09.12.2025

Datenschutz in Datenräumen ist längst kein „Nice-to-have“ mehr, sondern ein juristisches Minenfeld, das Unternehmen in M&A-Prozessen, Compliance-Verfahren oder internen Prüfungen erheblich unter Druck setzen kann. Virtuelle Datenräume gelten als sichere, kontrollierbare und revisionssichere Lösung, um vertrauliche Dokumente strukturiert offenzulegen. Doch genau hier entsteht eine gefährliche Fehleinschätzung: Viele Unternehmen glauben, dass ein sicherer Datenraum automatisch DSGVO-konform sei. In der Realität liegt die Verantwortung jedoch beim Unternehmen – und nicht beim technischen Anbieter.

Der virtuelle Datenraum ist immer nur ein Werkzeug. Erst das richtige Setup, die richtigen Prozesse, die richtigen Berechtigungseinstellungen und die richtige Dokumentation machen ihn DSGVO-tauglich. Die Praxis zeigt jedoch: Kaum ein Unternehmen beachtet die vollständige datenschutzrechtliche Dimension eines Datenraums. Selbst große Konzerne tappen immer wieder in dieselben Fallen – und diese Fehler können mehrere Millionen Euro kosten, sei es durch Bußgelder, Haftungsansprüche oder gescheiterte Transaktionen.

Warum werden diese Risiken so oft unterschätzt? Welche DSGVO-Fallen begegnen uns in Datenräumen am häufigsten? Und wie können Unternehmen sich professionell absichern, ohne die Due Diligence auszubremsen? Dieser Beitrag beleuchtet die wichtigsten Stolpersteine – und er zeigt, warum Datenschutz im Datenraum nicht nur juristische Pflicht, sondern ein wertsteigernder Faktor ist.

Warum der virtuelle Datenraum kein Selbstläufer ist

Virtuelle Datenräume vermitteln ein Gefühl von Sicherheit. Verschlüsselung, Zugriffskontrolle, Wasserzeichen, Download-Sperren und Audit-Trails erzeugen den Eindruck, alle Risiken seien technisch bereits minimiert. Viele Verantwortliche verwechseln jedoch technische Sicherheit mit rechtlicher Sicherheit. Genau hier beginnt die erste DSGVO-Falle: Der Betreiber des Datenraums ist nur Auftragsverarbeiter, aber der datenschutzrechtlich Verantwortliche ist und bleibt das Unternehmen selbst.

Wer personenbezogene Daten in einen Datenraum lädt, muss sicherstellen, dass deren Verarbeitung auf einer Rechtsgrundlage beruht, dass nur berechtigte Personen Zugriff haben, dass Daten minimiert werden und dass ein vollständiges Verzeichnis der Verarbeitungstätigkeiten existiert. Auch müssen Aufbewahrungsfristen eingehalten und Löschkonzepte umgesetzt werden.

Diese Anforderungen bestehen unabhängig davon, ob der Datenraum technisch einwandfrei funktioniert. Fehler entstehen also nicht in der Plattform, sondern im Umgang mit ihr. Und genau hier zeigen sich die häufigsten und teuersten DSGVO-Verstöße im M&A- und Compliance-Kontext.

Fehler 1: Zu viele personenbezogene Daten im Datenraum

Einer der größten und am weitesten verbreiteten Fehler besteht darin, zu viele personenbezogene Daten hochzuladen. Viele Unternehmen laden Arbeitsverträge, Gehaltslisten, Personalakten, Gesundheitsdaten oder interne HR-Dokumente hoch – oft ungefiltert und ohne Datenminimierung. Für Käufer sind diese Daten wertvoll, aber aus Sicht der DSGVO sind sie hochsensibel.

Besonders kritisch sind:

• Gesundheitsdaten aus arbeitsmedizinischen Untersuchungen
• Informationen zu Elternzeiten, Abmahnungen oder Kündigungen
• Religionszugehörigkeit zur Lohnsteuer
• Gehaltslisten mit Bankdaten
• Persönliche Adressen und private Telefonnummern
• Sozialversicherungsdaten

Die DSGVO verlangt Datensparsamkeit. Das bedeutet: Nur das, was für den Due-Diligence-Prozess absolut notwendig ist, darf in den VDR. Doch die meisten Datenräume sind randvoll mit sensiblen Informationen – oft aus Bequemlichkeit, manchmal aus Unwissenheit.

