Beschäftigte können nach Art. 15 DSGVO Auskunft darüber verlangen, welche personenbezogenen Daten ihr Arbeitgeber über sie verarbeitet. Doch bedeutet dieses Recht zugleich, dass Arbeitnehmer eine vollständige Kopie eines internen Compliance-Berichts verlangen können, wenn dieser ihr Verhalten zum Gegenstand hat? Mit dieser Frage hat sich das Bundesarbeitsgericht (BAG) in seinem Urteil vom 16. April 2026 (8 AZR 169/25) beschäftigt.
Das BAG zieht dabei klare Grenzen für den Auskunftsanspruch bei Compliance-Berichten: Art. 15 Abs. 1 in Verbindung mit Abs. 3 Satz 1 DSGVO gewährt grundsätzlich einen Anspruch auf eine Kopie der verarbeiteten personenbezogenen Daten, nicht jedoch automatisch auf eine Kopie des gesamten Dokuments, in dem sich diese Daten befinden. Eine vollständige Dokumentenkopie kann nur ausnahmsweise erforderlich sein.
Compliance-Untersuchung nach Beschwerden über das Führungsverhalten
Ausgangspunkt des Verfahrens waren Beschwerden über eine Arbeitnehmerin in leitender Funktion. Anfang April 2023 informierte die Ombudsfrau des Unternehmens die Compliance-Abteilung darüber, dass drei Hinweisgeber das Führungsverhalten der Klägerin unter anderem als einschüchternd, herabwürdigend und respektlos beschrieben hatten. Daraufhin beauftragte die Arbeitgeberin eine externe Rechtsanwaltskanzlei mit einer Compliance-Untersuchung, die zwischen August 2023 und Januar 2024 durchgeführt wurde.
Die Ergebnisse wurden in zwei Fassungen eines Compliance-Abschlussberichts vom 31. Januar und 6. Februar 2024 dokumentiert. Darin befanden sich insbesondere:
- die gegen die Klägerin erhobenen Vorwürfe,
- Namen und Aussagen von Hinweisgebern und Zeugen,
- teilweise wörtlich wiedergegebene Gesprächsinhalte,
- Bewertungen zur Glaubhaftigkeit von Aussagen sowie
- rechtliche Ausführungen und Mandantenhinweise der Rechtsanwaltskanzlei.
Die Arbeitgeberin stützte später auch einen Antrag auf Zustimmung zur Kündigung während der Elternzeit auf Erkenntnisse der Untersuchung. Die zuständige Behörde stimmte der beabsichtigten Kündigung jedoch nicht zu.
Warum verlangte die Arbeitnehmerin die vollständigen Compliance-Berichte?
Die Klägerin verlangte von ihrer Arbeitgeberin unter Berufung auf Art. 15 Abs. 1 und Abs. 3 DSGVO vollständige Kopien der Compliance-Abschlussberichte. Sie wollte nachvollziehen, welche Aussagen über sie gespeichert worden waren, ob diese Informationen zutrafen und auf welche Weise sie im Rahmen der internen Untersuchung ermittelt worden waren. Nach ihrer Auffassung standen der Herausgabe auch keine überwiegenden Rechte der Arbeitgeberin oder anderer Personen entgegen.
Die Arbeitgeberin vertrat dagegen eine andere Auffassung zum Auskunftsanspruch bei Compliance-Berichten. Art. 15 DSGVO gewähre lediglich einen Anspruch auf eine Kopie der darin enthaltenen personenbezogenen Daten, nicht aber auf Herausgabe der vollständigen Dokumente. Außerdem verwies sie auf schutzwürdige Interessen:
- Die Berichte enthielten vertrauliche Daten von Hinweisgebern und Zeugen.
- Den beteiligten Personen sei Vertraulichkeit zugesichert worden.
- Aus den Berichten könnten Rückschlüsse auf die Prozessstrategie gezogen werden.
- Die Compliance-Berichte seien zudem als Geschäftsgeheimnis schutzwürdig.
Damit musste geklärt werden, wie weit der datenschutzrechtliche Auskunftsanspruch tatsächlich reicht.
