Читать книгу: «Datenschutz bzgl. Kundendaten bei Unternehmenstransaktionen unter besonderer Berücksichtigung der DSGVO», страница 8

B. Beteiligte Akteure und ihre Interessenspositionen

Angesichts der verschiedenen Akteure, die an einer Unternehmenstransaktion beteiligt sind, stehen sich dabei auch unterschiedliche Interessenspositionen gegenüber. Den Schwerpunkt einer Unternehmenstransaktion bilden hauptsächlich das Zielunternehmen selbst und potenzielle Erwerber. Sie betrifft aber ebenso die Mitarbeiter und Kunden des Unternehmens. Üblicherweise wirken daneben weitere vielfältige Akteure am Transaktionsprozess mit (wie etwa Berater oder Rechtsanwälte), deren konkreter Einsatz jedoch vom Einzelfall der Transaktion abhängt.

Wird der Untersuchungsgegenstand bei einer Unternehmenstransaktion auf die Bewertung des Kundendatenschutzes beschränkt, stehen die wichtigsten Akteure in einem Dreiecksverhältnis zueinander.283 Zum einen existiert eine meist ebenbürtige Beziehung (außer im Insolvenzfall) zwischen dem Zielunternehmen und dem Erwerber, die von wirtschaftlichen und finanziellen Aspekten sowie Verhandlungstaktik geprägt ist. Zwar versucht jede Seite ihre eigenen Interessen bestmöglich durchzusetzen, jedoch nur vor dem Hintergrund, dass die Parteien grundsätzlich mit positiven Erwartungen an die Verhandlungen herantreten und gerade beiderseitig ein Erfolg der Transaktion angestrebt wird. Zum anderen sehen sich diese Hauptakteure jeweils mit den Interessen der Kunden des Zielunternehmens konfrontiert, die gegenüber dem Unternehmen von Natur aus eine schwächere Position einnehmen. Unweigerlich kollidieren gleich mehrere Interessen miteinander, die von den beteiligten Akteuren gegenseitig zu berücksichtigen und in einen bestmöglichen Ausgleich zu bringen sind.

Gegenstand einer solchen Gegenüberstellung sind neben ökonomischen Erwägungen insbesondere primärrechtlich verankerte Interessenspositionen der beteiligten Akteure, wobei die Schutzgüter insbesondere bei den Grundrechten der GRCh zu suchen sind.284 Die Zulässigkeit des Kundendatentransfers von einem zum anderen Unternehmen im Rahmen einer Transaktion steht stets zwischen dem Schutz personenbezogener Daten nach Art. 8 GRCh und Art. 16 Abs. 1 AEUV und der wirtschaftlichen Betätigungsfreiheit der Unternehmen aus Art. 16 GRCh.285 Transaktionsgeschäfte zwischen Zielunternehmen und Erwerber werden daher nicht nur von EU-Grundrechten geschützt, sondern gleichzeitig auch von kollidierenden EU-Grundrechten der Kunden begrenzt.

I. Das Zielunternehmen und seine geschützten Interessen

Das Zielunternehmen verfolgt mit einer anstehenden Transaktion vornehmlich eigene geschäftliche Interessen und verwirklicht damit das Grundrecht auf unternehmerische Freiheit, das über Art. 16 GRCh geschützt ist.286 Eine unternehmerische Tätigkeit liegt vor, wenn „Güter oder Dienstleistungen auf einem bestimmten Markt“287 angeboten werden.288 Der umfangreiche Schutzumfang der unternehmerischen Freiheit reicht von der Aufnahme der Tätigkeit über deren Ausübung bis hin zur Beendigung.289 Es „umfasst insbesondere das Recht jedes Unternehmens, in den Grenzen seiner Verantwortlichkeit für seine eigenen Handlungen frei über seine wirtschaftlichen, technischen und finanziellen Ressourcen verfügen zu können.“290 Als Einzelausprägung kann der Unternehmer als Herr seines Unternehmens daher auch im Rahmen seiner Dispositionsfreiheit die Organisation und Gestaltung des Unternehmens eigenverantwortlich bestimmen und Unternehmenstransaktionen verwirklichen.291

