Kundendaten mitgenommen: Wann Ihr Schutz wirklich greift

Einleitung

Der Ablauf ist fast immer derselbe. Ein Vertriebsmitarbeiter kündigt, arbeitet die Frist noch ab, und in der letzten Woche fallen im Protokoll des Servers ungewöhnlich viele Zugriffe auf. Vier Wochen später sitzt er beim Wettbewerber, und Ihre Stammkunden erhalten Angebote, die verdächtig genau auf ihre Konditionen zugeschnitten sind. In Essen und im Ruhrgebiet erlebe ich diesen Fall in mittelständischen Betrieben mehrmals im Jahr, und die erste Frage des Inhabers lautet stets: Das ist doch strafbar?

Als Rechtsanwalt mit langjähriger Erfahrung im Wirtschaftsstrafrecht muss ich darauf häufig antworten: vielleicht, und es hängt nicht am Verhalten des Mitarbeiters, sondern an Ihrem eigenen. Das Geschäftsgeheimnisgesetz schützt seit 2019 nur noch Informationen, die der Inhaber selbst aktiv geschützt hat. Wer nichts abgesichert hat, hat kein Geheimnis und deshalb auch keinen Anspruch. Dieser Beitrag erklärt, woran der Schutz hängt, was tatsächlich strafbar ist und welche Fehler den Fall unwiederbringlich verlieren.

1. Was das Gesetz überhaupt schützt

Ein Geschäftsgeheimnis liegt nach § 2 Nr. 1 GeschGehG nur vor, wenn vier Voraussetzungen zusammenkommen: Die Information ist weder insgesamt noch in ihrer Zusammensetzung allgemein bekannt oder ohne Weiteres zugänglich, sie hat gerade deshalb einen wirtschaftlichen Wert, sie ist Gegenstand angemessener Geheimhaltungsmaßnahmen durch ihren Inhaber, und es besteht ein berechtigtes Interesse an der Geheimhaltung.

Entscheidend ist die dritte Voraussetzung. Bis zum Inkrafttreten des Geschäftsgeheimnisgesetzes am 26. April 2019 genügte nach den früheren §§ 17 bis 19 UWG ein erkennbarer Geheimhaltungswille. Man musste die Information nicht schützen, man musste sie nur geheim halten wollen. Diese Zeit ist vorbei. Seit 2019 ist der Schutz an eine Leistung des Unternehmens geknüpft, und diese Leistung muss im Streitfall nachgewiesen werden.

Die praktische Folge wird regelmäßig unterschätzt. Nicht der Abfluss der Daten ist der kritische Punkt des Verfahrens, sondern die Frage, ob überhaupt ein Geheimnis vorlag. Wer sie nicht beantworten kann, verliert unabhängig davon, wie eindeutig die Mitnahme dokumentiert ist.

Die Beweislast liegt bei Ihnen

Der Inhaber muss darlegen und beweisen, dass die vier Merkmale zum Zeitpunkt der Tat vorlagen. Das ist kein Formalismus: Gerichte prüfen diesen Punkt zuerst und weisen Anträge ab, sobald die Schutzmaßnahmen nicht konkret vorgetragen sind. Ein pauschaler Verweis auf die Vertraulichkeit sämtlicher Firmenunterlagen genügt dafür nicht.

2. Angemessene Geheimhaltungsmaßnahmen: der Punkt, an dem die meisten Fälle scheitern

Was angemessen ist, bemisst sich nach dem Wert der Information, der Größe des Unternehmens und dem üblichen Aufwand der Branche. Verlangt wird kein Höchstmaß, aber ein abgestuftes und dokumentiertes System. Das Landesarbeitsgericht Baden-Württemberg hat mit Beschluss vom 3. Juli 2025 (8 Ta 1/25) deutlich gemacht, dass gute Absichten und pauschale Vertragsklauseln dafür nicht ausreichen.

Im Kern erwartet die Rechtsprechung drei Ebenen. Vertraglich: Verschwiegenheitsklauseln, die konkrete Informationskategorien benennen; weit gefasste Auffangformulierungen, die alles im Unternehmen erfasste Wissen einschließen, sind nach § 307 BGB unwirksam und schützen deshalb gerade nicht. Organisatorisch: eine Einstufung der Informationen, ein geregelter Zugriff nach dem Kenntnis-nur-wenn-nötig-Grundsatz und ein dokumentierter Ablauf beim Ausscheiden von Mitarbeitern. Technisch: Zugriffsrechte, Protokollierung, Sperrung externer Datenträger und Versandwege, gegebenenfalls Verschlüsselung.

