Persönlichkeitsrechte im digitalen Raum

Jeder Mensch hat ein Recht darauf, selbst zu bestimmen, welche Informationen über ihn oder sie öffentlich werden, wer ihn fotografiert, wer seine Worte zitiert und welche persönlichen Daten irgendwo gespeichert sind. Dieses Bündel an Schutzrechten heißt allgemeines Persönlichkeitsrecht – es ist seit dem Grundgesetz eines der fundamentalen Rechte in Deutschland und hat in der digitalen Welt eine ganz neue Brisanz bekommen. Wo früher ein peinliches Foto auf einem Polaroid sich verlor, kursiert heute jeder Schnappschuss potenziell in alle Welt; wo früher eine üble Nachrede im Dorf verhallte, kann sie heute über Plattformen Millionen erreichen.

Diese Lektion zeigt dir die wichtigsten Persönlichkeitsrechte im digitalen Raum: das allgemeine Persönlichkeitsrecht aus dem Grundgesetz, das Recht am eigenen Bild (KUG), das Recht am eigenen Wort, das Recht auf informationelle Selbstbestimmung als Wurzel der DSGVO, konkret die DSGVO-Rechte (Auskunft, Löschung, Vergessenwerden), den Schutz vor Cybermobbing, sensible Daten und besonderen Schutz von Minderjährigen, die strafrechtlichen Tatbestände wie Beleidigung, sowie die Frage, was du als Admin im IT-Beruf tatsächlich darfst – und was nicht.

1) Das allgemeine Persönlichkeitsrecht – das Dach

Im deutschen Recht gibt es ein „großes Dach", unter dem alle einzelnen Persönlichkeitsrechte hängen: das allgemeine Persönlichkeitsrecht (APR). Es ist nicht in einem einzelnen Paragraphen geregelt, sondern wurde vom Bundesverfassungs­gericht aus Art. 2 Abs. 1 GG (freie Entfaltung der Persönlichkeit) in Verbindung mit Art. 1 Abs. 1 GG (Schutz der Menschenwürde) entwickelt. Diese Konstruktion gibt dem APR ein sehr hohes Gewicht – es ist Verfassungsrang, nicht „nur" einfaches Gesetz.

Das APR schützt alles, was zur Persönlichkeit gehört: deinen Namen, dein Bild, deine Worte, deine Lebensgeschichte, deine sexuelle Identität, deinen Ruf, deine Daten. Aus diesem allgemeinen Schutz haben sich im Lauf der Jahrzehnte mehrere konkretere Rechte herausgebildet, die jeweils einen Aspekt der Persönlichkeit besonders absichern – das Recht am eigenen Bild, am eigenen Wort, auf informationelle Selbstbestimmung. Sie sind keine getrennten Sphären, sondern verschiedene Brillen, durch die Gerichte denselben Persönlichkeitsschutz beurteilen.

2) Recht am eigenen Bild – Fotos und Videos

Das Recht am eigenen Bild ist im Kunsturhebergesetz (KUG) von 1907 geregelt – einem erstaunlich alten Gesetz, das aber bis heute Grundlage des deutschen Bildnis­rechts ist. Die zentrale Regel steht in § 22 KUG: Bildnisse von Personen dürfen nur mit deren Einwilligung verbreitet oder öffentlich zur Schau gestellt werden. Bei Minderjährigen brauchen erwachsene Personen mit Sorgerecht die Einwilligung mit – bei sehr jungen Kindern allein die Eltern, bei älteren Kindern und Jugendlichen typischerweise zusammen mit dem Kind selbst.

Konkret heißt das: ein Foto, auf dem eine Person erkennbar abgebildet ist, darfst du nicht ohne Erlaubnis bei Instagram posten, nicht in den Slack-Kanal stellen, nicht auf die Firmen-Webseite hochladen. „Erkennbar" ist großzügig auszulegen – nicht nur das Gesicht, sondern auch markante Tätowierungen, Kleidung, Körperhaltung oder der Kontext kann ausreichen. Die Einwilligung muss freiwillig und informiert sein – nicht beiläufig im Vorbeigehen, sondern mit klarer Information, wofür das Bild verwendet werden soll.

