Bei der Energiekonzepte Deutschland GmbH herrscht nach dem Insolvenzantrag weiterhin große Unruhe. Kunden warten auf Antworten. Handelsvertreter warten auf Klarheit. Beschäftigte warten auf die nächsten Schritte. Und über allem steht die Frage, wer das Verfahren künftig steuert und wie es mit dem Unternehmen weitergeht.
Nun kommt möglicherweise ein weiterer sensibler Punkt hinzu:
Was passiert eigentlich mit den umfangreichen Kunden- und Vermittlerdaten von EKD?
Nach Informationen, die unserer Redaktion zugetragen wurden, soll es im Hintergrund Interesse anderer Unternehmen der Solarbranche an solchen Datenbeständen geben.
Sollten diese Informationen zutreffen, wäre das ein Vorgang, der sehr genau geprüft werden müsste.
Denn eine Insolvenz macht Kundendaten nicht plötzlich zum frei verfügbaren Rohstoff.
Mehr als 45.000 installierte Anlagen – entsprechend wertvoll dürfte der Datenbestand sein
EKD selbst wirbt damit, seit der Gründung mehr als 45.000 Solaranlagen beziehungsweise Projekte realisiert zu haben. Außerdem arbeitete das Unternehmen nach eigener Darstellung zeitweise mit sehr großen Handelsvertreternetzen: 2021 sollen rund 1.000, 2022 rund 2.000 freie Handelsvertreter tätig gewesen sein; zuletzt sprach EKD weiterhin von mehreren hundert Beratern.
Damit dürfte EKD über einen erheblichen Datenbestand verfügen.
Denkbar sind unter anderem:
Namen und Anschriften von Kunden,
Telefonnummern und E-Mail-Adressen,
Vertragsinformationen,
Angebotsdaten,
technische Daten zu Photovoltaikanlagen,
Informationen über Speicher, Wechselrichter und Wallboxen,
Montage- und Servicedokumentation,
Finanzierungs- oder Zahlungsinformationen,
Beschwerde- und Gewährleistungsvorgänge,
sowie personenbezogene Daten von Vermittlern und Vertriebspartnern.
Wie groß dieser Datenbestand tatsächlich ist und welche Datensätze noch aktiv verarbeitet werden, ist derzeit öffentlich nicht bekannt.
Auch sollte man sauber unterscheiden:
45.000 installierte Anlagen bedeuten nicht automatisch 45.000 aktuell aktive Kundendatensätze.
Aber die Größenordnung zeigt, warum das Thema wirtschaftlich interessant sein könnte.
Unsere Frage lautet deshalb: Wer versucht derzeit, an diese Daten zu gelangen?
Nach Hinweisen aus dem Markt soll es Unternehmen geben, die sich für Daten von Kunden und Vermittlern interessieren könnten.
Wir können derzeit nicht unabhängig bestätigen, dass Daten tatsächlich bereits herausgegeben, verkauft oder unzulässig genutzt wurden.
Ebenso liegt uns derzeit kein belastbarer Nachweis vor, dass ein bestimmtes Solarunternehmen widerrechtlich auf EKD-Daten zugegriffen hat.
Deshalb nennen wir an dieser Stelle bewusst keine Unternehmensnamen.
Aber die Hinweise sind aus unserer Sicht konkret genug, um die Frage öffentlich zu stellen:
Gibt es derzeit Versuche, über Vermittler, ehemalige Mitarbeiter, Dienstleister oder sonstige Kontakte Kundendaten aus dem EKD-Umfeld zu erhalten?
Und wenn ja:
Wer gibt diese Daten weiter?
Auf welcher Rechtsgrundlage?
Für welchen Zweck?
Und wissen die betroffenen Kunden davon?
Insolvenz bedeutet nicht: Datenschutz aufgehoben
Gerade in einer Insolvenzsituation entsteht schnell der Eindruck, Daten seien einfach Teil der verwertbaren Unternehmensmasse.
