Das einheitliche Auskunftsrecht nach Art. 15 Abs. 1 in Verbindung mit Abs. 3 Satz 1 DSGVO bezieht sich grundsätzlich nur auf die in einem Dokument enthaltenen personenbezogenen Daten und nicht auf das gesamte Dokument.
15 Abs. 1 i.V.m. Abs. 3 DSGVO gewährt Arbeitnehmern mithin keinen Anspruch auf Überlassung einer vollständigen Kopie eines sie betreffenden Compliance-Berichts, sondern grundsätzlich nur auf eine Kopie der darin verarbeiteten personenbezogenen Daten. Eine Kopie des gesamten Dokuments kann nur verlangt werden, wenn sie erforderlich ist, um die personenbezogenen Daten verständlich zu machen und die durch die DSGVO gewährleisteten Rechte wirksam ausüben zu können.
So auch in dem aktuell vom Bundesarbeitsgericht entschiedenen Fall: Die in leitender Funktion beschäftigte Klägerin verlangte von ihrer Arbeitgeberin Kopien zweier Compliance-Abschlussberichte, die nach Beschwerden mehrerer Hinweisgeber über ihr Führungsverhalten von einer beauftragten Rechtsanwaltskanzlei erstellt worden waren. Die Berichte enthielten neben den gegen die Klägerin erhobenen Vorwürfen und Aussagen namentlich benannter Hinweisgeber und Zeugen auch Bewertungen der Kanzlei; eine Fassung umfasste zusätzlich rechtliche Ausführungen und Mandantenhinweise. Die Klägerin stützte ihr Begehren insbesondere auf Art. 15 Abs. 1 und Abs. 3 DSGVO, während die Arbeitgeberin ein Recht auf Kopien der vollständigen Dokumente verneinte und sich zudem auf Geschäftsgeheimnisse sowie die Rechte der Hinweisgeber und Zeugen berief.
Das Arbeitsgericht gab der Klage hinsichtlich eines Berichts statt, das Landesarbeitsgericht München wies die Ansprüche auf Überlassung von Kopien dagegen ab und sprach der Klägerin lediglich ein Einsichtsrecht in einen der Berichte zu. Die hiergegen gerichtete Revision der Klägerin hat das Bundesarbeitsgericht zurückgewiesen, da das Landesarbeitsgericht München im Ergebnis zutreffend entschieden habe, dass die Klägerin keinen Anspruch auf Herausgabe einer Kopie der Compliance-Abschlussberichte habe:
Das Landesarbeitsgericht ist zutreffend davon ausgegangen, dass der Klägerin kein Anspruch auf Zurverfügungstellung einer Kopie nach Art. 15 Abs. 1 in Verbindung mit Abs. 3 DSGVO hinsichtlich des gesamten Compliance-Abschlussberichts in der Fassung vom 31.01.2024, dh. einschließlich der rechtlichen Ausführungen und Mandantenhinweise, zusteht.
Nach Art. 15 Abs. 1 Halbs. 1 DSGVO hat die betroffene Person grundsätzlich das Recht von ihrem Arbeitgeber als Verantwortlichem (Art. 4 Nr. 7 DSGVO) eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Sofern dies der Fall ist, steht der betroffenen Person nach Art. 15 Abs. 1 Halbs. 2 DSGVO ein Recht auf Auskunft über diese personenbezogenen Daten und die in Art. 15 Abs. 1 Buchst. a bis h DSGVO näher bezeichneten Informationen zu. Art. 15 Abs. 3 Satz 1 DSGVO gewährt der betroffenen Person zudem einen Anspruch auf Zurverfügungstellung einer Kopie der personenbezogenen Daten. Art. 15 Abs. 1 und 3 DSGVO gehören zu den Bestimmungen, die das Auskunftsrecht sowie die Transparenz über die Art und Weise der Verarbeitung der personenbezogenen Daten gegenüber der betroffenen Person gewährleisten sollen1. Das in Art. 15 DSGVO vorgesehene Auskunftsrecht muss der betroffenen Person nach der Rechtsprechung des Gerichtshofs der Europäischen Union ermöglichen, zu überprüfen, ob sie betreffende Daten richtig sind und ob sie in zulässiger Weise verarbeitet werden. Dieses Auskunftsrecht ist erforderlich, um die betroffene Person in die Lage zu versetzen, gegebenenfalls ihr Recht auf Berichtigung, ihr Recht auf Löschung („Recht auf Vergessenwerden“) und ihr Recht auf Einschränkung der Verarbeitung, die ihr nach den Art. 16, 17 bzw. 18 DSGVO zukommen, sowie ihr in Art. 21 DSGVO vorgesehenes Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten oder ihre in den Art. 79 und 82 DSGVO vorgesehenen Rechte auf Einlegung eines gerichtlichen Rechtsbehelfs bzw. auf Schadenersatz auszuüben2.
