Die Übertragung von Kundendaten bei Shop-Veräußerung: Datenschutzrechtliche Pflichten + Muster

Umsatzstarke Online-Shops stellen erhebliche Vermögenswerte dar und können wie die darüber verkauften Waren gehandelt werden. Soll ein Online-Shop veräußert werden, ist insbesondere der vorhandene Kundenstamm wertbildend. Bei dessen Übertragung auf den Erwerber sind jedoch zwingend datenschutzrechtliche Vorgaben zu beachten, die je nach Art der Transaktion und der Verarbeitungszwecke variieren können. Welche Pflichten das Datenschutzrecht dem Veräußerer eines Online-Shops auferlegt und wie diese umzusetzen sind, zeigt - inklusive hilfreicher Musterformulierungen für Mandanten - der folgende Beitrag.

I. Datenschutzrechtliche Relevanz der Übertragung von Kundendaten bei einer Webshop-Veräußerung

Online-Shops erheben und speichern diverse Kundendaten. Die gesammelten Datensätze reichen von Name und Anschrift, E-Mail-Adresse, Telefonnummern über Zahlungsdaten bis hin zu Bestellhistorien.

Soll nun ein Online-Shop an einen Erwerber übertragen werden, erhofft sich dieser, nicht nur neue Kunden zu gewinnen, sondern auch bestehende zu behalten. Gegenstand der Transaktion ist damit regelmäßig auch eine Übertragung der Bestandskundendaten.

Dieser Vorgang entfaltet nun grundsätzlich datenschutzrechtliche Relevanz, weil personenbezogene Daten der Kunden an einen aus Kundensicht unbekannten Dritten weitergegeben und von diesem vielfältig sollen genutzt werden können.

Das Eingreifen des Datenschutzrechtes kann auf Veräußererseite bestimmte Sorgfalts-, Abwägungs- und schließlich auch Informationspflichten auslösen.

Deren Eingreifen und Umfang hängt aber davon ab, wie die Transaktion konkret gestaltet wird und auf welchen Grundlagen die Verarbeitung der Datensätze bisher erfolgte.

Im Folgenden werden die zwei existierenden Transaktionsmodelle mit den jeweiligen datenschutzrechtlichen Obliegenheiten vorgestellt.

II. Übertragung von Kundendaten im Wege des „Share Deal“

Eine mögliche Form der Webshop-Veräußerung stellt der sogenannte „Share Deal“ dar.

Im Rahmen des Share Deal werden lediglich Unternehmensanteile veräußert und auf den Erwerber übertragen, ohne dass die Rechtspersönlichkeit des veräußernden Unternehmens beeinträchtigt wird.

Der Share Deal ist ausschließlich bei Veräußerungen durch eine Personengesellschaft (GbR, OHG, KG) oder eine Kapitalgesellschaft (GmbH, UG, AG) möglich.

Durch den Share Deal erfolgt der Inhaberwechsel durch reine Übertragung von Geschäftsanteilen. Das Unternehmen geht also als Ganzes auf den Rechtsnachfolger über, bleibt aber in seinem Bestand vollständig erhalten.

Wird ein Online-Shop, der von einer Gesellschaft betrieben wird, per Share Deal auf einen neuen Inhaber übertragen, ist dies datenschutzrechtlich unproblematisch.

Alle Kundendaten verbleiben nämlich beim ursprünglichen datenschutzrechtlichen Verantwortlichen, der Gesellschaft. Zwar ändert sich die Inhaberschaft an der Gesellschaft. Diese bleibt als rechtsfähige juristische Person aber vollständig erhalten und bestehende Kundendaten werden nicht an einen Dritten übertragen.

Bei Share Deals unterbleibt insofern eine datenschutzrechtliche relevante Übermittlung von Kundendaten an einen abweichenden Verantwortlichen. Die Datenhoheit übt vielmehr weiterhin die ursprüngliche Gesellschaft, bloß unter neuer Inhaberschaft, aus.

Mithin entfalten Kundendatentransfers im Wege von Share Deals bereits dem geltenden Datenschutzrecht nicht, weil es an einer anfänglichen „Verarbeitung von Daten“ in Form einer Übermittlung oder Offenlegung (Art. 4 Nr. 2 DSGVO) fehlt.

