Anwendungsbereich

Information an betroffene Personen (Kunden, Lieferanten, Beschäftigte sofern noch nicht über Betriebsübergang informiert) im Vorfeld einer Unternehmenstransaktion, bei der personenbezogene Daten auf einen neuen Verantwortlichen übergehen. Pflicht nach Art. 13 / 14 DSGVO, weil sich der Empfänger der Daten ändert.

Die Vorlage ist für die kombinierte M&A-/Datenschutz-Information gedacht — nicht für reine Akquise-Korrespondenz und nicht als Ersatz für arbeitsrechtliche § 613a BGB-Information bei Betriebsübergang (die ist eigenständig und kommt vom Personalbereich).

Voraussetzungen

• Transaktion ist signed, Closing-Datum steht fest (Information darf nicht so früh ergehen, dass die Transaktion noch scheitern könnte und betroffene Personen verunsichert werden).
• Justiziariat hat zugestimmt — sowohl auf Seite des Übergebers als auch des Übernehmers. Bei börsennotierten Beteiligten zusätzliche Insider-Trading-/Ad-hoc-Compliance prüfen.
• DSFA / Datenschutz-Folgenabschätzung durchgeführt, sofern die Datenverarbeitung beim neuen Verantwortlichen mit neuer Zweck- Ausrichtung verbunden ist.
• Widerspruchs-Workflow beim alten und neuen Verantwortlichen vorbereitet — wer bearbeitet eingehende Widersprüche, in welcher Frist, mit welchen Folgen?
• Mindestfrist 30 Tage zwischen Information und Wirksamkeit einhalten, damit Widerspruchsrecht ernsthaft ausübbar ist.

Variablen

Vorlagentext

{anrede} {name_betroffener},

wir informieren Sie über eine bevorstehende Änderung in der Verarbeitung Ihrer personenbezogenen Daten, die uns nach Art. 13 und Art. 14 DSGVO mitzuteilen ist.

Was ändert sich:

Mit Wirkung zum {wirksamkeit_ab} überträgt {alt_verantwortlicher} im Rahmen einer {transaktions_typ} die zur Vertragsabwicklung mit Ihnen erforderlichen personenbezogenen Daten an {neu_verantwortlicher}.

Ab diesem Datum ist {neu_verantwortlicher} der für die Verarbeitung Ihrer Daten Verantwortliche im Sinne der DSGVO.

Welche Daten übergehen:

{betroffene_datenkategorien}

Zu welchem Zweck:

{neuer_zweck}

Auf welcher Rechtsgrundlage:

{rechtsgrundlage_neu}

Ihre Rechte:

Ihre Betroffenenrechte aus Art. 15 bis 22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) bestehen gegenüber dem neuen Verantwortlichen ab dem Wirksamkeitsdatum unverändert weiter.

Sofern die Weiterverarbeitung auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) gestützt wird, haben Sie nach Art. 21 DSGVO das Recht, der Übertragung zu widersprechen. Bei rechtzeitigem Widerspruch werden Ihre Daten vor der Übertragung gelöscht oder nach den anwendbaren gesetzlichen Aufbewahrungsfristen weiter beim bisherigen Verantwortlichen verwahrt — eine Übertragung erfolgt dann nicht.

Widerspruchsfrist: {widerspruchsfrist}

Widersprüche bitte schriftlich oder per E-Mail an {kontakt_dsb_alt} unter Angabe Ihres Namens und Ihrer Vertrags- bzw. Kundennummer.

Kontakt nach dem Wirksamkeitsdatum:

Datenschutz-Anliegen können Sie ab dem {wirksamkeit_ab} direkt an den Datenschutzbeauftragten von {neu_verantwortlicher} richten: {neu_verantwortlicher_dsb}

Mit freundlichen Grüßen

{unterzeichner} {alt_verantwortlicher}

Verbotene Inhalte

Folgendes darf NICHT in die Information aufgenommen werden:

• Kaufpreise, Bewertungs-Details, M&A-Hintergründe. Sind ad-hoc- und vertraulichkeits-relevant und gehören nicht in die DSGVO- Information.
• Bewertende Aussagen zum Übernehmer. „Wir freuen uns über die Verstärkung durch …” — Marketing-Sprache hat hier nichts zu suchen.
• Verharmlosung der Transaktion. „Für Sie ändert sich nichts” — wenn der Verantwortliche wechselt, ändert sich datenschutz­rechtlich genau das: der Adressat Ihrer Rechte. Das darf nicht relativiert werden.
• Pauschal-Disclaimer für die Zukunft. „Mit dieser Mitteilung sind Sie über alle künftigen Verarbeitungs­änderungen vorab informiert” — nein, jede künftige Änderung braucht eine eigene Information.
• Widerspruchsfrist zu kurz. Weniger als 30 Tage zwischen Information und Wirksamkeit macht Art. 21 zur Farce — wird von Aufsichts­behörden als Umgehung gewertet.
• Verschleierung von Drittlandstransfer. Falls der neue Verantwortliche Daten in ein Drittland übertragen wird (häufig bei US-Konzern-Übernahme), ist das hier zu nennen.
• Andeutungen, dass Daten ohnehin „automatisch” übergehen. Datenüber­ tragung im Asset-Deal braucht eine Rechtsgrundlage — entweder Vertragsfortführung, berechtigtes Interesse mit Widerspruchsmöglichkeit, oder Einwilligung. „Automatisch” gibt es nicht.

Beispiel einer fehlerhaften Formulierung (nicht verwenden):

„Wir freuen uns, Sie informieren zu dürfen, dass die SuperCorp Inc. unsere Firma übernimmt. Für Sie als Kunde ändert sich dadurch selbstverständlich nichts. Ihre Daten gehen automatisch auf den neuen Eigentümer über, der Sie weiterhin in gewohnter Qualität bedienen wird.”

Begründung: drei verbotene Inhalte — Marketing-Ton („freuen uns”), falsche Beruhigung („ändert sich nichts” obwohl Verantwortlicher wechselt), Behauptung des „automatischen” Übergangs ohne Hinweis auf Rechtsgrundlage und Widerspruchsmöglichkeit.

Versandhinweise

• Brief bevorzugt für hochwertige B2B-Kontakte und juristisch heikle Beziehungen. E-Mail nur, wenn die laufende Kommunikation bereits dort erfolgt.
• Timing: Mindestens 35 Tage vor Wirksamkeit, um eine realistische 30-Tage-Widerspruchsfrist zu ermöglichen.
• Versand­dokumentation sorgfältig führen — bei Beschwerden vor der Aufsichtsbehörde wird genau dieses Dokument zentral sein.
• Mit der Übernehmer-Seite koordinieren: keine widersprüchlichen Botschaften, einheitlicher Sprachton.
• Bei großem Verteiler: Mehrstufiger Versand (Wichtigste zuerst, Massenkunden gestaffelt) wegen Reaktions-Last beim Customer Service.

Aufbewahrung

• Originale beim bisherigen Verantwortlichen archivieren (mindestens 10 Jahre).
• Kopie an den neuen Verantwortlichen übergeben — er muss bei einer späteren Aufsichts­anfrage die ordnungsgemäße Information nachweisen können.
• Widerspruchs­liste separat — gehört zur „Übergabe-Lieferung” zwischen Alt- und Neu-Verantwortlichem.

Changelog