Softwareunternehmen arbeiten mit kurzen Entwicklungszyklen, wechselnden Komponenten und unterschiedlichen Bereitstellungsmodellen. Rechtliche Prüfungen müssen deshalb dort ansetzen, wo Architektur, Funktionen und Vertriebswege festgelegt werden. Wir beraten Anbieter und Entwicklungsunternehmen zu Nutzungsrechten, Daten, Sicherheitsanforderungen und vertraglichen Pflichten.
Das Geschäftsmodell macht einen Unterschied
Eine lokal installierte Anwendung, ein SaaS-Angebot und eine in ein Gerät eingebettete Software werfen unterschiedliche Fragen auf. Gleiches gilt für reine Entwicklung im Auftrag und den Vertrieb unter eigener Marke. Vor der Vertragsprüfung sollte daher feststehen, welche Leistungen das Unternehmen selbst erbringt, welche Komponenten Dritter eingesetzt werden und wer gegenüber dem Kunden als Anbieter auftritt.
Auch ein Wechsel des Bereitstellungsmodells verdient eine neue Prüfung. Eine bislang passende Lizenz kann die Nutzung im Hosting oder die Einbindung in ein Kundenprodukt nicht abdecken. Eine technische Umstellung verändert mitunter ebenso Datenschutzrollen und Sicherheitszusagen.
Rechte und Komponenten vor der Freigabe klären
Entwicklungsverträge müssen die tatsächlich benötigten Nutzungsrechte sichern. Dazu kommen Quellcode, Dokumentation, Bearbeitungsrechte und der Umgang mit Fremdkomponenten. Für freie Software empfiehlt sich ein nachvollziehbarer Freigabeprozess, der Lizenzversion und Einsatzform berücksichtigt. Ein Scan liefert Anhaltspunkte; unklare Lizenzen und Abhängigkeiten benötigen eine fachliche Bewertung.
Die Seite Software- und Open-Source-Compliance behandelt diese Fragen im Einzelnen. Bei einem Verkauf des Unternehmens sollten Rechteketten und Lizenznachweise frühzeitig geordnet werden, damit die Prüfung nicht erst im Datenraum beginnt.
Sicherheit und Datenzugang
Ob der Cyber Resilience Act anwendbar ist, hängt vom konkreten Produkt und seiner Bereitstellung ab. Die Anforderungen sind von der organisatorischen IT-Sicherheit des Unternehmens zu unterscheiden. Für Cloud- und andere Datenverarbeitungsdienste können daneben die Wechselregelungen des Data Act relevant sein.
Bei personenbezogenen Daten müssen Verantwortlichkeit, Auftragsverarbeitung, Unterauftragnehmer und internationale Übermittlungen geklärt sein. Ein Vertrag sollte die tatsächlichen Datenflüsse abbilden. Versprechen über Speicherorte, Verschlüsselung oder Löschung müssen technisch eingehalten werden können.
KI-Funktionen und Kundenkommunikation
Bei der Einbindung von KI sind Zweck, eigene Rolle und mögliche Änderungen durch den Kunden zu erfassen. Nicht jede Anwendung ist ein Hochrisikosystem. Auch außerhalb dieser Kategorie können Transparenz, Datenschutz, Urheberrecht und vertragliche Zusagen relevant werden. Freigaben sollten dokumentieren, welche Funktion geprüft wurde und bei welcher Änderung die Prüfung zu erneuern ist.
Leistungsbeschreibungen sollten Grenzen, Voraussetzungen und Verantwortlichkeiten verständlich erläutern. Allgemeine Versprechen wie „vollständig rechtskonform“ sind ohne bestimmte Bezugsgrundlage wenig belastbar. Gewährleistung, Support und Updatepflichten müssen zum angebotenen Dienst passen.
Zusammenarbeit mit der Kanzlei
Ein Auftrag kann ein einzelnes Lizenzmodell, einen Kundenvertrag oder einen Freigabeprozess für neue Funktionen betreffen. Wir klären mit den zuständigen Personen die rechtlichen Fragen und halten die Ergebnisse so fest, dass Produktmanagement und Entwicklung damit arbeiten können. Bei technischen Prüfungen werden Zuständigkeiten gesondert vereinbart.
Für eine Mandatsanfrage genügen zunächst Produktbeschreibung, Bereitstellungsmodell, Zielkunden und die konkrete Fragestellung. Vertraulicher Quellcode wird nur angefordert, soweit dies für den abgestimmten Auftrag erforderlich ist.
Rechtsgrundlagen und Entscheidungen: Urheberrechtsgesetz, insbesondere §§ 69a ff.; Europäische Kommission: CRA; Europäische Kommission: Data Act.
Stand: 2. November 2026.
Weiterführend: Software-, Lizenz- und Open-Source-Compliance · KI-Compliance · Datenschutz und IT-Sicherheits-Compliance