Loe raamatut: «Due Diligence»
Due Diligence
Datenschutzrechtlicher Praxisleitfaden
von
Maximilian Schnebbe,
Bremen
und
Dr. Peter Trinks
Hamburg
Fachmedien Recht und Wirtschaft | dfv Mediengruppe | Frankfurt am Main
Bibliografische Information der Deutschen Nationalbibliothek
Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.
ISBN: 978-3-8005-1789-3
© 2021 Deutscher Fachverlag GmbH, Fachmedien Recht und Wirtschaft, Frankfurt am Main
www.ruw.de
Das Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Verlages unzulässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Bearbeitungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen.
Druck: WIRmachenDRUCK GmbH, Backnang
Printed in Germany
Vorbemerkung
Theorie trifft auf Praxis. So einfach dies klingt, so kontrovers lassen sich diese beiden Facetten im Datenschutzrecht diskutieren. Dabei sind die gesetzlichen Vorgaben in der Regel eindeutig, wenngleich in nahezu allen Bereichen höchstrichterliche Rechtsprechung fehlt. Die Zusammenarbeit der Autoren, die beide u.a. als Datenschutzbeauftragte tätig sind, war immer wieder geprägt durch die Frage, wie sich die oftmals sehr theoretisch anmutenden gesetzlichen Vorgaben in der Praxis praktikabel umsetzen lassen. Wiederholt angeschnitten in der täglichen Arbeit wurde dabei der Bereich der Due Diligence. Es lag daher auf der Hand, die bisher in der Praxis einer Due Diligence eher stiefmütterlich behandelten Datenschutzfragen einerseits darzustellen und den Anwender damit für Probleme und gesetzliche Vorgaben zu sensibilisieren. Andererseits sollte anhand praktischer Erwägungen und konkreter Lösungswege zugleich gezeigt werden, dass und vor allem wie das Treffen von Praxis und Theorie bei der Due Diligence nicht auf Unmöglichkeit gerichtet sein muss.
Hamburg und Bremen, den 20. Juli 2021
Inhaltsverzeichnis
1 Vorbemerkung
2 Kapitel 1: Die Due Diligence und das Datenschutzrecht I. Einleitung II. Allgemeines zur Due Diligence 1. Ablauf 2. Der Prüfer 3. Vertraulichkeit/Letter of Intent III. Allgemeines zum Datenschutzrecht 1. Anwendungsbereich a) Sachlicher Anwendungsbereich b) Räumlicher Anwendungsbereich 2. Allgemeine Grundsätze für die Verarbeitung 3. Rechtmäßigkeit der Verarbeitung a) Einwilligung b) Verarbeitung erforderlich für Erfüllung des Vertrages c) Berechtigtes Interesse IV. Risiken 1. Bußgelder 2. Schadensersatz 3. Abmahnung 4. Vertrag unwirksam/Gewährleistungsansprüche
3 Kapitel 2: Datenschutz bei der Durchführung der Due Diligence I. Vorüberlegungen 1. Allgemeines 2. Datenschutzrechtliche Stellung der Beteiligten II. Gemeinsame Verantwortliche 1. Die gemeinsamen Verantwortlichen 2. Aufgaben 3. Aufteilung der Aufgaben 4. Mindestinhalt der gemeinsamen Vereinbarung a) Präambel b) Beschreibung der Datenverarbeitung c) Aufteilung der Zuständigkeiten d) Datensicherheit e) Betroffenenrechte f) Informationspflichten g) Auftragsverarbeiter III. Auftragsverarbeiter 1. Geeignetheit des Auftragsverarbeiters 2. Auftragsverarbeitungsvereinbarung 3. Mindestinhalt der AVV a) Gegenstand und Dauer der Verarbeitung b) Art und Zweck der Verarbeitung c) Art der personenbezogenen Daten d) Kategorien betroffener Personen e) Pflichten und Rechte des Verantwortlichen aa) Erforderliche Maßnahmen gemäß Art. 32 DSGVO bb) Technisch-Organisatorische Maßnahmen cc) Haftung f) Rechte und Pflichten des Auftragsverarbeiters IV. Rechtmäßigkeit der Verarbeitung 1. Kategorien von Daten bei der Due Diligence 2. Zweckänderung a) Kompatibilitätstest b) Testergebnis aa) Positives Ergebnis bb) Negatives Ergebnis c) Art. 6 Abs. 