(Stuttgart) Das Bundesarbeitsgericht (BAG) hat entschieden, dass Beschäftigte nach Art. 15 DSGVO grundsätzlich keine Kopie eines vollständigen Compliance-Berichts verlangen können, nur weil dieser personenbezogene Daten über sie enthält.

Darauf verweist der Bremer Fachanwalt für Arbeitsrecht Klaus-Dieter Franzen Landesregionalleiter Bremen beim VDAA – Verband deutscher ArbeitsrechtsAnwälte e. V. mit Sitz in Stuttgart unter Hinweis auf das Urteil des Bundesarbeitsgerichts (BAG) vom 16.04.2026 – 8 AZR 169/25. Für den Schutz von Hinweisgebern ist das Urteil deshalb von erheblicher praktischer Bedeutung.

Was ist passiert?

Drei Hinweisgeber hatten sich über das Führungsverhalten einer leitenden Beschäftigten beschwert. Das Unternehmen ließ daraufhin durch eine Rechtsanwaltskanzlei eine Compliance-Untersuchung durchführen. Im Abschlussbericht wurden die Hinweisgeber und weitere Zeugen namentlich genannt. Außerdem enthielt der Bericht Aussagen aus den geführten Gesprächen und Bewertungen ihrer Glaubhaftigkeit. Die betroffene Führungskraft verlangte später auf Grundlage von Art. 15 DSGVO eine Kopie des vollständigen Compliance-Berichts. Das Unternehmen lehnte dies ab. Es verwies unter anderem darauf, dass der Bericht schutzwürdige Daten der Hinweisgeber und Zeugen enthalte und ihnen Vertraulichkeit zugesagt worden sei.

Wie hat das Gericht entschieden?

Das BAG lehnte einen Anspruch auf Herausgabe des vollständigen Berichts ab. Art. 15 Abs. 1 in Verbindung mit Abs. 3 DSGVO vermittelt grundsätzlich einen Anspruch auf eine Kopie der personenbezogenen Daten, nicht aber automatisch auf eine Kopie des gesamten Dokuments, in dem diese Daten enthalten sind. Ein vollständiges Dokument kann nur verlangt werden, wenn dies erforderlich ist, damit die betroffene Person ihre Datenschutzrechte wirksam ausüben kann. Im konkreten Fall bestand diese Notwendigkeit nicht. Der Bericht enthielt neben personenbezogenen Angaben auch rechtliche Bewertungen und Mandantenhinweise. Die Führungskraft benötigte diese Bestandteile nach Auffassung des BAG nicht, um ihre Rechte aus der DSGVO wahrzunehmen.

Was heißt das für die Praxis?

Für interne Hinweisgebersysteme ist die Entscheidung hilfreich. Sie verhindert, dass Art. 15 DSGVO ohne Weiteres zu einem Anspruch auf Herausgabe kompletter Untersuchungsberichte wird. Damit sinkt zugleich das Risiko, dass Namen, Aussagen oder andere Informationen über Hinweisgeber allein über einen umfassenden datenschutzrechtlichen Kopieanspruch offengelegt werden müssen. Das BAG hat allerdings nicht entschieden, dass die Identität der Hinweisgeber im konkreten Fall aufgrund des Hinweisgeberschutzgesetzes geheim zu halten war.

Diese Unterscheidung ist wichtig. § 8 HinSchG verpflichtet Meldestellen grundsätzlich zur Wahrung der Vertraulichkeit der Identität hinweisgebender Personen. Voraussetzung ist insbesondere, dass die Meldung einen vom HinSchG erfassten Verstoß betrifft oder die hinweisgebende Person hinreichenden Grund hatte, dies anzunehmen. Ausnahmen von der Vertraulichkeit regelt § 9 HinSchG. Ob diese Voraussetzungen bei den drei im BAG-Verfahren genannten Hinweisgebern vorlagen, war nicht Gegenstand der Entscheidung.

Konkrete Tipps

  • Compliance-Berichte sollten personenbezogene Angaben und rechtliche Bewertungen möglichst klar voneinander trennen.
  • Namen von Hinweisgebern sollten nur aufgenommen werden, wenn dies für die Untersuchung tatsächlich erforderlich ist.
  • Zugriffsrechte auf Meldungen und Untersuchungsberichte sollten eng begrenzt und dokumentiert werden.
  • Bei Auskunftsanträgen nach Art. 15 DSGVO sollte nicht vorschnell der gesamte Untersuchungsbericht herausgegeben werden.
  • Zusätzlich ist bei jeder Weitergabe von Informationen zu prüfen, ob §§ 8 und 9 HinSchG einer Offenlegung entgegenstehen.

Für Rückfragen steht Ihnen zur Verfügung:

Klaus-Dieter Franzen

Rechtsanwalt

Fachanwalt für Arbeitsrecht

Zertifizierter Datenschutzbeauftragter (DSB-TÜV)

Landesregionalleiter Bremen beim VDAA – Verband deutscher ArbeitsrechtsAnwälte e. V.

— — — — — — — — — — — — — — — — —

FranzenLegal

Altenwall 6

D-28195 Bremen

Telefon: +49 (0) 421 33 78 413

Telefax: +49 (0) 421 33 78 416

www.franzen-legal.de