Verwarnung, Auskunftsanspruch, Herausgabe der Videoaufzeichnungen aus der S-Bahn, Grundrechtsfähigkeit staatlich beherrschter Unternehmen, Klagebefugnis, Videoüberwachung als Verarbeitung personenbezogener Daten, Zurechnung der staatsanwaltlichen Erkenntnismittel, Verweigerung der Auskunft, Fehlende Identifizierbarkeit, Aufwand für Verantwortlichen, Rechtsmissbrauch, Informationsinteresse, Intendiertes Ermessen

Soweit die Klägerin die Anschlussberufung zurückgenommen hat, wird das Berufungsverfahren eingestellt.

Die Berufung der Beklagten wird mit der Maßgabe zurückgewiesen, dass die erstinstanzliche Kostenentscheidung entsprechend dem hiesigen Tenor geändert wird.

Von den Kosten des Verfahrens beider Rechtszüge tragen die Klägerin ¾ und die Beklagte ¼, mit Ausnahme der außergerichtlichen Kosten des Beigeladenen, die dieser selbst trägt.

Das Urteil ist hinsichtlich der Kosten vorläufig vollstreckbar. Die jeweilige Vollstreckungsschuldnerin darf die Vollstreckung durch Sicherheitsleistung in Höhe von 110 v. H. des aus dem Urteil vollstreckbaren Betrags abwenden, wenn nicht die jeweilige Vollstreckungsgläubigerin vor der Vollstreckung Sicherheit in Höhe von 110 v. H. des jeweils zu vollstreckenden Betrags leistet.

Die Revision wird zugelassen.

Die Verfahrensbeteiligten streiten um eine datenschutzrechtliche Verwarnung.

Die Klägerin ist eine hundertprozentige Tochtergesellschaft der DB Regio AG, die wiederum eine hundertprozentige Tochtergesellschaft der Deutsche Bahn AG ist, welche ihrerseits vollständig im Eigentum der Bundesrepublik Deutschland steht.

Die Klägerin betreibt das öffentliche S-Bahn-Netz in Berlin. Die von ihr dabei eingesetzten Züge sind teilweise mit Videokameras ausgestattet, die die Fahrgastinnenräume erfassen. Die dabei aufgezeichneten Daten werden in einem geschlossenen Netzwerk an Videoaufzeichnungsgeräte (sog. „Black Boxes“) an Bord der Züge übertragen und dort auf auswechselbaren Festplatten (sog. „Wechselfestplatten“) gespeichert - also insbesondere nicht „nach außen“ übertragen. Nach 48 Stunden werden die gespeicherten Daten durch fortlaufende Überschreibung in einem Ringspeicherverfahren automatisch gelöscht, sofern keine Anforderung der Daten durch die Ermittlungsbehörden zum Zweck der Aufklärung von Straftaten erfolgt.

Kommt es zu seiner solchen Anforderung der Strafverfolgungsbehörden - was durchschnittlich vier Mal die Woche der Fall ist -, erfolgt ein Ausbau der Wechselfestplatten aus dem betroffenen Zug durch ein geschultes „Entnahmeteam“ der Klägerin (i.d.R. nachts nach Fahrtende) sowie anschließend eine Extrahierung der konkreten Videosequenz anhand der Metadaten durch Mitarbeiter eines externen Dienstleisters der Klägerin. Dies kann nur an einem eigens hierfür eingerichteten und durch ein Schließsystem vor dem Zugriff Unbefugter gesicherten Arbeitsplatz an der Leitstelle der Klägerin erfolgen, da allein dort die entsprechende Software installiert ist. Der Zugang ist nur für eingewiesene und berechtigte Personen möglich und wird dokumentiert. Die Software ist dabei so konfiguriert, dass bei der Entnahme von Videosequenzen keine Bildbetrachtung möglich ist. Systemseitig ist zudem sichergestellt, dass die Daten nicht elektronisch versandt werden können - sie werden vielmehr verschlüsselt auf einem externen Datenträger gespeichert und anschließend den Strafverfolgungsbehörden übergeben. Nur durch diese erfolgt eine Sichtung. Die Klägerin nimmt zu keinem Zeitpunkt des Prozesses Einsicht in die Aufnahmen und identifiziert die dort abgebildeten Personen nicht. Die Beschäftigten der Klägerin sind hierzu auch weder technisch (s.o.) noch - infolge der Maßgaben ihrer Betriebsvereinbarung (vgl. Anlage K 11) - rechtlich in der Lage. Auch die Mitarbeiter des externen Dienstleisters können die Videosequenzen nicht einsehen und auswerten, sondern übermitteln diese nach der Extrahierung lediglich an die Strafverfolgungsbehörden (vgl. auch „Regionales Betreiberkonzept Videoaufzeichnung“, S. 6 ff.).

