Datenschutz wird bei Due Diligence zum Risiko

(openPR) Köln, 21. Oktober 2026. Bei Unternehmensumstrukturierungen und Due-Diligence-Prüfungen geraten personenbezogene Daten häufig früh in den Transaktionsprozess. MTR Legal Rechtsanwälte weist darauf hin, dass Datenschutzverstöße in solchen Situationen erhebliche Folgen für Unternehmen, Beschäftigte, Kunden und Geschäftspartner haben können.

Umstrukturierungen zählen für viele Unternehmen zum operativen Alltag, stehen aber oft unter hohem Zeitdruck. Neben wirtschaftlichen, steuerlichen und arbeitsrechtlichen Fragen darf die Verarbeitung personenbezogener Daten nicht erst am Ende geprüft werden. Bereits die Erstellung von Mitarbeiterlisten, die Weitergabe von Organigrammen oder das Einstellen von Informationen in einen Datenraum kann eine Verarbeitung im Sinne von Art. 4 Nr. 2 DSGVO darstellen. Betroffen sind regelmäßig Beschäftigte, Kunden oder Geschäftspartner, die mögliche Verstöße geltend machen oder Aufsichtsbehörden einschalten können.

DSGVO-Grundsätze gelten schon in der Vorbereitung

Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Eine Identifizierbarkeit kann auch dann vorliegen, wenn Namen entfernt wurden, eine Zuordnung aber mit naheliegenden Zusatzinformationen möglich bleibt. Deshalb können auch reduzierte Datensätze datenschutzrechtlich relevant sein. Unternehmen sollten daher nicht allein auf formale Anonymisierungsschritte vertrauen, sondern den tatsächlichen Personenbezug prüfen.

Art. 5 DSGVO verlangt insbesondere Rechtmäßigkeit, Transparenz, Zweckbindung und Datenminimierung. Für jede Verarbeitung ist eine tragfähige Rechtsgrundlage erforderlich, wobei im hier relevanten Bereich regelmäßig Art. 6 Abs. 1 Satz 1 DSGVO maßgeblich ist. Die Einwilligung nach Art. 6 Abs. 1 Satz 1 Buchst. a DSGVO ist gerade im Beschäftigungsverhältnis wegen der Anforderungen an Freiwilligkeit, Nachweisbarkeit und Widerrufbarkeit häufig schwierig. In der Praxis kommt deshalb oft Art. 6 Abs. 1 Satz 1 Buchst. f DSGVO in Betracht, sofern ein berechtigtes Interesse besteht und die Interessen oder Grundrechte der betroffenen Personen nicht überwiegen.

• Rechtmäßigkeit: Jede Datenverarbeitung benötigt eine belastbare Grundlage.
• Transparenz: Betroffene müssen nachvollziehen können, was mit ihren Daten geschieht.
• Zweckbindung: Der Zweck der Verarbeitung muss festgelegt und legitim sein.
• Datenminimierung: Es dürfen nur erforderliche Daten verarbeitet werden.

Due Diligence erfordert klare Abgrenzung

Besonders sorgfältig ist die Datenweitergabe an mögliche Erwerber zu bewerten. Dabei ist zwischen Share Deal und Asset Deal zu unterscheiden. Beim Share Deal bleibt die verantwortliche Stelle nach der Auslegung der Datenschutzkonferenz abgesehen von Prüfungshandlungen im Rahmen der Due Diligence grundsätzlich bestehen. Beim Asset Deal steht die Übermittlung an einen anderen Verantwortlichen stärker im Vordergrund, weil Vermögensgegenstände und Vertragsverhältnisse übertragen werden.

Die Datenschutzkonferenz hat auf ihrer Zwischenkonferenz am 11. September 2024 einen Beschluss zur Übermittlung personenbezogener Daten an den Erwerber eines Unternehmens im Rahmen eines Asset Deals gefasst. Dieser Beschluss ersetzt den früheren Beschluss aus dem Jahr 2019 und stellt für bestimmte Konstellationen einen Opt-out-Mechanismus in den Mittelpunkt. Damit bleibt die Prüfung des Einzelfalls entscheidend, etwa zu Art, Umfang und Zweck der Daten sowie zur Erwartbarkeit der Verarbeitung für die betroffenen Personen. Pauschale Freigaben für komplette Datenbestände sind mit den Grundsätzen der DSGVO nur schwer vereinbar.

Rechtsanwalt Michael Rainer, MTR Legal Rechtsanwälte, ordnet ein: „Für Unternehmen und Investoren kann Datenschutz in Transaktionen ein eigenständiger Risikofaktor sein, der den Zeitplan und die Bewertung eines Vorhabens beeinflusst. Wer Datenflüsse, Rechtsgrundlagen und Informationspflichten früh strukturiert, reduziert Unsicherheiten in Verhandlungen und bei der Umsetzung.“

Folgen und praktische Einordnung für Betroffene

Verstöße im Transaktionskontext können Bußgelder bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes nach sich ziehen. Daneben drohen Beschwerden bei Aufsichtsbehörden, Auskunftsbegehren und Auseinandersetzungen mit Beschäftigten oder Geschäftspartnern. Für Unternehmen kann dies nicht nur finanzielle Belastungen bedeuten, sondern auch Verzögerungen im Transaktionsprozess. Betroffene Personen wiederum haben ein berechtigtes Interesse daran, dass ihre Daten nur im erforderlichen Umfang und auf nachvollziehbarer Grundlage offengelegt werden.

In der Vorbereitung von Umstrukturierungen sollten Unternehmen daher Datenkategorien, Empfänger, Zwecke und Rechtsgrundlagen dokumentieren. Besonders sensible Informationen sollten nur weitergegeben werden, wenn dies für den jeweiligen Prüfungsschritt erforderlich ist. In Datenräumen können abgestufte Zugriffsrechte, Schwärzungen und zeitliche Beschränkungen helfen, den Grundsatz der Datenminimierung umzusetzen. Eine Betriebsvereinbarung kann in bestimmten Beschäftigungskontexten eine Grundlage sein, trägt aber nicht ohne Weiteres die Übermittlung von Arbeitnehmerdaten an potenzielle Erwerber.

MTR Legal Rechtsanwälte berät Unternehmen, Investoren und Gesellschafter zu Datenschutzfragen bei Umstrukturierungen, Transaktionen und Due-Diligence-Prüfungen. Weitere Informationen: https://www.mtrlegal.com/datenschutz-bei-umstrukturierungen-und-due-diligence/