Symfony-Projektübernahme mit NDA: Wie der Wechsel zu einem Solo-Freelancer sicher abläuft

Ein fremder Entwickler soll Ihren Code sehen

Wenn ein Symfony-Projekt den Betreuer wechselt, kommt irgendwann der Moment, in dem jemand Externes Zugriff auf alles bekommt: Quellcode, Server, Datenbank, Zugangsdaten zu Drittdiensten. Viele Verantwortliche haben dabei ein ungutes Gefühl, auch wenn sie es selten aussprechen. Der Code ist über Jahre gewachsen, enthält Geschäftslogik, die kein Wettbewerber sehen soll, und vielleicht auch Stellen, die man ungern zeigt.

Dieses Gefühl ist berechtigt und lässt sich gut auflösen. In meinen Übernahmeprojekten steht am Anfang fast immer dieselbe Reihenfolge: erst die Geheimhaltung regeln, dann Zugänge erfassen, dann den Code prüfen. Dieser Artikel zeigt, warum diese Reihenfolge sinnvoll ist und worauf Sie bei der NDA achten sollten, bevor der erste Zugang rausgeht.

Die Ausgangslage: Was das Gesetz unter einem Geschäftsgeheimnis versteht

Seit dem 26. April 2019 gilt in Deutschland das Geschäftsgeheimnisgesetz (GeschGehG). Nach § 2 Nr. 1 ist eine Information nur dann ein Geschäftsgeheimnis, wenn sie nicht allgemein bekannt ist, deshalb wirtschaftlichen Wert hat und Gegenstand angemessener Geheimhaltungsmaßnahmen ist. Zusätzlich muss ein berechtigtes Interesse an der Geheimhaltung bestehen.

Quellcode gilt in der juristischen Fachliteratur als typisches Beispiel für ein Geschäftsgeheimnis. Entscheidend ist der dritte Punkt der Definition: Der Schutz entsteht nicht automatisch. Wer seinen Code ohne angemessene Maßnahmen an Dritte weitergibt, riskiert, dass er im Streitfall gar nicht als Geschäftsgeheimnis gilt. Dann greifen auch die Schutzvorschriften des Gesetzes nicht, einschließlich der Strafnorm in § 23 GeschGehG. Eine Geheimhaltungsvereinbarung ist eine der naheliegendsten dieser Maßnahmen.

Ein Hinweis zur Einordnung: Dieser Artikel ersetzt keine Rechtsberatung. Für die konkrete Vertragsgestaltung sollten Sie eine Anwältin oder einen Anwalt hinzuziehen.

Optionen: Wie Sie die Geheimhaltung regeln können

Für die Absicherung vor einer Code-Übergabe gibt es im Kern drei Wege.

Muster-NDA aus dem Netz. Schnell verfügbar und ohne Kosten. Das Problem: Muster sind oft so allgemein formuliert, dass unklar bleibt, was genau geschützt ist. Die IHK warnt ausdrücklich vor zu abstrakten Formulierungen. Ob eine unveränderte Muster-NDA im Streitfall als angemessene Maßnahme anerkannt wird, ist zumindest nicht sicher.

Individuelle NDA für das konkrete Projekt. Die Vereinbarung benennt, um welchen Code, welche Daten und welchen Zweck es geht. Das kostet etwas Abstimmung, schafft aber Klarheit für beide Seiten. Für die meisten Übernahmen ist das der passende Weg.

NDA plus Auftragsverarbeitungsvertrag plus Übergabeprotokoll. Enthält die Datenbank personenbezogene Daten, etwa Kundenkonten oder Bestellungen, reicht eine NDA nicht. Dafür ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO nötig. Ergänzt um ein Übergabeprotokoll, das festhält, welche Zugänge und Unterlagen übergeben wurden, ist das die vollständigste Absicherung.

Ein kurzer Blick auf diese drei Fälle zeigt meist schon, welche Unterlagen vor dem ersten Termin vorbereitet sein sollten.

Was in eine NDA für Quellcode gehört

Aus den Empfehlungen der IHK und einschlägiger Fachkanzleien ergeben sich mehrere Bausteine, die bei einer Code-Übergabe sinnvoll sind.

Konkrete Definition der vertraulichen Informationen. Benennen Sie ausdrücklich Quellcode, Zugangsdaten, Kundendaten und Architekturdokumente. Je genauer die Aufzählung, desto klarer der Schutz.

