Inhalt und Gegenstand der Entscheidung
Im Mittelpunkt des Rechtsstreits stand ein von der Klägerin geltend gemachter Anspruch auf die Überlassung der Kopien eines Compliance-Abschlussberichts, der ihr Führungsverhalten betraf. Grund für die Erstellung dieses Berichts waren drei Hinweisgeber, die sich bei der Ombudsfrau der Beklagten über das Führungsverhalten der Klägerin beschwert hatten, das sie als einschüchternd, herabwürdigend, respektlos und unehrlich empfanden. Über diese Vorwürfe hatte die Ombudsfrau im April 2023 die Compliance-Abteilung der Beklagten informiert. Daraufhin ließ diese wegen des Verdachts eines Führungsfehlverhaltens in der Zeit von August 2023 bis Januar 2024 eine Compliance-Untersuchung durch ein externes Rechtsanwaltsbüro durchführen. Deren Ergebnisse fasste das Rechtsanwaltsbüro in einem Abschlussbericht zusammen. Von diesem Bericht gibt es zwei inhaltsgleiche Versionen vom 31.01.2024 und vom 06.02.2024, die jeweils eine strukturierte Zusammenfassung der Ergebnisse der Untersuchung enthalten. Weiterhin sollen in diesen Berichten die Vorwürfe gegen die Klägerin aufgelistet sowie Hinweisgeber und Zeugen namentlich benannt sein. Darüber hinaus sollen dort Gesprächsinhalte teilweise in wörtlichen Zitaten und teilweise zusammengefasst wiedergegeben sein. Schließlich sollen sich in den Berichten Wertungen und Würdigungen bezüglich der Glaubhaftigkeit von Zeugenaussagen befinden sowie ergänzende rechtliche Ausführungen und Mandantenhinweise der externen Rechtsanwaltskanzlei.
Die Klägerin ist seit Juli 2023 in Elternzeit. Die Beklagte hat im Februar 2024 unter Hinweis auf die Ergebnisse der Compliance-Untersuchung beim zuständigen Gewerbeaufsichtsamt die Zustimmung zu ihrer außerordentlichen und hilfsweise zu einer ordentlichen Kündigung beantragt. Das Gewerbeaufsichtsamt hat der Kündigung nicht zugestimmt.
Die Klägerin hat im Verlauf des Verfahrens vom Arbeitgeber unter Hinweis auf Art. 15 Abs. 1 und Abs. 3 DSGVO zunächst die Überlassung vollständiger Kopien des ersten Compliance-Abschlussberichts vom 31.01.2024 und später auch die des zweiten Berichts vom 06.02.2024 verlangt. Auf dieser Basis wollte sie nach ihrem Vortrag überprüfen, welche Aussagen über sie gemacht und gespeichert wurden, ob diese richtig sind und wie sie ermittelt wurden. Entgegenstehende Rechte der Beklagten oder Dritter hat sie nicht gesehen.
Die Beklagte hat demgegenüber die Ansicht vertreten, dass der in Art. 15 Abs. 3 DSGVO enthaltene Informationsanspruch sich nicht auf die vollständigen Abschlussberichte bezieht, sondern nur auf die darin enthaltenen personenbezogenen Daten der Klägerin. Die Beklagte sah deshalb die Voraussetzungen für die Übergabe von vollständigen Kopien der Berichte nicht als gegeben an. Weiterhin hat sie auf ihr überwiegendes Interesse an der Geheimhaltung der Compliance-Abschlussberichte als Geschäftsgeheimnis verwiesen sowie darauf, dass eine vollständige Kenntnis dieser Berichte Rückschlüsse auf die verfolgte Prozessstrategie ermöglichen würde. Schließlich hat die Beklagte angeführt, dass in den Abschlussberichten schutzwürdige Daten bezüglich der Hinweisgeber und weiterer Zeugen enthalten sind, denen sie Vertraulichkeit zugesagt hat.
Das ArbG München hat die Beklagte verurteilt, der Klägerin die mit der Klage begehrte Kopie des Abschlussberichts vom 31.01.2024 zur Verfügung zu stellen. Das LArbG München hat im Berufungsverfahren die Anträge der Klägerin auf die Zurverfügungstellung von Kopien der Compliance-Abschlussberichte vom 31.01.2024 und vom 06.02.2024 abgewiesen. Gleichzeitig hat das Landesarbeitsgericht einem in der Berufungsinstanz gestellten Hilfsantrag stattgegeben, mit dem die Klägerin Einsicht in den Abschlussbericht vom 06.02.2024 begehrte.
Das LArbG München hat hinsichtlich der begehrten Zurverfügungstellung von Kopien beider Compliance-Abschlussberichte die Revision zugelassen. Im Revisionsverfahren hat die Klägerin ihre entsprechenden Anträge durch die Forderung auf Einsicht in den Zwischenbericht vom 19.10.2023 ergänzt, auf den in den Compliance-Abschlussberichten Bezug genommen wird.
