Vertrag zur Auftragsverarbeitung für Varell

zwischen dem Kunden, der im Vertragsangebot über Varell genannt ist — nachfolgend „Auftraggeber“ —

und der Drillix GbR, Alter Ring 2, 02894 Reichenbach/O.L., vertreten durch die Gesellschafter Nico Groß und Marvin Beck — nachfolgend „Auftragnehmer“ —

§ 1 Gegenstand, Vertragsschluss, Rang, Begriffe#

(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die der Auftragnehmer bei der Erbringung des Diktierdienstes Varell im Auftrag des Auftraggebers vornimmt. Er legt die Pflichten nach Art. 28 der Verordnung (EU) 2016/679 (DSGVO) fest.

(2) Dieser Vertrag ist Bestandteil des Vertrags über die Nutzung von Varell nach den Allgemeinen Geschäftsbedingungen für Varell (AGB Varell), nachfolgend „Vertrag über Varell“. Er wird dem Vertragsangebot mit Versionsnummer als Datei beigefügt und kommt mit der Annahme des Angebots in Textform zustande (AGB Varell § 4 Abs. 3 und 4). Bei einem kostenlosen Test nach AGB Varell § 4a kommt er mit dem Versand des Zugangsschlüssels zustande (AGB Varell § 4a Abs. 2), bevor Daten des Auftraggebers verarbeitet werden; der E-Mail mit dem Zugangsschlüssel liegt er als Datei bei. Die Textform genügt dem elektronischen Format nach Art. 28 Abs. 9 DSGVO.

(3) Für die Verarbeitung personenbezogener Daten im Auftrag geht dieser Vertrag den AGB Varell, der Leistungsbeschreibung und der Preisliste vor. Vereinbarungen im Vertragsangebot oder in Buchungsbestätigungen ändern diesen Vertrag nur, wenn sie ausdrücklich als Änderung dieses Vertrags bezeichnet sind. Vertragsmuster oder Bedingungen des Auftraggebers zur Auftragsverarbeitung werden nur Bestandteil, soweit der Auftragnehmer ihnen in Textform ausdrücklich als Änderung dieses Vertrags zustimmt; die Freischaltung des Zugangs ist keine Zustimmung.

(4) Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung nach Art. 4 DSGVO. „Dienst“, „Software“, „Administrator“, „Nutzer“, „Lizenz“, „Werktage“ und „Formatvorgaben“ haben die Bedeutung nach AGB Varell § 1 Abs. 3. „Textform“ ist die Textform nach § 126b BGB; eine E-Mail genügt. „Inhaltsdaten“ sind Aufnahmen, Audiodateien, die ein Nutzer zur Abschrift auswählt, erkannte und geglättete Texte sowie die mit einer Anfrage übermittelten Fachwörter, Formatvorgaben, freien Vorgaben zum Stil und Spracheinstellungen.

(5) Die Anlagen 1 bis 5 sind Bestandteil dieses Vertrags. Anlage 6 gilt nur, wenn die Parteien sie gesondert vereinbaren, und nur nach Maßgabe ihres § 1 Abs. 4.

§ 2 Rollen und Pflichten des Auftraggebers#

(1) Der Auftraggeber ist Verantwortlicher, der Auftragnehmer Auftragsverarbeiter für die in Anlage 1 beschriebenen Verarbeitungen.

(2) Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die der Auftragnehmer selbst Verantwortlicher ist: Vertragsanbahnung, Verwaltung des Vertrags mit den Ansprechpartnern und Administratoren des Auftraggebers, die Kommunikation mit Nutzern und Administratoren über Störungen und Fragen zum Dienst, Rechnungen, Zahlungsabwicklung, die Geltendmachung und Abwehr von Ansprüchen aus dem Vertrag über Varell und die Erfüllung eigener gesetzlicher Pflichten. Inhaltsdaten, die einer solchen Anfrage beigefügt sind, verarbeitet der Auftragnehmer im Auftrag nach § 7 Abs. 1 Sätze 5 und 6.

(3) Der Auftragnehmer verarbeitet die Daten des Auftraggebers nicht für eigene Zwecke. Ausgenommen sind allein: a) die Monatssummen des Verbrauchs je Lizenz, die er als Grundlage seiner Abrechnung verwendet, und nach dem Ende des Vertrags über Varell die Verbrauchsdaten je Diktat, soweit er sie nach § 15 Abs. 4 Buchstabe b für die Schlussrechnung oder einen konkreten Streit über Entgelte aufbewahrt; b) Angaben zu einem einzelnen Zugang, wenn sich aus einer Meldung des Auftraggebers, eines Nutzers, eines Dritten oder eines Unterauftragsverarbeiters oder aus dem Eingreifen einer automatischen Grenze nach Anlage 2 Nr. 16 bis 18 bei diesem Zugang konkrete Anhaltspunkte für einen Missbrauch nach AGB Varell § 7 Abs. 8 oder § 16 ergeben, soweit die Angaben erforderlich sind, um über eine Sperre oder Nachberechnung zu entscheiden; eine laufende Auswertung aller Zugänge auf Missbrauch findet nicht statt; c) die Dokumentation nach § 15 Abs. 5. Für diese Verarbeitungen ist der Auftragnehmer Verantwortlicher (Anlage 1 Nr. 7). Die Informationen nach Art. 13 und 14 DSGVO dazu stellt er in seiner Datenschutzerklärung unter https://drillix.de/datenschutz/ bereit; der Auftraggeber macht sie seinen Nutzern zugänglich.

(4) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Er sorgt insbesondere dafür, dass a) eine Rechtsgrundlage für die Daten besteht, die seine Nutzer diktieren oder zur Abschrift übermitteln, auch für Daten Dritter, für beiläufig enthaltene Daten nach Art. 9 und Art. 10 DSGVO, auch soweit sie Mistral nach § 7 Abs. 3 Buchstabe e als eigenem Verantwortlichen offengelegt werden, und, soweit sie nach Anlage 1 Nr. 3 Buchstabe a zugelassen sind, für personenbezogene Daten von Kindern unter 16 Jahren; b) seine Nutzer die Grenzen nach Anlage 1 Nr. 3 Buchstabe a und AGB Varell § 15 kennen und einhalten; c) seine Beschäftigten und die in Diktaten und Audiodateien genannten oder zu hörenden Personen informiert werden, soweit das gesetzlich vorgeschrieben ist; d) eine Beschäftigtenvertretung beteiligt und eine Datenschutz-Folgenabschätzung durchgeführt wird, soweit das erforderlich ist; e) keine fremden Geheimnisse im Sinne des § 203 StGB verarbeitet werden, soweit nicht eine Freigabe nach Anlage 6 § 1 Abs. 4 wirkt (Anlage 6 § 1 Abs. 5, AGB Varell § 15 lit. e); f) Aufnahmen und Audiodateien mit nichtöffentlich gesprochenen Worten anderer Personen, etwa Mitschnitte von Besprechungen, nur mit deren Einwilligung übermittelt werden (AGB Varell § 15 lit. b); g) er dem Auftragnehmer Fehler oder Unregelmäßigkeiten, die er bei der Prüfung der Ergebnisse feststellt und die den Datenschutz betreffen, unverzüglich mitteilt.

§ 3 Gegenstand, Art und Zweck der Verarbeitung, Daten, Dauer#

(1) Gegenstand, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Die Verarbeitung dauert, solange der Vertrag über Varell besteht, bei einem Test nach AGB Varell § 4a für dessen Laufzeit und, wenn der Testzugang nach AGB Varell § 4a Abs. 7 übernommen wird, für die Laufzeit des anschließenden Vertrags. Sie dauert darüber hinaus bis zum Abschluss von Rückgabe und Löschung nach § 15, bei einem Test ohne Übernahme nach AGB Varell § 4a Abs. 12. Die Speicherfristen der einzelnen Datenarten ergeben sich aus Anlage 1 Nr. 8.

§ 4 Weisungen#

(1) Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, auch hinsichtlich der Übermittlung in ein Drittland, es sei denn, er ist nach dem Recht der Union oder des Mitgliedstaats, dem er unterliegt, hierzu verpflichtet. Die anfänglichen Weisungen ergeben sich aus diesem Vertrag mit seinen Anlagen und aus den Einstellungen, die Nutzer und Administratoren in der Software vornehmen.

(2) Weitere Weisungen erteilen die in Anlage 5 benannten weisungsberechtigten Personen und die Administratoren im dort bestimmten Umfang (AGB Varell § 5 Abs. 3) in Textform; für die Herausgabe von Verbrauchsdaten je Diktat mit Zeitpunkt gilt § 8 Abs. 1 Satz 4. Solange Anlage 5 keine weisungsberechtigte Person nennt, sind das die zur gesetzlichen Vertretung des Auftraggebers berechtigten Personen. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform.

(3) Besteht eine Verpflichtung nach Absatz 1 Satz 1, teilt der Auftragnehmer sie dem Auftraggeber vor der Verarbeitung mit, sofern das betreffende Recht die Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(4) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies dem Auftraggeber unverzüglich in Textform mit Begründung mit. Eine Weisung, die er mit nachvollziehbarer Begründung für rechtswidrig hält, muss er nicht ausführen, bis der Auftraggeber sie ändert. Besteht der Auftraggeber auf ihr, kann jede Partei den Vertrag über Varell nach § 17 kündigen; bis dahin gilt die bisherige Weisung.

(5) Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, führt der Auftragnehmer aus, soweit sie sich im gemeinsamen Dienst für alle Kunden umsetzen lassen, ihm zumutbar sind und diesem Vertrag nicht widersprechen; andernfalls teilt er das dem Auftraggeber unverzüglich in Textform mit Begründung mit, und Absatz 4 Satz 3 gilt entsprechend. Er teilt den voraussichtlichen Mehraufwand vorher in Textform mit; der Auftraggeber vergütet ihn mit 85 € je Stunde (gemäß § 19 UStG wird keine Umsatzsteuer berechnet). Keine Vergütung fällt für Weisungen an, die Rechtsverstöße im Verantwortungsbereich des Auftragnehmers verhindern oder beseitigen.

(6) Beide Parteien dokumentieren erteilte Weisungen und bewahren die Dokumentation für die Dauer des Vertrags und drei weitere Kalenderjahre auf.

§ 5 Vertraulichkeit#

(1) Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die er zuvor zur Vertraulichkeit verpflichtet und mit den Anforderungen des Datenschutzes vertraut gemacht hat, und gewährt ihnen Zugang zu personenbezogenen Daten nur, soweit das für ihre Aufgabe unbedingt erforderlich ist. Das gilt auch für die Gesellschafter. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

(2) Die befugten Personen sind in Anlage 5 aufgeführt. Der Auftragnehmer weist die Verpflichtungen auf Verlangen in Textform nach.

§ 6 Technische und organisatorische Maßnahmen#

(1) Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, mindestens die in Anlage 2 beschriebenen.

(2) Der Auftragnehmer darf die Maßnahmen an den Stand der Technik anpassen. a) Maßnahmen, die das Schutzniveau erhöhen, und dringende Maßnahmen zur Abwehr einer Gefahr für die Sicherheit der Daten darf er ohne Zustimmung sofort einführen. Er vermerkt sie in Anlage 2 und teilt sie mit der nächsten Fassung der Anlage 2, spätestens drei Monate nach der Einführung, in Textform mit. Den Ersatz einer Maßnahme durch eine andere, die dasselbe Schutzziel mindestens gleich wirksam erreicht, teilt er mindestens 14 Tage vorher in Textform mit; wendet der Auftraggeber begründet ein, dass die Schutzwirkung geringer ist, gilt Buchstabe b. Die Buchstaben c und d bleiben unberührt. b) Andere wesentliche Änderungen, insbesondere die Verringerung der Protokollierung, ein Wechsel des Serverstandorts innerhalb Deutschlands oder die Ablösung eines Verschlüsselungsverfahrens, teilt er mindestens vier Wochen vorher in Textform mit. Der Auftraggeber kann innerhalb von 14 Tagen nach Zugang widersprechen. Nach einem Widerspruch setzt der Auftragnehmer die Änderung frühestens sechs Wochen nach Zugang der Mitteilung um; der Auftraggeber kann den Vertrag über Varell bis dahin nach § 17 zum Zeitpunkt der Umsetzung kündigen. c) Eine Absenkung des Schutzniveaus ist nur mit ausdrücklicher Zustimmung des Auftraggebers zulässig. d) Eine Erweiterung der verarbeiteten oder protokollierten Datenarten, eine Verlängerung von Speicherfristen, ein Serverstandort außerhalb Deutschlands und Änderungen der Anlage 4 sind nur nach § 18 zulässig.

(3) Der Auftragnehmer überprüft die Wirksamkeit der Maßnahmen mindestens einmal jährlich sowie nach Verletzungen nach § 13 und nach erheblichen Sicherheitsvorfällen. Er dokumentiert die Maßnahmen, die zugrunde liegende Risikoeinschätzung und die Ergebnisse der Überprüfungen und legt die Dokumentation nach § 10 vor.

§ 7 Inhaltsdaten#

(1) Der Auftragnehmer verarbeitet Inhaltsdaten nur, um Aufnahmen und zur Abschrift ausgewählte Audiodateien in Text umzuwandeln, den Text nach den Einstellungen des Nutzers zu glätten und das Ergebnis an die Software des Nutzers zurückzugeben. Er speichert Inhaltsdaten nicht über die Dauer dieser Verarbeitung hinaus und schreibt sie nicht in Datenbanken; in seltenen Fehlerfällen kann erkannter Text in das Protokoll des Dienstes gelangen, das nach den Fristen der Anlage 1 gelöscht wird; die Sätze 5 und 6 bleiben unberührt. Während der Verarbeitung liegen sie im Arbeitsspeicher des Servers vor; die befugten Personen sehen sie nicht ein und werten sie nicht aus. Eine Fehlersuche mit Inhaltsdaten findet nur auf Weisung des Auftraggebers in Textform im Einzelfall statt. Fügen Nutzer oder Administratoren einer Anfrage an den Auftragnehmer Inhaltsdaten bei, etwa Texte, Aufnahmen oder Bildschirmfotos mit diktiertem Text, verwendet der Auftragnehmer sie nur zur Beantwortung dieser Anfrage und zu keinem anderen Zweck; insoweit gilt dieser Vertrag als Weisung. Er löscht sie nach Abschluss der Anfrage, spätestens 30 Tage nach ihrem Eingang, auch aus dem Postfach und bewahrt sie nicht mit der übrigen Kommunikation auf.

(2) Der Auftragnehmer verwendet Inhaltsdaten nicht zum Training oder zur Verbesserung von KI-Modellen und nicht für Statistiken. Er erkennt keine Sprecher, legt keine Stimmprofile an und leitet aus Aufnahmen oder Texten keine Emotionen, Stimmungen, Leistungs- oder Verhaltensmerkmale ab.

(3) Für die Verarbeitung durch den Unterauftragsverarbeiter Mistral AI SAS (Anlage 3) gilt: a) Der Auftragnehmer hält für die Organisation, deren Zugang der Dienst verwendet, die Null-Datenspeicherung (Zero Data Retention) eingeschaltet und die Nutzung von Daten zum Training abgeschaltet. Der Stand bei Vertragsschluss ist in Anlage 3 angegeben. b) Der Auftragnehmer nutzt nur Schnittstellen, für die die Null-Datenspeicherung gilt, keine Labs- oder Vorschaumodelle und keine Funktionen zur Speicherung von Dateien, Stapelverarbeitung, Agenten oder Konversationen. Er übermittelt keine Bewertungen oder sonstiges Feedback an Mistral. c) Der Auftragnehmer prüft die Einstellungen nach Buchstabe a und die Bedingungen von Mistral in jedem Kalendermonat und hält das Ergebnis mit Datum fest. d) Entfällt eine Einstellung nach Buchstabe a oder schränkt Mistral sie ein, unterrichtet der Auftragnehmer den Auftraggeber unverzüglich, spätestens 48 Stunden nach Kenntnis, in Textform; stellt er eine Änderung der Bedingungen von Mistral zu Vertraulichkeit, Speicherung, Training, eigenen Zwecken von Mistral oder Ort der Verarbeitung fest, unverzüglich, spätestens fünf Werktage nach Kenntnis. § 13 Abs. 1 Satz 2 gilt für die Kenntnis entsprechend. Auf Weisung des Auftraggebers setzt der Auftragnehmer die Übermittlung für dessen Nutzer aus. Sehen die Bedingungen von Mistral einen Widerspruch gegen eine nachteilige Änderung vor, erhebt der Auftragnehmer ihn auf Weisung des Auftraggebers fristgerecht, sofern die Weisung so rechtzeitig zugeht, dass er die Frist wahren kann, und der Widerspruch die weitere Nutzung von Mistral für den Dienst nicht ausschließt. Der Auftraggeber kann nach § 17 kündigen, sofort, wenn eine Einstellung nach Buchstabe a entfallen oder eingeschränkt ist, im Übrigen, wenn der Auftragnehmer den Anlass nicht innerhalb eines Monats nach der Unterrichtung behebt oder ausgleicht. e) Nach ihren Bedingungen verarbeitet Mistral personenbezogene Daten in bestimmten Fällen als eigener Verantwortlicher: zum Training, solange es nicht abgeschaltet ist; bei Feedback; zur Überwachung von Missbrauch, solange die Null-Datenspeicherung nicht aktiviert ist; zur automatisierten Moderation zur Durchsetzung ihrer Bedingungen; zu zusammengefassten Nutzungsstatistiken ohne Kundendaten. Mit den Einstellungen und Pflichten nach den Buchstaben a und b entfallen nach diesen Bedingungen das Training, die Nutzung von Feedback und die Überwachung von Missbrauch. Die automatisierte Moderation behält sich Mistral auch bei aktivierter Null-Datenspeicherung vor; nach der Dokumentation von Mistral zur Null-Datenspeicherung werden Ein- und Ausgaben dann nicht über die Beantwortung der Anfrage hinaus gespeichert. Insoweit legt der Auftraggeber Inhaltsdaten gegenüber Mistral als eigenem Verantwortlichen offen und braucht dafür eine eigene Rechtsgrundlage; das gilt auch für darin enthaltene Daten nach Art. 9 und Art. 10 DSGVO. Außerdem räumen die Bedingungen von Mistral ein Recht ein, Kundendaten und Ergebnisse zur Bereitstellung, Wartung und Optimierung der Produkte von Mistral einschließlich Fehlersuche zu nutzen, ausdrücklich ohne Training; wie weit das bei aktivierter Null-Datenspeicherung über die Beantwortung der Anfrage hinausgeht, legen die Bedingungen nicht ausdrücklich fest.

(4) Die Software speichert auf den Geräten der Nutzer die in Anlage 1 Nr. 4 und 5 beschriebenen Daten. Diese Geräte betreibt der Auftraggeber; der Auftragnehmer hat darauf keinen Zugriff (AGB Varell § 14 Abs. 3).

§ 8 Nutzerdaten und Beschäftigte#

(1) Welche Daten über Nutzer beim Auftragnehmer und auf den Geräten der Nutzer entstehen, wie lange sie gespeichert werden und wer sie einsehen kann, beschreibt Anlage 1 Nr. 4. Administratoren des Auftraggebers erhalten über den Verbrauch der Nutzer auf Anfrage in Textform die Monatssummen je Lizenz, keine Einzeldiktate und keine Uhrzeiten; Verbrauchsdaten je Diktat mit Zeitpunkt erhalten sie nur nach Satz 4. Zur Prüfung einer Rechnung stellt der Auftragnehmer dem Auftraggeber, auch auf Verlangen eines Administrators, die Zahl der Diktate und die angerechnete Dauer je Lizenz und Kalendertag ohne Uhrzeiten bereit, solange diese Einzeldaten gespeichert sind. Verbrauchsdaten je Diktat mit Zeitpunkt gibt der Auftragnehmer nur auf Weisung in Textform heraus, die eine zur gesetzlichen Vertretung des Auftraggebers berechtigte Person oder eine in Anlage 5 ausdrücklich dafür benannte Person erteilt und die den Anlass nennt, etwa die Rückgabe nach § 15 oder die Beantwortung eines Auskunftsantrags nach § 14. Der Auftragnehmer kann einen Nachweis der Vertretungsbefugnis verlangen, dokumentiert jede solche Herausgabe mit anweisender Person, Zeitpunkt und Anlass (§ 15 Abs. 5) und bestätigt sie in Textform der anweisenden Person und der Meldeadresse nach Anlage 5. Der Auftraggeber ist Verantwortlicher; welche Einsicht er seinen Administratoren und Vorgesetzten gibt und wofür er die Daten verwendet, regelt er selbst, gegebenenfalls in einer Vereinbarung mit seiner Beschäftigtenvertretung.

(2) Der Auftragnehmer wertet Nutzerdaten nicht aus, um Leistung oder Verhalten einzelner Nutzer zu bewerten oder zu vergleichen, und übermittelt dem Auftraggeber keine Auswertungen über einzelne Nutzer. Bestehen konkrete Anhaltspunkte für den Missbrauch eines Zugangs (§ 2 Abs. 3 Buchstabe b), unterrichtet er den Auftraggeber nur über den betroffenen Zugang und den Anlass.

(3) Will der Auftragnehmer weitere Daten über Nutzer erheben, auch durch die Software auf den Geräten der Nutzer, Einsichtsmöglichkeiten erweitern oder neue Auswertungen anbieten, teilt er dies mindestens vier Wochen vorher in Textform mit, damit der Auftraggeber eine Beschäftigtenvertretung beteiligen kann. Die Änderung bedarf der Zustimmung nach § 18. Keine solche Änderung ist der Wechsel auf eine andere Fassung der Software, deren Daten Anlage 1 Nr. 4 und 5 in der vereinbarten Fassung bereits beschreibt.

(4) Fragen des Auftraggebers, seiner Beschäftigtenvertretung oder eines von ihr hinzugezogenen Sachverständigen beantwortet der Auftragnehmer in Textform, ohne Inhaltsdaten.

§ 9 Unterauftragsverarbeiter#

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter einzusetzen. Genehmigt sind bei Vertragsschluss die in Anlage 3 Teil A genannten Unterauftragsverarbeiter und die in Anlage 3 Teil B genannten Unterauftragsverarbeiter dieser Unternehmen.

(2) Der Auftragnehmer wählt Unterauftragsverarbeiter sorgfältig aus, vereinbart mit ihnen Datenschutzpflichten, die den Pflichten aus diesem Vertrag im Wesentlichen entsprechen, und stellt sicher, dass sie die Pflichten erfüllen, denen er nach diesem Vertrag und der DSGVO unterliegt; er haftet dafür nach § 16 Abs. 4. Er prüft mindestens jährlich anhand ihrer Berichte und Zertifikate, ob sie diese Pflichten erfüllen. Wo die Bedingungen eines Unterauftragsverarbeiters hinter diesem Vertrag zurückbleiben, führt Anlage 3 die Abweichung und den Ausgleich durch den Auftragnehmer auf. Der Auftragnehmer weist die maßgeblichen Bedingungen auf Verlangen nach und teilt dem Auftraggeber ihm bekannte Pflichtverletzungen eines Unterauftragsverarbeiters mit, die dessen Daten betreffen.

(3) Eigene Änderungen. Will der Auftragnehmer einen Unterauftragsverarbeiter nach Anlage 3 Teil A hinzuziehen oder ersetzen, unterrichtet er den Auftraggeber mindestens vier Wochen vor dem Einsatz in Textform. Die Unterrichtung nennt Firma, Rechtsform, Anschrift, Tätigkeit, Ort der Verarbeitung, Grundlage einer Drittlandübermittlung, Datum des Einsatzes und die Folgen eines ausbleibenden Einspruchs. § 12 Abs. 2 Satz 4 bleibt unberührt.

(4) Änderungen bei Unterauftragsverarbeitern. a) Kündigt ein Unterauftragsverarbeiter nach Anlage 3 Teil A dem Auftragnehmer vorab an, dass er einen weiteren Unterauftragsverarbeiter hinzuziehen oder ersetzen will, leitet der Auftragnehmer die Ankündigung innerhalb von zwei Werktagen nach Zugang an der dafür hinterlegten Adresse (§ 13 Abs. 1 Satz 2), jedenfalls vor dem angekündigten Einsatz, mit den Angaben nach Absatz 3, soweit bekannt, an den Auftraggeber weiter. Nennt der Auftraggeber datenschutzrechtliche Gründe so rechtzeitig, dass der Auftragnehmer die Frist wahren kann, die ihm der Unterauftragsverarbeiter lässt, erhebt der Auftragnehmer dort fristgerecht Einspruch, sofern der Einspruch die weitere Nutzung dieses Unterauftragsverarbeiters für den Dienst nicht ausschließt; andernfalls teilt er das dem Auftraggeber unverzüglich mit, und Absatz 5 gilt. Die Weiterleitung nennt den Tag, bis zu dem die Gründe beim Auftragnehmer eingehen müssen. b) Änderungen, die ein Unterauftragsverarbeiter nicht vorab ankündigt, insbesondere neue Orte bestehender Unterauftragsverarbeiter, kann der Auftragnehmer nicht vorab steuern. Er bezieht die Mitteilungen dieser Unternehmen, gleicht ihre veröffentlichten Listen in jedem Kalendermonat ab und unterrichtet den Auftraggeber unverzüglich, spätestens fünf Werktage nach Kenntnis.

