Bij de verkoop van een onderneming wordt al snel gedacht aan de handelsnaam, de website, de voorraad, contracten, goodwill en lopende opdrachten. In de praktijk is echter vaak één onderdeel minstens zo waardevol: het klantenbestand.
Een goed opgebouwd klantenbestand vertegenwoordigt immers commerciële waarde. De koper wil weten wie de klanten zijn, welke diensten zij afnemen, welke omzet daarmee wordt gegenereerd en of deze klanten na de overname behouden blijven. Vanuit ondernemingsrechtelijk perspectief is dat goed te begrijpen. Vanuit privacyrechtelijk perspectief ligt dat echter genuanceerder.
De vraag is daarom: mogen klantgegevens als onderdeel van de verkoop van een onderneming worden overgedragen aan de koper?
Voor het antwoord op deze vraag is onder meer van belang op welke wijze de onderneming wordt verkocht, welke persoonsgegevens onderdeel uitmaken van het klantenbestand, waarvoor deze persoonsgegevens zijn verkregen, voor welke doeleinden de koper deze gegevens wil gebruiken en welke informatie hierover eerder aan de klanten is verstrekt.
Een klantenbestand is niet zomaar een bedrijfsmiddel
Hoewel een klantenbestand in commerciële zin vaak als onderdeel van de onderneming wordt gezien, bestaat zo’n bestand in privacyrechtelijke zin uit persoonsgegevens. Denk bijvoorbeeld aan namen, e-mailadressen, telefoonnummers, adressen, klantnummers, aankoopgeschiedenis, betaalgegevens en correspondentie.
Dat betekent dat de Algemene verordening gegevensbescherming (AVG) van toepassing is. De AVG verbiedt de verkoop van klantgegevens niet per definitie, maar stelt wel voorwaarden aan iedere verwerking van persoonsgegevens. Onder ‘verwerking’ valt onder meer het verstrekken, delen, overdragen, raadplegen en gebruiken van persoonsgegevens. Met andere woorden: zodra een koper toegang krijgt tot het klantenbestand, is sprake van een verwerking van persoonsgegevens. Daarvoor moet een grondslag bestaan.
Het onderscheid tussen een aandelentransactie en een activa-passiva transactie
Voor de privacyrechtelijke beoordeling is allereerst van belang hoe de onderneming wordt verkocht.
Bij een aandelentransactie worden de aandelen in de vennootschap verkocht. De vennootschap zelf blijft dan in beginsel dezelfde partij. De contractspartij van de klanten blijft dus dezelfde rechtspersoon en ook de verwerkingsverantwoordelijke blijft in principe dezelfde entiteit. Er vindt dan niet altijd een overdracht van persoonsgegevens aan een nieuwe onderneming plaats, omdat de persoonsgegevens binnen dezelfde vennootschap blijven.
Dat betekent echter niet dat er niets hoeft te gebeuren. Ook bij een aandelentransactie kan het noodzakelijk zijn om de privacyverklaring te actualiseren, interne toegangsrechten te beperken en klanten te informeren wanneer het gebruik van hun gegevens wijzigt.
Bij een activa-passiva transactie ligt dit anders. In dat geval worden bepaalde onderdelen van de onderneming verkocht, zoals de handelsnaam, voorraad, website, contracten en het klantenbestand. De koper is dan een andere partij die de persoonsgegevens gaat ontvangen en gebruiken. In dat geval is veel sneller sprake van een overdracht van persoonsgegevens aan een nieuwe verwerkingsverantwoordelijke.
Vooral bij deze vorm van verkoop verdient het aanbeveling om vooraf concreet vast te leggen welke klantgegevens worden overgedragen, waarom die gegevens worden overgedragen en op welke AVG-grondslag dit wordt gebaseerd.
Welke grondslag kan worden gebruikt?
In beginsel moet iedere verwerking van persoonsgegevens worden gebaseerd op één van de grondslagen uit artikel 6 AVG. Bij de verkoop van een onderneming wordt vaak gedacht aan toestemming van de klant. Dat kan een grondslag zijn, maar in de praktijk is dit niet altijd de meest werkbare grondslag.
Wanneer het gaat om actieve klanten, lopende overeenkomsten en de voortzetting van de dienstverlening, kan onder omstandigheden een beroep worden gedaan op de uitvoering van de overeenkomst of op het gerechtvaardigd belang. De koper heeft dan immers belang bij het kunnen voortzetten van de onderneming en de klant heeft er doorgaans belang bij dat de dienstverlening niet onnodig wordt onderbroken.
