Ein Datenraum enthält besonders sensible Unterlagen einer Transaktion: Mietverträge, Kaufpreisdaten, Gutachten, Gesellschaftsunterlagen, personenbezogene Daten von Mietern und Mitarbeitern. Wir beschreiben auf dieser Seite, wie der STRATON Datenraum betrieben wird, welche technischen und organisatorischen Maßnahmen dahinterstehen und wo die Grenzen dessen liegen, was wir zusagen. Die Angaben auf dieser Seite sind eine Selbstauskunft des Anbieters. Die technischen und organisatorischen Maßnahmen können Sie im Rahmen eines Kundenaudits nach Art. 28 Abs. 3 lit. h DSGVO prüfen.
Regelmäßig sind Sie Verantwortlicher im Sinne der DSGVO. Wir verarbeiten die Inhalte Ihres Datenraums ausschließlich weisungsgebunden als Auftragsverarbeiter. Wir entscheiden nicht, welche Unterlagen eingestellt werden, wer sie sieht und wie lange sie verfügbar bleiben. Wir setzen um, was Sie festlegen, und dokumentieren es. Zu jedem Datenraum wird ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen, bevor die erste Datei hochgeladen wird.
Setzen Sie den Datenraum für einen Dritten auf – etwa als Makler, Asset Manager oder Service-KVG für den Eigentümer oder das Sondervermögen –, sind Sie selbst Auftragsverarbeiter und wir werden Unterauftragsverarbeiter nach Art. 28 Abs. 4 DSGVO. Dafür stellen wir eine Vertragsfassung bereit, die Ihre Pflichten aus dem Hauptvertrag unverändert an uns weiterreicht; die Genehmigung des Verantwortlichen holen Sie ein. Handeln Sie als Insolvenzverwalter, klären wir die Verantwortlichkeit für Schuldner- und Massedaten vor Einrichtung schriftlich.
Der Datenraum ist keine zugekaufte Lizenz und keine weiterverkaufte Cloud. Es ist eine eigene Anwendung, die wir auf eigener Infrastruktur in einem Rechenzentrum in Deutschland betreiben. Es kommt keine US-Cloud-Plattform zum Einsatz, es gibt keine Muttergesellschaft und keine Gesellschafter außerhalb der EU, und es findet keine Übermittlung von Inhalten in Drittstaaten statt. Der Serverstandort allein wäre kein belastbares Argument – entscheidend ist, dass auch Support, Wartung, Sicherung und Betrieb in derselben Rechtsordnung bleiben.
Wir nennen Parameter, Verfahren und Zuständigkeiten statt Sicherheitsadjektive. Wir führen keine Prüfsiegel, keine Gütezeichen und keine Zertifikatslogos. Wo eine Aussage nicht belegbar wäre, machen wir sie nicht – auch dann nicht, wenn sie im Markt üblich ist.
Kein System ist frei von Risiko. Sicherheit in einem Datenraum entsteht aus dem Zusammenspiel von Technik, Berechtigungsdisziplin und dem Verhalten der Beteiligten. Der kritische Punkt ist dabei selten die Technik, sondern die Berechtigungsführung: zu weit gefasste Rechte, ein zu früh geöffneter Ordner, ein nach Ausscheiden eines Beraters nicht entzogener Zugang. Genau dort setzt unsere Betreuung an.
Die folgenden Maßnahmen sind Bestandteil der TOM-Dokumentation nach Art. 32 DSGVO, die dem Auftragsverarbeitungsvertrag als Anlage beiliegt. Sie ist mit Versionsstand und Datum versehen.
Der Zugriff erfolgt ausschließlich über HTTPS mit TLS 1.2 und TLS 1.3. Ältere Protokollversionen und veraltete Cipher Suites sind serverseitig deaktiviert. Die eingesetzte Konfiguration ist in der TOM-Dokumentation aufgeführt und von außen prüfbar. Ein unverschlüsselter Aufruf wird auf die verschlüsselte Verbindung umgeleitet.
