Du verteilst aber ein .tar.gz - eine "Distribution". Wie ich schon ein paar Kommentare weiter oben angemerkt habe: dabei ist es entscheidend ob nur eine Dependency definiert ist die bei der Installation angezogen wird oder ob Du den Code mit auslieferst. IANAL, meine Einschätzung beruht aber auch auf der Methodik wie mit FOSS Lizenzen in mehreren Unternehmen in denen ich angestellt war/bin umgegangen wird.
Erstmal ist dieser Passus der MIT Lizenz relevant:
Code: Alles auswählen
The above copyright notice and this permission notice shall be included in
all copies or substantial portions of the Software.
Hier könnte man noch sagen: ja hey, liegt ja im Source vor, die Lic-Files sind doch dabei, alles gut (also Deiner Argumentation folgend).
So einfach ist es aber nicht. Meines Wissens ist die gängige Rechtssprechung dass die Copyright Notice "at prominent position" genannt werden muss - d.h. für den der es wissen will "einfach zugänglich" und "leicht auffindbar".
Das ist in meinem Verständnis eben nicht gegeben wenn sich die Lic-Files nur im Package in irgendwelchen Unterordnen befinden und nicht darauf hingewiesen (gelinkt) wird wo diese zu finden sind, ja nichtmal angegeben wird welche Module überhaupt Teil der Distribution sind.
Aber wie gesagt: IANAL, wenn Du eine rechtssichere Auskunft willst dann hol sie Dir hier:
https://www.jbb.de/rechtsthemen/lizenzrecht - diese Kanzlei kennt sich in .de am besten mit dem FOSS Lizenz Thema aus.
Ich für mein Teil mache bei dem Thema Lizenzbedingungen jedenfalls lieber zu viel (das schadet nicht) als zu wenig (das verletzt die Rechte Dritter), daher scanne ich für die 3rd Party Lizenzaufstellung im RedMatic Projekt auch tatsächlich den gesamten Dependency-Tree, resultiert dann in
einer riesigen Datei für die weit über 1000 in der RedMatic-Distribution enthaltenen Module. Mein Arbeitgeber handhabt es übrigens genauso (dort habe ich mir das Vorgehen abgeschaut...) und die Vorgaben wie wir das handhaben müssen werden von einer sehr großen Legal-Abteilung mit Leuten die wissen was sie tun gemacht
Ich zieh mich aus der Diskussion jetzt aber mal zurück, habe glaube ich jetzt wirklich alles gesagt.