Datenschutz beim Unternehmensverkauf: Was die DSGVO verlangt

Was die DSGVO beim Unternehmensverkauf verlangt, hängt vor allem von der Struktur ab. Beim Share Deal wechseln nur die Gesellschafter, die GmbH bleibt Verantwortliche, und es werden grundsätzlich keine Daten übermittelt. Kritisch ist hier vor allem der Datenraum in der Due Diligence. Beim Asset Deal gehen Kunden-, Lieferanten- und Beschäftigtendaten auf einen neuen Verantwortlichen über, und dafür braucht jede Datenkategorie eine eigene Rechtsgrundlage. Die Datenschutzkonferenz (DSK) hat dazu im September 2024 ein Positionspapier mit klaren Fallgruppen veröffentlicht. Dieser Leitfaden zeigt beides: was im Datenraum erlaubt ist und was beim Übergang der Daten gilt.

• Beim Share Deal ist der Datenschutz laut DSK weitgehend unproblematisch, mit Ausnahme der Prüfungen in der Due Diligence.
• Jede Offenlegung im Datenraum ist eine Verarbeitung und braucht eine Rechtsgrundlage, meist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO mit dokumentierter Abwägung.
• Faustregel für den Datenraum: reduzieren, aggregieren, anonymisieren. Einzelangaben gibt es nur zu Führungskräften und zentralen Vertragspartnern, und erst in fortgeschrittenen Verhandlungen.
• Der Datenraum-Anbieter ist Auftragsverarbeiter: Sie brauchen einen Vertrag nach Art. 28 DSGVO und Schutzmaßnahmen nach Art. 32 DSGVO.
• Springt ein Interessent ab, sperren Sie seinen Zugang und lassen sich die Löschung bestätigen. Die bloße Ankündigung einer Löschung reicht nicht.
• Beim Asset Deal dürfen Kundendaten aus laufenden Verträgen übergehen, Beschäftigtendaten gehen bei einem Betriebsübergang nach § 613a BGB mit.

Share Deal oder Asset Deal: der entscheidende Unterschied

Beim Share Deal kauft der Erwerber die Geschäftsanteile. Die GmbH bleibt bestehen und bleibt datenschutzrechtlich Verantwortliche, Kunden- und Arbeitsverträge laufen unverändert weiter. Laut Positionspapier der DSK vom 11. September 2024 ist die Datenverarbeitung beim Share Deal deshalb, abgesehen von den Prüfungen während der Due Diligence, unproblematisch, weil grundsätzlich keine Übermittlung stattfindet.

Beim Asset Deal werden einzelne Wirtschaftsgüter übertragen, etwa Maschinen, Kundenstamm und Verträge, und der Erwerber führt den Betrieb fort. Damit gehen personenbezogene Daten an einen neuen Verantwortlichen über, und die DSGVO verlangt für jede Datenkategorie eine eigene Rechtsgrundlage. Besonders betroffen sind Einzelunternehmen, Handwerksbetriebe und Personengesellschaften, die einen Share Deal gar nicht nutzen können. Die Unterschiede beider Formen erklärt der Beitrag Asset Deal vs. Share Deal.

Welche Daten dürfen in den Datenraum?

Die Due Diligence betrifft beide Varianten, denn hier sieht ein Dritter Unterlagen, bevor überhaupt ein Vertrag steht. Für den Asset Deal ist die DSK eindeutig: Vor Vertragsabschluss ist die Übermittlung personenbezogener Daten von Kunden, Lieferanten und Beschäftigten an potenzielle Erwerber grundsätzlich unzulässig. Erlaubt ist sie im Einzelfall mit freiwilliger Einwilligung der Betroffenen. In fortgeschrittenen Verhandlungen kann ein berechtigtes Interesse ausnahmsweise die Übermittlung von Daten besonders hervorgehobener Personen rechtfertigen, etwa der wichtigsten Vertragspartner oder von Führungskräften.

