Die Nutzung von Künstlicher Intelligenz in der M&A-Beratung verspricht enorme Effizienzgewinne – doch sie wirft auch datenschutzrechtliche Fragen auf. Die DSGVO sticht hierbei strengen Regelungen auf, deren Verletzung mit erheblichen Bußgeldern geahndet werden kann. Doch KI und Datenschutz schließen sich nicht aus: Mit der richtigen Architektur und den korrekten Prozessen lässt sich KI vollständig DSGVO-konform in der M&A-Beratung einsetzen.
Dieser Artikel beleuchtet die rechtlichen Rahmenbedingungen, zeigt praktische Lösungsansätze für datensouveräne KI-Verarbeitung und gibt M&A-Professionals eine Handlungsanleitung für den complianten Einsatz von KI-Technologien.
Die Herausforderung: KI trifft auf strengen Datenschutz
Die M&A-Beratung arbeitet mit den sensibelsten Daten, die es in der Unternehmenswelt gibt: Finanzkennzahlen, strategische Pläne, Personalinformationen, Vertragsdetails, Compliance-Dokumentationen. Diese Informationen unterliegen strengster Vertraulichkeit – und strengstem Datenschutz.
Gleichzeitig bietet Künstliche Intelligenz gerade für die M&A-Beratung enorme Potenziale: Automatisierte Dokumentenanalyse, Risikoerkennung, Due Diligence-Beschleunigung, Vertragsprüfung. Doch herkömmliche KI-Lösungen stoßen schnell an datenschutzrechtliche Grenzen.
Das zentrale Problem: Die meisten kommerziellen KI-Dienste basieren auf Cloud-Modellen, bei denen die Daten an externe Server übermittelt und dort verarbeitet werden. Für die M&A-Praxis ist dies oft inakzeptabel – schon allein aus wirtschaftlichen Gründen, da jede Datenweitergabe das Risiko von Informationstransfers und Wettbewerbsnachteilen birgt.
Rechtliche Risiken bei nicht-konformem KI-Einsatz
Die Nichtbeachtung datenschutzrechtlicher Vorgaben beim KI-Einsatz kann schwerwiegende Konsequenzen haben:
DSGVO-Bußgelder: Verstöße gegen die DSGVO können mit Bußgeldern von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes geahndet werden. In der Praxis wurden bereits Geldbußen in Millionenhöhe verhängt.
Transaktionsrisiken: Wird im Rahmen einer Due Diligence ein Datenschutzverstoß entdeckt, kann dies den Deal gefährden oder den Kaufpreis erheblich drücken. Käufer haben zunehmend Augenmerk auf Compliance-Risiken.
Reputationsverlust: Datenschutzvorfälle schaden dem Ruf eines Unternehmens nachhaltig. Vertrauensverlust bei Kunden, Partnern und Investoren ist die Folge.
Haftungsrisiken: Bei Datenlecks oder unrechtmäßiger Datenverarbeitung können geschädigte Personen Schadensersatzansprüche geltend machen.
Die rechtlichen Grundlagen: Was sagt die DSGVO zum KI-Einsatz?
Die DSGVO regelt den Umgang mit personenbezogenen Daten umfassend. Für den KI-Einsatz in der M&A-Beratung sind mehrere Vorschriften besonders relevant:
Rechtsgrundlage der Verarbeitung (Art. 6 DSGVO)
Jede Datenverarbeitung bedarf einer Rechtsgrundlage. Im M&A-Kontext kommen typischerweise zwei Varianten in Betracht:
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Bei der Due Diligence liegt ein berechtigtes Interesse des potenziellen Erwerbers vor, Informationen über das Zielunternehmen zu erhalten. Dies gilt jedoch nicht für alle Datenkategorien – besonders sensible Daten bedürfen zusätzlicher Absicherung.
Einwilligung (Art. 6 Abs. 1 lit. a): In bestimmten Fällen, etwa bei der Verarbeitung von Mitarbeiterdaten für die HR-Due Diligence, können Einwilligungen erforderlich sein. Diese müssen freiwillig, informiert und dokumentiert sein.
Zweckbindung und Datenminimierung (Art. 5 DSGVO)
Die DSGVO verlangt, dass Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben werden (Zweckbindung) und dass der Umfang der Verarbeitung auf das Notwendige beschränkt bleibt (Datenminimierung).
Für den KI-Einsatz bedeutet dies: Die KI darf nur für die definierten Zwecke der Due Diligence eingesetzt werden, nicht für andere Analysen oder Trainingszwecke. Und sie sollte nur die Daten verarbeiten, die für diese Zwecke tatsächlich erforderlich sind.
