Wer ein Softwareunternehmen führt, dessen wertvollste Vermögensgegenstände stehen nicht in der Bilanz. Algorithmen, Trainingsdaten für KI-Modelle, Quellcode und Architekturdokumentationen sind in der Regel nicht patentiert – sie werden als Geschäftsgeheimnisse gehalten. Gerät dieses Know-how an Wettbewerber, an einen abwandernden Entwickler oder an einen unzuverlässigen Auftragnehmer, ist der wirtschaftliche Schaden schwer zu begrenzen.
Das Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG) bietet Unternehmen der Software- und IT-Branche seit 2019 einen klar definierten zivilrechtlichen Schutzrahmen: Als Geschäftsgeheimnis gilt eine Information nur dann, wenn sie nicht allgemein bekannt, von wirtschaftlichem Wert und Gegenstand angemessener Schutzmaßnahmen ist. Fehlt eine dieser drei Voraussetzungen, entfällt der gesetzliche Schutz – unabhängig davon, wie sensibel die Information tatsächlich ist. Für Geschäftsführer im Mittelstand bedeutet dies: Schutz muss aktiv organisiert werden, nicht passiv erwartet.
Dieser Branchenreport analysiert die rechtliche Ausgangslage nach dem GeschGehG, typische Schwachstellen in IT-Unternehmen, die Anforderungen an gerichtsfeste Schutzmaßnahmen sowie die verfügbaren Rechtsbehelfe – von der einstweiligen Verfügung bis zur Schadensersatzklage vor Landgericht oder Oberlandesgericht.
Was schützt das GeschGehG – und was nicht?
Das GeschGehG (Gesetz zum Schutz von Geschäftsgeheimnissen, in Kraft seit 26. April 2019, umgesetzt aus der EU-Richtlinie 2016/943) definiert den Schutzgegenstand enger als das frühere Recht nach § 17 UWG a. F. Eine Information genießt Schutz nur, wenn sie kumulativ drei Voraussetzungen erfüllt: Sie muss geheim sein, einen eigenständigen wirtschaftlichen Wert besitzen und Gegenstand von angemessenen Geheimhaltungsmaßnahmen des Inhabers sein.
In der IT-Branche sind dies typischerweise: proprietärer Quellcode und Compiler-Konfigurationen, technische Spezifikationen und Systemarchitekturen, Datenbankstrukturen und Datenschemata, KI-Trainingsdatensätze und Modellparameter, Kundendaten im Kontext von CRM-Systemen sowie interne Preismodelle und Lizenzierungsstrategien. Hingegen ist frei zugänglicher Open-Source-Code per definitionem nicht geheim. Ebenso scheidet der Schutz aus, wenn die fragliche Information durch Reverse Engineering allgemein zugänglich gemacht werden kann – was nach § 3 Abs. 1 Nr. 2 GeschGehG ausdrücklich als erlaubte Handlung gilt, solange kein vertragliches Verbot besteht.
Welche Konsequenz ergibt sich daraus für die Unternehmenspraxis? Wer seinen Quellcode nicht durch technische und organisatorische Maßnahmen sichert und keine vertraglichen Geheimhaltungspflichten etabliert, verliert möglicherweise jeden gesetzlichen Anspruch – selbst wenn er nachweist, dass ein früherer Mitarbeiter oder Auftragnehmer die Daten mitgenommen hat. In der Mandatspraxis sehen wir immer wieder Fälle, in denen das Fehlen dokumentierter Schutzmaßnahmen dazu führt, dass eigentlich klare Know-how-Entwendungen nicht mehr gerichtlich durchgesetzt werden können.
Welche Schutzmaßnahmen verlangt das Gesetz konkret?
Der Begriff der „angemessenen Geheimhaltungsmaßnahmen" (§ 2 Nr. 1 lit. b GeschGehG) ist gesetzlich nicht abschließend definiert – das Gesetz fordert eine Verhältnismäßigkeit zwischen dem Schutzniveau und dem wirtschaftlichen Wert des jeweiligen Geheimnisses. Für Softwareunternehmen bedeutet dies, dass die Schutzanforderungen je nach Bedeutung des Assets abgestuft werden müssen.
