Datengeheimhaltung und Ausfuhrbeschränkungen für Vermessungsunternehmen

Datengeheimhaltung und Ausfuhrbeschränkungen für Vermessungsunternehmen

Wer als ausländischer Investor in Deutschland ein Vermessungsunternehmen gründen oder sich an einem solchen beteiligen möchte, stößt früher oder später auf ein Thema, das in der Branche fast schon einen mythischen Ruf genießt: die Datengeheimhaltung und die damit verbundenen Ausfuhrbeschränkungen. Ich bin Liu, seit zwölf Jahren betreue ich ausländische Unternehmen bei der Jiaxi Steuerberatung, und davor und danach habe ich vierzehn Jahre Erfahrung in der Registrierungsabwicklung gesammelt. In dieser Zeit habe ich mehr als ein Dutzend Vermessungsunternehmen durch die Gründungsphase begleitet, und kaum ein Mandant hat beim ersten Gespräch verstanden, warum die Behörden bei Geodaten so genau hinschauen.

Die kurze Antwort lautet: Geodaten sind in Deutschland keine gewöhnliche Handelsware. Sie berühren Fragen der nationalen Sicherheit, des Katastrophenschutzes und der kritischen Infrastruktur. Wer als Vermessungsunternehmen tätig ist, arbeitet mit Daten, die potenziell militärisch relevant sind, und unterliegt deshalb einem Regelwerk, das weit über das hinausgeht, was ein normaler Dienstleister gewohnt ist. Für Investoren bedeutet das: Die Due Diligence muss sich nicht nur auf Bilanzen und Verträge erstrecken, sondern auch auf die Frage, ob das Zielunternehmen seine Datenhoheit im Griff hat.

In diesem Artikel möchte ich aus meiner Praxis heraus erklären, was hinter dem Begriffspaar Datengeheimhaltung und Ausfuhrbeschränkungen steckt, welche rechtlichen Grundlagen gelten, wo typische Stolperfallen liegen und wie ein ausländischer Investor damit umgehen sollte. Ich tue das bewusst nicht in amtlicher Sprache, sondern so, wie ich es einem Mandanten am Konferenztisch erklären würde. Ein bisschen Fachbegriff muss sein, aber ich versuche, sie dort einzusetzen, wo sie tatsächlich weiterhelfen.

Rechtliche Grundlagen im Überblick

Die rechtliche Architektur der Datengeheimhaltung im Vermessungswesen ist in Deutschland föderal aufgebaut, und das ist für Auslandsinvestoren oft die erste Überraschung. Kataster- und Vermessungsrecht fällt im Wesentlichen in die Gesetzgebungskompetenz der Länder. Das bedeutet: Ein Vermessungsunternehmen in Bayern unterliegt anderen landesrechtlichen Vorgaben als eines in Nordrhein-Westfalen oder Hamburg. Wer also ein Unternehmen mit mehreren Standorten erwirbt, muss die landesspezifischen Regelungen sorgfältig auseinanderhalten.

Darüber hinaus gibt es bundesrechtliche Regelungen, die für alle gelten. Das Bundesdatenschutzgesetz und die Datenschutz-Grundverordnung der EU bilden den allgemeinen Rahmen für personenbezogene Daten. Für Geodaten kommt das Geodatenzugangsgesetz hinzu, das den Zugang zu Geodaten der öffentlichen Verwaltung regelt. Wer als Vermessungsunternehmen mit Behörden zusammenarbeitet, ist regelmäßig in diese Strukturen eingebunden und muss die dortigen Vorgaben zur Weitergabe und Veröffentlichung beachten.

Ein weiterer wichtiger Baustein ist das Sicherheitsüberprüfungsgesetz. Wenn ein Unternehmen Aufträge im sicherheitsrelevanten Bereich bearbeitet, können Mitarbeiter einer Sicherheitsüberprüfung unterzogen werden. In der Praxis betrifft das nicht jedes Vermessungsbüro, aber bei Aufträgen für militärische Liegenschaften oder kritische Infrastruktur ist es gang und gäbe. Ich habe erlebt, dass ein Mandant aus Singapur fast einen ganzen Auftrag verloren hat, weil er diese Überprüfung schlicht nicht auf dem Schirm hatte.

