Auskunfts­anspruch: Was BAG und OLG Stuttgart jetzt entschieden haben

BAG: Kein Anspruch auf eine Kopie des gesamten Compliance-Berichts

Bei der Ombudsstelle eines Arbeitgebers sind Beschwerden über den Führungsstil einer Führungskraft eingegangen. Der Arbeitgeber hat eine Rechtsanwaltskanzlei mit einer Untersuchung des Verdachts beauftragt. Der Abschlussbericht der Kanzlei fasste die Vorwürfe zusammen, benannte die Hinweisgeber und Zeugen namentlich, gab Gespräche teilweise wörtlich wieder und enthielt Wertungen der Kanzlei. Eine der beiden Fassungen des Berichts enthielt zusätzlich rechtliche Ausführungen und Hinweise an den Mandanten. Die Führungskraft verlangte gemäß Art. 15 DSGVO eine Kopie des Berichts.

Das Bundesarbeitsgericht hat die Revision der Führungskraft zurückgewiesen (Urteil vom 16. April 2026, 8 AZR 169/25, veröffentlicht im August 2026). Ihre Anträge auf Überlassung von Kopien des Berichts sind damit rechtskräftig abgewiesen. Gemäß dem Leitsatz bezieht sich das Auskunftsrecht aus Art. 15 Abs. 1 und 3 DSGVO grundsätzlich nur auf die in einem Dokument enthaltenen personenbezogenen Daten und nicht auf das gesamte Dokument.

Das BAG folgt mit dieser Entscheidung der Rechtsprechung des EuGH. Nach dieser Rechtsprechung muss die Kopie alle personenbezogenen Daten originalgetreu und verständlich wiedergeben. Die Überlassung vollständiger Dokumente oder von Auszügen daraus ist nur geschuldet, wenn dies zur wirksamen Ausübung der Rechte der betroffenen Person unerlässlich ist (vgl. EuGH, C-487/21; EuGH, C-307/22). Dies kann beispielsweise der Fall sein, wenn die Daten ohne ihren Kontext nicht verständlich wären. Gemäß dem BAG ist eine rechtliche Analyse keine Information über die betroffene Person, sondern allenfalls eine Information über die Einschätzung der Rechtslage durch den Arbeitgeber. Sollte die betroffene Person die Rechtsauffassung des Arbeitgebers für unzutreffend halten, kann sie sich im gerichtlichen Verfahren dagegen wenden, etwa in einem Kündigungsschutzverfahren. Dies ist jedoch nicht über Art. 15 DSGVO möglich.

Auch aus dem Recht auf Einsicht in die Personalakte nach § 83 BetrVG und § 26 SprAuG ergab sich kein Anspruch. Das Recht umfasst zwar die Befugnis, auf eigene Kosten Kopien anzufertigen, jedoch nur in angemessenem Umfang und nicht für die Unterlagen als Ganzes.

Grenzen der Entscheidung des BAG

Aus dem Urteil folgt jedoch nicht, dass Compliance-Berichte künftig vollständig intern bleiben. In der Sache hat das BAG nur über die Fassung mit rechtlichen Ausführungen und Mandantenhinweisen entschieden. Über die zweite Fassung ohne diese Teile hat das BAG keine Sachentscheidung getroffen, da die Klägerin den entsprechenden Antrag erst nach Ablauf der Frist zur Berufungserwiderung im Wege der Anschlussberufung gestellt hatte.

Die Zusammenfassung der Vorwürfe, die Zeugenaussagen und die Wertungen über das Verhalten der Führungskraft sind hingegen deren personenbezogene Daten. Das BAG betont, dass der Begriff auch Stellungnahmen und Beurteilungen über eine Person umfasst. Nach der Urteilsbegründung besteht hinsichtlich dieser Daten weiterhin ein Auskunftsanspruch, allerdings nicht in Form einer Kopie des gesamten Dokuments. Das BAG hat keine Entscheidung darüber getroffen, inwieweit dabei die Namen von Hinweisgebern und Zeugen geschützt werden müssen. Insoweit sind insbesondere die Rechte Dritter nach Art. 15 Abs. 4 DSGVO sowie für Meldestellen das Vertraulichkeitsgebot des § 8 HinSchG maßgeblich.

OLG Stuttgart: Bild-PDF genügt nicht für die Datenübertragbarkeit

Im Stuttgarter Fall verlangte ein Kunde eines Online-Glücksspielanbieters seine vollständige Zahlungs- und Spielhistorie, um anschließend Rückzahlungsansprüche zu beziffern. Der Anbieter übersandte eine PDF-Datei, die lediglich das Bild eines Papierausdrucks enthielt. Die 62 Seiten umfassende Tabelle war ohne Texterkennung erstellt worden, sodass eine Durchsuchung nicht möglich war.

