EULA-Checks: Mit Experten auf Nummer sicher
Jenny Brunner-Öztürk, Senior Manager & Service Design Lead EULA Services bei SoftwareOne, zeigt, warum KI bei der Prüfung von Lizenzbedingungen zwar unterstützen, menschliche Expertise aber nicht ersetzen kann. Gerade bei Cloud-Diensten, Datenschutz und regulatorischen Anforderungen können übersehene Klauseln erhebliche Risiken für Unternehmen mit sich bringen.
Auch Software mit geringem Beschaffungsvolumen kann erheblichen Prüfaufwand verursachen. Fehlt ein individuell ausgehandelter Rahmenvertrag, bilden in der Regel die standardisierten Endbenutzer-Lizenzvereinbarungen des Herstellers (EULAs) die Grundlage der Nutzung. Sie zu sichten und mit den Anforderungen des Unternehmens abzugleichen, bindet Ressourcen. Teilweise widmen Beschäftigte 90 Prozent ihrer Zeit Herstellern, auf die nur 10 Prozent der Software-Ausgaben entfallen. Naheliegend wirkt daher der Gedanke, diese Arbeit einer KI zu überlassen.
Wer Bedingungen ungelesen akzeptiert, riskiert Verstöße gegen Compliance-Vorgaben, Mehrkosten und Einschränkungen im Betrieb. Beschränkt ein Hersteller beispielsweise die Nutzungsrechte auf ein einziges Land und greifen Mitarbeiter von Auslandsstandorten zu, können bei einem Audit Geldbußen und Nachlizenzierung anfallen. Offen sein kann auch, wem Unternehmensdaten und Arbeitsergebnisse gehören, ob der Vertrag sich selbsttätig verlängert und ob der Hersteller die Bedingungen einseitig ändern darf.
Was eine KI übersehen kann
Ein LLM wertet Texte schneller aus als jeder Mensch. Verlässlichkeit und Konsistenz folgen daraus nicht automatisch. Praxistests zeigen: Dieselbe EULA, dreimal mit demselben Tool und denselben Fragen ausgewertet, führt mitunter zu drei verschiedenen Reports. Unternehmen müssen mit Halluzinationen, falsch gedeuteten Klauseln und übersehenen Zusammenhängen rechnen. Dabei präsentieren die Tools auch unvollständige oder fehlerhafte Resultate meist mit großer Überzeugung.
Welche Tragweite ein solcher Fehler haben kann, zeigt die DSGVO. Übersieht die KI eine Klausel, die Subprozessoren die Verarbeitung personenbezogener Daten in Drittländern ohne ausreichende Schutzmaßnahmen gestattet, könnten rechtswidrige Übermittlungen unentdeckt bleiben. Bei solchen Verstößen drohen Geldbußen von bis zu vier Prozent des weltweiten Vorjahresumsatzes oder 20 Millionen Euro.
Ein Praxisbeispiel: Bei einem EULA-Check entdeckten Consultants die Klausel „Pay with your Data“. Wer die Software nutzte, hätte damit eingewilligt, dass Subprozessoren seine Daten in Staaten verarbeiten, die kein angemessenes Datenschutzniveau bieten und grundlegende Menschenrechtsstandards nicht gewährleisten. Eine menschliche Fachkraft deckte das Risiko rechtzeitig auf. Das Unternehmen brach die Beschaffung ab und nahm die Software nie in Betrieb.
Die Prüfung verlangt, Risiken einzuordnen und für Entscheider transparent aufzubereiten. Dabei erschließen sich Risiken häufig erst im Zusammenspiel mehrerer Klauseln. Viele EULAs bestehen aus mehreren Dokumenten, und eine Regelung im ersten kann ein späteres Dokument ergänzen, ändern oder aufheben. Derzeit gelingt es KI-Tools nach unserer Erfahrung noch nicht zuverlässig, solche Zusammenhänge und Vertragshierarchien abzubilden. Gleichzeitig werden EULAs durch Cloud- und KI-Angebote komplexer. Neben klassischen Lizenzbedingungen regeln sie zunehmend Themen wie Verfügbarkeit, Support und Subprozessoren sowie den Umgang mit Daten und KI-generiertem Output. Damit entstehen neue Fragen, etwa welche Rechte an KI-generierten Inhalten bestehen und welche Nutzungsmöglichkeiten vertraglich vorgesehen sind.
