Unternehmensverkauf und Datenschutz Datenschutzkonformes Handling, Prüfpflichten und Verantwortlichkeiten

Transkript

1 Unternehmensverkauf und Datenschutz Datenschutzkonformes Handling, Prüfpflichten und Verantwortlichkeiten Wirtschaft digital Das IHK Themenforum Bei Unternehmenskauf und -verkauf im Fokus: IT, Datenschutz und Bewertung Mittwoch 14. Oktober 2015 IHK Akademie München Alexander Filip und Thomas Kranig, Bayerisches Landesamt für Datenschutzaufsicht

2 Agenda 1 Klärung der Begriffe: Share Deal, Asset Deal 2 Datenschutzrechtliche Anforderungen beim Asset Deal Verantwortlichkeiten und Prüfpflichten Was sagt die Rechtsprechung? Wenn s daneben geht: Bußgeldverfahren und in Zukunft nach DS-GVO 2

4 1 Klärung der Begriffe: Share Deal, Asset Deal Share Deal = Erwerb einer gesellschaftsrechtlichen Beteiligung an einem Unternehmen (z.b. Aktien einer AG, Anteile einer GmbH) Rechtsträger des Unternehmens (z.b. GmbH) bleibt unverändert, es ändert sich nur die Struktur der Anteilseigner personenbezogene Daten (z.b. von Kunden) verbleiben bei derselben verantwortlichen Stelle (z.b. der GmbH), daher keine Übermittlung somit datenschutzrechtlich grundsätzlich unproblematisch 4

5 1 Klärung der Begriffe: Share Deal, Asset Deal Asset Deal = Veräußerung einzelner Wirtschaftsgüter (Assets), z.b. Maschinen, Gebäude, Erwerber ist ein gegenüber dem Veräußerer neuer Rechtsträger (z.b. ABC GmbH veräußert Assets an die XYZ GmbH) werden personenbezogene Daten als Asset übertragen, so gelangen sie zu einer neuen verantwortlichen Stelle somit Übermittlung im Sinne von 3 Abs. 4 Satz 2 Nr. 3 BDSG Häufiger Fall: Veräußerung durch den Insolvenzverwalter 5

6 1 Klärung der Begriffe: Share Deal, Asset Deal Umwandlungen gemäß Umwandlungsgesetz / UmwG (Verschmelzungen; Spaltungen) UmwG ordnet Gesamtrechtsnachfolge an daher keine Übermittlung personenbezogener Daten andere Ansicht: zwar Übermittlung, diese ist aber gerechtfertigt, da UmwG gegenüber BDSG vorrangig ( 1 Abs. 3 Satz 1 BSDG) Datenfluss an die neue Gesellschaft im Ergebnis nach beiden Ansichten unproblematisch zulässig 6

8 2 Datenschutzrechtliche Anforderungen beim Asset Deal Übermittlung liegt vor, sobald Kundendaten an den Erwerber weitergegeben oder vom Erwerber abgerufen oder eingesehen werden Übermittlung personenbezogener Daten nur zulässig, wenn Betroffener vorher eingewilligt hat oder Übermittlung aufgrund einer Rechtsvorschrift zulässig ist ( 4 Abs. 1 BDSG - sog. Verbot mit Erlaubnisvorbehalt) 8

9 2 Datenschutzrechtliche Anforderungen beim Asset Deal bei Asset Deals ist häufig die Übermittlung der Kundendatenbank gewollt typischerweise Stammdaten / Kontaktdaten (Name, postalische Adresse, ggf. -Adresse, Telefonnummer, ) u.u. weitergehende Daten, z.b. Konto-/Kreditkartendaten, Bestellhistorie, Interessenprofil, besondere Wünsche (z.b. bei Stammkunden ), Historie der im Rahmen der Kundenbetreuung stattgefundenen Kontakte, 9

10 2 Datenschutzrechtliche Anforderungen beim Asset Deal Einwilligung der Kunden liegt meist nicht vor Übermittlung aufgrund einer Rechtsvorschrift zulässig? 10

11 2 Datenschutzrechtliche Anforderungen beim Asset Deal 28 Abs. 3 Satz 2 BDSG: sog. Listendaten dürfen zu Werbezwecken auch ohne Einwilligung übermittelt werden sog. Listendaten: Name, postalische Adresse, Geburtsjahr nicht: Geburtsdatum, Telefonnummer, -Adresse, Konto- /Kreditkartendaten, Bestellhistorie, Was ist mit den Nicht-Listendaten? 11

