Ein Jahr Gesetz zum Schutz von Geschäftsgeheimnissen: Erstes Fazit und neue Herausforderungen
Das Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG) ist nun seit über einem Jahr in Kraft. Zeit Resümee zu ziehen darüber, wie sich die neuen Regelungen auf die Praxis ausgewirkt, welche Entscheidungen die Gerichte getroffen haben und was für Unternehmen besonders wichtig ist, um von einem effektiven Geheimnisschutz profitieren zu können.
Überblick: Die wichtigsten Neuheiten des GeschGehG
Mit dem GeschGehG ist die EU-Richtlinie (EU) 2016/943 zum Know-how-Schutz umgesetzt worden. Die Richtlinie zielt darauf ab, einen besseren Schutz von Geschäftsgeheimnissen und zugleich eine Harmonisierung auf EU-Ebene zu erreichen. Zu den wichtigsten Neuerungen gehört die Erforderlichkeit angemessene Geheimhaltungsmaßnahmen zu treffen, damit ein rechtlich geschütztes Geheimnis vorliegt. Zudem ist in § 3 GeschGehG das sog. Reverse Engineering für zulässig erklärt worden, das heißt, dass „Beobachten, Untersuchen, Rückbauen oder Testen eines Produkts oder Gegenstands“, das bzw. der öffentlich verfügbar gemacht wurde oder sich im rechtmäßigen Besitz des Untersuchenden befindet. Schließlich ist nach § 5 Abs. 2 GeschGehG auch das Whistleblowing ausdrücklich erlaubt worden, also die Offenlegung eines Geschäftsgeheimnisses zur „Aufdeckung einer rechtswidrigen Handlung oder eines beruflichen oder sonstigen Fehlverhaltens, wenn die Erlangung, Nutzung oder Offenlegung geeignet ist, das allgemeine öffentliche Interesse zu schützen.“
Das Geschäftsgeheimnis
Die Definition eines Geschäftsgeheimnisses findet sich in § 2 Nr. 1 GeschGehG und erfasst danach jede Information,
- die den Personen in den Kreisen, die üblicherweise mit dieser Art von Informationen umgehen, weder allgemein bekannt noch ohne Weiteres zugänglich (= geheim) ist und daher von wirtschaftlichem Wert ist und
- die Gegenstand von angemessenen Geheimhaltungsmaßnahmen durch ihren rechtmäßigen Inhaber ist und
- bei der ein berechtigtes Interesse an der Geheimhaltung besteht.
Typische Beispiele sind Angebots- und Vertragsunterlagen, Formeln, Rezepte, Forschungs- und Entwicklungsdaten, Prozess- und Technologiewissen, Kundenlisten, Sales-Daten oder Geschäftsstrategien. Ihr wirtschaftlicher Wert ergibt sich gerade daraus, dass die Information geheim gehalten werden. Die zuvor genannten Anforderungen müssen alle gemeinsam vorliegen. Da es sich um objektive Kriterien handelt und der bloße Geheimhaltungswille des Geheimnisträgers, anders als nach alter Rechtslage, nicht relevant ist, ist es für Unternehmen in der Regel nicht ausreichend, Informationen nur als Geschäftsgeheimnisse zu kennzeichnen. Vielmehr müssen proaktiv geheimnisspezifische Maßnahmen getroffen werden, um die Offenbarung zu verhindern.
Metadaten als Geschäftsgeheimnis?
In einem Beschluss des Bundesverwaltungsgerichts (BVerwG, Beschl. v. 05.03.2020 – Az. 20 F 3.19) ging es darum, ob als Geschäftsgeheimnis auch Metadaten geschützt sein können. Metadaten sind, im Gegensatz zu Inhaltsdaten bzw. Rohdaten, strukturierte Informationen über andere Daten, etwa Merkmale oder Beschreibungen. Dies können z.B. Zeitstempel, Dateinamen oder Zugriffsrechte sein. In dem Fall ging es unter anderem um Metadaten zu Prüfunterlagen eines Bauartzulassungsverfahrens, zu der ein Ingenieurbüro Zugang begehrte. Im Kern stellte das Gericht fest, dass der Schutz von Geschäftsgeheimnissen auch die Verhinderung des Zugangs von Metadaten von Dateien, zu denen z. B. Dateiname, Größe und die aus der Dateiendung abgeleitete Programmiersprache gehören, umfasst. Für nur ein einzelnes dieser Metadaten wäre ein Zugang wohl möglich gewesen, doch je mehr Metadaten offengelegt sind und miteinander verknüpft werden können, desto eher lässt sich das Geschäftsgeheimnis aus ihnen ableiten – weshalb ein Zugriff durch Dritter in der Gesamtschau daher nicht zulässig ist, sondern die Metadaten schützenswert macht. Das Gericht hatte sich zum Informationsfreiheitsgesetz (IFG) geäußert, jedoch zugleich klargestellt, dass der Begriff des Geschäftsgeheimnisses nach IFG parallel zum GeschGehG auszulegen ist.
