Maßgebliche Sprachfassung
Verbindlich ist ausschließlich die deutsche Fassung dieses Auftragsverarbeitungsvertrags. Die englische Fassung ist eine unverbindliche Übersetzung, die allein dem besseren Verständnis dient. Bei Abweichungen oder Widersprüchen zwischen der deutschen und der englischen Fassung geht die deutsche Fassung vor.
Auftragsverarbeitungsvertrag
gemäß Art. 28 DSGVO
zwischen
Musterfirma GmbH
Musterstraße 123, 12345 Musterstadt
- nachfolgend „Verantwortlicher“ genannt -
und
neuland.ai AG
Konrad-Adenauer-Ufer 83, 50668 Köln
- nachfolgend „Auftragsverarbeiter“ genannt -
Maßgebliche Sprachfassung
Verbindlich ist ausschließlich die deutsche Fassung dieses Auftragsverarbeitungsvertrags. Die englische Fassung ist eine unverbindliche Übersetzung, die allein dem besseren Verständnis dient. Bei Abweichungen oder Widersprüchen zwischen der deutschen und der englischen Fassung geht die deutsche Fassung vor.
I. Gegenstand der Verarbeitung
Verarbeitungsgegenstand und Zwecke
Die Vertragsgegenständlichen Leistungen sind die folgenden:
Entwicklung und Anpassung von KI-Modellen
Daten werden ausschließlich im Auftrag des Verantwortlichen verarbeitet, um KI-Algorithmen, zu testen und zu evaluieren.
Ziel ist es, die Leistungsfähigkeit der KI-Algorithmen für den Verantwortlichen zu verbessern, indem sie auf Basis der bereitgestellten Daten Muster erkennen, Vorhersagen treffen und Entscheidungen automatisiert treffen können. Dies umfasst auch die kontinuierliche Anpassung und Optimierung der Modelle, um sie an wechselnde Anforderungen oder neue Datensätze anzupassen.
Hinweis zu der Verwendung von Daten bei KI-Systemen
Der Auftragsverarbeiter sichert zu, dass alle im Rahmen dieses Vertragsverhältnisses verarbeiteten Daten ausschließlich zur Erfüllung der vertraglich vereinbarten Leistungen für den Verantwortlichen genutzt werden. Insbesondere ist ausgeschlossen, dass die im Zusammenhang mit diesem Vertrag erhobenen, übermittelten oder generierten Daten – gleich in welcher Form – zur (Weiter‑)Entwicklung, Optimierung oder zum Training von KI‑gestützten Systemen oder Produkten außerhalb dieses konkreten Vertragsverhältnisses verwendet werden.
Eine Verwendung der Daten oder daraus abgeleiteter Erkenntnisse zur Verbesserung anderer Produkte, Dienstleistungen oder Modelle des Auftragsverarbeiters oder Dritter – einschließlich des Einsatzes zu Zwecken des Machine Learnings, Fine‑Tunings, Cross‑Domain-Learnings oder anderen Formen der Systemoptimierung – ist ausdrücklich ausgeschlossen.
Der Auftragsverarbeiter gewährleistet durch technische und organisatorische Maßnahmen, dass sämtliche Daten des Verantwortlichen isoliert verarbeitet werden und zu keinem Zeitpunkt in gemeinsame oder zentralisierte Trainingsdatenpools, Modellarchitekturen oder Datenbanken einfließen.
Diese Verpflichtung gilt auch nach Beendigung des Vertragsverhältnisses fort.
Änderungen
Änderungen des Verarbeitungsgegenstandes sind gemeinsam zwischen Verantwortlicher und Auftragsverarbeiterarbeiter abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.
II. Verarbeitungsort
Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erbracht.
Jede Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung (schriftlich oder per E-Mail) des Verantwortlichen und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln und ggf. zusätzliche Garantien, genehmigte Verhaltensregeln).
III. Dauer der Verarbeitung
Allgemein
Die Dauer dieses Vertrags entspricht der Laufzeit des jeweiligen Hauptvertrags.
Sonderregelung
Der Vertrag gilt unbeschadet des vorstehenden Absatzes so lange, wie der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet (einschließlich Backups).
Sonderkündigungsrecht
Der Verantwortliche kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragsverarbeiters gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrages vorliegt, der Auftragsverarbeiter eine Weisung des Verantwortlichen nicht ausführen kann oder will oder der Auftragsverarbeiter Kontrollrechte des Verantwortlichen vertragswidrig verweigert.
Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art. 28 DS-GVO abgeleiteten Pflichten stellt einen schweren Verstoß dar.
IV. Art der Verarbeitung
Die Art der Verarbeitung kann sowohl eine als auch alle der folgenden Verarbeitungen umfassen:
- das Erheben und das Erfassen
- die Organisation und das Ordnen
- die Speicherung, die Anpassung oder Veränderung
- das Auslesen, Abfragen
- Offenlegung durch Übermittlung, Verarbeitung oder eine andere Form der Bereitstellung
- den Abgleich oder Verknüpfung
- die Einschränkung, das Löschen oder die Vernichtung
V. Kategorien betroffener Personen
Es werden personenbezogene Daten der folgenden Kategorien der betroffenen Personen verarbeitet:
VI. Art der personenbezogenen Daten
Es werden die folgenden personenbezogenen Daten verarbeitet:
VII. Pflichten und Rechte des Verantwortlichen
Allgemein
Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DS-GVO, sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DS-GVO ist allein der Verantwortliche verantwortlich.
Mitteilungspflichten
Der Verantwortliche hat die Pflicht den Auftragsverarbeiter unverzüglich und vollständig zu informieren, wenn im Hinblick auf die Verarbeitung, bezüglich datenschutzrechtlicher Bestimmungen, Fehler, Störungen oder sonstige Unregelmäßigkeiten festgestellt werden.
VIII. Weisungsrecht des Verantwortlichen
Allgemein
Der Verantwortliche hat das Recht, dem Auftragsverarbeiter Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Der Verantwortliche entscheidet allein und ausschließlich über die Zwecke und Mittel der Verarbeitung der Auftragsdaten. Der Auftragsverarbeiter darf die Auftragsdaten nur nach dokumentierter Weisung des Verantwortlichen verarbeiten, es sei denn, der Auftragsverarbeiter ist gesetzlich zur Verarbeitung dieser Daten verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Die Weisungen sind für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre nach Ablauf des Kalenderjahres aufzubewahren.
Weisungsberechtigte und Weisungsempfänger
Die Weisungsberechtigten des Verantwortlichen und die Weisungsempfänger des Auftragsverarbeiters sind in der Anlage „Weisungsberechtigte und Weisungsempfänger“ zu diesem Vertrag aufgeführt.
Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich oder elektronisch die Nachfolger bzw. die Vertreter mitzuteilen.
Bestimmtheit und Form der Weisung
Weisungen sind bestimmt zu erteilen (Gebot der Weisungsklarheit). Weisungen können schriftlich, in Textform oder in Eilfällen auch mündlich erteilt werden.
Mündliche Weisungen muss der Verantwortliche unverzüglich schriftlich oder in Textform bestätigen.
Benachrichtigung bei Rechtswidrigkeit
Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung sei rechtswidrig. Diese Hinweispflicht beinhaltet keine umfassende rechtliche Prüfung. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen bestätigt oder geändert wird.
Auftragsfremde Weisungen
Über die Ausführung von Weisungen des Verantwortlichen, die über die in dieser Vereinbarung geregelten Vertragsgegenstand hinausgehen, entscheidet der Auftragsverarbeiter. Der Auftragsverarbeiter kann in diesem Fall, nach vorheriger Absprache und vorheriger Zustimmung des Verantwortlichen, eine gesonderte Vergütung beanspruchen.
Regress
Sollte der Auftragsverarbeiter infolge der Umsetzung einer rechtswidrigen Weisung einem begründeten Haftungsanspruch ausgesetzt sein, kann er sich insoweit beim Verantwortlichen schadlos halten.
Verfahrensänderungen
Verfahrensänderungen sind gemeinsam zwischen Verantwortlichen und Auftragsverarbeiter abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.
IX. Gewährleistung der Verpflichtung zur Vertraulichkeit
Daten- und Fernmeldegeheimnis
Jede bei dem Auftragsverarbeiter unterstellte Person, die Zugang zu Auftragsdaten hat, ist zur Vertraulichkeit verpflichtet, insbesondere gemäß den Bestimmungen der Art. 5 Abs. 1 f), Art. 28 Abs. 3 b), Art. 29 und Art. 32 Abs. 4 DSGVO sowie des § 3 TDDDG.
Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung dieser Vereinbarung fort.
Unterweisung
Der Auftragsverarbeiter stellt durch geeignete Maßnahmen, wie insbesondere regelmäßige Schulungen zum Datenschutz, sicher, dass die ihm unterstellten und zur Verarbeitung von Auftragsdaten befugten Personen mit den einschlägigen Bestimmungen zum Datengeheimnis und Fernmeldegeheimnis vertraut sind.
X. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
Die vereinbarten technischen und organisatorische Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragsverarbeiter zukünftig gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Über wesentliche Änderungen, die durch den Auftragsverarbeiter zu dokumentieren sind, ist der Verantwortlicher unverzüglich in Kenntnis zu setzen.
Die Übersicht über die wesentlichen technischen und organisatorischen Maßnahmen werden separat geführt.
