Zunehmend sind Anwenderunternehmen mit aggressiven Lizenz-Audits durch Vendoren von Standard-Software konfrontiert. Das können SAP, Oracle oder Microsoft sein, die Audits in verschiedenen Formen und Intensitäten verlangen, etwa Selbstauskunft, Remote-Audit, On-Site-Audit oder Mischformen. Etliche Funktionsträger können damit in Berührung kommen, wie
- CIOs
- Lizenzmanager
- IT-Einkäufer
- Juristen
- Compliance Officer
- Finanzmanager und die Geschäftsleitung.
Mit welchem Recht darf der Vendor überhaupt ein Audit verlangen?
Gesetzliche Basis eines Audits
Gesetzliche Bestimmungen bieten sehr selten eine tragfähige Rechtsgrundlage für ein Audit. Zwar können §§ 101, 101a Urheberrechtsgesetz (UrhG) dem Lizenzgeber bestimmte Ansprüche gewähren. Sie beziehen sich auf Auskunft, Vorlage von Unterlagen und Besichtigung von Sachen. Auslöser sind Anzahl oder Schwere von Rechtsverletzungen.
Das kommt jedoch nur in Betracht bei hinreichender Wahrscheinlichkeit einer Rechtsverletzung. Ein verdachtsunabhängiger anlassloser Kontrollanspruch besteht danach nicht. Zudem müssen weitere Voraussetzungen erfüllt sein. Für ein routinemäßiges jährliches Audit, wie Vendoren es üblicherweise handhaben, geben die gesetzlichen Bestimmungen jedenfalls keine Befugnis.
Vertragliche Basis eines Software-Audits
Vertragliche Bestimmungen als Rechtsgrundlage für Routine-Audits finden sich häufig in Gestalt von Audit-Klauseln in den Lizenzverträgen zur Software-Überlassung. Von der Rechtsnatur her sind das regelmäßig Allgemeine Geschäftsbedingungen (AGB). Sie unterliegen – die Geltung deutschen Rechts vorausgesetzt – zwecks Überprüfung ihrer Rechtswirksamkeit der sogenannten AGB-Kontrolle, etwa am Maßstab von § 307 BGB.
Danach können AGB wegen unangemessener Benachteiligung des Vertragspartners unwirksam sein. Etwa wenn sie mit wesentlichen Grundgedanken der gesetzlichen Regelung, von der abgewichen wird, nicht zu vereinbaren sind. Abgewichen wird jedenfalls von den gesetzlichen Grundgedanken aus den o.g. §§ 101, 101a UrhG, die einen verdachtsunabhängigen Kontrollanspruch gerade ausschließen. Die Abweichung vom gesetzlichen Leitbild könnte möglicherweise ein Indiz für die Unwirksamkeit von üblichen Audit-Klauseln sein. Aber auch im Fall ihrer Intransparenz oder ihres überraschenden Charakters können Audit-Klauseln unwirksam sein.
Den verantwortlichen Akteuren sollte bewusst sein, dass die rechtliche Befugnis für ein Audit zweifelhaft sein kann. Selbst dann, wenn der Wortlaut der Klausel im Vertragstext vordergründig für den Vendor zu sprechen scheint. Es ist gut möglich, dass der Vendor trotzdem weder den behaupteten Anspruch auf das Audit selbst hat, noch auf die im Audit Call konkret gewünschten Maßnahmen. So können geforderte Mitwirkungshandlungen des Unternehmens bei Vendor-seitig angesetzten Remote-Audits, bei On-Site-Untersuchungen sowie die ggf. verlangte Informationstiefe über Geschäftsabläufe etc. unrechtmäßig sein.
Fazit
Audit-Klauseln selbst und darauf gestützte Handlungsaufforderungen beruhen nicht immer auf einer rechtmäßigen Basis. Es kann sich für die Akteure im Zweifel lohnen, zwecks sofortiger richtiger Weichenstellung externe Audit-erfahrene Experten zu kontaktieren. Es hat sich für etliche Anwenderunternehmen schon ausgezahlt, auditprotect einzubinden und damit einen deutlichen Benefit zu erzielen, Value-Proposition .