(Anlage 3 zu den Allgemeinen Geschäftsbedingungen von Heptic / SaaS-Vertrag)
zwischen
dem Kunden mit Sitz in Österreich, der einer gesetzlichen beruflichen Verschwiegenheitspflicht unterliegt oder sonst geheimnisgeschützte Informationen im Service verarbeitet
(im Folgenden „Kunde“)
und
Tapgo GmbH
Hillerstraße 7/32
1020 Wien
Österreich
FN 661744 d, Handelsgericht Wien
(im Folgenden „Heptic“)
§ 1 Anwendungsbereich
(1) Diese Verpflichtungserklärung gilt, wenn und soweit der Kunde
(a) nach österreichischem Recht einer gesetzlichen beruflichen Verschwiegenheitspflicht unterliegt (insbesondere berufsrechtlichen Verschwiegenheitspflichten reglementierter Berufe, einschließlich, aber nicht beschränkt auf Pflichten nach den einschlägigen Berufsgesetzen und strafrechtlichen Bestimmungen zum Schutz von Berufsgeheimnissen), oder
(b) in den Heptic-Service Informationen einbringt, die durch eine solche Verschwiegenheitspflicht geschützt sind oder vertrauliche Berufsgeheimnisse der Patienten, Mandanten oder sonstigen geschützten Personen des Kunden darstellen
(zusammen „Geheimnisgeschützte Informationen“).
(2) Diese Verpflichtungserklärung wird mit Abschluss des SaaS-Vertrags mit Heptic wirksam, ohne dass es einer gesonderten Unterzeichnung bedarf, sofern die Voraussetzungen des Absatzes (1) erfüllt sind. Sind diese Voraussetzungen nicht erfüllt, findet diese Verpflichtungserklärung keine Anwendung; die allgemeine Vertraulichkeitsklausel des SaaS-Vertrags bleibt unberührt.
(3) Im Fall von Widersprüchen zwischen dieser Verpflichtungserklärung und dem SaaS-Vertrag oder dem Auftragsverarbeitungsvertrag (AVV) geht diese Verpflichtungserklärung hinsichtlich der beruflichen Verschwiegenheit, des Kreises der zur Kenntnisnahme berechtigten Personen, der Beauftragung von Unterauftragsverarbeitern mit Zugriff auf Geheimnisgeschützte Informationen sowie der Haftung für Verletzungen der hierin geregelten Verschwiegenheitspflichten vor.
§ 2 Art des Service und Zugriff
(1) Heptic stellt eine Software-as-a-Service-Plattform bereit. Ein Zugriff auf Geheimnisgeschützte Informationen erfolgt nur, soweit dies zur Bereitstellung, Absicherung, Wartung und Unterstützung des Service erforderlich ist oder vom Kunden angewiesen wird.
(2) Heptic organisiert seinen Betrieb so, dass Geheimnisgeschützte Informationen nur Personal zugänglich sind, das diesen Zugriff für die in Absatz (1) genannten Zwecke benötigt und zur Verschwiegenheit verpflichtet ist.
(3) Der Kunde bleibt dafür verantwortlich, zu entscheiden, welche Geheimnisgeschützten Informationen in den Service hochgeladen werden, und die Benutzerzugriffe innerhalb seiner Organisation angemessen zu konfigurieren.
§ 3 Verschwiegenheitsverpflichtung
(1) Heptic verpflichtet sich, Geheimnisgeschützte Informationen streng vertraulich zu behandeln und nicht an unbefugte Dritte weiterzugeben.
(2) Heptic verwendet Geheimnisgeschützte Informationen ausschließlich zur Erfüllung des SaaS-Vertrags und der dokumentierten Weisungen des Kunden.
(3) Das Personal von Heptic, das Zugriff auf Geheimnisgeschützte Informationen erhalten kann, wird über die Verschwiegenheitspflicht belehrt und entsprechend verpflichtet (vertragliche Verschwiegenheit / Datengeheimnis).
(4) Die Verschwiegenheitspflicht besteht nach Beendigung des Vertragsverhältnisses fort, solange die Informationen geheimnisgeschützt oder vertraulich sind, jedenfalls aber für mindestens fünf Jahre nach Vertragsende, sofern nicht längere gesetzliche Pflichten gelten.
§ 4 Datenschutz
(1) Soweit personenbezogene Daten verarbeitet werden, gelten ergänzend zu dieser Verpflichtungserklärung der AVV gemäß Art. 28 DSGVO sowie das österreichische Datenschutzgesetz (DSG).
(2) Heptic setzt technische und organisatorische Maßnahmen (TOM) um, die der Sensibilität Geheimnisgeschützter Informationen angemessen sind, wie in Anlage A des AVV und im SaaS-Vertrag beschrieben.
(3) Heptic beachtet die Pflichten zur Wahrung des Datengeheimnisses nach § 6 DSG (oder Nachfolgebestimmungen) hinsichtlich personenbezogener Daten, die im Rahmen der Erbringung des Service verarbeitet werden.
§ 5 Unterauftragsverarbeiter
(1) Der Kunde ermächtigt Heptic, Unterauftragsverarbeiter gemäß Anlage B des AVV zu beauftragen, sofern
(a) die Unterauftragsverarbeiter hinsichtlich Geheimnisgeschützter Informationen Verschwiegenheitspflichten unterliegen, die nicht weniger schützend sind als jene dieser Verpflichtungserklärung; und
(b) der Zugriff auf das für die beauftragte Leistung Erforderliche beschränkt ist.
(2) Der Kunde kann einem neuen Unterauftragsverarbeiter, der Zugriff auf Geheimnisgeschützte Informationen erhalten würde, nach Maßgabe des im AVV geregelten Verfahrens für Unterauftragsverarbeiter widersprechen. Ist eine weitere Nutzung des Service ohne diesen Unterauftragsverarbeiter nicht möglich, kann jede Partei den betroffenen Service aus wichtigem Grund zum Wirksamkeitszeitpunkt der Änderung kündigen.
(3) Verlangen das österreichische Berufsgeheimnisrecht oder eine zuständige berufliche Interessenvertretung, dass bestimmte Anbieter nur unter besonderen zusätzlichen Voraussetzungen beauftragt werden dürfen, teilt der Kunde dies Heptic in Textform mit, bevor er entsprechende Geheimnisgeschützte Informationen in den Service einbringt, damit die Parteien etwaige erforderliche zusätzliche Schutzmaßnahmen vereinbaren können.
§ 6 Gesetzlich vorgeschriebene Offenlegung
Ist Heptic gesetzlich verpflichtet, Geheimnisgeschützte Informationen offenzulegen, informiert Heptic den Kunden, soweit rechtlich zulässig, unverzüglich vor der Offenlegung, damit der Kunde sich um Schutzmaßnahmen bemühen kann.
§ 7 Zusicherungen des Kunden
Der Kunde sichert zu, dass
(a) er berechtigt ist, die Geheimnisgeschützten Informationen in den Service einzubringen;
(b) alle erforderlichen Einwilligungen, Genehmigungen oder Rechtsgrundlagen für die Verarbeitung und für die Beauftragung von Heptic vorliegen; und
(c) er den Service nicht vorsätzlich dazu nutzen wird, für ihn geltende gesetzliche Beschränkungen des Berufsgeheimnisses zu umgehen.
§ 8 Haftung
(1) Heptic haftet für Verletzungen dieser Verpflichtungserklärung nach Maßgabe des SaaS-Vertrags, des zwingenden österreichischen Rechts und, soweit personenbezogene Daten betroffen sind, der DSGVO und des DSG.
(2) Die Haftung für Vorsatz und grobe Fahrlässigkeit, für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit sowie nach zwingenden gesetzlichen Vorschriften bleibt unbeschränkt.
(3) Vorbehaltlich Absatz (2) gilt die Haftungsbegrenzung des SaaS-Vertrags, sofern nicht für Verletzungen beruflicher Verschwiegenheitspflichten eine höhere zwingende Haftung gilt.
§ 9 Rückgabe und Löschung
Nach Vertragsbeendigung werden Geheimnisgeschützte Informationen gemäß dem SaaS-Vertrag und dem AVV zurückgegeben oder gelöscht. Restkopien in verschlüsselten Backups werden im Rahmen der Backup-Rotation gelöscht, sofern sie gegen betrieblichen Zugriff geschützt sind.
§ 10 Anwendbares Recht und Gerichtsstand
(1) Diese Verpflichtungserklärung unterliegt dem Recht der Republik Österreich.
(2) Ausschließlicher Gerichtsstand für Streitigkeiten aus dieser Verpflichtungserklärung ist Wien, Österreich, sofern der Kunde Unternehmer ist, es sei denn, zwingendes Recht schreibt einen anderen Gerichtsstand vor.
§ 11 Schlussbestimmungen
(1) Änderungen bedürfen der Textform.
(2) Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen wirksam. Die unwirksame Bestimmung wird durch eine wirksame Bestimmung ersetzt, die dem wirtschaftlichen und schützenden Zweck der unwirksamen Bestimmung am nächsten kommt.
(3) Diese Verpflichtungserklärung ist in deutscher und englischer Sprache abgefasst. Die deutsche Fassung ist maßgeblich.
Heptic / Tapgo GmbH
Hillerstraße 7/32
1020 Wien
Österreich
E-Mail: benedikt@heptic.de