Das ist der Unterschied zu reinen Software-Anbietern: Ihre Daten unterliegen nicht nur einer Datenschutzerklärung, sondern dem strafbewehrten Berufsgeheimnis nach § 203 StGB, den Anforderungen des § 50a WPO und einem zweispurigen Vertragssystem. Wir bauen Cupel nicht für Prüfer. Wir sind der Prüfer.
Der Graben
Reine Software-Anbieter bauen für Prüfer. justReporting ist eine zugelassene Wirtschaftsprüfungsgesellschaft. Das macht einen rechtlichen Unterschied, der sich nicht durch eine Zertifizierung ausgleichen lässt.
§ 203 Abs. 1 Nr. 3 StGB
Wirtschaftsprüfer sind Berufsgeheimnisträger. Die unbefugte Offenbarung von Mandantengeheimnissen ist mit Freiheitsstrafe bis zu einem Jahr bewehrt. Das ist keine vertragliche Vertraulichkeitsklausel, sondern deutsches Strafrecht, stärker als jede ISO-Norm.
§ 50a WPO
§ 50a WPO (eingeführt 2017) erlaubt Prüfern den Einsatz externer IT-Dienstleister, einschließlich Cloud und KI, wenn sechs Anforderungen kumulativ erfüllt sind. Für justReporting ist das bindendes Berufsrecht, keine freiwillige Geste.
DSGVO Art. 28
Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO deckt personenbezogene Daten. Für Mandantengeheimnisse, die nicht unter die DSGVO fallen, stellen wir zusätzlich eine Verschwiegenheitsvereinbarung nach § 203 StGB bereit. Ein AVV allein genügt nicht.
§ 50a WPO
§ 50a WPO definiert die Voraussetzungen, unter denen Wirtschaftsprüfer externe IT-Dienstleister einsetzen dürfen. Cupel erfüllt alle sechs Anforderungen.
Sorgfältige Auswahl des Dienstleisters
§ 50a Abs. 2 S. 1
Vertrag in Textform
§ 50a Abs. 3 S. 1
Verschwiegenheitspflicht mit strafrechtlicher Belehrung
§ 50a Abs. 3 S. 2 Nr. 1
Need-to-know-Prinzip
§ 50a Abs. 3 S. 2 Nr. 2
Regelung der Unterauftragskette
§ 50a Abs. 3 S. 2 Nr. 3
Recht auf sofortige Kündigung
§ 50a Abs. 2 S. 2
Ihr Vertrag besteht mit der justReporting GmbH Wirtschaftsprüfungsgesellschaft, nicht mit AWS und nicht mit Anthropic. Wir stellen sowohl den AVV als auch die Verschwiegenheitsvereinbarung nach § 203 StGB bereit. Dieses Modell des verantwortlichen Dienstleisters ist von WPK und Fachliteratur ausdrücklich als zulässiger Weg anerkannt.
KI und Ihre Daten
Pauschalaussagen helfen niemandem. Hier ist genau, was technisch geschieht, getrennt nach Modell, Nutzerbereich und Referenzspeicher.
Weder AWS noch Anthropic noch Cupel nutzen Ihre Inhalte als Trainingsdaten. Die Inhalte werden zustandslos verarbeitet und, wo nötig, ausschließlich als Embeddings für die Referenzsuche verwendet, niemals zum Training von Modellen. AWS Bedrock garantiert dies vertraglich.
Cupel arbeitet mit strikter Nutzerisolation. Ihre hochgeladenen Berichte, Kommentare und Referenzen sind ausschließlich in Ihrem Bereich verfügbar und werden niemals an andere Nutzer weitergegeben. Die Vertraulichkeit über Mandate hinweg ist konstruktiv abgesichert.
Bestätigen Sie einen Kommentar, wird diese Entscheidung als Embedding gespeichert und verbessert die Vorschläge ausschließlich für Ihre eigenen Prüfungen. Das ist ein Hilfsmittel zur Referenzsuche, kein Modelltraining. Sie können dieser Nutzung jederzeit widersprechen.
Infrastruktur
Alle Daten werden in AWS Frankfurt (eu-central-1) verarbeitet und gespeichert. Kein Transfer in Nicht-EU-Regionen, zu keinem Zeitpunkt.
EU-Datenhaltung
Verschlüsselung
KI-Infrastruktur
Andere KI-Tools versprechen Vertraulichkeit. Cupel haftet dafür, strafbewehrt, als zugelassene Wirtschaftsprüfungsgesellschaft.
Wer hier Daten preisgibt, riskiert keine Vertragsstrafe, sondern Freiheitsstrafe bis zu einem Jahr. Die stärkste Vertraulichkeitszusage, die das deutsche Recht kennt.
Sie schließen mit der justReporting GmbH Wirtschaftsprüfungsgesellschaft ab, nicht mit einem Startup. § 50a WPO ist für uns bindendes Berufsrecht.
Betrieb in AWS Frankfurt, In-Region-Routing, AES-256 verschlüsselt. Daten verlassen die Europäische Union nicht.
Eine ISO-Norm beschreibt einen Prozessstandard. Das Berufsgeheimnis nach § 203 StGB ist eine strafbewehrte Pflicht des deutschen Rechts und damit die stärkste Vertraulichkeitszusage, die ein Anbieter machen kann. Wir bereiten die ISO-27001-Zertifizierung vor. Unsere zentrale Zusage ist eine andere: Cupel ist selbst eine WPG.
Roadmap
Wir zeigen die Lücken, statt sie zu verschweigen. ISO 27001 ist die Stärke reiner Software-Anbieter. Unser Graben ist ein anderer: die Rechtsform. Hier ist, was auf der Roadmap steht.
ISO-27001-Zertifizierung
geplant für 2027
Erster externer Penetrationstest
geplant für H2 2026
SSO und SAML-Föderation
Enterprise-Stufe, geplant Q4 2026
BSI-C5-Testat
für regulierte Kunden, in Prüfung
BYOK (eigener Verschlüsselungsschlüssel)
Enterprise-Stufe, in Prüfung
Transparenz ist unsere Antwort auf fehlende Zertifikate. Eine ISO-Zertifizierung ist ein freiwilliger Standard. § 203 StGB ist deutsches Strafrecht und gilt für uns ab dem ersten Tag.
Tragen Sie sich ein und sichern Sie sich frühen Zugang zu Cupel. Wir melden uns persönlich, Beta-Teilnehmer erhalten Sonderkonditionen zum Marktstart.