Lizenzaudit-Klauseln im Softwarevertrag: Prüfungsrechte, Datenzugriff und Nachlizenzierung begrenzen

Der Hersteller kündigt eine Lizenzprüfung an und verlangt innerhalb von zehn Werktagen vollständige Nutzungsdaten aus deinem Verzeichnisdienst, der Virtualisierungsumgebung und mehreren SaaS-Mandanten. Gleichzeitig soll ein vom Hersteller beauftragtes Prüfungsunternehmen direkten Fernzugriff erhalten. Spätestens dann zeigt sich, ob der Softwarevertrag klare Grenzen setzt oder ob eine weit formulierte Audit-Klausel erhebliche Kosten, Sicherheitsrisiken und Betriebsunterbrechungen auslöst.

Lizenzprüfungen gehören bei Standardsoftware, Unternehmenssoftware und Cloud-Angeboten zum üblichen Vertragsinstrumentarium. Hersteller wollen nachvollziehen, ob die vereinbarten Metriken eingehalten werden. Das kann etwa Nutzer, Geräte, Prozessoren, Kerne, Instanzen, Transaktionen oder Funktionsmodule betreffen. Für dich ist entscheidend, dass ein Prüfungsrecht nicht zur pauschalen Untersuchung deiner gesamten IT-Landschaft wird.

Gut verhandelte Lizenzaudit-Klauseln schaffen einen fairen Ausgleich: Der Hersteller kann begründete Lizenzabweichungen prüfen. Du behältst jedoch die Kontrolle über Anlass, Ablauf, Datenumfang, Vertraulichkeit, Kosten und Folgen einer festgestellten Unterlizenzierung.

Infografik zu Lizenzaudit-Klauseln im Softwarevertrag: Prüfungsrechte, Datenzugriff und Nachlizenzierung begrenzen (KI-generiert).

Warum Lizenzprüfungen in hybriden Umgebungen schwieriger werden

Früher ließ sich die Nutzung vieler Produkte anhand installierter Software und lokaler Benutzerkonten nachvollziehen. Heute entstehen lizenzrelevante Daten an zahlreichen Stellen:

• in On-Premises-Systemen und virtuellen Umgebungen
• in Public-Cloud-Konten und Container-Plattformen
• in SaaS-Anwendungen mit wechselnden Nutzergruppen
• in Identitäts- und Berechtigungsdiensten
• in Test-, Entwicklungs- und Schulungsumgebungen
• bei verbundenen Unternehmen, externen Dienstleistern und temporären Projektteams

Hinzu kommt, dass Hersteller unterschiedliche Lizenzmetriken verwenden. Eine technische Erfassung beantwortet daher nicht automatisch die rechtliche Frage, ob tatsächlich eine kostenpflichtige Nutzung vorliegt. Ein angelegtes, aber deaktiviertes Konto ist nicht in jedem Modell einem aktiven Nutzer gleichzustellen. Eine installierte Komponente kann ohne Nutzung bleiben. Auch technische Mehrfachinstallationen für Hochverfügbarkeit, Disaster Recovery oder Testzwecke müssen vertraglich und lizenzrechtlich korrekt eingeordnet werden.

Die Grundlagen zu Lizenzmodellen und typischen Risiken erläutern wir in unserem Beitrag „Softwarelizenzen: Modelle und Fallstricke“. Gerade bei komplexen Metriken solltest du die Lizenzdefinition nicht allein aus Preislisten, Bestellformularen oder Herstellerportalen ableiten.

Prüfungsrecht klar eingrenzen

Eine Audit-Klausel sollte nicht lediglich bestimmen, dass der Hersteller „jederzeit“ prüfen darf. Diese Formulierung ist zu unbestimmt und verschiebt die Kontrolle einseitig. Regelungsbedürftig sind insbesondere Anlass, Häufigkeit, Vorankündigung, Prüfungszeitraum und Prüfungsort.

Anlass und Häufigkeit festlegen

Ein jährliches Audit kann bei umfangreichen Lizenzbeständen vertretbar sein. Häufigere Prüfungen sollten nur bei einem konkreten, nachvollziehbar dokumentierten Anlass möglich sein, etwa bei erheblichen Anhaltspunkten für eine Unterlizenzierung. Ein bloßer interner Vertriebsimpuls des Herstellers ist kein sachlicher Anlass.

Vereinbare außerdem, dass ein bereits geprüfter Zeitraum nicht ohne besonderen Grund erneut geprüft wird. Das schützt dich vor wiederholten Untersuchungen derselben Datenbasis und schafft Planungssicherheit.

