Rechtliche Grundlagen
für IT-Selbstständige
Dieses Nachschlagewerk fasst die wichtigsten rechtlichen Pflichten, Risiken und Handlungsoptionen für IT-Unternehmer und Freelancer zusammen – von Vertragsrecht über IP-Schutz bis hin zu Cyberstrafrecht und dem richtigen Vorgehen bei einem Sicherheitsvorfall.
Inhaltsverzeichnis
Schnellstart: Was müssen IT-Selbstständige wissen? ☰ Übersicht
Als IT-Freelancer oder Gründer eines IT-Unternehmens bewegen Sie sich gleichzeitig in mehreren Rechtsbereichen. Dieser Überblick zeigt, welche Themen für Sie am relevantesten sind.
Welcher Vertragstyp gilt für mein Angebot? Werkvertrag vs. Dienstvertrag? Was regelt ein SLA? Wie wirken AGBs?
Was sind TOMs? Wann muss ich Datenpannen melden? Wann brauche ich einen Auftragsverarbeitungsvertrag (AVV)?
Wem gehört Code, den ich entwickle? Wie schütze ich mein Produkt? Was darf ich von Dritten nutzen?
Wofür hafte ich bei einem IT-Vorfall? Wie begrenzte ich Haftung wirksam? Was gilt bei Subunternehmern?
Was ist strafbar bei Penetrationstests? Was mache ich, wenn mein System angegriffen wird? Welche Delikte existieren?
Was tun bei einem Angriff? Wann muss ich wem was melden? Was sind meine Pflichten als Dienstleister?
Rechtsrahmen der Cybersicherheit ☰ Übersicht
Das Recht rund um IT und Datenschutz kommt aus verschiedenen Quellen – EU-Ebene, Bundesebene und Landesebene. Der Überblick ist essenziell, um zu wissen, welche Behörde zuständig ist und welche Norm Vorrang hat.
1.1 Normenhierarchie
1.2 Die wichtigsten Akteure
- BayLDA – Bayerisches Landesamt für Datenschutzaufsicht (für private Unternehmen in Bayern)
- BfDI – Bundesbeauftragter für Datenschutz (öffentliche Stellen des Bundes)
- Aufgaben: Aufsicht, Bußgelder, Untersuchungen, Anordnungen
- BSI – Bundesamt für Sicherheit in der Informationstechnik
- Setzt IT-Sicherheitsstandards, warnt vor Bedrohungen
- Beaufsichtigt KRITIS- und NIS2-Unternehmen
- Strafverfolgung: Polizei, LKA-Cybercrime, BKA, Staatsanwaltschaft
1.3 Die drei Kernbegriffe
Schutz von IT-Systemen, Netzen und Daten. Schutzziele: Verfügbarkeit, Integrität, Vertraulichkeit. Abwehr von Cyberangriffen und technischem Versagen.
Übergeordnetes Konzept: Schutz aller Informationen (auch nicht-digitale) hinsichtlich Vertraulichkeit, Integrität, Verfügbarkeit. IT-Sicherheit ist ein Teilbereich davon.
Schutz der Privatsphäre und der Kontrolle über personenbezogene Daten. Rechtmäßige Verarbeitung nach DSGVO/BDSG. Eigener Bereich, kein Teilbereich von IT-Sicherheit!
1.4 Wichtige EU-Regelwerke
| Regelwerk | Typ | Inhalt | Status |
|---|---|---|---|
| DSGVO | EU-Verordnung | Datenschutz, TOMs, Melde- und Informationspflichten, Bußgelder | ✅ Gilt seit 2018 |
| NIS2 (EU 2022/2555) | EU-Richtlinie | Cybersicherheitsanforderungen für ca. 29.500 Einrichtungen | ✅ Umsetzungsgesetz Dez. 2025 |
| Cybersecurity Act | EU-Verordnung | ENISA-Mandat, EU-Zertifizierungsrahmen für IT-Produkte | ✅ In Kraft |
| CRA (Cyber Resilience Act) | EU-Verordnung | Secure-by-Design-Anforderungen für vernetzte Produkte, Supportpflichten | 🔄 In Kraft seit 2024 |
| EU AI Act | EU-Verordnung | Risikobasierte KI-Regulierung | 🔄 Ab 2024/2025 stufenweise |
| DORA | EU-Verordnung | Digitale Resilienz für Finanzsektor | ✅ Seit Jan. 2025 |
1.5 Datenschutz-Kernpflichten für IT-Unternehmer
Technische und Organisatorische Maßnahmen müssen:
- Dem Risiko angemessen sein
- Stand der Technik berücksichtigen
- Dokumentiert werden (Rechenschaftspflicht Art. 5 Abs. 2 DSGVO)
Beispiele: Verschlüsselung, Zugriffskontrollen, Backups, Schulungen, Pseudonymisierung
Wenn Sie als IT-Dienstleister personenbezogene Daten im Auftrag Ihrer Kunden verarbeiten:
- Schriftlicher AVV (Auftragsverarbeitungsvertrag) erforderlich
- Sie sind Auftragsverarbeiter, Kunde ist Verantwortlicher
- Sie handeln nur nach Weisung des Verantwortlichen
- Subunternehmer brauchen ebenfalls AVV
Verträge & Haftung ☰ Übersicht
Als IT-Dienstleister schließen Sie täglich Verträge – oft ohne es zu merken. Die rechtliche Einordnung entscheidet darüber, was Sie schulden und wofür Sie haften.
