DEval_Anlage 4_Verpflichtungserklärung 2026.pdf

[Seite 1]

ANLAGE 4

Verpflichtungserklärung zur Wahrung der Vertraulichkeit

personenbezogener Daten

Deutsches Evaluierungsinstitut der

Entwicklungszusammenarbeit gGmbH (DEval)

Fritz-Schäffer-Str. 26, 53113 Bonn

-Auftraggeber-

und

-Auftragnehmer-

Infolge Ihrer Beauftragung durch uns unterliegen Sie den datenschutzrechtlichen Regelungen und werden deshalb durch folgenden Hinweis auf das Datengeheimnis sowie auf den Schutz von Geschäftsgeheimnissen und des Bankgeheimnisses verpflichtet und auf die Strafbarkeit von Verstößen hingewiesen:

Es ist Ihnen untersagt, personenbezogene Daten, auf die Sie durch Ihre Tätigkeit Zugriff haben könnten, unbefugt zu einem anderen als dem zur jeweiligen rechtmäßigen Aufgabenerfüllung gehörenden Zweck zu verarbeiten.

Die Verpflichtung auf das Datengeheimnis besteht ohne zeitliche Begrenzung und auch nach Beendigung Ihrer Tätigkeit bei uns fort.

Die Verpflichtung umfasst insbesondere – und keineswegs abschließend - folgende Punkte:

 Alle Daten und Programme dürfen nur auf diese Weise verwahrt, verarbeitet oder ausgegeben werden, wie es von entscheidungsberechtigten Stellen angeordnet wird.  Daten, Programme und andere Informationen dürfen nicht zu einem anderen als dem geschäftlichen Zweck vervielfältigt werden.

#2789717v1

[Seite 2]

 Es ist untersagt, Daten oder Programme zu verfälschen, unechte Daten oder Programme herzustellen sowie vorsätzlich unechte oder verfälschte Daten und Programme zu gebrauchen.  Es dürfen nur die für die konkrete Aufgabenerfüllung notwendigen Daten abgerufen werden.  Eine Weitergabe personenbezogener Daten an Dritte ist nur zulässig, wenn dem Empfänger/ der Empfängerin ein Recht auf Kenntnisnahme auf Grund einer Rechtsvorschrift zusteht.  Unterlagen mit personenbezogenen Daten sind sicher vor dem Zugriff Dritter aufzubewahren.  Zur Löschung oder zur Vernichtung vorgesehene Datenträger oder Ausdrucke sind ordnungsgemäß zu löschen oder zu vernichten.  Geschäftsgeheimnisse im Sinne des § 2 Nr. 1 GeschGehG sowie dem Bankgeheimnis unterliegende Informationen, die Ihnen im Rahmen Ihrer Tätigkeit bekannt werden, sind streng vertraulich zu behandeln und dürfen ausschließlich für die vertraglich vereinbarten Zwecke verwendet werden.  Setzen Sie bei Ihrer Tätigkeit Künstliche Intelligenz ein, sind Sie verpflichtet, dies dem DEval anzuzeigen sowie die eingesetzten Anwendungen und den Umfang des KI-Einsatzes auf Anforderung offenzulegen und zu dokumentieren; nicht-öffentliche, vertrauliche oder personenbezogene Daten dürfen nur mit KI-Anwendungen verarbeitet werden, die ein angemessenes Datenschutz- und Datensicherheitsniveau gewährleisten (vgl. Ziffer 1.11 der Allgemeinen Vertragsbedingungen des DEval).

Der Auftragnehmer wird darüber belehrt, dass Verstöße gegen das Datengeheimnis ggf. nach §§ 42 und 43 BDSG und anderen einschlägigen Rechtsvorschriften (siehe Anlage) mit Freiheits- oder Geldstrafen geahndet werden können.

Bitte bestätigen Sie durch Ihre Unterschrift, dass Sie die Verpflichtung auf das Datengeheimnis beachten und als Bestandteil des mit Ihnen abgeschlossenen Hauptvertrages anerkennen.

Sonstige Geheimhaltungspflichten nach anderen Vorschriften werden durch diese Verpflichtung nicht berührt.

Ort, Datum Unterschrift

Anlage zur Verpflichtung auf Vertraulichkeit (Stand Mai 2018)

Es ist wichtig, dass im DEval personenbezogene Daten geschützt werden. Auch Sie haben durch die Beauftragung durch uns in irgendeiner Form mit personenbezogenen Daten zu tun.

