DocuSeal: Datenschutz und Aufbewahrung im Unternehmen
Aus maxTechCorner
Auf einen Blick
| Gilt für | DocuSeal 3.3.x im Unternehmen in Deutschland, selbst gehostet; DSGVO, BDSG, HGB, AO/GoBD, BetrVG; Stand Oktober 2026 |
|---|---|
| Bereich | Server-Software |
| Dauer | Dokumentation und Abstimmung ca. 1 Tag |
| Rechte | Geschäftsführung, Datenschutzbeauftragte, Personalabteilung, gegebenenfalls Betriebsrat |
| Stand | Oktober 2026 |
DocuSeal datenschutzkonform betreiben heißt vor allem: wissen, welche Daten von Unterzeichnern im Prüfprotokoll landen, sie darüber informieren, Dokumente nach dem Abschluss ins richtige Archiv überführen und Fristen für Aufbewahrung und Löschung festlegen. Gegenüber Cloud-Signaturdiensten hat der Eigenbetrieb einen klaren Vorteil – Dokumente verlassen das Unternehmen nicht –, dafür liegt die ganze Verantwortung im Haus. Dieser Artikel fasst zusammen, was vor dem Produktivbetrieb geklärt sein sollte.
Welche Daten verarbeitet DocuSeal?
| Daten | Herkunft | Hinweis |
|---|---|---|
| Dokumentinhalte und Feldwerte | Vorlage, Vorbelegung, Unterzeichner | bei Personal- und Kundendokumenten oft sensibel, etwa Bankverbindung oder Gesundheitsangaben |
| Name, E-Mail, Telefonnummer der Unterzeichner | Absender bzw. Unterzeichner | |
| Unterschriftsbild, Initialen, hochgeladene Dateien | Unterzeichner | Ausweiskopien nur, wenn wirklich erforderlich |
| IP-Adresse, Browserkennung, Zeitpunkte, Verifizierung der E-Mail | automatisch, im Prüfprotokoll | dient dem Nachweis der Unterschrift |
| Benutzerkonten der Mitarbeiter | Verwaltung |
Datenflüsse
- Selbst gehostet werden Dokumente und Prüfprotokolle nicht an DocuSeal LLC übermittelt. Die freie Version lädt Skripte und Schriften vom eigenen Server; Daten an den Hersteller gehen nur, wenn ein Administrator bei der Einrichtung freiwillig den Newsletter abonniert oder in Pro die „DocuSeal trusted signature“ nutzt (laut Hersteller nur eine Prüfsumme).
- SMTP-Anbieter: Einladungen mit Namen, E-Mail-Adressen und Dokumentnamen.
- Zeitstempel-Dienst: erhält nur einen Hashwert, keinen Inhalt.
- Objektspeicher (falls genutzt): alle Dokumente – Anbieter mit Standort in der EU und Auftragsverarbeitungsvertrag wählen.
- Webhooks, API, MCP: Daten fließen in die angebundenen Systeme.
- DocuSeal Cloud wäre dagegen ein Auftragsverarbeiter mit Sitz in den USA. Dann sind ein Vertrag nach Art. 28 DSGVO und die Prüfung der Drittlandübermittlung nötig.
Dokumentation nach DSGVO
- Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO): Zweck (Abschluss und Nachweis von Verträgen und Erklärungen), betroffene Personen (Kunden, Lieferanten, Bewerber, Beschäftigte), Datenkategorien wie oben, Empfänger, Fristen.
- Rechtsgrundlage: meist Vertragserfüllung bzw. Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO). Die Protokollierung von IP-Adresse und Zeitpunkten lässt sich mit dem berechtigten Interesse am Nachweis begründen (lit. f).
- Informationspflicht (Art. 13 DSGVO): Unterzeichner über die Verarbeitung informieren, z. B. mit einem Link zur Datenschutzerklärung im Einladungstext der Vorlage oder in der Abschlussmeldung.
- Technische und organisatorische Maßnahmen (Art. 32 DSGVO): HTTPS, Zwei-Faktor-Pflicht, Zugriffsbeschränkung, Backup, Updates – siehe DocuSeal: Absichern, Backup und Betrieb und Technische und organisatorische Maßnahmen.
