Die besten Anbieter virtueller Datenräume 2026
Das Wichtigste in Kürze
- Virtuelle Datenräume (VDR) ersetzen bei vertraulichen Transaktionen unzureichende Standard-Cloud-Speicher. Höhere Anforderungen an Datensouveränität (z. B. Schutz vor dem US CLOUD Act) erfordern Lösungen mit EU-Hosting sowie Zero-Knowledge-Verschlüsselung.
- Neue regulatorische Vorgaben wie der EU AI Act (Transparenz- und Kennzeichnungspflichten für KI-Features), DORA (ICT-Drittparteienrisiko für den Finanzsektor) und NIS2 machen geprüfte Zertifizierungen zum zentralen Auswahlkriterium.
- Der Markt unterteilt sich in D-A-CH-spezialisierte Dienste (DSGVO-Fokus, mittelständische Budgets), globale Enterprise-Anbieter (Cross-Border-M&A, IPOs) und agile Allrounder (VC-Fundraising).
Unternehmenskäufe, Kapitalrunden und Portfolioverkäufe verlangen von Verantwortlichen in Unternehmen, Kanzleien und Finanzinstituten absolute Rechtssicherheit beim Austausch hochsensibler Dokumente. Wer vor Transaktionen steht, sucht Antworten zu Anforderungsprofilen, regulatorischen Vorgaben und der wirtschaftlichen Tragfähigkeit verschiedener Preismodelle im laufenden Prozess.
Eine fundierte Entscheidung erfordert den Blick auf Marktmechanismen abseits reiner Feature-Listen. Erfahrene Berater und C-Level-Entscheider analysieren bei der Anbietersuche primär die operative Integrationsgeschwindigkeit sowie klare Haftungsgrenzen beim Dokumentenaustausch. Ebenso kritisch bewerten sie vertragliche Garantien für unvorhergesehene Verlängerungen intensiver Prüfungsphasen.
Warum verlangen M&A, Fundraising und Immobiliendeals 2026 neue Standards?
Darum geht es:
- Transaktionsdruck und Cyber-Risiken steigen im D-A-CH-Raum.
- Standard-Cloud-Speicher erfüllen die Haftungsanforderungen vertraulicher Deals nicht.
Ein virtueller Datenraum (VDR) ist eine gesicherte Online-Plattform. Dort tauschen Unternehmen vertrauliche Dokumente strukturiert aus. Typische Anwendungsfälle sind Unternehmensverkäufe, Immobilientransaktionen und Kapitalrunden.
Status Quo im D-A-CH-Raum
Der Transaktionsdruck im deutschsprachigen Raum bleibt 2026 hoch. Ein wesentlicher Treiber ist die anhaltende Nachfolgewelle im deutschen Mittelstand. Viele Inhaber übergeben ihr Unternehmen altersbedingt an neue Eigentümer. Parallel bleiben Private-Equity-Exits und große Immobilienportfolios feste Bestandteile des Deal-Marktes. Gleichzeitig wachsen die Cyber-Risiken bei sensiblen Due-Diligence-Prozessen (sorgfältige Prüfung eines Unternehmens vor einem Kauf). Datenräume werden im Rahmen dieser unterschiedlichen Anforderungen und Prozesse als Infrastruktur-Elemente genutzt. Reine Speicherfunktionen reichen für professionelle Deal-Teams längst nicht mehr aus. Gefragt sind heute Steuerung, Auswertung und lückenlose Nachvollziehbarkeit in einem System.
Das Haftungs- und Sicherheitsrisiko
Viele Unternehmen nutzen für Transaktionen weiterhin Standard-Cloud-Speicher. Microsoft OneDrive oder SharePoint sind bekannte Beispiele dafür. Diese Tools bieten jedoch keine granularen Rechtevergaben auf Dokumentenebene. Auch fehlen ihnen dynamische Wasserzeichen oder manipulationssichere Protokolle. Ein einzelner falsch geteilter Link kann bei Mergers-and -Acquisitions -Prozessen (M&A bedeutet Fusionen und Übernahmen) erheblichen Schaden anrichten. Bei einer vertraulichen Transaktion ist das Haftungsrisiko mitunter hoch. Geschäftsführer tragen tragen eine persönliche Sorgfaltspflicht gegenüber Gesellschaftern. Verantwortliche sollten diesen Unterschied kennen, bevor sie sich für eine Plattform entscheiden.
