Datenschutz bei Unternehmenstransaktionen - Teil 2: Worauf es von der Verhandlungsphase bis hin zum Abschluss der Unternehmenstransaktion ankommt.

Bei Unternehmenstransaktionen werden umfassende Informationen über Kunden, Lieferanten und Mitarbeiter vom Verkäufer an die Interessenten übermittelt. Soweit es sich bei diesen Informationen um personenbezogene Daten handelt, gewinnt der Schutz dieser Daten eine immer größere Bedeutung. Insbesondere nachdem die DSGVO die Sanktionsmöglichkeiten drastisch im Vergleich zum alten BDSG verschärft hat, hat dies auch Auswirkungen auf alle Phasen des Transaktionsprozesses. Hier zeige ich auf, welche Folgen der Datenschutz für die Transaktionen von der Verhandlungsphase bis zum Closing hat. Im ersten Teil des Artikels habe ich bereits die Auswirkungen auf die Due Diligence-Phase untersucht.

Die Verhandlungsphase

Nach Abschluss der Due Diligence-Phase hat sich das Feld gelichtet: aus der Due-Diligence Runde ist meist nur noch ein Kaufinteressent im Gespräch. Erwerber und Veräußerer steigen in die Verhandlungsphase ein. In dieser Phase hat der Erwerber ein höheres Informationsinteresse mit höherem Detailgrad - es geht insbesondere um weitere wertrelevanten Informationen, um Kaufpreis aber auch Gewährleistungen im Hinblick auf das Zielunternehmen für den Kaufvertrag evaluieren zu können. Zu den wertrelevanten Informationen gehören auch Daten über Arbeitnehmer und Geschäftspartner. Anonymisierte oder pseudonymisierte Daten sind an dieser Stelle oft nicht mehr ausreichend und es sind konkrete personenbezogene Daten erforderlich.

Auch in dieser Phase geht es darum, das Informationsinteresse des Erwerbers und die Schutzinteressen der Arbeitnehmer an ihren personenbezogenen Daten gegeneinander abzuwägen. Eine konkrete Einwilligung des Einzelnen in eine Übermittlung der Daten ist noch immer unpraktikabel und daher ein möglicher Rückgriff auf gesetzliche Ermächtigungsgrundlagen, insbesondere Art. 6 Abs. 1 f DSGVO, wichtig. Auch wenn die Übermittlung bestimmter personenbezogener Daten an den Erwerber für Zwecke der Evaluierung erforderlich und damit zulässig sein kann, sind konkrete Daten im Kaufvertrag und seinen Anlagen, zB. Aufstellungen von Gehältern oder Pensionszusagen in der Regel nicht zu rechtfertigen. Vertragsanlagen sind lediglich in Form von anonymisierten oder pseudonymisierten Listen zulässig.

Abschluss des Kaufvertrages (Signing)

Mit Abschluss des Unternehmenskaufvertrages (Signing) nimmt nicht nur das berechtigte Informationsinteresse des Erwerbers weiter zu. Es können auch bereits konkrete Informationspflichten entstehen, die die Kenntnis von gewissen personenbezogenen Daten sogar voraussetzen. Abhängig von der Art des Vertrages hat dies unterschiedliche Konsequenzen im Hinblick auf die Datenübermittlung:

• Asset Deal: Im Rahmen eines Asset Deal gehen einzelne Vermögenswerte auf den Erwerber über. Soweit es sich dabei um einen Betriebsübergang im Sinne des § 613a BGB handelt, gehen grds. auch die Arbeitsverträge der betroffenen Arbeitnehmer über. Sowohl Veräußerer als auch Erwerber haben die Pflicht, die Arbeitnehmer von dem Betriebsübergang zu unterrichten. Soweit also der Erwerber die Unterrichtung über den Betriebsübergang übernimmt, benötigt er dazu jedenfalls die Namen der Mitarbeiter sowie ihre Adressen. Datenschutzrechtlich liegt in der Übermittlung dieser Daten ein relevanter Verarbeitungsvorgang im Sinne des Art. 4 Abs. 2 der DSGVO vor.

Sofern kein Widerspruch des Arbeitnehmers gegen diesen Übergang erfolgt, tritt der Erwerber mit Vollzug der Transaktion (s. unten zu Vollzug der Transaktion (Closing)) in die Rechte und Pflichten des jeweiligen Arbeitsverhältnisses ein. In diesem Fall erfordert auch die geplante Integration des Zielunternehmens in die Organisationsstruktur des Erwerbers in der Regel die Übermittlung von weiteren personenbezogenen Stammdaten – etwa um sie in einem neuen (Lohn-) Buchhaltungsprogramm zu erfassen sowie um E-Mail-Adressen und Systemzugänge anzulegen. Insgesamt dürfen personenbezogene Daten der betroffenen Arbeitnehmer übermittelt werden, die für die Durchführung des Beschäftigtenverhältnisses erforderlich sind (§ 26 Abs. 1 S. 1 BDSG). Anders als für die Daten im Zusammenhang mit der Unterrichtungspflicht gemäß § 613a Abs. 5 BGB, liegt der Zeitpunkt für die zulässige Übermittlung der für Post-Merger Integration und weitere Durchführung des Beschäftigungsverhältnisses relevanten personenbezogen Daten erst kurz vor Closing der Transaktion. Jedenfalls erst nachdem sichergestellt ist, dass der Arbeitnehmer dem Übergang nicht widerspricht.

