2. Von produktbasierten zu hybriden Geschäftsmodellen

Ein Geschäftsmodell (engl. Business Model) ist eine modellhafte Repräsentation der logischen Zusammenhänge, wie eine Organisation bzw. ein Unternehmen Mehrwert für Kunden erzeugt und einen Ertrag für die Organisation bzw. das Unternehmen sichern kann [19]. Gleichwohl gibt es eine Vielzahl von Definitionen für den Begriff „Geschäftsmodell“. Einige Definitionen sind detaillierter, andere kompakter, ohne dass eine allgemeingültige Definition erarbeitet wurde [66]. Eine relativ kurze Definition schlagen Osterwalder und Pigneur (2010) vor: „A business model describes the rationale of how an organization creates, delivers, and captures value“ [38]. Diese Kurzform ist für die vorliegende Publikation aus Sicht der Verfasser besonders zutreffend und für das Kernanliegen dieser Einführung besonders dienlich: Die Beschreibung von Geschäftsmodellen hilft, die Schlüsselfaktoren des Unternehmenserfolges oder Misserfolges zu verstehen, zu analysieren und zu kommunizieren. Oder noch prägnanter: Geschäftsmodelle beschreiben, womit das Unternehmen sein Geld verdient.

Unternehmen verdienen ihr Geld damit, dass sie ihren Kunden (den Käufern) mit ihrem Leistungsangebot einen Nutzen stiften, für den diese bereit sind, den verlangten Preis zu zahlen. Das Leistungsangebot kann dabei aus Produkten, aus Dienstleistungen oder auch aus einer Kombination von beidem bestehen. Noch heute gibt es viele produzierende Unternehmen, die nahezu ausschließlich Produkte produzieren und diese selbst und/oder durch andere in ihren Zielmärkten an die Endkunden verkaufen. Deren Geschäftsmodell basiert darauf, dass die Verkaufserlöse für ihre Produkte abzüglich Produktions- und Vertriebskosten (und Verwaltungskosten) einen positiven Deckungsbeitrag ergeben.

Immer dann, wenn diese produktbasierten Geschäftsmodelle um zusätzliche smarte, häufig datenbasierte Dienstleistungen und/oder Services erweitert werden, spricht man von hybriden Geschäftsmodellen. Ein einfaches Beispiel mag dies veranschaulichen: Ein Maschinenbauunternehmen verkauft dem Kunden nicht nur die Maschine, sondern nutzt zugleich die Betriebsdaten der Maschine (Laufzeiten, Verbrauchsparameter, Leistungswerte etc.), um daraus einen Wartungsservice für den Maschineneigentümer und/oder begleitende Anwenderschulungen für das Personal beim Endkunden zu entwickeln und anzubieten.

Durch neue Digitalisierungstechnologien, Fortschritte im Bereich der Künstlichen Intelligenz, der Sensortechnik sowie der Dateninfrastruktur und -übertragungstechnik wird eine Vielzahl von Anwendungsmöglichkeiten erkennbar. Diese Einsatzmöglichkeiten können für etablierte, erfolgreiche Geschäftsmodelle ein Risiko darstellen, wenn sie nicht in den Blick genommen werden und die potenziellen Auswirkungen auf das eigene Geschäftsmodell bedacht werden. Gleichzeitig bergen diese Einsatzmöglichkeiten große Chancen, – auch für etablierte Unternehmen mit erfolgreichen Geschäftsmodellen – ihr Leistungsportfolio im Sinne zusätzlicher Kundennutzen zu erweitern. Eine gestärkte Wettbewerbsposition im Markt, die Aufschließung neuer Märkte und Kundengruppen und zusätzliche Umsatzerlöse und Deckungsbeiträge könnten das Ergebnis sein. Die Nutzung der Potenziale der Digitalisierung wird häufig sogar als ein wesentlicher Faktor zur Erhaltung und Steigerung der Wettbewerbsfähigkeit von Unternehmen gesehen [55], S. 8 und [5], S. 5 ff. sowie [29]. In diesem Zusammenhang wird daher auch von den „Geschäftsmodellen 4.1“ gesprochen, die über die Effizienzziele der Prozessdigitalisierung weit hinausgehen [1], S. 22.

Gleichwohl setzen die neuen technologischen Möglichkeiten, insbesondere den produzierenden Mittelstand, zeitlich unter großen Anpassungsdruck, etablierte, produktbasierte Geschäftsmodelle strategisch zu überarbeiten, nutzenorientierte zusätzliche Dienstleistungen in das bestehende Geschäftsmodell zu integrierenoder neue hybride und/oder digitale Geschäftsmodelle zu entwerfen und umzusetzen. Dafür müssen notwendige finanzielle und personelle Ressourcen organisiert werden, ohne dass das laufende Geschäft leidet.

Der Geschäftsführerworkshop³ ist als unternehmensübergreifender Ansatz konzipiert. D. h. die Geschäftsführungen mehrerer Unternehmen (2–4) nehmen am Workshop teil. Der methodische Ansatz greift die Erfahrungskompetenz der beteiligten Entscheidungsträger bei der Erarbeitung der jeweiligen hybriden Geschäftsmodelle auf. Die Kernaufgabe liegt in der detaillierten Vorbereitung des Workshops, insbesondere in der Visualisierung der einzelnen Arbeitsschritte und der koordinierenden Moderation individueller Inputs und reflexiver Arbeitsschritte.

Die Methodik lebt von der strategischen Planungskompetenz und Entscheidungserfahrung der beteiligten Geschäftsführer (Führungskräfte).

Zur Vorbereitung des Workshops arbeitet der Moderator gemeinsam mit den Unternehmen die aktuellen Geschäftsmodelle jeweils in Form einer vereinfachten Business Canvas aus. Die notwendigen Kerninformationen holt das Moderatorenteam bereits im Vorfeld des Workshops ein, um daraus eine Business Model Canvas aufzubereiten, damit im Workshop selbst inhaltliche Ergänzungen (Input Unternehmen) und reflexive Arbeitsschritte (wie Chancen, Risiken sowie To dos) in überschaubaren Zeitfenstern moderiert erarbeitet werden können (Tab. 2.3).

Der Workshop startet mit einer Kennenlernrunde der beteiligten Unternehmer. Darauf folgt eine kurze Einführung durch den Moderator/das Moderatorenteam in das Thema Digitalisierung und dessen Wirkung auf Branchen und Geschäftsmodelle. Danach schließt sich ein interaktiver Block an, in dem Ansatzpunkte für digitalisierte Geschäftsmodelle diskutiert werden. Ziel ist die Sensibilisierung der Teilnehmenden für das Workshopziel und die Setzung inhaltlicher Impulse aus Theorie und Praxis.

Danach beginnt die Erarbeitung der hybriden Geschäftsmodelle. Zunächst stellt der Geschäftsführer von Firma 1 (GFF1) den anderen Geschäftsführern (GFF2, GFF3, GFF4) sein aktuelles Geschäftsmodell anhand der vorbereiteten Business Canvas (visualisiert auf einer Stellwand) vor. Fragen sind ausdrücklich erwünscht, bis alle Anwesenden das Geschäftsmodell vollständig erfasst, die Wertschöpfungsketten verstanden, die Kernkompetenzen durchdrungen sowie Markt und Wettbewerb kennengelernt haben.

