Im Datenraum liegen nicht nur Bilanzen – sondern auch Gehaltslisten, Kundenkontakte, Geschäftsführerverträge. Sobald ein Käufer das sieht, ist die DSGVO im Spiel. Ein einzelner vergessener Auftragsverarbeitungsvertrag reicht für einen eigenständigen Verstoß – unabhängig davon, ob am Ende überhaupt verkauft wird.

Warum jede Due Diligence ein DSGVO-Fall ist

Jede Weitergabe personenbezogener Daten an einen Kaufinteressenten ist eine Verarbeitung im Sinne der DSGVO – und jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Das gilt für Mitarbeiterdaten genauso wie für Kundendaten. Und es gilt unabhängig davon, ob der Deal am Ende zustande kommt.

Warum Einwilligung hier nicht funktioniert – und was stattdessen zählt

Alle Betroffenen vorab um Zustimmung bitten? Unpraktikabel, und unvereinbar mit der Vertraulichkeit der Transaktion. Deshalb stützt sich die Praxis auf Art. 6 Abs. 1 lit. f DSGVO – das berechtigte Interesse. Käufer und Verkäufer haben ein legitimes wirtschaftliches Interesse an der Prüfung, das die Interessen der Betroffenen regelmäßig überwiegt – vorausgesetzt, die Schutzmaßnahmen stimmen.

Stufenweise Offenlegung: das zentrale Schutzprinzip

Wie viel Klarnamen ein Käufer sieht, hängt vom Fortschritt der Verhandlung ab – nicht von seiner Neugier:

Die Regel: Je unsicherer der Deal, desto anonymer die Daten. Erst mit wachsendem Vertrauen und fortschreitender Exklusivität wird schrittweise mehr freigegeben.

Informationspflichten: warum die Datenschutzerklärung Jahre vorher vorbereitet gehört

Nach Art. 13 und 14 DSGVO müssen Betroffene grundsätzlich wissen, wofür ihre Daten verarbeitet werden. Einzeln und vorab jeden Mitarbeiter zu informieren, ist während einer vertraulichen Verhandlung kaum möglich. Die Lösung: eine allgemeine Formulierung zu möglichen Datenverarbeitungen im Rahmen von Unternehmenstransaktionen, die bereits Jahre vor einem geplanten Verkauf in die bestehende Datenschutzerklärung aufgenommen wird. Wer das versäumt, muss die Rechtfertigung später unter Zeitdruck nachschieben – Wer es vorbereitet, hat sie schon in der Schublade.

Der Datenraumbetreiber ist Auftragsverarbeiter – nicht nur ein Tool

Nutzen Sie einen externen virtuellen Datenraum, ist der Anbieter Auftragsverarbeiter nach Art. 28 DSGVO. Ohne Auftragsverarbeitungsvertrag (AVV) liegt automatisch ein eigenständiger Datenschutzverstoß vor – auch wenn nie etwas missbraucht wurde. Mehr zur professionellen Vorbereitung des Datenraums in unserem Beitrag Vendor Due Diligence beim Unternehmensverkauf.

Technische Sicherheit nach Art. 32 DSGVO: die Checkliste

Verschlüsselte Übertragung: Daten dürfen den Datenraum nie unverschlüsselt verlassen.

Granulare Zugriffsrechte: Auf Dokumentenebene steuern, nicht auf ganze Ordner.

Lückenloses Zugriffsprotokoll: Wer wann welches Dokument geöffnet hat, muss nachvollziehbar sein.

Widerrufbarer Zugriff: Auch nach bereits erfolgtem Download technisch entziehbar.

Wenn der Deal platzt: Löschpflicht statt offenem Ende

Scheitert die Transaktion, endet die datenschutzrechtliche Verantwortung nicht automatisch. NDA und Kaufvertrag müssen eine Löschungs- oder Rückgabepflicht mit fester Frist enthalten – inklusive Nachweis. Ohne diese Klausel bleibt offen, wie lange der gescheiterte Käufer Ihre sensibelsten Daten noch vorhält.