Für die Praxis heißt das, auch beim Share Deal:

1. Frühe Phase: nur anonymisierte oder aggregierte Daten, etwa Umsatz nach Kundengruppen statt Einzelkunden, Gehaltsbänder statt Namen.
2. Nach LOI: detailliertere Unterlagen, personenbezogene Daten möglichst pseudonymisiert und nur, soweit für die Prüfung erforderlich.
3. Zentrale Personen: Daten von Schlüsselkunden oder Führungskräften erst in fortgeschrittenen Verhandlungen und mit dokumentierter Interessenabwägung.
4. Besondere Kategorien: Gesundheitsdaten, etwa Krankheitstage einzelner Mitarbeiter, gehören nicht in den Datenraum.

Als grobe Orientierung für die Abstufung nach Personengruppen:

Bei kleinen Teams reicht das Schwärzen des Namens oft nicht. Gibt es nur eine Buchhalterin über 60, ist sie trotz Schwärzung erkennbar. Dann helfen nur Spannen oder Summen.

Welche Rechtsgrundlage trägt die Offenlegung im Datenraum?

Die DSGVO erlaubt eine Verarbeitung nur, wenn eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO greift. Für den Datenraum kommt vor allem das berechtigte Interesse nach lit. f in Betracht. Dafür wägen Sie ab: Auf der einen Seite stehen Ihr Interesse an einem Verkauf und das Interesse des Käufers, Risiken zu prüfen, auf der anderen das Interesse von Mitarbeitern und Kunden an Vertraulichkeit. Eine pseudonymisierte Umsatzauswertung nach Kundengruppen ist leicht zu rechtfertigen, eine Personalakte mit Gesundheitsangaben kaum.

Eine Einwilligung ist im Verkaufsprozess eine unsichere Grundlage. Sie muss freiwillig sein, was im Arbeitsverhältnis schwer zu belegen ist, und lässt sich jederzeit widerrufen (Art. 7 Abs. 3 DSGVO). Die Verantwortung ist dabei getrennt: Für die Übermittlung ist laut DSK der Veräußerer verantwortlich, für die Verarbeitung beim Erwerber dieser selbst. Beim Share Deal ist für die Offenlegung im Datenraum in der Regel die GmbH verantwortlich, deren Daten dort liegen.

Wie bereiten Sie den Datenraum datenschutzgerecht vor?

Die Datenschutzstelle Liechtenstein fasst es als Faustregel zusammen: „Reduzieren, Aggregieren, Anonymisieren!“ Was sich als Gesamtwert darstellen lässt, etwa die Lohnsumme statt Einzellöhnen, kann ohne datenschutzrechtlichen Mehraufwand verarbeitet werden. Die Behörde wendet dieselbe DSGVO an, die Regel passt deshalb auch für Deutschland.

1. Dokumentenliste anlegen: Ordnen Sie jedes Dokument einem Prüfbereich zu und vermerken Sie, ob es Personendaten enthält. Eine Ordnerstruktur zeigt der Beitrag zur Datenraum-Struktur im M&A.
2. Erforderlichkeit je Phase prüfen: Im ersten Durchgang genügen meist Kennzahlen. Einzelverträge kommen erst, wenn ein Interessent ernsthaft verhandelt.
3. Aggregieren: Gehaltsbänder statt Gehaltsliste, Umsatzanteile der größten Kunden ohne Namen, Fluktuations- und Krankenquote statt Personalakten.
4. Gründlich schwärzen: Sehen Sie jedes Dokument vor dem Hochladen durch, auch Unterschriften, Kopfzeilen und Metadaten. Prüfen Sie, ob unter geschwärzten Flächen noch durchsuchbarer Text liegt.
5. Vertraulichkeitsklauseln beachten: Erlauben Kunden- oder Lieferantenverträge keine Weitergabe, stellen Sie sie nur geschwärzt ein oder ersetzen sie durch eine Zusammenfassung.
6. Abwägung dokumentieren: Halten Sie fest, welche Daten Sie wem in welcher Phase offenlegen und warum. Das ist Ihr Nachweis nach der Rechenschaftspflicht des Art. 5 Abs. 2 DSGVO.

