Werden personenbezogene Daten nach der DSGVO herausverlangt, stellt sich nicht nur die Frage, welche Daten ein Unternehmen bereitstellen muss. Entscheidend kann auch sein, in welchem Format dies geschieht. Das OLG Stuttgart hat mit Teilurteil vom 31. Juli 2026 (Az. 5 U 271/24) hierzu eine wichtige Abgrenzung vorgenommen. Einfache PDF-Dateien, die lediglich eingescannte Bilder von Dokumenten enthalten, erfüllen nicht ohne Weiteres die Anforderungen an maschinenlesbare Daten nach DSGVO.
Dabei kommt es allerdings auf die richtige Anspruchsgrundlage an. Während Art. 15 DSGVO grundsätzlich eine verständliche und leicht zugängliche Auskunft verlangt, stellt Art. 20 DSGVO zusätzliche technische Anforderungen an die Datenübertragbarkeit. Verlangt diese Vorschrift ein strukturiertes, gängiges und maschinenlesbares Format, reicht ein bloßer Bildscan nicht aus. Die Entscheidung ist damit auch für Unternehmen relevant, die umfangreiche Kunden-, Transaktions- oder Nutzungsdaten speichern und diese auf Verlangen herausgeben müssen.
Der Fall vor dem OLG Stuttgart: PDF-Scans mit umfangreichen Spieldaten
Ausgangspunkt des Verfahrens war die Klage eines Spielers gegen einen in Malta ansässigen Anbieter von Online-Sportwetten und virtuellen Automatenspielen. Der Kläger hatte zwischen August 2022 und Januar 2023 über die deutschsprachige Internetseite des Unternehmens gespielt. Anschließend verlangte er Auskunft über seine vollständige Zahlungs- und Spielhistorie, um mögliche Rückzahlungsansprüche beziffern zu können.
Der Anbieter übermittelte daraufhin mehrere PDF-Dokumente mit den entsprechenden Informationen. Das Problem: Bei den Dateien handelte es sich im Wesentlichen um bildhafte PDF-Scans. Einzelne Wörter konnten weder markiert und kopiert noch über die Suchfunktion eines PDF-Readers gefunden werden. Eine automatisierte Auswertung der umfangreichen Tabellen war dadurch erheblich erschwert.
Der Kläger hielt diese Form der Datenbereitstellung für unzureichend. Er verlangte maschinenlesbare Daten, damit die Zahlungs- und Spielhistorie technisch ausgewertet werden konnte. Nachdem das Landgericht Stuttgart die Klage zunächst abgewiesen hatte, verfolgte er seinen Anspruch vor dem OLG Stuttgart weiter.
OLG Stuttgart verlangt maschinenlesbare Daten nach DSGVO
Das OLG Stuttgart gab der Berufung des Klägers hinsichtlich der begehrten Auskunft statt. Der Anbieter wurde verpflichtet, die vollständige Zahlungs- und Spielhistorie sämtlicher Spielkonten des Klägers in maschinenlesbarer Form herauszugeben. Damit änderte das Gericht die erstinstanzliche Entscheidung des Landgerichts Stuttgart ab. Über den anschließend geltend zu machenden Zahlungsanspruch sollte dagegen erst nach Bezifferung entschieden werden.
Entscheidend ist jedoch eine wichtige Differenzierung: Das OLG leitete die Pflicht zur Bereitstellung maschinenlesbarer Daten nach DSGVO nicht unmittelbar aus Art. 15 ab. Die bereits übermittelten PDF-Dateien genügten nach Auffassung des Gerichts grundsätzlich den Anforderungen des Auskunftsrechts. Art. 15 DSGVO stellt vor allem darauf ab, dass personenbezogene Daten für den Betroffenen verständlich und leicht zugänglich bereitgestellt werden.
Den weitergehenden Anspruch auf ein strukturiertes, gängiges und maschinenlesbares Format stützte das OLG vielmehr auf das Recht auf Datenübertragbarkeit nach Art. 20 Abs. 1 DSGVO.
Art. 15 oder Art. 20 DSGVO: Wo liegt der entscheidende Unterschied?
Für die rechtliche Einordnung unterscheidet das OLG Stuttgart klar zwischen dem Auskunftsrecht nach Art. 15 DSGVO und dem Recht auf Datenübertragbarkeit nach Art. 20 DSGVO. Beide Vorschriften ermöglichen Betroffenen Zugang zu personenbezogenen Daten, stellen aber unterschiedliche Anforderungen an deren Bereitstellung.
