Bei einer insolventen Firma denkt man zunächst an Computer, Büromöbel, Markenrechte, Domains, Software und vielleicht noch offene Forderungen.
Bei OneCrowd könnte ein anderer Vermögenswert wesentlich interessanter sein:
die Kunden- und Investorendatenbank.
Auf der Plattform wird aktuell mit 101.655 registrierten Nutzern geworben.
Mehr als 100.000 Menschen also, die sich irgendwann bei OneCrowd beziehungsweise den früheren Plattformen Seedmatch, Econeers oder Mezzany registriert haben.
Menschen, die sich für Geldanlagen interessieren.
Menschen, die teilweise tatsächlich investiert haben.
Und damit aus Sicht eines potenziellen Käufers eine ausgesprochen interessante Zielgruppe darstellen könnten.
Genau hier beginnt allerdings eine datenschutzrechtlich heikle Frage:
Kann ein Insolvenzverwalter einen solchen Kundenstamm tatsächlich wie ein gewöhnliches Wirtschaftsgut verkaufen?
Die kurze Antwort lautet:
Den wirtschaftlichen Wert von Kundenbeziehungen kann man selbstverständlich verwerten.
Die persönlichen Daten von 101.655 Menschen aber nicht einfach wie 101.655 Aktenordner.
OneCrowd sucht einen Käufer
Seit Juli 2026 befinden sich drei Gesellschaften der OneCrowd-Gruppe im vorläufigen Insolvenzverfahren.
Für die OneCrowd GmbH wurde Rechtsanwalt Dr. Christian Heintze zum vorläufigen Insolvenzverwalter bestellt.
Für die OneCrowd Loans GmbH ist Rechtsanwalt Heiko Schaefer zuständig.
Bei der OneCrowd Securities GmbH wurde Rechtsanwalt Christian Graf Brockdorff bestellt.
Alle drei gehören der Kanzlei BBL Brockdorff an.
Im August wurde dann ein strukturierter Investorenprozess gestartet.
Potenzielle Erwerber können Angebote für die OneCrowd GmbH und ihre beiden Tochtergesellschaften abgeben.
Interessant ist, wie BBL die Attraktivität der Gruppe beschreibt.
Zur Ausgangsposition gehören nach Darstellung der Kanzlei unter anderem die digitale Plattform, die technologische Infrastruktur und die gewachsenen Kunden- und Investorenbeziehungen.
Welche konkrete Transaktionsstruktur am Ende gewählt wird, ist laut BBL noch offen.
Und genau diese beiden Punkte gehören zusammen.
Kundenbeziehungen haben einen wirtschaftlichen Wert.
Aber Kundendaten unterliegen der DSGVO.
101.655 Nutzer sind nicht automatisch 101.655 verkäufliche Kunden
Schon die Zahl selbst wirft Fragen auf.
Was bedeutet eigentlich „registrierter Nutzer“?
Hat jeder dieser 101.655 Menschen tatsächlich investiert?
Wie viele verfügen noch über laufende Investments?
Wie viele haben vor Jahren einmal ein Konto eröffnet und danach nie wieder etwas getan?
Wie viele haben lediglich Informationen abgerufen?
Wie viele Konten sind inaktiv?
Wie viele Personen haben noch laufende Vertragsbeziehungen mit OneCrowd Loans oder OneCrowd Securities?
Und wie viele Datensätze werden lediglich noch aufgrund gesetzlicher Aufbewahrungspflichten gespeichert?
Diese Unterschiede sind datenschutzrechtlich entscheidend.
Eine Datenbank mit 101.655 Namen ist wirtschaftlich nämlich nicht automatisch eine Datenbank mit 101.655 frei ansprechbaren potenziellen Anlegern.
Die Datenschutzbehörden ziehen klare Grenzen
Die Datenschutzkonferenz von Bund und Ländern hat 2024 ausdrücklich geregelt, was bei einem Unternehmenskauf mit Kundendaten passieren darf.
Dabei wird zunächst zwischen einem Share Deal und einem Asset Deal unterschieden.
