I.C.E.-Protokoll

PRÄAMBEL#

Das ICE-Protokoll (In Case of Emergency) bildet das verbindliche und konstitutionelle Regelwerk für alle Beteiligten des emna-Systems. Es definiert Rechte, Pflichten, Obliegenheiten, Ansprüche und deren Grenzen für die sichere Verwahrung und kontrollierte Freigabe sensibler Daten im Notfall- oder Todesfall.

Das emna-System dient der situationsgebundenen Übermittlung von Informationen an Berechtigte im Freigabefall. Der Ersteller lagert hierzu eine verschlüsselte Kopie seiner Daten ein; die Originaldaten und deren Sicherung verbleiben in seiner Verantwortung (Art. 8 Abs. 1 lit. j). Das emna-System ist kein Datensicherungs- oder Archivierungsdienst.

Dieses Protokoll ist die Verfassung des emna-Systems. Es bindet seine Parteien – Ersteller, Betreiber und Treuhänder – gleichermaßen; der Vorrang individueller Vertragsabreden (§ 305b BGB, Art. 5) bleibt unberührt. Die Teilnahme am emna-System als Ersteller, Treuhänder oder Betreiber setzt den Beitritt zu diesem Protokoll nach Art. 4 voraus. Berechtigte treten dem Protokoll nicht bei und werden nicht Vertragspartei; sie erwerben ihre Rechte ohne eigene Mitwirkung als begünstigte Dritte (§§ 328, 331 BGB) nach Maßgabe dieses Protokolls (Art. 4 Abs. 1 lit. b, Art. 35a).

Drei Grundsätze#

1. Selbstbestimmung: Der Ersteller behält bis zum Eintritt des definierten Ereignisses die vollständige Kontrolle über seine Daten und deren Freigabebedingungen. Niemand kann ohne sein Einverständnis auf die Daten zugreifen.

2. Vertrauensminimierung: Durch die M.I.A.-Architektur (Mathematical Immutable Access) hat kein einzelner Beteiligter Zugriff auf die vollständigen Daten. Erst das Zusammenwirken mehrerer Beteiligter ermöglicht die Freigabe. Dieses Verfahren ist zum Patent angemeldet; die Trennung wird kryptographisch erzwungen.

3. Rechtssicherheit: Klare Verfahren und Nachweispflichten gewährleisten, dass Freigaben nur bei tatsächlichem Vorliegen der definierten Voraussetzungen erfolgen. Das Protokoll schafft einen rechtlichen Rahmen, der für alle Beteiligten verbindlich und durchsetzbar ist.

Vorsorgewille und Rolle des Treuhänders#

Die in diesem Protokoll geregelten Freigabevoraussetzungen sind Ausdruck des Vorsorgewillens des Erstellers (Art. 20a). Wer dem Protokoll beitritt, erklärt diese Voraussetzungen verbindlich zum Maßstab seiner Vorsorge für Notfall und Nachlass.

Der Treuhänder ist in diesem System weder Sachverhaltsermittler noch Schiedsrichter. Seine Aufgabe ist die formale Prüfung der nach diesem Protokoll erforderlichen Nachweise (Art. 25a). Damit ähnelt seine Funktion strukturell der eines anwaltlichen Anderkontoinhabers oder einer notariellen Tatsachenfeststellung: Er bescheinigt, dass die formellen Voraussetzungen vorliegen, ohne in die inhaltliche Wahrheit der zugrundeliegenden Sachverhalte einzutreten. Die inhaltliche Verantwortung trägt jeweils die Stelle, die das Dokument ausgestellt hat (Standesamt, Gericht, Facharzt, Polizei). Diese strukturelle Auslagerung ist Voraussetzung dafür, dass das emna-System mit treuhänderischer Schlüsselverwahrung funktioniert.

Hierarchie der Regelwerke#

Die folgenden Regelwerke gelten in absteigender Rangfolge:

1. Zwingendes deutsches Recht (insbesondere BGB, DSGVO, StGB)
2. Individuelle Vertragsabreden (§ 305b BGB; Art. 5 Abs. 1)
3. Dieses ICE-Protokoll (Verfassung des emna-Systems)
4. Spezielle Allgemeine Geschäftsbedingungen (AGB für einzelne Dienste)

Bei Widersprüchen zwischen Regelwerken gilt das jeweils höherrangige. Bestimmungen, die zwingendem Recht widersprechen, sind nichtig; im Übrigen wird die niederrangige Bestimmung durch die höherrangige verdrängt.

---

Abschnitt I: Definitionen#

Artikel 1 Parteien und begünstigte Dritte#

Parteien dieses Protokolls sind der Ersteller, der Betreiber und der Treuhänder (Absätze 1, 3 und 4). Der Berechtigte (Absatz 2) ist nicht Partei dieses Protokolls, sondern begünstigter Dritter.

(1) Ersteller

Eine natürliche Person, die eine Datenbank im emna-System anlegt, Inhalte hinterlegt und Berechtigte sowie Freigabebedingungen definiert. Der Ersteller ist der zentrale Akteur und Inhaber aller Rechte an seinen Daten.

(2) Berechtigter

Eine natürliche oder juristische Person, die vom Ersteller als Empfänger der Daten oder Teilen davon benannt wurde und bei Eintritt des Freigabeereignisses nach Maßgabe dieses Protokolls Zugang erhält. Der Berechtigte tritt diesem Protokoll nicht bei; er erwirbt seine Rechte ohne eigene Mitwirkung als begünstigter Dritter (§§ 328, 331 BGB, Art. 35a Abs. 5), und seine Rechtsstellung bestimmt sich ausschließlich nach diesem Protokoll in der Verfahrensfassung (Art. 6 Abs. 6). Vor dem Eintritt des Freigabeereignisses besteht lediglich eine frei widerrufliche Rechtsstellung; die Benennung ist bis dahin frei änderbar und widerruflich (§ 328 Abs. 2 BGB, Art. 35a Abs. 6).

(3) Betreiber

Die Sacom EDV GmbH mit Sitz in Hanau oder ein von ihr autorisierter Rechtsnachfolger. Der Betreiber stellt die technische Infrastruktur bereit und verwahrt die verschlüsselten Datenbanken. Der Betreiber ist Treuhänder der verschlüsselten Daten, nicht jedoch deren Eigentümer oder Berechtigter.

(4) Treuhänder

Ein im emna-Partnernetzwerk registrierter Rechtsanwalt oder Notar oder eine im Partnernetzwerk registrierte Berufsausübungsgesellschaft dieser Berufsgruppen (§ 1 Abs. 2 der Allgemeinen Geschäftsbedingungen für Treuhänder), der oder die das Treuhänder-Paket mit den Situationsschlüsseln verwahrt und das Prüfverfahren nach diesem Protokoll durchführt. Subsidiär: die vom Betreiber benannte Auffangtreuhänderin.

Artikel 2 Technische Begriffe#

(1) Datenbank

Die vom Ersteller angelegte, verschlüsselte Sammlung von Daten, Dokumenten, Zugangsinformationen und Nachrichten. Die Datenbank ist ohne die zugehörigen Schlüssel nicht lesbar.

(2) M.I.A.-Schlüssel

Die kryptographischen Schlüssel, die zur Entschlüsselung der Datenbank erforderlich sind:

• Benutzerschlüssel (technisch: USS – User Shared Secret): 32 Byte langer, einem Berechtigten zugeordneter Schlüssel.
• Situationsschlüssel (technisch: SSS – Situation Shared Secret): 32 Byte langer, einer Situation zugeordneter Schlüssel; beim Treuhänder verwahrt.

(2a) Berechtigten-PIN

Eine vom System automatisch erzeugte, zehnstellige numerische Kennung, die jedem Berechtigten zugeordnet ist und zusätzlich zu Benutzer- und Situationsschlüssel zur Entschlüsselung der für ihn bestimmten Inhalte erforderlich ist. Die Berechtigten-PIN wird weder vom Ersteller noch vom Berechtigten gewählt; sie wird bei jeder Neueinlagerung durch eine neue PIN ersetzt (Art. 33 Abs. 4). Sie wird im Sidecar des Erstellers und im Treuhänder-Paket verwahrt und dem Berechtigten erst im Freigabefall durch den Treuhänder auf einem gesonderten Übermittlungsweg zugestellt (Art. 26 Abs. 1 lit. b). Die Berechtigten-PIN schützt den Berechtigten insbesondere davor, dass ein Dritter, der sich unbefugt Kenntnis von dessen Benutzerschlüssel verschafft hat, im Freigabefall die für den Berechtigten bestimmten Inhalte entschlüsselt.

(3) M.I.A.-Verfahren

Das zum Patent angemeldete Verschlüsselungsverfahren (Mathematical Immutable Access), das die Trennung von Datenbank und Schlüssel technisch erzwingt. Das Verfahren stellt kryptographisch sicher, dass:

• Der Betreiber die Daten nicht entschlüsseln kann.
• Der Treuhänder die Daten nicht ohne die Datenbank entschlüsseln kann.
• Nur das Zusammenwirken von Benutzerschlüssel (beim Berechtigten) und Situationsschlüssel (beim Treuhänder) die Entschlüsselung ermöglicht.

Die Berechtigten-PIN (Absatz 2a) tritt als weitere Entschlüsselungsvoraussetzung neben das M.I.A.-Verfahren, ohne dieses zu verändern.

(4) Notfallbereich

Der Teil der Datenbank, der ohne Entschlüsselung zugänglich ist und vom Ersteller für Notfallinformationen (z.B. Blutgruppe, Allergien, Notfallkontakte) vorgesehen werden kann.

(5) Recovery-Partition

Optionaler verschlüsselter Datenbestand, der alle M.I.A.-Schlüssel und Berechtigten-PINs enthält und ausschließlich mit der vom System erzeugten und vom Ersteller verwahrten Recovery-Phrase entschlüsselt werden kann (Art. 20). Die Recovery-Partition wird bei der Einlagerung getrennt von der Datenbank erzeugt und getrennt von ihr verwahrt; sie ist nicht Bestandteil der im Freigabefall bereitgestellten Datenbank (Art. 26 Abs. 1 lit. e). Zu jeder Datenbank besteht höchstens eine Recovery-Partition; mit jeder Neueinlagerung tritt die neue an die Stelle der bisherigen, die unwiederbringlich gelöscht wird. Die Recovery-Partition ist das "Sicherheitsnetz" für den Fall, dass das reguläre Freigabeverfahren scheitert.

(6) EID (emna-ID)

Die eindeutige, vom Server generierte Kennung einer Datenbank. Format: EID-XXXX-XXXX-XXXX-X. Die EID identifiziert die Datenbank, nicht den Ersteller.

(7) Treuhänder-Paket

Ein vom Ersteller im Rahmen der Einlagerung erzeugtes, kryptographisch geschütztes Paket, das die Situationsschlüssel aller Situationen einer Datenbank, die Berechtigten-PINs aller Berechtigten sowie die zu jeder Situation benannten Berechtigten samt ihrer Kontaktdaten enthält. Es enthält keinen Benutzerschlüssel. Das Treuhänder-Paket ist ausschließlich für den vom Ersteller benannten Treuhänder lesbar; weder der Betreiber noch Dritte können es entschlüsseln.

(8) Freigabepaket

Ein vom Treuhänder bei positiver Prüfung einer Notfallmeldung erzeugtes, signiertes Paket an den Betreiber. Es enthält die Bestätigung des Eintritts der Freigabevoraussetzungen, die Bezeichnung der betroffenen Situation und die Kontaktdaten der zu benachrichtigenden Berechtigten. Das Freigabepaket enthält keine Schlüssel und keine Berechtigten-PINs.

(9) Master-Passwort

Das vom Ersteller frei gewählte Passwort, mit dem die lokale Inhalts-Verschlüsselung der Datenbank vor ihrer Kompilierung geschützt ist. Das Master-Passwort wird ausschließlich beim Ersteller verwahrt und ist technisch nicht wiederherstellbar.

(10) Sidecar

Eine lokale Schlüsseldatei beim Ersteller, die die zur Verwaltung seiner eigenen Datenbank erforderlichen Schlüssel und Metadaten – insbesondere die Berechtigten-Liste mit Kontaktdaten und die Berechtigten-PINs – enthält. Der Sidecar verbleibt ausschließlich beim Ersteller.

(11) Situation

Eine vom Ersteller definierte Konstellation, bei deren Eintritt eine bestimmte Auswahl von Inhalten an eine bestimmte Auswahl von Berechtigten freigegeben wird. Jede Situation hat einen eigenen Situationsschlüssel und kann eigene Berechtigte und eigene Inhalte umfassen.

(12) Einlagerung

Der Vorgang, durch den der Ersteller seine kompilierte verschlüsselte Datenbank an den Betreiber sowie das Treuhänder-Paket an den Treuhänder übermittelt. Mit der Einlagerung wird die jeweilige Version der Datenbank Bestandteil des emna-Systems.

(13) Download-Code

Eine vom Betreiber im Freigabefall erzeugte, einmalige und zeitlich begrenzte Berechtigung, mit der ein Berechtigter die für ihn bestimmten Datenbankbestandteile beim Betreiber abrufen kann. Format und Gültigkeitsdauer richten sich nach Art. 26 Abs. 3.

Artikel 3 Ereignisse#

(1) Freigabeereignis

Ein im Auslösekatalog (Art. 21) definiertes Ereignis, dessen Eintritt die Freigabe der Daten auslöst. Freigabeereignisse sind objektiv feststellbar und erfordern dokumentierte Nachweise.

(2) Notfallmeldung

Die förmliche Mitteilung an den Treuhänder, dass ein Freigabeereignis möglicherweise eingetreten ist. Die Notfallmeldung löst das Prüfverfahren aus.

---

Abschnitt II: Beitritt und Geltung#

Artikel 4 Beitritt zum ICE-Protokoll#

(1) Der Beitritt zum ICE-Protokoll erfolgt durch:

a) Für Ersteller: Registrierung im emna-System und ausdrückliche Zustimmung zu diesem Protokoll. Die Zustimmung kann digital erfolgen und ist der schriftlichen gleichgestellt.

b) Für Berechtigte: Berechtigte treten diesem Protokoll nicht bei und werden nicht Vertragspartei. Sie erwerben ihre Rechte ohne eigene Mitwirkung als begünstigte Dritte (§§ 328, 331 BGB) nach Maßgabe dieses Protokolls (Art. 35a Abs. 5 bis 7); einer Annahmeerklärung oder sonstigen Willenserklärung des Berechtigten bedarf es nicht. Das Recht, die Berechtigung zurückzuweisen (§ 333 BGB, Art. 10 Abs. 1 lit. d), bleibt unberührt.

c) Für Treuhänder: Abschluss des Partnervertrags mit dem Betreiber und Anerkennung dieses Protokolls. Die Beitrittserklärung (Anlage 3) ist Voraussetzung.

d) Für den Betreiber: Mit Inkrafttreten dieses Protokolls und fortlaufend durch dessen Veröffentlichung und Einhaltung.

(2) Mit dem Beitritt erkennen alle Parteien die Bestimmungen dieses Protokolls als verbindlich an.

(3) Individuelle Vertragsabreden haben Vorrang vor diesem Protokoll (§ 305b BGB). Abreden, deren Umsetzung die in diesem Protokoll beschriebene Schlüsseltrennung oder das Drei-Parteien-Modell technisch aufheben würde, kann der Betreiber nicht erfüllen; hierauf weist er bei Vertragsschluss hin.

Artikel 5 Rangfolge#

(1) Das ICE-Protokoll geht den speziellen Allgemeinen Geschäftsbedingungen für einzelne Dienste vor. Individuelle Vertragsabreden haben Vorrang vor diesem Protokoll (§ 305b BGB).

(2) Abreden, deren Umsetzung die in diesem Protokoll beschriebene Schlüsseltrennung oder das Drei-Parteien-Modell technisch aufheben würde, kann der Betreiber nicht erfüllen; hierauf weist er bei Vertragsschluss hin.

(3) Bestimmungen, die gegen zwingendes deutsches Recht verstoßen, sind nichtig. Die Wirksamkeit der übrigen Bestimmungen bleibt unberührt.

Artikel 6 Änderungen des Protokolls#

(1) Der Betreiber kann das Protokoll mit einer Ankündigungsfrist von 30 Tagen ändern. Die Änderung wird den Erstellern und den Treuhändern in Textform mitgeteilt. Berechtigte erhalten die für sie maßgebliche Verfahrensfassung (Absatz 6) spätestens im Freigabefall mit der Benachrichtigung zur Kenntnisnahme (Art. 26 Abs. 1); einer Zustimmung oder Annahme durch die Berechtigten bedarf es nicht (Art. 4 Abs. 1 lit. b). Dieses Protokoll kann ausschließlich nach Maßgabe dieses Artikels geändert werden; Änderungsmechanismen aus anderen Regelwerken, insbesondere Zustimmungsfiktionen der Allgemeinen Geschäftsbedingungen, finden auf dieses Protokoll keine Anwendung.

