Datenraum für die Due Diligence: Aufbau, Index und Anbieter-Auswahl
Wer ein Unternehmen verkauft oder kauft, steht früh vor einer operativen Schlüsselfrage: Wie wird der Informationsfluss an potenzielle Käufer so organisiert, dass er vertraulich, revisionssicher und effizient abläuft? Der virtuelle Datenraum (VDR) ist heute das Standardinstrument jeder professionellen Due-Diligence-Prüfung – und seine Qualität entscheidet mit über Transaktionssicherheit, Haftungsrisiken und Dealgeschwindigkeit.
Kurzantwort
Ein Datenraum für die Due Diligence ist eine verschlüsselte, cloudbasierte Plattform, auf der der Verkäufer alle transaktionsrelevanten Dokumente strukturiert bereitstellt. Die Ordnerstruktur folgt den klassischen DD-Workstreams (Legal, Tax, Finance, HR, Commercial, IT/IP), der Q&A-Prozess wird rollenbasiert gesteuert, und DSGVO-konforme Berechtigungen sowie Wasserzeichen sichern die Vertraulichkeit. Anbieter werden anhand objektiver Kriterien wie ISO-Zertifizierung, Hosting-Standort, Audit-Trail und Preismodell ausgewählt.
Inhaltsverzeichnis
- Warum ein virtueller Datenraum unverzichtbar ist
- Ordnerstruktur und Index nach DD-Workstreams
- Q&A-Prozess: Fragen, Runden und Eskalation
- Berechtigungen, Wasserzeichen und Zugriffssteuerung
- DSGVO-Anforderungen an den Datenraum
- Neutrale Auswahlkriterien für VDR-Anbieter
- Praxisbeispiel: GmbH-Verkauf mit 12-Mio.-Umsatz
- Fazit
Warum ein virtueller Datenraum bei der Due Diligence unverzichtbar ist
Die klassische Due-Diligence-Prüfung beim Unternehmenskauf – ausführlich beschrieben im Due-Diligence-Hub von onlinebilanz.de – erzeugt auf Käufer- wie Verkäuferseite einen enormen Dokumentenfluss. Jahresabschlüsse nach § 242 HGB, Gesellschaftsverträge nach § 3 GmbHG, Steuerbescheide, Arbeitsverträge, IP-Register, Kundenlisten – all das muss gesichert, versioniert und selektiv freigegeben werden.
Der virtuelle Datenraum (VDR) löst drei Kernprobleme gleichzeitig:
- Vertraulichkeit: Dokumente verlassen den kontrollierten Raum nicht unkontrolliert.
- Nachvollziehbarkeit: Jeder Zugriff wird im Audit-Trail protokolliert – relevant für spätere Gewährleistungsstreitigkeiten.
- Parallelität: Mehrere Bietergremien können gleichzeitig, aber voneinander isoliert prüfen, was Zeit und Transaktionsdruck reduziert.
Hinweis für Geschäftsführer
Ein VDR ersetzt nicht die rechtliche und steuerliche Beratung, aber er strukturiert den Informationsprozess so, dass Berater effizienter arbeiten und die Haftungsrisiken des Verkäufers minimiert werden. Unsere Wirtschaftsprüfungs-Leistungen begleiten diesen Prozess von der Datenraumvorbereitung bis zur Signing-Phase.
Ordnerstruktur und Index nach DD-Workstreams
Der Index ist das Rückgrat jedes virtuellen Datenraums für die Due Diligence. Eine unstrukturierte Ablage verlängert die Prüfung und erhöht das Risiko, dass kritische Dokumente übersehen oder falsch interpretiert werden. Marktstandard ist die Gliederung nach Workstreams, die dem Prüfungsteam des Käufers spiegelt.
Empfohlene Hauptordner-Ebene (Level 1)
Gesellschaftsvertrag, Gesellschafterliste (§ 40 GmbHG), Handelsregisterauszüge, Gesellschafterbeschlüsse, laufende/abgeschlossene Rechtsstreitigkeiten, Vollmachten
Jahresabschlüsse der letzten 3–5 Jahre (§ 242 HGB), aktuelle BWA, Kontenrahmen, Bankverbindlichkeiten, Leasingverträge, Working-Capital-Analyse
Steuerbescheide, Betriebsprüfungsberichte, aktuelle Steuerkonten (§ 118 ff. AO), Verrechnungspreisdokumentation, Organschaftsverträge, Verlustvorträge nach § 8c KStG
Anonymisierte Gehaltsübersichten, Muster-Arbeitsverträge, Betriebsvereinbarungen, Pensionszusagen, Organigramm, Schlüsselpersonen-Verträge
Top-10-Kundenverträge, Lieferantenverträge, Change-of-Control-Klauseln, Vertriebspartnerverträge, laufende Angebote
Softwarelizenzen, Domainregistrierungen, Patente/Marken (DPMA-Auszüge), IT-Sicherheitskonzept, Datenschutzdokumentation (DSGVO), Compliance-Richtlinien
Unterordner-Logik (Level 2/3)
Level-2-Ordner spiegeln Zeiträume (z. B. 2022 / 2023 / 2024) oder Kategorien (Aktiv / Archiv / Entwurf). Ein konsequentes Benennungsschema – [Workstream]-[Kategorie]-[Datum]-[Dokumentenbezeichnung] – erleichtert die automatische Versionierung und den Audit-Trail. Der vollständige Index wird als Excel-Datei im Wurzelordner gepflegt und täglich automatisch aktualisiert.