(5) Einspruch. Der Auftraggeber kann innerhalb von 14 Tagen nach Zugang einer Unterrichtung nach Absatz 3, 4 oder 7 in Textform Einspruch erheben; eine Begründung ist nicht erforderlich. Ab Zugang des Einspruchs gilt: a) Bei einer Änderung nach Absatz 3 übermittelt der Auftragnehmer Daten des Auftraggebers nicht an den neuen Unterauftragsverarbeiter. Lässt sich das technisch nicht trennen, setzt er die betroffene Verarbeitung für den Auftraggeber ab dem Tag des Einsatzes aus. b) Bei einer Änderung nach Absatz 4 oder 7 kann der Auftraggeber mit dem Einspruch oder jederzeit danach anweisen, die betroffene Verarbeitung für ihn auszusetzen; der Auftragnehmer setzt unverzüglich aus, spätestens am Werktag nach Zugang der Weisung. c) Nennt der Auftraggeber datenschutzrechtliche Gründe, prüft der Auftragnehmer Abhilfe, etwa den Verzicht auf eine Funktion, einen anderen Endpunkt oder einen anderen Anbieter, und teilt das Ergebnis vor dem Tag des Einsatzes, spätestens zwei Wochen nach Zugang des Einspruchs, in Textform mit. d) Teilt der Auftragnehmer keine Abhilfe mit oder bis zum Ablauf der Frist nach Buchstabe c kein Ergebnis, kann der Auftraggeber nach § 17 kündigen. Einen Anspruch darauf, dass der Auftragnehmer eine Änderung nach Absatz 4 bei einem Unterauftragsverarbeiter verhindert, hat der Auftraggeber nicht. e) Eine Aussetzung nach Buchstabe a oder b endet, wenn Abhilfe vereinbart ist, der Auftraggeber den Einspruch in Textform zurücknimmt oder der Vertrag über Varell endet. f) Betrifft eine Aussetzung das Postfach nach Anlage 3 Teil A, erfolgen Meldungen, Unterrichtungen und Erklärungen nach diesem Vertrag in dieser Zeit auf einem anderen Weg in Textform; § 13 Abs. 2 bleibt unberührt.

(6) Erhebt der Auftraggeber keinen Einspruch, gilt der Einsatz als genehmigt. Das ist die Ausübung der Genehmigung nach Absatz 1 und keine Änderung dieses Vertrags oder der AGB Varell. Der Auftragnehmer weist in jeder Unterrichtung darauf hin. Für den Wechsel von Unterauftragsverarbeitern gehen dieser Paragraph und § 17 der Regelung in AGB Varell § 12 Abs. 4 vor.

(7) Notfall. Fällt ein Unterauftragsverarbeiter dauerhaft oder voraussichtlich länger als fünf Werktage aus, besteht eine akute Gefahr für die Sicherheit der Daten oder entfällt eine Grundlage nach § 12, darf der Auftragnehmer ohne die Frist nach Absatz 3 auf einen in Anlage 3 Teil A als Ersatz benannten Anbieter wechseln. Ist kein Ersatz benannt, setzt er die betroffene Verarbeitung aus. Er unterrichtet den Auftraggeber unverzüglich. Das Einspruchsrecht nach Absatz 5 bleibt bestehen. Dauert eine Aussetzung nach Satz 2 länger als einen Monat, kann der Auftraggeber nach § 17 kündigen.

(8) Kein Unterauftragsverhältnis liegt bei Leistungen vor, bei denen der Dienstleister keinen Zugang zu Daten des Auftraggebers erhält, insbesondere reine Telekommunikations- und Transportleistungen, Ausstellung von Zertifikaten, Namensauflösung und Bau und Signatur der Software. Ein Postfach, in dem E-Mails mit Daten des Auftraggebers gespeichert werden, ist keine solche Leistung.

§ 10 Nachweise und Kontrollen#

(1) Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen.

(2) Unabhängig von Absatz 3 stellt der Auftragnehmer insbesondere bereit: a) die aktuelle Anlage 2 mit der Dokumentation nach § 6 Abs. 3; b) Antworten auf einen Fragebogen des Auftraggebers innerhalb von vier Wochen, bei mehr als einem Fragebogen je Kalenderjahr ohne Anlass innerhalb von acht Wochen; c) datierte Nachweise zu § 7 Abs. 3 Buchstaben a und c; d) die geltenden Fassungen der Bedingungen der Unterauftragsverarbeiter sowie deren Prüfberichte und Zertifikate, soweit der Auftragnehmer sie weitergeben darf; darf er das nicht, nennt er die vorhandenen Unterlagen und teilt ihren wesentlichen Inhalt mit, soweit das zulässig ist; e) die Verpflichtungen nach § 5.

(3) Der Auftraggeber oder ein von ihm beauftragter Prüfer kann darüber hinaus in angemessenen Abständen sowie jederzeit bei Anhaltspunkten für Pflichtverletzungen Inspektionen durchführen. Der Auftraggeber kündigt sie mit angemessener Frist an, in der Regel vier Wochen, bei einem Anlass nach § 13 oder auf Anordnung einer Aufsichtsbehörde fünf Werktage, es sei denn, der Zweck der Inspektion würde dadurch gefährdet. Inspektionen finden an Werktagen zu üblichen Geschäftszeiten statt und wahren Betriebsgeheimnisse des Auftragnehmers und Daten anderer Kunden.

(4) Der Auftragnehmer verarbeitet Daten von Arbeitsplätzen in Wohnräumen der Gesellschafter und auf einem Server im Rechenzentrum eines Unterauftragsverarbeiters. Zutritt zu Wohnräumen schuldet der Auftragnehmer nicht. An dessen Stelle prüft der Auftraggeber die Arbeitsgeräte und die Serverkonfiguration nach seiner Wahl im Wege einer Fernprüfung mit Bildschirmfreigabe oder vor Ort an einem vom Auftragnehmer benannten Ort im Landkreis Görlitz oder an einem anderen vom Auftraggeber bestimmten Ort in Deutschland gegen Erstattung der Reisekosten. Die Geräte bleiben dabei in der Hand eines Gesellschafters; Zugangsdaten und Daten anderer Kunden sieht der Prüfer nicht ein. Genügt dem Auftraggeber das nicht, kann er nach § 17 kündigen. Zutritt zu Räumen der Unterauftragsverarbeiter kann der Auftragnehmer nicht gewähren; es gilt Absatz 7.

(5) Der Auftraggeber beauftragt keinen Prüfer, der mit dem Auftragnehmer in unmittelbarem Wettbewerb steht. Er verpflichtet den Prüfer zur Vertraulichkeit, soweit dieser nicht gesetzlich zur Verschwiegenheit verpflichtet ist. Prüfergebnisse darf der Auftraggeber der zuständigen Aufsichtsbehörde vorlegen. Beide Parteien legen der zuständigen Aufsichtsbehörde die Nachweise nach diesem Paragraphen einschließlich der Prüfergebnisse auf Anfrage vor.

(6) Unterlagen nach Absatz 2 stellt der Auftragnehmer kostenfrei bereit. Für seinen Aufwand bei Inspektionen nach Absatz 3 kann er eine Vergütung von 85 € je Stunde verlangen. Er teilt den voraussichtlichen Aufwand vorher in Textform mit; ohne Zustimmung des Auftraggebers werden höchstens acht Stunden je Inspektion berechnet. Keine Vergütung fällt an, wenn die Inspektion wegen einer Verletzung nach § 13 oder auf Anordnung einer Aufsichtsbehörde stattfindet oder einen Verstoß des Auftragnehmers oder eines Unterauftragsverarbeiters bestätigt.

(7) Auf Verlangen des Auftraggebers macht der Auftragnehmer seine eigenen Prüfrechte gegenüber Unterauftragsverarbeitern in dem Umfang geltend, den diese einräumen (Anlage 3), und gibt die Ergebnisse weiter, soweit das zulässig ist. Kosten, die ein Unterauftragsverarbeiter dafür berechnet, trägt der Auftraggeber nach vorheriger Kostenschätzung in Textform, nicht jedoch, wenn die Prüfung einen Verstoß bestätigt.

§ 11 Betriebsdaten#

(1) Der Auftragnehmer bietet keine Verdichtung von Betriebsdaten zu anonymen Statistiken an und erfasst dafür keine Betriebsdaten. Angaben wie die Dauer einer Aufnahme, Bearbeitungszeiten und Fehlerarten entstehen als Teil der Verbrauchs- und Protokolldaten nach Anlage 1 Nr. 3 Buchstaben c und d; für sie gelten die dort genannten Zwecke und die Fristen nach Anlage 1 Nr. 8, und der Auftragnehmer verdichtet sie nicht.

(2) Anlage 4 ändert sich nur nach § 18.

§ 12 Drittländer#

(1) Der Auftragnehmer betreibt den Dienst auf Servern in Deutschland. Die Orte der Verarbeitung durch Unterauftragsverarbeiter und die Grundlagen von Übermittlungen in Drittländer ergeben sich je Empfänger aus Anlage 3.

(2) Der Auftraggeber weist Übermittlungen an die in Anlage 3 genannten Empfänger auf den dort je Empfänger genannten Grundlagen an. Die Unterlagen zur Bewertung dieser Übermittlungen stellt der Auftragnehmer auf Anfrage bereit, soweit der Unterauftragsverarbeiter sie liefert. Neue Empfänger oder Orte außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums bei Unterauftragsverarbeitern nach Anlage 3 Teil B und neue Orte außerhalb dieses Gebiets, die ein eingesetzter Unterauftragsverarbeiter nach Anlage 3 Teil A ohne Zutun des Auftragnehmers festlegt, behandelt der Auftragnehmer wie eine Änderung nach § 9 Abs. 4. Einen Unterauftragsverarbeiter nach Anlage 3 Teil A, der Daten des Auftraggebers außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums verarbeitet oder dorthin übermittelt, setzt der Auftragnehmer nur mit Zustimmung nach § 18 neu ein; ein in Anlage 3 Teil A benannter Ersatzanbieter (§ 9 Abs. 7) gilt mit den dort genannten Orten und Grundlagen als genehmigt.

(3) Wird ein Angemessenheitsbeschluss, auf dem eine Übermittlung beruht, aufgehoben, ausgesetzt oder für ungültig erklärt, ordnet eine Aufsichtsbehörde die Aussetzung einer Übermittlung an oder teilt ein Unterauftragsverarbeiter mit, dass er seine Pflichten nicht mehr erfüllen kann, so a) unterrichtet der Auftragnehmer den Auftraggeber unverzüglich, spätestens fünf Werktage nach Kenntnis, über die betroffenen Unterauftragsverarbeiter, Datenarten und geplanten Schritte; b) stellt der Auftragnehmer die Übermittlung auf eine andere zulässige Grundlage um, verzichtet auf die betroffene Funktion oder wechselt den Anbieter nach § 9; c) setzt der Auftragnehmer die Übermittlung aus, solange keine zulässige Grundlage besteht.

(4) Der Auftraggeber kann in den Fällen des Absatzes 3 die Aussetzung der Verarbeitung für seine Nutzer anweisen. Steht sechs Wochen nach der Unterrichtung nach Absatz 3 Buchstabe a keine zulässige Lösung fest, kann er nach § 17 kündigen.

§ 13 Verletzungen des Schutzes personenbezogener Daten#

(1) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten des Auftraggebers unverzüglich, spätestens innerhalb von 48 Stunden, nachdem er davon Kenntnis erlangt hat. Die Meldung eines Unterauftragsverarbeiters steht der Kenntnis gleich, sobald sie an der Adresse gelesen ist, die der Auftragnehmer dafür beim Unterauftragsverarbeiter hinterlegt hat, spätestens mit Ablauf des Kalendertags nach ihrem Zugang dort; der Auftragnehmer hinterlegt nur Adressen, die an jedem Kalendertag gelesen werden, und regelt die Vertretung bei Abwesenheit. Die Höchstfrist ändert nichts an der Pflicht, so früh wie möglich zu melden.

