Datenraum

Definition und rechtliche Einordnung des Datenraums

Ein Datenraum bezeichnet im rechtlichen Kontext einen physischen oder elektronischen, besonders gesicherten Bereich, in dem relevante Unterlagen, Dokumente oder Daten zu einem bestimmten Rechtsgeschäft bereitgestellt werden. Die Nutzung eines Datenraums ist vor allem im Rahmen von Unternehmens-Transaktionen wie Unternehmensverkäufen, Mergers & Acquisitions (M&A), Due-Diligence-Prüfungen, aber auch bei Rechtsstreitigkeiten, Compliance-Prüfungen oder öffentlichen Ausschreibungen verbreitet. Der Datenraum kann dabei auch als „virtueller Datenraum“ (VDR, Virtual Data Room) ausgestaltet sein.

Rechtsgrundlagen für Datenräume ergeben sich aus einer Vielzahl von Vorschriften, insbesondere des Zivilrechts, Datenschutzrechts, Handels- und Gesellschaftsrechts sowie branchenspezifischen Regulierungen. Der Datenraum stellt rechtlich eine besondere Form der Informationsgewährung und -verarbeitung dar und ist mit spezifischen Pflichten und Rechten aller beteiligten Parteien verbunden.

Funktionsweise und rechtliche Rahmenbedingungen

1. Zweck und Einsatzbereiche

Datenräume dienen primär der sicheren Bereitstellung und Übermittlung von Geschäftsunterlagen für eine begrenzte Nutzergruppe. Typische Einsatzbereiche sind:

• Vorbereitung und Durchführung von Transaktionen (insbesondere im Rahmen von Unternehmensverkäufen)
• Due-Diligence-Prüfungen
• Abwicklung von Finanzierungen und Investitionen
• Durchführung von Compliance-Audits
• Dokumentation im Rahmen von Gerichtsverfahren

2. Vertragsgestaltung und Rechtsbeziehungen

a) Geheimhaltungsvereinbarungen (Non-Disclosure Agreements, NDA)

Vor der Gewährung des Zugangs zu einem Datenraum wird üblicherweise eine verbindliche Geheimhaltungsvereinbarung abgeschlossen. Inhalt dieser Vereinbarung sind unter anderem:

• Der Kreis der zugangsberechtigten Personen
• Die Verpflichtung zur Vertraulichkeit gegenüber Dritten
• Die zulässigen Zwecke der Datenraumnutzung
• Sanktionen bei Verstößen gegen die Vertraulichkeit

b) Zugangsregulierung

Die Verwaltung des Datenraums obliegt regelmäßig dem einrichtenden Unternehmen (sog. „Vendor“). Zugangsrechte werden individuell und zweckgebunden vergeben. Die Protokollierung von Zugriffen und Weitergaben ist Bestandteil der rechtlichen Absicherung.

c) Haftung und Gewährleistung

Werden im Datenraum fehlerhafte, unvollständige oder irreführende Informationen (beabsichtigt oder unbeabsichtigt) bereitgestellt, können sich daraus zivilrechtliche Haftungsansprüche ergeben. Dies gilt insbesondere bei vorvertraglichen Aufklärungs- und Sorgfaltspflichten (§§ 311 Abs. 2, 241 Abs. 2 BGB). Typische Gewährleistungsrisiken bestehen bei Transaktionsverträgen, die Informationen aus dem Datenraum zur Grundlage haben.

3. Datenschutzrechtliche Anforderungen

Das Bereitstellen und die Verarbeitung von personenbezogenen Daten in Datenräumen unterliegen den Anforderungen der Datenschutz-Grundverordnung (DSGVO). Wichtige Aspekte sind:

• Rechtsgrundlagen für die Datenverarbeitung (z.B. Artt. 6, 28 DSGVO)
• Gewährleistung technischer und organisatorischer Maßnahmen (TOM) gemäß Art. 32 DSGVO
• Auftragsverarbeitung und Abschluss entsprechender Verträge bei Einschaltung externer Datenraumdienstleister
• Betroffenenrechte wie Auskunft, Berichtigung, Löschung und Widerspruch

Für grenzüberschreitende Transaktionen sind zudem internationale Datenschutzregelungen relevant, etwa bei der Übertragung von Daten in Drittländer (vgl. Kapitel V DSGVO).

