Was bedeutet „einen Vertrag digital unterschreiben“?

Ein Vertrag wird digital unterschrieben, wenn die Parteien ihre Willenserklärung elektronisch abgeben und mit einem digitalen Dokument verknüpfen. Das kann über eine einfache Bestätigung, eine fortgeschrittene elektronische Signatur oder eine qualifizierte elektronische Signatur erfolgen.

Im Alltag werden „digitale Signatur“ und „elektronische Signatur“ häufig gleichbedeutend verwendet. Rechtlich ist die elektronische Signatur der maßgebliche Oberbegriff. Eine digitale Signatur bezeichnet enger gefasst ein kryptografisches Verfahren, mit dem sich insbesondere die Integrität eines Dokuments und die Herkunft einer Signatur prüfen lassen.

Nicht jeder digitale Vertragsabschluss benötigt eine sichtbare Unterschrift im PDF. Auch ein Klick auf eine eindeutig beschriftete Schaltfläche, eine Bestätigung per E-Mail oder die Eingabe eines Namens kann eine elektronische Signatur darstellen, wenn die Handlung dem Unterzeichner zugeordnet und seine Zustimmung zum Dokument erkennbar ist.

Sind digital unterschriebene Verträge wirksam?

Viele Verträge unterliegen in Deutschland und anderen EU-Mitgliedstaaten keinem besonderen Formerfordernis. Sie können grundsätzlich mündlich, per E-Mail oder über einen elektronischen Signaturprozess geschlossen werden. Beispiele können Kaufverträge zwischen Unternehmen, Geheimhaltungsvereinbarungen oder freigegebene Angebote sein.

Die eIDAS-Verordnung legt fest, dass einer elektronischen Signatur die Rechtswirkung und die Zulässigkeit als Beweismittel nicht allein deshalb abgesprochen werden dürfen, weil sie elektronisch ist oder nicht die Anforderungen einer qualifizierten elektronischen Signatur erfüllt. Daraus folgt jedoch nicht, dass jede Signatur für jeden Vertrag geeignet ist.

Vor der Digitalisierung eines Vertragsprozesses muss deshalb geprüft werden:

• Schreibt das anwendbare Recht eine bestimmte Form vor?
• Lässt sich diese Form elektronisch erfüllen?
• Ist die elektronische Form ausdrücklich ausgeschlossen?
• Welches Recht gilt bei grenzüberschreitenden Verträgen?
• Welche Nachweise werden bei einem späteren Streit benötigt?

Nach deutschem Recht kann die gesetzliche Schriftform grundsätzlich durch die elektronische Form ersetzt werden, sofern das Gesetz nichts anderes bestimmt. Für die elektronische Form ist regelmäßig eine qualifizierte elektronische Signatur erforderlich. Bei einzelnen Rechtsgeschäften ist die elektronische Form ausgeschlossen. Ein bekanntes Beispiel ist die Kündigung eines Arbeitsverhältnisses. Auch für Bürgschaften, befristete Arbeitsverträge oder verbraucherbezogene Geschäfte können besondere Vorgaben gelten.

Die konkrete Formfrage hängt vom Vertrag, den beteiligten Parteien und dem anwendbaren Recht ab. Bei Zweifeln sollte sie rechtlich geprüft werden; ein Signaturdienst ersetzt diese Prüfung nicht.

Die drei Signaturstufen nach eIDAS

Die eIDAS-Verordnung unterscheidet drei praktisch relevante Signaturniveaus.

Einfache elektronische Signatur (EES)

Die einfache elektronische Signatur ist keinem bestimmten technischen Verfahren vorbehalten. Mögliche Ausprägungen sind:

• ein eingegebener Name unter einem Dokument,
• eine eingefügte Abbildung der Unterschrift,
• eine Zustimmung über eine Schaltfläche,
• eine Signatur mit Link und E-Mail-Bestätigung.

Die EES eignet sich häufig für formfreie Vorgänge mit überschaubarem Risiko. Ihre Beweiskraft hängt stark davon ab, wie zuverlässig Identität, Zustimmung, Dokumentversion und Prozess protokolliert wurden.

Fortgeschrittene elektronische Signatur (FES)

Eine FES muss nach eIDAS eindeutig dem Unterzeichner zugeordnet sein, dessen Identifizierung ermöglichen, unter seiner Kontrolle erstellt werden und nachträgliche Änderungen an den signierten Daten erkennbar machen.

