Wann müssen Arbeitgeber Compliance-Berichte als Kopie herausgeben?

Der Auskunftsanspruch nach Art. 15 Abs. 1 iVm. Abs. 3 DSGVO umfasst nicht automatisch die vollständige Kopie eines Dokuments, sondern beschränkt sich auf die darin enthaltenen personenbezogenen Daten. Enthält ein Compliance-Bericht neben personenbezogenen Daten auch rechtliche Analysen und Mandantenhinweise, besteht kein Anspruch auf Herausgabe dieser Bestandteile, wenn sie zur Verständlichkeit der personenbezogenen Daten nicht erforderlich sind.

Was umfasst der datenschutzrechtliche Kopieanspruch nach Art. 15 DSGVO?

Art. 15 Abs. 1 Halbs. 1 DSGVO gewährt der betroffenen Person das Recht, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Werden solche Daten verarbeitet, besteht nach Art. 15 Abs. 1 Halbs. 2 DSGVO ein Anspruch auf Auskunft über diese Daten sowie die in Art. 15 Abs. 1 Buchst. a bis h DSGVO genannten Informationen. Art. 15 Abs. 3 Satz 1 DSGVO ergänzt dies um einen Anspruch auf Zurverfügungstellung einer Kopie der personenbezogenen Daten. Diese Vorschriften dienen der Gewährleistung des Auskunftsrechts sowie der Transparenz der Datenverarbeitung gegenüber der betroffenen Person (vgl. EuGH, 26.10.2023 - Az: C-307/22).

Das Auskunftsrecht soll es der betroffenen Person ermöglichen, zu überprüfen, ob sie betreffende Daten richtig sind und rechtmäßig verarbeitet werden. Es versetzt sie in die Lage, ihre Rechte auf Berichtigung, Löschung und Einschränkung der Verarbeitung nach Art. 16, 17 und 18 DSGVO sowie ihr Widerspruchsrecht nach Art. 21 DSGVO und ihre Rechte auf gerichtlichen Rechtsbehelf bzw. Schadensersatz nach Art. 79 und 82 DSGVO auszuüben (vgl. EuGH, 27.02.2025 - Az: C-203/22).

Begründet die DSGVO einen eigenständigen Anspruch auf das gesamte Dokument?

Art. 15 Abs. 3 Satz 1 DSGVO stellt kein eigenständiges Recht neben Art. 15 Abs. 1 DSGVO dar, sondern regelt lediglich eine Modalität von dessen Ausübung. Der Anspruch richtet sich nicht auf das Dokument als solches, sondern auf die darin enthaltenen personenbezogenen Daten, die vollständig zur Verfügung zu stellen sind (vgl. EuGH, 04.05.2023 - Az: C-487/21). Der betroffenen Person ist eine originalgetreue und verständliche Reproduktion dieser Daten zu überlassen.

Dieses Recht kann allerdings das Recht auf eine Kopie von Auszügen aus Dokumenten oder ganzen Dokumenten umfassen, wenn dies unerlässlich ist, um der betroffenen Person die wirksame Ausübung ihrer Rechte zu ermöglichen. Dabei sind die Rechte und Freiheiten anderer zu berücksichtigen. Die Reproduktion ganzer Dokumente oder Auszüge kann sich insbesondere dann als erforderlich erweisen, wenn die Kontextualisierung der personenbezogenen Daten notwendig ist, um deren Verständlichkeit sicherzustellen (vgl. EuGH, 26.10.2023 - Az: C-307/22; EuGH, 04.05.2023 - Az: C-487/21; BGH, 05.03.2024 - Az: VI ZR 330/21).

Wie ist der Begriff der personenbezogenen Daten zu verstehen?

Personenbezogene Daten sind nach der Legaldefinition in Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Der Begriff ist angesichts der Formulierung „alle Informationen“ weit zu verstehen und nicht auf sensible oder private Informationen beschränkt. Er umfasst potentiell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur, etwa in Form von Stellungnahmen oder Beurteilungen, sofern es sich um Informationen über die betreffende Person handelt (vgl. EuGH, 22.06.2023 - Az: C-579/21; EuGH, 20.12.2017 - Az: C-434/16).

Rechtliche Ausführungen und Analysen stellen dagegen jedenfalls insoweit keine personenbezogenen Daten dar, als sie eine rechtliche Bewertung der Situation enthalten. Eine rechtliche Analyse ist keine Information über die betroffene Person, sondern allenfalls eine Information darüber, wie der Verantwortliche die Rechtslage einschätzt, sofern sie sich nicht ohnehin auf eine rein abstrakte Rechtsauslegung beschränkt (vgl. EuGH, 17.07.2014 - Az: C-141/12 ua.).

Wann besteht ein Anspruch auf Kopie eines Compliance-Berichts?

Enthält ein Dokument sowohl personenbezogene Daten als auch andere Bestandteile wie rechtliche Ausführungen oder Mandantenhinweise, besteht kein Anspruch auf Herausgabe des gesamten Dokuments als Kopie, sofern die Kontextualisierung der personenbezogenen Daten die Kenntnis dieser weiteren Bestandteile nicht erfordert. Unterschiedliche Bestandteile eines Berichts können auch dann getrennt zu behandeln sein, wenn sie in einem inhaltlichen Zusammenhang zueinander stehen. Vorliegend betraf dies einen Compliance-Abschlussbericht, der neben personenbezogenen Daten zum Führungsverhalten der betroffenen Person auch rechtliche Ausführungen und Mandantenhinweise enthielt; ein Anspruch auf Kopie dieser zusätzlichen Bestandteile bestand nicht, da sie zur Ausübung der Rechte auf Berichtigung, Löschung und Einschränkung der Verarbeitung nach Art. 16, 17 und 18 DSGVO nicht benötigt wurden (vgl. BGH, 16.04.2024 - Az: VI ZR 223/21).

Welche Bedeutung hat das betriebsverfassungsrechtliche Einsichtsrecht in Personalakten?

Neben dem datenschutzrechtlichen Auskunftsanspruch kommt ein Recht auf Einsichtnahme in die Personalakte nach § 26 Abs. 2 SprAuG bzw. dem wort- und inhaltsgleichen § 83 Abs. 1 BetrVG in Betracht (vgl. BAG, 16.11.2010 - Az: 9 AZR 573/09). Personalakten sind nach dem materiellen Begriffsverständnis eine Sammlung von Urkunden und Vorgängen, die die persönlichen und dienstlichen Verhältnisse des Bediensteten betreffen und in einem inneren Zusammenhang mit dem Dienstverhältnis stehen; auf eine äußere Zuordnung kommt es nicht an (vgl. BAG, 17.10.2024 - Az: 8 AZR 42/24).

Das Einsichtsrecht umfasst grundsätzlich auch das Recht, auf eigene Kosten Kopien aus der Personalakte zu fertigen. Dieser Anspruch ist jedoch auf einen angemessenen Umfang begrenzt und deckt nicht die vollständige Kopie der Personalunterlagen als Ganzes ab.

Hinweis: Urteile geben die Rechtsauffassung des Gerichts zum Entscheidungsdatum wieder und ersetzen keine rechtliche Beratung im Einzelfall. Für Aktualität, Vollständigkeit und Richtigkeit wird keine Gewähr übernommen.