Doxing: Persönliche Daten ohne Einwilligung veröffentlicht. Was tun?

Doxing (auch „Doxxing”, abgeleitet von „dropping documents") bezeichnet das gezielte Zusammentragen und Veröffentlichen persönlicher Daten einer Person ohne deren Zustimmung. Rechtlich ist Doxing kein eigener Straftatbestand, sondern kann je nach Fall mehrere Normen berühren – vom Datenschutz- und Persönlichkeitsrecht über strafrechtliche Vorschriften bis hin zu den Community-Richtlinien der Plattformen. 

Erfolgt das Doxing über eine Social-Media-Plattform, können Betroffene seit Einführung des Digital Services Act (DSA) eine Beschwerde bei einer zertifizierten außergerichtlichen Streitbeilegungsstelle einreichen. User Rights ist die erste in Deutschland zertifizierte Streitbeilegungsstelle nach Art. 21 DSA. Das Verfahren ist für betroffene Nutzerinnen und Nutzer kostenlos, die Plattform trägt die Kosten. Hinsichtlich des Beschreitens des internen Beschwerdewegs benötigt User Rights lediglich den Beleg über die Beschwerdeeinreichung, eine weitere Auseinandersetzung mit der Plattform muss nicht erfolgen. . Bearbeitet werden Verfahren zu Instagram, Facebook, TikTok, LinkedIn und Pinterest. Die Plattformen sind verpflichtet, mit der Streitbeilegungsstelle nach Treu und Glauben zusammenzuarbeiten und die Entscheidungen praktisch umzusetzen – auch wenn diese formal nicht rechtlich bindend sind.

Was ist Doxing? Definition und typische Beispiele

Typische Daten, die bei Doxing veröffentlicht werden:

• Wohnadresse und Arbeitsort
• Private Telefonnummer und E-Mail-Adresse
• Familienzusammensetzung, Namen von Angehörigen
• Finanzielle Daten oder Ausweisnummern
• Private Fotos oder Beziehungsgeschichte
• Politische, religiöse oder sexuelle Orientierung

Charakteristisch ist, dass diese Daten nicht beiläufig erwähnt, sondern gezielt sichtbar gemacht werden – häufig verbunden mit einer Aufforderung an Dritte, die betroffene Person zu kontaktieren, zu belästigen oder zu bedrohen.

Beispiel: 2019 wurden in Deutschland Telefonnummern, Adressen, E-Mail-Adressen, Fotos und Chatverläufe von rund 1.000 Politikerinnen, Politikern und Prominenten veröffentlicht – darunter führende Regierungsvertreter. Der Fall sensibilisierte Politik und Öffentlichkeit für die Reichweite und das Schadenspotenzial von Doxing und führte zu einer intensiven Debatte über strafrechtliche Schutzmechanismen.

Wichtig: Auch die gezielte Zusammenstellung öffentlich verfügbarer Informationen kann Doxing sein, wenn sie mit dem erkennbaren Ziel erfolgt, eine Person einzuschüchtern oder zu belästigen. Der Rechtsschutz entfällt nicht, nur weil einzelne Daten irgendwo auffindbar sind.

Rechtslage: Welche Gesetze bei Doxing einschlägig sein können

Datenschutzrecht (DSGVO)

Die Veröffentlichung personenbezogener Daten ohne Rechtsgrundlage verletzt die Datenschutz-Grundverordnung (DSGVO). Betroffene haben Ansprüche auf Löschung (Art. 17 DSGVO), auf Unterlassung und gegebenenfalls Schadensersatz (Art. 82 DSGVO). Zuständig für Beschwerden sind die Datenschutzaufsichtsbehörden der jeweiligen Länder. Hier finden Sie eine bundesweite Übersicht aller Datenschutzaufsichtsbehörden. 

User Rights ist bisher nicht für die Überprüfung von Ansprüchen gemäß DSGVO zertifiziert. Sie haben jedoch die Möglichkeit, eine Beschwerde im Fall von Doxing bei User Rights wegen eines Verstoßes gegen die Community-Richtlinien oder Normen des deutschen Strafrechts zu tätigen.