Art. 15 DSGVO: Verständlichkeit steht im Vordergrund
Nach Art. 15 DSGVO müssen die Informationen insbesondere verständlich und leicht zugänglich sein. Ein zwingender Anspruch auf Maschinenlesbarkeit besteht grundsätzlich nicht. Deshalb kann auch eine PDF-Datei den Anforderungen genügen.
Art. 20 DSGVO: Technische Weiterverarbeitung muss möglich sein
Anders ist es bei Art. 20 DSGVO. Hier müssen Betroffene ihre bereitgestellten personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten. Die Voraussetzungen müssen kumulativ erfüllt sein. Maschinenlesbare Daten nach DSGVO müssen daher so strukturiert sein, dass Software einzelne Informationen und deren interne Struktur erkennen und extrahieren kann. Eine bloße optische Lesbarkeit des Dokuments genügt dafür nicht.
Warum einfache PDF-Scans nicht maschinenlesbar sind
Nicht jede digital bereitgestellte Datei enthält automatisch maschinenlesbare Daten. Genau daran scheiterten die vom Glücksspielanbieter übermittelten Dokumente. Nach den Feststellungen des OLG Stuttgart entsprachen die PDF-Dateien lediglich der digitalen Abbildung eines Papierausdrucks. Einzelne Wörter ließen sich weder markieren und kopieren noch über die Suchfunktion des PDF-Readers auffinden.
Auch die Möglichkeit, nachträglich eine OCR-Texterkennung einzusetzen, genügte dem Gericht nicht. Maschinenlesbarkeit setzt mehr voraus als die bloße technische Erkennung einzelner Zeichen. Software muss auch die Struktur der enthaltenen Informationen zuverlässig identifizieren und die Daten entsprechend extrahieren können.
Gerade bei Tabellen ist das entscheidend. Werden beispielsweise Spalten, Zeilen oder zusammengehörende Datensätze bei der Konvertierung nicht korrekt erkannt, ist eine strukturierte Weiterverarbeitung kaum möglich. Das OLG nennt deshalb Formate wie XML, JSON oder CSV als Beispiele, bei denen Tabelleninformationen so strukturiert bereitgestellt werden können, dass eine automatisierte Verarbeitung möglich ist.
Wann besteht ein Anspruch auf maschinenlesbare Daten nach DSGVO?
Art. 20 DSGVO gewährt nicht bei jeder Verarbeitung personenbezogener Daten automatisch einen Anspruch auf ein maschinenlesbares Format. Das OLG Stuttgart stellte deshalb zunächst fest, ob die gesetzlichen Voraussetzungen des Rechts auf Datenübertragbarkeit im konkreten Fall erfüllt waren. Erforderlich ist insbesondere, dass die Verarbeitung automatisiert erfolgt und auf einer Einwilligung oder einem Vertrag beruht. Zudem müssen die betreffenden personenbezogenen Daten von der betroffenen Person „bereitgestellt“ worden sein.
Bei der Zahlungs- und Spielhistorie bejahte das Gericht diese Voraussetzungen. Dazu gehörten insbesondere:
- die vom Spieler vorgenommenen Ein- und Auszahlungen,
- die einzelnen Spieleinsätze sowie
- die jeweiligen Spiel- und Wettergebnisse.
Nach Auffassung des OLG hatte der Kläger die Transaktions- und Einsatzdaten durch sein bewusstes Handeln selbst bereitgestellt. Auch die Spielergebnisse wurden einbezogen, weil sie unmittelbar mit der Vertragsdurchführung verbunden waren und zusammen mit dem jeweiligen Einsatz einen einheitlichen Datensatz bildeten. Damit konnte der Kläger die Herausgabe dieser maschinenlesbaren Daten auf Art. 20 Abs. 1 DSGVO stützen.
Warum Maschinenlesbarkeit mehr als reine Texterkennung bedeutet
Das OLG Stuttgart beschäftigte sich außerdem mit der Frage, wann Daten tatsächlich als maschinenlesbar gelten. Maßgeblich ist nicht allein, ob eine Software einzelne Buchstaben oder Zahlen technisch erkennen kann. Ein maschinenlesbares Format muss vielmehr so aufgebaut sein, dass Softwareanwendungen konkrete Daten einschließlich ihrer internen Struktur leicht identifizieren, erkennen und extrahieren können.
Eine nachträgliche Texterkennung mittels OCR macht aus einem eingescannten Dokument daher nicht automatisch maschinenlesbare Daten. Gerade bei umfangreichen Tabellen kann zwar der Text erkannt werden, ohne dass Zeilen, Spalten und zusammengehörende Informationen korrekt übernommen werden.
