So sicherst du einen Datenraum für die M&A-Due-Diligence
Auf der Käuferseite verkaufst du zwar nicht selbst, hältst aber trotzdem eine große Menge vertraulicher Informationen anderer in den Händen. Das Zielunternehmen schickt Verträge, Finanzdaten, Personalakten und IP-Unterlagen, oft in mehreren Teillieferungen und oft per E-Mail. Deine eigenen Rechts-, Finanz-, Steuer- und Technikberater brauchen jeweils ihren Teil davon, und deine Kreditgeber benötigen genug, um die Finanzierung freizugeben. Jede dieser Übertragungen ist eine Stelle, an der Daten des Zielunternehmens abfließen können, und du bist an die NDA gebunden, die du mit dem Verkäufer unterzeichnet hast.
Dieser Leitfaden führt dich durch die wichtigsten Funktionen des Papermark-Datenraums für die Due Diligence auf der Käuferseite – in der Reihenfolge, in der du sie einrichten würdest.
Kurzüberblick: Best Practices für die Datenraum-Sicherheit
- Gib Kolleginnen und Kollegen nur Zugriff auf diesen Deal – mit der Rolle „Datenraum-Mitglied“
- Behalte im Blick, was du beim Zielunternehmen angefragt hast – mit der Anfrageliste
- Lass das Zielunternehmen direkt hochladen – mit Dateianfragen
- Strukturiere den Datenraum nach Workstreams und erstelle ein Inhaltsverzeichnis
- Richte für jeden Berater-Workstream eine eigene Gruppe ein
- Verifiziere die E-Mail-Adresse jedes Besuchers und beschränke den Zugriff für Berater per Domain
- Schwärze personenbezogene Daten, bevor du sie mit Kreditgebern teilst
- Versieh jede Seite mit einem Wasserzeichen aus der E-Mail-Adresse des Betrachters und dem Datum
- Steuere Downloads und verlange für Massen-Downloads ein Einmalpasswort
- Ersetze aktualisierte Dateien, ohne neue Links zu versenden
- Halte Beraterfragen im Datenraum – mit Q&A
- Führe ein Audit-Protokoll darüber, wer was gesehen hat
- Friere den Datenraum zum Abschluss ein
Datenraum-Sicherheitsfunktionen für die M&A-Due-Diligence
Diese Funktionen leisten in einem Käufer-Datenraum die wichtigste Arbeit. Im weiteren Verlauf dieses Leitfadens erfährst du, wie du jede einzelne einrichtest.
- Anfrageliste: Behalte jedes Dokument im Blick, das du beim Zielunternehmen angefragt hast – mit Status, Verantwortlichem und Fälligkeitsdatum.
- Dateianfragen: Das Zielunternehmen lädt Dokumente direkt in den richtigen Ordner hoch, statt Anhänge per E-Mail zu senden.
- Gruppen und granulare Berechtigungen: Rechts-, Finanz-, Steuer- und Technikberater sowie Kreditgeber sehen jeweils nur ihre eigenen Ordner.
- Teamrollen und Datenraum-Mitglied: Kolleginnen und Kollegen aus dem Deal-Team arbeiten in diesem Datenraum, ohne etwas anderes in deinem Workspace zu sehen.
- KI-Schwärzung: Entferne Namen, E-Mail-Adressen und Kontonummern, bevor Dokumente an Kreditgeber oder größere Beraterteams gehen.
- Dynamische Wasserzeichen: Jede Seite zeigt die E-Mail-Adresse der betrachtenden Person und das Datum an, sodass sich jede durchgesickerte Kopie der Unterlagen des Zielunternehmens zurückverfolgen lässt.
- Audit-Logs: Ein Protokoll darüber, wer welche Dokumente angesehen und heruntergeladen hat. So kannst du nachweisen, dass du die Daten des Zielunternehmens wie im NDA gefordert behandelt hast.
- Datenraum einfrieren: Beende beim Abschluss alle Zugriffe und bewahre ein Archiv der Dokumente, des Audit-Logs und der Q&A auf.
1. Gib Kolleginnen und Kollegen nur Zugriff auf diesen Deal
Buy-Side-Teams führen oft mehrere Deals gleichzeitig durch, und viele Kolleginnen und Kollegen (Integrationsleitung, Finanzen, Recht, HR) benötigen nur Zugriff auf einen davon.
- Nutze Teamrollen, damit nur die Deal-Leitung Links erstellen, Berechtigungen ändern oder externe Personen einladen kann.
- Lade interne Kolleginnen und Kollegen als Data Room Member ein. Sie können in den Datenräumen arbeiten, die ihnen zugewiesen sind, und sehen sonst nichts in deinem Workspace, auch keine anderen Deals in deiner Pipeline. Mehr dazu findest du unter So lädst du Teammitglieder ein.