Schließlich sind die Ausfuhrbeschränkungen zu nennen, die sich vor allem aus der Außenwirtschaftsverordnung und dem Außenwirtschaftsgesetz ergeben. Sie regeln, unter welchen Voraussetzungen Geodaten und Vermessungsprodukte in Drittländer verbracht oder dort zur Verfügung gestellt werden dürfen. Das klingt abstrakt, hat aber sehr konkrete Folgen: Ein Datensatz, der per E-Mail an eine ausländische Muttergesellschaft geschickt wird, kann unter Umständen genehmigungspflichtig sein.

Ich rate Mandanten in solchen Fällen immer, die Rechtsgrundlagen nicht isoliert zu betrachten, sondern als zusammenhängendes System. Die Landesvermessungsgesetze, die Datenschutzvorgaben und die außenwirtschaftlichen Regelungen greifen ineinander, und wer nur einen Baustein prüft, übersieht schnell die anderen. Genau hier liegt übrigens ein häufiges Missverständnis: Viele glauben, Datenschutz und Ausfuhrkontrolle seien zwei getrennte Welten. Sind sie nicht.

Welche Daten besonders sensibel sind

Nicht jede Koordinate ist gleich heikel. In der Praxis unterscheidet man grob zwischen allgemein zugänglichen Geobasisdaten und solchen Daten, die aus Sicherheitsgründen besonders geschützt sind. Zu Letzteren gehören beispielsweise präzise Höhendaten, Daten über unterirdische Leitungen und Versorgungsinfrastruktur sowie Vermessungen im Umfeld militärischer Anlagen. Diese Daten unterliegen oft nicht nur einer Weitergabebeschränkung, sondern auch einer strengen Zweckbindung.

Für Investoren ist wichtig zu verstehen, dass die Sensibilität eines Datensatzes nicht immer offensichtlich ist. Ein Unternehmen mag auf den ersten Blick nur normale Ingenieurvermessungen durchführen. Wenn in dessen Datenbestand aber präzise Höhenmodelle eines Flughafens oder einer Staumauer enthalten sind, kann das bereits kritisch werden. Ich habe bei einer Due-Diligence-Prüfung einmal erlebt, dass ein kleiner Betrieb aus Baden-Württemberg jahrelang Höhendaten für ein Wasserkraftwerk gepflegt hatte, ohne dass dies in den Unterlagen irgendwo als sicherheitsrelevant gekennzeichnet war.

Die Einstufung erfolgt häufig durch die zuständigen Landesbehörden, und sie kann sich im Laufe der Zeit ändern. Ein Datensatz, der vor fünf Jahren unproblematisch war, kann heute als schutzbedürftig gelten. Deshalb reicht es nicht, einmalig zu prüfen; ein vernünftiges Compliance-System muss die Einstufung regelmäßig überprüfen lassen. In der Praxis empfehle ich meinen Mandanten, ein einfaches Datenregister zu führen, in dem festgehalten wird, welche Datenbestände existieren, woher sie stammen und wer Zugriff hat.

Ein weiterer Punkt, der oft unterschätzt wird: Auch Metadaten können sensibel sein. Die Information, dass ein Unternehmen ein bestimmtes Gebiet überhaupt vermessen hat, kann Rückschlüsse zulassen, die sicherheitsrelevant sind. Wer also glaubt, nur die reinen Messdaten seien geschützt, liegt daneben. Die Geheimhaltungspflicht erstreckt sich regelmäßig auch auf Auftraggeber, Auftragsgegenstand und Projektzeitraum.

Aus meiner Sicht ist das einer der Bereiche, in denen ausländische Investoren am häufigsten falsch liegen. Man ist es gewohnt, Daten als Wirtschaftsgut zu betrachten, das man nach Belieben kopieren und übertragen kann, solange der Datenschutz gewahrt ist. Im Vermessungswesen gilt zusätzlich eine sicherheitsrechtliche Logik, die nicht danach fragt, ob personenbezogene Daten betroffen sind, sondern ob die Daten als solche schutzbedürftig sind. Das ist ein Perspektivwechsel, den man aktiv vollziehen muss.

Ausfuhrbeschränkungen in der Praxis

Die Ausfuhrbeschränkungen sind der Teil, der Investoren am meisten Kopfzerbrechen bereitet. Grundsätzlich gilt: Die Verbringung von Geodaten in Länder außerhalb der EU kann genehmigungspflichtig sein, wenn die Daten als sicherheitsrelevant eingestuft sind. Innerhalb der EU ist die Lage in der Regel entspannter, aber auch hier gibt es Ausnahmen, etwa wenn es um Daten geht, die unter eine besondere Geheimhaltungsstufe fallen.

Ein typisches Problem in der Praxis ist die Cloud. Viele Unternehmen speichern ihre Vermessungsdaten bei einem Cloud-Anbieter, dessen Server möglicherweise in den USA oder in Asien stehen. Rechtlich kann bereits das Hochladen in eine solche Cloud eine Ausfuhr im Sinne der außenwirtschaftlichen Vorschriften darstellen. Ich hatte einen Mandanten, ein mittelständisches Vermessungsbüro mit chinesischer Muttergesellschaft, das genau in diese Falle getappt ist. Die Daten lagen auf einem Server in Shenzhen, und niemand hatte sich Gedanken darüber gemacht, dass der Zugriff der Muttergesellschaft auf diese Daten genehmigungspflichtig sein könnte.

Ein weiterer Stolperstein ist die Weitergabe an ausländische Auftraggeber. Wenn ein deutsches Vermessungsunternehmen für einen ausländischen Kunden arbeitet und die Ergebnisse ins Ausland liefert, muss geprüft werden, ob die Daten dem Exportkontrollrecht unterliegen. Das gilt insbesondere dann, wenn der Kunde im Bereich Verteidigung, kritische Infrastruktur oder Forschung tätig ist. Hier reicht es nicht, auf das Bauchgefühl zu vertrauen; es braucht eine dokumentierte Prüfung.

Interessant ist, dass die Genehmigungspraxis der Behörden durchaus Unterschiede aufweist. Während manche Bundesländer relativ klar kommunizieren, wann eine Genehmigung erforderlich ist, agieren andere zurückhaltender. In der Beratungspraxis hilft es, frühzeitig das Gespräch mit der zuständigen Stelle zu suchen, statt später mit einem fertigen Vertrag dazustehen. Ich habe die Erfahrung gemacht, dass Behörden durchaus kooperativ sind, wenn man transparent und frühzeitig auf sie zugeht.

Was viele unterschätzen: Die Ausfuhrbeschränkungen gelten nicht nur für Daten, sondern auch für Software und Technologie. Wer als Vermessungsunternehmen spezialisierte Software einsetzt, die selbst sicherheitsrelevante Funktionen hat, muss prüfen, ob deren Weitergabe oder Bereitstellung im Ausland genehmigungspflichtig ist. Das betrifft insbesondere Software zur Auswertung von Laserscanning-Daten oder zur Erstellung präziser Geländemodelle.

Compliance-Strukturen aufbauen

Ein ausländischer Investor, der ein deutsches Vermessungsunternehmen erwirbt, sollte nicht erst nach dem Closing über Compliance nachdenken. Die Datengeheimhaltung muss Teil der Due Diligence sein, und zwar mit einem eigenen Prüfungsschwerpunkt. In der Praxis bedeutet das: Man schaut sich nicht nur an, welche Daten das Unternehmen hat, sondern auch, wie diese Daten gespeichert, verarbeitet und weitergegeben werden.

Ein bewährtes Instrument ist die Erstellung einer Datenlandkarte. Dabei wird systematisch erfasst, welche Datenbestände existieren, wo sie liegen, wer Zugriff hat und welche rechtlichen Beschränkungen gelten. Ich habe solche Datenlandkarten für mehrere Mandanten erstellt und festgestellt, dass allein dieser Prozess oft erhebliche Lücken offenlegt. Manche Unternehmen wissen selbst nicht genau, welche Daten sie eigentlich besitzen.