Beim Share Deal wechseln lediglich die Gesellschaftsanteile den Eigentümer. Die Gesellschaft selbst bleibt dieselbe und damit grundsätzlich auch dieselbe datenschutzrechtlich verantwortliche Stelle. Allein der Eigentümerwechsel führt deshalb grundsätzlich nicht dazu, dass sämtliche Kundendaten an einen neuen Verantwortlichen übertragen werden.
Beim Asset Deal sieht es anders aus.
Hier können einzelne Vermögenswerte verkauft werden:
Software.
Marken.
Domains.
Verträge.
Und eben möglicherweise auch ein Kundenstamm.
Dann muss die Übertragung personenbezogener Daten eigenständig datenschutzrechtlich gerechtfertigt werden.
Für OneCrowd ist das besonders relevant, weil BBL selbst erklärt hat, dass die künftige Transaktionsstruktur noch nicht feststeht.
Ein Kaufinteressent darf nicht einfach die Anlegerdatenbank durchstöbern
Schon während der Due Diligence gibt es Grenzen.
Nach Auffassung der Datenschutzkonferenz ist die Übermittlung personenbezogener Kunden-, Lieferanten- und Beschäftigtendaten an Kaufinteressenten vor Abschluss eines Asset Deals grundsätzlich unzulässig.
Ausnahmen bestehen beispielsweise bei einer freiwilligen Einwilligung oder in bestimmten Fällen bei besonders relevanten Vertragspartnern aufgrund eines überwiegenden berechtigten Interesses.
Für OneCrowd bedeutet das:
Ein Interessent darf sicherlich erfahren, wie viele registrierte Nutzer vorhanden sind.
Auch anonymisierte Statistiken über Investmentvolumen, Aktivitätsquoten oder Kundengruppen dürften grundsätzlich etwas anderes sein als personenbezogene Datensätze.
Aber die Vorstellung, ein Interessent könne sich vor einem Kauf einfach durch Namen, E-Mail-Adressen, Investmenthistorien und Bankdaten von mehr als 100.000 Nutzern klicken, wäre mit den von der Datenschutzkonferenz beschriebenen Grundsätzen kaum vereinbar.
Ob und welche personenbezogenen Daten im aktuellen OneCrowd-Datenraum tatsächlich bereitgestellt werden, ist öffentlich nicht bekannt.
Gerade deshalb sollte dies geklärt werden.
Besonders interessant: Wer besitzt diesen „Kundenstamm“ überhaupt?
Noch komplizierter wird die Sache durch die OneCrowd-Unternehmensstruktur.
Die öffentlich abrufbare Datenschutzerklärung nennt OneCrowd Loans GmbH und OneCrowd Securities GmbH gemeinsam als Verantwortliche nach Art. 26 DSGVO für die Verarbeitung personenbezogener Daten auf den Crowdinvesting-Plattformen Seedmatch, Econeers und Mezzany.
Das wirft eine spannende insolvenzrechtliche Frage auf:
Wenn vom wirtschaftlichen Wert der „Kunden- und Investorenbeziehungen“ gesprochen wird – welcher der drei Insolvenzgesellschaften ist dieser Wert eigentlich zuzuordnen?
Der OneCrowd GmbH?
Der OneCrowd Loans GmbH?
Der OneCrowd Securities GmbH?
Oder mehreren Gesellschaften gemeinsam?
Das ist nicht nur akademisch.
Denn jede der drei Gesellschaften befindet sich in einem eigenen Insolvenzverfahren und hat einen eigenen vorläufigen Insolvenzverwalter.
Sollte mit Kundenbeziehungen tatsächlich ein wesentlicher Kaufpreis erzielt werden, könnte deren wirtschaftliche Zuordnung auch für die jeweiligen Gläubigermassen von Bedeutung sein.
Aktive Anleger sind etwas anderes als ehemalige Nutzer
Auch innerhalb der Datenbank müsste differenziert werden.
Bei noch laufenden Vertragsbeziehungen kann die Übertragung erforderlicher Daten unter bestimmten Voraussetzungen möglich sein.
Werden laufende Verträge mit der erforderlichen Zustimmung des Kunden auf einen Erwerber übertragen, darf dieser die zur Vertragserfüllung notwendigen Daten grundsätzlich auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO verarbeiten.
