(Anlage 2 zu den Allgemeinen Geschäftsbedingungen von Heptic / SaaS-Vertrag)
zwischen
dem Kunden mit Sitz in Deutschland, der einer gesetzlichen beruflichen Verschwiegenheitspflicht unterliegt oder sonst geheimnisgeschützte Informationen im Service verarbeitet
(im Folgenden „Kunde“)
und
Tapgo GmbH
Hillerstraße 7/32
1020 Wien
Österreich
FN 661744 d, Handelsgericht Wien
(im Folgenden „Heptic“)
§ 1 Anwendungsbereich
(1) Diese Verpflichtungserklärung gilt, wenn und soweit der Kunde
(a) nach deutschem Recht einer gesetzlichen beruflichen Verschwiegenheitspflicht unterliegt (insbesondere zur Verschwiegenheit verpflichtete Personen im Sinne des § 203 des Strafgesetzbuches (StGB) oder vergleichbarer berufsrechtlicher Geheimhaltungsvorschriften), oder
(b) in den Heptic-Service Informationen einbringt, die durch eine solche Verschwiegenheitspflicht geschützt sind oder vertrauliche Berufsgeheimnisse der Patienten, Mandanten oder sonstigen geschützten Personen des Kunden darstellen
(zusammen „Geheimnisgeschützte Informationen“).
(2) Diese Verpflichtungserklärung wird mit Abschluss des SaaS-Vertrags mit Heptic wirksam, ohne dass es einer gesonderten Unterzeichnung bedarf, sofern die Voraussetzungen des Absatzes (1) erfüllt sind. Sind diese Voraussetzungen nicht erfüllt, findet diese Verpflichtungserklärung keine Anwendung; die allgemeine Vertraulichkeitsklausel des SaaS-Vertrags bleibt unberührt.
(3) Im Fall von Widersprüchen zwischen dieser Verpflichtungserklärung und dem SaaS-Vertrag oder dem Auftragsverarbeitungsvertrag (AVV) geht diese Verpflichtungserklärung hinsichtlich der beruflichen Verschwiegenheit, des Kreises der zur Kenntnisnahme berechtigten Personen, der Beauftragung von Unterauftragsverarbeitern mit Zugriff auf Geheimnisgeschützte Informationen sowie der Haftung für Verletzungen der hierin geregelten Verschwiegenheitspflichten vor.
§ 2 Art des Service und Zugriff
(1) Heptic stellt eine Software-as-a-Service-Plattform bereit. Ein Zugriff auf Geheimnisgeschützte Informationen erfolgt nur, soweit dies zur Bereitstellung, Absicherung, Wartung und Unterstützung des Service erforderlich ist oder vom Kunden angewiesen wird.
(2) Heptic organisiert seinen Betrieb so, dass Geheimnisgeschützte Informationen nur Personal zugänglich sind, das diesen Zugriff für die in Absatz (1) genannten Zwecke benötigt und zur Verschwiegenheit verpflichtet ist.
(3) Der Kunde bleibt dafür verantwortlich, zu entscheiden, welche Geheimnisgeschützten Informationen in den Service hochgeladen werden, und die Benutzerzugriffe innerhalb seiner Organisation angemessen zu konfigurieren.
§ 3 Verschwiegenheitsverpflichtung
(1) Heptic verpflichtet sich, Geheimnisgeschützte Informationen streng vertraulich zu behandeln und nicht an unbefugte Dritte weiterzugeben.
(2) Heptic verwendet Geheimnisgeschützte Informationen ausschließlich zur Erfüllung des SaaS-Vertrags und der dokumentierten Weisungen des Kunden.
(3) Die Verschwiegenheitspflicht besteht nach Beendigung des Vertragsverhältnisses fort, solange die Informationen geheimnisgeschützt oder vertraulich sind, jedenfalls aber für mindestens fünf Jahre nach Vertragsende, sofern nicht längere gesetzliche Pflichten gelten.
§ 4 Datenschutz
(1) Soweit personenbezogene Daten verarbeitet werden, gilt ergänzend zu dieser Verpflichtungserklärung der AVV gemäß Art. 28 DSGVO.
(2) Heptic setzt technische und organisatorische Maßnahmen (TOM) um, die der Sensibilität Geheimnisgeschützter Informationen angemessen sind, wie in Anlage A des AVV und im SaaS-Vertrag beschrieben.
