Open-Source-ERP: Lizenzarten, Gewährleistung und wer haftet
Kurz gesagt
Bei Open-Source-ERP entscheidet die Lizenz, was Sie mit dem Code dürfen: GPL und LGPL knüpfen Offenlegungspflichten erst an die Weitergabe, bei der AGPL genügt schon der Netzzugriff auf eine geänderte Fassung. Gewährleistung und Haftung schließen diese Lizenzen aus, soweit das Recht es zulässt. Für Fehler steht ein, wer Ihnen gegenüber vertraglich haftet.
Das Wichtigste
- In Deutschland brauchen Vervielfältigung, Bearbeitung, Verbreitung und öffentliche Wiedergabe von Software die Zustimmung des Rechtsinhabers (§ 69c Nr. 1 bis 4 UrhG); unberührt bleiben die Ausnahmen des § 69d UrhG, und das Verbreitungsrecht an einem Vervielfältigungsstück erschöpft sich, wenn dieses Stück mit Zustimmung des Rechtsinhabers im Gebiet der EU oder eines EWR-Vertragsstaats im Wege der Veräußerung in Verkehr gebracht worden ist (das Vermietrecht bleibt unberührt, § 69c Nr. 3 Satz 2 UrhG).
- GPL v3: Wer die Software nicht weitergibt, darf sie ändern und ausführen, ohne den Quelltext offenzulegen (§ 2). Wer Objektcode in einem physischen Produkt oder auf einem Datenträger weitergibt, muss die maschinenlesbare Corresponding Source auf einem dauerhaften Datenträger beilegen oder ein schriftliches Angebot beifügen, das mindestens drei Jahre und so lange gültig ist, wie Sie für dieses Produktmodell Ersatzteile oder Kundendienst anbieten; wer den Objektcode über einen Abrufzugang bereitstellt, schuldet dort gleichwertigen Zugang zur Corresponding Source (GPL v3 § 6 Buchst. a, b und d).
- AGPL v3: Wer Nutzer eine geänderte Fassung über ein Netz bedienen lässt, muss ihnen den Quelltext anbieten (§ 13).
- LGPL v3: Eigene Anwendungen dürfen unter eigenen Bedingungen bleiben, wenn diese die Änderung der Bibliotheksanteile und das Reverse Engineering zum Debuggen dieser Änderungen nicht beschränken (§ 4). Dazu gehören Hinweise und Lizenztexte sowie wahlweise die Minimal Corresponding Source mit dem Corresponding Application Code, der das Neuverbinden der Anwendung mit einer geänderten Bibliothek erlaubt (Buchst. d Ziff. 0), oder ein geeigneter Shared-Library-Mechanismus, der mit einer schnittstellenkompatibel geänderten Bibliothek funktioniert (Buchst. d Ziff. 1).
- GPL, AGPL, LGPL und die freizügigen Lizenzen schließen Gewährleistung und Haftung aus, soweit das anwendbare Recht das zulässt (§§ 15 und 16 GPL v3).
- Was ein Hosting-Partner schuldet, folgt aus seinem Vertrag, nicht aus der Lizenz (GPL v3 § 4 Satz 2; Apache-2.0 § 9).
Ein Open-Source-ERP bringt den Quelltext mit, aber nicht die Erlaubnis, mit ihm zu tun, was Sie wollen. Diese Erlaubnis steht in der Lizenz, und sie unterscheidet sich je nach Lizenzfamilie. Davon getrennt zu betrachten ist die zweite Frage: Wer einsteht, wenn das System Fehler hat.
Was die Lizenz rechtlich ist
In Deutschland sind Computerprogramme urheberrechtlich geschützt, wenn sie das Ergebnis der eigenen geistigen Schöpfung ihres Urhebers sind (§ 69a Abs. 1 und 3 UrhG). Vervielfältigung, Übersetzung und Bearbeitung, Verbreitung sowie öffentliche Zugänglichmachung brauchen die Zustimmung des Rechtsinhabers (§ 69c Nr. 1 bis 4 UrhG). Diese Zustimmung ist die Lizenz. Fehlt sie, ist schon das Kopieren auf einen zweiten Server eine Rechtsverletzung, soweit nicht die Ausnahmen des § 69d UrhG greifen. Für ein Vervielfältigungsstück, das mit Zustimmung des Rechtsinhabers im Gebiet der EU oder eines EWR-Vertragsstaats im Wege der Veräußerung in Verkehr gebracht worden ist, ist das Verbreitungsrecht erschöpft; das Vermietrecht bleibt unberührt (§ 69c Nr. 3 Satz 2 UrhG).
