AVG en bedrijfsoverdracht: hoe de overdracht van gebruikersgegevens te beheren

De AVG (EU-verordening 2016/679) regelt gegevensoverdrachten bij M&A streng. Fouten kunnen een deal blokkeren in de due diligence, de koper blootstellen aan sancties (CNIL Frankrijk, DSB Oostenrijk, FDPIC Zwitserland) of collectieve gebruikersprocedures in gang zetten.

Share deal vs asset deal: AVG-impact

Bij een share deal blijft de vennootschap dezelfde, er is technisch gezien geen "nieuwe verwerkingsverantwoordelijke". Eenvoudigste AVG-scenario. Bij een asset deal is er een verandering van verwerkingsverantwoordelijke, wat voorafgaande kennisgeving aan gebruikers kan vereisen (Artikel 14 AVG). De meest ingeroepen rechtsgrondslag is het gerechtvaardigd belang (Art. 6.1.f), gedocumenteerd via een Legitimate Interest Assessment (LIA).

AVG due diligence: koperschecklist

• Verwerkingsregister (Art. 30): lijst van verwerkingen, rechtsgrondslagen, bewaartermijnen, subverwerkers. Zijn afwezigheid = grote rode vlag.
• DPA met alle subverwerkers (AWS, Stripe, Intercom, Mixpanel…): actueel en conform post-Schrems II (overdrachten buiten de EU).
• AVG-conform privacybeleid (recht op verwijdering, portabiliteit, bezwaar): een niet-bijgewerkt beleid van 2018 haalt de due diligence van 2026 niet meer.
• Beveiligingsincidenten afgelopen 36 maanden (Art. 33): een incident dat niet binnen 72 uur aan de autoriteit is gemeld vertegenwoordigt een residueel juridisch risico dat in escrow moet worden geplaatst.