Europa · Technologie und digitale Vermögenswerte

Rechtliche Due Diligence von Technologieunternehmen vor Investitionen

Erich Rath14 Min. Lesezeit

Mainstream

Die Due Diligence eines Technologieunternehmens ist nicht nur eine Dokumentenprüfung. Es handelt sich um eine Bewertung, wie gut die Technologie und das Geschäftsmodell vor rechtlichen und regulatorischen Risiken geschützt sind, die die Investition zunichte machen könnten.

Die Frage ist nicht, ob das Produkt gut ist. Die Hauptfrage ist, ob eine staatliche Behörde die Verwendung verbieten kann, ob ein Wettbewerber Verkäufe aufgrund einer IP-Verletzung blockieren kann und ob das Unternehmen zum Ziel einer behördlichen Geldbuße in Höhe des Jahresumsatzes wird.

Eine wirksame Due Diligence beginnt mit drei Prüfungen:

Gibt es ein bedingungsloses Recht auf die Technologie und Daten, auf denen das Unternehmen basiert?
Entspricht das Produkt den aktuellen und geplanten EU-Vorschriften?
Welche versteckten Lasten und Haftungsrisiken nach Abschluss der Transaktion auf den Investor übergehen.

Wenn diese drei Probleme nicht vor der Unterzeichnung des SPA gelöst werden, riskiert der Käufer, dass er den Vermögenswert nicht erwirbt, sondern dass er in Zukunft mit einer Klage, einer Geldstrafe oder einem Kündigungsanspruch rechnen muss.

Wenn eine rechtliche Due Diligence eines Technologieunternehmens erforderlich ist

Eine gründliche rechtliche Prüfung ist wichtig, wenn:

Der Fonds oder Stratege plant, sich an einem KI-Startup zu beteiligen.
Der Investor beteiligt sich an der Finanzierungsrunde der Wachstumsphase des Technologieunternehmens;
M&A-Deals werden im Bereich Künstliche Intelligenz, Big Data, SaaS, Cybersecurity oder Digital Assets vorbereitet.
Das Unternehmen besitzt eine Plattform mit nutzergenerierten Inhalten oder algorithmischen Empfehlungen.
Die Technologie unterliegt möglicherweise dem EU-KI-Gesetz, der DSGVO, der MiCA-, NIS2-, DSA- oder DMA-Verordnung.
Das Geschäftsmodell basiert auf Krypto-Assets, Token oder dezentralen Protokollen.
Die wichtigsten Vermögenswerte sind Datensätze, trainierte Modelle, proprietärer Code und Know-how, das von einem verteilten Team erstellt wird.
es bestehen Zweifel an der Reinheit der Datenherkunft oder der Einhaltung von Softwarelizenzen;
Es ist erforderlich, die Bereitschaft des Unternehmens zu prüfen, die Konformitätsbewertung für KI-Systeme mit hohem Risiko zu bestehen.
Es ist geplant, in den EU-Markt einzutreten oder innerhalb der EU zu expandieren.

Der Fehler, den die meisten Anleger machen

Viele Menschen beginnen mit der Frage:

„Wie hoch ist die Unternehmensbewertung und wie schnell wächst der Umsatz?“

Dies ist die falsche erste Frage zur rechtlichen Überprüfung.

Die richtige Frage ist:

Welche rechtlichen Risiken könnten den Wert dieses Unternehmens nach der Transaktion zunichte machen?

Manchmal wird die beste Technologie nicht durch falsch gestaltete Erfindungsrechte geschützt. Manchmal wird ein brillantes KI-Produkt auf Daten trainiert, die ohne legitime Grundlage erlangt wurden, was seine kommerzielle Nutzung illegal macht. Manchmal gibt ein Blockchain-Projekt Token aus, die die EU-Regulierungsbehörde als Finanzinstrumente betrachtet, für die eine MiFID II-Lizenz erforderlich ist.

Technologie-Due-Diligence erfordert keinen listeweisen Prüfungsansatz, sondern eine strategische Analyse der Regulierungslandschaft, Technologierechte und Haftungsszenarien.

Schritt 1. Überprüfen Sie die Unternehmensstruktur und die Aktienrechte

Bei einem Technologieunternehmen geht es nicht nur um Code und Modell. Sie sind Träger von Rechten und Pflichten.

