DSGVO- und Datenschutz-Due-Diligence für SaaS- und KI-Targets

Datenschutz und Privacy Diligence haben bei Unternehmenstransaktionen einen strukturellen Wandel durchlaufen. Früher als nebensächlicher IT-Checklistenpunkt in standardisierten rechtlichen Anlagen abgetan, entscheidet die Datenschutz-Compliance heute unmittelbar über die Durchführbarkeit von Transaktionen, die Unternehmensbewertung und die operative Integration nach dem Closing. Bei Zielunternehmen aus den Bereichen Software-as-a-Service (SaaS) und künstliche Intelligenz stellen personenbezogene Daten keinen bloßen Verwaltungsaufwand dar; sie sind häufig tief in Kernproduktarchitekturen, proprietäre Algorithmen, Telemetrieströme und Go-to-Market-Pipelines eingebettet.

Regulatorische Risiken über globale Datenschutzrahmen hinweg haben die Anforderungen an Dealmaker massiv erhöht. Branchenumfragen zeigen, dass 55 % der M&A-Praktiker bereits stockende oder gescheiterte Deal-Verhandlungen aufgrund ungelöster Datenschutz- und DSGVO-Bedenken erlebt haben.[1] Das Aufdecken systemischer Non-Compliance nach Vollzug der Transaktion kann zu gravierender Wertvernichtung führen, da Sanierungsprogramme nach der Übernahme, behördliche Bußgelder und verpflichtendes Machine Unlearning regelmäßig Verbindlichkeiten in Millionenhöhe nach sich ziehen.

Die Bewertung moderner Software-Targets erfordert eine sorgfältige Prüfung der Schnittstellen zwischen personenbezogenen Daten und algorithmischer Verarbeitung. Wenn Zielunternehmen Kundendaten erfassen, um Machine-Learning-Modelle zu optimieren oder generative Workflows zu trainieren, reichen standardmäßige vertragliche Zusicherungen nicht aus, um latente technische und rechtliche Risiken zu erfassen. Transaktionsteams müssen über reine Selbstauskünfte hinausgehen, um Datenherkunft, Einwilligungshistorie und regulatorische Konformität über die gesamte operative Präsenz des Zielunternehmens hinweg zu überprüfen.

Kontamination von Kern-Assets: Die Einspeisung nicht-einwilligungskonformer personenbezogener Daten in produktive KI-Modelle kann behördliche Anordnungen zur Modelllöschung oder zum erneuten Training nach sich ziehen.

Risiken bei grenzüberschreitender Durchsetzung: Fragmentierte globale Regulierungen sanktionieren unzulässige grenzüberschreitende Datenübermittlungen und ungeprüfte Weiterleitungen an Unterauftragsverarbeiter.

Kundenabwanderung und kommerzielle Haftung: B2B-Enterprise-Softwareverträge enthalten zunehmend strenge Datenschutz-Freistellungsklauseln, die Erwerber direkten Haftungsansprüchen bei Datenschutzverletzungen aussetzen.

Integrationshindernisse: Inkompatible Datenschutzarchitekturen und undokumentierte Data Lakes erhöhen die technische Schuld nach dem Closing und verzögern geplante operative Synergien.

Investitionsausschüsse, Corporate-Development-Verantwortliche und Private-Equity-Deal-Teams benötigen heute institutionelle Frameworks, um Datenschutzschulden vor der Unterzeichnung verbindlicher Transaktionsverträge fundiert zu quantifizieren.

Für Zielunternehmen, die europäische Nutzer bedienen oder im Europäischen Wirtschaftsraum tätig sind, bildet der Nachweis einer überprüfbaren Rechtsgrundlage nach Artikel 6 und Artikel 9 der Datenschutz-Grundverordnung (DSGVO) das Fundament der technischen Due Diligence. Deal-Teams müssen untersuchen, ob sich das Target auf ausdrückliche Einwilligung, Vertragserfüllung oder berechtigtes Interesse gestützt hat, um Nutzerdaten zu erheben und zu verarbeiten – insbesondere wenn diese Informationen automatisierte Produktfunktionen oder Sales-Intelligence-Systeme speisen.

