Top Secret: Wann ist eine vertrauliche Information ein Geschäftsgeheimnis?

Gemäß § 1 Abs. 1 GeschGehG soll das Gesetz Geschäftsgeheimnisse vor unerlaubter Erlangung, Nutzung und Offenlegung schützen. Zu diesem Zweck stellt das GeschGehG Regelungen dazu auf, welche auf den ersten Blick für den Anwender leicht verständlich und logisch aufeinander aufbauend strukturiert sind: Im ersten Abschnitt (§§ 1 bis 5  GeschGehG) ist u.a. festgelegt, auf welche Art und Weise ein Geschäftsgeheimnis erlangt werden darf, welche Handlungen zu diesem Zweck untersagt sind und welche Ausnahmen von diesen Verboten bestehen. Sodann widmet sich das Gesetzt in Abschnitt 2 (§§ 6 bis 14  GeschGehG) den Rechtsfolgen einer Verletzung eines Geschäftsgeheimnisses. Hier sind diverse Beseitigungs-, Unterlassungs- Auskunfts- sowie Schadensersatzansprüche normiert. Im dritten Abschnitt (§§ 15 bis 22 GeschGehG) folgen Bestimmungen zum Themenkomplex gerichtliche Durchsetzung. Im vierten Abschnitt ist in § 23 GeschGehG schließlich eine Strafvorschrift, welche die Verletzung von Geschäftsgeheimnissen mit Freiheits- oder Geldstrafe sanktioniert, enthalten. Diese Vorschrift hat die viel zitierten und bekannteren Regelungen in §§ 17, 18 UWG ersetzt, welche gleichzeitig außer Kraft getreten sind.

Trotz dieser übersichtlichen Strukturierung hat das Gesetz in der Praxis einige Fragen aufgeworfen und in so manchem Unternehmen für Verunsicherung gesorgt. Der Grund: Das GeschGehG schützt nicht jede Information, die aus Sicht eines Unternehmens vertraulich behandelt werden soll. Ein Geschäftsgeheimnis muss nun nämlich zunächst einmal durch sog. „angemessene Geheimhaltungsmaßnahmen“ im Unternehmen erzeugt werden.

Die Bedeutung „angemessener Geheimhaltungsmaßnahmen“

Nach bisheriger Rechtslage war eine Information als Geschäftsgeheimnis einzustufen, wenn es sich um eine nicht öffentlich bekannte Information über ein Unternehmen handelte, an deren Geheimhaltung ein wirtschaftliches Interesse bestand und der Geheimnisinhaber einen Willen zur Geheimhaltung hatte. Dieser Wille konnte entweder ausdrücklich erklärt werden oder sich schon aus der Natur der geheimen Information ergeben. Ein allgemeiner oder sogar hypothetischer Geheimhaltungswille war ausreichend.
Dies ist mit Inkrafttreten des GeschGehG nicht mehr der Fall.  Die Anforderungen sind gestiegen und erfordern aktive Maßnahmen seitens der Geschäftsführung.
Es muss sich bei Geschäftsgeheimnissen nunmehr gemäß § 2 Abs. 1 GeschGehG um

• geheime Informationen handeln, die
• aufgrund ihrer Geheimhaltung von wirtschaftlichem Wert sind und
• die Gegenstand von angemessenen Geheimhaltungsmaßnahmen sind sowie
• ein berechtigtes Interesse an der Geheimhaltung besteht.

Neu ist also, dass der Geheimnisinhaber kein allgemeines Geheimhaltungsinteresse bzgl. bestimmter Informationen ins Feld führen kann. Vielmehr muss er das Geheimhaltungsinteresse zunächst einmal durch aktive Maßnahmen dokumentieren, um überhaupt ein Geschäftsgeheimnis zu generieren. Die Frage, was in der Praxis als „angemessene Maßnahme“ zu qualifizieren ist, ist oftmals problematisch und mit entsprechenden Haftungsrisiken für die Geschäftsführung behaftet.
Eine allgemeingültige Antwort auf diese Frage oder starre Kriterien, welche „abgehakt“ werden können, gibt es nicht. Es wird in jedem Fall ein Bündel verschiedener rechtlicher, organisatorischer und technischer  Maßnahmen zu ergreifen sein um ein umfassendes Geheimnisschutz-Compliance-System zu erschaffen. Was angemessen ist, beurteilt sich im Einzelfall. Dies eröffnet etwas Spielraum für die individuellen Bedürfnisse und Möglichkeiten der Unternehmen, um die Maßnahmen zu implementieren, die ihren Strukturen entsprechen. Als Kriterien werden allgemein der Wert des Geheimnisses insgesamt und für das Unternehmen, die Größe des Unternehmens, die Kosten und die Üblichkeit der Maßnahmen angesehen.