Am 6. Oktober 2020 nutzte der Beigeladene nach eigenen Angaben einen der mit Videokameras ausgestatteten Züge der Klägerin. Am selben Tag beantragte er unter Vorlage einer Ausweiskopie bei der Klägerin sowie unter Angabe von Zeitraum, Zugnummer, äußerem Erscheinungsbild („R_____“) und Verhalten (Zeigen auf Datenschutzhinweis) während der benannten Zugfahrt die Übersendung der Videoaufzeichnungen dieser Fahrt und die Einschränkung der Verarbeitung im Hinblick auf die Löschung der Aufnahmen nach 48 Stunden (Anlage K 2a). Die Klägerin lehnte dies mit Schreiben vom 6. Oktober 2020 unter Verweis auf die Herausgabe der Aufzeichnungen nur an Strafverfolgungsbehörden ab. Die Daten der begehrten Videoaufzeichnung wurden entsprechend dem beschriebenen Ringspeicherverfahren nach 48 Stunden gelöscht.

Mit einem weiteren Schreiben an den Beigeladenen vom 22. Oktober 2020 machte die Klägerin Angaben zur Speicherung und Verwendung der von ihm verarbeiteten Daten und informierte über die ihm zustehenden Betroffenen- und Beschwerderechte. Zudem wies sie den Beigeladenen darauf hin, dass eine Auswertung der Aufnahme nur zum Zweck seiner Identifizierung nicht geboten sei sowie dass er auf Basis der gemachten Angaben nicht eindeutig als die auf der Videoaufnahme abgebildete Person zu identifizieren sei (Anlagenkonvolut K 2).

Am 10. November 2020 wandte sich der Beigeladene daraufhin mit einer Beschwerde an die Beklagte, da die Klägerin zu Unrecht die Herausgabe einer Kopie der Videosequenz verweigert und dadurch sein Auskunftsrecht gemäß Art. 15 DS-GVO verletzt habe. Im Anschluss an Stellungnahmen von Klägerin und Beigeladenem teilte die Beklagte der Klägerin mit Schreiben vom 30. Juli 2021 (Anlage K 7) und 2. Dezember 2021 (Anlage K 9) mit, dass die Klägerin das Auskunftsrecht des Beigeladenen nach Art. 15 DS-GVO verletzt habe, indem sie seinem Antrag nicht entsprochen habe. Es sei nicht nachvollziehbar, wieso eine Identifizierung des Beigeladenen auf dem Videoausschnitt ausgeschlossen gewesen sein sollte. Der Beigeladene habe alle erforderlichen Angaben gemacht, um ihn auf den Videoaufzeichnungen entdecken zu können. Die Klägerin habe auch keine zusätzlichen Informationen bei ihm zur Identifizierung angefordert. Die Rechte Dritter auf den Aufnahmen hätten durch Unkenntlichmachung gewahrt werden können. Es hätte ein Prozess zur Auskunftserteilung binnen der 48-stündigen Aufbewahrungsfrist angestoßen werden müssen. Für einen Ausschluss des Auskunftsanspruchs sei nichts ersichtlich. Die Beklagte beabsichtige, eine Verwarnung gegenüber der Klägerin auszusprechen und ziehe bei weiteren gleichgelagerten Verstößen die Verhängung eines Bußgelds in Betracht.

Mit ihrer am 20. Dezember 2021 beim Verwaltungsgericht Berlin eingegangenen Klage hat sich die Klägerin zunächst gegen die beiden Schreiben der Beklagten vom 30. Juli 2021 und 2. Dezember 2021 gewandt. Nachdem die Beklagte mit Bescheid vom 23. Dezember 2021, der Klägerin zugegangen am 30. Dezember 2021, die angekündigte Verwarnung wegen eines Verstoßes gegen Art. 15 DS-GVO im Hinblick auf den Antrag des Beigeladenen vom 6. Oktober 2020 ausgesprochen hatte (Anlage K 10), hat die Klägerin die Klage mit am 25. Januar 2022 beim Verwaltungsgericht eingegangenem Schriftsatz auf diesen Bescheid erstreckt. Darüber hinaus hat die Klägerin im erstinstanzlichen Verfahren die Verpflichtung der Beklagten beantragt, keine weiteren aufsichtsrechtlichen Maßnahmen auf Basis der bisherigen Auskunftsersuchen des Beigeladenen zu ergreifen, sowie die Feststellung begehrt, abseits einer Anforderung durch die Strafverfolgungsbehörden nicht zur Erteilung von Auskünften über die Videoaufnahmen in ihren Zügen, zur Herausgabe dieser Videoaufnahmen oder zu ihrer längeren Speicherung als 48 Stunden verpflichtet zu sein.

Mit Urteil vom 12. Oktober 2023, der Beklagten zugestellt am 6. November 2023, hat das Verwaltungsgericht die mit Bescheid vom 23. Dezember 2021 ausgesprochene Verwarnung aufgehoben und die Klage im Übrigen als unzulässig abgewiesen. Die Klage sei im Hinblick auf die begehrte Aufhebung der Verwarnung als Anfechtungsklage zulässig. Insbesondere sei die Klägerin trotz ihrer Stellung als staatlich beherrschtes Unternehmen klagebefugt. Die Verwarnung sei auch rechtswidrig, da der Beigeladene keinen Anspruch auf Herausgabe einer Kopie der begehrten Videosequenz habe. Das Verwaltungsgericht hat dabei offengelassen, inwiefern es sich bei den Videoaufzeichnungen in den Zügen der Klägerin um personenbezogene Daten im Sinne der Datenschutz-Grundverordnung handele. Jedenfalls habe der insofern darlegungsbelastete Beigeladene nicht nachgewiesen, dass er die „betroffene Person“ i.S.d. Art. 15 Abs. 3 DS-GVO ist, die auf den beanspruchten Videosequenzen zu sehen sein soll. Seine Angaben zur Individualisierung reichten hierfür, insbesondere angesichts des von ihm getragenen Mund-Nasen-Schutzes, nicht aus. Die Auskunftserteilung sei der Klägerin wegen des damit verbundenen und insbesondere auch aus dem geringen Informationsinteresse des Beigeladenen resultierenden unverhältnismäßigen Aufwands zudem nicht zumutbar. Da die Beklagte ferner davon ausgegangen sei, zumindest eine Verwarnung aussprechen zu müssen, habe sie auch ihr Entschließungsermessen im Hinblick auf das Ergreifen aufsichtsrechtlicher Maßnahmen verkannt.

Mit Schriftsatz vom 13. November 2023, eingegangen beim Verwaltungsgericht am 14. November 2023, hat die Beklagte die wegen grundsätzlicher Bedeutung zugelassene Berufung eingelegt. Sie macht insbesondere Folgendes geltend: Die Klägerin sei als ausschließlich vom Staat beherrschte juristische Person des Privatrechts bereits nicht klagebefugt. Jedenfalls sei die Verwarnung rechtmäßig ergangen. Es handele sich bei den Videoaufzeichnungen der Klägerin um personenbezogene Daten. Dies gelte bereits insofern, als der Beigeladene der Klägerin seine Identität mitgeteilt habe. Zudem erscheine es denkbar, dass die Klägerin - etwa mit Hilfe der Strafverfolgungsbehörden oder durch Erweiterung ihrer eigenen technischen Möglichkeiten -, ihre Fahrgäste zu identifizieren vermag. Der Auskunftsanspruch des Beigeladenen sei daher auch nicht infolge mangelnder Identifizierbarkeit nach Art. 11 DS-GVO ausgeschlossen. Die hierfür darlegungs- und beweisbelastete Klägerin habe auch keine weiteren Informationen angefordert, sondern unrealistische Anforderungen an den Nachweis der Identität gestellt. Der Beigeladene habe jedoch ausreichende Angaben gemacht, um seine Identifizierung - trotz des Mund-Nasen-Schutzes - bei Betrachtung des Bildmaterials zu ermöglichen.