Nicht geschützt sind Ideen und Grundsätze, die einem Element des Programms zugrunde liegen, einschließlich der den Schnittstellen zugrunde liegenden Ideen (§ 69a Abs. 2 UrhG). Ob Ihre Anbindung an ein fremdes System schon eine Bearbeitung des fremden Programms ist, bleibt eine Frage des Einzelfalls.
In Deutschland erlaubt das Gesetz ohne Zustimmung einige Handlungen, etwa das Laden, Anzeigen und Ablaufenlassen, soweit sie für die bestimmungsgemäße Benutzung notwendig sind – aber nur, soweit keine besonderen vertraglichen Bestimmungen vorliegen (§ 69d Abs. 1 UrhG). Die Lizenzbedingungen sind solche Bestimmungen. Eine Sicherungskopie dürfen Sie sich vertraglich nicht verbieten lassen (§ 69d Abs. 2 UrhG).
Welche Lizenztypen es gibt
Für ERP-Bausteine sind vier Lizenzgruppen zu unterscheiden: freizügige Lizenzen, schwaches Copyleft, starkes Copyleft und Netz-Copyleft. Die Tabelle ordnet jeder Gruppe die drei Fragen zu, die im Betrieb zählen. Weitergabe meint die Lieferung einer Kopie an Dritte, nicht den Betrieb auf eigener Hardware.
| Lizenztyp (Beispiel) | Darf ich ändern? | Muss ich den Quelltext offenlegen? | Was schuldet ein Hosting-Partner? |
|---|---|---|---|
| Freizügig (MIT, Apache-2.0) | Ja; Bearbeitung und Weitergabe sind erlaubt (MIT) | Nein; Copyright-Hinweis und Lizenztext müssen bei jeder Kopie mitgehen (MIT; Apache-2.0 § 4) | Aus der Lizenz nichts; Support und Gewährleistung darf er anbieten und dafür ein Entgelt verlangen (Apache-2.0 § 9) |
| Schwaches Copyleft (LGPL v3) | Ja; eigene Anwendungen bleiben unter eigenen Bedingungen, die aber die Änderung der Bibliotheksanteile und das Reverse Engineering zum Debuggen dieser Änderungen nicht beschränken dürfen (LGPL v3 § 4) | Bei Weitergabe: Hinweise und Lizenztexte (Buchst. a bis c); zusätzlich wahlweise die Minimal Corresponding Source mit dem Corresponding Application Code, der das Neuverbinden der Anwendung mit einer geänderten Bibliothek erlaubt (Buchst. d Ziff. 0), oder ein geeigneter Shared-Library-Mechanismus, der mit einer schnittstellenkompatibel geänderten Bibliothek funktioniert (Buchst. d Ziff. 1) | Nichts, solange er die Bibliothek unverändert nutzt; gibt er weiter, treffen ihn die Nachweise aus § 4 |
| Starkes Copyleft (GPL v3) | Ja; ohne Weitergabe keine Offenlegungspflicht (GPL v3 § 2) | Bei Weitergabe: das Gesamtwerk unter der GPL (GPL v3 § 5 lit. c). Bei Objektcode zusätzlich die maschinenlesbare Corresponding Source: wird er in einem physischen Produkt oder auf einem Datenträger weitergegeben, gehört sie auf einen dauerhaften Datenträger oder statt ihrer ein schriftliches Angebot, das mindestens drei Jahre und so lange gültig ist, wie Sie für dieses Produktmodell Ersatzteile oder Kundendienst anbieten; wird er über einen Abrufzugang bereitgestellt, ist dort gleichwertiger Zugang zur Source zu eröffnen (GPL v3 § 6 Buchst. a, b und d) | Der Betrieb als Dienst ohne Kopie an Dritte ist keine Weitergabe (GPL v3 § 0) und löst keine Quelltextpflicht aus; Support nur nach Vertrag |
| Netz-Copyleft (AGPL v3) | Ja (AGPL v3 § 2) | Bei einer geänderten Fassung, die Nutzer über ein Netz bedienen: den Quelltext zum Abruf anbieten (AGPL v3 § 13) | Wer die geänderte Fassung betreibt, muss den Nutzern den Quelltext anbieten; eine unveränderte Fassung löst § 13 nicht aus |
Offenlegen oder nicht: drei Fälle
Die Zuordnung verwendet erfundene Konstellationen und keine Aussage über ein bestimmtes Produkt.
