Kundendaten beim Insolvenzverkauf: Dateninventar, Zweck, DSGVO-Rechtsgrundlage, Information, Widerspruch und sichere Übergabe prüfen.
BRANDAUER Rechtsanwälte
Insolvenzrecht, Salzburg und österreichweit
Wir prüfen Verfahrensstand, Verträge, Zahlungsbelege und Sicherheiten und erklären, welche rechtliche Frage als Nächstes zu klären ist.
Beim Verkauf eines Betriebsteils aus der Insolvenzmasse gehören Kundendaten nicht wie eine Maschine automatisch zum frei übertragbaren Erwerbsgegenstand. Für jeden Datenbestand müssen Zweck, Kategorien betroffener Personen, Datenarten, bisherige Rechtsgrundlage, geplanter Erwerberzweck und erforderliche Schutzmaßnahmen geprüft werden.
Die insolvenzrechtliche Genehmigung einer Veräußerung nach § 117 IO beantwortet nicht von selbst die datenschutzrechtliche Frage. Auch ein wirtschaftlich sinnvoller Asset Deal braucht für die Offenlegung und weitere Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach der DSGVO, muss Zweckbindung und Datenminimierung beachten und Informationspflichten erfüllen.
Der allgemeine Erwerbsprozess wird im Beitrag zum Kauf eines Betriebsteils aus der Insolvenzmasse erklärt. Hier geht es ausschließlich um Datenbestand, Vertragsbezug, Übertragungsgrund und sichere Übergabe.
Aktive Verträge, Interessenten, Marketinglisten und Archivdaten dürfen nicht pauschal zusammen übertragen werden.
| Datenbestand | Prüfung | Mögliche Maßnahme |
|---|---|---|
| Aktive Vertragskunden | Vertragsstatus, notwendige Daten, Rolle des Erwerbers und rechtliche Grundlage einer Vertragsfortführung oder Übernahme. | Daten und Vertrag einzeln zuordnen; nicht benötigte Felder ausschließen. |
| Offene Aufträge | Leistungsstand, Forderungen, Reklamationen, Ansprechpartner und notwendige Übergabeinformationen. | Nur für den konkreten Abwicklungszweck erforderliche Daten bereitstellen. |
| Interessenten | Ursprünglicher Erhebungszweck, Einwilligung oder berechtigtes Interesse und erwartbare neue Nutzung. | Zweckkompatibilität und Information vor neuer Ansprache prüfen. |
| Marketinglisten | Einwilligung, Widersprüche, Sperrlisten, Direktwerbezweck und Kommunikationskanal. | Widersprüche übernehmen; unklare Datensätze nicht für Werbung aktivieren. |
| Archiv und Sonderdaten | Aufbewahrung, Rechtsansprüche, besondere Datenkategorien, Löschfristen und Zugriff. | Archiv getrennt halten, Zugriff begrenzen und besondere Rechtsgrundlagen prüfen. |
Die Prüfung erfolgt datensatz- und zweckbezogen. Eine technische Exportmöglichkeit beweist weder Erforderlichkeit noch Rechtmäßigkeit.
Der Check trennt Transaktionsrolle, Dateninventar, Zweck, Rechtsgrundlage und Information.
Besprechen Sie den konkreten Fall mit der Kanzlei.
Erfassen Sie System, Tabelle, Datenfelder, betroffene Personengruppe, Menge, ursprünglichen Zweck, Aufbewahrungsgrund, Zugriffsrollen und geplante Verwendung. Erst danach kann entschieden werden, welche Daten in den Datenraum oder in die Übergabe gehören.
Art 5 DSGVO verlangt Datenminimierung. Bilden Sie für jeden legitimen Erwerberzweck einen eigenen Exportumfang. Testkonten, Dubletten, interne Notizen, veraltete Kontakte und nicht erforderliche Freitextfelder sollten nicht ungeprüft mitübertragen werden.
Eine Transaktion schafft keine pauschale Werbeerlaubnis. Prüfen Sie ursprünglichen Zweck, Einwilligungen, berechtigte Interessen, Kommunikationsrecht und vorhandene Widersprüche. Nach Art 21 DSGVO beendet ein Widerspruch die Verarbeitung für Direktwerbung.
Ohne bestimmten Zweck kann weder Erforderlichkeit noch Rechtsgrundlage geprüft werden. Trennen Sie Vertragsfortführung, Anspruchsverwaltung, Kundeninformation, Service und Marketing. Jeder Zweck erhält eigenen Datenumfang und Verantwortlichen.
