Widerspruchslösung beim Assetdeal vor dem Aus?

Ein neuer DSK-Beschluss zum Datenschutz bei Assetdeals sorgt für Unsicherheiten

Am 11.09.2024 hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) einen neuen Beschluss zum ­Datenschutz beim Assetdeal veröffentlicht. Die DSK hat dabei wesentliche Änderungen im Vergleich zu ihrem vorherigen Beschluss von 2019 getroffen, die erhebliche Auswirkungen auf die datenschutzrechtliche Gestaltung von Assetdeals haben. Dies betrifft vor allem die bisher erprobte und in der Praxis weit verbreitete ­Widerspruchslösung.

Die Bedeutung der bisherigen Widerspruchslösung

Bei einem Assetdeal, also dem Unternehmensverkauf mittels Veräußerung von Einzelwirtschaftsgütern, gehört meist auch die Übertragung von Kundendaten zu den veräußerten Assets. Die Widerspruchslösung, auch bekannt als Opt-out-Modell, ist dabei ein Verfahren, um den Datenschutzanforderungen bei der Übertragung von Kundendaten gerecht zu werden.
In der Praxis bedeutet die Widerspruchslösung, dass die betroffenen Kunden aktiv der Übertragung ihrer Daten auf den Erwerber widersprechen müssen, anstatt dass eine ausdrückliche Einwilligung eingeholt werden muss. Dabei wird den betroffenen Personen eine ausreichend ­bemessene Frist eingeräumt, innerhalb derer sie der Übertragung ihrer Daten widersprechen können. Eine beispielhafte, von der DSK genannte Frist beträgt sechs Wochen. Diese großzügige Frist soll sicherstellen, dass die betroffenen Personen ausreichend Zeit haben, um gegebenenfalls vollinformiert Widerspruch einlegen zu können.
Dogmatisch stützt sich die Widerspruchslösung auf Art. 6 Abs. 1 Satz 1 lit. f DSGVO, also das berechtigte Interesse. Diese Bestimmung erlaubt die Verarbeitung von personenbezogenen Daten, wenn dies zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen; es muss folglich eine entsprechende Interessenabwägung durchgeführt werden.
Die Widerspruchslösung ist in der Vergangenheit ins­besondere für personenbezogene Daten von Kunden bei fortgeschrittener Vertragsanbahnung sowie für Bestandskunden ohne aktive Verträge, deren letzte Vertragsbeziehung jünger als drei Jahre ist, genutzt worden.
Bestimmte personenbezogene Daten, wie beispielsweise Bankverbindungen oder Gesundheitsdaten, sind jedoch von der Widerspruchslösung ausgenommen. Diese Kategorien von personenbezogenen Daten dürfen nur nach ausdrücklicher Einwilligung der betroffenen Personen übermittelt werden.
Für die Gestaltungspraxis bietet die bisherige Widerspruchslösung erhebliche Vorteile. Die Widerspruchslösung ist für Unternehmen weniger aufwendig und vor allem schneller umsetzbar als die Einholung einer ausdrücklichen Einwilligung von jeder einzelnen betroffenen Person. Hinzu kommt, dass durch die großzügige Widerspruchsfrist und die einfache Möglichkeit, Widerspruch einzulegen, die Interessen der betroffenen Personen angemessen berücksichtigt werden. Denn viele betroffene Personen sind von einer Aufforderung zur ausdrücklichen Einwilligung eher überrascht oder gar überfordert. Die Widerspruchslösung bietet insofern eine weniger invasive Alternative, ohne den operativen Geschäftsbetrieb unnötig zu belasten.

Veränderte Anforderungen durch den neuen DSK-Beschluss

Der neue Beschluss der DSK vom September 2024 bringt grundlegende Änderungen, die die bisherige Praxis in Frage stellen.
Zunächst positiv zu werten ist, dass die DSK in ihrem neuen Beschluss sichtlich darum bemüht ist, ihren Standpunkt im Vergleich zu ihrem vorherigen Beschluss von 2019 ausführlicher und differenzierter darzustellen. Dies zeigt sich auch im Umfang des Beschlusses: Während der Beschluss von 2019 nur zwei Seiten umfasste, erläutert die DSK nun auf sieben Seiten die datenschutzrechtlichen Anforderungen bei der Übermittlung personenbezogener Daten bei Assetdeals. Der Beschluss geht dabei detailliert auf die einzelnen Phasen einer Transaktion sowie auf die verschiedenen Arten von Vertragsdaten ein.
Der aktuelle Beschluss behandelt schwerpunktmäßig die Übermittlung von personenbezogenen Daten während der Due Diligence, die Übermittlung von Kundendaten, Daten von Lieferanten und Beschäftigten sowie die gesteigerten Anforderungen bei der Übermittlung von besonderen Kategorien personenbezogener Daten.

