Am 11. September 2024 veröffentlichte die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) einen Beschluss betreffend die Übermittlung personenbezogener Daten im Rahmen von Asset Deals. Dieser Beschluss bietet eine wertvolle Orientierungshilfe beim Umgang mit personenbezogenen Daten während eines Unternehmenskaufs.
Bei der Veräußerung eines Unternehmens gibt es zwei grundlegende Möglichkeiten. Share Deal (Übertragung von Anteilen an einer Gesellschaft) oder den Asset Deal (Übertragung von Vermögenswerten und/oder Wirtschaftsgütern). Während der Share Deal in datenschutzrechtlicher Hinsicht meist unproblematisch ist, da nur die Anteile übertragen werden, bedarf es bei Asset Deals einer differenzierten Betrachtung.
- Share Deal: Hierbei werden die Anteile an einer Gesellschaft übertragen. Die Gesellschaft bleibt unverändert bestehen, und es erfolgt in der Regel keine Übermittlung personenbezogener Daten, da der Verantwortliche im datenschutzrechtlichen Sinne unverändert bleibt.
- Asset Deal: Dabei werden Wirtschaftsgüter oder Vermögenswerte (Assets) eines Unternehmens, wie Grundstücke, Maschinen, Kundenstamm oder Markenrechte, auf den Erwerber übertragen. Dies stellt eine Singularsukzession dar, bei der personenbezogene Daten an einen neuen Verantwortlichen übermittelt werden.
1. Datenübermittlung vor Abschluss des Asset Deals
Während der Vertragsverhandlungen und der Due Diligence ist die Übermittlung personenbezogener Daten grundsätzlich unzulässig, insbesondere von Kunden, Lieferanten und Beschäftigten. Ausnahmen bestehen nur bei:
- Einwilligung: Eine freiwillig erteilte Einwilligung der betroffenen Personen ermöglicht die Datenübermittlung.
- Berechtigtes Interesse: In fortgeschrittenen Verhandlungen kann bei besonders hervorgehobenen Personen (z. B. Hauptvertragspartner, Führungskräfte oder Personal mit zentralen Kompetenzen) ein berechtigtes Interesse gemäß Art. 6 Abs. 1 UAbs. 1 Buchst. f DS-GVO die Übermittlung rechtfertigen.
Bei Beschäftigten ist die Freiwilligkeit der Einwilligung aufgrund des Abhängigkeitsverhältnisses kritisch zu beurteilen. Eine Einwilligung kann ausnahmsweise als freiwillig angesehen werden, wenn Veräußerer und Beschäftigte gleichgerichtete Interessen verfolgen. Eine schriftliche oder elektronische Einwilligung gemäß § 26 Abs. 2 BDSG ist in der Regel erforderlich.
2. Übermittlung von Kundendaten
Die Übermittlung von Kundendaten hängt vom Stadium der Kundenbeziehung zwischen Veräußerer und Kunde ab:
2.1 Vertragsanbahnung
Eine Vertragsanbahnung liegt vor, wenn zwischen dem Veräußerer und dem Kunden konkrete Vertragsverhandlungen geführt werden.
- Konkrete Vertragsverhandlungen: Führt der Kunde die Verhandlungen mit dem Erwerber rügelos fort, ist die Verarbeitung gemäß Art. 6 Abs. 1 UAbs. 1 Buchst. b DS-GVO zulässig.
- Berechtigtes Interesse: Wenn keine direkten Verhandlungen stattfinden, kann eine Übermittlung nur auf Grundlage eines berechtigten Interesses des Veräußerers erfolgen, sofern keine überwiegenden Interessen der Kunden entgegenstehen. In der Praxis sollte daher eine Widerspruchslösung genutzt werden, indem Kunden über die geplante Übermittlung informiert und ihnen eine Frist zum Widerspruch eingeräumt wird (z. B. 6 Wochen).
2.2 Laufende vertragliche Beziehungen
Bei bestehenden Vertragsbeziehungen zwischen dem verkaufenden Unternehmen und den Kunden ist die Übermittlung von Kundendaten unter bestimmten Voraussetzungen möglich:
- Vertragsübernahme: Werden die laufenden Verträge mit Zustimmung der Kunden auf den Erwerber übertragen, kann dieser die für die Vertragserfüllung erforderlichen Daten auf Grundlage von Artikel 6 Absatz 1 UAbs. 1 Buchstabe b DS-GVO verarbeiten.
