Vereinbarung zur Vertraulichkeit.pdf

[Seite 1]

Vereinbarung zur Vertraulichkeit1

Zwischen der

enercity AG, Glockseeplatz 1, D-30169 Hannover, Handelsregister: Amtsgericht Hannover HRB 6766

(nachfolgend: Auftraggeber; auch Inhaber und Empfänger)

und

Vergabenummer: 2026_000000054964 Kurzbezeichnung: DE RBS Leittechnik (LT)

Firma/Name Anschrift Informationsaustausch (ohne Hauptvertrag)

(nachfolgend: Auftragnehmer; auch Inhaber und Empfänger)

(nachfolgend werden beide Parteien auch bezeichnet als „Partei“ oder „Parteien“)

Präambel

Der Auftraggeber und die mit ihm verbundenen Unternehmen agieren mit anderen Marktteilnehmern im Wettbewerb und sind gegenüber ihren Kunden, Geschäfts-/Kooperationspartnern, Beschäftigten, Aufsichtsgremien und Eigentümern ver- pflichtet, ihre Unternehmenswerte (Assets) - besonders Geschäftsgeheimnisse oder vertrauliche Informationen - verant- wortungsvoll, sicher und gesetzeskonform zu verwalten. Aber auch als „Betreiber kritischer Infrastrukturen“ und aufgrund der strengen gesetzlichen Anforderungen zum Schutz personenbezogener Daten bestehen erhebliche aufsichtsrechtli- che Nachweispflichten. Informationssicherheit ist untrennbar mit der Unternehmensstrategie verbunden und elementarer Bestandteil aller Geschäftsprozesse.

Im Rahmen der geschäftlichen Kooperation der Parteien tauschen diese Geschäftsgeheimnisse und/oder vertrauliche Informationen (siehe Ziffer 1) aus oder es ist eine Kenntnisnahme nicht ausgeschlossen. Die Zweckbindung der Verar- beitung der Informationen ergibt sich für den Informationsaustausch aus den folgenden Zwecken:

Vergabenummer: 2026_000000054964 Kurzbezeichnung: DE RBS Leittechnik (LT)

Dem jeweiligen Empfänger ist bewusst, dass diese Geschäftsgeheimnisse und/oder vertraulichen Informationen bisher weder insgesamt noch in ihren Einzelheiten bekannt oder ohne weiteres zugänglich waren, deshalb von wirtschaftlichem Wert sind, seitens des Inhabers der vertraulichen Informationen durch angemessene Geheimhaltungsmaßnahmen ge- schützt sind und an denen ein berechtigtes Interesse an deren Geheimhaltung besteht. Sofern eine vertrauliche Informa- tion nach dieser „Vereinbarung zur Vertraulichkeit“ (nachfolgend: Vereinbarung) nicht den Anforderungen eines Ge- schäftsgeheimnisses im Sinne des Geschäftsgeheimnisschutzgesetzes (nachfolgend „GeschGehG“) genügt, unterliegt diese Information dennoch den Vertraulichkeitsverpflichtungen dieser Vereinbarung.

Der Inhaber eines Geschäftsgeheimnisses ist jede natürliche oder juristische Person, die die rechtmäßige Kontrolle über ein Geschäftsgeheimnis hat. Dies kann der Informationserzeuger, ein Rechtsnachfolger, Lizenznehmer oder sonstiger vom Inhaber berechtigter Dritter sein. Der Empfänger - dem die Geschäftsgeheimnisse oder vertraulichen Informationen

1 Diese Vereinbarung berücksichtigt die Anforderungen des Gesetzes zum Schutz von Geschäftsgeheimnissen (GeschGehG) vom 18.04.2019

Klassifizierung Schutzbedarf: VERTRAULICH Version: TB-032 V7.1 DE © enercity Informationssicherheitsmanagement // Datenschutzmanagement // enercity AG // enercity Netz GmbH Seite 1 von 7

[Seite 2]

offengelegt werden - hat keinerlei Kontrolle und ist nicht berechtigt, Geschäftsgeheimnisse oder vertrauliche Informatio- nen entgegen dieser Vereinbarung zu nutzen oder offenzulegen2. Durch die Offenlegung des Geschäftsgeheimnisses oder der vertraulichen Informationen gegenüber dem Empfänger wird dieser nicht zum Inhaber!