4. Anforderungen an virtuelle Datenräume

Virtuelle Datenräume (VDR) sind cloudbasierte Plattformen, deren technische und rechtliche Anforderungen über klassische Dokumentenarchive hinausgehen. Nach § 3a BDSG (Stand der Technik) sowie den Anforderungen der DSGVO müssen insbesondere gewährleistet sein:

• Zugangskontrollen und Nutzerautorisierung
• Protokollierung und Nachvollziehbarkeit von Zugriffen („Audit Trail“)
• Verschlüsselung von Daten während des Transfers und der Speicherung
• Schutz vor unbefugtem Zugriff, Manipulation oder Datenverlust

Der Betrieb eines VDR kann zudem aufsichtsrechtlichen oder branchenspezifischen Zusatzanforderungen unterliegen (z.B. im Bankwesen, Gesundheitswesen oder bei börsennotierten Gesellschaften).

Bedeutung des Datenraums im Rahmen der Due Diligence

Die detaillierte und nachweisbare Bereitstellung von Unterlagen im Datenraum ist zentraler Bestandteil der rechtssicheren Durchführung von Due-Diligence-Prüfungen. Ziel ist es, die Informationsasymmetrien zwischen den Vertragsparteien zu reduzieren und eine belastbare Grundlage für Vertragsverhandlungen zu schaffen.

a) Offenlegungspflichten und Haftungsrisiken

Eine vollständige, wahrheitsgetreue und rechtzeitige Offenlegung im Datenraum kann die Haftung des Verkäufers bei späteren Reklamationen begrenzen (sogenannte „Disclosure“). Andererseits können bewusst zurückgehaltene oder geschwärzte Dokumente eine Haftung begründen.

b) Nachweisfunktion und Beweislast

Der Datenraum fungiert als revisionssicheres Archiv zum Nachweis von offengelegten Sachverhalten. Protokollierung und Zeitstempel ermöglichen die klare Zuweisung, welche Informationen wann für wen verfügbar waren. Dies ist bei späteren Streitigkeiten, etwa zu Gewährleistungsfragen oder Haftungsstreitigkeiten, von zentraler Bedeutung.

Geheimhaltung, Schutzrechte und geistiges Eigentum

Die Veröffentlichung und Zugänglichmachung sensibler Daten im Datenraum berührt regelmäßig Fragen des Schutzes von Geschäfts- und Betriebsgeheimnissen (§§ 2 ff. GeschGehG). Urheberrechtlich geschützte Inhalte, Patente, Marken oder Know-how sind durch zusätzliche Schutzvorkehrungen (bspw. Wasserzeichen, Zugriffsbeschränkungen) rechtlich abzusichern.

Nicht oder nur selektiv offengelegte Informationen können durch Klauseln im Kauf- oder Kooperationsvertrag zusätzlich geschützt werden. Hierzu zählen insbesondere Non-Disclosure und Non-Use Agreements.

Datenraum im Rahmen gerichtlicher Verfahren

In gerichtlich angeordneten Verfahren (z.B. Kartellrechtsstreitigkeiten, Auskunftserzwingung, Discovery) können Datenräume eingesetzt werden, um den Parteien unter Wahrung der Vertraulichkeit den Zugang zu sensiblen Daten zu ermöglichen. Hierbei gelten spezifische prozessuale Vorgaben, etwa aus der Zivilprozessordnung (ZPO) oder diversen Spezialgesetzen.

Zusammenfassung und Ausblick

Der Begriff Datenraum ist rechtlich vielseitig und vielschichtig. Die zentrale Funktion des Datenraums ist die sichere, nachvollziehbare und transparente Informationsbereitstellung sowie die Wahrung von Vertraulichkeit und Datenschutz. Aufbau, Betrieb und Nutzung eines Datenraums erfordern die Beachtung zahlreicher zivilrechtlicher, datenschutzrechtlicher und immaterialgüterrechtlicher Anforderungen. Die Bedeutung digitaler Lösungen im Kontext des Datenraums nimmt weiter zu und bringt stets neue Herausforderungen für Rechtssicherheit, Datenschutz und IT-Sicherheit mit sich.

Häufig gestellte Fragen

Welche rechtlichen Anforderungen müssen bei der Erstellung eines Datenraums erfüllt werden?

