Was beim Kauf von Unternehmensdaten aus der Insolvenz zu beachten ist

Auf der Suche nach verwertbaren Vermögensgegenstände bemühen sich Insolvenzverwalter zunehmend darum, neben den materiellen Vermögenswerten auch die immateriellen Vermögensgegenstände wie etwa Marken, Internetdomains, Kunden-, Lieferanten- und Beschäftigtendaten insolventer Unternehmen zu verwerten. Für den Erwerber insolventer Unternehmen, der das Unternehmen fortführen möchte, sind gerade Kunden-, Lieferanten- und Beschäftigtendaten sogar von elementarem Interesse und ein zentraler Faktor für die Investitionsentscheidung. Diese Daten stellen wie auch Marken, Internetdomains einen wesentlichen Wert für den Goodwill eines insolventen Unternehmens dar und im Umkehrschluss eine Option für einen Insolvenzverwalter, über entsprechende Verkäufe Geld für die Insolvenzmasse zu erlösen.

Bislang weniger im Fokus steht das Recht von Datenbanken. Datenbanken als Sammlung von Werken, Daten und anderen unabhängigen Elementen, haben aus Anlass der EU-Datenbankrichtlinie bereits 1997 einen eigenständigen Rechtsstatus erlangt. Datenbanken sind also ähnlich wie urheberrechtliche Werke eigenständige Vermögensgegenstände, über die ein Insolvenzverwalter verfügen und die er eigenständig verwerten kann.

In Zeiten der zunehmenden Bedeutung von KI und dem möglichst realitätsnahen Training von KI-Plattformen rücken auch die Kommunikationskanäle eines insolventen Unternehmens – also etwa Teams-Chats oder interner, aber auch externer Mailverkehr in den Fokus. Dass Google im Rahmen einer Auktion von Geschäftsdaten der insolventen US-Airline Spirit Airlines, die im Mai 2026 ihren Flugbetrieb eingestellt hat, für zehn Millionen US-Dollar unter anderem 100 Millionen anonymisierte E-Mails und 500 Millionen Teams-Nachrichten für das Training von KI erworben hat, ist ein gutes Beispiel dafür. 

Rechtlich kann dies ein Beispiel für die Verfügung über eine Datenbank des insolventen Unternehmens sein. Damit ist aber noch nicht geklärt, ob und mit welchen Beschränkungen der Erwerber die Inhalte dieser Datenbank nutzen darf. Bei einer Transaktion wie der von Google bei Spirit Airlines würde hierzulande insbesondere der Datenschutz eine zentrale Rolle spielen. Denn die E-Mails haben naturgemäß einen Personenbezug zum Versender, Empfänger und aus den weiteren Inhalten der Korrespondenz können Rückschlüsse auf Personen möglich sein. 

Für den verkaufenden Insolvenzverwalter stellt die Gewährung der Einsicht in die E-Mails und die Übertragung der E-Mails eine Verarbeitung personenbezogener Daten dar. Diese ist nur mit einer Rechtfertigung nach Artikel 6 der Datenschutzgrundverordnung zulässig. Auch für den Erwerber stellt schon die Einsicht in die E-Mail-Korrespondenz und die Übernahme der Daten eine Verarbeitung personenbezogener Daten dar, auch er benötigt die Rechtfertigung hierzu nach Artikel 6 der Datenschutzgrundverordnung. 

Beim Datenschutz geht es im Zusammenhang mit personenbezogenen Daten insbesondere um die Artikel 6 und 9 der Datenschutzgrundverordnung, die festlegen, dass und unter welchen Voraussetzungen die Offenlegung und Übertragung von solchen Daten zulässig ist. Grundsätzlich gilt, dass E-Mails oder Teams-Nachrichten ein persönliches Datum darstellen. Daran ändert auch eine Anonymisierung in der Regel nichts, da die Kommunikationsverläufe – bei einer Fluglinie kann es sich etwa um den Austausch mit Fluggästen zu Rückzahlungsansprüchen wegen Verspätungen oder Flugausfällen handeln – trotz der Anonymisierung von der KI ausgewertet werden können, was wiederum Rückschlüsse auf die jeweiligen Personen und ihre Daten zulassen kann. Kurz zusammengefasst: Auch die Anonymisierung von persönlichen Daten reicht möglicherweise allein nicht aus, um die E-Mail- und Teams-Kommunikation datenschutzkonform auf einen Dritten zu übertragen.

Daneben stellt sich auch die Frage nach weiteren Rechtskonflikten – etwa des Urheberrechts, wenn die Kommunikation zum Beispiel Texte, Bilder, Grafiken oder ähnliches enthalten, die urheberrechtlich geschützt sind. Im Hinblick auf das KI-Training hat der deutsche Gesetzgeber bei solchen Fällen allerdings schon Abhilfe geschaffen und mit Paragraph 44b des Urheberrechtsgesetzes die Voraussetzungen für Text und Data Mining geschaffen. Letztlich wäre die übertragene Korrespondenz auf mögliche Nutzungsvorbehalte des Berechtigten zu prüfen, die formwirksam, nämlich in „maschinenlesbarer Form“ abgegeben wurden. 

Der Datenschutz hat bei Distressed M&A-Transaktionen – die auch die Übertragung von immateriellen Vermögenswerten beinhalten – insbesondere an Bedeutung gewonnen, nachdem die Landesdatenschutzbehörden über ihre Datenschutzkonferenz schon zwei Beschlüsse dazu gefasst haben, unter welchen Voraussetzungen sie bei einem Asset Deal die Offenlegung und die Übertragung von Daten der Kunden, Lieferanten und Beschäftigten für zulässig oder unzulässig halten. Das große Problem ist, dass die Landesdatenschutzbehörden dabei bislang die Besonderheiten des Asset Deals aus der Insolvenz und die gesetzlichen Verpflichtungen eines Insolvenzverwalters außer Acht gelassen haben. Die Beschlüsse der Datenschutzkonferenz erschweren in erheblicher Weise die Aufgabe der Insolvenzverwalter, Unternehmen mit Kunden- und Beschäftigtendaten effizient zu veräußern. Die Kundendatenbanken scheinen nach den Beschlüssen der Landesdatenschutzbehörden nahezu unveräußerlich zu sein. 

Diese Beschlüsse lassen daher erahnen, dass die Übertragung von 100 Millionen E-Mails und 500 Millionen Teams-Nachrichten zum Zwecke eines KI-Trainings von den deutschen Landesdatenschutzbehörden äußerst kritisch bewertet würde und hierfür eine nahezu perfekte Anonymisierung wohl unerlässlich ist. Ob dieser Grad der Anonymisierung aber überhaupt erreichbar ist, ist angesichts des Umfangs und des Inhalts dieser Datenbank fraglich.