Der Streit ums Geschäftsgeheimnis ist entschieden, lange bevor jemand kündigt. Fragen Sie Faccenda Chicken.
Apples Streit mit OpenAI um zwei abgewanderte Ingenieure entscheidet sich an Grenzen, die lange vor der Kündigung gezogen wurden, oder eben nicht gezogen wurden. Englisches Recht rechnet seit den 1980er-Jahren nach genau diesem Muster ab, seit ein Hühnchen-Hersteller seinen eigenen Vertriebsleiter verklagte.
„Wie schütze ich Geschäftsgeheimnisse, wenn ein Mitarbeiter das Unternehmen verlässt?“ ist die Frage, die früher oder später jede Rechtsabteilung hört, und sie kommt in der falschen Zeitform. Wenn die Kündigung auf dem Tisch liegt, steht die Erfolgsaussicht einer künftigen Klage längst fest, nicht durch Anwälte entschieden, sondern durch Identitäts- und Kontoentscheidungen, die Jahre zuvor getroffen wurden. Englisches Recht rechnet seit fast vierzig Jahren nach diesem Muster ab. Die IT-Landschaften der meisten Unternehmen wurden nie darauf ausgelegt.
Der aktuelle Anschauungsfall: Apple verklagt seine eigenen ehemaligen Ingenieure. In der Klageschrift nennt Apple Tang Tan und Chang Liu, zwei ehemalige Apple-Mitarbeiter, die inzwischen bei OpenAI arbeiten, und wirft ihnen vor, vertrauliche Informationen mitgenommen und beim Abgang Kollegen abgeworben zu haben. Das sind Vorwürfe, keine gerichtlichen Feststellungen. OpenAI hat einen Antrag auf Abweisung der Klage gestellt, während Apple eine einstweilige Verfügung anstrebt, die jede Nutzung der behaupteten Geschäftsgeheimnisse untersagen soll, solange der Rechtsstreit vor einem US-Bundesgericht in Kalifornien läuft. Zieht man Markennamen und Gerichtsstand ab, bleibt das immer gleiche Grundmuster jedes Streits um abwandernde Führungskräfte übrig, in Frankfurt so gut wie in Cupertino: Die eine Seite sagt „sie haben unsere Unterlagen mitgenommen“, die andere sagt „zeigen Sie mir das Geschäftsgeheimnis“.
Was schützt englisches Recht eigentlich, wenn ein Mitarbeiter kündigt?
Weniger, als die meisten Arbeitgeber annehmen, und die Leitentscheidung dreht sich um Hühnchen. In Faccenda Chicken v Fowler befasste sich der Court of Appeal mit einem Vertriebsleiter, der mit den Lieferrouten, Kundennamen und Preisen des Unternehmens im Kopf kündigte und in Konkurrenz dazu ein eigenes Geschäft eröffnete. Das Gericht entschied: Nach Ende des Arbeitsverhältnisses schützt die stillschweigende Vertraulichkeitspflicht nur Geschäftsgeheimnisse im engeren Sinne. Vertrauliche Informationen, die in Können, Erinnerung und Erfahrung eines Mitarbeiters übergegangen sind, gehen mit ihm, sofern kein wirksames Wettbewerbsverbot etwas anderes vorsieht. Wissen im Kopf ist geschützte Mobilität, Dateien in der Tasche sind ein potenzieller Klagegrund. Ein Unternehmen, dessen Systeme diesen Unterschied nicht abbilden können, hat keine Möglichkeit, eine Grenze durchzusetzen, auf der das Recht besteht.
Später kam mit dem Gesetz eine zweite, schärfere Variante hinzu. Die Trade Secrets (Enforcement, etc.) Regulations 2018 definieren ein Geschäftsgeheimnis als Information, die geheim ist, wegen ihrer Geheimhaltung einen kommerziellen Wert hat und Gegenstand „angemessener Schritte unter den gegebenen Umständen“ war, um sie geheim zu halten. An dieser Stelle lohnt sich Präzision bei der Rechtsordnung, die den meisten Kommentaren fehlt. Der amerikanische Defend Trade Secrets Act verankert eine ähnliche „angemessene Maßnahmen“-Anforderung in einer einheitlichen bundesrechtlichen Definition, und genau daran muss sich Apple messen lassen. In England ist die Lage unübersichtlicher: Die Regulations 2018 stehen neben der älteren Klage wegen Vertrauensbruchs, die kein gesetzliches Kriterium angemessener Schritte kennt, sodass Klägern dort zwei statt einer Route offenstehen. Deutsche Leser kennen das Prinzip aus erster Hand: Das Gesetz zur Umsetzung der EU-Geschäftsgeheimnisrichtlinie verlangt seit 2019 exakt dieselbe Voraussetzung, angemessene Geheimhaltungsmaßnahmen, bevor eine Information überhaupt als Geschäftsgeheimnis gilt. Der Trost bleibt begrenzt: Wer den Test der angemessenen Schritte nicht besteht, verliert nicht nur die gesetzliche Klagegrundlage, sondern liefert der Gegenseite gleich das Drehbuch für das Kreuzverhör bei der verbleibenden.
