Zoals reeds in het artikel bedrijfsacquisitie en gegevensbescherming omschreven (https://www.dirkzwager.nl/kennis/artikelen/nieuws-van-de-german-desk-bedrijfsacquisitie-en-gegevensbescherming/) dient er in het kader van een asset deal een rechtsgrondslag voor toestemming te zijn. Een rechtsgrondslag volgens Art. 6 lid 1DS-GVO is het hebben van een rechtmatig belang.
Dit is toegestaan zolang de overdracht van de gegevens noodzakelijk is en niet zwaarder weegt dan de belangen van de betrokkenen. In beginsel vereist dit een afweging in het individuele geval, gerelateerd aan het soort gegevens dat wordt overgedragen, niet aan de individuele persoon. Deze afweging is volgens de Datenschutzkonferenz als volgt te maken.
Lopende overeenkomsten
Naar het oordeel van de Datenschutzkonferenz (college van de onafhankelijke Duitse toezichthoudende autoriteiten voor gegevensbescherming op landelijk niveau en op niveau van de deelstaten) is voor lopende overeenkomsten de toestemming van de contractuele partner, in dit geval de betrokkene, vereist. Indien de klant niet instemt met de overdracht, kunnen voor lopende overeenkomsten geen klantgegevens worden overgedragen.
Cessie
Vanuit het oogpunt van gegevensbescherming zijn klantgegevens die worden overgedragen in het kader van de overdracht van openstaande vorderingen op de betrokken klant ook weinig problematisch indien zij noodzakelijk zijn voor de handhaving van de overgedragen vordering. De verwervende onderneming kan de aldus verkregen gegevens ontvangen overeenkomstig Art. 6 I 1, f DS-GVO en gebruiken om de vorderingen te innen. Iets anders geldt alleen indien de overdracht bij overeenkomst met de schuldenaar is uitgesloten.
Oude overeenkomsten
In het geval van klantgegevens met betrekking tot klanten waarmee de laatste actieve contractuele relatie van meer dan drie jaar geleden dateert (oude overeenkomsten), mogen de desbetreffende gegevens worden doorgegeven, maar alleen om te voldoen aan de wettelijke bewaartermijnen. De naleving van de bewaringstermijnen vormt een legitiem doel.
Bestaande klanten, oplossing bezwaar
Wanneer het gaat om gegevens van klanten met wie in de afgelopen drie jaar zakelijk contact is geweest en in het kader waarvan de persoonsgegevens rechtmatig zijn verwerkt (bestaande klanten), geven de toezichthoudende autoriteiten voor gegevensbescherming overwegend de voorkeur aan de zogenoemde bezwaarprocedure. De bezwaarprocedure wordt ingeleid door iedere betrokkene in kennis te stellen van de voorgenomen overdracht van gegevens die op hem of haar betrekking hebben. Dit kan gebeuren via elk communicatiemiddel, op voorwaarde dat de betrokkene er vooraf mee heeft ingestemd dat hij op die manier wordt gecontacteerd. De klant moet dan in het kader van dit contact worden ingelicht over de voorgenomen overdracht van de hem betreffende gegevens aan een nieuwe voor de gegevensbescherming verantwoordelijke. Zodra de bezwaartermijn is verstreken, moet het verkopende bedrijf nagaan van welke klanten een bezwaar is ontvangen. De bezwaaroplossing is echter niet toelaatbaar voor de overdracht van alle soorten gegevens, bv. niet voor bijzonder gevoelige gegevens in de zin van artikel Art. 9 I DS-GVO (deze vereisen de uitdrukkelijke toestemming van de betrokkenen). Hetzelfde geldt voor gegevens die bijzonder beschermd zijn door speciale normen en bankgegevens.
Samenvatting
Het is onduidelijk of en in welke mate de voorschrift van de Datenschutzkonferenz door de jurisprudentie zal worden bevestigd. In de context van asset deals is de veiligste oplossing daarom momenteel het verkrijgen van toestemming voor de overdracht van gegevens middels een klantenbrief. Een bezwaaroplossing kan slechts in beperkte mate worden aanbevolen en is op grond van de eisen van de gegevensbeschermingsautoriteiten uitgesloten indien (vermeend) gevoeligere gegevens moeten worden doorgegeven en gebruikt worden voor promotiedoeleinden. Als dit niet mogelijk is of niet veelbelovend gezien de feitelijke omstandigheden, dan is een asset deal niet aan te raden.