1 Geschäftsgeheimnisse und vertrauliche Informationen

Geschäftsgeheimnisse und vertrauliche Informationen im Sinne dieser Vereinbarung sind sämtliche Informationen (ob schriftlich, elektronisch, mündlich, digital verkörpert oder in anderer Form), die vom Inhaber an den Empfänger oder ei- nen mit dem Empfänger im Sinne der §§ 15 ff AktG verbundenen Unternehmen zu vorgenannten Zwecken offenbart werden. Als Geschäftsgeheimnisse und vertrauliche Informationen gelten insbesondere:

• festgelegte Geschäftsgeheimnisse: Produktentwicklungen, Forschungsprojekte, Herstellungsprozesse, Know- how3, Erfindungen, geschäftliche Beziehungen, Geschäfts-/Marktstrategien, Businesspläne, Beteiligungsstrate- gien, Finanzplanungen, Kalkulationen, Personal-/Vergütungsstrategien, Bezugsquellen, Informationen über Kunden und Geschäfts-/Kooperationspartner • vertrauliche Informationen: Jegliche Unterlagen und Informationen des Auftraggebers, die Gegenstand techni- scher und organisatorischer Geheimhaltungsmaßnahmen sind und als vertraulich gekennzeichnet oder nach der Art der Information oder den Umständen der Übermittlung als vertraulich anzusehen sind. • das Bestehen dieser Vereinbarung und ihr Inhalt

Eine detaillierte Beschreibung der Geschäftsgeheimnisse und vertraulichen Informationen ist dieser Vereinbarung (An- lage „Geschäftsgeheimnisse und vertrauliche Informationen“) beigefügt.

1.1 Keine vertraulichen Informationen sind solche,

• die der Öffentlichkeit vor der Mitteilung oder Übergabe durch den Auftraggeber bekannt oder allgemein zugäng- lich waren oder dies zu einem späteren Zeitpunkt ohne Verstoß gegen eine Geheimhaltungspflicht werden • die dem Empfänger bereits vor der Offenlegung durch den Inhaber und ohne Verstoß gegen eine Geheimhal- tungspflicht nachweislich bekannt waren • die von dem Empfänger, ohne Nutzung oder Bezugnahme auf vertrauliche Informationen des Inhabers, selbst gewonnen wurden • die dem Empfänger von einem berechtigten Dritten ohne Verstoß gegen eine Geheimhaltungspflicht übergeben oder zugänglich gemacht werden

2 Geheimhaltungspflichten

Der Empfänger verpflichtet sich, die Geschäftsgeheimnisse und vertraulichen Informationen …

• streng vertraulich zu behandeln und nur im Zusammenhang mit den vereinbarten Zwecken zu verwenden • nur gegenüber solchen Vertretern (Beschäftigte, Erfüllungs- oder Verrichtungsgehilfen) offenzulegen, die auf die Kenntnis dieser Informationen für den Zweck angewiesen sind, vorausgesetzt, dass der Empfänger sicher- stellt,4, dass seine Vertreter auf den Datenschutz verpflichtet sind und diese Vereinbarung einhalten, als wären sie selbst durch diese Vereinbarung gebunden.

2 Offenlegen bezeichnet das Eröffnen des Geschäftsgeheimnisses oder der vertraulichen Informationen gegenüber einem Dritten. Offenlegen bedeutet nicht Öffentlichkeit.

