Ein Mitarbeiter wechselte mit der Kundendatenbank zur Konkurrenz

Entscheidungsrahmen: Was von dem, was mitgenommen wurde, überhaupt geschützt ist

Nicht alles, was der Vertriebler mitgenommen hat, ist rechtlich geschützt. Der Entscheidungsrahmen hat drei Ebenen, und in jeder ist die Position des Unternehmens unterschiedlich.

Die erste Ebene bilden Informationen, die den Charakter eines Geschäftsgeheimnisses haben. Dazu gehören Kundenlisten mit Geschäftsbedingungen, Kalkulationen, Margen, Lieferantenpreise oder technische Dokumentation. Geschützt sind sie aber nur dann, wenn sie wettbewerblich bedeutsam, bewertbar, gewöhnlich nicht zugänglich und vom Unternehmen tatsächlich geheim gehalten werden. Die letzte Bedingung schließt einen Großteil dessen aus, was Unternehmen für ihr Geheimnis halten. Eine frei zugängliche Freigabefestplatte schwächt die Möglichkeit, die Geheimhaltung nachzuweisen, erheblich, auch wenn sie für sich genommen nicht automatisch dazu führt, dass kein Schutz entsteht.

Die zweite Ebene sind personenbezogene Daten von Kunden und Kontaktpersonen. Deren Mitnahme ist ein eigenständiges Problem, denn das Unternehmen haftet als Verantwortlicher dafür, wer Zugriff auf die Daten hatte und wie das Arbeitsverhältnis beendet wurde. Neben dem Streit mit dem ehemaligen Mitarbeiter löst es damit auch eigene Pflichten aus, und beides läuft gleichzeitig.

Die dritte Ebene sind die Kenntnisse und Erfahrungen des Mitarbeiters. Diese darf er mitnehmen, und der Versuch, es ihm zu verbieten, ist wertlos. Es gilt jedoch nicht, dass eine Information nur deshalb aufhört, geschützt zu sein, weil der Mitarbeiter sie sich gemerkt hat — entscheidend ist die Art der Information und die Art ihrer Verwendung, nicht ob sie auf einem USB-Stick abgeflossen ist. Allgemeines Marktwissen bleibt beim Mitarbeiter, eine konkrete nicht öffentliche Kundenmarge oder ein Preismodell können hingegen geschützt sein.

Für die Entscheidung, ob man einen Rechtsstreit führt, ist daher eine einzige Frage entscheidend: Können wir belegen, dass es sich um Daten handelte, die wir geschützt haben, und wie mit ihnen umgegangen wurde? Ein allgemeiner Verdacht, dass der ehemalige Mitarbeiter unsere Kunden anspricht, reicht nicht aus. Zur Einrichtung des Datenschutzes äußern wir uns auch im Artikel Rechtlicher Schutz von Datensätzen als Geschäftsgeheimnis.

Schritt-für-Schritt-Vorgehen

Die erste Woche nach dem Abgang entscheidet darüber, ob das Unternehmen Beweise oder nur Eindrücke in der Hand hat.

Der erste Schritt besteht darin, digitale Spuren zu sichern, bevor sie überschrieben werden. Zugriffsprotokolle des CRM, Exportverlauf, versendete Post, angeschlossene externe Datenträger. Die meisten Systeme speichern diese Daten nur für einen begrenzten Zeitraum, daher duldet dieser Schritt keinen Aufschub, bis sich das Unternehmen entschieden hat, ob es den Rechtsstreit führen will.

Der zweite Schritt besteht darin, die Geräte zu sichern. Notebook und Telefon werden nicht sofort übernommen und neu aufgesetzt, sondern in dem Zustand gesichert, in dem sie zurückgegeben wurden, und über die Übernahme wird ein Protokoll erstellt. Das Protokoll sollte auch festhalten, was auf dem Gerät fehlte, also gelöschte Ordner oder abgemeldete Konten.

Der dritte Schritt besteht darin, konkret zu erfassen, was fehlt oder heruntergeladen wurde. Nicht allgemein „Kundendatenbank“, sondern konkrete Datei, Datum, Uhrzeit und Umfang. Sowohl das Gericht als auch die Gegenseite arbeiten mit konkreten Zahlen, und eine allgemeine Behauptung über eine mitgenommene Datenbank hält nicht einmal einer Vergleichsverhandlung stand.

Der vierte Schritt ist eine schriftliche Aufforderung. Sie enthält die Bezeichnung der betroffenen Informationen, die Aufforderung, deren Nutzung zu unterlassen, sie zu löschen und schriftlich zu bestätigen, dass keine Kopien verblieben sind. Die Aufforderung wird sowohl an den ehemaligen Mitarbeiter als auch an dessen neuen Arbeitgeber gesendet. Dieser reagiert darauf in der Regel schneller als der Mitarbeiter selbst, weil das Risiko sein gesamtes Unternehmen trägt.

