5. Juni 2026
Einführung
Bei einem deutsch-chinesischen Signaturprozess müssen Datenschutz und Signaturrecht getrennt geprüft werden. Ein elektronisch unterzeichneter Vertrag kann einen belastbaren Signaturnachweis liefern, beantwortet aber nicht automatisch, auf welcher Grundlage personenbezogene Daten verarbeitet oder zwischen Deutschland und China übermittelt werden dürfen.
Für die deutsche beziehungsweise EU-Seite stehen vor allem die Datenschutz-Grundverordnung (DSGVO) und, soweit einschlägig, ergänzende Regelungen des Bundesdatenschutzgesetzes (BDSG) im Mittelpunkt. Auf chinesischer Seite ist insbesondere das Personal Information Protection Law (PIPL) zu berücksichtigen. Daneben gelten in beiden Rechtsräumen eigene Regeln für elektronische Signaturen.
Für die Praxis empfiehlt sich deshalb eine Datenschutzliste als internes Kontrollinstrument. Sie ist kein gesetzlich vorgeschriebenes Standardformular, sondern bündelt den konkreten Datenfluss, die beteiligten Stellen, die jeweilige Rechtsgrundlage, mögliche grenzüberschreitende Übermittlungen und die Freigaben vor dem Versand. So lässt sich vermeiden, dass ein Nachweis aus einer Rechtsordnung unbesehen auf die andere übertragen wird.
Den Datenfluss vor der Signatur abbilden
Die Datenschutzprüfung beginnt nicht mit der Signaturart, sondern mit dem tatsächlichen Datenfluss. Je nach Workflow können etwa Name, geschäftliche Kontaktdaten, Rollenangaben, Zeitstempel, Protokolldaten, Zertifikatsinformationen oder Daten aus einer Identitätsprüfung verarbeitet werden. Welche Kategorien tatsächlich anfallen, hängt von der Konfiguration des Signaturprozesses ab.
Die Datenschutzliste sollte deshalb den konkreten Vertrag oder Vorgang eindeutig referenzieren und für jede relevante Verarbeitung festhalten, wer über Zweck und Mittel entscheidet, welche Dienstleister eingebunden sind und welche Empfänger Zugriff erhalten. Ebenso wichtig ist die Frage, in welchem Land Daten gespeichert, verarbeitet oder an einen Empfänger weitergegeben werden.
Ein kompaktes Prüfraster kann beispielsweise so aussehen:
Damit wird aus einer abstrakten Rechtsprüfung ein kontrollierbarer Teil des Signaturprozesses. Entscheidend ist, dass die Liste die tatsächliche technische und organisatorische Gestaltung abbildet und nicht nur die Länder der Vertragsparteien.
Datenschutz auf deutscher Seite nach DSGVO und BDSG einordnen
Für eine Verarbeitung im Anwendungsbereich der DSGVO sollten zunächst Zweck, Datenkategorien und Rechtsgrundlage geklärt werden. Artikel 5 DSGVO enthält die zentralen Verarbeitungsgrundsätze; Artikel 6 regelt die Rechtmäßigkeit der Verarbeitung. Je nach Ablauf können außerdem Informationspflichten, Anforderungen an Auftragsverarbeitung und technische sowie organisatorische Schutzmaßnahmen relevant sein. Das BDSG ergänzt die DSGVO in den Bereichen, in denen das deutsche Recht eigene oder ergänzende Regelungen vorsieht.
Wird ein Signaturprozess technisch über mehrere Unternehmen oder Dienstleister abgewickelt, sollte nicht allein auf die Vertragsparteien geschaut werden. Für die Datenschutzprüfung ist ebenso relevant, welche Stelle welche Daten zu welchem Zweck verarbeitet und in welcher Rolle sie handelt.
Werden personenbezogene Daten aus dem Anwendungsbereich der DSGVO an einen Empfänger in China übermittelt, ist zusätzlich das Drittlandtransfer-Regime der Artikel 44 ff. DSGVO zu prüfen. Welcher Transfermechanismus oder welche zusätzliche Schutzmaßnahme erforderlich ist, hängt von der konkreten Übermittlung, den beteiligten Parteien und der jeweils aktuellen Rechtslage ab. Die Datenschutzliste sollte daher nicht lediglich „Deutschland → China“ vermerken, sondern auch die geprüfte Grundlage und den zugehörigen Nachweis.
Datenschutz auf chinesischer Seite nach dem PIPL prüfen
Das chinesische PIPL regelt die Verarbeitung personenbezogener Informationen und enthält eigene Anforderungen an Zweck, Erforderlichkeit, Transparenz und Verantwortlichkeit. Für einen deutsch-chinesischen Signaturprozess sollte die chinesische Seite deshalb separat festhalten, auf welcher Grundlage personenbezogene Informationen verarbeitet werden und welche Informationspflichten gegenüber den betroffenen Personen bestehen.
