# Datenschutz bei Umstrukturierungen und Due Diligence > Der Beitrag erläutert DSGVO-Anforderungen bei Umstrukturierungen, Due Diligence und der Weitergabe personenbezogener Daten an Erwerber. Quelle: https://www.mtrlegal.com/datenschutz-bei-umstrukturierungen-und-due-diligence/ · Sprache: de · Stand: 2026-10-21 --- ## Datenschutz als Risikofaktor bei Umstrukturierungen Umstrukturierungen gehören in der gegenwärtigen Wirtschaftspraxis für viele Unternehmen zum laufenden Geschäft. An solchen Vorgängen sind regelmäßig mehrere Beratergruppen beteiligt; zugleich stehen Entscheidungen und Umsetzungsschritte häufig unter erheblichem Zeitdruck. Datenschutzrechtliche Anforderungen werden in dieser Lage nicht selten nachrangig behandelt, obwohl sie bereits außerhalb von Transaktions- und Restrukturierungssituationen eine sorgfältige Prüfung erfordern. Die Vernachlässigung datenschutzrechtlicher Vorgaben kann erhebliche Folgen haben. Bei Umstrukturierungen ist regelmäßig eine Vielzahl natürlicher Personen betroffen, insbesondere Beschäftigte, Kunden oder Geschäftspartner. Diese Personen können mögliche Datenschutzverstöße geltend machen oder sich an die zuständigen Aufsichtsbehörden wenden. Bei Verstößen im Transaktionskontext kommen Bußgelder bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes in Betracht. Der nachfolgende Beitrag stellt die maßgeblichen datenschutzrechtlichen Grundsätze im Zusammenhang mit Umstrukturierungen dar. Im Mittelpunkt stehen insbesondere Unternehmenstransaktionen, Due-Diligence-Prüfungen und die Weitergabe personenbezogener Daten an potenzielle Erwerber. ## Datenschutzrechtliche Ausgangspunkte der DSGVO Die [Datenschutz-Grundverordnung](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679) enthält die zentralen Begriffe und Grundprinzipien, die bei jeder Verarbeitung personenbezogener Daten zu beachten sind. Für Umstrukturierungen ist dabei wesentlich, dass bereits vorbereitende Maßnahmen eine Verarbeitung personenbezogener Daten darstellen können. ### Personenbezogene Daten und Identifizierbarkeit [Personenbezogene Daten](https://www.mtrlegal.com/wiki/personenbezogene-daten/) sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Maßgeblich ist damit nicht nur, ob eine Person unmittelbar benannt wird. Entscheidend ist auch, ob sie anhand vorhandener oder wahrscheinlich nutzbarer Mittel bestimmt werden kann. Für die Beurteilung der Identifizierbarkeit ist nach Erwägungsgrund 26 DSGVO zu berücksichtigen, welche Mittel der Verantwortliche oder eine andere Person nach allgemeiner Wahrscheinlichkeit einsetzen kann, um eine Person zu identifizieren. Damit können auch scheinbar reduzierte Datensätze personenbezogen bleiben, wenn eine Zuordnung mit naheliegenden Zusatzinformationen möglich ist. ### Verarbeitung personenbezogener Daten Der Begriff der Verarbeitung ist weit gefasst. Nach Art. 4 Nr. 2 DSGVO erfasst er jeden Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, unabhängig davon, ob automatisierte Verfahren eingesetzt werden. Hierzu zählen insbesondere: - Erhebung und Erfassung, - Organisation, Ordnung und Speicherung, - Anpassung oder Veränderung, - Auslesen, Abfragen und Verwendung, - Offenlegung durch Übermittlung oder sonstige Bereitstellung, - Abgleich und Verknüpfung, - Einschränkung, Löschung und Vernichtung. Bei Umstrukturierungen liegt daher bereits dann eine