Vom Arbeitsgericht bis zum BAG: So entschieden die Gerichte
Zunächst hatte die Klägerin vor dem Arbeitsgericht München Erfolg. Das Gericht verpflichtete die Arbeitgeberin, ihr eine Kopie des Compliance-Abschlussberichts vom 31. Januar 2024 zur Verfügung zu stellen. Im Berufungsverfahren änderte das Landesarbeitsgericht München diese Entscheidung jedoch und wies den Anspruch auf Kopien der Berichte vom 31. Januar und 6. Februar 2024 ab. Zugleich sprach es der Klägerin auf ihren Hilfsantrag hin ein Recht auf Einsicht in die Fassung vom 6. Februar 2024 zu.
Die Klägerin verfolgte ihr Begehren daraufhin vor dem Bundesarbeitsgericht weiter. Zusätzlich verlangte sie erstmals Kopien unter Einbeziehung eines Zwischenberichts vom 19. Oktober 2023, auf den im Abschlussbericht Bezug genommen wurde.
Das BAG wies die Revision jedoch zurück und die Klägerin erlangte dementsprechend keine vollständige Kopie der begehrten Compliance-Abschlussberichte. Entscheidend war dabei insbesondere die Reichweite des Auskunftsanspruchs aus Art. 15 DSGVO.
Auch verfahrensrechtlich zeigt die Entscheidung, dass unterschiedliche Fassungen und Zwischenberichte eines Compliance-Berichts getrennt zu betrachten sein können. Unternehmen sollten daher durch ein sorgfältiges Versionenmanagement nachvollziehbar dokumentieren, wann welche Berichtsfassung erstellt und verwendet wurde.
Auskunftsanspruch bei Compliance-Berichten: Keine automatische vollständige Kopie
Das BAG stellte klar, dass sich der Auskunftsanspruch bei Compliance-Berichten grundsätzlich auf die personenbezogenen Daten der betroffenen Person und nicht automatisch auf das vollständige Dokument erstreckt. Art. 15 Abs. 3 Satz 1 DSGVO begründet nach Auffassung des Gerichts keinen eigenständigen Anspruch auf Herausgabe bestimmter Unterlagen. Vielmehr ergänzt die Vorschrift das Auskunftsrecht aus Art. 15 Abs. 1 DSGVO und bestimmt, dass eine Kopie der verarbeiteten personenbezogenen Daten bereitzustellen ist.
Rechtliche Analysen sind nicht automatisch personenbezogene Daten
Der Compliance-Bericht enthielt zweifellos personenbezogene Daten der Klägerin. Nach Art. 4 Nr. 1 DSGVO umfasst dieser Begriff grundsätzlich alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu können neben objektiven Tatsachen auch subjektive Aussagen, Einschätzungen und Bewertungen gehören. Aussagen über das Führungsverhalten der Klägerin waren daher grundsätzlich personenbezogene Daten.
Anders bewertete das BAG jedoch die im Bericht enthaltenen rechtlichen Analysen und Mandantenhinweise. Eine rechtliche Analyse ist nach Auffassung des Gerichts keine Information über die betroffene Person. Sie gibt vielmehr wieder, wie ein bestimmter Sachverhalt rechtlich beurteilt wird. Daran ändert sich grundsätzlich nichts, wenn die rechtliche Bewertung an das Verhalten eines konkreten Beschäftigten anknüpft.
Die Klägerin benötigte diese rechtlichen Ausführungen nach Ansicht des BAG auch nicht, um ihre personenbezogenen Daten zu verstehen oder ihre Rechte auf Berichtigung, Löschung oder Einschränkung der Verarbeitung auszuüben. Daher musste die Arbeitgeberin den vollständigen Bericht einschließlich dieser Inhalte nicht als Kopie herausgeben.
Wann kann trotzdem eine vollständige Dokumentenkopie erforderlich sein?
Das BAG schließt einen Anspruch auf eine vollständige Dokumentenkopie nicht generell aus. Nach der zugrunde gelegten Rechtsprechung des EuGH kann sich der Auskunftsanspruch bei Compliance-Berichten ausnahmsweise auch auf Auszüge oder sogar ein vollständiges Dokument erstrecken. Entscheidend sind dabei die Umstände des Einzelfalls.