(2) Wesentliche Änderungen, die die Rechte der Ersteller oder Berechtigten einschränken, bedürfen der ausdrücklichen Zustimmung der betroffenen Ersteller; die Zustimmung erfolgt über den Einlagerungsmechanismus nach Absatz 7. Die Rechtsstellung der Berechtigten wird durch die Bindung an die Verfahrensfassung (Absatz 6) gewahrt. Als wesentlich gelten insbesondere: a) Änderungen am Zero-Knowledge-Prinzip, b) Erweiterung der Zugriffsrechte des Betreibers, c) Einschränkung der Recovery-Optionen, d) Änderungen am Prüfverfahren.

(3) Die jeweils gültige Fassung ist unter emna.app/ice-protokoll abrufbar. Frühere Fassungen werden archiviert und bleiben zugänglich.

(4) Widerspricht eine Partei einer Änderung innerhalb von 30 Tagen nach Mitteilung, kann sie das Nutzungsverhältnis zum Zeitpunkt des Inkrafttretens der Änderung kündigen. Betrifft der Widerspruch eines Erstellers eine wesentliche Änderung (Absatz 2), wird ihm vorausbezahltes Entgelt anteilig erstattet.

(5) Erweiterungen des Auslösekatalogs oder zusätzliche Funktionen, die ausschließlich gelten, wenn der Ersteller sie ausdrücklich aktiviert (Opt-in), und die die Rechte der übrigen Parteien und die Rechtsstellung der Berechtigten nicht einschränken, gelten nicht als wesentliche Änderungen im Sinne des Absatzes 2. Sie werden für den jeweiligen Ersteller mit seiner Aktivierung, frühestens mit der nächsten Einlagerung, wirksam.

(6) Maßgebliche Fassung (Verfahrensfassung)

Für die Verwahrung, das Prüfverfahren, die Freigabe, die Selbstfreigabe, das Recovery-Verfahren sowie die Rechte der Berechtigten und die sie treffenden Obliegenheiten ist einheitlich für alle Beteiligten die Fassung dieses Protokolls maßgeblich, die der letzten Einlagerung der betroffenen Datenbank zugeordnet ist (Verfahrensfassung). Vor der ersten Einlagerung gilt die bei Vertragsschluss akzeptierte Fassung.

(7) Zustimmung bei Einlagerung

Ist zum Zeitpunkt einer Einlagerung eine neuere Fassung dieses Protokolls in Kraft als die vom Ersteller zuletzt akzeptierte, setzt die Einlagerung die ausdrückliche Zustimmung des Erstellers zu der neueren Fassung voraus. Die akzeptierte Fassung wird der Einlagerung zugeordnet und vom Betreiber mit Zeitpunkt dokumentiert.

(8) Fortgeltung bei Nichtzustimmung

Stimmt der Ersteller einer neueren Fassung nicht zu, gilt die bisherige Fassung ausschließlich für den Bestand fort: für die bereits eingelagerte Datenbank, deren Verwahrung und alle sie betreffenden Verfahren (Absatz 6). Neue Einlagerungen setzen die Zustimmung zur jeweils aktuellen Fassung voraus (Absatz 7). Widerruf (Art. 34) und Kündigung bleiben unberührt; lehnt der Ersteller eine wesentliche Änderung (Absatz 2) ab, kann er das Nutzungsverhältnis außerordentlich kündigen, und vorausbezahltes Entgelt wird anteilig erstattet (Absatz 4 Satz 2). Das Recht des Betreibers zur ordentlichen Kündigung nach den Allgemeinen Geschäftsbedingungen bleibt unberührt.

---

Abschnitt III: Rechte und Pflichten der Parteien; Rechtsstellung der Berechtigten#

Kapitel 1: Der Ersteller#

Artikel 7 Rechte des Erstellers#

(1) Der Ersteller hat das Recht:

a) Inhaltshoheit: Inhalte seiner Datenbank jederzeit zu erstellen, zu ändern oder zu löschen. Der Ersteller allein bestimmt, was in seiner Datenbank gespeichert wird.

b) Berechtigtenhoheit: Berechtigte zu benennen, zu ändern oder zu entziehen. Der Ersteller allein bestimmt, wer im Freigabefall Zugang erhält.

c) Freigabehoheit: Freigabebedingungen im Rahmen des Auslösekatalogs (Art. 21) festzulegen. Der Ersteller allein bestimmt, wann Daten freigegeben werden.

d) Widerrufsrecht: Die Datenbank jederzeit vollständig zu widerrufen (Revoke), wodurch alle Daten beim Betreiber sowie alle Schlüssel und Berechtigten-PINs beim Treuhänder unwiederbringlich gelöscht werden.

e) Treuhänderwahl: Den Treuhänder frei zu wählen und jederzeit zu wechseln. Ein Wechsel kann mit Kosten verbunden sein, die der Ersteller trägt.

f) Recovery-Entscheidung: Eine Recovery-Partition einzurichten oder nicht einzurichten. Diese Entscheidung liegt ausschließlich beim Ersteller.

g) Auskunft: Jederzeit Auskunft über den Status seiner Datenbank, der letzten Einlagerung und des Treuhänder-Pakets zu erhalten.

(2) Diese Rechte sind unveräußerlich und können nicht durch Vereinbarung eingeschränkt werden.

Artikel 8 Pflichten des Erstellers#

(1) Der Ersteller ist verpflichtet:

a) Wahrheitspflicht: Wahrheitsgemäße Angaben zu seiner Person zu machen, insbesondere zur Identitätsfeststellung.

b) Benachrichtigungspflicht: Die Berechtigten über ihre Benennung zu informieren oder dies dem System zu überlassen. Der Berechtigte muss von seiner Berechtigung Kenntnis erlangen können.

c) Objektivierungspflicht: Freigabebedingungen ausschließlich im Rahmen des Auslösekatalogs (Art. 21) festzulegen; dessen Tatbestände sind objektiv prüfbar und an die dort definierten Nachweise gebunden.

d) Zahlungspflicht: Die vereinbarte Nutzungsgebühr fristgerecht zu entrichten.

e) Rechtmäßigkeitspflicht: Keine rechtswidrigen oder schädigenden Inhalte zu hinterlegen. Verboten sind insbesondere Inhalte, deren Besitz, Erwerb oder Verbreitung strafbar ist (insbesondere Inhalte im Sinne der §§ 184b, 184c StGB), Schadsoftware sowie Inhalte, deren Zweck die Schädigung der Berechtigten, der übrigen Beteiligten oder Dritter ist. Der Ersteller trägt die alleinige Verantwortung für die Rechtmäßigkeit und Vollständigkeit der hinterlegten Inhalte. Eine Inhaltskontrolle durch den Betreiber oder den Treuhänder findet nicht statt und ist aufgrund der Verschlüsselung nicht möglich (Art. 19); gesetzliche Pflichten des Betreibers bei Kenntniserlangung bleiben unberührt.

f) Schlüsselverwahrungspflicht: Die Benutzerschlüssel sicher an die Berechtigten zu übergeben oder selbst sicher zu verwahren.

g) Master-Passwort-Pflicht: Sein Master-Passwort sicher zu verwahren. Ein vergessenes Master-Passwort kann nicht wiederhergestellt werden.

h) Benennungs- und Aktualisierungspflicht: Die Berechtigten zutreffend zu benennen und die im Treuhänder-Paket hinterlegten Kontaktdaten der Berechtigten aktuell zu halten. Geänderte Berechtigten-Daten werden durch eine Neueinlagerung wirksam. Mit jeder Einlagerung bestätigt der Ersteller, dass die Benennungen und Kontaktdaten zutreffend und aktuell sind und dass er befugt ist, diese Daten dem Treuhänder und dem Betreiber zur Durchführung dieses Protokolls weiterzugeben; Treuhänder und Betreiber verwenden sie ausschließlich zu diesem Zweck (Art. 40). Unterbleibt die Aktualisierung, trägt der Ersteller die Folgen einer Nicht- oder Fehlbenachrichtigung oder einer Unzustellbarkeit im Freigabefall (Art. 26 Abs. 1).

i) Geheimhaltungspflicht für Berechtigten-PINs: Die im Sidecar verwahrten Berechtigten-PINs geheim zu halten und insbesondere nicht vorab an Berechtigte oder Dritte weiterzugeben. Die Zustellung an den Berechtigten erfolgt ausschließlich im Freigabefall durch den Treuhänder (Art. 26 Abs. 1 lit. b).

j) Eigensicherungspflicht: Die in der Datenbank hinterlegten Informationen – insbesondere Zugangsdaten, kryptographische Schlüssel und Dokumente von erheblichem Wert – unabhängig vom emna-System zu sichern und aktuell zu halten. Die Einlagerung ist keine Datensicherung und ersetzt keine eigene Aufbewahrung der Originale. Verletzt der Ersteller diese Obliegenheit, muss er sich dies bei Ansprüchen wegen Verlusts oder Unverwendbarkeit eingelagerter Daten als Mitverschulden (§ 254 BGB) anrechnen lassen; dies gilt auch gegenüber Ansprüchen von Berechtigten, die ihre Rechtsstellung vom Ersteller ableiten.

k) Gesonderte Sicherung von Vermögenszugängen: Zugangsmittel, deren Besitz unmittelbar die Verfügung über Vermögenswerte ermöglicht – insbesondere private kryptographische Schlüssel und Seed-Phrases zu Kryptowerten sowie Wiederherstellungscodes und vergleichbare Zugangscodes zu Finanzkonten –, außerhalb des emna-Systems durch verkehrsübliche Mittel gesondert zu sichern, insbesondere durch ein Bankschließfach, eine notarielle Verwahrung oder eine vergleichbar gesicherte physische Verwahrung. Die Hinterlegung solcher Zugangsmittel im emna-System dient ausschließlich dem zusätzlichen, situations- und personengerichteten Zugang im Freigabefall; sie ersetzt die gesonderte Sicherung nicht. Verletzt der Ersteller diese Obliegenheit, muss er sich dies bei Ansprüchen wegen des Verlusts oder der Unzugänglichkeit des betroffenen Vermögenswerts als Mitverschulden (§ 254 BGB) anrechnen lassen; ein Ersatz des Wertes des betroffenen Vermögenswerts ist ausgeschlossen, soweit der Schaden bei gesonderter Sicherung nicht eingetreten wäre. Die Haftung des Betreibers nach Art. 28 Abs. 1 bleibt unberührt; beruht der Schaden auf Vorsatz oder grober Fahrlässigkeit des Betreibers oder seiner Erfüllungsgehilfen, verbleibt es bei der Abwägung nach § 254 BGB. Dies gilt auch gegenüber Ansprüchen von Berechtigten, die ihre Rechtsstellung vom Ersteller ableiten.

(2) Verstöße gegen die Pflichten nach Absatz 1 lit. e) oder ein durch konkrete Tatsachen begründeter Verdacht eines solchen Verstoßes berechtigen den Betreiber zur Sperrung des Kontos und zur Aussetzung von Einlagerungen; bei schwerwiegenden oder fortgesetzten Verstößen ist der Ausschluss aus dem System zulässig. Die Zustellung im Freigabefall darf der Betreiber nur aussetzen, wenn ein durch konkrete Tatsachen begründeter Verdacht besteht, dass die Zustellung Inhalte weitergeben würde, deren Besitz, Erwerb oder Verbreitung strafbar ist; in diesem Fall zeigt er den Verdacht unverzüglich der zuständigen Strafverfolgungsbehörde an, unterrichtet den Treuhänder und dokumentiert die Aussetzung; sie dauert nur fort, bis die Behörde entschieden hat oder eine gerichtliche Klärung erfolgt ist. Sperrung und Aussetzung sind unverzüglich aufzuheben, sobald der Verdacht entkräftet ist. Gesetzliche Pflichten sowie behördliche und gerichtliche Anordnungen gehen auch der Durchführung eines Freigabeverfahrens vor. Die Haftung und Freistellung nach Art. 30 bleiben unberührt.

Artikel 9 Keine Ansprüche des Erstellers#

(1) Der Ersteller hat keinen Anspruch auf:

a) Wiederherstellung eines vergessenen Master-Passworts; das Master-Passwort ist technisch nicht wiederherstellbar. Bei aktivierter Recovery-Partition kann aus dem Backup eine neue Datenbank mit neuem Master-Passwort eingerichtet werden; das ursprüngliche Master-Passwort bleibt dauerhaft unwiederbringlich.

b) Wiederherstellung verlorener Benutzerschlüssel, Situationsschlüssel oder Berechtigten-PINs (außer bei aktivierter Recovery-Partition).

c) Rückgängigmachung eines erklärten Widerrufs.

d) Zugriff auf oder Herausgabe der beim Betreiber eingelagerten Datenbank während des laufenden Nutzungsverhältnisses, unabhängig vom Vorliegen eines gültigen Master-Passworts. Unberührt bleiben der Abruf einer Kopie der verschlüsselten Datenbank durch den Ersteller im Rahmen einer geordneten Beendigung (§ 6 Abs. 7 der Allgemeinen Geschäftsbedingungen für Kunden) sowie die Herausgabe der verschlüsselten Datenbank an den Ersteller im Abwicklungsfall (Art. 14 Abs. 1 lit. e, Art. 37 Abs. 3 lit. b); gegenüber Dritten, insbesondere Erben, verbleibt es in allen Fällen bei den Ausschlüssen (Art. 35a Abs. 3).

e) Änderung von Daten nach erfolgter Freigabe an Berechtigte.

f) Verhinderung einer rechtmäßig erteilten Freigabe.

g) Nutzung des emna-Systems als Datensicherungs- oder Archivierungsdienst; die Einlagerung dient ausschließlich der situationsgebundenen Übermittlung im Freigabefall (Präambel, Art. 8 Abs. 1 lit. j).

(2) Diese Ausschlüsse sind systemimmanent und keine Einschränkung durch den Betreiber.

---

Kapitel 2: Der Berechtigte#

Artikel 10 Rechte des Berechtigten#

(1) Der Berechtigte hat das Recht:

a) Zugriffsrecht: Nach positiver Prüfung der Freigabevoraussetzungen durch den Treuhänder die für ihn bestimmten Daten zu erhalten. Das Recht entsteht mit der Bestätigung des Eintritts des Freigabeereignisses durch den Treuhänder, nicht bereits mit dem Ereignis selbst.

b) Melderecht: Eine Notfallmeldung an den Treuhänder zu richten.

c) Auskunftsrecht: Auskunft über den Status des Prüfverfahrens zu verlangen.

d) Zurückweisungsrecht: Die Berechtigung durch Erklärung gegenüber dem Treuhänder oder dem Betreiber zurückzuweisen (§ 333 BGB). Treuhänder und Betreiber unterrichten einander unverzüglich über eine ihnen zugegangene Zurückweisung. Die Zurückweisung wirkt einheitlich für sämtliche Leistungen des Betreibers und des Treuhänders nach diesem Protokoll, wird im Prüfprotokoll (Anlage 2) dokumentiert und beendet das Freigabeverfahren nur für den zurückweisenden Berechtigten; die Rechte der übrigen Berechtigten bleiben unberührt.

e) Datenschutzrecht: Dass seine Kontaktdaten vertraulich behandelt werden.

f) Unentgeltlichkeit: Dass die Durchführung des Prüfverfahrens und die Zustellung nach Art. 26 nicht von einer Zahlung des Berechtigten abhängig gemacht werden. Honorare des Treuhänders für vom Berechtigten gesondert beauftragte Zusatzleistungen bleiben unberührt; sie sind in keinem Fall Voraussetzung der Freigabe.

(2) Das Zugriffsrecht nach Absatz 1 lit. a) entsteht erst mit der positiven Prüfung des Freigabeereignisses durch den Treuhänder. Vor dem Eintritt des Freigabeereignisses besteht lediglich eine frei widerrufliche Rechtsstellung als begünstigter Dritter (Art. 35a Abs. 5 und 6); ein gefestigtes Anwartschaftsrecht besteht nicht.

(3) Der Anspruch des Berechtigten besteht nur nach Maßgabe des Prüfverfahrens dieses Protokolls (Abschnitt V). Bei offensichtlich fehlerhafter oder vorsätzlicher Verweigerung der Freigabe kann der Berechtigte Beschwerde beim Betreiber einlegen oder gerichtliche Hilfe in Anspruch nehmen.