3 Definition: Art. 1 Abs. 1 (i) der Verordnung (EU) Nr. 316/2014 der Kommission vom 21.03.2014

4 Durch geeignete schriftliche Vereinbarungen mit Beschäftigten sowie Erfüllungs-/Verrichtungsgehilfen oder durch entsprechende Dienst- oder Arbeitsver- träge. Die Rechte und Pflichten der Arbeitnehmervertretungen sowie der Hinweisgeber gem. § 5 GeschGehG bleiben unberührt.

Version: TB-032 V7.1 DE © enercity Datenschutzmanagement // enercity AG // enercity Netz GmbH Seite 2 von 7

[Seite 3]

• durch angemessene technische / organisatorische Maßnahmen gegen den unbefugten Zugriff unbefugter Drit- ter zu sichern und bei der Verarbeitung die gesetzlichen und vertraglichen Vorschriften zum Datenschutz einzu- halten. Dies beinhaltet auch technische und organisatorische Maßnahmen nach dem Stand der Technik. • Der Auftragnehmer verpflichtet sich, die mitgeltenden betrieblichen Regelungen des Auftraggebers zu berück- sichtigen, welche in der Anlage („Geschäftsgeheimnisse und vertrauliche Informationen“) konkret beschrieben sind und übergeben wurden.

Der Empfänger kann sich nur dann auf die Ausnahmen in dem Abschnitt 1.1 berufen, wenn er diese unmittelbar5 nach Offenlegung der Information bzw. nach Eintreten der Ausnahme, dem offenbarenden Inhaber schriftlich oder in Textform mitteilt.

Sofern der Empfänger aufgrund geltender Rechtsvorschriften, gerichtlicher oder behördlicher Anordnungen oder auf- grund einschlägiger finanz-/börsenrechtlicher Regelungen verpflichtet ist, teilweise oder vollständig Geschäftsgeheim- nisse oder vertrauliche Informationen des Inhabers offenzulegen, informiert dieser unverzüglich und schriftlich den Inha- ber - soweit rechtlich zulässig und praktisch umsetzbar - und unternimmt alle zumutbaren Anstrengungen, um den Um- fang der Offenlegung auf ein Minimum zu beschränken und den Inhaber in der Wahrnehmung seiner Schutzinteressen zu unterstützen.

Der Empfänger wird den Inhaber unverzüglich informieren, wenn dieser Verstöße gegen diese Vereinbarung oder gegen geltendes Recht erkennt, auch wenn diese nicht in seinen Verantwortungsbereich fallen.

3 Umgang mit Geschäftsgeheimnissen und vertraulichen Informationen

Der Empfänger von Geschäftsgeheimnissen und vertraulichen Informationen trifft geeignete und wirksame technische und organisatorische Maßnahmen nach dem Stand der Technik, um den Schutz der Geschäftsgeheimnisse und vertrau- lichen Informationen auf eigenen IT-Werkzeugen/Datenspeichern sicherzustellen; dies gilt insbesondere für mobile oder Datenspeicher bei Dritten (Cloud-Computing) und für die Übertragung über (öffentliche) Kommunikationsnetze.

4 IT-Werkzeuge

Die Mitnahme von IT-Werkzeugen/Datenspeichern des Auftraggebers oder die IT-Netzintegration von eigenen IT-Werk- zeugen/Datenspeichern des Auftragnehmers bei einem vor Ort-Einsatz beim Auftraggeber, bedarf der Zustimmung (Textform) durch den Auftraggeber. Bei der Verwendung eigener IT-Werkzeuge/Datenspeicher durch den Auftragnehmer sichert dieser zu, dass diese frei von schädlichen Inhalten sind.

5 Rückgabe / Löschung der vertraulichen Informationen

Der Empfänger wird unverzüglich nach Aufforderung durch den Inhaber alle in seinem Besitz befindlichen Geschäftsge- heimnisse und vertraulichen Informationen, inkl. sämtlicher Kopien, herausgeben oder nach Weisung des Inhabers da- tenschutzgerecht vernichten. Sofern es sich um elektronische Daten auf Speichermedien handelt, sind diese mit geeig- neten Löschverfahren unwiederbringlich zu löschen, welche anerkannten Standards genügen (z. B. Standards des Bun- desamtes für Sicherheit in der Informationstechnik, DIN 66399).