Auch harmlos wirkende Bedingungen verdienen Aufmerksamkeit. Viele Hersteller behalten sich vor, Namen und Logos ihrer Kunden für Marketing-Zwecke zu nutzen. Gerät der Anbieter wegen Verstößen gegen Umweltauflagen oder Menschenrechte in die Schlagzeilen, kann der Reputationsschaden auf Kunden abfärben, die mit ihm in Verbindung stehen.
Verträge im Wandel
Bei Cloud Services ändern sich die Lizenzbedingungen dynamisch. Viele EULAs räumen dem Anbieter das Recht ein, sie jederzeit einseitig zu ändern. Oft erscheinen die Änderungen nur auf der Website des Herstellers, ohne dass er die Kunden gesondert informiert. Eine weitere Nutzung der Anwendung wird dabei als Zustimmung zu den geänderten Bedingungen gewertet. Eine einmalige Prüfung vor Abschluss oder Verlängerung genügt damit nicht mehr. Unternehmen sollten ihre EULAs vielmehr fortlaufend beobachten. Externe Spezialisten können die Änderungen nachvollziehbar dokumentieren und für die Fachbereiche aufbereiten.
Für Unternehmen der Finanzbranche kommt zusätzlich der Digital Operational Resilience Act (DORA) hinzu. Artikel 30 benennt Mindestanforderungen, die mit IKT-Drittdienstleistern verbindlich festzulegen sind, darunter Service-Level-Agreements samt messbaren Kennzahlen und Kündigungsrechte. Für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, kommen weitere Anforderungen wie eine Exit-Strategie sowie Audit- und Zugangsrechte hinzu. Viele Hersteller haben ihre EULAs bisher nicht vollständig an diese Anforderungen angepasst. Betroffene Unternehmen sollten die Klauseln daher prüfen und bei Bedarf Nachbesserungen beim Anbieter anstoßen.
Verhandlungsspielraum nutzen
Finden sich Risiken in den Bedingungen, lohnt der Versuch einer Verhandlung. Hersteller zeigen sich oft bereit, Klauseln anzupassen, abzuschwächen oder zu streichen. Eine Regelung zur einseitigen Vertragsänderung lässt sich im günstigen Fall so fassen, dass sie nur mit ausdrücklicher Zustimmung des Kunden wirkt. Erfahrene Consultants wissen, welche Anpassungen in der Praxis denkbar sind, und können bei der Abstimmung mit den Herstellern unterstützen. Scheitern die Gespräche und bleibt ein hohes Risiko bestehen, entscheiden der Einkauf und die Fachbereiche über Abbruch oder Alternative.
Welche Risiken ins Gewicht fallen, hängt stark von den Anforderungen des Unternehmens ab. Eine regionale Nutzungsbeschränkung kann für ein global aufgestelltes Unternehmen untragbar sein. Für einen Mittelständler, der nur in Österreich tätig ist, spielt dieselbe Klausel womöglich keine Rolle. Individuelle Anforderungen und Showstopper sollten daher bereits vor der Prüfung definiert werden.
Fachberatung gezielt einbinden
Lizenzbedingungen zu prüfen, verlangt Fachwissen, Sorgfalt und ein Verständnis für die individuellen Anforderungen des Unternehmens. Letzteres können KI-Tools nicht leisten, ebenso wenig die Abstimmung mit Stakeholdern oder die Unterstützung von Verhandlungen. Ihren Mehrwert entfalten sie vor allem als Werkzeug in einem kontrollierten Prüfablauf unter Aufsicht von Experten, vor allem bei der Textanalyse und der strukturierten Vorprüfung. Wer die Prüfung auslagern will, sollte einen Dienstleister mit langjähriger Erfahrung wählen, der individuelle Anforderungen aufnimmt. Bietet ein Anbieter zugleich Software-Verkauf und EULA-Check an, kann er die Prüfergebnisse mit dem Angebot liefern. Die EULA-Prüfung wird so nicht zum separaten, nachgelagerten Prozess, sondern zum integrierten Bestandteil der Softwarebeschaffung.
Gastbeitrag von Jenny Brunner-Öztürk
Kommentare