(2) Die Meldung erfolgt in Textform an die Meldeadresse des Auftraggebers nach Anlage 5. Solange Anlage 5 keine Meldeadresse nennt, meldet der Auftragnehmer an die im Vertrag über Varell genannten Ansprechpartner und an die E-Mail-Adresse für Rechnungen. Ist eine dieser Adressen nicht zustellbar, meldet der Auftragnehmer zusätzlich an alle Administratoren und telefonisch.

(3) Die Meldung enthält, soweit bekannt, eine Beschreibung der Art der Verletzung mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze, eine Kontaktstelle, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Fehlende Angaben liefert der Auftragnehmer nach, sobald sie vorliegen; die Meldung wird deswegen nicht zurückgehalten.

(4) Der Auftragnehmer ergreift unverzüglich die Maßnahmen, die zur Sicherung der Daten und zur Minderung nachteiliger Folgen erforderlich sind, dokumentiert den Vorfall und unterstützt den Auftraggeber bei dessen Pflichten nach Art. 33 und 34 DSGVO. Meldungen an Aufsichtsbehörden und Benachrichtigungen betroffener Personen nimmt der Auftragnehmer nur auf Weisung des Auftraggebers vor.

(5) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde, die dessen Daten betreffen, und über eine Gefährdung dieser Daten durch Beschlagnahme, Pfändung oder Insolvenz, soweit ihm das nicht untersagt ist.

(6) Für Sicherheitsvorfälle ohne Verletzung des Schutzes personenbezogener Daten gilt AGB Varell § 12 Abs. 6.

§ 14 Unterstützung#

(1) Wendet sich eine betroffene Person an den Auftragnehmer, leitet er das Anliegen unverzüglich, spätestens innerhalb von drei Werktagen, an den Auftraggeber weiter und wird ohne Weisung nicht selbst tätig.

(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung aller Rechte betroffener Personen nach Kapitel III DSGVO, insbesondere durch Auskunft, Berichtigung, Löschung, Einschränkung, Mitteilung und Bereitstellung der bei ihm gespeicherten Daten nach Anlage 1 Nr. 3 Buchstaben b bis e, soweit sie einer Person zuordenbar sind. Inhaltsdaten liegen beim Auftragnehmer nach der Verarbeitung nicht vor, außer in Anfragen nach § 7 Abs. 1 Satz 5 bis zu ihrer Löschung.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei dessen Pflichten nach Art. 32 bis 36 DSGVO, insbesondere mit einer Beschreibung des Dienstes, des Datenflusses, der Unterauftragsverarbeiter und der Maßnahmen nach Anlage 2 für eine Datenschutz-Folgenabschätzung.

(4) Stellt der Auftragnehmer fest, dass bei ihm gespeicherte Daten unrichtig sind, unterrichtet er den Auftraggeber unverzüglich.

(5) Kostenfrei sind die Weiterleitung nach Absatz 1, die Bereitstellung von Daten nach Absatz 2 über die dafür vorgesehenen Funktionen oder, solange es sie nicht gibt, in Textform, die Beschreibung nach Absatz 3 einschließlich einer Vorlage für die Prüfung der Pflicht zur Datenschutz-Folgenabschätzung und für die Bewertung der Risiken beim Auftragnehmer und seinen Unterauftragsverarbeitern, die Unterrichtung nach Absatz 4 sowie jede Unterstützung, die wegen eines Verstoßes des Auftragnehmers oder eines Unterauftragsverarbeiters gegen diesen Vertrag oder die DSGVO nötig wird. Für darüber hinausgehende Mitwirkung an einer Datenschutz-Folgenabschätzung oder an einer vorherigen Konsultation der Aufsichtsbehörde, insbesondere an Terminen, kann der Auftragnehmer nach vorheriger Mitteilung des voraussichtlichen Aufwands in Textform eine Vergütung von 85 € je Stunde verlangen. § 4 Abs. 5 und § 10 Abs. 6 Satz 1 bleiben unberührt.

§ 15 Rückgabe und Löschung#

(1) Inhaltsdaten liegen beim Auftragnehmer nach der Verarbeitung nicht mehr vor, außer in Anfragen nach § 7 Abs. 1 Satz 5 bis zu ihrer Löschung nach § 7 Abs. 1 Satz 6. Bei Mistral werden sie bei aktivierter Null-Datenspeicherung nicht über die Anfrage hinaus gespeichert. Entfällt diese, gelten die Aufbewahrungs- und Löschfristen von Mistral, die der Auftragnehmer nicht je Auftraggeber verkürzen kann; § 7 Abs. 3 Buchstabe d gilt.

(2) Die übrigen Daten nach Anlage 1 Nr. 3, die einem Zugang oder dem Kundenkonto des Auftraggebers zugeordnet sind, gibt der Auftragnehmer nach Wahl des Auftraggebers zurück oder löscht sie. Zurückgegeben werden die Daten nach AGB Varell § 22 Abs. 5, insbesondere die Nutzerdaten und die Verbrauchsdaten je Lizenz als Monatssummen und, solange die Einzeldaten gespeichert sind, als Zahl der Diktate und angerechnete Dauer je Kalendertag ohne Uhrzeit; Verbrauchsdaten je Diktat mit Zeitpunkt gibt der Auftragnehmer nur auf Weisung nach § 8 Abs. 1 Satz 4 heraus. Die Rückgabe erfolgt als Export nach AGB Varell § 22 Abs. 7 in einem strukturierten, gängigen und maschinenlesbaren Format und ist kostenfrei; der Abruf der Daten verlängert den Vertrag über Varell nicht und löst kein weiteres Entgelt aus. Zugangsschlüssel werden nicht zurückgegeben, sondern gelöscht (AGB Varell § 22 Abs. 6 und 7). Protokolldaten nach Anlage 1 Nr. 3 Buchstabe d sind keinem Auftraggeber zugeordnet; der Auftragnehmer löscht sie nach ihren Fristen in Anlage 1 Nr. 8. Der Auftraggeber kann seine Wahl bis zu dem Zeitpunkt nach AGB Varell § 22 Abs. 1 treffen oder, solange die Daten nicht auf seine Wahl hin gelöscht sind, ändern. Trifft er keine Wahl, stellt der Auftragnehmer die Daten nach AGB Varell § 22 Abs. 7 zum Abruf bereit.

(3) Der Auftragnehmer löscht die Daten nach Absatz 2 einschließlich aller Kopien und der technischen Prüfwerte unverzüglich nach Ende des Abrufzeitraums nach AGB Varell § 22 Abs. 7, spätestens nach sieben Kalendertagen. Hat der Auftraggeber nur die Löschung gewählt, beginnt die Frist mit dem Ende des Vertrags über Varell, frühestens mit dem Zugang der Wahl. Protokolldaten, die keinem Zugang zugeordnet sind, löscht er nach ihren Fristen in Anlage 1 Nr. 8.

(4) Von der Löschung ausgenommen sind die folgenden Daten, die der Auftragnehmer als eigener Verantwortlicher aufbewahrt (§ 2 Abs. 3): a) Rechnungen, die Monatssummen des Verbrauchs je Lizenz und die übrigen Grundlagen seiner Rechnungen, soweit sie Buchungsbelege sind, für die Fristen nach § 147 AO und § 14b UStG; b) Verbrauchsdaten je Diktat, soweit sie für die Schlussrechnung oder einen konkreten Streit über Entgelte erforderlich sind, bis drei Monate nach Stellung der Schlussrechnung oder bis zum Abschluss des Streits; c) Angaben nach § 2 Abs. 3 Buchstabe b und die Dokumentation nach Absatz 5 mit den Fristen nach Anlage 1 Nr. 8. Ihre Verarbeitung ist auf den jeweiligen Zweck beschränkt.

(5) Die Dokumentation der Auftragsverarbeitung, insbesondere zu Weisungen, Vorfällen und Löschungen, verarbeitet der Auftragnehmer als eigener Verantwortlicher zum Nachweis seiner Pflichten; dazu gehören auch Herausgaben nach § 8 Abs. 1 Satz 4. Sie enthält keine Inhaltsdaten, bezeichnet Nutzer nur mit einer internen Kennung und wird drei Kalenderjahre nach Vertragsende gelöscht.

(6) Der Auftragnehmer bestätigt die Löschung in Textform.

(7) Dieser Vertrag gilt fort, solange der Auftragnehmer Daten des Auftraggebers verarbeitet. Ein Zurückbehaltungsrecht an diesen Daten besteht nicht.

§ 16 Haftung#

(1) Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO und wird durch diesen Vertrag nicht beschränkt.

(2) Der Ausgleich zwischen den Parteien für Schadensersatz, den eine Partei an betroffene Personen geleistet hat, richtet sich nach Art. 82 Abs. 5 DSGVO.

(3) Für sonstige Ansprüche aus diesem Vertrag gilt AGB Varell § 25.

(4) Der Auftragnehmer haftet für die Einhaltung der Pflichten durch Unterauftragsverarbeiter nach Art. 28 Abs. 4 Satz 2 DSGVO wie für eigenes Verhalten; AGB Varell § 25 gilt dafür in gleicher Weise wie für eigenes Verhalten.

(5) Die Pflichten aus §§ 6, 7, 13, 14 und 15 bleiben bei höherer Gewalt (AGB Varell § 26 Abs. 3) bestehen, soweit ihre Erfüllung möglich ist.

§ 17 Sonderkündigung und Aussetzung#

(1) In den in diesem Vertrag genannten Fällen kann der Auftraggeber, im Fall des § 4 Abs. 4 jede Partei, den Vertrag über Varell ganz oder für die betroffenen Lizenzen außerordentlich in Textform kündigen. Die Kündigung ist bis vier Wochen möglich, nachdem der Auftraggeber vom letzten auslösenden Ereignis Kenntnis erlangt hat; auslösend sind insbesondere der Zugang einer Unterrichtung oder des Ergebnisses einer Abhilfeprüfung, das Scheitern einer Einigung und der Ablauf einer Frist nach § 7 Abs. 3 Buchstabe d, § 9 Abs. 5 Buchstabe c oder Abs. 7, § 12 Abs. 4 oder Absatz 2; solange eine Aussetzung andauert, ist sie auch während dieser Zeit möglich. Sie wirkt zu dem in der Kündigung bestimmten Zeitpunkt, frühestens mit ihrem Zugang. AGB Varell § 22 gilt auch für diese Kündigung.

(2) Kann der Auftragnehmer Pflichten aus diesem Vertrag nicht erfüllen, gleich aus welchem Grund, teilt er das dem Auftraggeber unverzüglich in Textform mit. Verletzt der Auftragnehmer Pflichten aus diesem Vertrag oder kann er sie nicht erfüllen, kann der Auftraggeber anweisen, die Verarbeitung auszusetzen, bis die Pflichten wieder erfüllt sind; der Auftragnehmer setzt spätestens am Werktag nach Zugang der Weisung aus. Der Auftraggeber kann nach Absatz 1 kündigen, wenn a) eine Aussetzung nach Satz 2 einen Monat nach ihrem Beginn andauert, weil die Pflichten weiter nicht erfüllt sind, b) der Auftragnehmer erheblich oder wiederholt gegen diesen Vertrag oder gegen seine Pflichten aus der DSGVO verstößt oder c) der Auftragnehmer eine bindende Entscheidung eines Gerichts oder einer Aufsichtsbehörde über seine Pflichten aus diesem Vertrag oder der DSGVO nicht befolgt.

(3) Im Voraus gezahlte Entgelte für die Zeit nach dem Wirksamwerden einer Kündigung nach diesem Paragraphen erstattet der Auftragnehmer anteilig.

(4) Setzt der Auftragnehmer die Verarbeitung für den Auftraggeber aus a) wegen eines Einspruchs des Auftraggebers gegen einen Unterauftragsverarbeiter nach § 9 Abs. 5, b) nach § 7 Abs. 3 Buchstabe d auf Weisung des Auftraggebers oder nach Anlage 6 § 9 Abs. 2, weil die Null-Datenspeicherung oder die Abschaltung des Trainings bei Mistral entfallen oder eingeschränkt ist, oder c) nach § 12 Abs. 4 auf Weisung des Auftraggebers oder nach § 9 Abs. 7 oder § 12 Abs. 3 Buchstabe c, weil eine Grundlage für eine Übermittlung in ein Drittland entfallen ist, schuldet der Auftraggeber für die betroffenen Lizenzen für die Tage der Aussetzung kein Entgelt. Die Entgeltfreiheit endet mit dem Ende der Aussetzung oder dem Wirksamwerden einer Kündigung, spätestens 14 Tage nach dem Zeitpunkt, ab dem der Auftraggeber wegen desselben Anlasses nach Absatz 1 kündigen kann. Die Rechte des Auftraggebers nach AGB Varell § 11 Abs. 3 und § 26 Abs. 3, insbesondere zur Minderung, bleiben daneben, nach dem Ende der Entgeltfreiheit und in allen übrigen Fällen einer Aussetzung oder Störung unberührt.