Die Bedeutung von Geheimhaltungsvereinbarungen

Eines der wichtigsten Instrumente zur Schaffung eines angemessenen Schutzniveaus ist die Verwendung von rechtssicher formulierten Geheimhaltungsvereinbarungen gegenüber Geschäftspartnern und sonstigen juristischen und natürlichen Personen, die in irgendeiner Form Einblick in Betriebsinterna erhalten. Eine solche Geheimhaltungsvereinbarung dürfte als absolutes Minimum anzusehen sein. Liegt keine Geheimhaltungsvereinbarung vor, muss sich die Geschäftsführung ggf. vorhalten lassen, eine wichtige Maßnahme zum Geheimnisschutz nicht ergriffen zu haben.
Aber nicht nur das vollständige Fehlen einer Geheimhaltungsvereinbarung, sondern auch die Gegenzeichnung einer einseitigen Geheimhaltungsvereinbarung, die den Informationsfluss nur in Richtung des Verwenders der Geheimhaltungsvereinbarung schützt, die eigenen Informationen hingegen nicht erfasst, reichen nicht aus. Diese sind für die Partei, die dem Schutz nicht unterfällt mit einem völligen Fehlen einer Geheimhaltungsvereinbarung gleichzustellen.
Die Bedeutung einer rechtssicheren Geheimhaltungsvereinbarung geht jedoch noch darüber hinaus. Denn eine weitere Neuerung, die mit einer Geheinhaltungsvereinbarung zumindest teilweise abgefedert werden kann und muss, ist die Tatsache, dass das GeschGehG das sog. „Reverse Engineering“ unter bestimmten Umständen erlaubt, vgl. § 3 Abs. 1 Nr. 2 GeschGehG.

Reverse Engineering beinhaltet den Rückbau und Analyse eines Objektes, um dessen Aufbau und Zusammensetzung auszuforschen. Nach wie vor unzulässig ist der Rückbau natürlich dann, wenn der Rückbauende das Produkt, welches er zurückbaut, unrechtmäßig erlangt hat. Reverse Engineering ist nach dem GeschGehG aber nun u.a. dann zulässig, sofern der Rückbauende das Produkt rechtmäßig im Besitz hat und keiner vertraglichen Beschränkung hinsichtlich des Reverse Engineerings unterliegt. Die Möglichkeiten, den Besitz rechtmäßig zu erlangen, sind vielfältig.

Know-How, welches in den Produkten eines Unternehmens enthalten ist, ist in aller Regel das Ergebnis jahrelanger Entwicklung und erheblicher finanzieller Investitionen. Der Schutz davor, dass ein anderes Unternehmen sich dieses Know-How durch Rückbau aneignet, kann in gewissem Umfang durch entsprechende Formulierungen in einer Geheimhaltungsvereinbarung erreicht werden.  

Auch in Arbeitsverträgen sollte eine Verschwiegenheitsregelung aufgenommen werden.

Fazit

Das GeschGehG erzeugt Handlungsbedarf im Unternehmen. Hier sind je nach Unternehmensstruktur organisatorische, rechtliche und technische Maßnahmen erforderlich. Dabei muss aus unternehmerischer Sicht entscheiden werden, was für das jeweilige Unternehmen umsetzbar ist. Zunächst bietet sich an, eine genaue Aufstellung aller geheimhaltungsbedürftiger Informationen zu fertigen, um auf diese Weise alle geheimhaltungsbedürftigen Informationen zu identifizieren. Sodann sollten die so herausgearbeiteten Informationen entsprechend ihrer wirtschaftlichen Bedeutung kategorisiert und Schutzmaßnahmen für die jeweilige Kategorie festgelegt werden. Hier kommen beispielsweise organisatorische Maßnahmen, wie Zugangsbegrenzungen für bestimmte Mitarbeiter in Betracht sowie technische Maßnahmen (z.B. Verschlüsselung). Hier kann im Einzelfall sogar auf die im Rahmen der DSGVO-Novelle im letzten Jahr getroffenen Maßnahmen zurückgegriffen werden.

Nur wenn ein Unternehmen angemessene Schutzmaßnahmen vorgenommen hat, entsteht ein geschütztes Geschäftsgeheimnis, welches vom GeschGehG erfasst und geschützt wird. Eine rechtsicher formulierte Geheimhaltungsvereinbarung, welche auch das Thema Reverse Engineering umfasst, ist die unabdingbare Ausgangsbasis für den Geheimnisschutz im Unternehmen und ein wichtiges Puzzleteil eines umfassenden Compliance-Systems, welches die Schutzbedürftigkeit der erfassten Informationen nachweislich dokumentiert.