Was ist eine NDA?

NDA einfach erklärt

NDA steht für „Non-Disclosure Agreement“, wörtlich „Vereinbarung über die Nichtweitergabe“. Im Deutschen spricht man von einer Vertraulichkeits-, Geheimhaltungs- oder Verschwiegenheitsvereinbarung. Gemeint ist immer ein Vertrag, der festlegt, was mit vertraulichen Informationen geschehen darf – und was nicht.

Ein Vergleich: Wenn Sie einer Architektin die Pläne und Schlüssel Ihres Hauses geben, damit sie einen Umbau plant, erwarten Sie, dass sie beides nur dafür nutzt und nicht weitergibt. Eine NDA hält diese Erwartung schriftlich fest – mit klaren Regeln und Folgen bei Verstößen.

Unternehmen schließen NDAs zum Beispiel vor Vertragsverhandlungen, bei gemeinsamen Entwicklungsprojekten oder bevor sie einem Dienstleister Einblick in interne Systeme geben. Bei IT-Sicherheitsprüfungen ist das besonders üblich, denn hier fließen sehr sensible Informationen.

Das regelt eine NDA

Es gibt einseitige NDAs, bei denen nur eine Seite Informationen preisgibt, und gegenseitige, die beide Seiten schützen. Typische Bestandteile sind:

1. Vertragspartner und Zweck: Wer teilt Informationen mit wem – und wofür dürfen sie genutzt werden? Diese Zweckbindung ist der Kern jeder NDA.
2. Vertrauliche Informationen: Welche Unterlagen, Daten und Gespräche fallen darunter? Je klarer die Definition, desto besser der Schutz.
3. Pflichten: Informationen geheim halten, angemessen schützen und nur Personen zugänglich machen, die sie für den Zweck benötigen.
4. Ausnahmen: etwa Informationen, die bereits öffentlich bekannt sind oder aufgrund gesetzlicher Pflichten offengelegt werden müssen.
5. Laufzeit: Die Geheimhaltungspflicht gilt häufig über das Ende der Zusammenarbeit hinaus.
6. Rückgabe und Löschung: Was nach Projektende mit Unterlagen und Daten geschieht.
7. Folgen bei Verstößen: oft eine Vertragsstrafe, also eine vorab vereinbarte Zahlung bei einem Verstoß, dazu Regeln zu anwendbarem Recht und Gerichtsstand.

Wichtig: Eine NDA ersetzt keinen Auftragsverarbeitungsvertrag. Verarbeitet ein Dienstleister in Ihrem Auftrag personenbezogene Daten, ist zusätzlich ein AVV nach Art. 28 DSGVO erforderlich.

Ein Beispiel aus der Praxis

Ein Hersteller von Medizintechnik plant einen Penetrationstest, also einen beauftragten, simulierten Angriff, für sein Firmennetz und eine neue App. Für das Scoping, also die Abstimmung des Prüfumfangs, möchte er dem Prüfdienstleister Netzpläne und eine Liste seiner Systeme zeigen. Vorher unterzeichnen beide eine NDA.

Darin ist festgelegt: Die Unterlagen dienen ausschließlich der Angebotserstellung und der Durchführung des Tests. Zugangsdaten werden nur verschlüsselt übermittelt, der Bericht geht ausschließlich an die benannten Ansprechpersonen. Nach Projektende werden die Unterlagen gelöscht. Die NDA kann der Hersteller später auch als Teil seiner Geheimhaltungsmaßnahmen vorweisen.

Warum ist das für Unternehmen wichtig?

Vor und während eines Sicherheitstests erhält ein Dienstleister Einblick in Ihre sensibelsten Informationen: Netzpläne, Zugänge, Schwachstellen. Ein Pentest-Bericht beschreibt im Grunde, wie man in Ihr Unternehmen eindringen könnte, solange die Lücken offen sind. Dieses Wissen muss geschützt bleiben.

Hinzu kommt die rechtliche Seite: Das Geschäftsgeheimnisgesetz (GeschGehG) schützt eine Information nur dann als Geschäftsgeheimnis, wenn ihr Inhaber – neben weiteren Voraussetzungen – angemessene Geheimhaltungsmaßnahmen getroffen hat. Vertraulichkeitsvereinbarungen gehören typischerweise dazu. Wer vertrauliche Informationen ohne solche Vorkehrungen weitergibt, kann im Streitfall Schwierigkeiten haben, sich auf diesen Schutz zu berufen.

Worauf Sie achten sollten

• Frühzeitig unterzeichnen: Schließen Sie die NDA, bevor vertrauliche Unterlagen fließen – bei Sicherheitstests also vor dem Scoping.
• Zweck konkret beschreiben: Je genauer der erlaubte Verwendungszweck, desto klarer die Grenzen.
• Einseitig oder gegenseitig: Klären Sie, ob nur Ihre Informationen geschützt werden sollen oder die beider Seiten.
• Laufzeit festlegen: Bestimmen Sie, wie lange die Geheimhaltung nach Projektende gilt.
• Rückgabe und Löschung regeln: Legen Sie fest, was mit Berichten, Daten und Zugangsdaten nach Abschluss geschieht.
• Datenschutz mitdenken: Prüfen Sie, ob zusätzlich ein AVV nötig ist.

Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Umfangreiche oder ungewöhnliche Vereinbarungen sollten Sie juristisch prüfen lassen.

Wie Rootsektor unterstützt

Vertraulichkeit ist die Grundlage jedes Sicherheitstests. Auf Wunsch unterzeichnen wir deshalb schon vor dem Scoping eine Vertraulichkeitsvereinbarung, damit Sie uns Netzpläne und Systemdetails ohne Bedenken zeigen können. Für jedes Projekt haben Sie bei uns eine feste Ansprechperson. Sprechen Sie uns über die Seite Kontakt an oder beschreiben Sie Ihr Vorhaben direkt über unser Pentest-Angebot.