Handbuch IT-Outsourcing

cc) Lizenzmanagement in der Cloud

463

Das klassische Lizenzmanagement für Software ist in vielen Fällen basierend auf der Anzahl der Server oder auch der Anzahl der CPUs in einem Server (z.B. das Lizenzmodell der Oracle inc.), auf dem eine Applikation oder Datenbank betrieben wird. In einer Welt des Cloud Computings und der damit verbundenen Virtualisierung von Servern und Instanzen ist dieses klassische Modell des Lizenzmanagements für Software nur schwerlich anzuwenden. Die Virtualisierung des Cloud Computing ermöglicht es, Standortvorteile flexible und dynamisch zu nutzen.[452] So könnte das eigentliche Rechenzentrum in einer kalten Region wie Alaska oder Sibirien liegen, um die Kühlkosten für Server zu sparen, während die Administration in Russland (z.B. Kasan) oder Indien (z.B. Mombai) liegen kann, weil dort die Lohnkosten für gut ausgebliedete IT-Fachleute im Vergleich zu anderen Region gering ist.

464

Bei der Servervirtualisierung werden mittels Software- oder Hardwaretechniken mehrere Instanzen eines Betriebssystems betrieben. Daher müssen sowohl Betriebssystemkomponenten als auch die Applikationen entsprechend der Anzahl der Instanzen (bzw. Betriebssysteme) lizenziert werden. Denn für das Betreiben der verschiedenen Instanzen (bzw. Betriebssysteme) ist die Software (zumindest in Teilen) mehrfach im Arbeitsspeicher (ggf. auch im Storage) vorzuhalten.[453] Nach der h.M. wird damit in das Vervielfältigungsrecht gem. § 69c Nr. 1 UrhG eingegriffen.[454] Somit ist es möglich, dass in Lizenzbedingungen der Softwareproduzent vorgeben kann, bis zu welcher Anzahl von Instanzen seine Software lizenziert ist. Dies bedeutet, dass ohne explizite Erlaubnis des Softwareproduzenten die Anzahl auf die lizenzierte Menge begrenzt ist. Der Gedanke, dass hierbei keine Zustimmung des Rechteinhabers (Softwareproduzent) i.S.v. § 69d Abs. 1 UrhG notwendig ist, scheidet aus, da dass mehrfache Betreiben einer Software in einer virtuellen Umgebung eines Rechners eine „bestimmungsgemäße Nutzung“ des Computerprogramms i.S.d. Norm darstellt.[455] Im Ergebnis bleibt festzuhalten, dass eine Cloud-Lizenzierung nach der Anzahl der Instanzen zulässig ist.

465

Ein Lizenzmodell, welches sich auf die Applikationsebene bezieht, bedarf im Falle einer softwaretechnischen Virtualisierung einer Lizenzierung für den Server bzw. für die gesamte verbundene virtuelle Serverfarm. Das eingangs beschriebene Lizenzmodell von Orcale, welches sich sogar auf die Anzahl der im Server befindlichen CPUs bezieht, wird es schwer haben, eine solche verbundene virtuelle Serverfarm zu lizenzieren. So hat Oracle mit einer sog. Soft-Partitionierung eine vermeintliche Lösung für dieses Thema gefunden. Oracle bezeichnet den Betrieb von Oracle Produkten in einer virtualisierten Umgebung wie VMware ESXi oder Solaris Container als „Partitioning“. Hierbei wird zwischen Soft- und Hard-Partitioning unterschieden. Das sog. Hard-Partitioning ist das Lizenzkosten freundlichere Modell, hier werden physikalische CPUs/Cores an eine virtuelle Maschine „gepinnt“. Durch dieses „pinning“ der virtuellen Maschinen an bestimmte CPUs/Cores ist es möglich, Lizenzkosten zu sparen. Das Hard-Partitioning ist nur bei Oracle VM anerkannt. Im Falle von Soft-Partitioning ist die Anzahl der CPUs, die den virtuellen Maschinen mit Oracle-Software zugeordnet sind, unerheblich. Hier ist nur von Bedeutung, wie viele CPUs der ganze Server hat oder wenn man mehrere Server in einem Cluster hat, sind alle CPUs in einem Cluster von Bedeutung. Hier müssen nun alle physischen CPUs in einem Cluster/einem Server lizenziert werden.[456] In der deutschen Rechtsliteratur wird dieses Modell angezweifelt, da es nach dem Verständnis des deutschen Urheberrechts allein auf die Zahl der genutzten Vervielfältigungsstücke ankommt.[457]

