NDA / Geheimhaltungsvereinbarung mit der Softwareagentur

Bevor Sie einer Softwareagentur Ihre Produktidee, technische Details oder interne Zahlen offenlegen, stellt sich die Frage nach einer Geheimhaltungsvereinbarung – dem Non-Disclosure Agreement (NDA). Dieser Beitrag bietet allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall – für die konkrete Vertragsgestaltung sollten Sie fachkundigen Rat einholen. Die folgenden Ausführungen beziehen sich auf deutsches Recht; die Rechtslage in Österreich und der Schweiz kann abweichen.

Warum überhaupt ein NDA?

Ein NDA schützt sensible Informationen, die Sie im Rahmen eines Projekts austauschen: Ihre Geschäftsidee, Preismodelle, Kundenlisten, technische Konzepte oder den Zugang zu bestehenden Systemen. Ein häufiges Missverständnis ist, dass solche Informationen ohnehin automatisch geschützt seien. Das trifft nur eingeschränkt zu – und genau hier liegt der eigentliche Grund für ein NDA.

Nach § 2 GeschGehG ist ein Geschäftsgeheimnis eine Information, die nicht allgemein bekannt oder ohne Weiteres zugänglich ist, die deshalb einen wirtschaftlichen Wert hat, die Gegenstand angemessener Geheimhaltungsmaßnahmen durch ihren rechtmäßigen Inhaber ist und an deren Geheimhaltung ein berechtigtes Interesse besteht. Entscheidend ist das Merkmal der angemessenen Geheimhaltungsmaßnahmen: Wer keine erkennbaren Schutzvorkehrungen trifft, riskiert, dass eine Information gar nicht als Geschäftsgeheimnis im Sinne des Gesetzes gilt – und damit den gesetzlichen Schutz verliert. Ein schriftliches NDA ist eine solche Maßnahme. Es dokumentiert nach außen, dass Sie eine Information vertraulich behandeln, und schafft überhaupt erst die Grundlage, sich im Streitfall auf den Schutz nach § 2 GeschGehG zu berufen.

Einseitig oder wechselseitig?

Grundsätzlich unterscheidet man zwei Grundformen:

• Einseitiges NDA (unilateral): Nur eine Partei offenbart vertrauliche Informationen, nur die empfangende Partei verpflichtet sich zur Geheimhaltung. Typisch, wenn Sie als Auftraggeber Ihre Idee an eine Agentur weitergeben und selbst keine Geheimnisse der Agentur erhalten.
• Wechselseitiges NDA (mutual): Beide Parteien tauschen vertrauliche Informationen aus und verpflichten sich gegenseitig. In der Praxis der Softwareentwicklung ist das oft der realistischere Fall – die Agentur legt Ihnen etwa Methoden, Preiskalkulationen oder eigene Code-Bausteine offen.

Im Zweifel ist das wechselseitige NDA das fairere und robustere Modell, weil es beide Seiten gleichermaßen bindet und seltener als einseitige Zumutung empfunden wird.

Die Kernklauseln eines NDA

Definition der vertraulichen Informationen

Das Herzstück jedes NDA. Je präziser Sie definieren, was als vertraulich gilt, desto durchsetzbarer ist die Vereinbarung. Gängig sind zwei Ansätze: eine weite Generalklausel ("alle im Rahmen der Zusammenarbeit ausgetauschten Informationen") oder eine engere Lösung, bei der vertrauliche Informationen als solche gekennzeichnet werden müssen. Die Generalklausel ist einfacher, die Kennzeichnungspflicht rechtssicherer, aber im Alltag fehleranfällig.

Ausnahmen von der Vertraulichkeit

Ein durchsetzbares NDA nennt, was nicht geheimhaltungspflichtig ist: Informationen, die bereits öffentlich bekannt waren oder es ohne Vertragsbruch werden, die der empfangenden Partei nachweislich schon bekannt waren, die unabhängig entwickelt wurden oder deren Offenlegung gesetzlich oder behördlich angeordnet ist. Ohne solche Ausnahmen wirken NDAs schnell realitätsfremd und werden von Gerichten enger ausgelegt.

Dauer

Regeln Sie, wie lange die Geheimhaltungspflicht gilt – während des Projekts und darüber hinaus. Üblich sind Nachlaufzeiten von zwei bis fünf Jahren nach Projektende; für echte Geschäftsgeheimnisse kann eine unbefristete Geltung sinnvoll sein. Zu lange, pauschale Fristen sind allerdings nicht immer wirksam.

