Datenraum für den
deutschen Mittelstand

1. Mittelstand ist keine Größenklasse: warum die Abgrenzung praktisch relevant ist

„Mittelstand" und „KMU" werden im deutschen Sprachgebrauch fast synonym verwendet. Sie bedeuten aber nicht dasselbe, und die Unterscheidung hat für die Auswahl eines Datenraums durchaus Folgen, weil die eine Definition auf Größe abstellt und die andere auf Entscheidungsstrukturen.

Die Europäische Kommission definiert KMU in ihrer Empfehlung 2003/361/EG rein quantitativ. Als KMU gilt ein Unternehmen mit weniger als 250 Beschäftigten, dessen Jahresumsatz 50 Millionen Euro oder dessen Jahresbilanzsumme 43 Millionen Euro nicht übersteigt. Innerhalb dieser Klasse gelten Unternehmen mit bis zu neun Beschäftigten und höchstens zwei Millionen Euro Umsatz als Kleinstunternehmen, solche mit bis zu 49 Beschäftigten und höchstens zehn Millionen Euro Umsatz als kleine Unternehmen.

Das Institut für Mittelstandsforschung Bonn verwendet für KMU eine ähnliche, aber nicht identische Abgrenzung mit einer Beschäftigtenschwelle von unter 500 statt unter 250. Entscheidend ist jedoch die zweite, qualitative Definition: Nach dem IfM Bonn liegt ein mittelständisches Unternehmen vor, wenn bis zu zwei natürliche Personen oder ihre Familienangehörigen direkt oder indirekt mindestens 50 Prozent der Anteile halten und diese Personen der Geschäftsführung angehören.

Aus dieser zweiten Definition folgt die eigentliche Besonderheit für die Praxis. Im Mittelstand fallen Eigentum und Führung zusammen. Es gibt keinen Beschaffungsprozess, der eine Softwareauswahl über Monate trägt, aber auch keine Genehmigungskette, die eine Entscheidung verzögert. Die folgende Übersicht stellt die Größenklassen gegenüber.

Wie dominant diese Unternehmensklasse ist, zeigt die Unternehmensregisterstatistik des Statistischen Bundesamts für das Berichtsjahr 2023. Danach waren 99,3 Prozent aller Unternehmen in Deutschland KMU nach EU-Definition, rund 3,2 Millionen. Auf sie entfielen 53,3 Prozent der tätigen Personen, aber nur 26,2 Prozent des Umsatzes. Allein 2,6 Millionen davon sind Kleinstunternehmen.

Diese Zahlen erklären, warum ein Großteil der Datenraum-Anbieter am Markt vorbei positioniert ist. Produkte, die auf ein mehrwöchiges Onboarding, ein dediziertes Projektteam und einen individuell verhandelten Jahresvertrag ausgelegt sind, adressieren die 0,7 Prozent, nicht die 99,3 Prozent.

2. Die tatsächlichen Anlässe: warum der Jahreslauf wichtiger ist als die eine Transaktion

Datenraum-Marketing erzählt fast ausschließlich von M&A. Im Mittelstand entsteht der größere Teil des Nutzens aber aus wiederkehrenden Anlässen, die jedes Jahr anfallen und jedes Mal dieselben Unterlagen verlangen. Wer den Datenraum nur als Transaktionswerkzeug denkt, lässt diesen Nutzen liegen.

Das Muster ist immer gleich: Eine externe Stelle fordert einen definierten Satz vertraulicher Unterlagen an, die intern an verschiedenen Orten liegen. Jemand sucht sie zusammen, packt sie in ein Archiv und verschickt sie per E-Mail. Niemand weiß hinterher, welche Fassung wohin gegangen ist und wer sie noch besitzt.

Der Datenraum kehrt diese Logik um. Die Unterlagen liegen dauerhaft strukturiert bereit, die anfordernde Stelle erhält einen befristeten, protokollierten Zugang, und der Zugang erlischt automatisch. Der Aufwand verlagert sich von der wiederholten Zusammenstellung auf die einmalige Pflege.

Die folgende Aufstellung zeigt die Anlässe, die im Mittelstand tatsächlich zählen, geordnet nach Häufigkeit statt nach Prominenz.

Bemerkenswert an dieser Aufstellung ist das Verhältnis von Häufigkeit und Aufmerksamkeit. Der Anlass ganz unten in der Tabelle, die Nachfolge, bekommt in der Fachliteratur den meisten Raum, tritt aber einmal je Unternehmergeneration ein. Die Anlässe ganz oben wiederholen sich jedes Jahr und binden in der Summe deutlich mehr Arbeitszeit, ohne dass jemals jemand über ein Werkzeug dafür nachdenkt.

Aus dieser Reihenfolge folgt eine Konsequenz für die Anbieterwahl. Ein Produkt, das nur projektbezogen gebucht werden kann, passt nicht zu einem Nutzungsmuster, das ganzjährig niedrig und punktuell hoch ist. Gesucht ist ein dauerhaft laufendes Abonnement zu einem Preis, der auch in ruhigen Monaten vertretbar bleibt. Wie sich eine solche Grundstruktur aufbauen lässt, beschreibt der Leitfaden Datenraum einrichten.

3. Budgetrealität: was ein Datenraum im Mittelstand tatsächlich kosten darf

Die Budgetfrage entscheidet im Mittelstand häufiger über die Einführung als jede Funktionsdiskussion. Anders als in einem Konzern gibt es kein Software-Budget, aus dem eine solche Position bestritten wird; die Ausgabe konkurriert unmittelbar mit einer Investition in Maschinen, Personal oder Marketing.

Praktisch bewegt sich die Akzeptanzschwelle in mittelständischen Unternehmen im Bereich eines niedrigen dreistelligen Monatsbetrags. Was darüber hinausgeht, braucht eine Begründung, die über „mehr Sicherheit" hinausreicht, und wird häufig auf den nächsten konkreten Anlass verschoben, was in der Praxis Ablehnung bedeutet.

Ebenso wichtig wie die Höhe ist die Vorhersehbarkeit. Ein veröffentlichter Listenpreis erlaubt es der kaufmännischen Leitung, die Position ohne Rückfrage in die Planung aufzunehmen. Ein Preis auf Anfrage erzwingt ein Vertriebsgespräch, einen internen Vergleich und eine Entscheidungsvorlage, also Aufwand, der die eigentliche Ersparnis häufig übersteigt.

Ein dritter Faktor wird regelmäßig unterschätzt: Preismodelle, die auf Speichervolumen oder Seitenzahl abstellen, sind im Mittelstand schwer kalkulierbar, weil niemand vorab weiß, wie viele Seiten eine Due Diligence umfasst. Die folgenden Kriterien sollten in die Bewertung einfließen.

• ·Ist ein Listenpreis veröffentlicht, oder erfordert jede Kalkulation ein Vertriebsgespräch?
• ·Wird nach Nutzern, nach Speicher, nach Seiten oder pauschal abgerechnet? Pauschal ist im Mittelstand kalkulierbarer.
• ·Gibt es eine Mindestvertragslaufzeit, und was passiert nach dem Ende einer Transaktion?
• ·Was kostet ein zusätzlicher Sitz für den Steuerberater oder den Anwalt?
• ·Sind Wasserzeichen, Q&A und Audit-Log im Basispreis enthalten oder Aufpreisfunktionen?
• ·Lässt sich der Plan in ruhigen Phasen herunterstufen, ohne Daten zu verlieren?
• ·Was kostet die Archivierung nach Abschluss eines Projekts?