Ein spezialisierter VDR reduziert das Risiko durch technische und organisatorische Kontrollen. Wichtige Bausteine sind dabei Zugriffsprotokolle, Verschlüsselung sowie definierte Rollen und Rechte. Zusammengenommen ermöglichen sie eine lückenlose Nachverfolgung aller Zugriffe.
Welche rechtlichen Vorgaben sind 2026 ausschlaggebend für die Wahl des passenden Datenraums?
Darum geht es:
- Datensouveränität spielt beim Zugriff auf Informationen eine immer größere Rolle.
- Der EU AI Act bringt neue Transparenzpflichten.
- DORA und NIS2 verschärfen die Anforderungen an die Sicherheit digitaler Dienstleister.
Datensouveränität und Zugriffsschutz vor Drittstaaten
Der Serverstandort eines Datenraums bestimmt, welches Recht greift. EU-Data-Residency bedeutet, dass Daten ausschließlich auf Servern innerhalb der EU liegen. Sogenanntes Bare-Metal-Hosting nutzt dabei dedizierte, nicht virtualisierte Server für zusätzliche Kontrolle. Das EU-U.S. Data Privacy Framework (DPF) regelt den Datentransfer zwischen der EU und den USA. Es ersetzt das frühere Privacy-Shield-Abkommen, das ein EU-Gericht 2020 für ungültig erklärte. Für D-A-CH-Mittelständler bleibt ein Restrisiko bestehen, denn der US CLOUD Act erlaubt US-Behörden Zugriff auf Daten von US-Anbietern. Das gilt unabhängig vom tatsächlichen Serverstandort der Daten. Nutzt ein Unternehmen also einen US-Anbieter, greift US-Recht potenziell mit. Diese Regelung sollte die Anbieterwahl bei vertraulichen Deals mitbestimmen.
Zwei Technologien schließen einen Klartext-Zugriff des Anbieters unterschiedlich weit aus. BYOK (Bring Your Own Key) lässt Kunden eigene Verschlüsselungsschlüssel verwalten. Der Anbieter selbst besitzt diese Schlüssel jedoch auch. Im Ernstfall könnte er die Daten also theoretisch entschlüsseln. Bei der Zero-Knowledge-Verschlüsselung besitzt nur der Nutzer den Schlüssel. Der Anbieter hat keinen Zugriff. Selbst eine behördliche Anordnung liefe hier technisch ins Leere. Wer maximale Datenhoheit braucht, sollte hier genau prüfen. Für hochsensible Deals ist Zero-Knowledge-Verschlüsselung meist die sicherere Wahl.
| Merkmal | BYOK | Zero-Knowledge-Verschlüsselung |
|---|---|---|
| Schlüsselverwaltung | Kunde verwaltet, Anbieter hat technischen Zugriff | Ausschließlich beim Kunden |
| Zugriff bei Behördenanfrage | Anbieter könnte theoretisch entschlüsseln | Anbieter kann technisch nicht entschlüsseln |
| Typischer Einsatz | Standard-Compliance-Anforderungen | Höchste Vertraulichkeitsstufen |
Aktuelle EU-Regulatorik
Der EU AI Act reguliert den Einsatz künstlicher Intelligenz in den Staaten der europäischen Union. Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50 verbindlich. Sie betreffen unter anderem automatisierte Schwärzungsfunktionen oder KI-gestützte Due-Diligence-Analysen im virtuellen Datenraum. Anbieter müssen offenlegen, wo Nutzer mit einem KI-System interagieren. Zudem dürfen vertrauliche M&A-Daten nicht zum Training globaler Sprachmodelle verwendet werden. Die Prüffähigkeit der KI-Funktionen wird damit zum Pflichtkriterium bei der Anbieterwahl. Unternehmen sollten Datenraum-Anbieter gezielt nach der AI-Act-Konformität fragen und vertraglich ausschließen, dass KI-Funktionen wie AI Redaction Daten zum Training externer Sprachmodelle nutzen.
DORA (Digital Operational Resilience Act) gilt seit Januar 2025. Banken, PE-Fonds und Finanzunternehmen müssen ihre IT-Dienstleister systematisch bewerten. Ein Datenraum-Anbieter zählt dabei als kritischer ICT-Drittdienstleister (ICT stehr für Information and Communication Technology). Das bedeutet, dass auch der VDR-Anbieter geprüft werden müssen. Seit 2025 müssen betroffene Finanzunternehmen zudem ein Informationsregister zu allen ICT-Drittdienstleistern führen. Dieses Register ist der BaFin auf Verlangen vorzulegen. Ein Datenraum-Anbieter ohne belastbare DORA-Nachweise gerät bei Ausschreibungen im Finanzsektor zunehmend ins Hintertreffen.
