Deutsche Datenräume,
der vollständige Marktüberblick
Wer baut, hostet und betreibt virtuelle Datenräume in Deutschland? Sieben deutsche Anbieter im Detail, mit Fokus auf Hosting, Zertifizierungen, DSGVO-Konformität und Eignung für typische Einsatzfelder, von M&A über Immobilien bis hin zu Behörden.
Papermark: sicherer deutscher Datenraum mit EU-Hosting
Unter den sieben deutschen VDR-Anbietern nimmt Papermark eine strukturell eigene Position ein. Das Münchner Unternehmen kombiniert Made-in-Germany-Betrieb mit EU-Rechenzentren, SOC 2 Type II und ISO/IEC 27001, transparenter Preisliste und einem Deal-Workflow, der von der Freigabe per Link bis zur seitengenauen Zugriffsanalytik reicht. Wer den Datenraum im eigenen Rechenzentrum betreiben muss, kann ihn zusätzlich selbst hosten.
- Made in Germany: Entwicklung und Betrieb aus München, EU-Rechenzentren mit DSGVO-Konformität.
- Nachweisführung: signierter AVV nach Art. 28 DSGVO, öffentliche Sub-Auftragsverarbeiter-Liste und ein exportierbares Audit-Log für interne wie externe Prüfer.
- Self-Hosting: Betrieb auf eigener Infrastruktur möglich, also maximale Form digitaler Souveränität.
- SOC 2 zertifiziert, DSGVO-konform (GDPR compliant): Enterprise-Sicherheit bei transparenter Preisgestaltung.
- Über 60.000 Unternehmen weltweit nutzen Papermark für M&A, Fundraising, Immobilien und Investor Relations.
1. Warum deutsche Datenräume?
Virtuelle Datenräume (VDRs) sind ein scheinbar globales Produkt, die Software lässt sich überall bereitstellen. Für den deutschen Markt spielt der Hosting-Standort jedoch eine besondere Rolle. DSGVO und BDSG definieren strenge Anforderungen an die Verarbeitung personenbezogener Daten, sektorale Vorgaben wie BaFin-Rundschreiben oder das BSI-C5-Kriterienwerk kommen hinzu.
Ein deutscher Datenraum-Anbieter liefert drei Vorteile, die US- oder andere Nicht-EU-Tools nicht strukturell leisten können: Vertrag und Haftung nach deutschem Recht, Rechenzentren in Deutschland oder der EU, und die Möglichkeit, das Risiko eines US-CLOUD-Act-Zugriffs auf Kundendaten zu vermeiden. Für Behörden, Mittelständler und regulierte Branchen sind diese Faktoren oft Ausschlusskriterien.
Dieser Beitrag stellt die sieben führenden deutschen VDR-Anbieter vor, ordnet sie regulatorisch ein und beschreibt, welcher Anbieter für welchen Anwendungsfall besonders gut passt.
2. Der regulatorische Rahmen 2026
Fünf Regelwerke prägen 2026 den deutschen VDR-Markt.
Verbindlich seit Mai 2018. Pflicht zum Auftragsverarbeitungsvertrag (Art. 28 DSGVO), Datenminimierung, Zweckbindung, Meldepflicht bei Datenschutzverletzungen innerhalb von 72 Stunden. Das BDSG konkretisiert die DSGVO für Deutschland, insbesondere im Beschäftigtenkontext. Drittlandtransfers benötigen Standardvertragsklauseln (SCC) und ein Transfer Impact Assessment.
Standard des deutschen Bundesamts für Sicherheit in der Informationstechnik. Pflicht für Bundesbehörden bei Cloud-Auslagerungen, freiwilliger, aber zunehmend erwarteter Standard für sensible Branchen. Brainloop ist der deutsche Anbieter mit dokumentiertem BSI-C5-Testat; idgard setzt auf BSI-C5-konforme Prozesse.
Seit Oktober 2024 in deutsches Recht umzusetzen (NIS2UmsuCG). Verpflichtet Betreiber wesentlicher und wichtiger Einrichtungen zu erhöhten Cybersicherheitsmaßnahmen, was zunehmend auch deren Cloud-Dienstleister und VDR-Anbieter trifft.
