Zusätzliche Vertraulichkeitsvereinbarung

für Kunden mit gesetzlicher oder berufsrechtlicher Verschwiegenheitspflicht (Berufsgeheimnisträger)

Ergänzung zu den ReviewBird Lizenz- und Nutzungsbedingungen und zur Vereinbarung über die Auftragsverarbeitung

Fassung 1.0.0 · Stand 27. Juli 2026

Vertragsparteien

Anbieter: Schild Roth SEO Agentur GmbH, Bismarckstr. 1–3, 50672 Köln, vertreten durch den Geschäftsführer Timothy Scherman – nachfolgend „Anbieter“ –

und

Kunde: der Berufsgeheimnisträger gemäß dem SaaS-Nutzungsvertrag; die Angaben zu Name/Firmierung, Anschrift und Vertretung werden aus den Registrierungsdaten übernommen – nachfolgend „Kunde“ –

Präambel

Der Kunde nutzt die Software-as-a-Service-Plattform „ReviewBird“. Er unterliegt einer gesetzlichen oder berufsrechtlichen Verschwiegenheitspflicht – etwa als Angehöriger der Heilberufe, der rechts- oder steuerberatenden Berufe oder eines sonstigen in § 203 StGB genannten Berufs – und verarbeitet im Rahmen seiner Tätigkeit insbesondere Berufsgeheimnisse sowie gegebenenfalls besondere Kategorien personenbezogener Daten. Der Anbieter kann bei Einrichtung, Betrieb, Wartung, Sicherheit oder Support als sonstige mitwirkende Person im Sinne des § 203 StGB tätig werden.

Im Normalbetrieb sollen die in ReviewBird verarbeiteten personenbezogenen Daten durch technische und organisatorische Maßnahmen vor einer Kenntnisnahme durch den Anbieter geschützt sein. Ein Zugriff kann in Ausnahmefällen insbesondere zur Störungsbeseitigung oder im Support erforderlich werden. Hierfür vereinbaren die Parteien ergänzend Folgendes:

§ 1 Gegenstand, Anwendungsbereich und Rangfolge

(1) Diese Vereinbarung konkretisiert die Pflichten des Anbieters zum Schutz der dem Kunden anvertrauten oder sonst bekannt gewordenen Berufs- und Privatgeheimnisse. Sie gilt für alle Leistungen im Zusammenhang mit ReviewBird, bei denen der Anbieter oder von ihm eingesetzte Personen die Möglichkeit erhalten, von geschützten Informationen Kenntnis zu nehmen.

(2) Die Vereinbarung gilt ergänzend zu dem SaaS-Nutzungsvertrag einschließlich der Lizenz- und Nutzungsbedingungen sowie zu der Vereinbarung über die Auftragsverarbeitung und den dort beschriebenen technischen und organisatorischen Maßnahmen.

(3) Bei Widersprüchen geht für datenschutzrechtliche Regelungsgegenstände die Vereinbarung über die Auftragsverarbeitung vor. Für den Schutz gesetzlicher oder berufsrechtlicher Geheimnisse geht diese Vereinbarung den Lizenz- und Nutzungsbedingungen vor. Im Übrigen bleiben die Regelungen des SaaS-Nutzungsvertrags unberührt.

(4) Diese Vereinbarung begründet kein eigenständiges Recht des Anbieters, auf Kunden-, Endkunden- oder sonstige geschützte Daten zuzugreifen.

§ 2 Geschützte Informationen

(1) „Berufsgeheimnisse“ sind alle Tatsachen, die dem persönlichen oder sachlichen Geheimbereich einer Person zuzuordnen und nur einem begrenzten Personenkreis bekannt sind, an deren Geheimhaltung die betroffene Person ein schutzwürdiges Interesse hat und die dem Kunden in seiner beruflichen Eigenschaft anvertraut oder sonst bekannt geworden sind.

(2) Hierzu gehören insbesondere die Identität von Patienten, Mandanten oder sonstigen Vertrauenspersonen, das Bestehen eines Behandlungs-, Beratungs- oder sonstigen Vertrauensverhältnisses, Kontaktdaten, Termine und Terminkategorien, Behandlungs-, Beratungs- oder Gesundheitsinformationen (soweit einschlägig), Kommunikationsinhalte, Feedback, Bewertungen sowie sämtliche daraus ableitbaren Informationen.

(3) „Vertrauliche Informationen“ sind darüber hinaus alle nicht offenkundigen geschäftlichen, organisatorischen, technischen oder sicherheitsbezogenen Informationen des Kunden, insbesondere Zugangsdaten, Konfigurationen, Schnittstelleninformationen, Sicherheitsmaßnahmen und Geschäftsgeheimnisse.

