Interne Untersuchungen sind für Unternehmen längst kein Randthema mehr. Gerade in mittelständischen Unternehmen, Unternehmensgruppen, Pflegeeinrichtungen, Finanzdienstleistern oder spezialisierten Industrieunternehmen werden Hinweise zu Führungsverhalten, Compliance-Verstößen oder Konflikten im Team häufig über Ombudsstellen, Hinweisgebersysteme oder externe Kanzleien aufgearbeitet. Dabei stellt sich in der Praxis regelmäßig die Frage, ob betroffene Beschäftigte auf Grundlage der Datenschutz-Grundverordnung die vollständige Herausgabe solcher Berichte verlangen können. Das Bundesarbeitsgericht hat mit seiner Entscheidung vom 16.04.2026, 8 AZR 169/25, hierzu eine für Arbeitgeber wie auch für beratende Berufe sehr wichtige Klarstellung vorgenommen.
Compliance-Bericht, Auskunftsanspruch und Datenschutz im Arbeitsverhältnis
Dem Verfahren lag eine Compliance-Untersuchung wegen behaupteten Führungsfehlverhaltens einer leitenden Mitarbeiterin zugrunde. Nach Beschwerden mehrerer Hinweisgeber ließ die Arbeitgeberin die Vorwürfe durch eine externe Rechtsanwaltskanzlei untersuchen. Es entstanden zwei Fassungen eines Abschlussberichts. Beide enthielten eine strukturierte Zusammenfassung der Untersuchungsergebnisse, die Benennung von Hinweisgebern und Zeugen, inhaltliche Wiedergaben von Gesprächen, teils wörtliche Zitate sowie Bewertungen der beauftragten Kanzlei. Die Fassung vom 31. Januar 2024 enthielt zusätzlich rechtliche Ausführungen und Mandantenhinweise.
Die betroffene Mitarbeiterin verlangte die Überlassung von Kopien dieser Berichte und berief sich auf Art. 15 Abs. 1 und Abs. 3 DSGVO. Dieses Auskunftsrecht soll einer betroffenen Person ermöglichen zu prüfen, ob personenbezogene Daten richtig sind und rechtmäßig verarbeitet werden. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Im Arbeitsverhältnis kann das sehr weit reichen und auch Bewertungen, Einschätzungen und Aussagen Dritter über eine Führungskraft oder einen Beschäftigten umfassen.
Für Unternehmen ist die Ausgangslage heikel. Einerseits müssen sie datenschutzrechtliche Rechte ernst nehmen. Andererseits enthalten Compliance-Berichte regelmäßig sensible Inhalte, etwa Aussagen von Hinweisgebern, Einschätzungen zur Glaubhaftigkeit von Zeugen, Darstellungen interner Abläufe oder anwaltliche Bewertungen zur rechtlichen Risikolage. Gerade für kleine Unternehmen und mittelständische Betriebe, die auf Vertraulichkeit in internen Untersuchungen angewiesen sind, ist daher entscheidend, wie weit der Anspruch auf eine Kopie tatsächlich reicht.
DSGVO-Auskunft bei internen Untersuchungen: Was der Kopieanspruch wirklich umfasst
Das Bundesarbeitsgericht hat die Revision der Klägerin zurückgewiesen und damit im Ergebnis bestätigt, dass kein Anspruch auf Herausgabe einer Kopie der vollständigen Compliance-Abschlussberichte bestand. Der zentrale rechtliche Gedanke der Entscheidung lautet, dass Art. 15 Abs. 3 DSGVO keinen eigenständigen Anspruch auf ein Dokument als solches gewährt. Der Anspruch richtet sich vielmehr auf eine Kopie der personenbezogenen Daten, die in einem Dokument enthalten sind.