Besondere Aufmerksamkeit ist erforderlich, wenn eine Identitätsprüfung sensible personenbezogene Informationen einbezieht. Das PIPL nennt unter anderem biometrische Merkmale als sensible personenbezogene Informationen und stellt für deren Verarbeitung erhöhte Anforderungen. Ob solche Daten im Signaturprozess tatsächlich verarbeitet werden, sollte aus der gewählten Identitäts- und Signaturmethode hervorgehen und nicht pauschal unterstellt werden.
Werden personenbezogene Informationen aus China ins Ausland bereitgestellt, sind außerdem die Regeln des PIPL für grenzüberschreitende Übermittlungen sowie die jeweils geltenden chinesischen Umsetzungsbestimmungen zu prüfen. Je nach Sachverhalt können zusätzliche Informations-, Einwilligungs-, Bewertungs-, Vertrags- oder Verfahrensanforderungen relevant sein. Das PIPL sieht für bestimmte risikoreiche Verarbeitungsvorgänge, darunter die Bereitstellung personenbezogener Informationen ins Ausland, zudem eine vorherige persönliche Informationsschutz-Folgenabschätzung vor.
Für die Freigabe genügt daher nicht der Hinweis, dass ein Vertrag elektronisch signiert wird. Datenschutzteam und Prozessverantwortliche müssen nachvollziehen können, welche Daten die chinesische Seite verarbeitet, ob ein Auslandsbezug besteht und welcher Nachweis die getroffene Entscheidung stützt.
Signaturrecht und Datenschutz nicht vermischen
Datenschutzrecht und Signaturrecht verfolgen unterschiedliche Zwecke. Auf deutscher beziehungsweise EU-Seite unterscheidet die eIDAS-Verordnung unter anderem zwischen fortgeschrittenen und qualifizierten elektronischen Signaturen. In China definiert das Gesetz über elektronische Signaturen eigene Voraussetzungen für eine „zuverlässige elektronische Signatur“. Die Begriffe und Rechtsfolgen sind nicht automatisch deckungsgleich.
Deshalb sollte die Datenschutzliste den Signaturnachweis zwar referenzieren, ihn aber nicht als Datenschutzfreigabe behandeln. Umgekehrt sagt eine dokumentierte Datenschutzgrundlage noch nichts darüber aus, ob die gewählte Signaturmethode für den konkreten Vertrag, die Parteien und die anwendbaren Formvorschriften geeignet ist.
Nota Sign unterstützt elektronische Signaturworkflows mit fortgeschrittenen und qualifizierten elektronischen Signaturen nach eIDAS. Teams können die freigegebene Datenschutzbewertung, den Datenfluss, die Beteiligten und die Signaturnachweise mit derselben Vertragsversion verbinden und Übergaben an eingebundene Anbieter nachvollziehbar dokumentieren.
Nachweise trennen und die Freigabe eindeutig definieren
Für eine belastbare Freigabe sollten Datenschutz- und Signaturnachweise über eindeutige Kennungen mit demselben Vertragsvorgang verknüpft sein. So kann eine spätere Prüfung erkennen, welche Datenschutzbewertung zu welcher Vertragsversion und zu welchem Signaturworkflow gehörte, ohne beide Nachweisarten inhaltlich zu vermischen.
Offene Punkte sollten einer verantwortlichen Stelle und einer Rechtsordnung zugeordnet werden. Ein chinesischer Transferbefund kann beispielsweise von der zuständigen China-Compliance-Funktion bearbeitet werden, während die deutsche Seite parallel ihre DSGVO-Prüfung abschließt. Der Versand sollte jedoch erst erfolgen, wenn alle für den konkreten Workflow als erforderlich definierten Freigaben vorliegen.
Praktisch sollte die finale Freigabe mindestens den Versionsstand der Datenschutzliste, die verantwortlichen Stellen, die aufgelösten oder akzeptierten Risiken und die Referenzen auf die relevanten Nachweise enthalten. Aufbewahrungsfristen sollten nicht pauschal aus dem Signaturprozess abgeleitet werden, sondern nach den jeweils anwendbaren gesetzlichen, vertraglichen und internen Vorgaben festgelegt werden.
Für Teams, die den Vorgang in Nota Sign abbilden, bietet sich an, die freigegebene Prüfversion vor dem Versand eindeutig mit dem betreffenden Signaturworkflow zu verknüpfen. Damit bleibt nachvollziehbar, auf welcher Datenschutzbewertung der konkrete Versand beruhte.
Nächster Schritt: Erproben Sie mit Nota Sign einen deutsch-chinesischen Pilotworkflow, der Datenschutzfreigabe, Vertragsversion und Signaturnachweise unter einer Vorgangskennung zusammenführt.
