zudem auch frei widerrufbar. Um diese Probleme zu vermeiden, wird vertreten, dass die (in der Praxis selten genutzte) Möglichkeit besteht, in einer Betriebsvereinbarung Erlaubnistatbestände für die Verarbeitung personenbezogener Daten im Beschäftigungsverhältnis zu schaffen.407 Darin können abstrakte Rechtsfertigungstatbestände geschaffen werden oder geringere Anforderungen an die konkrete Benennung der Umstände der Verarbeitung vereinbart werden.408 Zweckmäßig kann eine solche Betriebsvereinbarung insbesondere für Portfoliounternehmen von Private Equity-Fonds sein, bei denen eine oder gar mehrere Veräußerungen in der Zukunft wahrscheinlich sind.409
206
In der Praxis muss deshalb die große Mehrzahl der Offenlegungen personenbezogener, nicht sensibler410 Daten während einer Due Diligence auf die gesetzliche Erlaubnis des Art. 6 Abs. 1 lit. f DSGVO gestützt werden können, um datenschutzrechtlich konform zu sein.
207
Weniger Beachtung gefunden hat und bislang datenschutzrechtlich weitgehend ungeklärt ist411 die Frage, ob die betroffenen Personen von einer Offenlegung ihrer personenbezogenen Daten zu unterrichten sind. Das wäre nach Art. 13 Abs. 3 DSGVO der Fall, wenn die Offenlegung der personenbezogenen Daten im Rahmen einer Due Diligence für einen anderen Zweck erfolgt als zu dem Zweck, zu dem sie ursprünglich erhoben wurden. Dass solch eine Zweckänderung vorliegt, wird in der datenschutzrechtlichen Literatur vertreten.412 In der Praxis könnte dies zu dem „fatale(n) Ergebnis“413 führen, dass der Verkäufer seine Verkaufspläne bereits frühzeitig gegenüber solchen Personen offenlegen muss, deren personenbezogene Daten er offenzulegen beabsichtigt.414 Gegen die Annahme einer Zweckänderung spricht, dass bei einer aktiv am Wirtschaftsleben teilnehmenden Zielgesellschaft immer auch Veränderungen durch M&A-Aktivitäten wahrscheinlich sind und daher einen latent vorgesehenen Datenverarbeitungszweck darstellen.415 Beschäftigtendaten der Zielgesellschaft werden zudem auch bei Offenlegung gegenüber einem Kaufinteressenten für Beschäftigungszwecke genutzt.416 Dennoch wird man in der Praxis zu Recht den sichersten Weg wählen wollen und von der Arbeitshypothese ausgehen müssen, dass eine Zweckänderung vorliegt. Dann sind die Betroffenen nur dann nicht zu benachrichtigen, wenn eine Befreiung nach der DSGVO vorliegt. In Bezug auf den Kaufinteressenten wird eine solche Befreiung auf Grundlage des Art. 14 Abs. 5 lit. b DSGVO, ggf. ergänzt durch § 29 Abs. 1 Satz 1 BDSG, für tragfähig angesehen.417 Hinsichtlich der Zielgesellschaft wird eine Analogie zu Art. 14 Abs. 5 lit. b DSGVO befürwortet, gleichzeitig aber als risikobehaftet qualifiziert und mit der Empfehlung an eine Zielgesellschaft verbunden, bereits vorab und ohne konkreten Anlass in jede Datenschutzinformation die potenzielle Offenlegung personenbezogener Daten an etwaige Kaufinteressenten aufzunehmen.418 Schließlich wird – aus Sicht des Verfassers überzeugend – dafür plädiert, den Anwendungsbereich der Benachrichtigungspflichten im Hinblick auf die Eigentumsinteressen und die unternehmerische Freiheit grundrechts- und grundfreiheitenkonform (vgl. Art. 14 GG und Art. 16 GRCh) zu reduzieren bzw. den Anwendungsbereich der Befreiungstatbestände durch grundrechts- bzw. grundfreiheitenkonforme Auslegung oder Analogie zu erweitern.419 Für die M&A-Praxis bleibt leider festzustellen, dass insoweit bei einer zentralen Frage insbesondere für die Zielgesellschaft ein Risiko verbleibt, dass die unterbliebene Benachrichtigung von Betroffenen einen Verstoß gegen die DSGVO darstellt.
208
Bzgl. des Verkäufers ist zu beachten, dass dieser nicht als Verantwortlicher angesehen wird, da die personenbezogenen Daten der Zielgesellschaft zugeordnet werden und diese daher datenschutzrechtlich verantwortlich für die personenbezogenen Daten ist. Daher dürften die Informationspflichten nach Art. 13, 14 DSGVO primär die Zielgesellschaft treffen.