XI. Bedingungen für die Inanspruchnahme von weiteren Auftragsverarbeitern
Begriff des Unterauftragsverarbeiters
Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragsverarbeiter in Anspruch nimmt, sofern und soweit ein Zugriff auf vertragsgegenständliche personenbezogenen Daten ausgeschlossen ist. Ebenso wenig stellen grundsätzliche Telekommunikationsleistungen, Post- und Transportdienstleistungen eine Auftrags- bzw. Unterauftragsverarbeitung dar. Der Auftragsverarbeiter ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Sicherheit der Daten des Verantwortlichen auch bei ausgelagerten Nebenleistungen angemessene und rechtskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.
Voraussetzungen der Zulässigkeit der Beauftragung
Der Verantwortliche erteilt hiermit dem Auftragsverarbeiter die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Der Auftragsverarbeiter ist verpflichtet den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter mit einer Ankündigungsfrist von einem (1) Monat zu informieren. Der Verantwortliche hat seinen Einspruch gegen die Änderung innerhalb eines (1) Monats nach Zugang der Information über die Änderung gegenüber dem Auftragsverarbeiter zu erheben. Im Fall des Einspruchs kann der Auftragsverarbeiter nach eigener Wahl die Leistung ohne die beabsichtigte Änderung erbringen oder - sofern die Erbringung der Leistung ohne die beabsichtigte Änderung des Auftragsverarbeiters nicht zumutbar ist - die von der Änderung betroffene Leistung gegenüber dem Verantwortlichen innerhalb von einem (1) Monat nach Zugang des Einspruchs kündigen.
Datenschutzniveau des Unterauftragsverarbeiters
Jeder Unterauftragsverarbeiter ist verpflichtet, sich vor Beginn der Verarbeitungstätigkeiten dazu zu verpflichten, dieselben Datenschutzverpflichtungen einzuhalten, wie in dieser Vereinbarung vereinbart, sofern nicht ausdrücklich etwas anderes vereinbart wurde. Der Unterauftragsverarbeitungsvertrag muss zumindest das nach diesem Vertrag erforderliche Datenschutzniveau gewährleisten. Jeder Unterauftragsverarbeiter muss sich insbesondere dazu verpflichten, die vereinbarten technischen und organisatorischen Sicherheitsmaßnahmen gemäß Art. 32 DS-GVO einzuhalten und dem Auftragsverarbeiter eine Liste der umgesetzten technischen und organisatorischen Maßnahmen zur Verfügung zu stellen, die dem Verantwortlichen auf Verlangen zur Verfügung gestellt wird. Die Maßnahmen des Unterauftragsverarbeiters können von dem zwischen Verantwortlichen und Auftragsverarbeiter Vereinbarten abweichen, dürfen jedoch nicht unter das Datenschutzniveau fallen, welches durch die Maßnahmen vom Auftragsverarbeiter gewährleistet wird. Weigert sich ein Unterauftragsverarbeiter, sich denselben datenschutzrechtlichen Pflichten zu unterwerfen, wie sie in dieser Vereinbarung niedergelegt sind, so bedarf der Einsatz dieses Unterauftragsverarbeiters der Zustimmung des Verantwortlichen, wobei diese Zustimmung nicht unbilligerweise verweigert werden darf. Kommt der Unterauftragsverarbeiter seinen datenschutzrechtlichen Verpflichtungen nicht nach, so haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters gemäß Art. 28. Abs. 4 DSGVO. Der Auftragsverarbeiter hat in diesem Falle auf Verlangen der Verantwortlichen die Beschäftigung des Unterauftragsverarbeiters ganz oder teilweise zu beenden oder das Vertragsverhältnis mit dem Unterauftragsverarbeiter zu lösen, wenn und soweit dies nicht unverhältnismäßig ist.
Datenschutzniveau des Unterauftragsverarbeiters
Für den Fall, dass ein Unterauftragsverarbeiter in keinem Drittstaat ansässig ist, welcher gemäß Art. 45 DSGVO ein angemessenes Datenschutzniveau bietet, wird der Auftragsverarbeiter diesem Umstand ausreichend Rechnung tragen. Der Auftragsverarbeiter wird mit diesem Unterauftragsverarbeiter entsprechende Standarddatenschutzklauseln für den Drittlandstransfer abschließen (DURCHFÜHRUNGS-BESCHLUSS (EU) 2021/914 DER KOMMISSION vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates). In diesem Zusammenhang ist den Auswirkungen des Urteils Schrems-II des EuGH Rechnung zu tragen und gegebenenfalls zusätzliche Garantien zur Sicherung der Daten durch den Auftragsverarbeiter vorzunehmen oder mit dem Unterauftragnehmer zu vereinbaren.
Die aktuell Auflistung eingesetzter Unterauftragsverarbeiter wird separat geführt.
XII. Unterstützung bei Betroffenenanfragen
Allgemeines
Der Auftragsverarbeiter unterstützt den Verantwortlichen in seinem Verantwortungsbereich und soweit möglich mittels geeigneter technischer und organisatorischer Maßnahmen bei der Beantwortung und Umsetzung von Anträgen betroffener Personen hinsichtlich ihrer Datenschutzrechte.
Dokumentation
Der Auftragsverarbeiter darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Verantwortlichen beauskunften, portieren, berichtigen, löschen oder deren Verarbeitung einschränken.
Informationspflicht
Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragsverarbeiter wendet, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten.
Bearbeitung der Betroffenenrechte durch den Auftragsverarbeiter
Die Rechte auf Auskunft, Berichtigung, Einschränkung der Verarbeitung, Löschung sowie Datenportabilität können nach dokumentierter Weisung des Verantwortlichen unmittelbar durch den Auftragsverarbeiter sichergestellt werden. Sofern die damit verbundenen Maßnahmen die zumutbare Unterstützung des Auftragsverarbeiters übersteigen, kann der Auftragsverarbeiter in diesem Fall, nach vorheriger Absprache und vorheriger Zustimmung des Verantwortlichen, eine gesonderte Vergütung beanspruchen.
XIII. Unterstützung des Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32-36 DSGVO
Einhaltung der Pflichten aus Art.32 DSGVO (TOM)
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und insbesondere den Schutz vor zufälliger oder unrechtmäßiger Zerstörung, Verlust, Veränderung oder unbefugter Offenlegung von oder unbefugtem Zugang zu den übertragenen, gespeicherten oder anderweitig verarbeiteten personenbezogenen Daten gewährleisten.
Einhaltung der Pflichten aus Art. 33 DSGVO (Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde)
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Meldung von Verletzungen des Schutzes personenbezogener Daten an die zuständige Aufsichtsbehörde. Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 24 Stunden, nachdem ihm die Verletzung bekannt wurde, dem Verantwortlichen, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Einhaltung der Pflichten aus Art. 34 DSGVO (Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person)
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Benachrichtigung der betroffenen Person über eine Verletzung des Schutzes personenbezogener Daten, wenn diese Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat.
Einhaltung der Pflichten aus Art. 35 DSGVO (Datenschutz-Folgenabschätzung)
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Durchführung einer Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde, sofern eine Verarbeitung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hätte.
Einhaltung der Pflichten aus Art. 36 DSGVO (Vorherige Konsultation)
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der vorherigen Konsultation der Aufsichtsbehörde, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft.
XIV. Löschung und Rückgabe der Daten
Löschung nach Vertragsende
Der Auftragsverarbeiter löscht nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten und vorhandenen Kopien, es sei denn, nach dem Unionsrecht oder dem Recht der Mitgliedstaaten ist eine Speicherung der personenbezogenen Daten erforderlich.
Rückgabe auf Weisung
Auf dokumentierte Weisung des Verantwortlichen gibt der Auftragsverarbeiter alle personenbezogenen Daten zurück oder löscht sie und vernichtet vorhandene Kopien, es sei denn, nach dem Unionsrecht oder dem Recht der Mitgliedstaaten ist eine Speicherung erforderlich.
Nachweis der Löschung
Der Auftragsverarbeiter stellt dem Verantwortlichen einen Nachweis über die ordnungsgemäße Löschung oder Rückgabe zur Verfügung.
XV. Kontrollrechte des Verantwortlichen
Allgemeines Kontrollrecht
Der Verantwortliche hat das Recht, die Einhaltung der datenschutzrechtlichen Bestimmungen beim Auftragsverarbeiter durch geeignete Maßnahmen zu kontrollieren. Dazu gehören insbesondere die Einholung von Auskünften und Nachweisen, die Besichtigung der eingesetzten Datenverarbeitungsanlagen sowie sonstige örtliche Kontrollen.
Auskunftsrecht
Der Auftragsverarbeiter erteilt dem Verantwortlichen auf Anfrage alle erforderlichen Auskünfte und weist insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nach.
Inspektionen und Audits
Der Auftragsverarbeiter ermöglicht dem Verantwortlichen Inspektionen - einschließlich Audits - und trägt zu diesen bei. Dies umfasst auch Inspektionen durch einen anderen vom Verantwortlichen beauftragten Prüfer.
XVI. Mitteilungspflichten
Störungen und Datenschutzverletzungen
Der Auftragsverarbeiter teilt Störungen unverzüglich mit, die erhebliche Auswirkungen auf die Verarbeitung der personenbezogenen Daten des Verantwortlichen haben können. Dies gilt insbesondere für Verletzungen des Schutzes personenbezogener Daten.