Trainingsdatensätze und Zweckbindung

Ein zentrales Risiko bei SaaS- und KI-Targets ist die schleichende Aufweichung der Zweckbindung. Unternehmen erfassen Kundentelemetrie- oder Endnutzerdaten häufig auf Basis der Vertragserfüllung und leiten diese Datensätze anschließend ohne zusätzliche Einwilligung oder valide Interessenabwägungen in Machine-Learning-Pipelines weiter. In seiner Stellungnahme 28/2024 zu KI-Modellen betonte der Europäische Datenschutzausschuss, wie die unrechtmäßige Verarbeitung personenbezogener Daten während der Modellentwicklung die Rechtmäßigkeit des späteren Modelleinsatzes und der kommerziellen Nutzung beeinträchtigen kann.[2]

Diligence-Teams müssen die Datenschutz-Folgenabschätzungen (DSFA) des Targets prüfen, um sicherzustellen, dass hochriskante Verarbeitungsvorgänge vor ihrem Rollout formellen Risikobewertungen unterzogen wurden. Zudem muss die Struktur des Datenschutzbeauftragten (DSB) auf Unabhängigkeit, operative Durchgriffskraft und das Fehlen von Interessenkonflikten in der Führungsebene hin überprüft werden.

Moderne Transaktionsteams beschleunigen dieses Audit durch automatisierte Datenraum-Ingestion, um Hunderte von Datenschutzrichtlinien, historische DSFA-Einreichungen und Auftragsverarbeitungsverträge (AVV) simultan zu analysieren und Unstimmigkeiten in Altverträgen binnen Minuten aufzudecken.

Die Ungültigkeitserklärung früherer Transferabkommen durch das Schrems-II-Urteil des Europäischen Gerichtshofs (EuGH) begründete strenge Anforderungen für die Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums. Bei SaaS-Targets sind internationale Datentransfers allgegenwärtig und erfolgen häufig über Cloud-Hosting-Provider, Kundensupport-Ticketsysteme sowie integrierte Analytics-Unterauftragsverarbeiter in Drittländern.

Transfer Impact Assessments und zusätzliche Schutzmaßnahmen

Erwerber müssen sicherstellen, dass das Zielunternehmen robuste Transfer Impact Assessments (TIAs) für jeden Datenfluss in Nicht-EWR-Länder durchgeführt hat. Gemäß den Leitlinien des Europäischen Datenschutzausschusses (EDSA) müssen Datenexporteure die Überwachungsgesetze von Drittstaaten bewerten und ergänzende technische sowie organisatorische Maßnahmen implementieren – wie etwa kundenverwaltete Verschlüsselungsschlüssel –, falls lokale Rechtsordnungen kein gleichwertiges Schutzniveau bieten.[3]

Deal-Teams müssen die Standardvertragsklauseln (SCCs) und Auftragsverarbeitungsverträge (AVVs) mit Kunden des Zielunternehmens systematisch prüfen. Altverträge, die auf veralteten SCC-Modulen von 2010 basieren oder keine aktualisierten Anhänge mit konkreten Sicherheitsmaßnahmen enthalten, stellen unmittelbare Sanierungskosten dar. Die operative Ausrichtung des Zielunternehmens an aktuellen Angemessenheitsmechanismen wie dem EU-US Data Privacy Framework muss direkt anhand offizieller Zertifizierungen und tatsächlicher betrieblicher Datenpraktiken verifiziert werden.

Erfassung aller Dateneingangs- und Datenausgangspunkte außerhalb des EWR über Produktionsserver, Entwicklungsumgebungen und Drittanbieter-SaaS-Dienstleister hinweg.

Überprüfung, ob das Zielunternehmen die modernen Standardvertragsklauseln der Europäischen Kommission von 2021 mit allen Drittverarbeitern in Drittstaaten ohne Angemessenheitsbeschluss abgeschlossen hat.

