M&A-Datenraum Deutschland 2026:
11 Anbieter im direkten Vergleich
Mittelstand oder DAX-Konzern, GmbH-Anteilskaufvertrag oder Asset Deal, Frankfurt, München oder Düsseldorf: Welcher Datenraum passt zu welcher M&A-Transaktion in Deutschland? Elf Anbieter im direkten Vergleich, plus BGH-konforme Ordnerstruktur, BDSG- und Schrems-II-Leitfaden sowie Q&A-Prozess-Empfehlung.
- Mittelstand (bis 100 Mio. €): Papermark ist die rationalste Wahl — Preis, DSGVO, KI-Features.
- Upper-Mid-Market (100 Mio.–1 Mrd. €): Drooms bleibt der europäische Goldstandard.
- Großkonzern & IPO (über 1 Mrd. €): Datasite oder Intralinks — eingespielte Workflows, entsprechende Preise.
- Regulierte Branchen: Brainloop mit BSI-C5-Testat, idgard mit TÜV-SÜD-konformen Prozessen.
- Schrems-II-sensibel: EU-Hosting-Anbieter bevorzugen — Papermark, Drooms, Brainloop, netfiles, idgard, dataroomX.
- 1. Deutschland-Fokus: BGH, BDSG, BaFin
- 2. Der M&A-Ablauf im Datenraum
- 3. Die 11 Anbieter im Detail
- 4. Schnellvergleich-Tabelle
- 5. Welcher Anbieter für welche Deal-Größe?
- 6. Due-Diligence-Ordnerstruktur
- 7. DSGVO und Schrems II im M&A
- 8. Der Q&A-Prozess richtig aufsetzen
- 9. 9 typische Fehler im M&A-Datenraum
- 10. Unsere Empfehlung
- 11. FAQ
Papermark: modernes Setup, deutsches Recht, faire Preise
Papermark vereint im deutschen VDR-Markt 2026 eine selten vollständige Kombination: deutscher Firmensitz in München, EU-Rechenzentren, SOC-2-Zertifizierung, volle DSGVO-Konformität, AES-256-Verschlüsselung und ein Pro-Plan ab 59 € / Monat mit unbegrenzten Datenräumen. Für Mittelstands-M&A und Due Diligences bis 100 Mio. € Enterprise Value die klare Preis-Leistungs-Wahl.
1. Deutschland-Fokus: BGH, BDSG, BaFin
Dieser Ratgeber konzentriert sich auf den deutschen M&A-Markt. Die rechtliche Architektur unterscheidet sich an mehreren Stellen systematisch von angelsächsischen Märkten — und prägt die Auswahl des Datenraum-Anbieters direkt:
- BGH-Aufklärungspflicht (II ZR 285/15): Der Verkäufer muss aufklärungspflichtige Tatsachen nicht nur in den Datenraum einstellen — sie müssen so strukturiert sein, dass ein sorgfältig prüfender Käufer sie auffinden kann. Tiefe Ordnerstruktur und Audit-Trail sind dadurch nicht nur Komfort, sondern Beweismittel.
- BDSG ergänzt die DSGVO: § 26 BDSG regelt Beschäftigtendaten — Personalakten dürfen im Datenraum nur mit zusätzlichen Schutzmaßnahmen freigegeben werden (Pseudonymisierung, stufenweiser Zugriff, Whitelisting der Bieter).
- Geschäftsgeheimnisgesetz (GeschGehG, 2019): Der Datenraum-Zugriff gilt als „angemessene Geheimhaltungsmaßnahme" und ist Voraussetzung für Schadensersatzansprüche bei Geheimnis-Verletzung. Audit-Logs und Wasserzeichen sind faktisch Pflicht.
- BaFin-MaRisk + BAIT: Bei Banken-, Versicherer- und Fonds-M&A sind Auslagerungsverträge mit Cloud-Anbietern BAIT-konform zu dokumentieren — mit Kontroll- und Auditrechten, Sub-Auftragsverarbeiter-Listen und Exit-Strategien.
