Reicht ein PDF-Scan für das Auskunftsersuchen?

Wer Auskunftsersuchen bearbeitet, greift in der Regel zum PDF. Es lässt sich einfach verschlüsselt versenden und sieht auf jedem Gerät gleich aus. Häufig werden dabei auch Ausdrucke eingescannt oder Bildschirmansichten erstellt und als Bilddatei weitergegeben.

Das Oberlandesgericht Stuttgart hat nun entschieden, dass ein solches Bild-PDF nicht in jedem Fall genügt (OLG Stuttgart, Urt. v. 31.07.2026 – 5 U 271/24). Verlangt die betroffene Person ihre Daten nach Art. 20 DSGVO, müssen diese in einem strukturierten und maschinenlesbaren Format herausgegeben werden. Für die Auskunft nach Art. 15 DSGVO gilt dieser Maßstab dagegen nicht. Gerade diese Abgrenzung macht die Entscheidung für die Praxis interessant.

Spielhistorie als Bilddatei

Der Kläger war über mehrere Monate Kunde eines Anbieters von Online-Sportwetten. Um mögliche Rückforderungsansprüche zu prüfen, verlangte er seine vollständige Zahlungs- und Spielhistorie. Er stützte sich dabei sowohl auf das Auskunftsrecht nach Art. 15 DSGVO als auch auf das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO.

Der Anbieter übermittelte daraufhin mehrere PDF-Dateien, darunter eine Tabelle von rund 60 Seiten. Die Seiten lagen allerdings nur als Bild vor. Der Text ließ sich weder markieren noch durchsuchen und eine Weiterverarbeitung der Daten war praktisch nur durch Abtippen möglich. Der Kläger hielt das für unzureichend und klagte auf Herausgabe in maschinenlesbarer Form. So steht es immerhin im Gesetz. Das Landgericht Stuttgart wies die Klage dennoch zunächst ab, die Berufung hatte dann aber Erfolg.

Lesbar heißt nicht maschinenlesbar

Das OLG verurteilte den Anbieter dazu, die vollständige Zahlungs- und Spielhistorie in maschinenlesbarer Form herauszugeben. Dabei unterscheidet das Gericht sauber zwischen den beiden Anspruchsgrundlagen.

Es stellte klar, dass Art. 15 DSGVO kein maschinenlesbares Format verlangt. Auch die Leitlinien 01/2022 des Europäischen Datenschutzausschusses zum Auskunftsrecht fordern das für die Auskunft nicht. Die Auskunft muss für die betroffene Person verständlich und leicht zugänglich sein. Wird der Antrag elektronisch gestellt, ist sie nach Art. 15 Abs. 3 Satz 3 DSGVO in einem gängigen elektronischen Format zu erteilen. Ein PDF kann dem genügen, wenn es vollständig und gut lesbar ist. Interne Codes, Abkürzungen oder Spaltenbezeichnungen müssen ggfs. erläutert werden, damit die betroffene Person ihre Daten im Zusammenhang verstehen kann (Art. 12 Abs. 1 DSGVO). Unscharfe oder abgeschnittene Scans erfüllen die Anforderungen ebenso wenig wie ein Datenauszug ohne jeden Kontext.

Art. 20 DSGVO setzt höher an. Die Daten sind in einem „strukturierten, gängigen und maschinenlesbaren Format“ bereitzustellen, damit sie weiterverwendet und an andere Verantwortliche übermittelt werden können. Ein Bild-PDF erfüllt das nach Ansicht des Gerichts nicht, weil Software Inhalte und Tabellenstruktur nicht zuverlässig erkennen kann. Auch der Verweis auf Texterkennung (OCR) half dem Anbieter nicht. Würde die bloße Möglichkeit einer Texterkennung genügen, verlöre das Merkmal „maschinenlesbar“ jede Bedeutung, denn mit heutiger Technik lässt sich nahezu jedes Format irgendwie auslesen. Geeignet sind nach dem Urteil etwa CSV-Dateien mit Kopfzeilen, JSON, XML oder Tabellenkalkulationen, die ein Sortieren und Filtern ermöglichen.

Entscheidend war außerdem, dass es sich um Daten handelte, die der Kläger im Sinne des Art. 20 DSGVO „bereitgestellt“ hat. Ein- und Auszahlungen sowie Wetteinsätze hat er selbst ausgelöst. Aber auch die Spielergebnisse würden dazu gehören, obwohl er sie nicht selbst herbeigeführt hat, weil sie ihm zur Abwicklung des Vertrages zwingend mitgeteilt werden und mit den Einsätzen untrennbar zusammenhängen.