Im Anschluss stellt der Geschäftsführer von Firma 1 (GFF1) seine digitale/hybride Geschäftsidee anhand des Canvas Modells vor. Die wichtigsten Eckpunkte werden vom Moderationsteam auf farbigen Moderationskarten stichpunktartig festgehalten und den Feldern der Business Canvas zugeordnet. Hilfsweise wird das Selbstverständnis der Firma heute und das visionäre Selbstbild nach Etablierung des digitalisierten Geschäftsmodells (Wer will ich „in fünf Jahren“ sein!) festgehalten. Nach der Vorstellung können die Zuhörer Verständnisfragen stellen.

Im nächsten Arbeitsschritt wechselt der GFF1 in die Zuhörerrolle und die anderen GF übernehmen die aktive Rolle. Der Moderator überträgt den GFF2-4 die Aufgabe, das vorgestellte digitale Geschäftsmodell von Firma 1 kritisch zu durchleuchten, Stärken und Schwächen zu identifizieren, Chancen und Risiken zu diskutieren, offene Fragen zu benennen und ggf. bereits erste Handlungsvorschläge zu unterbreiten oder weitere Hybridisierungsoptionen vorzuschlagen. Hier ist das Moderationsteam gefordert, die in kurzer Zeit formulierten Argumente und Hinweise in Kurzform zu erfassen, Gedanken plakativ festzuhalten und für den weiteren Prozess nutzbar zu machen. In diesem Reflexionsprozess ist GFF1 ausschließlich Zuhörer.

Anschließend wird der Geschäftsführer (GFF1) gebeten, der die kritische Reflexion als Zuhörer verfolgte, zu dem Feedback und den formulierten Fragen Stellung zu beziehen. Auch hier werden die Erläuterungen und Ergänzungen vom Moderationsteam festgehalten und den Fragen und Vorschlägen auf der Moderationswand zugeordnet.

Im nächsten Schritt leiten alle Teilnehmer (GFF1-4) gemeinsam eine Aktions- und To Do-Liste für die Weiterentwicklung der hybriden (digitalen) Geschäftsmodellideen ab. Diese Liste stellt die Grundlage für die weitere Ausarbeitung der hybriden Geschäftsmodelle in dem betreffenden Unternehmen dar und ist im Idealfall mit zeitlichen Zwischenzielen versehen. Die weiteren Arbeiten können dann über eine zu gründende unternehmensinterne Arbeitsgruppe weitergeführt werden. Alternativ dient die Aktionsliste als Grundlage für weitere Schritte unter Einbeziehung externer Beratungs- und Moderationsunterstützung.

Dieser Prozess wird anschließend mit den drei anderen Unternehmen in identischer Abfolge – aber mit vertauschten Rollen – wiederholt. Die ideale Gruppengröße liegt bei vier Unternehmen. Der Workshopablauf ist in Abbildung Abb. 2.1 dargestellt.

Die Methode „Geschäftsführerworkshop – Geschäftsmodelle durch moderierte Reflexionsprozesse hybridisieren“ [11] wurde im Projekt AnGeWaNt zu einer Methoden-Story zusammengefasst, die als Leitfaden zur Vorbereitung, Durchführung und Nachbereitung der hier kurz skizzierten Vorgehensweise dienen soll. Die Methoden-Story kann auf der Projekthomepage heruntergeladen werden: www.​angewant.​de/​geschaeftsfuehre​rworkshop/​ [37]

„Werteversprechen formulieren“ oder „Value Proposition Design“⁴ (VPD) ist ein Management-Instrument im Kontext der Entwicklung von Geschäftsmodellen [39]. In unserem Anwendungskontext wurden Teile der VPD-Methode in einen Innovations-Management-Workshop integriert und um weitere Kreativitätstechniken ergänzt (Tab. 2.4).

Ziel der modifizierten Methode ist es, in einem Ganztagesworkshop, gemeinsam mit einer Gruppe von Mitarbeitern und Führungskräften, Ideen für hybride Geschäftsmodelle zu erarbeiten und letztere zu beschreiben. Das Kernmerkmal der VPD-Methode liegt darin, den Blick vom eigenen Unternehmen weg und hin zum Kunden zu richten und für diesen (neue) Werte zu schaffen.

Der methodische Workshop „Hybride Geschäftsmodelle durch Werteversprechen identifizieren“ beginnt mit einer kurzen Einführung zur benutzten Methode und einer Vorstellungsrunde der Teilnehmer. Im Anschluss wird mit der Gruppe das aktuelle Geschäftsmodell der Firma besprochen, da dieses den Ausgangspunkt der Diskussion um eine Hybridisierung darstellt. In einem reflektierenden Blick auf das eigene Unternehmen werden zunächst Stärken und Schwächen zunächst aus der Eigenwahrnehmung diskutiert und notiert. Danach wird der Blickwinkel auf den Kunden ausgerichtet und aus dessen Sicht erörtert, welche Anforderungen an die eigene Firma und die eigenen Produkte gestellt werden.

Beide Perspektiven, die Stärken-Schwächen Analyse (SWOT) des eigenen Unternehmens und die kundenseitige Anforderungsanalyse (VPD), bieten Ansatzpunkte für hybride Geschäftsideen.

Die identifizierten Ansätze werden in einem Ideen-Pool gesammelt. Die Ideen müssen nicht notwendigerweise schon eine digital-hybride Stoßrichtung aufweisen. Vielmehr werden zunächst alle Ideen in den Pool aufgenommen, die dann anhand vorgegebener Kriterien priorisiert werden. Erst danach erfolgt eine Sichtung der digital-hybriden Elemente. Prioritäre Ideen mit hohem digital-hybriden Anteil werden dann in ein Geschäftsmodell überführt. Die vielversprechendsten Ideen werden schließlich im modifizierten Format der Geschäftsmodell-Canvas beschrieben (siehe Abschn. 2.3.5). Den Abschluss des Workshops bildet eine Feedback-Runde. Der Workshopablauf ist in Abb. 2.2 dargestellt.

Die Methode „VPD Workshop“ wurde im Projekt AnGeWaNt zu einer Methoden-Story zusammengefasst, die als Leitfaden zur Vorbereitung, Durchführung und Nachbereitung der hier kurz skizzierten Vorgehensweise dienen soll. Die Methoden-Story kann auf der Projekthomepage heruntergeladen werden: www.​angewant.​de/​werteversprechen​/​ [37]

Die generische Geschäftsmodellentwicklung⁵ ist eine leitfragengeführte, partizipative Workshopmethodik, die am unternehmerischen Selbstverständnis des Unternehmens ansetzt und über miteinander verzahnte Arbeitsschritte zum erfolgversprechenden (neuen) Geschäftsmodell und Selbstverständnis in der Zukunft führt. Die Methodik setzt eine grundsätzliche Veränderungsbereitschaft der Geschäftsleitung voraus, selbst wenn das aktuelle Geschäftsmodell überaus erfolgreich sein sollte.

Das Adjektiv „generisch“ wird im diskutierten Kontext in der Bedeutung „systematisch und ergebnisoffen“ verwandt. Die Methode ist nur dann anwendbar, wenn die Unternehmensleitung/das Unternehmen grundsätzlich bereit ist, das bestehende Geschäftsmodell zu verändern und/oder zu erweitern, aber zugleich noch keine konkreten Veränderungsschritte festgelegt und kommuniziert hat (Tab. 2.5).