Daarbij moet wel worden beoordeeld of de overdracht noodzakelijk is en of de privacybelangen van de klanten niet zwaarder wegen dan het belang van de verkoper en koper. Dit wordt ook wel de belangenafweging genoemd. Het is dus niet voldoende om in de koopovereenkomst op te nemen dat “het klantenbestand wordt meegeleverd”. Er zal vooraf beoordeeld moeten worden of dit privacyrechtelijk is toegestaan.
Let op bij oude klanten, potentiële klanten en nieuwsbriefabonnees
Extra voorzichtigheid is geboden wanneer het klantenbestand niet alleen bestaat uit actieve klanten, maar ook uit oude klanten, potentiële klanten en nieuwsbriefabonnees.
Voor actieve klanten kan het nog goed verdedigbaar zijn dat bepaalde gegevens nodig zijn om de dienstverlening voort te zetten. Voor oude en potentiële klanten ligt dat anders. Het enkele feit dat iemand ooit klant is geweest of ooit interesse heeft getoond, betekent niet zonder meer dat diens gegevens aan een koper mogen worden verstrekt. Dat geldt in het bijzonder wanneer de koper het klantenbestand wil gebruiken voor commerciële benadering. Voor e-mailmarketing, nieuwsbrieven, WhatsApp-berichten en andere elektronische reclame gelden namelijk aanvullende regels. In veel gevallen is voorafgaande toestemming vereist. Bovendien moet altijd duidelijk zijn wie de afzender is en moet afmelden eenvoudig zijn.
Het verdient daarom aanbeveling om het klantenbestand vooraf op te schonen en onderscheid te maken tussen verschillende categorieën, bijvoorbeeld:
- actieve klanten met lopende overeenkomsten;
- voormalige klanten;
- potentiële klanten;nieuwsbriefabonnees;
- klanten die bezwaar hebben gemaakt tegen marketing;
- klanten waarvan gegevens moeten worden verwijderd op grond van bewaartermijnen.
Door dit onderscheid vooraf te maken, wordt voorkomen dat meer gegevens worden overgedragen dan noodzakelijk is.
Voorafgaand aan de transactie: deel niet te veel en niet te vroeg
In het verkoopproces wil een potentiële koper wellicht al vóór de daadwerkelijke overname inzicht krijgen in de klantenkring. Dat is begrijpelijk, omdat de koper wil beoordelen wat de onderneming waard is. Tegelijkertijd betekent dit niet dat het volledige klantenbestand direct gedeeld mag worden.
In deze fase is het vaak voldoende om geanonimiseerde of geaggregeerde informatie te verstrekken. Denk aan omzet per klantcategorie, looptijden van contracten, gemiddelde orderwaarde of het aantal actieve klanten. Namen, e-mailadressen en telefoonnummers zijn vaak nog niet noodzakelijk.
Als het toch nodig is om persoonsgegevens te delen, is het verstandig om dit gefaseerd te doen. Eerst zo beperkt mogelijk en pas later, wanneer de transactie concreter wordt, meer informatie. Daarnaast dient de toegang te worden beperkt tot personen die de gegevens daadwerkelijk nodig hebben, bij voorkeur via een beveiligde omgeving en onder een strikte geheimhoudingsverplichting. Daarbij moet ook worden bedacht dat een geheimhoudingsovereenkomst niet hetzelfde is als een AVG-grondslag. Een dergelijke overeenkomst is nuttig en vaak noodzakelijk, maar lost het privacyrechtelijke vraagstuk niet volledig op.
Informeer klanten op tijd
Transparantie is één van de kernbeginselen van de AVG. Klanten moeten kunnen begrijpen wat er met hun gegevens gebeurt, waarom dit gebeurt en aan wie hun gegevens worden verstrekt. Het is daarom aan te bevelen om in de privacyverklaring al rekening te houden met een mogelijke overdracht van de onderneming. Bijvoorbeeld door op te nemen dat persoonsgegevens kunnen worden verstrekt aan een opvolgende onderneming in het kader van een fusie, overname of verkoop van bedrijfsactiviteiten.