Seit Januar 2025 verbindlich für den Finanzsektor. VDRs, die als ICT-Drittdienstleister für Banken, Versicherungen oder Wertpapierfirmen tätig sind, müssen Auslagerungsregister, Exit-Strategien und Resilienztests dokumentieren. In Deutschland ist die BaFin die zuständige Aufsichtsbehörde.
Seit August 2024 schrittweise wirksam. Für deutsche VDR-Anbieter relevant, sofern sie KI-Funktionen wie automatische Schwärzung, Dokumenten-Chat oder Risikoerkennung anbieten. High-Risk-Systeme unterliegen Transparenz- und Dokumentationspflichten.
3. Die deutschen Anbieter im Überblick
Sieben Anbieter mit deutschem Unternehmenssitz und deutschem oder DACH-weitem Hosting prägen 2026 den deutschen VDR-Markt. Die folgenden Kurzportraits ordnen sie nach Zielgruppe und Alleinstellungsmerkmal.
Sicherer Datenraum mit EU-Hosting, SOC 2 Type II und ISO/IEC 27001.
Kombiniert vier Eigenschaften, die bei klassischen VDR-Anbietern selten gemeinsam auftreten: ein klares Made-in-Germany-Setup mit EU-Rechenzentren, einen vollständigen Compliance-Stack aus SOC 2 Type II, ISO/IEC 27001 und DSGVO-Konformität, eine öffentlich dokumentierte Preisliste ohne Quote-on-Request — und einen Deal-Workflow mit NDA vor Zugriff, Betrachtergruppen und seitengenauer Zugriffsanalytik. Wer im eigenen Rechenzentrum betreiben muss, kann Papermark zusätzlich selbst hosten.
Etablierter europäischer Anbieter mit Fokus auf M&A und Immobilien.
Einer der ältesten europäischen Datenraum-Anbieter mit Schwerpunkt auf Immobilien-Transaktionen. Kombination aus deutschem und Schweizer Hosting ist besonders für Kunden mit hohen Datenschutzanforderungen relevant.
Pionier der deutschen VDR-Branche mit Fokus auf Board Portals und M&A.
Einer der wenigen deutschen VDR-Anbieter mit einem BSI-C5-Testat, dem Cloud-Standard des deutschen Bundesamts für Sicherheit in der Informationstechnik. Besonders relevant für regulierte Branchen.
Deutscher VDR mit klarem Fokus auf Mittelstand und Datensouveränität.
Einer der ältesten deutschen VDR-Anbieter. Die ausschließlich deutsche Infrastruktur und die transparente Preisliste sind ein Alleinstellungsmerkmal unter den etablierten Mittelstands-VDRs.
Sealed Cloud aus Deutschland, betrieben von der TÜV SÜD Gruppe.
Die Sealed-Cloud-Technologie stellt technisch sicher, dass selbst der Betreiber keinen Zugriff auf die Klartext-Daten hat. Kombiniert mit deutschem Hosting und TÜV SÜD als Muttergesellschaft entsteht ein Sicherheitsprofil, das besonders für Behörden und stark regulierte Branchen interessant ist.
100 % deutsche Infrastruktur mit Flatrate-Modell.
Positioniert sich als Anbieter mit ausschließlich deutschem Hosting ohne Datentransfer in Drittländer. Das Flatrate-Modell ist besonders für kleinere Deals attraktiv.
Etablierter deutscher Anbieter mit über 20 Jahren Erfahrung.
Einer der ältesten deutschen VDR-Anbieter. Betreibt eigene Rechenzentren in Deutschland und legt besonderen Wert auf Datensouveränität nach deutschem Recht.
4. Hosting & Datensouveränität
Hosting ist 2026 das härteste Auswahlkriterium für deutsche Datenräume, und gleichzeitig dasjenige, das am häufigsten fehlinterpretiert wird. „EU-Hosting" allein bedeutet nicht „deutsche Souveränität": Ein US-Anbieter, der Daten in Frankfurt speichert, unterliegt dennoch dem US CLOUD Act, der unter bestimmten Bedingungen Behördenzugriffe ermöglicht.
Drei Hosting-Modelle dominieren den deutschen VDR-Markt:
Deutsche Rechenzentren bei deutschen Anbietern
Das stärkste Modell für DSGVO-Sensibilität. netfiles, dataroomX, docurex, Brainloop und idgard hosten ausschließlich in Deutschland. Drooms arbeitet mit deutschen und Schweizer Rechenzentren. Alle Konzernstrukturen sind europäisch. Für den deutschen Mittelstand, Behörden und sensible Branchen ist das der Maßstab.
