Eine solche Unzumutbarkeit kann sich auch aus einem entwickelten Datenschutzkonzept des Verantwortlichen ergeben. So unter anderem das Gericht per Urteil vom 13.Mai 2025 (Az.: 12 B 14/23) in einem verwaltungsrechtlichen Gerichtsverfahren, mit die Aufhebung einer datenschutzrechtlichen Verwarnung durch die erste Instanz bestätigt wurde. Inhaltlich ging es um die Auskunft in Form von Videoaufnahmen aus dem ÖPNV durch den Betreiber, der von einer Person auf Auskunft in Anspruch genommen worden war. Das Gericht führt unter anderem aus:
„…Auf Basis dieser Maßstäbe steht das Datenschutzkonzept der Klägerin für den Umgang mit den Videoaufnahmen aus der S-Bahn der zumutbaren Identifizierbarkeit des Beigeladenen gemäß Art. 11 Abs. 2 Satz 1 i.V.m. Art. 12 Abs. 2 Satz 2 DS-GVO entgegen.
Die Klägerin vermag als Folge ihres Datenschutzkonzepts keine Einsicht in die Videoaufzeichnungen zu nehmen. Zu einer Abkehr von ihrer Datenschutzpraxis zur Identifizierung des Beigeladenen war sie nicht verpflichtet. Das mit der Beklagten abgestimmte Datenschutzsystem der Klägerin, das auch Gegenstand der durch die Länder Berlin und Brandenburg ausgeschriebenen Verkehrsverträge war, ist nicht Ausdruck unzureichender Organisation oder verfolgt das Ziel, Auskunftsansprüche leerlaufen zu lassen. Es sichert vielmehr gerade ein hohes Datenschutzniveau, indem es den Wertungen der Datenschutz-Grundverordnung sowie den Rechten und Freiheiten der von der Datenverarbeitung betroffenen Personen Rechnung trägt. Die dezentrale Speicherung der Aufnahmen, die Sicherung der Datenträger gegen unbefugte Entnahme, der mehrstufige Prozess zur Auslese der Datenträger an einem speziell geschützten Arbeitsplatz, die Autorisierung nur weniger Personen zur Bearbeitung der Daten sowie deren limitierte Zugriffsrechte ohne die Möglichkeit der Einsichtnahme, die eng begrenzte Speicherdauer und die Auswertung allein auf Anforderung der Strafverfolgungsbehörden bilden zentrale Bestandteile des Datenschutzkonzepts. Dieses minimiert die Eingriffe und Gefährdungen im Hinblick auf die personenbezogenen Daten der Beschäftigten der Klägerin und ihrer täglich hunderttausenden Kunden.
Während die zeitlich, technisch, personell und organisatorisch komplexe physische Entnahme der Datenträger (aus dem sich im Betrieb befindenden Zug) und die Extrahierung der relevanten Videosequenz bei Auskunftsanfragen Betroffener nach Art. 15 DS-GVO den Arbeitsschritten im Rahmen der Bereitstellung von Videoaufnahmen für die Strafverfolgungsbehörden entspricht und damit „nur“ zusätzlichen – wenn auch durchaus beachtlichen – Aufwand bedeutete, hätte die Identifizierung des Beigeladenen vorausgesetzt, dass die Klägerin dieses kohärente und datenschutzrechtlichen Grundprinzipien Rechnung tragende Konzept in seinen wesentlichen Bestandteilen aufgibt und die eigenen Identifizierungsmöglichkeiten erheblich erweitert. Dies würde die Ziele der Datenschutz-Grundverordnung konterkarieren, denn Resultat wäre eine deutliche Absenkung des Datenschutzniveaus und eine gewichtige Zunahme umfangreicher und sensibler Datenverarbeitungsprozesse: Da die Einsichtnahme und Auswertung nicht mehr nur durch die Strafverfolgungsbehörden, sondern auch seitens der Klägerin selbst erfolgen müsste, hätte sie die technischen Voraussetzungen hierfür schaffen müssen, da es die Konfiguration der Software derzeit weder ihr noch dem beauftragten Dienstleister