Es gibt einige Ausnahmen in § 23 KUG: Bilder aus dem Bereich der Zeitgeschichte (z. B. öffentliche Auftritte von Politikern), Bilder, auf denen Personen nur als Beiwerk einer Landschaft erscheinen, Bilder von Versammlungen und Aufzügen, an denen die Personen teilgenommen haben. Aber: auch in diesen Fällen darf das Bild nicht in einer Weise verbreitet werden, die berechtigte Interessen der abgebildeten Person verletzt. Eine Demo-Aufnahme im Nachrichtenkontext: in Ordnung. Dasselbe Foto auf einer Hetzseite zur Diffamierung Einzelner: nicht in Ordnung.

Für IT-Berufe besonders relevant: Screenshots von Videocalls, Fotos vom Office-Event, Webinar-Aufzeichnungen mit Teilnehmenden im Bild. All das braucht Einwilligung. Im Zweifel: vorher fragen, Einwilligung schriftlich oder per Chat dokumentieren, und Personen die Möglichkeit lassen, der Veröffentlichung zu widersprechen.

3) Recht am eigenen Wort

Ein paralleler Schutz besteht für das gesprochene Wort. Wer von einem Gespräch eine heimliche Tonaufnahme macht, verletzt das Persönlichkeitsrecht der anderen Seite und macht sich strafbar nach § 201 StGB („Verletzung der Vertraulichkeit des Wortes"). Das gilt auch für Telefongespräche, Videocalls und sogar private Gespräche im Büro, die jemand mit dem Smartphone heimlich mitschneidet. Solche Aufnahmen sind nicht nur unzulässig, sondern in Gerichtsverfahren in der Regel als Beweis ausgeschlossen.

Das bedeutet auch: wenn du an einem Meeting teilnimmst und die Aufzeichnung aktivieren willst, musst du das vorher allen Teilnehmenden ansagen und Einverständnis abholen. Tools wie MS Teams oder Zoom blenden inzwischen Warnhinweise ein, wenn eine Aufzeichnung läuft – nicht aus reiner Höflichkeit, sondern aus rechtlichen Gründen. Wenn jemand widerspricht, darf die Aufnahme dieser Person nicht weiter erfolgen.

Ähnlich geschützt ist die Zitierfreiheit mit Grenzen: Aussagen anderer dürfen nicht entstellt oder aus dem Kontext gerissen werden. Wer im Internet ein Zitat eines Kollegen falsch wiedergibt oder so kürzt, dass der Sinn ins Gegenteil verkehrt wird, verletzt dessen Persönlichkeitsrecht – auch wenn das Zitat technisch gesehen aus echten Worten besteht.

4) Informationelle Selbstbestimmung – Wurzel der DSGVO

Eine der wichtigsten Säulen des deutschen Persönlichkeitsschutzes entstand 1983 mit dem berühmten Volkszählungs­urteil des Bundesverfassungsgerichts. Damals war eine Volkszählung geplant, gegen die viele Bürger:innen protestierten. Das Gericht stellte fest: jeder Mensch hat das Recht, grundsätzlich selbst zu bestimmen, was mit seinen persönlichen Daten geschieht. Dieses Recht auf informationelle Selbstbestimmung ist die direkte Wurzel aller heutigen Datenschutzgesetze, vom alten Bundesdatenschutzgesetz bis zur europäischen DSGVO.

Die Kernidee ist erstaunlich modern für 1983: in einer Gesellschaft, in der Daten massenhaft verarbeitet werden, würde der/die Einzelne sonst zum Objekt – beobachtbar, kategorisierbar, lenkbar. Damit Menschen frei bleiben können, müssen sie wissen können, wer was über sie weiß. Die DSGVO setzt dieses Prinzip in konkrete Rechte um: Transparenz, Auskunft, Korrektur, Löschung, Einschränkung, Übertragbarkeit, Widerspruch.

5) Die wichtigsten DSGVO-Rechte im Überblick

Wer in Deutschland und der EU lebt, hat als betroffene Person eine Reihe konkreter Rechte gegenüber jeder Stelle, die personenbezogene Daten verarbeitet. Diese Rechte können kostenlos und formlos geltend gemacht werden, und der Verantwortliche muss in der Regel innerhalb eines Monats antworten. Sie sind das praktische Werkzeug, mit dem du dein Persönlichkeitsrecht im digitalen Raum durchsetzen kannst.

