Geheimhaltungsvereinbarung (NDA)

Bevor ein Dienstleister Ihre Server abbaut oder Ihre Geräteliste sieht, erfährt er vieles über Ihr Unternehmen: Standorte, Systeme, Mengen, manchmal auch Projekte. Eine Geheimhaltungsvereinbarung legt fest, was davon vertraulich bleibt. Hier lesen Sie, was in eine solche Vereinbarung gehört und wie sie sich vom Auftragsverarbeitungsvertrag unterscheidet.

Was regelt eine Geheimhaltungsvereinbarung?

Andere Bezeichnungen sind Verschwiegenheitsvereinbarung, Vertraulichkeitsvereinbarung oder Confidentiality Agreement. Gemeint ist immer dasselbe: Wer vertrauliche Informationen erhält, darf sie nicht an Dritte geben und nicht für eigene Zwecke nutzen. Es gibt einseitige NDAs, bei denen nur eine Seite Informationen preisgibt, und gegenseitige NDAs, wenn beide Seiten etwas offenlegen.

Baustein	Inhalt
Vertrauliche Informationen	Was genau geschützt ist, etwa Gerätelisten, Netzpläne, Standorte, Preise
Zweck	Wofür die Informationen genutzt werden dürfen, zum Beispiel für Angebot und Durchführung der Ausmusterung
Ausnahmen	Bereits öffentliche oder rechtmäßig anderweitig bekannte Informationen
Weitergabe	Wer intern Zugang erhält und ob Subunternehmer eingebunden werden dürfen
Laufzeit	Wie lange die Pflicht gilt, oft auch über das Vertragsende hinaus
Rückgabe und Vernichtung	Was mit Unterlagen und Dateien nach Abschluss passiert
Folgen eines Verstoßes	Etwa Schadensersatz oder eine Vertragsstrafe

Seit 2019 schützt das Geschäftsgeheimnisgesetz (GeschGehG) Informationen nur dann als Geschäftsgeheimnis, wenn der Inhaber „angemessene Geheimhaltungsmaßnahmen“ trifft. NDAs gehören zu den üblichen Maßnahmen, um das zu belegen.

NDA, AVV und Datengeheimnis: der Unterschied

Eine NDA schützt Unternehmensinformationen. Personenbezogene Daten, die ein Dienstleister in Ihrem Auftrag verarbeitet, regelt dagegen der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Bei der Datenlöschung auf ausgemusterten Geräten brauchen Sie meist beides. Daneben verpflichten Unternehmen ihre Mitarbeitenden intern zur Vertraulichkeit, oft als Verpflichtung auf das Data secrecy. Für Berufsgeheimnisträger wie Ärzte oder Anwälte gilt zusätzlich der strafrechtliche Schutz nach § 203 StGB.

Worauf Sie bei der IT-Ausmusterung achten sollten

• Zweck eng fassen: Informationen nur für die Abwicklung des Auftrags.
• Subunternehmer regeln: Wer darf die Geräte transportieren, löschen oder entsorgen? Jede weitere Partei sollte ebenfalls gebunden sein.
• Mitarbeitende einbeziehen: Der Dienstleister sollte sein Personal nachweisbar zur Vertraulichkeit verpflichten.
• Mit Nachweisen verbinden: Eine NDA ersetzt keine Löschung. Erst das Löschzertifikat je Gerät belegt, dass keine Daten mehr vorhanden sind.

Welche Fragen Sie einem Dienstleister außerdem stellen sollten, zeigt die Checkliste ITAD-Anbieter auswählen. Dieser Eintrag erklärt Begriffe und ersetzt keine Rechtsberatung.

Geheimhaltung bei Second IT

Second IT arbeitet mit individuellen Geheimhaltungsvereinbarungen (NDAs). Alle Mitarbeitenden sind auf das Datengeheimnis verpflichtet und werden regelmäßig geschult. Die Verarbeitung findet in Bereichen mit Zutrittskontrolle und Videoüberwachung statt, und Second IT ist nach ISO/IEC 27001 zertifiziert. Datenträger werden mit Blancco gelöscht oder im eigenen Haus nach DIN 66399 vernichtet, jeweils mit Zertifikat je Gerät.

Häufige Fragen zur Geheimhaltungsvereinbarung

Was ist der Unterschied zwischen NDA und Geheimhaltungsvereinbarung?

Es gibt keinen. NDA steht für Non-Disclosure Agreement und ist die englische Bezeichnung für die Geheimhaltungsvereinbarung. Auch Verschwiegenheitsvereinbarung meint dasselbe.

Ersetzt eine NDA den Auftragsverarbeitungsvertrag?

Nein. Die NDA schützt Geschäftsinformationen. Verarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag mit festgelegten Inhalten. Beide Verträge ergänzen sich.

Wie lange gilt eine Geheimhaltungsvereinbarung?

Das legen die Parteien fest. Üblich ist eine Laufzeit, die über das Ende der Zusammenarbeit hinausreicht, weil vertrauliche Informationen auch danach schutzwürdig bleiben.