Ein Softwareunternehmen mit 80 Mitarbeitern stellt fest, dass ein ehemaliger leitender Entwickler unmittelbar nach seinem Ausscheiden ein Konkurrenzprodukt auf den Markt bringt, das dem internen Algorithmus des Unternehmens frappierend ähnelt. Die Frage, die dem Geschäftsführer in diesem Moment brennt, ist nicht theoretischer Natur: Was kann ich sofort tun, und worauf kommt es rechtlich an?
Das Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG) schützt vertrauliches technisches und unternehmerisches Know-how aktiv — jedoch nur dann, wenn der Rechtsinhaber selbst angemessene Schutzmaßnahmen ergriffen hat. Für die Software- und IT-Branche bedeutet das: Quellcodes, Entwicklungsdokumentationen, Trainingsdaten für KI-Modelle und proprietäre Algorithmen können als Geschäftsgeheimnisse rechtlich geschützt sein, sofern eine dokumentierte Schutzkonzeption besteht. Fehlt diese Konzeption, versagen sämtliche Ansprüche — unabhängig vom tatsächlichen wirtschaftlichen Schaden.
Dieser Beitrag erläutert den Rechtsrahmen des GeschGehG für IT-Unternehmen, zeigt die häufigsten Schutzlücken auf und beschreibt das anwaltliche Vorgehen bei Verletzungen — von der einstweiligen Verfügung bis zum Hauptsacheverfahren vor Landgericht oder Oberlandesgericht.
Was schützt das GeschGehG, und warum ist die Software-Branche besonders betroffen?
Das GeschGehG, mit dem die EU-Richtlinie 2016/943 in deutsches Recht umgesetzt wurde, definiert ein Geschäftsgeheimnis anhand von drei kumulativen Voraussetzungen: Das Wissen muss geheim sein, einen wirtschaftlichen Wert durch seine Geheimhaltung haben, und der Rechtsinhaber muss angemessene Geheimhaltungsmaßnahmen getroffen haben. Dieser dritte Pfeiler ist der entscheidende Unterschied zur alten Rechtslage unter dem UWG und gleichzeitig die größte Hürde für Unternehmen, die unvorbereitet in einen Verletzungsstreit geraten.
Für die Software- und IT-Branche ergibt sich eine besondere Exposition. Technisches Know-how zirkuliert hier in einer Geschwindigkeit, die andere Branchen selten kennen: Entwickler wechseln häufiger als in anderen Sektoren, Remote-Work-Arrangements erschweren die physische Kontrolle über Datenbestände, und agile Entwicklungsmethoden erzeugen ständig neue dokumentationsarme Wissensbestände. Zugleich konzentriert sich der Unternehmenswert vieler IT-Mittelständler fast vollständig auf immaterielles Know-how — Quellcode, proprietäre Frameworks, Datenbankarchitekturen, Trainingsdatensätze und Geschäftsmodellkonzepte.
Was konkret als Geschäftsgeheimnis in der IT-Branche qualifizieren kann: Algorithmen und Softwarearchitekturen, Kundendaten und Nutzerverhaltensprofile in aggregierter Form, KI-Trainingsdaten, interne Entwicklungsroadmaps, Preisgestaltungsmodelle sowie Quellcodes in nicht offengelegter Form. Wichtig zu verstehen: Der bloße Umstand, dass eine Information wertvoll ist, begründet noch keinen rechtlichen Schutz. Die Schutzmaßnahmen müssen aktiv und nachweisbar sein.
Welche Schutzmaßnahmen fordert das GeschGehG konkret?
Das Tatbestandsmerkmal der „angemessenen Geheimhaltungsmaßnahmen" wird im Gesetz selbst nicht abschließend definiert — seine Auslegung obliegt den Gerichten und hat sich seit Inkrafttreten des GeschGehG im April 2019 in einer stetig wachsenden Judikatur der Landgerichte und Oberlandesgerichte gefestigt. In der Mandatspraxis sehen wir eine klare Zweiteilung: Unternehmen, die organisatorische und technische Maßnahmen dokumentiert haben, stehen im Verletzungsstreit erheblich besser da als jene, die sich auf eine allgemeine Vertraulichkeitskultur verlassen.
