Die Datenschutzkonferenz (DSK) hat in einem aktuellen Beschluss ihre bisherige Ausführungen überarbeitet, welche Anforderungen die DSGVO an die Übertragung von Kundendaten im Rahmen von Asset Deals zu stellen sind.
Bei einem Share Deal erwirbt der Käufer die Firma als Ganzes, die Firmenanteile eines Unternehmens gehen auf den Käufer über. Anders hingegen beim sogenannten Asset Deal. Hier erwirbt der Käufer lediglich bestimmte Teile des Unternehmens (z.B. die Kundendaten).
Im Jahr 2019 hatte die DSK ihren ersten Beschluss zu dieser Problematik abgegeben und hatte damals festgestellt, dass eine angepasste Widerspruchslösung für einen Teil der Daten grundsätzlich möglich ist, d.h. die Kunden werden vom bisherigen Betreiber angeschrieben und darauf hingewiesen, dass ihre Daten übertragen werden, wenn sie nicht widersprechen (Opt-Out).
Diese Bewertungen hat die DSK nun durch einen neuen Beschluss v. 11.09.2024 berarbeitet.
Nunmehr vertritt die DSK nachfolgende Rechtsansicht:
1. Vor dem Asset Deal:
Eine Datenübermittlung vor Abschluss des Asset Deal-Vertrags ist grundsätzlich nur mit Einwilligung möglich.
2. Nach dem Asset Deal:
Zeitlich nach dem Asset Deal muss zwischen folgenden Konstellationen unterschieden werden.
a. Vertragsanbahnung:
Wenn zwischen dem Datenveräußerer und dem Kunden, dessen Datensatz verkauft werden soll, noch kein Vertragsverhältnis besteht, kann eine Übertragung aufgrund der berechtigten Interessen (Art. 6 Abs.1 f DSGVO) in Betracht. Der Veräußerer greift hierzu auf die bereits bekannte Widerspruchslösung mit einer Frist von 6 Wochen zurück.
b. Laufende vertragliche Beziehung
Erwerber übernimmt rechtliche Pflichten aus dem Vertrag
Der Erwerber kann die für die durch ihn vorzunehmende Vertragserfüllung erforderliche Verarbeitung der Daten des Kunden auf Art. 6 Abs. 1 Abs. 1 b DSGVO stützen, also den Vetrag.
Erwerber übernimmt keine rechtliche Pflichten aus dem Vertrag
In diesem soll eine bloße Erfüllungsübernahme vorliegen. In diesem Fall ist zu prüfen, ob einer Übertragung der Daten der Kunden vom Veräußerer auf den Erwerber überwiegende Interessen der Kunden i. S. v. Art. 6 Abs. 1 Abs. 1 Buchst. f DSGVO entgegenstehen.
Dies dürfte regelmäßig hinsichtlich der für die Erfüllung
erforderlichen Daten nicht der Fall sein, weil der Kunde vor allem an der Erfüllung interessiert sein dürfte und diese in der Regel durch den Erwerber besser gewährleistet werden kann, als durch den Veräußerer. Überwiegen allerdings im Einzelfall die Interessen an der Nichtübertragung der Daten, ist eine wirksame Einwilligung der betroffenen Kunden erforderlich.
c. Beendete vertragliche Beziehung
Ist hingegen die vertragliche Beziehung zwischen Verkäufer und dem Kunden bereits beendet, darf eine Übertragung nur mit Einwilligung erfolgen.
d. Bei Krankheitsdaten immer Einwilligung
Bei der Übertragung von Krankheitsdaten vertritt die DSK den Standpunkt,
dass *immer und ausnahmslos* diese nur mit Einwilligung erfolgen dürfen.
Fazit:
Leider führt der neue Beschluss der DSK zu mehr Verwirrung und deutlich weniger Klarheit. So stelle sich schon grundsätzlich die Frage, ob die aktuellen Ausführungen der DSK so zu verstehen sind, dass die 2019 etablierte Widerspruchslösung außerhalb der Vertragsanbahnung so nicht mehr praktiziert werden darf. Außerdem hinterlässt der Beschluss von September 2024 in wesentlichen Punkten Verwirrung und Unklarheit.