- Notarielle Beurkundung (§ 15 GmbHG): GmbH-Anteilskäufe sind notariell zu beurkunden. Der Datenraum dient als Nachweis-Archiv mit gesetzlicher Aufbewahrungsfrist von 10 Jahren.
- TISAX: Für Automobilzulieferer ist das TISAX-Label faktische Lieferanten-Voraussetzung der OEMs — entsprechend ist es bei Automotive-M&A oft Pflicht, dass der Datenraum-Anbieter selbst TISAX-konform betrieben werden kann.
- Schrems II + EU-Hosting: Der EuGH hat US-Cloud- Anbieter ohne EU-Datacenter strukturell benachteiligt. DACH-Anbieter mit EU- oder DE-Hosting (Papermark, Drooms, Brainloop, netfiles, idgard, dataroomX, docurex) sind die pragmatische Default-Wahl.
Wer eine reine Deutschland-Bestenliste sucht, findet sie unter Beste Datenräume Deutschland 2026. Für Cross-Border-Deals mit Österreich oder Schweiz siehe Österreich und Schweiz.
2. Der M&A-Ablauf im Datenraum
Eine typische M&A-Transaktion durchläuft im Datenraum sechs Phasen:
- Vorbereitung (Verkäufer-Seite): Datenraum-Setup, Dokumente sammeln, strukturieren, schwärzen. 2–6 Wochen.
- NDA + Teaser-Freigabe: Erste Interessenten erhalten nach NDA Zugang zum Phase-1-Bereich.
- Commercial Due Diligence: Finanzen, Markt, Produkt. 3–6 Wochen.
- Term-Sheet / LOI: Exklusivität, Phase-2-Freigabe für den bevorzugten Bieter.
- Confirmatory Due Diligence: Recht, Steuern, sensible Verträge, Personal. 4–8 Wochen.
- Signing + Closing: Q&A-Archivierung, Audit-Trail-Export, Datenraum-Archivierung.
3. Die 11 Anbieter im Detail
Sicherer Datenraum mit EU-Hosting und transparenter Codebasis.
Stärke: Deutscher Sitz (München), EU-Rechenzentren, SOC 2, DSGVO-konform, AES-256-Verschlüsselung, KI-Dokumenten-Chat, unbegrenzte Datenräume, Einrichtung in unter 2 Minuten, transparente Preisstruktur.
Zu beachten: Noch keine etablierte Brand bei konservativen Großkanzleien; keine native Mobile-App (Web-App ist responsiv).
Etablierter europäischer Anbieter mit Fokus auf M&A und Immobilien.
Stärke: 24 Jahre M&A-Erfahrung, KI-Assistant, semantische Suche, 5-sprachiger 24/7-Support, Frankfurter Sitz.
Zu beachten: Intransparente Projektpreise, für Mid-Market oft zu teuer.
Stärke: Marktstandard für globale Großkonzern-M&A, eingespielte Prozesse, globaler Support.
Zu beachten: Pro-Seite-Abrechnung kann explodieren, US-Anbieter mit entsprechenden Compliance-Fragen.
Langjähriger Enterprise-Anbieter mit breiter Branchenabdeckung.
Stärke: Gesetzt in Kapitalmarkt-Transaktionen, exzellente Banking-Workflows.
Zu beachten: Sechsstellige Jahresverträge, komplexer Onboarding-Prozess.
Pionier der deutschen VDR-Branche mit Fokus auf Board Portals und M&A.
Stärke: BSI-C5-Testat, ISAE 3402, DACH-Fokus, sehr starker Aufsichtsrat- und Treuhand-Use-Case.
Zu beachten: Enterprise-only, kein Self-Service, Preise individuell.
Deutscher VDR mit klarem Fokus auf Mittelstand und Datensouveränität.
Stärke: Deutsches Hosting, klar strukturierte Pakete, monatliche Abrechnung.
Zu beachten: Weniger KI-Features als neue Wettbewerber, klassische UX.
Sealed Cloud aus Deutschland, betrieben von der TÜV SÜD Gruppe.
Stärke: TÜV SÜD-Gruppe, BSI-C5-konforme Prozesse, nutzerbasiert und transparent.
Zu beachten: Weniger M&A-spezifische Q&A-Workflows als spezialisierte VDRs.
Stärke: Deutsches Hochsicherheits-Hosting, Pauschalpreise, monatlich kündbar.
Zu beachten: Keine native Mobile-App, Branding klassisch deutsch-nüchtern.
Stärke: Etablierter deutscher Anbieter mit KI-Unterstützung.
Zu beachten: Preis auf Anfrage, weniger öffentliche Transparenz.
Stärke: Jahresabo, Kanadischer Anbieter mit starker Mid-Market-Basis.
Zu beachten: Weniger deutsche Kunden, Support primär englisch.
4. Schnellvergleich-Tabelle
| Anbieter | Deal-Größe | Hosting | Preis ab | DSGVO |
|---|---|---|---|---|
| Papermark | 0–100 Mio. € Enterprise Value | Deutschland / EU | Free 0 € | Voll |
| Drooms | 50 Mio.–1 Mrd. € Enterprise Value | Deutschland & Schweiz | Projektbasiert | Voll |
| Datasite | 500 Mio.–10+ Mrd. € Enterprise Value | Global (inkl. EU) | Preis pro Seite (ca. 0 | Voll |
| Intralinks (SS&C) | 500 Mio.–10+ Mrd. € Enterprise Value | Global (inkl. EU) | Individuell | Voll |
| Brainloop | Mittelstand bis Großkonzern, regulierte Branchen | Deutschland | Enterprise-Verträge | Voll |
| netfiles | 0–50 Mio. € Enterprise Value | Deutschland | Monatliche Pakete ab rund 100 EUR | Voll |
| idgard | 0–50 Mio., regulierte Mittelstands-Deals | Deutschland | Nutzer-basierte Pakete mit transparenter Preisliste | Voll |
| dataroomX | 0–100 Mio. € Enterprise Value | Deutschland | Monatliche Flatrates | Voll |
| docurex | 0–100 Mio. € Enterprise Value | Deutschland | Modulare Pakete | Voll |
| Firmex | Nordamerika-affine Mid-Market-Deals | Kanada, USA, EU | Abo oder Pro-Projekt | Voll |
5. Welcher Anbieter für welche Deal-Größe?
Small-Cap (0–20 Mio. € EV)
Papermark Pro. Für 59 € / Monat erhalten Sie unbegrenzte Datenräume, KI-Chat, Custom-Domain — alles, was ein Small-Cap-Deal braucht. Alternative: dataroomX für Teams, die Pauschal-Pakete bevorzugen.
Lower-Mid-Market (20–100 Mio. € EV)
Papermark Pro / Data Rooms oder netfiles. Bei regulierten Branchen zusätzlich Brainloop oder idgard in Betracht ziehen.
Upper-Mid-Market (100–500 Mio. € EV)
Drooms. Europäischer Marktführer, 24 Jahre Erfahrung, starker deutscher Support. Alternative: Brainloop für regulierte Branchen mit BSI-C5-Pflicht.
Large-Cap (500 Mio.–5 Mrd. € EV)
Datasite oder Intralinks. Globale Prozesse, dediziertes Projekt-Management, eingespielte Banker-Workflows.
Mega-Deals (über 5 Mrd. €) / IPO
Intralinks ist für Kapitalmarkt-Transaktionen und SEC-regulierte Prozesse gesetzt. Datasite parallel.
6. Due-Diligence-Ordnerstruktur
Diese 10-Ordner-Struktur deckt 95 % aller deutschen M&A-Deals ab. Für Asset Deals und Branchen-Spezifika (Immobilien, Biotech, Banken) werden die Unterordner entsprechend angepasst.