Artikel 11 Obliegenheiten des Berechtigten#

(1) Den Berechtigten treffen aus diesem Protokoll keine Pflichten; er ist nicht Vertragspartei (Art. 4 Abs. 1 lit. b). Ihn treffen ausschließlich die folgenden Obliegenheiten, deren Beachtung in seinem eigenen Interesse liegt und deren Verletzung allein die in diesem Protokoll bestimmten Leistungsfolgen hat (Absatz 2):

a) Vertraulichkeits-Obliegenheit: Die erhaltenen Daten nach dem Empfang vertraulich zu behandeln, soweit der Ersteller nichts anderes bestimmt hat. Für die Folgen einer missbräuchlichen Offenlegung gilt Absatz 2 Satz 2.

b) Rechtmäßige Verwendung: Die erhaltenen Daten nicht für rechtswidrige Zwecke zu verwenden. Die Verwendung richtet sich im Übrigen nach den allgemeinen Gesetzen (Absatz 2 Satz 2).

c) Wahrheits-Obliegenheit: Bei einer Notfallmeldung wahrheitsgemäße Angaben zu machen. Falsche Angaben führen zur Ablehnung der Prüfung oder zur negativen Prüfung (Art. 25, Art. 26 Abs. 2); Absatz 2 Satz 2 bleibt unberührt.

d) Nachweis-Obliegenheit: Die nach diesem Protokoll erforderlichen Nachweise beizubringen. Ohne vollständige Nachweise wird die Freigabe verweigert (Art. 21 Abs. 2); weitergehende Folgen hat das Unterbleiben nicht.

e) Schlüsselverwahrungs-Obliegenheit: Den erhaltenen Benutzerschlüssel im eigenen Interesse sicher und vertraulich zu verwahren. Der Benutzerschlüssel ist nach dem Willen des Erstellers ein ausschließlich dem Berechtigten zugängliches Geheimnis. Bei Verlust oder Kompromittierung kann der Zugriff im Freigabefall scheitern oder der Ersteller den Benutzerschlüssel rotieren und neu ausstellen (Art. 33 Abs. 5); ein Ersatz besteht nur nach Maßgabe des Art. 12 Abs. 1 lit. d.

f) Mitwirkungs-Obliegenheit: Im Recovery-Verfahren (Art. 20 Abs. 4) an der Prüfung der eigenen Identität und Berechtigung mitzuwirken. Im Freigabefall findet eine Identitätsprüfung des Berechtigten nicht statt; die Zustellung erfolgt an die vom Ersteller hinterlegten Kontaktdaten (Art. 26 Abs. 1). Eine Willenserklärung des Berechtigten über dieses Protokoll ist nicht erforderlich (Art. 4 Abs. 1 lit. b).

g) PIN-Obliegenheiten: Für die Zustellung nach Art. 26 Abs. 1 lit. b erreichbar zu sein und die ihm im Freigabefall zugestellte Berechtigten-PIN vertraulich zu behandeln, insbesondere nicht an Dritte – auch nicht an andere Berechtigte oder Angehörige – weiterzugeben. Bei Kompromittierung kann der Zugriff scheitern oder die Berechtigten-PIN durch Neueinlagerung ersetzt werden (Art. 33 Abs. 4). Eine Verwahrungsobliegenheit vor dem Freigabefall besteht nicht.

(2) Die Verletzung einer Obliegenheit nach Absatz 1 begründet keine Schadensersatzansprüche des Betreibers oder des Treuhänders gegen den Berechtigten; ihre Folgen beschränken sich darauf, dass Leistungen nach diesem Protokoll unterbleiben oder scheitern können oder Schlüssel und Berechtigten-PINs gesperrt oder neu ausgestellt werden. Gesetzliche Ansprüche bei Missbrauch – insbesondere aus §§ 823, 826 BGB – sowie die Strafbarkeit, insbesondere wegen falscher Angaben in einer Notfallmeldung oder wegen Urkundenfälschung (§ 267 StGB), bleiben unberührt.

Artikel 12 Keine Ansprüche des Berechtigten#

(1) Der Berechtigte hat keinen Anspruch auf:

a) Zugang zu Daten vor positiver Prüfung des Freigabeereignisses durch den Treuhänder.

b) Änderung der Freigabebedingungen.

c) Information über den konkreten Inhalt der für ihn bestimmten Daten vor der Freigabe.

d) Ersatz des Benutzerschlüssels bei Verlust (außer bei aktivierter Recovery-Partition durch den Ersteller).

e) Freigabe, wenn die Nachweisvoraussetzungen nicht erfüllt sind.

f) Zugang zu Daten, die nicht für ihn bestimmt sind.

g) Zustellung der Berechtigten-PIN vor dem Freigabefall oder auf einem anderen als dem in Art. 26 Abs. 1 lit. b vorgesehenen Übermittlungsweg, insbesondere per E-Mail.

(2) Der Berechtigte hat kein Recht, den Ersteller zur Änderung von Inhalten oder Freigabebedingungen zu bewegen.

---

Kapitel 3: Der Betreiber#

Artikel 13 Rechte des Betreibers#

(1) Der Betreiber hat das Recht:

a) Entgeltrecht: Nutzungsgebühren zu erheben und bei Zahlungsverzug den Zugang zu sperren.

b) Ausschlussrecht: Bei schwerwiegenden Verstößen gegen dieses Protokoll Nutzer auszuschließen.

c) Änderungsrecht: Technische Änderungen am System vorzunehmen, soweit diese die Kernfunktionalität nicht beeinträchtigen.

d) Protokolländerungsrecht: Dieses Protokoll nach Art. 6 zu ändern.

(2) Die Rechte nach Absatz 1 sind an die Pflichten nach Art. 14 gebunden.

Artikel 14 Pflichten des Betreibers#

(1) Der Betreiber ist verpflichtet:

a) Betriebspflicht: Die technische Infrastruktur nach dem Stand der Technik zu betreiben und zu sichern.

b) Integritätspflicht: Die verschlüsselten Datenbanken durch dem Stand der Technik entsprechende Maßnahmen (lit. a) integer und verfügbar zu halten.

c) Freigabepflicht: Bei signierter Freigabeanweisung des Treuhänders unverzüglich das Freigabeverfahren nach Art. 26 durchzuführen, insbesondere den Download-Code zu erzeugen, die Datenbankbestandteile bereitzustellen und die nachträgliche Freigabemitteilung an den Ersteller auszulösen.

d) M.I.A.-Pflicht: Die M.I.A.-Architektur aufrechtzuerhalten, insbesondere keine Möglichkeit zu schaffen, Datenbanken ohne den zugehörigen Schlüssel zu entschlüsseln. Diese Pflicht ist absolut.

e) Übergabepflicht: Bei Beendigung des Geschäftsbetriebs für eine geordnete Übertragung aller Datenbanken und der bei ihm verwahrten verschlüsselten Recovery-Daten an einen Nachfolger oder die Ersteller zu sorgen.

f) Veröffentlichungspflicht: Dieses Protokoll zu veröffentlichen und einzuhalten.

g) Transparenzpflicht: Über wesentliche Änderungen am System rechtzeitig zu informieren.

h) Datenschutzpflicht: Die DSGVO und andere Datenschutzvorschriften einzuhalten.

i) Auffangtreuhänderpflicht: Eine oder mehrere Auffangtreuhänderinnen oder Auffangtreuhänder öffentlich zu benennen, die bei Ausfall eines primären Treuhänders dessen Funktion übernehmen. Die benannten Personen müssen die Voraussetzungen nach Art. 1 Abs. 4 erfüllen. Die aktuelle Benennung ist über emna.app einsehbar. Das Verfahren der Übernahme richtet sich nach Art. 18a.

(2) Verstöße gegen die Pflicht nach Absatz 1 lit. d) sind schwerwiegende Pflichtverletzungen, die zur außerordentlichen Kündigung durch jede Partei berechtigen.

Artikel 15 Keine Rechte und Ansprüche des Betreibers#

(1) Der Betreiber hat kein Recht auf:

a) Zugriff auf unverschlüsselte Inhalte der Datenbanken.

b) Einsichtnahme in die M.I.A.-Schlüssel oder Berechtigten-PINs. Dies gilt auch im Recovery-Fall (Art. 20): Eine Entschlüsselung von Recovery-Daten durch den Betreiber findet nicht statt. Die flüchtige Durchleitung des Situationsschlüssels als Übermittlungsbote im Freigabefall (Art. 26 Abs. 1 lit. a) bleibt unberührt; sie begründet keine Einsichtnahme- oder Speicherbefugnis.

c) Eigenständige Auslösung einer Freigabe ohne Freigabeanweisung des Treuhänders.

d) Verwendung der Daten für eigene Zwecke.

e) Weitergabe von Daten an Dritte (außer an Berechtigte nach Freigabe).

(2) Der Betreiber ist kein Treuhänder im Sinne des bürgerlichen Rechts für die unverschlüsselten Inhalte. Er verwahrt ausschließlich verschlüsselte Daten, die er selbst nicht lesen kann.

---

Kapitel 4: Der Treuhänder#

Artikel 16 Rechte des Treuhänders#

(1) Der Treuhänder hat das Recht:

a) Ablehnungsrecht: Die Prüfung abzulehnen, wenn ein Ablehnungsgrund nach Art. 25 Abs. 3 lit. a oder b vorliegt.

b) Nachforderungsrecht: Bei Unvollständigkeit der Nachweise oder begründeten Zweifeln nach Art. 25a Abs. 3 weitere Nachweise anzufordern.

c) Niederlegungsrecht: Seine Treuhänderschaft mit angemessener Frist (mindestens 3 Monate) niederzulegen.

(2) Das Niederlegungsrecht nach Absatz 1 lit. c) ist an die Pflicht zur ordnungsgemäßen Übergabe nach Art. 17 Abs. 1 lit. f) gebunden.

Artikel 17 Pflichten des Treuhänders#

(1) Der Treuhänder ist verpflichtet:

a) Verwahrungspflicht: Das Treuhänder-Paket mit den Situationsschlüsseln und Berechtigten-PINs sicher und vertraulich zu verwahren. Die Verwahrung muss den berufsrechtlichen Anforderungen genügen.

b) Bearbeitungspflicht: Eingehende Notfallmeldungen zu bearbeiten; die Prüfung soll zeitnah erfolgen (Art. 25 Abs. 1). Eine kalendermäßig bestimmte Bearbeitungsfrist wird nicht zugesagt; die Verfahrenshöchstdauer des Art. 27 Abs. 1 bleibt unberührt.

c) Prüfungspflicht: Das Prüfverfahren nach Abschnitt V dieses Protokolls nach Maßgabe der Art. 25 und 25a durchzuführen.

d) Freigabepflicht: Bei positiver Prüfung den Situationsschlüssel und die Berechtigten-PIN nach Maßgabe des Art. 26 Abs. 1 an die Berechtigten sowie die Freigabeanweisung an den Betreiber unverzüglich zu übermitteln.

e) Verschwiegenheitspflicht: Über alle Vorgänge Stillschweigen zu bewahren, soweit nicht die Freigabe dies erfordert.

f) Übergabepflicht: Bei Beendigung seiner Tätigkeit das Treuhänder-Paket mit den Situationsschlüsseln und Berechtigten-PINs vollständig an einen Nachfolger oder die Auffangtreuhänderin zu übergeben.

g) Aufbewahrungspflicht: Prüfprotokolle für die Dauer von 10 Jahren aufzubewahren.

h) Erreichbarkeitspflicht: Eine geeignete Erreichbarkeit für Notfallmeldungen sicherzustellen, insbesondere durch eine kanzleiübliche Vertretungsregelung im Falle von Urlaub, Krankheit oder sonstiger Verhinderung. Die Bearbeitungspflicht nach lit. b) bleibt davon unberührt.

(2) Der Treuhänder unterliegt zusätzlich seinem Berufsrecht (BRAO, BNotO).

Artikel 18 Unabhängigkeit des Treuhänders#

(1) Der Treuhänder handelt unabhängig und ist nur diesem Protokoll sowie seinem Berufsrecht verpflichtet.

(2) Weisungen des Betreibers, des Erstellers oder anderer Parteien, die diesem Protokoll widersprechen, sind unbeachtlich.

(3) Der Treuhänder ist insbesondere nicht an Weisungen gebunden, die: a) Eine Freigabe ohne ordnungsgemäße Prüfung verlangen, b) Eine Verweigerung der Freigabe trotz vorliegender Voraussetzungen verlangen, oder c) Die Herausgabe von Schlüsseln oder Berechtigten-PINs an Unbefugte verlangen.

(4) Entbindung von Schweigepflichten

Der Ersteller entbindet den Treuhänder mit dem Beitritt zum Protokoll und mit der Beauftragung insoweit von beruflichen und gesetzlichen Schweigepflichten (insbesondere § 43a BRAO, § 203 StGB), als die Erfüllung der Pflichten des Treuhänders nach diesem Protokoll dies erfordert; dies umfasst insbesondere die Übermittlung des Situationsschlüssels und die Zustellung der Berechtigten-PIN an die Berechtigten sowie die Übermittlung des Freigabepakets an den Betreiber. Die Entbindung wird im Zustimmungsvorgang gesondert ausgewiesen und vom Ersteller gesondert bestätigt. Im Übrigen bleibt die berufsrechtliche Verschwiegenheitspflicht des Treuhänders unberührt.

(5) Eigenständigkeit des Treuhandverhältnisses

Zwischen dem Ersteller und dem Treuhänder kommt mit dem Beitritt und der Beauftragung ein eigenständiger Geschäftsbesorgungsvertrag zustande. Dieser Geschäftsbesorgungsvertrag ist zugleich echter Vertrag zugunsten der jeweils benannten Berechtigten (§ 328 BGB, Art. 35a Abs. 5): Der Treuhänder verspricht die Leistungen nach diesem Protokoll – insbesondere die Durchführung des Prüfverfahrens, die Übermittlung des Situationsschlüssels und die Zustellung der Berechtigten-PIN (Art. 26 Abs. 1) – auch als Leistungen an die Berechtigten; deren Rechte bestehen ausschließlich nach Maßgabe dieses Protokolls in der Verfahrensfassung (Art. 35a Abs. 7). Der Treuhänder wird bei Verwahrung, Prüfung und Freigabe im eigenen, berufsrechtlich geprägten Pflichtenkreis tätig und ist insoweit nicht Erfüllungsgehilfe des Betreibers; der Betreiber ist nicht Erfüllungsgehilfe des Treuhänders. Soweit sich eine Partei zur Erfüllung eigener Pflichten der jeweils anderen bedient – insbesondere der Treuhänder der technischen Infrastruktur des Betreibers als Übermittlungsbote (Art. 26 Abs. 1 lit. a) –, bleibt die gesetzliche Zurechnung (§ 278 BGB) unberührt. Der Treuhänder ist kein Testamentsvollstrecker; er übernimmt weder eine Verwaltung des Vermögens des Erstellers noch eine Verfügungsbefugnis darüber. Seine Aufgabe beschränkt sich auf die Verwahrung nach Art. 17 und die formale Prüfung und Freigabe nach Abschnitt V.

Artikel 18a Auffangtreuhänderschaft#

(1) Automatische Übernahme

Verliert ein Ersteller seinen primären Treuhänder, ohne dass dieser seine Funktion ordnungsgemäß auf einen Nachfolger übertragen hat – insbesondere durch Tod, dauerhafte Berufsunfähigkeit, Verlust der berufsrechtlichen Zulassung oder unangezeigtes Niederlegen –, übernimmt ohne weiteres Zutun des Erstellers oder Berechtigten eine vom Betreiber benannte Auffangtreuhänderin oder ein vom Betreiber benannter Auffangtreuhänder dessen Funktion.

(2) Mehrere Auffangtreuhänderinnen

Der Betreiber kann mehrere Auffangtreuhänderinnen oder Auffangtreuhänder benennen, etwa zur regionalen oder fachlichen Aufteilung. Die Zuordnung zu einem konkreten Ersteller erfolgt durch den Betreiber nach sachgerechten Kriterien.

(3) Funktion

Die Auffangtreuhänderin oder der Auffangtreuhänder tritt im Wege der Übernahme des Geschäftsbesorgungsverhältnisses (Art. 18 Abs. 5) an die Stelle des primären Treuhänders und übernimmt sämtliche Rechte und Pflichten des Treuhänders nach diesem Protokoll einschließlich der Drittbegünstigung der Berechtigten (Art. 35a Abs. 5), insbesondere die Verwahrung des Treuhänder-Pakets, das Prüfverfahren (Art. 25) und die Entscheidung (Art. 26). Der Ersteller stimmt dieser Übernahme bereits mit seinem Beitritt zu diesem Protokoll im Voraus zu; eines gesonderten Vertragsschlusses mit der Auffangtreuhänderin oder dem Auffangtreuhänder bedarf es nicht.

