Datenschutz bei Betriebsübergaben: Das müssen Unternehmen beachten

Allgemeine Informationen

Wenn ein Betrieb, Teilbetrieb oder Geschäftsanteile den:die Eigentümer:in wechseln, wandern damit fast immer auch personenbezogene Daten von Mitarbeiter:innen, Kund:innen und Geschäftspartner:innen mit. Gerade in KMU wird der Datenschutz dabei oft erst spät mitgedacht, weil der Fokus auf Vertrag, Preis und Belegschaft liegt. Diese FAQ beantworten die Fragen, die in der Praxis am häufigsten auftauchen. 

Weitere Informationen zum Thema Gesellschafts-, Steuer- und Arbeitsrecht finden Sie auf der Infoseite Wichtige Schritte bei der Betriebsübergabe.

Grundlagen

Was zählt als Betriebsübergabe?

Eine Betriebsübergabe liegt vor, wenn eine wirtschaftliche Einheit unter Wahrung ihrer Identität übergeht, z. B. durch Übernahme der Hauptbelegschaft, der Betriebsmittel und des Kundenstocks. Das kann auch bei der Übertragung eines einzelnen Betriebsteils der Fall sein.

Müssen Sie sich bei jedem Verkauf Ihres Unternehmens um Datenschutz kümmern?

Das hängt von der Struktur des Deals ab. Bei einem Share Deal (Verkauf von Geschäftsanteilen z. B. einer GmbH) bleibt der Rechtsträger derselbe und findet datenschutzrechtlich in der Regel kein Wechsel in der Rolle des Verantwortlichen statt. Bei einem Asset Deal oder einem klassischen Betriebsübergang wechselt hingegen der Verantwortliche, und die Datenübertragung braucht eine eigene rechtliche Erlaubnis. 

Unser Tipp für mehr Datenschutz:
Klären Sie die Deal-Struktur ganz am Anfang. Sie entscheidet, wie viel Aufwand tatsächlich anfällt.

Welche Daten sind betroffen?

In der Praxis sind meist folgende Daten betroffen: Personalakten und Gehaltsdaten der Mitarbeiter:innen, Kundendaten (Stammdaten, Verträge, Zahlungsinformationen) sowie Lieferantendaten. Darunter können auch sensible Daten wie Gesundheitsdaten sein (z. B. Daten zu Krankenständen oder zu einer Behinderung aus den Personalakten oder Angaben zu Vorerkrankungen von Kund:innen bei der Inanspruchnahme bestimmter Dienstleistungen).

Was müssen Sie als Verkäufer:in beachten?

Personenbezogene Daten dürfen nur in Ausnahmefällen offengelegt werden. Für eine derartige Offenlegung ist eine rechtliche Erlaubnis zu prüfen (z. B. ein berechtigtes Interesse bei der Prüfung des Unternehmenswerts), ansonsten sind Unterlagen bestmöglich zu pseudonymisieren oder anonymisieren. Transparenz im Prozess und Informationen an die betroffenen Personen sind essenziell.  

Was müssen Sie als Käufer:in beachten?

Als Käufer:in sollten Sie sich einen Überblick über die bestehenden personenbezogene Daten, Verarbeitungstätigkeiten, Datensicherheitsmaßnahmen, etwaige Datenfolgenabschätzungen und bestehende Verträge (z. B. auch Auftragsverarbeitungsverträge oder Verträge über eine gemeinsame Verarbeitung) verschaffen. 

Mitarbeiterdaten und Betriebsrat

Brauchen Sie die Einwilligung Ihrer Mitarbeiter:innen, um ihre Personaldaten an den:die Käufer:in zu übergeben?

Der Übergang der Arbeitsverhältnisse erfolgt bei einem Betriebsübergang kraft Gesetzes. Die damit verbundene Übertragung der Personaldaten ist dadurch bereits rechtlich gedeckt. Eine zusätzliche Einwilligung ist üblicherweise nicht nötig. Sie müssen die Mitarbeiter:innen aber informieren.

Was genau müssen Sie Ihren Mitarbeiter:innen mitteilen?

Sie müssen die betroffenen Mitarbeitenden schriftlich über den (geplanten) Zeitpunkt des Übergangs, die Gründe, die rechtlichen, wirtschaftlichen und sozialen Folgen sowie geplante Maßnahmen informieren. Sinnvoll ist es, dabei auch kurz zu erwähnen, dass die Personaldatenverarbeitung bei der:dem neuen Arbeitgeber:in fortgeführt wird.

Sie haben einen Betriebsrat – was ändert sich dadurch für Sie?

Besteht ein Betriebsrat, sind Sie verpflichtet, ihn rechtzeitig und umfassend über den geplanten Übergang zu informieren und mit ihm zu beraten. Zusätzlich kann die Einführung oder Anpassung von Personalinformations- oder Kontrollsystemen beim übernehmenden Unternehmen zustimmungspflichtig sein.

Unser Tipp für mehr Datenschutz:
Binden Sie den Betriebsrat frühzeitig ein, auch wenn die Zustimmungspflicht im Einzelfall unklar ist.