Vor dem BAG blieb die Revision der Klägerin erfolglos. Es hält die Entscheidung des Landesarbeitsgerichts für zutreffend, nach der die Klägerin nach Art. 15 Abs. 1 i.V.m. Abs. 3 DSGVO keinen Anspruch auf Herausgabe von vollständigen Kopien der Compliance-Abschlussberichte hat.
In seiner Begründung verweist das BAG darauf, dass Art. 15 Abs. 1 Halbsatz 1 DSGVO Beschäftigten grundsätzlich das Recht gibt, von Arbeitgebern als den nach Art. 4 Nr. 7 DSGVO Verantwortlichen Bestätigungen zu den von diesen verarbeiteten personenbezogenen Daten zu verlangen. Findet eine solche Verarbeitung statt, haben Beschäftigte nach Art. 15 Abs. 1 Halbsatz 2 DSGVO ein Recht auf Auskunft über diese Daten einschließlich der in Art. 15 Abs. 1 Buchst. a bis h DSGVO bezeichneten Informationen. Art. 15 Abs. 3 Satz 1 DSGVO begründet zu ihren Gunsten einen Anspruch auf Kopien ihrer personenbezogenen Daten.
Das BAG verweist darauf, dass das Auskunftsrecht in Art. 15 DSGVO nach der Rechtsprechung des EuGH darauf abzielt, Beschäftigten die Prüfung zu ermöglichen, ob sie betreffende Daten richtig sind und ob deren Verarbeitung in zulässiger Weise erfolgt. Das Auskunftsrecht soll sie in die Lage versetzen, ihre nach den Art. 16, 17 und 18 DSGVO bestehenden Rechte auf Berichtigung, auf Löschung („Recht auf Vergessenwerden“) und auf Einschränkung der Verarbeitung ebenso ausüben zu können wie ihr Recht auf Widerspruch gegen die Verarbeitung ihrer Daten nach Art. 21 DSGVO oder auf Einlegung gerichtlicher Rechtsbehelfe bzw. auf Schadensersatz nach den Art. 79 und 82 DSGVO (EuGH, Urt. v. 27.02.2025 - C-203/22 Rn. 53 f. „Dun & Bradstreet Austria“).
Das BAG betont in diesem Zusammenhang, dass aus dem Auskunftsrecht in Art. 15 Abs. 1 DSGVO nur ein Anspruch auf Zurverfügungstellung der sich auf anfragende Beschäftigte beziehenden personenbezogenen Daten folgt, nicht aber zugleich ein Recht auf Übergabe vollständiger Kopien der jeweiligen Dokumente. Der Auskunftsanspruch sei auf die personenbezogenen Daten beschränkt, die Gegenstand einer Verarbeitung durch den Arbeitgeber sind. Von diesen Daten ist Beschäftigten eine originalgetreue und verständliche Reproduktion zu überlassen. Voraussetzung soll jedoch sein, dass diese Zurverfügungstellung unerlässlich ist, um Beschäftigten die wirksame Ausübung ihrer in der DSGVO enthaltenen Rechte zu ermöglichen. Dabei müssen entgegenstehende Rechte und Freiheiten anderer Personen berücksichtigen werden. In diesem Zusammenhang weist das BAG darauf hin, dass der EuGH bezogen auf Art. 12 Abs. 1 DSGVO und den 58. Erwägungsgrund zu dieser Verordnung ausgeführt hat, dass Kopien von Auszügen aus Dokumenten oder von ganzen Dokumenten für die Gewährleistung der leichten Verständlichkeit bereitgestellter Informationen dann unerlässlich sein können, wenn die Kontextualisierung verarbeiteter Daten erforderlich ist, um deren Verständlichkeit zu gewährleisten (vgl. EuGH, Urt. v. 26.10.2023 - C-307/22 Rn. 74 und EuGH, Urt. v. 04.05.2023 - C-487/21 Rn. 41 „Österreichische Datenschutzbehörde“).
Auf dieser Grundlage schließt sich das BAG der von der Vorinstanz getroffenen Feststellung an, dass die Klägerin keinen Anspruch auf Übergabe einer Gesamtkopie des Compliance-Abschlussberichts hat, weil sich deren Inhalt nicht vollständig auf ihre personenbezogenen Daten im Sinne der Begriffsbestimmung in Art. 4 Nr. 1 DSGVO beschränkt. Nicht von dem datenschutzrechtlichen Informationsanspruch erfasst sind die rechtlichen Ausführungen und Mandantenhinweise der von der Beklagten beauftragten Rechtsanwaltskanzlei, weil die Klägerin diese Daten nicht zur Durchsetzung ihrer Rechte nach der DSGVO benötigen soll.