Behördliche Maßnahmen
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollen der Aufsichtsbehörde oder anderer Dritter, soweit sie sich auf den Auftrag beziehen.
Verdacht auf Datenschutzverstöße
Bei Verdacht auf Verstöße gegen datenschutzrechtliche Bestimmungen im Zusammenhang mit den Auftragsdaten informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich.
XVII. Haftung und Schadensersatz
Haftung nach DSGVO
Jede Partei, die durch eine Verarbeitung einen Schaden erlitten hat, hat Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter für den erlittenen Schaden gemäß Art. 82 DSGVO.
Gesamtschuldnerische Haftung
Sind sowohl ein Verantwortlicher als auch ein Auftragsverarbeiter an derselben Verarbeitung beteiligt und sind sie gemäß den Absätzen 2 und 4 des Art. 82 DSGVO für einen durch die Verarbeitung verursachten Schaden verantwortlich, so haftet jeder von ihnen für den gesamten Schaden, um einen wirksamen Schadensersatz für die betroffene Person sicherzustellen.
Regress
Hat ein Verantwortlicher oder ein Auftragsverarbeiter gemäß Absatz 5 des Art. 82 DSGVO vollständigen Schadensersatz für den erlittenen Schaden gezahlt, so ist diese Partei berechtigt, von den übrigen an derselben Verarbeitung beteiligten Verantwortlichen oder Auftragsverarbeiter den Teil des Schadensersatzes zurückzufordern, der entsprechend den in Absatz 2 des Art. 82 DSGVO festgelegten Bedingungen ihrer Verantwortung für den Schaden entspricht.
Unterschriften
Verantwortlicher:
Auftragsverarbeiter:
Anlage
Zusatzvereinbarung BRAO: Verschwiegenheitsverpflichtung und Belehrung
zum Auftragsverarbeitungsvertrag
1. Anwendungsbereich
Diese Zusatzvereinbarung gilt für Kunden, die in den Anwendungsbereich der Bundesrechtsanwaltsordnung (BRAO) fallen, in Bezug auf die von neuland.ai AG bereitgestellte eigene Instanz. Zusicherungen in Bezug auf den „neuland.ai HUB" werden von neuland.ai AG diesbezüglich nicht gemacht und diese Zusatzvereinbarung findet insoweit keine Anwendung.
2. Verschwiegenheit
neuland.ai AG verpflichtet hiermit gegenüber Kunde, alle erlangten vertraulichen Informationen strikt geheim zu halten und vor dem Zugriff Dritter zu schützen.
3. Mitarbeiterverpflichtung
neuland.ai AG stellt sicher, dass alle mit der Verarbeitung befassten Mitarbeitenden sowie andere für neuland.ai AG tätige Personen (z. B. Unterauftragsverarbeiter), die Zugang zu vertraulichen Informationen erhalten können, in Textform zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen einer Pflichtverletzung belehrt werden.
4. Kenntniserlangung
neuland.ai AG darf sich nur insoweit Kenntnis von vertraulichen Informationen verschaffen, als dies für die im Hauptvertrag festgehaltenen Verpflichtungen erforderlich ist. neuland.ai AG ist berechtigt, Unterauftragsverarbeiter zur Vertragserfüllung heranzuziehen, sofern diese sorgfältig ausgewählt, in Textform zur Geheimhaltung verpflichtet und über die strafrechtlichen Folgen einer Pflichtverletzung belehrt werden. Unterauftragsverarbeiter im Ausland dürfen nur eingesetzt werden, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist.
5. Strafrechtliche Belehrung
Kunde belehrt neuland.ai AG hiermit, dass der Bruch der Verschwiegenheit oder die Verwertung fremder Geheimnisse durch neuland.ai AG für die mitwirkenden Personen strafbar ist (§§ 203 Abs. 1, Abs. 4 S. 1 StGB, § 204 StGB) und mit Freiheitsstrafe bis zu einem Jahr, im Fall von § 204 StGB mit Freiheitsstrafe bis zu zwei Jahren, oder mit Geldstrafe bestraft werden kann. Die Strafandrohung erhöht sich auf Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, sofern die entsprechende Person in Bereicherungsabsicht, auch wenn sie zu Gunsten Dritter bestehen sollte, handelt, oder die Absicht hat, durch die Tat einen anderen zu schädigen.
6. Einschaltung weiterer Personen
Kunde belehrt neuland.ai AG vorsorglich, dass sich mitwirkende Personen im Falle der Einschaltung weiterer Personen bei Strafandrohung von Freiheitsstrafe bis zu einem Jahr oder Geldstrafe strafbar machen, wenn diese weitere Person die Verschwiegenheit bricht, und die mitwirkende Person zugleich nicht dafür Sorge getragen hat, dass erstere zur Verschwiegenheit verpflichtet wurde (§§ 203 Abs. 1, Abs. 4 S. 2 Nr. 2 StGB). Die Strafandrohung erhöht sich auf Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, sofern der Täter in Bereicherungsabsicht, auch wenn sie zu Gunsten Dritter bestehen sollte, handelt, oder die Absicht hat, durch die Tat einen anderen zu schädigen. Diese Verpflichtung gilt für sämtliche weitere Unterbeauftragungen.
7. Gesetzesanlagen
Bestandteil dieser Belehrung ist auch der Wortlaut der einschlägigen Gesetze, die in aktueller Fassung als Anlage beigefügt sind — insbesondere § 43e BRAO, § 203 StGB sowie §§ 53a und 97 StPO.
8. Schutzmaßnahmen
neuland.ai AG wird angemessene organisatorische und technische Maßnahmen zum Schutz der Vertraulichkeit der vertraulichen Informationen aufrechterhalten und verpflichtet sich, vertrauliche Informationen angemessen gemäß akzeptierter Sicherheitsstandards nach dem aktuellen Stand der Technik zu schützen. Das Sicherheitsniveau darf hierbei nicht geringer als bei eigenen vertraulichen Informationen angelegt werden.
9. Zeitliche Geltung
Die Verschwiegenheitsverpflichtung nach dieser Vereinbarung gilt zeitlich unbeschränkt.
10. Verfahrensrechtlicher Schutz (StPO)
Kunde weist neuland.ai AG darauf hin, dass im Rahmen der Auftragsverarbeitung auch Daten verarbeitet werden können, die einem anwaltlichen Berufsgeheimnis im Sinne der BRAO und des § 203 StGB unterliegen.
Zeugnisverweigerungsrecht (§ 53a StPO)
Daten, die neuland.ai AG im Auftrag eines Berufsgeheimnisträgers verarbeitet, können dem Zeugnisverweigerungsrecht mitwirkender Personen unterliegen (§ 53a Strafprozessordnung, StPO). Über die Ausübung des Zeugnisverweigerungsrechts entscheidet der Berufsgeheimnisträger als Kunde.
Wird neuland.ai AG durch Strafverfolgungs- oder andere Behörden zur Offenlegung von Informationen oder zur Aussage aufgefordert, die dem Berufsgeheimnis unterliegen könnten, wird neuland.ai AG unter Hinweis auf § 53a StPO widersprechen und den Kunden unverzüglich informieren, damit dieser über die Wahrnehmung des Zeugnisverweigerungsrechts entscheiden kann.
Beschlagnahmeschutz (§ 97 StPO)
Geheimnisschutzdaten, die sich im Gewahrsam von neuland.ai AG befinden, können dem Beschlagnahmeverbot gemäß § 97 StPO unterliegen, insbesondere soweit das Zeugnisverweigerungsrecht mitwirkender Personen nach § 53a StPO greift.
neuland.ai AG gibt derartige Daten nicht ohne Einverständnis des Kunden (Berufsgeheimnisträger) heraus. Im Falle einer Beschlagnahme oder eines vergleichbaren Zugriffs durch Behörden wird neuland.ai AG dieser Maßnahme widersprechen und den Kunden unverzüglich informieren.
Unterauftragsverarbeitung
Die Verpflichtungen zu Zeugnisverweigerungsrecht und Beschlagnahmeschutz gelten entsprechend für sämtliche Unterauftragsverarbeiter, die im Rahmen der Vertragserfüllung Zugang zu Geheimnisschutzdaten erhalten können. neuland.ai AG stellt sicher, dass Unterauftragsverarbeiter über diese Rechte und Pflichten informiert werden.
Berufsrechtliche Grundlagen — Rechtsanwälte
§ 43e Bundesrechtsanwaltsordnung (BRAO) und § 203 Strafgesetzbuch (StGB)
Bundesrechtsanwaltsordnung (BRAO)
§ 43e Inanspruchnahme von Dienstleistungen
Gesetzestext im Volltext: gesetze-im-internet.de
(1) Der Rechtsanwalt darf Dienstleistern den Zugang zu Tatsachen eröffnen, auf die sich die Verpflichtung zur Verschwiegenheit gemäß § 43a Absatz 2 Satz 1 bezieht, soweit dies für die Inanspruchnahme der Dienstleistung erforderlich ist. Dienstleister ist eine andere Person oder Stelle, die vom Rechtsanwalt im Rahmen seiner Berufsausübung mit Dienstleistungen beauftragt wird.
(2) Der Rechtsanwalt ist verpflichtet, den Dienstleister sorgfältig auszuwählen. Er hat die Zusammenarbeit unverzüglich zu beenden, wenn die Einhaltung der dem Dienstleister gemäß Absatz 3 zu machenden Vorgaben nicht gewährleistet ist.
