Wie wird die Prüfung von Softwarelizenzen in Unternehmen durchgeführt?

 Wie wird die Prüfung von Softwarelizenzen in Unternehmen durchgeführt? Dieser umfassende Leitfaden erläutert den Schutz von Computerprogrammen nach dem türkischen Urheberrechtsgesetz (FSEK), das Risiko von Lizenzverletzungen, dreifache Strafen, strafrechtliche Haftung, Beweissicherung und einen schrittweisen Prüfprozess für Unternehmen.

In der heutigen Welt, in der die Digitalisierung das Unternehmensleben grundlegend verändert, ist Software nicht mehr nur ein technisches Hilfsmittel, auf das Unternehmen angewiesen sind; sie ist ein fundamentaler Bestandteil von Produktion, Buchhaltung, Projektmanagement, Kundenbeziehungen und Datenfluss. Daher sollten Softwarelizenzprüfungen in Unternehmen nicht als einfache IT-Kontrolle, sondern als direkter Aspekt des rechtlichen Risikomanagements betrachtet werden. Nach türkischem Recht sind Computerprogramme durch das Gesetz Nr. 5846 über geistige und künstlerische Werke geschützt. Laut dem aktuellen konsolidierten Text im WIPO Lex ist das Gesetz weiterhin gültig, einschließlich der Änderung Nr. 7346 vom 21. Dezember 2021. Derselbe Text belegt, dass Computerprogramme zu den geschützten Werken zählen, und die Änderung von 2021 hat insbesondere die Strafbestimmungen für die Umgehung technischer Schutzmaßnahmen aktualisiert.

Der Grund für Softwarelizenzprüfungen in Unternehmen liegt nicht allein in der Beantwortung der Frage „Wie viele Lizenzen gibt es?“. Hauptzweck ist die Feststellung, auf welcher Rechtsgrundlage jedes im Unternehmen genutzte Programm basiert, ob der Geltungsbereich dieser Rechtsgrundlage überschritten wurde, ob die Lizenzdokumente prüfungsgerecht gespeichert sind und ob aufgrund nicht lizenzierter oder nicht genehmigungskonformer Nutzung rechtliche und strafrechtliche Risiken gemäß dem Urheberrechtsgesetz bestehen. Laut dem Ministerium für Kultur und Tourismus können bei Urheberrechtsverletzungen sowohl zivil- als auch strafrechtliche Schritte eingeleitet werden. Das Ministerium weist zudem ausdrücklich darauf hin, dass Handlungen wie unerlaubte Bearbeitung, Vervielfältigung, Verbreitung, öffentliche Wiedergabe, kommerzieller Kauf, Import, Export und Speicherung Sanktionen nach sich ziehen können.

Was ist die rechtliche Grundlage für die Prüfung von Unternehmenssoftwarelizenzen?

Die rechtliche Grundlage der Softwarelizenzkontrolle bildet das türkische Urheberrechtsgesetz (FSEK). Artikel 1/B des Gesetzes definiert Computerprogramme; Artikel 2 legt fest, dass Computerprogramme und unter bestimmten Voraussetzungen auch deren vorbereitende Entwürfe als Werke der Wissenschaft und Literatur gelten. Im selben Kontext wird jedoch auch definiert, dass die den Elementen eines Computerprogramms zugrunde liegenden Ideen und Prinzipien nicht als Werke gelten. Diese Unterscheidung ist wichtig, da das Gesetz nicht die abstrakte Idee, sondern die schutzfähige Ausdrucksform des Programms schützt. Daher genügt im Rahmen der Lizenzkontrolle die bloße Aussage „Unser Unternehmen verwendet Software“ nicht; der urheberrechtliche Status der verwendeten Version, der Kopie, der Installation und des Zugriffsmodells wird gesondert geprüft.

Im türkischen Urheberrechtsgesetz (FSEK) ist das Vervielfältigungsrecht von besonderer Bedeutung. Artikel 22 des Gesetzes räumt dem Urheber das Recht ein, Kopien eines Werkes ganz oder teilweise, direkt oder indirekt, zeitlich oder dauerhaft zu vervielfältigen. Bei Computerprogrammen umfasst dieser Schutz nicht nur das klassische Kopieren; auch Installation, Ausführung, Übertragung und Speicherung des Programms fallen darunter. Daher werden bei Softwarelizenzprüfungen in Unternehmen nicht nur physische Kopien geprüft, sondern auch Serverinstallationen, Fernzugriffe, virtuelle Maschinen, Cloud-Konten, Benutzersitzungen und die Nutzung auf mehreren Geräten. Denn genau in diesen Bereichen entstehen häufig rechtliche Risiken.

