Daten in der Insolvenz verwerten: Was Insolvenzverwalter wissen müssen

Interne Daten eines Unternehmens können einen erheblichen Massewert haben. Im Insolvenzverfahren der US-Fluggesellschaft Spirit Airlines bot Google 10 Mio. US-$ für rund 100 Mio. E-Mails und 500 Mio. Microsoft-Teams-Nachrichten, ein Wettbewerber legte nachträglich 12,5 Mio. US-$ vor.^[1] Käufer sind KI-Unternehmen, die ihre Modelle an echten Arbeitsabläufen trainieren. In Deutschland stellt sich für Insolvenzverwalter damit eine praktische Frage: Wie lässt sich dieser Wert heben, ohne gegen Datenschutzrecht zu verstoßen?

Gehören Datenbestände zur Insolvenzmasse?

Ja, grundsätzlich. Datenbestände sind Teil des Vermögens des Schuldners und damit verwertbare Masse. Sie sind eine zusätzliche Erlösquelle, die in Verwertungen oft übersehen wird.

Die Insolvenzmasse umfasst das gesamte Vermögen, das dem Schuldner zur Zeit der Eröffnung gehört und das er während des Verfahrens erlangt (§ 35 Abs. 1 InsO).^[2] § 36 Abs. 2 Nr. 1 InsO stellt klar, dass die Geschäftsbücher des Schuldners zur Masse gehören; gesetzliche Pflichten zur Aufbewahrung von Unterlagen bleiben dabei unberührt.^[3] Für die übrigen Datenbestände gilt nichts anderes: E-Mail-Archive, ERP- und CRM-Daten, Tickets und Dokumente sind im Geschäftsbetrieb entstanden, gehören zum Vermögen des Unternehmens und lassen sich wie Maschinen, Warenlager oder Forderungen verwerten. Anders als diese tauchen sie in Verwertungen aber selten auf, obwohl KI-Unternehmen dafür inzwischen in der Regel sechsstellige Beträge zahlen: Für 50 bis 250 Mitarbeitende nennen Käufer 100.000 bis 1 Mio. US-$, für ein Unternehmen mit 100 Mitarbeitenden und zehn Jahren Geschäftsbetrieb 383.000 bis 897.000 US-$.^[15][16] Mehr dazu im Beitrag Was ist ein Datenbestand wert? Wer Server und Lizenzen kündigt, bevor der Bestand gesichert ist, verschenkt diesen Wert.

Eine wichtige Grenze zeigt ein Urteil des OLG Düsseldorf: Eine insolvente Agentur hatte für einen Auftraggeber Newsletter versandt und dafür dessen Kunden-E-Mail-Adressen gespeichert. Das Gericht sprach dem Auftraggeber einen Herausgabeanspruch zu, der in der Insolvenz zur Aussonderung berechtigt (§ 47 InsO i. V. m. § 667 BGB).^[4] Daten, die der Schuldner nur im Auftrag eines anderen verarbeitet hat, stehen der Masse also nicht ohne Weiteres zur Verfügung. Ähnliches gilt für lizenzierte Inhalte Dritter wie Software oder fremde Datenbanken: Ob sie weitergegeben werden dürfen, richtet sich nach dem Lizenzvertrag.

Wer ist für die Daten datenschutzrechtlich verantwortlich?

Ab der Verfahrenseröffnung in der Regel der Insolvenzverwalter, und zwar allein.

Mit der Eröffnung geht das Recht, das Vermögen des Schuldners zu verwalten und darüber zu verfügen, auf den Insolvenzverwalter über (§ 80 Abs. 1 InsO).^[5] Weil er damit über Zwecke und Mittel der Datenverarbeitung entscheidet, ist er Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Eine gemeinsame Verantwortlichkeit mit dem Schuldner nach Art. 26 DSGVO scheidet nach überzeugender Ansicht aus, weil der Schuldner seine Entscheidungsbefugnis verliert.^[6] Für den Verwalter heißt das: Er trägt die Pflichten der DSGVO, etwa zu Rechtsgrundlage, Zweckbindung und Datensicherheit, und haftet bei Verstößen (Art. 82 und 83 DSGVO).

In der Eigenverwaltung ist das anders. Dort verwaltet der Schuldner die Masse selbst unter Aufsicht eines Sachwalters (§ 270 Abs. 1 InsO).^[7] Verantwortlich bleibt dann das Unternehmen.

Darf der Verwalter personenbezogene Daten verkaufen?

Nur in engen Grenzen. Werden personenbezogene Daten als eigentlicher Kaufgegenstand an einen Dritten übermittelt, verlangt die Datenschutzaufsicht grundsätzlich eine Einwilligung der Betroffenen.