Warum ist es wichtig, dass private Konten auf Firmengeräten angemeldet sind?
Weil „angemessene Schritte“ danach beurteilt werden, was in der gesamten IT-Landschaft tatsächlich passiert ist, nicht danach, was in der Richtlinie stand. Ein Vorwurf im Umfeld des Apple-Verfahrens sollte jedes Unternehmen aufhorchen lassen, das auf Bequemlichkeit setzt: Eine separate Mitarbeiterklage, über die die Los Angeles Times berichtete, behauptet, Beschäftigte würden firmeneigene Geräte routinemäßig mit privaten iCloud-Konten verknüpfen. Ein Vorwurf, in einem anderen Verfahren, unbewiesen. Das beschriebene Muster jedoch ist beinahe universell, weil es genau das Muster ist, das die Plattformen belohnen. Zwei strikt getrennte Identitäten auf Consumer-Ökosystemen zu betreiben bedeutet zwei Logins, zwei Fotobibliotheken, zwei Zahlungsmethoden und ständiges Hin- und Herschalten. Beschäftigte verknüpfen Konten, weil das der Weg des geringsten Widerstands ist, und am ersten Tag beschwert sich niemand. Das Unternehmen streicht die Bequemlichkeit sofort ein und zahlt Jahre später in der einzigen Währung, die Gerichte akzeptieren: einer belegbaren Grenze. Fragt ein Richter, wie das Kronjuwel geschützt wurde, und lautet die ehrliche Antwort „es lag in einem Konto, das auch die Urlaubsfotos des Mitarbeiters enthielt“, ist das Argument der angemessenen Schritte erledigt, bevor die Beweisaufnahme überhaupt beginnt.
Die Gefahr wirkt in beide Richtungen. Das einstellende Unternehmen erbt die Unschärfe: Kommt Ihr neuer Principal Engineer mit einem privaten Konto voller Material, das niemand sauber einordnen kann, wird die Nachlässigkeit des früheren Arbeitgebers zu Ihrem Prozessrisiko.
Wie messen Sie Ihr eigenes Risiko?
Ermitteln Sie diese Woche eine einzige Zahl, ganz ohne Anwälte. Ziehen Sie das Geräteinventar aus Ihrem MDM-System und zählen Sie die verwalteten Geräte, auf denen zusätzlich zum Arbeitsprofil eine private Identität angemeldet ist: eine private Apple-ID mit iCloud-Drive- oder Fotos-Sync, ein privates Google-Konto mit aktiviertem Drive, ein privates Microsoft-Konto im Browser. Kann Ihr Tooling das nicht sichtbar machen, prüfen Sie stichprobenartig zwanzig Laptops von Hand, schon die manuelle Version ist ernüchternd genug. Der resultierende Prozentsatz ist Ihre Vermischungsquote, und sie ist zugleich eine Vorschau auf die Offenlegung, der Sie sich im Ernstfall stellen müssten, denn jedes dieser Geräte ist ein Ort, an dem Firmendokumente und private Inhalte einen Container teilen, von dem Sie einem Gericht erzählen müssten, er sei sauber getrennt gewesen.
Stellen Sie zwei Anschlussfragen. Wie viel Ihres tatsächlich geheimen Materials, der engen Kategorie, die Faccenda schützt, ist auf eine namentlich benannte Liste von Personen beschränkt statt auf „alle Mitarbeitenden“? Und könnten Sie beim letzten Offboarding innerhalb eines Tages die vollständige Liste der Systeme vorlegen, auf die das Konto der betreffenden Person Zugriff hatte? Zucken Sie bei einer der beiden Fragen mit den Schultern, werden Ihre Geschäftsgeheimnisse derzeit von Hoffnung geschützt.
Wie schützen Sie Geschäftsgeheimnisse, wenn ein Mitarbeiter kündigt?