Der Auskunftsanspruch sei auch nicht ausgeschlossen. Unabhängig davon, dass ein mit der Herausgabe der Videoaufnahmen verbundener unzumutbarer Aufwand nicht vorliege, sei ein solcher Ausnahmetatbestand generell nicht anzuerkennen. Auf ein bestimmtes Transparenzinteresse des Auskunftsersuchenden komme es nicht an. Es liege auch kein rechtsmissbräuchlicher Antrag vor. Einer Beeinträchtigung der Rechte und Freiheiten Dritter könne hinreichend dadurch begegnet werden, dass diese unkenntlich gemacht würden.

Es liege schließlich kein Ermessensausfall vor, da es sich im Hinblick auf das „Ob“ des Einschreitens um einen Fall des intendierten Ermessens handele, bei dem ein Tätigwerden nicht gesondert begründet werden müsse.

Die Beklagte beantragt,

unter Abänderung des Urteils des Verwaltungsgerichts Berlin vom 12. Oktober 2023 die Klägerin in vollem Umfang mit der Klage abzuweisen.

Nachdem die Klägerin ihre ursprünglich im Wege der Anschlussberufung weiterverfolgten erstinstanzlichen Unterlassungs- und Feststellungsanträge - vor der Antragstellung - in der mündlichen Verhandlung zurückgenommen hat, beantragt sie nunmehr noch,

die Berufung der Beklagten zurückzuweisen.

Die Anfechtungsklage gegen die Verwarnung sei zulässig. Eine Klagebefugnis ergebe sich bereits unmittelbar aus der Systematik der Datenschutz-Grundverordnung, wonach ein wirksamer Rechtsbehelf gegen aufsichtsrechtliche Maßnahmen zur Verfügung stehen müsse.

Die Verwarnung sei zudem aus mehreren Gründen rechtswidrig: So sei der Anwendungsbereich der DS-GVO bereits nicht eröffnet, da es sich bei den Videoaufzeichnungen in den Zügen der Klägerin nicht um die Verarbeitung personenbezogener Daten handele. Die Klägerin sei auf Basis der Vorgaben ihrer Betriebsvereinbarung sowie nach Maßgabe ihres mit der Beklagten abgestimmten Datenschutzkonzepts weder rechtlich noch technisch zur Einsichtnahme in die Aufnahmen und damit zur Identifizierung der Fahrgäste in der Lage. Da bereits zum Zeitpunkt des Auskunftsverlangens durch den Beigeladenen festgestanden habe, dass ein strafbares Verhalten während des Zeitraums der streitgegenständlichen Fahrt nicht vorgelegen habe, sei auch ein Einsichtnahmeersuchen - und eine etwaige Identifikation des Beigeladenen - durch die hierfür allein ermächtigten und befähigten Strafverfolgungsbehörden ausgeschlossen gewesen. Unabhängig davon sei es auch unter Berücksichtigung der Möglichkeiten der Strafverfolgungsbehörden vom Zufall abhängig, ob Personen auf den Aufzeichnungen tatsächlich identifiziert werden können, was nicht zur Annahme eines hinreichenden Personenbezugs reiche. Schließlich seien die Aufzeichnungen nicht eingesehen und demnach dem Beigeladenen auch nie zugeordnet worden.

Ein Auskunftsrecht des Beigeladenen sei ferner gemäß Art. 11 DS-GVO ausgeschlossen, der die Klägerin davon befreie, Maßnahmen zur Herstellung der Identifizierbarkeit des Beigeladenen zu ergreifen. Dies gelte insbesondere, da die hierfür erforderliche generelle Umstellung ihrer Prozesse gewichtigen datenschutzrechtlichen Bedenken begegnen und erhebliche Ressourcen beanspruchen würde.

