Entwicklung und Einführung von Unternehmenssoftware: Welche Rolle spielt das Recht?

Die Europäische Union (EU) ist Vorreiterin bei der Regulierung fortschrittlicher Technologien. Hohe Strafen bei Verstößen verlangen von Unternehmen, die Unternehmenssoftware einsetzen, besondere Sorgfalt – ob SAP, Oracle oder Odoo. Die zunehmende Abhängigkeit von zentralen Datenbanken und künstlicher Intelligenz (KI) wirft neue Fragen zu Datenschutz, Systemsicherheit und ethischen Auswirkungen auf und erhöht das Risiko von Datenschutzverletzungen, Datenlecks und unzureichender Aufsicht.
Auch die Gesetzgebung im Westbalkan wird komplexer. Serbien hat sein Datenschutzgesetz bereits vor einigen Jahren verabschiedet. Bosnien und Herzegowina (BiH) folgte im Februar dieses Jahres, als das neue Gesetz zum Schutz personenbezogener Daten in Kraft trat. Beide Gesetze stimmen deutlich mit der Datenschutz-Grundverordnung (DSGVO) überein, doch die Praxis zeigt, dass die Anwendung der DSGVO zahlreiche Gerichtsverfahren und weitere Auslegungen nach sich zieht. Es braucht daher genauere Leitlinien, die die Gesetzgebung im Westbalkan noch nicht vollständig abdeckt.
Für Unternehmen aus der EU wiederum ist die schrittweise Angleichung der Rechtsvorschriften in BiH und Serbien an europäische Standards ein wichtiges Signal für Rechtssicherheit und Verlässlichkeit. Ein solcher Rahmen stärkt das Vertrauen und erleichtert die Zusammenarbeit mit Partnern vom Balkan, insbesondere bei der Datenverarbeitung, der Erbringung digitaler Dienstleistungen und der gemeinsamen Teilnahme am digitalen Binnenmarkt der EU. Softwarelösungen wie Odoo All-in-One können wesentlich dabei helfen, regulatorische Anforderungen zu erfüllen. Odoo SA bietet Cloud-Hosting-Dienste an und entwickelt seine Systeme und Werkzeuge laufend weiter, um eine sichere Plattform zu betreiben und bewährte Verfahren in den Bereichen Datenschutz und Sicherheit umzusetzen.
Wichtig ist: Auch wenn eine Unternehmenssoftware zahlreiche regulatorische Anforderungen unterstützt, liegt die Verantwortung für die vollständige Rechtskonformität immer beim Endanwender – dem Unternehmen, das die Software nutzt. Die Einführung jeder fortschrittlichen Technologielösung erfordert daher die Erfüllung der Compliance-Anforderungen, definierte interne Abläufe, sauber formulierte Geschäfts- und Datenschutzrichtlinien sowie Schulungen der Mitarbeitenden.
Odoo ist ein Beispiel für Unternehmenssoftware auf dem Markt, bei der Recht und Ethik mit der Technologie Schritt halten müssen. Damit ein Unternehmen wirklich rechtskonform arbeitet, muss jede Einführung von Unternehmenssoftware von einer genauen rechtlichen Analyse und einer technischen Lokalisierung begleitet werden.

Zentrale EU-Vorschriften für Unternehmenssoftware, einschließlich Odoo

Da Softwarelösungen allein oft nicht ausreichen, gehören zu echter Rechtskonformität bei der Digitalisierung und Optimierung von Geschäftsprozessen mit fortschrittlichen Technologien auch interne Richtlinien, regelmäßige Schulungen der Mitarbeitenden sowie klare Abläufe für den Umgang mit personenbezogenen Daten und die Wahrung der Betroffenenrechte. Transparenz ist daher entscheidend bei Geschäftsprozessen, in denen personenbezogene Daten oder KI-gestützte Werkzeuge verwendet werden.

Die DSGVO ist die grundlegende EU-Verordnung zum Schutz personenbezogener Daten von EU-Bürgerinnen und -Bürgern. Ihre Regeln legen fest, wie Unternehmen, die auf dem EU-Markt tätig sind oder solche Daten außerhalb der EU für ihre Geschäftstätigkeit nutzen, personenbezogene Daten von EU-Bürgern verarbeiten dürfen. Odoo bietet als All-in-One-Unternehmenssoftware hierfür eine Reihe von Funktionen. Doch auch bei der Einführung einer solchen Softwarelösung ist eine rechtliche Prüfung notwendig, ob das System so implementiert wurde, dass es die rechtlichen Vorgaben der DSGVO einhält.

Die KI-Verordnung der EU (AI Act) ist der neue Rechtsrahmen für künstliche Intelligenz und bringt zusätzliche Pflichten für Unternehmen, die in der EU tätig sind. Odoo nutzt KI beispielsweise zur Automatisierung und Personalisierung von Prozessen (z. B. Absatzprognosen, CRM-Segmentierung). Das erfordert eine Risikoeinstufung und gegebenenfalls zusätzliche Maßnahmen gemäß AI Act. Der AI Act verlangt Transparenz, menschliche Aufsicht und die Erklärbarkeit von Entscheidungen – insbesondere bei Hochrisikosystemen. Dies muss der Softwareanwender gemäß Gesetz sicherstellen. Bei der Einführung von Unternehmenssoftware sind diese Anforderungen des AI Act daher zu berücksichtigen.