Diese Rechte sind nicht nur formale Gesten – sie haben echte Konsequenzen. Wer eine Auskunft nicht oder verspätet bekommt, kann sich an die Landesdatenschutzbehörde wenden. Bei Verstößen drohen den Verantwortlichen empfindliche Bußgelder (bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes). Mehr zu den technischen und organisatorischen Details findest du in DSGVO und Datenschutz.

6) Recht auf Vergessenwerden – Google-Spain-Urteil

Ein besonderer Aspekt des Löschungsrechts ist das, was umgangssprachlich Recht auf Vergessenwerden genannt wird. Der Begriff wurde durch ein berühmtes Urteil des Europäischen Gerichtshofs von 2014 (Google Spain) geprägt: ein spanischer Bürger hatte gegen Google geklagt, weil bei der Suche nach seinem Namen alte Zeitungsmeldungen über eine längst abgewickelte Zwangsversteigerung erschienen. Der EuGH entschied, dass Suchmaschinen unter bestimmten Bedingungen verpflichtet sind, Links auf veraltete oder unverhältnismäßige Informationen aus den Suchergebnissen zu entfernen.

Wichtig ist die Einschränkung: der zugrunde liegende Artikel wird in der Regel nicht gelöscht – er bleibt online. Aber er erscheint nicht mehr bei der Suche nach dem Namen der betroffenen Person. Das schwächt die Auffindbarkeit, ohne historische Information zu zerstören. Wer das beantragen will, kann bei Google und anderen Suchmaschinen einen formellen Antrag stellen; die Anbieter prüfen jeden Fall einzeln und wägen zwischen Persönlichkeitsschutz und Informations­interesse der Öffentlichkeit ab. Personen des öffentlichen Lebens haben einen geringeren Anspruch auf Vergessenwerden als Privatpersonen.

7) Cybermobbing, Cybergrooming, Sexting

Persönlichkeitsrechte sind besonders in der Welt sozialer Medien dauernd unter Beschuss. Cybermobbing – wiederholte Beleidigungen, Drohungen oder Bloßstellungen im Netz – ist kein eigenständiger Straftatbestand, fällt aber in der Regel unter mehrere Paragraphen: Beleidigung, Nachstellung, Bedrohung, Verletzung des höchstpersönlichen Lebensbereichs. Wer auf Schul-Chatgruppen, Slack-Channels oder Social Media gemobbt wird, ist also nicht rechtlos – das Verhalten ist meist mehrfach strafbar.

Cybergrooming bezeichnet das gezielte Anbahnen eines Vertrauensverhältnisses zu Minderjährigen im Netz mit dem Ziel, sie sexuell zu missbrauchen. Es ist seit 2020 in Deutschland explizit als § 176b StGB unter Strafe gestellt – auch der Versuch, auch wenn am anderen Ende der Leitung tatsächlich kein Kind, sondern z. B. ein Polizist sitzt. Wer im IT-Beruf eine Plattform betreibt, auf der Minderjährige aktiv sind, hat besondere Sorgfaltspflichten beim Schutz vor solchen Kontaktversuchen.

Sexting – das einvernehmliche Versenden intimer Fotos – ist zwischen Erwachsenen rechtlich erlaubt. Problematisch wird es, wenn solche Bilder ohne Einwilligung an Dritte weitergeleitet werden (das ist eine schwere Persönlichkeits­rechts­verletzung und kann strafbar sein), oder wenn Minderjährige beteiligt sind: das Versenden, Empfangen oder Besitzen intimer Bilder Minderjähriger ist rechtlich praktisch immer Kinderpornographie und damit eine schwere Straftat. Wer im IT-Beruf solchem Material begegnet, muss sofort handeln (Datenträger sichern, weitere Verbreitung verhindern, Behörden informieren) – nicht etwa eigenständig „untersuchen".

8) Besonders sensible Daten – Art. 9 DSGVO

Innerhalb der personenbezogenen Daten gibt es eine Kategorie, die besonders sensibel ist und damit besonders streng geschützt: Daten zur ethnischen Herkunft, politischen Meinung, religiösen oder weltanschaulichen Überzeugung, Gewerkschafts­zugehörigkeit, Gesundheit, sexueller Orientierung sowie genetische und biometrische Daten zur eindeutigen Identifizierung. Diese sind in Art. 9 DSGVO aufgezählt und dürfen grundsätzlich gar nicht verarbeitet werden – außer es gibt einen klar geregelten Ausnahmegrund.