Der von der Klägerin geltend gemachte Anspruch lässt sich nach Feststellung des BAG auch nicht aus den wort- und inhaltsgleichen Regelungen zur Einsicht von Beschäftigten in ihre Personalakten in § 26 Abs. 3 SprAuG bzw. in § 83 Abs. 1 BetrVG ableiten. Diese Bewertung weist darauf hin, dass der in Rede stehende Compliance-Abschlussbericht Teil der Personalakte ist. Das Gericht merkt diesbezüglich an, dass die genannten gesetzlichen Einsichtsrechte keinen Anspruch darauf begründen, dass Beschäftigte ihre bei Arbeitgebern vorhandenen Personalakten als Ganzes kopieren dürfen. Bezogen auf den zu bewertenden Sachverhalt bezweifelt das BAG, ob die im Abschlussbericht enthaltenen rechtlichen Ausführungen und Mandantenhinweise als Teil der materiellen Personalakte angesehen werden können.
Kontext der Entscheidung
Die individuellen Rechte, die sich aus der DSGVO für Beschäftigte ableiten, sind immer öfter Gegenstand arbeitsrechtlicher Auseinandersetzungen. Dies gilt insbesondere im Zusammenhang mit Kündigungsschutzklagen, in denen mögliche datenschutzrechtliche Pflichtverstöße und hieraus resultierende Schadensersatzansprüche eine Rolle spielen können. Vor diesem Hintergrund gehen die Ausführungen des BAG zu Umfang und Grenzen des Auskunftsrechts nach Art. 15 DSGVO über den entschiedenen Rechtsstreit hinaus und sind von allgemeinem Interesse.
Bedeutsam sind auch die vom BAG aufgezeigten Grenzen des datenschutzrechtlichen Auskunftsanspruchs einzelner Beschäftigter in Compliance-Fällen, die insbesondere bezogen auf die Preisgabe von Daten zu hinweisgebenden Personen, die Ermittlungen mit der Information einer internen Meldestelle nach dem HinSchG ausgelöst haben. Das zum Schutz dieser Personen in § 8 HinSchG enthaltene Vertraulichkeitsgebot muss auch bezogen auf ein datenschutzrechtliches Auskunftsersuchen anderer Beschäftigter gewahrt werden. Entsprechendes gilt für andere Personen, die in Compliance-Fällen unter Zusicherung der vertraulichen Behandlung ihrer Aussagen bei der Sachverhaltsaufklärung geholfen haben. Leider enthält das Urteil zu diesem Thema keine expliziten Aussagen und beschränkt sich auf den Hinweis, dass entgegenstehende Rechte und Freiheiten anderer Personen zu berücksichtigen sind.
Problematisch ist, dass das BAG für die Prüfung, welche personenbezogenen Daten Beschäftigten mitzuteilen sind, auf den unbestimmten Maßstab der „Unerlässlichkeit“ zurückgreift: Soweit das Gericht diesbezüglich unter Hinweis auf die Rechtsprechung des EuGH ausführt, dass der Umfang des Auskunftsanspruchs von Beschäftigten davon abhängig sein soll, dass „die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen“, verengt es den datenschutzrechtlichen Auskunftsanspruch in einer Art und Weise, die sich mit Art. 15 DSGVO nur schwer vereinbaren lässt. Diesbezüglich ist zu bedenken, dass der in Art. 4 Nr. 1 DSGVO definierte Begriff der „personenbezogenen Daten“, deren Kopie Verantwortliche nach Art. 15 Abs. 3 Satz 1 DSGVO zur Verfügung stellen müssen, sehr weit gefasst ist.
Auswirkungen für die Praxis
Das vorliegende Urteil verdeutlicht mittelbar den hohen Stellenwert des in § 8 HinSchG enthaltenen Vertraulichkeitsgebots: Hinweisgeber müssen nicht befürchten, dass ihre Identität allein aufgrund bestehender datenschutzrechtlicher Auskunftspflichten ihrer Arbeitgeber anderen Beschäftigten bekannt wird. Diese Konsequenz des Urteils ist uneingeschränkt positiv zu bewerten.
Im arbeitsrechtlichen Rahmen könnte sich hingegen für Beschäftigte, die ihr Auskunftsrecht nach Art. 15 DSGVO wahrnehmen, das Problem ergeben, dass ihnen unter Bezugnahme auf dieses Urteil die Übergabe von Kopien relevanter Unterlagen mit dem Argument verweigert wird, dass diese Zurverfügungstellung nicht unerlässlich dafür ist, ihr nach der DSGVO bestehendes Recht wirksam ausüben zu können.
Bezogen auf dem Umgang mit Informationen zu Compliance-Themen sollten sich die zuständigen internen Bereiche ebenso wie mit entsprechenden Untersuchungen beauftragte Rechtsanwaltsbüros angesichts des Auskunftsanspruchs nach Art. 15 DSGVO mit Blick auf dieses Urteil fragen, ob sie in Zwischen- oder Abschlussberichten Hinweise auf Dritte nicht besser nur in anonymisierter oder zumindest in pseudonymisierter Form wiedergeben sollten. Und vertrauliche Mandantenhinweise nebst zugehörigen rechtlichen Ausführungen ohne Personenbezug müssen auch nicht zwingend in derartigen Berichten enthalten sein.