Ein Beispiel aus der Praxis: Ein mittelständisches Unternehmen lud sämtliche Personalakten unredigiert in einen Datenraum. Die Käuferseite meldete sich Wochen später mit der Forderung, alle sensiblen Daten zu löschen. Die Datenschutzbehörde wurde eingeschaltet. Ergebnis: hohe Kosten, Verzögerungen, Vertrauensverlust – und ein Preisabschlag, weil das Risiko mangelnder Governance offensichtlich wurde.

Fehler 2: Fehlende oder unzureichende Anonymisierung

Selbst wenn Unternehmen versuchen, personenbezogene Daten zu minimieren, werden häufig Fehler bei der Anonymisierung gemacht. Namen werden unvollständig geschwärzt, Informationen lassen sich rückschließen, Metadaten bleiben unbereinigt – oder die Schwärzungen sind technisch reversibel.

Anonymisierung bedeutet nicht „übermalen“, sondern vollständige Unkenntlichmachung. Viele Unternehmen erstellen PDFs ohne zu prüfen, ob die geschwärzten Daten weiterhin im Textlayer existieren. Käufer können diese teilweise wiederherstellen – was ein massives Datenschutzproblem darstellt.

Auch pseudonymisierte Daten reichen oft nicht aus. Eine simple Mitarbeiter-ID oder ein Kürzel kann genügen, um eine Person erkennbar zu machen. Die Folge: Ein Unternehmen glaubt, DSGVO-konform zu handeln, während es tatsächlich weiterhin personenbezogene Daten offenlegt.

Fehler 3: Keine klare Rechtsgrundlage für die Verarbeitung

Die DSGVO fordert eine eindeutige Rechtsgrundlage für jede Datenverarbeitung. Unternehmen verlassen sich häufig auf das Argument „berechtigtes Interesse“, doch dieses gilt im M&A-Kontext nur eingeschränkt.

Die typische Falle: Ein Unternehmen lädt personenbezogene Daten in den Datenraum, ohne vorher die eigene Rechtsabteilung einzubinden und ohne betroffene Personen zu informieren. Doch im Arbeitsrecht gelten strenge Informationspflichten. Mitarbeiter müssen zumindest abstrakt darüber informiert werden, dass ihre Daten im Rahmen eines potenziellen Unternehmenskaufs offengelegt werden können. Viele Arbeitgeber tun das nicht – und verstoßen damit direkt gegen Art. 13 DSGVO.

Besonders problematisch ist dies bei Gesundheitsdaten, Abmahnungen oder Kündigungsgründen. Diese benötigen eine eigene Rechtsgrundlage, die in M&A-Prozessen kaum gegeben ist.

Fehler 4: Zu breite Zugriffsrechte für Käufer und Berater

Rechtlich gelten Zugriffsrechte im Datenraum als Weitergabe personenbezogener Daten an Dritte. Das bedeutet:

• Jeder Käufer
• Jeder Anwalt
• Jeder Berater
• Jeder Wirtschaftsprüfer

wird zu einem „Empfänger von personenbezogenen Daten“ im Sinne der DSGVO.

Viele Datenräume vergeben jedoch weitreichende Zugriffsrechte – oft automatisch, ohne Einzelfallprüfung. Käufer erhalten vollen Zugriff auf HR-Ordner, auf Compliance-Daten, auf Kundenlisten, teilweise sogar auf interne Beschwerden oder Hinweise aus Whistleblower-Systemen.

Das Problem: Das ist nicht erforderlich. Ein Due-Diligence-Prozess benötigt viele Informationen – aber nicht alle personenbezogenen Daten. Ein Unternehmen muss jeden Zugriff datenschutzrechtlich begründen. Doch die Praxis sieht oft anders aus: Käufer erhalten „Vollzugriff“, einfach weil es schneller geht.