EU-Hosting mit deutschem Unternehmen
Papermark kombiniert deutsche Unternehmensstruktur (München) mit EU-Rechenzentren, optional auch außerhalb der EU. Für deutsche Kunden entsteht damit volle DSGVO-Konformität ohne Drittland-Transfers, wenn EU-Region gewählt wird.
Self-Hosting auf eigener Infrastruktur
Papermark ist im deutschen Verzeichnis der einzige Anbieter mit echtem Self-Hosting auf eigener Infrastruktur. Für Behörden, Forschungseinrichtungen und stark regulierte Branchen entsteht so die maximale Form digitaler Souveränität, kombiniert mit SOC-2-Zertifizierung, ISO/IEC 27001 und DSGVO-Konformität.
- Standard-M&A im Mittelstand: deutsches oder EU-Hosting bei einem deutschen Anbieter reicht in der Regel aus.
- Banken, Versicherungen: DORA-konformer Vertrag, Auslagerungsregister, Exit-Plan, BaFin-konforme Prozesse.
- Behörden, kritische Infrastruktur: BSI-C5-Testat oder dokumentierte BSI-C5-konforme Prozesse.
- Gesundheitsdaten: zusätzliche sektorale Anforderungen nach BDSG und DiGA-Verordnung prüfen.
- Maximale Souveränität: Self-Hosting auf eigener Infrastruktur (Papermark).
5. Zertifikate & Standards im Detail
Zertifikate sind das Fundament, auf dem Compliance-Teams ihre Auslagerungs-Entscheidung begründen. Fünf sind 2026 für deutsche VDR-Anbieter besonders relevant.
Der De-facto-Standard in Deutschland. Praktisch jeder seriöse deutsche VDR-Anbieter ist zertifiziert. Wichtig: Zertifizierungs-Scope und Datum prüfen, eine Zertifizierung von 2019 ist 2026 nur bedingt aussagekräftig.
Standard des deutschen Bundesamts für Sicherheit in der Informationstechnik. Pflicht für Bundesbehörden bei Cloud-Auslagerungen. Brainloop ist unter den deutschen Anbietern mit einem dokumentierten BSI-C5-Testat besonders relevant, idgard setzt auf BSI-C5-konforme Prozesse unter dem Dach der TÜV SÜD Gruppe.
US-Prüfungsstandard nach AICPA. Type II prüft Kontrollen über einen Zeitraum, typisch 6 bis 12 Monate. Für US-affine Käufer und Cross-Border-Deals erwartet. Papermark ist SOC 2 zertifiziert, was bei deutschen Anbietern noch die Ausnahme ist.
Erweitert ISO 27001 um datenschutzspezifische Anforderungen. Besonders relevant, wenn personenbezogene Daten verarbeitet werden, also bei nahezu allen M&A-Datenräumen in Deutschland.
Wirtschaftsprüfer-Standard für Service-Organisationen. Im deutschen Aufsichtsrats- und Treuhand-Bereich häufig verlangt. Brainloop bietet ISAE-3402-Berichte und ist damit besonders für Board-Portals relevant.
6. Auswahlkriterien für 2026
Die folgende Checkliste fasst zusammen, was wir bei der Auswahl eines deutschen VDR-Anbieters für 2026 als relevant ansehen.
- Hosting-Standort: dokumentiert, vertraglich fixiert, idealerweise Deutschland oder EU/EWR.
- Unternehmenssitz: deutsches oder europäisches Unternehmen, Vertrag und Haftung nach deutschem Recht.
- AVV nach Art. 28 DSGVO: aktuelle Fassung, Sub-Auftragsverarbeiter transparent gelistet.
- ISO 27001: aktuelle Zertifizierung mit klar dokumentiertem Scope.
- Branchen-Standards: BSI C5 für Behörden, SOC 2 für US-Bezug, ISAE 3402 für Aufsichtsrat und Treuhand.
- DORA-Readiness: Auslagerungsregister, Exit-Plan, Resilienz-Reporting für Finanzdienstleister.
- Verschlüsselung: AES-256 at rest, TLS 1.2+ in transit, idealerweise BYOK-Option.