erlaubt, die verschlüsselten Videosequenzen zu betrachten (vgl. § 4 Abs. 8 Satz 2 BetrV). Zudem wären weitere personelle Kapazitäten erforderlich, da das Personal des Drittanbieters bisher nur für die die Extrahierung betroffener Sequenzen bei Anfragen der Strafverfolgungsbehörden beauftragt ist (vgl. §§ 3, 6 Abs. 2 BetrV). Ferner wären umfangreiche Änderungen der Betriebsvereinbarung erforderlich gewesen, die eine Entnahme und Auswertung der Videoaufnahmen derzeit nur auf Anfrage der Strafverfolgungsbehörden zulässt. Auch wenn die Maßgaben der Betriebsvereinbarung nicht unmittelbar den Rechten des Beigeladenen entgegengehalten werden können, ist deren Abschluss zum Schutz der personenbezogenen Daten im Beschäftigungskontext ausdrücklich anerkannt (vgl. Art. 88 Abs. 1 DS-GVO, ErwG Nr. 155 DS-GVO) und der rechtliche Anpassungsbedarf für die Frage der zumutbaren Identifizierungsmaßnahmen ebenfalls zu berücksichtigen. Indem ein Zug mit 40 Videokameras ausgestattet ist, wäre zur Identifikation des Beigeladenen auf Basis seiner Angaben sodann – jedenfalls potentiell – die Durchsicht zahlreicher Aufnahmen sowie ggf. der Einsatz einer Gesichtserkennungssoftware erforderlich gewesen (deren Einsatz § 9 Abs. 1 BetrV ebenfalls untersagt). Mit diesen Maßnahmen wäre zudem zwingend eine längere Speicherung der Aufnahmen einhergegangen, obwohl deren automatische Löschung im Ringspeicherverfahren nach 48 Stunden gerade den Empfehlungen der europäischen Datenaufsicht (EDPB, Leitlinien zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0 [29.1.2020], Rn. 121; so auch DSK, Kurzpapier Nr. 15 – Videoüberwachung nach der Datenschutz-Grundverordnung, S. 3), den Maßgaben in § 20 Abs. 4 Satz 2 BlnDSG sowie der Abstimmung des Datenschutzkonzepts zwischen der Klägerin und der Beklagten entspricht.
Diese umfangreiche Durchsicht und Analyse – nicht mehr nur durch die Strafverfolgungsbehörden und in eng umgrenzten Ausnahmefällen -, die Abkehr von den Schutzmechanismen des bestehenden Konzepts sowie die längere Speicherung der personenbezogenen Daten zur Identifizierung des Beigeladenen – mit im Übrigen ungewissen Erfolgsaussichten seiner Identifizierung – widerspräche nicht nur den Grundsätzen der Datensparsamkeit und -minimierung (vgl. Art. 5 Abs. 1 lit. c und e DS-GVO), sondern ginge auch mit gewichtigen Eingriffen in die Grundrechte der weiteren Fahrgäste einher (vgl. Art. 7, Art. 8 GrCh), die durch Verpixelung oder anderweitige Unkenntlichmachung zwar gemildert, aber nicht vermieden werden können. Der Sinn und Zweck von Art. 11 Abs. 1 DS-GVO besteht aber gerade darin, solche datenschutzrechtlich negativen Implikationen einer aus Sicht des Verantwortlichen gar nicht erforderlichen Identifikation nur zum Zweck der Erfüllung des Auskunftsrechts aus Art. 15 Abs. 3 DS-GVO zu verhindern. Indem Art. 11 DS-GVO anerkennt, dass Verantwortliche ihr Datenschutzsystem so organisieren, dass es als Folge hoher Datenschutzstandards der Identifizierung Betroffener entgegensteht (vgl. oben), kommt es für das Auskunftsbegehren des Beigeladenen nicht darauf an, dass die Klägerin theoretisch die Möglichkeit gehabt hätte, die Datenverarbeitung anders zu gestalten, z.B. durch eine zentrale Speicherung der Videoaufnahmen mit jederzeitiger Einsichtnahmemöglichkeit (vgl. Schwartmann/Klein/Peisker, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, 3. Aufl. 2024, Art. 15 DS-GVO Rn. 65).
