VAE · Technologie und digitale Vermögenswerte

Legal Due Diligence von IT-Unternehmen in Dubai und den VAE

Erich Rath12 Min. Lesezeit

Mainstream

Die rechtliche Due Diligence eines Technologieunternehmens in den VAE ist nicht nur eine Prüfung der Gründungsdokumente. Es handelt sich um eine strategische Aufklärung über den tatsächlichen Wert und die rechtliche Tragfähigkeit des Vermögenswerts.

Die Frage ist nicht, ob das Unternehmen existiert. Die Hauptfrage ist, ob sie über wichtige Vermögenswerte verfügt und ob sie nach dem Deal weiterarbeiten kann.

Daher basiert die wirksame Überprüfung des Technologiegeschäfts in den VAE auf drei Achsen:

Technologie: Wer ist der wahre Autor des Codes, ob es Ansprüche ehemaliger Mitarbeiter gibt, ob das Produkt die Rechte anderer Menschen verletzt.
Regulatorische Immunität: Verfügt das Unternehmen über die richtige Lizenz in der Freihandelszone für diese bestimmte Aktivität und benötigt keine zusätzliche Genehmigung (wie für KI, Web3 oder FinTech)?
Reinheit von Verträgen und Daten: Ob die PDPL (analog zur DSGVO) eingehalten wird, ob Open-Source-Bibliotheken korrekt genutzt werden und ob die Beziehungen zu Entwicklern festgelegt sind.

Wenn diese drei Probleme nicht gelöst werden, riskiert der Käufer, kein Tech-Startup, sondern eine „leere“ Struktur zu erwerben, die einige Monate nach der Transaktion das Recht auf ihr Produkt oder ihre Lizenz verliert.

Wenn ein tiefgreifendes Legal Due Diligence-Technologieunternehmen erforderlich ist

Wenn es um Vermögenswerte geht, deren Wert durch geistiges Eigentum und Daten bestimmt wird, reicht die Standarddokumentenprüfung nicht aus. Eine spezifische technologische Due Diligence ist erforderlich, wenn:

Sie investieren in ein Pre-Seed- oder Series-A-Startup in DIFC, DMCC oder ADGM.
planen den Kauf eines IT-Outsourcing-Unternehmens oder Softwareentwicklers;
eine E-Commerce-Plattform oder einen Marktplatz kaufen;
Gegenstand der Transaktion ist ein SaaS-Dienst mit einem Kundenstamm aus mehreren Gerichtsbarkeiten;
Im Geschäftsmodell kommt künstliche Intelligenz (generative KI) zum Einsatz;
Das Produkt des Unternehmens ist mit Blockchain, Kryptoassets oder Tokenisierung verknüpft (vorbehaltlich der VARA-Aufsicht);
Es gilt, einen strategischen Partner aus dem regulierten Bereich zu gewinnen.
Das wichtigste Asset sind Benutzerdaten oder Big Data.
Die Softwareentwicklung wurde von einem internationalen Team zum Thema Outsourcing durchgeführt.
Das Unternehmen genießt steuerliche Anreize für Innovationen (zum Beispiel Patentboxen).

Der Fehler, den die meisten Anleger machen

Viele Menschen beginnen mit einer Finanzprüfung und fragen: „Wie viel verdient das Unternehmen?“

Das ist die falsche erste Frage.

Die richtige Frage lautet: Wird dieser Cashflow auch nach einem Aktionärswechsel bestehen bleiben und können wir den Zugang der Wettbewerber zur Technologie rechtlich einschränken?

In den Vereinigten Arabischen Emiraten, wo Geschäfte häufig in Freizonen (Freizonen) wie DIFC, DMCC oder ADGM aufgebaut werden, besteht die Notwendigkeit, den doppelten regulatorischen Charakter zu verstehen. Manchmal ist das beste Ergebnis nicht der Kauf einer Beteiligung an dem Festlandunternehmen (Onshore), sondern der Erwerb von Vermögenswerten des Unternehmens aus der SWZ. Manchmal steht vor einem Deal eine Umstrukturierung an. Die rechtliche Due Diligence des Technologiesektors erfordert nicht nur Absätze im Bericht, sondern eine Karte des kommerziellen Risikos.

