BAG, Urteil vom 16. April 2026 – Kein Anspruch auf vollständige Kopie eines Compliance-Berichts

Das Bundesarbeitsgericht hat mit Urteil vom 16. April 2026 – 8 AZR 169/25 – die Reichweite des datenschutzrechtlichen Auskunftsanspruchs bei internen Untersuchungen konkretisiert. Beschäftigte können nach Art. 15 DSGVO grundsätzlich eine Kopie der sie betreffenden personenbezogenen Daten verlangen. Daraus folgt jedoch nicht automatisch ein Anspruch auf Herausgabe des gesamten Dokuments, in dem diese Daten enthalten sind.

Für Unternehmen ist die Entscheidung insbesondere bei Internal Investigations und datenschutzrechtlichen Fragestellungen relevant. Untersuchungsberichte enthalten regelmäßig verschiedene Informationsebenen: Tatsachenfeststellungen, Aussagen von Hinweisgebern und Zeugen, Bewertungen des Verhaltens betroffener Personen, rechtliche Analysen und strategische Empfehlungen. Das BAG verlangt eine inhaltliche Differenzierung zwischen diesen Bestandteilen.

Das Urteil trägt das Aktenzeichen 8 AZR 169/25 und den ECLI ECLI:DE:BAG:2026:160426.U.8AZR169.25.0.

Sie finden das Urteil im Volltext hier: BAG, Urteil vom 16. April 2026 – 8 AZR 169/25

Compliance-Untersuchung nach Beschwerden über eine Führungskraft

Ausgangspunkt des Verfahrens waren Beschwerden mehrerer Hinweisgeber über den Führungsstil einer in leitender Funktion beschäftigten Klägerin. Anfang April 2023 informierte die Ombudsfrau des beklagten Unternehmens dessen Compliance-Abteilung über entsprechende Vorwürfe.

Das Unternehmen beauftragte daraufhin eine Rechtsanwaltskanzlei mit einer internen Compliance-Untersuchung. Die Untersuchung wurde zwischen August 2023 und Januar 2024 durchgeführt. Von ihrem Abschlussbericht bestanden zwei Fassungen vom 31. Januar 2024 und vom 6. Februar 2024.

Die Berichte enthielten unter anderem eine strukturierte Zusammenfassung der Untersuchungsergebnisse, die gegen die Klägerin erhobenen Vorwürfe, die Namen von Hinweisgebern und Zeugen sowie teilweise wörtlich, teilweise zusammenfassend wiedergegebene Gesprächsinhalte. Hinzu kamen Bewertungen der beauftragten Rechtsanwälte, etwa zur Glaubhaftigkeit von Aussagen. Die Fassung vom 31. Januar 2024 enthielt darüber hinaus rechtliche Ausführungen und Mandantenhinweise.

Der Fall zeigt damit eine typische Schnittstelle zwischen internen Ermittlungen, Beschäftigtendatenschutz, Arbeitsrecht und dem Schutz von Hinweisgebern.

Klägerin verlangte vollständige Berichtskopie nach Art. 15 DSGVO

Das Unternehmen verwendete Erkenntnisse aus der Untersuchung anschließend im Zusammenhang mit einer beabsichtigten Kündigung während der Elternzeit der Klägerin. Die zuständige Behörde stimmte der Kündigung nicht zu.

Die Klägerin verlangte daraufhin unter Berufung auf Art. 15 Abs. 1 und Abs. 3 DSGVO eine vollständige Kopie des Compliance-Abschlussberichts. Sie wollte nachvollziehen können, welche Aussagen über sie gespeichert worden waren, ob diese aus ihrer Sicht zutrafen und wie die Erkenntnisse zustande gekommen waren.

Das Arbeitsgericht gab dem Herausgabebegehren zunächst statt. Das Landesarbeitsgericht München wies den Anspruch auf Überlassung einer vollständigen Kopie dagegen ab. Hinsichtlich der Berichtsfassung vom 6. Februar 2024 sprach es der Klägerin allerdings auf einen Hilfsantrag ein Recht auf Einsicht zu.

Mit ihrer Revision verfolgte die Klägerin die Herausgabe der Berichtskopie weiter.

