Verantwortung des Mitarbeiters für nicht lizenzierte Softwaresysteme, die bei Verlassen des Unternehmens installiert wurden

 Wer haftet für nicht lizenzierte Softwaresysteme, die von einem ehemaligen Mitarbeiter installiert wurden? Dieser umfassende Leitfaden untersucht detailliert die Haftung von Unternehmen und Mitarbeitern nach türkischem Recht, einschließlich des Arbeitsgesetzes, des türkischen Obligationenrechts, des türkischen Handelsgesetzbuches sowie Aspekte im Zusammenhang mit Strafen und Entschädigungen.

In Unternehmen wird das Risiko nicht lizenzierter Software oft einfach als „Nutzung von Raubkopien“ verstanden. In der Praxis stellt jedoch eines der gefährlichsten Szenarien die Installation nicht lizenzierter Systeme oder solcher, die gegen Lizenzbedingungen verstoßen, durch einen Mitarbeiter während seiner Arbeitszeit dar, während das Unternehmen diese Systeme nach seinem Ausscheiden weiter nutzt. Dabei kann es sich beispielsweise um ein gecracktes Buchhaltungsprogramm, ein nicht autorisiertes CAD-Paket, ein ERP-Modul mit einer Einzelplatzlizenz für mehrere Benutzer oder eine Abonnement-Software handeln, die über das private statt über das Firmenkonto des Mitarbeiters aktiviert wurde. Das Problem wird deutlich, sobald der Mitarbeiter das Unternehmen verlässt, denn während das Unternehmen das System weiter nutzt, um es am Laufen zu halten, entstehen gleichzeitig Risiken in Bezug auf Urheberrecht, Vertragsrecht, Datensicherheit und sogar Strafrecht. Im türkischen Recht wird diese Situation nicht allein dem ehemaligen Mitarbeiter angelastet; Urheberrechtsgesetz, türkisches Obligationenrecht, Arbeitsrecht, Handelsgesetzbuch und gegebenenfalls die türkische Strafprozessordnung werden gemeinsam betrachtet.

Im türkischen Recht sind Computerprogramme ausdrücklich als Werke geschützt. Gesetz Nr. 5846 über geistige und künstlerische Werke stuft Computerprogramme als wissenschaftliche und literarische Werke ein; darüber hinaus fallen Installation, Ansicht, Ausführung, Übertragung und Speicherung eines Programms unter das Vervielfältigungsrecht. Das rechtliche Risiko beschränkt sich daher nicht auf das Kopieren von Raubkopien; auch die Installation ohne Lizenz, die Nutzung mit einem gefälschten Lizenzschlüssel, die Vervielfältigung über das Lizenzlimit hinaus, der Zugriff mehrerer Benutzer mit einem einzigen Konto oder die unerlaubte Speicherung können zu Rechtsstreitigkeiten wegen Urheberrechtsverletzungen führen. Die Tatsache, dass ein Mitarbeiter das System installiert hat, macht die Nutzung des Programms im Unternehmensbetrieb nicht zu einem „persönlichen Fehler“, da die tatsächliche Nutzung Teil der Geschäftsorganisation geworden ist.

Die eigentliche Frage ist daher komplexer als die einfache Frage „Wer hat das Programm installiert?“. Im Kern geht es darum, unter welcher Lizenz die Software genutzt wurde, ob das Unternehmen von diesem System wusste, ob es es nach Kenntnisnahme weiter nutzte, ob die Führungskräfte ihren Aufsichtspflichten nachkamen und wer im Schadensfall auf welchem ​​Rechtsweg haftet. Anders ausgedrückt: Bei unlizenzierten Systemen, die von einem ehemaligen Mitarbeiter installiert wurden, ist die Haftung oft vielschichtig: Externe Haftung gegenüber dem Rechteinhaber, interne Haftung, arbeitsrechtliche Konsequenzen, strafrechtliche Risiken und Folgen für die Datensicherheit können gleichzeitig entstehen.

Welche rechtlichen Verpflichtungen könnte ein Mitarbeiter verletzen, der ein nicht lizenziertes System installiert?

