und wie die Kontrolle über die Informationen erhalten bleibt, falls die Zusammenarbeit endet.
Im Folgenden werden vier miteinander verbundene Risikoebenen betrachtet: Kontrolle über Daten, Inhalt des Vertrags über die digitale Plattform, Beweiskraft und Belastbarkeit der Abläufe sowie EU-Regeln für den Marktzugang. Diese Reihenfolge ist wichtig: Zunächst legt das Unternehmen fest, was und auf welcher Grundlage es verarbeitet, dann verankert es dies im Vertrag und in technischen Verfahren, und erst danach bewertet es besondere regulatorische Anforderungen.
Betriebsdaten: warum «sie gehören uns» nicht genügt
Hinter dem allgemeinen Wort «Daten» können sich ganz unterschiedliche Angaben verbergen. Einen Teil tragen Mitarbeitende selbst ein: welche Kulturen ausgesät wurden, wann eine Behandlung erfolgte, wie viel Material verbraucht wurde. Einen anderen Teil erfasst automatisch die Technik. Sie zeichnet Standort, Geschwindigkeit, Treibstoffverbrauch, Betriebszeit und technischen Zustand auf. Eine solche ferngesteuerte Erfassung und Übertragung von Messwerten nennt man Telematik.
Auf Basis dieser Angaben erzeugt das Programm neue Ergebnisse: eine Ertragsprognose, eine Karte der Flächen mit zusätzlichem Bewässerungsbedarf oder eine Empfehlung zur Düngung. Dies sind bereits keine ursprünglichen Aufzeichnungen des Unternehmens mehr, sondern Ergebnisse ihrer Verarbeitung. Der Anbieter kann außerdem Informationen verschiedener Kunden für statistische, vergleichende oder andere Zwecke im eigenen Programm zusammenführen. Separat speichert das System Betriebsangaben darüber, wer wann was geändert hat.
Deshalb beantwortet die Vertragsformulierung «alle Daten gehören dem Auftraggeber» nicht die wesentlichen praktischen Fragen. Erhält das Unternehmen nur die von ihm selbst eingegebenen Aufzeichnungen oder auch Sensordaten? Kann es weiterhin die erstellten Karten nutzen? Darf der Anbieter seine Algorithmen mit den Daten des Betriebs trainieren? Bleiben ihm Kopien nach Beendigung der Zusammenarbeit? Im rechtlichen Sinne können solche Angaben gleichzeitig unter das Regime personenbezogener Daten, des Geschäftsgeheimnisses, des Urheberrechts oder vertraglicher Zugangsregeln fallen. Statt eines einzelnen Wortes «gehört» sollte daher direkt festgelegt werden, wer für jede Kategorie Zugang erhalten, nutzen, kopieren, exportieren und löschen darf.
Läuft das Programm als Cloud-Dienst, nutzt das Unternehmen es über das Internet, während die Daten auf entfernten Servern verarbeitet werden. Daher ist es wichtig zu klären, nicht nur wie die Plattform heißt, sondern wer die Informationen tatsächlich speichert, in welchen Ländern die entsprechenden Kapazitäten liegen und welche Drittunternehmen Zugang erhalten. Diese Umstände sind in Vereinbarungen zu Vertraulichkeit, Datenschutz und Datenrückgabe zu berücksichtigen.
Rechtlicher Schutz und seine Mittel sind zu unterscheiden. Angaben zu Selbstkosten, technologischen Lösungen oder Vertragsbedingungen können ein Geschäftsgeheimnis darstellen, wenn sie den gesetzlichen Kriterien entsprechen. Insbesondere muss die Information gerade aufgrund ihrer Geheimhaltung einen kommerziellen Wert haben, und die Person, die sie rechtmäßig kontrolliert, muss angemessene Maßnahmen zu deren Geheimhaltung treffen. Ein bloßer Vermerk «vertraulich» reicht für einen vollwertigen Schutz nicht aus.
Für ein Unternehmen bedeutet dies, festzulegen, wer Produktions- und Finanzkennzahlen sieht, wer sie kopieren darf und unter welchen Bedingungen sie an Auftragnehmer weitergegeben werden. Verschwiegenheitspflichten sollten mit einer tatsächlichen Zugangsbeschränkung einhergehen. Ein für alle Mitarbeitenden offenes gemeinsames Konto passt schlecht zur Behauptung, das Unternehmen schütze seine Informationen sorgfältig.
Ein gesondertes Regime gilt für personenbezogene Daten. Beispielsweise kann eine mit einem bestimmten Mitarbeiter verknüpfte Traktorroute nicht nur Informationen über die Technik, sondern auch über die Person enthalten. Eine Rechtsgrundlage der Verarbeitung ist der gesetzlich vorgesehene Grund, der die Arbeit mit solchen Angaben erlaubt; dies kann je nach Umständen insbesondere die Vertragserfüllung, eine gesetzliche Pflicht, ein berechtigtes Interesse oder eine Einwilligung sein. Zudem ist festzulegen, wer Zweck und Art der Verarbeitung bestimmt und wer in dessen Auftrag handelt, sowie die Pflichten des Anbieters zu Vertraulichkeit, Schutz und Meldung von Vorfällen zu verankern. Die Übertragung von Aufzeichnungen an eine externe Plattform hebt die Verantwortung des Unternehmens nicht automatisch auf.