Zum Vergleich: Papermark veröffentlicht seine Preise vollständig. Free kostet 0 Euro, Pro 24 Euro pro Monat, Business 59 Euro pro Monat mit drei Team-Mitgliedern und weiteren Sitzen für 20 Euro, Data Rooms 99 Euro pro Monat mit drei Team-Mitgliedern, unbegrenzten Datenräumen und weiteren Sitzen für 33 Euro; Enterprise ist auf Anfrage erhältlich. Bei Jahresabrechnung nennt der Anbieter bis zu 35 Prozent Ersparnis. Für mehrere etablierte Wettbewerber im Enterprise-Segment sind Preise nicht veröffentlicht; eine Schätzung wäre unseriös. Eine breitere Marktübersicht liefert der Beitrag Datenraum-Kosten 2026.

4. Dünne interne Ressourcen: wer den Datenraum betreibt, wenn es keine IT-Abteilung gibt

In einem Unternehmen mit 60 Beschäftigten gibt es keine IT-Abteilung, keine Rechtsabteilung und keine Compliance-Funktion. Es gibt eine kaufmännische Leitung, eine Assistenz der Geschäftsführung, einen externen Systembetreuer und einen Steuerberater. Diese Konstellation bestimmt, welche Produkte überhaupt in Frage kommen.

Das erste Ausschlusskriterium ist ein Implementierungsprojekt. Lösungen, die eine Konfigurationsphase, ein Schulungspaket und eine Abstimmung mit der internen IT voraussetzen, scheitern nicht am Preis, sondern an der fehlenden Kapazität, sie einzuführen. Das Produkt muss von einer Person in wenigen Stunden nutzbar sein.

Das zweite Kriterium ist die Vertretung. Wenn nur eine Person weiß, wie der Raum funktioniert, und diese Person im Urlaub ist, wenn die Bank Unterlagen anfordert, ist der Vorteil dahin. Zwei Personen mit Administratorrechten und eine einseitige schriftliche Anleitung lösen dieses Problem zuverlässiger als jede Schulung.

Das dritte Kriterium betrifft die Nachweise. Ein KMU kann Sicherheitszusagen eines Anbieters nicht selbst prüfen. Es ist darauf angewiesen, dass Zertifikate und Berichte vorliegen, die von unabhängiger Stelle stammen. Die folgende Rollenverteilung hat sich in der Praxis bewährt.

Bemerkenswert ist, dass der Steuerberater in vielen mittelständischen Unternehmen der eigentliche Treiber der Einführung ist. Er arbeitet ohnehin mit mehreren Mandanten in digitalen Prozessen, kennt die Anforderungen der Finanzverwaltung und hat ein eigenes Interesse daran, Unterlagen nicht per E-Mail zu erhalten. Wer die Einführung plant, sollte ihn früh einbeziehen.

5. Steuerberater und Wirtschaftsprüfer nutzen denselben Datenraum völlig unterschiedlich

In mittelständischen Unternehmen werden Steuerberater und Wirtschaftsprüfer gern in einem Atemzug genannt, weil beide mit Zahlen arbeiten und häufig aus derselben Kanzlei kommen. Für den Datenraum ist die Unterscheidung dennoch wesentlich, denn die beiden Rollen haben gegensätzliche Bedürfnisse: Die eine arbeitet mit, die andere prüft nach.

Der Steuerberater ist im Regelfall Teil der laufenden Prozesse. Er erstellt die Finanzbuchhaltung oder übernimmt sie, fertigt den Jahresabschluss, erklärt die Steuern und begleitet die Kommunikation mit dem Finanzamt. Für ihn ist der Datenraum ein Arbeitswerkzeug, in das er selbst hineinschreibt.

Der Wirtschaftsprüfer steht bewusst außerhalb. Er beurteilt Unterlagen, die andere erstellt haben, und muss dabei unabhängig bleiben. Für ihn ist der Datenraum eine Quelle, aus der er liest und deren Zustand er nicht beeinflussen darf. Ein Schreibrecht für den Prüfer wäre nicht nur unnötig, sondern im Hinblick auf seine Unabhängigkeit heikel.

Daraus ergeben sich zwei sehr verschiedene Zugangsprofile, die von Anfang an getrennt eingerichtet werden sollten. Die folgende Gegenüberstellung fasst die Unterschiede zusammen.

Die letzte Zeile wird in der Praxis am häufigsten übersehen. Prüferzugänge bleiben nach Abschluss der Prüfung jahrelang aktiv, weil niemand sie entzieht. Vergeben Sie sie deshalb von vornherein mit Ablaufdatum und verlängern Sie sie im Folgejahr aktiv, statt sie stillschweigend fortbestehen zu lassen.

Für den Prüfer besonders wertvoll ist die Protokollierung, und zwar in beide Richtungen. Sie belegt dem Unternehmen, dass angeforderte Unterlagen vollständig und rechtzeitig bereitgestellt wurden, und sie erspart dem Prüfer die Frage, ob er eine bestimmte Fassung bereits erhalten hat. Bei Rückfragen zu einem Abschlussposten lässt sich in Sekunden klären, welcher Stand vorlag.

Eine dritte Rolle sei am Rande erwähnt, weil sie im Mittelstand zunehmend auftritt: der Berater für die Transaktion selbst. Er braucht weder Schreibrecht auf den Steuerordner noch dauerhaften Zugang, sondern einen zeitlich befristeten Vollzugriff auf den Transaktionsbereich. Wer diese drei Rollen sauber trennt, hat den größten Teil des Rechtekonzepts eines mittelständischen Datenraums bereits erledigt.

6. Transaktionsgrößen im Mittelstand und was daraus für die Anbieterwahl folgt

Belastbare Zahlen zu deutschen Mittelstandstransaktionen sind rar, weil Kaufpreise selten veröffentlicht werden. Die beste verfügbare Primärquelle ist das KfW-Nachfolge-Monitoring Mittelstand 2025, das die Preisvorstellungen der Inhaberinnen und Inhaber erhebt. Die KfW weist ausdrücklich darauf hin, dass es sich um angestrebte, nicht um realisierte Preise handelt.

Danach liegt der durchschnittlich angestrebte Verkaufspreis bei rund 499.000 Euro, der Median bei 375.000 Euro. Über die Hälfte der Inhaberinnen und Inhaber strebt einen Kaufpreis von höchstens 500.000 Euro an, fünf Prozent bewerten ihr Unternehmen mit höchstens 50.000 Euro. Gleichzeitig setzt mehr als jedes vierte Unternehmen mit Nachfolgeplanung den Kaufpreis über einer Million Euro an.

Im Verhältnis zum Umsatz entspricht der angestrebte Kaufpreis im Schnitt dem 1,2-fachen des Jahresumsatzes bei einem Median von 0,6. Die Spreizung zwischen den Branchen ist erheblich: Das forschungs- und entwicklungsintensive verarbeitende Gewerbe liegt beim Durchschnitt deutlich über dem Baugewerbe.

Aus diesen Größenordnungen folgt eine unbequeme Rechnung. Wenn ein Unternehmen für einen niedrigen sechsstelligen Betrag den Eigentümer wechselt, steht ein Datenraum, dessen Angebotsprozess allein mehrere Wochen dauert und dessen Projektpreis nicht veröffentlicht ist, in keinem sinnvollen Verhältnis zur Transaktion. Die folgende Zuordnung fasst das zusammen.

Hinter diesen Zahlen steht eine Eigenheit, die den Mittelstand von professionellen Verkäufern unterscheidet: Die meisten Inhaberinnen und Inhaber verkaufen genau einmal im Leben. Sie haben keine Routine, keine Vergleichsfälle und keine interne Abteilung, die weiß, wie ein Prozess abläuft. Drei Dinge werden dabei regelmäßig unterschätzt.

