DSGVO-Auskunft bei Compliance-Berichten: Wann besteht Anspruch auf eine vollständige Kopie?

Interne Compliance-Untersuchungen können zahlreiche personenbezogene Informationen über Beschäftigte enthalten. Von Zeugenaussagen und konkreten Vorwürfen bis hin zu Bewertungen des beruflichen Verhaltens. Verlangt ein betroffener Arbeitnehmer nach Art. 15 DSGVO Auskunft über diese Daten, stellt sich daher schnell die Frage: Muss der Arbeitgeber lediglich die personenbezogenen Daten zur Verfügung stellen oder gleich den gesamten Compliance-Bericht herausgeben?

Mit dieser Abgrenzung beschäftigte sich das Bundesarbeitsgericht (BAG) in seinem Urteil vom 16. April 2026 (8 AZR 169/25). Im Mittelpunkt stand die Reichweite der DSGVO-Auskunft bei Compliance-Berichten.

Das BAG stellte klar: Allein die Tatsache, dass ein interner Untersuchungsbericht personenbezogene Daten enthält, führt noch nicht zu einem Anspruch auf eine vollständige Dokumentenkopie. Art. 15 Abs. 1 in Verbindung mit Abs. 3 Satz 1 DSGVO verpflichtet grundsätzlich zur Bereitstellung einer Kopie der verarbeiteten personenbezogenen Daten. Nur unter bestimmten Voraussetzungen kann es erforderlich sein, darüber hinaus Auszüge oder sogar das vollständige Dokument zur Verfügung zu stellen.

Wie kam es zur Compliance-Untersuchung?

Dem Rechtsstreit ging eine umfangreiche interne Untersuchung voraus. Drei Hinweisgeber hatten sich über das Führungsverhalten einer Arbeitnehmerin in leitender Position beschwert. Anfang April 2023 erhielt die Ombudsfrau des Unternehmens entsprechende Hinweise und leitete diese an die Compliance-Abteilung weiter. Der Klägerin wurden unter anderem ein einschüchternder Umgang, respektloses Verhalten und herabwürdigende Äußerungen vorgeworfen.

Die Arbeitgeberin nahm die Beschwerden zum Anlass, eine externe Rechtsanwaltskanzlei mit der Aufklärung der Vorwürfe zu beauftragen. Die Compliance-Untersuchung lief schließlich von August 2023 bis Januar 2024. In diesem Zeitraum wurden die erhobenen Vorwürfe untersucht und Aussagen verschiedener beteiligter Personen ausgewertet.

Die Ergebnisse flossen anschließend in zwei Fassungen eines Compliance-Abschlussberichts vom 31. Januar und 6. Februar 2024 ein. Darin wurden nicht nur Vorwürfe, Namen und Aussagen von Hinweisgebern und Zeugen dokumentiert. Die Berichte enthielten teilweise auch wörtliche Gesprächsinhalte, Einschätzungen zur Glaubhaftigkeit sowie rechtliche Ausführungen und Mandantenhinweise der beauftragten Kanzlei.

Später verwendete die Arbeitgeberin Erkenntnisse aus der Untersuchung auch zur Begründung eines Antrags auf Zustimmung zu einer Kündigung während der Elternzeit. Die zuständige Behörde erteilte diese Zustimmung allerdings nicht.

Weshalb forderte die Klägerin die kompletten Untersuchungsberichte?

Nach Abschluss der internen Untersuchung wollte die Arbeitnehmerin nicht lediglich einzelne Informationen erhalten. Gestützt auf Art. 15 Abs. 1 und Abs. 3 DSGVO verlangte sie von ihrer Arbeitgeberin vollständige Kopien der Compliance-Abschlussberichte. Dadurch wollte sie insbesondere überprüfen können, welche Angaben und Aussagen über ihre Person dokumentiert worden waren, ob diese inhaltlich zutrafen und wie die betreffenden Informationen im Zuge der Untersuchung zustande gekommen waren. Nach Auffassung der Klägerin standen einer vollständigen Herausgabe auch keine überwiegenden Rechte der Arbeitgeberin oder anderer Beteiligter entgegen.

