Unternehmen (Name, Anschrift, gesetzliche Vertretung):
_____________________________________________________________________________
_____________________________________________________________________________
- nachfolgend Vertragspartner -
gegenüber der
Städtisches Klinikum Karlsruhe gGmbH
vertreten durch die Geschäftsführer
Herrn Markus Heming und Herrn Prof. Dr. med. Dr. oec. Martin Holderried
Moltkestr. 90, 76133 Karlsruhe
- nachfolgend Auftraggeber –
Sowohl der Vertragspartner als auch dessen Mitarbeitende erhalten im Zusammenhang mit ihrer Tätigkeit für den Auftraggeber bzw. im Rahmen des Aufenthaltes in den Räumlichkeiten des Auftraggebers möglicherweise Kenntnis von hochsensiblen personenbezogenen Daten (insb. Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten nach Art. 4 Ziff. 15, Art. 9 DSGVO [Datenschutz-Grundverordnung]).
Bei der Verarbeitung personenbezogener Daten im Auftrag verpflichtet sich der Vertragspartner, die dokumentierten datenschutzrechtlichen Weisungen des Auftraggebers zu beachten.
Der Vertragspartner muss gewährleisten, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Dazu müssen alle Personen, die auftragsgemäß auf personenbezogene Daten des Auftraggebers zugreifen können, zur Wahrung der Vertraulichkeit und Einhaltung der datenschutzrechtlichen Anforderungen verpflichtet und über ihre Datenschutzpflichten belehrt werden.
Personenbezogene Daten dürfen nur zweckgebunden im Rahmen der jeweiligen Aufgabenerfüllung verwendet und genutzt werden sowie nur die für die konkrete Aufgabenerfüllung notwendigen Daten abgerufen werden. Der Vertragspartner verpflichtet sich, die Grundsätze für die Verarbeitung personenbezogener Daten gemäß Art. 5 Abs. 1 DSGVO einzuhalten. Es ist untersagt, personenbezogene Daten unbefugt zu verarbeiten.
Weiterhin ist es untersagt, Daten oder Programme zu verfälschen, unechte Daten oder Programme herzustellen sowie vorsätzlich unechte oder verfälschte Daten und Programme zu gebrauchen.
Jede Art, personenbezogene Daten aus dem räumlichen Bereich des Auftraggebers zu verbringen, ist untersagt, sofern dieses nicht ausnahmsweise aufgrund eines Antrags bzw. im Rahmen eines Vertrages genehmigt wurde.
Des Weiteren kommt der Vertragspartner bzw. dessen Mitarbeitende bei Ausübung der Tätigkeit für den Auftraggeber mit gesetzlich geschützten Geheimnissen von Berufsgeheimnisträgern in Berührung und kann daher Kenntnis von solchen geschützten Geheimnissen erlangen.
Der Vertragspartner wird ausdrücklich darüber belehrt, dass er bzw. seine Mitarbeitenden als mitwirkende Personen nach § 203 StGB (Strafgesetzbuch) der Schweigepflicht unterliegen. Sie haben Stillschweigen über alle Vorgänge und Umstände, auch über die persönlichen Verhältnisse der Patientinnen und Patienten zu bewahren, die ihnen während ihrer Tätigkeit bekannt werden.
Der Vertragspartner bzw. dessen Mitarbeitende dürfen sich nur insoweit Kenntnis von fremden Geheimnissen verschaffen, als dies zur Erfüllung der ihnen zugewiesenen Aufgaben erforderlich ist. Der Vertragspartner stellt sicher, dass alle mit der Verarbeitung von dem Berufsgeheimnis unterliegenden Daten des Auftraggebers befassten Mitarbeitenden sich in Textform dazu verpflichtet haben, über die ihnen bei Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenen Geheimnisse Stillschweigen zu bewahren und diese keinesfalls unbefugt Dritten zu offenbaren.
Der Vertragspartner ist dazu verpflichtet, seine Mitarbeitenden über die mögliche Strafbarkeit nach § 203 Abs. 4 S. 1 StGB zu belehren. Seine Mitarbeitenden machen sich strafbar, wenn sie unbefugt ein fremdes Geheimnis offenbaren, das ihnen bei Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt geworden ist.
Der Vertragspartner verpflichtet sich darüber hinaus, über ihm bzw. seinen Mitarbeitenden in Ausübung oder aus Anlass ihrer Tätigkeit anvertraut oder bekanntwerdende Daten, Angelegenheiten des Unternehmens, Geschäftsvorgänge, Zahlen des internen Rechnungswesens, Betriebsgeheimnisse und alle als Geschäftsgeheimnisse zu definierenden Vorgänge nach § 2 Nr. 1 Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG) Stillschweigen zu bewahren und nicht unbefugt an Dritte weiterzugeben oder diesen zugänglich zu machen.
Sofern der Vertragspartner bzw. dessen Mitarbeitende aufgrund ihrer Tätigkeit und Aufgabenstellung im und für das Klinikum an der Erbringung von Diensten mitwirken, die dem Fernmeldegeheimnis unterliegen, sind der Vertragspartner bzw. dessen Mitarbeitende ebenfalls verpflichtet, das Fernmeldegeheimnis nach § 3 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) zu beachten.
