Fusionen und Übernahmen (M&A) schaffen erhebliche Wachstumschancen, aber in Irland bergen sie auch erhebliche Datenschutzrisiken. Nach der Datenschutz-Grundverordnung (DSGVO) und dem Irish Data Protection Act 2018 erfordert der Umgang mit personenbezogenen Daten während M&A-Transaktionen eine sorgfältige Planung. Der Ausfall des Schutzes personenbezogener Daten kann zu schweren Strafen, Reputationsschäden und Vertrauensverlusten von Stakeholdern führen. Dieser Artikel bietet einen umfassenden Leitfaden zum Schutz personenbezogener Daten während des gesamten M&A-Lebenszyklus in Irland.

Irische Datenschutzgesetze verstehen

Der irische Datenschutzrahmen ist stark vom EU-Recht beeinflusst. Die seit Mai 2018 unmittelbar geltende DSGVO setzt hohe Maßstäbe für die Verarbeitung personenbezogener Daten. Die Datenschutzkommission (DPC) ist die unabhängige irische Aufsichtsbehörde, die die DSGVO durchsetzt und bei schwerwiegenden Verstößen Geldbußen in Höhe von bis zu 4 % des jährlichen Weltumsatzes oder 20 Mio. € (je nachdem, welcher Wert höher ist) verhängt.

Bei M&A-Transaktionen müssen alle Datenverarbeitungsaktivitäten den Grundsätzen der DSGVO entsprechen: Rechtmäßigkeit, Fairness, Transparenz, Zweckbindung, Datenminimierung, Genauigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht. Diese Grundsätze gelten nicht nur für den täglichen Betrieb der fusionierenden Unternehmen, sondern auch für die Due Diligence- und Integrationsphasen.

Darüber hinaus enthält der Irish Data Protection Act 2018 spezifische Bestimmungen, die die DSGVO ergänzen, einschließlich der Regeln für die Verarbeitung besonderer Datenkategorien und Ausnahmen für bestimmte Zwecke.

Wichtige Schritte zum Schutz personenbezogener Daten während M & A

Vor, während und nach einer Transaktion müssen proaktive Maßnahmen ergriffen werden, die die Einhaltung und Sicherheit gewährleisten.

1. Durchführung umfassender Datenaudits

Bevor Daten übertragen oder zusammengeführt werden können, ist ein vollständiges Verzeichnis aller personenbezogenen Daten des Zielunternehmens erforderlich. Dieses Audit sollte Mitarbeiterdatensätze, Kundendatenbanken, Lieferantenkontakte, Marketinglisten und andere strukturierte oder unstrukturierte personenbezogene Daten umfassen. Jedes Datenelement sollte nach Art, Quelle, Zweck der Verarbeitung, Aufbewahrungsfrist und Rechtsgrundlage klassifiziert werden.

Bei der Prüfung müssen auch alle sensiblen oder besonderen Datenkategorien (z. B. Gesundheit, Biometrie, politische Meinungen) ermittelt werden, die zusätzliche Schutzmaßnahmen erfordern.

2. Datenminimierung umsetzen

Während der Due-Diligence-Phase sollten die Unternehmen nach Möglichkeit begrenzte Datensätze – oft anonymisiert oder pseudonymisiert – anfordern, die für die spezifischen Zwecke der Fusion erforderlich sind. So können beispielsweise aggregierte Gehaltsspannen ausreichen, um finanzielle Verbindlichkeiten zu bewerten, anstatt vollständige Angaben zur Mitarbeiterabrechnung zu machen.

Die Datenminimierung reduziert das Risiko einer Exposition im Falle eines Verstoßes und entspricht dem DSGVO-Prinzip der Speicherbegrenzung. Nach Abschluss der Transaktion müssen Daten, die nicht mehr für die Integration benötigt werden, sicher gelöscht oder gemäß den gesetzlichen Aufbewahrungspflichten archiviert werden.

3. Sichere Datenübertragung

Die Übermittlung personenbezogener Daten zwischen Unternehmen während der M&A-Übertragung erfordert eine robuste Verschlüsselung und sichere Kanäle. Irland liegt im Europäischen Wirtschaftsraum (EWR), so dass Übertragungen innerhalb des EWR in der Regel uneingeschränkt sind. Wenn die übernehmende Partei jedoch außerhalb des EWR ansässig ist (z. B. im Vereinigten Königreich nach dem Brexit oder in den USA), müssen zusätzliche Übertragungsmechanismen wie Standardvertragsklauseln (SCCs) oder verbindliche Unternehmensregeln (BCRs) verwendet werden.

