Читать книгу: «Due Diligence»
Due Diligence
Datenschutzrechtlicher Praxisleitfaden
von
Maximilian Schnebbe,
Bremen
und
Dr. Peter Trinks
Hamburg
Fachmedien Recht und Wirtschaft | dfv Mediengruppe | Frankfurt am Main
Bibliografische Information der Deutschen Nationalbibliothek
Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.
ISBN: 978-3-8005-1789-3
© 2021 Deutscher Fachverlag GmbH, Fachmedien Recht und Wirtschaft, Frankfurt am Main
www.ruw.de
Das Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Verlages unzulässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Bearbeitungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen.
Druck: WIRmachenDRUCK GmbH, Backnang
Printed in Germany
Vorbemerkung
Theorie trifft auf Praxis. So einfach dies klingt, so kontrovers lassen sich diese beiden Facetten im Datenschutzrecht diskutieren. Dabei sind die gesetzlichen Vorgaben in der Regel eindeutig, wenngleich in nahezu allen Bereichen höchstrichterliche Rechtsprechung fehlt. Die Zusammenarbeit der Autoren, die beide u.a. als Datenschutzbeauftragte tätig sind, war immer wieder geprägt durch die Frage, wie sich die oftmals sehr theoretisch anmutenden gesetzlichen Vorgaben in der Praxis praktikabel umsetzen lassen. Wiederholt angeschnitten in der täglichen Arbeit wurde dabei der Bereich der Due Diligence. Es lag daher auf der Hand, die bisher in der Praxis einer Due Diligence eher stiefmütterlich behandelten Datenschutzfragen einerseits darzustellen und den Anwender damit für Probleme und gesetzliche Vorgaben zu sensibilisieren. Andererseits sollte anhand praktischer Erwägungen und konkreter Lösungswege zugleich gezeigt werden, dass und vor allem wie das Treffen von Praxis und Theorie bei der Due Diligence nicht auf Unmöglichkeit gerichtet sein muss.
Hamburg und Bremen, den 20. Juli 2021
Inhaltsverzeichnis
1 Vorbemerkung
2 Kapitel 1: Die Due Diligence und das Datenschutzrecht I. Einleitung II. Allgemeines zur Due Diligence 1. Ablauf 2. Der Prüfer 3. Vertraulichkeit/Letter of Intent III. Allgemeines zum Datenschutzrecht 1. Anwendungsbereich a) Sachlicher Anwendungsbereich b) Räumlicher Anwendungsbereich 2. Allgemeine Grundsätze für die Verarbeitung 3. Rechtmäßigkeit der Verarbeitung a) Einwilligung b) Verarbeitung erforderlich für Erfüllung des Vertrages c) Berechtigtes Interesse IV. Risiken 1. Bußgelder 2. Schadensersatz 3. Abmahnung 4. Vertrag unwirksam/Gewährleistungsansprüche
3 Kapitel 2: Datenschutz bei der Durchführung der Due Diligence I. Vorüberlegungen 1. Allgemeines 2. Datenschutzrechtliche Stellung der Beteiligten II. Gemeinsame Verantwortliche 1. Die gemeinsamen Verantwortlichen 2. Aufgaben 3. Aufteilung der Aufgaben 4. Mindestinhalt der gemeinsamen Vereinbarung a) Präambel b) Beschreibung der Datenverarbeitung c) Aufteilung der Zuständigkeiten d) Datensicherheit e) Betroffenenrechte f) Informationspflichten g) Auftragsverarbeiter III. Auftragsverarbeiter 1. Geeignetheit des Auftragsverarbeiters 2. Auftragsverarbeitungsvereinbarung 3. Mindestinhalt der AVV a) Gegenstand und Dauer der Verarbeitung b) Art und Zweck der Verarbeitung c) Art der personenbezogenen Daten d) Kategorien betroffener Personen e) Pflichten und Rechte des Verantwortlichen aa) Erforderliche Maßnahmen gemäß Art. 32 DSGVO bb) Technisch-Organisatorische Maßnahmen cc) Haftung f) Rechte und Pflichten des Auftragsverarbeiters IV. Rechtmäßigkeit der Verarbeitung 1. Kategorien von Daten bei der Due Diligence 2. Zweckänderung a) Kompatibilitätstest b) Testergebnis aa) Positives Ergebnis bb) Negatives Ergebnis c) Art. 6 Abs. 4 DSGVO als eigene Rechtsgrundlage aa) Eigenständige Rechtsgrundlage bb) Erneute Rechtmäßigkeitsprüfung d) Zusammenfassung 3. Rechtsgrundlagen a) Einwilligung b) Berechtigtes Interesse c) Besondere Kategorien von Daten d) Beschäftigtendaten 4. Anonymisierung V. Informationspflichten 1. Informationspflicht vs. Geheimhaltungsinteresse 2. Ausnahmen von der Informationspflicht a) Art. 14 DSGVO b) Art. 13 DSGVO aa) Art. 14 Abs. 5 lit. b) DSGVO analog bb) Weites Verständnis des Art. 13 Abs. 3 DSGVO cc) § 32 Abs. 1 Nr. 4 BDSG 3. Anonymisieren 4. Zusammenfassung a) Kaufinteressenten b) Zielunternehmen 5. Umsetzung der Informationspflichten des Art. 13 DSGVO VI. Ort der Prüfung 1. Anforderungen an den virtuellen Datenraum 2. Regeln innerhalb des virtuellen Datenraumes VII. Datenschutz-Folgenabschätzung VIII. Verzeichnis von Verarbeitungstätigkeiten IX. Anhänge 1. Anhang 1: Technisch-Organisatorische Maßnahmen (TOM) mit Formulierungsvorschlägen 2. Anhang 2: Belehrung Mitarbeiter (Formulierungsvorschlag)
4 Kapitel 3: Die Datenschutz-Due-Diligence I. Vorüberlegung II. Informationsquellen III. Durchführung 1. Unternehmensstruktur 2. EDV 3. Website/Online-Präsenz 4. Besucher- und Gebäudemanagement 5. Gemeinsame Verantwortliche 6. Auftragsdatenverarbeitung 7. Betriebsrat/Personalrat 8. Kundendaten 9. Besondere Kategorien von Daten 10. Gesundheitsdaten 11. Beschäftigtendaten 12. Einwilligung 13. Löschkonzept 14. Profiling 15. Drittlandübermittlung 16. Schulungen 17. Aufsichtsbehörden IV. Rechtsfolgen für den Abschluss eines Kaufvertrages 1. Haftung dem Grunde nach 2. Haftung der Höhe
5 Literaturverzeichnis
Kapitel 1: Die Due Diligence und das Datenschutzrecht
I. Einleitung
1
Dank des zunehmenden Einflusses der englischen Sprache – auch im deutschen Rechtskreis – kann mit nur zwei Wörtern eine durchaus komplexe Regelungsmaterie zusammengefasst werden. Wie die Etablierung der „Due Diligence“ in der deutschen Rechtswissenschaft und -praxis erfolgte, lässt sich nur schwerlich zurückverfolgen. Es gibt in Deutschland weder eine ausdrückliche gesetzliche Regelung noch einen klar definierten Anwendungsbereich.
2
Seinen Ursprung hat der Begriff „Due Diligence“ im amerikanischen Kapitalmarkt- und Anlegerschutzrecht. Dort müssen Erstemittenten von Wertpapieren eine im Vorfeld durchgeführte „Prüfung mit angemessener Sorgfalt“ nachweisen, um einer möglichen Emissionsprospekthaftung zu entgehen. Vergleichbar ist dieser Grundsatz im US-amerikanischen Haftungsrecht mit dem im deutschen Recht etablierten Institut der „im Geschäftsverkehr erforderlichen Sorgfalt“1. Vereinfacht ausgedrückt handelt es sich bei der Due Diligence, gerne auch kurz als „DD“ bezeichnet, um eine Bestandsaufnahme, die in der Regel das Fundament für eine Risikoabwägung legt. Bei dieser Abwägung sollte, schon im Interesse des Durchführenden, eine gewisse Sorgfalt angewandt werden. Nur so kann eine hinreichende Grundlage für das angestrebte Ziel einer jeden Due Diligence geschaffen werden. Dieses Ziel muss vorher definiert werden. Denn die möglichen Anlässe für die Durchführung einer Due Diligence sind vielfältig. Gleich, ob nun
– ein Gesellschafter aus dem Unternehmen ausscheiden will und seine Abfindung berechnet werden muss;
– Sanierungen des Unternehmens eine Bestandsaufnahme erfordern;
– Privatisierungen der öffentlichen Hand geplant sind oder
– der Unternehmer einen Verkauf durchführt oder zumindest vorbereitet;
3
Ausgangspunkt bildet immer die Aufnahme des Ist-Zustandes aus dem Blickwinkel des die Due Diligence durchführenden Betrachters.
