Rechtliche Grauzonen im Internet: Grenzen, Haftung und Handlungsmöglichkeiten nach deutschem Recht

Das Internet ist kein rechtsfreier Raum. Dennoch lässt sich bei vielen digitalen Handlungen nicht ohne Weiteres erkennen, ob sie erlaubt, verboten oder nur unter bestimmten Voraussetzungen zulässig sind. Darf ein öffentlich zugängliches Foto in einem eigenen Beitrag erscheinen? Wann wird eine scharfe Bewertung zur Persönlichkeitsrechtsverletzung? Sind frei erreichbare Daten auch frei verwendbar? Solche Fragen betreffen Privatpersonen ebenso wie Unternehmen, Vereine und Betreiber digitaler Angebote.

Die Bezeichnung „rechtliche Grauzone“ verdeckt dabei unterschiedliche Probleme. Mitunter ist die Auslegung einer Vorschrift tatsächlich ungeklärt. Häufig bestehen jedoch rechtliche Regeln, deren Anwendung von schwer feststellbaren Umständen abhängt. In anderen Fällen werden Verstöße lediglich selten verfolgt oder von Plattformen geduldet. Aus fehlender Durchsetzung folgt keine rechtliche Erlaubnis.

Für die Einordnung in Deutschland sind insbesondere das Bürgerliche Gesetzbuch, das Urheberrechtsgesetz, das Strafgesetzbuch sowie das Datenschutz- und Wettbewerbsrecht maßgeblich. Hinzu kommen unmittelbar geltende europäische Regelungen, vor allem die Datenschutz-Grundverordnung und der Digital Services Act. Welche Vorschriften im konkreten Fall eingreifen, hängt unter anderem von der betroffenen Handlung, den beteiligten Personen und dem räumlichen Anwendungsbereich ab.

Begriffsklärung: Was eine rechtliche Grauzone tatsächlich ausmacht

Unbestimmte Rechtsbegriffe und notwendige Abwägungen

Rechtsnormen müssen auf unterschiedliche Lebenssachverhalte passen. Deshalb verwenden sie Begriffe wie „berechtigte Interessen“, „unzumutbare Belästigung“ oder „offensichtlich rechtswidrig“. Deren Bedeutung ergibt sich aus dem jeweiligen gesetzlichen Zusammenhang und der gerichtlichen Auslegung. Derselbe Ausdruck kann in verschiedenen Vorschriften unterschiedliche Funktionen haben.

Besonders deutlich wird dies beim Konflikt zwischen Meinungsfreiheit und Persönlichkeitsrecht. Eine negative Unternehmensbewertung kann zulässige Kritik sein. Enthält sie hingegen unwahre, rufschädigende Tatsachenbehauptungen, können Abwehransprüche entstehen. Ob eine Äußerung als Tatsache oder Werturteil zu verstehen ist, hängt von Wortlaut, Kontext und dem Verständnis eines unvoreingenommenen und verständigen Publikums ab.

Solche Abwägungen sind keine Gesetzeslücken. Sie gehören zur Funktionsweise des Rechts. Unsicherheit entsteht, weil Beteiligte dieselben Umstände unterschiedlich bewerten und Gerichte erst im Streitfall eine verbindliche Entscheidung für den konkreten Fall treffen.

Technische Neuheit, Beweisprobleme und Vollzugsdefizite

Neue Geschäftsmodelle können Fragen aufwerfen, die der Gesetzgeber nicht ausdrücklich geregelt hat. Gleichwohl bleiben allgemeine Regeln innerhalb ihres Anwendungsbereichs anwendbar. Auch ein neuartiger KI-Dienst kann beispielsweise Persönlichkeitsrechte verletzen oder personenbezogene Daten rechtswidrig verarbeiten. Technische Neuheit begründet für sich genommen keine Ausnahme.

Davon zu unterscheiden sind Beweisprobleme. Wer eine Datei hochgeladen hat, ob eine Nutzungserlaubnis vorlag oder ob eine Bewertung auf einem tatsächlichen Kontakt beruht, lässt sich manchmal nur schwer nachweisen. Die rechtliche Bewertung kann vergleichsweise klar sein, während die Tatsachengrundlage unsicher bleibt. Im gerichtlichen Verfahren kommt es dann auch auf Darlegungs- und Beweislasten an.

Ein Vollzugsdefizit liegt vor, wenn bestehende Regeln praktisch nur unvollständig durchgesetzt werden. Gründe können unbekannte Verantwortliche, fehlende Beweismittel oder Schwierigkeiten bei der Rechtsverfolgung im Ausland sein. Auch dies schafft keinen rechtlich erlaubten Bereich.

Plattformregeln sind nicht mit Gesetzen gleichzusetzen

Nutzungsbedingungen können Inhalte untersagen, die gesetzlich nicht verboten sind. Umgekehrt macht die Freigabe eines Beitrags durch eine Plattform dessen Inhalt nicht rechtmäßig. Vertragliche Moderation und gesetzliche Zulässigkeit bilden unterschiedliche Prüfungsebenen.

Allerdings sind auch Plattformbedingungen nicht unbegrenzt wirksam. Sie unterliegen insbesondere den jeweils anwendbaren vertragsrechtlichen und gesetzlichen Vorgaben. Ein Hinweis auf das „Hausrecht“ ersetzt daher keine Prüfung der vertraglichen Grundlage und des vorgeschriebenen Verfahrens.

Technische Funktionen verleihen ebenfalls nicht automatisch Nutzungsrechte. Eine Schaltfläche zum Herunterladen bedeutet beispielsweise nicht, dass ein Bild anschließend für Werbung verwendet werden darf. Entscheidend bleibt, welche Rechte tatsächlich eingeräumt wurden oder welche gesetzliche Erlaubnis eingreift.

Rechtlicher Rahmen und einschlägige Normen

Grundrechte und privatrechtlicher Schutz

Art. 5 Abs. 1 GG schützt insbesondere die Äußerung und Verbreitung von Meinungen sowie die Information aus allgemein zugänglichen Quellen. Grenzen ergeben sich nach Art. 5 Abs. 2 GG aus den allgemeinen Gesetzen, den gesetzlichen Bestimmungen zum Jugendschutz und dem Recht der persönlichen Ehre. Das allgemeine Persönlichkeitsrecht wird aus Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG hergeleitet.