Wird der Online-Shop einer Gesellschaft im Rahmen eines Share Deal übernommen, greift das Datenschutzrecht insofern nicht ein.

III. Übertragung von Kundendaten im Wege des "Asset Deal"

Als Gegenstück zum „Share Deal“ können Online-Shops auch im Wege eines „Asset Deal“ übertragen werden.

Anders als der vollständige Aufkauf von Geschäftsanteilen mit der Konsequenz einer Rechtsnachfolge unter Erhaltung des Unternehmens werden beim „Asset Deal“ nur einzelne Vermögenswerte übertragen. Diese können etwa ein einzelner Online-Shop und die dazugehörigen Kundendatensätze sein.

Der „Asset Deal“ ist die einzig mögliche Transaktionsform bei nicht im Handeslregister eingetragenen Einzelunternehmen und eingetragenen Kaufleuten, die Vermögenswerte nicht in einer Gesellschaft binden. Darüber hinaus sind Asset Deals auch zwischen Gesellschaften möglich, wenn das Unternehmen nicht als Ganzes übergehen soll, sondern nur einzelne Positionen (wie etwa ein Webshop) den Inhaber wechseln.

Die Übertragung von Kundendaten bei Shop-Übergängen im Wege von „Asset Deals“ ist, anders als der „Share Deal“, nun von datenschutzrechtlicher Bedeutung.

Sollen diese Daten nämlich mit übergehen, werden sie zwangsweise an einen rechtlich unabhängigen Dritten übermittelt und damit einem neuen datenschutzrechtlich Verantwortlichen zugänglich gemacht.

Während der Veräußerer aufgrund des finanziellen Wertes der Daten ein Interesse an deren bezahlter Übertragung hat, ist den betroffenen Kunden das Interesse zu unterstellen, dass ihre Daten nicht gehandelt werden und beim ursprünglich Berechtigten verbleiben.

Dieser Interessenkonflikt muss mit Blick auf mögliche datenschutzrechtliche Rechtfertigungsgrundlagen gelöst werden.

IV. Datenschutzrechtliche Rechtfertigung der Kundendatenübertragung bei Shop-Transaktionen im Wege von "Asset Deals"

Die Übertragung von Kundendatensätzen auf einen juristisch unabhängigen Dritten ist aufgrund des einhergehenden Verantwortlichenwechsels datenschutzrechtlich relevant, sie stellt eine tatbestandliche Datenverarbeitung i.S.d. Art. 4 Nr. 2 DSGVO dar und bedarf daher für ihre Zulässigkeit einer datenschutzrechtlichen Rechtfertigung.

Welche Rechtfertigungsgrundlage eingreift und welche Pflichten von Seiten des Veräußerers damit einhergehen, hängt nun von der Art der Datensätze, deren Verwendung und auch deren Alter bzw. Inaktivitätsdauer ab.

1.) Daten von Bestandskunden ohne laufende Verträge (letzte Vertragsbeziehung jünger als 3 Jahre)

Von primärer Relevanz bei der Kundendatenübertragung eines Webshops sind Daten all solcher Kunden, die im Kundenstamm registriert sind und zu denen keine laufende Vertragsbeziehung (Dauerschuldverhältnis o.ä.) besteht.

Gerade diese Bestandskunden stellen einen entscheidenden Vermögenswert für den Shop-Abnehmer dar, weil sie für potenzielle Neubestellungen nach Shop-Übergang am wahrscheinlichsten in Frage kommen.

Ob und unter welchen Umständen Datensätze von Bestandskunden, deren letzte Vertragsbeziehung weniger als 3 Jahre zurückliegt, übertragen werden dürfen, wurde in der Literatur kontrovers diskutiert.

Mittlerweile besteht aber überwiegend Einigkeit darüber, dass eine individuelle Einwilligung jedes Kunden in die Migration unverhältnismäßig ist, das zumutbare Maß an Aufwand des Veräußerers übersteigt und den finanziellen Anreiz einer Shop-Transaktion aushebeln könnte.

