Vertrauensdienstegesetz, eIDAS und DSGVO: was elektronische Signaturen in Deutschland erfüllen müssen

Compliance bei elektronischen Signaturen ist kein Zertifikat, das man kauft. Gemeint sind zwei Dinge: Die Signatur erfüllt die Regeln des Rechts, dem das Dokument unterliegt, und Sie können das später vor Gericht, gegenüber einem Prüfer oder einer Behörde belegen. Fehlt eine Hälfte, lässt sich auch ein sauber unterschriebener Vertrag auseinandernehmen.

In Deutschland verteilt sich das auf vier Stellen. Das Vertrauensdienstegesetz (VDG) legt zusammen mit der eIDAS-Verordnung fest, wer Vertrauensdienste anbieten darf und welche Wirkung eine qualifizierte Signatur hat. Ob ein Vertrag in elektronischer Form überhaupt wirksam ist, entscheidet das Bürgerliche Gesetzbuch. Für die Daten im Signaturprozess gilt die DSGVO. Und die Aufbewahrungsfristen kommen aus dem Steuer- und Handelsrecht.

Die meisten Verträge brauchen gar keine besondere Form, dann genügt eine einfache elektronische Signatur. Ärger gibt es bei den Ausnahmen (Kündigung eines Arbeitsverhältnisses, Bürgschaft), bei Vertragspartnern im Ausland und bei regulierten Aufzeichnungen, auf die eine Behörde eigene Regeln packt.

Wer nur schnell etwas unterschreiben lassen will, kann ein Dokument online signieren und den Rest später nachlesen. Alles Weitere ist für den Moment gedacht, in dem ein Prüfer oder der Anwalt der Gegenseite nachfragt.

Sitzt Ihr Vertragspartner in den USA, gilt dort seit dem Jahr 2000 Bundesrecht. Der ESIGN Act sagt, dass einer Signatur, einem Vertrag oder einer Aufzeichnung die Rechtswirkung nicht allein deshalb abgesprochen werden darf, weil sie elektronisch ist. Die Definition ist weit gefasst: ein Ton, ein Symbol oder ein Verfahren, das mit einer Aufzeichnung verbunden ist und in der Absicht zu unterschreiben angenommen wurde. Ein getippter Name zählt. Ein Klick auch, wenn die Aufzeichnung festhält, was angeklickt wurde und von wem.

Auf Ebene der Bundesstaaten leistet der UETA in fast allen Staaten dasselbe, New York hat mit dem Electronic Signatures and Records Act sein eigenes Gesetz. Der UETA bringt eine praktische Zuordnungsregel mit: Eine Signatur gehört einer Person, wenn es ihre Handlung war, und das lässt sich auf jede Weise beweisen, auch über das verwendete Sicherheitsverfahren.

In der Praxis laufen die US-Anforderungen an elektronische Signaturen auf fünf Dinge hinaus, die Sie belegen können sollten:

• Absicht: Der Unterzeichner wollte unterschreiben, nicht bloß die Datei öffnen.
• Einverständnis, das Geschäft elektronisch abzuwickeln, was der UETA aus Kontext und Verhalten herausliest.
• Zuordnung, also ein Nachweis, wer gehandelt hat (E-Mail-Link, Zugangscode, Ausweisprüfung).
• Verbindung: Die Signatur gehört zu genau dieser Fassung der Aufzeichnung.
• Aufbewahrung, eine Kopie, die die Aufzeichnung «genau wiedergibt» und für alle Berechtigten zugänglich bleibt, so § 7001(d).

Dokumente, die der ESIGN Act nicht erfasst

Die Ausnahmen stehen in § 7003. Nicht erfasst sind Testamente, Kodizille und Testamentstrusts, Adoptions- und Scheidungsunterlagen, der Großteil des Uniform Commercial Code, Gerichtsbeschlüsse und -eingaben sowie eine kurze Liste von Mitteilungen: Versorgungssperren, Zwangsvollstreckung oder Räumung aus dem Hauptwohnsitz, gekündigte Kranken- oder Lebensversicherungen, Produktrückrufe und Papiere, die Gefahrstoffe begleiten. Für diese Fälle entscheidet anderes Recht.

