Regulatorische Due Diligence bei M&A: Checkliste für Markt und Produkt

Regulatorische Compliance hat sich von einem formalen rechtlichen Prüfpunkt zu einem zentralen Bestimmungsfaktor für Transaktionswert und Durchführbarkeit von Deals gewandelt. Bei modernen Fusionen und Übernahmen führen grenzüberschreitende operative Strukturen, strenge Verbraucherschutz- und Datenschutzregeln sowie eine intensivierte Durchsetzung in Industriezweigen dazu, dass unentdeckte regulatorische Mängel den Betrieb nach dem Zusammenschluss stoppen, Umsätze schmälern oder erhebliche Rechtsnachfolgerhaftungen auslösen können. Strategische Käufer, Private-Equity-Fonds und M&A-Beratungsteams bewerten die Compliance-Aufstellung, um Cashflows abzusichern, den Ruf der Marke zu schützen und die operative Kontinuität nach dem Closing zu gewährleisten.

Eine fundierte regulatorische Prüfung umfasst komplexe Unternehmensunterlagen über mehrere Jurisdiktionen hinweg. Bei grenzüberschreitenden Transaktionen prüfen Deal-Teams regelmäßig umfangreiche Dokumentenbestände, darunter Unternehmensberichte, Betriebslizenzen, Umweltzertifikate und Ausfuhrgenehmigungen. Der systematische Abgleich dieser Dokumente mit den Zielmärkten ermöglicht es Investitionskomitees und Corporate-Development-Leitern, latente regulatorische Risiken aufzudecken, bevor verbindliche Verträge unterzeichnet werden.

Der Wandel von Checklisten-Compliance zum zentralen Werttreiber

Die regulatorische Due Diligence wirkt sich direkt auf Finanzmodelle und Kaufpreisverhandlungen aus. Wenn Erwerber Zielunternehmen in Sektoren wie Gesundheitswesen, Fintech, Energie oder hochentwickelter Fertigung analysieren, entscheidet der Compliance-Status darüber, ob historische Erträge unter der neuen Eigentümerstruktur reproduzierbar sind. Hat ein Zielunternehmen Marktanteile dadurch gewonnen, dass lokale Lizenzauflagen umgangen, Produktzertifizierungen versäumt oder Kundendatenströme falsch klassifiziert wurden, stellt die Beseitigung dieser Mängel nach dem Closing einen direkten Bewertungsabschlag dar.

Neubewertung von Erlösströmen, die auf Bestandsschutzregelungen, temporären regulatorischen Ausnahmegenehmigungen oder ausstehenden Lizenzverlängerungen beruhen.

Quantifizierung des unmittelbaren Investitionsbedarfs (CapEx) nach Vollzug, um Standorte, IT-Infrastruktur oder Produktionslinien in gesetzliche Konformität zu bringen.

Allokation von Transaktionsrisiken über spezifische Freistellungen (Specific Indemnities), Sonder-Treuhandeinbehalte (Escrow Holdbacks) oder erweiterte W&I-Versicherungsdeckungen (Warranty & Indemnity).

Die Strukturierung eines reproduzierbaren Prüfungsprozesses stellt sicher, dass Deal-Teams branchenspezifische Regulierungen bei der Auswertung von Standardunterlagen nicht übersehen. Die Nutzung einer institutionellen Due-Diligence-Checkliste ermöglicht es Teams, länderübergreifende Befunde in nachprüfbaren Risikoregistern zu organisieren und so die Lücke zwischen übergeordneten kommerziellen Hypothesen und detaillierter juristischer Prüfung zu schließen.

Die Überprüfung, ob die kommerziellen Produkte eines Zielunternehmens die verbindlichen regulatorischen Standards in allen bedienten Märkten erfüllen, ist essenziell für die Absicherung der Erlöse nach der Übernahme. Wenn ein Target schnell international expandiert, führen lokale Vertriebsteams Produkte mitunter vor der formalen Genehmigungserteilung ein, was den Käufer dem Risiko von Verkaufsstopps, behördlich angeordneten Rückrufen oder Produkthaftungsansprüchen aussetzt. Erwerber müssen verifizieren, dass sämtliche technischen Dokumentationen, Registrierungen und Sicherheitskennzeichnungen aktiv, voll übertragbar und durch auditerprobte Prüfdaten belegt sind.

