Missing Link: Kunden-Datenbanken – wenn der Zwangsvollstrecker anklopft
Datenschützer erhalten oft Beschwerden von Bürgern, die von ihnen unbekannten Unternehmen plötzlich Werbung erhalten. Dürfen die das überhaupt trotz DSGVO?
Der Umgang mit Kundendatenbanken wird jetzt vor dem EuGH geklärt.
(Bild: IM Imagery/Shutterstock.com)
Vor dem Europäischen Gerichtshof (EuGH) ist ein ungewöhnlicher und komplexer Fall anhängig, in dem es um die Frage geht, ob Datenbanken von Unternehmen voll mit persönlichen Informationen über Kunden ohne deren Einwilligung veräußert werden dürfen. Die Gläubigergesellschaft I. mit Sitz in Polen hat eine durch rechtskräftige gerichtliche Entscheidung bestätigte Forderung gegen das Unternehmen NMW. Dieses betreibt eine E-Commerce-Plattform. Auf Antrag der Klägerin wurde gegen die Gesellschaft NMW ein Vollstreckungsverfahren eingeleitet, um an Geld zu kommen. Der Gerichtsvollzieher entschied sich aber zunächst dafür, nicht weiter gegen die beklagte Firma vorzugehen, da diese über keine passenden Vermögenswerte verfüge.
Die Klägerin beantragte daraufhin vor Gericht, M. W. aus dem Vorstand von NMW müsse persönlich für den Schaden aufkommen. Artikel 299 Paragraf 1 des Gesetzbuchs über Handelsgesellschaften sehe für den Fall, dass eine Forderung nicht mit den Vermögenswerten der Schuldnergesellschaft gedeckt werden kann, die finanzielle Haftung der Mitglieder des Vorstands des säumigen Unternehmens vor. M. W. forderte in Folge, diese Klage abzuweisen. Das Vorstandsmitglied begründete dies damit, dass NMW Vermögenswerte besitze, deren Wert jeweils höher sei als die Forderung der Klägerin. Dabei handle es sich um den Quellcode der Online-Shopping-Software kombiniert mit einer Dienstleistung, die mit Cashback-Systemen vergleichbar sei. Dazu kämen zwei Datenbanken mit Informationen von Nutzern dieser Plattform.
Das zuständige polnische Gericht will vom EuGH wissen, ob die Datenschutz-Grundverordnung (DSGVO) es einem Gerichtsvollzieher gestattet, diese Datenbanken in einem Zwangsvollstreckungsverfahren ohne die Zustimmung der Betroffenen zu veräußern. Es weist dabei darauf hin, dass der Verkauf des E-Commerce-Portals allein ohne die Kundeninformationen auf dem Markt nicht so attraktiv wäre wie der Verkauf des gesamten Pakets. Die Richter selbst hegen Zweifel daran, dass solche Datenbanken Gegenstand einer gerichtlichen Vollstreckung sein können, da sie personenbezogene Informationen von Hunderttausenden von Nutzern der Plattform enthielten. Zugleich sei nicht erkennbar, dass die Betroffenen der Verarbeitung ihrer persönlichen Daten durch Dritte außerhalb des Portals zugestimmt hätten.
EuGH-Gutachter: Verkauf von Datenbanken kann rechtmäßig sein
EuGH-Generalanwalt Priit Pikamäe kann diesen Bedenken nicht ganz folgen. Er empfiehlt dem Gerichtshof in seinen am 22. Februar in der Rechtssache C-693/22 veröffentlichten Schlussanträgen daher, die Option des Verkaufs der beiden Datenregister zu bejahen. Nach Ansicht des Gutachters fallen die von dem Gerichtsvollzieher zur Schätzung des Werts der betreffenden Datenbanken und zu ihrer Versteigerung vorgenommenen Handlungen zwar durchaus in den Anwendungsbereich der DSGVO. Dabei gehe es nämlich um das Auslesen, Abfragen und die Verwendung der in den Registern gespeicherten persönlichen Informationen und deren Bereitstellung an einen potenziellen Erwerber.
Der Gerichtsvollzieher ist Pikamäe zufolge so auch als der Verantwortliche für diese Verarbeitungen einzustufen. Letztere seien aber rechtmäßig, wenn sie für die Wahrnehmung einer dem Gerichtsvollzieher übertragenen Aufgabe, die in Ausübung öffentlicher Gewalt erfolge, erforderlich seien. Ferner stellt der Generalanwalt fest, dass mit einer Veräußerung der Datenbanken eine Zweckänderung einhergehe, da die Informationen die Nutzung der E-Commerce-Plattform ermöglichen sollten. Dies könne aber mit der DSGVO vereinbar sein, wenn es sich "um eine in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme zur Erreichung eines der mit dieser Verordnung verfolgten Ziele im öffentlichen Interesse" handle.
Nach Auffassung des Gutachters kann die Durchsetzung zivilrechtlicher Ansprüche grundsätzlich zu solchen Zwecken gehören. Die Prüfung der Verhältnismäßigkeit obliege aber letztlich dem polnischen Gericht. Diese müsse dabei zwischen dem Eigentumsrecht der Gläubigergesellschaft und dem Anspruch der Nutzer der Plattform auf den Schutz personenbezogener Daten abwägen. Die Schlussanträge sind für den Gerichtshof nicht bindend. Mit einem Urteil der Luxemburger Richter ist in den nächsten Monaten zu rechnen.
Die Datenschutzkonferenz hat den Rahmen schon abgesteckt
Felix Glocker, Datenschutzexperte bei der Kanzlei CMS Deutschland in München, bezeichnet die Empfehlung des Generalanwalts als "konsequent" in dem Sinne, dass eine Sammlung persönlicher Informationen veräußert werden könne, "solange der Datenschutz mitgedacht wird". Bei einer Zwangsversteigerung zum Nachkommen von Forderungen oder nach einer Insolvenz könnten durchaus Kundendaten mit verkauft werden in Rahmen eines Deals, erläutert der Jurist gegenüber heise online. Bedingung dafür sei, dass "nicht isoliert nur die Datenbank an den Meistbietenden" vertickt werde. Vielmehr komme es darauf an, dass ein Unternehmen oder größere Teile davon "als wirtschaftliche Einheit" feilgeboten würden.
Glocker erinnert an einen Beschluss der Konferenz der unabhängigen Datenschutzbehörden von Bund und Ländern (DSK) vom Mai 2019. Demnach sei für einen "Asset Deal" inklusive Kundendaten im Rahmen eines Erwerbs von Wirtschaftsgütern eines Unternehmens nicht unbedingt eine Einwilligung erforderlich. Die Aufsichtsbehörden hätten dazu ein abgestuftes Verfahren ins Spiel gebracht. Eine Veräußerung im Rahmen eines laufenden Vertrags etwa für ein Abonnement braucht demnach immer eine Zustimmung.
Daten von Bestandskunden, bei denen die letzte aktive Vertragsbeziehung mehr als 3 Jahre zurückliegt, kann der Erwerber dem DSK-Papier zufolge nur eingeschränkt verarbeitet werden. Sie dürfen zwar übermittelt, aber nur wegen gesetzlicher Aufbewahrungsfristen etwa nach Bestellungen für Garantiefälle genutzt werden. Für den Käufer wären sie so eher ein Ballast. Denkbare Alternative ist, dass entsprechende Kundeninformationen nicht den Besitzer wechseln, sondern beim Alt-Unternehmen verbleiben. Weiter heißt es in dem Beschluss: "Ist ein Insolvenzverwalter eingeschaltet, bemüht dieser sich um einen aus der Masse zu finanzierenden Dienstleister, der die Alt-Daten für einen bestimmten Zeitraum aufbewahrt."