Gegenseitige Geheimhaltungsvereinbarung (NDA)

Diese NDA wird zwischen den folgenden Parteien geschlossen; beide Parteien handeln gleichzeitig als offenlegende und als empfangende Partei:

• GetUp: AUTH spółka z ograniczoną odpowiedzialnością (AUTH sp. z o.o.), Marszałkowska 58 / 15, 00-545 Warschau, Polen. KRS: 0001043319 · NIP: 5273062913 · REGON: 525652590.
• Kunde: die juristische Person oder eingetragene Geschäftsorganisation, an die das Angebot gerichtet ist und die diese NDA per elektronischer Annahme unterzeichnet.

Zweck ist der Schutz nicht öffentlicher Informationen, die im Rahmen der Custom-Services-Abwicklung unter dem MSA (Scoping, Entwicklung, Integration, Audit, Support) gegenseitig geteilt werden.

„Vertrauliche Informationen“ sind alle nicht öffentlichen oder nicht ohne Weiteres zugänglichen Informationen, die eine Partei der anderen mündlich, schriftlich, elektronisch, visuell oder in sonstiger Form offenlegt oder die im Rahmen des MSA bekannt werden, insbesondere:

• Seitens GetUp: Quellcode (bestehend/in Entwicklung), Architektur, Datenmodelle, KSeF-Integrationsdetails, Builds, Dokumentation, Produkt-Roadmap, Preisgestaltung, Preisverhandlungsverlauf, Kundenliste, Nutzungsverhalten, Finanzdaten, Organisationsstruktur, Subunternehmerliste, Sicherheitsdetails, Schwachstellen, Sicherheitstests, Pentest-Ergebnisse, Schlüssel, Secrets, Audit-Log-Inhalte, Demo-Zugangsdaten.
• Seitens Kunde: Geschäftsgeheimnisse, Geschäftsprozesse, Kunden-/Lieferantenliste, Steuerstruktur, Margen- und Preisinformationen, Vertriebsstrategie, Mitarbeiterliste, Organigramm, Finanzberichte, Geschäftspläne, Rechtsstreitigkeiten, Personendaten-Inventar, KSeF-Daten (in Verbindung mit dem AVV).
• Gemeinsam: Absichtserklärungen aus Verhandlungen, Pläne, Angebote, Leistungsbeschreibungen, interne Besprechungsnotizen, Prototypen, Mockups, Vertragsentwürfe.

Eine fehlende „vertraulich“-Kennzeichnung schließt den Schutz nicht aus, wenn eine verständige Person die Information aufgrund ihrer Natur als vertraulich behandeln würde (objektiver Vertraulichkeitsmaßstab im Sinne von Art. 11 UZNK).

Die empfangende Partei ist nur insoweit von den NDA-Pflichten ausgenommen, als sie nachweisen kann, dass die Information:

1. (a) zum Zeitpunkt der Offenlegung bereits öffentlich bekannt war;
2. (b) nachträglich ohne Verschulden der empfangenden Partei öffentlich bekannt wurde;
3. (c) bereits vor der Offenlegung – nachweisbar durch schriftliche Unterlagen – in ihrem Besitz war;
4. (d) rechtmäßig von einem Dritten ohne Vertraulichkeitspflicht erlangt wurde;
5. (e) unabhängig und ohne Bezug auf die vertraulichen Informationen entwickelt wurde.

Eine durch zwingende behördliche Anordnung (Gericht, Steuerbehörde, Datenschutzaufsicht, Staatsanwaltschaft) erzwungene Offenlegung gilt nicht als ausgenommen; soweit rechtlich zulässig, wird die empfangende Partei die offenlegende Partei vorab schriftlich informieren und ihr Zeit für Schutzmaßnahmen einräumen.

In Bezug auf vertrauliche Informationen wird die empfangende Partei:

• (a) Strenger Schutz. Mindestens dieselbe Sorgfalt wie für ihre eigenen sensibelsten Informationen anwenden, in jedem Fall jedoch angemessene, fachübliche Maßnahmen (Zugriffsbeschränkung, Verschlüsselung, sichere Passwortverwaltung, Verarbeitung nur auf dienstlichen Geräten).
• (b) Beschränkte Nutzung. Vertrauliche Informationen ausschließlich zur Prüfung, Verhandlung, Entwicklung, Erbringung, Prüfung und Wartung der Custom Services unter dem MSA („zulässiger Zweck“) und zu keinem anderen Zweck verwenden.
• (c) Need-to-know. Vertrauliche Informationen nur an Mitarbeitende, Organe und vorab freigegebene Subunternehmer weitergeben, die sie für den zulässigen Zweck benötigen und die schriftlich zur Geheimhaltung verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
• (d) Kein Re-Disclosure. Ohne vorherige schriftliche Zustimmung der offenlegenden Partei werden vertrauliche Informationen nicht an Dritte, Presse, soziale Netzwerke, Blogs, Posts, Podcasts, Konferenzen oder akademische Veröffentlichungen weitergegeben.
• (e) Kein Reverse Engineering. Software, Algorithmen, Datenstrukturen oder Infrastrukturen, die vertrauliche Informationen enthalten, werden nicht zurückentwickelt, dekompiliert oder disassembliert (außer soweit zwingendes Recht dies erlaubt).
• (f) Keine Referenznutzung. Ohne vorherige schriftliche Zustimmung wird in Referenzen, Case Studies, Präsentationen, Vertriebs- oder Investorenunterlagen nicht auf eine Zusammenarbeit, Produktintegration, Preisgestaltung oder das Bestehen des MSA verwiesen.

Die Parteien sind sich einig, dass ein wesentlicher Teil der vertraulichen Informationen ein Geschäftsgeheimnis im Sinne des polnischen UZNK (Art. 11) und der EU-Richtlinie 2016/943 darstellt, weil:

• die offenlegende Partei angemessene Maßnahmen zur Geheimhaltung ergriffen hat (Zugangskontrollen, NDAs, Kennzeichnungen);
• die Informationen den interessierten Verkehrskreisen nicht allgemein bekannt oder ohne Weiteres zugänglich sind;
• sie aufgrund ihrer Geheimhaltung wirtschaftlichen Wert besitzen.

Ein Verstoß kann nach polnischem Recht bis hin zur strafrechtlichen Verantwortlichkeit führen, neben Ansprüchen nach Art. 18 UZNK (Unterlassung, Rückruf, Wiederherstellung, Gewinnabschöpfung).

Die empfangende Partei wendet zum Schutz vertraulicher Informationen mindestens folgende Maßnahmen an:

• TLS 1.2+ bei der Übertragung; Festplatten-Verschlüsselung im Ruhezustand.
• Starke Passwörter und – wo möglich – Zwei-Faktor-Authentifizierung an Geräten und Zugangsknoten.
• Keine unnötige Nutzung von Papierausdrucken, Privatgeräten, privater E-Mail, öffentlichen Cloud-Speichern oder Consumer-Messengern.
• Schriftliche Benachrichtigung innerhalb von 24 Stunden bei Verdacht auf einen Verstoß.
• Sofortiger Entzug von Zugriffen beim Ausscheiden von Personal; Rückruf jeder Token-, Schlüssel- oder Plugin-Berechtigung.

Bei wesentlichem Verstoß gegen diese NDA (insbesondere unbefugte Offenlegung, Missbrauch eines Geschäftsgeheimnisses, Reverse Engineering, unbefugte Bekanntgabe) steht der offenlegenden Partei eine Vertragsstrafe (kara umowna) nach Art. 483 ff. polnisches Zivilgesetzbuch zu. Sie beträgt je wesentlichem Verstoß 50.000 EUR oder 50 % der in den letzten 12 Monaten unter dem MSA gezahlten Gesamtvergütung, je nachdem, welcher Betrag höher ist.

Die Vertragsstrafe schließt weitergehenden Schadenersatz nicht aus, wenn der tatsächliche Schaden höher ist (Art. 484 § 1 k.c.). Die offenlegende Partei kann außerdem geltend machen:

• Ersatz immaterieller Schäden (Persönlichkeitsrechte – Art. 23, 24, 448 k.c.);
• Unterlassung, Rückruf, öffentliche Erklärungen, Gewinnabschöpfung nach Art. 18 UZNK;
• Herausgabe ungerechtfertigter Bereicherung (Art. 405 k.c.);
• einstweilige Maßnahmen (zabezpieczenie) nach Art. 730 ff. k.p.c.;
• jeden weiteren gesetzlichen Rechtsbehelf zur Beendigung des Verstoßes.

Die verletzende Partei erstattet alle angemessenen Verteidigungs- und Durchsetzungskosten (Anwalt, Berater, Sachverständiger, Übersetzer).

Eine unbefugte Offenlegung kann materielle (finanzielle) und immaterielle (Persönlichkeitsrechts-)Schäden bei natürlichen Personen verursachen, die mit der offenlegenden Partei verbunden oder über sie identifizierbar sind – insbesondere Eigentümer, Vorstandsmitglieder, Gründerinnen und Gründer, Gesellschafter, Mitarbeitende, Berater, Kundschaft und Geschäftspartner. Die empfangende Partei verpflichtet sich, solche Schäden vollumfänglich, direkt und indirekt zu ersetzen.

Materielle (finanzielle) Schäden (Art. 361, 415, 471 k.c.): Einnahmeverlust, entgangener Gewinn (lucrum cessans), Verlust des Arbeitsplatzes, gekündigte Verträge, verlorene Investitionen, Wertminderung von Anteilen, verlorene Kunden/Partner, Verteidigungskosten, Umzugskosten und jeder weitere bezifferbare Vermögensschaden, der den Betroffenen oder der offenlegenden Partei aus der Offenlegung entsteht.

Immaterielle Schäden (Persönlichkeitsrechte – Art. 23–24, 448 k.c.): Schaden an Namen, Ruf, Privatsphäre, Würde, Bild, Korrespondenzgeheimnis und beruflichem Ansehen der Betroffenen; emotionale Belastung, Gesundheitsschäden sowie Verlust an gesellschaftlichem oder beruflichem Status.

Bei einem Verstoß übernimmt die empfangende Partei kumulativ folgende Verpflichtungen:

• Materieller Schadenersatz (odszkodowanie): vollständiger Ausgleich des finanziellen Schadens der verbundenen Personen – Art. 361 § 2 k.c. (damnum emergens + lucrum cessans);
• Immaterieller Ersatz (zadośćuczynienie): angemessene Geldsumme nach Art. 448 k.c. für die Verletzung von Persönlichkeitsrechten;
• Gegendarstellung: Veröffentlichung einer Gegendarstellung in Form und Medium, das die offenlegende Partei oder die betroffenen Personen vernünftig festlegen;
• Vernichtung von Kopien: Vernichtung sämtlicher physischer und digitaler Kopien, Backups und abgeleiteter Inhalte;
• Kosten: Gerichtskosten, angemessene Anwaltsgebühren, Sachverständigen-/Beraterhonorare sowie Kosten einer außergerichtlichen Einigung.

Die verbundenen Personen sind unmittelbar Begünstigte dieser Klausel im Sinne von Art. 393 k.c. (Vertrag zugunsten Dritter) und Art. 449 und können Ansprüche direkt gegen die empfangende Partei geltend machen. Die offenlegende Partei behält sich zudem das Recht vor, Ansprüche im eigenen Namen oder im Namen dieser Personen geltend zu machen.

Diese Rechtsbehelfe stehen kumulativ neben der Vertragsstrafe nach Ziffer 7; sämtliche Beträge können nach Art. 484 § 1 k.c. nebeneinander geltend gemacht werden.

Mit Beendigung des MSA, auf schriftliche Aufforderung einer Partei oder bei Erfüllung des zulässigen Zwecks wird die empfangende Partei innerhalb von 30 Kalendertagen:

• alle physischen und digitalen Kopien der vertraulichen Informationen zurückgeben oder vernichten;
• in Backup-Systemen verbleibende Kopien für den Lebenszyklus des Backups schützen und am natürlichen Ablauf vernichten;
• auf Verlangen eine Vernichtungsbestätigung einer bevollmächtigten Person vorlegen;
• Unterlagen, die gesetzlich aufzubewahren sind (Steuer, KSeF, Beweismittel in Rechtsstreitigkeiten), für die gesetzliche Aufbewahrungsdauer vertraulich verwahren.

Die Geheimhaltungspflichten gelten:

• (a) ab Offenlegung während der gesamten Laufzeit des MSA und
• (b) für fünf (5) Jahre nach Beendigung des MSA aus jedwedem Grund.

Für Informationen, die ein Geschäftsgeheimnis darstellen, gilt die Pflicht zeitlich unbegrenzt, solange die Information Geschäftsgeheimnis bleibt (Art. 11 UZNK und Art. 721 k.c.). Datenschutzrechtliche Pflichten richten sich nach DSGVO und AVV-Aufbewahrungsfristen.

Die Offenlegung vertraulicher Informationen begründet keine ausdrückliche oder konkludente Lizenz, Übertragung oder Eigentumsrechte am offengelegten Material. Alle Rechte verbleiben bei der offenlegenden Partei. Reverse Engineering, abgeleitete Werke oder die Nutzung für Schutzrechtsanmeldungen sind ausdrücklich untersagt.

Ohne vorherige gemeinsame schriftliche Vereinbarung wird keine Partei Pressemitteilungen, Social-Media-Posts, Investorenpräsentationen, Case Studies oder öffentliche Veranstaltungen über das Bestehen des MSA, das Zustandekommen der Geschäftsbeziehung oder die Art der Zusammenarbeit veröffentlichen. Auch die Verwendung des Kundenlogos in Referenzlisten bedarf der vorherigen schriftlichen Zustimmung.

Soweit vertrauliche Informationen personenbezogene Daten enthalten, richten sich Rollen und Verantwortlichkeiten der Parteien nach dem AVV. Diese NDA darf nicht so ausgelegt werden, dass sie Rechte Betroffener nach der DSGVO oder dem polnischen Datenschutzrecht einschränkt; sie ist vielmehr in deren Sinne auszulegen.

Die Beschaffung vertraulicher Informationen durch Täuschung, heimliche Backups, vorgeschobene Dritte, Kopien beim Ausscheiden von Personal oder ähnliche arglistige Methoden stellt einen schwerwiegenden Verstoß im Sinne von Art. 86 k.c. (Täuschung) und Art. 11–18 UZNK dar und berechtigt die andere Partei zur fristlosen Kündigung, zur Vertragsstrafe, zu weitergehendem Schadenersatz und zu strafrechtlichen Rechtsbehelfen.

Die Parteien behalten sich das Recht auf einstweilige Maßnahmen, Beweissicherung und gerichtlichen Rechtsschutz nach Art. 730 ff. polnisches Zivilprozessgesetzbuch gegen tatsächliche oder unmittelbar bevorstehende unbefugte Offenlegungen vor. Diese Maßnahmen lassen Ansprüche aus Vertragsstrafe oder Schadenersatz unberührt.

• Unabhängigkeit. Mit dem Abschluss dieser NDA wird zwischen den Parteien keine Gesellschaft, kein Joint Venture und kein Arbeitsverhältnis begründet; sie regelt allein den Rahmen für den Austausch vertraulicher Informationen.
• Abtretung. Keine Partei darf diese NDA ohne schriftliche Zustimmung der anderen abtreten; Umstrukturierungen innerhalb der AUTH-sp.-z-o.-o.-Gruppe sind ausgenommen.
• Gesamtvereinbarung. Zusammen mit MSA, AVV, Nutzungsbedingungen und Datenschutzerklärung bildet diese NDA die gesamte Vereinbarung der Parteien zur Vertraulichkeit.
• Salvatorische Klausel. Unwirksame Bestimmungen lassen den Rest unberührt (Art. 58 § 3 k.c.).
• Anwendbares Recht. Polnisches Recht und unmittelbar anwendbares EU-Recht.
• Gerichtsstand. Sąd Rejonowy / Sąd Okręgowy w Warszawie oder ein anderes nach polnischem Recht zuständiges Gericht.
• Versionierung. Die aktuelle Fassung dieser NDA ist 2026-04-19 und wird unter getup.dev/nda veröffentlicht.
• Annahmebeweis. Der Kunde nimmt zur Kenntnis, dass GetUp bei der elektronischen Annahme Zeitstempel, IP-Adresse, daraus abgeleitete Grobgeolokalisation (Land/Region/Stadt/Koordinaten/Zeitzone), Browser- und Geräte-Fingerprint, die akzeptierte Dokumentversion sowie das Protokoll angeklickter Checkboxen erhebt und speichert, um den Vertragsschluss zu belegen. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b, c (eIDAS 910/2014) und f DSGVO. Aufbewahrung: bis zu 6 Jahre nach Vertragsende gemäß Art. 118 ff. k.c. Details: AVV und Datenschutzerklärung.