GeschGehG: Das neue Geschäftsgeheimnisgesetz

Erst angemessene Schutzmaßnahmen machen Geschäftsgeheimnisse schützenswert

[datensicherheit.de, 14.10.2019] Seit April 2019 gilt das neue Geschäftsgeheimnisgesetz (GeschGehG). Trotz des akuten Handlungsbedarfs haben viele Unternehmen noch nicht reagiert. Entscheidend ist das Ergreifen und Dokumentieren angemessener Geheimhaltungsmaßnahmen.

Ein ehemaliger Vertriebsmitarbeiter bedient sich wichtiger Kundendaten. Teure Rezepturen und Konstruktionszeichnungen werden gestohlen. Verständlich, dass Unternehmen ihre Geheimnisse schützen möchten. Nach dem seit April 2019 geltenden Gesetz genügt der bloße Geheimhaltungswille nicht mehr, um erfolgreich gegen einen Verletzter vorgehen zu können. Zusätzlich bedarf es dokumentierter, angemessener Geheimhaltungsmaßnahmen. Nur dann liegt laut Gesetzgeber überhaupt ein Geschäftsgeheimnis vor und damit die Grundlage für eine Klage auf Auskunft, Herausgabe, Schadensersatz oder Unterlassung.

Derartige Ansprüche können aber immer nur das Mittel einer möglichen Schadensbegrenzung sein. Denn: Ist das Know-how erst einmal in falsche Händen geraten, ist es eigentlich schon zu spät. In der Sache kommt es somit – aus der Sicht von Datenschützern – auf etwas ganz anderes an: Und zwar auf den faktischen Schutz aufgrund angemessener Geheimhaltungsmaßnahmen. Dieser stellt einen immensen Mehrwert für ein Unternehmen dar. Durch Berechtigungsstrukturen, technische und organisatorische Datensicherungsmaßnahmen oder durch Sensibilisierung kann die Wahrscheinlichkeit gesenkt werden, dass Know-how in die falschen Hände, zum Beispiel zum Wettbewerber, gelangt.

Das größte Risiko geht von Mitarbeitern aus

Eine wichtige Frage ist, an welcher Stelle eines Unternehmens Geschäftsgeheimnisse gefährdet sind, in die falschen Hände zu gelangen. Eine berechtigte Sorge ist die Industriespionage, da beispielsweise schlecht gesicherte Drucker ein beliebtes Einfallstor bieten. Eine besonders große Bedrohung stellen allerdings die sogenannten „internen Angreifer“ dar. In Zeiten häufiger Wechsel des Arbeitgebers geht nicht selten mit jedem Jobwechsel auch das Know-how gleich mit zum neuen Arbeitgeber über. Dies ist hinsichtlich der Erfahrungswerte und des Wissens im Kopf – abgesehen von ganz spezifischen Einzelfällen – auch nach dem neuen Gesetz letztlich nicht verhinderbar. Eine andere Dimension ist aber erreicht, wenn Konstruktionspläne kopiert oder Kundenlisten mit Konditionen auf einem privaten USB-Stick gespeichert werden.

Handlungsbedarf: Schutzkonzept erstellen

Nur bei dokumentierten angemessenen Geheimhaltungsmaßnahmen besteht ein Schutz für Unternehmen. Konkret bedeutet das, dass ein Management-System zum Schutz der Geschäftsgeheimnisse aufgebaut und dokumentiert werden muss. Für Unternehmen, die bereits eine passende Datenschutz-Organisation im Sinne der DSGVO aufgebaut haben, ist dies relativ zügig erledigt. Denn die Systematik ist identisch, anstatt um personenbezogene Daten geht es hier um die jeweiligen Geschäftsgeheimnisse.

Praktisch wird anhand des sog. PDCA-Zyklus (Plan – Do – Check – Act) zunächst mit Hilfe von Checklisten dokumentiert, welche Informationen das Unternehmen schützen, sprich zu Geschäftsgeheimnissen machen will. Nach der Erfassung werden die Informationen klassifiziert. Bei der anschließenden Bestimmung der Schutzmaßnahmen je nach Kritikalität können die bereits bestehenden Datensicherungsmaßnahmen (TOMs, sogenannte technische und organisatorische Maßnahmen) mitverwendet, überprüft und ergänzt werden. Wichtig ist schließlich, dass die Datensicherungsmaßnahmen regelmäßig angepasst und auf Wirksamkeit geprüft werden. In diesem Kontext sollte ein Unternehmen auch überprüfen, ob der Anstoß genutzt wird und direkt ein Informationssicherheits-Managementsystem (ISMS), z.B. entsprechend ISO/IEC 27001, aufgebaut wird. Der Vorteil hieran ist unter anderem, dass die Möglichkeit der Zertifizierung besteht.

Besondere Bedeutung bei den Datensicherungsmaßnahmen haben:

• Rollen- und Rechte- bzw. Berechtigungskonzept,
• passende, möglichst konkrete Vertraulichkeitserklärungen,
• technische Maßnahmen (Firewall, Virenschutz, etc.).

Daneben kommt es besonders auf die passenden Prozesse an. So muss zum Beispiel organisatorisch gewährleistet sein, dass der gekündigte Mitarbeiter keine Gelegenheit mehr zum Datendiebstahl hat und alle Schlüssel, Datenträger, Unterlagen etc. herausgibt.

Fazit

Das Ergreifen und Dokumentieren angemessener Geheimhaltungsmaßnahmen wie beispielhaft im Text beschrieben qualifiziert und schützt Geschäftsgeheimnisse nach dem neuen Geschäftsgeheimnisgesetz. Der bloße Geheimhaltungswille des Inhabers nach alter Rechtslage reicht nicht mehr aus. Unternehmen sind gut beraten, angemessene Schutzmaßnahmen zu entwickeln und zu dokumentieren.

Foto: dhpg

Dr. Christian Lenz ist Rechtsanwalt bei der dhpg. Der Fokus seiner Tätigkeit liegt in der IT- und datenschutzrechtlichen Beratung mittelständischer Unternehmen. Als zertifizierter Datenschutzbeauftragter (TÜV®) ist sein Know-how in vielen Unternehmen als externer Datenschutzbeauftragter gefragt. Ein Fachgebiet, das er als Referent mit einem breiten Angebot an Schulungen und Vorträgen begleitet. Daneben unterstützt er Unternehmen beim Schutz ihrer Betriebs- und Geschäftsgeheimnisse entsprechend des Gesetzes zum Schutz von Geschäftsgeheimnissen (GeschGehG).

Weitere Informationen zum Thema:

datensicherheit.de, 12.04.2019
GeschGehG: Digitaler Safe für Geschäftsgeheimnisse gefordert