§ 5 Unterauftragsverarbeiter
(1) Der Kunde ermächtigt Heptic, Unterauftragsverarbeiter gemäß Anlage B des AVV zu beauftragen, sofern
(a) die Unterauftragsverarbeiter hinsichtlich Geheimnisgeschützter Informationen Verschwiegenheitspflichten unterliegen, die nicht weniger schützend sind als jene dieser Verpflichtungserklärung; und
(b) der Zugriff auf das für die beauftragte Leistung Erforderliche beschränkt ist.
(2) Der Kunde kann einem neuen Unterauftragsverarbeiter, der Zugriff auf Geheimnisgeschützte Informationen erhalten würde, nach Maßgabe des im AVV geregelten Verfahrens für Unterauftragsverarbeiter widersprechen. Ist eine weitere Nutzung des Service ohne diesen Unterauftragsverarbeiter nicht möglich, kann jede Partei den betroffenen Service aus wichtigem Grund zum Wirksamkeitszeitpunkt der Änderung kündigen.
(3) Verlangt das deutsche Berufsgeheimnisrecht, dass bestimmte Anbieter nur unter besonderen zusätzlichen Voraussetzungen beauftragt werden dürfen, teilt der Kunde dies Heptic in Textform mit, bevor er entsprechende Geheimnisgeschützte Informationen in den Service einbringt, damit die Parteien etwaige erforderliche zusätzliche Schutzmaßnahmen vereinbaren können.
§ 6 Gesetzlich vorgeschriebene Offenlegung
Ist Heptic gesetzlich verpflichtet, Geheimnisgeschützte Informationen offenzulegen, informiert Heptic den Kunden, soweit rechtlich zulässig, unverzüglich vor der Offenlegung, damit der Kunde sich um Schutzmaßnahmen bemühen kann.
§ 7 Zusicherungen des Kunden
Der Kunde sichert zu, dass
(a) er berechtigt ist, die Geheimnisgeschützten Informationen in den Service einzubringen;
(b) alle erforderlichen Einwilligungen, Genehmigungen oder Rechtsgrundlagen für die Verarbeitung und für die Beauftragung von Heptic vorliegen; und
(c) er den Service nicht vorsätzlich dazu nutzen wird, für ihn geltende gesetzliche Beschränkungen des Berufsgeheimnisses zu umgehen.
§ 8 Haftung
(1) Heptic haftet für Verletzungen dieser Verpflichtungserklärung nach Maßgabe des SaaS-Vertrags, des zwingenden Rechts und, soweit personenbezogene Daten betroffen sind, der DSGVO.
(2) Die Haftung für Vorsatz und grobe Fahrlässigkeit, für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit sowie nach zwingenden gesetzlichen Vorschriften bleibt unbeschränkt.
(3) Vorbehaltlich Absatz (2) gilt die Haftungsbegrenzung des SaaS-Vertrags, sofern nicht für Verletzungen beruflicher Verschwiegenheitspflichten eine höhere zwingende Haftung gilt.
§ 9 Rückgabe und Löschung
Nach Vertragsbeendigung werden Geheimnisgeschützte Informationen gemäß dem SaaS-Vertrag und dem AVV zurückgegeben oder gelöscht. Restkopien in verschlüsselten Backups werden im Rahmen der Backup-Rotation gelöscht, sofern sie gegen betrieblichen Zugriff geschützt sind.
§ 10 Anwendbares Recht und Gerichtsstand
(1) Diese Verpflichtungserklärung unterliegt hinsichtlich der darin geregelten beruflichen Verschwiegenheitspflichten dem Recht der Bundesrepublik Deutschland; die Wahl österreichischen Rechts im SaaS-Vertrag gilt für alle übrigen Angelegenheiten fort, sofern nicht zwingendes deutsches Recht für die Verschwiegenheitsbestimmungen etwas anderes verlangt.
(2) Ausschließlicher Gerichtsstand für Streitigkeiten aus dieser Verpflichtungserklärung gegen Heptic ist Wien, Österreich, sofern der Kunde Unternehmer ist, es sei denn, zwingendes Recht schreibt einen anderen Gerichtsstand vor.
§ 11 Schlussbestimmungen
(1) Änderungen bedürfen der Textform.
(2) Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen wirksam. Die unwirksame Bestimmung wird durch eine wirksame Bestimmung ersetzt, die dem wirtschaftlichen und schützenden Zweck der unwirksamen Bestimmung am nächsten kommt.
Heptic / Tapgo GmbH
Hillerstraße 7/32
1020 Wien
Österreich
E-Mail: benedikt@heptic.de