Auskunftsanspruch: Was BAG und OLG Stuttgart jetzt entschieden haben

BAG: Kein Anspruch auf den ganzen Compliance-Bericht

Der Fall: Gegen eine Führungskraft gingen über die Ombudsstelle Beschwerden über ihren Führungsstil ein. Der Arbeitgeber ließ den Verdacht von einer Anwaltskanzlei untersuchen. Deren Abschlussbericht fasste die Vorwürfe zusammen, nannte Hinweisgeber und Zeugen mit Namen, gab Gespräche teils wörtlich wieder und enthielt Wertungen der Kanzlei. Eine Fassung enthielt zusätzlich rechtliche Ausführungen und Hinweise an den Mandanten. Die Führungskraft verlangte nach Art. 15 DSGVO eine Kopie des Berichts.

Die Entscheidung: Das Bundesarbeitsgericht hat die Klage abgewiesen (Urteil vom 16. April 2026, 8 AZR 169/25, veröffentlicht im August 2026). Sein Leitsatz: Das Auskunftsrecht nach Art. 15 Abs. 1 in Verbindung mit Abs. 3 DSGVO bezieht sich grundsätzlich nur auf die in einem Dokument enthaltenen personenbezogenen Daten und nicht auf das gesamte Dokument.

Das BAG folgt damit dem EuGH. Die Kopie muss alle personenbezogenen Daten originalgetreu und verständlich wiedergeben. Ganze Dokumente oder Auszüge daraus sind nur geschuldet, wenn das unerlässlich ist, damit die Person ihre Rechte wirksam ausüben kann, etwa weil die Daten ohne ihren Zusammenhang nicht verständlich wären (EuGH, C-487/21; EuGH, C-307/22). Eine rechtliche Analyse ist nach dem BAG keine Information über die betroffene Person, sondern allenfalls eine Information darüber, wie der Arbeitgeber die Rechtslage einschätzt. Wer eine Rechtsauffassung des Arbeitgebers für falsch hält, muss sich im Prozess dagegen wehren, zum Beispiel in einem Kündigungsschutzverfahren, nicht über Art. 15 DSGVO.

Auch das Recht auf Einsicht in die Personalakte nach § 83 BetrVG und § 26 SprAuG half nicht weiter. Es umfasst zwar Kopien auf eigene Kosten, aber nur in angemessenem Umfang und nicht die Unterlagen als Ganzes.

Was das BAG nicht entschieden hat

Wer aus dem Urteil liest, Compliance-Berichte blieben künftig vollständig intern, liest zu viel hinein. In der Sache entschieden hat das BAG nur über die Fassung mit rechtlichen Ausführungen und Mandantenhinweisen. Über die zweite Fassung ohne diese Teile hat es nicht in der Sache geurteilt, weil die Klägerin sie im Berufungsverfahren zu spät in den Prozess eingeführt hatte.

Die Zusammenfassung der Vorwürfe, die Zeugenaussagen und die Wertungen über das Verhalten der Führungskraft sind dagegen deren personenbezogene Daten. Das BAG betont selbst, dass der Begriff auch Stellungnahmen und Beurteilungen über eine Person umfasst. Nach der Logik des Urteils besteht auf diese Daten weiterhin ein Auskunftsanspruch, nur eben nicht in Form des ganzen Dokuments. Wie weit dabei die Namen von Hinweisgebern und Zeugen geschützt werden müssen, hat das BAG nicht entschieden. Hier kommen die Rechte Dritter nach Art. 15 Abs. 4 DSGVO und, für Meldestellen, das Vertraulichkeitsgebot des § 8 HinSchG ins Spiel.

OLG Stuttgart: Für die Datenübertragbarkeit reicht kein Bild-PDF

Der Fall: Ein Kunde eines Online-Glücksspielanbieters verlangte seine vollständige Zahlungs- und Spielhistorie, um anschließend Rückzahlungsansprüche zu beziffern. Der Anbieter schickte eine PDF-Datei, die nur einen Papierausdruck abbildete: 62 Seiten Tabelle, ohne Texterkennung, nicht durchsuchbar.