Praktisch heißt das: ein Krankenhausinformations­system fällt darunter, eine HR-Software, in der gewerkschaftliche Vertretung oder Religion gespeichert wäre, eine Personalakte mit Gesundheitsbescheinigung, ein Fitness-Tracker. Auch ein Foto kann sensible Daten enthalten – ein Schwangerschaftsfoto, ein Foto vom Gottesdienstbesuch, ein Foto mit Rollstuhl. Wer solche Daten verarbeitet, muss sich rechtlich vergewissern (meist im Rahmen einer Datenschutz-Folgenabschätzung) und technisch besonders sorgfältig arbeiten – Verschlüsselung, strenge Zugriffskontrollen, regelmäßige Audits.

9) Schutz Minderjähriger im digitalen Raum

Minderjährige genießen einen besonders intensiven Persönlichkeits­schutz. Die DSGVO setzt das Mindestalter für eine wirksame Einwilligung in viele digitale Dienste auf 16 Jahre (Art. 8); manche EU-Mitgliedstaaten dürfen niedrigere Grenzen festlegen, in Deutschland gilt aber die 16. Darunter braucht es die Zustimmung der Erziehungsberechtigten. Plattformen wie soziale Netzwerke müssen daher Mechanismen einbauen, um das Alter ihrer Nutzenden zu prüfen oder zumindest plausibel zu machen – ein Punkt, der in der Praxis oft mangelhaft umgesetzt ist.

Beim Recht am eigenen Bild von Kindern gilt: bei kleinen Kindern reicht oft die Einwilligung der Sorgeberechtigten, mit zunehmendem Alter muss das Kind selbst zustimmen – etwa ab Pubertät klar. „Sharenting", das ungefragte Posten von Kinderfotos durch Eltern, wird zunehmend kritisch gesehen: Kinder können in solchen Fällen später als Erwachsene Löschung oder Schadensersatz verlangen. In Frankreich gibt es seit 2024 ein eigenes Gesetz, das Eltern explizit zur Rücksicht bei der digitalen Darstellung ihrer Kinder verpflichtet.

Wer in der IT eine Anwendung mit Minderjährigen als Zielgruppe baut, muss zusätzlich an Jugendmedienschutz denken (JMStV, JuSchG), an besonders strenge Default-Einstellungen (Privatsphäre ein, Standort aus), an kindgerechte Erklärtexte und an wirksame Hilfsangebote bei Missbrauch.

10) Strafrechtlicher Schutz: Beleidigung, Verleumdung, üble Nachrede

Nicht alles, was die Persönlichkeit verletzt, ist nur ein zivilrechtlicher Schadensersatzfall – manches ist Straftat. Das Strafgesetzbuch kennt mehrere Delikte, die in der digitalen Welt eine wachsende Rolle spielen. Wer im Internet jemanden öffentlich beleidigt, falsche Tatsachen verbreitet oder unter Pseudonymen den Ruf einer anderen Person schädigt, kann sich strafbar machen – auch wenn er „nur" einen Kommentar schreibt.

Wichtig: Strafanzeigen wegen Beleidigung und übler Nachrede sind in der Regel Antragsdelikte – sie werden nur verfolgt, wenn die betroffene Person das ausdrücklich beantragt, in der Regel innerhalb von drei Monaten ab Kenntnis. Wer betroffen ist, sollte den Vorfall sorgfältig dokumentieren (Screenshots mit URL und Datum, Benutzernamen, Plattform) und sich nicht von Drohungen einschüchtern lassen, sondern zur Polizei oder über die Online-Wache des jeweiligen Bundeslands Anzeige erstatten.

11) Persönlichkeitsrechte im IT-Beruf – was darf ein Admin?

Wer in der IT als Administrator:in oder Entwickler:in arbeitet, kommt regelmäßig in Berührung mit Daten von Kolleg:innen und Kunden. Was darf man dabei – und was nicht? Die juristische Grundregel ist klar: für jede Datenverarbeitung braucht es eine Rechtsgrundlage, und sie muss verhältnismäßig zum Zweck sein. „Ich konnte es technisch" ist keine Rechtfertigung.

