Das Bundesarbeitsgericht (BAG) urteilte kürzlich zu einer sehr praxisrelevanten Fragestellung: Kann über ein Auskunftsersuchen gemäß Art. 15 Abs. 1 und Abs. 3 DSGVO die Herausgabe eines Compliance-Berichts oder des Abschlussberichts einer Hinweisgeberstelle verlangt werden, dessen Gegenstand man ist?
Das BAG antwortete sehr deutlich: Nein. Im Leitsatz zum Urteil vom 16.04.2026 (Az.: 8 AZR 169/25) heißt es:
„Das einheitliche Auskunftsrecht nach Art. 15 Abs. 1 iVm. Abs. 3 Satz 1 DSGVO [...] bezieht sich grundsätzlich nur auf die in einem Dokument enthaltenen personenbezogenen Daten und nicht auf das gesamte Dokument.“
Wie ist das Urteil einzuordnen?
Das BAG folgte in seinem Urteil der bisherigen Entscheidungslinie des Europäischen Gerichtshofs (EuGH): Das Recht auf Kopie gemäß Art. 15 Abs. 3 DSGVO enthält keinen pauschalen Anspruch auf Übersendung aller Unterlagen und Dokumente, in denen personenbezogene Daten von einem enthalten sind. Das Wort „Kopie“ ist weniger im üblichen deutschen Wortsinn zu verstehen, dass ein kompletter Abzug und eine zweite Ausfertigung von einem Dokument erstellt werden muss. Auskunft und Kopie gemäß Art. 15 Abs. 3 DSGVO kann nur von den eigenen personenbezogenen Daten, die in den Dokumenten enthalten sind (Art. 2 Abs. 1 DSGVO), verlangt werden, z. B. Name oder Telefonnummer. Enthält ein Dokument Daten, die sich auf die eigene Person beziehen, wie eine Leistungsbeurteil des Arbeitgebers, kann das Dokument auch als Ganzes Bestandteil des Auskunftsrechtes sein.
Bezüglich anderer Daten und Informationen, wie berufliche Sachverhalte in E-Mails, Geschäftsgeheimnisse oder rechtliche Einschätzungen in einem Dokument, auch wenn in diesem der eigene Name oder andere Daten von einem stehen sollten, besteht dagegen kein Herausgabeanspruch. Das Auskunftsrecht und das Recht auf Kopie sind sehr beschränkt auf die eigenen personenbezogenen Daten zu verstehen.
Zweck des Auskunftsrechts
Die rechtliche Begründung liegt in dem gesetzlichen Zweck des Auskunftsrechtes. Dieses wurde geschaffen, damit der Betroffene (derjenige, dessen Daten verarbeitet werden) überprüfen kann, ob die durch den Verantwortlichen verarbeiteten Daten richtig sind und in zulässiger Weise verarbeitet werden. Der Betroffene soll in die Lage versetzt werden, entscheiden zu können, ob er weitere Betroffenenrechte wie Löschung oder Berichtigung ausüben möchte (Art. 16 ff. DSGVO).
Auskunft nur von personenenbezogenen Daten
Daneben stellen nach dem EuGH rechtliche Erwägungen und Bewertungen keine personenbezogenen Daten über eine Person gemäß Art. 2 Abs. 1 DSGVO dar. Sie sind eine Einschätzung der Rechtslage an sich, auch wenn die Bewertung sich allgemein auf den Antragsteller bezieht oder mit diesem im Kontext steht. Das Auskunftsrecht bezieht sich dagegen nur auf personenbezogene Daten. Das Gleiche gilt bspw. auch bei einer Beschreibung der ergriffenen Untersuchungsmaßnahmen (§ 17 Hinweisgeberschutzgesetz (HinSchG)).
Dies gilt auch, wenn der Antragsteller des Auskunftsersuchens selbst Gegenstand eines Berichts ist, z. B. wenn aufgrund eines Verdachts, dass der Antragsteller eine Pflichtverletzung begangen hat, eine Hinweisgeberstelle nach dem HinSchG eine Untersuchung einleitete.
Im Fall des BAG lagen auch keine Ausnahmen von den oben genannten Grundsätzen vor. Ist die Preisgabe weiterer Informationen notwendig, um den Kontext zu verstehen, in dem die eigenen personenbezogenen Daten verarbeitet werden, kann auch nach Art. 15 Abs. 3 DSGVO das Recht auf Herausgabe des gesamten Dokumentes oder der daraus notwendigen Teile bestehen. Im Fall eines Compliance-Berichts oder Berichts einer Hinweisgeberstelle kann dies verneint werden, wenn der Bericht klar nach Sachverhalt und Rechtsausführungen gegliedert ist.
Einen weiteren wichtigen Punkt hatte die Klägerin bei ihren Klageanträgen berücksichtigt: Der Antrag war darauf gerichtet, jedenfalls eine geschwärzte Kopie des Compliance-Berichts zu erhalten. Hinsichtlich der personenbezogenen Daten von Dritten, wie Zeugen und alle sonst am Verfahren beteiligten Personen (auch der Prüfer), besteht kein Auskunftsrecht (Art. 15 Abs. 4 DSGVO). Im Anwendungsbereich des HinSchG ergibt sich dies unmittelbar aus dem Vertraulichkeitsgebot in § 8 HinSchG. Dieses stellt sicher, dass die Identität aller hinweisgebenden Personen und sonst in der Meldung genannten Personen umfassend geschützt wird. Die Identitäten dürfen nur einem gesetzlich sehr beschränkten Personenkreis mitgeteilt werden (§ 8 Abs. 1 S. 2 HinSchG).
Fazit
Das BAG urteilte entlang den durch den EuGH in den letzten Jahren aufgestellten Leitlinien zum Umfang des Rechtes auf Kopie. Das neue Urteil trägt jedoch weiter zur Rechtssicherheit bei. Dieses Urteil kann es in Zukunft erleichtern, Auskunftsanträge zu beantworten und ggf. abzulehnen. Andere Informationspflichten von Arbeitgebern bestehen auch nach dem Urteil weiter fort, z. B. die Pflicht, eine Abmahnung sachgemäß zu begründen oder auf Verlangen die Gründe für eine erteilte außerordentliche Kündigung mitzuteilen (§ 626 Abs. 2 S. 3 BGB).
Keine Kommentare