Jusletter IT

Im Oktober 2018 publizierte MongoDB, Inc., die sogenannte Server Side Public License (SSPL) und kündigte an, neue Releases ihrer MongoDB-Datenbank künftig unter dieser Lizenz zu veröffentlichen, anstatt wie bisher als Open Source unter der Affero General Public License Version 3 (AGPL).¹ Im Januar 2021 folgte Elasticsearch B.V. mit derselben Ankündigung, neue Releases ihrer Elasticsearch-Software künftig unter der SSPL zu lizenzieren, und nicht mehr wie bisher unter Apache.²

Der Lizenztext der SSPL folgt über weite Strecken der Affero General Public License (AGPL)³, einer Open-Source-Lizenz mit Copyleft, wobei das Copyleft im Gegensatz zu den normalen GPL-Lizenzen auch für die Verwendung der Software «as a Service», d.h. als Clouddienst, greift.

Unterschiede gibt es in Ziffer 13 der Lizenzbestimmungen, bei der das Copyleft erheblich verschärft wurde:

1. Die AGPL verlangt, dass der veränderte Code der lizenzierten Software an Kunden weitergegeben werden muss, sofern die Software «as a Service» zur Verfügung gestellt wird. Demgegenüber verlangt die SSPL, dass nicht nur der Code der lizenzierten Software, sondern der gesamte «Service Source Code» unter der SSPL zum Download angeboten wird. Der «Service Source Code» umfasst dabei den gesamten Software-Stack, der für die Zurverfügungstellung des Service eingesetzt wird, also beispielsweise auch Automatisierungssoftware, Backupsoftware oder Monitoringtools.
2. Die AGPL knüpft die Pflicht zur Weitergabe des Codes der Software an die Modifikation der lizenzierten Software an. Demgegenüber wird man bei der SSPL auch dann zur Weitergabe des Software-Stack verpflichtet, wenn man die Software unmodifiziert einsetzt.

Die SSPL geht damit deutlich über die AGPL hinaus. Problematisch ist insbesondere, dass die Pflicht zur Lizenzierung des Software-Stack in der Praxis kaum zu erfüllen ist, weil niemand über die Rechte am gesamten eingesetzten Software-Stack verfügt. Damit wirkt die SSPL de facto prohibitiv, und viele Lizenznehmer werden gezwungen, vom jeweiligen Lizenzgeber eine kommerzielle Lizenz zu kaufen.

Immerhin kennt die SSPL auch gewisse Einschränkungen. Damit die Pflicht zur Lizenzierung des Software-Stack unter der SSPL entsteht, muss der Lizenznehmer nämlich:

1. Dritten die Interaktion mit der Funktionalität des Programms (oder einer modifizierten Version) über ein Computernetzwerk ermöglichen;
2. Dritten ein Dienst anbieten, dessen Wert sich ganz oder überwiegend aus dem Wert des lizenzierten Programms ergibt; oder
3. Dritten ein Dienst anbieten, der für die Benutzer im Wesentlichen den gleichen Zweck wie jenen des Programms erfüllt.

Damit bleiben all jene Fälle unproblematisch, die gar nicht als Software as a Service zu verstehen sind. Dazu gehören insbesondere Dienstleistungen wie Managed Servers, bei denen die Anbieterin nicht im Wesentlichen den Service (d.h. die Funktionalität der Software) anbietet, sondern Betrieb, Wartung, Setup oder Support für einen Server.

Hinzu kommen jene Fälle, in denen nicht im Wesentlichen die Funktionalität der lizenzierten Software selber angeboten wird. Wer also beispielsweise seiner Wetter-App eine MongoDB-Datenbank zugrunde legt, bietet seinen Kunden nicht die Funktionalität der MongoDB an, und MongoDB ist auch nicht für einen übergeordneten Teil des Wertes der App verantwortlich. Entsprechend bleibt die Nutzung für die Wetter-App frei.

Bietet der Lizenznehmer die Software MongoDB aber seinem Kunden als Service an (dies kann auch im Fall eines «Managed Service» so sein, bei dem der Kunde im Wesentlichen an der Schnittstelle der Software interessiert ist und dies im Vertrag so zum Ausdruck gebracht wird), ist die Lage anders: Die verschärfte Copyleft-Klausel gilt. Hier kann aber evtl. eine genaue vertragliche Leistungsbeschreibung Klarheit schaffen, bei der nicht die angebotene Schnittstelle als Vertragsgegenstand festgelegt wird, sondern die Services, die nötig sind, um die Schnittstelle zur Verfügung zu stellen (Installation, Wartung, etc. der Software).

In den nicht von den Einschränkungen erfassten Fällen hat die Lizenznehmerin die Wahl, mit den noch unter AGPL bzw. Apache stehenden älteren Releases der Software zu arbeiten, sofern vorhanden einen Fork zu nutzen,⁴ oder bei der Rechteinhaberin eine kommerzielle Lizenz einzukaufen und damit deren neues Dual-Licensing⁵ zu akzeptieren.