- Wenn dein Unternehmen einen Identitätsanbieter verwendet, verbinde SAML SSO und SCIM, damit der Zugriff automatisch endet, sobald jemand das Unternehmen verlässt.
2. Behalte im Blick, was du beim Target angefragt hast
Die Due Diligence läuft über eine Anfrageliste, und auf der Käuferseite ist das in der Regel deine. Nutze die Anfrageliste des Datenraums, um jede Anfrage zu erfassen (zum Beispiel „alle Kundenverträge oberhalb eines bestimmten Jahreswerts“ oder „IP-Abtretungsvereinbarungen für aktuelle Entwickler“), sie dem passenden Workstream zuzuordnen, ein Fälligkeitsdatum festzulegen und den Status zu verfolgen. Deine Berater und das Target sehen dieselbe Liste, sodass niemand mehr Anfragen in E-Mail-Verläufen hinterherjagen muss.
3. Lass das Zielunternehmen direkt hochladen
Aktiviere Dateianfragen, damit das Team des Zielunternehmens Dokumente direkt in deinen Datenraum hochlädt, und zwar in den Ordner, den du auswählst. So bleiben die Dateien des Zielunternehmens aus Posteingängen und persönlichen Laufwerken auf beiden Seiten heraus.
- Nutze Upload-Benachrichtigungen, damit der jeweilige Workstream erfährt, wenn neue Dateien eintreffen.
- Nutze die Upload-Sichtbarkeit, um festzulegen, wer neue Uploads sieht. So landen Unterlagen zuerst bei deinem Deal-Team, bevor Berater oder Kreditgeber sie sehen.
4. Den Datenraum nach Workstreams strukturieren und ein Inhaltsverzeichnis erstellen
Richte für jeden Workstream einen Ordner auf oberster Ebene ein (Gesellschaftsrecht, Finanzen, Steuern, Commercial, HR, IP und Technologie, Immobilien, Umwelt) und orientiere dich dabei an der Anfrageliste. Anschließend:
- Aktiviere die Indexerstellung, damit Berater ein nummeriertes Inhaltsverzeichnis des Datenraums herunterladen und in ihren Berichten anhand der Nummer auf Dokumente verweisen können.
- Erfahre, wie die automatische Dateiindizierung Ordner und Dateien nummeriert.
Eine einheitliche Struktur macht es einfach, Lücken gegenüber der Anfrageliste zu erkennen und jedem Workstream genau Zugriff auf seine Ordner zu geben.
5. Gib jedem Berater-Workstream eine eigene Gruppe
Erstelle für jeden Workstream eine Gruppe: deine Anwaltskanzlei, deine Wirtschaftsprüfer, Steuerberater, technische bzw. IT-Berater, Versicherungsberater und Kreditgeber. Nutze dann granulare Dateiberechtigungen, um Ordner für Ordner festzulegen: Auf der anderen Seite richten die Berater des Verkäufers ihren eigenen Datenraum für einen Sell-Side-M&A-Prozess ein.
- welche Ordner jede Gruppe sehen kann
- ob jede Gruppe Dateien nur ansehen oder auch herunterladen darf
Deine Steuerberater brauchen keine HR-Dateien, und deine IT-Berater brauchen keine Finanzierungsunterlagen. Lege Standardberechtigungen für neue Dokumente fest, damit Dateien, die das Zielunternehmen später hochlädt, so lange verborgen bleiben, bis du sie zuweist.
6. Verifiziere die E-Mail-Adresse jedes Besuchers und beschränke den Zugang für Berater per Domain
- Aktiviere die E-Mail-Verifizierung für jeden Link. Besucher erhalten per E-Mail einen Einmalcode, sodass ein weitergeleiteter Link den Datenraum nicht öffnet.
- Füge dem Link jeder Gruppe eine Zulassungsliste mit der E-Mail-Domain der jeweiligen Firma hinzu, zum Beispiel
@yourlawfirm.com, damit nur Personen dieser Firma Zugang erhalten. - Wenn die NDA des Verkäufers es verlangt, hinterlege mit NDA-Vereinbarungen deine eigenen Vertraulichkeitsbedingungen an den Links für Kreditgeber oder Berater. Die Zustimmung wird mit E-Mail-Adresse und Zeitstempel protokolliert.
7. Schwärze personenbezogene Daten, bevor du Dokumente mit Kreditgebern teilst
Die Unterlagen des Zielunternehmens sind voller personenbezogener Daten: Arbeitsverträge, Gehaltsabrechnungen, Kundenkontakte, Pensionsunterlagen. Deine Kreditgeber und einige Berater brauchen diese Daten nicht. Nutze die KI-Schwärzung, um Namen, E-Mail-Adressen, Telefonnummern und Kontonummern zu finden und zu schwärzen, bevor diese Dokumente in einen Ordner für Kreditgeber gelangen. So verringerst du dein DSGVO-Risiko als Empfänger der Daten des Zielunternehmens.