Faustregel für den Alltag: technische Möglichkeit ist nicht rechtliche Erlaubnis. Selbst wenn du mit deinem Admin-Account jede Mailbox des Unternehmens öffnen könntest – du darfst es ohne klare Grundlage nicht. Das ist nicht nur arbeitsrechtlich problematisch (Kündigungsgrund), sondern in vielen Fällen strafbar. Mehr zur Theorie der Berechtigungs­konzepte findest du in Zugriffsrechte und Berechtigungs­konzepte.

12) Wenn ein Vorfall passiert – richtig reagieren

Was tust du, wenn dir im Berufsalltag eine Persönlichkeits­rechts­verletzung begegnet – sei es als betroffene Person, als Zeuge oder als Verantwortliche im Datenschutz? Die wichtigsten Schritte folgen einem klaren Muster, das du dir einprägen solltest:

13) Persönlichkeitsrechte im eigenen Verhalten

Persönlichkeitsrechte sind keine Einbahnstraße – sie schützen dich, und du schützt sie bei anderen. Das gilt im Privaten genauso wie im Beruf. Ein paar konkrete Verhaltensweisen, die zeigen, dass jemand das Thema ernst nimmt:

14) Häufige Fehler im Umgang mit Persönlichkeitsrechten

• „Das ist nicht so schlimm" – Fehler: viele Persönlichkeits­rechts­verletzungen wirken erst über Zeit, wenn sich Inhalte verbreiten. Frühe Reaktion ist viel wirksamer
• Eigene Ermittlung statt formellem Verfahren: wer auf eigene Faust Daten sammelt oder vergleicht, beschädigt die Beweis­lage und macht sich oft selbst angreifbar
• Beweise löschen statt sichern: aus Scham oder Wut den Chatverlauf löschen – damit ist auch der Beleg weg
• Im Affekt antworten: auf Beleidigungen mit Gegenbeleidigungen reagieren – nur juristisch macht das beide angreifbar
• „Ich bin Admin, ich darf alles": schwerwiegender Irrglaube. Admin-Rechte schaffen Möglichkeiten, keine Erlaubnis
• Daten ohne Zweck speichern: „könnten wir noch brauchen" ist keine Rechts­grundlage. DSGVO verlangt klare Zweckbindung
• Einwilligung als Mausefalle: vorgefüllte Checkboxen, Dark Patterns. Rechtlich oft unwirksam und ethisch immer fragwürdig
• Fotos von Veranstaltungen posten ohne Hinweis: vorher eine Info an alle, ob jemand nicht aufs Bild will, kostet nichts
• Aus Bequemlichkeit Daten unverschlüsselt teilen: Passwörter im Klartext, sensible Daten per Mail – ein klassischer Verstoß
• Vorfälle nicht melden: aus Angst vor Konsequenzen Datenschutz­vorfälle verschweigen – ist eigenständig sanktioniert

Zusammenfassung

Das allgemeine Persönlichkeitsrecht (Art. 2 i.V.m. Art. 1 GG) ist das Dach über drei zentralen digitalen Schutzrechten: Recht am eigenen Bild (KUG §§ 22, 23), Recht am eigenen Wort (§ 201 StGB) und informationelle Selbstbestimmung (Wurzel der DSGVO). Die DSGVO bietet konkrete Werkzeuge: Auskunft, Berichtigung, Löschung („Vergessenwerden"), Übertragbarkeit, Widerspruch, Schutz vor automatisierten Entscheidungen. Besonders sensible Daten (Art. 9) brauchen besonderen Schutz, Minderjährige unter 16 brauchen elterliche Einwilligung. Strafrechtlich relevant sind Beleidigung (§ 185), Üble Nachrede (§ 186), Verleumdung (§ 187), Stalking (§ 238), Verletzung von Bild- und Wortvertraulichkeit (§§ 201, 201a). Im IT-Beruf gilt: technische Möglichkeit ist nicht rechtliche Erlaubnis – Admin-Rechte sind kein Freibrief. Bei Vorfällen Beweise sichern, intern eskalieren, gegebenenfalls binnen 72 h die Datenschutz­behörde informieren.