Verständlichkeit der Daten ist entscheidend
Eine solche Ausnahme kommt insbesondere in Betracht, wenn personenbezogene Daten ohne den dazugehörigen Kontext nicht verständlich wären. Dann kann eine originalgetreue Wiedergabe des entsprechenden Dokumentenausschnitts notwendig sein, damit die betroffene Person ihre Rechte aus der DSGVO wirksam ausüben kann.
Im konkreten Fall sah das BAG diese Voraussetzung jedoch nicht als erfüllt an. Die rechtlichen Ausführungen und Mandantenhinweise bildeten zwar gemeinsam mit den Untersuchungsergebnissen einen Bericht, waren inhaltlich aber von den personenbezogenen Informationen zu unterscheiden. Die Klägerin benötigte sie nicht, um die über sie gespeicherten Daten nachzuvollziehen. Für eine vollständige Kopie des Compliance-Abschlussberichts fehlte damit die erforderliche Unerlässlichkeit.
Personalakte: Besteht nach dem Arbeitsrecht ein weitergehender Anspruch?
Auch über das Arbeitsrecht konnte die Klägerin keine vollständige Kopie des Compliance-Berichts verlangen. Das BAG prüfte hierzu die Einsichtsrechte nach § 26 Abs. 2 SprAuG und § 83 Abs. 1 BetrVG. Beide Vorschriften gewähren Beschäftigten grundsätzlich das Recht, die über sie geführten Personalakten einzusehen.
Aus diesem Einsichtsrecht kann zwar grundsätzlich auch das Recht folgen, auf eigene Kosten Kopien einzelner Unterlagen anzufertigen. Nach Auffassung des BAG ist dieses Recht jedoch auf einen angemessenen Umfang beschränkt. Ein Anspruch darauf, die Personalunterlagen insgesamt zu kopieren, besteht nicht.
Zudem äußerte das BAG Zweifel daran, ob die im Compliance-Bericht enthaltenen rechtlichen Ausführungen und Mandantenhinweise überhaupt zur materiellen Personalakte gehören. Entscheidend ist nicht allein, wo ein Dokument abgelegt wird, sondern ob es die persönlichen oder dienstlichen Verhältnisse des Beschäftigten betrifft und in einem inneren Zusammenhang mit dem Arbeitsverhältnis steht. Damit führte auch das Personalaktenrecht im konkreten Fall nicht zu einem Anspruch auf eine vollständige Berichtskopie.
Was bedeutet das BAG-Urteil für Arbeitgeber und Compliance-Untersuchungen?
Für Unternehmen schafft die Entscheidung wichtige Leitlinien zum Umgang mit Auskunftsansprüchen bei Compliance-Berichten. Interne Untersuchungsberichte sind nicht pauschal von Art. 15 DSGVO ausgenommen. Enthalten sie Tatsachen, Aussagen oder Bewertungen über einen bestimmten Beschäftigten, können diese Informationen personenbezogene Daten darstellen und damit vom Auskunftsanspruch erfasst sein. Das gilt auch für subjektive Einschätzungen zum Verhalten der untersuchten Person.
Für die Praxis bietet es sich deshalb an, bereits bei der Erstellung von Compliance-Berichten unterschiedliche Informationsebenen klar voneinander zu trennen:
- Sachverhaltsfeststellungen und personenbezogene Informationen,
- Aussagen und Daten von Hinweisgebern oder Zeugen,
- rechtliche Bewertungen und Schlussfolgerungen sowie
- strategische Empfehlungen und vertrauliche Mandantenhinweise.
Eine solche Struktur erleichtert es, spätere Auskunftsersuchen datenschutzkonform zu bearbeiten. Gleichzeitig sollten Unternehmen die Rechte von Hinweisgebern und anderen betroffenen Personen berücksichtigen. Das Urteil bedeutet daher nicht, dass Compliance-Berichte generell geheim bleiben dürfen. Vielmehr muss im Einzelfall geprüft werden, welche personenbezogenen Daten herauszugeben sind und welche weiteren Inhalte nicht vom Anspruch erfasst werden.
Hinweisgeber und Zeugen: Welche Rolle spielt der Schutz Dritter?
