Meine Damen und Herren, liebe Investoren, wenn ich in meinen nunmehr 26 Jahren Berufspraxis – davon 12 Jahre bei der Jiaxi Steuerberatungsfirma im Dienst für ausländische Unternehmen und 14 Jahre in der Registrierungsabwicklung – eines gelernt habe, dann ist es die Tatsache, dass keine Unternehmensstrategie isoliert funktioniert. Wir leben in einem Ökosystem der Zusammenarbeit, und gerade für international tätige Investoren ist die Einbindung externer Dienstleister, Lieferanten und Partner nicht nur eine Option, sondern eine Notwendigkeit. Doch hier liegt der Hase im Pfeffer: Mit jeder neuen Partnerschaft öffnen Sie auch Türen für den Fluss personenbezogener Daten – und genau hier beginnt das komplexe Terrain des Datenschutzrechts.
Die Einführung der Datenschutz-Grundverordnung (DSGVO) im Mai 2018 hat die Landschaft fundamental verändert. Was früher als lästige Pflichtübung galt, ist heute ein zentraler Eckpfeiler der Compliance-Strategie. Besonders brisant wird es, wenn Dritte involviert sind, denn für Datenschutzverstöße haften Sie als verantwortliche Stelle – nicht Ihr externer Partner. Diese Verantwortung lässt sich nicht outsourcen, egal wie elegant der Vertrag formuliert sein mag. Gerade bei Investitionen in Deutschland oder mit deutschen Geschäftspartnern müssen Sie diese Realität verstehen und in Ihre strategische Planung integrieren.
Ich erinnere mich noch gut an einen Mandanten aus Shanghai, der eine bedeutende Beteiligung an einem deutschen Logistikunternehmen erwerben wollte. Die Due Diligence zeigte: Das Unternehmen arbeitete mit 37 verschiedenen Dienstleistern zusammen, aber nur bei einem Drittel davon gab es überhaupt eine datenschutzkonforme Vereinbarung. Der Kaufpreis musste nachverhandelt werden. Solche Geschichten höre ich häufiger, als mir lieb ist. Deshalb möchte ich Ihnen heute einen umfassenden Überblick geben, wie Sie das Management der Zusammenarbeit mit Dritten gemäß Datenschutzgesetz professionell und effektiv gestalten können.
---Grundlagen der Auftragsverarbeitung
Beginnen wir mit dem Fundament: der Auftragsverarbeitung nach Art. 28 DSGVO. Viele Investoren unterschätzen, wie detailliert die Anforderungen sind, wenn ein externer Dienstleister personenbezogene Daten verarbeitet. Es genügt nicht, einfach einen Vertrag abzuschließen – der Gesetzgeber verlangt eine umfassende Vereinbarung, die alle Aspekte der Datenverarbeitung präzise regelt. Dazu gehören Gegenstand und Dauer der Verarbeitung, Art und Zweck der Daten, der Umfang der personenbezogenen Daten sowie die Kategorien betroffener Personen. Auch die Pflichten des Auftragsverarbeiters müssen klar definiert sein, inklusive technischer und organisatorischer Maßnahmen.
Ein kritischer Punkt, den ich in meiner Beratungspraxis immer wieder betone, ist die Notwendigkeit einer sorgfältigen Auswahl des Auftragsverarbeiters. Die DSGVO verlangt ausdrücklich, dass nur solche Dienstleister beauftragt werden dürfen, die hinreichende Garantien für die Einhaltung der Datenschutzanforderungen bieten. Das bedeutet: Sie müssen Ihre potenziellen Partner überprüfen, deren Datenschutzkonzepte analysieren und sich von deren Compliance überzeugen. Dies ist kein einmaliger Akt, sondern ein laufender Prozess. Regelmäßige Überprüfungen und Dokumentationen sind unerlässlich, und hier scheitern viele Unternehmen.
