Herausgabe der Kopie eines Compliance-Berichts

Eine Mitarbeiterin kann von ihrem Arbeitgeber nicht die Herausgabe von Kopien eines vollständigen Compliance-Berichts, der die Ergebnisse einer Untersuchung des Führungsverhaltens der Mitarbeiterin zusammenfasst, inklusive ergänzender rechtlicher Ausführungen und Mandantenhinweise verlangen. Art. 15 Abs. 3 Satz 1 DSGVO stellt kein anderes Recht dar, als das in Art. 15 Abs. 1 DSGVO vorgesehene und gewährt keinen eigenständigen Anspruch gegen den Verantwortlichen auf Zurverfügungstellung des Dokuments als solches, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen.

Der Sachverhalt:
Die Parteien streiten über die Frage, ob die Beklagte Kopien von Compliance-Berichten zur Verfügung stellen muss, die das Führungsverhalten der Klägerin betreffen.

Die Klägerin ist in leitender Funktion bei der Beklagten beschäftigt. Anfang April 2023 informierte die Ombudsfrau der Beklagten die Compliance-Abteilung, dass es Beschwerden über die Klägerin gebe. Drei Hinweisgeber hätten den Führungsstil der Klägerin als einschüchternd, herabwürdigend, respektlos und unehrlich beschrieben. Sie habe Mitarbeiter verunsichert, demotiviert und regelrecht krank gemacht. Mindestens zwei Mitarbeiter hätten deshalb bereits gekündigt. In der Zeit von August 2023 bis Januar 2024 ließ die Beklagte daraufhin eine Compliance-Untersuchung wegen des Verdachts auf ein Führungsfehlverhalten der Klägerin durch eine Rechtsanwaltskanzlei durchführen. Der Abschlussbericht zu dieser Untersuchung enthält eine strukturierte Zusammenfassung der Ergebnisse der Untersuchung. Die Vorwürfe gegen die Klägerin werden aufgelistet, Hinweisgeber und Zeugen werden namentlich benannt. Der Inhalt der Gespräche wird teilweise mit wörtlichen Zitaten und teilweise inhaltlich zusammengefasst wiedergegeben. Es sind Wertungen und Würdigungen der beauftragten Kanzlei enthalten u.a. bzgl. der Glaubhaftigkeit von Zeugenaussagen. Der Bericht enthält darüber hinaus ergänzende rechtliche Ausführungen und Mandantenhinweise.

Seit Juli 2023 nimmt die Klägerin Elternzeit in Anspruch. Im Februar 2024 beantragte die Beklagte beim zuständigen Gewerbeaufsichtsamt die außerordentliche, hilfsweise ordentliche Kündigung des Arbeitsverhältnisses mit der Klägerin während der Elternzeit für zulässig zu erklären. Sie stützte sich zur Begründung auf Ergebnisse der Compliance-Untersuchung. Das Gewerbeaufsichtsamt stimmte der beabsichtigten Kündigung nicht zu. Die Klägerin ist der Ansicht, sie habe nach Art. 15 Abs. 1 i.V.m. Abs. 3 DSGVO einen Anspruch auf Überlassung von Kopien der Compliance-Abschlussberichte. Sie wolle überprüfen, welche Aussagen über sie gemacht und gespeichert wurden, ob diese Aussagen richtig sind und wie sie ermittelt wurden. Die Beklagte stellt den Anspruch in Abrede. Der Begriff der Kopie in Art. 15 Abs. 3 DSGVO beziehe sich nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthalte. Die Voraussetzungen eines ausnahmsweise gegebenen Anspruchs auf Kopien der gesamten Dokumente seien nicht gegeben. Die Beklagte habe ein das Auskunftsinteresse der Klägerin überwiegendes Interesse an der Geheimhaltung der Compliance-Abschlussberichte als Geschäftsgeheimnis.

Das ArbG gab der Klage statt; das LAG wies sie ganz überwiegend ab. Die Revision der Klägerin hatte vor dem BAG keinen Erfolg.

Die Gründe:
Das LAG ist zutreffend davon ausgegangen, dass der Klägerin kein Anspruch auf Zurverfügungstellung einer Kopie nach Art. 15 Abs. 1 i.V.m. Abs. 3 DSGVO hinsichtlich des Compliance-Abschlussberichts einschließlich der rechtlichen Ausführungen und Mandantenhinweise zusteht.