Verarbeitung vor, wenn Mitarbeiterlisten erstellt, Organigramme weitergegeben oder Datensätze in einen [Datenraum eingestellt werden](https://www.mtrlegal.com/wiki/datenraum/). ### Grundsätze nach Art. 5 DSGVO Art. 5 DSGVO enthält die zentralen Grundsätze für jede Verarbeitung personenbezogener Daten. Für Umstrukturierungen sind insbesondere Rechtmäßigkeit, Transparenz, Zweckbindung und Datenminimierung von Bedeutung. Personenbezogene Daten dürfen nach Art. 5 Abs. 1 Buchst. a DSGVO nur rechtmäßig, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Daraus folgt, dass jede Verarbeitung eine tragfähige Rechtsgrundlage benötigt und der Grundsatz der Verhältnismäßigkeit einzuhalten ist. Zugleich soll Transparenz verhindern, dass Betroffene mögliche Rechtsverstöße mangels Kenntnis nicht geltend machen können. Nach Erwägungsgrund 39 DSGVO sollen natürliche Personen nachvollziehen können, ob sie betreffende personenbezogene Daten erhoben, verwendet, eingesehen oder anderweitig verarbeitet werden. Auch Umfang und künftige Verarbeitung sollen für sie erkennbar sein. Informationen und Mitteilungen zur Verarbeitung müssen leicht zugänglich, verständlich sowie in klarer und einfacher Sprache abgefasst sein. Art. 5 Abs. 1 Buchst. b DSGVO verlangt eine Zweckbindung. Personenbezogene Daten müssen für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer hiermit unvereinbaren Weise weiterverarbeitet werden. Der Zweck muss bereits bei der Datenerhebung feststehen. Art. 5 Abs. 1 Buchst. c DSGVO verpflichtet zur Datenminimierung. Die Verarbeitung muss dem jeweiligen Zweck angemessen und erheblich sein und auf das notwendige Maß beschränkt bleiben. ## Rechtsgrundlagen für die Datenverarbeitung Für jede Verarbeitung personenbezogener Daten ist eine Rechtsgrundlage erforderlich. Seit dem [Urteil des Gerichtshofs der Europäischen Union](https://curia.europa.eu/juris/document/document.jsf?docid=272068&doclang=DE) vom 30. März 2023 ist von der Unionsrechtswidrigkeit der nationalen Grundlage des § 26 Abs. 1 Satz 1 BDSG auszugehen. Die Rechtmäßigkeit einer Verarbeitung ist daher an Art. 6 Abs. 1 Satz 1 DSGVO zu messen, soweit es um die hier relevanten Fallgestaltungen geht. ### Einwilligung nach Art. 6 Abs. 1 Satz 1 Buchst. a DSGVO Eine Verarbeitung kann nach Art. 6 Abs. 1 Satz 1 Buchst. a DSGVO zulässig sein, wenn die betroffene Person ihre Einwilligung für einen oder mehrere bestimmte Zwecke erteilt hat. An eine wirksame Einwilligung stellt die DSGVO hohe Anforderungen. Nach Art. 7 Abs. 1 DSGVO muss nachgewiesen werden können, dass eine Einwilligung erteilt wurde. Erwägungsgrund 32 verlangt eine eindeutige bestätigende Handlung. Diese muss freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich zum Ausdruck bringen, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Nach Erwägungsgrund 42 soll die betroffene Person zumindest wissen, wer Verantwortlicher ist und zu welchen Zwecken die Daten verarbeitet werden. Im Beschäftigungsverhältnis ist vor allem die Freiwilligkeit problematisch. Teilweise wird vertreten, dass eine freiwillige Einwilligung im Arbeitsverhältnis wegen des Abhängigkeitsverhältnisses nicht möglich sei. Diese Auffassung ist in ihrer Absolutheit abzulehnen; gleichwohl ist die Freiwilligkeit im Beschäftigungsverhältnis stets sorgfältig im Einzelfall zu beurteilen. Eine Einwilligung kann nach Art. 7 Abs. 3 