Das 203er-Vertragskit
Fünf der sieben Muster-Dokumente sind offen einsehbar, ohne Registrierung und ohne Formular. Die Subprozessoren-Liste und der vollständige Drittlandtransfer-Baustein sind vertraulich und nach E-Mail-Bestätigung anforderbar. Damit prüfbar ist, was wir behaupten, bevor Sie mit uns sprechen.
Auswahl aus über 5.000 Projekten in 25 Jahren Softwareentwicklung
Warum das Kit größtenteils offen liegt
Wer als Berufsgeheimnisträger einen KI-Bezugsweg prüft, steht vor einem Beschaffungsproblem: Die entscheidenden Unterlagen bekommt man in der Regel erst, wenn man schon im Vertriebsprozess steckt. Größtenteils umgekehrt ist es hier: Fünf der sieben Muster stehen offen, damit die Prüfung vor dem Gespräch stattfinden kann - und damit sie auch gegen andere Anbieter geführt werden kann. Zwei Bausteine mit Lieferanten-Klarnamen liegen aus Gründen der Prüfbarkeit gegenüber der Kanzlei statt gegenüber der Öffentlichkeit vertraulich und sind nach E-Mail-Bestätigung anforderbar.
Inhaltlich decken die Bausteine die Glieder ab, die die 203er-Kette beschreibt: die strafrechtliche Verpflichtung nach § 203 Abs. 4 StGB, den datenschutzrechtlichen Auftragsverarbeitungsvertrag, die Weitergabe der Pflicht an Subunternehmer, den Drittlandtransfer, die Aufbewahrung und die Einwilligung der Mandantschaft. Welches Modell über welchen Bezugsweg abgesichert ist, führt die Modell-Übersicht im Einzelnen aus.
Stand v0.11 (18.08.2026), Muster zur anwaltlichen Einzelfall-Anpassung, ohne Gewähr, ersetzt keine Rechtsberatung.
Die sieben Bausteine
1. Verschwiegenheits-Zusatzvereinbarung nach § 203 Abs. 4 StGB
Das Kernstück: die eigenständige Verpflichtung der mitwirkenden Person zur Geheimhaltung, in Textform und mit Belehrung über die eigene Strafbarkeit nach § 203 Abs. 4 Satz 1 StGB. Genau das Dokument, das ein Auftragsverarbeitungsvertrag nicht ersetzt.
Als PDF öffnen · Word-Fassung zum Anpassen
2. AVV-Baustein nach Art. 28 DSGVO
Der datenschutzrechtliche Teil, mit Gosign-Selbstverpflichtung, den Regeln für Gateway und Mapping sowie den Zusagen zur Nicht-Speicherung beim Modell-Anbieter.
Als PDF öffnen · Word-Fassung zum Anpassen
3. Subprozessoren-Liste
Wer außer uns an der Verarbeitung beteiligt ist, mit Status je Beteiligtem und der Mechanik, wie Änderungen mitgeteilt werden. Das ist das Glied, an dem Anbieter-Ketten in der Praxis am häufigsten reißen. Die Liste nennt Klarnamen und liegt deshalb nicht offen im Netz - Art. 28 Abs. 2 DSGVO richtet diese Information an den Auftraggeber, nicht an die Öffentlichkeit.
Zugang anfordern
4. Drittlandtransfer-Baustein (Art. 44 ff. DSGVO)
Das Gerüst für das Transfer Impact Assessment, der Stand zum Data Privacy Framework und die ergänzenden Maßnahmen. Relevant überall dort, wo ein Konzern mit US-Bezug in der Kette bleibt.
Als PDF öffnen · Word-Fassung zum Anpassen
Das ist die gekürzte, lieferantenfreie Fassung. Die vollständige Anbieter-Fassung mit Klarnamen und DPF-Status je Anbieter liegt aus demselben Grund nicht offen: § 203 Abs. 4 Satz 2 Nr. 1 StGB und § 43e BRAO verlangen Prüfbarkeit gegenüber der Kanzlei vor der Beauftragung, keine öffentliche Vorab-Publikation.
Vollständige Fassung anfordern
5. DSFA-Vorlage (Art. 35 DSGVO)
Die Datenschutz-Folgenabschätzung als Vorlage, mit den Zulieferbausteinen, die ein Auftragsverarbeiter nach Art. 28 Abs. 3 lit. f beizusteuern hat.
Als PDF öffnen · Word-Fassung zum Anpassen
6. Retention-Matrix, Mandanteneinwilligung und Transparenzhinweis
Aufbewahrungs- und Löschfristen als Matrix, dazu die Muster-Einwilligung der Mandantschaft (§ 43e Abs. 5 BRAO, § 62a Abs. 5 StBerG, § 50a Abs. 5 WPO), die Beteiligten-Einwilligung für Notare (§ 26a Abs. 4 BNotO) und der Transparenzhinweis nach Art. 13 und 14 DSGVO.
Als PDF öffnen · Word-Fassung zum Anpassen
7. Übersicht des Kits
Die Kurzbeschreibung aller Bausteine samt Versionsstand in einer Datei - der schnellste Weg, sich einen Überblick zu verschaffen.
Als PDF öffnen · Word-Fassung zum Anpassen
Wenn Sie den Bezugsweg nicht selbst bauen wollen
Das Kit zeigt, wie die Kette aussehen muss. Sie selbst aufzubauen heißt: einen Modell-Anbieter finden, der eine Verschwiegenheitsvereinbarung nach § 203 Abs. 4 zeichnet; die Vertragsstrecke bis zur Unterschrift führen; die technischen Ausnahmen beantragen, die den Zugriff auf Ihre Eingaben ausschließen; die Bausteine anwaltlich erstellen lassen - und bei jeder Anbieter-Änderung nachziehen. Das ist ein Projekt über Monate, und es endet nicht, weil sich die Lage bewegt.
Wer es nicht führen will, bekommt das Ergebnis von der Gosign GmbH - in zwei Zuschnitten, je nachdem, was Sie brauchen:
- Sie wollen eine Oberfläche, mit der Ihr Team arbeitet. Dann ist es die Kanzlei-Instanz veryAI: ein eigener Server in Deutschland, die abgesicherten Modelle darin bereitgestellt, die Verträge geschlossen.
- Sie wollen nur die Modelle, angebunden an Ihre eigene Software. Dann brauchen Sie veryAI nicht. Gosign liefert den Zugang als Schnittstelle mit derselben Vertragskette - Sie bauen Ihre eigene Anwendung darauf, wir stellen die 203er-Kette dahinter.
Vertragspartner ist in beiden Fällen die Gosign GmbH.
Ohne Gespräch zum Vertrag
Wenn Sie das Kit geprüft haben und direkt abschließen möchten, geht das ohne Termin: Die Vertragsaufnahme führt Sie durch die Angaben, die wir brauchen, und erzeugt die Unterlagen zur Unterschrift.
Subprozessoren-Liste und vollständiger Drittlandtransfer-Baustein
Zwei Bausteine liegen nicht offen im Netz: die Subprozessoren-Liste und die vollständige Anbieter-Fassung des Drittlandtransfer-Bausteins. Der gekürzte, lieferantenfreie Drittlandtransfer-Baustein bleibt weiter frei einsehbar - nur die ausgefüllte Anbieter-Fassung ist vertraulich.
Warum nicht offen: Art. 28 Abs. 2 DSGVO richtet die Information über eingesetzte Subprozessoren an den Auftraggeber, nicht an die Öffentlichkeit. § 203 Abs. 4 Satz 2 Nr. 1 StGB und § 43e BRAO verlangen Prüfbarkeit gegenüber der Kanzlei vor der Beauftragung - keine öffentliche Vorab-Publikation. Gegenüber Ihnen als Auftraggeberin legen wir beide Dokumente vollständig offen: die vier gezeichneten Vertragspartner nennen wir namentlich, der EU-Betreiber offener Modelle wird nach Rolle und Region ausgewiesen und vor Vertragsschluss in den Vertragsunterlagen benannt.
Häufige Fragen zum Vertragskit
Muss ich mich registrieren, um das Kit zu bekommen?
Kann ich die Muster für einen anderen Anbieter verwenden?
In welchen Formaten bekomme ich die Dokumente?
Welchen Stand hat das Kit rechtlich?
Reicht der AVV-Baustein allein?
Kit gegen Ihr Setup prüfen
Wir gehen die Bausteine gegen Ihren geplanten oder laufenden KI-Einsatz durch - als technisch-organisatorische Einordnung, nicht als Rechtsberatung.