{"id":20252,"date":"2023-08-31T15:25:02","date_gmt":"2023-08-31T13:25:02","guid":{"rendered":"https:\/\/www.iitr.de\/blog\/?p=20252"},"modified":"2025-07-07T13:37:09","modified_gmt":"2025-07-07T11:37:09","slug":"due-diligence-datenschutz-checkliste-fuer-kmu","status":"publish","type":"post","link":"https:\/\/www.iitr.de\/blog\/due-diligence-datenschutz-checkliste-fuer-kmu\/20252\/","title":{"rendered":"Due Diligence Datenschutz Checkliste f\u00fcr KMU"},"content":{"rendered":"

Unter „Due Diligence“<\/strong> versteht man die Pr\u00fcfung eines Unternehmens oder eines Unternehmensteils auf rechtliche und wirtschaftliche Risiken im Vorfeld eines M&A-Deals. Datenschutz spielt in der Due Diligence-Phase eine immer bedeutsamere Rolle, insbesondere seit der Einf\u00fchrung der EU-Datenschutzgrundverordnung (DSGVO). Investoren werden das Fehlen fundamentaler DSGVO-relevanter Dokumentation als Risiko betrachten, was sich wiederum auf den Gesamtwert des Unternehmens auswirken kann.<\/p>\n

Im M&A-Prozess selbst sollten die Datenschutzanforderungen aus Compliance-Gr\u00fcnden fr\u00fchzeitig ber\u00fccksichtigt und dokumentiert werden, um Haftungsrisiken auszuschlie\u00dfen oder zumindest zu minimieren. Es wird dar\u00fcber hinaus empfohlen, dass Kunden ihre Datenschutzerkl\u00e4rungen vor der Durchf\u00fchrung von Transaktionen erweitern, um die Weitergabe personenbezogener Daten im Zusammenhang mit dem Verkauf von Verm\u00f6genswerten, Umstrukturierungen, Fusionen oder Verk\u00e4ufen zu erm\u00f6glichen (sog. „Zweckerweiterungserkl\u00e4rung“). Ebenso ist es ratsam sicherzustellen, dass die Websites und Tracking-Mechanismen mit allen geltenden Gesetzen und Vorschriften \u00fcbereinstimmen.<\/p>\n

Die folgende Checkliste ist f\u00fcr kleine und mittlere Unternehmen gedacht, die einen Verkauf in Erw\u00e4gung ziehen oder externe Investoren ansprechen wollen. Sie dient als Richtschnur daf\u00fcr, welche Unterlagen ein Unternehmen ben\u00f6tigt, um die Einhaltung der Datenschutzbestimmungen nachzuweisen.<\/p>\n

 <\/p>\n

Datenschutz-Checkliste f\u00fcr die Due-Diligence-Phase beim Verkauf eines Unternehmens<\/h2>\n

 <\/p>\n

1. Datenschutz-Compliance-Dokumentation zum Nachweis der Einhaltung der DSGVO<\/strong><\/p>\n

b. Aufzeichnungen \u00fcber Verarbeitungst\u00e4tigkeiten<\/p>\n

c. Schulungen und Sensibilisierung (durchgef\u00fchrte GDPR-Schulungen und wie oft)<\/p>\n

d. Datenschutzrichtlinien<\/p>\n

e. Website – Cookie-Banner und Tracking sind rechtskonform<\/p>\n

f. Zeigen Sie den Prozess auf, wie mit Kundenbeschwerden umgegangen wird<\/p>\n

g. Name und Registrierung des Datenschutzbeauftragten<\/p>\n

h. Prozessbeschreibung f\u00fcr die Durchf\u00fchrung von DPIAs<\/p>\n

i. Prozess bei Datenschutzverletzungen<\/p>\n

j. Berichte \u00fcber Datenschutzverletzungen<\/p>\n

k. Standards f\u00fcr die IT-Sicherheit – nachweisen k\u00f6nnen, dass technische und organisatorische Ma\u00dfnahmen vorhanden sind<\/p>\n

l. Durchgef\u00fchrte Audits (privASSIST)<\/p>\n

 <\/p>\n

\u00a02. <\/strong>Vendor Management<\/strong><\/p>\n

a. Liste der externen Dienstleister, die als Datenverarbeiter im Auftrag des Unternehmens t\u00e4tig sind<\/p>\n

b. Liste der Vertr\u00e4ge mit Partnern, die als Verantwortliche f\u00fcr die personenbezogenen Daten des Unternehmens fungieren<\/p>\n

c. Vereinbarungen oder Klauseln zur Datenverarbeitung, bei denen das Unternehmen als Datenverarbeiter auftritt und im Auftrag eines Dritten Zugang zu personenbezogenen Daten hat<\/p>\n

 <\/p>\n

3. Berichte und Statistiken, sollten nur auf Anfrage zur Verf\u00fcgung gestellt werden:<\/strong><\/p>\n

a. Fr\u00fchere Beschwerden von betroffenen Personen bei der zust\u00e4ndigen Datenschutzbeh\u00f6rde<\/p>\n

b. Bericht \u00fcber Rechtsstreitigkeiten: Eine Liste der Verfahren (Informationen und\/oder Strafen), die in den letzten 3 Jahren gegen das Unternehmen wegen Verletzung der Datenschutzgesetze eingeleitet wurden<\/p>\n

\u00a0<\/strong><\/p>\n

Wenn sich die Eigentumsverh\u00e4ltnisse des Unternehmens durch den Verkauf von Anteilen \u00e4ndern, gehen die Daten und Unterlagen automatisch auf den neuen Eigent\u00fcmer \u00fcber. Wenn die Verm\u00f6genswerte des Unternehmens (Geb\u00e4ude, Ausr\u00fcstung, geistige Eigentumsrechte, Know-how, Personal usw.) ganz oder teilweise \u00fcbertragen werden, m\u00fcssen zus\u00e4tzliche rechtliche Schritte unternommen werden, um die bestehenden Vertr\u00e4ge vollst\u00e4ndig zu \u00fcbertragen. Personenbezogene Daten werden nicht automatisch \u00fcbertragen und eine Rechtsgrundlage f\u00fcr die \u00dcbertragung personenbezogener Daten gem\u00e4\u00df Artikel 6 DSGVO ist immer erforderlich. In den meisten F\u00e4llen ist die Rechtsgrundlage f\u00fcr die \u00dcbertragung personenbezogener Daten eine vertragliche Verpflichtung, eine Einwilligung, eine gesetzliche Verpflichtung und\/oder ein berechtigtes Gesch\u00e4ftsinteresse. Beim Abstellen auf das berechtigte Gesch\u00e4ftsinteresse als Rechtsgrundlage f\u00fcr die \u00dcbermittlung ist die Interessenabw\u00e4gung nach Art. 6 Abs. 1 Satz 1 lit. f in Verbindung mit Art. 6 Abs. 4 DSGVO zu beachten.<\/p>\n

Die Konferenz der unabh\u00e4ngigen Datenschutzbeh\u00f6rden der Bundesrepublik Deutschland hat einen Katalog von Fallgruppen erstellt (https:\/\/www.datenschutzkonferenz-online.de\/media\/dskb\/20190524_dskb_asset_deal.pdf<\/a>), die sich mit den \u00dcberlegungen zur Daten\u00fcbermittlung im Rahmen eines „Asset Deals“ ohne Einwilligung befassen.<\/p>\n

\"video