Satz 1 DSGVO jederzeit widerrufen werden. Über dieses Widerrufsrecht ist die betroffene Person vor Abgabe der Einwilligungserklärung zu informieren, Art. 7 Abs. 3 Satz 3 DSGVO. ### Berechtigte Interessen nach Art. 6 Abs. 1 Satz 1 Buchst. f DSGVO In der Praxis besonders bedeutsam ist Art. 6 Abs. 1 Satz 1 Buchst. f DSGVO. Danach ist eine Verarbeitung rechtmäßig, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist. Dies gilt allerdings nur, soweit nicht Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen, die den Schutz personenbezogener Daten verlangen. Als berechtigte Interessen kommen nicht nur rechtliche, sondern auch tatsächliche, wirtschaftliche und ideelle Interessen des Verantwortlichen oder eines Dritten in Betracht. An die Erforderlichkeitsprüfung schließt sich eine Interessenabwägung an. Dabei ist nach Erwägungsgrund 47 DSGVO insbesondere von Bedeutung, ob die betroffene Person zum Zeitpunkt der Datenerhebung vernünftigerweise mit einer Verarbeitung zu dem betreffenden Zweck rechnen konnte. ### Betriebsvereinbarung als mögliche Grundlage Art. 88 Abs. 1 DSGVO eröffnet den Mitgliedstaaten die Möglichkeit, durch Rechtsvorschriften oder Kollektivvereinbarungen spezifischere Vorschriften für die Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext vorzusehen. Dies betrifft insbesondere Zwecke der Einstellung, Durchführung und Beendigung des Beschäftigungsverhältnisses, Management, Planung und Organisation der Arbeit, Gleichheit und Diversität am Arbeitsplatz, Gesundheit und Sicherheit, Schutz des Eigentums des Arbeitgebers oder der Kunden sowie die Inanspruchnahme individueller oder kollektiver Rechte und Leistungen im Zusammenhang mit der Beschäftigung. Der deutsche Gesetzgeber hat hiervon Gebrauch gemacht. Nach § 26 Abs. 4 Satz 1 BDSG ist die Verarbeitung personenbezogener Daten einschließlich besonderer Kategorien personenbezogener Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses auf Grundlage von Kollektivvereinbarungen zulässig. Betriebsvereinbarungen können daher grundsätzlich eine Rechtsgrundlage für die Verarbeitung personenbezogener Beschäftigtendaten sein. Dabei müssen die Verhandlungspartner nach § 26 Abs. 4 Satz 2 BDSG Art. 88 Abs. 2 DSGVO beachten. Danach sind geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person vorzusehen. Dies betrifft insbesondere Transparenz, Datenübermittlung innerhalb einer Unternehmensgruppe oder Gruppe von Unternehmen mit gemeinsamer Wirtschaftstätigkeit sowie Überwachungssysteme am Arbeitsplatz. Das Schutzniveau der DSGVO darf nicht unterschritten werden. ## Bedeutung des Datenschutzes in Umstrukturierungen Die dargestellten Grundsätze sind bei Umstrukturierungen in zahlreichen Konstellationen einschlägig. Dies betrifft nicht nur die Durchführung der eigentlichen Transaktion, sondern bereits vorbereitende Maßnahmen. Typische Beispiele sind: - Erstellung von Organigrammen und Mitarbeiterlisten, - interne Verteilung solcher Unterlagen, - Weitergabe an Berater, - Due-Diligence-Prüfungen mit Mitarbeiterdaten, - Weitergabe personenbezogener Daten an potenzielle Erwerber, - Namenslisten nach § 1 Abs. 5 KSchG im Rahmen von Interessenausgleichsverhandlungen, - Vorbereitung und Durchführung von Freiwilligen-, Renten- oder Altersteilzeitprogrammen, - Berechnung von Abfindungen bei Sozialplanverhandlungen. In allen genannten Fällen werden