Rechtliche Grundlagen digitaler Dienstleister: Verträge, Datenschutz, Plattformpflichten und Haftung

Digitale Dienstleister entwickeln Software, betreiben Cloud-Infrastrukturen, vermitteln Geschäfte, gestalten Internetauftritte oder verarbeiten Daten für andere Unternehmen. Ihre Leistungen unterscheiden sich technisch erheblich. Rechtlich verbindet sie jedoch eine Grundfrage: Welche Pflichten entstehen, wenn Leistungen digital erbracht, Daten verarbeitet und Geschäftsbeziehungen über elektronische Schnittstellen organisiert werden?

Das deutsche Recht kennt kein einheitliches Gesetz für sämtliche digitalen Dienstleistungen. Maßgeblich ist vielmehr das Zusammenwirken von Vertragsrecht, Datenschutzrecht, Wettbewerbsrecht, Urheberrecht und besonderen europäischen Regelungen. Entscheidend sind die tatsächlich angebotene Leistung, die Rolle des Unternehmens und der angesprochene Kundenkreis. Ein Softwareentwickler unterliegt deshalb nicht notwendig denselben Anforderungen wie ein Online-Marktplatz oder ein Hostinganbieter.

Dieser Beitrag ordnet wesentliche Rechtsgrundlagen ein. Er erläutert, wie digitale Leistungen vertraglich einzuordnen sind, welche gesetzlichen Pflichten hinzutreten und welche Risiken bei Leistungsstörungen, Datenschutzverstößen oder rechtswidrigen Nutzerinhalten bestehen. Die Darstellung konzentriert sich auf den deutschen und europäischen Rechtsrahmen. Bei grenzüberschreitenden Angeboten müssen zusätzlich insbesondere das anwendbare Recht und die internationale gerichtliche Zuständigkeit geprüft werden.

Begriffsklärung: Wer ist digitaler Dienstleister?

Wirtschaftlicher Oberbegriff und gesetzliche Kategorien

„Digitaler Dienstleister“ ist zunächst ein wirtschaftlicher Sammelbegriff. Er umfasst beispielsweise Softwareagenturen, Anbieter von Software zur Nutzung über das Internet, Rechenzentren, Suchmaschinen, Plattformbetreiber und Unternehmen für digitales Marketing. Aus dieser Bezeichnung allein ergeben sich noch keine bestimmten Rechtsfolgen.

Gesetzlich werden unterschiedliche Kategorien verwendet. Das Bürgerliche Gesetzbuch unterscheidet bei den besonderen Vorschriften über Verbraucherverträge zwischen digitalen Inhalten und digitalen Dienstleistungen. Digitale Inhalte sind nach § 327 Abs. 2 BGB Daten, die in digitaler Form erstellt und bereitgestellt werden. Digitale Dienstleistungen ermöglichen dem Verbraucher insbesondere die Erstellung, Verarbeitung oder Speicherung digitaler Daten, den Zugang zu solchen Daten sowie deren gemeinsame Nutzung oder sonstige Interaktionen mit ihnen.

Davon zu unterscheiden sind „Vermittlungsdienste“ nach der Verordnung (EU) 2022/2065, dem sogenannten Digital Services Act, kurz DSA. Art. 3 Buchst. g DSA unterscheidet reine Durchleitungsdienste, Cachingdienste und Hostingdienste. Nicht jede digitale Dienstleistung ist deshalb zugleich ein Vermittlungsdienst. Insbesondere wird eine ausschließlich eigene Inhalte anbietende Website nicht schon durch ihre Erreichbarkeit im Internet zum Hostingdienst für fremde Informationen.

Das Geschäftsmodell entscheidet über die Pflichten

Für die rechtliche Einordnung sind insbesondere folgende Fragen maßgeblich:

• Wird eine eigene Leistung erbracht oder werden Leistungen Dritter vermittelt?
• Ist ein bestimmter Erfolg geschuldet oder lediglich fachgerechtes Tätigwerden?
• Werden Verbraucher oder ausschließlich Unternehmer angesprochen?
• Verarbeitet der Anbieter personenbezogene Daten für eigene Zwecke oder im Auftrag?
• Speichert er Informationen seiner Nutzer oder verbreitet er diese öffentlich?
• Berührt die Tätigkeit besonders regulierte Bereiche?
• In welchen Staaten werden die Leistungen angeboten und Daten verarbeitet?

Ein Unternehmen kann mehrere Rollen gleichzeitig übernehmen. Ein Cloudanbieter kann gegenüber seinem Kunden vertraglicher Leistungsschuldner, datenschutzrechtlicher Auftragsverarbeiter und hinsichtlich gespeicherter Nutzerinformationen Hostingdiensteanbieter sein. Diese Rollen müssen getrennt geprüft werden.

Die Erfüllung einer datenschutzrechtlichen Pflicht ersetzt beispielsweise weder eine vertraglich geschuldete Datensicherung noch eine erforderliche Reaktion auf rechtswidrige Inhalte. Umgekehrt erlaubt die vertragliche Vereinbarung einer Datenverarbeitung nicht automatisch deren Durchführung nach der DSGVO.

Rechtlicher Rahmen: Welche Gesetze greifen ineinander?

Deutsches Privatrecht und unmittelbar geltendes Unionsrecht

Das BGB bildet die Grundlage für Vertragsschluss, Leistungspflichten, Mängelrechte und Schadensersatz. Ergänzend greifen insbesondere das Urheberrechtsgesetz und das Gesetz gegen den unlauteren Wettbewerb. Bei digitalen Angeboten können außerdem Informationspflichten des Digitale-Dienste-Gesetzes, kurz DDG, bestehen.

Datenschutzrechtlich steht die unmittelbar geltende Datenschutz-Grundverordnung, kurz DSGVO, im Mittelpunkt. Das Bundesdatenschutzgesetz ergänzt sie in bestimmten Bereichen. Für die Speicherung von Informationen in Endgeräten und den Zugriff auf dort bereits gespeicherte Informationen gilt daneben insbesondere § 25 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG.

Der DSA regelt vor allem Vermittlungsdienste. Das DDG flankiert seine Anwendung in Deutschland und enthält daneben nationale Vorschriften. Verweise auf das frühere Telemediengesetz müssen deshalb daraufhin überprüft werden, ob und wo die betreffende Regelung heute fortgeführt wird. Dessen frühere Vorschriften lassen sich nicht unverändert als geltendes Recht behandeln.

