Kurzbeitrag : Praxisfälle zum Datenschutzrecht XIV: Datenschutz bei Unternehmensverkauf und Due Diligence

II. Musterfalllösung

1. Allgemeines

Mit Due Diligence ist die sorgfältige Prüfung und Analyse eines Unternehmens gemeint, insbesondere im Hinblick auf seine wirtschaftlichen, rechtlichen, steuerlichen und finanziellen Verhältnisse, die durch den potenziellen Käufer eines Unternehmens vorgenommen wird. (2) Bei Durchführung eines Due Diligence Verfahrens haben die Beteiligten ein immenses Interesse daran, dass die Prüfung geheim bleibt, denn Informationen, die vor der Unternehmenstransaktion nach außen dringen, können diese blockieren oder zum Scheitern bringen.

Die Datenverarbeitungen im Rahmen einer Due Diligence unterliegen dem Regelungsregime der DS-GVO bzw. des BDSG, sobald Prüfung und Analyse durch den Erwerber sich auch auf zumindest personenbeziehbare Informationen beziehen.

2. Anwendbarkeit des Datenschutzrechts

Da die Beschäftigtendaten, die dem Erwerber bereitgestellt werden, typischerweise aus den HR-Systemen des Veräußerers stammen, ist der sachliche Anwendungsbereich der DS-GVO (Art. 2 Abs. 1) eröffnet. Von § 26 BDSG wird gemäß dessen Abs. 7 im Übrigen auch die nicht automatisierte Verarbeitung personenbezogener Daten erfasst.

3. Mögliche Rechtsgrundlage für eine Offenlegung personenbezogener Beschäftigtendaten gegenüber potenziellen Erwerbern

a) Durchführung des Beschäftigungsverhältnisses (§ 26 Abs. 1 S. 1 BDSG)

Nach § 26 Abs. 1 S. 1 BDSG dürfen personenbezogene Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, sofern dies für dessen Durchführung erforderlich ist. Das Beschäftigungsverhältnis besteht aber aktuell ausschließlich mit dem Verkäufer des Unternehmens und nicht mit den potenziellen Erwerbern, wenn auch das Beschäftigungsverhältnis ggf. in Zukunft im Wege des Betriebsübergangs (§ 613a BGB) auf einen von diesen übergehen mag. Es gehört auch nicht zu den arbeitsvertraglichen Pflichten der Beschäftigten, sich von ihrem Arbeitgeber mit dem Unternehmen an einen anderen Unternehmer „verkaufen“ und sich iR eines Due Diligence Verfahrens „durchleuchten“ zu lassen. § 26 Abs. 1 S. 1 BDSG scheidet als Rechtsgrundlage damit vorliegend aus. (3)

b) Interessenabwägung (Art. 6 Abs. 1 lit. f DS-GVO) und Kompatibilität (Art. 6 Abs. 4 DS-GVO)

Bei dem Interesse des Unternehmers, sein Unternehmen zu verkaufen, handelt es sich um ein – sogar grundrechtlich geschütztes (Art. 14 GG) – berechtigtes Interesse. Die Weitergabe personenbezogener Daten an den Erwerber bzw. die Bereitstellung von Informationen zur Einsichtnahme könnte insofern über Art. 6 Abs. 1 lit. f DS-GVO gestattet sein. Nach dieser Regelung ist eine Verarbeitung personenbezogener Daten rechtmäßig, soweit sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist und nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Personen, hier der Beschäftigten, überwiegen. Wie sich aus dem Wortlaut des Art. 6 Abs. 1 lit. f DS-GVO ergibt, kann dieser nicht nur Verarbeitungen im Interesse des Verantwortlichen legitimieren, sondern auch solche im Interesse eines Dritten. Die Preisgabe von Beschäftigtendaten im Zusammenhang mit dem Unternehmensverkauf liegt im Interesse des Verkäufers wie auch des Käufers. Mitarbeiter sind das wichtigste Asset eines Unternehmens. Für den potenziellen Käufer eines Unternehmens ist die Personalstruktur beim zur Veräußerung stehenden Unternehmen und die Expertise der dort arbeitenden Personen von zentraler Bedeutung.

Fraglich ist allerdings zunächst, inwiefern Art. 6 Abs. 1 lit. f DS-GVO neben § 26 BDSG zur Anwendung kommen kann und ob nicht die Gefahr besteht, dass über einen Rückgriff auf die Interessenabwägung die Anforderungen des § 26 BDSG unterlaufen werden, nämlich die Erforderlichkeit der Verarbeitung der Beschäftigtendaten für die Durchführung des Beschäftigungsverhältnisses. Die Gefahr, dass § 26 BDSG unterlaufen wird, ergibt sich allerdings nur dann, wenn Zwecke verfolgt werden, die im Zusammenhang mit dem Beschäftigungsverhältnis stehen. Wie vorstehend unter a) ausgeführt, liegt das Interesse des Arbeitgebers, sein Unternehmen zu verkaufen, jedoch außerhalb der Zwecke des Beschäftigungsverhältnisses. Es entspricht der herrschenden Ansicht, dass private Arbeitgeber für sog. „beschäftigungsfremde Zwecke“ auf Art. 6 Abs. 1 lit. f DS-GVO zurückgreifen können. (4)

Die Anwendbarkeit von Art. 6 Abs. 1 lit. f DS-GVO in Fällen des Unternehmensverkaufs ist jedoch vor dem Hintergrund fraglich, dass die betroffenen Beschäftigtendaten ursprünglich für die Zwecke des Beschäftigungsverhältnisses erhoben wurden, es sich also um eine Weiterverarbeitung zu neuen Zwecken handelt. Nach Art. 5 Abs. 1 lit. b DS-GVO gilt das Prinzip der Zweckbindung personenbezogener Daten. Nach Art. 6 Abs. 4 DS-GVO setzt eine zweckändernde Verarbeitung, sofern keine Einwilligung der betroffenen Person und keine spezielle gesetzliche Erlaubnis vorliegt, eine Prüfung der Kompatibilität, also der Vereinbarkeit des neuen Verarbeitungszwecks mit dem ursprünglichen Erhebungszweck voraus.

Art. 6 Abs. 4 DS-GVO wirft zahlreiche Fragen auf. Fraglich ist u.a., ob noch ein Rückgriff auf die allgemeine Interessenabwägung gemäß Art. 6 Abs. 1 lit. f DS-GVO möglich ist, sofern festgestellt wurde, dass ein geplanter neuer Verarbeitungszweck mit dem ursprünglichen Erhebungszweck inkompatibel ist. Ein Umkehrschluss aus Art. 6 Abs. 4 DS-GVO und der dort vorgenommenen Beschränkung auf die Einwilligung bzw. spezifische Erlaubnisse wird wohl zu dem Ergebnis führen, dass im Falle der Inkompatibilität eine Weiterverarbeitung auf Grundlage der allgemeinen Interessenabwägung gerade nicht zulässig sein soll. (5)

Entscheidend ist damit hier die Frage der Vereinbarkeit des neuen Verarbeitungszwecks der Beschäftigtendaten („Unternehmensverkauf und Due Diligence“) mit dem ursprünglichen Erhebungszweck („Begründung und Durchführung des Beschäftigungsverhältnisses“). Art. 6 Abs. 4 sieht einen nicht abschließenden („unter anderem“) Katalog von Aspekten vor, die bei der Kompatibilitätsprüfung zu berücksichtigen sind. Dazu gehören:

• jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung (lit. a),
• der Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen (lit. b),
• die Art der personenbezogenen Daten, insbesondere ob Daten gem. Art. 9 f. DS-GVO verarbeitet werden (lit. c),
• die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen (lit. d) sowie
• das Vorhandensein geeigneter Garantien, wozu etwa Verschlüsselung oder Pseudonymisierung gehören können (lit. e).

Nach den vor Geltung der DS-GVO auf Basis der allgemeinen Interessenabwägung entwickelten Grundsätzen wurde neben der Bereitstellung von Beschäftigtendaten in anonymisierter oder pseudonymisierter Form im Rahmen einer Due Diligence grundsätzlich auch die Preisgabe von Klardaten als zulässig erachtet, sofern ausgewählte Experten oder Beschäftigte in Schlüsselpositionen betroffen waren und eine Offenlegung dem jeweiligen Marktstandard bei Transaktionen vergleichbarer Größe und Bedeutung entsprach. (6) Personenbezogene Informationen über Führungskräfte sind für den Erwerber unentbehrlich. Eine Anonymisierung oder Pseudonymisierung wird dem Informationsinteresse des Erwerbers in aller Regel nicht gerecht. (7) Nach herrschender Literatur soll sich an diesem Umfang zulässiger Datenpreisgabe an potenzielle Unternehmenserwerber seit Geltung der DS-GVO und insbesondere des Art. 6 Abs. 4 im Grundsatz nichts geändert haben.

Zwischen der Nutzung von Daten für ein Beschäftigungsverhältnis und der Prüfung derselben Informationen zum Zweck des Unternehmenserwerbs bestehe ein „naher Zweckzusammenhang“ i.S.v. Art. 6 Abs. 4 lit. a DS-GVO. (8) Eine Due Diligence Prüfung sei nach dem relevanten objektiven Erwartungshorizont für Beschäftigte ein allgemein vorhersehbares Ereignis. Dass ihre Daten im Laufe des Beschäftigungsverhältnisses für eine Unternehmenstransaktion relevant werden können, sei objektiv möglich wie vorhersehbar. (9) Wie bei der Erlaubnis nach Art. 6 Abs. 1 lit. f DS-GVO sei auch nach Art. 6 Abs. 4 lit. e DS-GVO das Risiko für die betroffenen Personen durch eine weitestmögliche Anonymisierung der Daten, eine Verschlüsselung der Übermittlung sowie eine Vereinbarung von Geheimhaltungs- und Löschpflichten für den Fall einer gescheiterten Unternehmenstransaktion möglichst gering zu halten. (10) Die bei Einrichtung und Betrieb des virtuellen bzw. physischen Datenraums einzuhaltenden technisch-organisatorischen Anforderungen stiegen mit zunehmender Schutzbedürftigkeit der dort vorgehaltenen Daten. (11)