In regulierten Branchen wird die Aufsicht von spezialisierten nationalen und supranationalen Behörden ausgeübt. Hersteller von Medizinprodukten und Arzneimitteln benötigen Zulassungen der U.S. Food and Drug Administration (FDA) oder Conformité-Européenne-Kennzeichnungen (CE), die gemäß der europäischen Medizinprodukte-Verordnung sowie den Rahmenwerken der European Medicines Agency (EMA) auditiert wurden. Im Finanzdienstleistungssektor müssen Unternehmen, die Zahlungsabwicklung, Kreditvergabe oder Anlageprodukte anbieten, über Genehmigungen von Aufsichtsbehörden wie der britischen Financial Conduct Authority (FCA), der Prudential Regulation Authority (PRA) oder der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) verfügen.

Bewertung der Erlösauswirkungen von Verkaufsbeschränkungen nach Vollzug

Ein entscheidender Schritt bei der Bewertung der Produkt-Compliance besteht darin, den Anteil des Umsatzes der letzten zwölf Monate (TTM) zu ermitteln, der an Produkte mit regulatorischen Abhängigkeiten gebunden ist. Steht die Hauptzertifizierung eines Produkts zur Erneuerung an oder treten kurz nach dem Closing neue Standards in Kraft, muss der Käufer die operativen und finanziellen Investitionen beziffern, die zur Aufrechterhaltung des Marktzugangs erforderlich sind. Diligence-Teams sollten Ablaufdaten technischer Zertifizierungen mit den Erlösprognosen abgleichen, um Störungen nach dem Closing abzuwenden.

Die kartellrechtliche Aufsicht und Fusionskontrollverfahren wurden in zentralen globalen Märkten spürbar verschärft. Wettbewerbsbehörden prüfen sowohl horizontale Marktüberschneidungen als auch vertikale Integrationen intensiv und nehmen Transaktionen ins Visier, die den Wettbewerb schwächen, marktbeherrschende Stellungen festigen oder den Zugang zu kritischen Lieferketten einschränken könnten. Erwerber müssen prüfen, ob eine geplante Transaktion verbindliche Anmeldeschwellen für Fusionskontrollverfahren in den Vereinigten Staaten, der Europäischen Union, dem Vereinigten Königreich oder weiteren relevanten Jurisdiktionen auslöst.

Regulatorische Eingriffe treten zunehmend häufiger auf, wobei Behörden Transaktionen im Technologie-, Gesundheits- und Industriesektor genauestens analysieren. In den Vereinigten Staaten leiteten die FTC und die Antitrust Division des Justizministeriums (DOJ) im Geschäftsjahr 2023 gemeinsam 28 Durchsetzungsmaßnahmen in der Fusionskontrolle ein.[1][2] Die Kommission allein brachte 16 fusionskontrollrechtliche Verfahren in den Bereichen Technologie, Konsumgüter und Dienstleistungen, Pharmazeutika, Gesundheitswesen, Transport, Landwirtschaft, Fertigung und Energie auf den Weg. Das Verständnis dieser behördlichen Durchsetzungsdynamik ist entscheidend für die Gestaltung von Kaufverträgen, die Verhandlung von Vollzugsbedingungen und die Planung von Integrationsfahrplänen.

Überschneidende Marktanteile und Zusammenschlussanmeldungen

Um kartellrechtliche Risiken einzuschätzen, berechnen Transaktionsteams die kombinierten Marktanteile in den relevanten sachlichen und räumlichen Märkten. In den Vereinigten Staaten verpflichten die Fusionskontrollvorschriften nach dem Hart-Scott-Rodino (HSR) Act zur Anmeldung, sobald die Schwellenwerte für Transaktionsgröße und Unternehmensgröße erreicht sind, vorbehaltlich gesetzlicher jährlicher Anpassungen. In der Europäischen Union prüft die Europäische Kommission Transaktionen, die die aggregierten Umsatzschwellen nach der EU-Fusionskontrollverordnung (FKVO) überschreiten. Deal-Teams müssen feststellen, ob überlappende Produktlinien Marktanteile schaffen, die eine eingehende Phase-II-Untersuchung auslösen.

Relevante kartellrechtliche Märkte über geografische Tätigkeitsgrenzen und spezifische Produktanwendungen hinweg definieren.