Die Datenschutzkonferenz (DSK) hat ihre Grundsätze zur Übermittlung von Kundendaten beim Asset Deal am 11. September 2024 aktualisiert. Sind die Kundendaten der einzige Vermögenswert, der verkauft wird, ist danach grundsätzlich eine Einwilligung erforderlich, besonders wenn Käufer und Verkäufer in unterschiedlichen Branchen tätig sind. Bank- und sensible Daten dürfen nur mit ausdrücklicher Einwilligung übergehen, soweit sie nicht für die Vertragserfüllung nötig sind.^[8] Dass die Aufsicht das ernst nimmt, zeigt ein älterer Fall: Das Bayerische Landesamt für Datenschutzaufsicht verhängte 2015 gegen Verkäufer und Käufer eines Online-Shops Bußgelder in fünfstelliger Höhe, weil Kunden-E-Mail-Adressen ohne Einwilligung übertragen worden waren.^[9]

Für KI-Training kommt ein zweites Problem hinzu: Die Daten wurden für Vertragsabwicklung und interne Kommunikation erhoben, nicht für das Training von KI-Modellen. Ein solcher Zweckwechsel ist nur zulässig, wenn er mit dem ursprünglichen Zweck vereinbar ist oder eine neue Rechtsgrundlage besteht (Art. 5 Abs. 1 lit. b, Art. 6 Abs. 4 DSGVO). Tausende Beschäftigte, Kunden und Lieferanten um Einwilligung zu bitten, ist in der Insolvenz praktisch nicht machbar. Die Börsen-Zeitung zitiert dazu den Datenschutzrechtler Felix Glocker (CMS): Personenbezogene Daten aus E-Mails und Teams-Chats lassen sich nicht wie ein gewöhnlicher Vermögenswert an den Höchstbietenden verkaufen.^[10]

Wie lassen sich Datenbestände trotzdem verwerten?

Durch wirksame Anonymisierung vor der Übergabe und eine Lizenz, die die Nutzung regelt.

Die DSGVO gilt nicht für anonyme Informationen, also für Daten, bei denen die betroffene Person nicht oder nicht mehr identifiziert werden kann (Erwägungsgrund 26 DSGVO).^[11] Glocker hält eine wirksame Anonymisierung vor dem Weiterverkauf deshalb für den realistischeren Weg. Michael Rozijn (Schultze & Braun) weist im selben Beitrag darauf hin, dass das bloße Entfernen von Namen nicht genügen kann, wenn der Inhalt weiter auf Personen schließen lässt.^[10]

Zu unterscheiden ist die Pseudonymisierung: Namen werden durch Kennungen ersetzt, die Zuordnung bleibt aber in einer getrennten Tabelle erhalten (Art. 4 Nr. 5 DSGVO). Für denjenigen, der diese Tabelle hat, bleiben die Daten personenbezogen. Der EuGH hat am 4. September 2025 entschieden, dass pseudonymisierte Daten für einen Empfänger ohne Zusatzwissen nicht automatisch personenbezogen sind; die Pflichten des Verantwortlichen beurteilen sich aber aus dessen eigener Sicht zum Zeitpunkt der Erhebung (C-413/23 P, EDSB/SRB).^[12] Für die Praxis folgt daraus: Die Zuordnung bleibt beim Dienstleister, wird nach der Übergabe gelöscht, und der Käufer verpflichtet sich vertraglich, keine Re-Identifizierung zu versuchen.

Auch das Anonymisieren selbst ist eine Verarbeitung personenbezogener Daten und braucht eine Rechtsgrundlage. In Betracht kommt das berechtigte Interesse an der Verwertung der Masse (Art. 6 Abs. 1 lit. f DSGVO). Übernimmt ein Dienstleister die Anonymisierung, geschieht das als Auftragsverarbeitung mit Vertrag nach Art. 28 DSGVO. Abwägung und Vertrag sollten dokumentiert und mit der Datenschutzberatung des Verfahrens abgestimmt werden. Wie wir dabei technisch vorgehen, beschreibt die Seite Anonymisierung.

Welche Daten sind besonders heikel?

Besondere Kategorien nach Art. 9 DSGVO, Personalakten, Berufsgeheimnisse und Bankdaten. Sie werden in der Regel vor der Verwertung ausgeschlossen.

Wie empfindlich Beschäftigtendaten sind, zeigt der Fall Spirit Airlines: Die Flugbegleitergewerkschaft AFA-CWA legte Einspruch gegen den Verkauf ein und verlangte Einschränkungen für Daten der Beschäftigten; das Gericht verschob daraufhin die Anhörung.^[13]

Welche Aufbewahrungspflichten bleiben bestehen?

Die handels- und steuerrechtlichen Fristen gelten weiter. Lizenziert wird eine anonymisierte Kopie, die Originale bleiben bis zum Fristende verfügbar.

Nach § 257 HGB gelten seit dem Vierten Bürokratieentlastungsgesetz folgende Fristen. Sie beginnen mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist (§ 257 Abs. 5 HGB). Steuerlich gelten nach § 147 AO entsprechende Fristen.^[14]

Wie läuft eine Verwertung in der Praxis ab?

In sechs Schritten, von der Bestandsaufnahme ohne Datenzugriff bis zur Löschung der Zuordnung.

1. Bestandsaufnahme: Systeme, Zeitraum und Umfang werden erfasst, ohne dass Daten das Haus verlassen.
2. Rechteprüfung: Massezugehörigkeit, Fremddaten, Lizenzverträge und heikle Datenarten.
3. Anonymes Datenblatt und Käufersuche: Käufer sehen eine Beschreibung ohne Namen.
4. Auftragsverarbeitungsvertrag und Anonymisierung, in Deutschland oder in der Infrastruktur des Verfahrens.
5. Probe unter Verschwiegenheitsvereinbarung, danach Lizenzvertrag mit Re-Identifizierungsverbot.
6. Übergabe der anonymisierten Daten und Löschung der Zuordnungstabelle.

Was ein Bestand bringen kann, zeigt der Beitrag Was ist ein Datenbestand wert? Wer die Käuferseite verstehen will, findet sie in Firmendaten für KI-Training verkaufen.