Inhalt dieses Beitrags
Verlangt ein Mitarbeiter nach einer internen Untersuchung eine Kopie des vollständigen Compliance-Abschlussberichts, muss der Arbeitgeber sie nicht herausgeben – weder aus Art. 15 DSGVO noch aus dem Personalaktenrecht. Das Bundesarbeitsgericht hat die datenschutzrechtliche Ausforschung interner Untersuchungsberichte gestoppt und die Revision der betroffenen Führungskraft zurückgewiesen (BAG, Urteil v. 16.4.2026 – 8 AZR 169/25; Vorinstanz LAG München, Urteil v. 12.6.2025 – 2 SLa 70/25). Für Arbeitgeber ist das eine deutliche Entlastung – die praktische Angriffsfläche verschiebt sich damit auf die Frage, wie der Bericht aufgebaut und zur Akte genommen wird.
Worum ging es?
Gegen eine leitende Angestellte gingen über die Ombudsperson Hinweise mehrerer Mitarbeiter auf einen einschüchternden, herabwürdigenden Führungsstil ein. Der Arbeitgeber ließ die Vorwürfe durch eine Kanzlei in einer internen Compliance-Untersuchung aufklären; der Abschlussbericht listete die Vorwürfe auf, benannte Hinweisgeber und Zeugen namentlich und gab deren Aussagen teils wörtlich, teils zusammengefasst wieder, einschließlich Wertungen zur Glaubhaftigkeit. Auf dieser Grundlage beantragte der Arbeitgeber beim Gewerbeaufsichtsamt die Zustimmung zur Kündigung während der Elternzeit.
Die Mitarbeiterin verlangte daraufhin eine Kopie des gesamten Berichts – gestützt auf Art. 15 DSGVO. Sie wollte prüfen, welche Aussagen über sie gemacht und gespeichert und wie sie gewichtet worden seien. Das Arbeitsgericht gab ihr zunächst recht. Das LAG München wies die Herausgabeanträge ab und gewährte nur Einsicht in eine Fassung des Berichts. Mit der zugelassenen Revision verfolgte die Klägerin ihre Kopieanträge weiter – ohne Erfolg.
Gibt Art. 15 DSGVO einen Anspruch auf den ganzen Bericht?
Nein. Der Auskunftsanspruch aus Art. 15 DSGVO zielt auf die verarbeiteten personenbezogenen Daten der betroffenen Person, nicht auf ganze Dokumente. Die „Kopie" nach Art. 15 Abs. 3 DSGVO meint eine originalgetreue und verständliche Reproduktion dieser Daten, nicht des Schriftstücks, das sie enthält – so die gefestigte Linie des EuGH, der sich das BAG anschließt (EuGH, Urteile v. 26.10.2023 – C-307/22 [FT] und v. 4.5.2023 – C-487/21). Art. 15 Abs. 3 DSGVO regelt damit nur eine Modalität der Anspruchsausübung und gewährt keinen eigenständigen Anspruch auf das Dokument als solches. Ein ganzes Dokument ist nur ausnahmsweise herauszugeben, wenn dies unerlässlich ist, um die eigenen Daten verständlich zu machen – etwa wenn eine Kontextualisierung erforderlich ist.
Diese Ausnahme sah das BAG hier nicht. Anhaltspunkte dafür, dass die Klägerin die rechtlichen Ausführungen und Mandantenhinweise benötigt, um die im Bericht enthaltenen personenbezogenen Daten zu verstehen, waren nicht ersichtlich. Es handelt sich der Sache nach um unterschiedliche Bestandteile des Berichts, auch wenn sie in einem inhaltlichen Zusammenhang stehen. Wer sich gegen eine aus seiner Sicht unzutreffende Rechtsauffassung des Arbeitgebers wehren will, muss dafür nicht den Bericht kopieren, sondern kann seine prozessualen Möglichkeiten nutzen – etwa im Kündigungsschutzprozess.
Sind rechtliche Bewertungen und Mandantenhinweise personenbezogene Daten?
Nein. Der Begriff der personenbezogenen Daten ist zwar weit: Er erfasst alle Informationen objektiver wie subjektiver Natur, also auch Stellungnahmen und Beurteilungen, sofern sie sich „über" die betroffene Person verhalten (EuGH, Urteile v. 22.6.2023 – C-579/21 [Pankki S] und v. 20.12.2017 – C-434/16 [Nowak]). Weil sich der Bericht mit dem Führungsverhalten der Klägerin befasst, enthält er zwangsläufig personenbezogene Daten über sie.
