Читать книгу Unternehmenskauf bei der GmbH - Stephan Ulrich - Страница 105

31

Nachdem seit dem 25.5.2018 das überarbeitete Bundesdatenschutzgesetz (BDSG) und die Datenschutz-Grundverordnung (DS-GVO) zur Anwendung kommt, ist ebenso eine Due Diligence hinsichtlich datenschutzrechtlicher Aspekte vorzunehmen.[1] Dabei ist der Fokus insbesondere auf die Vorgaben zu legen, die das Zielunternehmen beachten muss, um ihre umfangreichen Pflichten zu erfüllen. Eine wichtige Rolle spielt in diesem Kontext Art. 6 Abs. 4 DS-GVO, der eine Offenlegung der personenbezogenen Daten gegenüber dem Erwerber ermöglicht.[2] Bei der Verarbeitung anonymisierter bzw. pseudonymisierter Daten im Rahmen einer Due Diligence entspricht die Vearbeitung der ursprünglichen Zweckbindung.[3] Darüber hinaus können Kundendaten einen zentralen wertbildenen Faktor für die Preisbildung beim Unternehmenskauf ausmachen.[4] Nach dem Gesetzestext der DS-GVO können empfindliche Bußgelder in diesem Bereich auf die Unternehmen zukommen, sodass hier eine sorgfältige Prüfung obligatorisch ist. Dies gilt insbesondere im Hinblick auf die mögliche Anwendung des kartellrechtlichen Unternehmensbegriffs aus Art. 101, 102 AEUV, wonach in dem Fall Konzernobergesellschaften für Verstöße der Tochtergesellschaften haftbar gemacht werden können.[5] Der Umfang der Prüfung ist jedoch in der jeweiligen Branche höchst unterschiedlich.[6]

32

Vorwiegend sollten folgende Faktoren betrachtet werden:

–	Liegen belastbare Einwilligungserklärungen der Betroffenen gem. Art. 7 DS-GVO vor?
–	Kommt das Zielunternehmen seiner aktiven Informationspflicht gegenüber allen Beteiligten nach gem. Art. 13 DS-GVO?

33

Es ist zu unterscheiden, ob personenbezogene Daten direkt bei der betroffenen Person erhoben werden, in diesem Fall gilt Art. 13 DS-GVO, oder ob personenbezogene Daten nicht bei der betroffenen Person erhoben werden, sodass dann Art. 14 DS-GVO eingreift.

–	Hat das Zielunternehmen hinsichtlich risikoreicher Datenverarbeitungen eine Folgenabschätzung durchgeführt (Art. 35 DS-GVO)?
–	Inwieweit werden die Datenschutzbestimmungen durch einen hohen technischen Standard gewährleistet (Art. 25 DS-GVO) und beachtet das Zielunternehmen die erforderlichen technischen und organisatorischen Maßnahmen?
–	Setzt das Zielunternehmen gem. Art. 28 DS-GVO Auftragsverarbeiter ein und liegen die diesbezüglichen Vertragsunterlagen vor? Genügt der Auftragsverarbeiter wiederum den gesetzlichen Anforderungen?
–	Hat das Zielunternehmen als Verantwortlicher i.S.d. DS-GVO eine allgemeine schriftliche Genehmigung (Art. 28 Abs. 2 DS-GVO) zur Änderung des Auftragsverarbeiters erteilt?
–	Hat das Zielunternehmen die Verarbeitungstätigkeiten von Daten in einem Verzeichnis nach Art. 30 DS-GVO erfasst und darüber hinaus fortgeführt?
–	Bestellung des etwaig notwendigen betrieblichen Datenschutzbeauftragten (Art. 37 DS-GVO)
–	Wurden in der Vergangenheit Datenschutzverstöße durch das Unternehmen gemeldet (Art. 33 DS-GVO)?
–	Werden personenbezogene Daten an Drittländer außerhalb des Geltungsbereichs der DS-GVO oder an internationale Organisationen übermittelt (Art. 44–50 DS-GVO)?

34

In diesem Fall ist zu prüfen, ob die Kommission hinsichtlich des Datenempfängers ein angemessenes Schutzniveau festgestellt hat.

35

Die Übermittlung von Beschäftigtendaten im Rahmen einer Due-Diligence-Prüfung ist zulässig bei der Datenverarbeitung im Beschäftigungskontext (Art. 88 DS-GVO).[7]

36

Nach § 51a GmbHG kann ein Informationsrecht des Gesellschafters nur gegen den Geschäftsführer geltend gemacht werden. Im Übrigen ist dabei umstritten, welches Mehrheitsverhältnis bei einem Gesellschafterbeschluss erforderlich ist, in dem über die Durchführung einer Due Diligence abgestimmt wird.[8] Inwieweit § 51a GmbHG neben dem BDSG angewendet werden kann, ist umstritten.[9] Die hM geht davon aus, dass § 51a GmbHG lex specialis gegenüber dem BDSG ist.[10] Es bietet sich an, die Schwärzung einzelner Passagen vorzunehmen, um nicht gegen geschlossene vertragliche Vertrauensvereinbarungen zu verstoßen, jedoch gleichzeitig dem Erwerber hinreichende Informationen mitteilen zu können. Zusätzlich sollte eine Geheimhaltungsvereinbarung dahingehend geschlossen werden, dass Verkäufer und Interessent eine mit Vertragsstrafen bewährte Vertraulichkeit bei der Durchführung der Unternehmenstransaktion vereinbaren.[11]