Dafür können kryptografische Verfahren, eine stärkere Authentifizierung und ein manipulationsgeschützter Nachweis eingesetzt werden. Die FES ist sinnvoll, wenn ein erhöhtes Beweis- oder Sicherheitsinteresse besteht, ohne dass eine gesetzliche Schriftform eine QES verlangt.

Qualifizierte elektronische Signatur (QES)

Die QES ist eine fortgeschrittene elektronische Signatur, die auf einem qualifizierten Zertifikat beruht und mit einer qualifizierten Signaturerstellungseinheit erzeugt wird. Das Zertifikat wird von einem qualifizierten Vertrauensdiensteanbieter ausgestellt. Zuvor ist eine verlässliche Identifizierung der unterzeichnenden Person notwendig.

Eine QES hat in der EU grundsätzlich die gleiche Rechtswirkung wie eine handschriftliche Unterschrift. Sie kann auch als Fernsignatur umgesetzt werden, bei der die qualifizierte Signaturerstellungseinheit sicher durch einen Vertrauensdiensteanbieter betrieben wird.

Welches Signaturniveau passt zum Vertrag?

Die Auswahl sollte nicht pauschal nach dem Vertragswert erfolgen. Maßgeblich sind Formvorschriften, Haftungsrisiken, Identitätsanforderungen und die gewünschte Beweisqualität.

Konkrete Beispiele:

• Freigabe eines Standardangebots: Eine EES kann genügen, wenn keine besondere Form vorgeschrieben ist und der Ablauf eindeutig dokumentiert wird.
• Geheimhaltungsvereinbarung: Je nach Risikoprofil kommen EES oder FES infrage. Bei sensiblen Projekten kann eine stärkere Authentifizierung sinnvoll sein.
• Befristeter Arbeitsvertrag: Hier bestehen besondere gesetzliche Formanforderungen. Vor dem Einsatz eines elektronischen Verfahrens ist zu prüfen, ob und unter welchen Voraussetzungen die elektronische Form zulässig ist.
• Kündigung eines Arbeitsverhältnisses: Die elektronische Form ist nach deutschem Recht ausgeschlossen. Eine QES ersetzt in diesem Fall nicht die Papierform.
• Vertrag mit gesetzlicher Schriftform: Soweit die elektronische Form nicht ausgeschlossen ist, wird regelmäßig eine QES benötigt.

Unternehmen sollten diese Zuordnung nicht für jedes Dokument neu vornehmen. Eine interne Matrix kann Vertragstyp, Rechtsordnung, Formvorgabe, Signaturstufe, Freigaberegeln und Aufbewahrungsfrist festhalten.

So läuft die elektronische Unterschrift ab

Ein typischer Signaturprozess besteht aus sechs Schritten:

1. Formanforderungen prüfen: Zunächst wird geklärt, ob der Vertrag formfrei ist oder eine bestimmte Signaturstufe verlangt.
2. Finale Dokumentversion erstellen: Alle Anlagen, Preise, Laufzeiten und Vertragsparteien müssen vollständig enthalten sein. Änderungen während des laufenden Prozesses sollten eine neue Version auslösen.
3. Unterzeichner und Reihenfolge festlegen: Neben Namen und E-Mail-Adressen sind Vertretungsberechtigungen und gegebenenfalls eine feste Signierreihenfolge zu prüfen.
4. Authentifizierung durchführen: Abhängig vom Risiko kommen E-Mail-Link, Einmalcode, Kontoanmeldung oder ein Identifizierungsverfahren zum Einsatz.
5. Zustimmung und Signatur erfassen: Der Unterzeichner sieht das Dokument, bestätigt seine Erklärungsabsicht und führt die vorgesehene Signaturhandlung aus.
6. Dokument und Nachweise archivieren: Alle Parteien erhalten die signierte Fassung. Zusätzlich sollten relevante Zertifikats-, Zeit- und Prozessnachweise aufbewahrt werden.

Ein Beispiel: Ein Lieferant erhält einen Link zu einem Einkaufsvertrag. Nach Eingabe eines per SMS übermittelten Einmalcodes öffnet er das vollständige PDF, bestätigt seine Zustimmung und signiert. Anschließend signiert die vertretungsberechtigte Person des Auftraggebers. Beide erhalten dasselbe abgeschlossene Dokument samt Prozessnachweis.

