IP-Schutz beim Outsourcing von Softwareentwicklung: Verträge, Zugriff und EU-Datenschutzregeln

Dieser Leitfaden richtet sich an Gründer, CTOs und Einkaufsverantwortliche, die einen Outsourcing-Partner ausgewählt haben oder ihn gerade in der engeren Auswahl prüfen. Unser Leitfaden zur Softwareentwicklung im Outsourcing behandelt Kosten, Anbieterauswahl und Teammodelle; diese Seite geht tiefer auf eine Frage ein: wie der Code, die Designs und die Daten, für die Sie bezahlen, Ihr Eigentum bleiben. Es handelt sich um allgemeine Hinweise, keine Rechtsberatung.

Inhalt dieses Leitfadens

• Drei Arten von geistigem Eigentum in jedem Outsourcing-Projekt
• Vertragsklauseln, die schriftlich festgehalten werden müssen
• Technische Kontrollen, die mehr zählen als jede Klausel
• Personenbezogene Daten: DSGVO-Artikel 28 und Übermittlungen außerhalb der EU
• KI-Coding-Assistenten und geistiges Eigentum
• Alternativen und Auswahlkriterien
• Wie geht Netbase mit geistigem Eigentum um?
• Welche Delivery-Nachweise gibt es – und welche nicht?
• Was sind die Grenzen dieses Leitfadens?
• Häufig gestellte Fragen
• Nächster Schritt

Drei Arten von geistigem Eigentum in jedem Outsourcing-Projekt

Die meisten Streitigkeiten entstehen, weil die Parteien nie klar getrennt haben, was für Sie erstellt wurde und was der Anbieter bereits besaß. Trennen Sie vier Arten von Material, denn jede erfordert eine andere Klausel.

Allein durch Zahlung geht kein Eigentum über. Das US Copyright Office erläutert, dass ein von einem freien Mitarbeiter erstelltes Werk nur in bestimmten aufgeführten Kategorien und mit einer schriftlichen Vereinbarung als "work made for hire" gilt – und Computerprogramme gehören nicht dazu. Außerhalb dieser Regel geht das Urheberrecht eines Auftragnehmers nur durch eine schriftliche Übertragung über. Verlangen Sie daher eine ausdrückliche Abtretung, unabhängig davon, in welchem Land Ihr Anbieter ansässig ist.

Vertragsklauseln, die schriftlich festgehalten werden müssen

• Abtretung der individuellen Arbeit. Alle Rechte am Code, den Designs und der Dokumentation, die für Sie erstellt wurden, werden Ihnen abgetreten – bei Erstellung oder bei jeder Zahlung, nicht erst am Projektende.
• Background-IP-Lizenz. Eine unbefristete, ausreichende Lizenz für alle in Ihr Produkt eingebetteten Anbietermodule, damit Sie das Produkt ohne den Anbieter betreiben, verändern und übergeben können.
• Open-Source-Richtlinie. Welche Lizenzen zulässig sind, wer Ausnahmen genehmigt und eine Komponentenliste, die mit jedem Release geliefert wird.
• Vertraulichkeit. Ein gegenseitiges NDA mit dem Unternehmen sowie die schriftliche Bestätigung, dass alle Mitwirkenden – einschließlich Subunternehmer – daran gebunden sind.
• Weitergabe an Subunternehmer. Dieselben Abtretungs- und Vertraulichkeitsbedingungen gelten für jeden, den der Anbieter hinzuzieht, und Sie genehmigen diese vorab.
• Liefergegenstände. Quellcode, Build-Skripte, Infrastrukturdefinitionen, Übergabe von Zugangsdaten und Dokumentation – nicht nur eine laufende Anwendung.
• Gewährleistung bei Rechtsverletzung. Der Anbieter erklärt, keinen Code Dritter wissentlich kopiert zu haben, und einigt sich darauf, was bei einem Anspruch gilt.
• Exit. Übergabe-Sessions, ein Dokumentationsstandard und eine Kündigungsfrist, damit das Vertragsende das Produkt nicht handlungsunfähig macht.

Ein Quellcode-Treuhandkonto (Source Code Escrow) ist hilfreich, wenn Sie ein Anbieterprodukt lizenzieren und Kontinuität bei einem Ausfall des Anbieters benötigen. Bei individuell erstellter Software, die Ihnen gehört, ersetzt Escrow keine Abtretung plus den Code in Ihrem eigenen Repository.

Personenbezogene Daten: DSGVO-Artikel 28 und Übermittlungen außerhalb der EU

Wenn der Anbieter personenbezogene Daten von Personen in der EU verarbeitet, trifft IP-Schutz auf Datenschutz. Gemäß Artikel 28 der DSGVO darf ein Verantwortlicher nur Auftragsverarbeiter einsetzen, die hinreichende Garantien bieten; die Verarbeitung muss durch einen Vertrag geregelt sein, der unter anderem festlegt, dass der Auftragsverarbeiter nur auf dokumentierte Weisungen handelt, sein Personal zur Vertraulichkeit verpflichtet, angemessene Sicherheit gewährleistet, bei Betroffenenrechten unterstützt, Daten am Ende löscht oder zurückgibt und Prüfungen ermöglicht. Ein Auftragsverarbeiter darf keinen weiteren Auftragsverarbeiter ohne vorherige schriftliche Genehmigung des Verantwortlichen einsetzen, und dieselben Pflichten fließen an diesen weiter. In Deutschland ist dieser Vertrag als AVV (Auftragsverarbeitungsvertrag) nach der DSGVO bekannt. Die Europäische Kommission hat Standardvertragsklauseln für diesen Vertrag zwischen Verantwortlichem und Auftragsverarbeiter veröffentlicht (Durchführungsbeschluss (EU) 2021/915).