Dokumente und Datenbankinhalte werden auf Speicherebene mit AES-256 verschlüsselt abgelegt; Sicherungen sind ebenfalls verschlüsselt. Die Schlüsselverwaltung liegt beim Betreiber. Wir sprechen deshalb bewusst nicht von Ende-zu-Ende-Verschlüsselung: Diese Bezeichnung wäre nur zutreffend, wenn wir selbst keinen Zugriff auf die Schlüssel hätten.
Jeder Datenraum ist logisch getrennt. Die Zugehörigkeit wird bei jeder Anfrage serverseitig geprüft, nicht in der Oberfläche. Auch die Dateiablage ist je Datenraum getrennt; Dateien werden nicht über direkt aufrufbare Pfade ausgeliefert, sondern erst nach serverseitiger Prüfung der Berechtigung.
Berechtigungen werden je Datenraum, Ordner und Dokument vergeben, getrennt nach Sehen, Herunterladen, Drucken, Hochladen und Verwalten. Grundlage ist das Need-to-know-Prinzip: Ein Nutzer sieht nur, was für seine Rolle im Prozess erforderlich ist. Bietergruppen sind gegeneinander abgeschottet; Bieter sehen weder die Namen noch die Aktivitäten anderer Bieter.
Die Zwei-Faktor-Authentisierung über zeitbasierte Einmalkennwörter (TOTP nach RFC 6238) steht für alle Konten zur Verfügung und ist für Administratorkonten verpflichtend. Für einzelne Datenräume kann sie für alle Nutzer erzwungen werden. Kennwörter werden ausschließlich als Hash gespeichert.
Sitzungen laufen nach einer einstellbaren Zeit der Inaktivität ab und werden serverseitig beendet. Aktive Sitzungen sind in der Nutzerverwaltung sichtbar und können einzeln oder für einen ganzen Zugang sofort beendet werden. Ein entzogener Zugang wirkt unmittelbar, nicht erst beim nächsten Anmeldeversuch.
Jede Anmeldung, jeder Aufruf, jeder Download, jeder Upload und jede Rechteänderung wird mit Zeitstempel, Benutzerkennung und Aktion protokolliert. Das Protokoll wird ausschließlich schreibend geführt (append-only); Einträge lassen sich über die Anwendung nicht ändern oder löschen. Export als PDF und CSV, auch je Nutzer, Ordner oder Zeitraum.
Neben den Zugriffen wird die Verfügbarkeit aufgezeichnet: welche Ordner und Dokumente in welcher Fassung ab welchem Zeitpunkt für welche Bietergruppe sichtbar waren, einschließlich nachträglicher Ergänzungen und Versionswechsel. Die Historie ist exportierbar und Bestandteil des Datenraum-Archivs.
Bei Ansicht im Browser und bei PDF-Downloads wird je Abruf ein Wasserzeichen mit Benutzerkennung, Zeitpunkt und Datenraum erzeugt. Bei Originaldateien anderer Formate – etwa Tabellen mit Mieterlisten oder Cashflow-Modellen oder Plänen im CAD-Format – ist ein Wasserzeichen technisch nicht möglich. Für diese Dateien steuern wir den Zugriff über das Downloadrecht und die PDF-Ausleitung; das Protokoll weist den Abruf personenbezogen aus.
Herunterladen und Drucken sind eigene Rechte und lassen sich je Rolle und Ordner getrennt vom Leserecht freischalten. In der Ansicht ohne Downloadrecht wird das Dokument gerendert ausgeliefert, nicht als Originaldatei. Ein Massen-Download kann gesperrt oder auf einzelne Rollen begrenzt werden.
Tägliche Sicherung von Datenbank und Dokumentenbestand, getrennt vom Produktivsystem gespeichert und verschlüsselt. Aufbewahrungsdauer und Nachlaufzeit der Sicherungen sind im Auftragsverarbeitungsvertrag festgelegt. Die Wiederherstellung wird in regelmäßigen Abständen geprüft und das Ergebnis dokumentiert.