Die generische Methode setzt auf einzelne, inhaltlich aufeinander aufbauende Arbeitsschritte, die sich aus unterschiedlichen partizipativen Moderations-Techniken zusammensetzen. Generische Geschäftsmodelle, die als Ausgangsbasis für die Entwicklung eines neuen Geschäftsmodells dienen, liegen nicht vor [54], S. 8. Der Moderator führt die Gruppe durch strukturierte Fragen mithilfe der Pinnwand-Moderation durch den Prozess. Die Teilnehmenden werden dabei unterstützt, unter Anleitung des Moderationsteams, selbständig neue Geschäftsmodelle zu identifizieren und diese zu konkretisieren.

Die Methode unterstützt durch den Einsatz von Moderationskarten die neutral begleitende Moderation. Durch die anonymisierenden Kartenabfragen werden die Beiträge der Teilnehmer „enthierarchisiert“. Das ist vor allem in starren Linienorganisationen mit abgegrenzten Entscheidungsbefugnissen wichtig, weil eine ausgeprägte Hierarchieordnung zum Hemmschuh in der Arbeitsdynamik, der Offenheit der eingebrachten Beiträge und der Aktivität der Beteiligten führen kann. Das kann sich dann in Ergebnisbreite und -tiefe bemerkbar machen.

Der Workshop beginnt mit einer methodischen Einführung und einer Vorstellungsrunde der Teilnehmer. Im Anschluss wird mit der Gruppe der Status Quo der Firma besprochen und zwar anhand der Frage „Wer sind wir heute?“

In der zweiten Übung wird ein gemeinsames Verständnis über das eigene Unternehmen erarbeitet, das als Grundlage für die spätere Geschäftsmodellerweiterung dient. Die Kernfragen an die Teilnehmer lauten:

Dieser offene Prozess kann durch Zuruf organisiert werden, wobei das Moderationsteam die Beiträge der Teilnehmer auf Karten verschriftet und anschließend auf einer Stellwand anheftet und inhaltlich organisiert. Alternativ werden Karten ausgeteilt und wieder eingesammelt.

Danach beginnt der kreative Teil des Workshops. Auf Basis der vorangegangenen Überlegungen werden Nutzeneigenschaften zu neuartigen Produkterweiterungen oder Dienstleistungen gesammelt. Diese müssen nicht notwendigerweise schon eine digital-hybride Stoßrichtung aufweisen. Vielmehr werden zunächst alle Ideen aufgenommen. Dazu werden angesichts der zuvor identifizierten

aktuellen Kernkompetenzen mittels Brainstorming weitere – aus Sicht der Kunden – wünschenswerte Produkteigenschaften gesammelt. Folgende Fragen bilden einen guten Ausgangspunkt für diese Diskussion:

Anschließend wählen die Teilnehmer daraus (subjektiv) die Top-5-Services (bzw. wünschenswerte Produkteigenschaften) aus. Diese Services werden anhand von zwei Fragestellungen bewertet: 1) digital-strategische Bewertung und 2) Kompetenz- und Technologiebewertung. In diesem Rahmen erfolgt auch eine Sichtung der digital-hybriden Elemente. Am Ende des Prozesses sind alle Top-5 Services weiter konkretisiert und es erfolgt eine Fokussierung (Priorisierung) auf zwei bis drei Themen.

Ein wichtiger Konkretisierungsschritt reflektiert die Top-5-Ideen zu im Unternehmen vorhandenen Kompetenzen und Ressourcen. Ziel ist es, Defizite wie auch vorhandene Kompetenzen zu identifizieren und mögliche bzw. notwendige Lösungswege bei Vorliegen von Defiziten zu skizzieren.

Dazu werden in einem ersten Schritt die benötigten Kompetenzen und Technologien für jede Idee gesammelt. Im nächsten Schritt wird jede Kompetenz bzw. Technologie für sich betrachtet. Dabei wird geprüft, ob eine notwendige Kompetenz (z. B. Wissen zu künstlicher Intelligenz) im Unternehmen vorhandenen ist. Andernfalls wird ermittelt, inwieweit interne Lösungen (Weiterbildungen oder Neueinstellungen) oder externe Lösungen (Kooperationen oder Zukauf) geeignet sind, das jeweilige Defizit abzubauen.

Dieser Umsetzungs-Check unterstützt die Teilnehmenden bei der weiteren Bewertung der vorab (subjektiv) priorisierten Ideen. Er verdeutlicht, wie sich die Service-Ideen umsetzen lassen und welche Maßnahmen gegebenenfalls intern oder extern getroffen werden müssen. Daraus ergibt sich auch, mit welchen Aufwänden bei einer Umsetzung der Ideen zu rechnen ist.

Mit Blick auf die Ergebnisse, die sich aus der technisch-strategischen Betrachtung sowie dem Umsetzungs-Check ergeben, können nun zwei (bis drei) Ideen ausgewählt werden, die im Fortgang des Workshops konkret zu Geschäftsmodellen ausgearbeitet werden. Dazu klären die Moderatoren zunächst, ob sich durch die vorangegangene Diskussion der Ideen eine Veränderung im Ranking der Top-5-Ideen ergeben hat. Wenn dies nicht der Fall ist und es seitens der Teilnehmenden keine Einsprüche gibt, können selbstverständlich auch die beiden Ideen ausgewählt und im Workshop weiter-behandelt werden, die bei der einleitenden Priorisierung und vor dem Umsetzungscheck am besten bewertet wurden. Die so ausgewählten Ideen werden dann zu einem Geschäftsmodell ausgearbeitet (siehe dazu Abschn. 2.3.5).

Der Workshopablauf ist in nachfolgender Abbildung dargestellt.

Die Methode „generische Geschäftsmodellentwicklung“ wurde im Projekt AnGeWaNt zu einer Methoden-Story zusammengefasst, die als Leitfaden zur Vorbereitung, Durchführung und Nachbereitung der hier kurz skizzierten Vorgehensweise dienen soll. Die Methoden-Story kann auf der Projekthomepage heruntergeladen werden: www.​angewant.​de/​generische-geschaeftsmodell​entwicklung [37]

Die Entwicklung hybrider Geschäftsmodelle über die Analyse technologischer Treiber (GmAtT)⁶, kennzeichnet methodisch vor allem der Perspektivwechsel im Erarbeitungsprozess neuer Geschäftsmodelle.⁷ Die Methodik setzt bei den Workshopteilnehmern ein profundes Verständnis bestehender technologischer Trends voraus. Ziel von GmAtT ist es, durch IT-Technologien neue Anwendungspotenziale für das eigene Geschäftsmodell zu erschließen. Der methodische Kerngedanke besteht darin, systematisch Ideen zu erzeugen, die durch externe Technologietrends und wissenschaftliche Erkenntnisse ausgelöst werden. Ausgehend von neuen technologischen Trends wird deren Wirkung auf ein bestehendes Geschäftsmodell systematisch untersucht, wobei in der Chancen-Risikoanalyse konsequent sich abzeichnende „Chancen“ weiterverfolgt und ausgearbeitet werden. Das Ziel ist die nutzensteigernde Technologieintegration zur Weiterentwicklung bestehender Geschäftsmodelle (Tab. 2.6).