Der Vertrag über die digitale Plattform: was der Agrarbetrieb tatsächlich erhält
Vor Abschluss eines Vertrags über die Einführung und Nutzung einer digitalen Plattform kann der Anbieter automatisierte Buchführung, Kontrolle des Maschineneinsatzes, Ertragsanalyse und Datenaustausch mit anderen Systemen vorführen. Im Vertrag selbst ist mitunter jedoch nur der Zugang zum Programm vorgesehen, ohne konkrete Liste der Funktionen, Leistungsanforderungen oder Pflichten zum technischen Support. In diesem Fall werden die vorgeführten Möglichkeiten unter Umständen nie zu vertraglichen Pflichten des Anbieters. Der Vertrag sollte daher nicht nur den Zugang zur Plattform, sondern konkrete Funktionen und das Ergebnis festlegen, das der Agrarbetrieb erhalten soll.
Die Prüfung der Vertragsbedingungen sollte bei dessen Gegenstand beginnen, das heißt bei der genauen Beschreibung dessen, was der Anbieter bereitstellen und sicherstellen muss. Wird die Erfassung des Maschineneinsatzes beauftragt, ist zu klären, mit welchen Maschinen das System kompatibel ist, welche Kennzahlen es erhält, wie oft es sie aktualisiert und was ohne Internetverbindung geschieht. Ist ein Datenaustausch mit Lager- oder Buchhaltungssystemen erforderlich, sollte dieser vor der Abnahme geprüft werden. Das bloße Erscheinen eines neuen persönlichen Kontos bestätigt noch nicht, dass die Produktionsaufgabe erfüllt wurde.
Nicht weniger wichtig ist eine Vereinbarung zu Qualität und Kontinuität des Dienstes. Hier zählen konkrete Fristen: wann der Support auf eine Anfrage reagiert, wann er mit der Fehlerbehebung beginnt und wann eine kritische Funktion wiederhergestellt sein muss. Kritisch ist in diesem Zusammenhang eine Funktion, ohne die ein wichtiger Produktions- oder Buchhaltungsvorgang zum Stillstand kommt, etwa der Warenversand oder die Bewässerungssteuerung. Antwort auf eine Anfrage, Beginn der Reparatur und Wiederherstellung des Betriebs sind unterschiedliche Pflichten. Die Mitteilung «Anfrage angenommen» gibt dem Unternehmen für sich genommen nicht die Arbeitsfähigkeit zurück.
Gesondert sollte die Regelung für planmäßige Unterbrechungen, Datensicherung und Wiederherstellung von Informationen festgelegt werden. Eine Sicherungskopie ist eine vom Arbeitssystem getrennte Datenkopie, aus der sich Daten nach Verlust oder Beschädigung wiederherstellen lassen. Für eine saisonale Produktion ist wichtig, ob der Anbieter technische Arbeiten in Zeiten der Höchstbelastung durchführen kann und wie viel Zeit vorher der Kunde informiert werden muss. Zweckmäßig ist zudem festzulegen, wie die Dauer eines Ausfalls erfasst wird und welche Folgen eine Verletzung vereinbarter Kennzahlen hat.
Haftungsbedingungen sind mit den möglichen Folgen eines Systemausfalls zu vergleichen. Begrenzt der Vertrag die Entschädigung auf den Betrag der monatlichen Zugangsgebühr, während das Programm in einem kritischen Produktionsprozess eingesetzt wird, kann ein erheblicher Teil des Risikos beim Unternehmen verbleiben. Das bedeutet nicht, dass jede Haftungsbegrenzung automatisch rechtswidrig ist. Zu bewerten sind ihr Inhalt, das für den Vertrag maßgebliche Recht, der Umfang der Pflichten und die tatsächliche Möglichkeit, Verstoß und Schaden nachzuweisen.
Wird der Vertrag über Einführung und Nutzung einer digitalen Plattform mit einem ausländischen Anbieter geschlossen, ist zudem zu klären, welches Recht anwendbar ist und wo ein Streit verhandelt würde. Die Haftungsfrage darf nicht allein anhand der Höhe der genannten Entschädigung beurteilt werden, ohne die Art ihrer Durchsetzung zu berücksichtigen.
Ein Anbieterwechsel sollte nicht den Verlust der Feldhistorie bedeuten
Kehren wir zur Ausgangssituation dieses Beitrags zurück. Ein Unternehmen kann formal auf ein Abonnement verzichten, also den periodisch bezahlten Zugang zur Plattform beenden, ist aber faktisch nicht in der Lage, die Arbeit ohne sie fortzusetzen. Der Grund muss nicht zwingend ein unmittelbares Wechselverbot sein. Es genügt, dass Daten in einem geschlossenen Dateiformat oder einer Struktur gespeichert werden, die nur die bisherige Plattform vollständig lesen kann, dass der Export unvollständig ist oder dass das neue Programm die erhaltenen Materialien nicht nutzen kann.