Zwischen Privatpersonen wirken Grundrechte grundsätzlich mittelbar über die Auslegung und Anwendung des einfachen Rechts. Für Persönlichkeitsrechtsverletzungen sind insbesondere § 823 Abs. 1 BGB und der entsprechend angewandte § 1004 BGB bedeutsam. Je nach Sachverhalt kommen Unterlassung, Beseitigung und Schadensersatz in Betracht. Bei schwerwiegenden Persönlichkeitsrechtsverletzungen kann zusätzlich eine Geldentschädigung geschuldet sein, wenn die weiteren Voraussetzungen erfüllt sind und der Eingriff nicht anderweitig befriedigend ausgeglichen werden kann.

Bei Onlineverträgen gelten die allgemeinen Regeln des BGB. Für Verbraucherverträge über digitale Produkte sind zusätzlich §§ 327 ff. BGB relevant. Die Vorschriften können unter den gesetzlichen Voraussetzungen auch Verträge erfassen, bei denen Verbraucher personenbezogene Daten bereitstellen oder sich hierzu verpflichten. Damit wird die Datenverarbeitung jedoch nicht automatisch datenschutzrechtlich zulässig.

Urheberrecht, Wettbewerbsrecht und Strafrecht

Das Urheberrechtsgesetz schützt Werke, die persönliche geistige Schöpfungen im Sinne des § 2 Abs. 2 UrhG sind. Daneben bestehen verwandte Schutzrechte, etwa für Lichtbilder nach § 72 UrhG. Deshalb kann auch eine Fotografie geschützt sein, die keine besondere künstlerische Gestaltung erkennen lässt.

§ 16 UrhG betrifft das Vervielfältigungsrecht, § 19a UrhG das Recht der öffentlichen Zugänglichmachung. Wer geschützte fremde Inhalte auf einer öffentlich erreichbaren Internetseite hochlädt, berührt regelmäßig solche Befugnisse. Eine Berechtigung kann sich insbesondere aus einer wirksamen Rechtseinräumung oder einer gesetzlichen Schranke ergeben. Die Nichtkommerzialität des Handelns genügt dafür allein nicht.

Das Gesetz gegen den unlauteren Wettbewerb erfasst geschäftliche Handlungen im gesetzlichen Sinne. Wichtig sind unter anderem die Irreführungstatbestände der §§ 5 und 5a UWG sowie § 7 UWG zur unzumutbaren Belästigung. Nicht jede private Äußerung oder private Nachricht fällt deshalb unter das UWG.

Strafrechtlich können beispielsweise Beleidigung, üble Nachrede und Verleumdung nach §§ 185 bis 187 StGB einschlägig sein. Hinzu kommen besondere Tatbestände für bestimmte Bildaufnahmen, Datenzugriffe und Datenveränderungen. Ob eine Straftat vorliegt, hängt von sämtlichen Voraussetzungen des jeweiligen Tatbestands ab. Nicht jeder zivilrechtliche Verstoß ist zugleich strafbar.

Datenschutz und Schutz von Endeinrichtungen

Soweit die Datenschutz-Grundverordnung anwendbar ist, benötigt die Verarbeitung personenbezogener Daten grundsätzlich eine Rechtsgrundlage. Art. 6 Abs. 1 DSGVO nennt unter anderem Einwilligung, Erforderlichkeit zur Vertragserfüllung und berechtigte Interessen. Keine dieser Grundlagen legitimiert unterschiedslos jede gewünschte Datennutzung. Für besondere Kategorien personenbezogener Daten enthält Art. 9 DSGVO zusätzliche Anforderungen.

Die DSGVO gilt nicht für jede persönliche Alltagshandlung. Art. 2 Abs. 2 Buchst. c DSGVO nimmt Verarbeitungen durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten aus. Eine Veröffentlichung im Internet für einen unbestimmten Personenkreis lässt sich jedoch nicht allein mit dem privaten Zweck des Kontos dieser Ausnahme zuordnen.

Ergänzend schützt § 25 TDDDG Informationen in Endeinrichtungen. Für deren Speicherung oder den Zugriff auf bereits gespeicherte Informationen ist grundsätzlich eine Einwilligung erforderlich, soweit keine gesetzliche Ausnahme greift. Eine Ausnahme betrifft insbesondere Vorgänge, die unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen. Die Vorschrift erfasst nicht ausschließlich personenbezogene Daten.

Die Zulässigkeit eines Cookies oder vergleichbaren Zugriffs und die Zulässigkeit einer anschließenden personenbezogenen Datenverarbeitung müssen deshalb getrennt geprüft werden.

Europäische Plattformregulierung

Der Digital Services Act, Verordnung (EU) 2022/2065, regelt unter anderem Haftungsprivilegien, Meldeverfahren und Transparenzpflichten von Vermittlungsdiensten. Welche Pflichten gelten, hängt von der jeweiligen Dienstekategorie und teilweise von der Größe des Anbieters ab.

Für Hostingdienste ist insbesondere Art. 6 DSA relevant. Das Haftungsprivileg betrifft unter seinen Voraussetzungen Informationen, die im Auftrag eines Nutzers gespeichert werden. Bedeutung haben dabei unter anderem die Kenntnis rechtswidriger Inhalte und eine zügige Reaktion nach Kenntniserlangung. Die Vorschrift ist weder eine allgemeine Freistellung von Verantwortung noch selbst eine umfassende Anspruchsgrundlage gegen den Anbieter.

Art. 8 DSA untersagt die Auferlegung allgemeiner Überwachungs- und aktiver Nachforschungspflichten. Spezifische Pflichten und behördliche oder gerichtliche Anordnungen werden dadurch nicht generell ausgeschlossen. In Deutschland ergänzt das Digitale-Dienste-Gesetz den europäischen Rahmen, insbesondere durch Zuständigkeits- und Durchführungsvorschriften.

Rechtsprechungslinien: Wie Gerichte digitale Konflikte einordnen

Bewertungsportale und konkrete Beanstandungen

Der Bundesgerichtshof hat mit Urteil vom 1. März 2016, VI ZR 34/15, Anforderungen an die Prüfung beanstandeter Bewertungen durch ein Bewertungsportal konkretisiert. Die Entscheidung betraf eine ärztliche Bewertung und die Nachforschungen, die ein Portal nach einer entsprechenden Beanstandung vornehmen musste.