Auch unmittelbar geltende EU-Verordnungen können Übergangsbestimmungen und gestaffelte Anwendungszeitpunkte enthalten. Für konkrete Pflichten ist daher neben dem sachlichen und persönlichen stets der zeitliche Anwendungsbereich maßgeblich.

Anbieterinformationen und Marktverhalten

§ 5 DDG verpflichtet Anbieter geschäftsmäßiger, in der Regel gegen Entgelt angebotener digitaler Dienste zur Bereitstellung bestimmter Informationen. Dazu zählen insbesondere Name, Anschrift und Angaben, die eine schnelle elektronische Kontaktaufnahme und unmittelbare Kommunikation ermöglichen, einschließlich der Adresse für elektronische Post. Je nach Rechtsform und Tätigkeit kommen etwa Vertretungsangaben, Registerangaben oder berufsrechtliche Informationen hinzu.

Die Informationen müssen leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein. Ob die einzelne Internetseite unmittelbar bezahlt wird, entscheidet nicht allein über die Anwendbarkeit. Auch eine unentgeltlich zugängliche Unternehmenswebsite kann erfasst sein, wenn sie Teil einer wirtschaftlichen Tätigkeit ist. Welche Angaben erforderlich sind, lässt sich daher nicht allein anhand eines allgemeinen Impressumsmusters bestimmen.

Für Werbung gelten zusätzlich insbesondere die Verbote irreführender geschäftlicher Handlungen und irreführender Unterlassungen nach §§ 5 und 5a UWG sowie die Vorgaben gegen unzumutbare Belästigungen nach § 7 UWG. Elektronische Werbung erfordert eine eigenständige Prüfung.

Eine vertragliche Kundenbeziehung erlaubt nicht automatisch jede spätere Werbe-E-Mail. Die Ausnahme für bestimmte Werbung gegenüber bestehenden Kunden nach § 7 Abs. 3 UWG setzt mehrere kumulativ zu erfüllende Bedingungen voraus. Dazu gehören unter anderem die Werbung für eigene ähnliche Waren oder Dienstleistungen und eine ordnungsgemäße Information über die Widerspruchsmöglichkeit.

Besondere Branchen und Barrierefreiheit

Weitere Anforderungen können sich aus dem regulierten Tätigkeitsfeld ergeben. Digitale Zahlungsdienste, Gesundheitsangebote oder Telekommunikationsleistungen sind nicht allein deshalb regulierungsfrei, weil sie softwaregestützt erbracht werden. Je nach Tätigkeit kommen etwa Erlaubnis-, Berufs-, Sicherheits- oder besondere Informationspflichten in Betracht.

Das Barrierefreiheitsstärkungsgesetz, kurz BFSG, erfasst bestimmte Produkte und Dienstleistungen. Für die erfassten Dienstleistungen knüpft sein zeitlicher Anwendungsbereich grundsätzlich an deren Erbringung nach dem 28. Juni 2025 an; gesetzliche Übergangsregelungen sind gesondert zu prüfen.

Zu den erfassten Angeboten gehören bestimmte Dienstleistungen im elektronischen Geschäftsverkehr gegenüber Verbrauchern. Nicht jede Unternehmenswebsite fällt darunter. Entscheidend ist insbesondere, ob eine vom Gesetz erfasste Dienstleistung vorliegt. Die Anforderungen ergeben sich aus dem BFSG in Verbindung mit der Verordnung zum Barrierefreiheitsstärkungsgesetz.

Kleinstunternehmen, die Dienstleistungen anbieten oder erbringen, sind nach § 3 Abs. 3 BFSG von den dort geregelten Barrierefreiheitsanforderungen ausgenommen. Ob ein Unternehmen die gesetzliche Definition erfüllt, muss konkret geprüft werden. Andere gesetzliche oder vertragliche Anforderungen an Barrierefreiheit werden durch diese Ausnahme nicht allgemein beseitigt.

Vertragsrecht: Was schuldet der Anbieter?

Dienstvertrag, Werkvertrag und Mietvertrag

Die rechtliche Einordnung richtet sich nach dem vereinbarten Leistungsinhalt, nicht allein nach der Überschrift des Vertrags. Begriffe wie „Servicevertrag“, „Projektvertrag“ oder „Software-Abonnement“ legen den gesetzlichen Vertragstyp nicht verbindlich fest.

Beim Dienstvertrag nach § 611 BGB wird grundsätzlich eine Tätigkeit geschuldet. Dies kann etwa bei laufender Beratung oder bestimmten Unterstützungsleistungen der Fall sein. Der Werkvertrag nach § 631 BGB ist dagegen auf einen bestimmten Erfolg gerichtet, beispielsweise auf die Herstellung einer individuell beschriebenen Software oder eines funktionsfähigen Internetauftritts.

Wird standardisierte Software zeitlich begrenzt zur Nutzung bereitgestellt, können mietrechtliche Regeln maßgeblich sein. Besonders bei cloudbasierter Software kommt es darauf an, ob die fortlaufende Gebrauchsmöglichkeit den Vertrag prägt. Eine dauerhafte Überlassung standardisierter Software gegen einmaliges Entgelt kann dagegen kaufrechtlich einzuordnen sein. Bei Verbraucherverträgen sind zusätzlich die besonderen Vorschriften über digitale Produkte und gegebenenfalls deren Abgrenzung zu Waren mit digitalen Elementen zu beachten.

Viele Verträge enthalten Elemente mehrerer Vertragstypen. Dann ist zu prüfen, ob der Vertrag insgesamt nach seinem Schwerpunkt behandelt wird oder abgrenzbare Leistungsteile unterschiedlichen Regeln unterliegen. Davon hängen unter anderem Vergütung, Mängelrechte, Kündigung und Verjährung ab. Auch eine agile Entwicklungsmethode beantwortet für sich genommen noch nicht, ob ein Dienst- oder Werkvertrag vorliegt.

Leistungsbeschreibung, Abnahme und Änderungswünsche

Eine belastbare Leistungsbeschreibung sollte Funktionen, Schnittstellen, Systemvoraussetzungen, Dokumentation und Mitwirkungspflichten erfassen. Allgemeine Aussagen wie „voll funktionsfähig“ vermeiden keine Auslegungskonflikte, wenn die erwarteten Funktionen nicht konkretisiert sind. Auch Anforderungen an Migration, Datenexport und die Zusammenarbeit mit vorhandenen Systemen können zum geschuldeten Leistungsumfang gehören.

