# Retention-Matrix · Muster-Mandanteneinwilligung · Transparenzhinweis

> **v0.4 (2026-07-25) - intern mehrstufig rechtsgeprüft (zwei 10-Linsen-Audits 07/2026). Muster zur anwaltlichen Einzelfall-Anpassung, ohne Gewähr, ersetzt keine Rechtsberatung. Die externe anwaltliche Freigabe steht aus.**

## 1. Aufbewahrungs-/Löschmatrix (Entwurf)

| Datenart | Ort | Aufbewahrung | Löschung |
|---|---|---|---|
| Klartext-Eingaben/-Ausgaben | Gosign-Gateway | keine Persistenz (transient) | sofort nach Verarbeitung |
| Pseudonym-Mappings | Gateway (mandantenverschlüsselt) | TTL [z. B. Sitzungsdauer/24 h] | automatisch nach TTL |
| Audit-Protokoll (klartextfrei, Hashes + Metadaten) | Gosign | 10 Jahre (Eigen-Policy¹) | danach Löschung |
| Buchungsbelege/Rechnungen | Gosign | 8 Jahre (§ 147 Abs. 3 S. 1 i.V.m. Abs. 1 Nr. 4 AO; § 257 Abs. 4 i.V.m. Abs. 1 Nr. 4 HGB - seit BEG IV 01.01.2025; Rechnungen zudem § 14b UStG - 8 Jahre) | danach Löschung |
| Bücher/Aufzeichnungen/Jahresabschlüsse | Gosign | 10 Jahre (§ 147 Abs. 3 S. 1 i.V.m. Abs. 1 Nr. 1 AO; § 257 Abs. 4 i.V.m. Abs. 1 Nr. 1 HGB) | danach Löschung |
| Handels-/Geschäftsbriefe u. sonstige bedeutsame Unterlagen | Gosign | 6 Jahre (Handels-/Geschäftsbriefe: § 147 Abs. 3 S. 1 i.V.m. Abs. 1 Nr. 2/3 AO, § 257 Abs. 4 i.V.m. Abs. 1 Nr. 2/3 HGB; sonstige für die Besteuerung bedeutsame Unterlagen: § 147 Abs. 1 Nr. 5 AO) | danach Löschung |
| Modell-seitige Verarbeitung | je Bezugsweg | Zero-Retention-Konfigurationen (Trust-Center des Anbieters: preview.veryai.de/trust-center) | — |

¹ Kein Handelsbuch/Buchungsbeleg i. S. d. § 147 AO/§ 257 HGB; Dauer als
selbstgewählte, DSGVO-geprüfte Frist mit dokumentierter Erforderlichkeit und
Löschkonzept nach Art. 17 DSGVO auszuweisen, nicht als GoBD-Pflicht. Für alle
Fristen gilt: Löschtrigger ist je Datensatz die längste einschlägige
gesetzliche Frist (Art. 5 Abs. 1 lit. e DSGVO) - keine pauschale
Über-Aufbewahrung, keine verfrühte Löschung entgegen § 147 AO/§ 257 HGB.

## 2. Muster-Einwilligung der Mandantschaft (soweit einschlägig)

„Ich willige ein, dass [Kanzlei] zur Bearbeitung meines Mandats
KI-gestützte Dienste der Gosign GmbH einsetzt. Dabei werden mandatsbezogene
Inhalte vor der Verarbeitung durch KI-Modelle pseudonymisiert; die
eingesetzten Dienstleister sind in Textform unter Belehrung über die
strafrechtlichen Folgen zur Verschwiegenheit verpflichtet (§ 43e BRAO /
§ 62a StBerG / § 50a WPO), strafrechtlich flankiert durch § 203 StGB, bzw.
technisch vom Klartext-Zugriff ausgeschlossen ([Bezugswege benennen]).
Diese Einwilligung ist freiwillig und mit Wirkung
für die Zukunft widerruflich; die Mandatsbearbeitung bleibt auch ohne
Einwilligung möglich [Alternative beschreiben]."
*(Erforderlichkeit je Berufsrecht prüfen: § 43e Abs. 5 BRAO, § 62a Abs. 5
StBerG und § 50a Abs. 5 WPO verlangen wortgleich die Einwilligung des
Mandanten, sobald ein Dienstleister unmittelbar einem einzelnen Mandat
dient. Bei genereller, mandatsübergreifender Kanzlei-Infrastruktur (§ 43e
Abs. 1–3 BRAO bzw. die parallelen Absätze in StBerG/WPO) ist die
Einwilligung nicht der Regelweg; dort genügen Textform-Vertrag und
Verschwiegenheitsverpflichtung des Dienstleisters.)*

### Beteiligten-Variante für Notare (§ 26a Abs. 4 BNotO)

„Ich willige als Beteiligte/r ein, dass [Notariat] zur Vorbereitung des
Amtsgeschäfts [Bezeichnung] KI-gestützte Dienste der Gosign GmbH einsetzt.
Dabei werden vorgangsbezogene Inhalte vor der Verarbeitung durch KI-Modelle
pseudonymisiert; die eingesetzten Dienstleister sind in Textform unter
Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit verpflichtet
(§ 26a Abs. 3 BNotO), strafrechtlich flankiert durch § 203 StGB, bzw.
technisch vom Klartext-Zugriff ausgeschlossen ([Bezugswege benennen]).
Diese Einwilligung ist freiwillig und mit Wirkung für die Zukunft
widerruflich; die Vornahme des Amtsgeschäfts bleibt auch ohne Einwilligung
möglich [Alternative beschreiben]."
*(§ 26a Abs. 4 BNotO verlangt die Einwilligung der Beteiligten, wenn die
Dienstleistung unmittelbar einem einzelnen Amtsgeschäft dient; bei
genereller, vorgangsübergreifender Infrastruktur des Notariats ist die
Einwilligung nicht der Regelweg - dort tragen Textform-Vertrag,
Belehrung und Kettenverpflichtung nach § 26a Abs. 2 und 3 BNotO.)*

## 3. Transparenzhinweis (Art. 13/14) — Baustein für die Datenschutzerklärung der Kanzlei

„Zur Unterstützung der Mandatsbearbeitung setzen wir KI-gestützte Dienste
der Gosign GmbH (Hamburg) ein. Inhalte werden vor der Verarbeitung
pseudonymisiert; es besteht ein Auftragsverarbeitungsvertrag nebst
Verschwiegenheits-Zusatzvereinbarung nach § 43e BRAO / § 62a StBerG /
§ 50a WPO (mit Belehrung über § 203 StGB). Verarbeitungsorte und
eingesetzte Unterauftragsverarbeiter: [Verweis auf Subprozessoren-Übersicht].
Speicherdauern: [Verweis auf Matrix]."