Die Datenschutz-Grundverordnung (DS-GVO) verpflichtet unser Unternehmen und auch Sie zu einem sorgsamen und rechtmäßigen Umgang mit Informationen, die sich direkt oder indirekt mit einer natürlichen Person in Verbindung bringen lassen.

Seite 2 von 6

#2789717v1

[Seite 3]

„Zweck des Datenschutzes ist es, die Einzelne/ den Einzelnen davor zu schützen, dass sie/ er durch den Umgang mit ihren/seinen personenbezogenen Daten in ihrem/seinem Persönlichkeitsrecht beeinträchtigt wird."

Berücksichtigen Sie bei Ihrer täglichen Arbeit die Datenschutzregeln. Bitte gehen Sie dabei mit den personenbezogenen Daten, die Sie im Rahmen Ihrer Aufgaben verarbeiten, genauso sorgsam um, wie Sie Ihre eigenen Daten behandelt haben möchten. Was sind personenbezogene Daten im Sinne der DS-GVO?

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, [...] identifiziert werden kann, [...] (Art. 4 Nr.1 DS-GVO).

Beispiele für personenbezogene Daten sind: Name, Adresse, Geburtstag, Telefonnummer oder auch Angaben über Wohn- oder Vermögensverhältnisse, sowie IP-Adressen. Grundsätze bei der Verarbeitung von personenbezogenen Daten

Die Verarbeitung meint jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung (Art. 4 Nr.2 DS-GVO).

Grundsatz der Rechtmäßigkeit

Die Verarbeitung personenbezogener Daten darf nur erfolgen, wenn diese zulässig ist. Die Datenverarbeitung ist nur zulässig, wenn sie durch die DS-GVO selbst oder durch eine andere Rechtsvorschrift erlaubt ist, oder die/der Betroffene in die Verarbeitung eingewilligt hat.

Die Datenverarbeitung, die zur Erfüllung vertraglich geregelter Geschäftszwecke, erforderlich sind, wird durch die Vorschriften der DS-GVO erlaubt.

Die Einwilligung der/des Betroffenen ist eine Erlaubnis gemäß der DS-GVO. Sie muss in der Regel schriftlich erfolgen und kann jederzeit widerrufen werden. Sie ist nur wirksam, wenn die/der Betroffene ausreichend informiert wurde und die Einwilligung freiwillig gegeben wurde.

Verantwortlichkeit für die Datenverarbeitung

Gemäß der DS-GVO ist jede Person oder Stelle, die über die Zwecke und Mittel von personenbezogenen Daten entscheidet, für die Einhaltung des Datenschutzes verantwortlich.

Auch Sie als Beauftragte/Beauftragter, die/der im Rahmen ihrer/seiner Tätigkeit personenbezogene Daten verarbeitet, sind für die Einhaltung der Datenschutzregeln verantwortlich.

Generelle Grundsätze bei der Verarbeitung personenbezogener Daten

Nach dem Prinzip der Datenvermeidung und –sparsamkeit soll, soweit möglich, die Verarbeitung von personenbezogenen Daten vermieden oder wenn dies nicht möglich ist, so wenige Daten wie möglich verwendet werden.

Jede/r Betroffene soll zudem über die Verarbeitung ihrer/seiner personenbezogenen Daten informiert werden bzw. hat das Recht auf Auskunft darüber zu verlangen, wer welche seiner Daten zu welchem Zweck verarbeitet.

Personenbezogene Daten sollen so vor Manipulation und Missbrauch geschützt werden und ihre Verarbeitung in nachvollziehbar Weise stattfinden.

Die Verarbeitung der personenbezogenen Daten selbst hat unter dem Gesichtspunkt der Erforderlichkeit zu erfolgen. Technische und organisatorische Maßnahmen zum Schutz von personenbezogenen Daten sind ebenfalls in dem Maße zu treffen, wie ihr Aufwand in einem angemessenen Verhältnis zum Schutzzweck steht.

Seite 3 von 6

#2789717v1

[Seite 4]

Die obige Auswahl soll Ihnen einen Überblick über das datenschutzrechtliche Regelwerk verschaffen, ist aber keineswegs vollständig. Weitere Informationen zu datenschutzrechtlichen Fragestellungen erhalten Sie bei Ihrem betrieblichen Datenschutzbeauftragten.

