Übermittlung personenbezogener Daten bei Asset Deals

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat am 11.09.2024 einen Beschluss zur Übermittlung personenbezogener Daten bei Asset Deals veröffentlicht. Konkret geht es darum, wie bei einem Asset Deal datenschutzkonform personenbezogenen Daten an die Erwerber eines Unternehmens weitergegeben werden können.

Datenschutzrechtliche Herausforderungen bei Asset Deals

Die Übertragung eines Unternehmens kann entweder durch einen “Share Deal” oder einen “Asset Deal” erfolgen. Bei einem Share Deal sind laut der DSK, abgesehen von Datenübertragungen im Rahmen der Due Diligence Prüfung, keine datenschutzrechtlichen Besonderheiten zu beachten, da sich die Identität des Verantwortlichen nicht ändert. Anders stelle sich dies bei einem Asset Deal dar, bei dem Vermögenswerte und Wirtschaftsgüter wie Gebäude, Maschinen, Rechte oder Kundendaten einzeln übertragen werden. Führt beispielsweise ein neuer Inhaber als Nachfolger einen bereits bestehenden Betrieb fort und erwirbt dafür sämtliche Wirtschaftsgüter des alten Betriebs, liege ein Asset Deal vor. Insofern erklärt die DSK in ihrem Beschluss (abrufbar hier), dass gerade auch Einzelkaufleute und Inhaber von Handwerksbetrieben spezielle datenschutzrechtliche Anforderungen beachten müssen.

Datenübermittlung vor Vertragsschluss

Die Übermittlung von personenbezogenen Daten vor dem Abschluss eines Asset Deals ist laut der DSK „grundsätzlich unzulässig“. Eine Übermittlung könne jedoch auf Basis einer freiwillig erteilten Einwilligung der betroffenen Personen erfolgen. Bei einer Einwilligung in Beschäftigungsverhältnissen sei zu beachten, dass die Freiwilligkeit aufgrund einer Abhängigkeit nicht vorliegen könnte. Laut der DSK kann jedoch bei „gleichgerichteten Interessen“ von Beschäftigten und Veräußerern die Freiwilligkeit gegeben sein. Im Übrigen müssen die Formerfordernisse des § 26 Abs. 2 BDSG eingehalten werden. Bei fortgeschrittenen Kaufverhandlungen könne im Einzelfall auch ein berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f Datenschutzgrundverordnung (DSGVO) bezüglich besonders bedeutender Personen vorliegen. Dies könne etwa für Hauptgeschäftspartner oder Führungspersonal gelten.

Datenübermittlung nach Vertragsschluss

Bei der Übermittlung von Daten an den Erwerber muss nach der DSK zwischen drei Stadien unterschieden werden.

Vertragsanbahnung

Im Rahmen der Vertragsanbahnung sei eine Übermittlung nach Art. 6 Abs. 1 lit. b DSGVO erlaubt, wenn die Kunden die Vertragsverhandlungen mit dem Erwerber rügelos weiterführen. Alternativ könne ein berechtigtes Interesse die Übertragung rechtfertigen, wenn keine überwiegenden Interessen der Kunden entgegenstehen. In diesem Zusammenhang empfiehlt die DSK die Einräumung einer angemessenen Frist für einen Widerspruch.

Besteht zwischen Kunden und Veräußerer noch eine vertragliche Beziehung und wurde der Vertrag vom Erwerber mit Genehmigung des Kunden im Rahmen einer Vertrags- oder Schuldübernahme übertragen, sei die Datenübertragung aufgrund der vorzunehmenden Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO gerechtfertigt. Solche Beziehungen bestünden auch etwa, wenn noch Garantiefristen laufen. Bei einer bloßen Erfüllungsübernahme müsste zuvor eine Abwägung mit den berechtigten Interessen der Kunden stattfinden. Überwiegen die Kundeninteressen an der Nichtübertragung, sei eine Einwilligung erforderlich. Dürfen die Daten an den Erwerber übertragen werden, dürfen laut der DSK die Daten auch regelmäßig in dem Umfang für Werbezwecke genutzt werden, in dem es der Veräußerer gedurft hätte.

Daten ehemaliger Kunden dürfen laut der DSK etwa zur Erfüllung gesetzlicher Aufbewahrungsfristen übermittelt werden, wenn eine Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO vorliegt. Die Aufbewahrung sei dann nur zu diesem Zweck gestattet. Alternativ könne auch der Veräußerer die Aufbewahrung weiterhin übernehmen.

Besonderheiten bei verschiedenen Datenkategorien

Für die Übermittlung einer der in Art. 9 Abs. 1 DSGVO genannten besonderen Datenkategorien bedarf es einer informierten und ausdrücklichen Einwilligung. Die Übermittlung von Bankdaten könne unter den Voraussetzungen des Art. 6 Abs. 1 lit. b DSGVO zulässig sein oder wenn eine ausdrückliche Einwilligung vorliege. Werden offene Forderungen übertragen, bestünde häufig auch an der Übertragung von in diesem Zusammenhang stehenden Daten ein berechtigtes Interesse.

Verantwortung für die Datenverarbeitung

Bezüglich der Übertragung der personenbezogenen Daten an den Erwerber trage der Veräußerer die Verantwortung. Dabei muss er laut der DSK insbesondere auch ein angemessenes Schutzniveau gemäß Art. 32 DSGVO sicherstellen und die Daten gegebenenfalls nach Art. 17 DSGVO löschen. Soweit der Erwerber nicht als Auftragsverarbeiter tätig ist, müsse er als datenschutzrechtlich Verantwortlicher nach dem Erwerb die Daten ordnungsgemäß verarbeiten. Zudem müsse er die Betroffenen gemäß Art. 14 DSGVO innerhalb eines Monats nach Erhalt der Daten informieren und auf ihr Widerspruchsrecht hinweisen.

Verkauf von Kundendatenbank

Werden Kundendaten als einzelnes Asset im Rahmen eines Verkaufs einer Kundendatenbank veräußert, sei regelmäßig eine Einwilligung der jeweiligen Kunden erforderlich. Nur ausnahmsweise können laut der DSK Kleinst- und Kleinunternehmen bei Beendigung ihrer wirtschaftlichen Tätigkeit Postadressen im Wege der Widerspruchslösung einem anderen Kleinst- oder Kleinunternehmen in derselben Branche übergeben. Dann sei eine entsprechende Informierung nötig.

Fazit

Die Übermittlung personenbezogener Daten im Rahmen eines Asset Deals erfordert eine sorgfältige Prüfung und Einhaltung datenschutzrechtlicher Vorschriften. Der Veräußerer trägt die Verantwortung, die rechtlichen Voraussetzungen für die Datenübermittlung zu erfüllen und ein angemessenes Schutzniveau sicherzustellen. In allen Fällen ist zu prüfen, ob eine Einwilligung oder eine andere Rechtsgrundlage für die Übermittlung vorliegt und ob die Interessen der betroffenen Personen ausreichend berücksichtigt werden. Bei der datenschutzkonformen Durchführung solcher Unternehmensverkäufe helfen wir Ihnen als Externe Datenschutzbeauftragte gerne weiter.