IT- und Internetrecht

1. Was bedeutet IT- und Internetrecht in Deutschland?

Kurzantwort: IT- und Internetrecht ist kein einzelnes Gesetz, sondern die Gesamtheit der Vorschriften, nach denen digitale Angebote – etwa Websites, Online-Shops, Apps, Social-Media-Profile und Cloud-Dienste – in Deutschland und der EU rechtssicher betrieben werden dürfen.

Unter IT- und Internetrecht versteht man sämtliche rechtlichen Regelungen, die sich mit der Nutzung von Informationstechnologie und dem Auftreten im Internet befassen. Dazu zählen klassische Websites und Blogs, Online-Shops, Streaming- und Hostingdienste, Plattformen und Marktplätze, soziale Netzwerke, Apps, Cloud- und SaaS-Angebote, aber auch interne IT-Systeme von Unternehmen mit externen Schnittstellen.

Das IT- und Internetrecht ist eine typische Querschnittsmaterie. Wichtige Bausteine sind unter anderem:

• Datenschutzrecht (insbesondere DSGVO und Bundesdatenschutzgesetz) für die Verarbeitung personenbezogener Daten,
• Regeln für digitale Dienste wie das Digitale-Dienste-Gesetz (DDG) und das Telekommunikation-Digitale-Dienste-Datenschutzgesetz (TDDDG),
• klassisches Zivilrecht (BGB, EGBGB) für Verträge, Widerrufsrechte und Haftung,
• Urheber- und Markenrecht (UrhG, MarkenG) für Inhalte, Logos, Bilder, Software und Kennzeichen,
• Wettbewerbsrecht (UWG) mit Regeln zu Werbung, Spam, Affiliate-Marketing und irreführenden Aussagen,
• Strafrecht, etwa beim Ausspähen von Daten, Hacking, Betrug oder Beleidigungen im Netz.

Hinzu kommt die stark wachsende Bedeutung unmittelbar geltender EU-Verordnungen wie der Datenschutz-Grundverordnung (DSGVO), dem Digital Services Act (DSA) für Online-Plattformen sowie branchenspezifischer Regelungen wie DORA im Finanzbereich oder der NIS-2-Umsetzungsgesetzgebung zur IT-Sicherheit.

Für die Praxis zählt weniger, in welchem Gesetz eine Regel steht, sondern welche konkreten Pflichten und Risiken sich daraus ergeben: Muss ein Impressum vorhanden sein? Welche Angaben gehören in die Datenschutzerklärung? Wann ist ein Cookie-Banner erforderlich? Welche Inhalte darf ich teilen oder einbinden? Wie gestalte ich IT-Verträge und AGB?

2. Welche Rechtsquellen prägen das IT- und Internetrecht?

Kurzantwort: Das IT- und Internetrecht wird heute maßgeblich durch EU-Recht (insbesondere DSGVO und DSA/DMA) und ergänzende nationale Gesetze wie DDG, TDDDG, BGB, BDSG, UrhG, MarkenG und UWG geprägt.

In kaum einem anderen Rechtsgebiet ist der Einfluss des EU-Rechts so groß wie im Digitalrecht. Gleichzeitig bleiben nationale Gesetze – etwa für Vertragsrecht, Strafrecht oder den Schutz des allgemeinen Persönlichkeitsrechts – unverzichtbar. Für die Praxis ist wichtig zu wissen, welche Normen vorrangig gelten und wie sie ineinandergreifen.

Wichtige EU-Vorschriften im IT- und Internetrecht sind etwa:

• Datenschutz-Grundverordnung (DSGVO) als zentrale Regelung für den Umgang mit personenbezogenen Daten,
• Digital Services Act (DSA) mit Haftungs- und Transparenzpflichten für Hosting-Provider, Plattformen und sehr große Online-Dienste,
• Digital Markets Act (DMA) mit Wettbewerbsregeln für große „Gatekeeper“-Plattformen,
• NIS-2-Richtlinie und ihre Umsetzung in deutsches Recht zur Verbesserung der Cybersicherheit bestimmter Unternehmen und Einrichtungen,
• branchenspezifische Regelungen wie die DORA-Verordnung zur digitalen Resilienz im Finanzsektor.