466

Fraglich ist, ob man dem Thema Lizenzmanagement in der Cloud nicht durch ganz neue Lizenzmodelle begegnen muss, die nicht mehr auf die einzelne Lizenz abstellen, sondern auf die Nutzung einer Funktionalität.[458] Solche Modelle werden auch als Client Access License (Kurzform CAL) bezeichnet und gerne bei Microsoft Produkten verwendet: „Um den Zugriff auf die Server-Software rechtlich abzusichern, ist eine Zugriffslizenz (Client Access License; CAL) erforderlich. Eine CAL ist keine Software, sondern es ist eine Lizenz, welche dem Nutzer das Recht gibt, auf die Server-Dienstleistungen zuzugreifen.“[459] Um auf einen Server zugreifen zu können, müssen dabei nicht nur für den Server und Client selbst Lizenzen bezogen werden, sondern auch Client Access Licenses erworben werden, durch die der Server lizenzrechtlich autorisiert wird, Clientverbindungen anzunehmen. Es gibt dabei zwei Lizenzierungsmöglichkeiten: Entweder können die Lizenzen pro Server erworben werden, sodass beliebig viele Clients im Netzwerk aktiv sein können, aber nur eine bestimmte Anzahl sich mit dem jeweiligen Server verbinden darf, oder die Lizenzen werden pro Arbeitsplatz erworben, was es dem Arbeitsplatz ermöglicht, sich mit beliebig vielen Servern im Netz zu verbinden. Erstere Lösung ist meist sinnvoller, wenn nur ein einziger Server im Netzwerk vorhanden ist, bei mehreren Servern ist letztere Option kostengünstiger.[460] Der Wechsel von der Nutzung einer Software des Anbieters zur Inanspruchnahme von Datenverarbeitungsleistungen als webbasierte Services führt zu völlig neuen Systemen in der Softwarenutzung, wenn nicht gar zu einem Abschied von der Softwarelizenz i.S.d. Urheberrechts,[461] nämlich zu einem „Software Use beyond Copyright“.

467

Fraglich ist, ob mit dem CAL-Lizenzmodell aus urheberrechtlicher Sicht noch eine Werknutzung i.S.v. §§ 15 ff., 31 ff. UrhG vorliegt und somit eine urheberrechtliche Beurteilung noch möglich ist oder ob ein CAL-Lizenzmodell lediglich nach dem Schuldrecht möglich ist, ggf. mit den AGB-rechtlichen Grenzen nach §§ 305 ff. BGB. Ein Online-Zugriff auf eine Software klingt zunächst einmal nach einem ASP-Modell, welches nach der Ansicht des BGH eine Softwaremiete darstellt.[462] Bei einem CAL-Lizenzmodell erhält der Kunde zwar das Recht, auf die Software zuzugreifen, aber er erhält weder eine Vervielfältigung auf Datenträger noch lädt er sie herunter. Er lädt seine Daten auf den Serverrechner des Anbieters herauf, um sie mit einem Ablauf des Anwendungsprogramms auf dem Rechner verarbeiten zu lassen, und erhält die Daten nach der Verarbeitung zurück. Dieses Ablaufenlassen des Programms ist i.d.R. nicht mit einem gesonderten Vervielfältigen verbunden, weder auf Kundenseite (der Kunde erhält kein Programmexemplar),[463] noch auf Anbieterseite (das Programm ist auf dem Serverrechner ohnehin installiert und läuft ständig und zeitgleich für viele Kunden). Das Nutzen eines Computerprogramms durch reines Ablaufenlassen ohne Vervielfältigen oder Übertragen ist urheberrechtlich keine zustimmungsbedürftige Nutzung. Auch dann bleibt es beim reinen Ablaufenlassen eines ohnehin im Arbeitsspeicher des Serverrechners geladenen Programmexemplars. Sollte im Einzelfall im Systembetrieb während der Durchführung der Berechnung technisch bedingt ein temporäres Vervielfältigen erfolgen, so wäre dies jedenfalls Teil der vertraglich eingeräumten bestimmungsgemäßen Benutzung (§ 69d Abs. 1 UrhG). Das Vervielfältigen findet aber ohnehin auf dem vom Anbieter gesteuerten System statt. Der Kunde erhält keinen Zugriff auf derartige Programmkopien. Ein rein technisch bedingtes temporäres Vervielfältigen ist also nicht dem Kunden als dessen zustimmungsbedürftige urheberrechtliche Nutzungshandlung zuzuordnen, sondern dem Anbieter, der allein Herr über die Verwaltung dieser temporären Kopien des Programms bleibt.[464]

