Was bedeutet „PDF online unterschreiben lassen“?

Wer ein PDF online unterschreiben lässt, stellt das Dokument über eine Signaturplattform bereit und lädt eine oder mehrere Personen zur elektronischen Unterzeichnung ein. Die Unterzeichnenden öffnen einen geschützten Link, prüfen das Dokument und geben ihre Signatur ab. Anschließend erhalten die Beteiligten üblicherweise das signierte PDF und ergänzende Nachweise zum Ablauf.

Das ist nicht mit dem bloßen Einfügen eines eingescannten Unterschriftsbildes gleichzusetzen. Ein Bild zeigt zwar einen Namenszug, liefert für sich genommen aber nur begrenzte Informationen darüber, wer es eingefügt hat und ob das Dokument danach verändert wurde. Ein strukturierter Signaturprozess kann dagegen Identitätsmerkmale, Zeitpunkte, Zustimmungen und Dokumentversionen protokollieren. Je nach Signaturart kommen kryptografische Verfahren und qualifizierte Zertifikate hinzu.

Schritt 1: Dokument und Anforderungen prüfen

Vor dem Upload sollte feststehen, welches Dokument unterschrieben wird, wer unterzeichnen muss und welche rechtlichen oder internen Anforderungen gelten. Hilfreiche Fragen sind:

• Ist das PDF inhaltlich final?
• Welche Personen oder Organisationen sind Vertragsparteien?
• Unterzeichnen alle gleichzeitig oder in einer bestimmten Reihenfolge?
• Gibt es gesetzliche Formvorgaben oder vertraglich vereinbarte Anforderungen?
• Muss eine Person eindeutig identifiziert werden?
• Welche Nachweise werden später für Revision, Compliance oder einen Streitfall benötigt?

Die elektronische Form ist nicht für jeden Vorgang gleichermaßen geeignet. Bestimmte Erklärungen können einer gesetzlichen Schriftform, einer notariellen Form oder weiteren besonderen Anforderungen unterliegen. Ob eine elektronische Signatur zulässig und welche Stufe erforderlich ist, sollte deshalb für den konkreten Dokumenttyp und die betroffene Rechtsordnung geprüft werden.

Schritt 2: Passende Signaturart auswählen

Die eIDAS-Verordnung unterscheidet drei wesentliche Stufen elektronischer Signaturen.

• Einfache elektronische Signatur (EES): Dazu können ein bestätigter Klick, ein eingegebener Name oder eine gezeichnete Signatur gehören. Sie eignet sich häufig für Vorgänge mit überschaubarem Risiko und ohne besondere Formanforderung.
• Fortgeschrittene elektronische Signatur (FES): Sie muss eindeutig dem Unterzeichner zugeordnet sein, dessen Identifizierung ermöglichen, unter seiner Kontrolle erstellt werden und nachträgliche Änderungen erkennbar machen.
• Qualifizierte elektronische Signatur (QES): Sie beruht auf einem qualifizierten Zertifikat und wird mit einer qualifizierten Signaturerstellungseinheit erstellt. Nach eIDAS hat sie die gleiche Rechtswirkung wie eine handschriftliche Unterschrift.

Elektronische Signaturen dürfen nach eIDAS nicht allein deshalb als Beweismittel abgelehnt werden, weil sie elektronisch sind oder die Anforderungen an eine QES nicht erfüllen. Das bedeutet jedoch nicht, dass jede Signaturart für jeden Vertrag ausreicht. Die Auswahl sollte sich an Formvorgaben, Schadenspotenzial, Identifizierungsbedarf und Beweisanforderungen orientieren.

Ein Beispiel: Für die Freigabe eines internen Besprechungsprotokolls kann eine EES genügen. Bei einem wirtschaftlich bedeutenden Vertrag kann eine FES sinnvoll sein. Ist gesetzlich eine Schriftform vorgeschrieben und die elektronische Form nicht ausgeschlossen, kann eine QES erforderlich sein. Diese Einordnung ersetzt keine Prüfung des Einzelfalls.

Schritt 3: PDF für die Unterzeichnung vorbereiten

Das hochgeladene PDF sollte die endgültige Fassung enthalten. Änderungen nach Beginn des Signaturprozesses führen häufig dazu, dass ein neuer Vorgang angelegt werden muss, damit alle Beteiligten dieselbe Version unterzeichnen.

