26. März 2026
Beim Verkauf eines Unternehmens stellt sich regelmäßig die Frage, in welchem Umfang personenbezogene Daten an den Erwerber übergehen dürfen. Die Datenschutzaufsichtsbehörden haben dazu umfangreich Position bezogen (Beschluss der Datenschutzaufsichtsbehörden vom 11.9.2024). Einschlägige Rechtsprechung gibt es bislang hingegen kaum bzw. nur in Randbereichen. Der nachstehende Artikel gibt einen Überblick zum Thema, mit Fokus auf Kundendaten.
Inhalt
Vorfrage: „Asset Deal“ oder „Share Deal“
Kundendaten – laufende Verträge
Kundendaten – beendete Verträge
Kundendaten – offene Forderungen
Besondere Kategorien von Daten
Werbung
Informationspflicht gegenüber den Betroffenen
Weitere Datenarten und Sonderfälle
Fazit und Zusammenfassung
Vorfrage: „Asset Deal“ oder „Share Deal“
Werden Geschäftsanteile an einer eigenständigen juristischen Einheit, also bspw. an einer GmbH, übertragen (sog. „Share Deal“), so bleibt diese Einheit verantwortliche Stelle im datenschutzrechtlichen Sinne. Der bloße Gesellschafterwechsel führt daher regelmäßig nicht zu einer Übermittlung personenbezogener Daten an einen Dritten, so dass einer fortgesetzten Verarbeitung dieser Daten im Grundsatz nichts entgegensteht. Besonderheiten können sich bspw. dann ergeben, wenn die Daten nach der Unternehmensveräußerung in einem Konzern weitergegeben werden sollen.
Anders liegt die Sache dann, wenn nicht Geschäftsanteile an einer eigenständigen juristischen Einheit, sondern einzelne Vermögensgegenstände veräußert werden (sog. „Asset Deal“). Der Asset Deal ist also insbesondere für Unternehmensveräußerungen von Einzelunternehmen und Personengesellschaften relevant. Werden beim Asset Deal Kundendaten, Lieferantendaten oder Beschäftigtendaten übertragen, erfolgt eine Übermittlung an einen neuen Verantwortlichen im datenschutzrechtlichen Sinne. Eine solche Übermittlung bedarf für ihre Zulässigkeit einer Rechtsgrundlage (Vertragserfüllung, berechtigtes Interesse und/oder Einwilligung) und wird im Folgenden erörtert.
Kundendaten – laufende Verträge
Soweit der Erwerber in laufende Verträge des Veräußerers mit den Kunden des Unternehmens eintritt, dürfen personenbezogene Daten in dem Umfang an den Erwerber übermittelt werden, wie es zur Erfüllung dieser Verträge – einschließlich noch nicht verjährter Ansprüche bspw. aus Gewährleistung oder Garantie – erforderlich ist. Rechtsgrundlage ist hier Art. 6 Abs. 1 Buchst. b DSGVO („Vertragserfüllung“).
Der Eintritt in laufende Verträge des Veräußerers bedarf zivilrechtlich der Zustimmung des Kunden. Aber auch soweit der Erwerber sich lediglich dem Veräußerer gegenüber zur Erfüllung von Verpflichtungen aus laufenden Verträgen verpflichtet, dürfen die dafür erforderlichen personenbezogenen Daten der Kunden in der Regel übermittelt werden – insoweit greift in der Regel die Rechtsgrundlage des Art. 6 Abs. 1 Buchst. f DSGVO („berechtigtes Interesse“).
Kundendaten – beendete Verträge
Soll der Erwerber Kundendaten aus beendeten Verträgen zur Erfüllung der gesetzlichen Aufbewahrungsfristen des Veräußerers übernehmen (gesetzlich zur Aufbewahrung verpflichtet bleibt insoweit der Veräußerer), so kann dies im Wege eines Auftragsverarbeitungsvertrages erfolgen; dabei kommt es also gar nicht zu einer „Übermittlung“ der Daten im datenschutzrechtlichen Sinne, sondern der Erwerber verarbeitet die betreffenden Kundendaten im Auftrag des Veräußerers für dessen Aufbewahrungszwecke. Zu eigenen Zwecken darf der Erwerber die so übernommenen Daten freilich nicht nutzen bzw. nur im Falle einer entsprechenden Einwilligung der betroffenen Kunden.
Kundendaten – offene Forderungen
Eine Übermittlung von Kundendaten für Zwecke der Abtretung von offenen Forderungen des Veräußerers an den Erwerber oder zwecks Ermächtigung des Erwerbers zum Einzug offener Forderungen ist von der Rechtsgrundlage des Art. 6 Abs. 1 Buchst. f DSGVO („berechtigtes Interesse“) abgedeckt.
Besondere Kategorien von Daten
Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO wie beispielsweise Gesundheitsdaten von Kunden dürfen nur im Wege einer Einwilligung nach Maßgabe von Art. 9 Abs. 2 Buchst. a DSGVO vom Veräußerer an den Erwerber übermittelt werden.
Bei besonderen Kategorien personenbezogener Daten von Beschäftigten ist eine solche Einwilligung gemäß § 26 Abs. 3 BDSG in bestimmten Fällen entbehrlich.
