{"id":19052,"date":"2025-05-19T07:44:35","date_gmt":"2025-05-19T07:44:35","guid":{"rendered":"https:\/\/wintertaling.nl\/?p=19052"},"modified":"2025-12-22T17:14:11","modified_gmt":"2025-12-22T16:14:11","slug":"wintertaling-avg-in-ma-een-praktisch-kijk-op-de-praktijk","status":"publish","type":"post","link":"https:\/\/wintertaling.nl\/en\/wintertaling-avg-in-ma-een-praktisch-kijk-op-de-praktijk\/","title":{"rendered":"Wintertaling \u2013 GDPR in M&A | A practical look at the practice"},"content":{"rendered":"\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

AI-Generated<\/em><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Geschreven door Tim Carapiet-Petit, Th\u00e9door Melchers en Esra Koopman<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Bij M&A-transacties zijn persoonsgegevens vaak een cruciaal aandachtspunt. Bij sommige bedrijven beperkt dit zich tot de gegevens van medewerkers en enkele klanten, terwijl bij andere bedrijven de klantgegevens het grootste deel van de waarde vertegenwoordigen. Persoonsgegevens worden in diverse situaties overgedragen, vaak zonder dat de verstrekker van de persoonsgegevens (de \u2018Betrokkene\u2019 in de terminologie van de Algemene Verordening Gegevensbescherming (AVG)) daar vooraf bewust van op de hoogte is gesteld.

<\/strong><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Aandelen Transactie<\/strong><\/p>

Bij een verkoop van de aandelen in een vennootschap en de daarbij behorende onderneming die over al die persoonsgegevens beschikt, gaat dat meestal goed: de ondernemer (de \u2018verwerkingsverantwoordelijke\u2019) wijzigt niet, enkel de aandelen wisselen van hand. De uitwisseling van persoonsgegevens tijdens de due diligence-fase van een overnameproces behandelen wij verder niet in deze blog.

<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Activa-Passiva Transactie<\/strong><\/p>

Bij de verkoop van een onderneming via een activa-passiva transactie worden persoonsgegevens zoals klantgegevens, werknemersinformatie en gebruikersdata vaak als separate activa verkocht[1]. Dit kan aantrekkelijk zijn voor de koper, maar de AVG stelt strenge eisen aan hoe met die data mag worden omgegaan. Een onderneming mag persoonsgegevens niet \u201cverkopen\u201d zonder dat daarvoor een geldige juridische grondslag bestaat.

<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

AVG<\/strong><\/p>

De AVG geeft een beperkte lijst met juridische grondslagen voor het \u201cverkopen\u201d van persoonsgegevens. Twee daarvan zijn relevant voor M&A-transacties: (i) expliciete toestemming van de betrokkene, of (ii) het rechtmatige belang van de ondernemer, dat zwaarder weegt dan het recht op privacy van de betrokkene[2].<\/p>

(i) Expliciete toestemming<\/u> van de betrokkene, wordt idealiter al voordat sprake is van een overname verkregen. Dit kan bijvoorbeeld op het moment dat de persoonsgegevens worden verzameld, zoals wanneer een klant zijn gegevens invult op de website bij de aanvraag van een product. Het privacybeleid moet op dat moment in duidelijke taal aangeven dat de onderneming de persoonsgegevens ook verzamelt om deze te kunnen overdragen wanneer de onderneming wordt verkocht. Als op deze wijze expliciete toestemming van de betrokkene wordt verkregen is de verwerking (in dit geval de overdracht van de persoonsgegevens) in lijn met het oorspronkelijke doel waarvoor de gegevens zijn verzameld (mits de nieuwe eigenaar de gegevens natuurlijk niet op een andere manier gaat gebruiken dan origineel beoogd). Let op: toestemming kan te allen tijde door de betrokkene worden ingetrokken.<\/p>

(ii) Het rechtmatige belang van de ondernemer<\/u> kan dienen als grondslag voor de overdracht van persoonsgegevens bij een overname. De onderneming wordt als geheel overgedragen en voortgezet door een andere ondernemer (verwerkingsverantwoordelijke). Voor de betrokkene verandert er feitelijk niets in de dienstverlening, behalve de naam van de dienstverlener. Dit geldt zoals eerder genoemd alleen als de nieuwe eigenaar de persoonsgegevens niet voor andere doeleinden gebruikt.<\/p>

Voor beide gevallen geldt wel dat de klant op de hoogte moet worden gesteld van de overdracht van de onderneming. Wanneer \u2018toestemming van de betrokkene\u2019 als grondslag dient onder de AVG kan op dat moment die toestemming voor de overdracht van de persoonsgegevens door de betrokkene (alsnog) worden ingetrokken. Voor de grondslag \u2018rechtmatig belang van de ondernemer\u2019 geldt dat niet, de communicatie aan de klant van die nieuwe eigenaar van de onderneming betreft dan tevens een mededeling van contractovername. Tegen deze contractovername mag een contractpartij (de klant\/betrokkene) zich verzetten, waardoor de overdracht van het contract en daarmee de persoonsgegevens niet doorgaat.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Faillissement<\/strong><\/p>

