Page

Pages

Die M&amp;A REVIEW wurde 1990 von Prof. Dr. Günter Müller-Stewens ins Leben gerufen und von 1992 bis 2016 vom Institut für Betriebswirtschaft (IfB) an der Universität St. Gallen betreut. Heute sind Prof. Dr. Florian Bauer und Prof. Dr. Christoph Schalast die Herausgeber. Das Magazin liefert monatlich Fachbeiträge zu Unternehmensübernahmen und Fusionen im deutschsprachigen Raum und international. Sie bietet einen Überblick über aktuelle M&amp;A-Trends, erfolgte Transaktionen und beteiligte Interessengruppen wie Käufer, Verkäufer, Berater und Intermediäre. Die Themen umfassen praxisrelevante Fragestellungen entlang des gesamten M&amp;A-Prozesses, Analysen von Verflechtungsstrukturen einzelner Konzerne und Branchen, statistische Auswertungen, Länderanalysen sowie juristische und steuerrechtliche Beiträge.

Die M&amp;A REVIEW richtet sich vornehmlich an M&amp;A-Professionals im deutschsprachigen Raum. Dazu gehören zunächst Führungskräfte in Strategie- und M&amp;A-Abteilungen von Unternehmen sowie deren Unternehmensleitungs- und Kontrollebene. Daneben zählen Unternehmensberater, Vertreter von Investmentbanken und Corporate Finance-Boutiquen sowie Partner und Mitarbeiter von Wirtschaftsprüfungs-/Steuerberatungs- sowie Rechtsanwaltssozietäten, die im Bereich der Unternehmensübernahmen und Fusionen tätig sind, zum Leserkreis. Auch Finanzinvestoren beziehen regelmäßig die M&amp;A REVIEW. Aufgrund der wissenschaftlichen Fundierung und des universitären Hintergrunds ist die Fachzeitschrift auch in vielen Universitäten und Forschungseinrichtungen verfügbar.

<ul><li>Mit über 30 Jahren führende Fachzeitschrift rund um M&amp;A seit 1990 (deutschsprachig)</li><li>Seit 1.1.2015 offizielles Publikationsorgan des Bundesverbands Mergers &amp; Acquisitions e.V.</li><li>10 Ausgaben im Jahr mit Doppelausgaben im Januar/Februar und Juli/August</li><li>Print-Auflage bei ca. 1.000 Exemplaren pro Ausgabe</li><li>kostenloser M&amp;A REVIEW Online-Zugriff auf Archiv (nur für Abonnenten – hauptsächlich deutschsprachig)</li><li>Seit Juni 2020 Zusammenarbeit mit dem französischen Fachmagazin Fusions &amp; Acquisitions, seit 2023 gemeinsamer Auftritt mit englisch-sprachigen Fachmagazin Combuyn</li></ul>

Main content assets

Main Content Assets

ausgabenuebersicht-teaser.png

Publikation

Leo Berthier

leo.berthier@manda.co

Ausgabenübersicht

Sonderausgaben

Jahresindizes

Autorinnen und Autoren

Dossiers

Podcasts

Partner

Kontakt

MANDACO

NEWSROOM

M&A REVIEW

LEBENSWERK

COMBUYN

Login

Profil

Logout

M&A Advisor

M&A Tool Provider

Corporate

University Member

PE, Family Office

Student

Others...

mandaco

M&A Review

Combuyn

Lebenswerk

Recht & Steuer

Mag.a Stefanie Fasching ist Universitätsassistentin am Institut für Rechtswissenschaften der Universität Klagenfurt im Fachbereich Öffentliches Recht.

