Open-Source-Software-Projekte, die ohne Gewinnerzielungsabsicht und ohne kommerzielle Produkthaftung angeboten werden, tragen zur digitalen Souveränität, Cybersicherheit, Wettbewerbs- und Innovationskraft sowie unseren öffentlichen Infrastrukturen bei, indem sie freie und offene technologische Lösungen bereitstellen.
Die Förderung des Entwickelns, Betreibens und Pflegens von Open-Source-Software zur offenen und freien Verfügbarkeit und vertrauenswürdigen Nutzung für die öffentliche Hand, Unternehmen und Einzelpersonen gilt allerdings noch nicht als gemeinnütziger Zweck.
Viele Open Source Software Projekte behelfen sich mit dem gemeinnützigen Zweck der Bildung – ob dies funktioniert hängt maßgeblich sowohl davon ab, ob das jeweilige Softwareprojekt ausreichende Fort- und Weiterbildungen anbietet, als auch von den jeweiligen lokalen Finanzbehörden und deren gutem Willen. Viele Open Source Projekte erwägen erst gar keine Niederlassung in Deutschland, sondern gründen lieber in den USA eine gemeinnützige Körperschaft in der Rechtsform 501(c)(3). Kürzlich erst ist das freie und quelloffene Projekt „Mastodon“ in die USA abgewandert, nachdem ein deutsches Finanzamt die Gemeinnützigkeit dieser quelloffenen Alternative zu Twitter aberkannt hat.
Seit dem 10.10.24 ist der Cyber Resilience Act der EU verabschiedet. Dieser regelt, dass Hersteller von digitalen Produkten für Sicherheitslücken und Bugs in ihren Produkten haften müssen. Sie sind verpflichtet, ihre Produkte sicher zu gestalten und bei Schwachstellen zu reagieren, um den Schutz der Nutzer zu gewährleisten. Dies würde für Open Source Projekte ein großes Problem darstellen, allerdings wurden diese ausgenommen. Glücklicherweise werden Open-Source-Geschäftsmodelle vom CRA erfasst und gesondert geregelt.
Die auferlegten Pflichten sind zwar viel kleinere Pflichten als den Herstellern von digitalen Produkten auferlegt werden, allerdings entsteht auch aus diesen Pflichten ein Finanzbedarf, um diesen gerecht zu werden.
Die Verabschiedung des CRA ist im Kontext der möglichen Gemeinnützigkeit für Open Source Projekte sowohl ein Anlass, die vorhandenen Regelungen zu hinterfragen, als auch eine Möglichkeit juristisch-definitorisch zwischen verschiedenen Arten von Softwareprojekten zu differenzieren.
Der CRA unterscheidet in "Hersteller" und "Verwalter quelloffener Software". Hersteller werden voll reguliert, Verwalter quelloffener Software haben weniger Pflichten, dürfen aber keine Geschäftsbeziehungen eingehen. Vor dem Hintergrund der Pflichten die Open Source Projekten auferlegt wurden, erscheint es nur fair, diesen ehrenamtlichen Initiativen zumindest die Möglichkeit zu geben, Spenden zu empfangen und langfristig auf den Aufbau einer Bundesstiftung zum Erhalt und zur Pflege dieser ehrenamtlich aufgebauten digitalen Infrastruktur hinzuwirken.