Auch wenn der Auskunftsanspruch des Art. 15 DS-GVO nicht davon abhängig ist, dass mit seiner Ausübung bestimmte Zwecke verfolgt werden (vgl. EuGH, Urteil vom 26. Oktober 2023 – C-307/22 -, juris Rn. 52; Schemmer, ZGI 2024, 205 [206]), bietet die Frage der Zumutbarkeit von Identifizierungsmaßnahmen i.R.d. Art. 11 Abs. 2 Satz 1 DS-GVO Raum für eine Abwägung von Aufwand und Folgen einer Identifizierung mit den Informationsbelangen des Auskunftssuchenden. Danach ist das Transparenzinteresse des Beigeladenen vorliegend als äußerst gering einzuordnen. Der Beigeladene war sich der Datenverarbeitung bereits im Moment seiner Zugfahrt am 6. Oktober 2020 bewusst, wie sein Auskunftsantrag unmittelbar nach Fahrtende belegt. Die Klägerin hat dargelegt, dass die Kameras und die Hinweise auf die Videoüberwachung in ihren Zügen gut sichtbar angebracht sind (vgl. Anlage K 5; „Regionales Betreiberkonzept Videoaufzeichnung“, S. 8 und Anlage 4). Sein Antrag diente nach eigenen Angaben auch nicht dazu, Art, Umfang, Richtigkeit oder Vollständigkeit einer Datenverarbeitung zu klären, um ihre Rechtmäßigkeit überprüfen zu können (vgl. ErwG Nr. 63 Satz 1 DS-GVO), sondern erfolgte zunächst ohne spezifischen Anlass. Es ist auch nicht erkennbar, dass die Herausgabe der Aufnahme erforderlich gewesen wäre, um sein Recht auf Berichtigung, Löschung („Recht auf Vergessenwerden“), Einschränkung der Verarbeitung sowie Widerspruch gegen die Verarbeitung seiner personenbezogenen Daten auszuüben (vgl. Art. 16-18, 21 DS-GVO; zu diesen Zwecken des Auskunftsrechts EuGH, Urteil vom 4. Mai 2023 – C-487/21 -, juris Rn. 35; Urteil vom 12. Januar 2023 – C-154/21 -, juris Rn. 37 f.). Sofern der Beigeladene angibt, mittlerweile an den – auch nach der umfänglich erfolgten Auskunft nach Art. 15 Abs. 1 DS-GVO noch offenen – Details zur Art der Datenverarbeitung (z.B. Winkel und Auflösung der Aufnahmen) interessiert zu sein, bleibt unklar, inwiefern diese Angaben für die Verwirklichung seiner Rechte und Freiheiten von Belang sind. Dies gilt insbesondere deshalb, da nach dem Datenschutzkonzept der Klägerin grundsätzlich keinerlei Einsicht in diese Aufnahmen stattfinden und deren Löschung nach 48 Stunden erfolgen wird, so dass der Beigeladene – unabhängig von der Höhe der Auflösung der Videoaufzeichnungen – keine Auswertung seiner Daten durch den Verantwortlichen oder Dritte fürchten muss. Sollte der Beigeladene wiederum möglicherweise auf einer von den Strafverfolgungsbehörden angefragten Aufzeichnung zu sehen sein, wäre er hierüber nach Art. 15 Abs. 1 lit. c DS-GVO zu informieren gewesen und weitere Auskünfte (ggf. auch nach Art. 15 Abs. 3 DS-GVO) wären – ohne Entwertung des Datenschutzkonzepts und den damit einhergehenden gewichtigen Bedenken – möglich gewesen. Zudem stellt die Datenverarbeitung im Anwendungsbereich des Art. 11 DS-GVO infolge der nur abstrakten Personenbeziehbarkeit bei fehlender Erforderlichkeit einer konkreten Identifizierung durch den Verantwortlichen schon grundsätzlich nur einen geringen Eingriff in die Rechte der Betroffenen dar (vgl. Steiger, ZD 2024, 143 [144]). Der Verordnungsgeber hat anerkannt, dass diesen Daten nur ein geringes Gefährdungspotential innewohnt und der Betroffene weniger schutzbedürftig ist. Die Belange des Beigeladenen rechtfertigen daher nicht die gewichtigen Bedenken begegnende und erheblichen Aufwand hervorrufende Aufgabe des Datenschutzkonzepts der Klägerin. Dies führt zur Annahme der Unzumutbarkeit seiner Identifizierung gemäß Art. 11 Abs. 2 Satz 1 DS-GVO…“