Auf der organisatorischen Ebene zählen zu den anerkannten Maßnahmen: Vertraulichkeitsvereinbarungen mit Mitarbeitern (bereits im Arbeitsvertrag oder als gesonderte Zusatzvereinbarung), NDA-Klauseln mit externen Entwicklern, Beratern und Lieferanten, klare interne Richtlinien zum Umgang mit vertraulichen Informationen sowie Need-to-Know-Zugangskonzepte. Letztere sind gerade in Entwicklungsteams schwierig umzusetzen, doch sie sind unverzichtbar: Wer jedem Entwickler vollen Repository-Zugang gewährt, wird im Streitfall Schwierigkeiten haben zu belegen, dass der spezifische Algorithmus tatsächlich geheim gehalten werden sollte.
Auf der technischen Ebene erwartet die Rechtsprechung Zugangsrestriktionen für Code-Repositories (Role-Based Access Control), Verschlüsselung sensibler Entwicklungsdokumente, Audit-Logs über Zugriffshistorien und — bei kritischem Code — Wasserzeichenlösungen oder Code-Fragmentierung, die die Rückverfolgung einer eventuellen Offenbarung erlauben. Nach unserer Erfahrung mit IT-Mandaten führt das Fehlen technischer Dokumentation der Zugangsrechte häufiger zum Prozessverlust als das Fehlen schriftlicher Verträge.
Ein praxisrelevantes Konstruktionsprinzip: Die Maßnahmen müssen nicht perfekt oder lückenlos sein. Das Gericht fragt, ob sie unter Abwägung des wirtschaftlichen Werts des Geheimnisses und der damit verbundenen Kosten angemessen waren. Ein Bootstrap-Startup mit fünf Entwicklern wird an einem anderen Maßstab gemessen als ein Softwarekonzern mit eigener IT-Sicherheitsabteilung. Diese Verhältnismäßigkeit ist für den Mittelstand eine wichtige Nachricht — die Anforderungen sind erfüllbar, wenn man sie systematisch angeht.
Wann liegt eine Rechtsverletzung nach dem GeschGehG vor, und wer haftet?
Das GeschGehG unterscheidet drei Handlungsformen, die eine Verletzung begründen können: die rechtswidrige Erlangung eines Geheimnisses, seine unbefugte Nutzung sowie seine unbefugte Offenbarung gegenüber Dritten. Für die Software-Branche sind alle drei Varianten relevant, wobei in der Praxis die Konstellation „ehemaliger Mitarbeiter gründet oder wechselt zu einem Wettbewerber und nutzt intern erworbenes Know-how" mit Abstand am häufigsten auftritt.
Haftbar können neben dem unmittelbaren Verletzer auch Dritte sein, die ein Geheimnis in Kenntnis seiner rechtswidrigen Herkunft nutzen oder offenbaren — also etwa ein Wettbewerber, der einen abgeworbenen Entwickler bewusst einsetzt, um dessen Kenntnisse zu verwerten. Das GeschGehG schließt damit eine Schutzlücke, die das alte UWG-Recht gelassen hatte.
Für Geschäftsführer eines IT-Unternehmens gilt: Die Haftung trifft nicht nur das Unternehmen als Rechtsträger, sondern kann — über das allgemeine Deliktsrecht und das Gesellschaftsrecht — auf die Geschäftsführung persönlich durchschlagen, wenn diese die Verletzung aktiv befördert oder durch organisatorisches Versagen ermöglicht hat. Wir beraten regelmäßig Geschäftsführer, die sich nach einem Mitarbeiterabgang mit persönlichen Schadensersatzforderungen oder staatsanwaltschaftlichen Ermittlungen konfrontiert sehen — eine Situation, die sich durch frühzeitige Schutzmaßnahmen in den meisten Fällen hätte vermeiden lassen.
Auf Seiten des Verletzten stehen nach dem GeschGehG folgende Ansprüche zur Verfügung: Unterlassung (§ 6 GeschGehG), Beseitigung (§ 7 GeschGehG), Auskunft und Rechnungslegung (§ 8 GeschGehG) sowie Schadensersatz (§ 10 GeschGehG). Der Schadensersatz kann alternativ auf Basis des entgangenen Gewinns, des Verletzergewinns oder einer angemessenen Lizenzgebühr berechnet werden. Diese drei Berechnungsmethoden räumen dem Verletzten erhebliche strategische Flexibilität ein — welche Methode im Einzelfall vorteilhafter ist, hängt von den konkreten Marktverhältnissen ab.
Einstweiliger Rechtsschutz und Hauptsacheverfahren: das anwaltliche Vorgehen
Zeitdruck ist das dominierende Merkmal des Verletzungsstreitverfahrens im GeschGehG-Bereich. Ist ein Geheimnis erst einmal offenbart oder ein Konkurrenzprodukt auf Basis des entwendeten Know-hows am Markt, lässt sich der Schaden oft nicht mehr vollständig rückgängig machen. Das Gesetz sieht deshalb ausdrücklich vorläufige Maßnahmen vor: einstweilige Verfügungen auf Unterlassung der Nutzung sowie auf Vorlage und Sicherstellung von Dokumenten (§§ 935 ff. ZPO i. V. m. GeschGehG).
