Zusätzliche Vertraulichkeitsvereinbarung

für Ärzte, medizinische Einrichtungen und sonstige Berufsgeheimnisträger

Ergänzung zu ReviewBird SaaS-AGB und AV-Vertrag

Fassung 2.0.0 · Stand 13. September 2026

Vertragsparteien

Anbieter

Schild Roth SEO Agentur GmbH

Bismarckstr. 1-3
50672 Köln

– nachfolgend „Anbieter“ –

und

Kunde

Kunde gemäß dem SaaS-Nutzungsvertrag

Anschrift gemäß den zugeordneten Vertragsdaten

vertreten durch die in den zugeordneten Vertragsdaten benannte vertretungsberechtigte Person

– nachfolgend „Kunde“ –

Präambel

Der Kunde nutzt die Software-as-a-Service-Plattform „ReviewBird“. Er unterliegt gesetzlichen oder berufsrechtlichen Verschwiegenheitspflichten und verarbeitet im Rahmen seiner Tätigkeit insbesondere Berufsgeheimnisse sowie gegebenenfalls personenbezogene Gesundheitsdaten. Der Anbieter kann bei Einrichtung, Betrieb, Wartung, Sicherheit oder Support als sonstige mitwirkende Person im Sinne des § 203 StGB tätig werden.

Im Normalbetrieb sollen die in ReviewBird verarbeiteten personenbezogenen Daten durch technische und organisatorische Maßnahmen vor einer Kenntnisnahme durch den Anbieter geschützt sein. Ein Zugriff kann in Ausnahmefällen insbesondere zur Störungsbeseitigung oder im Support erforderlich werden. Hierfür vereinbaren die Parteien ergänzend Folgendes:

§ 1 Gegenstand, Anwendungsbereich und Rangfolge

(1) Diese Vereinbarung konkretisiert die Pflichten des Anbieters zum Schutz der dem Kunden anvertrauten oder sonst bekannt gewordenen Berufs- und Privatgeheimnisse. Sie gilt für alle Leistungen im Zusammenhang mit ReviewBird, bei denen der Anbieter oder von ihm eingesetzte Personen die Möglichkeit erhalten, von geschützten Informationen Kenntnis zu nehmen.

(2) Die Vereinbarung gilt ergänzend zu dem SaaS-Nutzungsvertrag einschließlich der SaaS-AGB sowie zu der für den Kunden angenommenen Vereinbarung über die Auftragsverarbeitung in der im Annahmenachweis bezeichneten Fassung und den dort beschriebenen technischen und organisatorischen Maßnahmen.

(3) Bei Widersprüchen geht für datenschutzrechtliche Regelungsgegenstände die Vereinbarung über die Auftragsverarbeitung vor. Für den Schutz gesetzlicher oder berufsrechtlicher Geheimnisse geht diese Vereinbarung den SaaS-AGB vor. Im Übrigen bleiben die Regelungen des SaaS-Nutzungsvertrags unberührt.

(4) Diese Vereinbarung begründet kein eigenständiges Recht des Anbieters, auf Kunden-, Patienten- oder sonstige Endkundendaten zuzugreifen.

§ 2 Geschützte Informationen

(1) „Berufsgeheimnisse“ sind alle Tatsachen, die dem persönlichen oder sachlichen Geheimbereich einer Person zuzuordnen und nur einem begrenzten Personenkreis bekannt sind, an deren Geheimhaltung die betroffene Person ein schutzwürdiges Interesse hat und die dem Kunden in seiner beruflichen Eigenschaft anvertraut oder sonst bekannt geworden sind.

(2) Hierzu gehören insbesondere die Identität von Patienten oder Mandanten, das Bestehen eines Behandlungs-, Beratungs- oder sonstigen Vertrauensverhältnisses, Kontaktdaten, Termine, Terminkategorien, Behandlungs- und Gesundheitsinformationen, Kommunikationsinhalte, Feedback, Bewertungen sowie sämtliche daraus ableitbaren Informationen.

(3) „Vertrauliche Informationen“ sind darüber hinaus alle nicht offenkundigen geschäftlichen, organisatorischen, technischen oder sicherheitsbezogenen Informationen des Kunden, insbesondere Zugangsdaten, Konfigurationen, Schnittstelleninformationen, Sicherheitsmaßnahmen und Geschäftsgeheimnisse.

