CIM

Begriff und Allgemeine Einordnung von CIM

CIM steht als Abkürzung für „Computer Integrated Manufacturing“ und bezeichnet die rechnergestützte Integration von Geschäftsprozessen, insbesondere in der industriellen Fertigung. Im rechtlichen Kontext umfasst CIM zahlreiche Bereiche des Wirtschaftsrechts, Datenschutzrechts, Immaterialgüterrechts sowie des Vertrags- und Haftungsrechts. Die Verknüpfung von informationstechnischen Systemen und Fertigungsprozessen führt zu einer Vielzahl an rechtlichen Anforderungen und Fragestellungen, die Gegenstand dieses Artikels sind.

Rechtliche Grundlagen und Rahmenbedingungen von CIM

Datenschutzrechtliche Aspekte

Die Einführung von CIM-Systemen bringt häufig die automatisierte Verarbeitung großer Datenmengen mit sich. Personenbezogene Daten, etwa von Mitarbeitenden oder Kundinnen und Kunden, unterliegen dabei den Vorgaben der Datenschutz-Grundverordnung (DSGVO). Verantwortliche für den Betrieb solcher Systeme müssen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO treffen, um die Sicherheit der Verarbeitung zu gewährleisten. Darüber hinaus sind Regelungen zur Auftragsverarbeitung (Art. 28 DSGVO) sowie Betroffenenrechte zu berücksichtigen, etwa im Fall digitaler Zeiterfassung oder Mitarbeiterüberwachung durch CIM-Komponenten.

Datenschutz-Folgenabschätzung

CIM-Prozesse können eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erfordern, insbesondere wenn umfangreiche Überwachungs- und Auswertungssysteme zum Einsatz kommen oder sensible personenbezogene Daten erhoben werden. Hierbei gilt es, Risiken für die Rechte und Freiheiten betroffener Personen zu bewerten und gezielte Schutzmaßnahmen zu realisieren.

Immaterialgüterrecht und Softwareschutz

Urheberrechtliche Fragestellungen

Die in CIM-Systemen verwendete Software ist regelmäßig urheberrechtlich geschützt. Gemäß § 69a UrhG gilt Software als Computerprogramm und genießt Schutz vor unbefugter Nutzung und Verbreitung. Der rechtmäßige Erwerb von Nutzungsrechten durch die Industrieunternehmen, die CIM implementieren, ist ebenso zu prüfen wie die Einhaltung von Lizenzvereinbarungen.

Patentrechtliche Implikationen

CIM-Technologien können patentierte Verfahren oder Vorrichtungen enthalten. Die Nutzung, Herstellung oder der Vertrieb patentgeschützter Komponenten kann eine Patentverletzung im Sinne des Patentgesetzes (§ 9 PatG) darstellen, sofern keine Lizenzvereinbarung besteht. Zudem muss bei Eigenentwicklungen geprüft werden, ob diese ihrerseits schutzfähig sind und eine Patent- oder Gebrauchsmusteranmeldung erforderlich ist.

Know-how und Geheimnisschutz

Das Geschäftsgeheimnisgesetz (GeschGehG) verlangt, den Schutz von Betriebs- und Geschäftsgeheimnissen in CIM-Prozessen aktiv zu berücksichtigen. Unberechtigter Zugriff auf sensible Produktionsdaten oder Prozessdokumentationen über die Netzwerkinfrastruktur des CIM kann erhebliche rechtliche Konsequenzen nach sich ziehen.

Vertragsrechtliche Besonderheiten bei CIM-Projekten

Vertragliche Gestaltung

Implementierung und Betrieb von CIM-Systemen erfolgen in aller Regel auf Grundlage umfassender Verträge mit Softwareanbietern, Systemintegratoren oder Dienstleistern. Die vertragliche Ausgestaltung muss u. a. Regelungen zu Leistungspflichten, Vergütung, Haftung, Rechteübertragungen und Gewährleistung enthalten. Besonders bei grenzüberschreitenden Projekten ist die Zuständigkeit von Gerichten sowie die Anwendbarkeit nationalen oder internationalen Rechts (z. B. UN-Kaufrecht) zu vereinbaren.

