Zu § 11

Mit der Vorschrift wird Artikel 6 EGSRL umgesetzt und dem Petitum des Bundesrates im Gesetzgebungsverfahren zum Informations- und Kommunikationsdienstegesetz (vgl. Bundesrats-Drucksache 420/97 (Beschluss)) entsprochen. Außerdem trägt die Regelung dem Entschließungsauftrag des Deutschen Bundestages vom 11.Juni 1997 zum Informations- und Kommunikationsdienste-Gesetz (IuKDG) Rechnung (Bundestagsdrucksache 13/7935). Mit diesem Beschluss hat der Deutsche Bundestag die Bundesregierung beauftragt, die Frage der Haftung im Zusammenhang mit der Einführung und Umsetzung digitaler Signaturen im Rahmen der Evaluierung des Gesetzes gesondert zu überprüfen. Im IuKDG-Bericht zum Gesetz hat die Bundesregierung Bundesregierung auf die Notwendigkeit einer spezifischen Haftungsregelung für Zertifizierungsdiensteanbieter hingewiesen (vgl Bundestagsdrucksache 14/1191, S.33).

Die vorgesehene Haftung erstreckt sich über die Mindestregelungen in Artikel 6 EGSRL hinaus auf die gesamten Leistungen eines Zertifizierungsdiensteanbieters (Ausstellung von qualifizierten Zertifikaten, Auskünfte aus dem Zertifikat- Verzeichnis, Ausstellung von qualifizierten Zeitstempeln), die schädigende Auswirkungen gegenüber Dritten haben können.

Mit der Ausstellung eines qualifizierten Zertifikates ist auch die Aussage verbunden, dass der Signaturschlüssel-Inhaber über eine sichere Signaturerstellungseinheit verfügt (vgl. § 5 Abs.6 SigG-E) und dass der jeweilige Signaturschlüssel nur auf dieser gespeichert ist (vgl § 5 Abs.4 Satz 3 und § 17 Abs.3 Nr.1 SigG-E).

Die rechtliche Gleichstellung der qualifizierten elektronischen Signatur mit der eigenhändigen Unterschrift (vgl. Begründung zu § 6 Abs. 2 SigG-E) in allen Lebensbereichen macht eine umfassende Haftung erforderlich. Die Richtlinie erfasst nach Artikel 6 Abs. 1 nur, dass die Angaben in einem qualifizierten Zertifikat zum Zeitpunkt der Ausstellung richtig und vollständig sein müssen (Buchstabe a)), der Signaturschlüssel-Inhaber zum Zeitpunkt der Ausstellung des qualifizierten Zertifikates im Besitz des betreffenden Signaturschlüssels gewesen sein muss (Buchstabe b)) und dass der Signaturschlüssel im Besitz des Signaturschlüssel- Inhabers und der Signaturprüfschlüssel im qualifizierten Zertifikat zusammenpassen müssen (Buchstabe c)). Diese „Mindestregelung“ (vgl. Artikel 6 Abs. 1 Satz 1 EGSRL) erfasst damit Sachverhalte von entscheidender Bedeutung nicht, etwa die Nutzung ungeeigneter Produkte für elektronische Signaturen (mit der möglichen Folge, dass qualifizierte Zertifikate gefälscht werden können) oder die Preisgabe von Signaturschlüsseln (mit der Folge, dass qualifizierte elektronische Signaturen nach Belieben gefälscht werden können).

Die im SigG-E vorgesehene umfassende Haftung gibt allen, die Angaben in einem qualifizierten Zertifikat, einer Auskunft aus dem Zertifikat-Verzeichnis oder einem qualifizierten Zeitstempel vertrauen, Sicherheit und trägt so auch zur Etablierung der elektronischen Signatur im Rechts- und Geschäftsverkehr bei. Die Haftungsregelung gilt für alle Zertifikate und Zeitstempel mit dem Merkmal „qualifiziert“ (vgl auch Begründung zu § 2 Nr.8 SigG-E).

Mit der Vorschrift wird zugleich eine unsichere Rechtslage beendet. In der Literatur ist es umstritten, ob Zertifizierungsdiensteanbieter nach geltendem Recht, zB gegenüber einem auf ein Zertifikat vertrauenden Dritten, für ein fahrlässig falsch ausgestelltes oder verwaltetes Zertifikat haften, wenn dem Dritten dadurch ein reiner Vermögensschaden entstanden ist. Teilweise wird in diesen Fällen eine Haftung verneint; teilweise wird angenommen, dass bestimmte Vorschriften des Signaturgesetzes und der Signaturverordnung Schutzgesetze iS von § 823 Abs.2 BGB sind oder dass die Grundsätze des Vertrages mit Schutzwirkung zugunsten Dritter zur Anwendung kommen. Rechtsprechung zu dieser Frage liegt noch nicht vor.