Ehrlich gesagt ist die Hürde für einen normalen Geschäftsvertrag in den USA niedrig. Fehler passieren auf der Verbraucherseite, wo der Papierkram vor der Unterschrift so viel zählt wie die Unterschrift selbst.

Wer eIDAS-konform arbeiten will, beginnt mit dem Satz, den die meisten Ratgeber überspringen. Artikel 25 Absatz 1 der Verordnung (EU) Nr. 910/2014 sagt: Einer elektronischen Signatur darf die Rechtswirkung und die Zulässigkeit als Beweismittel nicht allein deshalb abgesprochen werden, weil sie in elektronischer Form vorliegt oder nicht qualifiziert ist. Eine einfache Signatur ist also gültig. Sie beweist allein nur weniger.

eIDAS kennt drei Stufen:

• Einfache Signatur (SES): beliebige elektronische Daten, die zum Unterzeichnen dienen, vom getippten Namen bis zum Klick mit E-Mail-Spur.
• Fortgeschrittene Signatur (AES): Artikel 26 stellt vier Anforderungen. Sie ist eindeutig dem Unterzeichner zugeordnet, ermöglicht dessen Identifizierung, wird mit Daten erstellt, die der Unterzeichner mit hohem Vertrauensniveau unter alleiniger Kontrolle halten kann, und ist so mit dem Dokument verbunden, dass jede spätere Änderung erkennbar wird.
• Qualifizierte Signatur (QES), eine fortgeschrittene Signatur, die mit einer qualifizierten Signaturerstellungseinheit und einem qualifizierten Zertifikat entsteht. Artikel 25 Absatz 2 gibt ihr in der ganzen EU die Wirkung einer handschriftlichen Unterschrift.

Hier liegt das häufigste Missverständnis: eIDAS bestimmt nicht, welche Stufe ein Vertrag braucht. Das tun die nationalen Formvorschriften. Die meisten Geschäftsverträge sind in Deutschland formfrei, dann genügt eine einfache oder fortgeschrittene Signatur, und die eigentliche Frage ist der Beweis. Verlangt ein Gesetz die Schriftform, wird es konkret: § 126 BGB fordert die eigenhändige Unterschrift, und die elektronische Form nach § 126a BGB ersetzt sie nur mit einer qualifizierten Signatur. Reicht Textform (§ 126b BGB), genügt eine lesbare Erklärung auf einem dauerhaften Datenträger, etwa eine E-Mail.

Vor Gericht gibt § 371a ZPO einem qualifiziert signierten Dokument die Beweiskraft einer Privaturkunde. Der Anschein der Echtheit lässt sich nur durch Tatsachen erschüttern, die ernstliche Zweifel begründen. Alles andere würdigt das Gericht frei.

Sie können einen Anbieter in der EU-Vertrauensliste prüfen, und wenn ein Vertrag wirklich diese Stufe braucht, lesen Sie so funktioniert die qualifizierte Stufe. Die Änderung von 2024, die Verordnung (EU) 2024/1183, hat die Wirkungen aus Artikel 25 und die vier Anforderungen an fortgeschrittene Signaturen beibehalten. Es geht vor allem um die digitale Brieftasche, nachzulesen in was die Änderung von 2024 gebracht hat.