Die Arbeitgeberin lehnte eine vollständige Übermittlung dagegen ab. Sie argumentierte, Art. 15 DSGVO erfasse lediglich eine Kopie der verarbeiteten personenbezogenen Daten, nicht automatisch das Dokument als Ganzes. Zusätzlich führte sie mehrere Schutzinteressen an:

• vertrauliche personenbezogene Informationen von Hinweisgebern und Zeugen,
• zugesicherte Vertraulichkeit gegenüber den beteiligten Personen,
• mögliche Rückschlüsse auf die rechtliche Prozessstrategie und
• den Schutz der Compliance-Berichte als Geschäftsgeheimnisse.

Damit stand im Mittelpunkt des Rechtsstreits die grundsätzliche Frage, wie weit die DSGVO-Auskunft bei Compliance-Berichten reicht und ob sie im konkreten Fall auch die vollständigen Untersuchungsunterlagen erfassen kann.

Der Weg durch die Instanzen: Wie entschieden die Arbeitsgerichte?

Über den Umfang der verlangten DSGVO-Auskunft bei den Compliance-Berichten entschieden insgesamt drei arbeitsgerichtliche Instanzen. Dabei kamen die Gerichte hinsichtlich der vollständigen Berichtskopien zu unterschiedlichen Ergebnissen.

Den Verfahrensgang im Überblick:

• Arbeitsgericht München: Die Klägerin hatte zunächst Erfolg. Die Arbeitgeberin sollte ihr eine Kopie des Compliance-Abschlussberichts vom 31. Januar 2024 überlassen.
• Landesarbeitsgericht München: In der Berufungsinstanz wurde die Entscheidung geändert. Einen Anspruch auf Kopien der Berichte vom 31. Januar und 6. Februar 2024 lehnte das LAG ab. Aufgrund eines Hilfsantrags erhielt die Klägerin jedoch ein Recht auf Einsicht in die Fassung vom 6. Februar 2024.
• Bundesarbeitsgericht: Die Klägerin verfolgte ihren Anspruch weiter und bezog erstmals auch einen Zwischenbericht vom 19. Oktober 2023 ein, auf den der Abschlussbericht verwies. Ihre Revision blieb jedoch ohne Erfolg.

Damit erhielt die Arbeitnehmerin auch vor dem BAG keine vollständigen Kopien der verlangten Compliance-Abschlussberichte. Entscheidend war insbesondere, wie weit der Anspruch auf Bereitstellung einer Kopie nach Art. 15 DSGVO reicht.

Für Unternehmen macht der Verfahrensverlauf außerdem deutlich, wie wichtig ein nachvollziehbares Versionenmanagement ist. Zwischenberichte und verschiedene Fassungen eines Abschlussberichts sollten eindeutig dokumentiert werden, damit später erkennbar bleibt, welche Version zu welchem Zeitpunkt erstellt und verwendet wurde.

DSGVO-Auskunft bei Compliance-Berichten: Datenkopie ist nicht gleich Dokumentenkopie

Das Bundesarbeitsgericht stellte bei seiner Entscheidung die Reichweite von Art. 15 DSGVO in den Mittelpunkt. Danach können betroffene Personen Auskunft über die Verarbeitung ihrer personenbezogenen Daten verlangen. Art. 15 Abs. 3 Satz 1 DSGVO ergänzt dieses Recht um die Verpflichtung des Verantwortlichen, eine Kopie der personenbezogenen Daten bereitzustellen, die Gegenstand der Verarbeitung sind.

Daraus folgt nach Auffassung des BAG jedoch kein genereller Anspruch auf Herausgabe des vollständigen Dokuments, in dem diese Informationen enthalten sind. Bei der DSGVO-Auskunft zu Compliance-Berichten muss deshalb zwischen zwei Dingen unterschieden werden:

• Kopie der personenbezogenen Daten: Diese wird grundsätzlich von Art. 15 DSGVO erfasst.
• Kopie des gesamten Compliance-Berichts: Darauf besteht nicht allein deshalb ein Anspruch, weil sich darin personenbezogene Daten der betroffenen Person befinden.