Gleichzeitig gehört ebenso der Umgang mit personenbezogenen Daten zur grundsätzlichen Freiheit eines Unternehmens, sich unternehmerisch zu betätigen.292 So gewährt auch ausdrücklich die DSGVO die unternehmerische Freiheit, vgl. Erwägungsgrund 4 Satz 3. Deshalb stellt es sich als ein legitimes wirtschaftliches Ziel des Unternehmers dar, nicht nur personenbezogene Kundendatensätze in datenschutzrechtlich rechtmäßiger Weise zu erheben und zu speichern, sondern den vorhandenen Kundenstamm auch in Anbetracht des heutigen digitalen Zeitalters wirtschaftlich zu verwerten.293 Neben dem klassischen Adresshandel kann dieses wirtschaftliche Interesse des Zielunternehmens im Zuge einer Unternehmenstransaktion verwirklicht werden. Entweder kommt das wirtschaftliche Interesse der Daten indirekt zum Ausdruck, indem die Kundendaten als notwendiger Bestandteil von Vertragsbeziehungen bei einer Unternehmenstransaktion übertragen werden, oder direkt, wenn Kundendaten als werthaltiger Erwerbsgegenstand der Unternehmenstransaktion monetarisiert werden. In beiden Konstellationen ist es grundsätzlich anerkannt, dass die Informationspreisgabe der Kundendaten ein gemeines Mittel darstellt, um den Kaufpreis des Unternehmens zu steigern.

Damit gehört nicht nur die Durchführung einer Unternehmenstransaktion selbst, sondern ebenso die damit einhergehende Veräußerung der Kundendaten zu einer der vielfältigen Facetten der geschützten wirtschaftlichen Betätigungsfreiheit des Zielunternehmens aus Art. 16 GRCh.294

II. Potenzielle Unternehmenserwerber

Das Grundrecht auf unternehmerische Freiheit aus Art. 16 GRCh schützt ebenfalls das Unternehmensinteresse des Erwerbers am Erwerb des Zielunternehmens einschließlich aller Kundendaten.

In der Regel verfolgt der Erwerber das Ziel das erworbene Unternehmen fortzuführen.295 Sollen alle Vertragsbeziehungen aufrechterhalten bleiben, hat der Erwerber ein großes Interesse daran, dass ihm die Kundendaten übermittelt werden, denn diese sind untrennbar mit den Verträgen verbunden und daher notwendig, um den Geschäftsbetrieb fortzusetzen.296 Kernanliegen des Erwerbers kann es darüber hinaus auch sein, durch den Erwerb eines gesamten Unternehmens weitere Kundendaten zu erwerben. Dies ist dann von Relevanz, wenn der Fokus eines Unternehmens auf der Akquisition von Neukunden liegt, was meist in zwei Phasen eines Geschäftszyklus vorkommt. Zum einen ist für Unternehmen zu Beginn eines Produkts- oder Unternehmenszyklus ein Anstieg ihres Kundenbestandes erwünscht. Zum anderen ist die Akquirierung von Neukunden dann notwendig, wenn das Umsatzpotenzial ihrer bestehenden Kunden nahezu vollständig erschöpft ist (also zum Ende eines Produkt- oder Unternehmenszyklus).297 Häufig findet erst in dieser Spätphase ein Erwerb von Kundendaten eines anderen Unternehmens statt.298

Wenngleich der Erwerber mit einer Unternehmenstransaktion andere Interessen als das Zielunternehmen verfolgt, ist dieses berechtigte wirtschaftliche Interesse an einer ordnungsgemäßen Durchführung der Unternehmenstransaktion ebenso schützenswert im Rahmen von Art. 16 GRCh.299

