DSGVO und Datenhoheit bei elektronischen Signaturen erklären

• Je nach Verfahren fallen bei einer elektronischen Signatur personenbezogene Daten wie Name, Zeitstempel oder IP-Adresse an; bei biometrischer Erfassung kommen Merkmale wie Druckstärke, Schreibgeschwindigkeit und Zeitverlauf hinzu.
• Biometrische Signaturdaten können unter Art. 9 DSGVO fallen, wenn sie zur eindeutigen Identifizierung einer Person genutzt werden – entscheidend ist die konkrete technische Ausgestaltung.
• Bei einer Verarbeitung durch einen externen Anbieter braucht es in der Regel einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• signoSign/2 läuft lokal; signoSign/Universal ist On-Premises oder als in Deutschland gehostete SaaS-Lösung verfügbar.

Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall und keine individuelle Datenschutz-Folgenabschätzung.

Ist eine elektronische Signatur DSGVO-konform? Die kurze Antwort: Ja, wenn die Verarbeitung der dabei anfallenden Daten auf einer Rechtsgrundlage beruht, vertraglich mit dem Anbieter abgesichert ist und technisch so gestaltet wird, dass nur die notwendigen Daten erhoben und gespeichert werden. Entscheidend ist dabei weniger die Signatur selbst als die Frage, welche Daten im Hintergrund entstehen und wo sie landen.

Jede elektronische Signatur erzeugt mindestens Metadaten: den Namen der unterschreibenden Person, Datum und Uhrzeit, häufig die IP-Adresse und ein Hash-Wert des unterschriebenen Dokuments. Wird die Unterschrift auf einem signotec Unterschriftenpad handschriftlich erfasst, kommen biometrische Merkmale hinzu, etwa Schreibgeschwindigkeit, Druckverlauf und Zeitverlauf. Diese Merkmale dienen dazu, die Unterschrift im Streitfall einer Person zuordnen zu können – vergleichbar mit einer Unterschriftenprobe auf Papier, nur digital auswertbar.

Biometrische Daten gehören zu den besonders geschützten Datenkategorien, wenn sie zur eindeutigen Identifizierung einer Person verarbeitet werden. Art. 4 Nr. 14 DSGVO knüpft die Definition daran, dass die Daten eine eindeutige Identifizierung ermöglichen oder bestätigen; Art. 9 DSGVO verbietet die Verarbeitung solcher Daten grundsätzlich, sofern keine der dort genannten Ausnahmen greift. In der Praxis kommt je nach konkretem Zweck insbesondere eine ausdrückliche Einwilligung in Betracht. Die sonst häufig genutzte Rechtsgrundlage der Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO genügt für Art.-9-Daten allein nicht.

Bei signotec-Lösungen werden die biometrischen Rohdaten der Unterschrift verschlüsselt und manipulationssicher im PDF-Dokument verankert – nicht das Dokument selbst wird verschlüsselt, sondern die biometrischen Daten innerhalb des Dokuments. Sie werden nicht in einer zentralen Datenbank für Identifikationszwecke vorgehalten; sie dienen der nachträglichen Verifikation einer bereits bekannten Person, nicht der erstmaligen Identifizierung aus einer Datenmenge heraus. Diese Unterscheidung wird in der Praxis unterschiedlich bewertet. Unternehmen mit hohem Schutzbedarf sollten die Einordnung mit dem eigenen Datenschutzbeauftragten klären und im Verzeichnis von Verarbeitungstätigkeiten dokumentieren.

Läuft die Signaturlösung über einen externen Anbieter oder Vertrauensdiensteanbieter mit, verarbeitet dieser personenbezogene Daten im Auftrag. Dafür braucht es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, der unter anderem Zweck, Dauer, Art der Daten, betroffene Personengruppen, technische und organisatorische Maßnahmen sowie Löschfristen regelt. Wird für die qualifizierte elektronische Signatur ein Vertrauensdiensteanbieter eingebunden, kommt dessen eigene, gesetzlich vorgeschriebene Aufbewahrungspflicht für Signaturzertifikate hinzu – diese läuft unabhängig vom eigenen Löschkonzept des Unternehmens.