(5) Gesetzliche Rechte bleiben unberührt.

§ 18 Änderungen#

(1) Änderungen dieses Vertrags und seiner Anlagen bedürfen der ausdrücklichen Zustimmung des Auftraggebers durch eine vertretungsberechtigte Person oder eine in Anlage 5 dafür benannte Person in Textform. Schweigen gilt nicht als Zustimmung. Ohne Zustimmung gilt die bisherige Fassung weiter.

(2) Ausgenommen sind Anpassungen der Anlage 2 nach § 6 Abs. 2 Buchstaben a und b, Änderungen der Anlage 3 nach § 9 und § 12 Abs. 2 Satz 3 und Abs. 3, jeweils unbeschadet des § 12 Abs. 2 Satz 4, eine Mitteilung nach Anlage 1 Nr. 3 Buchstabe a Satz 5 und ihr Widerruf nach Satz 6 und Änderungen der Kontaktdaten und der benannten Personen in Anlage 5, die jede Partei für ihre Seite der anderen in Textform mitteilt; wer auf Seiten des Auftraggebers Personen benennen kann, bestimmt Anlage 5.

(3) Der Auftragnehmer stellt jede Fassung dieses Vertrags mit Versionsnummer als Datei bereit.

§ 19 Schlussbestimmungen#

(1) Erklärungen nach diesem Vertrag bedürfen der Textform.

(2) Ist eine Bestimmung unwirksam oder undurchführbar, bleiben die übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung (§ 306 Abs. 2 BGB).

(3) Für anwendbares Recht und Gerichtsstand gilt AGB Varell § 28 Abs. 2 und 3.

---

Anlage 1 — Gegenstand, Art, Zweck, Daten, Betroffene, Dauer#

Stand: 17. September 2026

1. Gegenstand#

Bereitstellung des Diktierdienstes Varell: Umwandlung von Sprachaufnahmen der Nutzer in Text, Glättung des Textes nach den Einstellungen und Formatvorgaben des Nutzers und Rückgabe an die Software; Umwandlung vorhandener Audiodateien, die ein Nutzer auswählt, etwa Aufzeichnungen von Besprechungen, in Text ohne Glättung (Abschrift); Verwaltung der Nutzerzugänge und Führung des Verbrauchs je Lizenz für den Auftraggeber.

Der Vertrag gilt auch für einen kostenlosen Test nach AGB Varell § 4a. Im Test gibt es nur einen Zugang mit einem einmaligen Testkontingent und keine Mehrnutzung.

2. Art und Zweck der Verarbeitung#

3. Arten personenbezogener Daten#

a) Inhaltsdaten: Aufnahmen und Audiodateien, die ein Nutzer zur Abschrift auswählt (Stimmen und gesprochener Inhalt, bei Audiodateien auch anderer Personen), erkannter Text, geglätteter Text, Fachwörter, Formatvorgaben, freie Vorgabe zum Stil, Spracheinstellung sowie solche Daten, die Nutzer oder Administratoren einer Anfrage an den Auftragnehmer beifügen (§ 7 Abs. 1 Satz 5). Diktate und Audiodateien können personenbezogene Daten Dritter enthalten, auch beiläufig Daten besonderer Kategorien nach Art. 9 Abs. 1 DSGVO, etwa Gesundheitsdaten, und Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO; dafür braucht der Auftraggeber eine Rechtsgrundlage (§ 2 Abs. 4 Buchstabe a). Ausgeschlossen ist nach AGB Varell § 15 lit. m der Einsatz des Dienstes für Behandlungs-, Pflege- oder sonstige Gesundheitsdokumentation. Personenbezogene Daten von Kindern unter 16 Jahren sind ohne rechtlich ausreichende Einwilligung der Sorgeberechtigten nach AGB Varell § 15 lit. l ausgeschlossen, soweit der Auftragnehmer den Ausschluss nicht nach Satz 5 aufgehoben hat. Der Auftragnehmer kann diesen Ausschluss durch Mitteilung in Textform ganz oder teilweise aufheben, sobald Mistral AI SAS oder ein an ihre Stelle getretener Unterauftragsverarbeiter für Spracherkennung und Glättung (Anlage 3 Teil A) die betroffene Nutzung verbindlich in Textform zugelassen hat, durch seine Bedingungen oder eine gesonderte schriftliche Vereinbarung; Auskünfte des Supports oder anderer Mitarbeiter dieses Unterauftragsverarbeiters genügen nicht, und die Mitteilung nennt den Umfang und diese Grundlage. Der Auftragnehmer kann die Mitteilung in Textform ganz oder teilweise widerrufen, wenn der Unterauftragsverarbeiter die Zulassung zurücknimmt oder einschränkt, ein anderer Unterauftragsverarbeiter für Spracherkennung und Glättung eingesetzt wird, der die Nutzung nicht verbindlich zulässt, oder eine Änderung der Rechtslage oder eine behördliche oder gerichtliche Anordnung es erfordert; der Widerruf wird vier Wochen nach seinem Zugang wirksam, früher nur, soweit der Unterauftragsverarbeiter die Nutzung früher untersagt oder die Rechtslage oder die Anordnung es erfordert. Aufhebung und Widerruf gelten zugleich für AGB Varell § 15. Der Dienst erkennt ausgeschlossene Inhalte nicht und filtert sie nicht; gelangen sie dennoch in eine Aufnahme oder Audiodatei, gelten für sie dieser Vertrag und Anlage 2 wie für alle Inhaltsdaten. Die Stimme wird nicht zur Identifizierung einer Person verarbeitet.

b) Nutzerdaten: Zugangsschlüssel, Name, Firma, E-Mail-Adresse, Rolle, Stundenkontingent in Minuten, Sperrvermerk, Einstellungen zur Mehrnutzung, Laufzeit des Zugangs, Zeitpunkt der Anlage.

c) Verbrauchsdaten je Diktat und Abschrift: laufende Nummer, Zugangsschlüssel, Zeitpunkt, Kalendermonat, Dauer der Aufnahme in Sekunden (vom Unterauftragsverarbeiter gemeldet oder aus der Dateigröße geschätzt), Zahl der verarbeiteten Einheiten des Sprachmodells, Merkmal einer offenen Reservierung, ein aus der Aufnahme berechneter technischer Prüfwert zur Vermeidung doppelter Abrechnung.

d) Protokolldaten: im Webserver IP-Adresse, Zeitpunkt, Anfragezeile, Statuscode, Antwortgröße, Referrer und Browserkennung; im Dienst Zeitpunkt, Anfragezeile, Statuscode, Antwortgröße, Dauer der Aufnahme, Bearbeitungszeiten und Fehlerarten, ohne IP-Adresse und ohne Zugangsschlüssel.

e) Betriebsdaten: keine; eine Verdichtung nach § 11 bietet der Auftragnehmer nicht an.

4. Daten über Nutzer, Speicherdauer und Einsicht#

Diese Übersicht dient auch der Beteiligung einer Beschäftigtenvertretung. Sie nennt die Daten über die Nutzung durch einzelne Nutzer, die beim Auftragnehmer und durch die Software auf den Geräten der Nutzer entstehen.

In Kürze: Administratoren sehen den Verbrauch als Monatssumme je Lizenz und können die Zahl der Diktate und die angerechnete Dauer je Kalendertag ohne Uhrzeit anfordern. Verbrauchsdaten je Diktat mit Uhrzeit erhält beim Auftraggeber nur, wer zu seiner gesetzlichen Vertretung berechtigt oder in Anlage 5 ausdrücklich dafür benannt ist, auf Weisung mit Angabe des Anlasses; der Auftragnehmer dokumentiert jede Herausgabe. Die Software speichert auf dem Gerät ein Verbrauchsprotokoll mit der Uhrzeit jedes Diktats, das lesen kann, wer das Gerät verwaltet, etwa die IT des Auftraggebers. Die Software registriert einen systemweiten Tastatur-Mithörer, speichert aber keine Tastendrücke (Nr. 5).

Der Auftraggeber ist Verantwortlicher (§ 8 Abs. 1). Auf die Daten auf den Geräten kann er selbst zugreifen. Welche Einsicht er Administratoren und Vorgesetzten gibt und wofür er die Daten verwendet, regelt er selbst, gegebenenfalls in einer Vereinbarung mit seiner Beschäftigtenvertretung.

Der Dienst enthält keine Funktion zur Bewertung oder zum Vergleich von Leistung oder Verhalten der Nutzer, zur Sprechererkennung oder zur Ableitung von Emotionen. Änderungen richten sich nach § 8 Abs. 3.

5. Daten auf den Geräten der Nutzer#

Die Software legt auf dem Gerät des Nutzers an:

a) Einstellungen: Adresse des Dienstes, Zugangsschlüssel (in der Einstellungsdatei, nicht im Schlüsselbund des Betriebssystems), Fachwörter, Formatvorgaben, freie Vorgabe zum Stil, Sprache, Diktiertaste, Aufnahmemodus (Halten oder Umschalten) und die Einstellung zur Zwischenablage;

b) das Verbrauchsprotokoll nach Nr. 4, ohne Inhaltsdaten;

c) ein Fehlerprotokoll mit Programmmeldungen, ohne Inhaltsdaten;

d) Aufnahmen, die nicht an den Dienst übertragen werden konnten, höchstens zehn, bis sie nachgereicht oder vom Nutzer gelöscht werden. Aufnahmen, die älter als 72 Stunden sind, löscht die Software beim nächsten Start, beim Nachreichen oder wenn sie eine weitere Aufnahme ablegt; bis zu einem dieser Anlässe bleiben sie liegen;

e) für die Abschrift eine umgewandelte Kopie der ausgewählten Audiodatei in einem temporären Ordner, den die Software nach der Verarbeitung löscht. Die ausgewählte Audiodatei selbst bleibt unverändert an dem Ort, den der Nutzer bestimmt hat.

Den zuletzt eingefügten Text belässt die Software in der Grundeinstellung in der Zwischenablage des Betriebssystems. Das Betriebssystem kann ihn nach seinen Einstellungen speichern oder mit anderen Geräten abgleichen, etwa über den Zwischenablageverlauf oder die geräteübergreifende Synchronisierung unter Windows oder die universelle Zwischenablage unter macOS.

Tastatur-Mithörer: Damit die Diktiertaste in jedem Programm wirkt, registriert die Software beim Betriebssystem einen systemweiten Tastatur-Mithörer (Mac: mit der Freigabe „Eingabeüberwachung“; Windows: systemweite Tastaturabfrage). Über ihn kann die Software technisch jeden Tastendruck in jedem Programm mitbekommen. Sie prüft nur, ob die eingestellte Diktiertaste gedrückt oder losgelassen wird und während einer Aufnahme, ob Escape (Aufnahme abbrechen) oder die Leertaste (Aufnahme anhalten) gedrückt wird. Alle übrigen Tastendrücke verwirft sie sofort; sie speichert, protokolliert und übermittelt keine Tastendrücke. Beim Festlegen einer neuen Diktiertaste wartet sie bis zu 20 Sekunden auf den nächsten Tastendruck und speichert nur diese Taste als Einstellung.

Der Auftragnehmer hat auf die Daten nach dieser Nummer keinen Zugriff.

6. Kategorien betroffener Personen#

• Nutzer: Beschäftigte und sonstige Personen, denen der Auftraggeber eine Lizenz zuweist
• Administratoren des Auftraggebers
• Personen, die in Diktaten genannt werden, etwa Kunden, Mieter, Eigentümer, Interessenten, Geschäftspartner, Handwerker, Beschäftigte des Auftraggebers und deren Angehörige; Kinder unter 16 Jahren nur nach Nr. 3 Buchstabe a (AGB Varell § 15 lit. l)
• Personen, deren Stimme oder Äußerungen in Aufnahmen oder in Audiodateien zur Abschrift enthalten sind, etwa Teilnehmer von Besprechungen
• nach der Freigabe nach Anlage 6 § 1 Abs. 4: Mandanten und sonstige Beteiligte der Berufsgeheimnisträger

7. Rollen#

8. Dauer und Speicherfristen#

---

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)#

Stand: 17. September 2026 · Die Maßnahmen beziehen sich auf die zu diesem Zeitpunkt eingesetzte Fassung des Dienstes.