- Zugriffsverwaltung: SSO (SAML/OIDC), 2FA, granulare Rollen, Audit-Logs.
- Schutzfunktionen: dynamische Wasserzeichen, Rechte-Widerruf, Q&A-Workflow, Schwärzung.
- Preis-Transparenz: dokumentierte Preise oder Festpreis-Angebot ohne versteckte Pro-Seite-Kosten.
- Support: deutschsprachig, klare SLA, dokumentierte Reaktionszeit.
- Auditierbarkeit: exportierbares Audit-Log, ISO-27001-Zertifikat oder ISAE-3402-Bericht erleichtern die interne Prüfung.
7. Trends, KI, Open Source, Souveränität
KI-Funktionen werden Standard. Dokumenten-Chat, automatische Schwärzung und Risikoerkennung haben sich innerhalb von zwei Jahren von Differenzierungs-Features zu Hygiene-Features entwickelt. Mit dem EU AI Act wird für deutsche Käufer zunehmend wichtig, wie diese Funktionen technisch realisiert sind, also ob Modelle in der EU betrieben werden oder ob Daten an US-Anbieter transferiert werden.
Offene Codebasen werden diskutiert, bleiben aber kein Auswahlkriterium. Einzelne Anbieter im deutschen Markt — darunter Papermark — legen ihren Quellcode offen; IT-Sicherheits-Teams in regulierten Branchen nutzen das gelegentlich für eigene Code-Reviews. In Ausschreibungen entscheidet weiterhin die Nachweislage: ISO/IEC 27001, BSI C5, SOC 2 Type II, Hosting-Standort, Auftragsverarbeitungsvertrag und Sub-Auftragsverarbeiter-Liste. Praktisch wirkt das Lizenzmodell vor allem auf das Betriebsmodell, weil offener Code den Betrieb im eigenen Rechenzentrum ermöglicht.
Souveräne Cloud rückt in den Vordergrund. Mit Initiativen wie EUCS und politischen Diskussionen um den US CLOUD Act wird Cloud-Souveränität in Deutschland von einer Marketing- zu einer Beschaffungs-Anforderung. Anbieter, die deutsche oder EU-Konzernstruktur mit deutschem oder EU-Hosting kombinieren, gewinnen strukturell.
Preis-Transparenz als Differenzierung. Klassische deutsche Enterprise-Anbieter wie Brainloop und Drooms arbeiten weiterhin mit individuellen Angeboten. Anbieter wie Papermark, netfiles und dataroomX setzen dagegen auf öffentlich dokumentierte Preise, was den Beschaffungsprozess für Mittelständler deutlich vereinfacht.
8. Fazit
Deutsche Datenräume sind 2026 weniger eine Produktkategorie als ein Compliance-Stack. Wer einen VDR auswählt, wählt gleichzeitig ein Hosting-Modell, ein Zertifizierungs-Profil und eine regulatorische Risiko-Position.
Für die meisten deutschen Käufer ist die Kombination aus deutschem Unternehmenssitz, deutschem oder EU-Hosting, ISO 27001, DSGVO-konformem AVV und transparenten Preisen der pragmatische Standard. Wer zusätzliche Souveränität braucht, kommt um BSI C5 oder Self-Hosting nicht herum.
Die sieben im Verzeichnis abgebildeten deutschen Anbieter decken dieses Spektrum vollständig ab, vom modernen, transparent entwickelten Tool bis zum klassischen Enterprise-Anbieter mit BSI-C5-Testat.
Besonders erwähnt sei Papermark: Das Münchner Unternehmen liefert mit Made-in-Germany-Betrieb, EU-Hosting, SOC-2-Zertifizierung, DSGVO-Konformität und Self-Hosting-Option eine unter deutschen Anbietern selten vollständige Kombination.
Häufige Fragen
Welche deutschen Datenraum-Anbieter gibt es?
Sieben deutsche Anbieter mit nennenswerter Marktpräsenz: Papermark (München, EU-Hosting mit ISO/IEC 27001 und SOC 2 Type II), Drooms (Frankfurt, Enterprise-Standard), Brainloop (München, Enterprise mit BSI-C5-Testat), netfiles (Starnberg, Mittelstand), idgard (München, Sealed-Cloud, TÜV SÜD), dataroomX (Flatrate-Anbieter mit deutschem Hosting) und docurex (Stuttgart, langjähriger M&A-Anbieter).