Auch wenn die Kompatibilitätsprüfung nach Art. 6 Abs. 4 DS-GVO im Ergebnis einer Interessenabwägung also nicht unähnlich sein mag, gibt es aber doch einen entscheidenden Unterschied zur Rechtslage vor Geltung der DS-GVO, nämlich die Informationspflicht aus Art. 13 Abs. 3 DS-GVO gegenüber den Experten bzw. Schlüsselpersonen, deren Daten im Klartext an potenzielle Erwerber fließen sollen. Beabsichtigt nämlich der Verantwortliche, personenbezogene Daten für einen anderen Zweck weiterzuverarbeiten als den, für den diese ursprünglich erhoben wurden, so hat er nach Art. 13 Abs. 3 DS-GVO der betroffenen Person vor der Weiterverarbeitung Informationen über diesen neuen Zweck und alle anderen maßgeblichen Informationen nach Art. (13) Abs. 2 DS-GVO zur Verfügung zu stellen. Ungeachtet dieser Pflicht zur Information bei Zweckänderung sieht außerdem Art. 14 DS-GVO für den Datenempfänger eine Verpflichtung zur Information der Betroffenen über die Speicherung der erhaltenen Daten vor. Sofern potenzielle Erwerber personenbezogen über Beschäftigte des Veräußerers informiert werden sollen, führen die DS-GVO Transparenzpflichten damit zur Gefährdung der Geheimhaltung der Vertragsverhandlungen. (12) Vor diesem Hintergrund wird empfohlen, durch Anonymisierung auf den Austausch von personenbezogenen Informationen so weit als möglich zu verzichten.

c) Einwilligung

Zwar ist es nicht ausgeschlossen, dass auch Beschäftigte eine datenschutzrechtliche Einwilligung freiwillig erteilen. Nach § 26 Abs. 2 S. 1 BDSG bedarf es aber aufgrund der im Beschäftigungsverhältnis bestehenden Abhängigkeit der beschäftigten Personen bei Einwilligungen von Beschäftigten stets der besonderen Prüfung der Freiwilligkeit der Erklärung. Nach § 26 Abs. 2 S. 2 BDSG kann eine Freiwilligkeit insbesondere vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen. Letzteres ist hier nicht anzunehmen. In den meisten Fällen sehen Beschäftigte einen potenziellen Verkauf des Unternehmens durch den Arbeitgeber eher skeptisch, als dass sie sich hiervon Vorteile versprechen. Vielfach ist die Zukunft des Unternehmens unter der Hand des potenziellen Erwerbers im Detail unklar und der Verkauf für die Beschäftigten mit Sorgen verbunden. Als Rechtsgrundlage für die Weitergabe von Daten „einfacher“ Beschäftigter an potenzielle Erwerber des Unternehmens dürfte die Einwilligung damit regelmäßig ausscheiden.

Abhängig von der konkreten Funktion kann bei Führungskräften demgegenüber ein klares Ungleichgewicht ggf. zu verneinen sein. Da Führungskräfte oftmals maßgeblich an Unternehmenstransaktionen beteiligt sind, müssen auch Geheimhaltungsinteressen des Veräußerers nicht zwingend einer Einholung entsprechender Erklärungen entgegenstehen.

d) Betriebsvereinbarung

Nach § 26 Abs. 4 BDSG ist die Verarbeitung personenbezogener Beschäftigtendaten, einschließlich besonderer Kategorien personenbezogener Daten, auch auf der Grundlage von Kollektivvereinbarungen zulässig. Dem Abschluss einer Kollektivvereinbarung wird allerdings in der Praxis typischerweise das Geheimhaltungsinteresse des Erwerbers und Veräußerers entgegenstehen. (14) Auch wird der Betriebsrat der Preisgabe personenbezogener Daten der Arbeitnehmer in der Regel nicht ohne Weiteres zustimmen. (15)

III. Ergebnis

Auf den Austausch von personenbezogenen Informationen über Beschäftigte sollte im Rahmen des Due Diligence Verfahrens nach Möglichkeit verzichtet werden. Ausnahmen sind für Schlüsselpersonen und Führungskräfte denkbar. Als Grundlage der Preisgabe von Informationen über diese Personen kommt entweder eine kompatible Weiterverarbeitung nach Art. 6 Abs. 4 DS-GVO oder aber eine Einwilligung der Personen in Betracht. Im ersten Fall bedarf es der Vorabinformation nach Art. 13 Abs. 3 DS-GVO.