DSG-konform. ZertES-konform. Haken dran? Ganz so einfach ist die Auswahl einer DSG- und ZertES-konformen elektronischen Signatur nicht. Zwei Anbieter können mit ähnlichen Compliance-Begriffen werben und sich bei Datenresidenz, QES, Zertifizierungsstellen und der Abdeckung weiterer Rechtsräume trotzdem deutlich unterscheiden. Genau diese Unterschiede sollten Sie kennen, bevor Sie sich festlegen.
In der Schweiz wird in der Praxis zwischen der einfachen elektronischen Signatur (EES), der fortgeschrittenen elektronischen Signatur (FES) und der qualifizierten elektronischen Signatur (QES) unterschieden. Die drei Standards unterscheiden sich bei Beweiskraft, Identitätsbezug und rechtlicher Wirkung. Das ZertES regelt dabei die QES, EES und FES sind nicht als Signaturen nach ZertES geregelt.
| EES | FES | QES | |
|---|---|---|---|
Beweiskraft | Basic | Hoch | Maximal |
Geprüfte Identität | Nein | Nicht zwingend per Ausweisdokument | Ja |
Typische Fälle | Interne Freigaben, formfreie Vereinbarungen | Verträge mit höherem Beweisinteresse | Dokumente mit gesetzlicher Schriftform |
Besonderheit | Niedrigste Hürde | Stärkere Zuordnung zur signierenden Person | Der eigenhändigen Unterschrift rechtlich gleichgestellt |
Die EES ist der niedrigste der drei in der Praxis genutzten E-Signatur-Standards. Sie eignet sich für viele formfreie Vorgänge, bei denen das Gesetz keine Schriftlichkeit verlangt, zum Beispiel interne Freigaben oder einfache Vereinbarungen. Die EES ist nicht als Signatur nach ZertES geregelt und bietet eine geringere Beweiskraft als FES und QES.
Bei der FES lässt sich die Signatur stärker einer Person zuordnen. Zudem lässt sich erkennen, wenn sich signierte Daten nachträglich verändern. Das erhöht die Beweiskraft gegenüber der EES. Auch die FES ist nicht als Signatur nach ZertES geregelt und kommt vor allem bei formfreien Dokumenten mit höherem Beweisinteresse infrage.
Die QES bietet die höchste Beweiskraft und ist im ZertES geregelt. Sie setzt eine geprüfte Identität und ein qualifiziertes Zertifikat voraus. In Verbindung mit einem qualifizierten elektronischen Zeitstempel ist sie gemäss Art. 14 Abs. 2bis OR der eigenhändigen Unterschrift gleichgestellt, sofern keine abweichende gesetzliche oder vertragliche Regelung gilt.
DSG, ZertES und eIDAS regeln verschiedene Teile des elektronischen Signierens. Wer die Begriffe gleichsetzt, vermischt Datenschutz mit der rechtlichen Einordnung elektronischer Signaturen. Für Organisationen mit Geschäftsbeziehungen in der Schweiz und der EU lohnt sich daher die klare Trennung.
Drei Regelwerke, drei Bereiche
Das ZertES schafft in der Schweiz den rechtlichen Rahmen für Zertifizierungsdienste und die qualifizierte elektronische Signatur. Es regelt unter anderem die Anerkennung von Anbieterinnen von Zertifizierungsdiensten sowie die Vorgaben für qualifizierte Zertifikate und Zeitstempel.
Für eine QES nach Schweizer Recht ist eine nach ZertES anerkannte Zertifizierungsstelle nötig. Sie stellt das qualifizierte Zertifikat bereit, auf dem die QES beruht.
Das DSG beantwortet eine andere Frage: Wie dürfen Personendaten beim Signieren bearbeitet werden? Dazu gehören unter anderem:
Eine DSG-konforme Datenbearbeitung sagt daher nichts darüber aus, ob eine EES, FES oder QES zum Einsatz kommt. Beim Datenschutz einer elektronischen Signatur zählt, wie Personendaten bearbeitet und geschützt werden.
Für elektronische Signaturen in der EU gilt die eIDAS-Verordnung. ZertES und eIDAS bilden zwei getrennte Rechtsrahmen, daher ist eine QES nach Schweizer Recht nicht automatisch eine QES nach EU-Recht. Organisationen, die in beiden Rechtsräumen signieren, sollten deshalb prüfen, welche QES der jeweilige E-Signatur-Service bereitstellt.
«DSG-konform» und «ZertES-konform» sind wichtige Angaben, für einen E-Signatur-Service im Schweizer Markt aber kein ausreichendes Qualitätsversprechen. Beide Regelwerke betreffen unterschiedliche rechtliche Bereiche. Wer einen Anbieter auswählt, sollte diese Aussagen daher eher als Grundvoraussetzung verstehen.
Das liegt auch daran, dass beide Begriffe nur einen Teil der tatsächlichen Nutzung beschreiben. Ein Service kann das DSG einhalten und trotzdem Daten ausserhalb der Schweiz bearbeiten. Zudem sagt «ZertES-konform» vor allem etwas über die nach ZertES geregelte QES aus, EES und FES sind nicht als Signaturen nach ZertES geregelt.