Mag.a

Mag.a Stefanie Fasching

<h2>1. Einleitung</h2>Seit Inkrafttreten der DSGVO ist der Begriff Datenschutz allgegenwärtig. Auch im Rahmen von Unternehmenstransaktionen wurde die Einhaltung des Datenschutzrechts in jüngster Zeit ein vordringliches Compliance-Thema. Allerdings sind die datenschutzrechtlichen Anforderungen nichts Neues – sie haben nur bislang kaum jemanden interessiert. Das lag wohl vor allem an den vormals äußerst geringen Strafdrohungen. Dieser Umstand hat sich durch das neue EU-Datenschutzregime schlagartig geändert. Die DSGVO sieht bei Datenschutzverstößen empfindliche Strafen von bis zu 20 Mio. EUR oder bis zu 4% des weltweit erzielten Konzernjahresumsatzes vor. Die drakonisch hohen Sanktionen sowie mögliche Imageverluste durch negative mediale Berichterstattung sind ein Antrieb für Unternehmer, sich künftig auch bei M&amp;A-Prozessen intensiv mit den einschlägigen Datenschutzbestimmungen auseinanderzusetzen. <h2>2. Personenbezogene Daten</h2>Wird ein M&amp;A-Prozess eingeleitet, ist zu Beginn jedenfalls zu klären, welche Daten überhaupt vom Anwendungsbereich der DSGVO erfasst sein können. Die Antwort ist relativ einfach: Grundsätzlich alle personenbezogenen Daten – also Daten, die Rückschlüsse auf eine natürliche Person zulassen (z.B. Name, IP-Adresse, Angaben zu Krankenständen). Im Fall einer Unternehmenstransaktion kann dies unter anderem Daten von Mitarbeitern, Lieferanten, Kunden und Geschäftspartnern betreffen.Der angesprochene Personenbezug kann mittels Schwärzung der entsprechenden Dokumente (immer öfter unter Einsatz von Legal-Tech-Lösungen[1. „Legal Technology“ bezeichnet Software und Online-Dienste, die juristische Arbeitsprozesse unterstützen oder gänzlich automatisiert durchführen]) beseitigt werden. Existieren allerdings noch nicht anonymisierte Originaldokumente, spricht man nicht von einer Anonymisierung, sondern vielmehr von einer Pseudonymisierung.[2. Pseudonymisierung ist die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer speziﬁschen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identiﬁzierten oder identiﬁzierbaren natürlichen Person zugewiesen werden (Art. 4 Z. 5 DSGVO). ] Hier bleibt die DSGVO (jedenfalls für den Veräußerer) weiterhin anwendbar.[3. Plath, Datenschutz bei M&amp;A-Transaktionen, in: Von dem Bussche/Voigt, Konzerndatenschutz2 (2019) Rz 30. ] <h2>3. Rechtmäßigkeit der Datenverarbeitung</h2>Ergibt die datenschutzrechtliche Prüfung, dass personenbezogene Daten verarbeitet werden und eine Anonymisierung nicht möglich ist, so hat der Verantwortliche sicherzustellen, dass die Verarbeitung im Einklang mit dem geltenden Datenschutzrecht erfolgt. Auch nach der DSGVO gilt das Prinzip des „Verbots mit Erlaubnisvorbehalt“. Daher sind alle Datenverarbeitungen grundsätzlich verboten, es sei denn, es existiert eine entsprechende Rechtfertigung. In Bezug auf M&amp;A-Prozesse, speziell die Due-Diligence-Prüfung, kommen in der Regel nur zwei Rechtfertigungsmöglichkeiten in Betracht: einerseits die Einwilligung des Betroffenen und andererseits die Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten.Vordergründig sollte hier auf das „überwiegende Interesse“ abgestellt werden, da die Einholung einer informierten Einwilligung jedes einzelnen Betroffenen in der Praxis keine Alternative darstellt.[4. Anderl, Datenschutz bei M&amp;A-Transaktionen, in: Kalss/U. Torggler (Hrsg.), Aktuelle Fragen bei M&amp;A (2019) 157 f.] Zum einen können Betroffene ihre Einwilligung jederzeit widerrufen, und zum anderen soll die geplante Unternehmenstransaktion zu diesem Zeitpunkt meist noch streng vertraulich behandelt werden. Die Information aller betroffenen Mitarbeiter, Kunden, Geschäftspartner et cetera würde dieses Geheimhaltungsinteresse geradezu torpedieren.Wird eine Datenverarbeitung auf ein überwiegendes Interesse gestützt, so muss eine Abwägung zwischen den Interessen der Zielgesellschaft und des Kaufinteressenten an einer möglichst umfangreichen Prüfung einerseits