Lizenzen bei Open-Source-Shops: Was Erweiterungen bedeuten

Ein Shopsystem besteht aus dem Kern, einem Theme und mehreren Erweiterungen, und jeder Teil kann unter einer anderen Lizenz stehen. Solange Sie den Shop nur selbst betreiben und nichts weitergeben, spielt das kaum eine Rolle. Sobald Code das Haus verlässt — an einen Kunden, eine Agentur, einen neuen Betreiber —, entscheidet die Lizenz des jeweiligen Bausteins, unter welchen Bedingungen das geschieht. Die Lizenz ist ein Vertragstext, kein nationales Gesetz: In Deutschland, Österreich und der Schweiz gelten dieselben Dokumente.

Drei Prüfstellen: Lizenzdatei, Dateikopf und Paketangaben

Die Lizenz steht an drei Stellen: in der Datei mit dem Lizenztext, im Kopf der Quelldateien und in den Angaben des Pakets. Die GPL empfiehlt in ihrem Anhang, die Hinweise an den Anfang jeder Quelldatei zu setzen; die MIT-Lizenz verlangt, dass Copyright- und Erlaubnishinweis in allen Kopien und wesentlichen Teilen bleiben.

Auch der Kurzname ist zu grob: „GPLv2“ und „GPLv2 oder jede spätere Fassung“ sind zwei verschiedene Erlaubnisse (SPDX-Kennungen GPL-2.0-only und GPL-2.0-or-later). Ein Projekt kann einen Kern unter GPLv2, ein Theme unter eigener Lizenz und Erweiterungen unter MIT führen.

Was Sie im eigenen Shop ändern dürfen

Die Lizenz regelt das Vervielfältigen, Verbreiten und Bearbeiten; das Ausführen des Programms ist nach der GPLv2 nicht beschränkt (Ziffer 0).

• Deutschland: § 69d Abs. 1 UrhG erlaubt Vervielfältigung und Bearbeitung, soweit sie für eine bestimmungsgemäße Benutzung einschließlich der Fehlerberichtigung notwendig sind — und nur, soweit keine besonderen vertraglichen Bestimmungen vorliegen. Eine Sicherungskopie darf Ihnen nicht vertraglich untersagt werden, wenn Sie zur Benutzung des Programms berechtigt sind und sie für die Sicherung der künftigen Benutzung erforderlich ist (§ 69d Abs. 2 UrhG).
• Österreich: § 40d Abs. 2 UrhG erlaubt Vervielfältigung und Bearbeitung für die bestimmungsgemäße Benutzung, samt Anpassung an die eigenen Bedürfnisse; darauf können Sie nicht wirksam verzichten, Vereinbarungen über den Umfang der bestimmungsgemäßen Benutzung bleiben aber zulässig (§ 40d Abs. 4 UrhG).
• Schweiz: Das URG (Stand 1. Juli 2025) nennt für Programme die Sicherungskopie für Nutzungsberechtigte (Art. 24 Abs. 2, nicht vertraglich abdingbar) und die Entschlüsselung für Schnittstelleninformationen (Art. 21); der Eigengebrauch nach Art. 19 gilt für Programme nicht (Art. 19 Abs. 4). Eine dem § 69d UrhG oder § 40d UrhG vergleichbare Schranke für das Anpassen haben wir im geöffneten Gesetzestext nicht gefunden; dort stützt sich das Anpassen auf Lizenz oder Vertrag.

Ein Theme besteht nicht nur aus Programmcode: Für Bilder, Texte und Layoutvorlagen, die keine Computerprogramme sind, greifen die Schranken für Computerprogramme nicht; dort entscheiden Lizenz und Vertrag.

