Die Deutsche Konferenz der Datenschützer hat eine Liste von Fallgruppen erlassen, die in ihren Augen im Fall einer Interessenabwägung nach Art. 6 lit. f DSGVO bei der Durchführung von Asset-Deals berücksichtigt werden müssen.
Die Verarbeitung von Daten ist gemäss Art. 6 lit. f DSGVO rechtmässig, wenn sie für die Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist. Allerdings genügt der Nachweis eines berechtigten Interessenbestandes nicht. Vielmehr muss dass verfolgte Intersse gegenüber einem Grundrechts- und Grundfreiheiteneingriff überwiegen. Doch genau bei dieser daraus resultierenden Interessenabwägung scheiden sich die Geister, ist sie doch ein oft diskutierter Punkt, welchen die DSGVO mit sich gebracht hat. Wie und wann Unternehmen eine solche vorzunehmen haben, ist bis anhin nicht abschliessend geklärt.
Eine Publikation der deutschen Datenschutzkonferenz leistet nun mit einer Liste von Fallgruppen einen Beitrag zur Auflösung der Frage, wie die Interessenabwägung nach Art. 6 lit. f DSGVO stattfinden soll.
Konkret wird das Vorgehen in fünf unterschiedlichen Szenarien vorgestellt:
1) Kundendaten bei laufenden Verträgen
Der Übergang von Daten baut hier auf dem Vertragsverhältnis zwischen den Parteien auf. In der Schuldübernahme nach dem deutschen BGB wird auch die Genehmigung zum Übergang von Personendaten gesehen.
2) Bestandskunden ohne laufende Verträge, das Ende der letzten Vertragsbeziehung liegt mehr als drei Jahre zurück
Daten solcher ehemaligen Kunden können nur beschränkt verarbeitet werden. Gemäss der DSK dürfen sie zwar weitergegeben, aber nur zwecks Aufbewahrungspflichten verarbeitet werden. Dies bringt gewisse Folgen für die Interessenabwägung mit sich; insbesondere auch im Fall, dass ein Insolvenzverwalter involviert ist.
3) Daten von Kundinnen und Kunden in einem fortgeschrittenen „Vertragsanbahnungsverhältnis“, aber ohne laufende Verträge und mit abgeschlossenen Vertragsbeziehungen, die jünger als drei Jahre alt sind.
Diese Daten dürfen vorbehaltlich einer Widerspruchsfrist auch weiterübermittelt werden. Die DSK betont, diese Widerspruchsmöglichkeit sei „kundenfreundlich“ und übersichtlich zu gestalten, gerade auch, weil viele Kunden von der ausdrücklichen Einräumung einer Widerspruchsfrist eher überrascht sein dürften.
4) Kundendaten im Falle offener Forderungen
Zivilrechtlich sind nach deutschem Recht die Datenübergänge dieser Art wie Forderungsübergänge zu behandeln. Der Zedent darf grundsätzlich auch gestützt auf die DSGVO Datenübergänge anstreben. Bei der Interessenabwägung ist allerdings zu berücksichtigen, ob eine Übertragung von Daten ausdrücklich ausgeschlossen wurde.
5) Kundendaten, die unter die besondere Kategorie von Art. 9 Abs. 1 DSGVO fallen
Die DSGVO sieht für diese Fälle eine Informierungspflicht vor. Die in zweien dieser Fallgruppen vorkommenden Fristen von drei Jahren bezieht sich auf die regelmässige Anspruchsverjährung im deutschen Recht. Zudem nimmt die Konferenz an, nach drei Jahren seien die meisten Daten über ehemalige Geschäftspartner nicht mehr aktiv nutzbar, da die Daten veraltet seien.