Transparenz und Auskunft (Art. 13-15 DSGVO)
Betroffene Personen haben das Recht, über die Verarbeitung ihrer Daten informiert zu werden und Auskunft über die sie betreffenden Daten zu erhalten. Dies umfasst auch die Information, dass KI-Systeme zur Datenverarbeitung eingesetzt werden.
Automatisierte Entscheidungsfindung (Art. 22 DSGVO)
Werden Entscheidungen, die rechtliche Wirkung für Personen entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen, ausschließlich auf automatisierter Verarbeitung basierend getroffen, bestehen besondere Schutzrechte.
In der M&A-Praxis ist dies relevant, wenn KI-Systeme bei Personalentscheidungen oder Bonitätsbewertungen eingesetzt werden. Hier müssen menschliche Eingriffsmöglichkeiten und Widerspruchsrechte gewährleistet sein.
Datensouveränität: Die Basis für DSGVO-konforme KI
Der Schlüssel für DSGVO-konformen KI-Einsatz in der M&A-Beratung liegt in der Datensouveränität. Gemeint ist damit die vollständige Kontrolle über die eigenen Daten – von der Speicherung über die Verarbeitung bis zur Löschung.
Was bedeutet Datensouveränität konkret?
Geografische Kontrolle: Daten verbleiben in definierten Jurisdiktionen – typischerweise in der EU oder sogar im eigenen Rechenzentrum. Keine unkontrollierte Übermittlung in Drittländer ohne angemessenes Datenschutzniveau.
Technische Kontrolle: Das Unternehmen bestimmt, wo und wie Daten gespeichert und verarbeitet werden. Keine Abhängigkeit von externen Cloud-Diensten für sensible Verarbeitungsprozesse.
Prozessuale Kontrolle: Klare Regelungen für Zugriffsberechtigungen, Verarbeitungszwecke und Löschfristen. Nachvollziehbare Prozesse für alle Datenverarbeitungstätigkeiten.
Vertragliche Kontrolle: Einfluss auf die Vertragsgestaltung mit Dienstleistern, etwa durch Auftragsverarbeitungsverträge mit definierten Sicherheitsstandards.
Lokale KI-Verarbeitung vs. Cloud-basierte KI
Die entscheidende technische Wahl für DSGVO-konforme KI ist zwischen lokaler und cloud-basierter Verarbeitung:
| Aspekt | Cloud-basierte KI | Lokale KI-Verarbeitung |
|---|---|---|
| Datenstandort | Externe Server, oft in den USA | Eigene Infrastruktur, EU-Rechenzentren |
| DSGVO-Konformität | Komplex, SCCs erforderlich, Risiken | Standardmäßig gegeben |
| Datensouveränität | Eingeschränkt | Vollständig |
| Transparenz | Begrenzte Einblicke | Vollständige Kontrolle |
| Schulungsdaten | Werden oft für Modelltraining genutzt | Bleiben isoliert, kein Training |
| Performance | Hohe Rechenleistung verfügbar | Abhängig von eigener Infrastruktur |
Für die M&A-Beratung mit ihren höchsten Anforderungen an Vertraulichkeit und Datenschutz ist die lokale KI-Verarbeitung der klare Favorit. Sie eliminiert die rechtlichen Unsicherheiten der Cloud-Nutzung und gewährleistet volle Datensouveränität.
Der sichere KI-Datenraum: Technische Architektur
Ein DSGVO-konformer, KI-fähiger Datenraum für die M&A-Beratung basiert auf einer durchdachten technischen Architektur:
1. Isolierte Verarbeitungsumgebung
Die KI-Modelle laufen in einer isolierten Umgebung, die physisch oder logisch von anderen Systemen getrennt ist. Für jede Transaktion kann bei Bedarf eine separate Instanz erstellt werden – eine Art „KI-Container“ für den jeweiligen Deal.
Diese Isolierung verhindert, dass Daten zwischen verschiedenen Projekten vermischt werden. Nach Abschluss einer Transaktion kann die gesamte Umgebung inklusive aller Daten vollständig gelöscht werden.
2. Ende-zu-Ende-Verschlüsselung
Alle Daten werden verschlüsselt – bei der Übertragung (TLS/SSL) und bei der Speicherung (AES-256). Die Verschlüsselungsschlüssel werden getrennt von den Daten verwaltet, typischerweise in einem Hardware Security Module (HSM).
Selbst Administratoren des Datenraum-Anbieters haben so keinen Zugriff auf die unverschlüsselten Inhalte.