Das Oberlandesgericht Stuttgart hat den Anbieter dazu verurteilt, die Daten in maschinenlesbarer Form herauszugeben (Teilurteil vom 31. Juli 2026, 5 U 271/24). Dabei unterscheidet das Gericht zwischen zwei Ansprüchen.

• Gemäß Art. 15 DSGVO muss die Auskunft der betroffenen Person die Daten lesbar und verständlich machen. Maschinenlesbarkeit ist grundsätzlich nicht geschuldet. Das OLG hat entschieden, dass die übersandte PDF-Datei für die Auskunft „noch“ ausreichte. Das Gericht hat die Frage offengelassen, ob anders zu entscheiden ist, wenn ein Unternehmen auswertbare Daten gezielt in eine schwer verwertbare Form bringt.
• Gemäß Art. 20 DSGVO sind die Daten in einem strukturierten, gängigen und maschinenlesbaren Format herauszugeben. Eine PDF-Datei, die lediglich das Bild einer Tabelle enthält, erfüllt diese Anforderung nicht, auch wenn sich der Text mit einer Zeichenerkennung (OCR) auslesen ließe. Das OLG nennt als geeignete Formate etwa CSV, JSON, XML oder Tabellen mit Kopfzeilen.

Die Anwendung von Art. 20 DSGVO ist an drei Voraussetzungen geknüpft. Die Verarbeitung muss auf einer Einwilligung oder einem Vertrag beruhen, automatisiert erfolgen und Daten betreffen, die die betroffene Person selbst bereitgestellt hat. Hierzu zählt das OLG Eingaben wie Einzahlungen oder Bestellungen sowie Daten, die zur Leistung selbst gehören, etwa Transaktionen und deren Ergebnis. Daten, die das Unternehmen selbst ableitet, etwa Bewertungen oder Scores, sind von Art. 20 DSGVO nicht erfasst.

Die beabsichtigte Verwendung der Daten in einem Zivilprozess gegen das Unternehmen stand dem Anspruch nicht entgegen. Das OLG verweist hierzu auf die Rechtsprechung des EuGH, nach der Auskunftsrechte auch zu Zwecken geltend gemacht werden dürfen, die nicht mit dem Datenschutz zusammenhängen. Das OLG hat die Revision zum BGH zugelassen, da andere Oberlandesgerichte die Fragen teilweise abweichend beurteilen.

Empfehlungen für Unternehmen

Für Unternehmen ergeben sich aus beiden Urteilen folgende Empfehlungen:

1. Anfragen sind stets zutreffend einzuordnen. Sollten Personen ihre Daten „als Export“, „maschinenlesbar“ oder „zur Mitnahme“ anfordern, könnte dies auf Art. 20 DSGVO hindeuten, auch wenn die Anfrage als Auskunft bezeichnet wird. Die beiden Ansprüche unterscheiden sich in ihren Voraussetzungen und im geschuldeten Format.
2. Unternehmen, die Kundenkonten, Bestellungen oder Transaktionen digital verwalten, sollten in der Lage sein, die von Kunden bereitgestellten Daten mit geringem Aufwand als CSV oder in einem vergleichbaren Format auszugeben. Dies betrifft insbesondere Online-Shops, Portale, Plattformen und Anbieter mit Vertragskonten.
3. Auskünfte sollten nicht künstlich verschlechtert werden. Die Ausgabe von Daten, die im System sortier- und filterbar sind, als Bild begründet ein vermeidbares Risiko, da das OLG diese Frage bewusst offen gelassen hat.
4. Für Berichte über interne Untersuchungen empfiehlt sich eine Gliederung in zwei Teile. Ein Teil des Berichts enthält den Sachverhalt mit den Aussagen und Bewertungen über die betroffene Person, ein eigener Teil, etwa eine Anlage, die rechtliche Würdigung und die Hinweise an die Geschäftsleitung. Die personenbezogenen Daten im Sachverhaltsteil unterliegen grundsätzlich dem Auskunftsanspruch, die rechtliche Analyse nach dem BAG hingegen nicht.
5. Es empfiehlt sich, einen festen Ablauf zu definieren, der regelt, wie die Namen von Hinweisgebern und Zeugen vor einer Auskunft geprüft und gegebenenfalls geschwärzt werden.
6. Ein Auskunftsverlangen kann nicht mit der Begründung zurückgewiesen werden, dass erkennbar ein Rechtsstreit vorbereitet wird.

Der Beitrag Auskunftsanfrage nach Art. 15 DSGVO: Pflichten des Unternehmens erläutert die Maßnahmen, die Unternehmen für den Umgang mit Fristen, Kopien und dem Ablauf einer Auskunft treffen sollten.