Der wirtschaftlich wichtigste Satz dazu lautet: Diese Maßnahmen müssen vorher existiert haben. Sie lassen sich nach dem Vorfall nicht mehr nachholen, und genau daran scheitern in meiner Praxis die meisten Fälle.

Der Klassiker: die Auffangklausel im Arbeitsvertrag

Sehr viele Arbeitsverträge enthalten den Satz, der Arbeitnehmer habe über alle geschäftlichen Angelegenheiten Stillschweigen zu bewahren. Diese Klausel wirkt umfassend, ist aber wegen ihrer Unbestimmtheit angreifbar und taugt als alleinige Schutzmaßnahme nicht. Sie ist der Grund, weshalb Unternehmen sich sicher fühlen, obwohl sie es nicht sind.

3. Kundendaten sind der heikelste Fall

Bei Konstruktionszeichnungen, Rezepturen und Kalkulationswerkzeugen fällt die Einordnung leicht. Bei Kundendaten ist sie schwierig, weil sich Name und Anschrift eines Unternehmens meist ohne Weiteres recherchieren lassen. Geschützt ist deshalb regelmäßig nicht der einzelne Kontakt, sondern die Zusammenstellung: die Verbindung von Ansprechpartner, Bedarf, Bezugsmenge, Konditionen, Rabattstaffel, Zahlungsverhalten und Vertragslaufzeit.

Für die Praxis heißt das: Je mehr eigene Arbeit in der Liste steckt, desto eher ist sie geschützt. Eine aus dem Internet zusammengesuchte Adressliste ist es nicht. Ein über Jahre gepflegtes System mit Preishistorie und Vertriebsnotizen ist es fast immer, sofern der Zugriff darauf geregelt war.

Davon zu trennen ist das im Kopf behaltene Wissen. Ein ausgeschiedener Mitarbeiter darf seine Erfahrung, seine Branchenkenntnis und die im Gedächtnis gebliebenen Ansprechpartner beim neuen Arbeitgeber einsetzen, solange kein wirksames nachvertragliches Wettbewerbsverbot mit Karenzentschädigung besteht. Verboten ist die Mitnahme verkörperter Daten, nicht die Mitnahme von Erinnerung.

Weiterleiten an das eigene Postfach ist bereits die Tat

Der häufigste Sachverhalt ist keine spektakuläre Kopieraktion, sondern das Weiterleiten von Anhängen an die private E-Mail-Adresse, angeblich zum Arbeiten am Wochenende. Für die rechtliche Bewertung genügt das: Es liegt eine Erlangung durch unbefugtes Kopieren vor, und auf die spätere Verwendung kommt es für den ersten Schritt nicht an.

4. Wann die Mitnahme strafbar ist

§ 23 Abs. 1 GeschGehG stellt es unter Strafe, ein Geschäftsgeheimnis zu Zwecken des Wettbewerbs, aus Eigennutz, zugunsten eines Dritten oder in der Absicht, dem Inhaber Schaden zuzufügen, unbefugt zu erlangen, zu nutzen oder offenzulegen. Der Strafrahmen reicht bis zu drei Jahren Freiheitsstrafe oder Geldstrafe. Bereits der Versuch ist strafbar.

Schwerer wiegt es nach § 23 Abs. 4 GeschGehG, wenn der Täter gewerbsmäßig handelt, bei der Offenlegung weiß, dass das Geheimnis im Ausland genutzt werden soll, oder es selbst im Ausland verwertet. Dann reicht der Strafrahmen bis zu fünf Jahren. Das ist der typische Fall des Mitarbeiters, der zu einem ausländischen Wettbewerber wechselt.

Wichtig ist die Verfahrensseite: Die Tat wird grundsätzlich nur auf Antrag verfolgt, sofern die Staatsanwaltschaft nicht wegen des besonderen öffentlichen Interesses von Amts wegen einschreitet. Der Strafantrag ist fristgebunden; er muss innerhalb von drei Monaten ab Kenntnis von Tat und Täter gestellt werden, § 77b StGB. Diese Frist wird in der Praxis verblüffend oft versäumt, weil zunächst intern ermittelt und verhandelt wird.

