Zusatzvereinbarung für Berufsgeheimnisträger (§ 203 StGB, § 43e BRAO)

ENTWURF — vor Verwendung juristisch prüfen. Dieses Dokument ist eine Vorlage zur eigenen Prüfung und Anpassung, keine Rechtsberatung. Siehe RDG-Hinweis.

1. Zweck

Diese Zusatzvereinbarung ergänzt den Auftragsverarbeitungsvertrag. Sie verpflichtet DataFortress.cloud GmbH (“Dienstleister”) als sonstige mitwirkende Person im Sinne des § 203 Abs. 3 Satz 2 StGB zur Verschwiegenheit, damit der Kunde als Berufsgeheimnisträger seiner Pflicht aus § 203 Abs. 4 Satz 2 Nr. 1 StGB nachkommen kann, für diese Verpflichtung Sorge zu tragen.

Sie ist zugleich darauf ausgelegt, die berufsrechtlichen Anforderungen an die Inanspruchnahme von Dienstleistungen abzubilden, insbesondere § 43e BRAO (Rechtsanwaltschaft), § 62a StBerG (Steuerberatung) und § 26a BNotO (Notariat). Ein AVV nach Art. 28 DSGVO allein ersetzt diese Vereinbarung nicht.

2. Geltungsbereich — nur Deutschland-Inferenz

Diese Vereinbarung gilt ausschließlich für Leistungen, die auf Servern des Dienstleisters verarbeitet werden (Produkt “Deutschland-Inferenz”, Säulen 2 und 3).

Sie gilt nicht für

• das EU-Anbieter-Autorouting (Säule 1) und das Produkt “Router”, weil dort Modellanbieter beteiligt sind, die der Dienstleister nicht zur Verschwiegenheit verpflichten kann;
• das Produkt “Sidecar”, weil die Inferenz dort bei dem vom Kunden selbst beauftragten Cloud-Anbieter stattfindet. Für diesen Anbieter benötigt der Kunde eine eigene Vereinbarung mit diesem.

3. Verpflichtung zur Verschwiegenheit

Der Dienstleister verpflichtet sich, alle fremden Geheimnisse, die ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit für den Kunden bekannt werden, geheim zu halten und nicht unbefugt zu offenbaren oder zu verwerten. Die Pflicht besteht gegenüber jedermann und gilt über das Vertragsende hinaus fort.

4. Belehrung über die strafrechtlichen Folgen

Der Dienstleister wird hiermit darüber belehrt, dass

• nach § 203 Abs. 4 Satz 1 StGB mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft wird, wer als mitwirkende Person unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit dieser Tätigkeit bekannt geworden ist;
• sich die Strafe nach § 203 Abs. 6 StGB auf Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe erhöht, wenn gegen Entgelt oder in Bereicherungs- oder Schädigungsabsicht gehandelt wird;
• nach § 204 StGB bestraft wird, wer ein solches Geheimnis unbefugt verwertet;
• nach § 203 Abs. 4 Satz 2 Nr. 2 StGB bestraft wird, wer sich als mitwirkende Person einer weiteren mitwirkenden Person bedient, ohne dafür Sorge zu tragen, dass diese zur Geheimhaltung verpflichtet wurde.

5. Persönliche Verpflichtung der Personen mit Zugriff

Jede natürliche Person, die beim Dienstleister technischen Zugriff auf die Systeme hat, auf denen Daten des Kunden verarbeitet werden, gibt vor Aufnahme dieser Tätigkeit eine eigene Verpflichtungserklärung in Textform mit der Belehrung nach Ziffer 4 ab. Der Dienstleister führt diese Personen namentlich in Anlage 1 und teilt dem Kunden jede Änderung vorab mit.

6. Kenntnisnahme nur soweit erforderlich

Die Verarbeitung erfolgt automatisiert. Der Dienstleister verschafft sich Kenntnis vom Inhalt der Daten nur, soweit dies zur Erfüllung des Vertrags erforderlich ist — etwa bei einer vom Kunden ausdrücklich angestoßenen Support-Anfrage und nur mit dessen Zustimmung im Einzelfall. Prompts und Antworten werden nicht gespeichert (siehe TOM).

7. Weitere mitwirkende Personen

Der Dienstleister darf weitere Personen nur einbinden, soweit dies für die Leistungserbringung erforderlich ist und diese zuvor in Textform zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen belehrt wurden. Alle eingebundenen Stellen stehen namentlich in der Subprozessorenliste; über Änderungen wird der Kunde nach dem dort beschriebenen Verfahren vorab informiert und kann widersprechen.

Prüfhinweis zum Entwurf: Vor Unterzeichnung ist für jede in der Subprozessorenliste geführte Stelle mit physischem oder netzwerkseitigem Zugang zu den Systemen (Rechenzentrumsbetreiber, Netzwerk- und Tunnel-Anbieter) zu klären, ob sie mitwirkende Person ist und ob eine Verpflichtung nach dieser Ziffer vorliegt.

8. Keine Leistungserbringung im Ausland

Die Verarbeitung der Daten des Kunden findet ausschließlich in Deutschland statt. Eine Verlagerung ins Ausland bedarf der vorherigen Zustimmung des Kunden in Textform.

9. Beendigung

Kann der Dienstleister die Pflichten aus dieser Vereinbarung nicht mehr einhalten, teilt er dies dem Kunden unverzüglich mit; der Kunde kann die Zusammenarbeit dann fristlos beenden. Mit Vertragsende löscht der Dienstleister alle Daten des Kunden, soweit keine gesetzliche Aufbewahrungspflicht besteht. Die Verschwiegenheitspflicht gilt fort.

10. Für wen diese Vereinbarung gedacht ist

Für Kunden, die als Berufsgeheimnisträger im Sinne des § 203 Abs. 1 StGB tätig sind — u. a. Ärzte und Zahnärzte, Psychotherapeuten, Rechtsanwälte, Steuerberater, Notare und Angehörige der Pflegeberufe. Ob und in welchem Umfang die Vorschrift auf Sie anwendbar ist, klären Sie bitte mit Ihrer Kammer oder Rechtsberatung.

Anlage 1 — Personen mit Zugriff

Vertragspartner: DataFortress.cloud GmbH, Gewerbestraße 13, 82064 Straßlach-Dingharting Fragen zu diesem Muster: info@konforme-ki.de