In diesem Ratgeber
Was das BAG zum Compliance-Bericht entschieden hat
Das Bundesarbeitsgericht hat am 16. April 2026 im Verfahren 8 AZR 169/25 über Kopien interner Compliance-Berichte entschieden. Eine Beschäftigte verlangte Berichte über Vorwürfe zu ihrem Führungsverhalten. Die Fassung vom 31. Januar 2024 enthielt zusätzlich rechtliche Ausführungen und Hinweise der beauftragten Kanzlei an die Arbeitgeberin.
Das BAG verneinte den Anspruch auf eine Kopie dieses gesamten Berichts: Die rechtliche Analyse war insoweit kein personenbezogenes Datum und für das Verständnis der personenbezogenen Informationen nicht erforderlich. Weitere Anträge scheiterten an prozessualen Voraussetzungen. Daraus folgt keine allgemeine Ausnahme für Compliance-Berichte. Für Ihre Praxis bleibt entscheidend, welche Informationen über die anfragende Person enthalten sind und welcher Kontext für eine vollständige, verständliche Auskunft benötigt wird.
Welche Informationen gehören zur Auskunft?
Artikel 15 DSGVO betrifft die tatsächlich verarbeiteten Informationen über die Person. Neben den Daten selbst umfasst die Auskunft unter anderem Zwecke, Empfänger, Speicherdauer oder deren Kriterien, verfügbare Angaben zur Herkunft sowie Informationen über Betroffenenrechte. Ein allgemeiner Datenschutzhinweis oder eine Liste bloßer Datenkategorien ersetzt die konkrete Auskunft nicht.
| Information | Einordnung für die Praxis |
|---|---|
| Stammdaten, Arbeitszeiten, Vergütung | Personenbezogene Angaben; relevante Systeme und Ablagen berücksichtigen. |
| Gesprächsnotizen und Leistungsbeurteilungen | Auch subjektive Einschätzungen können personenbezogene Daten sein, wenn sie die anfragende Person betreffen. |
| Beschwerden und interne Untersuchungen | Enthaltene Tatsachen und Bewertungen der Person prüfen; die Bezeichnung „vertraulich“ erledigt die Auskunftsprüfung nicht. |
| Reine rechtliche Analyse | Von den zugrunde liegenden personenbezogenen Angaben unterscheiden; nicht pauschal jede anwaltlich verfasste Passage ausnehmen. |
Wann werden vollständige Dokumente benötigt?
Der EuGH verlangt eine vollständige, verständliche Wiedergabe der Daten. Ein Auszug oder ein ganzes Dokument kann dafür unerlässlich sein. Beispielsweise kann eine isolierte Bewertung ohne Anlass, Datum und Zusammenhang missverständlich werden. Umgekehrt muss ein Bericht nicht allein deshalb vollständig kopiert werden, weil darin der Name eines Mitarbeiters vorkommt.
Prüfen Sie daher den Informationsgehalt statt nur die Dateibezeichnung. Eine sorgfältige Zusammenstellung kann genügen, sofern sie vollständig ist und den Inhalt unverändert wiedergibt. Unverständliche Kürzel sollten erläutert werden. Eine Auswahl ausschließlich günstiger oder unstreitiger Angaben wäre unvollständig.
Personalakteneinsicht ist ein eigener Anspruch
§ 83 BetrVG gibt Arbeitnehmern ein Recht auf Einsicht in die über sie geführten Personalakten. Sie können ein Betriebsratsmitglied hinzuziehen und verlangen, dass ihre Erklärungen zum Akteninhalt beigefügt werden. Für leitende Angestellte enthält § 26 Absatz 2 SprAuG eine eigene Regelung.
Prüfen Sie deshalb, ob jemand Datenauskunft, Personalakteneinsicht oder beides verlangt. Ein angebotener Einsichtstermin ersetzt eine geschuldete DSGVO-Datenkopie nicht automatisch. Ebenso erledigt eine Ablehnung der vollständigen Berichtskopie nicht ohne Weiteres den Anspruch auf Einsicht.
Drittrechte konkret schützen
Unterlagen können zugleich Daten von Patienten, Kollegen oder Hinweisgebern enthalten. Artikel 15 Absatz 4 DSGVO verlangt die Berücksichtigung ihrer Rechte und Freiheiten. Prüfen Sie konkret, welche Information schutzbedürftig ist und ob eine gezielte Schwärzung oder ein verständlicher Auszug die Interessen wahrt. Ein bloßer Hinweis auf Datenschutz rechtfertigt keine vollständige Verweigerung.