und den Interessen der betroffenen Person andererseits vorgenommen werden. Das Ergebnis lässt sich nicht verallgemeinern und ist stets einzelfallabhängig. <h2>4. Grundsatz der Zweckbindung</h2>Nach der DSGVO haben Verantwortliche bei jeder Datenverarbeitung den Grundsatz der Zweckbindung zu beachten. Demnach dürfen personenbezogene Daten nur für (bereits im Zeitpunkt der Datenerhebung) festgelegte, eindeutige und legitime Zwecke erhoben werden. Bei M&amp;A-Transaktionen werden allerdings weitgehend Daten verarbeitet, die ursprünglich in einem anderen Kontext und nicht originär für die konkrete Unternehmenstransaktion gesammelt wurden. In diesem Fall liegt eine sogenannte Zweckänderung vor (beispielsweise wenn die vom Target verarbeiteten Daten nicht mehr nur für den Zweck der Unternehmensführung, sondern auch zum Zweck der Unternehmensbewertung und -übertragung verwendet werden). Eine solche Änderung ist nur zulässig, wenn der „neue“ Zweck mit dem ursprünglichen Erhebungszweck vereinbar ist. Für diese Kompatibilitätsprüfung sieht die DSGVO eine Reihe von Kriterien vor, anhand derer die Zulässigkeit der Weiterverarbeitung geprüft wird (z.B. der Zusammenhang, in dem die Daten erhoben wurden). Dieser Kriterienkatalog ist nicht abschließend und im Sinne eines „beweglichen Systems mit viel Argumentationsspielraum“ zu verstehen.[5. Anderl in Kalss/U. Torggler 153 ff] Ist keine Zweckkompatibilität gegeben, so kann dieser „Mangel“ durch eine wirksame Einwilligung der betroffenen Person „geheilt“ werden. Wird keine Einwilligung erteilt, so kann die Datenverarbeitung dennoch für den geänderten Zweck vorgenommen werden, wenn eine eigene Rechtfertigungsgrundlage für den neuen Zweck gefunden werden kann.Für den Verantwortlichen ist eine Zweckänderung regelmäßig nicht günstig, da die Betroffenen vorab über die Weiterverarbeitung informiert werden müssen. Diese unionsrechtlich vorgeschriebene Informationspflicht steht in massivem Widerspruch zum Vertraulichkeitsbedürfnis bei M&amp;A-Transaktionen. Denn in aller Regel werden die Übernahmegespräche unter dem Deckmantel der Geheimhaltung geführt. Mangels einschlägiger Rechtsprechung und Behördenpraxis ist noch unklar, ob dieser Informationspflicht durch die vorsorgliche Aufnahme eines Textbausteins betreffend künftige Unternehmenstransaktionen in die Datenschutzerklärung Genüge getan werden kann. Aus heutiger Sicht erscheint es jedenfalls ratsam, die Datenschutzerklärungen zu aktualisieren und darauf hinzuweisen, dass in Zukunft im Rahmen von Unternehmenstransaktionen Daten an potenzielle Käufer und allenfalls an Konzerngesellschaften übermittelt werden. <h2>5. Datenschutzrechtliche „Fallstricke“ für Käufer und Verkäufer</h2>Für potenzielle Käufer stellt sich vor allem im Bereich datengetriebener oder datengestützter Businessmodelle die Frage, ob das Geschäftsmodell (z.B. Artificial Intelligence, Blockchain-Technologie) sowie der Einsatz zentraler Assets (Software, Apps etc.) datenschutzkonform ausgestaltet sind. Ist bereits die Zulässigkeit des Geschäftsmodells zweifelhaft, so kann die geplante Übernahme für den Käufer schnell ihren wirtschaftlichen Sinn verlieren.[6. Tribess/Spitz, Datenschutz im M&amp;A-Prozess, GWR 2019, 261.]Auch die bisherige Datenschutz-Compliance des Zielunternehmens ist für potenzielle Käufer von besonderem Interesse. Wurde in der Vergangenheit gegen geltendes Datenschutzrecht verstoßen, setzt sich die potenzielle Käuferin dem Risiko hoher Strafzahlungen beziehungsweise Schadenersatzforderungen aus. Zudem können Daten nach dem Unternehmenskauf wertlos werden, wenn sie unrechtmäßig erhoben wurden (z.B. fehlende Einwilligungen in die Zusendung eines Newsletters). Im Rahmen der Due-Diligence-Prüfung sind diesbezügliche Schwachstellen und risikobehaftete Strukturen unbedingt zu identifizieren und zu bewerten. Um die Haftungsrisiken beziehungsweise die Verantwortung für etwaige vergangene Datenschutzverstöße auf die Verkäuferseite zu verlagern, empfiehlt