Der Hinweisgeber ist ausgenommen

Nicht strafbar ist die Offenlegung, die der Aufdeckung einer rechtswidrigen Handlung oder eines beruflichen Fehlverhaltens dient, wenn sie geeignet ist, das allgemeine öffentliche Interesse zu schützen (§ 5 GeschGehG). Wer gegen einen ehemaligen Mitarbeiter vorgeht, der zugleich Missstände meldet, bewegt sich deshalb auf schwierigem Gelände und riskiert, den Vorwurf der Repressalie auf sich zu ziehen.

5. Die Straftatbestände daneben

Das Geschäftsgeheimnisgesetz ist nicht die einzige Grundlage. Wer sich Zugang zu besonders gesicherten Daten verschafft, für die er nicht bestimmt ist, kann sich wegen Ausspähens von Daten nach § 202a StGB strafbar machen; erfasst ist etwa der Zugriff mit fremden Zugangsdaten oder das Überwinden einer technischen Sperre. Werden Daten gelöscht oder unbrauchbar gemacht, kommt § 303a StGB in Betracht, der in Kündigungsfällen häufig übersehen wird.

Enthalten die mitgenommenen Unterlagen personenbezogene Daten, was bei Kundendaten fast immer der Fall ist, kommt zusätzlich § 42 BDSG in Betracht, der die unbefugte Übermittlung nicht allgemein zugänglicher personenbezogener Daten gegen Entgelt oder in Bereicherungs- oder Schädigungsabsicht mit Strafe bedroht. Daneben steht die aufsichtsrechtliche Seite: Der Abfluss ist eine Verletzung des Schutzes personenbezogener Daten, die Sie als Verantwortlicher unter Umständen binnen 72 Stunden melden müssen.

Verlässt der Mitarbeiter eine Vertrauensstellung, in der er über fremdes Vermögen zu wachen hatte, kann im Einzelfall auch Untreue im Raum stehen. Das ist die Ausnahme, kommt aber bei Geschäftsführern, Prokuristen und Vertriebsleitern durchaus vor. Weiterführende Hinweise finden Sie auf meinen Seiten zum Wirtschaftsstrafrecht und zum Betrug.

Der unbequeme Nebeneffekt der eigenen Anzeige

Eine Strafanzeige führt zu Ermittlungen, die sich nicht steuern lassen. Werden im Zuge der Auswertung Unregelmäßigkeiten im eigenen Haus sichtbar, etwa bei Provisionsabrechnungen oder Vertriebsvereinbarungen, richtet sich das Verfahren schnell auch gegen das anzeigende Unternehmen. Diese Rückwirkung ist der Grund, weshalb die Anzeige nie der erste, sondern immer ein geprüfter Schritt sein sollte.

6. Die arbeitsrechtliche Seite

Neben dem Strafrecht steht das Arbeitsverhältnis. Das unbefugte Kopieren von Betriebsdaten ist nach ständiger Rechtsprechung an sich geeignet, eine fristlose Kündigung zu rechtfertigen, weil es einen schweren Vertrauensbruch darstellt. Ob sie im Einzelfall trägt, entscheidet die Interessenabwägung, in die Dauer der Beschäftigung, Umfang der Daten, Verwertungsabsicht und Vorverhalten einfließen.

Streng ist dabei die Frist: Die außerordentliche Kündigung muss innerhalb von zwei Wochen ab Kenntnis der maßgeblichen Tatsachen erklärt werden, § 626 Abs. 2 BGB. Diese Frist beginnt zu laufen, sobald die zur Kündigung berechtigte Person den Sachverhalt kennt, und sie hält der internen Aufklärung nur so lange stand, wie die Ermittlungen zügig betrieben werden. Wer erst die IT-Forensik vollständig abschließen lässt, kommt regelmäßig zu spät.