Für die Beantragung einer einstweiligen Verfügung vor dem zuständigen Landgericht — in der Regel dem Gericht am Sitz des Verletzers oder am Ort der Verletzungshandlung — muss der Antragsteller sowohl Verfügungsanspruch als auch Verfügungsgrund glaubhaft machen. Der Verfügungsgrund setzt Dringlichkeit voraus: Die Rechtsprechung der Oberlandesgerichte legt nahe, dass nach Kenntnis der Verletzung nicht unnötig zugewartet werden sollte — als grobe Orientierung gilt ein Zeitraum von wenigen Wochen, der im Einzelfall anwaltlich zu prüfen ist. Zuwarten gefährdet den Verfügungsgrund und damit den gesamten Eilrechtsschutz.
Nach Erlass einer einstweiligen Verfügung besteht häufig die Wahl zwischen Abschlussverfahren (dem Verletzer wird Gelegenheit gegeben, die einstweilige Verfügung als endgültige Regelung anzuerkennen) und dem Hauptsacheverfahren. In Verfahren vor Landgericht und Oberlandesgericht ist das GeschGehG mittlerweile ein etabliertes Rechtsgebiet; die Kammern für Handelssachen verfügen über zunehmende Expertise, insbesondere an Standorten wie München, Hamburg, Düsseldorf und Frankfurt.
Ein wichtiger prozessualer Aspekt: Das GeschGehG erlaubt dem Gericht auf Antrag, das Verfahren — oder Teile davon — unter Ausschluss der Öffentlichkeit zu führen und den Parteien sowie ihren Vertretern Geheimhaltungspflichten aufzuerlegen (§ 19 GeschGehG). Für IT-Unternehmen, die befürchten, dass die Darlegung des verletzten Geheimnisses im Verfahren zu einer weiteren Offenbarung führt, ist diese Regelung von erheblicher praktischer Bedeutung. Wir setzen diesen Mechanismus in Mandaten regelmäßig ein, um eine Eskalation des Schadens im Prozess selbst zu verhindern.
Aus der Mandatspraxis
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Softwareunternehmen aus dem Bereich industrielle Prozessautomatisierung. Ausgangslage: Drei Entwickler hatten das Unternehmen innerhalb weniger Wochen verlassen und unmittelbar danach ein eigenes Unternehmen gegründet, das ein funktionsähnliches Produkt mit offensichtlich vergleichbarer Architektur anbot. Das Unternehmen verfügte über Arbeitsverträge mit Vertraulichkeitsklauseln, hatte jedoch kein dokumentiertes Zugriffskonzept für das interne Code-Repository. Vorgehen: Im ersten Schritt rekonstruierten wir anhand der verfügbaren Audit-Logs die Zugriffs- und Download-Historie der ausgeschiedenen Entwickler. Auf dieser Basis glaubhafteten wir Verfügungsanspruch und Verfügungsgrund und erwirkten eine einstweilige Verfügung auf Unterlassung der Nutzung und des Vertriebs des Konkurrenzprodukts. Parallel wurde im Wege der Auskunftsklage die Offenlegung der Entwicklungsdokumentation des Konkurrenten vorbereitet. Ergebnis: Das Verfahren wurde im Wege eines Vergleichs beigelegt; das Konkurrenzprodukt wurde vom Markt genommen und das Know-how unter Vereinbarung einer Lizenzgebühr in einem definierten Bereich weiter genutzt. Erfundene Beträge oder Erfolgsquoten werden an dieser Stelle bewusst nicht genannt.
Schutzkonzepte präventiv aufbauen: Was sollte ein IT-Unternehmen jetzt tun?
Prävention ist im GeschGehG-Recht kein optionaler Luxus, sondern rechtliche Voraussetzung für den Schutz. Ohne dokumentiertes Schutzkonzept gibt es im Streitfall schlicht nichts, worauf Ansprüche gestützt werden könnten. Die gute Nachricht: Ein rechtssicheres Schutzkonzept lässt sich für ein mittelständisches IT-Unternehmen strukturiert aufbauen, wenn man systematisch vorgeht.