2.1 Vertragsschluss: Grundprinzipien
Zwei übereinstimmende Willenserklärungen: Angebot + Annahme. Ohne beides kein Vertrag. Mindestinhalt (Essentialia negotii): Parteien, Gegenstand, Gegenleistung.
Zugegangen mit Eingang auf dem Server des Empfängers. Außerhalb der Geschäftszeiten: nächster Werktag. Beweis des Zugangs trägt der Absender.
Ihr Angebot auf der Website ist kein rechtliches Angebot, sondern eine Aufforderung zur Abgabe eines Angebots. Erst die Bestellung des Kunden = Angebot. Sie können noch ablehnen.
2.2 Vertragstypen im IT-Bereich
| Vertragstyp | Norm | Was wird geschuldet? | Erfolg? | Typisches IT-Beispiel |
|---|---|---|---|---|
| Werkvertrag | § 631 BGB | Konkretes Ergebnis (Werk) | ✅ Ja | Software-Entwicklung, IT-Reparatur, Website |
| Dienstvertrag | § 611 BGB | Nur Tätigkeit (kein Ergebnis) | ❌ Nein | IT-Beratung, Managed Services, „best effort" |
| Kaufvertrag | § 433 BGB | Eigentumsübertragung | ✅ Ja | Hardware-Kauf, Software-Lizenz |
| Mietvertrag | § 535 BGB | Zeitweise Nutzungsüberlassung | ❌ Nein | Cloud-Infrastruktur (IaaS), Server-Hosting |
| Lizenzvertrag | – | Nutzungsrecht (kein Eigentum) | ❌ Nein | SaaS-Abos, Software-Lizenzen |
| Leasingvertrag | Mischform | Nutzung mit Option | – | Hardware-Leasing |
2.3 Formvorschriften – Das müssen Sie wissen
| Form | Norm | Anforderung | E-Mail ausreichend? |
|---|---|---|---|
| Schriftform | § 126 BGB | Eigenhändige Unterschrift auf Urkunde | ❌ Nein (auch nicht eingescannt) |
| Elektronische Form | § 126a BGB | Qualifizierte elektronische Signatur (QES) | Nur mit QES |
| Textform | § 126b BGB | Dauerhaft lesbar, Person erkennbar | ✅ Ja |
| Notariell | § 311b BGB | Beurkundung durch Notar | ❌ Nein |
2.4 Haftungsregime: Der Überblick
Ein IT-Sicherheitsvorfall kann mehrere Haftungsregime gleichzeitig auslösen:
2.5 SLA und Vertragshaftung (§ 280 BGB) – Prüfschema
Das SLA legt fest, welche Leistung in welcher Qualität und Zeit erbracht werden muss.
Beispiele: „99,9 % Verfügbarkeit", „Reaktionszeit max. 4h bei kritischen Vorfällen"
SLA-Verletzung = Pflichtverletzung → Schadensersatz möglich
- Schuldverhältnis (wirksamer Vertrag?)
- Pflichtverletzung (SLA oder Nebenpflicht?)
- Verschulden – Vorsatz oder Fahrlässigkeit?
- Schaden (materiell/immateriell)
- Kausalität (war Schaden vermeidbar?)
