Nutzungs- vs. berechtigungsbasierte User-Lizenz-Vergabe

Die Lizenzierung ist entweder nutzungs- oder berechtigungsbasiert. Dr. Jana Jentzsch und Guido Schneider versuchen, die Hintergründe in einem Fachgespräch zu beleuchten und sich Lösungen zu nähern. Im Laufe der S/4-Lizenzberatung haben Jana Jentzsch und Guido Schneider festgestellt, dass mehr und mehr SAP-Bestandskunden glauben, dass die Vergabe der entsprechenden S/4-Hana-User-Lizenzen auf Basis der vorhandenen SAP-Berechtigungsrollen erfolgen muss. Diese Annahme teilen mittlerweile auch Mitarbeiter der SAP selbst und andere SAP-Lizenzexperten, welche hierzu entsprechende Artikel auch im E3-Magazin veröffentlicht haben.

Auf der anderen Seite gibt es Mitglieder in der SAP-Community, welche der Ansicht sind, dass sowohl bei SAP R/3, ERP/ECC 6.0 als auch bei S/4 Hana die Basis für die Vergabe der User-Lizenzen die tatsächliche Nutzung sei, z. B. das Ausführen einer Transaktion.

Die finanzielle Auswirkung kann erheblich sein.  Sollte eine Person mehr Berechtigungen haben, als sie tatsächlich nutzt, dann müsste man ihr gegebenenfalls einen teureren User-Lizenz-Typ zuweisen (berechtigungsbasiert), als sie möglicherweise nutzt (nutzungsbasiert). Daher ist es Zeit zu klären, ob es diesen vermeintlichen Wandel in der Basis der Lizenzierung tatsächlich gegeben hat. 

Guido Schneider, Software License Compliance 365 (SLC365):

Um diese Frage zu klären, habe ich mir die SAP-Preis- und -Konditionenliste, PKL, 2023/4, Fassung Oktober 2023, genauer angesehen. Die Entwicklerlizenz, S/4 Hana Developer Access, habe ich dabei außen vor gelassen. Die ECC-Professional-User-
Lizenz entspricht unter S/4 weitgehend der „SAP S/4HANA Enterprise Management for Professional Use“-Lizenz. Wem dieser Lizenztyp zugewiesen worden ist, der darf das S/4-System entsprechend der in der PKL enthaltenen Definition nutzen und damit insbesondere alle operativen, Systemverwaltungs- und Management-Rollen ausführen.

In S/4 Hana existieren neben der weitreichenden Professional-Use-Lizenz noch die folgenden zwei Lizenztypen: SAP S/4HANA Enterprise Management for Productivity Use – kostet etwa ein Zehntel der Professional-Use-Lizenz; und SAP S/4HANA Enterprise Management for Functional Use – kostet etwa ein Drittel der Professional-Use-Lizenz; wobei die Productivity-Use- in der Functional-Use-Lizenz enthalten ist.

Auszug aus der PKL vom Oktober 2023, Seite 46: „2.6. S/4HANA Enterprise Management for Productivity Use: Die Nutzung ist Einzelpersonen, die Mitarbeiter des Auftraggebers sind, erlaubt. Sie sind zum Ausführen der folgenden Lösungsfunktionen berechtigt: [gefolgt von einer Auslistung von Lösungsfunktionen sowie ‚Display Use Rights‘ und ‚Approval Use Rights‘].“

Mit Nutzung ist die Zuweisung des Lizenztyps zu einer Einzelperson gemeint, nicht die Nutzung der Lösungsfunktion. Bei der Definition der Functional-Use-Lizenz steht dieser Satz auch (unter b), wird aber noch auf die Mitarbeiter der Geschäftspartner erweitert (unter a). Es wird also in der PKL an dieser Stelle geklärt, welcher Einzelperson man diesen Lizenztyp grundsätzlich zuweisen kann. „Sie ist zum Ausführen der folgenden Lösungsfunktionen berechtigt“ oder mit anderen Worten: Die Einzelperson, welcher dieser Lizenztyp, hier S/4HANA Enterprise Management for Productivity Use, zugeordnet worden ist, darf die aufgelisteten Lösungsfunktionen ausführen und nur diese.

Das Gleiche steht entsprechend bei der Definition der Functional-Use-Lizenz. Die Einschränkung besteht also darin, dass die Einzelperson nur die aufgelisteten Lösungsfunktionen ausführen darf. Sollte die Einzelperson andere Lösungsfunktionen ausführen, ist gleich nutzen, dann darf die Zuweisung dieses Lizenztyps nicht erfolgen.