- Schuldübernahme: Ähnliches gilt bei einer Schuldübernahme nach § 415 Abs. 1 BGB.
- Erfüllungsübernahme: Soll der Erwerber lediglich den Veräußerer, von dessen Schuld gegenüber den Kunden freistellen, ist zu prüfen, ob der Datenübertragung überwiegende Interessen der Kunden entgegenstehen. In der Regel dürfte dies nicht der Fall sein, da Kunden primär an der Vertragserfüllung interessiert sind.
2.3 Beendete vertragliche Beziehungen
Für Daten ehemaliger Kunden ohne laufende Verträge (Altdaten) gelten besondere Regeln:
- Aufbewahrungspflichten: Sollen diese Daten zur Erfüllung gesetzlicher Aufbewahrungsfristen übermittelt werden, ist ein Auftragsverarbeitungsvertrag gemäß Artikel 28 Absatz 3 DS-GVO erforderlich. Der Erwerber darf diese Daten nur zum Zweck der Aufbewahrung nutzen und muss sie strikt von aktiven Kundendaten trennen (“Zwei-Schrank-Lösung”).
- Alternative Lösungen: Die Altdaten können auch beim Veräußerer verbleiben oder an einen Dienstleister im Rahmen einer Auftragsverarbeitung übergeben werden.
- Nutzung zu eigenen Zwecken: Der Erwerber darf die zur Aufbewahrung übergebenen Daten nur dann zu eigenen Zwecken nutzen, wenn eine wirksame Einwilligung der betroffenen Kunden vorliegt.
2.4 Werbung durch den Erwerber
Kontaktdaten, die für die Vertragsanbahnung oder laufende Verträge zulässig übermittelt wurden, können im Umfang gemäß Art. 6 Abs. 1 UAbs. 1 Buchst. f DS-GVO für Werbezwecke genutzt werden, sofern keine überwiegenden Interessen der Kundin oder des Kunden entgegenstehen. Dabei ist jedoch § 7 des Gesetzes gegen den unlauteren Wettbewerb (UWG) zu beachten, der die rechtlichen Anforderungen an Werbemaßnahmen über elektronische Kommunikationswege regelt. Insbesondere erfordert die Werbung per Telefon oder E-Mail grundsätzlich eine vorherige ausdrückliche Einwilligung.
Hinweis
Weitere Details und Hilfestellungen zu diesem Thema bietet die Orientierungshilfe der Datenschutzkonferenz (DSK) zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung unter Geltung der DS-GVO.
2.5 Besondere Kategorien von Daten
Besondere Kategorien von Daten, wie Gesundheitsdaten, können nur mit informierter und ausdrücklicher Einwilligung nach Art. 9 Abs. 2 Buchst. a DS-GVO übermittelt werden.
2.6 Bankdaten
Bankverbindungen (IBAN) können in den Fallgruppen der Vertragsanbahnung und laufenden Verträge über Art. 6 Abs. 1 UAbs. 1 Buchst. b DS-GVO übermittelt werden. In anderen Fällen ist eine ausdrückliche Einwilligung der Kundin oder des Kunden erforderlich. Neue Einzugsermächtigungen müssen vom Erwerber eingeholt werden, unabhängig von der Übermittlung der Bankverbindungsdaten.
2.7 Daten bei offenen Forderungen
Bei der Abtretung offener Forderungen darf der Veräußerer (Zedent) die hierfür erforderlichen Daten auf Grundlage des berechtigten Interesses gemäß Art. 6 Abs. 1 UAbs. 1 Buchst. f DS-GVO an den Erwerber (Zessionar) übermitteln, sofern keine überwiegenden Interessen der Kunden entgegenstehen. Überwiegende Gegeninteressen bestehen, wenn die Abtretung vertraglich ausgeschlossen ist (§ 399 2. Alt. BGB). In solchen Fällen kann der Erwerber zur Einziehung der Forderung im fremden Namen ermächtigt werden.
