DSGVO-Auskunft als PDF: Wann das Dateiformat zum Problem wird

Kann eine DSGVO-Auskunft als PDF bereitgestellt werden oder müssen Unternehmen personenbezogene Daten in einem technisch weiterverarbeitbaren Format herausgeben? Mit dieser Frage hat sich das OLG Stuttgart in seinem Teilurteil vom 31. Juli 2026 (Az. 5 U 271/24) beschäftigt. Im Mittelpunkt stand dabei die Frage, ob eingescannte Dokumente ausreichen, wenn die darin enthaltenen Informationen weder durchsucht noch ohne Weiteres automatisiert ausgewertet werden können.

Für die Antwort kommt es entscheidend darauf an, welches Betroffenenrecht geltend gemacht wird. Während bei einer Auskunft nach Art. 15 DSGVO insbesondere die Verständlichkeit und leichte Zugänglichkeit der Informationen maßgeblich sind, gelten für die Datenübertragbarkeit nach Art. 20 DSGVO zusätzliche technische Voraussetzungen. Hier verlangt die DSGVO ein strukturiertes, gängiges und maschinenlesbares Format.

Das Urteil verdeutlicht damit eine für Unternehmen wichtige Unterscheidung: Eine DSGVO-Auskunft als PDF kann grundsätzlich zulässig sein – ein bloßer PDF-Scan erfüllt aber nicht automatisch die weitergehenden Anforderungen des Art. 20 DSGVO.

Streit um die DSGVO-Auskunft als PDF: Der Fall vor dem OLG Stuttgart

In dem Verfahren stritt ein Spieler mit einem in Malta ansässigen Anbieter von Online-Sportwetten und virtuellen Automatenspielen. Der Kläger hatte die deutschsprachige Internetseite des Unternehmens zwischen August 2022 und Januar 2023 genutzt. Später forderte er seine vollständige Zahlungs- und Spielhistorie an. Mithilfe dieser Informationen wollte er ermitteln, in welcher Höhe möglicherweise Rückzahlungsansprüche gegen den Anbieter bestanden.

Das Problem lag in der technischen Aufbereitung

Der Anbieter stellte dem Kläger mehrere PDF-Dokumente mit den verlangten Informationen zur Verfügung. Inhaltlich waren die Daten damit zwar vorhanden, technisch ließen sie sich jedoch nur eingeschränkt nutzen. Bei den Dateien handelte es sich im Wesentlichen um eingescannte Abbildungen. Dadurch konnten einzelne Begriffe weder gesucht noch markiert und kopiert werden.

Für den Kläger war diese Form der DSGVO-Auskunft als PDF nicht ausreichend. Er verlangte die Zahlungs- und Spielhistorie in einer maschinenlesbaren Form, die eine technische Auswertung der umfangreichen Daten ermöglicht. Nachdem das Landgericht Stuttgart seine Klage zunächst abgewiesen hatte, befasste sich das OLG Stuttgart mit seinem Begehren.

Entscheidung des OLG Stuttgart: PDF genügt nicht immer

Das OLG Stuttgart änderte die erstinstanzliche Entscheidung teilweise ab und gab dem Kläger hinsichtlich der verlangten Datenherausgabe Recht. Der Glücksspielanbieter musste die vollständige Zahlungs- und Spielhistorie sämtlicher Spielkonten in maschinenlesbarer Form zur Verfügung stellen. Erst auf Grundlage dieser Daten sollte der Kläger seinen möglichen Zahlungsanspruch konkret beziffern können.

Für die DSGVO-Auskunft als PDF enthält das Urteil allerdings eine wichtige Einschränkung: Das Gericht stellte nicht fest, dass PDF-Dateien generell unzulässig sind. Vielmehr unterschied es zwischen zwei verschiedenen Betroffenenrechten:

• Art. 15 DSGVO: Die bereits übermittelten PDF-Dateien konnten grundsätzlich ausreichen, weil die Daten für den Betroffenen verständlich und leicht zugänglich waren.
• Art. 20 Abs. 1 DSGVO: Hier gelten weitergehende technische Vorgaben. Die erfassten personenbezogenen Daten müssen in einem strukturierten, gängigen und maschinenlesbaren Format bereitgestellt werden.

Den Anspruch auf eine technisch weiterverarbeitbare Zahlungs- und Spielhistorie leitete das OLG deshalb nicht aus dem allgemeinen Auskunftsrecht ab. Ausschlaggebend war vielmehr das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO.

