Open Source und der CRA

Maßgeblich ist, ob die Software im Rahmen einer Geschäftstätigkeit bereitgestellt wird. Der Preis ist dabei nicht entscheidend: Auch kostenlos abgegebene Software kann kommerziell bereitgestellt sein, und umgekehrt macht eine Spendenschaltfläche ein Projekt nicht zum Unternehmen.

Der Grund für die Ausnahme liegt auf der Hand: Die Verordnung will nicht, dass jemand, der ein Werkzeug in seiner Freizeit schreibt und ins Netz stellt, die Pflichten eines Herstellers trägt. Sie will aber verhindern, dass ein Unternehmen diese Ausnahme benutzt, indem es sein Produkt quelloffen nennt.

Die Verordnung kennt eine eigene Rolle für Stiftungen, Vereine und Unternehmen, die die Entwicklung quelloffener Software dauerhaft und in geschäftlicher Absicht unterstützen, ohne sie selbst als Produkt in Verkehr zu bringen. Für sie gelten abgeschwächte Anforderungen.

Die volle Meldepflicht des Artikels 14, wie sie den Hersteller trifft, gehört nicht dazu. Praktisch wichtig ist trotzdem ein erreichbarer Weg: Hersteller, die diese Software einsetzen, müssen im Ernstfall jemanden erreichen können, und zwar innerhalb von Stunden.

Meldepflichtig ist der Hersteller des Produkts, in dem die Komponente steckt. Dass ein anderer den Fehler gemacht hat, verschiebt die Pflicht nicht. Das ist keine Härte, sondern die Kehrseite der Entscheidung, eine fremde Komponente einzubauen.

Für die Praxis heißt das zweierlei. Erstens: Wer quelloffene Komponenten einsetzt, braucht eine Stückliste, sonst dauert allein die Frage, ob man betroffen ist, länger als 72 Stunden. Zweitens: Wer eine Komponente einsetzt, deren Projekt auf einen einzelnen Menschen mit einem Postfach hinausläuft, sollte das als eigenes Risiko führen.