3. Granulares Berechtigungsmanagement
Der Zugriff auf Dokumente und KI-Funktionen wird feingranular gesteuert. Verschiedene Gruppen – Buyer, Seller, Advisor, Auditor – erhalten jeweils nur die für ihre Aufgaben notwendigen Rechte.
Diese Zugriffssteuerung gilt auch für die KI: Nicht jeder Nutzer muss Zugriff auf alle KI-Funktionen haben. Kritische Analysen können auf ausgewiesene Senior-Berater beschränkt werden.
4. Audit-Logging und Nachweisfähigkeit
Jede Aktion wird protokolliert: Wer hat wann auf welches Dokument zugegriffen? Welche KI-Anfragen wurden gestellt? Wer hat Daten heruntergeladen?
Diese Logs sind manipulationssicher gespeichert und können für Compliance-Zwecke oder im Streitfall als Beweismittel herangezogen werden. Sie bilden auch die Grundlage für die Auskunftspflichten gegenüber Betroffenen.
5. Automatisierte Löschung
Die DSGVO verlangt die Löschung personenbezogener Daten, sobald der Speicherungszweck entfällt. Ein sicherer KI-Datenraum implementiert automatisierte Löschprozesse:
Nach Abschluss einer Transaktion werden alle Daten nach einer definierten Frist (z.B. 90 Tage für Nachweiszweecke) automatisch und unwiderruflich gelöscht. Die KI-Verarbeitungshistorie wird gelöscht, die Container-Umgebung wird entfernt.
Compliance-Management: Prozesse für den KI-Einsatz
Technische Sicherheit allein reicht nicht – es bedarf auch klarer Prozesse und Dokumentation:
Verfahrensverzeichnis und TOM
Jede Verarbeitungstätigkeit ist im Verfahrensverzeichnis zu dokumentieren. Für den KI-Einsatz gehören dazu:
- Zweck der KI-Verarbeitung (z.B. „Dokumentenzusammenfassung für Due Diligence“)
- Betroffene Datenkategorien (z.B. „Vertragsdokumente, Finanzberichte“)
- Rechtsgrundlage (z.B. „Berechtigtes Interesse gem. Art. 6 Abs. 1 lit. f DSGVO“)
- Technische und organisatorische Maßnahmen (TOM)
- Löschfristen
Auftragsverarbeitungsvertrag
Wenn ein Datenraum-Anbieter mit KI-Funktionen eingesetzt wird, ist ein Auftragsverarbeitungsvertrag (AVV) zwingend erforderlich. Dieser regelt:
- Gegenstand und Dauer der Auftragsverarbeitung
- Art und Zweck der Verarbeitung
- Pflichten und Rechte des Auftragsverarbeiters
- Unterauftragsverhältnisse (wenn die KI extern betrieben wird)
- Kontrollrechte des Auftraggebers
Datenschutz-Folgenabschätzung
Bei hochriskanten Verarbeitungen ist eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen. Für KI-Einsätze in der M&A-Beratung mit lokalen, isolierten Systemen ist das Risiko typischerweise als gering einzustufen – dennoch sollte die DSFA dokumentiert werden.
Schulung und Sensibilisierung
Die Mitarbeiter müssen im sicheren Umgang mit KI geschult werden. Dazu gehören:
- Welche Daten dürfen in die KI eingegeben werden?
- Wie formuliere ich Prompts datenschutzkonform?
- Wie gehe ich mit KI-Outputs um?
- Wann ist menschliche Überprüfung erforderlich?
Best Practices für DSGVO-konforme KI in der M&A-Praxis
Aus der praktischen Erfahrung lassen sich folgende Empfehlungen ableiten:
Vor der Transaktion: Vorbereitung und Dokumentation
Legen Sie frühzeitig fest, welche KI-Funktionen eingesetzt werden sollen und zu welchem Zweck. Dokumentieren Sie dies im Verfahrensverzeichnis. Prüfen Sie den Datenraum-Anbieter auf Compliance-Zertifizierungen (ISO 27001, SOC 2) und DSGVO-Konformität.
Stellen Sie sicher, dass ein Auftragsverarbeitungsvertrag vorliegt und die technischen und organisatorischen Maßnahmen dokumentiert sind.
Während der Transaktion: Kontrollierte Nutzung
Beschränken Sie den KI-Zugriff auf die tatsächlich benötigten Dokumente. Vermeiden Sie die Verarbeitung unnötig sensibler Daten (z.B. Gesundheitsdaten, außer für spezifische medizinische Due Diligence).
