Vertraulichkeit
Vertraulichkeit, Datenschutz und KI-Einsatz
Vertraulichkeit in der Due Diligence heißt bei uns: feste Regeln, die gelten, bevor die erste Datei übergeben wird – NDA, Datenraum, Lesezugänge, Pseudonymisierung und eine schriftliche Regelung zum KI-Einsatz. Wer Umsätze, Kundendaten und Vertriebsstrategien prüft, muss den Umgang damit so belegen können wie jeden Befund.
- NDAvor Datenübergabe
- Zugängenur Leserechte
- KI-Einsatzschriftlich geregelt
- ProjektdatenLöschung nach Ende
Acht Regeln
Was vor, während und nach der Prüfung gilt
Die Regeln sind Bestandteil jedes Auftrags – von der Digital-Diagnose bis zur Transaction Due Diligence.
NDA vor Datenübergabe
Vertrauliche Unterlagen erhalten wir erst, wenn die Vertraulichkeitsvereinbarung unterzeichnet ist. Für das Erstgespräch genügen allgemeine Angaben.
Datenraum statt E-Mail
Exporte, Selbstauskunft und Zwischenstände tauschen wir über einen zugriffsgeschützten Datenraum aus – nicht als E-Mail-Anhang.
Lesezugänge statt Passwörter
Sie laden uns als Nutzer mit Leserechten in Search Console, Analytics oder Werbekonten ein. Ihre Passwörter benötigen wir nicht.
Pseudonymisierung
Für Kundenanalysen genügen meist Kunden-IDs statt Namen. Personenbezogene Daten fordern wir nur an, wo der Prüfzweck es verlangt.
KI-Einsatz im Auftrag geregelt
Ob und wie KI eingesetzt wird, steht vor Projektstart schriftlich im Auftrag. Vertrauliche Daten nur pseudonymisiert oder nach Ihrer Freigabe.
Auftragsverarbeitung
Wo wir personenbezogene Daten in Ihrem Auftrag verarbeiten, schließen wir einen Vertrag nach Art. 28 DSGVO.
Löschung nach Projektende
Überlassene Daten werden nach Abschluss innerhalb der im Auftrag vereinbarten Frist gelöscht.
Vier-Augen-Prinzip
Scores, Red Flags und Belege prüft vor der Freigabe eine zweite Person. Kein Befund geht ungeprüft in den Bericht.
KI-Einsatz
KI unterstützt die Erhebung. Das Urteil treffen Menschen.
Wir setzen KI dort ein, wo sie Zeit spart, ohne die Bewertung zu ersetzen: bei Datenerhebung und Erstauswertung.
Eine Marketing & Sales Due Diligence erzeugt große Datenmengen: Crawls ganzer Websites, Kampagnenberichte, CRM-Exporte, Antworten aus KI-Systemen. KI-gestützte Werkzeuge helfen, diese Daten zu ordnen, Auffälligkeiten zu markieren und Abgleiche vorzubereiten. Bewertung, Score, Red Flags und die Freigabe des Berichts bleiben bei Menschen.
Was im Auftrag geregelt wird
- Ob KI überhaupt eingesetzt wird – der Einsatz lässt sich auch ausschließen.
- Wofür sie eingesetzt wird, zum Beispiel für die Auswertung von Crawls, den Abgleich von Kennzahlen oder Entwürfe von Befundtexten.
- Welche Daten verarbeitet werden dürfen: vertrauliche Daten nur pseudonymisiert oder nach Ihrer ausdrücklichen Freigabe.
KI-Sichtbarkeit: öffentliche Fragen, keine internen Daten
Für den Prüfbereich KI-Sichtbarkeit prüfen wir mit gezielten Suchanfragen und Prompts, ob und wie Ihre Marke in sieben KI-Systemen erscheint – darunter ChatGPT, Perplexity und Google AI Overviews. Diese Tests arbeiten mit öffentlich verfügbaren Informationen wie Markenname, Leistungen und Markt. Vertrauliche Unterlagen fließen nicht in die Prompts ein.
KI-Regel auf einen Blick
- Datenerhebung
- KI-gestützt
- Erstauswertung
- KI-gestützt
- Bewertung und Score
- durch Menschen
- Freigabe des Berichts
- durch Menschen
- Vertrauliche Daten
- nur pseudonymisiert oder nach Freigabe
Datenumgang
Welche Daten wir wie erhalten
Wir fordern nur an, was der Prüfumfang verlangt. Die verbindliche Datenanforderung erhalten Sie mit dem Festpreisangebot.
| Daten | Übergabe | Schutzmaßnahme |
|---|---|---|
| Search Console, Analytics, Tag-Manager | Nutzereinladung mit Leserechten | Kein Passwort; Sie entziehen den Zugang nach Projektende selbst |
| Werbe- und Social-Konten, z. B. Google Ads, Meta, LinkedIn | Lesezugriff oder Berichtsexport | Keine Änderungen an Kampagnen oder Budgets möglich |
| CRM- und Umsatzexporte | Datei im Datenraum | Kunden-IDs statt Namen, nur die benötigten Felder |
| Selbstauskunft, Forecast und Planungsunterlagen | Fragebogen bzw. Datenraum | NDA; Zugriff nur für die an der Prüfung Beteiligten |
| Gespräche mit dem Management | Interview mit Notizen | Vertraulich; Löschung mit den übrigen Projektdaten |
Forecast und Business-Plan benötigen wir vor allem für die Transaction Due Diligence. Welche Prüfbereiche welche Daten verlangen, zeigt der Prüfumfang.
Datenschutz
Pseudonymisierung, Auftragsverarbeitung und Löschung
Eine Prüfung von Marketing und Vertrieb kommt selten ganz ohne personenbezogene Daten aus: Ein CRM-Export enthält Ansprechpartner, eine Newsletter-Liste E-Mail-Adressen. Wir richten die Datenanforderung deshalb so ein, dass möglichst wenig Personenbezug entsteht.
Pseudonymisierung als Standard
Für die meisten Kennzahlen – Kundenkonzentration, Churn-Rate, Customer Lifetime Value oder Win-Rate – genügen Kunden-IDs, Datumswerte und Beträge. Beispiel: Statt „Muster GmbH, 48.000 € Jahresumsatz“ steht im Export „K-0173, 48.000 €“. Die Zuordnung der IDs bleibt bei Ihnen.
Auftragsverarbeitung nach Art. 28 DSGVO
Wo wir personenbezogene Daten in Ihrem Auftrag verarbeiten, schließen wir vor der Übergabe einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Ob das erforderlich ist, hängt davon ab, welche Daten der Prüfumfang verlangt – wir klären es zusammen mit der Datenanforderung.
Löschung nach Projektende
Nach Abschluss des Projekts löschen wir die überlassenen Daten innerhalb der Frist, die im Auftrag festgelegt ist. Gesetzliche Aufbewahrungspflichten, etwa für Rechnungen, bleiben unberührt. Lesezugänge können Sie mit der Berichtsübergabe selbst entziehen.
Vier-Augen-Prinzip
Kein Score und keine Red Flag geht ohne zweite Prüfung in den Bericht. Die Belegprüfung im Vier-Augen-Prinzip ist fester Teil der Methodik.
Ablauf
Vertraulichkeit vom Erstgespräch bis zur Löschung
- ErstgesprächAnlass und Umfang klären – ohne vertrauliche Unterlagen.Tag 0
- NDA und AuftragVertraulichkeitsvereinbarung, KI-Regelung, Löschfrist, bei Bedarf Auftragsverarbeitungsvertrag.vor Datenübergabe
- Zugänge und DatenraumLesezugänge, pseudonymisierte Exporte und Selbstauskunft im Datenraum.Kick-off
- Prüfung und BewertungErhebung, Analyse und Belegprüfung im Vier-Augen-Prinzip.je nach Paket
- AbschlussBerichtsübergabe, Entzug der Zugänge, Löschung nach vereinbarter Frist.Projektende
Mandantenbereich
Unterlagen und Rückfragen an einem geschützten Ort
Für laufende Projekte richten wir nach Auftragserteilung einen persönlichen Zugang zum Mandantenbereich ein.
Im Mandantenbereich finden Mandanten freigegebene Unterlagen, Fragen und Antworten zur Prüfung und – sofern vereinbart – ein monatliches Reporting zur Umsetzung der Roadmap. Der Zugang ist passwortgeschützt und personengebunden; eine Selbstregistrierung gibt es nicht.
Die Inhalte werden je Projekt freigeschaltet. Einzelne Funktionen befinden sich noch in Vorbereitung.
Zugang
- Einrichtung
- nach Auftragserteilung
- Registrierung
- keine Selbstregistrierung
- Inhalte
- je Projekt freigeschaltet
Hinweis: Rechtliche Befunde weisen wir als Prüfbedarf mit Normbezug aus – nicht als rechtliche Bewertung. Die rechtliche Prüfung übernimmt auf Wunsch eine unabhängige Partnerkanzlei, die Sie direkt mandatieren. So funktioniert die anwaltliche Prüfung
FAQ
Fragen zu Vertraulichkeit und Datenschutz
Erstgespräch
Regeln für Ihre Daten vorab klären
Im Erstgespräch besprechen wir Anlass, Umfang und den Umgang mit Ihren Daten – bevor Sie eine einzige Datei übergeben.