Due-Diligence-Datenraum: Unterlagen prüfen und schwärzen

Unterlagen für eine Due Diligence werden so vorbereitet, dass der jeweilige Empfängerkreis seine konkrete Prüfaufgabe erfüllen kann. Vor dem Upload werden Zweck, Rechtsgrundlage und erforderliche Informationen geklärt. Daraus entstehen freigegebene Übersichten, Auszüge oder Schutzfassungen. Kundennamen, Gehälter und technische Details werden jeweils einzeln bewertet. Eine allgemeine Freigabe des gesamten Projektordners ist dafür zu ungenau.

Ein später entfernter Zugriff holt bereits gelesene oder heruntergeladene Informationen nicht zurück. Die Entscheidung über den Umfang gehört deshalb vor die Offenlegung. Die folgende Struktur verbindet den rechtlichen Prüfblick mit einer tatsächlich bereitgestellten Dokumentfassung.

Welche Frage soll der Datenraum beantworten?

Eine Anfrage wie „alle Personal- und Kundenunterlagen“ beschreibt noch keinen ausreichenden Prüfzweck. Braucht das Käuferteam die Verteilung von Vertragslaufzeiten? Soll die Rechtsberatung eine Änderungsklausel beurteilen? Muss die technische Prüfung ein bestimmtes Schutzrecht nachvollziehen? Diese Fragen bestimmen, welche Fassung überhaupt benötigt wird.

Die folgende Staffelung ist eine praktische Empfehlung. Sie bildet keinen gesetzlich vorgeschriebenen Deal-Ablauf ab und schafft keine eigenständige Erlaubnis zur Offenlegung.

Dabei ist „Teilzugang“ eine organisatorische Begrenzung der Datenraumeinsicht. Ein gesetzlicher Informationszugangsanspruch wie bei Behördenakten wird damit nicht begründet.

Welche rechtlichen Entscheidungen liegen vor dem Upload?

Die DSGVO in der Textwiedergabe der BfDI-Broschüre verlangt insbesondere eine rechtmäßige Verarbeitung, Zweckbindung und Datenminimierung. Art. 6 bestimmt die möglichen Rechtsgrundlagen. Gesundheitsangaben und andere besondere Kategorien benötigen zusätzlich die Prüfung von Art. 9. Vertraulichkeitsvereinbarungen und technische Sperren ersetzen diese Voraussetzungen nicht.

Die Offenlegung von Beschäftigtendaten an Kaufinteressenten benötigt eine eigene tragfähige Rechtsgrundlage. Ein Verweis auf § 26 Abs. 1 Satz 1 BDSG genügt dafür nicht. Für den Betriebsübergang benennt die DSK in Fußnote 3 ihres Beschlusses unionsrechtliche Zweifel an seiner Anwendbarkeit. Bei einer möglichen Einwilligung sind insbesondere § 26 Abs. 2 BDSG und die Freiwilligkeit im Beschäftigungsverhältnis zu prüfen. Für besondere Datenkategorien gelten Art. 9 DSGVO und ergänzende Regeln wie § 26 Abs. 3 BDSG jeweils unter ihren eigenen Voraussetzungen. Daraus folgt keine allgemeine Erlaubnis zur Offenlegung von Personalakten.

Auch Share Deal und Asset Deal sind zu unterscheiden. Der DSK-Beschluss vom 11. September 2024 erläutert, dass ein bloßer Anteilserwerb den Verantwortlichen grundsätzlich unverändert lässt. Prüfungshandlungen während der Due Diligence nimmt die DSK ausdrücklich aus dieser vereinfachten Einordnung aus.

Für die Phase vor Abschluss eines Asset Deals bewertet Abschnitt I Datenübermittlungen an mögliche Erwerber grundsätzlich als unzulässig. Er nennt freiwillige Einwilligungen im Einzelfall und bei fortgeschrittenen Verhandlungen mögliche berechtigte Interessen für besonders hervorgehobene Personen. Das ist eine aufsichtsbehördliche Position und keine generelle Freigabe bestimmter Berufsrollen oder ganzer Personalbestände.