Schritt 1. Überprüfen Sie die Unternehmensstruktur und die zuständige Schiedsgerichtsbarkeit

Der erste Schritt besteht darin, zu verstehen, wo sich das Unternehmen befindet und welchen Gesetzen es unterliegt.

In den VAE ist es wichtig zu unterscheiden:

Onshore (Festland): Das Unternehmen wird vom Department of Economic Development (DED) reguliert, für ein Technologieunternehmen ist jedoch häufig ein lokaler Servicemitarbeiter oder Partner erforderlich. Das anwendbare Recht ist das Bundesrecht der VAE.
Finanzfreie Zonen (DIFC, ADGM) Sie haben ihr eigenes Gewohnheitsrecht (Common Law), ihre eigenen Gerichte und Aufsichtsbehörden (DFSA, FSRA). Ideal für FinTech und regulierte KI.
Kommerzielle Freizonen (DMCC, DSO, DIC) Hybridumgebung. Die Registrierung ist einfacher, aber die rechtliche Regelung des geistigen Eigentums erfordert möglicherweise zusätzliche Schritte für die internationale Anerkennung.

Wichtige Punkte, die analysiert werden müssen:

Übereinstimmung der Aktivitäten (Lizenzaktivitäten) mit den tatsächlichen technologischen Abläufen (Softwareentwicklung, Cybersicherheit, KI sollten nicht als „Beratung“ getarnt werden);
Eigentumsstruktur (insbesondere, wenn die Endbegünstigten aus mehreren Gerichtsbarkeiten stammen)
Aktionärsvereinbarungen, insbesondere Change of Control und Drag-along/Tag-along-Rechte
Ermächtigung der Direktoren zur Ausgabe von Optionen (ESOP);
Goldaktien oder Vetorecht in Technologiefragen.

Wenn eine Struktur chaotisch aufgebaut wird, ist das nicht immer ein Kill-Faktor, aber es verändert die Kosten und den Zeitpunkt der Integration.

Schritt 2. Führen Sie eine Prüfung des geistigen Eigentums durch (IP-Audit)

Es ist der Kern der Verifizierung des Technologieunternehmens. Im Gegensatz zu traditionellen Unternehmen sind Sachanlagen zweitrangig.

Sie müssen eine IP-Karte der immateriellen Vermögenswerte erstellen:

Quellcode: Wo ist er gespeichert (Git Hub, Git Lab, privater Server), wer hat Zugriff darauf?
Registrierung von Einrichtungen: Patente in den USA, der EU und vor allem den GCC-Ländern. In den VAE tätige Marken. Industriedesigns.
Urheberschaft: Arbeitsverträge und Vereinbarungen mit Freiberuflern. Das DIFC und ADGM verfügen über ein „Work Made for Hire“-Konzept, das die Rechte nur dann automatisch auf den Arbeitgeber überträgt, wenn der Vertrag korrekt formuliert ist. In Onshore-Gerichtsbarkeiten können die Rechte ohne ausdrückliche schriftliche Abtretung (Abtretung) beim Entwickler – einer natürlichen Person – verbleiben.
Nicht registrierte Einrichtungen: Know-how, Algorithmen, Datenbanken, Geschäftsgeheimnisse. Wie das Unternehmen sie schützt: Ob es eine Geheimhaltungsvereinbarung mit Mitarbeitern und Gegenparteien gibt, ein Geschäftsgeheimnisregime.
Open-Source-Abhängigkeiten: Kritischer Block. Die Verwendung von Bibliotheken mit GPL-Lizenzen (Copyleft) kann ein Unternehmen dazu zwingen, den gesamten Quellcode eines Produkts offenzulegen.

Bei der Schlussfolgerung dieses Schrittes geht es nicht um die Verfügbarkeit von Dokumenten, sondern darum, ob das Unternehmen den Code und die Marke weiterhin legal nutzen kann.