Angemessene Vorankündigung verlangen

Die Ankündigungsfrist muss lang genug sein, damit du Daten zusammentragen, Zuständigkeiten koordinieren und Sicherheitsvorgaben abstimmen kannst. In der Praxis sollte die Frist in Werktagen eindeutig festgelegt werden. Die Ankündigung muss mindestens enthalten:

• den Prüfungsgegenstand und die betroffenen Produkte
• die behauptete Lizenzmetrik
• den zu prüfenden Zeitraum
• die angeforderten Datenarten und Formate
• die Identität des Prüfers
• den geplanten Prüfungsablauf

Eine pauschale Anforderung wie „sämtliche für das Audit erforderlichen Informationen“ reicht nicht aus. Sie lässt offen, welche Daten tatsächlich benötigt werden, und erschwert eine datenschutzrechtliche sowie informationssicherheitsbezogene Prüfung.

Betriebsablauf schützen

Das Audit darf deine Systeme nicht gefährden oder den Betrieb unverhältnismäßig beeinträchtigen. Lege fest, dass Prüfungen während üblicher Geschäftszeiten stattfinden, rechtzeitig abgestimmt werden und keine produktiven Systeme beeinträchtigen dürfen. Direkter Zugriff auf Systeme sollte nur das letzte Mittel sein.

Vorrangig sollte der Hersteller vorhandene Lizenzberichte, inventarisierte Daten oder von dir erzeugte Auswertungen akzeptieren. Wenn technische Tools eingesetzt werden sollen, müssen diese vorab benannt, geprüft und freigegeben werden. Du solltest insbesondere ausschließen, dass Prüfsoftware unkontrolliert Daten übermittelt, Systeme verändert oder dauerhafte Zugänge einrichtet.

Prüfer, Datenzugriff und Vertraulichkeit absichern

Viele Hersteller beauftragen Wirtschaftsprüfungs- oder Beratungsgesellschaften. Das ist nicht grundsätzlich problematisch, darf aber nicht zu einem unkontrollierten Zugriff Dritter führen. Der Vertrag sollte den Kreis zulässiger Prüfer begrenzen und klare Vertraulichkeitspflichten vorsehen.

Regelungsbereich	Vertragliche Mindestanforderung
Prüfer	Benennung vor Beginn des Audits, fachliche Eignung und Verpflichtung auf Vertraulichkeit
Unabhängigkeit	Kein Prüfer mit unmittelbarem Vertriebsinteresse oder erfolgsabhängiger Vergütung
Datenzugriff	Nur die für die konkrete Lizenzmetrik erforderlichen Daten
Zugang	Kein dauerhafter Fernzugriff, keine allgemeinen Administrationsrechte
Datensicherheit	Sichere Übermittlung, Zugriffsbeschränkung und Löschkonzept
Ergebnis	Vollständiger Prüfbericht mit Datenbasis, Berechnung und Annahmen

Der Hersteller oder sein Prüfer braucht regelmäßig keine Inhaltsdaten aus Fachverfahren, Kundenakten, E-Mails oder Entwicklungsumgebungen. Für eine Lizenzprüfung genügen häufig pseudonymisierte Kennungen, Mengenangaben, Produktversionen, Zeiträume und technische Zuordnungen. Personenbezogene Daten sollten nur verarbeitet werden, wenn sie für die Prüfung wirklich erforderlich sind.

Bei SaaS-Angeboten ist besondere Vorsicht geboten. Der Anbieter verfügt häufig bereits über umfangreiche Telemetrie- und Nutzungsdaten. Die Audit-Klausel sollte ihn nicht zusätzlich berechtigen, Daten aus anderen Systemen oder aus verbundenen Diensten abzurufen. Für Cloud-Verträge mit personenbezogenen Daten ist außerdem die Abstimmung mit Datenschutzregelungen und Auftragsverarbeitungsvereinbarungen wichtig. Mehr dazu findest du in „SaaS-Verträge, AVV und Datenschutz“.

Die Vertraulichkeitsregelung sollte auch die Prüfergebnisse erfassen. Der Hersteller darf Erkenntnisse aus dem Audit nur zur Klärung der konkreten Lizenzkonformität verwenden. Eine Nutzung für Vertrieb, Marketing, Benchmarking oder andere Vertragsverhandlungen sollte ausgeschlossen sein. Nach Abschluss des Audits müssen nicht mehr benötigte Unterlagen zurückgegeben oder gelöscht werden.

Kosten und Ablauf einer Nachlizenzierung fair regeln

Der wirtschaftlich kritischste Teil einer Audit-Klausel ist nicht die Prüfung selbst, sondern die Folge einer behaupteten Unterlizenzierung. Ohne klare Regeln kann der Hersteller rückwirkende Listenpreise, pauschale Aufschläge, zusätzliche Wartungsentgelte oder weitreichende Vertragsstrafen verlangen.