Die Klägerin habe angesichts des geringen Transparenzinteresses des Beigeladenen eine Auskunftserteilung zudem wegen des hiermit verbundenen unverhältnismäßigen Aufwands verweigern dürfen. Der Antrag sei auch rechtsmissbräuchlich, nicht zuletzt vor dem Hintergrund zu erwartender zahlreicher Folgeanträge.

Schließlich habe die Beklagte ihr Entschließungsermessen fehlerhaft ausgeübt, da es sich nicht um einen Fall intendierten Ermessens handele. Selbst bei Annahme eines solchen hätte sie zumindest Erwägungen zum Vorliegen eines atypischen Falles anstellen müssen. Im Übrigen sei die Verwarnung unverhältnismäßig.

Der Beigeladene hat keinen Sachantrag gestellt. Er führt an, den Auskunftsantrag ursprünglich aus keinem besonderen Grund gestellt zu haben, nun aber an Art und Weise seiner Erfassung, etwa im Hinblick auf die Auflösungshöhe der Videoaufnahmen, interessiert zu sein. Die Klägerin sei verpflichtet, ihre Datenverarbeitung so zu organisieren, dass dem grundrechtlich anerkannten Auskunftsanspruch möglichst weitgehend Rechnung getragen würde. Im Übrigen schließt er sich inhaltlich im Wesentlichen den Ausführungen der Beklagten an und erachtet die Verwarnung für rechtmäßig.

Wegen der Einzelheiten des Sachverhalts und des Vorbringens der Beteiligten wird auf die gerichtliche Verfahrensakte sowie den Verwaltungsvorgang der Beklagten (ein Band) Bezug genommen, die vorgelegen haben und zum Gegenstand der mündlichen Verhandlung gemacht worden sind.

A. Soweit die Klägerin ihre Anschlussberufung zurückgenommen hat, ist das Berufungsverfahren in entsprechender Anwendung von § 92 Abs. 3 Satz 1 VwGO einzustellen.

B. Die zulässige, insbesondere fristgerecht eingelegte und begründete (§ 124a Abs. 2-3 VwGO) Berufung der Beklagten, ist unbegründet. Das Verwaltungsgericht hat die Verwarnung der Klägerin durch Bescheid vom 23. Dezember 2021 zu Recht aufgehoben.

I. Die Klage ist zulässig. Sie ist als Anfechtungsklage gemäß § 42 Abs. 1 Alt. 1 VwGO statthaft (vgl. zur Verwarnung als feststellendem Verwaltungsakt BVerwG, Urteil vom 20. März 2024 - 6 C 8.22 -, juris Rn. 13). Sie wurde fristgerecht innerhalb der einmonatigen Frist des § 74 Abs. 1 Satz 2 VwGO erhoben, indem die Klägerin den ihr am 30. Dezember 2021 bekannt gegebenen Bescheid mit am 25. Januar 2022 beim Verwaltungsgericht eingegangenen Schreiben in das Klageverfahren einbezogen hat. Die hierin liegende Klageänderung ist gemäß § 91 Abs. 1 Alt. 1 VwGO bereits deshalb zulässig, weil die übrigen Beteiligten eingewilligt haben. Ein Vorverfahren findet nicht statt (vgl. § 20 Abs. 6 BDSG).