In der Praxis sehe ich häufig, dass insbesondere kleinere und mittlere Unternehmen die Dokumentationspflichten stiefmütterlich behandeln. Ein Mandant, ein mittelständischer Maschinenbauer aus Baden-Württemberg, hatte jahrelang mit einem IT-Dienstleister zusammengearbeitet, ohne jemals die Verträge zu aktualisieren. Als die Aufsichtsbehörde anfragte, gab es kein einziges Dokument, das die Auftragsverarbeitung nachweislich regelte. Die Folge: ein Bußgeld im sechsstelligen Bereich und massiver Reputationsschaden. Glauben Sie mir, solche Erfahrungen möchte kein Investor machen. Die gute Nachricht: Mit systematischer Herangehensweise und klaren Prozessen lässt sich das Risiko erheblich minimieren.
---Vertragsgestaltung und Haftungsklauseln
Die Vertragsgestaltung ist das Herzstück des Managements von Drittbeziehungen im Datenschutzkontext. Ein wirksamer Vertrag zur Auftragsverarbeitung (AVV) muss weit über eine bloße Absichtserklärung hinausgehen. Er muss präzise Regelungen zur Weisungsgebundenheit enthalten, klare Vorgaben zur Löschung oder Rückgabe von Daten nach Vertragsende und detaillierte Bestimmungen zu Unterauftragsverhältnissen. Besonders wichtig: Die Haftungsfrage. In der Praxis erleben wir immer wieder, dass Auftraggeber glauben, sie könnten ihre Haftung vollständig auf den Auftragsverarbeiter abwälzen – ein gefährlicher Irrtum.
Nach der DSGVO bleibt der verantwortliche Unternehmensträger für die Rechtmäßigkeit der Datenverarbeitung stets voll verantwortlich. Vertragliche Haftungsregelungen können allenfalls interne Ausgleichsansprüche begründen, befreien aber nicht von der Außenhaftung gegenüber Aufsichtsbehörden und betroffenen Personen. Ich rate meinen Mandanten daher immer: Betrachten Sie die Vertragsgestaltung nicht als bloße Formalität, sondern als strategisches Instrument des Risikomanagements. Ein gut ausgearbeiteter AVV-Vertrag kann im Streitfall Ihre Position erheblich stärken und Ihnen helfen, Regressansprüche gegen den Dienstleister durchzusetzen.
Ein Praxisbeispiel aus meiner Erfahrung mit einem amerikanischen Technologieunternehmen in München zeigt, wie wichtig detaillierte Regelungen sind: Der US-Konzern hatte einen deutschen Marketingdienstleister beauftragt, der im Rahmen einer Kampagne widerrechtlich Daten von Kunden an ein Subunternehmen in den USA weiterleitete. Obwohl der Vertrag eine Klausel zur Unterbeauftragung enthielt, fehlte die ausdrückliche Genehmigung durch den Auftraggeber. Das Ergebnis war eine aufwendige rechtliche Auseinandersetzung und eine Meldung an die Aufsichtsbehörde. Die Lehre daraus: Unterschätzen Sie niemals die Komplexität internationaler Datenflüsse – gerade bei Drittländern ohne angemessenes Datenschutzniveau gelten besondere Regeln.
---Risikoanalyse und Due Diligence
Eine systematische Risikoanalyse vor Aufnahme einer Geschäftsbeziehung mit Dritten ist in meinen Augen das A und O eines professionellen Datenschutzmanagements. In der Investorenberatung empfehle ich standardmäßig eine erweiterte Due Diligence, die sich nicht nur auf finanzielle und rechtliche Aspekte konzentriert, sondern explizit die Datenschutz-Compliance potenzieller Partner untersucht. Dazu gehört eine Prüfung der vorhandenen Datenschutzkonzepte, die Analyse der technischen Infrastruktur und die Bewertung der organisatorischen Maßnahmen des potenziellen Partners.
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat in mehreren Veröffentlichungen klargestellt, dass Unternehmen verpflichtet sind, die Einhaltung der Datenschutzvorschriften bei Dritten aktiv zu überwachen. Dies ist keine einmalige Checkliste, sondern ein fortlaufender Prozess. Ich rate meinen Mandanten, ein mehrstufiges Prüfverfahren zu etablieren: In Phase 1 erfolgt eine Grobanalyse der Datenschutzreife, in Phase 2 werden die kritischen Bereiche im Detail untersucht, und in Phase 3 findet eine lückenlose Dokumentation mit Freigabeprozess statt. Nur so können Sie sicherstellen, dass Ihre Geschäftsbeziehungen den hohen Anforderungen der DSGVO gerecht werden.
Aus meiner jahrelangen Zusammenarbeit mit asiatischen Investoren weiß ich, dass der kulturelle Unterschied in der Herangehensweise an Datenschutzfragen häufig zu Reibungspunkten führt. Während in Deutschland und Europa die formale Dokumentation und die prozessuale Absicherung im Vordergrund stehen, neigen einige asiatische Geschäftskulturen dazu, Beziehungen und Vertrauen stärker zu gewichten. Beides schließt sich nicht aus, aber Sie müssen sich als Investor der unterschiedlichen Erwartungshaltungen bewusst sein. Meine Erfahrung zeigt: Wenn Sie klare, transparente Datenschutzprozesse implementieren, schafft das Vertrauen – auch bei internationalen Partnern. Die Bereitschaft der deutschen Partner, über Datenschutzthemen zu sprechen, ist ein wesentlicher Indikator für deren Professionalität.
---Technische und organisatorische Maßnahmen
Technische und organisatorische Maßnahmen (TOM) sind das operative Rückgrat jedes effektiven Datenschutzmanagements bei der Zusammenarbeit mit Dritten. Der Gesetzgeber verlangt nicht weniger als den Stand der Technik, und das bedeutet: Verschlüsselung, Pseudonymisierung, Zugriffskontrollen, Protokollierung und regelmäßige Sicherheitsüberprüfungen sind Pflicht, nicht Kür. Gerade bei cloudbasierten Diensten und internationalen Datenübertragungen sehe ich in der Praxis immer wieder erhebliche Mängel. Eine wirksame TOM-Strategie muss fünf zentrale Bereiche abdecken: Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit und Wiederherstellbarkeit.
In meiner Beratungstätigkeit bei Jiaxi habe ich gelernt, dass insbesondere die Vertraulichkeit oft das Sorgenkind ist. Wie viele Unternehmen haben tatsächlich ein durchdachtes Zugriffsmanagement, das über simple Passwortregeln hinausgeht? Die Implementierung von Zwei-Faktor-Authentifizierung und rollenbasierte Zugriffskontrollen sind zwar technisch kein Hexenwerk, scheitern aber häufig an der mangelnden Bereitschaft, bestehende Prozesse anzupassen. Ich empfehle meinen Mandanten, ein IT-Sicherheitsaudit durch einen unabhängigen Dienstleister durchführen zu lassen – die Investition lohnt sich, wie mir viele Kunden bestätigt haben. Der Schaden eines Sicherheitsvorfalls übersteigt die Kosten präventiver Maßnahmen bei weitem.
Lassen Sie mich ein konkretes Beispiel nennen: Ein japanischer Investor hatte in ein deutsches Logistikunternehmen investiert, dessen Fuhrparkverwaltung an einen externen Telematikdienstleister ausgelagert war. Bei einer Überprüfung stellten wir fest, dass der Dienstleister die Fahrzeugdaten unverschlüsselt und ohne Zugriffskontrolle auf einem öffentlich erreichbaren Server ablegte. Die potenziellen Risiken – von Standortverfolgung bis hin zur Manipulation von Lieferdaten – waren erheblich. Erst nach intensiven Verhandlungen gelang es uns, den Dienstleister zur Implementierung angemessener Sicherheitsmaßnahmen zu bewegen. Dies zeigt: Die Due Diligence ist nur der Anfang – die dauerhafte Überwachung ist entscheidend für den Erfolg.