Was die beiden Aussagen nicht verraten
«DSG-konform» sagt noch nicht, wo Ihre Personendaten bearbeitet werden, welche weiteren Dienstleister beteiligt sind oder welche Sicherheitsnachweise vorliegen.
«ZertES-konform» sagt noch nicht, ob zusätzlich EES und FES verfügbar sind, welche anerkannte Zertifizierungsstelle hinter der QES steht oder welche Identifikationsmethoden angeboten werden.
Auch grosse internationale E-Signatur-Services bieten Funktionen für den Schweizer Markt an. Allein mit einem DSG- oder ZertES-Hinweis lässt sich daher kaum erkennen, welcher Anbieter zum eigenen Einsatz passt.
Lars Nuschke, Senior Partnership Manager, SkribbleDatensouveränität = Hauptsache nicht USA. So einfach ist es nicht. [...] Souveränität ist etwas anderes als seine Daten möglichst weit von Nordamerika fernzuhalten. Souveränität ist: wissen, was man tut.
Wer nach der besten E-Signatur-Software mit DSG-Konformität sucht, sollte sich nicht allein auf ein Compliance-Label verlassen. Sobald die rechtliche Basis geklärt ist, lohnt sich der Blick auf die Merkmale, bei denen sich E-Signatur-Services tatsächlich unterscheiden. Dabei geht es sowohl um Rechtsräume und Sicherheit als auch darum, wie gut sich der Service in bestehende Abläufe einfügt.
Eine Vergleichstabelle hilft, Marketingaussagen durch konkrete Prüfpunkte zu ersetzen:
| Bereich | Darauf sollten Sie achten |
|---|---|
Abgedeckte E-Signatur-Standards | Sind EES, FES und QES verfügbar oder müssen Sie für einzelne Standards weitere Anbieter nutzen? |
Rechtsräume | Unterstützt der Service ausschliesslich Schweizer Recht nach ZertES oder zusätzlich EU-Recht nach eIDAS? |
QES-Bereitstellung | Welche anerkannte Zertifizierungsstelle steht hinter der QES und wird diese klar genannt? |
Datenresidenz | In welchen Ländern liegen Dokumente und weitere Personendaten tatsächlich? |
Sicherheitsnachweise | Gibt es überprüfbare Zertifizierungen, etwa nach ISO 27001, sowie dokumentierte Verschlüsselung und Audit Trails? |
Technische Einbindung | Lassen sich vorhandene Systeme über API, Plug-ins oder Single Sign-On anbinden? |
Nutzung im Alltag | Können externe Signierende ohne Konto unterschreiben und lassen sich Signatur-Reihenfolgen oder Erinnerungen einrichten? |
Support | Gibt es persönliche Ansprechpersonen und Unterstützung in der benötigten Sprache? |
Gerade die Kombination dieser Punkte schafft ein belastbares Gesamtbild. Ein Anbieter kann bei der rechtlichen Basis vergleichbar erscheinen, sich bei Rechtsräumen, Nachweisen, Einbindung und Nutzung im Alltag aber deutlich von anderen Services unterscheiden.
Was Nutzenden bei Integrität und Sicherheit wichtig ist
65 % wünschen eine klare Zuordnung der Signatur zu einer Person oder Firma.
64 % nennen die Unveränderbarkeit des Dokuments nach der Signatur.
63 % achten auf eine einfache Prüfung der Gültigkeit.
Quelle: Skribble E-Signing-Report
Wer Dokumente sowohl in der Schweiz als auch in der EU unterschreiben lässt, trifft auf zwei getrennte Rechtsrahmen. In der Schweiz gilt ZertES, in der EU eIDAS. Wir verbinden beide innerhalb derselben E-Signing-Plattform, sodass Sie nicht für jeden Rechtsraum einen separaten Service einführen müssen.
Zwei Rechtsräume, ein Zugang
Mit Skribble stehen Ihnen EES, FES und QES in einer E-Signing-Plattform zur Verfügung. Bei der QES unterstützen wir sowohl qualifizierte elektronische Signaturen nach Schweizer Recht als auch nach EU-Recht.
Für qualifizierte elektronische Signaturen arbeiten wir mit Swisscom (Schweizer Recht und EU-Recht) und A-Trust (EU-Recht) zusammen. So bleibt nachvollziehbar, welcher Dienst hinter einer qualifizierten Signatur steht.
Hinzu kommen weitere Punkte, die gerade für Organisationen im DACH-Raum relevant sind:
Damit verbindet Skribble rechtliche Abdeckung für EU und Schweiz mit einer gemeinsamen Plattform für den täglichen Signaturprozess.
Sven Siegin, Head of Risk Management and Compliance, Korean Reinsurance Switzerland AGWir analysierten die verschiedenen Anbieter. Zentrales Kriterium war für uns die Abdeckung aller E-Signatur-Standards und ganz besonders eine vollintegrierte und benutzerfreundliche Lösung für die QES. Zudem bietet Skribble einfache Lösungen für die für QES erforderliche Identifikation nach Schweizer und EU-Recht an.