Bei ehemaligen Kunden sieht es deutlich anders aus.
Werden Daten nur noch gespeichert, weil beispielsweise handels- oder steuerrechtliche Aufbewahrungspflichten bestehen, dürfen sie einem Erwerber nicht ohne Weiteres zur aktiven Kundenansprache übergeben werden.
Die Datenschutzkonferenz spricht hier anschaulich von einer „Zwei-Schrank-Lösung“:
Daten, die nur noch aufbewahrt werden müssen, gehören in den einen Schrank.
Aktiv nutzbare Kundendaten in den anderen.
Die Daten aus dem Aufbewahrungsschrank dürfen grundsätzlich erst dann für eigene Zwecke des Erwerbers genutzt werden, wenn dafür eine eigene Rechtsgrundlage besteht.
Für OneCrowd könnte genau das einen erheblichen Unterschied machen.
101.655 registrierte Nutzer klingen beeindruckend.
Wenn davon aber beispielsweise ein erheblicher Teil seit Jahren keine laufende Beziehung mehr zur Plattform besitzt, wäre der wirtschaftlich aktiv nutzbare Kundenbestand möglicherweise deutlich kleiner.
Wie groß dieser Anteil tatsächlich ist, ist öffentlich nicht bekannt.
Eine E-Mail-Adresse ist nicht automatisch eine Werbeerlaubnis
Für einen potenziellen Erwerber dürfte die Nutzerbasis besonders wegen künftiger Finanzprodukte interessant sein.
Doch auch hier lauert eine Grenze.
Selbst wenn Kontaktdaten datenschutzrechtlich übertragen werden dürfen, bedeutet dies nicht automatisch, dass der Käufer anschließend 100.000 Menschen neue Investmentangebote per E-Mail schicken darf.
Die Datenschutzkonferenz weist ausdrücklich darauf hin, dass für E-Mail- und Telefonwerbung zusätzlich § 7 UWG zu beachten ist und elektronische Werbung grundsätzlich eine entsprechende Einwilligung benötigt.
OneCrowd selbst beschrieb in der Vergangenheit für seinen Newsletter ein Einwilligungsmodell.
Die interessante Frage lautet deshalb:
Für wen wurde diese Einwilligung eigentlich erteilt?
Für Seedmatch?
Für Econeers?
Für Mezzany?
Für OneCrowd?
Oder auch für einen heute noch unbekannten Käufer der Plattform?
Eine ursprüngliche Newsletter-Einwilligung ist jedenfalls nicht automatisch ein universeller Freifahrtschein für jeden künftigen Finanzvertrieb.
Noch sensibler sind Investment- und Bankdaten
Bei OneCrowd geht es nicht nur um E-Mail-Adressen.
Eine Investmentplattform verarbeitet naturgemäß wesentlich mehr Informationen.
Registrierungsdaten.
Investmentinformationen.
Vertragsdaten.
Identifizierungsinformationen.
Und teilweise Bankverbindungen.
Die öffentlich abrufbare Datenschutzerklärung beschreibt entsprechend umfangreiche Datenverarbeitungen der OneCrowd-Gesellschaften.
Bei Bankdaten zieht die Datenschutzkonferenz eine besonders klare Grenze.
IBAN-Daten können bei laufenden Vertragsverhältnissen unter bestimmten Voraussetzungen mitübertragen werden.
Besteht aber kein überzuleitender Vertrag mehr, kann ein Erwerber nicht einfach ein berechtigtes Interesse an der Bankverbindung eines ehemaligen Kunden behaupten.
Damit wird deutlich:
Ein „Kundenstamm“ einer Finanzplattform ist kein gewöhnliches Adressbuch.
Nur die Kundendatenbank verkaufen? Dann werden die Hürden noch höher
Besonders interessant ist ein weiterer Satz der Datenschutzkonferenz.
Wird eine Kundendatenbank isoliert als einziges Asset verkauft, ist eine solche Datenübermittlung regelmäßig nur mit vorheriger Einwilligung der betroffenen Kunden möglich.