(4) Nicht erfasst sind Informationen, die der Anbieter nachweislich bereits rechtmäßig kannte, ohne Verstoß gegen diese Vereinbarung allgemein bekannt werden, von einem hierzu berechtigten Dritten rechtmäßig mitgeteilt oder vom Anbieter unabhängig entwickelt wurden. Zwingende gesetzliche oder berufsrechtliche Verschwiegenheitspflichten bleiben unberührt.

§ 3 Vertraulichkeitspflichten des Anbieters

(1) Der Anbieter behandelt Berufsgeheimnisse und vertrauliche Informationen streng vertraulich. Er verwendet sie ausschließlich in dem Umfang, der zur Erfüllung des SaaS-Nutzungsvertrags, einer dokumentierten Weisung des Kunden oder einer zwingenden gesetzlichen Pflicht erforderlich ist.

(2) Der Anbieter darf geschützte Informationen weder zu eigenen Zwecken nutzen noch Dritten offenbaren. Dies gilt insbesondere für Werbe-, Profilbildungs-, Analyse- und Trainingszwecke sowie für die Verwendung als Referenz oder Fallbeispiel.

(3) Der Anbieter beschränkt Zugriffe nach dem Erforderlichkeits- und Need-to-know-Prinzip. Geschützte Informationen dürfen nur solchen Personen zugänglich gemacht werden, deren Mitwirkung für den jeweiligen Vertragszweck erforderlich ist und die vorab nach § 6 verpflichtet wurden.

(4) Vervielfältigungen, Auszüge, Bildschirmaufnahmen, lokale Downloads und Übertragungen geschützter Informationen sind nur zulässig, soweit sie für den konkreten Vertragszweck zwingend erforderlich und angemessen geschützt sind.

(5) Die vertragsgemäße Verwendung nicht personenbezogener technischer Betriebs- und Systemdaten, die weder Rückschlüsse auf Inhalte oder Endkunden noch auf einzelne Nutzer zulassen, richtet sich nach den SaaS-AGB.

§ 4 Mitwirkung nach § 203 StGB

(1) Soweit dies für die Inanspruchnahme der vertraglich geschuldeten Tätigkeit erforderlich ist, wird der Anbieter als sonstige mitwirkende Person in die berufliche Tätigkeit des Kunden einbezogen. Die Befugnis zur Kenntnisnahme reicht nicht weiter als die konkrete Mitwirkung erfordert.

(2) Der Anbieter wird hiermit ausdrücklich zur Geheimhaltung verpflichtet. Er wurde darauf hingewiesen, dass die unbefugte Offenbarung eines fremden Geheimnisses insbesondere nach § 203 Abs. 4 StGB strafbar sein kann und dass auch die unbefugte Verwertung fremder Geheimnisse strafrechtliche Folgen haben kann.

(3) Bedient sich der Anbieter weiterer Personen, die im Rahmen ihrer Tätigkeit die Möglichkeit erhalten, von Berufsgeheimnissen Kenntnis zu nehmen, stellt er vor deren Einsatz sicher, dass diese mindestens gleichwertig zur Geheimhaltung verpflichtet und über die möglichen strafrechtlichen Folgen einer unbefugten Offenbarung belehrt werden.

(4) Der Anbieter dokumentiert die Verpflichtungen nach Absatz 3 und weist deren Bestehen dem Kunden auf begründete Anfrage in geeigneter Form nach. Rechte der betroffenen Beschäftigten und Geschäftsgeheimnisse des Anbieters sind dabei zu wahren.

§ 5 Support-, Administrations- und Notfallzugriffe

(1) Ein routinemäßiger Einblick des Anbieters in personenbezogene Kunden- oder Endkundendaten ist nicht vorgesehen. Support- und Administrationszugriffe erfolgen nur, soweit sie zur Bearbeitung eines konkreten Supportfalls, zur Störungsbeseitigung, zur Sicherheit oder zur Umsetzung einer dokumentierten Weisung erforderlich sind.

(2) Ein Zugriff auf geschützte Informationen setzt grundsätzlich eine dokumentierte Supportanfrage oder Weisung des Kunden voraus. Ist zur Abwehr einer gegenwärtigen Sicherheitsgefahr oder eines unmittelbar drohenden erheblichen Datenverlusts ein sofortiger Zugriff erforderlich und von den dokumentierten Weisungen gedeckt, darf der Anbieter die erforderlichen Maßnahmen treffen und informiert den Kunden unverzüglich.

(3) Zugriffe werden auf den notwendigen Umfang und Zeitraum beschränkt. Der Anbieter protokolliert mindestens die zugreifende Person, Zeitpunkt, Anlass und wesentliche Zugriffshandlungen. Die Aufbewahrungsdauer dieser Protokolle beträgt drei Jahre ab dem Ende des Jahres, in dem der Vertrag beendet wurde.

(4) Nach Abschluss des Supportfalls werden erteilte Sonderberechtigungen unverzüglich entzogen. Vorübergehend angefertigte Supportkopien, Auszüge oder Bildschirmaufnahmen werden gelöscht, sobald sie nicht mehr erforderlich sind, spätestens 30 Kalendertage nach Abschluss des Supportfalls.

(5) Der Anbieter fordert keine persönlichen Passwörter des Kunden an. Soweit ein Zugang erforderlich ist, sind nach Möglichkeit zeitlich beschränkte Supportzugänge oder andere technisch kontrollierte Zugriffsverfahren zu verwenden.

§ 6 Beschäftigte und weitere mitwirkende Personen

(1) Der Anbieter setzt nur sorgfältig ausgewählte, angemessen unterwiesene und auf Vertraulichkeit verpflichtete Beschäftigte oder sonstige mitwirkende Personen ein. Der Zugriff wird rollenbezogen auf diejenigen Personen begrenzt, deren Tätigkeit ihn erfordert.

(2) Die Verpflichtung der eingesetzten Personen gilt auch nach Beendigung ihrer Tätigkeit oder ihres Beschäftigungs- beziehungsweise Auftragsverhältnisses fort.

(3) Unterauftragnehmer werden nach Maßgabe des AV-Vertrags eingesetzt. Soweit sie Kenntnis von Berufsgeheimnissen erlangen können, verpflichtet der Anbieter sie vor Beginn der Tätigkeit zu mindestens gleichwertiger Geheimhaltung und zur entsprechenden Verpflichtung weiterer eingesetzter Personen.

(4) Die Verantwortlichkeit des Anbieters für die von ihm zur Vertragserfüllung eingesetzten Personen richtet sich nach dem SaaS-Nutzungsvertrag und den gesetzlichen Vorschriften.

§ 7 Technische und organisatorische Sicherung

(1) Der Anbieter schützt geschützte Informationen durch angemessene technische und organisatorische Maßnahmen nach dem Stand der Technik. Einzelheiten ergeben sich aus dem AV-Vertrag und den dort dokumentierten technischen und organisatorischen Maßnahmen.

(2) Hierzu gehören insbesondere angemessene Verschlüsselung, rollenbasierte Berechtigungen, Mehrfaktor-Authentifizierung für privilegierte Zugänge, Protokollierung, sichere Administrationswege sowie Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Schutzmaßnahmen, soweit dies nach Art und Risiko der Verarbeitung erforderlich ist.

(3) Geschützte Informationen dürfen nicht über private oder nicht freigegebene Konten, Endgeräte, Datenträger oder Kommunikationswege verarbeitet werden. Eine Übermittlung in Supporttickets oder unverschlüsselten Nachrichten ist auf das unbedingt erforderliche Maß zu beschränken; identifizierende Angaben sind nach Möglichkeit zu pseudonymisieren.

(4) Änderungen der technischen und organisatorischen Maßnahmen dürfen das vereinbarte Schutzniveau nicht unterschreiten. Wesentliche Änderungen werden nach Maßgabe des AV-Vertrags dokumentiert.

§ 8 Offenlegungspflichten, Anfragen und Vorfälle

(1) Ist der Anbieter aufgrund einer gesetzlichen, gerichtlichen oder behördlichen Anordnung zur Offenlegung geschützter Informationen verpflichtet, beschränkt er die Offenlegung auf das zwingend erforderliche Maß. Soweit rechtlich zulässig, informiert er den Kunden vorab und gibt ihm Gelegenheit, Rechtsschutz zu suchen.

(2) Anfragen von Patienten, Mandanten, Behörden oder sonstigen Dritten zu geschützten Informationen leitet der Anbieter unverzüglich an den Kunden weiter. Er beantwortet sie nicht selbst, soweit er hierzu nicht gesetzlich verpflichtet oder vom Kunden dokumentiert angewiesen ist.

(3) Der Anbieter informiert den Kunden unverzüglich über jede festgestellte oder begründet vermutete unbefugte Kenntnisnahme, Offenbarung, Veränderung, Verlust oder sonstige Beeinträchtigung geschützter Informationen über die im Benutzerkonto hinterlegte Kontaktadresse des Kunden. Die Meldung enthält die nach dem jeweiligen Kenntnisstand verfügbaren Angaben zu Art, Umfang, betroffenen Daten, möglichen Folgen und getroffenen Gegenmaßnahmen.

(4) Der Anbieter trifft unverzüglich angemessene Maßnahmen zur Eindämmung und Aufklärung des Vorfalls, sichert erforderliche Nachweise und unterstützt den Kunden bei dessen gesetzlichen und berufsrechtlichen Pflichten. Externe Mitteilungen erfolgen nur auf dokumentierte Weisung des Kunden, soweit keine zwingende eigene Pflicht des Anbieters besteht.

§ 9 Rückgabe, Löschung und Aufbewahrung

(1) Rückgabe, Export, Sperrung und Löschung von Kunden- und Endkundendaten richten sich nach dem SaaS-Nutzungsvertrag, dem AV-Vertrag und dem vereinbarten Löschkonzept.

(2) Lokale Supportkopien, Auszüge und sonstige außerhalb des Produktivsystems vorübergehend gespeicherte geschützte Informationen werden nach Wegfall des Zwecks sicher gelöscht. Daten in Sicherungskopien werden innerhalb des vereinbarten Backup-Löschzyklus von 30 Kalendertagen gelöscht oder überschrieben und bis dahin gegen produktive Nutzung gesperrt.

(3) Soweit gesetzliche Aufbewahrungspflichten einer Löschung entgegenstehen, werden die betroffenen Informationen für andere Zwecke gesperrt und weiterhin nach dieser Vereinbarung geschützt. Die gesetzlichen Nachweis- und Aufbewahrungspflichten des Kunden bleiben unberührt.

§ 10 Beginn, Dauer und Fortgeltung

(1) Diese Vereinbarung tritt mit ihrer Annahme durch den Kunden, spätestens jedoch mit der erstmaligen Möglichkeit des Anbieters zur Kenntnisnahme geschützter Informationen in Kraft.

(2) Sie gilt für die Dauer des SaaS-Nutzungsvertrags. Die Pflichten zur Geheimhaltung bestehen nach dessen Beendigung zeitlich unbefristet fort, solange die betreffenden Informationen geheim oder aufgrund gesetzlicher beziehungsweise berufsrechtlicher Vorschriften geschützt sind.

(3) Die Beendigung des SaaS-Nutzungsvertrags lässt bereits entstandene Lösch-, Mitwirkungs-, Nachweis- und Informationspflichten unberührt.

§ 11 Vertragsschluss und Schlussbestimmungen

(1) Diese vom Anbieter bereitgestellte Vereinbarung stellt ein verbindliches Angebot auf Abschluss einer zusätzlichen Vertraulichkeitsvereinbarung dar. Der Kunde nimmt sie im Bestell-, Registrierungs- oder Onboardingprozess durch Anklicken der entsprechend bezeichneten Checkbox an. Vor der Annahme wird ihm ermöglicht, die Vereinbarung abzurufen und zu speichern.

(2) Der Anbieter protokolliert die Annahme mit der jeweils geltenden Fassung, Datum, Uhrzeit und Benutzerkonto. Dem Kunden wird die angenommene Fassung dauerhaft zugänglich gemacht oder in Textform übermittelt.

(3) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform, soweit nicht gesetzlich eine strengere Form vorgeschrieben ist. Individuelle Vereinbarungen bleiben unberührt.

(4) Für Haftung, anwendbares Recht, Gerichtsstand und die Abtretung von Rechten gelten die Regelungen des SaaS-Nutzungsvertrags. Zwingende gesetzliche Vorschriften bleiben unberührt.

(5) Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften.

Erklärung des Anbieters und Annahmenachweis

Der Anbieter bestätigt die vorstehenden Verpflichtungen und stellt diese Vereinbarung dem Kunden als ergänzendes Vertragsdokument zur Annahme bereit.

Ort, Datum	Köln, 13. September 2026
Anbieter	Schild Roth SEO Agentur GmbH
Name und Funktion	Timothy Scherman, Geschäftsführer; elektronisch bereitgestellte Erklärung des Anbieters

Annahmenachweis des Kunden: Datum und Uhrzeit der tatsächlichen Annahme, das dabei verwendete Benutzerkonto und die verwendete Fassung 2.0.0 werden gemäß § 11 Abs. 2 elektronisch protokolliert und dem Kunden zugeordnet. Die öffentliche Vertragsfassung bestätigt keine bereits erfolgte Kundenannahme.