Dass das Thema Datenschutz auch bei der Veräußerung von Unternehmen eine zentrale Rolle spielen kann, zeigt ein Verfahren, dass das Bayerische Landesamt für Datenschutzaufsicht kürzlich gegen zwei Unternehmen geführt hat. Es ging um die Veräußerung von Kundendaten eines Online-Shops, konkret um deren E-Mail-Adressen, im Wege eines Asset Deals. Sowohl der Verkäufer, der Betreiber eines Online-Shops, als auch der Erwerber der Daten wurden von den bayerischen Datenschützern dafür zur Verantwortung gezogen, dass sie nicht die Einwilligung der Kunden eingeholt hatten – und mussten am Ende dafür zahlen. Die gegen die Unternehmen verhängten Bußgelder lagen im fünfstelligen Bereich.

Asset Deal oder Share Deal

Im Gegensatz zum sogenannten Share Deal, bei dem der Käufer die Geschäftsanteile an der Gesellschaft erwirbt, kommt es beim Asset Deal zu einer Übertragung einzelner Wirtschaftsgüter auf den Käufer. Während beim Share Deal das Unternehmen nur den Inhaber wechselt, für den Kunden aber weiterhin „verantwortlich“ für seine Daten bleibt, findet beim Asset Deal eine Weitergabe („Übermittlung“) der Kundendaten vom Verkäufer auf den Käufer statt.

Übermittlung ohne Einwilligung

E-Mail-Adressen gehören zu den „personenbezogenen Daten“, die nach dem Datenschutzrecht geschützt sind. Hierunter fallen darüber hinaus im Wesentlichen alle Angaben, die beim E-Commerce erhoben werden, um Bestellungen anzunehmen und abzuwickeln, und darüber hinaus die gesamte „Kaufhistorie“ eines Kunden. Aber auch Angaben, die im Rahmen des Tracking oder Retargeting anfallen, weisen in vielen Fällen Personenbezug auf.

Nach dem deutschen Datenschutzrecht gilt das sogenannte Verbot mit Erlaubnisvorbehalt. Datenerhebungen, -verarbeitungen und -nutzungen, wozu auch die „Datenübermittlung“ an einen Dritten (Erwerber) gehört, sind nur zulässig, wenn von Gesetzes wegen erlaubt oder wenn der Kunde seine Einwilligung erteilt hat.

Da es im vorliegenden Fall keine gesetzliche Erlaubnis für die Übermittlung der Kundendaten an den Erwerber gab, war für die Übermittlung der E-Mail-Adressen die Einwilligung der Kunden erforderlich. Die Kunden hätten nach Auffassung der Bayerischen Datenschutzaufsicht daher entweder explizit nach ihrer Einwilligung gefragt werden müssen (sogenanntes Opt-in) oder ihnen hätte zumindest ein Widerspruchsrecht eingeräumt werden müssen, nach dem sie auf die geplante Datenübermittlung hingewiesen wurden (sogenanntes Opt-out). Macht ein Kunde von diesem Widerspruchsrecht gebraucht, ist die Datenübermittlung unzulässig.

E-Mail-Werbung

Ein weiteres Thema sind in diesem Zusammenhang die sogenannten Werbeeinwilligungen der Kunden, also Einwilligungserklärungen für Werbung, die der Kunde im Rahmen seiner Bestellung im Internet erteilt (zum Beispiel Newsletter-Opt-in). Solche Werbeeinwilligung gelten nicht automatisch auch zugunsten des Erwerbers des „Kundenstamms“. In der Regel sind sie auf E-Mail-Werbung oder Werbeanrufe des Online-Shop Betreibers beschränkt. Eine solche Beschränkung ist auch rechtlich angezeigt, denn der Kunde muss „für den konkreten Fall“ einwilligen. Dies bedeutet, dass der Kunde auch wissen muss, welches Unternehmen Werbung an ihn schicken darf.

Dies hat zur Konsequenz, dass der Erwerber der Kundendaten erneut deren Werbeeinwilligungen einholen muss, bevor er diesen zum Beispiel seinen Newsletter zuschicken darf. Tut er dies nicht, handelt er unlauter und setzt sich dem Risiko von Unterlassungsansprüchen und Abmahnungen aus.

Best Practice: Einwilligung der Kunden

Es ist davon auszugehen, dass die datenschutzrechtlichen Aufsichtsbehörden verstärkt ein Augenmerk auf derartige Transaktionen richten werden. Es empfiehlt sich daher dringend, vor Vollzug der Transaktion die Einwilligung der Kunden in die Übermittlung ihrer Daten an den Erwerber einzuholen. Dabei ist die Widerspruchslösung (Opt-out) das Mittel der Wahl.

Die damit verbundene Unsicherheit, dass nicht alle Kundendaten auf den Erwerber übertragen werden können, sowie die durch die Einräumung des Widerspruchsrechts entstehende zeitliche Verzögerungen bei der Durchführung der Transaktion sollten bei der Gestaltung des Kaufvertrags (Asset Purchase Agreement) berücksichtigt werden.

Vertiefte Ratschläge rund ums Thema Recht bei E-Commerce bekommen Teilnehmer des Workshops von CMS Hasche Sigle am 12. Oktober 2015 beim Gründerszene-E-Commerce Day.

Bild: Marilyn Nieves / Getty Images