Unternehmenskaufvertrag. Christoph Louven

Kontext sind schließlich die Existenz von Vertraulichkeitsvereinbarung und die Phase der Transaktion, in welcher die personenbezogenen Daten im Datenraum offengelegt werden, zu berücksichtigen. Je weiter der Verkaufsprozess fortgeschritten ist, desto stärker müssen die Interessen der Betroffenen hinter denen des Verkäufers und des Kaufinteressenten zurückstehen.386

      202

Weitere Voraussetzung des Art. 6 Abs. 1 lit. f DSGVO ist, die Interessen des Verkäufers und Kaufinteressenten einerseits und die Interessen der Betroffenen am Schutz ihrer informationellen Selbstbestimmung andererseits ins Verhältnis zu stellen und zu einem schonenden Ausgleich zu bringen.387 Die dafür erforderliche Abwägung hat im Einzelfall zu erfolgen, pauschalierende Aussagen verbieten sich.388

203

Es ist dann zu prüfen, ob es Beschäftigtendaten von Beschäftigten in herausgehobener Position gibt, für die ein hohes Informationsinteresse des Kaufinteressenten besteht.389 Dies wird für die Mitglieder des Geschäftsleitungsorgans, also Vorstände und Geschäftsführer der Zielgesellschaft etwa im Hinblick auf deren Namen, Qualifikation, Vergütung, die Konditionen der Anstellungsverträge, insbesondere in Bezug auf die Existenz von Change-of-Control-Klauseln, Kündigungsmöglichkeiten, Pensionszusagen oder Wettbewerbsverboten, vertreten390 und soll auch bereits in einer sehr frühen Phase der Transaktion und im Hinblick auf eine Vielzahl von Interessenten gelten.391 Denn die Qualität des Managements, seine Qualifikationen und ggf. bestehende individuelle Sondervereinbarungen werden als maßgeblich, insbesondere auch für den wirtschaftlichen Erfolg und damit auch den Wert der Zielgesellschaft, angesehen.392 Oft haben Vorstände und Geschäftsführer aber auch schon ein hohes Eigeninteresse an der Mitteilung zumindest ihrer Namen393 und möglicherweise im Einzelfall auch an der Mitteilung weiterer Details ihrer Anstellungsverhältnisse. Dies soll für leitende Angestellte und Schlüsselmitarbeiter der Zielgesellschaft (etwa Know-how-Träger) nicht ohne Weiteres gelten und eher bei „kleinen Targets“ anzunehmen sein.394 Das überzeugt nicht. Denn gerade bei mittleren und großen Zielgesellschaften sind regelmäßig gerade auch die Führungskräfte auf der Ebene unterhalb des Vorstands oder der Geschäftsführung wesentliche Träger des Unternehmenserfolgs. Auch bei ihnen sollte daher ein hohes Informationsinteresse datenschutzrechtlich anerkannt werden.395 Die Offenlegung von einzelnen personenbezogenen Daten nachgeordneter „normaler“ Mitarbeiter dürfte regelmäßig seltener gerechtfertigt sein. So dürfen etwa jedenfalls die Anzahl von Mitarbeitern in bestimmten Abteilungen oder die Höhe der Gehälter, die für bestimmte Personen gezahlt werden, tendenziell nur in aggregierter Form offen gelegt werden.396 Zum Teil wird darüber hinaus angenommen, dass grundsätzlich sämtliche Informationen über nachgeordnete „normale“ Mitarbeiter nur in anonymisierter Form offengelegt werden dürften, weil ihre namentliche Offenlegung für die Unternehmensbewertung nicht erforderlich sei.397 Ausnahmsweise dürfe der Name eines individuellen Know-how-Trägers oder Vertriebsmitarbeiters von so herausgehobenem Interesse für den Kaufinteressenten sein, dass die Offenlegung seines Namens zulässig sei.398 Arbeitsverträge dürfen nur in Gestalt eines Standardarbeitsvertrags zur Verfügung gestellt werden. Die Offenlegung der gesamten Personalakte oder von Auszügen aus ihr ohne Einwilligung des Betroffenen dürfte eine „rote Linie“ darstellen, deren Überschreitung nur in absoluten Ausnahmefällen gerechtfertigt sein kann.399 Kundenverträge oder sonstige Verträge der Zielgesellschaft mit natürlichen Personen unterliegen, wenn sie in anonymisierter Form (also etwa durch Schwärzung der personenbezogenen Daten) in einer Weise offengelegt werden, dass eine Zuordnung zu einer natürlichen Person nur mit unverhältnismäßig hohem Aufwand an Zeit und Arbeitskraft möglich ist, nicht der DSGVO.400 Eine Offenlegung von Listen mit natürlichen Personen, die Kunden oder sonstige Vertragspartner der Zielgesellschaft sind, mit deren Klarnamen ist regelmäßig unzulässig.401 Müssen im Rahmen der Due Diligence z.B. Kundendaten mit Kundendatenbanken des Kaufinteressenten abgeglichen werden, um mögliche positive Effekte des Erwerbs prüfen zu können, soll das bei hoher Übernahmewahrscheinlichkeit zulässig sein.402 Liegen diese Voraussetzungen nicht vor, kann ein Datenabgleich durch einen Treuhänder in Betracht kommen.403 Ob und inwieweit ein Dienstleister mit dem Betrieb des virtuellen Datenraums beauftragt werden darf, hängt davon ab, in welchem Land der Dienstleister seine Dienste anbietet. Werden personenbezogene Daten an einen in einem Drittstaat tätigen Anbieter übermittelt, sind die Anforderungen der Art. 44ff. DSGVO zu beachten.404 Im Regelfall sollte das Land allerdings innerhalb der EU liegen. Bei konkreten Zweifeln mögen der Verkäufer und die Zielgesellschaft dies rechtzeitig vorher gemeinsam mit dem Datenraumbetreiber sicherstellen. Liegt das Land innerhalb der EU, sind für die Zulässigkeit der Datenverarbeitung wiederum die Anforderungen des Art. 6 Abs. 1 lit. f DSGVO zu beachten; zudem sollte der Dienstleister zumindest verpflichtet werden, das Datenschutzrecht einschließlich der Anforderungen an die Sicherheit der Verarbeitung des Art. 32 DSGVO zu beachten sowie Vertraulichkeit sicherzustellen.405 Der vorzugswürdige Weg ist freilich der Abschluss eines Auftragsverarbeitungsvertrags im Sinne des Art. 28 DSGVO unter Beachtung von dessen Anforderungen.406

