[Seite 1]
Geheimhaltungsvereinbarung für die Zusammenarbeit
Diese Vereinbarung regelt den Umgang mit allen vertraulichen Informationen, die die Parteien im Zuge ihrer Zusammenarbeit austauschen. Ziel ist es, die Vertraulichkeit zu wahren und eine unbefugte Nutzung zu verhindern.
-
Einhaltung der für Betreiber kritischer Anlagen geltenden Rechtsvorschriften (1) Der Auftragnehmer verpflichtet sich, alle im Zusammenhang mit der Erbringung der Leistungen relevanten gesetzlichen und regulatorischen Anforderungen für Betreiber kritischer Anlagen einzuhalten. Hierzu gehören insbesondere: Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSI-Gesetz - BSIG) Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen (KRITIS- Dachgesetz - KRITISDachG) die BSI-Kritisverordnung (BSI-KritisV) in der jeweils gültigen Fassung, sowie die branchenspezifischen Sicherheitsstandards (B3S) für kommunale Verkehrstechnik. (2) Der Auftragnehmer hat geeignete technische und organisatorische Maßnahmen zu treffen, um die Sicherheit und Integrität der dem Auftragnehmer übermittelten vertraulichen Informationen sicherzustellen. Diese sind der Auftraggeberin auf Verlangen nachzuweisen.
-
Geheimhaltung über das Vertragsende hinaus
(1) Die Parteien verpflichten sich, die Arbeitsergebnisse der jeweils anderen Vertragspartei sowie alle sonstigen Informationen, insbesondere wirtschaftlicher und technischer Art, Absichten, Erfahrungen und Erkenntnisse, die ihnen aufgrund der Zusammenarbeit gemäß diesem Vertrag bekannt werden, Dritten gegen über vertraulich zu behandeln, Dritten nicht zugänglich zu machen und vor dem Zugriff Dritter zu schützen. Die einzubeziehenden städtischen Gremien der Landeshauptstadt Düsseldorf (Ausschüsse, ggf. Stadtrat) werden nicht als Dritte im Sinne des Vertrags angesehen, so dass den Gremien seitens der LHD die oben genannten Informationen im erforderlichen Rahmen zur Verfügung gestellt werden können. (2) Die Parteien verpflichten sich in geeigneter Form dafür sorgen, dass auch die von ihnen bei der Durchführung dieses Vertrages hinzugezogenen Mitarbeiter und Nachauftragsnehmer die vorstehende Vertraulichkeit wahren. Ebenso werden sie sicherstellen, dass nur diejenigen Personen zu den vertraulichen Informationen Zugang erhalten, die sie benötigen. (3) Die Pflicht zur Vertraulichkeit besteht nicht gegenüber Gerichten und Behörden, soweit diese im Rahmen ihrer Zuständigkeit mit einer verpflichtenden Verfügung oder auf Grund einer gesetzlichen Ermächtigung von der Empfängerpartei Informationen und Auskünfte verlangen. Im Falle eines solchen Auskunftsverlangens wird die Empfängerpartei die entsprechende andere Partei unverzüglich benachrichtigen. (4) Die Verpflichtungen zur Wahrung der Vertraulichkeit sämtlicher im Zusammenhang mit diesem Vertrag erhaltenen oder generierten Informationen gelten über die Laufzeit des Vertrages hinaus und bleiben für einen Zeitraum von 15 Jahren nach Vertragsende bestehen.
- Meldepflicht bei Sicherheitsvorfällen (1) Der Auftragnehmer verpflichtet sich, sämtliche sicherheitsrelevanten Ereignisse und Störungen, die Auswirkungen auf die Sicherheit, Verfügbarkeit, Integrität oder Vertraulichkeit der erbrachten Leistungen oder der betroffenen kritischen Dienstleistung der Auftraggeberin haben können zu melden,. Dies gilt auch für sicherheitsrelevante Vorfälle innerhalb der Lieferkette des Auftragnehmers, unabhängig davon, ob ein tatsächlicher Abfluss oder Verlust vertraulicher Daten festgestellt wurde. Die sicherheitsrelevanten Ereignisse und Störungen sind unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, in Schriftform an den Auftraggeber zu melden. (2) Meldungen sind an die Funktions-Emailadresse informationssicherheit66-69@duesseldorf.de zu senden.
Geheimhaltungsvereinbarung KRITIS Seite 1 von 2 Stand 14.07.2026
[Seite 2]
(3) Der Auftragnehmer erkennt an, dass die Auftraggeberin gemäß BSI-Kritisverordnung und BSI- Gesetz zur Meldung solcher Vorfälle an das BSI verpflichtet ist und verpflichtet sich die Auftraggeberin bei der Erfüllung dieser Meldepflichten durch unverzügliche Bereitstellung aller erforderlichen Informationen zu unterstützen.
-
Rückgabe oder nachweisliche Löschung von KRITIS-Daten (1) Nach Aufforderung durch die Auftraggeberin hat der Auftragnehmer sämtliche vertaulichen Informationen, Daten, Unterlagen sowie daraus abgeleitete Verarbeitungen unverzüglich und vollständig an die Auftraggeberin zurückzugeben oder – sofern technisch möglich – nachweislich sicher und unwiederbringlich zu löschen. (2) Der Auftragnehmer weist die Löschung auf Verlangen der Auftraggeberin in geeigneter Form nach. (3) Soweit gesetzliche Aufbewahrungspflichten oder technisch unvermeidbare Datensicherungen (z. B. Backup-Systeme) einer vollständigen Löschung entgegenstehen, hat der Auftragnehmer die entsprechenden Daten weiterhin vertraulich zu behandeln und gegen unbefugten Zugriff zu schützen.
-
Einsatz von Nachauftragnehmern (1) Der Einsatz von Nachauftragnehmern durch den Auftragnehmer bedarf der vorherigen schriftlichen Zustimmung der Auftraggeberin. Die schriftliche Zustimmung kann auch in Textform, z.B. per E-Mail, erfolgen. (2) Der Auftragnehmer ist verpflichtet, jeden von ihm beauftragten Nachauftragnehmer vor Beginn der Leistungserbringung in gleichem Umfang wie sich selbst zur Vertraulichkeit, zur Geheimhaltung der vertaulichen Informationen, sowie zur Einhaltung aller einschlägigen gesetzlichen und regulatorischen Anforderungen in der jeweils geltenden Fassung (siehe Nummer 1)
zu verpflichten.
(3) Der Auftragnehmer hat der Auftraggeberin die beabsichtigte Beauftragung eines Nachauftragnehmers einschließlich der vorgesehenen Leistungen rechtzeitig spätestens jedoch 14 Tage vor Beginn des Einsatzes anzuzeigen und auf Verlangen geeignete Nachweise über die Verpflichtung des Nachauftragnehmers vorzulegen. Er hat die Einhaltung der Verpflichtung in regelmäßigen Abständen zu überprüfen und der Auftraggeberin auf Verlangen geeignete Nachweise vorzulegen. (4) Der Auftragnehmer haftet für das Verhalten der von ihm eingesetzten Nachauftragnehmer wie für eigenes Handeln.
Der Unterzeichner verpflichtet sich durch seine Unterschrift, sämtliche oben genannten Bestimmungen dieser Geheimhaltungsvereinbarung zu beachten und jede unbefugte Weitergabe oder Nutzung vertraulicher Informationen zu unterlassen.
Ort, Datum Name, Funktion Unterschrift
Geheimhaltungsvereinbarung KRITIS Seite 2 von 2 Stand 14.07.2026