Vor dem Versand empfiehlt sich folgende Kontrolle:

• Dateiname, Vertragsparteien und Anlagen sind korrekt.
• Seiten fehlen nicht und sind in der richtigen Reihenfolge angeordnet.
• Leere Felder oder interne Kommentare wurden entfernt.
• Das Dokument ist gut lesbar und möglichst barrierearm aufgebaut.
• Anlagen, Geschäftsbedingungen und Datenschutzinformationen sind eindeutig zugeordnet.
• Ein vorhandener PDF-Passwortschutz verhindert nicht die Verarbeitung oder Signatur.

Mehrere zusammengehörige Dateien können je nach Plattform als Paket versendet oder vorab zu einem PDF zusammengeführt werden. Wichtig ist, dass für die Unterzeichnenden erkennbar bleibt, welchen Inhalten sie zustimmen.

Schritt 4: PDF hochladen und Signaturfelder setzen

Nach dem Upload werden die Empfänger angelegt und die benötigten Felder im Dokument positioniert. Typische Felder sind:

• Signatur
• Name und Funktion
• Datum
• Firmenname
• Auswahl- oder Bestätigungsfelder
• Freitext für vereinbarte Angaben

Jedes Pflichtfeld sollte der richtigen Person zugeordnet sein. Andernfalls kann beispielsweise der Einkauf versehentlich ein Feld ausfüllen, das für den Lieferanten vorgesehen war. Felder sollten außerdem nicht über Text, Seitenzahlen oder Anlagen gelegt werden.

Bei mehreren Unterzeichnenden ist zu entscheiden, ob sie parallel oder nacheinander eingeladen werden. Eine festgelegte Reihenfolge ist sinnvoll, wenn eine Freigabe von der vorherigen Signatur abhängt. Ein paralleler Ablauf ist meist einfacher, wenn die Reihenfolge keine fachliche Bedeutung hat.

Schritt 5: Empfänger authentifizieren

Die E-Mail-Adresse ist oft der Ausgangspunkt für die Einladung, aber nicht zwingend ein belastbarer Identitätsnachweis. Abhängig von Signaturstufe und Risiko können zusätzliche Verfahren eingesetzt werden, etwa ein einmaliger Code über einen getrennten Kanal, ein Identitätsdokument, ein elektronisches Identifizierungsmittel oder ein durch einen Vertrauensdiensteanbieter unterstütztes Verfahren.

Bei einer QES ist eine Identifizierung erforderlich, bevor das qualifizierte Zertifikat ausgestellt oder verwendet werden kann. Wie dieser Prozess konkret abläuft, hängt vom eingesetzten qualifizierten Vertrauensdiensteanbieter und den unterstützten Identifikationsverfahren ab.

Zusätzliche Prüfungen erhöhen die Aussagekraft des Vorgangs, erzeugen aber auch mehr Aufwand und personenbezogene Daten. Deshalb sollte nicht pauschal die strengste Methode gewählt werden, sondern ein zum Zweck passendes Verfahren.

Schritt 6: Einladung versenden

Die Einladungsnachricht sollte eindeutig und knapp erklären:

• wer das Dokument versendet,
• worum es geht,
• bis wann die Unterzeichnung erwartet wird,
• an wen sich Rückfragen richten,
• ob eine zusätzliche Authentifizierung notwendig ist.

Vertrauliche Vertragsdetails gehören nicht zwingend in die E-Mail. Sie kann weitergeleitet oder in Benachrichtigungen angezeigt werden. Der Zugriff auf das eigentliche Dokument sollte über eine geschützte Verbindung und angemessene Berechtigungen erfolgen.

Ein konkretes Beispiel: Ein Unternehmen versendet einen Liefervertrag zuerst an die interne Einkaufsleitung. Nach deren Freigabe erhält die zeichnungsberechtigte Person des Lieferanten automatisch eine Einladung. Erst wenn beide Signaturen vorliegen, wird der Vorgang abgeschlossen.

Schritt 7: Unterzeichnung durch die Empfänger

Die eingeladene Person öffnet den Link, authentifiziert sich gegebenenfalls und liest das Dokument. Danach füllt sie die zugewiesenen Felder aus und bestätigt die Signatur. Vor dem Abschluss sollte klar erkennbar sein, dass eine rechtsverbindliche Erklärung abgegeben wird.