Ein für die Ansicht bequemer Bericht und ein für die Übertragung geeigneter Datensatz erfüllen unterschiedliche Funktionen. Im Bericht lässt sich der Gesamtertrag erkennen. Für eine neue Analyse können jedoch einzelne Messungen, ihre Zuordnung zu Flächen, Daten und die Historie vorgenommener Änderungen nötig sein. Deshalb ist im Vertrag über die digitale Plattform wichtig, nicht einfach ein «Recht auf Erhalt einer Kopie» vorzusehen, sondern den Umfang der Information und ein dokumentiertes Format, das ein anderes Programm automatisch lesen und nutzen kann.
Eine praktische Methode zur Prüfung dieser Bedingung ist eine testweise Übertragung eines Teils der Daten noch vor der vollständigen Einführung. Zu vereinbaren ist zudem der regelmäßige Erhalt von Sicherungskopien, die Frist und Kosten der Unterstützung beim Wechsel sowie der Zeitraum des Zugangs zum vorherigen System. Gesondert festzulegen ist, welche Kopien der Anbieter nach Beendigung der Zusammenarbeit löscht und welche er auf rechtmäßiger Grundlage zeitweise aufbewahren muss.
Ähnliche Aufmerksamkeit erfordern speziell für das Unternehmen erstellte Programme, Karten und Module. Zu unterscheiden sind eine neue Entwicklung, ein Standardprodukt, das der Anbieter in ähnlicher Form vielen Kunden bereitstellt, sowie fremde Bibliothekskomponenten, Karten oder Module anderer Rechteinhaber, für die der Anbieter selbst nur eine Nutzungserlaubnis besitzt. Vermögensrechtliche Urheberrechte bestimmen, wer das geschaffene Produkt vervielfältigen, ändern und verbreiten darf; eine gewöhnliche Erlaubnis zur Programmnutzung verleiht solche Befugnisse nicht automatisch. Ein Abonnement einer fertigen Plattform und die Beauftragung eines eigenständigen Programms dürfen nicht gleich bewertet werden.
Zugleich begründet das Urheberrecht kein Monopol auf die Idee, Methode oder das Berechnungsprinzip selbst. Es schützt die konkrete Ausdrucksform, etwa Programmcode, Text, Grafik oder die Struktur einer erstellten Karte, sofern die gesetzlichen Voraussetzungen erfüllt sind. Die Kontrolle über ein digitales Produkt wird daher nicht nur durch Rechte am Programmcode gesichert, sondern auch durch Zugang zu den benötigten Materialien und Dokumentationen sowie die Möglichkeit, rechtmäßig einen anderen Auftragnehmer für weitere Arbeiten heranzuziehen.
Eine Karte auf dem Bildschirm ersetzt keine Prüfung der Landrechte
Eine digitale Karte ist für die Aussaatplanung bequem, zeigt jedoch nur die Angaben, die in sie eingespeist wurden. Die tatsächliche Bewirtschaftungsgrenze, die katastermäßigen Grenzen einer Fläche und ihre im Pachtvertrag oder einem anderen die Nutzungsrechte belegenden Dokument angegebene Größe können voneinander abweichen. Das Programm kann helfen, eine solche Abweichung zu erkennen, begründet für sich genommen aber weder deren Rechtsgrundlage noch korrigiert es die Dokumente.
Für die Zusammenarbeit mit dem Staat ist das Staatliche Agrarregister von gesonderter Bedeutung. Es handelt sich um ein Informationssystem zur Erfassung von Angaben über landwirtschaftliche Erzeuger und zur elektronischen Interaktion, unter anderem im Hinblick auf den Erhalt von Förderung. Seine Rechtsgrundlage bilden das Gesetz Nr. 3980-IX und die durch die Verordnung Nr. 549 vom 13. Mai 2025 genehmigte Regierungsordnung. Ein Eintrag im Agrarregister sollte nicht als Ersatz für die Prüfung der Landdokumente verstanden werden.
Mehrere Quellen sind abzugleichen. Das Staatliche Bodenkataster enthält Angaben zu Grundstücken. Registrierte Eigentums-, Pacht- und andere dingliche Rechte werden dagegen anhand der Dokumente und Angaben des Staatlichen Registers der Sachenrechte an unbeweglichem Vermögen geprüft. Die nationale Geodateninfrastruktur ermöglicht den Zugang zu und den Austausch von ortsbezogenen Datensätzen, ersetzt jedoch nicht die Prüfung des Katasters und des Rechteregisters.
Vor der Übertragung der Landbank in ein neues Programm sollten beispielsweise Katasternummern, Flächen, Vertragslaufzeiten und deren Änderungen abgeglichen werden. Landbank bedeutet in diesem Zusammenhang die Gesamtheit der Flächen, mit denen das Unternehmen arbeitet. Ohne Abgleich kann ein neues System einen alten Fehler lediglich schneller reproduzieren. Die Feststellung einer Abweichung erfordert wiederum die Ermittlung ihrer Ursache, nicht die mechanische Korrektur einer Zahl im persönlichen Konto.
