Gegenseitige Vertraulichkeitsvereinbarung (NDA)

Parteien

Diese Vereinbarung wird geschlossen zwischen Janeway.io UG (haftungsbeschränkt), August-Bebel-Straße 16, 16816 Neuruppin, eingetragen im Handelsregister beim Amtsgericht Neuruppin unter HRB 15191 NP, vertreten durch den Geschäftsführer Lukas Pritzkow, E-Mail für Mitteilungen: contact@janeway.io (nachfolgend „Janeway“)

und

Name bzw. Firma: ______________________________________________

Anschrift: ______________________________________________

vertreten durch (bei Unternehmen): ______________________________________________

E-Mail für Mitteilungen: ______________________________________________

(nachfolgend „Partner“; Janeway und Partner gemeinsam die „Parteien“).

Diese Angabe dient der Einordnung; maßgeblich sind die tatsächlichen Umstände (§§ 13, 14 BGB).

---

§ 1 Zweck

(1) Die Parteien beabsichtigen, einander im Rahmen des folgenden Vorhabens Informationen offenzulegen (nachfolgend „Zweck“; Mehrfachauswahl möglich, mindestens ein Zweck ist anzukreuzen):

Ein Kreuz in dieser Vereinbarung ist nur wirksam, wenn es bei Unterzeichnung durch beide Parteien vorhanden war; nachträgliche Kreuze bedürfen der Textform beider Parteien. Ist kein Zweck wirksam angekreuzt, gilt die Prüfung und Anbahnung einer geschäftlichen Zusammenarbeit als Zweck.

(2) Diese Vereinbarung regelt den Umgang mit Informationen, die eine Partei (nachfolgend „offenlegende Partei“) der anderen (nachfolgend „empfangende Partei“) zu diesem Zweck zugänglich macht. Beide Parteien können in beiden Rollen auftreten. Eine Pflicht, bestimmte Informationen offenzulegen oder einen weiteren Vertrag zu schließen, begründet diese Vereinbarung nicht.

(3) Wo diese Vereinbarung Textform verlangt, genügt eine lesbare Erklärung auf einem dauerhaften Datenträger, insbesondere eine E-Mail (§ 126b BGB).

§ 2 Vertrauliche Informationen

(1) „Vertrauliche Informationen“ sind alle Informationen, gleich in welcher Form, die die offenlegende Partei der empfangenden Partei zum Zweck zugänglich macht oder die die empfangende Partei bei der Verfolgung des Zwecks erlangt, und die als vertraulich gekennzeichnet sind oder deren Vertraulichkeit sich aus ihrer Natur oder den Umständen der Offenlegung ergibt, insbesondere

• Quelltext, Systemarchitektur, Konfigurationen, Zugangsdaten, Schnittstellen und Infrastrukturangaben,
• Schwachstellen, Prüfergebnisse, Angriffswege und Prüfberichte,
• Geschäftsgeheimnisse im Sinne des § 2 Nr. 1 GeschGehG, Preise, Kalkulationen, Kunden-, Lieferanten- und Vertragsdaten, Planungen und Produktvorhaben,
• personenbezogene Daten, die die empfangende Partei dabei zur Kenntnis nimmt.

(2) Ergebnisse einer Sicherheitsprüfung sind auch ohne Kennzeichnung Vertrauliche Informationen; § 3 Abs. 1 Nr. 2 und 4 bleibt unberührt.

(3) Prüfergebnisse gehören der geprüften Partei. Schwachstellen und Prüfergebnisse zu Systemen einer Partei (nachfolgend „geprüfte Partei“) sind Vertrauliche Informationen dieser Partei, gleich welche Partei sie gefunden oder erstellt hat; insoweit gilt die geprüfte Partei als offenlegende Partei. Die andere Partei (nachfolgend „prüfende Partei“) räumt der geprüften Partei an ihren Prüfberichten ein einfaches, zeitlich unbegrenztes und unentgeltliches Recht ein, sie zur Behebung, zur Dokumentation, zur Erfüllung gesetzlicher Pflichten und zur Unterrichtung betroffener Kunden zu nutzen und dafür an ihre Dienstleister und Behörden weiterzugeben. Ob und wann Schwachstellen und Prüfergebnisse veröffentlicht oder als Referenz genannt werden dürfen, richtet sich nach der Freigabe; fehlt dort eine Regelung, nur mit Zustimmung der geprüften Partei in Textform.

