Declaración de confidencialidad para Austria

Verpflichtungserklärung zur Verschwiegenheit und zum Datenschutz – Österreich

Stand: 27. August 2026

1. Parteien

Zwischen dem der gesetzlichen berufsrechtlichen Verschwiegenheitspflicht in Österreich unterliegenden Kunden der BEK Service GmbH (Marke „Famulor”) — nachfolgend „Auftraggeber” — und der BEK Service GmbH, Westendstr. 2A, 87439 Kempten (Allgäu), Deutschland — nachfolgend „Dienstleister” — wird Folgendes vereinbart:

2. Anlass und Gegenstand der Verpflichtung

a) Der Dienstleister erbringt für den Auftraggeber folgende Dienstleistung: Bereitstellung der Plattform „Famulor.io” zur Konfiguration und zum Betrieb KI-gestützter Sprach- und Omnichannel-Agenten (SaaS) gemäß dem SaaS-Vertrag (AGB) und der Auftragsverarbeitungsvereinbarung (AVV) des Dienstleisters. b) Im Rahmen dieser Tätigkeit kann der Dienstleister Zugang zu Tatsachen, Informationen, Unterlagen, Daten, Gesprächsinhalten oder sonstigen Kenntnissen erhalten, die der beruflichen Verschwiegenheitspflicht des Auftraggebers, seiner Berufsträgerinnen und Berufsträger sowie seiner Mitarbeitenden unterliegen. c) Hierzu können insbesondere gehören: personenbezogene Daten von Klientinnen und Klienten, Mandantinnen und Mandanten, Patientinnen und Patienten, Interessenten, Beschäftigten, Geschäftspartnern und sonstigen Dritten; steuerliche, wirtschaftliche, finanzielle, gesundheitliche und persönliche Verhältnisse; Betriebs- und Geschäftsgeheimnisse; Kommunikationsinhalte, insbesondere Telefonate, Transkripte, Gesprächsvermerke und Nachrichten; Zugangsdaten, Systeminformationen und technische Protokolle; Informationen über bestehende oder angebahnte Mandats- oder Behandlungsverhältnisse. d) Die Parteien gehen übereinstimmend davon aus, dass der Dienstleister als Hilfsperson des Auftraggebers im Sinne der einschlägigen berufsrechtlichen Verschwiegenheitsvorschriften (z. B. § 54 Abs. 1 ÄrzteG, § 9 RAO, § 80 WTBG 2017) tätig wird und in dieser Eigenschaft in dessen Verschwiegenheitspflicht einbezogen ist. Der Zugang zu geschützten Tatsachen wird nur eröffnet, soweit dies für die Erbringung der Dienstleistung erforderlich ist.

3. Verpflichtung zur Verschwiegenheit

a) Der Dienstleister verpflichtet sich, über alle ihm im Zusammenhang mit der Leistungserbringung bekannt werdenden fremden Geheimnisse und sonstigen vertraulichen Informationen Stillschweigen zu bewahren. b) Die Verschwiegenheitspflicht umfasst alle Tatsachen, die dem Dienstleister im Zusammenhang mit der Tätigkeit für den Auftraggeber bekannt werden, unabhängig davon, ob diese ausdrücklich als vertraulich bezeichnet sind. c) Der Dienstleister darf vertrauliche Informationen ausschließlich insoweit zur Kenntnis nehmen, verarbeiten oder verwenden, wie dies zur ordnungsgemäßen Erfüllung der vertraglich vereinbarten Dienstleistung erforderlich ist. d) Eine Offenlegung, Weitergabe, Nutzung oder Verwertung vertraulicher Informationen zu anderen Zwecken ist untersagt, sofern keine vorherige ausdrückliche Weisung oder Zustimmung des Auftraggebers in Textform vorliegt oder eine gesetzliche Verpflichtung besteht. e) Die Verschwiegenheitspflicht besteht zeitlich unbegrenzt fort, auch nach Beendigung des Vertragsverhältnisses oder der tatsächlichen Zusammenarbeit. f) Personenbezogene Daten des Auftraggebers werden weder durch den Dienstleister noch durch dessen Subunternehmer zum Training, zur Verbesserung oder zur Evaluierung von KI-Basismodellen verwendet, soweit vom jeweiligen KI-Anbieter im eingesetzten Enterprise-/API-Modus angeboten (vgl. § 6 Abs. 3 der Auftragsverarbeitungsvereinbarung).

4. Belehrung über straf- und berufsrechtliche Folgen

a) Der Dienstleister wird ausdrücklich darauf hingewiesen, dass eine unbefugte Offenbarung oder Verwertung fremder Geheimnisse straf-, berufs- und verwaltungsstrafrechtliche Folgen haben kann. b) Je nach Berufsgruppe des Auftraggebers und nach Art der betroffenen Informationen kommen insbesondere in Betracht:

• die Verletzung von Berufsgeheimnissen nach § 121 StGB;
• die Verletzung eines Geschäfts- oder Betriebsgeheimnisses nach § 122 StGB;
• berufs- und disziplinarrechtliche Folgen für den Auftraggeber und dessen Berufsträgerinnen und Berufsträger nach § 54 ÄrzteG, § 9 RAO bzw. § 80 WTBG 2017;
• verwaltungsstrafrechtliche Folgen nach dem DSG sowie Sanktionen nach Art. 83 DSGVO;
• zivilrechtliche Schadenersatzansprüche.