Gemäß Artikel 396 des türkischen Obligationenrechts ist ein Arbeitnehmer verpflichtet, seine ihm übertragenen Aufgaben gewissenhaft zu erfüllen und die berechtigten Interessen des Arbeitgebers treu zu wahren. Derselbe Artikel legt fest, dass der Arbeitnehmer die Maschinen, Werkzeuge, Geräte, technischen Systeme und Einrichtungen des Arbeitgebers ordnungsgemäß bedienen muss; dass er während des Arbeitsverhältnisses erlangte Produktions- und Geschäftsgeheimnisse nicht zu seinem eigenen Vorteil nutzen oder weitergeben darf; und dass er auch nach Beendigung des Arbeitsverhältnisses zur Verschwiegenheit verpflichtet ist, soweit dies zum Schutz der berechtigten Interessen des Arbeitgebers erforderlich ist. Handlungen eines Arbeitnehmers, wie beispielsweise die Installation nicht lizenzierter Systeme im Auftrag des Arbeitgebers, die Verwendung gefälschter Lizenzen, die Gefährdung des Unternehmens durch künftige Urheberrechtsverletzungen oder die Übergabe des Systems ohne Lizenzdokumente beim Ausscheiden aus dem Unternehmen, können diese Sorgfalts- und Treuepflicht schwerwiegend verletzen.

Installiert ein Mitarbeiter wissentlich nicht lizenzierte Software, verheimlicht diese, verwendet einen gefälschten Lizenzschlüssel, täuscht das Unternehmen oder konfiguriert das System so, dass es dem Unternehmen über seine privaten E-Mail- und Kontodaten nicht zugänglich ist, so kann dies nicht nur als technischer Fehler, sondern als Verletzung der Treuepflicht gewertet werden. Das Verschulden des Mitarbeiters wird besonders schwerwiegend, wenn er wusste, dass das Programm nicht lizenziert war, und seinen Arbeitgeber dennoch nicht darüber informierte, wodurch das System zu einem wesentlichen Bestandteil des Betriebs wurde. Wird der Vorfall in diesem Fall entdeckt, während das Arbeitsverhältnis noch besteht, kann gemäß Artikel 25/II-e des Arbeitsgesetzbuches eine fristlose Kündigung in Betracht gezogen werden. Dieser Artikel behandelt den „Missbrauch des Vertrauensverhältnisses des Arbeitgebers“ und „Verhalten, das mit Ehrlichkeit und Loyalität unvereinbar ist“. Die Klausel im Arbeitsgesetzbuch enthält Beispiele; sie umfasst nicht nur Diebstahl, sondern auch ähnliche Verhaltensweisen, die das Vertrauensverhältnis untergraben.

Die Verantwortung eines Arbeitnehmers endet nicht vollständig mit dem Ausscheiden aus dem Arbeitsverhältnis. Gemäß Artikel 396 Absatz 2 des türkischen Obligationenrechts ist ein Arbeitnehmer verpflichtet, während seiner Beschäftigung erlangte Informationen, wie beispielsweise Produktions- und Geschäftsgeheimnisse, auch nach Beendigung des Arbeitsverhältnisses aufzubewahren, sofern dies im berechtigten Interesse des Arbeitgebers liegt. Installiert der Arbeitnehmer nicht nur ein nicht lizenziertes System, sondern hält nach seinem Ausscheiden auch Administratorpasswörter, Installationsmethoden, Lizenzquellen, Integrationsstrukturen und wichtige Zugangsdaten zurück oder unterlässt er es, Informationen so bereitzustellen, dass das Unternehmen faktisch gezwungen ist, das System zu nutzen, so sind sowohl seine früheren Installationshandlungen als auch sein Verhalten nach Beendigung des Arbeitsverhältnisses rechtlich relevant. Dieser Sachverhalt ist sowohl hinsichtlich vertraglicher Schadensersatzansprüche als auch deliktischer Haftung diskutabel.

Wird das Unternehmen dadurch von der Haftung gegenüber dem Rechteinhaber befreit?

In den meisten Fällen nein. Nach dem Urheberrechtsgesetz (FSEK) kann der Rechteinhaber geltend machen, dass seine finanziellen und ideellen Rechte verletzt wurden, und eine Nutzungsuntersagung, Schadensersatz und bestimmte weitere Ansprüche fordern. Insbesondere Artikel 68 FSEK erlaubt dem Rechteinhaber, bis zum Dreifachen des vertraglich vereinbarten Preises oder den Marktwert für das unerlaubt genutzte Werk zu verlangen. Artikel 70 FSEK regelt die Ansprüche desjenigen, dessen finanzielle Rechte verletzt wurden, einschließlich Schadensersatz bei Verschulden und die Herausgabe des erzielten Gewinns. Im Rahmen dieser Bestimmungen richtet sich der Rechteinhaber häufig zunächst gegen den tatsächlichen Nutzer; das heißt, das Unternehmen, das das Programm in seinen Geschäftsprozessen einsetzt, ist das direkte Ziel. Die Einrede „Ein ehemaliger Mitarbeiter hat es installiert“ bietet nicht immer Schutz vor den Ansprüchen des Rechteinhabers.

