Datenschutz bzgl. Kundendaten bei Unternehmenstransaktionen unter besonderer Berücksichtigung der DSGVO

Carmen Födisch

doi:10.5771/9783800593804

Zusammenfassung

Mit Geltung der DSGVO seit Mai 2018 müssen sich Unternehmen auf deren Regelungen und Durchsetzung einrichten. Die vorliegende Arbeit untersucht aus datenschutzrechtlicher Perspektive die Durchführung von Unternehmenstransaktionen, bei denen Daten von Kunden auf den Erwerber übertragen werden sollen. In diesem Zusammenhang wird die DSGVO als neuer datenschutzrechtlicher Rahmen in Bezug auf Unternehmenstransaktionen durch Auslegung konkretisiert. Das Thema ist nicht nur in theoretischer Hinsicht von enormer Bedeutung, sondern auch für die Rechtspraxis von aktueller Relevanz. Denn heutzutage sind Kundendaten für den Geschäftserfolg eines Unternehmens wichtiger denn je.

Im Fokus der Untersuchung stehen eine Unterteilung der Unternehmenstransaktion in verschiedene Phasen (Vorbereitung, Due Diligence, Vollzug und Post-Merger-Integration) sowie eine Differenzierung anhand der rechtlichen Gestaltungsformen (Umwandlung, Share Deal und Asset Deal).

Schlagworte

Publikation durchsuchen

Bibliographische Angaben

Copyrightjahr: 2021
ISBN-Print: 978-3-8005-1785-5
ISBN-Online: 978-3-8005-9380-4
Verlag: dfv Mediengruppe, Frankfurt am Main
Sprache: Deutsch
Seiten: 279
Produkttyp: Monographie

Inhaltsverzeichnis

KapitelSeiten

Titelei/Inhaltsverzeichnis Kein Zugriff Seiten I - XIX
1. 1. I. Der rasante Anstieg von Datenmengen bei Unternehmenstransaktionen und dessen Auswirkungen Kein Zugriff
  2. II. Die Rolle des Datenschutzes und der Einfluss der DSGVO auf Unternehmenstransaktionen Kein Zugriff
  3. III. Das Paradoxon der bestehenden Rechtsunsicherheit und dem hohen Wert von Kundendaten bei Unternehmenstransaktionen Kein Zugriff
2. B. Ziel der Untersuchung und Gang der Darstellung Kein Zugriff
3. C. Nicht behandelte Aspekte Kein Zugriff
1. A. Entwicklung des deutschen Datenschutzrechts Kein Zugriff
2. B. Ziele der DSGVO und ihre Auslegungsbedürftigkeit Kein Zugriff
3. 1. I. Potenzieller Verstoß gegen das Normwiederholungsverbot durch das BDSG n. F. Kein Zugriff
  2. II. Europarechtskonforme Auslegung des BDSG n. F. und der Anwendungsvorrang der DSGVO Kein Zugriff
  3. III. Anwendung der Grundrechte – welcher Maßstab gilt? Kein Zugriff
1. 1. I. Der Begriff der Verarbeitung im Sinne von Art. 4 Nr. 2 DSGVO Kein Zugriff
  2. 1. 1. Auslegung des Begriffs des personenbezogenen Datums Kein Zugriff
    2. 1. a. Geschäftskundendaten Kein Zugriff
      2. b. Privatkundendaten Kein Zugriff
      3. c. Besondere Kategorien personenbezogener Kundendaten Kein Zugriff
    3. 3. Beschäftigtendaten Kein Zugriff
    4. 4. Nicht personenbezogene Unternehmensdaten Kein Zugriff
  3. 1. 1. Die Gleichrangigkeit und das Konkretisierungsbedürfnis derZulässigkeitsvarianten Kein Zugriff
    2. 1. a. Berechtigtes Interesse Kein Zugriff
      2. b. Erforderlichkeit Kein Zugriff
      3. c. Abwägung Kein Zugriff
      4. d. Zwischenergebnis Kein Zugriff
  4. 1. 1. a. Der Begriff des Unternehmens im Allgemeinen Kein Zugriff
      2. b. Der datenschutzrechtliche Unternehmensbegriff Kein Zugriff
      3. c. Der Verantwortliche Kein Zugriff
      4. d. Zwischenergebnis: Der Begriff des Zielunternehmens Kein Zugriff
    2. 2. Abgrenzung zu datenschutzrelevanten Übermittlungen innerhalb oderzwischen Unternehmen Kein Zugriff
    3. a. Fehlendes Konzernprivileg Kein Zugriff
    4. b. Auftragsdatenverarbeitung i. S. v. Art. 28 DSGVO Kein Zugriff
    5. c. Gemeinsame Verantwortlichkeit i. S. v. Art. 26 DSGVO Kein Zugriff
2. 1. I. Das Zielunternehmen und seine geschützten Interessen Kein Zugriff
  2. II. Potenzielle Unternehmenserwerber Kein Zugriff
  3. III. Der Kunde des Zielunternehmens Kein Zugriff
  4. IV. Zwischenergebnis: Die der DSGVO immanenten gegenüberstehendenInteressenspositionen Kein Zugriff
3. 1. I. Motive für die Durchführung einer Unternehmenstransaktion Kein Zugriff
  2. II. Überblick über die Phasen einer Unternehmenstransaktion und ihre Zweckmäßigkeit Kein Zugriff
  3. 1. 1. Share Deal Kein Zugriff
    2. 2. Asset Deal Kein Zugriff
    3. 1. a. Verschmelzung Kein Zugriff
      2. b. Spaltung (Aufspaltung, Abspaltung, Ausgliederung) Kein Zugriff
      3. c. Vermögensübertragung Kein Zugriff
      4. d. Formenwechsel Kein Zugriff
    4. 4. Zwischenergebnis: Der verwendete Begriff der Unternehmenstransaktion Kein Zugriff
1. 1. 1. 1. Allgemeine technische und organisatorische Maßnahmen Kein Zugriff
    2. 2. Technische und organisatorische Sicherheitsmaßnahmen Kein Zugriff
    3. 1. a. Sinn und Zweck des risikobasierten Ansatzes der DSGVO Kein Zugriff
      2. b. Allgemeine Vorgehensweise zur Risikobeurteilung Kein Zugriff
      3. c. Risikobeurteilung einer Unternehmenstransaktion Kein Zugriff
  2. 1. 1. Dokumentation in einem Verzeichnis von Verarbeitungstätigkeiten Kein Zugriff
    2. 2. Zuständigkeitsregelungen Kein Zugriff
    3. 3. Datenselektion Kein Zugriff
    4. 4. Pseudonymisierung und Verschlüsselung von Kundendaten Kein Zugriff
    5. 5. Weitere Maßnahmen der Informationssicherheit Kein Zugriff
    6. 6. Prozesse zur Erfüllung der Transparenzpflichten Kein Zugriff
    7. 7. Keine Notwendigkeit einer vorherigen Datenschutz-Folgenabschätzung nach Art. 35 DSGVO Kein Zugriff
    8. 8. Einbindung des Datenschutzbeauftragten Kein Zugriff
2. 1. I. Gesetzliche Anforderungen Kein Zugriff
  2. II. Praktische Umsetzungsmöglichkeit in einem Datenschutz-Management-System Kein Zugriff
3. C. Zwischenergebnis Kein Zugriff
1. 1. I. Rechtmäßigkeit der ursprünglichen Datenerhebung Kein Zugriff