So einfach ist es nicht.
Die Datenschutzkonferenz der deutschen Datenschutzaufsichtsbehörden hat für Unternehmensverkäufe sehr deutlich beschrieben, dass personenbezogene Daten bei einem sogenannten Asset Deal nicht beliebig auf einen Erwerber übertragen werden dürfen.
Schon während bloßer Übernahmeverhandlungen ist die Weitergabe personenbezogener Kunden-, Lieferanten- oder Beschäftigtendaten grundsätzlich nur in engen Grenzen zulässig.
Entscheidend ist immer:
Wozu werden die Daten benötigt?
Laufende Verträge sind etwas anderes als eine Adressdatenbank für Werbung
Das ist für den EKD-Fall besonders wichtig.
Wenn ein anderer Solaranbieter tatsächlich einen Unternehmensteil übernimmt und beispielsweise laufende Kundenverträge fortführt, kann eine Übermittlung bestimmter personenbezogener Daten rechtlich möglich sein.
Die Datenschutzkonferenz unterscheidet ausdrücklich zwischen laufenden Vertragsbeziehungen und bereits vollständig beendeten Kundenverhältnissen.
Bei laufenden Verträgen kann die Datenverarbeitung unter bestimmten Voraussetzungen erforderlich sein, damit der neue Vertragspartner überhaupt Leistungen erfüllen kann.
Ein Beispiel:
Ein Kunde hat eine teilweise montierte Photovoltaikanlage.
Ein Erwerber übernimmt den entsprechenden Geschäftsbereich und führt den Vertrag mit Zustimmung des Kunden fort.
Dann ist es nachvollziehbar, dass dieser Erwerber beispielsweise Name, Adresse, Vertragsnummer und technische Projektdaten benötigt.
Etwas vollkommen anderes wäre dagegen:
„Wir haben hier zehntausende Datensätze ehemaliger EKD-Kunden – wer möchte daraus neue Solarkunden machen?“
Das wäre datenschutzrechtlich eine ganz andere Situation.
Der reine Verkauf einer Kundendatenbank ist besonders kritisch
Die Datenschutzkonferenz ist bei diesem Punkt ausgesprochen deutlich.
Wenn Kundendaten als losgelöstes Wirtschaftsgut verkauft werden sollen, ist eine Übermittlung regelmäßig nur mit vorheriger Einwilligung der betroffenen Kunden möglich.
Das gilt insbesondere, wenn die Daten später für Werbung oder für Geschäftstätigkeiten genutzt werden sollen, die nicht unmittelbar mit der bisherigen Vertragsbeziehung zusammenhängen.
Genau hier dürfte die entscheidende Trennlinie verlaufen.
Ein Unternehmensteil kann verkauft werden.
Maschinen können verkauft werden.
Markenrechte können verkauft werden.
Verträge können unter bestimmten Voraussetzungen übernommen werden.
Aber personenbezogene Daten sind eben keine Kiste Wechselrichter, die man einfach auf einen anderen Lastwagen lädt.
Noch problematischer wäre ein Zugriff „durch die Hintertür“
Ein noch gravierenderer Fall wäre denkbar, wenn Daten nicht über einen offiziellen Unternehmensverkauf oder den späteren Insolvenzverwalter übertragen würden, sondern beispielsweise über einzelne ehemalige Mitarbeiter oder Vermittler.
Auch hierzu gibt es bereits klare Aussagen der sächsischen Datenschutzaufsicht.
Die Behörde hat in einem früheren Fall ausdrücklich darauf hingewiesen, dass Kundendaten eines früheren Arbeitgebers nicht einfach mitgenommen und vom neuen Arbeitgeber zur Ansprache dieser Kunden eingesetzt werden dürfen.
In einem solchen Fall verlangte die Behörde sogar die Löschung der übernommenen Kundendaten, soweit keine rechtliche Grundlage für die Nutzung bestand.
