Das Geschäftsgeheimnisgesetz (GeschGehG) schützt vertrauliches Unternehmenswissen vor unbefugter Erlangung, Nutzung und Offenlegung. Geschützt ist eine Information aber nur, wenn sie geheim ist, dadurch wirtschaftlichen Wert hat und das Unternehmen sie durch angemessene Geheimhaltungsmaßnahmen schützt. Wer Rezepturen, Kalkulationen oder Kundenlisten ohne solche Maßnahmen herumreicht, auch in ein beliebiges KI-Tool, riskiert, dass das Gesetz im Streitfall nicht hilft.
Ein Beispiel aus dem Alltag
Die Muster Maschinenbau GmbH (ein erfundenes Beispiel) hat über Jahre eine Kalkulationsmethode entwickelt, mit der sie Angebote schneller und genauer rechnet als die Konkurrenz. Ein Vertriebsleiter wechselt zu einem Wettbewerber und nimmt die Kalkulationstabelle mit.
Ob die GmbH dagegen vorgehen kann, hängt nicht nur davon ab, ob die Methode wertvoll ist. Das Gericht fragt auch: Was hat das Unternehmen getan, um sie geheim zu halten? Gab es Vertraulichkeitsvereinbarungen, beschränkte Zugriffsrechte, eine Kennzeichnung als vertraulich? Lag die Tabelle frei auf einem Laufwerk, auf das alle Zugriff hatten, und haben Mitarbeitende sie regelmäßig in frei verfügbare Online-Tools kopiert, wird die Antwort schwierig.
Das GeschGehG im Einzelnen
Seit wann es gilt und was es ersetzt
Das Gesetz ist am 26. April 2019 in Kraft getreten. Es setzt die EU-Richtlinie 2016/943 zum Schutz von Geschäftsgeheimnissen um und hat die früheren Strafvorschriften in §§ 17 bis 19 UWG abgelöst. Die wichtigste Neuerung: Früher reichte im Wesentlichen ein erkennbarer Geheimhaltungswille. Heute muss das Unternehmen tatsächlich etwas tun.
Was ist ein Geschäftsgeheimnis? (§ 2 Nr. 1)
Eine Information ist ein Geschäftsgeheimnis, wenn sie drei Voraussetzungen erfüllt:
- Sie ist nicht allgemein bekannt oder ohne Weiteres zugänglich und hat daher wirtschaftlichen Wert.
- Sie ist Gegenstand von den Umständen nach angemessenen Geheimhaltungsmaßnahmen durch ihren rechtmäßigen Inhaber.
- Es besteht ein berechtigtes Interesse an der Geheimhaltung.
Typische Beispiele: Rezepturen, Quellcode, Konstruktionspläne, Kalkulationen, Kunden- und Lieferantenlisten, Preisstrategien, Verhandlungspositionen, unveröffentlichte Geschäftszahlen.
Was sind angemessene Geheimhaltungsmaßnahmen?
Das Gesetz nennt keine Liste. Was angemessen ist, hängt vom Wert der Information, der Unternehmensgröße und den üblichen Gepflogenheiten ab. In der Praxis gehören dazu:
- Vertragliche Maßnahmen: Vertraulichkeitsvereinbarungen (NDAs) mit Geschäftspartnern, Verschwiegenheitsklauseln in Arbeitsverträgen.
- Organisatorische Maßnahmen: Zugriff nur für die, die die Information brauchen (Need-to-know), Kennzeichnung als vertraulich, klare Richtlinien, Schulungen.
- Technische Maßnahmen: Zugriffsrechte, Verschlüsselung, Protokollierung.
- Freigegebene Werkzeuge: Eine Regel, welche Cloud- und KI-Dienste für vertrauliche Inhalte genutzt werden dürfen, und die Auswahl von Diensten, deren Bedingungen keine Weiterverwendung erlauben.
Wichtig ist die Dokumentation: Im Streitfall muss das Unternehmen die Maßnahmen darlegen und beweisen.
Was erlaubt ist und was verboten
Erlaubt ist nach § 3 unter anderem die eigenständige Entdeckung oder Schöpfung und das sogenannte Reverse Engineering eines Produkts, das öffentlich verfügbar ist oder rechtmäßig erworben wurde und für das keine Pflicht zur Beschränkung besteht. Verboten ist nach § 4 vor allem, ein Geheimnis durch unbefugten Zugang zu erlangen oder es entgegen einer Vertraulichkeitspflicht zu nutzen oder offenzulegen. § 5 schützt unter bestimmten Voraussetzungen Journalismus und Hinweisgeber.
Rechtsfolgen
Der Inhaber kann unter anderem Beseitigung und Unterlassung (§ 6), Vernichtung, Herausgabe und Rückruf (§ 7), Auskunft (§ 8) und Schadensersatz (§ 10) verlangen. § 23 stellt bestimmte Verletzungen unter Strafe, mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe, in besonders gelagerten Fällen wie gewerbsmäßigem Handeln oder Nutzung im Ausland bis zu fünf Jahren. Verfolgt wird die Tat grundsätzlich nur auf Antrag. Für Gerichtsverfahren sehen §§ 16 ff. besondere Regeln vor, damit das Geheimnis im Prozess selbst nicht öffentlich wird.
Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.