dd) Datenschutz

468

Siehe im 3. Kap.

ee) Vertragliche Konstruktion

469

Generell wird der Kunde einen Cloud-Vertrag mit dem Generalunternehmer der (Private) Cloud schließen. Hierzu wird der Kunde i.d.R. ein gewöhnliches Master Service Agreement (MSA)/Rahmenvertrag zwischen Cloud-Generalunternehmer (GU) und dem Kunden zu schließen. Der größte Unterschied zum normalen Outsourcing-Vertrag, so wie er auch im 4. Kapitel beschrieben ist, liegt i.d.R in der Anlage für die Auftragsdatenverarbeitung (ADV) nach § 11 BDSG. In der ADV, die i.d.R. als Anlage zum MSA/Rahmenvertrag gestaltet wird, wird die Private Cloud datenschutzrechtlich abgebildet (siehe 3. Kap.).

Abb. 28:

Cloud Computing: Master Service Agreement

[Bild vergrößern]

470

Da die Einordnung nach der Kombinationstheorie gerade bei neuen IT-Konzepten wie Cloud Computing schwer ist, ist es wie auch bei anderen IT-Geschäftsmodellen auch beim Cloud Computing unerlässlich, durch die vertragliche Vereinbarung von Service-Levels ein einheitliches Gewährleistungsrecht zu schaffen.[465]

2 › I › 10. Crowd Sourcing

10. Crowd Sourcing

471

Cisco, Nokia, SAP und viele andere Unternehmen wagen unter dem Begriff der Open Innovation (Kurzform OI) die Öffnung ihrer Research- und Development- (R&D) Aktivitäten. Im Zusammenhang mit solchen OI-Aktivitäten wird gerne von einem sog. Crowdsourcing (auch als Schwarmauslagerung bezeichnet) gesprochen, bei dem die Intelligenz und die Arbeitskraft an eine große Gruppe von externen Mitarbeitern verlagert wird. Ähnlich wie beim Open-Source-Gedanken versprechen sich Unternehmen davon eine günstigere Lösung eigener (IT-) Themenstellungen, sowie den Zugang zu einem breiteren Spektrum von Innovationen. Für die Vermittlung wurden von Dritten Plattformen geschaffen, die zwischen den Parteien vermitteln.