Q&A-Prozess: Fragen, Runden und Eskalation
Der integrierte Q&A-Bereich des VDR ersetzt E-Mail-Korrespondenz und verhindert, dass vertrauliche Antworten an falsche Adressaten gelangen. Ein professioneller VDR für die Due Diligence bildet einen mehrstufigen Prozess ab:
Standardablauf in drei Runden
| Runde | Zeitrahmen | Inhalt | Berechtigte |
|---|---|---|---|
| Runde 1 – Basisfragen | Woche 1–2 | Standardfragen zu Jahresabschlüssen, Organigramm, Verträgen | Alle zugelassenen Bieter |
| Runde 2 – Vertiefung | Woche 3–4 | Spezifische Nachfragen zu Risikofeldern, steuerlichen Sachverhalten, HR | Shortlist-Bieter (nach LOI) |
| Runde 3 – Exklusiv | Woche 5–6 | Management-Interviews, Confirmatory DD, SPA-Verhandlungsgrundlage | Exklusivbieter |
Technisch werden Fragen einer Käufer-Koordinatorin zugewiesen, die intern kategorisiert und priorisiert. Antworten durchlaufen das Seller-Team (meist M&A-Berater + Steuerberater) und werden erst nach interner Freigabe veröffentlicht. Eskalationspfade (z. B. rechtlich sensible Antworten → Genehmigung durch Gesellschafter) müssen im VDR rollenbasiert abgebildet sein.
Haftungshinweis
Jede Antwort im Q&A-Bereich kann später als vorvertragliche Auskunft i. S. d. § 311 Abs. 2 BGB gewertet werden. Lassen Sie Antworten zu steuerlichen und rechtlichen Sachverhalten immer durch qualifizierte Berater freigeben, bevor sie im Datenraum veröffentlicht werden.
Berechtigungen, Wasserzeichen und Zugriffssteuerung
Das Berechtigungskonzept ist das sicherheitsrelevante Herzstück des Datenraums. Es folgt dem Prinzip der minimalen Rechte (Least Privilege) und wird pro Nutzergruppe konfiguriert.
Typische Rollenmatrix im Data Room
| Rolle | Lesen | Download | Hochladen | Q&A beantworten | |
|---|---|---|---|---|---|
| VDR-Administrator (Verkäufer) | ✓ | ✓ | ✓ | ✓ | ✓ |
| M&A-Berater Verkäufer | ✓ | ✓ | ✓ | ✓ | ✓ |
| Bieter-Team (Standard) | ✓ | eingeschränkt | ✗ | ✗ | nur stellen |
| Bieter-Team (Shortlist) | ✓ | ✓ | ✓ | ✗ | nur stellen |
| Externe Gutachter | nur zugewiesene Ordner | ✗ | ✗ | Gutachten | ✗ |
Wasserzeichen und Fence View
Professionelle VDR-Systeme versehen jedes angezeigte Dokument mit einem dynamischen Wasserzeichen (Name, E-Mail, IP-Adresse, Zeitstempel). Der sogenannte Fence View oder View Only-Modus verhindert Downloads vollständig – der Inhalt wird nur im Browser gerendert, Screenshotschutz erschwert analoge Kopien. Diese Maßnahmen sind nicht nur technisch sinnvoll, sondern stärken die Beweisposition des Verkäufers, falls später streitig wird, welche Informationen einem Bieter zugänglich waren.
DSGVO-Anforderungen an den Datenraum
Sobald ein Datenraum personenbezogene Daten enthält – und das ist bei Arbeitsverträgen, Gehaltslisten, Kundendaten oder Krankenakten zwangsläufig der Fall – greift die DSGVO (EU) 2016/679 vollumfänglich. Für GmbH-Geschäftsführer ergeben sich konkrete Pflichten:
- Rechtsgrundlage für die Weitergabe: Die Weitergabe personenbezogener Mitarbeiterdaten an potenzielle Käufer ist in der Praxis auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) stützbar – aber nur, wenn eine Anonymisierung oder Pseudonymisierung nicht möglich oder unverhältnismäßig ist. Gehaltsübersichten sollten grundsätzlich anonymisiert in den Datenraum.
- Auftragsverarbeitungsvertrag (AVV): Der VDR-Anbieter ist technischer Auftragsverarbeiter nach Art. 28 DSGVO. Ohne schriftlichen AVV darf der Datenraum keine personenbezogenen Daten enthalten.
- Hosting-Standort: Hosting außerhalb der EU/EWR erfordert geeignete Garantien nach Art. 46 DSGVO (z. B. EU-Standardvertragsklauseln). Bevorzugen Sie Anbieter mit nachweislichem EU-Hosting.
- Löschkonzept: Nach Abschluss des M&A-Prozesses sind alle Datenräume für Bieter, die nicht zum Zug kamen, vollständig zu löschen. Definieren Sie Löschfristen vertraglich mit dem Anbieter.
Praxistipp: Datenschutz-Checkliste für den VDR
Erstellen Sie vor Datenraum-Öffnung ein kurzes Datenschutz-Memo, das dokumentiert: (1) welche personenbezogenen Datenkategorien enthalten sind, (2) auf welcher Rechtsgrundlage, (3) welche Schutzmaßnahmen getroffen wurden, und (4) wann gelöscht wird. Dieses Memo schützt Sie im Fall einer Aufsichtsbehörden-Anfrage.
Neutrale Auswahlkriterien für VDR-Anbieter
Der Markt für virtuelle Datenräume für die Due Diligence ist fragmentiert. Ohne Markenpräferenz zu benennen, können Sie Anbieter anhand dieser objektiven Kriterien bewerten:
Technische und Sicherheits-Kriterien
Funktionale Kriterien
Kommerziell/vertragliche Kriterien
| Kriterium | Empfehlung |
|---|---|
| Preismodell | Flat-Fee pro Projekt bevorzugen (kein seitenbasiertes Modell – unkalkulierbar) |
| Mindestlaufzeit | Monatlich kündbar oder Deal-basiert; keine 12-Monats-Lock-ins |
| Auftragsverarbeitungsvertrag | Muss vor Datenraum-Öffnung vorliegen (Art. 28 DSGVO) |
| Support | 24/7 deutschsprachiger Support – Transaktionen kennen keine Bürozeiten |
| Referenzen | Mindestens 5 abgeschlossene M&A-Transaktionen im KMU-Segment nachweisbar |
| Datenlöschung | Zertifizierte Löschung nach Transaktionsende vertraglich gesichert |
Praxisbeispiel: GmbH-Verkauf mit 12-Mio.-Umsatz
Eine produzierende GmbH mit 12 Mio. EUR Jahresumsatz, 85 Mitarbeitern und drei Gesellschaftern wird im Wege eines strukturierten Bieterverfahrens veräußert. Die M&A-Beraterin empfiehlt die Einrichtung eines VDR vier Wochen vor der ersten Informationsmemorandum-Versendung.
Zeitplan und Meilensteine
| Woche | Maßnahme | Verantwortlich |
|---|---|---|
| -4 bis -2 | VDR-Einrichtung, Ordnerstruktur anlegen, Dokumente sichten und klassifizieren | Steuerberater + GF |
| -1 | DSGVO-Check, AVV mit Anbieter, Anonymisierung Gehaltsübersichten | Datenschutzbeauftragter |
| 0 | Datenraum-Öffnung für alle NDA-unterzeichneten Bieter (Stufe 1) | M&A-Beraterin |
| 2–3 | Q&A-Runde 1 abschließen, Shortlist definieren, Datenraum für Runde 2 erweitern | Seller-Team |
| 5 | Exklusive Phase: Management-Präsentation, Confirmatory DD | GF + Berater |
| 8 | Signing; Datenraum für nicht-erfolgreiche Bieter löschen, Protokoll archivieren | M&A-Beraterin + IT |
Kostenkalkulation (orientierend)
Für eine Transaktion dieser Größe sind folgende Kostenpositionen realistisch:
2.500 – 6.000 EUR (je nach Anbieter und Nutzeranzahl)
4.000 – 10.000 EUR (Sichtung, Klassifizierung, DSGVO-Check)
Die Vorbereitung des Datenraums ist keine reine IT-Aufgabe, sondern ein juristisch-steuerlicher Prozess. Schlecht vorbereitete Datenräume – fehlende Dokumente, widersprüchliche Versionen, unkommentierte Risiken – führen zu Preisnachlässen oder Rücktritten. Professionelle Unterstützung bei der Datenraumvorbereitung ist damit eine klassische Buy-vs.-Cost-Entscheidung. Einen ersten Eindruck des onlinebilanz.de-Leistungsumfangs erhalten Sie über den kostenlosen Demo-Zugang oder den Kostenrechner.