Mandats- und Patientenunterlagen brauchen zusätzlich eine Prüfung von § 203 StGB und dem jeweiligen Berufsrecht. Ein NDA oder eine datenschutzrechtliche Rechtsgrundlage klärt diese Befugnisfrage nicht allein. § 203 Abs. 3 kann die erforderliche Einbindung mitwirkender Dienstleister erlauben; die Geheimhaltungsanforderungen aus Absatz 4 sind zu beachten. Der Zugang eines Kaufinteressenten zur Due Diligence ist davon getrennt zu beurteilen. Für die konkrete Einsicht muss eine passende Befugnis feststehen, beispielsweise eine wirksame Einwilligung. Eine begrenzte oder tatsächlich anonymisierte Auswertung kann den erforderlichen Offenlegungsumfang reduzieren.

Wie wird aus einem Eingangspaket eine Schutzfassung?

Angenommen, ein Käuferteam möchte Vertragsbindung, Personalkosten und technische Abhängigkeiten beurteilen. Der Eingangsordner enthält einen Kundenvertrag, eine Personalliste und eine technische Anlage. Die benötigten Informationen werden zuerst auf diese Fragen zugeschnitten.

Das synthetische Datenraum-Prüfpaket als ZIP enthält den angenommenen Eingang, eine begrenzte Schutzfassung und eine Freigabematrix. Es ist ein Arbeitsbeispiel ohne echte Kontakte oder Transaktion. Alle Bestandteile sind auch einzeln verfügbar:

• Eingangspaket im Textformat
• Begrenzte Schutzfassung
• Zweck-, Rollen- und Freigabematrix als CSV
• Anleitung zur Verwendung

Der Kundenvertrag wird im Beispiel nicht vollständig unlesbar gemacht. Die für die Rechtsprüfung relevante Kündigungsklausel bleibt erhalten. Für einen anderen Empfänger genügt eine wirtschaftliche Übersicht. Beide Fassungen stammen aus demselben Ausgangsdokument und besitzen unterschiedliche Freigaben.

Die Matrix enthält einen eigenen Status für offene Entscheidungen. Ein ungeklärter Bedarf wird nicht durch Hochladen der Vollfassung gelöst. Rückfragen gehen an die zuständige Stelle, bis eine zulässige und ausreichende Fassung feststeht.

Welche HR-Angaben bleiben erkennbar?

Eine aggregierte Übersicht kann den Informationsbedarf bereits erfüllen. Werden zulässigerweise Einzeldaten benötigt, kann Pseudonymisierung die Zuordnung begrenzen. Die persönliche Schlüsseldatei gehört dann in einen getrennten, eng berechtigten Bereich und nicht als Anlage in dasselbe Ausgabepaket.

Die Umbenennung von „Anna Beispiel“ in „P-01“ beseitigt den Personenbezug nicht automatisch. Eine alleinige Geschäftsleitung oder öffentlich bekannte Spezialfunktion kann im Käuferteam weiterhin zugeordnet werden. Der relative Personenbezug erklärt die Bedeutung dieses Zusatzwissens.

Gesundheitsinformationen, private Kontaktdaten und Konfliktvermerke erhalten eine eigene Entscheidung. Benötigt die wirtschaftliche Prüfung nur Personalkosten, dürfen solche Angaben nicht unbemerkt aus einer Personalaktenanlage mitreisen. Ebenso wird geprüft, ob eine kleine Gruppe in einer vermeintlich aggregierten Tabelle einzelne Personen offenlegt.

Wie werden Geschäftsgeheimnisse und Clean Teams behandelt?

Nach § 2 Nr. 1 GeschGehG setzt ein Geschäftsgeheimnis drei Elemente voraus: nicht allgemein bekannte oder ohne Weiteres zugängliche Information mit wirtschaftlichem Wert, angemessene Geheimhaltungsmaßnahmen und ein berechtigtes Geheimhaltungsinteresse. Ein internes Etikett allein genügt dafür nicht.

Ein Datenraumkonzept kann begrenzte Leserechte, getrennte Bereiche und dokumentierte Vertraulichkeit vorsehen. Bei Margen, Preisformeln oder technischen Details kann ein Clean Team einen engen Empfängerkreis ermöglichen. Welche Angaben anschließend an das übrige Käuferteam gelangen, erhält eine eigene Regel, etwa einen zusammenfassenden Befund ohne die vertraulichen Detailwerte.

Das Clean Team braucht deshalb eine konkrete Aufgabenbeschreibung. Wer arbeitet mit welcher Detailfassung, welches Ergebnis darf weitergegeben werden, und wer prüft diese Zusammenfassung? Datenschutz, Geheimnisschutz und mögliche wettbewerbsrechtliche Fragen werden jeweils für diesen Aufbau beurteilt.