01 Corporate
- Handelsregister
- Satzung
- Gesellschaftsbeschlüsse
- Cap Table
02 Finanzen
- Historische Abschlüsse
- Budgets
- KPI-Dashboards
- Finanzplan
- Banksalden
03 Steuern
- Steuererklärungen
- Betriebsprüfungs-Berichte
- Offene Steuerrisiken
04 Kunden & Markt
- Top-Kundenliste
- Verträge Top 20
- Pipeline
- Churn-Analyse
05 Produkte & Technik
- Produkt-Roadmap
- Tech-Stack
- Sicherheits-Audits
06 Recht
- Laufende Rechtsstreitigkeiten
- Compliance-Dokumentation
- DSGVO
- Verträge Lieferanten
07 Personal
- Org-Chart
- Arbeitsverträge Schlüsselpersonen
- ESOP/VSOP
- Betriebsrat
08 Immobilien & Assets
- Mietverträge
- Anlagenverzeichnis
- Inventar
09 Versicherungen
- D&O
- Produkthaftpflicht
- Cyber
10 ESG / Regulatorisch
- ESG-Reporting
- Sektor-Regulierung
7. DSGVO und Schrems II im M&A
Due Diligence bedeutet Verarbeitung personenbezogener Daten — praktisch unvermeidbar. Die DSGVO und die Schrems-II-Entscheidung des EuGH stellen deutsche Verkäufer vor drei Pflichten:
- Rechtsgrundlage: In der Regel Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Interessenabwägung dokumentieren.
- Schwärzung und Pseudonymisierung: Arbeitsverträge, Personalakten, Kundenlisten mit Kontaktpersonen vor Upload pseudonymisieren oder schwärzen.
- Hosting-Standort: EU-/EWR-Hosting bevorzugen. Bei US-Anbietern Standardvertragsklauseln (SCC) plus Transfer Impact Assessment (TIA) nötig.
Für DSGVO-sensible Deals empfehlen wir Anbieter mit EU- oder deutschem Hosting: Papermark, Drooms, Brainloop, netfiles, idgard, dataroomX.
Der Beitrag ersetzt keine Rechtsberatung. Für konkrete Einzelfälle bitte Datenschutz-Anwalt oder internen Datenschutzbeauftragten einbinden.
8. Der Q&A-Prozess richtig aufsetzen
Der Q&A-Prozess ist das meist-unterschätzte Element der Due Diligence. Fünf Grundregeln:
- Zentrale Q&A-Plattform im Datenraum. Keine E-Mails, keine Messenger-Threads — alles dokumentiert und nachvollziehbar.
- Klare Rollen. Fragesteller, Fach-Owner, Moderator, Freigeber. Papermark, Drooms und Datasite unterstützen diese Rollen nativ.
- SLA-basierte Antwortzeiten. Einfache Fragen in 24 Stunden, komplexe in 72 Stunden, juristisch sensible nach Abstimmung.
- Versionierung und Audit-Trail. Jede Antwortänderung ist nachvollziehbar. Export vor Signing obligatorisch.
- Sensible Antworten nur an berechtigte Rollen. Ein Bieter-Kollektiv sollte nicht alle Antworten aller anderen Bieter sehen.
9. 9 typische Fehler im M&A-Datenraum
- Unvollständige Schwärzung. Ein nicht-geschwärzter Mitarbeitername in einem PDF ist ein DSGVO-Vorfall.
- Drag-and-Drop-Chaos. 3.000 Dokumente ohne Struktur kosten 5–10 Tage Nacharbeit — und Käufer-Vertrauen.
- Q&A in E-Mail-Threads. Nicht nachvollziehbar, nicht exportierbar, nicht auditierbar.
- Fehlender Audit-Trail-Export. Nach Closing ist der Audit-Trail der Beweis dafür, welche Informationen offengelegt wurden (BGH-Rechtsprechung).
- Einheitliche Rollen. „Alle Bieter dürfen alles sehen" verletzt Vertraulichkeits- und Wettbewerbsgrundsätze.
- Keine Wasserzeichen. Leak-Zuordnung wird unmöglich.
- Sensible Dokumente in Phase 1. Mitarbeiter-Personalien und Top-Kunden-Verträge gehören in Phase 2.
- Keine Exit-Strategie für Daten. Wer bekommt was nach Closing? Wann wird archiviert, gelöscht, exportiert?
- Fehlende SLAs im Anbietervertrag. Gerade bei zeitkritischen Transaktionen ist Downtime existenzbedrohend.