Das ist für die aktuelle Situation rund um EKD besonders relevant.
Sollten ehemalige Mitarbeiter oder Vermittler personenbezogene Daten aus CRM-Systemen, Excel-Dateien, E-Mail-Postfächern oder sonstigen Unternehmenssystemen herauskopiert haben und anderen Solarunternehmen anbieten, wäre das ein völlig anderer Vorgang als eine rechtlich strukturierte Unternehmensübernahme.
Dann müsste geprüft werden:
Wer hatte Zugriff?
Welche Daten wurden kopiert?
Wann geschah dies?
Wer hat die Daten erhalten?
Wurden sie bereits für Telefonate oder E-Mails verwendet?
Und auf welcher Rechtsgrundlage?
Auch Werbung unterliegt zusätzlichen Regeln
Selbst wenn ein Unternehmen bestimmte Kundendaten rechtmäßig erhalten hat, bedeutet das nicht automatisch, dass es diese für aggressive Neukundenwerbung verwenden darf.
Die Datenschutzkonferenz weist ausdrücklich darauf hin, dass bei Telefon- und E-Mail-Werbung zusätzlich das Gesetz gegen den unlauteren Wettbewerb zu beachten ist.
Insbesondere Verbraucherwerbung per Telefon oder E-Mail benötigt grundsätzlich eine entsprechende Einwilligung, sofern keine eng begrenzte gesetzliche Ausnahme greift.
Das ist ein wichtiger Punkt.
Denn aus
„Wir dürfen diese Daten zur Vertragsabwicklung haben“
wird nicht automatisch
„Wir dürfen diesen Kunden jetzt eine neue Solaranlage verkaufen.“
Was passiert mit den Daten der Vermittler?
Auch hier muss differenziert werden.
Geschäftliche Kontaktdaten von Vertriebspartnern können im Rahmen eines echten Unternehmensübergangs unter bestimmten Voraussetzungen übertragen werden.
Etwas anderes gilt jedoch, wenn detaillierte personenbezogene Profile, Provisionsdaten, Leistungskennzahlen oder sonstige persönliche Informationen betroffen sind.
Die Datenschutzkonferenz verlangt auch bei Beschäftigten und vergleichbaren personenbezogenen Daten eine klare Rechtsgrundlage und differenziert insbesondere danach, ob tatsächlich ein Betriebsübergang stattfindet oder lediglich Daten im Vorfeld einer möglichen Transaktion weitergegeben werden.
Auch hier gilt deshalb:
Nicht alles, was technisch verfügbar ist, darf rechtlich weitergegeben werden.
Der Insolvenzverwalter wird eine zentrale Rolle bekommen
EKD hat am 2. Oktober 2026 beim Amtsgericht Leipzig den Antrag auf Eröffnung eines Insolvenzverfahrens gestellt. Das Unternehmen erklärte zugleich, der Geschäftsbetrieb solle zunächst weiterlaufen.
Damit befindet sich das Verfahren noch in einer frühen Phase.
Entscheidend wird sein, welche Maßnahmen das Insolvenzgericht anordnet und welche Befugnisse die vorläufige Insolvenzverwaltung erhält.
Gerade wenn Unternehmensteile verkauft oder Investoren gesucht werden, muss auch der Umgang mit Kundendaten Teil einer strukturierten Prüfung sein.
Ein möglicher Erwerber darf nicht einfach vollständige Kundendatenbanken erhalten, nur um einmal zu sehen, ob sich ein Kauf lohnt.
Die Datenschutzkonferenz stellt ausdrücklich klar, dass personenbezogene Daten bereits während der Due-Diligence-Phase grundsätzlich nicht einfach an potentielle Erwerber weitergegeben werden dürfen.
Eine Insolvenz erhöht sogar den Schutzbedarf
Chaos ist datenschutzrechtlich gefährlich.