Erstens der Umfang der Rückfragen. Ein Käufer mit Erfahrung stellt in der Due Diligence mehrere hundert Fragen, oft zu Details, die im Unternehmen seit Jahren niemand mehr angesehen hat. Ohne strukturierte Ablage und ein geordnetes Frage-und-Antwort-Verfahren bindet allein diese Phase die Geschäftsführung über Wochen.

Zweitens die Wirkung von Lücken. Eine fehlende Unterlage wird selten als Versehen gewertet, sondern als Risiko bepreist, sei es über einen Kaufpreisabschlag oder über eine zusätzliche Garantie. Dokumentenlücken kosten im Mittelstand deshalb regelmäßig mehr als die Arbeit, sie vorher zu schließen.

Drittens die Asymmetrie am Verhandlungstisch. Auf der anderen Seite sitzt häufig ein Käufer, der solche Transaktionen regelmäßig durchführt, samt Berater. Die einzige Größe, die der Verkäufer selbst kontrolliert, ist die Qualität seiner Informationslage, und genau deshalb ist sie der wirksamste Hebel, den er hat.

Die Botschaft ist nicht, dass der Mittelstand weniger Sicherheit braucht. Sie ist, dass er dieselbe Sicherheit zu einer anderen Kostenstruktur braucht. Verschlüsselung, Wasserzeichen, Audit-Log und ein geprüfter Anbieter sind bei einer Transaktion über 400.000 Euro genauso erforderlich wie bei einer über 40 Millionen. Was nicht erforderlich ist, ist ein Projektteam. Wie ein strukturierter Prozess im Mittelstand abläuft, beschreibt der Leitfaden zum M&A-Datenraum.

7. Hausbank und Kreditunterlagen: der jährliche Unterlagenkreislauf nach § 18 KWG

Die Hausbank ist für viele mittelständische Unternehmen der wichtigste externe Adressat vertraulicher Unterlagen, und zwar dauerhaft, nicht anlassbezogen. Der Kreditvertrag verpflichtet regelmäßig zur laufenden Vorlage von Abschlüssen und betriebswirtschaftlichen Auswertungen; das Institut wiederum unterliegt eigenen aufsichtsrechtlichen Pflichten.

Nach dem geltenden Wortlaut des § 18 Abs. 1 KWG, der die amtliche Überschrift „Kreditunterlagen" trägt, darf ein Kreditinstitut einen Kredit, der insgesamt 1.500.000 Euro oder 10 Prozent seines Kernkapitals nach Artikel 25 der Verordnung (EU) Nr. 575/2013 überschreitet, nur gewähren, wenn es sich von dem Kreditnehmer die wirtschaftlichen Verhältnisse, insbesondere durch Vorlage der Jahresabschlüsse, offenlegen lässt.

Zwei Hinweise dazu. Erstens ist die in vielen Ratgebern genannte Schwelle von 750.000 Euro überholt; maßgeblich ist der aktuelle Gesetzestext. Zweitens bedeutet die Schwelle nicht, dass unterhalb davon keine Unterlagen verlangt werden. Banken fordern dieselben Dokumente aus eigenen Risikogründen an, unabhängig von der gesetzlichen Pflicht.

Praktisch entsteht daraus ein jährlicher Kreislauf, der sich hervorragend über einen Datenraum abbilden lässt. Statt jedes Frühjahr Dateien zusammenzusuchen und per E-Mail zu versenden, wird ein fester Bankordner gepflegt und der Bank ein lesender Zugang mit Wasserzeichen eingerichtet. Der folgende Ordner deckt die üblichen Anforderungen ab.

• ·Jahresabschluss mit Anhang und, soweit erstellt, Lagebericht der letzten drei Geschäftsjahre.
• ·Aktuelle betriebswirtschaftliche Auswertung mit Summen- und Saldenliste, monatlich fortgeschrieben.
• ·Planung für das laufende Geschäftsjahr mit Bilanz, Ergebnis- und Liquiditätsrechnung.
• ·Bestehende Kredit- und Sicherheitenverträge mit Konditionen und Covenants.
• ·Sicherheitenspiegel mit Bewertungsansätzen und Freigabestand.
• ·Nachweise zu Betriebs-, Haftpflicht- und Sachversicherungen.
• ·Angaben zur Gesellschafterstruktur und aktuelle Handelsregisterauszüge.
• ·Bei Investitionsfinanzierungen: Angebote, Wirtschaftlichkeitsrechnung und Zeitplan.

Was die Bank in der Kreditprüfung tatsächlich sucht, ist dabei enger umrissen, als viele Unternehmen annehmen. Im Kern geht es um drei Fragen: Reicht der erwirtschaftete Überschuss aus, um Zins und Tilgung dauerhaft zu bedienen, wie belastbar sind die gestellten Sicherheiten, und wie verlässlich waren die bisherigen Planungen im Vergleich zum tatsächlichen Verlauf.

Der dritte Punkt ist der, an dem sich Vertrauen aufbaut oder verspielt wird. Wer die Planung des Vorjahres zusammen mit dem tatsächlichen Ergebnis bereitstellt und Abweichungen von sich aus erklärt, wird anders bewertet als jemand, der nur die neue Planung vorlegt. Ein fortlaufend gepflegter Bankordner macht genau diesen Abgleich ohne Zusatzaufwand möglich. Legen Sie die alte Planung deshalb nicht ab, sondern lassen Sie sie im Ordner stehen, sobald das Geschäftsjahr abgeschlossen ist; sie ist im Folgejahr die aussagekräftigste Unterlage, die Sie besitzen.

Häufig unterschätzt wird die Zahl der Beteiligten auf Bankseite. Die Unterlagen gehen nicht nur an den Firmenkundenbetreuer, sondern werden intern an die Marktfolge und die Kreditanalyse weitergereicht, bei Förderdarlehen zusätzlich an das durchleitende Institut. Wer per E-Mail versendet, weiß nach zwei Wochen nicht mehr, welche Fassung wo liegt. Ein lesender Zugang mit Wasserzeichen macht diese Verteilung sichtbar und begrenzt sie zugleich.

Ein zweiter Punkt betrifft die Aktualität. Banken bewerten es negativ, wenn eine betriebswirtschaftliche Auswertung mehrere Monate alt ist. Wird der Bankordner monatlich fortgeschrieben, statt anlassbezogen zusammengestellt, ist die aktuelle Auswertung immer verfügbar, und die Frage nach dem Stand der Zahlen stellt sich nicht mehr.

Ein praktischer Nebeneffekt: Die Zugriffsanalytik zeigt, wann die Bank die Unterlagen tatsächlich abgerufen hat. Das ist in Verhandlungen über Konditionen und Prolongationstermine eine nützliche Information und ersetzt die Nachfrage, ob die E-Mail angekommen sei. Wichtig ist zugleich, den Bankordner strikt vom Bereich für Kaufinteressenten zu trennen: Sicherheiten- und Covenant-Informationen gehören nicht in einen Bieterraum.

8. GoBD: was die Grundsätze tatsächlich fordern und was ein Datenraum damit zu tun hat

Kaum ein Begriff wird im Umfeld digitaler Ablagen so häufig und so ungenau verwendet wie „GoBD-konform". Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff sind eine Verwaltungsanweisung der Finanzverwaltung. Sie richten sich an den Steuerpflichtigen, nicht an ein einzelnes Softwareprodukt.

Maßgeblich ist das BMF-Schreiben vom 28. November 2019 (IV A 4 - S 0316/19/10003 :001). Es wurde nicht ersetzt, sondern zweimal geändert: durch das BMF-Schreiben vom 11. März 2024 im Zuge des DAC7-Umsetzungsgesetzes und durch das BMF-Schreiben vom 14. Juli 2025 im Zusammenhang mit der obligatorischen elektronischen Rechnung. Anzuwenden ist die Fassung vom 14. Juli 2025.