Für Programme aus dem Arbeitsverhältnis gilt in allen drei Ländern: Das Arbeitsverhältnis allein genügt nicht. In Deutschland darf der Arbeitgeber ein Programm ausüben, das der Arbeitnehmer in Wahrnehmung seiner Aufgaben oder nach den Anweisungen des Arbeitgebers geschaffen hat, sofern nichts anderes vereinbart ist (§ 69b Abs. 1 UrhG); in Österreich steht dem Dienstgeber das unbeschränkte Werknutzungsrecht an einem Programm zu, das der Dienstnehmer in Erfüllung seiner dienstlichen Obliegenheiten geschaffen hat, wenn nichts anderes vereinbart ist (§ 40b UrhG); in der Schweiz muss das Programm in Ausübung der dienstlichen Tätigkeit und in Erfüllung vertraglicher Pflichten entstanden sein, dann ist der Arbeitgeber allein zur Ausübung der ausschließlichen Verwendungsbefugnisse berechtigt (Art. 17 URG). Für den Anschluss an fremde Programmteile ist eng begrenzt erlaubt, den Code zu vervielfältigen oder zu übersetzen, um die für die Interoperabilität notwendigen Informationen zu gewinnen (§ 69e UrhG, § 40e UrhG); die Schweiz regelt dasselbe für die Entschlüsselung des Programmcodes (Art. 21 URG).

Die Lizenzübersicht für Theme, Erweiterung und eigenen Code

Die Tabelle ordnet jedem Baustein zu, was der eigene Betrieb erlaubt und was beim Weitergeben gilt. „Weitergeben“ meint jede Handlung, die andere in die Lage versetzt, Kopien zu erhalten (GPLv3 Ziffer 0).

Baustein	Eigener Betrieb (keine Weitergabe)	Weitergeben an Dritte	Worauf es ankommt
Theme (Vorlage)	Anpassen in Deutschland nach § 69d Abs. 1 UrhG nur, soweit es für eine bestimmungsgemäße Benutzung einschließlich Fehlerberichtigung notwendig ist und keine besonderen vertraglichen Bestimmungen entgegenstehen; in Österreich nach § 40d Abs. 2 UrhG, soweit es für die bestimmungsgemäße Benutzung notwendig ist — auf dieses Recht kann nicht verzichtet werden, zulässig bleiben nur Vereinbarungen über den Umfang der bestimmungsgemäßen Nutzung (§ 40d Abs. 4 UrhG); in der Schweiz nach Lizenz oder Vertrag. Keine Pflicht, die Änderung zu zeigen	Bringt das Theme keine eigene Lizenz mit und ist es ein abgeleitetes Werk des Kerns, gilt dessen Copyleft-Lizenz: gleiche Lizenz, Quellcode nach den Wegen der Ziffer 6, Änderungsvermerk (GPLv2 Ziffer 2 Buchst. b, GPLv3 Ziffern 5 und 6)	Ein Theme darf eine eigene Lizenz haben; dann zählt deren Text. Bilder und Vorlagen sind kein Programmcode, § 69d UrhG greift für sie nicht
Erweiterung (Plugin, Modul)	Zulässig; die GPL bindet nur das Weitergeben (GPLv3 Ziffer 2)	Fremder Baustein unter GPL: gleiche Lizenz, Quellcode nach den Wegen der Ziffer 6, bei geänderter Fassung zusätzlich der Änderungsvermerk mit Datum (GPLv3 Ziffer 5); unter MIT müssen Copyright- und Erlaubnishinweis in den Kopien und wesentlichen Teilen bleiben	Bei einer eigenen Erweiterung entscheidet, ob sie ein abgeleitetes Werk des Kerns oder ein eigenständiges Programm ist
Eigener Code (Anpassungen, Zusatzprogramm)	Zulässig, solange nichts das Haus verlässt	Ist er ein abgeleitetes Werk des Kerns, muss die weitergegebene Fassung unter dessen Lizenz stehen, mit Quellcode bei Objektcode (GPLv3 Ziffern 5 und 6); bei einem Kern unter MIT können Sie ihn geschlossen halten	Halten Sie fest, welche Datei von wem stammt. Ein Änderungsvermerk mit Datum ist nur für weitergegebene geänderte Fassungen unter GPLv2 oder GPLv3 Pflicht (GPLv2 Ziffer 2 Buchst. a, GPLv3 Ziffer 5 Buchst. a), nicht für eigenständigen eigenen Code oder MIT-Anpassungen

Für Kerne unter AGPL oder OSL 3.0 gilt die Spalte „Eigener Betrieb“ nur eingeschränkt: Dort löst schon die Bereitstellung über das Netz Pflichten aus (siehe unten).