Bei Werkverträgen ist die Abnahme nach § 640 BGB ein zentraler rechtlicher Einschnitt. Sie beeinflusst insbesondere die Fälligkeit der Vergütung nach § 641 BGB und den Beginn bestimmter Verjährungsfristen nach § 634a BGB. Eine bloße technische Bereitstellung ist nicht in jedem Fall bereits eine Abnahme. Umgekehrt kann eine Abnahme unter bestimmten Voraussetzungen durch schlüssiges Verhalten erfolgen.

Eine Abnahmefiktion nach § 640 Abs. 2 BGB setzt die dort geregelten Voraussetzungen voraus. Gegenüber Verbrauchern bestehen zusätzliche Anforderungen an den Hinweis auf die Folgen einer nicht erklärten oder ohne Mangelangabe verweigerten Abnahme. Eine vertraglich bezeichnete „Testphase“ ersetzt diese Prüfung nicht.

Änderungswünsche sollten in einem geregelten Verfahren behandelt werden. Dabei ist zwischen der Beseitigung eines Mangels und einer zusätzlichen, ursprünglich nicht geschuldeten Funktion zu unterscheiden. Die Herstellung des bereits geschuldeten mangelfreien Zustands begründet grundsätzlich keinen zusätzlichen Vergütungsanspruch. Ob eine Erweiterung gesondert zu vergüten ist, richtet sich nach der Vereinbarung und den einschlägigen gesetzlichen Regeln.

Verfügbarkeit und Vertragsbedingungen

Bei dauerhaft bereitgestellten Diensten sollten Verfügbarkeit, Wartungsfenster, Support und Wiederherstellung ausdrücklich geregelt werden. Eine Prozentangabe zur Verfügbarkeit ist wenig aussagekräftig, wenn Messzeitraum, Messpunkt, Ausnahmen und Berechnungsmethode fehlen. Auch muss erkennbar sein, ob lediglich eine Reaktionszeit oder bereits eine Zeit bis zur Fehlerbehebung zugesagt wird.

Vorformulierte Vertragsbedingungen unterliegen den §§ 305 ff. BGB. Im unternehmerischen Geschäftsverkehr gelten Besonderheiten, insbesondere nach § 310 BGB. Die Kontrolle unangemessener Benachteiligungen nach § 307 BGB bleibt jedoch relevant. Dass §§ 308 und 309 BGB gegenüber Unternehmern nicht unmittelbar gelten, bedeutet keine allgemeine Zulässigkeit entsprechender Klauseln.

Pauschale Haftungsausschlüsse, unklare Leistungsänderungsrechte oder einseitige Preisänderungsklauseln können unwirksam sein. Die Wirksamkeit hängt vom Inhalt, dem Vertragstyp und dem Kundenkreis ab. Eine individuell ausgehandelte Regelung setzt mehr voraus als die Möglichkeit, einen vorformulierten Vertrag vollständig anzunehmen oder abzulehnen.

Verbraucherschutz bei digitalen Leistungen

Bereitstellung, Vertragsmäßigkeit und Aktualisierungen

Die §§ 327 ff. BGB enthalten besondere Regeln für Verbraucherverträge über digitale Produkte. Sie erfassen innerhalb ihres Anwendungsbereichs digitale Inhalte und digitale Dienstleistungen. Gesetzliche Ausnahmen sowie Sonderregeln für verbundene Angebote und Waren mit digitalen Elementen sind zu berücksichtigen.

Die Vorschriften können auch eingreifen, wenn der Verbraucher personenbezogene Daten bereitstellt oder deren Bereitstellung zusagt. Nach § 327 Abs. 3 BGB gilt dies jedoch nicht, wenn der Unternehmer die Daten ausschließlich zur Erfüllung seiner Leistungspflicht oder zur Einhaltung rechtlicher Anforderungen verarbeitet und sie nicht zu anderen Zwecken verwendet. Die bloße Erhebung einer zur Vertragsabwicklung erforderlichen E-Mail-Adresse macht daher nicht jeden unentgeltlichen Dienst zu einem solchen Verbrauchervertrag.

Der Unternehmer muss das digitale Produkt bereitstellen und nach Maßgabe der gesetzlichen Vorschriften mangelfrei leisten. Nach § 327e BGB sind neben subjektiven auch objektive Anforderungen und gegebenenfalls Anforderungen an die Integration maßgeblich. Für eine dauerhafte Bereitstellung gelten zeitlich weiterreichende Anforderungen als für eine lediglich einmalige Bereitstellung.

Abweichungen von bestimmten objektiven Anforderungen sind gegenüber Verbrauchern nicht beliebig möglich. § 327h BGB verlangt dafür unter anderem eine besondere Information und eine ausdrückliche, gesonderte Vereinbarung. Eine unauffällige Einschränkung in Allgemeinen Geschäftsbedingungen genügt hierfür nicht.

§ 327f BGB verpflichtet zur Bereitstellung der erforderlichen Aktualisierungen, einschließlich Sicherheitsaktualisierungen, sowie zur Information darüber. Bei dauerhafter Bereitstellung ist grundsätzlich der Bereitstellungszeitraum maßgeblich. Bei einmaliger Bereitstellung richtet sich der Zeitraum nach den gesetzlichen Erwartungskriterien. Eine für alle digitalen Produkte geltende einheitliche Aktualisierungsfrist besteht nicht.

Mängelrechte und Änderungen des Produkts

Bei Mängeln kommen insbesondere Nacherfüllung, Vertragsbeendigung, Minderung und Schadensersatz nach den §§ 327i ff. BGB in Betracht. Diese Rechte besitzen jeweils eigene Voraussetzungen. Eine Vertragsbeendigung oder ein Schadensersatzanspruch folgt deshalb nicht automatisch aus jeder kurzfristigen Störung.

Ob ein Mangel vorliegt, hängt unter anderem von den vereinbarten Funktionen, den objektiven Anforderungen und dem maßgeblichen Bereitstellungszeitraum ab. Für die Beweislast enthält § 327k BGB besondere Regelungen. Eine technische Fehlfunktion sollte deshalb nicht allein unter Hinweis auf eine pauschale vertragliche Risikozuweisung dem Verbraucher zugerechnet werden.

