Due Diligence mit Blick auf Datenschutz, IT-Sicherheit

und KI-Compliance: Warum Investoren genauer

hinsehen sollten

Wer ein Unternehmen kauft oder sich daran beteiligt, prüft in der Regel Zahlen, Verträge und steuerliche Risiken. Das ist richtig und wichtig. Aber in der Praxis bleibt ein anderer Bereich oft unterbelichtet: Datenschutz, Datensicherheit, Informationssicherheit und der rechtskonforme Einsatz von KI.

Genau dort liegen heute erhebliche Risiken. Und diese Risiken sind nicht nur juristisch relevant. Sie können den Unternehmenswert mindern, den Kaufpreis beeinflussen und nach dem Erwerb hohe Folgekosten auslösen.

Wer diese Themen in der Due Diligence nicht sauber prüft, läuft Gefahr, ein Unternehmen mit verborgenen Schwachstellen zu übernehmen, also sprichwörtlich die Katze im Sack zu kaufen.

Warum klassische Due Diligence oft zu kurz greift

Bei Transaktionen stehen meist Finanzdaten, Gesellschaftsrecht, Steuern und operative Kennzahlen im Vordergrund. Datenschutz und Informationssicherheit werden dagegen oft nur am Rand behandelt oder auf wenige Standardfragen reduziert.

Das Problem ist einfach: Fehlende Datenschutz-Compliance und schwache Sicherheitsstrukturen sind keine Nebensachen. Sie betreffen den Kern des Unternehmensbetriebs. Fast jedes Unternehmen verarbeitet heute personenbezogene Daten, nutzt Cloud-Dienste, arbeitet mit Dienstleistern und setzt digitale Systeme ein, die geschäftskritisch sind. Immer häufiger kommen auch KI-Anwendungen hinzu.

Wer hier nicht genau hinsieht, übersieht Risiken, die sich oft erst nach dem Closing zeigen.

Welche Risiken für Investoren und Käufer entstehen

Ein Zielunternehmen kann auf den ersten Blick gesund wirken und trotzdem in kritischen Bereichen schlecht aufgestellt sein. Typische Schwachstellen sind zum Beispiel:

• fehlende oder unzureichende Verzeichnisse von Verarbeitungstätigkeiten
• unwirksame oder fehlende Auftragsverarbeitungsverträge
• unzulässige Datenübermittlungen in Drittländer
• Defizite bei technischen und organisatorischen Maßnahmen
• unklare Berechtigungskonzepte und fehlende Zugriffskontrollen
• nicht dokumentierte oder unzureichend gemanagte Datenschutzvorfälle
• fehlende Löschkonzepte und überlange Speicherfristen
• unsichere oder unkontrollierte Nutzung von KI-Tools
• fehlende Regeln für den Einsatz generativer KI durch Mitarbeitende
• keine belastbare Governance für Informationssicherheit

Solche Defizite können Bußgelder, Schadensersatzansprüche, Meldepflichten, Reputationsschäden und operative Störungen auslösen. Für Investoren und Unternehmenskäufer heißt das: Das Risiko endet nicht mit der Unterschrift. Es beginnt oft erst dann sichtbar zu werden.

Datenschutz und Informationssicherheit sind wertrelevant

Viele Käufer betrachten Datenschutz noch immer als juristisches Nebenthema. Das ist zu kurz gedacht.

Ein Unternehmen mit belastbarer Datenschutz-Compliance, klaren Sicherheitsstrukturen und sauberer Dokumentation ist in der Regel besser steuerbar, robuster und integrationsfähiger. Umgekehrt kann ein Unternehmen mit strukturellen Mängeln schnell zum Problemfall werden.

Die Folgen zeigen sich oft in ganz praktischen Punkten:

• nachträglicher Sanierungsaufwand
• höhere Integrationskosten
• Verzögerungen im Transaktionsprozess
• Kaufpreisabschläge
• Garantien und Freistellungen im Unternehmenskaufvertrag
• eingeschränkte Skalierbarkeit
• Vertrauensverlust bei Kunden, Geschäftspartnern und Aufsichtsbehörden

Datenschutz, Datensicherheit und KI-Compliance sind deshalb kein „nice to have“, sondern Teil einer realistischen Risikobewertung.

Warum KI-Compliance jetzt mitgeprüft werden sollte

Viele Startups und KMU setzen bereits KI ein, oft schnell und pragmatisch. Das betrifft etwa Chatbots, Recruiting-Tools, Analysen, automatisierte Auswertungen, Marketinganwendungen oder generative KI im Arbeitsalltag. Gerade deshalb sollte der Einsatz von KI im Rahmen einer Due Diligence nicht ausgeblendet werden. Denn häufig fehlen klare Vorgaben, Dokumentationen und Prüfprozesse. Es ist oft unklar:

• welche KI-Systeme tatsächlich eingesetzt werden
• welche Daten in diese Systeme eingegeben werden
• ob personenbezogene oder vertrauliche Daten betroffen sind
• auf welcher Rechtsgrundlage dies geschieht
• ob Risiken bewertet und dokumentiert wurden
• ob interne Regeln für Nutzung, Kontrolle und Verantwortlichkeiten bestehen

Für Investoren ist das relevant, weil sich hier neue Haftungs- und Compliance-Risiken aufbauen können. Wer in ein datengetriebenes Unternehmen investiert, sollte auch den KI-Einsatz verstehen und bewerten.