Wer heute noch nach dem Signaturgesetz fragt, sucht ein Gesetz, das es nicht mehr gibt. Das Vertrauensdienstegesetz vom 18. Juli 2017 hat es abgelöst und füllt die eIDAS-Verordnung für Deutschland aus. Aufsichtsstelle ist die Bundesnetzagentur, das BSI liefert die technischen Vorgaben, und § 15 VDG verlangt bei Bedarf, qualifiziert signierte Daten neu zu sichern, bevor der Sicherheitswert alter Signaturen mit der Zeit nachlässt. Österreich hat mit dem Signatur- und Vertrauensdienstegesetz (SVG) ein eigenes Gesetz mit fast gleichem Namen. Im Vereinigten Königreich, wo eIDAS nicht mehr gilt, macht section 7 des Electronic Communications Act 2000 elektronische Signaturen zulässig. Nur bei Urkunden mit Zeugen muss der Zeuge körperlich dabei sein.

Jeder Signaturablauf erhebt personenbezogene Daten: Namen, E-Mail- und IP-Adressen, Gerätedaten, manchmal eine Telefonnummer und bei Identitätsprüfungen einen Ausweisscan samt Selfie. Die DSGVO gilt für all das, egal welche Signaturstufe Sie verwenden. Bei der elektronischen Signatur und der DSGVO ist das die Hälfte, die Prüfer zuerst aufschlagen.

Fünf Fragen klären das meiste:

1. 1.
   Wer ist verantwortlich? Ihr Unternehmen, für die Verträge, die Sie verschicken. Der Anbieter ist in der Regel Ihr Auftragsverarbeiter, und Artikel 28 verlangt einen Vertrag über Weisungen, Vertraulichkeit, Sicherheit, Löschung und Prüfungen.
2. 2.
   Welche Rechtsgrundlage tragen Sie ein? Meist die Vertragserfüllung (Artikel 6 Absatz 1 Buchstabe b) für die Unterzeichner und die rechtliche Verpflichtung (Buchstabe c) für das Aufbewahren des signierten Dokuments.
3. 3.
   Erheben Sie mehr, als Sie brauchen? Datenminimierung ist der Grund, warum eine Ausweisprüfung nur bei Geschäften sinnvoll ist, die sie rechtfertigen, und nicht bei jeder NDA.
4. 4.
   Wie lange behalten Sie die Daten? Die Speicherbegrenzung zieht in die eine Richtung, Aufbewahrungsfristen in die andere: Nach § 147 AO und § 257 HGB gelten für Handels- und Geschäftsbriefe sechs, für Buchungsbelege acht und für Bücher und Jahresabschlüsse zehn Jahre. Artikel 17 Absatz 3 erlaubt, die Löschung zu verweigern, wenn ein Gesetz die Aufbewahrung verlangt oder ein Rechtsanspruch sie braucht.
5. 5.
   Wohin gehen die Daten? Übermittlungen außerhalb der EU brauchen eine Grundlage nach Kapitel V, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln.

Artikel 32 verlangt Sicherheit, die «dem Risiko angemessen» ist. Das ist absichtlich dehnbar, und deshalb fragen Einkäufer nach einem ISO-27001-Zertifikat als Abkürzung.

Signieren mit Blockchain-Anbindung wirft eine unbequeme Frage auf: Wie erfüllt man einen Löschantrag in einem Register, das niemand ändern kann? Der Europäische Datenschutzausschuss (EDSA) hat sie in seinen Leitlinien zur Blockchain beantwortet, die Endfassung wurde am 7. Juli 2026 angenommen. Personenbezogene Daten gehören danach grundsätzlich nicht auf eine Chain und nie in den Inhalt von Transaktionen. Muss doch etwas hinein, soll es als Existenznachweis dienen (ein Verweis, eine Verpflichtung oder ein Hash mit Schlüssel), während die zum Prüfen nötigen Daten außerhalb der Chain bleiben.

Zwei Details wiegen schwerer als die Überschrift. Der EDSA behandelt den Hash personenbezogener Daten selbst als personenbezogenes Datum, und ein Hash ohne Salz und ohne Schlüssel reicht auf einer öffentlichen Chain in der Regel nicht als Schutz. «Wir speichern nur Hashes» ist deshalb allein keine DSGVO-Antwort. Fragen Sie Ihren Anbieter genau, was er in die Chain schreibt und ob sich eine Person damit verknüpfen lässt, und tragen Sie die Antwort in Ihre Datenschutz-Folgenabschätzung ein.

