GeschGehG: Warum Geschäftsgeheimnisschutz bei KI-Beratung besonders wichtig ist

Warum das bei KI-Beratung besonders relevant ist

KI-gestützte Arbeit erzeugt eine neue Kategorie schutzwürdiger, aber leicht ungeschützt weitergegebener Informationen:

• Prompts enthalten oft implizit Geschäftsstrategie, interne Kennzahlen oder Kundendetails — formuliert, um ein möglichst gutes KI-Ergebnis zu bekommen, nicht, um ein Geheimnis zu schützen.
• Kundendaten, die zur Analyse in ein KI-Tool eingegeben werden, verlassen die eigene, kontrollierte Umgebung und liegen dann bei einem externen Anbieter.
• Trainingsdaten für eigene oder angepasste Modelle bündeln oft genau die Informationen, die ein Unternehmen von der Konkurrenz abheben.
• Strategiepapiere, die zur Zusammenfassung oder Ausformulierung in eine KI eingegeben werden, verlieren dabei leicht ihre kontrollierte Vertraulichkeit.

Wird eine dieser Informationen ohne angemessene Schutzmaßnahmen an ein KI-Tool weitergegeben, ist das rechtlich zweischneidig: Es kann selbst schon eine Verletzung bestehender Vertraulichkeitspflichten gegenüber Kunden sein — und es kann dazu führen, dass die Information ihren Status als geschütztes Geschäftsgeheimnis nach dem GeschGehG verliert, weil der Nachweis „angemessener" Schutzmaßnahmen dann schwerfällt.

Was „angemessene Geheimhaltungsmaßnahme" konkret bedeutet

§ 2 Nr. 1 lit. b GeschGehG verlangt keine bestimmte Einzelmaßnahme, sondern ein zur Art, zum Wert und zur Nutzung der Information verhältnismäßiges Schutzkonzept — die Maßnahmen müssen tatsächlich umgesetzt sein, nicht nur beabsichtigt. In der Praxis bewährt sich eine Kombination aus vier Ebenen:

• Vertraglich: konkrete Vertraulichkeitsvereinbarungen (NDA) beziehungsweise Verschwiegenheitsklauseln gegenüber Mitarbeitenden, Dienstleistern und Kunden — pauschale „Catch-all"-Klauseln für sämtliche internen Informationen reichen dabei in der Regel nicht aus.
• Organisatorisch: Einstufung der Informationen nach Schutzbedarf, eine dokumentierte Schutzrichtlinie, Schulungen sowie ein geregeltes Offboarding und das Need-to-know-Prinzip — Zugriff nur für die, die ihn für ihre Arbeit tatsächlich brauchen.
• Technisch: individuelle Zugriffsberechtigungen, Beschränkung von Download, Druck und Weitergabe, Verschlüsselung und wo sinnvoll eine Mehrfaktor-Authentifizierung.
• Kennzeichnung: Vertraulichkeitsvermerke oder Klassifizierungssysteme sind sinnvoll und beweisstützend, allein aber regelmäßig nicht ausreichend.

Quellcode und Prompts als eigenständige Geheimnisse

Nicht nur klassische Kundendaten, sondern auch selbst entwickelter Quellcode und ausgefeilte Prompts können als eigenständiges Geschäftsgeheimnis geschützt sein, wenn sie die drei Voraussetzungen des § 2 Nr. 1 GeschGehG erfüllen – nicht allgemein bekannt, wirtschaftlich wertvoll gerade wegen der Geheimhaltung, tatsächlich angemessen geschützt. Bei individuell entwickeltem Code (etwa proprietäre Automatisierungslogik, Prompt-Ketten oder Konfigurationen für KI-gestützte Workflows) bedeutet das konkret: Zugriffsbeschränkung auf Repositories, Versionskontrolle mit nachvollziehbaren Berechtigungen, keine unkontrollierte Weitergabe an externe KI-Tools zur „Optimierung" oder Fehlersuche, und vertragliche Vertraulichkeitsklauseln gegenüber jedem, der Zugriff erhält – Mitarbeitende, Freelancer, externe Entwicklungspartner. Ohne diese Maßnahmen verliert selbst technisch hochwertiger Code seinen rechtlichen Geheimnisstatus, weil der Nachweis „angemessener" Schutzmaßnahmen fehlschlägt.

