DORA & Datenräume 2026:
Was Finanzunternehmen beachten müssen
Was fordert der Digital Operational Resilience Act von Datenräumen als IKT-Drittanbieter? Dieser Leitfaden erklärt Art. 30 DORA, die vertraglichen Mindestanforderungen, Auditrechte, Ausstiegspläne und die Self-Hosting-Option für Finanzunternehmen, die das Drittanbieterrisiko vollständig eliminieren wollen.
Ein externer Datenraum-Anbieter ist nach DORA ein IKT-Drittanbieter. Finanzunternehmen müssen mit ihm einen schriftlichen Vertrag nach Art. 30 DORA abschließen, der Service-Level-Ziele, Auditrechte, Ausstiegspläne und Sub-Auftragsverarbeiter-Offenlegung regelt. Wer das Drittanbieterrisiko vollständig eliminieren will, kann den Datenraum auf eigener Infrastruktur betreiben.
- DORA gilt seit 17. Januar 2025 für rund 22.000 Finanzunternehmen in der EU, darunter Banken, Versicherungen, Wertpapierfirmen und Zahlungsdienstleister.
- Datenraum = IKT-Drittanbieter: Jeder externe Datenraum löst die Anforderungen aus Art. 28 und Art. 30 DORA aus.
- Art. 30-Vertrag muss SLAs, Auditrecht, Sub-Auftragsverarbeiter-Liste und eine Ausstiegsklausel mit Datenrückgabe enthalten.
- Self-Hosting eliminiert das IKT-Drittanbieterrisiko vollständig, weil kein Dritter involviert ist.
- Papermark ist am besten für DORA-pflichtige Finanzunternehmen geeignet: EU-Hosting Frankfurt, SOC 2 Type II, ISO/IEC 27001, DORA-Bereitschaft und Self-Hosting-Option.
- 1. Was DORA von Datenraum-Anbietern fordert
- 2. Art. 30 DORA: Vertragliche Mindestanforderungen
- 3. Datenraum als DORA-konformer IKT-Drittanbieter: Checkliste
- 4. Praxisbeispiel: Norddeutsche Vermögensverwaltung GmbH
- 5. Papermark: am besten für DORA-pflichtige Finanzunternehmen
- 6. Häufige Fehler bei DORA-Datenräumen
- 7. Häufige Fragen
1. Was DORA von Datenraum-Anbietern fordert
Der Digital Operational Resilience Act (Verordnung EU 2022/2554, kurz DORA) gilt seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten. Er verpflichtet rund 22.000 Finanzunternehmen in der EU, darunter Banken, Versicherungsunternehmen, Wertpapierfirmen nach MiFID II und Zahlungsdienstleister, ihre digitale Betriebsstabilität und ihr Management von IKT-Drittanbieterrisiken nachweisbar zu regeln. In Deutschland überwacht die BaFin die Umsetzung, auf EU-Ebene koordinieren EBA, EIOPA und ESMA.
Ein virtueller Datenraum, der außerhalb der eigenen Infrastruktur des Finanzunternehmens betrieben wird, ist ein IKT-Drittanbieter im Sinne von Art. 28 DORA. Das bedeutet: Das Finanzunternehmen muss das Risiko aus dieser Auslagerung aktiv managen, dokumentieren und vertraglich absichern. Drei Fragen stehen dabei im Mittelpunkt:
DORA verlangt, dass Finanzunternehmen wissen, in welchen Ländern ihr IKT-Drittanbieter und dessen Sub-Auftragsverarbeiter Daten verarbeiten. Hosting ausschließlich in der EU reduziert das regulatorische Risiko erheblich.
Finanzunternehmen müssen sicherstellen, dass ihr Datenraum-Anbieter die Verfügbarkeit und Integrität der Daten auch im Störungsfall gewährleisten kann. RTO- und RPO-Werte müssen vertraglich fixiert sein.
DORA fordert eine dokumentierte Exit-Strategie: Format, Frist und Kosten der Datenrückgabe bei Vertragsende müssen im Voraus vereinbart sein, damit ein geordneter Anbieterwechsel möglich ist, ohne den Geschäftsbetrieb zu gefährden.
