Ein Geschäftsgeheimnis entsteht nicht dadurch, dass eine Information wertvoll und unbekannt ist. Nach § 2 Nr. 1 des Geschäftsgeheimnisgesetzes (GeschGehG) muss sie zusätzlich Gegenstand angemessener Geheimhaltungsmaßnahmen sein. Ohne sie ist die Information im Sinne des Gesetzes kein Geschäftsgeheimnis.
Der gangbare Weg: schutzbedürftige Informationen benennen, Zugriffe begrenzen, festlegen, welche Informationen in welchen KI-Dienst dürfen, und das mit Datum festhalten. Eine umgesetzte Nutzungsregel für KI-Dienste kann selbst Teil dieser Maßnahmen sein.
Ein gesichertes Laufwerk zusammen mit einer pauschalen Verschwiegenheitsklausel hat vor dem Landesarbeitsgericht Baden-Württemberg nicht genügt.
Dieser Beitrag beschließt die Serie „KI ordentlich einführen". Teil 1 gibt den Überblick, Teil 2 den AI Act, Teil 3 die Mitbestimmung, Teil 4 den Datenschutz, Teil 5 die NIS-2-Pflichten.
Beim KI-Einsatz gehen Kalkulationen, Vertragsentwürfe und Quellcode in Dienste, die nicht im eigenen Haus laufen. Ob solche Informationen als Geschäftsgeheimnis geschützt sind, hängt von Maßnahmen ab, die Sie selbst in der Hand haben.
Drei Voraussetzungen, und auf eine kommt es an
§ 2 Nummer 1 GeschGehG verlangt dreierlei, und zwar gleichzeitig:
- Die Information ist nicht allgemein bekannt oder ohne Weiteres zugänglich und hat deshalb wirtschaftlichen Wert.
- Sie ist Gegenstand von den Umständen nach angemessenen Geheimhaltungsmaßnahmen durch ihren rechtmäßigen Inhaber.
- An der Geheimhaltung besteht ein berechtigtes Interesse.
Beim KI-Einsatz kommt es vor allem auf die zweite an, und sie hat zwei Seiten. Fehlen angemessene Maßnahmen, ist die Information kein Geschäftsgeheimnis im Sinne des Gesetzes. Und wer sich im Streit auf den Schutz beruft, muss die Maßnahmen darlegen und belegen können. Die Voraussetzungen müssen nach dem Bundesarbeitsgericht (BAG) für einen Unterlassungsanspruch zum Zeitpunkt der letztinstanzlichen Entscheidung vorliegen.
Was Gerichte tatsächlich verlangen
Verlangt wird angemessener, nicht optimaler Schutz. Maßgeblich sind der Einzelfall, der Wert und die Art der Information und die Größe des Unternehmens. Need to know ist dabei eine anerkannte, geeignete Maßnahme: Zugriff hat, wer die Information für seine Arbeit braucht.
Was nicht genügte, zeigt der Beschluss des Landesarbeitsgerichts Baden-Württemberg vom 3. Juli 2025 (8 Ta 1/25). Ein Anlagenhersteller wollte Konstruktionszeichnungen und ein Kalkulationswerkzeug als geheimhaltungsbedürftig eingestuft haben (§ 16 GeschGehG). Die Dateien lagen auf einem gesicherten Laufwerk, die Arbeitsverträge enthielten eine pauschale Verschwiegenheitsklausel. Das Gericht sah darin keine angemessenen Maßnahmen: Die Klauseln seien zu unbestimmt, die technischen Maßnahmen unzureichend, und es fehle ein Zugriffskontrollsystem.
Zu Klauseln hat das BAG am 17. Oktober 2024 (8 AZR 172/23) entschieden, dass eine formularmäßige Catch-all-Klausel, die alle internen Vorgänge zeitlich unbegrenzt erfasst, unwirksam ist. Es bestätigt damit die Linie des Arbeitsgerichts Aachen (13. Januar 2022, 8 Ca 1229/20) und des Landesarbeitsgerichts Köln (28. September 2022, 11 Sa 128/22). Eine solche Catch-all-Klausel trägt also nicht. Konkrete Klauseln, die benennen, worum es geht, können Teil der angemessenen Maßnahmen sein.
Wo KI den Unterschied macht
Die Chance: Eine schriftliche Festlegung, welche Informationsklassen in welchen Dienst dürfen, kann selbst Teil der Schutzmaßnahmen sein, wenn sie umgesetzt und belegt wird. Sie lässt sich im Streitfall vorlegen und wird bei jedem neuen Dienst und bei geänderten Vertragsbedingungen fortgeschrieben.
Das Risiko: Wer eine Kalkulation oder Quellcode in einen Dienst eingibt, dessen Anbieter die Eingaben weiterverwenden darf, übermittelt die Information an einen externen Anbieter. Ob und wofür er Eingaben weiterverwenden darf, steht in den Vertragsbedingungen des jeweiligen Tarifs. Solche Eingaben können den Schutz gefährden; ob sie ihn aufheben, ist eine Frage des Einzelfalls.
Drei Fälle aus der Praxis
Das Laufwerk, auf das alle zugreifen. In diesem erfundenen Beispiel liegen Konstruktionszeichnungen auf einem Laufwerk, auf das alle im Unternehmen zugreifen können, weil das praktisch ist. Es fehlen eine Beschränkung auf die Konstruktion, eine Kennzeichnung der Unterlagen und eine namentliche Freigabe für alle anderen.