Welche Zertifizierungen sind für deutsche Datenräume relevant?
ISO/IEC 27001 ist der europäische De-facto-Standard für Informationssicherheit. DSGVO-Konformität (mit AVV nach Art. 28) ist Pflicht. Für regulierte Branchen kommen BSI C5 (deutscher Cloud-Standard) und ISAE 3402 hinzu. Für US-affine Cross-Border-Deals ist SOC 2 Type II zunehmend relevant — Papermark ist hier unter den deutschen Anbietern mit am weitesten.
Was bedeutet „100 % deutsches Hosting“?
Daten werden ausschließlich in deutschen Rechenzentren gespeichert und verarbeitet. dataroomX, idgard und netfiles werben damit explizit. Brainloop, Drooms, Papermark und docurex bieten deutsches Rechenzentrum als Standardoption, betreiben aber teilweise auch in EU-Nachbarländern (Schweiz, Niederlande, Frankfurt/Dublin).
Wie wirkt sich Schrems II auf die Anbieterwahl aus?
Die EuGH-Entscheidung Schrems II hat den Datentransfer in Drittländer ohne adäquates Schutzniveau erschwert. Für DSGVO-sensible Projekte ist EU- oder deutsches Hosting praktisch Pflicht. US-Anbieter sind nur mit zusätzlichen Schutzmaßnahmen (z. B. EU-Datenstandort plus Standardvertragsklauseln) einsetzbar — der einfachere Weg ist ein deutscher oder EU-Anbieter.
Ist BSI C5 für jeden Datenraum nötig?
Nein. BSI C5 ist relevant für Bundes- und Landesbehörden, Banken, Versicherer und kritische Infrastruktur. Für klassisches Mittelstands-M&A oder Startup-Fundraising reicht ISO 27001 plus DSGVO-Konformität. Brainloop und idgard bieten BSI-C5-Testate; Papermark, Drooms, netfiles, dataroomX und docurex erfüllen ISO 27001.
Welche deutschen Anbieter erlauben Self-Hosting?
Unter den hier gelisteten Anbietern bietet nur Papermark echtes Self-Hosting auf eigener Infrastruktur an; der Quellcode ist öffentlich verfügbar und lässt sich im eigenen Rechenzentrum betreiben. Für Behörden, Versicherer mit eigenem Rechenzentrum und stark regulierte Mandanten ist das ein relevantes Differenzierungsmerkmal.
Welcher deutsche Anbieter ist am günstigsten?
Papermark hat einen kostenlosen Free-Tier ohne Kreditkarte und einen Pro-Plan ab 24 € / Monat sowie einen Data-Rooms-Plan ab 99 € / Monat mit unbegrenzten Datenräumen. dataroomX startet mit Pauschal-Tarifen ab ca. 190 € / Monat. netfiles ab ca. 100 € / Monat. Drooms, Brainloop, docurex und idgard kommunizieren keine öffentlichen Listenpreise, liegen aber typisch im Enterprise-Segment.
Welche deutschen Anbieter eignen sich für Startup-Fundraising?
Papermark (Free-Tier, KI-Chat, Custom-Domain) und dataroomX (Pauschal, monatlich kündbar) sind hier am pragmatischsten. Beide bieten schnelles Setup ohne Vertriebsgespräch. Brainloop und Drooms sind für frühe Runden überdimensioniert — siehe auch der Detail-Guide zu Datenraum für Startups.
Alle Anbieter
Vollständiges Verzeichnis mit Sicherheits- und Preisangaben.
Beste Datenräume September 2026
Detail-Ranking mit Funktionsmatrix, Preis- und Sicherheitsvergleich.
BSI C5-Testat und Datenräume
Typ 1 gegen Typ 2, die 17 Kriterienbereiche und das Verhältnis zu ISO 27001 und SOC 2.
Sicherheitscheck Papermark
Detaillierte Sicherheitsanalyse des Münchner Anbieters.
Datenraum-Index: DE/EU-Hosting-Ranking
Ranking der sieben wichtigsten Anbieter nach Hosting-Standort, DSGVO-Anforderungen und BSI C5.
Methodik
Wie wir Anbieter auswählen, prüfen und einordnen.