Datenschutz beim Unternehmensverkauf: Welche Daten dürfen raus?

Ein Interessent möchte die Kundenliste, sämtliche Arbeitsverträge und einen Export aus dem CRM. Aus seiner Sicht sind das hilfreiche Prüfunterlagen. Aus Ihrer Sicht entsteht damit eine neue Entscheidung: Welche Informationen sind für welchen Prüfzweck erforderlich, wer darf sie sehen und auf welcher Grundlage?

Datenschutz im Verkaufsprozess lässt sich nicht mit dem Satz „Der Datenraum ist sicher“ erledigen. Ein technisch geschützter Raum kann trotzdem Inhalte enthalten, die dort nicht offengelegt werden dürfen. Die Vorbereitung muss deshalb bei den Daten beginnen, nicht bei der Software.

1. Drei Entscheidungen vor jedem Upload

Trennen Sie die wirtschaftliche Notwendigkeit einer Information von ihrer rechtlichen Zulässigkeit und ihrer technischen Bereitstellung. Die Finanzprüfung kann beispielsweise eine Gehaltsstruktur benötigen. Daraus folgt nicht automatisch, dass Namen, Privatanschriften oder Gesundheitsangaben erforderlich wären.

Die DSGVO verlangt unter anderem eine Rechtsgrundlage, einen bestimmten Zweck und die Begrenzung auf erforderliche Daten. Ein NDA schützt Vertraulichkeit, ersetzt aber keine datenschutzrechtliche Erlaubnis. Auch pseudonymisierte Daten bleiben grundsätzlich personenbezogen; die Entfernung eines Namens allein gewährleistet keine Anonymität.

Für die operative Freigabe empfehlen wir einen knappen Vermerk mit Prüfzweck, Datenkategorie, Empfängerkreis, freigegebener Fassung und verantwortlicher Person. Die juristische Einordnung erfolgt durch Datenschutzverantwortliche und spezialisierte Berater. Der Vermerk verbindet diese Bewertung mit der tatsächlichen Datei.

2. Share Deal und Asset Deal nicht vermischen

Bei einem reinen Anteilskauf bleibt die Gesellschaft grundsätzlich dieselbe datenschutzrechtlich Verantwortliche. Der Eigentümerwechsel allein bedeutet daher nicht, dass sämtliche Kundendaten einen neuen Verantwortlichen erhalten. Der Zugriff des Kaufinteressenten während der Prüfung ist dennoch gesondert zu bewerten.

Beim Asset Deal werden dagegen Vermögenswerte und gegebenenfalls Daten auf einen anderen Rechtsträger übertragen. Die Datenschutzkonferenz unterscheidet in ihrem Beschluss vom 11. September 2024 unter anderem zwischen Vertragsanbahnung, laufenden Kundenverhältnissen und bereits beendeten Beziehungen. Eine einzige Freigabe für „alle CRM-Kontakte“ bildet diese Unterschiede nicht ab.

Für die Phase vor Vertragsabschluss vertritt die DSK eine restriktive Linie zur Weitergabe personenbezogener Daten. In fortgeschrittenen Verhandlungen können Informationen besonders hervorgehobener Personen im Einzelfall über ein berechtigtes Interesse begründbar sein. Das ist kein pauschaler Freibrief für den gesamten Kundenstamm.

3. Bauen Sie den Datenraum in Freigabestufen

Ein sinnvoller Ausgangspunkt ist eine frühe Analyseebene mit zusammengefassten Kennzahlen. Zeigen Sie Kundenkonzentration, Vertragslaufzeiten und Personalstruktur zunächst so, dass die wirtschaftliche Frage beantwortet wird, ohne unnötige Personenbezüge zu eröffnen. Prüfen Sie dabei kleine Gruppen: Die einzige Vertriebsleiterin kann auch ohne Namensfeld erkennbar sein.

In einer zweiten Stufe folgen bereinigte Vertragsmuster und ausgewählte Unterlagen. Die Auswahl soll die relevante Vertragslogik abdecken: Kündigung, Preisänderung, Haftung, Laufzeit und Leistungsumfang. Wenn ein Interessent weitergehende Daten verlangt, dokumentieren Sie die bislang unbeantwortete Frage. „Vollständigkeitshalber“ ist als interner Freigabegrund zu unbestimmt.