  2. II. Strukturierung und Systematisierung der Kundendatensätze Kein Zugriff
2. B. Informationsmemorandum vs. Letter of Intent bzw. Memorandum of Understanding Kein Zugriff
3. C. Zusammenfassung Kein Zugriff
1. 1. I. Ablauf einer Due Diligence: Die sukzessive Zurverfügungstellung von Daten Kein Zugriff
  2. 1. 1. Risikoermittlungsfunktion Kein Zugriff
    2. 2. Wertermittlungsfunktion Kein Zugriff
    3. 1. a. Notwendige Grundlage zur Gestaltung des Gewährleistungs- und Haftungsregimes Kein Zugriff
      2. b. Keine rechtliche Verpflichtung zur Durchführung einer Due Diligence Kein Zugriff
    4. 4. Dokumentations- und Beweissicherungsfunktion Kein Zugriff
  3. 1. 1. Arten von Datenräumen Kein Zugriff
    2. 1. a. Datenraumregeln Kein Zugriff
      2. b. Vertraulichkeitsvereinbarungen Kein Zugriff
  4. IV. Arten einer Due Diligence mit besonderem Blick auf die Einhaltung der datenschutzrechtlichen Anforderungen Kein Zugriff
  5. V. Zwischenfazit: Wirtschaftlicher und rechtlicher Spagat zwischen Datenpreisgabe und -zurückhaltung Kein Zugriff
2. 1. 1. 1. a. Unklare Reichweite des Art. 6 Abs. 4 DSGVO und sein Verhältnis zu Art. 6 Abs. 1 DSGVO Kein Zugriff
      2. b. E. A.: Kompatible Zweckänderung i. S. v. Art. 6 Abs. 4 DSGVO imRahmen der Due Diligence Kein Zugriff
      3. c. A. A.: neue, nach Art. 6 Abs. 1 DSGVO zu rechtfertigende Verarbeitungssituation Kein Zugriff
      4. (1) Eigenständige Bedeutung des Zwecks der Datenverarbeitung in derDue Diligence Kein Zugriff
        (2) Unbestimmtheit des Zwecks der Fortführung des Geschäftsbetriebes Kein Zugriff
        (3) Entgegenstehende Erwartungen der betroffenen Personen Kein Zugriff
        (1) Rechtssichere Verarbeitung ausschließlich auf der Grundlage derErlaubnistatbestände mangels systematischer Normenklarheit Kein Zugriff
        (2) Erhöhtes Verarbeitungsrisiko während der Due Diligence Kein Zugriff
        (3) Keine bloße Fortsetzung ursprünglicher Verarbeitungsvorgänge in der Due Diligence Kein Zugriff
    2. 2. Einheitlicher Verarbeitungsbegriff in der Due Diligence Kein Zugriff
  2. II. Keine Rechtfertigung der Datenverarbeitung gem. Art. 6 Abs. 1 lit. b DSGVO Kein Zugriff
  3. 1. 1. a. Grundsätzliche Fortgeltung alter Einwilligungserklärungen Kein Zugriff
      2. b. Fehlende Freiwilligkeit Kein Zugriff
      3. c. Begrenzende Vorgaben der Informiertheit und Transparenz im Hinblick auf die Reichweite einer Einwilligungserklärung Kein Zugriff
      4. d. Praktisches Umsetzungsdefizit Kein Zugriff
      5. e. Zwischenergebnis: Entgegenstehende Wertungen der Datenschutzgrundsätze aus Art. 5 Abs. 1 DSGVO Kein Zugriff
    2. 2. Impraktikable Neuerteilung einer Einwilligungserklärung Kein Zugriff
    3. 3. Zwischenergebnis: Untauglichkeit der Rechtsgrundlage derEinwilligung Kein Zugriff
  4. 1. 1. a. Klarstellung der Interessenspositionen beim Share Deal und der Umwandlung Kein Zugriff
      2. b. Das Offenlegungsinteresse des Veräußerers und das Informationsinteresse der potenziellen Erwerber Kein Zugriff
    2. 1. i. Rechtsfolgen der Anwendung der Pseudonymisierung in der Due Diligence für das Zielunternehmen und die Erwerber Kein Zugriff
        ii. Pseudonymisierte Kundendaten als Basis der Due Diligence Prüfung Kein Zugriff
      2. i. Unzumutbarkeit der Pseudonymisierung Kein Zugriff
        ii. Wesentlichkeit des Personenbezugs Kein Zugriff
        iii. Keine Hinzuziehung eines Treuhänders Kein Zugriff
      3. c. Zwischenergebnis Kein Zugriff
    3. 3. Interessenabwägung in der Due Diligence Kein Zugriff
    4. 4. Ergebnisse zur Rechtsgrundlage der Interessenabwägung Kein Zugriff
  5. 1. 1. a. Auslegung des Zeitpunkts der Informationspflicht nach Art. 13 Abs. 1 und 2 DSGVO Kein Zugriff
      2. b. Auslegung des Anwendungsbereichs der Informationspflicht gem. Art. 14 Abs. 3 lit. c DSGVO Kein Zugriff
      3. c. Eigene Stellungnahme zum Bestehen von Informationspflichten Kein Zugriff
    2. 2. Keine Informationspflicht der potenziellen Erwerber gegenüber den Kunden Kein Zugriff
    3. 3. Die Problematik zwischen Informationspflicht und Geheimhaltungsinteresse Kein Zugriff
  6. 1. 1. Hinreichende Anonymisierung von Kundendaten und ihre Risiken Kein Zugriff