Der Grund ist einfach: Bei der Beurteilung von Urheberrechtsverletzungen ist es entscheidend, ob die Handlung innerhalb eines Unternehmens begangen wurde. Nutzt das Unternehmen das System nach dem Ausscheiden des Mitarbeiters weiterhin, etwa zur Produktion von Produkten oder Dienstleistungen, wickelt es über diese Infrastruktur Kundengeschäfte ab und schaltet es auch nach Kenntnis der unlizenzierten Nutzung nicht ab, so erhöht sich seine Haftung ab diesem Zeitpunkt erheblich. In vielen Fällen werden sowohl das Verschulden des ursprünglichen Mitarbeiters als auch das des Arbeitgebers, der das System wissentlich weitergenutzt hat, gemeinsam betrachtet. Der kritische Zeitpunkt für das Unternehmen ist daher der Moment, in dem es von der unlizenzierten Nutzung erfährt. Die fortgesetzte Nutzung nach Kenntnis der unlizenzierten Nutzung schwächt häufig die Einrede der „Handlung des ehemaligen Mitarbeiters“. Diese Schlussfolgerung steht im Einklang mit dem türkischen Urheberrechtsgesetz (FSEK), das die unerlaubte Nutzung unter Strafe stellt, und der allgemeinen verschuldensabhängigen Haftung im türkischen Obligationenrecht (TBK).

Artikel 66 des türkischen Obligationenrechts schafft eine erhebliche Lücke im Haftungsrecht für Unternehmen. Laut diesem Artikel haftet ein Arbeitgeber für Schäden, die ein Arbeitnehmer im Rahmen seiner Tätigkeit verursacht. Er kann jedoch von der Haftung befreit werden, wenn er nachweist, dass er bei der Auswahl, Einweisung, Überwachung und Beaufsichtigung des Arbeitnehmers die gebotene Sorgfalt walten ließ. Darüber hinaus kann sich ein Unternehmen der Haftung nicht entziehen, wenn es nicht nachweisen kann, dass seine betrieblichen Abläufe geeignet waren, den Schaden zu verhindern. Selbst wenn ein Arbeitnehmer ein nicht lizenziertes System installiert hat, wird das Argument eines organisatorischen Verschuldens gemäß Artikel 66 des türkischen Obligationenrechts gestärkt, wenn dem Unternehmen ein Softwareinventar fehlt, es keine Lizenzprüfungen durchführt, Installationsberechtigungen nicht überprüft und kein Verfahren zur technischen Übergabe beim Ausscheiden des Arbeitnehmers eingerichtet hat.

Gemäß Artikel 116 des türkischen Obligationenrechts ist der Schuldner auch dann zum Schadensersatz verpflichtet, wenn er Hilfspersonen mit der Erfüllung der Schuld oder der Ausübung der Rechte aus dem Schuldverhältnis beauftragt. Wenn die vom Unternehmen angebotene Softwareinfrastruktur, Buchhaltungsdienstleistungen, Designleistungen oder das Produktionssystem auf nicht lizenzierter Software basiert, die von einem Mitarbeiter installiert wurde, ist die Einrede des Unternehmens „Mitarbeiter hat es getan“ im Vertragsverhältnis mit dem Kunden nur bedingt wirksam. Dies gilt insbesondere für SaaS, ausgelagerte Buchhaltung, technische Zeichnungen, Architektur, Produktionsautomatisierung und E-Commerce-Infrastrukturen. Denn ein nicht lizenziertes System birgt Leistungs- und Compliance-Risiken nicht nur für den Rechteinhaber, sondern auch für den Kunden.

Kann das Unternehmen vom ehemaligen Mitarbeiter Regressansprüche geltend machen?