Der für die Transaktionspraxis wohl wichtigste Abschnitt sind die neuen Vorgaben zur Übermittlung von Kundendaten. Ein wesentliches Element ist dabei die von der DSK nunmehr ausdifferenziertere Unterscheidung zwischen verschiedenen Vertragsphasen:

• Vertragsanbahnung: In diesem Vertragsstadium ist eine Datenübermittlung dann zulässig, wenn die betroffenen Vertragspartner die Verhandlungen mit dem Erwerber fortführt und zu diesem Zweck auch personenbezogene Daten erforderlich sind, die beim Verkäufer vorliegen. Zudem ist die Übertragung der Daten weiterhin mit ­einer angemessenen Widerspruchsfrist von idealer­weise sechs Wochen möglich (Widerspruchslösung).
• Aktive Verträge: Bei aktiven vertraglichen Beziehungen ist die Übermittlung der personenbezogenen Daten zur Vertragserfüllung gerechtfertigt. Damit kann der Erwerber die Daten immer dann erhalten, wenn die jeweiligen Drittparteien (Vertragspartner) der Vertragsübernahme zustimmen. Die datenschutzrechtliche ­Zulässigkeit der Übermittlung personenbezogener ­Daten geht insoweit also mit der zivilrechtlichen Zustimmung in die Vertragsübernahme einher. Ob in diesem Stadium daneben auch die Widerspruchslösung zulässig ist, bleibt leider unklar.
• Beendete Verträge: Daten ehemaliger Kunden dürfen wohl nur zur Erfüllung gesetzlicher Aufbewahrungsfristen übermittelt werden. Der Erwerber hat diese Daten zwingend von den personenbezogenen Daten der betroffenen Personen mit einer aktiven vertraglichen Beziehung zu trennen (Zwei-Schrank-Lösung). Diese Zwei-Schrank-Lösung war bisher hauptsächlich im Zusammenhang mit der Veräußerung von humanmedizinischen Praxen relevant, wird nun aber wohl weitere Anwendungsbereiche betreffen.

 

Auswirkungen auf die Praxis

Der neue Beschluss der DSK führt in der Praxis an wesentlichen Punkten zu Rechtsunsicherheiten. Insbesondere bleibt unklar, ob und in welchen Fällen die bisherige Widerspruchslösung von 2019 weiterhin angewendet werden darf. Fraglich ist, ob diese Lösung außer bei der Vertragsanbahnung noch zulässig ist oder ob andere, strengere Anforderungen gelten. Zumindest für eine konservative Herangehensweise wird man vorerst davon ausgehen müssen, dass für die Übernahme von Kundendaten ohne aktive Verträge, also bei beendeten Vertragsbeziehungen, vorerst keine Widerspruchslösung mehr möglich ist. Dies hat erhebliche praktische Auswirkungen, da dies nunmehr die aktive Zustimmung aller betroffenen Geschäftspartner und Kunden voraussetzt, was in der Realität nur sehr schwer zu erreichen ist und darüber hinaus die zeitlichen Abläufe bei Transaktionen massiv verlängern wird.
Zudem sind nunmehr zahlreiche Einzelfallprüfungen nötig, was die praktische Handhabung der neuen Regelungen erheblich erschwert. Die Aufteilung der Daten in Kategorien wie Vertragsanbahnung, aktive Verträge und beendete Verträge stellt Unternehmen vor große organisatorische Herausforderung. Insbesondere für mittelständische Unternehmen kann es schwierig sein, die Daten entsprechend zu gliedern und belastbar zu prüfen. Dafür sind nicht nur zusätzliche Ressourcen erforderlich, sondern auch umfassende Kenntnisse der jeweiligen Vertragsverhältnisse und deren aktueller Status.
Auch die Zwei-Schrank-Lösung birgt erhebliche praktische Herausforderungen. Unternehmen müssen komplexe, oft zeitaufwendige Maßnahmen zur organisatorischen und technischen Trennung der betroffenen Daten implementieren. Die Verwaltung von getrennten Datenbeständen erfordert ein hohes Maß an interner Koordination, vor allem bei der Organisation des Datenzugriffs.
Im Ergebnis führt der neue DSK-Beschluss dazu, dass selbst weniger komplexe Transaktionen nicht mehr ohne intensive rechtliche Unterstützung auskommen, da die gegebenenfalls im Raum stehenden Risiken durch Bußgelder von Aufsichtsbehörden beziehungsweise Schadensersatzansprüche seitens der betroffenen Personen von den Transaktionsbeteiligten nicht ohne fachkundige rechtliche Unterstützung gehandhabt werden können. 

Text/Autoren: Benjamin Schwarzfischer, Sven-Erik Holm, GvW Frankfurt (www.gvw.com)
DeutscherAnwaltspiegel 04. Dezember 2024