Datenschutz und Medienrecht

Vertragsrecht – Bezahlt heißt nicht, dass es Ihnen gehört

Am Anfang steht fast immer ein Vertrag. Bei Technologieprojekten entscheidet sich die Risikoverteilung dabei selten in der Leistungsbeschreibung — sondern bei Nutzungsrechten, Leistungsänderungen, Verfügbarkeit, Schnittstellen, Datenmigration, Unterauftragnehmern, Haftung und der Frage, was beim Ende des Vertrags passiert.

In der Praxis werden Leistungen gebündelt: Entwicklung, Hosting, Wartung, Support, Lizenzierung und laufende Anpassung ergeben zusammen ein Produkt. Rechtlich entsteht daraus ein gemischtes Vertragsverhältnis. Ob ein bestimmter Erfolg geschuldet ist oder nur eine laufende Tätigkeit, klingt akademisch — es entscheidet aber über Abnahme, Fälligkeit der Vergütung, Mängelrechte und die Art der Kündigung.

Am konfliktanfälligsten ist die Rechtekette an der Software selbst. § 69b UrhG weist dem Arbeitgeber die vermögensrechtlichen Befugnisse an Programmen zu, die Angestellte in Wahrnehmung ihrer Aufgaben schreiben. Auf freie Entwickler, Agenturen und sonstige Auftragnehmer lässt sich diese Regelung nicht übertragen. Und auch die vollständige Bezahlung einer Entwicklung heißt nicht, dass Sie die Rechte haben, die Sie für Bearbeitung, Weiterentwicklung, Unterlizenzierung oder einen späteren Unternehmensverkauf brauchen. Bemerkt wird das meist im Datenraum einer Finanzierungsrunde — also dann, wenn die Verhandlungsposition am schlechtesten ist.

Bei Cloud- und SaaS-Verträgen kommt die Abhängigkeit vom Anbieter hinzu. Wird ein Dienst eingestellt, ein Konto gesperrt oder eine Schnittstelle verändert, sind Vertragsrecht, Datenschutz, Geschäftsgeheimnisse und technische Machbarkeit gleichzeitig betroffen. Service Levels und Gutschriften decken davon nur einen kleinen Teil ab.

Urheberrecht – Technisch möglich heißt nicht rechtlich abgesichert

Dieselbe Frage nach der Rechtekette stellt sich bei allem, was auf einer Website landet. Software, Fotos, Videos, Texte, Grafiken und Datenbankstrukturen können urheberrechtlich geschützt sein. Für Agenturen und Technologieunternehmen heißt das zweierlei: Sind die Nutzungsrechte über alle Beteiligten hinweg lückenlos eingeräumt — und decken sie auch das ab, was tatsächlich damit geplant ist?

Seit 2021 regelt das Urheberrechts-Diensteanbieter-Gesetz die Verantwortlichkeit bestimmter Diensteanbieter für Inhalte, die Nutzer hochladen. Es enthält Blockierungsmechanismen, aber auch Beschwerde- und Streitbeilegungsverfahren. Für junge Anbieter gelten Erleichterungen: unionsweiter Jahresumsatz von höchstens zehn Millionen Euro und ein Dienst, der seit weniger als drei Jahren verfügbar ist.

Wie weit der Softwareschutz reicht, arbeitet die Rechtsprechung weiter aus. Im Verfahren „Action Replay II“ (Urteil vom 31. Juli 2025, I ZR 157/21) befasste sich der Bundesgerichtshof mit Eingriffen in den Ablauf eines Computerspiels, ohne dessen Objekt- oder Quellcode zu verändern. Die Entscheidung zeigt: Es kommt nicht darauf an, ob fremde Software wirtschaftlich beeinflusst wird, sondern auf die konkret geschützten Ausdrucksformen.

Für Unternehmen bleibt der entscheidende Unterschied zwischen einer technisch möglichen und einer rechtlich abgesicherten Nutzung. Das gilt für Open-Source-Komponenten ebenso wie für Stockmedien, nutzergenerierte Inhalte und KI-gestützte Produktion.

