Was ist ein Geschäftsgeheimnis im Sinne des Gesetzes?
Ihr Unternehmen beantwortet Ausschreibungen, Sicherheitsfragebögen, Due-Diligence-Fragebögen (das DDQ, das Ihnen ein Kunde vor der Auftragsvergabe zusendet). Im Laufe der Jahre bilden diese Antworten eine Bibliothek: Ihre Organisation, Ihre Methoden, Ihre Preise und deren Kalkulation, Ihre Kundenreferenzen, die Architektur Ihrer Systeme, Ihre vertraglichen Verpflichtungen. Diese Bibliothek ist das, was Ihnen erlaubt, schnell und richtig zu antworten. Sie ist auch, sehr wahrscheinlich, ein Geschäftsgeheimnis im Sinne des Gesetzes.
Das deutsche Geschäftsgeheimnisgesetz (GeschGehG), das die Richtlinie (EU) 2016/943 in deutsches Recht umsetzt, schützt eine Information als Geschäftsgeheimnis, wenn folgende Kriterien erfüllt sind:
> „Als Geschäftsgeheimnis geschützt ist jede Information, die folgende Kriterien erfüllt: > 1. Sie ist, sei es in ihrer Gesamtheit oder in der genauen Anordnung und Zusammenstellung ihrer Bestandteile, Personen, die üblicherweise mit dieser Art von Informationen zu tun haben, aufgrund ihres Tätigkeitsbereichs nicht allgemein bekannt oder ohne Weiteres zugänglich; > 2. Sie besitzt einen kommerziellen Wert, sei er tatsächlich oder potenziell, gerade weil sie geheim ist; > 3. Sie ist Gegenstand angemessener Schutzmaßnahmen durch die Person, die rechtmäßig über sie verfügt, um ihren geheimen Charakter zu bewahren."
Rechtmäßiger Inhaber ist, wer die Verfügungsgewalt über das Geheimnis rechtmäßig innehat. Drei kumulative Voraussetzungen: Die ersten beiden beschreiben die Information. Die dritte beschreibt, was Sie damit tun. Das GeschGehG setzt die Richtlinie (EU) 2016/943 um, die EU-weit gilt.
Diese Website gibt keine Rechtsberatung. Sie stellt die Frage, die Ihr Rechtsberater beantworten muss, und sie stellt sie, weil sie selten in dem Moment gestellt wird, in dem sie zählt: dem, in dem man ein Werkzeug wählt.
Warum erfüllt eine Antwortbibliothek die ersten beiden Voraussetzungen?
Erste Voraussetzung: Die Information ist nicht allgemein bekannt. Für sich genommen ist ein Teil Ihrer Bibliothek öffentlich: Ihre Zertifizierungen, Ihre Mitarbeiterzahl, Ihre Adresse. Aber der Gesetzestext zielt auch auf „die genaue Anordnung und Zusammenstellung ihrer Bestandteile". Die Zusammenstellung Ihrer Antworten, also die Art, wie Sie Ihre Methode beschreiben, wie Sie einen Preis kalkulieren, wie Sie eine Sicherheitsfrage zu Ihrer Architektur beantworten, ist niemandem außer Ihnen bekannt. Genau deshalb würde ein Mitbewerber sie gerne lesen.
Zweite Voraussetzung: ein kommerzieller Wert aufgrund der Geheimhaltung. Der Wert Ihrer Bibliothek beruht darauf, dass Ihre Mitbewerber sie nicht haben. Eine allen bekannte Preisliste ist kein Vorteil mehr. Eine Antwort auf einen Sicherheitsfragebogen, die Ihre Kontrollen und Ihre Schwachstellen beschreibt, hat einen Wert für Sie, und einen anderen für jemanden, der Sie angreifen möchte. Eine detaillierte Kundenreferenz, eine Bereitstellungsmethode, eine Zusage zum Service-Level: Jedes davon ist wertvoll durch das, was andere nicht wissen.
Diese beiden Voraussetzungen sind durch die Natur der Bibliothek selbst erfüllt. Niemand muss irgendetwas entscheiden, damit sie es sind.
