Elektronisch unterschreiben: welche Signatur wofür reicht

Für eine elektronische Unterschrift gibt es drei Stufen: die einfache, die fortgeschrittene und die qualifizierte elektronische Signatur. Die Regeln dafür stehen in einer Verordnung der EU, die kurz eIDAS-Verordnung heißt und in allen Mitgliedstaaten gilt.

Die einfache Signatur ist die weiteste Stufe. Dazu zählen nach der Verordnung alle elektronischen Daten, die jemand einem Dokument beifügt, um es zu unterzeichnen. Das BSI, das Bundesamt für Sicherheit in der Informationstechnik, nennt als Beispiele die eingescannte Unterschrift und den Namen unter einer E-Mail. Besonderen Schutz vor Fälschung bietet sie nach dem BSI nicht.

Die fortgeschrittene Signatur muss vier Bedingungen erfüllen. Sie ist eindeutig einer Person zugeordnet und macht diese Person erkennbar. Sie entsteht mit Mitteln, die nur diese Person unter ihrer Kontrolle hat. Und jede spätere Änderung am Dokument lässt sich erkennen. Dahinter steckt meist eine Technik aus der Kryptografie, die das BSI digitale Signatur nennt.

Die qualifizierte Signatur, kurz QES, setzt auf der fortgeschrittenen auf und verlangt zwei Dinge mehr. Welche das sind, steht im nächsten Abschnitt. Einem PDF sieht man die Stufe nicht immer an. Was dahintersteckt, zeigt sich erst, wenn jemand die Signatur prüft oder wenn es Streit gibt.

Die qualifizierte elektronische Signatur ist die höchste der drei Stufen aus der eIDAS-Verordnung. Sie beruht auf einem qualifizierten Zertifikat, das ein Anbieter erst nach einer Prüfung der Identität ausstellt. Erstellt wird sie mit einer dafür zugelassenen Technik. Nach der Verordnung hat sie die gleiche Rechtswirkung wie eine handschriftliche Unterschrift. Nach dem Bürgerlichen Gesetzbuch ersetzt sie die Schriftform, wenn ein Gesetz das nicht ausschließt.

Die Identität prüft der Anbieter nach der Verordnung zum Beispiel mit dem Ausweis vor Ort oder mit einem anderen Verfahren, das die Person mit hohem Vertrauen erkennt. Deshalb braucht jede Person, die qualifiziert unterschreiben soll, ein eigenes Zertifikat. Welche Anbieter dafür zugelassen sind, steht in einer Liste, die in Deutschland die Bundesnetzagentur führt.

Der Unterschied zu den beiden anderen Stufen zeigt sich vor Gericht. Ein Dokument mit qualifizierter Signatur zählt nach der Zivilprozessordnung wie eine unterschriebene Urkunde. Wer seine Echtheit anzweifelt, muss Tatsachen nennen, die ernstliche Zweifel begründen. Den anderen Stufen darf ein Gericht die Zulässigkeit als Beweismittel nicht allein deshalb absprechen, weil sie elektronisch sind. Diesen Vorteil sieht die Zivilprozessordnung für sie aber nicht vor.

Eine bestimmte Form braucht ein Papier nur, wenn ein Gesetz sie vorschreibt oder wenn beide Seiten sie vereinbart haben. Fehlt eine vorgeschriebene Form, ist das Geschäft in der Regel nichtig, so steht es im Bürgerlichen Gesetzbuch (§ 125 BGB). Manche Gesetze sehen eine andere Folge vor, etwa beim Mietvertrag. Für alles andere entscheiden Sie selbst, wie viel Sicherheit die Unterschrift haben soll.

Angebot und Auftrag unter Betrieben brauchen in der Regel keine vorgeschriebene Form. Ein unterschriebenes PDF per Mail ist dann eine einfache Signatur, und ein Gericht darf sie nicht allein deshalb zurückweisen, weil sie elektronisch ist (Art. 25 eIDAS-Verordnung). Unsere eigenen Angebote schicken wir in Textform, also zum Beispiel per E-Mail. So steht es in unseren AGB.

Verlangt ein Vertrag für Änderungen die Schriftform, reicht im Zweifel auch eine Erklärung per Fax oder E-Mail. Haben beide Seiten eine elektronische Form vereinbart, genügt im Zweifel auch eine andere Signatur als die qualifizierte (§ 127 BGB). Was Ihr Vertragspartner darunter versteht, klären Sie besser vorher.

