Kan kjøper av bedriften overta kundelisten med personopplysninger?
«Kundeliste salg av bedrift» ble søkefrasen Tone endte opp med å skrive inn en sen kveld, fordi en kundeliste ikke følger automatisk med bare fordi kjøper har betalt for varelager og innredning. Tone, som selger klesbutikken hun har drevet i ni år, fikk et konkret krav fra kjøperen om at hele kundelisten, med navn, e-post og kjøpshistorikk, skulle inngå i handelen. Hvorvidt det faktisk er lovlig å overføre listen slik, avhenger av hvordan salget er strukturert, hvilket rettslig grunnlag de opprinnelige opplysningene ble samlet inn med, og om kundene i det hele tatt informeres om at butikken de handlet hos, nå har fått en ny eier med et annet ansvar for dataene deres.
Aksjesalg og innmatssalg gir kjøperen ulik tilgang til kundedataene
Selges aksjene i selskapet, altså et aksjesalg regulert i en aksjekjøpekontrakt, er det fortsatt samme juridiske person som eier dataene før og etter overdragelsen, bare med ny eier på toppen. Da skjer det strengt tatt ingen overføring av personopplysninger til en ny behandlingsansvarlig, selv om eierskiftet i praksis kan oppleves som stort for kundene. Selges derimot bare eiendelene, altså et innmatssalg der varelager, innredning og kundelisten overdras som separate poster i en overdragelsesavtale, blir situasjonen en annen. Da er kundelisten en eiendel som flyttes til en ny juridisk person, som blir ny behandlingsansvarlig for de samme opplysningene, og det er dette som utløser de fleste av spørsmålene Tone måtte ta stilling til før hun signerte noe som helst.
Tone hadde i utgangspunktet tenkt seg et rent innmatssalg, siden kjøperen bare ville ha butikklokalet, varelageret og navnet videre, ikke selskapet med den historikken det bar med seg. Da kjøperen spurte spesifikt om kundelisten, ble hun nødt til å sette seg inn i et spørsmål hun aldri hadde tenkt på: om ni års kjøpshistorikk fra flere tusen kunder egentlig kunne selges som en vare på lik linje med hyllene og kassaapparatet. Svaret hun landet på sammen med sin egen rådgiver, var ja, med forbehold, og forbeholdene handlet i all hovedsak om hva kjøperen faktisk fikk lov til å gjøre med listen etter at pengene var overført.
Behandlingsgrunnlaget følger ikke automatisk med i handelen
At Tone opprinnelig samlet inn kundenes navn og e-post for å levere varer og administrere kundeforholdet, gir henne et grunnlag for den bruken, ikke automatisk et grunnlag for å gi listen videre til en helt annen virksomhet. Selve overføringen i forbindelse med en virksomhetsoverdragelse kan som regel forankres i en berettiget interesse, siden det er en naturlig og forventet del av å selge en butikk med gående drift. Kjøperens videre bruk av dataene, for eksempel til å sende ny markedsføring under et annet navn, trenger derimot sitt eget grunnlag, og det er her de fleste selgere og kjøpere glemmer å tenke seg om før avtalen signeres.
Informasjonsplikten: kundene skal vite at de har fått ny behandlingsansvarlig
Kundene har krav på å få vite at behandlingsansvaret for opplysningene deres er overført til en annen virksomhet, og hva det eventuelt betyr for dem. I praksis løses dette ofte enkelt, med en kort informasjon i den første e-posten eller kvitteringen etter overtakelsen, der det står hvem den nye eieren er og hvordan kunden kan reservere seg mot videre bruk. For Tone og kjøperen ble løsningen en felles tekst sendt ut samme uke som overtakelsen, der det tydelig sto at personvernerklæringen samtidig ble oppdatert med ny behandlingsansvarlig, slik at ingen kunder ble stående med utdatert informasjon om hvem som faktisk satt med dataene deres.
Markedsføringssamtykker blir igjen hos Tone, ikke hos kjøperen
Et samtykke til å motta nyhetsbrev er gitt til en bestemt avsender for et bestemt formål, og det følger ikke automatisk med når virksomheten den ble gitt til, endrer eier eller navn. Kjøperen av Tones butikk kan derfor ikke uten videre fortsette å sende markedsføring til den samme listen under et nytt firmanavn, med mindre kundene får tydelig informasjon om endringen og en reell mulighet til å si nei uten at det koster dem noe. Dette skiller seg fra en kjøpt e-postliste fra en tredjepart, men problemet ligner: samtykke kan ikke overføres som en vare, det må enten fornyes eller erstattes av et grunnlag som faktisk dekker den nye avsenderen.
Slik landet Tone og kjøperen den endelige løsningen
Kjøperen ønsket i utgangspunktet å ta over hele kundelisten og starte nyhetsbrevutsendelser umiddelbart under det nye navnet. Tone og kjøperen ble til slutt enige om en mellomløsning: kundelisten fulgte med som en eiendel i overdragelsesavtalen, men kjøperen forpliktet seg til å sende ut én informasjonsepost der det tydelig sto at butikken hadde fått ny eier, og at kunden kunne melde seg av uten videre begrunnelse. Først etter at denne e-posten var sendt og en rimelig frist var gått, kunne kjøperen begynne å bruke listen til ordinær markedsføring under sitt eget navn. Løsningen kostet noen dager med utsettelse for kjøperen, men ga begge parter trygghet for at overtakelsen ikke hvilte på et grunnlag som kunne falle bort ved første klage fra en kunde som følte seg overrumplet.
Kort oppsummert
- Ved aksjesalg følger kundelisten med som en del av samme juridiske person, mens et innmatssalg overfører kundelisten som egen eiendel til en ny behandlingsansvarlig.
- Behandlingsgrunnlaget for den opprinnelige innsamlingen dekker ikke automatisk kjøperens videre bruk av kundeliste salg av bedrift som eiendel.
- Kundene skal informeres om at behandlingsansvaret er overført, og hvem den nye eieren er.
- Markedsføringssamtykker er personlige til den opprinnelige avsenderen og følger ikke automatisk med til en ny eier.
- Avtal alltid skriftlig hvem som har ansvaret for å informere kundene, og innen hvilken frist etter overtakelsen.