Daraus folgt eine wichtige Klarstellung: Ein Datenraum ist in aller Regel kein Buchführungssystem. Er führt keine Bücher, bildet keine Journalfunktion ab und ersetzt weder Finanzbuchhaltung noch Dokumentenmanagementsystem. Die Aussage „unser Datenraum ist GoBD-konform" ist deshalb für sich genommen bedeutungslos; entscheidend ist, ob das führende System die Grundsätze erfüllt.

Relevant wird der Datenraum an zwei Stellen: bei der Bereitstellung von Unterlagen für Prüfer und bei der Aufbewahrung von Dokumenten, die anderswo nicht revisionssicher liegen. Die folgenden Anforderungen sollten Sie bei der Auswahl konkret hinterfragen.

• ·Unveränderbarkeit: Werden hochgeladene Dokumente versioniert, sodass eine spätere Änderung erkennbar bleibt, statt die Vorgängerfassung zu überschreiben?
• ·Nachvollziehbarkeit: Protokolliert das System, wer wann welches Dokument hochgeladen, ersetzt oder gelöscht hat?
• ·Vollständigkeit: Lässt sich der Bestand samt Protokollen exportieren, wenn der Vertrag endet?
• ·Zeitgerechte Erfassung: Wird der Zeitpunkt des Uploads unabhängig vom Dateidatum festgehalten?
• ·Ordnung: Ist die Struktur so dokumentiert, dass ein Dritter Unterlagen ohne Vorwissen findet?
• ·Verfahrensdokumentation: Ist schriftlich festgehalten, welche Unterlagen im Datenraum liegen, wer sie pflegt und wie sie in das führende System zurückwirken?
• ·Datenzugriff: Können Unterlagen in einem maschinell auswertbaren Format bereitgestellt werden, wenn die Finanzbehörde das verlangt?

Der letzte Punkt der Liste ist der wichtigste und wird am häufigsten übersehen. Die Verfahrensdokumentation ist keine Formalie, sondern der Nachweis, dass die digitale Ablage einem geordneten Verfahren folgt. Sie kann im Mittelstand zwei bis drei Seiten umfassen und sollte selbst im Datenraum liegen.

9. Betriebsprüfung: Z1, Z2 und die neue Datenüberlassung über eine Plattform

Für gewerbliche Unternehmen ist eine Außenprüfung nach § 193 Abs. 1 AO ohne besonderen Anlass zulässig. Im Mittelstand trifft sie die meisten Unternehmen in mehrjährigen Abständen, und sie bindet regelmäßig mehr Kapazität, als vorher eingeplant wurde. Der Datenraum kann diesen Aufwand spürbar reduzieren, wenn er vorher existiert.

Rechtliche Grundlage des Datenzugriffs ist § 147 Abs. 6 AO. Die Finanzverwaltung unterscheidet in den GoBD drei Ausgestaltungen, die als Z1, Z2 und Z3 geläufig sind. Eine Begriffsänderung ist hier wichtig: Z3 heißt seit der GoBD-Änderung vom 11. März 2024 nicht mehr „Datenträgerüberlassung", sondern schlicht „Datenüberlassung".

Diese Umbenennung hat einen praktischen Hintergrund. Nach Randziffer 167 der GoBD kann die Überlassung in einem maschinell lesbaren und auswertbaren Format nicht nur auf einem Datenträger erfolgen, sondern auch „durch Zurverfügungstellung der Daten über eine Datenaustauschplattform, für die die Finanzbehörde einen Zugang eröffnet hat (§ 87a Absatz 1 AO)". Damit ist die Bereitstellung über eine Plattform ausdrücklich vorgesehen.

Ob eine bestimmte Plattform im Einzelfall akzeptiert wird, ist mit der Prüfungsstelle vorab abzustimmen; das ist keine Formsache. Die folgende Übersicht stellt die drei Zugriffsarten gegenüber.

Zwei weitere Randziffern sind für die Praxis wichtig. Nach Randziffer 159 ist das Recht auf Datenzugriff in allen Ausgestaltungen auf den Rahmen der jeweiligen Außenprüfung beschränkt. Nach Randziffer 169 sind die überlassenen Daten spätestens nach Bestandskraft der aufgrund der Prüfung ergangenen Bescheide zu löschen und überlassene Datenträger zurückzugeben.

Beide Punkte lassen sich in einem Datenraum technisch abbilden: ein eigener Bereich, der ausschließlich den geprüften Zeitraum und die angeforderten Themen enthält, ein Zugang mit Ablaufdatum und ein Protokoll darüber, was tatsächlich bereitgestellt wurde. Das ist zugleich der eigene Nachweis darüber, welche Unterlagen die Prüfung erhalten hat.

Ein Hinweis zum Zeitpunkt: Nach Randziffer 167 kann das Verlangen nach Datenüberlassung bereits mit der Prüfungsanordnung und damit vor Prüfungsbeginn gestellt werden (§ 197 Abs. 3 AO). Wer erst dann beginnt, Unterlagen zu strukturieren, hat die kürzeste denkbare Vorlaufzeit.

10. Qualifiziertes Mitwirkungsverlangen: warum Verzögerungen seit 2025 unmittelbar Geld kosten

Mit dem DAC7-Umsetzungsgesetz vom 20. Dezember 2022 hat der Gesetzgeber die Außenprüfung umgebaut. Zwei Regelungen betreffen den Mittelstand unmittelbar, und ihre praktische Wirkung setzt erst seit 2025 ein, weil sie nach Art. 97 § 37 EGAO erstmals auf Steuern anzuwenden sind, die nach dem 31. Dezember 2024 entstehen, beziehungsweise bei Prüfungsanordnungen nach diesem Datum.

Die erste betrifft die Beschleunigung: Nach § 197 Abs. 5 AO soll die Prüfungsanordnung bis zum Ablauf des Kalenderjahres ergehen, das auf das Jahr folgt, in dem der Steuerbescheid wirksam geworden ist. Prüfungen sollen also näher an den geprüften Zeitraum rücken, was die Anforderungen an eine geordnete, sofort verfügbare Ablage erhöht.

Die zweite ist das qualifizierte Mitwirkungsverlangen nach § 200a AO. Es kann frühestens nach Ablauf von sechs Monaten seit Bekanntgabe der Prüfungsanordnung ergehen und ist innerhalb eines Monats nach Bekanntgabe zu erfüllen; in begründeten Einzelfällen ist eine Verlängerung möglich.

Kommt das Unternehmen dem nicht nach, ist ein Mitwirkungsverzögerungsgeld festzusetzen. Es handelt sich um eine gebundene Entscheidung, nicht um Ermessen. Die folgende Übersicht nennt die gesetzlichen Beträge.

Wichtig ist die Reihenfolge der Ereignisse. Das qualifizierte Mitwirkungsverlangen ist nicht der erste Schritt einer Prüfung, sondern eine Eskalationsstufe, die frühestens nach sechs Monaten greift. Wer in den ersten Monaten liefert, kommt mit dem Instrument gar nicht in Berührung. Praktisch scheitert das selten am Willen und fast immer daran, dass Unterlagen erst gesucht, aus verschiedenen Systemen zusammengetragen und in ein auswertbares Format gebracht werden müssen.