4
Zumindest historisch betrachtet führte, das Thema Datenschutz und dessen Prüfung im Rahmen einer Due Diligence eher ein Schattendasein. Dies änderte sich mit dem Geltungsbeginn der DSGVO2 am 25.5.2018. Zusammen mit der so genannten JI-Richtlinie für den Datenschutz in den Bereichen Polizei und Justiz bildet die DSGVO seit Geltungsbeginn den gemeinsamen Datenschutzrahmen innerhalb der Europäischen Union. Bis zu diesem Zeitpunkt galt die im Jahre 1995 erlassene Datenschutzrichtlinie 95/46/EG3. Problematisch war, dass zwar allen Mitgliedstaaten der Europäischen Union die gleiche Rechtsgrundlage zur Verfügung stand, Art und Umfang der Umsetzungsgesetze aber durch die Mitgliedstaaten frei bestimmbar waren. So war es wenig verwunderlich, dass durchaus eklatante Unterschiede im Datenschutzniveau der einzelnen Staaten zu erkennen waren. Ziel der DSGVO war daher die Schaffung eines einheitlichen Datenschutzniveaus, um die Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere deren Recht auf Schutz ihrer personenbezogenen Daten, zu gewährleisten.
5
Die datenschutzrechtlichen Vorgaben, insbesondere die der DSGVO, beeinflussen seither den Geschäftsverkehr. Kritisch betrachtet könnte man sogar behaupten, dass es mit Einführung der DSGVO die Arbeit von einem Großteil der Unternehmen, wie sie bisher praktiziert wurde, nicht mehr gibt. Das Thema Datenschutz jedenfalls beschäftigt seither Behörden, Unternehmen und deren Berater gleichermaßen; dies mit zunehmender Intensität. Hatte man vor der Einführung der DSGVO das Thema Datenschutz bei einer Unternehmenstransaktion am Rande mitgeprüft, kommt ihm heute im Rahmen einer Due Diligence ein essenzieller Stellenwert zu. Maßgeblich für diese Schwerpunktverschiebung sind allerdings nicht die datenschutzrechtlichen Regelungen der DSGVO. Diese gleichen inhaltlich größtenteils ihren Vorgängerreglungen der Richtlinie 95/46/EG4.5 Entscheidend ist vielmehr, dass sich die Konsequenzen bei Verstößen gegen datenschutzrechtliche Vorschriften drastisch verschärft haben. Bußgelder können nunmehr in Millionenhöhe verhängt werden.6 Das Thema Datenschutz zu unterschätzen wäre fatal. Zwischenzeitlich ist es vielmehr jedem Unternehmen zu empfehlen, eine interne Due Diligence durchzuführen, Unternehmensabläufe anzupassen und neue Strukturen zu etablieren, um Datenschutzrisiken zu minimieren. Es müssen beispielsweise Verzeichnisse von Verarbeitungstätigkeiten7 erstellt, Auftragsverarbeitungsvereinbarungen8 abgeschlossen, Arbeitsverträge überprüft, die EDV möglicherweise modernisiert, Lösch- und Speicherkonzepte etabliert oder ein Datenschutzbeauftragter benannt werden. All diese Themen sind heute zwingender Bestandteil einer ordnungsgemäßen Due Diligence und werden in diesem Buch erörtert.
6
Ziel dieses Buches ist es, den Leser auf verständliche Weise für das Thema Datenschutz bei der Durchführung einer Due Diligence zu sensibilisieren und ihn zu veranlassen, sich diesem oftmals ungeliebten Thema zu widmen. Dabei verfolgt dieses Buch folgenden Ansatz: Nach diesem einleitenden Kapitel („Allgemeines“) wird im zweiten Teil erläutert, welche datenschutzrechtlichen Vorgaben bei der Durchführung einer Due Diligence zu berücksichtigen sind, unabhängig von der konkreten Art der Due Diligence („Datenschutz bei Durchführung der Due Diligence“). Das dritte Kapitel hat sodann die sog. „Datenschutz-Due-Diligence“ zum Inhalt. Ziel ist es, eine Anleitung an die Hand zu geben, mithilfe derer das Zielunternehmen hinsichtlich deren Datenschutzmanagement geprüft werden kann. Auf diese Weise sollen mögliche Risiken, beispielsweise durch Bußgelder nach der Unternehmenstransaktion, minimiert werden.9
7
Ob nun Einsteiger oder bereits in Datenschutzfragen versierter Anwender – die in diesem Buch eingebundenen Vorlagen, Listen und Hinweise können und sollen für alle Leser eine Arbeitshilfe im täglichen Geschäftsverkehr darstellen, selbst wenn keine Intention besteht, sein Unternehmen zu verkaufen. Aufgrund der erheblichen wirtschaftlichen Folgen eines Verstoßes gegen datenschutzrechtliche Vorgaben, stellt die fehlende Auseinandersetzung eine Missachtung der obig zitierten „im Geschäftsverkehr erforderlichen Sorgfalt“ dar. Anders ausgedrückt sollte jeder Unternehmer eine eigene datenschutzrechtliche Due Diligence in seinem Unternehmen durchführen. Das Buch gibt hierfür die erforderlichen Grundlagen.
1 So beispielsweise in § 276 Abs. 2 BGB, wonach fahrlässig derjenige handelt, der die im Verkehr erforderliche Sorgfalt außer Acht lässt. 2 Eingeführt durch Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates, in: ABl. L 119/89 v. 4.4.2016. 3 Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. 4 Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. 5 Statt vieler Buchner, Wirtschaftsinformatik & Management 2019, 43, 43. 6 Bei Unternehmen sogar bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs. 7 Siehe dazu Rn. 251ff. 8 Siehe dazu Rn. 101ff. 9 Zu den Risiken Rn. 37ff.
II. Allgemeines zur Due Diligence
8
Wie schon zuvor dargestellt, unterliegt der Anwendungsbereich der Due Diligence keinen starren Grenzen oder Regularien.10 Nichts Anderes gilt für die Datenschutz-Due-Diligence. Inhalt und Umfang einer durchzuführenden Due-Diligence-Prüfung werden sowohl von dem Zweck, insbesondere aber auch von der Intension der beteiligten Personen beeinflusst. Der Hauptanwendungsfall liegt sicherlich im Bereich der Unternehmenstransaktion. Gerade hier zeigen sich die charakteristischen Ziele einer Due Diligence:
– Risikoermittlung;
– Dokumentation;
– Ausgestaltung der Gewährleistung;
– Kaufpreisermittlung.
9
Eine Unterscheidung bei einem Unternehmensverkauf zwischen Share- und Asset Deal11 bleibt dabei zunächst12 ohne Relevanz. In beiden Fällen steht auf der einen Seite das Zielunternehmen (der Verkäufer), welches den bestmöglichen Preis für sein Unternehmen erzielen will. Auf der anderen Seite stehen die Interessen des Käufers, unter Berücksichtigung vorhandener Risiken, den adäquaten Wert dieses Unternehmens zu ermitteln. Dabei gilt der Grundsatz, dass jeder Vertragspartner für sich selbst die Vorteilhaftigkeit eines Geschäftes vor Vertragsabschluss zu überprüfen hat.13 Hierzu muss der Kaufinteressent Entwicklungsmöglichkeiten des Zielunternehmens einschätzen und Problempunkte innerhalb dieses Unternehmens erkennen.14 Im Zweifel muss der Kaufinteressent in die Lage versetzt werden, nach Durchführung des Verkaufes das Unternehmen erforderlichenfalls allein zu führen. Gerade unter Berücksichtigung der zunehmenden Bedeutung von Homeoffice stellt die technische Ausstattung eines Unternehmens, die im Zusammenhang mit der Datenschutz-Due-Diligence überprüft wird, einen nicht zu vernachlässigenden sowie wertbildenden Faktor dar. Beide Vertragsparteien haben zudem die Intention, etwaige Gewährleistungsansprüche schon dem Grunde nach auszuschließen, mithin diese gar nicht erst entstehen zu lassen.15 Zumindest die rechtlichen Berater versuchen, auf diese Fälle vorbereitet zu sein und sollten deshalb auf eine strukturierte Beweissicherung hinwirken.
10
All diese dargestellten Ziele setzen in der Konsequenz die Durchführung einer (Datenschutz-) Due Diligence voraus. Hiermit einher geht nämlich die Analyse des Ist-Zustandes.16
1. Ablauf
11
Grundsätzlich unabhängig von Ziel und Anlass der Due Diligence gestaltet sich deren Ablauf. Gleichwohl beeinflussen diese Parameter die Schwerpunktsetzung innerhalb des Analyseverfahrens im Hinblick auf Umfang und die zeitliche Ausgestaltung. Nicht zuletzt wegen den Folgen eines Verstoßes gegen datenschutzrechtliche Vorschriften17 sollte die datenschutzrechtliche Würdigung der Due Diligence dabei einen wesentlichen Prüfungspunkt einnehmen.
12
Beachte:
Für die Frage des Umfanges einer datenschutzrechtlichen Due Diligence ist nicht die Größe des zu untersuchenden Unternehmens entscheidend. Die grundlegenden Prinzipien der DSGVO unterscheiden gerade nicht nach der Größe oder dem Umsatz des Unternehmens.