BAG unterscheidet zwischen Datenkopie und Dokumentenkopie

Das BAG wies die Revision zurück.

Ausgangspunkt der Entscheidung ist Art. 15 Abs. 1 DSGVO. Danach hat eine betroffene Person grundsätzlich Anspruch auf Auskunft über personenbezogene Daten, die ein Verantwortlicher über sie verarbeitet. Art. 15 Abs. 3 Satz 1 DSGVO verpflichtet den Verantwortlichen zusätzlich, eine Kopie dieser personenbezogenen Daten zur Verfügung zu stellen.

Nach Auffassung des BAG entsteht daraus jedoch grundsätzlich kein eigenständiger Anspruch auf Herausgabe des Dokuments als solchem. Gegenstand des einheitlichen Auskunftsrechts sind die personenbezogenen Daten. Die Vorschrift über die Kopie regelt die Form, in der diese Daten zur Verfügung gestellt werden.

Eine vollständige Dokumentenkopie kann ausnahmsweise erforderlich sein. Voraussetzung ist, dass die Reproduktion des Dokuments oder eines Dokumentenauszugs notwendig ist, damit die betroffene Person ihre personenbezogenen Daten vollständig und verständlich erfassen und ihre Rechte aus der DSGVO wirksam ausüben kann.

Nicht jeder Inhalt eines Compliance-Berichts ist personenbezogenes Datum

Der streitgegenständliche Bericht enthielt nach den Feststellungen des BAG zahlreiche personenbezogene Daten der Klägerin. Der Begriff der personenbezogenen Daten ist weit zu verstehen. Er umfasst nicht nur objektive Tatsachen, sondern grundsätzlich auch subjektive Stellungnahmen und Bewertungen, soweit diese Informationen eine Aussage über die betroffene Person enthalten.

Das bedeutet jedoch nicht, dass jedes Element eines Dokuments automatisch personenbezogenes Datum ist, nur weil sich das Dokument insgesamt mit einer bestimmten Person beschäftigt.

Besondere Bedeutung misst das BAG den rechtlichen Ausführungen im Bericht bei. Eine rechtliche Analyse ist jedenfalls insoweit kein personenbezogenes Datum, als sie wiedergibt, wie der Verantwortliche oder dessen Berater eine Rechtslage bewertet. Sie enthält dann keine Information über die betroffene Person, sondern eine rechtliche Einschätzung eines Sachverhalts.

Die Klägerin benötigte diese rechtlichen Ausführungen und Mandantenhinweise nach Auffassung des BAG auch nicht, um die im Bericht enthaltenen personenbezogenen Daten zu verstehen oder ihre Rechte auf Berichtigung, Löschung oder Einschränkung der Verarbeitung ausüben zu können.

Das Gericht verneinte deshalb einen Anspruch darauf, den gesamten Bericht einschließlich der rechtlichen Analyse und Mandantenhinweise – gegebenenfalls lediglich teilweise geschwärzt – als Kopie herauszugeben.

Das Urteil schützt Compliance-Berichte nicht pauschal vor Auskunftsansprüchen

Die Entscheidung bedeutet umgekehrt nicht, dass ein Compliance-Bericht insgesamt vom Auskunftsrecht nach Art. 15 DSGVO ausgenommen wäre.

Gerade Tatsachenfeststellungen über eine untersuchte Person, Aussagen über deren Verhalten oder personenbezogene Bewertungen können personenbezogene Daten darstellen. Bei einem Auskunftsersuchen muss deshalb konkret geprüft werden, welche einzelnen Informationen im Bericht einen Personenbezug aufweisen.

Für die Praxis interner Untersuchungen ist diese Differenzierung wesentlich. Sachverhaltsfeststellungen, Interviewinhalte, Bewertungen, juristische Subsumtionen und strategische Empfehlungen sollten bereits bei der datenschutzrechtlichen Strukturierung einer Internal Investigation voneinander unterschieden werden.

Das BAG bestätigt damit keinen pauschalen Schutz eines „Investigation Reports“. Maßgeblich bleibt der konkrete Informationsgehalt.

Personalaktenrecht führt ebenfalls nicht zur vollständigen Kopie

Auch aus § 26 Abs. 2 SprAuG und § 83 Abs. 1 BetrVG leitete das BAG keinen Anspruch auf Überlassung des vollständigen Abschlussberichts ab.

Das Recht auf Einsicht in die Personalakte kann grundsätzlich auch die Möglichkeit umfassen, auf eigene Kosten Kopien anzufertigen. Nach den Ausführungen des BAG ist dieses Recht jedoch auf einen angemessenen Umfang begrenzt. Ein Anspruch darauf, die Personalunterlagen insgesamt zu kopieren, besteht danach nicht.

Darüber hinaus äußert das BAG Zweifel daran, ob rechtliche Ausführungen und Mandantenhinweise innerhalb eines anwaltlichen Compliance-Berichts überhaupt Bestandteil der materiellen Personalakte sein können.

Nicht entschieden wurde dagegen abschließend, unter welchen Voraussetzungen ein Compliance-Bericht insgesamt der materiellen Personalakte zuzurechnen ist. Die vom LAG ausgesprochene Einsicht in die Fassung vom 6. Februar 2024 war nicht Gegenstand der Revision über den Anspruch auf Zurverfügungstellung einer Kopie.

Bedeutung für Hinweisgeber und Zeugen

Interne Untersuchungsberichte enthalten häufig zugleich personenbezogene Daten verschiedener Personen. Neben der untersuchten Person können insbesondere Hinweisgeber, Zeugen, Gesprächspartner und weitere Beschäftigte betroffen sein.

Gerade bei Meldungen aus einem Hinweisgebersystem treffen daher unterschiedliche rechtliche Anforderungen aufeinander. Einerseits bestehen datenschutzrechtliche Auskunftsrechte. Andererseits verlangt das Hinweisgeberschutzgesetz den Schutz der Identität der hinweisgebenden und weiterer geschützter Personen.

Die Vertraulichkeit nach dem Hinweisgeberschutzgesetz sollte deshalb bereits bei der Aufnahme von Hinweisen und bei der Dokumentation von Interviews berücksichtigt werden. Gleiches gilt für die Tätigkeit von Ombudspersonen, wenn ein Hinweis Ausgangspunkt der späteren Untersuchung ist.

Auch das Verfahrensrecht spielte eine entscheidende Rolle

Neben der materiell-rechtlichen Frage enthält das Urteil wichtige Aussagen zum Prozessrecht.

Die Klägerin hatte in der Revision zusätzlich einen Zwischenbericht vom 19. Oktober 2023 in ihr Begehren einbezogen. Das BAG bewertete dies als unzulässige Klageerweiterung in der Revisionsinstanz.

Auch hinsichtlich der zweiten Fassung des Abschlussberichts vom 6. Februar 2024 blieb die Revision ohne Erfolg. Diesen Anspruch hatte die Klägerin erstmals im Berufungsverfahren geltend gemacht. Nach Auffassung des BAG war dies als Anschlussberufung zu behandeln, die erst nach Ablauf der maßgeblichen Frist erhoben worden war.

Für umfangreiche interne Ermittlungen unterstreicht dies die Bedeutung eines nachvollziehbaren Versionenmanagements. Zwischenberichte, Abschlussberichte, ergänzte Fassungen und rechtliche Memoranden sind eigenständige Dokumente, deren Entstehungszeitpunkt, Inhalt und Empfängerkreis dokumentiert werden sollten.

Praktische Konsequenzen für die Gestaltung von Internal Investigations

Für Unternehmen lässt sich aus der Entscheidung vor allem ableiten, dass Abschlussberichte nicht als einheitlicher Informationsblock betrachtet werden sollten.

Sinnvoll ist eine nachvollziehbare Trennung zwischen gesicherten Tatsachen, Aussagen von Zeugen und Hinweisgebern, Bewertungen personenbezogenen Verhaltens, rechtlichen Analysen und strategischen Empfehlungen. Diese Trennung erleichtert die Bearbeitung späterer Auskunftsersuchen und macht deutlicher, welche Informationen tatsächlich personenbezogene Daten darstellen.

