Nach der DSGVO können Betroffene grundsätzlich keine vollständige Kopie eines Compliance-Berichts verlangen. Sie haben vielmehr Anspruch auf eine Kopie der darin enthaltenen personenbezogenen Daten. Das hat das Bundesarbeitsgericht (BAG) entschieden (Urteil vom 16.04.2026, Az. 8 AZR 169/25). Im konkreten Fall hatten sich mehrere Hinweisgeber über den Führungsstil einer leitenden Mitarbeiterin beschwert. Das Unternehmen beauftragte daraufhin eine Rechtsanwaltskanzlei mit einer Compliance-Untersuchung. Die Kanzlei erstellte Abschlussberichte, in denen sie unter anderem die Vorwürfe sowie Aussagen von Hinweisgebern und Zeugen zusammenfasste und bewertete. Eine Fassung enthielt zudem rechtliche Ausführungen und Hinweise an das Unternehmen. Auf Grundlage der Untersuchung beantragte der Arbeitgeber die Zustimmung zur Kündigung der Mitarbeiterin während ihrer Elternzeit. Die zuständige Behörde lehnte dies ab. Anschließend forderte die Mitarbeiterin Kopien der Compliance-Berichte. Sie wollte überprüfen, welche Aussagen über sie gespeichert worden waren und ob diese zutrafen.

Personenbezogene Daten entscheidend

Das BAG verneinte einen Anspruch auf eine vollständige Kopie des Berichts. Art. 15 Abs. 3 DSGVO erfasse grundsätzlich nur die personenbezogenen Daten, nicht das gesamte Dokument. Eine vollständige Dokumentenkopie kann allerdings erforderlich sein, wenn die betroffene Person sie benötigt, um ihre personenbezogenen Daten zu verstehen und ihre Rechte aus der DSGVO wirksam auszuüben. Das war hier nach Auffassung des BAG nicht der Fall. Insbesondere benötigte die Mitarbeiterin die rechtlichen Ausführungen und Mandantenhinweise der beauftragten Kanzlei nicht, um ihre personenbezogenen Daten zu verstehen oder etwa Rechte auf Berichtigung oder Löschung wahrzunehmen. Auch aus dem Recht auf Einsicht in die Personalakte folgte kein Anspruch auf eine vollständige Kopie des Compliance-Berichts. Das BAG wies die Revision der Mitarbeiterin zurück.

Copyright Bild: Getty Images für Unsplash+