Über meine Kanzlei bin ich ja auch für einige Unternehmen als Meldestelle nach dem Hinweisgeberschutzgesetz (HinSchG) benannt worden. Insofern fand ich die folgende Entscheidung sehr interessant, da sie sich mit der Frage beschäftigt, wieweit das Auskunftsrecht einer Mitarbeiterin reicht, gegen die sich bestimmte Vorwürfe richteten, die gemeldet wurden.
Das Landesarbeitsgericht München (Urt. v. 12.6.2025, Az. 2 SLa 70/25) hat entschieden, dass eine (leitende) Arbeitnehmerin nach einer internen Compliance-Untersuchung keinen Anspruch auf Herausgabe einer vollständigen Kopie des Untersuchungsberichts nach Art. 15 DSGVO habe. Vor allem heißt das aber, dass sie grundsätzlich einen Auskunftsanspruch hatte, da der Untersuchungsbericht Teil der Personalakte war. Nur eben nicht auf den vorläufigen Untersuchungsbericht, da diese Vorabfassung des Berichts zusätzlich ergänzende rechtliche Ausführungen und Mandantenhinweise für die Beklagte enthält, welche mangels unmittelbarem Bezug zum Arbeitsverhältnis der Klägerin jedoch nicht Bestandteil der Personalakte im materiellen Sinne seien.
Der Auskunftsanspruch nach Art. 15 DSGVO auf Herausgabe des vollständigen Berichts wurde in dem Urteil zunächst verneint:
“Die Klägerin stützt ihr Begehren auf die Anspruchsgrundlage des Art. 15 Abs. 1 Hs. 2 iVm. Abs. 3 DSGVO. Daraus ergibt sich allerdings vorliegend kein Anspruch auf Überlassung einer Kopie des vollständigen Berichts.“
“Art. 15 Abs. 3 Satz 1 DSGVO gewährt keinen gegenüber Art. 15 Abs. 1 DSGVO eigenständigen Anspruch gegen den Verantwortlichen auf Zurverfügungstellung von Dokumenten mit personenbezogenen Daten. Art. 15 Abs. 1 DSGVO gewährt der betroffenen Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf die näher in Art. 15 Abs. 1 lit. a bis h DSGVO bezeichneten Informationen. Nach Art. 15 Abs. 3 Satz 1 DSGVO stellt der Verantwortliche der betroffenen Person eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Durch die Rechtsprechung des EuGH ist geklärt, dass Art. 15 DSGVO nicht dahin auszulegen ist, dass er in seinem Abs. 3 Satz 1 ein anderes Recht als das in seinem Abs. 1 vorgesehene gewährt. Im Übrigen bezieht sich der Begriff „Kopie“ nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen. Die Kopie muss daher alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind (EuGH 26.10.2023 – C-307/22, DB 2023, 2747, Rn 72; EuGH 04.05.2023 – C-487/21, DB 2023. 1275, Rn 32; BFH 12.03.2024 – IX R 35/21, BFHE 283, Rn. 26 f.).”
Begehrt die betroffene Person die Zurverfügungstellung von Kopien von Dokumenten mit ihren personenbezogenen Daten, ist es an ihr zu benennen, welche ihr durch die DSGVO verliehenen Rechte sie auszuüben gedenkt und darzulegen, aus welchen Gründen die Zurverfügungstellung von Kopien von Akten mit personenbezogenen Daten hierfür unerlässlich ist. Wenn Zurverfügungstellung einer Auskunft der verarbeiteten personenbezogenen Daten nicht genügt, kann ausnahmsweise ein Anspruch auf eine (auszugsweise) Kopie der Quelle, in der die personenbezogenen Daten verarbeitet sind, bestehen. Dies schien dem Gericht nicht ausreichend vorzuliegen um der Beklagte eine Kopie des Compliance-Abschlussberichts vom 31.1.2024 (also mit nicht personenbezogenen Ergänzungen) zur Verfügung stellt. Der Bericht als Ganzes ginge damit weit über eine Verarbeitung personenbezogener Daten der Klägerin hinaus, nur auf deren Mitteilung ein Anspruch nach Art. 15 Abs. 1 DSGVO bestünde, ggf. in Kombination mit einer Kopie dieser Daten nach Art. 15 Abs. 3 DSGVO.
Die Klägerin konnte aber gemäß § 26 Abs. 2 Satz 1 SprAuG Einsicht in den Compliance-Abschlussbericht als Teil ihrer Personalakte verlangen. Unter Zugrundelegung dieses Maßstabs zählt der streitgegenständliche Compliance-Abschlussbericht vom 31.1.2024 zur Personalakte der Klägerin.
Die Beklagte kann die Einsicht in den Compliance-Abschlussbericht nicht mit dem Hinweis auf
den Schutz berechtigter Interessen Dritter verweigern. Etwas besonders an diesem Fall war, dass die Daten des Compliance Berichts nicht unter das HinSchG fielen.
“Vorliegend kann offen bleiben, ob der Anspruch der Klägerin auf Einsicht in die Personalakte nach § 8 Abs. 1 HinSchG beschränkt sein kann (bejahend Musiol NZA 2024, 28, 31 f.). Das Arbeitsgericht hat zutreffend festgestellt, dass der sachliche Anwendungsbereich des HinSchG nicht eröffnet ist, weil sich die von der Beklagten vorgetragenen Hinweise nicht auf einen in § 2 HinSchG genannten Verstoß beziehen.