Wenn Sie Code weitergeben

Sobald Sie eine Kopie überlassen, greifen die Bedingungen: Hinweise und Lizenztext bleiben bei der Software (GPLv3 Ziffer 4), eine geänderte Fassung trägt einen Vermerk über die Änderung mit Datum und wird als Ganzes unter dieselbe Lizenz gestellt (Ziffer 5). Bei Objektcode muss der zugehörige Quellcode auf einem der Wege der Ziffer 6 erreichbar sein, und der Weg hängt davon ab, wie Sie weitergeben: Liegt der Objektcode in einem physischen Produkt oder auf einem Datenträger, können Sie die Quelle beilegen (Buchstabe a) oder schriftlich anbieten, die Quelle auf einem dauerhaften Datenträger oder über einen Netzzugang zu überlassen; dieses Angebot muss mindestens drei Jahre gelten und so lange, wie Sie Ersatzteile oder Kundendienst für das Produktmodell anbieten (Buchstabe b). Stellen Sie das Paket zum Herunterladen bereit, müssen Sie an derselben Stelle auch den Quellcode zum Herunterladen anbieten (Buchstabe d). Wer den Shop dagegen nur selbst laufen lässt und nichts weitergibt, muss keine Kopie herausgeben — solange die Lizenz des Kerns keine Netzklausel enthält.

Zwei Lizenzen greifen früher als die GPL. Die AGPL verlangt, dass eine geänderte Fassung allen Nutzern, die über ein Netz mit ihr interagieren, den zugehörigen Quellcode anbietet (Ziffer 13); das trifft Betreiber mit Anpassungen an einem so lizenzierten Shop auch ohne Weitergabe an Kunden. Die OSL 3.0 behandelt schon die Bereitstellung für Dritte, auch als Anwendung über ein Netz, als Verbreitung (Ziffer 5) und verlangt für weitergegebene Kopien dieselbe Lizenz (Ziffer 1 Buchst. c).

Welche Lizenzen sich kombinieren lassen

Die zweite Frage ist die Mischung: Darf Code der einen Lizenz in ein Werk unter einer anderen Lizenz eingebaut werden? Die Übersicht gibt wieder, was die Lizenztexte und die Lizenzgeber selbst dazu sagen.

Baustein unter …	In ein Werk unter GPLv3 einbinden	In ein Werk unter GPLv2 (nur Fassung 2) einbinden	Bemerkung
MIT	ja	ja	Ohne Gebühr erlaubt; Copyright- und Erlaubnishinweis bleiben in den Kopien und wesentlichen Teilen
Apache-2.0	ja	nein	Mit der GPLv2 hat die Free Software Foundation Apache-2.0 nach Angabe des Apache-Projekts nie als vereinbar angesehen
GPLv2 (nur Fassung 2)	nein	ja	Ohne „oder jede spätere Fassung“ fehlt die Wahlmöglichkeit der GPLv3 (Ziffer 14); GPLv2 Ziffer 2 Buchst. b verlangt das Gesamtwerk unter ihr
GPLv3	ja	nein	Die Fassung 3 lässt sich nicht auf die Fassung 2 zurückstufen
AGPLv3	ja	nein	Die AGPL erlaubt in Ziffer 13 das Verbinden mit GPLv3-Code; die Netzklausel der AGPL gilt dann für den kombinierten Teil
Eigener geschlossener Code	nur, wenn kein abgeleitetes Werk	nur, wenn kein abgeleitetes Werk	Eigenständige Programme bleiben außerhalb des Copyleft (GPLv2 Ziffer 2, GPLv3 Ziffer 5, jew. letzter Absatz); dem Apache-Projekt zufolge gilt den GPL-Autoren schon das Verbinden als abgeleitetes Werk

Ob ein Baustein im Streitfall ein abgeleitetes Werk ist, entscheidet das Urheberrecht des Landes, in dem Sie handeln, nicht die Lizenz; die Übersicht ist eine Prüfhilfe.