Fehler 5: Keine Trennung zwischen Stufen der Due Diligence

Die DSGVO verlangt, dass nur die Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind. In M&A-Prozessen bedeutet das:
Ein potenzieller Käufer in der Indikativphase hat weit weniger Anspruch auf Einsicht als ein Investor nach Signing.

Doch in vielen Datenräumen wird bereits in der ersten Runde alles freigegeben – aus Unwissenheit oder Bequemlichkeit.

Ein Best Practice in der M&A-Welt ist das „stufenweise Freigabemodell“:

• Stufe 1: Unternehmensdaten ohne Personenbezug
• Stufe 2: Finanz- und Vertragsdaten
• Stufe 3: Reduzierte HR-Daten
• Stufe 4: Vollständige Einsicht (nur für den finalen Käufer)

Viele Unternehmen implementieren diese Struktur nicht – und begehen so gleich mehrere Datenschutzverstöße.

Fehler 6: Löschfristen in Datenräumen werden ignoriert

Die DSGVO schreibt vor, dass personenbezogene Daten gelöscht werden müssen, sobald der Zweck entfällt. Doch nach einem abgebrochenen Bieterprozess bleiben Datenräume oft noch monatelang geöffnet oder unkontrolliert bestehen. Käufer können weiterhin zugreifen, obwohl kein berechtigtes Interesse mehr besteht.

Noch schlimmer: Viele Unternehmen archivieren komplette Datenräume inklusive personenbezogener Daten – ohne Rechtsgrundlage.

Das kann gravierende Folgen haben:

• Bußgelder
• Schadensersatzklagen von Mitarbeitern
• Rechtsstreitigkeiten mit abgelehnten Bietern

Ein sauber aufgesetztes Löschkonzept ist daher Pflicht – wird aber in der Praxis fast nie umgesetzt.

Fehler 7: Kein Auftragsverarbeitungsvertrag (AVV) mit dem Datenraum-Anbieter

Viele Unternehmen laden personenbezogene Daten in Datenräume, ohne vorher einen formal gültigen AV-Vertrag mit dem Anbieter abzuschließen. Die DSGVO verlangt diesen Vertrag zwingend.

Noch schlimmer: Manche Anbieter nutzen Subdienstleister außerhalb der EU – ein riesiges Risiko, wenn die Daten sich auf Mitarbeiter oder Kunden beziehen.

Ein AVV muss explizit klären:

• Speicherort der Daten
• Löschfristen
• Zugriffsmöglichkeiten des Anbieters
• Verbot von Unterauftragsverarbeitern ohne Zustimmung
• Verpflichtung zu Verschlüsselung und Zugriffskontrolle

Ohne AVV ist jeder Upload personenbezogener Daten rechtswidrig.

Fehler 8: Datenraum-Anbieter mit Serverstandort USA oder problematischen Rechtsräumen

Viele US-amerikanische Datenraum-Anbieter sind technologisch hochwertig – doch nach DSGVO und EuGH-Rechtsprechung rechtlich problematisch. Der Grund: US-Behörden haben weitreichende Zugriffsmöglichkeiten auf Daten, die in US-Infrastruktur gespeichert werden, selbst wenn sie sich physisch in Europa befinden.

Ein Verkäufer, der personenbezogene Daten in einem solchen Datenraum ablegt, riskiert sofort einen DSGVO-Verstoß.

Europa bevorzugt daher Anbieter mit:

• Serverstandort Deutschland
• Verschlüsselung auf europäischem Boden
• Keine US-Unterauftragsverarbeitung
• Kein Zugriff durch Drittländer

Wer hier Fehler macht, riskiert nicht nur Bußgelder – sondern auch den Abbruch eines Deals, wenn Investoren ein Datenrisiko erkennen.

