Wer einen Vertrag online unterschreiben lassen möchte, benötigt zunächst einen klar definierten Prozess. Das Hochladen eines PDFs und der Versand eines Links reichen allein nicht aus. Vorab ist zu klären, welche Formanforderungen gelten, wie Unterzeichnende identifiziert werden und welche Nachweise nach Abschluss verfügbar sein müssen.

Technik, Recht und interne Abläufe greifen dabei ineinander. Ein gut aufgebauter Prozess reduziert Rückfragen, verhindert die Verwendung falscher Dokumentversionen und sorgt dafür, dass die abgeschlossene Transaktion später nachvollzogen werden kann.

1. Formanforderungen vor dem Versand prüfen

Nicht jeder Vertrag benötigt dieselbe Art von Signatur. Viele Verträge können grundsätzlich formfrei geschlossen werden. Für bestimmte Erklärungen können jedoch gesetzliche, vertragliche oder intern festgelegte Formanforderungen gelten.

Vor der technischen Umsetzung sollten deshalb folgende Fragen beantwortet werden:

• Ist für den Vertrag eine bestimmte Form vorgeschrieben?
• Enthält der bestehende Vertrag eine Schriftformklausel?
• Gibt es branchenspezifische Vorgaben oder interne Freigaberichtlinien?
• Muss die Identität der unterzeichnenden Person besonders zuverlässig festgestellt werden?
• Ist neben der Signatur eine notarielle Beurkundung oder eine andere zusätzliche Form erforderlich?

Nach der eIDAS-Verordnung darf einer elektronischen Signatur die Rechtswirkung und die Zulässigkeit als Beweismittel nicht allein deshalb abgesprochen werden, weil sie elektronisch ist oder nicht die Anforderungen einer qualifizierten elektronischen Signatur erfüllt. Nur die qualifizierte elektronische Signatur, kurz QES, hat jedoch ausdrücklich die gleiche Rechtswirkung wie eine handschriftliche Unterschrift.

Welche Form im Einzelfall erforderlich oder zweckmäßig ist, sollte bei Unsicherheit rechtlich geprüft werden. Ein Signaturdienst ersetzt diese Bewertung nicht.

2. Das passende Signaturniveau wählen

eIDAS unterscheidet drei Signaturniveaus:

• Einfache elektronische Signatur (EES): Dazu können ein eingegebener Name, eine eingescannte Unterschrift oder eine Bestätigung über eine Schaltfläche gehören. Die Aussagekraft hängt stark vom begleitenden Prozess ab.
• Fortgeschrittene elektronische Signatur (FES): Sie muss eindeutig der unterzeichnenden Person zugeordnet sein, deren Identifizierung ermöglichen, unter ihrer Kontrolle erstellt werden und nachträgliche Veränderungen der signierten Daten erkennbar machen.
• Qualifizierte elektronische Signatur (QES): Sie ist eine FES, die auf einem qualifizierten Zertifikat beruht und mit einer qualifizierten Signaturerstellungseinheit erzeugt wird. Dafür ist regelmäßig eine Identitätsprüfung über einen qualifizierten Vertrauensdiensteanbieter erforderlich.

Die Auswahl sollte sich nicht nur am Vertragswert orientieren. Wichtiger sind die gesetzliche Form, das Risiko eines Identitätsstreits, die Sensibilität des Vorgangs und die benötigte Beweiskraft.

Für ein gewöhnliches freizugebendes Angebot kann beispielsweise ein nachvollziehbarer EES- oder FES-Prozess ausreichen, sofern keine strengere Form gilt. Bei einem Vertrag mit hohem Streitpotenzial kann eine stärkere Identifizierung sinnvoll sein. Muss eine gesetzliche Schriftform elektronisch ersetzt werden, kommt nach deutschem Recht grundsätzlich die QES in Betracht, soweit keine Ausnahme oder abweichende Regelung greift.

