Nichtigkeit eines Kaufvertrags über den Erwerb personenbezogener Daten ohne Einwilligungen der Betroffenen

Mit Urteil vom 29.01.2018 – Az. 13 U 165/16 hat das OLG Frankfurt am Main entschieden, dass ein Kaufvertrag, der den Verkauf von Adressdaten zum Gegenstand hat, ohne hinreichende Einwilligungen der Adressinhaber wegen Verstoßes gegen das Datenschutzrecht unwirksam ist. Die Entscheidung hat nicht nur Auswirkungen für den gewerblichen Adresshandel, sondern sollte auch im Rahmen von Unternehmenskäufen bedacht werden.

Sachverhalt

Klägerin und Beklagte handeln mit Adressdaten. Die Klägerin hatte für 15.000,00 EUR verschiedene Web-Domains sowie darüber erlangte Namen, Postanschriften und E-Mail-Adressen von der Beklagten erworben. Nachdem die Beklagte dieselben Adressdaten auch an einen Dritten veräußert hatte, machte die Klägerin Schadensersatz und Unterlassung geltend; infolge des zweiten Geschäfts der Beklagten und der Nutzung der Daten durch den Dritten hätten diese zwei Drittel ihres Wertes verloren, so die Klägerin.

Entscheidung

Dem ist das OLG Frankfurt am Main – anders als noch das Gericht erster Instanz – nicht gefolgt. Die Klägerin kann sich nicht mit Erfolg auf die vertragswidrige Nutzung der Adressdaten durch Dritte stützen, da ihr Kaufvertrag mit der Beklagten nichtig ist.

Da es sich bei den gegenständlichen personenbezogenen Daten nicht um „zusammengefasste Daten von Angehörigen einer bestimmten Personengruppe“ (§ 28 Abs. 3 S. 2 BDSG) handelt, ist deren Nutzung zum Zwecke des Adresshandels nicht von der gesetzlichen Privilegierung gedeckt, sondern bedarf der Einwilligungen der betroffenen Personen. Die Anforderungen an eine solche Einwilligung sind streng: Sie muss auf der freien Entscheidung des Betroffenen beruhen, der auf den vorgesehenen Zweck der Nutzung und die Folgen der Verweigerung seiner Einwilligung hingewiesen werden muss; sie ist grundsätzlich schriftlich abzugeben und vom übrigen Vertragstext besonders abzugrenzen. Diesen Anforderungen wurden die eingeholten Einwilligungserklärungen im Streitfall nicht gerecht.

Hinweise für die Praxis

Werden personenbezogene Kundendaten als Vermögenswert von einer verantwortlichen Stelle auf eine andere übertragen, haben die Kunden darin grundsätzlich einzuwilligen. Dies betrifft insbesondere Unternehmenskaufverträge im Wege eines sog. „Asset Deal“, bei dem ein Unternehmen seine einzelnen Wirtschaftsgüter veräußert. Regelmäßig stellen dabei nämlich personenbezogene Daten von Kunden oder Nutzern einen – wenn nicht sogar: den – wesentlichen Vermögensgegenstand des zu erwerbenden Unternehmens dar.

Unter Zugrundelegung der rechtlichen Würdigung des OLG Frankfurt am Main führen fehlende oder unzureichende Einwilligungserklärungen (z.B. in Marketingmaßnahmen) nicht „nur“ zum Vorliegen eines (Rechts-)mangels, sondern können sogar zur (Teil-)Nichtigkeit des Kaufvertrags führen. Dies bedeutet ein erhebliches wirtschaftliches Risiko für die beteiligten Vertragsparteien.

Mit dem Inkrafttreten der Datenschutz-Grundverordnung zum 25.05.2018 erhöht sich das Risiko noch einmal zusätzlich: Transaktionen, in denen die erforderlichen Einwilligungserklärungen nicht vorliegen, können – auf Veräußerer- wie auf Erwerberseite – gem. Art. 83 Abs. 5 lit. a DS-GVO mit Geldbußen von bis zu 20 Mio. EUR oder 4% des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet werden, je nachdem, welcher der Beträge höher ist.

Die Durchführung einer Due Diligence auch in datenschutzrechtlicher Hinsicht wird damit unentbehrlich, um zu überprüfen ob die zu erwerbenden Daten zulässigerweise erhoben und gespeichert wurden und ob sie ohne weitere Einwilligung der Kunden auf den Käufer übertragen werden können.