Der erste Schritt ist die Know-how-Inventur: Welche Informationen sind im Unternehmen tatsächlich geheimhaltungsbedürftig und haben wirtschaftlichen Wert? Diese Bestandsaufnahme ist nicht trivial — viele Geschäftsführer unterschätzen, wie viel schutzwürdiges Wissen in nicht dokumentierter Form in den Köpfen der Entwicklungsteams steckt. Der zweite Schritt ist die Klassifizierung: Nicht jede Information verdient das gleiche Schutzniveau. Eine dreistufige Klassifizierung (öffentlich — intern — streng vertraulich) ist in der Praxis handhabbar und von der Rechtsprechung anerkannt.
Darauf aufbauend sollten die vertraglichen Grundlagen überprüft und angepasst werden. Arbeitsverträge, Auftragnehmervereinbarungen, Kooperationsverträge und Lieferantenverträge müssen GeschGehG-konforme Vertraulichkeitsklauseln enthalten — Klauseln, die vor April 2019 formuliert wurden, entsprechen häufig nicht mehr dem aktuellen Rechtsniveau. Besondere Sorgfalt ist bei Klauseln zur nachvertraglichen Geheimhaltung geboten: Diese müssen hinreichend bestimmt formuliert sein und dürfen den Arbeitnehmer nicht unangemessen in seiner Berufsfreiheit beschränken.
Technische Maßnahmen schließen das Konzept ab: Zugangsberechtigungskonzepte für Code-Repositories, Verschlüsselung, Audit-Logging, Device-Management-Richtlinien für Remote-Work-Szenarien und Offboarding-Protokolle bei Mitarbeiterausscheiden. Das Offboarding ist ein häufig unterschätzter Risikopunkt — wir empfehlen, in den letzten Wochen vor dem Ausscheiden eines Mitarbeiters mit Zugang zu kritischem Know-how die Zugriffsrechte systematisch zu reduzieren und den Prozess zu dokumentieren.
Besonderheiten bei Open-Source, Cloud-Diensten und KI-Entwicklung
Die Software-Branche konfrontiert das GeschGehG-Recht mit einer Reihe struktureller Besonderheiten, die in anderen Branchen in dieser Form nicht auftreten. Drei davon verdienen besondere Aufmerksamkeit.
Open-Source-Komponenten im proprietären Kontext: Viele IT-Unternehmen nutzen Open-Source-Bibliotheken als Basis eigener proprietärer Entwicklungen. Das schützenswerte Geheimnis liegt dann nicht in den Open-Source-Bestandteilen selbst, sondern in der spezifischen Kombination, Konfiguration und Erweiterung. Entscheidend ist, dass das Unternehmen klar dokumentiert, welche Bestandteile proprietär sind und welche nicht — andernfalls kann im Streitfall kein abgrenzbares Geheimnis dargelegt werden.
Cloud-Dienste und Drittanbieter: Wer kritisches Know-how in Cloud-Umgebungen betreibt, muss sicherstellen, dass die vertragsrechtliche Grundlage mit dem Cloud-Anbieter den Geheimhaltungsanforderungen entspricht. Standardmäßige Cloud-Nutzungsbedingungen enthalten selten ausreichende Vertraulichkeitsgarantien. Der Einsatz von Verschlüsselung, bei der der Cloud-Anbieter keinen Zugang zu den Schlüsseln hat, ist eine technische Maßnahme, die sowohl dem Schutz als auch dem Nachweis der Geheimhaltungsintention dient.
KI-Trainingsdaten und maschinell erzeugte Modelle: Die Frage, ob und unter welchen Bedingungen KI-Trainingsdatensätze und trainierte Modellgewichte als Geschäftsgeheimnisse qualifizieren, ist eine der rechtlich dynamischsten Fragen im GeschGehG-Kontext. Nach der überwiegenden Auffassung in der Literatur und der sich entwickelnden Praxis der Instanzgerichte ist dies grundsätzlich möglich, wenn die Datensätze nicht öffentlich zugänglich sind, ihr wirtschaftlicher Wert aus ihrer Geheimhaltung resultiert und entsprechende Schutzmaßnahmen getroffen wurden. Wir beraten regelmäßig Unternehmen, die sowohl als Entwickler als auch als Nutzer von KI-Systemen an diesem Schnittpunkt stehen.
Häufig gestellte Fragen zum Schutz von Geschäftsgeheimnissen in der IT-Branche
Reicht eine allgemeine Vertraulichkeitsklausel im Arbeitsvertrag als Schutzmaßnahme aus?
