Lücke im Datenschutz?

Viele Unternehmen sind im Moment damit beschäftigt, ihre internen Prozesse auf das neue Datenschutzniveau, das ab Mai 2018 gefordert wird, anzupassen. Es stellen sich dabei Fragen wie: Welche Daten darf ich von meinem Mitarbeiter haben? An wen darf ich sie - auch innerhalb des Unternehmens - weitergeben? Wann muss ich sie löschen?

Was aber, wenn Mitarbeiter oder Geschäftspartner Daten des Unternehmens missbräuchlich verwenden? Ein ehemaliger Mitarbeiter nimmt zum Beispiel Kundenlisten oder Projektunterlagen mit und zieht damit ein eigenes Unternehmen hoch. Oder wird für einen Konkurrenten tätig und nutzt die mitgenommen Unterlagen dort. Viele Unternehmer denken hier spontan an eine Datenschutzverletzung, die in Zukunft, wie sich mittlerweile herumgesprochen hat, streng bestraft werden kann.

Neue EU-Richtlinie überden Schutz von Know-how

Doch Vorsicht: Das neue Datenschutzrecht schützt - im Gegensatz zum noch geltenden - nur mehr personenbezogene Daten natürlicher Personen. Geschäfts- und Betriebsgeheimnisse stehen aber meist juristischen Personen (zum Beispiel Gesellschaften) zu. Sie fallen daher aus dem Anwendungsbereich des neuen EU-Datenschutzrechts heraus, auch wenn im österreichischen Recht noch einige Überbleibsel der alten Rechtslage vorhanden sein mögen.

Eine Schutzlücke sollte - zumindest aus Sicht des EU Gesetzgebers - künftig aber dennoch nicht bestehen. Immerhin gibt es bereits eine neue Richtlinie über den Schutz von Know-how und Geschäftsgeheimnissen, die bis 18. Juni 2018, somit ungefähr zeitlich mit dem Inkrafttreten des neuen Datenschutzrechts, ins österreichische Recht umgesetzt werden muss. Dem Vernehmen nach wird dies im Bundesgesetz gegen den Unlauteren Wettbewerb (UWG) geschehen.

Der Geheimnis- und Know-how- Schutz wird dadurch gestärkt, es gibt ihn aber nicht, ohne etwas dafür zu tun. Die neue Richtlinie sieht nämlich vor, dass unternehmensinterne Informationen nur dann schützenswert sind, wenn sie geheim sind, aufgrund dessen einen wirtschaftlichen Wert besitzen und - das ist aus österreichischer Sicht in dieser Form neu - "Gegenstand von den Umständen entsprechenden angemessenen Geheimhaltungsmaßnahmen" sind.

Konkret: Existieren nur laxe oder keine wirksamen Geheimhaltungsmaßnahmen im Unternehmen, besteht die Gefahr, im Falle eines Geheimnisverrats ohne rechtlichen Schutz dazustehen. Man hätte eben besser auf sein Geheimnis aufpassen sollen, heißt es am Ende gar vor Gericht, und der "Dieb" lacht sich ins Fäustchen.

Manches wird hier vielleicht nicht so heiß gegessen, wie es gekocht wird. Der Oberste Gerichtshof hat unlängst bereits in einer Entscheidung erklärt, dass auch nach dem neuen Recht gewisse IT Sicherheitslücken noch nicht bedeuten, dass ein Geschäftsgeheimnis nicht mehr gut genug geschützt ist, sodass es jedermann, der die Schutzlücke findet, ungestraft verwenden darf. Trotzdem: Man sollte die technische, organisatorische und vertragliche Absicherung von Know-how und Geschäftsheimnissen auf keinen Fall schleifen lassen, um den gesetzlichen Schutz nicht zu verlieren.

Was also tun? Unternehmer sollten zunächst erheben, ob und in welchem Umfang ihr Geschäftsmodell vom Schutz von Know-how und Betriebsgeheimissen abhängt. Auch Unternehmen, die nicht im High-Tech-Bereich tätig sind oder gar einen regelrechten Kult um ein Geschäftsgeheimnis treiben - wie zum Beispiel Coca-Cola um seine berühmte Rezeptur -, werden dabei rasch zum Ergebnis kommen, dass es auch in ihrem Betrieb Informationen gibt, die sie gerne vor der Konkurrenz geheim halten würden.

Der Zugriff auf solche Daten sollte auf einer Need-to-know-Basis erfolgen, sowohl was den Kreis der eingeweihten Personen als auch den Umfang der geteilten Informationen anbelangt. Dies soll auch durch technische und organisatorische Maßnahmen abgesichert werden wie etwa Passwortschutz, Verschlüsselung oder Zugangsbeschränkungen zu einzelnen Betriebsbereichen. Vertrauliche Dokumente sollten auch als solche gekennzeichnet werden.

Geheimnisklauselnsollten vereinbart werden

Mit Dienstnehmern und sonstigen Geheimnisträgern sollten Geheimhaltungsklauseln vereinbart werden, und zwar solche, die auch nach der Beendigung des Dienstverhältnisses noch gelten. Ob ausgeschiedene Mitarbeiter zum Beispiel Kundenlisten des Ex-Arbeitgebers verwerten dürfen oder nicht, hängt - wie auch wieder zwei im Ergebnis konträre Entscheidungen des Obersten Gerichtshofs aus dem Vorjahr zeigen - entschieden davon ab, was mit diesen Mitarbeitern vereinbart wurde. Ohne entsprechende Vertragsklauseln bleibt der alte Arbeitgeber oft im Regen stehen.

Auch Vertraulichkeitsvereinbarungen (Non-Disclosure Agreements, NDAs) mit Geschäftspartnern sind empfehlenswert. Allerdings sollten sie - wieder Stichwort Need-to-know-Basis - auch nicht dazu verleiten, nach formalem Abschluss einer solchen Vereinbarung wahl- und hemmungslos alle möglichen Informationen auszutauschen. Hier sollte mit Hausverstand vorgegangen werden. Man kann auch ohne Verschwiegenheitsvereinbarung ohne Risiko über manches reden, mit einer solchen Vereinbarung aber noch immer nicht über alles.

Um hier das nötige Maß zu finden, sollte man Mitarbeiter für das Thema sensibilisieren und entsprechend schulen. Für all das bietet es sich an, die Synergien aus den datenschutzrechtlichen Compliance Maßnahmen, die derzeit in vielen Unternehmen durchgeführt werden, zu nutzen. Da wie dort geht es darum, unternehmensinterne Prozesse, Datenströme und Zugriffsrechte zu erheben, zu hinterfragen und gegebenenfalls einzuschränken, technische und organisatorische Schutzmaßnahmen zu ergreifen und Verträge zu adaptieren.

So könnten Unternehmen im Zuge der Anpassung an das neue Datenschutzrecht auch fit für den neuen Know-how- und Geheimnisschutz gemacht werden und der Wert wichtiger Assets des Unternehmens könnte gestärkt werden.

Dominik Göbel, ist Partner bei Gassauer-Fleissner Rechtsanwälte. Er berät und vertritt Unternehmen vor allem im IP- und Lauterkeitsrecht (UWG).