In der Praxis stellen sich gerade in gesellschaftsrechtlichen Transaktionen oft auch datenschutzrechtliche Fragen. Wie können Mitarbeiter- und Kundendaten auf ein erwerbendes Unternehmen übergehen? Darf ein Unternehmen als Rechtsnachfolger eines eingebrachten Unternehmens die vorhandenen Daten einfach weiter verwenden?

Das Bundesverwaltungsgericht in Österreich (BVwG) hat sich jüngst in einer Entscheidung (Bescheid v. 22.8.2023 – W137 2251172-1) mit dem Vorgang einer gesellschaftsrechtlichen Verschmelzung (in Deutschland etwa im UmwG geregelt) aus datenschutzrechtlicher Sicht befasst und einige praxisrelevante Aussagen getroffen.

Sachverhalt

In dem Verfahren beschwerte sich eine betroffene Person darüber, nicht DSGVO-konform von einer Gesellschaft informiert worden zu sein. Das verantwortliche Unternehmen (GmbH) betreibt eine App. Die Programmierung der App erfolgte zunächst durch ein anderes Unternehmen im Auftrag und nach den Vorgaben dieses anderen Unternehmens. Dieses andere Unternehmen wurde nach einiger Zeit in die GmbH durch Verschmelzung eingebracht.

Nach Ansicht der Betroffenen habe das verantwortliche Unternehmen (Betreiber der App) insbesondere fälschlich informiert, dass personenbezogene Daten selbst erhoben wurden, obwohl es diese Daten in der Vergangenheit von dem in die GmbH eingebrachten Unternehmen übernommen habe.

Entscheidung

Das BVwG musste also die Frage klären, ob der Betreiber der App richtig nach Art. 13 und 14 DSGVO informiert hat, wenn hinsichtlich der relevanten Daten angegeben wurde, dass diese selbst erhoben wurden, obwohl die Daten in der Vergangenheit rein faktisch von dem eingebrachten Unternehmen erhoben wurden. Eventuell lag auch eine Übermittlung von Daten zwischen den Unternehmen vor.

• Das BVwG stellt zunächst fest, dass es sich hier um den Fall einer Gesamtrechtsnachfolge handelt (vgl. § 20 Abs. 1 Nr. 1 UmwG in Deutschland).
• Aus datenschutzrechtlicher Sicht ist diese Art der Unternehmensnachfolge bzw. -übernahme unproblematisch, denn es findet keine Weitergabe personenbezogener Daten an Dritte statt.
• Das eigentliche Unternehmen bleibt rechtlich unverändert und damit auch die Rechtgrundlage für die bestehenden Verarbeitungsvorgänge.
• „Es liegt demnach kein datenschutzrechtlich relevanter Vorgang vor.“
• Der Rechtsnachfolger übernimmt auch das Recht zur Datenverwendung in jenem Umfang, wie es bereits dem Rechtsvorgänger zustand; es liegt somit keine Datenübermittlung an Dritte vor.
• Die Erhebung der personenbezogenen Daten erfolgte aus rechtlicher Perspektive direkt bei dem verantwortlichen Unternehmen (Betreiber der App).

Fazit

Das BVwG stellt zwei praxisrelevante Aspekte fest. Erstens, es liegt keine Datenübermittlung zwischen den beiden Unternehmen vor. Dies liegt an dem Konstrukt der Gesamtrechtsnachfolge. Zweitens, kann sich der Rechtsnachfolger auf das Recht zur Datenverwendung in jenem Umfang berufen, wie dies für das eingebrachte Unternehmen der Fall war. Nach Ansicht des BVwG gehen quasi die Rechtsgrundlagen und Zwecke der Datenverarbeitung auf den Rechtsnachfolger über.  

Update vom 11.10.2023

Mich hat heute der Kollege Dr. Christian Wirthensohn aus Österreich kontaktiert, der in dem Verfahren die Beschwerdeführerin vertreten hat. Er hat darauf hingewiesen, dass faktisch keine Verschmelzung zugrunde lag, sondern ein (Einzel-)Unternehmen in eine nachträglich gegründete GmbH eingebracht wurde. Eine solche Einbringung stelle nach österreichischem Recht sowohl nach der Rechtsprechung des österreichischen VwGH als auch nach Ansicht in der gesellschaftsrechtlichen aber auch in der datenschutzrechtlichen Literatur einen Fall einer Einzelrechtsnachfolge dar. Das BVwG hat dies nach Ansicht des Kollegen verkannt und es ist u.a. deswegen Revision an den VwGH erhoben worden.

Was bedeutet das für die Interpretation der Begründung? Das BVwG scheint zu etwas entschieden zu haben, was faktisch nicht vorlag. Die datenschutzrechtliche Begründung des BVwG bezieht sich auf eine Gesamtrechtsnachfolge. Für diesen Fall geht das BVwG von den oben genannten Folgen aus. Interessant wird sein, ob der VwGH, wenn eine Einzelrechtsnachfolge vorliegt, hier einen datenschutzrechtlichen Unterschied erkennt. Wenn also ein Erwerb von einzelnen Vermögensgegenständen vorlag, z.B. durch Übereignung.