13
Die Gestaltung des Ablaufs sollte immer von derjenigen Partei gesteuert werden, die den größten Nutzen aus der Prüfung zieht. Starre Grenzen verbieten sich. Eine klare Strukturierung und Umsetzung ist essenziell. Unterteilt werden kann die Due Diligence grundsätzlich in zwei Phasen: Einerseits der Phase der Vorbereitung und andererseits der tatsächlichen Durchführung. In der Vorbereitungsphase müssen die Prüfer ausgewählt und dahingehende Verträge abgeschlossen werden. Das dann ausgewählte Team wird die Vorgehensweise abstimmen, Dokumentationen vorbereiten, um in den Prüfungsprozess einsteigen zu können. Ungeachtet des zumeist externen Prüfers, sollte ein zentraler Ansprechpartner im eigenen und dem Zielunternehmen benannt werden. Vermieden werden sollte die Delegation auf mehrere Personen oder Institutionen (z.B. den Steuerberater). Sind die Vorbereitungen abgeschlossen, müssen zwischen den Kaufvertragsparteien der Ablauf der Due Diligence abgestimmt und insbesondere Regelungen zum Schutz übermittelter Daten getroffen werden. Eines aber sollte vor jeder Prüfung berücksichtigt und akzeptiert werden: die sprichwörtlich „eierlegende Wollmilchsau“ ist die Due Diligence nicht. Weder können alle Risiken lokalisiert noch eine allumfängliche Lösung für die Parteien gefunden werden. Die Due Diligence darf daher ausschließlich als Instrument der Risikominimierung gesehen werden.
2. Der Prüfer
14
Zu empfehlen ist immer, einen geeigneten Berater in den Due-Diligence-Prozess einzubinden. Liegt der Schwerpunkt in wirtschaftlichen Fragen, kommen Wirtschaftsprüfer und vor allem Unternehmensberater in Betracht. Hierbei hat sich eine Vielzahl von Unternehmen gerade auf das Gebiet der Due-Diligence-Prüfung spezialisiert. Bei mittelständisch geprägten, vor allem aber kleineren Unternehmen, wird der Schwerpunkt hingegen auf der Abwicklung des Kaufes liegen. Hierfür könnte auf spezialisierte Rechtsanwälte zurückgegriffen werden. Wenngleich weit verbreitet, erscheint es wenig sinnvoll, den eigenen Rechtsanwalt oder Abschlussprüfer zu nutzen, sofern diese nicht über ausgewiesene Expertisen verfügen. Für den datenschutzrechtlichen Schwerpunkt der Due Diligence ist es zu empfehlen, einen in Datenschutzfragen versierten Prüfer, vornehmlich einen Rechtsanwalt, einzubinden. Zwar stellt die technische Umsetzung des Datenschutzes gesteigerte Anforderungen, was die Zusammenarbeit mit einem EDV-Dienstleister nahelegt. Jedoch stellt das Datenschutzrecht nicht unerhebliche formelle Anforderungen, sei es beispielsweise hinsichtlich notwendiger Belehrungen oder dem Abschluss von Auftragsverarbeitungsvereinbarungen. Zudem wirft selbst die Durchführung einer (Datenschutz-) Due Diligence bei einem Unternehmenskauf viele datenschutzrechtliche Probleme auf. Deren Lösung setzt zwangsläufig die Kenntnis der aktuellen, sich stetig ändernden, Rechtslage voraus. Diese Kenntnis kann im Regelfall nur durch einen Rechtsanwalt gewährleistet werden. Zu empfehlen ist in jedem Falle, einen zentralen Ansprechpartner, quasi den „Obergutachter“, zu benennen. Ihm kommt bei der Due Diligence eine zentrale Rolle zu. Er muss Gespräche zwischen den Kaufvertragsparteien und eingebundenen Personen koordinieren. Der Gutachter ist verantwortlich für Ablauf und Erfolg der Prüfung. Er sollte entscheiden, ob die Einbindung weiterer Sachverständiger, bei der Datenschutz-Due-Diligence insbesondere von EDV-Fachleuten, sinnvoll ist. Nur durch eine Zentralisierung können die ordnungsgemäße Dokumentation sowie die Aufbereitung der Ergebnisse sichergestellt werden. Auch aus haftungsrechtlichen Erwägungen empfiehlt sich die Beauftragung eines Obergutachters. Für den Auftraggeber sollte nur das Ergebnis entscheidend sein und nicht die Frage, wer von den Beratern für mögliche Fehler einzustehen hat.
3. Vertraulichkeit/Letter of Intent
15
Grundlegendes Ziel datenschutzrechtlicher Normen ist der Schutz personenbezogener Daten.18 Abseits des Datenschutzes ist die Sicherstellung der Vertraulichkeit sensibler Unternehmensdaten, gleich ob mit Personenbezug oder nicht, bei der Durchführung einer Due Diligence im Rahmen eines Unternehmensverkaufes zu gewährleisten. Hier stehen sich die Interessen des potenziellen Käufers, der sich umfassend über das Zielunternehmen informieren, und die des Verkäufers, der möglichst wenig Informationen herausgeben möchte, solange der Verkauf nicht sicher ist, gegenüber. Aus Sicht des Zielunternehmens besteht zudem die Gefahr, dass sich durch die Prüfung erteilter Informationen Risiken aufzeigen, die sich mindernd auf den Kaufpreis auswirken können. Beide Interessen sind nachvollziehbar, ein mögliches Konfliktpotenzial aber unvermeidbar. Zumindest um dem Argument der Kaufpreisminderung entgegenzuwirken, ist es in der Praxis nicht unüblich, eine so genannte Vendor Due Diligence19 (= verkäuferseitige Due Diligence) durchzuführen. Zwar besteht hierzu keine rechtliche Notwendigkeit.20 In der Praxis zeigen sich aber immer wieder Konstellationen, in denen erst der Kaufinteressent das Zielunternehmen auf dortige Missstände hinweist. Im Bereich des Datenschutzes ist ohnehin und ungeachtet der Folgen eines Verstoßes angezeigt, eine (Vendor) Due-Diligence-Prüfung durchzuführen.
16
In der Praxis üblich und dringend zu empfehlen ist der Abschluss einer Absichtserklärung, im Rechtsverkehr in der Regel als „Letter of Intent“ (LoI), „Memorandum of understanding“ (MoU) oder „Letter of Understanding“ (LoU) bezeichnet. Einheitlich werden diese Begrifflichkeiten nicht verwandt. Es gibt daher auch keine standardisierten Vorlagen. Im Regelfall wird hiermit, wie der Name schon vermuten lässt, die Absicht bekundet, einen Vertrag abzuschließen. Abhängig von dem Zeitpunkt des Vertragsabschlusses wird mehr oder weniger konkret auf Ziele und Umsetzungsszenarien eines Verkaufes, Kaufpreishöhen oder eine etwaige Exklusivität eingegangen. Zumindest in groben Zügen sollte beschrieben werden, was die Parteien, in welcher Zeit umzusetzen beabsichtigen. Problematisch, wenngleich oftmals gewollt, ist, dass derartige Absichtserklärungen zumeist keine verbindlichen Rechtswirkungen zur Folge haben,21 insbesondere die Parteien nicht binden, einen (z.B.) Kaufvertrag abzuschließen.22 Zumindest ein Teil des (nachfolgend so verwandt) Letter of Intent sollte jedoch verbindliche Rechtswirkungen vorsehen. Im Hinblick auf die Geheimhaltung und Nichtverwendung von Geschäftsgeheimnissen oder den Schutz personenbezogener Daten sollte ein Letter of Intent zwingend eine Verschwiegenheitsregelung enthalten. Dabei genügt es nicht, nur den Umfang der Verpflichtung zur Verschwiegenheit zu regeln. Vertraulich sollten im Regelfall alle Informationen sein, die ein Vertragspartner von dem anderen erhält, soweit diese nicht zuvor schon als allgemeinbekannt anzusehen waren.
17
Zu empfehlen ist immer die Verknüpfung an ein konkretes Vertragsstrafeversprechen. In der Praxis wird die Festlegung einer konkret bezifferten Vertragsstrafe kontrovers diskutiert.23 Geeignet ist in diesen Fällen die Regelung der Vertragsstrafe in Form des sogenannten „Hamburger Brauchs“. Hierbei wird eine zu zahlende Vertragsstrafe erst im Nachhinein festgesetzt24. Beispielhaft wird folgende Regelung verwandt:
„Im Falle der schuldhaften Zuwiderhandlung gegen Regelungen aus dem Letter of Intent, ist die hiergegen verstoßende Partei verpflichtet, an die verletzte Partei eine Vertragsstrafe zu zahlen, die im Einzelfall von der verletzten Partei festgesetzt und im Streitfalle vom zuständigen Gericht25 zu überprüfen ist.“
18
Die Verwendung des „Hamburger Brauchs“ ist meist einfacher für den Kaufinteressenten vermittelbar. Er muss nicht bei kleinsten Verstößen mit pauschalen Vertragsstrafen rechnen, die zumeist in keinem Verhältnis zu dem Verstoß stehen. Ebenso wenig brauchen sich die Parteien auf die floskelhafte Formulierung verweisen zu lassen, dass die Höhe der Vertragsstrafe unbeachtlich sei, da man schlicht nicht gegen die Verpflichtung verstoßen müsse. Bei erheblichen Verstößen besteht für den Verletzten zudem die Chance einer (Schadens-) Kompensation. Denn ein Verstoß gegen eine Verschwiegenheitsverpflichtung berechtigt den Verletzten zwar zur Geltendmachung von Unterlassungs- und Schadenersatzansprüchen. Ein Schaden lässt sich aber oftmals kaum berechnen. Einschränkend ist natürlich darauf hinzuweisen, dass sich der Nachweis eines Verstoßes in der Praxis als schwierig gestaltet. Ohne eine Vertragsstrafenregelung sollte daher kein Letter of Intent ausgestaltet sein.