Im Rahmen des BMBF-geförderten Projektes AnGeWaNt wurde die Methode GmAtT in einen Innovations-Management-Workshop integriert und das Ergebnis mit Hilfe einer modifizierten VPD-Canvas [39] zur beispielhaften weiteren Konkretisierung beschrieben.⁸

Nach einer kurzen Vorstellungsrunde aller WS-Teilnehmer stellt der Moderator zunächst den methodischen Ablauf des Workshops zur. Als sensibilisierender Input folgt dann die Vorstellung von Unternehmen, die in der Vergangenheit ihre Geschäftsmodelle aufgrund von disruptiven technologischen Neuerungen komplett ändern mussten.⁹

Nach dieser thematischen Sensibilisierung erfolgt die Übertragung des disruptiven Technologiegedankens auf das bestehende Geschäftsmodell des Unternehmens. Die Kenntnis des aktuellen Geschäftsmodells sollte im Teilnehmerkreis bekannt sein. Gleichwohl ist es wichtig, einen gleichen Wissensstand herzustellen, da dieser Ausgangspunkt wichtig für die nächsten Arbeitsschritte ist. Idealerweise wurde das Geschäftsmodell im Vorfeld des Workshops bereits vorbereitet und visualisiert (z. B. in einer Business Model Canvas) und wird bei diesem Grundlagenschritt hinzugezogen und gemeinsam ergänzt.

Im Anschluss startet die eigentliche GmAtT-Methode mit der Sammlung von Technologien und IT-Konzeptionen, die aktuell die Digitalisierung vorantreiben (5G, M2M, KI, IoT). Die Workshopteilnehmer werden in die Sammlung durch Zurufverfahren eingebunden, möglicherweise fehlende aber relevante Technologietrends durch vorbereitete Impulse des Co-Moderators in die Diskussion integriert. Danach werden die Teilnehmer aufgefordert, aus den identifizierten Technologietrends neue Ideen für Weiterentwicklungen der eigenen Produkte und Dienstleistungen abzuleiten. Dies geschieht in den drei Schritten:

Die so identifizierten und priorisierten Ideen werden dann zu einem Geschäftsmodell ausgearbeitet (siehe dazu Abschn. 2.3.5). Der Workshopablauf ist in Abb. 2.5 dargestellt.

Die Methode „Hybride Geschäftsmodelle durch Analyse technologischer Treiber identifizieren“ wurde im Projekt AnGeWaNt zu einer Methoden-Story zusammengefasst, die als Leitfaden zur Vorbereitung, Durchführung und Nachbereitung der hier kurz skizzierten Vorgehensweise dienen soll. Die Methoden-Story kann auf der Projekthomepage heruntergeladen werden: www.​angewant.​de/​technologische [37].

Alle hier vorgestellten methodischen Ansätze führen die jeweiligen Arbeitsgruppen hin zu einer Reihe von verschiedenen Ideen für digital-hybride Geschäftsmodellansätze. Nach einer notwendigen Priorisierung und Eingrenzung auf zwei bis drei Geschäftsmodellideen folgt in den Methoden 1) VPD, 2) Generische Geschäftsmodell-Entwicklung und 3) Technologische Geschäftsmodell-Entwicklung dann die Ausarbeitung der vorliegenden Ideen zu einem konkreten hybriden Geschäftsmodell, wobei die drei Methoden die gleiche Vorgehensweise nutzen.

Die Weiterentwicklung der priorisierten Geschäftsmodellideen zu einem konkretisierten und strukturierten Geschäftsmodell erfolgt in den Workshops in drei Teilschritten (Einführung, Ausarbeitung in der Gruppe, Präsentation) unter Nutzung einer vereinfachten Business Model Canvas:¹³

Die in den Abschn. 2.3.1 bis 2.3.5 vorgestellten Methoden zur Erarbeitung hybrider Geschäftsmodellideen reichen in vielen Fällen aus, den unternehmensinternen Findungsprozess strukturiert auf den Weg zu bringen. Die Methodenauswahl zur Erarbeitung der hybriden Geschäftsmodellideen wurde jeweils unter Berücksichtigung von Unternehmensstruktur, aktuellem Geschäftsmodell, Unternehmensgröße und ggf. Unternehmenskultur vorgenommen. Dies bedeutet im Umkehrschluss aber nicht, dass nicht auch eine andere Methode ebenfalls zu guten Ergebnissen geführt hätte. Allen Methoden gemeinsam war, dass am Ende die erarbeiteten hybriden Geschäftsmodellideen jeweils durch die Workshopteilnehmer im Format einer Business Model Canvas ausgearbeitet und präzisiert wurden.

Betrachtet man die Ergebnisse der Workshops im Einzelnen, dann fällt zunächst auf, dass sich alle Firmen stark an datengetriebenen Ideen ausgerichtet haben, die in unterschiedlichen Aspekten den Kunden Mehrwerte liefern können. So geht es beispielsweise bei der Firma PFREUNDT, die mobile und stationäre Waagen vor allem für Baumaschinen produziert, darum, Prozessdaten für Unternehmen der Rohstoffgewinnung so aufzubereiten, dass die Rohstofferzeuger (in diesem Fall Kieswerke) interne Abläufe optimieren können. Der Baukranhersteller PAUS will mit einer App den Verleihern von Baumaschinen verschiedene Dienstleistungen anbieten, damit diese die tatsächliche Maschinennutzung genauer messen und Preise besser kalkulieren können. Und Kinshofer, als Hersteller von komplexen Anbauteilen für Baumaschinen, denkt über ein Fahrerassistenzsystem nach. Damit wird offensichtlich, wie deutlich sich die beteiligten Firmen in ihren neuen Geschäftsmodellen diversifizieren und vom Status Quo entfernen.

Neben den Geschäftsmodell-Ergebnissen haben die Workshops auch gezeigt, wie wichtig die strategische Orientierung hin zu bezahlten Dienstleistungen für produzierende Unternehmen ist. Zwar bleiben die Produkte weiterhin ein zentrales, wenn nicht das zentrale Angebotselement. Die zusätzlichen Dienstleistungen können aber gerade in wettbewerblichen Märkten ausschlaggebend für den Absatzerfolg sein. Insofern zeigen die Ergebnisse des Projekts, dass die Forschungsarbeiten zur Unterstützung mittelständischer Produktionsunternehmen bei der Erarbeitung und Umsetzung hybrider Geschäftsmodelle sinnvolle und relevante Fragestellungen aufgeworfen haben, die mittels weiterer Marktsondierungsmaßnahmen gelöst werden mussten (und wurden). So waren die in den Workshops erarbeiteten Canvasse nicht immer so konkret, dass sofort oder mit Nacharbeiten die Umsetzung starten konnte. Das war eine Erkenntnis, die dann auch das Design der Projektarbeiten insofern leicht veränderte, als offensichtlich wurde, dass manche Ergebnisse einer weiteren Konkretisierungsschleife bedurften. Für diese zusätzliche Konkretisierung wurde dann im Projekt eine weitere Methode erarbeitet und getestet, die im folgenden Kapitel dargestellt wird.