Art. 15 Abs. 3 Satz 1 DSGVO begründet somit keinen eigenständigen Herausgabeanspruch für bestimmte Unterlagen. Entscheidend ist vielmehr, welche personenbezogenen Informationen tatsächlich verarbeitet werden und in welcher Form sie bereitgestellt werden müssen, damit das Auskunftsrecht erfüllt wird. Ob dafür ausnahmsweise auch ein vollständiges Dokument erforderlich ist, muss gesondert beurteilt werden.

Sind rechtliche Bewertungen im Compliance-Bericht personenbezogene Daten?

Nicht jeder Inhalt eines Compliance-Berichts fällt automatisch unter den datenschutzrechtlichen Auskunftsanspruch. Entscheidend ist zunächst, ob Informationen überhaupt als personenbezogenes Daten im Sinne von Art. 4 Nr. 1 DSGVO einzuordnen sind. Darunter können nicht nur objektive Tatsachen fallen, sondern ebenso subjektive Aussagen, Einschätzungen oder Bewertungen, sofern sie sich auf eine identifizierte oder identifizierbare Person beziehen.

Aussagen über Beschäftigte können personenbezogen sein

Informationen über das konkrete Führungsverhalten der Klägerin hatten einen unmittelbaren Bezug zu ihrer Person. Das galt grundsätzlich auch für Aussagen und Einschätzungen, die im Rahmen der Compliance-Untersuchung über ihr Verhalten abgegeben beziehungsweise festgehalten worden waren.

Anders beurteilte das BAG dagegen die rechtlichen Analysen und Mandantenhinweise der beauftragten Rechtsanwaltskanzlei. Diese beschreiben nach der Entscheidung nicht die betroffene Person selbst, sondern enthalten eine juristische Einordnung des ermittelten Sachverhalts. Dass sich diese rechtliche Bewertung auf Vorgänge bezieht, an denen eine bestimmte Arbeitnehmerin beteiligt ist, macht sie nicht automatisch zu personenbezogenen Daten.

Hinzu kam, dass die Klägerin diese juristischen Ausführungen nach Auffassung des BAG nicht benötigte, um die über sie verarbeiteten Daten zu verstehen oder beispielsweise ihre Rechte aus der DSGVO auf Berichtigung, Löschung oder Einschränkung der Verarbeitung wahrzunehmen. Die Arbeitgeberin musste den Bericht daher nicht allein wegen dieser Inhalte vollständig als Kopie herausgeben.

Wann besteht Anspruch auf eine vollständige Kopie des Compliance-Berichts?

Die Entscheidung des BAG bedeutet nicht, dass eine vollständige Kopie eines Compliance-Berichts unter Art. 15 DSGVO grundsätzlich ausgeschlossen wäre. Unter bestimmten Voraussetzungen kann sich das Recht auf eine Datenkopie auch auf Dokumentenauszüge oder sogar auf ein vollständiges Dokument erstrecken. Maßgeblich sind die konkreten Umstände des jeweiligen Falls.

Eine weitergehende Kopie kann insbesondere dann notwendig werden, wenn die personenbezogenen Daten ohne ihren ursprünglichen Zusammenhang nicht verständlich oder sinnvoll nachvollziehbar wären. In einem solchen Fall kann eine originalgetreue Wiedergabe erforderlich sein, damit die betroffene Person erkennen kann, welche Daten über sie verarbeitet werden, und ihre Rechte aus der DSGVO wirksam wahrnehmen kann.

Für eine vollständige Dokumentenkopie kommt es damit vor allem darauf an, ob:

• der Kontext zum Verständnis der personenbezogenen Daten benötigt wird,
• eine bloße Zusammenstellung der Daten nicht ausreicht und
• die weitergehende Wiedergabe für die Wahrnehmung der Betroffenenrechte erforderlich ist.