10 Koch, Praktiker-Handbuch Due Diligence, S. 19, spricht von einem Unternehmen als „Organismus“, der im Rahmen der Due Diligence „in all seinen Facetten zu untersuchen und zu würdigen“ sei. 11 Erwerb der Gesamtheit aller Wirtschaftsgüter des Unternehmens = Asset Deal; Erwerb der Anteile der das Unternehmen tragenden Gesellschaft = Share Deal (so dargestellt von Leible/Müller, in: jurisPK-BGB, § 453 BGB Rn. 3). 12 Relevant im Rahmen der Datenschutz-Due-Diligence ist die Unterscheidung bei der Frage des Verantwortlichen, vgl. hierzu Rn. 29. 13 BGH, NJW-RR 1991, 439, 442. 14 Praktische Relevanz hat hier die so genannte „SWOT-Analyse“ (Strengths, Weaknesses, Opportunities, Threats. Im Rahmen der SWOT-Analyse wird einerseits die interne Sicht eines Unternehmens, also dessen Stärken und Schwächen, betrachtet. Andererseits wird das Umfeld des Unternehmens, insbesondere die erkennbaren Chancen und Risiken, betrachtet (hierzu: Seiter/Marquard, AnwBl 2012, 808, 808ff.). 15 Auf die hierbei unterschiedlichen Sichtweisen eingehend unter Rn. 46ff. 16 Beisel, Beck’sches Mandatshandbuch Due Diligence, S. 10f., beschreibt die in der Praxis denkbaren Arten der Due Diligence, unterteilt in Legal, Tax, Financial, Commercial, Environmental, Technical und Cultural Due Diligence. 17 Vergleiche hierzu Rn. 15ff. 18 Hierzu Rn. 19ff. 19 So beispielsweise bezeichnet von Werner, jM 2017, 222, 223. In der Praxis verwendet wird allerdings auch der Begriff der Reverse- oder der Pre-Sale Due Diligence. 20 Verneinend OLG Düsseldorf, Urt. v. 16.6.2016 – ZIP 2016, 2363, 2371. 21 Beispielhaft OLG Köln, Urt. v. 16.12.2020 – BB 2021, 211, 212. 22 Zumeist stünden einer Verpflichtung bereits formelle Bedenken entgegen (z.B. Beurkundungserfordernis gemäß § 15 Abs. 3 GmbHG für Geschäftsanteile, § 311b BGB für Verträge über Grundstücke, das Vermögen und den Nachlass). 23 Unter Verweis darauf, dass die Folgen zumeist den potenziellen Käufer träfen. 24 Nach der höchstrichterlichen Rechtsprechung ist die Vertragsstrafe zu bestimmen nach Art und Größe des Unternehmens, dessen finanzieller Leistungsfähigkeit und der Wettbewerbsposition am Markt, dessen Umsatz, der Schwere und dem Ausmaß der Zuwiderhandlung, deren Gefährlichkeit für den Gläubiger, dem Verschulden des Verletzers sowie dessen Interesse an weiteren gleichartigen Begehungshandlungen (beispielhaft Brandenburgisches Oberlandesgericht, Urt. v. 18.2.2020 – juris, Rn. 60). 25 Wählt man den Terminus „Landgericht“ würde, ungeachtet des Verstoßes, allein die Zuständigkeitsschwelle dazu führen, dass eine Vertragsstrafe von über 5.000,00 EUR zu zahlen ist.
III. Allgemeines zum Datenschutzrecht
19
Seit dem 25.5.2018 gilt die DSGVO. Das Datenschutzrecht wurde mit der Verordnung jedoch, anders als die Überschriften unzähliger Medienberichte damals vermuten ließen, nicht neu erfunden. Es handelt sich beim europäischen Datenschutzrecht vielmehr um ein über Jahrzehnte gewachsenes Regelungssystem,26 dessen evolutiver Entwicklungsprozess in der DSGVO nunmehr seinen aktuellsten Stand gefunden hat.
20
Den Ausgangspunkt jeglicher datenschutzrechtlicher Vorschriften bietet seit jeher das europäische Primärrecht. Dort haben Art. 8 Grundrechtecharta und Art. 16 AEUV den Schutz personenbezogener Daten zum Inhalt. So wurde vor Einführung der DSGVO das Datenschutzrecht im Rahmen mitgliedstaatlicher Vorschriften auf Grundlage der RL 95/46/EG (EG-Datenschutzrichtlinie)27 normiert. Wenngleich der europäische Datenschutz nunmehr als EU-Verordnung geregelt ist, bleiben die datenschutzrechtlichen Grundprinzipien weitgehend unverändert.28 Ein Unterschied besteht jedoch darin, dass das europäische Datenschutzrecht als EU-Verordnung in jedem Mitgliedstaat unmittelbare Anwendung findet. Ziel ist es, auf diesem Wege das Datenschutzrecht, ob der zahlreichen grenzüberschreitenden Sachverhalte, weiter zu vereinheitlichen. Allerdings erlauben diverse Öffnungsklauseln29 den Mitgliedstaaten, die DSGVO mit nationalen Regeln zu erweitern oder detaillierter festzulegen.
21
Die Umsetzung von Öffnungsklauseln erfolgt in Deutschland maßgeblich durch das novellierte BDSG.
1. Anwendungsbereich
22
Hinsichtlich der Frage, ob die DSGVO überhaupt Anwendung findet, macht diese in deren Art. 2 und 3 eindeutige Angaben. Danach müssen bei der Durchführung der Due-Diligence-Prüfung der räumliche und sachliche Anwendungsbereich der Verordnung eröffnet sein.
23
Zentrale Anforderung ist in jedem Fall, dass personenbezogene Daten verarbeitet werden. Dies sind gemäß Art. 4 Abs. 1 DSGVO „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“. Das Merkmal des Personenbezugs ist dabei weit zu verstehen.30 So besteht auch dann ein Personenbezug, wenn sich aus den Daten kein unmittelbarer Rückschluss auf die betroffene Person ziehen lässt, sondern sich anhand bestehender Informationen diese Person ermitteln lässt.31 Als Möglichkeiten zur Identifizierung nennt Art. 4 Nr. 1 DSGVO etwa eine Kennnummer oder Standortdaten.
a) Sachlicher Anwendungsbereich
24
Gemäß Art. 2 Abs. 1 DSGVO ist der sachliche Anwendungsbereich eröffnet, sofern die personenbezogenen Daten ganz oder teilweise automatisiert verarbeitet werden. Der Begriff der Verarbeitung ist in Art. 4 Nr. 2 DSGVO legal definiert. Eine Definition, ab wann die Verarbeitung automatisiert stattfindet, ist der Verordnung gleichwohl nicht zu entnehmen. Der Begriff der automatisierten Verarbeitung ist allerdings technikneutral zu verstehen.32 Maßgeblich ist, dass die Verarbeitung nach vorgegebenen Parametern, ohne aktive Mitwirkung eines Menschen, abläuft.33 Da auch bei teilweise automatisierter Verarbeitung der sachliche Anwendungsbereich eröffnet wird, ist es insofern unerheblich, ob einzelne Schritte von Menschen durchgeführt werden.34 Auf Grundlage dessen ist der sachliche Anwendungsbereich bei jeder ganz oder teilweise rechnergestützten Verarbeitungstätigkeit eröffnet.35 Ausweislich der Norm ist der sachliche Anwendungsbereich gleichermaßen eröffnet, sofern die Daten nicht automatisiert verarbeitet werden, solange sie in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Bei einem sogenannten Dateisystem handelt es sich um strukturierte Sammlungen personenbezogener Daten.36 So fallen hierunter etwa Akten oder Karteisysteme.37 Bei unsortierten Zettelsammlungen oder Einzeldokumenten handelt es sich hingegen nicht um ein Dateisystem.38
25
Im Ergebnis ist es also unerheblich, ob die Due Diligence digital oder rein analog auf Grundlage von Akten stattfindet. Der sachliche Anwendungsbereich ist in jedem Fall eröffnet.