209
Praxistipp:
Auch angesichts der unklaren Rechtslage, ob durch die Offenlegung personenbezogener Daten Benachrichtigungspflichten ausgelöst werden, empfiehlt es sich, solche Daten, wenn ihre Offenlegung für den Abschluss der Transaktion wichtig ist, so spät wie möglich im Rahmen der Due Diligence zur Verfügung zu stellen und die Entscheidung sorgfältig zu dokumentieren.
210
Es empfiehlt sich schließlich, dass die Verantwortlichen bei Verkäufer und Zielgesellschaft die von ihnen im Zusammenhang mit der Offenlegung und einer unterbliebenen Benachrichtigung potenziell Betroffener angestellten Erwägungen schriftlich dokumentieren, um damit den Vorgaben des Art. 5 Abs. 2 DSGVO zu genügen.420
(d) Kartellrechtliche Verpflichtungen
211
Besonderes Augenmerk ist darauf zu richten, ob es im Rahmen der Due Diligence zur Offenlegung wettbewerblich sensibler Daten an einen Wettbewerber (als Bieter) und damit zum Austausch wettbewerblich relevanter Informationen mit diesem kommen kann.421 Darin kann ein Verstoß gegen das fusionskontrollrechtliche Vollzugsverbot (Gun Jumping) und ein Verstoß gegen das Kartellverbot liegen.422
(e) Kapitalmarktrechtliche Grenzen
212
Schließlich kommen u.U. kapitalmarktrechtliche Grenzen in Betracht und stellen Anforderungen an die Durchführung der Due Diligence.
213
Diese Anforderungen hat in erster Linie ein Aktienemittent zu beachten, der einen Geschäftsbereich oder eine Tochtergesellschaft verkauft. Sie können aber auch etwa bei einer GmbH relevant werden, die Schuldtitel emittiert hat und einen Geschäftsbereich oder eine Tochtergesellschaft verkauft.
214
Praktische Bedeutung können im Rahmen einer Due Diligence aus Verkäufersicht insbesondere sog. Insiderinformationen im Sinne des Art. 7 Abs. 1 a) MAR haben, deren Offenlegung im Datenraum beabsichtigt ist. Denn nach Art. 14 c) MAR ist die unrechtmäßige Offenlegung von Insiderinformationen verboten. Verstöße gegen Art. 14 MAR können nicht nur zivilrechtliche, sondern auch straf- und ordnungswidrigkeitenrechtliche Sanktionen nach sich ziehen. Ein vorsätzlicher Verstoß gegen Art. 14 MAR kann mit Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe geahndet werden (§ 119 Abs. 3 WpHG i.V.m. § 15 StGB). Ein leichtfertiger Verstoß stellt eine Ordnungswidrigkeit dar, die bei juristischen Personen mit einem Bußgeld in Höhe von bis zu EUR 15 Mio. oder, sofern höher, 15 % des Gesamtumsatzes des vorangegangenen Geschäftsjahres sanktioniert werden kann (§§ 120 Abs. 14, 18 Satz 1 Nr. 1 WpHG und § 30 OWiG).
215
Während die Prüfung und Vermeidung potenzieller Verstöße gegen das Datenschutzrecht, gegen vertragliche Vertraulichkeitsverpflichtungen oder kartellrechtliche Schranken der Informationsweitergabe quasi zum täglichen Brot bei der Vorbereitung einer Due Diligence gehören, ist die Wahrscheinlichkeit, unrechtmäßig Insiderinformationen offenzulegen, in der Praxis deutlich geringer.423 Das liegt insbesondere an den Anforderungen, die an Insiderinformationen gestellt werden. Es muss sich nach Art. 7 Abs. 1 a) MAR verkürzt zusammengefasst nämlich um nicht öffentlich bekannte, präzise Informationen handeln, die direkt oder indirekt einen Emittenten betreffen und die, wenn sie öffentlich bekannt würden, geeignet wären, den Kurs der vom Emittenten ausgegebenen Finanzinstrumente erheblich zu beeinflussen.
216
Die beabsichtigte Transaktion als solche kann eine Insiderinformation sein. Allerdings wird in der Praxis zumindest dann, wenn ein größerer Verkaufsprozess initiiert wird, diese Absicht oft bereits vor Beginn der Due Diligence öffentlich bekannt gemacht worden sein.
