Auftragsverarbeitungsvertrag
gemäß Art. 28 DSGVO
zwischen
Musterfirma GmbH
Musterstraße 123, 12345 Musterstadt
- nachfolgend „Verantwortlicher“ genannt -
und
DeepMask GmbH
Widenmayerstraße 18, 80538 München
- nachfolgend „Auftragsverarbeiter“ genannt -
I. Gegenstand der Verarbeitung
Verarbeitungsgegenstand und Zwecke
Die Vertragsgegenständlichen Leistungen sind die folgenden:
Bereitstellung der KI-Plattform
Der Auftragsverarbeiter stellt dem Verantwortlichen eine Plattform bereit, über die dieser auf KI-Modelle verschiedener Anbieter zugreifen kann. Verarbeitet werden dabei die Kontodaten der Nutzenden sowie die Inhalte, die der Verantwortliche in Chats, Projekten und hochgeladenen Dateien einstellt.
Der Auftragsverarbeiter entwickelt und trainiert keine eigenen KI-Modelle. Er bezieht die Modelle von den in der Anlage „Unterauftragsverarbeiter“ benannten Anbietern und leitet die Eingaben des Verantwortlichen zur Beantwortung an das jeweils gewählte Modell weiter. Eingaben und Antworten werden weder vom Auftragsverarbeiter noch von den Modellanbietern zum Training oder zur Weiterentwicklung von KI-Modellen verwendet.
Die Zweckbestimmung der Plattform im Sinne der Verordnung (EU) 2024/1689 (KI-VO) und die davon ausgenommenen Anwendungen ergeben sich aus der Anlage „Zweckbestimmung nach der KI-VO und Ausschluss von Hochrisiko-Anwendungen“, die Bestandteil dieses Vertrags ist.
Implementierung von KI-Lösungen
Daten werden genutzt, um die Plattform in die bestehende IT-Landschaft des Verantwortlichen einzubinden — etwa über Schnittstellen zu Dokumentenablagen, CRM- oder ERP-Systemen.
Der Zweck ist es, die Plattform für den Verantwortlichen einsatzbereit zu machen: Einrichtung von Organisationen, Teams und Berechtigungen, Konfiguration der verfügbaren Modelle sowie Anbindung der vom Verantwortlichen gewünschten Datenquellen. Der Auftragsverarbeiter stellt dabei sicher, dass die Einbindung korrekt konfiguriert ist und sich in die Prozesse des Verantwortlichen einfügt.
Datenanalyse und Auswertung
Die Verarbeitung der vom Verantwortlichen bereitgestellten Daten zu Analysen, Auswertungen und Aufbereitungen, die dieser über die Plattform anfordert.
Die Daten werden ausschließlich zur Beantwortung der konkreten Anfrage des Verantwortlichen verarbeitet — beispielsweise um Dokumente auszuwerten, Tabellen auszulesen, Zusammenfassungen zu erstellen oder Darstellungen zu erzeugen. Die Ergebnisse werden dem Verantwortlichen als Vorschlag bereitgestellt; eine automatisierte Entscheidung im Einzelfall im Sinne des Art. 22 DSGVO findet nicht statt. Eine Auswertung zur Verbesserung der Plattform oder der eingesetzten Modelle erfolgt nicht.
Hinweis zu der Verwendung von Daten bei KI-Systemen
Der Auftragsverarbeiter sichert zu, dass alle im Rahmen dieses Vertragsverhältnisses verarbeiteten Daten ausschließlich zur Erfüllung der vertraglich vereinbarten Leistungen für den Verantwortlichen genutzt werden. Insbesondere ist ausgeschlossen, dass die im Zusammenhang mit diesem Vertrag erhobenen, übermittelten oder generierten Daten – gleich in welcher Form – zur (Weiter‑)Entwicklung, Optimierung oder zum Training von KI‑gestützten Systemen oder Produkten außerhalb dieses konkreten Vertragsverhältnisses verwendet werden.
Eine Verwendung der Daten oder daraus abgeleiteter Erkenntnisse zur Verbesserung anderer Produkte, Dienstleistungen oder Modelle des Auftragsverarbeiters oder Dritter – einschließlich des Einsatzes zu Zwecken des Machine Learnings, Fine‑Tunings, Cross‑Domain-Learnings oder anderen Formen der Systemoptimierung – ist ausdrücklich ausgeschlossen.
Der Auftragsverarbeiter gewährleistet durch technische und organisatorische Maßnahmen, dass sämtliche Daten des Verantwortlichen isoliert verarbeitet werden und zu keinem Zeitpunkt in gemeinsame oder zentralisierte Trainingsdatenpools, Modellarchitekturen oder Datenbanken einfließen.
Diese Verpflichtung gilt auch nach Beendigung des Vertragsverhältnisses fort.
Änderungen
Änderungen des Verarbeitungsgegenstandes sind gemeinsam zwischen Verantwortlicher und Auftragsverarbeiterarbeiter abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.
II. Verarbeitungsort
Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erbracht.
Jede Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung (schriftlich oder per E-Mail) des Verantwortlichen und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln und ggf. zusätzliche Garantien, genehmigte Verhaltensregeln).
III. Dauer der Verarbeitung
Allgemein
Die Dauer dieses Vertrags entspricht der Laufzeit des jeweiligen Hauptvertrags.
Sonderregelung
Der Vertrag gilt unbeschadet des vorstehenden Absatzes so lange, wie der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet (einschließlich Backups).
Sonderkündigungsrecht
Der Verantwortliche kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragsverarbeiters gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrages vorliegt, der Auftragsverarbeiter eine Weisung des Verantwortlichen nicht ausführen kann oder will oder der Auftragsverarbeiter Kontrollrechte des Verantwortlichen vertragswidrig verweigert.
Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art. 28 DS-GVO abgeleiteten Pflichten stellt einen schweren Verstoß dar.
IV. Art der Verarbeitung
Die Art der Verarbeitung kann sowohl eine als auch alle der folgenden Verarbeitungen umfassen:
- das Erheben und das Erfassen
- die Organisation und das Ordnen
- die Speicherung, die Anpassung oder Veränderung
- das Auslesen, Abfragen
- Offenlegung durch Übermittlung, Verarbeitung oder eine andere Form der Bereitstellung
- den Abgleich oder Verknüpfung
- die Einschränkung, das Löschen oder die Vernichtung
V. Kategorien betroffener Personen
Es werden personenbezogene Daten der folgenden Kategorien der betroffenen Personen verarbeitet:
VI. Art der personenbezogenen Daten
Es werden die folgenden personenbezogenen Daten verarbeitet:
VII. Pflichten und Rechte des Verantwortlichen
Allgemein
Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DS-GVO, sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DS-GVO ist allein der Verantwortliche verantwortlich.
Mitteilungspflichten
Der Verantwortliche hat die Pflicht den Auftragsverarbeiter unverzüglich und vollständig zu informieren, wenn im Hinblick auf die Verarbeitung, bezüglich datenschutzrechtlicher Bestimmungen, Fehler, Störungen oder sonstige Unregelmäßigkeiten festgestellt werden.
VIII. Weisungsrecht des Verantwortlichen
Allgemein
Der Verantwortliche hat das Recht, dem Auftragsverarbeiter Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Der Verantwortliche entscheidet allein und ausschließlich über die Zwecke und Mittel der Verarbeitung der Auftragsdaten. Der Auftragsverarbeiter darf die Auftragsdaten nur nach dokumentierter Weisung des Verantwortlichen verarbeiten, es sei denn, der Auftragsverarbeiter ist gesetzlich zur Verarbeitung dieser Daten verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Die Weisungen sind für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre nach Ablauf des Kalenderjahres aufzubewahren.
Weisungsberechtigte und Weisungsempfänger
Die Weisungsberechtigten des Verantwortlichen und die Weisungsempfänger des Auftragsverarbeiters sind in der Anlage „Weisungsberechtigte und Weisungsempfänger“ zu diesem Vertrag aufgeführt.
Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich oder elektronisch die Nachfolger bzw. die Vertreter mitzuteilen.
Bestimmtheit und Form der Weisung
Weisungen sind bestimmt zu erteilen (Gebot der Weisungsklarheit). Weisungen können schriftlich, in Textform oder in Eilfällen auch mündlich erteilt werden.
Mündliche Weisungen muss der Verantwortliche unverzüglich schriftlich oder in Textform bestätigen.
Benachrichtigung bei Rechtswidrigkeit
Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung sei rechtswidrig. Diese Hinweispflicht beinhaltet keine umfassende rechtliche Prüfung. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen bestätigt oder geändert wird.
Auftragsfremde Weisungen
Über die Ausführung von Weisungen des Verantwortlichen, die über die in dieser Vereinbarung geregelten Vertragsgegenstand hinausgehen, entscheidet der Auftragsverarbeiter. Der Auftragsverarbeiter kann in diesem Fall, nach vorheriger Absprache und vorheriger Zustimmung des Verantwortlichen, eine gesonderte Vergütung beanspruchen.
Regress
Sollte der Auftragsverarbeiter infolge der Umsetzung einer rechtswidrigen Weisung einem begründeten Haftungsanspruch ausgesetzt sein, kann er sich insoweit beim Verantwortlichen schadlos halten.
Verfahrensänderungen
Verfahrensänderungen sind gemeinsam zwischen Verantwortlichen und Auftragsverarbeiter abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.
IX. Gewährleistung der Verpflichtung zur Vertraulichkeit
Daten- und Fernmeldegeheimnis
Jede bei dem Auftragsverarbeiter unterstellte Person, die Zugang zu Auftragsdaten hat, ist zur Vertraulichkeit verpflichtet, insbesondere gemäß den Bestimmungen der Art. 5 Abs. 1 f), Art. 28 Abs. 3 b), Art. 29 und Art. 32 Abs. 4 DSGVO sowie des § 3 TDDDG.
Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung dieser Vereinbarung fort.
Unterweisung
Der Auftragsverarbeiter stellt durch geeignete Maßnahmen, wie insbesondere regelmäßige Schulungen zum Datenschutz, sicher, dass die ihm unterstellten und zur Verarbeitung von Auftragsdaten befugten Personen mit den einschlägigen Bestimmungen zum Datengeheimnis und Fernmeldegeheimnis vertraut sind.
X. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
Die vereinbarten technischen und organisatorische Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragsverarbeiter zukünftig gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Über wesentliche Änderungen, die durch den Auftragsverarbeiter zu dokumentieren sind, ist der Verantwortlicher unverzüglich in Kenntnis zu setzen.
Die Übersicht über die wesentlichen technischen und organisatorischen Maßnahmen werden separat geführt.