26
Auf eine Eröffnung des sachlichen Anwendungsbereiches kommt es gar nicht an, sofern der Personenbezug der verarbeiteten Daten durch Anonymisierung aufgehoben wird.39 Für eine Anonymisierung müssen die Daten dergestalt verändert werden, dass der Personenbezug nicht mehr oder nur mit einem unverhältnismäßig hohen Aufwand wiederhergestellt werden kann. Eine Anonymisierung kann etwa schon durch Schwärzen entsprechender Textpassagen erfolgen.40 Gleichwohl ist zu bedenken, dass bei umfangreichen Unternehmenstransaktionen mit der Anonymisierung der Daten ein relativ großer Aufwand einhergeht. Außerdem kann eine Due Diligence mit anonymisierten Daten im Widerspruch zum eigentlichen Zweck der Prüfung stehen.41
b) Räumlicher Anwendungsbereich
27
Gemäß Art. 3 Abs. 1 DSGVO ist der räumliche Anwendungsbereich eröffnet, sofern der datenschutzrechtliche Verantwortliche im Rahmen seiner Tätigkeiten eine Niederlassung in der Union hat, unabhängig davon, ob dort auch die Verarbeitung stattfindet. Sofern also das Zielunternehmen oder der Kaufinteressent eine Niederlassung in der Union hat, ist der Anwendungsbereich der DSGVO jeweils eröffnet.
28
Ob der Anwendungsbereich auch eröffnet ist, wenn der Verantwortliche mit Niederlassung außerhalb der Union personenbezogene Daten von Unionsbürgern verarbeitet, hängt gem. Art. 3 Abs. 2 lit. a) DSGVO davon ab, ob die Datenverarbeitung im Zusammenhang damit steht, betroffenen Personen in der Union Waren oder Dienstleistungen anzubieten, unabhängig davon, ob von diesen betroffenen Personen eine Zahlung zu leisten ist. Für die Durchführung einer Due Diligence ist diese Variante in der Praxis jedoch zu vernachlässigen.
29
Entscheidend ist zunächst, ob die Due Diligence zur Vorbereitung eines Asset Deals oder eines Share Deals durchgeführt wird. Nach dem sogenannten Marktortprinzip gemäß Art. 3 Abs. 2 lit. a) DSGVO ist der räumliche Anwendungsbereich eröffnet, wenn der Verantwortliche mit Niederlassung außerhalb der Union Daten von Personen innerhalb der Union verarbeitet. Dies gilt jedoch nur, sofern die Verarbeitung in einem Zusammenhang zu einem Angebot von Waren und Dienstleistungen steht, unabhängig davon, ob von der betroffenen Person eine Zahlung zu leisten ist. Die Formulierung „im Zusammenhang“ ist weit zu verstehen. Unter diesen Begriff fällt die Kaufvorbereitung mit Hilfe einer Due-Diligence-Prüfung.42 Bei dem zu kaufenden Objekt handelt es sich um eine Ware i.S.d Art. 3 Abs. 2 lit. a) DSGVO, sofern bewegliche körperliche Gegenstände gekauft werden sollen.43 Entscheidend ist also, ob die Due-Diligence-Prüfung zur Vorbereitung eines Asset- oder Share Deals durchgeführt wird. Bei einem Share Deal werden Unternehmensanteile gekauft. Diese sind keine beweglichen Sachen. Folglich handelt es sich um keine Ware i.S.d. Norm, weswegen letztlich der räumliche Anwendungsbereich nicht eröffnet ist. Bei einem Asset Deal kommt es auf die zu kaufenden Wirtschaftsgüter an. Bei Grundstücken, Gebäuden oder Patenten etwa handelt es sich um keine beweglichen Gegenstände, mithin gilt dasselbe wie für den Share Deal. Werden hingegen (z.B.) Maschinen verkauft, handelt es sich um bewegliche Sachen, respektive Ware, weswegen in diesem Fall der räumliche Anwendungsbereich eröffnet ist. Eine Auslegung des Art. 3 Abs. 2 lit. a) DSGVO dahingehend, dass den Betroffenen der Due Diligence ein Angebot gemacht wird, da diese mittelbar von dem Asset Deal profitieren, dürfte dem Wortlaut nicht zu entnehmen sein.
2. Allgemeine Grundsätze für die Verarbeitung
30
Art. 5 DSGVO normiert ausweislich seiner Überschrift die „Grundsätze für die Verarbeitung personenbezogener Daten“. Die dort enthaltenen Grundsätze leiten sich aus dem Primärrecht ab und machen diese Grundsätze für den Anwender schon deshalb verbindlich.44 Deren Wertungen ziehen sich durch die gesamte DSGVO und sind bei der Anwendung und Auslegung der Normen der DSGVO stets zu berücksichtigen.45 Art. 5 Abs. 1 lit. a) DSGVO schreibt vor, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise, verarbeitet werden. Konsequenz dieses Grundsatzes ist es u.a., dass die Verarbeitung von personenbezogenen Daten stets durch eine Rechtsgrundlage legitimiert werden muss.46 Gemäß Art. 5 Abs. 1 lit. b) Hs. 1 DSGVO müssen personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden. Aus dem Umkehrschluss ergibt sich etwa, dass personenbezogene Daten nicht zu noch unbekannten Zwecken erhoben werden.47 Art. 5 Abs. 1 lit. c) DSGVO normiert den Grundsatz der Datenminimierung. Danach muss die Datenverarbeitung auf das notwendige Maß beschränkt werden, welches erforderlich ist, um eine Due Diligence durchzuführen. Art. 5 Abs. 1 lit. d) DSGVO gibt vor, dass die Verarbeitung auf Grundlage von richtigen und aktuellen Daten beruhen soll. Der Grundsatz der Speicherbegrenzung findet seinen Niederschlag in Art. 5 Abs. 1 lit. e) DSGVO. Dieser korrespondiert mit dem Zweckbindungsgrundsatz und regelt, dass eine Verbindung zu bestimmten personenbezogenen Daten nur so lange bestehen darf, so lange dies für den Zweck der Verarbeitung erforderlich ist.48 Schließlich normiert der Grundsatz der Integrität und Vertraulichkeit gem. Art. 5 Abs. 1 lit. f) DSGVO, dass personenbezogene Daten nur auf eine Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen.
3. Rechtmäßigkeit der Verarbeitung
31
Ein elementarer Grundsatz des Datenschutzrechts ist das „Verbotsprinzip mit Erlaubnisvorbehalt“. Dieser ergibt sich unmittelbar aus Art. 8 Abs. 2 Satz 1 Grundrechtecharta und wurde innerhalb der DSGVO in Art. 5 Abs. 1 lit. a), 6 implementiert.49 Nach diesem Prinzip ist die Verarbeitung personenbezogener Daten grundsätzlich verboten. Eine Verarbeitung kann jedoch durch den Betroffenen dadurch legitimiert werden, dass dieser in die Verarbeitung einwilligt oder eine sonstige Rechtsgrundlage einschlägig ist.50 Die Einwilligung sowie die gesetzlichen Erlaubnistatbestände sind innerhalb der DSGVO in den Art. 6 bis 10 geregelt.51
32
Um die Datenverarbeitung im Rahmen einer Due Diligence rechtfertigen zu können, kommen freilich nicht alle gesetzlichen Erlaubnistatbestände in Frage. Insofern soll sich die folgende Kurzvorstellung der Rechtsgrundlagen der DSGVO nur auf solche beschränken, welche für die Due Diligence von Relevanz sind.
a) Einwilligung
33
Von zentraler Bedeutung für die Legitimierung der Datenverarbeitung ist die Einwilligung des Betroffenen. Sie gestattet eine unmittelbare Wahrnehmung des Grundrechts auf informationelle Selbstbestimmung, da sie dem Betroffenen zugesteht, autonom über das „ob“ und „wie“ der Verarbeitung „seiner“ personenbezogenen Daten zu entscheiden.52
34
Die Einwilligung ist in den Art. 4 Nr. 11, 6 Abs. 1 lit. a) und Art. 7 DSGVO geregelt. In dieser Zusammenschau finden sich diverse Vorgaben zur Einholung einer wirksamen Einwilligung. So muss die Einwilligung freiwillig und auf Grundlage einer transparenten, vollumfänglichen Belehrung erfolgen.53 Die Vorrausetzungen für eine wirksame Einwilligung verschärfen sich, sofern in die Verarbeitung von besonderen Kategorien von Daten i.S.d. Art. 9 Abs. 1 DSGVO eingewilligt werden soll. Sodann werden gemäß Art. 9 Abs. 2 lit. a) DSGVO deutlich strengere Anforderungen an die Einwilligung gestellt.54 Selbiges gilt für die Einwilligung von Beschäftigten in die Verarbeitung ihrer personenbezogenen Daten durch den Arbeitgeber, welche in § 26 Abs. 1 DSGVO geregelt ist. Mit dieser nationalen Norm wurde von der Öffnungsklausel des Art. 88 DSGVO Gebrauch gemacht.
b) Verarbeitung erforderlich für Erfüllung des Vertrages
35
Ein gesetzlicher Erlaubnistatbestand liegt gem. Art. 6 Abs. 1 lit. b) DSGVO darin, dass die Verarbeitung der personenbezogenen Daten für die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person darstellt, erforderlich ist. Die Daseinsberechtigung dieses Erlaubnistatbestandes normiert scheinbar eine Selbstverständlichkeit: Denn dass eine Datenverarbeitung erlaubt sein muss, die für die Erfüllung eines Schuldverhältnisses erforderlich ist, liegt schon in der Natur der Sache.55 Gleichwohl ist hinsichtlich des Merkmals der Erforderlichkeit eine enge Auslegung indiziert. Auf diese Weise wird verhindert, dass der Erlaubnistatbestand durch zu weit gefasste (vermeintliche) vertragliche Leistungen ausgehebelt wird.56 Die Verarbeitung von Beschäftigtendaten ist gem. § 26 Abs. 1 Satz 1 BDSG rechtmäßig, sofern dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung erforderlich ist.