Eine Vertraulichkeitsklausel im Arbeitsvertrag ist eine notwendige, aber in der Regel keine hinreichende Schutzmaßnahme im Sinne des GeschGehG. Die Rechtsprechung der Landgerichte und Oberlandesgerichte verlangt ein Bündel organisatorischer und technischer Maßnahmen, das auf das konkret zu schützende Know-how zugeschnitten ist. Eine isolierte vertragliche Regelung ohne begleitende technische Zugangskontrollen und interne Richtlinien wird im Streitfall regelmäßig nicht genügen, um den Schutztatbestand zu erfüllen. Eine anwaltliche Überprüfung der bestehenden Schutzkonzeption ist daher empfehlenswert.
Wie schnell muss ich nach Entdeckung einer Verletzung handeln?
Zeitnahes Handeln ist prozessual entscheidend. Für den Erlass einer einstweiligen Verfügung — dem wichtigsten Eilrechtsmittel im GeschGehG-Recht — muss neben dem Verfügungsanspruch auch ein Verfügungsgrund glaubhaft gemacht werden, der Dringlichkeit voraussetzt. Die Oberlandesgerichte haben in vergleichbaren Schutzrechtsverfahren mehrfach klargestellt, dass langes Zuwarten nach Kenntnisnahme der Verletzungshandlung die Dringlichkeit widerlegt. In der Praxis sollten Sie anwaltlichen Rat innerhalb weniger Tage nach Kenntnisnahme einholen. Die genauen Fristen sind im Einzelfall zu prüfen.
Kann ich Quellcode als Geschäftsgeheimnis schützen, obwohl er nicht patentierbar ist?
Ja. Das GeschGehG und das Patentrecht sind unabhängige Schutzregime. Quellcode, der nicht patentierbar ist — etwa weil er keine technische Erfindung verkörpert oder weil eine Offenlegung zur Patentanmeldung wirtschaftlich nicht sinnvoll wäre — kann gleichwohl als Geschäftsgeheimnis geschützt sein, wenn er geheim ist, wirtschaftlichen Wert aus seiner Geheimhaltung zieht und angemessene Schutzmaßnahmen getroffen wurden. Viele IT-Unternehmen nutzen bewusst das GeschGehG statt des Patentrechts, weil sie den Quellcode nicht offenlegen wollen — eine legitime Schutzstrategie, die jedoch einer sorgfältigen Schutzkonzeption bedarf.
Was passiert, wenn ein ehemaliger Mitarbeiter das Geheimnis bereits weitergegeben hat?
Auch in diesem Fall bestehen Ansprüche nach dem GeschGehG. Neben dem unmittelbaren Verletzer können auch Dritte — beispielsweise ein neuer Arbeitgeber des Mitarbeiters, der das Geheimnis in Kenntnis seiner rechtswidrigen Herkunft nutzt — in Anspruch genommen werden. Ansprüche umfassen Unterlassung, Beseitigung, Auskunft und Schadensersatz. Darüber hinaus kommen strafrechtliche Aspekte nach dem GeschGehG (§ 23 GeschGehG) in Betracht, die eine Strafanzeige begründen können. Die konkrete Bewertung erfordert die Prüfung aller Umstände des Einzelfalls.
Gilt das GeschGehG auch für den Schutz gegenüber Wettbewerbern, die durch Reverse Engineering an mein Know-how gelangen?
Das GeschGehG enthält ausdrücklich eine Regelung zum Reverse Engineering: Das eigenständige Rückentwickeln eines Produkts — also das Analysieren des fertigen Produkts zur Rekonstruktion des dahinterstehenden Know-hows — ist grundsätzlich als erlaubte Handlung anerkannt, sofern keine entgegenstehenden vertraglichen Vereinbarungen bestehen (§ 3 Abs. 1 Nr. 2 GeschGehG). Dies ist für Softwareunternehmen eine wichtige Einschränkung des Schutzes: Wer sein Produkt in kompilierter Form am Markt anbietet, muss damit rechnen, dass das erkennbare Architekturprinzip durch Analyse des Binärcodes rekonstruiert werden kann — ohne dass dies eine Verletzung des GeschGehG darstellt.
Verwandte Leistungen
Die vorstehende Darstellung betrifft die rechtlichen Grundsätze des GeschGehG und die typischen Konstellationen in der Software- und IT-Branche. Ihr konkreter Fall erfordert die Prüfung der vorhandenen Schutzmaßnahmen, der vertraglichen Grundlagen und der spezifischen Verletzungshandlung. Zur Klärung, wie das GeschGehG auf Ihr Unternehmen und Ihre Know-how-Situation wirkt, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.