Die Auktion

Spirit Airlines stellte im Mai 2026 den Flugbetrieb ein, zermürbt von Treibstoffkosten und dem Handelsschock des Iran-Konflikts. Was die Abwicklung überdauerte, war keine Flotte und kein Streckennetz - es war eine Datenbank. Am 17. August endete eine Auktion vor einem US-Insolvenzgericht im Südbezirk von New York mit Google als Höchstbietendem: 10 Millionen Dollar für einen Teil der internen Unternehmensdaten der Fluggesellschaft. Ein Unternehmen für KI-Trainingsdaten, Mercor, hatte für dasselbe Paket 7,5 Millionen Dollar geboten und verloren.

Was Google tatsächlich kaufte, ist keine Kundenliste. Es ist das Innenleben eines Unternehmens: mehr als 100 Millionen Unternehmens-E-Mails, hunderte Millionen Microsoft-Teams-Chats, über 30 Millionen Codezeilen, Personal- und Mitarbeiterleistungsdaten, interne Audits, Marketing- und Strategiedateien sowie Preisinformationen aus der Beobachtung von rund 7 Milliarden Konkurrenzflügen. Googles eigene Erklärung nennt es 'einen Teil eines Unternehmensdatensatzes', der 'unsere Produkte und KI-Modelle verbessern helfen' soll.

Was Geschützt War, Und Was Nicht

Ein Datensatz wurde ausdrücklich aus dem Verkauf herausgenommen: die 97,5 Millionen Passagierprofile von Spirit und mehr als 50 Millionen Treueprogramm-Datensätze. Das war kein Entgegenkommen Googles. Das US-Insolvenzverfahren sieht vor, dass ein Verbraucherdatenschutz-Ombudsmann bestellt wird, sobald eine insolvente Masse Daten verkaufen will, die von der eigenen Datenschutzerklärung des Unternehmens gegenüber seinen Kunden erfasst waren - das Gericht muss diese spezielle Kategorie faktisch absegnen.

Für die eigene Belegschaft der Fluggesellschaft existiert kein vergleichbarer Mechanismus. Die 100 Millionen E-Mails, die Teams-Chats, die Personal- und Leistungsdateien - all das durchlief denselben allgemeinen Vermögensverkaufsprozess wie der Code und die Preismodelle, denn in einer Chapter-11-Liquidation sind Daten, die ein Unternehmen über seine eigenen Mitarbeiter besitzt, standardmäßig einfach Massevermögen. Googles genannter Schutz besteht darin, dass ein Dritter personenbezogene Daten vor der Übergabe bereinigt. Das ist ein Anbieterversprechen nach Abschluss des Verkaufs, keine Bedingung, die das Gericht vor der Genehmigung gestellt hat.

Die Lücke, Die Niemand Einpreiste

Jede bisherige Einordnung dieses Deals misst ihn am Verbraucherschutz - sind die Passagierdaten durchgesickert, ja oder nein. Das verfehlt, wo die eigentliche Gefährdung liegt. Das Postfach eines Mitarbeiters, seine Leistungsbeurteilungen und Produktivitätskennzahlen sind genauso personenbezogene Daten einer identifizierbaren Person wie der Buchungsdatensatz eines Passagiers; nur weil das US-Insolvenzrecht zufällig eine Kategorie für die besondere Prüfung benennt und die andere der allgemeinen Masse überlässt, wurden sie hier unterschiedlich behandelt.

Läuft dieselbe Transaktion unter der DSGVO ab, ändert sich die Rechnung. Ein Insolvenzverwalter erbt keinen Blankoscheck zur Verwertung personenbezogener Daten, nur weil das Unternehmen, das sie erhoben hat, gescheitert ist - die ursprüngliche Rechtsgrundlage und Zweckbindung, auf die sich das Unternehmen für die Speicherung stützte, überdauern die Insolvenz, und das nachträgliche Versprechen eines Käufers, Identifikatoren zu bereinigen, erfüllt für sich genommen nicht den Anonymisierungsstandard der EU, den mehrere Datenschutzbehörden dahingehend ausgelegt haben, dass Daten unumkehrbar nicht identifizierbar werden müssen, nicht bloß umetikettiert. Eine Bereinigung durch einen vom Verkäufer gewählten Dienstleister, ohne unabhängige Überprüfung, ist genau die Art von Vereinbarung, gegen die EU-Regulierungsbehörden bei vergleichbaren Datenübertragungen im Insolvenzfall bereits vorgegangen sind.

Was Das Für Ihr Unternehmen Bedeutet

Die wenigsten Inhaber haben je gefragt, wozu ihr E-Mail-Anbieter, ihre Personalsoftware oder ihr Chat-Dienstleister vertraglich verpflichtet ist, sollte das Unternehmen scheitern. Die Standardantwort ohne eine spezifische Klausel lautet: das, was das Insolvenzrecht der jeweiligen Rechtsordnung erlaubt - und das kann, wie Spirit Airlines gerade gezeigt hat, deutlich weniger schützend sein, als Inhaber annehmen.

Zwei Prüfungen lohnen sich diese Woche, nicht erst in der Krise. Erstens: Lesen Sie die Datenverarbeitungsbedingungen Ihrer E-Mail-, Personal- und Kollaborationsverträge auf eine Klausel zur Löschung oder Rückgabe von Daten bei Insolvenz oder Vertragsende - die meisten Standard-SaaS-Verträge enthalten eine solche nicht, wenn sie nicht eigens verhandelt wurde. Zweitens: Falls Ihr Unternehmen einen Abwicklungs- oder Notfallplan hat, stellen Sie sicher, dass darin festgelegt ist, wer für den Umgang mit Mitarbeiterdaten verantwortlich ist - denn im echten Ernstfall fällt diese Entscheidung standardmäßig an einen Insolvenzverwalter, dessen Aufgabe die Maximierung des Massewerts ist, nicht der Schutz der Menschen, die dort einmal gearbeitet haben.

Weiterlesen: Google öffnet dein Konto mit einem Gesichtsvideo  |  Das Bußgeld auf dem Papier ist nicht endgültig