(4) Anzeige

Die Übernahme wird vom Betreiber den betroffenen Erstellern in Textform angezeigt. Der Ersteller kann jederzeit einen neuen primären Treuhänder benennen (Art. 7 Abs. 1 lit. e); bis dahin bleibt die Auffangtreuhänderin oder der Auffangtreuhänder zuständig.

(4a) Einzelfall-Abgabe

Ist der primäre Treuhänder in einem einzelnen Prüfverfahren aus berufsrechtlichen Gründen an der Prüfung gehindert (insbesondere § 43a Abs. 4 BRAO), gibt er das Verfahren unverzüglich an eine Auffangtreuhänderin oder einen Auffangtreuhänder ab und übermittelt die für dieses Verfahren erforderlichen Bestandteile des Treuhänder-Pakets. Die Abgabe ist keine Beendigung seiner Tätigkeit; die Verfahrenshöchstdauer (Art. 27 Abs. 1) beginnt mit dem Eingang des Verfahrens bei der Auffangtreuhänderin oder dem Auffangtreuhänder neu. Der Ersteller stimmt der Einzelfall-Abgabe bereits mit seinem Beitritt zu diesem Protokoll im Voraus zu; eines gesonderten Vertragsschlusses bedarf es nicht. Mit der Abgabe kommt zwischen dem Ersteller und der Auffangtreuhänderin oder dem Auffangtreuhänder für dieses Verfahren ein eigenes Geschäftsbesorgungsverhältnis (Art. 18 Abs. 5) zustande; es ist zugleich echter Vertrag zugunsten der jeweils benannten Berechtigten (§§ 328, 331 BGB), und Art. 35a Abs. 5 und 7 gelten entsprechend. Der Betreiber zeigt die Abgabe dem Ersteller in Textform an. Die Abgabe und ihr Grund werden ohne Offenlegung mandatsbezogener Einzelheiten dokumentiert.

(5) Haftung und Berufsrecht

Für Auffangtreuhänderinnen und Auffangtreuhänder gelten die Bestimmungen über den Treuhänder (insbesondere Art. 17, Art. 18 und Art. 29) entsprechend.

---

Abschnitt IV: Zero-Knowledge und Recovery#

Artikel 19 Zero-Knowledge-Prinzip#

(1) Grundsatz

Das emna-System basiert auf dem Grundsatz, dass kein einzelner Beteiligter allein Zugriff auf die vollständigen Daten eines Erstellers hat. Dieses Prinzip ist das Fundament des Systems und darf nicht aufgeweicht werden.

(2) Technische Umsetzung

Die Trennung wird wie folgt gewährleistet:

Beteiligter	Verfügt über	Verfügt nicht über
Betreiber	Verschlüsselte Datenbank	M.I.A.-Schlüssel, Berechtigten-PINs (ausgenommen die flüchtige Durchleitung des Situationsschlüssels als Übermittlungsbote im Freigabefall, Art. 26 Abs. 1 lit. a – ohne Speicherung und ohne Zusammenführung)
Treuhänder	Treuhänder-Paket mit den Situationsschlüsseln, den Berechtigten-PINs und den Berechtigten-Kontaktdaten	Datenbank, Benutzerschlüssel
Berechtigter	Benutzerschlüssel	Datenbank, Situationsschlüssel, Berechtigten-PIN (bis zur Zustellung im Freigabefall)
Ersteller	Originaldaten, lokale Datenbank und Sidecar (alle Schlüssel und Berechtigten-PINs)	Eingelagerte Kopie beim Betreiber (kein Herausgabeanspruch, Art. 9 Abs. 1 lit. d)

(3) Schlüsselverteilung bei Einlagerung

Die Verteilung der Schlüssel und Daten erfolgt ausschließlich durch den Ersteller im Rahmen der Einlagerung:

a) Die verschlüsselte Datenbank wird an den Betreiber übermittelt. Sie enthält keine Schlüssel.

b) Der Benutzerschlüssel jedes Berechtigten wird vom Ersteller unmittelbar an den jeweiligen Berechtigten übergeben. Eine Übermittlung über die Infrastruktur des Betreibers oder des Treuhänders findet nicht statt.

c) Mit der Einlagerung wird ein Treuhänder-Paket erzeugt. Es enthält die Situationsschlüssel aller Situationen, die Berechtigten-PINs aller Berechtigten sowie die zu jeder Situation benannten Berechtigten samt ihrer Kontaktdaten, jedoch keinen Benutzerschlüssel. Das Treuhänder-Paket wird dem Treuhänder zugeleitet und ist ausschließlich für diesen lesbar.

d) Die Berechtigten-PIN jedes Berechtigten wird ausschließlich in den Sidecar des Erstellers und in das Treuhänder-Paket aufgenommen. Eine Übergabe an den Berechtigten vor dem Freigabefall oder eine für den Betreiber lesbare Speicherung findet nicht statt. Bei aktivierter Recovery-Option sind die Berechtigten-PINs zusätzlich in der Recovery-Partition enthalten (Art. 2 Abs. 5); sie sind dort ausschließlich mit der Recovery-Phrase des Erstellers entschlüsselbar.

(4) Entschlüsselungsvoraussetzungen

Eine Entschlüsselung ist nur möglich, wenn: a) Die verschlüsselte Datenbank vorliegt (vom Betreiber), und b) Der Benutzerschlüssel vorliegt (vom Berechtigten), und c) Der Situationsschlüssel vorliegt (vom Treuhänder), und d) Die Berechtigten-PIN vorliegt (im Freigabefall vom Treuhänder zugestellt, Art. 26 Abs. 1 lit. b).

(5) Zero-Knowledge-Verpflichtung

Der Betreiber ist verpflichtet, zu keinem Zeitpunkt eine technische Möglichkeit zu haben oder zu schaffen, die Datenbank oder einzelne Inhalte ohne die zugehörigen Schlüssel und Berechtigten-PINs zu entschlüsseln. Dies gilt auch im Recovery-Fall (Art. 20): Die Entschlüsselung von Recovery-Daten erfolgt ausschließlich außerhalb der Systeme des Betreibers mit der Recovery-Phrase des Erstellers. Diese Verpflichtung ist Kernbestandteil dieses Protokolls.

Artikel 19a Behördliche Herausgabeverlangen#

(1) Umfang der Herausgabe

Besteht eine gesetzliche Pflicht oder eine vollziehbare behördliche oder gerichtliche Anordnung, gibt der Betreiber ausschließlich die bei ihm vorhandenen Daten heraus, insbesondere die verschlüsselte Datenbank, eine etwa vorhandene verschlüsselte Recovery-Partition sowie Bestands-, Vertrags- und Protokolldaten. Eine Entschlüsselung dieser Daten ist dem Betreiber technisch unmöglich (Art. 19); zur Schaffung von Entschlüsselungsmöglichkeiten ist er weder verpflichtet noch in der Lage (Art. 19 Abs. 5, Art. 20 Abs. 5 lit. c).

(2) Keine freiwillige Herausgabe

Auskünfte und Herausgaben erfolgen nur im gesetzlich geschuldeten Umfang. Der Betreiber prüft im Rahmen des Zumutbaren die formelle Rechtmäßigkeit des Verlangens; überschießende freiwillige Auskünfte erteilt er nicht.

(3) Benachrichtigung

Der Betreiber unterrichtet den Ersteller über ein ihn betreffendes Herausgabeverlangen, sobald und soweit dies rechtlich zulässig ist; gesetzliche Geheimhaltungspflichten sowie behördliche und gerichtliche Geheimhaltungsanordnungen gehen vor.

(4) Keine Pflichtverletzung

Behördliche oder gerichtliche Maßnahmen, insbesondere eine Beschlagnahme, sind keine Pflichtverletzung des Betreibers; seine Verwahr- und Zustellpflichten ruhen, soweit und solange die Maßnahme ihrer Erfüllung entgegensteht. Der Vorrang gesetzlicher Pflichten sowie behördlicher und gerichtlicher Anordnungen auch gegenüber der Durchführung eines Freigabeverfahrens (Art. 8 Abs. 2) bleibt unberührt.

(5) Treuhänder-Seite; Berufsgeheimnis

a) Die Verwahrung des Treuhänder-Pakets (Situationsschlüssel, Berechtigten-PINs, Berechtigten-Daten) ist unselbständiger Bestandteil des rechtlichen Prüfungs- und Freigabemandats des Treuhänders (Art. 17, Art. 18 Abs. 5, Art. 25, Art. 25a); sie ist keine bloße Datenverwahrung.

b) Das Treuhänder-Paket und sämtliche Verfahrensinformationen unterliegen der berufsrechtlichen Verschwiegenheit des Treuhänders (§ 43a Abs. 2 BRAO beziehungsweise § 18 BNotO, § 203 StGB). Zeugnisverweigerungsrechte und Beschlagnahmeverbote (§§ 53, 97, 160a StPO) bleiben unberührt.

c) Die Entbindung von der Verschwiegenheit (Art. 18 Abs. 4, Anlage 3) gilt nur, soweit die Erfüllung der Pflichten nach diesem Protokoll dies erfordert; im Übrigen besteht die Verschwiegenheit vollumfänglich fort, auch nach dem Tod des Erstellers und auch gegenüber dessen Erben. Eine Herausgabe an Behörden erfolgt nur aufgrund vollziehbarer Anordnung nach eigener berufsrechtlicher Prüfung des Treuhänders; eine vertragliche Herausgabepflicht wird durch dieses Protokoll nicht begründet.

Artikel 20 Recovery-Partition#

(1) Optionalität

Die Einrichtung einer Recovery-Partition ist optional und liegt ausschließlich im Ermessen des Erstellers. Der Betreiber darf die Einrichtung nicht zur Bedingung machen.

(2) Zweck und Fälle (abschließend)

Recovery ist eine antragsgebundene Sonderleistung außerhalb des laufenden Vertragsumfangs (Absatz 4a). Die Recovery-Partition dient ausschließlich der Wiederherstellung in den folgenden, abschließend bestimmten Fällen:

Fall	Situation	Antragsberechtigt
a) Ersteller-Recovery	Der lebende Ersteller hat seine lokalen Schlüssel (Sidecar, Master-Passwort) verloren; ein Freigabefall ist nicht berührt	nur der Ersteller
b) Treuhänder-Ausfall	Der Treuhänder ist ausgefallen, ohne dass das Treuhänder-Paket ordnungsgemäß übergeben wurde (Art. 17 Abs. 1 lit. f, Art. 36); Situationsschlüssel und Berechtigten-PINs sind strukturell nicht mehr verfügbar	der Ersteller (zu Lebzeiten) oder der betroffene Berechtigte (nach Eintritt des Freigabeereignisses)
c) Berechtigten-Recovery	Das Freigabeereignis ist eingetreten und nachgewiesen, der Berechtigte verfügt jedoch über keinen nutzbaren Benutzerschlüssel	nur der betroffene Berechtigte

Weitere Recovery-Fälle bestehen nicht.

(3) Optionen

Der Ersteller kann zwischen folgenden Optionen wählen:

Option 1 – Kein Recovery: Der Ersteller verzichtet auf Recovery. Bei Verlust der Schlüssel ist kein Zugriff mehr möglich. Dies ist die sicherste, aber auch risikoreichste Option.

Option 2 – Recovery mit Recovery-Phrase (empfohlen): Die Recovery-Partition kann ausschließlich mit einer Recovery-Phrase (RP) entschlüsselt werden. Die Recovery-Phrase wird bei der Einrichtung vom System mit hoher Zufallsentropie erzeugt; eine freie Wahl durch den Ersteller ist nicht vorgesehen. Der Betreiber kennt die Recovery-Phrase nicht und kann die Recovery-Partition zu keinem Zeitpunkt selbst entschlüsseln (Art. 19 Abs. 5).

Der Ersteller hat die Recovery-Phrase:

• sicher und redundant zu verwahren (z. B. in Testament, Patientenverfügung, Bankschließfach), und
• so zu hinterlegen, dass sie im Recovery-Fall der berechtigten Person zugänglich wird.

Verletzt der Ersteller diese Obliegenheiten, muss er sich dies bei Ansprüchen wegen eines dadurch verursachten Zugriffsverlusts als Mitverschulden (§ 254 BGB) anrechnen lassen; Art. 8 Abs. 1 lit. j bleibt unberührt.

Eine Recovery-Option, bei der der Betreiber ohne Mitwirkung des Erstellers oder einer von ihm verwahrten Recovery-Phrase entschlüsseln kann, sieht dieses Protokoll nicht vor.

(4) Verfahren bei Recovery

a) Der Antragsteller stellt einen schriftlichen Recovery-Antrag beim Betreiber (zu den Kosten Absatz 4a). Antragsberechtigt sind ausschließlich die in Absatz 2 für den jeweiligen Fall genannten Personen; nicht antragsberechtigt sind insbesondere Erben allein aufgrund ihrer Erbenstellung, Angehörige, Meldende, der Treuhänder und der Betreiber. Der Verlust eines Benutzerschlüssels vor Eintritt des Freigabeereignisses ist kein Recovery-Fall; er wird durch Rotation und Neuausstellung durch den lebenden Ersteller behoben (Art. 33 Abs. 5, Art. 11 Abs. 1 lit. e).

b) Die Prüfung des Antrags erfolgt durch den zuständigen Treuhänder des Erstellers, bei dessen Fehlen oder Ausfall durch eine Auffangtreuhänderin oder einen Auffangtreuhänder (Art. 18a), jeweils nach dem Prüfungsmaßstab des Art. 25a. Die Prüfung erfolgt aufgrund eines eigenen Geschäftsbesorgungsverhältnisses zwischen dem Ersteller und der prüfenden Person, dem der Ersteller mit dem Beitritt im Voraus zustimmt; Art. 25a und Art. 29 gelten für diese Prüfung entsprechend. Das Geschäftsbesorgungsverhältnis ist zugleich echter Vertrag zugunsten der jeweils benannten Berechtigten (§§ 328, 331 BGB); Art. 35a Abs. 5 und 7 gelten entsprechend. Geprüft werden:

• Zulässigkeit des Antrags nach dem abschließenden Fälle-Katalog des Absatzes 2 und der Subsidiarität des Absatzes 6,
• Identität des Antragstellers anhand eines amtlichen Lichtbildausweises,
• bei Anträgen eines Berechtigten: Nachweis des Freigabeereignisses nach Art. 21 sowie Nachweis der Berechtigtenstellung durch Abgleich der Identität des Antragstellers (amtlicher Lichtbildausweis) mit den im Freigabepaket oder Treuhänder-Paket hinterlegten Angaben.

Maßstab des Abgleichs ist ausschließlich die Namensidentität zwischen dem amtlichen Lichtbildausweis und den im Freigabepaket oder Treuhänder-Paket hinterlegten Angaben. Bei Unstimmigkeit fordert die prüfende Person nach dem Regime des Art. 25 Abs. 2 weitere Nachweise an; eine darüber hinausgehende Würdigung findet nicht statt. Für die Recovery-Prüfung gelten der Zeitmaßstab des Art. 25 Abs. 1 („soll zeitnah") und die Verfahrenshöchstdauer des Art. 27 Abs. 1 entsprechend; die Verfahrenshöchstdauer beginnt mit dem Zugang des Recovery-Antrags bei der prüfenden Person.

c) Die prüfende Person teilt dem Betreiber das Ergebnis der Prüfung mit; die Mitteilung wird im Prüfprotokoll (Anlage 2) dokumentiert. Bei positiver Prüfung stellt der Betreiber dem Antragsteller die verschlüsselten Recovery-Daten bereit. Eine Entschlüsselung durch den Betreiber findet nicht statt.

d) Die Entschlüsselung erfolgt ausschließlich außerhalb der Systeme des Betreibers unter Verwendung der Recovery-Phrase. Wer die Recovery-Phrase besitzt, erlangt mit den Recovery-Daten Zugriff auf sämtliche Schlüssel und Berechtigten-PINs der Datenbank; der Ersteller trägt die Verantwortung für die sichere Verwahrung und Weitergabe der Recovery-Phrase (Abs. 3).

e) Jeder Schritt wird protokolliert und aufbewahrt.