Nach Art. 15 Abs. 1 Halbs. 1 DSGVO hat die betroffene Person grundsätzlich das Recht von ihrem Arbeitgeber als Verantwortlichem (Art. 4 Nr. 7 DSGVO) eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Sofern dies der Fall ist, steht ihr nach Art. 15 Abs. 1 Halbs. 2 DSGVO ein Recht auf Auskunft über diese personenbezogenen Daten und die in Art. 15 Abs. 1 Buchst. a bis h DSGVO näher bezeichneten Informationen zu. Art. 15 Abs. 3 Satz 1 DSGVO gewährt dem Betroffenen zudem einen Anspruch auf Zurverfügungstellung einer Kopie der personenbezogenen Daten. Das in Art. 15 DSGVO vorgesehene Auskunftsrecht muss der Person nach der Rechtsprechung des EuGH ermöglichen, zu überprüfen, ob sie betreffende Daten richtig sind und ob sie in zulässiger Weise verarbeitet werden. Dieses Auskunftsrecht ist erforderlich, um den Betroffenen in die Lage zu versetzen, ggf. seine Rechte auf Berichtigung, Löschung ("Recht auf Vergessenwerden") und Einschränkung der Verarbeitung, die ihm nach den Art. 16, 17 bzw. 18 DSGVO zukommen, sowie sein in Art. 21 DSGVO vorgesehenes Recht auf Widerspruch gegen die Verarbeitung seiner personenbezogenen Daten oder seine in den Art. 79 und 82 DSGVO vorgesehenen Rechte auf Einlegung eines gerichtlichen Rechtsbehelfs bzw. auf Schadenersatz auszuüben.

Art. 15 Abs. 3 Satz 1 DSGVO stellt kein anderes Recht dar, als das in Art. 15 Abs. 1 DSGVO vorgesehene und gewährt keinen eigenständigen Anspruch gegen den Verantwortlichen auf Zurverfügungstellung des Dokuments als solches, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen. Damit regelt Art. 15 Abs. 3 DSGVO eine Modalität der Anspruchsausübung und ist untrennbar mit Art. 15 Abs. 1 DSGVO verbunden. Die Kopie muss alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind. Dies bedeutet, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten überlassen wird. Dieses Recht setzt das Recht voraus, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u.a. diese Daten enthalten, zu erlangen, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um dem Betroffenen die wirksame Ausübung der ihm durch diese Verordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind. Dabei hat der EuGH im Hinblick auf Art. 12 Abs. 1 DSGVO i.V.m. dem 58. Erwägungsgrund der DSGVO ausgeführt, dass sich die Reproduktion von Auszügen aus Dokumenten oder gar von ganzen Dokumenten insbesondere zur Gewährleistung der leichten Verständlichkeit der bereitgestellten Informationen als unerlässlich erweisen kann, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten.

Ausgehend hiervon ist das LAG im Ergebnis zutreffend davon ausgegangen, dass der Compliance-Abschlussbericht nicht ausschließlich personenbezogene Daten enthält. Das LAG hat auch zutreffend angenommen, die Klägerin könne eine Kopie des gesamten Berichts nicht unter dem Gesichtspunkt verlangen, dass eine Kontextualisierung der personenbezogenen Daten erforderlich wäre, um ihre Verständlichkeit zu gewährleisten. Der Abschlussbericht enthält zwar personenbezogene Daten. Nach der in Art. 4 Nr. 1 DSGVO enthaltenen Legaldefinition sind personenbezogene Daten alle Informationen, die sich auf die betroffene Person beziehen. Der Begriff der personenbezogenen Daten ist vor dem Hintergrund der Formulierung "alle Informationen" weit zu verstehen. Er ist nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen "über" die in Rede stehende Person handelt. 

Der vorliegende Bericht befasst sich mit dem Führungsverhalten der Klägerin und enthält aus diesem Grund zwangsläufig Informationen "über" die Person der Klägerin. Er enthält aber nicht ausschließlich personenbezogene Daten i.S.v. Art. 4 Nr. 1 DSGVO. Die enthaltenen rechtlichen Ausführungen stellen jedenfalls insoweit keine personenbezogenen Daten dar, als sie eine rechtliche Analyse enthalten. Bei einer rechtlichen Analyse handelt es sich nicht um eine Information über die betroffene Person, sondern höchstens um eine Information darüber, wie der Verantwortliche die rechtliche Situation einschätzt. Anhaltspunkte dafür, dass die Klägerin eine Kopie des Abschlussberichts unter Einschluss der rechtlichen Ausführungen und Mandantenhinweise benötigt, um die Verständlichkeit der im Bericht enthaltenen personenbezogenen Daten zu gewährleisten, sind nicht ersichtlich. Soweit die Klägerin sich gegen eine ihrer Ansicht nach unzutreffende Rechtsauffassung der Beklagten bzw. ihrer Berater zu Wehr setzen will, kann sie von ihren prozessualen Möglichkeiten Gebrauch machen. Deshalb ergibt sich aus dem Erfordernis, eine vollständige Auskunft über personenbezogene Daten zu erteilen, kein Anspruch der Klägerin darauf, dass der Abschlussbericht im Gesamten, wenn auch ggf. teilgeschwärzt, als Kopie überlassen wird.

Mehr zum Thema:

Aufsatz
Arbeitgeber zwischen Hinweisgeberschutz und datenschutzrechtlichem Auskunftsanspruch
Michael H. Korinth, ArbRB 2025, 21
ARBRB0074558

Aktionsmodul Arbeitsrecht
Otto Schmidt Answers ist in diesem Modul mit 5 Prompts am Tag enthalten! Nutzen Sie die Inhalte in diesem Modul direkt mit der KI von Otto Schmidt.

Start-Abo: 3 Monate nutzen, nur 2 Monate zahlen! Komfortabel, vergünstigt, flexibel.