NIS2 verpflichtet Betreiber wichtiger IT-Infrastrukturen zu höheren Sicherheitsstandards. Die Richtlinie betrifft unter anderem Finanzwesen, Gesundheitswesen und andere digitale Infrastrukturen. ISO/IEC 27001:2022 liefert dafür einen anerkannten internationalen Rahmen für Informationssicherheit. Wer diese Zertifizierungen vorweisen kann, reduziert das eigene Haftungsrisiko deutlich. Fragen Sie Anbieter aktiv nach aktuellen Zertifikaten und Prüfberichten. Ein fehlender Nachweis sollte in sensiblen Branchen ein Ausschlusskriterium sein.
Welcher Anbieter passt zu welchem Anforderungsprofil?
Darum geht es:
- Transaktionstyp, Sicherheitsbedarf und Budget bestimmen die passende Anbieterkategorie.
- D-A-CH-spezialisierte Anbieter punkten bei Datenschutz, Enterprise-Anbieter bei globaler Reichweite.
- Allrounder eignen sich besonders für Start-ups und VC-Prozesse.
Matchmaking-Matrix als Ausgangspunkt
Nicht jeder Datenraum passt zu jedem Vorhaben gleichermaßen. Der Transaktionstyp bestimmt die notwendige Funktionstiefe maßgeblich. Ein kleiner Asset-Deal braucht andere Werkzeuge als die Vorbereitung und Durchführung eines Börsengangs. Der Sicherheitsbedarf hängt zudem stark vom regulatorischen Umfeld ab. Ein regulierter Finanzdienstleister stellt höhere Anforderungen als ein Start-up. Und das Budget begrenzt letztendlich die verfügbaren Optionen. Wer diese drei Dimensionen vorab klärt, verkürzt die eigentliche Anbieterauswahl. Die folgenden drei Kategorien bieten dafür eine Orientierung.
Anbietertypen im Überblick
Kategorie A: Die D-A-CH-Spezialisten. Anbieter wie Brainloop, netfiles und dataroomX konzentrieren sich mit ihren Dienstleistungen auf den deutschsprachigen Markt. Kunden profitieren vor allem von Serverstandorten innerhalb Deutschlands oder der Schweiz. Deutschsprachiger Support gehört zum Standard. Die Tarife sind auf mittelständische Budgets zugeschnitten.
Kategorie B: Die globalen Enterprise-Anbieter. Datasite, Intralinks, ShareVault und Ansarada zählen zu den Enterprise-Anbietern. Sie richten sich an internationale Konzerne mit komplexen Deal-Strukturen. Globale Infrastruktur und mehrsprachiger Support sind typische Merkmale in dieser Kategorie. Sie liefern unter anderem differenzierte Rechtematrizen für viele Beteiligte. Der Funktionsumfang bringt jedoch oft eine höhere Preisstufe mit sich.
Kategorie C: Die agilen Allrounder. iDeals, Firmex und DocSend sind Anbieter, die in Bereichen Vorteile bieten. Sie helfen bei einem schnellen Set-up und haben oft flexible Preismodelle. Ein Projekt lässt sich meist innerhalb weniger Stunden starten. Damit eignen sie sich gut für Venture-Capital-Fundraising und Pipeline-Management. Auch einfache Asset-Sales lassen sich mit diesen VDR-Anbietern unkompliziert abwickeln.