Auf organisatorischer Ebene sind mindestens folgende Maßnahmen gerichtlich als relevant anerkannt: erstens eine schriftliche Klassifizierung von Informationen (sog. Asset-Klassifizierung), aus der hervorgeht, welche Informationen als Geschäftsgeheimnisse eingestuft werden; zweitens vertragliche Geheimhaltungsvereinbarungen (NDAs) mit Mitarbeitern, Auftragnehmern und Geschäftspartnern, die über den gesetzlichen Mindeststandard hinausgehen; drittens Zugriffsbeschränkungen auf Quellcode-Repositories auf dem Need-to-know-Prinzip; viertens Austrittsprotokoll-Prozesse (sog. Offboarding-Prozess) bei ausscheidenden Entwicklern, einschließlich der Rückgabe und Löschung von Arbeitskopien.
Auf technischer Ebene verlangt die Rechtsprechung der Landgerichte und Oberlandesgerichte zumindest: Zugriffsprotokollierung (Audit Logs) in Versionierungssystemen wie Git, Verschlüsselung sensibler Repositories und Datenbankbereiche sowie das Sperren externer Datentransfers auf nicht autorisierten Kanälen. Ohne dokumentierte Zugriffsprotokolle ist im Streitfall der Nachweis der Geheimhaltungsmaßnahme regelmäßig nicht zu führen.
Die Mandatspraxis zeigt, dass Gerichte zunehmend konkrete Nachweise verlangen: Ein pauschaler Verweis auf „unternehmensinterne Vertraulichkeitsrichtlinien" reicht nach der Spruchpraxis der OLG-Senate nicht aus. Die Richtlinie muss auffindbar, nachweislich kommuniziert und tatsächlich durchgesetzt worden sein.
Typische Risikoszenarien in der Software- und IT-Branche
Die Gefährdungslage für IT-Unternehmen unterscheidet sich strukturell von anderen Branchen. Vier Konstellationen begegnen uns in der Mandatspraxis regelmäßig und verdienen eine gesonderte Einordnung.
Erstens: der abwandernde Entwickler. Ein Softwareingenieur wechselt zu einem Wettbewerber – oder gründet selbst ein Unternehmen – und nimmt dabei Quellcode, technische Dokumentationen oder Kundenlisten mit. Nach § 4 Abs. 2 Nr. 1 GeschGehG ist die Erlangung eines Geschäftsgeheimnisses durch unbefugten Zugang verboten. Die Herausforderung besteht jedoch darin, dass Entwickler häufig argumentieren, das betreffende Wissen sei Teil ihrer allgemeinen beruflichen Qualifikation – eine Abgrenzung, die im Streitfall aufwendiger Sachverhaltsarbeit bedarf.
Zweitens: die undichte Auftragsbeziehung. Offshore-Entwicklungsteams, freie Mitarbeiter oder Systemintegratoren erhalten im Rahmen ihrer Tätigkeit Zugang zu kritischen Systemarchitekturen. Fehlen vertragliche Schutzklauseln oder werden sie nicht vollständig durchgesetzt, entsteht eine Schutzlücke, die im späteren Rechtsstreit schwer zu schließen ist. Besonders heikel ist dies bei Code-Audits durch externe Berater, bei denen umfangreiche Einblicke gewährt werden müssen.
Drittens: das Geheimnis im M&A-Prozess. Im Rahmen einer Due Diligence vor einem Unternehmenskauf oder einer Finanzierungsrunde erhalten potenzielle Investoren oder Käufer Zugang zu technischen Unterlagen in einem Datenraum. Hier ist entscheidend, dass NDAs nicht nur unterzeichnet, sondern mit klaren Verwendungszweckbeschränkungen und Datenraum-Protokollen kombiniert werden. Scheitert die Transaktion, müssen Rückgabe- und Löschpflichten tatsächlich vollzogen werden.
Viertens: der kompromittierte Quellcode-Hostingdienst. Liegt der Quellcode in einer Cloud-basierten Repository-Plattform, kann ein Konfigurationsfehler (etwa ein versehentlich öffentliches Repository) den Schutz entfallen lassen. Das GeschGehG kennt keine „unfreiwillige Offenbarung" als Entschuldigungsgrund – ist die Information einmal allgemein zugänglich, verliert sie ihren Geheimnisstatus.
Wie wirkt sich das GeschGehG auf den Einsatz von KI-Modellen aus?