Kundendaten

Können Sie Ihre Kundendatenbank an Käufer:innen übergeben?

Anders als bei Arbeitsverhältnissen gibt es für Kundendaten keinen direkten gesetzlichen Übergang. Sie brauchen eine eigene rechtliche Erlaubnis. Eine ausdrückliche Einwilligung der einzelnen Kund:innen ist bei größeren Datenbeständen praktisch selten umsetzbar. Denkbar ist die Vertragserfüllung oder ein berechtigtes Interesse des Unternehmens:

• Bei aufrechten, laufenden Verträgen sind Vertragspartner:innen aus unternehmensrechtlichen Gründen vor dem Unternehmensübergang über den geplanten Übergang zu informieren. Diese haben dann drei Monate nach dieser Mitteilung die Möglichkeit, dem Übergang ihres Vertragsverhältnisses zu widersprechen. In dieser Mitteilung kann auch bereits eine Datenschutzinformation des:der Erwerber:in enthalten sein. Nach Ablauf der Frist kann mit vernünftigerweise erwartbaren Unternehmensinteressen, welche die Interessen der Vertragspartner:innen nicht übersteigen, argumentiert werden.
• Bei Kundendatenbanken ohne aufrechte Vertragsverhältnisse kommt ebenfalls das berechtigte Interesse an der Veräußerung und Fortführung des Unternehmens sowie an der Übernahme des Kundenstocks in Betracht. Dabei ist zu berücksichtigen, dass Kund:innen bei einem Betriebsübergang vernünftigerweise erwarten können, dass die für den Kundenstock erforderlichen Daten auf den:die Erwerber:in übergehen. Voraussetzung ist wieder eine Interessenabwägung zugunsten des Unternehmens sowie die Erfüllung der Informationspflichten gegenüber den betroffenen Kund:innen (z. B. durch Informationsschreiben mit Beifügung der Datenschutzerklärung des:der Käufer:in). 
  Achtung: Bei der Übernahme von sensiblen Daten können sich Käufer:in und Verkäufer:in nicht auf das berechtigte Interesse stützen. Siehe in diesem Fall „Was gilt bei sensiblen Daten?“

Müssen Sie Ihre Kund:innen über den Eigentümerwechsel informieren?

Ja, jedenfalls bei einem Asset Deal. Die Informationspflichten greifen, wenn sich der Verantwortliche ändert. In der Praxis wird eine aktualisierte Datenschutzerklärung in die Mitteilung über die Betriebsübergabe eingebunden.

Was passiert, wenn ein:e Kund:in der Datenübertragung widerspricht?

Das Widerspruchsrecht ist zu respektieren. Legen Sie im Vorfeld fest, wie mit einem Widerspruch praktisch umgegangen wird, z. B. durch Herausnahme der betroffenen Daten aus der Übertragung.

Was gilt bei sensiblen Daten?

Grundsätzlich sollte sich der:die Käufer:in aus Transparenzgründen darum kümmern, vorsorglich die Kund:innen über den Unternehmensübergang zu informieren und in weiterer Folge eine erneuerte Einwilligung für die Verarbeitung der sensiblen Daten einzuholen, sofern diese nötig ist. Liegt eine gesetzliche Ermächtigung zur Verarbeitung der sensiblen Daten vor, wird diese auch nach dem Betriebsübergang fortgeführt. 

Beispiel
Eine Versicherungsmaklerin möchte ihr Unternehmen und damit auch den Kundenstock verkaufen. Mit den Kund:innen wurde eine zivilrechtliche Vollmacht über die Vermittlung von Versicherungsverhältnissen abgeschlossen. Da sie Lebens- und Unfallversicherungen vermittelt hat, sind auch sensible Daten der Kund:innen betroffen. Über den Unternehmensverkauf werden die Kund:innen im Vorfeld informiert, die dreimonatige Frist für den Widerspruch ist abgelaufen und normale Kundendaten werden übernommen. Die Käuferin kontaktiert die Kund:innen und holt sich aktualisierte Vollmachten für die Vermittlung und die Verarbeitung der sensiblen Daten ein und stützt sich somit wieder auf die gesetzliche Ermächtigung und die zivilrechtliche Vollmacht.

Können auch E-Mail-Adressen verkauft werden und die Kund:innen von dem:der Käufer:in angeschrieben werden?

Die Zusendung einer elektronischen Nachricht ohne vorherige Einwilligung des Empfängers ist unzulässig, wenn die Zusendung zu Werbezwecken erfolgt. Die Kund:innen müssen in der Datenschutzerklärung auf die Möglichkeit der Datenweitergabe im Fall eines Unternehmensverkaufs hingewiesen worden sein. Idealerweise haben die Kund:innen dieser Weitergabe explizit zugestimmt. Bei übergehenden Vertragsverhältnissen, nach Mitteilung und Ablauf der dreimonatigen Widerspruchsfrist kann eine Interessenabwägung zugunsten des Unternehmens ausgehen.

