Schutz von geistigem Eigentum beim Outsourcing von Softwareentwicklung: Verträge, Zugriffskontrolle und EU-Datenschutzregeln

Dieser Leitfaden richtet sich an Gründer, CTOs und Beschaffungsverantwortliche, die bereits einen Outsourcing-Partner gewählt haben oder noch in der Auswahl sind. Unser Leitfaden zur Softwareentwicklung im Outsourcing behandelt Kosten, Anbieterauswahl und Teammodelle; diese Seite geht tiefer auf eine Frage ein: wie der Code, die Designs und die Daten, die Sie bezahlen, Ihr Eigentum bleiben. Dies ist eine allgemeine Orientierung, keine Rechtsberatung.

In diesem Leitfaden

• Drei Arten von geistigem Eigentum in jedem ausgelagerten Projekt
• Vertragsklauseln, die schriftlich festzuhalten sind
• Technische Kontrollen, die wichtiger sind als jede Klausel
• Personenbezogene Daten: DSGVO-Artikel 28 und Übermittlungen außerhalb der EU
• KI-Coding-Assistenten und geistiges Eigentum
• Alternativen und Auswahlkriterien
• Wie Netbase mit geistigem Eigentum umgeht
• Was an Liefernachweisen existiert und was nicht
• Grenzen dieses Leitfadens
• Häufig gestellte Fragen
• Nächster Schritt

Drei Arten von geistigem Eigentum in jedem ausgelagerten Projekt

Die meisten Streitigkeiten entstehen, weil die Parteien nie getrennt haben, was für Sie erstellt wurde und was dem Anbieter bereits gehörte. Trennen Sie vier Arten von Material, da jede eine eigene Klausel erfordert.

Eine Zahlung allein überträgt kein Eigentum. Das US Copyright Office erläutert, dass ein Werk, das von einem freien Mitarbeiter erstellt wurde, nur in aufgeführten Kategorien und mit einer schriftlichen Vereinbarung ein "work made for hire" ist, und Computerprogramme gehören nicht zu diesen Kategorien. Außerhalb dieser Regelung geht das Urheberrecht eines Auftragnehmers nur durch eine schriftliche Übertragung über; fordern Sie daher eine ausdrückliche Abtretung, unabhängig davon, in welchem Land sich Ihr Anbieter befindet.

Vertragsklauseln, die schriftlich festzuhalten sind

• Abtretung individueller Arbeitsergebnisse. Alle Rechte am Code, den Designs und der für Sie erstellten Dokumentation werden Ihnen übertragen – bei Erstellung oder bei jeder Zahlung, nicht erst am Ende des Projekts.
• Background-IP-Lizenz. Eine unbefristete, ausreichende Lizenz für jedes im Produkt eingebettete Anbietermodul, damit Sie das Produkt ohne den Anbieter betreiben, ändern und weitergeben können.
• Open-Source-Richtlinie. Welche Lizenzen zulässig sind, wer Ausnahmen genehmigt und eine Komponentenliste, die mit jeder Version geliefert wird.
• Vertraulichkeit. Ein gegenseitiger NDA mit dem Unternehmen sowie eine schriftliche Bestätigung, dass jeder Mitwirkende, einschließlich Subunternehmern, daran gebunden ist.
• Weitergabe an Subunternehmer. Dieselben Abtretungs- und Vertraulichkeitsbedingungen binden alle vom Anbieter hinzugezogenen Personen, und Sie genehmigen diese vorab.
• Liefergegenstände. Quellcode, Build-Skripte, Infrastrukturdefinitionen, Übergabe von Zugangsdaten und Dokumentation – nicht nur eine laufende Anwendung.
• Gewährleistung bei Rechtsverletzungen. Der Anbieter erklärt, dass er wissentlich keinen Code Dritter kopiert hat, und stimmt zu, was bei einem Anspruch geschieht.
• Vertragsende. Übergabesitzungen, ein Dokumentationsstandard und eine Kündigungsfrist, damit das Produkt nach Vertragsende nicht ohne Unterstützung dasteht.

Source-Code-Escrow ist hilfreich, wenn Sie ein Produkt eines Anbieters lizenzieren und Kontinuität benötigen, falls der Anbieter ausfällt. Für individuell entwickelte Werke, die Ihnen gehören, ersetzt Escrow nicht die Abtretung plus den Code in Ihrem eigenen Repository.

Personenbezogene Daten: DSGVO-Artikel 28 und Übermittlungen außerhalb der EU

Wenn der Anbieter personenbezogene Daten von Personen in der EU berührt, trifft IP-Schutz auf Datenschutz. Gemäß Artikel 28 der DSGVO darf ein Verantwortlicher nur Auftragsverarbeiter einsetzen, die hinreichende Garantien bieten, und die Verarbeitung muss durch einen Vertrag geregelt sein, der unter anderem festlegt, dass der Auftragsverarbeiter nur auf dokumentierte Anweisungen handelt, seine Mitarbeiter zur Vertraulichkeit verpflichtet, angemessene Sicherheit anwendet, bei Betroffenenrechten unterstützt, Daten am Ende löscht oder zurückgibt und Audits ermöglicht. Ein Auftragsverarbeiter darf keinen weiteren Auftragsverarbeiter ohne vorherige schriftliche Genehmigung des Verantwortlichen beauftragen, und dieselben Pflichten fließen an diesen weiter. In Deutschland ist dieser Vertrag als AVV (Auftragsverarbeitungsvertrag) bekannt. Die Europäische Kommission hat Standardvertragsklauseln für diesen Verantwortlicher-Auftragsverarbeiter-Vertrag veröffentlicht (Durchführungsbeschluss (EU) 2021/915).