personenbezogene Daten verarbeitet. Für jede einzelne Verarbeitung ist daher zu prüfen, ob eine Rechtsgrundlage besteht. Der Schwerpunkt liegt nachfolgend auf Unternehmenstransaktionen und insbesondere auf der Due Diligence, bei der personenbezogene Daten an potenzielle Erwerber übermittelt werden können. ## Due Diligence und Weitergabe von Beschäftigtendaten Die datenschutzrechtliche Einordnung hängt wesentlich davon ab, welche Daten zu welchem Zweck, in welchem Umfang und an wen weitergegeben werden. In Transaktionen ist außerdem zu unterscheiden, ob es sich um einen Share Deal oder einen Asset Deal handelt. Beim Share Deal bleibt die verantwortliche Stelle nach der Auslegung der Datenschutzkonferenz abgesehen von Prüfungshandlungen im Rahmen der Due Diligence grundsätzlich bestehen. Dadurch ist die Verarbeitung personenbezogener Daten im Vergleich zum Asset Deal regelmäßig weniger problematisch. Beim Asset Deal werden dagegen Vermögensgegenstände und Vertragsverhältnisse übertragen, sodass die Datenübermittlung an einen anderen Verantwortlichen regelmäßig stärker in den Fokus rückt. Die Datenschutzkonferenz hat auf ihrer Zwischenkonferenz am 11. September 2024 einen Beschluss zu Übermittlungen personenbezogener Daten an den Erwerber eines Unternehmens im Rahmen eines Asset Deals gefasst. Dieser Beschluss ersetzt den früheren Beschluss aus dem Jahr 2019 und stellt für bestimmte Fallgestaltungen einen Opt-out-Mechanismus in den Mittelpunkt der Datenübertragung beim Asset Deal. Der Vorgängerbeschluss vom 24. Mai 2019 enthielt einen Katalog von Fallgruppen für die Interessenabwägung nach Art. 6 Abs. 1 Satz 1 Buchst. f in Verbindung mit Art. 6 Abs. 4 DSGVO, unter anderem zu Kundendaten bei laufenden Verträgen und zu Kundendaten bei offenen Forderungen. Auf der 3. Zwischenkonferenz der Datenschutzkonferenz am 23. September 2026 standen dagegen Videoüberwachung in Fitnessstudios und Smart Glasses im Mittelpunkt; ein neuer Beschluss zu Asset Deals oder Umstrukturierungen wurde dort nicht gefasst. ### Einwilligung bei Übermittlung an Kaufinteressenten Die Einwilligung ist bei der Übermittlung personenbezogener Arbeitnehmerdaten an Kaufinteressenten regelmäßig nicht das vorzugswürdige Mittel. Bereits die Wirksamkeitsanforderungen sind erheblich, insbesondere im Beschäftigungsverhältnis. Hieraus ergibt sich eine nicht unerhebliche Rechtsunsicherheit. Hinzu kommt je nach Zahl der betroffenen Beschäftigten ein erheblicher Verwaltungsaufwand. Dieser Aufwand und die Rechtsunsicherheit werden dadurch verstärkt, dass die Einwilligung jederzeit nach Art. 7 Abs. 3 Satz 1 DSGVO widerrufen werden kann. Zwar wirkt der Widerruf nur für die Zukunft. Abhängig vom Stand des Transaktionsprozesses kann er das geplante Vorgehen dennoch erschweren oder zumindest verzögern. In der Transaktionspraxis tritt ein weiterer Gesichtspunkt hinzu. Die beteiligten Gesellschaften haben regelmäßig ein Interesse daran, die geplante Unternehmenstransaktion vertraulich zu behandeln. Dieses Geheimhaltungsinteresse steht häufig im Spannungsverhältnis zu der für eine wirksame Einwilligung erforderlichen konkreten und informierten Beschreibung der Datenverarbeitung. ### Betriebsvereinbarung bei Datenübermittlung an Erwerber Auch eine Betriebsvereinbarung kommt in der Praxis nicht als tragfähige Grundlage für die Übermittlung personenbezogener Arbeitnehmerdaten