Genau an dieser Stelle wirkt ein vorbereiteter Bestand. Liegen Abschlüsse, Belege und Verträge bereits strukturiert und exportierbar vor, verkürzt sich die Reaktionszeit von Wochen auf Tage. Das ist kein theoretischer Vorteil: Die gesetzlichen Fristen laufen taggenau, und das Mitwirkungsverzögerungsgeld wird ohne Ermessensspielraum festgesetzt.

Hinzu kommt eine Ablaufhemmung: Die Festsetzungsfrist verlängert sich um die Dauer der Verzögerung, mindestens um ein Jahr. Für ein mittelständisches Unternehmen bedeutet das in der Summe, dass eine ungeordnete Ablage nicht mehr nur Nerven kostet, sondern einen bezifferbaren Betrag und eine verlängerte Unsicherheit. Ein vorbereiteter Prüfungsordner ist damit betriebswirtschaftlich begründbar, nicht nur organisatorisch wünschenswert.

11. Aufbewahrungsfristen nach dem Bürokratieentlastungsgesetz: acht, zehn oder sechs Jahre

Die Aufbewahrungsfristen haben sich zum 1. Januar 2025 geändert, und die Änderung ist in vielen Unternehmen noch nicht in den Löschkonzepten angekommen. Das Vierte Bürokratieentlastungsgesetz vom 23. Oktober 2024 hat die Frist für Buchungsbelege verkürzt.

Nach § 147 Abs. 3 Satz 1 AO in der geltenden Fassung sind die in Absatz 1 Nummer 1 und 4a genannten Unterlagen zehn Jahre, die in Nummer 4 genannten Unterlagen acht Jahre und die sonstigen Unterlagen sechs Jahre aufzubewahren. Nummer 1 umfasst Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse und Lageberichte, Nummer 4 die Buchungsbelege. § 257 Abs. 4 HGB enthält die spiegelbildliche handelsrechtliche Regelung.

Zwei Einschränkungen sind wichtig. Erstens gilt für Kreditinstitute, unter Versicherungsaufsicht stehende Unternehmen und Wertpapierinstitute weiterhin die Zehnjahresfrist auch für Buchungsbelege; diese Sonderregel steht nicht in § 147 AO selbst, sondern in Art. 97 § 19a Abs. 3 EGAO und in § 257 Abs. 4 Satz 2 HGB. Zweitens läuft die Frist nach § 147 Abs. 3 Satz 5 AO nicht ab, soweit und solange die Unterlagen für Steuern von Bedeutung sind, für die die Festsetzungsfrist noch nicht abgelaufen ist.

Die acht Jahre sind also keine harte Löschgrenze, sondern eine Untergrenze mit Vorbehalt. Die folgende Übersicht fasst die Fristen zusammen; der Fristbeginn richtet sich nach § 257 Abs. 5 HGB beziehungsweise § 147 Abs. 4 AO jeweils nach dem Schluss des Kalenderjahres.

Für den Datenraum folgt daraus eine schlichte Anforderung: Was dort abgelegt wird, muss über Jahre exportierbar bleiben, und zwar unabhängig davon, ob der Vertrag noch läuft. Klären Sie vor dem Vertragsschluss, in welchem Format ein vollständiger Export bereitsteht und ob dieser Export die Zugriffsprotokolle einschließt. Ein Datenraum, aus dem sich der Bestand nur einzeln herunterladen lässt, ist als Langzeitablage ungeeignet.

12. Elektronische Buchführung im EU-Ausland: warum das Hosting auch steuerlich zählt

Der Ort, an dem Daten liegen, ist für ein deutsches Unternehmen nicht nur eine Frage des Datenschutzes, sondern auch des Steuerverfahrensrechts. § 146 Abs. 2 Satz 1 AO stellt den Grundsatz auf, dass Bücher und Aufzeichnungen im Geltungsbereich der Abgabenordnung zu führen und aufzubewahren sind.

Von diesem Grundsatz gibt es zwei Ausnahmen, die sich seit 2023 deutlich unterscheiden. Nach § 146 Abs. 2a AO kann elektronische Buchführung in einem oder mehreren Mitgliedstaaten der Europäischen Union geführt und aufbewahrt werden, ohne dass es einer Bewilligung bedarf. Voraussetzung ist die Mitteilung des Standorts an die zuständige Finanzbehörde sowie die uneingeschränkte Gewährleistung des Datenzugriffs nach § 147 Abs. 6 AO.

Für Drittstaaten gilt weiterhin ein Bewilligungsvorbehalt. Nach § 146 Abs. 2b AO kann die Finanzbehörde auf Antrag bewilligen, sofern der Standort mitgeteilt wird, die bisherigen steuerlichen Pflichten ordnungsgemäß erfüllt wurden, der Datenzugriff uneingeschränkt möglich ist und die Besteuerung nicht beeinträchtigt wird.

Wird trotz Aufforderung nicht zurückverlagert oder ohne Bewilligung in einen Drittstaat verlagert, sieht § 146 Abs. 2c AO ein Verzögerungsgeld von 2.500 Euro bis 250.000 Euro vor. Für die Anbieterwahl bedeutet das in der Praxis Folgendes.

• ·EU-Hosting ist der administrativ einfachste Weg: Standort mitteilen, Datenzugriff sicherstellen, fertig.
• ·Der Anbieter muss den Speicherort der Daten verbindlich benennen können, nicht nur eine Region grob umreißen.
• ·Die Liste der Unterauftragsverarbeiter ist relevant, weil auch dort Daten liegen können.
• ·Ändert der Anbieter den Speicherort, muss das erkennbar sein und intern nachgehalten werden.
• ·Bei Drittstaatsbezug ist die Bewilligung nach § 146 Abs. 2b AO vor der Verlagerung einzuholen, nicht danach.
• ·Der Datenzugriff nach § 147 Abs. 6 AO muss unabhängig vom Speicherort gewährleistet bleiben.

Zur Einordnung: Die genannten Regelungen betreffen unmittelbar die Buchführung, nicht jeden beliebigen Dokumentenspeicher. Enthält der Datenraum jedoch steuerlich relevante Unterlagen, die anderswo nicht in gleicher Form vorliegen, greifen sie. Ein Anbieter mit klar benanntem EU-Hosting erspart diese Prüfung; Papermark hostet auf der eigenen Cloud standardmäßig in Frankfurt.

13. DSGVO im KMU: drei Pflichten, die auch ohne Rechtsabteilung zu erfüllen sind

Der Datenschutz gilt unabhängig von der Unternehmensgröße, und die Vorstellung, kleine Unternehmen seien weitgehend ausgenommen, ist falsch. Was sich unterscheidet, sind die organisatorischen Anforderungen, nicht die materiellen Pflichten.

Ein weit verbreiteter Irrtum betrifft den Datenschutzbeauftragten. Nach § 38 Abs. 1 Satz 1 BDSG ist er zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Die vielfach noch zitierte Schwelle von zehn Personen ist überholt. Unabhängig davon kann die Pflicht auch unterhalb dieser Grenze bestehen, wenn die Voraussetzungen des Art. 37 Abs. 1 lit. b oder c DSGVO vorliegen oder nach § 38 Abs. 1 Satz 2 BDSG eine Datenschutz-Folgenabschätzung erforderlich ist.

Für den Datenraum sind drei Punkte konkret abzuarbeiten. Erstens ist der Anbieter Auftragsverarbeiter, es braucht also einen Vertrag nach Art. 28 DSGVO. Zweitens ist die Verarbeitung in das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO aufzunehmen. Drittens ist zu klären, welche Unterauftragsverarbeiter der Anbieter einsetzt und wo diese verarbeiten.