Hochgeladene Dateien werden vor der Bereitstellung auf Schadsoftware geprüft; die Erkennungsmuster werden laufend aktualisiert. Auffällige Dateien werden nicht freigegeben, sondern in Quarantäne gestellt und dem Datenraum-Verantwortlichen gemeldet.
Nicht benötigte Dienste und Ports sind deaktiviert, administrative Zugänge nur über gesicherte Verbindungen erreichbar. Sicherheitsaktualisierungen von Betriebssystem, Laufzeitumgebung und Anwendung spielen wir regelmäßig ein, sicherheitskritische Aktualisierungen kurzfristig. Änderungen am System dokumentieren wir.
Der Datenraum läuft auf Servern, die wir selbst betreiben und administrieren, in einem Rechenzentrum in Deutschland. Betreiber und Standort des Rechenzentrums benennen wir im Auftragsverarbeitungsvertrag mit Firma und Anschrift; auf Anfrage nennen wir sie auch vorab. Es handelt sich nicht um eine gemietete Plattform eines Hyperscalers und nicht um ein weiterverkauftes Produkt eines anderen Anbieters.
Betreiber des Datenraums ist die STRATON Real Estate Advisory UG (haftungsbeschränkt) & Co. KG mit Sitz in Wörth, eingetragen beim Amtsgericht München. Es gibt keine US-Muttergesellschaft, keine US-Tochtergesellschaft und keine kontrollierenden Investoren außerhalb der EU. Zur Frage des US CLOUD Act siehe die häufigen Fragen am Ende dieser Seite.
Support, Wartung, Überwachung und Sicherung erfolgen durch uns in Deutschland. Jeder eingesetzte Dienstleister ist mit Firma, Sitz, Leistung und Verarbeitungsort in der Liste der Unterauftragsverarbeiter geführt, die Bestandteil des Auftragsverarbeitungsvertrags ist. Änderungen teilen wir vorab mit; Sie können widersprechen. In der Anwendung werden keine externen Schriftarten, keine externen Analysedienste und keine externen Auslieferungsnetze eingebunden.
Der administrative Zugriff auf die Systeme ist auf wenige namentlich benannte Personen beschränkt, erfolgt über persönliche Konten mit Zwei-Faktor-Authentisierung und wird protokolliert. Zugriffe auf Inhalte eines Datenraums erfolgen ausschließlich auf Ihre Weisung, etwa bei der Einrichtung, beim Massen-Upload oder bei einer Störungsanalyse.
Soweit Sie Berufsgeheimnisträger sind – etwa als Rechtsanwalt, Insolvenzverwalter, Wirtschaftsprüfer oder Steuerberater – verpflichten wir die eingesetzten Personen zusätzlich nach § 203 Abs. 4 StGB auf die Geheimhaltung und belehren sie über die Strafbarkeit; die Verpflichtungserklärungen legen wir vor. Weitere Auftragsverarbeiter setzen wir in diesen Fällen nur mit Ihrer gesonderten Zustimmung ein.
Zu jedem Datenraum wird ein Auftragsverarbeitungsvertrag geschlossen. Er deckt alle Punkte des Art. 28 Abs. 3 DSGVO ab; die Einzelheiten sind im folgenden Abschnitt aufgeführt. Der Abschluss ist nach Art. 28 Abs. 9 DSGVO elektronisch möglich. Ein Muster stellen wir vor Vertragsschluss zur Verfügung, damit Ihre Rechtsabteilung es vorab prüfen kann.
Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sind als Anlage zum Vertrag dokumentiert, mit Datum und Versionsstand. Wir führen ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO. Wir überprüfen die Wirksamkeit der Maßnahmen in festgelegten Abständen und dokumentieren das Ergebnis. Verantwortlich dafür ist Tobias Streckel, Managing Director.
