NDA digital abschließen: Vertraulichkeit und Nachweis

Einführung

Eine NDA ist nicht allein mit einer Unterschrift abgeschlossen. Für Legal- und Compliance-Teams muss später nachvollziehbar sein, welche Dokumentfassung welcher Person vorlag, welche interne Vertraulichkeitsstufe galt und welcher Signaturnachweis zum Abschluss gehört.

Dabei sollten zwei Dinge nicht vermischt werden: Die Vertraulichkeitsstufe ist eine interne Klassifikation für den Umgang mit Informationen. Die Signaturstufe beschreibt dagegen, wie die Unterzeichnung technisch und rechtlich abgesichert wird. Aus einer hohen Vertraulichkeitsstufe folgt deshalb nicht automatisch eine bestimmte elektronische Signaturstufe.

Für einen prüfbaren NDA-Workflow empfiehlt sich eine klare Reihenfolge:

1. NDA-Fassung und Empfänger festlegen.
2. Interne Vertraulichkeitsstufe dokumentieren.
3. Geeigneten Signaturweg auswählen und die Unterschrift einholen.
4. Signierte Fassung und Nachweise zusammenführen und den Vorgang freigeben.

Für die Signaturphase unterstützt Nota Sign elektronische Signatur-Workflows einschließlich fortgeschrittener elektronischer Signaturen (AES) und qualifizierter elektronischer Signaturen (QES) unter eIDAS. Welche Signaturstufe für eine konkrete NDA geeignet ist, hängt jedoch vom Dokument, den Parteien, dem anwendbaren Recht, internen Vorgaben und der gewählten Trust-Service-Konfiguration ab. Der Workflow ersetzt keine rechtliche Bewertung der Vereinbarung.

Bei wiederkehrenden NDAs können Teams Rollen, Felder und Signierreihenfolgen über Nota Sign Templates standardisieren. Für Vertriebsprozesse zeigt die Nota Sign Lösung für Sales, wie Vereinbarungen von der Vorbereitung bis zur Signatur gesteuert werden können.

NDA-Fassung und Empfänger eindeutig festlegen

Der Ausgangspunkt ist nicht die Signatur, sondern die konkrete Vereinbarung. Legen Sie deshalb zuerst fest, welche NDA-Fassung versendet wird und wer sie erhalten beziehungsweise unterzeichnen soll. Eine interne Dokumentkennung oder Versionsbezeichnung hilft dabei, spätere Änderungen von der tatsächlich signierten Fassung zu unterscheiden.

Zum Empfängerkreis gehören mindestens die benannten Personen oder Rollen, die im Prozess vorgesehen sind. Bei wiederkehrenden Abläufen sollte zusätzlich dokumentiert sein, wer den Vorgang angelegt oder freigegeben hat. So bleibt nachvollziehbar, wie die Empfängerzuordnung zustande kam.

Vor dem Versand lohnt sich eine kurze inhaltliche Kontrolle: Stimmen Parteien und Rollen, ist die Vertraulichkeitsklausel in der vorgesehenen Fassung enthalten und sind alle für die Unterzeichnung benötigten Felder vorhanden? Erst wenn diese Grundlage eindeutig ist, sollte der Workflow in die nächste Stufe gehen.

Wichtig ist außerdem die Versionsdisziplin. Eine bearbeitbare Vorlage und die zur Unterzeichnung freigegebene Fassung sollten nicht als dasselbe Dokument behandelt werden. Der spätere Signaturnachweis muss sich eindeutig auf die Fassung beziehen, die den Empfängern tatsächlich vorgelegt wurde.

Vertraulichkeitsstufe als interne Klassifikation festlegen

Viele Unternehmen unterscheiden vertrauliche Informationen nach internen Schutz- oder Zugriffsstufen. Für den hier beschriebenen NDA-Workflow ist diese Vertraulichkeitsstufe eine organisatorische Klassifikation: Sie beschreibt, wie sensibel die Informationen sind und welche internen Regeln für Zugriff, Weitergabe oder Ablage gelten.

Die Stufe sollte deshalb mit der konkreten NDA und dem vorgesehenen Empfängerkreis verknüpft werden. Sinnvoll sind eine kurze Begründung, die verantwortliche Stelle und das Datum der Festlegung. Damit lässt sich später nachvollziehen, warum eine bestimmte Klassifikation verwendet wurde.

Entscheidend ist die Trennung von Vertraulichkeits- und Signaturstufe. Eine interne Einstufung wie „streng vertraulich“ sagt für sich genommen nicht, ob eine einfache, fortgeschrittene oder qualifizierte elektronische Signatur erforderlich ist. Diese Entscheidung richtet sich nach den Anforderungen des jeweiligen Vorgangs.

Prüfen Sie außerdem, ob Empfänger und Zugriffsrechte zur gewählten Vertraulichkeitsstufe passen. So wird die Klassifikation zu einem echten Steuerungselement des Prozesses und nicht nur zu einem zusätzlichen Metadatenfeld.

Signatur passend zum Risiko und Rechtsrahmen wählen

Erst nachdem Dokumentversion, Empfänger und interne Klassifikation feststehen, sollte die Signaturmethode bestimmt werden. Für EU-bezogene Prozesse unterscheidet eIDAS verschiedene Formen elektronischer Signaturen, darunter AES und QES. Welche davon für eine NDA angemessen ist, lässt sich nicht allein aus dem Dokumenttitel oder der Vertraulichkeitsstufe ableiten.

Bei der Auswahl sollten Teams insbesondere vier Fragen klären:

• Welche Identität muss dem Unterzeichner zugeordnet werden können?
• Welcher Nachweis über Signaturzeitpunkt, Zustimmung und Dokumentintegrität wird benötigt?
• Gibt es vertragliche, regulatorische oder interne Vorgaben zur Signaturmethode?
• Welcher Trust Service Provider beziehungsweise welche Zertifikats- und Identitätsprüfung ist für den vorgesehenen Workflow konfiguriert?

Im Signaturvorgang selbst sollte die Zuordnung eindeutig bleiben: Wer hat welche Fassung unterzeichnet, zu welchem Zeitpunkt und über welchen vorgesehenen Signaturweg? Bei mehreren Parteien gilt dasselbe für jede einzelne Signatur.

Nach Abschluss sollte geprüft werden, ob die signierte Datei tatsächlich der zuvor freigegebenen Fassung entspricht und ob die vorgesehenen Signatur- und Ereignisdaten vorhanden sind. So entsteht eine belastbare Verbindung zwischen Empfänger, Dokumentversion und Abschlussereignis.

Signierte Fassung und Nachweise zusammenführen

Ein guter NDA-Nachweis besteht nicht aus einem einzelnen Screenshot oder einer isolierten Signaturgrafik. Für die spätere Prüfung ist vielmehr entscheidend, dass die signierte Fassung und die dazugehörigen Prozessinformationen gemeinsam nachvollziehbar bleiben.

Zum Vorgang können – abhängig vom eingesetzten Signaturworkflow – insbesondere gehören:

• die final signierte NDA-Fassung;
• die Zuordnung von Unterzeichnern und Empfängerrollen;
• Signatur- und Abschlusszeitpunkte;
• verfügbare Audit- oder Ereignisnachweise;
• die interne Vertraulichkeitsstufe mit Verantwortlichkeit;
• die Freigabe der verwendeten Dokumentversion.

Bei zertifikatsbasierten Signaturen kann zusätzlich relevant sein, wie Zertifikat und Signatur validiert wurden. Falls dafür ein bestimmtes Prüfwerkzeug oder ein definierter Validierungsprozess vorgesehen ist, sollte auch dieser Teil des internen Nachweises dokumentiert werden.

Die bearbeitbare Vorlage bleibt getrennt von der signierten Fassung. Diese Trennung verhindert, dass eine später geänderte Arbeitsdatei mit dem abgeschlossenen Dokument verwechselt wird, und erleichtert interne Kontrollen oder eine spätere Prüfung des Vorgangs.

NDA-Workflow vor dem Versand freigeben

Die Freigabe ist der letzte Kontrollpunkt des Ablaufs. Sie sollte bestätigen, dass die verwendete NDA-Fassung, der Empfängerkreis, die interne Vertraulichkeitsstufe und der vorgesehene Signaturweg zusammenpassen.

Vor dem Versand beziehungsweise vor dem endgültigen Abschluss sollten mindestens folgende Punkte geklärt sein: Ist die richtige Fassung verwendet worden? Sind alle vorgesehenen Empfänger korrekt zugeordnet? Entspricht die Vertraulichkeitsstufe der internen Vorgabe? Sind die erforderlichen Signaturen und Nachweise vorhanden?

Dokumentieren Sie die Freigabe mit Datum und verantwortlicher Stelle nach Ihren internen Governance-Regeln. Bei wiederkehrenden NDAs lässt sich dieser Ablauf als Vorlage standardisieren, sodass Rollen, Felder und Reihenfolge nicht bei jedem Vorgang neu aufgebaut werden müssen.

Nota Sign Templates helfen dabei, wiederkehrende Vereinbarungs- und Signaturabläufe konsistent vorzubereiten.