Der weitere Rechtsrahmen: verwandte EU-Vorschriften für Unternehmenssoftware, einschließlich Odoo

Neben DSGVO und AI Act gibt es in der EU eine Reihe weiterer Rechtsrahmen für die Entwicklung und Einführung von Unternehmenssoftware. Sie sind einzuhalten, wenn ein Unternehmen in der EU tätig ist oder Daten von EU-Bürgern verwendet.

Für Cookies und elektronische Kommunikation gilt die ePrivacy-Richtlinie, die diesen Bereich regelt. Im Odoo-Kontext ist sie vor allem für die Website-Module und das CRM wichtig.

Der EU Digital Services Act (DSA) hat Pflichten für Plattformen eingeführt, die Dienste für Endnutzer anbieten. Bei Odoo ist der DSA für Module wie eCommerce, Forum oder das Kundenportal relevant.

Sicherheitsanforderungen an Softwaresysteme im Gesundheitswesen, im Bildungsbereich und im Finanzsektor fallen unter die NIS2-Richtlinie.

Zusätzlichen Schutz für die Endkunden von Odoo-Anwendern regelt das Verbraucherrechtspaket (CRD, Omnibus). Diese Rechtsrahmen regeln Preise, personalisierte Angebote und die Transparenz von Bewertungen – zentral für das Odoo-Modul Verkauf.

Im Zusammenhang mit Unternehmenssoftware, auch mit Odoo, ist außerdem der European Accessibility Act relevant. Er verpflichtet Unternehmen, Software und Webinhalte für Menschen mit Behinderungen barrierefrei zugänglich zu machen.

Letztlich hängt der Umfang der EU-Regulierung von der Branche ab – je stärker eine Branche reguliert ist, desto komplexer ist der Rechtsrahmen für die Entwicklung von Softwarelösungen.

Was bedeuten die EU-Vorschriften für Unternehmen aus BiH oder Serbien, die ihre Geschäftsprozesse digitalisieren und in der EU tätig sind?

Für Unternehmen aus BiH oder Serbien, die in der EU Waren oder Dienstleistungen anbieten, ist die Einhaltung der EU-Vorschriften keine Frage der Wahl, sondern eine gesetzliche Pflicht.
So gelten die Regeln der DSGVO nicht nur für Unternehmen mit Sitz in der EU, sondern auch für alle Unternehmen außerhalb der EU, die Daten von EU-Bürgern verarbeiten oder auf diesem Markt Waren und Dienstleistungen anbieten. Verstöße gegen europäische Standards können ernste Folgen haben – von hohen Geldbußen und Einschränkungen der Geschäftstätigkeit bis zum Vertrauensverlust bei Kunden und Geschäftspartnern.
Die Einhaltung von Vorschriften wie DSGVO, AI Act und weiteren EU-Rechtsrahmen ermöglicht es Unternehmen aus BiH, rechtssicher und transparent zu arbeiten und gleichberechtigt am digitalen Binnenmarkt der EU teilzunehmen.

Warum sollten Sie bei der Digitalisierung ein technisches und ein juristisches Team einbinden?

Die Digitalisierung mit fortschrittlichen Werkzeugen wie Odoo erfordert die rechtzeitige Einbindung von Rechts- und Technikexperten. Andernfalls entstehen Lücken zwischen den Funktionen der Software und den tatsächlichen rechtlichen Pflichten, die der Anwender erfüllen muss. Im Folgenden zeigen wir kurz zwei Beispiele, die verdeutlichen, wie wichtig die Zusammenarbeit von Rechts- und Technikexperten bei der Entwicklung und Einführung von Softwarelösungen ist.

