Due Diligence und Red-Flag-Report: Ablauf, DD-Typen und wo KI hilft

Für Transaktionsberatungen, Strategieteams und PE-Investoren, die in kurzer Zeit einen Datenraum durcharbeiten müssen. Am Ende liegen ein Red-Flag-Report in Ihrer Word-Vorlage, eine Risikomatrix in Excel und eine gepflegte Q&A-Liste auf dem Tisch. Jede Aussage darin verweist auf das Dokument im Datenraum, aus dem sie stammt.

Das Problem

Der Datenraum öffnet am Montag, der Red-Flag-Report soll vor dem zweiten Gebot beim Mandanten sein. Dazwischen liegen einige tausend Dokumente in einer Indexstruktur, die der Verkäufer gebaut hat, nicht Ihr Team: Gesellschafterverträge, Kunden- und Lieferantenverträge, Darlehensverträge, Arbeitsverträge der Schlüsselpersonen, BWA und Summen-Saldenlisten, Mietverträge, Förderbescheide. Dokumente kommen in Wellen nach, manche geschwärzt, manche erst in einer späteren Phase.

Die Zeit geht selten in die Bewertung. Sie geht in die Vorarbeit:

• Sichten und Zuordnen. Welche Dokumente betreffen Commercial, Financial, Tax, Legal, IT, HR oder ESG? Was ist neu seit dem letzten Index-Stand?
• Klauseln finden. Change-of-Control in Kunden- und Finanzierungsverträgen, Exklusivitäten, Kündigungsrechte, Haftungsbegrenzungen, Bindungsfristen aus Förderbescheiden. Genau solche Punkte nennt auch die Praxisliteratur als typische Red Flags, etwa Darlehen mit Rückzahlungspflicht bei Gesellschafterwechsel oder Förderauflagen zum Beschäftigungserhalt.^[1]
• Lücken erkennen. Was fehlt gegenüber der Information Request List? Rödl weist darauf hin, dass das Q&A eher in die Tiefe als in die Breite geht. Was in der Anforderungsliste fehlte, bleibt deshalb oft unbekannt.^[2]
• Q&A-Log führen. Fragen formulieren, nummerieren, Antworten des Managements nachhalten und gegen die Dokumente prüfen.
• Formatieren. Befunde in die Report-Vorlage übertragen, Ampel setzen, Fundstellen nachtragen.

Für die Geschäftsleitung des Käufers ist das kein Formalismus. Nach § 93 Abs. 1 AktG liegt bei einer unternehmerischen Entscheidung keine Pflichtverletzung vor, wenn das Vorstandsmitglied vernünftigerweise annehmen durfte, „auf der Grundlage angemessener Information" zu handeln.^[4] Die Due Diligence ist ein wesentlicher Teil dieser Information. Werden Red Flags übersehen, trifft das am Ende den Mandanten.

DD-Typen und was jeweils im Datenraum gesucht wird

Bei einer Vendor Due Diligence läuft dieselbe Arbeit auf der Verkäuferseite: Der Bericht wird vor dem Prozess erstellt und Bietern zur Verfügung gestellt. Ein Red-Flag-Report ist die verdichtete Form. Er sammelt nur die Punkte, die den Deal gefährden oder den Preis bewegen. RSM bewertet die Befunde darin nach niedrig, mittel und hoch oder als Ampel und fragt bei jedem Risiko, ob das Management davon weiß und daran arbeitet.^[1]