Wie wird eine Fassung technisch und organisatorisch freigegeben?

Für die Übermittlung trägt nach Abschnitt V des DSK-Beschlusses der Veräußerer die datenschutzrechtliche Verantwortung. Die eigene Verarbeitung beim Erwerber und eine mögliche Auftragsverarbeitung werden davon getrennt eingeordnet.

Die Freigabe umfasst die Datei und den tatsächlichen Zugriff. Ein Dokument kann inhaltlich passend bearbeitet sein und trotzdem im falschen Datenraumbereich liegen. Umgekehrt schützen enge Berechtigungen keine unzulässige Offenlegung an den vorgesehenen Empfänger.

Prüfschritt	Was festgehalten wird
Bedarf und Zulässigkeit	Zweck, Rechtsgrundlage, benötigte Informationen und verantwortliche Rolle
Fassungsbildung	Quelldokument, gewählter Auszug oder Schutzfassung, offene Fundstellen
Technische Kontrolle	Textschicht, Metadaten, Kommentare, Anhänge und Dateinamen
Zugriff	Benannter Rollenkreis, Leserechte und vorgesehene Exportmöglichkeiten
Freigabe	Geprüfte Version, Prüfsumme, Datum und freigebende Person
Änderung	Neue Inhalte, Empfänger oder Phase mit erneuter betroffener Prüfung

Bei einem Datenraumanbieter werden außerdem die Rollenverteilung, mögliche Auftragsverarbeitung, Unterauftragnehmer und Supportzugriffe geprüft. Art. 28, 32 und gegebenenfalls Kapitel V DSGVO bilden dafür wichtige rechtliche Bezugspunkte. Hostingort und Verschlüsselung sind Teile dieser Betrachtung.

Die prüfende Person öffnet die Ausgabedatei erneut, sucht nach entfernten Angaben und kontrolliert die übrigen Dokumentbestandteile. Ein Testzugang mit der vorgesehenen Rolle zeigt, was tatsächlich sichtbar ist. Originale, Zuordnungsschlüssel und interne Freigabevermerke dürfen nicht versehentlich im Ausgabeverzeichnis stehen.

Was passiert bei neuen Fragen oder einer späteren Deal-Phase?

Eine zusätzliche Käuferfrage kann eine andere Fassung nötig machen. Das Team prüft dann den neuen Zweck und Umfang, statt die bisherige Freigabe auf den ganzen Ordner auszudehnen. Entsprechendes gilt für aktualisierte Personalzahlen, ersetzte Vertragsanlagen oder einen erweiterten Empfängerkreis.

Für einzelne PDFs bietet PDF lokal schwärzen einen Werkzeugweg. Die Auswahlhilfe für Schwärzsoftware enthält ein synthetisches Testpaket für Text, Nebeninhalte und Export. redact beschreibt den Dokumentweg; disclose ordnet mehrere Fassungen und menschliche Freigabe in einen gemeinsamen Ablauf ein. Die konkrete Umsetzung wird anhand des benötigten Datenraumpakets festgelegt.

Quellen und Stand

Stand: 19. Oktober 2026. Die Seite beschreibt eine praktische Prüfstruktur für Due-Diligence-Unterlagen. Zulässigkeit und erforderlicher Umfang hängen von Transaktion, Prüfphase, Datenarten, Empfängern und Zugriff ab. Der DSGVO-Text wurde in der Textwiedergabe der BfDI-Broschüre mit Stand März 2026 geprüft.

• DSGVO, insbesondere Art. 5, 6, 9, 28, 32 und Kapitel V.
• § 26 BDSG: Beschäftigtendaten; zur unionsrechtlichen Einordnung siehe Fußnoten 3 und 4 des DSK-Beschlusses.
• § 203 StGB: Berufsgeheimnisse, erforderliche Mitwirkung und Geheimhaltungsanforderungen.
• § 2 GeschGehG: Geschäftsgeheimnis; geprüft auch in der amtlichen Gesamtausgabe.
• DSK-Beschluss vom 11. September 2024: Übermittlungen im Asset Deal, Abgrenzung der Due-Diligence-Phase, Beschäftigtendaten und Verantwortung des Veräußerers.

Hinweis: Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.