Die Vertragspartner verpflichten sich zur Geheimhaltung von Tatsachen und Daten, die weder offenkundig noch allgemein zugänglich sind. Diese Pflicht ist auch einbezogenen Dritten aufzuerlegen. Im Zweifelsfall sind Tatsachen und Daten vertraulich zu behandeln. Die Geheimhaltungspflichten bestehen schon vor Vertragsabschluss und auch nach Beendigung des Vertragsverhältnisses bzw. nach der Erfüllung der vereinbarten Leistungen.
Vorbehalten bleiben gesetzliche Aufklärungs- und Informationspflichten.
Die Leistungserbringerin darf die Tatsache und den wesentlichen Inhalt der Offertanfrage möglichen zu beauftragenden Subunternehmern bekanntgeben, hat die Offertanfrage aber ansonsten vertraulich zu behandeln.
Werbung und Publikationen über projektspezifische Leistungen bedürfen der vorgängigen schriftlichen Zustimmung des Vertragspartners, ebenso dessen Nennung als Referenz.
Verletzt ein Vertragspartner oder ein von ihm einbezogener Dritter vorstehende Geheimhaltungspflichten, so schuldet der verletzende Vertragspartner dem anderen Vertragspartner eine Konventionalstrafe, sofern er nicht beweist, dass weder ihn noch einbezogene Dritte ein Verschulden trifft. Diese beträgt je Fall 10% der gesamten Vergütung, höchstens jedoch CHF 50‘000 je Fall. Die Bezahlung der Konventionalstrafe befreit nicht von den Geheimhaltungspflichten.
Schadenersatzansprüche gemäss allgemeinen Haftungsgrundsätzen (OR 97 ff.) bzw. Ziff. 17 bleiben vorbehalten; die Konventionalstrafe wird auf den allenfalls zu leistenden Schadenersatz angerechnet.
Die Leistungserbringerin verpflichtet sich und ihr Personal zur Einhaltung der betrieblichen, technischen und sicherheitsrelevanten Vorschriften der Leistungsbezügerin, insbesondere der Zutrittsrichtlinien, Zugriffsvorgaben auf Systeme etc., sofern diese der Leistungserbringerin vor Vertragsabschluss schriftlich bekanntgegeben bzw. nachträglich vereinbart werden.
Geltende Datenschutz- und Sicherheitsbestimmungen sowie die Vorschriften über das Amts- beziehungsweise Berufsgeheimnis (Art. 320 bzw. 321 StGB) sind einzuhalten. Insbesondere ist die Leistungserbringerin verpflichtet, an sie weitergegebene oder ihr zugängliche Personendaten aus dem Bereich der Leistungsbezügerin nur in dem Umfang und ausschliesslich zu denjenigen Zwecken zu bearbeiten, wie dies für die Vertragserfüllung notwendig ist.
Die Leistungserbringerin ist verpflichtet, diejenigen technischen und organisatorischen Massnahmen zur Gewährleistung des Datenschutzes und der Informationssicherheit zu treffen, wie sie für die Leistungsbezügerin nach Gesetzgebung, verwaltungsrechtlichen Weisungen, aufsichtsrechtlicher Anordnung und/oder Vertrag gelten, soweit sie die Leistungen der Leistungserbringerin betreffen. Die Leistungserbringerin dokumentiert diese Massnahmen und stellt diese Dokumentationen der Leistungsbezügerin zur Verfügung.
Die Leistungserbringerin ist verpflichtet, die Leistungsbezügerin umgehend zu informieren, wenn sie Kenntnis oder einen Verdacht hat, dass Informationen, welche sie für die Leistungsbezügerin bearbeitet, einem unautorisierten Zugriff ausgesetzt, an unbefugte Dritte weitergegeben, verloren gegangen oder beschädigt worden sind oder in sonstiger Weise rechts- oder vertragswidrig bearbeitet wurden oder werden könnten.
Die Leistungserbringerin hat zudem umgehend diejenigen Sofortmassnahmen zu treffen, die erforderlich sind, um die Daten zu sichern und mögliche nachteilige Folgen zu verhindern bzw. zu minimieren.
Die Leistungserbringerin hat der Leistungsbezügerin die Möglichkeit zu gewähren, die Einhaltung der für die Leistungsbezügerin nach Gesetzgebung, verwaltungsrechtlichen Weisungen, aufsichtsrechtlicher Anordnung und/oder Vertrag geltenden Anforderungen betreffend Datenschutz und Informationssicherheit wirksam zu kontrollieren (z.B. durch Zurverfügungstellung der Reports von Sicherheitsaudits und/oder Zulassung von Prüfungen vor Ort bei der Leistungserbringerin).
Die Leistungserbringerin ist verpflichtet, in allfälligen aufsichtsrechtlichen Verfahren, welche die von ihr zu erbringenden Leistungen betreffen, mitzuwirken und von ihr verlangte Auskünfte und Unterlagen zur Verfügung zu stellen. Übersteigt der damit für die Leistungserbringerin verbundene Aufwand den Umfang der ordentlichen vertraglichen Report- und Rechenschaftspflicht, so hat die Leistungserbringerin für ihre Mitwirkung Anspruch auf eine angemessene Vergütung.
Bei Vertragsbeendigung hat die Leistungserbringerin Daten (samt allfälliger Kopien), welche sie für die Leistungsbezügerin bearbeitet hat, vorbehältlich anderer Regelung im Vertrag, nach ausdrücklicher Anweisung der Leistungsbezügerin an diese zu übertragen oder zu vernichten. Die Datenvernichtung ist von der Leistungserbringerin zu dokumentieren und eine Kopie der entsprechenden Belege der Leistungsbezügerin unaufgefordert zuzustellen.
Die Parteien können abweichende oder ergänzende Vereinbarungen im Vertrag treffen und weitere vertragliche Abmachungen, z.B. Vertraulichkeitsvereinbarungen oder Vereinbarungen über die Auftragsdatenbearbeitung, abschliessen.