KI-Konzerne kaufen Daten insolventer Unternehmen: Wenn E-Mails wertvoll wie Flugzeuge werden

Frankfurt. Es sind Zahlen, die eine Wertumkehr zeigen. Zehn Millionen Dollar hat der Technologiekonzern Google für interne Kommunikationsdaten der insolventen US-Fluggesellschaft Spirit geboten. Das US-Start-up Micro1 will sogar 12,5 Millionen Dollar zahlen. Spirit verkaufte kürzlich 27 ältere Airbus-Flugzeuge für 668 Millionen Dollar, pro Flugzeug sind das knapp 25 Millionen Dollar. Daten scheinen also fast so wertvoll wie ein Flugzeug zu sein.

Google und Micro1 wollen die Informationen nutzen, um ihre KI-Systeme zu schulen. Und Spirit dürfte nicht das einzige Unternehmen bleiben, dessen Daten sie oder andere Tech-Firmen kaufen. „Es ist ein neues Geschäftsmodell, im Zuge der KI-Entwicklung große Datenmengen aufzubereiten und zur Verfügung zu stellen“, sagt Nils Rauer, Experte für KI-Recht bei der Anwaltssozietät Pinsent Masons, dem Handelsblatt.

Doch diese Praxis stößt auf Widerstand. Denn frühere Geschäftspartner, Beschäftigte und Kunden der insolventen Unternehmen fürchten, dass auch ihre Daten abfließen und vertrauliche Informationen preisgegeben werden. Im Fall von Spirit ließ die deutsche Fluggesellschaft Lufthansa deshalb die Datenpakete prüfen, Anwälte von Beschäftigten und Konsumentenvertreter wollen den Verkauf gerichtlich verhindern.

Das Datenpaket von Spirit Airlines ist riesig: 97,5 Millionen Passagierdaten hat die Airline seit dem Betriebsstart im Jahr 1992 gesammelt. Geschätzt liegen 13,7 Millionen aktive Mail-Adressen in den Datenbanken des Unternehmens, dazu kommen Informationen aus dem Meilenprogramm – inklusive der Partnerunternehmen des Kundenbindungsprogramms. Informationen aus gut 175.000 Personalakten sind ebenso Teil des Verkaufs wie interne Kommunikationsdaten aus Mail-Programmen und dem Messaging-Tool Microsoft Teams, zusammen 1,5 Millionen Nachrichten.

Auch die Kommunikation mit Dienstleistern und Zulieferern der Fluggesellschaft kann in den Daten enthalten sein. Zu ihnen gehört die Wartungsfirma Lufthansa Technik. Ihre Prüfung hat jedoch ergeben, dass keine vertraulichen Geschäftsinformationen übertragen werden. „Wir haben uns rückversichert und sichergestellt, dass keinerlei Informationen verkauft oder weitergegeben werden, die einen Bezug zu Lufthansa Technik haben“, sagte ein Sprecher dem Handelsblatt.

KI-Rechtler Rauer erwartet, dass es künftig deutlich mehr solcher Fälle geben wird. In den USA vertreibt unter anderem Simple Closure Datenpakete: Die Firma unterstützt Unternehmen, die ihren Betrieb einstellen.

„Das gibt es nicht nur in den USA, sondern auch in Europa“, sagte Rauer. In Deutschland bietet etwa Laion, ein gemeinnütziger Verein mit Sitz in Hamburg, Unternehmen Zugang zu aufbereiteten Datenpaketen an. Laion zeigt allerdings auch, wie juristisch heikel dieser Handel ist. Ein Berliner Fotograf hat gegen die Firma geklagt, weil er Urheberrechte verletzt sieht. Mittlerweile liegt der Fall beim Bundesgerichtshof. Experten vermuten, dass der BGH den Fall zur grundsätzlichen Klärung dem Europäischen Gerichtshof vorlegen wird.

Voraussetzung für einen Verkauf von Daten ist laut Rauer ein Clearing möglicher Rechte. „Ein Datensatz, der verkauft wird, darf nicht mit Drittrechten belastet sein. Man muss die Daten sozusagen durch ein Sieb gießen und filtern“, beschreibt der KI-Experte das Vorgehen. Es gebe Unternehmen, die dieses Clearing sauber durchführen würden.

„Die technischen Möglichkeiten dafür sind verfügbar. Es gibt aber auch schwarze Schafe“, sagte Rauer. Es geht um Persönlichkeitsrechte, Urheberrechte, Design- und Markenrechte oder Geschäftsgeheimnisse. „Unternehmen müssen sehr genau hinschauen, ob bei einem Verkauf von Datenpaketen ihre Daten betroffen sind“, sagte Rauer.

Das ist jedoch komplizierter, als es klingt. Denn: Nicht personenbezogene Unternehmensdaten würden vom Datenschutzrecht grundsätzlich nicht erfasst, sagt Ana Hadnes Bruder, Partnerin im Bereich Datenschutz bei der Kanzlei Mayer Brown, dem Handelsblatt. Zu ihnen gehören wirtschaftliche Kennzahlen, technische Daten, Informationen über Verträge oder allgemeine Kontaktdaten. „Hier kommt es deshalb vor allem auf die vertraglichen Regelungen an.“

Anders ist die Situation in Europa bei personenbezogenen Daten etwa von Beschäftigten. Die Datenschutz-Grundverordnung, kurz DSGVO, erlaubt laut Bruder das Erheben von personenbezogenen Daten nur für einen festgelegten und legitimen Zweck: „Erlischt dieser Zweck, müssen die Daten gelöscht werden.“ Das mache es in Deutschland grundsätzlich fast unmöglich, solche Datensätze zu verkaufen.

Die DSGVO ermöglicht es allerdings, Datensets zu verkaufen, wenn diese anonymisiert sind. „Die Vorgaben der Anonymisierung sind aber sehr streng. Die einzelne Person darf hinterher auf keinen Fall mehr zu identifizieren sein“, sagt Bruder.

Ähnlich ist die Situation in den USA. Rauer von Pinsent Masons bescheinigt Europa zwar im Vergleich den höchsten Schutz von Daten, auch gebe es Unterschiede zu den Regelungen in den USA: „Aber die Grundprinzipien ähneln sich.“

Der Fall Spirit Airlines zeigt jedoch, wie schwierig eine effektive Anonymisierung ist. Zwar versprechen Google und Micro1, die Daten rigoros und von einem unabhängigen Agenten bereinigen zu lassen. Allerdings weist die US-Pilotenvertretung Air Line Pilots Association (Alpa) auf eine Vereinbarung im Verkaufsvertrag hin. Danach müsse die „referenzielle Integrität“ der Daten auch nach dem Filtern gegeben sein.

Der Grund: Nur wenn the Bezug der einzelnen Informationen untereinander erkennbar ist, können die KI-Systeme daraus lernen. Deshalb sei es nahezu sicher, dass einzelne Piloten und auch andere identifiziert werden könnten, heißt es in dem Schreiben der Alpa an das Insolvenzgericht.

Ein zweites Verfahren, Datenpakete verkaufsfähig zu machen, ist die sogenannte Pseudonymisierung. Hierbei werden etwa Namen durch Zahlen ersetzt und die Zuordnung über einen Schlüssel ermöglicht. „Aktuell unterliegen aber auch diese Daten den Vorgaben der DSGVO“, sagte Bruder.

Derzeit wird diskutiert, die DSGVO so anzupassen, dass pseudonymisierte Daten nicht mehr deren Regeln unterliegen, etwa wenn der Käufer keinen Zugriff auf den Schlüssel hat. „Die Europäische Kommission hat hier entsprechende Vorschläge gemacht, unter anderem im Rahmen des sogenannten digitalen Omnibus“, sagte Bruder: „Aber einige EU-Mitgliedsstaaten sind dagegen.“