c) Berechtigtes Interesse
36
Ein zentraler Erlaubnistatbestand im Bereich der Durchführung einer Due-Diligence-Prüfung findet sich in Art. 6 Abs. 1 lit. f) DSGVO wieder. Danach ist die Verarbeitung personenbezogener Daten rechtmäßig, sofern die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist. Ausweislich der Norm ist jedoch zuvor eine Interessenabwägung durchzuführen. Gemäß Art. 6 Abs. 1 lit. f) DSGVO ist das Interesse des Verantwortlichen nur zu berücksichtigen, soweit nicht die Interessen oder Grundrechte und -freiheiten der betroffenen Person hinsichtlich ihrer personenbezogenen Daten überwiegen.57
26 Albrecht/Jotzo, in: Albrecht/Jotzo, Kapitel 2, Rn. 1. 27 RL 95/46/EG des europäischen Parlaments und des Rates v. 24.10.1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. 28 Buchner, Wirtschaftsinformatik & Management 2019, 43, 43. 29 Abhängig von der Zählweise, mindestens jedoch 50. 30 Vgl. auch Forgó/Helfrich/Schneider, in: Forgó/Helfrich/Schneider, Teil I. Kap. 1 Rn. 48. 31 Gola, in: Gola, Art. 4 Rn. 5. 32 Martens, PinG 2015, 213, 214. 33 Schmidt, in: Taeger/Gabel, Art. 2 Rn. 9. 34 Schmidt, in: Taeger/Gabel, Art. 2 Rn. 9. 35 V. Lewinski, in: Auernhammer, Art. 2 Rn. 5. 36 Siehe Legaldefinition in Art. 4 Nr. 6 DSGVO. 37 Außer Akten, die nicht nach bestimmten Kriterien geordnet sind, Erwägungsgrund 15 DSGVO. 38 Bäcker, in: BeckOK DatenschutzR, Art. 2 Rn. 4. 39 Erwägungsgrund 26. 40 Bach, EuZW 2020, 175, 175. 41 Zur Anonymisierung im Detail Kapitel 2 Rn. 181ff. 42 Vgl. Hornung, in: NK DatenschutzR, Art. 3 Rn. 52. 43 Abgestellt wird auf die vom EuGH zur Warenverkehrsfreiheit aus Art. 28ff. AEUV vertretene Interpretation des Warenbegriffs. 44 Albrecht/Jotzo, in: Albrecht/Jotzo, Kapitel 2 Rn. 1. 45 Herbst, in: Kühling/Buchner, Art. 5 Rn. 1. 46 Dazu Kapitel 2 Rn. 141ff. 47 Voigt, in: Taeger/Gabel, Art. 5 Rn. 22. 48 Frenzel, in: Paal/Pauly, Art. 6 Rn. 43. 49 Kramer, in: Auernhammer, Art. 5 Rn. 10. 50 So auch in Erwägungsgrund 40 DSGVO. 51 Im Rahmen der Öffnungsklauseln steht es auch dem nationalen Gesetzgeber zu, eigene Erlaubnistatbestände zu normieren bzw. bestehende der DSGVO weiter auszuführen. So wurde bspw. in § 26 BDSG die Verarbeitung von Beschäftigtendaten weiterführend geregelt. 52 Buchner/Petri, in: Kühling/Buchner, Art. 6 Rn. 17. 53 Für detaillierte Ausführungen zu den Wirksamkeitsvoraussetzungen im Rahmen der Due Diligence siehe Kapitel 2 Rn. 141ff. 54 Vgl. Rn. 143. 55 Buchner/Petri, in: Kühling/Buchner, Art. 6 Rn. 26. 56 Buchner/Petri, in: Kühling/Buchner, Art. 6 Rn. 26. 57 Hierzu im Detail Kapitel 2 Rn. 171ff.
IV. Risiken
37
Die Risiken, welche mit Verstößen gegen das Datenschutzrecht einhergehen können, sind divers und teilweise nicht ex ante kalkulierbar. Das zentrale Risiko stellt hierbei die Forderung nach etwaigen Geldzahlungen dar. Derartige Forderungen können diesbezüglich von zwei unterschiedlichen „Anspruchstellern“ kommen. Zum einen können die Aufsichtsbehörden bei Verstößen Bußgelder (nach Inkrafttreten der DSGVO in nunmehr kolossaler Höhe) verhängen. Zum anderen können auch Betroffene, die durch entsprechende Datenschutzverstöße in ihren Rechten verletzt wurden, Schadensersatzforderungen an die Verantwortlichen richten.
1. Bußgelder
38
Eine wesentliche Neuerung hat das Datenschutzrecht hinsichtlich der Höhe der Bußgelder erfahren. Die in Art. 83 DSGVO normierten Bußgelder, welche durch die zuständigen Aufsichtsbehörden erteilt werden können, stellen eine drastische Verschärfung der Sanktionen bei Verstößen im Vergleich zum alten Datenschutzrecht dar. So sieht der Katalog des Art. 83 Abs. 5 DSGVO vor, dass Bußgelder in Höhe von bis zu 20.000.000 EUR und bei Unternehmen sogar bis zu 4 % des Vorjahresumsatzes verhängt werden können. Es ist neben der Verhältnismäßigkeit gemäß Art. 84 Abs. 1 Satz 2 DSGVO ein erklärtes Ziel, dass die Bußgelder abschreckend sind, mithin eine ausreichende Präventionswirkung entfalten.58 Darüber hinaus sind fast alle materiellen Pflichten, die sich aus der DSGVO ergeben, durch den Katalog des Art. 83 DSGVO bußgeldbewehrt.59
39
Dass die Behörden diesen Bußgeldrahmen auch tatsächlich ausschöpfen, zeigt die Praxis. So wurde beispielsweise gegen H&M ein Bußgeld in Höhe von 35 Mio. EUR durch den Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) wegen schwerwiegenden Verstößen gegen den Beschäftigtendatenschutz verhängt.
40
Bezüglich der Maßstäbe für die Festlegung der Höhe der Bußgelder bietet Art. 83 Abs. 2 DSGVO einen umfangreichen Kriterienkatalog für die Bemessung der Geldbußen.60 Dieser enthält jedoch nur Vorgaben hinsichtlich des „Wie“ der Bußgeldverhängung. Regelungen bezüglich des „Ob“ macht die Norm den Behörden nicht.61 So ist die Höhe des Bußgeldes gemäß Art. 84 Abs. 2 lit. a) DSGVO von der Art, Schwere und Dauer des Verstoßes abhängig. Auch kommt es auf die Kategorien der personenbezogenen Daten an oder etwa auf den Umfang der Zusammenarbeit mit den Aufsichtsbehörden, um dem Verstoß abzuhelfen, Art. 83 Abs. 2 lit. g) und f) DSGVO.
41
Von besonderer Relevanz für eine Due-Diligence-Prüfung ist Art. 82 Abs. 2 lit. e) DSGVO. Danach wird bei der Festlegung der Höhe des Bußgeldes berücksichtigt, ob bereits frühere Verstöße des Verantwortlichen bei der Aufsichtsbehörde bekannt sind. Bei einer Unternehmenstransaktion tritt der Käufer an die Stelle des bisherigen datenschutzrechtlichen Verantwortlichen. Insofern muss er sich die Datenschutzverstöße seines Vorgängers bei der Bemessung eines Bußgeldes gemäß Art. 83 Abs. 2 lit. e) DSGVO zurechnen lassen. In diesem Lichte ist bei der Durchführung einer Due-Diligence-Prüfung insbesondere darauf zu achten, ob gegen das zu prüfende Unternehmen in der Vergangenheit bereits Bußgelder verhängt wurden.
2. Schadensersatz
42
Ein weiteres Novum der DSGVO liegt darin, dass die Verordnung den Betroffenen bei Datenschutzverstößen gemäß Art. 82 Abs. 1 DSGVO expressis verbis einen immateriellen Schadensersatzanspruch zuschreibt. Das deutsche Schadensersatzrecht zielt primär auf den Ersatz materieller Vermögenschäden ab, vergleiche § 253 BGB. Art. 82 Abs. 1 DSGVO verpflichte Verantwortliche und Auftragsverarbeiter hingegen dazu, auch den immateriellen Schaden des Betroffenen zu ersetzen. In Anbetracht dessen, dass Art. 82 DSGVO im Gegensatz zu den Bußgeldern keine Maximalhöhe des immateriellen Schadens nennt und bei einer Datenpanne zumeist eine Vielzahl von Personen betroffen sein können, stellen Schadensersatzforderungen durch Betroffene ein durchaus schwer zu kalkulierendes Risiko dar. Hinzu kommt, dass der Schadensbergriff weit auszulegen ist.62 Mithin begründet schon der Verstoß gegen datenschutzrechtliche Vorschriften einen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO. Unter Berücksichtigung des effet utile sollen Schadensersatzforderungen darüber hinaus auch eine abschreckende Wirkung entfalten und über das Maß eines symbolischen Schadensersatzes hinausgehen.63
43
Gerade in der jüngsten Vergangenheit zeichnete sich durchaus die Tendenz ab, dass Gerichte diese Auslegungskriterien berücksichtigen und Schadensersatzforderungen entsprechend stattgeben.64
44
Schließlich ist es nicht ausgeschlossen, dass Betroffene neben ihrem Schadensersatzanspruch auch von ihrem Melderecht gemäß Art. 77 Abs. 1 DSGVO bei der zuständigen Aufsichtsbehörde Gebrauch machen und letztlich neben Schadensersatzforderungen auch ein Bußgeld zu zahlen ist.
3. Abmahnung
45
Bisweilen wurde höchstrichterlich nicht abschließend geklärt, ob Datenschutzverstöße auch von Mitbewerbern, etwa auf Grundlage des UWG, abgemahnt werden können. Diese Frage hat der BGH mit Beschluss vom 28.5.2020 dem EuGH als Vorabentscheidung vorgelegt.65 Die nationalen Gerichte entschieden bisweilen uneinheitlich.66 Maßgeblich für die Frage der Anwendbarkeit des UWG ist die Entscheidung, ob es sich bei den Vorschriften der DSGVO um sogenannte „Marktverhaltensregeln“ i.S.d. § 3a UWG handelt.67 In diesem Zusammenhang ist ferner streitig, ob das UWG neben der DSGVO anwendbar oder ob letztere vielmehr abschließend ist. Sofern die Vorschriften des UWG Anwendung finden, könnten Mitbewerber i.S.d. § 8 Abs. 3 Nr. 1 UWG entsprechende Forderungen geltend machen. In Anbetracht dessen, dass noch keine Entscheidung durch den EuGH vorliegt, sollte das Risiko einer Abmahnung zumindest berücksichtigt und keinesfalls unterschätzt werden.
4. Vertrag unwirksam/Gewährleistungsansprüche
46
Tritt einer der vorgenannten Fälle ein, besteht ein nachvollziehbares Interesse des Kaufinteressenten, Gewährleistungs- und Schadenersatzansprüche gegenüber dem Zielunternehmen durchzusetzen. Dies gilt jedenfalls, sofern der Käufer während der Due-Diligence-Prüfung nicht selbst einen Verstoß begeht und ein Regress ausgeschlossen ist. An dieser Stelle konkretisiert sich ein weiteres Ziel der Due Diligence, die Ausgestaltung der Gewährleistung. In der Regel wird bei Abschluss eines Unternehmenskaufvertrages versucht, die Gewährleistung weitreichend auszuschließen. Dies kann natürlich nicht im Interesse des Kaufinteressenten liegen, schon gar nicht angesichts der erheblichen Folgen bei einem Verstoß gegen datenschutzrechtliche Vorschriften, insbesondere die der DSGVO. Die Gewährleistung in Deutschland, die vertraglichen Individualvereinbarungen der Kaufvertragsparteien einmal unbeachtet, richtet sich im Kaufvertragsrecht nach den Regelungen der §§ 434ff. BGB.68 Grundsätzlich haftet der Verkäufer dafür, dass der Kaufgegenstand die Sollbeschaffenheit aufweist und nicht mit Rechtsmängeln behaftet ist. Die Sollbeschaffenheit ist dabei vertraglich definiert oder wird objektivierend beurteilt. Rechtlich relevant ist bei der Frage der Gewährleistung die Norm des § 442 BGB. Nach § 442 Abs. 1 Satz 1 BGB sind die Rechte des Käufers ausgeschlossen, wenn er den Mangel bei Abschluss des Vertrages kennt. Isoliert betrachtet könnte man den Eindruck gewinnen, dass die Durchführung einer Due Diligence kontraproduktiv ist.69 Erwartungsgemäß werden bei dieser Prüfung gerade Mängel aufgedeckt, die dann als bekannt zu werten wären und zu einem Gewährleistungsausschluss führen würden. § 442 Abs. 1 BGB regelt in Satz 2 erschwerend noch weiter, dass ein Käufer etwaige Rechte wegen eines Mangels, der ihm infolge grober Fahrlässigkeit unbekannt geblieben ist, nur geltend machen kann, wenn der Verkäufer den Mangel arglistig verschwiegen oder eine Garantie für die Beschaffenheit der Sache übernommen hat. Hieraus wird teilweise geschlossen, dass derjenige, der eine Due Diligence durchführt und Mängel in grober Fahrlässigkeit verkennt, seine Gewährleistungsrechte verlieren soll.70 Ob dabei die Kenntnis des Beraters des Käufers bei der Due-Diligence-Prüfung zugerechnet werden kann, wird streitig behandelt.71 Jedenfalls würde die Gefahr, etwas bei der Prüfung zu übersehen und folglich die Gewährleistungsansprüche zu verlieren, gegen die Durchführung einer Due Diligence sprechen. Gleichwohl würde es paradox anmuten, wenn derjenige, der keine Prüfung vornimmt, Mängel damit weder kennt noch grob fahrlässig übersieht, gerade aus diesem Grunde seine Gewährleistungsrechte behalten soll. Eine Verpflichtung zur Durchführung einer Due Diligence gibt es jedenfalls nicht.72 Möglicherweise muss man eine grobe Fahrlässigkeit aber auch gerade dann bejahen, wenn, trotz Möglichkeit, Unterlagen zu prüfen, keine Due Diligence durchgeführt würde. Der Untätige wäre dann in jedem Fall seiner Gewährleistungsrechte verlustig.
47
Derartige, zumindest rein dogmatisch geführte Betrachtungen, verbieten sich bei einem Blick auf die praktischen Folgen einer unterlassenen Datenschutz-Due-Diligence. Die Verhängung eines Bußgeldes oder die Inanspruchnahme durch einen in seinen Rechten verletzten Dritten trifft das Zielunternehmen direkt. Selbst bei eindeutiger Rechtslage und unterstellt, dass ein Regress beim Zielunternehmen geführt werden könnte, dauern Prozesse oftmals Jahre. Anschließend müsste dann noch die Vollstreckung erfolgreich verlaufen, also Vermögen vorhanden sein, um die eingetretenen Schäden zu kompensieren. Die dabei entstehenden Kosten, abhängig von der Höhe der streitbefangenen Ansprüche, dürften die Kosten einer Due Diligence übersteigen.
48
Beachte:
Die Frage des „Ob“ der Durchführung einer Datenschutz-Due-Diligence während eines Verkaufsvorganges sollte gar nicht gestellt werden.
49
Stellen sich Mängel heraus, ist vielmehr mit dem Zielunternehmen zu vereinbaren, wie mit den festgestellten Mängeln zu verfahren ist. Bis zum Abschluss eines Verkaufes sieht sich der Verkäufer ja selbst dem Datenschutzverstoß ausgesetzt und wird ein gesteigertes Interesse haben, diesen abzustellen. Neben dem Einfluss auf die Kaufpreishöhe sollte der Fokus also darauf liegen, etwaige Mängel zu beseitigen.
58 Gola, in: Gola, Art. 84 Rn. 2. 59 Bergt, in: Kühling/Buchner, Art. 83 Rn. 2. 60 Boehm, in: NK-DatenschutzR, Art. 83 Rn. 22. 61 Boehm, in: NK-DatenschutzR, Art. 83 Rn. 22. 62 Moos/Schefzig, in: Taeger/Gabel, Art. 82 Rn. 26 DSGVO; Bergt, in: Kühling/Buchner, Art. 82 Rn. 17; Frenzel, in: Paal/Pauly, Art. 82. 63 Unter Verweis auf den Effektivitätsgrundsatz Bergt, in: Kühling/Buchner, Art. 82 Rn. 17; siehe auch Schantz, NJW 2016, 1841, 1847; Bäcker, in: Plath, Art. 82 Rn. 4a. 64 Vgl. etwa LG Lüneburg, Urt. v. 14.7.2020 – ZD 2021, 275, 276f.; LG Darmstadt, Urt. v. 26.5.2020 – ZD 2020, 642, 643; ArbG Düsseldorf, Urt. v. 5.3.2020 – ZD 2020, 422, 422f.. 65 BGH, EuGH-Vorlage vom 28.5.2020 – ZD 2020, 589, 589ff. 66 Für die Möglichkeit abzumahnen etwa OLG Hamburg, Urt. v. 25.10.2018 – GRUR 2019, 86; dagegen LG Bochum, Urt. v. 7.8.2020 – BB 2018, 2580, 2580. 67 Wessels, DuD 2018, 782, 782. 68 Zur Anwendbarkeit bei einem Unternehmensverkauf BGH, Urt. v. 26.9.2018 – BGHZ 220, 19, 20. 69 Loges, DB 1997, 965, 969. 70 Fleischer/Körber, BB 2001, 841, 844; einschränkend wird gefordert, dass ein Übersehen des Mangels dann unbeachtlich sein soll, wenn nur ein Sachverständiger diesen Mangel hätte feststellen können (so OLG Köln, Urt. v. 19.6.1991 – NJW-RR 1992, 49, 50). 71 Hierzu Weinland, in: jurisPK-BGB, § 166 BGB Rn. 22; umfassend zu der Problematik auf Käufer- und Verkäuferseite: Werner, jM 2017, 222, 223ff., jeweils mit weiteren Nachweisen. 72 Backu/Bayer, ITRB 2017, 19, 20f.