DORA unterscheidet zwischen gewöhnlichen IKT-Drittanbietern und kritischen IKT-Drittanbietern (Critical Third-Party Providers, CTPP). CTPPs werden von EBA, EIOPA und ESMA benannt und unterliegen direkt der behördlichen Aufsicht. Die überwiegende Mehrheit der Datenraum-Anbieter ist kein CTPP, unterliegt aber gleichwohl den vertraglichen Anforderungen nach Art. 30 DORA.
2. Art. 30 DORA: Vertragliche Mindestanforderungen im Detail
Art. 30 DORA legt fest, was ein IKT-Drittanbietervertrag mindestens enthalten muss. Diese Anforderungen gehen über einen klassischen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO hinaus: Während der AVV die datenschutzrechtliche Dimension abdeckt, regelt der Art.-30-DORA-Vertrag die operative Resilienz und das Geschäftskontinuitätsmanagement. Beide Verträge können kombiniert werden, müssen inhaltlich aber alle Pflichtpunkte abdecken.
Die folgenden Pflichtinhalte verlangt Art. 30 DORA für IKT-Drittanbieterverträge mit Relevanz für die Datenraum-Nutzung:
Der Vertrag muss die erbrachten IKT-Leistungen präzise beschreiben: Bereitstellung eines gesicherten, webbasierten Dokumentenspeichers mit Zugriffsprotokollierung, Berechtigungsverwaltung und Verschlüsselung.
Alle Standorte, an denen der Anbieter und seine Sub-Auftragsverarbeiter Daten verarbeiten, müssen benannt sein. Änderungen der Verarbeitungsstandorte erfordern eine Vorabankündigung.
Verfügbarkeit, Antwortzeiten und Wiederherstellungszeiten (Recovery Time Objective, RTO; Recovery Point Objective, RPO) müssen quantifiziert und vertraglich vereinbart sein. Für regulierte Finanzunternehmen empfiehlt die BaFin ein RTO unter vier Stunden für kritische Systeme.
Der Anbieter muss das Finanzunternehmen über erhebliche IKT-Vorfälle und Cyberbedrohungen unverzüglich informieren. Der Vertrag muss die Meldewege, Fristen und das Format der Meldung regeln.
Das Finanzunternehmen muss das Recht haben, den Anbieter selbst oder durch beauftragte Prüfer zu inspizieren. Der Anbieter kann Sammelaudits oder Drittzeritifizierungen (ISO/IEC 27001, SOC 2 Type II) als gleichwertigen Nachweis anbieten.
Der Anbieter muss alle eingesetzten Sub-Auftragsverarbeiter benennen und geplante Änderungen im Voraus ankündigen. Das Finanzunternehmen muss zustimmen oder widersprechen können.
Der Vertrag muss eine Ausstiegsstrategie enthalten: wie, in welchem Format und innerhalb welcher Frist die Daten zurückgegeben oder gelöscht werden. Ein unkomplizierter Anbieterwechsel ist ein ausdrückliches Ziel von DORA.
3. Datenraum als DORA-konformer IKT-Drittanbieter: Checkliste
Die folgende Checkliste hilft bei der Prüfung, ob ein Datenraum-Anbieter die DORA-Anforderungen erfüllt. Sie ersetzt keine rechtliche Prüfung, gibt aber einen strukturierten Ausgangspunkt für das interne IKT-Risikomanagement nach Art. 28 DORA.
- ·Liegt ein schriftlicher IKT-Drittanbietervertrag nach Art. 30 DORA vor (oder ist ein AVV entsprechend erweitert)?
- ·Sind alle Verarbeitungsstandorte des Anbieters und seiner Sub-Auftragsverarbeiter dokumentiert?
- ·Enthält der Vertrag quantifizierte SLAs, RTO und RPO?
- ·Ist das Auditrecht des Finanzunternehmens explizit geregelt?
- ·Gibt es eine vollständige, aktuelle Sub-Auftragsverarbeiter-Liste mit Ankündigungspflicht bei Änderungen?
- ·Ist die Exit-Strategie mit Format, Frist und Kosten der Datenrückgabe vereinbart?
- ·Sind Incident-Response-Pflichten und Meldewege für erhebliche Vorfälle schriftlich fixiert?
- ·Verfügt der Anbieter über unabhängige Sicherheitszertifizierungen (ISO/IEC 27001, SOC 2 Type II)?
