ist es, den Leser auf verständliche Weise für das Thema Datenschutz bei der Durchführung einer Due Diligence zu sensibilisieren und ihn zu veranlassen, sich diesem oftmals ungeliebten Thema zu widmen. Dabei verfolgt dieses Buch folgenden Ansatz: Nach diesem einleitenden Kapitel („Allgemeines“) wird im zweiten Teil erläutert, welche datenschutzrechtlichen Vorgaben bei der Durchführung einer Due Diligence zu berücksichtigen sind, unabhängig von der konkreten Art der Due Diligence („Datenschutz bei Durchführung der Due Diligence“). Das dritte Kapitel hat sodann die sog. „Datenschutz-Due-Diligence“ zum Inhalt. Ziel ist es, eine Anleitung an die Hand zu geben, mithilfe derer das Zielunternehmen hinsichtlich deren Datenschutzmanagement geprüft werden kann. Auf diese Weise sollen mögliche Risiken, beispielsweise durch Bußgelder nach der Unternehmenstransaktion, minimiert werden.9
7
Ob nun Einsteiger oder bereits in Datenschutzfragen versierter Anwender – die in diesem Buch eingebundenen Vorlagen, Listen und Hinweise können und sollen für alle Leser eine Arbeitshilfe im täglichen Geschäftsverkehr darstellen, selbst wenn keine Intention besteht, sein Unternehmen zu verkaufen. Aufgrund der erheblichen wirtschaftlichen Folgen eines Verstoßes gegen datenschutzrechtliche Vorgaben, stellt die fehlende Auseinandersetzung eine Missachtung der obig zitierten „im Geschäftsverkehr erforderlichen Sorgfalt“ dar. Anders ausgedrückt sollte jeder Unternehmer eine eigene datenschutzrechtliche Due Diligence in seinem Unternehmen durchführen. Das Buch gibt hierfür die erforderlichen Grundlagen.
1 So beispielsweise in § 276 Abs. 2 BGB, wonach fahrlässig derjenige handelt, der die im Verkehr erforderliche Sorgfalt außer Acht lässt. 2 Eingeführt durch Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates, in: ABl. L 119/89 v. 4.4.2016. 3 Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. 4 Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. 5 Statt vieler Buchner, Wirtschaftsinformatik & Management 2019, 43, 43. 6 Bei Unternehmen sogar bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs. 7 Siehe dazu Rn. 251ff. 8 Siehe dazu Rn. 101ff. 9 Zu den Risiken Rn. 37ff.
II. Allgemeines zur Due Diligence
8
Wie schon zuvor dargestellt, unterliegt der Anwendungsbereich der Due Diligence keinen starren Grenzen oder Regularien.10 Nichts Anderes gilt für die Datenschutz-Due-Diligence. Inhalt und Umfang einer durchzuführenden Due-Diligence-Prüfung werden sowohl von dem Zweck, insbesondere aber auch von der Intension der beteiligten Personen beeinflusst. Der Hauptanwendungsfall liegt sicherlich im Bereich der Unternehmenstransaktion. Gerade hier zeigen sich die charakteristischen Ziele einer Due Diligence:
– Risikoermittlung;
– Dokumentation;
– Ausgestaltung der Gewährleistung;
– Kaufpreisermittlung.
9
Eine Unterscheidung bei einem Unternehmensverkauf zwischen Share- und Asset Deal11 bleibt dabei zunächst12 ohne Relevanz. In beiden Fällen steht auf der einen Seite das Zielunternehmen (der Verkäufer), welches den bestmöglichen Preis für sein Unternehmen erzielen will. Auf der anderen Seite stehen die Interessen des Käufers, unter Berücksichtigung vorhandener Risiken, den adäquaten Wert dieses Unternehmens zu ermitteln. Dabei gilt der Grundsatz, dass jeder Vertragspartner für sich selbst die Vorteilhaftigkeit eines Geschäftes vor Vertragsabschluss zu überprüfen hat.13 Hierzu muss der Kaufinteressent Entwicklungsmöglichkeiten des Zielunternehmens einschätzen und Problempunkte innerhalb dieses Unternehmens erkennen.14 Im Zweifel muss der Kaufinteressent in die Lage versetzt werden, nach Durchführung des Verkaufes das Unternehmen erforderlichenfalls allein zu führen. Gerade unter Berücksichtigung der zunehmenden Bedeutung von Homeoffice stellt die technische Ausstattung eines Unternehmens, die im Zusammenhang mit der Datenschutz-Due-Diligence überprüft wird, einen nicht zu vernachlässigenden sowie wertbildenden Faktor dar. Beide Vertragsparteien haben zudem die Intention, etwaige Gewährleistungsansprüche schon dem Grunde nach auszuschließen, mithin diese gar nicht erst entstehen zu lassen.15 Zumindest die rechtlichen Berater versuchen, auf diese Fälle vorbereitet zu sein und sollten deshalb auf eine strukturierte Beweissicherung hinwirken.
10
All diese dargestellten Ziele setzen in der Konsequenz die Durchführung einer (Datenschutz-) Due Diligence voraus. Hiermit einher geht nämlich die Analyse des Ist-Zustandes.16
1. Ablauf
11
Grundsätzlich unabhängig von Ziel und Anlass der Due Diligence gestaltet sich deren Ablauf. Gleichwohl beeinflussen diese Parameter die Schwerpunktsetzung innerhalb des Analyseverfahrens im Hinblick auf Umfang und die zeitliche Ausgestaltung. Nicht zuletzt wegen den Folgen eines Verstoßes gegen datenschutzrechtliche Vorschriften17 sollte die datenschutzrechtliche Würdigung der Due Diligence dabei einen wesentlichen Prüfungspunkt einnehmen.
12
Beachte:
Für die Frage des Umfanges einer datenschutzrechtlichen Due Diligence ist nicht die Größe des zu untersuchenden Unternehmens entscheidend. Die grundlegenden Prinzipien der DSGVO unterscheiden gerade nicht nach der Größe oder dem Umsatz des Unternehmens.
13
Die Gestaltung des Ablaufs sollte immer von derjenigen Partei gesteuert werden, die den größten Nutzen aus der Prüfung zieht. Starre Grenzen verbieten sich. Eine klare Strukturierung und Umsetzung ist essenziell. Unterteilt werden kann die Due Diligence grundsätzlich in zwei Phasen: Einerseits der Phase der Vorbereitung und andererseits der tatsächlichen Durchführung. In der Vorbereitungsphase müssen die Prüfer ausgewählt und dahingehende Verträge abgeschlossen werden. Das dann ausgewählte Team wird die Vorgehensweise abstimmen, Dokumentationen vorbereiten, um in den Prüfungsprozess einsteigen zu können. Ungeachtet des zumeist externen Prüfers, sollte ein zentraler Ansprechpartner im eigenen und dem Zielunternehmen benannt werden. Vermieden werden sollte die Delegation auf mehrere Personen oder Institutionen (z.B. den Steuerberater). Sind die Vorbereitungen abgeschlossen, müssen zwischen den Kaufvertragsparteien der Ablauf der Due Diligence abgestimmt und insbesondere Regelungen zum Schutz übermittelter Daten getroffen werden. Eines aber sollte vor jeder Prüfung berücksichtigt und akzeptiert werden: die sprichwörtlich „eierlegende Wollmilchsau“ ist die Due Diligence nicht. Weder können alle Risiken lokalisiert noch eine allumfängliche Lösung für die Parteien gefunden werden. Die Due
