Doe v. GitHub: Das Neunte Bundesberufungsgericht ordnet das Haftungsrisiko neu

Die Entscheidung vom 16. September 2026

Am 16. September 2026 hat das Bundesberufungsgericht für den Neunten Bezirk die Entscheidung im Verfahren Doe v. GitHub, Inc. (No. 24-7700)^[1] verkündet und damit die erstinstanzlich ausgesprochene Teilabweisung bestätigt.

Der Fall gelangt im Wege der Zwischenberufung nach 28 U.S.C. § 1292(b) in die zweite Instanz. Das erstinstanzliche Verfahren trägt das Aktenzeichen 4:22-cv-06823-JST und liegt bei Richter Jon S. Tigar, Northern District of California.

Dem Spruchkörper gehören die Circuit Judges Sidney R. Thomas und Eric D. Miller sowie, abgeordnet, District Judge Stanley Blumenfeld, Jr. an. Die Entscheidung stammt aus der Feder von Richter Miller. Verhandelt wurde am 11. Februar 2026 in San Francisco.

Auf dem Prüfstand stehen GitHub Copilot und Codex, Werkzeuge, die Code schreiben und dabei auf Sprachmodelle zurückgreifen, die mit Millionen von Softwareprojekten der Plattform trainiert wurden.

Zwei Ebenen, die Unternehmen als eine behandeln

Die Entscheidung trennt zwei Fragen, die Aufsichtsräte und Vorstände als eine einzige behandeln: wer klagen darf und welche Norm dem Kläger recht gibt.

Auf der ersten Ebene gewinnen die Programmierer. Der Spruchkörper erkennt die Klagebefugnis nach Artikel III an, weil die Kläger ein erhebliches Schadensrisiko schlüssig dargelegt haben.

Auf der zweiten Ebene kippt das Ergebnis. Das Gericht verneint, dass dieser Vortrag einen Anspruch nach § 1202(b) DMCA begründet, also nach jener Vorschrift, die die Informationen zur Wahrnehmung des Urheberrechts schützt.

Diese Unterscheidung wiegt in der Risikobilanz schwer. Eine offene prozessuale Tür bei gleichzeitig verschlossener materieller Theorie erzeugt Rechtsstreitigkeiten, die andauern, Geld kosten und auf andere Anspruchsgrundlagen ausweichen. Das Governance-Signal lautet: Die Zugangsschwelle zum Gericht bleibt niedrig, die Haftungsschwelle steigt.

Die «Output»-Theorie und der Grund für die Abweisung

Die Kläger machten geltend, Copilot und Codex gäben ihren Code wieder und entfernten dabei die Urhebernennung.

§ 1202(b) erfasst das Entfernen oder Verändern von Informationen zur Rechtewahrnehmung an einem Vervielfältigungsstück eines bestehenden geschützten Werks. Der Spruchkörper wendet den Wortlaut der Norm an und kommt zu dem Schluss, dass die Werkzeuge neue Werke schaffen, denen diese Informationen von Anfang an fehlen.

Der Schritt ist technisch und entscheidend. Eine Kopie, der die Urhebernennung entzogen wurde, fällt unter den Tatbestand; ein Output, der bereits ohne Urhebernennung entsteht, bleibt außerhalb des Anwendungsbereichs.

Wer die Entscheidung als Generalfreispruch für generative Modelle liest, überdehnt den Text. Der Spruchkörper entscheidet über eine einzelne Vorschrift des DMCA, in einem einzelnen Verfahrensstadium, innerhalb der Grenzen des klägerischen Vortrags. Die übrigen Theorien bleiben, wo sie waren.

Die «Input»-Theorie bleibt auf dem Tisch

Der für die kommenden zwölf Monate wichtigste Punkt steht in einer verfahrensrechtlichen Zeile.

Der Spruchkörper lehnt es ab, die «Input»-Theorie der DMCA-Haftung zu prüfen, und behandelt sie als nicht weiterverfolgt. Die Frage bleibt eine prozessuale: Sie betrifft die Art und Weise, wie das Argument in den Vorinstanzen eingeführt wurde, und lässt die materielle Rechtslage unberührt.

Für den General Counsel ist die Lesart eindeutig. Eine in diesem Verfahren als forfeited behandelte Theorie bleibt anderen Klägern in anderen Verfahren offen, mit einem Vortrag, der von der ersten Instanz an besser aufgebaut ist. Das Risiko aus der Trainingsphase bleibt damit offen, und eine Verteidigungslinie, die allein auf das «Output»-Ergebnis setzt, steht schief.

Die Frage nach der Erzeugung des Outputs ist beantwortet. Eine zweite Frage, die nach der Verarbeitung der Trainingsdaten, hat sich geöffnet.