es sich, Garantien für die Einhaltung der Datenschutzregelungen in den Unternehmenskaufvertrag aufzunehmen.Mit dem Closing der Transaktion geht auch die Verantwortlichkeit für die Einhaltung öffentlich-rechtlicher Vorschriften auf die Käuferin über. Spätestens ab diesem Zeitpunkt sollte sie Missstände unverzüglich beheben.Der Verkäufer auf der anderen Seite muss bei der Verarbeitung von personenbezogenen Daten sämtliche datenschutzrechtlichen Grundsätze einhalten. Neben der Rechtmäßigkeit der Verarbeitung und der Zweckbindung hat er unter anderem dafür Sorge zu tragen, dass die Datenverarbeitung auf das notwendige Maß beschränkt wird (Datenminimierung). Das kann im Sinne des Need-to-know-Prinzips durch einen zeitlich abgestuften Datenraumzugang und eine Differenzierung nach Empfängerkreisen erreicht werden. Außerdem dürfen die verwendeten Daten im Sinne des Grundsatzes der Speicherbegrenzung nicht unbefristet lang verwendet werden. Nach Abbruch der Transaktion sind sämtliche personenbezogenen Daten wieder zu löschen. Ferner muss der Verkäufer durch geeignete technische und organisatorische Maßnahmen (sogenannte TOMs) eine angemessene Sicherheit der Daten gewährleisten und sie vor dem Zugriff unbefugter Dritter, Verlust sowie Zerstörung oder Schädigung schützen. <h2>6. Fazit</h2>Die Beachtung des Datenschutzrechts ist mittlerweile auch bei M&amp;A-Transaktionen unerlässlich, und der Druck auf Unternehmer steigt zunehmend. Ohne Prüfung der Datenschutzkonformität kann ein Unternehmenskauf schnell zum Risiko werden. Ein plakatives Beispiel dafür ist die Bestrafung der Hotelkette Marriott im Juli 2019. Die britische Aufsichtsbehörde ICO belegte das Unternehmen Marriott mit einer Geldbuße in Höhe von knapp 101 Mio. EUR, weil sie beim Erwerb der Hotelkette Starwood eine mangelhafte Due-Diligence-Prüfung durchgeführt hatte. Marriott verabsäumte die Überprüfung der IT-Infrastruktur sowie der Datenschutz-Compliance von Starwood, wodurch es zu einer massiven Datenpanne kam.Aber auch enttäuschte Kaufinteressenten können für den Verkäufer zum Problem werden, wenn sie ihn bei der Aufsichtsbehörde anschwärzen und (vermeintliche) Datenschutzverstöße melden. Ein Einschreiten der Aufsichtsbehörde kann regelmäßig zu Verzögerungen führen und könnte den Deal schlussendlich sogar verhindern.In Ansehung des Schadens, den datenschutzrechtliche Risiken anrichten können, stellt deren Nichtbeachtung keine Option mehr dar. Allerdings darf man den Bogen auch nicht überspannen. Es gilt, datenschutzrecht liche Vorgaben mit Maß und Ziel umzusetzen und bei Unternehmenstransaktionen vorausschauend auf datenschutzrechtliche Problemstellungen zu rea gie ren. <h2>7. Acht Grundregeln für den richtigen datenschutzrechtlichen Umgang bei M&amp;A-Transaktionen:</h2>1. Im Rahmen der M&amp;A-Transaktion empfiehlt sich eine umfassende schriftliche Dokumentation der Einhaltung datenschutzrechtlicher Vorgaben.2. Datenverarbeitungen dürfen nur mit entsprechender Rechtfertigung vorgenommen werden.3. Die datenschutzrechtlichen Grundsätze müssen zwingend eingehalten werden.4. Auch die datenschutzrechtlichen Informationspflichten müssen erfüllt werden.5. Datenverarbeitungen des Zielunternehmens sollten schon vor der eigentlichen Transaktion einer datenschutzrechtlichen Prüfung unterzogen werden.[7. Anderl in Kalss/U. Torggler 154 mwN.]6. Es sollten (auch konzernintern) Geheimhaltungsvereinbarungen abgeschlossen werden.7. Der Datenraumzugang sollte begrenzt werden und die Datenübermittlung nur verschlüsselt erfolgen.8. Nach dem Closing sollten die Datenschutzerklärungen, Datenverarbeitungsvereinbarungen sowie die Einwilligungserklärungen vom Käuferkonzern angepasst werden.

Seit Inkrafttreten der DSGVO ist der Begriff Datenschutz allgegenwärtig. Auch im Rahmen von Unternehmenstransaktionen wurde die Einhaltung des Datenschutzrechts in jüngster Zeit ein vordringliches Compliance-Thema.

DSGVO und M&A-Transaktionen –  Datenschutz als „Dealbreaker“?

01) Registered