472

Im Rahmen von OI-Aktivitäten und Crowdsourcing treten eine Reihe von rechtlichen Fragen auf. Insbesondere bei der Frage, wem die urheberrechtlichen Nutzungsrechte zustehen oder auch bei der Haftung treten in der Praxis immer wieder komplexe Fragestellungen auf. Bei OI-Aktivitäten bzw. Crowdsourcing werden Kunden oder auch gänzlich fremde Dritte aufgefordert, bei der Lösung hauseigener (IT-) Themenstellungen mitzuwirken. Open Innovation ist somit die Öffnung des Innovationsprozesses von Unternehmen und damit die aktive strategische Nutzung der Außenwelt zur Vergrößerung des Innovationspotenzials.[466]

473

Im Rahmen von OI-Aktivitäten wird sogar nicht genutztes Know-how offen von Unternehmen zur Weiterentwicklung angeboten. Darüber hinaus fordern einzelne Unternehmen im Rahmen von OI-Aktivitäten gezielt ihre Kunden auf, an eigenen Prozessen mitzuwirken, um diese im Sinne der Bedürfnisse der Kunden zu verbessern. Ziel ist es, durch eine frühzeitige Einbindung von Kunden und Partner diese von Anfang an in die Produktentwicklung sowie die Nutzbarkeit von nicht verwendeten Innovationspotenzialen einzubinden.

474

Grundsätzlich können OI-Aktivitäten in drei Kernprozesse zerlegt werden:[467]

475

Betrachtet man den sehr wesentlichen Bereich der Allokation von OI-Aktivitäten, so haben sich in der Praxis aus rechtlicher Sicht zwei Modelle herauskristallisiert: das sog. Ownership-Modell und das Open-Source-Modell. An diesen beiden Allokationsmodellen sind mindestens drei Parteien beteiligt:

476

Von manchen Seekern wird auch eine eigne Online-Plattform als Corporate-Open-Innovation-Modell verwendet, was aber eher die Ausnahme zu sein scheint.

477

Beim Ownership-Modell sucht der Solver eine Lösung für seine Aufgabenstellung (sog. Challenge) auf der rechtlichen Basis seines eigenen Vertragsmodells (AGB), während beim Open-Source-Modell Vertragswerke wie z.B. die GNU General Public License zum Tragen kommen.

a) Ownership-Modell

478

Das Ownership-Modell gliedert sich in drei relevante Schritte auf, welche im Folgenden rechtlich betrachtet werden.

aa) Vorbereitung der Challenge

479

Zunächst erstellt ein Seeker eine Beschreibung der Aufgabe (sog. challenge overview), welche er von einem oder auch mehreren Solver gelöst haben möchte. Dieses Challenge Overview wird dann auf einer Online-Plattform veröffentlicht. Bereits bei der Erstellung des Challenge Overview ist eine Reihe von rechtlichen Punkten zu beachten, welche in den AGB der Online-Plattform zu berücksichtigen sind. So sollte in den AGB geregelt sein, dass wenn der Inhalt des Challenge Overview die Schöpfungshöhe, vgl. § 2 UrhG (Ideen allein sind nicht schutzfähig) erreicht, sämtliche Nutzungsrechte zunächst beim Seeker verbleiben. Lediglich im Rahmen der Lösungserstellung sollte auf den einzelnen Solver einfache Nutzungsrechte i.S.v. § 31 UrhG übertragen werden.

480

Eine Veröffentlichung der Challenge Overview inkl. der üblichen Preisindikation könnte sehr schnell mit einer Auslobung i.S.v. § 657 BGB verwechselt werden. Denn „Wer durch öffentliche Bekanntmachung eine Belohnung für die Vornahme einer Handlung, insbesondere für die Herbeiführung eines Erfolges, aussetzt, ist verpflichtet, die Belohnung demjenigen zu entrichten, welcher die Handlung vorgenommen hat, auch wenn dieser nicht mit Rücksicht auf die Auslobung gehandelt hat, vgl. § 657 BGB. Bei gleichzeitiger Vornahme wäre die Belohnung aufzuteilen, vgl. § 659 Abs. 2 BGB. Sinnvoll wäre daher die Aufnahme eines Hinweises (engl. Disclaimer), dass es sich bei der Veröffentlichung der Challenge Overview um keine Auslobung i.S.v. § 657 BGB handelt. Auch ist im Allokationsmodell i.d.R. nicht vorgesehen, dass die Veröffentlichung des Challenge Overview ein rechtsverbindliches Angebot darstellt. Nach deutschem Zivilrecht sollte das Challenge Overview als invitatio ad offerendum angesehen werden, da der Vertrag zwischen Seeker und Solver erst mit der Annahme der Leistung durch den Seeker zustande kommt, i.d.R. nach Kaufrecht i.S.v. § 433 BGB, ggf. auch über § 651 BGB. Diese Vorgehensweise sollte deutlich in den AGB des Betreibers der OI-Plattform beschrieben werden, um Missverständnisse oder Ansprüche aus vorvertraglichen Pflichtverletzungen nach §§ 280, 311, 311a BGB vorzubeugen.