Hinzu kommen die zivilrechtlichen Ansprüche des Geschäftsgeheimnisgesetzes: Beseitigung, Unterlassung, Auskunft, Vernichtung und Herausgabe der Unterlagen sowie Schadensersatz. Sie richten sich nicht nur gegen den Mitarbeiter, sondern auch gegen den neuen Arbeitgeber, wenn dieser weiß oder wissen müsste, dass die Informationen rechtswidrig erlangt wurden. Diese zweite Front ist wirtschaftlich meist die wichtigere. Eine Abmahnung ist bei einem derart schweren Pflichtverstoß im Regelfall nicht erforderlich.

Das Zeugnis läuft parallel

Wird gekündigt, entsteht sofort der Streit um das Arbeitszeugnis, und die dort gewählten Formulierungen wirken auf den Kündigungsschutzprozess zurück. Wer im Zeugnis Zufriedenheit bescheinigt und zugleich einen schweren Vertrauensbruch behauptet, hat vor Gericht ein Erklärungsproblem.

7. Beweissicherung und ihre Grenzen

Ohne Beweise ist der beste Anspruch wertlos. Gleichzeitig ist die Beweissicherung der Bereich, in dem Unternehmen sich am häufigsten selbst schaden. Serverprotokolle, Zugriffslisten und Kopiervorgänge auf externe Datenträger sind regelmäßig verwertbar, wenn sie ohnehin systemseitig anfallen. Problematisch wird es bei der Auswertung von E-Mail-Postfächern und bei nachträglich eingerichteter Überwachung.

Zu beachten sind drei Schranken. Erstens der Datenschutz: Die Auswertung personenbezogener Daten von Beschäftigten braucht eine Rechtsgrundlage und muss verhältnismäßig sein. Zweitens die Mitbestimmung: Technische Einrichtungen, die zur Überwachung geeignet sind, unterliegen dem Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG. Drittens die private Nutzung: Ist die private E-Mail-Nutzung erlaubt oder geduldet, wird die Auswertung des Postfachs erheblich heikler.

Praktisch bedeutsam ist außerdem die Flüchtigkeit der Spuren. Protokolldateien werden nach kurzer Zeit automatisch überschrieben, Endgeräte werden neu aufgesetzt und an den nächsten Mitarbeiter ausgegeben. Wer das Gerät des Ausgeschiedenen sofort weiterverwendet, vernichtet das zentrale Beweismittel.

Der teuerste Fehler ist das frühe Gespräch

Viele Inhaber konfrontieren den Mitarbeiter unmittelbar. Das ist menschlich verständlich und taktisch fast immer falsch: Es warnt ihn, gibt ihm Gelegenheit zur Bereinigung der Spuren und liefert ihm die Information, was das Unternehmen bereits weiß. Die Reihenfolge von Sicherung, Bewertung und Ansprache ist der eigentliche Hebel des Falles.

8. Wo anwaltliche Hilfe ansetzt

Die Arbeit beginnt nicht mit der Frage, ob der Mitarbeiter etwas getan hat, sondern mit der Frage, ob das Unternehmen einen durchsetzbaren Anspruch hat. Dazu gehört eine nüchterne Prüfung der eigenen Schutzmaßnahmen, der betroffenen Informationskategorien und der Beweislage. Erst danach lässt sich sinnvoll entscheiden, ob strafrechtlich, arbeitsrechtlich, wettbewerbsrechtlich oder gar nicht vorgegangen wird.

Hinzu kommt die zeitliche Verzahnung, die diesen Fall so fehleranfällig macht. Die Zwei-Wochen-Frist der außerordentlichen Kündigung, die Drei-Monats-Frist des Strafantrags, die Dringlichkeit einer einstweiligen Verfügung und die Meldefrist des Datenschutzes laufen gleichzeitig und in unterschiedliche Richtungen. Was in einem dieser Verfahren erklärt wird, wirkt in den anderen fort.

Womit ich Ihnen konkret helfe

Ich sichte die vorhandenen Verträge, Richtlinien und Zugriffsregelungen, bewerte, welche der betroffenen Informationen tatsächlich als Geschäftsgeheimnis geschützt sind, und ordne die Beweislage ein. Auf dieser Grundlage bestimmen wir gemeinsam, welche Wege sich lohnen und welche nur Kosten erzeugen, und in welcher Reihenfolge sie beschritten werden. Welcher Weg der richtige ist, hängt vom Umfang der Daten, von der Marktstellung des Wettbewerbers und von Ihrer Beweislage ab und lässt sich nicht allgemein beantworten.