Vier bis sechs Wochen vor „einem“ Workshop

Zwei Wochen vor dem Workshop

Wenige Tage vor dem Workshop

Daten, die nicht als personenbezogene Daten zu bewerten sind und deshalb nicht dem Recht des Datenschutzes unterfallen, werden schon seit geraumer Zeit als „das neue Öl“ oder „das neue Gold“ bezeichnet [18], S. 721. Dabei ist es im Vergleich zur Prominenz des Datenschutzrechts in der öffentlichen Wahrnehmung bislang Vielen verborgen geblieben, dass auch die Verordnung (EU) 2018/1807 geltendes Recht ist, die einen Rahmen für den freien Verkehr nicht-personenbezogener Daten in der EU geschaffen hat. Die EU-Kommission veröffentlichte erläuternde Leitlinien (COM/2019/250 final) [35] zum Zusammenspiel der Verordnung (EU) 2018/1807 [61] mit der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung) [59] und flankierte die Veröffentlichung mit dem Kommentar des damals für den digitalen Binnenmarkt zuständigen Kommissionsvizepräsidenten, Andrus Ansip: „Bis 2025 dürfte die Datenwirtschaft 5,4 % des BIP der EU-27 generieren, was 544 Mrd. EUR entspricht [2].“

Diese Verordnung (EU) 2018/1807 regelt jedoch im Wesentlichen nur die (Un-)Zulässigkeit von Datenlokalisierungsauflagen und ist damit für den praktischen Umgang mit Maschinendaten nahezu nicht relevant. Vor allem ist zu betonen, dass ihre Regelungen gegenüber dem Datenschutzrecht nachrangig sind, was sich ihrem Art. 2 Abs. 2, insbesondere dem Satz 2 ergibt: „Bei einem Datensatz, der aus personenbezogenen und nicht-personenbezogenen Daten besteht, gilt diese Verordnung für die nicht-personenbezogenen Daten des Datensatzes. Sind personenbezogene und nicht-personenbezogene Daten in einem Datensatz untrennbar miteinander verbunden, berührt diese Verordnung nicht die Anwendung der Verordnung (EU) 2016/679.“ Was die Wendung untrennbar miteinander verbunden bedeutet, ist in keiner der beiden Verordnungen definiert und zukünftig ggf. durch die Rechtsprechung zu klären. Dieselbe Frage, also wie mit solchen gemischten Datensätzen umzugehen ist, stellt sich auch bei der Bestimmung des Anwendungsbereichs des Datenschutzrechts – also bei der Frage: Sind die Informationen als personenbezogene Daten zu bewerten? Für die Anwendungspraxis folgt daraus, dass diese Rechtsfrage im Hinblick auf die potenziell in Rede stehenden Maschinendaten klar im Vordergrund steht und bei Konzeption und Planung der neuen Wertschöpfung durch Digitalisierung besonders sorgfältig geprüft werden muss.

Das maßgeblich durch die Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung) geprägte Datenschutzrecht schützt nicht alle Daten, was häufig landläufig gleichwohl irrtümlich angenommen wird. Vom Gesetz geschützt werden nur „personenbezogene Daten“, mithin alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (die im Datenschutz als „betroffene Person“ bezeichnet wird) beziehen. An die Feststellung, dass die in Rede stehenden Daten unter diese Definition fallen, knüpft der Anwendungsbereich des Datenschutzrechts. Besondere Brisanz hat das Thema, weil das Datenschutzrecht von der Regelungstechnik „Verbot mit Erlaubnisvorbehalt“ [8] dominiert wird. Ist es anwendbar, würde in vielen Fällen eben dieses grundsätzliche Verbot durchgreifen und der Nutzung der Maschinendaten entgegenstehen.

Klar kennzeichnende Informationen, wie z. B. der volle Name einer Person, beziehen sich auf eine „identifizierte“ Person. Dies ist etwa dann relevant, wenn sich ein Beschäftigter zwecks Betriebes der Maschine an dieser mit einem Benutzerkonto anmelden muss. Wesentlich diffiziler ist die Frage, wann Informationen in Bezug auf eine „identifizierbare“ Person vorliegen. Die Verbindung anderer Informationen mit solchen klar kennzeichnenden Informationen, wie etwa dem vollen Namen, bzw. die Möglichkeit, eine Verbindung herstellen zu können, infiziert alle anderen damit in Zusammenhang stehenden Informationen. Ob eine Information auf eine identifizierbare natürliche Person bezogen werden kann und sie deshalb als „personenbezogenes Datum“ zu bewerten ist, beurteilt sich jeweils aus Perspektive des Verantwortlichen (grundsätzlich der Rechtsträger, der mit den Daten Umgang hat) und ist im Grundsatz von seinem Kontextwissen abhängig. Ein Bezug zu einer identifizierbaren Person liegt etwa vor, wenn in vorgenanntem Beispiel Informationen über den jeweiligen Zustand der Maschine (vermeintlich Informationen „nur“ in Bezug auf die Maschinen) mit dem zum Zeitpunkt der Benutzung angemeldeten Benutzerkonto in Verbindung gebracht werden. Für die Frage, ob für den Verantwortlichen in Bezug auf eine Information eine natürliche „identifizierbar“ ist, wird zwar zunächst auf das beim Verantwortlichen tatsächlich vorhandene Kontextwissen abgestellt, doch muss er sich für diese Fragestellung nach der Rechtsprechung zusätzlich jegliches Kontextwissen zurechnen lassen, welches er sich mit legalen Mitteln beschaffen könnte [15].

Für die Praxis folgt daraus z. B. die Empfehlung, dass die durch Sensoren generierten Maschinendaten so beschaffen und abgespeichert sein sollten, dass sie sich auf keine identifizierbare natürliche Person beziehen lassen. Wichtig ist insoweit darauf zu achten, dass dies für keinen der Rechtsträger, der Umgang mit diesen Daten hat, jeweils aus seiner Perspektive der Fall sein sollte. Es sind also für die potenziell Beteiligten, „Maschinenhersteller“, „Maschinenverleiher“, „Maschinenbenutzer“ etc., separate Bewertungen dieser über den Anwendungsbereich des Datenschutzrechts entscheidenden Frage vorzunehmen. Dringend zu empfehlen ist es, den im Datenschutzrecht kodifizierten Grundsatz der Datenminimierung [7] nicht erst bei Anwendbarkeit des Datenschutzrechts, sondern schon bereits bei der Planung eines datengetriebenen Geschäftsmodells soweit es geht umzusetzen. Beispielsweise für Systeme, die im Kontext des Maschinenverleihs im B2B Bereich eine unsachgemäße Benutzung einer Maschine erkennen und dokumentieren können sollen, wird es in aller Regel nicht erforderlich sein, diese auf Verwendung von personenbezogenen Daten auszulegen. Im B2C Bereich hingegen ist schon der Kunde eine natürliche Person, sodass Informationen darüber, ob der Kunde eine Maschine unsachgemäß benutzt hat, wohl stets „personenbezogene Daten“ sein werden. Auch wenn innerhalb der Maschine die Daten keinen Rückschluss auf die Identität des Benutzers ermöglichen, ist es das Kontextwissen desjenigen, der später Umgang mit diesen Daten hat, welches die Frage beantwortet, ob für ihn diese Daten „personenbezogene Daten“ darstellen.

