Auftragsverarbeitungsvertrag

Allgemeines

Dieser Auftragsverarbeitungsvertrag wird mit der Buchung des Automate Pakets automatisch geschlossen. Ein individueller Auftragsverarbeitungsvertrag kann nur im Unlimited Paket vereinbart werden.

LAWLIFT verarbeitet personenbezogene Daten im Auftrag von Lizenznehmer i.S.d. Art. 4 Nr. 8 und Art. 28 der Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung (DSGVO). Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung von personenbezogenen Daten.

Sofern in diesem Vertrag der Begriff „Datenverarbeitung“ oder „Verarbeitung“ (von Daten) benutzt wird, wird die Definition der „Verarbeitung“ i.S.d. Art. 4 Nr. 2 DSGVO zugrunde gelegt.

Gegenstand des Auftrags

Der Auftrag von Lizenznehmer an LAWLIFT umfasst folgende Arbeiten und/oder Leistungen:

LAWLIFT stellt eine in der Cloud gehostete Software zur Verfügung, mit der intelligente Vorlagen für Rechtsdokumente erstellt, bearbeitet und für die Dokumenterstellung genutzt werden können. Dies schließt die Bereitstellung und Freischaltung von Benutzerkonten zur Nutzung der Software sowie die damit verbundene Verarbeitung personenbezogener Daten der Konto-/Nutzeraccountinhaber ein.

Personenbezogen Daten der Mandanten/Kunden (alle Nutzereingaben bei der Generierung von Dokumenten) werden schon vor der Übermittlung an die Server von LAWLIFT auf dem PC des Nutzers verschlüsselt. Erst dann werden die Eingaben über eine zusätzlich mittels TLS/SSL gesicherte Verbindung an den Server und/oder die Datenbank von LAWLIFT gesendet. Der hierfür verwendete Schlüssel ist auf dem Server von LAWLIFT nicht verfügbar. So ist sichergestellt, dass weder LAWLIFT noch Dritte Zugang zu fall- oder mandatsbezogenen Daten sowie darin enthaltenen personenbezogenen Daten erhalten.

Bei der Erstellung des Dokuments bei einer publizierten Vorlage (Publikation) werden die vom Benutzer eingegebenen Daten (wenn er nicht in LAWLIFT eingeloggt ist) nicht an unsere Server übertragen. Wir sammeln oder speichern diese Daten nicht. Die Daten werden lediglich auf dem Rechner des Benutzers lokal im Browser gespeichert. Gemäss den internen Sicherheitsrichtlinien werden diese Daten automatisch oder manuell gelöscht.

Es werden nur vor der Übertragung verschlüsselte Daten an unsere Server übermittelt

- wenn der Benutzer über ein LAWLIFT-Konto von dem Kontoinhaber verfügt und er auch tatsächlich
eingeloggt ist oder

- wenn nur der Fragebogen der Vorlage veröffentlicht ist und der Benutzer "Submit" drückt.

Der LAWLIFT-Kontobesitzer kann einstellen, wie er die Vorlagen veröffentlichen will und damit auch bestimmen, ob Daten übertragen werden sollen oder nicht.

Mandantenbezogene bzw. unternehmensbezogene Daten werden nicht von LAWLIFT eingegeben, geändert oder gelöscht. Dies steuert der Kunde allein.

Schulungen und Support sind Nebenleistungen und stellen damit keine Auftragsverarbeitung dar.

Dennoch möchten wir Sie im Folgenden informieren:

Die Supportmitarbeiter können sich in den Nutzeraccount einwählen und haben selbst in diesem Fall keinen Zugriff auf mandantenbezogene Daten. Die Support-Zugänge verfügen nicht über einen Verschlüsselungsschlüssel der mandantenbezogenen Daten entschlüsseln könnte. Für den Fall, dass der Abnehmer oder ein Nutzer Mitarbeitern von LAWLIFT ausnahmsweise zu Support-Zwecken Zugang zu fall- oder mandatsbezogenen Informationen gewährt (durch Gewähren von Fernzugriff, durch Screensharing oder durch temporäres Bereitstellen eines zugriffsberechtigten Nutzeraccounts mit Schlüssel), verpflichtet LAWLIFT sich und seine mit dem Support-Fall beschäftigten Mitarbeiter in Kenntnis der strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit. Die Verpflichtung der Mitarbeiter erfolgt in Textform.

Ferner verpflichtet LAWLIFT sich und ihre mit dem Support-Fall beschäftigten Mitarbeiter dazu, sich lediglich Zugang zu jenen Informationen zu verschaffen, die für die Bearbeitung notwendig sind.

LAWLIFT nutzt für deutsche Abnehmer ausschließlich Server mit Standort in Deutschland, die nach ISO 27001 zertifiziert sind.

Art und Zweck der Verarbeitung; Kategorien von personenbezogenen Daten und betroffenen Personen

Zweck der Verarbeitung ist die Zurverfügungstellung einer Software, mit der intelligente Vorlagen für Rechtsdokumente erstellt, bearbeitet und für die Dokumenterstellung durch Nutzer genutzt werden können.

Ferner erhebt, speichert und nutzt LAWLIFT auch Daten von Nutzern (Benutzerkonto), um eine Zugriffskontrolle, Rechteverwaltung und auf Wunsch auch eine Auswertung zu ermöglichen.

Folgende Arten von personenbezogenen Daten werden verarbeitet:

Namen, E-Mail-Adresse, (verschlüsseltes) Passwort des Mitarbeiters von Lizenznehmer.

Darüber hinaus kann Lizenznehmer alle personenbezogenen Daten eingeben lassen, die sie in den Vorlagen für die Generierung von Dokumenten bestimmt. Dies können z.B. sein: Personenstammdaten, Kommunikationsdaten (E-Mail, Anschrift, Telefon), Vertragsdaten (soweit personenbezogen), Sachverhaltsdaten (soweit personenbezogen). Diese Daten werden clientseitig verschlüsselt und sind für LAWLIFT nicht ohne den Entschlüsselungsschlüsse von Lizenznehmer entschlüsselbar. Ein Zugriff im Klartext ist nur ausnahmsweise nach Maßgabe des 2.7 bis 2.9 oben für Supportzwecke möglich.

