Compliance-Bericht: Muss der Arbeitgeber ihn herausgeben?

Verlangt ein Mitarbeiter nach einer internen Untersuchung den vollständigen Compliance-Abschlussbericht, muss der Arbeitgeber ihn nicht aus Art. 15 DSGVO herausgeben – wohl aber über das Einsichtsrecht in die Personalakte zugänglich machen. Diese doppelte Weichenstellung des LAG München (Urteil v. 12.6.2025 – 2 SLa 70/25; nicht rechtskräftig, Revision beim BAG unter 8 AZR 169/25) entlastet Arbeitgeber an der einen Front und stellt ihnen an der anderen eine Falle, die sie schon bei der Erstellung des Berichts entschärfen sollten.

Worum ging es?

Gegen eine leitende Angestellte gingen über die Ombudsperson Hinweise mehrerer Mitarbeiter auf einen einschüchternden, herabwürdigenden Führungsstil ein. Der Arbeitgeber ließ die Vorwürfe durch eine Kanzlei in einer internen Compliance-Untersuchung aufklären; der Abschlussbericht fasste die Vorwürfe, benannte Hinweisgeber und Zeugen und ordnete die Aussagen ein. Auf dieser Grundlage beantragte der Arbeitgeber beim Gewerbeaufsichtsamt die Zustimmung zur Kündigung während der Elternzeit.

Die Mitarbeiterin verlangte daraufhin eine Kopie des gesamten Berichts – gestützt auf Art. 15 DSGVO. Sie wollte prüfen, welche Daten über sie erhoben und wie die Aussagen gewichtet und bewertet worden seien, und berief sich auf den Abbau der Informationsasymmetrie im Prozess. Das Arbeitsgericht gab ihr recht und verurteilte den Arbeitgeber zur Herausgabe einer Kopie. In der Berufung korrigierte das LAG München dieses Ergebnis – teilweise.

Gibt Art. 15 DSGVO einen Anspruch auf den ganzen Bericht?

Nein. Der Auskunftsanspruch aus Art. 15 DSGVO zielt auf die verarbeiteten personenbezogenen Daten der betroffenen Person, nicht auf ganze Dokumente. Die „Kopie“ nach Art. 15 Abs. 3 DSGVO meint eine Kopie dieser Daten, nicht des Schriftstücks, das sie enthält – so die gefestigte Linie des EuGH (Urteile v. 26.10.2023 – C-307/22 und v. 4.5.2023 – C-487/21), der sich auch der Bundesfinanzhof angeschlossen hat (Urteil v. 12.3.2024 – IX R 35/21). Ein ganzes Dokument ist nur ausnahmsweise herauszugeben, wenn das für ein wirksames Verständnis der eigenen Daten unerlässlich ist – und dafür trägt die betroffene Person die Darlegungslast; eine Vermutung zu ihren Gunsten gibt es nicht.

Für Compliance-Berichte zieht das LAG München daraus eine scharfe Trennlinie: Personenbezogene Daten der Mitarbeiterin sind nur die Angaben, die Tatsachen über sie oder ihr Verhalten betreffen. Wie Zeugen das Arbeitsumfeld empfunden haben, die zusammenfassenden Wertungen und Würdigungen der Ermittler, deren rechtliche Bewertung und ihre Handlungsempfehlungen sind dagegen keine personenbezogenen Daten der Betroffenen. Der Bericht als Ganzes geht damit weit über das hinaus, worauf Art. 15 DSGVO einen Anspruch gibt. Weil die Klägerin gerade auch diese darüber hinausgehenden Bewertungen einsehen wollte – und sich nicht mit einer auf ihre Daten beschränkten, im Übrigen geschwärzten Fassung begnügen wollte –, ging ihr Begehren zu weit.

Die Kehrseite: Einsicht über die Personalakte

Was Art. 15 DSGVO verwehrt, eröffnet das Personalaktenrecht. Das LAG bejahte ein Einsichtsrecht nach § 26 Abs. 2 S. 1 SprAuG – der Norm für leitende Angestellte, die § 83 Abs. 1 S. 1 BetrVG für alle übrigen Arbeitnehmer wortgleich nachgebildet ist (vgl. BAG, Urteil v. 16.11.2010 – 9 AZR 573/09). Zur Personalakte gehört jede Sammlung von Vorgängen, die die persönlichen und dienstlichen Verhältnisse betreffen und in innerem Zusammenhang mit dem Arbeitsverhältnis stehen (BAG, Urteil v. 19.7.2012 – 2 AZR 782/11).

Entscheidend ist damit nicht, wo der Arbeitgeber den Bericht ablegt oder wie er ihn nennt, sondern ob er das Arbeitsverhältnis berührt. Ein interner Ermittlungsbericht, der das Führungsverhalten der Mitarbeiterin zum Gegenstand hat und den Kündigungsantrag trägt, gehört danach zur Personalakte – auch als gesondert geführte Sonder- oder Nebenakte. Das Führen heimlicher „Geheimakten“ neben der Personalakte ist unzulässig. Über diesen Weg erhält die Betroffene faktisch weitreichenden Zugang zu genau dem Dokument, das ihr der datenschutzrechtliche Anspruch nicht verschafft.

Schützt der Hinweisgeberschutz vor der Einsicht?

Nur begrenzt – und nur, wenn der Arbeitgeber selbst vorgesorgt hat. Das Hinweisgeberschutzgesetz (§ 8 HinSchG) griff hier schon deshalb nicht, weil die gemeldeten Vorwürfe keinen Verstoß im Sinne des § 2 HinSchG betrafen. Berechtigte Interessen der befragten Mitarbeiter sind zwar zu wahren: Wurde Hinweisgebern Anonymität zugesagt, muss der Arbeitgeber Passagen, die ihre Person erkennen lassen oder Rückschlüsse zulassen, schwärzen oder unkenntlich machen.

Der Haken liegt in der Konsequenz, die das Gericht daran knüpft: Nimmt der Arbeitgeber den Bericht ohne solche Schwärzungen zur Akte, kann er die Einsicht anschließend nicht mehr unter Hinweis auf den – von ihm selbst versäumten – Schutz der Hinweisgeber verweigern. Wer die zugesagte Anonymität nicht technisch und organisatorisch umsetzt, kann den daraus folgenden fehlenden Schutz nicht als Verweigerungsgrund vorschieben. Auch überwiegende Arbeitgeberinteressen nach Treu und Glauben (§ 242 BGB) erkannte das Gericht nicht an, weil die Untersuchung bereits abgeschlossen war und durch die Einsicht kein laufendes Verfahren mehr gefährdet wurde.

Konsequenzen für Arbeitgeber

Die Entscheidung ist an einer Front eine Entlastung: Der pauschale Griff zu Art. 15 DSGVO verschafft keinen Anspruch auf interne Untersuchungsberichte im Ganzen. Zugleich zeigt sie, dass die eigentliche Brücke zum Bericht über das Personalaktenrecht läuft – und dass sich die Weichen dafür bei der Erstellung stellen, nicht erst im Streit. Drei Hebel sind entscheidend:

• Berichtsarchitektur trennen: Tatsachenfeststellungen zur betroffenen Person, Zeugenaussagen, Bewertungen, rechtliche Würdigung und Handlungsempfehlungen von Anfang an klar voneinander abschichten. So lässt sich im Streitfall gezielt der personalaktenrelevante Teil zugänglich machen, ohne die interne Meinungsbildung offenzulegen.
• Strategie auslagern: Prozessuale und rechtliche Beratungsteile gehören in ein gesondertes Mandantenmemorandum außerhalb des Personalaktenkontexts – nicht in denselben Bericht, der später einsehbar sein kann.
• Anonymisierung mitdenken: Ein tragfähiges Schwärzungs- und Anonymisierungskonzept schon bei der Aktenführung, damit zugesagte Vertraulichkeit tatsächlich Bestand hat. Vertraulichkeitszusagen sorgfältig formulieren und gesetzliche Auskunfts- und Einsichtsrechte ausdrücklich vorbehalten.

Wichtig bleibt: Ein Auskunftsverlangen nach Art. 15 DSGVO nie pauschal ins Leere laufen lassen. Eine unberechtigte Totalverweigerung kann Schadensersatzansprüche (Art. 82 DSGVO) und aufsichtsbehördliche Prüfungen nach sich ziehen. Die richtige Antwort ist die differenzierte – Auskunft über die personenbezogenen Daten, ohne die schützenswerte interne Bewertung preiszugeben. Wie wir Arbeitgeber bei der Durchführung interner Untersuchungen und bei Auskunftsansprüchen im Beschäftigtendatenschutz begleiten, richten wir auf genau diese Balance aus. Die Grundlagen des Auskunftsanspruchs vertiefen wir im Beitrag Auskunftsanspruch nach Art. 15 DSGVO im Arbeitsverhältnis, den Ablauf einer sauberen Aufklärung im Überblick Interne Untersuchung: Ablauf, Rechte und Grenzen.

Ist das Urteil rechtskräftig?

Nein. Das LAG München hat die Revision zugelassen; sie ist beim Bundesarbeitsgericht anhängig (Az. 8 AZR 169/25). Zu erwarten ist, dass das BAG den vom EuGH eingeführten Maßstab der „Unerlässlichkeit“ einer Dokumentenkopie für das Arbeitsverhältnis weiter schärft. Bis dahin sollten Arbeitgeber ihre interne Berichtspraxis so aufstellen, dass sie beiden Zugangswegen – Art. 15 DSGVO und Personalakte – standhält. Als Boutique für arbeitgeberseitiges Arbeitsrecht unterstützen wir Sie dabei; auch zu den Grenzen des Whistleblower-Schutzes lesen Sie unseren Beitrag zum Hinweisgeberschutzgesetz vor dem LAG Niedersachsen. Sprechen Sie uns an.