(3) Der Vertrag mit dem Dienstleister bedarf der Textform. In ihm ist
- der Dienstleister unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit zu verpflichten,
- der Dienstleister zu verpflichten, sich nur insoweit Kenntnis von fremden Geheimnissen zu verschaffen, als dies zur Vertragserfüllung erforderlich ist, und
- festzulegen, ob der Dienstleister befugt ist, weitere Personen zur Erfüllung des Vertrags heranzuziehen; für diesen Fall ist dem Dienstleister aufzuerlegen, diese Personen in Textform zur Verschwiegenheit zu verpflichten.
(4) Bei der Inanspruchnahme von Dienstleistungen, die im Ausland erbracht werden, darf der Rechtsanwalt dem Dienstleister den Zugang zu fremden Geheimnissen unbeschadet der übrigen Voraussetzungen dieser Vorschrift nur dann eröffnen, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist, es sei denn, dass der Schutz der Geheimnisse dies nicht gebietet.
(5) Bei der Inanspruchnahme von Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen, darf der Rechtsanwalt dem Dienstleister den Zugang zu fremden Geheimnissen nur dann eröffnen, wenn der Mandant darin eingewilligt hat.
(6) Die Absätze 2 und 3 gelten auch im Fall der Inanspruchnahme von Dienstleistungen, in die der Mandant eingewilligt hat, sofern der Mandant nicht ausdrücklich auf die Einhaltung der in den Absätzen 2 und 3 genannten Anforderungen verzichtet hat.
(7) Die Absätze 1 bis 6 gelten nicht, soweit Dienstleistungen auf Grund besonderer gesetzlicher Vorschriften in Anspruch genommen werden. Absatz 3 Satz 2 gilt nicht, soweit der Dienstleister hinsichtlich der zu erbringenden Dienstleistung gesetzlich zur Verschwiegenheit verpflichtet ist.
(8) Die Vorschriften zum Schutz personenbezogener Daten bleiben unberührt.
Strafgesetzbuch (StGB)
§ 203 Verletzung von Privatgeheimnissen
Gesetzestext im Volltext: gesetze-im-internet.de
(1) Wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als
- Arzt, Zahnarzt, Tierarzt, Apotheker oder Angehörigen eines anderen Heilberufs, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert,
- Berufspsychologen mit staatlich anerkannter wissenschaftlicher Abschlußprüfung,
- Rechtsanwalt, Kammerrechtsbeistand, Patentanwalt, Notar, Verteidiger in einem gesetzlich geordneten Verfahren, Wirtschaftsprüfer, vereidigtem Buchprüfer, Steuerberater, Steuerbevollmächtigten,
- Organ oder Mitglied eines Organs einer Wirtschaftsprüfungs-, Buchprüfungs- oder einer Berufsausübungsgesellschaft von Steuerberatern und Steuerbevollmächtigten, einer Berufsausübungsgesellschaft von Rechtsanwälten oder europäischen niedergelassenen Rechtsanwälten oder einer Berufsausübungsgesellschaft von Patentanwälten oder niedergelassenen europäischen Patentanwälten im Zusammenhang mit der Beratung und Vertretung der Wirtschaftsprüfungs-, Buchprüfungs- oder Berufsausübungsgesellschaft im Bereich der Wirtschaftsprüfung, Buchprüfung oder Hilfeleistung in Steuersachen oder ihrer rechtsanwaltlichen oder patentanwaltlichen Tätigkeit,
- Ehe-, Familien-, Erziehungs- oder Jugendberater sowie Berater für Suchtfragen in einer Beratungsstelle, die von einer Behörde oder Körperschaft, Anstalt oder Stiftung des öffentlichen Rechts anerkannt ist,
- Mitglied oder Beauftragten einer anerkannten Beratungsstelle nach den §§ 3 und 8 Absatz 1 des Schwangerschaftskonfliktgesetzes,
- staatlich anerkanntem Sozialarbeiter oder staatlich anerkanntem Sozialpädagogen oder
- Angehörigen eines Unternehmens der privaten Kranken-, Unfall- oder Lebensversicherung oder einer privatärztlichen, steuerberaterlichen oder anwaltlichen Verrechnungsstelle
anvertraut worden oder sonst bekanntgeworden ist, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.
(2) Ebenso wird bestraft, wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als
- Amtsträger oder Europäischer Amtsträger,
- für den öffentlichen Dienst besonders Verpflichteten,
- Person, die Aufgaben oder Befugnisse nach dem Personalvertretungsrecht wahrnimmt,
- Mitglied eines für ein Gesetzgebungsorgan des Bundes oder eines Landes tätigen Untersuchungsausschusses, sonstigen Ausschusses oder Rates, das nicht selbst Mitglied des Gesetzgebungsorgans ist, oder als Hilfskraft eines solchen Ausschusses oder Rates,
- öffentlich bestelltem Sachverständigen, der auf die gewissenhafte Erfüllung seiner Obliegenheiten auf Grund eines Gesetzes förmlich verpflichtet worden ist, oder
- Person, die auf die gewissenhafte Erfüllung ihrer Geheimhaltungspflicht bei der Durchführung wissenschaftlicher Forschungsvorhaben auf Grund eines Gesetzes förmlich verpflichtet worden ist,
anvertraut worden oder sonst bekanntgeworden ist. Einem Geheimnis im Sinne des Satzes 1 stehen Einzelangaben über persönliche oder sachliche Verhältnisse eines anderen gleich, die für Aufgaben der öffentlichen Verwaltung erfaßt worden sind; Satz 1 ist jedoch nicht anzuwenden, soweit solche Einzelangaben anderen Behörden oder sonstigen Stellen für Aufgaben der öffentlichen Verwaltung bekanntgegeben werden und das Gesetz dies nicht untersagt.
(3) Kein Offenbaren im Sinne dieser Vorschrift liegt vor, wenn die in den Absätzen 1 und 2 genannten Personen Geheimnisse den bei ihnen berufsmäßig tätigen Gehilfen oder den bei ihnen zur Vorbereitung auf den Beruf tätigen Personen zugänglich machen. Die in den Absätzen 1 und 2 Genannten dürfen fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist; das Gleiche gilt für sonstige mitwirkende Personen, wenn diese sich weiterer Personen bedienen, die an der beruflichen oder dienstlichen Tätigkeit der in den Absätzen 1 und 2 Genannten mitwirken.
(4) Mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe wird bestraft, wer unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person oder als bei den in den Absätzen 1 und 2 genannten Personen tätiger Datenschutzbeauftragter bekannt geworden ist. Ebenso wird bestraft, wer
- als in den Absätzen 1 und 2 genannte Person nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind,
- als im Absatz 3 genannte mitwirkende Person sich einer weiteren mitwirkenden Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, bedient und nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind, oder
- nach dem Tod der nach Satz 1 oder nach den Absätzen 1 oder 2 verpflichteten Person ein fremdes Geheimnis unbefugt offenbart, das er von dem Verstorbenen erfahren oder aus dessen Nachlass erlangt hat.
(5) Die Absätze 1 bis 4 sind auch anzuwenden, wenn der Täter das fremde Geheimnis nach dem Tod des Betroffenen unbefugt offenbart.
(6) Handelt der Täter gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, so ist die Strafe Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe.
Anlage
Zusatzvereinbarung StBerG: Verschwiegenheitsverpflichtung und Belehrung
zum Auftragsverarbeitungsvertrag
1. Anwendungsbereich
Diese Zusatzvereinbarung gilt für Kunden, die Steuerberater oder Steuerbevollmächtigte im Sinne des Steuerberatungsgesetzes (StBerG) sind, in Bezug auf die von neuland.ai AG bereitgestellte eigene Instanz. Zusicherungen in Bezug auf den „neuland.ai HUB" werden von neuland.ai AG diesbezüglich nicht gemacht und diese Zusatzvereinbarung findet insoweit keine Anwendung.
2. Verschwiegenheit
neuland.ai AG verpflichtet hiermit gegenüber Kunde, alle erlangten vertraulichen Informationen strikt geheim zu halten und vor dem Zugriff Dritter zu schützen.
3. Mitarbeiterverpflichtung
neuland.ai AG stellt sicher, dass alle mit der Verarbeitung befassten Mitarbeitenden sowie andere für neuland.ai AG tätige Personen (z. B. Unterauftragsverarbeiter), die Zugang zu vertraulichen Informationen erhalten können, in Textform zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen einer Pflichtverletzung belehrt werden.
4. Kenntniserlangung
neuland.ai AG darf sich nur insoweit Kenntnis von vertraulichen Informationen verschaffen, als dies für die im Hauptvertrag festgehaltenen Verpflichtungen erforderlich ist. neuland.ai AG ist berechtigt, Unterauftragsverarbeiter zur Vertragserfüllung heranzuziehen, sofern diese sorgfältig ausgewählt, in Textform zur Geheimhaltung verpflichtet und über die strafrechtlichen Folgen einer Pflichtverletzung belehrt werden. Unterauftragsverarbeiter im Ausland dürfen nur eingesetzt werden, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist.