Zweckbindung. Die Informationen dürfen nur für das vereinbarte Ziel genutzt werden, etwa für ein Audit oder die Übernahme der Betreuung.

Kreis der Berechtigten. Nach dem Need-to-know-Prinzip erhält nur Zugriff, wer ihn für die Aufgabe braucht. Bei einem Solo-Freelancer ist dieser Kreis überschaubar, was die Kontrolle erleichtert.

Sorgfaltsmaßstab, Laufzeit und Rückgabe. Der Empfänger behandelt die Informationen wie eigene Betriebsinterna. Die Vereinbarung legt fest, wie lange die Pflicht gilt und dass Unterlagen nach Projektende zurückgegeben oder gelöscht werden.

Vertragsstrafe und Reverse-Engineering-Verbot. Eine Vertragsstrafe macht Verstöße konkret greifbar. Das Verbot des Reverse Engineering schließt die Lücke aus § 3 GeschGehG.

Der Ablauf einer Übernahme in fünf Schritten

Mit der unterschriebenen NDA beginnt die eigentliche Übernahme. Bei mir folgt sie einer festen Reihenfolge.

Erstens die NDA. Sie ist unterschrieben, bevor ich Code, Server oder Zugangsdaten sehe.

Zweitens das Zugangsinventar. Gemeinsam erfassen wir, welche Zugänge existieren: Repository, Server, Datenbank, Hosting-Panel, externe Dienste wie Zahlungsanbieter oder Mailversand. Erfahrungsgemäß kennt dabei niemand die vollständige Liste auf Anhieb.

Drittens das Code-Audit. Ich prüfe Symfony- und PHP-Version, Abhängigkeiten, Testabdeckung und Architektur. Was dabei typischerweise auffällt, beschreibe ich im Risiko-Check vor der Beauftragung.

Viertens die Übergabe. Ein Übergabeprotokoll hält fest, was übergeben wurde, welche Zugänge geändert wurden und welche offenen Punkte bestehen.

Fünftens die laufende Betreuung. Ab hier gilt die vereinbarte Wartung. Die Dokumentation aus den ersten Schritten bleibt erhalten und wird fortgeschrieben.

Entscheidungskriterien: Worauf Sie bei einem Solo-Freelancer achten sollten

Unterschreibt er die NDA vor dem ersten Code-Zugriff? Wer erst schauen und dann unterschreiben will, dreht die Reihenfolge um. Ein seriöser Partner schlägt die NDA meist selbst vor.

Fragt er nach personenbezogenen Daten? Wer den Unterschied zwischen NDA und Auftragsverarbeitungsvertrag kennt, spricht ihn von sich aus an.

Gibt es ein Übergabeprotokoll und eine Dokumentation? Bei einem Einzelnen hängt viel Wissen an einer Person. Eine saubere Dokumentation senkt dieses Risiko. Wie das konkret aussieht, beschreibe ich im Artikel zum Bus-Faktor bei Eigenentwicklungen.

Ist die Vertretung geregelt? Fällt der Freelancer aus, muss klar sein, wer übernimmt und auf welcher Grundlage. Auch diese Person braucht dann eine NDA.

Wie ich Übernahmen und laufende Betreuung organisiere, finden Sie auf der Seite Symfony-Entwickler.

Was eine gute Übernahme ausmacht

Eine Projektübernahme scheitert selten an der Technik. Sie wird schwierig, wenn unklar bleibt, wer was wissen darf, welche Zugänge existieren und was bei der Übergabe tatsächlich übergeben wurde. Die NDA steht am Anfang, weil sie diese Fragen in eine verbindliche Form bringt.

Wer die fünf Schritte in dieser Reihenfolge geht, hat am Ende ein Projekt, das dokumentiert, abgesichert und an einen neuen Partner übergeben ist. Ich überarbeite gerade die Vorlage für mein Zugangsinventar, damit externe Dienste wie Mailversand oder Zahlungsanbieter schon im ersten Termin abgefragt werden.

Dennis Schwenker-Sanders ist PHP- und Symfony-Entwickler und übernimmt als Solo-Freelancer bestehende Projekte von Agenturen und KMU im DACH-Raum, von der Geheimhaltungsvereinbarung bis zur laufenden Betreuung.