Sollte es sich konzeptionell nicht vermeiden lassen, dass die Maschinendaten aus einer der Perspektiven als personenbezogene Daten zu bewerten sind, ist die geplante Wertschöpfung mit den Maschinendaten daraufhin zu hinterfragen, ob der Plan überhaupt zulässigerweise realisiert werden darf und falls ja, welche Anforderungen sodann einzuhalten sind. Dazu ist anzumerken, dass mit Blick auf Maschinendaten in vielen Fällen ergänzend bzw. verdrängend zu den allgemeinen Regeln der Datenschutz-Grundverordnung die spezielleren Regeln der Richtlinie 2002/58/EG [40] sowie [9] zur Anwendung kommen. Die im Mai 2018, zum Inkrafttreten der DS-GVO, vom EDSA veröffentlichte „Erklärung des Europäischen Datenschutzausschusses zur Überarbeitung der ePrivacy-Verordnung und zu den Auswirkungen auf den Schutz der Privatsphäre“ [14] hat bis heute nicht an Aktualität verloren. So heißt es dort: „Übermittlungsdienste, die zur Erbringung von Maschine-zu-Maschine-Diensten genutzt werden, fallen ebenfalls in den Anwendungsbereich der geltenden Richtlinie [14].“ Der EDSA betont dort, wie auch schon zuvor seine Vorgängerinstitution, die sog. Art. 29 Gruppe, in ihrem Working Paper 216 [13], „dass Metadaten der elektronischen Kommunikation weiterhin ohne Einwilligung weiterverarbeitet werden dürfen, nachdem sie vollständig anonymisiert wurden [14]“. Dazu muss man jedoch bedenken, dass Informationen, sobald und solange sie anonymisiert sind, sich gerade nicht auf eine identifizierbare natürliche Person beziehen, mithin keine personenbezogenen Daten sind und deshalb außerhalb des Anwendungsbereichs des Datenschutzrechts liegen.

Die ePrivacy-Richtlinie soll nach dem Vorschlag der EU-Kommission vom 10.01.2017 (COM/2017/010 final) [51] zurückgenommen und durch eine Verordnung ersetzt werden – ein politisch hochgradig umstrittener Gesetzesvorschlag. Der am 20.10.2017 verabschiedete Standpunkt des Parlaments betonte die Notwendigkeit, gerade für die Kommunikation in den Bereichen Maschine-zu-Maschine (M2M) und Internet-of-Things (IoT) klarere Abgrenzungen gegenüber den allgemeinen Regeln der DS-GVO einzuführen. Maschinendaten werden in diesen Bereichen als Bestandteile „elektronischer Kommunikationsdienste“ der Regulierung unterfallen, sodass der weitere Verlauf dieses Gesetzgebungsverfahren für das hier betrachtete Thema von herausgehobener Bedeutung ist. Der am 10.02.2021 gefasste Standpunkt des Rates nähert sich diesem Thema so: „Sobald elektronische Kommunikationsdaten aus einem geschlossenen Gruppennetz in ein öffentliches elektronisches Kommunikationsnetz übertragen werden, gilt diese Verordnung für diese Daten, auch wenn es sich um M2M-/IoT-Daten und Personal-/Home-Assistant-Daten handelt [51], S. 13.“

Für einige Verwirrung sorgt derzeit die Richtlinie (EU) 2019/770 [48] über bestimmte vertragsrechtliche Aspekte der Bereitstellung digitaler Inhalte, deren Umsetzungsfrist noch läuft und deren Inhalte deshalb in Deutschland noch nicht Gesetz wurden. Diskutiert wird der Aspekt „personenbezogene Daten als Gegenleistung“. Die Richtlinie selbst hat sich insoweit eigentlich klar positioniert, indem die begrenzenden Elemente betont wurden: „Digitale Inhalte oder digitale Dienstleistungen werden häufig auch dann bereitgestellt, wenn der Verbraucher keinen Preis zahlt, sondern dem Unternehmer personenbezogene Daten zur Verfügung stellt. Solche Geschäftsmodelle treten in verschiedenen Formen in einem erheblichen Teil des Marktes auf. Obwohl in vollem Umfang anerkannt wird, dass der Schutz personenbezogener Daten ein Grundrecht ist und daher personenbezogene Daten nicht als Ware betrachtet werden können, sollte mit dieser Richtlinie sichergestellt werden, dass die Verbraucher im Zusammenhang mit solchen Geschäftsmodellen Anspruch auf vertragliche Rechtsbehelfe haben [48] (hier: Erwägungsgrund 24).

Der Praxis könnte also geraten werden, dieses deutsche Umsetzungsgesetz abzuwarten, da es von besonderer Bedeutung für das Thema des Umgangs mit Maschinendaten ist. Sofern es erfolgsrelevant ist, das geplante Geschäftsmodell schnellst möglich auf den Markt zu bringen und daher das Umsetzungsgesetz nicht abgewartet werden kann, sollte zumindest das Gesetzgebungsverfahren beobachtet werden und das Risiko von Änderungsbedarfen aufgrund geänderter gesetzlicher Rahmenbedingungen kalkuliert werden.

Für den vorzugswürdigen Fall, dass sich konzeptionell sicherstellen ließe, die Maschinendaten aus der Bewertung als „personenbezogene Daten“ und damit aus dem Datenschutz herauszuhalten, stellt sich die Frage, ob diese (Maschinen-)Daten zugunsten von irgend jemandem geschützt sind? Die wichtigste Feststellung zu diesem Punkt ist die, dass es kein Eigentum an Informationen gibt und damit auch kein Eigentum an Maschinendaten. Eigentum gibt es im Grundsatz nur an Sachen und diese sind qua Definition nur körperliche Gegenstände. Daraus folgt, dass die bisweilen in der Praxis anzutreffenden, vertraglichen Absprachen wie z. B. „Dateneigentümer der bei Betrieb der Maschine entstehenden Informationen ist der Maschinenhersteller“ ins Leere laufen. Denn die Rechtsposition „Eigentümer“, in die jemand durch diese Klausel eingewiesen werden soll, gibt es nicht.

Betrachtet man die diversen Rechtsmaterien, die unter dem Begriff „Geistiges Eigentum“ zusammengefasst werden (gewerbliche Schutzrechte sowie das Urheberrecht), so ist festzustellen, dass sich diese Regeln – entsprechend dem Eigentum in Bezug auf Sachen – jeweils im Kern um ein ausschließliches Recht an einem immateriellen Gut drehen. Die wohl einzige Materie, die insoweit für die meisten Fälle ernsthaft in Betracht kommt, ist das Recht der Geschäftsgeheimnisse [32] sowie [33], S. 647. Dieses Rechtsgebiet wurde durch die Richtlinie (EU) 2016/943 zum Schutz von Geschäftsgeheimnissen [47] europaweit harmonisiert, welche in Deutschland durch das Geschäftsgeheimnisgesetz [25] umgesetzt wurde. Mit Inkrafttreten dieses Gesetzes zum 26.04.2019 wurde dabei die hierzulande bis dahin geltende Rechtslage massiv verändert, insbesondere dadurch, dass Informationen jetzt nicht mehr allein deshalb von Rechts wegen als Geschäftsgeheimnis geschützt werden, weil sie „kraft Natur der Sache“ geheimhaltungsbedürftig seien. Der Begriff Geschäftsgeheimnis wurde in Deutschland im Zuge der Gesetzesänderung erstmals legal definiert. Diese Definition in § 2 Nr. 1 GeschGehG [25] setzt für den Status Geschäftsgeheimnis das Vorhandensein von angemessenen Geheimhaltungsmaßnahmen voraus. Möchte sich der Maschinenhersteller zumindest potentiell die Tür offenhalten, Maschinendaten für sich als Geschäftsgeheimnisse reklamieren zu können, muss er jedem, dem er seine Maschinen verkauft, vermietet oder sonst überlässt, vertraglich verbieten, die Maschinendaten zur Kenntnis zu nehmen, um diese Kenntnisnahme „unbefugt“ werden zu lassen. Ferner müssen Geheimhaltungsmaßnahmen, insbesondere technischer Art, in mindestens angemessenem Umfang ergriffen werden. Zudem sollte – in den meisten Fällen müsste – auch das Beobachten, Untersuchen, Rückbauen oder Testen der Maschine vertraglich untersagt werden, um eine Pflicht zur Beschränkung der Erlangung des Geschäftsgeheimnisses zu konstruieren. Denn kraft Gesetzes sind diese Handlungen, bei Abwesenheit der vorgenannten Beschränkung, zur Erlangung des Geschäftsgeheimnisses erlaubt [26, 27].