8. Versehe jede Seite mit einem Wasserzeichen
Aktiviere ein dynamisches Wasserzeichen für jeden Link von Beratern und Kreditgebern, zum Beispiel Confidential {{email}} {{date}}. Sollte ein Dokument des Zielunternehmens irgendwo auftauchen, wo es nicht hingehört, zeigt das Wasserzeichen, von welchem Besucher es stammt. Mehr dazu unter dynamische Wasserzeichen.
9. Kontrolliere Downloads
Deine Anwaltskanzlei und deine Wirtschaftsprüfer brauchen in der Regel Offline-Kopien, um ihre Berichte zu schreiben. Kreditgeber und die meisten Berater nicht. Erlaube Downloads nur für die Gruppen, die sie benötigen. Mehr dazu unter So erlaubst du Downloads aus einem Datenraum.
Wenn du Massen-Downloads erlaubst, senden OTP-verifizierte Massen-Downloads ein Einmalpasswort an die verifizierte E-Mail-Adresse des Besuchers, bevor die ZIP-Datei erstellt wird. So kann ein weitergeleiteter Link nicht dazu genutzt werden, den gesamten Datenraum herunterzuladen.
10. Aktualisierte Dateien ersetzen, ohne neue Links zu versenden
Zielunternehmen senden oft aktualisierte Versionen: einen überarbeiteten Managementabschluss, eine korrigierte Cap Table, einen neu unterzeichneten Vertrag. Lade sie als neue Dokumentversionen hoch. Der Link bleibt derselbe, alle sehen die aktuelle Datei, und du vermeidest, dass „final_v3“-Kopien unter den Beratern kursieren.
11. Fragen der Berater im Datenraum halten
Nutze Q&A-Konversationen, damit deine Berater Fragen direkt beim jeweiligen Dokument stellen. Das Deal-Team kann Folgefragen an das Zielunternehmen an einer Stelle sammeln, und die Antworten bleiben innerhalb der Zugriffskontrollen des Datenraums, statt in verstreuten E-Mail-Verläufen zu landen.
12. Ein Prüfprotokoll führen
- Audit-Protokolle erfassen Aufrufe, Downloads, E-Mail-Verifizierungen und NDA-Zustimmungen. Wenn der Verkäufer fragt, wie mit seinen Informationen umgegangen wurde, kannst du genau nachweisen, wer was gesehen hat.
- Datenraum-Analysen zeigen, ob jedes Arbeitspaket seine Ordner tatsächlich geprüft hat, bevor die Berichte fällig sind.
- Exportiere Datenraum-Besuche als CSV für deine Deal-Akte.
13. Den Datenraum beim Abschluss einfrieren
Wenn der Deal abgeschlossen wird oder du abspringst, friere den Datenraum ein. Durch das Einfrieren werden alle Zugriffe für Berater, Kreditgeber und das Zielunternehmen dauerhaft beendet, alle Links archiviert und ein Archiv der Dokumente, des vollständigen Audit-Protokolls und aller Q&As mit einem SHA-256-Hash erstellt. Falls später ein Gewährleistungsanspruch aufkommt, hast du einen überprüfbaren Nachweis darüber, was das Zielunternehmen während der Due Diligence offengelegt hat.
Empfohlene Einrichtung nach Phase
| Phase | Wer erhält Zugriff | Einstellungen |
|---|---|---|
| Einrichtung | Deal-Team und interne Kolleginnen und Kollegen | Rolle „Data Room Member“, Workstream-Ordner, Standardberechtigungen auf „ausgeblendet“ gesetzt, Index-Erstellung |
| Datensammlung | Team des Zielunternehmens | Anforderungsliste, Dateianfragen, Upload-Benachrichtigungen, Upload-Sichtbarkeit auf das Deal-Team beschränkt |
| Prüfung durch Berater | Rechts-, Finanz-, Steuer- und technische Berater | Eine Gruppe pro Workstream, E-Mail-Verifizierung, Zulassungsliste, Wasserzeichen, Downloads nur für Berichtsautoren, Q&A |
| Finanzierung | Kreditgeber | Eigene Gruppe, KI-Schwärzung für geteilte Dokumente, NDA bei Bedarf, keine Downloads, Wasserzeichen |
| Abschluss | Nur das Deal-Team | Links für Berater und Kreditgeber ablaufen lassen, Audit-Logs exportieren, den Datenraum einfrieren |
Einige Funktionen hängen von deinem Tarif ab. Was die einzelnen Tarife beinhalten, siehst du unter Preise. Wie sich Papermark im Vergleich zu anderen Anbietern schlägt, erfährst du in unserem Überblick über die besten virtuellen Datenräume für Due Diligence und auf der Seite zum Datenraum für Due Diligence.