Konzentrationskennzahlen vor und nach der Fusion berechnen, wie etwa den Herfindahl-Hirschman-Index (HHI), um Vermutungen über wettbewerbswidrige Auswirkungen zu bewerten.

Interne strategische Dokumente, Marktstudien und reguläre Präsentationen prüfen, die Wettbewerb, Preissetzungsmacht und Wettbewerberpositionierung behandeln.

Transaktionszeitpläne modellieren, um Wartefristen in mehreren Rechtsordnungen, Second Requests und gesetzliche Prüffristen zu berücksichtigen.

Vorbereitung auf strukturelle Entflechtungen und verhaltensbezogene Auflagen

Treten wettbewerbswidrige Überschneidungen auf, müssen Deal-Teams regulatorische Abhilfemaßnahmen aushandeln, um die Freigabe zu sichern. Regulierungsbehörden bevorzugen deutlich strukturelle Maßnahmen, wie etwa die Veräußerung eigenständiger Betriebseinheiten oder separater IP-Portfolios, gegenüber komplexen Verhaltenszusagen. Transaktionsverträge müssen regulatorische Risiken durch Hell-or-High-Water-Klauseln, Obergrenzen für erforderliche Veräußerungen und Reverse Termination Fees klar zuweisen, falls regulatorische Genehmigungen ausbleiben.

Nationale Sicherheitsprüfungen und internationale Handelssanktionen stellen entscheidende Hürden bei grenzüberschreitenden M&A-Transaktionen dar. Regierungen weltweit haben Prüfmechanismen für ausländische Direktinvestitionen (FDI) ausgeweitet, um kritische Technologien, Infrastruktur und sensible personenbezogene Daten zu schützen. In den Vereinigten Staaten prüft das Committee on Foreign Investment in the United States (CFIUS) ausländische Übernahmen von US-Unternehmen. In Europa greifen nationale FDI-Prüfregime neben dem EU-Rahmen für die FDI-Überprüfung, um eingehende Investitionen in sensiblen Sektoren zu kontrollieren.

Die Durchsetzung nationaler Sicherheitsauflagen hat sich spürbar verschärft. Nach Angaben des U.S. Department of the Treasury bearbeitete CFIUS im Jahr 2023 insgesamt 342 Anmeldungen und Erklärungen zu erfassten Transaktionen oder Immobiliengeschäften und gab 66 Prozent der einzelnen Transaktionen, die keine Abhilfemaßnahmen erforderten, innerhalb der anfänglichen 30-tägigen Bewertungs- oder 45-tägigen Prüffrist frei.[3] Bemerkenswerterweise verhängte der Ausschuss vier zivilrechtliche Geldstrafen wegen Verstößen gegen wesentliche Bestimmungen von Minderungsvereinbarungen – doppelt so viele wie in seiner gesamten fast 50-jährigen Geschichte zuvor.[3]

Umgang mit Exportkontrollen und FDI-Prüfungen

Deal-Teams müssen systematisch prüfen, ob ein Zielunternehmen Güter entwickelt, herstellt oder exportiert, die internationalen Handelsbeschränkungen unterliegen. In den USA unterliegen Güter den Export Administration Regulations (EAR) des Department of Commerce oder den International Traffic in Arms Regulations (ITAR) des Department of State. Erwerbende Einheiten mit ausländischen Limited Partners (LPs) oder ausländischen Muttergesellschaften müssen vor dem Closing klären, ob Zieltechnologien Meldepflichten im Rahmen von FDI-Prüfungen oder Exportgenehmigungen auslösen.

Zieltechnologien anhand der Commerce Control List (CCL) und der U.S. Munitions List (USML) oder lokaler Dual-Use-Kontrolllisten einstufen.

Kundenverzeichnisse, Vertriebsnetzwerke und Endverbleibserklärungen im Hinblick auf risikoreiche Umladungs-Hubs auditieren.

Bestehende Regierungsverträge, Sicherheitsüberprüfungen von Betriebsstätten sowie Strukturen zur Minderung von Foreign Ownership, Control, or Influence (FOCI) bewerten.

