Wie werden meine Daten beim Fernsignieren geschützt?

Beim Fernsignieren werden zwei Datenkategorien verarbeitet: Identitätsdaten für die Zertifikatsausstellung und die zu signierenden Dokumente beziehungsweise deren Hashwerte. Beide unterliegen der Datenschutz-Grundverordnung (DSGVO).

Qualifizierte Vertrauensdiensteanbieter unterliegen zusätzlich den Sicherheits- und Aufsichtspflichten aus Kapitel III der eIDAS-Verordnung und werden regelmäßig durch eine Konformitätsbewertungsstelle geprüft. Für die datenschutzrechtliche Bewertung zählt jedoch vor allem, welche Daten den Anbieter überhaupt erreichen.

So wird Datenschutz beim Fernsignieren umgesetzt:

• Datenminimierung durch Hash-Signieren: Beim Hash-Signieren berechnet Ihre Anwendung den Hashwert lokal und übermittelt nur diesen. Der Dokumenteninhalt verlässt Ihre Systemgrenze nie.
• Verarbeitungsstandort: Für die DSGVO-Bewertung zählt, wo verarbeitet wird und welchem Recht der Anbieter unterliegt — nicht nur, wo die Server stehen.
• Konzernstruktur: Anbieter mit Mutterkonzern außerhalb der EU können Drittstaatenzugriffen unterliegen, auch bei europäischem Hosting.
• Auftragsverarbeitung: Ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO regelt Zweckbindung, Weisungsrecht und Unterauftragsverhältnisse.
• Aufbewahrungsfristen: Signaturprotokolle und Identitätsnachweise unterliegen eigenen Aufbewahrungspflichten, die dokumentiert sein müssen.
• Verschlüsselung: Übertragung und Speicherung erfolgen verschlüsselt; Signaturschlüssel liegen ausschließlich im zertifizierten HSM.

Worauf Sie im Auswahlprozess achten sollten:

• Rechtsraum des Anbieters: Fragen Sie nach Sitz und Konzernstruktur, nicht nur nach dem Rechenzentrumsstandort.
• Nachweisbare Zertifizierungen: Konformitätsberichte und Zertifikate sollten öffentlich abrufbar und aktuell sein.
• Architekturoption Hash-Signieren: Prüfen Sie, ob der Anbieter Hash-Signieren unterstützt — das ist oft die wirksamste Datenschutzmaßnahme.

primesign wird von der CRYPTAS International GmbH mit Sitz in Österreich betrieben, mit Hosting in der EU und Standorten in Wien, Graz, Düsseldorf, Hengelo und Stockholm. Über die HASH SIGNING API lassen sich Dokumente signieren, ohne dass ihr Inhalt primesign jemals erreicht; die zugehörigen Datenschutz- und Konformitätsdokumente stehen im primesign Trust Center bereit.