Folgende Kategorien von Personen sind betroffenen:

Nutzereingaben können personenbezogene Daten beliebiger Personen oder Gesellschaften enthalten; in der Regel handelt es sich um Mandanten/Kunden von Lizenznehmer, deren Vertragspartner bzw. Gegner sowie Vertreter oder Kontaktpersonen der vorgenannten und Mitarbeiter von Lizenznehmer. Benutzerkonten bestehen für Mitarbeiter von Lizenznehmer.

Rechte und Pflichten von Lizenznehmer

Lizenznehmer ist verantwortlich i.S.d. Art. 4 Nr. 7 DSGVO für die Verarbeitung von Daten im Auftrag durch LAWLIFT.

Lizenznehmer hat das Recht, jederzeit ergänzende Weisungen über Art, Umfang und Verfahren der Datenverarbeitung gegenüber LAWLIFT zu erteilen. Weisungen können in Textform (z.B. E-Mail) erfolgen. Das gilt auch für den Einsatz von Unterauftragsverarbeitern .

Lizenznehmer kann weisungsberechtigte Personen benennen. Sofern weisungsberechtigte Personen benannt werden sollen, werden diese in der Anlage 1 benannt. Für den Fall, dass sich die weisungsberechtigten Personen von Lizenznehmer ändern, wird Lizenznehmer dies LAWLIFT in Textform mitteilen.

Lizenznehmer informiert LAWLIFT unverzüglich, wenn Lizenznehmer Fehler oder Unregelmäßigkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten durch LAWLIFT feststellt.

Für den Fall, dass eine Informationspflicht gegenüber Dritten nach Art. 33, 34 DSGVO oder einer sonstigen, für Lizenznehmer geltenden gesetzlichen Meldepflicht besteht, ist Lizenznehmer für deren Einhaltung verantwortlich.

Allgemeine Pflichten von LAWLIFT

LAWLIFT verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und/oder unter Einhaltung der ggf. von Lizenznehmer erteilten ergänzenden Weisungen. Ausgenommen hiervon sind gesetzliche Regelungen, die LAWLIFT ggf. zu einer anderweitigen Verarbeitung verpflichten. In einem solchen Fall teilt LAWLIFT Lizenznehmer diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Zweck, Art und Umfang der Datenverarbeitung richten sich ansonsten ausschließlich nach diesem Vertrag und/oder den Weisungen von Lizenznehmer . Eine hiervon abweichende Verarbeitung von Daten ist LAWLIFT untersagt, es sei denn, dass Lizenznehmer dieser schriftlich zugestimmt hat.

LAWLIFT verpflichtet sich, die Datenverarbeitung im Auftrag nur in Mitgliedsstaaten der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR) durchzuführen.

LAWLIFT sichert im Bereich der auftragsgemäßen Verarbeitung von personenbezogenen Daten die vertragsmäßige Abwicklung aller vereinbarten Maßnahmen zu.

LAWLIFT ist verpflichtet, ihr Unternehmen und ihre Betriebsabläufe so zu gestalten, dass die Daten, die sie im Auftrag von Lizenznehmer verarbeitet, im jeweils erforderlichen Maß gesichert und vor der unbefugten Kenntnisnahme Dritter geschützt sind. LAWLIFT wird Änderungen in der Organisation der Datenverarbeitung im Auftrag, die für die Sicherheit der Daten erheblich sind, vorab mit Lizenznehmer abstimmen.

LAWLIFT wird Lizenznehmer unverzüglich darüber informieren, wenn eine von Lizenznehmer erteilte Weisung nach ihrer Auffassung gegen gesetzliche Regelungen verstößt. LAWLIFT ist berechtigt, die Durchführung der betreffenden Weisung solange auszusetzen, bis diese durch Lizenznehmer bestätigt oder geändert wird. Sofern LAWLIFT darlegen kann, dass eine Verarbeitung nach Weisung von Lizenznehmer zu einer Haftung von LAWLIFT nach Art. 82 DSGVO führen kann, steht LAWLIFT das Recht frei, die weitere Verarbeitung insoweit bis zu einer Klärung der Haftung zwischen den Parteien auszusetzen, es sei denn, Lizenznehmer stellt LAWLIFT von jeglicher Haftung auf erste Anforderung frei.

Die Verarbeitung von Daten im Auftrag von Lizenznehmer außerhalb von Betriebsstätten von LAWLIFT oder Subunternehmern ist nur mit Kenntnis von Lizenznehmer in Textform zulässig. LAWLIFT informiert, welche Subunternehmen für die Erbringung der vertragsgegenständlichen Leistungen notwendig sind. Darüber hinaus ist LAWLIFT nicht berechtigt, ohne Zustimmung von Lizenznehmer, die schriftlich oder in Textform erteilt werden kann, Daten im Auftrag von Lizenznehmer außerhalb von Betriebsstätten von LAWLIFT oder von Subunternehmern zu verarbeiten. Eine Verarbeitung von Daten für Lizenznehmer in Privatwohnungen ist nur mit Zustimmung von Lizenznehmer im Einzelfall zulässig.

LAWLIFT wird die Daten, die sie im Auftrag für Lizenznehmer verarbeitet, getrennt von anderen Daten verarbeiten. Eine physische Trennung ist nicht zwingend erforderlich.

LAWLIFT kann Lizenznehmer die Person(en) benennen, die zum Empfang von Weisungen von Lizenznehmer berechtigt sind. Sofern weisungsempfangsberechtigte Personen benannt werden sollen, werden diese in der Anlage 1 benannt. Für den Fall, dass sich die weisungsempfangsberechtigten Personen bei LAWLIFT ändern, wird LAWLIFT dies Lizenznehmer in Textform mitteilen.

LAWLIFT gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen .

Datenschutzbeauftragter bei LAWLIFT

LAWLIFT weist darauf hin, dass sie noch nicht verpflichtet ist, einen Datenschutzbeauftragten zu bestellen. Sollte dies der Fall werden, teilt LAWLIFT Lizenznehmer die Kontaktdaten des Datenschutzbeauftragten in Textform mit.

LAWLIFT trägt Sorge dafür, dass der Datenschutzbeauftragte über die erforderliche Qualifikation und das erforderliche Fachwissen verfügt.

Meldepflichten von LAWLIFT

LAWLIFT ist verpflichtet, Lizenznehmer jeden Verstoß gegen datenschutzrechtliche Vorschriften oder gegen die getroffenen vertraglichen Vereinbarungen und/oder die erteilten Weisungen von Lizenznehmer, der im Zuge der Verarbeitung von Daten durch ihn oder andere mit der Verarbeitung beschäftigten Personen erfolgt ist, unverzüglich mitzuteilen. Gleiches gilt für jede Verletzung des Schutzes personenbezogener Daten, die LAWLIFT im Auftrag von Lizenznehmer verarbeitet.

Ferner wird LAWLIFT Lizenznehmer unverzüglich darüber informieren, wenn eine Aufsichtsbehörde nach Art. 58 DSGVO gegenüber LAWLIFT tätig wird und dies auch eine Kontrolle der Verarbeitung, die LAWLIFT im Auftrag von Lizenznehmer erbringt, betreffen kann.

LAWLIFT ist bekannt, dass für Lizenznehmer eine Meldepflicht nach Art. 33, 34 DSGVO bestehen kann, die eine Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden vorsieht. LAWLIFT wird Lizenznehmer bei der Umsetzung der Meldepflichten unterstützen. LAWLIFT wird Lizenznehmer insbesondere jeden unbefugten Zugriff auf personenbezogene Daten, die im Auftrag von Lizenznehmer verarbeitet werden, unverzüglich, spätestens aber binnen 48 Stunden ab Kenntnis des Zugriffs mitteilen. Die Meldung von LAWLIFT an Lizenznehmer muss insbesondere folgende Informationen beinhalten:

– eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;

– eine Beschreibung der von LAWLIFT ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Mitwirkungspflichten von LAWLIFT

LAWLIFT unterstützt Lizenznehmer bei seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten nach Art. 12-23 DSGVO. Es gelten die Regelungen von Ziffer 12. dieses Vertrages.

LAWLIFT wirkt an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten durch Lizenznehmer mit. Sie hat Lizenznehmer die insoweit jeweils erforderlichen Angaben in geeigneter Weise mitzuteilen.

LAWLIFT unterstützt Lizenznehmer unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32-36 DSGVO genannten Pflichten.

Kontrollbefugnisse

Lizenznehmer hat das Recht, die Einhaltung der gesetzlichen Vorschriften zum Datenschutz und/oder die Einhaltung der zwischen den Parteien getroffenen vertraglichen Regelungen und/oder die Einhaltung der Weisungen von Lizenznehmer durch LAWLIFT jederzeit im erforderlichen Umfang zu kontrollieren.

LAWLIFT ist Lizenznehmer gegenüber zur Auskunftserteilung verpflichtet, soweit dies zur Durchführung der Kontrolle i.S.d. Absatzes 1 erforderlich ist.

Lizenznehmer kann eine Einsichtnahme in die von LAWLIFT für Lizenznehmer verarbeiteten Daten sowie in die verwendeten Datenverarbeitungssysteme und -programme verlangen.

Lizenznehmer kann nach vorheriger Anmeldung mit angemessener Frist die Kontrolle im Sinne des Absatzes 1 in der Betriebsstätte von LAWLIFT zu den jeweils üblichen Geschäftszeiten vornehmen. Lizenznehmer wird dabei Sorge dafür tragen, dass die Kontrollen nur im erforderlichen Umfang durchgeführt werden, um die Betriebsabläufe von LAWLIFT durch die Kontrollen nicht unverhältnismäßig zu stören.

LAWLIFT ist verpflichtet, im Falle von Maßnahmen der Aufsichtsbehörde gegenüber Lizenznehmer i.S.d. Art. 58 DSGVO, insbesondere im Hinblick auf Auskunfts- und Kontrollpflichten die erforderlichen Auskünfte an Lizenznehmer zu erteilen und der jeweils zuständigen Aufsichtsbehörde eine Vor-Ort-Kontrolle zu ermöglichen. Lizenznehmer ist über entsprechende geplante Maßnahmen von LAWLIFT zu informieren.

Unterauftragsverhältnisse

Die Beauftragung von Subunternehmern durch LAWLIFT ist zulässig. 5.6. bleibt unberührt. LAWLIFT informiert Lizenznehmer immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter.

LAWLIFT hat den Unterauftragnehmer sorgfältig auszuwählen und vor der Beauftragung zu prüfen, dass dieser die zwischen Lizenznehmer und LAWLIFT getroffenen Vereinbarungen einhalten kann. LAWLIFT hat insbesondere vorab und regelmäßig während der Vertragsdauer zu kontrollieren, dass der Unterauftragnehmer die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten getroffen hat. Das Ergebnis der Kontrolle ist von LAWLIFT zu dokumentieren und auf Anfrage Lizenznehmer zu übermitteln.

LAWLIFT ist verpflichtet, sich vom Unterauftragnehmer bestätigen zu lassen, dass dieser einen betrieblichen Datenschutzbeauftragten gemäß Art. 37 DSGVO benannt hat. Für den Fall, dass kein Datenschutzbeauftragter beim Unterauftragnehmer benannt worden ist, hat LAWLIFT Lizenznehmer hierauf hinzuweisen und Informationen dazu beizubringen, aus denen sich ergibt, dass der Unterauftragnehmer gesetzlich nicht verpflichtet ist, einen Datenschutzbeauftragte zu benennen.

LAWLIFT hat sicherzustellen, dass die in diesem Vertrag vereinbarten Regelungen und ggf. ergänzende Weisungen von Lizenznehmer auch gegenüber dem Unterauftragnehmer gelten.