5. Strafrechtliche Belehrung
Kunde belehrt neuland.ai AG hiermit, dass der Bruch der Verschwiegenheit oder die Verwertung fremder Geheimnisse durch neuland.ai AG für die mitwirkenden Personen strafbar ist (§§ 203 Abs. 1, Abs. 4 S. 1 StGB, § 204 StGB) und mit Freiheitsstrafe bis zu einem Jahr, im Fall von § 204 StGB mit Freiheitsstrafe bis zu zwei Jahren, oder mit Geldstrafe bestraft werden kann. Die Strafandrohung erhöht sich auf Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, sofern die entsprechende Person in Bereicherungsabsicht, auch wenn sie zu Gunsten Dritter bestehen sollte, handelt, oder die Absicht hat, durch die Tat einen anderen zu schädigen.
6. Einschaltung weiterer Personen
Kunde belehrt neuland.ai AG vorsorglich, dass sich mitwirkende Personen im Falle der Einschaltung weiterer Personen bei Strafandrohung von Freiheitsstrafe bis zu einem Jahr oder Geldstrafe strafbar machen, wenn diese weitere Person die Verschwiegenheit bricht, und die mitwirkende Person zugleich nicht dafür Sorge getragen hat, dass erstere zur Verschwiegenheit verpflichtet wurde (§§ 203 Abs. 1, Abs. 4 S. 2 Nr. 2 StGB). Die Strafandrohung erhöht sich auf Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, sofern der Täter in Bereicherungsabsicht, auch wenn sie zu Gunsten Dritter bestehen sollte, handelt, oder die Absicht hat, durch die Tat einen anderen zu schädigen. Diese Verpflichtung gilt für sämtliche weitere Unterbeauftragungen.
7. Gesetzesanlagen
Bestandteil dieser Belehrung ist auch der Wortlaut der einschlägigen Gesetze, die in aktueller Fassung als Anlage beigefügt sind — insbesondere § 62a StBerG, § 203 StGB sowie §§ 53a und 97 StPO.
8. Schutzmaßnahmen
neuland.ai AG wird angemessene organisatorische und technische Maßnahmen zum Schutz der Vertraulichkeit der vertraulichen Informationen aufrechterhalten und verpflichtet sich, vertrauliche Informationen angemessen gemäß akzeptierter Sicherheitsstandards nach dem aktuellen Stand der Technik zu schützen. Das Sicherheitsniveau darf hierbei nicht geringer als bei eigenen vertraulichen Informationen angelegt werden.
9. Zeitliche Geltung
Die Verschwiegenheitsverpflichtung nach dieser Vereinbarung gilt zeitlich unbeschränkt.
10. Verfahrensrechtlicher Schutz (StPO)
Kunde weist neuland.ai AG darauf hin, dass im Rahmen der Auftragsverarbeitung auch Daten verarbeitet werden können, die einem steuerberaterlichen Berufsgeheimnis im Sinne des StBerG und des § 203 StGB unterliegen.
Zeugnisverweigerungsrecht (§ 53a StPO)
Daten, die neuland.ai AG im Auftrag eines Berufsgeheimnisträgers verarbeitet, können dem Zeugnisverweigerungsrecht mitwirkender Personen unterliegen (§ 53a Strafprozessordnung, StPO). Über die Ausübung des Zeugnisverweigerungsrechts entscheidet der Berufsgeheimnisträger als Kunde.
Wird neuland.ai AG durch Strafverfolgungs- oder andere Behörden zur Offenlegung von Informationen oder zur Aussage aufgefordert, die dem Berufsgeheimnis unterliegen könnten, wird neuland.ai AG unter Hinweis auf § 53a StPO widersprechen und den Kunden unverzüglich informieren, damit dieser über die Wahrnehmung des Zeugnisverweigerungsrechts entscheiden kann.
Beschlagnahmeschutz (§ 97 StPO)
Geheimnisschutzdaten, die sich im Gewahrsam von neuland.ai AG befinden, können dem Beschlagnahmeverbot gemäß § 97 StPO unterliegen, insbesondere soweit das Zeugnisverweigerungsrecht mitwirkender Personen nach § 53a StPO greift.
neuland.ai AG gibt derartige Daten nicht ohne Einverständnis des Kunden (Berufsgeheimnisträger) heraus. Im Falle einer Beschlagnahme oder eines vergleichbaren Zugriffs durch Behörden wird neuland.ai AG dieser Maßnahme widersprechen und den Kunden unverzüglich informieren.
Unterauftragsverarbeitung
Die Verpflichtungen zu Zeugnisverweigerungsrecht und Beschlagnahmeschutz gelten entsprechend für sämtliche Unterauftragsverarbeiter, die im Rahmen der Vertragserfüllung Zugang zu Geheimnisschutzdaten erhalten können. neuland.ai AG stellt sicher, dass Unterauftragsverarbeiter über diese Rechte und Pflichten informiert werden.
Berufsrechtliche Grundlagen — Steuerberater
§ 62a Steuerberatungsgesetz (StBerG) und § 203 Strafgesetzbuch (StGB)
Steuerberatungsgesetz (StBerG)
§ 62a Inanspruchnahme von Dienstleistungen
Gesetzestext im Volltext: gesetze-im-internet.de
(1) Steuerberater und Steuerbevollmächtigte dürfen Dienstleistern den Zugang zu Tatsachen eröffnen, auf die sich die Verpflichtung zur Verschwiegenheit gemäß § 57 Absatz 1 bezieht, soweit dies für die Inanspruchnahme der Dienstleistung erforderlich ist. Dienstleister ist eine andere Person oder Stelle, die vom Steuerberater oder vom Steuerbevollmächtigten im Rahmen seiner Berufsausübung mit Dienstleistungen beauftragt wird.
(2) Steuerberater und Steuerbevollmächtigte sind verpflichtet, den Dienstleister sorgfältig auszuwählen. Die Zusammenarbeit muss unverzüglich beendet werden, wenn die Einhaltung der dem Dienstleister gemäß Absatz 3 zu machenden Vorgaben nicht gewährleistet ist.
(3) Der Vertrag mit dem Dienstleister bedarf der Textform. In ihm ist
- der Dienstleister unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit zu verpflichten,
- der Dienstleister zu verpflichten, sich nur insoweit Kenntnis von fremden Geheimnissen zu verschaffen, als dies zur Vertragserfüllung erforderlich ist, und
- festzulegen, ob der Dienstleister befugt ist, weitere Personen zur Erfüllung des Vertrags heranzuziehen; für diesen Fall ist dem Dienstleister aufzuerlegen, diese Personen in Textform zur Verschwiegenheit zu verpflichten.
(4) Bei der Inanspruchnahme von Dienstleistungen, die im Ausland erbracht werden, darf der Steuerberater und der Steuerbevollmächtigte dem Dienstleister den Zugang zu fremden Geheimnissen unbeschadet der übrigen Voraussetzungen dieser Vorschrift nur dann eröffnen, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist, es sei denn, dass der Schutz der Geheimnisse dies nicht gebietet.
(5) Bei der Inanspruchnahme von Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen, darf der Steuerberater und der Steuerbevollmächtigte dem Dienstleister den Zugang zu fremden Geheimnissen nur dann eröffnen, wenn der Mandant darin eingewilligt hat.
(6) Die Absätze 2 und 3 gelten auch im Fall der Inanspruchnahme von Dienstleistungen, in die der Mandant eingewilligt hat, sofern der Mandant nicht ausdrücklich auf die Einhaltung der in den Absätzen 2 und 3 genannten Anforderungen verzichtet hat.
(7) Die Absätze 1 bis 6 gelten nicht, soweit Dienstleistungen auf Grund besonderer gesetzlicher Vorschriften in Anspruch genommen werden. Absatz 3 Satz 2 gilt nicht, soweit der Dienstleister hinsichtlich der zu erbringenden Dienstleistung gesetzlich zur Verschwiegenheit verpflichtet ist.
(8) Die Vorschriften zum Schutz personenbezogener Daten bleiben unberührt.
Strafgesetzbuch (StGB)
§ 203 Verletzung von Privatgeheimnissen
Gesetzestext im Volltext: gesetze-im-internet.de
(1) Wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als
- Arzt, Zahnarzt, Tierarzt, Apotheker oder Angehörigen eines anderen Heilberufs, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert,
- Berufspsychologen mit staatlich anerkannter wissenschaftlicher Abschlußprüfung,
- Rechtsanwalt, Kammerrechtsbeistand, Patentanwalt, Notar, Verteidiger in einem gesetzlich geordneten Verfahren, Wirtschaftsprüfer, vereidigtem Buchprüfer, Steuerberater, Steuerbevollmächtigten,
- Organ oder Mitglied eines Organs einer Wirtschaftsprüfungs-, Buchprüfungs- oder einer Berufsausübungsgesellschaft von Steuerberatern und Steuerbevollmächtigten, einer Berufsausübungsgesellschaft von Rechtsanwälten oder europäischen niedergelassenen Rechtsanwälten oder einer Berufsausübungsgesellschaft von Patentanwälten oder niedergelassenen europäischen Patentanwälten im Zusammenhang mit der Beratung und Vertretung der Wirtschaftsprüfungs-, Buchprüfungs- oder Berufsausübungsgesellschaft im Bereich der Wirtschaftsprüfung, Buchprüfung oder Hilfeleistung in Steuersachen oder ihrer rechtsanwaltlichen oder patentanwaltlichen Tätigkeit,
- Ehe-, Familien-, Erziehungs- oder Jugendberater sowie Berater für Suchtfragen in einer Beratungsstelle, die von einer Behörde oder Körperschaft, Anstalt oder Stiftung des öffentlichen Rechts anerkannt ist,
- Mitglied oder Beauftragten einer anerkannten Beratungsstelle nach den §§ 3 und 8 Absatz 1 des Schwangerschaftskonfliktgesetzes,
- staatlich anerkanntem Sozialarbeiter oder staatlich anerkanntem Sozialpädagogen oder
- Angehörigen eines Unternehmens der privaten Kranken-, Unfall- oder Lebensversicherung oder einer privatärztlichen, steuerberaterlichen oder anwaltlichen Verrechnungsstelle
anvertraut worden oder sonst bekanntgeworden ist, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.