Etabliert ist deswegen, dass solche Bestandskundendatensätze aufgrund überwiegender berechtigter Interessen des Shop-Veräußerers gemäß Art. 6 Abs. 1 lit. f DSGVO an den Erwerber übertragen werden dürfen.

Als berechtigte Veräußererinteressen gelten hierbei die weitere effektive Pflege der Kundenbeziehung, die Aufwandsreduzierung im Rahmen der Transaktion und letztlich auch die Sicherstellung eines integren und funktionsfähigen Transaktionsgegenstandes.

Um nun die Übertragung zu rechtfertigen, müssen diese berechtigten Interessen diejenigen des Kunden an einem Unterbleiben der Übertragung aber überwiegen.

Um dies sicherzustellen, muss allen betroffenen Kunden eine Widerspruchsmöglichkeit in Bezug auf die Übertragung eingeräumt werden.

Dies geht mit einer Informationspflicht des bisherigen Shop-Inhabers einher.

Dieser muss sich schriftlich an die betroffenen Bestandskunden wenden, über den bevorstehenden Inhaberwechsel und die damit einhergehende Datenübertragung informieren und den Betroffenen das Recht einräumen, der Übertragung innerhalb einer mindestens 3-wöchigen Frist zu widersprechen (s. dazu Muster unten unter V.)

Auf einen Widerspruch eines betroffenen Kunden hin darf dessen Datensatz sodann nicht zum Erwerber migriert werden.

Um die Frist zu wahren, muss der bisherige Shop-Inhaber das informatorische Schreiben spätestens 3 Wochen vor der geplanten Datenmigration versenden.

Die Übertragung der Kundendaten noch während des Fristlaufs ist nicht zulässig.

2.) Daten von Bestandskunden ohne laufende Verträge (letzte Vertragsbeziehung 3 Jahre alt oder älter)

Anders sieht die Rechtslage bei Daten von Bestandskunden aus, deren letzte Vertragsbeziehung 3 Jahre oder länger zurückliegt.

Weil hier die Wahrscheinlichkeit künftiger Vertragsbeziehungen signifikant geringer ist, kann eine Datenübernahme nicht durch berechtigte Interessen an der effektiven Weiterbildung einer Kundenbeziehung gerechtfertigt werden.

Insofern wird überwiegend vertreten, dass Datensätze derartiger Kunden nur bei Vorliegen einer ausdrücklichen Einwilligung an den Shop-Erwerber übermittelt werden dürfen.

Diese Einwilligung muss pro Bestandskunde vom Shop-Veräußerer individuell und schriftlich eingeholt werden.

Der Hinweis auf die Shop-Übertragung und den geplanten Datentransfer ist mit der Bitte um Einwilligung schriftlich zu kommunizieren (s. dazu Muster unten unter V.)

Hierbei sollte zu Organisationszwecken zumindest ein dreiwöchiger Vorlauf eingehalten werden.

Unterbleibt die schriftliche Einwilligungserteilung, dürfen die Datensätze von Kunden, deren letzte vertragliche Interaktion drei Jahre oder länger zurückliegt, nicht an den Shop-Erwerber übertragen werden.

3.) Daten von Kunden mit laufenden Vertragsbeziehungen

Sollten Daten von Kunden, zu denen der Shop-Veräußerer eine laufende Vertragsbeziehung (etwa über ein Dauerschuldverhältnis) unterhält, übertragen werden, ist dies faktisch nur möglich, wenn der Shop-Erwerber an Stelle des Veräußerers in den Vertrag eintritt.

Eine solche Vertragsübernahme hängt dabei von der Genehmigung des Kunden ab, § 415 BGB.

Die Genehmigung muss mit einem informatorischen Schreiben, idealerweise mit mindestens dreiwöchigem Vorlauf vor der geplanten Übernahme, eingeholt werden.

Wird sie erteilt, dürfen die betroffenen Kundendaten gemäß Art. 6 Abs. 1 lit. b DSGVO aufgrund ihrer Notwendigkeit zur Vertragsdurchführung auf den Erwerber übertragen werden.

Wird sie versagt, ist eine Übertragung unzulässig.