Als dit niet in de privacyverklaring staat, dan betekent dit niet automatisch dat de overdracht onmogelijk is. Wel zal dan beoordeeld moeten worden hoe en wanneer klanten alsnog geïnformeerd moeten worden. Bij een activa-passiva transactie ligt het voor de hand dat klanten uiterlijk rondom de overdracht worden geïnformeerd over:
- de identiteit van de koper;
- welke persoonsgegevens worden overgedragen;
- waarom de gegevens worden overgedragen;
- op welke grondslag dit gebeurt;
- waarvoor de koper de gegevens zal gebruiken;
- hoe lang de gegevens worden bewaard;
- hoe klanten hun privacyrechten kunnen uitoefenen;
- hoe zij bezwaar kunnen maken tegen direct marketing.
Wanneer de koper de gegevens niet rechtstreeks van de klant ontvangt, rust op de koper bovendien een eigen informatieplicht. De koper zal de klanten dus ook zelf moeten informeren over de verwerking van hun persoonsgegevens.
Bijzondere persoonsgegevens: extra opletten
In sommige sectoren bevat een klantenbestand meer dan alleen reguliere contactgegevens. Denk aan medische gegevens, gegevens over gezondheid, financiële problemen, religie, politieke voorkeuren of strafrechtelijke gegevens. Voor dergelijke gegevens gelden strengere regels. In veel gevallen mogen deze gegevens helemaal niet worden verwerkt, tenzij een specifieke uitzondering van toepassing is. Bij de verkoop van ondernemingen in bijvoorbeeld de zorg, coaching, financiële dienstverlening of maatschappelijke ondersteuning verdient dit daarom extra aandacht.
Het is in die gevallen niet aan te raden om te volstaan met een algemene bepaling in de koopovereenkomst. Er zal concreet moeten worden beoordeeld welke gegevens worden overgedragen, waarom dat noodzakelijk is en of daarvoor een afzonderlijke wettelijke uitzondering bestaat.
Neem privacy expliciet op in de koopovereenkomst
In de praktijk wordt privacy bij bedrijfsovernames nog regelmatig als sluitpost behandeld. Dat is onverstandig. Juist omdat klantgegevens commercieel waardevol zijn, moeten hierover duidelijke afspraken worden gemaakt. In de koopovereenkomst verdient het aanbeveling om in ieder geval afspraken op te nemen over:
- welke persoonsgegevens worden overgedragen;
- welke categorieën klanten het betreft;
- op welke grondslag de overdracht plaatsvindt;
- of klanten vooraf worden geïnformeerd;
- wie verantwoordelijk is voor het voldoen aan de informatieplicht;
- welke gegevens niet worden overgedragen;
- welke gegevens na overdracht door de verkoper worden verwijderd;
- hoe wordt omgegaan met bezwaren van klanten;
- welke garanties de verkoper geeft over de rechtmatige verkrijging van de gegevens;
- welke vrijwaring geldt als achteraf blijkt dat het klantenbestand niet rechtmatig is opgebouwd.
Voor de koper is van belang om te controleren of het klantenbestand wel bruikbaar is voor het beoogde doel. Een klantenbestand dat niet rechtmatig is opgebouwd, geen duidelijke herkomst heeft of waarvoor geen toestemmingen kunnen worden aangetoond, kan aanzienlijk minder waard zijn dan op het eerste gezicht lijkt.
Conclusie voor het verkopen van een klantenbestand
Een klantenbestand mag dus niet zonder meer worden meegeleverd bij de verkoop van een onderneming. Wanneer sprake is van actieve klanten, voortzetting van de dienstverlening en een zorgvuldig ingericht verkoopproces, kan overdracht onder omstandigheden goed verdedigbaar zijn. Daarbij moet wel vooraf worden beoordeeld welke gegevens worden overgedragen, op welke grondslag dat gebeurt en hoe klanten daarover worden geïnformeerd.
Het grootste risico ontstaat wanneer een klantenbestand als los commercieel product wordt verkocht, met name wanneer het gaat om oude klanten, potentiële klanten of nieuwsbriefabonnees. In dat geval is toestemming vaak noodzakelijk en zal zonder die toestemming veelal geen rechtmatige overdracht kunnen plaatsvinden.
Kort gezegd komt het erop neer dat het klantenbestand niet alleen ondernemingsrechtelijk, maar ook privacyrechtelijk onderdeel moet zijn van de overname. Wie dat vooraf goed regelt, voorkomt discussie achteraf en zorgt ervoor dat de waarde van het klantenbestand daadwerkelijk behouden blijft.
Bent u van plan uw onderneming te verkopen of een onderneming over te nemen waarbij klantgegevens een rol spelen? Dan is het verstandig om vooraf te laten beoordelen of het klantenbestand privacyrechtelijk overdraagbaar is en welke afspraken daarover in de koopovereenkomst moeten worden opgenomen.
