Muss der Arbeitgeber einen Compliance-Bericht herausgeben? BAG zieht Grenzen

Unternehmensinterne Untersuchungen möglicher Compliance- oder sonstiger Rechtsverstöße führen schnell zu einer schwierigen Gemengelage: Einem Beschäftigten wird Fehlverhalten vorgeworfen, Hinweisgeber und Zeugen haben Aussagen gemacht, eine Compliance-Funktion oder externe Kanzlei bewertet den Sachverhalt und am Ende entsteht ein Abschlussbericht. Spätestens wenn arbeitsrechtliche Konsequenzen im Raum stehen, stellt sich häufig die Frage, welchen Einblick die betroffene Person in diese Unterlagen verlangen kann.

Das Bundesarbeitsgericht hat hierzu in den nun veröffentlichten Gründen seines Urteils vom 16. April 2026 (8 AZR 169/25) eine wichtige Grenze gezogen: Art. 15 DSGVO vermittelt grundsätzlich keinen Anspruch auf die Kopie eines kompletten Compliance-Berichts als Dokument. Auch aus dem Einsichtsrecht in die Personalakte folgt kein Anspruch darauf, einen solchen Bericht vollständig als Kopie zu erhalten. Damit ist das Thema für Arbeitgeber allerdings nicht erledigt, denn Auskunft über personenbezogene Daten und Einsicht in personalaktenrelevante Unterlagen können weiterhin verlangt werden.

Für Unternehmen liegt die praktische Aufgabe deshalb weniger darin, Berichte möglichst „auskunftsfest“ zu machen, sondern interne Untersuchungen von Beginn an sauber zu strukturieren: Welche Informationen gehören in die Untersuchungsakte, welche Ergebnisse werden für arbeitsrechtliche Entscheidungen dokumentiert, welche rechtliche Bewertung bleibt davon getrennt und wie werden personenbezogene Daten von Beschuldigten, Hinweisgebern und Zeugen geschützt.

Worum es in dem Verfahren ging

Das Führungsverhalten einer leitenden Angestellten war nach Beschwerden zum Gegenstand einer internen Compliance-Untersuchung geworden. Eine externe Rechtsanwaltskanzlei erstellte zwei Fassungen des Abschlussberichts. Beide enthielten eine strukturierte Zusammenfassung der Untersuchungsergebnisse, Aussagen von Hinweisgebern und Zeugen sowie Bewertungen der Ermittler, eine Version enthielt jedoch zusätzlich auch rechtliche Ausführungen und Mandantenhinweise. Die Arbeitnehmerin verlangte Kopien der Berichte und stützte sich dabei insbesondere auf Art. 15 DSGVO sowie auf ihr Recht zur Einsicht in die Personalakte.

Das Landesarbeitsgericht München hatte die Herausgabe einer Kopie abgelehnt, der Arbeitnehmerin aber Einsicht in die Fassung ohne die zusätzlichen rechtlichen Ausführungen gewährt. Das BAG wies die Revision zurück, soweit weiterhin Kopien der Berichte verlangt wurden.

Art. 15 DSGVO gibt ein Recht auf Daten, nicht automatisch auf ganze Dokumente

Der Ausgangspunkt des BAG ist aus der Rechtsprechung des Europäischen Gerichtshofs bekannt: Der Auskunftsanspruch nach Art. 15 DSGVO soll es für eine betroffene Person nachvollziehbar machen, welche personenbezogenen Daten über sie verarbeitet werden und ob dies rechtmäßig geschieht, Art. 15 Abs. 3 DSGVO ergänzt dieses Recht um eine Kopie dieser personenbezogenen Daten.

Daraus entsteht allerdings kein eigenständiger Anspruch auf Einsicht in das Dokument, in dem die Daten stehen. Ein Compliance-Bericht kann zahlreiche personenbezogene Informationen über die untersuchte Person enthalten, etwa Vorwürfe, Aussagen über ihr Verhalten oder Bewertungen von Zeugen. Daneben können jedoch Inhalte stehen, die keine personenbezogenen Daten sind. Im entschiedenen Fall waren dies insbesondere die rechtliche Analyse und Mandantenhinweise der beauftragten Kanzlei.

Eine Kopie eines vollständigen Dokuments kann jedoch ausnahmsweise erforderlich sein, wenn der Zusammenhang benötigt wird, um die personenbezogenen Daten zu verstehen und die Rechte aus der DSGVO wirksam ausüben zu können. Diese Voraussetzung sah das BAG für den in Frage stehenden Compliance-Bericht als nicht erfüllt an. Die rechtliche Bewertung des Falls war nach Auffassung des Gerichts nicht notwendig, um die personenbezogenen Daten der Arbeitnehmerin zu verstehen.