| Kategorie | Anbieter | Mutterkonzern und Jurisdiktion | Kernfokus / Geeignet für | Hosting und Compliance | Dokumentenschutz und KI-Features | Support und SLA |
|---|---|---|---|---|---|---|
| Kat. A: D-A-CH-Spezialisten | netfiles | netfiles GmbH (DE, 100 % unabhängig) | Mittelstandsverkauf, Nachfolge, Due Diligence, Archivierung | Ausschließliches DE-Hosting (ISO 27001, BSI); DSGVO-, DORA-, NIS2-konform. Kein US-CLOUD-Act-Zugriff. | Detaillierte Rollen / Rechte, MS-Teams-Integration. Verzichtet bewusst auf externe generative KI. | Deutschsprachig, reguläre Bürozeiten. |
| Kat. A: D-A-CH-Spezialisten | Brainloop | Diligent Corp. (USA) | Gremienarbeit, Board-Meetings, M&A im Mittelstand | EU-Hosting (DE, AT, CH); BSI C5, ISO 27001. Unterliegt über US-Mutter potenziell dem US CLOUD Act. | Compliance-Standards für Board-Dateien, MS-Office-Einbettung. Fokussiert auf klassische Sicherheit (keine generative M&A-KI). | 24/7-Support; dedizierte Betreuung für Gremien/Vorstände. |
| Kat. A: D-A-CH-Spezialisten | dataroomX | dataroomX / RDG GmbH (DE, 100 % unabhängig) | Deutscher Mittelstand, lokale Immobilien-Deals und Asset Sales | Hosting ausschließlich in Deutschland; ISO 27001; DSGVO-konform. Kein US-CLOUD-Act-Zugriff. | Wasserzeichen, Dokumentenschlüssel, einfache Upload-Workflows. Keine komplexen KI-Module (Fokus auf Datensparsamkeit). | Deutschsprachiger Support zu üblichen Geschäftszeiten. |
| Kat. B: Enterprise-Anbieter | Datasite | Datasite / CapVest (USA) | Cross-Border-M&A, IPOs, Board-Management (via Sherpany) | ISO 27001, 27701, 42001 (KI-Standard), SOC 2 Typ II; DSGVO-konform. US-Rechtsraum. | Gestaffelte Freigabe, IRM. Datasite MCP (LLM-Anbindung), KI-Schwärzung, semantische M&A-Suche. | 24/7/365 mehrsprachig, vertragliche SLAs unter 15 Min. |
| Kat. B: Enterprise-Anbieter | Intralinks | SS&C Technologies (USA) | Large-Cap M&A, Syndizierte Kredite, PE-Fundraising (GPs/LPs) | ISO 27001, ISO 27701 (Höchste Datenschutzstufe), DSGVO-konform. US-Rechtsraum. | Security Hub, Intralinks VIA. „Deal Centre AI“ und „Fund Centre AI“ (Auto-Schwärzung in 50+ Sprachen, Übersetzung). | 24/7 Enterprise-Support rund um die Uhr. |
| Kat. B: Enterprise-Anbieter | Ansarada | Ansarada / Smartshoppers (AUS / USA) | Komplexe M&A-Deals, Restrukturierung, Infrastruktur-Procurement | SOC 2 Typ II, ISO 27001, DSGVO-konform. Globales Hosting. | „Remote Doc-Destruct“ (Dokumentenselbstzerstörung). „Ask AiDA“ (KI-Assistent), AI-Redact und AI-Predict (Bieteranalyse). | 24/7 weltweiter Support mit M&A-Fachteam. |
| Kat. B: Enterprise-Anbieter | ShareVault | ShareVault / Pandaweaver (USA) | M&A, Life Sciences (eCTD-Reviews), Audits und Regulierung | ISO 27001, ISO 42001, HIPAA, 21 CFR Part 11; frei wählbare Datenresidenz (EU, USA, APAC). | Granulares DRM/IRM, Screen-Capture-Sperre. „AI Redaction“ (PII/PHI-Schwärzung); Konnektoren zu Box, Google Drive, SharePoint. | 24/7/365 global erreichbarer Support. |
| Kat. C: Agile Allrounder | Firmex | Datasite-Gruppe (USA / CAN) | VC-Fundraising, Mid-Market-M&A, schnelle Projekt-Datenräume | DSGVO-konform; Server in Kanada / UK. Über Mutterkonzern Datasite potenziell US CLOUD Act unterworfen. | Fortgeschrittene Dokumentenkontrollen, SSO. Bietet pragmatische Basis-Automatisierung anstelle schwerer KI-Systeme. | 24/7-Standard-Support für Transaktionen. |
| Kat. C: Agile Allrounder | iDeals | iDeals Solutions (USA / EU) | VC-Fundraising, Real-Estate-Sales, schnelle Pipeline-Setups | ISO 27001, SOC 1/2/3, DSGVO-konform; flexible Rechenzentrumsauswahl. | Schnelles Upload-Handling, dynamische Wasserzeichen. Integriert KI-basierte automatische Dokumentensortierung und -schwärzung. | 24/7 Mehrsprachiger-Support (Digital-first, Chat und Mail). |
| Kat. C: Agile Allrounder | DocSend | Dropbox Inc. (USA) | Early-Stage VC-Fundraising, Pitch-Deck-Sharing, Asset Sales | ISO 27001, DSGVO-konform; US-Cloud-Infrastruktur (Dropbox). Unterliegt US CLOUD Act. | Link-Sperren, e-Signaturen, Betrachter-Analytik pro Seite. Keine spezialisierten M&A-KI-Tools (Fokus auf Dokumententracking). | Digital-first, Support primär zu US/EU-Geschäftszeiten. |
Hinweis: Alle Angaben beschreiben typische Kategorie-Eigenschaften, keine Einzelbewertung oder vertragliche Zusage. Klären Sie konkrete Ausstattung und SLA-Reaktionszeiten immer mit dem jeweiligen Anbieter.