4.) Sensible Daten (Gesundheitsdaten, biometrische oder genetische Daten)

Sollen neben allgemeinen Personen-, Kommunikations-, Bestellhistorien- und Zahlungsdaten auch Kategorien besonders schützenswerter Daten (Gesundheitsdaten wie Rezepte, Versicherungsdaten, Anamnesen, Krankeitsverläufe; biometrische Daten; genetische Daten) an den Shop-Erwerber übertragen werden, ist dies aufgrund ausdrücklicher Anordnung des Art. 9 Abs. 2 lit. a DSGVO nur bei ausdrücklicher Einwilligung des Betroffenen zulässig.

Hierfür müssen die betroffenen Kunden per Schreiben über den geplanten Transfer ihrer besonderen Daten informiert und um Einwilligung gebeten werden. Dabei ist mindestens ein dreiwöchiger Vorlauf vor geplantem Datentransfer einzuhalten.

Wird die Einwilligung nicht erteilt, dürfen die besonderen Datenkategorien nicht übertragen werden.

5.) Newsletter-Daten

Einen Sonderfall bei der Datenübertragung bilden E-Mail-Adressen, für die eine Newsletter-Einwilligung gegenüber dem Shop-Veräußerer vorliegt.

Weil die Einwilligungen grundsätzlich nur für Newsletter des ehemaligen Shop-Betreibers eingeholt wurden, können sie datenschutzrechtlich nicht gleichzeitig den Versand von Newslettern durch den Shop-Erwerber rechtfertigen.

Insbesondere kommt Erwägungsgrund 171 der DSGVO nicht zum Tragen, der bestehende Einwilligungen für weiterhin rechtsgültig erklärt. Diese Feststellung gilt nämlich gerade bei einem Verantwortlichenwechsel (etwa im Rahmen einer Shop-Übernahme) nicht.

Insofern dürfen bestehende Newsletter-Anmeldungen von einem Shop-Erwerber nicht für einen Versand von Newslettern unter neuer Inhaberschaft bedenkenlos weiterverwendet werden.

Ausnahmsweise kommt zwar eine Weiterverarbeitung bestehender Newsletterdaten durch den neuen Erwerber über überwiegende berechtigte Interessen in Betracht wenn,

• die Newslettereinwilligung vorrangig geschäftsbezogen erteilt wurde, also primär an das Geschäft und dessen Angebot als solches anknüpft und nicht an die Person des Versenders und
• das Sortiment und der Geschäftszweck nach der Übernahme identisch bleiben, sich die werblichen Inhalte des Newsletters also nicht ändern

Dann sind die betroffenden Newsletterempfänger nur über den geplanten Inhaberwechsel zu informieren und Ihnen ist gleichzeitig vor der Übernahme ein dreiwöchiges Widerspruchsrecht in Bezug auf die Weiterverwendung Ihrer Mailadressen zu E-Mail-Marketing-Zwecken einzuräumen. Wird Widerspruch erhoben, sind die betroffenen Daten aus dem Newsletter-Verteiler vor der Datenübertragung zu eliminieren.

Liegen die Voraussetzungen nicht vor, ist eine Weiterverarbeitung der Daten zu Newsletterversandzwecken unzulässig und der Erwerber wäre gehalten, eine erneute ausdrückliche Newsletter-Einwilligung, auf seine Person lautend, einzuholen.

Achtung: um diese Einwilligung darf der Erwerber nicht in einem Mail-Rundschreiben an die Betroffenen bitten. Mail-Rundschreiben, die auf die Erteilung einer Newsletter-Einwilligung abzielen, stellen selbst tatbestandliche Werbung dar und dürften nur bei vorheriger ausdrücklicher Einwilligung versendet werden, § 7 Abs. 2 Nr. 2 UWG.

In diesem Fall muss der Erwerber also hoffen, dass sich die Betroffenen von sich aus neu für den Newsletter anmelden.

V. Informationsschreiben für Widerspruch/Einwilligung an Kunden + Muster für Mandanten

Je nach Kategorie der Datensätze und Zeitlauf seit der letzten Geschäftsbeziehung setzt die zulässige Übernahme von Kundendaten eine schriftliche Information des Veräußerers voraus, in welcher er über die geplante Transaktion informiert und entweder auf eine bestehende Widerspruchsmöglichkeit hinweist oder um eine ausdrückliche Einwilligung in die Datenübertragung bittet.

