Google ersteigert Unternehmensdaten von Spirit Airlines
Google hat die Auktion um einen umfangreichen Datensatz der insolventen Spirit Airlines gewonnen. Das Siegergebot lag bei 10 Millionen US-Dollar. Der Konzern will die Daten nach eigenen Angaben zur Verbesserung seiner Produkte und KI-Modelle verwenden.
Spirit Airlines hatte den Betrieb am 2. Mai abrupt eingestellt. Bei der anschließenden Verwertung der Unternehmenswerte kamen nicht nur Programme und Quellcode unter den Hammer, sondern auch jahrzehntelang gesammelte Beschäftigtendaten.
| Kennzahl | Wert |
|---|---|
| Eröffnungsgebot von Google | 5 Millionen US-Dollar |
| Siegergebot von Google | 10 Millionen US-Dollar |
| Alternativgebot von Mercor Corporation | 7,5 Millionen US-Dollar |
| Dauer der virtuellen Auktion | 2,5 Stunden |
| Mitarbeiter-E-Mails im Datensatz | rund 100 Millionen |
HR-Daten, Gehälter und interne Kommunikation
Der ersteigerte Bestand umfasst Computerprogramme, Anwendungen und Quellcode von Spirit Airlines. Hinzu kommen HR-Informationen, Gehaltsdaten sowie Messwerte zu Verhalten, Aktivität und Produktivität der Beschäftigten. Kundendaten wie Profile, Treueprogramme und Anrufaufzeichnungen wurden vom Verkauf ausgeschlossen.
Damit liegt der Schwerpunkt fast vollständig auf internen Unternehmensdaten und Informationen über Beschäftigte. Die Flugbegleiter-Gewerkschaft Association of Flight Attendants, kurz AFA, kritisiert, dass eine Entfernung direkter Identifikationsmerkmale den vertraulichen Inhalt der Unterlagen nicht beseitigt.
Die Datenschutzarchitektur der Transaktion richte sich an Verbraucher, während die eigentliche Datenmenge überwiegend Beschäftigte betreffe. Dadurch erhielten besonders vertrauliche Mitarbeiterdaten weniger Schutz als Kundendaten, so die AFA sinngemäß.
Disziplinarmaßnahmen, Gehaltshistorien, Trainingsdefizite oder interne Teams-Chats über Missstände bleiben sensibel, selbst wenn Namen und Adressen entfernt wurden. Bei kleinen Teams, bestimmten Standorten oder seltenen Vorgängen können Kontextinformationen zudem Rückschlüsse auf einzelne Personen oder kleine Gruppen ermöglichen.
Google verpflichtet sich zur Bereinigung
Google hat sich gerichtlich verpflichtet, den Datensatz vor der Übergabe durch einen externen Dienstleister bereinigen zu lassen. Personenbezogene Identifikationsmerkmale, im US-Kontext meist als PII bezeichnet, sollen entfernt werden. Google darf die Daten anschließend nicht absichtlich re-identifizieren.
Google habe einen Teil eines Unternehmensdatensatzes erworben, der bei der Verbesserung von Produkten und KI-Modellen helfen könne. Personenbezogene Informationen werde der Konzern daraus nicht erhalten, erklärte ein Google-Sprecher sinngemäß.
Offen bleibt, mit welchen technischen Verfahren sensible Inhalte in Freitexten, E-Mails und Chats anonymisiert werden. Ebenfalls nicht bekannt ist, in welchen konkreten Google-Produkten oder KI-Modellen die Daten verarbeitet werden sollen.
Die AFA befürchtet, dass bereinigte Informationen mit anderen Datensätzen kombiniert werden könnten. Google hat zwar zugesagt, keine absichtliche Re-Identifizierung vorzunehmen. Diese Verpflichtung beantwortet jedoch nicht die Frage, ob Modelle aus den Daten vertrauliche Muster über einzelne Beschäftigtengruppen lernen können.
Neue Nutzung ohne Zustimmung der Beschäftigten
Die Electronic Frontier Foundation kritisiert vor allem den Wechsel des Verwendungszwecks. Die E-Mails wurden ursprünglich für den Arbeitsalltag erstellt und nicht als Trainingsmaterial für KI-Systeme.
Die EFF lehne es ab, personenbezogene Daten ohne vorherige Zustimmung für einen neuen Zweck zu verwenden. Genau das geschehe, wenn ein insolventes Unternehmen Mitarbeiter-E-Mails als KI-Trainingsdaten verkaufe, erklärte die Organisation sinngemäß.
Die Kontroverse reiht sich in die breitere Debatte um die Herkunft von Trainingsdaten für KI-Modelle ein. Entscheidend ist nicht nur, ob Daten technisch verfügbar sind. Ebenso relevant sind ihr ursprünglicher Zweck, die Rechtsgrundlage und die Erwartungen der betroffenen Personen.
Im DACH-Raum wären die Hürden deutlich höher
Ein vergleichbarer Verkauf von Mitarbeiter-E-Mails und HR-Daten wäre unter der DSGVO rechtlich schwer umzusetzen. Besonders relevant wären die Zweckbindung nach Artikel 5 und eine tragfähige Rechtsgrundlage nach Artikel 6. In Deutschland käme zusätzlich der Beschäftigtendatenschutz nach § 26 BDSG ins Spiel.
Eine Einwilligung ist datenschutzrechtlich nicht in jedem Fall zwingend. Für den vollständig neuen Zweck des KI-Trainings müsste jedoch eine belastbare Rechtsgrundlage bestehen. Hinzu kämen Informationspflichten, Schutzmaßnahmen und die Frage, ob eine Verarbeitung in diesem Umfang überhaupt verhältnismäßig wäre.
Für Unternehmen mit US-Anbietern im Cloud- und SaaS-Stack zeigt der Fall ein strukturelles Risiko. Interne Kommunikation, Quellcode und Personalakten besitzen einen wirtschaftlichen Wert, der spätestens in Übernahmen oder Insolvenzverfahren sichtbar werden kann. Vertragliche Zusagen zur Speicherung und Löschung sollten deshalb genauso geprüft werden wie technische Kontrollmöglichkeiten, etwa Zero Data Retention bei KI-Diensten.
Datensouveränität muss auch den Insolvenzfall abdecken
Self-Hosting, eigene Verschlüsselungsschlüssel und klar getrennte Datenspeicher verhindern einen Verkauf nicht automatisch. Sie reduzieren aber die Zahl externer Parteien mit technischem Zugriff und erleichtern es, Aufbewahrung, Export und Löschung selbst zu kontrollieren.
Bei der Auswahl von SaaS- und KI-Anbietern sollten deshalb auch Regeln für Übernahmen, Insolvenzen und den Verkauf von Vermögenswerten berücksichtigt werden. Wichtig sind eindeutige Klauseln zur Zweckänderung, zur Nutzung für Modelltraining, zur Weitergabe an Dritte und zur endgültigen Löschung. Ebenso sollte feststehen, wer Verschlüsselungsschlüssel kontrolliert und ob vollständige Datenexporte protokolliert werden.
Der Spirit-Fall zeigt, dass Datenhoheit nicht erst bei einem Sicherheitsvorfall relevant wird. Auch eine gewöhnliche wirtschaftliche Verwertung kann aus jahrelanger Mitarbeiterkommunikation plötzlich handelbares Trainingsmaterial machen.