Markenrecht – Der Name war frei, bis er es nicht mehr war

Wo Rechte über mehrere Beteiligte laufen, lohnt derselbe Blick auf den eigenen Namen. Eine freie Domain, ein verfügbarer Social-Media-Name und kein identischer Registertreffer bedeuten nicht, dass eine Bezeichnung frei ist. Ältere Marken, Unternehmenskennzeichen und Werktitel können entgegenstehen, ohne identisch zu sein.

Das wirtschaftliche Risiko zeigt sich fast immer erst nach dem Marktstart. Ein Rebranding trifft dann Website, Verpackungen, App-Store-Einträge, laufende Kampagnen, Domains und Suchmaschinenpositionen gleichzeitig. Bei internationaler Ausrichtung kommen nationale Marken und Unionsmarken mit unterschiedlichen Schutzgebieten hinzu.

Auch nach der Eintragung bleibt es nicht dabei. Eine Marke muss so benutzt werden, dass sich das später belegen lässt. In digitalen Geschäftsmodellen wird das schnell unübersichtlich: wechselnde Logos, Produktversionen, Plattformauftritte, länderspezifische Angebote. Was davon den Schutz trägt, entscheidet sich im Streitfall.

Plattformen – Wenn der Vertriebsweg über Nacht verschwindet

Marke und Produkt nützen wenig, wenn der Kanal wegbricht, über den verkauft wird. Für viele Unternehmen sind Amazon, App-Stores, soziale Netzwerke, Werbeplattformen oder Buchungsportale der zentrale Vertriebsweg. Eine Kontosperrung, entfernte Angebote, eingeschränkte Sichtbarkeit oder der Ausschluss von Monetarisierungsfunktionen wirken sich deshalb sofort auf Umsatz, Reichweite und Kundenbeziehungen aus.

Die Rechtslage ist besser, als die meisten Betroffenen annehmen. Seit Februar 2024 gilt der Digital Services Act umfassend — mit Vorgaben zur Begründung von Moderationsentscheidungen, zu internen Beschwerdesystemen und zur Transparenz. Das Digitale-Dienste-Gesetz ergänzt ihn seit dem 14. Mai 2024 um deutsche Zuständigkeiten, eine Koordinierungsstelle und eine zentrale Beschwerdestelle.

Daneben steht das Vertragsrecht. Der Bundesgerichtshof entschied am 29. Juli 2021 in den Verfahren III ZR 179/20 und III ZR 192/20, dass die damals geprüften Facebook-Bedingungen zu Beitragslöschungen und Kontensperrungen unwirksam waren. Plattformen können Moderationsbefugnisse also nicht ohne vertragliche und verfahrensrechtliche Grenzen ausüben.

Und es geht längst nicht mehr nur um Sperren. Das Bundeskartellamt kann seit der GWB-Novelle 2021 gezielt gegen Unternehmen mit überragender marktübergreifender Bedeutung vorgehen. Im Februar 2026 hat es Amazon bestimmte Preiskontrollmechanismen untersagt und zunächst 59 Millionen Euro wirtschaftlichen Vorteils abgeschöpft. Es ging um Mechanismen, durch die Angebote unabhängiger Händler entfernt oder nicht in der hervorgehobenen Buy Box angezeigt wurden.

Für Händler heißt das: Plattformbedingungen, Rankingmechanismen und Preissteuerung sind keine reinen Produktentscheidungen des Betreibers. Sie sind angreifbar — über das Vertragsrecht, über den DSA und über die kartellrechtliche Missbrauchsaufsicht.

Gesetzesreform – Digitale Produkte haben ihr eigenes Vertragsrecht

Wer über digitale Kanäle an Verbraucher verkauft, trifft auf ein Regelwerk, das viele noch nicht auf dem Schirm haben. Seit 2022 enthält das Bürgerliche Gesetzbuch ein eigenes Vertragsrecht für digitale Produkte. Es gilt für Verbraucherverträge über digitale Inhalte und Dienstleistungen — und unter bestimmten Voraussetzungen auch dann, wenn Verbraucher statt Geld ihre Daten bereitstellen (§ 327 BGB).

