Die Übertragung von Kundendaten beim Asset Deal

zuletzt aktualisiert am 18. Mai 2022 | Lesedauer ca. 3 Minuten

​„Raubkopierer sind Verbrecher” – der schon im Urheberrecht überzogene Slogan aus der Zeit um die Jahrtausendwende wäre wohl auch im Datenschutz übertrieben. Andererseits haben Aufsichtsbehörden schon 2015 fünfstellige Bußgelder für daten­schutzwidrige Übertragungen von Kundendaten bei Asset Deals festgesetzt. Seitdem ist der mögliche Bußgeldrahmen dafür um mehr als 6.000 Prozent gestiegen. Daten­kopien beim Vollzug von Unternehmenskäufen können daher zumindest teuer werden.

• Umgang mit personenbezogenen Daten »

• Rechtsgründe für Übertragung »

• Vertragserfüllung »

• Ausdrückliche Einwilligungen »

• Integration bei der Erwerberin »

• Fazit »

Umgang mit personenbezogenen Daten

Zu den Transaktionsgütern des Asset Deals gehören regelmäßig auch personenbezogene Daten. Das ist nicht nur der Fall, wenn eine Datenbank als solche verkauft werden soll. Auch bei der „bloßen” Übertragung eines Geschäftsbereiches mit den bisherigen Lieferanten- und Kundenbeziehungen gehen zumindest Kontaktdaten der Ansprechpartner auf die Erwerberin über. Handelt es sich zudem um Kundenbeziehungen zu Verbrauchern, lässt der Umfang einer bisherigen Inanspruchnahme der Dienstleistungen des Veräußerers (die etwa für die künftige Preisberechnung erforderlich ist) personenbezogene Aussagen über das Verbrauchsverhalten der Kun­den in der Vergangenheit zu. Bei gewerblichen Kunden ist das eher nicht der Fall, da das Einkaufsverhalten von Unternehmenskunden für sich genommen keine personenbezogenen Daten darstellen.

Sofern der Asset Deal mit dem Betriebsübergang von Beschäftigten verbunden ist, gehen zudem personenbezogene Daten der Beschäftigten auf die Erwerberin über.

Rechtsgründe für Übertragung

Die Übertragung personenbezogener Daten von einem Unternehmen auf ein anderes erfordert die Einhaltung der einschlägigen Datenschutz-Vorschriften. Maßgeblich dafür ist die europäische Datenschutz-Grundverordnung (DSGVO). Danach braucht jede Verarbeitung personenbezogener Daten und somit auch die Datenübertragung zwischen Unternehmen eine zulässige Rechtsgrundlage.

Share Deals sind von den Anforderungen im Vollzug weit weniger betroffen, da der Großteil der personenbe­zogenen Daten innerhalb des Unternehmens selbst verbleibt. Allenfalls in Einzelfällen einer späteren Inte­gration in einen Erwerber-Konzern kann es zu einer Weitergabe personenbezogener Daten innerhalb des Konzerns kommen und damit wieder zwischen einzelnen juristischen Personen. Bspw. kann bei einer konzern­weiten Personalentwicklung der Mitarbeiter auch ein ursprünglicher Share Deal zu einer späteren Herausgabe von Mitarbeiterdaten in eine andere Konzerngesellschaft führen.

Vertragserfüllung

Als Rechtsgrundlage für die Übertragung beim Vollzug eines Asset Deals kommt insbesondere die Vertrags­erfüllung in Betracht, Art. 6 Abs. 1 Buchstabe b DSGVO. Dabei geht es nicht um die Erfüllung des Unter­nehmens-Kaufvertrages: Wenn das Vertragsverhältnis mit der betroffenen Person auf die Erwerberin übergeht, dann ist sie auch berechtigt, die zur Vertragserfüllung gegenüber der Person erforderlichen Daten zu verar­beiten. Das betrifft bspw. Arbeitsverhältnisse, die bei einem Betriebsübergang auf die Erwerberin übergehen.

Bei Kundendaten ist zu unterscheiden: Verbraucher als Kunden können wie Beschäftigte behandelt werden, wenn

• die einzelnen Verbraucher einer Übertragung ihres Vertragsverhältnisses auf die Erwerberin vorher zustimmen und
• die übertragenen Daten zur Vertragserfüllung durch die Erwerberin erforderlich sind.