Immobiliendatenräume enthalten regelmäßig personenbezogene Daten: Mieternamen in Mietverträgen, Mieterlisten und Rückstandsaufstellungen, Kontaktdaten und Bankverbindungen, Bürgschaften und Bonitätsauskünfte, Kautionsnachweise, Grundbuchauszüge mit Eigentümern, Rechteinhabern und Grundpfandgläubigern, Erbbaurechtsverträge, Teilungserklärung mit Eigentümerliste und Protokollen der Eigentümerversammlung, Baulastenauszüge, Unterlagen zum Objektpersonal einschließlich der Angaben nach § 613a BGB sowie geldwäscherechtliche Unterlagen zum wirtschaftlich Berechtigten. Vereinzelt treten besondere Kategorien nach Art. 9 DSGVO auf. Auf solche Dokumente weisen wir gesondert hin, bevor eine Freigabe erfolgt.
Wir arbeiten deshalb mit Schwärzung und Pseudonymisierung. In der ersten Phase eines Bieterverfahrens werden personenbezogene Angaben in der Regel unkenntlich gemacht oder durch Kennungen ersetzt; die vollständige Fassung wird erst nach Eingrenzung des Bieterkreises freigegeben. Geschwärzt wird zerstörend: Der betroffene Inhalt wird aus dem Dokument entfernt, nicht überdeckt. Die geschwärzte Fassung wird neu erzeugt, und der Suchindex wird ausschließlich aus dieser Fassung gebildet. Die ungeschwärzte Ursprungsdatei verbleibt getrennt und ohne Freigabe. Vor jeder Freigabe an eine Bietergruppe prüfen wir stichprobenweise, dass Textebene und Suchindex keine geschwärzten Inhalte mehr enthalten. Die Entscheidung über Umfang und Zeitpunkt treffen Sie; wir bereiten sie vor und weisen auf die betroffenen Dokumentklassen hin.
Die Freigabe an einen Bieter ist eine Übermittlung: Der Bieter wird für die erhaltenen Daten eigener Verantwortlicher. Rechtsgrundlage und Interessenabwägung liegen bei Ihnen; die Vertraulichkeits- und Löschverpflichtung des Bieters regeln Sie in der Vertraulichkeitsvereinbarung. Wir liefern dafür die Grundlage: eine Übersicht der freigegebenen Dokumentklassen je Phase und Bietergruppe sowie den Nachweis, was tatsächlich verfügbar war.
Bei Anfragen betroffener Personen nach Art. 15 bis 22 DSGVO unterstützen wir Sie – die Rechte erfüllen Sie als Verantwortlicher, nicht wir. Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, melden wir sie Ihnen unverzüglich nach Art. 33 Abs. 2 DSGVO; die Meldung an die Aufsichtsbehörde liegt bei Ihnen.
Nach Abschluss des Projekts entscheiden Sie über den weiteren Umgang mit dem Bestand: vollständige Löschung, Rückgabe als strukturierter Export oder Übergabe eines abgeschlossenen Datenraum-Archivs samt Index, Q&A-Verlauf, Protokollauszug sowie Freigabe- und Sichtbarkeitshistorie. Die Fristen für Löschung und den Nachlauf der Sicherungen sind im Vertrag beziffert. Gesetzliche Aufbewahrungspflichten bleiben unberührt (Art. 28 Abs. 3 lit. g DSGVO); betroffene Bestände benennen wir vor der Löschung. Auf Wunsch erhalten Sie vor der Löschung einen vollständigen Datenexport in offenen Dateiformaten.
Der Vertrag deckt alle Punkte des Art. 28 Abs. 3 DSGVO ab:
Für beaufsichtigte Unternehmen ist der Bezug eines Datenraums in der Regel eine Auslagerung oder ein Vertrag über IKT-Drittdienstleistungen. Einschlägig sind je nach Institut § 25b KWG mit MaRisk AT 9, § 32 VAG, § 36 KAGB sowie seit dem 17. Januar 2025 die Art. 28 ff., insbesondere Art. 30 DORA (Verordnung (EU) 2022/2554).
Wir bilden die dafür erforderlichen Vertragsinhalte ab: Informations-, Zugangs- und Prüfrechte für Sie, Ihre Interne Revision, Ihre Abschlussprüfer und die zuständige Aufsichtsbehörde; Regeln zur Weiterverlagerung an weitere Dienstleister; Kündigungs- und Ausstiegsrechte mit geordneter Datenrückgabe; Meldung von Vorfällen an Sie; Angaben für Ihr Auslagerungs- beziehungsweise Informationsregister mit Leistungsbeschreibung, Verarbeitungsorten und Unterauftragsverarbeitern.
Die aufsichtsrechtliche Einordnung, die Wesentlichkeitsentscheidung und die Risikoanalyse nehmen Sie vor. Wir liefern die Angaben und beantworten Ihren Dienstleisterfragebogen. Eine rechtliche oder aufsichtsrechtliche Beurteilung geben wir nicht ab.
Manche Zusagen bestehen darin, etwas zu unterlassen. Die folgenden Punkte werden im Auftragsverarbeitungsvertrag ausdrücklich vereinbart.
Wir werten die Dokumente in Ihrem Datenraum nicht zu eigenen Zwecken aus – weder inhaltlich noch statistisch. Es gibt keine Marktdatenbank, in die Mieten, Kaufpreise oder Objektdaten aus Kundenprojekten einfließen. Zugriff auf Inhalte erfolgt nur auf Ihre Weisung, etwa bei Einrichtung, Strukturierung oder Störungsanalyse, und wird protokolliert.
Ihre Dokumente werden nicht zum Training oder zur Verbesserung von Sprach- oder Analysemodellen verwendet und nicht an externe Modellanbieter übergeben. Textverarbeitende Funktionen wie Volltextsuche und Texterkennung laufen auf unserer eigenen Infrastruktur; die verarbeiteten Inhalte verlassen die Umgebung des Datenraums nicht.
In der Anwendung sind keine Analyse-, Tracking- oder Werbedienste eingebunden. Es werden keine Cookies zu Werbezwecken gesetzt und keine Nutzungsprofile gebildet. Nutzerdaten werden nicht für eigene Ansprache verwendet und nicht an Dritte weitergegeben – auch nicht für Zwecke unserer Beratungstätigkeit.
Auch Metadaten sind vertraulich: Projektbezeichnung, Objektadressen, Namen der Beteiligten, Zahl und Zusammensetzung der Bietergruppen, Zeitpunkte von Zugriffen. Diese Angaben geben wir nicht weiter und verwenden sie nicht als Referenz. Ohne Ihre ausdrückliche schriftliche Freigabe nennen wir kein Projekt und keinen Auftraggeber.
Vor Einrichtung prüfen wir, ob ein Interessenkonflikt mit einem laufenden Beratungs- oder Bewertungsmandat besteht, und legen ihn offen. Die Personen, die einen Datenraum betreuen, sind für die Dauer des Prozesses namentlich benannt. Eine Mitwirkung an einem konkurrierenden Mandat auf der Gegenseite schließen wir vertraglich aus. Auf Wunsch benennen wir für den Datenraumbetrieb Personen, die nicht im Beratungsmandat tätig sind.
Die Tabelle zeigt eine übliche Ausgangsbelegung. Sie ist kein festes Schema: Jedes Recht lässt sich je Datenraum, Ordner und Dokument abweichend vergeben. „Optional“ bedeutet, dass das Recht vorhanden ist und im Berechtigungskonzept bewusst zugeschaltet oder gesperrt wird. Wir schlagen die Belegung vor, freigegeben wird sie von Ihnen. Die letzte Zeile bezeichnet kein Recht, sondern eine Auflage für die Ausgabe an die jeweilige Rolle.
| Aktion | Administrator | Projektteam | Bieter | Nur-Lesen |
|---|---|---|---|---|
| Dokumente in der Anwendung ansehen | ja | ja | ja, nach Freigabe der Phase | ja |
| Dokumente herunterladen | ja | ja | optional | optional |
| Dokumente drucken | ja | ja | optional | optional |
| Dokumente hochladen und ersetzen | ja | ja | nein | nein |
| Ordnerstruktur ändern, Dokumente löschen | ja | optional | nein | nein |
| Nutzer einladen und Rechte vergeben | ja | optional | nein | nein |
| Fragen im Q&A stellen | ja | ja | ja | nein |
| Fragen beantworten und Antworten freigeben | ja | optional | nein | nein |
| Aktivitätsprotokoll einsehen und exportieren | ja | optional | nein | nein |
| Index-Export und Datenraum-Archiv erzeugen | ja | optional | nein | nein |
| Auflage: Ausgabe mit personalisiertem Wasserzeichen | optional | optional | ja | ja |
Nein. Es liegt weder eine Zertifizierung nach ISO/IEC 27001 noch ein Testat nach BSI C5, SOC 2 oder einer vergleichbaren Prüfung vor. Wir führen auch keine Prüfsiegel und keine Zertifikate des Rechenzentrumsbetreibers als eigene. Art. 28 Abs. 5 und Art. 32 Abs. 3 DSGVO nennen genehmigte Zertifizierungsverfahren als einen Faktor zum Nachweis, nicht als Pflicht. Wir belegen es deshalb anders, nämlich prüfbar. Sie erhalten die Unterlagen, die in der Randspalte des Abschnitts zum Hosting aufgeführt sind, und die Möglichkeit eines Kundenaudits nach Art. 28 Abs. 3 lit. h DSGVO. Diese Angaben sind eine Selbstauskunft des Anbieters. Das benennen wir offen, weil ein professioneller Prüfer den Unterschied ohnehin erkennt.
Wir verwenden den Begriff nicht. Er ist ein Branchenbegriff, kein Rechtsbegriff. Das Gesetz verlangt Unveränderbarkeit von Aufzeichnungen (§ 146 Abs. 4 AO, § 239 Abs. 3 HGB) und knüpft sie an das Zusammenspiel von System, Verfahrensdokumentation und gelebten Prozessen beim Anwender; auf die Zugriffsprotokolle eines Transaktionsdatenraums sind diese Vorschriften ohnehin nicht einschlägig. Wir sagen deshalb nicht „revisionssicher“, sondern beschreiben, was das Protokoll leistet: siehe den Abschnitt zu den Maßnahmen. Für Ihre Beweisdokumentation, welche Unterlagen zu welchem Zeitpunkt für welche Bietergruppe verfügbar waren und abgerufen wurden, empfehlen wir, den Protokollauszug und die Freigabe- und Sichtbarkeitshistorie zum Closing zu ziehen und gemeinsam mit dem Datenraum-Archiv abzulegen. Ob damit im Einzelfall eine Aufklärungspflicht erfüllt oder ein Nachweis geführt ist, richtet sich nach dem Kaufvertrag und der Rechtsprechung. Das beurteilen Sie und Ihre Berater, nicht wir.
Der US CLOUD Act verpflichtet Unternehmen, die US-Recht unterliegen, sowie deren Tochtergesellschaften zur Herausgabe von Daten, unabhängig vom Speicherort. Die Anknüpfungsmerkmale liegen bei uns nicht vor: keine US-Muttergesellschaft, keine US-Tochtergesellschaft, keine kontrollierenden Investoren außerhalb der EU, keine US-Dienstleister, keine Verarbeitung außerhalb Deutschlands. Eine Anknüpfung nach US-Recht sehen wir danach nicht. Eine rechtsverbindliche Auskunft ist das nicht; die Bewertung im Einzelfall bleibt Ihrer Rechtsabteilung vorbehalten. Die genannten Angaben können Sie prüfen und Ihrer eigenen Bewertung zugrunde legen. Behördliche Auskunftsersuchen nach deutschem oder europäischem Recht bleiben davon unberührt; in einem solchen Fall informieren wir Sie, soweit uns das rechtlich gestattet ist.
