E-Mail-Signaturen und die DSGVO: Was eine Signatur-Plattform wirklich mit personenbezogenen Daten macht

Warum eine Signatur-Plattform überhaupt ein DSGVO-Thema ist

Auf den ersten Blick wirkt eine E-Mail-Signatur-Plattform compliance-neutral: Sie hängt einen Textblock an ausgehende Nachrichten. Unter der DSGVO ist sie alles andere als neutral, denn ihr Betrieb umfasst zwei getrennte Flüsse personenbezogener Daten.

Der erste Fluss sind Verzeichnisdaten der Mitarbeitenden. Namen, Positionen, Telefonnummern, Büroadressen und Fotos sind personenbezogene Daten Ihrer Beschäftigten. Wenn die Plattform eines Anbieters sie aus Microsoft 365 liest, um Signaturen zu erstellen, verarbeitet dieser Anbieter personenbezogene Daten in Ihrem Auftrag — Sie sind Verantwortlicher, der Anbieter Auftragsverarbeiter, und Art. 28 DSGVO verlangt einen Auftragsverarbeitungsvertrag, der genau festlegt, was mit diesen Daten geschieht.

Der zweite Fluss wird leicht übersehen: die E-Mail selbst. Plattformen, die Signaturen serverseitig anbringen, leiten Nachrichten üblicherweise über ein Verarbeitungs-Relay. Was auch immer in diesen Nachrichten steht — Kundendaten, Personalangelegenheiten, Gesundheitsinformationen, Vertragsbedingungen — passiert dieses Relay technisch. Selbst wenn der Anbieter nichts speichert, bestimmt die Architektur, wer Nachrichteninhalte prinzipiell berühren könnte. Die Rechenschaftspflicht der DSGVO bedeutet: Sie müssen diese Architektur erklären können, nicht nur ihr vertrauen.

Die zwei Fragen, die Signatur-Anbieter sortieren

Die meisten DSGVO-Bewertungen von Signatur-Plattformen laufen auf zwei Architekturfragen hinaus.

Wohin geht die Nachricht? Werden Signaturen in der Cloud angebracht, verlässt die Nachricht Microsoft 365, besucht die Infrastruktur des Anbieters und kehrt zurück. Das ist ein rechtmäßiges, verbreitetes Design — aber es fügt Ihrem E-Mail-Pfad einen Auftragsverarbeiter hinzu, und alles Weitere (Speicherung, Unterauftragsverarbeiter, Transfermechanismen, Exposition bei Vorfällen) folgt aus genau diesem Umstand.

Was speichert die Plattform? Ein gut konzipiertes Relay verarbeitet eine Nachricht zur Signaturanbringung und gibt sie sofort zurück, ohne Inhalte oder Anhänge zu persistieren. Ein schlecht konzipiertes loggt mehr, als es sollte. In einer Produktdemo ist dieser Unterschied unsichtbar — in einer Datenschutz-Folgenabschätzung ist er entscheidend.

Eine praktische Checkliste für Ihre DSFA

Wenn Ihr Datenschutzteam einen Signatur-Anbieter bewertet, lohnt es sich, diese Fragen schriftlich festzuhalten und die Antworten im AVV zu verankern, nicht im Verkaufsgespräch:

• Welche Verzeichnisattribute liest die Plattform, und lässt sich der Umfang auf das beschränken, was Signaturen tatsächlich benötigen?
• Passiert Nachrichteninhalt die Infrastruktur des Anbieters, und in welcher Region wird er verarbeitet?
• Werden Nachrichteninhalte oder Anhänge jemals persistiert — auch in Logs, Queues, Crash-Dumps und Support-Werkzeugen?
• Welche Unterauftragsverarbeiter sind beteiligt, und sitzen einige davon außerhalb des EWR?
• Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28, und deckt er Auditrechte und Fristen für Meldungen von Verletzungen ab?
• Können Support-Mitarbeitende des Anbieters technisch auf Ihre Daten zugreifen, und ist dieser Zugriff protokolliert und steuerbar?

Wie SignaGrid das angeht — nach Plan

SignaGrid wurde um die Annahme herum entworfen, dass die Antworten auf die obigen Fragen durch Architektur gut sein sollten, nicht durch Versprechen.

SignaGrid Cloud (Core und Business) nutzt ein von SignaGrid betriebenes Managed Relay. Die Plattform liest nur die Verzeichnisattribute, die eine Signatur benötigt, und ist so konzipiert, dass Nachrichteninhalte und Anhänge nicht persistiert werden: Die Nachricht wird zur Signaturanbringung verarbeitet und sofort an Microsoft 365 zurückgegeben. SignaGrid wird in der Europäischen Union entwickelt und betrieben, und ein Auftragsverarbeitungsvertrag nach Art. 28 ist Teil des Abonnements. Der Business-Plan ergänzt die Kontrollen, die Compliance im großen Maßstab handhabbar machen — juristische Einheiten und Disclaimer pro Land, Freigabe-Workflows, mit denen die Rechtsabteilung Texte vor dem Produktiveinsatz freigibt, und Rollen, die einschränken, wer rechtlich relevante Inhalte ändern darf.

SignaGrid Private beantwortet die erste Frage anders: Die Nachricht geht nirgendwohin. Die Verarbeitungsebene läuft in Ihrer eigenen Cloud-Umgebung, sodass Nachrichteninhalte die Infrastruktur von SignaGrid nie erreichen. Es gibt keinen zusätzlichen Auftragsverarbeiter in Ihrem E-Mail-Pfad — das bedeutet eine kürzere Kette nach Art. 28, keine neuen Fragen zu Drittlandtransfers sowie Verarbeitungsprotokolle, Schlüssel und einen Verzeichnis-Cache, die im Eigentum des Kunden bleiben. Für eine DSFA ist der Unterschied strukturell: Ganze Risikokategorien werden entfernt statt nur gemindert.

Jenseits der DSGVO: regulierte und behördliche Umgebungen

Manche Organisationen arbeiten unter Regimen, die strenger sind als die DSGVO — Lieferketten der Verteidigungsindustrie auf dem Weg zu CMMC, Unternehmen mit ITAR/EAR-exportkontrollierten technischen Daten oder öffentliche Stellen in Government-Cloud-Tenants. In solchen Umgebungen lautet die Frage nicht, ob ein Anbieter vertrauenswürdig ist, sondern ob ein Dritter Nachrichteninhalte überhaupt verarbeiten darf.

Genau für diesen Fall ist SignaGrid Private konzipiert: Die Signaturebene bleibt innerhalb Ihrer Akkreditierungsgrenze, und die Infrastruktur von SignaGrid betritt Ihren E-Mail-Pfad nie. Ein Deployment-Modell ist kein Zertifikat — den Prüfumfang definieren Ihre Auditoren —, aber die Architektur, die sie prüfen, ist eine, in der E-Mail Ihre Kontrolle nie verlässt. Deployments in Government- und Sovereign-Cloud-Tenants bewerten wir individuell im Rahmen eines Architektur-Reviews.

Dies ist praktische Orientierung, keine Rechtsberatung

Wie die DSGVO auf Ihre Organisation anzuwenden ist, hängt von Ihren Daten, Ihren Jurisdiktionen und der Einschätzung Ihrer Rechtsberatung ab. Was dieser Artikel bieten kann, ist die architektonische Landkarte: Wissen Sie, welche personenbezogenen Daten eine Signatur-Plattform liest, wissen Sie, wohin Ihre E-Mail fließt, und wählen Sie ein Deployment-Modell, mit dem sich Ihre Antworten leicht verteidigen lassen.