Datenschutzkonferenz: Beschluss zur Übermittlung personenbezogener Daten beim Unternehmenskauf

Die Datenschutzkonferenz hat im September 2024 einen Beschluss zur Übermittlung personenbezogener Daten im Rahmen eines Asset-Deals gefasst. Damit aktualisiert die DSK einen älteren, aus dem Jahre 2019 stammenden Beschluss. Eine Erleichterung für die Praxis dürfte mit dem Beschluss leider nicht verbunden sein.

Hintergrund

Die Veräußerung eines Unternehmens kann grundsätzlich auf zwei Wegen erfolgen, nämlich entweder durch Übertragung von Anteilen an einer Gesellschaft als „Share Deal” oder durch Übertragung von Vermögenswerten und/oder Wirtschaftsgütern als „Asset Deal”. Während die Verarbeitung von personenbezogenen Daten im Rahmen eines „Share Deals“, abgesehen von Prüfungshandlungen während einer Due Diligence Prüfung, unproblematisch möglich ist, da nur die Anteile an einer Gesellschaft übertragen werden, diese ansonsten unverändert fortgeführt wird und mangels Änderung in der Person der oder des Verantwortlichen grds. keine Übermittlung personenbezogener Daten erfolgt, bedarf es bei der Übermittlung von personenbezogenen Daten im Rahmen eines „Asset Deals“ in datenschutzrechtlicher Hinsicht einer differenzierten Betrachtung.

Beschluss

Die DSK vertritt im Ausgangspunkt den restriktiven Standpunkt, dass zum Zeitpunkt von Vertragsverhandlungen zwischen Veräußerern und potentiellen Erwerbern – also vor Abschluss eines Vertrages (des Asset Deals) – eine Übermittlung von personenbezogenen Daten grundsätzlich unzulässig ist. Soweit die DSK in diesem Kontext auf die Möglichkeit einer Einwilligung der Betroffenen als potentielle Legitimationsgrundlage verweist, hilft dies in der Praxis schon mit Blick auf die regelmäßig beträchtliche Vielzahl Betroffener kaum weiter. Immerhin soll im Einzelfall ein berechtigtes Interesse die Übermittlung von Daten besonders hervorgehobener Personen gemäß Art. 6 Abs. 1 Satz 1 Buchst. f DS-GVO rechtfertigen. Bspw. könne es sich dabei um Hauptvertragspartnerinnen und -partner, Personal mit Führungsverantwortung und / oder für das Geschäft zentralen Kompetenzen handeln.

Vergleichsweise ausführlich widmet sich die DSK den Rahmenbedingungen für die in der Praxis regelmäßig wichtigste Frage, nämlich die Zulässigkeit der Übertragung von Kundendaten. Insoweit verfolgt die DSK einen differenzierten Ansatz:

• Für Kundenbeziehungen, welche sich noch im Stadium der Vertragsanbahnung befinden, soll eine Übertragung von Kundendaten im Rahmen einer Widerspruchslösung zulässig sein. Insoweit empfiehlt die DSK eine Ankündigung im Hinblick auf den bevorstehenden Erwerb und die beabsichtigte Übertragung der Kundendaten in Verbindung mit einem sechswöchigen Widerspruchsrecht der betroffenen Kunden.
• Für laufende – noch nicht vollständig abgewickelte – Kundenverträge geht die DSK – wenig überraschend – davon aus, dass für den Fall einer von den betroffenen Kunden genehmigten Vertragsübernahme eine datenschutzrechtliche Übermittlungsbefugnis unmittelbar aus Art. 6 Abs. 1 Satz 1 Buchst. f DS-GVO resultiert. Im Umkehrschluss wird man daraus allerdings wohl folgern dürfen, dass ohne die Genehmigung einer Vertragsübernahme auch keine Berechtigung zur Übermittlung der Kundendaten besteht. Die Möglichkeit eines Widerspruchsverfahrens adressiert die DSK in diesem Kontext nicht.
• Für beendete vertragliche Beziehungen fällt die Bewertung durch die DSK tendenziell restriktiv aus. Der Veräußerer hat Daten von Kunden mit beendeten Verträgen von Daten solcher Kunden mit laufenden Verträgen zu trennen („Zwei-Schrank-Lösung“). Gleichwohl soll eine Übergabe des Datenbestandes an den Erwerber möglich sein, wenn der Veräußerer den Erwerber im Rahmen einer Auftragsverarbeitung mit der Archivierung der Alt-Kunden-Daten beauftragt. Ein Zugriff auf diesen Datenbestand für eine eigene Nutzung soll dann im Einzelfall bei Einwilligung betroffener Kunden zulässig sein. Unter dem Strich ist gleichwohl festzuhalten: Ohne Einwilligung des Kunden geht nichts.

Der DSK-Beschluss enthält zudem Vorgaben bzw. Empfehlungen für besonders gelagerte Fälle, z.B. die Übertragung von Beschäftigtendaten, den isolierten Verkauf von Kunden- bzw. Interessentendaten und auch die Übertragung besonders sensibler Daten.

Anmerkung

Der Beschluss der DSK liefert vergleichsweise klare Vorgaben für aufsichtsrechtlich zulässige Gestaltungsmöglichkeiten. Dabei geht die DSK gewohnt restriktiv vor.

Positiv hervorzuheben ist die fortgesetzt anerkannte Möglichkeit einer Widerspruchslösung in Bezug auf die Übertragung von Kundendaten aus Anbahnungsverhältnissen.

Kritisch erscheint hingegen die offenbar ausnahmslos vorgesehene Einwilligungslösung für beendete Vertragsbeziehungen. In Abweichung von ihrem älteren Beschluss aus dem Jahre 2019 (hier abrufbar), greift die DSK eine Widerspruchslösung bei Kunden ohne laufende Verträge, deren Vertragsbeziehung zum Verkäuferunternehmen jünger als drei Jahre ist, nicht mehr auf. Ob die DSK ihre Position insoweit verschärft oder die Differenzierung schlicht verabsäumt hat, ist dabei nicht eindeutig. Ungeachtet dessen wäre jedenfalls für diese Fälle eine Widerspruchslösung sicherlich ebenfalls ein pragmatische und – das werden allerdings die Gerichte zu entscheiden haben – datenschutzrechtlich wohl vertretbarer Weg gewesen – zumal diese Verfahrensweise in der Praxis als verbreitet bezeichnet werden darf.

Der aktuelle DSK-Beschluss ist im Volltext abrufbar.