Alle Daten, die übertragen werden, sollten mit TLS 1.2 oder höher verschlüsselt werden. Daten, die sich im Ruhezustand befinden, müssen ebenfalls verschlüsselt werden.

4. Aktualisieren der Datenschutzrichtlinien und -hinweise

Nach Artikel 13 und 14 der DSGVO haben die betroffenen Personen das Recht, darüber informiert zu werden, wie ihre Daten verarbeitet werden. Die fusionierenden Unternehmen müssen ihre Datenschutzrichtlinien überprüfen und aktualisieren, um neue Verarbeitungsaktivitäten im Zusammenhang mit den M & A widerzuspiegeln. Dies kann Änderungen am Datenverantwortlichen, den Verarbeitungszwecken und dem Zeitplan für die Datenspeicherung umfassen.

Es ist eine gute Praxis, diese Änderungen direkt an Mitarbeiter, Kunden und Lieferanten zu kommunizieren, und es sollten gegebenenfalls eine klare Sprache und einfache Opt-out-Mechanismen für Marketing-Kommunikation zur Verfügung gestellt werden.

5. Zugang zu wesentlichen Personen beschränken

Der Datenzugriff sollte rollenbasiert sein und nur denjenigen gewährt werden, die ihn für die Durchführung bestimmter M&A-Aufgaben benötigen, darunter Rechtsberater, Finanzprüfer, Integrationsmanager und IT-Sicherheitspersonal.

Zur Rückverfolgung von Lecks sollten virtuelle Datenräume (VDRs) mit detaillierten Zugangskontrollen und Wasserzeichendokumenten verwendet werden. Geheimhaltungsvereinbarungen (NDA) sollten von allen Parteien unterzeichnet werden, und es sollten Schulungen zu Datenschutzverpflichtungen durchgeführt werden, bevor der Zugang gewährt wird.

Rechtliche und regulatorische Überlegungen

Irische M&A-Transaktionen erfordern eine enge Zusammenarbeit zwischen Unternehmensanwälten, Datenschutzbeauftragten und den Compliance-Teams der Zielpersonen. Der Rechtsrahmen ist nicht statisch; jüngste Entwicklungen wie der EU Data Governance Act und der vorgeschlagene Data Act können weitere Verpflichtungen für den Datenaustausch und die Portabilität hinzufügen.

Due Diligence aus datenschutzrechtlicher Sicht

Die rechtliche Sorgfaltspflicht sollte eine gründliche Überprüfung der Datenschutz-Compliance-Historie des Zielunternehmens umfassen, die die Überprüfung auf vorherige Untersuchungen oder Durchsetzungsmaßnahmen des DPC, bestehende Datenverarbeitungsvereinbarungen (DPAs) mit Dritten sowie anhängige Antragsunterlagen (SARs) oder Beschwerden von betroffenen Personen beinhaltet.

Der Acquirer muss den Datenschutzfußabdruck des Ziels, einschließlich aller Datenverarbeitungsaktivitäten, die zugrunde gelegten Rechtsgrundlagen und die Angemessenheit der Sicherheitsmaßnahmen verstehen.

Datenverarbeitungsvereinbarungen (DPAs)

Wenn das Zielunternehmen Datenverarbeiter von Drittanbietern (z. B. Cloud-Dienstleister, Lohnabrechnungsunternehmen, Marketingagenturen) einsetzt, muss der Acquirer die Bedingungen dieser Verträge überprüfen. Gemäß Artikel 28 der DSGVO müssen die Datenschutzbehörden den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Pflichten des Auftragsverarbeiters angeben.

Während der M&A-Vereinbarungen müssen diese Vereinbarungen möglicherweise verlängert, gekündigt oder neu verhandelt werden. Der Acquirer sollte sicherstellen, dass alle Auftragsverarbeiter die DSGVO einhalten und dass geeignete Datenverarbeitungsbedingungen für die Post-Merger-Operationen gelten.

Rolle des Datenschutzbeauftragten (DPO)

Sowohl die übernehmenden als auch die Zielunternehmen können DSBs haben. Ihre Beteiligung am M&A-Prozess ist von wesentlicher Bedeutung, insbesondere für die Bewertung der Datenverarbeitungsaktivitäten, die Beratung zur Risikominderung und die Gewährleistung, dass die Datenschutz-Folgenabschätzung (DPIA) bei Bedarf durchgeführt wird. Die DSBs sollten Teil des Integrationsprojektteams sein, um fortlaufende Anleitungen zu geben.

