Checkliste für das Datenraum-Abschlussarchiv bei M&A und Finanzierungen

Ein Abschlussarchiv eines virtuellen Datenraums (Closing Archive) muss einem autorisierten Prüfer in der Zukunft ermöglichen, genau nachzuvollziehen, welche Dokumente im Datenraum lagen, wer Zugriff hatte, welche Fragen beantwortet wurden und welche Dateiversionen zum Abschlussstichtag verbindlich waren. Das bloße Herunterladen einer unstrukturierten ZIP-Datei reicht keineswegs aus. Ein solches Archiv ist oft unvollständig, unleserlich, von den ursprünglichen Berechtigungen entkoppelt oder von einem Abonnement abhängig, das längst gekündigt wurde.

Redaktioneller Hinweis: VDR Directory bewertet Anbieter anhand veröffentlichter Kriterien und Primärquellen. SendNow unterhält eine kommerzielle Beziehung zu dieser Publikation. Die Erwähnung garantiert keine bestimmte Platzierung.

Die Archivplanung muss bereits bei der Einrichtung des Datenraums beginnen. Wie Abschlussdokumente in die früheren Meilensteine eingebettet sind, beschreibt unser umfassender Leitfaden zum M&A Virtual Data Room Workflow. Der VDR-Vertrag, die Ordnerstruktur, Naming-Conventions, Audit-Konfigurationen, der Q&A-Prozess und die Aufbewahrungsregeln bestimmen maßgeblich, was beim Closing rechtssicher gesichert werden kann.

Den genauen Zweck des Archivs definieren

Aus einer Transaktion können mehrere unterschiedliche Dokumentensammlungen hervorgehen:

das unterzeichnete Vertragswerk (Closing Bible) der Rechtsberater;
das Offenlegungsarchiv des Datenraums (Disclosure Record);
die Due-Diligence-Dokumentation des Käufers oder Investors;
regulatorische oder interne Compliance-Nachweise;
steuerliche und buchhalterische Prüfungsakten;
Unterlagen für die operative Post-Merger-Integration; und
gesonderte Beweissicherungen für Rechtsstreitigkeiten (Litigation Holds).

Diese Bestände sind nicht identisch. Ein Datenraum enthält häufig Entwürfe, Duplikate, anwaltlich privilegierte Notizen, personenbezogene Mitarbeiterdaten oder Unterlagen, die nach dem Vollzug keine Relevanz mehr haben. Definieren Sie präzise, welchen Beweiszweck das VDR-Archiv erfüllt und in welchem Verhältnis es zur offiziellen Closing Bible der Anwälte steht.

Falls frühe Dokumente über das SendNow Dokumenten-Tracking verteilt wurden, exportieren Sie die Zustell- und Zugriffsnachweise separat und kennzeichnen Sie diese im Archivverzeichnis. Suggerieren Sie nicht, dass frühe Tracking-Daten die Berechtigungs- und Q&A-Historie des VDR vollständig abbilden.

Halten Sie Archivverantwortliche, Treuhänder, zugriffsberechtigte Personen, Speicherort, Verschlüsselung, Rechtsgrundlage der Aufbewahrung, Legal Holds, Genehmigungsprozesse für zukünftige Zugriffe und Löschkriterien schriftlich fest.

Transaktions- und Schließungsereignisse abstimmen

Die Schließung kann auf Unterzeichnung (Signing), Vollzug (Closing), Transaktionsabbruch, Fristablauf oder Systemmigration folgen. Jeder Fall verlangt eine spezifische Vorgehensweise.

Bei einer erfolgreichen Transaktion sichern Sie den finalen Offenlegungsstand und transaktionsbezogene Abschlussdokumente. Bei einem abgebrochenen Deal greifen vertragliche Rückgabe- oder Vernichtungspflichten aus Vertraulichkeitsvereinbarungen (NDA). Bei einer Datenmigration muss das Quellarchiv verfügbar bleiben, bis das Zielsystem vollständig abgeglichen ist.