Damit folgt das Gericht der bereits durch den Gerichtshof der Europäischen Union geprägten Linie. Die Kopie muss die personenbezogenen Daten vollständig und verständlich wiedergeben. Ein Anspruch auf Auszüge oder sogar auf ganze Dokumente kommt aber nur dann in Betracht, wenn dies unerlässlich ist, damit die betroffene Person ihre Datenschutzrechte wirksam ausüben kann. Unerlässlich bedeutet in diesem Zusammenhang mehr als bloß nützlich oder bequem. Es muss ohne die konkrete Dokumentenform an der nötigen Verständlichkeit oder Nachvollziehbarkeit der verarbeiteten Daten fehlen.
Nach Auffassung des Bundesarbeitsgerichts enthielt der Bericht zwar zwangsläufig personenbezogene Daten über die Klägerin, weil er sich mit ihrem Führungsverhalten und den hierzu erhobenen Vorwürfen befasste. Das reichte jedoch nicht aus, um die Überlassung des gesamten Berichts zu rechtfertigen. Insbesondere die rechtlichen Ausführungen und Mandantenhinweise in der Fassung vom 31. Januar 2024 seien keine personenbezogenen Daten der Klägerin. Eine rechtliche Analyse beschreibe nicht die betroffene Person, sondern die Einschätzung des Verantwortlichen oder seiner Berater zur Rechtslage.
Ebenso wichtig ist die Aussage des Gerichts zur Kontextualisierung. Zwar kann die Überlassung eines ganzen Dokuments ausnahmsweise erforderlich sein, wenn nur so die enthaltenen Daten verständlich werden. Im konkreten Fall sah das Bundesarbeitsgericht diese Voraussetzung aber nicht als erfüllt an. Die Klägerin benötige die rechtlichen Bewertungen und Mandantenhinweise nicht, um etwaige Rechte auf Berichtigung, Löschung oder Einschränkung der Verarbeitung ihrer personenbezogenen Daten auszuüben. Wer sich gegen eine aus eigener Sicht unzutreffende arbeitsrechtliche Bewertung wehren möchte, muss dafür die prozessualen Wege des Arbeitsrechts nutzen und kann daraus keinen umfassenden datenschutzrechtlichen Dokumentenzugang ableiten.
Bemerkenswert ist zudem, dass das Gericht auch Ansprüche aus dem Personalaktenrecht nicht weiter ausgedehnt hat. Das Einsichtsrecht in Personalakten nach § 26 Abs. 2 SprAuG beziehungsweise nach den vergleichbaren Grundsätzen des Betriebsverfassungsrechts berechtigt nicht dazu, Personalunterlagen insgesamt vollständig kopieren zu lassen. Selbst wenn ein Bericht zur materiellen Personalakte gehören sollte, folgt daraus also noch kein Anspruch auf Überlassung des gesamten Dokuments als Kopie.
Verfahrensrechtlich zeigt die Entscheidung außerdem, dass Auskunftsbegehren präzise gefasst werden müssen. Die spätere Einbeziehung eines Zwischenberichts in der Revisionsinstanz scheiterte als unzulässige Klageerweiterung. Auch die auf eine weitere Berichtsfassung gerichtete Erweiterung in der Berufungsinstanz misslang, weil die dafür nötige Anschlussberufung nicht fristgerecht eingelegt worden war. Für die Praxis bedeutet das, dass sowohl Arbeitnehmerseite als auch Unternehmensseite den Streitgegenstand in datenschutzrechtlichen Verfahren sehr sauber bestimmen müssen.
Praxisfolgen für Unternehmen, Personalabteilungen und Compliance-Strukturen
Für Unternehmen aller Größen ist die Entscheidung ein wichtiges Signal. Wer interne Untersuchungen professionell dokumentiert, muss nicht automatisch befürchten, komplette Berichte an betroffene Beschäftigte herausgeben zu müssen. Das stärkt die Funktionsfähigkeit von Compliance-Systemen, Hinweisgeberschutz und interner Sachverhaltsaufklärung. Gerade in Pflegeeinrichtungen, Krankenhäusern, Banken, Fintechs, E Commerce Unternehmen oder technologiegetriebenen Mittelständlern hängt die Wirksamkeit interner Untersuchungen oft davon ab, dass Aussagen von Hinweisgebern und rechtliche Bewertungen in einem geschützten Rahmen erfolgen können.
