Datensitz bei grenzüberschreitenden Transaktionen: Was jedes verkaufende Unternehmen wissen muss.

Wenn ein Unternehmen aus Warschau Gespräche mit einem Investor aus London, New York oder Singapur führt, liegt der Fokus meist auf der Bewertung, den Vertragsbedingungen und dem Zeitplan. Nur selten fragt jemand nach einer scheinbar technischen Angelegenheit: Wo befinden sich konkret die Server, auf denen die gesamte Transaktionsdokumentation gespeichert ist? Dabei kann genau diese Frage den Verlauf der gesamten Transaktion entscheidend beeinflussen.

Der Datenstandort ist nicht dasselbe wie die rechtliche Zugehörigkeit der Daten

Es lohnt sich, zwei Begriffe zu unterscheiden, die oft verwechselt werden. Der Datenstandort bezeichnet den physischen Ort, an dem Dateien gespeichert werden, zum Beispiel einen Serverraum in Frankfurt oder Warschau. Die rechtliche Zugehörigkeit der Daten ist etwas anderes: Welchem Recht unterliegen diese Daten, unabhängig davon, wo sie sich befinden.

Dieser Unterschied hat praktische Bedeutung. Ein virtueller Datenraum kann Dokumente auf einem Server in Deutschland speichern, doch wenn der Anbieter dieses Tools ein US-amerikanisches Unternehmen ist, unterliegt er möglicherweise dem US-amerikanischen CLOUD Act. Dieses Gesetz ermöglicht es den US-Behörden, Zugriff auf Daten zu verlangen, die von US-amerikanischen Technologieunternehmen gespeichert werden, unabhängig davon, in welchem Land sich die Server physisch befinden. Genau dieser Mechanismus bereitet europäischen Investoren und Rechtsberatern bei der Auswahl eines Tools für Transaktionen Sorgen.

Was besagt die DSGVO?

Die Datenschutz-Grundverordnung gilt für jedes Unternehmen, das Daten von Einwohnern der Europäischen Union verarbeitet, unabhängig davon, wo dieses Unternehmen seinen Sitz hat. In der Geschäftspraxis bedeutet dies, dass Personalunterlagen, Verträge mit Geschäftspartnern oder Kundendaten, die im Rahmen einer Unternehmensprüfung offengelegt werden, gemäß diesen Vorschriften behandelt werden müssen, selbst wenn auf der anderen Seite des Verhandlungstisches ein Fonds aus Kalifornien sitzt.

Wenn Daten dennoch den Europäischen Wirtschaftsraum verlassen müssen, ist ein geeigneter rechtlicher Mechanismus erforderlich, meist die von der Europäischen Kommission genehmigten Standardvertragsklauseln. Dieses Thema taucht regelmäßig im Zusammenhang mit Urteilen des Gerichtshofs der Europäischen Union auf. Das bekannteste Beispiel war das Urteil in der Rechtssache „Schrems II“ aus dem Jahr 2020, mit dem der frühere Mechanismus für Datenübermittlungen in die Vereinigten Staaten, bekannt als „Privacy Shield“, für ungültig erklärt wurde. Seitdem musste der Markt für Dokumentenverwaltungslösungen seine rechtlichen Rahmenbedingungen anpassen, und das Thema der Datenübermittlung außerhalb der Union ist keine reine Formalität mehr.

Neuer Kontext: DORA

Ab 2025 gilt die EU-Verordnung über die digitale Betriebsresilienz des Finanzsektors, kurz DORA. Sie erlegt den IT-Dienstleistern, die Banken, Investmentfonds und andere Finanzinstitute betreuen, zusätzliche Anforderungen auf. In der Praxis bedeutet dies, dass die bei Transaktionen mit Finanzinstituten eingesetzten Tools strengere Standards hinsichtlich der Geschäftskontinuität und der Echtzeitüberwachung erfüllen müssen.