12 2 Datenschutzrechtliche Anforderungen beim Asset Deal Übermittlung auf Grundlage einer Rechtsvorschrift? Veräußerer hat Interesse, Kundendaten zu verkaufen so z.b. im Insolvenzfall Allerdings keineswegs auf Insolvenzfälle beschränkt Erwerber hat oft Interesse, die Bestandskunden des Veräußerers selbst werblich anzusprechen aber: Gesetz erlaubt Übermittlung zu werblichen Zwecken (sofern keine Einwilligung der Betroffenen vorliegt) nur für sog. Listendaten (s.o.) sofern Übermittlungszweck die Werbungist, dürfen Nicht-Listendaten somit nicht übermittelt werden 12

13 2 Datenschutzrechtliche Anforderungen beim Asset Deal Lösung nur möglich, wenn die Daten außer für werbliche Zwecke noch in Wahrnehmung anderer berechtigter Interessen der beteiligten Unternehmen übermittelt werden Frage des Einzelfalls; Gesamtbetrachtung der Transaktion nötig hierbei: Fortführung des Unternehmens oder eines Unternehmensteils als (gegenüber der Werbung) eigenständiges Interesse denkbar 13

14 2 Datenschutzrechtliche Anforderungen beim Asset Deal Fortführung des Unternehmens setzt meist voraus, dass das gesamte Unternehmen oder zumindest ein Geschäftsbereich veräußert wird nur dann kann man in der Regel von Unternehmens(teil)veräußerung sprechen setzt wohl in der Regel die Veräußerung mehrerer signifikanter Vermögensgegenstände (Assets) voraus Veräußerung einzig der Kundendatenbank genügt jedenfalls nicht, da dabei meist Werbezweck im Vordergrund stehen wird (dazu s.o.) Frage des Einzelfalls: Maßgeblich ist, ob man bei einer Gesamtbetrachtung von einer Fortführung des Unternehmens oder zumindest eines signifikanten Geschäftsbereichs sprechen kann 14

15 2 Datenschutzrechtliche Anforderungen beim Asset Deal Bei Unternehmens(teil)fortführung kann Übermittlung u.u. mit berechtigten Interessen von Veräußerer und Erwerber legitimiert werden allerdings nur, soweit schutzwürdige Interessen der Betroffenen (Kunden) dem nicht entgegenstehen bzw. nicht überwiegen ( 28 Abs. 2 Nr. 1 bzw. Nr. 2 a BDSG) Wann das der Fall ist, sagt das Gesetz leider nicht. Fraglich bezgl. Kontoverbindungsdaten Unzulässig jedenfalls bei besonderen Arten personenbezogener Daten, z.b. Gesundheitsdaten! 15

16 2 Datenschutzrechtliche Anforderungen beim Asset Deal Auffassung des BayLDA: sog. Widerspruchslösung: Übermittlung (nur) zulässig, wenn die Betroffenen vorher über die geplante Übermittlung ihrer Daten informiert wurden, ihnen dabei ein ausreichend lang bemessenes Widerspruchsrecht (Regel: ca. 3 Wochen, jedoch Frage des Einzelfalls) eingeräumt wurde und sie nicht widersprochen haben. 16

17 2 Datenschutzrechtliche Anforderungen beim Asset Deal Kriterien der Widerspruchslösung korrekte Reihenfolge: erst Information mit Einräumung des Widerspruchsrechts; Übermittlung erst nach Ablauf der Widerspruchsfrist Potentieller Erwerber darf im Zeitpunkt der Information noch keine Verfügungsgewalt über die Daten haben. Nachträgliche Information der Kunden genügt nicht. 17

18 2 Datenschutzrechtliche Anforderungen beim Asset Deal Sonderproblem - u. Telefonwerbung Sonderproblem: Erwerber möchte die -Adressen und/oder Telefonnummern für eigene Werbezwecke nutzen Im Ergebnis - selbst bei Befolgung der Widerspruchslösung - nicht möglich (!) Grund: 7 Abs. 2 und Abs. 3 UWG: -Werbung nur mit ausdrücklicher Einwilligung des Adressaten zulässig Selbst eine vom Kunden dem Veräußerererteilte Einwilligung zur -Werbung hilft nicht, denn sie geht nicht auf den Erwerber über. 18

19 2 Datenschutzrechtliche Anforderungen beim Asset Deal Sonderproblem - u. Telefonwerbung Erworbene -Adressen u. Telefonnummern sind damit hinsichtlich Werbung totes Material. Anders bei Kunden, die zwischenzeitlich einen Vertrag mit dem Erwerber eingegangen sind: Gegenüber solchen Eigenkunden darf der Erwerber unter den Voraussetzungen des 7 Abs. 3 UWG -Werbung betreiben. 19