(4a) Kosten

Recovery ist eine antragsgebundene Sonderleistung außerhalb des laufenden Vertragsumfangs. Der Antragsteller trägt die Kosten nach der bei Antragstellung gültigen Preisliste. Kostenpflichtig sind die Fälle a und c des Absatzes 2; im Fall b (Treuhänder-Ausfall) ist das Verfahren für den Antragsteller kostenfrei. Auf die Kostentragung weist die prüfende Person den Antragsteller im Verfahren hin; der Hinweis wird im Prüfprotokoll (Anlage 2) dokumentiert. Gegenüber einem Berechtigten erfolgt die Bereitstellung der Recovery-Daten (Absatz 4 lit. c) erst nach Übernahme der Kosten (Art. 35a Abs. 7). Das reguläre Freigabeverfahren bleibt für den Berechtigten unentgeltlich (Art. 10 Abs. 1 lit. f).

(5) Pflichten des Betreibers bei Recovery

Der Betreiber verpflichtet sich:

a) Recovery-Daten nur nach positiver Prüfung nach Absatz 4 bereitzustellen,

b) Niemals eigenständig und ohne Antrag ein Recovery-Verfahren durchzuführen,

c) Zu keinem Zeitpunkt eine eigene Entschlüsselungsmöglichkeit für Recovery-Daten zu schaffen (Art. 19 Abs. 5),

d) Jeden Recovery-Vorgang zu protokollieren und 10 Jahre aufzubewahren,

e) Den Ersteller (soweit erreichbar) über einen Recovery-Vorgang zu informieren.

(6) Keine Umgehung; Subsidiarität (abschließend)

Die Recovery-Option darf nicht zur Umgehung des regulären Freigabeverfahrens genutzt werden. Recovery ist nur zulässig, wenn einer der folgenden, abschließend bestimmten Fälle vorliegt:

a) rein lokaler Schlüsselverlust des Erstellers, ohne dass ein Freigabefall berührt ist (Absatz 2 Fall a);

b) struktureller Wegfall der Treuhänder-Seite (Absatz 2 Fall b), sofern eine Übergabe des Treuhänder-Pakets an einen neuen Treuhänder oder eine Auffangtreuhänderin (Art. 17 Abs. 1 lit. f, Art. 18a, Art. 36) nicht bewirkt werden kann – die Übernahme nach Art. 18a geht dem Recovery vor („Übernahme vor Recovery"). Eine Übergabe kann nicht bewirkt werden, wenn einer der folgenden, abschließend bestimmten Umstände dokumentiert vorliegt: (i) der bisherige Treuhänder ist verstorben oder dauerhaft berufsunfähig, (ii) der bisherige Treuhänder ist unerreichbar – das ist der Fall, wenn zwei dokumentierte Kontaktversuche an verschiedenen Tagen über die bekannten Kontaktdaten erfolglos geblieben sind (Art. 26 Abs. 1 entsprechend) –, oder (iii) der bisherige Treuhänder verweigert die Mitwirkung an der Übergabe (Art. 36 Abs. 2). Der einschlägige Umstand wird im Prüfprotokoll (Anlage 2) dokumentiert; eine darüber hinausgehende Würdigung findet nicht statt;

c) das reguläre Freigabeverfahren ist durchgeführt und der Zugriff scheitert am fehlenden Benutzerschlüssel (Absatz 2 Fall c).

In allen übrigen Fällen ist das reguläre Freigabeverfahren (Abschnitt V) durchzuführen.

---

Abschnitt V: Freigabeverfahren#

Artikel 20a Vorsorgewille des Erstellers#

(1) Anerkennung als Vorsorgewille

Die in diesem Protokoll geregelten Freigabevoraussetzungen sind Ausdruck des Vorsorgewillens des Erstellers. Mit dem Beitritt nach Art. 4 erklärt der Ersteller ausdrücklich, dass die in Art. 21 (Auslösekatalog) festgelegten Voraussetzungen seinem freien, vorausschauenden Willen für Notfall und Nachlass entsprechen.

(2) Ermächtigung und Anweisung

Mit dieser Erklärung ermächtigt und beauftragt der Ersteller den Treuhänder und den Betreiber ausdrücklich, beim Eintritt der Freigabevoraussetzungen nach diesem Protokoll zu verfahren; die jeweils benannten Berechtigten ermächtigt er einseitig, im Freigabefall nach diesem Protokoll auf die für sie bestimmten Inhalte zuzugreifen, ohne dass es einer Mitwirkung oder Erklärung der Berechtigten bedarf. Die in der Folge erfolgende Freigabe und der Datenzugriff der Berechtigten entsprechen dem ausdrücklich erklärten Willen des Erstellers; sie sind keine Maßnahme gegen oder ohne den Willen des Erstellers, sondern Vollzug seines Vorsorgewillens.

(3) Fortbestand bei Wegfall der Geschäftsfähigkeit

Der Vorsorgewille bleibt wirksam, auch wenn der Ersteller infolge eines Freigabeereignisses nach Art. 21 nicht mehr widerrufen kann. Eine Änderung oder ein Widerruf des Vorsorgewillens ist nur unter den Voraussetzungen der Art. 33 und Art. 34 möglich und setzt die Geschäftsfähigkeit des Erstellers im Zeitpunkt der Erklärung voraus.

(4) Verhältnis zu anderen Vorsorgeverfügungen

Dieses Protokoll und die Erklärungen des Erstellers nach Absatz 1 sind als eigenständige Vorsorgeregelung für den digitalen Notfall- und Nachlassbereich ausgestaltet. Bestehende Vorsorgevollmachten, Patientenverfügungen oder testamentarische Verfügungen werden hierdurch weder ersetzt noch eingeschränkt. Bei Widersprüchen zwischen diesem Protokoll und einer notariell beurkundeten Vorsorgevollmacht oder Patientenverfügung des Erstellers gehen die formellen Verfügungen vor, soweit sie denselben Regelungsbereich abdecken.

Artikel 21 Auslösekatalog#

(1) Katalogtatbestände

Die folgenden Ereignisse sind als Standardfreigabeereignisse definiert:

Nr.	Ereignis	Definition	Erforderlicher Nachweis
1	Tod	Feststellung des Todes durch einen Arzt oder eine Behörde	Sterbeurkunde
2	Koma	Andauernde Bewusstlosigkeit von mindestens 14 Tagen ohne Aussicht auf baldige Besserung	Schriftliches Attest eines Facharztes für Neurologie, für Anästhesiologie oder für Innere Medizin (Schwerpunkt Intensivmedizin), das den Beginn der Bewusstlosigkeit, ihre Dauer von mindestens 14 Tagen und wörtlich eine der folgenden, abschließend zugelassenen Feststellungen enthält: „ohne Aussicht auf baldige Besserung", „ohne Aussicht auf Wiedererlangung des Bewusstseins in absehbarer Zeit" oder „infauste Prognose hinsichtlich der Wiedererlangung des Bewusstseins"; andere Formulierungen genügen nicht; fehlt eine dieser Angaben, ist der Nachweis unvollständig und nachzufordern (Art. 25 Abs. 2); das Attest darf bei Vorlage nicht älter als 30 Tage sein
3	Gerichtliche Betreuung	Rechtskräftig angeordnete Betreuung mit Aufgabenkreis Vermögenssorge nach §§ 1814 ff. BGB	Ausfertigung oder beglaubigte Abschrift des Betreuungsbeschlusses mit Rechtskraftvermerk
4	Verschollenheit	Eine seit mindestens 30 Tagen bei einer zuständigen Polizeibehörde bestehende und aufrecht erhaltene Vermisstmeldung des Erstellers	Schriftliche Bestätigung der zuständigen Polizeibehörde mit Aktenzeichen, dass der Ersteller dort als vermisst geführt wird, die Vermisstmeldung seit mindestens 30 Tagen besteht und derzeit aufrecht erhalten ist; bei Verschollenheit im Ausland ersatzweise eine entsprechende Bestätigung des Auswärtigen Amtes oder der zuständigen deutschen Auslandsvertretung; zusätzlich vor einem Notar abgegebene Versicherung an Eides statt einer dem Ersteller nahestehenden Person, die deren eigene Erklärung über ihr Näheverhältnis zum Ersteller (Art der Beziehung, Dauer, Zeitpunkt des letzten Kontakts) enthält; der Treuhänder prüft ausschließlich, ob die Urkunde diese Angaben enthält – eine eigene Würdigung des Näheverhältnisses findet nicht statt
5	Inhaftierung	Strafrechtlich bedingte Freiheitsentziehung aufgrund einer rechtskräftigen Anordnung oder im aktuellen Vollzug	(a) bei rechtskräftiger Verurteilung zu Freiheitsstrafe, Jugendstrafe oder Sicherungsverwahrung: beglaubigte Ausfertigung des Urteils mit Rechtskraftvermerk, aus dessen Tenor sich ergibt, dass die Vollstreckung nicht zur Bewährung ausgesetzt ist, sowie schriftliche Bestätigung der vollstreckenden Justizvollzugsanstalt, dass die Strafe aktuell vollzogen wird; geprüft wird ausschließlich das Vorliegen beider Dokumente mit diesen Angaben; (b) bei Untersuchungshaft im aktuellen Vollzug: beglaubigte Ausfertigung des Haftbefehls sowie schriftliche Bestätigung des Strafverteidigers oder der Justizvollzugsanstalt, dass die Untersuchungshaft aktuell vollzogen wird
6	Unterbringung in geschlossener Einrichtung	Zwangsweise Unterbringung in einer geschlossenen Einrichtung aufgrund einer rechtskräftigen Anordnung oder im aktuellen Vollzug	(a) bei rechtskräftiger Unterbringungsanordnung (insbesondere nach § 1831 BGB, §§ 63, 64 StGB oder dem jeweils einschlägigen Landesrecht – PsychKG, Maßregelvollzugsgesetze): beglaubigte Ausfertigung des Beschlusses mit Rechtskraftvermerk; (b) bei vorläufiger Unterbringung mit Sofortvollziehung: beglaubigte Ausfertigung des Beschlusses mit Vermerk über die Anordnung der sofortigen Vollziehung und schriftliche Bestätigung der Einrichtung, des Betreuers oder eines im Unterbringungsverfahren tätigen Rechtsanwalts, dass die Unterbringung aktuell vollzogen wird; die Einrichtung muss im Beschluss oder in der Vollzugsbestätigung namentlich bezeichnet sein – geprüft wird ausschließlich diese namentliche Bezeichnung

(2) Bindungswirkung

Bei Katalogtatbeständen ist der Treuhänder an die definierten Nachweisanforderungen gebunden:

• Liegen die Nachweise vor → Freigabe ist zu erteilen.
• Liegen die Nachweise nicht vor → Freigabe ist zu verweigern.

Abweichend hiervon ist die Freigabe auch bei vorliegenden Nachweisen zu verweigern, wenn der Treuhänder positive Kenntnis davon hat, dass das Freigabeereignis nicht eingetreten oder ein vorgelegter Nachweis unecht ist (Art. 25a Abs. 3b); es ergeht eine negative Prüfung nach Art. 26 Abs. 2.

Der Treuhänder hat bei Katalogtatbeständen keinen Ermessensspielraum bezüglich der Nachweisart.

(3) Keine Freigabe wegen Geschäftsunfähigkeit ohne gerichtliche Entscheidung

Eine Freigabe wegen behaupteter Geschäftsunfähigkeit oder sonstiger Handlungsunfähigkeit des Erstellers findet außerhalb des Tatbestands Nr. 3 (gerichtliche Betreuung) nicht statt. Dies ist eine bewusste Systementscheidung zum Schutz der Selbstbestimmung des Erstellers: Die Feststellung, dass ein lebender Mensch seine Angelegenheiten nicht mehr selbst besorgen kann, weist dieses Protokoll ausschließlich den dafür vorgesehenen staatlichen Verfahren mit ihren Verfahrensgarantien zu. Dem Ersteller steht ergänzend die lebzeitige Selbstfreigabe nach Art. 26a offen.

(4) Opt-in-Erweiterungen

Der Betreiber kann den Auslösekatalog um zusätzliche Tatbestände erweitern. Solche Erweiterungen gelten ausschließlich für Ersteller, die sie nach Art. 6 Abs. 5 ausdrücklich aktiviert haben.

Artikel 22 Individuelle Freigabebedingungen#

[entfallen — Freigabeereignisse sind ausschließlich die Katalogtatbestände des Art. 21]

Artikel 23 Teilfreigaben#

(1) Der Ersteller kann für verschiedene Berechtigte oder Datenbereiche unterschiedliche Freigabebedingungen festlegen.

(2) Eine Teilfreigabe berührt nicht die übrigen Bereiche der Datenbank.

(3) Jede Situation kann eigene Berechtigte und eigene Inhalte haben.

Artikel 24 Notfallmeldung#

(1) Melderecht

Jede Person kann beim Treuhänder eine Notfallmeldung einreichen. Die Meldung muss nicht vom Berechtigten selbst stammen.

(2) Inhalt

Die Notfallmeldung muss enthalten: a) Name und Kontaktdaten des Meldenden, b) Name des Erstellers, c) EID (emna-ID) der Datenbank, soweit bekannt, d) Art des behaupteten Freigabeereignisses, e) Soweit vorhanden: erste Nachweise, f) Erklärung über die Wahrheit der Angaben.

(3) Form

Die Notfallmeldung kann in Textform (auch elektronisch) eingereicht werden. Das Formular gemäß Anlage 1 sollte verwendet werden.

(4) Eingang

Die Notfallmeldung gilt als eingegangen, wenn sie dem Treuhänder in lesbarer Form zugegangen ist.

Artikel 25 Prüfverfahren#

(1) Prüfung

Der Treuhänder prüft nach Eingang einer Notfallmeldung: a) Ob ein Freigabeereignis nach Art. 21 vorliegt, b) Ob die erforderlichen Nachweise erbracht sind. c) [entfallen — einer Berechtigung zur Meldung bedarf es nach Art. 24 Abs. 1 nicht; die Identitätsangaben des Meldenden nach Art. 24 Abs. 2 werden lediglich dokumentiert]

Die Prüfung soll zeitnah erfolgen; eine kalendermäßig bestimmte Prüffrist besteht nicht. Für den Abschluss des Verfahrens gilt die Verfahrenshöchstdauer des Art. 27 Abs. 1.

Vorab stellt der Treuhänder fest, ob sich die Notfallmeldung und die vorgelegten Nachweise auf den Ersteller der bezeichneten Datenbank beziehen (Personenbezugs-Vorprüfung); maßgeblich ist ausschließlich der Abgleich der Personenangaben in den vorgelegten Nachweisen mit den dem Treuhänder zu dieser Datenbank vorliegenden Angaben zum Ersteller. Lässt sich der Personenbezug nicht eindeutig herstellen, gilt der Nachweis als nicht erbracht (Absatz 1a); die Nachforderung nach Absatz 2 bleibt unberührt. Das Ergebnis der Vorprüfung wird im Prüfprotokoll (Anlage 2) dokumentiert.

(1a) Beweisführungslast

Die Nachweislast für den Eintritt des Freigabeereignisses trägt der Meldende. Tatsachen, die nicht innerhalb des Verfahrens durch die in Art. 21 bestimmten Nachweise belegt werden, gelten als nicht nachgewiesen; verbleibende Unklarheiten gehen zu Lasten des Meldenden. Der Treuhänder trifft eine Beweislastentscheidung anhand der vorgelegten Dokumente, keine eigene Überzeugungsbildung: Maßgeblich ist ausschließlich, ob der nach Art. 21 erforderliche Nachweis vorliegt.

(2) Nachforderung

Bei Unvollständigkeit der Nachweise oder begründeten Zweifeln nach Art. 25a Abs. 3 fordert der Treuhänder weitere Nachweise an. Für die Dauer der Nachforderung ist das Verfahren ausgesetzt; der Status „ausgesetzt" wird im Prüfprotokoll (Anlage 2) dokumentiert. Die Aussetzung hemmt die Verfahrenshöchstdauer des Art. 27 Abs. 1 nicht; Nachforderung und Nachreichung erfolgen innerhalb der Verfahrenshöchstdauer, nach deren Ablauf nachgereichte Nachweise in diesem Verfahren nicht mehr berücksichtigt werden (Art. 26 Abs. 2 lit. b bleibt unberührt). Ein nachgereichter Nachweis tritt für die Prüfung nach Art. 25a Abs. 3 lit. d an die Stelle des beanstandeten Nachweises.

(3) Ablehnung

Der Treuhänder lehnt die Prüfung ab, wenn

a) die Pflichtangaben nach Art. 24 Abs. 2 trotz Hinweises fehlen oder b) derselbe Meldende eine bereits geprüfte Meldung ohne neue Nachweise wiederholt.

Die Ablehnung ist zu begründen.

(4) Dokumentation

Der Treuhänder dokumentiert das Prüfverfahren im Prüfprotokoll gemäß Anlage 2.