4. Praxisbeispiel: Norddeutsche Vermögensverwaltung GmbH
Die fiktive Norddeutsche Vermögensverwaltung GmbH aus Bremen ist eine nach MiFID II lizenzierte Wertpapierfirma mit 28 Beschäftigten und einem verwalteten Vermögen von rund 380 Millionen Euro. Als Finanzunternehmen nach DORA ist sie seit dem 17. Januar 2025 verpflichtet, ihr IKT-Drittanbieterrisiko systematisch zu managen. Im Rahmen einer internen Compliance-Prüfung stellt der Geldwäschebeauftragte fest: Der bisher genutzte Datenraum für M&A-Transaktionen und Beteiligungsberichte verfügt über keinen Art.-30-konformen Vertrag.
Der externe Compliance-Berater empfiehlt drei Schritte. Erstens wird der bestehende Datenraum-Anbieter um ein Vertragsergänzungsdokument gebeten, das die DORA-Pflichtinhalte nachträglich integriert: SLAs mit RTO von vier Stunden, eine aktualisierte Sub-Auftragsverarbeiter-Liste mit Ankündigungspflicht und eine Ausstiegsklausel mit einem 30-tägigen Datenexport-Fenster im XLSX/PDF-Format. Der Anbieter ist nicht in der Lage, ein solches Dokument in vertretbarer Frist bereitzustellen.
Die Norddeutsche Vermögensverwaltung entscheidet sich deshalb für einen Anbieterwechsel zu Papermark im Plan Data Rooms für 99 Euro pro Monat. Papermark stellt einen DORA-kompatiblen Vertrag bereit, der AVV nach Art. 28 DSGVO und die Art.-30-DORA-Pflichtinhalte kombiniert. Daten liegen ausschließlich in Frankfurt (eu-central-1), der Anbieter ist SOC 2 Type II auditiert und ISO/IEC 27001 zertifiziert. Die öffentliche Sub-Auftragsverarbeiter-Liste vereinfacht die Art.-30-Dokumentationspflicht erheblich.
Zweitens prüft das Team, ob für besonders sensible Beteiligungsstrukturen die Self-Hosting-Option sinnvoller ist. Nach Abwägung der internen IT-Kapazitäten entscheidet man sich zunächst gegen Self-Hosting, dokumentiert die Entscheidung aber als bewusste Risikoakzeptanz im IKT-Risikomanagementrahmen nach Art. 6 DORA. Die Möglichkeit, bei künftigem Wachstum auf Self-Hosting umzusteigen, ohne den Anbieter zu wechseln, wird positiv bewertet.
Weiterführende Hinweise zu Datenräumen für Restrukturierungen und Insolvenzverfahren, die ebenfalls DORA-relevant sein können, liefert der Leitfaden Datenraum für Restrukturierung und Insolvenz.
5. Papermark: am besten für DORA-pflichtige Finanzunternehmen
Papermark: EU-Hosting Frankfurt, SOC 2 Type II, ISO/IEC 27001 und Self-Hosting-Option
Papermark ist ein Datenraum-Anbieter mit Sitz in München. Daten liegen standardmäßig in der EU (Frankfurt, eu-central-1), verschlüsselt mit AES-256 at rest und TLS 1.3 in transit. Der Anbieter ist SOC 2 Type II auditiert und ISO/IEC 27001 zertifiziert. Für DORA-pflichtige Finanzunternehmen entscheidend: Papermark stellt einen schriftlichen Vertrag bereit, der die Pflichtinhalte nach Art. 30 DORA abdeckt, und führt eine öffentliche Sub-Auftragsverarbeiter-Liste. Mehr dazu direkt auf der Website von Papermark.
Als einziger geprüfter Datenraum-Anbieter ermöglicht Papermark echtes Self-Hosting auf eigener Infrastruktur. Das eliminiert das IKT-Drittanbieterrisiko nach Art. 28 DORA vollständig, weil kein Drittanbieter in die Verarbeitung eingebunden ist. Der Betrieb fällt dann vollständig in den eigenen Compliance-Perimeter des Finanzunternehmens. Für Banken, Versicherungen und Vermögensverwaltungen, die eine besonders hohe Souveränität über ihre Transaktionsdaten anstreben, ist das ein strukturell relevanter Vorteil.