3. Übermittlung von Lieferantendaten
Die Übermittlung von Daten von Lieferanten oder deren Mitarbeitern ist in der Regel weniger problematisch. Soweit keine schutzwürdigen Gegeninteressen erkennbar sind, können aktuelle und für den Erwerber relevante personenbezogene Daten von Lieferanten oder deren Mitarbeitern nach Artikel 6 Absatz 1 UAbs. 1 Buchstabe f DS-GVO (berechtigtes Interesse) übermittelt werden. Insbesondere bei geschäftlichen Kontaktdaten dürften der Übermittlung regelmäßig keine überwiegenden Interessen entgegenstehen. Lieferanten haben in der Regel sogar ein Interesse daran, dass eine bestehende Geschäftsbeziehung mit einem neuen Erwerber fortgesetzt wird.
4. Beschäftigtendaten
4.1 Betriebs- oder Betriebsteilübergang nach § 613a BGB
Die Übermittlung von Beschäftigtendaten zur Vertragsdurchführung im Rahmen von Betriebs- oder Betriebsteilübergängen kann auf Art. 6 Abs. 1 UAbs. 1 Buchst. b DS-GVO gestützt werden. Es ist jedoch zu beachten, dass hinsichtlich der Anwendung von § 26 Abs. 1 Satz 1 BDSG in Verbindung mit § 613a BGB juristische Unsicherheiten bestehen, die sich aus aktuellen Entscheidungen des Bundesarbeitsgerichts und des Europäischen Gerichtshofs (siehe BAG, vgl. Az. 1 ABR 14/22, Beschluss vom 09.05.2023, Tz. 64; EuGH, Rs. C-34/21, vom 30.03.2023) ergeben. Der Veräußerer verarbeitet die Beschäftigtendaten zur Erfüllung des Vertrages mit der oder dem Beschäftigten, insbesondere für die Beendigung und Abwicklung des Beschäftigungsverhältnisses. Der Erwerber darf die Daten spiegelbildlich zur Erfüllung des Arbeitsvertrages nach § 613a BGB in Verbindung mit Art. 6 Abs. 1 UAbs. 1 Buchst. b DS-GVO verarbeiten.
4.2 Vertragsverhandlungen
Zum Zeitpunkt von bloßen Vertragsverhandlungen zwischen Veräußerern und potentiellen Erwerbern ist die Übermittlung von Beschäftigtendaten grundsätzlich unzulässig. Eine Übermittlung ist im Einzelfall nur mit einer wirksamen Einwilligung der Beschäftigten zulässig.
4.3 Information der Beschäftigten durch den Erwerber
Beschäftigte, die von einem Betriebs- oder Betriebsteilübergang nach § 613a BGB betroffen sind, müssen hiervon nach § 613a Abs. 5 BGB in Textform unterrichtet werden. Die Information kann durch den Veräußerer oder den Erwerber erfolgen. Nach Zugang dieser Unterrichtung haben die betroffenen Beschäftigten einen Monat Zeit, dem Übergang ihres Arbeitsverhältnisses auf den Erwerber zu widersprechen.
4.4 Widerspruch der Beschäftigten
Soll die Information der betroffenen Beschäftigten durch den Veräußerer erfolgen und widersprechen betroffene Beschäftigte bevor der Betrieb oder der Betriebsteil auf den Erwerber übergegangen ist, ist eine Übermittlung der Daten der widersprechenden Beschäftigten durch den Veräußerer auf den Erwerber nicht erforderlich und damit unzulässig.
4.5 Kein Betriebs- oder Betriebsteilübergang nach § 613a BGB
Liegt ein Asset-Deal vor, der keinen Betriebs- oder Betriebsteilübergang nach § 613a BGB darstellt, sind für eine Übermittlung von Beschäftigtendaten individuelle Vereinbarungen zwischen Veräußerer, Erwerber und Beschäftigten zu treffen. Eine Übermittlung ist in diesen Fällen regelmäßig nur mit einer freiwilligen und damit rechts wirksamen Einwilligung der betroffenen Beschäftigten möglich.
5. Isolierter Verkauf von Kundendaten als einziges Asset
Eine Übermittlung im Rahmen eines Verkaufs von Daten der Kunden als losgelöstes Asset (Verkauf von Kundendatenbanken) ist regelmäßig nur mit vorheriger Einwilligung der betroffenen Kunden möglich. Dies gilt insbesondere, wenn die Datenbanken zur Werbung für Geschäftstätigkeiten genutzt werden sollen, die in keinem Zusammenhang mit dem ursprünglichen Unternehmen stehen.
