Legal
Stand: 27. August 2026
Zwischen dem der gesetzlichen berufsrechtlichen Verschwiegenheitspflicht in Deutschland unterliegenden Kunden der BEK Service GmbH (Marke „Famulor") — nachfolgend „Auftraggeber" — und der
BEK Service GmbH, Westendstr. 2A, 87439 Kempten (Allgäu), Deutschland
— nachfolgend „Dienstleister" —
wird Folgendes vereinbart:
a) Der Dienstleister erbringt für den Auftraggeber folgende Dienstleistung: Bereitstellung der Plattform „Famulor.io" zur Konfiguration und zum Betrieb KI-gestützter Sprach- und Omnichannel-Agenten (SaaS) gemäß dem SaaS-Vertrag (AGB) und der Auftragsverarbeitungsvereinbarung (AVV) des Dienstleisters.
b) Im Rahmen dieser Tätigkeit kann der Dienstleister Zugang zu Tatsachen, Informationen, Unterlagen, Daten, Gesprächsinhalten oder sonstigen Kenntnissen erhalten, die der beruflichen Verschwiegenheitspflicht des Auftraggebers, seiner Berufsträgerinnen und Berufsträger sowie seiner Mitarbeitenden unterliegen.
c) Hierzu können insbesondere gehören: personenbezogene Daten von Mandanten, Patienten, Klienten, Interessenten, Beschäftigten, Geschäftspartnern und sonstigen Dritten; steuerliche, wirtschaftliche, finanzielle, gesundheitliche und persönliche Verhältnisse; Betriebs- und Geschäftsgeheimnisse; Kommunikationsinhalte, insbesondere Anrufe, Transkripte, Gesprächsvermerke, WhatsApp-/E-Mail-/Chat-Nachrichten; Zugangsdaten, Systeminformationen und technische Protokolle; Informationen über bestehende oder angebahnte Mandats- oder Behandlungsverhältnisse.
d) Die Parteien gehen übereinstimmend davon aus, dass der Dienstleister als sonstige an der beruflichen oder dienstlichen Tätigkeit des Auftraggebers mitwirkende Person im Sinne des § 203 Abs. 3 Satz 2 StGB tätig wird. Diese Einordnung beruht darauf, dass (i) die Leistung des Dienstleisters die berufliche Tätigkeit des Auftraggebers unmittelbar unterstützt, (ii) der Dienstleister die Daten ausschließlich weisungsgebunden und zweckgebunden verarbeitet, (iii) ihm ein Zugang zu geschützten Tatsachen nur eröffnet wird, soweit dies für die Erbringung der Dienstleistung erforderlich ist, und (iv) er die Informationen zu keinen eigenen Zwecken nutzt oder verwertet. Die Parteien sind sich einig, dass diese Einordnung eine abweichende Beurteilung durch Gerichte oder Behörden nicht ausschließt; der Dienstleister verpflichtet sich unabhängig davon vertraglich zur Verschwiegenheit im Umfang dieser Erklärung.
a) Der Dienstleister verpflichtet sich, über alle ihm im Zusammenhang mit der Leistungserbringung bekannt werdenden fremden Geheimnisse und sonstigen vertraulichen Informationen Stillschweigen zu bewahren.
b) Die Verschwiegenheitspflicht umfasst alle Tatsachen, die dem Dienstleister im Zusammenhang mit der Tätigkeit für den Auftraggeber bekannt werden, unabhängig davon, ob diese ausdrücklich als vertraulich bezeichnet sind.
c) Der Dienstleister darf vertrauliche Informationen ausschließlich insoweit zur Kenntnis nehmen, verarbeiten oder verwenden, wie dies zur ordnungsgemäßen Erfüllung der vertraglich vereinbarten Dienstleistung erforderlich ist.
d) Eine Offenlegung, Weitergabe, Nutzung oder Verwertung vertraulicher Informationen zu anderen Zwecken ist untersagt, sofern keine vorherige ausdrückliche Weisung oder Zustimmung des Auftraggebers in Textform vorliegt oder eine gesetzliche Verpflichtung besteht.
e) Die Verschwiegenheitspflicht besteht zeitlich unbegrenzt fort, auch nach Beendigung des Vertragsverhältnisses oder der tatsächlichen Zusammenarbeit.
f) Personenbezogene Daten des Auftraggebers werden weder durch den Dienstleister noch durch dessen Subunternehmer zum Training, zur Verbesserung oder zur Evaluierung von KI-Basismodellen verwendet, soweit vom jeweiligen KI-Anbieter im eingesetzten Enterprise-/API-Modus angeboten (vgl. § 6 Abs. 3 der Auftragsverarbeitungsvereinbarung).