Unabhängig von der strafrechtlichen Einordnung im Einzelfall verpflichtet sich der Dienstleister vertraglich zur Verschwiegenheit im Umfang dieser Erklärung. c) Der Dienstleister bestätigt, über diese Folgen belehrt worden zu sein, und belehrt seinerseits die von ihm eingesetzten Personen entsprechend. d) Erhält der Dienstleister Kenntnis von einem behördlichen oder gerichtlichen Zugriff auf geschützte Informationen, informiert er den Auftraggeber unverzüglich, soweit dies gesetzlich zulässig ist, damit dieser seine berufsrechtlichen Rechte und Pflichten (insbesondere ein allfälliges Aussageverweigerungsrecht nach § 157 StPO sowie ein etwaiges Beschlagnahme- bzw. Umgehungsverbot nach § 144 StPO) wahrnehmen kann. Der Dienstleister weist die zugreifende Stelle auf die berufsrechtliche Verschwiegenheitspflicht des Auftraggebers hin, schöpft zumutbare Rechtsbehelfe aus oder ermöglicht dem Auftraggeber deren Wahrnehmung und beschränkt eine etwaige Herausgabe auf das rechtlich zwingend Gebotene.

5. Datenschutzrechtliche Verpflichtungen

a) Soweit der Dienstleister personenbezogene Daten im Auftrag des Auftraggebers verarbeitet, erfolgt die Verarbeitung ausschließlich auf dokumentierte Weisung des Auftraggebers und im Rahmen der hierzu geschlossenen Auftragsverarbeitungsvereinbarung gemäß Art. 28 DSGVO. b) Der Dienstleister verpflichtet die bei ihm tätigen Personen zusätzlich zur Wahrung des Datengeheimnisses. Übermittlungen im Rahmen der vereinbarten Leistungserbringung an die über das Trust Center des Dienstleisters (https://docs.famulor.io/de/support/trust-center) benannten Unterauftragsverarbeiter erfolgen auf Grundlage der Auftragsverarbeitungsvereinbarung und gelten als vom Auftraggeber angeordnet. c) Der Dienstleister unterhält die in Anlage 3 der Auftragsverarbeitungsvereinbarung beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Diese gelten für geheimnisgeschützte Informationen uneingeschränkt. d) Die Verarbeitung der Daten des Auftraggebers erfolgt vorrangig in Rechenzentren innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Soweit eingesetzte Unterauftragsverarbeiter ihren Sitz in einem Drittland haben oder ein Zugriff aus einem Drittland nicht ausgeschlossen werden kann, ergeben sich die eingesetzten Unterauftragsverarbeiter, deren Verarbeitungsorte, die jeweiligen Übermittlungsinstrumente und Garantien abschließend aus dem Trust Center des Dienstleisters, das laufend aktualisiert wird (§ 6 der Auftragsverarbeitungsvereinbarung). Der Auftraggeber kann auf dieser Grundlage die Vergleichbarkeit des Geheimnisschutzes nach den für ihn geltenden berufsrechtlichen Vorschriften (§ 54 ÄrzteG, § 9 RAO, § 80 WTBG 2017) beurteilen.

6. Einschaltung weiterer Personen und Unterauftragnehmer

a) Der Dienstleister ist befugt, zur Erfüllung des Vertrages weitere Personen sowie Subunternehmer (Unterauftragsverarbeiter) heranzuziehen. Die eingesetzten Unterauftragsverarbeiter sind über das Trust Center des Dienstleisters abrufbar und unterliegen dem Informations- und Widerspruchsrecht des Auftraggebers gemäß § 6 Abs. 2 der Auftragsverarbeitungsvereinbarung. b) Der Dienstleister verpflichtet alle eigenen Beschäftigten sowie alle sonstigen unmittelbar von ihm eingesetzten Personen (insbesondere freie Mitarbeitende), die Zugang zu vertraulichen Informationen oder personenbezogenen Daten des Auftraggebers erhalten können, vor Aufnahme ihrer Tätigkeit in Textform zur Verschwiegenheit und belehrt sie über die in Ziffer 4 genannten Folgen einer Pflichtverletzung. Die Verpflichtung und die Belehrung werden dokumentiert; die Dokumentation wird dem Auftraggeber auf Verlangen in geeigneter Weise nachgewiesen. c) Hinsichtlich der eingesetzten Unterauftragsverarbeiter stellt der Dienstleister sicher, dass mit diesen Verträge nach Art. 28 Abs. 4 DSGVO geschlossen sind, die den Unterauftragsverarbeiter zur Vertraulichkeit verpflichten und ihn nach Art. 28 Abs. 3 lit. b DSGVO dazu anhalten, die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten. Der Dienstleister wählt die Unterauftragsverarbeiter sorgfältig aus und überprüft sie regelmäßig auf die Einhaltung der Datenschutzpflichten. d) Der Dienstleister schuldet insoweit die sorgfältige Auswahl, vertragliche Einbindung und Überwachung der Unterauftragsverarbeiter. Er kann jedoch nicht zusagen, dass die Unterauftragsverarbeiter gegenüber ihren eigenen Beschäftigten eine bestimmte Form oder einen bestimmten Wortlaut der Verpflichtung verwenden, da deren interne Organisation nicht seiner Steuerung unterliegt. e) Der Dienstleister weist dem Auftraggeber die Einhaltung dieser Verpflichtungen auf Verlangen in geeigneter Weise nach, insbesondere durch Vorlage der aktuellen Trust-Center-Liste, von Zertifizierungen bzw. Prüfberichten sowie durch die vertraglich vereinbarten Auditrechte.