Künstliche Intelligenz gibt Empfehlungen. Wer haftet für das Ergebnis?
Ein Programm kann vorschlagen, den Bewässerungsmodus zu ändern, eine Fläche mit Anzeichen einer Pflanzenkrankheit zu bestimmen oder den Ertrag zu prognostizieren. Solche Empfehlungen sind als zusätzliches Instrument der Entscheidungsfindung nützlich. Zugleich muss klar sein, welche Daten das Programm analysiert, für welche Bedingungen es geschaffen wurde und was der Anbieter dem Nutzer genau verspricht: eine ungefähre Prognose, eine Risikoerkennung oder die Ausführung eines konkreten Vorgangs.
Angenommen, ein System empfahl, die Düngermenge zu erhöhen, woraufhin der Betrieb Verluste erlitt. Allein diese Abfolge der Ereignisse reicht nicht aus, um die verantwortliche Person zu bestimmen. Ursache könnten fehlerhafte Sensordaten, ein Konfigurationsfehler, ein Mangel des Programms, die Anwendung der Empfehlung außerhalb der vorgesehenen Bedingungen oder ein anderer Umstand gewesen sein. Es muss festgestellt werden, welche Pflichten jede Partei hatte, was genau verletzt wurde und wie dies mit dem Schaden zusammenhängt.
Deshalb ersetzt die Aussage «so hat der Algorithmus geraten» keine Begründung der Produktionsentscheidung. Zugleich sollte man nicht ins andere Extrem verfallen und annehmen, dass für jeden Fehler stets allein der Agrarbetrieb haftet. Ansprüche gegen den Entwickler, den Ausrüstungslieferanten oder eine andere Person hängen von den konkreten Umständen und dem anwendbaren Recht ab.
Vor der Nutzung eines solchen Systems sollte festgelegt werden, welche Empfehlungen ein Agronom oder Ingenieur prüft, wann die automatische Ausführung zu stoppen ist und wer dazu befugt ist. Für einen möglichen Streit ist es ratsam, die Eingangswerte, die Empfehlung, die Programmversion, den Zeitpunkt ihrer Anwendung und Angaben zur endgültigen Entscheidung aufzubewahren. So lässt sich der Ablauf der Ereignisse rekonstruieren, statt nur über das Endergebnis zu diskutieren.
Drohnen: Recht auf den Flug und Recht auf die erhaltenen Materialien
Die Befliegung von Feldern mit einer Drohne wirft zwei unterschiedliche Fragen auf. Die erste betrifft die Rechtmäßigkeit des Flugs. Die zweite besteht darin, welche Materialien und welche Rechte der Auftraggeber aufgrund des Vertrags über Luftbildaufnahme und Auswertung ihrer Ergebnisse erhält. Ausführender in diesen Beziehungen ist die Person oder das Unternehmen, das den Flug organisiert und die vereinbarten Materialien übergibt. Das Vorhandensein eines solchen Vertrags oder eines Nutzungsrechts an der Fläche ersetzt nicht die Einhaltung der Vorschriften zur Nutzung des Luftraums. Vor dem Flug sind geltende Genehmigungen, Zustimmungen, Verbote und Beschränkungen für den konkreten Ort und Zeitpunkt zu prüfen, insbesondere unter Berücksichtigung des Sicherheitsregimes.
Hinsichtlich des Arbeitsergebnisses kann sich die Formulierung «Bericht über den Zustand der Saat übergeben» als zu eng erweisen. Für eine weitere Analyse benötigt das Unternehmen möglicherweise die ursprünglichen Aufnahmen, Koordinaten, das Aufnahmedatum und eine Beschreibung der Verarbeitungsmethode. Auf Basis der Aufnahmen erstellte digitale Karten müssen für die Arbeit geeignet sein, für die sie beauftragt wurden. Zu klären ist auch, ob ein anderer Fachmann die abschließenden Ergebnisse anhand der bereitgestellten Materialien überprüfen kann.
Das technische Leistungsverzeichnis ist Teil des Vertrags oder eine Anlage dazu, in der das erwartete Arbeitsergebnis und die Abnahmekriterien beschrieben werden. Darin sollten die konkret zu übergebenden Materialien, deren Format, Genauigkeit sowie die Frage geregelt werden, ob sie in anderen Programmen genutzt werden dürfen. Gesondert festzulegen ist die Aufbewahrungsfrist der Ausgangsdateien beim Auftragnehmer. Sind Aufnahmen oder daraus erstellte Karten urheberrechtlich geschützt, sollte der Vertrag klären, ob der Auftraggeber sie vervielfältigen, ändern und an einen anderen Fachmann weitergeben darf und ob der Auftragnehmer sie erneut für eigene Zwecke nutzen darf. Ein fertiges Gutachten und die Materialien, anhand derer es überprüft werden kann, sind nicht gleichbedeutend.