Die dritte Voraussetzung ist die, die von Ihnen abhängt
„Angemessene Schutzmaßnahmen unter Berücksichtigung der Umstände." Das ist die Voraussetzung, die das Unternehmen durch sein Handeln erfüllt oder nicht erfüllt. Und das ist die, die die Wahl eines KI-Werkzeugs auf den Prüfstand stellt.
Seine Antwortbibliothek in ein Werkzeug einzugeben bedeutet, sie anzuvertrauen. Die Frage ist nicht, ob das Werkzeug nützlich ist; das ist es. Die Frage ist, ob die Umstände dieses Vertrauens weiterhin eine angemessene Schutzmaßnahme darstellen. Vier Punkte bestimmen dies, und jeder liest sich in den Vertragsbedingungen des Werkzeugs, nicht in seiner Broschüre.
| Schutzmaßnahme | Was sie schützt | Die Frage, die man dem Werkzeug stellt, Vertrag in der Hand |
|---|---|---|
| Der Ort der Verarbeitung | Der Rechtsraum, in dem Ihre Antworten existieren | Wo werden Ihre Dokumente verarbeitet, nicht nur gespeichert, und unter welchem Recht? |
| Die Nutzung der Daten | Die Exklusivität Ihres Wissens | Dienen Ihre Dokumente oder Antworten dazu, ein mit anderen Kunden geteiltes Modell zu verbessern, selbst in aggregierter Form? |
| Die Reversibilität | Die Kontrolle über die Zeit | Werden Ihnen Ihre Daten am Vertragsende in einem wiederverwendbaren Format zurückgegeben, und wird alles, was daraus abgeleitet ist (Indizes, Repräsentationen, Protokolle, Sicherungen), mit Bestätigung gelöscht? |
| Die Nachvollziehbarkeit | Der Nachweis, dass Sie die Maßnahmen ergriffen haben | Können Sie für jede abgegebene Antwort feststellen, woher sie stammt und wer darauf Zugriff hatte? |
Ein Unternehmen, das diese vier Fragen präzise beantworten kann, hat Schutzmaßnahmen ergriffen und kann das nachweisen. Ein Unternehmen, das das nicht kann, hat möglicherweise, ohne es zu wollen, die dritte Voraussetzung geschwächt, und mit ihr den Schutz der Gesamtheit.
Auf der Plattform Optivalue.ai, die diese Website herausgibt, ist die Instanz je Kunde privat und wird nie zwischen Organisationen geteilt; sie wird im geteilten Modus, in einer privaten Cloud oder vor Ort bereitgestellt, mit einem möglichen Hosting in mehr als 80 Ländern, in der gewählten Gerichtsbarkeit; und die Reversibilität ist vertraglich geregelt: Rückgabe in einem wiederverwendbaren Format, datierte Löschung einschließlich Ableitungen, Sicherungen und Unterauftragnehmern, prüfbare Bestätigung, und ein Verbot, Ihre Daten, auch aggregiert, zugunsten anderer Kunden zu nutzen. Ihre Dokumente bleiben bei Ihnen, und Sie können es beweisen.
Die Konzession, die alles klärt
Nicht alle Daten, die Sie einer KI anvertrauen, sind ein Geschäftsgeheimnis. Eine E-Mail umformulieren, einen öffentlichen Artikel zusammenfassen, eine Sitzungsnotiz ohne sensiblen Inhalt ins Reine bringen: Das erledigt die generische KI sehr gut, und die Frage des Geschäftsgeheimnisschutzes stellt sich nicht, weil die erste Voraussetzung nicht erfüllt ist.
Die Frage stellt sich in dem genauen Moment, in dem es die Bibliothek selbst ist, die eingegeben wird: die angesammelten Antworten, die Preise, die Methoden, die Beschreibungen Ihrer Systeme. Dort hört das Werkzeug auf, ein Redaktionsassistent zu sein, und wird zum Verwahrer dessen, was Sie auszeichnet. Ein Entwurf bindet niemanden. Ihre Bibliothek schon.
Drei Fragen, die die Grenze ziehen
Bevor Sie Ihre Antworten in ein Werkzeug eingeben, stellen Sie Ihrem Rechtsberater und dem Anbieter in dieser Reihenfolge drei Fragen:
- Was genau enthält das, was wir eingeben? Erstellen Sie eine Liste: Preise und deren Kalkulation, Methoden, namentliche Referenzen, Sicherheitsarchitektur, vertragliche Verpflichtungen. Wenn die Liste eines dieser Elemente enthält, sind die erste und die zweite Voraussetzung des Geschäftsgeheimnisschutzes wahrscheinlich erfüllt.
