Vom ungeschützten Wissen zum belastbaren Geheimnis
Autor: Dr. David Slopek, LL.M., Fachanwalt für gewerblichen Rechtsschutz · Stand:
Patente, Marken und Designs werden eingetragen – Geschäftsgeheimnisse nicht. Ihr Schutz entsteht allein dadurch, dass das Unternehmen sie wirksam unter Verschluss hält. Ein Schutzkonzept für Geschäftsgeheimnisse macht diese Arbeit planbar: Es ordnet die Informationen nach ihrer Bedeutung, legt passende Maßnahmen fest und hält fest, wer wann was getan hat. Das zahlt sich spätestens dann aus, wenn Unterlagen beim Wettbewerber auftauchen oder Ihnen selbst ein Verstoß vorgeworfen wird.
Wann ist eine Information ein Geschäftsgeheimnis?
Maßgeblich ist § 2 Nr. 1 GeschGehG. Danach braucht es dreierlei: Die Information darf in den einschlägigen Kreisen weder allgemein bekannt noch leicht zugänglich sein und muss gerade deshalb einen wirtschaftlichen Wert haben. Der rechtmäßige Inhaber muss sie durch den Umständen nach angemessene Geheimhaltungsmaßnahmen schützen. Und es muss ein berechtigtes Interesse an der Geheimhaltung bestehen.
Die zweite Voraussetzung ist die eigentliche Hürde. Früher genügte vielen Gerichten ein erkennbarer Wille, etwas vertraulich zu behandeln. Seit Inkrafttreten des Gesetzes im Jahr 2019 kommt es darauf an, was objektiv getan wurde. Wer seine Konstruktionsdaten unverschlüsselt auf einem allgemein zugänglichen Laufwerk ablegt, kann sich später kaum darauf berufen, sie seien geheim gewesen. Ein Schutzkonzept setzt genau hier an.
Bestandsaufnahme und Klassifizierung
Am Anfang steht die Frage, welches Wissen das Unternehmen überhaupt trägt. Häufig sind es nicht nur technische Unterlagen, sondern auch Kalkulationen, Lieferantenkonditionen, Kundendaten, Quellcode, Testergebnisse oder Strategiepapiere. Wir gehen mit den Verantwortlichen aus Entwicklung, Vertrieb, IT und Personal durch, wo solche Informationen entstehen, wo sie liegen und wer darauf zugreift. Dabei zeigt sich oft, dass wichtiges Wissen gar nicht in Dokumenten steckt, sondern in Prozessen, Maschineneinstellungen oder den E-Mail-Postfächern einzelner Personen.
Anschließend werden die Informationen in Stufen eingeordnet, etwa „intern“, „vertraulich“ und „streng vertraulich“. Die Stufe bestimmt, welche Maßnahmen gelten. Das verhindert zweierlei: dass Kronjuwelen so lax behandelt werden wie die Kantinenpläne – und dass alles als geheim gilt und die Kennzeichnung dadurch ihre Wirkung verliert.
- Verzeichnis der schutzwürdigen Informationen mit Ablageort
- Zuordnung zu Schutzstufen und Verantwortlichen
- Festlegung, wer Zugriff braucht und wer nicht
Organisatorische, technische und vertragliche Maßnahmen
Organisatorisch ist das Need-to-know-Prinzip der Kern: Zugang erhält nur, wer die Information für seine Aufgabe tatsächlich benötigt. Dazu kommen schriftliche Richtlinien zum Umgang mit vertraulichen Unterlagen, zur Nutzung privater Geräte, zu Besuchern in sensiblen Bereichen und zum Vorgehen beim Ausscheiden von Beschäftigten. Dokumente der höheren Stufen werden sichtbar gekennzeichnet.
Technisch geht es um abgestufte Zugriffsrechte, Verschlüsselung von Datenträgern und Übertragungen, gesicherte Ablagen und eine Protokollierung, die nachvollziehbar macht, wer wann auf welche Dateien zugegriffen hat. Ein solches Logging dient nicht der Überwachung um ihrer selbst willen; es liefert im Verdachtsfall die Spuren, auf die es ankommt. Wo Beschäftigtendaten betroffen sind, stimmen wir die Maßnahmen mit dem Datenschutz und gegebenenfalls mit dem Betriebsrat ab.
Vertraglich sichern Vertraulichkeitsklauseln in Arbeitsverträgen, Geheimhaltungsvereinbarungen mit Geschäftspartnern sowie Regeln zu Rückgabe und Löschung den Schutz nach außen ab. Wichtig ist, dass die Klauseln zum Konzept passen: Wer im Vertrag pauschal „alle Informationen“ für vertraulich erklärt, riskiert, dass ein Gericht die Regelung als zu unbestimmt ansieht.
Reverse Engineering und Hinweisgeber
Zwei gesetzliche Regeln sollte jedes Konzept berücksichtigen. Nach § 3 Abs. 1 Nr. 2 GeschGehG darf ein Produkt, das öffentlich verfügbar gemacht wurde oder sich rechtmäßig im Besitz des Untersuchenden befindet, beobachtet, untersucht, zerlegt und getestet werden. Was sich auf diesem Weg aus dem Produkt herauslesen lässt, ist gegenüber Dritten also nicht geschützt. Abhilfe schafft nur der Vertrag: In Liefer-, Lizenz- und Kooperationsverträgen lässt sich Reverse Engineering ausdrücklich ausschließen.
Zum anderen nennt § 5 GeschGehG Ausnahmen, in denen die Offenlegung erlaubt ist, etwa zur Aufdeckung einer rechtswidrigen Handlung oder eines beruflichen oder sonstigen Fehlverhaltens, wenn dies dem Schutz des allgemeinen öffentlichen Interesses dient. Daneben gilt das Hinweisgeberschutzgesetz. Ein Schutzkonzept darf solche Meldungen nicht unterbinden; Richtlinien und Verträge sollten das berücksichtigen und auf interne Meldewege hinweisen.
Wer trägt die Verantwortung im Unternehmen?
Ein Konzept, für das niemand zuständig ist, schläft ein. Wir empfehlen, eine Person oder ein kleines Gremium zu benennen, das die Klassifizierung pflegt, Berechtigungen freigibt und Ansprechpartner für Fragen ist. In größeren Unternehmen bietet sich eine Verzahnung mit dem Informationssicherheits- und dem Compliance-Management an; in kleineren genügt oft eine klare Zuständigkeit in der Geschäftsführung mit Unterstützung der IT.
Für die Geschäftsleitung ist das keine reine Formalie. Geschäftsgeheimnisse gehören häufig zu den wichtigsten Vermögenswerten eines Unternehmens, und ihr Verlust kann erhebliche Schäden auslösen. Wer den Schutz organisiert und dokumentiert, zeigt, dass er diese Werte sorgfältig verwaltet – auch gegenüber Investoren, Kaufinteressenten und Versicherern, die in einer Due Diligence danach fragen.
Dokumentation als Beweismittel
Im Prozess trägt der Inhaber die Darlegungslast dafür, dass er angemessene Geheimhaltungsmaßnahmen ergriffen hat. Erklärungen aus der Erinnerung reichen dafür selten. Überzeugend sind Unterlagen: die Klassifizierung, die Berechtigungskonzepte, unterzeichnete Vereinbarungen, Schulungsnachweise und Protokolle. Wer diese laufend pflegt, kann im Eilverfahren innerhalb weniger Tage vortragen – und muss nicht erst rekonstruieren, wie es vor zwei Jahren war. Sinnvoll ist ein schlankes Register, das für jede Schutzstufe die geltenden Maßnahmen, die Zuständigen und das Datum der letzten Prüfung ausweist.
Die Dokumentation hilft auch auf der Gegenseite. Wird Ihrem Unternehmen vorgeworfen, fremde Geheimnisse zu nutzen, belegen eigene Entwicklungsunterlagen und ein sauberer Onboarding-Prozess für neue Beschäftigte, dass das Wissen selbst erarbeitet wurde. Kommt es zum Verfahren, kann das Gericht auf Antrag Informationen als geheimhaltungsbedürftig einstufen (§ 16 GeschGehG), sodass die Vorlage der Belege Ihr Wissen nicht preisgibt.
Schulung und regelmäßige Überprüfung
Die meisten Geheimnisse gehen nicht durch Angriffe von außen verloren, sondern durch Unachtsamkeit oder beim Wechsel von Beschäftigten. Kurze, regelmäßige Schulungen erklären, welche Informationen besonders zu schützen sind, wie Kennzeichnung und Ablage funktionieren und an wen man sich bei Unsicherheiten wendet. Die Teilnahme sollte festgehalten werden. Führungskräfte brauchen zusätzlich Hinweise, wie sie bei Projekten mit externen Partnern und bei Kündigungen vorgehen, damit die Rückgabe von Geräten und die Sperrung von Zugängen nicht vom Zufall abhängen.
Ein Schutzkonzept veraltet mit jedem neuen Produkt, jeder Umstellung der IT und jedem neuen Partner. Wir empfehlen eine Überprüfung in festen Abständen, mindestens einmal im Jahr, und zusätzlich bei Anlass: vor einer Kooperation, einem Unternehmensverkauf, der Einführung eines Cloud-Dienstes oder nach einem Vorfall.
Fazit
Ohne angemessene Geheimhaltungsmaßnahmen kein Geschäftsgeheimnis – und ohne Geschäftsgeheimnis keine Ansprüche auf Unterlassung oder Schadensersatz. Ein Schutzkonzept muss nicht perfekt sein, aber zur Bedeutung der Informationen und zur Größe des Unternehmens passen, gelebt und belegt werden.
Wir entwickeln das Konzept mit Ihnen so, dass es im Alltag funktioniert und im Streitfall trägt, ob Sie Ansprüche durchsetzen oder sich gegen Vorwürfe verteidigen müssen.