Im konkreten Verfahren lagen diese Voraussetzungen nach Auffassung des BAG nicht vor. Die juristischen Ausführungen und Mandantenhinweise waren zwar Bestandteil desselben Compliance-Berichts, ließen sich inhaltlich jedoch von den personenbezogenen Informationen der Klägerin unterscheiden. Sie waren für das Verständnis der über sie gespeicherten Daten nicht erforderlich. Deshalb bestand kein Anspruch auf eine vollständige Kopie des Abschlussberichts.

Können Beschäftigte den Compliance-Bericht über die Personalakte verlangen?

Neben der DSGVO-Auskunft bei Compliance-Berichten kam noch ein weiterer rechtlicher Ansatz in Betracht: das arbeitsrechtliche Recht auf Einsicht in die Personalakte. Das BAG prüfte deshalb, ob sich aus § 26 Abs. 2 SprAuG oder § 83 Abs. 1 BetrVG ein Anspruch auf eine vollständige Kopie des Untersuchungsberichts ergeben könnte.

Grundsätzlich ermöglichen diese Vorschriften Beschäftigten die Einsicht in die über sie geführten Personalakten. Damit kann auch die Möglichkeit verbunden sein, auf eigene Kosten Kopien einzelner Bestandteile anzufertigen. Nach Auffassung des BAG ist dieses Recht jedoch nicht unbegrenzt. Insbesondere folgt daraus kein genereller Anspruch, sämtliche Personalunterlagen vollständig zu vervielfältigen.

Hinzu kam eine weitere Abgrenzungsfrage: Das BAG äußerte Zweifel daran, ob die rechtlichen Analysen und Mandantenhinweise des Compliance-Berichts überhaupt Bestandteil der materiellen Personalakte waren.

Für diese Einordnung kommt es nicht ausschließlich auf den Speicher- oder Ablageort eines Dokuments an. Relevant ist vielmehr, ob der betreffende Inhalt:

• die persönlichen oder dienstlichen Verhältnisse des Beschäftigten betrifft und
• in einem inneren Zusammenhang mit dem Arbeitsverhältnis steht.

Auch über die arbeitsrechtlichen Einsichtsrechte ließ sich damit im konkreten Verfahren kein Anspruch auf eine vollständige Kopie des Compliance-Berichts begründen.

Welche Konsequenzen hat das BAG-Urteil für Unternehmen?

Für Arbeitgeber liefert die Entscheidung wichtige Anhaltspunkte dafür, wie interne Untersuchungen dokumentiert und spätere Auskunftsersuchen bearbeitet werden sollten. Ein Compliance-Bericht ist nicht allein aufgrund seines internen oder vertraulichen Charakters dem Anwendungsbereich von Art. 15 DSGVO entzogen. Enthält er konkrete Tatsachen, Aussagen oder Einschätzungen zu einem Beschäftigten, können diese Inhalte personenbezogene Daten darstellen.

In der Praxis ist es daher sinnvoll, schon bei der Erstellung eines Untersuchungsberichts auf eine klare Trennung verschiedener Informationsarten zu achten. Unterschieden werden sollte insbesondere zwischen:

• Sachverhaltsfeststellungen und personenbezogenen Angaben zur untersuchten Person,
• Informationen und Aussagen von Hinweisgebern oder Zeugen,
• juristischen Bewertungen und daraus gezogenen Schlussfolgerungen sowie
• strategischen Empfehlungen und vertraulichen Mandantenhinweisen.

Eine solche Gliederung kann die spätere Bearbeitung einer DSGVO-Auskunft bei Compliance-Berichten erheblich erleichtern. Verantwortliche können dadurch besser bestimmen, welche Informationen vom Auskunftsanspruch erfasst werden und bei welchen Inhalten weitere Schutzinteressen zu berücksichtigen sind.

Das BAG-Urteil ist deshalb nicht so zu verstehen, dass interne Untersuchungsberichte generell vertraulich bleiben oder vollständig zurückgehalten werden dürfen. Vielmehr ist bei einem Auskunftsersuchen konkret zu prüfen, welche personenbezogenen Daten herauszugeben sind und welche weiteren Berichtsinhalte außerhalb des Anspruchs liegen.