| Fall | Was Sie tun | Ergebnis |
|---|---|---|
| 1 | Sie passen eine GPL-Komponente an; es gibt keine Weitergabe und keinen Netzzugriff von Nutzern | Keine Offenlegungspflicht (GPL v3 § 2) |
| 2 | Sie liefern die angepasste Fassung an einen Kunden aus | Das Gesamtwerk steht unter der GPL (GPL v3 § 5 lit. c). Wer den Objektcode in einem physischen Produkt oder auf einem Datenträger weitergibt, muss die maschinenlesbare Corresponding Source auf einem dauerhaften Datenträger beilegen oder ein schriftliches Angebot beifügen, das mindestens drei Jahre und so lange gültig bleibt, wie für dieses Produktmodell Ersatzteile oder Kundendienst angeboten werden; wer den Objektcode über einen Abrufzugang bereitstellt, eröffnet dort gleichwertigen Zugang zur Corresponding Source (GPL v3 § 6 Buchst. a, b und d) |
| 3 | Sie betreiben eine angepasste Fassung unter der AGPL für mehrere Mandanten | Jeder Nutzer, der über das Netz zugreift, muss den Quelltext abrufen können (AGPL v3 § 13) |
Wer haftet für Fehler?
Die GNU-Lizenzen geben keine Zusage. Die GPL v3 erklärt in § 15, dass es keine Gewährleistung gibt, und schließt in § 16 die Haftung für Schäden aus – beide nur, soweit das anwendbare Recht das zulässt. Für die AGPL v3 gelten dieselben Abschnitte, die LGPL v3 übernimmt sie (LGPL v3 Ziffer 0). Die MIT-Lizenz liefert die Software “AS IS”; Apache-2.0 schließt in § 7 die Gewährleistung und in § 8 die Haftung aus und nimmt davon Handlungen aus, die das Recht zwingend erfasst, etwa vorsätzliche und grob fahrlässige. § 17 GPL v3 lässt Gerichte das Recht anwenden, das einem vollständigen Verzicht am nächsten kommt, wenn der Ausschluss sich nach dem Recht eines Landes nicht umsetzen lässt.
Aus der Lizenz selbst entsteht kein Anspruch gegen die Personen, die die Software entwickelt haben. Support und Gewährleistung darf ein Anbieter zusagen und dafür Geld verlangen (GPL v3 § 4 Satz 2; Apache-2.0 § 9).
Wo der Ausschluss in Deutschland endet
Die Haftung wegen Vorsatzes lässt sich nicht im Voraus erlassen (§ 276 Abs. 3 BGB). Ob Lizenzbedingungen als Allgemeine Geschäftsbedingungen gelten, hängt davon ab, ob sie für eine Vielzahl von Verträgen vorformuliert gestellt wurden und ob sie im Einzelnen ausgehandelt waren (§ 305 Abs. 1 BGB). Sind sie es, misst das Gesetz sie an § 307 BGB; unwirksam sind dann Klauseln, die die Haftung für grobe Fahrlässigkeit oder für Schäden an Leben, Körper oder Gesundheit ausschließen (§ 309 Nr. 7 lit. a und b BGB). Gegenüber Unternehmern wirkt dieses Klauselverbot über § 307 Abs. 1 und 2 BGB (§ 310 Abs. 1 Satz 2 BGB).
