Kann die Konkursverwaltung meine Personendaten verkaufen?

Worum geht es?

Auf meineimpfungen.ch konnten Privatpersonen ihre Impfungen eintragen lassen und online verwalten. Die Plattform meineimpfungen.ch wurde wegen schwerwiegender Sicherheitsmängel vom Netz genommen und musste im November 2021 Konkurs anmelden. Damit stellte sich die Frage, was mit den Daten auf dieser Plattform geschehen soll. Die Konkursverwaltung wollte diese Daten verkaufen, um mit dem Erlös die Forderungen der Gläubiger zu begleichen. Der eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) war mit diesem Vorgehen nicht einverstanden, zumal datenschutzrechtliche Vorgaben verletzt würden. Wie sich das Konkursrecht und datenschutzrechtliche Bestimmungen gegenüberstehen, erfährst Du in diesem Blog.

Was passiert mit Daten im Konkurs?

Tritt der Konkurs ein, fallen Daten als Teil der Konkursmasse unter die Aufsicht der Konkursverwaltung. Infolgedessen ist es ab Eintritt des Konkurses Aufgabe des Konkursamtes, die Datensicherheit sowie die datenschutzrechtlichen Vorgaben zu gewährleisten.

Sachdaten im Konkurs

Im Datenschutzrecht wird zwischen Sach- und Personendaten unterschieden. Unter die datenschutzrechtlichen Bestimmungen fallen nur Daten, welche personenbezogen sind. Sogenannte reine Sachdaten unterliegen keinen datenschutzrechtlichen Vorgaben. Sie können somit nach Massgabe des Konkursrechts analog wie Sachen herausverlangt und auch verkauft werden. Sachdaten sind beispielsweise Abrechnungs- oder Buchhaltungsdaten von Unternehmen, Softwarelizenzen oder andere maschinengenerierte Daten, welche keinen Personenbezug aufweisen.

Kannst Du Personendaten oder besonders schützenswerte Personendaten aus der Konkursmasse heraus kaufen?

Wenn eine Datenbank verkauft wird, verlieren die betroffenen Personen die Kontrolle über ihre eigenen Daten. Die betroffenen Personen können nicht mehr darüber entscheiden, mit wem sie ihre Personendaten teilen und wozu diese verwendet werden. Dies stellt eine schwere Verletzung des Datenschutzrechts dar. Demgegenüber haben die Gläubiger ein Interesse am Verkauf der Daten, damit so zumindest ein Teil ihrer offenen Forderungen beglichen werden können.

Das Konkursamt muss infolgedessen die Interessen der Gläubiger am Verkauf der Personendaten gegen die Interessen der betroffenen Personen an ihren Personendaten abwägen. Je nach dem welches Interesse überwiegt, ist der Verkauf von Personendaten möglich oder eben nicht.

Anders verhält es sich mit Gesundheitsdaten, welche besonders schützenswerte Personendaten darstellen. Auf der Plattform meineimpfungen.ch wurden solche besonders schützenswerte Personendaten bearbeitet. Der EDÖB kam im Falle der Plattform zum Schluss, dass das Interesse der betroffenen Personen, ihre Personendaten nicht zu verkaufen, das Interesse der Gläubiger auf Verwertung der Daten überwiegt. Das Konkursamt folgte dieser Empfehlung und die Personendaten wurden nicht verkauft.

Wie kommst Du an Deine Personendaten eines in Konkurs gefallenen Unternehmens?

Seit dem 1. August 2021 hast Du die Möglichkeit, Dir gehörende Daten aus der Konkursmasse heraus zu verlangen (vgl. Art. 242b SchKG). Idee des Gesetzgebers ist, dass Daten genau wie Sachen bei Vorliegen eines berechtigten Anspruchs aus der Konkursmasse herausverlangt werden können. Einen berechtigten Anspruch hast Du, wenn die Daten, die Du herausverlangen willst, Dir gehören, respektive wenn es sich bei den herausverlangten Daten um Angaben über Deine Person handelt (sog. Personendaten).

Weigert sich die Konkursverwaltung, die Daten herauszugeben, kannst Du Deinen Anspruch auf Zugang der Daten oder Herausgabe gerichtlich durchsetzen. Die Kosten für den Datenzugang oder die Herausgabe hast Du dabei selbst zu tragen (Art. 242b Abs. 2 und 3 SchKG).

Wie geht es im Konkursfall der Plattform meineimpfungen.ch weiter?

Nach wie vor wird versucht, die Impfdaten von rund 300'000 Personen auf meineimpfungen.ch in datenschutzkonformer Weise zu retten. Das BAG und das Gesundheitsamt des Kantons Aargau arbeiten gemeinsam an Lösungsmöglichkeiten für die sichere Rückgabe der Daten. Das Ergebnis wird als Entscheidungsgrundlage dafür dienen, ob und wie die Daten in Zukunft zurückgegeben werden können (nähere Informationen zu diesem Projekt findest Du hier).

Fazit

Im Konkursfall wird das ganze Vermögen des in Konkurs gefallenen Unternehmens durch das Konkursamt verwertet, also verkauft. Weisen Daten einen objektiven Vermögenswert auf, so müssten auch diese im Interesse der Gläubigergesamtheit verkauft werden.

Aus datenschutzrechtlicher Sicht dürfen Sachdaten verkauft werden. Bei «gewöhnlichen» Personendaten muss eine Interessensabwägung erfolgen. Der Verkauf von besonders schützenswerten Personendaten wie bspw. Gesundheitsdaten ist jedoch datenschutzrechtlich nicht zulässig. Das Grundrecht auf informationelle Selbstbestimmung ist höher zu werten als das wirtschaftliche Interesse der Gläubiger an einer Verwertung der Datenbank, weshalb diese Daten im Rahmen des Konkurses nicht verkauft werden dürfen. Ob und wie Personendaten geschützt werden können, ohne dass sie definitiv vernichtet werden müssen, muss von den zuständigen Behörden erst noch geklärt werden.

Auf unserer Webseite datenschutz.law halten wir Dich über die neusten Entwicklungen im Bereich des Datenschutzrechts auf dem Laufenden.