Google hat die Firmendaten der abgewickelten US-Airline Spirit ersteigert, für umgerechnet 8,7 Millionen Euro. Das Paket umfasst 100 Millionen E-Mails, 500 Millionen Teams-Elemente und 175.658 Mitarbeiterakten, die bis ins Jahr 1986 zurückreichen. Die Passagierprofile bleiben außen vor, die Personalakten wandern mit.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügenEin Insolvenzverfahren macht den Datenbestand einer Firma zum Vermögenswert, verwertbar wie ein Flugzeug oder ein Start-Slot. Verkauft wird, was Erlös bringt. Den Zuschlag holte sich Google gegen den Datenanbieter Mercor, der 6,5 Millionen Euro bot. Aus dem Modellrennen ist längst ein Rennen um verwertbare Datenbestände geworden.
Das Wichtigste in Kürze
- Google zahlt 8,7 Millionen Euro und liegt damit 2,2 Millionen über dem Gebot des Datenanbieters Mercor.
- Enthalten sind 100 Millionen E-Mails aus 80.000 Postfächern, 500 Millionen Teams-Elemente und 3,4 Millionen Lohnabrechnungen.
- Ausgenommen bleiben 97,5 Millionen Passagierprofile und 50,2 Millionen Vielfliegerkonten, die Personalakten dagegen nicht.
- Die Deidentifizierung übernimmt ein vom Käufer bezahlter Dienstleister; die Bezüge zwischen den Datensätzen bleiben erhalten.
Was steckt in dem versteigerten Datenpaket?

Google kauft nicht die Kundenkartei, sondern den Innenraum eines Konzerns. Die Anlage zum Kaufvertrag listet 100 Millionen E-Mails aus 80.000 Postfächern, 20,6 Millionen SharePoint-Objekte, 667.563 IT-Tickets und 3.426.618 Lohnabrechnungen. Dazu kommen Personalakten seit August 1986, Prozessakten, Geheimhaltungsvereinbarungen sowie 372.585 Commits aus den Quellcode-Archiven.[1]
Ausgenommen bleiben die Spuren der Fluggäste: 97,5 Millionen Passagierprofile, 50,2 Millionen Vielfliegerkonten und 30,9 Millionen aufgezeichnete Servicegespräche. Vom Markt sind diese Daten deshalb nicht. Derselbe Vertrag erlaubt der Verkäuferin ausdrücklich, ihre Kundenliste an Firmen der Reise- und Hotelbranche zu veräußern.[1] Wie schnell Nutzerdaten bei einem Eigentümerwechsel zum Politikum werden, zeigte die Rückabwicklung der Manus-Übernahme in Peking.
Warum schützt die Deidentifizierung die Betroffenen kaum?
Der Kaufvertrag verlangt eine Deidentifizierung nach dem Standard des kalifornischen Verbraucherdatenschutzgesetzes, ausdrücklich unter Erhalt der Bezüge über den gesamten Datenbestand hinweg.[1] Erhaltene Verknüpfungen zwischen Mail, Ticket, Commit und Lohnabrechnung ergeben technisch eine Pseudonymisierung, keine Anonymisierung. Wie wenig ein fehlender Name schützt, zeigt das Wiedererkennen von Besuchern am digitalen Fingerabdruck. Den Dienstleister für diesen Schritt benennt und bezahlt der Käufer selbst, ohne Abzug vom Kaufpreis.
Rechtlich zählt der Blickwinkel. Der Europäische Gerichtshof entschied am 4. September 2025 im Verfahren C-413/23 P, dass der Personenbezug für jede Stelle einzeln zu beurteilen ist: Für die abgebende Seite, die die Identitäten kennt, bleiben pseudonymisierte Daten personenbezogen. Google verpflichtet sich, die Daten nicht absichtlich wieder Personen zuzuordnen, darf sie aber an vertraglich gebundene Dritte weiterreichen. Damit wandert ein Konzernarchiv in den Pool, aus dem die nächsten Modellgenerationen lernen.
Spirit zeigt, was ein Microsoft-365-Mandant in der Insolvenz wert ist: 8,7 Millionen Euro für den Schriftverkehr aus 80.000 Postfächern. Jedes Unternehmen sollte deshalb wissen, welche Mails und Personalakten in zehn Jahren noch im Archiv liegen.
— Markus Seyfferth, Chefredakteur Dr. Web
Im Kaufpaket
E-Mails, Teams-Inhalte, SharePoint- und OneDrive-Dateien, 3,4 Millionen Lohnabrechnungen, Verträge, Prozessakten sowie 372.585 Commits aus den Quellcode-Archiven.
Nicht im Kaufpaket
97,5 Millionen Passagierprofile, 50,2 Millionen Vielfliegerkonten, 30,9 Millionen Servicegespräche. Die Kundenliste darf die Verkäuferin separat an die Reisebranche verkaufen.
Was bedeutet der Fall für deutsche Unternehmen?
In Deutschland wäre dieser Verkauf an den Beschäftigtendaten gescheitert. Die Datenschutzkonferenz hat am 11. September 2024 festgehalten, dass Beschäftigtendaten beim Asset Deal über § 613a BGB und Art. 6 Abs. 1 lit. b DSGVO auf den Erwerber übergehen, also nur beim Betriebsübergang mit fortgeführtem Arbeitsverhältnis.[2] Ein Käufer, der kein Arbeitsverhältnis übernimmt, sondern ein Archiv auswertet, kann sich darauf nicht stützen. Übrig bliebe die Einwilligung jedes einzelnen Beschäftigten.
Zwei Hebel bleiben der Geschäftsführung. Löschfristen aus dem Verzeichnis der Verarbeitungstätigkeiten gehören technisch erzwungen in den Microsoft-365-Mandanten, nicht als Absichtserklärung ins Intranet; ein ungepflegtes Archiv fällt sonst erst auf, sobald ein Fremder monatelang mitliest. Und eine Vertragsklausel für den Insolvenzfall schreibt Rückgabe oder Löschung vor statt Verwertung durch Dritte.
Vor der nächsten Vertragsverlängerung lohnt der Blick ins eigene Archiv: Alles, was dort heute liegen bleibt, steht in einem Insolvenzverfahren auf der Aktivseite.
Quellen
[1] United States Bankruptcy Court, Southern District of New York: „Notice of Auction Results and Scheduled Hearing for the Deidentified Data“ samt Kaufvertrag und Anlage A, Az. 25-11897 (SHL), Dokument 1463 vom 14.08.2026
[2] Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder: Beschluss „Übermittlungen personenbezogener Daten an die Erwerberin oder den Erwerber eines Unternehmens im Rahmen eines Asset-Deals“ vom 11.09.2024
Mehr Newshunger?
- ByteDance gründet eine eigene KI-Datenabteilung: Das Modell-Rennen wird zum Datenrennen
- DeepSeek vergibt heimlich Spitznamen: Wie das KI-Modell seine Nutzer einordnet
- Peking dreht Metas Manus-Übernahme zurück: Der KI-Agent löscht jetzt Nutzerdaten
- Homomorphe Verschlüsselung: Googles Compiler HEIR übersetzt KI-Modelle für verschlüsselte Eingaben
- Smarte Rauchmelder bei Vonovia: Was die Klimasensoren über Mieter verraten
- Tracking ohne Cookies: Wie Websites Sie am digitalen Fingerabdruck erkennen