4 DSGVO als eigene Rechtsgrundlage aa) Eigenständige Rechtsgrundlage bb) Erneute Rechtmäßigkeitsprüfung d) Zusammenfassung 3. Rechtsgrundlagen a) Einwilligung b) Berechtigtes Interesse c) Besondere Kategorien von Daten d) Beschäftigtendaten 4. Anonymisierung V. Informationspflichten 1. Informationspflicht vs. Geheimhaltungsinteresse 2. Ausnahmen von der Informationspflicht a) Art. 14 DSGVO b) Art. 13 DSGVO aa) Art. 14 Abs. 5 lit. b) DSGVO analog bb) Weites Verständnis des Art. 13 Abs. 3 DSGVO cc) § 32 Abs. 1 Nr. 4 BDSG 3. Anonymisieren 4. Zusammenfassung a) Kaufinteressenten b) Zielunternehmen 5. Umsetzung der Informationspflichten des Art. 13 DSGVO VI. Ort der Prüfung 1. Anforderungen an den virtuellen Datenraum 2. Regeln innerhalb des virtuellen Datenraumes VII. Datenschutz-Folgenabschätzung VIII. Verzeichnis von Verarbeitungstätigkeiten IX. Anhänge 1. Anhang 1: Technisch-Organisatorische Maßnahmen (TOM) mit Formulierungsvorschlägen 2. Anhang 2: Belehrung Mitarbeiter (Formulierungsvorschlag)
4 Kapitel 3: Die Datenschutz-Due-Diligence I. Vorüberlegung II. Informationsquellen III. Durchführung 1. Unternehmensstruktur 2. EDV 3. Website/Online-Präsenz 4. Besucher- und Gebäudemanagement 5. Gemeinsame Verantwortliche 6. Auftragsdatenverarbeitung 7. Betriebsrat/Personalrat 8. Kundendaten 9. Besondere Kategorien von Daten 10. Gesundheitsdaten 11. Beschäftigtendaten 12. Einwilligung 13. Löschkonzept 14. Profiling 15. Drittlandübermittlung 16. Schulungen 17. Aufsichtsbehörden IV. Rechtsfolgen für den Abschluss eines Kaufvertrages 1. Haftung dem Grunde nach 2. Haftung der Höhe
5 Literaturverzeichnis
Kapitel 1: Die Due Diligence und das Datenschutzrecht
I. Einleitung
1
Dank des zunehmenden Einflusses der englischen Sprache – auch im deutschen Rechtskreis – kann mit nur zwei Wörtern eine durchaus komplexe Regelungsmaterie zusammengefasst werden. Wie die Etablierung der „Due Diligence“ in der deutschen Rechtswissenschaft und -praxis erfolgte, lässt sich nur schwerlich zurückverfolgen. Es gibt in Deutschland weder eine ausdrückliche gesetzliche Regelung noch einen klar definierten Anwendungsbereich.
2
Seinen Ursprung hat der Begriff „Due Diligence“ im amerikanischen Kapitalmarkt- und Anlegerschutzrecht. Dort müssen Erstemittenten von Wertpapieren eine im Vorfeld durchgeführte „Prüfung mit angemessener Sorgfalt“ nachweisen, um einer möglichen Emissionsprospekthaftung zu entgehen. Vergleichbar ist dieser Grundsatz im US-amerikanischen Haftungsrecht mit dem im deutschen Recht etablierten Institut der „im Geschäftsverkehr erforderlichen Sorgfalt“1. Vereinfacht ausgedrückt handelt es sich bei der Due Diligence, gerne auch kurz als „DD“ bezeichnet, um eine Bestandsaufnahme, die in der Regel das Fundament für eine Risikoabwägung legt. Bei dieser Abwägung sollte, schon im Interesse des Durchführenden, eine gewisse Sorgfalt angewandt werden. Nur so kann eine hinreichende Grundlage für das angestrebte Ziel einer jeden Due Diligence geschaffen werden. Dieses Ziel muss vorher definiert werden. Denn die möglichen Anlässe für die Durchführung einer Due Diligence sind vielfältig. Gleich, ob nun
– ein Gesellschafter aus dem Unternehmen ausscheiden will und seine Abfindung berechnet werden muss;
– Sanierungen des Unternehmens eine Bestandsaufnahme erfordern;
– Privatisierungen der öffentlichen Hand geplant sind oder
– der Unternehmer einen Verkauf durchführt oder zumindest vorbereitet;
3
Ausgangspunkt bildet immer die Aufnahme des Ist-Zustandes aus dem Blickwinkel des die Due Diligence durchführenden Betrachters.
