Diese Seite fasst zusammen, was Gesetz, Gerichte und Aufsichtsbehörden zu Geschäftsdaten in der Insolvenz sagen und was über Käufer und Preise öffentlich bekannt ist.
Gehören Geschäftsdaten zur Masse?
Die Geschäftsbücher des Schuldners gehören zur Masse; Aufbewahrungspflichten bleiben unberührt (§ 36 Abs. 2 Nr. 1 InsO). Zu den Geschäftsunterlagen gehören nach vorläufiger Einschätzung des Bayerischen Obersten Landesgerichts auch „Steuerunterlagen, EDV-Unterlagen und der Datenbestand“. Das Gericht äußert sich in einem Hinweisbeschluss in einem Zwangsvollstreckungsverfahren um den Informationsanspruch eines GmbH-Gesellschafters und verweist für die Aufzählung auf drei Kommentare zur Insolvenzordnung. [1]
Was sagen die Datenschutzbehörden zu Kundendaten?
Werden Kundendaten als losgelöstes „Asset“ verkauft (Verkauf von Kundendatenbanken), ist die Übermittlung nach der Datenschutzkonferenz (DSK) „regelmäßig nur mit vorheriger Einwilligung der betroffenen Kundinnen und Kunden möglich“. Das gilt „insbesondere dann“, wenn mit den Datenbanken für Geschäftstätigkeiten geworben werden soll, die in keinem Zusammenhang mit dem ursprünglichen Unternehmen stehen. [2]
Als Ausnahme nennt die DSK nur einen Fall: Ein Kleinst- oder Kleinunternehmen beendet seinen Betrieb und übergibt einmalig nur die Postadressen seiner Kunden an ein solches Unternehmen derselben Branche; die Kunden werden vorher informiert und können widersprechen. [2]
Beides steht im Beschluss vom 11. September 2024 zum Asset Deal. Verantwortlich für die Übermittlung ist danach der Veräußerer. Daten ehemaliger Kundinnen und Kunden, die der Erwerber zur Erfüllung der Aufbewahrungsfristen erhält, darf er „nur dann zu eigenen Zwecken nutzen, wenn hierfür eine wirksame Einwilligung der Kundinnen und Kunden jeweils vorliegt“. [2]
Was passiert, wenn ein Datenverkauf gegen das Datenschutzrecht verstößt?
Das OLG Frankfurt hat 2018 den Vertrag für nichtig gehalten, mit dem der Insolvenzverwalter einer Adresshandelsfirma Adressdaten verkauft hatte. Grund war, dass die Adressinhaber nicht eingewilligt hatten. Als Adresshandel im Sinne des damaligen § 28 Abs. 3 BDSG galt nach dem Urteil auch „der (einmalige) Verkauf von Daten im Rahmen der Insolvenzverwertung“. Der Käufer konnte den Kaufpreis nicht zurückfordern. Das Gericht entschied nach altem BDSG und UWG. [6]
Nach heutigem Recht sieht die DSGVO bei Verstößen gegen „die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung“ Geldbußen von bis zu 20 Millionen Euro oder bei Unternehmen von bis zu 4 % des weltweiten Vorjahresumsatzes vor, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Wer durch einen Verstoß einen materiellen oder immateriellen Schaden erleidet, hat Anspruch auf Schadenersatz gegen den Verantwortlichen (Art. 82 Abs. 1 DSGVO). [3]
Verletzt der Verwalter schuldhaft seine insolvenzrechtlichen Pflichten, haftet er den Beteiligten auf Schadenersatz (§ 60 InsO). [7]
Reicht es, Namen durch Kürzel zu ersetzen?
Nein. Werden Namen und Kontaktdaten durch Kürzel ersetzt und die Zuordnung getrennt aufbewahrt, kann das Pseudonymisierung sein (Art. 4 Nr. 5 DSGVO). Pseudonymisierte Daten, die durch zusätzliche Informationen einer Person zugeordnet werden könnten, „sollten als Informationen über eine identifizierbare natürliche Person betrachtet werden“ (Erwägungsgrund 26 DSGVO). [3]
Welche Daten sind besonders geschützt?
Für Berufsgeheimnisse, private Nachrichten von Beschäftigten und besondere Kategorien wie Gesundheitsdaten gelten eigene Regeln.