Welchen Stellenwert hat das Geschäftsgeheimnis?
Des Weiteren hat sich die Rechtsprechung mit der allgemeinen und rechtlichen Bedeutung von Geschäftsgeheimnissen beschäftigt. Vor das Oberlandesgericht (OLG) Düsseldorf (Urt. v. 21.11.2019 – Az. I-2 U 34/19) gelangte der Antrag auf ein Verkaufsverbot von Spritzen aufgrund eines „Manufacturing-Agreements“ mit Vertraulichkeitsvereinbarung und Produktionsverbot. In diesem Zusammenhang stellte das OLG fest, dass es umstritten ist, ob der Schutz von Geschäftsgeheimnissen dem Schutz von sog. Immaterialgüterrechten, auch als geistiges Eigentum bezeichnet, gleichkommt. Dagegen sprächen aber jedenfalls die Gesetzgebungsmaterialien zum GeschGehG. Von einer Gleichstellung von Geschäftsgeheimnis und geistigem Eigentum (wie Urheberrechte, Patente oder Marken) könne daher nicht ausgegangen werden. Diese Einordnung kann z. B. bei internationalen Streitigkeiten relevant werden, welches Recht anzuwenden ist. Die internationale Privatrecht regelnde EU-Rom-II-Verordnung etwa schützt in Art. 8 geistiges Eigentum.
Welche Maßnahmen erfordert der Geheimnisschutz?
Die Umsetzung des Geheimnisschutzes kann in drei Schritten erfolgen. Nach einer Bestandsaufnahme folgen eine Bedarfsanalyse und die daran anknüpfenden Geheimhaltungsmaßnahmen. Für die Bestandsaufnahme sollten Geheimnisse zunächst identifiziert werden. Für die anschließende Schutzbedarfsanalyse gilt es, sie in drei Stufen zu klassifizieren: Niedriger, mittlerer und hoher Schutzbedarf. Kriterien sind beispielsweise der Wert und die Bedeutung der Information, die Eintrittswahrscheinlichkeit einer Rechtsverletzung, der erforderliche Aufwand zur Geheimhaltung oder die Entwicklungskosten. Daraus können sich am Ende unterschiedliche Geheimhaltungsmaßnahmen ergeben. Zu allgemeinen Maßnahmen gehören ein Zugriffs- und Rollenkonzept, um festzulegen, wer in welchem Umfang auf die schützenswerten Informationen zugreifen darf, Schulungen der Mitarbeiter oder Verschlüsselungsmethoden im Rahmen der EDV. Beispiele für geheimnisspezifische Maßnahmen sind die Kennzeichnung von Information als geheim bzw. vertraulich, die Entwicklung einer Geheimnisschutzstrategie oder ein Debriefing von Mitarbeitern nach Beendigung des Arbeitsverhältnisses. Ein im Unternehmen bestehendes Informationsmanagementsystem (ISMS) oder ein Verzeichnis der Verarbeitungstätigkeiten nach DSGVO (VVT) können gute Anknüpfungspunkte für die Risikoanalyse und die entsprechenden Maßnahmen darstellen, da hier in der Regel bereits umfassend Gruppen an Unternehmensinformationen als Grundlage genommen wurden. Häufig gilt auch ein Umkehrschluss: Informationen, die hier aus Geheimhaltungsgründen bisher nicht in Verzeichnisse aufgenommen werden konnten, sind häufig Geschäftsgeheimnisse.
Die Anforderungen an Vertraulichkeitsverpflichtungen wurden in einem Urteil des Landgerichts (LG) Lübeck konkretisiert (nicht veröffentlicht). Ein Mitbewerber erlangte Informationen von einem Unternehmen, woraufhin geklärt werden musste, ob es angemessene Geheimhaltungsmaßnahmen getroffen hatte. Aus dem Urteil ist festzuhalten: Vertragliche Vertraulichkeitsverpflichtungen sind in der Regel eine Mindestanforderung an den Geheimnisschutz, wobei eine stillschweigende Übereinkunft grundsätzlich nicht ausreicht. Zu beachten ist, dass arbeitsvertragliche Vertraulichkeitsvereinbarungen nur zwischen Arbeitnehmer und Arbeitgeber, nicht aber gegenüber Dritten gelten. Zudem können Informationen ohne besondere Sicherung wie durch Vertraulichkeitsvermerk und Verschlüsselung nicht als streng vertraulich angesehen werden.