Artikel 25a Prüfungsmaßstab#

(1) Dokumentenprüfung

Die Prüfung nach diesem Protokoll ist ausschließlich eine formale Dokumentenprüfung; eine weitergehende Prüfung ist nicht Gegenstand der vom Treuhänder geschuldeten Leistung. Der Treuhänder prüft die nach diesem Protokoll erforderlichen Nachweise anhand der vorgelegten Dokumente auf formale Vollständigkeit sowie darauf, dass dem Dokument selbst keine Anhaltspunkte nach Absatz 3 zu entnehmen sind; ein darüber hinausgehender Schlüssigkeits- oder Plausibilitätsmaßstab besteht nicht. Eine Pflicht zur Ermittlung des den Dokumenten zugrundeliegenden Sachverhalts besteht nicht.

(2) Vermutung der Richtigkeit

Ein formal ordnungsgemäßes Dokument einer zuständigen öffentlichen Stelle (insbesondere Standesamt, Gericht, Behörde, Polizei) oder einer berufsrechtlich qualifizierten Stelle (insbesondere approbierter Arzt, Notar, Rechtsanwalt) begründet die widerlegbare Vermutung der inhaltlichen Richtigkeit. Ärztliche Atteste und Gutachten genügen nur, wenn sie von der in Art. 21 jeweils geforderten Facharztrichtung stammen. Eine eigene Recherche oder Plausibilitätsprüfung jenseits des Dokuments schuldet der Treuhänder nicht. Der Treuhänder handelt nicht pflichtwidrig, wenn er auf die inhaltliche Richtigkeit eines formal ordnungsgemäßen Dokuments im Sinne dieses Absatzes vertraut.

(3) Begründete Zweifel

Die Vermutung nach Absatz 2 ist nur erschüttert, wenn dem Dokument selbst objektive Anhaltspunkte für eine Fälschung, Manipulation oder offensichtliche inhaltliche Unrichtigkeit zu entnehmen sind. Als solche Anhaltspunkte gelten ausschließlich:

a) erkennbare Spuren mechanischer oder digitaler Manipulation, b) innere Widersprüche im Dokument selbst, c) Abweichungen von typischen Formmerkmalen (z. B. fehlende Unterschrift, fehlender Dienststempel, fehlende Approbationsangabe, fehlendes Aktenzeichen), d) Unstimmigkeit mit anderen im selben Verfahren vorgelegten Nachweisen.

Bei begründeten Zweifeln nach Satz 1 fordert der Treuhänder zunächst weitere Nachweise nach Art. 16 Abs. 1 lit. b und Art. 25 Abs. 2 an. Bestehen die Zweifel nach der Nachforderung fort, ist der Nachweis nicht erbracht (Art. 25 Abs. 1a); es ergeht eine negative Prüfung nach Art. 26 Abs. 2. Liegt ein Anhaltspunkt für eine Fälschung oder Manipulation nach lit. a vor, ist eine sofortige negative Prüfung ohne vorherige Nachforderung zulässig (Absatz 3a). Eine Ablehnung der Prüfung findet ausschließlich in den Fällen des Art. 25 Abs. 3 lit. a und b statt.

(3a) Fälschungsanhaltspunkte; Unterrichtung

Führt ein Anhaltspunkt für eine Fälschung oder Manipulation (Absatz 3 lit. a) zu einer negativen Prüfung, dokumentiert der Treuhänder den Anhaltspunkt im Prüfprotokoll (Anlage 2) und unterrichtet den Betreiber. Der Betreiber prüft die Erstattung einer Strafanzeige. Das eigene Recht des Treuhänders zur Erstattung einer Strafanzeige bleibt unberührt; es ist ein Recht außerhalb des Prüfprogramms nach Art. 25 und diesem Artikel und begründet weder eine Pflicht zur Anzeige noch einen Haftungsmaßstab (Art. 29 Abs. 4). Der Betreiber unterrichtet den Ersteller über die hinterlegten Kontaktdaten über die negative Prüfung wegen eines Fälschungsanhaltspunkts (Art. 46a), es sei denn, eine behördliche oder gerichtliche Anordnung steht entgegen.

(3b) Positive Kenntnis

Hat der Treuhänder positive Kenntnis davon, dass das Freigabeereignis nicht eingetreten oder ein vorgelegter Nachweis unecht ist, gilt der Nachweis unabhängig von den Anhaltspunkten nach Absatz 3 als nicht erbracht; es ergeht eine negative Prüfung nach Art. 26 Abs. 2 ohne vorherige Nachforderung. Positive Kenntnis ist ausschließlich das Wissen des Treuhänders um die Tatsache selbst; ein Verdacht, ein Zweifel oder ein Kennenmüssen genügen nicht und begründen keine Nachforschungspflicht (Absatz 4). Der Treuhänder dokumentiert die Kenntnis und ihre Grundlage im Prüfprotokoll (Anlage 2). Betrifft die Kenntnis die Unechtheit eines Nachweises, gilt Absatz 3a entsprechend.

(4) Keine Wahrheitsermittlungspflicht

Eine über Absatz 1 bis 3 hinausgehende Pflicht zur Ermittlung der materiellen Wahrheit besteht nicht. Insbesondere ist der Treuhänder nicht verpflichtet:

a) die inhaltliche Richtigkeit medizinischer Diagnosen, behördlicher Feststellungen oder gerichtlicher Entscheidungen zu überprüfen, b) den Gesundheitszustand oder die Erreichbarkeit des Erstellers persönlich oder durch Dritte feststellen zu lassen, c) Motive, Erbinteressen oder mögliche Konflikte des Meldenden oder der Berechtigten zu erforschen, d) Anhaltspunkten für eine Manipulation außerhalb der vorgelegten Dokumente nachzugehen.

(5) Verhältnis zur Haftungsregelung

Hat der Treuhänder die Prüfung nach diesem Artikel ordnungsgemäß durchgeführt, verletzt er seine Prüfungspflicht auch dann nicht, wenn sich ein geprüftes Dokument nachträglich als unrichtig oder gefälscht erweist (Art. 29 Abs. 4); dies gilt nicht, wenn der Treuhänder die Unrichtigkeit oder Fälschung kannte. Die durchgeführte Prüfung wird durch das vollständig ausgefüllte Prüfprotokoll (Anlage 2) dokumentiert. Eine darüber hinausgehende Haftungserweiterung oder -beschränkung wird durch diesen Artikel nicht begründet.

Artikel 26 Entscheidung#

(1) Positive Prüfung

Die Zustellung an einen Berechtigten erfolgt an die im Treuhänder-Paket bzw. Freigabepaket hinterlegten Kontaktdaten. Geschuldet ist die Zustellung an diese Kontaktdaten; eine Prüfung der Identität der Berechtigten ist nicht Gegenstand der Leistung. Die Richtigkeit und Aktualität der Benennungen und Kontaktdaten verantwortet der Ersteller (Art. 8 Abs. 1 lit. h). Der Schutz gegen eine Entschlüsselung durch unberechtigte Empfänger wird durch die Schlüsselarchitektur gewährleistet (Art. 19): Ohne den vom Ersteller übergebenen Benutzerschlüssel ist eine Entschlüsselung ausgeschlossen, und die Berechtigten-PIN wird auf einem getrennten, persönlichen Weg zugestellt (lit. b). Mit der Benachrichtigung wird dem Berechtigten dieses Protokoll in der Verfahrensfassung zur Kenntnisnahme bereitgestellt (durch Übermittlung des Textes oder Mitteilung des Abrufortes); Versand und Zustellwege werden dokumentiert (Versanddokumentation). Eine Willenserklärung des Berechtigten – insbesondere eine Annahme oder ein Beitritt – ist nicht erforderlich; weist der Berechtigte die Berechtigung zurück (§ 333 BGB, Art. 10 Abs. 1 lit. d), unterbleibt die weitere Zustellung an ihn. Bereitstellung der Verfahrensfassung und Versanddokumentation werden im Prüfprotokoll (Anlage 2) dokumentiert.

Unzustellbarkeit: Ein Kontaktkanal gilt erst dann als gescheitert, wenn über ihn zwei Zustellversuche an verschiedenen Tagen erfolglos geblieben sind. Über den Zustell- oder Fehlschlag-Status des vom Betreiber übermittelten Download-Codes (lit. d) unterrichtet der Betreiber den Treuhänder, damit dieser das Scheitern sämtlicher Kanäle verlässlich dokumentieren kann. Scheitert die Benachrichtigung oder Zustellung an einen Berechtigten über sämtliche hinterlegten Kontaktkanäle, dokumentiert der Treuhänder dies im Prüfprotokoll; eine Pflicht zu weiteren Nachforschungen, insbesondere zu Melderegisterauskünften, besteht weder für den Treuhänder noch für den Betreiber. Die Zustellung an diesen Berechtigten ruht und wird nachgeholt, sobald er sich meldet; Absatz 3 gilt entsprechend. Ruht die Zustellung, versendet der Betreiber alle sechs Monate automatisiert eine Wiedervorlage-Benachrichtigung ausschließlich per E-Mail an die für diesen Berechtigten hinterlegten E-Mail-Adressen, solange die Datenbank verwahrt wird; die Erfüllung dieser Leistung richtet sich nach Art. 46a Abs. 3 (dokumentierte Absendung). Ist für den Berechtigten keine E-Mail-Adresse hinterlegt, unterbleibt die Wiedervorlage. Die nachgeholte Zustellung erfolgt ausschließlich an die hinterlegten Kontaktdaten oder über den Kontaktkanal, über den sich der Berechtigte von einem dieser hinterlegten Kontaktdaten aus meldet; eine Zustellung an sonstige Meldende findet nicht statt. Die Zustellung an übrige Berechtigte bleibt unberührt; die Folgen veralteter Kontaktdaten trägt der Ersteller (Art. 8 Abs. 1 lit. h).

Bei positiver Prüfung verfährt der Treuhänder wie folgt:

a) Er übermittelt dem jeweiligen Berechtigten den für die Situation erforderlichen Situationsschlüssel. Die Übermittlung kann über die technische Infrastruktur des Betreibers als Übermittlungsbote erfolgen; der Betreiber verarbeitet den Situationsschlüssel dabei ausschließlich flüchtig zum Zweck der Zustellung, speichert ihn nicht und führt ihn nicht mit weiteren zur Entschlüsselung erforderlichen Geheimnissen zusammen.

b) Er stellt dem jeweiligen Berechtigten dessen Berechtigten-PIN auf einem von der Übermittlung des Situationsschlüssels und des Download-Codes getrennten Übermittlungsweg zu, der eine persönliche Ansprache des Berechtigten ermöglicht. Zulässig sind ausschließlich: die telefonische Übermittlung im Gespräch, die persönliche Übergabe sowie ein Video-Kanal mit Live-Ansprache des Berechtigten; andere Übermittlungswege sind unzulässig. Eine Zustellung per E-Mail oder gemeinsam mit dem Situationsschlüssel ist unzulässig. Die Berechtigten-PIN wird zu keinem Zeitpunkt über die Infrastruktur des Betreibers übermittelt oder dem Betreiber zugänglich gemacht.

c) Er übermittelt dem Betreiber ein Freigabepaket (Art. 2 Abs. 8). Dieses enthält die Bestätigung des Eintritts der Freigabevoraussetzungen sowie die Kontaktdaten der zu benachrichtigenden Berechtigten, die ihm aus dem Treuhänder-Paket bekannt sind. Es enthält keinen Situationsschlüssel und keine Berechtigten-PIN.

d) Der Betreiber liest das Freigabepaket aus, generiert einen Download-Code (Abs. 3) und übermittelt diesen unmittelbar an die im Freigabepaket benannten Berechtigten.

e) Der Berechtigte ruft mit dem Download-Code die eingelagerte verschlüsselte Datenbank beim Betreiber ab und entschlüsselt die für ihn bestimmten Bestandteile lokal mit Benutzerschlüssel, Situationsschlüssel und Berechtigten-PIN. Die Datenbank wird als Ganzes bereitgestellt; sie enthält auch die für andere Berechtigte oder andere Situationen bestimmten Bestandteile in verschlüsselter Form, die der Berechtigte nicht entschlüsseln kann. Aus Umfang und Aufbau der bereitgestellten Datenbank kann er erkennen, dass solche Bestandteile vorhanden sind, nicht jedoch deren Inhalt, deren Empfänger oder die zugehörigen Situationen. Die Recovery-Partition (Art. 2 Abs. 5) wird nicht bereitgestellt.

f) Nach Ausführung der Freigabe unterrichtet der Betreiber den Ersteller unverzüglich in Textform per E-Mail an die zuletzt hinterlegte E-Mail-Adresse über die erfolgte Freigabe (nachträgliche Freigabemitteilung; Art. 46a). Im Fall einer zu Unrecht erwirkten Freigabe kann der Ersteller so unverzüglich Schutzmaßnahmen ergreifen (insbesondere nach Art. 33 und Art. 34).

Der Treuhänder erhält zu keinem Zeitpunkt den Download-Code oder den Benutzerschlüssel; der Betreiber erhält zu keinem Zeitpunkt den Benutzerschlüssel oder die Berechtigten-PIN und speichert den Situationsschlüssel nicht. Damit liegt zu keinem Zeitpunkt eine vollständige Kombination aus verschlüsselter Datenbank, Benutzerschlüssel, Situationsschlüssel und Berechtigten-PIN bei einem einzelnen Beteiligten vor.

(2) Negative Prüfung

Bei negativer Prüfung: a) Der Treuhänder teilt dem Meldenden die Ablehnung mit Begründung mit, b) Eine erneute Meldung ist bei Vorlage neuer Nachweise möglich.

(3) Download-Code

Der Download-Code ist 30 Tage gültig; nach Ablauf kann ein neuer Code angefordert werden. Format und technische Ausgestaltung bestimmt der Betreiber. Der Download-Code allein ermöglicht keine Entschlüsselung (Art. 19 Abs. 4).

Artikel 26a Lebzeitige Selbstfreigabe#

(1) Der Ersteller kann jederzeit gegenüber dem Treuhänder in Textform die sofortige Freigabe einer oder mehrerer Situationen an die dort benannten Berechtigten verlangen (Selbstfreigabe).

(2) Der Treuhänder prüft ausschließlich die Identität des Erklärenden anhand eines amtlichen Lichtbildausweises, durch Video-Identifikation oder durch persönliche Vorsprache. Einer Notfallmeldung und einer Prüfung nach Art. 25 und Art. 25a bedarf es nicht; eine Prüfung der Beweggründe des Erstellers schuldet der Treuhänder nicht. Die Prüfung soll zeitnah erfolgen (Art. 25 Abs. 1); die Verfahrenshöchstdauer des Art. 27 Abs. 1 gilt entsprechend mit der Maßgabe, dass sie mit dem Zugang des Selbstfreigabe-Verlangens beginnt.

(3) Die Selbstfreigabe setzt eine im Zustand der Geschäftsfähigkeit abgegebene Erklärung voraus; Art. 20a Abs. 3 bleibt unberührt. Eine Prüfung der Geschäftsfähigkeit schuldet der Treuhänder nicht; er darf von der Wirksamkeit der Erklärung ausgehen, solange sich nicht aus der Erklärung selbst oder bei der Identitätsprüfung offensichtliche Anhaltspunkte für das Fehlen der Geschäftsfähigkeit ergeben. In diesem Fall lehnt er die Selbstfreigabe ab; das reguläre Freigabeverfahren (Art. 21 bis 26) bleibt unberührt. Das Ergebnis der Evidenzkontrolle (keine offensichtlichen Anhaltspunkte oder Anhaltspunkte vorhanden) wird im Prüfprotokoll (Anlage 2) dokumentiert.

(4) Die Selbstfreigabe steht einem positiven Prüfergebnis gleich; das Freigabeverfahren nach Art. 26 gilt entsprechend. Art. 25a Abs. 5 und Art. 29 gelten für die Prüfung nach den Absätzen 2 und 3 entsprechend; das Ergebnis der Prüfung wird im Prüfprotokoll (Anlage 2) dokumentiert.

Artikel 27 Verfahrensdauer#

(1) Verfahrenshöchstdauer

Jedes Freigabeverfahren ist auf drei Monate ab Zugang der Notfallmeldung beim Treuhänder begrenzt (Verfahrenshöchstdauer). Mit Ablauf der Verfahrenshöchstdauer schließt der Treuhänder das Verfahren nach Aktenlage ab: Liegen die nach Art. 21 erforderlichen Nachweise vollständig vor, ergeht das Ergebnis nach dem Katalog (Art. 21 Abs. 2, Art. 26 Abs. 1); liegen sie nicht vollständig vor, ergeht eine negative Prüfung mangels Nachweisen (Art. 25 Abs. 1a, Art. 26 Abs. 2). Eine erneute Notfallmeldung unter Vorlage neuer Nachweise bleibt unbenommen (Art. 26 Abs. 2 lit. b). Die Verfahrenshöchstdauer gilt ausschließlich für die Prüfphase von der Notfallmeldung bis zum Prüfentscheid; eine nach positiver Prüfung ruhende Zustellung läuft nach Art. 26 Abs. 1 außerhalb der Verfahrenshöchstdauer weiter.