Nur wenn Kleinstunternehmen (weniger als 10 Beschäftigte) oder Kleinunternehmen (weniger als 50 Beschäftigte und ein Jahresumsatz von höchstens 10 Mio. Euro) aufgrund der Beendigung der eigenen wirtschaftlichen Tätigkeit untereinander die Daten ihrer Kundinnen und Kunden einem Kleinst- oder Kleinunternehmen desselben Wirtschaftszweigs übergeben, kann ausnahmsweise die einmalige Übermittlung ausschließlich der Postadressen im Wege einer Widerspruchslösung realisiert werden. Die betroffenen Kundinnen und Kunden müssen hierbei informiert werden und haben die Möglichkeit, innerhalb einer angemessenen Frist (i. d. R. 4 – 6 Wochen) formlos zu widersprechen. Im Falle eines ausbleibenden Widerspruchs kann die Übermittlung der Postadressen als einziges Asset ausnahmsweise auf Grundlage von Art. 6 Abs. 1 UAbs. 1 Buchst. f DS-GVO erfolgen. Diese Entscheidung stützt sich auf die Abwägung, dass gemäß Erwägungsgrund 13 Satz 4 der DS-GVO den Interessen von Kleinst- und Kleinunternehmen aufgrund der engen Kundenbeziehung und des besonderen Interesses an einer wirtschaftlich tragfähigen Unternehmensnachfolge ein höheres Gewicht zukommt. Gleichzeitig wird den Erwartungen und Interessen der betroffenen Personen durch das voraussetzungslose Widerspruchsrecht Rechnung getragen. Es steht dem Veräußerer jedoch frei, zusätzlich Einwilligungen seiner bisherigen Kundinnen und Kunden zur Übermittlung von Telefonnummern und E-Mail-Adressen einzuholen.
6. Verantwortlichkeiten für alle Fallgruppen
6.1 Veräußerer
Die datenschutzrechtliche Verantwortung für die Übermittlung personenbezogener Daten an den Erwerber trifft den Veräußerer. Er muss ein angemessenes Schutzniveau gemäß Art. 32 DS-GVO gewährleisten und die Daten der Kundinnen und Kunden löschen, wenn die Voraussetzungen des Art. 17 DS-GVO vorliegen.
6.2 Erwerber
Die datenschutzrechtliche Verantwortung für die Verarbeitung beim Erwerber trifft diesen. Er muss die Pflichten als “Verantwortlicher” erfüllen, insbesondere ein angemessenes Schutzniveau gewährleisten und bei Vorliegen der entsprechenden Voraussetzungen die Betroffenenrechte erfüllen.
6.3 Informationspflichten
Der Erwerber muss die Kundinnen und Kunden innerhalb einer angemessenen Frist, spätestens innerhalb eines Monats nach Erhalt der Datensätze, gemäß Art. 14 DS-GVO informieren und auf ihr Widerspruchsrecht hinweisen.
Fazit
Asset Deals werden aus datenschutzrechtlicher Sicht im Vorfeld oft unterschätzt. Dies gilt sowohl in materieller als auch in zeitlicher Hinsicht und stellen Unternehmen vor erhebliche datenschutzrechtliche Herausforderungen, insbesondere wenn es um die Übermittlung personenbezogener Daten geht. Es ist unerlässlich, genau zu prüfen, auf welcher rechtlichen Grundlage die Datenübermittlung erfolgt und welche Maßnahmen ergriffen werden müssen, um die Rechte der betroffenen Personen zu wahren. Eine sorgfältige Vorbereitung und gegebenenfalls die Einholung von Einwilligungen sind entscheidend, um den Prozess datenschutzkonform und reibungslos zu gestalten.
Dabei ist zu beachten, dass die Beschlüsse der Datenschutzkonferenz (DSK) nicht verbindlich sind. Vielmehr handelt es sich um Empfehlungen und Leitlinien, die von den Datenschutzbehörden entwickelt wurden, um eine einheitliche Anwendung der Datenschutzvorschriften zu fördern. Unternehmen, die sich an diesen Leitlinien orientieren, können jedoch davon ausgehen, dass sie den Erwartungen der Datenschutzbehörden entsprechen. Letztlich sind es jedoch die Gerichte, die verbindlich über die Auslegung und Anwendung der DS-GVO und anderer Datenschutzgesetze entscheiden.
Eine vorausschauende Planung der Transaktion und die Berücksichtigung der datenschutzrechtlichen Vorgaben können dazu beitragen, potenzielle Fallstricke zu vermeiden und rechtliche Unsicherheiten zu reduzieren.