1.) Übermittlung per Mail: Zulässigkeitsanforderungen

Um den finanziellen und organisatorischen Aufwand möglichst gering zu halten, ist die ideale Kommunikationsform für die Mitteilung die E-Mail.

Hierfür ist aber zwingend das Belästigungsverbot des § 7 Abs. 2 Nr. 2 UWG für Werbung zu beachten, bei deren Vorliegen die Mailmitteilung einer eigenständigen Einwilligungspflicht unterliegen würde.

Die bloß informatorische Belehrung über einen bevorstehenden Shop-Inhaberwechsel, damit einhergehende Datenverarbeitungen und die sich insoweit ergebenden Betroffenenrechte stellt als rein sachliche Unternehmenskommunikation keine Werbung dar und unterliegt bei Versand per Mail keiner Einwilligungspflicht.

Enthält die Mail aber auch werbende Elemente, wird das ganze Schreiben zur einwilligungspflichten Werbung umqualifiziert und dürfte ohne vorherige Einwilligung nicht versendet werden.

Shop-Veräußerer, die Kunden per E-Mail über die Transaktion, Datenübermittlung und die bestehenden Betroffenrechte informieren möchten, müssen also zwingend darauf achten, in dem Schreiben auf jegliche Art der Werbung zu verzichten.
Insbesondere zu unterlassen sind

• Produktdarstellungen und/oder Preisangaben
• Newsletter-Anmeldefelder
• Affiliate-Links
• Rabattankündigungen
• Gutscheincodes
• Slogans

Die informatorische Mail sollte neben der Belehrung in Textform keine weiteren gestalterischen Elemente enthalten.

2.) Muster für Mandanten: Information über Shop-Veräußerung und Widerspruchsmöglichkeit

Das nachstehende Muster kann von Mandanten verwendet werden, die einen bestehenden Shop an einen neuen Inhaber veräußern und dabei allgemeine Daten von Kunden, deren letzte Vertragsbeziehung/Bestellung weniger als 3 Jahre zurückliegt, übertragen wollen.

Diese Kunden müssen über den Inhaberwechsel und den geplanten Datentransfer vor der Shop-Veräußerung informiert werden und der Veräußerer muss ihnen das Recht einräumen, der Datenübertragung innerhalb einer mindestens 3-wöchigen Frist zu widersprechen.

Exklusiv-Inhalt für Mandanten

Noch kein Mandant?

Ihre Vorteile im Überblick

• Wissensvorsprung

  Zugriff auf exklusive Beiträge, Muster und Leitfäden
• Schutz vor Abmahnungen

  Professionelle Rechtstexte – ständig aktualisiert
• Monatlich kündbar

  Schutzpakete mit flexibler Laufzeit

Ab

5,90 €

mtl.

Jetzt Mandant werden

3.) Muster für Mandanten: Information über Shop-Veräußerung und Einwilligungsbitte

Das nachstehende Muster kann von Mandanten verwendet werden, die einen bestehenden Shop an einen neuen Inhaber veräußern und dabei allgemeine Daten von Kunden, deren letzte Vertragsbeziehung/Bestellung 3 Jahre oder länger zurückliegt, übertragen wollen.

Diese Kunden müssen über den Inhaberwechsel und den geplanten Datentransfer vor der Shop-Veräußerung informiert werden und in eine Übertragung ihrer Daten ausdrücklich einwilligen. Anderenfalls ist die Datenmigration unzulässig.

Exklusiv-Inhalt für Mandanten

Noch kein Mandant?

Ihre Vorteile im Überblick

• Wissensvorsprung

  Zugriff auf exklusive Beiträge, Muster und Leitfäden
• Schutz vor Abmahnungen

  Professionelle Rechtstexte – ständig aktualisiert
• Monatlich kündbar

  Schutzpakete mit flexibler Laufzeit

Ab

5,90 €

mtl.

Jetzt Mandant werden

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.