Ein zentraler Unterschied zu vielen Signaturlösungen: signoSign/2 läuft lokal auf dem Arbeitsplatzrechner oder Terminalserver. signoSign/Universal lässt sich On-Premises im eigenen Rechenzentrum betreiben. Signaturdaten und unterschriebene Dokumente verbleiben dadurch in der eigenen IT-Infrastruktur. Für Unternehmen mit strengen Compliance-Vorgaben, etwa im Gesundheitswesen oder in der Finanzbranche, kann das den Abstimmungsaufwand bei der Auftragsverarbeitung reduzieren, weil ein zusätzlicher externer Verarbeiter entfallen kann.

Wer signoSign/Universal als SaaS nutzt, kann den Speicherort ebenfalls klar einordnen: signotec weist für die Cloud-Lösung Hosting und Datenlokalität in Deutschland aus. Die Verarbeitung wird über einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geregelt, der Zweck, Dauer und technische Maßnahmen festlegt.

• Verarbeitungstätigkeit im Verzeichnis nach Art. 30 DSGVO dokumentieren, inklusive Zweck und Rechtsgrundlage
• Prüfen, ob biometrische Signaturdaten im konkreten Setup unter Art. 9 DSGVO fallen, und das Ergebnis dokumentieren
• Auftragsverarbeitungsvertrag mit dem Signaturanbieter beziehungsweise Vertrauensdiensteanbieter abschließen
• Speicherort der Daten klären: On-Premises, EU-Rechenzentrum oder Drittstaat
• Löschfristen für Signaturdaten festlegen, unter Berücksichtigung gesetzlicher Aufbewahrungspflichten für Zertifikate
• Betroffenenrechte technisch abbilden, etwa Auskunft über gespeicherte Signaturdaten

Sind biometrische Signaturdaten automatisch besonders geschützte Daten?

Nein, das hängt von der technischen Ausgestaltung und dem Verwendungszweck ab. Entscheidend ist, ob die Daten zur eindeutigen Identifizierung genutzt werden oder ausschließlich der Verifikation einer bereits bekannten Unterschrift dienen. Von dieser Einordnung hängt ab, welche Rechtsgrundlage Sie für die Verarbeitung brauchen.

Braucht jede elektronische Signatur eine Einwilligung nach DSGVO?

Nicht zwingend. Häufig stützt sich die Verarbeitung auf die Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO. Anders liegt es, wenn die biometrischen Signaturdaten im konkreten Setup unter Art. 9 DSGVO fallen. Dann genügt die Vertragserfüllung allein nicht; zusätzlich muss eine Ausnahme nach Art. 9 Abs. 2 DSGVO greifen, in der Praxis je nach Zweck beispielsweise die ausdrückliche Einwilligung.

Wie lange dürfen Signaturdaten gespeichert werden?

Das richtet sich nach dem Verarbeitungszweck und etwaigen gesetzlichen Aufbewahrungspflichten, etwa aus dem Handels- oder Steuerrecht. Eine pauschale Frist gibt es nicht.

Ist eine Cloud-Signaturlösung automatisch unzulässig?

Nein, auch Cloud-Lösungen können DSGVO-konform betrieben werden, sofern Auftragsverarbeitung, Speicherort und technische Maßnahmen entsprechend geregelt sind. On-Premises reduziert lediglich die Anzahl der beteiligten Verarbeiter.

Wer ist verantwortlich, wenn der Signaturanbieter Daten verliert?

Grundsätzlich bleibt das Unternehmen als Verantwortlicher gegenüber Betroffenen in der Pflicht, kann sich aber im Innenverhältnis über den Auftragsverarbeitungsvertrag beim Anbieter absichern.

DSGVO-Konformität bei elektronischen Signaturen ist kein Zustand, den ein Tool allein herstellt, sondern das Ergebnis von technischer Ausgestaltung, vertraglicher Absicherung und Dokumentation. Wer signoSign/2 lokal oder signoSign/Universal On-Premises betreibt, kann die Zahl der beteiligten Verarbeiter reduzieren. Für die SaaS-Variante von signoSign/Universal weist signotec Hosting in Deutschland aus. Sprechen Sie unser Team an, wenn Sie Ihr Signatursetup datenschutzkonform aufsetzen oder überprüfen möchten.