Artikel 38 des Gesetzes gewährt bestimmte Freiheiten in Bezug auf rechtmäßig erworbene Computerprogramme. Demnach sind, sofern im Vertrag nichts anderes vereinbart ist, die für den bestimmungsgemäßen Gebrauch des Programms notwendige Vervielfältigung und Verarbeitung zulässig; Installation, Ausführung und Fehlerbehebung des Programms dürfen vertraglich nicht gänzlich untersagt werden; und eine Sicherungskopie darf erstellt werden, solange dies für die Nutzung erforderlich ist. Diese Freiheit gilt jedoch nur rechtmäßig erworbene Software . Daher ist es bei der Durchführung von Softwarelizenzprüfungen in Unternehmen von entscheidender Bedeutung, von Anfang an klar zwischen den für die lizenzierte Nutzung gewährten technischen Freiheiten und der nicht lizenzierten bzw. außerhalb des Lizenzumfangs liegenden Nutzung zu unterscheiden.

Wie sollte eine Softwarelizenzprüfung eingeleitet werden?

Die erste Antwort auf die Frage, wie Softwarelizenzprüfungen in Unternehmen durchgeführt werden, lautet: Zunächst sollte man den Umfang definieren, anstatt in Panik zu geraten. Das Unternehmen sollte die Prüfung als Bestandsaufnahme und Abgleich der Lizenzen strukturieren. Die Grenzen müssen von Anfang an klar definiert sein: Welche Büros, Server, virtuellen Maschinen, Benutzergruppen und von externen Dienstleistern installierten Systeme werden geprüft? Dies ist sowohl rechtlich als auch praktisch notwendig: Urheberrechtsverletzungen basieren häufig nicht auf einem einzelnen Gerät, sondern auf dem Nutzungsverhalten. Daher können, obwohl die Unternehmenszentrale lizenziert zu sein scheint, in Niederlassungen, auf Remote-Arbeitsplätzen oder Testservern erhebliche Inkompatibilitäten bestehen. Angesichts der gesetzlichen Bestimmungen zur Vervielfältigung und öffentlichen Verbreitung kann eine zu eng gefasste interne Prüfung das Unternehmen in die Irre führen.

Idealerweise sollten in dieser Anfangsphase die Rechts-, IT-, Einkaufs- und Finanzabteilung eng zusammenarbeiten. Denn die Lizenzprüfung beschränkt sich nicht allein auf die technische Installation. Die Tatsache, dass ein Programm auf einem System installiert ist, liefert zwar technische Daten; um jedoch festzustellen, ob diese Installation auf einer gültigen Lizenz basiert, müssen auch rechtliche und finanzielle Dokumente wie Verträge, Rechnungen, Abonnementunterlagen, Verlängerungskorrespondenz und Benutzerberechtigungen geprüft werden. Die Aussagen des Ministeriums für Kultur und Tourismus zur optionalen Registrierung zeigen zudem, dass Eigentums- und Nutzungsrechte nicht immer bei ein und derselben Partei liegen. So ist beispielsweise klar festgelegt, dass der Urheberrechtsinhaber eines Computerprogramms die Person oder Personen sind, die den Quellcode geschrieben haben, während die finanziellen Rechte vertraglich separat geregelt werden können. Dieser Ansatz ist insbesondere bei der Prüfung von unternehmensintern entwickelter Software von Bedeutung.

Die Inventurarbeit ist das Rückgrat der Prüfung

Der erste konkrete Schritt bei der Prüfung von Softwarelizenzen in Unternehmen ist die Erstellung eines Softwareinventars. Dabei muss ermittelt werden, welche Software auf allen Desktop-Computern, Laptops, Servern, virtuellen Maschinen, Cloud-Service-Konten und Fernzugriffsgeräten des Unternehmens installiert ist. Dieses Inventar sollte neben dem Hauptprogrammnamen auch die Versionsnummer, das Installationsdatum, das Lizenzmodell, die Anzahl der aktiven Benutzer, die Anzahl der Geräte, den Lizenzschlüsseltyp, das Ablaufdatum des Abonnements (falls vorhanden) und die Abteilung, in der das Programm tatsächlich verwendet wird, erfassen. Denn Lizenzverstöße resultieren oft nicht aus der Frage, ob das Programm existiert oder nicht, sondern aus dem Kontext seiner Verwendung. Die weite Auslegung des Vervielfältigungsrechts im türkischen Urheberrechtsgesetz erklärt zudem, warum diese technischen Details rechtliche Bedeutung haben.