Für Anbieter von Apps, SaaS-Produkten, Streamingdiensten und digitalen Abonnements stellen sich damit Fragen nach Bereitstellung, Vertragsmäßigkeit, Aktualisierungspflichten, Änderungen während der Laufzeit und Rechtsbehelfen bei Mängeln. Die Regeln wirken außerdem in die Lieferkette hinein: Wer digitale Produkte für die Verbraucherverträge eines anderen Unternehmens liefert, kann über § 327e BGB betroffen sein, ohne selbst je mit einem Verbraucher zu tun zu haben.

Dazu kommen Anforderungen an Vertragsschluss und Beendigung. Für bestimmte online abschließbare Dauerschuldverhältnisse verlangt § 312k BGB eine Kündigungsschaltfläche. Preisermäßigungen für Waren müssen sich grundsätzlich auf den niedrigsten Gesamtpreis der vorangegangenen 30 Tage beziehen.

Seit dem 28. Juni 2025 gelten außerdem die wesentlichen Anforderungen des Barrierefreiheitsstärkungsgesetzes. Betroffen sind unter anderem Dienstleistungen im elektronischen Geschäftsverkehr, die über Websites oder Apps auf den Abschluss eines Verbrauchervertrags gerichtet sind. Barrierefreiheit ist damit keine Frage des guten Willens mehr, sondern eine der Produktgestaltung, Nutzerführung und technischen Umsetzung.

Wettbewerbsrecht – Eine Aussage, zehn Kanäle, ein Problem

Was für den Vertrag gilt, gilt für die Werbung erst recht: Sie erreicht mehr Stellen, als man beim Schreiben bedenkt. Influencer-Marketing und native Werbung bewegen sich dabei zwischen redaktioneller Darstellung, persönlicher Empfehlung und kommerzieller Kommunikation. Das UWG enthält seit 2022 eine ausdrückliche Regelung in § 5a Abs. 4: Ohne Gegenleistung liegt ein kommerzieller Zweck zugunsten eines fremden Unternehmens grundsätzlich nicht vor — gibt es eine Gegenleistung, wird er vermutet.

Das betrifft nicht nur Influencer. Agenturen, werbende Unternehmen, Affiliate-Partner und Plattformbetreiber hängen in denselben Kampagnenprozessen. Schwierig wird es bei Produktzusendungen, Rabattcodes, redaktionell wirkenden Formaten und der Abgrenzung zwischen Eigenwerbung und Werbung für Dritte.

Parallel steigen die Anforderungen an Umwelt- und Nachhaltigkeitsaussagen. Der Bundesgerichtshof entschied am 27. Juni 2024 im Verfahren I ZR 98/23 („klimaneutral“), dass bei einem mehrdeutigen umweltbezogenen Begriff bereits in der Werbung selbst erläutert werden muss, was er konkret bedeutet. Für digitale Kampagnen ist das besonders unangenehm, weil dieselbe Aussage gleichzeitig über Produktseiten, Anzeigen, Social Media, Newsletter, Händlerfeeds und Affiliates läuft.

Ein solcher Konflikt endet deshalb nicht damit, dass eine Anzeige gelöscht wird. Unterlassung und Beseitigung können sämtliche Kanäle erfassen. Und Abmahnung, Unterlassungserklärung und Vertragsstrafe entfalten wirtschaftliche Wirkungen, die weit über die ursprüngliche Kampagne hinausreichen — oft über Jahre.

KI-Recht – Anwalt statt AuwAIa

In fast allen genannten Bereichen sitzt inzwischen KI mit am Tisch: in der Softwareentwicklung, im Marketing, im Kundenservice, in Übersetzungen und Analysen. Für Unternehmen stellen sich dabei vier Fragen, die selten zusammen beantwortet werden. Welche Daten und Inhalte dürfen überhaupt in ein System eingegeben werden? Welche Rechte bestehen an dem, was herauskommt? Was können Sie Ihren Kunden davon zusagen? Und in welcher Rolle stehen Sie selbst, wenn Sie ein System anpassen, weiterentwickeln oder unter eigener Marke anbieten?

