RGPD in der HR: Verarbeitung von Mitarbeiterdaten
Die DSGVO schreibt den HR-Abteilungen strenge Pflichten bei der Verarbeitung personenbezogener Daten von Mitarbeitern vor. Erfahren Sie, wie Sie diese praktisch umsetzen können.
9 min
Compliance-Leitfaden 2026
Elektronische Signatur und DSGVO: Leitfaden für DPOs
Die Einführung einer Lösung für elektronische Signaturen wirft mehrere DSGVO-Fragen auf: Wo werden die Daten gehostet? Wer kann darauf zugreifen? Besteht ein Cloud-Act-Risiko? Dieser Leitfaden beantwortet diese Fragen und erklärt, wie Sie eine DSGVO-konforme Lösung für Ihre Organisation auswählen.
Aktualisiert am
Welche personenbezogenen Daten verarbeitet eine Signature-Lösung?
Eine Plattform für elektronische Signaturen verarbeitet mehrere Kategorien personenbezogener Daten.
- Identität des Unterzeichners: Name, Vorname, E-Mail, Telefonnummer
- Dokumenteninhalt: möglicherweise sensible personenbezogene Daten (Arbeitsverträge, Gesundheitsdaten, Finanzdaten)
- Audit-Trail-Daten: IP-Adresse, Zeitstempel, User-Agent
- Verhaltensdaten: handschriftliche Signaturstroke auf Tablet (bei biometrischer QES)
Hosting und Transfers außerhalb der EU
Die DSGVO schreibt vor, dass personenbezogene Daten nur in Länder mit angemessenem Schutzniveau oder unter angemessenen Garantien (SCCs, BCRs) übertragen werden dürfen. Für Signaturlösungen bedeutet dies:
- EU-Hosting → natives Transfer, keine zusätzlichen Formalitäten
- US-Hosting mit SCCs → möglich, aber erhöhtes Cloud-Act-Risiko
- US-Entität (Cloud Act) → nicht zu beseitigendes Risiko auch mit EU-Hosting
Amerikanischer Cloud Act und elektronische Signatur
Der Cloud Act (2018) ermöglicht amerikanischen Behörden, auf Daten von amerikanischen Unternehmen zuzugreifen, auch wenn diese in Europa gespeichert sind. DocuSign, Adobe Sign und Dropbox Sign sind amerikanische Unternehmen, die dem Cloud Act unterliegen. Certyneo ist eine französische Entität und nicht dieser Extraterritorialität unterworfen.
| Solution | Cloud-Act-Risiko-Stufe pro Lösung |
|---|---|
| Certyneo | Kein Risiko — französische Entität |
| Yousign | Kein Risiko — französische Entität |
| DocuSign | Erhöhtes Risiko — amerikanische Entität |
| Adobe Acrobat Sign | Erhöhtes Risiko — amerikanische Entität |
| Dropbox Sign | Erhöhtes Risiko — amerikanische Entität |
DPA und rechtliche Grundlagen
Die Datenverarbeitung durch eine Signaturosung muss auf einer gültigen Rechtsgrundlage (Vertrag, berechtigtes Interesse oder Einwilligung) beruhen. Ein Data Processing Agreement (DPA) muss mit dem Signaturanbieter geschlossen werden. Certyneo bietet ein DGPR-konformes DPA an, das elektronisch signierbar ist und die Anforderungen von Artikel 28 der DGPR erfüllt.
Empfehlungen für DPOs
- 1Wählen Sie einen Anbieter, dessen juristische Entität in der EU oder im Vereinigten Königreich domiziliert ist (nach dem Brexit mit Angemessenheitsbeschluss)
- 2Überprüfen Sie, dass das Hosting ausschließlich in der EU erfolgt, ohne Replikation auf Servern außerhalb der EU
- 3Besorgen Sie sich einen DPA, der Artikel 28 der DSGVO entspricht, und unterzeichnen Sie ihn
- 4Dokumentieren Sie die Datenschutz-Folgenabschätzung (DSFA), wenn Sie sensible Daten in Ihren Dokumenten verarbeiten
- 5Überprüfen Sie die Aufbewahrungsdauer der Daten und die Löschrrichtlinie am Ende des Vertrags
DSGVO-Fragen zur elektronischen Signatur
- Beinhaltet eine elektronische Signatur die Verarbeitung personenbezogener Daten?
- Ja. Die E-Mail, der Name und möglicherweise die Telefonnummer des Unterzeichners werden erfasst. Der Inhalt der Dokumente kann ebenfalls personenbezogene Daten enthalten. Der Signaturanbieter ist ein Auftragsverarbeiter gemäß DSGVO und unterliegt den Verpflichtungen aus Artikel 28.
- Ist DocuSign DSGVO-konform?
- DocuSign behauptet, DSGVO-konform zu sein und bietet SCCs an. Als amerikanisches Unternehmen unterliegt es jedoch dem Cloud Act. Die CNIL hat darauf hingewiesen, dass der Cloud Act ein nicht eliminierbares Risiko für europäische Daten darstellt, die von US-amerikanischen Stellen gehostet werden, auch wenn sie sich in der EU befinden.
- Ist Certyneo DSGVO-konform?
- Ja. Certyneo ist ein französisches Unternehmen, das in der EU gehostet wird (IONOS Deutschland) und nicht dem Cloud Act unterliegt. Die Daten werden während der Übertragung (TLS 1.3) und im Ruhezustand verschlüsselt. Certyneo bietet einen DPA, der Artikel 28 der DSGVO entspricht.
- Ist eine DSFA für die Verwendung einer Signature-Lösung erforderlich?
- Eine DSFA ist nicht automatisch erforderlich für die Standard-Elektronische Signatur. Sie ist erforderlich, wenn Sie Dokumente mit sensiblen Daten unterzeichnen (Gesundheit, Personalwesen mit Gewerkschaftsdaten usw.) oder wenn Ihre Signaturnutzung ein Profiling oder eine großflächige Überwachung beinhaltet.
Empfohlene Artikel
DSGVO im HR: Verarbeitung von Mitarbeiterdaten
Die DSGVO verpflichtet Arbeitgeber zu strikten Regeln bei der Erfassung und Verarbeitung personenbezogener Daten ihrer Mitarbeiter. Erfahren Sie, wie Sie Ihre Konformität gewährleisten und Sanktionen vermeiden.
8 min
Elektronische Signatur HR & DSGVO: Vollständiger Leitfaden 2026
Zwischen eIDAS, DSGVO und Verwaltung personenbezogener Mitarbeiterdaten unterliegt die elektronische Signatur Ihrer HR-Dokumente strengen Regelungen. Erfahren Sie, wie Sie konform bleiben.
9 min
Digitale Signatur im Gesundheitswesen: DSGVO & HDS
Der Gesundheitssektor unterliegt den strengsten Anforderungen an digitale Compliance. Erfahren Sie, wie Sie eine rechtskonforme, DSGVO-conforme und HDS-zertifizierte digitale Signatur für Ihre Gesundheitseinrichtungen einsetzen.
9 min
DGPD in HR: Verarbeitung von Mitarbeiterdaten
DGPD und Personalwesen: Rechtsgrundlagen, Verarbeitungsregister, Aufbewahrungsfristen und Mitarbeiterrechte 2026.
4 min
Kundendatenschutz im E-Commerce: DSGVO-Konformität
DSGVO-Konformität für E-Commerce-Unternehmen: Datenschutzrichtlinie, Cookie-Einwilligung, Datensicherheit und elektronisch unterzeichnete Lieferantenverträge.
4 min