Compliance by Design bei grenzüberschreitenden Verträgen

Einführung

Bei einem Vertrag zwischen Parteien in Deutschland, China und einem weiteren EU-Markt reicht es nicht, eine einzige „globale“ Signaturregel festzulegen. Vor dem Versand muss klar sein, welche Anforderungen aus dem konkreten Dokument, dem jeweiligen Rechtsraum und dem gewählten Signaturverfahren folgen und welcher Nachweis dafür erhalten bleibt.

Compliance by Design ist in diesem Zusammenhang ein Gestaltungsansatz: Die relevanten Prüfungen werden nicht erst nach der Signatur nachgeholt, sondern bereits in den Vertrags- und Signaturprozess eingebaut. Dabei sollten Deutschland, China und die EU nicht wie drei vollständig voneinander unabhängige Rechtsordnungen behandelt werden. Deutschland ist Teil des EU-Rechtsraums und unterliegt dem eIDAS-Rahmen; daneben können für ein konkretes Dokument zusätzliche nationale Anforderungen relevant sein. China hat eigene Regeln für elektronische Signaturen.

Ein belastbarer Compliance-Plan trennt deshalb die Prüfpfade, ohne ihre Überschneidungen zu ignorieren. Er ordnet jeder Anforderung einen Prüfpunkt, einen Verantwortlichen und einen Nachweis zu und hält fest, welche Punkte vor dem Versand geklärt sein müssen.

Nota Sign unterstützt fortgeschrittene elektronische Signaturen (AES), qualifizierte elektronische Signaturen (QES) nach eIDAS und grenzüberschreitende Signaturabläufe. Teams können die freigegebenen Prüfpfade für Deutschland, weitere EU-Märkte und China mit Vertragsversion, Unterzeichnenden und Nachweislogik in einem kontrollierten Workflow verbinden.

Vertrag, Parteien und Prüfpfade zuerst abgrenzen

Der Compliance-Plan sollte mit dem konkreten Vertrag beginnen, nicht mit einer Liste von Signaturtechnologien. Dokumenttyp, beteiligte Parteien, vorgesehene Unterzeichner und die betroffenen Rechtsräume bestimmen, welche Fragen tatsächlich geprüft werden müssen.

Für den hier beschriebenen Referenzfall sind drei Prüfpfade sinnvoll:

Diese Trennung verhindert zwei typische Fehler: EU-Vorgaben werden nicht doppelt als „deutsche“ und „europäische“ Regel gezählt, und chinesische Anforderungen werden nicht aus einer eIDAS-Klassifizierung abgeleitet.

Deutschland: eIDAS-Anforderungen mit dem konkreten Dokument verbinden

Für elektronische Signaturen in Deutschland bildet eIDAS den unionsrechtlichen Rahmen. Bei einer fortgeschrittenen elektronischen Signatur verlangt Artikel 26 unter anderem eine eindeutige Zuordnung zum Unterzeichner, die Möglichkeit seiner Identifizierung und eine Verbindung mit den signierten Daten, durch die nachträgliche Änderungen erkennbar werden.

Für den Compliance-Plan reicht es deshalb nicht, lediglich „AES“ oder „QES“ als Signaturstufe einzutragen. Der Prüfpfad sollte dokumentieren, welcher Unterzeichner welcher Vertragsfassung zugeordnet ist, welches Verfahren eingesetzt wird und welche Validierungs- oder Ereignisdaten den Signaturvorgang später nachvollziehbar machen.

Ob für das konkrete Dokument eine bestimmte Form oder Signaturstufe erforderlich ist, muss gesondert beurteilt werden. eIDAS definiert Signaturarten und ihre rechtlichen Wirkungen, entscheidet aber nicht allein, welche Form ein bestimmter Vertrag nach dem einschlägigen Sachrecht einhalten muss.

China: Zuverlässigkeitskriterien und Rechtswirkung getrennt prüfen

Das chinesische Gesetz über elektronische Signaturen trennt die Kriterien einer zuverlässigen elektronischen Signatur von ihrer Rechtswirkung. Artikel 13 nennt unter anderem Anforderungen an die Zuordnung und Kontrolle der Signaturerstellungsdaten sowie daran, dass Änderungen an der Signatur und am Dateninhalt nach dem Signieren erkennbar sein können.

Artikel 14 regelt anschließend die Rechtswirkung: Eine zuverlässige elektronische Signatur hat danach die gleiche rechtliche Wirkung wie eine handschriftliche Unterschrift oder ein Stempel.