Soweit die Beklagte meint, die Anwendbarkeit ergebe sich aus § 2 Abs. 1 Nr. 1 HinSchG, so hat sie nicht dargelegt, dass die Hinweisgeber tatsächlich ein – zumindest aus ihrer subjektiven Sicht – strafbares Verhalten der Klägerin gemeldet hätten.“
Die genannten Verstöße (Führungsfehlverhalten) hiergegen sind indes nicht unmittelbar bußgeldbewehrt und unterfallen damit nicht § 2 Abs. 1 Nr. 2 HinSchG
Aus den HinSchG ergibt sich insofern keine Hinderungsgrund für die Einsichtnahme. Das Einsichtsrecht ist auch nicht zur Sicherung berechtigter Interessen Dritter, insbesondere der im Verfahren befragten Mitarbeiter der Beklagten, eingeschränkt. Weil das Führen von Geheimakten im Rahmen der Personalakte unzulässig ist. Denn speichert der Arbeitgeber diese Informationen in der Personalakte, kann der Arbeitgeber bei Zusicherung der Anonymität des Hinweisgebers nur den Teil des Hinweises zur Personalakte im materiellen Sinne nehmen, der die Person des Hinweisgebers nicht offenbart oder Rückschlüsse auf die Person des Hinweisgebers zulässt. Deswegen sind die Teile der Mitteilungen eines Hinweisgebers, dem Anonymität zugesichert worden ist, insoweit nicht zur Personalakte zu nehmen bzw. durch Schwärzung oder eine sonstige technische Vorkehrung unkenntlich zu machen, Unterlässt der Arbeitgeber diese Anonymisierung, kann er dem Angestellten, der Einsicht in seine Personalakte begehrt, dies nicht unter Hinweis auf die von ihm unterlassene Anonymisierung verweigern.
Soweit die Beklagte die Einsicht mit der Begründung verweigern möchte, der Compliance-Abschlussbericht stelle ein Geschäftsgeheimnis dar, so greift dieser Einwand bereits deshalb nicht durch, weil eine geheime Personalakte wie ausgeführt nicht zulässig ist.
Im Ergebnis wurde der Anspruch dann aber nur auf den Bericht in Gestalt der Fassung vom 6.2.2024 bestätigt.
“Obwohl der klägerische Antrag auf Einsicht in den Compliance-Abschlussbericht vom 31.01.2024 gerichtet war, war diesem lediglich zu entsprechen hinsichtlich einer Einsicht in den Bericht in der Fassung vom 06.02.2024, im Übrigen war der Antrag abzuweisen. Nach dem unstreitig gebliebenen Vortrag der Beklagten sind die Fassungen des Berichts vom 31.01.2024 und vom 06.02.2024 im Kern identisch, die Vorabfassung vom 31.01.2024 enthält allerdings zusätzlich
ergänzende rechtliche Ausführungen und Mandantenhinweise für die Beklagte, welche mangels unmittelbarem Bezug zum Arbeitsverhältnis der Klägerin jedoch nicht Bestandteil der Personalakte im materiellen Sinne waren. Infolgedessen handelt es sich bei der Fassung vom 06.02.2024 nicht um ein aliud gegenüber der Fassung vom 31.01.2024 sondern ein minus. Unter Beachtung des § 308 Abs. 1 ZPO war die Beklagte daher zur Gewährung von Einsicht lediglich in die Fassung des Berichts vom 06.02.2024 zu verurteilen und die Klage im Übrigen abzuweisen.“
In Bezug auf die Anspruchsgrundlage des § 26 Abs. 2 Satz 1 SprAuG ist das im Ergebnis jedenfalls nachvollziehbar.
Im Ergebnis sehen wir in der Entscheidung dass Art. 15 DSGVO keinen pauschalen Anspruch auf Herausgabe kompletter interner Berichte gewährt. Maßgeblich ist, ob die betroffene Person ihre Datenrechte ohne Kopie effektiv ausüben kann. Aus den arbeitsrechtlichen Vorschriften ergibt sich jedoch, dass Arbeitnehmerinnen und Arbeitnehmer auch dann ein Einsichtsrecht haben, selbst wenn datenschutzrechtlich kein Anspruch auf eine Kopie besteht.
Um einen wirksamen Schutz von Hinweisgebern zu gewährleisten, gerade, wenn es eher um interne Complilancvorschriften geht, die im Ergebnis nicht unter das HinSchG fallen solten Arbeitgeber daran denken, nicht notwendige Bezüge zu Schwärzungen oder zu anonymisieren. Für arbeitsgerichtliche Verfahren bedeutet die Entscheidung, dass Arbeitnehmerinnen und Arbeitnehmer zwar Zugang zu relevanten personenbezogenen Daten erhalten, jedoch nicht automatisch zur gesamten internen Dokumentation. Das Gericht ließ die Revision zum Bundesarbeitsgericht zu, soweit es um den Anspruch auf Überlassung einer Kopie ging, man wird also sehen, ob diese Auslegung des Art. 15 DSGVO Bestand haben wird.