Wenn Mitarbeiter das Unternehmen verlassen.
Wenn Zugriffsrechte nicht schnell genug deaktiviert werden.
Wenn externe Dienstleister weiterhin Zugriff auf Systeme haben.
Wenn CRM-Daten exportiert werden.
Wenn USB-Sticks, Cloudspeicher oder private E-Mail-Konten verwendet werden.
Dann steigt das Risiko.
Die sächsische Datenschutzaufsicht empfiehlt Unternehmen ausdrücklich, Zugangsrechte ausgeschiedener Mitarbeiter zu deaktivieren, ungewöhnliche Datenflüsse zu kontrollieren und Zugriffe auf sensible personenbezogene Daten nachvollziehbar zu protokollieren.
Genau solche Maßnahmen dürften jetzt bei EKD von besonderer Bedeutung sein.
Wir werden die sächsische Datenschutzbeauftragte informieren
Die Redaktion von diebewertung.de wird die Sächsische Datenschutz- und Transparenzbeauftragte auf die uns vorliegenden Hinweise aufmerksam machen und um Prüfung beziehungsweise Einordnung bitten.
Die Behörde ist für Datenschutzfragen bei in Sachsen ansässigen Unternehmen grundsätzlich zuständig und nimmt auch sogenannte Kontrollanregungen zu möglichen Datenschutzverstößen entgegen.
Wir werden dabei insbesondere folgende Fragen stellen:
Welche datenschutzrechtlichen Anforderungen gelten aktuell bei einer möglichen Übertragung von EKD-Kundendaten?
Dürfen potentielle Käufer bereits vor einem Unternehmenskauf Zugang zu personenbezogenen Projektdaten erhalten?
Wie müssen Daten ehemaliger und laufender Kunden voneinander getrennt werden?
Welche Pflichten bestehen, wenn ehemalige Mitarbeiter oder Vermittler Kundendaten kopiert haben sollten?
Und besteht aus Sicht der Behörde Anlass, Zugriffs- und Exportvorgänge aus den vergangenen Wochen besonders zu überprüfen?
Noch ist es kein „Datenskandal“
Das muss ausdrücklich gesagt werden.
Uns liegt derzeit kein Nachweis vor, dass EKD Kundendaten unzulässig verkauft hat.
Uns liegt ebenfalls kein Nachweis vor, dass ein bestimmtes konkurrierendes Solarunternehmen rechtswidrig Kundendaten übernommen oder eingesetzt hat.
Und uns liegt keine behördliche Feststellung eines Datenschutzverstoßes im Zusammenhang mit der aktuellen Insolvenz vor.
Deshalb wäre es derzeit falsch, bereits von einem feststehenden Datenskandal zu sprechen.
Aber:
Es gibt genügend offene Fragen, um genau hinzusehen.
Besonders sensible Situation für unfertige Kundenprojekte
Viele EKD-Kunden dürften derzeit vor allem eine Frage haben:
Wer macht meine Anlage fertig?
Gerade solche Kunden könnten für andere Solarunternehmen wirtschaftlich interessant sein.
Daran ist zunächst nichts Verwerfliches.
Wenn ein Kunde selbst zu einem anderen Unternehmen geht und seine Daten übermittelt, ist das selbstverständlich möglich.
Wenn ein neuer Anbieter einen Betriebsteil übernimmt und mit Zustimmung des Kunden einen laufenden Vertrag übernimmt, kann ebenfalls eine rechtmäßige Datenverarbeitung möglich sein.
Problematisch würde es dort, wo ein Verbraucher plötzlich von einem Unternehmen angerufen wird, dem er seine Kontaktdaten niemals gegeben hat.
Dann darf die Frage gestellt werden:
Woher haben Sie eigentlich meine Daten?