Abwerbeverbote und Konkurrenzklauseln

Das GeschGehG schützt die Information selbst, nicht die Person, die sie kennt – ein nachvertragliches Wettbewerbsverbot für Mitarbeitende ist daher kein Instrument des GeschGehG, sondern muss gesondert arbeitsvertraglich vereinbart werden (mit den bekannten Grenzen: zeitliche Begrenzung, örtlicher und sachlicher Bezug, Karenzentschädigung bei nachvertraglichen Wettbewerbsverboten für Arbeitnehmer). Zulässig und praktisch sinnvoll sind dagegen Klauseln, die ausdrücklich regeln, dass identifizierte Geschäftsgeheimnisse – etwa konkrete Prompt-Bibliotheken, Kundenlisten oder Methodendokumentationen – auch nach Vertragsende nicht verwertet oder an einen neuen Arbeitgeber weitergegeben werden dürfen. Diese Klauseln wirken unabhängig von einem klassischen Wettbewerbsverbot und sind rechtlich eher durchsetzbar, weil sie sich auf konkret bezeichnete Informationen statt auf eine pauschale Tätigkeitsbeschränkung beziehen.

Rückgabe- und Löschungspflichten bei Mitarbeiterwechsel

Endet ein Arbeits- oder Auftragsverhältnis, sollte der Umgang mit Geschäftsgeheimnissen vertraglich klar geregelt sein – in der Praxis bewährt sich ein Offboarding-Prozess mit folgenden Punkten:

• Rückgabe oder nachweisbare Löschung sämtlicher Zugänge zu internen Systemen, Repositories, Cloud-Speichern und KI-Tools, in denen vertrauliche Informationen abgelegt sind
• Widerruf individueller Zugriffsrechte zum Stichtag des Ausscheidens, nicht erst nachträglich
• Rückgabe oder Löschung lokal gespeicherter Kopien (Prompts, Dokumente, Exporte aus KI-Tools) mit schriftlicher Bestätigung
• Erinnerung an fortbestehende Verschwiegenheitspflichten, die über das Vertragsende hinaus gelten – das GeschGehG selbst kennt keine automatische zeitliche Begrenzung des Geheimnisschutzes
• Dokumentation des Offboardings als Beleg dafür, dass angemessene Schutzmaßnahmen auch beim Ausscheiden konsequent fortgeführt wurden

Fehlt ein solcher Prozess, ist im Streitfall schwer nachzuweisen, dass ein Geschäftsgeheimnis nach dem Ausscheiden eines Mitarbeitenden noch angemessen geschützt war – mit der Folge, dass der Geheimnisstatus rückwirkend infrage stehen kann.

Was das für die eigene KI-Nutzung bedeutet

• Vor der Eingabe in ein KI-Tool klären, ob die Information Kunden- oder Geschäftsgeheimnisse enthält, und wenn ja, ob das eingesetzte Tool vertraglich zur Vertraulichkeit verpflichtet ist.
• Für Kundendaten und Strategiepapiere festlegen: Wer darf worauf zugreifen, zu welchem Zweck, unter welcher Verschwiegenheitsverpflichtung und mit welchen technischen Sperren.
• Eine interne KI-Nutzungsrichtlinie hilft, diese Fragen nicht bei jedem Prompt neu zu entscheiden, sondern verbindlich vorzugeben.
• Im Streitfall muss der Geheimnisinhaber die konkreten Schutzmaßnahmen und deren Angemessenheit darlegen und beweisen — eine Dokumentation der eigenen Maßnahmen ist deshalb kein Bürokratieaufwand, sondern die eigentliche Verteidigungslinie.