    2. 2. Unzureichende Pseudonymisierungsmaßnahmen Kein Zugriff
    3. 3. Bewertung – Umgehung der Informationspflichten im Wege der Anonymisierung Kein Zugriff
    4. 4. Zwischenergebnis Kein Zugriff
  7. VII. Sonderfall: Besondere Kategorien personenbezogener Daten Kein Zugriff
3. C. Ergebnis der datenschutzrechtlichen Untersuchung der Due Diligence Kein Zugriff
1. 1. I. Keine datenschutzrechtliche Relevanz des Formenwechsels Kein Zugriff
  2. 1. 1. Mangelnde Rechtssicherheit unter Geltung des BDSG a. F. Kein Zugriff
    2. 1. a. Keine hinreichende Öffnungsklausel Kein Zugriff
      2. i. Elemente einer Verarbeitung im Vergleich zu den Wirkungen der Gesamtrechtsnachfolge Kein Zugriff
        ii. Fehlende zweiseitige Offenlegungssituation Kein Zugriff
        iii. Keine besondere Gefährdungslage des Umwandlungsvorgangs Kein Zugriff
  3. III. Ergebnis und Bewertung des Vollzugs einer Umwandlung Kein Zugriff
2. 1. I. Das Fehlen eines datenschutzrechtlich relevanten Vorgangs Kein Zugriff
  2. 1. 1. Kein tatbestandliches Offenlegen von Daten Kein Zugriff
    2. 2. Fehlende gesellschaftsrechtliche Auswirkung auf den Fortbestand derdatenschutzrechtlichen Verantwortlichkeit Kein Zugriff
  3. III. Ergebnis und Bewertung des Vollzugs eines Share Deals Kein Zugriff
3. 1. I. Der datenschutzrechtliche Verarbeitungstatbestand in Abgrenzung zur zweckändernden Verarbeitung Kein Zugriff
  2. 1. 1. Wiederkehrende Problematik der Praxisuntauglichkeit Kein Zugriff
    2. 2. Gefahren der Freiwilligkeit und Unterscheidungskraft Kein Zugriff
    3. 3. Ergebnis und Bewertung Kein Zugriff
  3. 1. 1. Anwendbarkeit der Rechtsgrundlage im Rahmen des Vollzugs einerUnternehmenstransaktion Kein Zugriff
    2. 2. Vertragsabhängige Möglichkeit der Datenübermittlung Kein Zugriff
  4. 1. 1. Die Kollision der berechtigten Interessenspositionen des Zielunternehmens und des Erwerbers mit den schutzwürdigen Interessen der Kunden Kein Zugriff
    2. 2. Die Erforderlichkeit der Kundendatenübertragung Kein Zugriff
    3. 1. a. Differenzierung nach Daten aus übernommenen Schuldverhältnissen und sonstigen Daten Kein Zugriff
      2. b. Abgrenzung der Datenübermittlung zum bloßen Datenhandel Kein Zugriff
      3. c. Die hohe Aussagekraft der Kundendaten für die Fortführung des Geschäftsbetriebs Kein Zugriff
      4. d. Das Kriterium der zweckgebundenen Fortsetzung der Datenverarbeitung Kein Zugriff
      5. e. Geringere Risiken der Datenverarbeitung im Gegensatz zur Due Diligence Kein Zugriff
      6. f. Erwartungshaltung des Kunden Kein Zugriff
      7. g. Vergleich zum Share Deal und zur Umwandlung Kein Zugriff
      8. h. Zwischenergebnis und Bewertung Kein Zugriff
    4. 1. a. Kernaussagen des BayLDA nach dem BDSG a. F. Kein Zugriff
      2. i. Kritikwürdige Auslegung der alten Rechtslage Kein Zugriff
        ii. (Scheinbare) Aufhebung der Differenzierung von Datenarten und Verarbeitungszwecken in der DSGVO Kein Zugriff
        iii. Verankerung der Widerspruchslösung in der DSGVO Kein Zugriff
    5. 5. Zwischenergebnis: ausreichender Schutz der Kunden durch Ausübung ihrer Betroffenenrechte Kein Zugriff
  5. V. Sonderfall: Besondere Kategorien personenbezogener Daten Kein Zugriff
  6. VI. Ergebnis und Bewertung des Vollzugs eines Asset Deals Kein Zugriff
4. D. Informationspflichten Kein Zugriff
5. E. Ergebnis und Bewertung der Vollzugsphasen einer Unternehmenstransaktion Kein Zugriff
1. 1. I. Grenzen der zweckgebundenen Kundendatenverarbeitung durch den Erwerber Kein Zugriff
  2. 1. 1. Absenderbezogene Einwilligungserklärung Kein Zugriff
    2. 2. Geschäftsbezogene Einwilligungserklärung Kein Zugriff
    3. 3. Bewertung Kein Zugriff
2. B. Das Institut der Gemeinsamen Verantwortlichkeit als temporärer Lösungsansatz im Anschluss an den Vollzug eines Asset Deals Kein Zugriff
3. 1. I. Keine Nichtigkeit des Unternehmenskaufvertrages infolge von Datenschutzverstößen Kein Zugriff
  2. II. Erhöhtes Risiko von finanziellen und sanktionsrechtlichen Belastungen Kein Zugriff
4. D. Wahrung der Löschpflicht gem. Art. 17 DSGVO Kein Zugriff
1. A. Zusammenfassung der Untersuchungsergebnisse Kein Zugriff
2. B. Bewertung und Ausblick auf Gestaltungsmöglichkeiten Kein Zugriff
Literaturverzeichnis Kein Zugriff Seiten 256 - 279