Welcher E-Signatur-Standard passt, richtet sich zuerst nach den gesetzlichen Formvorgaben des jeweiligen Dokuments. Erst danach stellt sich die Frage, wie viel Beweiskraft Sie zusätzlich wünschen. Eine QES ist deshalb nicht automatisch für jedes Dokument nötig.
Für die erste Einordnung hilft diese Abstufung:
| Dokument | Passender E-Signatur-Standard | Warum? |
|---|---|---|
Formfreier Vorgang mit geringem Beweisinteresse | EES | Keine gesetzliche Schriftform, einfache Zuordnung reicht häufig aus |
Formfreier Vertrag mit höherem Beweisinteresse | FES | Stärkere Zuordnung zur signierenden Person und höhere Beweiskraft |
Dokument mit gesetzlicher Schriftform | QES | Mit qualifiziertem Zeitstempel nach Art. 14 Abs. 2bis OR der eigenhändigen Unterschrift gleichgestellt |
Elektronische Form gesetzlich ausgeschlossen | Keine E-Signatur als Ersatz | Die vorgeschriebene Form muss eingehalten werden |
Praxis-Tipp: Prüfen Sie zuerst, welche Form das Gesetz für Ihr Dokument vorsieht. Bei formfreien Dokumenten können Sie anschliessend anhand des gewünschten Beweiswerts zwischen EES, FES und QES wählen.
Gerade bei wiederkehrenden Vorgängen kann es sinnvoll sein, mehrere E-Signatur-Standards innerhalb derselben Plattform bereitzuhalten. So lässt sich beispielsweise eine interne Freigabe mit EES abbilden, während für einen Vertrag mit höherem Beweisinteresse FES oder bei gesetzlicher Schriftform QES zum Einsatz kommt.
Nach der rechtlichen Einordnung geht es an die Auswahl. Statt sich auf allgemeine Aussagen zu Datenschutz oder Rechtsgültigkeit zu verlassen, sollten Sie konkrete Nachweise und Funktionen prüfen. Dabei hilft eine kurze Checkliste, die rechtliche, technische und praktische Punkte zusammenführt.
Auch die Bedienbarkeit verdient einen Platz auf Ihrer Checkliste. 84 % der Nutzenden bewerten Benutzerfreundlichkeit als sehr wichtig, 53 % heben hervor, dass externe Personen ohne Konto signieren können. Das zeigt: Rechtliche und technische Prüfpunkte sind nur ein Teil der Anbieterwahl.
Checkliste für Ihre Auswahl:
Auch die Nutzung im Alltag sollte in die Prüfung einfliessen. Dazu gehört etwa, ob externe Personen ohne Konto signieren können, Signatur-Reihenfolgen verfügbar sind und sich Erinnerungen zum Signieren einstellen lassen.
Die Anbieterwahl strukturiert durchgehen:
5 Schritte, um den passenden E-Signing-Anbieter zu finden
DSG und ZertES bilden in der Schweiz die datenschutz- und signaturrechtliche Basis für den Einsatz elektronischer Signaturen. Für die Auswahl eines E-Signatur-Services reicht ein entsprechendes Label jedoch nicht. Aussagekräftiger sind überprüfbare Angaben dazu, welche E-Signatur-Standards verfügbar sind, wo Personendaten bearbeitet werden, welche Zertifizierungsstelle hinter einer QES steht und welche Sicherheitsnachweise der Anbieter vorlegt.
Für Geschäftsbeziehungen mit der EU kommt ein weiterer Punkt hinzu: ZertES und eIDAS bilden getrennte Rechtsrahmen. Wer in beiden Märkten unterschreiben lässt, sollte deshalb prüfen, ob der gewählte Service QES nach beiden Rechtsordnungen bereitstellt.
Wir verbinden bei Skribble EES, FES und QES in einer E-Signing-Plattform und ermöglichen QES nach Schweizer und EU-Recht. Dazu kommen Hosting in der Schweiz oder Deutschland, ISO-27001-Zertifizierung, dokumentierte Verschlüsselung sowie persönliche Unterstützung.
Raus aus dem Papierkram. Rein in den digitalen Flow.
ZertES schafft den Schweizer Rechtsrahmen für qualifizierte elektronische Signaturen, eIDAS regelt diesen Bereich in der EU. Da beide Rechtsräume getrennt sind, ist eine QES nach Schweizer Recht nicht automatisch eine QES nach EU-Recht und umgekehrt. Organisationen, die in der Schweiz und der EU tätig sind, sollten daher prüfen, ob ihr E-Signatur-Service QES nach beiden Rechtsordnungen bereitstellt.
Einfach. Zertifiziert. Integriert. Lokal.
Kostenlose Testphase verfügbar.
Keine Kreditkarte nötig.
Nutzbar auf Deutsch, Englisch, Französisch und Italienisch.
Skribble