3. Das Dokument signierfertig vorbereiten

Vor dem Upload sollte eine verbindliche Endfassung vorliegen. Nachträgliche redaktionelle Änderungen führen sonst zu neuen Versionen und können bereits eingeholte Signaturen unbrauchbar machen.

Eine praktische Dokumentprüfung umfasst:

1. Namen, Firmenbezeichnungen und Anschriften kontrollieren.
2. Anlagen und Leistungsbeschreibungen vollständig beifügen.
3. Beträge, Laufzeiten, Kündigungsfristen und Datumsangaben prüfen.
4. Unnötige Kommentare, ausgeblendete Inhalte und Metadaten entfernen.
5. Das Dokument in ein stabiles PDF überführen.
6. Signatur-, Datums- und Texteingabefelder eindeutig platzieren.

Bei mehreren Dokumenten sollte erkennbar sein, was tatsächlich signiert wird. Anlagen können Teil eines gemeinsamen PDF sein oder innerhalb eines zusammenhängenden Signaturvorgangs bereitgestellt werden. Entscheidend ist, dass die Zuordnung später zweifelsfrei nachvollzogen werden kann.

Ein sichtbares Unterschriftsbild ist dabei nicht mit einer kryptografischen Signatur gleichzusetzen. Es dient in erster Linie der Darstellung. Technische Integritätsnachweise, Zertifikatsinformationen und Prozessdaten müssen separat erhalten bleiben.

4. Unterzeichnende und Reihenfolge festlegen

Im nächsten Schritt werden Rollen und Ablauf definiert. Typische Varianten sind:

• alle Parteien unterschreiben gleichzeitig,
• eine Partei unterschreibt erst nach der anderen,
• eine interne Freigabe erfolgt vor dem externen Versand,
• mehrere Personen unterschreiben für dieselbe Organisation,
• eine Person erhält das Dokument nur zur Kenntnisnahme.

Bei einer sequenziellen Unterzeichnung sollte feststehen, was bei Ablehnung, Ablauf der Einladung oder einem Wechsel der zuständigen Person geschieht. Ebenso wichtig ist die Vertretungsberechtigung. Die technische Möglichkeit, einen Link zu öffnen, belegt nicht automatisch, dass jemand ein Unternehmen wirksam vertreten darf.

Die E-Mail-Adresse ist sorgfältig zu erfassen. Je nach Risikoniveau können zusätzliche Verfahren wie Einmalcodes per SMS, Anmeldung in einem Kundenkonto, Identitätsdokumentprüfung oder ein QES-Identifizierungsverfahren eingesetzt werden. Eine höhere Hürde ist jedoch nicht automatisch besser: Sie sollte zur Transaktion passen und für die betroffenen Personen zugänglich sein.

5. Einladung und Signaturprozess verständlich gestalten

Die Einladung sollte den Absender, den Zweck, das betroffene Dokument und eine Kontaktmöglichkeit für Rückfragen nennen. Unklare Standardmails erhöhen das Risiko, dass Empfänger den Link für Phishing halten oder den Vorgang abbrechen.

Ein typischer Ablauf sieht so aus:

1. Die empfangende Person öffnet einen zeitlich begrenzten Link.
2. Falls vorgesehen, erfolgt eine zusätzliche Authentifizierung.
3. Das vollständige Dokument kann vor der Signatur eingesehen werden.
4. Pflichtfelder werden ausgefüllt und erforderliche Zustimmungen abgegeben.
5. Die Signatur wird erstellt und technisch mit dem Dokument verknüpft.
6. Alle Parteien erhalten die abgeschlossene Fassung oder einen sicheren Zugriff darauf.

Erinnerungen können den Prozess unterstützen, sollten aber in angemessenen Abständen erfolgen. Abgelaufene oder widerrufene Links dürfen keinen erneuten Zugriff ermöglichen. Korrekturen sollten nicht innerhalb eines bereits laufenden Dokuments vorgenommen werden; sicherer ist es, den Vorgang abzubrechen und eine eindeutig bezeichnete neue Version zu versenden.