So läuft es mit enter ai

1. Auftrag und Rahmen. Sie beauftragen den digitalen Analysten im Chat oder in Teams, zum Beispiel: „Red-Flag-Report für Projekt Nordlicht bis Donnerstag, aufgebaut wie bei Aurora." Der Kollege sucht im Company Brain Ihre DD-Methodik, frühere Reports und die Vorlage. Fehlt ihm etwas, fragt er nach, bevor er beginnt: Scope (Share oder Asset Deal, welche Workstreams), Wesentlichkeitsschwellen (ab welchem Betrag oder welcher Kundenkonzentration ein Punkt eine Red Flag ist), Stichtag des Datenraum-Index. Sie entscheiden: Scope und Schwellen.
2. Datenraum lesen. Der Kollege liest die Dokumente dort, wo sie liegen, direkt aus Ihrem virtuellen Datenraum oder aus SharePoint, OneDrive oder Google Drive, mit den Rechten der Person, die ihn beauftragt hat. Gescannte PDFs laufen durch die Texterkennung. Ergebnis ist ein Dokumentenregister: Index-Nummer, Titel, DD-Bereich, Datum, Vertragspartner, Status (gelesen, unlesbar, geschwärzt, unvollständig).
3. Abgleich mit der Request List. Liegt Ihre Information Request List vor, gleicht der Kollege sie gegen das Register ab und markiert, was fehlt oder nur teilweise geliefert wurde. Daraus entstehen Q&A-Entwürfe mit laufender Nummer, Bezug auf den Index und Adressat (Management, Steuerberater, Rechtsberatung des Verkäufers). Sie entscheiden: welche Fragen in welcher Runde rausgehen.
4. Befunde mit Fundstelle. Je Dokument prüft der Kollege die Punkte aus Ihrer Methodik, etwa Change-of-Control, Laufzeiten und Kündigungsrechte, Kundenkonzentration, Sicherheiten, Bindungsfristen. Jeder Befund steht mit Index-Nummer, Seite und wörtlichem Zitat in der Risikomatrix in Excel. Er wird nach Ihren Schwellen vorbewertet und als Vorschlag markiert.
5. Report nach Vorlage. Der Kollege füllt Ihre Word-Vorlage: Executive Summary, Red Flags nach Bereich, offene Punkte, Anhang mit Dokumentenliste. Punkte, die er nicht einordnen kann, stehen sichtbar unter „zur Bewertung", nicht im Fließtext versteckt.
6. Freigabe. Report, Matrix und Q&A-Liste landen als Dateien in Ihrer Ablage. Den Versand an die Qualitätssicherung oder den Mandanten bereitet der Kollege als Entwurf vor. Er geht erst nach Ihrer Freigabe raus. Ihre Anmerkungen, etwa „Executive Summary künftig auf eine Seite", übernimmt der Kollege für die nächsten Reports.
7. Nachlieferungen. Als Routine prüft der Kollege den Datenraum auf neue Dateien, ergänzt Register und Matrix und meldet, welche offenen Q&A-Punkte durch neue Dokumente beantwortet sein könnten. Sie entscheiden: ob ein Punkt damit erledigt ist.

Beispiel

Beispiel mit erfundenen Daten. Auftrag: Red-Flag-Report Legal und Commercial für den Kauf eines Zulieferers im Share Deal, Wesentlichkeitsschwelle 250.000 € Ergebniseffekt oder 15 % Umsatzanteil je Kunde. So sieht der Auszug aus der Red-Flag-Tabelle aus, den der Kollege zur Freigabe vorlegt:

Dazu kommen die Q&A-Liste (Q-041 bis Q-063, jeweils mit Index-Bezug) und das Dokumentenregister mit 37 als „unvollständig" markierten Einträgen. „Rot", „gelb" und „Umgang" sind Vorschläge. Die Bewertung setzt das Team.

Grenzen

• Das Urteil bleibt bei Ihnen. Ob eine Change-of-Control-Klausel den Deal gefährdet, hängt vom Kunden, von der Verhandlungsposition und von Ihrem Eindruck des Managements ab. Der Kollege schlägt Einordnungen nach Ihren Schwellen vor. Ob ein Punkt in Kaufpreis, Garantie, Freistellung oder Vollzugsbedingung gehört, entscheidet das Deal-Team mit der Rechtsberatung. Das hat auch Folgen für den Vertrag: Nach § 442 Abs. 1 BGB sind Mängelrechte ausgeschlossen, wenn der Käufer den Mangel bei Vertragsschluss kennt.^[5] Wie Erkenntnisse aus der DD im Kaufvertrag behandelt werden, regelt die Rechtsberatung.
• Urteilsaufgaben sind die Schwachstelle von KI. In einem präregistrierten Experiment mit 758 Beratern der Boston Consulting Group waren KI-Nutzer bei 18 Aufgaben innerhalb der Leistungsgrenze der KI schneller und besser. Bei einer komplexen Managementaufgabe außerhalb dieser Grenze lagen sie dagegen seltener richtig: 60 bzw. 70,6 % korrekte Lösungen gegenüber 84,5 % ohne KI, im Mittel 19 Prozentpunkte weniger.^[6] Für die DD heißt das: Sichten, Zuordnen und Fundstellen suchen kann der Kollege übernehmen. Die Gesamtwürdigung eines Targets bleibt bei Ihnen.
• Testate, Rechtsgutachten und Berufspflichten. Der Kollege erstellt keine Bestätigungsvermerke, keine Rechtsberatung und keine steuerliche Beratung. Wo ein Wirtschaftsprüfer, Steuerberater oder Anwalt unterschreibt, prüft er die Grundlagen selbst.
• Was nicht im Datenraum ist, findet er nicht. Mündliche Auskünfte aus Management-Präsentationen und Site Visits fließen nur ein, wenn Sie Protokolle ablegen. Das gilt auch für Erkenntnisse aus dem Q&A, die nur in E-Mails stehen und nicht freigegeben sind.
• Grenzen der Vorlage. Geschwärzte Passagen, Bildscans schlechter Qualität und Handschrift (etwa Randnotizen in Gesellschafterlisten) werden als „nicht lesbar" markiert, nicht geraten.