§ 3 Ausnahmen

(1) Keine Vertraulichen Informationen sind Informationen,

1. die die empfangende Partei bei Offenlegung bereits rechtmäßig kannte, ohne zur Vertraulichkeit verpflichtet zu sein,
2. die sie danach rechtmäßig von einem Dritten ohne Vertraulichkeitspflicht erhält,
3. die sie unabhängig und ohne Rückgriff auf Vertrauliche Informationen selbst entwickelt hat, oder
4. die ohne Verstoß gegen diese Vereinbarung allgemein bekannt sind oder werden.

(2) Abs. 1 Nr. 1 und 3 gelten nicht für Schwachstellen und Prüfergebnisse zu Systemen der anderen Partei, die die empfangende Partei im Rahmen einer Sicherheitsprüfung gefunden hat — auch nicht, wenn sie sie vor Unterzeichnung gefunden hat.

(3) Die empfangende Partei darf Vertrauliche Informationen offenlegen, soweit sie dazu gesetzlich, behördlich oder gerichtlich verpflichtet ist. Sie unterrichtet die offenlegende Partei, soweit rechtlich zulässig, vorher, beschränkt die Offenlegung auf das Erforderliche und unterstützt zumutbare Schritte, sie zu begrenzen.

(4) Unberührt bleiben Offenlegungen zur Aufdeckung einer rechtswidrigen Handlung oder eines beruflichen oder sonstigen Fehlverhaltens, soweit sie geeignet sind, das allgemeine öffentliche Interesse zu schützen (§ 5 Nr. 2 GeschGehG), sowie Meldungen und Offenlegungen nach dem Hinweisgeberschutzgesetz. Vereinbarungen, die Rechte nach dem Hinweisgeberschutzgesetz einschränken, sind unwirksam (§ 39 HinSchG).

§ 4 Pflichten der empfangenden Partei

(1) Die empfangende Partei

1. verwendet Vertrauliche Informationen ausschließlich für den Zweck,
2. schützt sie mindestens mit der Sorgfalt, die sie für eigene vergleichbare Informationen anwendet, wenigstens aber mit angemessenen Geheimhaltungsmaßnahmen im Sinne des § 2 Nr. 1 lit. b GeschGehG: Zugriff nur für Berechtigte, Zugangsschutz durch Authentifizierung, verschlüsselte Übertragung sowie verschlüsselte Speicherung von Zugangsdaten und Prüfergebnissen; weitergehende Verschlüsselung schuldet eine Partei nur nach Maßgabe ihrer eigenen technischen und organisatorischen Maßnahmen, die sie der anderen Partei auf Verlangen mitteilt,
3. macht sie nur solchen Mitarbeitern, Organen und Beratern zugänglich, die sie für den Zweck benötigen und die ihrerseits mindestens gleichwertig zur Vertraulichkeit verpflichtet sind; Berufsgeheimnisträger gelten als verpflichtet,
4. gibt sie an sonstige Dritte nur mit vorheriger Zustimmung der offenlegenden Partei in Textform weiter,
5. unterrichtet die offenlegende Partei unverzüglich, wenn sie Kenntnis von einer unbefugten Offenlegung oder Nutzung erlangt.

(2) KI-Dienste. Vertrauliche Informationen dürfen in KI-gestützten Diensten Dritter nur verarbeitet werden, wenn (a) der Anbieter vertraglich zur Vertraulichkeit verpflichtet ist, (b) vertraglich ausgeschlossen ist, dass er die Inhalte zum Training oder zur Verbesserung eigener Modelle verwendet, und die Anbieterbedingungen dazu dokumentiert sind, und (c) personenbezogene Daten nur unter den Voraussetzungen des Kapitels V DSGVO in Drittländer übermittelt werden. Quelltext, Zugangsdaten, Schwachstellen und Prüfergebnisse der anderen Partei werden in solche Dienste nur mit deren vorheriger Zustimmung in Textform eingegeben.