- Berufsgeheimnisse. Nach § 203 StGB macht sich strafbar, wer zum Beispiel als Arzt, Rechtsanwalt oder Steuerberater ein fremdes Geheimnis unbefugt offenbart, das ihm in dieser Eigenschaft „anvertraut worden oder sonst bekanntgeworden“ ist. [4]
- Private Nachrichten. Durften Beschäftigte das betriebliche Postfach privat nutzen, können dort auch private Nachrichten liegen. Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen schreibt dazu: „Für Arbeitgeber*innen gilt nicht mehr das Fernmeldegeheimnis, wenn sie die private Nutzung der betrieblichen E-Mail- oder Internetdienste erlauben oder dulden.“ Davon gehen nach ihrem Bericht deutsche Aufsichtsbehörden aus („Bundesbeauftragter für den Datenschutz und die Informationsfreiheit, LDI NRW sowie weitere Landesdatenschutzbehörden“). Zugleich: „Auch nach der DS-GVO bedarf es einer Rechtsgrundlage für den Zugriff der Arbeitgeber*innen auf die personenbezogenen Daten der Beschäftigten.“ [5]
- Gesundheitsdaten und andere besondere Kategorien. Art. 9 Abs. 1 DSGVO untersagt die Verarbeitung etwa von Gesundheitsdaten oder Angaben zur Gewerkschaftszugehörigkeit; Ausnahmen regelt Abs. 2. [3] Beim Asset Deal können solche Kundendaten nach der DSK „nur im Wege der informierten und ausdrücklichen Einwilligung“ übermittelt werden. [2]
Müssen die Menschen in den Unterlagen informiert werden?
Die DSGVO verlangt, die betroffenen Personen zu informieren, wenn ihre Daten für einen anderen Zweck weiterverarbeitet werden oder ein anderer Verantwortlicher sie erhält; Ausnahmen regeln Art. 13 Abs. 4 und Art. 14 Abs. 5.
Wer Daten für einen anderen Zweck weiterverarbeiten will als den, für den sie erhoben wurden, informiert die betroffene Person „vor dieser Weiterverarbeitung“ (Art. 13 Abs. 3, Art. 14 Abs. 4). Wer Daten nicht bei der betroffenen Person erhoben hat, informiert „innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats“, bei einer beabsichtigten Offenlegung an einen anderen Empfänger „spätestens zum Zeitpunkt der ersten Offenlegung“ (Art. 14 Abs. 3 lit. a und c). Die Pflicht nach Art. 14 entfällt unter anderem, soweit die Erteilung der Informationen „sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde“. Dann sind geeignete Maßnahmen zu ergreifen, „einschließlich der Bereitstellung dieser Informationen für die Öffentlichkeit“ (Art. 14 Abs. 5). [3]
Beim Asset Deal muss nach der DSK der Erwerber die Kundinnen und Kunden informieren, soweit keine Ausnahme nach Art. 14 Abs. 5 vorliegt, und sie dabei auf ihr Widerspruchsrecht hinweisen. [2]
Braucht ein Datenverkauf die Zustimmung des Gläubigerausschusses?
Ob ein Datenverkauf für das Verfahren von besonderer Bedeutung ist und deshalb die Zustimmung braucht, beurteilt der Verwalter.
§ 160 Abs. 1 InsO: „Der Insolvenzverwalter hat die Zustimmung des Gläubigerausschusses einzuholen, wenn er Rechtshandlungen vornehmen will, die für das Insolvenzverfahren von besonderer Bedeutung sind.“ Ist kein Gläubigerausschuss bestellt, ist die Zustimmung der Gläubigerversammlung einzuholen. „Ist die einberufene Gläubigerversammlung beschlussunfähig, gilt die Zustimmung als erteilt; auf diese Folgen sind die Gläubiger bei der Einladung zur Gläubigerversammlung hinzuweisen.“ [8]
Für die Eigenverwaltung bestimmt § 276 Satz 1 InsO: „Der Schuldner hat die Zustimmung des Gläubigerausschusses einzuholen, wenn er Rechtshandlungen vornehmen will, die für das Insolvenzverfahren von besonderer Bedeutung sind.“ [8]
Wie lange werden Unterlagen aufbewahrt?