Grundsätzlich ja, aber nicht automatisch. Ist das Unternehmen verpflichtet, dem Rechteinhaber eine Entschädigung zu zahlen, den Sachverhalt beizulegen, Schadensersatz zu leisten, die Kosten für die Systemumstellung zu tragen oder Kundenschäden auszugleichen, und hat das Verschulden und rechtswidrige Verhalten des ehemaligen Mitarbeiters zu diesen Schäden beigetragen, kann das Unternehmen Regressansprüche gegen ihn geltend machen. Artikel 49 des türkischen Obligationenrechts besagt, dass eine Person, die einem anderen durch eine schuldhafte und rechtswidrige Handlung Schaden zufügt, zum Schadensersatz verpflichtet ist. Artikel 112 des türkischen Obligationenrechts legt fest, dass der Schuldner, wenn eine Schuld nicht ordnungsgemäß beglichen wird, dem Gläubiger den entstandenen Schaden ersetzen muss, es sei denn, er beweist seine Unschuld. Hat der Mitarbeiter trotz seines Arbeitsvertrags, seiner Stellenbeschreibung, der Unternehmensrichtlinien oder eindeutiger Anweisungen ein nicht lizenziertes System installiert, können diese Artikel die Grundlage für einen Regressanspruch hinsichtlich interner Schäden des Unternehmens bilden.

In Regressfällen wird jedoch stets das Verschulden des Arbeitgebers berücksichtigt. Die jahrelange unkontrollierte Nutzung des Systems durch das Unternehmen, das Versäumnis, Lizenzdokumente anzufordern, die mangelnde Koordination zwischen Beschaffung und IT, das Versäumnis, bei Ausscheiden eine Übergabebestätigung zu erhalten, und die fortgesetzte Nutzung nach Eintritt des Risikos können die Ansprüche gegen den ehemaligen Arbeitnehmer schwächen. Mit anderen Worten: Selbst wenn das Unternehmen alle Zahlungen an Dritte vollständig geleistet hat, prüft das Gericht den Zusammenhang zwischen der eigenen mangelnden Aufsicht und dem daraus resultierenden Schadenszuwachs, um gegebenenfalls einen Regressanspruch gegen den ehemaligen Arbeitnehmer geltend zu machen. In der Praxis steigt die Erfolgsaussicht eines Regressanspruchs umso mehr, je klarer der Sachverhalt belegt werden kann, dass „der Arbeitnehmer grob fahrlässig und der Arbeitgeber mit angemessener Sorgfalt gehandelt hat“. Diese Beurteilung entspricht auch der Logik der Beweisführung zur Entlastung gemäß Artikel 66 des türkischen Obligationenrechts.

Wann kommt die Verantwortung von Managern und Unternehmensorganen zum Tragen?

Das Problem beschränkt sich möglicherweise nicht allein auf das Arbeitsverhältnis. Artikel 369 des türkischen Handelsgesetzbuches verpflichtet Vorstandsmitglieder und Geschäftsführungsverantwortliche, ihre Pflichten mit der Sorgfalt eines umsichtigen Geschäftsführers zu erfüllen und die Interessen des Unternehmens nach den Grundsätzen der Ehrlichkeit zu wahren. Artikel 553 des türkischen Handelsgesetzbuches legt fest, dass Gründer, Vorstandsmitglieder, Geschäftsführer und Liquidatoren, die durch Fahrlässigkeit gegen ihre gesetzlichen und satzungsmäßigen Pflichten verstoßen, gegenüber dem Unternehmen, den Aktionären und den Gläubigern haften. Selbst wenn die Person, die das nicht genehmigte System einrichtet, ein Angestellter ist, kann der interne Haftungsstreit bis vor die zuständigen Organe eskalieren, wenn die Geschäftsführung nach Kenntnis des Risikos untätig bleibt, keinen Compliance-Mechanismus einrichtet und das Unternehmen weiterhin in einem Zustand eindeutigen Verstoßes führt.

Insbesondere in Unternehmen, die Investitionen erhalten, Audits durchlaufen, einen Börsengang vorbereiten oder sich in Fusions- und Übernahmeprozessen befinden, ist die Einhaltung von Softwarelizenzbestimmungen nicht länger eine klassische „IT-Angelegenheit“. Denn die Übernahme eines nicht lizenzierten Systems von einem ausscheidenden Mitarbeiter ist an sich keine Entschuldigung; sie wirft Fragen auf, wann das Management davon erfahren hat, was es unternommen hat und warum es gezögert hat. Wusste die Unternehmensleitung, dass der ehemalige Mitarbeiter kritische Prozesse mit Lizenzen ausführte, die mit seinem persönlichen Konto verknüpft waren, und stellte keine Unternehmenslizenzen bereit, kann die Verantwortung vom einzelnen IT-Mitarbeiter auf die Managementebene verlagert werden. Die Sorgfaltspflichten und Verantwortlichkeiten im türkischen Handelsgesetzbuch gewinnen an diesem Punkt an Bedeutung.