Hinter dieser Anforderung steht der Zweck des Art. 20 DSGVO: Betroffene sollen ihre Daten ohne größeren technischen Aufwand erhalten und weiterverwenden beziehungsweise an einen anderen Verantwortlichen übertragen können. Entscheidend ist somit nicht, ob sich Informationen mit zusätzlicher Software irgendwie extrahieren lassen, sondern ob das bereitgestellte Format eine strukturierte technische Weiterverarbeitung tatsächlich ermöglicht.
Was das Urteil für Unternehmen in der Praxis bedeutet
Die Entscheidung des OLG Stuttgart ist nicht nur für Glücksspielanbieter relevant. Unternehmen, die umfangreiche Kunden-, Vertrags-, Nutzungs- oder Transaktionsdaten automatisiert verarbeiten, sollten prüfen, ob bei einem entsprechenden Verlangen neben Art. 15 DSGVO auch Art. 20 DSGVO einschlägig ist. Denn dann kann es nicht ausreichen, vorhandene Daten auszudrucken, einzuscannen und anschließend als PDF-Datei zu übermitteln.
Für die Praxis bedeutet die Entscheidung insbesondere:
- Art. 15 und Art. 20 DSGVO getrennt prüfen: Nicht jede DSGVO-Auskunft muss maschinenlesbar sein.
- Daten strukturiert exportieren: Bei Art. 20 DSGVO können beispielsweise CSV-, JSON- oder XML-Dateien geeignet sein.
- Bild-PDFs kritisch prüfen: Eine lediglich eingescannte Tabelle erfüllt die Anforderungen an maschinenlesbare Daten nach DSGVO nicht schon deshalb, weil OCR-Software den Inhalt möglicherweise erkennen kann.
- Weiterverarbeitung berücksichtigen: Entscheidend ist, ob Software auch die interne Datenstruktur zuverlässig erfassen und extrahieren kann.
Unternehmen sollten ihre Prozesse für Betroffenenanfragen daher technisch und rechtlich darauf ausrichten, unterschiedliche DSGVO-Rechte und die jeweils erforderlichen Ausgabeformate voneinander zu unterscheiden.
Warum die Stufenklage in diesem Fall zulässig war
Neben der datenschutzrechtlichen Frage befasste sich das OLG Stuttgart auch mit der Stufenklage nach § 254 ZPO. Bei einer Stufenklage wird zunächst die Auskunft verlangt, die benötigt wird, um einen anschließend geltend gemachten Anspruch konkret beziffern zu können. Über die einzelnen Ansprüche wird dabei schrittweise entschieden. Der Kläger verlangte zunächst seine vollständige Zahlungs- und Spielhistorie und wollte anschließend auf Grundlage dieser Informationen seinen möglichen Rückzahlungsanspruch beziffern. Das Landgericht hatte die Stufenklage unter anderem deshalb abgewiesen, weil der Spieler seine Zahlungen und Einsätze grundsätzlich selbst hätte ermitteln können.
Das OLG Stuttgart folgte dieser Argumentation nicht. Die übermittelte Spielhistorie umfasste 62 Seiten mit jeweils sechs Spalten und mehr als 30 Zeilen. Für den Kläger machte es daher einen erheblichen Unterschied, ob er sämtliche Werte manuell berechnen musste oder die Daten mithilfe einer Tabellenkalkulation automatisiert auswerten konnte.
Entscheidend war, dass die verlangte Auskunft tatsächlich der Bezifferung des späteren Zahlungsanspruchs diente. Dass DSGVO-Rechte dabei auch zur Vorbereitung zivilrechtlicher Ansprüche genutzt werden, steht ihrer Geltendmachung grundsätzlich nicht entgegen.
Fazit: Maschinenlesbare Daten nach DSGVO erfordern die richtige technische Struktur
Das Urteil des OLG Stuttgart zeigt, dass bei der Herausgabe personenbezogener Daten genau zwischen Art. 15 und Art. 20 DSGVO unterschieden werden muss. Eine gewöhnliche DSGVO-Auskunft muss grundsätzlich verständlich und leicht zugänglich sein. Daraus folgt jedoch nicht automatisch ein Anspruch auf ein maschinenlesbares Dateiformat. Art. 20 DSGVO geht unter seinen besonderen Voraussetzungen weiter und verlangt ein strukturiertes, gängiges und maschinenlesbares Format.
Ein PDF-Scan, der lediglich einen Papierausdruck digital abbildet, kann diesen Anforderungen nicht gerecht werden. Entscheidend ist, dass Software nicht nur einzelne Zeichen erkennen, sondern auch die Struktur der Daten zuverlässig erfassen und weiterverarbeiten kann. Formate wie CSV, JSON oder XML können hierfür grundsätzlich geeignet sein.