• Share Deal: Mit dem Erwerb der Gesellschaftsanteile des Zielunternehmens bleibt dieses grundsätzlich mit allen Vermögenswerten einschließlich Arbeitnehmern bestehen. Durch einen bloßen Gesellschafterwechsel findet kein Arbeitgeberwechsel und kein Betriebsübergang statt. Eine entsprechende Unterrichtungspflicht besteht demnach nicht. Schritte einer Post Merger Integration können jedoch in der Regel auch bei einem Share Deal relevant sein. Zur reibungslosen Fortsetzung der Arbeitsverhältnisse müssen die entsprechend erforderlichen Daten übermittelt werden. § 32 Abs. 1 BDSG wird hier als Rechtfertigung einer Übermittlung, unter Umständen zunächst noch ohne Information der betroffenen Person angesehen. In jedem Fall muss jedoch abgewogen werden, welche spezifischen Daten für den konkreten Fall tatsächlich erforderlich sind.

Vollzug der Transaktion (Closing)

Mit Vollzug (Closing) ist die Unternehmenstransaktion abgeschlossen. Je nach Komplexität kann der Zeitpunkt deutlich hinter dem Signing liegen. Welche Arbeitnehmerdaten übermittelt werden dürfen, hängt wieder davon ab, ob es sich um einen Asset oder Share Deal handelt:

• Asset Deal: Soweit die Arbeitnehmer nicht dem Betriebsübergang nach § 613a BGB widersprochen haben, sind ihre Arbeitsverhältnisse auf den Erwerber übergegangen. Mit der Übergabe der Assets einschließlich Arbeitsverträgen gehen auch die personenbezogenen Daten auf den Erwerber über. Hierbei handelt es sich um eine „Übermittlung“ im Sinne der DSGVO. Mit Vollzug der Transaktion ist der Erwerber jedoch nicht mehr in der Rolle des „Dritten“, sondern nun in der des Arbeitgebers. Als Solcher ist er nach § 32 Abs. 1 BDSG zur Datenverarbeitung berechtigt, um das Arbeitsverhältnis fortzusetzen.

• Share Deal: Wie weiter oben dargestellt, findet kein Arbeitgeberwechsel statt. Die Gesellschaftsanteile eines Unternehmens werden vom Veräußerer auf den Erwerber übertragen. Daher besteht das Zielunternehmen grundsätzlich weiter, im Hinblick auf die Rechtsbeziehungen des Unternehmens bleibt also der Rechtsträger erhalten. Damit ist Erwerber ebenfalls keine Drittpartei. Eine Verarbeitung von Arbeitnehmerdaten bedarf daher keiner datenschutzrechtlichen Rechtfertigung.

Informationspflichten und Auskunftsrechte abwägen

Erwerber und Veräußerer haben das Interesse, ihre Verhandlungen vor allem in der frühen Phase der Transaktion geheim zu halten. Wenn der Veräußerer als Arbeitgeber ausnahmslos verpflichtet wäre, den einzelnen Arbeitnehmer über jede Weitergabe personenbezogener Daten zu informieren, würde dies dem Geheimhaltungsbedürfnis entgegenstehen und ein großes Risiko für die Transaktion darstellen. Dennoch ist der mit der DSGVO deutlich gestärkte datenschutzrechtliche Grundsatz der Transparenz zu berücksichtigen.

Die DSGVO sieht grds. sowohl für den Veräußerer wie auch den Erwerber dem Beschäftigten gegenüber Informationspflichten vor (Art. 13 Abs. 3 und Art. 14 Abs. 1 DSGVO). Der angemessene Zeitpunkt einer Information des betroffenen Mitarbeiters über die konkret übermittelten Daten ist in der Gesamtkonstellation abzuwägen.

Wir beraten sowohl Käufer als auch Verkäufer beim Datenschutz und beim Gesellschaftsrecht über den gesamten Prozess einer Unternehmenstransaktion. Dank starker fachlicher Verzahnung können wir in allen Teilbereichen passgenaue Lösungen bieten. Gerne stehe Ihnen bei Fragen zur Verfügung.

Maren Bianchini-Hartmann, LL.M. (Fordham University School of Law)
bianchini@web-partner.de