Ein entscheidender Aspekt des Audits ist die Aufdeckung von Schatten-IT. Software, die außerhalb der IT-Abteilung installiert, mit privaten Konten aktiviert, von Test- in Produktionsumgebungen migriert oder von externen Anbietern unbemerkt installiert wurde, bleibt oft außerhalb des Hauptbestands. Gerade in dieser unsichtbaren Ebene sind jedoch die Urheberrechts- und Lizenzrisiken am größten. Im Rahmen des Audits muss daher sämtliche Design-, Entwicklungs-, Buchhaltungs-, Fernzugriffs-, Datenbank-, Virenschutz-, Büro- und Projektmanagement-Software auf den Geräten der Mitarbeiter offengelegt werden. Diese Anforderung ist von unmittelbarer rechtlicher Bedeutung, da der Rechteinhaber im Falle einer Rechtsverletzung rechtliche oder strafrechtliche Schritte einleiten kann und unerlaubte Vervielfältigung, Nutzung und Speicherung mit Strafen belegt sind.

Wie sollten Lizenzdokumente und Verträge geprüft werden?

Die bloße Erfassung des Softwarebestands reicht für ein Audit nicht aus; im zweiten Schritt wird dieser Bestand mit den Lizenzdokumenten abgeglichen. Hierbei sind die Rechnungen des Unternehmens, Lizenzvereinbarungen, Endbenutzer-Lizenzvereinbarungen (EULAs), Korrespondenz mit Händlern oder Distributoren, Abonnementübersichten, Verlängerungsbelege und Supportverträge gemeinsam zu prüfen. Denn der Kauf eines Programms berechtigt nicht automatisch zu jeder Nutzung. Da das türkische Urheberrechtsgesetz (FSEK) die Unabhängigkeit der finanziellen Rechte anerkennt und die Nutzung innerhalb der autorisierten Grenzen erfolgen muss, ist die Aussage des Unternehmens „Wir haben das Programm gekauft“ möglicherweise nicht ausreichend, wenn der Umfang der Lizenzvereinbarung überschritten wurde. Daher beschränkt sich das Audit nicht nur auf die Suche nach dem Kaufbeleg; es untersucht detailliert, welcher Benutzer, welches Gerät, welcher Standort, welche Laufzeit und welche Version durch den Beleg autorisiert sind.

In dieser Phase sollten Einzelplatzlizenzen, Mehrplatzlizenzen, Volumenlizenzen, Abonnementlizenzen, OEM-Lizenzen, Bildungslizenzen und Testversionen separat betrachtet werden, da das Risiko in jeder Kategorie unterschiedlich ist. Beispielsweise ergeben sich aus der Bereitstellung einer Einzelplatzlizenz auf mehreren Geräten und der Nutzung einer Testversion in einem kommerziellen Workflow unterschiedliche rechtliche Verteidigungsmöglichkeiten, doch beide können zu Lizenzverletzungen führen. Ebenso ist besondere Aufmerksamkeit für proprietäre Software erforderlich, die extern gegen Gebühr entwickelt wurde. Laut Aussage des Ministeriums gilt der Auftraggeber nicht immer als Urheberrechtsinhaber; in den meisten Fällen wird davon ausgegangen, dass die finanziellen Rechte im Rahmen des Vertrags genutzt werden. Daher sollte bei Softwarelizenzprüfungen in Unternehmen die vertragliche Rechtekette auch für proprietäre Software überprüft werden, von der das Unternehmen annimmt, dass sie ihm gehört.

Wie werden Hochrisikogebiete identifiziert?

Der dritte Schritt bei der Beantwortung der Frage, wie Softwarelizenzprüfungen in Unternehmen durchgeführt werden sollten, ist die risikogewichtete Klassifizierung. Nicht jede Software birgt das gleiche rechtliche Risiko. Software, die das Kerngeschäft des Unternehmens direkt unterstützt, hohe Lizenzgebühren verursacht, von vielen Nutzern verwendet wird, auf Server- und Netzwerkebene repliziert wird oder zur Erbringung von Dienstleistungen für externe Kunden eingesetzt wird, sollte als risikoreicher eingestuft werden. Konkret fallen CAD-, BIM-, ERP-, Buchhaltungs-, Datenbank-, Sicherheits-, Medienproduktions-, Design- und branchenspezifische Unternehmenssoftware in diese Kategorie. Dies liegt daran, dass Lizenzinkompatibilitäten bei diesen Softwareprogrammen die Kostenberechnung gemäß Artikel 68 des türkischen Urheberrechtsgesetzes erhöhen und die Bedeutung der kommerziellen Nutzung gemäß Artikel 71 verstärken können.