bb) Bereitstellung der Challenge auf der OI-Plattform

481

Bei der Bereitstellung des Challenge Overview auf der Online-Plattform sollte darauf geachtet werden, dass keine personenbezogenen Daten (sanktioniert durch §§ 43, 44 BDSG) oder auch unternehmenswichtigen Daten (sanktioniert § 17 UWG) veröffentlicht werden. Gemäß den gesetzlichen Regelungen der §§ 28 Abs. 1 bzw. 29 Abs. 1 BDSG ist (geschäftsmäßiges) Erheben, Speichern oder Verändern personenbezogener Daten zum Zweck der Übermittlung zulässig, wenn der Betroffene kein schutzwürdiges Interesse an dem Ausschluss der Erhebung, Speicherung oder Veränderung hat. Eine Veröffentlichung von personenbezogenen Daten auf einer OI-Plattform scheint selten damit einherzugehen. Voraussetzung für die Erfüllung des objektiven Tatbestands des § 17 UWG ist der Verrat von Geschäfts- oder Betriebsgeheimnissen. Geschäfts- oder Betriebsgeheimnis ist jede im Zusammenhang mit einem Betrieb stehende Tatsache, die nicht offenkundig, sondern nur einem begrenzten Personenkreis bekannt ist und die nach dem bekundeten oder noch erkennbaren Willen des Betriebsinhabers, der auf einem ausreichenden wirtschaftlichen Interesse beruht, geheim gehalten werden soll.[469] Das Tatbestandsmerkmal des Geschäftsgeheimnisses erfasst dabei Tatsachen des kaufmännischen Geschäftsverkehrs (z.B. Kundenanschriften).[470] Während das Tatbestandsmerkmal des Betriebsgeheimnisses die Tatsachen des technischen Betriebsablaufs erst erfasst.[471] Dabei liegen Geschäfts- oder Betriebsgeheimnisse bereits vor, wenn eine Tatsache lediglich dem Stand der Technik entspricht.[472] Aus der Sicht des Betreibers der OI-Plattform sollte dieser darauf achten, dass er nicht für die Inhalte der Challenge Overview gem. § 7 Abs. 2 TMG haftet. Hierbei sollte der Anforderungskatalog nach § 8 Abs. 1 TMG entsprechend berücksichtigt werden: Diensteanbieter sind für fremde Informationen, die sie in einem Kommunikationsnetz übermitteln oder zu denen sie den Zugang zur Nutzung vermitteln, nicht verantwortlich, sofern sie

482

Des Weiteren sollte der Betreiber der OI-Plattform darauf achten, dass der Vertragsabschluss immer zwischen Seeker und Solver direkt zustande kommt. Ansonsten könnte der Betreiber ggf. in Mithaftung genommen werden. Häufig können Solver zu einer bestimmten Challenge auch einen eigenen Konversationsraum (engl. Chatroom oder bei der Fa. SAP auch Living Lab) auf der Online-Plattform eröffnen. In einem solchen Chatroom können mehrere Solver (eine Community) sich auch dazu verabreden, dass sie gemeinsam eine Lösung für den Seeker erstellen wollen. Nach deutschem Recht könnte durch eine solche Verabredung schnell eine Gesellschaft bürgerlichen Rechts (Abk.: GbR) entstehen, was zu den Rechten und Pflichten nach § 705 BGB führen würde und entsprechend Berücksichtigung finden müsste.