DSGVO-konform. eIDAS-konform. Haken dran? Ganz so einfach ist die Auswahl einer DSGVO- und eIDAS-konformen elektronischen Signatur nicht. Zwei Anbieter können mit denselben Compliance-Begriffen werben und sich bei Datenresidenz, QES, Vertrauensdiensteanbietern und Schweizer ZertES trotzdem deutlich unterscheiden. Genau diese Unterschiede sollten Sie kennen, bevor Sie sich festlegen.
Die eIDAS-Verordnung unterscheidet drei E-Signatur-Standards: EES, FES und QES. Alle drei können rechtsgültig sein, unterscheiden sich jedoch bei Beweiskraft, Identitätsbezug und rechtlicher Wirkung. „eIDAS-konform“ bedeutet deshalb nicht, dass jede elektronische Signatur dasselbe leistet.
| EES | FES | QES | |
|---|---|---|---|
Beweiskraft | Basic | Hoch | Maximal |
Geprüfte Identität | Nein | Nicht zwingend per Ausweisdokument | Ja |
Typische Fälle | Interne Freigaben, formfreie Vereinbarungen | Verträge mit höherem Beweisinteresse | Dokumente mit gesetzlicher Schriftform |
Besonderheit | Niedrigste Hürde | Stärkere Zuordnung zur signierenden Person | Der handschriftlichen Unterschrift rechtlich gleichgestellt |
Die EES ist der niedrigste eIDAS-Standard. Sie eignet sich für viele formfreie Vorgänge, bei denen das Gesetz keine Schriftform verlangt. Dazu zählen zum Beispiel interne Freigaben oder einfache Vereinbarungen. Eine elektronische Signatur verliert ihre Rechtswirkung dabei nicht allein deshalb, weil sie elektronisch abgegeben wurde.
Bei der FES lässt sich die Signatur stärker einer Person zuordnen. Zudem muss erkennbar sein, wenn sich signierte Daten nachträglich verändern. Das erhöht die Beweiskraft gegenüber der EES. Die FES kommt daher infrage, wenn bei formfreien Dokumenten ein stärkerer Nachweis gewünscht ist.
Die QES bietet die höchste Beweiskraft. Sie setzt eine geprüfte Identität und ein qualifiziertes Zertifikat voraus. In Deutschland kann die QES gemäß § 126a BGB die gesetzliche Schriftform elektronisch ersetzen, sofern die elektronische Form zulässig ist.
DSGVO, eIDAS und ZertES regeln verschiedene Teile des elektronischen Signierens. Wer die Begriffe gleichsetzt, vermischt Datenschutz mit der rechtlichen Einordnung einer elektronischen Signatur. Vor allem bei Geschäftsbeziehungen zwischen EU und Schweiz lohnt sich daher die klare Trennung.
Drei Regelwerke, drei Bereiche
eIDAS schafft den rechtlichen Rahmen für elektronische Signaturen und Vertrauensdienste innerhalb der EU. Sie definiert EES, FES und QES und legt fest, welche Kriterien für die jeweiligen Standards gelten.
Bei der QES kommt ein qualifizierter Vertrauensdiensteanbieter hinzu. Er stellt den entsprechenden Vertrauensdienst bereit und unterliegt den Regeln der eIDAS.
Die DSGVO beantwortet eine andere Frage: Wie dürfen personenbezogene Daten beim Signieren verarbeitet werden? Dazu gehören unter anderem:
Eine DSGVO-konforme Verarbeitung sagt daher nichts darüber aus, ob eine EES, FES oder QES zum Einsatz kommt. Für eine digitale Signatur unter der DSGVO zählt nur, wie personenbezogene Daten verarbeitet und geschützt werden.
ZertES regelt elektronische Signaturen und Zertifizierungsdienste in der Schweiz. Die Schweiz gehört nicht zur EU, daher bilden ZertES und eIDAS zwei getrennte Rechtsrahmen. Eine qualifizierte elektronische Signatur nach Schweizer Recht erfüllt folglich nicht automatisch die Vorgaben nach EU-Recht. Gleiches gilt umgekehrt.
„DSGVO-konform“ und „eIDAS-konform“ sind wichtige Angaben, für einen E-Signatur-Service im europäischen Markt aber kein ausreichendes Qualitätsversprechen. Beide Regelwerke setzen den rechtlichen Rahmen. Wer einen Anbieter auswählt, sollte diese Aussagen daher eher als Grundvoraussetzung verstehen.
Das liegt auch daran, dass beide Begriffe nur einen Teil der tatsächlichen Nutzung beschreiben. Ein Service kann die DSGVO einhalten und trotzdem Daten außerhalb Deutschlands speichern. Ebenso kann ein Anbieter nach eIDAS arbeiten, ohne alle drei E-Signatur-Standards EES, FES und QES bereitzustellen.
Was die beiden Aussagen nicht verraten
„DSGVO-konform“ sagt noch nicht, wo Ihre Daten liegen, welche weiteren Dienstleister darauf zugreifen oder welche Sicherheitsnachweise vorliegen.
„eIDAS-konform“ sagt noch nicht, welche E-Signatur-Standards verfügbar sind, wer eine QES bereitstellt oder welche Identifikationswege dafür genutzt werden.
Auch große internationale E-Signatur-Services arbeiten nach den europäischen Vorgaben. Allein mit einem DSGVO- oder eIDAS-Hinweis lässt sich daher kaum erkennen, welcher Anbieter besser zum eigenen Einsatz passt.
Lars Nuschke, Senior Partnership Manager, SkribbleDatensouveränität = Hauptsache nicht USA. So einfach ist es nicht. [...] Souveränität ist etwas anderes als seine Daten möglichst weit von Nordamerika fernzuhalten. Souveränität ist: wissen, was man tut.
Wer nach der besten E-Signatur-Software mit DSGVO-Konformität sucht, sollte sich nicht allein auf ein Compliance-Label verlassen. Sobald die rechtliche Basis geklärt ist, lohnt sich der Blick auf die Merkmale, bei denen sich E-Signatur-Services tatsächlich unterscheiden. Dabei geht es sowohl um Rechtsräume und Sicherheit als auch darum, wie gut sich der Service in bestehende Abläufe einfügt.
Eine Vergleichstabelle hilft, Marketingaussagen durch konkrete Prüfpunkte zu ersetzen:
| Bereich | Darauf sollten Sie achten |
|---|---|
Abgedeckte E-Signatur-Standards | Sind EES, FES und QES verfügbar oder müssen Sie für einzelne Standards weitere Anbieter nutzen? |
Rechtsräume | Unterstützt der Service ausschließlich EU-Recht oder zusätzlich Schweizer Recht nach ZertES? |
QES-Bereitstellung | Welcher qualifizierte Vertrauensdiensteanbieter steht hinter der QES und wird dieser klar genannt? |
Datenresidenz | In welchen Ländern liegen Dokumente und weitere personenbezogene Daten tatsächlich? |
Sicherheitsnachweise | Gibt es überprüfbare Zertifizierungen, etwa nach ISO 27001, sowie dokumentierte Verschlüsselung und Audit Trails? |
Technische Einbindung | Lassen sich vorhandene Systeme über API, Plug-ins oder Single Sign-On anbinden? |
Nutzung im Alltag | Können externe Signierende ohne Konto unterschreiben und lassen sich Signatur-Reihenfolgen oder Erinnerungen einrichten? |
Support | Gibt es persönliche Ansprechpersonen und Unterstützung in der benötigten Sprache? |
Gerade die Kombination dieser Punkte schafft ein belastbares Gesamtbild. Ein Anbieter kann bei der rechtlichen Basis vergleichbar erscheinen, sich bei Rechtsräumen, Nachweisen, Einbindung und Nutzung im Alltag aber deutlich von anderen Services unterscheiden.
Was Nutzenden bei Integrität und Sicherheit wichtig ist
65 % wünschen eine klare Zuordnung der Signatur zu einer Person oder Firma.
64 % nennen die Unveränderbarkeit des Dokuments nach der Signatur.
63 % achten auf eine einfache Prüfung der Gültigkeit.
Quelle: Skribble E-Signing-Report
Wer Dokumente sowohl in der EU als auch in der Schweiz unterschreiben lässt, trifft auf zwei getrennte Rechtsrahmen. In der EU gilt eIDAS, in der Schweiz ZertES. Wir verbinden beide innerhalb derselben E-Signing-Plattform, sodass Sie nicht für jeden Rechtsraum einen separaten Service einführen müssen.
Zwei Rechtsräume, ein Zugang
Mit Skribble können Sie EES, FES und QES nach EU-Recht sowie elektronische Signaturen nach Schweizer Recht nutzen.
Für qualifizierte elektronische Signaturen arbeiten wir mit Swisscom (Schweizer Recht und EU-Recht) und A-Trust (EU-Recht) zusammen. So bleibt nachvollziehbar, welcher Dienst hinter einer qualifizierten Signatur steht.
Hinzu kommen weitere Punkte, die gerade für Organisationen im DACH-Raum relevant sind:
Damit verbindet Skribble rechtliche Abdeckung für EU und Schweiz mit einer gemeinsamen Plattform für den täglichen Signaturprozess.
Sven Siegin, Head of Risk Management and Compliance, Korean Reinsurance Switzerland AGWir analysierten die verschiedenen Anbieter. Zentrales Kriterium war für uns die Abdeckung aller E-Signatur-Standards und ganz besonders eine vollintegrierte und benutzerfreundliche Lösung für die QES. Zudem bietet Skribble einfache Lösungen für die für QES erforderliche Identifikation nach Schweizer und EU-Recht an.
Welcher E-Signatur-Standard passt, richtet sich zuerst nach den gesetzlichen Formvorgaben des jeweiligen Dokuments. Erst danach stellt sich die Frage, wie viel Beweiskraft Sie zusätzlich wünschen. Eine QES ist deshalb nicht automatisch für jedes Dokument nötig.
Für die erste Einordnung hilft diese Abstufung:
| Dokument | Passender E-Signatur-Standard | Warum? |
|---|---|---|
Formfreier Vorgang mit geringem Beweisinteresse | EES | Keine gesetzliche Schriftform, einfache Zuordnung reicht häufig aus |
Formfreier Vertrag mit höherem Beweisinteresse | FES | Stärkere Zuordnung zur signierenden Person und höhere Beweiskraft |
Dokument mit gesetzlicher Schriftform | QES | Kann in Deutschland nach § 126a BGB die Schriftform elektronisch ersetzen |
Elektronische Form gesetzlich ausgeschlossen | Keine E-Signatur als Ersatz | Die vorgeschriebene Form muss eingehalten werden |
Praxis-Tipp: Prüfen Sie zuerst, welche Form das Gesetz für Ihr Dokument vorsieht. Bei formfreien Dokumenten können Sie anschließend anhand des gewünschten Beweiswerts zwischen EES, FES und QES wählen.
Gerade bei wiederkehrenden Vorgängen kann es sinnvoll sein, mehrere E-Signatur-Standards innerhalb derselben Plattform bereitzuhalten. So lässt sich beispielsweise eine interne Freigabe mit EES abbilden, während für einen Vertrag mit höherem Beweisinteresse FES oder bei gesetzlicher Schriftform QES zum Einsatz kommt.
Nach der rechtlichen Einordnung geht es an die Auswahl. Statt sich auf allgemeine Aussagen zu Datenschutz oder Rechtsgültigkeit zu verlassen, sollten Sie konkrete Nachweise und Funktionen prüfen. Dabei hilft eine kurze Checkliste, die rechtliche, technische und praktische Punkte zusammenführt.
Auch die Bedienbarkeit verdient einen Platz auf Ihrer Checkliste. 84 % der Nutzenden bewerten Benutzerfreundlichkeit als sehr wichtig, 53 % heben hervor, dass externe Personen ohne Konto signieren können. Das zeigt: Rechtliche und technische Prüfpunkte sind nur ein Teil der Anbieterwahl.
Checkliste für Ihre Auswahl:
Auch die Nutzung im Alltag sollte in die Prüfung einfließen. Dazu gehört etwa, ob externe Personen ohne Konto signieren können, Signatur-Reihenfolgen verfügbar sind und sich Erinnerungen zum Signieren einstellen lassen.
Die Anbieterwahl strukturiert durchgehen:
5 Schritte, um den passenden E-Signing-Anbieter zu finden
DSGVO und eIDAS schaffen eine wichtige rechtliche Basis für elektronische Signaturen in Europa. Für die Auswahl eines E-Signatur-Services reicht ein entsprechendes Label jedoch nicht. Aussagekräftiger sind überprüfbare Angaben dazu, welche E-Signatur-Standards verfügbar sind, wo Daten liegen, wer hinter einer QES steht und welche Sicherheitsnachweise der Anbieter vorlegt.
Für Geschäftsbeziehungen mit der Schweiz kommt ein weiterer Punkt hinzu: eIDAS und ZertES bilden getrennte Rechtsrahmen. Wer in beiden Märkten unterschreiben lässt, sollte deshalb prüfen, ob der gewählte Service beide abdeckt.
Wir verbinden bei Skribble EES, FES und QES in einer E-Signing-Plattform und ermöglichen das Signieren nach EU-Recht und Schweizer Recht. Dazu kommen Hosting in Deutschland oder der Schweiz, ISO-27001-Zertifizierung, dokumentierte Verschlüsselung sowie persönliche Unterstützung. So lässt sich die Auswahl anhand konkreter Merkmale treffen, statt sich allein auf Compliance-Claims zu verlassen.
Raus aus dem Papierkram. Rein in den digitalen Flow.
eIDAS schafft den Rechtsrahmen für elektronische Signaturen in der EU, ZertES regelt diesen Bereich in der Schweiz. Da beide Rechtsräume getrennt sind, ist eine qualifizierte elektronische Signatur nach Schweizer Recht nicht automatisch eine QES nach EU-Recht und umgekehrt. Organisationen, die in der EU und der Schweiz tätig sind, sollten daher prüfen, ob ihr E-Signatur-Service beide Rechtsgrundlagen abdeckt.
Einfach. Zertifiziert. Integriert. Lokal.
Kostenlose Testphase verfügbar.
Keine Kreditkarte nötig.
Nutzbar auf Deutsch, Englisch, Französisch und Italienisch.
Skribble