Der fünfte Schritt ist die Prüfung, ob die mitgenommenen Daten personenbezogene Daten von Kunden oder Kontaktpersonen enthalten. Handelt es sich um eine Sicherheitsverletzung, die ein Risiko für die betroffenen Personen bedeuten kann, läuft für das Unternehmen als Verantwortlichen die Frist zur Meldung an die Aufsichtsbehörde, und zwar unverzüglich, möglichst innerhalb von 72 Stunden ab dem Zeitpunkt, zu dem es davon Kenntnis erlangt hat. Dabei muss jeder Vorfall dokumentiert werden, auch ein nicht meldepflichtiger. Bei Unternehmen, die den Vorschriften zur Cybersicherheit unterliegen, kann daneben eine eigenständige Meldepflicht entstehen.

Der sechste Schritt ist die Entscheidung über das weitere Vorgehen: Vergleich mit schriftlicher Verpflichtung, einstweilige Verfügung dort, wo unmittelbarer Schaden droht, oder Klage wegen unlauteren Wettbewerbs.

Der siebte Schritt ist die Korrektur der eigenen Einrichtungen: Überprüfung der Zugriffsrechte, Beschränkung von Massenexporten, Verschwiegenheit in Arbeitsverträgen und Entzug der Zugriffe am Tag der Beendigung. Diesen Schritt schieben Unternehmen am häufigsten auf, dabei entscheidet er darüber, wie der nächste Abgang verläuft.

Was am Markt Standard ist und was ein Warnsignal ist

In Unternehmen, die das im Griff haben, ist es Standard, dass sensible Dokumente als vertraulich gekennzeichnet sind und nur diejenigen Zugriff darauf haben, die ihn benötigen, und dass der Massenexport aus dem CRM entweder untersagt ist oder protokolliert und genehmigt wird.

Standard ist auch, dass die Geschäftsbedingungen bei Schlüsselkunden mehr als nur einem Vertriebler bekannt sind und dass das Unternehmen sie im System führt, nicht in dessen Notizen.

Standard ist auch eine schriftliche Verschwiegenheitspflicht im Arbeitsvertrag und bei Partnern eine eigenständige Vereinbarung; ihrer Form widmen wir uns im Artikel NDA-Muster mit Anwaltskommentar.

Warnsignale lassen sich erkennen, bevor jemand das Unternehmen verlässt. Das erste ist ein Vertriebler, der langfristig eine eigene Kundenübersicht außerhalb des Firmensystems führt, denn dann hat das Unternehmen keine Kontrolle darüber, was er in der Hand hat. Das zweite ist ein Anstieg von Exporten und Downloads in dem Zeitraum, in dem der Mitarbeiter gekündigt hat oder eine Kündigung plant.

Das dritte Signal ist eine Situation, in der die Beziehungen zu Schlüsselkunden niemand außer einem einzigen Vertriebler kennt. Dem beugt man durch das Teilen von Kontakten im Team vor, nicht durch rechtliche Regelungen. Ein damit verbundenes Instrument ist das Wettbewerbsverbot, dem wir uns im Artikel Wettbewerbsklausel in handelsrechtlichen Beziehungen widmen.

Wo die rechtliche Grenze verläuft

Das Gesetz gibt dem Unternehmen starke Instrumente an die Hand, knüpft sie aber daran, dass es die Informationen selbst geschützt hat.

Grundlage ist die Definition. Nach § 504 des tschechischen Bürgerlichen Gesetzbuchs (Gesetz Nr. 89/2012 Slg., im Folgenden „OZ“) bilden ein Geschäftsgeheimnis wettbewerblich bedeutsame, bestimmbare, bewertbare und in den betreffenden Geschäftskreisen gewöhnlich nicht zugängliche Tatsachen, die mit dem Unternehmen zusammenhängen und deren Inhaber ihre Geheimhaltung in seinem Interesse in angemessener Weise sicherstellt. Die letzte Bedingung ist in der Praxis entscheidend und wird anhand der Gesamtausgestaltung des Schutzes beurteilt: Zugriffsbeschränkungen, Authentifizierung, interne Richtlinien, vertragliche Verschwiegenheit sowie Protokollierung. Die bloße Aufschrift „vertraulich“ genügt nicht, und umgekehrt lässt sich eine frei zugängliche Datei nur schwer als geheim gehalten verteidigen.

Das eigentliche Verhalten benennt § 2985 OZ. Eine Verletzung des Geschäftsgeheimnisses liegt vor, wenn jemand einer anderen Person unbefugt ein Geschäftsgeheimnis mitteilt, zugänglich macht oder für sich oder einen anderen nutzt, das im Wettbewerb verwendet werden kann und von dem er Kenntnis erlangt hat, weil es ihm anvertraut wurde oder ihm aufgrund seines Arbeitsverhältnisses oder einer anderen Beziehung zum Wettbewerber zugänglich geworden ist. Damit kann sich auch der neue Arbeitgeber einer eigenen Haftung aussetzen, insbesondere wenn er weiß oder den Umständen nach wissen müsste, dass er ein unrechtmäßig erlangtes Geschäftsgeheimnis nutzt.

