De transactie en het toekomstige gebruik bepalen de vragen
Beschrijf of aandelen, activiteiten of afzonderlijke bestanden worden overgenomen. Bij een aandelenovername blijft de betrokken rechtspersoon doorgaans bestaan, maar nieuwe groepsdeling of andere doeleinden vragen nog steeds beoordeling. Bij een activaoverdracht kan de verstrekking aan een nieuwe partij zelf een afzonderlijke verwerking vormen. Leg daarom vast welke gegevens de koper verwacht te gebruiken en voor welke activiteiten. Een bestand dat voor bestaande dienstverlening is verzameld, is niet automatisch vrij inzetbaar voor alle marketingplannen van de koper. Het onderzoek moet de oorspronkelijke doeleinden verbinden met het concrete integratieplan, in plaats van uitsluitend historische naleving te controleren.
Het verwerkingsbeeld toetsen aan de werkelijke systemen
Vraag het verwerkingsregister, gegevensstromen en systeemoverzicht op. Vergelijk die met de feitelijke bedrijfsvoering. Welke data staan in CRM, personeelsadministratie, support, exports en archieven? Wie heeft toegang en welke leveranciers verwerken mee? Een register kan verouderd zijn of belangrijke informele processen missen. Daarom worden gerichte vragen en steekproeven gebruikt om de documentatie te toetsen. Breng ook bijzondere of strafrechtelijke gegevens in beeld. De omvang en gevoeligheid bepalen mede de diepgang van het onderzoek. Een klein aantal zeer gevoelige dossiers kan meer aandacht vragen dan een groot bestand met beperkte zakelijke contactgegevens.
Grondslagen en communicatie per relevant doel onderzoeken
Controleer waarop belangrijke verwerkingen berusten en welke informatie betrokkenen hebben ontvangen. Bij toestemming zijn bewijs, doel en intrekkingsmogelijkheden relevant. Bij gerechtvaardigd belang moet de afweging passen bij het werkelijke gebruik. Ook bewaartermijnen en afhandeling van rechten geven inzicht in de uitvoerbaarheid. Een algemene mededeling dat de onderneming AVG-proof is, biedt geen voldoende onderbouwing. Vraag naar concrete beslissingen en voorbeelden van uitvoering. Het onderzoek hoeft niet ieder individueel record te beoordelen, maar moet duidelijk maken welke conclusies op documenten, interviews of steekproeven rusten en waar onzekerheid blijft bestaan.
Een marketingbestand past niet bij het nieuwe verkoopplan
Een fictieve koper wil klanten van de overgenomen onderneming direct aanbiedingen sturen voor een andere productgroep. Het beschikbare bestand is echter verzameld voor technische ondersteuning en de bestaande communicatie beschrijft geen vergelijkbaar gebruik. In deze situatie moet de voorgenomen marketingverwerking afzonderlijk worden beoordeeld, inclusief toepasselijke regels voor elektronische berichten. De waarde van het bestand kan daardoor anders zijn dan in het commerciële plan is aangenomen. Het voorbeeld laat zien waarom privacy due diligence vooruitkijkt. Een historisch rechtmatig verzameld bestand geeft geen algemene toestemming voor ieder nieuw doel na een overname.
Leveranciers en internationale stromen zichtbaar maken
Onderzoek de verwerkersketen, contracten, subverwerkers en locaties van verwerking. Een Europese contractspartij kan gebruikmaken van ondersteuning of infrastructuur buiten de EER. Controleer daarom welke doorgiften plaatsvinden en welke waarborgen worden gebruikt. Ook toegang, export en verwijdering bij beëindiging van leveranciersrelaties zijn relevant voor integratie. De koper moet weten of systemen kunnen worden samengevoegd of vervangen zonder gegevensrechten en beveiliging te verliezen. Ontbrekende documenten worden gekoppeld aan de feitelijke verwerking; een standaard verwerkersovereenkomst helpt niet als zij de gebruikte dienst of rolverdeling onjuist beschrijft.
Incidenten en toezicht vertalen naar concrete gevolgen
Vraag naar datalekken, klachten, verzoeken van betrokkenen en contact met toezichthouders. Onderzoek welke maatregelen zijn genomen en welke kwesties nog openstaan. Een incidentregister zonder opvolging geeft een ander beeld dan een aantoonbaar verbeterd proces. De juridische analyse moet onderscheid maken tussen vaststaande tekortkomingen, mogelijke risico's en ontbrekende informatie. Koppel belangrijke bevindingen aan herstel vóór overdracht, een integratievoorwaarde of een specifieke contractuele risicoverdeling. Een algemene garantie kan nuttig zijn, maar vervangt geen noodzakelijke technische verbetering. De koper moet begrijpen welke werkzaamheden na aankoop nog nodig zijn om de geplande gegevensverwerking verantwoord voort te zetten.
Onderzoek uitvoeren zonder zelf onnodig gegevens te verspreiden
Gebruik waar mogelijk geanonimiseerde voorbeelden, beperkte exports of samenvattingen. De verstrekking in een dataroom vraagt zelf een rechtmatige en beveiligde inrichting. De oplevering bevat een risicogericht bevindingenoverzicht, bewijsbasis en actieplan voor de transactie en integratie. Vermeld welke systemen of perioden buiten de opdracht vielen, zodat de conclusie niet ruimer wordt gelezen dan het onderzoek toelaat. Zo levert privacy due diligence een bruikbare beslissing op: welke gegevenspraktijk wordt overgenomen, welke plannen zijn uitvoerbaar en welke voorwaarden moeten eerst worden geregeld voordat de koper de gegevens anders gaat gebruiken.
Bronnen bij dit onderwerp
- EUR-Lex — Algemene verordening gegevensbeschermingGeraadpleegd op 2026-09-13
- Burgerlijk Wetboek Boek 6 — overeenkomstenGeraadpleegd op 2026-09-13