1. Automatisierte Entscheidungsfindung und Kundenprofiling

Bietet eine Unternehmenssoftware einen Algorithmus für Kundenprofiling oder automatisierte Entscheidungen (z. B. das Angebot eines bestimmten Produkts), müssen die gesetzlichen Pflichten für automatisierte Entscheidungen und Profiling beachtet werden. So legt Artikel 22 DSGVO fest, dass betroffene Personen das Recht haben, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Der Artikel sieht auch Ausnahmen vor. Automatisierte Entscheidungen oder Profiling sind zulässig, wenn die personenbezogenen Daten mit ausdrücklicher Einwilligung erhoben wurden oder sich aus einem Vertragsverhältnis ergeben.
Der Artikel sieht zusätzliche Bedingungen vor, etwa ein sinnvolles menschliches Eingreifen bei der automatisierten Entscheidung oder dem Profiling. Konkret: Stellen Sie sich ein Unternehmen vor, das personenbezogene Daten erhebt, verarbeitet und für personalisierte Werbung nutzt – in der Annahme, dass genau diese Dienstleistung oder dieses Produkt Gegenstand eines Geschäfts mit der Person werden könnte, deren Daten es verwendet.
Technisch kann eine Unternehmenssoftware, auch Odoo, die Funktionen bereitstellen, um Daten zu erfassen und solche Prozesse anzustoßen. Keine Software kann jedoch die ausdrückliche Einwilligung der Betroffenen für eine solche Verarbeitung einholen oder ein sinnvolles menschliches Eingreifen garantieren – beides ist nötig, um einen Verstoß gegen Artikel 22 DSGVO zu vermeiden. Die Software kann Kunden automatisch anhand ihrer Einkäufe segmentieren und ihnen automatisch personalisierte Angebote senden. Wenn solches Profiling und automatisierte Entscheidungen den Kunden erheblich beeinträchtigen (z. B. ihn von einer bestimmten Leistung ausschließen oder ihn ohne menschliche Prüfung als Risikokunden einstufen), muss das Unternehmen, das solche Lösungen nutzt, eine Rechtsgrundlage sicherstellen (etwa eine ausdrückliche Einwilligung) und einen Mechanismus für sinnvolles menschliches Eingreifen, eine Erklärung der Logik hinter der Entscheidung sowie eine Möglichkeit zur Anfechtung bieten.
Eine Unternehmenssoftware ist also zwar technisch in der Lage, automatisierte Entscheidungen zu treffen oder Profile zu erstellen, bietet aber von sich aus nicht alle verfahrensrechtlichen und ethischen Schutzmaßnahmen, die für die Einhaltung von Artikel 22 DSGVO entscheidend sind. Das Unternehmen muss daher interne Prozesse, Datenschutzrichtlinien, Beschwerdemechanismen und Mitarbeiterschulungen festlegen, um diese „Compliance-Lücke“ zu schließen.

2. Rechtskonformität von Unternehmenswebsites in Bosnien und Herzegowina

Wir haben eine beträchtliche Zahl von Unternehmen in BiH und ihre Websites mit Onlineshops analysiert. Da das neue Gesetz zum Schutz personenbezogener Daten in BiH in Kraft getreten ist und weitgehend den Grundsätzen der DSGVO folgt, war diese Analyse entscheidend, um zu beurteilen, wie gut der Markt in BiH vorbereitet ist. Die detaillierte Analyse ergab, dass viele öffentlich zugängliche Websites mit Onlineshops von in BiH registrierten Unternehmen nicht den in BiH geltenden Vorschriften entsprechen. Zudem erfüllen die meisten in BiH registrierten Unternehmen auch die EU-Standards nicht, obwohl sie ihre Waren und Dienstleistungen online auch in der EU anbieten.
Die wichtigsten festgestellten Mängel der Unternehmenswebsites betreffen vor allem intransparente Datenschutzrichtlinien.
Beim Besuch dieser Websites fällt auf:
• Verantwortlicher und Auftragsverarbeiter sind nicht klar benannt.
• Zweck und Rechtsgrundlage der Datenverarbeitung werden nicht beschrieben.
• Die Rechte der Nutzer sind nicht klar festgelegt, und die Wege zu ihrer Ausübung werden nicht erklärt.
• Es fehlen Angaben zu Dritten, an die Daten weitergegeben werden, und zu etwaigen internationalen Datenübermittlungen.
• Es sind keine Speicherfristen und keine angemessenen Schutzmaßnahmen festgelegt.
• Cookies werden nicht offengelegt, und es fehlen Mechanismen für die Einwilligung der Nutzer (Cookie-Consent-Banner).
Das zeigt deutlich, wie dringend eine sorgfältig ausgearbeitete und umgesetzte Datenschutzrichtlinie nötig ist, die alle gesetzlich vorgeschriebenen Kernelemente enthält und an die Besonderheiten des neuen Gesetzes in BiH angepasst ist – ebenso wie interne Unternehmensrichtlinien, die mit den übrigen in BiH geltenden Gesetzen übereinstimmen.
Ist ein Unternehmen in der EU tätig, müssen dieselben Richtlinien und Dokumente an EU-Standards angepasst und auf der Unternehmenswebsite transparent gemacht werden. Die Einhaltung der EU-Vorschriften ist nicht nur wichtig, um hohe Strafen zu vermeiden, sondern auch, um das Geschäftsportfolio und das Vertrauen von Partnern und Kunden im EU-Markt zu stärken – besonders für Unternehmen, die über die Grenzen von BiH hinaus tätig sind.

Was ist das Fazit?

Digitalisierung ohne angemessene rechtliche und technische Unterstützung ist ein ernstes Risiko für Unternehmen, die in der EU, in BiH oder in Serbien tätig sind. Unternehmenssoftware wie Odoo kann leistungsstarke Funktionen bieten, aber echte Rechtskonformität beginnt erst dort, wo Technologie auf Recht und Ethik trifft. Deshalb ist bei der Entwicklung, Einführung oder Aktualisierung von Software die interdisziplinäre Zusammenarbeit verschiedener Teams entscheidend – vom technischen bis zum rechtlich-ethischen Team.

Wolfinne.com unterstützt Sie umfassend bei Audits und rechtlich-ethischer Beratung, damit Ihre digitale Transformation vollständig mit allen relevanten Vorschriften und bewährten Verfahren übereinstimmt.