Gleichzeitig entbindet die Entscheidung Arbeitgeber nicht von datenschutzrechtlichen Pflichten. Personenbezogene Daten aus einem Bericht können weiterhin auskunftspflichtig sein. Unternehmen sollten deshalb organisatorisch trennen zwischen Tatsachenfeststellungen, personenbezogenen Aussagen über Betroffene und rechtlichen Bewertungen oder strategischen Hinweisen. Je klarer Berichte strukturiert sind, desto leichter lässt sich im Auskunftsfall beantworten, welche Inhalte herauszugeben sind und welche nicht.
Für Personalabteilungen und Compliance-Verantwortliche empfiehlt sich eine vorausschauende Dokumentationspraxis. Berichte sollten erkennbar zwischen Tatsachen, Zeugenaussagen, zusammenfassenden Bewertungen und anwaltlicher Analyse unterscheiden. Das schafft nicht nur bessere Entscheidungsgrundlagen für die Unternehmensleitung, sondern reduziert auch das Risiko, in einem späteren Auskunftsverfahren über Reichweite und Abgrenzung streiten zu müssen.
Auch Steuerberatende und Finanzinstitutionen sollten die Entscheidung beachten. Sie betreuen häufig Mandanten mit sensiblen Personalprozessen, Restrukturierungen oder regulatorischen Pflichten. In Due Diligence Prozessen, bei Compliance-Prüfungen oder bei Digitalisierungsprojekten im Personalwesen ist die Frage der Datenklassifikation zentral. Wer Datenflüsse, Zugriffsrechte und Dokumentenarten sauber abbildet, kann Auskunftsansprüche effizienter erfüllen und gleichzeitig Geschäftsgeheimnisse sowie interne rechtliche Bewertungen besser schützen.
Für kleine Unternehmen ist besonders relevant, dass Datenschutz und Compliance nicht nur ein Thema großer Konzerne sind. Schon wenige Konfliktfälle im Team können externe Untersuchungen erforderlich machen. Dann entscheidet die Qualität der internen Prozesse darüber, ob ein Auskunftsersuchen kontrolliert bearbeitet werden kann oder ob erheblicher Zeitaufwand, Rechtsunsicherheit und operative Störungen entstehen.
DSGVO und Compliance-Berichte: Was jetzt zählt
Die Entscheidung des Bundesarbeitsgerichts vom 16.04.2026, 8 AZR 169/25, zieht eine klare Grenze zwischen dem datenschutzrechtlichen Anspruch auf Zugang zu personenbezogenen Daten und einem weitergehenden Anspruch auf Herausgabe vollständiger interner Untersuchungsberichte. Für Arbeitgeber ist das eine wichtige Bestätigung, dass die Datenschutz-Grundverordnung kein allgemeines Instrument zur Offenlegung interner Rechtsanalysen, Mandantenhinweise oder vollständiger Compliance-Dokumentationen ist. Zugleich bleibt es dabei, dass personenbezogene Daten aus solchen Berichten transparent, vollständig und verständlich zugänglich gemacht werden müssen, soweit dies zur Wahrnehmung der Betroffenenrechte erforderlich ist.
Entscheidend ist nun die praktische Umsetzung im Unternehmen. Wer interne Untersuchungen, Personalakten, digitale Dokumentation und Auskunftsprozesse sauber strukturiert, reduziert Konflikte und Bearbeitungskosten erheblich. Unsere Kanzlei begleitet kleine und mittelständische Unternehmen dabei mit besonderem Fokus auf Prozessoptimierung in der Buchhaltung und Digitalisierung, damit rechtliche Anforderungen effizient umgesetzt und spürbare Kostenersparnisse im laufenden Betrieb erreicht werden.
Gerichtsentscheidung lesen