Ein Beispiel mit erfundenen Zahlen

Beispiel mit erfundenen Zahlen: ein Kern unter GPLv3, ein Theme, drei Erweiterungen, eine eigene Anpassung. Sie sehen je Baustein an drei Stellen nach — Lizenzdatei, Kopf der Quelldateien, Paketangaben. Angenommen, eine Prüfung dauert 20 Minuten, dann sind das 6 × 20 = 120 Minuten einmalig, also zwei Stunden.

Finden Sie eine Erweiterung unter „GPLv2“ ohne die Erlaubnis für eine spätere Fassung, ist die Kombination mit dem GPLv3-Kern nicht möglich: Sie brauchen eine Fassung der Erweiterung, die „oder jede spätere Fassung“ erlaubt, oder einen Kern unter der GPLv2.

Typische Fehler

• Nur den Projektnamen prüfen: Der Kern kann unter GPL stehen, das Theme unter einer eigenen Lizenz.
• „GPLv2“ mit „GPLv2 oder später“ verwechseln: Nur die zweite Erlaubnis öffnet den Weg auf die GPLv3 (Ziffer 14).
• Die eigene Erweiterung für eigenständig halten, obwohl sie Datenstrukturen und Vorlagen des Kerns nutzt: Diese Einordnung ist eine Urheberrechtsfrage.
• Bei Objektcode den Quellcode vergessen: Ein kompiliertes Paket erfüllt die GPLv3 nur, wenn Empfänger die Quelle auf einem der Wege der Ziffer 6 erhalten können. Der schriftliche Weg (Buchstabe b) verlangt ein Angebot, das mindestens drei Jahre gilt und so lange wie Ersatzteile oder Kundendienst für das Produktmodell, und setzt ein physisches Produkt oder einen Datenträger voraus; wer zum Herunterladen bereitstellt, muss die Quelle an derselben Stelle ebenfalls zum Herunterladen anbieten (Buchstabe d).
• Netzbetrieb und Weitergabe gleichsetzen: Wer nichts weitergibt, hat keine Quellcode-Pflicht (GPLv3 Ziffer 2) — außer bei einer geänderten AGPL-Fassung im Netz.
• Die Lizenz nach dem Update nicht neu prüfen: Ein Baustein kann mit einer neuen Version unter eine andere Lizenz geraten.

So gehen Sie vor

1. Legen Sie ein Verzeichnis aller Bausteine an: Kern, Theme, jede Erweiterung, eigene Anpassung — mit Version und Quelle.
2. Notieren Sie je Baustein die Fundstelle der Lizenz und den genauen Namen samt Versionserlaubnis („nur Fassung 2“ oder „oder später“).
3. Prüfen Sie je Zusatzbaustein, ob er ein abgeleitetes Werk des Kerns ist; im Zweifel holen Sie die Einordnung ein.
4. Gehen Sie die Kombinationsübersicht Zeile für Zeile durch und notieren Sie Konflikte, bevor Sie weitergeben.
5. Legen Sie vor jeder Weitergabe fest, wie Empfänger den Quellcode nach GPLv3 Ziffer 6 erhalten — beigelegt, per schriftlichem Angebot unter den Voraussetzungen des Buchstaben b oder zum Herunterladen an derselben Stelle nach Buchstabe d — und ob ein Änderungsvermerk nötig ist.
6. Wiederholen Sie die Prüfung nach jedem Update; welche Updates anstehen, ordnet Update-Politik und Versionen ein. Wer die Wartung abgibt, nimmt die Lizenzliste in den Vertrag auf. Was ein eigener Betrieb sonst bedeutet, steht in Open-Source-Shopsystem: Möglichkeiten, Aufwand, Grenzen.