(4) Nicht erfasst sind Informationen, die der Anbieter nachweislich bereits rechtmäßig kannte, ohne Verstoß gegen diese Vereinbarung allgemein bekannt werden, von einem hierzu berechtigten Dritten rechtmäßig mitgeteilt oder vom Anbieter unabhängig entwickelt wurden. Zwingende gesetzliche oder berufsrechtliche Verschwiegenheitspflichten bleiben unberührt.

§ 3 Vertraulichkeitspflichten des Anbieters

(1) Der Anbieter behandelt Berufsgeheimnisse und vertrauliche Informationen streng vertraulich. Er verwendet sie ausschließlich in dem Umfang, der zur Erfüllung des SaaS-Nutzungsvertrags, einer dokumentierten Weisung des Kunden oder einer zwingenden gesetzlichen Pflicht erforderlich ist.

(2) Der Anbieter darf geschützte Informationen weder zu eigenen Zwecken nutzen noch Dritten offenbaren. Dies gilt insbesondere für Werbe-, Profilbildungs-, Analyse- und Trainingszwecke sowie für die Verwendung als Referenz oder Fallbeispiel.

(3) Der Anbieter beschränkt Zugriffe nach dem Erforderlichkeits- und Need-to-know-Prinzip. Geschützte Informationen dürfen nur solchen Personen zugänglich gemacht werden, deren Mitwirkung für den jeweiligen Vertragszweck erforderlich ist und die vorab nach § 6 verpflichtet wurden.

(4) Vervielfältigungen, Auszüge, Bildschirmaufnahmen, lokale Downloads und Übertragungen geschützter Informationen sind nur zulässig, soweit sie für den konkreten Vertragszweck zwingend erforderlich und angemessen geschützt sind.

(5) Die vertragsgemäße Verwendung nicht personenbezogener technischer Betriebs- und Systemdaten, die weder Rückschlüsse auf Inhalte oder Endkunden noch auf einzelne Nutzer zulassen, richtet sich nach den Lizenz- und Nutzungsbedingungen.

§ 4 Mitwirkung nach § 203 StGB

(1) Soweit dies für die Inanspruchnahme der vertraglich geschuldeten Tätigkeit erforderlich ist, wird der Anbieter als sonstige mitwirkende Person in die berufliche Tätigkeit des Kunden einbezogen. Die Befugnis zur Kenntnisnahme reicht nicht weiter als die konkrete Mitwirkung erfordert.

(2) Der Anbieter wird hiermit ausdrücklich zur Geheimhaltung verpflichtet. Er wurde darauf hingewiesen, dass die unbefugte Offenbarung eines fremden Geheimnisses insbesondere nach § 203 Abs. 4 StGB strafbar sein kann und dass auch die unbefugte Verwertung fremder Geheimnisse strafrechtliche Folgen haben kann.

(3) Bedient sich der Anbieter weiterer Personen, die im Rahmen ihrer Tätigkeit die Möglichkeit erhalten, von Berufsgeheimnissen Kenntnis zu nehmen, stellt er vor deren Einsatz sicher, dass diese mindestens gleichwertig zur Geheimhaltung verpflichtet und über die möglichen strafrechtlichen Folgen einer unbefugten Offenbarung belehrt werden.

(4) Der Anbieter dokumentiert die Verpflichtungen nach Absatz 3 und weist deren Bestehen dem Kunden auf begründete Anfrage in geeigneter Form nach. Rechte der betroffenen Beschäftigten und Geschäftsgeheimnisse des Anbieters sind dabei zu wahren.

§ 5 Support-, Administrations- und Notfallzugriffe

(1) Ein routinemäßiger Einblick des Anbieters in personenbezogene Kunden- oder Endkundendaten ist nicht vorgesehen. Support- und Administrationszugriffe erfolgen nur, soweit sie zur Bearbeitung eines konkreten Supportfalls, zur Störungsbeseitigung, zur Sicherheit oder zur Umsetzung einer dokumentierten Weisung erforderlich sind.

(2) Ein Zugriff auf geschützte Informationen setzt grundsätzlich eine dokumentierte Supportanfrage oder Weisung des Kunden voraus. Ist zur Abwehr einer gegenwärtigen Sicherheitsgefahr oder eines unmittelbar drohenden erheblichen Datenverlusts ein sofortiger Zugriff erforderlich und von den dokumentierten Weisungen gedeckt, darf der Anbieter die erforderlichen Maßnahmen treffen und informiert den Kunden unverzüglich.