Handelsbücher und Jahresabschlüsse sind zehn Jahre aufzubewahren, Buchungsbelege acht Jahre, empfangene und abgesandte Handels- und Geschäftsbriefe sechs Jahre (§ 257 Abs. 4 HGB, § 147 Abs. 3 AO). Steuerlich läuft die Frist nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch läuft. [9]
Die acht Jahre für Buchungsbelege kamen mit dem Vierten Bürokratieentlastungsgesetz. [10] Sie gelten seit dem 1. Januar 2025 auch für Buchungsbelege, deren zehnjährige Frist Ende 2024 noch nicht abgelaufen war. [11]
In der Insolvenz bleiben die handels- und steuerrechtlichen Pflichten des Schuldners zur Buchführung und Rechnungslegung „unberührt“: „In bezug auf die Insolvenzmasse hat der Insolvenzverwalter diese Pflichten zu erfüllen“ (§ 155 Abs. 1 InsO). [12] Nach dem Hinweisbeschluss des BayObLG obliegt dem Verwalter seit der Eröffnung auch „die Erfüllung der gesetzlichen Aufbewahrungspflichten“. [1]
Nach Beendigung der Liquidation einer GmbH sind ihre Bücher und Schriften für zehn Jahre einem Gesellschafter oder einem Dritten in Verwahrung zu geben (§ 74 Abs. 2 GmbHG). [13]
Was passiert mit den Daten, wenn das Abonnement für Microsoft 365 oder Google Workspace endet?
Endet ein Abonnement bei Microsoft 365 oder Google Workspace, werden die Daten nach Angaben der Anbieter gelöscht und lassen sich dann nicht wiederherstellen.
Microsoft 365: Für die meisten Angebote folgen auf das Enddatum 30 Tage im Status „Abgelaufen“ und 90 Tage im Status „Deaktiviert“, in dem nur noch Administratoren auf die Daten zugreifen können; danach werden sie gelöscht. Die Fristen hängen davon ab, wie das Abonnement erworben wurde; bei lizenzbasierten Abonnements, die direkt über eine Microsoft-Kundenvereinbarung gekauft wurden, entfällt seit dem 9. Februar 2026 der Status „Abgelaufen“. Wird ein Abonnement ausdrücklich gelöscht, entfallen beide Status, und die Daten in SharePoint Online und OneDrive werden sofort gelöscht. [14]
Google Workspace: „Nachdem Sie Ihr Google Workspace-Abo gekündigt haben, werden die Google Workspace-Daten Ihrer Nutzerinnen und Nutzer gelöscht und können nicht wiederhergestellt werden.“ [15]
Wer kauft Unternehmensdaten für KI-Training?
KI-Entwickler und Unternehmen, die sie mit Daten beliefern. SimpleClosure, ein Dienstleister für die Abwicklung von Start-ups, schreibt: „Buyers can include AI labs, model developers, and other companies looking for real-world code, specialized datasets, and business workflows to support AI training.“ [16]
Im US-Insolvenzverfahren der Fluggesellschaft Spirit Airlines wurde Google im August 2026 bei einer Auktion für de-identifizierte Unternehmensdaten mit einem Gebot von 10 Millionen US-Dollar zum erfolgreichen Bieter erklärt. Das Paket umfasste ursprünglich unter anderem „corporate email and SharePoint repositories, core business systems including CRM and revenue management, and workflow and process data“. Nach der Fallübersicht vom 14. Oktober 2026 stand die Genehmigung des Gerichts noch aus; der Gerichtstermin dazu wurde auf den 6. November 2026 verlegt. [17]
Das KI-Datenunternehmen micro1 kündigte am 9. Oktober 2026 an, in den folgenden zwölf Monaten eine Milliarde US-Dollar für den Kauf und die Lizenzierung von Unternehmensdaten auszugeben. Laut The Next Web sucht micro1 unter anderem „standard operating procedures, knowledge bases, internal documents, CRM data, project histories and quality assurance processes“; Vorrang haben Unternehmen aus den USA, dann aus anderen westlichen Märkten, und die Unterlagen müssen auf Englisch sein. [18]
Wie legen Käufer den Preis fest?