Welche Nachweise sind wichtig?

Ein sichtbares Unterschriftsbild allein sagt wenig darüber aus, wer tatsächlich unterschrieben hat. Für die Nachvollziehbarkeit sind technische und organisatorische Nachweise wichtiger.

Ein Audit Trail kann unter anderem dokumentieren:

• welche Dokumentversion vorgelegt wurde,
• wann Einladungen, Aufrufe und Signaturen erfolgt sind,
• welche Authentifizierung eingesetzt wurde,
• welche Personen und Rollen beteiligt waren,
• ob das Dokument nach der Signatur verändert wurde,
• welche Zertifikate und Zeitstempel verwendet wurden.

Ein Audit Trail ist nicht automatisch eine elektronische Signatur und ersetzt keine gesetzlich vorgeschriebene QES. Er kann aber die Beweisführung unterstützen. Dabei sollte er verständlich exportierbar und dauerhaft dem richtigen Vertrag zugeordnet sein.

Bei signierten PDF-Dateien erlauben verbreitete Signaturformate die Prüfung, ob sich das Dokument nach der Signatur verändert hat. Für lange Aufbewahrungszeiträume können geeignete Zeitstempel und Validierungsdaten relevant sein, weil Zertifikate später ablaufen oder gesperrt werden können.

Datenschutz und Sicherheit im Signaturprozess

Elektronische Signaturen verarbeiten personenbezogene Daten. Dazu können Namen, geschäftliche Kontaktdaten, Authentifizierungsmerkmale, Protokolldaten und Vertragsinhalte gehören. Bei Identifizierungsverfahren können weitere sensible Daten anfallen.

Im Rahmen der DSGVO sollten Verantwortliche insbesondere folgende Punkte klären:

• Welche Daten werden für welchen Zweck benötigt?
• Auf welcher Rechtsgrundlage erfolgt die Verarbeitung?
• Ist der Signaturanbieter Auftragsverarbeiter und liegt ein geeigneter Vertrag vor?
• Welche Unterauftragsverarbeiter und internationalen Übermittlungen bestehen?
• Wie lange werden Dokumente, Protokolle und Identitätsdaten gespeichert?
• Welche technischen und organisatorischen Maßnahmen schützen die Daten?
• Wie werden Löschung, Auskunft und andere Betroffenenrechte umgesetzt?

Datensparsamkeit bleibt auch beim Audit Trail wichtig. Nicht jedes technisch erfassbare Merkmal muss gespeichert werden. Protokolldaten sollten sich auf das für Sicherheit, Nachweis und Betrieb Erforderliche beschränken.

Zu einem belastbaren Sicherheitskonzept gehören außerdem rollenbasierte Zugriffe, Mehrfaktor-Authentifizierung für Administrationskonten, Verschlüsselung bei Übertragung und Speicherung, nachvollziehbare Berechtigungsänderungen sowie geregelte Backups und Exporte.

Typische Fehler vermeiden

In digitalen Vertragsprozessen treten häufig vermeidbare Fehler auf:

• Es wird eine EES genutzt, obwohl eine gesetzliche Schriftform eine QES verlangt.
• Ein Unterschriftsbild wird eingefügt, ohne Identität und Zustimmung nachvollziehbar zu dokumentieren.
• Das Dokument wird nach einer Signatur geändert und nicht erneut unterzeichnet.
• Anlagen werden nur verlinkt, aber nicht eindeutig in die signierte Fassung einbezogen.
• Unterzeichner werden ausgewählt, ohne ihre Vertretungsberechtigung zu prüfen.
• Nach Abschluss wird nur das PDF, nicht aber der Prozessnachweis gespeichert.
• Vertragsdaten bleiben ohne definierte Frist im Signatursystem liegen.

Ein guter Prozess verbindet daher Formprüfung, Identitäts- und Berechtigungsprüfung, technische Integrität, Datenschutz und geordnete Archivierung. Die elektronische Signatur ist dabei nicht nur ein Bild am Ende eines PDFs, sondern ein dokumentierter Vorgang vom Versand bis zur langfristigen Aufbewahrung.