Berufsgeheimnisträger-Zusatzvereinbarung (§ 203 StGB)
Last updated: July 2026 (rev. 1 — draft, pending qualified legal review)
0. Zweck / Purpose
DE: Diese Zusatzvereinbarung ergänzt die Keypra Terms of Service und den Auftragsverarbeitungsvertrag (DPA) um die für deutsche Berufsgeheimnisträger gemäß § 203 StGB in Verbindung mit § 43e BRAO, § 62a StBerG, § 50a WPO, § 26a BNotO und § 39a PAO erforderlichen Verpflichtungen. Sie richtet sich an Rechtsanwälte, Steuerberater, Wirtschaftsprüfer, Notare und Patentanwälte in Deutschland, die Keypra im Rahmen ihrer beruflichen Tätigkeit einsetzen.
EN: This addendum extends the Keypra Terms of Service and the Data Processing Agreement (DPA) with the obligations that a German professional bound by § 203 of the German Criminal Code (StGB) — in conjunction with § 43e BRAO, § 62a StBerG, § 50a WPO, § 26a BNotO, § 39a PAO — must impose on service providers processing information covered by professional secrecy. It targets German lawyers, tax advisors, auditors, notaries and patent attorneys using Keypra in their professional practice.
1. Vertragsparteien / Parties
DE: Zwischen der Keypra OÜ, Sepapaja tn 6, 15551 Tallinn, Estland ("Auftragnehmer") und dem Mandanten ("Berufsgeheimnisträger"), namentlich benannt in der beigefügten Auftragsdatenblatt-Anlage.
EN: Between Keypra OÜ, Sepapaja tn 6, 15551 Tallinn, Estonia ("Processor") and the Customer ("Professional Secrecy Holder"), identified in the attached Order Form.
2. Verpflichtung zur Geheimhaltung / Obligation of Secrecy
DE: Der Auftragnehmer und sämtliche seiner mitwirkenden Personen im Sinne des § 203 Abs. 3 Satz 2 StGB verpflichten sich, alle im Rahmen der Leistungserbringung bekannt werdenden fremden Geheimnisse — insbesondere Mandantendaten, Verfahrensinhalte, Steuerdaten, Prüfungsunterlagen — zu wahren. Diese Verpflichtung besteht auch nach Beendigung der Vertragsbeziehung fort. Ein Verstoß begründet neben zivilrechtlichen Ansprüchen auch die persönliche strafrechtliche Verantwortlichkeit nach § 203 Abs. 4 StGB.
EN: The Processor and all persons involved in the provision of the service within the meaning of § 203(3) sent. 2 StGB commit to protecting all third-party secrets that become known during the provision of the service — in particular client data, case content, tax data, audit documents. This obligation survives termination. A breach triggers civil liability and personal criminal liability under § 203(4) StGB.
3. Belehrung nach § 203 Abs. 4 StGB / Notice under § 203(4) StGB
DE: Der Auftragnehmer bestätigt, dass alle Personen, die im Auftrag der Leistungserbringung Zugang zu geschützten Informationen erhalten könnten, ausdrücklich schriftlich auf ihre Geheimhaltungspflicht und die strafrechtlichen Folgen eines Verstoßes gemäß § 203 Abs. 4 StGB hingewiesen wurden. Eine Kopie dieser Belehrung stellt der Auftragnehmer dem Berufsgeheimnisträger auf Anforderung binnen 10 Werktagen zur Verfügung.
EN: The Processor confirms that every person who may access protected information in the course of service provision has been expressly informed in writing of their duty of secrecy and of the criminal consequences of a breach under § 203(4) StGB. A copy of that notice is made available on request within 10 business days.
4. Weitergabe an Subunternehmer / Sub-processor Cascade
DE: Der Auftragnehmer darf geschützte Informationen an Subunternehmer nur weitergeben, wenn (a) der Subunternehmer sich in identischer Weise gemäß § 203 StGB verpflichtet hat, (b) der Subunternehmer auf der aktuellen Sub-Processor-Liste mit dem Vermerk "§203-verpflichtet" geführt wird, und (c) der Berufsgeheimnisträger die aktuelle Liste vor Vertragsschluss und bei jeder Änderung mit 30 Tagen Vorlauf einsehen kann. Der Berufsgeheimnisträger kann einer Änderung binnen 30 Tagen aus wichtigem Grund widersprechen; in diesem Fall besteht ein außerordentliches Kündigungsrecht ohne Kosten.
