Übertragung von personenbezogenen Daten im Rahmen eines Asset Deals

Im Jahr 2021 hat der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit Bußgeldbescheide i.H.v. EUR 12.500 gegen zwei Energieversorger erlassen. Ein Energieversorger hatte seine Heizenergiesparte ausgegliedert und an einen anderen Energieversorger veräußert. Die betroffenen Kunden wurden über die Vertragsübergänge ihrer Strombelieferungsverträge informiert und ihnen wurde ein Widerspruchsrecht eingeräumt. Im Falle eines erklärten Widerspruchs sollten keine personenbezogenen Daten der Kunden an das neue Unternehmen übermittelt werden. Bei einer Vielzahl von Kunden wurden trotz ordnungsgemäß erklärtem Widerspruch die Strombelieferungsverträge migriert und damit erfolgte auch eine unrechtmäßige Übertragung der entsprechenden Kundendaten.

Da es sich bei der Übertragung von Kundendaten im Rahmen eines Asset Deals um eine rechtfertigungsbedürftige Datenverarbeitung handelt, muss ein Erlaubnistatbestand vorliegen, um ein Bußgeld zu vermeiden.

• Nach Art. 6 Abs. 1 lit. a DSGVO ist die Übertragung der Kundendaten zulässig, wenn der Betroffene einwilligt. Diese Einwilligung muss durch den Veräußerer vor der Datenübertragung eingeholt werden und den Anforderungen des Art. 4 Nr. 11 DSGVO genügen, wonach der Betroffene seine Einwilligung in die konkrete Datenübertragung an den Erwerber erteilen muss. Da bei der Verhandlung zum Asset Deal unklar ist, wie viele Kunden ihre Einwilligung in die Datenübertragung erteilen werden und regelmäßig davon auszugehen ist, dass die Resonanz auf derartige Anfragen nicht besonders hoch ist, stellt sich der Erlaubnistatbestand der Einwilligung in der Praxis als eher untauglich dar.
• Eine Datenübertragung ist auch zur Erfüllung eines bestehenden Vertragsverhältnisses, in dem die betroffene Person Vertragspartei ist, zulässig. Die Anwendbarkeit auf den Asset Deal ist umstritten. Zum einen wird vertreten, dass im Falle eines Asset Deals die Datenübertragung nur notwendig ist, um den Kaufvertrag zwischen Veräußerer und Erwerber zu erfüllen. Die von der Datenübertragung betroffene Person ist jedoch nicht Vertragspartei des Asset Deals. Zum anderen wird vertreten, dass bei Kundenvertragsübernahmen die Übertragung der Kundendaten schlichtweg erforderlich ist.
• Des Weiteren kommt der Erlaubnistatbestand des berechtigten Interesses in Betracht. Der Rückgriff auf diesen Erlaubnistatbestand ist von den Datenschutzaufsichtsbehörden grundsätzlich anerkannt. Die Datenschutzkonferenz hat 2019 in diesem Zusammenhang auch einen Katalog von Fallgruppen, die ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO begründen, herausgegeben, zwischen denen in der praktischen Handhabung zu unterscheiden ist:
  - Kundendaten bei laufenden Verträgen: Nach dem Katalog der Datenschutzkonferenz bedarf der Vertragsübergang nach § 415 BGB der zivilrechtlichen Genehmigung und in dieser ist dann auch die datenschutzrechtliche Zustimmung zum Übergang der erforderlichen Daten als Minus enthalten.
  - Bei Bestandskunden ohne laufende Verträge und letzter Vertragsbeziehung älter als drei Jahre ist nur eine eingeschränkte Übermittlung der Kundendaten möglich. Zwar dürfen die Daten übermittelt werden, jedoch dürfen sie nur wegen gesetzlicher Aufbewahrungsfristen genutzt werden.
  - Daten von Kunden bei fortgeschrittener Vertragsanbahnung; Bestandskunden ohne laufende Verträge und letzter Vertragsbeziehung jünger als drei Jahre können im Wege der Widerspruchslösung mit einer ausreichend bemessenen Widerspruchsfrist von ca. sechs Wochen übermittelt werden. Der Widerspruch sollte möglichst einfach gestaltet sein, beispielsweise im Online-Verfahren. Bankdaten sind von der Widerspruchslösung ausgenommen und bedürfen zur Übermittlung der ausdrückliche Einwilligung des Kunden.
  - Daten, die im Zusammenhang mit der Übertragung offener Forderungen gegen Kunden stehen, dürfen an den neuen Gläubiger übertragen werden. Dies gilt nicht, wenn die Forderungsabtretung durch Vereinbarung ausgeschlossen wurde.

Die genannten Fälle umfassen nicht die Übertragung von besonderen personenbezogenen Daten der Kunden (u. a. rassische u. ethnische Herkunft, politische Meinung, sexuelle Orientierung). Die Übertragung dieser Kundendaten bedarf der informierten Einwilligung durch den Betroffenen. Sofern die Kundendaten zulässig übertragen wurden, darf der Erwerber die Kundendaten nur zu den Werbemaßnahmen nutzen, denen der Kunde ursprünglich gegenüber dem Veräußerer zugestimmt hatte. Der Erwerber muss nach Übertragung der Daten darauf achten, seinen Informationspflichten nach Art. 14 DSGVO gegenüber den Kunden innerhalb von einem Monat nachzukommen.