Bestätigung, dass für alle geschäftskritischen Datenflüsse mit Ursprung im EWR vollständige Transfer-Folgenabschätzungen (Transfer Impact Assessments) vorliegen.

Prüfung technischer Zusatzmaßnahmen, um sicherzustellen, dass eine Verschlüsselung während der Übertragung und im Ruhezustand den unbefugten Zugriff ausländischer Behörden verhindert.

Die Evaluierung dieser komplexen grenzüberschreitenden Datenströme stellt sicher, dass der Erwerber nach dem Closing nicht von behördlichen Datenübermittlungsstopps oder Kündigungen von Unternehmenskundenverträgen überrascht wird.

Bei Zielunternehmen, die Systeme künstlicher Intelligenz im europäischen Markt entwickeln oder einsetzen, muss die Due Diligence den EU AI Act (Verordnung (EU) 2024/1689) einbeziehen. Der AI Act führt ein abgestuftes, risikobasiertes Compliance-Framework ein, das sich direkt mit Datenschutzgrundsätzen überschneidet und verbindliche Vorgaben für Modell-Governance, Datensatzhygiene, Cybersicherheit und algorithmische Rechenschaftspflicht festlegt.

Klassifizierung und Meilensteine für Hochrisikosysteme

Deal-Teams müssen die Softwarefunktionen des Zielunternehmens in verbotene Systeme, Hochrisikosysteme, Systeme mit Transparenzrisiko und Systeme mit minimalem Risiko einteilen. Hochrisiko-KI-Systeme, darunter Werkzeuge für das Bewerber-Screening, den Zugang zu grundlegenden Dienstleistungen, biometrische Bewertungen und kritische Infrastrukturen, unterliegen strengen Pflichten, die ab dem 2.[4] August 2027 gelten. Diese Verpflichtungen erfordern dokumentierte Risikomanagementsysteme, qualitativ hochwertige Trainingsdatensätze zur Vermeidung diskriminierender Ergebnisse, automatische Protokollierung und nachgewiesene menschliche Aufsichtsmaßnahmen.

Der Einsatz einer KI-Analyse-Engine ermöglicht es Deal-Teams, Software-Architekturdiagramme, Modelldokumentationen und technische Whitepaper des Zielunternehmens mit regulatorischen Einstufungskriterien abzugleichen. Bei allen regulatorischen, kartellrechtlichen, compliance-bezogenen, lizenzrechtlichen oder sanktionsrelevanten Feststellungen erfordern die KI-generierten Ergebnisse eine Bestätigung und Prüfung durch qualifizierte regulatorische oder juristische Berater und dürfen nicht als Rechts- oder Regulierungsberatung herangezogen werden.

Das Datenschutzniveau eines Softwareunternehmens ist nur so sicher wie das zugrunde liegende Anbieter-Ökosystem. Im Bestreben, generative KI-Funktionen rasch einzubinden, integrieren viele Entwicklerteams kommerzielle APIs für große Sprachmodelle (LLMs), Vektordatenbanken und autonome Agenten ohne formale Beschaffungsprüfungen. Dies führt zu Schatten-KI, bei der proprietäre Kundendaten oder sensible Nutzerdatensätze unter standardmäßigen Geschäftsbedingungen an externe Modellanbieter übertragen werden, die eine Datenspeicherung oder das Modelltraining gestatten.

Lieferkettenprüfung und Vertragsbedingungen

Die Due Diligence muss von oberflächlichen Sicherheitsfragebögen zu rigorosen technischen und vertraglichen Prüfungen von Drittanbietern von KI übergehen. Deal-Teams müssen verifizieren, ob die API-Integrationen des Zielunternehmens Enterprise-Tiers mit Zero-Retention-Garantie nutzen, die ein Modelltraining auf übermittelte Payloads ausdrücklich untersagen. Darüber hinaus müssen automatisierte Auftragsverarbeitungsverträge überprüft werden, um sicherzustellen, dass Unterauftragsverarbeiter dieselben Datenschutzstandards einhalten wie das Zielunternehmen selbst.

