Share Deal im Beratungshaus: Data Valuation, Informationssicherheit und ISO 27001

Warum der Share Deal die Datenfrage nicht erledigt

Ein Share Deal ist datenschutzrechtlich kein Freifahrtschein. Zwar bleibt die Zielgesellschaft dieselbe juristische Person und damit grundsätzlich Verantwortliche für ihre Datenverarbeitungen. Der Investor erwirbt aber nicht automatisch ein eigenes Zugriffs- oder Nutzungsrecht an operativen Daten. Bereits die Offenlegung im Datenraum, spätere Reporting-Linien, zentrale Plattformen oder konzernweite Analysen sind eigenständige Verarbeitungsvorgänge, die nach Zweck, Erforderlichkeit, Rollenmodell und Sicherheit geprüft werden müssen.

Im Beratungshaus ist diese Trennung besonders wichtig: Der Kauf von Gesellschaftsanteilen ändert weder die Vertraulichkeitszusagen gegenüber Mandanten noch die Zweckbindung personenbezogener Daten. Auch urheberrechtliche, vertragliche und geheimnisschutzrechtliche Grenzen bleiben bestehen. Was vor dem Closing nur für ein konkretes Projekt verarbeitet werden durfte, wird durch den Kontrollwechsel nicht automatisch zu einem frei verfügbaren Konzern- oder Trainingsdatensatz.

Informationssicherheit entscheidet, ob Know-how skalierbar ist

In Beratungshäusern verteilt sich geschäftskritisches Wissen typischerweise auf Microsoft 365 oder Google Workspace, Dokumentenmanagement, CRM, Projektplattformen, Fileshares, Kollaborationstools und generative KI. Breite Freigaben, private Synchronisationen, gemeinsam genutzte Konten, Shadow IT oder unkontrollierte Exporte können Mandantenwissen in kurzer Zeit entwerten. Information security ist deshalb nicht nur Schutzfunktion, sondern Voraussetzung für die wirtschaftliche Wiederverwendung von Wissen.

Neben der Vertraulichkeit sind Integrität und Verfügbarkeit wertrelevant. Veraltete Templates, manipulierte Benchmark-Daten oder ein nicht wiederherstellbares Wissensrepository beeinträchtigen Projektqualität, Lieferfähigkeit und Reputation. Ein wirksames information security management verbindet Klassifizierung, Zugriffssteuerung, Protokollierung, Backup, Incident Response und Lieferantenkontrollen mit dem Wissens- und Datenlebenszyklus.

Welche Informationsbestände im Beratungshaus wirklich wertrelevant sind

Eine belastbare data asset valuation beginnt mit einer Asset Map. Sie trennt dokumentiertes Unternehmenswissen von persönlichem Erfahrungswissen, Mandanteninhalte von eigenen Methoden sowie nutzbare Daten von bloßen Ablagen. Typische Wertcluster sind:

• Methoden, Frameworks, Templates und Tools, an denen das Target hinreichende Nutzungsrechte besitzt.
• Projekt- und Branchenwissen, sofern Ergebnisse anonymisiert, abstrahiert oder vertraglich wiederverwendbar sind.
• Angebots-, CRM- und Pipeline-Daten für Cross-Selling, Pricing und Kundenentwicklung.
• Benchmark-Daten, Taxonomien, Wissensgraphen und strukturierte Lessons Learned.
• Trainingsmaterialien, interne Akademien und kuratierte Wissensbestände für AI governance und AI readiness.
• Metadaten zu Expertise, Projekterfahrung und Ressourcen, soweit sie datenschutzkonform und zweckgebunden genutzt werden können.

Die bloße Anzahl von Dateien ist kein Wertindikator. Ein großer Datenraum kann sogar negativ wirken, wenn Dubletten, veraltete Versionen, unklare Rechteketten oder unkontrollierte Mandanteninformationen dominieren. Für die information asset valuation zählen vielmehr Nutzbarkeit, Aktualität, Exklusivität, Struktur, Auffindbarkeit und Skalierbarkeit.

