Personenbezogene Daten im M&A-Datenraum: Zweckbindung, Empfänger und Löschung

Personenbezogene Daten dürfen in einem M&A-Datenraum nur für einen klar bestimmten Prüfzweck und im erforderlichen Umfang offengelegt werden. Vor der Datenfreigabe müssen daher Datenkategorien, Rechtsgrundlage, Empfänger, Zugriffsrechte und der Umgang mit den Unterlagen nach Abschluss der Transaktion feststehen.

Ein Datenraum bündelt häufig Verträge, Personalunterlagen, Kundeninformationen, Kontaktdaten, Streitakten und technische Protokolle. Die Transaktionsbezeichnung ersetzt keine datenschutzrechtliche Prüfung. Dieser Beitrag zeigt, wie Unternehmen die Auswahl und Offenlegung der Daten strukturiert vorbereiten, ohne aus dem gesamten Unternehmensbestand eine offene Kopie für alle Beteiligten zu machen.

Ein M&A-Datenraum ist eine organisierte Offenlegung von Unterlagen an einen bestimmten Kreis von Personen. Die Verarbeitung beginnt bereits mit der Auswahl, Zusammenstellung und Strukturierung der Dokumente. Sie betrifft deshalb auch die Dateien, die am Ende gar nicht abgerufen werden. Verantwortliche sollten die Transaktionsphase, die konkrete Prüfungsfrage und den vorgesehenen Empfängerkreis vor der Freigabe dokumentieren.

Personenbezogene Daten können in nahezu allen Unternehmensunterlagen enthalten sein. Dazu gehören Namen und Kontaktdaten in Verträgen, Angaben zu Beschäftigten, Kunden- und Lieferantenbeziehungen, Zahlungsinformationen, Supportvorgänge, Zugriffsprotokolle und Streitunterlagen. Die Tatsache, dass diese Informationen im Unternehmen vorhanden sind, erlaubt ihre Weitergabe an Kaufinteressenten noch nicht.

Art. 5 Abs. 1 lit. a bis c und f DSGVO verlangen rechtmäßige, faire und transparente Verarbeitung, Zweckbindung, Datenminimierung und angemessene Sicherheit. Der Datenraum braucht daher eine eigene Freigabeentscheidung. Eine pauschale Ordnerfreigabe verschiebt die eigentliche Prüfung lediglich auf die Empfänger.

Der Zweck sollte die konkrete Transaktion und den erforderlichen Prüfbereich beschreiben. Die Prüfung eines Kaufpreises, die Bewertung von Vertragsrisiken und die Vorbereitung einer Integrationsentscheidung können unterschiedliche Daten benötigen. Für jede Verarbeitung ist zu klären, welche Information für welche Entscheidung erforderlich ist und wer diese Entscheidung trifft.

Art. 6 Abs. 1 DSGVO verlangt eine passende Rechtsgrundlage für die Verarbeitung. Je nach Konstellation kommen etwa eine rechtliche Verpflichtung, ein Vertrag, berechtigte Interessen oder eine andere gesetzliche Grundlage in Betracht. Die Transaktionsparteien sollten die Interessenabwägung und die Auswirkungen für betroffene Personen dokumentieren, wenn sie sich auf berechtigte Interessen stützen.

Auch die Informationspflichten nach Art. 13 und 14 DSGVO bleiben relevant. Betroffene Personen müssen grundsätzlich verständlich erfahren, für welche Zwecke ihre Daten verarbeitet und an welche Empfänger sie übermittelt werden. Ein Hinweis, der nur allgemein auf eine Unternehmensübertragung verweist, beschreibt den konkreten Datenfluss häufig noch nicht ausreichend.