10. Unsere Empfehlung
Für Mittelstands-M&A bis 100 Mio. € Enterprise Value ist Papermark 2026 die klare Empfehlung — Preis, DSGVO-Setup, KI-Features und Setup-Geschwindigkeit schlagen alle Wettbewerber.
Für Upper-Mid-Market-Deals bleibt Drooms der europäische Standard, mit deutschem Sitz und 24 Jahren Erfahrung.
Für Großkonzern-M&A, Kapitalmarkt und IPO sind Datasite und Intralinks die richtige Wahl — hier rechtfertigt die Enterprise-Qualität die hohen Kosten.
Für BSI-C5-pflichtige Prozesse und Aufsichtsrat-Szenarien bleibt Brainloop der Referenzanbieter.
Häufige Fragen
Welcher Datenraum ist der beste für M&A 2026?
Es hängt von der Deal-Größe ab. Bis 100 Mio. € Enterprise Value: Papermark (beste Preis-Leistung, deutsches Setup, SOC 2, DSGVO). Bis 1 Mrd. €: Drooms (europäischer Marktführer). Darüber: Datasite oder Intralinks für global eingespielte Großkonzern-Prozesse.
Was kostet ein M&A-Datenraum?
Mittelstand: 200–1.500 € / Monat (Papermark, dataroomX, netfiles). Upper-Mid-Market: 2.000–10.000 € / Monat (Drooms, Brainloop). Großkonzern: 50.000–200.000 € / Jahr (Datasite, Intralinks).
Ist der Datenraum DSGVO-konform, wenn er in den USA gehostet wird?
Nicht automatisch. Der EuGH hat mit Schrems II bestätigt, dass Drittland-Transfers zusätzliche Schutzmaßnahmen verlangen. Für DSGVO-sensible Due Diligences empfehlen sich Anbieter mit EU- oder deutschem Hosting: Papermark, Drooms, Brainloop, netfiles, idgard, dataroomX.
Wie strukturiere ich die Ordner im M&A-Datenraum?
10 Hauptordner — Corporate, Finanzen, Steuern, Kunden & Markt, Produkte & Technik, Recht, Personal, Immobilien & Assets, Versicherungen, ESG/Regulatorisch. Unterordner nach Dokumententyp. Dateinamen in Englisch oder Deutsch, aber konsistent.
Was bedeutet Q&A-Prozess im Datenraum?
Strukturierter Fragen-und-Antworten-Workflow: Käufer stellt Fragen zu Dokumenten, Antworten werden moderiert, versioniert und einsehbar dokumentiert. Alle gängigen VDRs bieten das — Qualität und UX variieren stark. Drooms und Datasite haben die reifsten Implementierungen.
Welche Dokumente enthalten personenbezogene Daten und sind kritisch?
Arbeitsverträge, Personalakten, Kunden- und Lieferantenlisten mit Kontaktpersonen, Gesellschaftsverträge mit Gesellschafter-Adressen. Diese sollten geschwärzt oder pseudonymisiert werden, bevor sie hochgeladen werden.
Was ist der Unterschied zwischen Phase-1- und Phase-2-Datenraum?
Phase 1 (vor Term-Sheet): Kern-Informationen für die initiale Bewertung. Phase 2 (nach Term-Sheet, Confirmatory Due Diligence): sensible Verträge, Personal, detaillierte Kundendaten.
Wie lang dauert eine typische M&A-Due-Diligence?
Mittelstand: 4–8 Wochen. Upper-Mid-Market: 6–12 Wochen. Großkonzern: 3–6 Monate. Der Datenraum läuft in der Regel 1–3 Monate länger als die Due Diligence selbst — für Q&A und Confirmatory Due Diligence.
Welche Sicherheits-Features sind M&A-Pflicht?
AES-256-Verschlüsselung, TLS 1.2+, 2FA, granulare Rollen, dynamische Wasserzeichen, Audit-Trail, Rechtewiderruf, DRM (Download-Schutz). Alle hier empfohlenen Anbieter bieten diese Features.