4
Zumindest historisch betrachtet führte, das Thema Datenschutz und dessen Prüfung im Rahmen einer Due Diligence eher ein Schattendasein. Dies änderte sich mit dem Geltungsbeginn der DSGVO2 am 25.5.2018. Zusammen mit der so genannten JI-Richtlinie für den Datenschutz in den Bereichen Polizei und Justiz bildet die DSGVO seit Geltungsbeginn den gemeinsamen Datenschutzrahmen innerhalb der Europäischen Union. Bis zu diesem Zeitpunkt galt die im Jahre 1995 erlassene Datenschutzrichtlinie 95/46/EG3. Problematisch war, dass zwar allen Mitgliedstaaten der Europäischen Union die gleiche Rechtsgrundlage zur Verfügung stand, Art und Umfang der Umsetzungsgesetze aber durch die Mitgliedstaaten frei bestimmbar waren. So war es wenig verwunderlich, dass durchaus eklatante Unterschiede im Datenschutzniveau der einzelnen Staaten zu erkennen waren. Ziel der DSGVO war daher die Schaffung eines einheitlichen Datenschutzniveaus, um die Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere deren Recht auf Schutz ihrer personenbezogenen Daten, zu gewährleisten.
5
Die datenschutzrechtlichen Vorgaben, insbesondere die der DSGVO, beeinflussen seither den Geschäftsverkehr. Kritisch betrachtet könnte man sogar behaupten, dass es mit Einführung der DSGVO die Arbeit von einem Großteil der Unternehmen, wie sie bisher praktiziert wurde, nicht mehr gibt. Das Thema Datenschutz jedenfalls beschäftigt seither Behörden, Unternehmen und deren Berater gleichermaßen; dies mit zunehmender Intensität. Hatte man vor der Einführung der DSGVO das Thema Datenschutz bei einer Unternehmenstransaktion am Rande mitgeprüft, kommt ihm heute im Rahmen einer Due Diligence ein essenzieller Stellenwert zu. Maßgeblich für diese Schwerpunktverschiebung sind allerdings nicht die datenschutzrechtlichen Regelungen der DSGVO. Diese gleichen inhaltlich größtenteils ihren Vorgängerreglungen der Richtlinie 95/46/EG4.5 Entscheidend ist vielmehr, dass sich die Konsequenzen bei Verstößen gegen datenschutzrechtliche Vorschriften drastisch verschärft haben. Bußgelder können nunmehr in Millionenhöhe verhängt werden.6 Das Thema Datenschutz zu unterschätzen wäre fatal. Zwischenzeitlich ist es vielmehr jedem Unternehmen zu empfehlen, eine interne Due Diligence durchzuführen, Unternehmensabläufe anzupassen und neue Strukturen zu etablieren, um Datenschutzrisiken zu minimieren. Es müssen beispielsweise Verzeichnisse von Verarbeitungstätigkeiten7 erstellt, Auftragsverarbeitungsvereinbarungen8 abgeschlossen, Arbeitsverträge überprüft, die EDV möglicherweise modernisiert, Lösch- und Speicherkonzepte etabliert oder ein Datenschutzbeauftragter benannt werden. All diese Themen sind heute zwingender Bestandteil einer ordnungsgemäßen Due Diligence und werden in diesem Buch erörtert.
6
Ziel dieses Buches ist es, den Leser auf verständliche Weise für das Thema Datenschutz bei der Durchführung einer Due Diligence zu sensibilisieren und ihn zu veranlassen, sich diesem oftmals ungeliebten Thema zu widmen. Dabei verfolgt dieses Buch folgenden Ansatz: Nach diesem einleitenden Kapitel („Allgemeines“) wird im zweiten Teil erläutert, welche datenschutzrechtlichen Vorgaben bei der Durchführung einer Due Diligence zu berücksichtigen sind, unabhängig von der konkreten Art der Due Diligence („Datenschutz bei Durchführung der Due Diligence“). Das dritte Kapitel hat sodann die sog. „Datenschutz-Due-Diligence“ zum Inhalt. Ziel ist es, eine Anleitung an die Hand zu geben, mithilfe derer das Zielunternehmen hinsichtlich deren Datenschutzmanagement geprüft werden kann. Auf diese Weise sollen mögliche Risiken, beispielsweise durch Bußgelder nach der Unternehmenstransaktion, minimiert werden.9
7
Ob nun Einsteiger oder bereits in Datenschutzfragen versierter Anwender – die in diesem Buch eingebundenen Vorlagen, Listen und Hinweise können und sollen für alle Leser eine Arbeitshilfe im täglichen Geschäftsverkehr darstellen, selbst wenn keine Intention besteht, sein Unternehmen zu verkaufen. Aufgrund der erheblichen wirtschaftlichen Folgen eines Verstoßes gegen datenschutzrechtliche Vorgaben, stellt die fehlende Auseinandersetzung eine Missachtung der obig zitierten „im Geschäftsverkehr erforderlichen Sorgfalt“ dar. Anders ausgedrückt sollte jeder Unternehmer eine eigene datenschutzrechtliche Due Diligence in seinem Unternehmen durchführen. Das Buch gibt hierfür die erforderlichen Grundlagen.
