Freie und quelloffene Software
"Open Source ist ausgenommen" stimmt nur zur Hälfte. Wer damit Geld verdient, ist Hersteller wie jeder andere. Und wer Open-Source-Komponenten einbaut, trägt dafür die Sorgfaltspflicht.
Freie und quelloffene Software (Free and Open Source Software, FOSS) ist Software, deren Quellcode offen geteilt wird und die unter einer kostenlosen Lizenz jedem erlaubt, sie zu nutzen, zu verändern und weiterzuverteilen. Sie fällt nur dann unter den CRA, wenn sie im Rahmen einer gewerblichen Tätigkeit bereitgestellt wird.
Definition in der Verordnung
Artikel 3 Nummer 48 definiert den Begriff über offenen Quellcode und eine freie Open-Source-Lizenz mit allen Rechten. Nach Artikel 3 Nummer 22 und Erwägungsgrund 15 setzt die Bereitstellung auf dem Markt eine Geschäftstätigkeit voraus; Indizien sind ein Preis für das Produkt, Entgelt für Support über die Kostendeckung hinaus, Gewinnerzielungsabsicht oder die Verarbeitung personenbezogener Daten als Nutzungsbedingung. Erwägungsgrund 18 stellt klar, dass nicht monetarisierte Software keine Geschäftstätigkeit ist und dass finanzielle Unterstützung durch Hersteller, regelmäßige Releases oder Entwicklung durch gemeinnützige Organisationen sie nicht gewerblich machen. Nach Erwägungsgrund 20 ist die Bereitstellung in Paketverwaltungen oder auf Entwicklungsplattformen kein Inverkehrbringen.
Für juristische Personen, die solche Software dauerhaft für kommerzielle Zwecke betreuen, schafft Artikel 24 die Rolle des Verwalters quelloffener Software mit reduzierten Pflichten; nach Artikel 64 Absatz 10 drohen ihnen keine Bußgelder.
Was das für Hersteller bedeutet
Drei Fälle: Ein Projekt ohne Geschäft, auch mit Spendenlink, bleibt außerhalb. Eine Stiftung oder ein Verein, der ein Framework pflegt, das Hersteller einbauen und finanzieren, ist Steward. Eine GmbH, die eine Enterprise-Edition gegen Lizenzgebühr anbietet, ist für diese Edition Hersteller mit allen Pflichten. Für den Mittelstand wichtiger: Jeder Hersteller nutzt Open-Source-Komponenten. Artikel 13 Absatz 5 verlangt dafür Sorgfalt, ausdrücklich auch bei nicht gewerblicher Software; Artikel 13 Absatz 6 verpflichtet, gefundene Schwachstellen dem Projekt zu melden und eigene Fixes zurückzugeben.
Verwandte Begriffe
- Verwalter quelloffener Software (Open-Source-Steward)
- Gewerbliche Tätigkeit
- Sorgfaltspflicht für Drittkomponenten
- Bereitstellung auf dem Markt