Viele Schwärzungen machen Unterlagen zu Lückentexten. Als Ausgleich kommt eine Zusicherung im Kaufvertrag in Betracht, dass nur so weit geschwärzt wurde, wie der Datenschutz es verlangt. Was offengelegt wurde, hält ein sauberer Disclosure Letter fest.

Welche Schutzmaßnahmen braucht der Datenraum?

Art. 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen. Für einen Datenraum in der Due Diligence heißt das:

• Rollen und Rechte: Jeder Nutzer sieht nur die Ordner, die er in seiner Phase braucht. Personalordner öffnen Sie erst spät.
• Lesezugriff: Möglichst kein Download und kein Druck, dafür Wasserzeichen mit Name und Zeitstempel.
• Verschlüsselung: bei der Übertragung und bei der Speicherung.
• Protokoll: Wer hat wann welches Dokument geöffnet? Das belegt Ihre Sorgfalt.
• Serverstandort in EU oder EWR: Das erspart die Prüfung einer Drittlandübermittlung.

Der Datenraum-Anbieter verarbeitet die Daten in Ihrem Auftrag. Sie brauchen deshalb einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, sonst ist schon der Upload problematisch. Mit dem Kaufinteressenten regelt eine Vertraulichkeitsvereinbarung, wofür er die Daten nutzen darf, wer bei ihm Zugriff hat und wann er löscht. Welche Klauseln dazu gehören, zeigt der Beitrag zur NDA beim Unternehmenskauf.

Was passiert mit den Daten, wenn ein Interessent abspringt?

Für Interessenten, die nicht kaufen, entfällt der Zweck der Verarbeitung. Die Daten sind dann nach Art. 17 Abs. 1 lit. a DSGVO zu löschen, soweit keine Ausnahme nach Abs. 3 greift. Auch beim Datenraum-Anbieter genügt eine Vertragsklausel allein nicht. Der Bundesgerichtshof hat am 11. November 2025 (VI ZR 396/24) entschieden, dass sich ein Verantwortlicher bei Ende der Auftragsverarbeitung nicht mit der Ankündigung einer Löschung begnügen darf. Er muss sich die tatsächlich durchgeführte Löschung bestätigen lassen, sonst haftet er selbst.

• Zugänge abgelehnter Interessenten sofort sperren, nicht erst bei Projektende.
• Von jedem Interessenten eine schriftliche Löschbestätigung einholen, wie in der Vertraulichkeitsvereinbarung vereinbart.
• Nach dem Abschluss oder Abbruch den Datenraum löschen lassen und die Bestätigung des Anbieters ablegen.

Was droht bei Verstößen?

Nach Art. 83 DSGVO sind Geldbußen von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes möglich. Dass Aufsichtsbehörden bei Unternehmensverkäufen hinsehen, zeigt ein Fall des Bayerischen Landesamts für Datenschutzaufsicht: Es belegte 2015, noch nach altem Recht, Verkäufer und Käufer mit einem erheblichen Bußgeld, weil bei einem Asset Deal Kunden-E-Mail-Adressen ohne Rechtsgrundlage übertragen worden waren. Ebenso schwer wiegt der Schaden für den Verkauf: Wer Mängel im Datenraum entdeckt, fragt nach der übrigen Compliance. Welche Fragen Käufer dann stellen, zeigt der Beitrag zur Compliance-Prüfung beim Unternehmenskauf.

Asset Deal: Was mit Kundendaten passieren darf

Die DSK unterscheidet bei Kundendaten mehrere Fallgruppen:

Wichtig: Laufende Verträge bestehen oft länger als gedacht, weil Gewährleistungsfristen erst nach Jahren ablaufen. Prüfen Sie deshalb vor dem Asset Deal sorgfältig, zu welchen Kunden noch eine vertragliche Beziehung besteht.

Altkunden-Daten darf der Erwerber nur in einem getrennten „Aufbewahrungsschrank“ speichern, die DSK spricht von einer Zwei-Schrank-Lösung. Für eigene Zwecke, etwa Werbung, darf er sie nur mit Einwilligung des Kunden nutzen. Alternativ bleiben die Altdaten beim Verkäufer.