Wichtige nationale Vorschriften mit Bezug zum IT- und Internetrecht sind u. a.:

• Digitale-Dienste-Gesetz (DDG) als Nachfolger des Telemediengesetzes (TMG), u. a. mit der Impressumspflicht und Pflichten für digitale Dienste,
• Telekommunikation-Digitale-Dienste-Datenschutzgesetz (TDDDG) (früher TTDSG) mit speziellen Datenschutzregeln für Endeinrichtungen und Cookies,
• Bürgerliches Gesetzbuch (BGB) und Einführungsgesetz zum BGB (EGBGB) mit Regeln für Verträge, Fernabsatz, digitale Inhalte und Widerrufsrechte,
• Bundesdatenschutzgesetz (BDSG) als Ergänzung zur DSGVO, insbesondere für Aufsichtsbehörden und Beschäftigtendatenschutz,
• Urheberrechtsgesetz (UrhG) für Texte, Bilder, Musik, Software und sonstige geschützte Werke,
• Markengesetz (MarkenG) und Designrecht für Kennzeichen, Logos und Produktgestaltung,
• Gesetz gegen den unlauteren Wettbewerb (UWG) mit Regeln zur Werbung, zu Influencer-Marketing, Spam und irreführenden Angaben,
• Strafnormen, etwa zu Beleidigung, Volksverhetzung, Betrug, Cybercrime oder Datenveränderung.

3. Datenschutz & Cookies: Was müssen Betreiber von Websites und Apps beachten?

Kurzantwort: Wer personenbezogene Daten verarbeitet oder Cookies/Tracking-Technologien einsetzt, braucht eine rechtliche Grundlage, eine transparente Datenschutzerklärung und – bei vielen Cookies – eine ausdrückliche Einwilligung über ein wirksames Consent-Tool.

Die DSGVO bildet den allgemeinen Rechtsrahmen für die Verarbeitung personenbezogener Daten. Sie gilt immer dann, wenn Daten einer identifizierten oder identifizierbaren Person verarbeitet werden – etwa IP-Adressen, Nutzerkonten, Bestelldaten, Newsletter-Abos oder Tracking-Daten. Zentrale Grundsätze sind Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität und Vertraulichkeit.

Für Websites, Apps und andere digitale Dienste ist häufig die Frage entscheidend, ob eine Verarbeitung auf Einwilligung, auf Vertragserfüllung (z. B. im Online-Shop), auf rechtliche Verpflichtungen oder auf berechtigte Interessen gestützt werden kann. Unabhängig davon verlangt die DSGVO eine verständliche und leicht auffindbare Datenschutzerklärung, in der u. a. Verantwortliche, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer, Rechte der Betroffenen und ggf. Drittlandübermittlungen erläutert werden.

Beim Einsatz von Cookies und ähnlichen Technologien spielt neben der DSGVO das TDDDG (ehemals TTDSG) eine zentrale Rolle. Es regelt den Zugriff auf Informationen in Endeinrichtungen (z. B. Browser-Cookies, Local Storage, Tracking-Pixel) und schreibt in der Regel eine vorherige Einwilligung der Nutzer:innen vor, wenn die Technik nicht unbedingt erforderlich für den Betrieb des Dienstes ist. Ausnahmen gelten nur für technisch notwendige Cookies, etwa zur Speicherung des Warenkorbs oder zur Sprachauswahl.

Das bedeutet in der Praxis:

• Für die meisten Marketing- und Analyse-Cookies (z. B. Reichweitenmessung, Remarketing, Drittanbieter-Tracking) ist ein Cookie-Banner mit echter Wahlmöglichkeit erforderlich.
• Die Einwilligung muss freiwillig, informiert, spezifisch und nachweisbar sein; voreingestellte Häkchen oder „Dark Patterns“ sind unzulässig.
• Die Datenschutzerklärung sollte genau erklären, welche Tools eingesetzt werden, auf welcher Rechtsgrundlage und mit welchen Speicherdauern.
• Mit externen Dienstleistern (z. B. Hosting, Analytics, Newsletter) sind Auftragsverarbeitungsverträge abzuschließen.

• Vollständiges und leicht auffindbares Impressum sowie verständliche Datenschutzerklärung,
• Übersichtliches Cookie-Banner mit Möglichkeit, nicht notwendige Cookies abzulehnen,
• Aktualisierte Liste der eingesetzten Tools (Analytics, Fonts, Maps, Social Plugins etc.) und deren Rechtsgrundlagen,
• Abgeschlossene Auftragsverarbeitungsverträge mit Dienstleistern, insbesondere bei Cloud-, Newsletter- oder Tracking-Services,
• Verschlüsselte Verbindung (HTTPS/TLS) und technische Maßnahmen zur Zugriffssicherheit,
• Regelmäßige Überprüfung, ob neue Funktionen (z. B. Chat-Widgets, Tracking-Pixel, KI-Tools) datenschutzrechtlich bewertet und dokumentiert wurden.

4. Online-Shops, Plattformen & digitale Dienste: Welche Informationspflichten gelten?

Kurzantwort: Wer Waren oder Dienstleistungen online anbietet, muss umfangreiche Informationspflichten erfüllen – insbesondere Impressum, Widerrufsbelehrung, Preisangaben, AGB und Transparenzpflichten nach DDG, EGBGB, UWG und DSA.