Dokumentieren Sie die KI-Nutzung im Audit-Log. Validieren Sie kritische KI-Outputs menschlich, bevor sie in Entscheidungen einfließen.
Nach der Transaktion: Löschung und Nachweis
Löschen Sie alle Daten gemäß der definierten Fristen. Archivieren Sie die Audit-Logs für den Nachweis der rechtmäßigen Verarbeitung. Führen Sie eine Abschlussdokumentation, aus der Zweck, Dauer und Löschung der Verarbeitung hervorgehen.
Regelmäßige Compliance-Überprüfung
Die datenschutzrechtlichen Anforderungen ändern sich kontinuierlich. Neue Gerichtsentscheidungen, Aufsichtsbehörden-Richtlinien und technische Entwicklungen beeinflussen, was als „konform“ gilt. Daher ist eine regelmäßige Überprüfung und Anpassung der Prozesse erforderlich.
Vier-Augen-Prinzipien bei kritischen KI-Analysen, regelmäßige Schulungen und die Aktualisierung von Dokumentationen gehören zum kontinuierlichen Compliance-Management.
Praxisbeispiel: DSGVO-konforme Due Diligence mit KI
Ein M&A-Berater begleitet die Übernahme eines Mittelstandsunternehmens durch einen Finanzinvestor. Die Due Diligence umfasst 15.000 Dokumente mit personenbezogenen Daten von 800 Mitarbeitern sowie Finanz- und Vertragsdaten.
Setup: Ein virtueller Datenraum mit lokaler KI-Verarbeitung wird eingerichtet. Die KI-Instanz läuft in einem deutschen Rechenzentrum, isoliert von anderen Systemen. Ein Auftragsverarbeitungsvertrag ist vorhanden.
Durchführung: Die KI unterstützt bei der Dokumentenklassifizierung, erstellt Vertragszusammenfassungen und beantwortet Rechercheanfragen. Alle Aktionen werden geloggt. Der Zugriff ist auf das Due Diligence-Team beschränkt.
Compliance: Die Rechtsgrundlage ist das berechtigte Interesse des Investors an der Transaktionsprüfung. Die Datenminimierung wird gewahrt, da nur die für die Due Diligence notwendigen Daten verarbeitet werden. Die Transparenz ist durch berechtigte Informationspflichten gegenüber den Mitarbeitern gegeben.
Abschluss: Nach Transaktionsabschluss werden alle Daten nach 90 Tagen automatisch gelöscht. Die Audit-Logs werden für drei Jahre archiviert. Die DSFA dokumentiert das geringe Risiko der Verarbeitung durch die lokalen Sicherheitsmaßnahmen.
Die Rolle von Datenschutzbeauftragten und Compliance-Teams
Der erfolgreiche Einsatz von KI in der M&A-Beratung erfordert die enge Zusammenarbeit zwischen IT, Rechtsabteilung und Datenschutzbeauftragten. Der Datenschutzbeauftragte spielt eine zentrale Rolle als Schnittstelle zwischen technischer Implementierung und rechtlicher Compliance.
Die Aufgaben umfassen die Beratung bei der Auswahl geeigneter KI-Systeme, die Begleitung der Datenschutz-Folgenabschätzung, die Überwachung der Einhaltung von Löschfristen und die Bearbeitung von Betroffenenanfragen. Eine frühzeitige Einbindung des Datenschutzbeauftragten verhindert teure Nachbesserungen.
Compliance-Teams müssen sicherstellen, dass nicht nur die DSGVO, sondern auch branchenspezifische Vorschriften eingehalten werden. Im Finanzsektor können dies zusätzliche regulatorische Anforderungen sein, im Gesundheitssektor besondere Schutzstandards für Gesundheitsdaten.
Internationale Transaktionen: Besondere Herausforderungen
Bei grenzüberschreitenden M&A-Transaktionen kommen zusätzliche Komplexitäten hinzu. Nicht alle Länder haben Datenschutzstandards, die mit der DSGVO vergleichbar sind. Die Übermittlung von Daten in Drittländer erfordert besondere Schutzmaßnahmen.
Für KI-gestützte Due Diligence bedeutet dies: Wenn Daten aus verschiedenen Jurisdiktionen zusammenfließen, muss der strengste gemeinsame Standard angewendet werden. Ein virtueller Datenraum mit lokaler EU-KI-Verarbeitung bietet hier die sicherste Lösung, da die Daten nicht das EU-Rechtsgebiet verlassen.
