In een vorige blog behandelden wij de AVG bij een bedrijfsovername. Ook in de verschillende fasen van de verkoop van een bedrijf, komt de AVG om de hoek kijken. En, we raadden aan om een inhoudelijke privacy due dilligence uit te voeren. Daarmee krijg je zicht op de kosten die na overname wellicht nog gemaakt moeten worden om het bedrijf aan de AVG te laten voldoen. Naar aanleiding van die blog kregen we van een ondernemer de vraag: gebruik klantenbestand van een overgenomen bedrijf. Mag dat zo maar?
Overgedragen klantenbestand
Het klinkt misschien een beetje vreemd: je hebt een bedrijf gekocht, geld voor op tafel gelegd en dan mag je niet zo maar het klantenbestand gebruiken?
Dat mag niet zo maar en dat heeft te maken met de definitie van verwerken. De overname van het klantenbestand wordt onder de AVG gezien als een ‘verdere verwerking van persoonsgegevens’. En wil een verwerking van persoonsgegevens rechtmatig zijn dan moet daarvoor onder andere een grondslag zijn. Jouw organisatie moet dus ene grondslag hebben voor je met het klantenbestand aan de slag kan.
In de AVG zijn verschillende gronden voor een rechtmatige verwerking van persoonsgegevens te vinden. Bij overname van ene klantenbestand komen 2 grondslagen in aanmerking: toestemming en gerechtvaardigd belang.
Toestemming
Het is mogelijk om van klanten vooraf toestemming te vragen om hun gegevens over te dragen in het geval van een overname. Al eerder schreven we geen voorstander te zijn van toestemming als grondslag voor een verwerking Toestemming vragen raden we in dit geval niet aan. Vanuit klantperspectief staat dit vreemd en er zitten strenge eisen aan vast. De toestemming moet expliciet zijn, in vrijheid worden gegeven, en in dit geval toch schriftelijk worden vastgelegd. En vergeet ook niet: stel de helft van de klanten geeft maar toestemming dan halveert de waarde van de klantenportefeuille ( er van uitgaande dat elke klant dezelfde waarde heeft). Dat risico wil je niet lopen.
Gerechtvaardigd belang
Dan blijft over: gerechtvaardigd belang. Gebruik klantenbestand van een overgenomen bedrijf. Aan gerechtvaardigd belang zitten ook een aantal voorwaarden.
Allereerst moet je als koper een duidelijk en specifiek omschreven belang hebben dat een direct doel dient. Dat belang zal per situatie verschillen. Maar in het algemeen kun je bijvoorbeeld denken aan het bedrijfsbelang: het klantenbestand, en het gebruik daarvan zal een waarde vertegenwoordigen (goodwill). Als koper heb je ook voor de database met klanten betaald. Je hebt dus een belang om deze te gebruiken en te exploiteren.
De tweede stap is aantoonbaar maken dat de verwerking van de persoonsgegevens noodzakelijk is om dat belang te behartigen. Wil je (een deel van) de betaalde goodwill terugverdienen dan zul je gebruik moeten maken van de klanten database.
De 3e stap is een belangenafweging tussen het belang van de verwerking door jouw organisatie en het belang van privacy voor de klanten. Wegen jouw belangen zwaarder dan de belangen van de klant. De factoren die bij deze afweging een rol spelen zijn:
• de aard van de belangen
• de gevolgen van de verwerking voor de betrokken klanten
• de aard van de persoonsgegevens in het klantenbestand
• de waarborgen die de verkoper heeft genomen om de privacy-impact te beperken.
De uitkomst van de belangenafweging blijft ook hier weer afhankelijk van de omstandigheden van het geval.
Tweede onderdeel van de belangenafweging is de afweging of er andere mogelijkheden zijn om de belangen te dienen zonder dat daarbij persoonsgegevens worden verwerkt, of minder persoonsgegevens worden verwerkt.
Kortom: ja het klantenbestand van een overgenomen bedrijf gebruiken mag wel maar de AVG maar het vraagt wel om een aantal maatregelen.
Hulp nodig bij een privacy due diligence of het goed onderbouwen van het gerechtvaardigd belang? Neem contact met ons op, we helpen je graag verder.