Der Asset-Kaufvertrag regelt die Transaktion zwischen den Parteien, ersetzt aber nicht Art 6 DSGVO. Begründen Sie Offenlegung und spätere Verarbeitung getrennt und prüfen Sie bei einem neuen Zweck die Kriterien des Art 6 Abs 4 DSGVO.
Bestimmen Sie, ob Daten direkt bei der betroffenen Person oder aus dem erworbenen Bestand stammen. Bei Art 14 DSGVO gilt grundsätzlich eine angemessene Frist von längstens einem Monat, bei früherer Kommunikation oder Offenlegung ein früherer Zeitpunkt. Inhalt und Ausnahmen sind konkret zu prüfen.
Beschränken Sie den Export auf freigegebene Felder, verschlüsseln Sie Transport und Speicherung, vergeben Sie Zugriffe nach Rollen und protokollieren Sie Übergabe, Import und Löschung von Zwischenkopien. Sperr- und Widerspruchskennzeichen müssen funktionsfähig mitwandern.
Ein Kundenvertrag, eine offene Forderung und der dazugehörige Datensatz sind rechtlich verbundene, aber nicht identische Erwerbsgegenstände. Ob ein Vertrag übergeht, richtet sich nach der Transaktionsstruktur, dem Vertrag und den anwendbaren Regeln. Daraus folgt nicht automatisch, dass jede historische Kundendatei übertragen werden darf.
Der Beitrag zu laufenden Verträgen in der Insolvenz erklärt den beiderseitigen Leistungsstand und das Wahlrecht nach § 21 IO. Für den Datenbestand kommt die eigenständige DSGVO-Prüfung hinzu.
Erstellen Sie daher drei Listen: übernommene oder fortgeführte Vertragsbeziehungen, nur abzuwickelnde Altpositionen und Personen ohne aktiven Vertragsbezug. Jeder Liste werden Zweck, Datenumfang und Rechtsgrundlage separat zugeordnet.
Art 6 DSGVO verlangt für jede Verarbeitung mindestens eine Rechtsgrundlage. Je nach Zweck können Vertragserfüllung, eine rechtliche Verpflichtung oder berechtigte Interessen in Betracht kommen. Keine dieser Grundlagen gilt pauschal für den gesamten übernommenen Datenbestand.
Soll der Erwerber Daten für einen anderen Zweck nutzen, verlangt Art 6 Abs 4 DSGVO bei Fehlen von Einwilligung oder besonderer Rechtsvorschrift eine Kompatibilitätsprüfung. Zu berücksichtigen sind unter anderem Zusammenhang der Zwecke, Erhebungskontext, Datenart, Folgen für Betroffene und Schutzmaßnahmen.
Besondere Kategorien personenbezogener Daten nach Art 9 DSGVO benötigen eine zusätzliche Ausnahme. Gesundheitsangaben, biometrische Daten oder andere sensible Informationen dürfen nicht in einem allgemeinen Kundenexport verborgen bleiben.
Art 5 DSGVO verlangt Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Diese Grundsätze gelten nicht erst nach Vollzug. Bereits der Due-Diligence-Datenraum sollte nur Daten enthalten, die für die konkrete Prüfung erforderlich sind.
Wo möglich, arbeiten Interessenten zunächst mit aggregierten, pseudonymisierten oder geschwärzten Daten. Namen, private Kontaktdaten und freie Gesprächsnotizen sind für eine wirtschaftliche Bewertung häufig nicht in voller Form erforderlich.
Der Schwerpunkt Unternehmenskauf aus Insolvenz ordnet Datenraum, Erwerbsgegenstand und Genehmigungskette in den Gesamtprozess ein.
Erhält der Erwerber personenbezogene Daten nicht direkt von der betroffenen Person, greift regelmäßig Art 14 DSGVO. Die Information umfasst unter anderem Verantwortlichen, Zwecke, Rechtsgrundlage, Datenkategorien, Empfänger, Speicherdauer, Rechte und Datenquelle.
Die Information erfolgt grundsätzlich innerhalb einer angemessenen Frist, längstens innerhalb eines Monats. Soll vorher kommuniziert oder an einen weiteren Empfänger offengelegt werden, kann ein früherer Zeitpunkt gelten. Ausnahmen nach Art 14 Abs 5 DSGVO sind eng anhand des konkreten Tatbestands zu prüfen.
