Elektronische Signatur und DSGVO: So prüfen Sie Anbieter datenschutzkonform

Wer in Deutschland elektronische Signaturen einsetzt, trägt als Verantwortlicher im Sinne der DSGVO volle Verantwortung – auch dann, wenn ein externer Dienst die Verarbeitung übernimmt. Die zentrale Frage lautet daher nicht nur, ob eine elektronische Signatur rechtlich wirksam ist, sondern ob der gewählte Anbieter die personenbezogenen Daten der Unterzeichnenden datenschutzkonform verarbeitet. Serverstandort, Auftragsverarbeitungsvertrag und technisch-organisatorische Maßnahmen sind die drei Achsen, an denen jede Prüfung ansetzt. Dieser Artikel zeigt Schritt für Schritt, worauf Unternehmen, Kanzleien und Behörden beim Anbietervergleich achten müssen, und erklärt, welche DSGVO-Pflichten auch nach Vertragsschluss fortbestehen.

Warum DSGVO und elektronische Signatur untrennbar zusammenhängen

Beim elektronischen Signieren werden zwangsläufig personenbezogene Daten verarbeitet: Name, E-Mail-Adresse, IP-Adresse, Zeitstempel und ggf. ein Identitätsnachweis fließen in den Signaturprozess ein. Jede dieser Angaben ist ein personenbezogenes Datum im Sinne von Art. 4 Nr. 1 DSGVO. Das bedeutet: Sobald ein Unternehmen einen externen Signaturservice nutzt, liegt Auftragsverarbeitung nach Art. 28 DSGVO vor – sofern der Anbieter im Auftrag und nach Weisung des Kunden handelt.

Auftragsverarbeitungsvertrag (AVV) – Pflicht, keine Option

Ein AVV ist keine freiwillige Zusatzvereinbarung, sondern eine gesetzliche Pflicht. Er muss vor dem ersten Datentransfer abgeschlossen werden und sämtliche in Art. 28 Abs. 3 DSGVO genannten Mindestinhalte abdecken: Gegenstand, Dauer, Art und Zweck der Verarbeitung, Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Fehlt ein AVV oder ist er unvollständig, kann die zuständige Datenschutzbehörde – in Deutschland auf Landes- und Bundesebene – Bußgelder verhängen. Prüfen Sie deshalb bei jedem Anbieter, ob ein rechtskonformer AVV im Vertragspaket enthalten ist und ob er tatsächlich den deutschen Anforderungen entspricht.

Rechtsgrundlage der Datenverarbeitung sicherstellen

Neben dem AVV braucht jede Datenverarbeitung eine eigene Rechtsgrundlage. Im Unternehmenskontext ist das meistens Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), wenn die Signatur im Rahmen eines Vertrags mit dem Unterzeichnenden erfolgt, oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse), wenn interne Genehmigungsprozesse digitalisiert werden. Dokumentieren Sie die gewählte Rechtsgrundlage im Verzeichnis der Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO.

Serverstandort und Drittlandübermittlung

Der Serverstandort entscheidet darüber, ob eine Drittlandübermittlung im Sinne von Art. 44 ff. DSGVO vorliegt. Verarbeitet der Anbieter alle Daten ausschließlich innerhalb des Europäischen Wirtschaftsraums (EWR), gelten die DSGVO-Standards automatisch. Sobald Daten in ein Land außerhalb des EWR übertragen werden – sei es in die USA, in die Schweiz oder anderswo –, sind zusätzliche Garantien erforderlich.

EWR-Standort: Was er bedeutet und was er nicht garantiert

Ein Serverstandort in Deutschland oder einem anderen EU-Mitgliedstaat ist ein gutes Indiz für DSGVO-Konformität, aber kein Freifahrtschein. Entscheidend ist, ob auch Subunternehmer des Anbieters (z. B. CDN-Dienste oder Backup-Anbieter) ausschließlich im EWR operieren. Art. 28 Abs. 2 DSGVO verpflichtet den Auftragsverarbeiter, seinerseits nur Unterauftragnehmer einzusetzen, die dieselben Datenschutzpflichten erfüllen. Fragen Sie den Anbieter ausdrücklich nach der vollständigen Sub-Auftragsverarbeiterkette.