an potenzielle Erwerber in Betracht. Bereits fraglich ist, ob Art. 88 Abs. 1 DSGVO einschlägig ist und eine Betriebsvereinbarung in dieser Situation überhaupt als geeignete Grundlage dienen kann. Für den Beschäftigungskontext im Sinne von Art. 88 Abs. 1 DSGVO ist ein unmittelbarer sachlicher Zusammenhang mit dem Vertragszweck der Beschäftigungsverhältnisse erforderlich. Die Übermittlung an einen potenziellen Käufer dient jedoch allein dessen Interesse. Der erforderliche unmittelbare sachliche Zusammenhang besteht daher nicht. Zudem wäre eine solche Betriebsvereinbarung regelmäßig nicht auf einen konkreten Einzelfall zugeschnitten, sondern vergleichsweise allgemein auf die Weitergabe personenbezogener Daten im Rahmen einer Due Diligence gerichtet. Dies dürfte in gleicher Weise wie bei einer pauschalen Einwilligung problematisch sein. Art. 88 DSGVO erlaubt nur spezifischere Regelungen. ### Berechtigte Interessen als verbleibende Grundlage Für die Weitergabe personenbezogener Arbeitnehmerdaten an potenzielle Erwerber bleibt damit im Ausgangspunkt Art. 6 Abs. 1 Satz 1 Buchst. f DSGVO als Rechtsgrundlage. Zunächst muss die Datenweitergabe erforderlich sein. Die Due Diligence darf in Bezug auf die jeweilige Datenkategorie nicht ohne Übermittlung der betreffenden Daten durchgeführt werden können. Die Erforderlichkeit ist für jede Datenkategorie gesondert zu prüfen. Zugleich ist die Verhältnismäßigkeit zu berücksichtigen. Zur Verhältnismäßigkeit und zur Beachtung des Grundsatzes der Datenminimierung kann beitragen, Daten zu pseudonymisieren oder im besten Fall zu anonymisieren. Nach der Erforderlichkeitsprüfung ist eine Interessenabwägung vorzunehmen. Die Interessen der von der Verarbeitung betroffenen Person dürfen die Interessen des Verantwortlichen an der Weitergabe der Daten nicht überwiegen. Der Arbeitgeber kann diese Abwägung durch geeignete Rahmenbedingungen beeinflussen. Von Bedeutung können insbesondere sein: - transparente Information bereits bei Erhebung der Daten, etwa zu Beginn des Arbeitsverhältnisses, dass eine Weitergabe im Rahmen einer Due Diligence an potenzielle Käufer in Betracht kommen kann, - Vereinbarungen mit Empfängern über die vertrauliche Behandlung übermittelter Daten, - Begrenzung des Zugangs auf den erforderlichen Personenkreis, - Einsatz von Datenräumen, - Beschränkung auf Einsichtnahme ohne Kopiermöglichkeit, soweit dies im konkreten Verfahren vorgesehen ist. Der Grundsatz der Zweckbindung steht einer Weitergabe auf Grundlage von Art. 6 Abs. 1 Satz 1 Buchst. f DSGVO nicht entgegen. Beide Verarbeitungszwecke dienen letztlich der Fortführung des Beschäftigungsverhältnisses. Die Verarbeitung ist daher nach Art. 6 Abs. 4 Buchst. a DSGVO zulässig. Die Anfang 2026 veröffentlichten Leitlinien der Liechtensteinischen Datenschutzstelle zu Due-Diligence-Prüfungen benennen ebenfalls Datenminimierung, Anonymisierung beziehungsweise Pseudonymisierung und Interessenabwägung als zentrale Anforderungen. Diese Punkte entsprechen den wesentlichen Vorgaben, die auch im Rahmen einer datenschutzrechtlichen Bewertung nach der DSGVO zu beachten sind. ## Besondere Kategorien personenbezogener Daten Für Kaufinteressenten können besonders geschützte Informationen teilweise eine erhebliche wirtschaftliche Bedeutung haben. Zu den besonderen Kategorien personenbezogener Daten zählen etwa Angaben