Trotzdem bleibt ein Fingerabdruck in einem öffentlichen Register ein Eintrag, den weder Sie noch der Anbieter heimlich umschreiben können. Diesen Zielkonflikt zu dokumentieren gehört zur Compliance bei elektronischen Signaturen.

Wer Arzneimittel, Medizinprodukte oder Biologika herstellt oder klinische Studien betreibt und dabei unter FDA-Aufsicht steht, hat es mit einer Schicht zu tun, die das normale Recht der E-Signatur nicht kennt. Part 11 regelt die elektronischen Aufzeichnungen und Signaturen, die FDA-Vorschriften zu führen oder einzureichen verlangen. Es ist die strengste Form der Compliance bei elektronischen Signaturen, der die meisten Unternehmen begegnen.

Die Anforderungen aus 21 CFR Part 11, an denen Teams hängen bleiben:

• Signatur-Darstellung (§ 11.50). Die signierte Aufzeichnung zeigt den gedruckten Namen des Unterzeichners, Datum und Uhrzeit und die Bedeutung: Prüfung, Genehmigung, Verantwortung oder Urheberschaft.
• Verknüpfung (§ 11.70). Signaturen sind so an ihre Aufzeichnungen gebunden, dass man sie nicht entfernen, kopieren oder auf andere Weise übertragen kann, um eine andere Aufzeichnung zu fälschen.
• Jede Signatur ist einer einzigen Person zugeordnet, wird nie neu vergeben und erst ausgegeben, nachdem die Organisation die Identität dieser Person geprüft hat (§ 11.100).
• Ein einmaliges Schreiben an die FDA, handschriftlich unterzeichnet, das bestätigt, dass die elektronischen Signaturen Ihrer Mitarbeiter bindend sind. Es ist ein Brief, keine Einstellung, und wird deshalb vergessen.
• Zwei getrennte Identifikationskomponenten, etwa Benutzerkennung und Passwort, bei Signaturen ohne Biometrie (§ 11.200).
• Sichere, computergenerierte, zeitgestempelte Audit-Trails, die frühere Einträge nie überdecken (§ 11.10(e)), dazu Validierung, Zugriffsbeschränkungen und schriftliche Verantwortlichkeitsregeln.

Lesen Sie die Liste noch einmal und achten Sie darauf, wie viel davon Ihr System und Ihre Verfahren beschreibt. In der EU stellt der Annex 11 des EU-GMP-Leitfadens für computergestützte Systeme ähnliche Fragen zu Validierung, Audit-Trails und elektronischen Signaturen. Für die Protokollseite siehe was ein Signatur-Prüfpfad festhält.

NIST taucht in Sicherheitsfragebögen so oft auf, dass viele es für verbindlich halten. Für die meisten privaten Unternehmen ist es das nicht. SP 800-63-4, im Juli 2025 abgeschlossen, gilt für Bundessysteme der USA, alle anderen können es heranziehen. Sein Wert liegt im Vokabular: Identitätsstufen (IAL), Authentifizierungsstufen (AAL) und Föderationsstufen (FAL). Verlangt ein Kunde «AAL2», meint er Mehrfaktor-Authentifizierung. Das zweite NIST-Dokument, FIPS 186-5 vom Februar 2023, ist der Digital Signature Standard für die Kryptografie selbst.

In Deutschland ist der Maßstab eher das BSI. Die Technische Richtlinie TR-03125 (TR-ESOR) beschreibt, wie der Beweiswert kryptographisch signierter Dokumente über lange Zeit erhalten bleibt.