Bei der Einrichtung eines Datenraums im rechtlichen Kontext, insbesondere im Rahmen von M&A-Transaktionen oder Due-Diligence-Prüfungen, müssen Unternehmen verschiedene gesetzliche Vorgaben einhalten. Dazu zählen insbesondere datenschutzrechtliche Bestimmungen gemäß der Datenschutz-Grundverordnung (DSGVO) in der EU, aber auch spezielle Vorschriften, die sich aus Handels-, Steuer- oder Gesellschaftsrecht ergeben. Zentrale Anforderungen umfassen unter anderem die Auswahl geeigneter technischer und organisatorischer Maßnahmen, um Vertraulichkeit, Integrität und Verfügbarkeit der gespeicherten Daten sicherzustellen. Es muss gewährleistet werden, dass nur befugte Personen Zugriff auf die sensiblen Informationen haben und alle Vorgänge im Datenraum ordnungsgemäß protokolliert werden können. Zudem sind etwaige Verschwiegenheitserklärungen oder Vertraulichkeitsvereinbarungen (NDAs) mit allen berechtigten Nutzern vor Freischaltung des Zugangs zu schließen. Eine umfassende Dokumentation, welche Dokumente und Informationen bereitgestellt wurden, ist nicht nur für die Nachweisführung im Streitfall unerlässlich, sondern hilft auch, möglichen Haftungsrisiken im Zusammenhang mit unterlassener oder fehlerhafter Informationsweitergabe zu begegnen.

Welche Rolle spielt die DSGVO im Zusammenhang mit Datenräumen?

Im Rahmen der Nutzung von Datenräumen ist die DSGVO von zentraler Bedeutung, sobald darin personenbezogene Daten verarbeitet werden. Verantwortliche Unternehmen müssen vorab prüfen, welche personenbezogenen Informationen eingestellt werden und ob deren Verarbeitung durch eine ausreichende Rechtsgrundlage gedeckt ist, etwa durch Vertragserfüllung, berechtigte Interessen oder Einwilligung der betroffenen Personen. Zudem sind die Informationspflichten gegenüber Betroffenen zu beachten; diese müssen darüber informiert werden, dass und wie ihre Daten im Rahmen eines Datenraums verarbeitet und gegebenenfalls an Dritte (z. B. potenzielle Erwerber) weitergegeben werden. Besonders relevant sind auch die Vorgaben zur Datensicherheit und Zugriffsbeschränkung, sodass technische Maßnahmen wie Verschlüsselung und zweistufige Authentifizierung zu implementieren sind. Wird der Datenraum durch einen externen Anbieter bereitgestellt, muss sichergestellt sein, dass die Auftragsverarbeitung nach Artikel 28 DSGVO rechtskonform erfolgt und mit entsprechenden Verträgen abgesichert wird.

Inwiefern haften Anbieter und Nutzer eines Datenraums für Datenlecks?

Die Haftung bei Datenlecks im Datenraum verteilt sich grundsätzlich auf den technischen Betreiber des Datenraums sowie auf die inhaltlich verantwortlichen Nutzer. Der Betreiber haftet insbesondere im Rahmen zivilrechtlicher und ggf. auch datenschutzrechtlicher Vorschriften, sofern technische oder organisatorische Sicherheitsdefizite vorliegen, die ein Datenleck begünstigen. Die Nutzer selbst haften für die Rechtmäßigkeit der eingestellten Dokumente, insbesondere wenn schutzwürdige Informationen unzulässig offengelegt werden oder erforderliche Einwilligungen fehlen. In vielen Fällen werden vertragliche Haftungsregelungen im Rahmen der Datenraumbeteiligung vereinbart, die Obergrenzen und Einschränkungen der Haftung für den Anbieter oder die Nutzer enthalten können. Darüber hinaus besteht bei DSGVO-Verstößen ein erhebliches Bußgeldrisiko für beide Seiten, wobei die jeweilige Verantwortung im Einzelfall detailliert zu prüfen ist.

Welche rechtlichen Vorgaben gelten für die Löschung von Daten im Datenraum?