Weiterführende Informationen finden Sie auch in unserem Artikel über das Thema Maßnahmen zum Geheimnisschutz.
Die Dauer des Geheimnisschutzes
In einem Fall, in dem ein Journalist auf Einsicht in BaFin-Unterlagen über eine Bank vor dem BVerwG klagte (BVerwG, Urt. v. 30.01.2020 – Az. 10 C 18/19), urteilte das Gericht, dass der Zeitablauf mit in die Einordnung einer Information als Geschäftsgeheimnis hineinspielt. Nach ca. fünf Jahren sei ein Geschäftsgeheimnis typischerweise nicht mehr aktuell, sodass eine erhöhte Nachweispflicht bestehe. Das Informationsfreiheitsgesetz (IFG), das den Zugang zu Informationen des Bundes regelt, vermittle keinen zeitlich unbegrenzten Geheimnisschutz. Auch nach der Definition aus dem GeschGehG würde nichts anderes gelten, da der erforderliche wirtschaftliche Wert „vom Zeitablauf nicht unberührt“ bliebe. Unternehmen sollten daher regelmäßig überprüfen, ob ihre Geschäftsgeheimnisse und die damit verbundenen Maßnahmen noch aktuell sind. Die Entscheidung beschreibt jedoch nach unserem Dafürhalten nur den Regelfall, in Ausnahmefällen kann der Schutz von Geschäftsgeheimnissen eben durch angemessene Geheimhaltungsmaßnahmen quasi zeitlich unbegrenzt gelten (umstrittenes Beispiel dafür ist die Coca-Cola-Rezeptur).
Die Geheimhaltungsvereinbarungen
Die Geheimhaltungsvereinbarung ist ein zentraler Bestandteil eines Geheimnisschutzkonzepts nach dem GeschGehG. Hier gibt es allerdings keine allgemeingültigen Lösungen, sondern die Vereinbarungen müssen konkret nach dem jeweiligen Einzelfall ausgestaltet werden und hängen vom Schutzbedarf und den Adressaten ab. Zu den grundlegenden Regelungsbestandteilen, die häufig relevant sind, gehören die Beschreibung der Geheimnisse, des Zwecks der Vereinbarungen, unzulässige Handlungen und der Schutzdauer. Des weiteren sollte festgehalten werden, welche Geheimhaltungsmaßnahmen von den Parteien zu treffen sind, die Weitergabe an Dienstleister geregelt werden und Vertragsstrafen für Verstöße gegen die Vereinbarung vorgesehen werden. Auch sollten die Rückgabe bzw. Löschung der Information und das anwendbare Recht vertraglich geregelt werden. Schließlich sollte darauf geachtet werden, Reverse Engineering vertraglich auszuschließen – was grundsätzlich möglich ist, sofern die Informationen nicht öffentlich verfügbar gemacht wurden.
Zur Frage der Gültigkeit von sog. „Catch-All-Klauseln“ (Verpflichtung, alle erlangten Informationen unbeschränkt und für immer geheim zu halten) urteilte das Landesarbeitsgericht (LAG) Köln in einem Fall, in dem Informationen wie Leistungs- und Geometriedaten an Wettbewerber bekanntgegeben wurden (LAG Köln, Urt. v. 02.12.2019 – Az. 2 SaGa 20/19). Die Catch-All-Klauseln wurden als unwirksam angesehen, da sich das Geheimhaltungsinteresse auf konkrete Informationen und Sachverhalte beziehen müsse. Formulierungen wie „Sämtliche Informationen, die dem Arbeitnehmer im Rahmen seiner Beschäftigung bekannt werden, sind vertraulich“ oder „In Bezug auf die Geheimhaltung wird auf die gesetzlichen Bestimmungen nach dem GeschGehG verwiesen“ sollten daher vermieden werden. Auch abstrakte Begriffe wie „Pricing Policy“ o. Ä. sind in aller Regel eher problematisch. Nur, wenn eindeutig bestimmt ist, was unter einen Begriff fällt, kann dieser für eine Konkretisierung ausreichen. Dann sollten auch alle betroffenen Informationen und Dokumente entsprechend gekennzeichnet sein.
Ähnlich dürfte die Rechtslage auch bei Geheimhaltungsverpflichtungen in Kaufverträgen oder AGB im B2B-Bereich liegen. Allerdings muss bei Geheimhaltungsvereinbarungen der Adressat berücksichtigt werden – der Unterschied, ob es sich um ein anderes Unternehmen oder um einen Praktikanten handelt, sollte sich in der Vereinbarung widerspiegeln.