Hiervon ausgenommen sind sogenannte (vorübergehende) Sicherungskopien, soweit diese zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung oder aufgrund gesetzlicher Aufbewahrungs- und Nachweispflichten erforderlich sind. Entfallen auch diese Rechtfertigungsgrundlagen, sind die (restlichen) Daten abschließend gemäß diesem Abschnitt unwiederbringlich zu löschen.

Auf Verlangen des Inhabers hat der Empfänger schriftlich zu versichern, dass er den Rückgabe- und Löschpflichten voll- ständig nachgekommen ist.

5 Spätestens aber nach vier Wochen

Version: TB-032 V7.1 DE © enercity Datenschutzmanagement // enercity AG // enercity Netz GmbH Seite 3 von 7

[Seite 4]

Die Einrede des Zurückbehaltungsrechts (i. S. v. § 273 BGB) wird hinsichtlich der Geschäftsgeheimnisse und vertrauli- chen Informationen ausgeschlossen.

6 Eigentumsrechte an den vertraulichen Informationen

Der Inhaber hat, unbeschadet seiner Rechte aus dem GeschGehG, hinsichtlich der Geschäftsgeheimnisse und vertrauli- chen Informationen alle Eigentums-, Nutzungs- und Verwertungsrechte. Der Inhaber behält sich das ausschließliche Recht6 zur Schutzrechtsanmeldung vor. Der Empfänger erwirbt kein Eigentum oder - mit Ausnahme der Nutzung für die oben beschriebenen Zwecke - sonstige Nutzungsrechte an den Geschäftsgeheimnissen und vertraulichen Informationen (insbesondere an Know-how, darauf angemeldeten oder erteilten Patenten, Urheberrechten oder sonstigen Schutzrech- ten) aufgrund dieser Vereinbarung oder sonst wegen konkludenten Verhaltens.

Der Empfänger hat es zu unterlassen, die Geschäftsgeheimnisse und vertraulichen Informationen außerhalb der verein- barten Zwecke in irgendeiner Weise selbst wirtschaftlich zu verwerten oder nachzuahmen - insbesondere im Wege des sogenannten „Reverse-Engineering“ - oder durch Dritte verwerten oder nachahmen zu lassen und insbesondere auf die Geschäftsgeheimnisse und vertraulichen Informationen gewerbliche Schutzrechte - insbesondere Marken, Designs, Pa- tente oder Gebrauchsmuster - anzumelden.

7 Fernzugriff mittels IT-Werkzeuge

Wird ein Fernzugriff auf die IT-Infrastruktur des Auftraggebers erforderlich, so gelten folgenden Vereinbarungen:

• Der Fernzugriff erfolgt nach den technischen Vorgaben und nur nach Weisung (Freigabe) des Auftraggebers. • Der Auftragnehmer sichert zu, dass seine für den technischen Fernzugriff verwendeten IT-Werkzeuge frei von schädlichen Inhalten sind; es sind technische und organisatorische Maßnahmen nach dem Stand der Technik umgesetzt, die eine widerrechtliche Nutzung auf Seitens des Auftragnehmers ausschließen. • Geschäftsgeheimnisse und vertrauliche Informationen des Auftraggebers werden nur dann auf IT-Werkzeuge und (mobile) Datenspeicher des Auftragnehmers übertragen, wenn dies tatsächlich erforderlich ist, technische und organisatorische Maßnahmen nach dem Stand der Technik umgesetzt werden, die eine widerrechtliche Nutzung auf Seiten des Auftragnehmers ausschließen. • Ist die Übertragung von Software-Programmen auf IT-Werkzeuge des Auftraggebers erforderlich, so sichert der Auftragnehmer zu, dass diese frei von schädlichen Inhalten und frei von Rechten Dritter sind, bzw. erforderliche Lizenzen vorliegen. • Eine Übertragung, Installation oder Aktivierung von Software-Programmen in produktiven Betriebsumgebungen des Auftraggebers durch den Auftragnehmer ist nicht zulässig! Soll dies ausnahmsweise durch den Auftragneh- mer erfolgen, so bedarf dies der schriftlichen Freigabe (Textform) durch den Auftraggeber.