Darauf aufbauend sollte ein internes Regelwerk entstehen, das den Umgang mit sensiblen Geodaten definiert. Dazu gehören Zugriffsbeschränkungen, Löschfristen und klare Zuständigkeiten. Wichtig ist, dass dieses Regelwerk nicht nur auf dem Papier steht, sondern gelebt wird. In der Praxis scheitern viele Compliance-Systeme daran, dass sie zwar existieren, aber niemand sie kennt. Schulungen und regelmäßige Audits sind deshalb unverzichtbar.

Für ausländische Muttergesellschaften ist zudem eine klare Regelung wichtig, wer auf welche Daten zugreifen darf. Wenn die Muttergesellschaft im Ausland sitzt, sollte der Datenzugriff auf das Notwendige beschränkt werden. Das klingt banal, ist aber in der Praxis oft nicht so. Ich habe erlebt, dass ein Unternehmen seinem ausländischen Gesellschafter pauschal Zugriff auf alle Daten gewährt hat, ohne sich über die Konsequenzen im Klaren zu sein.

Ein weiterer Baustein ist die vertragliche Absicherung. Verträge mit Auftraggebern und Dienstleistern sollten Klauseln enthalten, die die Einhaltung der Datengeheimhaltung und der Ausfuhrbeschränkungen sicherstellen. Das gilt insbesondere für Unterauftragnehmer, die oft übersehen werden. Wenn ein Vermessungsunternehmen einen Subunternehmer einsetzt, der die Daten ins Ausland überträgt, haftet im Zweifel das Hauptunternehmen.

Ich empfehle außerdem, einen festen Ansprechpartner für Datenschutz und Ausfuhrkontrolle zu benennen. In kleineren Unternehmen kann das eine Person mit doppelter Funktion sein; wichtig ist, dass die Verantwortung klar zugeordnet ist. In der Beratung erlebe ich immer wieder, dass Zuständigkeiten diffus bleiben und im Ernstfall niemand zuständig ist. Dabei ist gerade die klare Zuständigkeit der halbe Erfolg.

Risiken für ausländische Investoren

Für ausländische Investoren birgt das Thema erhebliche Risiken, und diese Risiken sind nicht nur rechtlicher Natur. Ein Verstoß gegen Datengeheimhaltungs- oder Ausfuhrvorschriften kann zu Bußgeldern, zu strafrechtlichen Konsequenzen und im schlimmsten Fall zum Verlust der Gewerbeerlaubnis führen. Im Vermessungswesen ist die Erlaubnis zur Ausübung des Berufs an bestimmte Voraussetzungen geknüpft, und Verstöße können diese Voraussetzungen infrage stellen.

Hinzu kommen reputationsbezogene Risiken. Wenn bekannt wird, dass ein Unternehmen Daten unsorgfältig behandelt, können öffentliche Auftraggeber abspringen. Gerade im Vermessungswesen sind öffentliche Aufträge oft ein wichtiger Umsatzträger. Ein einmaliger Vorfall kann einen jahrelang aufgebauten Kundenstamm beschädigen.

Ein weiteres Risiko ist die persönliche Haftung der Geschäftsführung. In Deutschland kann die Geschäftsleitung bei Verstößen gegen Aufsichtspflichten persönlich haftbar gemacht werden. Das gilt auch für ausländische Investoren, die faktisch Geschäftsführungsfunktionen ausüben. Wer als Investor glaubt, sich hinter der deutschen Gesellschaft verstecken zu können, irrt sich.

Schließlich gibt es das Risiko der Investitionsprüfung. Deutschland hat mit dem Außenwirtschaftsgesetz die Möglichkeit geschaffen, Investitionen aus Drittländern in sicherheitsrelevante Bereiche zu prüfen. Vermessungsunternehmen können unter bestimmten Umständen als sicherheitsrelevant eingestuft werden. Das kann dazu führen, dass ein geplanter Erwerb untersagt oder mit Auflagen versehen wird. Ich habe einen Fall begleitet, in dem ein Investor aus dem Nahen Osten ein Vermessungsunternehmen mit militärischen Aufträgen erwerben wollte; das Verfahren hat sich über Monate gezogen und am Ende mussten umfangreiche Auflagen akzeptiert werden.