Kunden sollten sich unbekannte Kontaktaufnahmen genau ansehen
Sollten EKD-Kunden in den kommenden Tagen oder Wochen von ihnen bislang unbekannten Solarunternehmen kontaktiert werden, sollten sie dokumentieren:
Name des Unternehmens,
Datum und Uhrzeit,
Telefonnummer,
Name des Anrufers,
was genau angeboten wurde
und insbesondere, welche Informationen das Unternehmen bereits über den bestehenden EKD-Vertrag wusste.
Der entscheidende Satz lautet dann:
„Woher haben Sie meine personenbezogenen Daten?“
Betroffene haben nach der DSGVO grundsätzlich Auskunftsrechte darüber, welche personenbezogenen Daten verarbeitet werden und woher sie stammen.
Der Grundsatz der Transparenz verlangt, dass Betroffene wissen können, wer welche Daten zu welchem Zweck verarbeitet. Darauf weist auch die sächsische Datenschutzaufsicht ausdrücklich hin.
Es geht um viel mehr als Namen und Telefonnummern
Eine Solaranlage ist kein gewöhnlicher Onlinekauf.
In Projektakten können zahlreiche Informationen stecken.
Adresse des Eigenheims.
Fotos des Gebäudes.
Dachflächen.
Stromverbrauch.
Zählernummern.
Finanzierungsdaten.
Bankverbindungen.
Telefonnummern.
E-Mail-Adressen.
Vertragswerte.
Technische Dokumentationen.
Reklamationen.
Montagetermine.
In einzelnen Fällen möglicherweise sogar Informationen darüber, wann Bewohner zu Hause sind.
Das macht solche Datenbestände besonders sensibel.
Der Wert einer Solarfirma steckt heute auch in ihren Daten
Bei einer Insolvenz denkt man zunächst an:
Fahrzeuge.
Lagerbestände.
Markenrechte.
Forderungen.
Software.
Kundenverträge.
Doch bei einem Unternehmen wie EKD gibt es noch einen weiteren Vermögenswert:
das Wissen über zehntausende Projekte und Kundenbeziehungen.
Wirtschaftlich kann dieses Wissen wertvoll sein.
Datenschutzrechtlich gehört es aber nicht einfach demjenigen, der am meisten dafür bezahlt.
Genau deshalb muss jetzt darauf geachtet werden, dass der wirtschaftliche Druck einer Insolvenz nicht dazu führt, dass Datenschutzregeln plötzlich nur noch als lästige Formalität behandelt werden.
Unser Fazit
Die Insolvenz der Energiekonzepte Deutschland GmbH entwickelt sich ohnehin zu einem komplexen Verfahren.
Kunden warten auf ihre Anlagen.
Mitarbeiter auf Klarheit.
Handelsvertreter auf Antworten.
Gläubiger auf den weiteren Ablauf.
Und potentielle Käufer möglicherweise auf attraktive Unternehmensteile.
Jetzt kommt eine weitere Frage hinzu:
Wer schützt in diesem Durcheinander eigentlich die Daten?
Noch gibt es keinen nachgewiesenen EKD-Datenskandal.
Aber wenn tatsächlich Unternehmen versuchen sollten, sich außerhalb eines rechtskonformen Übernahmeverfahrens Zugang zu Kunden- oder Vermittlerdaten zu verschaffen, wäre das ein Vorgang von erheblicher Tragweite.
Deshalb werden wir dieses Thema weiter verfolgen.
Wir werden die sächsische Datenschutzaufsicht auf die Hinweise aufmerksam machen.
Und wir werden Unternehmen, zu denen uns konkrete und belastbare Informationen vorliegen, mit den Vorwürfen konfrontieren und ihnen Gelegenheit zur Stellungnahme geben.
Denn gerade in einer Insolvenz gilt:
Ein Kundenvertrag kann enden. Eine Firma kann verkauft werden. Ein Unternehmen kann verschwinden.
Die Rechte der Menschen an ihren personenbezogenen Daten verschwinden deshalb noch lange nicht.
Kommentar hinterlassen