DSGVO-Auskunft und Hinweisgeberschutz: Was gilt für Daten Dritter?

Bei internen Compliance-Untersuchungen werden regelmäßig nicht nur personenbezogene Daten der untersuchten Person verarbeitet. Auch Hinweisgeber, Zeugen und weitere Beteiligte können in den Berichten identifizierbar sein. Im vom BAG entschiedenen Fall enthielten die Unterlagen beispielsweise Namen sowie teilweise wörtlich wiedergegebene Gesprächsinhalte.

Hier treffen unvermeidlich unterschiedliche Interessen aufeinander. Einerseits hat die betroffene Person ein Recht auf Auskunft über die Verarbeitung ihrer personenbezogenen Daten. Andererseits sind bei der Erfüllung dieses Anspruchs auch die Rechte und Freiheiten anderer Personen zu berücksichtigen.

Für Unternehmen folgt daraus vor allem eine praktische Konsequenz: Informationen sollten bei internen Untersuchungen möglichst eindeutig den jeweils betroffenen Personen zugeordnet werden können. Identifizierende Angaben zu Hinweisgebern und Zeugen sollten zudem nicht unnötig an mehreren Stellen eines Berichts wiederholt werden. Das erleichtert eine spätere Prüfung erheblich.

Welche Informationen über Hinweisgeber im konkreten Fall offengelegt werden durften, entschied das BAG allerdings nicht abschließend. Auch eine vertiefte Abwägung hinsichtlich des Vertraulichkeitsgebots nach § 8 HinSchG erfolgte nicht. Aus dem Urteil lässt sich daher weder eine generelle Pflicht zur Offenlegung noch ein pauschaler Ausschluss solcher Angaben ableiten. Bei Auskunftsersuchen müssen die betroffenen Rechte und entgegenstehenden Schutzinteressen vielmehr im jeweiligen Einzelfall geprüft werden.

Fazit: Bei der DSGVO-Auskunft kommt es auf den Inhalt des Berichts an

Das BAG-Urteil zeigt, dass bei einer DSGVO-Auskunft zu Compliance-Berichten genau zwischen den personenbezogenen Daten und dem Dokument unterschieden werden muss, in dem diese Informationen enthalten sind. Art. 15 DSGVO soll Beschäftigten Transparenz über die Verarbeitung ihrer Daten ermöglichen. Daraus folgt jedoch nicht automatisch ein Anspruch darauf, einen internen Untersuchungsbericht vollständig ausgehändigt zu bekommen.

Entscheidend ist vielmehr, welche konkreten Inhalte personenbezogene Daten darstellen. Dazu können Tatsachen, Aussagen und subjektive Einschätzungen über einen Beschäftigten gehören. Juristische Analysen und vertrauliche Mandantenhinweise werden dagegen nicht allein deshalb zu personenbezogenen Daten, weil sie einen Sachverhalt rechtlich bewerten, der die betreffende Person betrifft.

Eine weitergehende Kopie kann dennoch erforderlich werden, wenn personenbezogene Informationen ohne ihren ursprünglichen Kontext nicht verständlich wären. Im Einzelfall können deshalb auch Dokumentenauszüge oder ein vollständiges Dokument für die wirksame Ausübung der DSGVO-Rechte notwendig sein.

Für Unternehmen empfiehlt sich daraus eine klare Dokumentationsstruktur: Sachverhalt, personenbezogene Daten, Informationen über Dritte, rechtliche Bewertungen und strategische Empfehlungen sollten möglichst voneinander getrennt werden. Dadurch lassen sich spätere Auskunftsersuchen gezielter prüfen und rechtssicher bearbeiten.

Fragen zur DSGVO-Auskunft bei Compliance-Berichten?

Unsere spezialisierten Rechtsanwälte unterstützen Sie bei Fragen zur DSGVO-Auskunft bei Compliance-Berichten und zum Umgang mit Auskunftsersuchen nach Art. 15 DSGVO. Jetzt rechtliche Beratung anfordern oder unverbindlich mit uns in Kontakt treten!