LAWLIFT hat mit dem Unterauftragnehmer einen Auftragsverarbeitungsvertrag zu schließen, der den Voraussetzungen des Art. 28 DSGVO entspricht. Darüber hinaus hat LAWLIFT dem Unterauftragnehmer dieselben Pflichten zum Schutz personenbezogener Daten aufzuerlegen, die zwischen Lizenznehmer und LAWLIFT festgelegt sind. Lizenznehmer ist der Auftragsdatenverarbeitungsvertrag auf Anfrage in Kopie zu übermitteln.

LAWLIFT ist insbesondere verpflichtet, durch vertragliche Regelungen sicherzustellen, dass die Kontrollbefugnisse (Ziffer 9. dieses Vertrages) von Lizenznehmer und von Aufsichtsbehörden auch gegenüber dem Unterauftragnehmer gelten und entsprechende Kontrollrechte von Lizenznehmer und Aufsichtsbehörden vereinbart werden. Es ist zudem vertraglich zu regeln, dass der Unterauftragnehmer diese Kontrollmaßnahmen und etwaige Vor-Ort-Kontrollen zu dulden hat.

Nicht als Unterauftragsverhältnisse i.S.d. Absätze 1 bis 6 sind Dienstleistungen anzusehen, die LAWLIFT bei Dritten als reine Nebenleistung in Anspruch nimmt, um die geschäftliche Tätigkeit auszuüben. Dazu gehören beispielsweise Reinigungsleistungen, reine Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die LAWLIFT für Lizenznehmer erbringt, Post- und Kurierdienste, Transportleistungen, Bewachungsdienste. LAWLIFT ist gleichwohl verpflichtet, auch bei Nebenleistungen, die von Dritten erbracht werden, Sorge dafür zu tragen, dass angemessene Vorkehrungen und technische und organisatorische Maßnahmen getroffen wurden, um den Schutz personenbezogener Daten zu gewährleisten. Die Wartung und Pflege von IT-Systemen oder Applikationen stellt ein zustimmungspflichtiges Unterauftragsverhältnis und Auftragsverarbeitung i.S.d. Art. 28 DSGVO dar, wenn die Wartung und Prüfung solche IT-Systeme betrifft, die auch im Zusammenhang mit der Erbringung von Leistungen für Lizenznehmer genutzt werden und bei der Wartung auf personenbezogenen Daten zugegriffen werden kann, die im Auftrag von Lizenznehmer verarbeitet werden.

Vertraulichkeitsverpflichtung - § 43e BRAO

Im Rahmen dieses Auftrages werden auch Daten verarbeitet, die unter ein Berufsgeheimnis (§§ 43a Abs. 2 BRAO, 203 StGB) fallen. LAWLIFT verpflichtet sich, Berufsgeheimnisse sowie alle sonstigen erlangten vertraulichen Informationen strikt geheim zu halten und vor dem Zugriff Dritter zu schützen.

LAWLIFT wird ihre Mitarbeiter zur Verschwiegenheit nach Maßgabe des 11.1 verpflichten.

LAWLIFT darf sich nur insoweit Kenntnis von vertraulichen Informationen verschaffen, als dies für die im Hauptvertrag festgehaltenen Verpflichtungen erforderlich ist.

Wenn LAWLIFT weitere natürliche oder juristische Personen zur Erfüllung des Vertrages heranzieht, sind diese entsprechend dieser Ziffer 11 bzw. § 43e BRAO zu verpflichten. Textform ist ausreichend.

Lizenznehmer belehrt LAWLIFT hiermit, dass der Bruch der Verschwiegenheit oder die Verwertung fremder Geheimnisse durch LAWLIFT für diese strafbar ist (§§ 203 Abs. 1, Abs. 4 S. 1 StGB, § 204 StGB) und mit Freiheitsstrafe bis zu einem Jahr, im Fall von § 204 StGB mit Freiheitsstrafe bis zu zwei Jahren, oder mit Geldstrafe bestraft werden kann. Die Strafdrohung erhöht sich auf Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, sofern LAWLIFT in Bereicherungsabsicht, auch wenn sie zu Gunsten Dritter bestehen sollte, handelt, oder die Absicht hat, durch die Tat einen anderen zu schädigen. Die vorstehende Strafdrohung trifft die für LAWLIFT mitwirkenden Personen.

Lizenznehmer belehrt LAWLIFT vorsorglich, dass sich mitwirkende Personen im Falle einer gegen 11.5 vorgenommenen Einschaltung weiterer Personen bei Strafdrohung von Freiheitsstrafe bis zu einem Jahr oder Geldstrafe strafbar machen, wenn diese weitere Person die Verschwiegenheit gem. 11.1 bricht, und die mitwirkende Person zugleich nicht dafür Sorge getragen hat, dass erstere zur Verschwiegenheit verpflichtet wurde (§§ 203 Abs. 1, Abs. 4
S. 2 Nr. 2 StGB). Die Strafdrohung erhöht sich auf Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, sofern der Täter in Bereicherungsabsicht, auch wenn sie zu Gunsten Dritter bestehen sollte, handelt, oder die Absicht hat, durch die Tat einen anderen zu schädigen.

Bestandteil dieser Belehrung ist auch der Wortlaut der Gesetze, die in aktueller Fassung als Anlage beigefügt sind.

LAWLIFT wird angemessene organisatorische und technische Maßnahmen zum Schutz der Vertraulichkeit der vertraulichen Informationen aufrechterhalten und verpflichtet sich, vertrauliche Informationen angemessen gemäß akzeptierter Sicherheitsstandards nach dem aktuellen Stand der Technik zu schützen. Das Sicherheitsniveau darf hierbei nicht geringer als bei eigenen vertraulichen Informationen angelegt werden.

Die Verschwiegenheitsverpflichtung nach dieser Vereinbarung gilt zeitlich unbeschränkt.

Die vorstehende Verpflichtung gilt nicht für Informationen, die eine der Parteien nachweisbar von Dritten erhalten hat, ohne zur Geheimhaltung verpflichtet zu sein, oder die öffentlich bekannt sind.