Mit Urteil vom 9. August 2022, VI ZR 1244/20, hat der Bundesgerichtshof weiter ausgeführt, dass bei einem Bewertungsportal grundsätzlich bereits die Rüge eines fehlenden Gästekontakts Prüfpflichten auslösen kann. Eine zusätzliche ausführliche Begründung ist dafür nicht stets erforderlich. Besonderheiten können insbesondere bestehen, wenn sich die Identität des Bewertenden aus der Bewertung ohne Weiteres ergibt.

Für Betroffene folgt daraus: Die beanstandete Bewertung sollte eindeutig bezeichnet werden. Welche weiteren Angaben erforderlich sind, hängt aber vom Einzelfall ab. Die pauschale Forderung, ein Betroffener müsse stets detailliert beweisen, dass überhaupt kein Kontakt stattgefunden habe, wäre unzutreffend.

Die Entscheidungen ergingen vor der allgemeinen Anwendbarkeit des DSA. Ihre Aussagen sind deshalb im Zusammenhang mit dem inzwischen geltenden europäischen Haftungs- und Verfahrensrahmen einzuordnen. Anonymität allein macht eine Bewertung jedenfalls nicht rechtswidrig.

Einwilligung in Cookies

Im Urteil vom 28. Mai 2020, I ZR 7/16, „Cookie-Einwilligung II“, befasste sich der Bundesgerichtshof mit der Einwilligung in die Speicherung von Cookies zur Erstellung von Nutzerprofilen für Werbezwecke. Für die dort erforderliche Einwilligung genügte ein voreingestelltes Ankreuzkästchen nicht.

Die Entscheidung erging zum damaligen Rechtsrahmen. Heute ist insbesondere § 25 TDDDG zu beachten. Weder folgt aus der Entscheidung, dass sämtliche Cookies einwilligungspflichtig wären, noch genügt jedes beliebige Banner den gesetzlichen Anforderungen.

Eine erforderliche Einwilligung muss die einschlägigen Anforderungen insbesondere an Freiwilligkeit, Informiertheit und eine eindeutige bestätigende Handlung erfüllen. Für die praktische Bewertung sind Zweck, technische Funktionsweise und Gestaltung der Auswahlmöglichkeiten maßgeblich. Die tatsächlich eingesetzten Dienste müssen mit den erteilten Informationen und der getroffenen Auswahl übereinstimmen.

Löschung und Kontosperrung durch Plattformen

Mit Urteil vom 29. Juli 2021, III ZR 179/20, hat der Bundesgerichtshof vertragliche Anforderungen an die Entfernung von Beiträgen und die Sperrung von Nutzerkonten behandelt. Die Entscheidung betraf die Wirksamkeit bestimmter Plattformbedingungen und verdeutlicht die Bedeutung einer angemessenen Berücksichtigung beiderseitiger Interessen.

Zu den maßgeblichen Gesichtspunkten gehörten Informations-, Begründungs- und Stellungnahmemöglichkeiten. Der Bundesgerichtshof unterschied dabei zwischen Beitragsentfernung und beabsichtigter Kontosperrung. Aus der Entscheidung lässt sich daher keine ausnahmslose Pflicht ableiten, vor jeder einzelnen Inhaltsentfernung zunächst eine Anhörung durchzuführen.

Plattformen können grundsätzlich Kommunikationsstandards vorsehen, die über gesetzliche Verbote hinausgehen. Ihre Durchsetzung unterliegt jedoch vertraglichen und gesetzlichen Grenzen. Inzwischen sind zusätzlich die jeweils einschlägigen Pflichten des DSA zu berücksichtigen.

Aus einer unzulässigen Sperre folgt nicht, dass der betroffene Beitrag rechtmäßig war. Umgekehrt rechtfertigt eine Inhaltsverletzung nicht automatisch jede Art oder Dauer einer Kontosperrung.

Typische Fallkonstellationen im digitalen Alltag

Teilen, Verlinken und Einbetten fremder Inhalte

Das bloße Setzen eines Links ist rechtlich anders zu bewerten als das Kopieren eines Werkes auf den eigenen Server. Beim eigenen Upload werden regelmäßig Vervielfältigungs- und Zugänglichmachungsrechte berührt. Ein Quellenhinweis ersetzt eine erforderliche Nutzungserlaubnis nicht.

Auch Verlinkungen können problematisch sein. Die urheberrechtliche Einordnung hängt unter anderem davon ab, ob das verlinkte Werk mit Zustimmung des Berechtigten veröffentlicht wurde, Zugangsbeschränkungen umgangen werden und welche Kenntnis der Linksetzende von einer unbefugten Veröffentlichung hat. Bei einer Verlinkung mit Gewinnerzielungsabsicht können nach der europäischen Rechtsprechung erhöhte Anforderungen an die Überprüfung bestehen.

Es wäre deshalb ebenso unzutreffend, jeden Link als erlaubnispflichtig anzusehen, wie Verlinkungen pauschal von rechtlicher Verantwortung freizustellen. Außerhalb des Urheberrechts können außerdem etwa Persönlichkeitsrechtsverletzungen durch die Verbreitung oder das Zueigenmachen verlinkter Aussagen relevant werden.

Beim Einbetten fremder Inhalte können zusätzliche Datenschutzfragen entstehen. Wird bereits beim Seitenaufruf eine Verbindung zu einem Drittanbieter hergestellt, sind die dabei stattfindenden Verarbeitungen personenbezogener Daten zu prüfen. Soweit Informationen auf Endeinrichtungen gespeichert oder ausgelesen werden, kann zusätzlich § 25 TDDDG eingreifen.

Memes, Screenshots und Zitate

Memes sind nicht pauschal erlaubt. § 51a UrhG gestattet unter seinen Voraussetzungen Nutzungen veröffentlichter Werke zum Zweck der Karikatur, Parodie und des Pastiches. Ob ein konkretes Meme darunter fällt, hängt von seiner Gestaltung, seinem Aussagegehalt und der rechtlichen Einordnung der Werkverwendung ab. Die bloße Beschriftung eines fremden Fotos schafft keine sichere Freistellung.