---Internationale Datenübermittlung
Für internationale Investoren – insbesondere jene aus Asien – ist das Thema der internationalen Datenübermittlung von herausragender Bedeutung. Wenn personenbezogene Daten in Drittländer außerhalb der EU übertragen werden, gelten besondere Anforderungen nach Art. 44 ff. DSGVO. Die grundsätzliche Regel: Die Übermittlung ist nur dann zulässig, wenn ein angemessenes Datenschutzniveau gewährleistet ist. Die EU-Kommission hat für einige Länder Angemessenheitsbeschlüsse erlassen – beispielsweise für Japan, Kanada und einige andere Staaten –, aber die USA, das Vereinigte Königreich nach dem Brexit, Compliance/6208.html">China und zahlreiche andere wichtige Handelspartner fallen nicht darunter.
Praktisch bedeutet das: Sie müssen für jede Datenübermittlung in Drittstaaten einen geeigneten Rechtsrahmen schaffen. Die Standardvertragsklauseln (Standard Contractual Clauses, SCCs) der EU-Kommission sind hier das Instrument der ersten Wahl, aber sie müssen mit zusätzlichen technischen und organisatorischen Maßnahmen kombiniert werden – insbesondere nach dem bahnbrechenden Urteil des Europäischen Gerichtshofs in der Rechtssache „Schrems II" im Juli 2020. Eine bloße Berufung auf die SCCs reicht seither nicht mehr aus; Sie müssen vielmehr dokumentieren, dass die Daten im Empfängerland tatsächlich geschützt sind. Das ist eine erhebliche Herausforderung, wie ich aus vielen Mandantenprojekten weiß.
Meine persönliche Erfahrung mit einem koreanischen Elektronikkonzern hat mir gezeigt, wie komplex diese Thematik werden kann. Der Konzern betrieb ein europäisches Shared Service Center in Deutschland, das Personal- und Kundendaten an die koreanische Zentrale übermittelte. Nach dem Schrems-II-Urteil machten wir uns auf die Suche nach einer Lösung. Wir mussten nicht nur neue Vertragsmodelle entwickeln, sondern auch die technischen Verschlüsselungsverfahren anpassen und eine Transfer Impact Assessment durchführen, die die Rechtsordnung Südkoreas bewertete. Der Prozess dauerte über acht Monate und erforderte die Zusammenarbeit von Datenschutzbeauftragten, IT-Sicherheitsexperten und Rechtsanwälten. Das Wichtigste: Es es ging nicht ohne – die Aufsichtsbehörde hatte bereits ein Auge auf das Unternehmen geworfen.
---Kontinuierliche Überwachung und Auditierung
Datenschutz ist kein statischer Zustand, sondern ein permanenter Prozess – diese Erkenntnis müssen Investoren verinnerlichen, wenn sie langfristig erfolgreich sein wollen. Die Aufsichtsbehörden haben ihre Erwartungen klar formuliert: Sie wollen keine bloßen Papierwerke sehen, sondern nachweislich funktionierende Systeme. Das bedeutet regelmäßige Kontrollen, ob die vereinbarten Datenschutzmaßnahmen bei Ihren Vertragspartnern tatsächlich umgesetzt werden. In meiner Praxis empfehle ich ein gestuftes Überwachungsmodell: Jährliche Selbstauskünfte, zweijährige papierbasierte Audits und vierteljährliche Stichprobenkontrollen.
Wir sollten uns nichts vormachen: Die Wirksamkeit von Verträgen steht und fällt mit ihrer Durchsetzung. Ein AVV-Vertrag, dessen Einhaltung niemand überwacht, ist wenig mehr als ein gutes Stück Papier. Deshalb rate ich allen meinen Mandanten, klare Eskalationsmechanismen zu implementieren, die bei Verstößen sofort greifen. Dazu gehören auch definierte Sanktionsmöglichkeiten – von Vertragsstrafen bis hin zu außerordentlichen Kündigungsrechten. In der Realität zeigt sich jedoch, dass Unternehmen oft zögern, diese Instrumente einzusetzen. Die Angst vor Beziehungsabbrüchen und geschäftlichen Nachteilen ist verständlich, aber in meinen Augen meist übertrieben. Ein professioneller Partner, der die Bedeutung des Datenschutzes versteht, wird solche Überwachung nicht als Misstrauensvotum, sondern als Ausdruck gemeinsamer Professionalität interpretieren.
