Kundendaten bei Asset Deals und der jüngste DSK-Beschluss
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat am 11. September 2024 einen Beschluss zur Übermittlung personenbezogener Daten im Rahmen von Asset Deals veröffentlicht. Im Unterschied zu einem Share Deal, bei dem mit Ausnahme von einer Due Diligence Prüfung, personenbezogene Daten nicht übertragen werden, bedarf die Verarbeitung personenbezogener Daten bei einem Asset Deal einer sorgfältigen datenschutzrechtlichen Prüfung.
Die DSK unterscheidet innerhalb des Beschlusses zwischen den verschiedenen Zeitpunkten im Rahmen der Vertragsverhandlung und – durchführung eines Asset Deals.
Übermittlung personenbezogener Daten während Vertragsverhandlungen
Bereits während der Vertragsverhandlungen stellt sich die Frage, ob und in welchem Umfang personenbezogene Daten übermittelt werden dürfen. Die DSK vertritt die restriktive Auffassung, dass eine Übermittlung von personenbezogenen Daten grundsätzlich in dieser Phase grundsätzlich unzulässig ist, es sei denn es liegt eine freiwillige Einwilligung der betroffenen Personen vor. In Ausnahmefällen, beispielsweise bei Führungskräften oder anderen Schlüsselpersonen, kann ein berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO die Übermittlung rechtfertigen.
Übermittlung von Kundendaten nach Vertragsschluss
Ein zentrales Asset für den Erwerber stellen oftmals Kundendaten dar. Die DSK unterscheidet mit Blick auf die Rechtmäßigkeit innerhalb des Beschlusses zwischen verschiedenen Fallgruppen:
Führt ein Kunde Vertragsverhandlungen mit dem Erwerber ohne Einwände fort, ist die Übermittlung der dafür erforderlichen Daten durch Art. 6 Abs. 1 lit. b DSGVO gedeckt. Im Übrigen soll eine Übermittlung nur nach der Durchführung einer Interessenabwägung erlaubt sein. Im Rahmen der Interessenabwägung soll den berechtigten Interessen des Kunden durch eine Widerspruchslösung Rechnung getragen werden. Die angemessene Widerspruchsfrist bemisst die DSK auf etwa sechs Wochen.
Wird ein laufender Vertrag auf den Erwerber übertragen, kann die Datenverarbeitung zur Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO erfolgen. Bei bloßer Übernahme der Erfüllungspflichten soll eine Abwägung der Interessen der Kunden notwendig sein.
Mit Blick auf beendete Verträge sollen die Daten ehemaliger Kunden nur für die Erfüllung gesetzlicher Aufbewahrungsfristen übermittelt werden dürfen. Der Erwerber muss diese Daten von aktiven Kundendaten trennen (sogenannte „Zwei-Schrank-Lösung“). Eine Nutzung zu eigenen Zwecken erfordert eine ausdrückliche Einwilligung.
Daten besonderer Kategorien nach Art. 9 Abs. 1 DSGVO dürfen ausschließlich mit einer ausdrücklichen informierten Einwilligung übertragen werden. Gleiches soll für Bankdaten gelten, sofern nicht eine Vertragsanbahnung oder eine laufende vertragliche Beziehung besteht; in diesem Fall greift Art. 6 Abs. 1 lit. b DSGVO.
Für Werbezwecke dürfen Kundendaten nur in dem Umfang genutzt werden, wie es auch dem Veräußerer erlaubt war. Die Durchführung von elektronischen Werbemaßnahmen, beispielsweise Newslettern, erfordert zusätzlich die Einhaltung der Vorgaben von § 7 UWG.
Die Übertragung personenbezogener Daten im Rahmen eines Asset Deals erfordert eine sorgfältige Prüfung der datenschutzrechtlichen Vorgaben. Insbesondere die Einholung von Einwilligungen, die Interessenabwägung sowie die Trennung von Daten sind entscheidend, um Rechtsverstöße zu vermeiden. Kontaktieren Sie uns, um zu erfahren, wie wir Sie bei Ihrem nächsten Projekt begleiten können!