M&A-Experten nutzen Risk Radar, um auffällige Anbieterverträge zu identifizieren, fehlende Auftragsverarbeitungsvereinbarungen aufzudecken und risikoreiche Unterauftragsverarbeiter über Tausende von Beschaffungsdokumenten hinweg für eine gezielte Expertenprüfung zu kennzeichnen.

Während europäische Datenschutzrahmenwerke weiterhin ein primärer Diligence-Maßstab bleiben, bringt das fragmentierte Datenschutzumfeld auf US-Bundesstaatenebene ausgeprägte operative und kommerzielle Risiken für SaaS-Unternehmen mit sich. Erwerber müssen Zielunternehmen im Hinblick auf den California Consumer Privacy Act in der durch den CPRA geänderten Fassung, den Texas Data Privacy and Security Act und den Colorado Privacy Act sowie weitere entstehende Gesetze auf Bundesstaatenebene bewerten.

Universelle Opt-Outs und Profiling-Beschränkungen

US-Bundesstaatsgesetze gewähren Verbrauchern spezifische Rechte zum Opt-Out aus dem Verkauf personenbezogener Daten, zielgerichteter verhaltensbasierter Werbung und automatisiertem Profiling, das rechtliche oder ähnlich erhebliche Auswirkungen entfaltet. Gemäß dem Texas Data Privacy and Security Act müssen Unternehmen, die in Texas geschäftlich tätig sind oder Einwohner von Texas bedienen, gut sichtbare Datenschutzhinweise bereitstellen, Verbraucheranfragen innerhalb von 45 Tagen beantworten und formelle Datenschutz-Folgenabschätzungen für risikoreiches Profiling und zielgerichtete Werbung durchführen.[5]

In ähnlicher Weise erzwingt der Colorado Privacy Act strenge Verantwortlichenpflichten, die regulierte Softwareanbieter dazu verpflichten, universelle Opt-Out-Mechanismen anzuerkennen und vor der Verarbeitung sensibler personenbezogener Daten eine ausdrückliche Einwilligung einzuholen.[6] Bei B2B-SaaS-Plattformen, die automatisiertes Scoring, Lead-Anreicherung oder Verhaltensanalysen anbieten, setzt das Unterlassen technischer Opt-Out-Mechanismen Zielunternehmen zivilrechtlichen Durchsetzungsmaßnahmen von Bundesstaats-Generalstaatsanwälten aus.

Compliance bei universellen Opt-Out-Mechanismen: Überprüfen, ob öffentliche Websites und Benutzeroberflächen automatisierte Browser-Datenschutzsignale (z. B. Global Privacy Control) respektieren.

Definition von Datenverkäufen: Datenweitergabe-Partnerschaften mit Analyseanbietern und Werbenetzwerken prüfen, um festzustellen, ob eine Gegenleistung einen gesetzlichen Verkauf oder eine Weitergabe darstellt.

Infrastruktur für Verbraucheranfragen: Operative Workflows zur Überprüfung und Erfüllung von Auskunfts-, Berichtigungs- und Löschanfragen innerhalb der gesetzlichen 45-Tage-Frist bewerten.

Bewertungen zu zielgerichteter Werbung und Profiling: Dokumentierte staatlich vorgeschriebene Risikobewertungen für automatisierte Entscheidungsfindung und Scoring-Algorithmen prüfen.

Deal-Teams nutzen den Collaboration Hub, um länderübergreifende Compliance-Ergebnisse zusammenzuführen und Rechtsexperten, technische Prüfer sowie kommerzielle Underwriting-Teams über einheitliche Risikoregister aufeinander abzustimmen.

Das letztendliche Ziel der Datenschutz-Diligence besteht darin, technische und regulatorische Erkenntnisse in konkrete Transaktionsmechanismen zu überführen. Identifizierte Datenschutzschwachstellen müssen in Kaufpreisanpassungen, spezifische Freistellungsklauseln, Treuhand-Rückbehalte (Escrow Holdbacks) oder Nachbesserungsauflagen vor dem Vollzug (Pre-Closing Conditions) einfließen. Wenn das Kernprodukt eines Zielunternehmens auf einer nicht konformen Datenerfassung beruht, ist die Abhilfe nicht rein administrativer Natur; sie kann eine strukturelle Neugestaltung der Codebasis und das erneute Einholen von Einwilligungen der Kundenbasis erfordern.