- Einwendungen / Haftungsbegrenzung
2.6 Haftungsbegrenzung in AGB – was geht, was nicht
- Begrenzung auf vorhersehbare, typische Schäden
- Haftungscap bei einfacher Fahrlässigkeit (wenn risikoangemessen)
- Ausschluss mittelbarer Schäden (unter Umständen)
- Ausschluss bestimmter Schadenspositionen bei Verträgen zwischen Unternehmern (B2B)
- Haftungsausschluss bei Vorsatz oder grober Fahrlässigkeit
- Ausschluss bei Körper-/Gesundheitsschäden
- Aushöhlen von Kardinalpflichten (Kernleistungen des Vertrags)
- Unangemessene Benachteiligung (§ 307 BGB) – z.B. Haftungscap ohne Risikobezug
IP-Recht: Geistiges Eigentum schützen ☰ Übersicht
Als IT-Gründer entwickeln Sie Produkte, Marken und Designs. Ohne aktiven IP-Schutz können Wettbewerber Ihre Arbeit kopieren. Verstehen Sie die Schutzrechte und ihre Voraussetzungen.
+ Urheberrecht (Software, Werke, Datenbanken) → entsteht automatisch mit der Schöpfung
3.1 Schutzrechte im Überblick
3.2 Software und IP – Besonderheiten
Computerprogramme sind als Werke der Literatur durch das UrhG geschützt (§ 69a UrhG). Schutz entsteht automatisch mit dem Schreiben des Codes. Open-Source-Lizenzen sind urheberrechtliche Nutzungslizenzen!
Software als solche ist nicht patentierbar. Aber: wenn die Software einen technischen Beitrag leistet (z.B. neuartiger Algorithmus mit technischer Wirkung), kann ein Patent möglich sein.
KI-generierte Werke: Kein automatischer Urheberrechtsschutz, da kein menschlicher Urheber. Patente für KI-Erfindungen: Formal muss ein Mensch als Erfinder benannt sein. Aktuell umstrittenes Rechtsgebiet.
Bei Arbeitnehmern: § 69b UrhG – Nutzungsrechte am Dienstprogramm gehen automatisch auf den Arbeitgeber über. Bei Freelancern: Nur die vereinbarten Nutzungsrechte werden übertragen – im Zweifel bleibt mehr beim Entwickler!
IT-Strafrecht ☰ Übersicht
Viele IT-Tätigkeiten berühren das Strafrecht – auch unbeabsichtigt. Als IT-Dienstleister müssen Sie wissen, was strafbar ist, wie das Prüfschema aussieht und wie Sie sich rechtlich absichern.
4.1 Strafrechtliches Prüfschema
4.2 Die wichtigsten IT-Straftatbestände
4.3 Antragsdelikt vs. Offizialdelikt
- Strafverfolgung setzt Strafantrag des Opfers voraus
- Frist: 3 Monate ab Kenntnis von Tat und Täter (§ 77b StGB)
- IT-Beispiele: §§ 202a, 202b, 202d StGB
- Ausnahme: Behörde kann einschreiten bei „besonderem öffentlichen Interesse"
- Behörden verfolgen von Amts wegen
- Kein Strafantrag des Opfers nötig
- IT-Beispiele: § 263a (Computerbetrug), § 303b (schwere Fälle), § 253 (Erpressung)
- Sobald zureichende Anhaltspunkte vorliegen, muss die StA ermitteln
4.4 Ethical Hacking – Rechtliche Lage
- Penetrationstest mit ausdrücklicher schriftlicher Einwilligung des Systeminhabers
- Testen eigener Systeme
- Responsible Disclosure nach Aufdeckung einer Lücke
- CTF-Wettbewerbe im ausdrücklich erlaubten Rahmen
- Zugriff ohne Einwilligung – auch bei guter Absicht
- Besitz & Weitergabe von Hacker-Tools (§ 202c) ohne klaren Verwendungskontext
- Analyse fremder Software ohne Berechtigung
- „Ich wollte nur helfen" ist kein Rechtfertigungsgrund
Was tun bei einem Sicherheitsvorfall? ☰ Übersicht
Ein IT-Sicherheitsvorfall löst gleichzeitig technische, rechtliche und kommunikative Pflichten aus. Dieses Kapitel zeigt den strukturierten Ablauf – von der Erkennung bis zur Nachbereitung.
5.1 Incident Response – 6 Phasen
- Vorfall identifizieren und klassifizieren
- Schweregrad einschätzen (KRITIS-relevanz?)
- Dokumentation beginnen
- Erst-Forensik: Logs sichern, Screenshots
- Betroffene Systeme isolieren
- Angriffsfläche reduzieren
- Keine voreilige Bereinigung (Beweise sichern!)
- Forensische Kopien erstellen (Hashes!)