Für besonders sensible Prüfungen kann ein eng begrenztes Prüferteam sinnvoll sein. Es erhält nur die freigegebenen Informationen und liefert gegebenenfalls verdichtete Ergebnisse an das übrige Transaktionsteam. Ein solcher Clean Room verändert den Empfängerkreis; er schafft selbst keine Rechtsgrundlage.

4. Der Anbieter ist nur ein Teil des Schutzkonzepts

Verarbeitet ein Datenraumanbieter personenbezogene Daten im Auftrag, ist die Auftragsverarbeitung nach Artikel 28 DSGVO vertraglich zu regeln. Ob diese Rolle vorliegt, muss zur konkreten Leistung passen. Die Aussage, jeder Beteiligte brauche zwingend einen AVV, wäre dagegen falsch. Für internationale Übermittlungen sind zusätzlich die einschlägigen Anforderungen zu prüfen.

Praktisch sollten Sie Zugriffe rollenbasiert vergeben, individuelle Konten verwenden und Freigaben protokollieren. Testen Sie außerdem die Schwärzung: Schwarze Rechtecke über einem PDF können Informationen verdecken, ohne die darunterliegenden Zeichen tatsächlich zu entfernen. Kontrollieren Sie exportierte Dateien, Metadaten und Suchbarkeit anhand eines Testdokuments.

Legen Sie fest, was beim Ausscheiden eines Bieters passiert. Dazu gehören entzogene Zugänge, die Behandlung bereits heruntergeladener Dateien und dokumentierte Rückgabe- beziehungsweise Löschschritte nach rechtlich abgestimmten Vorgaben. Ein deaktivierter Account allein beantwortet diese Fragen nicht.

5. Hypothetisches Beispiel: 1.200 Kundenkontakte im CRM

Ein beispielhafter Dienstleister hat 1.200 Kontaktprofile. Davon sind 300 aktuellen Vertragsbeziehungen zugeordnet, 200 laufenden Anbahnungen und 700 beendeten Beziehungen oder sonstigen Kontakten. Diese Einteilung ist zunächst eine Arbeitsannahme, keine Aussage über die rechtliche Übertragbarkeit.

Der Interessent will zunächst Kundenkonzentration und Bindung verstehen. Dafür erstellt das Finanzteam eine Umsatzverteilung mit stabilen Kennungen, Laufzeitgruppen und Kündigungsinformationen. Der vollständige Export mit persönlichen E-Mail-Adressen beantwortet in dieser Phase keine zusätzlich definierte Frage und wird deshalb nicht als Standardunterlage eingeplant.

Später verlangen die Berater Informationen zu fünf wesentlichen Vertragsbeziehungen. Nun lässt sich gezielt prüfen, welche Informationen tatsächlich erforderlich sind, ob Personenbezug vorliegt und unter welchen Bedingungen eine Offenlegung möglich ist. Die Freigabe betrifft diese Auswahl, nicht automatisch die übrigen 1.195 Profile.

Beim geplanten Asset Deal erhält anschließend jede Kontaktgruppe eine eigene Übergabeentscheidung. Archivdaten werden nicht mit aktiven Kunden vermischt. Das Ergebnis ist ein nachvollziehbarer Übergabeplan statt eines ungeprüften Datenexports.

6. Closing beendet die Datenverantwortung nicht

Planen Sie die Datenverarbeitung nach dem Vollzug gesondert: Systeme, Berechtigungen, Aufbewahrung, Ansprechpartner und gegebenenfalls erforderliche Informationen an Betroffene. Die Artikel 13 und 14 DSGVO enthalten Informationsanforderungen; deren Ausgestaltung hängt vom Vorgang ab. Ein pauschales „nach Closing alle schriftlich informieren“ ist zu grob.

Für die Abnahme sollte jede freigegebene Datenkategorie einen Zweck, einen Verantwortlichen und einen dokumentierten Empfängerkreis besitzen. Offene Rechtsfragen bleiben sichtbar gesperrt. NEXIT organisiert Inventar, bereinigte Unterlagen und Freigabefolge; Datenschutzbeauftragte und Rechtsberater verantworten die fachliche Beurteilung.

Bei den drei sensibelsten Beständen anfangen

Beschreiben Sie zunächst Personal-, CRM- und Vertragsdaten, ohne die Rohdaten bereits weiterzugeben. Halten Sie je Bestand fest, welche Käuferfrage beantwortet werden soll. Daraus lassen sich mit den Datenschutzverantwortlichen passende Freigabefassungen und Empfängerkreise entwickeln.