Liegt das Hosting in der EU, entfällt die aufwendige Prüfung des Drittlandtransfers nach Kapitel V DSGVO. Das ist für ein KMU ohne Rechtsabteilung der eigentliche praktische Vorteil des EU-Hostings. Die folgende Kurzcheckliste deckt den Regelfall ab; die Einzelheiten behandelt der Leitfaden Datenraum DSGVO-konform.

• ·Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abschließen und zusammen mit der Unterauftragnehmer-Liste ablegen.
• ·Eintrag im Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO ergänzen, mit Zweck, Kategorien und Löschfristen.
• ·Speicherort und Unterauftragsverarbeiter dokumentieren und bei Änderungen nachhalten.
• ·Technische und organisatorische Maßnahmen des Anbieters dokumentiert übernehmen, statt sie selbst zu formulieren.
• ·Personaldaten vor dem Upload aggregieren; Einzelakten gehören nicht in einen Raum mit externem Zugriff.
• ·Löschkonzept für den Datenraum schriftlich festhalten, abgestimmt mit den steuerlichen Aufbewahrungsfristen.
• ·Prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist, insbesondere bei besonderen Datenkategorien.

Ein pragmatischer Hinweis zum Schluss: Diese Punkte sind an einem Vormittag zu erledigen, wenn der Anbieter die Unterlagen bereitstellt. Sie werden aufwendig, wenn Auftragsverträge einzeln verhandelt und Unterauftragsverarbeiter erfragt werden müssen. Genau darin liegt der Unterschied zwischen einem Anbieter mit veröffentlichten Nachweisen und einem, bei dem jede Angabe erst beschafft werden muss.

14. Cloud-Speicher, Dokumentenmanagement oder Datenraum: was der Mittelstand schon hat

Vor der Anbieterwahl steht eine Frage, die im Mittelstand fast immer gestellt wird und selten sauber beantwortet: Wir haben doch schon eine Cloud, wozu ein weiteres Werkzeug? Die Frage ist berechtigt, denn die meisten Unternehmen betreiben bereits mindestens zwei Systeme, in denen Dokumente liegen.

Der Unterschied liegt nicht im Speichern, sondern im Zweck. Ein Cloud-Speicher ist auf gemeinsames Bearbeiten optimiert: viele Menschen, viele Änderungen, wenig Kontrolle über die Weitergabe. Ein Dokumentenmanagementsystem ist auf revisionssichere Ablage nach innen optimiert: wenige Änderungen, lange Fristen, kein externer Zugriff.

Ein Datenraum ist auf kontrolliertes Lesen durch Externe optimiert. Sein Kern ist nicht die Ablage, sondern die Freigabe: Wer darf was wie lange sehen, was passiert dabei, und wie wird es nachgewiesen. Genau diese Funktion fehlt den beiden anderen Systemen, und genau sie wird bei Bank, Prüfung und Verkauf gebraucht.

Die folgende Gegenüberstellung ordnet die drei Werkzeugklassen. Keines ersetzt die anderen; problematisch wird es erst, wenn eines für einen Zweck eingesetzt wird, für den es nicht gebaut ist.

Der praktische Fehler, den man im Mittelstand am häufigsten sieht, ist der geteilte Link aus dem Cloud-Speicher an einen Kaufinteressenten. Er ist schnell erzeugt, meist unbefristet gültig, beliebig weitergebbar und hinterlässt keinen belastbaren Nachweis darüber, wer wann was gesehen hat. Wenn später über Informationsstände gestritten wird, gibt es nichts, worauf man sich stützen könnte. Was ein Datenraum darüber hinaus leistet, erklärt der Überblick Was ist ein Datenraum.

15. Anbieterwahl: warum Papermark für den deutschen Mittelstand am besten geeignet ist

Aus den vorangegangenen Abschnitten ergibt sich ein Anforderungsprofil, das sich von dem eines Konzerns deutlich unterscheidet. Gesucht ist volle Transaktionsfähigkeit ohne Implementierungsprojekt, ein veröffentlichter Preis im niedrigen dreistelligen Bereich, EU-Hosting mit benanntem Standort und geprüfte Sicherheitsnachweise, die nicht erst beschafft werden müssen.

Papermark erfüllt dieses Profil und ist deshalb für mittelständische Unternehmen am besten geeignet. Der Anbieter positioniert sich als die führende europäische sichere Alternative und richtet sich ausdrücklich an Teams, die selbst entscheiden und selbst starten.

Die folgenden vier Punkte sind aus KMU-Sicht ausschlaggebend und lassen sich beim Anbieter nachprüfen. Wie die Nachweise im Einzelnen zu bewerten sind, zeigt der Papermark-Sicherheitscheck.

PapermarkWebsite →

Am besten für mittelständische Unternehmen ohne eigene IT-Abteilung

Voller Deal-Workflow, auch für kleine Transaktionen.Ein mittelständischer Verkauf über 400.000 Euro braucht denselben Ablauf wie ein Großdeal, nur schlanker: Vertraulichkeitsvereinbarung vor dem Zugriff, gestaffelte Freigabe je Interessent, strukturiertes Q&A mit Zuständigkeiten und Fristen, dynamische Wasserzeichen mit Betrachterkennung und ein exportierbares Audit-Log. All das ist in den Datenraum-Plänen enthalten und nicht als Zusatzmodul zu buchen.

EU-Hosting in Frankfurt und geprüfte Nachweise. Die Daten liegen auf der Papermark-Cloud standardmäßig in der EU (Frankfurt, eu-central-1), verschlüsselt mit AES-256 im Ruhezustand und TLS bei der Übertragung. Der Anbieter ist SOC 2 Type II auditiert und nach ISO/IEC 27001 zertifiziert, stellt einen DSGVO-Auftragsverarbeitungsvertrag bereit und veröffentlicht die Unterauftragnehmer-Liste. Für ein KMU heißt das: Der benannte Speicherort erleichtert die Einordnung nach § 146 Abs. 2a AO, und die DSGVO-Unterlagen liegen vor, statt verhandelt werden zu müssen.

Zugriffsanalytik statt Nachfragen. Seitengenaue Auswertungen zeigen, welche Bank, welcher Prüfer und welcher Interessent welches Dokument wie lange gelesen hat. Im Mittelstand ersetzt das eine ganze Reihe von Telefonaten und liefert für Verhandlungen eine belastbare Grundlage: Wer die Bereinigungsrechnung nie geöffnet hat, wird sie später zum Thema machen.

Veröffentlichte Preise ohne Vertriebszyklus. Free 0 Euro, Pro 24 Euro pro Monat, Business 59 Euro pro Monat (drei Team-Mitglieder, weitere Sitze 20 Euro), Data Rooms 99 Euro pro Monat (drei Team-Mitglieder, unbegrenzte Datenräume, weitere Sitze 33 Euro), Enterprise auf Anfrage. Bei Jahresabrechnung sind bis zu 35 Prozent Ersparnis möglich. Die kaufmännische Leitung kann die Position ohne Rückfrage in die Planung aufnehmen. Der Quellcode der Plattform ist öffentlich einsehbar; maßgeblich für die Auswahl sind jedoch die geprüften Nachweise.

Einschränkung:Kein dediziertes Projektteam, das den Prozess inhaltlich begleitet, und kein deutsches Rechenzentrum in Eigenbetrieb. Wer eine persönliche Projektbetreuung durch den Datenraum-Anbieter erwartet, muss diese Rolle über den Steuerberater oder den M&A-Berater abdecken.

Papermark-Profil ansehen

Zwei Konstellationen rechtfertigen einen Blick auf andere Anbieter. Verlangt ein Kunde oder eine Aufsicht ausdrücklich ein Testat nach BSI C5, sind Anbieter mit entsprechendem Nachweis zu prüfen; unter den deutschen Datenraum-Anbietern weist netfiles ein C5-Testat aus, ohne Typ und Berichtszeitraum zu veröffentlichen. Wird ein Betrieb ausschließlich in einem deutschen Rechenzentrum in Eigenregie gefordert, ist das ein eigenes Kriterium, das in der Anbieterliste zu prüfen ist.