Für Unternehmen bedeutet die Entscheidung: Werden maschinenlesbare Daten nach DSGVO verlangt, sollte zunächst die einschlägige Rechtsgrundlage geprüft werden. Greift Art. 20 DSGVO, kommt es nicht allein auf den Inhalt der bereitgestellten Daten an – auch deren technische Aufbereitung ist entscheidend.
Fragen zu maschinenlesbaren Daten nach DSGVO?
Sie sind unsicher, ob Sie personenbezogene Daten nach Art. 15 oder Art. 20 DSGVO herausgeben müssen oder welches Dateiformat die gesetzlichen Anforderungen erfüllt? Unsere spezialisierten Rechtsanwälte für IT- und Datenschutzrecht unterstützen Sie bei der rechtlichen Prüfung von Auskunfts- und Datenübertragungsansprüchen sowie bei der rechtskonformen Umsetzung von Betroffenenanfragen. Vereinbaren Sie ein Teams-Meeting oder stellen Sie direkt Ihre Rechtsfrage – wir helfen Ihnen gerne!
❓ FAQ zu maschinenlesbaren Daten nach DSGVO
Müssen personenbezogene Daten nach der DSGVO immer maschinenlesbar bereitgestellt werden?
Nein. Maschinenlesbare Daten nach DSGVO müssen nicht bei jeder Auskunft bereitgestellt werden. Art. 15 DSGVO verlangt grundsätzlich eine verständliche und leicht zugängliche Auskunft. Ein strukturiertes, gängiges und maschinenlesbares Format ist dagegen unter den Voraussetzungen des Rechts auf Datenübertragbarkeit nach Art. 20 Abs. 1 DSGVO erforderlich.
Reicht ein PDF-Scan für maschinenlesbare Daten nach DSGVO aus?
Nein, ein reiner PDF-Scan reicht grundsätzlich nicht aus, wenn Art. 20 DSGVO ein maschinenlesbares Format verlangt. Nach dem OLG Stuttgart muss Software die enthaltenen Daten einschließlich ihrer Struktur erkennen und extrahieren können. Ein PDF, das lediglich die Abbildung eines Papierdokuments enthält, erfüllt diese Anforderungen nicht ohne Weiteres.
Ist ein PDF mit OCR-Texterkennung maschinenlesbar?
Nein. Eine OCR-Texterkennung macht ein eingescanntes PDF nicht automatisch zu einem maschinenlesbaren Format im Sinne des Art. 20 DSGVO. Entscheidend ist, dass Software neben einzelnen Zeichen auch die Struktur der Daten zuverlässig erkennen und extrahieren kann. Besonders bei Tabellen müssen etwa Zeilen, Spalten und zusammengehörende Datensätze erhalten bleiben.
Welche Dateiformate gelten nach Art. 20 DSGVO als maschinenlesbar?
Für strukturierte Daten können insbesondere CSV, JSON oder XML als maschinenlesbare Formate geeignet sein. Entscheidend ist jedoch nicht allein die Dateiendung. Das Format muss so aufgebaut sein, dass Software die enthaltenen Daten und deren interne Struktur zuverlässig identifizieren, erkennen und extrahieren kann.
Was ist der Unterschied zwischen Art. 15 und Art. 20 DSGVO?
Art. 15 DSGVO regelt das Auskunftsrecht und verlangt grundsätzlich keine Maschinenlesbarkeit. Art. 20 DSGVO regelt dagegen das Recht auf Datenübertragbarkeit. Liegen dessen Voraussetzungen vor, müssen die betreffenden personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format bereitgestellt werden. Die beiden Ansprüche verfolgen damit unterschiedliche Zwecke.
Was bedeutet maschinenlesbar nach der DSGVO?
Maschinenlesbar bedeutet, dass Software konkrete Daten einschließlich ihrer internen Struktur automatisch identifizieren, erkennen und extrahieren kann. Eine bloße optische Lesbarkeit für Menschen reicht dafür nicht aus. Bei strukturierten Daten muss beispielsweise erkennbar bleiben, welche Werte zu bestimmten Zeilen, Spalten oder Datensätzen gehören.
Wann gilt Art. 20 DSGVO?
Art. 20 DSGVO greift insbesondere, wenn personenbezogene Daten automatisiert verarbeitet werden und die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht. Außerdem muss es sich grundsätzlich um personenbezogene Daten handeln, welche die betroffene Person dem Verantwortlichen bereitgestellt hat.