Wenn vertraglich festgelegt wird, wie lange die Geheimhaltungspflicht nach Kündigung bestehen bleiben soll, sollte vor allem vom Adressaten ausgegangen werden. Die Rechte von Arbeitnehmer dürfen unter anderem aufgrund der Arbeitnehmerfreizügigkeit und Berufsfreiheit nicht zu stark beschränkt werden. Unbegrenzte bzw. unangemessen lange Fristen sind daher unzulässig. Doch auch gegenüber Geschäftspartnern gelten Einschränkungen und es kommt darauf an, welche Art von Informationen geheim gehalten werden. Kann der Geschäftspartner seine Tätigkeit ohne die Verwendung der Information kaum mehr ausführen, sodass es einem Wettbewerbsverbot gleichkommt, kann nur eine Geheimhaltung von maximal zwei Jahren zulässig sein. Wenn hingegen das Geschäftsgeheimnis für ein Unternehmen essenziell ist, kann der Zeitraum auch sehr lang sein. Die gängigen Fristen sind je nach Kontext drei, fünf oder zehn Jahre.
Übrigens: Häufig wird auch der Begriff non-disclosure agreement bzw. die Abkürzung NDA verwendet. Dagegen ist grundsätzlich nichts einzuwenden, NDA kann etwa in Überschriften problemlos eingesetzt werden. Allerdings ist zu beachten, dass der Begriff an sich nicht mehr als „keine Offenlegung“ bedeutet und eine Geheimhaltungsvereinbarung darüber hinausgehen sollte. Denn diese muss auch beinhalten, welche Fälle erlaubt sind, mit wem welche Informationen geteilt werden dürfen und welche Arten an Geheimhaltungsmaßnahmen zu treffen sind. Solange die Vereinbarung alles rechtlich Notwendige beinhaltet, kann auch der Begriff NDA verwendet werden – ein NDA an sich ist aber noch keine Geheimhaltungsvereinbarung.
Die Durchsetzung des Geheimnisschutzes
Kommt es zu Verletzungen des Geschäftsgeheimnisschutzes, hat der Inhaber eines Geschäftsgeheimnisses spezifische Rechtsschutzmöglichkeiten aus dem GeschGehG, nachdem er nach alter Rechtslage nur mittelbar aus Wettbewerbsverletzungen oder dem BGB Ansprüche geltend machen konnte. Nach § 6 GeschGehG kann er die Beseitigung von Beeinträchtigungen und bei Wiederholungsgefahr auch Unterlassung verlangen. Zudem hat er gemäß § 7 GeschGehG Anspruch auf Vernichtung oder Herausgabe der entsprechenden Dokumente, Gegenstände, Dateien etc. oder auf Rückruf des rechtsverletzenden Produkts. § 8 GeschGehG verleiht einige Auskunftsrechte gegenüber dem Rechtsverletzer, § 10 GeschGehG Schadensersatzansprüche.
Für den einstweiligen Rechtsschutz hat das OLG München (Beschl. v. 08.08.2019 – Az. 29 W 940/19) festgestellt, dass die Regelung des § 12 Abs. 2 UWG, die einstweilige Verfügung auch ohne die Glaubhaftmachung der Dringlichkeit zulässt, für den Geschäftsgeheimnisschutz nicht herangezogen werden kann. Damit muss die Dringlichkeit für den einstweiligen Rechtsschutz erst einmal explizit glaubhaft gemacht, also (mit herabgesetztem Beweismaß) nachgewiesen werden.
Fazit
Für Unternehmen, die ihre Geschäftsgeheimnisse wirksam schützen wollen, gilt: Entscheidend sind präventive Maßnahmen, um einen effektiven Geheimnisschutz zu erreichen. Mit der hier empfohlenen dreistufigen Vorgehensweise bestehen aus Bestandsaufnahme, Schutzbedarfsanalyse und Geheimhaltungsmaßnahmen ist dafür eine gute Grundlage gelegt. Dafür zentral sind rechtssichere Geheimhaltungsvereinbarungen, die möglichst konkret zu halten sind, Geheimhaltungsmaßnahmen regeln und eine effektive Durchsetzbarkeit sicherstellen. Mit den bisher ergangenen und hier vorgestellten Entscheidungen der Gerichte gibt es bereits rechtliche Konkretisierungen im Bereich Geheimnisschutz, die Unternehmen künftig berücksichtigen sollten. Das gilt vor allem für die Entscheidungen zur Schutzdauer von Geschäftsgeheimnissen und zum einstweiligen Rechtsschutz, die besonders praxisrelevant sind. Insgesamt lässt sich festhalten, dass sich der Geschäftsgeheimnisschutz mit dem GeschGehG als gut umsetzbar und effektiv darstellt.