Die zentralen Risiken der private equity due diligence

Der Datenraum ist bereits ein Reifegradtest

Eine seriöse GDPR due diligence erwartet keine maximale Transparenz, sondern kontrollierte Evidenz. In einer frühen Phase reichen aggregierte Kennzahlen zu Projektarten, Branchen, Wiederholungsumsatz, Kundenkonzentration, Nutzungsrechten und Wissensbeständen. Später können pseudonymisierte Stichproben oder Clean-Team-Auswertungen hinzukommen. Namenslisten, vollständige Projektakten oder sensible Kundendokumente gehören nur ausnahmsweise und mit klarer Notwendigkeitsbegründung in den Datenraum.

• Need-to-know und zeitlich begrenzte Rollen statt pauschaler Datenraumrechte.
• Schwärzung, Aggregation und Pseudonymisierung vor personenbezogener Offenlegung.
• Download-Sperren, Wasserzeichen, Protokollierung und definierte Löschfristen.
• Separate Clean Teams für wettbewerblich oder mandatsbezogen besonders sensible Informationen.
• Dokumentierte Entscheidung, warum welche Daten für die investment decision erforderlich sind.

ISO/IEC 27001 in der Due Diligence: Zertifikat ist Startpunkt, nicht Ergebnis

ISO/IEC 27001:2022 definiert Anforderungen an ein risikobasiertes Informationssicherheitsmanagementsystem. Ein gültiges ISO-27001-Zertifikat kann die information security due diligence beschleunigen und Informationsasymmetrien reduzieren. Es belegt aber weder die Sicherheit sämtlicher Datenbestände noch die Wirksamkeit jedes einzelnen Controls. Entscheidend ist, welche Gesellschaften, Standorte, Services, Cloud-Plattformen und Wissenssysteme tatsächlich im zertifizierten Scope liegen.

Die Prüfung sollte mindestens ISMS-Scope, Risikoanalyse, Risikobehandlungsplan, Statement of Applicability, interne Audits, Management Review, Korrekturmaßnahmen, Incident-Historie, Zugriffsrezertifizierungen sowie Backup- und Restore-Tests umfassen. Nach dem Closing können neue Gruppenservices, Plattformen oder Datenflüsse den Kontext und die Risikobewertung verändern. Deshalb ist früh zu klären, ob Scope, Risikobehandlung und gegebenenfalls die Kommunikation mit der Zertifizierungsstelle angepasst werden müssen.

Chancen: Data Governance macht Know-how skalierbar

Die Chance liegt nicht darin, möglichst viele Altakten zusammenzuführen. Wert entsteht, wenn enterprise data governance aus verstreutem Wissen ein belastbares Betriebsmodell macht. Dazu gehören klare data ownership, einheitliche Metadaten, Freigabeprozesse für Wiederverwendung, technische Zugriffskonzepte und ein nachvollziehbarer Lebenszyklus von Projektwissen.

Ein gut geführtes Beratungshaus kann dadurch seine delivery beschleunigen, Qualität konsistenter machen, Angebote präziser kalkulieren und neue datenbasierte Produkte entwickeln. Möglich sind etwa anonymisierte Branchenbenchmarks, wiederholbare Diagnosewerkzeuge, abonnementbasierte Insights oder KI-gestützte Recherche. Diese Chancen setzen jedoch voraus, dass Mandantenrechte, Datenschutz, Geheimnisschutz und AI governance von Beginn an in das Produktdesign eingebaut werden. Ein passender ISO-27001-Scope kann zusätzlich Ausschreibungen, Vendor-Onboarding und Mandantenprüfungen erleichtern. Der kommerzielle Nutzen entsteht jedoch nur, wenn Zertifizierung und tägliche Arbeitsweise übereinstimmen.