III. Der Kunde des Zielunternehmens

Diesen wirtschaftlichen Unternehmensinteressen des Zielunternehmens und des Erwerbers stehen die Interessen der Kunden gegenüber. In der Regel widerspricht es dem Kundeninteresse erheblich, dass Unternehmen ihre Daten an Dritte weitergeben (wie etwa im Rahmen einer Unternehmenstransaktion), da durch eine solche Weitergabe ihr Recht auf Schutz der sie betreffenden Daten nachhaltig verletzt würde.300 Ziel der DSGVO ist es gem. Art. 1 Abs. 2 DSGVO, die Grundrechte und Grundfreiheiten natürlicher Personen zu schützen, die sich nach der GRCh und der EMRK bestimmen.301 Im europäischen Kontext wird durch das Primärrecht der EU ein solches grundrechtliches Schutzniveau in Art. 8 GRCh302 und Art. 16 Abs. 1 AEUV besonders gewährleistet.303 Damit wurde nicht nur der Schutz personenbezogener Daten ausdrücklich als Regelungsauftrag und -kompetenz ausformuliert, sondern gleichzeitig der Datenschutz zu einem expliziten Menschenrecht erklärt. Geschützt wird jedes personenbezogene Datum. Somit ist grundsätzlich die Datenhoheit des Kunden als Träger des Grundrechts anerkannt.304 Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden (vgl. Art. 8 Abs. 2 GRCh). Jeder Datenverarbeitungsschritt – wie etwa auch im Falle einer Übermittlung der Kundendaten vom Zielunternehmen an den Erwerber im Rahmen einer Unternehmenstransaktion – ist als Eingriff in das Recht auf Schutz personenbezogener Daten zu verstehen.305 Für die Rechtfertigung eines solchen Eingriffs statuiert das Verbot mit Erlaubnisvorbehalt eine enge Schranke.

Schließlich wurde das Recht auf Schutz personenbezogener Daten durch den Erlass der DSGVO sekundärrechtlich konkretisiert. Nach Ansicht der Europäischen Kommission wird die DSGVO „das Individualrecht auf Schutz personenbezogener Daten besser schützen und trägt damit der Natur des Datenschutzes als Grundrecht der Europäischen Union Rechnung.“306 Dabei ist aber zu beachten, dass „das Recht auf Schutz der personenbezogenen Daten [...] kein uneingeschränktes Recht [ist]; es muss im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden“, vgl. Erwägungsgrund 4 Satz 2. Vor diesem Hintergrund sind die Interessen der Kunden, die von einer Unternehmenstransaktion berührt werden, nicht vorbehaltlos zu wahren.

IV. Zwischenergebnis: Die der DSGVO immanenten gegenüberstehenden Interessenspositionen

Da die datenschutzrechtlichen Regelungen der DSGVO eben nicht nur vorgeben, dass das Recht auf Schutz personenbezogener Daten des Einzelnen zu wahren ist, sondern ebenso anderen betroffenen Grundrechten angemessen Rechnung getragen werden muss,307 sind im Rahmen von Unternehmenstransaktionen die genannten Grundrechte auf unternehmerische Freiheit aus Art. 16 GRCh und das Recht auf Schutz personenbezogener Daten aus Art. 8 GRCh und Art. 16 AEUV in einen schonenden Ausgleich zu bringen. Im Falle einer Grundrechtskollision zwischen Privatrechtssubjekten muss eine Gewichtung durch verfassungskonforme Abwägung der schutzwürgen Interessen erfolgen.308

Art. 6 DSGVO spiegelt eine solche Abwägung der schutzwürdigen Interessen wider. Der europäische Gesetzgeber hat ausdrücklich den Fall einer Grundrechtskollision im Privatrechtsverhältnis in der Erlaubnisnorm des Art. 6 Abs. 1 lit. f DSGVO berücksichtigt, wonach sich berechtigte Interessen des Verantwortlichen oder eines Dritten und Interessen oder Grundrechte sowie Grundfreiheiten der betroffenen Person bei der Verarbeitung personenbezogener Daten gegenüberstehen. Die Schutzperspektive der Kunden ist dabei stets im Zusammenhang mit der Interessenperspektive des Unternehmens zu betrachten. Denn in Art. 1 Abs. 1 DSGVO hebt der europäische Gesetzgeber hervor, dass die DSGVO nicht bloß dem Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten dient, sondern eben auch zum freien Verkehr solcher Daten beiträgt. Zwar bleibt es Zielsetzung der in der DSGVO enthaltenen Vorschriften, die Grundrechte und Grundfreiheiten natürlicher Personen zu schützen, vgl. Art. 1 Abs. 2 DSGVO. Vor dem Hintergrund der Notwendigkeit eines reibungslosen Funktionierens des Binnenmarktes darf jedoch der freie Verkehr personenbezogener Daten in der Union nicht aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten eingeschränkt oder verboten werden (Art. 1 Abs. 3 DSGVO, Erwägungsgrund 13 Satz 2). Damit wird der heutigen datengetriebenen Wirtschaft Rechnung getragen, die ohne einen offenen und funktionierenden Datenverkehr nicht mehr auskommen würde. Beim Schutz und der Ausübung des Rechts auf Schutz personenbezogener Daten hat dieser Aspekt Berücksichtigung zu finden.309 Dieser moderne Ansatz muss sich in Unternehmenstransaktionen und der damit verbundenen Übertragung von Kundendaten widerspiegeln. Es darf nicht der Anspruch sein, um des höchstmöglichen Schutzes der Grundrechte des Kunden willens jeglichen Datenverkehr zu verhindern, sondern solche Datenströme im Einklang mit der DSGVO auszugestalten, sodass Unternehmen ohne datenschutzrechtliche Verstöße übertragen werden können.