In einigen Fällen kann durch den Zusammenschluss ein neues Unternehmen der Gruppe entstehen, das eine neue DSB-Bezeichnung benötigt, insbesondere wenn das aus dem Zusammenschluss hervorgehende Unternehmen umfangreiche spezielle Datenkategorien verarbeitet oder Personen systematisch überwacht.

Umgang mit Betroffenenrechten während M&A

Die betroffenen Personen behalten alle ihre DSGVO-Rechte während einer M&A-Transaktion, einschließlich der Rechte auf Zugang, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

So kann ein Kunde beispielsweise die Löschung seiner personenbezogenen Daten gemäß Artikel 17 (Recht auf Löschung) verlangen, wobei das übernehmende Unternehmen prüfen muss, ob die Daten weiterhin für die rechtmäßigen Zwecke des M&A- oder zukünftigen Geschäfts benötigt werden. Andernfalls sollte die Löschung unverzüglich erfolgen. In einigen Fällen kann das Recht auf Löschung gegen mögliche rechtliche Verpflichtungen zur Aufbewahrung von Daten aus regulatorischen oder vertraglichen Gründen abgewogen werden.

Darüber hinaus haben Mitarbeiter des Zielunternehmens klare Rechte in Bezug auf ihre personenbezogenen Daten. HR-Dateien sollten während der Due Diligence getrennt und nur nach Einholung der Zustimmung oder unter Berufung auf eine andere rechtmäßige Grundlage, wie das berechtigte Interesse der Transaktion in Verbindung mit angemessenen Garantien, geteilt werden.

Best Practices für Datensicherheit in M&A

Datensicherheit ist die Grundlage für den Schutz personenbezogener Daten bei Fusionen und Übernahmen. Die folgenden Praktiken tragen zur Risikominderung und zum Nachweis der Rechenschaftspflicht bei.

Strenge Cybersecurity-Maßnahmen umsetzen

Alle Systeme, die an der Übertragung und Speicherung personenbezogener Daten beteiligt sind, müssen durch Firewalls, Systeme zur Erkennung von Eindringlingen, Anti-Malware-Tools und regelmäßige Schwachstellenscans geschützt sein.

Durch Penetrationstests der Infrastruktur des Zielunternehmens vor der Transaktion können Schwachstellen aufgedeckt werden, die während oder nach der Fusion ausgenutzt werden könnten. Der Erwerber sollte auch die Cyberhygiene des Ziels bewerten, einschließlich Patch-Management-Richtlinien und Incident Response-Plänen.

Schulung und Sensibilisierung des Personals

Mitarbeiter, die während der M&A-Aktivitäten mit Daten umgehen, sollten gezielt zu den spezifischen Risiken der Transaktion geschult werden, wie Phishing-Versuche erkennen, Datenklassifizierung verstehen und wissen, wie man einen Verstoß meldet.

Wichtig ist auch, eine Datenschutzkultur zu schaffen, die über das M&A-Team hinausgeht. Alle Mitarbeiter sollten wissen, dass der Austausch personenbezogener Daten nach außen ohne Genehmigung verboten ist.

Erstellen von Incident Response Protocols

Selbst mit den besten Sicherheitsvorkehrungen können Datenschutzverletzungen auftreten. Unternehmen müssen einen klaren Incident Response Plan haben, der auf M&A-Szenarien zugeschnitten ist. Dieser Plan sollte Rollen, Kommunikationswege und Eskalationsverfahren definieren. Nach DSGVO muss ein Verstoß gegen personenbezogene Daten innerhalb von 72 Stunden dem DPC mitgeteilt werden, und in Fällen mit hohem Risiko müssen auch betroffene Personen informiert werden.

Während der M&A-Phase, bei der mehrere Rechtsträger und IT-Systeme beteiligt sind, ist eine Koordinierung unerlässlich.