Für einen grenzüberschreitenden Workflow sollte der Compliance-Plan diese beiden Ebenen nicht vermischen. Zuerst ist zu prüfen, ob das eingesetzte Verfahren für den konkreten chinesischen Vorgang die relevanten Zuverlässigkeitsanforderungen erfüllt. Erst danach lässt sich die daraus folgende rechtliche Wirkung beurteilen. Eine europäische Bezeichnung wie AES oder QES ersetzt diese Prüfung nicht automatisch.

Der Nachweis sollte daher nicht nur den Namen des Signaturverfahrens enthalten, sondern auch die für den Vorgang relevanten technischen und organisatorischen Kontrollen dokumentieren.

EU-Ebene: Qualifizierte Zertifikate nur dort prüfen, wo sie tatsächlich relevant sind

Nicht jede elektronische Signatur in der EU benötigt ein qualifiziertes Zertifikat. Die Anforderungen aus Anhang I der eIDAS-Verordnung werden relevant, wenn ein qualifiziertes Zertifikat für elektronische Signaturen eingesetzt wird, insbesondere im Zusammenhang mit einer QES.

Anhang I verlangt unter anderem eine Angabe, zumindest in einer für die automatische Verarbeitung geeigneten Form, dass es sich um ein qualifiziertes Zertifikat für elektronische Signaturen handelt. Außerdem muss das Zertifikat Daten enthalten, die den ausstellenden qualifizierten Vertrauensdiensteanbieter eindeutig ausweisen.

Im Compliance-Plan sollte deshalb zuerst die erforderliche oder gewählte Signaturstufe feststehen. Nur wenn der Workflow tatsächlich ein qualifiziertes Zertifikat voraussetzt, gehört die Prüfung der Angaben nach Anhang I in diesen Pfad. Für eine AES ohne qualifiziertes Zertifikat wäre diese Kontrolle dagegen nicht die passende Hauptprüfung.

So bleibt die Kontrollmatrix technisch und rechtlich nachvollziehbar, statt Zertifikatsanforderungen pauschal auf jeden EU-Signaturvorgang zu übertragen.

Nachweise über Rechtsräume hinweg zusammenführen

Getrennte Prüfpfade bedeuten nicht getrennte Akten ohne Zusammenhang. Für die spätere Prüfung sollte eine gemeinsame Nachweismatrix zeigen, welche Vertragsfassung von welcher Partei mit welchem Verfahren signiert wurde und welche lokale Kontrolle dazu gehört.

Sinnvoll ist eine Zuordnung von:

• Vertrags- und Versionskennung;
• Partei und Unterzeichner;
• betroffenem Rechtsraum;
• gewählter Signaturstufe oder lokalem Signaturverfahren;
• Identitäts- und Berechtigungsprüfung;
• Zertifikats- oder Trust-Service-Informationen, soweit relevant;
• Integritäts- und Validierungsnachweis;
• offenem Befund und verantwortlicher Freigabestelle.

Ein offener Punkt sollte nicht durch einen Nachweis aus einem anderen Rechtsraum „ersetzt“ werden. Wenn beispielsweise die eIDAS-Validierung vollständig ist, aber die Anforderungen des chinesischen Prüfpfads noch nicht geklärt sind, bleibt der Compliance-Plan insgesamt offen.

Compliance-Plan vor dem Versand freigeben

Die Freigabe ist der Abschluss der Planung, nicht der Ersatz für die einzelnen Prüfungen. Vor dem Versand sollte erkennbar sein, dass jeder relevante Prüfpfad bearbeitet wurde, offene Punkte einer verantwortlichen Stelle zugeordnet sind und die vorgesehenen Nachweise mit der richtigen Vertragsversion verbunden werden.

Im Referenzfall endet der Prozess mit einem freigegebenen Compliance-Plan, der die eIDAS-Anforderungen für den deutschen und weiteren EU-Kontext sowie die chinesischen Anforderungen getrennt abbildet und ihre Nachweise in einer gemeinsamen Struktur zusammenführt.

Für einen Nota-Sign-Workflow bedeutet das: Signaturstufe, Unterzeichner, Vertragsversion und Nachweislogik werden vor dem Versand festgelegt. Die rechtliche Bewertung des konkreten Vertrags bleibt davon getrennt und richtet sich nach dem anwendbaren Recht und den Umständen des Vorgangs.

Nächster Schritt: Bauen Sie mit Nota Sign einen Pilotworkflow, der die drei Prüfpfade vor dem Versand sichtbar zusammenführt und jede Freigabe mit der finalen Vertragsversion verbindet.