Der Schließungsplan sollte verbindlich festlegen:

Stichtag für letzte Uploads und Q&A-Einreichungen;
Datum und Zeitzone für das Einfrieren der Inhalte (Content Freeze);
abschließende Überprüfung von Benutzern und Berechtigungen;
Zeitfenster für die Berichtsgenerierung;
Zeitpunkt der Abschaltung externer Zugänge;
Frist für die Bereitstellung des Archivs;
Prüfung und formelle Freigabe (Sign-off); sowie
Datum für die endgültige Löschung oder Stilllegung des Live-Datenraums.

Kommunizieren Sie diesen Zeitplan rechtzeitig vor dem Freeze, damit alle Beteiligten offene Punkte abschließen können.

1. Den Datenraum kontrolliert einfrieren (Freeze)

Lassen Sie keinesfalls zu, dass Inhalte verändert werden, während Berichte und Archive generiert werden. Nutzen Sie die offizielle Freeze-Funktion der VDR-Plattform oder dokumentierte administrative Schreibsperren. Halten Sie den genauen Zeitpunkt, die handelnde Person und den Umfang fest.

Während des Einfrierens:

keine neuen externen Einladungen aussprechen;
Uploads und Dateiaustausch sperren oder streng beschränken;
offene Q&A-Fragen schließen oder als ungelöst kennzeichnen;
temporäre Testkonten entfernen;
verbliebene Ausnahmeberechtigungen protokollieren;
Benachrichtigungen und Update-Logs sichern; und
Massenlöschungen bis zum Abschluss der Archivvalidierung strikt blockieren.

Müssen nachträglich dringende Closing-Dokumente ergänzt werden, öffnen Sie den Raum ausschließlich über einen genehmigten Änderungsprozess und erstellen Sie eine neue Archivversion. Verändern Sie niemals heimlich ein bereits erstelltes Archiv.

2. Den finalen Ordner- und Dokumentenindex exportieren

Der Index muss jedes archivierte Objekt eindeutig identifizieren: über eine stabile Indexnummer, Dateipfad, Dateiname, Versionsnummer, Datum, Dateigröße, Verantwortlichen und Veröffentlichungsstatus. Wie ein Index aufgebaut sein sollte, damit er sich nahtlos in ein revisionssicheres Archiv überführen lässt, zeigt unsere Sell-Side Data Room Index Architektur. Fehlen im Plattformexport wichtige Metadaten, erstellen Sie ein ergänzendes Manifest.

Prüfen Sie gezielt auf:

doppelte Indexnummern;
fehlerhafte oder unzulässig lange Verzeichnispfade;
mehrdeutige Dateinamen;
leere Ordner, die unbeantwortete Anfragen repräsentierten;
zurückgezogene oder ersetzte Dokumente;
Hyperlinks, die außerhalb der Plattform nicht mehr aufgelöst werden können; und
Dateien, die nur als proprietäre Web-Viewer-Objekte vorliegen.

Dokumentieren Sie bewusst ausgeschlossene Inhalte. Eine stillschweigende Diskrepanz zwischen Live-Raum und Archiv erzeugt erhebliche Rechtsunsicherheit.

3. Versionen und verbindlichen Status sichern

Klären Sie, ob das Archiv nur Endfassungen oder die gesamte Versionshistorie enthalten soll. Dies hängt vom Zweck und anwaltlichen Rat ab. Mindestens muss nachweisbar sein, welche Dateiversion für welche Bietergruppe zu welchem Stichtag sichtbar war.

Halten Sie bei ersetzten oder gelöschten Dokumenten den Versionsverlauf und den Grund der Änderung fest. Ein Dokument mit dem Namenszusatz „final“ ist nicht zwingend rechtsgültig. Verlassen Sie sich auf Metadaten, Vertragsregister oder den Closing-Index der Anwälte.

