eIDAS-E-Signatur in Odoo: Was sie ist und wie sie funktioniert (SES, AES und QES)

Wenn ein KMU beginnt, Verträge, Angebote oder Bestellungen aus Odoo heraus zu unterschreiben, geht man leicht davon aus, dass jede elektronische Signatur gleich viel wert ist. Das stimmt nicht. Die Verordnung (EU) 910/2014, bekannt als eIDAS, definiert drei Stufen der elektronischen Signatur (einfache (SES), fortgeschrittene (AES) und qualifizierte (QES)), und nur eine davon hat von Gesetzes wegen in der gesamten Europäischen Union dieselbe Rechtswirkung wie eine handschriftliche Unterschrift. Zu wissen, welche Sie für welches Dokument brauchen, macht den Unterschied zwischen einer abgesicherten Vereinbarung und einem Papier, das Sie im Streitfall selbst verteidigen müssen.

Was ist die eIDAS-E-Signatur?

eIDAS steht für electronic IDentification, Authentication and trust Services. Es ist die Verordnung (EU) Nr. 910/2014, seit Juli 2016 in Kraft, die die elektronische Identifizierung und die Vertrauensdienste (Signatur, Siegel, Zeitstempel, qualifizierter elektronischer Zustelldienst) in allen EU-Mitgliedstaaten harmonisiert. Ihr Ziel ist, dass ein in Spanien elektronisch unterzeichnetes Dokument in Deutschland, Frankreich oder Belgien ohne zusätzliche Formalitäten dieselbe rechtliche Anerkennung hat. Vor eIDAS regelte jedes Land die elektronische Signatur auf eigene Faust, und die grenzüberschreitende Anerkennung war unsicher.

SES, AES und QES: der tatsächliche Unterschied (und warum er rechtlich zählt)

Einfache Signatur (SES)

Die SES ist in Artikel 3.10 der Verordnung definiert: Es sind alle Daten in elektronischer Form, die anderen elektronischen Daten beigefügt oder logisch mit ihnen verknüpft sind und die der Unterzeichner zum Unterzeichnen verwendet. Die Messlatte liegt extrem niedrig: Ein Klick auf «Ich stimme zu», ein Name am Ende einer E-Mail, ein eingescanntes Bild einer handschriftlichen Unterschrift oder ein Bestätigungs-Checkbox sind technisch gesehen SES. Artikel 25.1 eIDAS besagt, dass einer elektronischen Signatur die Rechtswirkung nicht allein deshalb abgesprochen werden darf, weil sie elektronisch ist, die SES ist also gültig. Sie genießt aber keine Echtheitsvermutung: Wenn die Gegenseite das Dokument anficht, muss derjenige, der sich darauf berufen will, nachweisen, wer unterschrieben hat und dass es keine Manipulation gab, mit den üblichen Beweismitteln (Protokolle, IP, Bestätigungs-E-Mail).

Fortgeschrittene Signatur (AES)

Artikel 26 eIDAS verlangt vier Bedingungen, damit eine Signatur als AES gilt: Sie muss eindeutig dem Unterzeichner zugeordnet sein, dessen Identifizierung ermöglichen, mit Signaturerstellungsdaten erstellt worden sein, die der Unterzeichner unter seiner alleinigen Kontrolle halten kann, und so mit dem Dokument verknüpft sein, dass jede nachträgliche Änderung erkennbar ist. In der Praxis wird das erreicht, indem die Identität des Unterzeichners (Ausweisdokument, Gesichtsbiometrie, Videoprüfung) geprüft wird, bevor er unterschreiben darf, und indem ein kryptografischer Hash des Dokuments erzeugt wird. Die AES hat mehr Beweiskraft als die SES (verifizierte Identität und technischer Nachweis der Integrität), aber anders als der QES gewährt die Verordnung ihr nicht die automatische Vermutung der Gleichwertigkeit mit der handschriftlichen Unterschrift: Im Streitfall würdigt weiterhin der Richter die Beweise, allerdings mit deutlich besserem Material als bei einer SES.

Qualifizierte Signatur (QES)

Die QES ist laut Artikel 3.12 eine AES, die von einer qualifizierten Signaturerstellungseinheit (QSCD) erstellt wird und auf einem qualifizierten Zertifikat beruht, das von einem qualifizierten Vertrauensdiensteanbieter (QTSP) ausgestellt wurde, der in der Vertrauensliste seines Landes eingetragen ist. Sie ist die einzige Kategorie, der Artikel 25.2 eIDAS ausdrücklich «die gleiche Rechtswirkung wie einer handschriftlichen Unterschrift» in der gesamten EU zuerkennt. In der Praxis kehrt das die Beweislast zugunsten dessen um, der sie verwendet: Wird sie angefochten, muss derjenige, der bestreitet unterschrieben zu haben, das beweisen, nicht umgekehrt. Es ist die Stufe, die Rechtsabteilungen und Versicherer standardmäßig verlangen, wenn der Vertrag einen hohen wirtschaftlichen Wert oder ein reales Rechtsrisiko hat.

Übersichtstabelle: SES vs. AES vs. QES

Was Odoo Sign, die native Signatur, leistet (und was nicht)

Odoo Sign, die in Odoo serienmäßig enthaltene Signatur-App, ermöglicht es, ein Dokument zu versenden, das der Empfänger unterschreibt, indem er den Schriftzug mit der Maus oder dem Finger zeichnet, seinen Namen eintippt oder einfach per Klick zustimmt, und es wird im Chatter des Datensatzes archiviert. Das ist schnell, kostenlos und als SES völlig gültig: Es erfüllt Artikel 25.1 eIDAS. Was es nicht tut, ist, die Identität des Unterzeichners anhand eines amtlichen Dokuments zu prüfen oder ein qualifiziertes Zertifikat auszustellen, daher kann es von sich aus weder AES noch QES erzeugen. Für Empfangsbestätigungen, interne Bedingungen oder Dokumente mit geringem Risiko reicht es aus. Für einen Vertriebsvertrag, eine Kooperationsvereinbarung mit einer relevanten Summe dahinter oder jedes Dokument, bei dem die Gegenseite die Urheberschaft anfechten könnte, reicht es nicht.

Die meisten Signatur-Konnektoren für Odoo bleiben ebenfalls bei SES

Dieselbe Grenze findet sich bei einem Großteil der Signatur-Konnektoren für Odoo: Sie kapseln eine Integration mit einem externen Anbieter, aber die tatsächlich gelieferte Signaturstufe bleibt SES (Klick zum Unterschreiben) oder, mit Glück, eine einfache AES mit Prüfung per E-Mail oder SMS. Eine echte QES auszustellen erfordert etwas, das die meisten Konnektoren nicht integriert haben: direkten Zugang zu einem qualifizierten Vertrauensdiensteanbieter (QTSP), der in der Trusted List der EU eingetragen ist, mit den Identifizierungsmethoden, die dieser QTSP für die Ausstellung des qualifizierten Zertifikats verlangt. Ohne das bleibt die rechtliche Obergrenze, so schön die Integration auch sein mag, dieselbe wie beim nativen Odoo Sign.

Der echte Konnektor von FlexigoTech mit e-Signature.eu: echte QES in Odoo

FlexigoTech hat gemeinsam mit dem Team von e-Signature.eu (VisitOnWeb SRL, Belgien (Bruno Biemans und Dimitri), einen echten Konnektor für Odoo 17, 18 und 19 entwickelt, mit dem Sie jedes Dokument aus dem ERP) Angebot, Vertrag, Rechnung, Bestellung: zur eIDAS-Signatur senden können und dabei genau die Stufe wählen, die Sie brauchen: SES, AES oder QES, ohne Odoo zu verlassen. Der Unterzeichner identifiziert sich mit der Methode, die zu jeder Stufe und jedem Land passt: itsme® oder Evrotrust für QES, Videoprüfung mit Veriff für AES oder OTP-Code per SMS für SES.

Der Konnektor wird im Odoo App Store für einmalig 149 € (Odoo 17, 18 und 19) angeboten. Den Preis pro Signatur legt e-Signature.eu je nach gewählter Stufe und Methode fest, und er wird nach Nutzung abgerechnet, ohne Abonnementgebühr: Sie zahlen nur die Signaturen, die Sie tatsächlich versenden.

Was Sie für eine echte qualifizierte Signatur in Odoo brauchen

• Den e-Signature.eu Connector aus dem Odoo App Store installieren (149 €, einmalig, Odoo 17 bis 19).
• Ein Konto bei e-Signature.eu (VisitOnWeb) anlegen: kein Abonnement, Bezahlung pro versendeter Signatur.
• Die Signaturstufe (SES, AES oder QES) direkt im Odoo-Dokument selbst wählen, bevor Sie es versenden.
• Der Unterzeichner identifiziert sich je nach gewählter Stufe mit itsme®, Evrotrust, Veriff oder OTP-Code.
• Das unterzeichnete Dokument, das Zertifikat und die Nachweise (einschließlich Zeitstempel) werden automatisch in Odoo archiviert.

Wann Sie welche Stufe verwenden: praktischer Leitfaden

In der Praxis brauchen die meisten Unternehmen nicht für alles eine QES: Eine QES für eine interne Empfangsbestätigung einzusetzen, heißt zu viel auszugeben. Die Logik, die funktioniert, ist diese: SES für Dokumente mit geringem Risiko (interne Bestätigungen, Empfangsbestätigungen, bereits auf anderem Weg verhandelte Bedingungen); AES für Standard-Handelsverträge zwischen Unternehmen, bei denen eine verifizierte Identität sinnvoll ist, aber kein extremes Rechtsrisiko besteht; und QES für alles mit hohem wirtschaftlichem Wert, für Verträge mit Gegenparteien, die das höchste Maß an Sicherheit verlangen, oder für jedes Dokument, bei dem Sie im Falle eines Rechtsstreits die Beweislast auf Ihrer Seite haben wollen. Ein ehrlicher Hinweis: Die QES ersetzt nicht die Rechtsakte, die das Gesetz in öffentlicher Urkunde vor einem Notar verlangt (zum Beispiel einen Immobilienkauf in Spanien); dafür braucht es weiterhin einen Notar, egal welche Stufe der elektronischen Signatur.

Nützliche Links bei FlexigoTech

Häufig gestellte Fragen

Was wir dazu tun