Die Dokumente, die Sie vor dem Onboarding eines Lieferanten, SaaS-Anbieters oder Outsourcing-Partners anfordern sollten – Unternehmen, finanzielle Lage, Informationssicherheit, Datenschutz, Compliance und Vertragsbedingungen.
Die Due Diligence von Drittparteien (Lieferanten) führt ein Kunde durch, bevor er sich auf einen Lieferanten verlässt: eine Bank, die einen Zahlungsdienstleister anbindet, ein Unternehmen, das einen Cloud-Anbieter auswählt, ein Hersteller, der einen Vertrag mit einem Zulieferer wichtiger Komponenten schließt. Ziel ist es zu bestätigen, dass der Lieferant der ist, für den er sich ausgibt, finanziell leistungsfähig ist, Gesetze und die regulatorischen Pflichten des Kunden einhält und sicher genug ist, um ihm Daten oder kritische Prozesse anzuvertrauen.
Die Prüfungstiefe sollte dem Risiko entsprechen. Für einen Lieferanten mit geringem Risiko und ohne Datenzugriff genügen unter Umständen Identität, Sanktionslistenprüfung und Versicherungsnachweis. Ein kritischer Dienstleister, der personenbezogene Daten verarbeitet oder einen Kernprozess betreibt, benötigt die vollständige Liste unten, ein Security Assessment und ein Prüfungsrecht. Viele regulierte Branchen – insbesondere Finanzdienstleistungen – verlangen zudem eine laufende Überwachung; rechnen Sie also damit, Zertifikate und Berichte mindestens einmal jährlich zu aktualisieren. (Hinweis: Bei M&A bezeichnet „Vendor Due Diligence“ einen Bericht, den der Verkäufer über sein eigenes Unternehmen in Auftrag gibt; dazu siehe die M&A-Checkliste.)
Für den Lieferanten ist der schnellste Weg durch diese Prüfungen ein fertiges Trust-Paket: aktuelle Zertifikate und Prüfberichte, ein ausgefüllter Standardfragebogen, Richtlinien und eine Mustervereinbarung zur Auftragsverarbeitung – geteilt über einen einzigen zugriffsgeschützten Link mit NDA statt auf Anfrage per E-Mail-Anhang.
Nummeriert wie ein Datenraumindex: Verwenden Sie die Abschnitte als Ordner und übernehmen Sie die Nummern in die Dateinamen.
Die CSV lässt sich in Excel, Numbers oder Google Sheets öffnen. Ein praxisnaher Ausgangspunkt – passen Sie ihn gemeinsam mit Ihren Beratern an Ihren Deal und Ihre Rechtsordnung an.
Auf Kundenseite Einkauf, Informationssicherheit, Rechtsabteilung und Datenschutz; in regulierten Unternehmen zusätzlich Compliance und Third-Party-Risk-Management. Bei kritischen Auslagerungen können Aufsichtsbehörden erwarten, dass die Dokumentation auf Anfrage vorliegt.
Von wenigen Tagen bei Lieferanten mit geringem Risiko bis zu mehreren Wochen bei kritischen Dienstleistern; Wiederholung bei Vertragsverlängerung und bei Drittparteien mit hohem Risiko mindestens jährlich.
Die Prüfungen, die ein Unternehmen bei einem Lieferanten oder Dienstleister vor Vertragsabschluss und während der Geschäftsbeziehung durchführt: Identität und Eigentümer, finanzielle Stabilität, Sicherheit, Datenschutz, Compliance und Vertragsbedingungen.
Handelsregisterauszug und Eigentümerstruktur, Jahresabschlüsse, Versicherungsnachweise, Sicherheitszertifizierungen oder SOC-2-Bericht, einen ausgefüllten Sicherheitsfragebogen, einen Auftragsverarbeitungsvertrag und die Liste der Unterauftragsverarbeiter, Richtlinien und das SLA.
Bei Vertragsverlängerung und nach einem risikobasierten Turnus – bei kritischen oder risikoreichen Dienstleistern in der Regel jährlich, bei Lieferanten mit geringem Risiko seltener – sowie bei jeder Änderung des Dienstes oder der Eigentümerstruktur.
Bei M&A ist die Vendor Due Diligence ein Bericht, den der Verkäufer über sein eigenes Unternehmen in Auftrag gibt, um ihn Käufern zur Verfügung zu stellen. Im Einkauf und im Third-Party-Risk-Management bedeutet sie, dass ein Kunde seine Lieferanten prüft.
Über einen Datenraum oder getrackten Link mit NDA-Bestätigung, Wasserzeichen und Ablaufdatum des Zugriffs – so werden SOC-2-Berichte und Zusammenfassungen von Penetrationstests nicht beliebig weitergeleitet.