Liefer- und Leistungsumfang

Der genaue Zuschnitt des Liefer- und Leistungsumfangs ist für die Rechtssicherheit entscheidend. Dies betrifft etwa die Integration spezifischer Hard- und Software, Supportleistungen oder Wartungsvereinbarungen. Nicht selten sind Schnittstellen- und Interoperabilitätsanforderungen Gegenstand detaillierter Regelungen.

Haftung und Gewährleistung

CIM-Systeme unterliegen häufig hohen Anforderungen an Verfügbarkeit und Fehlerfreiheit. Vertragsklauseln zur Haftung für direkte und indirekte Schäden infolge von Systemausfällen, Datenverlust oder Produktionsstillstand bedürfen besonderer Aufmerksamkeit. Ebenso ist zu regeln, inwieweit Mängel innerhalb bestimmter Fristen gerügt und nachgebessert werden können.

IT-Sicherheitsrecht und Compliance in CIM-Umgebungen

IT-Sicherheitsanforderungen

Betriebe, die unter das IT-Sicherheitsgesetz (IT-SiG 2.0) fallen – etwa solche aus dem Bereich der kritischen Infrastruktur – sind verpflichtet, spezifische Schutzmaßnahmen zu ergreifen. CIM-Systeme gelten als besonders sensibel, da Sicherheitslücken unmittelbare Auswirkungen auf Produktion und Lieferketten haben können. Unternehmen müssen Vorkehrungen gegen Cyberangriffe, Sabotageakte und Datenmanipulationen treffen. Die Erfüllung von Zertifizierungsanforderungen nach einschlägigen Normen (wie IEC 62443) ist in vielen Fällen unerlässlich.

Compliance-Anforderungen

Unternehmen sind gehalten, gesetzliche und regulative Anforderungen aus verschiedenen Bereichen zu erfüllen. Dies betrifft einerseits allgemeine Datenschutz- und IT-Schutznormen, andererseits branchenspezifische Regelungen, etwa das Produktsicherheitsgesetz (ProdSG) oder Bestimmungen zur Produkthaftung (§ 823 BGB, Produkthaftungsgesetz).

Haftung und Produkthaftung im Kontext von CIM

Betriebsrisiko und Produkthaftung

Im Fall von Schäden durch fehlerhafte oder mangelhaft integrierte CIM-Systeme haften Hersteller, Importeure und Betreiber sowohl deliktisch als auch aus Produkthaftung (§ 1 ProdHaftG). Die Zurechnung von Schäden an Dritten, die aus Fehlfunktionen bei der automatisierten Produktion resultieren, ist dabei ein zentrales Thema des Haftungsrechts.

Arbeitsrechtliche Auswirkungen

Der arbeitsrechtliche Kontext betrifft vor allem Mitbestimmungsrechte von Arbeitnehmervertretungen gemäß Betriebsverfassungsgesetz (BetrVG), wenn CIM-Lösungen eingeführt oder verändert werden. So unterliegen etwa Maßnahmen zur Leistungs- und Verhaltenskontrolle der Mitbestimmung des Betriebsrats (§ 87 Abs. 1 BetrVG).

Internationaler Rechtsrahmen und Normierung

Harmonisierung und Industrie 4.0

Im Zuge internationaler Kooperation und der Entwicklung von Industrie 4.0 gewinnen Standardisierung und Normierung (ISO, IEC, DIN) zunehmend an Bedeutung. Diese haben formell keinen Gesetzescharakter, sind aber als „anerkannte Regeln der Technik“ im Rahmen der Verkehrssicherungspflichten zu berücksichtigen und bilden eine Grundlage für die Einhaltung gesetzlicher Anforderungen.