Sinnvoll ist eine abgestufte Regelung. Zunächst muss der Hersteller seine Feststellung transparent belegen. Du brauchst Gelegenheit, den Bericht zu prüfen, Rückfragen zu stellen und technische oder rechtliche Einwände vorzubringen. Gerade bei komplexen Lizenzmetriken sind Fehlzuordnungen, doppelte Zählungen und unberücksichtigte Ausnahmen keine Seltenheit.

Erst wenn eine Unterlizenzierung nachvollziehbar feststeht, sollte eine angemessene Frist zur Nachlizenzierung beginnen. Die Nachlizenzierung muss sich auf die tatsächlich fehlende Menge und den betroffenen Zeitraum beziehen. Eine automatische Verpflichtung zum Kauf größerer Lizenzpakete oder zusätzlicher Produkte ist zu vermeiden.

Achte auf diese Punkte:

• Nachlizenzierung zu den vertraglich vereinbarten oder vergleichbaren Konditionen
• keine Strafaufschläge allein wegen einer festgestellten Unterlizenzierung
• keine rückwirkende Wartung für Lizenzen, die erst im Audit erworben werden
• Kosten des Audits trägt grundsätzlich der Hersteller
• abweichende Kostentragung nur bei erheblichen, eindeutig belegten Abweichungen
• keine Vertragsstrafe neben einer sachgerechten Nachlizenzierung
• keine Kündigung ohne vorherige Klärungs- und Heilungsfrist

Servicegutschriften, Vertragsstrafen und pauschalierte Sanktionen sind rechtlich und wirtschaftlich von einer Nachlizenzierung zu unterscheiden. Wie solche Klauseln ausgewogen gestaltet werden können, behandeln wir in „Vertragsstrafen und Kündigung richtig regeln“.

Lizenzbestand vor dem Audit belastbar organisieren

Eine gute Vertragsklausel ersetzt kein Lizenzmanagement. Wenn ein Audit ansteht, musst du die eigene Nutzung nachvollziehbar darlegen können. Das gelingt am besten, wenn Einkauf, IT-Betrieb, Informationssicherheit, Datenschutz und Rechtsabteilung ihre Informationen zusammenführen.

Checkliste für deine Vorbereitung

• Prüfe, welche Verträge, Bestellungen, Lizenzscheine und Produktbedingungen gelten.
• Halte fest, welche Lizenzmetrik je Produkt maßgeblich ist.
• Dokumentiere Sonderrechte für Test, Entwicklung, Notfallbetrieb und verbundene Unternehmen.
• Vergleiche technische Inventardaten mit den vertraglichen Definitionen.
• Kläre, ob SaaS-Nutzerkonten aktiv, deaktiviert, extern oder privilegiert sind.
• Benenne eine zentrale Stelle für die Kommunikation mit dem Hersteller.
• Gib Daten nur nach abgestimmter Prüfung und dokumentierter Freigabe heraus.
• Sichere den gesamten Schriftwechsel sowie übermittelte Reports und Berechnungen.

Besonders wichtig sind eindeutige Nutzungsrechte. Wenn Begriffe wie „Nutzer“, „Instanz“, „Prozessor“ oder „Unternehmen“ unklar bleiben, entstehen im Audit schnell Auslegungskonflikte. Unser Beitrag „Nutzungsrechte richtig einräumen“ zeigt, welche Festlegungen bereits bei Vertragsschluss getroffen werden sollten.

Audit-Klauseln mit Exit und Wechsel zusammendenken

Eine Lizenzprüfung kann auch kurz vor Vertragsende, bei einer Migration oder nach einer Kündigung relevant werden. Dann besteht das Risiko, dass der Hersteller Druck aufbaut, um Verlängerungen oder teure Zusatzlizenzen durchzusetzen. Begrenze deshalb das Prüfungsrecht zeitlich. Nach Vertragsende sollte ein Audit nur für klar definierte, noch nicht geprüfte Nutzungszeiträume und innerhalb einer angemessenen Frist zulässig sein.

Bei Cloud- und SaaS-Lösungen gehört dazu eine belastbare Exit-Regelung. Sie muss Datenrückgabe, Löschung, Übergangsunterstützung und Nutzungsende sauber voneinander trennen. Hinweise dazu geben wir in „Exit-Strategie und Datenrückgabe beim Cloud-Anbieter“.

Eine faire Lizenzaudit-Klausel ist kein Misstrauensvotum gegen den Hersteller. Sie ist eine notwendige Betriebsregel für den Fall, dass unterschiedliche Datenstände oder Lizenzverständnisse aufeinandertreffen. Wenn Prüfungsumfang, Datengrenzen, Vertraulichkeit, Kosten und Nachlizenzierung vorab eindeutig geregelt sind, lässt sich ein Audit sachlich durchführen, ohne dass daraus ein Sicherheits- oder Beschaffungsproblem wird.

Passende Seminare und Termine zur rechtssicheren Gestaltung von IT-Verträgen findest du bei uns auf cmt.de.