Überschreiben Sie niemals unterzeichnete Verträge mit formatierten Arbeitskopien. Bewahren Sie die maßgebliche Originaldatei und erforderliche Signaturnachweise auf.

4. Benutzer- und Berechtigungsprotokolle exportieren

Sichern Sie Daten zu Benutzern, Unternehmen, Gruppen, Verzeichnisrechten, Aktionsrechten, Einladungsstatus, Aktivierungszeitpunkten, Zugriffszeiträumen und Administratoren. Administratoren müssen strenge Anforderungen an VDR-Audit-Trails erfüllen, um die Beweiskraft der Berichte zu wahren. Erfassen Sie auch individuelle Rechteausnahmen einzelner Benutzer.

Eine Benutzerliste ohne konkrete Ordnerrechte kann Zugriffe nicht belegen; ein Rechtereport ohne Gruppenzugehörigkeiten weist dieselbe Schwäche auf. Sichern Sie beide Berichte zusammen mit der genehmigten Rechtematrix.

Dokumentieren Sie phasenbezogene Rechteänderungen. Falls die Plattform nur den Endzustand exportiert, müssen Zwischenberichte während des Prozesses manuell gesichert werden. Ein Abschlussarchiv kann niemals nachträglich Snapshots erzeugen, die nie erstellt wurden.

5. Aktivitäts- und Audit-Protokolle sichern

Die Aktivitätsdaten umfassen Einladungen, Logins, Aufrufe, Downloads, Druckvorgänge, Uploads, Ersetzungen, Löschungen, Suchanfragen, Q&A-Interaktionen und Rechteänderungen. Prüfen Sie, welche Ereignisse erfasst werden und wie lange sie verfügbar bleiben.

Exportieren Sie die Protokolle, bevor Speicherfristen greifen. Achten Sie auf Zeitzonen, Zeitstempelgenauigkeit, Benutzer- und Dokument-IDs sowie angewendete Filter. Liegen Berichte aufgeteilt nach Gruppen vor, fügen Sie ein Inhaltsverzeichnis bei.

Audit-Logs belegen technische Serverereignisse, nicht die subjektive Absicht des Nutzers oder Vorgänge nach einem autorisierten Download. Dokumentieren Sie diese Grenzen, um spätere Fehlinterpretationen zu vermeiden.

6. Q&A-Verlauf und Freigaben sichern

Exportieren Sie Fragen, Fragesteller bzw. Bietergruppen, Zeitstempel, Zuweisungen, Entwürfe, interne Anmerkungen (soweit rechtlich zulässig), Freigaben, publizierte Antworten, Anhänge und Statusänderungen. Stellen Sie sicher, dass Bietergruppen unterscheidbar bleiben, ohne vertrauliche Identitäten unzulässig offenzulegen.

Wurden Fragen parallel per E-Mail oder über externe Tracker bearbeitet, sichern Sie diesen offiziellen Transaktionsverlauf und verknüpfen Sie ihn mit den VDR-Unterlagen. Vermeiden Sie zwei unvollständige Quellen ohne Abgleich.

Freigabeprotokolle, Arbeitsergebnisse von Clean Teams, Schwärzungsregister (Redaction Logs) und Ausnahmelisten sind oft unverzichtbar. Lagern Sie hochgradig vertrauliche Unterlagen getrennt, falls sie nicht für alle Archivnutzer bestimmt sind.

7. Den Prozesskontext dokumentieren

Für zukünftige Prüfer sind Verfahrensbriefe (Process Letters), Datenraum-Leitfäden, Naming-Conventions, Q&A-Spielregeln, Änderungsprotokolle, Berechtigungsmatrizen, Clean-Team-Protokolle, Schwärzungsrichtlinien, Incident-Logs und die finale Schließungsfreigabe von unschätzbarem Wert.