über Gewerkschaftszugehörigkeit oder Schwerbehinderungen. Solche Daten unterliegen dem erhöhten Schutz des Art. 9 DSGVO. Für ihre Übermittlung im Rahmen einer Due Diligence besteht regelmäßig keine Rechtsgrundlage. Eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 Buchst. a DSGVO wird in der Praxis typischerweise nicht vorliegen. Auch die übrigen engen Ausnahmetatbestände des Art. 9 Abs. 2 DSGVO kommen regelmäßig nicht in Betracht. Ebenso liegen die Voraussetzungen der Öffnungsklausel des § 26 Abs. 3 BDSG nicht vor. Die Übermittlung erfolgt nicht zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht. Konsequenz ist, dass solche Daten nur als zusammengefasste Statistik dargestellt und gegebenenfalls durch vertragliche Garantien flankiert werden können. ## Informationspflichten nach Art. 13 und 14 DSGVO Informationspflichten werden bei Umstrukturierungen häufig nicht hinreichend berücksichtigt. Art. 13 und Art. 14 DSGVO verpflichten den Verantwortlichen, betroffenen Personen bestimmte Informationen über die Datenverarbeitung mitzuteilen. Dabei unterscheidet die DSGVO danach, ob die Daten direkt bei der betroffenen Person erhoben wurden oder nicht. Art. 13 DSGVO betrifft die Erhebung bei der betroffenen Person. Art. 14 DSGVO betrifft Fälle, in denen personenbezogene Daten nicht bei der betroffenen Person erhoben wurden. Informationspflichten können daher sowohl den Veräußerer als auch den Erwerber treffen. Der Erwerber erhält personenbezogene Daten, ohne sie bei den Betroffenen selbst erhoben zu haben. Der Veräußerer kann informationspflichtig sein, wenn bereits erhobene Daten für einen anderen Zweck weiterverarbeitet werden. ### Spannungsverhältnis zur Vertraulichkeit der Transaktion Wie bei der Einholung von Einwilligungen kann die Erfüllung von Informationspflichten mit dem Geheimhaltungsinteresse der beteiligten Gesellschaften kollidieren. Art. 14 Abs. 5 Buchst. b DSGVO berücksichtigt dies für Fälle, in denen die Informationen nach Art. 14 Abs. 1 DSGVO nicht erteilt werden müssen, wenn dies die Verwirklichung der Ziele der Verarbeitung unmöglich machen oder ernsthaft beeinträchtigen würde. Für den Erwerber kann daher eine Ausnahme von der Informationspflicht begründet werden. Dies führt allerdings zu dem auffälligen Ergebnis, dass zwar der Erwerber unter Umständen nicht informieren muss, der Veräußerer aber gleichwohl informationspflichtig bleibt. Art. 13 Abs. 3 DSGVO sieht eine Informationspflicht nicht nur bei erstmaliger Datenerhebung vor. Sie besteht auch dann, wenn Daten für einen anderen Zweck weiterverarbeitet werden als denjenigen, für den sie ursprünglich erhoben wurden. Anders als Art. 14 DSGVO enthält Art. 13 DSGVO keine entsprechende Ausnahme. Teilweise wird daher vertreten, Art. 14 Abs. 5 Buchst. b DSGVO auf Art. 13 DSGVO analog anzuwenden. Solange hierzu keine einschlägige Rechtsprechung vorliegt, bleibt ein Unterlassen der Information auf dieser Grundlage jedoch risikobehaftet. Das Risiko kann dadurch begrenzt werden, dass Daten soweit wie möglich pseudonymisiert werden. ### Transparenz als Schwerpunkt der Aufsicht Die Bedeutung von Transparenz- und Informationspflichten zeigt sich auch auf europäischer Aufsichtsebene. Der Europäische Datenschutzausschuss hat am 19. März 2026 seine Coordinated-Enforcement-Framework-Aktion 2026 gestartet, die die Transparenz- und Informationspflichten