20 2 Datenschutzrechtliche Anforderungen beim Asset Deal Sonderfall bestehende Vertragsverhältnisse Bestehende Vertragsverhältnisse (z.b. Darlehen, Miete, Abonnements) können nur mit Zustimmung aller Vertragsparteien im Ganzen auf den Erwerber übertragen werden. Zustimmung des Kunden somit schon aus zivilrechtlichen Gründen nötig datenschutzrechtliche Problematik ist demgegenüber nur sekundär 20

21 2 Datenschutzrechtliche Anforderungen beim Asset Deal Sonderfall Forderungsabtretung Forderungen können zivilrechtlich auch ohne Zustimmung des Schuldners abgetreten werden Dürfen Daten des Schuldners an den Zessionar (Forderungserwerber) übermittelt werden? in der Regel ja ( 398 i.v.m. 402 BGB) u.u. aber nein, wenn Daten einem Berufsgeheimnis ( 203 StGB) unterfallen (z.b. Arzt, Rechtsanwalt) hier differenzierte Rechtsprechung, auch mit Unterschieden zwischen den einzelnen Berufsgruppen 21

23 3 Verantwortlichkeiten und Prüfpflichten Verantwortlichkeit Datenschutzrechtlich verantwortlich sind grundsätzlich sowohl Veräußerer als auch Erwerber (Es geht um übermitteln und erheben ). 23

25 4 Was sagt die Rechtsprechung? BAG, Urt. v , Az8 AZR 872/08 (Asset Deal von BenQ) Nur eine ordnungsgemäße Unterrichtung setzt die Widerspruchsfrist nach 613a Abs. 6 in Gang LAG München, Urt. v , Az6 Sa 872/07 Ein Unterrichtungsschreiben ist fehlerhaft und unvollständig isv 613a Abs. 5 BGB beim Fehlen der Angabe der Anschrift des Betriebserwerbers, der Angabe für den Grund des Übergangs und der näheren Ausgestaltung des zugrunde liegenden Rechtsgeschäfts 25

26 4 Was sagt die Rechtsprechung? LG Düsseldorf, Urt. v , Az5 O 288/06 u.a. Der Käufer einer Steuerberaterpraxis kann von dem Kaufvertrag zurücktreten, wenn der verkauften Praxis zum Zeitpunkt der Übergabe eine vereinbarte Beschaffenheit i.s.v. 434 BGBin Form der vereinbarten Ertragsfähigkeit (nachhaltiges jährliches Nettohonorar), bezogen auf den Fortbestand und den Umsatzwert der laufenden Mandate, fehlte. OLG Köln, Urt. v , AzI-6 70/09 Der Antragsgegnerin wird untersagt, im geschäftlichen Verkehr zum Zwecke des Wettbewerbs ehemalige eigene Kunden zum Zwecke der Werbung anzuschreiben, wenn sie hierbei die Information nutzt, dass diese zur Antragstellerin gewechselt sind, eine Einwilligung der Verbraucher in die Nutzung dieser Information nicht vorliegt. 26

28 5 Wenn s daneben geht: Bußgeldverfahren Doppelfunktion des BayLDA BayLDA als Bußgeldbehörde BayLDA als Aufsichtsbehörde Präsident Leitung Grundsatzfragen Öffentlichkeitsarbeit Geschäftsstelle Referat 1 Referat 2 Referat 3 Referat 4 Referat 5 Referat 6 Beschäftigtendatenschutz Videoüberwachung Banken Auskunfteien Werbung Auftragsdatenverarbeitung Kundenbindung Datenschutzorganisation Versicherungen Gesundheitswesen Freiberufliche Tätigkeiten Soziale Einrichtungen Internet Telemedien Geodatendienste Apps Industrie Handel Bußgeldverfahren Internationaler Datenverkehr Vereine Vermietung und Wohneigentum Technischer Datenschutz IT-Sicherheit 28

29 5 Wenn s daneben geht: Bußgeldverfahren Folgen bei Verstößen unzulässige Übermittlung -> Speicherung beim Erwerber ebenfalls unzulässig Erwerber muss die Kundendaten löschen (Ausnahme: Listendaten, s.o.) Datenschutzaufsichtsbehörde kann dies per Anordnung durchsetzen. zudem (häufig) Ordnungswidrigkeit Geldbuße bis zu ,- möglich 29