Kommt es jedoch nicht in Betracht, die Maschinendaten effektiv geheim zu halten (etwa weil der Benutzer der Maschine die Daten auch verwenden können soll), bietet gegenwärtig keine der Rechtsmaterien des sogenannten „Geistigen Eigentums“ einen Rechtsrahmen, in dem man sich mit Maschinendaten bewegt. Der Schutz maschinengenerierter Daten beruht daher in der juristischen Praxis weit überwiegend auf dem Grundsatz der Privatautonomie. Es ist vertraglich ein immaterielles Gut zu konstruieren, d. h. es sind die Rechte und Pflichten an Maschinendaten durch entsprechende Vertragsgestaltung zu erschaffen, was separate Vertragswerke nicht voraussetzt, sondern auch in Allgemeinen Geschäftsbedingungen erfolgen kann. Weil es zur Anwendung und Auslegung sowohl der zivilrechtlichen, der strafrechtlichen und der kapitalmarktrechtlichen „Verbotsvorbehalte” kaum Rechtsprechung gibt, ist es sogar als erforderlich zu bezeichnen, der bestehenden Rechtsunsicherheit durch Verträge entgegenzutreten [53], RN 107 ff.

Bislang selten betrachtet wurde das Thema Daten im Kontext einer Unternehmensinsolvenz. Eine der Kernaussagen in diesem Kontext ist, dass Daten in die Insolvenzmasse fallen [56], S. 459. Insoweit sei nur kurz angemerkt, dass vertragliche Gestaltungen, die an die Eröffnung eines Insolvenzverfahrens anknüpfen und dann z. B. Kündigungsmöglichkeiten vorsehen, in aller Regel unwirksam sind. Für das in der Praxis häufig anzutreffende Beispiel der Kündigungsmöglichkeit für diesen Fall liegt der Grund darin, dass eine solche Vertragsgestaltung das gesetzliche Wahlrecht des Insolvenzverwalters, ob laufende Verträge fortgesetzt werden oder nicht, aushöhlen würde.

Der Vertragsgestaltung zur Konstruktion von Rechten an Maschinendaten sind zudem dort Grenzen gesetzt, wo es kraft Gesetz Zugangsrechte zu Daten gibt. Solche ergeben sich nur höchst ausnahmsweise aus allgemeinen Gesetzen, also solchen, welche sich nicht speziell mit Daten befassen. Anzuführen ist insoweit namentlich das Kartellrecht und ein etwaiger sich daraus ergebener Kontrahierungszwang, der zur Erteilung sogenannter Zwangslizenzen führen kann. Die sogenannte „essential facilities doctrine“ könnte auf einen Datenbestand anzuwenden sein [36], S. 217 oder die Verhinderung des Zugangs zu den Daten bzw. zum System, welches mit den Daten arbeitet, könnte im Einzelfall ein Marktmachtmissbrauch sein [3]. Im Wesentlichen ergeben sich gesetzliche Zugangsrechte indes aus Gesetzen, die spezielle Regelungen für den Umgang mit Daten beinhalten. Am 25.11.2020 veröffentlichte die EU-Kommission einen Vorschlag für eine neue Verordnung mit dem Titel „Daten-Governance-Gesetz“ [63]. Sobald sich der Rat und das Parlament je einen Standpunkt zu diesem Vorschlag gebildet haben, wird der Trilog, mithin das ordentliche europäische Gesetzgebungsverfahren, seinen Lauf nehmen. Ziel des allgemein gehaltenen, also nicht-sektorspezifischen Vorschlags ist ein Rechtsrahmen für die Nutzung von Daten, die im Rahmen bestehender Vorschriften zur Verfügung gestellt werden, ohne diese bestehenden Vorschriften zu ändern oder neue sektorale Verpflichtungen zu schaffen. Insoweit sei nur am Rande bemerkt, dass es sektorspezifische Rechtsvorschriften über den Datenzugang gibt, die bereits in Kraft sind, in Bereichen wie Automobilindustrie [58], Zahlungsdienstleister [46], Daten intelligenter Verbrauchsmesssysteme [49], Stromnetzdaten [60], intelligente Verkehrssysteme [43], Umweltinformationen [41] und Geodaten [42].

Das nunmehr vorgeschlagene Daten-Governance-Gesetz zielt insbesondere darauf ab, die Verfügbarkeit von Daten zur Nutzung zu fördern, indem es Regelungen für die gemeinsame Datennutzung durch Unternehmen gegen Entgelt in jedweder Form enthält. Auch soll die Nutzung personenbezogener Daten ermöglicht werden, mithilfe eines „Mittlers für die gemeinsame Nutzung personenbezogener Daten“, der die betroffene Person bei der Ausübung ihrer Rechte gemäß der Datenschutz-Grundverordnung unterstützen soll. Es steht jedoch zu erwarten, dass dieser Vorschlag für eine neue Verordnung hochgradig umstritten sein wird [65], S. 288 und das Gesetzgebungsverfahren daher sehr lange dauern wird.

Der Blick auf die Maschinendaten muss damit abgerundet werden, dass man sich bewusst macht, dass die Daten als solche nicht der einzige Anknüpfungspunkt für zukünftige und heute schon vorhandene Gesetze sind. Wird wie eingangs erwähnt, neue Wertschöpfung dadurch erreicht, dass alte Maschinen „smart“ gemacht werden, gelten für diese Maschinen rechtliche Anforderungen, die wahrscheinlich zuvor nicht einschlägig waren. Wird z. B. zur Beantwortung der Frage, wie die in der Maschine während ihrer Benutzung generierten Daten aus der Maschine heraus transportiert werden sollen, die Antwort WiFi, Bluetooth, NFC, o. ä. gegeben, bewegt man sich in der Regel in den jeweils nationalen Gesetzen zur Umsetzung, z. B. der Richtlinie 2014/53/EU über die Bereitstellung von Funkanlagen auf dem Markt [50], der Richtlinie 2014/35/EU über die Bereitstellung elektrischer Betriebsmittel (Niederspannungsrichtlinie) [45] oder der EU-Richtlinie 2014/30/EU über die elektromagnetische Verträglichkeit [44].

