Die drei Voraussetzungen
Nach § 2 Nummer 1 Geschäftsgeheimnisgesetz ist ein Geschäftsgeheimnis eine Information, die
- nicht allgemein bekannt oder ohne Weiteres zugänglich ist und deshalb einen wirtschaftlichen Wert hat,
- Gegenstand angemessener Geheimhaltungsmaßnahmen durch den rechtmäßigen Inhaber ist, und
- an deren Geheimhaltung ein berechtigtes Interesse besteht.
Der zweite Punkt ist neu gegenüber der früheren Rechtslage und der praktisch entscheidende. Er verlagert die Darlegungslast: Nicht der Verletzer muss erklären, warum er durfte, sondern das Unternehmen muss zeigen, dass es geschützt hat.
Was angemessen bedeutet
Angemessen ist kein absoluter Maßstab. Die Rechtsprechung stellt auf eine Gesamtbetrachtung ab, unter anderem nach:
- Wert und Bedeutung der Information für das Unternehmen
- Entwicklungskosten und Aufwand für die Erlangung
- Größe des Unternehmen und verfügbare Mittel
- Branchenübliche Standards
- Art der Kennzeichnung und vertraglicher Regelungen
Ein Handwerksbetrieb muss weniger leisten als ein Technologiekonzern. Nichts zu tun genügt aber in keinem Fall. Und eine pauschale Verschwiegenheitsklausel im Arbeitsvertrag reicht für sich allein regelmäßig nicht.
Die Maßnahmen in drei Ebenen
Organisatorisch: Klassifizierung der Informationen nach Schutzbedarf, Kennzeichnung als vertraulich, Zugriff nach dem Grundsatz der Erforderlichkeit, dokumentierte Berechtigungskonzepte, Besucherregelungen, Regeln zur Vernichtung von Unterlagen.
Technisch: Zugriffsbeschränkungen mit Protokollierung, Verschlüsselung, Schutz mobiler Endgeräte, Regelungen zu privaten Geräten, kontrollierte Nutzung von Cloudspeichern und Datenträgern.
Vertraglich: Konkrete, nicht pauschale Verschwiegenheitsvereinbarungen mit Beschäftigten, Geheimhaltungsvereinbarungen mit Geschäftspartnern vor jedem Austausch, Regelungen zur Rückgabe und Löschung bei Beendigung.
Ein oft übersehener Punkt: Die Klassifizierung muss gelebt werden. Wer alles als vertraulich stempelt, hat faktisch nichts klassifiziert.
Das Problem mit ausscheidenden Beschäftigten
Hier liegt die häufigste Verletzung und zugleich die schwierigste Abgrenzung. Nach dem Ende des Arbeitsverhältnisses darf eine Person das im Kopf mitgenommene Erfahrungswissen nutzen. Verboten ist die Nutzung von Informationen, die als Geschäftsgeheimnis geschützt sind.
Diese Grenze verläuft nicht scharf. Kundenlisten sind der Klassiker: Namen, die jemand aus der Erinnerung kennt, sind frei. Eine exportierte Datei mit Ansprechpartnern, Konditionen und Umsätzen ist es nicht.
Praktisch wirksam sind deshalb drei Dinge: ein dokumentierter Offboarding-Prozess mit Rückgabe und Löschbestätigung, die Protokollierung ungewöhnlicher Datenzugriffe in den Wochen vor dem Ausscheiden, und, wo es sich lohnt, ein nachvertragliches Wettbewerbsverbot mit Karenzentschädigung.
Was erlaubt bleibt
Das Gesetz nennt ausdrücklich zulässige Handlungen. Erlaubt sind insbesondere:
- Reverse Engineering. Das Beobachten, Untersuchen und Testen eines öffentlich verfügbaren Produkts ist zulässig, sofern es nicht vertraglich wirksam ausgeschlossen wurde. Das ist eine wesentliche Änderung gegenüber der früheren Rechtslage und ein Grund, Lieferverträge zu prüfen.
- Eigenständige Entdeckung oder Schöpfung.
- Hinweisgebende Tätigkeit zur Aufdeckung rechtswidriger Handlungen, soweit sie dem Schutz des allgemeinen öffentlichen Interesses dient. Diese Ausnahme greift mit dem Hinweisgeberschutzgesetz ineinander.
Die Ansprüche
- Unterlassung der Nutzung und Offenlegung
- Vernichtung oder Herausgabe von Dokumenten, Dateien und Gegenständen
- Rückruf und Entfernung rechtsverletzender Produkte vom Markt
- Auskunft über Herkunft und Vertriebsweg
- Schadensersatz, wahlweise nach entgangenem Gewinn, Verletzergewinn oder fiktiver Lizenz
Verfahrensrechtlich bringt das Gesetz eine wichtige Erleichterung: Auf Antrag kann das Gericht Informationen als geheimhaltungsbedürftig einstufen. Damit lässt sich vermeiden, dass ein Prozess das Geheimnis erst recht offenlegt. Ohne diesen Antrag ist genau das ein reales Risiko.
Fazit
Der Schutz entsteht nicht durch das Gesetz, sondern durch das, was ein Unternehmen vorher tut. Drei Schritte tragen den größten Teil: eine ehrliche Klassifizierung, die nicht alles umfasst, ein Berechtigungskonzept, das dem Grundsatz der Erforderlichkeit folgt, und ein Offboarding, das dokumentiert ist. Wer das hat, führt einen Prozess über die Verletzung. Wer es nicht hat, führt einen über die Frage, ob es überhaupt ein Geheimnis gab.