Rechtsanwalt & Spezialist für Handels- und Gesellschaftsrecht
T (+49) 040 / 7344 086-0
Rechtsanwältin & Expertin für IT-Recht, Vertragsrecht und Datenschutz
T (+49) 040 / 7344 086-0
Fachanwalt für Urheber- und Medienrecht und Spezialist für Arbeitsrecht, Zertifizierter Datenschutzbeauftragter (TÜV)
T (+49) 040 / 7344 086-0
| Arbeitsrecht, Compliance, Datenschutzrecht
Blog News
Ein Auskunftsantrag nach Art. 15 DSGVO führt nicht automatisch dazu, dass ein Unternehmen einen vollständigen internen Compliance-Bericht herausgeben muss. Das Bundesarbeitsgericht (BAG) hat mit Urteil vom 16. April 2026 (8 AZR 169/25) die Grenze zwischen einer Kopie personenbezogener Daten und einer Kopie des gesamten Dokuments konkretisiert. Für Arbeitgeber und Compliance-Verantwortliche zeigt die Entscheidung, wie Auskunft, Vertraulichkeit und Rechte Dritter in internen Untersuchungen zusammenzuführen sind.
Der Fall betraf eine leitende Mitarbeiterin, deren Führungsverhalten intern untersucht worden war. Eine beauftragte Kanzlei hatte Abschlussberichte erstellt. Diese enthielten Aussagen und Namen von Hinweisgebern und Zeugen, Wertungen zur Glaubhaftigkeit sowie in einer Fassung zusätzlich rechtliche Ausführungen und Mandantenhinweise.
Die Klägerin verlangte vollständige Kopien der Berichte. Das BAG wies die Revision zurück. Sein Leitsatz lautet, dass sich das einheitliche Auskunftsrecht aus Art. 15 Abs. 1 in Verbindung mit Abs. 3 Satz 1 DSGVO grundsätzlich nur auf die in einem Dokument enthaltenen personenbezogenen Daten und nicht auf das gesamte Dokument bezieht.
Rechtliche Analysen sind nach Auffassung des BAG jedenfalls insoweit keine personenbezogenen Daten, als sie die rechtliche Situation bewerten. Sie informieren dann über die Einschätzung des Verantwortlichen, nicht über die betroffene Person. Im entschiedenen Fall benötigte die Klägerin die rechtlichen Ausführungen und Mandantenhinweise auch nicht, um ihre personenbezogenen Daten zu verstehen oder ihre Rechte auf Berichtigung, Löschung oder Einschränkung auszuüben.
Das Urteil ist kein Freibrief, Auskunftsanträge mit einer Zusammenfassung zu erledigen. Art. 15 DSGVO verlangt eine vollständige, originalgetreue und verständliche Reproduktion der verarbeiteten personenbezogenen Daten. Nach der vom BAG herangezogenen EuGH-Rechtsprechung können deshalb Auszüge aus Dokumenten oder sogar ganze Dokumente erforderlich sein, wenn nur dadurch die Daten verständlich werden und die betroffene Person ihre Datenschutzrechte wirksam ausüben kann.
Ob eine solche Kontextualisierung unerlässlich ist, muss das Unternehmen im Einzelfall prüfen. Ebenso sind nach Art. 15 Abs. 4 DSGVO die Rechte und Freiheiten anderer zu berücksichtigen. Bei Compliance-Untersuchungen können dazu insbesondere personenbezogene Daten von Hinweisgebern und Zeugen sowie Geschäftsgeheimnisse gehören. Das rechtfertigt keine schematische Totalverweigerung, sondern verlangt eine nachvollziehbare Abwägung und gegebenenfalls Schwärzungen oder strukturierte Auszüge.
Unternehmen sollten Compliance-Berichte so strukturieren, dass Tatsachenermittlung, personenbezogene Daten, Beweiswürdigung, rechtliche Analyse und Mandantenhinweise unterscheidbar bleiben. Eine solche Trennung erleichtert die spätere Entscheidung, welche Daten vollständig herauszugeben sind und welche Passagen nicht vom datenschutzrechtlichen Kopierecht erfasst werden.
Das BAG hat daneben bestätigt, dass auch Einsichtsrechte in die Personalakte nicht ohne Weiteres einen Anspruch auf eine vollständige Kopie sämtlicher Unterlagen begründen. Welche arbeitsrechtlichen Einsichts- oder Kopierrechte bestehen, bleibt dennoch anhand der konkreten Unterlagen und der Stellung der betroffenen Person gesondert zu prüfen.
Erstens sollten Unternehmen Berichtsvorlagen und Untersuchungsaufträge datenschutzfreundlich gestalten. Rechtliche Bewertung und Tatsachenfeststellung sollten getrennt erkennbar sein. Zweitens empfiehlt sich ein abgestimmter Prüfprozess zwischen Datenschutz, Compliance, Personalabteilung und Rechtsberatung. Drittens sollten Gründe für Schwärzungen oder die Ablehnung einer Vollkopie konkret festgehalten werden. Viertens ist zu prüfen, ob ein Datenexport ohne Dokumentkontext tatsächlich verständlich ist.
Das BAG schafft wichtige Orientierung: Art. 15 DSGVO ist grundsätzlich ein Recht auf Kopie personenbezogener Daten, nicht auf pauschale Herausgabe jedes Dokuments, in dem diese Daten stehen. Unternehmen dürfen daraus aber keine generelle Verweigerungspraxis ableiten. Entscheidend bleiben Vollständigkeit, Verständlichkeit, Erforderlichkeit des Kontexts und der Schutz der Rechte anderer. Dieser Beitrag bietet eine allgemeine Einordnung und ersetzt keine rechtliche Beratung im Einzelfall.
SBS LEGAL berät Unternehmen im Datenschutzrecht sowie bei DSGVO-Auskunftsansprüchen und internen Compliance-Untersuchungen. Wir unterstützen dabei, personenbezogene Daten, Vertraulichkeit und betriebliche Abläufe rechtssicher zusammenzuführen.
Von der Prüfung eines Auskunftsantrags über Schwärzungskonzepte bis zur Strukturierung interner Untersuchungsberichte begleiten wir Unternehmen mit Blick auf Datenschutz, Arbeitsrecht und Compliance. Ziel ist eine belastbare, nachvollziehbare Lösung, die Betroffenenrechte wahrt und zugleich berechtigte Geheimhaltungsinteressen berücksichtigt.