Contract Management: Sichere Dateiübertragung Workflows

Wer Vertragsdaten unverschlüsselt überträgt, verstößt gegen DSGVO Art. 32 — Bußgelder bis 10 Millionen Euro oder 2 % des globalen Jahresumsatzes drohen. Contract Management umfasst jeden Entwurf, jede Redline, jede Genehmigungsversion und jede Änderung: SHA-256-Hash pro Datei, Genehmigungsstatus mit Zeitstempel, Archivierung im CLM-System und Aufbewahrungsfristen konform zu HGB § 257 und DSGVO Art. 5 Abs. 1 Buchst. e.

CLM-System versus Ad-hoc-Übertragung

Die meisten Unternehmen setzen für strukturierte Workflows ein Contract Lifecycle Management (CLM)-System ein — Ironclad, Icertis, Agiloft, DocuSign CLM oder ContractPodAi. Diese Plattformen verwalten Klauselbibliotheken, steuern Genehmigungsrouting nach Schwellenwerten und archivieren ausgeführte Verträge mit Metadaten: Gegenpartei, Wert, Ablaufdatum, Auto-Renewal-Flag.

Zahlreiche Verträge entkommen dem CLM jedoch: M&A-Einzeltransaktionen, komplexe Joint Ventures, grenzüberschreitende Vereinbarungen, NDAs in frühen Verhandlungsphasen. Für diese Fälle füllt verschlüsselte Ad-hoc-Übertragung die Lücke. Die Dateien landen nach Unterzeichnung wieder im CLM.

Versionskontrolle: Dateigriedhöfe vermeiden

Eine SaaS-Vereinbarung durchläuft typischerweise 5–15 Redline-Runden. Ohne Disziplin entsteht der bekannte Dateifriedhof: MSA_Final_FINAL_use_this_one.docx. Das lässt sich vermeiden:

• [Materie]_[Dokumenttyp]_v[N]_[Parteikürzel]_JJJJMMTT.docx
• Beispiel: Acme-Beta_MSA_v07_ACM_20261010.docx

Ergänzen Sie ein Versionsprotokoll, das festhält, wer wann was versandt hat. Konsistente Benennung überlebt den Transfer und macht die eingehende Redline eindeutig zuordenbar.

Genehmigungsworkflows und Zeichnungsberechtigungen

Unternehmen regeln Unterzeichnungskompetenzen in einer Vollmachtenmatrix. Typische Schwellenwerte:

• Unter 10.000 €: Abteilungsleitung
• 10.000–100.000 €: VP
• 100.000–1.000.000 €: SVP oder CFO
• Über 1.000.000 €: CEO und/oder Aufsichtsrat
• Nicht-standardmäßige Haftungsklauseln: Rechtsabteilung
• Kontrollwechselklauseln: CEO

Das CLM routed Verträge automatisch. Außerhalb des CLM lebt der Genehmigungspfad in E-Mails oder SharePoint-Workflows. Ein Vertrag ohne dokumentierten Genehmigungsweg ist weder bei Audits noch in Rechtsstreitigkeiten verteidigbar.

Redlining und Vergleichswerkzeuge

Vertragsverhandlungen laufen über Redlines. Bewährte Werkzeuge:

• Microsoft Word Änderungsverfolgung — der universelle Standard
• Litera Compare (ehemals Workshare) — erzeugt saubere Vergleichsdokumente
• Kira Systems und Luminance — KI-gestützte Prüfung im großen Maßstab

Das Übergabemuster: Partei A sendet Redline als .docx per verschlüsselter Übertragung → Partei B übernimmt mit Änderungsverfolgung → Schleife bis zur Einigung. PDFs während aktiver Verhandlungen vermeiden — sie verlieren die Rückverfolgbarkeit der Änderungen.