Drittlandübermittlung: Standardvertragsklauseln und Angemessenheitsbeschlüsse

Werden Daten in die USA übermittelt, kann ein Angemessenheitsbeschluss der EU-Kommission eine zulässige Grundlage darstellen – sofern der amerikanische Empfänger unter dem jeweiligen Rahmen zertifiziert ist. Alternativ kommen die von der EU-Kommission verabschiedeten Standardvertragsklauseln (SCC) in Betracht. Wichtig: Standardvertragsklauseln allein reichen nicht immer aus. Seit dem Urteil des EuGH in der Rechtssache Schrems II müssen Unternehmen zusätzlich einen Transfer Impact Assessment (TIA) durchführen und dokumentieren, ob der Schutz im Empfängerland dem europäischen Standard faktisch entspricht. Eine allgemeine Orientierung bieten die Leitlinien des Europäischen Datenschutzausschusses (EDSA). Für die Schweiz gelten eigene Regeln auf Basis des Schweizer Datenschutzgesetzes (revDSG); Österreich untersteht als EU-Mitglied der DSGVO.

Technisch-organisatorische Maßnahmen (TOMs) des Anbieters

Art. 32 DSGVO schreibt vor, dass Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen ergreifen müssen. Als Verantwortlicher haften Sie auch für unzureichende TOMs Ihres Auftragsverarbeiters, wenn Sie die Prüfung fahrlässig vernachlässigt haben.

Welche TOMs Sie konkret abfragen sollten

Bitten Sie jeden Anbieter um eine TOM-Dokumentation und prüfen Sie mindestens: Verschlüsselung der Daten bei Übertragung und Speicherung, Zugriffskontrollen und Berechtigungskonzepte, Verfahren zur Datensicherung und Wiederherstellung, Prozesse zur Meldung von Datenpannen (Breach-Notification gemäß Art. 33 und 34 DSGVO) sowie Löschkonzepte. Seriöse Anbieter stellen diese Informationen proaktiv bereit oder lassen sie von unabhängigen Stellen auditieren.

Zertifizierungen als Orientierungshilfe

ISO-27001-Zertifizierungen oder SOC-2-Berichte sind keine DSGVO-Pflicht, aber ein nützlicher Hinweis darauf, dass ein Anbieter Informationssicherheit strukturiert betreibt. Verlassen Sie sich jedoch nicht allein auf Zertifikate; prüfen Sie zusätzlich, ob das Gültigkeitsdatum aktuell ist und ob der Geltungsbereich des Audits die für Sie relevanten Verarbeitungen abdeckt.

Signaturebenen und deren Datenschutzrelevanz

Die eIDAS-Verordnung unterscheidet drei Signaturebenen, die sich auch datenschutzrechtlich unterscheiden. Für einen detaillierten Überblick empfiehlt sich die Lektüre des Artikels zu den Unterschieden zwischen einfacher, fortgeschrittener und qualifizierter elektronischer Signatur.

Einfache und fortgeschrittene Signatur

Bei der einfachen elektronischen Signatur (EES) sind die verarbeiteten personenbezogenen Daten in der Regel gering: eine E-Mail-Adresse und ein Zeitstempel genügen häufig. Die fortgeschrittene elektronische Signatur (FES) erfordert eine eindeutige Zuordnung zum Unterzeichnenden sowie Mittel, die dieser unter seiner alleinigen Kontrolle hat – was typischerweise mehr Daten einschließt, z. B. eine Mobilfunknummer für OTP-Verfahren.

Qualifizierte Signatur und Identifizierungsdaten

Die qualifizierte elektronische Signatur (QES) verlangt eine zuverlässige Identitätsprüfung durch einen akkreditierten Vertrauensdiensteanbieter. Dabei fallen besonders sensible personenbezogene Daten an: Ausweiskopien, biometrische Referenzdaten aus Video-Ident-Verfahren oder vergleichbare Nachweise. Diese Daten unterliegen erhöhten Schutzanforderungen, und Sie sollten genau prüfen, wie lange der Anbieter sie speichert und auf welcher Rechtsgrundlage.