Regelmäßig Überprüfung und Aktualisierung von Sicherheitsrichtlinien

Sicherheitsrichtlinien, die für ein eigenständiges Unternehmen ausreichend waren, können für ein aus dem Zusammenschluss hervorgehendes Unternehmen unzureichend sein. Nach der Fusion sollte der Erwerber eine umfassende Überprüfung aller Sicherheitsrichtlinien durchführen, einschließlich Zugangskontrolle, Verschlüsselung, Datenspeicherung und Geschäftskontinuität. Die Richtlinien sollten an die neue Organisationsstruktur und die regulatorischen Anforderungen angepasst werden.

Die kontinuierliche Überwachung und regelmäßige Audits tragen dazu bei, dass die Sicherheitsmaßnahmen wirksam bleiben. Der DPC erwartet von Unternehmen einen proaktiven Ansatz für die Datensicherheit, und regelmäßige Überprüfungen zeigen Rechenschaftspflicht.

Grenzüberschreitende Überlegungen in Irish M&A

Viele M&A-Transaktionen in Irland betreffen ein erwerbendes Unternehmen mit Sitz außerhalb der EU, wie die Vereinigten Staaten oder Asien. Nach dem Brexit ist Großbritannien ein Drittland gemäß der DSGVO, so dass die Übermittlung personenbezogener Daten von Irland nach Großbritannien einen geeigneten Übertragungsmechanismus erfordert, typischerweise SCCs oder einen Angemessenheitsbeschluss (falls in Kraft).

Die neuen EU-Standardvertragsklauseln (veröffentlicht 2021) sind für neue Datentransferverträge verbindlich, Unternehmen müssen sicherstellen, dass Verträge mit ausländischen Parteien diese Klauseln enthalten und durch eine entsprechende Risikobeurteilung (Transfer Impact Assessment) ergänzt werden.

Darüber hinaus hat die Schrems-II-Entscheidung des EuGH die Kontrolle von Übermittlungen an Länder wie die USA verschärft. Irlands DPC hat eine feste Haltung zur Durchsetzung eingenommen, so dass Unternehmen überprüfen müssen, ob das Empfängerland ein angemessenes Datenschutzniveau bietet.

Post-Merger-Integration und fortlaufende Compliance

Sobald der Zusammenschluss abgeschlossen ist, endet die Arbeit nicht. Das zusammengeschlossene Unternehmen muss sicherstellen, dass die personenbezogenen Daten beider Unternehmen in einer konformen Weise integriert werden. Dazu gehören die Abstimmung unterschiedlicher Datenspeicherungspläne, die Zusammenführung von Datenschutzrichtlinien und die Konsolidierung von Datenverarbeitungsregistern.

Die Struktur des Verantwortlichen ändert sich: Wo es früher einen unabhängigen Verantwortlichen gab, kann es jetzt eine gemeinsame Beziehung des Verantwortlichen geben oder ein Verantwortlicher nimmt einen anderen auf. Die Rechtsgrundlage für die Verarbeitung kann sich verschieben, so dass neue Zustimmungsanträge erforderlich sein können.

Der DPC erwartet, dass die integrierte Stelle über einen robusten Datenschutz-Governance-Rahmen verfügt, einschließlich eines DSB, falls erforderlich, dokumentierter Prozesse und laufender Schulungsprogramme für Mitarbeiter.

Schlussfolgerung

Der Schutz personenbezogener Daten bei irischen Fusionen und Übernahmen ist nicht nur eine rechtliche Verpflichtung, sondern eine unternehmerische Notwendigkeit, denn die Folgen der Nichteinhaltung – hohe Geldbußen, Vertrauensverlust der Kunden und Betriebsstörungen – überwiegen bei weitem die Investitionen in angemessene Datenschutzpraktiken.

Durch gründliche Datenaudits, die Minimierung der Datenerhebung, die Sicherung von Transfers, die Aktualisierung von Richtlinien, die Einschränkung des Zugriffs und die frühzeitige Einbeziehung von Datenschutzexperten können Unternehmen den M&A-Prozess mit Zuversicht steuern.

Für offizielle Leitlinien sollten Unternehmen die Website der ]Irish Data Protection Commission konsultieren und den vollständigen Text der ]GDPR lesen. Zusätzliche Ressourcen wie die ] UK ICO's Leitlinien zu M & A und Berichte von führenden Anwaltskanzleien wie Mason Hayes & Curran können ebenfalls wertvolle Erkenntnisse liefern.

Mit sorgfältiger Planung und Einhaltung der oben genannten Prinzipien können irische Unternehmen M & A-Transaktionen durchführen und gleichzeitig persönliche Daten schützen und das Vertrauen aller Stakeholder wahren.