Wissen Kanzleien
Datenraum Due Diligence schwärzen: Verträge, HR, Kunden und IP prüfen
Geben Sie im Datenraum zuerst nur das frei, was die aktuelle Prüfphase und der jeweilige Empfängerkreis wirklich brauchen. Beschäftigtendaten, Kundendaten und Geschäftsgeheimnisse gehören in getrennte Prüfpfade. Aggregation, Pseudonymisierung, geschwärzte Fassungen und Clean Teams können die Offenlegung begrenzen. Jede spätere Freigabe braucht eine eigene Entscheidung.
Ein Datenraum macht interne Unterlagen für Käufer, Investoren, Banken und deren Berater sichtbar. Damit beginnt eine kontrollierte Offenlegung. Wenn zu früh zu viel im Raum liegt, sind Namen, Gehälter, Kundenkonditionen oder technische Details bereits verteilt. Spätere Zugriffssperren holen diese Informationen nicht zurück.
Die wirksamste Regel lautet deshalb: Freigaben folgen dem Deal. Am Anfang reichen meist Übersichten und geschwärzte Fassungen. Klardaten und besonders sensible Einzelheiten kommen nur hinzu, wenn der Prüfzweck sie trägt und der Empfängerkreis eng genug ist.
Vier Phasen, vier Informationsstände
Die folgende Staffelung ist eine praktische Risikosteuerung. Sie ist kein gesetzlich vorgeschriebener Ablauf. Deal-Struktur, Branche und Prüfgegenstand können andere Schritte verlangen.
| Phase | Was meist genügt | Was regelmäßig zurückbleibt |
|---|---|---|
| Teaser und erste Ansprache | Kennzahlen, Markt, anonymisierte Kundenstruktur | Namen, Einzelverträge, Gehälter, technische Kerndetails |
| Erste Prüfung | Vertragslisten, aggregierte HR-Daten, geschwärzte Musterverträge | Personenbezug ohne Prüfzweck, sensible Konditionen, vollständiger Quellcode |
| Vertiefte Prüfung | Erforderliche Einzeldokumente, abgestufte Räume, Clean-Team-Fassungen | Unbeteiligte Dritte, Gesundheitsdaten ohne tragfähigen Zweck, private Kontaktdaten |
| Signing und Closing | Für Vollzug und Übernahme erforderliche Daten | Informationen ohne Bezug zur Transaktion oder zum künftigen Betrieb |
Eine Unterlage kann deshalb mehrfach vorliegen: als Übersicht, als geschwärzte Fassung und als eng beschränkte Vollfassung. Entscheidend sind Empfänger, Zweck und Zeitpunkt jeder Version.
Jede Dokumentart braucht ihre eigene Prüfung
| Unterlage | Kritische Inhalte | Typische Begrenzung |
|---|---|---|
| Kundenverträge | Ansprechpartner, Preise, Rabatte, Streitstände | Kontaktdaten schwärzen, Konditionen nach Rolle freigeben |
| HR-Unterlagen | Gehalt, Krankheit, Abmahnung, Bewerberdaten, Betriebsrat | Aggregieren, pseudonymisieren, Einzelakten nur bei belegter Erforderlichkeit |
| Lieferantenverträge | Preisformeln, Ansprechpartner, Mindestmengen | Namen entfernen, wettbewerblich sensible Anlagen enger stellen |
| IP- und Technikunterlagen | Erfinder, Quellcode, Roadmap, Sicherheitsarchitektur | Auszüge, Leserechte, Clean Team, Exportbeschränkung |
| Rechtsstreitigkeiten | Parteien, Zeugen, Strategie, Vergleichsrahmen | Drittdaten und taktische Passagen fundstellenbezogen prüfen |
Die DSGVO verlangt unter anderem Zweckbindung, Datenminimierung sowie Integrität und Vertraulichkeit. Bei Beschäftigtendaten kommen § 26 BDSG und, je nach Rechtsgrundlage und Datenart, Art. 6 oder Art. 9 DSGVO hinzu. Ein externer Datenraumanbieter löst weitere Fragen aus: Rollenverteilung, Auftragsverarbeitung, Unterauftragnehmer, Supportzugriffe, Hosting, Verschlüsselung und Drittlandtransfers.
HR-Daten zuerst verdichten
Personalunterlagen sind für eine Due Diligence wichtig, weil sie Schlüsselrollen, Kosten und Risiken zeigen. Vollständige Personalakten sind dafür nur selten der richtige Einstieg.
Praktisch bewährt sich eine Abstufung:
- Aggregierte Angaben zu Headcount, Funktionen, Vergütungsbändern und Laufzeiten.
- Pseudonymisierte Einzeldaten, wenn Zusammenhänge auf Personenebene geprüft werden müssen und die Verarbeitung zulässig ist.
- Klardaten einzelner Personen nur mit dokumentiertem Zweck und eng begrenztem Zugriff.
Krankheitsinformationen, private Kontaktdaten, Konfliktakten, Abmahnungen und Bewerbungsunterlagen verdienen eine gesonderte Entscheidung. Ein allgemeines Interesse des Käuferteams an möglichst vollständigen Informationen reicht dafür nicht automatisch aus.