Screening von Lieferketten auf sanktionierte Parteien und Beschränkungen

Globale Wirtschaftssanktionen, die vom US-amerikanischen Office of Foreign Assets Control (OFAC), der Europäischen Union und dem britischen Office of Financial Sanctions Implementation (OFSI) verwaltet werden, begründen eine strikte verschuldensunabhängige Haftung bei Nichteinhaltung. M&A-Käufer müssen Gesellschafter, Vorstandsmitglieder, wichtige Lieferanten und institutionelle Kunden der Zielgesellschaft anhand von Sanktionslisten wie den Designated National and Blocked Persons Lists abgleichen. Die Identifizierung verdeckter wirtschaftlicher Eigentümer oder indirekter Lieferantenverbindungen in sanktionierte Rechtsordnungen ist unerlässlich, um empfindliche Geldstrafen und Handelsembargos zu vermeiden.

Die operative Kontinuität hängt von der Gültigkeit und Übertragbarkeit standortspezifischer Betriebsgenehmigungen, Umweltzulassungen sowie Arbeitsschutzbewilligungen ab. Standorte, die Luftemissionen verursachen, Abwasser einleiten, Gefahrstoffe lagern oder spezialisierte Fertigungsanlagen betreiben, benötigen behördliche Betriebsgenehmigungen von Bundes-, Landes- und Kommunalbehörden. Bei Kontrollwechsel-Transaktionen müssen Deal-Teams überprüfen, ob Genehmigungen automatisch übergehen, einer vorherigen behördlichen Zustimmung bedürfen oder eine Neubeantragung durch die übernehmende Einheit erfordern.

Umwelthaftungen stellen ein erhebliches finanzielles Risiko dar, da Umweltgesetze häufig eine verschuldensunabhängige, rückwirkende sowie gesamtschuldnerische Haftung vorsehen, die aktuelle Eigentümer und Betreiber einer Anlage unabhängig davon erfasst, ob die Kontamination bereits vor der Übernahme stattgefunden hat.[4] Gemäß dem U.S. Comprehensive Environmental Response, Compensation, and Liability Act (CERCLA) können Käufer historische Sanierungskosten für Grundstücke erben, es sei denn, sie weisen gesetzliche Einwendungen wie den Status als gutgläubiger potenzieller Erwerber (bona fide prospective purchaser) nach, was die Durchführung aller angemessenen Nachforschungen (all appropriate inquiries, AAI) vor dem Erwerb der Immobilie voraussetzt.[5] In der Praxis bedeutet AAI die Einholung eines aktuellen Phase I Environmental Site Assessment (ESA), das dem geltenden ASTM-Standard entspricht.[6]

Minimierung von Betriebsunterbrechungen beim Kontrollwechsel

Mehrere US-Bundesstaaten verlangen vor dem Closing Umweltprüfungen und behördliche Einreichungen, wenn bestimmte Industrieimmobilien den Besitzer wechseln, was die Zeitpläne von Transaktionen beeinflussen kann. Connecticut und New Jersey gelten hierbei als Standardbeispiele: Das Property Transfer Law von Connecticut verlangte die Offenlegung von Umweltzuständen bei der Übertragung definierter „Establishments“, wobei sich die zertifizierende Partei verpflichtete, das Grundstück zu untersuchen und jegliche Freisetzung zu sanieren – überprüft durch einen lizenzierten Umweltfachmann (Licensed Environmental Professional, LEP) unter Aufsicht des Connecticut Department of Energy and Environmental Protection, wenngleich dieses Programm für Übertragungen ab dem 1.[7] März 2026 ausläuft.[8] Der New Jersey Industrial Site Recovery Act (ISRA) schreibt ein eigenes Regime vor der Übertragung vor und verpflichtet Eigentümer von Anlagen mit bestimmten industriellen Klassifizierungen, vor einem Verkauf oder einer Betriebsschließung Untersuchungen und Sanierungen durchzuführen. Wenn eine Betriebsgenehmigung beim Closing nicht nahtlos übertragen werden kann, riskiert der Käufer unfreiwillige Stilllegungen. Deal-Teams müssen daher Transitional Service Agreements (TSAs), Vereinbarungen zum Interimsbetrieb und Umwelttreuhand-Einbehalte (Escrow Holdbacks) strukturieren, um Compliance-Verpflichtungen bis zur vollständigen behördlichen Übertragung zu steuern.