Was eine Due Diligence in diesen Bereichen leisten sollte

Eine gute Prüfung darf nicht bei formalen Dokumenten stehenbleiben. Entscheidend ist, ob die Organisation in der Praxis tragfähig aufgestellt ist.

Eine spezialisierte Due Diligence für Datenschutz, Datensicherheit, Informationssicherheit und KI-Compliance sollte deshalb unter anderem prüfen:

• welche personenbezogenen und geschäftskritischen Daten verarbeitet werden
• welche Systeme, Dienstleister und Cloud-Lösungen eingesetzt werden
• ob die datenschutzrechtliche Dokumentation vollständig und belastbar ist
• ob Auftragsverarbeiter und Drittlandtransfers rechtlich sauber eingebunden sind
• ob technische und organisatorische Maßnahmen angemessen sind
• ob Sicherheitsvorfälle, Schwachstellen oder bekannte Defizite vorliegen
• ob Verantwortlichkeiten, Prozesse und Kontrollen klar geregelt sind
• ob KI-Systeme eingesetzt werden und wie deren Nutzung organisiert ist
• ob akute Handlungsbedarfe bestehen, die den Deal beeinflussen können
• welche Maßnahmen nach dem Erwerb priorisiert umgesetzt werden sollten

Im Ergebnis geht es nicht nur um eine Ja-Nein-Bewertung. Es geht um eine belastbare Einschätzung der tatsächlichen Risiken und um klare Empfehlungen für Investitionsentscheidungen, Vertragsgestaltungen und Post-Merger-Integration.

Besonders relevant für Startups und KMU

Gerade bei Startups und kleinen oder mittleren Unternehmen ist das Thema heikel. Nicht weil dort zwingend schlechter gearbeitet wird, sondern weil Strukturen oft schnell gewachsen sind. Prozesse entstehen pragmatisch. Verantwortlichkeiten sind nicht immer klar abgegrenzt. Dokumentation bleibt im Tagesgeschäft liegen.

Typische Konstellationen sind:

• starkes Wachstum bei wenig Governance
• hohe Abhängigkeit von einzelnen Dienstleistern
• intensive Nutzung von SaaS- und Cloud-Lösungen
• schnelle Einführung von KI-Tools ohne klare Regeln
• fehlende Trennung zwischen pragmatischer Umsetzung und rechtlicher Absicherung

💡Für Käufer und Investoren heißt das: Gerade dort lohnt sich ein genauer Blick.

Unser Ansatz als Datenschutzbeauftragte in der Due Diligence

Wir unterstützen Investoren und Unternehmenskäufer dabei, Risiken sichtbar zu machen, die in klassischen Prüfungen oft zu wenig Beachtung finden.

Unser Fokus liegt auf der strukturierten Prüfung von

• Datenschutz-Compliance
• Datensicherheit
• Informationssicherheit
• KI-Compliance

Wir betrachten dabei nicht nur Dokumente, sondern auch die tatsächliche Umsetzung in der Praxis. Ziel ist eine klare, verständliche und risikoorientierte Bewertung. Keine abstrakten Checklisten, sondern eine belastbare Einschätzung, wo echte Schwachstellen liegen und welche Konsequenzen diese für die Transaktion haben können.

So erhalten Investoren und Käufer eine bessere Grundlage für ihre Entscheidung und vermeiden, ein Unternehmen mit verdeckten Compliance- und Sicherheitsrisiken zu übernehmen.

Unsere Empfehlung

Wer heute in Unternehmen investiert oder Unternehmen erwirbt, sollte Datenschutz, Datensicherheit, Informationssicherheit und KI-Compliance nicht als Randthemen behandeln. Diese Bereiche können erheblichen Einfluss auf Risiko, Wert und Zukunftsfähigkeit eines Unternehmens haben. Eine spezialisierte Due Diligence hilft dabei, Schwachstellen früh zu erkennen, den tatsächlichen Handlungsbedarf realistisch einzuordnen und teure Überraschungen nach dem Erwerb zu vermeiden.

Denn gute Transaktionen beruhen nicht nur auf starken Zahlen. Sie beruhen auch auf einem klaren Blick auf die verborgenen Risiken.

Jetzt Kontakt aufnehmen!

Wenn Sie als Investor oder Unternehmenskäufer Datenschutz, Informationssicherheit und KI-Compliance im Rahmen einer Due Diligence fundiert prüfen lassen möchten, unterstütze ich Sie mit einer risikoorientierten und praxisnahen Bewertung.

Kontakt aufnehmen