Sie erklären, warum Berichte bestimmte Auffälligkeiten zeigen. Ein Aktivitätsanstieg korrespondiert beispielsweise mit einer Bieterfrist, während fehlende Kundendaten das Ergebnis einer vereinbarten Clean-Team-Regelung sein können.

Entfernen Sie interne Arbeitsnotizen, die nicht für die dauerhafte Aufbewahrung freigegeben sind. Anwaltliche Verschwiegenheitspflichten und Vertraulichkeit gelten auch für das Archiv.

8. Das Archiv des Anbieters generieren

Klären Sie Medium und Format des Archivs vor Vertragsabschluss: Download, verschlüsselter Datenträger, Cloud-Transfer oder gehosteter Read-only-Zugang. Fragen Sie, ob proprietäre Software erforderlich ist, ob Verlinkungen und Volltextsuche offline funktionieren und ob Berichte sowie Q&A vollständig enthalten sind.

Fordern Sie mindestens zwei Exemplare an oder erstellen Sie eine validierte Zweitkopie. Übermitteln Sie Entschlüsselungsschlüssel über einen separaten, sicheren Kanal. Dokumentieren Sie Übergabezeitpunkt und Empfänger.

Definieren Sie bei gehosteten Archiven Laufzeit, Verlängerungskosten, Sicherheitsupdates, Exportrechte und das Vorgehen bei Vertragsende.

9. Dateiintegrität und Vollständigkeit validieren

Die Validierung sollte nach Möglichkeit unabhängig von der Person erfolgen, die das Archiv generiert hat:

Datei- und Ordneranzahl mit dem finalen Index abgleichen.
Gesamtgröße vergleichen (unter Berücksichtigung dokumentierter Komprimierungsunterschiede).
Fehlerprotokolle und Überspringungslisten (Skipped Files) analysieren.
Risikobasierte Stichproben über alle Dateiformate und Ordner öffnen.
PDFs, Tabellenkalkulationen, Präsentationen, Bilder, Archive und signierte Dateien testen.
Lesbarkeit von Dateinamen, Sonderzeichen und Pfaden überprüfen.
Prüfen, ob Berichte und Q&A ohne Live-Plattform lesbar sind.
Kryptografische Prüfsummen (Hashes) berechnen und protokollieren.
Virenscan gemäß Unternehmensrichtlinie durchführen.
Verschlüsselung und Schlüsselwiederherstellung testen.

Prüfen Sie alle geschäftskritischen Schlüsseldokumente vollständig, selbst wenn für sonstige Akten Stichproben genügen.

10. Fehler und Ausschlüsse bereinigen

Manche Dateien scheitern aufgrund von Dateigröße, Format, Pfadlänge oder Plattformgrenzen. Führen Sie eine Ausnahmeliste mit Quell-ID, Fehlerursache, Abhilfemaßnahme, Verantwortlichem und Ergebnis.

Akzeptieren Sie niemals die Meldung „Archiv erfolgreich erstellt“, ohne Warnungen zu prüfen. Kann eine Datei nicht im Original gesichert werden, dokumentieren Sie die Alternative und deren Beweiskraft.

Holen Sie die schriftliche Freigabe von Archivverantwortlichem, Transaktionsanwalt und technischem Prüfer ein.

11. Sensible Archivebenen trennen

Ein einziges umfassendes Gesamtarchiv kann genau die Vertraulichkeitsprobleme wiederbeleben, die die Rechtematrix verhindern sollte. Erstellen Sie getrennte Archivpakete für:

reguläre Transaktionsoffenlegungen;
Clean-Team-Unterlagen;
anwaltlich geschützte Dokumente (Privileged);
Sicherheits- und IT-Berichte;
Personaldaten und sensible Mitarbeiterakten;
Administrator- und Incident-Nachweise; und
unterzeichnete Closing-Verträge.

Nutzen Sie separate Verschlüsselungen, Zugriffsgruppen, Aufbewahrungsfristen und Verwahrer. Führen Sie ein übergeordnetes Verzeichnis, das Unberechtigten keine geschützten Inhalte offenbart.