Vor allem beim Onboarding, der Austritt liefert nur noch die Beweise nach. Vier Maßnahmen leisten den Großteil der Arbeit. Machen Sie die Unternehmensidentität zum bequemsten Weg, damit niemand für seine Arbeit auf ein privates Ausweichkonto angewiesen ist. Koppeln Sie Klassifizierung an Container, denn ein Geheimnis, das überall liegt, erfüllt keine Definition eines Geheimnisses. Sorgen Sie dafür, dass Widerruf der Realität entspricht: Ein Konto zu sperren funktioniert nur, wenn dieses Konto die einzige Tür war. Und führen Sie Austrittsgespräche, die konkrete Artefakte benennen statt vage von „vertraulichen Informationen“ zu sprechen, denn sowohl Faccenda und die Regulations 2018 als auch das deutsche Umsetzungsgesetz honorieren Konkretheit. Das ist kein IT-Ticket. Es ist eine Strategieentscheidung darüber, wie die Systeme Ihres Unternehmens seine Rechtsposition verkörpern, und sie gewinnt an Schärfe, sobald Software-Agenten eigene Zugangsdaten halten: Dieselbe Grenzlogik liegt sicheren agentischen Systemen zugrunde, wo der „Mitarbeiter“, der mit Ihren Daten davonziehen könnte, ein Prozess ist.
Die nüchterne Bilanz: Englisches Recht wird abwanderndes Wissen nicht aufhalten, und es wird Dokumente nur schützen, wenn Sie sie als Geheimnisse behandelt haben, solange Sie sie noch besaßen. Zählen Sie diese Woche Ihre vermischten Geräte, dann wissen Sie, auf welcher Seite dieser Linie Sie stehen, bevor ein Gericht es Ihnen sagt.
Häufige Fragen
Kann ein Unternehmen einem ehemaligen Mitarbeiter verbieten, im Job Gelerntes zu nutzen?
In der Regel nein. Seit Faccenda Chicken v Fowler gehen englische Gerichte davon aus, dass Können, Erfahrung und allgemeines Fachwissen, das während der Beschäftigung erworben wurde, dem Mitarbeiter gehören und mit ihm gehen. Nur Geschäftsgeheimnisse im engeren Sinne bleiben nach dem Austritt geschützt, sofern kein durchsetzbares Wettbewerbsverbot mehr Schutz bietet. Der praktische Streit dreht sich deshalb fast immer um Artefakte, also Dokumente, Dateien, Code, Kundendaten, und die Systeme, die sie enthielten, nicht um Wissen an sich.
Was gelten in Großbritannien als angemessene Schritte zum Schutz von Geschäftsgeheimnissen?
Die Trade Secrets (Enforcement, etc.) Regulations 2018 machen „angemessene Schritte unter den gegebenen Umständen“ zum Teil der Definition eines Geschäftsgeheimnisses selbst, wer sie nicht nachweisen kann, hat also gar keinen gesetzlichen Anspruch. Gerichte prüfen, was im Alltag tatsächlich geschah: Zugriff nur für Personen mit tatsächlichem Bedarf, Kennzeichnung und Speicherung in kontrollierten Umgebungen, Vertraulichkeitsklauseln in Verträgen und ein Widerruf, der den Zugriff beim Austritt wirklich beendet. Die ältere Klage wegen Vertrauensbruchs kennt kein gesetzliches Kriterium angemessener Schritte, doch dieselbe Nachlässigkeit untergräbt sie in der Praxis genauso.
Sollten Mitarbeitende private Konten auf Firmengeräten anmelden dürfen?
Nur, wenn Sie es bewusst eingrenzen. Pauschale Verbote scheitern meist, weil sie gegen die Anreize der Plattformen kämpfen, Menschen verknüpfen Konten, weil Trennung mühsam ist. Der praktikable Weg besteht darin, die Unternehmensidentität für die Arbeit vollständig ausreichend zu machen, Daten über verwaltete Profile oder Container zu trennen, und zu akzeptieren, dass jede Bequemlichkeit, die beide Identitäten vermischt, auch Ihre künftige Beweislage vermischt.
Verwandte Artikel
- Auf Ubuntu 26.04 LTS ist das coreutils, von dem Ihr Build abhängt, nicht mehr GNU
- Die Souveränitätsprämie: Warum souveräne KI-Lösungen für Unternehmen nicht wegen Tempo gewinnen, sondern wegen Zugriffssicherheit
- OS-Level-Altersverifikation spaltet den Betriebssystem-Markt in zwei Lager
- Security & Trust
Verfasst von einer KI-Redaktionspersona des proprietären Redaktionssystems von Abyshire und von unserem Team geprüft.