Schritt 3. Überprüfen Sie den Regulierungsstatus und die Lizenzen

Die Technologiebranche in den VAE greift immer stärker in die Regulierung ein. Bei der Lizenzprüfung handelt es sich nicht nur um einen Abgleich der Nummer im Register.

Spezifische Probleme für die VAE:

TDRA (Telecommunications and Digital Government Regulatory Authority) Führt das Unternehmen Verschlüsselung durch? Exportieren kryptografische Lösungen? Für den Import und Export solcher Technologien ist eine Genehmigung erforderlich.
VARA (Virtual Assets Regulatory Authority) Wenn das Produkt mit Kryptowährungen, Börsen, Kryptowährungen oder NFT in Zusammenhang steht, muss ein in Dubai tätiges Unternehmen (außer DIFC) die VARA-Regelung einhalten. Das Handeln ohne VARA-Lizenz ist strafbar.
DFSA/FSRA: Unternehmen in DIFC und ADGM, die mit KI-Anlageberatern, Robo-Advising oder Crowdfunding zusammenarbeiten, benötigen eine Finanzlizenz.
Datenschutz: Einhaltung der UAE PDPL (Bundesgesetz Nr. 45 von 2021) und der DIFC-Regeln (Datenschutzgesetz Nr.). 5 von 2020) oder ADGM (DPR 2021). Dies ist insbesondere dann wichtig, wenn die Daten auf dem Festland verarbeitet werden.

Ein Fehler im Regulierungsstatus kann zu einer erzwungenen Sperrung des Dienstes oder zum Widerruf einer Lizenz drei Monate nach der Investition führen.

Schritt 4. Handelsverträge (Kunden- und Lieferantenvereinbarungen)

Das Tech-Geschäft ist genauso viel wert wie seine bestehenden Verträge und der Schutz durch Anbieter.

Es ist notwendig, versteckte Risiken in typischen Formen zu identifizieren:

SaaS-Vereinbarungen und EULA: Gibt es SLAs (Service Level Agreements)? Wenn ja, sind sie real und wie hoch ist die Ausfallzeitstrafe? Gibt es eine Haftungsbeschränkung – Haftungsausschluss für indirekte Schäden aus einem Softwarefehler?
Datenrechte: Wem gehören die Daten, die Benutzer in die Cloud hochladen? Kann der Anbieter anonymisierte Daten nutzen, um KI zu trainieren? Entspricht dies der Datenschutzerklärung?
Kündigungsbedingungen: Haben Großkunden das Recht, bei Eigentümerwechsel ohne Strafe auszutreten (Change of Control-Klausel)?
Abhängigkeit von Anbietern: Ist das Unternehmen an AWS, Microsoft Azure oder lokale Rechenzentren (z. B. Khazna) gebunden? Welche Garantien für die Geschäftskontinuität gibt es, wenn der Anbieter auf Verlangen der Behörden die Server abschaltet?

Schritt 5. Compliance im Bereich Datenschutz und Cybersicherheit

In den VAE ist dies insbesondere nach der Einführung des PDPL keine „europäische Laune“ mehr, sondern eine strikte Vorgabe. Für ein Technologieunternehmen sind Daten Treibstoff, aber wenn sie durchsickern, sind sie auch ein giftiges Gut.

Das Verifizierungsprogramm muss Folgendes umfassen:

Grenzüberschreitende Übermittlungen: Wohin fließen die personenbezogenen Daten von VAE-Kunden? Gibt es eine Folgenabschätzung, wenn Sie einen Server in den USA haben?
Die Rollen des Datenverantwortlichen und des Datenverarbeiters: Sind sie in den Verträgen klar verteilt, insbesondere wenn es sich bei dem Unternehmen um einen B2B-Anbieter handelt?
Ernennung eines Datenschutzbeauftragten: Muss das Unternehmen einen Datenschutzbeauftragten ernennen (dies ist für bestimmte Kategorien im DIFC obligatorisch)?
Reaktionsprotokolle: Gab es Sicherheitsvorfälle? Wenn ja, wie haben die Behörden vorgegangen (das DIFC verlangte oft eine Benachrichtigung an das Büro des Kommissars)?
Pentests und Audits: Gibt es eine Geschichte unabhängiger Penetrationstests?