Hier steht nicht, dass man die zugewiesenen SAP-Berechtigungsrollen so anpassen muss, dass sie nur die aufgelisteten Lösungsfunktionen enthalten dürfen. Vom sogenannten SAP-Berechtigungskonzept, wie wir es aus der SAP-Basis kennen, steht hier und an keiner anderen Stelle in der PKL irgendetwas. Für mich ist die Frage damit allein eindeutig geklärt, die Basis der User-Lizenz-Vergabe ist, laut PKL der SAP, eindeutig nutzungsbasiert. Wie sehen Sie das als Juristin?

Dr. Jana Jentzsch, Jentzsch IT Rechtsanwaltsgesellschaft:

SAP als Hersteller ist grundsätzlich Inhaber der Urheberrechte an der Software. Auf Basis und im Rahmen des Urheberrechts kann SAP grundsätzlich vertraglich regeln, ob und in welchem Umfang dem Kunden Nutzungsrechte an der Software eingeräumt werden.

Im Urheberrechtsgesetz vorgesehene spezifische Rechte der Kunden, wie z. B. das Recht zur bestimmungsgemäßen Nutzung nach § 69d UrhG, müssen gewahrt bleiben. Grundsätzlich spricht aus urheberrechtlicher Sicht aber nichts gegen eine berechtigungsbasierte Lizenzierung und dementsprechend auch Vermessung, die sich an den im System vergebenen Berechtigungen orientiert. Dies muss sich jedoch in der vertraglichen Einräumung der Nutzungsrechte widerspiegeln. Wenn man in die entsprechenden Klauseln der Verträge, PKL und AGB blickt, habe ich erhebliche Zweifel, dass hier ein berechtigungsbasiertes Konzept rechtssicher etabliert wurde. Es spricht hier durchaus einiges für die Auslegung zugunsten eines nutzungsbasierten Konzepts.

Guido Schneider:

Bei der technischen SAP-Systemvermessung, USMM, werden die zugewiesenen SAP-Berechtigungsrollen der einzelnen Personen nicht dahingehend überprüft, ob sie den Definitionen der drei oben beschriebenen User-Lizenz-Typen entsprechen. SAP-Kunden könnten die Berechnung der benötigten User-Lizenz auf Basis der zu jeder einzelnen SAP-Berechtigungsrolle zugewiesenen Lizenzkategorie, Lizenztyp, durchführen lassen.

Dazu muss der Entwickler, der die SAP-Berechtigungsrollen baut, manuell an jede SAP-Berechtigungsrolle den entsprechenden Lizenztyp schreiben. Die USMM baut daraus die entsprechende User-Lizenz pro SAP-Account. Diese Methode gab es bereits zu Zeiten von R/3, ECC 6.0, und es gibt sie auch weiterhin bei S/4 Hana. Alternativ kann der SAP-User-Verwalter den benötigten User-Lizenz-Typ direkt manuell, z. B. über die Transaktion SU01, dem jeweiligen Account zuweisen. Bei beiden Methoden ist es dem SAP-Kunden überlassen, wie er – entweder die SAP-Berechtigungsrollen oder die einzelnen SAP-Accounts – klassifiziert.

Wobei die Methoden nicht gleichzeitig angewendet werden können. Die SAP-Account-Klassifizierung ist führend, unabhängig, welche Lizenztypen möglicherweise den SAP-Berechtigungsrollen zuvor zugewiesen worden sind.

Ich weiß, dass dies in erster Linie eine technische Frage ist, aber besteht aus juristischer Sicht irgendein Zusammenhang zwischen der SAP-Systemvermessung und der Frage, aus welcher Basis die SAP-User-Lizenz-Zuordnung (Klassifizierung) – nutzungs- oder berechtigungsbasiert – zu erfolgen hat?

Jana Jentzsch:

Im Rahmen der SAP-Systemvermessung wird überprüft, ob der Kunde die lizenzierte SAP-Software vertragsgemäß nutzt oder ob er den vertraglich lizenzierten Umfang gegebenenfalls überschreitet. Maßgeblich hierfür sind die Bestimmungen der Verträge und natürlich auch das geltende Datenschutzrecht, welches durch eine Systemvermessung nicht verletzt werden darf. Die Verarbeitung personenbezogener Daten einschließlich des Zugriffs auf diese Daten durch SAP für Zwecke der Systemvermessung müsste beispielsweise durch Individualvereinbarungen abgedeckt werden. Die Vornahme einer nutzungs- oder berechtigungsbasierten User-Klassifizierung wäre nur von Bedeutung, wenn sie vertraglich geregelt wäre.

Sollten in den SAP-Standardbedingungen unklare oder widersprüchliche Regelungen enthalten sein, dürfen die Kunden die Regelungen auf Basis des AGB-Rechts grundsätzlich so auslegen, wie es für sie günstiger ist.