Die Ansprüche nennt § 2988 OZ. Wer durch unlauteren Wettbewerb in seinem Recht gefährdet oder verletzt wurde, kann verlangen, dass der Störer das unlautere Verhalten unterlässt oder den rechtswidrigen Zustand beseitigt, sowie angemessene Genugtuung, Schadensersatz und die Herausgabe der ungerechtfertigten Bereicherung. Der Unterlassungsanspruch ist entscheidend, weil er auf die Beendigung der weiteren Nutzung der Informationen abzielt. Eine eingereichte Klage stoppt jedoch für sich genommen nichts, und muss früher eingegriffen werden als durch eine Entscheidung in der Sache, kommt eine einstweilige Verfügung zum Zug. Nach § 5a des tschechischen Gesetzes Nr. 221/2006 Slg. gilt zudem, dass das Gericht, wenn der Störer von der Verletzung des Geschäftsgeheimnisses wusste, den Schadensersatz und die Genugtuung pauschal nach der üblichen Lizenzgebühr festsetzen kann.

Während der Dauer des Arbeitsverhältnisses hilft § 304 ZP, wonach Arbeitnehmer neben ihrer Beschäftigung eine Erwerbstätigkeit, die mit dem Tätigkeitsgegenstand des Arbeitgebers übereinstimmt, nur mit vorheriger schriftlicher Zustimmung des Arbeitgebers ausüben dürfen.

Für die Zeit nach Beendigung des Arbeitsverhältnisses gilt eine besondere Regelung, und die allgemeine Regelung von Wettbewerbsklauseln aus dem OZ findet auf Arbeitnehmer keine Anwendung. Nach § 310 ZP kann sich der Arbeitnehmer verpflichten, höchstens für die Dauer eines Jahres eine mit dem Tätigkeitsgegenstand des Arbeitgebers übereinstimmende Erwerbstätigkeit oder eine Tätigkeit wettbewerblicher Art zu unterlassen. Bestandteil der Klausel muss die Verpflichtung des Arbeitgebers sein, für jeden Monat eine angemessene finanzielle Ausgleichsleistung zu erbringen, mindestens in Höhe der Hälfte des durchschnittlichen Monatsverdienstes, und die Klausel muss schriftlich sein. Vereinbart werden kann sie nur dort, wo dies angesichts der Art der erlangten Informationen und Kenntnisse billigerweise verlangt werden kann.

Vorsicht auch bei der Art und Weise der Beweissicherung. Nach § 316 ZP darf der Arbeitgeber angemessen kontrollieren, ob der Arbeitnehmer Arbeitsmittel nicht für private Zwecke nutzt, in dessen Privatsphäre darf er jedoch durch Kontrolle der elektronischen Post nur aus einem schwerwiegenden Grund eingreifen, der in der besonderen Art seiner Tätigkeit liegt, und auch dann muss er den Arbeitnehmer vorab über Umfang und Art der Kontrolle informieren.

Einen eigenständigen Weg bietet der Datenbankschutz. Nach § 88a des tschechischen Urheberrechtsgesetzes steht dem Hersteller einer Datenbank ein besonderes Schutzrecht zu, wenn ihre Erstellung eine wesentliche Investition darstellte, und zwar unabhängig vom urheberrechtlichen Schutz. Bei einem massenhaft exportierten CRM ist dies neben dem Geschäftsgeheimnis die zweite Rechtsgrundlage.

Abschließende Zusammenfassung

Über den Ausgang eines Know-how-Streits wird zweimal entschieden. Zum ersten Mal bei der Einrichtung der Zugriffsrechte, zum zweiten Mal in der ersten Woche nach dem Abgang des Mitarbeiters, wenn Beweise gesichert werden. Wer beides beherrscht, hat eine Position, in der die Gegenseite in der Regel lieber eine Einigung schließt, als einen Rechtsstreit zu führen.

Die rechtliche Grenze lässt sich nicht durch eine Vertragsformulierung umgehen. Geschützt ist das, was das Unternehmen selbst geheim gehalten hat, dem Mitarbeiter kann nicht verboten werden, seine eigene Erfahrung zu nutzen, und ihn nach dem Abgang einzuschränken, ist nur durch eine Wettbewerbsklausel nach dem ZP möglich, also höchstens für ein Jahr und gegen eine finanzielle Ausgleichszahlung. Die Anwaltskanzlei ARROWS führt solche Streitigkeiten im Rahmen der Dienstleistung Handels- und Gerichtsstreitigkeiten und ist für den Fall der Berufshaftung mit einer Deckungssumme von 350 000 000 CZK (ca. 14,4 Mio. EUR) versichert. Schreiben Sie an beratung@arws.cz.