Schwärzen Sie eine Arbeitskopie technisch zuverlässig. Schwarze Kästen über PDF-Text können den Inhalt nur verdecken. Prüfen Sie auch Kommentare, Änderungsverläufe und Metadaten. Die freigegebene Datei sollte anschließend von einer zweiten berechtigten Person kontrolliert werden.
Ein Ablauf, der die Monatsfrist berücksichtigt
- Eingang dokumentieren: Datum, Umfang der Anfrage, zuständige Person und Vertretung festhalten. Ein besonderes Formular ist nicht vorgeschrieben.
- Identität prüfen: Bereits bekannte Beschäftigte nicht routinemäßig zur Ausweiskopie auffordern. Zusätzliche Angaben nur bei begründeten Zweifeln und im erforderlichen Umfang verlangen.
- Daten zusammentragen: Personalverwaltung, Zeiterfassung, relevante E-Mails, strukturierte Ablagen und beauftragte Dienstleister einbeziehen. Vorhandene relevante Daten während der Bearbeitung vor versehentlicher Löschung schützen.
- Inhalt bewerten: Vollständigkeit, verständlichen Kontext und konkrete Schutzinteressen Dritter prüfen. Strittige Abgrenzungen bei Untersuchungsberichten fachkundig klären.
- Sicher antworten: Einen passenden geschützten Übermittlungsweg und die richtige Empfängeradresse verwenden. Die erste Datenkopie ist grundsätzlich unentgeltlich.
- Bearbeitung nachweisen: Suchbereiche, Entscheidungen, begründete Einschränkungen und Versand dokumentieren, ohne unnötige zusätzliche Datenkopien anzulegen.
Nach Artikel 12 Absatz 3 DSGVO muss die Antwort unverzüglich, grundsätzlich spätestens innerhalb eines Monats nach Eingang erfolgen. Ist wegen Komplexität oder Anzahl der Anträge mehr Zeit erforderlich, kann um höchstens zwei weitere Monate verlängert werden. Die betroffene Person muss innerhalb des ersten Monats über die Verlängerung und ihre Gründe informiert werden. Eine automatische dreimonatige Bearbeitungsfrist gibt es nicht.
Patientenakten gesondert behandeln
Quellen & Rechtsgrundlagen
Grundlagen dieses Beitrags, geprüft zum angegebenen Stand. Gesetze und behördliche Hinweise können sich ändern; maßgeblich bleibt Ihre konkrete Verarbeitung.
- BAG, Urteil vom 16.04.2026 – 8 AZR 169/25: Herausgabe der Kopie eines Compliance-Berichts (öffnet in neuem Tab)Insbesondere Rn. 20–32; geprüft am 29.10.2026
- EuGH, Urteil vom 04.05.2023 – C-487/21: Umfang des Rechts auf eine Datenkopie (öffnet in neuem Tab)
- EDSA: Leitlinien 01/2022 zum Auskunftsrecht (öffnet in neuem Tab)Version 2.1, 30.05.2024
- DSK: Kurzpapier Nr. 6 – Auskunftsrecht der betroffenen Person (öffnet in neuem Tab)17.12.2018
- § 83 BetrVG – Einsicht in die Personalakten (öffnet in neuem Tab)
- § 26 SprAuG – Unterstützung einzelner leitender Angestellter (öffnet in neuem Tab)
- LfD Niedersachsen: Hinweise zum Schwärzen von Dokumenten (öffnet in neuem Tab)Juli 2025
- § 630g BGB – Einsichtnahme in die Behandlungsakte (öffnet in neuem Tab)
- DSGVO – Artikel 12 und 15 (öffnet in neuem Tab)
Dieses Fachjournal ist ein Informationsangebot des Instituts für Datenschutz im Gesundheitswesen, das zugleich entgeltliche Datenschutzberatung anbietet. Die Beiträge dienen der datenschutzfachlichen und organisatorischen Orientierung und ersetzen keine anwaltliche Rechtsberatung im Einzelfall. Die Verantwortung für die Verarbeitung verbleibt bei Ihrer Einrichtung. Für die erste Anfrage genügen Angaben zum Anliegen; bitte keine Patientenakten über das öffentliche Kontaktformular übermitteln.