IT- und Plattformrecht - Plattformhaftung, IT-Sicherheit und Nutzerinhalte

IT- und Plattformrecht - Plattformhaftung, IT-Sicherheit und Nutzerinhalte

Die digitale Wirtschaft bringt für Unternehmen zahlreiche rechtliche Herausforderungen. Betreiber von Online-Plattformen und digitalen Diensten müssen nicht nur ihre Compliance im Blick behalten, sondern auch komplexe Regeln zu Haftung, IT-Sicherheit und Nutzerinhalten beachten. Neue EU-Gesetze wie der Digital Services Act (DSA) und der Digital Markets Act (DMA) verschärfen die Anforderungen, ebenso wie IT-Sicherheitsgesetze und die NIS-2-Richtlinie.

Im Folgenden beleuchten wir die wichtigsten Aspekte: Plattformhaftung, Cybersecurity, digitale Geschäftsmodelle und die Haftung für nutzergenerierte Inhalte.

Cybercrime und IT-Sicherheitsrecht (NIS-2, IT-Sicherheitsgesetz)

Cyberangriffe und Datenlecks sind längst keine Ausnahmefälle mehr – sie bedrohen Unternehmen jeder Größe. Der Gesetzgeber reagiert mit immer strengeren Vorgaben zur IT-Sicherheit. Besonders das deutsche IT-Sicherheitsgesetz 2.0 und die europäische NIS-2-Richtlinie verpflichten Unternehmen, Cyberrisiken systematisch zu managen, Vorfälle zu melden und hohe technische Standards einzuhalten.

IT-Sicherheitsgesetz 2.0 – Pflichten in Deutschland

Seit 2021 verpflichtet das IT-Sicherheitsgesetz 2.0 insbesondere Betreiber kritischer Infrastrukturen (KRITIS) und weitere „besonders wichtige“ Unternehmen, umfassende Sicherheitsmaßnahmen umzusetzen. Dazu gehören:

• Aufbau eines Informationssicherheits-Managementsystems (ISMS),
• regelmäßige Sicherheitsüberprüfungen und Penetrationstests,
• Meldung schwerwiegender Vorfälle an das Bundesamt für Sicherheit in der Informationstechnik (BSI) innerhalb fester Fristen.

NIS-2-Richtlinie – Ausweitung auf mehr Branchen

Die neue NIS-2-Richtlinie der EU geht noch weiter: Sie erweitert den Kreis der betroffenen Unternehmen erheblich. Neben Energie, Gesundheit oder Telekommunikation müssen künftig auch mittelständische Unternehmen aus Bereichen wie digitale Dienste, Lebensmittel, Abfallwirtschaft oder Produktion strenge Vorgaben erfüllen. Gefordert sind u. a.:

• Technische und organisatorische Maßnahmen gegen Cyberrisiken,
• Meldesysteme für Vorfälle (erste Meldung i. d. R. binnen 24 Stunden, ausführlicher Bericht binnen 72 Stunden),
• regelmäßige Risikoanalysen und konsequentes Schließen von Schwachstellen.

Warum auch „Nicht-Betroffene“ handeln sollten

Selbst Unternehmen, die nicht direkt unter das IT-Sicherheitsgesetz oder NIS-2 fallen, sollten Cybersecurity ernst nehmen. Gründe dafür:

• Geschäftspartner und Kunden verlangen Nachweise über Sicherheitsstandards.
• Datenpannen haben auch datenschutzrechtliche Folgen: Nach DSGVO besteht eine Pflicht zur Meldung von Datenverletzungen an Behörden und in vielen Fällen auch an die Betroffenen.

Strafrechtliche Aspekte: Cybercrime im StGB

Auch das Strafrecht zieht nach. Das StGB sanktioniert bereits das Ausspähen von Daten, das Abfangen von Kommunikation und weitere Formen digitaler Angriffe. Diskutiert wird zudem der Straftatbestand des „digitalen Hausfriedensbruchs“ (§ 202e StGB) – das unbefugte Eindringen in IT-Systeme.

Praxisempfehlung

Für Unternehmen bedeutet das:

• Systemschutz proaktiv aufbauen (ISMS, Firewalls, regelmäßige Pen-Tests).
• Meldeketten und Krisenpläne definieren, um Fristen einzuhalten.
• Im Ernstfall nicht nur intern reagieren, sondern auch Anzeige erstatten und mit Behörden kooperieren, um Schäden zu begrenzen und Täter zu verfolgen.

Digitale Geschäftsmodelle und AGB

Digitale Geschäftsmodelle wie Online-Marktplätze, SaaS-Angebote oder App-Stores leben von Vertrauen. Dieses Vertrauen entsteht nicht nur durch funktionierende Technik, sondern auch durch klare Verträge und faire Geschäftsbedingungen. Allgemeine Geschäftsbedingungen (AGB) spielen dabei eine Schlüsselrolle: Sie müssen rechtssicher, transparent und an die Besonderheiten digitaler Plattformen angepasst sein.

Klarheit und Transparenz

• AGB müssen verständlich formuliert sein – juristische Fachsprache oder versteckte Klauseln sind riskant.
• Überraschende oder unklare Regelungen sind gegenüber Verbrauchern unwirksam.
• Tipp: Alle wesentlichen Punkte wie Preise, Vertragslaufzeiten, Kündigungsrechte und Leistungsbeschreibungen sollten offen und nachvollziehbar geregelt sein.

Haftung und Verfügbarkeit

• Gerade im SaaS-Bereich sind Service-Level-Agreements (SLAs) üblich, z. B. Verfügbarkeitszusagen von 99,9 %.
• Kunden erwarten klare Aussagen zu Haftung bei Ausfällen oder Datenverlust.
• Klauseln dürfen die Haftung nicht einseitig ausschließen – ein ausgewogenes Verhältnis ist rechtlich notwendig und stärkt das Vertrauen der Nutzer.