DSGVO-Auskunft als PDF: Art. 15 und Art. 20 DSGVO unterscheiden

Ob eine DSGVO-Auskunft als PDF genügt, lässt sich nicht pauschal beantworten. Entscheidend ist, welches Betroffenenrecht ausgeübt wird. Das OLG Stuttgart grenzt dabei das Auskunftsrecht nach Art. 15 DSGVO vom Recht auf Datenübertragbarkeit nach Art. 20 DSGVO ab. Beide Vorschriften ermöglichen den Zugang zu personenbezogenen Daten, verfolgen jedoch unterschiedliche Anforderungen an deren Bereitstellung.

Die wesentlichen Unterschiede lassen sich so zusammenfassen:

• Art. 15 DSGVO verlangt insbesondere, dass die bereitgestellten Informationen verständlich und leicht zugänglich sind. Eine generelle Pflicht zur Maschinenlesbarkeit ergibt sich daraus nicht. Deshalb kann grundsätzlich auch eine PDF-Datei ausreichen.
• Art. 20 DSGVO stellt zusätzliche technische Anforderungen. Die betreffenden Daten müssen strukturiert, gängig und maschinenlesbar zur Verfügung gestellt werden.
• Maschinenlesbarkeit bedeutet dabei mehr als eine bloße Darstellung auf einem Bildschirm. Eine Software muss die einzelnen Informationen sowie deren interne Struktur erkennen und extrahieren können.

Gerade diese Unterscheidung ist für die Praxis entscheidend: Nicht jede datenschutzrechtliche Datenanforderung verpflichtet Unternehmen automatisch dazu, ein technisch weiterverarbeitbares Dateiformat bereitzustellen.

Warum ein eingescannter PDF-Ausdruck nicht maschinenlesbar ist

Dass Informationen digital übermittelt werden, bedeutet noch nicht, dass sie auch maschinell verarbeitet werden können. Genau hier lag das technische Problem der DSGVO-Auskunft als PDF im Verfahren vor dem OLG Stuttgart. Die übersandten Dateien bildeten im Wesentlichen lediglich zuvor vorhandene Dokumente als Scan ab. Eine Suche nach bestimmten Begriffen war ebenso wenig möglich wie das Markieren und Kopieren einzelner Inhalte.

Auch eine nachträgliche OCR-Texterkennung löst dieses Problem nach der Argumentation des Gerichts nicht ohne Weiteres. Zwar kann eine solche Software Buchstaben und Zahlen aus einem Bild erkennen. Für die erforderliche Maschinenlesbarkeit muss eine Anwendung jedoch zusätzlich nachvollziehen können, wie die enthaltenen Informationen strukturiert und miteinander verknüpft sind.

Besonders deutlich wird dies bei umfangreichen Tabellen: Zeilen, Spalten und zusammengehörige Datensätze müssen technisch korrekt erkannt werden. Deshalb kommen für strukturierte Daten beispielsweise CSV, XML oder JSON in Betracht. Solche Formate können eine automatisierte Erfassung und Weiterverarbeitung ermöglichen, an der es bei einem reinen Bild-PDF gerade fehlen kann.

Wann müssen Daten nach Art. 20 DSGVO übertragbar sein?

Nicht jede DSGVO-Auskunft als PDF muss zusätzlich in ein maschinenlesbares Format umgewandelt werden. Das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO greift nur unter bestimmten Voraussetzungen. Nach der im Ausgangsfall vorgenommenen Prüfung muss die Verarbeitung insbesondere automatisiert erfolgen und auf einer Einwilligung oder einem Vertrag beruhen. Außerdem müssen die betreffenden personenbezogenen Daten von der betroffenen Person „bereitgestellt“ worden sein.

Im Verfahren vor dem OLG Stuttgart waren diese Voraussetzungen bei der Zahlungs- und Spielhistorie erfüllt. Das Gericht bezog insbesondere folgende Informationen ein:

• die vom Kläger vorgenommenen Einzahlungen und Auszahlungen,
• die jeweiligen Spieleinsätze,
• die zugehörigen Spiel- und Wettergebnisse.

Die Transaktions- und Einsatzdaten hatte der Spieler durch sein eigenes bewusstes Verhalten bereitgestellt. Auch die Ergebnisse ordnete das OLG dem erfassten Datenbestand zu. Sie standen unmittelbar mit der Vertragsdurchführung in Zusammenhang und bildeten gemeinsam mit den jeweiligen Einsätzen einen zusammengehörenden Datensatz. Der Kläger konnte daher für diese Informationen die Datenübertragbarkeit nach Art. 20 Abs. 1 DSGVO verlangen.

