Zum Schutz vertraulicher Informationen des Auftraggeber gemäß DSGVO
Vertraulichkeitsvereinbarung für Aufträge im Bereich IT und Gebäudeautomation
zwischen Verantwortlicher / Auftraggeber
( * Pflichtfelder)

und Dienstleiter / Auftragnehmer:

eine IT- bzw. GA-Vertraulichkeitsvereinbarung geschlossen.

§ 1 Inhalt und Zweck dieser Vertraulichkeitsvereinbarung
Der Auftragnehmer erbringt für den Auftraggeber IT- und Gebäudeautomations-Dienstleistungen. Diese Vereinbarung schützt die vertraulichen Informationen des Auftraggebers und personenbezogene Daten aus dem Verantwortungsbereich des Auftraggebers.

§ 2 Definitionen
(1) „Vertrauliche Informationen“ sind wirtschaftlich, rechtlich, steuerlich oder technisch sensible oder vorteilhafte Informationen des Auftraggebers, die dem Auftragnehmer bekannt werden. Vertrauliche Informationen können solche Informationen sein, die in irgendeiner Weise als vertraulich oder gesetzlich geschützt erkennbar bezeichnet werden oder deren vertraulicher Inhalt offensichtlich ist. Der Begriff umfasst sowohl jegliches Anschauungsmaterial wie Unterlagen, Schriftstücke, Notizen, Dokumente, digitale Aufzeichnungen etc. als auch mündliche Mitteilungen.
(2) Öffentlich bekannte Informationen sind solche, die nachweislich vor ihrer Bekanntgabe bereits dem Auftragnehmer oder seinen Organen, Angestellten und Bevollmächtigten (im folgenden „Vertreter“) zugänglich waren bzw. ohne deren Verschulden während der Geltungsdauer dieser Vereinbarung öffentlich bekannt wurden. Der Begriff „vertrauliche Information“ umfasst weiterhin nicht solche Informationen, die der Auftragnehmer sich selbst erschlossen hat, vorausgesetzt, dass dies durch schriftliche Aufzeichnungen dieser Partei oder auf sonstige Weise belegt wird und keine in dieser Vereinbarung festgelegten Pflichten unterlaufen werden.
(3) Personenbezogene Daten sind gem. Art. 4 Abs. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer On-line-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.
(4) Mitarbeiter sind Arbeitnehmer, freie Mitarbeiter und Zeitarbeitskräfte der jeweiligen Partei.

§ 3 Verpflichtung zur Vertraulichkeit
(1) Der Auftragnehmer verpflichtet sich, die von dem Auftraggeber erhaltenen oder sonst zur Kenntnis gelangten vertraulichen Informationen vertraulich zu behandeln.
(2) Das bedeutet insbesondere, dass der Auftragnehmer diese Informationen an Dritte weder selbst noch durch Mitarbeiter bekanntzugeben oder sonst für andere als die vertraglich zwischen den Parteien vereinbarten Zwecke zu nutzen hat.
(3) Eine anderweitige Nutzung oder Weitergabe der Informationen ist nur zulässig, wenn und soweit der Auftraggeber zuvor schriftlich eingewilligt hat.
(4) Der Auftragnehmer nutzt die erhaltenen vertraulichen Informationen ausschließlich zur Erfüllung des Hauptvertrages.
(5) Der Auftragnehmer verpflichtet sich die Vertraulichen Informationen ebenfalls durch angemessene Geheimhaltungsmaßnahmen gegen den unbefugten Zugriff durch Dritte zu sichern und bei der Verarbeitung der Vertraulichen Informationen die gesetzlichen und vertraglichen Vorschriften zum Datenschutz einzuhalten. Dies beinhaltet auch dem aktuellen Stand der Technik angepasste technische Sicherheitsmaßnahmen (Art. 32 DS-GVO) und die Verpflichtung der Mitarbeiter auf die Vertraulichkeit und die Beachtung des Datenschutzes (Art. 28 Abs. 3 lit. b DS-GVO).

§ 4 Ausnahmen von der Vertraulichkeitsverpflichtung
(1) Diese Verpflichtung zum Schutze vertraulicher Information beinhaltet nicht solche Informationen, die öffentlich vor der Mitteilung oder Übergabe durch den Auftraggeber bekannt oder allgemein zugänglich waren oder dies zu einem späteren Zeitpunkt ohne Verstoß gegen eine Geheimhaltungspflicht werden.
(2) Diese Verpflichtung zum Schutze vertraulicher Information beinhaltet nicht solche Informationen, die dem Auftragnehmer bereits vor der Offenlegung durch den Auftraggeber und ohne Verstoß gegen eine Geheimhaltungspflicht nachweislich bekannt waren.
(3) Diese Verpflichtung zum Schutze vertraulicher Information beinhaltet nicht solche Informationen, die von dem Auftragnehmer ohne Nutzung oder Bezugnahme auf Vertrauliche Informationen von dem Auftraggeber selbst gewonnen wurden.
(4) Diese Verpflichtung zum Schutze vertraulicher Information beinhaltet nicht solche Informationen, die der Auftragnehmer von einem berechtigten Dritten ohne Verstoß gegen eine Geheimhaltungspflicht übergeben oder zugänglich gemacht werden.
(5) Die Pflicht zur Vertraulichkeit besteht nicht gegenüber Gerichten und Behörden, soweit eine (auch strafrechtliche) Rechtspflicht zur Weitergabe/Herausgabe besteht oder die jeweilige Information in einem zivilrechtlichen Prozess zwischen den Parteien relevant ist. Der Auftragnehmer verpflichtet sich, den Auftraggeber vor Offenlegung vertraulicher Informationen zu informieren, es sei denn eine solche Mitteilung ist gesetzlich nicht zulässig.

§ 5 Personenbezogene Daten
(1) Zur Auftragserfüllung kann eine Verarbeitung, Speicherung und Weitergabe personenbezogener Daten wie bspw. der Benutzerdaten, Gateway-, Hosting-, Server-, Cloud-, Router-Zugangsdaten an Dritte wie Telekommunikationsanbieter, Provider, Netzbetreiber, IT-Dienstleister, Abrechnungs- oder Cloud-Dienste, etc. erforderlich sein. Dies ist der Fall, sofern es zwingend einer Freischaltung, einer Beauftragung einer IT- oder Telekommunikationsdienstleistung oder einer vergleichbaren unterstützenden Maßnahme durch Dritte bedarf, ohne welche ein IT-/GA-System bzw. IT-/GA-Anlage nicht in Betrieb genommen werden könnte. Dies kann erfolgen, um die von uns zur Verfügung gestellten und gewarteten Systeme/Anlagen optimal und schnellstmöglich einzurichten bzw. zu warten.,
(2) Die Verarbeitung, Speicherung und Weitergabe dienen ausschließlich der Erfüllung unserer (vor-)vertraglichen Pflichten. Die Weitergabe der Daten erfolgt aufgrund des berechtigten Interesses i.S.d. Art. 6 Abs. 1 lit. f DSGVO des Auftragnehmers. Eine Übermittlung in Staaten außerhalb der EU findet nicht statt und ist auch nicht geplant.
(3) Soweit Mitarbeiter des Auftraggebers oder andere für den Auftraggeber tätige Personen dem Auftragnehmer personenbezogene Daten offenlegen oder offenlegen wollen (z. B. durch Übermittlung oder Einräumung von Zugriffsrechten), die nicht zur Erfüllung der (vor-)vertraglicher Pflichten benötigt werden, ohne dass die Parteien hierüber einen gesonderten schriftlichen Vertrag abgeschlossen haben, wird der Auftragnehmer diese Personen unverzüglich ausdrücklich darauf hinweisen, dass eine Offenlegung an ihn nicht zulässig ist, und unverzüglich den Auftraggeber informieren.

§ 6 Mitarbeiter/Unterauftragnehmer
(1) Der Auftragnehmer wird alle Personen und Unterauftragnehmer, die von ihm bei der Erfüllung des Hauptvertrages eingesetzt werden, entsprechend dieser Vereinbarung verpflichten und mit der gebotenen Sorgfalt die Einhaltung dieser Verpflichtung sicherstellen.