Wie Daten im Beratungshaus bewertet werden

Für die business data valuation sollten mindestens drei Perspektiven kombiniert werden. Ein einzelnes Modell reicht selten aus, weil Beratungsknow-how stark kontext- und rechteabhängig ist.

1. Ertragsorientierter Ansatz

Ausgangspunkt sind zusätzliche oder gesicherte Zahlungsströme: höhere Wiederholungsumsätze, schnellere Projektabwicklung, bessere Auslastung, Cross-Selling, höhere Trefferquoten in Angeboten oder neue Datenprodukte. Diese Effekte werden über einen realistischen Zeitraum prognostiziert und abgezinst. Entscheidend ist, nur solche Effekte anzusetzen, die mit den vorhandenen Nutzungsrechten und der realen Datenqualität erreichbar sind.

2. Kosten- und Wiederbeschaffungsansatz

Der replacement cost zeigt, welcher Aufwand für Erhebung, Strukturierung, Verschlagwortung, Qualitätssicherung und technische Bereitstellung eines vergleichbaren Wissensbestands anfallen würde. Er bildet jedoch nur eine Plausibilitätsuntergrenze: teuer erzeugtes Wissen ist nicht automatisch marktrelevant oder rechtlich nutzbar.

3. Risiko- und Nutzbarkeitsabschlag

Vom wirtschaftlichen Bruttowert sind Kosten für Rechteklärung, Datenbereinigung, Security, Migration und Governance abzuziehen. Dazu gehören auch die Schließung von ISO-27001-Findings, Berechtigungsbereinigung, DLP- und Logging-Maßnahmen, Restore-Fähigkeit und Lieferantenabsicherung. Hinzu kommt ein Risikoabschlag für unklare Rechtsgrundlagen, mangelnde Dokumentation, Kundenkonzentration, geringe Aktualität, potenzielle Incident-Folgen oder eine hohe Abhängigkeit von einzelnen Wissensträgern.

Data Due Diligence: die richtigen Fragen für den Investment Case

1. Welche Daten- und Wissensbestände tragen konkret zu Umsatz, Marge, Kundenbindung oder Produktentwicklung bei?
2. Wer besitzt welche Rechte an Methoden, Templates, Benchmarks und Projektergebnissen?
3. Welche Mandantenbeschränkungen verhindern Wiederverwendung, Zusammenführung oder KI-Training?
4. Wie werden Datenherkunft, Version, Freigabestatus, Löschfrist und Verantwortlichkeit dokumentiert?
5. Welche Security-Incidents, offenen Berechtigungen oder unkontrollierten Exporte bestehen?
6. Welche Gesellschaften, Standorte, Services und Wissensplattformen liegen im Scope des ISO-27001-Zertifikats?
7. Sind Statement of Applicability, Risikobehandlungsplan, Auditfeststellungen und Korrekturmaßnahmen aktuell und finanziert?
8. Wie werden privilegierte Zugriffe, externe SaaS-Dienste, Backup, Restore und Incident Response operativ getestet?
9. Wie hoch sind Kosten und Zeitbedarf, um aus dem Bestand AI-ready data zu machen?
10. Welche Synergien sind im Share Deal wirklich innerhalb der Zielgesellschaft realisierbar und welche erfordern neue Datenflüsse in die Gruppe?

Die Ergebnisse gehören nicht nur in einen Datenschutzbericht. Sie müssen mit commercial due diligence, technology due diligence und dem Value-Creation-Plan verknüpft werden. So wird sichtbar, ob ein erwarteter Umsatzhebel realistisch ist, ob ein Kaufpreisabschlag erforderlich wird oder ob eine konkrete Sanierung als Closing Condition oder 100-Tage-Maßnahme eingeplant werden sollte.