Die KI-Verordnung staffelt ihre Pflichten nach Risiko. Was auf ein Unternehmen zukommt, hängt vom System ab, vom Einsatzgebiet und von der eigenen Rolle — je nachdem geht es um Risikomanagement, Dokumentation, Transparenz, menschliche Aufsicht oder technische Kontrollen. Die Vorschriften werden zeitlich gestaffelt anwendbar; erste Regelungskomplexe gelten seit 2025, eine weitere zentrale Stufe seit dem 2. August 2026.

Deutschland hat die Zuständigkeiten mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz geregelt. Soweit nichts anderes bestimmt ist, ist die Bundesnetzagentur Marktüberwachungsbehörde. Das Gesetz regelt außerdem eine zentrale Beschwerdestelle, KI-Reallabore und das Bußgeldverfahren.

In der Praxis genügt es deshalb nicht, KI als neues Werkzeug einzusortieren. Relevant ist der ganze Prozess — von der Modellauswahl über Trainings- und Eingabedaten bis zur Einbindung in Produkte und Kundenleistungen. Urheberrecht, Datenschutz, Geschäftsgeheimnisse und Vertragsrecht laufen daneben weiter. Und gerade bei KI-Ergebnissen sind Exklusivität, Herkunft und Rechtekette oft weniger eindeutig, als die technische Verfügbarkeit vermuten lässt.

Datenschutz – der Teufel steckt weiter im Detail

Auch im Datenschutz hat sich einiges getan, gerade bei Cloud-Diensten und internationalen Datentransfers. Der Schwerpunkt hat sich dabei verschoben: weg von der Datenschutzerklärung, hin zur tatsächlichen Architektur der Verarbeitung.

Bei Cloud-, Analyse-, CRM- und KI-Diensten kommt es darauf an, wer auf Daten zugreifen kann, welche Unterauftragnehmer beteiligt sind — und ob der Anbieter wirklich nur im Auftrag handelt oder die Daten zugleich für eigene Analyse-, Produktverbesserungs- oder Trainingszwecke nutzt. Ein unterschriebener Auftragsverarbeitungsvertrag beantwortet diese Frage nicht.

Internationale Datentransfers bleiben in Bewegung. Vertragliche Transferinstrumente müssen zur tatsächlichen Zugriffslage passen, und die ergibt sich aus Details: Remote-Administration, Supportzugriffe, Konzernstrukturen, Backups, Protokolldaten, Kontrolle über die Verschlüsselungsschlüssel. Datenschutz ist damit eng mit Cloud-Architektur, Informationssicherheit und Vertragsgestaltung verzahnt.

Zugleich gewinnt der Schadensersatz an Gewicht. Der Bundesgerichtshof hat 2024 hervorgehoben, dass bereits ein kurzzeitiger Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellen kann. Eine Datenpanne kann deshalb neben dem Behördenverfahren eine große Zahl gleichgerichteter Einzelforderungen auslösen.

Cyberangriffe – Während die IT noch sucht, läuft die Frist ab

Was für Datenflüsse gilt, gilt für Störfälle erst recht. Cyberangriffe, Ransomware, kompromittierte Zugangsdaten, abgeflossene Kunden- oder Unternehmensdaten sind keine rein technischen Krisen. Während die Ursache noch untersucht wird, laufen bereits gesetzliche Melde-, Dokumentations- und Informationspflichten.

Mit dem Ende 2025 neu gefassten BSI-Gesetz hat Deutschland die NIS2-Vorgaben umgesetzt. Es erfasst „besonders wichtige“ und „wichtige“ Einrichtungen, verpflichtet sie zu Risikomanagementmaßnahmen und nimmt ausdrücklich die Geschäftsleitung in die Überwachungs- und Schulungspflicht.

