Spaniens Rahmenbedingungen für elektronische Signaturen stützen sich auf die EU-weite eIDAS-Verordnung (Nr. 910/2014) sowie auf nationales Recht, insbesondere das Gesetz 6/2020 über Vertrauensdienste und das Prinzip der Formfreiheit im Bürgerlichen Gesetzbuch (Código Civil).

Die eIDAS-Verordnung legt drei Stufen der elektronischen Signatur fest, die in allen EU-Mitgliedstaaten anerkannt sind. Einfache elektronische Signaturen (EES) bilden die Basis: alle Daten in elektronischer Form, die anderen elektronischen Daten beigefügt oder logisch mit ihnen verknüpft sind und vom Unterzeichner zum Unterzeichnen verwendet werden. Fortgeschrittene elektronische Signaturen (FES) stellen zusätzliche Anforderungen gemäß Art. 26: Die Signatur muss eindeutig dem Unterzeichner zugeordnet sein, dessen Identifizierung ermöglichen, mit Mitteln erstellt werden, die unter seiner alleinigen Kontrolle stehen, und so mit den unterzeichneten Daten verknüpft sein, dass nachträgliche Änderungen erkennbar sind. Qualifizierte elektronische Signaturen (QES) gehen noch weiter und erfordern ein qualifiziertes Zertifikat eines qualifizierten Vertrauensdiensteanbieters sowie eine qualifizierte Signaturerstellungseinheit.

Spanien folgt dem Prinzip der Formfreiheit in Art. 1278 des Código Civil, was bedeutet, dass die meisten Verträge unabhängig vom verwendeten Medium gültig sind. Gemäß eIDAS Art. 25.2 ist nur die QES einer handschriftlichen Unterschrift rechtlich automatisch gleichgestellt, aber Art. 25.1 bestätigt, dass einer EES und FES die Rechtswirkung und die Zulässigkeit als Beweismittel in Gerichtsverfahren nicht allein deshalb abgesprochen werden darf, weil sie in elektronischer Form vorliegt. Das Gesetz 6/2020 schreibt weder FES noch QES für eine bestimmte Art von privaten Rechtsgeschäften zwingend vor, sodass bei den meisten kommerziellen Vereinbarungen die Wahl des Signaturniveaus eher eine Frage der Beweiskraft als eine gesetzliche Anforderung ist.

Die spanische Rechtsprechung unterstreicht den Wert einer ordnungsgemäßen Authentifizierung. Das Provinzgericht von Lleida (Urteil 74/2021) wies eine elektronische Signatur zurück, der eine angemessene Authentifizierung fehlte, während der Oberste Gerichtshof eine durch einen Audit-Trail und eine Zwei-Faktor-Authentifizierung gestützte FES als gültig bestätigt hat. Die Lehre für die Praxis deckt sich mit dem, worauf Entwickler beim Design achten sollten: Eine Signatur, die durch Identitätsprüfung, Zeitstempelung und einen manipulationssicheren Prüfpfad (Audit-Trail) abgesichert ist, verfügt über eine weitaus stärkere Beweiskraft als eine bloße elektronische Markierung.

Für die meisten in Spanien tätigen SaaS-Unternehmen decken EES und FES die überwiegende Mehrheit der Anwendungsfälle ab. Eine QES ist für das öffentliche Beschaffungswesen, Steuererklärungen bei der AEAT, notarielle Urkunden und bestimmte regulierte Anmeldungen erforderlich. Der DNIe (nationale elektronische Personalausweis) und von der FNMT ausgestellte Zertifikate sind die Hauptwege zur QES in Spanien. Entwickler, die B2B-Unterzeichnungs-Flows programmieren, können sich bei kommerziellen Verträgen, Arbeitsverträgen, Geheimhaltungsvereinbarungen (NDAs), Softwarelizenzen und ähnlichen Dokumenten bedenkenlos auf EES/FES verlassen.