Wie sollen Rechtssysteme auf Regeln reagieren, die Provider von Netzgemeinschaften wie Facebook oder World of Warcraft Nutzenden auferlegen? Das positive Recht gibt hierauf keine verlässliche Antwort. Erst ein Verständnis der Legitimität der Regeln ermöglicht ein Austarieren des Verhältnisses zwischen den Regelwerken von Netzgemeinschaften und Rechtssystemen. Nach Literaturstimmen sollen die Regeln durch außerrechtliche Mechanismen (z.B. direktdemokratische Verfahren), eine gerichtliche Kontrolle nach verfassungsrechtlichen Kriterien oder Zivilverfassungen legitimiert werden. Es ist aber zweifelhaft, ob Netzgemeinschaften legitime außerrechtliche Mechanismen schaffen können, ob sie wie Staaten behandelt werden sollten und ob Zivilverfassungen entstehen werden. Die Arbeit schlägt ein alternatives Modell vor: Im deutschen Zivilrecht zeichnet sich ein Legitimitätsmodell für private Regeln ab, das auf Regeln von Netzgemeinschaften anwendbar ist und als transnationale Schablone dienen kann. Danach werden die Regeln durch die Zustimmung und das Wohl der Nutzenden legitimiert. Letzteres gewährleistet ein Ausbeutungsschutz der Nutzenden in Form einer gerichtlichen Kontrolle. Die Anwendung des Modells führt zu folgenden Erkenntnissen: 1. Geschriebene Regeln sind schwach durch Zustimmung legitimiert. Eine gerichtliche Kontrolle nach vertragsrechtlichen Kriterien (bei Regelungen des Austauschverhältnisses zwischen Providern und Nutzenden) oder grundrechtlichen Kriterien (bei Verhaltensregeln) verleiht ihnen zusätzliche Legitimität. Die Kontrollintensität hängt von der Höhe des Ausbeutungsrisikos und der Existenz von legitimen außerrechtlichen Mechanismen ab. 2. Code-Regeln (z.B. Newsfeed- Algorithmen) sind auch nur schwach durch Zustimmung legitimiert. Gerichtliche Kontrollmöglichkeiten, die sie gegenüber Nutzenden legitimieren, müssen noch geschaffen werden. 3. Geschriebene und Code-Regeln sind illegitim gegenüber Nichtnutzenden, weil sie nicht auf deren Zustimmung beruhen. / How should legal systems respond to rules that virtual community providers such as Facebook or World of Warcraft impose on users? To answer this question, we must look beyond black letter law. Only an understanding of the legitimacy of these rules allows us to balance out their relationship with legal systems. Current scholarship theorizes their legitimacy as follows: Non-legal mechanisms (e.g. direct voting systems), judicial review according to constitutional principles, or digital civil constitutions may legitimize the rules. Yet, three points remain doubtful: whether virtual communities can develop legitimate self-governance mechanisms, whether they should be treated like states, and whether digital civil constitutions will effectively emerge. This work proposes an alternative legitimacy model: German private law reflects a legitimacy model for private rule-making applicable to rules of virtual communities which can serve as a transnational template. This model suggests that the rules can derive legitimacy from two sources: user consent and the common good of users, the latter ensured by judicial review protecting users against exploitation. This leads to the following key findings: 1. Written rules of virtual communities are weakly legitimized by user consent but derive additional legitimacy from judicial review. Contract law standard applies to rules that govern the bilateral exchange relationship between providers and users. General rules of conduct for users are checked against fundamental rights. The required intensity of review depends on the risk of user exploitation and the presence of legitimate self-governance mechanisms. 2. Rules embedded in computer code (e.g. newsfeed algorithms) are poorly legitimized by user consent. Judicial review procedures legitimizing them towards users still need to be established. 3. Both written rules and rules embedded in computer code are not legitimate towards non-users since non-users have not consented to them.