Eine aktuelle Einschätzung der Datenschutzkonferenz (DSK) bietet neue Möglichkeiten, Kundendaten und Opt-ins im Rahmen eines Unternehmensverkaufs an den Käufer weiterzureichen. Wir hatten das Thema bereits im Jahr 2016 (Website Boosting 07/08-2016) aufgegriffen, waren damals aber zu einem ernüchternden Ergebnis gekommen. Das neue DSK-Paper bietet aber Anlass zu neuer Hoffnung.
Wir erinnern uns an die problematische Ausgangslage: Eine Domain, eine Webseite oder ein Internet-Forum ist über Jahre hinweg liebevoll vom Inhaber aufgepäppelt worden. Nach all den Jahren harter Arbeit will der Betreiber nun seine Früchte versilbern und das Projekt an einen Dritten verkaufen. Kann er das in puncto Datenschutzrecht überhaupt problemlos so machen? Schnell stellt sich nämlich die Frage, ob die erhobenen personenbezogenen Daten wie Name und E-Mail-Adresse bedenkenlos veräußert werden können. Und was gilt beim Verkauf von Werbeeinwilligungen? Können auch diese einfach weiterverkauft werden?
Um das Problem zu verdeutlichen, gehen wir von nachfolgendem Beispiel aus:
Beispiel:
Unternehmer X will sein großes Info-Portal an den Unternehmer Y verkaufen. Herr X hat über viele Jahre zahlreiche Adressdaten seiner Nutzer (z. B. Name und E-Mail-Adresse) und außerdem Werbe-Opt-ins (z. B. Einwilligung in den Newsletter-Empfang) erhoben. Beide Parteien sind sich schnell über den Kaufpreis einig. Kurze Zeit, nachdem Unternehmer Y einen entsprechenden Kaufvertrag unterschrieben hat, kommen ihm erste Zweifel, ob diese Art des Erwerbs von Adressdaten und Opt-ins in Deutschland überhaupt möglich ist.
Sind die Bedenken von Y überflüssig oder hätte er sich im Vorweg doch ein wenig besser informieren sollen?
Rechtlich unproblematisch sind die Fälle
Wir verweisen an dieser Stelle auf unsere Ausführungen aus dem Jahr 2016, da sich hier keine Abweichungen ergeben.1
In der Praxis wird bei Unternehmensübernahmen aus Haftungsgründen häufig der sogenannte Asset Deal gewählt, d. h., dass lediglich einzelne Unternehmensgegenstände erworben werden, der Rest hingegen beim verkaufenden Unternehmen bleibt.
Beispiel:
Die B GmbH kauft einzelne Vermögensgegenstände der A GmbH (z. B. die Domain) auf.
Die B GmbH kann ihre Haftung begrenzen, da sie lediglich für die zu übernehmenden Vermögensgegenstände in die Verantwortlichkeit geht. Für Alt-Verbindlichkeiten oder sonstige Haftungsrisiken wird hingegen nicht gehaftet.
Bei eben dieser Konstellation war bis zum Inkrafttreten der DSGVO die Rechtslage eindeutig: Sowohl die Rechtsprechung als auch die Datenschutzbehörden verlangten bei einem Asset Deal grundsätzlich eine ausdrückliche Einwilligung des betroffenen Kunden. Eine Opt-out-Lösung war nicht erlaubt.
Ein aktueller Beschluss der Datenschutzkonferenz (DSK)2 weicht nun diese strengen Anforderungen auf und bietet deutlich mehr Möglichkeiten für den Verkäufer bzw. Käufer.
Die DSK ist die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder. Die Stellungnahmen haben keinen verbindlichen Rechtscharakter, offenbaren aber, in welche Richtung die Behörden die DSGVO auslegen werden. Ob die Interpretation dann richtig oder falsch ist, werden die Gerichte entscheiden.
Das Gremium differenziert beim Asset Deal unterschiedliche Fall-Konstellationen:
1. Daten von laufenden Verträgen:
Hier bedarf es einer ausdrücklichen Zustimmung des Kunden, andernfalls ist eine Übertragung nicht möglich. Ein Opt-out, d. h. eine Widerspruchslösung, reicht nicht aus.