Fazit: Datenraum Due Diligence als strategisches Instrument
Ein professionell aufgebauter Datenraum für die Due Diligence ist weit mehr als ein digitaler Aktenschrank. Er strukturiert den Informationsfluss, schützt vertrauliche Daten, dokumentiert lückenlos alle Prüfungshandlungen und ermöglicht parallele Bieterverfahren, die den Verkaufspreis steigern. Die Ordnerstruktur nach DD-Workstreams, ein disziplinierter Q&A-Prozess und ein granulares Berechtigungskonzept mit Wasserzeichen sind dabei keine Kür, sondern Mindeststandard jeder professionellen Transaktion.
DSGVO-Konformität – insbesondere AVV, EU-Hosting und Löschkonzept – ist rechtlich zwingend und kein optionales Add-on. Bei der Anbieterauswahl entscheiden ISO 27001, Flat-Fee-Preismodell, 24/7-Support und ein nachweisbarer Audit-Trail, nicht der Markenname. Lassen Sie den Datenraum durch erfahrene Steuerberater und Wirtschaftsprüfer vorbereiten – die Kosten amortisieren sich durch höhere Transaktionssicherheit und geringere Haftungsrisiken vielfach.
2.500 – 6.000 EUR
Typische VDR-Lizenzkosten (8 Wochen, Flat-Fee)
4–6 Wochen
Vorlauf für professionelle Datenraumvorbereitung
Häufig gestellte Fragen
Was gehört in einen Due-Diligence-Datenraum?
In einen Due-Diligence-Datenraum gehören alle transaktionsrelevanten Dokumente, gegliedert nach Workstreams: Corporate/Legal (Gesellschaftsvertrag, HR-Register), Finance (Jahresabschlüsse, BWA), Tax (Steuerbescheide, Betriebsprüfungsberichte), HR (anonymisierte Gehaltsübersichten, Arbeitsverträge), Commercial (Top-Kundenverträge, Change-of-Control-Klauseln) sowie IT/IP/Compliance (Lizenzen, Patente, Datenschutzdokumentation).
Wie lange dauert die Einrichtung eines virtuellen Datenraums?
Die reine technische Einrichtung dauert 1–2 Tage. Die inhaltliche Vorbereitung – Dokumentensichtung, Klassifizierung, DSGVO-Check und Anonymisierung – erfordert je nach Unternehmensgröße 2–6 Wochen. Professionelle M&A-Berater empfehlen, 4 Wochen vor der ersten Bieteransprache mit der Datenraumvorbereitung zu beginnen.
Müssen Mitarbeiterdaten im Datenraum anonymisiert werden?
Grundsätzlich ja. Personenbezogene Mitarbeiterdaten wie Gehalt, Adresse oder Krankenstand sollten anonymisiert oder pseudonymisiert in den Datenraum. Nur wenn eine Anonymisierung den Prüfungszweck vereiteln würde (z. B. bei Schlüsselpersonen-Verträgen), ist eine nicht-anonymisierte Weitergabe auf Basis von Art. 6 Abs. 1 lit. f DSGVO und mit geeigneten Schutzmaßnahmen denkbar.
Was ist ein Audit-Trail im virtuellen Datenraum?
Der Audit-Trail ist ein lückenlose, manipulationssichere Protokollierung aller Nutzeraktionen im Datenraum: wer welches Dokument wann geöffnet, heruntergeladen oder bearbeitet hat. Er ist entscheidend für spätere Gewährleistungsstreitigkeiten, da er beweist, welche Informationen einem Käufer zum Zeitpunkt der Due Diligence tatsächlich zugänglich waren.
Welche ISO-Zertifizierung sollte ein VDR-Anbieter mindestens haben?
Mindeststandard für M&A-Transaktionen ist die ISO 27001-Zertifizierung des Rechenzentrums. Für Transaktionen mit US-Gegenparteien wird zusätzlich ein SOC 2 Type II-Bericht empfohlen. Beide Nachweise sollten auf Anfrage vom Anbieter bereitgestellt werden können.
Über Autor
Autor
Servet Gündogan
Büroleiter OnlineBilanz · Stuttgart
Erster Ansprechpartner für Mandanten, koordiniert den Erstellungsprozess zwischen Mandant und Steuerberater.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Beratung. Alle steuerlichen Beratungsleistungen erbringt der angeschlossene Steuerberater bzw. Wirtschaftsprüfer. OnlineBilanz ist eine Steuerberater-Plattform: Ihr Jahresabschluss wird von einem zugelassenen Steuerberater erstellt und unterzeichnet. Stand der Rechtslage: July 2026.