Der Arbeitsvertrag selbst kommt in der Regel ohne vorgeschriebene Form aus, zwei Dinge darum herum nicht. Die Befristung ist nur wirksam, wenn sie schriftlich vereinbart ist (§ 14 Abs. 4 Teilzeit- und Befristungsgesetz). Dafür reicht Papier mit beiden Unterschriften oder ein Dokument, das beide Seiten qualifiziert signieren. Die wesentlichen Vertragsbedingungen muss der Arbeitgeber schriftlich niederlegen und unterschreiben. Inzwischen geht das für viele Betriebe auch in Textform, etwa als PDF per Mail. Ausgenommen sind Branchen wie das Baugewerbe, die Gastronomie und die Gebäudereinigung. Der Arbeitgeber fordert dabei einen Empfangsnachweis an, und auf Verlangen bekommt der Mitarbeiter die Niederschrift auf Papier (§ 2 Nachweisgesetz).

Die Kündigung eines Arbeitsverhältnisses und ein Aufhebungsvertrag müssen schriftlich sein, und hier schließt das Gesetz die elektronische Form ausdrücklich aus (§ 623 BGB). Eine Kündigung als PDF erfüllt diese Form nicht, auch nicht mit qualifizierter Signatur. Hier bleibt es bei Papier und eigenhändiger Unterschrift. Das Arbeitszeugnis darf mit Einwilligung des Mitarbeiters in elektronischer Form erteilt werden, also mit qualifizierter Signatur (§ 109 Abs. 3 Gewerbeordnung).

Beim Mietvertrag kommt es darauf an, was gemietet wird. Ein Wohnungsmietvertrag über mehr als ein Jahr braucht die Schriftform, sonst gilt er auf unbestimmte Zeit (§ 550 BGB). Für Gewerberäume verweist das Gesetz an dieser Stelle auf die Textform, ein PDF mit einfacher Signatur kann also reichen (§ 578 BGB). Eine Bürgschaft, wie sie etwa eine Bank verlangt, geht dagegen nur auf Papier. Die elektronische Form ist dort ausgeschlossen (§ 766 BGB). Bürgt Ihr Betrieb selbst als Kaufmann, gilt diese Form nach dem Handelsgesetzbuch nicht (§ 350 HGB).

Für den Vertrag zur Auftragsverarbeitung mit Ihrem IT-Dienstleister lässt die Datenschutz-Grundverordnung ein elektronisches Format ausdrücklich zu (Art. 28 Abs. 9). Ob ein bestimmtes Papier bei Ihnen eine Form braucht, sagt im Zweifel Ihr Anwalt.

Wer für Ihren Betrieb elektronisch unterschreibt, tut das mit einer eigenen Signatur. Eine Signatur gehört nach der Verordnung immer zu einer natürlichen Person, nie zur Firma. Für die Firma gibt es das elektronische Siegel. Das BSI nennt es einen Herkunftsnachweis, etwa für Bescheide, Urkunden und Kontoauszüge. Eine Willenserklärung gibt man nach dem BSI mit der Signatur ab. Jede Person, die für Sie unterschreiben soll, braucht deshalb einen eigenen Zugang und bei der qualifizierten Stufe ein eigenes Zertifikat auf ihren Namen.

Wer für den Betrieb unterschreiben darf, regeln Sie wie beim Papier: Geschäftsführung, Prokura oder Vollmacht. Wer im Signaturwerkzeug für den Betrieb unterschreiben kann, gehört in dieselbe Übersicht wie die übrigen Zugriffsrechte, also in das Berechtigungskonzept.

Das signierte Dokument bleibt eine Datei. Drucken Sie es aus, ist die Signatur nur noch ein Bild, und ein Scan davon ist wieder eine einfache Signatur. Die Datei gehört deshalb an einen festen Ort, an dem sie über die ganze Aufbewahrungsfrist wiedergefunden wird. In Microsoft 365 ist das SharePoint und nicht das persönliche OneDrive. Ob sie dort auch unverändert bleibt, erklärt die Seite Revisionssicher.

Ob Papier nach dem Scannen weg darf, ist eine eigene Frage. Sie steht unter Papierloses Büro. Und ein signiertes PDF per Mail ist unterwegs so offen wie jede andere Mail. Stehen personenbezogene Daten darin, gelten die Regeln zur E-Mail-Verschlüsselung.

Wir sind die externe IT-Abteilung für Betriebe und Vereine im Raum Köln, die keine eigene haben.

Wir bauen gerne das Gerät auf, mit dem man unterschreiben kann, und wir installieren das. Wir kümmern uns auch gerne um die Kommunikation mit dem Anbieter und regeln das für Sie.