Bei Transaktionen mit Beteiligten aus den USA ist zusätzlich zu beachten, dass das CLOUD Act US-Behörden Zugriff auf Daten bei US-Anbietern ermöglicht – unabhängig davon, wo die Daten physisch gespeichert sind. Dies unterstreicht die Bedeutung europäischer oder lokaler KI-Infrastruktur für DSGVO-konforme Prozesse.
Vergleich: KI-Systeme und ihre DSGVO-Konformität
| Kriterium | Öffentliche Cloud-KI | Private Cloud-KI | Lokale On-Premise-KI |
|---|---|---|---|
| Datenstandortkontrolle | Gering | Mittel | Hoch |
| DSGVO-Compliance | Komplex (SCCs nötig) | Mittel (AVV nötig) | Einfach |
| Transparenz über Datenfluss | Begrenzt | Mittel | Vollständig |
| Auditing-Möglichkeiten | Eingeschränkt | Mittel | Umfassend |
| Investition | Gering (OpEx) | Mittel | Hoch (CapEx) |
| Betriebsaufwand | Gering | Mittel | Hoch |
Für M&A-Transaktionen mit hochsensiblen Daten ist die lokale On-Premise-KI trotz höherer Investition die empfohlene Lösung. Die volle Kontrolle über Daten und Prozesse rechtfertigt die zusätzlichen Kosten bei Weitem.
Fazit: KI und Datenschutz sind vereinbar
Die DSGVO ist kein Hindernis für den KI-Einsatz in der M&A-Beratung – sie ist ein Rahmen, der klare Spielregeln definiert. Wer diese Regeln beachtet und auf Datensouveränität sowie lokale KI-Verarbeitung setzt, kann die Effizienzvorteile der KI voll ausschöpfen, ohne rechtliche Risiken einzugehen.
Die entscheidenden Erfolgsfaktoren sind:
- Datensouveränität: Volle Kontrolle über die eigenen Daten durch lokale Verarbeitung
- Transparenz: Klare Prozesse und Dokumentation für alle Verarbeitungstätigkeiten
- Technische Sicherheit: Verschlüsselung, Isolierung, Zugriffskontrolle
- Prozessuale Sicherheit: Schulung, Audit-Logging, definierte Löschfristen
- Kontinuierliche Überwachung: Regelmäßige Compliance-Checks und Anpassung
Unternehmen, die diese Prinzipien umsetzen, nutzen KI nicht trotz der DSGVO, sondern im Einklang mit ihr. Sie profitieren von Effizienz und gleichzeitig von der Sicherheit, compliant zu arbeiten. In einer Zeit, in der Datenschutz zunehmend zu einem Wettbewerbsfaktor wird, ist dies ein strategischer Vorteil, der über die rechtliche Absicherung hinausgeht.
Häufig gestellte Fragen
Darf ich überhaupt KI für M&A-Transaktionen nutzen?
Ja, unter Beachtung der DSGVO-Grundsätze ist der KI-Einsatz uneingeschränkt zulässig. Die Technologie ist nicht das Problem – entscheidend ist die Art und Weise der Implementierung.
Muss ich bei KI-Nutzung die Betroffenen informieren?
Ja, Art. 13 und 14 DSGVO verlangen eine Information der Betroffenen über die Verarbeitung ihrer Daten, einschließlich der Nutzung automatisierter Systeme. Dies kann über bestehende Informationspflichten im Zusammenhang mit der Transaktion erfolgen.
Was ist sicherer: lokale KI oder Cloud-KI mit SCCs?
Lokale KI-Verarbeitung ist datenschutzrechtlich unkomplizierter und risikoärmer. Standardvertragsklauseln (SCCs) für Cloud-Dienste schaffen zwar eine Rechtsgrundlage für Datenübermittlungen, bringen aber Komplexität und Restrisiken mit sich.
Wer haftet bei Datenschutzverstößen durch die KI?
Der Datenraum-Betreiber haftet als Auftragsverarbeiter nach den Regelungen des AVV. Der Auftraggeber (M&A-Berater oder mandierendes Unternehmen) bleibt als Verantwortlicher jedoch in der Pflicht, geeignete Maßnahmen sicherzustellen.
Wie lange muss ich Audit-Logs aufbewahren?
Die Aufbewahrungsfrist hängt von der Verjährungsfrist möglicher Ansprüche ab. Üblicherweise werden Audit-Logs für drei bis sechs Jahre archiviert, bevor sie gelöscht werden.
Sie möchten KI DSGVO-konform in Ihre M&A-Prozesse integrieren? Kontaktieren Sie uns für eine Beratung zu unseren sicheren, DSGVO-konformen Datenraum-Lösungen mit lokaler KI-Verarbeitung.