Die Aufsichtsbehörden wollen keine Erklärungen mehr, sondern Beweise

Unter den Marktakteuren zeichnet sich für das Jahr 2026 eine klare Richtung der Veränderungen ab. Der regulatorische Schwerpunkt verlagert sich vom bloßen Vorhandensein von Compliance-Verfahren hin zum Nachweis, dass diese tatsächlich im Alltag angewendet werden. Das bedeutet, dass das Protokoll der Nutzeraktivitäten, die Zugriffshistorie auf bestimmte Dokumente oder der Nachweis jeder Änderung von Zugriffsrechten nicht mehr nur eine Sicherheitsfunktion sind, sondern im Falle einer Prüfung als Nachweis dienen.

Fragen, die man sich vor der Auswahl eines Tools stellen sollte

Ein Unternehmen, das eine Transaktion mit einem ausländischen Investor vorbereitet, sollte dem Anbieter eines virtuellen Datenraums einige konkrete Fragen stellen:

• Wo befinden sich die Server physisch und kann man die Hosting-Region auswählen?

• Auf welcher Rechtsgrundlage würde eine mögliche Datenübermittlung außerhalb des Europäischen Wirtschaftsraums erfolgen, z. B. anhand von Standardvertragsklauseln oder einer Entscheidung der Europäischen Kommission, die ein angemessenes Schutzniveau bestätigt?

• Über welche unabhängigen Sicherheitszertifizierungen verfügt der Anbieter selbst und über welche das Rechenzentrum, in dem der Dienst betrieben wird? Dabei geht es beispielsweise um das ISO/IEC 27001-Zertifikat, den SOC-2-Typ-II-Bericht oder ein externes Sicherheitsaudit.

• Führt das System ein detailliertes Protokoll der Benutzeraktivitäten, das bei einem Audit oder einer Kontrolle als Nachweis der Konformität vorgelegt werden kann?

Zusammenfassung

Der Speicherort der Transaktionsdaten ist kein technisches Detail, sondern ein Element der rechtlichen Sicherheit der gesamten Transaktion. In einer Welt, in der ein Investor von einem Kontinent ein Unternehmen auf einem anderen Kontinent erwirbt, ist die Antwort auf die Frage nach dem Speicherort der Daten mitunter genauso wichtig wie die Antwort auf die Frage nach dem Unternehmenswert.

Über uns

DealDone ist ein spezialisiertes Unternehmen, das hochwertige Produkte im Bereich der Informations- und Datensicherheit anbietet. Wir bieten Digitalisierungsdienstleistungen sowie Software im Bereich moderner Technologien für den Umgang mit vertraulichen Informationen, geheimen Informationen und sensiblen Daten sowie für die Digitalisierung, Sicherung, Verschlüsselung und Bereitstellung von Daten und Dokumenten innerhalb und außerhalb von Organisationen.

Seit fast 15 Jahren ist DealDone auf die Bereitstellung von Lösungen für die Digitalisierung, Archivierung und Bereitstellung von Dokumenten in Form eines Document Management Systems (DMS) oder eines Virtual Data Room (VDR) spezialisiert.

DealDone hat das VDR-System SECUDO eigenständig entwickelt und auf den Markt gebracht. SECUDO ist eine Plattform für die sichere Digitalisierung, Archivierung, den Austausch und die Verarbeitung von Unternehmensdokumenten und -daten, die als Cloud-Lösung im Software-as-a-Service-Modell für Geschäftskunden angeboten wird.

DealDone ist zudem Eigentümer der Portale www.platformainwestora.pl und www.sprzedamfirme.com, mit denen das Unternehmen Transaktionsprozesse im Zusammenhang mit dem Verkauf von Unternehmen, der Kapitalbeschaffung und der Suche nach Investoren für Projekte unterstützt.

Im Jahr 2025 schloss sich DealDone der internationalen Plattform Dealsuite (www.dealsuite.com) an, die Fachleute im Bereich Fusionen und Übernahmen (M&A) unterstützt. Dank dieser Zusammenarbeit können wir noch effektiver auf die Bedürfnisse des Marktes eingehen und unseren Kunden VDR SECUDO anbieten – eine sichere und intuitive Lösung für das Dokumentenmanagement in Transaktionsprozessen.