Das beantworten wir ohne Beschönigung. Da die Schlüsselverwaltung beim Betreiber liegt, besteht auf Systemebene ein administrativer Zugriff auf die Inhalte. Er ist auf wenige namentlich benannte Personen beschränkt, die zur Vertraulichkeit verpflichtet sind, und wird protokolliert. Genutzt wird er nur auf Ihre Weisung – bei Einrichtung, Massen-Upload, Strukturierung oder Störungsanalyse. Ein Verfahren, das diesen Zugriff technisch ausschließt, setzen wir nicht ein. Volltextsuche, Texterkennung und serverseitige Wasserzeichen setzen serverseitigen Zugriff auf den Klartext voraus. Wenn Ihnen ein Anbieter zusichert, technisch keinen Zugriff auf Inhalte zu haben, lassen Sie sich erläutern, wo Suchindex, Texterkennung und Wasserzeichen erzeugt werden.
Bieter werden Gruppen zugeordnet, die gegeneinander abgeschottet sind. Nicht freigegebene Ordner erscheinen nicht in der Struktur; sie werden nicht nur gesperrt angezeigt. Namen und Aktivitäten anderer Bieter sind nicht einsehbar. Im Q&A-Modul entscheiden Sie je Antwort, ob sie nur an den Fragesteller oder an alle Gruppen geht. Welche Gruppe wann welchen Ordner sehen konnte, weist die Freigabe- und Sichtbarkeitshistorie aus. Zur technischen Trennung siehe den Abschnitt zu den Maßnahmen.
Sie haben drei Möglichkeiten, und Sie entscheiden. Erstens: vollständige Löschung nach der im Vertrag festgelegten Frist, mit definierter Nachlaufzeit der Sicherungen und schriftlicher Bestätigung. Zweitens: Rückgabe als strukturierter Export in offenen Dateiformaten, mit erhaltener Ordnerstruktur und Index als Tabelle. Drittens: Übergabe eines abgeschlossenen Datenraum-Archivs. Der Bestand wird eingefroren und als in sich navigierbares Archiv übergeben, einschließlich Index, Q&A-Verlauf, Protokollauszug sowie Freigabe- und Sichtbarkeitshistorie. Das Archiv enthält je Datei eine Prüfsumme (SHA-256) und eine Signatur über den Gesamtindex; damit lassen sich Vollständigkeit und Unverändertheit des übergebenen Bestands nachträglich prüfen. Eine qualifizierte elektronische Signatur oder ein qualifizierter Zeitstempel nach eIDAS ist damit nicht verbunden. Das Archiv ersetzt die früher übliche Übergabe auf DVD oder USB-Datenträger und lässt sich ohne unsere Anwendung öffnen. Gesetzliche Aufbewahrungspflichten bleiben unberührt (Art. 28 Abs. 3 lit. g DSGVO); betroffene Bestände benennen wir vor der Löschung. In Transaktionen empfehlen wir, die Aufbewahrung des Archivs bis zum Ablauf der vertraglichen Verjährungsfristen zu regeln und die Löschung erst danach auszulösen; wer das Archiv verwahrt und wer darauf zugreifen darf, legen die Parteien im Kaufvertrag fest. Für Bestandshalter bleibt der Datenraum alternativ als Dauerdatenraum bestehen und wird laufend fortgeschrieben.
Fragen zu Sicherheit, Hosting und Datenschutz beantwortet Tobias Streckel, Managing Director. Er ist auch für die Überprüfung der Maßnahmen, für Dienstleisterfragebögen und für Auditanfragen zuständig. Sie sprechen in jedem Projekt mit denselben Personen; eine Ticketkette gibt es nicht.
STRATON Real Estate Advisory UG (haftungsbeschränkt) & Co. KG, Schmiedweg 5, 85457 Wörth. Telefon +49 (0)8123 88 300 10, E-Mail contact@realestate-advisory.de. Unterlagen wie Vertragsmuster, TOM-Dokumentation und die Liste der Unterauftragsverarbeiter stellen wir auf Anfrage vor Vertragsschluss zur Verfügung.
Schildern Sie uns Anlass, Objekt- oder Portfolioumfang und Zeitplan. Sie erhalten innerhalb eines Werktags eine Rückmeldung und ein Angebot zum Festpreis – unverbindlich.