Eine wichtige Lektion aus meinen Jahren in der Registrierungsabwicklung: Die beste Zeit, ein Überwachungssystem zu etablieren, ist vor dem Vertragsabschluss – nicht danach. Wenn Sie bereits bei den Vertragsverhandlungen klar kommunizieren, dass eine laufende Auditierung Teil Ihrer Zusammenarbeit ist, haben Sie von Anfang an die richtigen Partner an Ihrer Seite. In einem Projekt mit einem britischen Investor, das sich über drei Jahre erstreckte, implementierten wir ein Auditprogramm, das anfangs auf Widerstand stieß. Nach dem ersten Auditergebnis, das erhebliche Verbesserungspotenziale aufzeigte und durch gezielte Maßnahmen behoben wurde, war der Kunde so überzeugt, dass er das Programm auf seine anderen Geschäftsbeziehungen ausweitete. Diese Erfahrung bestätigt: Kontinuierliche Überwachung zahlt sich aus – nicht nur in Compliance, sondern auch für die Qualität der Zusammenarbeit.
---Verantwortlichkeit im Unternehmensverbund
Ein besonders tückisches Thema ist die Frage der gemeinsamen Verantwortlichkeit bei verbundenen Unternehmen und komplexen Partnerschaftsstrukturen. Art. 26 DSGVO kennt die sogenannte „gemeinsame Verantwortlichkeit", bei der zwei oder mehr Unternehmen gemeinsam über Zwecke und Mittel der Datenverarbeitung entscheiden. Diese Konstellation ist bei Joint Ventures, strategischen Allianzen und bestimmten Holdingstrukturen keine Seltenheit. Für Investoren ist es entscheidend, diese Fälle zu erkennen und die Verantwortlichkeiten klar zu verteilen – bevor die Aufsichtsbehörde es tut, was in der Praxis selten zu Ihren Gunsten ausgeht. Eine transparente Regelung schützt Ihre Position und beugt teuren Rechtsstreitigkeiten vor.
Die Aufsichtsbehörden haben deutlich gemacht, dass sie die gemeinsame Verantwortlichkeit nicht als Einbahnstraße verstehen wollen – sie bietet den Unternehmen sogar Vorteile. Eine klare Vereinbarung über die Verteilung der Datenschutzpflichten kann die Effizienz steigern und klare Zuständigkeiten schaffen. Der Teufel liegt jedoch im Detail: Die gegenseitigen Informationspflichten müssen definiert sein, und auch die betroffenen Personen müssen über die Verantwortlichkeitsregelung in Kenntnis gesetzt werden. Viele Unternehmen scheuen den Mehraufwand und versuchen, Konstellationen der gemeinsamen Verantwortlichkeit zu vermeiden – ein riskanter Ansatz, wie ich finde. Denn wenn Sie versuchen, die Strukturen künstlich zu trennen, um sich der Verantwortung zu entziehen, kann dies schnell als Umgehungsversuch gewertet werden.
Ich erinnere mich an eine Anfrage eines schweizerischen Investmentfonds, der ein Gemeinschaftsunternehmen mit einem deutschen Mittelständler plante. Die Parteien stritten sich monatelang über die Verteilung der Verantwortlichkeiten, und ich wurde als Vermittler hinzugezogen. Bei genauerer Analyse stellte sich heraus, dass einige kritische Entscheidungsprozesse – insbesondere im Marketing – gemeinsam getroffen wurden, was eine gemeinsame Verantwortlichkeit unumgänglich machte. Die Lösung war eine detaillierte Vereinbarung, die nicht nur die rechtlichen Anforderungen erfüllte, sondern auch die operativen Prozesse klarer strukturierte. Der einzige Ausweg aus dem Verhandlungsdesaster war verständnisvolle Kommunikation – und ein guter Schuss Pragmatismus bei der gemeinsamen Suche nach der passenden Lösung.