Kein Freibrief, Auskunftsersuchen pauschal abzulehnen

Für Arbeitgeber ist die Entscheidung deshalb zwar grundsätzlich entlastend, sie darf aber nicht zu weit verstanden werden. Die betroffene Person kann weiterhin Auskunft über die personenbezogenen Daten verlangen, die in einem Untersuchungsbericht oder in anderen Unterlagen verarbeitet werden. Je nach Aufbau und Inhalt kann es außerdem erforderlich sein, Auszüge oder in Einzelfällen sogar ganze Dokumente zur Verfügung zu stellen, wenn nur so die Daten verständlich werden.

Hinzu kommt Art. 15 Abs. 4 DSGVO: Bei der Erfüllung des Auskunftsanspruchs sind auch die Rechte und Freiheiten anderer Personen zu berücksichtigen. Gerade bei internen Untersuchungen können deshalb die Interessen von Hinweisgebern und Zeugen, Geschäftsgeheimnisse oder anwaltliche Vertraulichkeit eine Rolle spielen. Diese Interessen führen nicht automatisch dazu, dass überhaupt keine Auskunft erteilt werden muss; häufig geht es vielmehr um eine sorgfältige Abgrenzung, Schwärzung oder eine andere geeignete Form der Auskunft.

Das Einsichtsrecht in die Personalakte bleibt eigenständig relevant

Neben der DSGVO hat das BAG auch das arbeitsrechtliche Einsichtsrecht in die Personalakte betrachtet. Nach § 83 BetrVG (beziehungsweise für leitende Angestellte nach § 26 SprAuG) können Beschäftigte in die über sie geführten Personalakten Einsicht nehmen. Nach der Rechtsprechung kommt es dabei nicht nur darauf an, wo ein Dokument gespeichert oder abgeheftet ist. Entscheidend ist vielmehr, ob es inhaltlich die persönlichen oder dienstlichen Verhältnisse des Beschäftigten betrifft und in einem inneren Zusammenhang mit dem Arbeitsverhältnis steht.

Das Einsichtsrecht umfasst grundsätzlich auch die Möglichkeit, in angemessenem Umfang auf eigene Kosten Kopien zu fertigen. Ein Anspruch, Personalunterlagen oder einen vollständigen Bericht insgesamt zu kopieren, folgt daraus nach dem BAG jedoch nicht. Für Arbeitgeber ist die Schlussfolgerung des Landesarbeitsgerichts relevant, es hatte in diesem Fall auch die Einsicht in die Fassung des Compliance-Berichts ohne die zusätzlichen rechtlichen Ausführungen als Teil der materiellen Personalakte zugelassen. Die BAG-Entscheidung sollte deshalb nicht so verstanden werden, dass Berichte außerhalb der Personalakte allein durch ihre Ablage dem Einsichtsrecht entzogen werden können.

Interne Untersuchungen sollten organisatorisch von Anfang an sauber aufgesetzt werden

Die Entscheidung zeigt besonders deutlich, dass Datenschutz, Arbeitsrecht und Compliance bei internen Untersuchungen nicht isoliert, sondern gemeinsam gedacht werden sollten. Wer erst nach Abschluss der Untersuchung überlegt, welche Unterlagen wohin gehören und wie Auskunftsrechte erfüllt werden, schafft unnötige Konflikte.

Sinnvoll ist eine Dokumentationsarchitektur, die unterschiedliche Zwecke trennt, ohne darauf zu vertrauen, dass eine bloße Überschrift oder ein anderer Speicherort rechtliche Ansprüche ausschließt. In Betracht kommen insbesondere:

➢ eine Untersuchungsakte mit Meldungen, Interviewnotizen, Beweismitteln und der Dokumentation des Ermittlungsprozesses,

➢ eine arbeitsrechtliche Ergebnis- oder Maßnahmendokumentation, die festhält, welche Feststellungen für die Personalentscheidung maßgeblich waren und welche Konsequenzen daraus gezogen wurden,

➢ eine davon getrennte rechtliche Bewertung und Beratung der Unternehmensleitung, insbesondere wenn externe oder interne Juristen rechtliche Risiken, Handlungsoptionen und Prozessstrategie bewerten.