Die Datenliste sollte zwischen Stammdaten, Vertragsdaten, Kommunikationsinhalten, Finanzinformationen, Beschäftigtendaten und technischen Protokollen unterscheiden. Für jede Kategorie ist festzuhalten, weshalb sie für die Prüfung benötigt wird. Freitext, private Kontaktdaten und vollständige E-Mail-Verläufe enthalten oft zusätzliche Informationen ohne Bezug zur Transaktion.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verlangen eine gesonderte Prüfung. Das kann etwa Gesundheitsinformationen in Personalunterlagen oder Angaben zu Gewerkschaftszugehörigkeit betreffen. Art. 10 DSGVO gilt für personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten. Solche Informationen gehören nur bei einem konkreten Prüfbedarf und mit passender Rechtsgrundlage in den freigegebenen Umfang.

Schwärzungen, gestufte Freigaben und aggregierte Angaben können den Prüfzweck unterstützen. Ein geschwärzter Datensatz muss dabei weiterhin für die konkrete Entscheidung brauchbar sein. Die Freigabe sollte festhalten, welche Teile entfernt wurden, wer die Schwärzung kontrolliert hat und unter welchen Voraussetzungen eine spätere Offenlegung möglich ist.

Die Zielgesellschaft oder der Verkäufer kann für die Zusammenstellung der Daten verantwortlich sein. Der Kaufinteressent kann für seine eigene Prüfentscheidung eine eigene Verantwortlichkeit haben. Berater können je nach Auftrag und Entscheidungsmacht als Verantwortliche, gemeinsame Verantwortliche oder Auftragsverarbeiter einzustufen sein. Der Datenraumdienstleister verarbeitet Daten möglicherweise nach Weisungen, kann für eigene Funktionen aber eine andere Rolle einnehmen.

Art. 4 Z 7 bis 9 DSGVO knüpft an Zwecke, Mittel, Weisungen und tatsächlichen Empfang an. Art. 24 verlangt geeignete Maßnahmen des Verantwortlichen. Art. 26 und Art. 28 regeln unterschiedliche Konstellationen. Eine Klausel im Kaufvertrag oder im Datenraumvertrag kann diese Rollen nicht gegen die tatsächliche Organisation der Verarbeitung festlegen.

Für die Rollenprüfung hilft die Einordnung der gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO. Die Frage, ob ein technischer Anbieter nach Weisungen arbeitet oder eigene Zwecke verfolgt, wird im Beitrag zum SaaS-Vertrag und zur Abgrenzung von Verantwortlichem und Auftragsverarbeiter vertieft. Beide Prüfungen beziehen sich auf den konkreten Datenfluss.

Ein berechtigter Nutzer sollte nur die Dokumentgruppen sehen, die für seine Aufgabe erforderlich sind. Käuferteam, Wirtschaftsprüfung, Rechtsberatung, Finanzierungspartner und technische Prüfer benötigen regelmäßig unterschiedliche Ausschnitte. Art. 25 DSGVO verlangt Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. Der Datenraum sollte diese Vorgabe in Rollen, Gruppen und Freigaben abbilden.

Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Dazu können starke Authentifizierung, Berechtigungsmanagement, Verschlüsselung, Protokollierung, Sperren für Downloads und ein geregelter Supportzugriff gehören. Solche Maßnahmen belegen die technische Organisation, ersetzen aber nicht die Entscheidung, ob die konkrete Datenkategorie überhaupt offengelegt werden darf.

Prüfen Sie auch Exportdateien, Bildschirmkopien, lokale Ablagen, Ausdrucke und Sicherungskopien. Ein Datenraum kann den Zugriff auf die Plattform protokollieren, ohne die nachgelagerte Verwendung zu kontrollieren. Freigaben sollten deshalb eine verantwortliche Person, den Zeitraum, die Dokumentgruppe und das Ende der Berechtigung enthalten.

Art. 5 Abs. 1 lit. e DSGVO verlangt eine Speicherung in einer Form, die die Identifizierung nur so lange ermöglicht, wie es für die Zwecke erforderlich ist. Bei einem erfolgreichen Abschluss können bestimmte Nachweise für die Vertrags- oder Rechtsverteidigung erforderlich bleiben. Bei einem Abbruch ist zu klären, welche Unterlagen zurückzugeben oder zu löschen sind und welche kurze Nachweisdokumentation verbleiben darf.