Datenschutz und Datenverwendung

• In vielen digitalen Geschäftsmodellen spielt die Weitergabe von Nutzerdaten eine zentrale Rolle.
• AGB oder Verträge müssen präzise regeln: Wer ist Verantwortlicher im Sinne der DSGVO, wann liegt Auftragsverarbeitung vor?
• Transparenz ist entscheidend: Nutzer müssen wissen, wie ihre Daten verwendet und ggf. weitergegeben werden.

Nutzungsrechte und Inhalte

• Plattformbetreiber sollten vertraglich festlegen, welche Rechte Nutzer an ihren Inhalten einräumen.
• Üblich ist ein einfaches, weltweites Nutzungsrecht, etwa um Inhalte darzustellen oder zu bewerben.
• Gleichzeitig gilt: Urheberrechte Dritter dürfen nicht verletzt werden. Plattformen sollten in ihren AGB klarstellen, dass geschützte Werke ohne Erlaubnis nicht hochgeladen werden dürfen.

EU-Vorgaben: P2B-Verordnung

• Die Plattform-to-Business-Verordnung (P2B) verpflichtet Plattformbetreiber zu fairen Bedingungen für gewerbliche Nutzer.
• Wichtige Pflichten:
  
  • Transparenz bei Rankings (z. B. warum ein Anbieter weiter oben angezeigt wird),
  • Vorankündigungspflichten bei Änderungen der AGB,
  • Beschwerdemöglichkeiten für Geschäftskunden.

Praxisempfehlung

Unternehmen, die digitale Geschäftsmodelle betreiben, sollten ihre AGB regelmäßig prüfen und anpassen:

• Rechtliche Entwicklungen und EU-Vorgaben im Blick behalten.
• Service-Levels und Haftung klar und fair regeln.
• Datenschutzbestimmungen sauber mit der DSGVO abstimmen.
• Streitigkeiten vermeiden, indem Nutzer- und Anbieterrechte transparent gestaltet werden.

Haftung für Nutzerinhalte und Content-Moderation

Überall dort, wo Nutzer eigene Inhalte einstellen können – Kommentare, Fotos, Videos oder Bewertungen – stellt sich die Frage: Wer haftet für Rechtsverstöße? Grundsätzlich ist der Verfasser selbst verantwortlich, doch auch Plattformbetreiber können in die Pflicht genommen werden, wenn sie Hinweise ignorieren oder untätig bleiben.

Grundprinzip: Verantwortung des Nutzers – aber Mitwirkungspflicht der Plattform

• Primäre Haftung: Der Ersteller des Inhalts (z. B. bei Beleidigung, Urheberrechtsverletzung) haftet unmittelbar.
• Pflicht der Plattform: Betreiber müssen reagieren, wenn sie von einem rechtswidrigen Inhalt Kenntnis erlangen.
• Früher sprach man von der Störerhaftung: Wer trotz Hinweis nichts unternimmt, kann auf Unterlassung verklagt werden.

Harmonisierung durch den Digital Services Act (DSA)

Der DSA bringt europaweit einheitliche Regeln:

• Meldewege einrichten: Plattformen müssen Nutzern einfache Möglichkeiten bieten, rechtswidrige Inhalte zu melden.
• Schnelle Prüfung: Offensichtliche Verstöße sind unverzüglich zu entfernen oder zu sperren.
• Fairnessprinzip: Betroffene Nutzer sind über Löschungen zu informieren und können Beschwerde einlegen.

Spezialfall: Urheberrechtsverletzungen und Upload-Filter

• Content-Sharing-Plattformen (z. B. Videoportale) müssen aktiv gegen Urheberrechtsverletzungen vorgehen.
• Grundlage ist die EU-Urheberrechtsrichtlinie, umgesetzt im Urheberrechts-Diensteanbieter-Gesetz (UrhDaG).
• Betreiber müssen technische Systeme einsetzen, um geschütztes Material beim Upload zu erkennen (sog. Upload-Filter).
• Ausnahmen: Zitate, Parodien oder Karikaturen dürfen nicht fälschlich blockiert werden – Plattformen müssen einen Ausgleich zwischen Urheberrecht und Meinungsfreiheit sicherstellen.

Sonderregelungen: Netzwerkdurchsetzungsgesetz (NetzDG)

• In Deutschland gilt zusätzlich das NetzDG, das große soziale Netzwerke verpflichtet, bestimmte Inhalte wie Hassrede oder Terrorpropaganda binnen 24 Stunden nach Meldung zu löschen.
• Außerdem müssen Betreiber halbjährliche Transparenzberichte veröffentlichen.
• Mit dem DSA überschneiden sich diese Vorgaben, doch das NetzDG zeigt: nationale Sonderregeln können bestehen bleiben.

Fazit: Ganzheitliches Compliance-Management

Plattformbetreiber brauchen ein umfassendes Moderations- und Compliance-Konzept:

• AGB klar formulieren, um Verantwortlichkeiten transparent zu regeln.
• Effiziente Meldesysteme etablieren, die rechtzeitig reagieren lassen.
• IT-Sicherheit und Upload-Filter so einsetzen, dass sie Rechteinhaber schützen, ohne die Nutzerrechte unverhältnismäßig einzuschränken.

Wer diese Pflichten ernst nimmt, minimiert nicht nur rechtliche Risiken, sondern stärkt auch das Vertrauen der Nutzer – ein entscheidender Wettbewerbsvorteil.