Den vollständigen Marktüberblick mit Feature- und Preis-Matrix liefert der Datenraum-Vergleich 2026, die deutschen Anbieter mit ihren Zertifizierungen ordnet der Marktüberblick deutscher Datenräume ein.

16. Warum Enterprise-Verträge im Mittelstand selten passen

Enterprise-Datenräume sind keine schlechten Produkte. Sie sind für einen anderen Kunden gebaut: für regulierte Großunternehmen mit eigener Einkaufsabteilung, festen Ausschreibungsprozessen und der Erwartung, dass ein Anbieter ein Projektteam stellt. Diese Voraussetzungen fehlen im Mittelstand vollständig.

Der erste Reibungspunkt ist der Beschaffungsweg. Ein Angebot auf Anfrage bedeutet eine Bedarfsbeschreibung, ein oder zwei Gespräche, eine Angebotsprüfung und eine Entscheidungsvorlage. Im Mittelstand macht das die Person, die auch die Buchhaltung verantwortet, zwischen zwei anderen Aufgaben. Der Prozess dauert dann Wochen, nicht weil die Entscheidung schwer wäre, sondern weil niemand Zeit hat.

Der zweite Reibungspunkt sind Vertragslaufzeiten. Eine Mindestlaufzeit von zwölf oder vierundzwanzig Monaten passt nicht zu einem Nutzungsmuster, das sich aus wenigen intensiven Wochen und langen ruhigen Phasen zusammensetzt, es sei denn, der Preis ist auch in den ruhigen Phasen vertretbar.

Der dritte Reibungspunkt ist die Funktionsdichte. Rollenkonzepte mit zwanzig Berechtigungsstufen, Workflow-Engines und Integrationsschnittstellen lösen Probleme, die ein Unternehmen mit 80 Beschäftigten nicht hat, erhöhen aber die Einarbeitungszeit. Die folgende Gegenüberstellung fasst die Unterschiede zusammen.

Es gibt Ausnahmen. Wenn ein Kunde vertraglich ein bestimmtes Testat verlangt, wenn eine Aufsicht Anforderungen stellt oder wenn ein Bieterfeld tatsächlich mehrere Dutzend Parteien umfasst, kann ein Enterprise-Vertrag sinnvoll sein. Diese Fälle sollten aber begründet werden, statt als Standardannahme zu gelten. Und wichtig: Für mehrere Enterprise-Anbieter sind Preise nicht veröffentlicht; belastbare Vergleichsrechnungen sind ohne individuelles Angebot deshalb nicht möglich.

17. Dokumenten-Index für den mittelständischen Datenraum

Der folgende Index ist bewusst kompakt gehalten. Er deckt den dauerhaften Grundbestand eines mittelständischen Unternehmens ab, der die wiederkehrenden Anlässe bedient, und ergänzt ihn um zwei Bereiche, die nur bei Bedarf geöffnet werden.

Die Ordner 01 bis 05 sollten dauerhaft gepflegt werden; der Aufwand liegt nach dem Erstaufbau bei wenigen Stunden im Quartal. Ordner 06 und 07 entstehen anlassbezogen und werden nach Abschluss geschlossen, nicht gelöscht.

Verwenden Sie durchnummerierte Oberordner und Dateinamen mit Datum und Version. Eine allgemeine Struktur für beliebige Transaktionen liefert der Beitrag Was gehört in den Datenraum.

18. Einführung in fünf Schritten, ohne dass daraus ein IT-Projekt wird

Die häufigste Ursache dafür, dass ein Datenraum im Mittelstand nicht eingeführt wird, ist nicht der Preis und nicht die Technik, sondern die Vorstellung, es handle sich um ein Projekt. Die folgende Reihenfolge vermeidet das, weil sie mit dem kleinsten sinnvollen Schritt beginnt und den Nutzen sofort erzeugt.

Der entscheidende Kunstgriff besteht darin, nicht mit der Vollständigkeit anzufangen. Wer zuerst alle Dokumente sammeln will, kommt nie in den Betrieb. Wer mit dem Bankordner beginnt, hat nach einem Nachmittag ein funktionierendes Ergebnis und einen konkreten Anlass, den Raum zu nutzen.

Rechnen Sie insgesamt mit etwa zwei Arbeitstagen, verteilt über einige Wochen. Der laufende Aufwand danach liegt bei wenigen Stunden im Quartal. Wer versucht, die Einführung in einer Woche abzuschließen, verliert die Beteiligung der Kolleginnen und Kollegen, deren Unterlagen betroffen sind; wer sie über ein Jahr streckt, verliert den Anlass. Vier bis sechs Wochen sind erfahrungsgemäß das richtige Maß.

Was in dieser Aufzählung bewusst fehlt, ist eine Auswahlphase mit Anbietervergleich, Fragebögen und Testphasen. Bei einem Produkt mit Free-Tier und veröffentlichtem Listenpreis lässt sich die Eignung in einer Stunde praktisch prüfen, statt sie theoretisch zu bewerten. Erst wenn diese Prüfung scheitert, lohnt der Aufwand eines formalen Vergleichs.

19. Gesamtkosten über drei Jahre: die Rechnung, die im Mittelstand zählt

Der Monatspreis ist im Mittelstand nicht die entscheidende Größe. Entscheidend ist, was das Instrument über einen realistischen Nutzungszeitraum kostet und wieviel interne Arbeitszeit es bindet oder freisetzt. Diese zweite Größe fällt bei Softwarevergleichen regelmäßig unter den Tisch.

Eine einfache Gegenrechnung: Wenn die kaufmännische Leitung jedes Jahr zwei Arbeitstage damit verbringt, Unterlagen für Bank, Prüfer und Audit zusammenzustellen und zu versenden, und diese Zeit auf ein Drittel sinkt, ist der Gegenwert bereits erheblich. Hinzu kommen nicht bezifferbare Effekte: kein versehentlicher Versand an den falschen Empfänger, keine veralteten Fassungen im Umlauf.

Die folgende Rechnung zeigt drei typische Nutzungsprofile über drei Jahre auf Basis der veröffentlichten Papermark-Listenpreise zum Stand Juli 2026. Die Beträge sind reine Lizenzkosten ohne Umsatzsteuer und ohne die mögliche Ersparnis bei Jahresabrechnung.

Zu diesen Lizenzkosten kommt in der Praxis kein nennenswerter Implementierungsaufwand hinzu, solange das Produkt im Self-Service startet. Genau das unterscheidet die Rechnung von klassischen Softwareeinführungen, bei denen die einmaligen Kosten für Einrichtung, Migration und Schulung die Lizenzkosten des ersten Jahres häufig übersteigen.

Ein häufig übersehener Punkt betrifft die Flexibilität zwischen den Plänen. Ein Unternehmen kann drei Jahre im Business-Plan bleiben und für die neun Monate einer Nachfolge oder eines Verkaufs auf Data Rooms wechseln. Über die Gesamtlaufzeit fällt der Aufpreis kaum ins Gewicht, während ein Vertrag mit Mindestlaufzeit dieselbe Flexibilität nicht bietet.

Ein Vergleich mit Wettbewerbern ist an dieser Stelle nur eingeschränkt möglich. Mehrere etablierte Anbieter im Datenraum-Markt veröffentlichen keine Preise; für sie ist der Preis nicht veröffentlicht und wird projektbezogen kalkuliert. Eine Schätzung wäre spekulativ und würde die Rechnung wertlos machen. Wer belastbar vergleichen will, muss dort ein individuelles Angebot einholen und dabei einkalkulieren, dass der Angebotsprozess selbst Arbeitszeit kostet.