Compliance-Berichte enthalten häufig nicht nur Daten der untersuchten Person, sondern auch personenbezogene Daten von Hinweisgebern und Zeugen. Im vorliegenden Fall wurden diese namentlich genannt und Gesprächsinhalte teilweise wörtlich wiedergegeben. Das BAG betonte unter Bezugnahme auf die EuGH-Rechtsprechung, dass bei der Erfüllung des Auskunftsanspruchs auch die Rechte und Freiheiten anderer Personen zu berücksichtigen sind.
Für interne Untersuchungen ist deshalb eine strukturierte Dokumentation besonders wichtig. Unternehmen sollten darauf achten, Informationen eindeutig den jeweiligen betroffenen Personen zuordnen zu können. Identifizierende Angaben zu Hinweisgebern und Zeugen sollten zudem nicht unnötig an verschiedenen Stellen eines Berichts wiederholt werden.
Das BAG entschied allerdings nicht abschließend, welche Angaben zu Hinweisgebern im konkreten Fall offengelegt werden dürfen oder geschützt werden müssen. Insbesondere nahm es keine vertiefte Abwägung zum Vertraulichkeitsgebot des § 8 HinSchG vor. Aus dem Urteil lässt sich daher kein genereller Ausschluss solcher Informationen ableiten. Vielmehr müssen bei einem Auskunftsersuchen die jeweiligen Betroffenenrechte und entgegenstehenden Schutzinteressen konkret geprüft werden.
Fazit: Was bleibt vom Auskunftsanspruch bei Compliance-Berichten?
Mit seinem Urteil konkretisiert das BAG die Grenzen des datenschutzrechtlichen Auskunftsrechts bei internen Untersuchungen. Art. 15 DSGVO verschafft Beschäftigten Transparenz über die Verarbeitung ihrer personenbezogenen Daten, begründet aber grundsätzlich keinen Anspruch auf Herausgabe vollständiger Dokumente, nur weil darin personenbezogene Daten enthalten sind.
Für den Auskunftsanspruch bei Compliance-Berichten kommt es deshalb auf eine inhaltliche Differenzierung an. Tatsachen über einen Beschäftigten sowie Aussagen, Einschätzungen und Bewertungen können personenbezogene Daten darstellen. Rechtliche Analysen und Mandantenhinweise sind dagegen nicht allein deshalb personenbezogene Daten, weil sie sich auf einen Sachverhalt beziehen, der einen bestimmten Arbeitnehmer betrifft.
Eine vollständige Dokumentenkopie kann dennoch ausnahmsweise erforderlich sein, wenn nur dadurch die personenbezogenen Daten verständlich werden und DSGVO-Rechte wirksam ausgeübt werden können. Unternehmen sollten Compliance-Untersuchungen daher so dokumentieren, dass Sachverhaltsfeststellungen, Daten Dritter, rechtliche Bewertungen und strategische Empfehlungen möglichst klar voneinander getrennt bleiben. Das erleichtert die rechtssichere Bearbeitung späterer Auskunftsersuchen erheblich.
Fragen zum Auskunftsanspruch bei Compliance-Berichten?
Sie sind unsicher, welche personenbezogenen Daten aus einem Compliance-Bericht nach Art. 15 DSGVO herauszugeben sind oder ob ein Anspruch auf eine vollständige Dokumentenkopie besteht? Unsere erfahrenen Rechtsanwälte unterstützen Sie bei der rechtssicheren Prüfung von Auskunftsansprüchen und internen Compliance-Untersuchungen. Vereinbaren Sie ein Teams-Meeting oder stellen Sie direkt Ihre Rechtsfrage – wir helfen Ihnen gerne!
❓FAQ zum Auskunftsanspruch bei Compliance-Berichten
Haben Arbeitnehmer nach Art. 15 DSGVO Anspruch auf einen vollständigen Compliance-Bericht?
Nein, grundsätzlich nicht. Art. 15 DSGVO gewährt Arbeitnehmern grundsätzlich einen Anspruch auf eine Kopie ihrer verarbeiteten personenbezogenen Daten, nicht automatisch auf den vollständigen Compliance-Bericht. Eine vollständige Dokumentenkopie kann jedoch erforderlich sein, wenn die personenbezogenen Daten ohne den zugehörigen Kontext nicht verständlich sind.
Wann kann die Herausgabe eines vollständigen Compliance-Berichts erforderlich sein?