Risikoeinschätzung#

Verarbeitet werden Sprachaufnahmen, vom Nutzer ausgewählte Audiodateien, etwa Aufzeichnungen von Besprechungen, und Texte mit beliebigem Inhalt, darunter Daten Dritter, Daten über Straftaten nach Art. 10 DSGVO, beiläufig Gesundheitsdaten und andere Daten nach Art. 9 DSGVO und — trotz des Ausschlusses nach AGB Varell § 15 lit. l nicht sicher vermeidbar — Daten über Kinder; außerdem Zugangs- und Verbrauchsdaten je namentlichem Nutzer. Das Risiko für Inhaltsdaten ist hoch. Die vertraglichen Ausschlüsse ändern daran nichts, weil der Dienst solche Inhalte weder erkennt noch filtert. Gemindert wird das Risiko dadurch, dass der Dienst Inhaltsdaten nur flüchtig verarbeitet und nicht speichert. Nach den Bedingungen von Mistral werden Inhaltsdaten auch bei aktivierter Null-Datenspeicherung zur automatisierten Moderation verarbeitet (§ 7 Abs. 3 Buchstabe e), auch soweit sie Daten nach Art. 9 und Art. 10 DSGVO enthalten; die Beschreibung der Verarbeitung im Data Processing Addendum von Mistral nennt keine besonderen Kategorien (Anlage 3). Das Risiko für Verbrauchsdaten ist mittel, weil sie Rückschlüsse auf das Arbeitsverhalten zulassen, auch über das Verbrauchsprotokoll auf den Geräten der Nutzer (Anlage 1 Nr. 4). Das Risiko für die Verfügbarkeit ist mittel: Der Dienst läuft auf einem Server ohne Redundanz. Auf dem Server betreibt der Auftragnehmer weitere interne Dienste. Die Platten des Servers sind nicht verschlüsselt. Ob das Betriebssystem Teile des Arbeitsspeichers mit Inhaltsdaten auf die Platte auslagert oder in Speicherabbilder schreibt, ist nicht geprüft.

a) Pseudonymisierung und Verschlüsselung#

1. Verbindungen zwischen Software und Dienst sind mit TLS verschlüsselt. Der Webserver bietet ausschließlich TLS 1.2 und TLS 1.3 an, leitet unverschlüsselte Anfragen auf HTTPS um und setzt HSTS mit einer Gültigkeit von einem Jahr. Zertifikate werden automatisch erneuert.
2. Die Software prüft das Serverzertifikat mit den Mitteln des Betriebssystems bzw. der Laufzeitumgebung; voreingestellt ist eine HTTPS-Adresse.
3. Verbindungen vom Dienst zum Unterauftragsverarbeiter Mistral erfolgen ausschließlich über HTTPS mit Zertifikatsprüfung.
4. Der Verarbeitungsdienst ist nur über die lokale Schnittstelle des Servers erreichbar; von außen nur über den TLS-Endpunkt des Webservers.
5. An Mistral werden keine Kennungen des Nutzers oder Auftraggebers übermittelt, insbesondere kein Zugangsschlüssel, Name, E-Mail-Adresse, Firma oder IP-Adresse des Nutzers. Aufnahmen und Audiodateien werden mit einem festen Dateinamen übermittelt.
6. Der Schlüssel für Mistral liegt auf dem Server in einer Datei, die nur der Dienstbenutzer und die Administratoren des Servers lesen können. Die Software enthält keinen solchen Schlüssel und spricht Mistral nicht direkt an.
7. Bei Mistral sind für die Organisation des Auftragnehmers die Null-Datenspeicherung aktiviert, die Nutzung von API-Aufrufen zum Training abgeschaltet und Labs-Modelle nicht aktiviert (§ 7 Abs. 3).

b) Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit#

Rechenzentrum und Server

8. Der Server wird bei der Hetzner Online GmbH im Rechenzentrum Falkenstein, Deutschland, betrieben. Die physische Sicherheit verantwortet Hetzner; das Informationssicherheits-Managementsystem von Hetzner ist nach ISO/IEC 27001 zertifiziert.
9. Eine Host-Firewall weist eingehende Verbindungen ab; freigegeben sind nur SSH, HTTP und HTTPS.
10. Die Anmeldung am Server ist nur mit SSH-Schlüssel möglich; die Passwortanmeldung ist abgeschaltet.
11. Der Dienst läuft unter einem eigenen, nicht privilegierten Benutzer mit eingeschränkten Rechten des Betriebssystems (kein Rechteerwerb, schreibgeschütztes System außer dem Datenverzeichnis, eigener temporärer Bereich, kein Zugriff auf Home-Verzeichnisse, Speicherobergrenze).
12. Datenbank und Datenverzeichnis sind nur für den Dienstbenutzer lesbar.
13. Sicherheitsaktualisierungen des Betriebssystems werden automatisch installiert.

Dienst

14. Aufnahmen, Audiodateien und Texte werden im Dienst nur im Arbeitsspeicher verarbeitet und nicht in Dateien oder die Datenbank geschrieben, außer in seltenen Fehlerfällen in das Protokoll des Dienstes (§ 7 Abs. 1). Der Webserver hält Anfragen bis 26 MB im Arbeitsspeicher, damit keine temporären Dateien entstehen. Einen Verlauf von Diktaten gibt es weder beim Dienst noch in der Software.
15. entfällt
16. Zugang zum Dienst nur mit einem je Nutzer erzeugten Zugangsschlüssel mit 256 Bit Zufall, übertragen im Authorization-Header; gesperrte und abgelaufene Zugänge werden abgewiesen. Die Prüfung erfolgt vor jeder Übermittlung an Mistral.
17. Über die Schnittstellen des Dienstes kann ein Zugang nur seine eigenen Daten abrufen; eine Verwaltungsschnittstelle mit gemeinsamem Schlüssel besteht nicht. Kostenwirksame Einstellungen sind einer besonderen Rolle vorbehalten.
18. Anfragen werden begrenzt: je Zugang höchstens 40 Diktate je Minute, dienstweit höchstens vier gleichzeitige Verarbeitungen, höchstens 25 MiB je Aufnahme oder Audiodatei, Zeitlimit für stockende Verbindungen; zusätzlich Ratenbegrenzung je IP-Adresse im Webserver.
19. Datenbankabfragen sind durchgängig parametrisiert; der Dienst verwendet nur die Standardbibliothek seiner Programmiersprache.
20. Fällt die Glättung aus, erhält der Nutzer den erkannten Text ohne Glättung. Vorher versucht der Dienst die Glättung bei Überlastung oder einem Serverfehler des Unterauftragsverarbeiters mit dem Ausweichmodell nach Anlage 3.
21. Die Verarbeitungsanweisung an das Sprachmodell grenzt den diktierten Text ab und untersagt inhaltliche Änderungen. Der Nutzer kann zusätzlich eine freie Vorgabe zum Stil mit bis zu 400 Zeichen eingeben; der Dienst fügt sie der Verarbeitungsanweisung nachrangig an, mit der Anweisung, dass Inhalt, Aussagen und Länge des Textes unverändert bleiben.

Software und Auslieferung

22. Die Software enthält keine Telemetrie, keine Absturzberichte an Dritte und keine Analysebibliotheken.
23. Die Software wird aus dem Quellcode-Repository mit automatisierten Tests gebaut; ausgelieferte Dateien werden nach der Auslieferung per SHA-256 gegen den Bau geprüft.

Organisation

24. entfällt
25. entfällt

c) Rasche Wiederherstellbarkeit#

26. Der Programmcode des Dienstes wird versioniert geführt.
27. entfällt

d) Regelmäßige Überprüfung#

28. Selbsttests für Zugangs-, Rollen-, Kontingent- und Abrechnungslogik.
29. Prüfung dieser Anlage mindestens jährlich sowie nach Verletzungen nach § 13 und erheblichen Sicherheitsvorfällen mit dokumentiertem Ergebnis (§ 6 Abs. 3).
30. Prüfung der Einstellungen und Bedingungen bei Mistral in jedem Kalendermonat mit datiertem Nachweis (§ 7 Abs. 3).
31. Prüfung der Unterauftragsverarbeiter mindestens jährlich und Abgleich ihrer Listen in jedem Kalendermonat (§ 9).

e) Zusätzliche Maßnahmen für besondere Kategorien und Daten von Kindern#

32. Eine Fehlersuche mit Inhaltsdaten nach § 7 Abs. 1 Satz 4 findet nur statt, wenn der Auftraggeber in Textform bestätigt, dass die betroffenen Inhaltsdaten keine Daten nach Art. 9 DSGVO enthalten. Vor einer Mitteilung nach Anlage 1 Nr. 3 Buchstabe a Satz 5 überprüft der Auftragnehmer die Risikoeinschätzung dieser Anlage.

---

Anlage 3 — Unterauftragsverarbeiter#

Stand: 17. September 2026

Teil A — Unterauftragsverarbeiter des Auftragnehmers#

Ersatzanbieter im Notfall (§ 9 Abs. 7): keiner benannt

Wo die Bedingungen hinter diesem Vertrag zurückbleiben und wie der Auftragnehmer das ausgleicht

Teil B — Unterauftragsverarbeiter von Mistral mit möglichem Bezug zu Daten des Auftraggebers#

Quelle: Liste der Unterauftragsverarbeiter im Trust Center von Mistral (https://trust.mistral.ai/subprocessors), Stand 17.09.2026. Welche dieser Unternehmen im Einzelfall Inhaltsdaten verarbeiten, veröffentlicht Mistral nicht.

Die Hetzner Online GmbH führt in Anlage 3 ihres Auftragsverarbeitungsvertrags (Version 1.0 vom 06.08.2024) für den Serverstandort Deutschland keine Subunternehmer auf; Support erbringt Hetzner nach eigener Angabe innerhalb der Europäischen Union.

Teil C — Keine Unterauftragsverarbeiter im Sinne dieses Vertrags#

Zahlungsdienstleister und Buchhaltung für die Abrechnung des Auftragnehmers (§ 2 Abs. 2); Dienstleister, die Mistral für das Konto des Auftragnehmers einsetzt (Anmeldung, Abrechnung, Support), soweit keine Daten des Auftraggebers übermittelt werden; Leistungen nach § 9 Abs. 8.

---

Anlage 4 — Betriebsdaten#

Stand: 17. September 2026

Entfällt. Der Auftragnehmer bietet keine Verdichtung von Betriebsdaten an und erfasst dafür keine Betriebsdaten (§ 11 Abs. 1).

---

Anlage 5 — Ansprechpartner, Weisungswege, Meldeadressen#

Stand: 17. September 2026 · Änderungen der Kontaktdaten und der benannten Personen teilen die Parteien einander in Textform mit.

Solange der Auftraggeber dieses Formular nicht ausgefüllt hat, insbesondere im Test nach AGB Varell § 4a, ist der erste Administrator, im Test der Nutzer nach AGB Varell § 4a Abs. 2 Satz 2, Ansprechpartner, Meldeadresse und zur Erteilung von Weisungen berechtigt.

Auftraggeber#

Personen in den Zeilen „weisungsberechtigt“, „Herausgabe von Verbrauchsdaten je Diktat mit Zeitpunkt“ und „Zustimmung zu Änderungen“ benennt oder entfernt nur eine zur gesetzlichen Vertretung des Auftraggebers berechtigte Person; die übrigen Angaben kann auch ein Administrator mitteilen. Beschränkungen der Administratoren nach dieser Anlage gelten auch für die entsprechenden Verlangen nach AGB Varell § 22. Solange eine Zeile nicht ausgefüllt ist, gilt: Weisungsberechtigt sind die zur gesetzlichen Vertretung berechtigten Personen (§ 4 Abs. 2); Meldungen und Unterrichtungen gehen an die im Vertrag über Varell genannten Ansprechpartner und an die E-Mail-Adresse für Rechnungen (§ 13 Abs. 2).

Auftragnehmer#

Erklärungen nach diesem Vertrag gehen dem Auftragnehmer auch an der in AGB Varell § 1 Abs. 1 genannten Adresse zu; er leitet sie intern weiter.

Zur Verarbeitung befugte Personen und technische Zugänge beim Auftragnehmer#

---

Anlage 6 — Berufsgeheimnisträger#

Zusatzvereinbarung zum Schutz von Berufsgeheimnissen · Fassung 1.2 vom 17. September 2026

zwischen ________ (Name, Rechtsform, Anschrift des Kunden) — „Auftraggeber“ — und der Drillix GbR, Alter Ring 2, 02894 Reichenbach/O.L., vertreten durch die Gesellschafter Nico Groß und Marvin Beck — „Auftragnehmer“

§ 1 Gegenstand, Rang, Form, Wirksamkeit#

(1) Diese Anlage regelt, unter welchen Bedingungen der Auftraggeber Varell für Inhalte nutzen darf, die fremde Geheimnisse im Sinne des § 203 StGB enthalten. Mit der Freigabe nach Absatz 4 wird sie zur gesonderten Vereinbarung nach AGB Varell § 15 lit. e; vorher hebt sie das Verbot nach AGB Varell § 15 lit. e nicht auf.