Für erhebliche Sicherheitsvorfälle sieht § 32 BSIG eine gestufte Meldekette vor: eine frühe Meldung binnen 24 Stunden, eine weitergehende grundsätzlich binnen 72 Stunden, später eine Abschlussmeldung. Diese Kette besteht neben der datenschutzrechtlichen 72-Stunden-Frist, nicht statt ihrer.

In einem einzigen Vorfall laufen dadurch mehrere Verfahren parallel: technische Untersuchung, Datenschutzmeldung, BSIG-Meldung, Kommunikation mit Kunden und Versicherern — und häufig ein Ermittlungsverfahren.

Strafverteidigung – Wenn aus dem Vorfall ein Ermittlungsverfahren wird

Hier treffen meine beiden Arbeitsgebiete aufeinander. Nach einer Ransomware-Attacke, einem Datenabfluss oder der Datenmitnahme durch einen ausgeschiedenen Mitarbeiter geht es nicht mehr nur um Meldungen und Versicherungen. Es geht um Strafanzeigen — gegen andere oder gegen das eigene Haus —, um Durchsuchungen und Beschlagnahmen, um Vernehmungen von Beschäftigten.

Eine Strafanzeige verschafft dem Unternehmen die Ermittlungsbefugnisse des Staates. Sie gibt zugleich die Kontrolle darüber ab, welche Systeme mitgenommen, welche Mitarbeiter befragt und welche Nebenverstöße dabei sichtbar werden. Das ist eine Abwägung und keine Selbstverständlichkeit.

Wie eng die Verfahren verzahnt sind, zeigt eine Regelung, die kaum jemand kennt: Die datenschutzrechtliche Meldung einer Datenpanne darf im Ordnungswidrigkeiten- und im Strafverfahren gegen den Meldenden nur mit dessen Zustimmung verwendet werden. Wer meldet, belastet sich also nicht automatisch selbst — auf diese Regelung muss man sich aber berufen können.

Auch der Umgang mit den eigenen Unterlagen will überlegt sein. Ob Material aus einer anwaltlich geführten internen Untersuchung bei einer Durchsuchung beschlagnahmefrei bleibt, hängt unter anderem davon ab, wo es liegt und wer es erstellt hat. Das entscheidet sich, bevor jemand vor der Tür steht.

Wie ich im Strafverfahren arbeite, steht unter Strafverteidigung.

Selten kommt ein Problem allein

Die Entwicklung der letzten Jahre zeigt in eine Richtung: Rechtliche Anforderungen setzen immer unmittelbarer am Produktdesign an, an technischen Abläufen und an der Architektur. Für ein wachsendes Unternehmen heißt das, dass mehrere Regelungsbereiche gleichzeitig greifen.

Ein SaaS-Produkt berührt Vertragsrecht, Datenschutz, IT-Sicherheit und womöglich die KI-Verordnung. Ein Marktplatz verbindet DSA, Verbraucherrecht, Preisangaben, Produktsicherheit und Wettbewerbsrecht. Eine Marketingkampagne löst Marken-, Urheber-, Datenschutz- und Lauterkeitsfragen aus. Ein Cloud-Wechsel ist nicht nur Technik und Kosten, sondern Datenexport, Auftragsverarbeitung, Nutzungsrechte und Geschäftsgeheimnisse. Und ein Cybervorfall erzeugt Meldepflichten, Kundenansprüche, Versicherungsfragen und Ermittlungsverfahren zugleich.

Rechtliche Probleme entstehen deshalb selten isoliert. Sie entstehen dort, wo neue Technik eingeführt, ein Produkt skaliert, Inhalte automatisiert erzeugt oder Daten international verarbeitet werden — oder wo ein Geschäftsmodell von einer einzelnen Plattform abhängt.

Deshalb braucht es den Blick aufs Ganze und einen Anwalt, der sich für Sie notfalls den Allerwertesten aufreißt.