Für die Löschung von Daten im Datenraum gelten insbesondere die datenschutzrechtlichen Vorgaben der DSGVO, wonach personenbezogene Daten zu löschen sind, sobald deren Speicherung für die vorgesehenen Zwecke nicht mehr erforderlich ist oder eine rechtliche Grundlage hierfür entfällt. Betreiber von Datenräumen müssen entsprechende technische Funktionen vorhalten, die eine vollständige und endgültige Löschung ermöglichen. Dies schließt auch Sicherungskopien („Backups“) und temporäre Zwischenspeicherungen ein. Für bestimmte Geschäftsunterlagen gelten darüber hinaus handels- und steuerrechtliche Aufbewahrungsfristen (z. B. gemäß HGB oder AO in Deutschland), nach deren Ablauf eine Löschung verpflichtend ist. Es ist ratsam, die Löschprozesse und -fristen vertraglich zu regeln und deren Einhaltung regelmäßig zu kontrollieren und zu dokumentieren, um spätere Rechtsstreitigkeiten oder behördliche Beanstandungen zu vermeiden.

Worauf ist bei der grenzüberschreitenden Nutzung eines Datenraums aus rechtlicher Sicht zu achten?

Bei der internationalen bzw. grenzüberschreitenden Nutzung eines Datenraums gewinnen Themen wie grenzüberschreitender Datenschutz und Exportkontrolle besondere Bedeutung. Sobald personenbezogene Daten von EU-Bürgern in Länder außerhalb der EU bzw. des EWR übertragen werden, greifen die sogenannten „Schutzmechanismen“ der DSGVO, wie etwa das Erfordernis eines angemessenen Datenschutzniveaus im Zielland oder der Abschluss von Standarddatenschutzklauseln. Ebenso können nationale Vorschriften zur Exportkontrolle greifen, insbesondere bei der Bereitstellung von technischen Informationen zu sensiblen Gütern oder Technologien. Unternehmen sollten daher im Vorfeld eine datenschutzrechtliche Risikoprüfung (sog. „Transfer Impact Assessment“) durchführen und ggf. weitere Compliance-Maßnahmen (z.B. IT-Sicherheitszertifikate, spezielle Zugangsbeschränkungen) implementieren.

Welche rechtlichen Aspekte sind bei der Protokollierung von Zugriffen zu beachten?

Das Protokollieren der Zugriffe auf einen Datenraum ist sowohl aus Beweis- als auch aus Compliance-Gesichtspunkten essenziell. Rechtlich relevant ist hierbei insbesondere die Frage, welche personenbezogenen Daten protokolliert werden dürfen. Die Protokollierung muss im Einklang mit den Datenschutzgrundsätzen der DSGVO stehen, was bedeutet, dass nur solche Informationen gespeichert werden sollen, die für die Nachvollziehbarkeit und Sicherheit tatsächlich erforderlich sind. Zudem ist eine klare Information der betroffenen Nutzer über den Umfang, Zweck und die Dauer der Speicherung der Zugriffsdaten vorgeschrieben. Die Protokolldaten müssen vor unbefugtem Zugriff geschützt und nach Ablauf etwaiger Aufbewahrungs- oder Verjährungsfristen gelöscht werden. Vertraulichkeits- und Geheimhaltungsinteressen sind hierbei ebenfalls zu wahren.

Welche Besonderheiten gelten für virtuelle Datenräume bei Unternehmensverkäufen?

Virtuelle Datenräume spielen im Rahmen von Unternehmensverkäufen (M&A-Transaktionen) eine zentrale Rolle und unterliegen speziellen rechtlichen Anforderungen. Neben den allgemeinen Vorgaben zum Datenschutz und zur IT-Sicherheit gelten hier insbesondere strengere Geheimhaltungs- und Prüfpflichten. Verkäufer sind verpflichtet, alle relevanten Informationen (einschließlich etwaiger Negativerkenntnisse/disklosure) vollständig und wahrheitsgemäß im Datenraum bereitzustellen, andernfalls droht eine Haftung wegen Informationsverschleierung oder -unterdrückung. Für Käufer besteht die Pflicht, offengelegte Unterlagen sorgfältig zu prüfen, um sich später nicht auf das Fehlen bestimmter Informationen berufen zu können. Darüber hinaus werden im Vorfeld meist sehr detaillierte Vertraulichkeitsvereinbarungen aufgesetzt, die Art, Umfang und Dauer der Nutzung sämtlicher Daten im Datenraum regeln. Auch Gewährleistungsrechte oder Haftungsklauseln werden häufig an die im Datenraum bereitgestellten Informationen geknüpft. Ein rechtskonformes Handling aller Prozesse, von der Zugriffsverwaltung über die Dokumentation bis zur Löschung nach Abschluss der Transaktion, ist somit unerlässlich.