(2) Ebenso wird bestraft, wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als
- Amtsträger oder Europäischer Amtsträger,
- für den öffentlichen Dienst besonders Verpflichteten,
- Person, die Aufgaben oder Befugnisse nach dem Personalvertretungsrecht wahrnimmt,
- Mitglied eines für ein Gesetzgebungsorgan des Bundes oder eines Landes tätigen Untersuchungsausschusses, sonstigen Ausschusses oder Rates, das nicht selbst Mitglied des Gesetzgebungsorgans ist, oder als Hilfskraft eines solchen Ausschusses oder Rates,
- öffentlich bestelltem Sachverständigen, der auf die gewissenhafte Erfüllung seiner Obliegenheiten auf Grund eines Gesetzes förmlich verpflichtet worden ist, oder
- Person, die auf die gewissenhafte Erfüllung ihrer Geheimhaltungspflicht bei der Durchführung wissenschaftlicher Forschungsvorhaben auf Grund eines Gesetzes förmlich verpflichtet worden ist,
anvertraut worden oder sonst bekanntgeworden ist. Einem Geheimnis im Sinne des Satzes 1 stehen Einzelangaben über persönliche oder sachliche Verhältnisse eines anderen gleich, die für Aufgaben der öffentlichen Verwaltung erfaßt worden sind; Satz 1 ist jedoch nicht anzuwenden, soweit solche Einzelangaben anderen Behörden oder sonstigen Stellen für Aufgaben der öffentlichen Verwaltung bekanntgegeben werden und das Gesetz dies nicht untersagt.
(3) Kein Offenbaren im Sinne dieser Vorschrift liegt vor, wenn die in den Absätzen 1 und 2 genannten Personen Geheimnisse den bei ihnen berufsmäßig tätigen Gehilfen oder den bei ihnen zur Vorbereitung auf den Beruf tätigen Personen zugänglich machen. Die in den Absätzen 1 und 2 Genannten dürfen fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist; das Gleiche gilt für sonstige mitwirkende Personen, wenn diese sich weiterer Personen bedienen, die an der beruflichen oder dienstlichen Tätigkeit der in den Absätzen 1 und 2 Genannten mitwirken.
(4) Mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe wird bestraft, wer unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person oder als bei den in den Absätzen 1 und 2 genannten Personen tätiger Datenschutzbeauftragter bekannt geworden ist. Ebenso wird bestraft, wer
- als in den Absätzen 1 und 2 genannte Person nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind,
- als im Absatz 3 genannte mitwirkende Person sich einer weiteren mitwirkenden Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, bedient und nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind, oder
- nach dem Tod der nach Satz 1 oder nach den Absätzen 1 oder 2 verpflichteten Person ein fremdes Geheimnis unbefugt offenbart, das er von dem Verstorbenen erfahren oder aus dessen Nachlass erlangt hat.
(5) Die Absätze 1 bis 4 sind auch anzuwenden, wenn der Täter das fremde Geheimnis nach dem Tod des Betroffenen unbefugt offenbart.
(6) Handelt der Täter gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, so ist die Strafe Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe.
Anlage
Zusatzvereinbarung: Verschwiegenheitsverpflichtung und Belehrung für Ärzte
zum Auftragsverarbeitungsvertrag
1. Anwendungsbereich
Diese Zusatzvereinbarung gilt für Kunden, die als Ärzte oder Angehörige eines anderen Heilberufs im Sinne des § 203 Strafgesetzbuch (StGB) tätig sind, in Bezug auf die von neuland.ai AG bereitgestellte eigene Instanz. Zusicherungen in Bezug auf den „neuland.ai HUB" werden von neuland.ai AG diesbezüglich nicht gemacht und diese Zusatzvereinbarung findet insoweit keine Anwendung.
2. Verschwiegenheit
neuland.ai AG verpflichtet hiermit gegenüber Kunde, alle erlangten vertraulichen Informationen strikt geheim zu halten und vor dem Zugriff Dritter zu schützen.
3. Mitarbeiterverpflichtung
neuland.ai AG stellt sicher, dass alle mit der Verarbeitung befassten Mitarbeitenden sowie andere für neuland.ai AG tätige Personen (z. B. Unterauftragsverarbeiter), die Zugang zu vertraulichen Informationen erhalten können, in Textform zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen einer Pflichtverletzung belehrt werden.
4. Kenntniserlangung
neuland.ai AG darf sich nur insoweit Kenntnis von vertraulichen Informationen verschaffen, als dies für die im Hauptvertrag festgehaltenen Verpflichtungen erforderlich ist. neuland.ai AG ist berechtigt, Unterauftragsverarbeiter zur Vertragserfüllung heranzuziehen, sofern diese sorgfältig ausgewählt, in Textform zur Geheimhaltung verpflichtet und über die strafrechtlichen Folgen einer Pflichtverletzung belehrt werden. Unterauftragsverarbeiter im Ausland dürfen nur eingesetzt werden, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist.
5. Strafrechtliche Belehrung
Kunde belehrt neuland.ai AG hiermit, dass der Bruch der Verschwiegenheit oder die Verwertung fremder Geheimnisse durch neuland.ai AG für die mitwirkenden Personen strafbar ist (§§ 203 Abs. 1, Abs. 4 S. 1 StGB, § 204 StGB) und mit Freiheitsstrafe bis zu einem Jahr, im Fall von § 204 StGB mit Freiheitsstrafe bis zu zwei Jahren, oder mit Geldstrafe bestraft werden kann. Die Strafandrohung erhöht sich auf Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, sofern die entsprechende Person in Bereicherungsabsicht, auch wenn sie zu Gunsten Dritter bestehen sollte, handelt, oder die Absicht hat, durch die Tat einen anderen zu schädigen.
6. Einschaltung weiterer Personen
Kunde belehrt neuland.ai AG vorsorglich, dass sich mitwirkende Personen im Falle der Einschaltung weiterer Personen bei Strafandrohung von Freiheitsstrafe bis zu einem Jahr oder Geldstrafe strafbar machen, wenn diese weitere Person die Verschwiegenheit bricht, und die mitwirkende Person zugleich nicht dafür Sorge getragen hat, dass erstere zur Verschwiegenheit verpflichtet wurde (§§ 203 Abs. 1, Abs. 4 S. 2 Nr. 2 StGB). Die Strafandrohung erhöht sich auf Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, sofern der Täter in Bereicherungsabsicht, auch wenn sie zu Gunsten Dritter bestehen sollte, handelt, oder die Absicht hat, durch die Tat einen anderen zu schädigen. Diese Verpflichtung gilt für sämtliche weitere Unterbeauftragungen.
7. Gesetzesanlagen
Bestandteil dieser Belehrung ist auch der Wortlaut der einschlägigen Gesetze, die in aktueller Fassung als Anlage beigefügt sind — insbesondere § 203 StGB sowie §§ 53a und 97 StPO.
8. Schutzmaßnahmen
neuland.ai AG wird angemessene organisatorische und technische Maßnahmen zum Schutz der Vertraulichkeit der vertraulichen Informationen aufrechterhalten und verpflichtet sich, vertrauliche Informationen angemessen gemäß akzeptierter Sicherheitsstandards nach dem aktuellen Stand der Technik zu schützen. Das Sicherheitsniveau darf hierbei nicht geringer als bei eigenen vertraulichen Informationen angelegt werden.
9. Zeitliche Geltung
Die Verschwiegenheitsverpflichtung nach dieser Vereinbarung gilt zeitlich unbeschränkt.
10. Verfahrensrechtlicher Schutz (StPO)
Kunde weist neuland.ai AG darauf hin, dass im Rahmen der Auftragsverarbeitung auch Daten verarbeitet werden können, die einem ärztlichen Berufsgeheimnis im Sinne des § 203 StGB unterliegen.
Zeugnisverweigerungsrecht (§ 53a StPO)
Daten, die neuland.ai AG im Auftrag eines Berufsgeheimnisträgers verarbeitet, können dem Zeugnisverweigerungsrecht mitwirkender Personen unterliegen (§ 53a Strafprozessordnung, StPO). Über die Ausübung des Zeugnisverweigerungsrechts entscheidet der Berufsgeheimnisträger als Kunde.
Wird neuland.ai AG durch Strafverfolgungs- oder andere Behörden zur Offenlegung von Informationen oder zur Aussage aufgefordert, die dem Berufsgeheimnis unterliegen könnten, wird neuland.ai AG unter Hinweis auf § 53a StPO widersprechen und den Kunden unverzüglich informieren, damit dieser über die Wahrnehmung des Zeugnisverweigerungsrechts entscheiden kann.