Ein elektronisches Dokument muss beweistauglich bleiben
Der Übergang vom Papier zu elektronischen Dokumenten verändert die Art ihrer Erstellung und Aufbewahrung, beseitigt jedoch nicht die Fragen nach Urheberschaft, Befugnis und Verlässlichkeit des Inhalts. Das Gesetz legt ausdrücklich fest, dass die Rechtskraft eines Dokuments nicht allein aufgrund seiner elektronischen Form bestritten werden kann. Eine qualifizierte elektronische Signatur hat dieselbe Rechtskraft wie eine eigenhändige. Das Vorhandensein einer Signatur bedeutet jedoch nicht, dass nichts weiter zu prüfen wäre.
Für ein Abnahmeprotokoll oder ein Dokument zur Warenannahme ist wichtig festzustellen, wer es unterzeichnet hat, ob die Person über die entsprechende Befugnis verfügte und welche konkrete Fassung vereinbart wurde. Ein elektronisches Original ist kein Ausdruck, sondern eine Datei mit den zwingenden Dokumentmerkmalen, die es erlaubt, ihre Integrität und die elektronische Signatur zu prüfen. Zusammen damit ist es zweckmäßig, das Zertifikat des Unterzeichners sowie Angaben zu Zeitpunkt und Ergebnis der Signaturprüfung aufzubewahren. Ein Bildschirmfoto kann den Inhalt wiedergeben, erlaubt jedoch nicht immer die Prüfung aller Eigenschaften des elektronischen Dokuments.
Zugleich sollte nicht jede digitale Information auf ein zwingend qualifiziert signiertes Dokument reduziert werden. Die Anforderungen hängen von der Art des Dokuments, des Vorgangs und der geltenden Regeln ab. Korrespondenz, Sensordaten und Aufzeichnungen von Nutzerhandlungen haben eine andere Natur als ein unterzeichneter Vertrag, können aber ebenfalls für die Feststellung der Umstände eines Streits wichtig sein.
Die Rechtskraft eines elektronischen Dokuments und die Art der Vorlage eines elektronischen Beweismittels vor Gericht sind nicht dasselbe. Die Wirtschaftsprozessordnung unterscheidet schriftliche und elektronische Beweismittel und legt die Form ihrer Vorlage fest. Daher ist es zweckmäßig, das elektronische Original zusammen mit Metadaten, technischen Angaben zu Erstellung, Autor, Zeitpunkt, Änderungen und Übermittlung der Datei sowie mit Prüfmitteln aufzubewahren, statt sich nur auf einen Ausdruck oder ein Bildschirmfoto zu verlassen.
Ein praktisches Risiko entsteht beispielsweise, wenn mehrere Mitarbeitende dasselbe Konto nutzen. Das System erfasst die Handlung, die Feststellung der konkret ausführenden Person ist jedoch schwieriger. Individuelle Zugänge, vereinbarte Befugnisse, die Aufbewahrung der Änderungshistorie und Sicherungskopien sollten daher nicht als Formalität, sondern als Vorbereitung auf eine Situation betrachtet werden, in der das Unternehmen seine Handlungen nachweisen muss.
Cybersicherheit beginnt mit der Frage: Wie arbeitet das Unternehmen nach einem Ausfall weiter?
Ein Angriff oder ein technischer Ausfall kann mehr als nur die Vertraulichkeit von Informationen betreffen. Ist die Lagerbuchhaltung nicht verfügbar, kann das Unternehmen beim Warenversand auf Schwierigkeiten stoßen. Erhält eine unbefugte Person Zugang zur Post, kann sie versuchen, Zahlungsdaten auszutauschen. Ist die Historie des Maschineneinsatzes verloren, wird es schwieriger festzustellen, welche Vorgänge durchgeführt wurden. Dies sind mögliche Risikoszenarien, keine Aussage über unvermeidliche Folgen jedes Vorfalls.
Grundlegende Schutzmaßnahmen haben einen klar definierten praktischen Zweck. Individuelle Zugriffsrechte begrenzen den Kreis der Personen, die wichtige Daten ändern können. Multi-Faktor-Authentifizierung bedeutet, dass für die Anmeldung nicht nur ein Passwort, sondern eine zusätzliche Bestätigung nötig ist, etwa mittels einer speziellen App oder eines Sicherheitsschlüssels. Eine Sicherungskopie ermöglicht die Wiederherstellung von Informationen, jedoch nur, wenn sie nach einem Ausfall tatsächlich genutzt werden kann.
Deshalb ist die Prüfung der Wiederherstellung nicht weniger wichtig als die Erstellung von Kopien. Man muss wissen, wie lange die Rückkehr zum Betrieb dauert, welcher Teil der letzten Aufzeichnungen verloren gehen kann und wie das Unternehmen in dieser Zeit vorgeht. Für kritische Vorgänge ist es sinnvoll, eine vorübergehende Arbeitsweise ohne das Hauptprogramm vorzusehen.
Im Vertrag mit dem Anbieter sollten die Frist zur Meldung eines Vorfalls, die verantwortlichen Personen und das Verfahren zur Sicherung digitaler Spuren festgelegt werden. Unter digitalen Spuren sind hier Anmelde- und Änderungsprotokolle, Systemmeldungen, technische Berichte, Sicherungskopien und andere Aufzeichnungen zu verstehen, anhand derer sich der Ablauf der Ereignisse rekonstruieren lässt. Ebenso zu vereinbaren ist, wer sie erfasst, wie sie vor Veränderung geschützt werden und wie lange sie aufbewahrt werden. Dies sind praktische Empfehlungen, keine für alle einheitliche gesetzliche Liste: Besondere Pflichten hängen von der Art der Tätigkeit, der Systeme und der verarbeiteten Informationen ab. Allgemeine Grundsätze der Cybersicherheit sind im Gesetz der Ukraine Nr. 2163-VIII festgelegt.