Werbung
Gilt eine erteilte Werbeeinwilligung, bspw. für Werbung per E-Mail oder per Telefon, lediglich gegenüber dem Veräußerer und soll der Erwerber personenbezogene Daten des Adressaten übernehmen bzw. seinerseits für die einwilligungsbedürftigen Werbezwecke nutzen können, so ist dafür grundsätzlich eine Einwilligung des Betroffenen erforderlich. Die Einwilligung wäre vom Veräußerer beim Betroffenen anzufragen. Die Rücklaufquote solcher Anfragen fällt freilich häufig gering aus.
Teilweise wird – jedenfalls für E-Mail-Einwilligungen – vertreten, dass eine einmal erteilte Werbeeinwilligung nicht nur gegenüber dem Betreiber, sondern auch gegenüber einem späteren Erwerber des Unternehmens gilt, wenn die Einwilligung „geschäftsbezogen“ erteilt werde, also im Hinblick auf das Geschäft des Betreibers (bspw. Online-Shop) statt auf die Person des Betreibers. Dabei wiederum wird teilweise verlangt, dass dies im Wortlaut der Einwilligung zum Ausdruck kommen muss, etwa indem die erteilte Einwilligung sich ausdrücklich auch auf „Rechtsnachfolger“, „jeden Betreiber des Geschäfts“ o.ä. beziehen muss. Teilweise wird weitergehend aber auch vertreten, dass eine Werbeeinwilligung im Regelfall auch ohne, dass dies im Wortlaut der Einwilligung besonders zum Ausdruck kommen muss, als geschäftsbezogen ausgelegt werden könne, da der Einwilligende sich über die Person des Betreibers in der Regel keine Gedanken mache. Dieser weitestgehenden Auffassung zufolge wäre also eine Erteilung der Einwilligung gegenüber dem Erwerber des Unternehmens im Regelfall entbehrlich.
Die Ausnahme des § 7 Abs. 3 UWG, wonach eine E-Mail-Adresse, die ein Unternehmer im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung von dem Kunden erhalten hat, unter bestimmten Voraussetzungen auch ohne Einwilligung verwendet werden darf, findet keine Anwendung; denn diese Ausnahme kann nur gegenüber demjenigen gelten, der die E-Mail-Adresse erhoben hat, also nur gegenüber dem Veräußerer.
Soweit Werbung auch ohne Werbeeinwilligung zulässig ist – so bspw. Werbung per Post -, kann der Erwerber die gemäß o.g. Ziffer 2. und 3. übernommenen Kundendaten in der Regel gleichermaßen für Werbezwecke nutzen wie dies auch durch den Veräußerer zulässig gewesen wäre.
Werden Kundendaten losgelöst vom Unternehmen als einziges Asset veräußert, gelten Besonderheiten, dazu siehe den eingangs genannten Beschluss der Datenschutzaufsichtsbehörden vom 11.9.2024
Was die Werbung per Telefon anbelangt, sei noch darauf hingewiesen, dass dafür auch eine mutmaßliche Einwilligung ausreicht, sofern es sich bei dem Betroffenen nicht um einen Verbraucher handelt.
Informationspflicht gegenüber den Betroffenen
Der Erwerber muss den Kunden und/oder sonstigen Personen, deren personenbezogene Daten er erhält, innerhalb angemessener Frist, spätestens innerhalb eines Monats, die Informationen nach Art. 14 Abs. 1 bis 4 DSGVO erteilen, sofern keine Ausnahme gemäß Art. 14 Abs. 5 DSGVO greift; eine solche Ausnahme wäre bspw. der Fall, dass die betroffene Person bereits über die Informationen verfügt (Art. 14 Abs. 5 Buchst. a DSGVO).
Zu den erforderlichen Informationen zählt u.a. der Hinweis auf das Widerspruchsrecht des Betroffenen.
Weitere Datenarten und Sonderfälle
Diverse weitere Fragestellungen wie die Übermittlung von Kundendaten aus Verträgen, die sich noch in der Anbahnung befinden, von Beschäftigtendaten, von Daten von Lieferanten bzw. von Beschäftigten der Lieferanten oder von der Übermittlung personenbezogener Daten im Rahmen einer Due Diligence werden im eingangs genannten Beschluss der Datenschutzaufsichtsbehörden vom 11.9.2024 erörtert.
Fazit und Zusammenfassung
Die Frage der Zulässigkeit einer Übermittlung personenbezogener Daten bei einer Unternehmensveräußerung stellt sich im Grundsatz nur bei einem „Asset-Deal“, nicht aber bei einem „Share-Deal“. Denn nur bei einem Asset-Deal findet eine Übermittlung von personenbezogenen Daten auf einen anderen Rechtsträger statt.
Die Zulässigkeit der Übermittlung der Daten bei einem Asset-Deal, insbesondere ob eine solche Übermittlung ohne Einwilligung zulässig ist, hängt von den jeweiligen Betroffenen (Kunden, Mitarbeiter etc.), dem jeweiligen Kontext und der Art der Daten ab, die übermittelt werden sollen.
Eine offene und in der Praxis wichtige Frage ist, ob und ggf. unter welchen Voraussetzungen Werbeeinwilligungen auf den Empfänger „übergehen“ können.
Soweit personenbezogene Daten der Betroffenen übermittelt werden dürfen, muss der Empfänger die Betroffenen in der Regel über seine Verarbeitung der Daten und ihr Widerspruchsrecht informieren.
Rechtsanwalt Marc Dimolaidis LL.M.
WEITERE ARTIKEL ZUM DATENSCHUTZRECHT: