Für Unternehmen, die in der Europäischen Union tätig sind — oder EU-Kunden bedienen — ist die DSGVO-Konformität nicht optional. Wenn Ihr E-Signatur-Prozess personenbezogene Daten erfasst, speichert oder verarbeitet (und das tut er), müssen Sie sicherstellen, dass jeder Schritt die strengen Anforderungen der Verordnung erfüllt.
Dieser Leitfaden bietet eine praktische Checkliste, um Ihre elektronischen Signaturen vollständig DSGVO-konform zu machen.
Warum die DSGVO für E-Signaturen Wichtig Ist
Jede elektronische Signaturtransaktion umfasst personenbezogene Daten:
- Name und E-Mail-Adresse des Unterzeichners — zur Identifikation verwendet
- IP-Adresse — zu Audit-Trail-Zwecken erfasst
- Zeitstempel — wann die Signatur erfolgte
- Browser- und Geräteinformationen — zur Überprüfung erfasst
- Dokumentinhalt — kann sensible personenbezogene Daten enthalten
Nach der DSGVO sind Sie der Verantwortliche für diese Informationen. Das bedeutet, Sie sind rechtlich dafür verantwortlich, wie sie erfasst, verarbeitet, gespeichert und geschützt werden.
Die 8-Punkte-DSGVO-Checkliste für E-Signaturen
✅ 1. Eine Rechtmäßige Grundlage für die Verarbeitung Sicherstellen
Nach Artikel 6 der DSGVO benötigen Sie eine rechtmäßige Grundlage, um personenbezogene Daten während der Signierung zu verarbeiten. Die häufigsten Grundlagen für E-Signaturen sind:
- Vertragserfüllung (Art. 6 Abs. 1 lit. b) — die Verarbeitung ist für einen Vertrag notwendig, dessen Partei der Unterzeichner ist
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) — Sie haben einen berechtigten Grund zur Verarbeitung, abgewogen gegen die Rechte des Unterzeichners
- Einwilligung (Art. 6 Abs. 1 lit. a) — der Unterzeichner willigt ausdrücklich in die Datenverarbeitung ein
Für die meisten Geschäftsverträge ist die Vertragserfüllung die stärkste rechtliche Grundlage.
✅ 2. Klare Datenschutzinformationen Bereitstellen
Bevor ein Unterzeichner seine Signatur übermittelt, muss er informiert werden über:
- Wer seine Daten erfasst (Ihr Unternehmen)
- Welche Daten erfasst werden
- Warum sie erfasst werden (Zweck)
- Wie lange sie aufbewahrt werden
- An wen sie weitergegeben werden könnten
- Seine Rechte nach der DSGVO (Auskunft, Berichtigung, Löschung, Übertragbarkeit)
Fügen Sie in jeder Signatureinladung einen Link zu Ihrer Datenschutzerklärung ein.
✅ 3. Datenerfassung Minimieren
Der Grundsatz der Datenminimierung der DSGVO (Artikel 5 Abs. 1 lit. c) verlangt, dass Sie nur das Notwendige erfassen. Für E-Signaturen bedeutet das:
- Erfassen Sie: Name des Unterzeichners, E-Mail, Signatur, IP, Zeitstempel
- Erfassen Sie nicht: unnötige persönliche Details, Browserverlauf oder Tracking-Daten, die nichts mit dem Signaturprozess zu tun haben
✅ 4. Daten bei der Übertragung und im Ruhezustand Sichern
Alle personenbezogenen Daten müssen mit geeigneten technischen Maßnahmen geschützt werden:
- HTTPS/TLS-Verschlüsselung für Daten während der Übertragung
- Verschlüsselte Speicherung für ruhende Daten
- Zugriffskontrollen, um einzuschränken, wer signierte Dokumente einsehen kann
- Regelmäßige Backups, um Datenverlust zu verhindern
✅ 5. Kontrollieren, Wo Daten Gespeichert Werden
Der Datenstandort ist eine der kritischsten DSGVO-Überlegungen für E-Signaturen. Die DSGVO schränkt die Übermittlung personenbezogener Daten außerhalb der EU/des EWR ein, sofern keine angemessenen Schutzmaßnahmen bestehen.
Cloud-basierte Lösungen speichern Daten häufig in US-Rechenzentren, was erfordern kann:
- Standardvertragsklauseln (SCCs)
- Angemessenheitsbeschlüsse
- Zusätzliche Maßnahmen
Selbst gehostete Lösungen wie WPsigner beseitigen dieses Problem vollständig — Ihre Daten bleiben auf Ihrem Server, in der von Ihnen gewählten Rechtsordnung.
✅ 6. Datenaufbewahrungsrichtlinien Umsetzen
Sie müssen festlegen, wie lange Sie signierte Dokumente und die zugehörigen personenbezogenen Daten aufbewahren. Berücksichtigen Sie:
- Rechtliche Anforderungen — einige Verträge müssen für bestimmte Zeiträume aufbewahrt werden (z. B. 6 Jahre für steuerrelevante Dokumente)
- Geschäftlicher Bedarf — nur so lange aufbewahren, wie es für den Vertragszweck notwendig ist
- Automatisierte Löschung — Prozesse implementieren, um Daten zu löschen, wenn die Aufbewahrungsfristen abgelaufen sind
✅ 7. Die Rechte der Betroffenen Wahren
Die DSGVO gewährt Einzelpersonen mehrere Rechte in Bezug auf ihre personenbezogenen Daten:
| Recht | Bedeutung für E-Signaturen |
|---|---|
| Recht auf Auskunft | Auf Anfrage eine Kopie des signierten Dokuments und der zugehörigen Daten bereitstellen |
| Recht auf Berichtigung | Fehler in personenbezogenen Daten korrigieren (das signierte Dokument selbst sollte jedoch unverändert bleiben) |
| Recht auf Löschung | Personenbezogene Daten löschen, wenn sie nicht mehr benötigt werden — rechtliche Aufbewahrungspflichten können dies jedoch überlagern |
| Recht auf Datenübertragbarkeit | Personenbezogene Daten in einem maschinenlesbaren Format bereitstellen |
| Widerspruchsrecht | Unterzeichnern ermöglichen, der auf berechtigtem Interesse beruhenden Verarbeitung zu widersprechen |
Wichtiger Hinweis: Das Recht auf Löschung setzt keine rechtlichen Verpflichtungen außer Kraft, signierte Verträge aus Compliance-Gründen aufzubewahren.
✅ 8. Eine Vereinbarung zur Datenverarbeitung (DPA) Führen
Wenn Ihr E-Signatur-Anbieter Daten im Auftrag von Ihnen verarbeitet (als Auftragsverarbeiter), müssen Sie eine DPA vorhalten. Die DPA sollte folgende Punkte abdecken:
- Art und Zweck der Verarbeitung
- Arten der betroffenen personenbezogenen Daten
- Umgesetzte Sicherheitsmaßnahmen
- Offenlegung von Unterauftragsverarbeitern
- Verfahren zur Meldung von Datenpannen
Selbst gehostete Lösungen sind anders: Wenn Sie ein selbst gehostetes Plugin wie WPsigner verwenden, hat der Plugin-Anbieter keinen Zugriff auf Ihre Unterzeichnerdaten — weil diese Ihren Server nie verlassen. Das vereinfacht Ihre DSGVO-Pflichten erheblich.
Datenstandort: Cloud vs. Selbst Gehostet
| Aspekt | Cloud-E-Signatur | Selbst Gehostet (WPsigner) |
|---|---|---|
| Datenstandort | Rechenzentren des Anbieters (oft in den USA) | Ihr Server (Ihr gewählter Standort) |
| Verantwortlicher | Geteilte Verantwortung | Sie sind alleiniger Verantwortlicher |
| DPA erforderlich | Ja — mit dem Anbieter | Für Unterzeichnerdaten nicht erforderlich |
| Grenzüberschreitende Übermittlung | Wahrscheinlich — erfordert SCCs | Nur wenn Sie einen Server außerhalb der EU wählen |
| Unterauftragsverarbeiter | Mehrere (Cloud, CDN, Analysen) | Keine — die gesamte Verarbeitung ist lokal |
| Haftung bei Datenpannen | Geteilt mit dem Anbieter | Allein Ihre (aber besser kontrollierbar) |
Wie WPsigner die DSGVO-Konformität Handhabt
Die selbst gehostete Architektur von WPsigner bietet eine starke Grundlage für die DSGVO-Konformität:
- Kein Zugriff durch Dritte auf Daten — Unterzeichnerdaten verlassen Ihren Server nie
- Sie wählen Ihren Serverstandort — hosten Sie in der EU für den Datenstandort EU
- Keine Unterauftragsverarbeiter — WPsigner verarbeitet oder speichert Ihre Daten nicht
- Vollständige Audit-Trails — vollständige Dokumentation jedes Signaturvorgangs
- Datenexport — exportieren Sie Unterzeichnerdaten für Auskunftsanfragen
- Datenlöschung — löschen Sie Dokumente und zugehörige Daten, wenn die Aufbewahrungsfristen ablaufen
- SSL/TLS-Verschlüsselung — jede Signierung erfolgt über verschlüsselte Verbindungen
Fazit
Bei der DSGVO-Konformität für E-Signaturen geht es nicht nur darum, Bußgelder zu vermeiden — es geht darum, Vertrauen bei Ihren europäischen Kunden und Partnern aufzubauen. Der selbst gehostete Ansatz beseitigt viele der komplexesten DSGVO-Herausforderungen (Datenübermittlungen, Unterauftragsverarbeiter, DPAs mit Anbietern), indem alles unter Ihrer direkten Kontrolle bleibt.
Bereit für DSGVO-konforme E-Signaturen? Preise Ansehen → | Mehr Über Compliance Lesen →
Weiterführende Artikel
- Selbst Gehostetes vs. Cloud-Dokumentensignieren: Warum Datenhoheit Wichtig Ist — Das Datenschutzargument für selbst gehostete Lösungen
- Selbst Gehostete E-Signatur-Lösung für WordPress — Erfahren Sie mehr über die auf Datenschutz ausgerichtete Architektur von WPsigner
- WPsigner Compliance-Übersicht — Vollständige Compliance-Details für ESIGN, UETA, eIDAS und DSGVO