Warum EU-Regeln separat zu bewerten sind
Für einen ukrainischen Betrieb, der ausschließlich in der Ukraine tätig ist, und für ein Unternehmen, das digitale Lösungen oder Produkte auf dem Markt der Europäischen Union (EU) verkauft, können sich die rechtlichen Fragen unterscheiden. Wichtig ist die Abgrenzung zwischen unmittelbaren gesetzlichen Anforderungen an das Unternehmen selbst und Bedingungen, die dessen europäischer Vertragspartner bei der Erfüllung eigener Pflichten festlegt. Die bloße Zusammenarbeit mit einem ausländischen Unternehmen macht nicht automatisch alle europäischen Verordnungen anwendbar.
Zugang zu Maschinendaten: was der Data Act ändert
Die EU-Verordnung über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung, bekannt als Data Act, betrifft unter anderem vernetzte Produkte. Dies sind Maschinen oder andere Geräte, die Daten über ihre Nutzung oder Umgebung erfassen oder erzeugen und diese über ein Netzwerk, eine physische Verbindung oder direkt vom Gerät übermitteln können. Im Agrarbereich können solche Produkte Traktoren, Mähdrescher und Sensoren sein. Nutzer kann das Unternehmen sein, das die Technik besitzt, sie least oder eine damit verbundene digitale Dienstleistung erhält. Die Logik der Verordnung besteht darin, dass ein solcher Nutzer innerhalb festgelegter Grenzen die bei der Nutzung der Ausrüstung erzeugten Daten erhalten kann.
Die Verordnung gilt grundsätzlich ab dem 12. September 2025. Eine gesonderte Pflicht nach Artikel 3 Absatz 1, die die Verfügbarkeit von Daten bereits bei der Konzeption des Produkts und der Bereitstellung der verbundenen Dienstleistung betrifft, gilt für entsprechende Produkte und Dienstleistungen, die nach dem 12. September 2026 in Verkehr gebracht werden. Als verbundene Dienstleistung im Sinne des Data Act gilt ein digitaler Dienst, ohne den das Produkt eine oder mehrere seiner Funktionen nicht erfüllen würde oder der dessen Funktionen ergänzt oder verändert. Diese Fristen und Begriffe sind nicht zu verwechseln.
Ein ukrainisches Unternehmen muss zunächst feststellen, ob die Verordnung seine Tätigkeit und die konkreten Beziehungen erfasst. Der europäische Ursprung der Technik bedeutet für sich genommen nicht, dass ein Nutzer in der Ukraine automatisch den gesamten in der Verordnung vorgesehenen Rechtsumfang erhält. Ebenso ist der Datenzugang nicht gleichbedeutend mit dem Recht, jegliche Analytik oder Programmcode des Anbieters zu erhalten.
Eine gesonderte Gruppe von Data-Act-Regeln betrifft den Wechsel des Anbieters von Datenverarbeitungsdiensten. Gemeint sind digitale Dienste, die über ein Netzwerk Zugang zu Rechenressourcen bieten, einschließlich Cloud-Speicherung oder -Verarbeitung. Der Vertrag muss die Wechselbedingungen, die Frist für die Unterstützungsleistung und die Möglichkeit des Datenexports berücksichtigen. Genau hier überschneidet sich die europäische Regulierung unmittelbar mit dem eingangs beschriebenen Risiko der Plattformabhängigkeit.
Künstliche Intelligenz: warum Zweckbestimmung des Systems und Rolle des Unternehmens wichtig sind
Die EU-Verordnung über künstliche Intelligenz, bekannt als AI Act, legt je nach Risikostufe, Zweckbestimmung des Systems und Rolle des Unternehmens unterschiedliche Anforderungen fest. Anbieter im Sinne der Verordnung ist eine Person, die ein KI-System oder -Modell entwickelt oder entwickeln lässt und das entsprechende Produkt anschließend auf dem Markt bereitstellt oder unter eigenem Namen in Betrieb nimmt. Eine andere Rolle, der berufliche Betreiber, ist ein Unternehmen, das ein fertiges System unter eigener Verwaltung in seiner Tätigkeit einsetzt. Der AI Act kann nicht nur Akteure in der EU erfassen, sondern unter bestimmten Voraussetzungen auch ein Unternehmen außerhalb, wenn das Ergebnis der Systemnutzung in der EU verwendet wird. Der europäische Ursprung des Programms belegt dies allein nicht. Die Prüfung sollte daher bei der tatsächlichen Funktion der Technologie und der Rolle jedes Beteiligten ansetzen.