Die Entscheidung: Das Oberlandesgericht Stuttgart hat den Anbieter verurteilt, die Daten in maschinenlesbarer Form herauszugeben (Teilurteil vom 31. Juli 2026, 5 U 271/24). Dabei unterscheidet es zwei Ansprüche:

• Auskunft nach Art. 15 DSGVO: Hier kommt es darauf an, dass Menschen die Daten lesen und verstehen können. Maschinenlesbarkeit ist grundsätzlich nicht geschuldet. Das PDF genügte nach dem OLG „noch“. Offen gelassen hat das Gericht, ob anders zu entscheiden ist, wenn ein Unternehmen eigentlich auswertbare Daten gezielt in eine schwer verwertbare Form bringt.
• Datenübertragbarkeit nach Art. 20 DSGVO: Hier sind die Daten in einem strukturierten, gängigen und maschinenlesbaren Format herauszugeben. Ein PDF, das nur ein Bild einer Tabelle ist, erfüllt das nicht, auch nicht, wenn sich der Text mit einer Zeichenerkennung (OCR) herauslesen ließe. Geeignet sind nach dem OLG etwa CSV, JSON, XML oder Tabellen mit Kopfzeilen.

Art. 20 DSGVO greift nur unter bestimmten Voraussetzungen: Die Verarbeitung beruht auf einer Einwilligung oder einem Vertrag, sie erfolgt automatisiert, und es geht um Daten, die die Person selbst bereitgestellt hat. Dazu zählt das OLG nicht nur Eingaben wie Einzahlungen oder Bestellungen, sondern auch Daten, die zur Leistung selbst gehören, etwa Transaktionen und deren Ergebnis. Nicht erfasst sind Daten, die das Unternehmen selbst ableitet, etwa Bewertungen oder Scores.

Wichtig für die Praxis: Dass der Kunde die Daten für einen Zivilprozess gegen das Unternehmen nutzen wollte, stand dem Anspruch nicht entgegen. Das OLG verweist dazu auf den EuGH, nach dem Auskunftsrechte auch aus datenschutzfremden Motiven genutzt werden dürfen. Das Urteil ist möglicherweise nicht das letzte Wort: Das OLG hat die Revision zum BGH zugelassen, weil andere Oberlandesgerichte die Fragen teils anders beurteilen.

Was Unternehmen jetzt tun sollten

1. Anfragen richtig einordnen: Verlangt eine Person ihre Daten „als Export“, „maschinenlesbar“ oder „zur Mitnahme“, kann Art. 20 DSGVO gemeint sein, auch wenn die Anfrage als Auskunft bezeichnet ist. Beide Ansprüche haben unterschiedliche Voraussetzungen und Formate.
2. Exportfähigkeit herstellen: Wer Kundenkonten, Bestellungen oder Transaktionen digital verwaltet, sollte die von Kunden bereitgestellten Daten auf Knopfdruck als CSV oder in einem vergleichbaren Format ausgeben können. Das betrifft Online-Shops, Portale, Plattformen und Anbieter mit Vertragskonten.
3. Auskünfte nicht künstlich verschlechtern: Wer Daten, die im System sortier- und filterbar sind, als Bild ausgibt, geht ein unnötiges Risiko ein. Das OLG hat diese Frage bewusst offen gelassen.
4. Compliance-Berichte trennen: Bei internen Untersuchungen den Sachverhalt mit Aussagen und Bewertungen über die betroffene Person von der rechtlichen Würdigung und den Hinweisen an die Geschäftsleitung trennen, etwa als eigene Anlage. Der Sachverhalt ist grundsätzlich auskunftspflichtig, die rechtliche Analyse nach dem BAG nicht.
5. Schwärzungen vorbereiten: Einen festen Ablauf festlegen, wie Namen von Hinweisgebern und Zeugen vor einer Auskunft geprüft und gegebenenfalls geschwärzt werden.
6. Prozesszweck ist kein Ablehnungsgrund: Auskunftsverlangen nicht deshalb zurückweisen, weil erkennbar ein Rechtsstreit vorbereitet wird.

Die Grundlagen zu Frist, Kopie und Ablauf einer Auskunft finden Sie im Beitrag Auskunftsanfrage nach Art. 15 DSGVO: Was Unternehmen jetzt tun müssen.