(2) Sie ergänzt den Vertrag zur Auftragsverarbeitung und geht ihm für geschützte Inhalte vor.

(3) Sie wird in Textform geschlossen. Der Auftragnehmer übermittelt dem Auftraggeber die angenommene Fassung als Datei.

(4) Die §§ 1 bis 3, § 4 Abs. 1 und 4 und § 13 gelten ab Abschluss. Die übrigen Bestimmungen werden erst wirksam, wenn der Auftragnehmer dem Auftraggeber schriftlich oder in elektronischer Form (§§ 126, 126a BGB) bestätigt, dass alle Voraussetzungen nach § 8 erfüllt sind, und der Bestätigung die Nachweise nach § 10 beifügt (Freigabe). Bis zur Freigabe bleibt das Verbot nach AGB Varell § 15 lit. e unverändert bestehen: Der Auftraggeber und seine Nutzer verarbeiten mit Varell keine geschützten Inhalte, und der Auftraggeber weist seine Nutzer entsprechend an. Einen Anspruch auf die Freigabe hat der Auftraggeber nicht; der Auftragnehmer teilt ihm auf Anfrage in Textform mit, welche Voraussetzungen noch fehlen, welche davon von Dritten abhängen und ob er ihre Erfüllung derzeit betreibt. Für einen Test nach AGB Varell § 4a erteilt der Auftragnehmer keine Freigabe.

(5) Die Freigabe nennt ihr Datum, die Fassung dieser Anlage, die beigefügten Nachweise und ob und in welchem Umfang der Ausschluss nach § 3 Abs. 2 Satz 3 aufgehoben ist. Sie wirkt nur, solange die Voraussetzungen nach § 8 erfüllt sind; § 9 gilt.

(6) Der Weg zur Freigabe: a) Die Parteien schließen diese Anlage. Ab dann gelten die Bestimmungen nach Absatz 4 Satz 1; das Verbot nach AGB Varell § 15 lit. e bleibt bestehen. b) Der Auftragnehmer erfüllt die Voraussetzungen nach § 8. Einige hängen von Dritten ab, insbesondere die gesonderte Vereinbarung mit Mistral nach § 8 Buchstaben e, h und i; ob und wann Mistral sie abschließt, liegt nicht in der Hand des Auftragnehmers. c) Der Auftragnehmer erteilt die Freigabe nach Absatz 4 mit den Nachweisen nach § 10. d) Der Auftraggeber prüft die Nachweise selbst (§ 12 Buchstabe e). Danach darf er geschützte Inhalte in den Grenzen des § 3 verarbeiten. e) Sollen geschützte Inhalte personenbezogene Daten von Kindern unter 16 Jahren enthalten dürfen, etwa zu Kindergeld, Kinderfreibeträgen oder Betreuungskosten, setzt das zusätzlich die Aufhebung des Ausschlusses nach § 3 Abs. 2 Satz 3 voraus; sie ist nur nach einer verbindlichen Zulassung durch Mistral möglich (Anlage 1 Nr. 3 Buchstabe a Satz 5 des Vertrags zur Auftragsverarbeitung) und kann vor oder nach der Freigabe erfolgen.

§ 2 Geltungsbereich#

(1) Die Anlage gilt für Auftraggeber, die als Rechtsanwälte, Patentanwälte, Wirtschaftsprüfer, vereidigte Buchprüfer, Steuerberater oder Steuerbevollmächtigte oder als deren Berufsausübungsgesellschaften zu den in § 203 Abs. 1 Nr. 3 oder 3a StGB genannten Personen gehören oder solche Personen beschäftigen.

(2) Sie erfasst jede Nutzung von Varell im Betrieb des Auftraggebers, auch durch Beschäftigte, Auszubildende und sonstige Hilfspersonen.

(3) Notare und andere Berufsgeheimnisträger nach § 203 StGB, insbesondere Heilberufe, sind nicht erfasst.

§ 3 Geschützte Inhalte#

(1) Geschützte Inhalte sind fremde Geheimnisse, die dem Auftraggeber oder seinen Nutzern in ihrer beruflichen Tätigkeit anvertraut oder sonst bekannt geworden sind, soweit sie in Inhaltsdaten enthalten sind.

(2) Für geschützte Inhalte gelten die Grenzen nach AGB Varell § 15 und Anlage 1 Nr. 3 Buchstabe a des Vertrags zur Auftragsverarbeitung. Danach dürfen Daten nach Art. 9 DSGVO beiläufig enthalten sein, etwa Angaben zu Krankheitskosten in einem Steuermandat; ausgeschlossen ist der Einsatz für Behandlungs-, Pflege- oder sonstige Gesundheitsdokumentation. Personenbezogene Daten von Kindern unter 16 Jahren sind ohne rechtlich ausreichende Einwilligung der Sorgeberechtigten ausgeschlossen, solange der Auftragnehmer den Ausschluss nicht nach Anlage 1 Nr. 3 Buchstabe a Satz 5 des Vertrags zur Auftragsverarbeitung aufgehoben hat (§ 1 Abs. 6 Buchstabe e).

(3) Diese Anlage verbietet keine Inhalte über AGB Varell § 15 hinaus. Zusätzliche Grenzen für geschützte Inhalte bestehen nur, wo diese Anlage sie ausdrücklich als bewusste Grenze bezeichnet (§ 5 Abs. 2 Satz 2, § 7 Satz 1).

§ 4 Verschwiegenheit und Belehrung#

(1) Der Auftragnehmer verpflichtet sich, über geschützte Inhalte Verschwiegenheit zu wahren, zeitlich unbegrenzt und auch nach dem Tod der Betroffenen; er verpflichtet die Gesellschafter nach Anhang 2 in gleicher Weise.

(2) Der Auftragnehmer bestätigt, dass die Gesellschafter über die strafrechtlichen Folgen einer Pflichtverletzung belehrt worden sind, insbesondere: a) Wer als mitwirkende Person ein fremdes Geheimnis unbefugt offenbart, wird mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe bestraft (§ 203 Abs. 4 Satz 1 StGB). b) Ebenso wird bestraft, wer sich einer weiteren mitwirkenden Person bedient, die ein Geheimnis unbefugt offenbart, ohne dafür gesorgt zu haben, dass sie zur Geheimhaltung verpflichtet wurde (§ 203 Abs. 4 Satz 2 Nr. 2 StGB). c) Handelt der Täter gegen Entgelt oder in Bereicherungs- oder Schädigungsabsicht, droht Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe (§ 203 Abs. 6 StGB). d) Wer ein solches Geheimnis unbefugt verwertet, wird mit Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe bestraft (§ 204 StGB). e) Die Vorschriften gelten auch nach dem Tod des Betroffenen (§ 203 Abs. 5, § 204 Abs. 2 StGB); die Taten werden auf Antrag verfolgt (§ 205 StGB). Der Wortlaut der §§ 203 bis 205 StGB ist als Anhang 1 beigefügt.

(3) Die Verpflichtungserklärungen der Gesellschafter nach Anhang 2 fügt der Auftragnehmer der Freigabe in Kopie bei und stellt sie danach auf Anfrage in Kopie zur Verfügung.

(4) Muss der Auftragnehmer aufgrund Gesetzes oder behördlicher oder gerichtlicher Anordnung Daten herausgeben, unterrichtet er den Auftraggeber vorher, soweit das zulässig ist, und gibt nicht mehr heraus als verlangt. Betrifft die Anordnung geschützte Inhalte, beruft sich der Auftragnehmer auf die Rechte mitwirkender Personen nach § 53a und § 97 StPO, holt die Entscheidung des Auftraggebers über das Zeugnisverweigerungsrecht ein, soweit das rechtzeitig möglich ist, und legt gegen eine Beschlagnahme die zulässigen Rechtsbehelfe ein, wenn der Auftraggeber das verlangt; deren Kosten trägt der Auftraggeber.

§ 5 Kenntnisnahme nur soweit erforderlich#

(1) Der Auftragnehmer und die für ihn tätigen Personen nehmen von geschützten Inhalten nur Kenntnis, soweit das für die Übermittlung an den Unterauftragsverarbeiter und die Rückgabe des Ergebnisses erforderlich ist; während der Verarbeitung liegen die Inhalte im Arbeitsspeicher des Servers vor. § 7 des Vertrags zur Auftragsverarbeitung gilt.

(2) Unterstützung und Fehlersuche erfolgen ohne geschützte Inhalte. Der Auftraggeber sendet keine geschützten Inhalte an den Support; das ist eine bewusste Grenze dieser Anlage über AGB Varell § 15 hinaus. Erhält der Auftragnehmer sie dennoch, nimmt er nur so weit Kenntnis, wie es zur Bearbeitung nötig ist, und löscht sie nach § 7 Abs. 1 Satz 6 des Vertrags zur Auftragsverarbeitung.

(3) Will der Auftragnehmer Software oder Server so ändern, dass Inhalte gespeichert, protokolliert oder ausgewertet werden, unterrichtet er den Auftraggeber mindestens vier Wochen vorher in Textform; der Auftraggeber kann nach § 17 des Vertrags zur Auftragsverarbeitung sofort kündigen.

§ 6 Weitere mitwirkende Personen#

(1) Der Auftragnehmer zieht nur die folgenden weiteren Personen heran. Die Spalte „Verpflichtung zur Verschwiegenheit“ wird mit der Freigabe nach § 1 Abs. 4 ausgefüllt; ist sie leer, ist die Voraussetzung nach § 8 nicht erfüllt.

(2) Die Vertraulichkeitspflichten in den Standardbedingungen von Mistral gibt Mistral elektronisch vor und kann sie einseitig ändern; sie nehmen nicht auf § 203 StGB Bezug. Die Freigabe setzt deshalb eine gesonderte schriftliche Vereinbarung mit Mistral voraus (§ 8 Buchstabe e).

(3) Weitere Personen zieht der Auftragnehmer erst heran, nachdem er sie in Textform zur Verschwiegenheit verpflichtet hat, eigene Beschäftigte und freie Mitarbeitende zusätzlich mit Belehrung nach § 4 Abs. 2.

(4) Für Änderungen gilt § 9 des Vertrags zur Auftragsverarbeitung. Die Unterrichtung nennt zusätzlich, wie der neue Unterauftragsverarbeiter zur Verschwiegenheit verpflichtet ist. Ein neuer Unterauftragsverarbeiter nach Anlage 3 Teil A erhält geschützte Inhalte erst, wenn er nach § 8 Buchstabe e verpflichtet ist; lässt sich das nicht trennen, gilt § 9 Abs. 2.

§ 7 Ort der Verarbeitung#

Geschützte Inhalte werden nur über den Endpunkt api.eu.mistral.ai verarbeitet, für den Mistral Rechenzentren in Mitgliedstaaten der EU, des EWR und der Schweiz angibt; das ist eine bewusste Grenze dieser Anlage. Vor diesem Endpunkt ist Cloudflare, Inc. geschaltet. Zu den Unterauftragsverarbeitern von Mistral gehören Unternehmen mit Sitz oder Standorten außerhalb dieses Gebiets (Anlage 3 Teil B). Die Freigabe setzt voraus, dass Inhaltsdaten nur in diesem Gebiet entschlüsselt und verarbeitet werden (§ 8 Buchstabe i). Für das Postfach nach Anlage 3 Teil A gilt § 8 Buchstabe k.