Eine gewöhnliche Ertragsprognose wird nicht automatisch allein durch den Einsatz künstlicher Intelligenz zu einem System mit hohem Risiko. «Hohes Risiko» ist im AI Act eine rechtliche Kategorie für bestimmte Einsatzarten von KI, keine allgemeine Bewertung der Programmkomplexität. Eine andere Einschätzung ist möglich, wenn das System eine Sicherheitsfunktion einer Maschine erfüllt, die besonderen EU-Regeln zum Marktzugang unterliegt, oder ein solches Bauteil ist und die festgelegten Kriterien erfüllt. Nach den Änderungen von 2026 werden die Anforderungen an KI in Maschinen mit sektoralen Produktsicherheitsvorschriften abgestimmt. Ein Traktor oder Mähdrescher wird also nicht allein durch das Vorhandensein einer intelligenten Funktion «hochriskant»: Zu klären sind deren Zweckbestimmung und Auswirkung auf die Sicherheit.
Die allgemeine Anwendung der Verordnung begann am 2. August 2026. Nach den durch die EU-Verordnung 2026/1744 eingeführten Änderungen gelten die Anforderungen für die in Anhang III definierten Hochrisikosysteme, in dem einzelne KI-Einsatzbereiche aufgeführt sind, ab dem 2. Dezember 2027. Für Systeme im Zusammenhang mit Produkten, die durch die in Anhang I genannten Rechtsakte geregelt werden, gilt als maßgebliches Datum der 2. August 2028. Für einzelne Bestimmungen gelten andere Fristen.
Herkunft der Produkte: wozu der Käufer Daten zu einem konkreten Feld benötigt
Die europäische Verordnung über entwaldungsfreie Produkte, bekannt unter der Abkürzung EUDR, legt Anforderungen nicht für den gesamten Agrarexport fest. Sie erfasst festgelegte Waren und Erzeugnisse aus einer bestimmten Liste, insbesondere Soja, Rinder, Holz und einzelne daraus abgeleitete Produkte. Für die Prüfung der Anwendbarkeit sind das konkrete Erzeugnis und sein Code maßgeblich, nicht nur die allgemeine Bezeichnung der Branche.
Unmittelbare Pflichten nach der EUDR treffen festgelegte Teilnehmer des EU-Marktes. Marktteilnehmer ist eine Person, die im Rahmen einer geschäftlichen Tätigkeit ein entsprechendes Erzeugnis erstmals auf dem EU-Markt bereitstellt oder ausführt, während Händler ein weiterer Teilnehmer der Lieferkette ist, der ein solches Erzeugnis anschließend auf diesem Markt anbietet. Zum Nachweis, dass ein Erzeugnis entwaldungsfrei und rechtmäßig hergestellt ist, benötigen sie unter Umständen Angaben zum Produktionsort, zur Herkunft des Rohstoffs und zur Verknüpfung einer konkreten Partie mit bestimmten Flächen. Ein ukrainischer Erzeuger kann solche Daten aufgrund eines Liefervertrags mit dem Käufer übermitteln, auch wenn er selbst nicht unmittelbarer Adressat aller Anforderungen dieser Verordnung ist.
Die Hauptanforderungen gelten ab dem 30. Dezember 2026. Eine Übergangsfrist bis zum 30. Juni 2027 ist nur für Marktteilnehmer vorgesehen, die natürliche Personen oder Kleinst- bzw. Kleinunternehmen sind, die vor dem 31. Dezember 2024 in diesem Status gegründet wurden. Diese Aufschiebung gilt nicht für Erzeugnisse, die bereits der vorherigen EU-Holzverordnung unterlagen.
Genau hier gewinnen Systeme zur Rückverfolgung der Herkunft und Bewegung von Erzeugnissen praktische Bedeutung. Sie sollen helfen, eine Partie mit ihren Quellen zu verknüpfen, nicht lediglich eine gescannte Kopie eines Zertifikats aufzubewahren. Werden Partien unterschiedlicher Herkunft vermischt, muss vorab überlegt werden, wie die erforderliche Verknüpfung zwischen den Aufzeichnungen sichergestellt wird. Ein digitales System bestätigt für sich genommen nicht die Rechtmäßigkeit des Erzeugnisses, kann aber helfen, entsprechende Angaben zu sammeln und zu überprüfen.
Personenbezogene Daten: die Zusammenarbeit nur mit Unternehmen beseitigt die Frage nicht
Die allgemeine EU-Datenschutz-Grundverordnung, bekannt als DSGVO, schützt die Daten natürlicher Personen. Deshalb können in der Tätigkeit eines Agrarunternehmens Daten von Mitarbeitenden sowie Kontaktdaten von Käufern, Lieferanten oder Landwirten von Bedeutung sein. Das Vorhandensein personenbezogener Daten bedeutet jedoch noch nicht automatisch die Anwendung gerade dieser Verordnung: Zunächst ist ihr räumlicher Anwendungsbereich zu prüfen.
