Klotzkette Datenschutz — DSGVO im Lizenzvertrag
Wann DSGVO einschlaegig?
| Konstellation | DSGVO-relevant |
|---|---|
| Lizenz Software, die personenbezogene Daten verarbeitet | ja (AVV Art. 28 DSGVO) |
| Lizenz Datenbank mit personenbezogenen Daten | ja (Datentransfer) |
| Lizenz KI-Modell, trainiert mit personenbezogenen Daten | mittel - Trainingsdaten-Schutz, ggf. Modellausgaben |
| Lizenz Marke + Kundendaten | wie Marken-Lizenz mit Datenuebermittlung im Asset Deal |
| Reine Patent-Lizenz ohne Datenfluss | nein |
| Reine Marken-Lizenz ohne Datenfluss | nein |
Drei Rollenkonstellationen
A. Verantwortlicher / Auftragsverarbeiter (Art. 28 DSGVO)
Lizenzgeber liefert Software/SaaS; Lizenznehmer ist Verantwortlicher; Lizenzgeber Auftragsverarbeiter. → Pflicht-AVV nach Art. 28 III DSGVO.
B. Joint Controllership (Art. 26 DSGVO)
Beide Parteien bestimmen gemeinsam Zweck und Mittel der Verarbeitung; typisch bei Cross-License/Forschungspartnerschaft. → Vereinbarung mit Verantwortlichkeitsabgrenzung.
C. Eigenstaendige Verantwortliche
Überträgt eine Lizenzgestaltung Daten vom Lizenzgeber an den Lizenznehmer, ist die Verantwortlichkeit beider Seiten getrennt zu bestimmen. Artikel 6 Absatz 1 Buchstabe f DSGVO verlangt ein rechtmäßiges Interesse, Erforderlichkeit einschließlich Datenminimierung und eine konkrete Interessenabwägung; Artikel 14 DSGVO ist gesondert zu prüfen. EuGH, Urteil vom 04.10.2024 - C-621/22 (KNLTB) dient nur als Anker dafür, dass ein kommerzielles Interesse grundsätzlich berechtigt sein kann.
Drittlands-Uebermittlung Art. 44 ff. DSGVO
Bei Datenuebermittlung in Drittlaender:
- Angemessenheitsbeschluss (z. B. EU-USA Data Privacy Framework seit 2023)
- Standard Contractual Clauses (SCCs) - neue Version 2021/914
- Binding Corporate Rules
- Ad-hoc-Klauseln
→ Nach Schrems II (EuGH C-311/18): Transfer Impact Assessment (TIA) bei jedem Drittlandstransfer Pflicht.
Klausel-Bausteine
A. Auftragsverarbeitung-Klausel:
"Paragraf 18 Datenschutz. (1) Soweit der Lizenzgeber im Rahmen dieses Vertrages personenbezogene Daten des Lizenznehmers im Auftrag verarbeitet, schliessen die Parteien einen Auftragsverarbeitungsvertrag (AVV) gem. Art. 28 DSGVO ab (Anlage D). (2) Der Lizenzgeber verpflichtet sich, technische und organisatorische Maßnahmen nach Art. 32 DSGVO einzuhalten. (3) Der Lizenzgeber wird bei Anfragen von Aufsichtsbehoerden oder bei Datenpannen den Lizenznehmer unverzueglich informieren."
B. Drittlandstransfer:
"(4) Eine Uebermittlung personenbezogener Daten in Drittlaender erfolgt nur auf der Grundlage eines Angemessenheitsbeschlusses, der Standard-Vertragsklauseln (SCC 2021/914) oder anderer geeigneter Garantien nach Art. 46 DSGVO."
C. Joint Controllership:
"Sofern die Parteien gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden, gilt zwischen ihnen die in Anlage E beigefuegte Joint-Controllership-Vereinbarung gem. Art. 26 DSGVO."
D. Bei Kunden-Daten-Lizenz (z. B. CRM-Daten als Asset):
"Die Uebermittlung personenbezogener Daten von Endkunden des Lizenzgebers an den Lizenznehmer erfolgt auf Grundlage des berechtigten Interesses (Art. 6 I lit. f DSGVO). Die Endkunden werden gem. Art. 14 DSGVO informiert; ihnen wird eine 30-Tage-Widerspruchsfrist eingeraeumt. Bei Widerspruch werden die jeweiligen Datensaetze binnen 7 Werktagen vom Lizenznehmer geloescht."
Anschluss
- Kunden-Daten-Behandlung im Asset Deal: siehe
testakten/insolvenz-asset-deal-chaincortex-ai-berlin/07_kundendaten-dsgvo-analyse.md - EuGH, Urteil vom 04.10.2024 - C-621/22 (KNLTB) - vor Zitierung im Volltext auf
curia.europa.euverifizieren; die Entscheidung ersetzt weder Erforderlichkeits- noch Abwägungsprüfung.