NDA und Vertraulichkeit bei Ausschreibungen von Sicherheitsdienstleistungen
Bei der Ausschreibung von Sicherheitsdienstleistungen erhalten potenzielle Auftragnehmer häufig Einblick in besonders sensible betriebliche Informationen. Dazu können Sicherheitskonzepte, Lage- und Feuerwehrpläne, Zutrittsberechtigungen, Kamerastandorte, Alarmierungswege, Schwachstellen oder organisatorische Abläufe gehören. Eine Non-Disclosure-Agreement (NDA) schafft hierfür einen verbindlichen Rahmen für die Nutzung und den Schutz dieser Informationen.
Vertrauliche Informationen im Vergabeverfahren wirksam schützen
Eine Vertraulichkeitsvereinbarung kann insbesondere folgende Informationsgruppen erfassen:
Sicherheits- und Schutzkonzepte,
Lage-, Gebäude- und Fluchtwegpläne,
Informationen zu Zutritts- und Schließsystemen,
Standorte von Video-, Einbruch- und Meldetechnik,
Alarmierungs- und Interventionsverfahren,
technische Netz- und Systeminformationen,
personenbezogene Informationen,
Betriebs- und Produktionsabläufe,
kaufmännische und vertragliche Informationen,
erkannte Risiken und Schwachstellen.
Das Geschäftsgeheimnisgesetz setzt für den Schutz von Geschäftsgeheimnissen unter anderem voraus, dass Informationen Gegenstand angemessener Geheimhaltungsmaßnahmen sind. Eine NDA kann ein Bestandteil solcher Maßnahmen sein.
Wesentliche Regelungsinhalte einer NDA
Regelungsbereich
Typischer Inhalt
Schutzgegenstand
Definition vertraulicher Informationen
Verwendungszweck
Nutzung ausschließlich für das Vergabeverfahren
Personenkreis
Zugriff nur für unmittelbar beteiligte Personen
Weitergabe
Beschränkung gegenüber Dritten und Nachunternehmern
IT-Sicherheit
Schutz bei Speicherung, Übertragung und Bearbeitung
Rückgabe
Rückgabe oder Löschung nach Verfahrensende
Vorfälle
Meldepflicht bei Verlust oder unbefugtem Zugriff
Vertragsdauer
Fortgeltung der Vertraulichkeit nach Verfahrensende
Zugriff nach dem Need-to-know-Prinzip begrenzen
Nicht jeder Beschäftigte eines Bieters benötigt Zugriff auf sämtliche Sicherheitsinformationen. Sensible Unterlagen sollten nur den Personen zur Verfügung gestellt werden, die sie tatsächlich zur Angebotserstellung benötigen.
Bei besonders kritischen Informationen kann eine gestufte Herausgabe sinnvoll sein:
allgemeine Vergabeunterlagen → vertrauliche Unterlagen → besonders sicherheitskritische Informationen.
Detaillierte Angaben zu Schwachstellen, Alarmwegen oder sicherheitsrelevanter Technik müssen gegebenenfalls erst nach zusätzlicher Prüfung oder zu einem späteren Verfahrenszeitpunkt bereitgestellt werden.
Nachunternehmer ausdrücklich einbeziehen
Bieter sollten vertrauliche Informationen nicht ohne Regelung an Nachunternehmer, Berater oder weitere Beteiligte weitergeben dürfen. Soweit diese Zugang benötigen, sollten mindestens gleichwertige Vertraulichkeitsverpflichtungen gelten.
Werden personenbezogene Daten verarbeitet, treten zusätzlich die Anforderungen des Datenschutzrechts hinzu. Die DSGVO verlangt geeignete technische und organisatorische Maßnahmen zur Gewährleistung insbesondere von Vertraulichkeit, Integrität und Verfügbarkeit.
Vertraulichkeit nach dem Vergabeverfahren fortführen
Mit Zuschlag oder Absage endet der Schutzbedarf nicht. Nicht mehr benötigte Unterlagen sollten zurückgegeben oder nach festgelegten Regeln gelöscht werden. Beim später beauftragten Sicherheitsdienstleister müssen relevante Geheimhaltungspflichten außerdem in den Bewachungsvertrag und die operative Sicherheitsorganisation überführt werden.
Eine gute NDA schafft damit einen kontrollierten Informationsprozess:
Gerade bei Sicherheitsvergaben ist Vertraulichkeit damit nicht nur eine juristische Nebenbestimmung, sondern selbst ein Bestandteil des Sicherheitskonzepts.