8 Haftung

Verletzt der Empfänger oder einer seiner Vertreter oder sonstige Personen, für die der Empfänger gemäß §§ 31, 278, 831 BGB einzustehen hat, die sich aus dieser Vereinbarung ergebenen Pflichten, so zahlt der Empfänger eine Vertrags- strafe in angemessener Höhe; diese wird nach billigem Ermessen im Sinne von § 315 BGB bestimmt. Die Angemessen- heit kann im Streitfall von dem zuständigen Gericht überprüft werden.

6 § 3 Abs. 1 Nr. 1 GeschGehG bleibt unberührt

Version: TB-032 V7.1 DE © enercity Datenschutzmanagement // enercity AG // enercity Netz GmbH Seite 4 von 7

[Seite 5]

9 Laufzeit

Diese Vereinbarung tritt ab Unterzeichnung in Kraft und endet nach Wegfall der Zwecke (Zweckbindung). Die Pflicht zur Geheimhaltung bleibt nach Beendigung dieser Vereinbarung für 3 Jahre bestehen.

Der Empfänger kann die Aufhebung der Verpflichtung zur Vertraulichkeit gegenüber dem Auftraggeber einfordern, wenn auflösende Gründe gemäß Ziffer 1.1 eingetreten sind.

10 Anwendbares Recht und Gerichtsstand

Die Bestimmungen dieser Vereinbarung unterliegen in ihrer Durchführung und Auslegung deutschem Recht unter Aus- schluss des internationalen Privatrechts. Ausschließlicher Gerichtsstand für Streitigkeiten aus oder im Zusammenhang mit dieser Vereinbarung ist Hannover, Deutschland.

11 Schlussbestimmungen

Ein Zugriff auf personenbezogene Daten des Auftraggebers ist nur dann zulässig, wenn vorab ein „Vertrag zur Auf- tragsverarbeitung“ (Art. 28 DSGVO) schriftlich vereinbart wurde.

Die vorliegende Vereinbarung stellt alle zwischen den Parteien getroffenen Vereinbarungen dar und ersetzt alle früheren Vereinbarungen zur Vertraulichkeit.

Für diese Vereinbarung gilt die Schriftform. Mündliche Vereinbarungen oder Nebenabreden sind nicht getroffen worden. Änderungen, Ergänzungen, einseitige Erklärungen sowie die Aufhebung dieser Vereinbarung bedürfen zu ihrer Rechts- wirksamkeit der Schriftform, sowie der schriftlichen Bestätigung der Parteien. Dies gilt auch für Änderungen dieses Schriftformerfordernisses.

Sollte in dieser Vereinbarung eine Bestimmung unwirksam oder undurchführbar sein oder werden, so wird die Wirksam- keit der übrigen Bestimmungen hierdurch nicht berührt. Die Parteien verpflichten sich in diesem Fall, eine wirksame Re- gelung zu vereinbaren, die der nichtigen oder fehlenden Vereinbarung wirtschaftlich in gesetzlich erlaubter Weise am nächsten kommt.

Version: TB-032 V7.1 DE © enercity Datenschutzmanagement // enercity AG // enercity Netz GmbH Seite 5 von 7

[Seite 6]

Anlage

Vertrauliche Informationen

Erstellungsdatum:

Version: TB-032 V7.1 DE © enercity Datenschutzmanagement // enercity AG // enercity Netz GmbH Seite 6 von 7

[Seite 7]

Ort, Datum Unterschrift und Stempel Auftragnehmer

Version: TB-032 V7.1 DE © enercity Datenschutzmanagement // enercity AG // enercity Netz GmbH Seite 7 von 7