Praktische Checkliste: Anbieter DSGVO-konform auswählen

Fassen Sie Ihre Anbieterprüfung in einem strukturierten Prozess zusammen. Nutzen Sie dabei die Produktseite für elektronische Signaturen als Ausgangspunkt, um verschiedene Dienste miteinander zu vergleichen. Folgende Punkte sollte jede Checkliste umfassen:

• AVV vorhanden? Liegt ein vollständiger, unterzeichneter Auftragsverarbeitungsvertrag vor?
• Serverstandort dokumentiert? Ist bekannt, wo Daten gespeichert und verarbeitet werden?
• Sub-Auftragsverarbeiterkette transparent? Hat der Anbieter alle Unterauftragnehmer benannt?
• Drittlandtransfer geregelt? Falls ja: Welche Garantien (SCC, Angemessenheitsbeschluss)?
• TOM-Dokumentation verfügbar? Können Sie die technischen und organisatorischen Maßnahmen einsehen?
• Löschfristen festgelegt? Wann und wie werden Signaturdaten gelöscht?
• Betroffenenrechte umsetzbar? Kann der Anbieter Auskunfts-, Berichtigungs- und Löschpflichten unterstützen?

Wer Verträge wie Arbeitsverträge oder Mietverträge digital abwickelt, sollte zusätzlich die rechtssicheren Anforderungen beim digitalen Unterschreiben von Arbeitsverträgen kennen, um Formvorschriften nicht zu verletzen.

Wenn Ihr Unternehmen einfache und fortgeschrittene Signaturen für Alltagsdokumente einsetzt, lohnt auch ein Blick auf den Unterschied zwischen digitaler Signatur und elektronischer Signatur, um Missverständnisse bei internen Schulungen zu vermeiden.

Rechtlicher Rahmen

Der DSGVO-konforme Einsatz elektronischer Signaturen berührt mehrere Rechtsebenen gleichzeitig. Die folgenden Vorschriften bilden das Fundament, auf dem Prüfung und Dokumentation aufbauen müssen.

eIDAS-Verordnung (EU) 910/2014

Die eIDAS-Verordnung legt unionsweit einheitlich fest, welche Anforderungen einfache, fortgeschrittene und qualifizierte elektronische Signaturen erfüllen müssen, und bestimmt, welche Rechtswirkungen sie haben. Für die DSGVO-Prüfung ist besonders relevant, dass die Verordnung akkreditierte Vertrauensdiensteanbieter (TSP) definiert, die ihrerseits strengen Sicherheits- und Datenschutzauflagen unterliegen.

DSGVO (Verordnung (EU) 2016/679)

Art. 28 DSGVO verpflichtet Unternehmen, nur Auftragsverarbeiter zu beauftragen, die hinreichende Garantien bieten, und einen schriftlichen Vertrag abzuschließen. Art. 32 verlangt geeignete technische und organisatorische Maßnahmen. Art. 44 ff. regeln die Zulässigkeit von Drittlandübermittlungen. Art. 30 schreibt das Verzeichnis der Verarbeitungstätigkeiten vor, in dem Signaturprozesse zu dokumentieren sind.

BGB §126a (Elektronische Form)

§ 126a BGB bestimmt, dass die gesetzlich vorgeschriebene Schriftform durch eine qualifizierte elektronische Signatur ersetzt werden kann, wenn beide Parteien das Dokument mit einer QES versehen. Für Unternehmen hat dies unmittelbare Bedeutung, weil es die Wahl des Signaturanbieters auf solche einschränkt, die tatsächlich QES-fähig und eIDAS-konform sind.

ZPO §371a (Beweiskraft elektronischer Dokumente)

§ 371a ZPO regelt die Beweiskraft privater elektronischer Dokumente vor deutschen Gerichten. Ein Dokument, das mit einer qualifizierten elektronischen Signatur versehen ist, hat eine gesetzliche Vermutung der Echtheit. Diese Regelung macht die lückenlose Protokollierung des Signaturvorgangs durch den Anbieter – und damit auch die datenschutzkonforme Speicherung der Nachweise – zu einem faktischen Muss.