1 So beispielsweise in § 276 Abs. 2 BGB, wonach fahrlässig derjenige handelt, der die im Verkehr erforderliche Sorgfalt außer Acht lässt. 2 Eingeführt durch Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates, in: ABl. L 119/89 v. 4.4.2016. 3 Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. 4 Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. 5 Statt vieler Buchner, Wirtschaftsinformatik & Management 2019, 43, 43. 6 Bei Unternehmen sogar bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs. 7 Siehe dazu Rn. 251ff. 8 Siehe dazu Rn. 101ff. 9 Zu den Risiken Rn. 37ff.
II. Allgemeines zur Due Diligence
8
Wie schon zuvor dargestellt, unterliegt der Anwendungsbereich der Due Diligence keinen starren Grenzen oder Regularien.10 Nichts Anderes gilt für die Datenschutz-Due-Diligence. Inhalt und Umfang einer durchzuführenden Due-Diligence-Prüfung werden sowohl von dem Zweck, insbesondere aber auch von der Intension der beteiligten Personen beeinflusst. Der Hauptanwendungsfall liegt sicherlich im Bereich der Unternehmenstransaktion. Gerade hier zeigen sich die charakteristischen Ziele einer Due Diligence:
– Risikoermittlung;
– Dokumentation;
– Ausgestaltung der Gewährleistung;
– Kaufpreisermittlung.
9
Eine Unterscheidung bei einem Unternehmensverkauf zwischen Share- und Asset Deal11 bleibt dabei zunächst12 ohne Relevanz. In beiden Fällen steht auf der einen Seite das Zielunternehmen (der Verkäufer), welches den bestmöglichen Preis für sein Unternehmen erzielen will. Auf der anderen Seite stehen die Interessen des Käufers, unter Berücksichtigung vorhandener Risiken, den adäquaten Wert dieses Unternehmens zu ermitteln. Dabei gilt der Grundsatz, dass jeder Vertragspartner für sich selbst die Vorteilhaftigkeit eines Geschäftes vor Vertragsabschluss zu überprüfen hat.13 Hierzu muss der Kaufinteressent Entwicklungsmöglichkeiten des Zielunternehmens einschätzen und Problempunkte innerhalb dieses Unternehmens erkennen.14 Im Zweifel muss der Kaufinteressent in die Lage versetzt werden, nach Durchführung des Verkaufes das Unternehmen erforderlichenfalls allein zu führen. Gerade unter Berücksichtigung der zunehmenden Bedeutung von Homeoffice stellt die technische Ausstattung eines Unternehmens, die im Zusammenhang mit der Datenschutz-Due-Diligence überprüft wird, einen nicht zu vernachlässigenden sowie wertbildenden Faktor dar. Beide Vertragsparteien haben zudem die Intention, etwaige Gewährleistungsansprüche schon dem Grunde nach auszuschließen, mithin diese gar nicht erst entstehen zu lassen.15 Zumindest die rechtlichen Berater versuchen, auf diese Fälle vorbereitet zu sein und sollten deshalb auf eine strukturierte Beweissicherung hinwirken.
10
All diese dargestellten Ziele setzen in der Konsequenz die Durchführung einer (Datenschutz-) Due Diligence voraus. Hiermit einher geht nämlich die Analyse des Ist-Zustandes.16
1. Ablauf
11
Grundsätzlich unabhängig von Ziel und Anlass der Due Diligence gestaltet sich deren Ablauf. Gleichwohl beeinflussen diese Parameter die Schwerpunktsetzung innerhalb des Analyseverfahrens im Hinblick auf Umfang und die zeitliche Ausgestaltung. Nicht zuletzt wegen den Folgen eines Verstoßes gegen datenschutzrechtliche Vorschriften17 sollte die datenschutzrechtliche Würdigung der Due Diligence dabei einen wesentlichen Prüfungspunkt einnehmen.
12
Beachte:
Für die Frage des Umfanges einer datenschutzrechtlichen Due Diligence ist nicht die Größe des zu untersuchenden Unternehmens entscheidend. Die grundlegenden Prinzipien der DSGVO unterscheiden gerade nicht nach der Größe oder dem Umsatz des Unternehmens.