Fiktives Beispiel: Vergütungsliste
Dieses Beispiel ist vollständig erfunden und zeigt nur die Bearbeitungslogik.
| Ausgangsdokument | Fassung für die erste Prüfung |
|---|---|
| „Anna Beispiel, Head of Sales, 126.000 Euro, Bonus 30 Prozent, seit März 2025 arbeitsunfähig“ | „Leitung Vertrieb, Vergütungsband 120.000 bis 130.000 Euro, Zielbonus 30 Prozent“ |
Die Rolle und die wirtschaftliche Größenordnung bleiben prüfbar. Name und Gesundheitsangabe werden in dieser Phase nicht offengelegt. Eine einzige Vertriebsleitung kann trotzdem erkennbar bleiben. Der relative Personenbezug erklärt, warum Empfängerwissen bei der Bewertung mitzählt. Ob weitere Angaben später erforderlich und ihre Offenlegung zulässig sind, muss gesondert entschieden werden.
Geschäftsgeheimnisse vollständig prüfen
Nach § 2 Nr. 1 GeschGehG liegt ein Geschäftsgeheimnis nur vor, wenn alle drei Voraussetzungen erfüllt sind:
- Die Information ist in den einschlägigen Kreisen weder insgesamt noch in der genauen Anordnung und Zusammensetzung ihrer Bestandteile allgemein bekannt oder ohne Weiteres zugänglich und hat deshalb wirtschaftlichen Wert.
- Der rechtmäßige Inhaber schützt sie durch nach den Umständen angemessene Geheimhaltungsmaßnahmen.
- Es besteht ein berechtigtes Interesse an der Geheimhaltung.
Der Datenraum ist damit Teil des Schutzkonzepts. Rollen, Vertraulichkeitsregeln, dokumentierte Freigaben, gesonderte Bereiche für besonders sensible Dokumente, Wasserzeichen sowie Beschränkungen für Download und Export können angemessene Maßnahmen stützen. Welche Maßnahmen genügen, hängt vom Wert und vom Risiko der jeweiligen Information ab.
Ein Clean Team ist vor allem bei Preisen, Margen, Kundenbeziehungen und strategischen Plänen hilfreich. Es begrenzt den Kreis der Personen, die wettbewerblich sensible Inhalte sehen. Die datenschutzrechtliche Prüfung von Zweck, Rechtsgrundlage und Erforderlichkeit bleibt trotzdem erforderlich.
Share Deal, Asset Deal und Due Diligence auseinanderhalten
Der DSK-Beschluss vom 11. September 2024 betrifft die Übermittlung personenbezogener Daten im Asset Deal. Er erläutert, dass bei einem Share Deal grundsätzlich nur Anteile wechseln und die verantwortliche Gesellschaft dieselbe bleibt. Die DSK nimmt Prüfungshandlungen während der Due Diligence ausdrücklich von dieser vereinfachten Betrachtung aus.
Abschnitt I des Beschlusses bewertet die Übermittlung personenbezogener Daten an mögliche Erwerber vor Vertragsschluss grundsätzlich als unzulässig. Er nennt die freiwillige Einwilligung im Einzelfall und für fortgeschrittene Verhandlungen mögliche berechtigte Interessen bei besonders hervorgehobenen Personen, etwa Schlüsselpersonal. Die Aussage „vertiefte Prüfung“ in der Phasentabelle ist deshalb keine pauschale Erlaubnis für Einzelakten. Der DSK-Beschluss ist eine aufsichtsbehördliche Position, kein Gesetz und kein Urteil.
Für den Datenraum sind diese Vorgänge getrennt zu bewerten:
| Vorgang | Was rechtlich zu prüfen bleibt |
|---|---|
| Einsicht während der Due Diligence | Die Offenlegung an Prüfende ist ein eigener Verarbeitungsvorgang, auch vor einem Share Deal. Zweck, Rechtsgrundlage und erforderlicher Umfang müssen dafür tragen. |
| Spätere Übertragung im Asset Deal | Die Datenübertragung wird erneut bewertet. Der DSK-Beschluss unterscheidet hierzu Datenarten und Phasen; eine vorangegangene Prüfung ersetzt diese Entscheidung nicht. |
Die Deal-Bezeichnung allein beantwortet daher keine Freigabefrage im Datenraum.
So entsteht eine belastbare Freigabe
- Prüfphase und konkreten Informationsbedarf festhalten.
- Empfänger in Rollen aufteilen, etwa Käuferteam, Rechtsberatung, HR-Prüfung, technische Prüfung und Clean Team.
- Unterlagen nach personenbezogenen Daten, Beschäftigtendaten und Geschäftsgeheimnissen klassifizieren.
- Für jede Rolle die datensparsamste ausreichende Fassung wählen: Übersicht, Aggregat, pseudonymisierte Liste, geschwärztes Dokument oder Vollfassung.
- Rechtsgrundlage, Geheimhaltungsmaßnahmen und technische Zugriffe prüfen.
- Freigegebene Version, Empfängerkreis und Begründung dokumentieren.
- Bei einer neuen Deal-Phase erneut entscheiden.
Für ein Konvolut mit mehreren Fassungen, Empfängerkreisen und Freigaben zeigt veronto disclose eine Ablaufdemo mit festen Beispieldaten. Die Entwicklung eines ersten abgegrenzten Herausgabefalls wird gemeinsam geklärt. Geht es ausschließlich um die Bearbeitung vorab festgelegter Fundstellen in Dateien, beschreibt redact die entsprechende Pilotprüfung.
Quellen und Stand
Die DSGVO wird anhand der amtlichen Textwiedergabe der BfDI zitiert (Broschüre, Stand März 2026).
Quellen und dargestellte Normen geprüft am 8. September 2026. Die Seite beschreibt eine praktische Prüfstruktur. Die rechtliche Bewertung hängt von Deal, Dokumenten, Empfängern und technischen Zugriffswegen ab.
Vertiefungen zu Kanzleien
Hinweis: Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.