Der zweite Hochrisikobereich sind Cracking-Tools oder -Lösungen, die den Lizenzschutz umgehen. Der aktuelle konsolidierte Text im WIPO Lex weist darauf hin, dass Artikel 72 des türkischen Urheberrechtsgesetzes mit seiner Änderung von 2021 die Regelungen zur Umgehung technischer Schutzmaßnahmen aktualisiert hat. Daher schaffen Aktivierungs-Cracking-Tools, Keygen-ähnliche Lösungen oder Installationsmethoden, die die Zugriffskontrolle deaktivieren, eine zusätzliche Ebene, die nicht nur zu einem Lizenzverlust, sondern auch zu Strafen führen kann. Bei Audits sollte daher nicht nur geprüft werden, ob das Programm lizenziert ist, sondern auch, wie es aktiviert wurde.

Was sollte das Unternehmen tun, wenn eine Unstimmigkeit festgestellt wird?

Wenn eine Prüfung Unregelmäßigkeiten aufdeckt, sollte die erste Reaktion des Unternehmens nicht die Vernichtung von Beweismitteln sein. Im Gegenteil: Die aktuelle Situation sollte kontrolliert dokumentiert, Neuinstallationen gestoppt, die Weitergabe von Lizenzschlüsseln beendet und eine Eskalation des Verstoßes verhindert werden. Der Grund dafür ist klar: Artikel 76 des Gesetzes über geistige und künstlerische Werke erlaubt es dem Gericht, die erforderlichen Genehmigungen und Autorisierungsdokumente anzufordern. Werden diese nicht vorgelegt, entsteht die Vermutung einer rechtswidrigen Nutzung. Im Rahmen strafrechtlicher Ermittlungen erlaubt Artikel 134 der Strafprozessordnung die Durchsuchung, das Kopieren und gegebenenfalls die Beschlagnahme von Computern, Programmen und Dateien, sofern ein starker Verdacht aufgrund konkreter Beweise besteht und Beweise nicht anderweitig erlangt werden können. Panikartiges Löschen von Daten kann die Verteidigung des Unternehmens schwächen, anstatt das rechtliche Risiko zu mindern.

Je nach Art des Verstoßes sollte das Unternehmen drei separate Vorgehensweisen entwickeln. Im ersten Fall handelt es sich um eine einfache Lizenzlücke: Das Lizenzmodell ist korrekt, aber die Anzahl der Lizenzen ist unzureichend. Im zweiten Fall wurde der Geltungsbereich überschritten; beispielsweise wurde eine einzelne Lizenz auf viele Nutzer verteilt oder eine Version für Bildungszwecke für die kommerzielle Nutzung freigegeben. Der dritte Fall betrifft offene Piraterie oder einen Verstoß gegen technische Sicherheitsvorkehrungen. Das rechtliche Risiko ist in diesen drei Fällen unterschiedlich. Gemeinsam ist ihnen jedoch die Dokumentation der aktuellen Nutzung, die frühzeitige Einbindung der Rechtsabteilung und die Planung einer Kontaktstrategie mit dem Rechteinhaber, falls erforderlich. Denn laut Ministerium können bei Urheberrechtsverletzungen zivil- oder strafrechtliche Schritte eingeleitet werden, und die Schadensersatzforderungen können bis zum Dreifachen des ursprünglichen Betrags betragen.

Wie kann ein Arbeitgeber Risiken managen, die von Mitarbeitern und Lieferanten ausgehen?

In Unternehmen dienen Softwarelizenzprüfungen nicht nur der Verteidigung gegen externe Rechteinhaber, sondern auch der Ermittlung der internen Verantwortlichkeiten. Wer hat das Programm installiert? Welche Abteilung hat es angefordert? Auf welcher Vertragsbasis erbrachte das externe IT-Unternehmen die Dienstleistung? Hat der Mitarbeiter es über ein privates Konto aktiviert? Hat die Einkaufsabteilung den Lizenztyp falsch interpretiert? All dies muss untersucht werden. Denn Artikel 66 des türkischen Urheberrechtsgesetzes sieht vor, dass bei einer Urheberrechtsverletzung während der Leistungserbringung durch Unternehmensvertreter oder -mitarbeiter eine Klage gegen den Geschäftsinhaber erhoben werden kann, ohne dass ein Verschulden erforderlich ist. Daher bietet die Verteidigung, der Mitarbeiter habe die Software eigenständig installiert oder der Lieferant habe dies getan, keinen automatischen Schutz.