20. Praxisbeispiel: die Wenninger Kunststofftechnik GmbH führt einen Datenraum ein

Hinweis: Das folgende Beispiel ist frei erfunden. Unternehmen, Personen und Zahlen sind fiktiv und dienen ausschließlich der Veranschaulichung.

Die fiktive Wenninger Kunststofftechnik GmbH aus dem Sauerland fertigt technische Spritzgussteile, beschäftigt 74 Menschen und erwirtschaftet rund 14 Millionen Euro Umsatz. Es gibt keine IT-Abteilung; ein regionaler Dienstleister betreut die Systeme, die Buchhaltung läuft über die Steuerkanzlei. Auslöser der Einführung ist keine Transaktion, sondern eine Ankündigung: Das Finanzamt kündigt eine Außenprüfung für drei zurückliegende Jahre an und verlangt bereits mit der Prüfungsanordnung die Überlassung von Daten. Die kaufmännische Leiterin richtet daraufhin einen Datenraum bei Papermark ein, im Plan Business für 59 Euro pro Monat. Sie beginnt jedoch nicht mit der Prüfung, sondern mit dem Bankordner, weil die Prolongation ohnehin ansteht: Jahresabschlüsse, aktuelle betriebswirtschaftliche Auswertung, Planung und Sicherheitenspiegel, dazu ein lesender Zugang mit Wasserzeichen für die Hausbank. Zwei Wochen später erhält die Steuerkanzlei einen eigenen Zugang mit Schreibrecht auf den Steuerordner. Für die Prüfung legt sie einen eigenen, zeitlich befristeten Bereich an, der ausschließlich den geprüften Zeitraum und die angeforderten Unterlagen enthält, mit einem Protokoll darüber, was wann bereitgestellt wurde. Nach Abschluss der Prüfung wird der Bereich geschlossen. Ein Jahr später fragt ein Wettbewerber nach einer Beteiligung. Das Unternehmen wechselt für neun Monate auf den Plan Data Rooms, legt einen getrennten Bieterraum an und gibt ihn erst nach unterzeichneter Vertraulichkeitsvereinbarung stufenweise frei. Der Grundbestand war da bereits vollständig.

21. Häufige Fehler im Mittelstand und wie Sie sie vermeiden

Die folgenden fünf Fehler begegnen einem in mittelständischen Unternehmen regelmäßig. Sie sind alle vermeidbar, kosten aber jeweils entweder Geld, Zeit oder Verhandlungsposition.

Auf den nächsten Anlass warten. Der Datenraum wird erst dann angelegt, wenn die Prüfungsanordnung oder der erste Kaufinteressent im Haus ist. Genau dann fehlt die Zeit, Unterlagen sinnvoll zu strukturieren, und die Arbeit fällt in die schlechteste denkbare Phase. Beginnen Sie mit dem Bankordner an einem ruhigen Nachmittag; der Nutzen ist sofort da, der Aufwand später deutlich geringer.

Vollständigkeit vor Nutzung stellen. Viele Einführungen scheitern daran, dass zuerst alle Dokumente gesammelt werden sollen. Der Raum bleibt monatelang im Aufbau und wird nie produktiv. Ein zu 80 Prozent gefüllter, genutzter Datenraum ist jedem vollständigen, ungenutzten überlegen. Füllen Sie vom Wichtigen zum Vollständigen.

Nur eine Person weiß, wie es geht. Ist die kaufmännische Leitung im Urlaub, wenn die Bank Unterlagen anfordert, fällt der Prozess auf E-Mail zurück, und die Struktur zerfällt innerhalb weniger Wochen. Statten Sie von Beginn an eine zweite Person mit Administratorrechten aus und schreiben Sie eine einseitige Anleitung, die auch ohne Vorwissen verständlich ist.

Personaldaten ungeschwärzt hochladen. Einzelne Personalakten, namentliche Gehaltslisten und Krankheitsdaten gehören nicht in einen Raum, auf den Bank, Prüfer oder Interessenten Zugriff haben. Arbeiten Sie mit aggregierten Übersichten und Musterverträgen. Der Verstoß fällt selten sofort auf, ist aber weder gegenüber der Belegschaft noch gegenüber der Aufsichtsbehörde zu rechtfertigen.

Zugänge nie wieder anfassen. Zugänge, die für einen einzelnen Anlass vergeben wurden, bleiben jahrelang bestehen: der Berater von damals, die Bank, mit der man nicht mehr arbeitet, der Interessent, aus dem nichts wurde. Vergeben Sie jeden Zugang mit Ablaufdatum und sichten Sie im Quartalstermin die aktiven Berechtigungen. Das ist die wirksamste Einzelmaßnahme überhaupt und kostet zehn Minuten.

22. Glossar: die Begriffe aus Steuer-, Bank- und Datenraum-Sprache

Im Mittelstand treffen drei Fachsprachen aufeinander: die der Steuerberatung, die der Bank und die der Softwareanbieter. Die folgenden Begriffe tauchen in diesem Beitrag auf und werden regelmäßig unterschiedlich verstanden.

23. Methodik: worauf dieser Beitrag beruht und was er nicht leistet

Dieser Beitrag ist redaktionell erstellt und nicht durch Anbieter finanziert. Die Redaktion setzt kein Affiliate-Tracking ein. Die Einordnung der Anbieter folgt der allgemeinen Methodik dieses Verzeichnisses.

Rechtliche Angaben wurden gegen den Gesetzestext auf gesetze-im-internet.de in der zum Stand Juli 2026 abrufbaren Fassung geprüft. Zitiert werden die Abgabenordnung, das Einführungsgesetz zur Abgabenordnung, das Handelsgesetzbuch, das Kreditwesengesetz und das Bundesdatenschutzgesetz. Die Angaben zu den GoBD beruhen auf dem BMF-Schreiben vom 28. November 2019 in der Fassung der Änderungsschreiben vom 11. März 2024 und vom 14. Juli 2025, abgerufen beim Bundesministerium der Finanzen.

Statistische Angaben stammen aus benannten Primärquellen: der Unternehmensregisterstatistik des Statistischen Bundesamts für das Berichtsjahr 2023, den Definitionen des IfM Bonn und dem KfW-Nachfolge-Monitoring Mittelstand 2025 (Fokus Volkswirtschaft Nr. 526, Januar 2026). Wo die KfW ausdrücklich auf die Grenzen ihrer Daten hinweist, ist das im Text wiedergegeben. Zu realisierten Transaktionspreisen im deutschen Mittelstand liegt keine belastbare öffentliche Primärquelle vor; entsprechende Angaben unterbleiben deshalb.

Anbieterangaben zu Hosting, Zertifizierungen und Preisen beruhen auf öffentlich zugänglichen Informationen der Anbieter zum Stand Juli 2026. Wo ein Anbieter keine Preise veröffentlicht, steht das ausdrücklich so im Text; es werden keine Preise geschätzt. Das Praxisbeispiel ist fiktiv und beschreibt kein reales Unternehmen.

Dieser Beitrag ersetzt keine Steuer- oder Rechtsberatung. Ob eine bestimmte Plattform im Einzelfall für die Datenüberlassung an die Finanzbehörde geeignet ist, ob eine Verfahrensdokumentation ausreicht und welche Aufbewahrungsfristen für einen konkreten Beleg gelten, sollte mit dem Steuerberater abgestimmt werden.

Häufige Fragen zum Datenraum im Mittelstand