Voor de deal
Privacy Due Diligence en AVG Due Diligence
Breng privacyrisico’s, datastromen en AVG-verplichtingen in kaart voordat aansprakelijkheid of herstelkosten na closing zichtbaar worden.
Privacy Due Diligence brengt vóór een overname in kaart welke persoonsgegevens de target verwerkt, op welke grondslagen dat gebeurt en hoe privacyrisico’s technisch en organisatorisch worden beheerst. Pravus verbindt datastromen, verwerkers, bewaartermijnen, beveiliging en datalekhistorie aan de voorgenomen transactie en het toekomstige datagebruik. De uitkomsten geven het dealteam concrete input voor waardering, garanties, vrijwaringen, integratie en maatregelen die vóór of na closing nodig zijn.
Voor de deal
Privacyrisico’s volgen mee naar de koper
Bij een overname worden klantdata, personeelsgegevens, systemen en verwerkersrelaties onderdeel van een nieuwe eigendoms- en organisatiestructuur. Onvolledige grondslagen, onduidelijke datastromen of beperkt datalekbeheer kunnen herstelkosten, toezichtvragen, claims en beperkingen in toekomstig datagebruik veroorzaken.
De privacypositie is bovendien verbonden met de investeringscase. Wanneer groei afhankelijk is van klantdata, profilering, internationale dienstverlening of het combineren van databronnen, moet vóór closing duidelijk zijn of het beoogde gebruik juridisch en technisch uitvoerbaar is.
Voor de deal
Scope van het privacyonderzoek
Pravus begint bij de belangrijkste datastromen en bedrijfsprocessen. Vervolgens wordt vastgesteld welke soorten persoonsgegevens worden verwerkt, waar de gegevens zich bevinden, met welke partijen zij worden gedeeld en welke systemen en leveranciers kritisch zijn.
Formele documentatie wordt verbonden aan de feitelijke uitvoering. Een verwerkingsregister, privacyverklaring of verwerkersovereenkomst krijgt pas besliswaarde wanneer de inhoud aansluit op systemen, processen, rollen en technische maatregelen.
- Verwerkingsregister, doeleinden, grondslagen en categorieën betrokkenen.
- Bewaartermijnen, verwijdering, dataminimalisatie en rechten van betrokkenen.
- Verwerkersovereenkomsten, subverwerkers en internationale doorgiften.
- DPIA’s, privacy by design en governance rond nieuwe verwerkingen.
- Datalekprocedure, incidenthistorie, meldingen en aantoonbare opvolging.
- Toegangsrechten, logging, versleuteling en beveiliging van persoonsgegevens.
Voor de deal
Technische en organisatorische validatie
De beoordeling kijkt naar de samenhang tussen privacy governance en informatiebeveiliging. Autorisaties, logging, exports, testdata, back-ups en toegang van leveranciers bepalen mede of persoonsgegevens passend worden beschermd en beheerst.
Pravus gebruikt interviews, documentatie en technische informatie om belangrijke beweringen te valideren. Openstaande onzekerheden worden afzonderlijk vastgelegd, inclusief het onderzoek of de maatregel die nodig is om ze te verkleinen.
Voor de deal
Privacyrisico’s vertalen naar de deal
De impact verschilt per bevinding. Een ontbrekende overeenkomst kan vaak gericht worden hersteld. Onzekerheid over de rechtmatigheid van een omvangrijk databestand kan omzet, strategie of integratie beïnvloeden. Pravus maakt dit onderscheid zichtbaar en verbindt ieder materieel punt aan de relevante dealconsequentie.
De uitkomst kan aanleiding geven tot aanvullende disclosure, een garantie of vrijwaring, een closingvoorwaarde, een apart herstelbudget of een post-deal actie met eigenaar en termijn.
- Onderbouwd overzicht van materiële privacy- en AVG-risico’s.
- Openstaande bewijs- en documentatievragen met de benodigde vervolgvalidatie.
- Beslispunten voor disclosure, garanties, vrijwaringen en voorwaarden.
- Concrete acties voor herstel, dataintegratie en governance na closing.