6. Audit-Trail und Zeitnachweise erhalten

Neben dem signierten PDF ist der Audit-Trail ein zentraler Bestandteil der Dokumentation. Er kann unter anderem Versand, Zugriff, Authentifizierung, Zustimmung, Signatur und Abschluss mit Zeitangaben protokollieren. Welche Daten tatsächlich erfasst werden, hängt vom eingesetzten Dienst und dessen Konfiguration ab.

Ein Audit-Trail beweist nicht automatisch jede behauptete Tatsache. Er kann aber helfen, den Ablauf schlüssig zu dokumentieren. Dabei ist zwischen einfachen Systemzeitangaben und qualifizierten elektronischen Zeitstempeln zu unterscheiden. Qualifizierte Zeitstempel unterliegen den Anforderungen der eIDAS-Verordnung und genießen besondere gesetzliche Vermutungen hinsichtlich Zeitpunkt und Datenintegrität.

Für die spätere Prüfung sollten das unveränderte Original-PDF, Zertifikats- und Validierungsinformationen sowie der zugehörige Audit-Trail gemeinsam aufbewahrt werden. Ein Ausdruck oder ein Scan bildet die technischen Signaturdaten nicht vollständig ab.

7. DSGVO und Zugriffsschutz berücksichtigen

Signaturvorgänge verarbeiten personenbezogene Daten, etwa Namen, E-Mail-Adressen, IP-Adressen, Authentifizierungsmerkmale und Vertragsinhalte. Unternehmen sollten daher klären, welche Daten für welchen Zweck benötigt werden und wie lange sie gespeichert bleiben.

Zu den relevanten Prüfpunkten gehören:

• Rollenverteilung zwischen Verantwortlichem und Auftragsverarbeiter,
• Vertrag zur Auftragsverarbeitung, soweit erforderlich,
• Unterauftragsverarbeiter und mögliche Drittlandübermittlungen,
• Verschlüsselung bei Übertragung und Speicherung,
• rollenbasierte Zugriffsrechte und Mehrfaktor-Authentifizierung,
• Lösch- und Aufbewahrungsfristen,
• Protokollierung administrativer Zugriffe,
• Verfahren für Auskunfts-, Berichtigungs- und Löschanfragen.

Datensparsamkeit gilt auch für den Audit-Trail. Nur weil technische Daten erhoben werden können, müssen sie nicht unbegrenzt gespeichert werden. Gesetzliche Aufbewahrungspflichten und die Erforderlichkeit als Nachweis sind gegen Löschpflichten und interne Datenschutzvorgaben abzuwägen.

8. Abschluss, Prüfung und Archivierung

Nach der letzten Signatur sollte der Vorgang nicht lediglich als „erledigt“ markiert werden. Sinnvoll ist eine Abschlusskontrolle: Sind alle erforderlichen Personen erfasst? Ist die Signatur technisch gültig? Stimmt die abgeschlossene Version mit der freigegebenen Fassung überein?

Das signierte Original sollte in einem zugriffsgeschützten Vertragsarchiv gespeichert werden. Für längere Aufbewahrungszeiträume kann es erforderlich sein, Validierungsdaten zu erhalten oder Signaturen und Zeitnachweise technisch zu erneuern. Zertifikatsablauf und langfristige Prüfbarkeit sollten daher bereits bei der Auswahl des Formats und des Signaturdienstes berücksichtigt werden.

Ein belastbarer digitaler Vertragsprozess endet somit nicht bei der sichtbaren Unterschrift. Er verbindet die passende Signaturart mit einer kontrollierten Dokumentversion, einem verständlichen Workflow, geeigneten Datenschutzmaßnahmen und einer überprüfbaren Archivierung.