Eenzelfde situatie doet zich voor wanneer de onderneming failliet gaat, en de curator de persoonsgegevens wenst over te dragen om zo opbrengst voor de boedel te realiseren. Worden de persoonsgegevens als onderdeel van de grotere onderneming overgedragen en worden deze activiteiten voortgezet (lees: past de verwerking van de nieuwe verwerkingsverantwoordelijke binnen het doel waarvoor de persoonsgegevens origineel zijn verstrekt) dan lijkt er in beginsel niet veel bezwaar te bestaan tegen deze overdracht.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Los actief <\/strong><\/p>

Het wordt anders als de persoonsgegevens zelfstandig als losse activa worden overgedragen. Een voorbeeld hiervan is de verkoop van een ledenbestand aan een sponsor (zie KNLTB tegen Autoriteit Persoonsgegevens (AP)). Uit jurisprudentie van het Hof van Justitie blijkt dat het in beginsel mogelijk is persoonsgegevens over te dragen voor commerci\u00eble doeleinden. In de zaak van KNLTB had de AP desondanks dergelijke overdrachten telkens afgekeurd en in bepaalde gevallen een aanzienlijke boete opgelegd. Het Europees Hof van Justitie heeft de AP hiervoor nu op haar vingers getikt en aangegeven dat de mogelijkheid om persoonsgegevens om commerci\u00eble redenen over te dragen, niet bij voorbaat kan worden uitgesloten op basis van het belang van de ondernemer[3].<\/p>

Hoewel deze mogelijkheid dus in theorie bestaat, blijft de vraag in hoeverre de persoonsgegevens oorspronkelijk zijn verstrekt om verkocht te worden, en vervolgens om gebruikt te worden voor marketingdoeleinden. Toen ik lid werd van de tennisclub en daarmee automatisch lid van de KNLTB, was ik er niet op bedacht dat mijn gegevens zouden worden gedeeld met externe commerci\u00eble partijen en ik lastiggevallen zou worden met reclame-uitingen. Dit illustreert dat het afhangt van het soort gegevens, de partijen aan wie het wordt overgedragen, de motieven en de informatie die in eerste instantie aan de klanten worden verstrekt.

<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Conclusie<\/strong><\/p>

Hoewel het mogelijk is om persoonsgegevens over te dragen bij een M&A-transactie \u2013 maar ook daarbuiten, vereist dit zorgvuldige afstemming met privacyregels en vaak goed juridisch advies om compliant te blijven en risico\u2019s te minimaliseren. Laat gerust uw persoonsgegevens achter op onze website voor dat doel.

<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

[1]\u00a0Dit is juridisch niet helemaal juist, want dergelijke data is geen \u2018goed\u2019 en de onderneming is niet de eigenaar ervan. Desalniettemin worden deze gegevens aan de koper \u2018overgedragen\u2019, meestal in fysieke vorm door de excel of CRM systeem ter beschikking te stellen.<\/em><\/p>

[2]\u00a0De AVG bevat meer relevante eisen die verder niet worden besproken in dit blog, zoals proportionaliteit, data minimalisatie en subsidiariteit van de wijze waarop de persoonsgegevens worden verzameld of worden overgedragen.<\/em><\/p>

[3]\u00a0ECLI:EU:C:2024:857 Hof van Justitie van 4 oktober 2024 ter beantwoording van prejudici\u00eble vragen in de zaak C\u2011621\/22, tussen Koninklijke Nederlandse Lawn Tennisbond tegen Autoriteit Persoonsgegevens<\/em><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

AI-Generated Geschreven door Tim Carapiet-Petit, Th\u00e9door Melchers en Esra Koopman Bij M&A-transacties zijn persoonsgegevens vaak een cruciaal aandachtspunt. Bij sommige bedrijven beperkt dit zich tot de gegevens van medewerkers en enkele klanten, terwijl bij andere bedrijven de klantgegevens het grootste deel van de waarde vertegenwoordigen. Persoonsgegevens worden in diverse situaties overgedragen, vaak zonder dat de […]<\/p>\n","protected":false},"author":7,"featured_media":19949,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[107,321,78],"tags":[],"class_list":["post-19052","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-corporate","category-corporate-ma-2","category-corporate-ma"],"_links":{"self":[{"href":"https:\/\/wintertaling.nl\/en\/wp-json\/wp\/v2\/posts\/19052","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/wintertaling.nl\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/wintertaling.nl\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/wintertaling.nl\/en\/wp-json\/wp\/v2\/users\/7"}],"replies":[{"embeddable":true,"href":"https:\/\/wintertaling.nl\/en\/wp-json\/wp\/v2\/comments?post=19052"}],"version-history":[{"count":47,"href":"https:\/\/wintertaling.nl\/en\/wp-json\/wp\/v2\/posts\/19052\/revisions"}],"predecessor-version":[{"id":19952,"href":"https:\/\/wintertaling.nl\/en\/wp-json\/wp\/v2\/posts\/19052\/revisions\/19952"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/wintertaling.nl\/en\/wp-json\/wp\/v2\/media\/19949"}],"wp:attachment":[{"href":"https:\/\/wintertaling.nl\/en\/wp-json\/wp\/v2\/media?parent=19052"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/wintertaling.nl\/en\/wp-json\/wp\/v2\/categories?post=19052"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/wintertaling.nl\/en\/wp-json\/wp\/v2\/tags?post=19052"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}