Compliance-Berichte und Hinweisgeberschutz - BAG begrenzt Herausgabeanspruch

Das Bundesarbeitsgericht (BAG) hat entschieden, dass Beschäftigte nach Art. 15 DSGVO grundsätzlich keine Kopie eines vollständigen Compliance-Berichts verlangen können, nur weil dieser personenbezogene Daten über sie enthält (BAG vom 16.04.2026 – 8 AZR 169/25). Für den Schutz von Hinweisgebern ist das Urteil deshalb von erheblicher praktischer Bedeutung.

 Was ist passiert?

Drei Hinweisgeber hatten sich über das Führungsverhalten einer leitenden Beschäftigten beschwert. Das Unternehmen ließ daraufhin durch eine Rechtsanwaltskanzlei eine Compliance-Untersuchung durchführen. Im Abschlussbericht wurden die Hinweisgeber und weitere Zeugen namentlich genannt. Außerdem enthielt der Bericht Aussagen aus den geführten Gesprächen und Bewertungen ihrer Glaubhaftigkeit. Die betroffene Führungskraft verlangte später auf Grundlage von Art. 15 DSGVO eine Kopie des vollständigen Compliance-Berichts.

Das Unternehmen lehnte dies ab. Es verwies unter anderem darauf, dass der Bericht schutzwürdige Daten der Hinweisgeber und Zeugen enthalte und ihnen Vertraulichkeit zugesagt worden sei.

Wie hat das Gericht entschieden?

Das BAG lehnte einen Anspruch auf Herausgabe des vollständigen Berichts ab. Art. 15 Abs. 1 in Verbindung mit Abs. 3 DSGVO vermittelt grundsätzlich einen Anspruch auf eine Kopie der personenbezogenen Daten, nicht aber automatisch auf eine Kopie des gesamten Dokuments, in dem diese Daten enthalten sind. Ein vollständiges Dokument kann nur verlangt werden, wenn dies erforderlich ist, damit die betroffene Person ihre Datenschutzrechte wirksam ausüben kann.

Im konkreten Fall bestand diese Notwendigkeit nicht. Der Bericht enthielt neben personenbezogenen Angaben auch rechtliche Bewertungen und Mandantenhinweise. Die Führungskraft benötigte diese Bestandteile nach Auffassung des BAG nicht, um ihre Rechte aus der DSGVO wahrzunehmen.

Was heißt das für die Praxis?

Für interne Hinweisgebersysteme ist die Entscheidung hilfreich. Sie verhindert, dass Art. 15 DSGVO ohne Weiteres zu einem Anspruch auf Herausgabe kompletter Untersuchungsberichte wird. Damit sinkt zugleich das Risiko, dass Namen, Aussagen oder andere Informationen über Hinweisgeber allein über einen umfassenden datenschutzrechtlichen Kopieanspruch offengelegt werden müssen. Das BAG hat allerdings nicht entschieden, dass die Identität der Hinweisgeber im konkreten Fall aufgrund des Hinweisgeberschutzgesetzes geheim zu halten war.

Diese Unterscheidung ist wichtig. § 8 HinSchG verpflichtet Meldestellen grundsätzlich zur Wahrung der Vertraulichkeit der Identität hinweisgebender Personen. Voraussetzung ist insbesondere, dass die Meldung einen vom HinSchG erfassten Verstoß betrifft oder die hinweisgebende Person hinreichenden Grund hatte, dies anzunehmen. Ausnahmen von der Vertraulichkeit regelt § 9 HinSchG. Ob diese Voraussetzungen bei den drei im BAG-Verfahren genannten Hinweisgebern vorlagen, war nicht Gegenstand der Entscheidung.

 Wichtigste Erkenntnisse:

• Ein DSGVO-Auskunftsanspruch führt nicht automatisch zur Herausgabe des vollständigen Compliance-Berichts.
• Personenbezogene Daten und das Dokument, in dem sie enthalten sind, müssen auseinandergehalten werden.
• Die Entscheidung kann den praktischen Schutz vertraulicher Hinweisgeberinformationen stärken.
• Das BAG hat über die Anwendung des HinSchG auf die konkreten Hinweisgeber nicht entschieden.
• Die Vertraulichkeit nach § 8 HinSchG ist deshalb zusätzlich und eigenständig zu prüfen.

 Konkrete Tipps:

• Compliance-Berichte sollten personenbezogene Angaben und rechtliche Bewertungen möglichst klar voneinander trennen.
• Namen von Hinweisgebern sollten nur aufgenommen werden, wenn dies für die Untersuchung tatsächlich erforderlich ist.
• Zugriffsrechte auf Meldungen und Untersuchungsberichte sollten eng begrenzt und dokumentiert werden.
• Bei Auskunftsanträgen nach Art. 15 DSGVO sollte nicht vorschnell der gesamte Untersuchungsbericht herausgegeben werden.
• Zusätzlich ist bei jeder Weitergabe von Informationen zu prüfen, ob §§ 8 und 9 HinSchG einer Offenlegung entgegenstehen.