Beschlagnahmeschutz (§ 97 StPO)
Geheimnisschutzdaten, die sich im Gewahrsam von neuland.ai AG befinden, können dem Beschlagnahmeverbot gemäß § 97 StPO unterliegen, insbesondere soweit das Zeugnisverweigerungsrecht mitwirkender Personen nach § 53a StPO greift.
neuland.ai AG gibt derartige Daten nicht ohne Einverständnis des Kunden (Berufsgeheimnisträger) heraus. Im Falle einer Beschlagnahme oder eines vergleichbaren Zugriffs durch Behörden wird neuland.ai AG dieser Maßnahme widersprechen und den Kunden unverzüglich informieren.
Unterauftragsverarbeitung
Die Verpflichtungen zu Zeugnisverweigerungsrecht und Beschlagnahmeschutz gelten entsprechend für sämtliche Unterauftragsverarbeiter, die im Rahmen der Vertragserfüllung Zugang zu Geheimnisschutzdaten erhalten können. neuland.ai AG stellt sicher, dass Unterauftragsverarbeiter über diese Rechte und Pflichten informiert werden.
Berufsrechtliche Grundlagen — Ärzte
§ 203 Strafgesetzbuch (StGB)
Strafgesetzbuch (StGB)
§ 203 Verletzung von Privatgeheimnissen
Gesetzestext im Volltext: gesetze-im-internet.de
(1) Wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als
- Arzt, Zahnarzt, Tierarzt, Apotheker oder Angehörigen eines anderen Heilberufs, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert,
- Berufspsychologen mit staatlich anerkannter wissenschaftlicher Abschlußprüfung,
- Rechtsanwalt, Kammerrechtsbeistand, Patentanwalt, Notar, Verteidiger in einem gesetzlich geordneten Verfahren, Wirtschaftsprüfer, vereidigtem Buchprüfer, Steuerberater, Steuerbevollmächtigten,
- Organ oder Mitglied eines Organs einer Wirtschaftsprüfungs-, Buchprüfungs- oder einer Berufsausübungsgesellschaft von Steuerberatern und Steuerbevollmächtigten, einer Berufsausübungsgesellschaft von Rechtsanwälten oder europäischen niedergelassenen Rechtsanwälten oder einer Berufsausübungsgesellschaft von Patentanwälten oder niedergelassenen europäischen Patentanwälten im Zusammenhang mit der Beratung und Vertretung der Wirtschaftsprüfungs-, Buchprüfungs- oder Berufsausübungsgesellschaft im Bereich der Wirtschaftsprüfung, Buchprüfung oder Hilfeleistung in Steuersachen oder ihrer rechtsanwaltlichen oder patentanwaltlichen Tätigkeit,
- Ehe-, Familien-, Erziehungs- oder Jugendberater sowie Berater für Suchtfragen in einer Beratungsstelle, die von einer Behörde oder Körperschaft, Anstalt oder Stiftung des öffentlichen Rechts anerkannt ist,
- Mitglied oder Beauftragten einer anerkannten Beratungsstelle nach den §§ 3 und 8 Absatz 1 des Schwangerschaftskonfliktgesetzes,
- staatlich anerkanntem Sozialarbeiter oder staatlich anerkanntem Sozialpädagogen oder
- Angehörigen eines Unternehmens der privaten Kranken-, Unfall- oder Lebensversicherung oder einer privatärztlichen, steuerberaterlichen oder anwaltlichen Verrechnungsstelle
anvertraut worden oder sonst bekanntgeworden ist, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.
(2) Ebenso wird bestraft, wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als
- Amtsträger oder Europäischer Amtsträger,
- für den öffentlichen Dienst besonders Verpflichteten,
- Person, die Aufgaben oder Befugnisse nach dem Personalvertretungsrecht wahrnimmt,
- Mitglied eines für ein Gesetzgebungsorgan des Bundes oder eines Landes tätigen Untersuchungsausschusses, sonstigen Ausschusses oder Rates, das nicht selbst Mitglied des Gesetzgebungsorgans ist, oder als Hilfskraft eines solchen Ausschusses oder Rates,
- öffentlich bestelltem Sachverständigen, der auf die gewissenhafte Erfüllung seiner Obliegenheiten auf Grund eines Gesetzes förmlich verpflichtet worden ist, oder
- Person, die auf die gewissenhafte Erfüllung ihrer Geheimhaltungspflicht bei der Durchführung wissenschaftlicher Forschungsvorhaben auf Grund eines Gesetzes förmlich verpflichtet worden ist,
anvertraut worden oder sonst bekanntgeworden ist. Einem Geheimnis im Sinne des Satzes 1 stehen Einzelangaben über persönliche oder sachliche Verhältnisse eines anderen gleich, die für Aufgaben der öffentlichen Verwaltung erfaßt worden sind; Satz 1 ist jedoch nicht anzuwenden, soweit solche Einzelangaben anderen Behörden oder sonstigen Stellen für Aufgaben der öffentlichen Verwaltung bekanntgegeben werden und das Gesetz dies nicht untersagt.
(3) Kein Offenbaren im Sinne dieser Vorschrift liegt vor, wenn die in den Absätzen 1 und 2 genannten Personen Geheimnisse den bei ihnen berufsmäßig tätigen Gehilfen oder den bei ihnen zur Vorbereitung auf den Beruf tätigen Personen zugänglich machen. Die in den Absätzen 1 und 2 Genannten dürfen fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist; das Gleiche gilt für sonstige mitwirkende Personen, wenn diese sich weiterer Personen bedienen, die an der beruflichen oder dienstlichen Tätigkeit der in den Absätzen 1 und 2 Genannten mitwirken.
(4) Mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe wird bestraft, wer unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person oder als bei den in den Absätzen 1 und 2 genannten Personen tätiger Datenschutzbeauftragter bekannt geworden ist. Ebenso wird bestraft, wer
- als in den Absätzen 1 und 2 genannte Person nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind,
- als im Absatz 3 genannte mitwirkende Person sich einer weiteren mitwirkenden Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, bedient und nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind, oder
- nach dem Tod der nach Satz 1 oder nach den Absätzen 1 oder 2 verpflichteten Person ein fremdes Geheimnis unbefugt offenbart, das er von dem Verstorbenen erfahren oder aus dessen Nachlass erlangt hat.
(5) Die Absätze 1 bis 4 sind auch anzuwenden, wenn der Täter das fremde Geheimnis nach dem Tod des Betroffenen unbefugt offenbart.
(6) Handelt der Täter gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, so ist die Strafe Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe.
Verfahrensrechtliche Anlagen
§§ 53a und 97 Strafprozessordnung (StPO)
Strafprozessordnung (StPO)
§ 53a Zeugnisverweigerungsrecht der mitwirkenden Personen
Gesetzestext im Volltext: gesetze-im-internet.de
(1) Den Berufsgeheimnisträgern nach § 53 Absatz 1 Satz 1 Nummer 1 bis 4 stehen die Personen gleich, die im Rahmen
- eines Vertragsverhältnisses einschließlich der gemeinschaftlichen Berufsausübung,
- einer berufsvorbereitenden Tätigkeit oder
- einer sonstigen Hilfstätigkeit
an deren beruflicher Tätigkeit mitwirken. Über die Ausübung des Rechts dieser Personen, das Zeugnis zu verweigern, entscheiden die Berufsgeheimnisträger, es sei denn, dass diese Entscheidung in absehbarer Zeit nicht herbeigeführt werden kann.
(2) Die Entbindung von der Verpflichtung zur Verschwiegenheit (§ 53 Absatz 2 Satz 1) gilt auch für die nach Absatz 1 mitwirkenden Personen.
Strafprozessordnung (StPO)
§ 97 Beschlagnahmeverbot
Gesetzestext im Volltext: gesetze-im-internet.de
(1) Der Beschlagnahme unterliegen nicht
- schriftliche Mitteilungen zwischen dem Beschuldigten und den Personen, die nach § 52 oder § 53 Abs. 1 Satz 1 Nr. 1 bis 3b das Zeugnis verweigern dürfen;
- Aufzeichnungen, welche die in § 53 Abs. 1 Satz 1 Nr. 1 bis 3b Genannten über die ihnen vom Beschuldigten anvertrauten Mitteilungen oder über andere Umstände gemacht haben, auf die sich das Zeugnisverweigerungsrecht erstreckt;
- andere Gegenstände einschließlich der ärztlichen Untersuchungsbefunde, auf die sich das Zeugnisverweigerungsrecht der in § 53 Abs. 1 Satz 1 Nr. 1 bis 3b Genannten erstreckt.
(2) Diese Beschränkungen gelten nur, wenn die Gegenstände im Gewahrsam der zur Verweigerung des Zeugnisses Berechtigten sind, es sei denn, es handelt sich um eine elektronische Gesundheitskarte im Sinne des § 291a des Fünften Buches Sozialgesetzbuch. Die Beschränkungen der Beschlagnahme gelten nicht, wenn bestimmte Tatsachen den Verdacht begründen, dass die zeugnisverweigerungsberechtigte Person an der Tat oder an einer Datenhehlerei, Begünstigung, Strafvereitelung oder Hehlerei beteiligt ist, oder wenn es sich um Gegenstände handelt, die durch eine Straftat hervorgebracht oder zur Begehung einer Straftat gebraucht oder bestimmt sind oder die aus einer Straftat herrühren.
