Christoph Louven - Unternehmenskaufvertrag

204

Sind personenbezogene Daten datenschutzrechtlich konform im virtuellen Datenraum hochgeladen worden, kommt eine Offenlegung gegenüber Kaufinteressenten durch Öffnung des Datenraums ebenfalls nur unter Beachtung der datenschutzrechtlichen Anforderungen in Betracht. Jede Offenlegung personenbezogener Daten gegenüber Kaufinteressenten muss danach entweder aufgrund einer Einwilligungerfolgen oder den Anforderungen der DSGVO, insbesondere deren Art. 6 Abs. 1 lit. f DSGVO, genügen.

205

Eine Einwilligungvon natürlichen Personen als Kunden, Lieferanten oder sonstigen Vertragspartnern oder von Beschäftigten der Zielgesellschaft wird regelmäßig nicht vorliegen. Die betroffenen Personen im Kontext der geplanten Transaktion um eine Einwilligung zu bitten, kollidiert mit dem Interesse des Verkäufers und der Zielgesellschaft an Vertraulichkeit. Auch stellt es regelmäßig eine große praktische Herausforderung dar, etwa von sämtlichen Mitarbeitern der Zielgesellschaft Einwilligungen zu beschaffen, denn diese ist freiwillig und zudem auch frei widerrufbar. Um diese Probleme zu vermeiden, wird vertreten, dass die (in der Praxis selten genutzte) Möglichkeit besteht, in einer BetriebsvereinbarungErlaubnistatbestände für die Verarbeitung personenbezogener Daten im Beschäftigungsverhältnis zu schaffen.407 Darin können abstrakte Rechtsfertigungstatbestände geschaffen werden oder geringere Anforderungen an die konkrete Benennung der Umstände der Verarbeitung vereinbart werden.408 Zweckmäßig kann eine solche Betriebsvereinbarung insbesondere für Portfoliounternehmen von Private Equity-Fonds sein, bei denen eine oder gar mehrere Veräußerungen in der Zukunft wahrscheinlich sind.409

206

In der Praxis muss deshalb die große Mehrzahl der Offenlegungen personenbezogener, nicht sensibler410 Daten während einer Due Diligence auf die gesetzliche Erlaubnisdes Art. 6 Abs. 1 lit. f DSGVO gestützt werden können, um datenschutzrechtlich konform zu sein.

207

Weniger Beachtung gefunden hat und bislang datenschutzrechtlich weitgehend ungeklärt ist411 die Frage, ob die betroffenen Personen von einer Offenlegung ihrer personenbezogenen Daten zu unterrichten sind. Das wäre nach Art. 13 Abs. 3 DSGVO der Fall, wenn die Offenlegung der personenbezogenen Daten im Rahmen einer Due Diligence für einen anderen Zweck erfolgt als zu dem Zweck, zu dem sie ursprünglich erhoben wurden. Dass solch eine Zweckänderungvorliegt, wird in der datenschutzrechtlichen Literatur vertreten.412 In der Praxis könnte dies zu dem „fatale(n) Ergebnis“413 führen, dass der Verkäufer seine Verkaufspläne bereits frühzeitig gegenüber solchen Personen offenlegen muss, deren personenbezogene Daten er offenzulegen beabsichtigt.414 Gegen die Annahme einer Zweckänderung spricht, dass bei einer aktiv am Wirtschaftsleben teilnehmenden Zielgesellschaft immer auch Veränderungen durch M&A-Aktivitäten wahrscheinlich sind und daher einen latent vorgesehenen Datenverarbeitungszweck darstellen.415 Beschäftigtendaten der Zielgesellschaft werden zudem auch bei Offenlegung gegenüber einem Kaufinteressenten für Beschäftigungszwecke genutzt.416 Dennoch wird man in der Praxis zu Recht den sichersten Weg wählen wollen und von der Arbeitshypothese ausgehen müssen, dass eine Zweckänderung vorliegt. Dann sind die Betroffenen nur dann nicht zu benachrichtigen, wenn eine Befreiung nach der DSGVOvorliegt. In Bezug auf den Kaufinteressenten wird eine solche Befreiung auf Grundlage des Art. 14 Abs. 5 lit. b DSGVO, ggf. ergänzt durch § 29 Abs. 1 Satz 1 BDSG, für tragfähig angesehen.417 Hinsichtlich der Zielgesellschaft wird eine Analogie zu Art. 14 Abs. 5 lit. b DSGVO befürwortet, gleichzeitig aber als risikobehaftet qualifiziert und mit der Empfehlung an eine Zielgesellschaft verbunden, bereits vorab und ohne konkreten Anlass in jede Datenschutzinformation die potenzielle Offenlegung personenbezogener Daten an etwaige Kaufinteressenten aufzunehmen.418 Schließlich wird – aus Sicht des Verfassers überzeugend – dafür plädiert, den Anwendungsbereich der Benachrichtigungspflichten im Hinblick auf die Eigentumsinteressen und die unternehmerische Freiheit grundrechts- und grundfreiheitenkonform (vgl. Art. 14 GG und Art. 16 GRCh) zu reduzieren bzw. den Anwendungsbereich der Befreiungstatbestände durch grundrechts- bzw. grundfreiheitenkonforme Auslegung oder Analogie zu erweitern.419 Für die M&A-Praxis bleibt leider festzustellen, dass insoweit bei einer zentralen Frage insbesondere für die Zielgesellschaft ein Risiko verbleibt, dass die unterbliebene Benachrichtigung von Betroffenen einen Verstoß gegen die DSGVO darstellt.