Nachstellung (§ 238 StGB) – wenn Doxing Teil einer Verfolgung ist

Wird Doxing im Rahmen einer wiederholten Belästigung oder Verfolgung eingesetzt, kann § 238 StGB (Nachstellung) einschlägig sein. Die Norm erfasst ausdrücklich das Verbreiten von Abbildungen und das Zugänglichmachen von Inhalten, die geeignet sind, die betroffene Person erheblich zu beeinträchtigen. Mehr dazu im Artikel Stalking und Nachstellung.

User Rights ist für den § 238 StGB bisher nicht zertifiziert, daher können Sie als Betroffener aufgrund dieser Norm keine Beschwerde an uns richten. Soweit Sie Opfer von Nachstellung geworden sind, empfehlen wir Ihnen, Anzeige bei der Polizei zu erstatten. In Deutschland stehen Ihnen ebenfalls zahlreiche Optionen der Betroffenenberatung zur Verfügung, die Sie unterstützen können, etwa der Weiße Ring, der Berliner Verein Stop Stalking oder Hate Aid.

Bedrohung (§ 241 StGB) – wenn Doxing mit Drohungen verbunden ist

Wird das Doxing mit einer ernsthaft wirkenden Ankündigung künftiger Gewalt- oder anderer erheblicher Straftaten verbunden, kommt zusätzlich § 241 StGB (Bedrohung) in Betracht. Mehr dazu im Artikel Bedrohung im Internet.

Schutz des persönlichen Lebensbereichs (§ 201a StGB)

Bei der Verbreitung von Bildaufnahmen aus dem höchstpersönlichen Lebensbereich kommt § 201a StGB in Betracht. Die Vorschrift ist insbesondere dann relevant, wenn heimlich gefertigte, intime  Bilder, die den höchstpersönlichen Lebensbereich der abgebildeten Person zur Schau stellen, verbreitet werden. Mehr dazu im Artikel „Nicht einvernehmliche intime Bilder".

Namens- und Persönlichkeitsrecht

Zivilrechtlich können Unterlassungs-, Löschungs-, Auskunfts- und gegebenenfalls Schadensersatzansprüche geltend gemacht werden. Diese ergeben sich hauptsächlich aus dem Unterlassungs- und Beseitigungsanspruch gemäß § 1004 BGB, Deliktsrecht in Verbindung mit dem allgemeinen Persönlichkeitsrecht und § 12 BGB (Namensrecht). 

User Rights ist bisher nicht für die Prüfung von zivilrechtlichen Ansprüchen zertifiziert. Wir empfehlen Ihnen, einen Anwalt zu kontaktieren.

Wann ist eine Datennennung kein Doxing? Abgrenzung

Nicht jede Nennung persönlicher Informationen ist Doxing. Journalistisch oder politisch relevante Berichterstattung über Personen des öffentlichen Lebens kann durch die Meinungs- und Pressefreiheit gedeckt sein. Entscheidend sind Zweck, Kontext und die Art der Daten. Bei Privatpersonen gilt ein deutlich strengerer Maßstab als bei Personen, die freiwillig in der Öffentlichkeit stehen.

Wiederholte systematische Angriffe, die Doxing als Bestandteil enthalten, können zugleich Cybermobbing darstellen – dort werden Muster aus mehreren Verhaltensweisen erfasst.

Doxing melden: Community-Richtlinien bei Instagram, TikTok & Co.

Alle von User Rights bearbeiteten Plattformen untersagen in ihren Community-Richtlinien das Veröffentlichen persönlicher Daten ohne Einwilligung. Die relevanten Richtlinienbereiche und der Umfang der Prüfung durch User Rights unterscheiden sich je nach Plattform.

Instagram und Facebook (Meta)

Meta regelt Doxing in der Richtlinie Datenschutzverstöße. Die Veröffentlichung persönlich identifizierbarer Informationen mit dem Ziel der Belästigung ist ausdrücklich untersagt. Zusätzlich greift, soweit eine Drohung mit Veröffentlichung ihrer persönlichen Daten vorliegt, die Richtlinie Mobbing und Belästigung

Ein Hinweis für die Meldung bei der Plattform: Weisen Sie Meta explizit auf die Datenschutzverletzung hinweisen, nicht nur auf Mobbing.

TikTok

TikTok untersagt Doxing ausdrücklich in der Richtlinie Belästigung und Mobbing. Auch das Androhen, personenbezogene Daten zu veröffentlichen, ist dort verboten.

LinkedIn

LinkedIn verbietet in den Professional Community Policies die Veröffentlichung persönlicher oder sensibler Daten ohne Zustimmung sowie die Anstiftung zu solchem Verhalten. 

Pinterest

Pinterest nennt in den Community-Richtlinien ausdrücklich die Ausnutzung privater Daten als Verstoßkategorie. Relevant ist zudem die Richtlinie Belästigung und Kritik.

Hinweis: Inhalte aus Direktnachrichten fallen nicht in den Prüfungsbereich von User Rights.

Was können Betroffene bei Doxing tun?

1. Inhalte sichern und Ausbreitung dokumentieren

Sichern Sie alle Fundstellen, bevor Sie eine Meldung einreichen oder Inhalte von der Plattform entfernt werden:

• Screenshot aller Fundstellen mit URL, Datum und Uhrzeit
• Falls die Daten bereits weiterverbreitet wurden: möglichst alle Reuploads dokumentieren
• Kontext festhalten: Welche Daten wurden veröffentlicht? Mit welcher erkennbaren Absicht?

Tipp: Bei sicherheitsrelevanten Daten (Wohnadresse, Arbeitsort) kann es sinnvoll sein, parallel Schutzmaßnahmen zu ergreifen, wie eine Auskunftssperre beim Einwohnermeldeamt. 

2. Plattformmeldung einreichen

Melden Sie die Inhalte über die Meldefunktion der jeweiligen Plattform. Benennen Sie das Doxing so konkret wie möglich: Welche Daten wurden veröffentlicht, ohne welche Zustimmung, und mit welcher erkennbaren Absicht? 

Ein Hinweis für die Meldung bei der Plattform: Weisen Sie Meta explizit auf die Datenschutzverletzung hin, nicht nur auf Mobbing.

3. Datenschutzrechtliche Beschwerde und Strafanzeige prüfen

Parallel zur Plattformmeldung kommen weitere Schritte in Betracht:

• Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde nach DSGVO – zuständig ist die Behörde am Wohnsitz der betroffenen Person oder am Sitz der verantwortlichen Stelle
• Strafanzeige bei der Polizei – je nach Konstellation kommen § 238 StGB (Nachstellung), § 241 StGB (Bedrohung) oder § 201a StGB (Verletzung des höchstpersönlichen Lebensbereichs) in Betracht
• Bei akuter Gefahr für Leib und Leben: sofort die Polizei kontaktieren

Diese Schritte sind keine Voraussetzung für ein Verfahren bei User Rights.

4. Streitbeilegung durch User Rights

Wenn auf der Plattform eine Meldung eingereicht wurde und die Plattform nicht tätig geworden ist oder ihre Entscheidung aufrecht erhalten hat, kann ein Verfahren nach Art. 21 DSA bei User Rights eingeleitet werden. User Rights prüft dabei zwei Konstellationen: Erstens, wenn die Plattform auf die Meldung von Doxing-Inhalten nicht oder unzureichend reagiert hat und die Daten online bleiben. Zweitens, wenn die Plattform eigene Inhalte zu Unrecht als Doxing eingestuft und entfernt hat. Das Verfahren ist für Nutzerinnen und Nutzer kostenlos; ein vorheriger interner Beschwerdeweg ist nicht erforderlich. Die Verfahrensdauer beträgt in der Regel maximal 90 Tage. Über das Online-Formular können Betroffene ihre Beschwerde direkt einreichen. Bitte beachten Sie: User Rights prüft keine Fälle, die sich ausschließlich auf Direktnachrichten beziehen.

Sie sind betroffen? Reichen Sie Ihren Fall bei User Rights ein

Unabhängige Überprüfung Ihrer Plattformmeldung – kostenlos, ohne Anwalt, in der Regel innerhalb von 90 Tagen entschieden.