Umsatzbindung und langfristige Unternehmensbewertung

Bei der Prüfung von SaaS- und KI-Zielunternehmen analysieren Deal-Teams zunehmend die Bruttoumsatzbindung (Gross Revenue Retention, GRR) neben der Nettoumsatzbindung (Net Revenue Retention, NRR). Während Expansionsumsätze die zugrunde liegende Kundenabwanderung bei wachstumsstarken Softwareunternehmen vorübergehend verschleiern können, isoliert die GRR-Bewertung die Kundendauerhaftigkeit. Wenn Datenschutz-Non-Compliance oder übergriffiges KI-Tracking zu Widerständen bei Unternehmenskunden führt, beeinträchtigen Vertragsumfang-Reduzierungen oder Lizenzkürzungen direkt die Stabilität des Basisumsatzes.

Mithilfe des Report Builders können Deal-Teams umfassende, investorenreife Diligence-Memos und strukturierte Risikoregister erstellen, die jede regulatorische Erkenntnis direkt mit der Datenraum-Quelldokumentation verknüpfen transaktionsbereiter Bericht. Durch die Kombination von automatisiertem Datenraum-Scanning mit rigorosen menschlichen Beratungs-Workflows Findings & Risk Intelligence schützen Investmentexperten den Portfoliowert und etablieren gleichzeitig ein ausgereiftes Datenschutz-Framework für die Wertschöpfung nach dem Closing.

Da sich Datenschutz- und KI-Vorschriften weltweit kontinuierlich weiterentwickeln, müssen Deal-Teams automatisierte Diligence-Analysen als leistungsstarke Erkennungsbeschleuniger und nicht als Ersatz für spezialisiertes fachliches Urteilsvermögen betrachten. Sämtliche regulatorischen, lizenzrechtlichen, compliance-bezogenen und rechtlichen Ergebnisse, die bei Prüfungen des Datenraums generiert werden, erfordern eine unabhängige Bestätigung und Prüfung durch qualifizierte Rechts- und Regulierungsberater, bevor verbindliche M&A-Vereinbarungen geschlossen werden.

Plausity ist eine KI-native Due-Diligence-Plattform, die M&A-Beratungen, VC- und PE-Fonds sowie Corporate-Development-Teams dabei unterstützt, Nachweise, Findings und Fragen entlang eines Datenraums zu strukturieren. Plausity ersetzt keine menschlichen Berater, garantiert keine Deal-Ergebnisse und liefert keine Rechts-, Steuer-, Prüfungs- oder Regulierungsberatung — insbesondere regulatorische Findings müssen durch qualifizierte Fachberater bestätigt werden.

Weitere Details zu den Kernbausteinen finden Sie beim Plausity AI Analysis Engine und in der Findings & Risk Intelligence-Übersicht. Für team-spezifische Workflows sehen Sie, wie VC- und PE-Fonds und M&A-Beratungen Plausity in laufenden Deals einsetzen.

1. [1] dpocentre.com — https://www.dpocentre.com/blog/data-protection-checklist-for-mergers-and-acquisitions/
2. [2] europeanpapers.eu — https://www.europeanpapers.eu/europeanforum/protecting-personal-data-in-context-of-ai-models
3. [3] edpb.europa.eu — https://www.edpb.europa.eu/system/files/documents/2021-06/edpb_recommendations_202001vo.2.0_supplementarymeasurestransferstools_en.pdf
4. [4] digital-strategy.ec.europa.eu — https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
5. [5] texasattorneygeneral.gov — https://www.texasattorneygeneral.gov/consumer-protection/file-consumer-complaint/consumer-privacy-rights/texas-data-privacy-and-security-act
6. [6] coag.gov — https://coag.gov/resources/colorado-privacy-act/