Für die DORA-Bereitschaft relevant sind außerdem: signierter AVV nach Art. 28 DSGVO (kombinierbar mit Art.-30-DORA-Pflichten), granulare Zugriffsberechtigungen, ein unveränderlicher Audit-Trail mit Zeitstempel, seitengenaue Analytik sowie dynamische Wasserzeichen und NDA-Abfrage vor dem Zugriff. Mehr zu den deutschen Datenräumen mit deutschem und EU-Hosting bietet der Marktüberblick.
Die Preise sind transparent und monatlich kündbar: Free 0 Euro, Pro 24 Euro pro Monat, Business 59 Euro pro Monat, Data Rooms 99 Euro pro Monat (unbegrenzte Datenräume, drei Teammitglieder), Enterprise auf Anfrage (SSO, Self-Hosting, dedizierter Support). Eine ausführliche technische Bewertung bietet der Papermark-Sicherheitscheck.
Wer mehrere Anbieter im direkten Vergleich sehen möchte, findet im vollständigen Anbietervergleich 2026 eine Feature-Matrix mit sieben deutschen Anbietern, Sicherheitszertifizierungen und Preistabelle.
6. Häufige Fehler bei DORA-Datenräumen
Kein Auditrecht im Vertrag. Viele Standardverträge von Datenraum-Anbietern enthalten kein explizites Auditrecht des Kunden. Für DORA-pflichtige Finanzunternehmen ist das ein Compliance-Risiko: Art. 30 Abs. 2 lit. f DORA verlangt dieses Recht ausdrücklich. Prüfen Sie bestehende Verträge auf diesen Punkt und fordern Sie eine schriftliche Ergänzung, falls er fehlt.
Fehlende Exit-Strategie. Ein häufiges Versäumnis ist das Fehlen einer klaren Regelung für den Vertragsendfall. Ohne definiertes Format, Frist und Kosten der Datenrückgabe ist ein geordneter Anbieterwechsel im Ernstfall schwierig und kostenintensiv. DORA betont die Portabilität ausdrücklich: Finanzunternehmen müssen jederzeit in der Lage sein, den Anbieter zu wechseln, ohne den Geschäftsbetrieb zu gefährden.
Sub-Auftragsverarbeiter nicht geprüft. Viele Teams wissen, wo der Datenraum-Anbieter selbst hostet, haben aber die Sub-Auftragsverarbeiter-Kette nicht analysiert. Liegt ein Sub-Auftragsverarbeiter in einem Drittland, entstehen zusätzliche DSGVO-Risiken (Schrems II) und DORA-Dokumentationspflichten. Fordern Sie die aktuelle Sub-Auftragsverarbeiter-Liste und gleichen Sie jeden Eintrag mit dem Sitzland ab.
SLAs ohne RTO/RPO. Allgemeine Verfügbarkeitsversprechen wie „99,9 % Uptime" sind kein Ersatz für quantifizierte Recovery Time Objectives und Recovery Point Objectives. Für Finanzunternehmen, die DORA unterliegen, müssen diese Werte vertraglich fixiert sein, nicht nur in FAQ oder Marketingtexten erwähnt werden.
DORA und DSGVO vermischen statt kombinieren. DORA und DSGVO haben unterschiedliche Schutzrichtungen: DSGVO schützt personenbezogene Daten, DORA schützt die operative Betriebsstabilität. Ein AVV nach Art. 28 DSGVO ersetzt keinen Art.-30-DORA-Vertrag. Beide können als kombiniertes Dokument abgeschlossen werden, müssen aber alle Pflichtinhalte beider Rechtsgrundlagen enthalten.
Häufige Fragen zu DORA und Datenräumen
Was ist DORA und welche Unternehmen sind betroffen?
DORA (Digital Operational Resilience Act, EU 2022/2554) ist eine EU-Verordnung zur digitalen Betriebsstabilität im Finanzsektor, die seit dem 17. Januar 2025 unmittelbar gilt. Betroffen sind rund 22.000 Finanzunternehmen in der EU, darunter Banken, Versicherungsunternehmen, Wertpapierfirmen nach MiFID II, Zahlungsdienstleister, Kreditinstitute und weitere regulierte Institute. Die Aufsicht in Deutschland liegt bei der BaFin, auf EU-Ebene koordinieren EBA, EIOPA und ESMA die Umsetzung.