Eine vollständige Kopie eines Compliance-Berichts kann erforderlich sein, wenn sie unerlässlich ist, damit die betroffene Person ihre personenbezogenen Daten verstehen und ihre DSGVO-Rechte wirksam ausüben kann. Entscheidend ist insbesondere, ob die Daten ohne den Zusammenhang des Dokuments verständlich und nachvollziehbar sind.
Sind rechtliche Bewertungen in einem Compliance-Bericht personenbezogene Daten?
Nicht automatisch. Nach dem BAG stellt eine rechtliche Analyse grundsätzlich keine Information über die betroffene Person dar, sondern die rechtliche Bewertung eines Sachverhalts. Rechtliche Ausführungen werden daher nicht allein deshalb zu personenbezogenen Daten, weil sie das Verhalten eines bestimmten Arbeitnehmers betreffen.
Sind Aussagen über das Verhalten eines Arbeitnehmers personenbezogene Daten?
Ja. Personenbezogene Daten nach Art. 4 Nr. 1 DSGVO können neben objektiven Tatsachen auch subjektive Aussagen, Einschätzungen und Bewertungen umfassen. Voraussetzung ist, dass sich die jeweilige Information auf eine identifizierte oder identifizierbare Person bezieht.
Müssen Daten von Hinweisgebern bei einer DSGVO-Auskunft offengelegt werden?
Nicht automatisch. Bei einem Auskunftsanspruch nach Art. 15 DSGVO müssen auch die Rechte und Freiheiten anderer Personen berücksichtigt werden. Ob Angaben zu Hinweisgebern oder Zeugen offengelegt werden dürfen, hängt daher vom konkreten Einzelfall ab. Das BAG hat diese Frage in der Entscheidung nicht abschließend geklärt.
Kann ein Arbeitnehmer über die Personalakte eine Kopie des Compliance-Berichts verlangen?
Ein genereller Anspruch auf eine vollständige Kopie des Compliance-Berichts folgt aus dem Urteil nicht. Nach dem BAG ist das Recht, Kopien aus der Personalakte anzufertigen, auf einen angemessenen Umfang begrenzt. Zudem können insbesondere rechtliche Analysen und Mandantenhinweise außerhalb der materiellen Personalakte liegen.
Was bedeutet das BAG-Urteil zu Compliance-Berichten für Arbeitgeber?
Arbeitgeber sollten Compliance-Berichte so strukturieren, dass personenbezogene Sachverhaltsfeststellungen, Daten von Hinweisgebern und Zeugen, rechtliche Bewertungen sowie strategische Hinweise möglichst klar getrennt sind. Dadurch lassen sich Auskunftsersuchen nach Art. 15 DSGVO gezielter prüfen und die herauszugebenden personenbezogenen Daten leichter bestimmen.
Was entschied das BAG zum Auskunftsanspruch bei Compliance-Berichten?
Das BAG entschied am 16. April 2026 (8 AZR 169/25), dass der Auskunftsanspruch bei Compliance-Berichten grundsätzlich eine Kopie der verarbeiteten personenbezogenen Daten umfasst. Ein Anspruch auf eine vollständige Kopie des Compliance-Berichts besteht dagegen nicht automatisch.
Darf ein Arbeitgeber einen Compliance-Bericht bei einer DSGVO-Auskunft schwärzen?
Bei der Erfüllung eines DSGVO-Auskunftsanspruchs müssen auch die Rechte und Freiheiten anderer Personen berücksichtigt werden. Daher kann es erforderlich sein, bestimmte Angaben zu Dritten nicht offenzulegen. Ob und in welchem Umfang Informationen geschwärzt werden können, ist anhand der konkreten Daten und entgegenstehenden Rechte zu prüfen.
Gilt Art. 15 DSGVO auch für interne Untersuchungen?
Ja. Personenbezogene Daten, die im Rahmen einer internen Compliance-Untersuchung verarbeitet werden, können grundsätzlich vom Auskunftsrecht nach Art. 15 DSGVO erfasst sein. Entscheidend ist, ob sich die jeweiligen Informationen auf die betroffene Person beziehen. Interne Untersuchungsberichte sind nicht generell vom datenschutzrechtlichen Auskunftsanspruch ausgenommen.