Gehen Sie das durch, bevor ein Vertragstyp live geht, nicht nach einem Streit. Jede Zeile ist eine Anforderung aus einem der Gesetze oben, mit dem, was sie meist erfüllt, und dem Nachweis, den Sie einem Prüfer vorlegen würden. Zeilen, die nicht passen, überspringen Sie. Können Sie die letzte Spalte nicht füllen, ist das Ihre Lücke. Wie lange Unterlagen aufzubewahren sind, steht im Überblick zu Aufbewahrungsfristen für Unternehmen.

Kein Anbieter macht Sie konform. Er liefert Kontrollen und Nachweise. Sie entscheiden, welche Dokumente durchlaufen, auf welchem Niveau, mit welcher Einwilligung und wie lange Sie sie aufbewahren. Schreiben Sie diese Aufteilung auf, bevor Sie einen Anbieter-Vertrag unterschreiben, denn dort finden Prüfungen die Lücken.

Am stärksten unterscheiden sich Anbieter bei Zertifizierungen und Extras für regulierte Branchen, und DocuSign ist hier den meisten voraus. Das Trust Center nennt ISO 27001:2022, Berichte nach SOC 1 und SOC 2 Type 2 sowie die Einhaltung von 21 CFR Part 11 und des EU-Annex 11. Die Tochter Docusign France SAS steht als qualifizierter Vertrauensdiensteanbieter in der Vertrauensliste der französischen ANSSI (beides am 14. Oktober 2026 gelesen). Fragt der Einkauf, ob DocuSign eIDAS oder Part 11 abdeckt, beantworten diese Seiten das. Die rechte Spalte unten bleibt bei Ihnen, egal welchen Anbieter Sie wählen.

Das bekommen Sie von Chaindoc, und hier endet es.

Standard-Signaturen in Chaindoc sind fortgeschrittene elektronische Signaturen im Sinne von eIDAS im Format PAdES-BES, und ESIGN und UETA akzeptieren sie wie jede E-Signatur, die die Tests oben besteht. Für eine qualifizierte Signatur bringt der Unterzeichner ein Zertifikat eines qualifizierten Vertrauensdiensteanbieters mit (eine nationale eID oder ein CSC-kompatibler Anbieter), und Chaindoc führt die Signatursitzung durch. Wir sind selbst kein Vertrauensdiensteanbieter. PAdES-BES trägt keinen Zeitstempel, deshalb ist die Langzeitvalidierung nicht eingebaut. Eine Neusicherung des Beweiswerts, wie § 15 VDG sie für qualifizierte Signaturen vorsieht, gibt es also nicht: Bewahren Sie Prüfpfad und Prüfbericht mit der Datei auf.

Zu jedem abgeschlossenen Dokument gehören ein Prüfpfad als PDF und ein Prüfbericht. Der Server bildet beim Hochladen einen Fingerabdruck der Datei, der Fingerabdruck jeder veröffentlichten Version wird in eine öffentliche Blockchain geschrieben, und der Nachweis jedes Unterzeichners wird festgehalten, sobald er fertig ist. Namen und E-Mail-Adressen kommen nicht in die Chain. Dateien reisen über TLS, und private Signaturschlüssel sind mit AES-256 verschlüsselt, aber Dokumente sind nicht Ende-zu-Ende-verschlüsselt: Der Server liest sie, um sie zu prüfen, umzuwandeln und zu signieren.

Unsere Datenschutzerklärung nennt Chaindoc als Ihren Auftragsverarbeiter für hochgeladene Dokumente, Signaturen und Prüfpfade, mit Verarbeitung in der EU, den USA oder dort, wo Unterauftragsverarbeiter arbeiten. Chaindoc hält Zertifikate für ISO 27001 und ISO 9001. Ausweisprüfungen fügen Sie je Geschäft über die optionalen Identitätsprüfungen hinzu, und eine feste Signaturreihenfolge läuft über Freigabewege im Business-Tarif. Vergleichen Sie die Tarife, bevor Sie sich festlegen.

Damit ist die Nachweisseite der Compliance rund um Vertrauensdienstegesetz, eIDAS und DSGVO abgedeckt. Die rechte Spalte oben bleibt Ihre.