13
Die Gestaltung des Ablaufs sollte immer von derjenigen Partei gesteuert werden, die den größten Nutzen aus der Prüfung zieht. Starre Grenzen verbieten sich. Eine klare Strukturierung und Umsetzung ist essenziell. Unterteilt werden kann die Due Diligence grundsätzlich in zwei Phasen: Einerseits der Phase der Vorbereitung und andererseits der tatsächlichen Durchführung. In der Vorbereitungsphase müssen die Prüfer ausgewählt und dahingehende Verträge abgeschlossen werden. Das dann ausgewählte Team wird die Vorgehensweise abstimmen, Dokumentationen vorbereiten, um in den Prüfungsprozess einsteigen zu können. Ungeachtet des zumeist externen Prüfers, sollte ein zentraler Ansprechpartner im eigenen und dem Zielunternehmen benannt werden. Vermieden werden sollte die Delegation auf mehrere Personen oder Institutionen (z.B. den Steuerberater). Sind die Vorbereitungen abgeschlossen, müssen zwischen den Kaufvertragsparteien der Ablauf der Due Diligence abgestimmt und insbesondere Regelungen zum Schutz übermittelter Daten getroffen werden. Eines aber sollte vor jeder Prüfung berücksichtigt und akzeptiert werden: die sprichwörtlich „eierlegende Wollmilchsau“ ist die Due Diligence nicht. Weder können alle Risiken lokalisiert noch eine allumfängliche Lösung für die Parteien gefunden werden. Die Due Diligence darf daher ausschließlich als Instrument der Risikominimierung gesehen werden.
2. Der Prüfer
14
Zu empfehlen ist immer, einen geeigneten Berater in den Due-Diligence-Prozess einzubinden. Liegt der Schwerpunkt in wirtschaftlichen Fragen, kommen Wirtschaftsprüfer und vor allem Unternehmensberater in Betracht. Hierbei hat sich eine Vielzahl von Unternehmen gerade auf das Gebiet der Due-Diligence-Prüfung spezialisiert. Bei mittelständisch geprägten, vor allem aber kleineren Unternehmen, wird der Schwerpunkt hingegen auf der Abwicklung des Kaufes liegen. Hierfür könnte auf spezialisierte Rechtsanwälte zurückgegriffen werden. Wenngleich weit verbreitet, erscheint es wenig sinnvoll, den eigenen Rechtsanwalt oder Abschlussprüfer zu nutzen, sofern diese nicht über ausgewiesene Expertisen verfügen. Für den datenschutzrechtlichen Schwerpunkt der Due Diligence ist es zu empfehlen, einen in Datenschutzfragen versierten Prüfer, vornehmlich einen Rechtsanwalt, einzubinden. Zwar stellt die technische Umsetzung des Datenschutzes gesteigerte Anforderungen, was die Zusammenarbeit mit einem EDV-Dienstleister nahelegt. Jedoch stellt das Datenschutzrecht nicht unerhebliche formelle Anforderungen, sei es beispielsweise hinsichtlich notwendiger Belehrungen oder dem Abschluss von Auftragsverarbeitungsvereinbarungen. Zudem wirft selbst die Durchführung einer (Datenschutz-) Due Diligence bei einem Unternehmenskauf viele datenschutzrechtliche Probleme auf. Deren Lösung setzt zwangsläufig die Kenntnis der aktuellen, sich stetig ändernden, Rechtslage voraus. Diese Kenntnis kann im Regelfall nur durch einen Rechtsanwalt gewährleistet werden. Zu empfehlen ist in jedem Falle, einen zentralen Ansprechpartner, quasi den „Obergutachter“, zu benennen. Ihm kommt bei der Due Diligence eine zentrale Rolle zu. Er muss Gespräche zwischen den Kaufvertragsparteien und eingebundenen Personen koordinieren. Der Gutachter ist verantwortlich für Ablauf und Erfolg der Prüfung. Er sollte entscheiden, ob die Einbindung weiterer Sachverständiger, bei der Datenschutz-Due-Diligence insbesondere von EDV-Fachleuten, sinnvoll ist. Nur durch eine Zentralisierung können die ordnungsgemäße Dokumentation sowie die Aufbereitung der Ergebnisse sichergestellt werden. Auch aus haftungsrechtlichen Erwägungen empfiehlt sich die Beauftragung eines Obergutachters. Für den Auftraggeber sollte nur das Ergebnis entscheidend sein und nicht die Frage, wer von den Beratern für mögliche Fehler einzustehen hat.