- Erlauben uns die Bedingungen des Anbieters zu behaupten, dass wir angemessene Maßnahmen ergriffen haben? Ort der Verarbeitung, Nutzung der Daten, Reversibilität, Nachvollziehbarkeit: die vier Zeilen der obigen Tabelle, mit der Klausel, die sie abdeckt.
- Könnten wir das vor einem Gericht oder einem Auditor nachweisen? Die dritte Voraussetzung verlangt nicht nur Maßnahmen; sie verlangt, feststellen zu können, dass sie ergriffen wurden. Ein Vertrag, ein Zugriffsprotokoll, eine Löschbestätigung sind Nachweise. Eine Broschüre ist keiner.
Häufig gestellte Fragen
Ist eine generische KI für die breite Öffentlichkeit zwangsläufig mit dem Geschäftsgeheimnisschutz unvereinbar? Nein. Alles hängt von den abgeschlossenen Nutzungsbedingungen und davon ab, was man eingibt. Die Frage betrifft nicht das Werkzeug an sich, sondern die unter Berücksichtigung der Umstände ergriffenen Schutzmaßnahmen. Es sind die Vertragsbedingungen und der anvertraute Inhalt, die die Antwort geben, nicht die Marke des Werkzeugs.
Hat der Verlust des Geschäftsgeheimnisschutzes konkrete Folgen? Der gesetzliche Schutz eröffnet Rechtsbehelfe gegen die rechtswidrige Erlangung, Nutzung oder Offenlegung eines Geheimnisses. Wenn die dritte Voraussetzung nicht mehr erfüllt ist, werden diese Rechtsbehelfe unsicher. Ihr Rechtsberater ist der richtige Ansprechpartner, um zu beurteilen, was das für Ihre Situation bedeutet.
Sind unsere Antworten auf Sicherheitsfragebögen betroffen? Sie sind es besonders. Eine Antwort auf einen Sicherheitsfragebogen beschreibt Ihre Kontrollen, Ihre Architektur und oft Ihre Schwachstellen. Ihr kommerzieller Wert beruht auf ihrer Geheimhaltung, und ihre Offenlegung hätte auch eine Sicherheitsfolge.
Was ist eine Klausel wert, die verspricht, kein Modell mit unseren Daten zu trainieren? Sie ist so viel wert, wie sie abdeckt. Prüfen Sie, ob sie sich auf aggregierte Daten, Ableitungen (Indizes, Vektorrepräsentationen), Unterauftragnehmer und das erstreckt, was nach Vertragsende geschieht. Eine Klausel, die alle vier abdeckt, ist eine Schutzmaßnahme; eine Klausel, die nur eines abdeckt, lässt drei Türen offen.
Genügt eine private Instanz, um die dritte Voraussetzung zu erfüllen? Sie trägt dazu bei, mit dem Ort der Verarbeitung, der Reversibilität und der Nachvollziehbarkeit. Sie befreit nicht von internen Maßnahmen: Zugriffsrechte, Protokollierung, Sensibilisierung der Teams. Das Gesetz spricht von Maßnahmen „unter Berücksichtigung der Umstände": Es ist die Gesamtheit, die zählt.
Eine private Instanz Ihre eigenen Dokumente bearbeiten sehen, ohne dass sie diese verlassen
Bringen Sie eine echte Ausschreibung, einen Sicherheitsfragebogen oder ein DDQ mit. Sie sehen die Abdeckung der Extraktion, die seitengenau zitierten Quellen und die Abweichungsanalyse an Ihrem Dokument, in einer Ihnen dedizierten Instanz, keine vorbereitete Vorführung.
Zitierte Quellen
- Geschäftsgeheimnisgesetz (GeschGehG), deutsches Recht zum Schutz von Geschäftsgeheimnissen, Umsetzung der Richtlinie (EU) 2016/943.
- Richtlinie (EU) 2016/943 vom 8. Juni 2016 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung.