orbisite.
DEEN

Stand: Juli 2026 · Gilt für Kunden aus Gesundheitsbranchen (z. B. Physiotherapie, Podologie). Anlage zum AVV Gesundheit (health-v1).

Verschwiegenheitsverpflichtung nach § 203 StGB

Stand: 1. Juli 2026 · für Kunden aus Gesundheitsbranchen

Diese Verpflichtung gilt, soweit orbisite (Norman Voellings) für einen Kunden tätig wird, der einer beruflichen Schweigepflicht nach § 203 Abs. 1 oder Abs. 2 StGB unterliegt (Berufsgeheimnisträger) — insbesondere Betriebe der Physiotherapie und Podologie, die im Rahmen der Terminbuchung Gesundheitsdaten (Art. 9 DSGVO) verarbeiten. Sie ist Anlage zum Vertrag zur Auftragsverarbeitung (Gesundheit, health-v1) und wird aus Nachweisgründen in Textform dokumentiert.

1. Rechtliche Einordnung als mitwirkende Person

Seit der Neufassung des § 203 StGB (Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen, 2017) dürfen Berufsgeheimnisträger geschützte Geheimnisse gegenüber „sonstigen mitwirkenden Personen" offenbaren, soweit dies für die Inanspruchnahme der Tätigkeit erforderlich ist (§ 203 Abs. 3 StGB). orbisite ist als externer IT-, Hosting- und Website-Dienstleister eine solche sonstige mitwirkende Person und unterliegt damit selbst der Schweigepflicht; eine unbefugte Offenbarung ist nach § 203 Abs. 4 StGB strafbar.

2. Gegenstand des Geheimnisschutzes

Geschützt ist jedes fremde Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, das orbisite im Rahmen der Tätigkeit für den Kunden anvertraut wird oder sonst bekannt geworden ist. Dazu zählen insbesondere personenbezogene Daten der Patienten/Klienten des Kunden, Termin- und Behandlungsdaten sowie alle Angaben, aus denen sich ein Gesundheitsbezug ergeben kann.

3. Verpflichtung von orbisite

orbisite verpflichtet sich gegenüber dem Kunden,

  • über alle ihm im Rahmen der Tätigkeit bekannt werdenden Geheimnisse Verschwiegenheit zu wahren und sie weder zu offenbaren noch unbefugt zu verwerten — auch über das Ende des Vertragsverhältnisses hinaus;
  • auf geheimnisrelevante Daten nur zuzugreifen, soweit dies für die Erbringung der vertraglich vereinbarten Leistung unerlässlich ist (Erforderlichkeitsgrundsatz);
  • geschützte Daten ausschließlich innerhalb der vertraglich und im AVV festgelegten Zwecke und Weisungen zu verarbeiten;
  • technische und organisatorische Maßnahmen zum Schutz des Berufsgeheimnisses aufrechtzuerhalten (siehe TOMs, Anlage 1 des AVV).

4. Belehrung über die Strafbarkeit

orbisite ist darüber belehrt, dass die unbefugte Offenbarung eines nach § 203 StGB geschützten Geheimnisses strafbar ist. § 203 Abs. 4 StGB stellt die unbefugte Offenbarung durch mitwirkende Personen unter Strafe (Freiheitsstrafe bis zu einem Jahr oder Geldstrafe; in den qualifizierten Fällen des § 203 Abs. 5 und 6 StGB höhere Strafrahmen). Die Belehrung ist Voraussetzung dafür, dass der Kunde als Berufsgeheimnisträger die Geheimnisse befugt offenbaren darf (§ 203 Abs. 3, 4 StGB).

5. Erstreckung auf Beschäftigte (Ketten-Belehrung)

orbisite stellt sicher, dass alle bei orbisite tätigen Personen, die Zugang zu geschützten Geheimnissen erhalten können, vor Aufnahme ihrer Tätigkeit in gleicher Weise zur Verschwiegenheit verpflichtet und über die Strafbarkeit nach § 203 StGB belehrt werden. Diese Verpflichtung wirkt über das Ende der jeweiligen Tätigkeit hinaus fort.

6. Erstreckung auf Subunternehmer / Sub-Prozessoren

Bindet orbisite weitere mitwirkende Personen (Subunternehmer, Sub-Prozessoren) ein, so verpflichtet orbisite diese durch Vertrag vorab zur Verschwiegenheit und belehrt sie über die Strafbarkeit nach § 203 StGB (Ketten-Belehrung), bevor ihnen geschützte Geheimnisse zugänglich gemacht werden. Der Einsatz erfolgt nur im Rahmen der AVV-Regelungen zu Sub-Prozessoren (allgemeine Genehmigung mit Einspruchsrecht, „gleiche-Pflichten"-Weitergabe nach Art. 28 Abs. 4 DSGVO). Die eingesetzten Sub-Prozessoren sind in der Sub-Prozessor-Liste ausgewiesen.

Werden Subunternehmer außerhalb Deutschlands eingesetzt, wahrt orbisite einen dem Inland vergleichbaren Geheimnisschutz.

7. Form und Dokumentation

Diese Verpflichtung ist gesetzlich formfrei; aus Nachweisgründen und nach Empfehlung der Datenschutzkonferenz (DSK Kurzpapier Nr. 13) wird sie in Textform abgeschlossen und dokumentiert. Sie ergänzt — und ersetzt nicht — die datenschutzrechtliche Vertraulichkeitsverpflichtung nach Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO.

8. Grundlage

Diese Verpflichtung orientiert sich strukturell am Muster des Bitkom e. V. zur Verpflichtung mitwirkender Personen nach § 203 StGB (2018) und an § 203 StGB in der seit 2017 geltenden Fassung.