Die Risikolandkarte für alle, die Assistenten bereits im Produktivbetrieb haben

Für eine Organisation, die Code-Assistenten im Produktivbetrieb einsetzt, zeichnet die Entscheidung die Risikolandkarte neu, statt sie zu löschen.

Die Abweisung des Anspruchs nach § 1202(b) schließt einen Weg. Die anderen bleiben begehbar: die klassische Urheberrechtsverletzung, die Einhaltung von Open-Source-Lizenzen und ihrer Namensnennungspflichten, der Vertrag mit dem Anbieter des Werkzeugs, der Schutz von Geschäftsgeheimnissen.

Viele freie Lizenzen knüpfen die Nutzung an die Beibehaltung des Urhebervermerks. Ein Assistent, der Code ohne diesen Vermerk ausgibt, verschiebt das Problem vom DMCA in das Lizenz- und Vertragsrecht. Der Rahmen ändert sich, die Prüfpflicht bleibt.

Hier braucht es einen Namen. Welche Funktion verantwortet, schriftlich und vor dem Deployment, die Herkunft und die Urhebernennung des im Unternehmen generierten Codes? Ein Framework, das diese Frage offenlässt, produziert Dokumentation statt Governance.

Die europäische Ebene folgt einer anderen Norm

Die Entscheidung bindet die Bundesgerichte des Neunten Bezirks. Wer in Europa tätig ist, unterliegt einem anderen Regelwerk, mit anderen Pflichten und anderen Aufsichtsinstanzen.

Die Verordnung (EU) 2024/1689, der AI Act, ist seit dem 1. August 2024 in Kraft. Die Pflichten für Modelle mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025, die Transparenzpflichten nach Artikel 50 ab dem 2. August 2026.

Der europäische Rahmen verlangt also Nachvollziehbarkeit des Modells und Information der Nutzer, statt einer Regel zur Urhebernennung des einzelnen Codefragments.

Im Bereich des Datenschutzes handeln die Aufsichtsbehörden bereits kontinuierlich. Der Europäische Datenschutzausschuss hat über das Bußgeld in Höhe von 300.000 Euro berichtet, das die CNIL gegen das Unternehmen Extia wegen Missachtung der Betroffenenrechte verhängt hat, wie die Mitteilung auf der Website des EDSA^[2] berichtet. Der Gegenstand ist ein anderer, doch die Linie der europäischen Durchsetzung zeichnet sich klar ab: Verfahren, Rechte, Nachweis durch Dokumentation.

Drei Entscheidungen für das Aufsichtsgremium

Die Entscheidung verwandelt drei abstrakte Fragen in Weichenstellungen mit einer Frist.

1. General Counsel: die Verträge mit den Anbietern von Code-Assistenten erfassen und festlegen, wer die Freistellungspflicht im Bereich des geistigen Eigentums übernimmt.
2. Chief Risk Officer: das Risikoregister aktualisieren und dabei den Posten DMCA von dem Posten Open-Source-Lizenzen trennen, mit zwei getrennten Bewertungen und zwei getrennten Verantwortlichen.
3. Prüfungs- und Risikoausschuss: vom Management den Namen der Funktion verlangen, die für die Herkunft des generierten Codes einsteht, sowie das Datum der nächsten Überprüfung.

Die Überprüfung ist schriftlich durchzuführen, mit datierten und archivierten Ergebnissen. Das Audit bleibt erforderlich; sein Umfang hat sich verändert.

Dem CEO bleibt eine strategische Entscheidung mit klaren Vorgaben: welche Projekte von generiertem Code abhängen und welches Kontrollniveau das Unternehmen vor dem Release finanziert. Die heute aufgebaute Compliance wirkt als Wettbewerbsvorteil statt als Kostenfaktor.

Regulatorischer Ausblick

Aktueller Stand: Die Entscheidung ist am 16. September 2026 ergangen und im Neunten Bezirk wirksam. Das erstinstanzliche Verfahren wird mit den verbliebenen Anträgen vor dem Northern District of California fortgesetzt.

Zuständigkeit: US-Bundesrecht für den DMCA, mit unmittelbarer Wirkung in den Bundesstaaten des Neunten Bezirks, Kalifornien eingeschlossen. Für europäische Betreiber bleibt die Verordnung (EU) 2024/1689 maßgeblich, die stufenweise anwendbar wird.

Fristen: Die Transparenzpflichten nach Artikel 50 gelten ab dem 2. August 2026, und die Durchführungsarbeiten des AI Office laufen weiter. Organisationen, die heute eine Funktion benennen, die Herkunft nachverfolgen und die Ergebnisse archivieren, treffen auf die aktive Durchsetzungsphase vorbereitet.

Ein Weg ist im Neunten Bezirk verschlossen. Die Landkarte im übrigen Teil der Welt bleibt zu begehen.