Fehler 9: Verwechslung von technischer Sicherheit mit rechtlicher Compliance

Selbst der sicherste Datenraum ersetzt keine Rechtsprüfung. Die häufigste Fehleinschätzung lautet: „Der Datenraum ist sicher – also sind wir DSGVO-konform.“

Doch während technische Sicherheit Risiken reduziert, ist die DSGVO ein rechtliches Regime, das eigene Pflichten definiert:

• Informationspflichten
• Rechtsgrundlagen
• Löschpflichten
• Transparenzpflichten
• Auftragsverarbeitung
• Betroffenenrechte

Viele Unternehmen erfüllen diese Pflichten nicht – oft, weil sie glauben, der Datenraum-Anbieter übernehme sie. – Das tut er nicht.

Fehler 10: Nichtbeachtung der Betroffenenrechte während des M&A-Prozesses

Mitarbeiter haben ein Recht:

• zu erfahren, wer ihre Daten verarbeitet,
• zu erfahren, zu welchem Zweck,
• Auskunft zu verlangen,
• Löschung zu verlangen.

Wie soll ein Unternehmen reagieren, wenn ein Mitarbeiter wissen möchte, welche seiner Daten im Rahmen eines laufenden Bieterprozesses offengelegt wurden?

Die meisten Unternehmen haben darauf keine Antwort – und damit ein massives Compliance-Problem.

Fehler 11: Fehlende oder unklare interne Prozesse zur Datenraum-Steuerung

In vielen Unternehmen lädt jede Abteilung eigenständig Dokumente hoch. Das führt zu:

• Doppelversionen
• widersprüchlichen Angaben
• unzulässigen personenbezogenen Daten
• versehentlichen Offenlegungen

Eine einzige falsch hochgeladene Datei kann zu DSGVO-Bußgeldern in Millionenhöhe führen.
Deshalb benötigen Unternehmen ein internes Governance-Modell für den Datenraum – doch die wenigsten haben eines.

Fehler 12: Zu wenig Dokumentation über die Entscheidungsprozesse

Die DSGVO verlangt Nachweisbarkeit. Unternehmen müssen dokumentieren können:

• warum bestimmte Daten hochgeladen wurden,
• auf welcher Rechtsgrundlage,
• wer Zugriff hatte,
• wann Daten gelöscht wurden.

Fehlt diese Dokumentation, drohen Bußgelder selbst dann, wenn kein Schaden entstanden ist.

Fehler 13: Zugriff aus Drittstaaten wird übersehen

Viele internationale Käufer greifen aus Ländern zu, die nicht DSGVO-kompatibel sind.
Ein Datenraum, der global geöffnet ist, kann so unbeabsichtigt gegen Art. 44 DSGVO verstoßen – internationale Datenübermittlung. Jeder einzelne Zugriff zählt als Übermittlung.

Fehler 14: Unzureichende Datenraum-Verschlüsselung oder Key-Management

Einige Datenräume verschlüsseln zwar Daten „at rest“, aber nicht „end-to-end“.
Andere speichern Schlüssel in US-Clouds oder geben sie an Drittdienstleister weiter.
DSGVO verlangt technische Maßnahmen, die dem Stand der Technik entsprechen. – Viele Anbieter erfüllen diese nur oberflächlich.

Fehler 15: Fehlende Exit-Strategie nach Abschluss des Deals

Datenräume werden oft nach Closing einfach deaktiviert – ohne zu prüfen:

• ob personenbezogene Daten zu löschen sind,
• ob Kopien noch existieren,
• wer noch Zugriff hat,
• ob Exportpakete DSGVO-konform sind.

Eine ungeplante Deaktivierung gefährdet die gesamte Löschkette.

Datenschutz in Datenräumen ist kein Hindernis – sondern ein Wettbewerbsvorteil

Unternehmen, die Datenschutz im Datenraum beherrschen, senden ein klares Signal:
Professionalität.
Governance.
Kontrolle.
Vertrauenswürdigkeit.

Investoren schätzen das – und sie belohnen es mit höheren Bewertungen, schnelleren Prozessen und weniger Nachverhandlungen.

Ein sauber DSGVO-konformer Datenraum ist nicht nur ein rechtliches Muss, sondern ein wertsteigernder Faktor im M&A-Prozess.