XI. Bedingungen für die Inanspruchnahme von weiteren Auftragsverarbeitern
Begriff des Unterauftragsverarbeiters
Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragsverarbeiter in Anspruch nimmt, sofern und soweit ein Zugriff auf vertragsgegenständliche personenbezogenen Daten ausgeschlossen ist. Ebenso wenig stellen grundsätzliche Telekommunikationsleistungen, Post- und Transportdienstleistungen eine Auftrags- bzw. Unterauftragsverarbeitung dar. Der Auftragsverarbeiter ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Sicherheit der Daten des Verantwortlichen auch bei ausgelagerten Nebenleistungen angemessene und rechtskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.
Voraussetzungen der Zulässigkeit der Beauftragung
Der Verantwortliche erteilt hiermit dem Auftragsverarbeiter die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Der Auftragsverarbeiter ist verpflichtet den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter mit einer Ankündigungsfrist von einem (1) Monat zu informieren. Der Verantwortliche hat seinen Einspruch gegen die Änderung innerhalb eines (1) Monats nach Zugang der Information über die Änderung gegenüber dem Auftragsverarbeiter zu erheben. Im Fall des Einspruchs kann der Auftragsverarbeiter nach eigener Wahl die Leistung ohne die beabsichtigte Änderung erbringen oder - sofern die Erbringung der Leistung ohne die beabsichtigte Änderung des Auftragsverarbeiters nicht zumutbar ist - die von der Änderung betroffene Leistung gegenüber dem Verantwortlichen innerhalb von einem (1) Monat nach Zugang des Einspruchs kündigen.
Datenschutzniveau des Unterauftragsverarbeiters
Jeder Unterauftragsverarbeiter ist verpflichtet, sich vor Beginn der Verarbeitungstätigkeiten dazu zu verpflichten, dieselben Datenschutzverpflichtungen einzuhalten, wie in dieser Vereinbarung vereinbart, sofern nicht ausdrücklich etwas anderes vereinbart wurde. Der Unterauftragsverarbeitungsvertrag muss zumindest das nach diesem Vertrag erforderliche Datenschutzniveau gewährleisten. Jeder Unterauftragsverarbeiter muss sich insbesondere dazu verpflichten, die vereinbarten technischen und organisatorischen Sicherheitsmaßnahmen gemäß Art. 32 DS-GVO einzuhalten und dem Auftragsverarbeiter eine Liste der umgesetzten technischen und organisatorischen Maßnahmen zur Verfügung zu stellen, die dem Verantwortlichen auf Verlangen zur Verfügung gestellt wird. Die Maßnahmen des Unterauftragsverarbeiters können von dem zwischen Verantwortlichen und Auftragsverarbeiter Vereinbarten abweichen, dürfen jedoch nicht unter das Datenschutzniveau fallen, welches durch die Maßnahmen vom Auftragsverarbeiter gewährleistet wird. Weigert sich ein Unterauftragsverarbeiter, sich denselben datenschutzrechtlichen Pflichten zu unterwerfen, wie sie in dieser Vereinbarung niedergelegt sind, so bedarf der Einsatz dieses Unterauftragsverarbeiters der Zustimmung des Verantwortlichen, wobei diese Zustimmung nicht unbilligerweise verweigert werden darf. Kommt der Unterauftragsverarbeiter seinen datenschutzrechtlichen Verpflichtungen nicht nach, so haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters gemäß Art. 28. Abs. 4 DSGVO. Der Auftragsverarbeiter hat in diesem Falle auf Verlangen der Verantwortlichen die Beschäftigung des Unterauftragsverarbeiters ganz oder teilweise zu beenden oder das Vertragsverhältnis mit dem Unterauftragsverarbeiter zu lösen, wenn und soweit dies nicht unverhältnismäßig ist.
Datenschutzniveau des Unterauftragsverarbeiters
Für den Fall, dass ein Unterauftragsverarbeiter in keinem Drittstaat ansässig ist, welcher gemäß Art. 45 DSGVO ein angemessenes Datenschutzniveau bietet, wird der Auftragsverarbeiter diesem Umstand ausreichend Rechnung tragen. Der Auftragsverarbeiter wird mit diesem Unterauftragsverarbeiter entsprechende Standarddatenschutzklauseln für den Drittlandstransfer abschließen (DURCHFÜHRUNGS-BESCHLUSS (EU) 2021/914 DER KOMMISSION vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates). In diesem Zusammenhang ist den Auswirkungen des Urteils Schrems-II des EuGH Rechnung zu tragen und gegebenenfalls zusätzliche Garantien zur Sicherung der Daten durch den Auftragsverarbeiter vorzunehmen oder mit dem Unterauftragnehmer zu vereinbaren.
Die aktuell Auflistung eingesetzter Unterauftragsverarbeiter wird separat geführt.
XII. Unterstützung bei Betroffenenanfragen
Allgemeines
Der Auftragsverarbeiter unterstützt den Verantwortlichen in seinem Verantwortungsbereich und soweit möglich mittels geeigneter technischer und organisatorischer Maßnahmen bei der Beantwortung und Umsetzung von Anträgen betroffener Personen hinsichtlich ihrer Datenschutzrechte.
Dokumentation
Der Auftragsverarbeiter darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Verantwortlichen beauskunften, portieren, berichtigen, löschen oder deren Verarbeitung einschränken.
Informationspflicht
Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragsverarbeiter wendet, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten.
Bearbeitung der Betroffenenrechte durch den Auftragsverarbeiter
Die Rechte auf Auskunft, Berichtigung, Einschränkung der Verarbeitung, Löschung sowie Datenportabilität können nach dokumentierter Weisung des Verantwortlichen unmittelbar durch den Auftragsverarbeiter sichergestellt werden. Sofern die damit verbundenen Maßnahmen die zumutbare Unterstützung des Auftragsverarbeiters übersteigen, kann der Auftragsverarbeiter in diesem Fall, nach vorheriger Absprache und vorheriger Zustimmung des Verantwortlichen, eine gesonderte Vergütung beanspruchen.
XIII. Unterstützung des Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32-36 DSGVO
Einhaltung der Pflichten aus Art.32 DSGVO (TOM)
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und insbesondere den Schutz vor zufälliger oder unrechtmäßiger Zerstörung, Verlust, Veränderung oder unbefugter Offenlegung von oder unbefugtem Zugang zu den übertragenen, gespeicherten oder anderweitig verarbeiteten personenbezogenen Daten gewährleisten.
Einhaltung der Pflichten aus Art. 33 DSGVO (Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde)
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Meldung von Verletzungen des Schutzes personenbezogener Daten an die zuständige Aufsichtsbehörde. Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 24 Stunden, nachdem ihm die Verletzung bekannt wurde, dem Verantwortlichen, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Einhaltung der Pflichten aus Art. 34 DSGVO (Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person)
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Benachrichtigung der betroffenen Person über eine Verletzung des Schutzes personenbezogener Daten, wenn diese Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat.
Einhaltung der Pflichten aus Art. 35 DSGVO (Datenschutz-Folgenabschätzung)
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Durchführung einer Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde, sofern eine Verarbeitung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hätte.
Einhaltung der Pflichten aus Art. 36 DSGVO (Vorherige Konsultation)
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der vorherigen Konsultation der Aufsichtsbehörde, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft.
XIV. Löschung und Rückgabe der Daten
Löschung nach Vertragsende
Der Auftragsverarbeiter löscht nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten und vorhandenen Kopien, es sei denn, nach dem Unionsrecht oder dem Recht der Mitgliedstaaten ist eine Speicherung der personenbezogenen Daten erforderlich.
Rückgabe auf Weisung
Auf dokumentierte Weisung des Verantwortlichen gibt der Auftragsverarbeiter alle personenbezogenen Daten zurück oder löscht sie und vernichtet vorhandene Kopien, es sei denn, nach dem Unionsrecht oder dem Recht der Mitgliedstaaten ist eine Speicherung erforderlich.
Nachweis der Löschung
Der Auftragsverarbeiter stellt dem Verantwortlichen einen Nachweis über die ordnungsgemäße Löschung oder Rückgabe zur Verfügung.
XV. Kontrollrechte des Verantwortlichen
Allgemeines Kontrollrecht
Der Verantwortliche hat das Recht, die Einhaltung der datenschutzrechtlichen Bestimmungen beim Auftragsverarbeiter durch geeignete Maßnahmen zu kontrollieren. Dazu gehören insbesondere die Einholung von Auskünften und Nachweisen, die Besichtigung der eingesetzten Datenverarbeitungsanlagen sowie sonstige örtliche Kontrollen.
Auskunftsrecht
Der Auftragsverarbeiter erteilt dem Verantwortlichen auf Anfrage alle erforderlichen Auskünfte und weist insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nach.
Inspektionen und Audits
Der Auftragsverarbeiter ermöglicht dem Verantwortlichen Inspektionen - einschließlich Audits - und trägt zu diesen bei. Dies umfasst auch Inspektionen durch einen anderen vom Verantwortlichen beauftragten Prüfer.
XVI. Mitteilungspflichten
Störungen und Datenschutzverletzungen
Der Auftragsverarbeiter teilt Störungen unverzüglich mit, die erhebliche Auswirkungen auf die Verarbeitung der personenbezogenen Daten des Verantwortlichen haben können. Dies gilt insbesondere für Verletzungen des Schutzes personenbezogener Daten.
Behördliche Maßnahmen
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollen der Aufsichtsbehörde oder anderer Dritter, soweit sie sich auf den Auftrag beziehen.
Verdacht auf Datenschutzverstöße
Bei Verdacht auf Verstöße gegen datenschutzrechtliche Bestimmungen im Zusammenhang mit den Auftragsdaten informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich.
XVII. Haftung und Schadensersatz
Haftung nach DSGVO
Jede Partei, die durch eine Verarbeitung einen Schaden erlitten hat, hat Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter für den erlittenen Schaden gemäß Art. 82 DSGVO.
Gesamtschuldnerische Haftung
Sind sowohl ein Verantwortlicher als auch ein Auftragsverarbeiter an derselben Verarbeitung beteiligt und sind sie gemäß den Absätzen 2 und 4 des Art. 82 DSGVO für einen durch die Verarbeitung verursachten Schaden verantwortlich, so haftet jeder von ihnen für den gesamten Schaden, um einen wirksamen Schadensersatz für die betroffene Person sicherzustellen.
Regress
Hat ein Verantwortlicher oder ein Auftragsverarbeiter gemäß Absatz 5 des Art. 82 DSGVO vollständigen Schadensersatz für den erlittenen Schaden gezahlt, so ist diese Partei berechtigt, von den übrigen an derselben Verarbeitung beteiligten Verantwortlichen oder Auftragsverarbeiter den Teil des Schadensersatzes zurückzufordern, der entsprechend den in Absatz 2 des Art. 82 DSGVO festgelegten Bedingungen ihrer Verantwortung für den Schaden entspricht.