Wahrung von Betroffenenrechten

Lizenznehmer ist für die Wahrung der Betroffenenrechte allein verantwortlich. LAWLIFT ist verpflichtet, Lizenznehmer bei seiner Pflicht, Anträge von Betroffenen nach Art. 12-23 DSGVO zu bearbeiten, zu unterstützten. LAWLIFT hat dabei insbesondere Sorge dafür zu tragen, dass die insoweit erforderlichen Informationen unverzüglich an Lizenznehmer erteilt werden, damit dieser insbesondere seinen Pflichten aus Art. 12 Abs. 3 DSGVO nachkommen kann.

Soweit eine Mitwirkung von LAWLIFT für die Wahrung von Betroffenenrechten - insbesondere auf Auskunft, Berichtigung, Sperrung oder Löschung - durch Lizenznehmer erforderlich ist, wird LAWLIFT die jeweils erforderlichen Maßnahmen nach Weisung von Lizenznehmer treffen. LAWLIFT wird Lizenznehmer nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten nachzukommen.

Vergütung

Die Vergütung von LAWLIFT wird gesondert vereinbart.

Technische und organisatorische Maßnahmen zur Datensicherheit

LAWLIFT verpflichtet sich gegenüber Lizenznehmer zur Einhaltung der technischen und organisatorischen Maßnahmen, die zur Einhaltung der anzuwendenden Datenschutzvorschriften erforderlich sind. Dies beinhaltet insbesondere die Vorgaben aus Art. 32 DSGVO.

Der zum Zeitpunkt des Vertragsschlusses bestehende Stand der technischen und organisatorischen Maßnahmen ist als Anlage zu diesem Vertrag beigefügt. Die Parteien sind sich darüber einig, dass zur Anpassung an technische und rechtliche Gegebenheiten Änderungen der technischen und organisatorischen Maßnahmen erforderlich werden können. Wesentliche Änderungen, die die Integrität, Vertraulichkeit oder Verfügbarkeit der personenbezogenen Daten beeinträchtigen können, wird LAWLIFT im Voraus mit Lizenznehmer abstimmen. Maßnahmen, die lediglich geringfügige technische oder organisatorische Änderungen mit sich bringen und die Integrität, Vertraulichkeit und Verfügbarkeit der personenbezogenen Daten nicht negativ beeinträchtigen, können von LAWLIFT ohne Abstimmung mit Lizenznehmer umgesetzt werden. Lizenznehmer kann jederzeit eine aktuelle Fassung der von LAWLIFT getroffenen technischen und organisatorischen Maßnahmen anfordern.

LAWLIFT wird die von ihm getroffenen technischen und organisatorischen Maßnahmen regelmäßig und auch anlassbezogen auf ihre Wirksamkeit kontrollieren. Für den Fall, dass es Optimierungs- und/oder Änderungsbedarf gibt, wird LAWLIFT Lizenznehmer informieren.

Dauer des Auftrags

Die Vertragslaufzeit richtet sich nach dem diesem Vertrag zugrunde liegenden Hauptvertrag. Dieser Vertrag endet automatisch mit Ablauf des gekündigten Hauptvertrages.

Beendigung

Nach Beendigung des Vertrages hat LAWLIFT sämtliche in ihren Besitz gelangten Unterlagen, Daten und erstellten Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, nach Wahl von Lizenznehmer an diese zurückzugeben oder zu löschen. Die Löschung ist in geeigneter Weise zu dokumentieren. Etwaige gesetzliche Aufbewahrungspflichten oder sonstige Pflichten zur Speicherung der Daten bleiben unberührt. Für Datenträger gilt, dass diese im Falle einer von Lizenznehmer gewünschten Löschung zu vernichten sind, wobei mindestens die Sicherheitsstufe 3 der DIN 66399 einzuhalten ist; die Vernichtung ist Lizenznehmer unter Hinweis auf die Sicherheitsstufe gemäß DIN 66399 nachzuweisen.

Lizenznehmer hat das Recht, die vollständige und vertragsgemäße Rückgabe und Löschung der Daten bei LAWLIFT zu kontrollieren. Dies kann auch durch eine Inaugenscheinnahme der Datenverarbeitungsanlagen in der Betriebsstätte von LAWLIFT erfolgen. Die Vor-Ort-Kontrolle soll mit angemessener Frist durch Lizenznehmer angekündigt werden.

Schlussbestimmungen

Sollte das Eigentum von Lizenznehmer bei LAWLIFT durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, so hat LAWLIFT Lizenznehmer unverzüglich zu informieren. LAWLIFT wird die Gläubiger über die Tatsache, dass es sich um Daten handelt, die im Auftrag verarbeitet werden, unverzüglich informieren.

Für Nebenabreden ist die Schriftform erforderlich.

Sollten einzelne Teile dieses Vertrages unwirksam sein, so berührt dies die Wirksamkeit der übrigen Regelungen des Vertrages nicht.

Es gilt der Gerichtsstand des Sitzes der LAWLIFT GmbH.

Für die Auslegung und Anwendung dieses AVV ist die deutschprachige Fassung maßgeblich.

Anlage genehmigter Subunternehmen

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland; Zweck: Miete der Serverinfrastruktur (Hardware)

Anlage Technische und organisatorische Maßnahmen

Datenverarbeitung bei LAWLIFT

LAWLIFT ist eine Software, bei der der Nutzer einer in LAWLIFT automatisiertenVorlage ein (Word-)Dokument durch die Beantwortung von Fragen erzeugen kann.Abhängig von den Antworten des Nutzers fügt die Software auf Basis der vorher in der Vorlage definierten Logik Textbausteine, Wörter, Buchstaben, Ziffern,Berechnungen, Klauseln etc. ein. Auch der Fragenkatalog kann sich aufgrund zuvor gegebener Antworten anpassen. Der Nutzer kann auch personenbezogene Daten eingeben.