Vertrauensdienstegesetz (VDG)

Das VDG setzt die eIDAS-Verordnung in deutsches Recht um und benennt die Bundesnetzagentur als zuständige Aufsichtsbehörde für qualifizierte Vertrauensdiensteanbieter in Deutschland. Wer qualifizierte Signaturen ausstellen oder nutzen will, muss sicherstellen, dass der Anbieter in der deutschen Vertrauensliste (TSL) gelistet ist.

Für Österreich: Signatur- und Vertrauensdienstegesetz (SVG)

In Österreich gilt das SVG als nationale Umsetzung der eIDAS-Verordnung; die RTR-GmbH fungiert als Aufsichtsbehörde. Die datenschutzrechtlichen Pflichten entsprechen denen in Deutschland, da beide Staaten der DSGVO unterliegen.

Für die Schweiz: ZertES

Die Schweiz ist kein EU-Mitglied; dort gilt das Bundesgesetz über die elektronische Signatur (ZertES) sowie das revidierte Datenschutzgesetz (revDSG). Übermittlungen aus der EU in die Schweiz sind derzeit auf Basis eines Angemessenheitsbeschlusses der EU-Kommission zulässig, doch sollte die Aktualität dieses Beschlusses regelmäßig überprüft werden.

Anwendungsfälle

Mittelständisches Unternehmen digitalisiert seinen Vertragsworkflow

Ein produzierendes Unternehmen mit rund 200 Mitarbeitenden möchte Lieferantenverträge künftig digital abzeichnen lassen, um Postlaufzeiten zu vermeiden. Die Rechtsabteilung identifiziert zunächst, welche Vertragstypen eine bestimmte gesetzliche Form vorschreiben und welche formfrei sind. Anschließend wählt sie einen europäischen Signaturanbieter, dessen Server ausschließlich im EWR stehen, und schließt einen vollständigen AVV ab. Das Verzeichnis der Verarbeitungstätigkeiten wird um den neuen Prozess ergänzt. Ergebnis: Der Workflow ist rechtskonform, die Durchlaufzeit sinkt spürbar, und bei einer Routineprüfung durch die Datenschutzbehörde kann das Unternehmen alle erforderlichen Unterlagen sofort vorlegen.

Kanzlei setzt qualifizierte Signatur für beurkundungspflichtige Dokumente ein

Eine mittelgroße Rechtsanwaltskanzlei prüft, ob bestimmte Vollmachten per qualifizierter elektronischer Signatur ausgestellt werden können. Nach interner Prüfung der Formvorschriften stellt sie fest, dass für einige Dokumenttypen die QES ausreicht, während andere nach wie vor eine notarielle Beurkundung erfordern. Für die QES-fähigen Vollmachten wählt die Kanzlei einen in der deutschen Vertrauensliste (TSL) gelisteten Anbieter, klärt den Video-Ident-Prozess auf DSGVO-Konformität und informiert Mandanten in einer aktualisierten Datenschutzerklärung über die neue Verarbeitung. Die Kanzlei profitiert von schnelleren Mandatsprozessen, ohne Abstriche bei der Rechtssicherheit zu machen.

Wohnungsgesellschaft führt digitale Mietverträge ein

Eine gemeinnützige Wohnungsgesellschaft möchte Mietverträge künftig digital abschließen, um Neuvermietungen zu beschleunigen. Die Datenschutzbeauftragte klärt zunächst, auf welcher Rechtsgrundlage die Signatur- und Identifikationsdaten der Mietinteressenten verarbeitet werden dürfen, und legt die Speicherdauer im Einklang mit handels- und steuerrechtlichen Aufbewahrungsfristen fest. Da Mietverträge in Deutschland grundsätzlich formfrei sind – für Laufzeiten über einem Jahr empfiehlt sich aus Beweisgründen die Schriftform –, wählt die Gesellschaft die fortgeschrittene elektronische Signatur. Ein passender AVV wird mit dem Anbieter vereinbart, und die Datenschutzerklärung auf der Website wird aktualisiert. Weitere Hinweise zu Formfragen bei Mietverträgen finden sich im Artikel zum digitalen Unterschreiben von Mietverträgen.