Wie setzen sich die Kosten eines virtuellen Datenraums zusammen?
Darum geht es:
- Vier Abrechnungsmodelle dominieren den Markt der Datenraum-Anbieter.
- Versteckte Zusatzkosten werden oft erst im laufenden Betrieb bemerkt.
Die vier gängigen Abrechnungsmodelle
Der Markt kennt im Wesentlichen vier Preismodelle. Die Flatrate bietet unbegrenzte Nutzer und unbegrenzten Speicher zum Festpreis. Das erleichtert die Budgetplanung bei größeren Deal-Teams. Die Pro-Nutzer-Abrechnung berechnet Kosten nach Anzahl der aktiven Zugänge. Sie eignet sich für Projekte mit wenigen, definierten Beteiligten. Die Abrechnung nach Speichervolumen orientiert sich an der Datenmenge. Sie passt zu Projekten mit überschaubarem Dokumentenumfang. Die Pro-Seite-Abrechnung zählt jede hochgeladene Dokumentenseite einzeln ab. Bei umfangreichen Datensätzen kann dieses Modell schnell teuer werden.
Versteckte Kostenfallen erkennen
Manche Zusatzleistungen tauchen erst in der Endabrechnung auf. Wochenend-Support wird beispielswiese bei einigen Anbietern separat berechnet. Gerade in der heißen Phase eines Deals ist das ärgerlich. Auch Obergrenzen beim Datenvolumen können unerwartete Zusatzkosten auslösen. Die OCR-Indizierung (optische Zeichenerkennung für durchsuchbare Dokumente) kostet bei manchen Anbietern extra. Zusätzliche Administrator-Lizenzen und physische Archiv-Datenträger erhöhen die Rechnung ebenfalls. In vereinzelten Fällen berechnen Anbieter zudem Gebühren für vorzeitige Vertragsbeendigung. Fragen Sie deshalb gezielt nach den Konditionen für die Datenraum-Schließung. Ein genauer Blick in die Preisgestaltung des jeweiligen Anbieters lohnt sich vor Vertragsabschluss immer.
Migration und Setup-Geschwindigkeit
Ein Anbieterwechsel im laufenden Betrieb ist eine sensible Aufgabe. Bestehende Berechtigungsstrukturen dürfen dabei nicht verloren gehen. Auch die Dokumentenhistorie muss vollständig erhalten bleiben. Erfahrene Reseller begleiten diesen Datenumzug meist strukturiert und risikoarm. Sie kennen typische Stolperstellen aus vorherigen Migrationsprojekten. Zudem verhandeln sie durch Paket-Konditionen oft bessere Preise für Kunden. Das kann sich gerade bei mehreren parallelen Projekten deutlich lohnen. Eine saubere Migration ohne Downtime sollte deshalb vertraglich klar zugesichert sein.
Welche Funktionen begleiten einen Datenraum durch den gesamten Deal-Zyklus?
Darum geht es:
- Vorbereitung, Durchführung und Abschluss stellen unterschiedliche Anforderungen an Funktionen.
- Granulare Rechte und eine zuverlässige Protokollierung sichern die Transaktion ab.
- Nach Vertragsschluss gewährleistet der Datenraum die rechtssichere Archivierung.
Vorbereitung und Setup
Am Anfang sollte der Dokumenten-Upload stehen. Eine übersichtliche Ordnerstruktur erleichtert dabei die erste Sichtung. OCR macht gescannte Dokumente durchsuchbar. KI-gestützte Schwärzung hilft bei Schutz personenbezogener Daten oder Geschäftsgeheimnisse. Eine automatisierte Indexierung erleichtert externen Prüfern die Arbeit. Je strukturierter der Start, desto reibungsloser verläuft meist die restliche Transaktion.