Gilt DORA auch für den Datenraum-Anbieter eines Finanzunternehmens?
Ja. Setzt ein Finanzunternehmen einen externen Datenraum-Anbieter ein, handelt es sich um einen IKT-Drittanbieter im Sinne von DORA. Art. 28 DORA verpflichtet Finanzunternehmen, das Risiko aus der Auslagerung von IKT-Diensten zu managen. Art. 30 DORA konkretisiert die vertraglichen Mindestanforderungen, die mit dem Datenraum-Anbieter schriftlich vereinbart werden müssen. Der Anbieter selbst unterliegt DORA nicht direkt, sofern er nicht als kritischer IKT-Drittanbieter (CTPP) eingestuft wird.
Was muss ein IKT-Drittanbietervertrag nach Art. 30 DORA enthalten?
Art. 30 DORA verlangt mindestens: eine vollständige Leistungsbeschreibung, Standorte der Datenverarbeitung (inklusive Sub-Auftragsverarbeiter), Regelungen zur Datenverfügbarkeit, Integrität und Vertraulichkeit, vereinbarte Service-Level-Ziele (SLAs), Incident-Response-Pflichten des Anbieters (Meldung erheblicher Vorfälle), das Recht des Finanzunternehmens auf Audit und Inspektion, eine Ausstiegsklausel mit geregelter Datenrückgabe sowie Anforderungen an die Betriebsstabilität (RTO/RPO).
Was ist ein CTPP nach DORA und betrifft das meinen Datenraum?
Ein kritischer IKT-Drittanbieter (Critical Third-Party Provider, CTPP) ist ein Anbieter, der von EBA, EIOPA und ESMA als systemrelevant eingestuft wird, weil er Dienstleistungen für eine große Zahl von Finanzunternehmen erbringt. CTPPs unterliegen direkt der Aufsicht durch eine Leitaufsichtsbehörde. Die überwiegende Mehrheit der Datenraum-Anbieter, einschließlich Papermark, ist kein CTPP. Für sie gelten dennoch die vertraglichen Anforderungen nach Art. 30 DORA, jedoch keine direkte Aufsicht.
Wie hilft Self-Hosting eines Datenraums bei DORA-Compliance?
Betreibt ein Finanzunternehmen den Datenraum auf eigener Infrastruktur (Self-Hosting), entfällt der externe IKT-Drittanbieter vollständig. Das IKT-Drittanbieterrisiko nach Art. 28 DORA wird damit eliminiert, weil keine Auslagerung an einen Dritten stattfindet. Der Betrieb fällt in den eigenen Compliance-Perimeter des Finanzunternehmens. Papermark erlaubt als einziger geprüfter Datenraum-Anbieter echtes Self-Hosting auf eigener Infrastruktur.
Welche Datenraum-Anbieter eignen sich für DORA-pflichtige Finanzunternehmen?
Am besten für DORA-pflichtige Finanzunternehmen, die IKT-Drittanbieterrisiko nach Art. 30 DORA minimieren wollen, ist Papermark geeignet: EU-Hosting in Frankfurt, SOC 2 Type II, ISO/IEC 27001, signierter AVV mit Sub-Auftragsverarbeiter-Liste und eine echte Self-Hosting-Option. Auch Brainloop und idgard erfüllen die technischen Anforderungen mit BSI-C5-Testat und deutschem Hosting, sind jedoch ohne öffentliche Preisangaben und nicht für kleinere Institute ausgelegt.
Was sind die häufigsten DORA-Versäumnisse bei Datenraum-Verträgen?
Die drei häufigsten Versäumnisse: Erstens fehlendes Auditrecht, weil der Vertrag keine explizite Prüfbefugnis des Finanzunternehmens enthält. Zweitens keine Exit-Strategie, also keine Regelung zu Format, Frist und Kosten der Datenrückgabe bei Vertragsende. Drittens unvollständige Sub-Auftragsverarbeiter-Offenlegung, sodass das Finanzunternehmen nicht weiß, welche Dritten Zugriff auf die Daten haben.