Die Einhaltung der Datenschutz-Grundverordnung (DSGVO) ist ein zentraler Bestandteil professioneller M&A-Transaktionen. Da Käufer hohe Bußgelder fürchten, kann ein mangelhafter Datenschutz die Transaktionssicherheit beeinträchtigen oder den Unternehmenswert negativ beeinflussen. ## DSGVO im M&A-Kontext Bei einem Unternehmensverkauf werden zwangsläufig personenbezogene Daten offengelegt – von Mitarbeiterlisten bis hin zu Kundendatenbanken. Die DSGVO unterscheidet hierbei nicht zwischen dem operativen Geschäft und einer Transaktionssituation. Jeder Datentransfer muss auf einer gültigen Rechtsgrundlage basieren. ### Die Due-Diligence-Phase In der Prüfungsphase (Due Diligence) ist das Spannungsfeld zwischen der Informationspflicht des Verkäufers und dem Datengeheimnis am größten. Eine uneingeschränkte Offenlegung ist in der Regel unzulässig. **Was häufig offengelegt werden kann (unter Auflagen):** - Anonymisierte Mitarbeiterdaten (z. B. Funktionen, Gehaltsgruppen statt Namen). - Aggregierte Umsatzdaten nach Kundengruppen. - Vertragswerke, bei denen personenbezogene Details geschwärzt wurden. **Was in frühen Phasen kritisch ist:** - Vollständige Mitarbeiterlisten mit Anschriften und Geburtsdaten. - Klardaten einzelner Privatkunden ohne explizite Rechtsgrundlage. - Besondere Kategorien personenbezogener Daten (z. B. Gesundheitsdaten, Religionszugehörigkeit). ### Strategische Schutzmaßnahmen Um die Transaktionsfähigkeit zu gewährleisten, sollten folgende Maßnahmen implementiert werden: 1. **Erweitertes NDA:** Die Vertraulichkeitsvereinbarung muss spezifische Datenschutzbestimmungen enthalten, die über die reine Geschäftsgeheimhaltung hinausgehen. 2. **Strukturierter Datenraum:** Der Einsatz eines zertifizierten virtuellen Datenraums ist Standard. Hierbei ist ein datenschutzrechtlicher Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter zwingend. 3. **Black-Box-Verfahren:** Hochsensible Daten werden oft erst in der letzten Phase der Due Diligence („Clean Room“) einem sehr kleinen Personenkreis zugänglich gemacht. 4. **Schwärzung & Pseudonymisierung:** Dokumente sollten vor dem Hochladen systematisch auf personenbezogene Daten geprüft und bei Bedarf geschwärzt werden. ### Nach dem Closing Mit dem Vollzug der Transaktion (Closing) geht die Verantwortung für die Daten auf den Käufer über. Dies erfordert meist: - Die schriftliche Information der betroffenen Personen über den Verantwortungswechsel. - Eine Harmonisierung der Datenschutz-Managementsysteme. - Die Prüfung, ob bestehende Einwilligungen auch unter der neuen Eigentümerstruktur fortbestehen. Nexit Partners unterstützt dabei, die ESG- und Compliance-Anforderungen im Datenraum proaktiv vorzubereiten, um einen reibungslosen Prüfprozess zu ermöglichen. Stand: Mai 2026. Regulatorische Anforderungen können sich ändern und sollten im Einzelfall geprüft werden.