Was Ihr Dienstleister zusätzlich schuldet
In Deutschland gilt: Wer Ihnen das ERP gegen Entgelt überlässt oder einrichtet, aus dessen Vertrag stammen die gesetzlichen Mängelrechte: beim Kauf nach § 437 BGB, beim Werkvertrag, etwa über die Einführung, nach § 634 BGB. Beim Kauf verjähren diese Ansprüche zwei Jahre ab Ablieferung (§ 438 Abs. 1 Nr. 3, Abs. 2 BGB), bei einem Werkvertrag über eine Sache oder über die Planung oder Überwachung dafür zwei Jahre ab Abnahme (§ 634a Abs. 1 Nr. 1, Abs. 2 BGB); bei einem Bauwerk und bei Planungs- oder Überwachungsleistungen hierfür beträgt die Frist fünf Jahre (§ 438 Abs. 1 Nr. 2, § 634a Abs. 1 Nr. 2 BGB). Hat der Verkäufer oder Unternehmer den Mangel arglistig verschwiegen, gilt die regelmäßige Verjährungsfrist von drei Jahren (§ 195 BGB); bei einem Bauwerk endet die Verjährung aber nicht vor Ablauf der Fünfjahresfrist (§ 438 Abs. 3 Satz 2, § 634a Abs. 3 Satz 2 BGB).
Die Lizenz ersetzt diesen Vertrag nicht. Verfügbarkeit, Reaktionszeiten und die Frage, wer eine Anpassung bezahlt, stehen nur dort, wo Sie sie vereinbaren (ERP-Wartungsvertrag).
Typische Fehler
- Open Source mit “lizenzfrei” verwechseln. Jede der Lizenzen ist eine Bedingung, keine Freigabe. Nach § 8 GPL v3 enden Ihre Rechte aus der Lizenz automatisch, wenn Sie das Werk ohne Erlaubnis weitergeben oder ändern; das bloße Ausführen verlangt keine Annahme der Lizenz (§ 9). Wer den Verstoß einstellt, dessen Lizenz lebt wieder auf: vorläufig, und dauerhaft, wenn der Rechteinhaber nicht innerhalb von 60 Tagen nach dem Ende des Verstoßes auf ihn hinweist (§ 8).
- Die Netzklausel der AGPL übersehen. Sie greift nicht erst beim Verkauf, sondern schon beim Betrieb einer geänderten Fassung, die Nutzer über ein Netz erreichen (AGPL v3 § 13).
- Den Quelltext erst auf Nachfrage zusammensuchen. Bei der GPL v3 genügt ein unbestimmtes Versprechen nicht: Wer Objektcode in einem physischen Produkt oder auf einem Datenträger weitergibt, muss die maschinenlesbare Corresponding Source auf einem dauerhaften Datenträger beilegen oder ein schriftliches Angebot beifügen, das mindestens drei Jahre und so lange gültig ist, wie für dieses Produktmodell Ersatzteile oder Kundendienst angeboten werden; wer den Objektcode über einen Abrufzugang bereitstellt, eröffnet dort gleichwertigen Zugang zur Source (GPL v3 § 6 Buchst. a, b und d).
- Den Haftungsausschluss für unbegrenzt halten. In Deutschland bleiben Vorsatz und die Inhaltskontrolle unberührt (§ 276 Abs. 3, § 307 BGB).
- Die Lizenz mit dem Wartungsvertrag verwechseln. Aus der Lizenz folgt keine Reaktionszeit und kein Anspruch auf eine bestimmte Version.
So gehen Sie vor
- Erfassen Sie für Kern, Module und Erweiterungen je die Lizenz. Suchen Sie dazu die Lizenzangaben des Projekts, etwa in einer Datei LICENSE oder COPYING oder in den Metadaten des Pakets.
- Trennen Sie drei Nutzungen: Betrieb im eigenen Haus, Weitergabe einer Kopie, Betrieb als Dienst über ein Netz.
- Prüfen Sie für jede geplante Anpassung, ob sie eine Bearbeitung des fremden Programms ist und welche Lizenz die Weitergabe verlangt (Grenzen der ERP-Anpassung).
- Halten Sie die Nachweise bereit, die die Lizenz verlangt: Hinweise, Lizenztexte und, wo nötig, die Corresponding Source selbst, ein schriftliches Angebot (bei der GPL v3 mindestens drei Jahre und so lange gültig, wie Sie für das Produktmodell Ersatzteile oder Kundendienst anbieten) oder ein gleichwertiger Abrufzugang; bei der LGPL sind es die Minimal Corresponding Source mit dem Corresponding Application Code oder die Bindung über einen geeigneten Shared-Library-Mechanismus (Lizenzaudit beim ERP).
- Lassen Sie sich Support und Gewährleistung schriftlich zusagen und die Haftungsfragen Ihres Vertrags von einer Rechtsberatung prüfen, bevor Sie unterschreiben.