Änderungen eines dauerhaft bereitgestellten digitalen Produkts unterliegen § 327r BGB, soweit sie über das zur Erhaltung der Vertragsmäßigkeit Erforderliche hinausgehen. Der Vertrag muss eine solche Änderung ermöglichen und einen triftigen Grund dafür enthalten. Zusätzliche Kosten dürfen dem Verbraucher dadurch nicht entstehen; außerdem ist eine klare und verständliche Information erforderlich.

Bei Änderungen, die Zugriffsmöglichkeiten oder Nutzbarkeit beeinträchtigen, können zusätzliche Informationspflichten und ein Beendigungsrecht bestehen. Die gesetzlichen Ausnahmen, insbesondere für nur unerhebliche Beeinträchtigungen und bestimmte Möglichkeiten einer unveränderten Weiternutzung, müssen berücksichtigt werden.

Onlineabschluss, Widerruf und Kündigung

Bei Fernabsatzverträgen bestehen im Anwendungsbereich der entsprechenden Verbraucherschutzvorschriften vorvertragliche Informationspflichten nach § 312d BGB in Verbindung mit Art. 246a EGBGB. Dazu können etwa Angaben zu Leistung, Preis, Vertragsdauer und Widerrufsrecht gehören.

Die sogenannte Button-Lösung des § 312j BGB verlangt bei erfassten zahlungspflichtigen Verbraucherverträgen im elektronischen Geschäftsverkehr eine ausdrückliche Bestätigung der Zahlungspflicht. Wird eine Schaltfläche verwendet, muss deren Beschriftung die gesetzlichen Anforderungen erfüllen. Ein Verstoß gegen § 312j Abs. 3 BGB kann nach dessen Absatz 4 dazu führen, dass der Vertrag nicht zustande kommt.

Besteht ein gesetzliches Widerrufsrecht, beträgt die Widerrufsfrist nach § 355 Abs. 2 BGB grundsätzlich 14 Tage. Fristbeginn, Ausnahmen und vorzeitiges Erlöschen sind gesondert zu prüfen. Für Dienstleistungen und nicht auf einem körperlichen Datenträger bereitgestellte digitale Inhalte gelten unterschiedliche Voraussetzungen. Die sofortige Freischaltung eines Zugangs beseitigt das Widerrufsrecht nicht automatisch.

Für bestimmte über eine Website abschließbare entgeltliche Dauerschuldverhältnisse schreibt § 312k BGB eine elektronische Kündigungsmöglichkeit vor. Die Vorschrift enthält Ausnahmen. Werden die gesetzlich verlangten Schaltflächen und die Bestätigungsseite nicht entsprechend bereitgestellt, kann der Verbraucher nach § 312k Abs. 6 BGB jederzeit und ohne Einhaltung einer Kündigungsfrist kündigen.

Daneben begrenzt § 309 Nr. 9 BGB bestimmte Laufzeit- und Verlängerungsklauseln in Allgemeinen Geschäftsbedingungen. Für die Prüfung sind insbesondere Vertragsgegenstand, Abschlusszeitpunkt und die jeweils anwendbaren Übergangsvorschriften relevant.

Datenschutz und IT-Sicherheit

Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortliche?

Verantwortlicher ist nach Art. 4 Nr. 7 DSGVO, wer allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Ein Auftragsverarbeiter verarbeitet personenbezogene Daten nach Art. 4 Nr. 8 DSGVO im Auftrag eines Verantwortlichen.

Cloudspeicherung, ausgelagerte Administration oder bestimmte Supportleistungen können Auftragsverarbeitung darstellen. Liegt eine solche vor, verlangt Art. 28 DSGVO einen Vertrag oder ein anderes dort vorgesehenes Rechtsinstrument. Darin sind unter anderem Gegenstand und Dauer der Verarbeitung, deren Art und Zweck sowie die Arten personenbezogener Daten und Kategorien betroffener Personen festzulegen.

Außerdem müssen die in Art. 28 DSGVO vorgesehenen Pflichten verbindlich geregelt werden, etwa zu Weisungen, Vertraulichkeit, Sicherheit, Unterstützung und weiteren Auftragsverarbeitern. Eine bloße Vertraulichkeitsvereinbarung erfüllt diese Anforderungen nicht notwendig.

Eine Auftragsverarbeitungsvereinbarung passt jedoch nicht zu jeder Zusammenarbeit. Wer Daten für eigene, selbst bestimmte Zwecke verarbeitet, kann insoweit eigenständig verantwortlich sein. Bei gemeinsamer Festlegung von Zwecken und Mitteln kommt gemeinsame Verantwortlichkeit nach Art. 26 DSGVO in Betracht. Entscheidend sind die tatsächlichen Verhältnisse, nicht die vertragliche Rollenbezeichnung. Unterschiedliche Verarbeitungsvorgänge innerhalb derselben Geschäftsbeziehung können unterschiedlich einzuordnen sein.

Rechtsgrundlagen und Endgerätezugriffe

Personenbezogene Daten dürfen nur verarbeitet werden, wenn die dafür erforderlichen rechtlichen Voraussetzungen vorliegen. Art. 6 Abs. 1 DSGVO nennt unter anderem Einwilligung, Vertragserfüllung, rechtliche Verpflichtung und berechtigte Interessen. Die Durchführung eines Vertrags rechtfertigt nur solche Verarbeitungen, die für diesen Zweck erforderlich sind; eine entsprechende Erwähnung in Vertragsbedingungen genügt nicht allein.

Bei besonderen Kategorien personenbezogener Daten, etwa Gesundheitsdaten, müssen zusätzlich die Voraussetzungen des Art. 9 DSGVO beachtet werden. Informationspflichten, Zweckbindung, Datenminimierung und Speicherbegrenzung gelten unabhängig davon, welche Rechtsgrundlage herangezogen wird.

Beim Einsatz von Cookies, lokalen Speichern oder vergleichbaren Techniken kommt § 25 TDDDG hinzu. Die Speicherung von Informationen im Endgerät oder der Zugriff auf bereits gespeicherte Informationen bedarf grundsätzlich einer informierten Einwilligung. Dies gilt nicht nur für personenbezogene Informationen.

Ausnahmen bestehen nach § 25 Abs. 2 TDDDG insbesondere für Vorgänge, die unbedingt erforderlich sind, damit ein Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann. Daneben besteht eine Ausnahme für den dort näher bestimmten Zweck der Nachrichtenübertragung. Dass ein Vorgang wirtschaftlich nützlich oder für die Reichweitenmessung erwünscht ist, begründet für sich genommen keine Ausnahme.