12. Das Archiv sicher verwahren

Nutzen Sie ein freigegebenes Records-Management- oder Archivsystem mit Zugriffskontrolle, Verschlüsselung, Backup, Überwachung und Wiederherstellung. Belassen Sie das Archiv niemals ausschließlich auf Laptops, USB-Sticks, privaten Cloud-Speichern oder in E-Mail-Postfächern von Projektmitgliedern.

Beschränken Sie den Zugriff auf namentliche Rollen und erzwingen Sie MFA. Protokollieren Sie Zugriffe. Ein revisionssicheres Archiv darf im Regelbetrieb nicht editiert werden. Müssen nachträglich Notizen ergänzt werden, legen Sie einen separaten Ergänzungsdatensatz an.

Testen Sie bei mehrjährigen Aufbewahrungsfristen periodisch die Wiederherstellbarkeit, da Speichermedien und Dateiformate veralten können.

13. Aufbewahrungsfristen gesetzeskonform festlegen

Vermeiden Sie sowohl sofortige Löschung als auch unüberlegte dauerhafte Speicherung. Berücksichtigen Sie Transaktionsvereinbarungen, gesellschaftsrechtliche Pflichten, Steuergesetze, regulatorische Vorgaben, Produkthaftung, Datenschutz (DSGVO), Arbeitsrecht und Versicherungsanforderungen.

Erstellen Sie einen Aufbewahrungsplan je Archivebene: Rechtsgrundlage, Frist, Auslöser, Legal-Hold-Vorbehalt, Prüfdatum und Vernichtungsmethode. Ein gescheiterter Deal unterliegt anderen Fristen als eine vollzogene Übernahme.

Stimmen Sie Aufbewahrungsfristen mit Juristen und Compliance-Verantwortlichen ab. Die Standard-Löschfrist des VDR-Anbieters darf nicht ungewollt zur Unternehmensrichtlinie werden.

14. Gesetzliche Aufbewahrungssperren (Legal Holds) anwenden

Bei drohenden oder laufenden Rechtsstreitigkeiten, Ermittlungen oder behördlichen Prüfungen verhängt die Rechtsabteilung einen Legal Hold. Identifizieren Sie betroffene Archivebenen und zugehörige Kommunikationen. Setzen Sie reguläre Löschroutinen außer Kraft und sichern Sie die Beweiskette.

Dokumentieren Sie Anlass, Umfang, Datum, Verwahrer, Bestätigungen und Aufhebung. Verändern Sie Archivinhalte bei einem Legal Hold nicht, sondern sichern und exportieren Sie Kopien nach freigegebenen Verfahren.

15. Live-Zugänge entziehen

Nach Prüfung und Freigabe entziehen Sie externen Nutzern, Beratern, Testkonten und nicht mehr benötigten Administratoren die Zugriffsrechte. Beenden Sie aktive Sitzungen und deaktivieren Sie Schnittstellen (API) oder Dienstkonten.

Exportieren Sie einen abschließenden Entzugsbericht. Informieren Sie Nutzer, falls vertraglich vereinbart. Beachten Sie, dass der Rechteentzug zuvor heruntergeladene lokale Kopien nicht löscht; Rückgabe- und Löschpflichten müssen gesondert durchgesetzt werden.

16. Rückgabe- und Löschbestätigungen einholen

Bei abgebrochenen Transaktionen, Clean Teams und externen Gutachtern verlangen Vertraulichkeitsvereinbarungen oft die Bestätigung der Vernichtung vertraulicher Daten. Nutzen Sie standardisierte Bestätigungserklärungen (Attestations). Berücksichtigen Sie zulässige Ausnahmen für Berufsgeheimnisträger, Versicherer oder automatische Backup-Bänder.