- Art. 33 DSGVO: Meldung an Datenschutzbehörde innerhalb 72h (wenn personenbezogene Daten betroffen)
- Art. 34 DSGVO: Betroffene Personen informieren (bei hohem Risiko)
- NIS2/BSIG: Meldung ans BSI (bei KRITIS/NIS2-Unternehmen)
- Rechtsanwalt informieren
- Malware/Backdoors entfernen
- Schwachstelle patchen
- Systeme bereinigen und validieren
- Passwörter zurücksetzen
- Systeme sicher in Betrieb nehmen
- Backups einspielen (Integrität prüfen!)
- Monitoring verstärken
- Kunden/Partner informieren
- Vollständigen Bericht erstellen
- Ursache analysieren (Root Cause)
- TOMs anpassen und dokumentieren
- Ggf. Strafanzeige / Strafantrag stellen
5.2 Meldepflichten im Detail
| Norm | An wen? | Frist | Wann? | Inhalt |
|---|---|---|---|---|
| Art. 33 DSGVO | Datenschutzbehörde (BayLDA / BfDI) | 72 Stunden | Verletzung des Schutzes personenbezogener Daten mit Risiko für Betroffene | Art, Umfang, Kategorien der Daten, betroffene Personen, Folgen, Maßnahmen |
| Art. 34 DSGVO | Betroffene Personen | Unverzüglich | Voraussichtlich hohes Risiko für Rechte und Freiheiten | Klare Beschreibung, Kontaktdaten DSB, wahrscheinliche Folgen, ergriffene Maßnahmen |
| § 8b BSIG / NIS2 | BSI | 24h / 72h / 1 Monat (gestuft) | Erhebliche Sicherheitsvorfälle (KRITIS- und NIS2-Unternehmen) | Ersatzweise Frühwarnung, dann vollständige Meldung, dann Abschlussbericht |
5.3 Strafanzeige und Strafantrag
Informiert die Behörde über den Vorfall. Jeder kann eine Strafanzeige erstatten. Löst noch keine Pflicht zur Strafverfolgung aus.
- Bei der Polizei oder Staatsanwaltschaft
- Schriftlich oder mündlich
- Auch online möglich (je nach Bundesland)
Bei Antragsdelikten (§§ 202a, 202b, 202d StGB) zwingend erforderlich für die Strafverfolgung.
- Frist: 3 Monate ab Kenntnis von Tat und Täter
- Ausdrückliche Erklärung, dass Strafverfolgung gewünscht wird
- Ohne Antrag: keine Strafverfolgung (außer öffentliches Interesse)
5.4 Beweissicherung – Chain of Custody
- Logdaten, Systemprotokolle
- Netzwerkverkehr-Mitschnitte
- Forensische Kopien der Systeme
- E-Mails, Kommunikation
- Screenshots mit Zeitstempel
- Hashes (SHA-256) zur Integritätssicherung
- Forensisches Imaging – Originals nicht verändern!
- Lückenlose Dokumentation aller Schritte
- Zeitstempel und Verantwortliche notieren
- Beweismittel verlieren sonst Beweiswert im Verfahren
- Manipulationsvorwürfe vermeiden
- Grundlage für Strafanzeige und Schadensersatz
- Erforderlich für Versicherungsansprüche
Datenschutz-Pflichten für IT-Unternehmer ☰ Übersicht
Die DSGVO betrifft jeden, der personenbezogene Daten verarbeitet. Als IT-Dienstleister treffen Sie besondere Pflichten – sowohl für Ihre eigenen Daten als auch für die Ihrer Kunden.
6.1 Grundprinzipien der DSGVO
Jede Verarbeitung braucht eine Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1a), Vertrag (b), rechtliche Verpflichtung (c), Lebensinteresse (d), öffentliche Aufgabe (e) oder berechtigtes Interesse (f).
Daten dürfen nur für den festgelegten Zweck genutzt werden. Keine Zweckentfremdung ohne neue Rechtsgrundlage.
Nur so viele Daten erheben, wie für den Zweck tatsächlich notwendig sind.
Art. 5 Abs. 2 DSGVO: Sie müssen die Einhaltung nachweisen können. Dokumentation ist Pflicht, nicht Kür!
6.2 TOMs – Technische und Organisatorische Maßnahmen
- Verschlüsselung (at rest & in transit)
- Zugriffskontrollen & Authentifizierung (MFA)
- Regelmäßige Backups (mit Test!)
