Personendaten beim Unternehmenskauf – Rechtliche Fallstricke und Datenschutz

Zu den Werten eines Unternehmens gehören insbesondere die Beziehungen des Unternehmens zu seinen Kunden. In einer Vielzahl von Branchen bilden gerade die Kundenbeziehungen das eigentliche Asset eines Unternehmens. Für den Käufer eines Unternehmens kommt es daher in besonderem Maße darauf an, die Kundenbeziehungen des Unternehmens fortzuführen. Während der Frage der rechtmäßigen Übertragung von Kundenbeziehungen auf den Käufer im Rahmen von Unternehmenstransaktionen in der Vergangenheit oftmals wenig Aufmerksamkeit gewidmet wurde, ist dieser Aspekt in jüngster Vergangenheit in den Fokus gerückt.

Bei der rechtlichen Beurteilung der Rechtmäßigkeit ist dabei zwischen der Situation des Share Deals und der Situation des Asset Deals zu unterscheiden.

1. Share Deal

Beim Share Deal erwirbt der Käufer die Anteile an der Zielgesellschaft. Die Zielgesellschaft und ihre Rechtsbeziehungen bleiben von der Transaktion unberührt und bestehen unverändert fort. Aus diesem Grund führt der Share Deal zu keinen rechtlichen Schwierigkeiten, wenn ein Kundenstamm in der Zielgesellschaft vorhanden ist. Schließlich findet eine Weitergabe von Daten i.S.v. Art. 4 Nr. 2 DS-GVO nicht statt, da sich die entsprechenden Daten unverändert bei der Zielgesellschaft befinden.

2. Asset Deal

Anders gestaltet sich hingegen die Rechtslage im Fall eines Asset Deals. Hier erwirbt der Käufer nicht die Geschäftsanteile an der Zielgesellschaft, sondern er erwirbt von der Zielgesellschaft einzelne materielle und/oder immaterielle Vermögensgüter, Verträge, Arbeitsverhältnisse und/oder Beziehungen zu Kunden oder Lieferanten. Werden hier nun personenbezogene Daten von der Zielgesellschaft an den Käufer verkauft und übertragen, liegt eine Datenverarbeitung i.S.v. Art. 4 Nr. 2 DS-GVO vor. Aus diesem Grund bedarf es im Falle des Asset Deals der Beachtung der Vorgaben der DS-GVO für die rechtmäßige Übertragung von personenbezogenen Daten. Ob die Datenverarbeitung rechtmäßig ist, richtet sich nach Art. 6 DS-GVO. Gemäß Art. 6 Abs. 1 Satz 1 ist die Verarbeitung von Daten rechtmäßig, wenn mindestens eine der in Abs. 1 genannten Bedingungen erfüllt ist. In Betracht kommen insofern insbesondere die Fallgruppen der lit. a) (Einwilligung der betroffenen Person) und f) (berechtigtes Interesse an der Datenverarbeitung).

Bislang gibt es soweit ersichtlich keine Rechtsprechung zu der Frage der rechtmäßigen Übertragung von Personendaten beim Asset Deal. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat jedoch am 24 Mai 2019 Fallgruppen und Leitlinien aufgestellt, die im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 Satz 1 lit. f i.V.m. Abs. 4 DS-GVO bei einem Asset Deal zu berücksichtigen sind. Diese Fallgruppen sind gegenwärtig als best practise zu beachten.

Laufende Vertragsverhältnisse

Werden Daten übertragen, die aus einem laufenden Vertragsverhältnis herstammen, findet Art. 6 Abs. 1 Satz 1 lit. b DS-GVO Anwendung. Denn zur Übertragung eines laufenden Vertragsverhältnisses ist bereits per se (§ 415 BGB) die Zustimmung des jeweiligen Vertragspartners erforderlich. Die DSK erkennt an, dass die Zustimmung zur Vertragsübertragung als Minus auch die Einwilligung zur Datenverarbeitung mitumfasst.

Kundendaten bei fortgeschrittener Vertragsanbahnung und Bestandskunden ohne laufenden Vertrag und letzte Vertragsbeziehung jünger als drei Jahre

Besteht zwischen der Zielgesellschaft und einer potenziellen dritten Vertragspartei eine fortgeschrittene Vertragsanbahnung, d.h. finden sich die Parteien in fortgeschrittenen Gesprächen über den Abschluss eines Vertrages so gilt das gleiche wie im Falle von Bestandskunden ohne laufende Verträge und einer letzten Vertragsbeziehung, die jünger als drei Jahre ist. In diesen Fällen ist der dritten Vertragspartei eine angemessene Widerspruchsfrist (regelmäßig werden hier sechs Wochen als angemessen angesehen) einzuräumen, binnen derer sie der Übertragung der Daten auf den Käufer widersprechen kann (sog. Opt-Out). Widerspricht die dritte Vertragspartei der Übertragung der Daten nicht, so gilt die Zustimmung als erteilt. Dies gilt jedoch nicht für Bankdaten der Kunden; deren Übermittlung an den Käufer bedarf der ausdrücklichen Zustimmung des Kunden.

Bestandkunden ohne laufenden Vertrag sowie letzter Vertrag älter als drei Jahre

Diese Fallgruppe unterscheidet sich von der vorgenannten dadurch, dass ein letzter vertraglicher Kontakt zu einem Bestandskunden bereits mehr als drei Jahre zurückliegt. In diesem Fall soll eine wirksame Einwilligung nur dann in Betracht kommen, wenn die dritte Vertragspartei der Übertragung der Daten ausdrücklich zustimmt (sog. Opt-In). Auf das Opt-In kann nur dann verzichtet werden, wenn die Daten nur im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungsfristen an den Käufer übertragen werden. Für eine Ansprache des Bestandskunden durch den Käufer – die regelmäßig im Interesse des Käufers liegen wird – dürfen die Daten in diesem Fall jedoch nicht genutzt werden.

Kundendaten bei offenen Forderungen

Oftmals erwirbt der Käufer auch offene Forderungen der Zielgesellschaft gegen ihre Kunden. Der Käufer zieht diese Forderungen nach dem Vollzug des Asset Deals ein. Bei der Übertragung der Forderung handelt es sich zivilrechtlich um eine Abtretung, sodass die §§ 398 ff. BGB Anwendung finden. Mit der Forderung im Zusammenhang stehende Daten dürfen gemäß Art. 6 Abs. 1 S. 1 lit f) DS-GVO an den Käufer übermittelt werden.

Sonderfall: Kundendaten besonderer Kategorie gemäß Art. 9 DS-GVO

Daten, die einer Kategorie des Art. 9 DS-GVO unterfallen (sog. sensible Daten, z.B. zu ethnischer Herkunft, politischen Meinungen, religiösen oder weltanschaulichen Überzeugungen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten, Gesundheitsdaten), ist ungeachtet der vorstehenden Kategorien eine ausdrückliche Einwilligung der betroffenen Person erforderlich.

Wie dargestellt, erfordert die Übertragung von Kundendaten im Falle des Asset Deals einer genauen Betrachtung des Einzelfalls. Dabei ist insbesondere zwischen den dargestellten Fallgestaltungen und den betroffenen Daten zu unterscheiden. Die besondere praktische Bedeutung der Beachtung dieser Vorgaben folgt insbesondere aus der Tatsache, dass die Datenschutzbehörden in der jüngeren Vergangenheit Unternehmenstransaktionen, die in der Form des Asset Deals erfolgt sind, verstärkt in den Fokus genommen und in einzelnen Fällen nicht unerhebliche Bußgelder gegen die Beteiligten verhängt haben.