Mit der zunehmenden Digitalisierung von Unternehmensprozessen ist die Due Diligence in den Bereichen Datenschutz und Cybersicherheit zu einem zentralen Element der Bewertung geschäftlicher Risiken geworden. Unternehmen, die personenbezogene Daten, Gesundheitsdaten oder Finanzinformationen verarbeiten, unterliegen in verschiedenen internationalen Rechtsordnungen strengen gesetzlichen Rahmenbedingungen. Ein historischer Sicherheitsvorfall oder ein systemisches Datenschutzdefizit kann unmittelbar nach einer Übernahme zu verheerenden behördlichen Durchsetzungsmaßnahmen, Sammelklagen und Kundenabwanderung führen.

Behördliche Strafen für Datenschutzverstöße können den Unternehmenswert des Targets erheblich beeinträchtigen. Gemäß Artikel 83 Abs.[9] 5 der EU-Datenschutz-Grundverordnung (DSGVO) können schwerwiegende Verstöße gegen grundlegende Verarbeitungsgrundsätze, Betroffenenrechte oder grenzüberschreitende Datenübermittlungen zu Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres führen, je nachdem, welcher Betrag höher ist. Die Due Diligence muss prüfen, ob das Zielunternehmen über rechtmäßige Rechtsgrundlagen für die Verarbeitung, gültige Einwilligungsnachweise und konforme Auftragsverarbeitungsverträge (AVVs/DPAs) mit Dienstleistern verfügt.

Prüfung von Data Governance und grenzüberschreitenden Datentransfers

Die Bewertung der internationalen Dateninfrastruktur eines Targets erfordert die Untersuchung der rechtlichen Mechanismen, die den grenzüberschreitenden Informationsfluss regeln. Deal-Teams müssen überprüfen, ob Datenübermittlungen aus dem Europäischen Wirtschaftsraum (EWR) oder dem Vereinigten Königreich in Drittländer auf genehmigten Standardvertragsklauseln (SCCs), dem EU-U.S. Data Privacy Framework oder verbindlichen internen Datenschutzvorschriften (Binding Corporate Rules) beruhen. Das Versäumnis, konforme Übermittlungsmechanismen zu implementieren, kann das Zielunternehmen unmittelbaren Datenverarbeitungsverboten aussetzen.

Prüfung der Verzeichnisse von Verarbeitungstätigkeiten (VVT) gemäß DSGVO-Artikel 30 zur Bestätigung einer lückenlosen Datenerfassung über alle Geschäftsbereiche hinweg.

Verifizierung der Einhaltung regionaler Datenschutzgesetze, einschließlich des California Consumer Privacy Act (CCPA/CPRA) und umfassender Datenschutzgesetze anderer US-Bundesstaaten.

Überprüfung von Consent-Management-Plattformen (CMPs), um sicherzustellen, dass Nutzertracking, Cookies und automatisiertes Marketing den geltenden Opt-in- und Opt-out-Vorgaben entsprechen.

Bewertung der Sicherheitsgrenzen für Gesundheitsdaten (HIPAA) und Zahlungsdaten (PCI-DSS), sofern spezialisierte personenbezogene Informationen verarbeitet werden.

Bewertung des Cybersicherheitsstatus und historischer Sicherheitsvorfälle

Käufer müssen historische Vorfallprotokolle, Bedrohungsanalysen und externe Penetrationstest-Berichte des Zielunternehmens prüfen. Nicht offengelegte Sicherheitsvorfälle oder ungelöste Schwachstellen in kundenorientierter Software können unter Meldepflichten wie den SEC Cybersecurity Disclosure Rules oder der EU-NIS2-Richtlinie unmittelbar nach dem Vollzug zu Haftungsrisiken führen. Erwerber sollten überprüfbare Nachweise für Multi-Faktor-Authentifizierung (MFA), rollenbasierte Zugriffskontrollen, Incident-Response-Konzepte sowie einen aktiven Cyber-Haftpflichtversicherungsschutz verlangen.

Moderne M&A-Transaktionen erzeugen immense Dokumentenmengen, von Tausenden von kommerziellen Verträgen und behördlichen Eingaben bis hin zu historischen Prüfberichten. Die manuelle Durchsicht virtueller Datenräume zur Identifizierung von regulatorischen Verstößen, auslaufenden Betriebsgenehmigungen oder restriktiven Change-of-Control-Klauseln führt zu Engpässen und erhöht das Risiko menschlicher Fehler. Deal-Teams setzen zunehmend auf KI-native Diligence-Plattformen, um die Erfassung zu rationalisieren, Datenrauminhalte zu strukturieren und die Identifizierung von Compliance-Risiken über komplexe Portfolios hinweg zu beschleunigen.