Anbei auszugsweise relevante gesetzliche Sanktions- und Strafvorschriften:

§ 23 GeschGehG Verletzung von Geschäftsgeheimnissen

(1) Wer zu Zwecken des Wettbewerbs, aus Eigennutz, zugunsten eines Dritten oder in der Absicht, dem Inhaber eines Unternehmens Schaden zuzufügen, ein Geschäftsgeheimnis erlangt, sich oder einem Dritten nutzbar macht oder offenbart, das er auf Grund einer der in § 4 Absatz 1 GeschGehG genannten Handlungen erlangt hat, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.

(2) Ebenso wird bestraft, wer zu Zwecken des Wettbewerbs, aus Eigennutz, zugunsten eines Dritten oder in der Absicht, dem Inhaber des Unternehmens Schaden zuzufügen,

1. sich ein Geschäfts- oder Betriebsgeheimnis durch

a) Anwendung technischer Mittel,

b) Herstellung einer verkörperten Wiedergabe des Geheimnisses oder

c) Wegnahme einer Sache, in der das Geheimnis verkörpert ist,

unbefugt verschafft oder sichert oder

2. ein Geschäfts- oder Betriebsgeheimnis, das er durch eine der in Absatz 1 bezeichneten Mitteilungen oder durch eine eigene oder fremde Handlung nach Nummer 1 erlangt oder sich sonst unbefugt verschafft oder gesichert hat, unbefugt verwertet oder jemandem mitteilt.

(3) Der Versuch ist strafbar.

(4) In besonders schweren Fällen ist die Strafe Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe. Ein besonders schwerer Fall liegt in der Regel vor, wenn der Täter

1. gewerbsmäßig handelt,

2. bei der Mitteilung weiß, dass das Geheimnis im Ausland verwertet werden soll, oder

3. eine Verwertung nach Absatz 2 Nr. 2 im Ausland selbst vornimmt.

(5) Die Tat wird nur auf Antrag verfolgt, es sei denn, dass die Strafverfolgungsbehörde wegen des besonderen öffentlichen Interesses an der Strafverfolgung ein Einschreiten von Amts wegen für geboten hält.

(6) § 5 Nr. 7 des Strafgesetzbuches gilt entsprechend.

§ 202a StGB Ausspähen von Daten

(1) Wer unbefugt sich oder einem anderen Zugang zu Daten, die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind, unter Überwindung der Zugangssicherung verschafft, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.

(2) Daten im Sinne des Absatzes 1 sind nur solche, die elektronisch, magnetisch oder sonst nicht unmittelbar wahrnehmbar gespeichert sind oder übermittelt werden.

§ 263a StGB Computerbetrug

(1) Wer in der Absicht, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen, das Vermögen eines anderen dadurch beschädigt, daß er das Ergebnis eines Datenverarbeitungsvorgangs durch unrichtige Gestaltung des Programms, durch Verwendung unrichtiger oder unvollständiger Daten, durch unbefugte Verwendung von Daten oder sonst durch unbefugte Einwirkung auf den Ablauf beeinflußt, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.

(2) § 263 Abs. 2 bis 7 gilt entsprechend.

(3) Wer eine Straftat nach Absatz 1 vorbereitet, indem er Computerprogramme, deren Zweck die Begehung einer solchen Tat ist, herstellt, sich oder einem anderen verschafft, feilhält, verwahrt oder einem anderen überlässt, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.

(4) In den Fällen des Absatzes 3 gilt § 149 Abs. 2 und 3 entsprechend

§ 303a StGB Datenveränderung

Seite 4 von 6

#2789717v1

[Seite 5]

(1) Wer rechtswidrig Daten (§ 202a Abs. 2) löscht, unterdrückt, unbrauchbar macht oder verändert, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.

(2) Der Versuch ist strafbar.

(3) Für die Vorbereitung einer Straftat nach Absatz 1 gilt § 202c entsprechend.

§ 106 UrheberrechtsG Unerlaubte Verwertung urheberrechtlich geschützter Werke

(1) Wer in anderen als den gesetzlich zugelassenen Fällen ohne Einwilligung des Berechtigten ein Werk oder eine Bearbeitung oder Umgestaltung eines Werkes vervielfältigt, verbreitet oder öffentlich wiedergibt, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.

(2) Der Versuch ist strafbar.

Art. 82 DS-GVO Haftung und Recht auf Schadenersatz

(1) Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.