Die rechtliche Analyse gehört jedoch nicht dazu. Sie ist keine Information über die betroffene Person, sondern höchstens eine Information darüber, wie der Verantwortliche die Rechtslage einschätzt (EuGH, Urteil v. 17.7.2014 – C-141/12 [YS u.a.]). Für Compliance-Berichte zieht das eine scharfe Trennlinie: Die Tatsachenfeststellungen und Bewertungen zum Verhalten der betroffenen Person sind personenbezogen und damit vom Auskunftsanspruch erfasst; die rechtliche Würdigung, die Handlungsempfehlungen und die Mandantenhinweise sind es nicht. Der Bericht als Ganzes geht damit über das hinaus, worauf Art. 15 DSGVO einen Anspruch gibt.
Verschafft das Personalaktenrecht wenigstens eine Kopie?
Auch nicht. Arbeitnehmer haben nach § 26 Abs. 2 SprAuG – der für leitende Angestellte geltenden Norm, die dem wort- und inhaltsgleichen § 83 Abs. 1 BetrVG für alle übrigen Arbeitnehmer entspricht (vgl. BAG, Urteil v. 16.11.2010 – 9 AZR 573/09) – das Recht, in die über sie geführten Personalakten Einsicht zu nehmen. Zur Personalakte zählt nach materiellem Verständnis jede Sammlung von Urkunden und Vorgängen, die die persönlichen und dienstlichen Verhältnisse betreffen und in innerem Zusammenhang mit dem Arbeitsverhältnis stehen; auf die äußere Zuordnung kommt es nicht an (BAG, Urteil v. 17.10.2024 – 8 AZR 42/24).
Das Einsichtsrecht umfasst zwar auch das Recht, auf eigene Kosten Kopien aus der Personalakte zu fertigen – aber nur in angemessenem Umfang. Dieser Umfang ist überschritten, wenn der Arbeitnehmer die Personalunterlagen als Ganzes kopieren möchte. Ein Anspruch, den vollständigen Abschlussbericht in Kopie zu erhalten, folgt daraus nicht. Ob die im Bericht enthaltenen rechtlichen Ausführungen und Mandantenhinweise überhaupt Teil der materiellen Personalakte sind, hat das BAG darüber hinaus ausdrücklich bezweifelt. Damit ist die Kopie über beide Wege – Datenschutzrecht und Personalaktenrecht – versperrt; einsehbar bleiben lediglich die personalaktenrelevanten Teile.
Schützt der Hinweisgeberschutz vor der Einsicht?
Nur, wenn der Arbeitgeber selbst vorgesorgt hat. Soweit eine Einsicht in personalaktenrelevante Teile in Betracht kommt, sind die berechtigten Interessen der befragten Mitarbeiter zu wahren. Bereits die Vorinstanz hatte klargestellt: Wurde Hinweisgebern Anonymität zugesagt, muss der Arbeitgeber Passagen, die ihre Person erkennen lassen oder Rückschlüsse zulassen, schwärzen oder unkenntlich machen. Nimmt er den Bericht ohne solche Schwärzungen zur Akte, kann er die Einsicht anschließend nicht mehr unter Hinweis auf den – von ihm selbst versäumten – Schutz der Hinweisgeber verweigern. Der selbst verursachte fehlende Schutz ist kein Verweigerungsgrund.
Das Bundesarbeitsgericht musste diese Frage nicht mehr abschließend entscheiden, weil bereits der Anspruch auf eine Vollkopie scheiterte. Für die Praxis bleibt der Punkt gleichwohl zentral: Die Vertraulichkeit von Hinweisgebern steht und fällt mit ihrer technischen und organisatorischen Umsetzung – nicht mit der bloßen Zusage.
Warum verlor die Mitarbeiterin auch aus prozessualen Gründen?