Daher ist die vierte Dimension des Audits die Überarbeitung der internen Richtlinien. Das Unternehmen muss die Softwareinstallationsrechte einschränken, unautorisierte Installationen verhindern, klare Klauseln zur Lizenzkonformität und Haftungsfreistellung in Verträge mit externen IT-Firmen aufnehmen, Mitarbeitern die kommerzielle Nutzung privater Lizenzen untersagen und den Zugang für ausscheidende Mitarbeiter beschränken. Obwohl diese Maßnahmen im Gesetz über geistiges Eigentum und künstlerische Werke nicht explizit erwähnt werden, sind sie angesichts der finanziellen Rechte, der unautorisierten Nutzung und der Beweisführung eine logische und notwendige Konsequenz des betrieblichen Risikomanagements.

Wie sollte man vorgehen, wenn man eine Lieferantenprüfung oder ein Warnschreiben erhält?

In Unternehmen werden Softwarelizenzprüfungen häufig auf eigene Initiative durchgeführt. Manchmal werden sie jedoch aufgrund einer Abmahnung, eines Lieferanten-Audits oder einer Beschwerde des Rechteinhabers verpflichtend. In diesem Fall sollte das Unternehmen zunächst die vom anderen Vertragspartner geltend gemachte Nutzungszahl und den Lizenzumfang mit seinem internen Bestand vergleichen. Sowohl unkritische Akzeptanz als auch kategorische Ablehnung können fehlerhaft sein. In manchen Fällen hat das Unternehmen mit den Rechteinhabern die tatsächliche Nutzung korrekt erfasst; in anderen Fällen wurden die Nutzerzahl, die Version oder die Unternehmensstruktur möglicherweise falsch interpretiert. Eine fundierte Antwort kann erst nach Erstellung eines technischen Berichts und Prüfung des Vertrags gegeben werden. Denn das Urheberrecht eröffnet Rechteinhabern sowohl rechtliche als auch strafrechtliche Möglichkeiten und regelt Handlungen wie unautorisierte Vervielfältigung, Verbreitung und kommerzielle Speicherung streng.

Das Ziel des Unternehmens sollte dabei nicht sein, das Problem zu vertuschen, sondern das rechtliche Risiko zu minimieren. In geeigneten Fällen können Lizenzabwicklung und außergerichtliche Einigung angemessen sein. Bei einer Einigung muss jedoch das Risiko einer Verdreifachung der Kosten, Schadensersatzansprüche und Strafen im Vergleich zum vorherigen Zeitraum berücksichtigt werden. Da die Stellungnahme des Ministeriums klarstellt, dass bei Urheberrechtsverletzungen zivil- oder strafrechtliche Verfahren eingeleitet werden können, sind Verhandlungen mit dem Verkäufer oder Rechteinhaber nicht bloß ein Verhandlungsprozess; es besteht die reale Gefahr eines Rechtsstreits.

Abschluss

In Unternehmen ist die Prüfung von Softwarelizenzen keine optionale IT-Kontrolle mehr, sondern ein Compliance-Mechanismus, der für die Rechtssicherheit des Unternehmens unerlässlich ist. Das türkische Urheberrecht schützt Computerprogramme als Werke; selbst Installation, Ausführung und Speicherung fallen unter das Urheberrecht. Unbefugte Nutzung kann rechtliche und strafrechtliche Risiken bergen. Gerichte können Lizenzdokumente anfordern, und deren Nichtvorlage kann den Verdacht einer unrechtmäßigen Nutzung begründen. In manchen Fällen können auch digitale Ermittlungs- und Beschlagnahmeverfahren eingeleitet werden. Daher sollte ein korrektes Prüfmodell die Bestandsaufnahme, den Abgleich von Lizenzverträgen, die Risikoklassifizierung, das Management von Verstößen, die Überarbeitung interner Richtlinien und gegebenenfalls die Vorbereitung einer Rechtsverteidigung umfassen.

Kurz gesagt, die Frage „Wie wird die Softwarelizenzprüfung in Unternehmen durchgeführt?“ lässt sich nicht in einem einzigen Satz beantworten: Zunächst wird die gesamte Software transparent gemacht, dann wird jede Installation mit einer gültigen Lizenz abgeglichen, anschließend werden Risikobereiche identifiziert, festgestellte Verstöße unter Beweissicherung bearbeitet und schließlich eine Richtlinie zur Software-Compliance eingeführt, um zu verhindern, dass das Unternehmen denselben Fehler erneut begeht. Dieser Prozess mag kurzfristig Zeit in Anspruch nehmen, ist aber langfristig deutlich kostengünstiger als die Risiken nicht lizenzierter Software – die Kosten, Entschädigungen und Strafen wären dreimal so hoch.