- Datensparsamkeit: In Vorlagen nur Felder anlegen, die wirklich gebraucht werden. Ausweis-Uploads, Gesundheitsdaten oder Bankdaten nur mit klarem Zweck.
- Hosting: Läuft der Server bei einem Hoster, Auftragsverarbeitungsvertrag mit diesem abschließen, siehe Auftragsverarbeitung.
Aufbewahrung: DocuSeal ist kein Archiv
Abgeschlossene Dokumente gehören in das Dokumentenmanagement oder die digitale Akte – zusammen mit dem Prüfprotokoll und unverändert, damit die PDF-Signatur gültig bleibt. Gründe: DocuSeal bietet keine revisionssichere Ablage, keine Fristenverwaltung und in der freien Version keine Zugriffstrennung zwischen Abteilungen.
| Unterlagen | Frist (Handels- und Steuerrecht) | Vorschrift |
|---|---|---|
| Empfangene und abgesandte Handels- und Geschäftsbriefe, z. B. Verträge, Auftragsbestätigungen | 6 Jahre | § 257 HGB, § 147 AO |
| Buchungsbelege, z. B. Rechnungen | 8 Jahre (seit 2025) | § 257 HGB, § 147 AO |
| Bücher, Jahresabschlüsse, Inventare | 10 Jahre | § 257 HGB, § 147 AO |
| Personalunterlagen | je nach Inhalt; nach Ende des Arbeitsverhältnisses meist bis Ablauf der Verjährung bzw. steuerlicher Fristen | Einzelfall prüfen |
- Die Fristen beginnen mit dem Ende des Kalenderjahres. Steuerlich relevante elektronische Dokumente unterliegen den GoBD: unveränderbar, maschinell auswertbar, mit Verfahrensdokumentation.
- Nach der Übernahme ins Archiv können Einreichungen in DocuSeal archiviert und später gelöscht werden. Eine feste Frist im Löschkonzept festlegen, z. B. drei Monate nach Abschluss.
- Abgebrochene und abgelaufene Einreichungen und Freigabelink-Einreichungen regelmäßig prüfen und löschen.
- Backups mit ihrer Rotation in die Löschfristen einbeziehen.
Betriebsrat und Beschäftigte
- Laufen Personalprozesse über DocuSeal (Arbeitsverträge, Nachweise, Richtlinien zur Kenntnisnahme), entstehen Protokolle darüber, wann Beschäftigte Dokumente geöffnet und unterschrieben haben. DocuSeal ist damit eine technische Einrichtung, die zur Überwachung geeignet ist – der Betriebsrat hat nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht.
- In einer Betriebsvereinbarung bzw. Regelung festhalten: welche Dokumente elektronisch unterschrieben werden, wer Prüfprotokolle einsehen darf, Fristen, keine Leistungs- und Verhaltenskontrolle.
- Freiwilligkeit: Beschäftigten ohne geeignetes Gerät eine Papieralternative anbieten. Für Dokumente mit Schriftform ist sie ohnehin nötig, siehe DocuSeal: Elektronische Signatur – Rechtslage in Deutschland.
- Barrierefreiheit: Seit 2.5.0 ist der Unterschriftsablauf mit Tastatur und Bildschirmleser bedienbar. Barrierefreiheit vor der Einführung mit betroffenen Beschäftigten testen, siehe Barrierefreiheit.
Hinweise
- Keine Rechtsberatung: Fristen und Rechtsgrundlagen hängen vom Dokument und der Branche ab. Datenschutzbeauftragte, Steuerberatung und Rechtsberatung einbinden.
- Bei Datenschutzkonzept, Löschkonzept und sicherem Betrieb von Dokumentenprozessen unterstützt Sie das Team Cybersecurity von m.a.x. it.
Siehe auch
- DocuSeal – Überblick und alle Artikel der Reihe
- DSGVO
- Archivierung
- Vaultwarden: Datenschutz und Betrieb im Unternehmen
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