Das Impressum ist eine der bekanntesten Pflichten im IT- und Internetrecht. Es soll Nutzer:innen ermöglichen, den verantwortlichen Anbieter eines digitalen Dienstes zu identifizieren und rechtlich zu erreichen. Die früher in § 5 TMG geregelte Impressumspflicht findet sich heute inhaltlich im § 5 DDG wieder. Betroffen sind in der Regel alle, die digitale Dienste geschäftsmäßig anbieten – also insbesondere Unternehmen, Selbständige, Online-Shops, Plattformbetreiber und häufig auch Influencer:innen mit kommerziellen Zwecken.

Typische Pflichtangaben sind etwa:

• Name bzw. Firma und Rechtsform des Anbieters,
• Anschrift der Niederlassung (kein Postfach),
• Kontaktdaten, insbesondere E-Mail-Adresse und ggf. Telefonnummer,
• Registerangaben (Handels-, Vereins-, Partnerschaftsregister),
• Umsatzsteuer-Identifikationsnummer, soweit vorhanden,
• ggf. Angaben zur zuständigen Aufsichtsbehörde oder Kammer.

Bei Online-Shops und Plattformen kommen weitere Informationspflichten hinzu, etwa nach EGBGB (Fernabsatzrecht), Preisangabenrecht und Verbraucherrecht. Dazu gehören insbesondere:

• klare Angabe der Endpreise (inkl. Steuern und Preisbestandteile) und Hinweise auf Versandkosten,
• Hinweis auf das Widerrufsrecht und Bereitstellung einer Widerrufsbelehrung samt Muster-Widerrufsformular,
• Informationen zu Lieferzeiten, technischen Schritten zum Vertragsschluss und Vertragssprachen,
• gegebenenfalls Hinweise zu Gewährleistung, Garantien und digitalen Inhalten oder digitalen Dienstleistungen.

Für Plattformen und Marktplätze kommen seit Inkrafttreten des Digital Services Act zusätzliche Pflichten hinzu, etwa zur Meldung und Entfernung illegaler Inhalte, zu transparenten Nutzungsbedingungen, zur Kennzeichnung von Werbung und – bei sehr großen Plattformen – zu Risikobewertungen, Transparenzberichten und wissenschaftlichem Zugang zu Daten.

• vollständiges und aktuelles Impressum nach DDG,
• vollständige und verständliche AGB (falls verwendet) mit klaren Regelungen zu Leistung, Zahlung, Lieferung und Haftung,
• rechtssichere Widerrufsbelehrung und ggf. Hinweise zu digitalen Inhalten,
• korrekte Preisangaben inkl. Steuern und Zusatzkosten,
• transparent formulierte Nutzungsbedingungen von Plattformen oder Community-Angeboten,
• klar gekennzeichnete Werbung und Affiliate-Links, insbesondere bei Influencer-Marketing und Social-Media-Posts.

5. Inhalte im Netz: Wie wirken Urheberrecht, Markenrecht und Persönlichkeitsrechte?

Kurzantwort: Texte, Fotos, Videos, Musik, Logos und Designs sind in der Regel urheber- oder markenrechtlich geschützt; ihre Nutzung im Internet ist ohne ausreichende Rechte riskant und führt schnell zu Abmahnungen.

Ein weit verbreiteter Irrtum im Internet lautet „Was online ist, darf man einfach nutzen“. Tatsächlich gilt das Gegenteil: Nahezu alle kreativen Inhalte sind durch das Urheberrechtsgesetz (UrhG) geschützt, sofern sie eine gewisse Schöpfungshöhe erreichen. Das betrifft Blogtexte, Produktbeschreibungen, Fotos, Grafiken, Logos, Videos, Musik, Softwarecode, Datenbanken und weitere Werke.

Wer fremde Inhalte nutzt – etwa indem er sie auf der eigenen Website einbindet, in Social Media teilt oder in Werbematerial verwendet –, benötigt in der Regel eine Lizenz oder gesetzliche Erlaubnis. Fehlt diese, drohen Abmahnungen, Unterlassungsansprüche, Schadensersatz und teilweise auch strafrechtliche Folgen.

Zusätzlich schützt das Markenrecht Kennzeichen wie Logos, Produktnamen, Slogans oder Domains. Die unbefugte Nutzung kann markenrechtliche Ansprüche auslösen, etwa wenn fremde Marken zur Kennzeichnung eigener Produkte, in Meta-Tags oder bei Keyword-Advertising eingesetzt werden. Auch Domains können Konflikte mit Markenrechten oder Namensrechten auslösen.

