DSGVO und Unternehmensveräußerung: wie man den Transfer von Nutzerdaten verwaltet

Die DSGVO (EU-Verordnung 2016/679) regelt Datentransfers im M&A streng. Fehler können einen Deal in der Due Diligence blockieren, den Käufer Sanktionen aussetzen (CNIL Frankreich, DSB Österreich, FDPIC Schweiz) oder kollektive Nutzerverfahren auslösen.

Share Deal vs. Asset Deal: DSGVO-Einfluss

Bei einem Share Deal bleibt die Gesellschaft dieselbe, es gibt technisch gesehen keinen "neuen Verantwortlichen". Einfachstes DSGVO-Szenario. Bei einem Asset Deal gibt es einen Verantwortlichenwechsel, was eine vorherige Information der Nutzer erfordern kann (Art. 14 DSGVO). Die am häufigsten herangezogene Rechtsgrundlage ist das berechtigte Interesse (Art. 6.1.f), dokumentiert über ein Legitimate Interest Assessment (LIA).

DSGVO Due Diligence: Käufer-Checkliste

• Verarbeitungsregister (Art. 30): listet Verarbeitungen, Rechtsgrundlagen, Aufbewahrungsfristen, Auftragsverarbeiter. Sein Fehlen = schwerwiegendes Warnsignal.
• DPA mit allen Auftragsverarbeitern (AWS, Stripe, Intercom, Mixpanel…): aktuell und konform nach Schrems II (Übertragungen außerhalb der EU).
• DSGVO-konforme Datenschutzrichtlinie (Recht auf Löschung, Portabilität, Widerspruch): eine nicht aktualisierte Richtlinie von 2018 besteht keine Due Diligence 2026 mehr.
• Sicherheitsvorfälle der letzten 36 Monate (Art. 33): Ein Vorfall, der der Behörde nicht innerhalb von 72 Stunden gemeldet wurde, stellt ein restliches Rechtsrisiko dar, das in Escrow zu stellen ist.