Durchführung und Controlling
Während der Due Diligence zählen granulare Berechtigungen auf Seitenebene. So sieht jede Partei nur die für sie freigegebenen Inhalte. Dynamische Wasserzeichen zeigen IP-Adresse und E-Mail des Betrachters an. Das macht eine unautorisierte Weitergabe von Dokumenten deutlich unwahrscheinlicher. Smart-Q&A-Workflows bündeln Rückfragen strukturiert zwischen Käufer- und Verkäuferseite. Das reduziert überflüssige E-Mail-Ketten und sorgt für mehr Nachvollziehbarkeit.
Remote Shred entzieht heruntergeladene Dokumente nachträglich per DRM (Digital Rights Management) dem Zugriff. Selbst offline gespeicherte Kopien lassen sich damit unbrauchbar machen. Ein manipulationssicherer Audit Trail garantiert die Protokollierung aller Aktivitäten. Eine SIEM-Anbindung (Security Information and Event Management) leitet diese Protokolle an zentrale Sicherheitssysteme weiter.
Service Level Agreements und Notfall-Support
Fragen zu Berechtigungen oder Fristen erfordern menschliche, deal-erfahrene Ansprechpartner. Ein SLA (Service Level Agreement) sichert vertraglich garantierte Reaktionszeiten zu. M&A-erfahrener Support mit schnellen Reaktionszeiten ist in vielen Fällen kaufentscheidend. Prüfen Sie deshalb die konkreten SLA-Zusagen vor Vertragsabschluss genau.
Nach Vertragsschluss: Archivierung und Integration
Nach Abschluss braucht die Transaktion eine rechtssichere Aufbewahrung. SHA-256-Hash-Zertifikate bestätigen kryptografisch, dass Dokumente unverändert geblieben sind. Diese Aufbewahrung wird häufig auch als Legal Hold bezeichnet. Zusätzlich lässt sich der Datenraum für die Post-Merger-Integration (PMI) weiternutzen. In dieser Phase führen Käufer und verkauftes Unternehmen ihre Strukturen zusammen. Auch bei einem Carve-out, der Ausgliederung eines Unternehmensteils, hilft die bestehende Struktur. Der VDR wird so vom Deal-Werkzeug zur dauerhaften Compliance-Infrastruktur. Prüfen Sie deshalb schon bei der Anbieterwahl die Konditionen für diese Nachlaufphase.
Wie finden Sie den passenden Datenraum?
Darum geht es:
- Ihr Budget setzt die Grenzen.
- Ihr Anwendungsfall bestimmt, welche Funktionen wirklich notwendig sind.
- Serverstandort und Compliance-Level entscheiden über die rechtliche Eignung.
Die Checkliste hilft bei einer ersten, strukturierten Einordnung. Sie ersetzt keine individuelle Beratung.
| Kriterium | Frage | Warum es zählt |
|---|---|---|
| Budget | Passt eher Flatrate oder nutzungsbasierte Abrechnung? | Bestimmt die realistische Anbieterauswahl |
| Anwendungsfall | Handelt es sich um einen Verkauf, ein Fundraising oder einen Immobilien-Deal? | Bestimmt den nötigen Funktionsumfang |
| Nutzeranzahl | Wie viele interne und externe Parteien sind beteiligt? | Bestimmt Komplexität der Rechtematrix |
| Serverstandort | Ist EU- oder D-A-CH-Hosting zwingend notwendig? | Bestimmt regulatorische Eignung |
| Compliance-Level | Gelten DORA, NIS2 oder Branchenauflagen? | Bestimmt nötige Zertifizierungen |
[Autor: MH]
Quellen:
https://artificialintelligenceact.eu/de/article/50/
https://plotdesk.com/magazin/eu-ai-act-artikel-50-transparenzpflichten-unternehmen-2026
https://paytechlaw.com/ai-act-neue-transparenzpflichten-fuer-finanzunternehmen/
https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/dora/Informationsregister_und_Anzeigepflichten/Informationsregister_und_Anzeigepflichten.html
https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Fachartikel/2025/fa_250115_DORA_Informationsregister_und_Anzeigepflichten.html
https://www.fma.gv.at/querschnittsthemen/dora/dora-management-ikt-drittparteienrisiko/
https://www.dataroomx.de/
https://brainloop.com/de-de/datenraum/
https://www.intralinks.com/