- Patch-Management & Updates
- Intrusion Detection / Monitoring
- Pseudonymisierung / Anonymisierung
- Mitarbeiterschulungen & Security Awareness
- Verzeichnis der Verarbeitungstätigkeiten (VVT)
- Datenschutzbeauftragter (wenn nötig)
- Incident Response Plan
- Löschkonzept & Aufbewahrungsfristen
- Auftragsdatenverarbeitungsverträge (AVV)
6.3 Bußgeldrahmen – DSGVO Art. 83
Verstöße gegen: Grundsätze, AVV-Verpflichtungen, Verarbeitungsverzeichnis
bis 10 Mio. € oder 2% Jahresumsatz
Verstöße gegen: Grundprinzipien, Betroffenenrechte, Drittländertransfers
bis 20 Mio. € oder 4% Jahresumsatz
Normen-Schnellreferenz ☰ Übersicht
Alle wichtigen Normen auf einen Blick – geordnet nach Themenbereich.
Datenschutz & Cybersicherheit
| Norm | Ebene | Inhalt | Relevant bei |
|---|---|---|---|
| DSGVO Art. 5 | EU | Grundsätze (Rechtmäßigkeit, Zweckbindung, Datensparsamkeit, Rechenschaftspflicht) | Jeder Verarbeitungsvorgang |
| DSGVO Art. 28 | EU | Auftragsverarbeitung – AVV erforderlich | IT-Dienstleister verarbeiten Kundendaten |
| DSGVO Art. 32 | EU | TOMs – risikoangemessene technisch-org. Maßnahmen | Immer – grundlegende Datenschutzpflicht |
| DSGVO Art. 33 | EU | Meldepflicht Datenpanne an Behörde (72h) | Bei Datenpanne mit Risiko für Betroffene |
| DSGVO Art. 34 | EU | Benachrichtigung Betroffener (hohes Risiko) | Bei hohem Risiko für Betroffene |
| DSGVO Art. 82 | EU | Schadensersatz bei DSGVO-Verstoß | Wenn Betroffene klagen |
| DSGVO Art. 83 | EU | Bußgeldrahmen (bis 4% / 20 Mio. €) | Bei Verstößen – Behörde verhängt Bußgeld |
| BDSG | Bundesgesetz | Ergänzt DSGVO für Deutschland | Öffnungsklauseln, Beschäftigtendatenschutz |
| BSIG | Bundesgesetz | BSI-Aufgaben, KRITIS-Pflichten | Kritische Infrastrukturen |
Strafrecht
| Norm | Tatbestand | Strafrahmen | Typ |
|---|---|---|---|
| § 202a StGB | Ausspähen von Daten | bis 3 J. / Geldstrafe | Antragsdelikt |
| § 202b StGB | Abfangen von Daten | bis 2 J. / Geldstrafe | Antragsdelikt |
| § 202c StGB | Vorbereiten des Ausspähens | bis 2 J. / Geldstrafe | Offizialdelikt |
| § 202d StGB | Datenhehlerei | bis 3 J. / Geldstrafe | Antragsdelikt |
| § 263a StGB | Computerbetrug | bis 5 J. / Geldstrafe | Offizialdelikt |
| § 303a StGB | Datenveränderung | bis 2 J. / Geldstrafe | Antragsdelikt |
| § 303b StGB | Computersabotage | bis 3–5 J. | Offizialdelikt |
| § 269 StGB | Datenfälschung | bis 5 J. | Offizialdelikt |
Vertragsrecht
| Norm | Inhalt |
|---|---|
| § 130 BGB | Zugang von Willenserklärungen |
| § 126 BGB | Schriftform |
| § 126a BGB | Elektronische Form (QES) |
| § 126b BGB | Textform (E-Mail reicht) |
| § 280 BGB | Schadensersatz bei Pflichtverletzung |
| § 278 BGB | Haftung für Erfüllungsgehilfen (Subunternehmer) |
| § 307 BGB | AGB-Kontrolle – unangemessene Benachteiligung |
| § 433 BGB | Kaufvertrag |
| § 535 BGB | Mietvertrag |
| § 611 BGB | Dienstvertrag |
| § 631 BGB | Werkvertrag |
IP-Recht
| Norm | Inhalt |
|---|---|
| § 1 PatG | Patentierbarkeit – Voraussetzungen |
| § 9 PatG | Wirkung des Patents (Ausschließlichkeitsrecht) |
| GebrMG | Gebrauchsmusterschutz |
| MarkenG | Markenschutz – Entstehung und Wirkung |
| DesignG | Designschutz (früher Geschmacksmuster) |
| § 69a UrhG | Urheberrechtsschutz für Computerprogramme |
| § 69b UrhG | Urheberrecht bei Arbeitnehmerprogrammen |
| GeschGehG | Schutz von Geschäftsgeheimnissen |