datenschutz-dsgvo-im-lizenzvertrag

Datenschutz — DSGVO im Lizenzvertrag

Wann DSGVO einschlaegig?

Konstellation	DSGVO-relevant
Lizenz Software, die personenbezogene Daten verarbeitet	ja (AVV Art. 28 DSGVO)
Lizenz Datenbank mit personenbezogenen Daten	ja (Datentransfer)
Lizenz KI-Modell, trainiert mit personenbezogenen Daten	mittel - Trainingsdaten-Schutz, ggf. Modellausgaben
Lizenz Marke + Kundendaten	wie Marken-Lizenz mit Datenuebermittlung im Asset Deal
Reine Patent-Lizenz ohne Datenfluss	nein
Reine Marken-Lizenz ohne Datenfluss	nein

Drei Rollenkonstellationen

A. Verantwortlicher / Auftragsverarbeiter (Art. 28 DSGVO)

Lizenzgeber liefert Software/SaaS; Lizenznehmer ist Verantwortlicher; Lizenzgeber Auftragsverarbeiter. → Pflicht-AVV nach Art. 28 III DSGVO.

B. Joint Controllership (Art. 26 DSGVO)

Beide Parteien bestimmen gemeinsam Zweck und Mittel der Verarbeitung; typisch bei Cross-License/Forschungspartnerschaft. → Vereinbarung mit Verantwortlichkeitsabgrenzung.

C. Eigenstaendige Verantwortliche

Lizenz uebertraegt Daten von Lizenzgeber an Lizenznehmer (z. B. Kundenstamm-Lizenz); jeder ist eigenstaendiger Verantwortlicher. → Rechtsgrundlage Art. 6 I lit. f DSGVO + Information Art. 14 DSGVO (siehe ChainCortex-Testakte zu EuGH C-732/22 Bonprix).

Drittlands-Uebermittlung Art. 44 ff. DSGVO

Bei Datenuebermittlung in Drittlaender:

1. Angemessenheitsbeschluss (z. B. EU-USA Data Privacy Framework seit 2023)
2. Standard Contractual Clauses (SCCs) - neue Version 2021/914
3. Binding Corporate Rules
4. Ad-hoc-Klauseln

→ Nach Schrems II (EuGH C-311/18): Transfer Impact Assessment (TIA) bei jedem Drittlandstransfer Pflicht.

Klausel-Bausteine

A. Auftragsverarbeitung-Klausel:

"$ 18 Datenschutz. (1) Soweit der Lizenzgeber im Rahmen dieses Vertrages personenbezogene Daten des Lizenznehmers im Auftrag verarbeitet, schliessen die Parteien einen Auftragsverarbeitungsvertrag (AVV) gem. Art. 28 DSGVO ab (Anlage D). (2) Der Lizenzgeber verpflichtet sich, technische und organisatorische Maßnahmen nach Art. 32 DSGVO einzuhalten. (3) Der Lizenzgeber wird bei Anfragen von Aufsichtsbehoerden oder bei Datenpannen den Lizenznehmer unverzueglich informieren."

B. Drittlandstransfer:

"(4) Eine Uebermittlung personenbezogener Daten in Drittlaender erfolgt nur auf der Grundlage eines Angemessenheitsbeschlusses, der Standard-Vertragsklauseln (SCC 2021/914) oder anderer geeigneter Garantien nach Art. 46 DSGVO."

C. Joint Controllership:

"Sofern die Parteien gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden, gilt zwischen ihnen die in Anlage E beigefuegte Joint-Controllership-Vereinbarung gem. Art. 26 DSGVO."

D. Bei Kunden-Daten-Lizenz (z. B. CRM-Daten als Asset):

"Die Uebermittlung personenbezogener Daten von Endkunden des Lizenzgebers an den Lizenznehmer erfolgt auf Grundlage des berechtigten Interesses (Art. 6 I lit. f DSGVO). Die Endkunden werden gem. Art. 14 DSGVO informiert; ihnen wird eine 30-Tage-Widerspruchsfrist eingeraeumt. Bei Widerspruch werden die jeweiligen Datensaetze binnen 7 Werktagen vom Lizenznehmer geloescht."

Anschluss

• Kunden-Daten-Behandlung im Asset Deal: siehe testakten/insolvenz-asset-deal-chaincortex-ai-berlin/07_kundendaten-dsgvo-analyse.md
• EuGH C-732/22 (Bonprix) - live verifizieren auf curia.europa.eu