Das Zitatrecht nach § 51 UrhG verlangt einen rechtfertigenden Zitatzweck. Zwischen dem eigenen Beitrag und dem übernommenen Werk muss ein entsprechender inhaltlicher Zusammenhang bestehen. Ein fremdes Bild lediglich zur dekorativen Aufwertung einzusetzen, reicht dafür regelmäßig nicht. Der Umfang der Übernahme muss durch den Zweck gerechtfertigt sein; zusätzlich sind insbesondere die einschlägigen Anforderungen an die Quellenangabe zu beachten.

Screenshots können zugleich Urheberrechte, Persönlichkeitsrechte und Datenschutz berühren. Bei privaten Nachrichten berechtigt die Teilnahme an einer Kommunikation nicht automatisch zur Veröffentlichung. Umgekehrt ist nicht jede Veröffentlichung ohne Zustimmung zwangsläufig rechtswidrig; etwaige Informationsinteressen und der konkrete Inhalt können eine Abwägung erfordern.

Bei erkennbaren Personen sind außerdem die einschlägigen Regeln zum Bildnisschutz zu berücksichtigen. Die urheberrechtliche Erlaubnis des Fotografen ersetzt nicht ohne Weiteres eine erforderliche Befugnis zur Veröffentlichung des Bildnisses.

Streaming und Filesharing

Streaming und Filesharing sind technisch und rechtlich zu unterscheiden. Beim Filesharing können Nutzer Dateien zugleich herunterladen und anderen anbieten. Gerade dieses Bereitstellen kann eigenständige urheberrechtliche Ansprüche begründen. Die Bezeichnung eines Vorgangs als „Download“ sagt daher noch nicht zuverlässig aus, was die verwendete Software tatsächlich tut.

Beim Streaming entstehen häufig vorübergehende Kopien. Ob diese zulässig sind, richtet sich insbesondere nach den Voraussetzungen des § 44a UrhG. Die Vorschrift enthält mehrere Anforderungen und erlaubt nicht unterschiedslos jede technisch bedingte Zwischenspeicherung. Eine pauschale Behauptung, bloßes Anschauen sei stets erlaubt, trifft deshalb nicht zu.

Auch die Privatkopieschranke des § 53 UrhG ist keine allgemeine Erlaubnis zur Nutzung beliebiger Onlinequellen. Sie enthält unter anderem Grenzen bei offensichtlich rechtswidrig hergestellten oder öffentlich zugänglich gemachten Vorlagen. Eine zulässige Privatkopie berechtigt zudem nicht zur anschließenden öffentlichen Bereitstellung.

Die Nutzung eines VPN verändert diese Voraussetzungen nicht. Sie begründet weder eine urheberrechtliche Erlaubnis noch für sich genommen eine Rechtsverletzung. Entscheidend bleibt die zugrunde liegende Handlung.

Bewertungen, Verdachtsäußerungen und öffentliche Anschuldigungen

Bewertungen dürfen deutlich und für den Betroffenen unangenehm sein. Entscheidend ist nicht allein die Schärfe des Tons, sondern der Aussagegehalt im Kontext. Werturteile sind von Tatsachenbehauptungen zu unterscheiden; häufig enthält ein Beitrag beide Elemente.

Wer einem Unternehmen Betrug oder einer Person strafbares Verhalten vorwirft, kann überprüfbare Tatsachen behaupten. Die Verwendung eines rechtlich gefärbten Begriffs kann allerdings je nach Zusammenhang auch eine wertende Zuspitzung darstellen. Eine Einordnung allein anhand einzelner Wörter reicht daher nicht aus.

Erwiesen oder bewusst unwahre Tatsachenbehauptungen genießen grundsätzlich keinen Schutz wie zulässige Meinungsäußerungen. Bei ungeklärten Tatsachen kommt es unter anderem auf Informationsinteressen, Sorgfaltspflichten und die Schwere der Beeinträchtigung an. Auch wahre Angaben sind nicht unter allen Umständen veröffentlichungsfähig, insbesondere wenn geschützte Privat- oder Intimbereiche betroffen sind.

Die Kennzeichnung als „Verdacht“ oder „persönliche Meinung“ beseitigt rechtliche Risiken nicht. Für zulässige Verdachtsberichterstattung können insbesondere eine hinreichende Tatsachengrundlage, eine nicht vorverurteilende Darstellung und die Gelegenheit zur Stellungnahme erforderlich sein. Welche Anforderungen gelten, hängt vom Veröffentlichungskontext ab.

Influencer, Affiliate-Links und vermeintlich private Werbung

Ob ein Beitrag eine geschäftliche Handlung darstellt und einer Werbekennzeichnung bedarf, richtet sich nicht allein nach seiner äußeren Gestaltung. Gegenleistungen, Affiliate-Vergütungen und die Förderung des eigenen Unternehmens können einen kommerziellen Zusammenhang begründen.

§ 5a Abs. 4 UWG betrifft die Kenntlichmachung des kommerziellen Zwecks einer geschäftlichen Handlung, sofern dieser nicht unmittelbar aus den Umständen hervorgeht und die fehlende Kenntlichmachung geeignet ist, Verbraucher zu einer sonst nicht getroffenen geschäftlichen Entscheidung zu veranlassen.

Für Handlungen zugunsten fremder Unternehmen enthält die Vorschrift besondere Regeln: Ein kommerzieller Zweck im Sinne dieser Regelung liegt nicht vor, wenn der Handelnde kein Entgelt oder keine ähnliche Gegenleistung für die Handlung erhält oder sich versprechen lässt. Der Erhalt oder das Versprechen einer Gegenleistung wird allerdings gesetzlich vermutet; diese Vermutung kann durch Glaubhaftmachung des Gegenteils entkräftet werden.

Nicht jede Produktnennung ist deshalb kennzeichnungspflichtige Werbung. Ebenso wenig ist ein persönlich formulierter Erfahrungsbericht automatisch privat. Neben dem UWG können je nach Angebot weitere medien- und digitale-diensterechtliche Kennzeichnungsvorschriften einschlägig sein.