Ein Anbieter außerhalb der EU fügt eine zweite Ebene hinzu: Kapitel V der DSGVO über internationale Übermittlungen. Vietnam beispielsweise verfügt über keinen EU-Angemessenheitsbeschluss auf der Liste der Kommission. Übermittlungen dorthin stützen sich in der Regel auf die Standardvertragsklauseln der Kommission für internationale Übermittlungen (Durchführungsbeschluss (EU) 2021/914); die EDPB-Empfehlungen 01/2020 beschreiben, wie ein Exporteur bewertet, ob zusätzliche technische oder organisatorische Maßnahmen erforderlich sind. Zwei praktische Regeln helfen: Halten Sie produktive personenbezogene Daten aus Entwicklungs- und Testumgebungen heraus, und stellen Sie dem Anbieter anonymisierte oder synthetische Daten zur Verfügung, es sei denn, die Aufgabe erfordert echte Datensätze.

Alternativen und Auswahlkriterien

Entscheiden Sie anhand von vier Kriterien: wie zentral der Code für Ihre Wettbewerbsposition ist, wie viele personenbezogene Daten das Team verarbeiten wird, wie schnell Sie Kapazitäten benötigen, und ob Sie das Produkt nach Vertragsende ohne den Anbieter betreiben können. Für den Vertragstyp selbst siehe dediziertes Team vs. Festpreis; für ein langfristiges Team, das Wissen über Jahre intern hält, siehe den KI-first Offshore-Entwicklungszentrum-Leitfaden.

Wie geht Netbase mit geistigem Eigentum um?

Die meisten Netbase-Projekte werden auf Festpreisbasis nach einer Discovery-Phase durchgeführt, und die IP-Bedingungen sind in jedem Modell identisch. Bei der individuellen Entwicklung durch Netbase gehört das für den Kunden erstellte geistige Eigentum dem Kunden; Netbase-produktisierte Module und Business-Division-Produkte werden lizenziert, nicht übertragen. Diese Trennung ermöglicht es einem Kunden, mit wiederverwendbaren Modulen zu starten – etwa über den SaaS-Produkt-Accelerator –, während der Code, der das Produkt einzigartig macht, beim Kunden verbleibt. Wenn Sie ein erstes Produkt in Auftrag geben, zeigt die SaaS-MVP-Architektur- und Delivery-Roadmap, wo diese Module angesiedelt sind.

Netbase-Mitarbeiter arbeiten unter NDA, und NDAs sowie Datenverarbeitungsverträge stehen Kunden auf Anfrage zur Verfügung. Die Sicherheitspraxis umfasst sicheres Code-Review und Versionskontrolle, TLS bei der Übertragung und AES im Ruhezustand, rollenbasierte Zugriffskontrolle, MFA für Admin-Dashboards, Schwachstellen-Scanning und Penetrationstests sowie Disaster Recovery. Netbase ist auf ISO 27001 und SOC 2 Type II ausgerichtet und richtet sich für den Datenschutz in Europa an der DSGVO aus; diese decken die eigenen Betriebsabläufe von Netbase ab, nicht Ihr Produkt oder dessen Hosting. Details finden Sie unter Sicherheit und Compliance und Engagement-Modelle; dedizierte Entwicklungsteams unterliegen denselben Bedingungen.

Welche Delivery-Nachweise gibt es – und welche nicht?

• Was existiert. Seit 2020 ist Netbase als Offshore-Entwicklungs- und Managing-Partner an einer Multi-Tenant-Cloud-ERP-Plattform für einen US-Kunden beteiligt, die als SaaS vertrieben wird. Der öffentliche Nachweis enthält weder den Namen des Kunden noch des Produkts – was die Wahrung der Kundenvertraulichkeit in veröffentlichtem Material zeigt.
• Was nicht existiert. Kein veröffentlichter Netbase-Case-Study nennt seine vertraglichen IP-Klauseln, und Netbase veröffentlicht keine Vertragsvorlagen. Diese Seite erhebt keinen Anspruch auf eine Streithistorie, und der ERP-Nachweis ist kein Beleg für eine bestimmte Klausel.

Was sind die Grenzen dieses Leitfadens?

• Es handelt sich um allgemeine Informationen, keine Rechtsberatung; Urheberrechts-, Arbeits- und Datenschutzregeln unterscheiden sich je nach Land – holen Sie daher vor der Unterzeichnung lokalen Rechtsrat ein.
• Die US-amerikanische Work-for-hire-Regel wird angeführt, um zu zeigen, warum eine schriftliche Abtretung wichtig ist; sie gilt nur nach US-Recht.
• Die EU-Angemessenheitsliste und die Standardvertragsklauseln ändern sich im Laufe der Zeit; prüfen Sie die Kommissionsseiten am Tag der Unterzeichnung.
• Netbase-Bedingungen werden so angegeben, wie Netbase sie veröffentlicht; die Ausrichtungsbeschreibung deckt ausschließlich die eigenen Betriebsabläufe von Netbase ab.

Nächster Schritt

Teilen Sie Ihren Vertragsentwurf oder die Bedingungen Ihres Anbieters mit uns, und wir werden einen Solution-Review buchen, um die Eigentumsaufteilung, das Zugriffsmodell und die Datenschutzbedingungen vor der Unterzeichnung zu prüfen. Sie können auch weitere Netbase-Insights durchstöbern.

Verwandte Leistungen und Lösungen