nach Art. 12, 13 und 14 DSGVO überprüft. An der Aktion beteiligen sich 25 Aufsichtsbehörden im Europäischen Wirtschaftsraum. Die Themenwahl war bereits am 14. Oktober 2025 im Plenum des Europäischen Datenschutzausschusses erfolgt. Für Umstrukturierungen unterstreicht dies, dass Informationspflichten nicht lediglich einen formalen Annex bilden. Sie sind ein eigenständiger Prüfungsgegenstand, der bei Transaktionen und Due-Diligence-Prozessen besondere Bedeutung erlangen kann. ## Entwicklungen im deutschen Datenschutzrecht Auch auf nationaler Ebene befinden sich die Strukturen des Datenschutzrechts in Bewegung. Der Bundesrat hat am 10. Juli 2026 in seiner 1067. Sitzung einen Entwurf eines Gesetzes zur Änderung des Bundesdatenschutzgesetzes beschlossen. Der Entwurf wurde dem Bundestag am 26. August 2026 als Drucksache 21/7732 zugeleitet. Ziel des Entwurfs ist es, die föderale Struktur der Datenschutzaufsicht durch verbindliche Kooperationsmechanismen und eine Bündelung von Zuständigkeiten zu modernisieren. Insbesondere sieht der Entwurf die gesetzliche Verankerung der Datenschutzkonferenz vor. Die Bundesregierung hat eine vom Bundesinnenminister vorgelegte Stellungnahme zu dem Bundesratsentwurf beschlossen. Der Entwurf greift zugleich die Ankündigung der Regierungsparteien von Anfang Juli 2026 auf, Aufsichtsstrukturen zu vereinfachen und unter anderem durch Zuständigkeitskonzentration beim Bundesdatenschutzbeauftragten zu bündeln. Nach der Föderalen Modernisierungsagenda vom 4. Dezember 2025 will der Bund bis zum 31. Dezember 2026 außerdem die Aufhebung des § 38 Abs. 1 BDSG einbringen und die Bestellpflicht für Datenschutzbeauftragte im nichtöffentlichen Bereich auf Art. 37 DSGVO zurückführen. Diese Entwicklungen ändern nichts daran, dass die materiellen Anforderungen der DSGVO bei Umstrukturierungen einzuhalten sind. Sie zeigen jedoch, dass Aufsichtsstrukturen und Durchsetzungsmechanismen weiterhin Gegenstand gesetzgeberischer und behördlicher Fortentwicklung sind. ## Fazit: Datenschutz frühzeitig als Teil der Transaktionsprüfung einordnen Bei Unternehmenstransaktionen stehen erfahrungsgemäß häufig wirtschaftliche, steuerliche, gesellschaftsrechtliche und finanzierungsbezogene Aspekte im Vordergrund. Datenschutzrechtliche Fragen treten insbesondere unter Zeitdruck leicht zurück. Gleichwohl kann die Übermittlung personenbezogener Daten im Rahmen von Umstrukturierungen erhebliche rechtliche und wirtschaftliche Folgen haben. Unzulässige Verarbeitungen oder nicht erfüllte Informationspflichten können hohe Bußgelder und mögliche Schadensersatzansprüche betroffener Personen auslösen. Dies wiegt besonders schwer, wenn eine Vielzahl von Arbeitnehmern, Kunden oder Geschäftspartnern betroffen ist. Vor diesem Hintergrund kommt der datenschutzrechtlichen Bewertung von Due-Diligence-Prozessen, Datenräumen und Übermittlungsvorgängen eine erhebliche Bedeutung zu. MTR Legal Rechtsanwälte begleitet Unternehmen, Investoren und vermögende Privatpersonen bei datenschutzrechtlichen Fragestellungen im Zusammenhang mit Umstrukturierungen, Transaktionen und laufenden Unternehmensprozessen. Wer rechtliche Fragen zur Verarbeitung personenbezogener Daten in solchen Situationen klären möchte, findet weitere Informationen unter [Rechtsberatung im Datenschutzrecht](https://www.mtrlegal.com/rechtsberatung/it-recht/datenschutz/).