Scraping, öffentlich sichtbare Daten und KI-Anwendungen

Öffentlich erreichbare Informationen sind nicht automatisch frei nutzbar. Beim automatisierten Auslesen können Datenschutz, Urheberrecht, Datenbankrechte und wirksam vereinbarte Nutzungsbedingungen zusammentreffen. Die bloße Veröffentlichung von Bedingungen auf einer Website bedeutet allerdings noch nicht, dass mit jedem Besucher wirksam ein entsprechender Vertrag zustande gekommen ist.

Enthalten die Daten Personenbezüge und ist die DSGVO anwendbar, benötigt die Verarbeitung eine Rechtsgrundlage. Art. 6 Abs. 1 Buchst. f DSGVO verlangt insbesondere ein berechtigtes Interesse, die Erforderlichkeit der Verarbeitung und eine Abwägung mit den entgegenstehenden Interessen und Rechten der betroffenen Personen. Öffentliche Sichtbarkeit ersetzt diese Prüfung nicht.

§ 44b UrhG erlaubt unter bestimmten Voraussetzungen Vervielfältigungen rechtmäßig zugänglicher Werke für Text und Data Mining. Ein wirksamer Nutzungsvorbehalt des Rechtsinhabers kann diese Erlaubnis ausschließen. Bei online zugänglichen Werken ist der Vorbehalt nach der Vorschrift nur wirksam, wenn er in maschinenlesbarer Form erfolgt. Die zulässigerweise angefertigten Vervielfältigungen sind zu löschen, wenn sie für das Text und Data Mining nicht mehr erforderlich sind.

Für wissenschaftliche Forschung enthält § 60d UrhG besondere Regeln mit einem begrenzten Kreis Berechtigter. Die bloße Bezeichnung eines Vorhabens als „Forschung“ genügt nicht.

Diese Vorschriften beantworten nicht sämtliche Fragen des KI-Trainings und erst recht nicht jede spätere Ausgabe. Ob einzelne technische Verarbeitungsschritte von einer Erlaubnis erfasst sind, kann rechtlich und tatsächlich klärungsbedürftig bleiben. KI-Ausgaben können unabhängig davon Urheberrechte, Persönlichkeitsrechte oder Datenschutzvorschriften verletzen.

Sicherheitsforschung und vermeintlich harmlose Zugriffstests

Eine öffentlich erreichbare Schnittstelle ist keine uneingeschränkte Einladung zu Zugriffstests. § 202a StGB erfasst unter seinen Voraussetzungen das unbefugte Verschaffen des Zugangs zu Daten, die nicht für den Täter bestimmt und gegen unberechtigten Zugang besonders gesichert sind, unter Überwindung der Zugangssicherung.

Nicht jeder Aufruf einer offen zugänglichen Adresse erfüllt diesen Tatbestand. Daraus folgt aber nicht, dass alle anderen Zugriffshandlungen erlaubt wären. Bei Veränderungen, Löschungen, Störungen oder weiteren Datenzugriffen können andere Vorschriften einschlägig sein.

Ob ein bestimmter Test strafbar oder zivilrechtlich unzulässig ist, hängt wesentlich von der technischen Durchführung und der vorhandenen Berechtigung ab. Die Absicht, eine Sicherheitslücke zu melden, ersetzt keine erforderliche Erlaubnis.

Bei autorisierten Sicherheitstests sollten Systeme, Methoden, Datenzugriffe und Grenzen deshalb eindeutig festgelegt werden. Auch ein Bug-Bounty-Programm gestattet nicht automatisch Zugriffe außerhalb seines beschriebenen Umfangs oder auf Rechte unbeteiligter Dritter.

Rechtsfolgen und wirtschaftliche Risiken

Unterlassung, Beseitigung und Schadensersatz

Im Zivilrecht steht häufig die Beendigung einer Rechtsverletzung im Vordergrund. Betroffene können je nach Anspruchsgrundlage die Entfernung rechtswidriger Inhalte und die Unterlassung weiterer Verletzungen verlangen. Unterlassungsansprüche setzen regelmäßig kein Verschulden voraus; ihre übrigen Voraussetzungen müssen dennoch erfüllt sein.

Die bloße Löschung erledigt nicht notwendigerweise sämtliche Ansprüche. Nach einem bereits erfolgten Verstoß wird eine Wiederholungsgefahr häufig vermutet. Eine hinreichende strafbewehrte Unterlassungsverpflichtung kann diese unter den jeweiligen Voraussetzungen ausräumen. Bei wirksamem Zustandekommen eines Unterlassungsvertrags entsteht zugleich eine vertragliche Bindung, deren Reichweite gesondert zu bestimmen ist.

Schadensersatz setzt die Voraussetzungen der jeweiligen Anspruchsgrundlage voraus. Im Urheberrecht ist nach § 97 Abs. 2 UrhG insbesondere Verschulden erforderlich; als Berechnungsmethode kommt unter anderem die angemessene Lizenzvergütung in Betracht.

Art. 82 DSGVO verlangt neben einem Verstoß einen materiellen oder immateriellen Schaden und einen ursächlichen Zusammenhang. Ein Regelverstoß allein begründet keinen Zahlungsanspruch. Für immaterielle Schäden ist allerdings keine zusätzliche Erheblichkeitsschwelle anzusetzen; das Vorliegen eines Schadens muss trotzdem festgestellt werden.

Abmahnkosten, Vertragsstrafen und Verfahrenskosten

Eine Abmahnung soll eine außergerichtliche Beilegung ermöglichen. Ob ihre Kosten zu erstatten sind, hängt vom Rechtsgebiet, ihrer Berechtigung und den gesetzlichen Anforderungen ab. Im Urheberrecht enthält § 97a UrhG besondere Vorgaben und unter bestimmten Voraussetzungen eine Begrenzung des Gegenstandswerts für den Ersatz gesetzlicher Anwaltsgebühren. Daraus folgt keine allgemeine Obergrenze für sämtliche Forderungen.

Vorformulierte Unterlassungserklärungen können über das rechtlich Erforderliche hinausgehen. Relevant sind insbesondere der sachliche Umfang, die Vertragsstrafenregelung und die Frage, welche künftigen Handlungen erfasst werden. Ob eine Vertragsstrafe verwirkt ist, richtet sich nach der wirksamen Vereinbarung und den Umständen des Verstoßes.