Die Cybersicherheit in Dubai wird auch durch die Standards der Information Security Regulation (ISR) geregelt, insbesondere für Unternehmen, die mit der Regierung oder in kritischen Infrastrukturen zusammenarbeiten.

Schritt 6. Arbeitsbeziehungen und Team

Bei einem Technologieunternehmen reist das Team abends ab und der Code bleibt auf dem Server. Es ist wichtig, dass Mitarbeiter das Unternehmen verlassen.

Besonderheiten der VAE:

Visa und Sponsoring (Visa-Sponsoring): Werden die Visa wichtiger Entwickler ausgesetzt? Durch illegale Arbeit besteht die Gefahr, dass das Amt eingestellt wird.
Wettbewerbsverbote und restriktive Vereinbarungen: Wettbewerbsverbote müssen zeitlich und räumlich angemessen sein, um vor den Gerichten der VAE durchsetzbar zu sein (das DIFC/ADGM Common Law bietet hier mehr Flexibilität als Onshore).
ESOP (Optionen): Gibt es Aktien, die nicht rechtlich formalisiert sind (sog. „Gründerversprechen“)? Dies ist ein häufiger Grund für Investitionsstreitigkeiten. In DIFC und ADGM werden Optionsstrukturen anerkannt, auf dem Festland sind sie komplexer und erfordern häufig Sicherheitenstrukturen.

Schritt 7. Steuerverbindlichkeiten und -vorteile

Die Nullsteuer in den VAE ist ein Mythos, der überprüft werden muss.

Körperschaftssteuer (9 %): Wendet das Unternehmen eine Steuer an (ab einer bestimmten Gewinnschwelle) und verstößt es nicht gegen den Status einer qualifizierten Person in einer Freihandelszone (Satz von 0 % für Sonderwirtschaftszonen, die bestimmten Kriterien unterliegen)?
Mehrwertsteuer (VAT): Gibt es eine nicht ausgewiesene Mehrwertsteuer auf den Verkauf digitaler Dienstleistungen im Ausland (das Problem des Leistungsortes für elektronische Dienstleistungen)?
Patentboxen und F&E-Vorteile: Wenn ein Unternehmen ein Innovationspatent beansprucht, wird dieses bestätigt und berechtigt es zu Steuervergünstigungen?

Schritt 8. Rechtsstreitigkeiten und Risiken von IP-Verletzungen

Nur weil ein Unternehmen noch nicht verklagt wurde, heißt das nicht, dass kein Risiko besteht.

Es ist zu prüfen:

Freedom to Operate (FTO): Analyse der Patentlandschaft. Verletzt das Produkt die in den Vereinigten Arabischen Emiraten, den USA oder Europa registrierten Patente der Wettbewerber? Die Patentgesetzgebung entwickelt sich in den VAE aktiv weiter und regionale Akteure reichen zunehmend Klagen ein.
Schadenhistorie: Gibt es Unterlassungserklärungen?
Streitbeilegungsforum: Wo kann ich klagen? DMCC-Unternehmen unterliegen im Allgemeinen den DIFC-Gerichten durch Opt-in, sofern nicht anders angegeben. Dies ist ein Wendepunkt zugunsten des englischen und des Common Law, das für internationale IT-Verträge von entscheidender Bedeutung ist.

So stärken Sie die Position Ihres Unternehmens vor der Due Diligence (Pre-Sale Clean-up)

Der beste Deal ist der, den das Unternehmen 6 Monate vor dem Treffen mit den Investoren vorbereitet hat.