Die Entwicklung und der Einsatz von KI-Modellen stellt die Software-Branche vor eine neuartige Schutzfrage, die das Gesetz von 2019 nicht ausdrücklich adressiert, aber dennoch erfasst. Trainingsdatensätze, Gewichtungsparameter und Feinabstimmungsdaten können grundsätzlich als Geschäftsgeheimnisse im Sinne des § 2 Nr. 1 GeschGehG eingestuft werden, wenn die drei oben genannten Voraussetzungen erfüllt sind.
Kritisch wird es in zwei Konstellationen: Erstens, wenn ein Mitarbeiter oder Auftragnehmer firmeneigene Trainingsdatensätze in einem öffentlichen oder halb-öffentlichen KI-Tool nutzt – etwa durch direktes Einspeisen proprietärer Codestrukturen in ein Large-Language-Model-Interface ohne entsprechende Datenschutz- und Vertraulichkeitsklauseln. Die Eingabe in ein solches System kann dazu führen, dass Daten für das Modell-Training verwendet werden und damit die Geheimhaltungseigenschaft entfällt. Zweitens entsteht eine Schutzlücke, wenn das Unternehmen selbst ein proprietäres Modell entwickelt, dieses aber über eine API ohne ausreichende Zugriffskontrollen nach außen gibt – eine Praxis, bei der die Modellparameter durch systematische Abfragen (sog. Model Extraction Attacks) rekonstruierbar sein können.
Nach unserer Erfahrung in der Beratung von IT-Unternehmen fehlen in diesem Bereich noch in vielen mittelständischen Unternehmen klare interne Richtlinien, die regeln, welche Datenkategorien in externe KI-Dienste eingespeist werden dürfen. Dies ist nicht nur eine Datenschutzfrage – es ist eine Frage des Geheimnisschutzes.
Welche Rechtsbehelfe stehen dem Unternehmen zur Verfügung?
Das GeschGehG stellt ein umfassendes zivilrechtliches Instrumentarium bereit, das über den früheren Schutz nach dem UWG deutlich hinausgeht. Die zentralen Ansprüche ergeben sich aus §§ 6 ff. GeschGehG: Beseitigung und Unterlassung, Schadensersatz sowie Vernichtung und Herausgabe rechtswidrig erlangter Informationen oder damit hergestellter Produkte.
In der Praxis ist das häufigste und wirksamste Instrument die einstweilige Verfügung vor dem zuständigen Landgericht. Sie ermöglicht es, den Verletzer noch vor einer Hauptsacheentscheidung zu stoppen – etwa den Einsatz eines auf Basis gestohlenen Quellcodes entwickelten Konkurrenzprodukts. Die Dringlichkeit ist bei Geheimnisschutz-Verletzungen in der Regel glaubhaft zu machen, weil die Gefahr der Weitergabe und weiteren Verbreitung zeitkritisch ist.
Für die Durchsetzung gilt: Der Anspruchsinhaber muss im Verfügungsantrag sowohl die Geheimhaltungsmaßnahmen als auch die konkrete Verletzungshandlung substantiiert darlegen. Eine pauschale Behauptung, ein Mitarbeiter habe „vertrauliche Unterlagen mitgenommen", genügt nach der Praxis der LG/OLG-Kammern nicht. Es bedarf konkreter Angaben zum Schutzgegenstand, zur Schutzmaßnahme und zur Verletzungshandlung.
Daneben besteht nach § 8 GeschGehG ein Anspruch auf Auskunft, der im Vorfeld einer Hauptsacheklage besonders nützlich ist, um den Umfang der Verletzung und die Weiterverbreitung des Geheimnisses zu klären. Der Schadensersatz nach § 10 GeschGehG kann auf drei Berechnungsarten geltend gemacht werden: konkreter Schaden, entgangener Gewinn oder angemessene Lizenzgebühr. Letztere ist in der IT-Branche aufgrund der Schwierigkeit, konkrete Verluste nachzuweisen, häufig die praktikabelste Option.
Ergänzend steht nach § 23 GeschGehG der strafrechtliche Weg offen – die unbefugte Nutzung oder Offenbarung von Geschäftsgeheimnissen ist mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bedroht, bei gewerbsmäßigem Handeln bis zu fünf Jahren. In der Mandatspraxis begleiten wir Unternehmen dabei, Strafanzeigen so vorzubereiten, dass die zivilrechtliche Verfolgung parallel effektiv bleibt.
Haftungsrisiken für Geschäftsführer: Wann entsteht persönliche Verantwortung?
Aus Sicht des Geschäftsführers stellt sich eine doppelte Haftungsfrage: zum einen die Außenhaftung gegenüber Dritten, die durch unzureichende Schutzmaßnahmen des Unternehmens geschädigt werden; zum anderen die Innenhaftung gegenüber dem eigenen Unternehmen, wenn durch organisatorische Versäumnisse Know-how verloren geht und dadurch ein Vermögensschaden entsteht.
Die Innenhaftung des Geschäftsführers nach § 43 GmbHG setzt einen Sorgfaltspflichtverstoß voraus. Wer als Geschäftsführer keine angemessene Geheimhaltungsinfrastruktur aufbaut, obwohl das Kernvermögen des Unternehmens in nicht patentierten technischen Informationen besteht, riskiert, für den daraus entstehenden Schaden persönlich haftbar gemacht zu werden. Dies gilt vor allem dann, wenn im Gesellschafterkreis oder Beirat auf die Schutzlücken hingewiesen wurde und keine Maßnahmen ergriffen wurden.
Ein häufig übersehenes Risiko ist die Haftung bei der Aufnahme neuer Mitarbeiter. Stellt ein IT-Unternehmen einen Entwickler ein, der aus einem Wettbewerber kommt, und setzt es diesen sofort an einem Projekt ein, das dem früheren Arbeitgeber direkt Konkurrenz macht, kann es zur Mithaftung nach § 4 Abs. 3 GeschGehG kommen – wenn das Unternehmen wusste oder hätte wissen müssen, dass der Mitarbeiter Geschäftsgeheimnisse seines früheren Arbeitgebers einsetzt. Diese Konstellation erfordert beim Onboarding eine sorgfältige Abschirmungsplanung.
Nach unserer Erfahrung in der Beratung von Softwareunternehmen unterschätzen viele Geschäftsführer dieses Risiko erheblich – es wird häufig als „HR-Frage" betrachtet, obwohl es eine zentrale Haftungsfrage des Gewerblichen Rechtsschutzes ist.
Gestaltungsmittel: Verträge, Prozesse und technische Infrastruktur
Ein funktionierendes Geheimnisschutzsystem in einem IT-Unternehmen ist kein einmaliges Compliance-Projekt, sondern ein dauerhaft zu unterhaltender Regelungsrahmen. Die wichtigsten Gestaltungsbausteine lassen sich in drei Kategorien zusammenfassen.
Vertragsrecht: Jeder Arbeitsvertrag mit Zugang zu sensiblen Systemen sollte eine konkrete Geheimhaltungsklausel enthalten, die die geschützten Informationskategorien benennt, die Nutzungszwecke einschränkt und für die Zeit nach dem Ausscheiden gilt. Allgemeine Musterklauseln decken die Anforderungen des GeschGehG häufig nicht vollständig ab, weil sie die Spezifität der erfassten Informationen nicht ausreichend adressieren. Gleiches gilt für Auftragsverarbeitungsverträge mit IT-Dienstleistern: Die DSGVO-Anforderungen und die GeschGehG-Anforderungen sind parallel zu erfüllen, überschneiden sich jedoch nur teilweise. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ersetzt keine NDA nach GeschGehG-Maßstäben.
Prozesse: Besonders wirksam ist ein strukturiertes Offboarding-Protokoll, das bei jedem ausscheidenden Mitarbeiter mit Systemzugang ausgelöst wird. Dazu gehören: schriftliche Bestätigung der Rückgabe aller Arbeitsunterlagen (einschließlich lokaler Kopien und privater Geräte), Löschung aller Zugangsdaten innerhalb eines festzulegenden Zeitfensters, eine formelle Erinnerung an die fortgeltenden Geheimhaltungspflichten und eine Dokumentation des gesamten Prozesses. Im Streitfall ist diese Dokumentation der entscheidende Nachweis, dass das Unternehmen seiner Sorgfaltspflicht nachgekommen ist.
Technische Infrastruktur: Zugriffskontrollsysteme, Audit Logs in Versionierungssystemen und verschlüsselte Übertragungswege sind keine Kür – sie sind nach der Rechtsprechung Teil der „angemessenen Geheimhaltungsmaßnahmen". Besonders in verteilten Entwicklungsteams mit Remote-Arbeit ist darauf zu achten, dass Zugriffsrechte regelmäßig auditiert und nicht benötigte Berechtigungen zeitnah entzogen werden. Die Einführung eines Least-Privilege-Prinzips im Zugriffsmanagement erfüllt dabei gleichzeitig datenschutzrechtliche Anforderungen nach Art. 25 DSGVO (Datenschutz durch Technikgestaltung) und die Maßnahmenanforderungen des GeschGehG.
Aus der Mandatspraxis: Quellcode-Abfluss bei Entwickler-Wechsel
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Softwareunternehmen aus der B2B-SaaS-Branche. Ausgangslage: Kurz nach dem Ausscheiden eines leitenden Entwicklers brachte ein neu gegründetes Konkurrenzunternehmen ein Produkt auf den Markt, dessen Benutzeroberfläche und Systemarchitektur dem eigenen Produkt in wesentlichen Zügen ähnelte. Der Verdacht: Der Entwickler hatte vor seinem Ausscheiden umfangreiche Quellcodeabschnitte aus dem Repository kopiert. Vorgehen: In einem ersten Schritt sicherten wir die forensischen Belege aus dem Git-Audit-Log, das ungewöhnliche Massenzugriffe in den letzten Arbeitstagen des Entwicklers dokumentierte. Auf dieser Grundlage stellten wir einen Antrag auf einstweilige Verfügung vor dem zuständigen Landgericht, verbunden mit einem Auskunftsantrag über den Kreis der Personen, die Kenntnis von den fraglichen Systemkomponenten erlangt hatten. Ergebnis: Das Gericht erließ eine einstweilige Verfügung, die dem Konkurrenzunternehmen den weiteren Einsatz der streitgegenständlichen Systemkomponenten untersagte. Die Parteien einigten sich in der Folge auf einen Vergleich, der neben einer Unterlassungsverpflichtung eine Kompensation der Mandantin vorsah. Keine Erfolgsgarantie für künftige Mandate – jeder Sachverhalt ist individuell zu würdigen.
Branchenspezifische Besonderheiten: Open Source, SaaS und Cloud
Die Software-Branche operiert unter Rahmenbedingungen, die im GeschGehG nur indirekt abgebildet sind und für die das Gesetz interessante Abgrenzungsfragen aufwirft.
Open-Source-Komponenten stellen eine besondere Herausforderung dar. Viele proprietäre Produkte basieren auf einer Kombination aus öffentlich zugänglichem Open-Source-Code und firmeneigenem Ergänzungscode. Die Schutzfähigkeit erstreckt sich in solchen Konstellationen ausschließlich auf den proprietären Teil – nicht auf die Open-Source-Komponenten selbst. Entscheidend ist die Dokumentation, welcher Teil des Codes intern entwickelt wurde. Fehlt diese Trennlinie, kann der Verletzer argumentieren, das behauptete Geschäftsgeheimnis sei bereits öffentlich zugänglich gewesen.
Im SaaS-Kontext (Software-as-a-Service, also cloudbasierte Softwarebereitstellung) stellt sich die Frage, ob Kundenanforderungen, die in die Produktentwicklung einfließen, als Geschäftsgeheimnisse des Kunden oder des Anbieters zu qualifizieren sind. Hier bedarf es einer vertraglichen Klärung, wem die Rechte an etwaigen Weiterentwicklungen zustehen und welche Vertraulichkeitspflichten beiderseitig bestehen.
Cloud-Infrastruktur schließlich bringt das Thema der Gerichtsstandsklauseln und anwendbaren Rechts ins Spiel. Liegen die Server eines US-amerikanischen Cloud-Anbieters nicht in der EU, können sich für die Durchsetzung von Geheimnisschutzansprüchen praktische Schwierigkeiten ergeben. Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) der USA kann US-amerikanischen Behörden unter Umständen Zugriff auf Daten ermöglichen, die bei US-Anbietern gespeichert sind – unabhängig vom Serverstandort. Dies hat nicht nur datenschutzrechtliche, sondern auch geheimnisschutzrechtliche Implikationen, die im Vertragswerk mit dem Cloud-Anbieter adressiert werden sollten.
Verfahrensrecht: Besonderheiten beim GeschGehG-Prozess
Das GeschGehG enthält in §§ 16 ff. besondere Verfahrensvorschriften, die erhebliche praktische Bedeutung haben. Kernstück ist die Möglichkeit des Gerichts, auf Antrag einer Partei den Prozessstoff als vertraulich einzustufen – ein Mechanismus, der gerade in der IT-Branche relevant ist, weil eine öffentliche Hauptverhandlung das Geheimnis weiter offenbaren würde, das man zu schützen versucht.
Für den Geschäftsführer, der ein Verfahren erwägt, bedeutet dies: Die Entscheidung zur Klage ist nicht nur eine Kosten-Nutzen-Abwägung zwischen Prozesskostenrisiko und erwartetem Schadensersatz. Es ist auch eine strategische Frage, ob und wie der Schutzgegenstand im Verlauf des Verfahrens definiert und offenbart werden muss. Das Gericht kann dabei nach § 19 GeschGehG den Zugang zu verfahrensrelevanten Informationen auf einen begrenzten Personenkreis beschränken – etwa auf Parteivertreter und sachverständige Dritte, nicht aber auf alle Mitarbeiter des gegnerischen Unternehmens.
Zuständig für Streitigkeiten nach dem GeschGehG sind die ordentlichen Gerichte. Für den Mittelstand relevant ist, dass viele Bundesländer besondere Kammern oder Spruchkörper für Rechtsstreitigkeiten im Bereich des Gewerblichen Rechtsschutzes eingerichtet haben, die mit spezifischer Sachkunde ausgestattet sind. Die Wahl des Gerichtsstands – soweit sie vertraglich gestaltet werden kann – sollte daher bewusst getroffen werden.
Die vorstehende Darstellung betrifft die Regelfälle des Geheimnisschutzes in der IT-Branche. Ihr konkreter Sachverhalt erfordert die Prüfung Ihrer Vertragswerke, Ihrer technischen Infrastruktur und der einschlägigen Rechtsprechung im Detail. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Handlungsempfehlungen: Prioritäten für die nächsten 90 Tage
Die rechtliche Analyse zeigt, dass der Schutz von Geschäftsgeheimnissen nach dem GeschGehG kein einmaliges Projekt ist – er ist ein laufender Betriebsprozess. Für Geschäftsführer in IT-Unternehmen empfehlen wir folgende Prioritäten.
In einem ersten Schritt sollte eine Bestandsaufnahme der tatsächlich als schutzbedürftig eingestuften Informationsassets erfolgen. Diese Asset-Klassifizierung bildet die Grundlage aller weiteren Maßnahmen. Ohne zu wissen, was geschützt werden soll, lässt sich weder ein angemessenes Schutzniveau definieren noch im Streitfall der Schutzgegenstand substantiiert vortragen.
Im zweiten Schritt sind die bestehenden Arbeitsverträge und Auftragnehmervereinbarungen auf ihre Geheimhaltungsklauseln zu überprüfen. Stammen die Verträge aus einer Zeit vor Inkrafttreten des GeschGehG – also vor April 2019 – entsprechen sie möglicherweise nicht dem aktuellen gesetzlichen Standard. Gleiches gilt für Rahmenverträge mit Systemintegratoren und IT-Dienstleistern.
Als dritter Schritt ist das Offboarding-Protokoll zu etablieren oder zu aktualisieren. Gerade bei Entwicklern, die Zugang zu Quellcode-Repositories haben, sollte dieser Prozess schriftlich dokumentiert und konsequent angewendet werden. Die Dokumentation des Protokolls – nicht nur die Existenz eines solchen – ist der entscheidende Beweis im späteren Streitfall.
Schließlich empfehlen wir eine jährliche Überprüfung der Zugriffsberechtigungen in den Entwicklungsumgebungen. Nicht mehr benötigte Berechtigungen sollten zeitnah entzogen werden. Audit Logs sollten so konfiguriert sein, dass sie für einen angemessenen Zeitraum gespeichert werden und im Streitfall als forensische Beweise nutzbar sind.
Nach unserer Erfahrung in der Mandatspraxis lassen sich die meisten Gerichtsprozesse um gestohlenen Quellcode oder abgeflossene Systemarchitekturen auf zwei Grundprobleme zurückführen: fehlende Dokumentation der Schutzmaßnahmen oder lückenhafte vertragliche Bindungen. Beide sind durch strukturierte Prävention beherrschbar – aber nicht durch Reaktion nach dem Schadensfall.
Verwandte Leistungen
Häufige Fragen zum GeschGehG in der Software- und IT-Branche
Ist Quellcode automatisch als Geschäftsgeheimnis geschützt?
Nein. Quellcode genießt nach dem GeschGehG nur dann Schutz, wenn er nicht allgemein bekannt ist, einen wirtschaftlichen Wert hat und Gegenstand angemessener Schutzmaßnahmen ist. Wer seinen Quellcode ohne Zugriffskontrollen, ohne vertragliche Geheimhaltungspflichten und ohne Dokumentation betreibt, kann sich im Streitfall nicht auf das GeschGehG berufen – auch wenn der Code objektiv wertvoll ist. Schutz muss aktiv organisiert werden.
Was gilt, wenn ein ausgeschiedener Entwickler Quellcode mitnimmt?
Das GeschGehG stellt die unbefugte Erlangung und Nutzung von Geschäftsgeheimnissen nach § 4 unter Verbotstatbestand. Voraussetzung ist jedoch, dass das Unternehmen nachweisen kann, dass angemessene Schutzmaßnahmen bestanden haben. Zusätzlich stehen zivilrechtliche Ansprüche auf Unterlassung, Schadensersatz und Herausgabe zur Verfügung. Parallel ist nach § 23 GeschGehG eine Strafanzeige möglich. Im Streitfall sind Audit Logs aus dem Versionierungssystem das wichtigste forensische Beweismittel.
Schützt eine NDA allein ausreichend gegen den Abfluss von Geschäftsgeheimnissen?
Eine NDA ist ein notwendiger, aber kein hinreichender Schutz. Das GeschGehG verlangt angemessene Geheimhaltungsmaßnahmen auf organisatorischer und technischer Ebene. Eine NDA ohne begleitende Zugriffskontrollen, Protokollierung und Asset-Klassifizierung erfüllt die gesetzlichen Anforderungen in der Regel nicht vollständig. Gerichte verlangen im Streitfall den Nachweis konkreter Schutzmaßnahmen – nicht nur den Nachweis, dass eine Vereinbarung existierte.
Kann das Unternehmen gegen einen Wettbewerber vorgehen, der einen seiner ehemaligen Entwickler einstellt?
Nicht allein aufgrund der Einstellung. Ansprüche entstehen, wenn der Wettbewerber wusste oder hätte wissen müssen, dass der Entwickler Geschäftsgeheimnisse einsetzt (§ 4 Abs. 3 GeschGehG). Die Darlegungs- und Beweislast liegt beim Anspruchsteller. Indizien können sein: technische Ähnlichkeiten zwischen Produkten, ungewöhnlich schnelle Produktentwicklung nach dem Mitarbeiterwechsel oder dokumentierte Aussagen des Entwicklers. Ob diese Indizien für eine einstweilige Verfügung ausreichen, ist im Einzelfall zu beurteilen.
Welche Gerichte sind für GeschGehG-Streitigkeiten zuständig?
Zuständig sind die ordentlichen Gerichte – je nach Streitwert Amts- oder Landgericht. Bei bedeutsamen Fällen und insbesondere bei einstweiligen Verfügungen ist in der Regel das Landgericht zuständig. Viele Bundesländer haben spezielle Kammern für Gewerblichen Rechtsschutz eingerichtet, die mit dem GeschGehG vertraut sind. Das Verfahrensrecht des GeschGehG (§§ 16 ff.) ermöglicht besondere Vertraulichkeitsanordnungen, um den Schutzgegenstand während des Prozesses nicht weiter offenzulegen.
Wie verhält sich der GeschGehG-Schutz zu Patent- und Urheberrecht?
Patentschutz, Urheberrecht und GeschGehG-Schutz können nebeneinander bestehen, schließen sich aber in wesentlichen Teilen aus. Patentierter Code ist per Definition öffentlich zugänglich und kann nicht gleichzeitig als Geschäftsgeheimnis gehalten werden. Urheberrecht schützt die Ausdrucksform des Codes, nicht die dahinterliegende Idee oder Architektur. Der GeschGehG-Schutz hingegen erfasst auch nicht patentierbare technische Ideen, Architekturen und Prozesse – sofern die Schutzvoraussetzungen erfüllt sind. In der Praxis ist eine Kombination verschiedener Schutzrechte oft sinnvoll.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.