      204

      Sind personenbezogene Daten datenschutzrechtlich konform im virtuellen Datenraum hochgeladen worden, kommt eine Offenlegung gegenüber Kaufinteressenten durch Öffnung des Datenraums ebenfalls nur unter Beachtung der datenschutzrechtlichen Anforderungen in Betracht. Jede Offenlegung personenbezogener Daten gegenüber Kaufinteressenten muss danach entweder aufgrund einer Einwilligung erfolgen oder den Anforderungen der DSGVO, insbesondere deren Art. 6 Abs. 1 lit. f DSGVO, genügen.

      205

Eine Einwilligung von natürlichen Personen als Kunden, Lieferanten oder sonstigen Vertragspartnern oder von Beschäftigten der Zielgesellschaft wird regelmäßig nicht vorliegen. Die betroffenen Personen im Kontext der geplanten Transaktion um eine Einwilligung zu bitten, kollidiert mit dem Interesse des Verkäufers und der Zielgesellschaft an Vertraulichkeit. Auch stellt es regelmäßig eine große praktische Herausforderung dar, etwa von sämtlichen Mitarbeitern der Zielgesellschaft Einwilligungen zu beschaffen, denn diese ist freiwillig und zudem auch frei widerrufbar. Um diese Probleme zu vermeiden, wird vertreten, dass die (in der Praxis selten genutzte) Möglichkeit besteht, in einer Betriebsvereinbarung Erlaubnistatbestände für die Verarbeitung personenbezogener Daten im Beschäftigungsverhältnis zu schaffen.407 Darin können abstrakte Rechtsfertigungstatbestände geschaffen werden oder geringere Anforderungen an die konkrete Benennung der Umstände der Verarbeitung vereinbart werden.408 Zweckmäßig kann eine solche Betriebsvereinbarung insbesondere für Portfoliounternehmen von Private Equity-Fonds sein, bei denen eine oder gar mehrere Veräußerungen in der Zukunft wahrscheinlich sind.409

206

In der Praxis muss deshalb die große Mehrzahl der Offenlegungen personenbezogener, nicht sensibler410 Daten während einer Due Diligence auf die gesetzliche Erlaubnis des Art. 6 Abs. 1 lit. f DSGVO gestützt werden können, um datenschutzrechtlich konform zu sein.

      207

Weniger Beachtung gefunden hat und bislang datenschutzrechtlich weitgehend ungeklärt ist411 die Frage, ob die betroffenen Personen von einer Offenlegung ihrer personenbezogenen Daten zu unterrichten sind. Das wäre nach Art. 13 Abs. 3 DSGVO der Fall, wenn die Offenlegung der personenbezogenen Daten im Rahmen einer Due Diligence für einen anderen Zweck erfolgt als zu dem Zweck, zu dem sie ursprünglich erhoben wurden. Dass solch eine Zweckänderung vorliegt, wird in der datenschutzrechtlichen Literatur vertreten.412 In der Praxis könnte dies zu dem „fatale(n) Ergebnis“413 führen, dass der Verkäufer seine Verkaufspläne bereits frühzeitig gegenüber solchen Personen offenlegen muss, deren personenbezogene Daten er offenzulegen beabsichtigt.414 Gegen die Annahme einer Zweckänderung spricht, dass bei einer aktiv am Wirtschaftsleben teilnehmenden Zielgesellschaft immer auch Veränderungen durch M&A-Aktivitäten wahrscheinlich sind und daher einen latent vorgesehenen Datenverarbeitungszweck darstellen.415 Beschäftigtendaten der Zielgesellschaft werden zudem auch bei Offenlegung gegenüber einem Kaufinteressenten für Beschäftigungszwecke genutzt.416 Dennoch