Wir empfehlen Technologieunternehmen in den VAE:

Führen Sie ein internes IP-Audit durch und unterzeichnen Sie Vereinbarungen mit Entwicklern erneut.
Alle Open-Source-Risiken schließen (GPL-Bibliotheken durch MIT/Apache ersetzen)
TDRA-Lizenzen erwerben oder erneuern;
Implementieren und dokumentieren Sie die PDPL/DIFC-Datenschutzrichtlinie.
Überprüfen Sie die SLA in allen Kundenverträgen auf Realismus
die Beziehungen zu den Gründern in der Aktionärsvereinbarung zu formalisieren, mit Ausnahme mündlicher Vereinbarungen über Aktien;
Prüfen Sie, ob kein „Schatten“-wirtschaftlicher Eigentümer vorliegt.
Unternehmenshistorie löschen (Sitzungsprotokolle entfernen);
Führen Sie ein Cybersicherheitstestaudit durch.
Verpacken Sie das KI-Modell rechtlich korrekt (trennen Sie die Rechte an Code, Modellgewichten und Trainingsdaten).

Typische Fehler, die Tech-Deals in den VAE zum Scheitern bringen

1. Glauben Sie an die mündliche Übertragung von Rechten. Der Gründer sagt: „Der Kodex wurde von meinem Ex-Partner geschrieben, wir waren uns einig.“ Ohne eine schriftliche Abtretungsurkunde handelt es sich nicht um einen Vermögenswert, sondern um eine Verbindlichkeit.

2. Die Einführung einer Web3-Wallet ohne DMCC-Lizenz, selbst einer Testlizenz, birgt das Risiko einer strafrechtlichen Verfolgung und macht den Kauf des Unternehmens „giftig“.

3. Die Arbeit mit Gesundheitsdaten im Rahmen einer IT-Beratungslizenz stellt einen direkten Verstoß gegen die Vorschriften des DHCC oder der Gesundheitsbehörden dar.

4. Nicht nur das Unternehmen, sondern auch alle Auftragnehmer und Nutzer aus Hochrisikogebieten müssen auf die Einhaltung der UN- und OFAC-Sanktionen überprüft werden.

5. Eine „infizierte“ Komponente im Code kann die Kosten für proprietäre Software zunichtemachen.

Checkliste für Investoren in Technologieunternehmen in den VAE

Bevor Sie die Transaktion abschließen, müssen Sie 15 Fragen beantworten:

Entspricht die Lizenz der tatsächlichen Tätigkeit (KI, Krypto, FinTech)?
Werden alle Coderechte von den Entwicklern schriftlich übertragen?
Gibt es Dokumente, die die Rechte an der Marke und der Domain bestätigen?
Ist der Code im Hinblick auf Open-Source-Lizenzen rein?
Gibt es Berichte von TDRA oder VARA über Verstöße?
Entspricht die Verarbeitung den PDPL- oder DIFC/ADGM-Anforderungen?
Gibt es Geheimhaltungsvereinbarungen und Wettbewerbsverbote für Schlüsselmitarbeiter?
Gibt es Verträge, die die Übertragung von Rechten an zukünftigen IP-Objekten vorsehen?
Gibt es unerfüllte Verpflichtungen im Rahmen des ESOP?
Wo befinden sich die Server und Backups physisch?
Läuft das Aufenthaltsvisum des wichtigsten technischen Direktors ab?
Gibt es versteckte SLA-Strafen vor wichtigen Kunden?
Hat der Auftragnehmer das Recht, den Vertrag zu kündigen, wenn das Unternehmen die Kontrolle wechselt?
Besteht bei internationalen Abonnements das Risiko einer Mehrwertsteuer?
Wenn der Server morgen heruntergefahren wird, kann das Unternehmen dann während der vereinbarten SLA aus dem Backup aussteigen?

Was ist die Legal Due Diligence-Strategie in den VAE?

Eine starke Strategie umfasst typischerweise fünf Analyseebenen:

1. Überprüfung der IP- und Technologieposition von Produktrechten, Patentreinheit und Codebasis.

2. Regulatorisches Mapping Vergleich eines Geschäftsmodells mit einer regulatorischen Risikokarte (TDRA, VARA, DFSA, PDPL).