Wird dies strafrechtliche Konsequenzen nach sich ziehen?

Ja, das hängt vom Einzelfall ab. Artikel 71 des Gesetzes über geistige und künstlerische Werke (FSEK) sieht Freiheitsstrafe oder Geldstrafe für diejenigen vor, die ohne schriftliche Genehmigung des Urheberrechtsinhabers ein Werk bearbeiten, vervielfältigen, verbreiten, öffentlich wiedergeben oder illegal vervielfältigte Kopien zu kommerziellen Zwecken besitzen oder speichern. Artikel 72 des FSEK enthält zudem eine gesonderte Strafandrohung für Software oder technische Hardware, die dazu bestimmt ist, zusätzliche Programme zur Verhinderung der illegalen Vervielfältigung von Computerprogrammen zu deaktivieren. Die Verwendung von Cracks, Keygens, Lizenzumgehungsmodulen, gefälschten Aktivierungstools oder Skripten, die den Schutzmechanismus umgehen, kann je nach den Umständen des Einzelfalls diese Strafe auslösen.

Der entscheidende Punkt ist, dass strafrechtliche Verantwortlichkeit persönlich ist. Gemäß Artikel 20 des türkischen Strafgesetzbuches ist strafrechtliche Verantwortlichkeit individuell; niemand kann für die Handlungen eines anderen zur Rechenschaft gezogen werden, und juristische Personen unterliegen keinen strafrechtlichen Sanktionen, obwohl gesetzlich vorgeschriebene Sicherheitsmaßnahmen vorbehalten sind. Daher ist der Angeklagte in einem Strafverfahren in der Regel eine natürliche Person: der Mitarbeiter, der das System eingerichtet hat, die Person, die das Crack-Tool verwendet hat, der Manager, der die Anweisungen gegeben hat, oder der Entscheidungsträger, der die Fortsetzung des Vorgangs wissentlich zugelassen hat. Selbst wenn das Unternehmen nicht bestraft wird, spielt es eine zentrale Rolle in den Ermittlungen, da die Geräte, auf denen das Programm installiert war, die Server, Protokolldateien, Aktivierungsdaten und E-Mail-Verläufe als Beweismittel dienen.

Sollen im Rahmen der Ermittlungen digitale Beweismittel gesammelt werden, findet Artikel 134 der Strafprozessordnung Anwendung. Dieser Artikel sieht vor, dass bei starkem Verdacht aufgrund konkreter Beweise und wenn sich Beweise nicht auf anderem Wege beschaffen lassen, Computer und Computerprogramme durchsucht, kopiert und gegebenenfalls beschlagnahmt werden dürfen. In der Praxis bedeutet dies, dass das vom ehemaligen Mitarbeiter eingerichtete, nicht lizenzierte System nicht allein Gegenstand einer Entschädigung bleibt; wird ein Strafverfahren eingeleitet, können Firmengeräte, Lizenzserver, Backups und Benutzerdatensätze einer forensischen digitalen Untersuchung unterzogen werden.

Wie sollte mit Beweismitteln in nicht lizenzierten Systemen umgegangen werden, die nach Beendigung einer Geschäftsbeziehung entstehen?

Der größte Fehler im Umgang mit diesen Dateien ist Panik und das Löschen von Daten. Rechtlich und technisch korrekt ist es jedoch, zunächst den Ist-Zustand zu ermitteln. Artikel 199 der Zivilprozessordnung betrachtet elektronische Daten als Dokumente; daher können Serverprotokolle, Lizenzaktivierungsprotokolle, Installationsdaten, interne Firmennachrichten, E-Mails, Benutzerprotokolle und Backups in Gerichtsverfahren als Beweismittel dienen. Umgekehrt legt Artikel 189/2 der Zivilprozessordnung fest, dass rechtswidrig erlangte Beweismittel nicht berücksichtigt werden dürfen. Das Unternehmen sollte daher keine Beweismittel durch unrechtmäßigen Zugriff auf die personenbezogenen Daten ehemaliger Mitarbeiter sammeln, sondern die in seinen eigenen Systemen vorhandenen Daten angemessen schützen.