Artikel 3 der DSGVO erstreckt die Verordnung unter anderem auf die Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung eines Unternehmens in der EU, etwa dessen Büros oder einer anderen Einheit. Unter festgelegten Voraussetzungen erfasst die Verordnung auch Unternehmen außerhalb der EU, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten dort beobachten. Weder die Staatsangehörigkeit einer Person noch das Vorhandensein eines europäischen Vertragspartners ersetzt diese Prüfung. Ist die DSGVO anwendbar, muss die Rechtsgrundlage der Verarbeitung bestimmt, betroffene Personen ordnungsgemäß informiert, die Tätigkeit externer Auftragsverarbeiter, die personenbezogene Daten im Auftrag des Auftraggebers verarbeiten, geregelt und die Datenübermittlung ins Ausland geregelt werden.
Womit ein Inhaber oder Geschäftsführer eines Agrarbetriebs beginnen sollte
Erster Schritt: eine Übersicht der tatsächlichen Abläufe erstellen: welche Programme täglich benötigt werden, wo Angaben zu Feldern, Technik, Lager und Berechnungen gespeichert sind, wer Zugang hat und was zum Stillstand käme, wenn ein Dienst nicht mehr verfügbar wäre. So trennt das Unternehmen kritische Systeme und Daten von unterstützenden.
Zweiter Schritt: festlegen, welche rechtlichen Regeln für die Informationen und Beweismittel gelten. Für jede Kategorie ist die Verarbeitungsgrundlage, das Nutzungsrecht, die Zugangs- und Aufbewahrungsregeln zu klären, wobei Landaufzeichnungen und elektronische Dokumente anhand geeigneter Quellen zu prüfen sind, statt sich nur auf die Darstellung im System zu verlassen.
Dritter Schritt: dieses Bild mit den Verträgen und technischen Verfahren abgleichen. Darin müssen Funktionalität des Dienstes, Support, Haftung, Cyberschutz, Datensicherung, Wiederherstellung nach einem Ausfall und Bedingungen für den Wechsel zu einem anderen Anbieter klar festgelegt sein. Die Erwartungen der Mitarbeitenden sollten dem entsprechen, was das Unternehmen tatsächlich erworben hat.
Vierter Schritt: gesondert die Anforderungen der Absatzmärkte prüfen: Zugang zu Daten vernetzter Technik, Einsatz von KI, Rückverfolgbarkeit von Erzeugnissen und Schutz personenbezogener Daten. Für den einen Betrieb hat die Landbank Priorität, für einen anderen die Übertragung der Produktionshistorie oder die Vorbereitung von Daten für einen europäischen Käufer. Die rechtliche Begleitung der Digitalisierung soll die Verfügbarkeit von Informationen, die Rechtmäßigkeit ihrer Nutzung und eine klare Verantwortungsverteilung sicherstellen — am besten vor dem Start der Technologie, solange die Bedingungen noch verhandelbar sind.
Haftungsausschluss. Dieser Beitrag hat informativ-erläuternden Charakter und stellt keine individuelle Rechtsberatung dar. Die dargestellten Rechtsvorschriften entsprechen dem Stand vom 8. September 2026. Die Beispiele sind hypothetisch und beschreiben keine konkreten Mandanten oder Gerichtsverfahren. Die Anwendbarkeit der Normen und vertraglichen Lösungen hängt von den tatsächlichen Umständen ab.
Quellen: Europäische Kommission — Überblick zur Digitalisierung der Landwirtschaft und ländlicher Gebiete; Zivilgesetzbuch der Ukraine; Gesetz der Ukraine «Über den Schutz personenbezogener Daten»; Gesetz der Ukraine «Über Urheberrecht und verwandte Schutzrechte»; Gesetz der Ukraine Nr. 3980-IX «Über das Informations- und Kommunikationssystem „Staatliches Agrarregister“» und Verordnung des Ministerkabinetts Nr. 549 vom 13. Mai 2025; Gesetz der Ukraine «Über das Staatliche Bodenkataster»; Gesetz der Ukraine «Über die nationale Geodateninfrastruktur»; Luftfahrtgesetzbuch der Ukraine und Verordnung des Ministerkabinetts Nr. 954; Gesetz der Ukraine «Über elektronische Dokumente und elektronischen Dokumentenverkehr»; Gesetz der Ukraine «Über elektronische Identifizierung und elektronische Vertrauensdienste»; Gesetz der Ukraine «Über die Grundprinzipien der Gewährleistung der Cybersicherheit der Ukraine»; Verordnung (EU) 2023/2854 (Data Act); Verordnung (EU) 2024/1689 (AI Act) in der durch die Verordnung (EU) 2026/1744 geänderten Fassung; Verordnung (EU) 2023/1115 (EUDR) in der durch die Verordnung (EU) 2025/2650 geänderten Fassung; Verordnung (EU) 2016/679 (DSGVO); Gesetz der Ukraine «Über die staatliche Registrierung von Sachenrechten an unbeweglichem Vermögen und deren Belastungen»; Wirtschaftsprozessordnung der Ukraine.
Dieser Beitrag hat ausschließlich informativ-analytischen Charakter, gibt einen allgemeinen Überblick über Gesetzgebung und Praxis zum Zeitpunkt der Veröffentlichung wieder und stellt keine individuelle Rechtsberatung, kein Rechtsgutachten und keine Erfolgsgarantie in einer konkreten Sache dar.