Beide Ebenen sind getrennt zu prüfen: Ein zulässiger Endgerätezugriff beantwortet noch nicht abschließend, ob eine anschließende personenbezogene Datenverarbeitung erlaubt ist. Umgekehrt ersetzt ein berechtigtes Interesse nach der DSGVO keine nach § 25 TDDDG erforderliche Einwilligung.

Sicherheitsniveau und internationale Übermittlungen

Art. 32 DSGVO verlangt risikogerechte technische und organisatorische Maßnahmen. Maßgeblich sind unter anderem Art, Umfang, Umstände und Zwecke der Verarbeitung, Eintrittswahrscheinlichkeit und Schwere der Risiken sowie der Stand der Technik und die Implementierungskosten.

Je nach Risiko kommen beispielsweise differenzierte Zugriffsrechte, Verschlüsselung, Datensicherungen, Protokollierung und getestete Wiederherstellungsverfahren in Betracht. Nicht jede Maßnahme ist in jeder Situation zwingend; umgekehrt genügt eine allgemeine Sicherheitsrichtlinie ohne tatsächliche Umsetzung nicht.

Datensicherheit ist kein einmaliger Dokumentationsakt. Veränderungen der Software, neue Unterauftragnehmer und bekannt gewordene Schwachstellen können eine erneute Bewertung erfordern. Zusätzlich können besondere Sicherheitsvorschriften eingreifen, deren Anwendbarkeit insbesondere von Tätigkeit, Branche und Unternehmensmerkmalen abhängt.

Bei Datenübermittlungen in Staaten außerhalb des Europäischen Wirtschaftsraums sind Art. 44 ff. DSGVO zu beachten. Auch die Zugänglichmachung personenbezogener Daten für einen gesonderten Empfänger durch Fernzugriff aus einem Drittstaat kann eine solche Übermittlung darstellen. Nicht jeder Auslandsbezug ist allerdings ohne weitere Prüfung eine Drittlandübermittlung.

Als Übermittlungsgrundlagen kommen insbesondere Angemessenheitsbeschlüsse nach Art. 45 DSGVO oder geeignete Garantien nach Art. 46 DSGVO in Betracht. Der Abschluss von Standardvertragsklauseln genügt nicht unabhängig von den tatsächlichen Umständen. Erforderlich sein können eine Prüfung der Rechtslage und Praxis im Empfängerstaat sowie ergänzende Schutzmaßnahmen.

Vermittlungsdienste und rechtswidrige Inhalte

Haftungsprivilegien sind keine allgemeine Immunität

Der DSA unterscheidet zwischen reiner Durchleitung, Caching und Hosting. Für diese Tätigkeiten enthalten Art. 4 bis 6 DSA unter bestimmten Voraussetzungen Haftungsprivilegien hinsichtlich der jeweils erfassten Informationen.

Bei Hostingdiensten ist nach Art. 6 DSA insbesondere relevant, ob tatsächliche Kenntnis von rechtswidrigen Tätigkeiten oder rechtswidrigen Inhalten besteht. Für Schadensersatzansprüche berücksichtigt die Vorschrift zusätzlich das Bewusstsein von Tatsachen oder Umständen, aus denen die Rechtswidrigkeit offensichtlich hervorgeht. Erlangt der Anbieter die entsprechende Kenntnis oder das entsprechende Bewusstsein, muss er zügig tätig werden, um die betreffenden Inhalte zu entfernen oder den Zugang zu sperren, wenn er die Privilegierung erhalten will.

Die Haftungsprivilegien erfassen nicht ohne Weiteres eigene Inhalte oder jede sonstige Rechtsverletzung des Unternehmens. Art. 6 Abs. 3 DSA enthält außerdem eine besondere Einschränkung für bestimmte verbraucherschutzrechtliche Haftungskonstellationen bei Online-Plattformen, die Vertragsabschlüsse mit Unternehmern ermöglichen.

Aus dem Verlust einer Privilegierung folgt noch nicht automatisch ein konkreter Schadensersatzanspruch. Dessen Voraussetzungen müssen nach dem jeweils einschlägigen Recht festgestellt werden. Ebenso können gerichtliche oder behördliche Anordnungen zur Beendigung oder Verhinderung einer Rechtsverletzung neben den Haftungsprivilegien relevant bleiben.

Art. 8 DSA verbietet die Auferlegung einer allgemeinen Überwachungs- oder aktiven Nachforschungspflicht hinsichtlich rechtswidriger Tätigkeiten. Daraus folgt jedoch nicht, dass konkrete Hinweise oder rechtmäßige Anordnungen unbeachtet bleiben dürfen.

Meldeverfahren und plattformspezifische Pflichten

Hostingdiensteanbieter müssen nach Art. 16 DSA ein elektronisches Melde- und Abhilfeverfahren für mutmaßlich rechtswidrige Inhalte bereitstellen. Die Ausgestaltung muss hinreichend genaue und angemessen begründete Meldungen ermöglichen. Solche Meldungen sind zeitnah, sorgfältig, frei von Willkür und objektiv zu bearbeiten.

Nicht jede Beanstandung vermittelt automatisch die für Art. 6 DSA relevante Kenntnis. Art. 16 Abs. 3 DSA knüpft diese Wirkung an Meldungen, anhand deren ein sorgfältig handelnder Anbieter die Rechtswidrigkeit ohne eingehende rechtliche Prüfung erkennen kann. Eine allgemeine gesetzliche Löschfrist für sämtliche Inhalte enthält Art. 16 DSA nicht.

Für bestimmte Beschränkungen wegen rechtswidriger Inhalte oder Unvereinbarkeit mit den Geschäftsbedingungen verlangt Art. 17 DSA eine klare und spezifische Begründung gegenüber den betroffenen Nutzern, soweit die gesetzlichen Voraussetzungen vorliegen. Das betrifft nicht nur Löschungen, sondern beispielsweise auch bestimmte Einschränkungen von Sichtbarkeit oder Nutzerkonten.

Online-Plattformen unterliegen zusätzlichen Anforderungen, etwa hinsichtlich interner Beschwerdesysteme nach Art. 20 DSA. Gesetzliche Ausnahmen, insbesondere nach Art. 19 DSA für bestimmte Kleinstunternehmen und kleine Unternehmen, sind zu beachten. Solche Ausnahmen befreien nicht pauschal von sämtlichen Pflichten für Vermittlungs- oder Hostingdienste.

