July 4, 2019

Kundendaten – Augen auf beim Unternehmenskauf

Werden Unternehmen verkauft, sind die Kundendaten oft besonders wertvoll. Sollen sie im Wege des Verkaufs an ein anderes Unternehmen übergehen (Asset Deal), ist beim Datenschutz Vorsicht geboten. Im Juli 2015 hat das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) mitgeteilt, sowohl gegenüber dem Verkäufer als auch gegenüber dem Erwerber im Rahmen eines Asset Deal Geldbußen in fünfstelliger Höhe wegen datenschutzwidriger Übertragung von Kundendaten verhängt zu haben. Das veräußernde Unternehmen hatte die Kundendaten dabei in datenschutzrechtlich unzulässiger Weise übermittelt, während das erwerbende Unternehmen die Daten datenschutzwidrig erhoben hatte.

Als Guideline hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) (unter Ablehnung der Berliner – und der Sächsischen Aufsichtsbehörde) im Mai 2019 Hinweise zur Durchführung datenschutzkonformer Asset Deals beschlossen. Dabei wurden die folgenden Fallgruppen gebildet, die bei einer Prüfung des berechtigten Interesses (Art. 6 Abs. 1 f DSGVO) im Rahmen der Abwägung zu berücksichtigen sind.

  • Bei der Veräußerung von Kundendaten bei laufenden Verträgen soll die zivilrechtliche Genehmigung der Kunden nach § 415 BGB (Schuldübernahme) die datenschutzrechtliche Zustimmung zum Übergang der Kundendaten mit umfassen.
  • Personenbezogene Daten von Bestandskunden, bei denen die letzte Vertragsbeziehung länger als 3 Jahre zurückliegt, sollen übermittelt werden, aber nur zum Zweck der Erfüllung der gesetzlichen Aufbewahrungspflichten genutzt werden dürfen. Die Bestimmung der Frist ergibt sich aus der regelmäßigen 3-jährigen Verjährungsfrist im Sinne von § 195 BGB.
  • Kundendaten, die aus fortgeschrittener Vertragsanbahnung stammen, sowie Bestandskundendaten ohne laufendes Vertragsverhältnis, bei denen die letzte Vertragsbeziehung jünger als 3 Jahre ist, sollen mit Hilfe einer Widerspruchslösung (Opt-out) einschließlich 6-wöchiger Widerspruchsfrist übertragen werden dürfen. Dabei ist zu beachten, dass Bankdaten im Gegensatz zum Zahlungsverhalten davon nicht erfasst werden sollen. Die Übermittlung der Bankdaten bedarf einer datenschutzrechtlichen Einwilligung gemäß Art. 6 Abs. 1 a) in Verbindung mit Art. 7 DSGVO.
  • Liegt der Fall vor, dass offene Forderungen zivilrechtlich gemäß §§ 398 ff. BGB abgetreten werden, soll die Übertragung der Kundendaten auf der Rechtsgrundlage von Art. 6 Abs. 1 f) DSGVO erfolgen dürfen. Das soll jedoch nicht gelten, wenn eine Forderungsabtretung durch Vereinbarung ausgeschlossen ist (§ 399 2. Alt. BGB, § 354a HGB), da dann die schutzwürdigen Interessen der Betroffenen überwiegen.
  • Kundendaten, die zu besonderen Kategorien von personenbezogenen Daten nach Art. 9 Abs. 1 DSGVO zählen, dürfen nach dem Willen des EU-Gesetzgebers nur mit einer ausdrücklichen Einwilligung der Betroffenen übermittelt werden.

Aus datenschutzrechtlicher Sicht ist beim Unternehmenskauf zunächst die konkrete Fallkonstellation zu bestimmen, um dann die Voraussetzungen für den Übergang von Kundendaten festzulegen. An der Klarstellung durch die Aufsichtsbehörden fällt positiv auf, dass nicht in allen Fällen eine datenschutzrechtliche Einwilligung erforderlich sein soll. Zudem bieten sich über die von der DSK genannten Lösungen hinaus noch weitere Gestaltungsmöglichkeiten an. Insbesondere ist jeweils zu überlegen, inwiefern einzelne Aufgaben im Rahmen der Überführung von Kunden auch im Wege einer Auftragsverarbeitung umgesetzt werden können.

Autor

Schmidt-Bens, Johanna

Rechtsanwältin | Senior Associate

Dr. Johanna Schmidt-Bens LL.M. hat sich auf das IT-Recht spezialisiert. Sie berät unsere Mandanten insbesondere zu nationalen und internationalen Datenschutzthemen, zu Fragen der Informationssicherheit sowie im IT-Vertragsrecht.

Dr. Johanna Schmidt-Bens hat Inhouse als Konzerndatenschutzbeauftragte in einem Industriekonzern und als Datenschutzexpertin bei einem namhaften Automobilhersteller gearbeitet. Ihre Tätigkeitsschwerpunkte lagen dabei in der Begleitung von Digitalisierungsprojekten sowie im Beschäftigtendatenschutz. Zudem war sie als Juristische Referentin bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit tätig. Ihre Karriere hat sie bei einem Digital-Verband in Berlin begonnen.

Dr. Johanna Schmidt-Bens hat in Saarbrücken und Köln deutsches und französisches Recht studiert und an der Universität Oldenburg den LL.M. Studiengang Informationsrecht abgeschlossen. Sie wurde zudem mit einer Arbeit im europäischen und internationalen Datenschutzrecht promoviert. Zusätzlich dazu ist sie als Datenschutzbeauftragte zertifiziert (TÜV).


Weitere Beiträge


  • Verteidigung der Persönlichkeitsrechte durch Flugabwehr #Drohnentod
  • Bestellpflicht für Datenschutzbeauftragte
  • Kundendaten - Augen auf beim Unternehmenskauf
  • With great power comes great responsibility – oder: Sind Betriebsräte eigene Verantwortliche im Sinne der DSGVO?
  • das neue Gesetz zum Schutz von Geschäftsgeheimnissen
  • Ich – einfach Datenschutzvollstrecker
  • „5.000 Euro Bußgeld für fehlende Vereinbarung zur Auftragsverarbeitung!“ oder besser: „Wer um Bußgeld bettelt, wird erhört!“
  • Facebooks “Gefällt mir”-Buttons nicht fashionable
  • Verträge zur gemeinsamen Verantwortlichkeit
  • Domainregistrierung: Inhaberdaten sind genug