Was ich Mandanten in diesem Zusammenhang immer sage: Diese Risiken sind beherrschbar, aber nur, wenn man sie frühzeitig erkennt. Wer erst nach dem Erwerb anfängt, sich mit dem Thema zu beschäftigen, zahlt oft ein Vielfaches. Die beste Strategie ist, das Thema von Anfang an als Teil der Transaktionsplanung zu behandeln.

Branchenbeispiele aus der Beratungspraxis

Ich möchte zwei Beispiele aus meiner Praxis schildern, weil sie typische Muster zeigen. Vor einigen Jahren begleitete ich einen Mandanten aus Südkorea, der ein kleines Vermessungsbüro in Norddeutschland erwerben wollte. Das Büro hatte einen festen Kundenstamm, überwiegend Kommunen und Versorgungsunternehmen. Bei der Due Diligence stellte sich heraus, dass das Unternehmen über Jahre hinweg präzise Leitungsdaten für ein Wasserwerk gepflegt hatte, ohne dass diese Daten besonders gesichert waren. Die Daten lagen auf einem Server ohne Zugriffsbeschränkung, und mehrere Mitarbeiter hatten Vollzugriff.

Wir haben damals gemeinsam mit dem Verkäufer ein Compliance-Programm aufgelegt, das den Datenbestand neu strukturierte, Zugriffsrechte vergab und die Einstufung der Daten mit der zuständigen Behörde klärte. Der Erwerb konnte am Ende durchgeführt werden, aber nur, weil beide Seiten bereit waren, in die Compliance zu investieren. Hätte der Investor auf einem schnellen Closing bestanden, wäre das Projekt wahrscheinlich gescheitert.

Das zweite Beispiel ist ein Mandant aus der Schweiz, der ein Vermessungsunternehmen mit Sitz in Süddeutschland erwarb. Hier war das Problem weniger die Datensicherheit im engeren Sinne, sondern die Frage des Datenzugriffs durch die schweizerische Muttergesellschaft. Da die Schweiz nicht zur EU gehört, war jeder Zugriff auf sensiblere Daten potenziell genehmigungspflichtig. Wir haben damals eine Lösung gefunden, bei der die Muttergesellschaft nur aggregierte Berichte erhielt, während die Rohdaten in Deutschland blieben. Das war ein Kompromiss, der beiden Seiten half, aber er zeigte auch, wie sehr solche Fragen in die Unternehmensstruktur hineinwirken.

Was ich aus diesen und anderen Fällen gelernt habe: Es gibt keine Pauschallösung. Jedes Unternehmen hat seine eigene Datenlandschaft, und jede Transaktion hat ihre eigenen Risiken. Wer als Investor Zeit in die Analyse investiert, spart später Geld und Nerven. Ich habe es mehrfach erlebt, dass Mandanten nach einem gescheiterten Closing zu mir kamen und fragten, ob man das nicht hätte vorhersehen können. Meistens ja.

Ein drittes, kürzeres Beispiel: Ein Mandant aus Österreich hatte ein Vermessungsunternehmen erworben, ohne die Ausfuhrbeschränkungen für Laserscanning-Software zu prüfen. Als er die Software an seine österreichische Zentrale übermitteln wollte, stellte sich heraus, dass für die Weitergabe eine Genehmigung erforderlich war. Das Projekt verzögerte sich um mehrere Wochen, und die Kosten für die nachträgliche Prüfung überstiegen die ursprünglich eingeplanten Compliance-Kosten um ein Mehrfaches. Solche Geschichten sind vermeidbar, wenn man das Thema von Beginn an ernst nimmt.