https://sharevault.com/
https://www.ansarada.com/
https://www.firmex.com/
https://www.docsend.com/de/
https://www.datasite.com/de/de
https://www.netfiles.com/de
Häufige Fragen und Antworten zu virtuellen Datenräumen
Antwort: Nicht pauschal, aber auch nicht grundsätzlich nein. Der BGH stellt klar, dass das Einstellen von Unterlagen im Datenraum die Aufklärungspflicht bereits erfüllt, wenn der Verkäufer aufgrund der Umstände berechtigt erwarten kann, dass der Käufer die Information bei einer Due Diligence zur Kenntnis nimmt. Entscheidend ist also die berechtigte Erwartung, nicht das Hochladen an sich. Diese Erwartung kippt vor allem in zwei Konstellationen: wenn zentrale Unterlagen erst kurz vor Vertragsschluss ohne gesonderten Hinweis nachgereicht werden (z. B. wenige Tage vor dem Notartermin), oder wenn die im Datenraum liegenden Informationen im Widerspruch zu Zusicherungen im Kaufvertragsentwurf stehen. In beiden Fällen reicht das bloße Bereitstellen nicht aus – ein ausdrücklicher Hinweis ist dann Pflicht. Werden Unterlagen dagegen rechtzeitig, vollständig und geordnet von Beginn an im Datenraum abgelegt, darf der Verkäufer bei einer professionell geführten Due Diligence grundsätzlich davon ausgehen, dass sie gelesen werden.
Antwort: Ja, sofern es sich um US-amerikanische Unternehmen handelt, gilt für sie grundsätzlich dasselbe Prinzip wie für andere US-Anbieter: US-Behörden können auf richterliche Anordnung Zugriff verlangen, unabhängig davon, ob die Daten auf einem Server in Frankfurt oder Dublin liegen. Wer aus Kategorie B einen Anbieter mit US-Mutterkonzern wählt, sollte deshalb gezielt nach Schutzmechanismen wie einer EU-Datenbegrenzung oder kundenseitig verwalteten Verschlüsselungsschlüsseln (Bring Your Own Key / Hold Your Own Key) fragen. Dabei lohnt sich ein genauer Blick: Ein striktes HYOK schützt zwar wirksam vor US-Zugriffen, weil der Anbieter die Daten technisch nicht entschlüsseln kann – gleichzeitig lassen sich dann aber zentrale VDR-Funktionen wie Volltextsuche, Dokumentenvorschau im Browser, KI-gestützte Analyse oder serverseitige dynamische Wasserzeichen nicht mehr oder nur eingeschränkt nutzen, da diese eine serverseitige Entschlüsselung voraussetzen. Wer maximale Datenhoheit will, tauscht damit oft Funktionalität gegen Sicherheit – dieser Zielkonflikt sollte vor Vertragsabschluss offen mit dem Anbieter besprochen werden.
Antwort: In der Praxis beauftragt und bezahlt der Verkäufer den Datenraum, da er die Dokumente bereitstellt und den Prüfprozess strukturiert. Käuferseitige Kosten entstehen dagegen vor allem bei den eigenen Beratern, die die Due Diligence durchführen. Ein Sonderfall bestätigt diese Regel, statt sie zu durchbrechen: Lässt der Verkäufer zusätzlich eine Vendor Due Diligence erstellen – also eine eigene Vorab-Prüfung, deren Bericht den Bietern zur Verfügung gestellt wird – trägt er auch die Kosten für diese zusätzlichen Gutachten selbst. Das ist keine Ausnahme von der Verkäufer-Kostentragung, sondern eine freiwillige Zusatzinvestition, die den Bieterprozess beschleunigen und die eigene Verhandlungsposition stärken kann. Diese Aufteilung sollte trotzdem immer vertraglich fixiert werden, insbesondere wenn mehrere Bieter parallel Zugriff erhalten.
Die Informationen auf dieser Webseite werden ausschließlich zu Informationszwecken bereitgestellt und sollen nicht als Ersatz für eine professionelle Beratung dienen. Alle Angaben sind ohne Gewähr.
Die Webseite kann Verlinkungen zu Webseiten von anderen Anbietern enthalten. Wir kontrollieren oder bewerten den Inhalt dieser Seiten nicht. Wir übernehmen außerdem keine Verantwortung oder Haftung für die Produkte oder Dienstleistungen auf diesen Seiten.