Zu Absatz 1

Absatz 1 beschreibt den objektiven Haftungstatbestand. Der Zertifizierungsdiensteanbieter haftet bei Verletzung der Anforderungen des Signaturgesetzes und der Signaturverordnung beim Erbringen der gesetzlich vorgesehenen Dienstleistungen. Er ist in diesem Zusammenhang auch verantwortlich für das Funktionieren seiner Produkte für elektronische Signaturen und seiner sonstigen technischen Sicherungseinrichtungen (z. B. Firewall-Rechner und Zutrittskontrollsysteme). Satz 1 beschreibt die Kernaufgaben des Zertifizierungsdiensteanbieters, deren ordnungsgemäße und zuverlässige Erfüllung für die Wirkung der qualifizierten elektronischen Signaturen im Rechtsverkehr notwendige Voraussetzung ist.

Die Haftung für Verrichtungsgehilfen bestimmt sich nach § 831 des Bürgerlichen Gesetzbuches. An die für die Auswahl und Überwachung der Personen im Verkehr erforderliche Sorgfalt (vgl § 831 Abs.1 Satz 2 BGB) sind angesichts der besonders verantwortungsvollen Aufgabe des Zertifizierungsdiensteanbieters hohe Anforderungen zu stellen.

Zu ersetzen ist der einem in redlicher Weise (vgl Absatz 1 Satz 2) vertrauenden Dritten adäquat kausal entstandene Schaden nach dem Leitbild des Vertrauensschadens in § 122 BGB. Art und Umfang des Schadensersatzes bestimmen sich nach den §§ 249 ff BGB. § 254 BGB findet Anwendung, wenn auf Seiten des in redlicher Weise vertrauenden Dritten ein Mitverschulden vorliegt. Dies gilt sowohl für ein Mitverschulden bei Entstehung des Schadens, als auch für ein Verschulden im Hinblick auf die Schadensminderungspflicht. Ein Mitverschulden liegt regelmäßig vor, wenn der Dritte den Schaden durch Nachprüfung des Zertifikates hätte verringern oder vermeiden können.

Zu Absatz 2

Die Vorschrift stellt klar, dass es sich um eine Verschuldenshaftung mit Beweislastumkehr handelt. Kann der Zertifizierungsdiensteanbieter nachweisen, dass er die Verletzung nicht zu vertreten hat, tritt die Haftung nicht ein. Akkreditierte Zertifizierungsdiensteanbieter können sich dabei auf die dokumentierten Ergebnisse der Prüfungen durch öffentlich anerkannte fachkundige Dritte (vgl §§ 15 Abs.3 und Abs.8 sowie 18 Abs.2 Satz 2 SigG-E) stützen.

Zu vertreten ist gemäß § 276 Abs.1 BGB Vorsatz und Fahrlässigkeit. An die „im Verkehr erforderliche Sorgfalt“ sind in diesem Zusammenhang keine geringen Anforderungen zu stellen. Zertifizierungsdiensteanbieter müssen vertrauenswürdig sein und nehmen besonders verantwortungsvolle Aufgaben wahr, auf deren ordnungsgemäße Ausführung sich der Rechtsverkehr verlassen muss.

Zu Absatz 3

Absatz 3 bestimmt, unter welchen Voraussetzungen die Ersatzpflicht nicht eintritt. Eine Haftungsbeschränkung ist nur über eine Verwendungsbeschränkung des Signaturschlüssels im Zertifikat möglich. Eine davon losgelöste Beschränkung der Haftung des Zertifizierungsdiensteanbieters ist – im Einklang mit der Richtlinie – nicht zulässig. Enthält das Zertifikat gemäß § 7 Abs.1 Nr.7 SigG-E Angaben, dass die Nutzung des Signaturschlüssels auf bestimmte Anwendungen nach Art oder Umfang beschränkt ist, so wird für Nutzungen, die diese Einschränkung überschreiten, nicht gehaftet. Der Dritte ist insofern auch nicht schutzwürdig, da diese Einschränkung aus dem Zertifikat für jedermann ersichtlich ist. Damit die Einschränkung wirksam wird, muss sie im qualifizierten Zertifikat angegeben sein (vgl auch Artikel 6 Abs.3 und 4 EGSRL). Nur so ist sichergestellt, dass alle potenziell Betroffenen entsprechende Kenntnis erhalten.