Kommt es zum Prozess, entstehen gegebenenfalls Gerichts- und Anwaltskosten. Ihre Verteilung richtet sich nach den anwendbaren Verfahrensregeln und dem Ausgang des Verfahrens. Das wirtschaftliche Risiko kann deshalb über den zunächst verlangten Zahlungsbetrag hinausreichen.

Strafrechtliche und aufsichtsbehördliche Folgen

Bei strafbaren Handlungen kommen die im jeweiligen Tatbestand vorgesehenen Sanktionen in Betracht. Die Verantwortlichkeit muss individuell festgestellt werden. Die Zuordnung eines Anschlusses oder Kontos zu einer Person beweist für sich genommen nicht stets, dass diese Person die vorgeworfene Handlung begangen hat.

Datenschutzaufsichtsbehörden können unter den gesetzlichen Voraussetzungen Untersuchungen durchführen, Anordnungen treffen und Geldbußen verhängen. Nicht jeder Datenschutzverstoß führt zwangsläufig zu einer Geldbuße. Art, Schwere, Dauer und weitere gesetzlich bestimmte Umstände sind für die behördliche Reaktion erheblich.

Gesetzliche Bußgeldhöchstgrenzen sagen wenig darüber aus, welche Maßnahme in einem konkreten Fall gerechtfertigt wäre. Behördliche Sanktionen und privatrechtliche Ansprüche erfüllen zudem unterschiedliche Funktionen.

Verfahren, Zuständigkeiten und Fristen

Beweissicherung und Meldung an die Plattform

Digitale Inhalte lassen sich kurzfristig verändern oder löschen. Für eine mögliche Rechtsverfolgung ist es deshalb sinnvoll, Inhalt, vollständige Internetadresse, Zeitpunkt und relevanten Kontext zu dokumentieren. Ein isolierter Bildausschnitt kann wichtige Informationen verlieren. Screenshots unterliegen im Prozess der gerichtlichen Beweiswürdigung und garantieren keinen bestimmten Nachweiswert.

Für Hostingdienste sieht Art. 16 DSA Melde- und Abhilfeverfahren vor. Eine Meldung soll den beanstandeten Inhalt genau lokalisieren und nachvollziehbar erläutern, weshalb er rechtswidrig sein soll. Hinzu kommen die weiteren in der Vorschrift vorgesehenen Angaben und Erklärungen.

Eine ausreichend genaue und begründete Meldung kann unter den Voraussetzungen des Art. 16 Abs. 3 DSA Kenntnis oder Bewusstsein im Sinne des Art. 6 DSA begründen. Das gilt nicht unterschiedslos für jede Beschwerde. Maßgeblich ist insbesondere, ob ein sorgfältiger Anbieter die Rechtswidrigkeit ohne eingehende rechtliche Prüfung erkennen kann.

Eine Meldung garantiert keine Löschung. Der DSA enthält hierfür auch keine einheitliche, für sämtliche rechtswidrigen Inhalte geltende Stundenfrist. Besondere Vorschriften oder konkrete Anordnungen können daneben eigene Anforderungen begründen.

Beschwerden und gerichtlicher Rechtsschutz

Soweit Art. 20 DSA Anwendung findet, müssen Onlineplattformen ein internes Beschwerdemanagement bereitstellen. Der Zugang muss für mindestens sechs Monate nach der betreffenden Entscheidung offenstehen. Nach der Vorschrift beginnt diese Frist mit dem Tag, an dem der Diensteempfänger über die Entscheidung informiert wird. Erfasst sind die dort näher bezeichneten Entscheidungen, nicht unterschiedslos jede Auseinandersetzung mit einer Plattform.

Für Kleinst- und Kleinunternehmen bestehen nach Art. 19 DSA grundsätzlich Ausnahmen von bestimmten Plattformpflichten; insbesondere für als sehr große Onlineplattformen benannte Dienste gelten Besonderheiten. Die bloße Größe einer Website nach subjektivem Eindruck genügt zur Einordnung nicht.

Art. 21 DSA ermöglicht unter seinen Voraussetzungen die Anrufung zertifizierter außergerichtlicher Streitbeilegungsstellen. Diese können den Parteien keine verbindliche Streitbeilegung auferlegen. Der gerichtliche Rechtsschutz bleibt möglich.

Bei besonderer Eilbedürftigkeit kann eine einstweilige Verfügung in Betracht kommen. Die Voraussetzungen hängen vom Streitgegenstand und den anwendbaren Verfahrensregeln ab. Eine für sämtliche Internetverletzungen einheitliche gesetzliche Eilfrist existiert nicht. Längeres Zuwarten kann dennoch gegen die erforderliche Dringlichkeit sprechen.

Verjährung und strafrechtliche Antragsfristen

Die regelmäßige zivilrechtliche Verjährungsfrist beträgt nach § 195 BGB drei Jahre. Sie beginnt nach § 199 Abs. 1 BGB grundsätzlich mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Gläubiger die anspruchsbegründenden Umstände sowie die Person des Schuldners kennt oder ohne grobe Fahrlässigkeit kennen müsste. Sondervorschriften und kenntnisunabhängige Fristen können zu anderen Ergebnissen führen.

Eine außergerichtliche Zahlungs- oder Unterlassungsaufforderung hemmt die Verjährung nicht automatisch. Verhandlungen können nach § 203 BGB eine Hemmung bewirken, wenn dessen Voraussetzungen vorliegen. Auch bestimmte Rechtsverfolgungsmaßnahmen können die Verjährung hemmen. Nicht jede Plattformmeldung oder behördliche Beschwerde hat diese Wirkung.

Bei Antragsdelikten kann die dreimonatige Strafantragsfrist des § 77b StGB relevant sein. Ihr Beginn hängt grundsätzlich von der Kenntnis des Antragsberechtigten von Tat und Täter ab; Einzelheiten und Ausnahmen richten sich nach dem Gesetz.

Strafanzeige und Strafantrag sind zu unterscheiden. Eine Anzeige teilt einen möglichen strafrechtlichen Sachverhalt mit. Ein Strafantrag bringt den erforderlichen Verfolgungswillen des Berechtigten zum Ausdruck und muss die gesetzlichen Anforderungen erfüllen. Die Bezeichnung einer Eingabe allein ist dabei nicht ausschlaggebend.

