Unternehmensnachfolge – Wie war das noch gleich mit dem Datenschutz?
Wer sein Unternehmen an einen Nachfolger überträgt muss neben Zivilrecht, Arbeitsrecht, Gesellschaftsrecht und Steuerrecht auch das Datenschutzrecht im Blick behalten.
Eine Erleichterung hat die Datenschutzkonferenz (DSK) am 11. September 2024 mit ihrem Beschluss zur Verarbeitung personenbezogener Daten bei Asset Deals geschaffen.
Der Beschluss legt zunächst die Unterschiede zwischen einem Asset Deal und einem Share Deal dar: Bei einem Share Deal werden lediglich Anteile am Unternehmen übertragen. Selbst wenn dies 100 Prozent der Anteile betrifft, bleibt der Rechtsträger und damit der datenschutzrechtlich Verantwortliche identisch. Mangels Änderung in der Person des Verantwortlichen erfolgt hier grundsätzlich keine Übermittlung personenbezogener Daten.
Ein Asset Deal umfasst hingegen die Übertragung einzelner Vermögenswerte (Assets), wie beispielsweise Kundenstämme, Maschinen oder Markenrechte. Es findet somit auch eine Übermittlung personenbezogener Daten statt, die einer passenden Rechtsgrundlage nach Artikel 6 Datenschutzgrundverordnung (DSGVO) bedarf.
In ihrem Beschluss unterscheidet die Datenschutzkonferenz im Hinblick auf die Datenübermittlung bei Asset Deals zwischen Datenübermittlungen im Rahmen der vorvertraglichen Phase (Due Diligence) sowie der Arten der übermittelten personenbezogenen Daten - Kundendaten, Beschäftigtendaten und Lieferantendaten - und stellt die möglichen Rechtsgrundlagen detailliert dar.
Zusätzlich zur Ermittlung der korrekten Rechtsgrundlage müssen die weiteren Vorgaben der Datenschutzgrundverordnung (DSGVO) beachtet werden. Im Einklang mit Artikel 14 DSGVO müssen sowohl Veräußerer als auch Erwerber die Betroffenen rechtzeitig über die Verarbeitung ihrer Daten informieren. Jeder Verantwortliche, der personenbezogene Daten verarbeitet, muss ein DSGVO-konformes Datenschutzmanagementsystem nutzen, das auch das Führen eines Verarbeitungsverzeichnisses nach Artikel 30 DSGVO verlangt. Gleichzeitig müssen technische und organisatorische Maßnahmen nach Artikel 32 DSGVO umgesetzt werden, um die Sicherheit der Datenübertragung und -verarbeitung zu gewährleisten. Dies kann unter anderem durch den Einsatz von Verschlüsselungstechnologien, Anonymisierungstools, ein Zugriffs- und Berechtigungssystem und Auftragsverarbeiterkontrolle geschehen.
Wenn eine Unternehmensnachfolge im Rahmen eines Asset Deals abgewickelt wird, muss der Datenschutz zwingend mit bedacht werden. Die Mitarbeiter der IHK Dresden stehen Ihnen gern für eine Erstberatung zur Verfügung.