(2) [entfallen — Zeitmaßstab und Verfahrenshöchstdauer regeln Art. 25 Abs. 1 und Absatz 1 einheitlich]

(3) Sachstandsanfrage und Beschwerde

Ist seit der letzten Verfahrenshandlung ein Monat vergangen, kann der Meldende beim Betreiber eine Sachstandsanfrage stellen oder Beschwerde einlegen.

---

Abschnitt VI: Haftung#

Artikel 28 Haftung des Betreibers#

(1) Unbeschränkte Haftung

Der Betreiber haftet unbeschränkt für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit sowie für sonstige Schäden, die auf Vorsatz oder grober Fahrlässigkeit des Betreibers oder seiner Erfüllungsgehilfen beruhen.

(2) Einfache Fahrlässigkeit bei wesentlichen Vertragspflichten

Bei einfach fahrlässiger Verletzung einer wesentlichen Vertragspflicht – das heißt einer Pflicht, deren Erfüllung die ordnungsgemäße Durchführung dieses Protokolls überhaupt erst ermöglicht und auf deren Einhaltung die Beteiligten regelmäßig vertrauen dürfen, insbesondere der Betriebspflicht (Art. 14 Abs. 1 lit. a), der Integritätspflicht (lit. b), der Freigabepflicht (lit. c) und der M.I.A.-Pflicht (lit. d) – ist die Haftung des Betreibers auf den Ersatz des vertragstypischen, bei Vertragsschluss vorhersehbaren Schadens begrenzt. Dies gilt nicht für Schäden im Sinne des Absatzes 1. § 254 BGB, insbesondere im Fall der Verletzung der Eigensicherungsobliegenheit (Art. 8 Abs. 1 lit. j) oder der Obliegenheit zur gesonderten Sicherung von Vermögenszugängen (Art. 8 Abs. 1 lit. k), bleibt unberührt.

(3) Übrige einfache Fahrlässigkeit

Im Übrigen ist die Haftung des Betreibers für einfache Fahrlässigkeit ausgeschlossen.

(4) M.I.A.-Verstoß

Bei vorsätzlicher oder grob fahrlässiger Verletzung der M.I.A.-Pflicht (Art. 14 Abs. 1 lit. d) haftet der Betreiber unbeschränkt für alle daraus entstehenden Schäden.

(5) Außervertragliche Ansprüche, zwingendes Recht

Die vorstehenden Beschränkungen gelten auch für konkurrierende außervertragliche Ansprüche und zugunsten der Erfüllungsgehilfen des Betreibers. Sie gelten nicht für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, für Ansprüche nach dem Produkthaftungsgesetz, für Ansprüche nach Art. 82 DSGVO sowie bei arglistig verschwiegenen Umständen.

(6) Verantwortungsbereich

Der Betreiber haftet nicht für Schäden, die durch Umstände außerhalb seines Verantwortungsbereichs verursacht wurden, insbesondere höhere Gewalt oder einen trotz angemessener, dem Stand der Technik entsprechender Sicherheitsvorkehrungen erfolgreichen Angriff Dritter, sowie nicht für den Verlust des Zugriffs auf Inhalte, wenn der Ersteller keine Recovery-Option aktiviert hatte und der Treuhänder ersatzlos ausgefallen ist, es sei denn, der Betreiber hat den Verlust durch eine Verletzung seiner Pflichten nach Art. 14 zu vertreten.

Artikel 29 Haftung des Treuhänders#

(1) Unbeschränkte Haftung

Der Treuhänder haftet unbeschränkt für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit sowie für sonstige Schäden, die auf Vorsatz oder grober Fahrlässigkeit des Treuhänders oder seiner Erfüllungsgehilfen beruhen.

(2) Einfache Fahrlässigkeit bei wesentlichen Vertragspflichten

Bei einfach fahrlässiger Verletzung einer wesentlichen Vertragspflicht – das heißt einer Pflicht, deren Erfüllung die ordnungsgemäße Durchführung dieses Protokolls überhaupt erst ermöglicht und auf deren Einhaltung die Beteiligten regelmäßig vertrauen dürfen, insbesondere der Verwahrungspflicht (Art. 17 Abs. 1 lit. a), der Prüfungspflicht (lit. c) und der Freigabepflicht (lit. d) – ist die Haftung des Treuhänders auf den Ersatz des vertragstypischen, bei Beitritt vorhersehbaren Schadens begrenzt, der Höhe nach auf den vierfachen Betrag der berufsrechtlichen Mindestversicherungssumme (§ 51 Abs. 4 BRAO) je Schadensfall, soweit insoweit Versicherungsschutz besteht (§ 52 Abs. 1 Nr. 2 BRAO). Dies gilt nicht für Schäden im Sinne des Absatzes 1.

(3) Übrige einfache Fahrlässigkeit

Im Übrigen ist die Haftung des Treuhänders für einfache Fahrlässigkeit ausgeschlossen.

(4) Keine Pflichtverletzung bei protokollgemäßer Prüfung

Der Treuhänder verletzt seine Prüfungspflicht nicht, wenn er die Prüfung nach Art. 25 und Art. 25a ordnungsgemäß durchgeführt hat. Eine gutgläubige Freigabe auf Basis gefälschter Dokumente begründet keine Haftung, wenn der Treuhänder die Prüfung nach Art. 25 und Art. 25a ordnungsgemäß durchgeführt hat; dies gilt nicht, wenn der Treuhänder die Fälschung oder Unrichtigkeit kannte. Art. 25a Abs. 5 bleibt unberührt.

(5) Verzögerung

Für die Verfahrensdauer gilt Art. 27. Die Haftung für Verzögerungen richtet sich nach den Absätzen 1 bis 3. Der Zeitmaßstab „soll zeitnah" (Art. 25 Abs. 1) begründet keine kalendermäßig bestimmte Leistungszeit und keine Garantie; die Verfahrenshöchstdauer des Art. 27 Abs. 1 ist eine Verfahrensgrenze zulasten des Meldenden, keine Leistungsfrist des Treuhänders.

(6) Außervertragliche Ansprüche, Berufsrecht, zwingendes Recht

Die vorstehenden Beschränkungen gelten auch für konkurrierende außervertragliche Ansprüche und zugunsten der Erfüllungsgehilfen des Treuhänders. Sie gelten nicht für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, für Ansprüche nach dem Produkthaftungsgesetz, für Ansprüche nach Art. 82 DSGVO, bei arglistig verschwiegenen Umständen sowie soweit zwingendes Berufsrecht entgegensteht. Die berufsrechtliche Haftung des Treuhänders nach BRAO oder BNotO bleibt unberührt.

Artikel 30 Haftung des Erstellers#

(1) Der Ersteller haftet für Schäden, die Berechtigten oder Dritten durch rechtswidrige Inhalte seiner Datenbank entstehen.

(2) Der Ersteller stellt den Betreiber und den Treuhänder von Ansprüchen Dritter frei, die auf einer schuldhaften Verletzung der Rechtmäßigkeitspflicht (Art. 8 Abs. 1 lit. e) beruhen; dies gilt nicht, soweit der Betreiber oder der Treuhänder die Rechtsverletzung selbst zu vertreten hat.

Artikel 31 Haftung des Berechtigten#

(1) Der Berechtigte ist nicht Partei dieses Protokolls (Art. 4 Abs. 1 lit. b). Vertragliche Schadensersatzansprüche des Betreibers oder des Treuhänders gegen den Berechtigten aus diesem Protokoll bestehen nicht; die Verletzung einer Obliegenheit hat ausschließlich die in Art. 11 Abs. 2 bestimmten Leistungsfolgen.

(2) Die gesetzliche Haftung des Berechtigten – insbesondere für Schäden durch missbräuchliche Verwendung der erhaltenen Daten oder durch falsche Angaben in einer Notfallmeldung (§§ 823, 826 BGB) – sowie die Strafbarkeit (insbesondere § 267 StGB) bleiben unberührt.

Artikel 32 Allgemeine Haftungsgrundsätze#

(1) Keine Partei haftet für Schäden durch Nichtverfügbarkeit des Systems, die auf Umständen außerhalb ihres Verantwortungsbereichs beruht, insbesondere auf höherer Gewalt, oder die durch angekündigte Wartungsarbeiten in angemessenem Umfang entsteht.

(2) Bei einfach fahrlässigen Pflichtverletzungen ist die Ersatzpflicht jeder Partei auf den vertragstypischen, bei Vertragsschluss vorhersehbaren Schaden begrenzt; atypische, bei Vertragsschluss nicht vorhersehbare Schäden sind insoweit nicht zu ersetzen. Dies gilt nicht für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, für Vorsatz und grobe Fahrlässigkeit, für Ansprüche nach dem Produkthaftungsgesetz sowie für Ansprüche nach Art. 82 DSGVO.

(3) Die spezielleren Regelungen der Art. 28 bis 31 gehen vor. Die Unwirksamkeit einer einzelnen Haftungsbestimmung lässt die Wirksamkeit der übrigen Haftungsbestimmungen unberührt (Art. 45).

---

Abschnitt VII: Änderung, Widerruf, Beendigung#

Artikel 33 Änderungen durch den Ersteller#

(1) Der Ersteller kann jederzeit: a) Inhalte seiner Datenbank ändern durch Neueinlagerung, b) Berechtigte hinzufügen, ändern oder entfernen, c) Freigabebedingungen anpassen, d) Den Treuhänder wechseln, e) Die Recovery-Option aktivieren, deaktivieren oder ändern.

(2) Änderungen werden wirksam mit erfolgreicher Einlagerung der neuen Version.

(3) Bei Änderung des Treuhänders wird das Treuhänder-Paket mit den Situationsschlüsseln und Berechtigten-PINs vom alten Treuhänder an den neuen übertragen.

(4) Wirkung der Neueinlagerung

Mit erfolgreicher Neueinlagerung tritt die neue Version der Datenbank vollständig an die Stelle der vorherigen Version. Bei jeder Neueinlagerung werden neue Situationsschlüssel und neue Berechtigten-PINs erzeugt; das bisherige Treuhänder-Paket sowie die ihm zugeordneten Situationsschlüssel und Berechtigten-PINs verlieren ihre Wirksamkeit. Die zuvor an die Berechtigten ausgegebenen Benutzerschlüssel bleiben unverändert gültig.

(5) Rotation der Benutzerschlüssel

Der Ersteller kann einzelne oder alle Benutzerschlüssel jederzeit rotieren. Eine Rotation wird wirksam mit der erfolgreichen Neueinlagerung der Datenbank, in deren Rahmen die Datenbank mit den neuen Benutzerschlüsseln kompiliert wird. Der Ersteller trägt die Verantwortung dafür, die neuen Benutzerschlüssel den betroffenen Berechtigten zu übergeben; unterbleibt dies, kann der jeweilige Berechtigte im Freigabefall keinen Zugriff auf die für ihn bestimmten Inhalte erhalten.

Artikel 34 Widerruf (Revoke)#

(1) Der Ersteller kann seine Datenbank jederzeit vollständig widerrufen; das Widerrufsrecht besteht auch nach dem Eintritt eines Freigabeereignisses und während eines anhängigen Freigabeverfahrens. Über eine gleichwohl bereits ausgeführte Freigabe wird der Ersteller durch die nachträgliche Freigabemitteilung unterrichtet und kann unverzüglich Schutzmaßnahmen ergreifen (Art. 26 Abs. 1 lit. f). Hiervon zu unterscheiden ist die Änderung oder Entziehung einzelner Benennungen: Für sie ist einheitlicher Stichtag der Eintritt des Freigabeereignisses (Art. 35a Abs. 6).

(2) Der Widerruf bewirkt: a) Die unwiederbringliche Löschung der Datenbank und einer etwa vorhandenen Recovery-Partition (Art. 2 Abs. 5) beim Betreiber, b) Die unwiederbringliche Löschung des Treuhänder-Pakets einschließlich der Situationsschlüssel und Berechtigten-PINs beim Treuhänder, c) Die Aufhebung aller Berechtigungen.

(3) Ein Widerruf kann nicht rückgängig gemacht werden. Der Ersteller wird vor Ausführung auf diese Konsequenz hingewiesen und muss die Absicht bestätigen.

(4) Der Widerruf wird unverzüglich nach Bestätigung ausgeführt.

Artikel 35 Beendigung des Nutzungsverhältnisses#

(1) Das Nutzungsverhältnis endet: a) Durch Widerruf nach Art. 34, b) Durch vollständige Freigabe an alle Berechtigten, c) Durch Kündigung nach Maßgabe der vertraglichen Vereinbarungen (§ 6 der Allgemeinen Geschäftsbedingungen für Kunden). Eine ordentliche Kündigung durch den Betreiber ist ausgeschlossen, solange ein Freigabe-, Selbstfreigabe- oder Recovery-Verfahren anhängig ist; eine gleichwohl erklärte Kündigung wird frühestens mit dessen Abschluss wirksam. Der Ersteller kann jederzeit kündigen; die mit dem Eintritt eines Freigabeereignisses entstandenen Rechte der Berechtigten sowie laufende Freigabeverfahren bleiben von seiner Kündigung unberührt (Art. 35a). Die Absätze 3 und 3a bleiben unberührt, d) Durch außerordentliche Kündigung bei schwerwiegenden Pflichtverletzungen.

(2) Bei Beendigung durch Kündigung kann der Ersteller einen Widerruf erklären.

(3) Mit dem Tod des Erstellers enden die Entgeltpflicht und die Verlängerung des Nutzungsverhältnisses; im Übrigen wandelt sich das Nutzungsverhältnis in ein unentgeltliches Verwahr- und Abwicklungsverhältnis. Der Betreiber verwahrt die Datenbank bis zum vollständigen Abschluss aller Freigabeverfahren, längstens bis zum Ablauf von drei Jahren, nachdem er vom Tod Kenntnis erlangt hat, und hält sie für Freigabeverfahren bereit. Vor einer Löschung nach Ablauf der Frist unterrichtet der Betreiber den Treuhänder sowie die Berechtigten eines zu diesem Zeitpunkt ruhenden Zustellungsverfahrens (Art. 26 Abs. 1), jeweils in Textform per E-Mail (Art. 46a); die Verwendung der Berechtigten-Kontaktdaten zu diesem Zweck ist Teil der Durchführung des Freigabeverfahrens (Art. 40 Abs. 3 lit. d), und eine Prüfpflicht des Treuhänders wird durch die Unterrichtung nicht begründet. Nach dem Todeszeitpunkt eingezogene Entgelte werden erstattet, sobald der Tod nachgewiesen ist; eine anteilige Erstattung des Entgelts für die beim Tod laufende, bereits bezahlte Periode findet nicht statt, da Verwahrung und Freigabebereitschaft fortlaufend erbracht werden. Zu Lebzeiten des Erstellers gilt die Integritätspflicht des Art. 14 Abs. 1 lit. b uneingeschränkt.

(3a) Endet die Zahlung, ohne dass der Ersteller das Nutzungsverhältnis selbst gekündigt oder den Widerruf erklärt hat, unterbleibt eine Löschung der Datenbank für die Dauer von drei Jahren ab dem Ende des bezahlten Zeitraums. Dasselbe gilt, wenn das Nutzungsverhältnis durch Kündigung des Betreibers endet und der Ersteller weder auf die Kündigung noch im Rahmen der geordneten Beendigung reagiert hat. Meldet sich der Ersteller innerhalb der Frist, kann er das Nutzungsverhältnis fortsetzen oder den Widerruf erklären. Geht innerhalb der Frist eine Notfallmeldung oder eine Mitteilung eines Berechtigten oder des Treuhänders ein, ist die Löschung bis zur Klärung gehemmt; wird der Tod des Erstellers nachgewiesen, gilt Absatz 3. Vor einer Löschung nach Ablauf der Frist unterrichtet der Betreiber den Ersteller über die hinterlegten Kontaktdaten sowie den Treuhänder, jeweils in Textform per E-Mail (Art. 46a); eine Prüfpflicht des Treuhänders wird hierdurch nicht begründet.