Guido Schneider:

Ich hatte diese Frage auch gestellt, weil SAP mit dem STAR-Service, S/4HANA Trusted Authorization Review Service, eine Art Hilfestellung bei der SAP-User-Lizenz-Zuordnung anbietet. Die SAP hat ein Tool, Object Analyzer, entwickelt, welches die bestehenden Berechtigungen mit den neuen S/4-Typen über ein Standardregelwerk abgleicht. Diese Methode kann mittlerweile auch von SAP-Bestandskunden selbst, ohne die Zusammenarbeit mit der SAP, durchgeführt werden. Das Ergebnis kann im Anschluss genutzt werden, die oben beschriebenen SAP-Berechtigungsrollen automatisiert zu klassifizieren. Die USMM baut dann die benötigte SAP-User-Lizenz pro SAP-Account zusammen.

Die Anwendung, STAR, ist eine Hilfe, um z. B. den Entwicklern die Arbeit der manuellen SAP-Berechtigungsrollen-Klassifizierung zu ersparen oder den zukünftigen S/4-User-Lizenz-Bedarf abzuschätzen. Gibt es an irgendeiner Stelle in den SAP-Verträgen, AGB oder PKL einen Hinweis darauf, dass dieser STAR-Service verpflichtend einzusetzen ist? Mir ist keiner bekannt.

Jana Jentzsch:

In unserer bisherigen Beratung ist mir eine solche Regelung nicht bekannt geworden. Im Übrigen können im Rahmen solcher Services nicht nur einzelne Fehler passieren, sondern die gesamte Klassifizierung erfolgt gegebenenfalls gar nicht auf Basis dessen, was vertraglich vereinbart ist. Insbesondere wenn viele Verträge aus verschiedenen Jahren existieren, darf nicht nur nach der jüngsten PKL und Metriken vermessen werden, sondern es sind stets die jeweiligen im konkreten Vertrag maßgeblichen Regelungen zu berücksichtigen. Die Kunden sollten darauf achten, durch pauschale Zuordnungen, die gar nicht ihren Verträgen entsprechen, nicht benachteiligt zu werden.

Guido Schneider:

Bei Rise with SAP S/4 Hana, S/4 in der Cloud, ist SAP den Kunden einen Schritt bei der User-Lizenzierung entgegengekommen. Die Lizenzverwaltung wird dadurch erleichtert. Anstatt genaue Anzahlen von bestimmten User-Lizenz-Typen zu kaufen, können SAP-Kunden sogenannte FUEs, Full Use Equivalents, erwerben. Beispiel: RISE with SAP S/4HANA Cloud, Public Edition, Premium. Diese FUEs können für die Abdeckung des User-Lizenz-Bedarfs verwendet werden, wobei man noch zwischen der Public Edition und Public Cloud unterscheiden muss – sie haben unterschiedliche Feature Scope Descriptions.

Wie bisher auch dürfen Personen auf bestimmte Lösungsfunktionen (nun) des Rise with S/4 Hana Cloud Service zugreifen.

SAP-Kunden können jede FUE einem der Nutzungspakete zuordnen und die Zuordnung während der Vertragslaufzeit ändern. Hat sich aus Sicht der Rechtsexpertin dadurch etwas an der Basis für die SAP-User-Lizenz-Vergabe geändert?

Jana Jentzsch:

Auch bei Rise with SAP S/4 Hana Cloud muss sich SAP fragen, ob ein rein berechtigungsbasiertes Konzept in den Verträgen klar umgesetzt wurde. Wenn ich die Maßstäbe des deutschen Rechts anlege, insbesondere des im B2B-Bereich geltenden AGB-Rechts, habe ich hier erhebliche Zweifel.

Fazit

Die SAP-Verträge, AGB und PKL regeln die Frage, ob die User-Lizenz-Vergabe nutzungsbasiert oder berechtigungsbasiert erfolgen soll, nicht eindeutig. Ein entsprechendes Gerichtsurteil liegt hierzu nicht vor. Nach geltendem AGB-Recht dürfen unklare oder widersprüchliche Regelungen nicht zum Nachteil der Kunden ausgelegt werden. Bei der Migration von ECC 6.0 zu S/4 Hana sollten, unserer Meinung nach, SAP-Kunden die Chance nutzen, bestehende und ggf. veraltete Berechtigungskonzepte zu überprüfen und an die tatsächliche bzw. zukünftige S/4-Nutzung anzupassen. Auf diese Weise kann je nach Einzelfall das Risiko der potenziell teuren berechtigungsbasierten User-Lizenz-Vergabe deutlich reduziert werden.

Redaktioneller Hinweis: Die allgemeine Schreibregel des E3-Magazins orientiert sich an der Richtlinie „Wir schreiben, wie wir reden“. Somit ist für E3 der Name der SAP-Datenbank folgerichtig Hana. Um jedoch eine größtmögliche Korrektheit bezüglich der Lizenzbezeichnungen und Typen zu gewährleisten, wurde in diesem Text die jeweilige Schreibweise aus der SAP-PKL, Preis- und Konditionenliste, übernommen.

jentzsch-it.de

slc365.com