(2) Jeder an einer Verarbeitung beteiligte Verantwortliche haftet für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde. Ein Auftragsverarbeiter haftet für den durch eine Verarbeitung verursachten Schaden nur dann, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus dieser Verordnung nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des für die Datenverarbeitung Verantwortlichen oder gegen diese Anweisungen gehandelt hat.

(3) Der Verantwortliche oder der Auftragsverarbeiter wird von der Haftung gemäß Absatz 2 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.

(4) Ist mehr als ein Verantwortlicher oder mehr als ein Auftragsverarbeiter bzw. sowohl ein Verantwortlicher als auch ein Auftragsverarbeiter an derselben Verarbeitung beteiligt und sind sie gemäß den Absätzen 2 und 3 für einen durch die Verarbeitung verursachten Schaden verantwortlich, so haftet jeder Verantwortliche oder jeder Auftragsverarbeiter für den gesamten Schaden, damit ein wirksamer Schadensersatz für die betroffene Person sichergestellt ist.

(5) Hat ein Verantwortlicher oder Auftragsverarbeiter gemäß Absatz 4 vollständigen Schadenersatz für den erlittenen Schaden gezahlt, so ist dieser Verantwortliche oder Auftragsverarbeiter berechtigt, von den übrigen an derselben Verarbeitung beteiligten für die Datenverarbeitung Verantwortlichen oder Auftragsverarbeitern den Teil des Schadenersatzes zurückzufordern, der unter den in Absatz 2 festgelegten Bedingungen ihrem Anteil an der Verantwortung für den Schaden entspricht.

(6) Mit Gerichtsverfahren zur Inanspruchnahme des Rechts auf Schadenersatz sind die Gerichte zu befassen, die nach den in Artikel 79 Absatz 2 genannten Rechtsvorschriften des Mitgliedstaats zuständig sind.

§ 42 BDSG-neu Strafvorschriften

(1) Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer wissentlich nicht allgemein zugängliche personenbezogene Daten einer großen Zahl von Personen, ohne hierzu berechtigt zu sein,

1. einem Dritten übermittelt oder

2. auf andere Art und Weise zugänglich macht

und hierbei gewerbsmäßig handelt.

(2) Mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe wird bestraft, wer personenbezogene Daten, die nicht allgemein zugänglich sind,

1. ohne hierzu berechtigt zu sein, verarbeitet oder

2. durch unrichtige Angaben erschleicht

und hierbei gegen Entgelt oder in der Absicht handelt, sich oder einen anderen zu bereichern oder einen anderen zu schädigen.

(3) Die Tat wird nur auf Antrag verfolgt. Antragsberechtigt sind die betroffene Person, der Verantwortliche, die oder der Bundesbeauftragte und die Aufsichtsbehörde.

(4) Eine Meldung nach Artikel 33 der Verordnung (EU) 2016/679 oder eine Benachrichtigung nach Artikel 34 Absatz 1 der Verordnung (EU) 2016/679 darf in einem Strafverfahren gegen den Meldepflichtigen oder Benachrichtigenden oder seine in § 52 Absatz 1 der Strafprozessordnung bezeichneten Angehörigen nur mit Zustimmung des Meldepflichtigen oder Benachrichtigenden verwendet werden.

§ 43 BDSG neu Bußgeldvorschriften

(1) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig

1. entgegen § 30 Absatz 1 ein Auskunftsverlangen nicht richtig behandelt oder

2. entgegen § 30 Absatz 2 Satz 1 einen Verbraucher nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig unterrichtet.

Seite 5 von 6

#2789717v1

[Seite 6]

(2) Die Ordnungswidrigkeit kann mit einer Geldbuße bis zu fünfzigtausend Euro geahndet werden.

(3) Gegen Behörden und sonstige öffentliche Stellen im Sinne des § 2 Absatz 1 werden keine Geldbußen verhängt.

(4) Eine Meldung nach Artikel 33 der Verordnung (EU) 2016/679 oder eine Benachrichtigung nach Artikel 34 Absatz 1 der Verordnung (EU) 2016/679 darf in einem Verfahren nach dem Gesetz über Ordnungswidrigkeiten gegen den Meldepflichtigen oder Benachrichtigenden oder seine in § 52 Absatz 1 der Strafprozessordnung bezeichneten Angehörigen nur mit Zustimmung des Meldepflichtigen oder Benachrichtigenden verwendet werden.

Seite 6 von 6

#2789717v1