(3) Reverse Engineering. Das Beobachten, Untersuchen, Zurückentwickeln oder Testen von Gegenständen und Software der offenlegenden Partei, um Vertrauliche Informationen zu erlangen, ist untersagt; soweit es um Gegenstände im Besitz der empfangenden Partei geht, ist diese Vereinbarung eine vertragliche Beschränkung im Sinne des § 3 Abs. 1 Nr. 2 lit. b GeschGehG. Ausgenommen sind Prüfhandlungen im Umfang der Freigabe oder einer anderen ausdrücklichen Erlaubnis der offenlegenden Partei in Textform. Zwingende gesetzliche Befugnisse, insbesondere §§ 69d und 69e UrhG, bleiben unberührt.

(4) Zugangsdaten. Überlassene oder bei einer Prüfung aufgefundene Zugangsdaten, Schlüssel und Tokens nutzt die empfangende Partei nur im Umfang der Freigabe oder, soweit keine besteht, des Zwecks, gibt sie nicht weiter, meldet einen Verdacht auf ihre Kenntnis durch Dritte unverzüglich und löscht sie mit Abschluss des Zwecks. Aufgefundene Zugangsdaten verwendet sie nicht über den Nachweis ihrer Gültigkeit hinaus, soweit die Freigabe nichts anderes bestimmt.

(5) Die empfangende Partei haftet für das Verhalten der Personen, denen sie Vertrauliche Informationen zugänglich macht, wie für eigenes Verhalten.

§ 5 Personenbezogene Daten und Fernmeldegeheimnis

(1) Personenbezogene Daten, für die die andere Partei verantwortlich ist oder die sie im Auftrag Dritter verarbeitet, verarbeitet die empfangende Partei nur, soweit der Zweck es zwingend erfordert, unter Beachtung dieser Vereinbarung und der Freigabe und unter Wahrung der Vertraulichkeit.

(2) Erlangt die empfangende Partei bei einer Sicherheitsprüfung Zugriff auf solche Daten, beschränkt sie ihn auf den Nachweis der Schwachstelle mit möglichst wenigen Datensätzen, ruft keine weiteren ab und unterrichtet die andere Partei unverzüglich, spätestens binnen 24 Stunden, in Textform über Art, Umfang und Zeitpunkt des Zugriffs. Nachweiskopien übergibt sie mit dem Prüfbericht und löscht sie danach.

(3) Diese Vereinbarung allein begründet keine Auftragsverarbeitung. Soll eine Partei personenbezogene Daten im Auftrag der anderen verarbeiten, schließen die Parteien vorher einen Vertrag nach Art. 28 DSGVO.

(4) Das Fernmeldegeheimnis nach § 3 TDDDG ist von dieser Vereinbarung nicht erfasst. Soll die empfangende Partei Zugang zu Systemen erhalten, die Inhalte oder nähere Umstände von Telekommunikation verarbeiten, verpflichtet Janeway sie vorher gesondert hierauf.

§ 6 Rückgabe und Löschung

(1) Auf Verlangen der offenlegenden Partei, spätestens bei Ende dieser Vereinbarung, gibt die empfangende Partei Vertrauliche Informationen und daraus gefertigte Kopien binnen dreißig Tagen zurück oder löscht sie, nach Wahl der offenlegenden Partei, und bestätigt dies in Textform.

(2) Ausgenommen sind Exemplare, die gesetzlichen Aufbewahrungspflichten unterliegen, sowie Kopien in routinemäßigen Datensicherungen, die nicht gezielt gelöscht werden können und turnusmäßig überschrieben werden; für sie gilt diese Vereinbarung bis zu ihrer Löschung fort. Zugangsdaten und Nachweiskopien nach § 5 Abs. 2 sind von der Ausnahme für Datensicherungen nicht erfasst.

§ 7 Keine Rechtseinräumung, keine Gewähr

(1) Alle Rechte an Vertraulichen Informationen verbleiben bei der offenlegenden Partei. Nutzungs- oder Schutzrechte werden durch diese Vereinbarung nicht eingeräumt, außer dem Recht zur Nutzung für den Zweck und dem Recht nach § 2 Abs. 3.