Datenschutz in diesem Anwendungsfall

Was in diesem Fall fließt. Datenrauminhalte sind fremde Unternehmensdaten unter Vertraulichkeitsvereinbarung. Sie enthalten personenbezogene Daten Dritter: Geschäftsführer, Schlüsselpersonen, Arbeitnehmer in Gehaltslisten, Ansprechpartner von Kunden. Der Kollege liest diese Dokumente mit den Rechten des beauftragenden Nutzers. Inhalte, die über einen Konnektor abgerufen werden, fließen nach unseren AGB in das persönliche Brain dieses Nutzers und nicht in das organisationsweite Brain. Eine Weitergabe an das Org Brain gibt es nur durch ausdrückliche Einzelentscheidung des Nutzers. Für Deal-Teams, die Mandatswissen strikt trennen müssen, ist das der wichtigste Punkt.

Ihre Prüfpflicht vorab. Prüfen Sie das NDA mit dem Verkäufer: Viele Vertraulichkeitsvereinbarungen regeln abschließend, an wen Informationen weitergegeben werden dürfen. Ob die Verarbeitung über eine Plattform mit Auftragsverarbeitern davon gedeckt ist, entscheidet Ihre Rechtsberatung. Mitgeschickte Gesundheitsdaten, etwa Krankenstände in HR-Unterlagen, sind nach unserem AVV nicht Gegenstand der Leistung. Liegen sie trotzdem im Datenraum, brauchen Sie eine eigene Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO.

Plattform. Gespeichert wird auf Servern in Deutschland. Die Sprachmodelle laufen über Rechenzentren in der EU, ohne Speicherung beim Modellbetreiber und ohne Training mit Ihren Daten; das ist mit den Modellanbietern vertraglich ausgeschlossen. Die gelesenen Dokumente fließen in das Company Brain der beauftragenden Person. Jeder Lesezugriff und jede Freigabe stehen im Audit-Log, sodass Sie im Nachgang belegen können, wer welches Dokument hat auswerten lassen. Einzelheiten stehen im AVV mit der Liste der Unterauftragnehmer und in der Leistungsbeschreibung. Ob Ihr konkretes Mandat damit datenschutzrechtlich abgedeckt ist, bleibt eine Prüfung durch Ihren Datenschutzbeauftragten.

Häufige Fragen

Kann der Kollege eine DD-Checkliste für uns erstellen? Ja, als Entwurf auf Basis Ihrer bisherigen Request Lists und Methodik im Company Brain, zugeschnitten auf Deal-Typ und Branche. Eine allgemeingültige Liste gibt es nicht. Rödl weist darauf hin, dass jede Request List für den Einzelfall erstellt werden muss.^[2] Prüfen und kürzen müssen Sie den Entwurf selbst.

Arbeitet das auch für Vendor Due Diligence? Ja, die Arbeit ist dieselbe, nur auf der anderen Seite. Auf der Verkäuferseite hilft der Kollege zusätzlich, vor dem Prozess zu prüfen, ob der Datenraum vollständig und geschwärzt ist. Typische Bieterfragen lassen sich aus einer Request List vorwegnehmen. Was offengelegt wird, entscheiden Sie mit der Rechtsberatung. Der Verkäufer darf bei der Offenlegung weder Geheimhaltungspflichten noch Datenschutzbestimmungen verletzen.^[3]

Wie verhindern wir, dass Wissen aus einem Mandat in einem anderen auftaucht? Über die Rechte: Der Kollege sieht nur, was die beauftragende Person sehen darf. Konnektor-Inhalte landen im persönlichen Brain dieser Person und gehen nicht automatisch ins Org Brain. Legen Sie für jedes Deal-Team eigene Ordner mit eigenen Rechten an, wie Sie es heute schon tun.

Wie schnell ist ein Red-Flag-Report fertig? Das hängt von der Größe des Datenraums, der Scanqualität und dem Scope ab. Belastbare Zahlen nennen wir erst, wenn wir sie aus echten Mandaten messen können. Im Strategiegespräch spielen wir einen Datenraum mit Ihren eigenen Vorlagen durch.