Nach erfolgreichem Closing: löschen oder in die Akte überführen

Kommt der Deal zustande, endet die Aufbewahrungspflicht nicht einfach. Die im Datenraum verbliebenen personenbezogenen Daten müssen entweder nach den vereinbarten Fristen gelöscht oder in die reguläre, dauerhafte Aktenführung des nun fusionierten Unternehmens überführt werden. Ein Datenraum, der nach Signing einfach offen bleibt, ist selbst ein Datenschutzrisiko.

Asset Deal: Wer darf die Kundendaten überhaupt mitnehmen?

Beim Share Deal bleibt die rechtliche Identität des Unternehmens unverändert – die ursprüngliche Verarbeitungsgrundlage gilt einfach weiter. Beim Asset Deal ist das anders: Der Übergang der Kundendaten auf den Käufer braucht eine eigene Rechtsgrundlage. Je nach Kundenbeziehung kann das berechtigte Interesse reichen – in bestimmten Fällen ist aber eine gesonderte Information oder sogar Zustimmung der Kunden nötig.

Mitarbeiterdaten beim Betriebsübergang: großzügig ist hier ein Fehler

Bei einem Betriebsübergang nach § 613a BGB gehen Personalakten im erforderlichen Umfang auf den neuen Arbeitgeber über. „Erforderlich“ ist der entscheidende Punkt: Die komplette Personalakte pauschal weiterzureichen ist keine Pflicht, sondern ein vermeidbares Risiko. Auch Bewerberdaten und Daten längst ausgeschiedener Mitarbeiter gehören auf den Prüfstand – was eigentlich hätte gelöscht sein müssen, darf erst recht nicht an einen Käufer weitergegeben werden. Mehr zu den arbeitsrechtlichen Pflichten beim Betriebsübergang in unserem Beitrag Betriebsrat und Sozialplan beim Unternehmensverkauf.

Besonders sensible Daten: wann eine Folgenabschätzung nötig wird

Enthält Ihr Unternehmen Gesundheitsdaten aus dem betrieblichen Gesundheitsmanagement oder biometrische Zugangsdaten, kann vor der Offenlegung eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig werden. Das betrifft meist größere Unternehmen mit entsprechend sensiblen Datenbeständen – sollte aber in der Vorbereitung nicht übersehen werden.

Bieterverfahren: mehr Interessenten, mehr Risiko

Bei mehreren Kaufinteressenten parallel vervielfacht sich das Risiko mit jedem Empfänger. Die Faustregel: Nur der finale Bestbieter bekommt vollständig identifizierbare Daten. Alle anderen arbeiten bis zum Schluss mit anonymisierten oder aggregierten Datensätzen.

Hinweis: Die dargestellten Grundsätze basieren auf der DSGVO in der aktuellen Fassung. Die konkrete datenschutzrechtliche Bewertung im Einzelfall sollte mit einem spezialisierten Anwalt abgestimmt werden.

So begleitet JustValued den Datenschutz im Verkaufsprozess

Wir staffeln die Datenfreigabe im Datenraum nach Verhandlungsfortschritt, koordinieren mit Ihrem Datenschutzberater und sorgen dafür, dass Löschpflichten und AVV vertraglich sauber geregelt sind.

Jetzt Erstgespräch vereinbaren

Merksatz: Wer Daten pauschal statt gestaffelt offenlegt, riskiert einen Datenschutzverstoß, lange bevor der Deal überhaupt unterschrieben ist.

Über JustValued

JustValued ist eine spezialisierte M&A-Beratung für den deutschen Mittelstand. Von der ersten Bewertung bis zum erfolgreichen Abschluss.

Quellen: Dr. Datenschutz – Unternehmenskauf: Due-Diligence-Prüfung und der Datenschutz · Rödl & Partner – Datenschutzrechtliche Herausforderungen bei M&A-Deals · Dr. Datenschutz – Datenschutz bei Betriebsübergang · § 613a BGB – gesetze-im-internet.de. Stand: September 2026, ohne Gewähr, keine Rechtsberatung im Einzelfall.