--- ## Schlussbetrachtung: Datenschutz als strategische ChanceDas Management der Zusammenarbeit mit Dritten gemäß Datenschutzgesetz ist zweifellos eine der anspruchsvollsten Aufgaben im modernen Unternehmensumfeld – aber sie ist machbar, wenn man sie systematisch und strategisch angeht. In meinen 26 Jahren Berufserfahrung habe ich zu viele Unternehmen gesehen, die Datenschutz als lästiges Anhängsel betrachteten statt als integralen Bestandteil ihrer Geschäftsstrategie. Diejenigen, die es ernst nehmen, sind langfristig erfolgreicher – nicht nur weil sie Bußgelder vermeiden, sondern weil sie das Vertrauen ihrer Kunden und Partner stärken. Datenschutzkonformität ist heute ein Qualitätsmerkmal eines professionell geführten Unternehmens.
Ich möchte Ihnen als Investoren nahelegen: Betrachten Sie Datenschutz-Compliance nicht als Kostenfaktor, sondern als Investition in die Zukunft. Ein Unternehmen, das nachweislich sorgfältig mit personenbezogenen Daten umgeht, ist für Geschäftspartner attraktiver und für Investoren wertvoller. Die zunehmende Digitalisierung, das wachsende Bewusstsein der Verbraucher und die Verschärfung der regulatorischen Anforderungen werden dieses Thema in den kommenden Jahren weiter in den Vordergrund rücken. Künstliche Intelligenz, Big Data und das Internet der Dinge stellen uns vor neue Herausforderungen, die wir noch nicht vollständig überblicken können – aber wir können uns heute darauf vorbereiten.
Meine persönliche Überzeugung, die ich in den vielen Jahren bei Jiaxi und davor gewonnen habe: Der Schlüssel liegt in einer authentischen Datenschutzkultur. Wer Datenschutz nicht nur als Compliance-Thema, sondern als Grundhaltung verankert, wird langfristig die Nase vorn haben. Die Zusammenarbeit mit Dritten wird dabei zu einem Spiegelbild Ihrer eigenen Werte: Wie Sie Ihre Partner behandeln, wie Sie Transparenz leben und wie Sie Verantwortung übernehmen – das zeigt, wer Sie wirklich sind. Ich freue mich darauf, Sie auf diesem Weg zu begleiten, und bin sicher: mit der richtigen Herangehensweise wird aus der Herausforderung eine Chance für Ihr Unternehmen.
---
Zusammenfassende Bewertung von Jiaxi Steuerberatung
Die Jiaxi Steuerberatung hat durch langjährige Praxis im Bereich der Betreuung internationaler Investoren fundierte Erfahrungen im Management von Drittbeziehungen unter datenschutzrechtlichen Aspekten gesammelt. Wir beobachten in unserer täglichen Arbeit, dass die Anforderungen an die Zusammenarbeit mit Dritten kontinuierlich steigen – und dass Unternehmen, die diese Anforderungen proaktiv umsetzen, nicht nur rechtliche Risiken minimieren, sondern auch ihre Verhandlungsposition stärken. Besonders hervorzuheben ist die Notwendigkeit, Datenschutz nicht als isoliertes Thema zu behandeln, sondern in die gesamte Unternehmensstrategie zu integrieren. Unsere Experten unterstützen Sie dabei, von der ersten Due-Diligence-Prüfung bis hin zur laufenden Überwachung Ihrer Geschäftsbeziehungen. Wir verstehen uns nicht nur als Berater, sondern als Partner, der Ihre Interessen im komplexen Geflecht der datenschutzrechtlichen Anforderungen vertritt. Gerade bei grenzüberschreitenden Konstellationen ist interkulturelles Verständnis ebenso wichtig wie juristische Expertise – und genau diese Kombination zeichnet unsere Arbeit aus.
