BAG, Urteil vom 16.04.2026, 8 AZR 169/25
Der datenschutzrechtliche Auskunftsanspruch umfasst grundsätzlich nur die in einem Dokument enthaltenen personenbezogenen Daten, nicht die Kopie eines vollständigen Compliance-Berichts inklusive rechtlicher Bewertungen.
Gegenstand des Verfahrens war die Klage einer Führungskraft, gegen die nach Beschwerden von Mitarbeitern eine externe Compliance-Untersuchung durchgeführt worden war. Die beauftragte Anwaltskanzlei erstellte hierzu einen Abschlussbericht mit Aussagen von Hinweisgebern und Zeugen, Bewertungen des Führungsverhaltens der Klägerin, Einschätzungen zur Glaubwürdigkeit der Beteiligten sowie rechtlichen Analysen und Handlungsempfehlungen für das Unternehmen. Die Klägerin verlangte die vollständige Herausgabe dieser Berichte auf Grundlage ihres datenschutzrechtlichen Auskunftsanspruchs.
Das Bundesarbeitsgericht wies die Revision der Klägerin zurück und stellte klar, dass sich der Auskunftsanspruch nach Art. 15 DSGVO grundsätzlich auf die personenbezogenen Daten einer betroffenen Person bezieht, nicht jedoch auf das gesamte Dokument, in dem diese Daten enthalten sind. Die DSGVO vermittelt damit kein allgemeines Recht auf Einsicht oder Herausgabe von Untersuchungsberichten, Gutachten oder internen Unterlagen. Der Anspruch richtet sich vielmehr auf die Informationen über die betroffene Person, die in solchen Dokumenten verarbeitet werden.
Nach Auffassung des Gerichts können zwar auch Bewertungen, Aussagen von Zeugen oder Einschätzungen zum Verhalten einer Person personenbezogene Daten darstellen. Dies bedeutet jedoch nicht automatisch, dass deshalb der vollständige Bericht herausgegeben werden muss. Vielmehr genügt es grundsätzlich, wenn die betroffene Person eine vollständige und verständliche Kopie der sie betreffenden personenbezogenen Daten erhält. Eine Herausgabe kompletter Dokumente oder von Dokumentenauszügen kommt nur dann in Betracht, wenn dies erforderlich ist, damit die betroffene Person ihre Datenschutzrechte wirksam ausüben kann, beispielsweise weil die Daten ohne ihren sachlichen Zusammenhang nicht verständlich wären. Diese Voraussetzungen sah das Gericht im konkreten Fall jedoch nicht als gegeben an.
Für die betriebliche Praxis hat die Entscheidung erhebliche Bedeutung. Arbeitgeber können sich darauf berufen, dass Compliance-Berichte, Internal-Investigation-Berichte oder anwaltliche Untersuchungsberichte nicht allein aufgrund eines DSGVO-Auskunftsersuchens vollständig herausgegeben werden müssen. Gleichzeitig bleiben sie verpflichtet, den Betroffenen Auskunft über die zu ihrer Person verarbeiteten Daten zu erteilen. Arbeitnehmer erhalten somit weiterhin Zugang zu den personenbezogenen Informationen, die über sie gespeichert oder verarbeitet werden, können aber regelmäßig nicht verlangen, dass ihnen der gesamte Untersuchungsbericht einschließlich rechtlicher Bewertungen, interner Analysen oder strategischer Erwägungen überlassen wird.