283 Das Verhältnis zwischen betroffener Person bzw. Verantwortlichem und Datenschutzbehörde bleibt im Wesentlichen außer Betracht. Der Fokus liegt bei Unternehmenstransaktionen auf dem privatrechtlichen Verhältnis zwischen betroffener Person und etwaigen Verantwortlichen. 284 Zur GRCh als Bestandteil des Primärrechts siehe S. 20ff.; zur sog. Drittwirkung der unionsrechtlichen Grundrechte zwischen Privatrechtssubjekten siehe m.w.N. Jarass, GRCh, Art. 51, Rn. 36f. 285 Zum Grundrechtsschutz juristischer Personen in der GRCh im Allgemeinen Goldhammer/Sieber, JuS 2018, 22 (23ff.); explizit in Bezug auf Art. 16 GRCh m.w.N. Wollenschläger, in: von der Groeben/Schwarze/Hatje, Europäisches Unionsrecht, GRC, Art. 16, Rn. 6; Bernsdorff, in: Meyer/Hölscheidt, Charta der Grundrechte der EU, Art. 16, Rn. 18. 286 Auf nationaler Ebene wird die Unternehmerfreiheit als Ausprägung wirtschaftlicher Entfaltungsfreiheit in Art. 2 Abs. 1 GG verortet, vgl. m.w.N. Di Fabio, in: Maunz/Düring, GG, Art. 2 Abs. 1, Rn. 126. 287 So etwa zu Art. 101 AEUV (bzw. ehemalig Art. 82 EGV) EuGH, Rs. 49/07, MOTOE, Slg. 2008, I-04863, Rn. 22. 288 Der sachliche Schutzbereich ist in Anlehnung an den funktionalen Unternehmensbegriff nach Art. 101 AEUV des EU-Wettbewerbsrechts zu verstehen; Wollenschläger, in: von der Groeben/Schwarze/Hatje, Europäisches Unionsrecht, GRC, Art. 16, Rn. 7. 289 Bernsdorff, in: Meyer/Hölscheidt, Charta der Grundrechte der EU, Art. 16, Rn. 11. 290 EuGH, Rs. 134/15, Lidl GmbH & Co. KG gegen Freistaat Sachsen, ECLI:EU:C:2016:498, Rn. 27; EuGH, Rs. 314/12, UPC Telekabel Wien GmbH, ECLI:EU:C:2014:192, Rn. 49. 291 Vgl. EuGH, Rs. 413/06, Schlussanträge der Generalanwältin Kokott vom 13.12.2007, Slg. 2008, I-04951, Rn. 214; Jarass, GRCh, Art. 16, Rn. 10; Gundel, ZHR 2016, 323 (350). 292 GDD-Ratgeber, Werbung und Kundendatenschutz nach der Datenschutz-Grundverordnung, 2016, S. 10; umgekehrt ist auch der Schutz von Geschäftsgeheimnissen und Geschäftsdaten juristischer Personen, der nicht über Art. 8 GRCh gewährleistet wird, eine weitere Ausprägung der unternehmerischen Freiheit nach Art. 16 GRCh m.w.N. Gundel, ZHR 2016, 323 (353f.). 293 Vgl. Wehmeyer, PinG 2014, 183 (183). 294 Vgl. Wehmeyer, PinG 2016, 215 (216). 295 Thiessen, in: MüKoHGB, § 25 Anh., Rn. 2. 296 Vgl. Uwer/Jungkind, in: Meyer-Sparenberg/Jäckle, Beck’sches M&A-Handbuch, § 77, Rn. 1. 297 Wehmeyer, PinG 2014, 183 (183). 298 Dennoch ist nicht ausgeschlossen, dass bei ausreichender Finanzstärke auch in einer frühen Phase durchaus Kundendaten erworben werden, um möglichst schnell die eigene Marktpräsenz zu etablieren. Aufgrund der mit dem Neukundenerwerb einhergehenden, hohen finanziellen Belastung versuchen Unternehmen aber in der Regel in der Zwischenphase ihre Geschäftsbeziehungen zu ihren bestehenden Kunden zu optimieren, vgl. Wehmeyer, PinG 2014, 183 (183). 