Wichtige Bestimmungen zur Überprüfung:

die Unternehmensstruktur und die Gerichtsbarkeit der Gründung;
Ordnungsgemäße Ausgabe von Aktien, Optionen, Wandeldarlehen;
Vesting-Zeitpläne von Gründern und Schlüsselmitarbeitern;
Aktionärsvereinbarungen und mögliche Beschränkungen der Übertragung von Aktien;
Deadlock-Bestimmungen, Tag-Along/Drag-Along
Zustimmung Dritter oder Regierungsbehörden zur Transaktion;
Befugnisse der Unterzeichner und Protokolle von Unternehmensentscheidungen;
Keine versteckten Verpflichtungen oder Sicherheiten für Aktien.

Wenn die Eigentümerstruktur des geistigen Eigentums nicht transparent ist oder wichtige Entwickler nicht an die Übertragung gebunden sind, könnte der Deal zu einem Verlust der Kontrolle über die Technologie führen, nachdem die Gründer das Unternehmen verlassen haben.

Schritt 2. Überprüfung des geistigen Eigentums und der Technologie

Dies ist die zentrale Bühne. Der Investor erwirbt keine Unternehmensanteile, sondern das Recht an der Technologie und deren künftigen Cashflows.

Es sollte festgestellt werden:

Wer hat die Technologie entwickelt – Mitarbeiter, Berater, Outsourcer?
Ob es schriftliche Vereinbarungen zur Übertragung exklusiver Rechte (Abtretung von IP) gibt;
Ob die Algorithmen patentiert sind oder als Geschäftsgeheimnis gehalten werden
Haben Sie den Open-Source-Code geprüft: Welche Open-Source-Komponenten werden verwendet und ob Virenlizenzen (GPLs, AGPLs) Verpflichtungen zur Offenlegung proprietären Codes vorsehen?
Ob Bibliotheken, APIs, SDKs und Daten von Drittanbietern lizenziert sind;
Besitz von Rechten an Trainingsdatensätzen und Modellergebnissen;
ob Marken und Domains in den Zielmärkten der EU registriert sind;
Betriebsfreiheit: ob eine Verletzung von Patenten Dritter vorliegt.

Eine Schwäche in der IP-Rechtekette ist die teuerste Entdeckung nach dem Deal.

Schritt 3. Überprüfung der Daten und DSGVO-Konformität

Wenn ein Technologieunternehmen personenbezogene Daten von EU-Bürgern verarbeitet, wird die DSGVO zu einem entscheidenden Wertfaktor.

Die Analyse umfasst:

Rechtsgrundlagen für die Datenverarbeitung (Einwilligung, berechtigtes Interesse, Vertragserfüllung);
Datenschutz-Folgenabschätzung (DPIA) für KI-Systeme und Profiling
der Status des Unternehmens – Verantwortlicher, gemeinsamer Verantwortlicher oder Auftragsverarbeiter;
Standardvertragsklauseln (BCR) (Angemessenheitsentscheidung)
Benachrichtigungen und Einwilligungen, insbesondere für sensible Daten und automatisierte Entscheidungen;
Verfahren zur Beantwortung von Anfragen betroffener Personen (Zugriff, Löschung, Portabilität);
Historie von Datenlecks, Meldungen an Aufsichtsbehörden und Bußgeldern;
Die Rolle von Daten beim Modelltraining – ob die Rechtmäßigkeit der Erhebung durch Web Scraping, durch Drittanbieter oder durch eigene Nutzer sichergestellt wurde.

Die DSGVO-Strafen betragen 4 % des weltweiten Jahresumsatzes. Ein festgestellter systemischer Verstoß kann nicht nur das Produkt stoppen, sondern auch zu Verwaltungshaftung und Reputationsschäden führen.

Schritt 4. Bewertung der regulatorischen Risiken von KI nach EU-Recht

Auch wenn das KI-Gesetz nicht vollständig durchgesetzt wird, müssen seine Anforderungen bereits bei der Sorgfaltspflicht berücksichtigt werden. Der Investor beurteilt, wie gut das Produkt für zukünftige Konformitätsanforderungen geeignet ist.

Schwerpunkte:

Klassifizierung von KI-Systemen nach Risikostufen – inakzeptables Risiko (verboten), hohes Risiko, begrenztes Risiko, minimales Risiko;
Verantwortlichkeiten für Hochrisikosysteme: Datenqualität, technische Dokumentation, Transparenz, menschliche Überwachung, Registrierung in der EU-Datenbank;
Verfügbarkeit von Konformitätsbewertung und CE-Kennzeichnung;
Allzweck-KI (Anforderungen an grundlegende Modelle) – Offenlegung von Trainingsdaten, Bewertung systemischer Risiken;
Transparenz der Interaktion mit dem KI-System (der Benutzer sollte wissen, dass er mit der Maschine kommuniziert);
zukünftige Verantwortung für KI-Entscheidungen (Zusammenhang mit der vorgeschlagenen KI-Haftungsrichtlinie)

Das Ignorieren des KI-Gesetzes in der Hoffnung, dass es finalisiert wird, negiert nicht die Tatsache, dass ein Produkt ohne Compliance-Strategie vom Verkauf in der EU ausgeschlossen werden kann.

Schritt 5. Überprüfen Sie die Regulierung digitaler Vermögenswerte (MiCA und verwandte Gesetze)

Wenn ein Unternehmen Utility-Tokens, Stablecoins herausgibt, Dienstleistungen des Krypto-Austauschs, der Verwahrung oder DeFi-Protokolle bereitstellt, gelten die MiCA-Verordnung und das nationale Recht der EU-Mitgliedstaaten.

Bei der Inspektion wird festgestellt:

Ob der Token gemäß MiCA als Krypto-Asset definiert ist oder ein Finanzinstrument gemäß MiFID II ist
Ob ein Krypto-Asset-Whitepaper erstellt und mitgeteilt wurde;
Ob eine Crypto-Asset Service Provider (CASP)-Lizenz erforderlich ist und in welcher EU-Rechtsordnung
Einhaltung vermögensbezogener Token und E-Geld-Token
AML/KYC (Verordnung zur Bekämpfung von Geldwäsche und Geldtransfer)
Marketingbeschränkungen und Verbraucherschutzbestimmungen.

Ein Fehler bei der Klassifizierung des Tokens kann dazu führen, dass alle Aktivitäten des Unternehmens nicht lizenziert werden und gekündigt werden können.

Schritt 6. Testen der Cybersicherheit und Nachhaltigkeit digitaler Produkte

Die europäische Regulierung verlangt zunehmend, dass Technologie standardmäßig sicher sein muss.

Folgendes ist zu prüfen:

Einhaltung der NIS2-Richtlinie, wenn das Unternehmen Betreiber kritischer oder kritischer Infrastruktur ist;
Pläne zur Reaktion auf Vorfälle und Benachrichtigungen an nationale CSIRTs sind verfügbar.
Anforderungen an Produkte mit digitalen Elementen (vorgeschlagen durch das Cyber Resilience Act) – Schwachstellenmanagement und Sicherheitsupdates
Zertifizierung nach dem EU-Cybersicherheitsgesetz (z. B. für Cloud-Dienste und 5G);
Eine Geschichte erfolgreicher Cyberangriffe, gewonnener Erkenntnisse und Abhilfemaßnahmen.

Eine geringe Cyber-Resilienz stellt nicht nur für das Unternehmen selbst, sondern auch für seine Kunden ein Risiko dar, das Haftungsansprüche bis hin zur Produkthaftung nach sich zieht.

Schritt 7. Analysieren Sie Handelsverträge und Verantwortlichkeiten

Verträge mit B2B-Kunden, Partnern und Cloud-Anbietern beinhalten wesentliche Risiken, die auf den Kunden übergehen.

Die Analyse umfasst:

Bedingungen zur Haftungsbeschränkung, Schadensersatz und Garantien;
SLA, Betriebszeit, Katastrophenresistenz;
Rechte an den von Kunden erhaltenen Daten und an den Ergebnissen der KI;
Entschädigung für die Verletzung von geistigen Eigentumsrechten Dritter;
Bestimmungen zum Kontrollwechsel und zur möglichen Beendigung von Verträgen im Rahmen der Transaktion;
Exklusivität und Wettbewerbsverbot;
Anwendbares Recht und Gerichtsstand bei Verträgen mit Kunden aus verschiedenen EU-Ländern.

Ein Vertragsportfolio kann die Wirtschaftlichkeit eines Geschäfts sowohl schützen als auch begraben, wenn sich herausstellt, dass wichtige Kunden abwandern, wenn der Eigentümer wechselt, oder dass das Unternehmen für KI-Ausfälle haftbar gemacht wird.