Vertragsstrafe

Eine Vertragsstrafe (etwa ein fester Betrag pro Verstoß) erhöht die abschreckende Wirkung, weil Sie im Ernstfall keinen konkreten Schaden nachweisen müssen. Die Höhe muss angemessen bleiben; überzogene Strafen können unwirksam sein. Wichtig ist die Klarstellung, dass weitergehende Schadensersatzansprüche unberührt bleiben.

Rückgabe und Löschung

Nach Projektende sollten überlassene Unterlagen, Zugangsdaten und Kopien zurückgegeben oder nachweislich gelöscht werden. Gerade bei digitalen Daten empfiehlt sich eine Formulierung, die Backups und Cloud-Kopien einschließt.

Weitergabe an Dritte, Gerichtsstand und Restklauseln

Ergänzend gehören einige weitere Punkte in ein sauberes NDA: eine Regelung, ob und unter welchen Bedingungen die empfangende Partei vertrauliche Informationen an Mitarbeiter, Freelancer oder Subunternehmer weitergeben darf – idealerweise nur an Personen, die die Informationen zur Aufgabenerfüllung benötigen ("need to know") und ihrerseits zur Verschwiegenheit verpflichtet sind. Hinzu kommen üblicherweise Angaben zum anwendbaren Recht und zum Gerichtsstand sowie eine salvatorische Klausel, die die Wirksamkeit des Restvertrags sichert, falls eine einzelne Bestimmung unwirksam sein sollte.

Typische Fehler bei NDAs

In der Praxis scheitern Geheimhaltungsvereinbarungen selten am guten Willen, sondern an handwerklichen Fehlern:

• Zu vage Definition: Steht nur "alle vertraulichen Informationen" ohne jede Konkretisierung im Vertrag, ist im Streitfall schwer nachzuweisen, was genau geschützt sein sollte.
• Fehlende Ausnahmen: Ohne die gängigen Ausnahmen (bereits öffentlich, unabhängig entwickelt, gesetzlich angeordnet) wirkt das NDA realitätsfremd und wird enger ausgelegt.
• Unrealistische Vertragsstrafen: Überhöhte Beträge können unwirksam sein und schrecken seriöse Partner ab.
• Kein "need to know": Fehlt die Regelung zur Weitergabe an Subunternehmer, verliert das NDA gerade in verteilten Entwicklungsteams seine Wirkung.
• NDA statt AVV: Wer glaubt, mit einem NDA auch den Datenschutz abzudecken, übersieht die eigenständigen Anforderungen der DSGVO.

Wann sollten Sie ein NDA unterschreiben?

Der richtige Zeitpunkt ist vor der Detailweitergabe – also bevor Sie im Briefing Ihre Geschäftsidee, sensible Zahlen oder technische Interna offenlegen. Für ein erstes, unverbindliches Kennenlerngespräch, in dem Sie nur grob umreißen, worum es geht, ist ein NDA meist noch nicht nötig. Sobald es konkret wird und Sie schützenswerte Details teilen, sollte die Vereinbarung stehen. Praktischer Hinweis: Wie Sie ein aussagekräftiges Briefing aufsetzen, ohne unnötig viel preiszugeben, lesen Sie im Leitfaden Briefing für die Digitalagentur.

Grenzen eines NDA

Ein NDA ist kein Allheilmittel. Es verhindert nicht technisch, dass Informationen abfließen – es schafft nur eine rechtliche Handhabe im Nachhinein. Die Durchsetzung kann aufwendig sein, und der Nachweis eines konkreten Verstoßes ist oft schwierig. Seriöse Agenturen halten sich ohnehin an Verschwiegenheit; ein NDA schafft hier vor allem Verbindlichkeit und dokumentiert Ihre Schutzmaßnahmen. Übertriebene NDAs mit unrealistischen Strafen oder unbegrenzter Bindung können zudem abschreckend wirken und ein Zeichen mangelnden Vertrauens sein.

Ein NDA ersetzt außerdem nicht die grundlegende Sorgfalt bei der Auswahl Ihres Partners. Wer nur die wirklich notwendigen Informationen weitergibt, Zugänge nach dem Prinzip der geringsten Rechte vergibt und sensible Daten erst dann teilt, wenn das Vertrauensverhältnis gefestigt ist, reduziert das Risiko unabhängig vom Papier. Das NDA ist ein Baustein einer durchdachten Informationssicherheit – nicht ihr Ersatz. Woran Sie eine vertrauenswürdige Agentur erkennen, lesen Sie im Leitfaden Seriöse Agentur erkennen.