Das OLG hat die Revision zugelassen. Das letzte Wort könnte also der BGH haben.

Auskunft ist nicht gleich Datenübertragbarkeit

Wichtig ist die Unterscheidung der beiden Anspruchsgrundlagen. Für die Auskunft nach Art. 15 DSGVO bestätigt das OLG, dass ein lesbares PDF ausreichen kann, die strengeren Formatvorgaben ergeben sich allein aus Art. 20 DSGVO.

Daneben hat der Anspruch auf Datenübertragbarkeit aber noch eigene weitere Voraussetzungen, die in der Praxis oft übersehen werden:

• Die Verarbeitung muss auf einer Einwilligung oder einem Vertrag beruhen und automatisiert erfolgen (Art. 20 Abs. 1 DSGVO).
• Erfasst sind nur Daten, die die betroffene Person „bereitgestellt“ hat. Dazu zählen neben aktiv angegebenen Daten auch solche, die bei der Nutzung eines Dienstes entstehen, etwa Transaktions- oder Nutzungsverläufe. Aus diesen Daten abgeleitete Ergebnisse, etwa Score-Werte, gehören nicht dazu.
• Rechte und Freiheiten anderer Personen dürfen – wie meistens – nicht beeinträchtigt werden (Art. 20 Abs. 4 DSGVO).
• Für Verarbeitungen, die zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erfolgen, gilt das Recht nicht (Art. 20 Abs. 3 Satz 2 DSGVO). Behörden sind daher in ihrer hoheitlichen Tätigkeit regelmäßig nicht betroffen.

Neu ist die Linie des OLG übrigens nicht. Schon die Artikel-29-Datenschutzgruppe hatte in ihren Leitlinien zum Recht auf Datenübertragbarkeit (WP 242) beobachtete Daten wie Such- oder Verkehrsdaten einbezogen und offene Formate wie XML, JSON oder CSV empfohlen. PDF-Dateien hielt sie regelmäßig nicht für ausreichend strukturiert. Wann der Anspruch greift und welche Grenzen er hat, haben wir hier ausführlich dargestellt. 

Für die Auskunft bleibt es dagegen bei den bekannten Maßstäben. Der EuGH hat bereits 2023 entschieden, dass eine Kopie im Sinne von Art. 15 Abs. 3 DSGVO die Daten originalgetreu und verständlich wiedergeben muss, notfalls durch Auszüge aus Dokumenten oder Datenbanken (wir berichteten). Der BGH hat anschließend konkretisiert, welche Schreiben und internen Vermerke davon erfasst sind (hierzu berichteten wir ebenfalls). Und auch bei einer elektronischen Auskunft kommt es nicht nur auf das Format an, sondern ebenso auf eine sichere Übermittlung.

In der Praxis

Verantwortliche sollten bei jedem Ersuchen zunächst klären, welches Recht die betroffene Person eigentlich geltend macht. Viele Schreiben berufen sich vorsorglich gleich auf mehrere Artikel der DSGVO. Wird ausdrücklich Datenübertragbarkeit verlangt, empfiehlt es sich,

• die Voraussetzungen des Art. 20 DSGVO zu prüfen, also Rechtsgrundlage, automatisierte Verarbeitung und den Kreis der bereitgestellten Daten,
• die Daten direkt aus dem System zu exportieren, statt Ausdrucke oder Bildschirmansichten einzuscannen,
• ein offenes Format wie CSV mit Kopfzeilen, JSON oder XML zu wählen und die Spalten verständlich zu benennen,
• Daten Dritter vor dem Export zu entfernen.

Auch für die Auskunft nach Art. 15 DSGVO lohnt sich ein Blick auf die eigenen Abläufe. Ein Bild-PDF mag rechtlich genügen, ist für die betroffene Person aber mühsam zu lesen und führt erfahrungsgemäß zu Rückfragen. Ein PDF mit durchsuchbarem Text ist kaum aufwendiger. Wer Systeme neu einführt, sollte außerdem darauf achten, dass sie personenbezogene Daten einer Person gesammelt exportieren können. Das erleichtert beide Ansprüche erheblich und ist letztlich auch eine Frage des Datenschutzes durch Technikgestaltung nach Art. 25 DSGVO.

Fazit

Das OLG Stuttgart schafft Klarheit an einer Stelle, an der in der Praxis vieles vermischt wird. Für die Auskunft nach Art. 15 DSGVO bleibt ein lesbares PDF in der Regel zulässig. Wer dagegen Daten nach Art. 20 DSGVO übertragen muss, kommt mit eingescannten Seiten nicht weit. Ob der BGH diese Linie bestätigt, bleibt abzuwarten, wäre aber nicht verwunderlich.