Fazit

CIM steht im Zentrum der digitalen Transformation industrieller Fertigungsprozesse und ist eng mit zahlreichen rechtlichen Fragen verbunden. Die rechtlichen Rahmenbedingungen umfassen Datenschutz, Immaterialgüterrecht, Vertragsrecht, Haftung und Compliance bis hin zu internationaler Normierung. Die praxisgerechte und rechtssichere Umsetzung von CIM-Konzepten setzt eine umfassende Beachtung dieser vielfältigen rechtlichen Anforderungen voraus, um sowohl Produktivität als auch Rechtssicherheit zu gewährleisten.

Häufig gestellte Fragen

Welche rechtlichen Anforderungen gelten für die Umsetzung von CIM-Systemen in Unternehmen?

Bei der Implementierung von Computer Integrated Manufacturing (CIM)-Systemen müssen Unternehmen zahlreiche rechtliche Anforderungen beachten, die sich je nach Rechtsordnung und Branche unterscheiden können. Grundlegend ist die Einhaltung arbeitsrechtlicher Vorgaben, insbesondere wenn es durch Automatisierung und Digitalisierung zu Veränderungen in Arbeitsabläufen oder zur Umstrukturierung der Belegschaft kommt. Betriebsräte müssen gemäß BetrVG (§ 87 Abs. 1 Nr. 6) bei der Einführung technischer Überwachungseinrichtungen beteiligt werden, da CIM-Systeme oft eine digitale Erfassung und Auswertung von Mitarbeiterdaten ermöglichen. Daneben ist datenschutzrechtlich die Einhaltung der DSGVO wesentlich, insbesondere im Hinblick auf die Verarbeitung von personen- oder mitarbeiterbezogenen Daten sowie die Pflicht zur Durchführung von Datenschutz-Folgenabschätzungen bei umfangreicher automatisierter Datenverarbeitung. Auch müssen Unternehmen IT-sicherheitsrechtliche Anforderungen berücksichtigen, etwa aus dem IT-Sicherheitsgesetz oder branchenspezifischen Normen, um einen angemessenen Schutz vor Cyberangriffen und Datenverlust zu gewährleisten. Vertraglich relevante Aspekte, wie die Einhaltung von Lizenzbedingungen bei Softwarekomponenten, spielen ebenfalls eine Rolle, zudem können haftungsrechtliche Fragestellungen im Hinblick auf technische Fehler oder Produktionsausfälle entstehen. Somit berührt die Einführung von CIM-Systemen zahlreiche Rechtsgebiete und sollte sorgfältig rechtlich begleitet werden.

Welche datenschutzrechtlichen Aspekte sind bei der Nutzung von CIM-Systemen zu beachten?

Die Nutzung von CIM-Systemen erfordert die Verarbeitung großer Mengen an Daten, wovon auch personenbezogene Daten betroffen sein können, etwa Arbeits- und Leistungsdaten von Mitarbeitenden oder sensiblen Betriebsdaten. Nach der Datenschutz-Grundverordnung (DSGVO) ist vor allem die Zweckbindung, Datenminimierung und die Transparenz der Datenverarbeitung zu gewährleisten. Unternehmen müssen die betroffenen Personen, in der Regel Mitarbeitende, umfassend über die Art, den Umfang, die Zwecke sowie die Rechtsgrundlagen der Datenverarbeitung informieren. Wenn CIM-Systeme zur (teil-)automatisierten Überwachung von Arbeitsabläufen eingesetzt werden, ist dies gegenüber dem Betriebsrat offenzulegen und mit diesem abzustimmen. In vielen Fällen ist außerdem ein Verarbeitungsverzeichnis zu führen sowie unter Umständen eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen, sofern von den Systemen erhebliche Risiken für Rechte und Freiheiten der Betroffenen ausgehen. Auch müssen technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO zur Sicherung der Daten getroffen werden. Es besteht zudem die Möglichkeit, dass Drittanbieter (z.B. Cloud-Anbieter) beim Betrieb des CIM-Systems eingebunden sind, weshalb hier klare Auftragsverarbeitungsverträge nach Art. 28 DSGVO abzuschließen sind. Bei internationalen Datenübermittlungen sind die Regelungen zu Drittlandtransfers besonders zu beachten.