Seriöse Abläufe ermöglichen es, das Dokument vor der Signatur vollständig einzusehen und gegebenenfalls herunterzuladen. Pflichtfelder, Zustimmungsabfragen und die abschließende Bestätigung sollten deutlich voneinander getrennt sein. Wird die Unterzeichnung abgelehnt, kann ein dokumentierter Ablehnungsgrund für die weitere Bearbeitung hilfreich sein.

Schritt 8: Status verfolgen und Erinnerungen steuern

Während des laufenden Vorgangs zeigt die Plattform typischerweise, ob eine Einladung versendet, geöffnet, unterschrieben oder abgelehnt wurde. Automatische Erinnerungen können offene Prozesse beschleunigen, sollten aber angemessen eingestellt sein.

Ändert sich die E-Mail-Adresse einer zuständigen Person oder wird ein anderer Unterzeichner benötigt, sollte der Empfänger kontrolliert ersetzt werden. Eine bereits abgegebene Signatur darf dabei nicht unbemerkt einem veränderten Dokument oder einer anderen Person zugeordnet werden. Wesentliche Änderungen sprechen in der Regel für einen neuen Signaturvorgang.

Schritt 9: Signiertes PDF und Audit Trail sichern

Nach Abschluss sollten mindestens das signierte PDF und der zugehörige Nachweis heruntergeladen oder in das vorgesehene Archiv übertragen werden. Ein Audit Trail beziehungsweise Prüfprotokoll kann unter anderem folgende Angaben enthalten:

• Dokumentkennung oder Hashwert
• Beteiligte und verwendete Kontaktangaben
• Versand-, Öffnungs- und Signaturzeitpunkte
• Authentifizierungs- und Bestätigungsschritte
• verwendete Signaturart
• Statusänderungen und Ablehnungen

Der Audit Trail ist nicht automatisch selbst die elektronische Signatur. Er ergänzt das signierte Dokument um nachvollziehbare Prozessinformationen. Bei kryptografisch signierten PDFs lässt sich außerdem prüfen, ob die Signatur gültig ist und ob das Dokument nach der Signatur verändert wurde.

Schritt 10: Datenschutz und Aufbewahrung regeln

In einem Signaturprozess werden personenbezogene Daten verarbeitet, darunter Namen, E-Mail-Adressen, Signaturdaten, Zeitangaben und gegebenenfalls Identitätsnachweise. Verantwortliche sollten daher prüfen, welche Daten erforderlich sind, wie lange sie gespeichert werden und wer darauf zugreifen darf.

Für die Auswahl einer Plattform sind insbesondere relevant:

• Vertrag zur Auftragsverarbeitung, soweit erforderlich
• Speicherorte und eingesetzte Unterauftragsverarbeiter
• technische und organisatorische Schutzmaßnahmen
• rollenbasierte Zugriffsrechte und Mehrfaktor-Authentifizierung
• Lösch- und Aufbewahrungskonzepte
• Möglichkeiten zum Export von Dokumenten und Nachweisen
• Regelungen für internationale Datenübermittlungen

Verträge und Nachweise sollten nicht unbegrenzt im Benutzerkonto liegen bleiben, nur weil dies technisch möglich ist. Die Aufbewahrung richtet sich nach dem Zweck sowie nach gesetzlichen und betrieblichen Pflichten. Gleichzeitig dürfen Nachweise nicht vorschnell gelöscht werden, wenn sie noch für die Dokumentation benötigt werden.

Typische Fehler vermeiden

Häufige Probleme entstehen nicht beim eigentlichen Signieren, sondern bei der Vorbereitung. Dazu gehören eine ungeprüfte Signaturstufe, falsch zugeordnete Felder, uneindeutige Empfänger, fehlende Anlagen und nachträgliche Änderungen am PDF. Auch ein allein gespeichertes Signaturbild ohne Prozessnachweis kann die spätere Zuordnung erschweren.

Ein belastbarer Ablauf verbindet deshalb drei Ebenen: ein finales und verständliches Dokument, eine angemessene Identifizierung und Signaturart sowie eine nachvollziehbare Archivierung. Werden diese Punkte vor dem Versand geklärt, lässt sich ein PDF ohne Medienbruch durch den gesamten Vertragsprozess führen.