Das gilt insbesondere, wenn die Daten anschließend für Geschäftstätigkeiten genutzt werden sollen, die keinen Zusammenhang mit dem ursprünglichen Unternehmen haben.
Ein Käufer könnte also nicht ohne Weiteres sagen:
„Die Plattform interessiert mich nicht. Die Software brauche ich nicht. Die alten Investments interessieren mich ebenfalls nicht. Aber die 101.655 Anlegerkontakte hätte ich gerne.“
Genau hier würde Datenschutz unmittelbar zum Faktor des Kaufpreises.
Wer ist heute eigentlich datenschutzrechtlich verantwortlich?
Auch diese Frage ist keineswegs banal.
Nach der öffentlich abrufbaren Datenschutzerklärung sind OneCrowd Loans und OneCrowd Securities gemeinsam verantwortlich.
Gleichzeitig befinden sich beide Gesellschaften im vorläufigen Insolvenzverfahren.
Daneben gibt es die OneCrowd GmbH als Muttergesellschaft.
Hinzu kommen drei vorläufige Insolvenzverwalter.
Wer entscheidet heute konkret darüber,
welche personenbezogenen Daten in einen M&A-Datenraum gelangen,
welche Daten ein potenzieller Investor sehen darf,
welche Informationen anonymisiert werden,
welche Daten später möglicherweise an einen Käufer übergehen,
und wer hierfür datenschutzrechtlich verantwortlich ist?
Auch hierzu gibt es bislang keine öffentlich erkennbare detaillierte Erläuterung.
Keine Hinweise auf einen Datenschutzverstoß
Bei aller Kritik muss eines ausdrücklich festgehalten werden:
Es gibt derzeit keinen uns bekannten Beleg dafür, dass die vorläufigen Insolvenzverwalter oder OneCrowd personenbezogene Anlegerdaten rechtswidrig an Kaufinteressenten übermittelt hätten.
Der laufende Investorenprozess allein begründet keinen solchen Verdacht.
Es geht deshalb nicht darum, einen Datenschutzverstoß zu behaupten.
Es geht darum, rechtzeitig zu fragen, wie Datenschutz und Insolvenzverwertung miteinander vereinbart werden.
Gerade weil die Kunden- und Investorenbeziehungen von BBL selbst als positiver Faktor im M&A-Prozess hervorgehoben werden, ist diese Frage legitim.
Auch die 101.655 Nutzer verdienen Transparenz
OneCrowd hatte bereits 2022 von knapp 100.000 Nutzern gesprochen, die über Seedmatch, Econeers und Mezzany investierten beziehungsweise registriert waren.
Inzwischen steht auf der Plattform die Zahl 101.655.
Damit reden wir nicht über eine kleine Kundendatei.
Wir reden über einen der größeren historischen Nutzerbestände im deutschen Crowdinvesting.
Gerade deshalb wäre Transparenz angebracht.
Nicht nur gegenüber Kaufinteressenten.
Sondern gegenüber den Menschen, deren Daten einen Teil des wirtschaftlichen Werts dieses Unternehmens ausmachen könnten.
Die entscheidenden Fragen lauten deshalb:
Wie viele der 101.655 registrierten Nutzer besitzen noch aktive Geschäftsbeziehungen?
Wie viele sind tatsächlich Investoren?
Wie viele Datensätze werden lediglich noch aus gesetzlichen Gründen gespeichert?
Welche Daten erhalten potenzielle Käufer im M&A-Prozess?
Werden ausschließlich anonymisierte Informationen bereitgestellt?
Welche Gesellschaft ist Eigentümerin beziehungsweise wirtschaftliche Trägerin der Kundenbeziehungen?
Und darf ein späterer Käufer diese Nutzer tatsächlich für neue Finanzprodukte ansprechen?
Vielleicht zeigt sich am Ende:
Der größte Wert von OneCrowd steckt nicht in Büromöbeln, Domains oder Software.
Sondern in mehr als 100.000 Menschen.
Nur gehören deren Daten eben nicht zur Insolvenzmasse wie ein Schreibtisch.
Und genau dieser Unterschied könnte beim Verkauf von OneCrowd noch ausgesprochen wichtig werden.
Kommentar hinterlassen