Artikel 35a Erbrecht und Rechtsstellung der Berechtigten#

(1) Rechtsstellung der Erben

Die Erben treten nicht in das Nutzungsverhältnis ein; mit dem Tod des Erstellers wandelt es sich nach Art. 35 Abs. 3 in ein unentgeltliches Verwahr- und Abwicklungsverhältnis. Den Erben stehen zu: der Anspruch auf Auskunft über den Bestand des Vertragsverhältnisses, das Recht zur Notfallmeldung (Art. 24) sowie der Anspruch auf Erstattung der nach dem Todeszeitpunkt eingezogenen Entgelte (Art. 35 Abs. 3). Die mit dem Tod des Erstellers entstandenen Rechte der Berechtigten (Absatz 5) sowie laufende und künftige Freigabeverfahren wegen bereits eingetretener Freigabeereignisse bleiben unberührt.

(2) Höchstpersönliche Rechte

Höchstpersönliche Rechte des Erstellers, insbesondere die Inhalts-, Berechtigten- und Freigabehoheit (Art. 7 Abs. 1 lit. a–c) sowie das Widerrufsrecht (Art. 7 Abs. 1 lit. d, Art. 34), gehen nicht auf den Erben über.

(3) Kein Zugriff auf eingelagerte Datenbank

Der Erbe hat keinen Anspruch auf Zugriff auf oder Herausgabe der beim Betreiber eingelagerten Datenbank, auf Wiederherstellung des Master-Passworts oder auf Aushändigung der Schlüssel; die Ausschlüsse nach Art. 9 gelten entsprechend.

(4) Erbe als Berechtigter

Soweit der Erbe vom Ersteller zugleich als Berechtigter im Sinne von Art. 1 Abs. 2 benannt wurde, bleibt diese Stellung von der Erbfolge unberührt; er macht seine Rechte als Berechtigter im Rahmen des regulären Freigabeverfahrens (Abschnitt V) geltend.

(5) Rechtserwerb der Berechtigten (Vertrag zugunsten Dritter)

Die Einräumung der Berechtigtenstellung erfolgt allein durch die Benennung durch den Ersteller; einer Mitwirkung, Annahmeerklärung oder eines Beitritts des Berechtigten bedarf es nicht (Art. 4 Abs. 1 lit. b). Der Rechtserwerb vollzieht sich in zwei Leistungssträngen, jeweils als echter Vertrag zugunsten Dritter:

a) Die Leistungen des Betreibers an die Berechtigten – insbesondere Benachrichtigung, Übermittlung des Download-Codes und Bereitstellung der Datenbank (Art. 26 Abs. 1 lit. d und e) – sind Leistungen aus dem Nutzungsverhältnis zwischen Ersteller und Betreiber zugunsten der Berechtigten (§ 328 BGB).

b) Die Leistungen des Treuhänders an die Berechtigten – insbesondere Durchführung des Prüfverfahrens, Übermittlung des Situationsschlüssels und Zustellung der Berechtigten-PIN (Art. 26 Abs. 1 lit. a und b) – sind Leistungen aus dem Geschäftsbesorgungsvertrag zwischen Ersteller und Treuhänder (Art. 18 Abs. 5) zugunsten der Berechtigten (§ 328 BGB); die Rechte der Berechtigten hieraus sind solche eines begünstigten Dritten und bestehen nur nach Maßgabe dieses Protokolls.

Für Freigaben zu Lebzeiten des Erstellers erwerben die Berechtigten ein aufschiebend bedingtes Drittrecht (§ 328 BGB). Soweit die Freigabe nach dem Tod des Erstellers erfolgt, handelt es sich um einen Vertrag zugunsten Dritter auf den Todesfall (§§ 328, 331 BGB): Der Anspruch der Berechtigten auf Durchführung des Freigabeverfahrens entsteht mit dem Tod unmittelbar in ihrer Person und fällt nicht in den Nachlass. Leistungen des Betreibers und des Treuhänders an die Berechtigten nach diesem Protokoll wirken gegenüber den Erben befreiend; etwaige Ausgleichsansprüche der Erben richten sich ausschließlich gegen die Berechtigten.

(6) Widerruflichkeit der Benennung

Die Benennung eines Berechtigten ist bis zum Eintritt des Freigabeereignisses frei änderbar und widerruflich (§ 328 Abs. 2 BGB), insbesondere durch Neueinlagerung (Art. 33) und durch Widerruf der Datenbank (Art. 34). Maßgeblicher Stichtag ist einheitlich der Zeitpunkt des Eintritts des Freigabeereignisses; auf den Zeitpunkt der Notfallmeldung oder der Prüfung kommt es nicht an. Bis zum Stichtag besteht keine gesicherte Rechtsposition des Berechtigten. Das Widerrufsrecht des Erstellers nach Art. 34 und das Recht des Berechtigten, die Berechtigung zurückzuweisen (§ 333 BGB, Art. 10 Abs. 1 lit. d), bleiben unberührt.

(7) Maßgeblichkeit des Protokolls; Einwendungen (§ 334 BGB)

Die Rechte der Berechtigten bestehen ausschließlich nach Maßgabe dieses Protokolls in der Verfahrensfassung (Art. 6 Abs. 6). Dem Betreiber und dem Treuhänder stehen sämtliche Einwendungen und Einreden aus dem jeweiligen Deckungsverhältnis – dem Nutzungsverhältnis beziehungsweise dem Geschäftsbesorgungsvertrag – sowie aus diesem Protokoll auch gegenüber dem Berechtigten zu (§ 334 BGB); § 334 BGB wird nicht abbedungen. Wegen rückständiger Entgelte steht dem Betreiber gegenüber den Berechtigten jedoch kein Leistungsverweigerungsrecht zu; seine Rechte wegen des Rückstands richten sich ausschließlich gegen den Ersteller beziehungsweise dessen Nachlass.

Artikel 36 Treuhänderwechsel#

(1) Bei Beendigung der Treuhändertätigkeit wird das Treuhänder-Paket mit den Situationsschlüsseln und Berechtigten-PINs übertragen an: a) Einen vom Ersteller benannten neuen Treuhänder, oder b) Eine vom Betreiber benannte Auffangtreuhänderin oder einen Auffangtreuhänder nach Art. 18a.

(2) Der bisherige Treuhänder ist zur Mitwirkung an der Übergabe verpflichtet.

(3) Die Übergabe erfolgt in einem dokumentierten Verfahren.

Artikel 37 Insolvenz des Betreibers#

(1) Bei Insolvenz des Betreibers gehen alle Pflichten auf den Insolvenzverwalter über.

(2) Der Betreiber hat Vorsorge zu treffen, dass die Datenbanken auch im Insolvenzfall an die Ersteller oder einen Nachfolger übergeben werden können.

(3) Konkrete Vorsorgemaßnahmen

Die Vorsorge nach Absatz 2 umfasst insbesondere:

a) [entfallen]

b) Herausgabe- und Abwicklungsregeln zugunsten der Ersteller: Im Abwicklungsfall wird die eingelagerte verschlüsselte Datenbank dem jeweiligen Ersteller auf sein Verlangen herausgegeben (Art. 14 Abs. 1 lit. e); laufende Freigabeverfahren werden über die Auffangtreuhänderinnen und Auffangtreuhänder (Art. 18a) fortgeführt; nach Ablauf der Verwahrfristen (Art. 35 Abs. 3 und 3a) werden die Datenbanken gelöscht;

c) die Sicherstellung, dass die Auffangtreuhänderinnen und Auffangtreuhänder (Art. 18a) auch nach Eintritt der Insolvenz die ihnen anvertrauten Treuhänder-Pakete weiter verwalten können.

(4) Die verschlüsselten Datenbanken sind kein Bestandteil der Insolvenzmasse im Sinne von Vermögenswerten. Sie stehen im Eigentum der Ersteller.

---

Abschnitt VIII: Datenschutz#

Artikel 38 Verantwortlichkeit#

(1) Verantwortlicher im Sinne der DSGVO für die Verarbeitung personenbezogener Daten ist der Betreiber.

(2) Der Treuhänder ist unabhängiger Verantwortlicher für die von ihm verarbeiteten Daten.

Artikel 39 Verarbeitungszwecke#

(1) Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zur: a) Durchführung des Nutzungsverhältnisses, b) Durchführung des Freigabeverfahrens, c) Erfüllung rechtlicher Pflichten.

(2) Eine Verarbeitung zu anderen Zwecken (insbesondere Werbung) findet nicht statt.

(3) Die Verarbeitung der im Treuhänder-Paket und im Freigabepaket enthaltenen Kontaktdaten der Berechtigten durch den Treuhänder und – im Freigabefall – durch den Betreiber beruht auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Erstellers und der Berechtigten an der Durchführung der Vorsorge und des Freigabeverfahrens). Der Betreiber erteilt den Berechtigten die Informationen nach Art. 14 DSGVO spätestens mit der ersten Benachrichtigung im Freigabefall.

Artikel 40 Besonderheit des Zero-Knowledge#

(1) Aufgrund der Zero-Knowledge-Architektur hat der Betreiber keinen Zugang zu den Inhalten der Datenbank.

(2) Die unverschlüsselten Inhalte der Datenbank unterliegen nicht der Verarbeitung durch den Betreiber.

(3) Der Betreiber verarbeitet lediglich: a) Accountdaten (E-Mail, Name), b) Verschlüsselte Datenbankdateien, c) Metadaten (Einlagerungszeitpunkte, Größen, EID), d) Im Freigabefall: die Kontaktdaten der zu benachrichtigenden Berechtigten aus dem Freigabepaket sowie – flüchtig zum Zweck der Zustellung – den Situationsschlüssel (Art. 26 Abs. 1 lit. a).

Artikel 41 Betroffenenrechte#

(1) Betroffene (Ersteller, Berechtigte) haben die Rechte nach Art. 15-22 DSGVO.

(2) Das Recht auf Löschung wird durch den Widerruf (Art. 34) umgesetzt.

(3) Das Recht auf Datenübertragbarkeit wird durch die Export-Funktion umgesetzt.

---

Abschnitt IX: Schlussbestimmungen#

Artikel 42 Anwendbares Recht#

(1) Dieses Protokoll unterliegt deutschem Recht.

(2) Die Anwendung des UN-Kaufrechts ist ausgeschlossen.

(3) Geltung in Österreich und der Schweiz

Für Beteiligte mit Sitz oder gewöhnlichem Aufenthalt in der Republik Österreich oder der Schweizerischen Eidgenossenschaft gelten ergänzend die jeweiligen Annexe (Annex AT, Annex CH) der einschlägigen Allgemeinen Geschäftsbedingungen. Die Bestimmungen dieses Protokolls bleiben im Übrigen unberührt.

(4) Verbraucherschutz innerhalb der Europäischen Union

Bei Verbrauchern mit gewöhnlichem Aufenthalt in einem Mitgliedstaat der Europäischen Union bleiben die zwingenden verbraucherschützenden Vorschriften ihres Wohnsitzstaates nach Art. 6 der Verordnung (EG) Nr. 593/2008 (Rom I) unberührt.

Artikel 43 Gerichtsstand#

(1) Für Streitigkeiten aus diesem Protokoll sind die Gerichte am Sitz des Betreibers (Hanau) zuständig, sofern: a) Der Kläger Kaufmann ist, oder b) Der Kläger keinen allgemeinen Gerichtsstand in Deutschland hat.

(2) Die Zuständigkeit nach Absatz 1 gilt nicht für Verbraucher mit Wohnsitz in der EU.

Artikel 44 Streitbeilegung#

(1) Vor Anrufung der Gerichte sollen die Parteien versuchen, Streitigkeiten gütlich beizulegen.

(2) Der Betreiber ist nicht verpflichtet und nicht bereit, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen.

Artikel 45 Salvatorische Klausel#

(1) Sollten einzelne Bestimmungen dieses Protokolls unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.

(2) An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(3) Gleiches gilt für etwaige Regelungslücken.

Artikel 46 Schriftform#

(1) Änderungen dieses Protokolls bedürfen der Textform (§ 126b BGB).

(2) Dies gilt auch für die Aufhebung dieses Schriftformerfordernisses.

(3) Mündliche Nebenabreden bestehen nicht.

Artikel 46a Kommunikation und Benachrichtigungen#

(1) E-Mail-Kanal

Mitteilungen und Benachrichtigungen nach diesem Protokoll erfolgen in Textform an die zuletzt hinterlegte E-Mail-Adresse des jeweiligen Empfängers; die Teilnehmer akzeptieren diesen Kanal. Benachrichtigungen des Betreibers erfolgen ausschließlich per E-Mail; einen postalischen Versand schuldet der Betreiber nicht. Die Zustellungen im Freigabeverfahren bleiben von diesem Artikel unberührt; sie richten sich ausschließlich nach Art. 26 Abs. 1 – insbesondere die Benachrichtigung der Berechtigten über sämtliche hinterlegten Kontaktkanäle sowie die Zustellung der Berechtigten-PIN auf einem Übermittlungsweg mit persönlicher Ansprache (Art. 26 Abs. 1 lit. b), die per E-Mail unzulässig ist.

(2) Empfangsbereitschaft (Obliegenheit)

Jeder Teilnehmer trägt im eigenen Interesse dafür Sorge, dass seine hinterlegte E-Mail-Adresse stets aktuell und abrufbar ist und sein Postfach empfangsbereit bleibt (insbesondere nicht überfüllt ist); der Spam-Ordner ist regelmäßig zu prüfen. Für den Ersteller ergänzt diese Obliegenheit die Benennungs- und Aktualisierungspflicht nach Art. 8 Abs. 1 lit. h. Das Risiko einer nicht abrufbaren oder nicht empfangsbereiten Adresse trägt der Empfänger.

(3) Erfüllung durch dokumentierte Absendung

Der Betreiber erfüllt seine Benachrichtigungspflichten nach diesem Protokoll durch die dokumentierte Versendung an die zuletzt hinterlegte E-Mail-Adresse (Versandprotokoll); ein Zugang wird nicht geschuldet. Keine Rechtsfolge dieses Protokolls hängt vom Zugang einer Benachrichtigung ab; Fristen laufen jeweils aus ihrem eigenen Anker (z. B. Art. 35 Abs. 3 und 3a), Benachrichtigungen treten als Ordnungsmäßigkeits-Bausteine hinzu.

(4) Willenserklärungen

Für Willenserklärungen – insbesondere Kündigungen und Änderungsmitteilungen nach Art. 6 – verbleibt es beim gesetzlichen Zugangserfordernis (§ 130 BGB). Wer entgegen Absatz 2 keine Empfangsvorkehrungen trifft, kann sich nach den allgemeinen Grundsätzen über die Zugangsvereitelung nach Treu und Glauben nicht auf den Nichtzugang berufen; dieser Hinweis gibt die gesetzliche Rechtslage wieder und begründet keine Zugangsfiktion.

(5) Rückläufer

Unzustellbarkeits-Rückläufer werden im Versandprotokoll dokumentiert; eine Pflicht des Betreibers zu Nachforschungen über die Ursache oder zur Ermittlung anderer Kontaktdaten besteht nicht.

Artikel 47 Sprache#

(1) Die verbindliche Fassung dieses Protokolls ist die deutsche Fassung.

(2) Übersetzungen dienen nur zur Information und sind nicht verbindlich.

Artikel 48 Inkrafttreten#

(1) Dieses Protokoll tritt in der Fassung 3.0 am 01. September 2026 in Kraft. Es ersetzt die Fassung 2.0 (Februar 2026).

(2) Es gilt für alle ab diesem Zeitpunkt begründeten Nutzungsverhältnisse.

(3) Für bestehende Nutzungsverhältnisse richtet sich die Geltung dieser Fassung nach Art. 6. Maßgeblich für Verwahrung, Prüfverfahren, Freigabe, Selbstfreigabe, Recovery sowie die Rechte der Berechtigten und die sie treffenden Obliegenheiten ist die Verfahrensfassung (Art. 6 Abs. 6); die Zustimmung zu einer neueren Fassung erfolgt über den Einlagerungsmechanismus (Art. 6 Abs. 7), bei Nichtzustimmung gilt Art. 6 Abs. 8.

---

ANLAGEN#

Anlage	Titel	Beschreibung
Anlage 1	Notfallmeldung	Formular zur Einreichung einer Notfallmeldung gemäß Art. 24
Anlage 2	Prüfprotokoll	Dokumentation des Prüfverfahrens gemäß Art. 25 (nur für Treuhänder)
Anlage 3	Beitrittserklärung	Formular zur Beitrittserklärung gemäß Art. 4 Abs. 1 lit. c; Teil B: freiwillige Empfangsbestätigung und Information der Berechtigten (kein Beitritt, keine Vertragsannahme)

---

emna – Emergency Navigator Ein Produkt der Sacom EDV GmbH www.emna.app

---

Dieses Dokument ist urheberrechtlich geschützt. © 2026 Sacom EDV GmbH. Alle Rechte vorbehalten.