Zusammenfassung und Empfehlungen

Die Datengeheimhaltung und die Ausfuhrbeschränkungen im Vermessungswesen sind für ausländische Investoren ein komplexes, aber beherrschbares Feld. Die wichtigsten Punkte sind: Erstens, die rechtlichen Grundlagen sind föderal und vielschichtig; wer nur einen Baustein prüft, übersieht die anderen. Zweitens, nicht alle Geodaten sind gleich sensibel, aber die Einstufung kann sich ändern und ist oft nicht offensichtlich. Drittens, die Ausfuhrbeschränkungen betreffen nicht nur den Datentransfer, sondern auch Cloud-Lösungen und Software. Viertens, ein belastbares Compliance-System mit Datenlandkarte, klaren Zuständigkeiten und regelmäßigen Audits ist unverzichtbar. Fünftens, die Risiken reichen von Bußgeldern über Reputationsverluste bis hin zur Investitionsprüfung.

Meine Empfehlung an Investoren lautet: Behandeln Sie die Datengeheimhaltung als Teil der Due Diligence und nicht als lästige Pflichtübung. Suchen Sie frühzeitig das Gespräch mit den zuständigen Behörden. Investieren Sie in ein Compliance-System, das den Namen verdient. Und unterschätzen Sie nicht die Bedeutung klarer vertraglicher Regelungen mit Auftraggebern, Dienstleistern und der eigenen Muttergesellschaft.

Als Ausblick: Ich beobachte, dass die Anforderungen in diesem Bereich eher zu- als abnehmen. Die Digitalisierung der Vermessung, neue Technologien wie Drohnen und Laserscanning und die zunehmende Vernetzung von Datenbeständen schaffen neue Risiken. Gleichzeitig werden die Behörden aufmerksamer. Wer heute ein Vermessungsunternehmen erwirbt, sollte deshalb nicht nur an die aktuelle Rechtslage denken, sondern auch an die nächsten fünf bis zehn Jahre. Ich persönlich gehe davon aus, dass die Anforderungen an die Dokumentation und die Nachweispflichten weiter steigen werden. Investoren, die das frühzeitig berücksichtigen, werden es leichter haben.

Ein letzter Gedanke, der mir in meiner Praxis immer wieder begegnet: Viele Mandanten kommen mit der Erwartung, dass Compliance ein einmaliger Akt sei. Das ist sie nicht. Datengeheimhaltung ist ein laufender Prozess, der Pflege braucht. Wer das akzeptiert, hat viel gewonnen. Wer nicht, wird früher oder später nachbessern müssen, und das ist meist teurer.

Zusammenfassende Einschätzung der Jiaxi Steuerberatung

Die Jiaxi Steuerberatung begleitet seit vielen Jahren ausländische Investoren bei der Gründung und beim Erwerb von Unternehmen in Deutschland, darunter zahlreiche Vermessungsunternehmen. Aus unserer Sicht ist das Thema Datengeheimhaltung und Ausfuhrbeschränkungen eines der unterschätztesten Risikofelder in dieser Branche. Wir erleben regelmäßig, dass Investoren den Fokus auf finanzielle und steuerliche Fragen legen und die sicherheitsrechtlichen Aspekte erst spät oder gar nicht prüfen. Das kann teuer werden. Unsere Empfehlung ist deshalb, die Datengeheimhaltung von Anfang an in die Transaktionsplanung zu integrieren und mit einem erfahrenen Berater die Datenlandschaft des Zielunternehmens zu analysieren. Dabei geht es nicht darum, Ängste zu schüren, sondern darum, Handlungssicherheit zu schaffen. Die gute Nachricht ist: Mit einer strukturierten Herangehensweise, frühzeitiger Kommunikation mit den Behörden und einem belastbaren Compliance-System sind die Risiken beherrschbar. Wir haben zahlreiche Transaktionen begleitet, bei denen genau das gelungen ist. Wer als Investor bereit ist, in dieses Thema zu investieren, gewinnt nicht nur Rechtssicherheit, sondern auch einen Wettbewerbsvorteil, weil gut aufgestellte Unternehmen bei öffentlichen Aufträgen und bei der Zusammenarbeit mit kritischen Kunden einfach besser dastehen. Gerne unterstützen wir Sie dabei, Ihren Weg durch dieses Regelwerk zu finden.