Werbung: Daten übernommener Kunden darf der Erwerber grundsätzlich in dem Umfang für Werbung nutzen, wie es auch der Verkäufer durfte. Für E-Mail- und Telefonwerbung gilt aber § 7 UWG: In der Regel braucht es eine vorherige Einwilligung, die Ausnahme für Bestandskunden greift beim Erwerber meist nicht.

Kundendatenbank als einziges Asset: Wird nur die Kundendatei verkauft, ohne Betrieb, ist das regelmäßig nur mit Einwilligung zulässig. Eine Ausnahme sieht die DSK für Kleinst- und Kleinunternehmen derselben Branche vor, die ihren Betrieb aufgeben: Sie dürfen ausschließlich Postadressen nach Ankündigung mit einer Widerspruchsfrist von meist vier bis sechs Wochen übergeben.

Lieferanten- und Beschäftigtendaten

Lieferanten: Aktuelle, für den Erwerber relevante Kontaktdaten von Lieferanten und deren Ansprechpartnern dürfen in der Regel auf Basis des berechtigten Interesses übermittelt werden. Lieferanten haben meist selbst ein Interesse daran, dass die Geschäftsbeziehung weiterläuft.

Beschäftigte: Liegt ein Betriebsübergang nach § 613a BGB vor, darf der Verkäufer die zur Fortführung der Arbeitsverhältnisse nötigen Daten zum Zeitpunkt des Übergangs an den Erwerber übermitteln, gestützt auf Art. 6 Abs. 1 lit. b DSGVO. Grenzen laut DSK:

• In den reinen Vertragsverhandlungen ist die Übermittlung von Beschäftigtendaten grundsätzlich unzulässig, allenfalls mit wirksamer Einwilligung.
• Beschäftigte müssen nach § 613a Abs. 5 BGB in Textform über den Übergang informiert werden und können innerhalb eines Monats widersprechen.
• Daten von Beschäftigten, die vor dem Übergang widersprochen haben, dürfen nicht übermittelt werden.
• Ohne Betriebsübergang nach § 613a BGB braucht es individuelle Vereinbarungen und in der Regel Einwilligungen.

Pflichten nach dem Closing

• Information nach Art. 14 DSGVO: Der Erwerber muss die Kunden innerhalb einer angemessenen Frist, spätestens einen Monat nach Erhalt der Daten, informieren und dabei auf ihr Widerspruchsrecht hinweisen.
• Verantwortung: Für die Übermittlung haftet der Verkäufer, für die weitere Verarbeitung der Erwerber.
• Verzeichnis von Verarbeitungstätigkeiten: Der Erwerber ergänzt sein Verzeichnis nach Art. 30 DSGVO um die übernommenen Verarbeitungen.
• Löschkonzept: Altdaten werden nach Ablauf der handels- und steuerrechtlichen Aufbewahrungsfristen gelöscht.
• Betroffenenrechte: Prozesse für Auskunft, Widerspruch und Löschung stehen, bevor die erste Anfrage kommt. Die Antwortfrist beträgt nach Art. 12 Abs. 3 DSGVO einen Monat und kann bei komplexen Anfragen um zwei Monate verlängert werden.

Vertragsklauseln, die das Risiko begrenzen

• Garantien des Verkäufers: zur Rechtmäßigkeit der bisherigen Datenverarbeitung, zu vorhandenen Einwilligungen und zum Fehlen von Datenschutzverstößen und Bußgeldverfahren.
• Freistellung: für Verstöße aus der Zeit vor dem Closing.
• Nutzungsbeschränkungen: Altdaten nur zur Aufbewahrung, Werbung nur im zulässigen Rahmen.
• Übergangsregeln: Laufen IT-Systeme nach dem Closing noch gemeinsam, braucht es einen Auftragsverarbeitungsvertrag oder eine Vereinbarung über gemeinsame Verantwortung nach Art. 26 DSGVO.