Eine solche Trennung kann Transparenz und Zugriffsrechte besser beherrschbar machen. Sie ist aber für sich genommen kein formaler Schutzmechanismus. Enthält ein gesonderter Bericht personenbezogene Daten oder gehört er nach seinem Inhalt zur materiellen Personalakte, können entsprechende Rechte auch dann bestehen, wenn das Dokument organisatorisch an anderer Stelle abgelegt wurde.

Hinweisgeber und Zeugen brauchen ein belastbares Vertraulichkeitskonzept

Interne Untersuchungen betreffen regelmäßig nicht nur die beschuldigte Person, die Aussagen von Hinweisgebern und Zeugen enthalten ebenfalls personenbezogene Daten und können besondere Schutzinteressen auslösen. Fällt die Meldung in den Anwendungsbereich des Hinweisgeberschutzgesetzes, ist insbesondere das gesetzliche Vertraulichkeitsgebot zu beachten.

Wie dieses Vertraulichkeitsgebot in jeder Konstellation mit Einsichtsrechten in Personalakten zusammenspielt, hat das BAG in der vorliegenden Entscheidung nicht abschließend geklärt. Unternehmen sollten deshalb weder pauschal absolute Vertraulichkeit zusagen noch Namen und Aussagen unreflektiert in Dokumente übernehmen, die später für arbeitsrechtliche Entscheidungen verwendet werden. Sinnvoll sind klare Rollen, abgestufte Zugriffsrechte und eine frühzeitige Entscheidung darüber, welche Informationen für welchen Zweck tatsächlich benötigt werden.

Was Arbeitgeber aus der Entscheidung mitnehmen sollten

Für die Praxis lassen sich aus der Entscheidung einige klare Leitlinien ableiten:

• Auskunftsersuchen nach Art. 15 DSGVO sollten nicht mit dem Hinweis abgelehnt werden, dass kein Anspruch auf den Bericht als Ganzes besteht. Zunächst ist zu prüfen, welche personenbezogenen Daten tatsächlich verarbeitet werden.
• Rechtliche Analysen und Mandantenhinweise sollten von der Tatsachendokumentation klar getrennt werden, wenn sie einem anderen Zweck dienen und nur für die Unternehmensleitung oder Rechtsberatung bestimmt sind.
• Die Personalakte sollte bewusst geführt werden. Welche Unterlagen materiell dazugehören, bestimmt sich nach ihrem Inhalt und Bezug zum Arbeitsverhältnis, nicht allein nach dem Speicherort.
• Interne Untersuchungen brauchen ein Konzept für Hinweisgeber- und Zeugendaten, Zugriffsberechtigungen, Aufbewahrung und spätere Auskunftsersuchen.
• Arbeitsrechtliche Entscheidungen sollten nachvollziehbar dokumentiert werden, ohne jede interne Bewertung, Zeugenaussage oder rechtliche Strategie ungefiltert in die Personalakte zu übernehmen.
•  

Fazit: Nicht der Bericht als solcher, sondern seine Funktion und sein Inhalt sind entscheidend

Das BAG begrenzt den Anspruch auf eine vollständige Kopie von Compliance-Berichten deutlich, auch Art. 15 DSGVO eröffnet hier keinen allgemeinen Dokumentenzugriff und auch das Einsichtsrecht in die Personalakte erlaubt nicht ohne Weiteres Anspruch auf die vollständige Kopie eines Berichts. Gleichzeitig bleiben Auskunft über personenbezogene Daten und die Einsicht in personalaktenrelevante Unterlagen wichtige Rechte der Beschäftigten.

Für Arbeitgeber liegt die wichtigste Erkenntnis deshalb in der Organisation der Untersuchung selbst. Wer Tatsachenermittlung, arbeitsrechtliche Entscheidung, rechtliche Beratung und den Schutz von Hinweisgebern und Zeugen sauber voneinander trennt und dennoch die Zusammenhänge dokumentiert, kann sowohl Compliance-Untersuchungen als auch spätere Auskunfts- und Einsichtsbegehren wesentlich besser beherrschen.

Der Beitrag gibt den öffentlich bekannten Rechts- und Auslegungsstand vom 10. August 2026 wieder.

Wie wir Sie unterstützen können

Wir beraten Arbeitgeber bei internen Untersuchungen und arbeitsrechtlichen Konfliktsituationen an der Schnittstelle von Arbeitsrecht, Datenschutz und Organisation. Dazu gehören die Strukturierung von Untersuchungs- und Dokumentationsprozessen, die Einordnung von Auskunfts- und Einsichtsrechten sowie die Vorbereitung arbeitsrechtlicher Entscheidungen auf einer belastbaren Tatsachengrundlage.