Die für diese Form der Dokumentengenerierung genutzten Vorlagen bestehen ausTextbausteinen, Fragen und Antworten, die helfen sollen, bei der Verwendung derVorlage eine möglichst naheliegenden „finalen ersten“ Entwurf zu erzeugen. DieseVorlagen enthalten keine personenbezogenen Daten Dritter.

Verlust des Personenbezugs durch clientseitige Verschlüsselung

Personenbezogen Daten der Mandanten/Kunden (alle Nutzereingaben bei derGenerierung von Dokumenten) werden schon vor der Übermittlung an die Server von LAWLIFT auf dem PC des Nutzers verschlüsselt. Erst dann werden die Eingaben über eine zusätzlich mittels TLS/SSL gesicherte Verbindung an den Server und/oder die Datenbank von LAWLIFT gesendet. Der hierfür verwendete Schlüssel ist auf dem Server von LAWLIFT nicht verfügbar. So ist sichergestellt, dass weder LAWLIFTnoch Dritte Zugang zu fall- oder mandatsbezogenen Daten erhalten.

Damit verlieren alle Eingaben bei der Generierung von Dokumenten ihrenPersonenbezug. Es handelt sich um eine End-to-End Verschlüsselung auf Zero-Knowledge-Basis.

Gibt es nur einen Nutzer in dem LAWLIFT Account und verliert dieser seineZugangsdaten, können bereits getätigte Eingabe bei der Generierung vonDokumenten nicht mehr entschlüsselt werden. Wir empfehlen daher dringend, dieZugangsdaten sicher zu verwahren.

Wird die Publikationsfunktion zur Generierung von Dokumenten genutzt, gilt unserZero-Knowledge-Prinzip wie folgt: Bei der Erstellung des Dokuments werden die vom Nutzer (nicht eingeloggt) eingegebenen Daten nicht an unsere Server übermittelt. Diese Daten werden von uns nicht erhoben oder gespeichert. Die Datenwerden lediglich auf dem Rechner des Nutzers lokal im Browser gespeichert. Gemäß den internen Sicherheitsrichtlinien werden diese Daten automatisch oder manuell gelöscht. Zusätzlich werden die Eingaben (Antworten) in der lokal generiertenWorddatei und auf Wunsch in einer separat generierten .json oder .csv-Datei gespeichert. Wenn die Worddatei geändert wird, werden die Antworten systemseitig von Microsoft Word aus der Datei gelöscht. Eine Übermittlung vonDaten an unsere Server erfolgt nur dann

1. wenn der Nutzer ein LAWLIFT-Konto des Kontoinhabers hat (was in derRegel nicht gegeben ist) und eingeloggt ist (gleichzeitig mit derBeantwortung der Fragen) oder

2. wenn nur der Fragebogen der Vorlage veröffentlicht wird und der Benutzer auf "Absenden" drückt.

Der LAWLIFT-Kontoinhaber kann einstellen, wie er die Vorlagen veröffentlichen möchte und damit auch bestimmen, ob Daten (mit clientseitiger Verschlüsselung)oder gar nicht übertragen werden sollen.

Weitere Informationen finden Sie in dem Whitepaper ENCRYPTION &PASSWORDS.

Zugang zu Nutzereingaben

Zugang zu mandantenbezogenen/kundenbezogenen Daten hat nur,
- wer als Nutzer des Kunden von LAWLIFT angemeldet ist,
- vom Administrator des Kunden von LAWLIFT einen Verschlüsselungs-

Schlüssel zugewiesen bekommen hat, der nicht auf dem Server gespeichert wird – und vom Administrator des Kunden von LAWLIFT freigegeben wurde- und der vom Kunden von LAWLIFT die entsprechenden Leserechte eingeräumt bekommen hat.

Nutzer sind ausschließlich die von dem Kunden bestimmten Mitarbeiter. Mitarbeiter von LAWLIFT sollen keine Nutzer in dem Account des Kunden sein. Der Kunde von LAWLIFT entscheidet allein über die Personen, welchen er Zugang gewährt und welchen nicht.

Schutz des Verschlüsselungssystems durch Zwei-Faktor-Authentifizierung

Das Verschlüsselungssystem/der Zugang zu LAWLIFT ist zusätzlich durch eine„Zwei-Faktor-Authentifizierung“ geschützt. Die Anmeldung auf unbekanntenGeräten erfordert die Eingabe eines zusätzlichen Authentifizierungscodes der an die hinterlegte E-Mail-Adresse des Nutzers gesandt wird. Sollte ein Nutzer sich nicht von einem anderen Gerät eingeloggt haben und er dennoch einen Freischaltcode zugesandt bekommen, empfehlen wir dringend die Kontaktaufnahme mit dem jeweiligen Systemadministrator. Es ist in diesem Fall nicht auszuschließen, dass sich Dritte unberechtigt Zugang zu einem Computer in dem Netzwerk des Kundenverschafft haben.

Gewährleistung der Vertraulichkeit, Integrität, Verfügbarkeit,Belastbarkeit der Systeme

Grundsätzlich verweisen wir auch hier auf die Ausführungen zur Verschlüsselungund zum Zugang.

Für die Cloud-Lösung nutzen wir Servern in Deutschland, die nach ISO 27001zertifiziert sind. Unser Serveranbieter stellt uns die Hardware/Infrastruktur derServer zu Verfügung. Die Software auch das Betriebssystem etc. wird von LAWLIFT gemanagt. Weitere Informationen finden Sie in den Technische- undOrganisatorische Maßnahmen des Serveranbieters für die Cloudlösung der Hetzner Online GmbH.

LAWLIFT selbst verfügt ebenfalls über eine ISO27001 Zertifizierung.

Alternativ bieten wir auch die Installation auf anderen Servern nach Wahl des Kunden an (Private Deployment - nur Unlimited Package).

Personenbezogen Daten der Mandanten/Kunden werden nicht von LAWLIFT erfasst, erhoben; angepasst, verändert; übermittelt, offengelegt; eingeschränkt, gesperrt; gelöscht, vernichtet; organisiert, geordnet; gespeichert; ausgelesen, abgefragt; verwendet; abgeglichen oder verknüpft. Dies steuert der Kunde allein.