Voor de deal
Integratie en toekomstig datagebruik
Na closing ontstaan vaak nieuwe verwerkingen door het samenvoegen van klantbestanden, HR-systemen, analyseplatformen of marketingprocessen. Privacy Due Diligence maakt vooraf zichtbaar welke randvoorwaarden daarbij horen en waar een aanvullende DPIA, technische scheiding of aangepaste communicatie nodig is.
De rapportage biedt zo een bruikbaar vertrekpunt voor het transactiebesluit én voor een beheerste dataintegratie na closing.
Voor de deal
Wanneer extra privacydiepgang waardevol is
Privacy verdient afzonderlijke aandacht bij grote klant- of werknemersbestanden, gevoelige gegevens, digitale platformen, marketingprofielen, internationale doorgiften of een strategie die afhankelijk is van toekomstig datagebruik. Ook eerdere datalekken, toezichtvragen en complexe verwerkersketens kunnen de transactie beïnvloeden.
De scope wordt afgestemd met juridisch en technisch adviseurs. Pravus richt zich op de verbinding tussen privacyverplichtingen, systemen en informatiebeveiliging en voorkomt daarmee overlap. Juridische duiding en technische bewijsvoering vullen elkaar aan binnen één dealrelevant risicobeeld.
Een vroeg onderzoek geeft de target tijd om bewijs aan te vullen en herstelbare lacunes vóór closing op te lossen. Materiële structurele onderwerpen kunnen vervolgens zorgvuldig worden verwerkt in prijs, voorwaarden en integratieplanning. Het dealteam behoudt daarmee overzicht over privacyverplichtingen die direct of na overdracht aandacht vragen.
Wat levert het op?
Concreet resultaat voor de deal
AVG-risico’s
Inzicht in naleving, datarisico’s en bestaande maatregelen.
Bewijsvoering
Onderbouwing voor garanties, disclosure of risicomitigatie.
Verbeterpunten
Concrete maatregelen voor governance, processen en technische borging.
Verder kijken
Relevante vervolgstappen
IT Due Diligence
Onderzoek naar IT-risico’s, afhankelijkheden en integratie-impact vóór closing.
Bekijk pagina →Cyber Due Diligence
Onderzoek naar cyberrisico’s, weerbaarheid en herstelcapaciteit van de target.
Bekijk pagina →Voor de deal
Bekijk hoe privacy past binnen pre-deal onderzoek.
Bekijk pagina →Digitale due diligence bij een overname
Lees welke digitale domeinen, bewijslast en beslisinformatie relevant zijn voor het dealteam.
Bekijk pagina →Privacy due diligence checklist voor overnames
Loop datastromen, grondslagen, verwerkers, beveiliging en toekomstig datagebruik systematisch na.
Bekijk pagina →
Een overname of investering in voorbereiding?
Wij laten zien hoe onafhankelijk Privacy Due Diligence onderzoek datarisico’s beheersbaar maakt.
Veelgestelde vragen
Veelgestelde vragen over Privacy Due Diligence
Wat is privacy due diligence?
Privacy due diligence is onderzoek naar privacy- en AVG-risico’s bij een targetbedrijf. Het richt zich op persoonsgegevens, datastromen, grondslagen, verwerkersafspraken, bewaartermijnen en privacy governance.
Wat is AVG due diligence bij een overname?
AVG due diligence is de privacyrechtelijke beoordeling of de target op een aantoonbare en beheerste manier met persoonsgegevens omgaat. Het helpt risico’s voor garanties, aansprakelijkheid en integratie zichtbaar te maken.
Welke privacyrisico’s kunnen bij een overname naar voren komen?
Denk aan ontbrekende verwerkersovereenkomsten, onduidelijke datastromen, te ruime autorisaties, onvoldoende grondslagen, oude data, datalekhistorie of systemen die niet goed overdraagbaar zijn.
Worden verwerkersovereenkomsten en datastromen meegenomen?
Ja. Pravus beoordeelt waar relevant contractuele afspraken, rollen van partijen, verwerkers, subverwerkers en de technische verwerking van persoonsgegevens.
Waarom is privacy due diligence relevant voor garanties en aansprakelijkheid?
Privacytekortkomingen kunnen na closing leiden tot herstelkosten, datalekrisico’s, claims, toezichtvragen of beperkingen in het gebruik van data. Daarom is inzicht vóór closing waardevol.