Der erste Schritt im Beweismanagement ist die Inventarisierung der betroffenen Systeme. Es ist entscheidend, schnell festzustellen, welche Programme auf welchen Geräten installiert sind, auf wessen Namen die Lizenz registriert ist, welche E-Mail-Adresse zur Aktivierung verwendet wurde, ob der Lizenzschlüssel gefälscht ist, ob eine Einzelplatzlizenz in eine Mehrplatzlizenz umgewandelt wurde, ob ein Crack-Tool auf dem Server vorhanden ist und ob die Installationsdaten mit der Beschäftigungsdauer des Mitarbeiters übereinstimmen. Der zweite Schritt ist der Schutz kritischer Daten wie Protokolle und Festplattenabbilder. Der dritte Schritt ist die Durchführung einer simultanen internen technischen und rechtlichen Prüfung. Arbeiten, die ausschließlich von der IT-Abteilung, der Rechtsabteilung oder einem externen Berater durchgeführt werden, sind oft unvollständig. Dies liegt daran, dass sowohl die Beweiskette als auch die rechtliche Einordnung gleichzeitig erfolgen müssen. Dieses Vorgehen entspricht den Beweisregeln der Zivilprozessordnung und der Bedeutung, die digitalen Beweismitteln in Artikel 134 der Strafprozessordnung beigemessen wird.

Warum ist der DSGVO-Aspekt wichtig?

Ein von einem ehemaligen Mitarbeiter eingerichtetes, nicht lizenziertes System birgt häufig nicht nur Urheberrechtsverletzungen, sondern auch Risiken für die Datensicherheit. Gemäß Artikel 12 des Gesetzes Nr. 6698 ist der Verantwortliche für die Datenverarbeitung verpflichtet, die notwendigen technischen und organisatorischen Maßnahmen zu ergreifen, um die unrechtmäßige Verarbeitung und den Zugriff auf personenbezogene Daten zu verhindern und deren Schutz zu gewährleisten. Derselbe Artikel legt fest, dass Personen, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten, gemeinsam für die Datensicherheitsmaßnahmen verantwortlich sind. Verarbeitet das vom ausscheidenden Mitarbeiter eingerichtete, nicht lizenzierte System auch Kundendaten, Mitarbeiterdaten oder Geschäftsgeheimnisse, geht die Problematik über Urheberrechtsstreitigkeiten hinaus und stellt ein Risiko gemäß dem türkischen Datenschutzgesetz (KVKK) dar.

Insbesondere gecrackte Software, Tools zur Lizenzumgehung und nicht autorisierte Drittanbieter-Plugins führen häufig zu Systemen, die keine Updates erhalten, das Risiko von Schadcode bergen oder einen unkontrollierten Datenfluss verursachen. Durch die weitere Nutzung dieser von einem ehemaligen Mitarbeiter eingerichteten Infrastruktur kann sich das Unternehmen zudem in einer angreifbaren Position in Bezug auf die Datensicherheit befinden. Entscheidend ist hierbei, welche technischen und administrativen Maßnahmen das Unternehmen ergriffen hat, nachdem es von der fehlenden Lizenz des Systems erfahren hatte. Anders ausgedrückt: Der Vorfall kann nicht einfach als „ein ehemaliger Mitarbeiter hat uns getäuscht“ abgetan werden; die eigenen Sicherheitsmaßnahmen des Unternehmens als Datenverantwortlicher müssen ebenfalls bewertet werden.

Was sollten Unternehmen in der Praxis tun?

Der erste Schritt besteht darin, das System unverzüglich einer kontrollierten rechtlichen Prüfung zu unterziehen. Sobald die von einem ehemaligen Mitarbeiter eingerichtete Softwareinfrastruktur entdeckt wird, sollte das Unternehmen umgehend ein Lizenzverzeichnis erstellen, den Umfang der aktiven Nutzung ermitteln, das System gegebenenfalls isolieren und eine Strategie zur Kontaktaufnahme mit dem Rechteinhaber entwickeln. Ziel ist es nicht, Beweise zu vertuschen, sondern die Rechtslage zu klären, ohne den Schaden zu vergrößern. Parallel dazu sollte eine interne Meldung erfolgen; Management, Rechtsabteilung, IT und gegebenenfalls externe IT-Forensiker sollten eng zusammenarbeiten. Ein „Wir machen erst einmal weiter und schauen später weiter“ ist in diesem Prozess der riskanteste Weg, da die fortgesetzte, bekannte unlizenzierte Nutzung sowohl den Fehler als auch das Ausmaß des Schadens erhöht.

