Datenschutz in der Due Diligence: personenbezogene Daten und DSGVO beim Unternehmenskauf

Die Daten, die ein Verkäufer im Datenraum offenlegt, enthalten regelmäßig personenbezogene Informationen: Namen von Mitarbeitern und Kunden, Gehälter, Verträge und manchmal Gesundheits- oder andere sensible Daten. Jede Verarbeitung solcher Daten braucht nach der DSGVO eine Rechtsgrundlage. Für die Offenlegung im Rahmen einer Transaktion stützt sich die Praxis meist auf das berechtigte Interesse nach Art 6 DSGVO.

Das berechtigte Interesse verlangt eine Abwägung zwischen dem Interesse der Parteien an der Prüfung und den Interessen der betroffenen Personen. Diese Abwägung sollte dokumentiert werden, damit sie im Streitfall belegbar ist. Bei besonders sensiblen Daten reicht das berechtigte Interesse oft nicht aus; hier ist eine zusätzliche Absicherung nötig.

Wichtig ist, die Rechtsgrundlage vor der Öffnung des Datenraums zu klären. Wer Daten zuerst offenlegt und die Grundlage erst später sucht, hat die Verarbeitung bereits vorgenommen. Wie sich diese Frage in die Gesamtprüfung einordnet, zeigt der Beitrag zur Due-Diligence-Checkliste.

Auch mit einer Rechtsgrundlage gilt der Grundsatz der Datenminimierung. Offengelegt werden soll nur, was die Prüfung tatsächlich erfordert. In der Praxis bedeutet das Schwärzung und Pseudonymisierung: Namen werden entfernt, Gehälter aggregiert, einzelne Personen nicht mehr unmittelbar erkennbar gemacht. So lässt sich der wirtschaftliche Gehalt der Information prüfen, ohne die betroffenen Personen unnötig offenzulegen.

Ergänzend gilt das Need-to-know-Prinzip: Zugriff erhält nur, wer die Daten für seine Aufgabe braucht. Für besonders sensible Informationen, etwa Wettbewerbsdaten oder einzelne Gehälter, hat sich das Clean Team bewährt. Dabei sieht ein eng begrenzter, oft externer Kreis die Rohdaten und gibt nur aggregierte Ergebnisse an die Parteien weiter.

Diese Maßnahmen schützen nicht nur die betroffenen Personen, sondern auch die Parteien selbst, etwa vor kartellrechtlichen Bedenken bei einem Austausch sensibler Wettbewerbsdaten. Den Begriff der Due Diligence vertiefen wir auf unserer Schwerpunktseite zur Due Diligence.

Beim Vollzug der Transaktion stellt sich die Datenschutzfrage erneut. Im Asset Deal gehen die Daten mit dem Betrieb auf den Erwerber über; dieser Übergang ist eine eigene Verarbeitung mit eigener Rechtsgrundlage und eigenen Informationspflichten. Mitarbeiter und Kunden sind über den neuen Verantwortlichen zu informieren, sobald der Betrieb übergeht.

Im Share Deal bleiben die Daten dagegen bei der Gesellschaft, weil sich nur der Inhaber der Anteile ändert. Eine Übermittlung an einen neuen Verantwortlichen findet nicht statt; die Informationspflichten richten sich nach der konkreten Lage. Diese Unterscheidung folgt der allgemeinen Struktur, die der Beitrag zum Garantiekatalog für die vertragliche Absicherung aufgreift.

Zu beachten sind ferner bestehende Auftragsverarbeitungen. Setzt das Unternehmen Dienstleister ein, etwa für Lohnverrechnung oder Cloud, müssen die entsprechenden Verträge fortgeführt oder neu geschlossen werden. Wo IT und Cloud personenbezogene Daten verarbeiten, greift der Datenschutz mit den IT-Verträgen ineinander, wie der Beitrag zu IP und IT in der Due Diligence zeigt.

Neben der Transaktion selbst ist die Datenschutz-Reife des Zielunternehmens ein eigener Prüfungsgegenstand. Geprüft werden das Verzeichnis der Verarbeitungstätigkeiten, die technischen und organisatorischen Maßnahmen, der Umgang mit Datenpannen und die Erfüllung der Betroffenenrechte wie Auskunft und Löschung. Ein Unternehmen mit lückenhafter Compliance bringt ein latentes Risiko mit.

Solche Befunde wirken sich auf die Bewertung und auf die Garantien aus. Üblich sind Garantien zur Einhaltung der DSGVO, zum Vorliegen der Verarbeitungsverzeichnisse und zum Fehlen offener Datenschutzverfahren. Erkannte Risiken, etwa eine laufende behördliche Prüfung, lassen sich durch eine gezielte Freistellung absichern.

In der Praxis lohnt es sich, den Datenschutz früh in die Prüfung einzubeziehen, weil er die Offenlegung, das Closing und die Bewertung zugleich berührt. Eine erste Einschätzung der Gesamtrisiken liefert unser M&A-Transaktions-Risikoprofil.