Schritt 8. Bewerten Sie Exportkontroll- und Sanktionsrisiken

Viele KI-, Verschlüsselungs-, Drohnen-, Sensor- und Biometrietechnologien fallen unter den Dual-Use-Modus.

Geprüft:

Unterliegt das Produkt der EU-Dual-Use-Verordnung (Verordnung 2021/821)?
Ob für den Verkauf in bestimmte Länder eine Exportlizenz erforderlich ist
ob es sanktionierte Personen in der Lieferkette oder bei den Kunden gibt;
Ob Komponenten verwendet werden, die US-Exportbeschränkungen (ITAR, EAR) unterliegen, die für ein europäisches Unternehmen möglicherweise extraterritoriale Wirkung haben;
Einhaltung der EU-Sanktionsregime, die beispielsweise gegen Russland und Weißrussland verhängt wurden.

Sogar einem vollständig europäischen KI-Unternehmen könnte eine Vertragssperre drohen, wenn der Verschlüsselungsalgorithmus den durch die Exportkontrollen festgelegten Schwellenwert überschreitet.

Schritt 9. Überprüfung des Beschäftigungs- und Urheberverhältnisses

Oftmals wird die Schlüsseltechnologie nicht von Mitarbeitern, sondern von Freiberuflern, Forschern oder Outsourcing-Teams ohne entsprechende Rechteverankerung erstellt.

Es ist zu prüfen:

Verfügbarkeit von Verträgen mit Entwicklern, Datenwissenschaftlern und ML-Ingenieuren;
Ob die Übertragung ausschließlicher Rechte an den geschaffenen Objekten (Wohnwerk, Abtretung künftigen geistigen Eigentums) vorgeschrieben ist;
Ist die Beziehung zu Universitäten geregelt, wenn die Technologie aus dem akademischen Umfeld herausgewachsen ist?
Ob das Recht auf Vergütung von Urhebern von Gebrauchserfindungen nach den Gesetzen der jeweiligen EU-Länder respektiert wird;
Ob nach der Beendigung restriktive Vereinbarungen (Wettbewerbsverbot, Abwerbeverbot) für Schlüsselmitarbeiter gelten.
Ob Geschäftsgeheimnisse und Know-how nach dem Ausscheiden von Mitarbeitern geschützt bleiben

Ein Streit über den Besitz von geistigem Eigentum mit einem ehemaligen Mitgründer ein Jahr nach der Investition ist ein klassisches Szenario, das den Wert des Unternehmens schmälern könnte.

Schritt 10. Schlussfolgerungen in die Struktur der Transaktion integrieren

Due Diligence schützt den Anleger nicht. Es schützt lediglich die Art und Weise, wie die Schlussfolgerungen in die Mechanismen der Transaktion umgewandelt werden.

Werkzeuge:

Zusicherungen und Gewährleistungen – präzise Formulierung zu IP-Rechten, keine DSGVO-Verstöße, korrekte Einstufung nach dem AI Act, Datenlizenzen und Open Source.
Entschädigungen – spezifisch, mit Auslösern, Grenzen und Fristen, zum Beispiel im Falle einer Patentverletzungsklage oder einer DSGVO-Bußgeldstrafe.
Besondere Freistellung für erkannte, aber nicht beseitigte Risiken im Vorfeld der Transaktion.
Aufgeschobene Gegenleistung/Earn-out – Verknüpfung eines Teils der Zahlungen mit der Erreichung der Einhaltung gesetzlicher Vorschriften.
Escrow und Holdback – behalten Sie sich einen Teil des Preises für den Fall von Ansprüchen vor.
Die Warranty & Indemnity Insurance (W&I) deckt Risiken ab, schließt jedoch sorgfältig Cyber- und Regulierungskomponenten aus, die von Versicherern nicht immer akzeptiert werden.
Abschlussbedingungen – Anforderungen, die vor dem Abschluss erfüllt sein müssen: Erhalt von Lizenzen, Eliminierung kritischer Open-Source-Komponenten, DPIA-Registrierung.

Vergleich der wichtigsten EU-Regulierungssysteme für technische Due Diligence

Regulierungsbereich	Welche Unternehmen sind betroffen?	Die Hauptrisiken der Due Diligence	Auswirkungen von Konsequenzen
DSGVO	Sämtliche Verarbeitung personenbezogener Daten in der EU	Illegale Datenerfassung für KI, fehlende DSFA, schwache Verarbeitungsgrundlagen	Bußgeld bis zu 4 % des Jahresumsatzes, Verbot der Datenverarbeitung, Schadensersatzansprüche
KI-Gesetz	Entwickler und Nutzer von KI-Systemen in der EU	Hochrisikoeinstufung ohne Vorbereitung, Verletzung der Transparenz, inakzeptables Risiko (z. B. Social Scoring)	Produktverbot, Bußgeld bis zu 6 % Umsatz, Rückruf vom Markt
MiCA	Emittenten und Dienstleister von Krypto-Assets	Fehlendes Whitepaper, nicht lizenzierte Aktivität, falsche Qualifikation des Tokens	Verbot von Opfergaben, Geldstrafen und strafrechtliche Verantwortlichkeit in einigen Mitgliedstaaten
NIS2	Kritische Infrastrukturbetreiber und wichtige Organisationen	Fehlende Cybersicherheitsrichtlinien, unterlassene Meldung von Vorfällen	Hohe Geldstrafen, Einstellung von Aktivitäten, persönliche Verantwortung des Managements
DSA / DMA	Digitale Plattformen, Suchmaschinen, Gatekeeper	Intransparenz der Algorithmen, mangelndes Risikomanagement, unfaire Konditionen	Bußgeld bis zu 6 % des Umsatzes, Verpflichtung zur Änderung des Geschäftsmodells
Exportkontrollen	Dual-Use-Softwareentwickler	Mangel an Lizenzen, Lieferung an sanktionierte Gerichtsbarkeiten, Verschlüsselungstechnologien	Strafrechtliche Haftung, Blacklisting, Vertragsverlust

So stärken Sie Ihre Position vor einem Deal

Die beste Due Diligence beginnt nicht im Datenraum des Verkäufers, sondern bereits in der Phase der Zielauswahl.

Es empfiehlt sich:

Führen Sie eine vorläufige Bewertung des Open Source (SCA) des Unternehmens durch, bevor Sie das Term Sheet unterzeichnen.
in die Hauptbedingungen der Transaktion die Verpflichtung des Verkäufers aufnehmen, ein vollständiges Register der IP- und Datenströme bereitzustellen;
vereinbaren Sie das Recht auf Interviews mit CISO, DPO und CTO;
Fordern Sie eine Liste aller verwendeten und entwickelten KI-Modelle an;
im Term Sheet klarzustellen, dass die Feststellung von Verstößen gegen die Vorschriften das Recht einräumt, verlustfrei von der Transaktion zurückzutreten;
Erwägen Sie, die Übernahme als Kauf eines Unternehmens (Vermögenswerte) statt einer Aktie zu strukturieren, wenn die rechtlichen Risiken zu hoch sind, die Technologie jedoch benötigt wird.
Stellen Sie sicher, dass das Technologieregulierungsteam der EU vom ersten Tag an in die Due Diligence einbezogen wird.

Häufige Fehler bei der rechtlichen Due Diligence von Technologieunternehmen

Ignorieren Sie die Herkunft der Daten für das Modelltraining. Selbst das beste KI-Modell kann rechtlich vergiftet werden, wenn Daten ohne Rechtsgrundlage gesammelt werden.
Prüfen Sie keinen Open-Source-Code. Eine Komponente mit einer GPL-Lizenz kann das gesamte Produkt infizieren, indem sie die Offenlegung des Quellcodes verlangt.
Die DSGVO gilt nicht für B2B-SaaS. Die DSGVO schützt die personenbezogenen Daten von Kundenvertretern und Mitarbeitern in gleicher Weise wie Verbraucherdaten.
Überprüfen Sie nur das aktuelle KI-Gesetz, ohne dessen Umsetzungsgesetze und künftige Harmonisierungsstandards zu berücksichtigen. Der EU-Markt wird sich in Richtung einer strengen Standardisierung bewegen.
Verlassen Sie sich auf die Zusicherungen des Gründers: „Wir sind sauber, wir haben geprüft.“ Ohne eine dokumentarische Schutzrechtskette kostet es nichts.
Fehlende Rechte an Erfindungen von Beratern und Freiberuflern, insbesondere in internationalen Teams. Die geltenden Arbeits- und Urheberrechte können sich stark unterscheiden.
Klassifizieren Sie Token ausschließlich auf Basis des Whitepaper-Projekts. Die Regulierungsbehörde betrachtet die wirtschaftliche Substanz, nicht den Namen.
Überprüfen Sie nicht den Verlauf von Cybersicherheitsvorfällen und Benutzerbeschwerden. Es ist ein Indikator für zukünftige Probleme.
Verzögern Sie die Due-Diligence-Prüfung in den letzten Wochen vor dem Abschluss. Es bleibt keine Zeit mehr, kritische Befunde zu beseitigen.
Strukturieren Sie keine spezifischen Branchen nach regulatorischen Risiken. Standard-SPA-Garantien decken selten Bußgelder nach der DSGVO oder dem AI Act ab.