(3) Zugriffe werden auf den notwendigen Umfang und Zeitraum beschränkt. Der Anbieter protokolliert mindestens die zugreifende Person, Zeitpunkt, Anlass und wesentliche Zugriffshandlungen. Die Aufbewahrungsdauer dieser Protokolle beträgt drei Jahre ab dem Ende des Jahres, in dem der Zugriff erfolgte.

(4) Nach Abschluss des Supportfalls werden erteilte Sonderberechtigungen unverzüglich entzogen. Vorübergehend angefertigte Supportkopien, Auszüge oder Bildschirmaufnahmen werden gelöscht, sobald sie nicht mehr erforderlich sind, spätestens 30 Kalendertage nach Abschluss des Supportfalls.

(5) Der Anbieter fordert keine persönlichen Passwörter des Kunden an; diese sind ihm technisch nicht bekannt oder auslesbar. Soweit ein Zugang erforderlich ist, werden zeitlich beschränkte Supportzugänge oder andere technisch kontrollierte Zugriffsverfahren verwendet.

§ 6 Beschäftigte und weitere mitwirkende Personen

(1) Der Anbieter setzt nur sorgfältig ausgewählte, angemessen unterwiesene und auf Vertraulichkeit verpflichtete Beschäftigte oder sonstige mitwirkende Personen ein. Der Zugriff wird rollenbezogen auf diejenigen Personen begrenzt, deren Tätigkeit ihn erfordert.

(2) Die Verpflichtung der eingesetzten Personen gilt auch nach Beendigung ihrer Tätigkeit oder ihres Beschäftigungs- beziehungsweise Auftragsverhältnisses fort.

(3) Unterauftragnehmer werden nach Maßgabe der Vereinbarung über die Auftragsverarbeitung eingesetzt. Soweit sie Kenntnis von Berufsgeheimnissen erlangen können, verpflichtet der Anbieter sie vor Beginn der Tätigkeit zu mindestens gleichwertiger Geheimhaltung und zur entsprechenden Verpflichtung weiterer eingesetzter Personen.

(4) Die Verantwortlichkeit des Anbieters für die von ihm zur Vertragserfüllung eingesetzten Personen richtet sich nach dem SaaS-Nutzungsvertrag und den gesetzlichen Vorschriften.

§ 7 Technische und organisatorische Sicherung

(1) Der Anbieter schützt geschützte Informationen durch angemessene technische und organisatorische Maßnahmen nach dem Stand der Technik. Einzelheiten ergeben sich aus der Vereinbarung über die Auftragsverarbeitung und den dort dokumentierten technischen und organisatorischen Maßnahmen.

(2) Hierzu gehören insbesondere angemessene Verschlüsselung, rollenbasierte Berechtigungen, Mehrfaktor-Authentifizierung für privilegierte Zugänge, Protokollierung, sichere Administrationswege sowie Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Schutzmaßnahmen, soweit dies nach Art und Risiko der Verarbeitung erforderlich ist.

(3) Geschützte Informationen dürfen nicht über private oder nicht freigegebene Konten, Endgeräte, Datenträger oder Kommunikationswege verarbeitet werden. Eine Übermittlung in Supporttickets oder unverschlüsselten Nachrichten ist auf das unbedingt erforderliche Maß zu beschränken; identifizierende Angaben sind nach Möglichkeit zu pseudonymisieren.

(4) Änderungen der technischen und organisatorischen Maßnahmen dürfen das vereinbarte Schutzniveau nicht unterschreiten. Wesentliche Änderungen werden nach Maßgabe der Vereinbarung über die Auftragsverarbeitung dokumentiert.

§ 8 Offenlegungspflichten, Anfragen und Vorfälle

(1) Ist der Anbieter aufgrund einer gesetzlichen, gerichtlichen oder behördlichen Anordnung zur Offenlegung geschützter Informationen verpflichtet, beschränkt er die Offenlegung auf das zwingend erforderliche Maß. Soweit rechtlich zulässig, informiert er den Kunden vorab und gibt ihm Gelegenheit, Rechtsschutz zu suchen.

(2) Anfragen von Patienten, Mandanten, Behörden oder sonstigen Dritten zu geschützten Informationen leitet der Anbieter unverzüglich an den Kunden weiter. Er beantwortet sie nicht selbst, soweit er hierzu nicht gesetzlich verpflichtet oder vom Kunden dokumentiert angewiesen ist.

