Datenübertragung im Rahmen von Asset Deals
Abseits von großen Unternehmenskäufen findet die überwiegende Zahl der Unternehmenstransaktionen im Bereich des Mittelstandes statt. Meist stellt der Steuerberater des Hauses den zentralen Begleiter der Transaktion dar, wobei sich die Verhandlungen häufig auf die Preisfindung beschränken. Unterschieden wird grundsätzlich zwischen dem sog. Asset Deal und dem Share Deal (der Asset Deal ist der Erwerb einzelner Wirtschaftsgüter; der Share Deal ist die Veräußerung der Beteiligung am Unternehmen).
Seit dem Inkrafttreten der DSGVO waren viele Unternehmen gerade in Bezug auf den Asset Deal verunsichert: Können Kundendaten im Rahmen eines Asset Deals übertragen werden?
Die Datenschutzkonferenz (DSK) – bestehend aus den unabhängigen Datenschutzbehörden des Bundes und der Länder – hat Ende Mai per Beschluss einen Katalog von bestimmten Fallgruppen aufgelistet, die im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 S. 1 lit. f i.V.m. Abs. 4 DS-GVO bei einem Asset Deal zu berücksichtigen sind.
Hinweis: Diese Rechtsfrage scheint jedoch kontrovers diskutiert worden zu sein, da die Aufsichtsbehörden Berlin und Sachsen den Beschluss abgelehnt haben. Auch die Gerichte sind letztendlich nicht an diese Grundsätze gebunden, weshalb die folgenden Ausführungen der DSK lediglich als eine Art “Richtschnur” angesehen werden können:
1. Kundendaten bei laufenden Verträgen
Hier bedarf der Vertragsübergang zivilrechtlich einer Genehmigung der Kundin oder des Kunden (§ 415 BGB / Schuldübernahme). In dieser zivilrechtlichen Genehmigung wird als Minus auch die datenschutzrechtliche Zustimmung zum Übergang der erforderlichen Daten gesehen. Damit sind die Gegeninteressen der Kundin oder des Kunden gewahrt.
2. Bestandskunden ohne laufende Verträge und letzter Vertragsbeziehung älter als 3 Jahre
Daten von Bestandskundinnen und -kunden, bei denen die letzte aktive Vertragsbeziehung mehr als 3 Jahre zurückliegt, unterliegen bei einer erwerbenden Stelle einer Einschränkung der Verarbeitung. Diese Daten dürfen zwar übermittelt, aber eben nur wegen gesetzlicher Aufbewahrungsfristen genutzt werden. Denkbare Alternative ist, dass entsprechende Kundendaten nicht übertragen werden, sondern beim Alt-Unternehmen verbleiben. Ist ein Insolvenzverwalter eingeschaltet, bemüht dieser sich um einen aus der Masse zu finanzierenden Dienstleister, der die Alt-Daten für einen bestimmten Zeitraum aufbewahrt.
3. Daten von Kundinnen und Kunden bei fortgeschrittener Vertragsanbahnung; Bestandskundinnen und -kunden ohne laufende Verträge und letzter Vertragsbeziehung jünger als 3 Jahre
Daten solcher Kundinnen und Kunden werden nach Art. 6 Abs. 1 Satz 1 lit. f) DSGVO im Wege der Widerspruchslösung (Opt-out-Modell) mit einer ausreichend bemessenen Widerspruchsfrist (z. B. 6 Wochen) übermittelt. Diese Vorgehensweise ist für die Unternehmen aufwandsschonend und berücksichtigt durch die großzügige Widerspruchsfrist auch die Interessen der Kundinnen und Kunden. Viele Kundinnen und Kunden sind bei einer Aufforderung zu einer ausdrücklichen Einwilligung eher überrascht. Auch sollte darauf geachtet werden, den Widerspruch einfach auszugestalten – z.B. im Online-Verfahren durch Klick auf ein Kästchen. Die Bankdaten (IBAN) sind jedoch vom Übergang per Widerspruchslösung ausgenommen und nur nach ausdrücklicher Einwilligung des Kunden zu übermitteln. Darunter fällt nicht das Zahlungsverhalten.
4. Kundendaten im Falle offener Forderungen
Die Übertragung offener Forderungen gegen Kundinnen und Kunden richtet sich zivilrechtlich nach den §§ 398 ff. BGB (Forderungsabtretung). In diesem Zusammenhang stehende Daten darf der Zedent (Alt-Gläubiger/Alt-Unternehmen) an den Zessionar (Neu-Gläubiger/Neu-Unternehmen) – gestützt auf Art. 6 Abs. 1 Satz 1 lit. f) DS-GVO – (früher § 28 Abs. 1 Satz 1 Nr. 2 oder Abs. 2 Nr. 2 lit. a BDSG a.F.) übermitteln. Überwiegende Gegeninteressen bestehen allerdings dann, wenn die Abtretung durch Vereinbarung ausgeschlossen ist (§ 399 2. Alt. BGB, § 354a HGB).
5. Kundendaten besonderer Kategorie nach Art. 9 Abs. 1 DS-GVO
Solche Daten können nur im Wege der informierten Einwilligung nach Art. 9 Abs. 2 lit. a), Art. 7 DS-GVO übergeleitet werden.