a) Der Dienstleister wird ausdrücklich darauf hingewiesen, dass eine unbefugte Offenbarung fremder Geheimnisse strafrechtliche Folgen haben kann.
b) Insbesondere kann eine Verletzung von Privatgeheimnissen nach § 203 Abs. 4 StGB strafbar sein; sie kann mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe geahndet werden. Ebenso kann die unbefugte Verwertung fremder Geheimnisse nach § 204 StGB strafbar sein (Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe). Strafbar sind die für den Dienstleister handelnden natürlichen Personen; daneben kommen Sanktionen gegen den Dienstleister nach den §§ 30, 130 OWiG in Betracht.
c) Der Dienstleister bestätigt, über die strafrechtlichen Folgen einer Pflichtverletzung belehrt worden zu sein, und belehrt seinerseits die von ihm eingesetzten Personen entsprechend.
d) Der Dienstleister erkennt an, dass den bei ihm eingesetzten mitwirkenden Personen ein Zeugnisverweigerungsrecht nach § 53a StPO zustehen kann und dass über dessen Ausübung grundsätzlich der Auftraggeber entscheidet. Erhält der Dienstleister Kenntnis von einem behördlichen oder gerichtlichen Zugriff oder Herausgabeverlangen betreffend geschützte Informationen, informiert er den Auftraggeber unverzüglich, soweit dies gesetzlich zulässig ist. Er weist die zugreifende Stelle auf die berufsrechtliche Verschwiegenheitspflicht des Auftraggebers und ein etwaiges Beschlagnahmeverbot hin, schöpft zumutbare Rechtsbehelfe aus oder ermöglicht dem Auftraggeber deren Wahrnehmung und beschränkt eine etwaige Herausgabe auf das rechtlich zwingend Gebotene.
a) Soweit der Dienstleister personenbezogene Daten im Auftrag des Auftraggebers verarbeitet, erfolgt die Verarbeitung ausschließlich auf dokumentierte Weisung des Auftraggebers und im Rahmen der hierzu geschlossenen Auftragsverarbeitungsvereinbarung gemäß Art. 28 DSGVO.
b) Der Dienstleister unterhält die in Anlage 3 der Auftragsverarbeitungsvereinbarung beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Diese gelten für geheimnisgeschützte Informationen uneingeschränkt.
c) Die Verarbeitung der Daten des Auftraggebers erfolgt vorrangig in Rechenzentren innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Soweit eingesetzte Unterauftragsverarbeiter ihren Sitz in einem Drittland haben oder ein Zugriff aus einem Drittland nicht ausgeschlossen werden kann, ergeben sich die eingesetzten Unterauftragsverarbeiter, deren Verarbeitungsorte, die jeweiligen Übermittlungsinstrumente und Garantien abschließend aus dem Trust Center des Dienstleisters (https://docs.famulor.io/de/support/trust-center), das als dynamischer Anhang zur Auftragsverarbeitungsvereinbarung laufend aktualisiert wird (§ 6 der Auftragsverarbeitungsvereinbarung). Der Auftraggeber kann auf dieser Grundlage die Vergleichbarkeit des Geheimnisschutzes nach den für ihn geltenden berufsrechtlichen Vorschriften beurteilen.
d) Der Dienstleister erfüllt die Anforderungen, die das Berufsrecht des Auftraggebers an die Inanspruchnahme von Dienstleistern stellt. Er wird vom Auftraggeber sorgfältig ausgewählt, in Textform zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen einer Pflichtverletzung belehrt; er verpflichtet sich, sich Kenntnis von geschützten Informationen nur zu verschaffen, soweit dies zur Erfüllung der Dienstleistung erforderlich ist (Ziffer 7), und weitere Personen nur nach Maßgabe der Ziffer 6 hinzuzuziehen. Diese Erklärung ist so ausgestaltet, dass sie den Anforderungen der berufsrechtlichen Vorschriften der jeweiligen Berufsgruppe des Auftraggebers genügt.
a) Der Dienstleister ist befugt, zur Erfüllung des Vertrages weitere Personen sowie Subunternehmer (Unterauftragsverarbeiter) heranzuziehen. Die eingesetzten Unterauftragsverarbeiter sind über das Trust Center des Dienstleisters abrufbar und unterliegen dem Informations- und Widerspruchsrecht des Auftraggebers gemäß § 6 Abs. 2 der Auftragsverarbeitungsvereinbarung.
b) Der Dienstleister verpflichtet alle eigenen Beschäftigten sowie alle sonstigen unmittelbar von ihm eingesetzten Personen (insbesondere freie Mitarbeitende), die Zugang zu vertraulichen Informationen oder personenbezogenen Daten des Auftraggebers erhalten können, vor Aufnahme ihrer Tätigkeit in Textform zur Verschwiegenheit und belehrt sie über die in Ziffer 4 genannten Folgen einer Pflichtverletzung. Die Verpflichtung und die Belehrung werden dokumentiert; die Dokumentation wird dem Auftraggeber auf Verlangen in geeigneter Weise nachgewiesen.