Plattformen, die Verbrauchern den Abschluss von Fernabsatzverträgen mit Unternehmern ermöglichen, können außerdem Pflichten zur Nachverfolgbarkeit dieser Unternehmer nach Art. 30 DSA treffen. Sehr große Online-Plattformen und sehr große Online-Suchmaschinen unterliegen nach entsprechender Benennung erweiterten Anforderungen. Eine tragfähige Prüfung muss deshalb zunächst die Dienstekategorie und gegebenenfalls den Benennungsstatus bestimmen.

Urheberrecht und rechtlich gesicherte Nutzungsbefugnisse

Rechte an Software, Gestaltung und Daten

Computerprogramme sind nach Maßgabe der §§ 69a ff. UrhG geschützt, wenn die gesetzlichen Schutzvoraussetzungen erfüllt sind. Daneben können Texte, Fotografien, grafische Gestaltungen und Datenbanken unterschiedlichen urheberrechtlichen oder verwandten Schutzrechten unterliegen. Daten als solche sind hingegen nicht unterschiedslos urheberrechtlich geschützt.

Die Bezahlung einer Entwicklung verschafft nicht automatisch sämtliche denkbaren Nutzungsbefugnisse. Das Urheberrecht selbst ist unter Lebenden grundsätzlich nicht übertragbar; eingeräumt werden regelmäßig Nutzungsrechte. Fehlt eine genaue Vereinbarung, kann insbesondere der Vertragszweck für deren Umfang maßgeblich sein.

Verträge sollten deshalb festlegen, wer die Ergebnisse in welchem Umfang verwenden, verändern und weitergeben darf. Wichtig sind insbesondere ausschließliche oder einfache Nutzungsrechte, Bearbeitungsbefugnisse, die Nutzung durch verbundene Unternehmen, der Zugang zum Quellcode und die Möglichkeit, Wartungsleistungen durch andere Anbieter erbringen zu lassen. Ein Anspruch auf Quellcodeherausgabe folgt nicht ohne Weiteres aus jeder Softwareüberlassung.

Für Computerprogramme, die Arbeitnehmer in Wahrnehmung ihrer Aufgaben oder nach den Anweisungen des Arbeitgebers schaffen, enthält § 69b UrhG eine besondere Regelung über die Ausübung vermögensrechtlicher Befugnisse. Bei freien Entwicklern greift diese arbeitsbezogene Sonderregel nicht allein aufgrund ihrer Beauftragung. Für andere Werkarten gelten wiederum die jeweils einschlägigen allgemeinen und besonderen Vorschriften.

Fremdkomponenten und Open-Source-Software

Auch frei verfügbare Software ist nicht notwendig ohne rechtliche Bedingungen nutzbar. Open-Source-Lizenzen können beispielsweise Urheberhinweise, die Weitergabe von Lizenztexten oder unter bestimmten Voraussetzungen die Bereitstellung von Quellcode verlangen.

Welche Pflichten entstehen, hängt von der konkreten Lizenz und Nutzungsform ab. Interne Nutzung, Weitergabe von Software und Bereitstellung über ein Netzwerk können unterschiedlich behandelt werden. Eine allgemeine Aussage, Open-Source-Software verlange stets die Offenlegung des gesamten eigenen Quellcodes, wäre unzutreffend.

Digitale Dienstleister sollten eingesetzte Komponenten dokumentieren und Lizenzpflichten entlang der Leistungskette prüfen. Eine pauschale Zusicherung, ausschließlich eigene Software einzusetzen, kann mit der tatsächlichen Verwendung fremder Bibliotheken unvereinbar sein.

Entsprechendes gilt für Bilder, Schriftarten und Trainings- oder Referenzdaten. Aus deren öffentlicher Zugänglichkeit folgt keine allgemeine Erlaubnis für jede Nutzung. Zu prüfen sind gegebenenfalls urheberrechtliche Befugnisse, gesetzliche Schranken, vertragliche Nutzungsbedingungen und datenschutzrechtliche Anforderungen.

Rechtsprechungslinien und typische Fallkonstellationen

Vertragsqualifikation digitaler Angebote

Der Bundesgerichtshof hat mit Urteil vom 15. November 2006, XII ZR 120/04, für die zeitlich begrenzte Bereitstellung von Software im Rahmen eines Application-Service-Providing-Vertrags mietrechtliche Regeln herangezogen. Die Entscheidung verdeutlicht, dass auch eine technisch komplexe Onlineleistung nach klassischen Vertragstypen beurteilt werden kann.

Mit Urteil vom 4. März 2010, III ZR 79/09, ordnete der Bundesgerichtshof einen sogenannten Internet-System-Vertrag werkvertraglich ein. Maßgeblich waren die vereinbarten Leistungspflichten und der geschuldete Erfolg. Daraus lässt sich nicht ableiten, dass jeder Vertrag über eine Website oder einen Onlineservice insgesamt ein Werkvertrag ist.

Beide Entscheidungen stehen für eine funktionsbezogene Betrachtung. Ihre Übertragung auf heutige Geschäftsmodelle verlangt jedoch eine Prüfung des jeweiligen Vertrags. Hinzugetretene gesetzliche Sonderregeln, insbesondere für Verbraucherverträge über digitale Produkte, dürfen dabei nicht ausgeblendet werden.

Datenschutzrechtliche Leitentscheidungen

Der Gerichtshof der Europäischen Union erklärte mit Urteil vom 16. Juli 2020, C-311/18, den damaligen EU-US-Datenschutzschild für ungültig. Zugleich verdeutlichte er die Anforderungen an Datenübermittlungen auf Grundlage von Standardvertragsklauseln.

Die Entscheidung betrifft den damaligen Angemessenheitsbeschluss. Aus ihr allein lässt sich nicht der rechtliche Status späterer Übermittlungsinstrumente ableiten. Für eine konkrete Übermittlung sind die jeweils anwendbare Grundlage, deren Geltung und Reichweite sowie die tatsächlichen Umstände zu prüfen. Der wesentliche rechtliche Gesichtspunkt ist, dass vertragliche Garantien den erforderlichen Schutz nicht lediglich formal versprechen dürfen.

Nach dem Urteil des Gerichtshofs der Europäischen Union vom 4. Mai 2023, C-300/21, setzt Schadensersatz nach Art. 82 DSGVO einen Verstoß, einen Schaden und einen Kausalzusammenhang voraus. Eine besondere Erheblichkeitsschwelle für immaterielle Schäden ist dagegen nicht zulässig.

