Start › IT-Recht › Tech-Transaktionen
Beim Kauf eines Softwareunternehmens oder einer Beteiligung an einem Tech-Startup steckt der Wert meist in Code, Daten und Verträgen. Ob diese Werte rechtlich gesichert sind, zeigt die IT-Due-Diligence. Wir prüfen Zielunternehmen für Käufer und Investoren, bereiten Verkäufer auf die Prüfung vor und verhandeln die IT-bezogenen Garantien im Kaufvertrag.
Was eine IT-Due-Diligence prüft
- IP-Kette: Gehören die Rechte an Software, Marken, Domains und Designs tatsächlich dem Zielunternehmen?
- Open Source: Welche Komponenten sind enthalten, unter welchen Lizenzen, und werden die Lizenzpflichten eingehalten?
- Datenschutz: Rechtsgrundlagen, Verzeichnis der Verarbeitungstätigkeiten, Auftragsverarbeitung, Drittlandtransfers, Datenpannen der Vergangenheit
- IT-Verträge: Lizenz-, Cloud- und Outsourcingverträge mit Change-of-Control-Klauseln, Kündigungsrechten und Abhängigkeiten von einzelnen Anbietern
- Kundenverträge: Haftung, Service Levels, Quellcode-Escrow, Exklusivitäten
- Regulierung: NIS2, Data Act, KI-Verordnung, DORA bei Finanzkunden, Cyber Resilience Act bei Produkten mit digitalen Elementen
- IT-Sicherheit: Sicherheitsvorfälle, Penetrationstests, Zertifizierungen
Die IP-Kette bei Software
Urheber von Software sind die Programmierer. Bei Arbeitnehmern gehen die vermögensrechtlichen Befugnisse nach § 69b UrhG auf den Arbeitgeber über, soweit der Code in Wahrnehmung der Aufgaben oder nach Anweisung geschaffen wurde. Für Freelancer, Agenturen, Gründer vor der Gründung und Werkstudenten gilt das nicht. Hier braucht es schriftliche Rechteübertragungen. Fehlen sie, kann das Zielunternehmen den eigenen Code womöglich nicht uneingeschränkt nutzen oder lizenzieren. Wir prüfen die Kette lückenlos und schlagen Heilungsmaßnahmen vor dem Closing vor, etwa nachträgliche Übertragungsvereinbarungen.
Open-Source-Scan
Kaum eine Software kommt ohne Open-Source-Komponenten aus. Kritisch sind Copyleft-Lizenzen wie GPL oder AGPL, wenn der eigene Code mit der Komponente verbunden und weitergegeben oder bei der AGPL über ein Netzwerk angeboten wird. Ein automatisierter Scan mit Werkzeugen zur Software Composition Analysis liefert eine Software Bill of Materials. Wir bewerten die Ergebnisse rechtlich: Welche Lizenzpflichten sind verletzt, welche Risiken bestehen für das Geschäftsmodell, was kostet die Behebung? Seit der Cyber Resilience Act eine SBOM für viele Produkte verlangt, ist eine saubere Dokumentation auch regulatorisch relevant.
Datenschutz in der Transaktion
Schon die Due-Diligence selbst ist eine Datenverarbeitung. Kunden- und Mitarbeiterdaten gehören grundsätzlich nicht ungeschwärzt in den Datenraum. Beim Asset Deal ist zu klären, auf welcher Rechtsgrundlage Kundendaten übertragen werden dürfen. Datenschutzverstöße der Vergangenheit können Bußgelder nach Art. 83 DSGVO und Schadensersatzansprüche nach Art. 82 DSGVO auslösen, die nach dem Closing beim Käufer ankommen.
Garantien und Freistellungen im Kaufvertrag
Die Ergebnisse der Due-Diligence fließen in den Unternehmenskaufvertrag ein: als Garantien zu IP, Open Source, Datenschutz und IT-Sicherheit, als spezifische Freistellungen für erkannte Risiken, als Closing-Bedingung für Heilungsmaßnahmen oder als Kaufpreisabschlag. Wir arbeiten dabei mit den federführenden Transaktionsanwälten zusammen oder übernehmen den IT-Teil eigenständig.
So gehen wir vor
- Abstimmung von Prüfungsumfang, Wesentlichkeitsschwellen und Zeitplan
- Fragenkatalog an das Zielunternehmen und Prüfung des Datenraums
- Auswertung des Open-Source-Scans, falls gewünscht mit technischen Partnern
- Red-Flag-Report oder vollständiger Bericht mit Risikobewertung und Empfehlungen
- Verhandlung von Garantien, Freistellungen und Closing-Maßnahmen
Für Verkäufer: Vendor Due Diligence
Wer ein Unternehmen verkaufen oder Kapital aufnehmen will, sollte die eigene IP-Kette, Open-Source-Nutzung und Datenschutzdokumentation vorher ordnen. Lücken, die vor der Prüfung geschlossen werden, kosten keinen Kaufpreis.
Häufige Fragen
Wie lange dauert eine IT-Due-Diligence?
Für ein kleineres Softwareunternehmen mit gut vorbereitetem Datenraum meist zwei bis vier Wochen. Der Open-Source-Scan braucht Zugang zum Quellcode, was früh organisiert werden sollte.
Muss der Quellcode an den Käufer herausgegeben werden?
Nein. Üblich ist ein Scan durch einen neutralen Dienstleister, der nur die Ergebnisse berichtet, oder ein Clean-Room-Verfahren.
Was passiert mit Lizenzverträgen beim Share Deal?
Sie bleiben grundsätzlich bestehen. Change-of-Control-Klauseln können dem Lizenzgeber aber ein Kündigungsrecht geben. Diese Klauseln sind ein Standardpunkt jeder Prüfung.
Verwandte Themen
Ihr Ansprechpartner
Sie kaufen, verkaufen oder finanzieren ein Tech-Unternehmen und brauchen eine IT-Due-Diligence? Rufen Sie uns an unter 0511 35 73 56-0 oder schreiben Sie an info@itrechtler.de.