Was Unternehmen bei einer DSGVO-Auskunft als PDF beachten sollten

Die Entscheidung betrifft nicht nur Anbieter von Online-Glücksspielen. Sie ist grundsätzlich auch für Unternehmen relevant, die größere Mengen an Kunden-, Vertrags-, Nutzungs- oder Transaktionsdaten automatisiert verarbeiten. Geht eine Betroffenenanfrage ein, sollte deshalb zunächst geklärt werden, welches Recht tatsächlich ausgeübt wird. Denn davon hängt ab, in welcher Form die personenbezogenen Daten zur Verfügung gestellt werden müssen.

Auskunftsrecht und Datenübertragbarkeit getrennt prüfen

Verlangt eine Person lediglich Auskunft nach Art. 15 DSGVO, kann eine DSGVO-Auskunft als PDF grundsätzlich ausreichend sein. Wird dagegen das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO geltend gemacht und liegen dessen Voraussetzungen vor, müssen Unternehmen auch die technischen Anforderungen berücksichtigen.

Datenexport technisch vorbereiten

Für die Praxis empfiehlt es sich daher, Prozesse vorzusehen, mit denen relevante Datensätze strukturiert exportiert werden können. Je nach Datenbestand kommen etwa CSV-, JSON- oder XML-Dateien in Betracht. Das bloße Ausdrucken, Einscannen und Versenden umfangreicher Tabellen als Bild-PDF kann dagegen problematisch sein. Maßgeblich ist, ob Software die enthaltenen Daten einschließlich ihrer Struktur zuverlässig erfassen und weiterverarbeiten kann.

Warum die Datenherausgabe für die Stufenklage entscheidend war

Neben den datenschutzrechtlichen Anforderungen an die DSGVO-Auskunft als PDF musste sich das OLG Stuttgart mit einer prozessrechtlichen Frage befassen. Der Kläger hatte eine Stufenklage nach § 254 ZPO erhoben. Bei dieser Klageform wird zunächst die Auskunft verlangt, die erforderlich ist, um einen anschließend verfolgten Zahlungsanspruch konkret berechnen und beziffern zu können.

Genau diesem Zweck sollte die vollständige Zahlungs- und Spielhistorie dienen. Das Landgericht hatte die Stufenklage unter anderem mit der Begründung abgewiesen, dass der Spieler seine Zahlungen und Einsätze grundsätzlich selbst hätte ermitteln können. Das OLG bewertete die Situation anders.

Dabei spielte der Umfang der Daten eine wesentliche Rolle:

• Die übermittelte Spielhistorie umfasste 62 Seiten.
• Jede Seite enthielt sechs Spalten und mehr als 30 Zeilen.
• Eine manuelle Berechnung wäre damit erheblich aufwendiger als eine automatisierte Auswertung.

Nach Auffassung des OLG diente die verlangte Auskunft tatsächlich dazu, den späteren Zahlungsanspruch zu beziffern. Dass datenschutzrechtliche Ansprüche zugleich zur Vorbereitung zivilrechtlicher Forderungen eingesetzt werden, steht ihrer Geltendmachung grundsätzlich nicht entgegen.

Fazit: Eine DSGVO-Auskunft als PDF ist nicht grundsätzlich unzulässig

Das Urteil des OLG Stuttgart zeigt, dass die Frage nach dem richtigen Dateiformat differenziert beantwortet werden muss. Eine DSGVO-Auskunft als PDF ist nicht allein deshalb unzureichend, weil die Datei keine automatisierte Weiterverarbeitung ermöglicht. Beim Auskunftsrecht nach Art. 15 DSGVO steht vielmehr im Vordergrund, dass die personenbezogenen Daten verständlich und leicht zugänglich bereitgestellt werden.

Anders kann die Situation beim Recht auf Datenübertragbarkeit nach Art. 20 DSGVO aussehen. Sind dessen Voraussetzungen erfüllt, müssen die betreffenden Daten in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung stehen. Ein PDF, das lediglich aus eingescannten Abbildungen besteht, kann diesen technischen Anforderungen nicht gerecht werden.

Für Unternehmen folgt daraus vor allem: Nicht das Dateiformat PDF als solches ist entscheidend, sondern das geltend gemachte Betroffenenrecht und die technische Beschaffenheit der bereitgestellten Daten. Bei umfangreichen strukturierten Datensätzen sollte daher geprüft werden, ob ein maschinenlesbarer Export erforderlich ist und beispielsweise CSV, JSON oder XML als geeignetes Ausgabeformat in Betracht kommt.

Fragen zur DSGVO-Auskunft als PDF?

Unsere spezialisierten Rechtsanwälte für IT- und Datenschutzrecht unterstützen Sie dabei, Auskunftsersuchen nach Art. 15 DSGVO und Anfragen zur Datenübertragbarkeit nach Art. 20 DSGVO rechtssicher umzusetzen. Jetzt Beratungstermin vereinbaren oder Kontakt mit uns aufnehmen.