Weder begründet jeder Datenschutzverstoß automatisch Schadensersatz noch dürfen nachgewiesene immaterielle Schäden allein wegen ihrer geringen Intensität ausgeschlossen werden. Die weiteren Voraussetzungen der Haftung, einschließlich der Verantwortlichkeit und einer möglichen Entlastung nach Art. 82 DSGVO, bleiben gesondert zu prüfen.

Drei wiederkehrende Konfliktlagen

Ausfall eines Cloudzugangs: Zunächst ist zu klären, welche Verfügbarkeit geschuldet war und welche Leistung tatsächlich ausgefallen ist. Vertragstyp, Dauer und Ursache der Störung, wirksame Haftungsregelungen und nachgewiesene Schäden beeinflussen die Ansprüche. Eigene Sicherungsmaßnahmen des Kunden können beispielsweise bei der Schadensentstehung oder einem Mitverschulden relevant werden; sie beseitigen die Leistungspflichten des Anbieters nicht automatisch.

Unvollständige Individualsoftware: Entscheidend sind Leistungsbeschreibung, Entwicklungsstand und Abnahmesituation. Ein Fehler innerhalb des geschuldeten Funktionsumfangs ist anders zu behandeln als ein nachträglicher Erweiterungswunsch. Bei agiler Entwicklung muss außerdem geklärt werden, welche Verbindlichkeit einzelne Planungsstände besitzen und wer Änderungen wirksam vereinbaren durfte.

Rechtswidriger Plattformbeitrag: Zu unterscheiden sind die Verantwortung des Verfassers und die Pflichten des Plattformbetreibers. Eine hinreichend konkrete Meldung kann die Kenntnislage und damit die rechtliche Bewertung verändern. Eine Beschwerde beweist jedoch noch keine Rechtswidrigkeit. Auch die vertragliche Grundlage einer Beschränkung und die Rechte des betroffenen Nutzers sind zu berücksichtigen.

Rechtsfolgen, Verfahren und Fristen

Zivilrechtliche und behördliche Risiken

Vertragsverletzungen können Erfüllungs-, Nacherfüllungs-, Minderungs-, Rückabwicklungs- oder Schadensersatzansprüche auslösen. Welche Rechtsfolge eingreift, hängt vom Vertragstyp und den jeweiligen Voraussetzungen ab. Nicht jeder Vertragstyp kennt dieselben Mängelrechte.

Schadensersatz nach § 280 Abs. 1 BGB setzt insbesondere eine Pflichtverletzung, einen dadurch verursachten Schaden und Vertretenmüssen voraus. Nach § 280 Abs. 1 Satz 2 BGB entfällt die Haftung, wenn der Schuldner die Pflichtverletzung nicht zu vertreten hat. Für Verzögerungsschäden oder Schadensersatz statt der Leistung gelten zusätzliche Voraussetzungen.

Wettbewerbs- oder Urheberrechtsverstöße können Unterlassungsansprüche und unter weiteren Voraussetzungen Ersatzansprüche begründen. Anspruchsberechtigung, Verschuldenserfordernisse und Umfang der Ansprüche unterscheiden sich nach dem jeweiligen Rechtsgebiet.

Datenschutzbehörden können nach Art. 58 DSGVO unter anderem Anordnungen treffen und Verarbeitungen beschränken oder untersagen. Geldbußen richten sich nach Art. 83 DSGVO und den Umständen des Einzelfalls. Nicht jeder festgestellte Verstoß führt zwingend zu einer Geldbuße.

Auch ein begrenzter Einzelverstoß kann organisatorische Folgen haben: Erforderlich werden möglicherweise technische Änderungen, die Anpassung von Verträgen oder eine Unterbrechung bestimmter Verarbeitungen. Eine Geldzahlung erledigt nicht notwendig die Pflicht, einen fortbestehenden rechtswidrigen Zustand zu beseitigen.

Zuständige Stellen und außergerichtliches Vorgehen

Privatrechtliche Vertragsstreitigkeiten werden grundsätzlich vor den zuständigen Zivilgerichten geführt, sofern keine wirksame abweichende Verfahrensvereinbarung oder besondere Zuständigkeitsregel eingreift. Bei grenzüberschreitenden Verträgen können internationale Zuständigkeitsvorschriften und zwingende Verbraucherschutzregeln maßgeblich sein.

Bei Datenschutzverstößen kommt eine Beschwerde nach Art. 77 DSGVO in Betracht. Für die behördliche Zuständigkeitsverteilung sind unter anderem Niederlassung, Tätigkeitsbereich und grenzüberschreitende Verarbeitung relevant. Die Beschwerdemöglichkeit betroffener Personen ist nicht ausschließlich auf die Behörde am Unternehmenssitz beschränkt.

Für die deutsche Durchführung des DSA besitzt die Bundesnetzagentur als Koordinator für digitale Dienste eine zentrale Funktion. Daneben bestehen weitere nationale und europäische Zuständigkeiten. Eine Beschwerde im Aufsichtssystem ersetzt keine zivilrechtliche Klage auf Schadensersatz oder Vertragserfüllung.

Vor einer gerichtlichen Auseinandersetzung sind häufig eine strukturierte Mängelanzeige, eine belastbare Sachverhaltsdokumentation und gegebenenfalls eine erforderliche Fristsetzung zweckmäßig. Gesetzliche Entbehrlichkeitstatbestände müssen gesondert geprüft werden. Eine allgemeine gesetzliche Standardfrist für jede digitale Leistungsstörung gibt es nicht.

Besonders wichtige Fristen

Bei Verletzungen des Schutzes personenbezogener Daten muss der Verantwortliche die zuständige Aufsichtsbehörde nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden informieren. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Eine spätere Meldung muss begründet werden; fehlende Informationen können unter den gesetzlichen Voraussetzungen schrittweise nachgereicht werden.

Auftragsverarbeiter müssen entsprechende Verletzungen dem Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich melden. Die Benachrichtigung betroffener Personen folgt den eigenen Voraussetzungen des Art. 34 DSGVO und ist bei voraussichtlich hohem Risiko grundsätzlich unverzüglich vorzunehmen, soweit keine gesetzliche Ausnahme greift.