Checkliste für Investoren: 15 kritische Punkte

Wer ist der Autor und Urheberrechtsinhaber der Schlüsseltechnologie und KI-Modelle?
Haben alle Entwickler und Berater Vereinbarungen zur Übertragung exklusiver IP-Rechte unterzeichnet?
Wurden Open-Source-Komponenten geprüft und Virenlizenzen identifiziert?
Auf welcher rechtlichen Grundlage werden die Daten für das KI-Training erhoben und genutzt?
Verfügt das Unternehmen über eingetragene Rechte an Erfindungen (Patente) in den wichtigsten Rechtsgebieten?
Wurde die Datenschutz-Folgenabschätzung für KI- und analysebezogene Prozesse durchgeführt?
Fällt das Produkt unter die Hochrisikokategorie des AI Act und liegt die Dokumentation vor?
Benötigt das Unternehmen eine CASP-Lizenz oder eine andere MiCA-Autorisierung?
Werden die Anforderungen von NIS2 und den nationalen Cybersicherheitsgesetzen eingehalten?
Gelten Exportkontrollbeschränkungen für das Produkt oder seine Komponenten?
Enthalten Handelsverträge Kontrollwechselklauseln und mögliche Anfechtungsgründe?
Gab es Datenschutzverstöße und welche Maßnahmen wurden ergriffen?
Verstoßen die Algorithmen gegen die Transparenz- und Kartellgesetze der DSA?
Gibt es Mitarbeiteroptionen oder Beteiligungsrechte Dritter am Unternehmen, die nicht in der Cap-Tabelle berücksichtigt sind?
Welche Zusicherungen, Gewährleistungen und Freistellungen bietet der Verkäufer zur Abdeckung regulatorischer und IP-Risiken an?

Was ist eine Legal Due Diligence-Strategie?

Eine starke Strategie basiert normalerweise auf fünf Ebenen:

1. Technologie- und IP-Bewertung: Eine eingehende Analyse der Rechtekette für Algorithmen, Code, Datensätze und Know-how. Die Freiheit, Technologie zu nutzen, ohne die Rechte Dritter zu verletzen.

2. Regulatory Mapping & Gap Analysis – eine kontinuierliche Überprüfung der geltenden EU-Vorschriften (DSGVO, AI Act, MiCA, NIS2, DSA, DMA, Dual-Use-Verordnung) und eine Bewertung der Lücken zwischen dem aktuellen Zustand des Unternehmens und dem erforderlichen Maß an Compliance.

3. Vertrags- und Haftungsrisiko: Identifizierung versteckter Verbindlichkeiten, Produkthaftungsrisiken, Vertragsübergänge und Schwachstellen in Handelsverträgen.

4. Corporate & HR Housekeeping Überprüft die Unternehmenssauberkeit, die geistigen Eigentumsrechte der Mitarbeiter sowie die Ausübungs- und Arbeitsverträge, die zukünftige Streitigkeiten ausschließen.

5. Deal-Strukturierung und Risikominderung. Umwandlung von Due-Diligence-Ergebnissen in Transaktionsmechanismen. Besondere Zusicherungen, gezielte Schadensregulierung, Abschlussbedingungen, Versicherungen und Verpflichtungen nach dem Abschluss.

Ohne die fünfte Ebene bleiben die ersten vier lediglich eine Darstellung von Problemen und kein Instrument zum Schutz einer Investition.

FAQ

Was ist die Besonderheit der Due Diligence eines KI-Unternehmens im Vergleich zur klassischen IT?