Unterlagen mit personenbezogenen Daten sowie alle dienstlichen Tätigkeiten betreffenden Aufzeichnungen, Abschriften, Geschäftsunterlagen, Ablichtungen, dienstlicher oder geschäftlicher Vorgänge des Auftraggebers, die dem Vertragspartner bzw. dessen Mitarbeitenden überlassen oder von diesem angefertigt werden, sind vor Einsichtnahme Unbefugter zu schützen.
Die Pflicht zur Verschwiegenheit besteht gegenüber jedermann, so auch gegenüber Familienangehörigen, Kolleginnen/Kollegen und sonstigen nahestehenden Personen, soweit eine Offenbarung nicht aus dienstlichen Gründen erforderlich ist, sowie auch gegenüber demjenigen, der von der betreffenden Tatsache bereits Kenntnis erlangt hat.
Die Pflicht zur Verschwiegenheit besteht auch nach Beendigung der Beauftragung uneingeschränkt und zeitlich unbefristet fort. Ferner müssen die eingesetzten Personen darauf hingewiesen werden, dass die Verpflichtung zur Wahrung der Vertraulichkeit auch nach Beendigung der Tätigkeit fortbesteht.
Dem Vertragspartner ist bekannt, dass Verstöße gegen Datenschutzvorschriften mit Geldbuße, Geldstrafe oder Freiheitsstrafe geahndet werden können (z. B. §§ 42, 43 BDSG, Art. 83 Abs. 4 und 5 DSGVO). Entsteht der betroffenen Person durch die unzulässige Verarbeitung ihrer personenbezogenen Daten ein materieller oder immaterieller Schaden, kann ein Schadenersatzanspruch gemäß Art. 82 DSGVO entstehen. Ein Verstoß gegen § 203 Abs. 4 S. 1 StGB wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft. Darüber hinaus wird die Verwertung fremder Geheimnisse nach § 204 StGB mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft. Die Verletzung von Geschäftsgeheimnissen kann nach § 23 GeschGehG mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft werden. Ebenso kann eine Verletzung des Fernmeldegeheimnisses nach § 206 StGB mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft werden.
Wir verweisen hiermit ausdrücklich auch auf die gesetzlichen Bestimmungen der §§ 202 a - d StGB. Demnach wird das Ausspähen von Daten, das Abfangen von Daten sowie das Vorbereiten des Ausspähens und Abfangens von Daten mit Freiheitsstrafe oder Geldstrafe bestraft; gleiches gilt für die Datenhehlerei.
Sofern der Vertragspartner autorisiert ist, in eigener Verantwortung dritte Personen außerhalb des Unternehmens (z. B. Subdienstleister) in die Durchführung der Tätigkeit einzubeziehen und diese im Rahmen ihrer Tätigkeit Kenntnis von fremden Geheimnissen erlangen können, hat der Vertragspartner dafür Sorge zu tragen, dass auch diese Personen bzw. Subdienstleister unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit verpflichtet werden. Des Weiteren hat der Vertragspartner dafür Sorge zu tragen, dass diese Verpflichtungen auch für etwaige weitere Unterbeauftragungen Gültigkeit haben.
Kommt der Vertragspartner seiner Verantwortung zur Weitergabe der Geheimhaltungsverpflichtungen nicht nach, kann er sich nach § 203 Abs. 4 S. 2 Nr. 2 StGB strafbar machen, wenn dritte Personen außerhalb des Unternehmens (z. B. Subdienstleiter), die er eingeschaltet hat, ein ihnen bei Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis unbefugt offenbaren.
Der Auftraggeber weist darauf hin, dass im Hinblick auf die Tätigkeit für den Berufsgeheimnisträger ein Zeugnisverweigerungsrecht nach § 53a Strafprozessordnung (StPO) besteht. Über das Zeugnisverweigerungsrecht entscheidet der Berufsgeheimnisträger. Im Falle einer Befragung wird der Vertragspartner unter Hinweis auf § 53a StPO dieser widersprechen und unverzüglich den Auftraggeber informieren, der daraufhin bzgl. der Wahrnehmung des Schweigerechts entscheidet. Kann eine Entscheidung des Berufsgeheimnisträgers nicht in absehbarer Zeit herbeigeführt werden, empfiehlt es sich, einen Rechtsbeistand hinzuzuziehen.
Auch vermeintlich „unerhebliche“ Vorfälle sind unverzüglich zu melden, bei Sicherheitsvorfällen telefonisch an den IT-Servicedesk (von extern +49 721 974 1199) bzw. außerhalb der telefonischen Erreichbarkeitszeiten an die IT-Rufbereitschaft (von extern +49 721 974 0) und zusätzlich per E-Mail an it-servicedesk@klinikum-karlsruhe.de und informationssicherheit@klinikum-karlsruhe.de, bei Datenschutzvorfällen an die Stabsstelle Datenschutz (per E-Mail an meldestelle@klinikum-karlsruhe.de).
Eine Kopie dieser Verpflichtungserklärung wurde dem Vertragspartner ausgehändigt. Die Originalverpflichtung verbleibt beim Auftraggeber. Der Vertragspartner wurde darauf hingewiesen, dass die Gesetztestexte vor Unterzeichnung beim Auftraggeber eingesehen werden können.
_______________, den Karlsruhe, den
______________________________ ____________________________________
___________________________ Städtisches Klinikum Karlsruhe gGmbH
(Verpflichteter/ Vertragspartner) (Verpflichtender/ Auftraggeber)