Google kauft Daten: Wenn Teams-Nachrichten in der KI landen

100 Millionen E-Mails und 500 Millionen Teams-Nachrichten: Diese Daten der vor wenigen Monaten eingestellten amerikanischen Fluglinie Spirit Airlines gehören künftig Google. Sie sind Teil eines großen Pakets an unternehmensinternen Informationen, das sich der Internetkonzern jetzt im Rahmen der Abwicklung von Spirit für zehn Millionen Dollar in einer Auktion gesichert hat. Er will die Daten nach eigener Aussage nutzen, um seine KI-Modelle zu verbessern. Neben den E-Mails und Teams-Nachrichten gehören zu dem Datenpaket, das Google ersteigert hat, zum Beispiel auch mehr als 175.000 Personalunterlagen, die bis 1986 zurückreichen, sowie Marketingdaten. Die Transaktion unterstreicht, dass Entwickler Künstlicher Intelligenz nach immer neuen Wegen suchen, um sich Daten zu beschaffen. Sie haben zum Trainieren ihrer KI-Modelle zuerst vor allem auf Daten aus dem offenen Internet gesetzt, zum Beispiel Medienberichte, Bücher und Einträge auf Onlineplattformen, aber diese Quellen sind mittlerweile weitgehend erschöpft. Daten von Unternehmen eröffnen eine weitere Option, und sie gelten als besonders wertvoll in einer Zeit, in der KI-Technologien zunehmend in Form sogenannter Agenten eingesetzt werden, die selbständig Aufgaben erledigen können. F.A.Z.-Artikel häufiger in Ihren Suchergebnissen sehen F.A.Z. bei Google bevorzugen Verkauf wirft Datenschutzfragen auf „Derartige Daten sind nicht im offenen Internet verfügbar, sodass derjenige, der sie nutzen kann, sich einen Konkurrenzvorteil davon erhofft“, sagt Matthias Spielkamp, Geschäftsführer der Nichtregierungsorganisation Algorithmwatch. Zudem sei menschliche Alltagskommunikation besonders wertvoll dafür, Systeme zu entwickeln oder zu optimieren, die mit Menschen kommunizierten. Der Verkauf solcher Informationen wirft freilich Datenschutzfragen auf. In einem Gerichtsdokument zu der Auktion heißt es, die Daten würden „deidentifiziert“, enthielten also keine „persönlich identifizierbaren Informationen“. Google sagte in einer Stellungnahme, solche Informationen würden von einer dritten Partei „rigoros“ entfernt, bevor das Unternehmen die Daten erhalte. Es wurden aber keine Angaben dazu gemacht, wie genau dieser Prozess abläuft und wie zuverlässig er ist. Digitale Daten werden schon lange als „das Gold oder Öl des 21. Jahrhunderts“ bezeichnet. Der Markt wird seitens der Analysten von Fortune Business Insights auf derzeit 327 Milliarden Dollar veranschlagt. Über die kommende Dekade sei aufgrund der Digitalisierung und der Entwicklungen rund um Systeme der Künstlichen Intelligenz von einer jährlichen Wachstumsrate von 7,4 Prozent auszugehen. Der Internetkonzern Meta gibt den Daten, die ein Nutzer im Laufe eines Jahres auf den verschiedenen Plattformen des Konzerns hinterlässt, einen Wert von durchschnittlich 200 Euro. Dienstleister verkaufen Daten gescheiterter Start-ups In den Vereinigten Staaten gibt es schon Abwicklungsdienstleister wie Simple Closure und Sunset, die auf den Verkauf interner Arbeitsabläufe, Kommunikation und Dokumente gescheiterter Start-ups spezialisiert sind. Dem US-Magazin „Forbes“ sagte Simple-Closure-Chef Dori Yona, im vergangenen Jahr habe das Unternehmen knapp 100 Datenverkäufe abgewickelt, üblicherweise zu Preisen zwischen 10.000 und 100.000 Dollar. Es gebe eine Art „Goldrausch“ der KI-Anbieter, die unbedingt an Daten aus der echten Welt gelangen wollten. Die Jagd auf Daten beschränkt sich aber offenbar nicht auf zusammengebrochene Unternehmen. Der KI-Dienstleister Micro 1 hat zum Beispiel ein Programm begonnen, in dessen Rahmen er 50 mittelgroßen Unternehmen jeweils bis zu zwei Millionen Dollar für ihre Daten zahlt. Er beschreibt dies als zusätzliche Umsatzquelle für Unternehmen und verspricht, dass Datenschutz seine „erste Priorität“ sei. In Europa spielt der Zukauf fremder interner Unternehmenskommunikation als Trainingsquelle gleichwohl kaum eine Rolle, teilt der KI Bundesverband auf Anfrage mit. „Wir sind der Ansicht, dass ein solches Geschäft in der Regel schon an der Natur der Daten und der aktuellen Rechtslage scheitern würde“, heißt es. Wäre so etwas in Deutschland möglich? Soweit in Deutschland personenbezogene Daten verarbeitet werden, ist die Datenschutz-Grundverordnung (DSGVO) zu beachten. Das Regelwerk versteht darunter nach Art. 4 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Das können Kontodaten, E-Mail-Adressen, Telefonnummern, Arbeitszeitaufzeichnungen und IP-Adressen sein, sofern sie einer Person zugeordnet werden können. Für jede Verarbeitung ist eine Rechtsgrundlage erforderlich. Mit der Eröffnung eines Insolvenzverfahrens kann der Insolvenzverwalter zwar über das Vermögen des Unternehmens verfügen. Das bedeutet jedoch nicht, dass personenbezogene Daten ohne Weiteres veräußert werden dürfen. Als Rechtsgrundlage kommen die Erfüllung einer gesetzlichen Pflicht nach Art. 6 Abs. 1 lit. c DSGVO oder eine Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO in Betracht. Die übertragenen Daten dürfen nicht ohne Weiteres für einen neuen Zweck verwendet werden. Würden die Daten eines insolventen Unternehmens für ein KI-Training eingesetzt, wäre das nicht ohne gesonderte datenschutzrechtliche Prüfung zulässig. Die Datenschutzkonferenz, das Gremium der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, hat im September 2024 einen Beschluss zu Übermittlungen personenbezogener Daten im Rahmen sogenannter Asset-Deals gefasst. Danach ist die Übermittlung personenbezogener Daten vor Abschluss eines Asset-Deals grundsätzlich unzulässig. Beim isolierten Datenverkauf ist eine Einwilligung der betroffenen Personen erforderlich. Der Beschluss ist kein Gesetz und bindet die Gerichte nicht. Für Beschäftigtendaten und die interne Kommunikation gelten besondere Schutzanforderungen. Der Arbeitgeber darf dienstliche E-Mails oder Teams-Nachrichten nicht pauschal und anlasslos kontrollieren. Dabei sind die Vorgaben des Bundesdatenschutzgesetzes, interne Datenschutzregelungen und einschlägige Betriebsvereinbarungen zu beachten. Eine Ausnahme kann bei einem konkreten Verdacht einer Straftat des Mitarbeiters bestehen.