Verschlüsselte Übertragung für Vorabversionen

Vorabversionen sind oft sensibler als ausgeführte Versionen — sie offenbaren Verhandlungspositionen, interne Preislogik und Akzeptanzschwellen. Übertragen Sie diese mit:

• AES-256-GCM-Verschlüsselung mit hochentropischer Passphrase
• TLS 1.3 für den Transport
• Passphrase über einen separaten Kanal
• Link-Ablaufdatum entsprechend dem Prüfzeitraum
• Widerrufsmöglichkeit bei Verhandlungsabbruch

HexaTransfer implementiert Ende-zu-Ende-Verschlüsselung im Browser für genau diesen Fall: keine Registrierung, bis zu 10 GB pro Transfer. Protokollieren Sie jede Übertragung in der Verfahrensakte. Kostenlos testen unter https://hexatransfer.com.

E-Signatur nach eIDAS und BDSG

Das europäische eIDAS-Recht (Verordnung 910/2014) definiert drei Signaturebenen:

• Einfache elektronische Signatur — z. B. ein eingetippter Name
• Fortgeschrittene elektronische Signatur — kryptografisch mit dem Unterzeichner verknüpft
• Qualifizierte elektronische Signatur (QES) — erfordert qualifiziertes Zertifikat; rechtlich der handschriftlichen Unterschrift gleichgestellt

Für QES in Deutschland — bestimmte Behördeneinreichungen, grenzüberschreitende Handelsverträge — sind Anbieter wie D-TRUST oder Namirial auf der EU-Vertrauensliste gelistet. Nach BDSG § 26 sind Beschäftigtendaten in Vertragsunterlagen besonders zu schützen.

Gegenpartei-Onboarding und NDAs

Vor einem eigentlichen Vertrag tauschen Gegenparteien NDAs aus. Für die unter NDA geteilten Dateien — Produktroadmaps, Finanzberichte, Kundenlisten — gelten dieselben Sorgfaltsmaßnahmen wie für jeden sensiblen Transfer. Der NDA ist Vertrag; die technischen Kontrollen schützen die Informationen tatsächlich.

Archivierung und Durchsuchbarkeit

Nach Unterzeichnung braucht der Vertrag ein auffindares Zuhause für Rechtsabteilung, Einkauf, Finanzen und Revision:

• OCR-durchsuchbares Repository
• Metadaten-Indexierung (Gegenpartei, Wert, Daten, Auto-Renewal)
• Benachrichtigungen bei bevorstehenden Verlängerungen (90/60/30 Tage)
• Verpflichtungsverfolgung
• ERP-Integration (SAP, Oracle, NetSuite)

Ausgeführte Verträge erhalten einen SHA-256-Hash zum Ausführungszeitpunkt — spätere Integritätsprüfungen sind damit möglich.

Grenzüberschreitende Verträge und DSGVO

Internationale Verträge erhöhen die Komplexität. Bei Dateien mit personenbezogenen Daten — Unterzeichnernamen, Kontaktdaten — gelten DSGVO Kapitel V. Standardvertragsklauseln nach DSGVO Art. 46 Abs. 2 Buchst. c sind in Auftragsverarbeitungsvereinbarungen mit dem CLM-Anbieter zu verankern. Der Speicherort des Vertragsrepositories ist zu dokumentieren; bei Zweifeln empfiehlt der BfDI eine Datenschutz-Folgenabschätzung nach DSGVO Art. 35.

Änderungen, Kündigung und Aufbewahrung

Jeder Nachtrag erfordert klaren Verweis auf den Ursprungsvertrag, Benennung der geänderten Abschnitte und Unterzeichnung mit derselben Formalität. HGB § 257 und AO § 147 schreiben für Handelsbriefe und Buchungsbelege zehn Jahre Aufbewahrung vor. Gerichtliche Sicherungsanordnungen überlagern die routinemäßige Vernichtung. Dokumentieren Sie die Vernichtung — das Vernichtungsprotokoll ist selbst ein Prüfartefakt.

Contract-Management-Dateiübertragung ist kein separates Problem: Sie ist Bestandteil eines Lebenszyklus-Workflows. Wer Verschlüsselung, Audit und E-Signatur richtig einrichtet, verwandelt den Rest in disziplinierte Ausführung.