Mithilfe automatisierter Arbeitsabläufe erfassen Deal-Teams Datenräume unterschiedlicher Formate innerhalb von Minuten über Data Room Ingestion und strukturieren disparate Genehmigungen, Zertifizierungen und Korrespondenzen in einheitlichen analytischen Repositorien. Die AI-Analysis Engine liest, vergleicht und analysiert Tausende von Dokumenten und deckt nicht offengelegte Lizenzlücken, regulatorische Berichtsmängel und Unregelmäßigkeiten in der Lieferkette auf. Risk Radar bewertet identifizierte Probleme nach Wesentlichkeit, finanzieller Auswirkung und regulatorischem Risiko, sodass Deal-Teams kritische Arbeitsabläufe priorisieren und evidenzbasierte Ergebnisse über Findings & Risk Intelligence erstellen können.

Datenrauminhalte mittels Data Room Ingestion zügig erfassen, um strukturierte Klauseln aus komplexen behördlichen Eingaben, Lizenzen und Genehmigungen zu extrahieren.

Die AI-Analysis Engine einsetzen, um länderübergreifende Compliance-Einreichungen mit kommerziellen Verträgen und Lieferantenvereinbarungen abzugleichen.

Gekennzeichnete Probleme mithilfe von Risk Radar priorisieren, um die Wesentlichkeit zu bewerten und regulatorische Risiken für das Investment-Committee-Memo zu quantifizieren.

Standardisierte Risikomemos und Investoren-Deliverables mit dem Report Builder erstellen, wobei sichergestellt wird, dass jedes Compliance-Ergebnis direkt mit den Quelldokumenten verknüpft ist.

Obwohl KI-native Plattformen die Diligence-Effizienz und Dokumentenabdeckung erheblich verbessern, müssen Investment-Profis eine strenge Governance beibehalten. PLAUSITY bietet spezialisierte Diligence-Automatisierung, ersetzt jedoch keine menschlichen Berater, garantiert keine Transaktionsergebnisse und erbringt keine Rechts-, Steuer-, Prüfungs- oder regulatorische Beratung. Alle KI-generierten Ergebnisse, einschließlich regulatorischer, kartellrechtlicher, Compliance-, Lizenz- und Sanktionsprüfungen, erfordern eine unabhängige Bestätigung und Prüfung durch qualifizierte Rechts- und Regulierungsberater, bevor sie als Grundlage für Investitionsentscheidungen herangezogen werden KI-Diligence-Workflows.

Plausity ist eine KI-native Due-Diligence-Plattform, die M&A-Beratungen, VC- und PE-Fonds sowie Corporate-Development-Teams dabei unterstützt, Nachweise, Findings und Fragen entlang eines Datenraums zu strukturieren. Plausity ersetzt keine menschlichen Berater, garantiert keine Deal-Ergebnisse und liefert keine Rechts-, Steuer-, Prüfungs- oder Regulierungsberatung — insbesondere regulatorische Findings müssen durch qualifizierte Fachberater bestätigt werden.

Weitere Details zu den Kernbausteinen finden Sie beim Plausity AI Analysis Engine und in der Findings & Risk Intelligence-Übersicht. Für team-spezifische Workflows sehen Sie, wie VC- und PE-Fonds und M&A-Beratungen Plausity in laufenden Deals einsetzen.

1. [1] ftc.gov — https://www.ftc.gov/news-events/news/press-releases/2024/10/ftc-doj-issue-fiscal-year-2023-hsr-report-and-announce-corrected-2022-report
2. [2] ftc.gov — https://www.ftc.gov/system/files/ftc_gov/pdf/fy2023hsrreport.pdf
3. [3] home.treasury.gov — https://home.treasury.gov/news/press-releases/jy2476
4. [4] epa.gov — https://www.epa.gov/enforcement/superfund-liability
5. [5] epa.gov — https://www.epa.gov/enforcement/bona-fide-prospective-purchasers
6. [6] epa.gov — https://www.epa.gov/brownfields/brownfields-all-appropriate-inquiries
7. [7] portal.ct.gov — https://portal.ct.gov/deep/remediation--site-clean-up/property-transfer-program/property-transfer-program
8. [8] dep.nj.gov — https://dep.nj.gov/srp/isra
9. [9] gdpr-info.eu — https://gdpr-info.eu/art-83-gdpr/