Eine Beschränkung der Nutzung des Signaturschlüssels nach § 7 Nr.7 SigG-E kann im Rahmen des Dienstleistungsvertrages zwischen Zertifizierungsdiensteanbieter und Signaturschlüssel-Inhaber sowohl vom Signaturschlüssel- Inhaber als auch von dem das Zertifikat ausstellenden Zertifizierungsdiensteanbieter ausgehen, falls dieser sein Haftungsrisiko begrenzen will.

Zu Absatz 4

Die Vorschrift stellt klar, dass der Zertifizierungsdiensteanbieter auch dann haftet, wenn er sich Dritter bedient oder wenn er für Dritte einsteht. Artikel 6 EGSRL sieht unabhängig von der Organisationsform eine Haftung bei allen von dem Zertifizierungsdiensteanbieter ausgestellten qualifizierten Zertifikaten vor. Die nach Artikel 7 Abs.1 Buchstabe b) EGSRL vorgesehene Möglichkeit, dass ein Zertifizierungsdiensteanbieter für einen ausländischen Zertifizierungsdienst „einsteht“, schließt zwangsläufig die Haftung ein.

Durch Satz 2 wird spezialgesetzlich angeordnet, dass der Entlastungsbeweis der allgemeinen Regelung des § 831 Abs.1 Satz 2 BGB nicht zur Anwendung kommt. Der Anwendungsbereich von Satz 2 ist begrenzt: Er greift tatbestandlich nur ein, wenn der beauftragte Dritte Verrichtungsgehilfe im Sinne des § 831 BGB ist. Für alle anderen beauftragten Dritten haftet der Zertifizierungsdiensteanbieter ohnehin nach Satz 1 ohne Entlastungsmöglichkeit. Dies wird in der Regel bei einer Aufgabenübertragung mit einem gewissen Grad an Selbständigkeit der Fall sein. Für den Fall, dass ein eingebundener Dritter einmal Verrichtungsgehilfe des Zertifizierungsdiensteanbieters sein sollte, führt Satz 2 zum gleichen Haftungsmaß des Zertifizierungsdiensteanbieters: Hiernach haftet – abweichend vom Regelfall nach § 831 Abs. 1 Satz 2 BGB – ausnahmsweise ein Zertifizierungsdiensteanbieter für eingebundene Dritte auch dann, wenn er darlegen kann, dass er bei der Auswahl und Überwachung die erforderliche Sorgfalt beachtet hat. Diese Ausnahmeregelung von § 831 Abs.1 Satz 2 BGB ist durch die besondere Konstellation bedingt und daher nicht verallgemeinerbar. Da die Auslagerung von Tätigkeiten der Zertifizierungsdiensteanbieter die Regel sein dürfte (vgl § 4 Abs.5 SigG-E mit Begründung), würde bei der Möglichkeit des Entlastungsbeweises die umfassende Haftungsregelung in diesen Fällen zu einem wesentlichen Teil leer laufen, und es würde eine Verlagerung von Aufgaben der Zertifizierungsdiensteanbieter auf Dritte als Verrichtungsgehilfen geradezu provoziert. Eine unterschiedliche haftungsrechtliche Behandlung von beauftragten Dritten, die Verrichtungsgehilfen sind, und solchen, für die der Zertifizierungsdiensteanbieter nach Satz 1 ohne Exkulpationsmöglichkeit haftet, wäre aus Sicht des Geschädigten, der keinen Einblick in das interne Verhältnis zwischen Zertifizierungsdiensteanbieter und Dritten hat, nicht nachvollziehbar und nicht gerechtfertigt. Die Ausnahme von § 831 Abs.1 Satz 2 BGB ist deshalb im Interesse einer einheitlichen umfassenden Haftung notwendig und durch die zentrale Bedeutung der Zertifizierungsdiensteanbieter für den elektronischen Rechts- und Geschäftsverkehr und das ihnen entgegengebrachte Vertrauen gerechtfertigt.

(Siehe BGB-E, BT-Drucksache Nr.14/4662, S.24 f)

§§§

Saar-Daten-Bank (SaDaBa)   -   Frisierte Gesetzestexte   -   © H-G Schmolke 1998-2005
K-Adenauer-Allee 13, 66740 Saarlouis, Tel: 06831-988099, Fax: 06831-988066, Email: hgs@sadaba.de
Der schnelle Weg durch's Paragraphendickicht!
www.sadaba.de