Ein Anbieter außerhalb der EU fügt eine zweite Ebene hinzu: Kapitel V der DSGVO zu internationalen Datenübermittlungen. Vietnam beispielsweise verfügt über keinen Angemessenheitsbeschluss der Kommission. Übermittlungen dorthin stützen sich in der Regel auf die Standardvertragsklauseln der Kommission für internationale Übermittlungen (Durchführungsbeschluss (EU) 2021/914), und die EDPB-Empfehlungen 01/2020 beschreiben, wie ein Exporteur bewertet, ob zusätzliche technische oder organisatorische Maßnahmen erforderlich sind. Zwei praktische Regeln helfen: Halten Sie produktive personenbezogene Daten aus Entwicklungs- und Testumgebungen heraus, und geben Sie dem Anbieter anonymisierte oder synthetische Daten, sofern die Aufgabe nicht wirklich echte Datensätze erfordert.

Alternativen und Auswahlkriterien

Wählen Sie anhand von vier Kriterien: wie zentral der Code für Ihre Wettbewerbsposition ist, wie viele personenbezogene Daten das Team verarbeiten wird, wie schnell Sie Kapazität benötigen und ob Sie das Produkt nach Vertragsende ohne den Anbieter betreiben können. Für den Vertragstyp selbst, siehe dediziertes Team vs. Festpreis; für ein langfristiges Team, das Wissen über Jahre intern hält, siehe den Leitfaden zum KI-first Offshore-Entwicklungszentrum.

Wie Netbase mit geistigem Eigentum umgeht

Die meisten Netbase-Projekte werden auf Festpreisverträgen abgewickelt, die nach der Discovery-Phase vereinbart werden, und die IP-Bedingungen sind in jedem Modell gleich. In der individuellen Entwicklung bei Netbase gehört dem Kunden das für ihn erstellte geistige Eigentum; Netbase-Produktmodule und Business-Division-Produkte werden lizenziert, nicht übertragen. Diese Trennung ermöglicht es einem Kunden, mit wiederverwendbaren Modulen zu starten – zum Beispiel über den SaaS-Produkt-Accelerator –, während der Code, der das Produkt zu seinem macht, sein Eigentum bleibt. Wenn Sie ein erstes Produkt in Auftrag geben, zeigt die SaaS-MVP-Architektur und Lieferroadmap, wo diese Module angesiedelt sind.

Netbase-Mitarbeiter arbeiten unter NDA, und NDAs sowie Datenverarbeitungsverträge stehen Kunden auf Anfrage zur Verfügung. Die Sicherheitspraxis umfasst sicheres Code-Review und Versionskontrolle, TLS in der Übertragung und AES im Ruhezustand, rollenbasierte Zugriffskontrolle, MFA für Admin-Dashboards, Schwachstellen-Scanning und Penetrationstests sowie Disaster Recovery. Netbase ist nach ISO 27001 zertifiziert und verfügt über eine SOC 2 Type II-Bestätigung und richtet sich für den Datenschutz in Europa nach der DSGVO; diese decken die eigenen Abläufe von Netbase ab, nicht Ihr Produkt oder dessen Hosting. Details finden Sie unter Sicherheit und Compliance und Engagement-Modelle, und dedizierte Entwicklungsteams laufen unter denselben Bedingungen.

Was an Liefernachweisen existiert und was nicht

• Was existiert. Seit 2020 arbeitet Netbase als Offshore-Entwicklungs- und Managing-Partner an einer mandantenfähigen Cloud-ERP-Plattform für einen US-Kunden, die als SaaS vertrieben wird. Der öffentliche Nachweis enthält den Namen des Kunden und des Produkts nicht, was die in veröffentlichten Materialien gewährte Kundenvertraulichkeit zeigt.
• Was nicht existiert. Kein veröffentlichter Netbase-Case-Study enthält die vertraglichen IP-Klauseln, und Netbase veröffentlicht keine Vertragsvorlagen. Diese Seite macht keine Aussagen zur Streitgeschichte, und der ERP-Nachweis ist kein Beleg für eine bestimmte Klausel.

Grenzen dieses Leitfadens

• Es handelt sich um allgemeine Informationen, keine Rechtsberatung; Urheberrecht, Arbeitsrecht und Datenschutzvorschriften unterscheiden sich je nach Land, holen Sie daher vor der Unterzeichnung lokale Rechtsberatung ein.
• Die US-Regelung zum Work for Hire wird genannt, um zu zeigen, warum eine schriftliche Abtretung wichtig ist; sie gilt nur für US-Recht.
• Die EU-Angemessenheitsliste und die Standardvertragsklauseln ändern sich im Laufe der Zeit; prüfen Sie die Kommissionsseiten am Tag der Unterzeichnung.
• Netbase-Bedingungen werden so angegeben, wie Netbase sie veröffentlicht; der Zertifizierungswortlaut gilt nur für die eigenen Abläufe von Netbase.

Nächster Schritt

Teilen Sie Ihren Vertragsentwurf oder die Bedingungen Ihres Anbieters mit uns, und wir vereinbaren eine Solution Review, um die Eigentumsaufteilung, das Zugriffsmodell und die Datenbedingungen vor der Unterzeichnung zu prüfen. Sie können auch weitere Netbase Insights durchstöbern.

Verwandte Leistungen und Lösungen