2. Daten von Bestandskunden ohne laufende Verträge:
Hier unterscheidet die DSK zwischen den Vertragsbeziehungen, die kürzer bzw. länger als drei Jahre sind.
a) Bei Vertragsbeziehungen, die länger als drei Jahre bestehen:
Die Kundendaten dürfen nach Meinung der DSK nur aufgrund gesetzlicher Aufbewahrungspflichten übertragen werden. Sie dürfen jedoch von dem Erwerber zu keinem anderen Zweck verwendet werden.
b) Bei Vertragsbeziehungen, die kürzer als drei Jahre bestehen:
Der Erwerber kann auf Basis der berechtigten Interessen (Art. 6 Abs. 1 f) DSGVO) eine Widerspruchslösung praktizieren, es bedarf somit keiner ausdrücklichen Zustimmung:
„Daten solcher Kundinnen und Kunden werden nach Art. 6 Abs. 1 Satz 1 lit. f) DSGVO im Wege der Widerspruchslösung (Opt-out-Modell) mit einer ausreichend bemessenen Widerspruchsfrist (z. B. 6 Wochen) übermittelt.
Diese Vorgehensweise ist für die Unternehmen aufwandsschonend und berücksichtigt durch die großzügige Widerspruchsfrist auch die Interessen der Kundinnen und Kunden. Viele Kundinnen und Kunden sind bei einer Aufforderung zu einer ausdrücklichen Einwilligung eher überrascht. Auch sollte darauf geachtet werden, den Widerspruch einfach auszugestalten – z. B. im Online-Verfahren durch Klick auf ein Kästchen.“
Ausgenommen hiervon sind jedoch die Bankdaten. Diese dürfen, anders als die anderen Daten, nur mit ausdrücklicher Einwilligung des Kunden übertragen werden.
3. Offene Forderungen:
Die Übertragung von Kundendaten bei offenen Forderungen richtet sich nach dem Umstand, wer Inhaber der streitigen Forderung ist.
4. Besondere Datenkategorien:
Die vorgenannten Ausführungen sollen nicht für die Fälle der besonderen Datenkategorien (z. B. Krankheitsdaten) gelten. Hier soll es immer einer Einwilligung bedürfen.
5. Teilweise abweichende Ansicht der Aufsichtsbehörden:
Wichtig zu wissen ist noch: Nicht alle Länderaufsichtsbehörden haben diesem DSK-Beschluss zugestimmt. Sowohl der Berliner Beauftragte für Datenschutz als auch der sächsische Datenschutzbeauftragte wollen die Entscheidung nicht mittragen. Insofern heißt es in dem Dokument auch:
„Unter Ablehnung der Berliner Beauftragten für Datenschutz und Informationsfreiheit sowie des Sächsischen Datenschutzbeauftragten."
Die Thematik ist also selbst innerhalb der DSK umstritten.
Der Beschluss der DSK hat für den Bereich der Asset Deals enorme wirtschaftliche Bedeutung. Wird nämlich eine Domain oder ein Forum veräußert und sollen die dort erhobenen Kundendaten mit an den neuen Besitzer übergehen, so ist ab sofort – anders als bislang – die Opt-out-Variante ausreichend.
Anhand unseres Beispiels vom Anfang:
Es reicht aus, wenn der Verkäufer X die User seines Infos-Portals anschreibt und ihnen mitteilt, dass zukünftig Käufer Y die Plattform betreiben wird. Dem User wird die Möglichkeit gegeben, innerhalb einer bestimmten Frist (z. B. 6 Wochen) der Weitergabe der Daten zu widersprechen.
Widerspricht der User nicht, so überträgt der X die Daten an den Y.
Einzige Ausnahme: Nicht übertragen werden Bankdaten und Daten besonderer Datenkategorien (z. B. Gesundheitsdaten).
Eine deutliche Verbesserung der bisherigen Situation, denn bislang war dies nur mit ausdrücklicher Einwilligung erlaubt. Nun reicht die Opt-out-Variante aus.
Aber Achtung: Zu der Frage, ob auf diese Art und Weise auch Werbeeinwilligungen (z. B. Newsletter-Opt-ins) übertragen werden können, äußert sich die DSK nicht. Gegen eine Übertragbarkeit spricht, dass es sich um unterschiedliche Rechtsgebiete handelt. Beim Datenschutzrecht geht es grundsätzlich nur um die Speicherung der Daten. Die Zusendung von Nachrichten hingegen berührt klassisches Wettbewerbsrecht.
Andererseits ist für eine Übertragbarkeit anzuführen, dass auch im Zivilrecht grundsätzlich die Einheit der Rechtsordnung gilt: Welchen Sinn sollte es machen, wenn Y die Newsletter-Daten der Kunden datenschutzrechtlich speichern, aber wettbewerbsrechtlich nicht nutzen dürfte?
Hinsichtlich dieser Problematik wird man die weitere Rechtsprechung abwarten müssen.
1 Online nachzulesen unter bit.ly/32nN6kO.
2 Beschluss der DSK v. 24.05.2019, online nachzulesen unter bit.ly/2IFkziH.