Käufer und Vermittler nennen vor allem Qualität und Einzigartigkeit der Daten.
Bei micro1 hängt die Zahlung laut The Next Web von Qualität, Einzigartigkeit und Wert der Daten ab. [18] Nach SimpleClosure kann das Interesse der Käufer unter anderem von Qualität, Alleinstellung, Nutzbarkeit, Umfang, Knappheit und Nachfrage abhängen. [16]
Im April 2026 berichtete Gizmodo unter Berufung auf Forbes, dass Start-ups bei ihrer Schließung E-Mails und Slack-Nachrichten für KI-Training verkaufen: SimpleClosure habe in den zwölf Monaten davor fast 100 solcher Geschäfte abgewickelt, mit „payouts ranging from $10,000 to $100,000 per company“. [19]
Wie viele Verfahren gibt es?
Im Juli 2026 registrierten die Amtsgerichte 2.373 beantragte Unternehmensinsolvenzen. Das sind 8,0 % mehr als im Vorjahresmonat. Von Januar bis Juli 2026 waren es 15.185. [20]
Was Bayeset macht
Bayeset aus München kauft Kopien von Geschäftsdaten (E-Mails, Angebote, Projektakten, Tickets, CRM), auch aus Archiven und Datensicherungen, und bereitet sie für KI-Entwickler auf. Namen und Kontaktdaten werden durch Kürzel ersetzt; die Daten bleiben personenbezogen. Ausgenommen sind unter anderem Personalakten, Gesundheitsdaten, private E-Mails und Chats von Beschäftigten sowie Akten von Berufsgeheimnisträgern. Den Kaufpreis leitet Bayeset für jede Masse nach derselben Formel schriftlich aus Umfang, Zeitraum, Vollständigkeit und Art der Daten her. So läuft ein Kauf ab.
Schreiben Sie uns kontakt@bayeset.com
Quellen
- BayObLG, Hinweisbeschluss vom 17.03.2025, 101 W 136/24 e, Rn. 24 f., und § 36 InsO
- DSK, Beschluss vom 11.09.2024: Übermittlungen personenbezogener Daten an die Erwerberin oder den Erwerber eines Unternehmens im Rahmen eines Asset-Deals, Abschnitte II.3, II.5, V.1 und V.2.
- DSGVO, Art. 4 Nr. 5, Art. 9, 13, 14, 82 und 83, Erwägungsgrund 26
- § 203 Abs. 1 StGB
- Landesbeauftragte für Datenschutz und Informationsfreiheit NRW, 29. Bericht (für 2023), Abschnitt 12.2 „Private E-Mails und Telefonate am Arbeitsplatz“. Veröffentlicht 2024.
- OLG Frankfurt a. M., Urteil vom 24.01.2018, 13 U 165/16 (Leitsätze und Gründe bei Betriebs-Berater)
- § 60 InsO
- § 160 InsO und § 276 InsO
- § 257 HGB und § 147 AO
- Viertes Bürokratieentlastungsgesetz, BGBl. 2024 I Nr. 323 vom 29.10.2024
- Art. 97 § 19a EGAO und Art. 95 EGHGB
- § 155 InsO
- § 74 Abs. 2 GmbHG
- Microsoft Learn, „Was geschieht mit meinen Daten und dem Zugriff darauf, wenn mein Microsoft 365 Business-Abonnement endet?“ Stand 08.06.2026, abgerufen am 18.10.2026.
- Google Workspace-Hilfe, „Google Workspace kündigen“. Zuletzt aktualisiert am 21.07.2026, abgerufen am 18.10.2026.
- SimpleClosure, AssetHub, Fragen und Antworten. Ohne Datum, abgerufen am 18.10.2026.
- In re Spirit Aviation Holdings, No. 25-11897 (Bankr. S.D.N.Y.), Dkt. 1463 und 1695, nach der Fallübersicht von Stretto vom 14.10.2026.
- The Next Web, „micro1 commits $1bn to buy company data for training AI agents“, 09.10.2026.
- Gizmodo, „Failed Companies Are Selling Old Slack Chats and Email Archives to Train AI“, 17.04.2026, unter Berufung auf Forbes.
- Statistisches Bundesamt, Pressemitteilung Nr. 362 vom 09.10.2026