# DSGVO-konforme E-Signatur: Darauf kommt es an

> Serverstandort, Drittlandtransfer, AVV: Woran Sie eine wirklich DSGVO-konforme E-Signatur-Lösung erkennen und welche Fragen Sie jedem Anbieter stellen sollten.

Quelle: https://smartdocs.de/blog/dsgvo-konforme-e-signatur/

---

In Signaturvorgängen stecken personenbezogene Daten in konzentrierter Form: Namen, E-Mail-Adressen, Mobilfunknummern, IP-Adressen, Unterschriften und der Vertragsinhalt selbst. Wer eine E-Signatur-Lösung einführt, holt sich damit einen Auftragsverarbeiter ins Haus, und der muss zur DSGVO passen. Diese fünf Punkte entscheiden darüber, ob eine Lösung wirklich DSGVO-konform ist oder es nur behauptet.

## 1. Der Serverstandort: Wo liegen die Daten wirklich?

Die DSGVO verbietet keine internationalen Anbieter, aber sie macht Datentransfers in Drittländer aufwendig. Seit den Schrems-Urteilen des EuGH gilt: Wer Daten in die USA überträgt, braucht eine gültige Rechtsgrundlage, muss Standardvertragsklauseln abschließen und im Zweifel ein Transfer Impact Assessment durchführen. Dazu kommt der US CLOUD Act, der amerikanische Anbieter zur Herausgabe von Daten verpflichten kann, auch wenn diese auf europäischen Servern liegen.

Die einfachste Antwort auf dieses ganze Prüfprogramm: ein Anbieter, der ausschließlich in Deutschland hostet und keinem Drittlandrecht unterliegt. SmartDocs verarbeitet alle Daten in einem Rechenzentrum in Nürnberg, mehr dazu auf unserer [Sicherheitsseite](/sicherheit/).

**Fragen Sie den Anbieter:** In welchem Land stehen die Server? Unterliegt das Unternehmen oder ein Mutterkonzern dem Recht eines Drittlandes?

## 2. Der Auftragsverarbeitungsvertrag (AVV)

Sobald ein Dienstleister personenbezogene Daten für Sie verarbeitet, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Ein seriöser Anbieter hält den AVV samt Verzeichnis der Subdienstleister bereit, ohne dass Sie wochenlang danach fragen müssen.

**Fragen Sie den Anbieter:** Gibt es einen fertigen AVV? Welche Subunternehmer werden eingesetzt und wo sitzen sie?

## 3. Technische und organisatorische Maßnahmen (TOM)

Die DSGVO verlangt dem Risiko angemessene Schutzmaßnahmen (Art. 32). Für eine Signaturplattform heißt das mindestens: Verschlüsselung bei Übertragung und Speicherung, rollenbasierte Zugriffskontrollen, Protokollierung und ein geprüftes Rechenzentrum, erkennbar etwa an einer ISO-27001-Zertifizierung. Gut dokumentierte TOM sind auch für Ihr eigenes Verarbeitungsverzeichnis Gold wert.

**Fragen Sie den Anbieter:** Wie wird verschlüsselt? Gibt es eine aktuelle TOM-Dokumentation zum Download?

## 4. Datenminimierung und Löschkonzept

Signaturdaten haben einen Zweck: den Vertragsschluss nachweisbar machen. Eine DSGVO-konforme Lösung erhebt dafür nur die nötigen Daten und hat ein klares Löschkonzept, das zwischen dem Dokument, den Beweisdaten und den Kontodaten unterscheidet. Vorsicht bei Anbietern, die Signaturdaten für eigene Zwecke auswerten oder unklare Aufbewahrungsfristen haben.

**Fragen Sie den Anbieter:** Welche Daten werden zu welchem Zweck wie lange gespeichert? Wie funktioniert die Löschung nach Vertragsende?

## 5. Die Website-Ebene: oft vergessen, schnell geprüft

Auch der Weg zur Signatur muss stimmen. Werden Unterzeichnende auf eine Seite mit US-Trackern geschickt? Lädt der Signatur-Dialog Schriften von Google-Servern nach? Solche Details fallen Datenschutzbeauftragten sofort auf. Der SmartDocs-Signaturdialog verzichtet auf Tracking-Cookies und lädt keine Ressourcen von Drittservern nach. Unterzeichnende sehen ein Dokument, keinen Cookie-Banner.

**Fragen Sie den Anbieter:** Welche Drittdienste sind in den Signatur-Dialog eingebunden?

## Bonus: Beweissicherheit ist auch Datenschutz

Ein oft übersehener Zusammenhang: Die Integrität der Signaturdaten, also ihr Schutz vor nachträglicher Veränderung, ist selbst eine DSGVO-Anforderung (Art. 5 Abs. 1 lit. f). Eine kryptografische Beweiskette wie der SmartDocs Audit-Trail erfüllt damit gleich zwei Zwecke: Sie macht Verträge [gerichtsfest](/rechtsgueltigkeit/) und dokumentiert die Datenintegrität gegenüber der Aufsichtsbehörde.

## Die Checkliste für Ihre Anbieterauswahl

- Serverstandort Deutschland oder zumindest EU, ohne Drittland-Mutterkonzern
- AVV und Subdienstleisterliste sofort verfügbar
- Verschlüsselung bei Transport und Speicherung, ISO-27001-Umgebung
- Dokumentierte TOM und klares Löschkonzept
- Keine Tracker oder Drittland-Ressourcen im Signaturvorgang
- Audit-Trail mit Integritätsschutz

Wenn ein Anbieter alle sechs Punkte mit Unterlagen belegen kann, ist die DSGVO-Prüfung meist eine Sache von Tagen statt Monaten.

## Fazit

DSGVO-Konformität entscheidet sich nicht im Werbetext, sondern an Serverstandort, Verträgen und Technik. Mit einem deutschen Anbieter ohne Drittlandtransfer ersparen Sie sich den aufwendigsten Teil der Prüfung von vornherein. SmartDocs liefert AVV, TOM-Dokumentation und Löschkonzept direkt mit, [kostenlos testen](/preise/) können Sie ohnehin.