§ 8 Voraussetzungen#

Der Auftragnehmer erteilt die Freigabe nach § 1 Abs. 4 erst, wenn alles Folgende erfüllt und durch die Nachweise nach § 10 belegt ist: a) Null-Datenspeicherung ist für die Organisation aktiviert, zu der der vom Dienst verwendete Schlüssel gehört; b) die Nutzung von Daten zum Training ist in dieser Organisation abgeschaltet, Labs- und Vorschaumodelle sind nicht aktiviert, der Dienst nutzt Modelle mit festem Versionsstand; c) der Dienst nutzt den Endpunkt nach § 7, keine Funktionen und keinen Zwischenspeicher für Anfragen außerhalb der Null-Datenspeicherung und protokolliert je Anfrage Endpunkt und Modellbezeichnung ohne Inhaltsdaten; d) die Gesellschafter haben die Erklärung nach Anhang 2 abgegeben; e) Hetzner, Mistral und jeder weitere Unterauftragsverarbeiter nach Anlage 3 Teil A haben eine Verpflichtung zur Verschwiegenheit mit Belehrung über die strafrechtlichen Folgen in Textform angenommen, die sich auf ihre Beschäftigten und auf alle Personen erstreckt, die sie heranziehen, auch für Wartung, Benutzerservice und sonstige Maßnahmen zur Sicherheit der Hard- und Software, die Hetzner nach seinem Auftragsverarbeitungsvertrag nicht als Unterauftrag behandelt, und die sie verpflichtet, diese Personen in Textform zur Verschwiegenheit zu verpflichten; Mistral durch eine gesonderte schriftliche Vereinbarung, die nach den Bedingungen von Mistral verbindlich ist und die Unterauftragsverarbeiter von Mistral einbezieht; Auskünfte oder Bestätigungen des Supports oder anderer Mitarbeiter von Mistral, auch per E-Mail, genügen nicht; die Angaben in § 6 Abs. 1 sind eingetragen; f) auf den Server und die Konten bei Hetzner, Mistral und dem E-Mail-Anbieter haben nur Personen nach § 6 Abs. 1 Zugriff; geteilte Verwaltungszugänge bestehen nicht; g) die Protokolle des Dienstes enthalten keine Inhaltsdaten; die Software speichert Aufnahmen und Audiodateien nicht über die Verarbeitung hinaus und schreibt keinen diktierten Text in Protokolle auf dem Gerät; Fassungen der Software, die das nicht erfüllen, sind vom Dienst ausgeschlossen (AGB Varell § 12 Abs. 5); h) Mistral hat in der Vereinbarung nach Buchstabe e zugesagt, Inhaltsdaten des Auftragnehmers nicht zu eigenen Zwecken zu verarbeiten, insbesondere nicht zur automatisierten Moderation und nicht zur Optimierung der eigenen Produkte; i) Mistral hat in der Vereinbarung nach Buchstabe e zugesagt, dass Inhaltsdaten über den Endpunkt nach § 7 nur in Mitgliedstaaten der EU, des EWR oder in der Schweiz entschlüsselt und verarbeitet werden, auch soweit Cloudflare, Inc. oder andere Unterauftragsverarbeiter nach Anlage 3 Teil B beteiligt sind; j) auf dem Server sind Auslagerungsspeicher und Speicherabbilder abgeschaltet, und seine Datenträger sind verschlüsselt; k) das Postfach nach Anlage 3 Teil A wird nur in Mitgliedstaaten der EU oder des EWR betrieben.

§ 9 Unterrichtung, Aussetzung, Kündigung#

(1) Der Auftragnehmer unterrichtet den Auftraggeber in Textform a) unverzüglich, spätestens 48 Stunden nach Kenntnis, wenn eine Voraussetzung nach § 8 entfällt, insbesondere die Null-Datenspeicherung endet oder eingeschränkt wird; b) unverzüglich, spätestens fünf Werktage nach Kenntnis, wenn er eine andere Änderung der Bedingungen oder Vereinbarungen von Mistral, Hetzner oder eines anderen Unterauftragsverarbeiters zu Vertraulichkeit, Speicherung, Training, eigenen Zwecken oder Ort der Verarbeitung feststellt; c) unverzüglich, spätestens 48 Stunden nach Kenntnis, wenn er Anhaltspunkte hat, dass eine mitwirkende Person geschützte Inhalte unbefugt offenbart oder verwertet hat. Für die Kenntnis gilt § 13 Abs. 1 Satz 2 des Vertrags zur Auftragsverarbeitung entsprechend.

(2) Entfällt eine Voraussetzung nach § 8, setzt der Auftragnehmer die Verarbeitung für die Zugänge des Auftraggebers unverzüglich aus, ohne dessen Verlangen abzuwarten, und unterrichtet ihn nach Absatz 1. Mit dem Wegfall der Voraussetzung gilt bis zu einer neuen Freigabe das Verbot nach AGB Varell § 15 lit. e. Die Aussetzung endet mit einer neuen Freigabe nach § 1 Abs. 4. Erklärt der Auftraggeber in Textform, dass seine Nutzer bis zu einer neuen Freigabe keine geschützten Inhalte verarbeiten, hebt der Auftragnehmer die Aussetzung auf. Für das Entgelt gilt § 17 Abs. 4 des Vertrags zur Auftragsverarbeitung.

(3) In den Fällen des Absatzes 1 und bei einem Einspruch nach § 9 Abs. 5 des Vertrags zur Auftragsverarbeitung gegen eine Änderung nach § 6 Abs. 4 kann der Auftraggeber sofort nach § 17 des Vertrags zur Auftragsverarbeitung kündigen.

(4) Die Pflicht des Auftraggebers, eine Zusammenarbeit zu beenden, wenn die berufsrechtlichen Vorgaben nicht gewährleistet sind, bleibt unberührt.

§ 10 Nachweise#

Der Auftragnehmer fügt der Freigabe nach § 1 Abs. 4 bei und stellt danach auf Anfrage in Textform zur Verfügung: datierte Nachweise zu § 8 Buchstaben a bis c, f, g, j und k einschließlich der Zuordnung des Schlüssels zur Organisation ohne Schlüsselwerte; die maßgeblichen Fassungen der Bedingungen von Mistral, Hetzner und den weiteren Unterauftragsverarbeitern nach Anlage 3 Teil A; die Verpflichtungen und Vereinbarungen nach § 8 Buchstaben e, h und i; Kopien der Erklärungen nach Anhang 2. Bei Änderungen nach § 9 Abs. 1 übermittelt er die betroffenen Nachweise unaufgefordert.

§ 11 Einwilligung der Mandanten#

Varell ist ein allgemeines Arbeitsmittel und dient nicht unmittelbar einem einzelnen Mandat. Ob der Auftraggeber Einwilligungen seiner Mandanten einholt, entscheidet er selbst; der Auftragnehmer schuldet weder deren Einholung noch deren Prüfung.

§ 12 Pflichten des Auftraggebers#

Der Auftraggeber a) verpflichtet seine Beschäftigten nach den für ihn geltenden Berufsvorschriften zur Verschwiegenheit; b) nutzt für geschützte Inhalte nur die vom Auftragnehmer bereitgestellte Software in einer Fassung, die nicht nach § 8 Buchstabe g ausgeschlossen ist; c) schützt die Geräte seiner Nutzer (Anlage 1 Nr. 5 des Vertrags zur Auftragsverarbeitung) und schaltet dort den Zwischenablageverlauf und den geräteübergreifenden Abgleich der Zwischenablage ab oder in der Software das Belassen des Textes in der Zwischenablage; d) nimmt nichtöffentlich gesprochene Worte anderer Personen nicht ohne deren Einwilligung auf und übermittelt keine solchen Aufnahmen zur Abschrift (AGB Varell § 15 lit. b); e) prüft die Nachweise nach § 10 vor der ersten Verarbeitung geschützter Inhalte selbst; die Freigabe ersetzt nicht seine eigene Prüfung nach den für ihn geltenden Berufsvorschriften, insbesondere § 43e BRAO, § 39c PAO, § 62a StBerG und § 50a WPO.

§ 13 Laufzeit#

Die Anlage gilt für die Dauer des Vertrags über Varell. §§ 4 und 10 gelten über das Vertragsende hinaus fort.

---

Anhang 1 zu Anlage 6 — Wortlaut der §§ 203 bis 205 StGB (Auszug, Stand 17. September 2026)#

§ 203 Verletzung von Privatgeheimnissen (Abs. 1 Nr. 3 und 3a, Abs. 3 bis 6)

(1) Wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als … 3. Rechtsanwalt, Kammerrechtsbeistand, Patentanwalt, Notar, Verteidiger in einem gesetzlich geordneten Verfahren, Wirtschaftsprüfer, vereidigtem Buchprüfer, Steuerberater, Steuerbevollmächtigten, 3a. Organ oder Mitglied eines Organs einer Wirtschaftsprüfungs-, Buchprüfungs- oder einer Berufsausübungsgesellschaft von Steuerberatern und Steuerbevollmächtigten, einer Berufsausübungsgesellschaft von Rechtsanwälten oder europäischen niedergelassenen Rechtsanwälten oder einer Berufsausübungsgesellschaft von Patentanwälten oder niedergelassenen europäischen Patentanwälten im Zusammenhang mit der Beratung und Vertretung der Wirtschaftsprüfungs-, Buchprüfungs- oder Berufsausübungsgesellschaft im Bereich der Wirtschaftsprüfung, Buchprüfung oder Hilfeleistung in Steuersachen oder ihrer rechtsanwaltlichen oder patentanwaltlichen Tätigkeit, … anvertraut worden oder sonst bekanntgeworden ist, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.

(3) Kein Offenbaren im Sinne dieser Vorschrift liegt vor, wenn die in den Absätzen 1 und 2 genannten Personen Geheimnisse den bei ihnen berufsmäßig tätigen Gehilfen oder den bei ihnen zur Vorbereitung auf den Beruf tätigen Personen zugänglich machen. Die in den Absätzen 1 und 2 Genannten dürfen fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist; das Gleiche gilt für sonstige mitwirkende Personen, wenn diese sich weiterer Personen bedienen, die an der beruflichen oder dienstlichen Tätigkeit der in den Absätzen 1 und 2 Genannten mitwirken.

(4) Mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe wird bestraft, wer unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person oder als bei den in den Absätzen 1 und 2 genannten Personen tätiger Datenschutzbeauftragter bekannt geworden ist. Ebenso wird bestraft, wer

1. als in den Absätzen 1 und 2 genannte Person nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind,
2. als im Absatz 3 genannte mitwirkende Person sich einer weiteren mitwirkenden Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, bedient und nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind, oder
3. nach dem Tod der nach Satz 1 oder nach den Absätzen 1 oder 2 verpflichteten Person ein fremdes Geheimnis unbefugt offenbart, das er von dem Verstorbenen erfahren oder aus dessen Nachlass erlangt hat.

(5) Die Absätze 1 bis 4 sind auch anzuwenden, wenn der Täter das fremde Geheimnis nach dem Tod des Betroffenen unbefugt offenbart.

(6) Handelt der Täter gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, so ist die Strafe Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe.

§ 204 Verwertung fremder Geheimnisse

(1) Wer unbefugt ein fremdes Geheimnis, namentlich ein Betriebs- oder Geschäftsgeheimnis, zu dessen Geheimhaltung er nach § 203 verpflichtet ist, verwertet, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.

(2) § 203 Absatz 5 gilt entsprechend.

§ 205 Strafantrag (Auszug)

(1) In den Fällen des § 201 Abs. 1 und 2 und der §§ 202, 203 und 204 wird die Tat nur auf Antrag verfolgt. …

Anhang 2 zu Anlage 6 — Verpflichtungserklärung#

Ich, ________ (Name), bin für die Drillix GbR tätig als ________ (Funktion).

1. Mir ist bekannt, dass über Varell Inhalte verarbeitet werden können, die Geheimnisse von Mandanten, Beteiligten oder Dritten enthalten, die Kunden der Drillix GbR als Berufsgeheimnisträgern anvertraut sind.
2. Ich verpflichte mich, über solche Inhalte gegenüber jedermann zu schweigen, sie nicht einzusehen, soweit das für meine Aufgaben nicht zwingend nötig ist, sie nicht zu speichern, nicht weiterzugeben und nicht für eigene oder fremde Zwecke zu nutzen. Die Pflicht gilt auch nach dem Ende meiner Tätigkeit.
3. Ich bin darüber belehrt, dass ich mich als mitwirkende Person nach § 203 Abs. 4 StGB strafbar machen kann, wenn ich ein solches Geheimnis unbefugt offenbare, nach § 204 StGB, wenn ich es unbefugt verwerte, und ebenso, wenn ich andere Personen heranziehe, ohne für deren Verpflichtung zu sorgen. Den Wortlaut der §§ 203 bis 205 StGB habe ich erhalten.
4. Ich ziehe andere Personen nur mit Zustimmung der Gesellschafter heran und erst, nachdem sie eine gleichartige Erklärung abgegeben haben.

________ (Ort), ________ (Datum) · ________ (Unterschrift oder Erklärung in Textform mit Namensangabe)

---

Drillix GbR · Alter Ring 2, 02894 Reichenbach/O.L. · kontakt@drillix.de

Stand: 2. Oktober 2026 · Version 1.4.1