NDA und die Menschen dahinter

Ein NDA mit der Agentur als Unternehmen wirkt zunächst nur zwischen den Vertragsparteien. In der Softwareentwicklung arbeiten aber häufig mehrere Personen an einem Projekt – festangestellte Entwickler, Freelancer und mitunter Subunternehmer. Damit die Vertraulichkeit auch tatsächlich greift, sollte die Agentur vertraglich verpflichtet werden, alle eingebundenen Personen denselben Geheimhaltungspflichten zu unterwerfen. Gegenüber den eigenen Mitarbeitern ergibt sich die Verschwiegenheit ohnehin meist aus dem Arbeitsvertrag; bei externen Kräften ist die vertragliche Weitergabe der Pflichten entscheidend. Fragen Sie im Zweifel nach, wie die Agentur die Vertraulichkeit intern und bei Dienstleistern sicherstellt.

Braucht es dafür einen Anwalt?

Für einfache, gegenseitige Standard-NDAs ohne besonders hohe Risiken greifen viele Unternehmen auf bewährte Vorlagen zurück. Sobald es jedoch um erhebliche wirtschaftliche Werte, komplexe Konstellationen mit mehreren Beteiligten, hohe Vertragsstrafen oder internationale Sachverhalte geht, ist anwaltliche Prüfung sinnvoll. Bedenken Sie auch: Ein NDA, das die andere Seite als überzogen empfindet, kann die Zusammenarbeit von Anfang an belasten. Ein ausgewogenes, klar formuliertes Dokument, das beide Seiten schützt, ist meist zielführender als ein möglichst scharfes einseitiges Papier. Der Aufwand für ein gutes NDA steht in keinem Verhältnis zum möglichen Schaden, wenn zentrale Geschäftsgeheimnisse ungeschützt abfließen.

Abgrenzung: NDA ist nicht gleich AVV

Ein besonders wichtiger Punkt: Ein NDA schützt Geschäftsgeheimnisse – es ist aber nicht das richtige Instrument für den Umgang mit personenbezogenen Daten. Sobald die Agentur in Ihrem Auftrag personenbezogene Daten verarbeitet (etwa Kundendaten in einer von ihr entwickelten oder betriebenen Anwendung), gilt zusätzlich die datenschutzrechtliche Vertraulichkeitspflicht des Auftragsverarbeiters nach Art. 28 DSGVO. Diese verlangt einen eigenen Auftragsverarbeitungsvertrag (AVV) mit gesetzlich vorgeschriebenen Mindestinhalten. Das NDA ersetzt den AVV nicht, und umgekehrt deckt der AVV nur den Datenschutz, nicht Ihre sonstigen Geschäftsgeheimnisse ab. In der Praxis brauchen Sie also häufig beides. Wie ein AVV im Softwareprojekt aussieht und was hineingehört, erklärt der Beitrag DSGVO und AVV im Softwareprojekt.

Häufige Fragen

Ist ein mündliches NDA wirksam?

Mündliche Geheimhaltungsabreden können grundsätzlich wirksam sein, sind aber im Streitfall kaum beweisbar. Für den Schutz von Geschäftsgeheimnissen nach § 2 GeschGehG kommt es auf angemessene, nachweisbare Geheimhaltungsmaßnahmen an – deshalb ist die Schriftform dringend zu empfehlen.

Reicht ein NDA, wenn die Agentur Kundendaten verarbeitet?

Nein. Für personenbezogene Daten greift zusätzlich Art. 28 DSGVO, der einen gesonderten Auftragsverarbeitungsvertrag verlangt. Das NDA deckt diesen Bereich nicht ab.

Wie lange sollte ein NDA gelten?

Das hängt von der Sensibilität ab. Üblich sind Nachlaufzeiten von zwei bis fünf Jahren nach Projektende. Für dauerhaft schützenswerte Geheimnisse kann eine unbefristete Geltung vereinbart werden – hier ist juristischer Rat sinnvoll.

Kann ich eine Vertragsstrafe frei festlegen?

Grundsätzlich ja, sie muss aber angemessen bleiben. Überhöhte Strafen können unwirksam sein. Eine übliche Formulierung sieht eine feste Strafe pro Verstoß vor und behält sich weitergehenden Schadensersatz ausdrücklich vor.

Wirkt ein NDA auch gegenüber Subunternehmern der Agentur?

Nur, wenn das ausdrücklich geregelt ist. Achten Sie auf eine Klausel, die die Agentur verpflichtet, eingebundene Freelancer oder Subunternehmer denselben Geheimhaltungspflichten zu unterwerfen.

Passende Agentur finden: Suchen Sie eine vertrauenswürdige Softwareagentur, die professionell mit Ihren sensiblen Informationen umgeht? Über Deine-Agenturen.com vergleichen Sie geprüfte Anbieter im DACH-Raum und starten Ihr Projekt auf sicherer Grundlage.