208

Bzgl. des Verkäufers ist zu beachten, dass dieser nicht als Verantwortlicher angesehen wird, da die personenbezogenen Daten der Zielgesellschaft zugeordnet werden und diese daher datenschutzrechtlich verantwortlich für die personenbezogenen Daten ist. Daher dürften die Informationspflichten nach Art. 13, 14 DSGVO primär die Zielgesellschaft treffen.

209

Praxistipp:

Auch angesichts der unklaren Rechtslage, ob durch die Offenlegung personenbezogener Daten Benachrichtigungspflichten ausgelöst werden, empfiehlt es sich, solche Daten, wenn ihre Offenlegung für den Abschluss der Transaktion wichtig ist, so spät wie möglich im Rahmen der Due Diligence zur Verfügung zu stellen und die Entscheidung sorgfältig zu dokumentieren.

210

Es empfiehlt sich schließlich, dass die Verantwortlichen bei Verkäufer und Zielgesellschaft die von ihnen im Zusammenhang mit der Offenlegung und einer unterbliebenen Benachrichtigung potenziell Betroffener angestellten Erwägungen schriftlich dokumentieren, um damit den Vorgaben des Art. 5 Abs. 2 DSGVO zu genügen.420

211

Besonderes Augenmerk ist darauf zu richten, ob es im Rahmen der Due Diligence zur Offenlegung wettbewerblich sensibler Daten an einen Wettbewerber(als Bieter) und damit zum Austausch wettbewerblich relevanter Informationenmit diesem kommen kann.421 Darin kann ein Verstoß gegen das fusionskontrollrechtliche Vollzugsverbot( Gun Jumping) und ein Verstoß gegen das Kartellverbotliegen.422

212

Schließlich kommen u.U. kapitalmarktrechtliche Grenzenin Betracht und stellen Anforderungen an die Durchführung der Due Diligence.

213

Diese Anforderungen hat in erster Linie ein Aktienemittentzu beachten, der einen Geschäftsbereich oder eine Tochtergesellschaft verkauft. Sie können aber auch etwa bei einer GmbHrelevant werden, die Schuldtitel emittiert hat und einen Geschäftsbereich oder eine Tochtergesellschaft verkauft.

214

Praktische Bedeutung können im Rahmen einer Due Diligence aus Verkäufersicht insbesondere sog. Insiderinformationenim Sinne des Art. 7 Abs. 1 a) MAR haben, deren Offenlegung im Datenraum beabsichtigt ist. Denn nach Art. 14 c) MAR ist die unrechtmäßige Offenlegung von Insiderinformationenverboten. Verstöße gegen Art. 14 MAR können nicht nur zivilrechtliche, sondern auch straf- und ordnungswidrigkeitenrechtliche Sanktionen nach sich ziehen. Ein vorsätzlicher Verstoß gegen Art. 14 MAR kann mit Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe geahndet werden (§ 119 Abs. 3 WpHG i.V.m. § 15 StGB). Ein leichtfertiger Verstoß stellt eine Ordnungswidrigkeit dar, die bei juristischen Personen mit einem Bußgeld in Höhe von bis zu EUR 15 Mio. oder, sofern höher, 15 % des Gesamtumsatzes des vorangegangenen Geschäftsjahres sanktioniert werden kann (§§ 120 Abs. 14, 18 Satz 1 Nr. 1 WpHG und § 30 OWiG).