Eine kleine Agentur hat vor zwei Jahren einen Kundenvertrag versiegelt. Jetzt schreibt der Kunde: Die Arbeit ist vorbei, bitte löschen Sie meine Daten. Die Agentur will das tun. Sie will auch den Beweis, dass der Vertrag in dieser Form existierte.
Beides geht. Das Siegel enthält weniger, als die meisten denken.
Was Ihren Ordner verlässt, wenn Sie versiegeln
Nur ein Fingerabdruck Ihrer Datei wird hinausgeschickt. Die Datei selbst bleibt in Ihrem Ordner.
Sie laden die Datei in einen Ordner auf Swiss Trust Layer. Das Portal berechnet dann einen kryptografischen Fingerabdruck davon. Ein Fingerabdruck, oder Hash, ist ein kurzer Code, der nur zu genau diesem Inhalt passt. Nur der Fingerabdruck wird an Swisscom Trust Services gesendet, den qualifizierten Vertrauensdiensteanbieter. Dieser signiert den Fingerabdruck mit einem Schlüssel, der seine Hardware nie verlässt. Die Signatur trägt einen Zeitstempel nach RFC 3161. Bei einem PDF wird die Signatur in das PDF eingebettet. Die Originaldatei wird nie verändert.
Jede versiegelte Ordnerversion erhält zudem ein Nachweiszertifikat, selbst ein signiertes PDF. Es listet jede Datei mit ihrem Namen, ihrem Fingerabdruck und der Versiegelungszeit in UTC auf. Es enthält die Datei nicht. Ein Fingerabdruck lässt sich nicht in das Dokument zurückverwandeln. Jede Änderung an der Datei ergibt einen anderen Fingerabdruck, eine Änderung ist also erkennbar. Das Dokument und sein Beweis sind zwei getrennte Objekte.
Ist ein Fingerabdruck ein Personendatum? Der Test, nicht das Urteil
Die DSGVO gibt einen Test vor, was als Personendatum zählt. Sie entscheidet nicht über Hashes.
Artikel 4 Nummer 1 der DSGVO definiert personenbezogene Daten als «alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen», direkt oder indirekt (Text nachgeprüft auf EUR-Lex, 15. Oktober 2026). Artikel 4 Nummer 5 definiert die Pseudonymisierung. Das ist eine Verarbeitung, bei der die Daten «ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können». Diese zusätzlichen Informationen müssen gesondert aufbewahrt werden.
Erwägungsgrund 26 sagt, um zu entscheiden, ob eine Person identifizierbar ist, «sollten alle Mittel berücksichtigt werden, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, wie etwa das Aussondern, sei es durch den Verantwortlichen oder eine andere Person».
Ein Hash allein lässt sich nicht in das Dokument zurückverwandeln. Ob er sich trotzdem auf eine Person bezieht, wird nach diesem Test beurteilt. Ein Mittel liegt auf der Hand: Wer die Originaldatei besitzt, kann ihren Fingerabdruck berechnen und die Übereinstimmung bestätigen.
Was das Recht auf Löschung verlangt
Eine Person kann Sie bitten, ihre Daten zu löschen. Die DSGVO listet auf, wann dieses Recht gilt und wann nicht.
Artikel 17 Absatz 1 gibt einer Person das Recht, dass personenbezogene Daten unverzüglich gelöscht werden. Einer seiner Gründe muss zutreffen. Zum Beispiel sind die Daten «für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig». Oder die Einwilligung wird widerrufen und es fehlt an einer anderen Rechtsgrundlage. Oder die Daten wurden «unrechtmässig verarbeitet».
Artikel 17 Absatz 3 listet auf, wann das Recht nicht gilt, nämlich wenn die Verarbeitung für einen aufgezählten Zweck erforderlich ist. Buchstabe e ist der, der für den Beweis zählt: «zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen». Ob er Ihren Vertrag erfasst, ist eine Frage zu Ihrer Situation, nicht zum Siegel.
Das praktische Design: Dokument löschen, Beweis behalten
Löschen Sie das Dokument, wenn Sie müssen. Behalten Sie das Zertifikat, das keinen Inhalt enthält.
Wenn ein Löschgrund eintrifft und keine Ausnahme gilt, löschen Sie das Dokument. Das versiegelte PDF trägt den Inhalt, also geht es ebenfalls weg. Behalten Sie das Nachweiszertifikat: Dateiname, Fingerabdruck und Zeit, nicht der Inhalt. Jemand fragt später vielleicht, ob dieser Vertrag an jenem Tag existierte. Wenn die Gegenpartei ihre Kopie noch hat, beantwortet der Fingerabdruck auf dem Zertifikat das.