(3) Die Absätze 1 und 2 sind entsprechend anzuwenden, soweit die Personen, die nach § 53a Absatz 1 Satz 1 an der beruflichen Tätigkeit der in § 53 Absatz 1 Satz 1 Nummer 1 bis 3b genannten Personen mitwirken, das Zeugnis verweigern dürfen.
Zusatzvereinbarungen der Unterauftragsverarbeiter
Anlage zur Zusatzvereinbarung für Berufsgeheimnisträger
Für den Einsatz durch Berufsgeheimnisträger bestehen mit den folgenden Unterauftragsverarbeitern gesonderte Zusatzvereinbarungen zum Schutz von Berufsgeheimnissen. Diese Dokumente sind Bestandteil dieses Auftragsverarbeitungsvertrags und nachfolgend vollständig abgedruckt.
Zusatzvereinbarung für Berufsgeheimnisträger
Microsoft Deutschland GmbH
Gesonderte Zusatzvereinbarung zwischen neuland.ai AG und dem Unterauftragsverarbeiter zum Schutz von Berufsgeheimnissen — regelt Verschwiegenheitspflichten und den Umgang mit vertraulichen Mandantendaten.
Dokument wird geladen …
Zusatzvereinbarung für Berufsgeheimnisträger
Google Cloud EMEA Limited
Gesonderte Zusatzvereinbarung zwischen neuland.ai AG und dem Unterauftragsverarbeiter zum Schutz von Berufsgeheimnissen — regelt Verschwiegenheitspflichten und den Umgang mit vertraulichen Mandantendaten.
Dokument wird geladen …
Weisungsberechtigte und Weisungsempfänger
Anlage zum Auftragsverarbeitungsvertrag gemäß Abschnitt VIII (Weisungsrecht des Verantwortlichen)
Weisungsberechtigt für den Verantwortlichen (Musterfirma GmbH) sind:
| Name | Funktion | |
|---|---|---|
| Max Mustermann | Geschäftsführung | kontakt@musterfirma.de |
Weisungsempfänger beim Auftragsverarbeiter (neuland.ai AG) sind:
| Name | Funktion | |
|---|---|---|
| Yunus Philip Uyargil | Vorstand | datenschutz@neuland.ai |
Weisungen sind grundsätzlich an die benannten Weisungsempfänger zu richten. Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich oder elektronisch die Nachfolger bzw. die Vertreter mitzuteilen.
Technische und organisatorische Maßnahmen (TOM)
neuland.ai AG · Anlage zum Auftragsverarbeitungsvertrag
Zutrittskontrolle
Unbefugten den Zutritt zu Datenverarbeitungsanlagen zu verwehren
Implementierte Maßnahmen:
- • Physische Sicherung der Serverräume und Rechenzentren
- • Biometrische Zugangskontrollen und Chipkarten-Systeme
- • 24/7 Überwachung durch Sicherheitspersonal
- • Besuchermanagement und Begleitpflicht
- • Videoüberwachung kritischer Bereiche
Zugangskontrolle
Unbefugten die Nutzung von Datenverarbeitungssystemen zu verwehren
Implementierte Maßnahmen:
- • Multi-Faktor-Authentifizierung für alle Systeme
- • Rollenbasierte Zugriffskontrolle (RBAC)
- • Regelmäßige Überprüfung und Aktualisierung von Benutzerrechten
- • Automatische Sperrung inaktiver Accounts
- • Single Sign-On (SSO) mit zentraler Benutzerverwaltung
Zugriffskontrolle
Gewährleistung, dass nur autorisierte Personen auf relevante Daten zugreifen können
Implementierte Maßnahmen:
- • Granulare Berechtigungskonzepte auf Datenebene
- • Prinzip der minimalen Berechtigung (Least Privilege)
- • Regelmäßige Access Reviews und Rezertifizierung
- • Automatisierte Rechtevergabe basierend auf Rollen
- • Logging und Monitoring aller Zugriffe
Weitergabekontrolle
Gewährleistung, dass personenbezogene Daten bei der Übertragung nicht unbefugt gelesen werden
Implementierte Maßnahmen:
- • Ende-zu-Ende-Verschlüsselung aller Datenübertragungen
- • TLS 1.3 für alle Webverbindungen
- • VPN-Verbindungen für Remote-Zugriffe
- • Sichere API-Kommunikation mit OAuth 2.0
- • Regelmäßige Überprüfung der Verschlüsselungsstandards
Eingabekontrolle
Nachvollziehbarkeit, wer wann welche Daten eingegeben, verändert oder entfernt hat
Implementierte Maßnahmen:
- • Umfassende Audit-Logs für alle Datenoperationen
- • Versionierung und Change-Tracking
- • Digitale Signaturen für kritische Änderungen
- • Automatisierte Benachrichtigungen bei Datenänderungen
- • Regelmäßige Log-Analyse und Anomalie-Erkennung
Auftragskontrolle
Gewährleistung, dass Daten nur entsprechend den Weisungen des Auftraggebers verarbeitet werden
Implementierte Maßnahmen:
- • Klare Verarbeitungsrichtlinien und SOPs
- • Regelmäßige Schulungen der Mitarbeiter
- • Technische Durchsetzung von Verarbeitungsregeln
- • Monitoring und Alerting bei Regelabweichungen
- • Dokumentation aller Verarbeitungsaktivitäten
Verfügbarkeitskontrolle
Gewährleistung, dass Daten gegen zufällige Zerstörung oder Verlust geschützt sind
Implementierte Maßnahmen:
- • Redundante Backup-Systeme mit geografischer Verteilung
- • Disaster Recovery Pläne mit definierten RTOs/RPOs
- • Hochverfügbare Systemarchitektur mit Failover
- • Regelmäßige Backup-Tests und Restore-Übungen
- • 24/7 Monitoring und Incident Response
Trennungskontrolle
Gewährleistung, dass Daten verschiedener Auftraggeber getrennt verarbeitet werden
Implementierte Maßnahmen:
- • Mandantenfähige Systemarchitektur
- • Logische und physische Datentrennung
- • Separate Verarbeitungsumgebungen pro Kunde
- • Verschlüsselung mit kundenspezifischen Schlüsseln
- • Regelmäßige Überprüfung der Trennungsmaßnahmen
Unterauftragsverarbeiter
neuland.ai AG · Anlage zum Auftragsverarbeitungsvertrag
Übersicht über alle Unterauftragsverarbeiter, die von neuland.ai AG zur Erbringung unserer Dienstleistungen eingesetzt werden. Alle Unterauftragsverarbeiter wurden sorgfältig ausgewählt und erfüllen die Anforderungen der DSGVO.
Microsoft Deutschland GmbH
Deutschland · KI-Services
Anschrift
Walter-Gropius-Straße 5, 80807 München
Dienstleistung
Azure AI Studio / Azure OpenAI, Azure Container Registry, Azure Kubernetes Service, Azure Document Intelligence, Azure CosmosDB, Azure Qdrant Vector Database (Marketplace)
Verarbeitungszweck
Bereitstellung von KI-Services, Container-Management, Dokumentenverarbeitung und Datenbankdiensten
Zertifizierungen
ISO 27001, ISO 27017, ISO 27018, SOC 1/2/3
Microsoft Ireland Operations Ltd.
Irland (EU) · Kommunikation
Anschrift
One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland
Dienstleistung
Datenaustausch (MS Teams oder Outlook), soweit Auftragsdaten übermittelt werden
Verarbeitungszweck
Kommunikation und Datenaustausch über Microsoft Teams und Outlook — nur soweit dabei personenbezogene Auftragsdaten übermittelt oder gespeichert werden
Zertifizierungen
ISO 27001, SOC 2 Type II
Google Cloud EMEA Limited
Irland (EU) · KI-Services
Anschrift
70 Sir John Rogerson's Quay, Dublin 2, Irland
Dienstleistung
Google Vertex AI (Verwendung von Anthropic- und Gemini-Modellen)
Verarbeitungszweck
Bereitstellung von KI-Services (u. a. generative KI-Modelle, ML-Inferenz und KI-gestützte Datenverarbeitung) über Google Vertex AI
Zertifizierungen
ISO 27001, ISO 27017, ISO 27018, ISO 27701, ISO 42001, SOC 1/2/3
Perplexity AI, Inc
USA · KI-Services
Dienstleistung
AI Computing aktuelle Ereignisse (optional): Sprachverarbeitung
Verarbeitungszweck
Verarbeitung aktueller Ereignisse und Informationen mittels KI
Garantien
EU-US Data Privacy Framework
Zertifizierungen
SOC 2 Type II, SOC 2 Type I, GDPR, HIPAA Gap Assessment
STACKIT (Schwarz Digits Cloud GmbH & Co. KG)
Deutschland · KI-Services
Anschrift
Stiftsbergstraße 1, 74172 Neckarsulm
Dienstleistung
STACKIT AI Model Serving (LLM-Inferenz), Compute & Kubernetes, Object Storage, Managed Databases / Vektordatenbank, Dokumentenverarbeitung
Verarbeitungszweck
Bereitstellung von KI-Services (LLM-Inferenz), Cloud-Infrastruktur, Datenbank- und Vektordatenbankdiensten sowie Dokumentenverarbeitung in einer souveränen deutschen Cloud
Zertifizierungen
ISO 27001, BSI C5, ISAE 3000 (SOC 2), ISAE 3402