Frage 1: Wo werden die Daten verarbeitet?
Die DSGVO verlangt bei Übermittlungen in Drittländer zusätzliche Garantien. Viele Unternehmen bevorzugen deshalb eine Verarbeitung ausschließlich in der EU oder in Deutschland. Fragen Sie nach dem Standort der Rechenzentren, nach Backups und nach Unterauftragnehmern – auch für Support und Monitoring.
DE-CODA SIGN wird in einem deutschen Rechenzentrum mit ISO 27001 auf Basis von IT-Grundschutz betrieben. ISO 27001 beschreibt ein zertifizierbares Informationssicherheits-Managementsystem.
Frage 2: Wer hat Zugriff auf Dokumente?
Klären Sie, wie Rollen und Berechtigungen vergeben werden, ob Dokumente verschlüsselt gespeichert werden und wie lange sie nach Abschluss auf der Plattform verbleiben. Wichtig sind zudem Löschfristen, die zu Ihren Aufbewahrungspflichten passen, sowie die Möglichkeit, signierte Dokumente vollständig in eigene Archivsysteme zu übernehmen.
Für die DSGVO benötigen Sie einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO) mit dem Anbieter, der technische und organisatorische Maßnahmen beschreibt.
Frage 3: Wie wird die Identität geprüft?
Die Identitätsprüfung bestimmt, welchen Beweiswert eine Signatur hat. Bei der EES genügt oft eine E-Mail-Verifizierung, bei der FES kommt eine zweite Authentifizierung hinzu. Für die QES schreibt eIDAS eine Identitätsprüfung durch einen qualifizierten Vertrauensdiensteanbieter vor – etwa per Online-Ausweisfunktion oder Video-Identifizierung.
Mit eIDAS 2 sollen künftig auch europäische Brieftaschen für die digitale Identität (EUDI-Wallets) als Identifizierungsmittel dienen. Die nationale Umsetzung befindet sich noch in Vorbereitung.
Frage 4: Welche Nachweise entstehen?
Ein belastbarer Audit-Trail dokumentiert jeden Schritt: Versand, Öffnen, Authentifizierung, Signatur und Abschluss – jeweils mit Zeitstempel. Bei FES und QES ist die Signatur kryptografisch mit dem Dokument verbunden; jede nachträgliche Änderung wird bei der Prüfung erkannt.
Achten Sie darauf, dass Prüfprotokolle exportiert werden können und dass Signaturen mit gängigen Prüfwerkzeugen validierbar sind.
Rollen und Verantwortlichkeiten im Unternehmen
Datensouveränität ist keine reine IT-Aufgabe. Legen Sie fest, wer die Signaturplattform verantwortet, wer Vorlagen pflegt und wer Berechtigungen vergibt. Bewährt hat sich eine kleine Arbeitsgruppe aus Fachbereich, IT, Datenschutz und gegebenenfalls Rechtsabteilung.
Der Datenschutzbeauftragte sollte die Auftragsverarbeitung prüfen und das Verzeichnis der Verarbeitungstätigkeiten ergänzen. Bei besonders sensiblen Daten, etwa Gesundheits- oder Personaldaten, kann eine Datenschutz-Folgenabschätzung sinnvoll sein. Die IT klärt Anbindung an Identitätsmanagement, Single Sign-on und Archivsysteme.
Wichtig ist außerdem ein Prozess für Ausscheidende: Zugänge müssen zeitnah gesperrt, laufende Vorgänge übergeben und persönliche Zertifikate widerrufen werden. Regelmäßige Berechtigungsprüfungen – zum Beispiel halbjährlich – stellen sicher, dass nur aktive und berechtigte Personen Zugriff auf Dokumente haben.
Checkliste für die Anbieterauswahl
• Verarbeitung in Deutschland oder der EU, inklusive Backups. • Auftragsverarbeitungsvertrag und Liste der Unterauftragnehmer. • Nachweise zur Informationssicherheit, z. B. ISO 27001. • Rollen-, Rechte- und Löschkonzept. • Unterstützung aller benötigten Signaturstufen. • Exportierbarer Audit-Trail und standardkonforme Signaturen. • Ansprechpartner in Ihrer Sprache und Zeitzone.
Häufige Fragen
Ist eine Cloud-Signatur mit der DSGVO vereinbar?
Ja, wenn Verarbeitung, Auftragsverarbeitungsvertrag und Sicherheitsmaßnahmen den Anforderungen entsprechen.
Was ist ein Audit-Trail?
Ein Protokoll aller Schritte eines Signaturvorgangs mit Zeitstempeln, das als Nachweis dient.
Welche Rolle spielt eIDAS 2 für die Identität?
eIDAS 2 sieht europäische Brieftaschen für die digitale Identität vor. Sie sollen künftig das Identifizieren und Signieren vereinfachen; die nationale Umsetzung läuft noch.
Wie lange bleiben Dokumente auf der Plattform?
Das hängt vom Löschkonzept ab. Legen Sie Fristen fest, die zu Ihren Aufbewahrungspflichten passen, und archivieren Sie signierte Dokumente in Ihrem eigenen System.