Eine bloße Aufteilung auf unterschiedliche Dokumente entscheidet allerdings nicht darüber, ob Art. 15 DSGVO anwendbar ist. Entscheidend bleibt stets der konkrete Inhalt. Ein personenbezogenes Datum verliert seinen Charakter nicht dadurch, dass es in einen „Legal Report“ verschoben wird. Umgekehrt wird eine rechtliche Analyse nicht allein deshalb zum personenbezogenen Datum, weil sie Bestandteil eines Untersuchungsberichts ist.

Bei strafrechtlich sensiblen Untersuchungen sollte zusätzlich berücksichtigt werden, dass Untersuchungsberichte später auch für Behördenverfahren oder die Unternehmensverteidigung im Zusammenhang mit Internal Investigations relevant werden können. Berichtsstruktur, Adressatenkreis, Versionierung und rechtliche Bewertung sollten deshalb bereits zu Beginn der Untersuchung festgelegt werden.

Service-Hinweis

Buchert Jacob Peter begleitet Unternehmen bei internen Untersuchungen, Compliance-Sachverhalten und der rechtlichen Strukturierung von Investigation Reports. Ein besonderer Schwerpunkt liegt auf der Schnittstelle zwischen Sachverhaltsaufklärung, Datenschutz, Hinweisgeberschutz und möglichen strafrechtlichen Folgeverfahren.

Weitere Informationen finden Sie auch zur Compliance-Beratung und im Rechtslexikon.

FAQ zum BAG-Urteil vom 16. April 2026 – 8 AZR 169/25

Muss ein Arbeitgeber nach Art. 15 DSGVO einen vollständigen Compliance-Bericht herausgeben?

Grundsätzlich nein. Nach dem BAG bezieht sich der Anspruch grundsätzlich auf die in dem Bericht enthaltenen personenbezogenen Daten und nicht auf das Dokument als Ganzes. Eine vollständige Dokumentenkopie kann ausnahmsweise erforderlich sein, wenn sie für das Verständnis der Daten und die wirksame Ausübung der DSGVO-Rechte unerlässlich ist.

Sind rechtliche Bewertungen in einem Compliance-Bericht personenbezogene Daten?

Nicht automatisch. Das BAG stellt darauf ab, dass eine rechtliche Analyse grundsätzlich wiedergibt, wie der Verantwortliche oder dessen Berater einen Sachverhalt rechtlich beurteilt. Insoweit handelt es sich nicht um eine Information über die betroffene Person.

Sind Aussagen von Zeugen und Bewertungen einer untersuchten Person personenbezogene Daten?

Sie können personenbezogene Daten sein. Entscheidend ist, ob die konkrete Information eine Aussage über die identifizierte oder identifizierbare Person enthält.

Hat das BAG entschieden, dass Compliance-Berichte generell geheim bleiben dürfen?

Nein. Die Entscheidung enthält keinen pauschalen Ausschluss von Compliance-Berichten aus Art. 15 DSGVO. Vielmehr muss zwischen den verschiedenen Bestandteilen des Berichts und ihrem jeweiligen Informationsgehalt unterschieden werden.

Welche Bedeutung hat das Urteil für interne Untersuchungen?

Die Entscheidung macht eine klare Dokumenten- und Berichtsstruktur besonders wichtig. Tatsachenfeststellungen, personenbezogene Informationen, rechtliche Bewertungen und strategische Empfehlungen sollten nachvollziehbar voneinander getrennt und Berichtsversionen eindeutig dokumentiert werden.

Kontaktieren Sie uns – Ihre Fachanwälte und Anwälte für Strafrecht in Frankfurt am Main und bundesweit

Rechtsanwalt Frank M. Peter, Fachanwalt für Strafrecht

Rechtsanwältin Dr. Caroline Jacob, Fachanwältin für Strafrecht

Als Of Counsel: Prof. Dr. Frank Peter Schuster

Unsere Rechtsanwaltskanzlei Buchert Jacob Peter arbeitet seit über 25 Jahren in Frankfurt am Main mit erfahrenen Anwälten in der Strafverteidigung. Wir vertreten unsere Mandantschaft bundesweit.

Telefon: 069 710 33 330

E-Mail: kanzlei@dr-buchert.de

Mehr dazu: Internal Investigations | Compliance-Beratung | Rechtslexikon | Vertraulichkeit und Datenschutz nach dem Hinweisgeberschutzgesetz

• Teilen