7. Beschränkung der Kenntnisnahme

a) Der Dienstleister verpflichtet sich, sich nur insoweit Kenntnis von fremden Geheimnissen, personenbezogenen Daten und sonstigen vertraulichen Informationen zu verschaffen, wie dies zur Erfüllung der vereinbarten Dienstleistung erforderlich ist. b) Zugriffsrechte werden nach dem Grundsatz der Erforderlichkeit („Need-to-Know”, „Least Privilege”) vergeben und regelmäßig überprüft; Zugriffe auf personenbezogene Daten werden protokolliert. c) Eine private Nutzung, Kopie, Speicherung oder sonstige Verwendung vertraulicher Informationen ist untersagt.

8. Folgen von Pflichtverletzungen

a) Verstöße gegen diese Verpflichtungserklärung können berufsrechtliche, strafrechtliche, datenschutzrechtliche und zivilrechtliche Folgen haben. b) Der Dienstleister informiert den Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden gemäß § 5 Abs. 3 der Auftragsverarbeitungsvereinbarung, wenn Anhaltspunkte für eine Verletzung der Verschwiegenheits-, Datenschutz- oder Sicherheitsanforderungen bestehen. c) Für Ansprüche des Auftraggebers wegen einer vom Dienstleister zu vertretenden Verletzung der Verschwiegenheitspflichten nach dieser Erklärung gelten die gesetzlichen Bestimmungen. Eine vorsätzliche oder grob fahrlässige Verletzung wird von den Haftungsbeschränkungen der AGB (Ziffer 11) nicht erfasst; im Übrigen bleiben die Haftungsregelungen der AGB unberührt.

9. Anwendbares Recht

Die Rechtsbeziehungen zwischen den Parteien unterliegen gemäß § 14 der AGB deutschem Recht mit Gerichtsstand Kempten (Allgäu). Zwingende Vorschriften und Eingriffsnormen des österreichischen Rechts, insbesondere die österreichischen berufs- und strafrechtlichen Verschwiegenheitsvorschriften (§§ 121, 122 StGB, § 54 ÄrzteG, § 9 RAO, § 80 WTBG 2017) sowie zwingendes österreichisches Datenschutzrecht, bleiben von dieser Rechtswahl unberührt.

10. Schlussbestimmungen

a) Diese Verpflichtungserklärung ergänzt die zwischen den Parteien bestehenden vertraglichen Vereinbarungen, insbesondere die AGB (SaaS-Vertrag) und die Auftragsverarbeitungsvereinbarung des Dienstleisters. Sie regelt die berufsrechtliche Verschwiegenheit abschließend und geht AGB und Auftragsverarbeitungsvereinbarung insoweit vor. Vorrang genießen insbesondere die Regelungen dieser Erklärung zur Beschränkung der Kenntnisnahme (Ziffer 7), zur Hinzuziehung von Unterauftragsverarbeitern mit Zugang zu geheimnisgeschützten Informationen (Ziffer 6) und zur Haftung für die Verletzung von Verschwiegenheitspflichten (Ziffer 8c). Im Übrigen gelten AGB und Auftragsverarbeitungsvereinbarung unverändert fort. b) Diese Erklärung gilt mit Vertragsschluss als vereinbart, ohne dass es einer gesonderten Vereinbarung oder Unterzeichnung bedarf, sofern der Auftraggeber einer gesetzlichen berufsrechtlichen Verschwiegenheitspflicht in Österreich unterliegt (vgl. § 15.1 der AGB). Auf Wunsch des Auftraggebers zeichnet der Dienstleister diese Erklärung zusätzlich im geltenden Wortlaut gegen; die Gegenzeichnung ist für die Wirksamkeit nicht erforderlich. c) Änderungen und Ergänzungen dieser Verpflichtungserklärung bedürfen der Textform, soweit nicht gesetzlich eine strengere Form vorgeschrieben ist. d) Sollte eine Bestimmung dieser Verpflichtungserklärung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.