Datenschutzrechtliche Fristen und Verbraucherrechte

Nach Art. 12 Abs. 3 DSGVO muss der Verantwortliche über die auf einen Antrag nach Art. 15 bis 22 DSGVO ergriffenen Maßnahmen grundsätzlich unverzüglich, spätestens innerhalb eines Monats nach Antragseingang informieren. Unter Berücksichtigung der Komplexität und der Anzahl der Anträge kann die Frist erforderlichenfalls um zwei weitere Monate verlängert werden.

Über eine Verlängerung und deren Gründe muss der Verantwortliche innerhalb eines Monats nach Eingang des Antrags informieren. Wird er auf den Antrag nicht tätig, bestehen nach Art. 12 Abs. 4 DSGVO ebenfalls Informationspflichten. Nicht jede beliebige datenschutzbezogene Nachricht ist allerdings ein Antrag auf Ausübung eines dieser Betroffenenrechte.

Bei Fernabsatzverträgen besteht für Verbraucher grundsätzlich ein Widerrufsrecht nach § 312g BGB. Die Widerrufsfrist beträgt nach § 355 Abs. 2 BGB grundsätzlich 14 Tage. Ob überhaupt ein Widerrufsrecht besteht, wann die Frist beginnt und ob das Recht vorzeitig erlischt, hängt vom Vertragstyp und den weiteren gesetzlichen Voraussetzungen ab.

Gerade bei digitalen Inhalten ist die Aussage „Nach dem Download gibt es kein Widerrufsrecht“ zu pauschal. Bei entgeltlichen Verträgen über nicht auf einem körperlichen Datenträger befindliche digitale Inhalte setzt ein vorzeitiges Erlöschen nach § 356 Abs. 5 BGB insbesondere bestimmte Zustimmungen und Bestätigungen sowie die gesetzlich vorgesehene Vertragsbestätigung voraus. Für digitale Dienstleistungen gelten nicht ohne Weiteres dieselben Regeln.

Praktische Handlungsschritte zur Risikobegrenzung

Vor einer Veröffentlichung oder Datennutzung

Eine strukturierte Vorprüfung ist verlässlicher als die Annahme, verbreitete Praktiken seien zulässig. Wesentliche Fragen sind:

• Wer besitzt Rechte an Texten, Bildern, Musik und Software?
• Welche konkrete Nutzung gestattet eine Lizenz?
• Sind Personen erkennbar oder personenbezogene Informationen enthalten?
• Lassen sich belastende Tatsachenbehauptungen belegen?
• Besteht ein geschäftlicher Zusammenhang?
• Werden externe Dienste oder Trackingtechniken eingebunden?
• Sind besondere Schutzinteressen, etwa von Minderjährigen, betroffen?

Lizenzen sollten einschließlich ihrer Bedingungen und des Erwerbs oder Abrufs dokumentiert werden. Bei offenen Lizenzen können Namensnennung, Lizenzhinweise und weitere Vorgaben erforderlich sein. Die Bezeichnung „kostenlos“ sagt nichts darüber aus, ob Bearbeitungen oder kommerzielle Nutzungen gestattet sind.

Auch eine umfassend formulierte Lizenz kann nur Rechte vermitteln, über die der Lizenzgeber verfügen darf. Rechte abgebildeter Personen oder sonstiger Dritter sind deshalb gegebenenfalls zusätzlich zu prüfen.

Bei einer eigenen Rechtsverletzung

Ist eine Person in eigenen Rechten verletzt, sollte zunächst zwischen den möglichen Zielen unterschieden werden: Entfernung, Berichtigung, Unterlassung, Auskunft und finanzieller Ausgleich sind unterschiedliche Anliegen. Sie setzen nicht notwendig dieselben Tatsachen voraus und richten sich nicht immer gegen denselben Anspruchsgegner.

Eine Beanstandung sollte den konkreten Inhalt benennen und den angenommenen Rechtsverstoß verständlich erklären. Welche zusätzlichen Nachweise erforderlich sind, hängt vom Anspruch und vom Verfahren ab. Überzogene Forderungen und unbelegte Strafbarkeitsvorwürfe können die sachliche Prüfung erschweren und ihrerseits rechtliche Risiken begründen.

Bei erheblichen wirtschaftlichen Auswirkungen, sensiblen Daten oder drohender weiterer Verbreitung kann eine frühzeitige rechtliche Prüfung zweckmäßig sein. Eine Datenschutzbeschwerde, eine Plattformmeldung und eine zivilrechtliche Klage erfüllen unterschiedliche Funktionen und ersetzen einander nicht notwendig.

Wer hingegen selbst eine mögliche Rechtsverletzung verursacht hat, muss zwischen der Beendigung des beanstandeten Verhaltens und dem Umgang mit bereits entstandenen Ansprüchen unterscheiden. Eine nachträgliche Löschung ist kein automatischer Verzicht des Betroffenen auf weitere Rechte.

Beim Eingang einer Abmahnung oder Sperrmitteilung

Abmahnungen sollten weder ungeprüft akzeptiert noch ignoriert werden. Zu prüfen sind insbesondere Absender und Berechtigung, geltend gemachtes Recht, konkrete Verletzungshandlung, Belege, Forderungen und Fristsetzung. Auch gefälschte oder missbräuchliche Schreiben sind denkbar; allein eine professionelle Gestaltung belegt keine Berechtigung.

Eine einseitig gesetzte Frist ist nicht schon deshalb angemessen, weil sie in einem Schreiben steht. Umgekehrt kann eine kurze Frist in eilbedürftigen Fällen gerechtfertigt sein. Untätigkeit kann gerichtliche Schritte begünstigen, ohne dass sich daraus automatisch die Berechtigung sämtlicher Forderungen ergibt.

Zahlungen und weitreichende Erklärungen können rechtliche Folgen haben, die über die unmittelbare Streitbeilegung hinausreichen. Insbesondere eine Unterlassungsverpflichtung ist nicht mit der bloßen Entfernung eines einzelnen Beitrags gleichzusetzen.

Bei Kontosperren sollten Entscheidung, Begründung und einschlägige Nutzungsbedingungen gesichert werden. Eine sachliche Beschwerde kann erläutern, welche Tatsachen, Regeln oder Verfahrensanforderungen aus Sicht des Nutzers unzutreffend behandelt wurden.