299 Vgl. Berger, Kapitel XVII. Datenschutz, in: Holzapfel/Pöllath, Unternehmenskauf in Recht und Praxis, Rn. 1638. 300 Härting, CR 2017, 724 (726). 301 So ausdrücklich etwa in Unabhängige Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz – DSK), Kurzpapier Nr. 18, Risiko für die Rechte und Freiheiten natürlicher Personen vom 26.04.2018. 302 Art. 8 GRCh ist lex specialis zu Art. 7 GRCh, dessen Schutzbereich hingegen die Gewährleistungen Privatleben, Familienleben, Wohnung und Kommunikation umfasst, vgl. Leeb/Liebhaber, JuS 2018, 534 (535); zum Verhältnis zwischen Art. 7 und 8 GRCh ausführlich Michl, DuD 2017, 349 (349ff.); die Rechte nach Art. 7 GRCh entsprechen den Rechten, die durch Art. 8 EMRK garantiert sind, vgl. Roßnagel, Europäische Datenschutz-Grundverordnung, § 2, Rn. 5; des Weiteren enthält die EMRK kein spezifisches Recht zum Schutz personenbezogener Daten, dennoch wird der entsprechende Wesensgehalt dem Schutz des Privatlebens nach Art. 8 EMRK entnommen, Jarass, GRCh, Art. 8, Rn. 1; so können die Wertungen der EMRK über Art. 6 Abs. 3 EUV und Art. 53 Abs. 3 GRCh in die Grundrechtsabwägung ausstrahlen, Albrecht/Janson, CR 2016, 500 (507); ebd. zum allgemeinen Verhältnis von EMRK und GRCh. 303 Zwar ist dem deutschen Recht ein Grundrecht auf Schutz personenbezogener Daten unbekannt, jedoch können aus dem vom BVerfG entwickelten Recht auf informationelle Selbstbestimmung gem. Art. 2 Abs. 1 GG i.V.m. Art. 1 Abs. 1 GG die grundrechtlich schutzwürdigen Interessen der Kunden auf nationaler Ebene hergeleitet werden. Da die GRCh einem dem Grundrecht auf informationelle Selbstbestimmung vergleichbaren Schutz gewährt, ist zwar eine Auslegung der DSGVO am Maßstab des GG und der Rspr. des BVerfG nicht vorgesehen, jedoch können diese nationalen Grundsätze aufgrund des Art. 52 Abs. 4 GRCh indirekt bei der Auslegung der DSGVO Berücksichtigung finden, Roßnagel, Europäische Datenschutz-Grundverordnung, § 2, Rn. 65. 304 Vgl. Leeb/Liebhaber, JuS 2018, 534 (535); zum persönlichen Schutzbereich des Art. 8 GRCh auch auf juristische Personen ausführlich m.w.N. Heißl, EuR 2017, 861 (561ff.). 305 Vgl. Leeb/Liebhaber, JuS 2018, 534 (535). 306 Mitteilung der Kommission an das Europäische Parlament und den Rat, Besserer Schutz und neue Chancen – Leitfaden der Kommission zur unmittelbaren Anwendbarkeit der Datenschutz-Grundverordnung ab 25. Mai 2018 vom 24.1.2018, COM (2018) 43 final, S. 1. 307 Mitteilung der Kommission an das Europäische Parlament, den Rat, den Europäischen Wirtschafts- und Sozialausschuss und den Ausschuss der Regionen, Der Schutz der Privatsphäre in einer vernetzten Welt, Ein europäischer Datenschutzrahmen für das 21. Jahrhundert vom 25.1.2012, KOM (2012) 9 endgültig, Abschnitt 6., S. 13. 308 Conrad, ZD 2016, 1 (1). 309 Vgl. Wächter, Datenschutz im Unternehmen, Rn. 277.