Applikation und Datenbank sind mehrfach redundant aufgesetzt.

Support & Schulungen

Schulungen und Support sind Nebenleistungen und stellen damit keineAuftragsverarbeitung dar.

Dennoch möchten wir Sie im Folgenden informieren:

Die Supportmitarbeiter können sich in den Nutzeraccount des Kunden einwählen und haben auch in diesem Fall keinen Zugriff auf die personenbezogen Daten derMandanten/Kunden. Die Support-Zugänge verfügen nicht über einenVerschlüsselungsschlüssel der personenbezogene Daten der Mandanten/Kundenentschlüsseln könnte.

Für den seltenen Fall, dass der Kunde seinen eigenen Zugang oder einen Zugang mit einem Verschlüsselungsschlüssel bereitstellt, gelten die folgendenAusführungen:

Für den Fall, dass der Abnehmer oder ein Nutzer Mitarbeitern von LAWLIFT ausnahmsweise zu Support-Zwecken Zugang zu personenbezogen Daten derMandanten/Kunden gewährt (durch Gewähren von Fernzugriff, durch Screensharing oder durch temporäres Bereitstellen eines zugriffsberechtigten Nutzeraccounts mit Schlüssel), verpflichtet LAWLIFT sich und seine mit demSupport-Fall beschäftigten Mitarbeiter in Kenntnis der strafrechtlichen Folgen einerPflichtverletzung zur Verschwiegenheit. Die Verpflichtung der Mitarbeiter erfolgt inTextform.

Ferner verpflichtet LAWLIFT sich und seine mit dem Support-Fall beschäftigtenMitarbeiter dazu, sich lediglich Zugang zu jenen Informationen zu verschaffen, die für die Bearbeitung notwendig sind.

Der Zugang zu Supportzwecken erfolgt nur mit ausdrücklicher Einwilligung desKunden und nur in Anwesenheit des Kunden und nur mit der vom Kundenbereitgestellten Webmeetingsoftware. Für die Sicherheit und Datenschutz durchEinsatz der Webmeetingsoftware ist der Kunde verantwortlich.

Verfahren zur Wiederherstellung der Verfügbarkeit personenbezogenerDaten nach einem physischen oder technischen Zwischenfall

Die nicht von LAWLIFT oder Dritten entschlüsselbaren mandantenbezogenen Datenwerden in einer Datenbank gespeichert von der in engen zeitlichen Abständen regelmäßig Sicherungen an anderen Serverstandorten für bis zu 30 Tage gemacht werden. Auf Basis dieser Sicherungen können die verschlüsselten Datenwiederhergestellt werden. Die Daten können auch bei der Wiederherstellung nicht von LAWLIFT oder Dritten entschlüsselt werden, da kein Schlüssel für dieEntschlüsselung auf dem Server gespeichert wird.

Verfahren regelmäßiger Überprüfung, Bewertung und Evaluierung derWirksamkeit der technischen und organisatorischen Maßnahmen

Jährlich wird unsere Applikation im Rahmen eines Penetrationstestes durch einenDrittanbieter geprüft. Er versucht, die verschlüsselten Daten der Kunden bzw. Mandanten zu entschlüsseln und/oder sich auf anderem Weg Zugang zu fremden insbesondere personenbezogenen Daten zu verschaffen und diese lesbar zumachen. Der jeweilige Bericht kann auf Nachfrage zur Verfügung gestellt werden.

Zudem finden jährlich eine externe Überprüfung (Auditierung) unseres Informationssicherheitsmanagemensystems im Rahmen der ISO27001Zertifizierung statt. Integraler Bestandteil ist unser Datenschutz undSicherheitskonzept, welches auch regelmäßige interne Audits vorschreibt.

Ergänzend verweisen wir auf die technischen- und organisatorischen Maßnahmendes Serveranbieters sowie dessen entsprechenden Zertifikate (ISO27001:2013,SSAE 16 SOC 2 Type 2, EU-US Privacy Shield), die in regelmäßigen zeitlichenAbständen erneuert werden.

Anlage relevante Normen für deutsche Kunden

Bundesrechtsanwaltsordnung

§ 43e Inanspruchnahme von Dienstleistungen

(1) Der Rechtsanwalt darf Dienstleistern den Zugang zu Tatsachen eröffnen, auf die sich die Verpflichtung zur Verschwiegenheit gemäß § 43a Absatz 2 Satz 1 bezieht, soweit dies für die Inanspruchnahme der Dienstleistung erforderlich ist. Dienstleister ist eine andere Person oder Stelle, die vom Rechtsanwalt im Rahmen seiner Berufsausübung mit Dienstleistungen beauftragt wird.

(2) Der Rechtsanwalt ist verpflichtet, den Dienstleister sorgfältig auszuwählen. Er hat die Zusammenarbeit unverzüglich zu beenden, wenn die Einhaltung der dem Dienstleister gemäß Absatz 3 zu machenden Vorgaben nicht gewährleistet ist.

(3) Der Vertrag mit dem Dienstleister bedarf der Textform. In ihm ist

1. der Dienstleister unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit zu verpflichten,

2. der Dienstleister zu verpflichten, sich nur insoweit Kenntnis von fremden Geheimnissen zu verschaffen, als dies zur Vertragserfüllung erforderlich ist, und

3. festzulegen, ob der Dienstleister befugt ist, weitere Personen zur Erfüllung des Vertrags heranzuziehen; für diesen Fall ist dem Dienstleister aufzuerlegen, diese Personen in Textform zur Verschwiegenheit zu verpflichten.

(4) Bei der Inanspruchnahme von Dienstleistungen, die im Ausland erbracht werden, darf der Rechtsanwalt dem Dienstleister den Zugang zu fremden Geheimnissen unbeschadet der übrigen Voraussetzungen dieser Vorschrift nur dann eröffnen, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist, es sei denn, dass der Schutz der Geheimnisse dies nicht gebietet.

(5) Bei der Inanspruchnahme von Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen, darf der Rechtsanwalt dem Dienstleister den Zugang zu fremden Geheimnissen nur dann eröffnen, wenn der Mandant darin eingewilligt hat.

(6) Die Absätze 2 und 3 gelten auch im Fall der Inanspruchnahme von Dienstleistungen, in die der Mandant eingewilligt hat, sofern der Mandant nicht ausdrücklich auf die Einhaltung der in den Absätzen 2 und 3 genannten Anforderungen verzichtet hat.

(7) Die Absätze 1 bis 6 gelten nicht, soweit Dienstleistungen auf Grund besonderer gesetzlicher Vorschriften in Anspruch genommen werden. Absatz 3 Satz 2 gilt nicht, soweit der Dienstleister hinsichtlich der zu erbringenden Dienstleistung gesetzlich zur Verschwiegenheit verpflichtet ist.

(8) Die Vorschriften zum Schutz personenbezogener Daten bleiben unberührt.

Strafgesetzbuch

§ 203 Verletzung von Privatgeheimnissen

(1) Wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als

1. Arzt, Zahnarzt, Tierarzt, Apotheker oder Angehörigen eines anderen Heilberufs, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert,

2. Berufspsychologen mit staatlich anerkannter wissenschaftlicher Abschlußprüfung,

3. Rechtsanwalt, Kammerrechtsbeistand, Patentanwalt, Notar, Verteidiger in einem gesetzlich geordneten Verfahren, Wirtschaftsprüfer, vereidigtem Buchprüfer, Steuerberater, Steuerbevollmächtigten oder Organ oder Mitglied eines Organs einer Rechtsanwalts-, Patentanwalts-, Wirtschaftsprüfungs-, Buchprüfungs- oder Steuerberatungsgesellschaft,

4. Ehe-, Familien-, Erziehungs- oder Jugendberater sowie Berater für Suchtfragen in einer Beratungsstelle, die von einer Behörde oder Körperschaft, Anstalt oder Stiftung des öffentlichen Rechts anerkannt ist,

5. Mitglied oder Beauftragten einer anerka nnten Beratungsstelle nach den §§ 3 und 8 des Schwangerschaftskonfliktgesetzes,

6. staatlich anerkanntem Sozialarbeiter oder staatlich anerkanntem Sozialpädagogen oder

7. Angehörigen eines Unternehmens der privaten Kranken-, Unfall- oder Lebensversicherung oder einer privatärztlichen, steuerberaterlichen oder anwaltlichen Verrechnungsstelle anvertraut worden oder sonst bekanntgeworden ist, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.

(2) Ebenso wird bestraft, wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als

1. Amtsträger,

2. für den öffentlichen Dienst besonders Verpflichteten,

3. Person, die Aufgaben oder Befugnisse nach dem Personalvertretungsrecht wahrnimmt,

4. Mitglied eines für ein Gesetzgebungsorgan des Bundes oder eines Landes tätigen Untersuchungsausschusses, sonstigen Ausschusses oder Rates, das nicht selbst Mitglied des Gesetzgebungsorgans ist, oder als Hilfskraft eines solchen Ausschusses oder Rates,

5. öffentlich bestelltem Sachverständigen, der auf die gewissenhafte Erfüllung seiner Obliegenheiten auf Grund eines Gesetzes förmlich verpflichtet worden ist, oder

6. Person, die auf die gewissenhafte Erfüllung ihrer Geheimhaltungspflicht bei der Durchführung wissenschaftlicher Forschungsvorhaben auf Grund eines Gesetzes förmlich verpflichtet worden ist,

anvertraut worden oder sonst bekanntgeworden ist. Einem Geheimnis im Sinne des Satzes 1 stehen Einzelangaben über persönliche oder sachliche Verhältnisse eines anderen gleich, die für Aufgaben der öffentlichen Verwaltung erfaßt worden sind; Satz 1 ist jedoch nicht anzuwenden, soweit solche Einzelangaben anderen Behörden oder sonstigen Stellen für Aufgaben der öffentlichen Verwaltung bekanntgegeben werden und das Gesetz dies nicht untersagt.

(2a) (weggefallen)

(3) Kein Offenbaren im Sinne dieser Vorschrift liegt vor, wenn die in den Absätzen 1 und 2 genannten Personen Geheimnisse den bei ihnen berufsmäßig tätigen Gehilfen oder den bei ihnen zur Vorbereitung auf den Beruf tätigen Personen zugänglich machen. Die in den Absätzen 1 und 2 Genannten dürfen fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist; das Gleiche gilt für sonstige mitwirkende Personen, wenn diese sich weiterer Personen bedienen, die an der beruflichen oder dienstlichen Tätigkeit der in den Absätzen 1 und 2 Genannten mitwirken.

(4) Mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe wird bestraft, wer unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person oder als bei den in den Absätzen 1 und 2 genannten Personen tätiger Datenschutzbeauftragter bekannt geworden ist. Ebenso wird bestraft, wer

1. als in den Absätzen 1 und 2 genannte Person nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind,

2. als im Absatz 3 genannte mitwirkende Person sich einer weiteren mitwirkenden Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, bedient und nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind, oder

3. nach dem Tod der nach Satz 1 oder nach den Absätzen 1 oder 2 verpflichteten Person ein fremdes Geheimnis unbefugt offenbart, das er von dem Verstorbenen erfahren oder aus dessen Nachlass erlangt hat.

(5) Die Absätze 1 bis 4 sind auch anzuwenden, wenn der Täter das fremde Geheimnis nach dem Tod des Betroffenen unbefugt offenbart.

(6) Handelt der Täter gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, so ist die Strafe Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe.

§ 204 Verwertung fremder Geheimnisse

Wer unbefugt ein fremdes Geheimnis, namentlich ein Betriebs- oder Geschäftsgeheimnis, zu dessen Geheimhaltung er nach § 203 verpflichtet ist, verwertet, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.(2) § 203 Absatz 5 gilt entsprechend.