Die Datenschutzkonferenz (DSK) hat in einem aktuellen Beschluss zu der heiß umstrittenen Frage Stellung genommen, welche Anforderungen die DSGVO an die Übertragung von Kundendaten im Rahmen von Asset Deals stellt.
Bei einem Share Deal erwirbt der Käufer die Firma als Ganzes, die Firmenanteile eines Unternehmens gehen auf den Käufer über. Anders hingegen beim sogenannten Asset Deal. Hier erwirbt der Käufer lediglich bestimmte Teile des Unternehmens (z.B. die Kundendaten).
Die DSK hat nun veröffentlicht, wann eine solche Übertragung von Kundendaten erlaubt ist. Das Gremium differenziert dabei unterschiedliche Fall-Konstellationen:
1. Bei Daten von laufenden Verträgen:
Hier bedarf es einer ausdrücklichen Zustimmung des Kunden, andernfalls ist eine Übertragung nicht möglich. Ein Opt-Out, d.h. eine Widerspruchslösung, reicht nicht aus.
2. Bei Daten von Bestandskunden ohne laufende Verträge:
Hier unterscheidet die DSK zwischen den Vertragsbeziehungen, die kürzer bzw. länger als 3 Jahre sind.
a) Bei Vertragsbeziehung, die länger als 3 Jahre her sind:
Die Kundendaten dürfen nach Meinung der DSK nur wegen gesetzlicher Aufbewahrungspflichten übertragen werden. Sie dürfen jedoch von dem Erwerber zu keinem anderen Zweck verwendet werden.
b) Bei Vertragsbeziehung, die kürzer als 3 Jahre her sind:
Der Erwerber kann auf Basis der berechtigten Interessen (Art. 6 Abs.1 f) DSGVO) eine Widerspruchslösung praktizieren, es bedarf somit keiner ausdrücklichen Zustimmung. Ausgenommen hiervon sind jedoch die Bankdaten. Diese dürfen, anders als die anderen Daten, nur mit ausdrücklicher Einwilligung des Kunden übertragen werden.
3. Offene Forderungen:
Die Übertragung von Kundendaten bei offenen Forderungen richtet sich nach dem Umstand, wer Inhaber der streitigen Forderung ist.
4. Besondere Datenkategorien:
Die vorgenannten Ausführungen sollen nicht für die Fälle der besonderen Datenkategorien nach Art. 9 Abs.1 DSGVO gelten. Hier soll es immer einer Einwilligung bedürfen.
Anmerkung von RA Dr. Bahr:
Auch wenn wir es bereits regelmäßig betont haben, ist es dennoch wichtig, diese Aussage auch an dieser Stelle noch einmal zu wiederholen: Wie immer bei Stellungnahmen der DSK ist es wichtig im Hinterkopf zu behalten, dass die Aussagen keine rechtsverbindliche Wirkung haben. Vielmehr werden die im Zweifelsfall angerufenen Gerichte das letzte Wort haben. Der Ausgang eines Gerichtsverfahrens ist damit nicht selten vollkommen offen.
Wichtig zu dem aktuellen DSK-Beschluss ist vor allem die Informationen, dass sowohl der Berliner Beauftragte für Datenschutz als auch der Sächsische Datenschutzbeauftragte die Entscheidung nicht mittragen. Insofern heißt es in dem Dokument auch:
"Unter Ablehnung der Berliner Beauftragten für Datenschutz und Informationsfreiheit sowie des Sächsischen Datenschutzbeauftragten.".
Die Thematik ist also selbst innerhalb der DSK umstritten.