15 Abs. 3 Satz 1 DSGVO stellt kein anderes Recht dar, als das in Art. 15 Abs. 1 DSGVO vorgesehene und gewährt keinen eigenständigen Anspruch gegen den Verantwortlichen auf Zurverfügungstellung des Dokuments als solches, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen3. Damit regelt Art. 15 Abs. 3 DSGVO eine Modalität der Anspruchsausübung und ist untrennbar mit Art. 15 Abs. 1 DSGVO verbunden. Die Kopie muss alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind4. Dies bedeutet, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten überlassen wird. Dieses Recht setzt das Recht voraus, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die unter anderem diese Daten enthalten, zu erlangen, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind5. Dabei hat der Gerichtshof der Europäischen Union im Hinblick auf Art. 12 Abs. 1 DSGVO in Verbindung mit dem 58. Erwägungsgrund der DSGVO ausgeführt, dass sich die Reproduktion von Auszügen aus Dokumenten oder gar von ganzen Dokumenten insbesondere zur Gewährleistung der leichten Verständlichkeit der bereitgestellten Informationen als unerlässlich erweisen kann, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten6.
Ausgehend hiervon ist das Landesarbeitsgericht im Ergebnis zutreffend davon ausgegangen, dass der Compliance-Abschlussbericht in der Fassung vom 31.01.2024 nicht ausschließlich personenbezogene Daten enthält. Das Landesarbeitsgericht hat auch zutreffend angenommen, die Klägerin könne eine Kopie des gesamten Berichts nicht unter dem Gesichtspunkt verlangen, dass eine Kontextualisierung der personenbezogenen Daten erforderlich wäre, um ihre Verständlichkeit zu gewährleisten.
Der Compliance-Abschlussbericht in der Fassung vom 31.01.2024 enthält zwar personenbezogene Daten. Nach der in Art. 4 Nr. 1 DSGVO enthaltenen Legaldefinition sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person – die betroffene Person – beziehen. Der Begriff der personenbezogenen Daten ist vor dem Hintergrund der Formulierung „alle Informationen“ weit zu verstehen7. Er ist nicht auf sensible oder private Informationen beschränkt, sondern umfasst potentiell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt8. Der Compliance-Abschlussbericht in der Fassung vom 31.01.2024 befasst sich mit dem Führungsverhalten der Klägerin und enthält aus diesem Grund zwangsläufig Informationen „über“ die Person der Klägerin.
Der Compliance-Abschlussbericht in der Fassung vom 31.01.2024 enthält aber nicht ausschließlich personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO. Die allein in der Fassung vom 31.01.2024 enthaltenen rechtlichen Ausführungen stellen jedenfalls insoweit keine personenbezogenen Daten dar, als sie eine rechtliche Analyse enthalten. Bei einer rechtlichen Analyse handelt es sich nicht um eine Information über die betroffene Person, sondern höchstens, soweit sie sich nicht ohnehin auf eine rein abstrakte Rechtsauslegung beschränkt, um eine Information darüber, wie der Verantwortliche die rechtliche Situation einschätzt9. Die Rechtslage ist insoweit durch den Gerichtshof der Europäischen Union unabhängig davon hinreichend geklärt, dass die Entscheidung zum Begriff der personenbezogenen Daten bezogen auf Art. 2 Buchst. a der Richtlinie 95/46/EG ergangen ist10. Diese Vorgängervorschrift ist mit Art. 4 Nr. 1 DSGVO vergleichbar11.
Anhaltspunkte dafür, dass die Klägerin eine Kopie des Abschlussberichts in der Fassung vom 31.01.2024 unter Einschluss der rechtlichen Ausführungen und Mandantenhinweise benötigt, um die Verständlichkeit der im Abschlussbericht enthaltenen personenbezogenen Daten zu gewährleisten, sind nicht ersichtlich. Es handelt sich der Sache nach um unterschiedliche Bestandteile des Berichts, auch wenn sie in einem inhaltlichen Zusammenhang stehen12. Die Klägerin benötigt auch keine Kenntnis der rechtlichen Ausführungen und Mandantenhinweise, um die ihr durch die Datenschutz-Grundverordnung verliehenen Rechte auf Berichtigung, Löschung und Einschränkung der Verarbeitung nach den Art. 16, 17 bzw. 18 DSGVO bezogen auf ihre personenbezogenen Daten ausüben zu können. Soweit sie sich gegen eine ihrer Ansicht nach unzutreffende Rechtsauffassung der Beklagten bzw. ihrer Berater zu Wehr setzen will, kann sie ggf. von ihren prozessualen Möglichkeiten – zB im Rahmen eines Kündigungsschutzprozesses – Gebrauch machen. Deshalb ergibt sich aus dem Erfordernis, eine vollständige Auskunft über personenbezogene Daten zu erteilen, kein Anspruch der Klägerin darauf, dass – wie von ihr gefordert – der Abschlussbericht im Gesamten, wenn auch ggf. teilgeschwärzt, als Kopie überlassen wird13.
Ein Anspruch auf Herausgabe einer Kopie des Compliance-Abschlussberichts in der Fassung vom 31.01.2024 ergibt sich auch weder aus § 26 Abs. 2 SprAuG noch aus § 83 Abs. 1 BetrVG. Es kann daher dahinstehen, ob die Klägerin – entsprechend der Auffassung der Parteien – eine leitende Angestellte im Sinne von § 5 Abs. 3 BetrVG ist bzw. war.
Arbeitnehmer haben nach § 26 Abs. 2 SprAuG sowie dem wort- und inhaltsgleichen § 83 Abs. 1 BetrVG14 das Recht, in die über sie geführten Personalakten Einsicht zu nehmen. Nach dem materiellen Begriffsverständnis sind Personalakten eine Sammlung von Urkunden und Vorgängen, die die persönlichen und dienstlichen Verhältnisse des Bediensteten betreffen und in einem inneren Zusammenhang mit dem Dienstverhältnis stehen. Auf eine äußere Zuordnung kommt es dabei nicht an15.
Das Einsichtsrecht umfasst das Recht, auf eigene Kosten Kopien aus der Personalakte zu fertigen16. Dieser Anspruch ist jedoch begrenzt auf einen angemessenen Umfang. Dieser Umfang ist nicht mehr gewahrt, wenn der Arbeitnehmer die Personalunterlagen als Ganzes kopieren möchte17. Hiervon ausgehend ergibt sich aus § 26 Abs. 2 SprAuG bzw. § 83 Abs. 1 BetrVG kein Anspruch der Klägerin, den Abschlussbericht in der Fassung vom 31.01.2024 vollständig in Kopie zur Verfügung gestellt zu bekommen. Unabhängig davon erscheint es zweifelhaft, ob die in der Fassung vom 31.01.2024 enthaltenen rechtlichen Ausführungen und Mandantenhinweise als Teil der materiellen Personalakte angesehen werden können.
Bedeutung für die Praxis
Die Entscheidung setzt dem datenschutzrechtlichen Auskunftsanspruch bei internen Compliance-Untersuchungen wichtige Grenzen. Art. 15 DSGVO eröffnet Beschäftigten keinen allgemeinen Anspruch auf Herausgabe vollständiger Untersuchungsakten: Geschuldet ist eine originalgetreue und verständliche Reproduktion der verarbeiteten personenbezogenen Daten; das vollständige Dokument muss nur überlassen werden, wenn dessen Kontext für das Verständnis dieser Daten und die wirksame Wahrnehmung der Betroffenenrechte unerlässlich ist. Insbesondere rechtliche Analysen und Mandantenhinweise werden nicht schon deshalb zu personenbezogenen Daten, weil sie Bestandteil eines Berichts über den Beschäftigten sind. Für Arbeitgeber bedeutet dies, dass Compliance-Berichte nicht allein aufgrund eines DSGVO-Auskunftsverlangens vollständig herausgegeben werden müssen; zugleich bleibt aber sicherzustellen, dass sämtliche personenbezogenen Daten vollständig und in verständlicher Form zugänglich gemacht werden.
Bundesarbeitsgericht, Urteil vom 16. April 2026 – 8 AZR 169/26
- EuGH 26.10.2023 – C-307/22 – [FT] Rn. 49[↩]
- EuGH 27.02.2025 – C-203/22 – [Dun & Bradstreet Austria] Rn. 53 f.[↩]
- EuGH 26.10.2023 – C-307/22 – [FT] Rn. 72; 4.05.2023 – C-487/21 – [Österreichische Datenschutzbehörde] Rn. 32, 39[↩]
- EuGH 26.10.2023 – C-307/22 – [FT] aaO; 4.05.2023 – C-487/21 – [Österreichische Datenschutzbehörde] aaO[↩]
- EuGH 26.10.2023 – C-307/22 – [FT] Rn. 75; 4.05.2023 – C-487/21 – [Österreichische Datenschutzbehörde] Rn. 45[↩]
- EuGH 26.10.2023 – C-307/22 – [FT] Rn. 74; 4.05.2023 – C-487/21 – [Österreichische Datenschutzbehörde] Rn. 41; vgl. auch BGH 5.03.2024 – VI ZR 330/21, Rn. 18[↩]
- vgl. EuGH 22.06.2023 – C-579/21 – [Pankki S] Rn. 42; 4.05.2023 – C-487/21 – [Österreichische Datenschutzbehörde] Rn. 23[↩]
- EuGH 22.06.2023 – C-579/21 – [Pankki S] aaO; 4.05.2023 – C-487/21 – [Österreichische Datenschutzbehörde] aaO; 20.12.2017 – C-434/16 – [Nowak] Rn. 34[↩]
- vgl. EuGH 17.07.2014 – C-141/12 unter anderem – [YS unter anderem] Rn. 40[↩]
- aA Tegel/Lembke NZA-RR 2026, 121, 125[↩]
- vgl. BGH 15.06.2021 – VI ZR 576/19, Rn. 29[↩]
- aA Zöll/Kielkowski jurisPR-Compl 1/2026 Anm. 3[↩]
- vgl. BGH 16.04.2024 – VI ZR 223/21, Rn. 18; vgl. zur Schwärzung unten Rn. 32[↩]
- vgl. BAG 16.11.2010 – 9 AZR 573/09, Rn. 21, BAGE 136, 156[↩]
- BAG 17.10.2024 – 8 AZR 42/24, Rn. 28 mwN[↩]
- ErfK/Kania 26. Aufl. BetrVG § 83 Rn. 4 mwN[↩]
- GK-BetrVG/Franzen 13. Aufl. BetrVG § 83 Rn. 24 f.; Richardi BetrVG/Thüsing 18. Aufl. BetrVG § 83 Rn. 17; HaKo-BetrVG/Boemke 7. Aufl. BetrVG § 83 Rn.19[↩]