Häufig gestellte Fragen

Brauche ich für jeden Signaturanbieter einen Auftragsverarbeitungsvertrag?

Ja, sofern der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet – was bei nahezu allen externen Signaturservices der Fall ist. Der AVV muss vor der ersten Datenübertragung abgeschlossen sein und alle Mindestinhalte nach Art. 28 Abs. 3 DSGVO enthalten. Fehlt er, riskieren Sie Bußgelder und haften im Schadensfall gegenüber betroffenen Personen.

Ist ein Serverstandort in Deutschland automatisch DSGVO-konform?

Nicht automatisch. Ein deutscher Serverstandort schließt Drittlandübermittlungen nicht aus, wenn Subdienstleister – etwa für CDN, Backup oder Support – außerhalb des EWR tätig sind. Fragen Sie den Anbieter nach der vollständigen Sub-Auftragsverarbeiterkette und lassen Sie sich bestätigen, dass alle beteiligten Stellen den DSGVO-Standards genügen.

Welche personenbezogenen Daten fallen beim elektronischen Signieren typischerweise an?

Mindestens Name, E-Mail-Adresse und IP-Adresse des Unterzeichnenden sowie ein Zeitstempel. Bei der qualifizierten Signatur kommen Ausweisdaten und ggf. biometrische Referenzdaten aus dem Identifizierungsverfahren hinzu. All diese Daten sind im Verzeichnis der Verarbeitungstätigkeiten zu erfassen und bedürfen einer Rechtsgrundlage nach Art. 6 DSGVO.

Wie lange darf ein Signaturanbieter die Signaturdaten speichern?

Die DSGVO schreibt keine einheitliche Speicherfrist vor; maßgeblich ist der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO). Daten dürfen nur so lange aufbewahrt werden, wie es der Verarbeitungszweck erfordert – ergänzt um eventuelle gesetzliche Aufbewahrungsfristen aus dem Handels- oder Steuerrecht. Vereinbaren Sie konkrete Löschfristen im AVV und prüfen Sie, ob der Anbieter diese technisch umsetzt.

Was passiert, wenn ein Anbieter eine Datenpanne hat?

Nach Art. 33 DSGVO muss der Auftragsverarbeiter Sie als Verantwortlichen unverzüglich informieren, sobald er von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt. Sie haben dann in der Regel 72 Stunden Zeit, die Panne der zuständigen Datenschutzbehörde zu melden. Stellen Sie sicher, dass der AVV diese Meldepflicht ausdrücklich regelt und dass der Anbieter einen definierten Incident-Response-Prozess vorweisen kann.

Fazit

Die datenschutzkonforme Nutzung elektronischer Signaturen ist kein einmaliges Projekt, sondern ein laufender Prozess. Wer einen Anbieter auswählt, muss Serverstandort, Auftragsverarbeitungsvertrag und technisch-organisatorische Maßnahmen systematisch prüfen – und diese Prüfung dokumentieren. Drittlandübermittlungen erfordern zusätzliche Schritte wie Standardvertragsklauseln oder Transfer Impact Assessments. Die Signaturebene beeinflusst dabei nicht nur die Rechtswirkung, sondern auch das Volumen und die Sensitivität der verarbeiteten personenbezogenen Daten.

Unternehmen, die jetzt handeln, schaffen rechtliche Sicherheit und bauen gleichzeitig Vertrauen bei Kunden und Geschäftspartnern auf. Wenn Sie einen ersten Überblick über einen DSGVO-bewussten Signaturservice gewinnen möchten, können Sie bei Certyneo kostenlos ein Konto erstellen oder direkt die Preisseite besuchen, um das passende Angebot für Ihr Unternehmen zu finden.