c) Hinsichtlich der eingesetzten Unterauftragsverarbeiter stellt der Dienstleister sicher, dass mit diesen Verträge nach Art. 28 Abs. 4 DSGVO geschlossen sind, die den Unterauftragsverarbeiter zur Vertraulichkeit verpflichten und ihn nach Art. 28 Abs. 3 lit. b DSGVO dazu anhalten, die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten. Der Dienstleister wählt die Unterauftragsverarbeiter sorgfältig aus und überprüft sie regelmäßig auf die Einhaltung der Datenschutzpflichten.
d) Der Dienstleister schuldet insoweit die sorgfältige Auswahl, vertragliche Einbindung und Überwachung der Unterauftragsverarbeiter. Er kann jedoch nicht zusagen, dass die Unterauftragsverarbeiter gegenüber ihren eigenen Beschäftigten eine bestimmte Form oder einen bestimmten Wortlaut der Verpflichtung verwenden, da deren interne Organisation nicht seiner Steuerung unterliegt.
e) Der Dienstleister weist dem Auftraggeber die Einhaltung dieser Verpflichtungen auf Verlangen in geeigneter Weise nach, insbesondere durch Vorlage der aktuellen Trust-Center-Liste, von Zertifizierungen bzw. Prüfberichten sowie durch die vertraglich vereinbarten Auditrechte.
a) Der Dienstleister verpflichtet sich, sich nur insoweit Kenntnis von fremden Geheimnissen, personenbezogenen Daten und sonstigen vertraulichen Informationen zu verschaffen, wie dies zur Erfüllung der vereinbarten Dienstleistung erforderlich ist.
b) Zugriffsrechte werden nach dem Grundsatz der Erforderlichkeit („Need-to-Know", „Least Privilege") vergeben und regelmäßig überprüft; Zugriffe auf personenbezogene Daten werden protokolliert.
c) Eine private Nutzung, Kopie, Speicherung oder sonstige Verwendung vertraulicher Informationen ist untersagt.
a) Verstöße gegen diese Verpflichtungserklärung können berufsrechtliche, strafrechtliche, datenschutzrechtliche und zivilrechtliche Folgen haben.
b) Der Dienstleister informiert den Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden gemäß § 5 Abs. 3 der Auftragsverarbeitungsvereinbarung, wenn Anhaltspunkte für eine Verletzung der Verschwiegenheits-, Datenschutz- oder Sicherheitsanforderungen bestehen.
c) Für Ansprüche des Auftraggebers wegen einer vom Dienstleister zu vertretenden Verletzung der Verschwiegenheitspflichten nach dieser Erklärung gelten die gesetzlichen Bestimmungen. Eine vorsätzliche oder grob fahrlässige Verletzung wird von den Haftungsbeschränkungen der AGB (Ziffer 11) nicht erfasst; im Übrigen bleiben die Haftungsregelungen der AGB unberührt.
a) Diese Verpflichtungserklärung ergänzt die zwischen den Parteien bestehenden vertraglichen Vereinbarungen, insbesondere die AGB (SaaS-Vertrag) und die Auftragsverarbeitungsvereinbarung des Dienstleisters. Sie regelt die berufsrechtliche Verschwiegenheit abschließend und geht AGB und Auftragsverarbeitungsvereinbarung insoweit vor. Vorrang genießen insbesondere die Regelungen dieser Erklärung zur Beschränkung der Kenntnisnahme (Ziffer 7), zur Hinzuziehung von Unterauftragsverarbeitern mit Zugang zu geheimnisgeschützten Informationen (Ziffer 6) und zur Haftung für die Verletzung von Verschwiegenheitspflichten (Ziffer 8c). Im Übrigen gelten AGB und Auftragsverarbeitungsvereinbarung unverändert fort.
b) Diese Erklärung gilt mit Vertragsschluss als vereinbart, ohne dass es einer gesonderten Vereinbarung oder Unterzeichnung bedarf, sofern der Auftraggeber einer gesetzlichen berufsrechtlichen Verschwiegenheitspflicht in Deutschland unterliegt (vgl. § 15.1 der AGB). Auf Wunsch des Auftraggebers zeichnet der Dienstleister diese Erklärung zusätzlich im geltenden Wortlaut gegen; die Gegenzeichnung ist für die Wirksamkeit nicht erforderlich.
c) Änderungen und Ergänzungen dieser Verpflichtungserklärung bedürfen der Textform, soweit nicht gesetzlich eine strengere Form vorgeschrieben ist.
d) Sollte eine Bestimmung dieser Verpflichtungserklärung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.