Eine schriftliche Bestätigung ist eine Zusicherung, kein physischer Beweis. Kombinieren Sie sie mit dem Entzug des Plattformzugangs und rechtlichen Vereinbarungen.

17. Endgültige Löschung beim Anbieter bestätigen

Werden Live-Raum und gehostete Archive nicht mehr benötigt, veranlassen Sie die vertragliche Löschung beim VDR-Anbieter. Klären Sie Primärsysteme, Backups, Protokolle, Subunternehmer und die formelle Löschbestätigung. Dokumentieren Sie Auftrag, Ausführung, Ausnahmen und verbleibende Restfristen.

Löschen Sie niemals vor interner Archivvalidierung und Legal-Hold-Prüfung. Lassen Sie den Live-Raum jedoch auch nicht aus Nachlässigkeit unbeaufsichtigt online.

18. Dokumentationskette (Chain of Custody) führen

Protokollieren Sie bei bedeutenden Archiven Erstellung, Prüfsummen, Übergaben, Empfänger, Verwahrung, Zugriffe, Kopien, Migrationen und Vernichtung namentlich mit Datum.

Eine Dokumentationskette beweist nicht die inhaltliche Richtigkeit jedes Dokuments, belegt aber den lückenlosen und unverfälschten Umgang mit der Sammlung. Vermeiden Sie unbewiesene Behauptungen wie „absolut manipulationssicher“, sofern die technischen Grenzen nicht exakt dokumentiert sind.

19. Zukünftiges Wiederauffinden planen

Erstellen Sie eine kurze Readme-Datei: Transaktionsname, Archivstruktur, Zeitraum, Zeitzone, enthaltene Berichte, vertrauliche Sektionen, benötigte Software, Ansprechpartner, Aufbewahrungsfristen und Zugriffsantragsprozess. Definieren Sie Reaktionszeiten für berechtigte interne Anfragen.

Zukünftige Mitarbeiter kennen weder die VDR-Plattform noch historische Projektabkürzungen. Ein strukturiertes Archiv spart viel Zeit bei Betriebsprüfungen, Gewährleistungsansprüchen, Earn-Out-Streitigkeiten oder steuerlichen Sonderprüfungen.

Checkliste für das Abschlussarchiv-Sign-off

Datenraum-Freeze und Zugangsabschaltung sind dokumentiert.
Finaler Index und Versionsstände wurden exportiert.
Benutzer, Gruppen, Berechtigungen und Administratoren sind gesichert.
Aktivitäten, Q&A, Freigaben und Ausnahmen wurden exportiert.
Dateianzahlen und Stichproben wurden unabhängig validiert.
Fehler und Auslassungen wurden behoben oder begründet protokolliert.
Sensible Archivebenen unterliegen getrenntem Zugriff und Fristen.
Verwahrer, Speicherort, Wiederherstellung und Schlüssel sind geregelt.
Legal Holds und Aufbewahrungsfristen wurden juristisch geprüft.
Externe und temporäre Zugänge wurden vollständig entzogen.
Löschdatum beim Anbieter und Verantwortlicher sind fixiert.
Formelle Freigabeerklärung liegt unterzeichnet vor.

Quellen und Nachweise

NIST Cybersecurity Framework 2.0: https://www.nist.gov/cyberframework
NIST Richtlinie zur Bereinigung von Speichermedien, SP 800-88 Rev. 1: https://csrc.nist.gov/pubs/sp/800/88/r1/final
Leitfäden der US-Nationalarchive zum Records Management: https://www.archives.gov/records-mgmt
Richtlinien der US-Börsenaufsicht SEC zur Aufbewahrung von Geschäftsunterlagen: https://www.sec.gov/

Aufbewahrungs-, Legal-Hold-, Verschwiegenheits-, Datenschutz- und Beweisanforderungen variieren stark. Holen Sie qualifizierten Rechtsrat ein und stimmen Sie das Archiv mit dem verbindlichen Records-Management-Programm Ihres Unternehmens ab.