Art. 17 DSGVO ist mit gesetzlichen Aufbewahrungspflichten, Rechtsansprüchen und anderen Löschhindernissen zusammenzulesen. Eine pauschale Frist für sämtliche Daten im Datenraum lässt sich daraus nicht ableiten. Die Entscheidung sollte pro Kategorie den Zweck, die Rechtsgrundlage, das Ereignis für das Fristende, den Speicherort und die verantwortliche Stelle nennen.

Für einen Auftragsverarbeiter muss der Vertrag nach Art. 28 Abs. 3 lit. g DSGVO Regelungen zur Löschung oder Rückgabe nach Ende der Leistung enthalten, soweit keine gesetzliche Pflicht zur Speicherung besteht. Art. 30 unterstützt die Dokumentation der Verarbeitungsvorgänge. Downloads und Kopien bei Beratern sind separat zu erfassen, weil eine Löschung im Datenraum diese Kopien nicht automatisch beseitigt.

Greift ein Käufer, Berater, Supportteam oder Unterauftragnehmer aus einem Staat außerhalb des Europäischen Wirtschaftsraums auf die Daten zu, ist eine Prüfung nach Kapitel V DSGVO erforderlich. Das kann auch bei einem Anbieter mit europäischem Vertragssitz relevant werden, wenn Support, Administration oder Unterauftragnehmer aus einem Drittland zugreifen können.

Art. 44 bis 49 DSGVO verlangen, dass die Übermittlung und die nachfolgenden Verarbeitungen ein Schutzniveau nach den Vorgaben der Verordnung erhalten. Zu prüfen sind unter anderem Empfänger, Datenkategorien, Zugriffsmöglichkeiten, Transferinstrument, ergänzende Schutzmaßnahmen und die tatsächliche technische Zugriffskette. Der bloße Standort des Rechenzentrums beantwortet diese Fragen nicht vollständig.

Art. 48 DSGVO betrifft Entscheidungen oder Anordnungen von Behörden oder Gerichten eines Drittlands. Standardvertragsklauseln nach Art. 46 können ein Instrument sein, machen die übrige Prüfung jedoch nicht überflüssig. Die Entscheidungsmatrix sollte deshalb auch Supportkanäle, Fernwartung, Unterauftragnehmer und die Behandlung von Behördenanfragen erfassen.

Eine brauchbare Matrix verbindet Datenkategorie, konkreten Zweck, Rechtsgrundlage, betroffene Personen, Empfänger, Rolle, Zugriff, Drittlandbezug, Speicherort, Löschereignis und verantwortliche Stelle. Sie sollte außerdem zeigen, ob Daten aggregiert, geschwärzt, gestuft freigegeben oder vollständig zurückgehalten werden.

Art. 5 Abs. 2 DSGVO verlangt die Verantwortung für die Einhaltung der Grundsätze. Art. 24 verlangt geeignete Maßnahmen und deren Überprüfung. Der Nachweis muss deshalb mehr enthalten als eine unterschriebene Checkliste. Version, Prüfer, Freigabedatum, Änderungen des Käuferkreises und die technische Umsetzung sollten zusammengeführt werden.

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO kann erforderlich sein, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die Entscheidungsmatrix ersetzt diese Prüfung nicht. Sie schafft jedoch eine belastbare Grundlage dafür, das Risiko, die Schutzmaßnahmen und die Freigabeentscheidung nachvollziehbar zu beurteilen.

Wir prüfen die Transaktionsphase, die Datenkategorien, Zweck und Rechtsgrundlage, Empfänger und Rollen, Zugriffskette, Drittlandbezug sowie das Konzept für Rückgabe und Löschung. Für eine erste Einordnung helfen die Datenraumstruktur, die Freigabematrix, die vorgesehenen Nutzergruppen, die Dienstleisterverträge und die geplanten Nachweise. Kontaktieren Sie uns, wenn personenbezogene Due-Diligence-Daten vor der Datenfreigabe sicher abgegrenzt werden sollen.