(2) Für Richtigkeit und Vollständigkeit Vertraulicher Informationen wird keine Gewähr übernommen. Die Haftung bei Vorsatz, grober Fahrlässigkeit und Arglist, für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit sowie für Angaben zum Umfang der Freigabe bleibt unberührt.

§ 8 Laufzeit

(1) Diese Vereinbarung tritt mit Zugang der letzten Unterzeichnung in Kraft und endet zwei Jahre danach, ohne dass es einer Kündigung bedarf. Sie erfasst auch Informationen, die im Hinblick auf den Zweck bereits vorher offengelegt wurden. Jede Partei kann sie vorher mit einer Frist von einem Monat in Textform für die Zukunft kündigen.

(2) Die §§ 2 bis 7, 9 und 10 gelten nach Ende der Vereinbarung drei Jahre fort. Für Geschäftsgeheimnisse im Sinne des § 2 Nr. 1 GeschGehG, Zugangsdaten und nicht behobene Schwachstellen gelten sie darüber hinaus fort, solange die Information diese Eigenschaft hat; wird sie ohne Verstoß gegen diese Vereinbarung allgemein bekannt, endet die Pflicht für diese Information. Die Behebung einer Schwachstelle teilt die geprüfte Partei der anderen in Textform mit.

§ 9 Haftung, Vertragsstrafe und Unterlassung

(1) Bei einer Verletzung dieser Vereinbarung haftet die verletzende Partei nach den gesetzlichen Vorschriften. Ansprüche auf Unterlassung, Beseitigung und Auskunft, auch im Wege einstweiligen Rechtsschutzes, sowie Ansprüche nach dem GeschGehG bleiben unberührt.

(2) Vertragsstrafe — nur wenn angekreuzt.

Ist sie vereinbart und verletzt eine Partei, die Unternehmer im Sinne des § 14 BGB ist — Janeway eingeschlossen —, schuldhaft ihre Pflichten nach § 4 Abs. 1 Nr. 1, 3 oder 4, Abs. 2, Abs. 3 oder Abs. 4, verspricht sie der anderen für jeden Verstoß eine Vertragsstrafe. Deren Höhe bestimmt die verletzte Partei nach billigem Ermessen (§ 315 BGB) nach Art, Dauer und Schwere des Verstoßes, dem Verschuldensgrad und dem Gewicht der betroffenen Information; sie ist im Streitfall gerichtlich in vollem Umfang auf ihre Angemessenheit zu überprüfen („Hamburger Brauch“) und beträgt höchstens 10.000 EUR je Verstoß. Mehrere Verstöße aus einer einheitlichen Handlung gelten als ein Verstoß. Eine verwirkte Vertragsstrafe wird auf einen Schadensersatz angerechnet (§§ 340 Abs. 2, 341 Abs. 2 BGB). Ist keines oder sind beide Felder angekreuzt, ist eine Vertragsstrafe nicht vereinbart.

(3) Ein Verbraucher (§ 13 BGB) oder eine juristische Person des öffentlichen Rechts schuldet in keinem Fall eine Vertragsstrafe; für diese bleibt es bei Absatz 1. Eine nach Absatz 2 vereinbarte Vertragsstrafe von Janeway bleibt davon unberührt.

§ 10 Schlussbestimmungen

(1) Änderungen und Ergänzungen bedürfen der Textform. Individuelle Abreden haben Vorrang (§ 305b BGB).

(2) Diese Vereinbarung kann auch durch Austausch unterzeichneter Scans oder elektronisch geschlossen werden. Jede Partei erhält eine Ausfertigung.

(3) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Gegenüber Verbrauchern bleiben die zwingenden Schutzvorschriften des Staates ihres gewöhnlichen Aufenthalts unberührt.

(4) Ist der Partner Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Gerichtsstand für alle Streitigkeiten aus dieser Vereinbarung der Sitz von Janeway.

(5) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen unberührt. An ihre Stelle tritt die gesetzliche Regelung.

---

Unterschrift