# DSFA-Vorlage (Art. 35 DSGVO) — mit Gosign-Zulieferbausteinen

> **v0.4 (2026-07-25) - intern mehrstufig rechtsgeprüft (zwei 10-Linsen-Audits 07/2026). Muster zur anwaltlichen Einzelfall-Anpassung, ohne Gewähr, ersetzt keine Rechtsberatung. Die externe anwaltliche Freigabe steht aus.**

Die DSFA obliegt dem Verantwortlichen (Kanzlei/Praxis); Gosign unterstützt
nach Art. 28 Abs. 3 lit. f DSGVO mit den folgenden Zulieferbausteinen.
Bei Berufsgeheimnis-Daten und KI-Einsatz ist eine DSFA regelmäßig
erforderlich (DSK-Orientierungshilfe KI 2024).

**1. Beschreibung der Verarbeitung (Gosign-Zulieferung):** Datenfluss
Kanzlei → Gosign-Gateway (Pseudonymisierung, transient) → Modell-Anbieter
(je Bezugsweg, siehe Trust-Center des Anbieters: preview.veryai.de/trust-center) →
Rückgabe (Wieder-Einsetzung) → Kanzlei. Keine Klartext-Persistenz im
Gateway; klartextfreies Audit-Protokoll.

**2. Notwendigkeit/Verhältnismäßigkeit (Kanzlei):** Zweck, Alternativen,
Datenminimierung (Pseudonymisierung als Maßnahme — sie ersetzt die
Rechtsgrundlage nicht).

**3. Risiken und Abhilfen (Gerüst):**

| Risiko | Abhilfe (Gosign-Baustein) | Rest-Risiko (Kanzlei bewertet) |
|---|---|---|
| Vertraulichkeitsbruch beim Anbieter | 203er-Kette, No-Human-Access-Konfigurationen, Zero-Retention | … |
| Re-Identifikation trotz Pseudonymisierung | Kontext-Minimierung, nutzerseitige Freigabe bei Unsicherheit | … |
| Drittlandzugriff (US-Wege) | TIA-Baustein, CLOUD-Act-freie Alternativwege | … |
| Fehlende Nachweisbarkeit | hash-verkettetes, klartextfreies Audit-Protokoll | … |

Bei hohem Restrisiko trotz Abhilfemaßnahmen: Vorabkonsultation der
Aufsichtsbehörde nach Art. 36 DSGVO.

**4. Konsultation/Dokumentation (Kanzlei):** DSB einbinden; Ergebnis
versionieren; Überprüfung bei Bezugsweg-Änderungen (Gosign informiert über
Subprozessoren-Änderungen vorab).