Offene Streitfragen und fortbestehender Klärungsbedarf

Künstliche Intelligenz und die Zuordnung von Verantwortung

Bei generativer KI treffen unterschiedliche Verantwortungsbereiche aufeinander: Auswahl und Verarbeitung der Trainingsdaten, Entwicklung des Modells, Bereitstellung des Dienstes und konkrete Verwendung seiner Ausgaben. Eine pauschale Haftung ausschließlich einer beteiligten Gruppe wird dieser Struktur nicht gerecht. Ebenso wenig lässt sich aus der Einschaltung eines KI-Systems generell auf einen Haftungsausschluss schließen.

Urheberrechtlich ist im Einzelfall zu prüfen, ob eine Ausgabe geschützte Elemente übernimmt und ob hierfür eine Erlaubnis besteht. Für einen eigenen Werksschutz verlangt § 2 Abs. 2 UrhG eine persönliche geistige Schöpfung. Bei KI-gestützten Ergebnissen ist deshalb der menschliche schöpferische Beitrag maßgeblich.

Rein maschinell erzeugte Ergebnisse ohne hinreichenden menschlichen Schöpfungsbeitrag begründen nach diesem Maßstab keinen eigenen Werksschutz. Welche menschlichen Gestaltungsentscheidungen bei komplexen Arbeitsabläufen ausreichen, kann jedoch einzelfallabhängig und klärungsbedürftig sein.

Neben Urheberrecht und Datenschutz können besondere europäische KI-Vorschriften einschlägig sein. Deren Pflichten und zeitliche Anwendbarkeit sind gesondert zu prüfen. Die Einhaltung eines regulatorischen Pflichtenprogramms ersetzt keine Erlaubnis zur Verletzung fremder Rechte.

Anonymität und grenzüberschreitende Durchsetzung

Anonyme Kommunikation kann legitime Schutzinteressen erfüllen. Gleichzeitig erschwert sie die Verfolgung rechtswidriger Inhalte. Ein Anspruch auf Herausgabe sämtlicher Nutzerdaten besteht jedoch nicht allein deshalb, weil jemand eine Rechtsverletzung behauptet. Erforderlich sind die jeweils einschlägigen Rechtsgrundlagen und gegebenenfalls besondere gerichtliche Verfahren.

Zu unterscheiden sind außerdem die rechtliche Befugnis zur Datenübermittlung, ein tatsächlich bestehender Auskunftsanspruch und die Frage, ob der Anbieter die gesuchten Daten überhaupt besitzt. Selbst eine erlangte Kennung weist nicht in jedem Fall unmittelbar auf die handelnde Person hin.

Bei ausländischen Beteiligten müssen internationale Zuständigkeit, anwendbares Recht und Vollstreckbarkeit getrennt untersucht werden. Die weltweite Abrufbarkeit eines Inhalts führt nicht automatisch zur uneingeschränkten Anwendung deutschen Rechts. Umgekehrt schließt ein ausländischer Unternehmenssitz die Anwendung deutscher oder europäischer Vorschriften nicht generell aus.

Moderation und automatisierte Entscheidungen

Automatisierte Systeme können Kontext, Ironie und rechtliche Ausnahmen falsch bewerten. Daraus entstehen Konflikte zwischen effizienter Bearbeitung großer Inhaltsmengen und dem Schutz rechtmäßiger Kommunikation.

Der DSA begegnet diesen Problemen unter anderem mit Verfahrens- und Transparenzanforderungen. Soweit Art. 20 DSA anwendbar ist, dürfen Entscheidungen im internen Beschwerdeverfahren nicht allein auf automatisierten Mitteln beruhen; sie müssen unter der Aufsicht entsprechend qualifizierten Personals getroffen werden.

Damit entfällt nicht jede automatisierte Inhaltsprüfung. Ebenso wenig beseitigen Verfahrensregeln die materiell-rechtlichen Abwägungsfragen. Eine formell ordnungsgemäße Moderationsentscheidung kann inhaltlich fehlerhaft sein. Umgekehrt macht ein Verfahrensfehler den beanstandeten Inhalt nicht automatisch rechtmäßig.

Zusammenfassung

Rechtliche Grauzonen im Internet entstehen aus unterschiedlichen Ursachen: offenen Auslegungsfragen, notwendigen Interessenabwägungen, technischen Entwicklungen und schwieriger Beweisführung. Häufig ist nicht die gesetzliche Regel unklar, sondern deren Anwendung auf den konkreten Vorgang.

Für Deutschland greifen mehrere Rechtsgebiete ineinander. Urheberrechtliche Nutzungsbefugnisse ersetzen keine datenschutzrechtliche Grundlage. Meinungsfreiheit schützt keine beliebigen falschen Anschuldigungen. Plattformregeln bestimmen nicht abschließend über die gesetzliche Zulässigkeit eines Inhalts. Ebenso wenig begründen öffentliche Zugänglichkeit oder technische Downloadmöglichkeiten eine allgemeine Nutzungserlaubnis.

Bei Plattformen sind eigene Verantwortlichkeit, gesetzliche Haftungsprivilegien und Verfahrenspflichten auseinanderzuhalten. Nicht jede Meldung führt zwingend zur Löschung; nicht jede Entfernung ist bereits wegen ihrer vertraglichen Grundlage rechtmäßig. Auch ältere gerichtliche Entscheidungen müssen im Zusammenhang mit dem inzwischen geltenden europäischen Rechtsrahmen gelesen werden.

Praktisch bedeutsam sind eine sorgfältige Rechteprüfung, nachvollziehbare Dokumentation und die Trennung unterschiedlicher Ansprüche und Verfahren. Wer Rechte verletzt sieht oder selbst mit Forderungen konfrontiert wird, muss insbesondere Beweislage, Anspruchsgegner, Zuständigkeiten und einschlägige Fristen berücksichtigen.

Die zentrale Orientierung lautet daher: Nicht die Verbreitung einer digitalen Praxis entscheidet über ihre Rechtmäßigkeit, sondern die einschlägige Norm, der konkrete Sachverhalt und gegebenenfalls die erforderliche Abwägung. Verbleibende Unsicherheit ist ausdrücklich zu benennen, nicht durch pauschale Erlaubnisse oder Verbote zu ersetzen.