Kaufvertrag und 100-Tage-Plan

Bekannte Risiken lassen sich im Share Deal über Garantien, Offenlegungen, Freistellungen und konkrete Covenants abbilden. Wertrelevant sind insbesondere Zusagen zu Nutzungsrechten, Datenschutzvorfällen, Mandantenbeschränkungen, Datenqualität, Open-Source- und Drittinhalten sowie zur Vollständigkeit der wesentlichen Datenbestände.

• Tag 1: keine pauschale Gruppenintegration; Investorenzugriffe, privilegierte Konten und externe Freigaben auf das erforderliche Minimum begrenzen.
• Bis Tag 30: Daten- und Wissensasset-Inventar mit Rechten, Zwecken, Schutzklasse und Ownern erstellen; ISO-27001-Scope und offene Findings gegen das Zielbetriebsmodell spiegeln.
• Bis Tag 60: kritische Berechtigungs-, Sharing-, SaaS-, Logging- und Backup-/Restore-Lücken schließen und hochriskante Korrekturmaßnahmen terminieren.
• Bis Tag 100: integriertes Zielbild für ISMS, Data Governance, Wiederverwendung, Datenprodukte und sichere KI-Anwendungen verabschieden; Zertifizierungs-Scope bei Bedarf erweitern.
• Value-Creation-KPIs: Nutzungsquote kuratierter Assets, Wiederverwendungsrate, Datenqualität, Access-Review-Abdeckung, Restore-Erfolgsquote, offene Hochrisiken, Incident-Reaktionszeit und Anzahl rechtlich sowie sicherheitstechnisch freigegebener Datenprodukte.

Fazit: Know-how ist nur dann ein Asset, wenn es nutzbar bleibt

Beim Share Deal in ein Beratungshaus entscheidet nicht die Transaktionsform allein über den value of data. Wert entsteht erst, wenn das Target seine Informationsbestände rechtlich, technisch und organisatorisch beherrscht. Eine integrierte M&A due diligence verbindet Datenschutz, Rechteketten, information security due diligence, ISO 27001, Datenqualität und kommerzielle Verwertbarkeit. So wird aus abstraktem Know-how ein belastbarer Werttreiber, und aus einem unkontrollierten Archiv kein unerwartetes Kaufpreisrisiko.

FAQ: Share Deal, Datenschutz und Data Valuation

Gehen die Daten beim Share Deal automatisch auf den Investor über?

Nein. Die Zielgesellschaft bleibt dieselbe juristische Person und regelmäßig Verantwortliche. Ein Investorenzugriff, eine konzernweite Zusammenführung oder eine Migration sind gesonderte Verarbeitungsvorgänge und benötigen ein klares Rollen-, Zweck- und Sicherheitskonzept.

Wie lässt sich der Wert von Beratungsknow-how messen?

Durch die Kombination aus erwarteten datenbezogenen Cashflows, vermiedenen Wiederbeschaffungskosten und einem Abschlag für Rechte-, Datenschutz-, Security-, Qualitäts- und Integrationsrisiken.

Dürfen Projektakten für KI-Training genutzt werden?

Nicht automatisch. Zu prüfen sind insbesondere Mandantenverträge, Zweckbindung, personenbezogene Daten, Geheimnisschutz, Urheber- und Nutzungsrechte sowie die AI governance des konkreten Modells.

Was ist der größte Red Flag in der Due Diligence?

Ein hoher behaupteter Datenwert ohne belastbare Rechtekette, ohne strukturierte Asset Map und ohne Nachweis, dass die Daten für die geplante Nutzung aktuell, sicher und rechtlich verwendbar sind.

Reicht ein ISO-27001-Zertifikat als Nachweis für eine gute Informationssicherheit?

Nein. Das Zertifikat ist ein relevanter Hinweis auf ein etabliertes ISMS, gilt aber nur für den ausgewiesenen Scope. Private Equity sollte zusätzlich Risikobehandlung, Statement of Applicability, Auditfeststellungen und operative Evidenz wie Access Reviews, Incident- und Restore-Tests prüfen.