Bei Daten, die der neue Verantwortliche direkt erhebt, richtet sich die Information nach Art 13 DSGVO. Neue Zwecke müssen den betroffenen Personen vor der entsprechenden Weiterverarbeitung mitgeteilt werden, soweit keine Ausnahme greift.
Ein Kundendatensatz besteht nicht nur aus Kontaktdaten. Auch Widersprüche, Einwilligungsstatus, Sperrvermerke, Löschfristen und Herkunftsinformationen sind für eine rechtmäßige weitere Nutzung wichtig. Sie dürfen beim technischen Export nicht verloren gehen.
Für Direktwerbung ist Art 21 DSGVO eindeutig: Nach einem Widerspruch dürfen personenbezogene Daten nicht mehr für diesen Zweck verarbeitet werden. Der Erwerber braucht deshalb funktionsfähige Sperrlisten und muss auf das Widerspruchsrecht spätestens bei der ersten Kommunikation klar hinweisen.
Art 32 DSGVO verlangt ein risikoadäquates Schutzniveau. Verschlüsselung, rollenbasierte Zugriffe, Protokollierung, sichere Schlüsselübergabe, Wiederherstellbarkeit und die Löschung von Zwischenkopien gehören in den technischen Übergabeplan.
§ 117 IO kann für den Verkauf des Unternehmens, des gesamten beweglichen Anlage- und Umlaufvermögens oder eines betriebsnotwendigen Teils die Genehmigung von Gläubigerausschuss und Insolvenzgericht verlangen. Die Veräußerungsabsicht ist öffentlich bekanntzumachen.
Diese Genehmigung betrifft das insolvenzrechtliche Geschäft. Sie ersetzt weder die Bestimmung der datenschutzrechtlichen Verantwortlichen noch Rechtsgrundlage, Information und Sicherheitsmaßnahmen. Beide Prüfstränge müssen vor dem Datenzugriff zusammengeführt werden.
Der Begriff Insolvenzmasse beschreibt den Vermögensrahmen des Verfahrens. Personenbezogene Daten bleiben auch dann regulierte Informationen, wenn der zugrunde liegende Geschäftsbetrieb verwertet wird.
Nicht pauschal. Für jede Datenkategorie und Nutzung sind Zweck, Erforderlichkeit, Rechtsgrundlage, Transparenz und Sicherheit zu prüfen. Datenminimierung kann einen deutlich kleineren Export verlangen.
Nein. Die insolvenzrechtliche Genehmigung des Geschäfts ersetzt nicht die Prüfung der Rechtmäßigkeit nach Art 6 DSGVO und der weiteren Datenschutzpflichten.
Nein. Vertragsübernahme und Datenverarbeitung sind getrennte Fragen. Auch bei einer fortgeführten Vertragsbeziehung muss der konkrete Datenumfang erforderlich und die Verarbeitung rechtmäßig sein.
Bei nicht direkt erhobenen Daten gilt grundsätzlich Art 14 DSGVO mit einer angemessenen Frist von längstens einem Monat und gegebenenfalls früheren Zeitpunkten bei erster Kommunikation oder Offenlegung. Ausnahmen sind konkret zu prüfen.
Nur nach gesonderter Prüfung von Zweck, Rechtsgrundlage und Kommunikationsrecht. Bestehende Widersprüche müssen beachtet werden; nach einem Widerspruch ist Direktwerbung mit diesen Daten nach Art 21 DSGVO unzulässig.
Verfahrensstand, Masse, Rechte Dritter und Genehmigung einordnen.
Erfüllungsstand, Wahlrecht und Vertragsreaktion gesondert prüfen.
Datenraum, Erwerbsgegenstand und Übergabe im Gesamtprozess ordnen.
Vermögensrahmen und Rolle der Masse kurz nachlesen.
Assets, Verträge, Daten und Übergabe strukturiert vorbereiten.
Dateninventar, Transaktionsstruktur und Informationsplan übermitteln.
Neue Beiträge und rechtliche Hinweise der Kanzlei mit BRANDaktuellen Rechtsnews erhalten.
Nennen Sie uns Ihre Rolle, das betroffene Unternehmen und den Verfahrensstand. Wir melden uns innerhalb eines Werktags zurück.
Anschrift
BRANDAUER Rechtsanwälte GmbH Giselakai 51 5020 Salzburg
Telefon
+43 662 6280000