Artikel über: Elektronische Signatur

QES und Datenschutz: Welche Daten bei der Signatur wohin fließen

Wenn Sie einen Vertrag qualifiziert elektronisch signieren, sind mehrere Stellen beteiligt: ContractHero, unser Signatur-Dienstleister eidEasy und der Vertrauensdiensteanbieter, der Ihre Identität prüft (je nach Verfahren zum Beispiel Adacom, A-Trust, D-Trust, SignMe oder Swisscom AIS). Dieser Artikel zeigt Ihnen, welche Daten dabei wohin übermittelt werden und was davon bei ContractHero gespeichert wird.

Ihr Vorteil

Bei Datenschutzanfragen, Audits oder einer Prüfung durch Ihre Rechtsabteilung können Sie genau belegen, welche Daten die Grenze Ihres Systems verlassen. Das spart Rückfragen und macht die QES gegenüber Betriebsrat und Datenschutzbeauftragten nachvollziehbar.

So funktioniert's

Der Signaturvorgang läuft über drei Stationen.

1. Von ContractHero an eidEasy

Beim Start des Signaturlaufs übermitteln wir:

unsere API-Zugangsdaten
den Dateinamen des Vertrags
das vollständige PDF-Dokument

Personenbezogene Stammdaten übermitteln wir nicht als eigene Felder — weder Name noch E-Mail-Adresse oder Telefonnummer.

2. Von Ihnen an eidEasy und den Vertrauensdiensteanbieter

Die Identifikationsdaten geben Sie im Signaturvorgang direkt dort ein:

Telefonnummer für das One-Time-Password (OTP) per SMS
Foto Ihres Ausweises oder Reisepasses, inklusive Ausstellungsland
eine kurze Echtheitsprüfung per Smartphone-Kamera (kein Videocall)
Ihre Bestätigung der Geschäftsbedingungen des Anbieters

Diese Daten erreichen ContractHero nicht.

3. Zurück an ContractHero

Nach Abschluss des Signaturlaufs erhalten wir das signierte PDF. Gespeichert werden bei uns:

das signierte Dokument
die Vorgangs-ID von eidEasy
der Status des Signaturlaufs
der Zeitpunkt der Unterzeichnung

Die Identitätsdaten aus der Rückmeldung speichern wir nicht.

Häufige Fragen

Warum wird das vollständige Dokument übermittelt und nicht nur eine Prüfsumme?

Weil die QES nach dem PAdES-Standard erzeugt wird: Die Signatur wird direkt in die PDF-Datei eingebettet. Dafür muss die Datei selbst vorliegen, ein Hash reicht nicht aus.

Enthält das übermittelte Dokument personenbezogene Daten?

Ja, möglicherweise. Der Name der unterzeichnenden Person steht in den sichtbaren Signaturfeldern im PDF. Auch der Dateiname und der Vertragsinhalt selbst können personenbezogene Daten enthalten. Separate Datenfelder zur Person übermitteln wir nicht, das Dokument geht aber vollständig raus.

Speichert ContractHero meine Identifikationsdaten?

Nein. Ausweisfoto und Verifizierungsaufnahme erhalten wir nicht, und die Identitätsdaten aus der Rückmeldung speichern wir nicht. Die Zertifikatsdaten liegen, wie bei jeder qualifizierten Signatur, in der Signatur im PDF selbst.

Wie lasse ich meine Identifikationsdaten löschen?

Dafür ist der Vertrauensdiensteanbieter zuständig, bei dem Sie sich identifiziert haben. Bitte beachten Sie, dass für qualifizierte Signaturverfahren gesetzliche Aufbewahrungsfristen gelten können, die einer sofortigen Löschung entgegenstehen. Die konkreten Fristen und Voraussetzungen nennt Ihnen der jeweilige Anbieter verbindlich.

Woran erkenne ich, welchen Anbieter ich genutzt habe?

Am Signaturnachweis im signierten PDF. Alternativ finden Sie den Hinweis in der Bestätigungs-E-Mail zur Signatur.

Gut zu wissen

E-Mails von eidEasy sind deaktiviert. Die Einladung zur Signatur versendet ContractHero selbst.
Verantwortliche Stelle. Für personenbezogene Daten im ContractHero-Account Ihres Unternehmens ist Ihr Unternehmen verantwortlich, nicht ContractHero. Wir verarbeiten diese Daten im Auftrag.
Identitätsprüfung einmal pro Anbieter. Haben Sie sich einmal verifiziert, entfällt der Ausweis-Schritt bei der nächsten Signatur über denselben Anbieter.
Keine Rechtsberatung. Wir erklären Ihnen den technischen Ablauf. Für die rechtliche Bewertung ist Ihre Rechtsabteilung oder Ihr Datenschutzbeauftragter zuständig.