Abgesehen von den somit angesprochenen elektrotechnischen Herausforderungen, denen man sich als produzierender Mittelständler sicherlich gut gewachsen sieht, muss man auch die Herausforderungen der Informationstechnologie in den Blick nehmen. Angenommen die Kühlschränke, die man bislang produzierte, sollten nunmehr als „smarte“ Kühlschränke nach dem Konzept von IoT permanent mit dem Internet verbunden sein, so darf man die Frage nach der Verantwortlichkeit stellen, wenn dieser Kühlschrank zum Zombie in einem Botnetz wird und gesteuert durch den Command & Control Server Angriffe gegen die IT eines Krankenhauses fährt, wodurch dort Steuerungssysteme ausfallen und Menschen ums Leben kommen. Wie das Handelsblatt und zahlreiche weitere Medien am 18.09.2020 zu berichten wussten, kam es nach einem Hackerangriff auf die Uni-Klinik Düsseldorf zu einem Todesfall [30]. Am 09.02.2021 berichtete der Sicherheitsspezialist G DATA, dass sich im US-Bundesstaat Florida Unbekannte über ein schlecht gesichertes Remote-Wartungsprogramm Zugriff auf Systeme eines Wasserwerkes verschafft hatten [20]. Dabei konnten sie die Konzentration einer zur Wasserbehandlung eingesetzten Chemikalie verändern. Aus Sicherheitskreisen wie etwa dem Cybercrime-Kompetenzzentrum beim LKA NRW ist nunmehr schon seit mindestens zwei Jahren regelmäßig wiederkehrend zu vernehmen, dass sich die Frage nicht mehr stellt, ob sich ein Unternehmen einem Cyberangriff ausgesetzt sehen wird, sondern heute nur noch zu fragen ist, wann der nächste Angriff stattfinden wird. Die Lage der IT-Sicherheit in Deutschland 2020 wurde vom Bundesamt für Sicherheit in der Informationstechnik im gleichnamigen Jahresbericht [6], den die Behörde am 20.10.2020 veröffentlichte, als „angespannt“ bezeichnet. Um zwei andere Beispiele zu nennen, die nicht Leib und Leben bedrohten, sondern nur Geld und wirtschaftliche Existenzen: Der niedersächsische MDax-Konzern Symrise, der etwa 10.000 Mitarbeiter beschäftigt, wurde Mitte Dezember 2020 Opfer einer schweren Attacke unbekannter Hacker. Die Produktion in Holzminden stand weitgehend still [31]. Andere Zeitungen berichteten nicht nur von IT-Sicherheitsvorfällen, sondern wurden selbst davon beeinträchtigt. Die Funke Mediengruppe wurde am 22.12.2020 nach eigenen Angaben Opfer eines Hackerangriffs [17]. Die Tageszeitungen WAZ, Hamburger Abendblatt und Berliner Morgenpost erschienen in der Folge als erheblich dünnere Notausgaben. Diese Beispiele zeigen, dass zunehmend kriminelle Energie gezielt gegen Schwachstellen der IT-Sicherheit eingesetzt wird, etwa um Lösegeldzahlungen zu erpressen. Mit dem 2019 als Präventionsprojekt der Sicherheitspartnerschaft NRW erstmalig erstellten „Lagebild Wirtschaftsschutz“ [16] wurden aufgrund repräsentativer Erhebungen Beschreibungen der Unternehmenssicherheit erarbeitet, mit dem Fokus auf Wirtschafts- und Cyberkriminalität gegen kleine und mittlere Unternehmen. Während althergebrachte, physische Sicherheitsaspekte durchaus von den meisten Unternehmen adäquat adressiert wurden, war die IT-Sicherheit eher unerschlossenes Brachland.

Der Rechtsrahmen für die IT-Sicherheit in allgemeinen Produkten bzw. Maschinen ist aktuell noch als rudimentär zu bezeichnen. Der zuvor erwähnte Todesfall löst reflexartig Überlegungen aus, die in Richtung Produktsicherheit und Produkthaftung gehen und die auch – ungeachtet der neuen Technik – in den alten Rechtsrahmen passen, weil dieser technikneutral formuliert ist. Dieser Haftungsrahmen ist ganz besonders in den Blick zu nehmen, falls – wie eingangs erwähnt – in die Maschinen im Zuge der Digitalisierung auch Aktoren, also Komponenten zur Steuerung der Maschine, eingebracht werden sollen (oder bereits vorhanden sind) und die Systeme dann auch noch vernetzt werden.

Thematisch spezielle Anforderungen brachte im Jahr 2015 das „IT-Sicherheitsgesetz“ [23]. Es fügte in § 13 TMG einen neuen Absatz 7 ein, der die entscheidenden Vorgaben macht, jedenfalls dann, wenn über die Systeme die Maschinendaten auch dem Benutzer der Maschine zugänglich gemacht werden. Zumindest in diesen Fällen dürfte von einem Anbieter-Nutzer Verhältnis im Sinne des TMG auszugehen und der Anwendungsbereich vorgenannter Norm unzweifelhaft eröffnet sein. Danach ist u. a. durch technische und organisatorische Vorkehrungen sicherzustellen, dass kein unerlaubter Zugriff auf die für den Dienst genutzten technischen Einrichtungen möglich ist. Verstöße gegen die Norm sind aktuell schon bußgeldbewehrt; allerdings ist noch kein Fall öffentlich bekannt geworden, in dem ein solches Bußgeld einmal verhängt worden wäre. Mit dem „IT-Sicherheitsgesetz 2.0“ [34] sowie [24], S. 1122 wurde ein neuer § 7d BSI-G geschaffen, der dem Bundesamt für Sicherheit in der Informationstechnik eine Kompetenz verleiht, Anordnungen zur Mangelbeseitigung im Bereich der Schutzmaßnahmen gem. § 13 Abs. 7 TMG treffen zu können. Mit dem zum 01.12.2021 in Kraft tretenden Telekommunikations-Telemedien-Datenschutzgesetz (TTDSG) [28], S. 1982 wird die Aufhebung u. a. von § 13 TMG einhergehen, wobei die dort in Absatz 7 durch das IT-Sicherheitsgesetz 2015 eingeführte Regelung erhalten bleibt und nur an eine andere Stelle (↑§ 19 Abs. 4 TTDSG) verschoben wird. Mit dem TTDSG wird (erstmals vollständig) die ePrivacy-Richtlinie in Deutschland umgesetzt, sodass dieses Gesetz von herausgehobener Bedeutung für den zukünftigen Umgang mit Maschinendaten ist.

Mit Blick auf die Praxis ist bedauerlich, dass das Thema Maschinendaten in einen sich gegenwärtig stark in Veränderungsprozessen befindlichen Rechtsrahmen fällt. Gleichzeitig ist aus diesem Blickwinkel heraus erfreulich, dass die bislang nur rudimentär vorhandenen Regeln ausgebaut und dadurch konkretisiert werden, sodass für die Zukunft eine verläßlichere Basis geschaffen wird.

Das Thema ist politisch hochgradig virulent und Änderungen der Rechtslage sind zu erwarten. Am 19.02.2020 verkündete die EU-Kommission die sogenannte „europäische Datenstrategie“ und legte u. a. am 25.11.2020 den zuvor erwähnten Entwurf des „Daten-Governance-Gesetz“ [63] sowie am 16.12.2020 den Entwurf für eine neue Richtlinie über Maßnahmen zur Gewährleistung eines hohen gemeinsamen IT-Sicherheitsniveaus [62] vor. In Deutschland beschloss am 27.01.2021 das Kabinett die sogenannte „Datenstrategie der Bundesregierung“ – mit rund 240 Maßnahmen [10].