Kapitel 2: Datenschutz bei der Durchführung der Due Diligence
I. Vorüberlegungen
1. Allgemeines
50
Unabhängig davon, ob ein Share oder Asset Deal erfolgt, sollen dem potenziellen Käufer diverse Informationen zur Verfügung gestellt werden. Kommt es dabei zur Übermittlung von personenbezogenen Daten im räumlichen Anwendungsbereich der DSGVO73, ist hierbei ein eigener Verarbeitungsvorgang im Sinne von Art 4 Nr. 2 DSGVO zu sehen.74 Ein Personenbezug besteht immer dann, wenn mit Hilfe der Informationen Personen identifizierbar sind oder eine solche Identifizierung möglich ist.75 Zumindest theoretisch denkbar wäre es im Rahmen der Due Diligence, personenbezogene Daten zu anonymisieren und damit einen Personenbezug auszuschließen. Dies würde im Ergebnis zu einer Unanwendbarkeit der DSGVO führen.76 In Abgrenzung hierzu nicht ausreichend wäre eine bloße Pseudonymisierung. Diese liegt vor, wenn Daten erst nach Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten und hiermit ein Personenbezug möglich würde. Beim Anonymisieren hingegen werden die personenbezogenen Daten so verändert, dass eine Wiederherstellung ausgeschlossen ist, jedenfalls einen erheblichen Aufwand darstellen würde.77
51
In der Praxis scheiden derartige Vorbereitungshandlungen oftmals aus. Abhängig von der Größe des Unternehmens und dem relevanten Datenmaterial wäre der Aufwand, personenbezogene Daten zunächst herauszufiltern, um diese dann vollumfänglich unkenntlich (gleich, ob anonymisiert oder pseudonymisiert) zu machen, erheblich. Erwartungsgemäß wird zudem der Käufer ein nachhaltiges Interesse daran haben, Datenmaterial umfassend zu prüfen. Wäre nun ein Großteil nicht verwertbar oder wenig aussagekräftig, würde dies nachhaltigen Einfluss auf die Kaufpreisbildung nehmen. Mangels praktischer Umgehungsmöglichkeit bleibt der Anwendungsbereich der DSGVO also eröffnet. Dadurch ist eine Vielzahl von Regelungen zu berücksichtigen, die im Vorwege der Due Diligence abzuprüfen sind. Es ist insbesondere zu klären, welche Parteien an der Prüfung teilnehmen und welcher Aufgabenkreis ihnen zukommen soll. Abhängig hiervon müsste der Abschluss einer Vereinbarung gemäß Art. 26 Abs. 1 Satz 2 DSGVO und/oder einer Auftragsdatenverarbeitungsvereinbarung78 gemäß Art. 28 Abs. 3 Satz 1 DSGVO in Betracht gezogen werden. Zu berücksichtigen ist, dass die mit der Due Diligence einhergehenden Datenverarbeitungsvorgänge stets durch eine Rechtsgrundlage der DSGVO legitimiert werden. Hierbei ist für einen Teil der Daten zu prüfen, ob Informationsverpflichtungen gemäß Art. 13, 14 DSGVO bestehen. Darüber hinaus ist der Ort der Prüfung festzulegen. Wesentliche Bedeutung kommt zudem der Frage zu, welche Daten zu überprüfen sind. Schlussendlich wird (auch) hiervon abhängig sein, ob eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO anzustellen oder ein Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO zu erstellen ist.
52
Praktische Erwägung:
Sämtliche Überlegungen sind dabei immer vor dem Hintergrund anzustellen, dass jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage erfordert. Wenn es Art und Umfang einer Prüfung zulassen, z.B. wenn es nur vorbereitende Gespräche über einen Unternehmenskauf betrifft, bei dem lediglich kursorisch Unternehmensdaten geprüft werden, sollte eine Anonymisierung in Erwägung gezogen werden. Datenschutzrechtliche Fragen könnten so, zumindest vorübergehend, vermieden werden.
53
Bei Missachtung einschlägiger Vorschriften drohen schon bei der Durchführung der Due Diligence Risiken hinsichtlich einer Verhängung von Bußgeldern oder der Zahlung von Schadenersatz.79
2. Datenschutzrechtliche Stellung der Beteiligten
54
Bei jeder Due Diligence ist für die Berücksichtigung datenschutzrechtlicher Regelungen zunächst festzustellen, welche Parteien hieran teilnehmen und welche Mittel für deren Durchführung eingesetzt werden. Zu empfehlen ist die Erstellung einer Übersicht, in der neben der Bezeichnung der Parteien auch deren Aufgabenkreis umrissen wird. Nur so ist es möglich, die Verantwortlichkeit dieser Partei im Sinne der DSGVO festzulegen. Dabei greift die pauschale Unterscheidung zwischen Verkäufer und Käufer sicherlich zu kurz. Im Datenschutzrecht gibt es keine starren Begrifflichkeiten. Die Fluktuation macht es daher schwierig, im Vorwege die einzig richtig Lösung festzulegen. Bei einer weiten Auslegung des Begriffes der Verantwortlichkeit gemäß Art. 26 DSGVO, werden die Kaufvertragsparteien als gemeinsam Verantwortliche anzusehen sein. Allerdings erfolgt die Due-Diligence-Prüfung, gerade im Bereich des Datenschutzes, zumeist nicht durch die Kaufvertragsparteien bzw. deren rechtliche Vertreter, sondern durch beauftragte Dritte. Werden aber Dritte eingesetzt, ist fraglich, ob diese ebenso Mitverantwortliche im Sinne des Art. 26 DSGVO sind oder ihnen sogar eine Eigenverantwortlichkeit zukommt. Denkbar wäre ebenso, ein Auftragsverarbeitungsverhältnis zwischen dem Verantwortlichen und dem eingeschalteten Dritten anzunehmen, Art. 28 DSGVO. Dabei können auch Dritte beteiligt sein, die schon lange vor Durchführung der Due Diligence und unabhängig hiervon beauftragt waren. Typische Beispiele sind der EDV-Dienstleister80 und der Datenschutzbeauftragte.
55
Bindeglied zwischen allen Beteiligten ist der Ort der Prüfung. Früher wurden die Unternehmensinformationen schlicht innerhalb der Räumlichkeiten des Zielunternehmens oder dessen Beratern in Papierform zur Einsicht und Prüfung bereitgestellt. Datenschutzrechtlich ist dies weiterhin zu empfehlen, um so den größtmöglichen Schutz der Informationen, nicht zuletzt den eigenen Unternehmensdaten, zu gewährleisten. Gängige Praxis ist dies allerdings nicht mehr. Heutzutage gewinnen digitale Datenräume zunehmend an Bedeutung. Zumeist werden hierzu professionelle Anbieter von Cloud-Lösungen, und damit ein weiterer relevanter Beteiligter, eingesetzt, die ein umfassendes Rechtemanagement zur Verfügung stellen.
56
Die Auswahl der Beteiligten sollte gut durchdacht werden, um auch hierbei Verstöße gegen Datenschutzvorschriften zu vermeiden. Wiederum zeigt sich, dass es im Datenschutzrecht keine starren Begrifflichkeiten gibt und auch die Eigenschaft der Beteiligten fluktuiert.
73 Nach Art. 3 DSGVO muss ein Bezug zur Europäischen Union gegeben sein; dazu im Detail Kapitel 1 Rn. 27ff. 74 Dies wird auch im DSK-Kurzpapier Nr. 16 unterstellt. Ebenso Grau, FS Willemsen, 2018, S. 147, 148. 75 Beispielsweise handelt es sich bei IP-Adressen um personenbezogene Daten, da es möglich sei, den Inhaber des Internetanschlusses zu ermitteln und somit den Rückschluss auf eine konkrete Person herzustellen, BGH, Urt. v. 16.5.2017 – NJW 2017, 2416, 2416f. 76 So Erwägungsgrund 26. 77 Denkbar wäre die Unkenntlichkeitsmachung, klassisch in Form von Schwärzen. Dzida, BB 2019, 3060, 3063, spricht vom so genannten „Signing“; dazu im Detail Kapitel 2 Rn. 184f. 78 Art. 28 Abs. 3 Satz 1 DSGVO spricht von einem „Vertrag“ oder „einem anderen Rechtsinstrument“. 79 Dazu im Detail Kapitel 1 Rn. 37ff. 80 Hierunter fällt nicht nur der Hard- und Software-Betreuer, sondern auch der Dienstleister der im Unternehmen eingesetzten Softwarekomponenten.
Бесплатный фрагмент закончился.