30 5 Wenn s daneben geht: Bußgeldverfahren Mögliche Adressaten für Bußgeld Geldbuße ist grundsätzlich gegen beide beteiligten Unternehmen denkbar. Geldbußen auch denkbar gegen die Personen, die die entsprechende unternehmerische Entscheidung getroffen haben. 30

31 5 Wenn s daneben geht: Bußgeldverfahren 31

33 6 und in Zukunft nach DS-GVO EU-Parlament Vorschlag EU-Kommission EU-Rat Standpunkt: Vorschlag: Standpunkt: Gemeinsamer Gesetzgeber: Parlament und Rat Trilog läuft seit 24. Juni 2016 Für BayLDA mit europaweiter Zuständigkeit für relevante bayerische Unternehmen wird s sicherlich nicht leichter/weniger 33

34 6 und in Zukunft nach DS-GVO Informationsmöglichkeit über Diskussionsstand zur DS-GVO unter 34

35 6 und in Zukunft nach DS-GVO 35

36 6 und in Zukunft nach DS-GVO Art. 6 DS-GVO Rechtmäßigkeit der Verarbeitung Kommission EU-Parlament Rat Artikel 6 Rechtmäßigkeit der Verarbeitung Artikel 6 Rechtmäßigkeit der Verarbeitung Artikel 6 Rechtmäßigkeit der Verarbeitung 1. Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere genau festgelegte Zwecke gegeben. b) Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, erforderlich oder zur Durchführung vorvertraglicher Maßnahmen, die auf Antrag der betroffenen Person erfolgen. 1. Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere genau festgelegte Zwecke gegeben. b) Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, erforderlich oder zur Durchführung vorvertraglicher Maßnahmen, die auf Antrag der betroffenen Person erfolgen. 1. Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: (a) Die betroffene Person hat ihre unmissverständliche Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere genau festgelegte Zwecke gegeben; (b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Antrag der betroffenen Person erfolgen; f) Die Verarbeitung ist zur Wahrung der berechtigten Interessen des für die Verarbeitung Verantwortlichen erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Dieser gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung. f) Die Verarbeitung ist zur Wahrung der berechtigten (f) Interessen des für die Verarbeitung Verantwortlichen oder, im Fall der Weitergabe, der berechtigten Interessen eines Dritten, an den die Daten weitergegeben wurden, die die berechtigten Erwartungen der betroffenen Person, die auf ihrem Verhältnis zu dem für die Verarbeitung Verantwortlichen beruhen, erfüllen, erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Dieser gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung. die Verarbeitung ist zur Wahrung der berechtigten Interessen des für die Verarbeitung Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. ( ). 36

37 6 und in Zukunft nach DS-GVO Art. 6 DS-GVO Rechtmäßigkeit der Verarbeitung Kommission EU-Parlament Rat Artikel 6 Rechtmäßigkeit der Verarbeitung Artikel 6 Rechtmäßigkeit der Verarbeitung Artikel 6 Rechtmäßigkeit der Verarbeitung 1. Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere genau festgelegte Zwecke gegeben. b) Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, erforderlich oder zur Durchführung vorvertraglicher Maßnahmen, die auf Antrag der betroffenen Person erfolgen. 1. Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere genau festgelegte Zwecke gegeben. b) Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, erforderlich oder zur Durchführung vorvertraglicher Maßnahmen, die auf Antrag der betroffenen Person erfolgen. f) Die Verarbeitung ist zur Wahrung der berechtigten Interessen des für die Verarbeitung Verantwortlichen erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, über-wiegen, insbesondere dann, wenn es sich f) Die Verarbeitung ist zur Wahrung der berechtigten Interessen des für die Verarbeitung Verantwortlichen oder, im Fall der Weitergabe, der berechtigten Interessen eines Dritten, an den die Daten weitergegeben wurden, die die berechtigten Erwartungen der betroffenen Person, die auf ihrem Verhältnis zu dem für die Verarbeitung Verantwortlichen beruhen, erfüllen, erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Dieser gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung. 1. Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: (a) Die betroffene Person hat ihre unmissverständliche Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere genau festgelegte Zwecke gegeben; (b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Antrag der betroffenen Person erfolgen; (f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des für die Verarbeitung Verantwort-lichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grund-freiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, über-wiegen, insbesondere 37

38 Vielen Dank für Ihr Interesse Alexander Filip Thomas Kranig Bayerisches Landesamt für Datenschutzaufsicht Promenade 27 (Schloss) Ansbach Telefon: (0981) Telefax: (0981) Webseite: