Ein Mitbewerber bringt ein Produkt auf den Markt, das Ihrer Eigenentwicklung in technischen Details auffällig ähnelt. Ein ehemaliger Vertriebsleiter wechselt zur Konkurrenz und nimmt offenbar Kundendaten mit. Zwei Szenarien, die Geschäftsführer im deutschen Mittelstand regelmäßig treffen – und die seit dem Inkrafttreten des Gesetzes zum Schutz von Geschäftsgeheimnissen (GeschGehG) im Jahr 2019 klare rechtliche Konsequenzen haben.
Das GeschGehG schützt vertrauliches Know-how, Kundenlisten, Fertigungsverfahren und strategische Pläne vor unberechtigter Offenbarung und Nutzung – aber nur, wenn das Unternehmen selbst angemessene Geheimhaltungsmaßnahmen ergriffen hat. Wer diese Maßnahmen nicht dokumentiert, verliert im Streitfall vor Landgericht oder Oberlandesgericht den Schutz des Gesetzes, bevor der Fall überhaupt inhaltlich geprüft wird. Die nachfolgende Checkliste führt Geschäftsführer Schritt für Schritt durch die wesentlichen Anforderungen und zeigt, wo der Handlungsbedarf am größten ist.
Der Beitrag gliedert sich in acht Abschnitte: von der Grundstruktur des GeschGehG über die Anforderungen an Geheimhaltungsmaßnahmen bis zu Rechtsbehelfen bei einem Geheimnisbruch.
Was schützt das GeschGehG – und was nicht?
Das GeschGehG definiert ein Geschäftsgeheimnis als Information, die nicht allgemein bekannt oder leicht zugänglich ist, einen wirtschaftlichen Wert durch ihre Vertraulichkeit besitzt und Gegenstand angemessener Geheimhaltungsmaßnahmen des Inhabers ist. Alle drei Voraussetzungen müssen kumulativ vorliegen; fehlt eine einzige, greift der Schutz nicht.
In der Mandatspraxis sehen wir häufig, dass Unternehmen die erste Voraussetzung – fehlende allgemeine Zugänglichkeit – für selbstverständlich halten, während sie die dritte Voraussetzung, die Dokumentation angemessener Schutzmaßnahmen, vernachlässigen. Gerade diese dritte Voraussetzung entscheidet vor den Gerichten regelmäßig über Erfolg oder Misserfolg eines Antrags auf einstweiligen Rechtsschutz.
Nicht geschützt sind Informationen, die durch Reverse Engineering aus rechtmäßig erworbenen Produkten gewonnen werden können, sowie Informationen, die der Arbeitnehmer als allgemeines Berufswissen internalisiert hat. Das GeschGehG schützt konkrete, identifizierbare Geheimnisse, nicht das abstrakte Erfahrungswissen einer Person. Für Geschäftsführer bedeutet das: Je präziser das Unternehmen seine Geheimnisse benennt und abgrenzt, desto belastbarer ist die Rechtsposition im Streitfall.
Schritt 1: Geheimnisinventur – welche Informationen verdienen Schutz?
Der erste Schritt jeder GeschGehG-konformen Schutzarchitektur ist eine systematische Inventur schützenswerter Informationen. Ohne diese Bestandsaufnahme können weder technische noch vertragliche Schutzmaßnahmen zielgenau ausgestaltet werden.
Typische Kategorien schützenswerter Informationen im Mittelstand umfassen:
- Technische Entwicklungsunterlagen, Konstruktionspläne, Prüfprotokolle und Quellcodes
- Fertigungsrezepturen, Prozessparameter, Materiallisten und Qualitätsspezifikationen
- Kundenlisten mit Konditionen, Rabattstrukturen und Bedarfsprofilen
- Lieferantenstrukturen und Bezugskonditionen
- Strategische Planungen, Kalkulationsmodelle und Markteintrittspläne
- Software, Algorithmen und proprietäre Datenmodelle
Praktische Empfehlung: Führen Sie ein internes Geheimnisregister, das für jede Informationskategorie den Vertraulichkeitsgrad (z. B. „streng vertraulich" / „vertraulich" / „intern"), den Kreis der berechtigten Wissensträger und die geltenden Schutzmaßnahmen dokumentiert. Das Geheimnisregister ist im Streitfall ein zentrales Beweismittel. Ohne eine solche Dokumentation wird es einem Gericht kaum möglich sein, den Schutzumfang nachzuvollziehen.
Schritt 2: Welche Geheimhaltungsmaßnahmen sind „angemessen" im Sinne des GeschGehG?
Das GeschGehG verlangt „angemessene Geheimhaltungsmaßnahmen" – ein unbestimmter Rechtsbegriff, den Landgericht und Oberlandesgericht im Einzelfall ausfüllen. Angemessenheit richtet sich nach dem wirtschaftlichen Wert des Geheimnisses, der Größe des Unternehmens und dem Stand der Technik.
In der Praxis hat sich eine dreischichtige Schutzarchitektur bewährt:
- Technische Maßnahmen: Zugriffsberechtigungskonzepte für IT-Systeme (Need-to-know-Prinzip), Verschlüsselung sensibler Dateien, Protokollierung von Zugriffen, physische Zutrittskontrollen für Labore und Produktionsbereiche.
- Organisatorische Maßnahmen: Kennzeichnung vertraulicher Dokumente, Vier-Augen-Prinzip bei Weitergabe an Externe, Richtlinien zum Umgang mit Geheimnissen, regelmäßige Sensibilisierung der Mitarbeitenden.
- Vertragliche Maßnahmen: Geheimhaltungsvereinbarungen (NDAs) mit Mitarbeitenden, Kunden, Lieferanten und Kooperationspartnern; nachvertragliche Geheimhaltungspflichten; Vertragsstrafen bei Verletzung.
Wie angemessen ein konkretes Maßnahmenpaket ist, lässt sich nicht abstrakt beantworten. Nach unserer Erfahrung setzen Gerichte bei technologieintensiven Mittelständlern einen deutlich höheren Maßstab an als bei kleinen Handwerksunternehmen. Entscheidend ist stets, dass das Unternehmen das Maßnahmenpaket dokumentiert und aktuell hält.
Schritt 3: Vertragliche Absicherung – was muss in Arbeits- und Kooperationsverträge?
Vertragliche Geheimhaltungspflichten sind nicht automatisch aus dem Arbeitsrecht abzuleiten; sie bedürfen einer ausdrücklichen, hinreichend bestimmten Vereinbarung. Wer sich auf arbeitsrechtliche Treuepflichten verlässt, ohne konkrete Geheimhaltungsklauseln zu vereinbaren, riskiert eine Schutzlücke.
Für Arbeitsverträge empfehlen sich folgende Regelungsbausteine:
- Definition des Schutzgegenstands: Welche Informationskategorien gelten als vertraulich?
- Pflicht zur Rückgabe oder Löschung aller vertraulichen Unterlagen bei Beendigung des Arbeitsverhältnisses
- Nachvertragliche Geheimhaltungspflicht mit klar definierter Laufzeit – in Abgrenzung zum wettbewerbsrechtlichen Nachbesserungsverbot
- Vertragsstrafenregelung, die einer AGB-Kontrolle standhält (§§ 305 ff. BGB)
Bei Kooperationsverträgen, gemeinsamen Entwicklungsprojekten oder Lizenzvereinbarungen ist ein separates NDA empfehlenswert, das vor Beginn jeglichen Informationsaustauschs unterzeichnet wird. Ein NDA, das erst nach dem ersten Austausch vertraulicher Informationen geschlossen wird, schützt die bereits offenbarten Informationen nicht rückwirkend. Dieser Fehler begegnet uns in der Mandatspraxis überraschend häufig.
Haben Sie beim letzten Kooperationsgespräch mit einem Lieferanten oder Entwicklungspartner ein NDA vorliegen gehabt – oder wurde erst nach dem Gespräch an die Formalitäten gedacht?
Schritt 4: Digitale Infrastruktur – IT-seitige Schutzmaßnahmen im GeschGehG-Kontext
Die technischen Schutzmaßnahmen nach dem GeschGehG und die Datensicherheitsanforderungen aus der DSGVO überschneiden sich in weiten Teilen, sind aber nicht identisch. Für Geschäftsführer bietet es sich an, beide Anforderungsrahmen in einem integrierten IT-Sicherheitskonzept zu bündeln.
Folgende IT-seitige Mindestanforderungen sind aus GeschGehG-Perspektive zu prüfen:
- Rollenbasiertes Zugriffsberechtigungskonzept: Nur Personen, die eine Information für ihre Aufgabe benötigen, erhalten Zugriff (Need-to-know).
- Protokollierung und Auditierbarkeit von Zugriffen auf vertrauliche Verzeichnisse und Dateien
- Verschlüsselung vertraulicher Dokumente bei der Speicherung und Übertragung
- Regelungen für mobiles Arbeiten und den Umgang mit privaten Endgeräten (BYOD-Policy)
- Prozess zur sicheren Löschung von Daten auf ausscheidenden Unternehmensgeräten
- Regelmäßige Überprüfung und Aktualisierung von Zugriffsrechten, insbesondere nach Personalwechseln
Beachten Sie: Ein DSGVO-Bußgeld kann nach Art. 83 DSGVO bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes erreichen. Diese Größenordnung macht deutlich, dass eine unzureichende IT-Infrastruktur gleich mehrere Risikodimensionen gleichzeitig aktiviert – die des GeschGehG und die des Datenschutzrechts. Eine konsolidierte Schutzarchitektur ist daher nicht nur rechtlich geboten, sondern auch betriebswirtschaftlich vernünftig.
Schritt 5: Mitarbeitersensibilisierung und interne Compliance
Technische und vertragliche Maßnahmen sind wirkungslos, wenn Mitarbeitende nicht wissen, welche Informationen als vertraulich gelten und wie sie damit umgehen sollen. Regelmäßige Schulungen sind daher kein bloßes „Nice-to-have", sondern Teil der „angemessenen Geheimhaltungsmaßnahmen" im Sinne des GeschGehG.
Ein praxistaugliches Schulungskonzept umfasst:
- Einführungsschulung für neue Mitarbeitende mit schriftlicher Bestätigung der Kenntnisnahme der Geheimhaltungsrichtlinie
- Regelmäßige Auffrischungsschulung (mindestens jährlich) für alle Mitarbeitenden mit Zugang zu vertraulichen Informationen
- Rollenspezifische Schulungen für Vertrieb, Entwicklung und Einkauf, die besondere Schnittstellen nach außen haben
- Klare Eskalationswege: Wer ist zu informieren, wenn ein Mitarbeitender einen Geheimnisbruch vermutet?
Nach unserer Erfahrung unterschätzen gerade inhabergeführte Unternehmen den Wert einer schriftlichen Geheimhaltungsrichtlinie (Policy), die leicht verständlich formuliert ist und im Intranet oder Mitarbeiterhandbuch verankert wird. Ein solches Dokument stärkt nicht nur die interne Compliance-Kultur, sondern dient im Streitfall als Beleg dafür, dass das Unternehmen seinen Schutzpflichten ernsthaft nachgekommen ist.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Unternehmen aus dem Maschinenbau, das festgestellt hatte, dass ein ausgeschiedener Vertriebsleiter vor seinem Weggang umfangreiche Kundendatenbanken auf ein privates Speichermedium übertragen hatte. Ausgangslage: Das Unternehmen verfügte über Geheimhaltungsklauseln im Arbeitsvertrag, jedoch kein dokumentiertes Zugriffsberechtigungskonzept und keine Protokollierung von Dateitransfers. Vorgehen: Im Rahmen einer kombinierten Strategie wurde zunächst gesichert, welche Daten tatsächlich transferiert worden waren; parallel wurde anhand des vorhandenen Vertragswerks geprüft, ob einstweiliger Rechtsschutz vor dem zuständigen Landgericht erreichbar war. Das fehlende technische Schutzkonzept erschwerte die Glaubhaftmachung der Schutzmaßnahmen erheblich. Ergebnis: Eine außergerichtliche Einigung konnte erreicht werden; der Mandant hat seither ein umfassendes Geheimhaltungsschutzkonzept eingeführt, das technische, organisatorische und vertragliche Maßnahmen integriert.
Schritt 6: Was tun bei einem Geheimnisbruch? Rechtsbehelf und Verfahrensstrategie
Wird ein Geheimnisbruch festgestellt oder ernsthaft vermutet, zählt jede Stunde. Das GeschGehG stellt ein differenziertes Instrumentarium an Rechtsbehelfen bereit, das Geschäftsführer kennen sollten, bevor der Ernstfall eintritt.
Folgende Schritte sind bei einem vermuteten Geheimnisbruch zu prüfen:
- Beweissicherung vor allem anderen: Keine vorschnellen Konfrontationen mit dem Verdächtigen – diese können Beweise vernichten. Digitale Protokolle, Zugriffshistorien und Metadaten sichern, idealerweise durch forensisch dokumentierte Prozesse.
- Anwaltliche Erstbewertung: Liegen die Voraussetzungen des GeschGehG vor? Ist die Information tatsächlich ein Geheimnis im gesetzlichen Sinne? Bestehen ausreichend dokumentierte Schutzmaßnahmen?
- Einstweiliger Rechtsschutz (LG/OLG): Bei dringendem Handlungsbedarf kann ein Antrag auf Erlass einer einstweiligen Verfügung gestellt werden, die Unterlassung, Herausgabe oder Vernichtung der widerrechtlich erlangten Information sichert. Die Dringlichkeit ist zeitkritisch; Zuwarten gefährdet den Verfügungsanspruch.
- Hauptsacheklage: Beseitigung, Unterlassung, Herausgabe, Schadensersatz und Auskunft sind die zentralen Ansprüche nach dem GeschGehG. Im Hauptsacheverfahren vor dem Landgericht ist regelmäßig fachkundiger Vortrag zur Schutzmaßnahmen-Dokumentation erforderlich.
- Strafanzeige: Das GeschGehG sieht Straftatbestände vor; ergänzend kommen UWG und ggf. StGB-Tatbestände in Betracht. Eine Strafanzeige kann parallel zur zivilrechtlichen Verfolgung sinnvoll sein.
- Arbeitsrechtliche Maßnahmen: Bei Mitarbeitendem als Täter: außerordentliche Kündigung und ggf. Schadensersatzklage; Fristen im Arbeitsrecht beachten.
Ist Ihr Unternehmen in der Lage, im Falle eines Geheimnisbruchs innerhalb von 24 Stunden alle relevanten digitalen Protokolle zu sichern und einen spezialisierten Anwalt zu mandatieren? Diese Frage sollte im Rahmen der Notfallplanung beantwortet werden, bevor sie sich im Ernstfall stellt.
Schritt 7: Regelmäßige Überprüfung – GeschGehG-Compliance als laufender Prozess
Die Einführung eines Geheimhaltungsschutzkonzepts ist kein einmaliger Vorgang. Das GeschGehG verlangt angemessene Maßnahmen zum Zeitpunkt der Verletzungshandlung; ein Konzept, das vor fünf Jahren dem Stand der Technik entsprach, kann heute lückenhaft sein.
Empfehlenswert ist ein jährlicher GeschGehG-Review, der folgende Punkte umfasst:
- Aktualisierung des Geheimnisregisters: Neue Entwicklungen, Produkte oder Verfahren aufnehmen; veraltete oder nicht mehr geheime Informationen entfernen.
- Überprüfung der IT-Zugriffsberechtigungen: Wurden nach Personalwechseln alle Berechtigungen zeitnah angepasst?
- Review der Mustervertragswerke: Entsprechen NDA-Vorlagen und Arbeitsvertragsklauseln dem aktuellen Stand der Rechtsprechung?
- Schulungsdokumentation: Sind alle schulungspflichtigen Mitarbeitenden erfasst und aktuell geschult?
- Vorfallanalyse: Gab es im vergangenen Jahr Verdachtsfälle oder Beinahevorfälle, die eine Anpassung des Schutzkonzepts nahelegen?
Dieser Review sollte dokumentiert und von der Geschäftsführung gezeichnet werden. Die Verantwortung für die GeschGehG-Compliance liegt bei der Geschäftsführung; eine Delegation auf untere Ebenen ohne Letztverantwortung der Führungsebene ist nicht ausreichend.
Die vorstehende Checkliste beschreibt die wesentlichen Anforderungen im Regelbild. Ihr konkretes Schutzkonzept erfordert die Prüfung der spezifischen Informationskategorien in Ihrem Unternehmen, der bestehenden Vertragswerke und der eingesetzten IT-Infrastruktur. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum Schutz von Geschäftsgeheimnissen nach dem GeschGehG
Was ist ein Geschäftsgeheimnis nach dem GeschGehG?
Ein Geschäftsgeheimnis nach dem GeschGehG ist jede Information, die nicht allgemein bekannt oder leicht zugänglich ist, einen wirtschaftlichen Wert durch ihre Vertraulichkeit besitzt und Gegenstand angemessener Geheimhaltungsmaßnahmen des Inhabers ist. Typische Beispiele sind Fertigungsrezepturen, Kundenlisten, Quellcodes und strategische Planungen. Fehlt eine der drei Voraussetzungen, greift der gesetzliche Schutz nicht – unabhängig davon, wie wertvoll die Information wirtschaftlich ist.
Was sind „angemessene Geheimhaltungsmaßnahmen" im Sinne des GeschGehG?
Der Begriff ist im GeschGehG nicht abschließend definiert. Angemessen sind Maßnahmen, die dem wirtschaftlichen Wert des Geheimnisses, der Unternehmensgröße und dem Stand der Technik entsprechen. In der Praxis umfasst ein belastbares Schutzkonzept technische Maßnahmen (IT-Zugriffskontrollen, Verschlüsselung), organisatorische Maßnahmen (Kennzeichnung, Schulungen, Richtlinien) und vertragliche Maßnahmen (NDAs, Geheimhaltungsklauseln). Die Maßnahmen müssen dokumentiert sein, da Gerichte die Angemessenheit anhand der vorgelegten Unterlagen beurteilen.
Muss ein NDA vor oder nach dem ersten Informationsaustausch unterzeichnet werden?
Ein Geheimhaltungsvertrag (NDA) muss vor dem ersten Austausch vertraulicher Informationen geschlossen werden. Informationen, die vor Unterzeichnung des NDA offenbart wurden, genießen keinen vertraglichen Schutz nach dem NDA – sie können aber unter Umständen noch durch das GeschGehG geschützt sein, wenn die übrigen Voraussetzungen vorliegen. Die Praxis zeigt, dass NDAs in Kooperations- und Liefergesprächen häufig zu spät eingeholt werden. Etablieren Sie ein Verfahren, das die NDA-Unterzeichnung als Vorbedingung jedes Informationsaustauschs verankert.
Welche Rechtsbehelfe bietet das GeschGehG bei einem Geheimnisbruch?
Das GeschGehG stellt folgende Rechtsbehelfe bereit: Unterlassung, Beseitigung, Herausgabe oder Vernichtung der widerrechtlich erlangten Information sowie Schadensersatz und Auskunft. Bei dringendem Handlungsbedarf ist einstweiliger Rechtsschutz vor dem Landgericht möglich, erfordert aber eine schnelle Reaktion, da Zuwarten die Dringlichkeit entfallen lassen kann. Parallel kommt eine Strafanzeige sowie – bei Mitarbeitenden – eine außerordentliche Kündigung in Betracht.
Haftet der Geschäftsführer persönlich, wenn das Unternehmen kein GeschGehG-Schutzkonzept eingeführt hat?
Eine unmittelbare persönliche Haftung des Geschäftsführers für fehlende Geheimhaltungsmaßnahmen ergibt sich nicht direkt aus dem GeschGehG. Mittelbar kann jedoch eine Organhaftung nach § 43 GmbHG in Betracht kommen, wenn der Geschäftsführer es unterlässt, für angemessene Schutzmaßnahmen zu sorgen und dem Unternehmen dadurch ein Schaden entsteht, weil Know-how-Verluste nicht verfolgt werden können. Die Einführung und Pflege eines GeschGehG-Schutzkonzepts ist daher eine Sorgfaltspflicht der Geschäftsführung.
Gilt das GeschGehG auch gegenüber Lieferanten und Kooperationspartnern?
Ja. Das GeschGehG schützt Geschäftsgeheimnisse grundsätzlich auch gegenüber Dritten außerhalb des Unternehmens, sofern die Information durch erlangungsrechtswidrige Handlungen oder in Verletzung einer Geheimhaltungspflicht offenbart oder genutzt wird. Für Kooperationspartner und Lieferanten empfehlen sich ergänzend vertragliche Geheimhaltungsvereinbarungen, die konkrete Pflichten und Vertragsstrafen vorsehen, da deren Durchsetzung im Streitfall klarer und schneller erfolgen kann als eine Klage aus dem GeschGehG allein.
Die vorstehende Darstellung betrifft die Regelfälle des GeschGehG-Schutzes. Ihr konkreter Fall erfordert die Prüfung Ihrer bestehenden Vertragswerke, IT-Infrastruktur und Dokumentationslage. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.