Weil zwei ihrer Anträge schon an der Form scheiterten. Den erstmals in der Revisionsinstanz aufgenommenen, im Bericht in Bezug genommenen Zwischenbericht wertete das BAG als unzulässige Klageerweiterung: Ein neuer Streitgegenstand kann in der Revision grundsätzlich nicht mehr eingeführt werden (§ 559 Abs. 1 ZPO). Und die erst spät nachgeschobene zweite Berichtsfassung war eine Klageerweiterung, die die Klägerin als Berufungsbeklagte nur im Wege der Anschlussberufung hätte geltend machen können – diese ging jedoch nach Ablauf der Berufungsbeantwortungsfrist ein und war deshalb verspätet (§ 524 Abs. 2 Satz 2 ZPO iVm. § 66 Abs. 1 ArbGG).
Für die Arbeitgeberverteidigung ist das ein nützlicher Hinweis: Auskunfts- und Herausgabeverlangen sind an strenge prozessuale Formalien gebunden. Wer als Arbeitgeber eine solche Klage abwehrt, sollte Streitgegenstand, Antragsfassung und Fristen konsequent im Blick behalten – nicht selten entscheidet die Prozessform mit über den Ausgang. Wie wir Arbeitgeber in solchen Verfahren vertreten, zeigt unsere Abwehr arbeitsrechtlicher Klagen.
Konsequenzen für Arbeitgeber
Die Entscheidung schließt beide Herausgabe-Fronten: Weder Art. 15 DSGVO noch das Personalaktenrecht verschaffen einen Anspruch auf eine Kopie des gesamten internen Untersuchungsberichts. Die verbleibende Angriffsfläche ist die Einsicht in personalaktenrelevante Teile – und dafür stellen sich die Weichen bei der Erstellung des Berichts, nicht erst im Streit. Drei Hebel sind entscheidend:
- Berichtsarchitektur trennen: Tatsachenfeststellungen zur betroffenen Person, Zeugenaussagen, Bewertungen, rechtliche Würdigung und Handlungsempfehlungen von Anfang an klar voneinander abschichten. So lässt sich im Streitfall gezielt der personalaktenrelevante Teil zugänglich machen, ohne die interne Meinungsbildung offenzulegen.
- Strategie auslagern: Prozessuale und rechtliche Beratungsteile gehören in ein gesondertes Mandantenmemorandum außerhalb des Personalaktenkontexts – nicht in denselben Bericht, der später einsehbar sein kann.
- Anonymisierung mitdenken: Ein tragfähiges Schwärzungs- und Anonymisierungskonzept schon bei der Aktenführung, damit zugesagte Vertraulichkeit tatsächlich Bestand hat. Vertraulichkeitszusagen sorgfältig formulieren und gesetzliche Auskunfts- und Einsichtsrechte ausdrücklich vorbehalten.
Wichtig bleibt: Ein Auskunftsverlangen nach Art. 15 DSGVO nie pauschal ins Leere laufen lassen. Die richtige Antwort ist die differenzierte – vollständige Auskunft über die personenbezogenen Daten, ohne die schützenswerte interne Bewertung preiszugeben. Wie wir Arbeitgeber bei der Durchführung interner Untersuchungen und bei Auskunftsansprüchen im Beschäftigtendatenschutz begleiten, richten wir auf genau diese Balance aus. Die Grundlagen des Auskunftsanspruchs vertiefen wir im Beitrag Auskunftsanspruch nach Art. 15 DSGVO im Arbeitsverhältnis, den Ablauf einer sauberen Aufklärung im Überblick Interne Untersuchung: Ablauf, Rechte und Grenzen.
Ist das Urteil rechtskräftig?
Ja. Das Bundesarbeitsgericht hat die Revision der Mitarbeiterin zurückgewiesen; die Entscheidung ist rechtskräftig (BAG, Urteil v. 16.4.2026 – 8 AZR 169/25). Damit steht höchstrichterlich fest, dass der datenschutzrechtliche Auskunftsanspruch keine Kopie eines vollständigen Compliance-Berichts verschafft und das Personalaktenrecht nur einen angemessenen Umfang erfasst. Arbeitgeber sollten ihre interne Berichtspraxis so aufstellen, dass sie beiden Zugangswegen standhält. Als Kanzlei für Arbeitsrecht unterstützen wir Sie dabei; auch zu den Grenzen des Whistleblower-Schutzes lesen Sie unseren Beitrag zum Hinweisgeberschutzgesetz vor dem LAG Niedersachsen sowie zur Kündigung in der Wartezeit trotz Compliance-Meldung. Sprechen Sie uns an.