3. Vertraglicher Rahmen Analyse von Kunden-, Arbeits- und Partnerschaftsverträgen auf versteckte Verbindlichkeiten und Ausfallauslöser.

4. Strukturelle Integrität: Eine Prüfung der Unternehmensführung, der Eigentumsverhältnisse und der Steuerkonformität in einer ausgewählten Freihandelszone oder einem Festlandgebiet.

5. Cybersicherheit und Datenresilienz Bewertung der Infrastrukturreife und der Fähigkeit, einen Vorfall zu überstehen.

Ohne eine fünfte Ebene vermitteln die ersten vier möglicherweise kein vollständiges Bild der Risiken.

FAQ

Kann ich als Ausländer ein Technologieunternehmen von DMCC kaufen?

Ja. Free Zone DMCC erlaubt 100 % ausländischen Besitz. Vor dem Kauf sollten Sie jedoch prüfen, ob eine bestimmte Geschäftsart (z. B. eine Krypto-Börse) nicht mit solchen zusammenhängt, die einer behördlichen Genehmigung (Vorabgenehmigung) und nicht nur einer DMCC-Lizenz bedürfen.

Was ist gefährlicher: Unformierte IP- oder PDPL-Probleme?

Aus kommerzieller Sicht ist unformuliertes geistiges Eigentum gefährlicher, da Sie möglicherweise das Recht am Produkt insgesamt verlieren. Aus Reputations- und Sanktionsgründen könnte ein Verstoß gegen die PDPL hohe Geldstrafen nach sich ziehen (insbesondere in DIFCs, wo die Geldbußen Millionen erreichen können) und die Fähigkeit zur Datenverarbeitung blockieren.

Müssen wir den Code überprüfen, wenn wir ein Unternehmen kaufen, um einen Kundenstamm aufzubauen?

Das werde ich. Wenn es im Code, der diese Datenbank bedient, kritische Lizenzverstöße gibt, müssen Sie erhebliche Mittel für die Umgestaltung aufwenden, oder Sie verlieren die Möglichkeit, diese Kunden legal zu bedienen.

Beeinträchtigt die Entdeckung eines US-Patents den Schutz der VAE?

Direkt, nein. Für den Schutz in den VAE muss ein Patent beim Patentamt des Landes angemeldet werden. Die Verfügbarkeit internationaler Patente (PCTs) vereinfacht und beschleunigt jedoch die Registrierung in der GCC-Region erheblich.

Ist das Testen des KI-Modells ein Standardverfahren?

Ja, es ist im Moment ein Muss. Es ist notwendig zu verstehen, auf welchen Daten das Modell trainiert wird (das Risiko einer Urheberrechtsverletzung), wie Entscheidungen getroffen werden (die Anforderungen an die Erklärbarkeit im DIFC) und wer der Autor der „Gewichte“ des Modells ist, Mitarbeiter oder Dritte.

Fazit

Die rechtliche Prüfung eines Technologieunternehmens in den VAE erfordert keinen standardmäßigen „Dokumentenlisten“-Ansatz, sondern ein tiefes Verständnis der IT-Produktarchitektur und der lokalen regulatorischen Hybridität.

Eine starke Käufer- oder Investorenposition basiert auf der frühzeitigen Erkennung von Lücken in der Kette der geistigen Eigentumsrechte, der genauen Abstimmung des Geschäftsmodells mit den Anforderungen von Regulierungsbehörden wie VARA und TDRA und der Prüfung der Vertragshülle.

Auf dem hart umkämpften Markt von Dubai und Abu Dhabi ist nicht der Gewinner derjenige, der den Deal schneller abschließt. Gewinner ist, wer genau weiß, welche technologischen und rechtlichen Risiken er einkauft und wie er diese ausgleichen kann, ohne den Betrieb nach einem Eigentümerwechsel einzustellen.

Haben Sie eine Frage zum Thema dieses Artikels?

Schreiben Sie uns und wir werden innerhalb eines Werktages antworten.