Eine solche Zustimmung zur Vertragsübertragung muss dann jedoch für jeden Einzelfall einer Übertragung eingeholt werden.

Bei gewerblichen Kunden dürften lediglich die Kontaktdaten der Ansprechpartner personenbezogen sein. Mit den Ansprechpartnern besteht jedoch gar kein Vertragsverhältnis, sodass deren personenbezogene Daten für die Erfüllung eines Vertrages mit ihnen nicht erforderlich sind. Art. 6 Abs. 1 Buchstabe b DSGVO hilft in den Fällen nicht weiter.

Ausdrückliche Einwilligungen

Theoretisch möglich ist die Einholung individueller Einwilligungen jeder einzelnen betroffenen Person für eine Übertragung ihrer personenbezogenen Daten auf die Erwerberin. Anders als bei der Zustimmung zur Übertra­gung des Vertrages auf die Erwerberin (wobei die zur Vertragserfüllung erforderlichen Daten übergehen) geht es dabei um die Einwilligung zur Übertragung der Daten selbst. Hinsichtlich sensibler Daten (sog. „besondere per­sonenbezogene Daten” wie Angaben zu Krankheiten, politischen Meinungen, religiösen Überzeugungen oder zum Sexualleben) wird es zu einer ausdrücklichen Einwilligung kaum eine Alternative geben.

Aufgrund des erheblichen Aufwandes und der häufig sehr geringen Antwortrate auf die Bitten um Einwilli­gun­gen sollte auf das kleinteilige Verfahren möglichst verzichtet werden.

Widerspruchslösung bei berechtigtem Interesse

Schließlich bleibt die Möglichkeit, Kundendaten im Rahmen des berechtigten Interesses des Veräußerers an einem Verkauf seiner sonstigen Assets mit zu übertragen. Das ist nach Art. 6 Abs. 1 Buchstabe f DSGVO zu­lässig, sofern die Übertragung der Daten erforderlich ist und die Interessen der jeweiligen Betroffenen nicht überwiegen. Das erfordert grundsätzlich eine Abwägung im Einzelfall, bezogen auf die Art der übertragenen Daten, nicht auf die individuelle Person.

Dabei ist etwa zu berücksichtigen, falls und wie lange die Kundenbeziehung nicht mehr aktiv ist, ob zusätzlich zu den Kontaktdaten weitere Daten übertragen werden, wie umfangreich die Daten insgesamt sind, ob sensible Daten oder Daten Minderjähriger darunter sind und ob die Daten auch beim Veräußerer zurückbleiben.

Zudem bietet es sich an, die Betroffenen im Vorfeld einer Übertragung auf das beabsichtigte Vorgehen hinzu­weisen und für einen gewissen Zeitraum – bspw. vier Wochen – die Möglichkeit zum Widerspruch gegen die Übertragung beim Veräußerer einzuräumen. Das reduziert bei der Abwägung der Interessen die Beeinträch­tigungen der Rechte der Betroffenen. Die Kundendaten der Widersprechenden würden dann nicht an die Er­wer­berin übertragen, die der Übrigen – sowohl der Zustimmenden als auch der Schweigenden – in einem Ar­beitsgang nach Ablauf der eingeräumten Widerspruchsfrist.

Für die Zeit bis zur tatsächlichen Übertragung der Daten an die Erwerberin kann ggf. der Veräußerer die Daten­verarbeitung als Auftragsverarbeiter der Erwerberin fortsetzen.

Integration bei der Erwerberin

Sind die Daten schließlich auf die Erwerberin übertragen, hat sie die Betroffenen über die Erhebung spätestens innerhalb von einem Monat gem. Art. 14 DSGVO zu informieren. Darüber hinaus sind die übertragenen Assets in die Datenschutzorganisation der Erwerberin zu integrieren, was sowohl zu Anpassungen innerhalb der überge­gangenen Assets als auch in den ggf. bereits zuvor vorhandenen Strukturen der Erwerberin führen kann.

Fazit

Die Zulässigkeit der Übertragung personenbezogener Daten ist abhängig von den betroffenen Daten. Bei einem Asset Deal ist daher frühzeitig zu prüfen und planen, welche Daten wie auf eine Erwerberin übertragen werden können und sollen. Die bloße Einigung zwischen den Parteien des Unternehmenskaufvertrages ist nur in weni­gen Fällen ausreichend.