Über die standardmäßige IP-Überprüfung hinaus ist es von entscheidender Bedeutung, die Quelle und Legitimität von Trainingsdaten zu untersuchen, die Klassifizierung des Systems gemäß dem AI Act und die Risiken algorithmischer Verzerrung zu bewerten, die zu Diskriminierungsklagen führen könnte.

Muss das EU-KI-Gesetz berücksichtigt werden, wenn es noch nicht vollständig in Kraft getreten ist?

Ja, das werde ich. Die Investition ist auf Jahre angelegt. Ein Produkt, das heute nicht für KI geeignet ist, kann morgen verboten sein. Die Due Diligence sollte eine vorausschauende Bewertung und einen Fahrplan für die Einhaltung umfassen.

Wie verifiziert man Datenrechte für maschinelles Lernen?

Die Datenkette wird analysiert: aus offenen Quellen (unter Berücksichtigung der Nutzungsbedingungen der Seiten und Scraping-Verboten), von Nutzern (mit informierter Einwilligung, konform mit der DSGVO), von Drittanbietern (mit Garantien für die Reinheit der Rechte). Besonderes Augenmerk wird auf Datensätze gelegt, die personenbezogene Daten enthalten.

Kann eine einzelne, infizierte Open-Source-Bibliothek einen Deal stoppen?

Ja. Wenn ein Produkt eine Komponente unter einer GPL- oder AGPL-Lizenz enthält und als Ganzes vertrieben wird, muss das Unternehmen möglicherweise den gesamten Quellcode offenlegen. Für den Investor bedeutet dies den Verlust der Exklusivität der Technologie, was oft fatal ist.

Was soll ich tun, wenn ich einen schwerwiegenden Verstoß gegen die DSGVO feststelle?

Der Umfang, das Durchsetzungsrisiko und die Möglichkeit einer Beseitigung vor der Transaktion sollten beurteilt werden. Die Struktur des SPA umfasst besondere Entschädigungen, die Einbehaltung eines Teils des Preises (Holdback) bis zur vollständigen Erfüllung sowie die Verpflichtung des Verkäufers, mit der Aufsichtsbehörde zu interagieren.

Wie wichtig ist die Exportkontrolle für ein KI-Startup in der EU?

Entscheidend ist, ob die Technologie mit Verschlüsselung, Geodatenanalyse oder biometrischer Identifizierung verbunden ist oder für militärische Zwecke eingesetzt werden kann. Das Fehlen einer Lizenz kann den Export in die USA und in andere Länder lahmlegen und das Risiko einer strafrechtlichen Haftung für das Management mit sich bringen.

Schützt Sie die W&I-Versicherung vor behördlichen Strafen?

Die W&I-Versicherung deckt einige der unbekannten Risiken ab, schließt jedoch häufig Strafen und öffentlich-rechtliche Strafen aus. Daher können Sie sich nicht nur auf die Versicherung verlassen, sondern benötigen auch strukturellen Schutz bei der Transaktion.

Noch wichtiger: Patente oder Handlungsfreiheit prüfen?

Für Investoren ist Handlungsfreiheit wichtiger. Das Vorhandensein eines Patents beim Unternehmen garantiert nicht, dass das Produkt nicht die Patente anderer Personen verletzt. Es gilt, nach Belastungen und Risiken der Blockierung von Rechten Dritter zu suchen.

Fazit

Die rechtliche Prüfung eines Technologieunternehmens vor einer Investition in Europa ist kein formelles Verfahren, sondern strategische Intelligenz. Es entscheidet darüber, ob brillante Technologie zu einem sicheren, skalierbaren Vermögenswert oder zu einer Quelle von Sperrungen, Bußgeldern und Klagen wird.

Im Kontext der vielschichtigen EU-Regulierung – von DSGVO und AI Act bis hin zu MiCA und NIS2 – gewinnt nicht derjenige, der den Deal schneller abschließt, sondern derjenige, der Regulierungslücken im Vorfeld identifiziert, Rechte an der Technologie einwandfrei verankert und Risiken in der Transaktionsstruktur verteilt. Das unterscheidet eine erfolgreiche Investition von einem kostspieligen Rechtsstreit.

Haben Sie eine Frage zum Thema dieses Artikels?

Schreiben Sie uns und wir werden innerhalb eines Werktages antworten.