Wie ist die Mitbestimmung des Betriebsrats bei der Einführung von CIM-Systemen geregelt?

Die betriebsverfassungsrechtliche Mitbestimmung spielt eine zentrale Rolle bei der Einführung von CIM-Systemen, insbesondere wenn diese dazu geeignet sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Gemäß § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz (BetrVG) steht dem Betriebsrat in solchen Fällen ein Mitbestimmungsrecht zu. Die Einführung, Anwendung und Ausgestaltung entsprechender technischer Systeme darf ohne die Zustimmung des Betriebsrats im Geltungsbereich des BetrVG daher nicht erfolgen. Zudem kann auch § 99 BetrVG (Mitbestimmung bei personellen Einzelmaßnahmen) einschlägig werden, etwa bei Umsetzungen, Versetzungen oder Kündigungen in Folge der Systemeinführung. Der Betriebsrat hat Anspruch auf umfassende Informationen über die Funktionsweise und die datenschutzrechtlichen Implikationen des Systems. Idealerweise sollten Unternehmen frühzeitig die Kommunikation mit dem Betriebsrat suchen und eine Betriebsvereinbarung ausarbeiten, in der Regelungen zu Datenschutz, Zugriffskontrollen, Auswertungsmöglichkeiten und Transparenz festgeschrieben werden. Wird die Mitbestimmung missachtet, kann dies zur Unwirksamkeit der Einführung und zu Unterlassungsansprüchen führen.

Welche Haftungsrisiken bestehen bei Fehlern in CIM-gesteuerten Produktionsprozessen?

Im Zusammenhang mit CIM-Systemen ergeben sich spezifische Haftungsrisiken für Unternehmen, Hersteller und Nutzer der Software. Tritt beispielsweise infolge eines Softwarefehlers ein Produktionsausfall, fehlerhafte Fertigung oder ein Schaden an Produkten auf, kommen verschiedene Rechtsgrundlagen zur Anwendung. Nach deutschem Recht relevant ist die Produzentenhaftung nach § 823 Abs. 1 BGB und das Produkthaftungsgesetz, wenn mangelhafte Produkte zu Personen- oder Sachschäden führen. Bei vertraglicher Vereinbarung kann zudem eine Haftung nach Werkvertragsrecht oder Kaufrecht (Gewährleistung) entstehen, vor allem wenn Systemlieferanten oder Integratoren zur Lieferung und Wartung des CIM-Systems verpflichtet sind. Auch bei Verletzungen von Schutzpflichten, etwa Vernachlässigung der IT-Sicherheit oder unterlassener Aktualisierung, können Schadensersatzansprüche geltend gemacht werden. Unternehmen sind zudem verpflichtet, Risiken zu bewerten und technische sowie organisatorische Maßnahmen zu treffen, um Fehlfunktionen, Datenverlust oder Produktionsausfälle möglichst zu vermeiden. Wird dies vernachlässigt, drohen Bußgelder durch Aufsichtsbehörden sowie Schadensersatzforderungen durch Kunden oder Geschäftspartner.

Welche gesetzlichen Vorgaben müssen im internationalen Kontext beachtet werden, wenn CIM-Systeme konzernweit eingesetzt werden?