(3) Der Anbieter informiert den Kunden unverzüglich über jede festgestellte oder begründet vermutete unbefugte Kenntnisnahme, Offenbarung, Veränderung, Verlust oder sonstige Beeinträchtigung geschützter Informationen über die im Benutzerkonto hinterlegte Kontaktadresse des Kunden. Die Meldung enthält die nach dem jeweiligen Kenntnisstand verfügbaren Angaben zu Art, Umfang, betroffenen Daten, möglichen Folgen und getroffenen Gegenmaßnahmen.

(4) Der Anbieter trifft unverzüglich angemessene Maßnahmen zur Eindämmung und Aufklärung des Vorfalls, sichert erforderliche Nachweise und unterstützt den Kunden bei dessen gesetzlichen und berufsrechtlichen Pflichten. Externe Mitteilungen erfolgen nur auf dokumentierte Weisung des Kunden, soweit keine zwingende eigene Pflicht des Anbieters besteht.

§ 9 Rückgabe, Löschung und Aufbewahrung

(1) Rückgabe, Export, Sperrung und Löschung von Kunden- und Endkundendaten richten sich nach dem SaaS-Nutzungsvertrag, der Vereinbarung über die Auftragsverarbeitung und dem vereinbarten Löschkonzept.

(2) Lokale Supportkopien, Auszüge und sonstige außerhalb des Produktivsystems vorübergehend gespeicherte geschützte Informationen werden nach Wegfall des Zwecks sicher gelöscht. Daten in Sicherungskopien werden innerhalb des vereinbarten Backup-Löschzyklus von 30 Kalendertagen gelöscht oder überschrieben und bis dahin gegen produktive Nutzung gesperrt.

(3) Soweit gesetzliche Aufbewahrungspflichten einer Löschung entgegenstehen, werden die betroffenen Informationen für andere Zwecke gesperrt und weiterhin nach dieser Vereinbarung geschützt. Die gesetzlichen Nachweis- und Aufbewahrungspflichten des Kunden bleiben unberührt.

§ 10 Beginn, Dauer und Fortgeltung

(1) Diese Vereinbarung tritt mit ihrer Annahme durch den Kunden, spätestens jedoch mit der erstmaligen Möglichkeit des Anbieters zur Kenntnisnahme geschützter Informationen in Kraft.

(2) Sie gilt für die Dauer des SaaS-Nutzungsvertrags. Die Pflichten zur Geheimhaltung bestehen nach dessen Beendigung zeitlich unbefristet fort, solange die betreffenden Informationen geheim oder aufgrund gesetzlicher beziehungsweise berufsrechtlicher Vorschriften geschützt sind.

(3) Die Beendigung des SaaS-Nutzungsvertrags lässt bereits entstandene Lösch-, Mitwirkungs-, Nachweis- und Informationspflichten unberührt.

§ 11 Vertragsschluss und Schlussbestimmungen

(1) Diese vom Anbieter bereitgestellte Vereinbarung stellt ein verbindliches Angebot auf Abschluss einer zusätzlichen Vertraulichkeitsvereinbarung dar. Der Kunde nimmt sie im Registrierungs- oder Onboardingprozess durch Anklicken der entsprechend bezeichneten Checkbox an. Vor der Annahme wird ihm ermöglicht, die Vereinbarung abzurufen und zu speichern.

(2) Der Anbieter protokolliert die Annahme mit der jeweils geltenden Fassung, Datum, Uhrzeit und Benutzerkonto und füllt die Angaben zum Kunden aus den Registrierungsdaten. Dem Kunden wird die angenommene Fassung als PDF dauerhaft in seinem Benutzerkonto zum Abruf bereitgestellt.

(3) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform, soweit nicht gesetzlich eine strengere Form vorgeschrieben ist. Individuelle Vereinbarungen bleiben unberührt.

(4) Für Haftung, anwendbares Recht, Gerichtsstand und die Abtretung von Rechten gelten die Regelungen des SaaS-Nutzungsvertrags. Zwingende gesetzliche Vorschriften bleiben unberührt.

(5) Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften.

Erklärung des Anbieters

Der Anbieter bestätigt die vorstehenden Verpflichtungen und stellt diese Vereinbarung dem Kunden als ergänzendes Vertragsdokument zur Annahme bereit. Diese Vereinbarung wird vom Anbieter zugunsten des Kunden abgegeben; einer handschriftlichen Unterzeichnung durch den Kunden bedarf es nicht.

Annahmenachweis des Kunden (automatisch befüllt): angenommen am [Datum] um [Uhrzeit] durch Benutzerkonto [Kennung]; Kunde [Firmenname]; verwendete Fassung [Fassung].