Zweitens sollten Dokumente im Zusammenhang mit dem ehemaligen Mitarbeiter gesammelt werden. Stellenbeschreibungen, Genehmigungen für Softwareinstallationen, Liefernachweise, E-Mail-Korrespondenz, Dienstwege, Aussagen während des Ausscheidens und genutzte Konten sollten gemeinsam geprüft werden. Ziel ist es nicht, die Verantwortung sofort dem ehemaligen Mitarbeiter zuzuschieben, sondern zu ermitteln, wer zu welchem ​​Zeitpunkt was wusste. Denn diese Informationskette ist in jedem Gerichtsverfahren oder jeder Untersuchung von entscheidender Bedeutung. Wenn das Unternehmen den ehemaligen Mitarbeiter direkt ins Visier nimmt, ohne die eigene mangelnde Aufsicht zu hinterfragen, könnte es in externen Auseinandersetzungen benachteiligt sein.

Drittens müssen vorausschauende Unternehmensmaßnahmen ergriffen werden. Softwareinventarisierung, Lizenzmatrix, Installationsgenehmigung, technische Übergabeprozesse beim Ausscheiden von Mitarbeitern, Passwortübertragung, Richtlinien für Unternehmenskonten und Software-Compliance-Audits müssen in Unternehmen standardisiert werden. Insbesondere die Installation kritischer Systeme unter Verwendung privater E-Mail-Adressen, privater Kreditkarten, privater Abonnements oder Administratorrechte, die mit einem einzelnen Mitarbeiter verknüpft sind, sollte untersagt werden. Das Problem nicht lizenzierter Systeme, die von ehemaligen Mitarbeitern installiert wurden, entsteht oft nicht nur durch das Verschulden einer einzelnen Person, sondern durch mangelnde Unternehmenskontrolle. Die Sorgfaltspflicht im türkischen Handelsgesetzbuch und die organisatorische Verantwortung im türkischen Obligationenrecht basieren bereits auf diesem Prinzip.

Abschluss

Die Installation nicht lizenzierter Software durch einen Mitarbeiter nach dessen Ausscheiden aus dem Unternehmen stellt nach türkischem Recht ein komplexes Problem dar. Da Computerprogramme als Kunstwerke geschützt sind, kann eine Urheberrechtsverletzung gemäß dem Gesetz über geistige und künstlerische Werke (FSEK) zu Ansprüchen in Höhe des Dreifachen des Kaufpreises, Schadensersatz und Strafen führen. Für den Arbeitnehmer kann die Sorgfalts- und Treuepflicht gemäß Artikel 396 des türkischen Obligationenrechts (TBK) eine vertragliche und deliktische Haftung gegenüber dem Arbeitgeber begründen. Nach dem Arbeitsrecht kann ein während des laufenden Arbeitsverhältnisses bekannt gewordener Vorfall einen Kündigungsgrund darstellen. Für das Unternehmen reicht die Verteidigung „Der ehemalige Mitarbeiter hat dies getan“ allein jedoch nicht aus; denn wenn das Unternehmen das System weiterhin nutzte, keine Inspektionen durchführte oder das Risiko trotz Kenntnis des Vorfalls nicht behoben hat, erhöht sich auch seine eigene Haftung.

Daher ist es rechtlich korrekt, zunächst die Haftungsquelle, dann die Wissens- und Verschuldenskette und schließlich die Frage der fortgesetzten Nutzung zu klären. Bei grober Fahrlässigkeit des Mitarbeiters besteht die Möglichkeit einer Regressforderung; allerdings muss auch die mangelnde Aufsicht und Organisation des Unternehmens berücksichtigt werden. Am sichersten ist es, nicht erst im Streitfall eine Verteidigung aufzubauen, sondern von vornherein Verfahren zur Beendigung des Arbeitsverhältnisses, Lizenzverzeichnisse und technische Bereitstellungsmechanismen festzulegen. Denn nicht lizenzierte Systeme werden oft nicht erst mit dem Ausscheiden des Mitarbeiters zu einem echten Rechtsproblem, sondern erst dann, wenn das Unternehmen sie weiterhin als festen Bestandteil seiner Geschäftsprozesse nutzt.