Was das GeschGehG nicht schützt
Das Gesetz schützt nur, was Sie selbst schützen. Gibt ein Unternehmen vertrauliche Inhalte freiwillig an einen Dienst, dessen Nutzungsbedingungen dem Anbieter eine Lizenz zur Weiterverwendung einräumen, hat es diese Weitergabe erlaubt. Im Streit kann das gegen die Angemessenheit der Maßnahmen sprechen. Das GeschGehG verbietet einem Anbieter nicht, was Sie ihm vertraglich gestattet haben.
Hinzu kommt eine Lücke, die vom Datenschutz bekannt ist. Datenschutzrecht schützt nur, was einer Person zugeordnet werden kann. Nach Erwägungsgrund 26 DSGVO gilt es für anonyme Informationen nicht. Entfernt jemand aus einem Angebot oder Vertrag die Namen von Kunden und Mitarbeitenden, bleibt der wirtschaftliche Kern übrig: Preise, Margen, Konditionen, Formulierungen. Solche Daten können rechtmäßig gebündelt, lizenziert und verkauft werden, etwa an Datenhändler oder KI-Entwickler, wenn die Bedingungen die Weiterverwendung erlauben. Ob sie danach noch als Geschäftsgeheimnis Ihres Unternehmens erkennbar sind, ist eine Frage, die man nicht erst vor Gericht klären möchte.
Wie aus einem einzelnen Dokument ein handelbarer Datensatz wird, zeigt Die Datenspur. Die Quellen finden Sie auf Legal verkäuflich.
Was das für KI-Werkzeuge bedeutet
KI-Werkzeuge gehören heute zu den Geheimhaltungsmaßnahmen, ob man will oder nicht. Prüfen Sie:
- Freigabe: Gibt es eine Liste erlaubter KI-Dienste für vertrauliche Inhalte, und kennen die Mitarbeitenden sie? Ohne Freigabe entsteht Schatten-KI.
- Lizenz: Räumen die Nutzungsbedingungen dem Anbieter Rechte an Ihren Inhalten ein, auch „anonymisiert“ oder „aggregiert“?
- Training und Speicherung: Wird mit Ihren Eingaben trainiert? Speichern die angebundenen Modellanbieter etwas?
- Vertrag: Gibt es einen schriftlichen Vertrag mit Vertraulichkeitszusagen und, wo personenbezogene Daten betroffen sind, einen AVV?
- Dokumentation: Halten Sie fest, welches Werkzeug Sie warum gewählt haben.
Wysor ist so gebaut, dass Ihre Inhalte gar nicht erst in diesen Markt gelangen. Wir verarbeiten Ihre Inhalte als Auftragsverarbeiter nur, um den Dienst für Sie zu erbringen, nehmen uns keine Lizenz zur Weiterverwendung, trainieren nicht damit und verkaufen sie nicht, auch nicht anonymisiert. Das steht im Vertrag und bindet auch jeden, dem Wysor künftig gehören könnte. Die Daten sind bei der Übertragung und im Ruhezustand verschlüsselt und werden in der EU gehostet. Bei jedem angebundenen KI-Modellanbieter gilt Zero Data Retention. Ihr Team arbeitet in einem Arbeitsbereich mit GPT, Claude, Gemini und weiteren Modellen, statt mit einem Dutzend einzelner Konten.
Häufige Fragen
Was ist ein Geschäftsgeheimnis nach GeschGehG? Eine Information, die nicht allgemein bekannt ist und daher wirtschaftlichen Wert hat, die durch angemessene Geheimhaltungsmaßnahmen geschützt wird und an deren Geheimhaltung ein berechtigtes Interesse besteht (§ 2 Nr. 1 GeschGehG).
Was sind angemessene Geheimhaltungsmaßnahmen? Vertragliche, organisatorische und technische Vorkehrungen, die zum Wert der Information passen: etwa NDAs, Zugriffsbeschränkungen, Kennzeichnung, Verschlüsselung und Regeln für erlaubte Software. Sie sollten dokumentiert sein.
Ist das Eingeben von Geschäftsgeheimnissen in ChatGPT verboten? Das Gesetz verbietet es nicht ausdrücklich. Aber wer Geheimnisse in Dienste gibt, deren Bedingungen eine Weiterverwendung erlauben, kann damit die eigenen Geheimhaltungsmaßnahmen schwächen. Viele Unternehmen regeln deshalb in einer KI-Richtlinie, welche Werkzeuge erlaubt sind.
Welche Strafe droht bei Verletzung von Geschäftsgeheimnissen? Neben Unterlassung, Auskunft und Schadensersatz sieht § 23 GeschGehG für bestimmte Verletzungen Freiheitsstrafe bis zu drei Jahren oder Geldstrafe vor, etwa bei gewerbsmäßigem Handeln bis zu fünf Jahren.
Gilt das GeschGehG auch für Kanzleien und Praxen? Ja, für eigene Geschäftsgeheimnisse wie Kalkulationen oder Mandantenstrukturen. Für die Geheimnisse von Mandanten und Patienten gilt zusätzlich die Schweigepflicht nach § 203 StGB.
Weiterlesen
- Schatten-KI im Unternehmen. Wenn Mitarbeitende eigene KI-Tools nutzen.
- BDSG einfach erklärt. Was das deutsche Datenschutzrecht ergänzend regelt.
- Pseudonymisierung und Anonymisierung. Warum „ohne Namen“ nicht „geschützt“ heißt.
- Legal verkäuflich. Die Quellen hinter dem Datenmarkt.
Fragen zu Vertraulichkeit, AVV oder dem Einsatz von Wysor im Team? Schreiben Sie an [email protected] oder nutzen Sie das Kontaktformular in der App.