§ 7 Rückgabe bzw. Löschung von vertraulichen Informationen
(1) Auf Aufforderung des Auftraggebers sowie ohne Aufforderung spätestens nach Erreichung des in § 1 beschriebenen Zwecks ist der Interessent verpflichtet, sämtliche Vertraulichen Informationen einschließlich der Kopien hiervon innerhalb von zehn (10) Arbeitstagen nach Zugang der Aufforderung bzw. nach Beendigung des Projektes zurückzugeben oder zu vernichten (einschließlich elektronisch gespeicherter Vertraulicher Informationen), sofern nicht mit dem Auftraggeber vereinbarte oder gesetzliche Aufbewahrungspflichten dem entgegenstehen.
(2) Personenbezogene Daten sind nach der DSGVO zu löschen, nachdem der Zweck der Verarbeitung erfüllt ist. Die Daten werden nach Erfüllung des Zwecks gelöscht, sofern dem keine gesetzliche Aufbewahrungsfrist entgegensteht. Personenbezogene Daten können darüber hinaus auch länger gespeichert werden, wenn eine Einwilligung bis auf Widerruf erteilt wird.
(3) Wir machen darauf aufmerksam, dass wir bei Löschung von Zugangsdaten im Servicefall keinen Support leisten können und kostenpflichtiger Programmieraufwand zur Wiederherstellung notwendig wird. Ggf. wird eine Neuprogrammierung der Systeme notwendig. Bitte bewahren Sie Ihre Zugangsdaten vor allem dann sorgfältig auf, sollten wir von Ihnen keine Zustimmung zu Speicherung erhalten.
(4) Die Vernichtung elektronisch gespeicherter Vertraulicher Informationen erfolgt durch die vollständige und unwiderrufliche Löschung der Dateien oder unwiederbringliche Zerstörung des Datenträgers. Vollständige und unwiderrufliche Löschung bedeutet bei elektronisch gespeicherten Vertraulichen Informationen, dass die Vertraulichen Informationen derart gelöscht werden, dass jeglicher Zugriff auf diese Informationen unmöglich wird, wobei spezielle Löschverfahren (z.B. mittels „Wiping“) zu verwenden sind, welche den anerkannten Standards genügen (bspw. Standards des Bundesamts für Informationssicherheit).
(5) Ausgenommen hiervon sind – neben Vertraulichen Informationen, bzgl. derer eine Aufbewahrungspflicht besteht – Vertrauliche Informationen, deren Vernichtung bzw. Rückgabe technisch nicht möglich ist, z.B. da sie aufgrund eines automatisierten elektronischen Backup-Systems zur Sicherung von elektronischen Daten in einer Sicherungsdatei gespeichert wurden; hierzu zählt auch das technisch notwendige Vorhalten von Stammdaten (z.B. Personal- oder Kundennummern), welches nötig ist, um eine Verknüpfung zu den archivierten Informationen herzustellen.
(6) Auf Verlangen des Auftraggebers hat der Auftragnehmer schriftlich zu versichern, dass er sämtliche Vertrauliche Informationen nach den Maßgaben der vorstehenden Ziffern und den Weisungen des Auftraggebers vollständig und unwiderruflich gelöscht hat.

§ 8 Eigentumsrechte an den Vertraulichen Informationen
(1) Der Auftraggeber hat, unbeschadet der Rechte, die er nach dem GeschGehG hat, hinsichtlich der Vertraulichen Informationen alle Eigentums-, Nutzungs- und Verwertungsrechte. Der Inhaber behält sich das ausschließliche Recht zur Schutzrechtsanmeldung vor. Der Auftragnehmer erwirbt kein Eigentum oder – mit Ausnahme der Nutzung für den oben beschriebenen Zweck – sonstige Nutzungsrechte an den Vertraulichen Informationen (insbesondere an Know-how, darauf angemeldeten oder erteilten Patenten, Urheberrechten oder sonstigen Schutzrechten) aufgrund dieser Vereinbarung oder sonst wegen konkludenten Verhalten.
(2) Der Auftragnehmer hat es zu unterlassen, die Vertraulichen Informationen außerhalb des Zwecks in irgendeiner Weise selbst wirtschaftlich zu verwerten oder nachzuahmen (insbesondere im Wege des sog. „Reverse Engineering“) oder durch Dritte verwerten oder nachahmen zu lassen und insbesondere auf die Vertraulichen Informationen gewerbliche Schutzrechte – insbesondere Marken, Designs, Patente oder Gebrauchsmuster – anzumelden.

§ 9 Laufzeit
Die Laufzeit dieser Vereinbarung beginnt ab Unterzeichnung und entspricht der des Hauptvertrages. Ab dessen Beendigung bestehen die Verpflichtungen zur Vertraulichkeit hinsichtlich personenbezogener Daten zeitlich unbefristet und im Übrigen 3 Jahre fort. Ist der Zeitpunkt der Beendigung des Hauptvertrages nicht bestimmt, so beginnt die vorstehende Frist mit der Beendigung der letzten Leistungserbringung des Auftragnehmers für den Auftraggeber.

§ 10 Schlussbestimmungen
(1) Sollten einzelne Bestimmungen dieser Vertraulichkeitsvereinbarung im Ganzen oder in Teilen unwirksam oder undurchführbar sein oder werden, berührt dies nicht die Wirksamkeit der sonstigen Bestimmungen.
(2) Änderungen und Ergänzungen dieser Vertraulichkeitsvereinbarung bedürfen der Schriftform. Dies gilt auch für den Verzicht auf dieses Formerfordernis. Der Vorrang individueller Vertragsabreden bleibt hiervon unberührt.
(3) Anwendbares Recht, Gerichtsstand sowie die Haftung der Parteien richten sich nach dem Hauptvertrag/Auftrag.

Meine Formulardaten werden streng zweckgebunden zur Bearbeitung meines Auftrags benutzt. Zusätzlich werden diese verschlüsselt übertragen. Mit dem Absenden der Vertraulichkeitsvereinbarung erkläre ich mich mit der weiteren Verarbeitung einverstanden.