Bei Anträgen zur Ausübung der in Art. 15 bis 22 DSGVO geregelten Rechte muss der Verantwortliche nach Art. 12 Abs. 3 DSGVO unverzüglich, jedenfalls innerhalb eines Monats nach Eingang, Informationen über die ergriffenen Maßnahmen bereitstellen. Bei erforderlicher Verlängerung wegen der Komplexität oder Anzahl der Anträge sind bis zu zwei weitere Monate möglich. Über die Verlängerung und deren Gründe muss innerhalb des ersten Monats informiert werden. Auch eine Ablehnung unterliegt besonderen Informationsanforderungen.

Die regelmäßige zivilrechtliche Verjährung beträgt nach § 195 BGB drei Jahre. Ihr Beginn richtet sich grundsätzlich nach § 199 BGB und setzt regelmäßig neben der Anspruchsentstehung Kenntnis oder grob fahrlässige Unkenntnis der maßgeblichen Umstände voraus; der Lauf beginnt grundsätzlich mit dem Schluss des betreffenden Jahres.

Für Mängelansprüche und digitale Produkte gelten teilweise besondere Vorschriften, etwa § 634a BGB oder § 327j BGB. Eine Mahnung hemmt die Verjährung nicht schon als solche. Wer von einer einheitlichen Dreijahresfrist oder einer automatischen Fristwahrung durch jede Beschwerde ausgeht, riskiert Rechtsverluste.

Praktische Handlungsschritte und offene Streitfragen

Ein risikoorientiertes Prüfprogramm

Eine belastbare Organisation beginnt mit einer Bestandsaufnahme der angebotenen Leistungen. Darauf sollte eine getrennte Prüfung der vertraglichen, datenschutzrechtlichen und plattformrechtlichen Rollen folgen. Allgemeine Muster können eine solche Prüfung unterstützen, aber nicht ersetzen.

Praktisch empfiehlt sich insbesondere:

• Leistungen, Kundengruppen, Absatzstaaten und Datenflüsse dokumentieren.
• Vertragstypen, Leistungsbeschreibungen, Mitwirkungspflichten und Nutzungsrechte abstimmen.
• Verbraucherinformationen sowie elektronische Abschluss- und Kündigungsprozesse prüfen.
• Datenschutzrollen, Rechtsgrundlagen und weitere Auftragsverarbeiter erfassen.
• Sicherheits-, Melde-, Datensicherungs- und Wiederherstellungsverfahren festlegen.
• Beschwerdewege, Zuständigkeiten und Fristen organisatorisch absichern.
• Änderungen des Dienstes und eingesetzter Fremdkomponenten rechtlich begleiten.

Dokumentation ersetzt keine rechtskonforme Gestaltung, erleichtert aber deren Nachweis. Besonders wichtig ist eine klare Verantwortungszuweisung zwischen Vertrieb, Entwicklung, Datenschutz und Betrieb. Rechtliche Zusagen sollten technisch erfüllbar sein.

Auch das Vertragsende sollte berücksichtigt werden. Datenexport, Rückgabe oder Löschung personenbezogener Daten, fortbestehende Nutzungsrechte und Unterstützung bei einem Anbieterwechsel können unterschiedlichen gesetzlichen und vertraglichen Regeln unterliegen. Eine allgemeine Aussage, nach Vertragsende dürften sämtliche Kundendaten sofort gelöscht oder unbegrenzt gespeichert werden, wäre unzutreffend.

Fortbestehende Abgrenzungsprobleme

Offen oder stark einzelfallabhängig bleiben zahlreiche Detailfragen. Dazu gehören die vertragliche Einordnung modularer Cloudangebote, die Reichweite objektiver Aktualisierungserwartungen und die Abgrenzung eigener von fremden Plattforminhalten.

Auch die rechtliche Bewertung datenbasierter Geschäftsmodelle entwickelt sich weiter. Die Anwendung der §§ 327 ff. BGB bei einer Bereitstellung personenbezogener Daten macht diese nicht zu einem beliebig handelbaren Ersatz für Geld. Datenschutzrechtliche Anforderungen gelten eigenständig fort. Insbesondere werden die Voraussetzungen einer wirksamen Einwilligung nicht dadurch ersetzt, dass ein Angebot als „Bezahlung mit Daten“ bezeichnet wird.

Beim Einsatz künstlicher Intelligenz treten zusätzliche Fragen zu Transparenz, Verantwortlichkeit, Urheberrecht und Diskriminierung hinzu. Die Verordnung (EU) 2024/1689, die sogenannte KI-Verordnung, ergänzt den Rechtsrahmen mit gestaffelt anwendbaren Vorschriften. Welche Anforderungen einen Dienstleister treffen, hängt insbesondere von seiner gesetzlichen Rolle, dem System und dessen Verwendungszweck ab.

Eine pauschale Einordnung sämtlicher KI-Anwendungen als besonders reguliert oder als rechtlich unbedenklich wäre gleichermaßen unzutreffend. Für konkrete Angebote müssen die einschlägigen Tatbestände und Anwendungszeitpunkte gesondert bestimmt werden.

Zusammenfassung

Die rechtlichen Grundlagen digitaler Dienstleister ergeben sich aus mehreren, nebeneinander anwendbaren Regelungssystemen. Ausgangspunkt ist stets das konkrete Geschäftsmodell: Welche Leistung wird wem gegenüber erbracht, welche Daten werden verarbeitet und welche Rolle übernimmt der Anbieter?

Das Vertragsrecht bestimmt Leistungspflichten und Ansprüche bei Störungen. Verbraucherschutzvorschriften ergänzen insbesondere digitale Produkte, Onlineabschlüsse und Kündigungsmöglichkeiten. DSGVO und TDDDG regeln unterschiedliche Aspekte der Datenverarbeitung und des Endgerätezugriffs. DSA und DDG enthalten weitere, teilweise rollenabhängige Anforderungen. Urheberrecht, Wettbewerbsrecht, Barrierefreiheitsvorschriften und gegebenenfalls besondere Branchenregelungen vervollständigen den Rahmen.

Rechtssicherheit entsteht daher nicht durch einen einzelnen Mustervertrag oder eine Datenschutzerklärung. Erforderlich ist ein abgestimmtes System aus präzisen Vereinbarungen, tatsächlich umgesetzten technischen Maßnahmen und funktionierenden Verfahren. Gerade die Trennung der verschiedenen gesetzlichen Rollen ermöglicht es, Pflichten zutreffend zu bestimmen und Risiken nachvollziehbar zu begrenzen. Dabei bleiben die konkrete Vertragsgestaltung, der Sachverhalt und die jeweils anwendbare Gesetzesfassung entscheidend.