Der Vertrieb, der Angebote mit einem Sprachmodell formuliert. Die Preise stehen darin, die Marge lässt sich errechnen. Mit einer Regelung ist festgelegt, welcher Dienst dafür vorgesehen ist, und dass Kalkulationen nur dort oder mit neutralisierten Beispielzahlen bearbeitet werden.
Der Entwickler, der Quellcode zur Fehlersuche einfügt. Quellcode ist oft selbst das Geschäftsgeheimnis. Ein Verbot allein hilft hier wenig. Es braucht einen freigegebenen Dienst, der die Arbeit ebenso schnell erledigt, sonst entsteht leicht der inoffizielle Weg.
Was jetzt zu tun ist
- Die wirklich wertvollen Informationen benennen (Konstruktionen, Kalkulationen, Kundenlisten, Rezepturen, Quellcode) und in Klassen einteilen: öffentlich, intern, vertraulich.
- Zugriffe prüfen und nach dem Prinzip Need to know begrenzen. Nicht als Grundsatz im Handbuch, sondern als Berechtigung im System.
- Festlegen, welche Klasse in welchen KI-Dienst darf. Die Dienste vorher anhand von Vertragsbedingungen und Einstellungen prüfen, vor allem auf Weiterverwendung der Eingaben.
- Wichtige Unterlagen kennzeichnen und Verträge konkretisieren: benennen, worum es geht, statt alles zu erfassen. Die Vertragsfassung klärt eine Kanzlei.
- Beschäftigte unterweisen und Datum, Inhalt und Teilnehmende festhalten. Das kann ein Beleg dafür sein, dass die Regelung bekannt ist.
- Das Ergebnis datieren und aufbewahren und bei jedem neuen Dienst fortschreiben. Zeitnahe Unterlagen zeigen später, welche Maßnahmen wann galten.
Warum sich das ohnehin lohnt
Wer diese Schritte gegangen ist, hat eine Übersicht, wer auf was zugreifen darf, und eine Begründung dafür. Dieselbe Übersicht hilft beim Datenschutz, im Risikomanagement nach NIS-2, wo es gilt, und bei jedem KI-Vorhaben, das Berechtigungen sauber abbilden muss. Wer die Voraussetzungen belegen kann, hat bei rechtswidriger Erlangung, Nutzung oder Offenlegung Ansprüche auf Beseitigung und Unterlassung (§ 6), auf Vernichtung, Herausgabe und Rückruf (§ 7), auf Auskunft über rechtsverletzende Produkte (§ 8) und, bei Verschulden, auf Schadensersatz (§ 10).
Unter allen Teilen dieser Serie liegen dieselben vier Fragen: Welche Daten haben wir, wer darf sie sehen, wer entscheidet, und können wir es zeigen. Ein vollständiger Pflichtenkatalog sind sie nicht: Zweck und Einsatz können weitere Prüfungen auslösen.
Die weiteren Teile dieser Serie
- Was auf Sie zukommt, wenn Sie KI einführen - der Überblick: alle Regeln, zusammengezogen auf vier Fragen.
- Der AI Act auf einen Blick - was gilt, was der Omnibus verschoben hat und welche Anwendungen betroffen sind.
- Der Betriebsrat - wann Mitbestimmung greift und wie ein Rahmen das nächste Vorhaben beschleunigt.
- Datenschutz und KI - Rechtsgrundlage, Folgenabschätzung und die Frage, wo die Verarbeitung läuft.
- NIS-2 - wer betroffen ist und was jetzt zu tun ist.
- Geschäftsgeheimnisgesetz, § 2 Nummer 1 (Begriffsbestimmung) - gesetze-im-internet.de
- Geschäftsgeheimnisgesetz, vollständiger Text (u. a. §§ 6, 7, 8, 10, 16) - gesetze-im-internet.de
- Bundesarbeitsgericht, Urteil vom 17. Oktober 2024, 8 AZR 172/23 (Catch-all-Verschwiegenheitsklausel unwirksam) - bundesarbeitsgericht.de
- Landesarbeitsgericht Baden-Württemberg, Beschluss vom 3. Juli 2025, 8 Ta 1/25 (gesichertes Laufwerk und pauschale Klausel genügten nicht); Besprechung, Volltext nicht veröffentlicht - DER BETRIEB
- Richtlinie (EU) 2016/943 über den Schutz vertraulichen Know-hows, umgesetzt im Geschäftsgeheimnisgesetz - EUR-Lex
Dieser Beitrag erschien am 9. August 2026 und gibt den Rechtsstand vom 7. Oktober 2026 wieder; an diesem Tag wurde er geprüft und aktualisiert. Er gibt allgemeine Informationen und ersetzt keine Rechtsberatung im Einzelfall. Wir haben Inhalte und Quellen sorgfältig geprüft, übernehmen aber keine Gewähr für Vollständigkeit, Richtigkeit und Aktualität; maßgeblich sind die verlinkten Originalquellen. Für die verbindliche Bewertung Ihrer Geheimhaltungsmaßnahmen ziehen Sie bitte eine Kanzlei hinzu.