Die ursprüngliche Einwilligung der Kund:innen in diese Kontaktausnahme kann daher ausreichen, wenn die Daten im Zuge der Betriebsübergabe nur für genau den Zweck (z. B. Versendung eines Newsletters über den identen Webshop) verwendet wurden, für den die Kunden:innen zuvor ihre Einwilligung erteilt hatten und auch sonst die Voraussetzungen eingehalten wurden. 

Due Dilligence und Vertragsabwicklung

Worauf müssen Sie achten, wenn der:die Käufer:in im Rahmen der Due Diligence Einblick in Personaldaten verlangt?

Legen Sie möglichst anonymisierte oder pseudonymisierte Unterlagen vor (z. B. Gehaltsbänder statt Namenslisten). Der Zugriff im Datenraum sollte nach dem Need-to-know-Prinzip gestaffelt sein. Vollständige Personalakten oder Gesundheitsdaten gehören grundsätzlich nicht ungeschwärzt in die Due-Diligence-Phase.

Sollte Datenschutz im Kaufvertrag geregelt werden?

Ja. Üblich sind Zusicherungen zur Datenschutzkonformität der übertragenen Daten sowie Haftungs- und Freistellungsregelungen für Datenschutzverstöße aus der Zeit vor dem Closing. Solche Regelungen binden jedoch die Datenschutzbehörde nicht bei der Ausübung ihrer Befugnisse. Auch die Zuständigkeit für Betroffenenanfragen in der Übergangsphase sollte klar geregelt sein.

Was passiert mit bestehenden Verträgen mit IT-Dienstleistern (z. B. Cloud-Anbieter)?

Auftragsverarbeitungsverträge sind jedenfalls vorab zu prüfen. Wie bei anderen Verträgen müssen Sie im Vorfeld klären, ob diese übernommen werden oder nicht. Beim Wunsch zur Übernahme muss eine Mitteilung über die Betriebsübergabe erfolgen und eine dreimonatige Frist für einen allfälligen Widerspruch zur Vertragsübernahme abgewartet werden. 

Sonstige Fragen

Ist mit der Unterschrift alles erledigt?

Nach der offiziellen Vertragsabwicklung sollten Sie unter anderem das Verarbeitungsverzeichnis aktualisieren, die Datenschutzerklärung anpassen, nicht übergehende Altdaten beim veräußernden Unternehmen löschen und falls neue risikoreiche Verarbeitungen entstehen, die Erforderlichkeit einer Datenschutz-Folgenabschätzung prüfen.

Brauchen Sie eine:n Datenschutzbeauftragte:n für diesen Prozess?

Für die Betriebsübergabe ist keine Bestellung eines:einer Datenschutzbeauftragten nötig. Ob der:die Käufer:in einen benötigt, hängt von den allgemeinen Kriterien für die Pflicht zur Bestellung eines:einer Datenschutzbeauftragten ab (u. a. Art der Kerntätigkeit, Umfang der Verarbeitung). Ist bereits ein:e Datenschutzbeauftragte:r bestellt, sollte er oder sie in den gesamten Übergabeprozess frühzeitig eingebunden werden.

Was gilt, wenn Käufer:in und Verkäufer:in in unterschiedlichen Ländern sitzen?

Dann ist zu prüfen, ob es sich um eine internationale Datenübermittlung handelt, insbesondere in ein Drittland außerhalb der EU/des EWR. 

Zum Nachschlagen: Gesetzliche Bestimmungen zum Datenschutz bei Betriebsübergaben

Die auf dieser Seite angeführten Informationen basieren unter anderem auf folgenden gesetzlichen Regelungen:

• § 38 UGB - Übernahme der Rechtsverhältnisse des Veräußerers durch den Erwerber, Haftung von Veräußerer und Erwerber
• Art. 4 Z 1 DSGVO (Personenbezogene Daten)
• Art. 4 Z 2 DSGVO (Verarbeitung)
• Art. 4 Z 7 DSGVO (Verantwortlicher)
• Art. 4 Z 8 DSGVO (Auftragsverarbeiter)
• Art. 5 DSGVO (Grundsätze der Verarbeitung personenbezogener Daten)
• Art. 6 DSGVO (Rechtsgrundlagen der Verarbeitung)
• Art. 12 DSGVO (Transparente Information und Ausübung der Betroffenenrechte)
• Art. 13 DSGVO (Informationspflicht bei Erhebung von personenbezogenen Daten) 
• Art. 14 DSGVO (Informationspflicht, wenn Daten nicht bei der betroffenen Person erhoben werden)
• Art. 28 DSGVO (Auftragsverarbeiter) 
• Art. 32 DSGVO (Sicherheit der Verarbeitung)
• Art. 35 DSGVO (Datenschutz-Folgenabschätzung)
• Art. 44 DSGVO (Allgemeine Grundsätze für Datenübermittlungen in Drittländer)
• § 174 TKG 2021 (Unerbetene Nachrichten)

Kontakt für Rückfragen

Sie haben weitere Fragen zum Datenschutz oder zu DSGVO4KMU? Wir unterstützen Sie gerne. 

• Zur Kontaktseite