Unterschriften
Verantwortlicher:
Auftragsverarbeiter:
Anlage
Zusatzvereinbarung BRAO: Verschwiegenheitsverpflichtung und Belehrung
zum Auftragsverarbeitungsvertrag
1. Anwendungsbereich
Diese Zusatzvereinbarung gilt für Kunden, die in den Anwendungsbereich der Bundesrechtsanwaltsordnung (BRAO) fallen, bei der Nutzung der von der DeepMask GmbH bereitgestellten Plattform. Sie wird als Anlage zum Auftragsverarbeitungsvertrag geschlossen und gilt für die Nutzung der DeepMask-Plattform einschließlich der eingesetzten Unterauftragsverarbeiter.
2. Verschwiegenheit
DeepMask GmbH verpflichtet hiermit gegenüber Kunde, alle erlangten vertraulichen Informationen strikt geheim zu halten und vor dem Zugriff Dritter zu schützen.
3. Mitarbeiterverpflichtung
DeepMask GmbH stellt sicher, dass alle mit der Verarbeitung befassten Mitarbeitenden sowie andere für DeepMask GmbH tätige Personen (z. B. Unterauftragsverarbeiter), die Zugang zu vertraulichen Informationen erhalten können, in Textform zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen einer Pflichtverletzung belehrt werden.
4. Kenntniserlangung
DeepMask GmbH darf sich nur insoweit Kenntnis von vertraulichen Informationen verschaffen, als dies für die im Hauptvertrag festgehaltenen Verpflichtungen erforderlich ist. DeepMask GmbH ist berechtigt, Unterauftragsverarbeiter zur Vertragserfüllung heranzuziehen, sofern diese sorgfältig ausgewählt, in Textform zur Geheimhaltung verpflichtet und über die strafrechtlichen Folgen einer Pflichtverletzung belehrt werden. Unterauftragsverarbeiter im Ausland dürfen nur eingesetzt werden, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist.
5. Strafrechtliche Belehrung
Kunde belehrt DeepMask GmbH hiermit, dass der Bruch der Verschwiegenheit oder die Verwertung fremder Geheimnisse durch DeepMask GmbH für die mitwirkenden Personen strafbar ist (§§ 203 Abs. 1, Abs. 4 S. 1 StGB, § 204 StGB) und mit Freiheitsstrafe bis zu einem Jahr, im Fall von § 204 StGB mit Freiheitsstrafe bis zu zwei Jahren, oder mit Geldstrafe bestraft werden kann. Die Strafandrohung erhöht sich auf Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, sofern die entsprechende Person in Bereicherungsabsicht, auch wenn sie zu Gunsten Dritter bestehen sollte, handelt, oder die Absicht hat, durch die Tat einen anderen zu schädigen.
6. Einschaltung weiterer Personen
Kunde belehrt DeepMask GmbH vorsorglich, dass sich mitwirkende Personen im Falle der Einschaltung weiterer Personen bei Strafandrohung von Freiheitsstrafe bis zu einem Jahr oder Geldstrafe strafbar machen, wenn diese weitere Person die Verschwiegenheit bricht, und die mitwirkende Person zugleich nicht dafür Sorge getragen hat, dass erstere zur Verschwiegenheit verpflichtet wurde (§§ 203 Abs. 1, Abs. 4 S. 2 Nr. 2 StGB). Die Strafandrohung erhöht sich auf Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, sofern der Täter in Bereicherungsabsicht, auch wenn sie zu Gunsten Dritter bestehen sollte, handelt, oder die Absicht hat, durch die Tat einen anderen zu schädigen. Diese Verpflichtung gilt für sämtliche weitere Unterbeauftragungen.
7. Gesetzesanlagen
Bestandteil dieser Belehrung ist auch der Wortlaut der einschlägigen Gesetze, die in aktueller Fassung als Anlage beigefügt sind — insbesondere § 43e BRAO, § 203 StGB sowie §§ 53a und 97 StPO.
8. Schutzmaßnahmen
DeepMask GmbH wird angemessene organisatorische und technische Maßnahmen zum Schutz der Vertraulichkeit der vertraulichen Informationen aufrechterhalten und verpflichtet sich, vertrauliche Informationen angemessen gemäß akzeptierter Sicherheitsstandards nach dem aktuellen Stand der Technik zu schützen. Das Sicherheitsniveau darf hierbei nicht geringer als bei eigenen vertraulichen Informationen angelegt werden.
9. Zeitliche Geltung
Die Verschwiegenheitsverpflichtung nach dieser Vereinbarung gilt zeitlich unbeschränkt.
10. Verfahrensrechtlicher Schutz (StPO)
Kunde weist DeepMask GmbH darauf hin, dass im Rahmen der Auftragsverarbeitung auch Daten verarbeitet werden können, die einem anwaltlichen Berufsgeheimnis im Sinne der BRAO und des § 203 StGB unterliegen.
Zeugnisverweigerungsrecht (§ 53a StPO)
Daten, die DeepMask GmbH im Auftrag eines Berufsgeheimnisträgers verarbeitet, können dem Zeugnisverweigerungsrecht mitwirkender Personen unterliegen (§ 53a Strafprozessordnung, StPO). Über die Ausübung des Zeugnisverweigerungsrechts entscheidet der Berufsgeheimnisträger als Kunde.
Wird DeepMask GmbH durch Strafverfolgungs- oder andere Behörden zur Offenlegung von Informationen oder zur Aussage aufgefordert, die dem Berufsgeheimnis unterliegen könnten, wird DeepMask GmbH unter Hinweis auf § 53a StPO widersprechen und den Kunden unverzüglich informieren, damit dieser über die Wahrnehmung des Zeugnisverweigerungsrechts entscheiden kann.
Beschlagnahmeschutz (§ 97 StPO)
Geheimnisschutzdaten, die sich im Gewahrsam von DeepMask GmbH befinden, können dem Beschlagnahmeverbot gemäß § 97 StPO unterliegen, insbesondere soweit das Zeugnisverweigerungsrecht mitwirkender Personen nach § 53a StPO greift.
DeepMask GmbH gibt derartige Daten nicht ohne Einverständnis des Kunden (Berufsgeheimnisträger) heraus. Im Falle einer Beschlagnahme oder eines vergleichbaren Zugriffs durch Behörden wird DeepMask GmbH dieser Maßnahme widersprechen und den Kunden unverzüglich informieren.
Unterauftragsverarbeitung
Die Verpflichtungen zu Zeugnisverweigerungsrecht und Beschlagnahmeschutz gelten entsprechend für sämtliche Unterauftragsverarbeiter, die im Rahmen der Vertragserfüllung Zugang zu Geheimnisschutzdaten erhalten können. DeepMask GmbH stellt sicher, dass Unterauftragsverarbeiter über diese Rechte und Pflichten informiert werden.
Berufsrechtliche Grundlagen — Rechtsanwälte
§ 43e Bundesrechtsanwaltsordnung (BRAO) und § 203 Strafgesetzbuch (StGB)
Bundesrechtsanwaltsordnung (BRAO)
§ 43e Inanspruchnahme von Dienstleistungen
Gesetzestext im Volltext: gesetze-im-internet.de
(1) Der Rechtsanwalt darf Dienstleistern den Zugang zu Tatsachen eröffnen, auf die sich die Verpflichtung zur Verschwiegenheit gemäß § 43a Absatz 2 Satz 1 bezieht, soweit dies für die Inanspruchnahme der Dienstleistung erforderlich ist. Dienstleister ist eine andere Person oder Stelle, die vom Rechtsanwalt im Rahmen seiner Berufsausübung mit Dienstleistungen beauftragt wird.
(2) Der Rechtsanwalt ist verpflichtet, den Dienstleister sorgfältig auszuwählen. Er hat die Zusammenarbeit unverzüglich zu beenden, wenn die Einhaltung der dem Dienstleister gemäß Absatz 3 zu machenden Vorgaben nicht gewährleistet ist.
(3) Der Vertrag mit dem Dienstleister bedarf der Textform. In ihm ist
- der Dienstleister unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit zu verpflichten,
- der Dienstleister zu verpflichten, sich nur insoweit Kenntnis von fremden Geheimnissen zu verschaffen, als dies zur Vertragserfüllung erforderlich ist, und
- festzulegen, ob der Dienstleister befugt ist, weitere Personen zur Erfüllung des Vertrags heranzuziehen; für diesen Fall ist dem Dienstleister aufzuerlegen, diese Personen in Textform zur Verschwiegenheit zu verpflichten.
(4) Bei der Inanspruchnahme von Dienstleistungen, die im Ausland erbracht werden, darf der Rechtsanwalt dem Dienstleister den Zugang zu fremden Geheimnissen unbeschadet der übrigen Voraussetzungen dieser Vorschrift nur dann eröffnen, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist, es sei denn, dass der Schutz der Geheimnisse dies nicht gebietet.
(5) Bei der Inanspruchnahme von Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen, darf der Rechtsanwalt dem Dienstleister den Zugang zu fremden Geheimnissen nur dann eröffnen, wenn der Mandant darin eingewilligt hat.
(6) Die Absätze 2 und 3 gelten auch im Fall der Inanspruchnahme von Dienstleistungen, in die der Mandant eingewilligt hat, sofern der Mandant nicht ausdrücklich auf die Einhaltung der in den Absätzen 2 und 3 genannten Anforderungen verzichtet hat.
(7) Die Absätze 1 bis 6 gelten nicht, soweit Dienstleistungen auf Grund besonderer gesetzlicher Vorschriften in Anspruch genommen werden. Absatz 3 Satz 2 gilt nicht, soweit der Dienstleister hinsichtlich der zu erbringenden Dienstleistung gesetzlich zur Verschwiegenheit verpflichtet ist.
(8) Die Vorschriften zum Schutz personenbezogener Daten bleiben unberührt.
Strafgesetzbuch (StGB)
§ 203 Verletzung von Privatgeheimnissen
Gesetzestext im Volltext: gesetze-im-internet.de
(1) Wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als
- Arzt, Zahnarzt, Tierarzt, Apotheker oder Angehörigen eines anderen Heilberufs, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert,
- Berufspsychologen mit staatlich anerkannter wissenschaftlicher Abschlußprüfung,
- Rechtsanwalt, Kammerrechtsbeistand, Patentanwalt, Notar, Verteidiger in einem gesetzlich geordneten Verfahren, Wirtschaftsprüfer, vereidigtem Buchprüfer, Steuerberater, Steuerbevollmächtigten,
- Organ oder Mitglied eines Organs einer Wirtschaftsprüfungs-, Buchprüfungs- oder einer Berufsausübungsgesellschaft von Steuerberatern und Steuerbevollmächtigten, einer Berufsausübungsgesellschaft von Rechtsanwälten oder europäischen niedergelassenen Rechtsanwälten oder einer Berufsausübungsgesellschaft von Patentanwälten oder niedergelassenen europäischen Patentanwälten im Zusammenhang mit der Beratung und Vertretung der Wirtschaftsprüfungs-, Buchprüfungs- oder Berufsausübungsgesellschaft im Bereich der Wirtschaftsprüfung, Buchprüfung oder Hilfeleistung in Steuersachen oder ihrer rechtsanwaltlichen oder patentanwaltlichen Tätigkeit,
- Ehe-, Familien-, Erziehungs- oder Jugendberater sowie Berater für Suchtfragen in einer Beratungsstelle, die von einer Behörde oder Körperschaft, Anstalt oder Stiftung des öffentlichen Rechts anerkannt ist,
- Mitglied oder Beauftragten einer anerkannten Beratungsstelle nach den §§ 3 und 8 Absatz 1 des Schwangerschaftskonfliktgesetzes,
- staatlich anerkanntem Sozialarbeiter oder staatlich anerkanntem Sozialpädagogen oder
- Angehörigen eines Unternehmens der privaten Kranken-, Unfall- oder Lebensversicherung oder einer privatärztlichen, steuerberaterlichen oder anwaltlichen Verrechnungsstelle
anvertraut worden oder sonst bekanntgeworden ist, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.
(2) Ebenso wird bestraft, wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als
- Amtsträger oder Europäischer Amtsträger,
- für den öffentlichen Dienst besonders Verpflichteten,
- Person, die Aufgaben oder Befugnisse nach dem Personalvertretungsrecht wahrnimmt,
- Mitglied eines für ein Gesetzgebungsorgan des Bundes oder eines Landes tätigen Untersuchungsausschusses, sonstigen Ausschusses oder Rates, das nicht selbst Mitglied des Gesetzgebungsorgans ist, oder als Hilfskraft eines solchen Ausschusses oder Rates,
- öffentlich bestelltem Sachverständigen, der auf die gewissenhafte Erfüllung seiner Obliegenheiten auf Grund eines Gesetzes förmlich verpflichtet worden ist, oder
- Person, die auf die gewissenhafte Erfüllung ihrer Geheimhaltungspflicht bei der Durchführung wissenschaftlicher Forschungsvorhaben auf Grund eines Gesetzes förmlich verpflichtet worden ist,
anvertraut worden oder sonst bekanntgeworden ist. Einem Geheimnis im Sinne des Satzes 1 stehen Einzelangaben über persönliche oder sachliche Verhältnisse eines anderen gleich, die für Aufgaben der öffentlichen Verwaltung erfaßt worden sind; Satz 1 ist jedoch nicht anzuwenden, soweit solche Einzelangaben anderen Behörden oder sonstigen Stellen für Aufgaben der öffentlichen Verwaltung bekanntgegeben werden und das Gesetz dies nicht untersagt.
(3) Kein Offenbaren im Sinne dieser Vorschrift liegt vor, wenn die in den Absätzen 1 und 2 genannten Personen Geheimnisse den bei ihnen berufsmäßig tätigen Gehilfen oder den bei ihnen zur Vorbereitung auf den Beruf tätigen Personen zugänglich machen. Die in den Absätzen 1 und 2 Genannten dürfen fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist; das Gleiche gilt für sonstige mitwirkende Personen, wenn diese sich weiterer Personen bedienen, die an der beruflichen oder dienstlichen Tätigkeit der in den Absätzen 1 und 2 Genannten mitwirken.
(4) Mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe wird bestraft, wer unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person oder als bei den in den Absätzen 1 und 2 genannten Personen tätiger Datenschutzbeauftragter bekannt geworden ist. Ebenso wird bestraft, wer
- als in den Absätzen 1 und 2 genannte Person nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind,
- als im Absatz 3 genannte mitwirkende Person sich einer weiteren mitwirkenden Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, bedient und nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind, oder
- nach dem Tod der nach Satz 1 oder nach den Absätzen 1 oder 2 verpflichteten Person ein fremdes Geheimnis unbefugt offenbart, das er von dem Verstorbenen erfahren oder aus dessen Nachlass erlangt hat.
(5) Die Absätze 1 bis 4 sind auch anzuwenden, wenn der Täter das fremde Geheimnis nach dem Tod des Betroffenen unbefugt offenbart.
(6) Handelt der Täter gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, so ist die Strafe Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe.
Anlage
Zusatzvereinbarung StBerG: Verschwiegenheitsverpflichtung und Belehrung
zum Auftragsverarbeitungsvertrag
1. Anwendungsbereich
Diese Zusatzvereinbarung gilt für Kunden, die Steuerberater oder Steuerbevollmächtigte im Sinne des Steuerberatungsgesetzes (StBerG) sind, bei der Nutzung der von der DeepMask GmbH bereitgestellten Plattform. Sie wird als Anlage zum Auftragsverarbeitungsvertrag geschlossen und gilt für die Nutzung der DeepMask-Plattform einschließlich der eingesetzten Unterauftragsverarbeiter.
2. Verschwiegenheit
DeepMask GmbH verpflichtet hiermit gegenüber Kunde, alle erlangten vertraulichen Informationen strikt geheim zu halten und vor dem Zugriff Dritter zu schützen.
3. Mitarbeiterverpflichtung
DeepMask GmbH stellt sicher, dass alle mit der Verarbeitung befassten Mitarbeitenden sowie andere für DeepMask GmbH tätige Personen (z. B. Unterauftragsverarbeiter), die Zugang zu vertraulichen Informationen erhalten können, in Textform zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen einer Pflichtverletzung belehrt werden.
4. Kenntniserlangung
DeepMask GmbH darf sich nur insoweit Kenntnis von vertraulichen Informationen verschaffen, als dies für die im Hauptvertrag festgehaltenen Verpflichtungen erforderlich ist. DeepMask GmbH ist berechtigt, Unterauftragsverarbeiter zur Vertragserfüllung heranzuziehen, sofern diese sorgfältig ausgewählt, in Textform zur Geheimhaltung verpflichtet und über die strafrechtlichen Folgen einer Pflichtverletzung belehrt werden. Unterauftragsverarbeiter im Ausland dürfen nur eingesetzt werden, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist.
5. Strafrechtliche Belehrung
Kunde belehrt DeepMask GmbH hiermit, dass der Bruch der Verschwiegenheit oder die Verwertung fremder Geheimnisse durch DeepMask GmbH für die mitwirkenden Personen strafbar ist (§§ 203 Abs. 1, Abs. 4 S. 1 StGB, § 204 StGB) und mit Freiheitsstrafe bis zu einem Jahr, im Fall von § 204 StGB mit Freiheitsstrafe bis zu zwei Jahren, oder mit Geldstrafe bestraft werden kann. Die Strafandrohung erhöht sich auf Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, sofern die entsprechende Person in Bereicherungsabsicht, auch wenn sie zu Gunsten Dritter bestehen sollte, handelt, oder die Absicht hat, durch die Tat einen anderen zu schädigen.
6. Einschaltung weiterer Personen
Kunde belehrt DeepMask GmbH vorsorglich, dass sich mitwirkende Personen im Falle der Einschaltung weiterer Personen bei Strafandrohung von Freiheitsstrafe bis zu einem Jahr oder Geldstrafe strafbar machen, wenn diese weitere Person die Verschwiegenheit bricht, und die mitwirkende Person zugleich nicht dafür Sorge getragen hat, dass erstere zur Verschwiegenheit verpflichtet wurde (§§ 203 Abs. 1, Abs. 4 S. 2 Nr. 2 StGB). Die Strafandrohung erhöht sich auf Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, sofern der Täter in Bereicherungsabsicht, auch wenn sie zu Gunsten Dritter bestehen sollte, handelt, oder die Absicht hat, durch die Tat einen anderen zu schädigen. Diese Verpflichtung gilt für sämtliche weitere Unterbeauftragungen.
7. Gesetzesanlagen
Bestandteil dieser Belehrung ist auch der Wortlaut der einschlägigen Gesetze, die in aktueller Fassung als Anlage beigefügt sind — insbesondere § 62a StBerG, § 203 StGB sowie §§ 53a und 97 StPO.
8. Schutzmaßnahmen
DeepMask GmbH wird angemessene organisatorische und technische Maßnahmen zum Schutz der Vertraulichkeit der vertraulichen Informationen aufrechterhalten und verpflichtet sich, vertrauliche Informationen angemessen gemäß akzeptierter Sicherheitsstandards nach dem aktuellen Stand der Technik zu schützen. Das Sicherheitsniveau darf hierbei nicht geringer als bei eigenen vertraulichen Informationen angelegt werden.
9. Zeitliche Geltung
Die Verschwiegenheitsverpflichtung nach dieser Vereinbarung gilt zeitlich unbeschränkt.
10. Verfahrensrechtlicher Schutz (StPO)
Kunde weist DeepMask GmbH darauf hin, dass im Rahmen der Auftragsverarbeitung auch Daten verarbeitet werden können, die einem steuerberaterlichen Berufsgeheimnis im Sinne des StBerG und des § 203 StGB unterliegen.
Zeugnisverweigerungsrecht (§ 53a StPO)
Daten, die DeepMask GmbH im Auftrag eines Berufsgeheimnisträgers verarbeitet, können dem Zeugnisverweigerungsrecht mitwirkender Personen unterliegen (§ 53a Strafprozessordnung, StPO). Über die Ausübung des Zeugnisverweigerungsrechts entscheidet der Berufsgeheimnisträger als Kunde.
Wird DeepMask GmbH durch Strafverfolgungs- oder andere Behörden zur Offenlegung von Informationen oder zur Aussage aufgefordert, die dem Berufsgeheimnis unterliegen könnten, wird DeepMask GmbH unter Hinweis auf § 53a StPO widersprechen und den Kunden unverzüglich informieren, damit dieser über die Wahrnehmung des Zeugnisverweigerungsrechts entscheiden kann.
Beschlagnahmeschutz (§ 97 StPO)
Geheimnisschutzdaten, die sich im Gewahrsam von DeepMask GmbH befinden, können dem Beschlagnahmeverbot gemäß § 97 StPO unterliegen, insbesondere soweit das Zeugnisverweigerungsrecht mitwirkender Personen nach § 53a StPO greift.
DeepMask GmbH gibt derartige Daten nicht ohne Einverständnis des Kunden (Berufsgeheimnisträger) heraus. Im Falle einer Beschlagnahme oder eines vergleichbaren Zugriffs durch Behörden wird DeepMask GmbH dieser Maßnahme widersprechen und den Kunden unverzüglich informieren.
Unterauftragsverarbeitung
Die Verpflichtungen zu Zeugnisverweigerungsrecht und Beschlagnahmeschutz gelten entsprechend für sämtliche Unterauftragsverarbeiter, die im Rahmen der Vertragserfüllung Zugang zu Geheimnisschutzdaten erhalten können. DeepMask GmbH stellt sicher, dass Unterauftragsverarbeiter über diese Rechte und Pflichten informiert werden.
Berufsrechtliche Grundlagen — Steuerberater
§ 62a Steuerberatungsgesetz (StBerG) und § 203 Strafgesetzbuch (StGB)
Steuerberatungsgesetz (StBerG)
§ 62a Inanspruchnahme von Dienstleistungen
Gesetzestext im Volltext: gesetze-im-internet.de
(1) Steuerberater und Steuerbevollmächtigte dürfen Dienstleistern den Zugang zu Tatsachen eröffnen, auf die sich die Verpflichtung zur Verschwiegenheit gemäß § 57 Absatz 1 bezieht, soweit dies für die Inanspruchnahme der Dienstleistung erforderlich ist. Dienstleister ist eine andere Person oder Stelle, die vom Steuerberater oder vom Steuerbevollmächtigten im Rahmen seiner Berufsausübung mit Dienstleistungen beauftragt wird.
(2) Steuerberater und Steuerbevollmächtigte sind verpflichtet, den Dienstleister sorgfältig auszuwählen. Die Zusammenarbeit muss unverzüglich beendet werden, wenn die Einhaltung der dem Dienstleister gemäß Absatz 3 zu machenden Vorgaben nicht gewährleistet ist.
(3) Der Vertrag mit dem Dienstleister bedarf der Textform. In ihm ist
- der Dienstleister unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit zu verpflichten,
- der Dienstleister zu verpflichten, sich nur insoweit Kenntnis von fremden Geheimnissen zu verschaffen, als dies zur Vertragserfüllung erforderlich ist, und
- festzulegen, ob der Dienstleister befugt ist, weitere Personen zur Erfüllung des Vertrags heranzuziehen; für diesen Fall ist dem Dienstleister aufzuerlegen, diese Personen in Textform zur Verschwiegenheit zu verpflichten.
(4) Bei der Inanspruchnahme von Dienstleistungen, die im Ausland erbracht werden, darf der Steuerberater und der Steuerbevollmächtigte dem Dienstleister den Zugang zu fremden Geheimnissen unbeschadet der übrigen Voraussetzungen dieser Vorschrift nur dann eröffnen, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist, es sei denn, dass der Schutz der Geheimnisse dies nicht gebietet.
(5) Bei der Inanspruchnahme von Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen, darf der Steuerberater und der Steuerbevollmächtigte dem Dienstleister den Zugang zu fremden Geheimnissen nur dann eröffnen, wenn der Mandant darin eingewilligt hat.
(6) Die Absätze 2 und 3 gelten auch im Fall der Inanspruchnahme von Dienstleistungen, in die der Mandant eingewilligt hat, sofern der Mandant nicht ausdrücklich auf die Einhaltung der in den Absätzen 2 und 3 genannten Anforderungen verzichtet hat.
(7) Die Absätze 1 bis 6 gelten nicht, soweit Dienstleistungen auf Grund besonderer gesetzlicher Vorschriften in Anspruch genommen werden. Absatz 3 Satz 2 gilt nicht, soweit der Dienstleister hinsichtlich der zu erbringenden Dienstleistung gesetzlich zur Verschwiegenheit verpflichtet ist.
(8) Die Vorschriften zum Schutz personenbezogener Daten bleiben unberührt.
Strafgesetzbuch (StGB)
§ 203 Verletzung von Privatgeheimnissen
Gesetzestext im Volltext: gesetze-im-internet.de
(1) Wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als
- Arzt, Zahnarzt, Tierarzt, Apotheker oder Angehörigen eines anderen Heilberufs, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert,
- Berufspsychologen mit staatlich anerkannter wissenschaftlicher Abschlußprüfung,
- Rechtsanwalt, Kammerrechtsbeistand, Patentanwalt, Notar, Verteidiger in einem gesetzlich geordneten Verfahren, Wirtschaftsprüfer, vereidigtem Buchprüfer, Steuerberater, Steuerbevollmächtigten,
- Organ oder Mitglied eines Organs einer Wirtschaftsprüfungs-, Buchprüfungs- oder einer Berufsausübungsgesellschaft von Steuerberatern und Steuerbevollmächtigten, einer Berufsausübungsgesellschaft von Rechtsanwälten oder europäischen niedergelassenen Rechtsanwälten oder einer Berufsausübungsgesellschaft von Patentanwälten oder niedergelassenen europäischen Patentanwälten im Zusammenhang mit der Beratung und Vertretung der Wirtschaftsprüfungs-, Buchprüfungs- oder Berufsausübungsgesellschaft im Bereich der Wirtschaftsprüfung, Buchprüfung oder Hilfeleistung in Steuersachen oder ihrer rechtsanwaltlichen oder patentanwaltlichen Tätigkeit,
- Ehe-, Familien-, Erziehungs- oder Jugendberater sowie Berater für Suchtfragen in einer Beratungsstelle, die von einer Behörde oder Körperschaft, Anstalt oder Stiftung des öffentlichen Rechts anerkannt ist,
- Mitglied oder Beauftragten einer anerkannten Beratungsstelle nach den §§ 3 und 8 Absatz 1 des Schwangerschaftskonfliktgesetzes,
- staatlich anerkanntem Sozialarbeiter oder staatlich anerkanntem Sozialpädagogen oder
- Angehörigen eines Unternehmens der privaten Kranken-, Unfall- oder Lebensversicherung oder einer privatärztlichen, steuerberaterlichen oder anwaltlichen Verrechnungsstelle
anvertraut worden oder sonst bekanntgeworden ist, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.
(2) Ebenso wird bestraft, wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als
- Amtsträger oder Europäischer Amtsträger,
- für den öffentlichen Dienst besonders Verpflichteten,
- Person, die Aufgaben oder Befugnisse nach dem Personalvertretungsrecht wahrnimmt,
- Mitglied eines für ein Gesetzgebungsorgan des Bundes oder eines Landes tätigen Untersuchungsausschusses, sonstigen Ausschusses oder Rates, das nicht selbst Mitglied des Gesetzgebungsorgans ist, oder als Hilfskraft eines solchen Ausschusses oder Rates,
- öffentlich bestelltem Sachverständigen, der auf die gewissenhafte Erfüllung seiner Obliegenheiten auf Grund eines Gesetzes förmlich verpflichtet worden ist, oder
- Person, die auf die gewissenhafte Erfüllung ihrer Geheimhaltungspflicht bei der Durchführung wissenschaftlicher Forschungsvorhaben auf Grund eines Gesetzes förmlich verpflichtet worden ist,
anvertraut worden oder sonst bekanntgeworden ist. Einem Geheimnis im Sinne des Satzes 1 stehen Einzelangaben über persönliche oder sachliche Verhältnisse eines anderen gleich, die für Aufgaben der öffentlichen Verwaltung erfaßt worden sind; Satz 1 ist jedoch nicht anzuwenden, soweit solche Einzelangaben anderen Behörden oder sonstigen Stellen für Aufgaben der öffentlichen Verwaltung bekanntgegeben werden und das Gesetz dies nicht untersagt.
(3) Kein Offenbaren im Sinne dieser Vorschrift liegt vor, wenn die in den Absätzen 1 und 2 genannten Personen Geheimnisse den bei ihnen berufsmäßig tätigen Gehilfen oder den bei ihnen zur Vorbereitung auf den Beruf tätigen Personen zugänglich machen. Die in den Absätzen 1 und 2 Genannten dürfen fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist; das Gleiche gilt für sonstige mitwirkende Personen, wenn diese sich weiterer Personen bedienen, die an der beruflichen oder dienstlichen Tätigkeit der in den Absätzen 1 und 2 Genannten mitwirken.
(4) Mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe wird bestraft, wer unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person oder als bei den in den Absätzen 1 und 2 genannten Personen tätiger Datenschutzbeauftragter bekannt geworden ist. Ebenso wird bestraft, wer
- als in den Absätzen 1 und 2 genannte Person nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind,
- als im Absatz 3 genannte mitwirkende Person sich einer weiteren mitwirkenden Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, bedient und nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind, oder
- nach dem Tod der nach Satz 1 oder nach den Absätzen 1 oder 2 verpflichteten Person ein fremdes Geheimnis unbefugt offenbart, das er von dem Verstorbenen erfahren oder aus dessen Nachlass erlangt hat.
(5) Die Absätze 1 bis 4 sind auch anzuwenden, wenn der Täter das fremde Geheimnis nach dem Tod des Betroffenen unbefugt offenbart.
(6) Handelt der Täter gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, so ist die Strafe Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe.
Anlage
Zusatzvereinbarung: Verschwiegenheitsverpflichtung und Belehrung für Ärzte
zum Auftragsverarbeitungsvertrag
1. Anwendungsbereich
Diese Zusatzvereinbarung gilt für Kunden, die als Ärzte oder Angehörige eines anderen Heilberufs im Sinne des § 203 Strafgesetzbuch (StGB) tätig sind, bei der Nutzung der von der DeepMask GmbH bereitgestellten Plattform. Sie wird als Anlage zum Auftragsverarbeitungsvertrag geschlossen und gilt für die Nutzung der DeepMask-Plattform einschließlich der eingesetzten Unterauftragsverarbeiter.
2. Verschwiegenheit
DeepMask GmbH verpflichtet hiermit gegenüber Kunde, alle erlangten vertraulichen Informationen strikt geheim zu halten und vor dem Zugriff Dritter zu schützen.
3. Mitarbeiterverpflichtung
DeepMask GmbH stellt sicher, dass alle mit der Verarbeitung befassten Mitarbeitenden sowie andere für DeepMask GmbH tätige Personen (z. B. Unterauftragsverarbeiter), die Zugang zu vertraulichen Informationen erhalten können, in Textform zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen einer Pflichtverletzung belehrt werden.
4. Kenntniserlangung
DeepMask GmbH darf sich nur insoweit Kenntnis von vertraulichen Informationen verschaffen, als dies für die im Hauptvertrag festgehaltenen Verpflichtungen erforderlich ist. DeepMask GmbH ist berechtigt, Unterauftragsverarbeiter zur Vertragserfüllung heranzuziehen, sofern diese sorgfältig ausgewählt, in Textform zur Geheimhaltung verpflichtet und über die strafrechtlichen Folgen einer Pflichtverletzung belehrt werden. Unterauftragsverarbeiter im Ausland dürfen nur eingesetzt werden, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist.
5. Strafrechtliche Belehrung
Kunde belehrt DeepMask GmbH hiermit, dass der Bruch der Verschwiegenheit oder die Verwertung fremder Geheimnisse durch DeepMask GmbH für die mitwirkenden Personen strafbar ist (§§ 203 Abs. 1, Abs. 4 S. 1 StGB, § 204 StGB) und mit Freiheitsstrafe bis zu einem Jahr, im Fall von § 204 StGB mit Freiheitsstrafe bis zu zwei Jahren, oder mit Geldstrafe bestraft werden kann. Die Strafandrohung erhöht sich auf Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, sofern die entsprechende Person in Bereicherungsabsicht, auch wenn sie zu Gunsten Dritter bestehen sollte, handelt, oder die Absicht hat, durch die Tat einen anderen zu schädigen.
6. Einschaltung weiterer Personen
Kunde belehrt DeepMask GmbH vorsorglich, dass sich mitwirkende Personen im Falle der Einschaltung weiterer Personen bei Strafandrohung von Freiheitsstrafe bis zu einem Jahr oder Geldstrafe strafbar machen, wenn diese weitere Person die Verschwiegenheit bricht, und die mitwirkende Person zugleich nicht dafür Sorge getragen hat, dass erstere zur Verschwiegenheit verpflichtet wurde (§§ 203 Abs. 1, Abs. 4 S. 2 Nr. 2 StGB). Die Strafandrohung erhöht sich auf Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, sofern der Täter in Bereicherungsabsicht, auch wenn sie zu Gunsten Dritter bestehen sollte, handelt, oder die Absicht hat, durch die Tat einen anderen zu schädigen. Diese Verpflichtung gilt für sämtliche weitere Unterbeauftragungen.
7. Gesetzesanlagen
Bestandteil dieser Belehrung ist auch der Wortlaut der einschlägigen Gesetze, die in aktueller Fassung als Anlage beigefügt sind — insbesondere § 203 StGB sowie §§ 53a und 97 StPO.
8. Schutzmaßnahmen
DeepMask GmbH wird angemessene organisatorische und technische Maßnahmen zum Schutz der Vertraulichkeit der vertraulichen Informationen aufrechterhalten und verpflichtet sich, vertrauliche Informationen angemessen gemäß akzeptierter Sicherheitsstandards nach dem aktuellen Stand der Technik zu schützen. Das Sicherheitsniveau darf hierbei nicht geringer als bei eigenen vertraulichen Informationen angelegt werden.
9. Zeitliche Geltung
Die Verschwiegenheitsverpflichtung nach dieser Vereinbarung gilt zeitlich unbeschränkt.
10. Verfahrensrechtlicher Schutz (StPO)
Kunde weist DeepMask GmbH darauf hin, dass im Rahmen der Auftragsverarbeitung auch Daten verarbeitet werden können, die einem ärztlichen Berufsgeheimnis im Sinne des § 203 StGB unterliegen.
Zeugnisverweigerungsrecht (§ 53a StPO)
Daten, die DeepMask GmbH im Auftrag eines Berufsgeheimnisträgers verarbeitet, können dem Zeugnisverweigerungsrecht mitwirkender Personen unterliegen (§ 53a Strafprozessordnung, StPO). Über die Ausübung des Zeugnisverweigerungsrechts entscheidet der Berufsgeheimnisträger als Kunde.
Wird DeepMask GmbH durch Strafverfolgungs- oder andere Behörden zur Offenlegung von Informationen oder zur Aussage aufgefordert, die dem Berufsgeheimnis unterliegen könnten, wird DeepMask GmbH unter Hinweis auf § 53a StPO widersprechen und den Kunden unverzüglich informieren, damit dieser über die Wahrnehmung des Zeugnisverweigerungsrechts entscheiden kann.
Beschlagnahmeschutz (§ 97 StPO)
Geheimnisschutzdaten, die sich im Gewahrsam von DeepMask GmbH befinden, können dem Beschlagnahmeverbot gemäß § 97 StPO unterliegen, insbesondere soweit das Zeugnisverweigerungsrecht mitwirkender Personen nach § 53a StPO greift.
DeepMask GmbH gibt derartige Daten nicht ohne Einverständnis des Kunden (Berufsgeheimnisträger) heraus. Im Falle einer Beschlagnahme oder eines vergleichbaren Zugriffs durch Behörden wird DeepMask GmbH dieser Maßnahme widersprechen und den Kunden unverzüglich informieren.
Unterauftragsverarbeitung
Die Verpflichtungen zu Zeugnisverweigerungsrecht und Beschlagnahmeschutz gelten entsprechend für sämtliche Unterauftragsverarbeiter, die im Rahmen der Vertragserfüllung Zugang zu Geheimnisschutzdaten erhalten können. DeepMask GmbH stellt sicher, dass Unterauftragsverarbeiter über diese Rechte und Pflichten informiert werden.
Berufsrechtliche Grundlagen — Ärzte
§ 203 Strafgesetzbuch (StGB)
Strafgesetzbuch (StGB)
§ 203 Verletzung von Privatgeheimnissen
Gesetzestext im Volltext: gesetze-im-internet.de
(1) Wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als
- Arzt, Zahnarzt, Tierarzt, Apotheker oder Angehörigen eines anderen Heilberufs, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert,
- Berufspsychologen mit staatlich anerkannter wissenschaftlicher Abschlußprüfung,
- Rechtsanwalt, Kammerrechtsbeistand, Patentanwalt, Notar, Verteidiger in einem gesetzlich geordneten Verfahren, Wirtschaftsprüfer, vereidigtem Buchprüfer, Steuerberater, Steuerbevollmächtigten,
- Organ oder Mitglied eines Organs einer Wirtschaftsprüfungs-, Buchprüfungs- oder einer Berufsausübungsgesellschaft von Steuerberatern und Steuerbevollmächtigten, einer Berufsausübungsgesellschaft von Rechtsanwälten oder europäischen niedergelassenen Rechtsanwälten oder einer Berufsausübungsgesellschaft von Patentanwälten oder niedergelassenen europäischen Patentanwälten im Zusammenhang mit der Beratung und Vertretung der Wirtschaftsprüfungs-, Buchprüfungs- oder Berufsausübungsgesellschaft im Bereich der Wirtschaftsprüfung, Buchprüfung oder Hilfeleistung in Steuersachen oder ihrer rechtsanwaltlichen oder patentanwaltlichen Tätigkeit,
- Ehe-, Familien-, Erziehungs- oder Jugendberater sowie Berater für Suchtfragen in einer Beratungsstelle, die von einer Behörde oder Körperschaft, Anstalt oder Stiftung des öffentlichen Rechts anerkannt ist,
- Mitglied oder Beauftragten einer anerkannten Beratungsstelle nach den §§ 3 und 8 Absatz 1 des Schwangerschaftskonfliktgesetzes,
- staatlich anerkanntem Sozialarbeiter oder staatlich anerkanntem Sozialpädagogen oder
- Angehörigen eines Unternehmens der privaten Kranken-, Unfall- oder Lebensversicherung oder einer privatärztlichen, steuerberaterlichen oder anwaltlichen Verrechnungsstelle
anvertraut worden oder sonst bekanntgeworden ist, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.
(2) Ebenso wird bestraft, wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als
- Amtsträger oder Europäischer Amtsträger,
- für den öffentlichen Dienst besonders Verpflichteten,
- Person, die Aufgaben oder Befugnisse nach dem Personalvertretungsrecht wahrnimmt,
- Mitglied eines für ein Gesetzgebungsorgan des Bundes oder eines Landes tätigen Untersuchungsausschusses, sonstigen Ausschusses oder Rates, das nicht selbst Mitglied des Gesetzgebungsorgans ist, oder als Hilfskraft eines solchen Ausschusses oder Rates,
- öffentlich bestelltem Sachverständigen, der auf die gewissenhafte Erfüllung seiner Obliegenheiten auf Grund eines Gesetzes förmlich verpflichtet worden ist, oder
- Person, die auf die gewissenhafte Erfüllung ihrer Geheimhaltungspflicht bei der Durchführung wissenschaftlicher Forschungsvorhaben auf Grund eines Gesetzes förmlich verpflichtet worden ist,
anvertraut worden oder sonst bekanntgeworden ist. Einem Geheimnis im Sinne des Satzes 1 stehen Einzelangaben über persönliche oder sachliche Verhältnisse eines anderen gleich, die für Aufgaben der öffentlichen Verwaltung erfaßt worden sind; Satz 1 ist jedoch nicht anzuwenden, soweit solche Einzelangaben anderen Behörden oder sonstigen Stellen für Aufgaben der öffentlichen Verwaltung bekanntgegeben werden und das Gesetz dies nicht untersagt.
(3) Kein Offenbaren im Sinne dieser Vorschrift liegt vor, wenn die in den Absätzen 1 und 2 genannten Personen Geheimnisse den bei ihnen berufsmäßig tätigen Gehilfen oder den bei ihnen zur Vorbereitung auf den Beruf tätigen Personen zugänglich machen. Die in den Absätzen 1 und 2 Genannten dürfen fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist; das Gleiche gilt für sonstige mitwirkende Personen, wenn diese sich weiterer Personen bedienen, die an der beruflichen oder dienstlichen Tätigkeit der in den Absätzen 1 und 2 Genannten mitwirken.
(4) Mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe wird bestraft, wer unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person oder als bei den in den Absätzen 1 und 2 genannten Personen tätiger Datenschutzbeauftragter bekannt geworden ist. Ebenso wird bestraft, wer
- als in den Absätzen 1 und 2 genannte Person nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind,
- als im Absatz 3 genannte mitwirkende Person sich einer weiteren mitwirkenden Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, bedient und nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind, oder
- nach dem Tod der nach Satz 1 oder nach den Absätzen 1 oder 2 verpflichteten Person ein fremdes Geheimnis unbefugt offenbart, das er von dem Verstorbenen erfahren oder aus dessen Nachlass erlangt hat.
(5) Die Absätze 1 bis 4 sind auch anzuwenden, wenn der Täter das fremde Geheimnis nach dem Tod des Betroffenen unbefugt offenbart.
(6) Handelt der Täter gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, so ist die Strafe Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe.
Verfahrensrechtliche Anlagen
§§ 53a und 97 Strafprozessordnung (StPO)
Strafprozessordnung (StPO)
§ 53a Zeugnisverweigerungsrecht der mitwirkenden Personen
Gesetzestext im Volltext: gesetze-im-internet.de
(1) Den Berufsgeheimnisträgern nach § 53 Absatz 1 Satz 1 Nummer 1 bis 4 stehen die Personen gleich, die im Rahmen
- eines Vertragsverhältnisses einschließlich der gemeinschaftlichen Berufsausübung,
- einer berufsvorbereitenden Tätigkeit oder
- einer sonstigen Hilfstätigkeit
an deren beruflicher Tätigkeit mitwirken. Über die Ausübung des Rechts dieser Personen, das Zeugnis zu verweigern, entscheiden die Berufsgeheimnisträger, es sei denn, dass diese Entscheidung in absehbarer Zeit nicht herbeigeführt werden kann.
(2) Die Entbindung von der Verpflichtung zur Verschwiegenheit (§ 53 Absatz 2 Satz 1) gilt auch für die nach Absatz 1 mitwirkenden Personen.
Strafprozessordnung (StPO)
§ 97 Beschlagnahmeverbot
Gesetzestext im Volltext: gesetze-im-internet.de
(1) Der Beschlagnahme unterliegen nicht
- schriftliche Mitteilungen zwischen dem Beschuldigten und den Personen, die nach § 52 oder § 53 Abs. 1 Satz 1 Nr. 1 bis 3b das Zeugnis verweigern dürfen;
- Aufzeichnungen, welche die in § 53 Abs. 1 Satz 1 Nr. 1 bis 3b Genannten über die ihnen vom Beschuldigten anvertrauten Mitteilungen oder über andere Umstände gemacht haben, auf die sich das Zeugnisverweigerungsrecht erstreckt;
- andere Gegenstände einschließlich der ärztlichen Untersuchungsbefunde, auf die sich das Zeugnisverweigerungsrecht der in § 53 Abs. 1 Satz 1 Nr. 1 bis 3b Genannten erstreckt.
(2) Diese Beschränkungen gelten nur, wenn die Gegenstände im Gewahrsam der zur Verweigerung des Zeugnisses Berechtigten sind, es sei denn, es handelt sich um eine elektronische Gesundheitskarte im Sinne des § 291a des Fünften Buches Sozialgesetzbuch. Die Beschränkungen der Beschlagnahme gelten nicht, wenn bestimmte Tatsachen den Verdacht begründen, dass die zeugnisverweigerungsberechtigte Person an der Tat oder an einer Datenhehlerei, Begünstigung, Strafvereitelung oder Hehlerei beteiligt ist, oder wenn es sich um Gegenstände handelt, die durch eine Straftat hervorgebracht oder zur Begehung einer Straftat gebraucht oder bestimmt sind oder die aus einer Straftat herrühren.
(3) Die Absätze 1 und 2 sind entsprechend anzuwenden, soweit die Personen, die nach § 53a Absatz 1 Satz 1 an der beruflichen Tätigkeit der in § 53 Absatz 1 Satz 1 Nummer 1 bis 3b genannten Personen mitwirken, das Zeugnis verweigern dürfen.
Zusatzvereinbarungen der Unterauftragsverarbeiter
Anlage zur Zusatzvereinbarung für Berufsgeheimnisträger
Für den Einsatz durch Berufsgeheimnisträger bestehen mit den folgenden Unterauftragsverarbeitern gesonderte Zusatzvereinbarungen zum Schutz von Berufsgeheimnissen. Diese Dokumente sind Bestandteil dieses Auftragsverarbeitungsvertrags und nachfolgend vollständig abgedruckt.
Weisungsberechtigte und Weisungsempfänger
Anlage zum Auftragsverarbeitungsvertrag gemäß Abschnitt VIII (Weisungsrecht des Verantwortlichen)
Weisungsberechtigt für den Verantwortlichen (Musterfirma GmbH) sind:
| Name | Funktion | |
|---|---|---|
| Max Mustermann | Geschäftsführung | kontakt@musterfirma.de |
Weisungsempfänger beim Auftragsverarbeiter (DeepMask GmbH) sind:
| Name | Funktion | |
|---|---|---|
| Hissan Usmani | Geschäftsführer | contact@deepmask.io |
Weisungen sind grundsätzlich an die benannten Weisungsempfänger zu richten. Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich oder elektronisch die Nachfolger bzw. die Vertreter mitzuteilen.
Technische und organisatorische Maßnahmen (TOM)
DeepMask GmbH · Anlage zum Auftragsverarbeitungsvertrag
Zutrittskontrolle
Unbefugten den Zutritt zu Datenverarbeitungsanlagen zu verwehren
Implementierte Maßnahmen:
- • Betrieb ausschließlich in zertifizierten Rechenzentren in Deutschland (STACKIT, ISO 27001 und BSI C5)
- • Physische Sicherung der Rechenzentren durch mehrstufige Zutrittskontrollen
- • 24/7 Bewachung sowie Videoüberwachung sicherheitsrelevanter Bereiche
- • Besuchermanagement mit Registrierung und Begleitpflicht
- • Keine eigenen Serverräume: DeepMask betreibt keine On-Premise-Verarbeitungsanlagen
Zugangskontrolle
Unbefugten die Nutzung von Datenverarbeitungssystemen zu verwehren
Implementierte Maßnahmen:
- • Multi-Faktor-Authentifizierung für alle administrativen Zugänge
- • SSO und SAML für Enterprise-Kunden mit zentraler Benutzerverwaltung
- • Rollenbasierte Zugriffskontrolle (RBAC) mit Trennung von Nutzer-, Admin- und Betriebsrollen
- • Automatische Sperrung inaktiver Accounts und Session-Timeouts
- • Passwortrichtlinien nach BSI-Empfehlung, Speicherung ausschließlich als Hash
Zugriffskontrolle
Gewährleistung, dass nur autorisierte Personen auf relevante Daten zugreifen können
Implementierte Maßnahmen:
- • Granulare Berechtigungskonzepte auf Ebene von Organisation, Team, Projekt und Chat
- • Prinzip der minimalen Berechtigung (Least Privilege) für alle Betriebszugriffe
- • Kein Zugriff von DeepMask-Mitarbeitenden auf Chat- und Projektinhalte im Regelbetrieb
- • Support-Zugriffe nur nach ausdrücklicher Freigabe durch den Kunden und vollständig protokolliert
- • Regelmäßige Access Reviews und Rezertifizierung von Berechtigungen
Weitergabekontrolle
Gewährleistung, dass personenbezogene Daten bei der Übertragung nicht unbefugt gelesen werden
Implementierte Maßnahmen:
- • TLS 1.3 für sämtliche Verbindungen zwischen Client, Plattform und Modell-Endpunkten
- • Verschlüsselung ruhender Daten (AES-256) in Datenbanken, Objektspeicher und Backups
- • Zentrales Schlüsselmanagement mit regelmäßiger Rotation
- • Übermittlung an Modellanbieter ausschließlich über abgesicherte, vertraglich gebundene Endpunkte
- • Regelmäßige Überprüfung der eingesetzten Cipher-Suiten und Zertifikate
Eingabekontrolle
Nachvollziehbarkeit, wer wann welche Daten eingegeben, verändert oder entfernt hat
Implementierte Maßnahmen:
- • Audit-Logs für Anmeldungen, Rechteänderungen und administrative Operationen
- • Protokollierung der Modellauswahl und Nutzung je Organisation für Nachvollziehbarkeit und Abrechnung
- • Technische Logs werden nach sieben Tagen automatisch gelöscht
- • Manipulationssichere Ablage der Protokolle mit eingeschränktem Zugriff
- • Auswertung auf Anomalien und automatisches Alerting bei auffälligen Mustern
Auftragskontrolle
Gewährleistung, dass Daten nur entsprechend den Weisungen des Auftraggebers verarbeitet werden
Implementierte Maßnahmen:
- • Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit jedem Kunden
- • AVV nach Art. 28 DSGVO mit jedem eingesetzten Unterauftragsverarbeiter
- • Sorgfältige Auswahl und regelmäßige Bewertung aller Modellanbieter und Cloud-Partner
- • Verpflichtung aller Mitarbeitenden auf Vertraulichkeit und Datengeheimnis
- • Regelmäßige Datenschutz- und Security-Awareness-Schulungen
Verfügbarkeitskontrolle
Gewährleistung, dass Daten gegen zufällige Zerstörung oder Verlust geschützt sind
Implementierte Maßnahmen:
- • Redundante Infrastruktur über mehrere Verfügbarkeitszonen innerhalb Deutschlands
- • Regelmäßige, verschlüsselte Backups mit definierten RTO- und RPO-Zielen
- • Wiederherstellungstests zur Überprüfung der Backup-Integrität
- • Failover auf alternative EU-Modell-Endpunkte bei Ausfall eines Anbieters
- • Monitoring, Alerting und dokumentierter Incident-Response-Prozess
Trennungskontrolle
Gewährleistung, dass Daten verschiedener Auftraggeber getrennt verarbeitet werden
Implementierte Maßnahmen:
- • Mandantenfähige Architektur mit strikter Trennung je Organisation
- • Durchsetzung der Mandantengrenze auf Anwendungs- und Datenbankebene
- • Getrennte Umgebungen für Entwicklung, Test und Produktion
- • Keine Produktivdaten in Test- und Entwicklungsumgebungen
- • Regelmäßige Überprüfung der Trennungsmaßnahmen im Rahmen von Sicherheitstests
KI-spezifische Maßnahmen
Schutz von Eingaben und Ergebnissen bei der Verarbeitung durch KI-Modelle
Implementierte Maßnahmen:
- • Kein Training: Eingaben und Ausgaben werden vertraglich ausgeschlossen von der Weiterentwicklung der Modelle
- • Kein Prompt-Retention bei den Modellanbietern über die Antwortdauer hinaus
- • Bevorzugtes Routing auf in Deutschland und der EU gehostete Modell-Endpunkte
- • Transparente Kennzeichnung von Modell, Hosting-Region und Wissensstand in der Oberfläche
- • Menschliche Letztentscheidung: Ergebnisse werden als Vorschlag ausgegeben, nicht als automatisierte Einzelfallentscheidung i. S. d. Art. 22 DSGVO
Zertifizierung und Überprüfung
Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit (Art. 32 Abs. 1 lit. d DSGVO)
Implementierte Maßnahmen:
- • Aufbau eines Informationssicherheits-Managementsystems (ISMS) nach ISO 27001 — Zertifizierung in Bearbeitung
- • Externer Datenschutzbeauftragter mit regelmäßiger Prüfung der Verarbeitungstätigkeiten
- • Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO
- • Regelmäßige Sicherheitstests der Plattform und Behebung erkannter Schwachstellen
- • Bewertung der Zertifizierungen und Prüfberichte aller Unterauftragsverarbeiter
Unterauftragsverarbeiter
DeepMask GmbH · Anlage zum Auftragsverarbeitungsvertrag
Übersicht über alle Unterauftragsverarbeiter, die von der DeepMask GmbH zur Erbringung der DeepMask-Plattform eingesetzt werden. Der Schwerpunkt liegt auf deutscher und europäischer Infrastruktur: Primärer Hosting-Partner ist die souveräne deutsche Cloud der Schwarz Gruppe (STACKIT). Alle Unterauftragsverarbeiter wurden sorgfältig ausgewählt, sind vertraglich nach Art. 28 DSGVO gebunden und verwenden Kundendaten nicht zum Training von KI-Modellen.
STACKIT (Schwarz Digits KG)
Deutschland · Infrastruktur & Hosting
Anschrift
Stiftsbergstraße 1, 74172 Neckarsulm, Deutschland
Dienstleistung
Cloud-Infrastruktur, Compute & Kubernetes, Object Storage, Managed Databases sowie STACKIT AI Model Serving (LLM-Inferenz für Qwen3, GPT-OSS 120B, Gemma 3 27B)
Verarbeitungszweck
Primärer Hosting-Partner: Betrieb der DeepMask-Plattform und Ausführung von KI-Modellen in einer souveränen deutschen Cloud. Daten verlassen Deutschland nicht.
Zertifizierungen
ISO 27001, BSI C5, ISAE 3000 (SOC 2), ISAE 3402
Hetzner Online GmbH
Deutschland · Infrastruktur & Hosting
Anschrift
Industriestraße 25, 91710 Gunzenhausen, Deutschland
Dienstleistung
Webhosting und DNS für die öffentlichen Webauftritte (Website, Trust Center)
Verarbeitungszweck
Bereitstellung der Unternehmenswebsite und zugehöriger DNS-Dienste; keine Verarbeitung von Chat- oder Projektinhalten.
Zertifizierungen
ISO 27001
Infercom
EU · KI-Services
Dienstleistung
Sichere EU-KI-Inferenzschicht für ausgewählte Modelle (u. a. DeepSeek V3.1, MiniMax M2.5, GPT-OSS 120B)
Verarbeitungszweck
Ausführung von Open-Weight-Modellen auf EU-Infrastruktur, damit Prompt- und Antwortdaten die EU nicht verlassen.
Microsoft Ireland Operations Ltd.
EU · KI-Services
Anschrift
One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland
Dienstleistung
Azure OpenAI Service (GPT-4o, GPT-4.1, GPT-5.x, o3-mini)
Verarbeitungszweck
Bereitstellung von KI-Inferenz für OpenAI-Modelle. Eingaben werden nicht zum Training von Modellen verwendet; die Verarbeitung erfolgt in der EU Data Zone, also ausschließlich in EU-Regionen.
Garantien
EU-Standardvertragsklauseln, EU-US Data Privacy Framework
Zertifizierungen
ISO 27001, ISO 27017, ISO 27018, ISO 42001, SOC 1/2/3
Amazon Web Services EMEA SARL (Amazon Bedrock)
EU · KI-Services
Anschrift
38 Avenue John F. Kennedy, L-1855 Luxemburg
Dienstleistung
Amazon Bedrock (Anthropic-Modelle: Opus 4.5/4.6, Sonnet 4.5/4.6, Haiku 4.5)
Verarbeitungszweck
Bereitstellung von KI-Inferenz für Anthropic-Modelle. Die Verarbeitung erfolgt gemäß AVV ausschließlich in EU-Regionen; Eingaben werden nicht zum Modelltraining verwendet.
Garantien
AWS DPA mit EU-Standardvertragsklauseln, AWS European Sovereign Cloud Commitments
Zertifizierungen
ISO 27001, ISO 27017, ISO 27018, BSI C5, SOC 1/2/3
Google Cloud EMEA Limited
EU · KI-Services
Anschrift
70 Sir John Rogerson's Quay, Dublin 2, Irland
Dienstleistung
Google Vertex AI (Gemini 2.0 Flash, Gemini 2.5 Pro/Flash)
Verarbeitungszweck
Bereitstellung von KI-Inferenz für Gemini-Modelle mit vertraglich zugesicherter Datenspeicherung in der gewählten Region; keine Nutzung der Eingaben für Modelltraining.
Garantien
Google Cloud Data Processing Addendum, EU-Standardvertragsklauseln
Zertifizierungen
ISO 27001, ISO 27017, ISO 27018, ISO 27701, ISO 42001, SOC 1/2/3
Mistral AI SAS
EU · KI-Services
Anschrift
15 rue des Halles, 75001 Paris, Frankreich
Dienstleistung
Mistral-Modelle (Mistral Large 3, Mistral Medium 3)
Verarbeitungszweck
Bereitstellung von KI-Inferenz für Mistral-Modelle auf europäischer Infrastruktur.
Zertifizierungen
ISO 27001
Perplexity AI, Inc.
USA · KI-Services
Dienstleistung
KI-gestützte Websuche (optionales Feature, nur bei aktiver Nutzung)
Verarbeitungszweck
Recherche in Echtzeit mit Quellenangaben. Übermittelt wird ausschließlich die Suchanfrage, und nur wenn Nutzende die Websuche im Chat einschalten. Die Anfrage stellt die Plattform pseudonymisiert unter ihrer eigenen Identität, ohne Nutzer- oder Kontobezug.
Garantien
EU-US Data Privacy Framework
Zertifizierungen
SOC 2 Type II
Google Ireland Limited
EU · Kommunikation
Anschrift
Gordon House, Barrow Street, Dublin 4, Irland
Dienstleistung
Google Meet und Google Workspace für Kundenkommunikation und Demo-Termine
Verarbeitungszweck
Durchführung von Video-Terminen sowie geschäftliche Korrespondenz; keine Verarbeitung von Chat- oder Projektinhalten der Plattform.
Garantien
EU-Standardvertragsklauseln, EU-US Data Privacy Framework
Zertifizierungen
ISO 27001, ISO 27018, SOC 2/3
Zweckbestimmung nach der KI-VO und Ausschluss von Hochrisiko-Anwendungen
DeepMask GmbH · Anlage zum Auftragsverarbeitungsvertrag
Diese Anlage konkretisiert die Zweckbestimmung der in Ziffer I des Auftragsverarbeitungsvertrags beschriebenen KI-Plattform (nachfolgend „Plattform“) im Sinne der Verordnung (EU) 2024/1689 (KI-VO) und ist verbindlicher Bestandteil des Auftragsverarbeitungsvertrags.
1. Zweckbestimmung
Die Plattform ist ein KI-System im Sinne der KI-VO. Ihre Zweckbestimmung im Sinne von Art. 3 Nr. 12 KI-VO beschränkt sich auf die Unterstützung fachlicher Tätigkeiten des Verantwortlichen durch Textverarbeitung, Recherche, Analyse und Auswertung von Dokumenten und Daten sowie auf die Automatisierung wiederkehrender Arbeitsschritte innerhalb der vom Verantwortlichen definierten Geschäftsprozesse. Ergebnisse werden ausschließlich als Vorschlag ausgegeben; die Entscheidung trifft stets ein Mensch.
2. Ausgeschlossene Anwendungen
Nicht zur Zweckbestimmung gehören und sind ausdrücklich ausgeschlossen — die Plattform ist hierfür weder bestimmt noch mit entsprechenden Funktionen ausgestattet:
- die Beobachtung und Bewertung der Leistung und des Verhaltens von Beschäftigten (Leistungs- und Verhaltenskontrolle), Anhang III Nr. 4 lit. b KI-VO;
- Entscheidungen, die die Bedingungen von Arbeitsverhältnissen beeinflussen, insbesondere über Begründung, Vergütung, Beförderung oder Beendigung von Arbeitsverhältnissen, Anhang III Nr. 4 lit. b KI-VO;
- die Zuweisung von Aufgaben aufgrund des individuellen Verhaltens oder persönlicher Merkmale oder Eigenschaften, Anhang III Nr. 4 lit. b KI-VO;
- die Einstellung oder Auswahl natürlicher Personen, insbesondere das Schalten gezielter Stellenanzeigen, das Analysieren und Filtern von Bewerbungen sowie das Bewerten von Bewerberinnen und Bewerbern, Anhang III Nr. 4 lit. a KI-VO;
- die Emotionserkennung am Arbeitsplatz, Art. 5 Abs. 1 lit. f KI-VO;
- die biometrische Identifizierung und die biometrische Kategorisierung natürlicher Personen sowie die Bewertung oder Einstufung natürlicher Personen anhand ihres sozialen Verhaltens (Social Scoring), Art. 5 Abs. 1 lit. c und lit. g sowie Anhang III Nr. 1 KI-VO;
- die bestimmungsgemäße Verwendung in den übrigen Bereichen des Anhangs III der KI-VO, insbesondere als Sicherheitsbauteil kritischer Infrastruktur, im Bildungswesen, zur Bonitäts- oder Risikobewertung natürlicher Personen, in der Strafverfolgung, im Migrations- und Asylwesen sowie in der Rechtspflege.
3. Beschäftigtendaten
Personenbezogene Daten von Beschäftigten des Verantwortlichen werden ausschließlich zur Bereitstellung und Administration der Plattform (insbesondere Nutzerkonten, Authentifizierung, Rechteverwaltung und Sicherheitsprotokollierung) sowie insoweit verarbeitet, als Beschäftigte die Plattform im Rahmen ihrer Tätigkeit nutzen und dabei Inhalte eingeben. Nutzungs- und Protokolldaten wertet der Auftragsverarbeiter ausschließlich zu Zwecken der Informationssicherheit, der Fehleranalyse und des Nachweises der Systemintegrität aus. Eine Auswertung zur Bewertung der Leistung oder des Verhaltens einzelner Beschäftigter findet nicht statt; entsprechende Funktionen stellt der Auftragsverarbeiter dem Verantwortlichen nicht bereit.
4. Änderung der Zweckbestimmung
Der Verantwortliche ist nicht berechtigt, die Plattform für die vorstehend ausgeschlossenen Zwecke einzusetzen. Eine Erweiterung der Zweckbestimmung bedarf einer gesonderten schriftlichen Vereinbarung. Verändert der Verantwortliche die Zweckbestimmung der Plattform derart, dass ein Hochrisiko-KI-System im Sinne des Art. 6 Abs. 2 KI-VO entsteht, gilt er nach Art. 25 Abs. 1 lit. c KI-VO insoweit selbst als Anbieter und trägt die damit verbundenen Pflichten.
5. Beteiligungsrechte
Soweit der Einsatz der Plattform im Unternehmen des Verantwortlichen Beteiligungsrechte der Arbeitnehmervertretung auslöst, obliegt deren Wahrnehmung dem Verantwortlichen. Gleiches gilt für die Information der Beschäftigten und ihrer Vertretungen nach Art. 26 Abs. 7 KI-VO.