Zusatzvereinbarung zum Auftragsverarbeitungsvertrag

Für Berufsgeheimnisträger gemäß § 203 StGB · Tarife Compliance und Dedicated · Version 1.3 · Stand: November 2026

zwischen

Catalina Rojas Ugarte, handelnd als Einzelunternehmerin unter der Geschäftsbezeichnung „ClapNClaw“,
Gneisenaustrasse 51, Wohnung 9, 10961 Berlin, Deutschland

– nachfolgend ClapNClaw –

und

dem Kunden (Name, Anschrift und Vertreter gemäß den beim Abschluss in Textform gemachten Angaben)

– nachfolgend Kunde –

Präambel

Der Kunde unterliegt als Berufsgeheimnisträger (insbesondere Rechtsanwälte, Steuerberater, Wirtschaftsprüfer, Ärzte und Angehörige weiterer in § 203 Abs. 1 StGB genannter Berufsgruppen) der strafbewehrten Verschwiegenheitspflicht. Er eröffnet ClapNClaw bei der Nutzung der Plattform den Zugang zu Tatsachen, die dieser Pflicht unterliegen. Diese Zusatzvereinbarung konkretisiert die Pflichten von ClapNClaw als „sonstige mitwirkende Person“ im Sinne des § 203 Abs. 3 Satz 2 StGB und erfüllt insbesondere die Anforderungen des § 43e Abs. 3 BRAO und des § 62a Abs. 3 StBerG sowie die Verpflichtungspflicht des Kunden nach § 203 Abs. 4 Satz 2 Nr. 1 StGB. Sie wird in Textform geschlossen; die elektronische Form genügt. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bleibt unberührt.

§ 1 Verpflichtung zur Verschwiegenheit (§ 203 Abs. 4 StGB)

(1) ClapNClaw verpflichtet sich, Geheimnisse des Kunden nicht unbefugt zu offenbaren und nicht zu verwerten. Die Verpflichtung ist zeitlich unbegrenzt und wirkt über das Ende der Zusammenarbeit hinaus fort.

(2) ClapNClaw ist darüber belehrt, dass das unbefugte Offenbaren eines als mitwirkende Person bekannt gewordenen Geheimnisses nach § 203 Abs. 4 Satz 1 StGB mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft wird, dass nach § 203 Abs. 4 Satz 2 Nr. 2 StGB ebenso bestraft wird, wer eine weitere mitwirkende Person heranzieht, ohne für deren Verpflichtung zur Geheimhaltung Sorge zu tragen, dass die Verwertung nach § 204 StGB gesondert strafbar ist und dass eine Pflichtverletzung zivilrechtliche Ansprüche sowie berufsrechtliche Folgen für den Kunden nach sich ziehen kann. ClapNClaw bestätigt, diese Belehrung erhalten zu haben.

(3) ClapNClaw verpflichtet alle mit der Leistungserbringung befassten Personen vor Aufnahme der Tätigkeit in Textform zur Verschwiegenheit und belehrt sie entsprechend Absatz 2. Die Verpflichtungen werden dokumentiert und dem Kunden auf Anforderung vorgelegt.

(4) ClapNClaw verschafft sich nur insoweit Kenntnis von Geheimnissen, als dies zur Vertragserfüllung erforderlich ist (§ 43e Abs. 3 Satz 2 Nr. 2 BRAO, § 62a Abs. 3 Satz 2 Nr. 2 StBerG). Die Betreiberfunktionen der Anwendung zum Zurücksetzen und Neuausstellen von Zugangsdaten sowie zur Freigabe der DATEV-Zuordnung sind technisch an eine vorherige, befristete Freigabe durch einen Administrator des Kunden gebunden, es sei denn, es liegt ein dokumentierter, nicht aufschiebbarer Notfall vor (Notfallzugriff mit protokollierter Begründung; der Kunde wird binnen 24 Stunden unterrichtet); der Zugriff wird in jedem Fall protokolliert. Auf Inhalte des Kunden im Klartext, insbesondere zu Support- und Wartungszwecken, greift ClapNClaw beim administrativen Zugriff auf die Server (SSH) nicht ohne vorherige Freigabe des Kunden in Textform zu; dieser Zugriff wird auf Systemebene protokolliert (Anmeldungen und ausgeführte Befehle). Eine technische Sperre besteht dafür derzeit nicht. Ist ein Zugriff in einem dokumentierten Notfall nicht aufschiebbar, ist der Kunde binnen 24 Stunden zu unterrichten.

(5) Eine Sichtung von Ein- oder Ausgaben durch Menschen zu Missbrauchs-, Qualitäts- oder Sicherheitskontrollzwecken findet weder bei ClapNClaw noch bei einer weiteren mitwirkenden Person statt; der Zugriff nach Absatz 4 (nur nach Freigabe des Kunden oder im dokumentierten Notfall) bleibt unberührt. Inhalte des Kunden werden nicht zum Training oder zur Verbesserung von KI-Modellen verwendet. Verarbeitungswege, bei denen ein Dritter Ein- oder Ausgaben speichert oder sichtet, werden für den Kunden nicht genutzt. Optionale Integrationen zu Drittdiensten und die Websuche sind deaktiviert und werden nur auf Weisung des Kunden in Textform freigegeben.

§ 2 Bindung der Unterauftragsverarbeiter

(1) ClapNClaw ist befugt, weitere Personen heranzuziehen; die derzeit herangezogenen sind in § 5 des AV-Vertrages abschließend aufgeführt.

(2) ClapNClaw verpflichtet jede weitere mitwirkende Person vor Eröffnung des Zugangs in Textform zur Verschwiegenheit, belehrt sie über die strafrechtlichen Folgen und trägt dafür Sorge, dass die Verpflichtung an jede weitere Stufe der Leistungskette weitergegeben wird. Die Nachweise legt ClapNClaw auf Anforderung vor.

(3) Die Heranziehung einer weiteren mitwirkenden Person, die Kenntnis von Geheimnissen erlangen kann, kündigt ClapNClaw mindestens 30 Tage vorher in Textform an und bedarf der vorherigen Zustimmung des Kunden in Textform. Verweigert der Kunde die Zustimmung und ist ClapNClaw die Fortführung ohne die betreffende Person nicht zumutbar, kann ClapNClaw mit einer Frist von drei Monaten kündigen.

(4) Für Inhaltsdaten setzt ClapNClaw ausschließlich Dienstleister ein, die in der EU oder im EWR ansässig sind und dort verarbeiten. Für jede weitere mitwirkende Person mit Sitz oder Verarbeitungsort im Ausland stellt ClapNClaw eine Dokumentation zum vergleichbaren Geheimnisschutz bereit (vgl. u.a. § 43e Abs. 4 BRAO, § 62a Abs. 4 StBerG). Vorgelagerte Netzwerkdienste dürfen keine Kenntnis von Inhalten im Klartext nehmen können. Ist dies nicht ausgeschlossen, sind sie in § 5 des AV-Vertrages als mitwirkende Person auszuweisen.

(5) ClapNClaw verpflichtet sich in diesem Zusammenhang dazu, folgende erweiterte technische und organisatorische Maßnahmen zu ergreifen:

• Technisch isolierter Container je Kundenorganisation (kein Multi-Tenant-Datenraum)
• Dedizierte Datenbankinstanz je Kunde; je Kunde ein privates, nach außen abgeschottetes Netz für Anwendung und Datenbank; Anwendung und Datenbank sind zusätzlich an gemeinsame interne Plattformnetze angebunden, in denen der Zugriff auf Plattformdienste und die Trennung der Kunden voneinander durch Firewall-Regeln erfolgt; Daten ausschließlich in Deutschland (Hetzner, Falkenstein und Nürnberg)
• KI-Inferenz ausschließlich in der EU/im EWR (AWS Bedrock, Ursprungsregion eu-central-1 Frankfurt; Verarbeitung innerhalb der EU/des EWR: eu-central-1, eu-west-1, eu-west-3, eu-north-1, eu-south-1, eu-south-2); keine Übermittlung an öffentliche KI-Dienste (kein Datenfluss an die öffentliche Anthropic- oder OpenAI-API)
• Transportverschlüsselung (TLS) für sämtliche Verbindungen; Host-Firewall mit Beschränkung der eingehenden Verbindungen auf die für den Betrieb erforderlichen Ports und Quellen
• Rollenbasiertes Zugriffskonzept (Administrator/Mitglied); Redis-basiertes Rate-Limiting je IP-Adresse
• Tägliche Backups mit verschlüsselter Übertragung an Hetzner Object Storage (EU), lokale Aufbewahrung 7 Tage, regelmäßiger, dokumentierter Wiederherstellungstest
• Lokale technische Protokolle (Container-Logs, rotierend nach Volumen) sowie Zugriffsprotokollierung des Betreibers auf Systemebene (auditd, lokal; Aufbewahrung höchstens 30 Tage); eine Mindestaufbewahrungsdauer wird nicht zugesagt
• Kein Training von KI-Modellen auf Kundendaten — weder durch ClapNClaw noch durch Unterauftragsverarbeiter

§ 3 Behördliche und gerichtliche Zugriffe

(1) ClapNClaw informiert den Kunden unverzüglich über Durchsuchungen, Beschlagnahmen und behördliche Herausgabeverlangen, die Daten des Kunden betreffen, soweit dies nicht gesetzlich untersagt ist. Eine freiwillige Herausgabe erfolgt nicht; ClapNClaw weist auf die Berufsgeheimnisträgerstellung des Kunden und auf die §§ 53, 53a, 97 und 160a StPO hin, widerspricht der Sicherstellung und beantragt die Versiegelung.

(2) Der Beschlagnahmeschutz nach § 97 StPO knüpft an den Gewahrsam des Berufsgeheimnisträgers an; ob er sich auf beim Dienstleister gespeicherte Daten erstreckt, ist nicht abschließend geklärt. Der Kunde berücksichtigt dies bei seiner Auswahlentscheidung.

§ 4 Mitwirkung bei Kammer- und Aufsichtsanfragen

ClapNClaw unterstützt den Kunden bei Anfragen seiner Berufskammer, seines Datenschutzbeauftragten oder der zuständigen Aufsichtsbehörde mit den erforderlichen Nachweisen (Verarbeitungsverzeichnis, TOM-Dokumentation, der aktuellen Liste der Unterauftragsverhältnisse, Verpflichtungsnachweise nach § 1 und § 2) innerhalb von 10 Werktagen.

§ 5 Verfügbarkeit und Herausgabe der Daten

(1) ClapNClaw ermöglicht dem Kunden jederzeit den Export seiner Daten in einem gängigen, maschinenlesbaren Format einschließlich Anhängen und Wissensdateien. Größengrenzen sowie vom Export ausgenommene Daten (Zugangsschlüssel, Passwort-Hashes, Daten der Zwei-Faktor-Authentifizierung und Konfigurationen von Skills) weist das dem Export beigefügte Manifest aus.

(2) Ein Zurückbehaltungsrecht an den Daten besteht nicht. Auch bei einer Sperrung des Zugangs wegen Zahlungsverzugs bleibt der Datenexport für mindestens 30 Tage möglich. Vor Beginn einer Löschung weist ClapNClaw den Kunden in Textform hin und räumt ihm mindestens 30 Tage für den Export ein.

§ 6 Verhältnis zum Auftragsverarbeitungsvertrag; Schlussbestimmungen

(1) Diese Zusatzvereinbarung gilt ergänzend zum AVV. Bei Widersprüchen gehen die Regelungen dieser Zusatzvereinbarung vor, soweit sie strengere Anforderungen zum Schutz von Berufsgeheimnissen enthalten. Im Übrigen bleibt der AVV unberührt. Es gelten ergänzend die technischen und organisatorischen Maßnahmen nach der Anlage des Auftragsverarbeitungsvertrages sowie dessen § 3 Abs. 5 für Löschung und Rückgabe.

(2) Änderungen bedürfen der Textform. Es gilt deutsches Recht. Ausschließlicher Gerichtsstand ist Berlin, sofern der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist oder keinen allgemeinen Gerichtsstand in Deutschland hat. Im Übrigen gelten die gesetzlichen Gerichtsstände. Die Unwirksamkeit einzelner Bestimmungen berührt die übrigen nicht.