Nach Artikel 41 Absatz 2 der eIDAS-Verordnung gilt für einen qualifizierten elektronischen Zeitstempel die Vermutung, dass Datum und Uhrzeit richtig sind. Für die damit verbundenen Daten gilt die Vermutung, dass sie unverändert sind. Das Zertifikat bewahrt genau das: den Fingerabdruck und die Zeit.
Auf der Plattform kann ein Ordner gelöscht werden. Das Portal warnt, dass sich das nicht rückgängig machen lässt. Die Kontolöschung ist ein Antrag. Nach der Genehmigung löscht sie dauerhaft Ihr Profil und jede hochgeladene oder versiegelte Datei. Sie löscht auch die Signaturhistorie, die ausgestellten Zertifikate und die Rechnungsdaten. Laden Sie Ihre Daten also zuerst herunter. Kopien, die Sie bereits heruntergeladen haben, bleiben für sich allein gültig. Der öffentliche Validator unter swisstrustlayer.com/validate liest nur das PDF und speichert das Dokument nie. Die Löschpflicht für jede Kopie, die Sie halten, bleibt bei Ihnen.
Dateinamen sind für jeden mit dem Link öffentlich
Die Prüfseite braucht kein Login. Jeder mit dem Link kann Ihre Dateinamen lesen.
Der QR-Code auf dem Zertifikat öffnet eine Prüfseite im Portal. Jeder, der den Link hat oder den Code scannt, kann sie öffnen. Er sieht, ob die Signaturen gültig sind, wer das Signaturzertifikat ausgestellt hat, auf wen es ausgestellt wurde, das Signaturdatum und den Ablauf. Er kann auch das Zertifikats-PDF herunterladen. Dieses PDF zeigt den Namen des Kontoinhabers, jeden Dateinamen und jeden Fingerabdruck.
Eine Datei namens «vertragsende-anna-muster.pdf» steht daher auf einem Zertifikat, das für diese Version ausgestellt wurde. Die Hashes einer ausgestellten Version ändern sich nie. Benennen Sie Dateien mit einer Referenz, bevor Sie sie versiegeln: eine Fallnummer, ein Datum, ein Projektcode. Keine Person. Die Liste, die Referenzen Personen zuordnet, führen Sie in Ihrem eigenen System, wo Sie sie löschen können.
Eine Version kann nach einer Identitätsprüfung versiegelt werden. Dann zeigt das Zertifikat auch Nachname, Vorname, Geburtsdatum und Land des Kontoinhabers. Die Passnummer erscheint als Sternchen. Eine spätere Identitätsänderung schreibt ein ausgestelltes Zertifikat nie um. Das Versiegeln selbst verlangt keine Identitätsprüfung.
Die Grenze, klar gesagt
Wir erklären das Recht und das Siegel. Wir entscheiden Ihren Fall nicht.
Wir entscheiden nicht, ob ein bestimmter Fingerabdruck in einem bestimmten Fall ein Personendatum ist. Wir entscheiden nicht, ob Artikel 17 Absatz 3 Buchstabe e Ihre Unterlagen erfasst. Diese Antworten hängen davon ab, wer sonst das Original hält, wofür die Daten sind und welche Ansprüche offen sind. Das Siegel hält den Beweis nur klein: ein Name, ein Fingerabdruck, eine Zeit. Klein genug, dass das Löschen des Dokuments nicht Ihren Beweis löscht, dass es existierte.
Ein Schritt diese Woche
Lesen Sie Ihre Dateinamen wie ein Fremder. Benennen Sie jede um, die eine Person nennt.
Öffnen Sie den Ordner, den Sie am häufigsten versiegeln. Wenn ein Name Ihnen sagt, wer eine Person ist, benennen Sie die Datei mit einer Referenz um. Tun Sie es, bevor die nächste Version versiegelt wird. Dann laden Sie das Zertifikat einer versiegelten Version herunter und schauen Sie, was es zeigt: einen Namen, Dateinamen, Fingerabdrücke, eine Zeit. Der Mechanismus steht unter So funktioniert es. Die breitere Sicht steht in unserem Leitfaden zu DSGVO und Dokumentversiegelung.
Versiegeln Sie Ihr erstes Dokument auf Swiss Trust Layer und behalten Sie den Beweis, ohne die Person zu behalten.