Wie Vertraulichkeit und NDA dabei zusammenspielen, beschreiben die Beiträge Vertraulichkeit beim Unternehmensverkauf und NDA beim Unternehmenskauf.

Checkliste für die Datenschutz-Prüfung

1. Verzeichnis von Verarbeitungstätigkeiten aktuell und vollständig?
2. Einwilligungen, etwa für Newsletter, mit Zeitpunkt und Inhalt dokumentiert?
3. Auftragsverarbeitungsverträge mit IT-, Cloud- und Datenraum-Anbietern vorhanden?
4. Löschkonzept mit Unterscheidung zwischen Aufbewahrungspflicht und löschbaren Beständen?
5. Bei Asset Deal: Kunden nach Fallgruppen sortiert, insbesondere laufende Verträge und Altkunden?
6. Besondere Kategorien von Daten identifiziert und vom Datenraum ausgeschlossen?
7. Datenschutzverstöße, Beschwerden oder Bußgeldverfahren der letzten Jahre dokumentiert?

Datenschutz ist nur ein Teil der Gesamtprüfung, aber oft der, an dem Zeitpläne ins Rutschen geraten. Einen Überblick gibt der Beitrag Due Diligence einfach erklärt.

Mein Rat: Erst die Phasen klären, dann die Klauseln

Die größte Schwachstelle ist selten die fehlende Rechtsgrundlage, sondern das Timing. Viele Unternehmen denken an den Datenschutz erst, wenn der Datenraum schon befüllt ist. Daten, die in der frühen Phase zu viel geflossen sind, lassen sich aber nicht zurückholen. Für GmbH-Inhaber gilt zudem: Ein Share Deal ist datenschutzrechtlich deutlich einfacher als ein Asset Deal. Das ist ein Argument mehr, die Struktur früh mit Steuerberater und Anwalt festzulegen.

Diskret und datensparsam verkaufen mit Nachfolgehaus

Nachfolgehaus kauft und vermittelt GmbH-Anteile, also im Share Deal, bei dem die Gesellschaft mit ihren Verträgen bestehen bleibt. Auf Wunsch läuft der Verkauf vollständig diskret ohne Inserat, alternativ über ein anonymes Inserat ohne öffentliche Kontaktdaten. Unterlagen werden erst nach NDA ausgetauscht, und Interessenten werden vorab geprüft.

Der Einstieg ist der kostenlose Ankaufscheck, für den Sie keine personenbezogenen Daten von Kunden oder Mitarbeitern herausgeben müssen. Eine erste Einschätzung gibt es in der Regel innerhalb eines Werktages, ein konkretes Kaufangebot nach Prüfung der Unterlagen in 24 Stunden. Für Verkäufer 0 €: Kosten und Vergütung trägt der Käufer. Mehr zum Verfahren lesen Sie auf der Seite zum diskreten GmbH-Verkauf. Rechtsberatung zum Datenschutz leistet Nachfolgehaus nicht, dafür arbeiten Sie mit Ihrem Anwalt oder Datenschutzbeauftragten.

Quellen

• DSK: Positionspapier zu Übermittlungen personenbezogener Daten im Rahmen eines Asset-Deals (11.09.2024)
• EUR-Lex: Datenschutz-Grundverordnung (EU) 2016/679
• Datenschutzstelle Liechtenstein: Due Diligence beim Unternehmensverkauf
• BGH, Urteil vom 11.11.2025, VI ZR 396/24
• BayLDA: Pressemitteilung vom 30.07.2015, Kundendaten beim Unternehmensverkauf
• DSK-Kurzpapier Nr. 1: Verzeichnis von Verarbeitungstätigkeiten
• § 613a BGB – Rechte und Pflichten bei Betriebsübergang

Dieser Beitrag enthält allgemeine Informationen und ersetzt keine individuelle Rechtsberatung.

Wie dieser Schritt in den Gesamtprozess einzuordnen ist, lesen Sie unter Ablauf beim GmbH-Verkauf; für die Möglichkeit eines direkten Gesellschaftsankaufs ohne Vermittlungsphase finden Sie dort die Voraussetzungen.