Beim konzernweiten Einsatz von CIM-Systemen sind neben nationalen Vorschriften auch internationale rechtliche Vorgaben zu berücksichtigen. Insbesondere im Arbeits-, Datenschutz- und Exportrecht bestehen länderspezifische Unterschiede. Im Kontext des Datenschutzrechts ist die Einhaltung der DSGVO in der EU essenziell, während andere Staaten zum Teil abweichende Regelungen, wie den CCPA in Kalifornien oder vergleichbare Gesetze in Asien, vorsehen. Besonders bei der grenzüberschreitenden Übertragung oder Speicherung von Produktions- und Mitarbeiterdaten müssen die Anforderungen an angemessene Datenschutzniveaus (Stichwort Drittlandtransfer) gewährleistet werden. Im Arbeitsrecht gilt, dass betriebsverfassungsrechtliche Beteiligungsrechte, wie das Mitbestimmungsrecht des Betriebsrats, je nach Land unterschiedlich ausgeprägt sind und beachtet werden müssen. Bei der Nutzung von Software und Automatisierungstools ist zudem auf Exportbeschränkungen zu achten, die sich beispielsweise aus der Dual-Use-Verordnung oder länderspezifischen Exportkontrollgesetzen ergeben können. Lizenzrechtlich müssen internationale Lizenzmodelle und deren rechtliche Gültigkeit in verschiedenen Jurisdiktionen eingehalten werden. Unternehmen sollten daher frühzeitig einen länderübergreifenden Rechtsabgleich und gegebenenfalls eine weltweit gültige Compliance-Strategie implementieren.

Welche Pflichten bestehen bezüglich IT-Sicherheit bei der Nutzung von CIM-Systemen?

Im Zuge der Digitalisierung und Vernetzung von Produktionsanlagen steigen die Anforderungen an die IT-Sicherheit erheblich. Unternehmen sind verpflichtet, adäquate technische und organisatorische Maßnahmen einzusetzen, um die Integrität, Verfügbarkeit und Vertraulichkeit von Daten und Systemen zu gewährleisten. Diese Verpflichtungen resultieren unter anderem aus Art. 32 DSGVO und – sofern das Unternehmen als Betreiber einer Kritischen Infrastruktur gemäß IT-Sicherheitsgesetz (IT-SiG) gilt – aus den einschlägigen Vorgaben der BSI-KritisV und des BSI-Gesetzes. Auch im Lieferkettensorgfaltspflichtengesetz (LkSG) sowie branchenspezifischen Normen wie der ISO/IEC 27001 werden umfassende Sicherheitsanforderungen formuliert. Die Pflichten reichen von der Durchführung regelmäßiger Risikobewertungen und Schwachstellenanalysen über den Einsatz von Firewalls, Zutritts- und Zugriffssteuerungen bis hin zur Implementierung von Notfall- und Wiederherstellungsplänen. Kommt es zu Sicherheitsverletzungen, besteht nach der DSGVO sowie nach dem IT-SiG eine Meldepflicht gegenüber Aufsichtsbehörden und potenziell Betroffenen. Werden diese Pflichten nicht hinreichend erfüllt, drohen Bußgelder, Reputationsverluste und haftungsrechtliche Konsequenzen.

Wie sind geistige Eigentumsrechte an Entwicklungen im Rahmen von CIM-Projekten zu behandeln?

Im Rahmen von CIM-Projekten entsteht häufig neues geistiges Eigentum, das durch Urheberrechte, Patente, Gebrauchsmuster oder als Geschäftsgeheimnis geschützt werden kann. Bei Softwareentwicklungen sind insbesondere Urheberrechtsfragen relevant: Die Rechte an der entwickelten Software liegen zunächst beim Entwickler, es sei denn, sie wurden wirksam abgetreten oder im Rahmen von Arbeitsverträgen auf den Arbeitgeber übertragen. Bei Auftragsentwicklung oder Kooperationen mit Drittparteien empfiehlt sich daher die vertragliche Regelung von Nutzungsrechten und Eigentum. Für patentfähige Innovationen, etwa bei technischen Erfindungen in der Produktion, ist die rechtzeitige Anmeldung beim zuständigen Patentamt erforderlich. Geschäftsgeheimnisse sind durch organisatorische Maßnahmen und NDAs zu schützen, was insbesondere bei der Integration externer Dienstleister bedeutsam ist. In internationalen Projekten ist zudem zu beachten, dass Schutzrechte territorial beschränkt sind und separate Anmeldungen in den jeweiligen Ländern notwendig sein können. Werden Rechte an geistigem Eigentum nicht ausreichend geregelt, drohen Streitigkeiten über Nutzung und Verwertung, die bis hin zu Unterlassungs- und Schadensersatzansprüchen reichen können.