Klantgegevens omvatten persoonlijke gegevens, waarvan de overdracht in overeenstemming moet zijn met de regelgeving op het gebied van gegevensbescherming. De juridische situatie is echter niet eenduidig en hangt af van het soort transactie. Daarom is het belangrijk voor de structurering van de transactie er goed over na te denken, op welke manier gegevens overgedragen kunnen worden.
Share Deal, fusie
Indien de aandelen van een onderneming worden verkocht (share deal), wordt de identiteit van de doelvennootschap niet beïnvloed door de transactie zelf. Daarom is geen overdracht van gegevens aan derden nodig, aangezien de onderneming en dus de voor de verwerking verantwoordelijke ongewijzigd blijven bestaan. Indien de transactie plaatsvindt door middel van een fusie of splitsing overeenkomstig het Umwandlungsgesetz, is er evenmin sprake van een overdracht van gegevens, de gegevens worden in hun geheel overgedragen, zodat er ook hier geen sprake is van een overdrachtsproces waarvoor toestemming in de zin van de DS-GVO (vergelijkbaar met de Nederlandse Algemene verordening gegevensbescherming – AVG) is vereist. Deze twee soorten transacties zijn derhalve niet problematisch uit het oogpunt van de wetgeving inzake gegevensbescherming.
Asset Deal
Dit is anders in het geval van een asset deal. Hier worden alleen individuele activa overgedragen aan de overnemer, zoals bij voorbeeld personeels- en klantengegevens. Volgens de DS-GVO is gegevensverwerking in het algemeen verboden als er geen rechtsgrondslag voor toestemming is. Welke wettelijke gronden voor toestemming zijn denkbaar? Deze zijn te vinden in Art. 6 lid 1DS-GVO.
Uitdrukkelijke toestemming
Voor de verkopende onderneming bestaat de mogelijkheid om toestemming te verkrijgen in rechtstreeks verband met de geplande verkoop van het onderdeel van het bedrijf, d.w.z. toestemming voor de overdracht van de gegevens zelf. Voor gevoelige gegevens (zogenaamde "bijzondere persoonsgegevens" zoals informatie over ziekten, politieke opvattingen, godsdienstige overtuiging of seksuele leven) zal er vrijwel geen alternatief zijn voor uitdrukkelijke toestemming – dus in geval van gevoelige gegevens moet altijd de uitdrukkelijke toestemming voor de overdracht worden verkregen.
De verkopende onderneming zou daarom contact moeten opnemen met de betrokkenen en hun specifieke toestemming moeten verkrijgen voor de gegevensoverdracht en de daaropvolgende gegevensverwerking door de verwervende onderneming. Een dergelijke procedure is echter niet erg kansrijk voor bedrijven met grote klantenbestanden, aangezien slechts een laag percentage feedback te verwachten is en de meeste betrokkenen inactief zullen blijven.
De verkopende onderneming zou ook reeds in haar privacybeleid een bepaling kunnen opnemen waarin staat dat de betrokkene instemt met de overdracht van zijn of haar gegevens aan een nieuwe voor de verwerking verantwoordelijke, indien dat nodig is in het kader van een asset deal. De vereiste formulering zou echter zo nauwkeurig op de toekomstige verkoop moeten worden afgestemd dat dit uit praktisch oogpunt waarschijnlijk niet realistisch is.
Nakoming van een overeenkomst
Verwerking van gegevens is toegestaan indien dit geschiedt ter uitvoering van een overeenkomst. Dit heeft betrekking op alle gegevensverwerking die verband houdt met een bestaande contractuele relatie. De betrokkene moet echter partij zijn bij de overeenkomst. Dit geldt bijvoorbeeld voor bestaande arbeidsverhoudingen die in het kader van een overdracht van een onderneming op de verwerver overgaan. Voor klanten ligt dit echter anders: hier bestaat alleen een contractuele relatie tussen de verkopende en de verwervende onderneming, maar de klant is daarbij geen partij. De gegevensverwerking is derhalve alleen noodzakelijk voor de uitvoering van de verkoopovereenkomst tussen de verkopende en de verwervende onderneming, maar niet voor de uitvoering van een overeenkomst waarbij de betrokkene - klant - contractuele partner is.
Rechtmatig belang
Tot slot blijft de mogelijkheid om klantengegevens over te dragen als onderdeel van het rechtmatige belang van de verkoper bij de verkoop van zijn andere activa. Dit is toegestaan zolang de overdracht van de gegevens noodzakelijk is en niet zwaarder weegt dan de belangen van de betrokkenen. In beginsel vereist dit een afweging in het individuele geval, gerelateerd aan het soort gegevens dat wordt overgedragen, niet aan de individuele persoon. Zo moet er bijvoorbeeld rekening mee worden gehouden of en hoe lang de klantrelatie niet meer actief is, of er naast de contactgegevens nog andere gegevens worden doorgegeven, hoe omvangrijk de gegevens in totaal zijn, of er gevoelige gegevens of gegevens van minderjarigen tussen zitten en of de gegevens ook bij de verkopende partij blijven. Op het rechtmatig belang ga ik in een ander artikel nader in (https://www.dirkzwager.nl/kennis/artikelen/nieuws-van-de-german-deks-bedrijfsacquisitie-en-gegevensbescherming-rechtmatig-belang-bij-de-overdracht-van-gegevens/).
De gegevensoverdracht kan dus gebaseerd zijn op verschillende toestemmingen of autorisaties, afhankelijk van het soort gegevens dat moet worden overgedragen.
Gebruik van gegevens voor reclamedoeleinden
Voor zover de overdracht is toegestaan, is een wezenlijk belang van de verwerver dat de verworven gegevens na de voltooiing van de transactie regelmatig voor reclamedoeleinden kunnen worden gebruikt.
Voor gepersonaliseerde reclame via e-mail geldt een verbod onder voorbehoud van toestemming; ook hier moest de klant dus toestemming hebben gegeven voor de reclame. Indien de toestemming overeenkomstig de andere vereisten is verkregen, moet het gebruik door de verwerver na de afronding van een activatransactie nog steeds in overeenstemming zijn met de toestemming "voor het specifieke geval". Daarom mag de verwerver alleen reclame maken waarmee de betrokken persoon heeft ingestemd. In de context van een activatransactie geldt de toestemming alleen voor de verkoper. De verwerver van een bedrijf is een afzonderlijke rechtspersoon aan wie geen toestemming is gegeven. Bijgevolg zal de verwerver zich in beginsel niet kunnen beroepen op een aan de verkoper gegeven toestemming.
Samenvatting
In het kader van een share deal of een fusie is de overdracht van gegevens in het algemeen niet problematisch uit het oogpunt van de wetgeving inzake gegevensbescherming. In de context van asset deals is de veiligste oplossing momenteel het verkrijgen van toestemming voor de overdracht van gegevens middels een klantenbrief. Dit zou in de praktijk met name bij grote klantenbestanden moeilijk realiseerbaar zijn. Bij Gevoeligere gegevens is dit echter de enige optie.