EN: The Processor may disclose protected information to sub-processors only if (a) the sub-processor is bound in identical form under § 203 StGB, (b) the sub-processor appears on the current Sub-processor list flagged as "§203-bound", and (c) the current list is accessible to the Customer before contract and updated with 30 days' advance notice. The Customer may object to any change within 30 days for good cause and, if so, terminate the affected service without penalty.
5. Datenlokalisierung / Data Residency
DE: Die Verarbeitung geschützter Informationen findet ausschließlich innerhalb der Europäischen Union statt. Für KI-Inferenz gilt zusätzlich die aktivierte "EU-Model Restriction"-Policy: es dürfen ausschließlich Modell-Deployments verwendet werden, die auf Endpunkten mit EU-Datenresidenz laufen. Der jeweils aktuelle Umsetzungsstand ist auf /trust/section-203 transparent einsehbar. Ein Zugriff aus Drittländern (insbesondere USA) auf geschützte Informationen ist ausgeschlossen; dies gilt auch für Support- und Wartungszugriffe.
EN: Processing of protected information occurs exclusively within the European Union. For AI inference the activated "EU-Model Restriction" policy applies: only model deployments on EU-resident endpoints may be used. The live enforcement status is public at /trust/section-203. Third-country access (in particular US access) to protected information — including support and maintenance access — is excluded.
5a. Ausgeschlossene Kanäle: E-Mail-Lane / Excluded Channels: Email Lane
DE: Der E-Mail-Kanal "Keypra by Email" (ask@in.keypra.com) ist ausdrücklich nicht Gegenstand der Zusicherungen dieser Vereinbarung. E-Mail wird zwischen Mailservern lediglich transportverschlüsselt übertragen; eine Ende-zu-Ende-Verschlüsselung und eine durchgängige EU-Zustellkette können vom Auftragnehmer nicht gewährleistet werden. Für Auftraggeber im § 203-Modus wird der E-Mail-Kanal daher standardmäßig deaktiviert. Geschützte Informationen im Sinne des § 203 StGB dürfen unter keinen Umständen per E-Mail an Keypra übermittelt werden; ausschließlich die authentifizierte Webanwendung ist hierfür freigegeben. Sollten dennoch geschützte Informationen per E-Mail eingehen, gilt: Der Auftragnehmer verarbeitet den Nachrichtentext nicht weiter, sobald er hiervon Kenntnis erlangt, löscht ihn unverzüglich und informiert den Auftraggeber; unabhängig davon greifen die kurzen Aufbewahrungsfristen nach DPA § 3 (Nachrichtentext 7 Tage, archivierte Antwort 30 Tage). Eine Reaktivierung des Kanals erfordert eine schriftliche Weisung des Auftraggebers unter Anerkennung dieses Risikos.
EN: The "Keypra by Email" channel (ask@in.keypra.com) is expressly outside the assurances given in this Addendum. E-mail is transported between mail servers with transport encryption at best; Keypra cannot guarantee end-to-end encryption or an unbroken EU delivery chain. For customers operating in § 203 mode the email channel is therefore disabled by default. Protected information within the meaning of § 203 StGB must never be sent to Keypra by e-mail; only the authenticated web application is approved for it. Should protected information nevertheless arrive by e-mail, Keypra will stop processing the message body once aware, delete it without undue delay, and inform the customer; independently, the short retention windows in DPA § 3 apply (message body 7 days, archived reply 30 days). Re-enabling the channel requires the customer's written instruction acknowledging this risk.
6. Recht zur Verweigerung / Right to Refuse Disclosure
DE: Der Auftragnehmer und seine mitwirkenden Personen sind berechtigt und, soweit gesetzlich zulässig, verpflichtet, jede Herausgabe geschützter Informationen an Behörden, Gerichte oder Dritte zu verweigern, sofern nicht der Berufsgeheimnisträger schriftlich zugestimmt hat oder eine unmittelbar vollziehbare gesetzliche Verpflichtung besteht. Anfragen sind unverzüglich, spätestens binnen 24 Stunden, dem Berufsgeheimnisträger mitzuteilen, soweit gesetzlich zulässig.
EN: The Processor and its involved persons are entitled and, to the extent legally permissible, obliged to refuse to disclose protected information to any authority, court or third party unless the Customer has consented in writing or an immediately enforceable legal obligation exists. Requests are to be reported to the Customer without undue delay — no later than 24 hours — insofar as legally permissible.
7. Löschung und Rückgabe / Deletion and Return
DE: Auf Anforderung des Berufsgeheimnisträgers, spätestens jedoch bei Vertragsende, löscht der Auftragnehmer sämtliche geschützten Informationen unwiderruflich innerhalb von 30 Tagen und bestätigt die Löschung schriftlich (Löschprotokoll mit SHA-256-Prüfsumme). Für protokollierte Zugriffe (Audit-Log) gilt eine gesetzliche Mindestaufbewahrung von 10 Jahren gemäß § 50 BRAO analog; diese enthalten keine Inhaltsdaten, sondern nur Metadaten (Zeitstempel, Modell-Deployment, Nutzer-ID).
EN: On the Customer's request, and no later than at contract end, the Processor irrevocably deletes all protected information within 30 days and confirms the deletion in writing (deletion log with SHA-256 checksum). Audit logs are retained for a statutory minimum of 10 years by analogy with § 50 BRAO; they contain only metadata (timestamp, model deployment, user ID), never content.
8. Prüfungsrechte / Audit Rights
DE: Der Berufsgeheimnisträger ist berechtigt, die Einhaltung dieser Zusatzvereinbarung einmal jährlich auf eigene Kosten durch einen selbst zur Verschwiegenheit verpflichteten Prüfer überprüfen zu lassen. Der Auftragnehmer stellt hierzu auf Anforderung SOC 2 Type II- und ISO 27001-Berichte der zugrundeliegenden Infrastruktur (Lovable Cloud auf Supabase, EU-Central-1) sowie ein aktuelles Enforcement-Zertifikat gemäß Ziffer 5 zur Verfügung.
EN: The Customer may audit compliance with this addendum once a year at its own cost, using an auditor themselves bound by professional secrecy. The Processor provides on request the SOC 2 Type II and ISO 27001 reports of the underlying infrastructure (Lovable Cloud on Supabase, EU-Central-1) and a current enforcement certificate per Section 5.
9. Haftung und Vertragsstrafe / Liability and Contractual Penalty
DE: Für jeden schuldhaften Verstoß gegen Ziffern 2, 4 oder 5 verspricht der Auftragnehmer eine Vertragsstrafe in Höhe von 25.000 EUR pro Vorfall, unbeschadet weitergehender Schadensersatzansprüche. Die Vertragsstrafe wird auf einen konkret nachgewiesenen Schaden angerechnet.
EN: For each culpable breach of Sections 2, 4 or 5, the Processor promises a contractual penalty of EUR 25,000 per incident, without prejudice to further damages. The penalty is credited against any proven damages.
10. Anwendbares Recht und Gerichtsstand / Governing Law
DE: Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand ist der Sitz des Berufsgeheimnisträgers, sofern dieser Kaufmann i.S.d. HGB ist; andernfalls die gesetzlichen Vorschriften.
EN: German law applies, excluding the CISG. Exclusive venue is the seat of the Customer if a merchant within the meaning of the German Commercial Code; otherwise as provided by statute.
11. Wirksamkeit / Effectiveness
DE: Diese Zusatzvereinbarung tritt mit beidseitiger elektronischer Signatur in Kraft und ersetzt keine, sondern ergänzt alle bestehenden Vertragsdokumente. Bei Widerspruch mit dem DPA oder den Terms of Service geht diese Zusatzvereinbarung im Anwendungsbereich des § 203 StGB vor.
EN: This addendum enters into force upon mutual electronic signature. It supplements — never replaces — existing contract documents. In case of conflict with the DPA or Terms of Service, this addendum prevails within the scope of § 203 StGB.
⚠️ This is a first draft prepared by Keypra product/legal. It must be reviewed by a qualified German lawyer (Fachanwalt für IT-Recht empfohlen) before countersignature by any real customer. Contact enterprise@keypra.com to request the version currently cleared for signature.