Schließlich spielt das allgemeine Persönlichkeitsrecht eine Rolle, etwa beim Veröffentlichen von Fotos, Rezensionen, Kommentaren oder Berichten über Personen. Hier greifen zivilrechtliche und datenschutzrechtliche Schutzmechanismen; bei Bildern und Videos kommen zudem spezielle Regelungen (u. a. aus dem Kunsturheberrecht und der DSGVO) hinzu.

In der Praxis ergeben sich typische Konflikte im IT- und Internetrecht etwa bei:

• der Verwendung von Stockfotos ohne ausreichende Lizenz oder mit falscher Urheberbenennung,
• der unberechtigten Nutzung fremder Logos oder Marken in Online-Shops, auf Vergleichsseiten oder in Blogartikeln,
• dem Einbinden von Fremdvideos außerhalb der von Plattformen vorgesehenen Einbettungsfunktionen,
• negative oder rufschädigende Bewertungen, Forenbeiträge oder Social-Media-Kommentare,
• der Nutzung von KI-generierten Inhalten, bei denen Trainingsdaten, Persönlichkeitsrechte oder Markenrechte berührt sein können.

Gerade beim Betrieb von Foren, Communities oder Plattformen sind zusätzlich Haftungsfragen wichtig: Welche Inhalte müssen moderiert werden? Wann muss auf Hinweise auf Rechtsverletzungen reagiert werden? Welche Pflichten ergeben sich aus dem DSA und ggf. dem DDG? Die Antworten hängen von Rolle, Größe und konkreter Ausgestaltung des Dienstes ab.

6. IT-Verträge, Haftung & aktuelle Entwicklungen im Digitalrecht

Kurzantwort: IT-Verträge – etwa zu Software, Cloud, Hosting oder IT-Projekten – sollten Leistungen, Verfügbarkeit, Datenschutz, Sicherheit und Haftung klar regeln; parallel verschärfen neue EU- und nationale Vorschriften (DSA, DMA, NIS-2, DORA) die Anforderungen an viele digitale Dienste.

IT-Vertragsrecht ist ein zentraler Baustein des IT- und Internetrechts. Viele digitale Geschäftsmodelle beruhen auf Software-as-a-Service (SaaS), Cloud-Services, Hosting, Support- und Wartungsverträgen oder komplexen IT-Projekten (z. B. Einführung von ERP- oder Shop-Systemen). Typische Vertragsarten sind u. a.:

• Softwarekauf- und Lizenzverträge (On-Premise),
• SaaS-/Cloud-Verträge mit laufender Bereitstellung über das Internet,
• Hosting- und Housing-Verträge,
• IT-Projektverträge (klassisch oder agil),
• Service- und Supportverträge mit Service Level Agreements (SLAs).

Rechtlich werden diese Verträge meist als Kombination aus Werk-, Dienst- und Mietvertrag eingeordnet. Für die Praxis entscheidend sind klare Regelungen zu:

• Leistungsbeschreibung (Funktionalitäten, Schnittstellen, Mitwirkungspflichten),
• Verfügbarkeit und Reaktionszeiten (SLAs, Wartungsfenster),
• Datenschutz & Vertraulichkeit (Auftragsverarbeitung, technische und organisatorische Maßnahmen, Backup & Recovery),
• Haftung (Haftungsumfang, Haftungshöchstgrenzen, Ausschlüsse),
• Gewährleistung und Mängelrechte,
• Kündigung, Laufzeit und Exit (Datenherausgabe, Migrationsunterstützung).

Parallel dazu verschärfen aktuelle Entwicklungen die Anforderungen an viele Unternehmen und Plattformen. Beispiele sind:

• der Digital Services Act (DSA) mit neuen Pflichten für Plattformen und Hosting-Anbieter,
• der Digital Markets Act (DMA) mit strengeren Vorgaben für große Plattformbetreiber,
• das NIS-2-Umsetzungsgesetz mit erhöhten IT-Sicherheits- und Compliance-Pflichten für bestimmte Unternehmen,
• branchenspezifische Regeln wie DORA für Finanzunternehmen,
• laufende Anpassungen im Datenschutzrecht, z. B. bei internationalen Datentransfers oder neuen Tracking-Technologien.

Ob eine rechtliche Prüfung notwendig ist, hängt von Größe und Risiko des Projekts ab. Je umfangreicher Kundendaten, Umsätze oder externe Abhängigkeiten (z. B. Cloud-Provider, Zahlungsdienstleister) sind, desto wichtiger wird eine frühzeitige rechtliche und technische Planung. Das gilt besonders, wenn Angebote grenzüberschreitend in mehreren EU-Staaten oder weltweit bereitgestellt werden.