Die Klägerin ist auch klagebefugt. Es ist unschädlich, dass sie als juristische Person des Privatrechts, deren Anteile sich ausschließlich in den Händen des Staates befinden, im Hinblick auf die materiellen Grundrechte des Grundgesetzes ebenso wenig nach Art. 19 Abs. 3 GG grundrechtsfähig ist wie juristische Personen des öffentlichen Rechts (vgl. BVerfG, Urteil vom 7. November 2017 - 2 BvE 2/11 -, juris Rn. 238 ff.; BVerwG, Urteil vom 12. Dezember 2019 - 8 C 8/19, juris Rn. 21). Denn bei der Anwendung unionsrechtlich vollständig vereinheitlichter Regelungen - wie der Datenschutz-Grundverordnung - sind grundsätzlich nicht die deutschen Grundrechte, sondern allein die Unionsgrundrechte maßgeblich, denen insofern Anwendungsvorrang zukommt (vgl. Art. 51 Abs. 1 Satz 1 GrCh; BVerfG, Beschluss vom 6. November 2019 - 1 BvR 276/17 -, juris Rn. 42; Pieper, in: Dauses/Ludwigs, Handbuch EU-WirtschaftsR [September 2024], B.I. Rn. 176). Die für das Unionsrecht diskutierte Frage, inwiefern sich staatlich beherrschte Unternehmen auf die Gewährleistungen der GrCh berufen können, bedarf hier keiner Entscheidung: Dass auch ein staatlich beherrschtes Unternehmen wie die Klägerin Rechtsschutz gegen eine datenschutzrechtliche Beanstandung der Aufsichtsbehörde suchen kann, folgt bereits unmittelbar aus Art. 78 Abs. 1 DS-GVO. Danach hat jede natürliche oder juristische Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde. Wegen des Anwendungsvorrangs des Unionsrechts setzt der Erfolg einer Anfechtungsklage gegen eine auf Art. 58 Abs. 2 DS-GVO gestützte Maßnahme der Beklagten mithin keine Geltendmachung einer subjektiven Rechtsverletzung i.S.d. § 42 Abs. 2 VwGO voraus (vgl. BVerwG, Urteil vom 20. März 2024 - 6 C 8.22 -, juris Rn. 14; in diese Richtung bereits VGH BW, Urteil vom 4. Februar 2020 - 10 S 1082/19 -, juris Rn. 32 [zu Art. 58 Abs. 4 DS-GVO]; VG Ansbach, Urteil vom 2. November 2022 - AN 14 K 21.01431 -, juris Rn. 40; Urteil vom 7. Dezember 2020 - AN 14 K 18.02503 -, juris Rn. 25; VG Schwerin, Urteil vom 16. März 2021 - 1 A 1254/20 SN -, juris Rn. 39; i.E. auch Körffer, in: Paal/Pauly, DS-GVO/BDSG, 3. Aufl. 2021, Art. 78 DS-GVO Rn. 6; ähnlich Selmayr, in: Ehmann/Selmayr, DS-GVO, 3. Aufl. 2024, Art. 58 Rn. 37). Vielmehr reicht es aus, dass die Maßnahme die Klägerin betrifft. Das ist hier der Fall, da sie die Adressatin des angegriffenen Bescheids ist (vgl. BVerwG, Urteil vom 20. März 2024 - 6 C 8.22 -, juris Rn. 13 f.).

II. Die Anfechtungsklage gegen den Bescheid vom 21. Dezember 2021 ist auch begründet, da die darin ausgesprochene Verwarnung der Klägerin rechtswidrig ist. Entsprechend den Ausführungen zur Klagebefugnis ist gemäß Art. 78 Abs. 1 DS-GVO nicht erforderlich, dass auch eine subjektive Rechtsverletzung vorliegt (vgl. BVerwG, Urteil vom 20. März 2024 - 6 C 8.22 -, juris Rn. 14).

1. Ermächtigungsgrundlage für den Bescheid vom 23. Dezember 2021 ist Art. 58 Abs. 2 lit. b DS-GVO. Danach kann die zuständige Aufsichtsbehörde einen Verantwortlichen verwarnen, wenn er mit Verarbeitungsvorgängen gegen die Datenschutz-Grundverordnung verstoßen hat.

2. Der Bescheid vom 23. Dezember 2021 ist formell rechtmäßig.

Die Beklagte war für den Erlass des Bescheids zuständig. Denn trotz der (mittelbaren) Eigentümerstellung des Bundes stellt die Klägerin keine öffentliche Stelle des Bundes i.S.d. § 2 BDSG mit der Folge der Zuständigkeit des Bundesdatenschutzbeauftragten gemäß § 9 Abs. 1 BDSG dar. Insbesondere scheidet eine Qualifizierung als öffentliche Stelle i.S.d. § 2 Abs. 4 Satz 2 BDSG aus, da die danach erforderliche „hoheitliche“ Aufgabenwahrnehmung eine Beleihung des privatrechtlichen Unternehmens voraussetzte (vgl. Klar/Kühling, in: Kühling/Buchner, DS-GVO/BDSG, 4. Aufl. 2024, § 2 BDSG Rn. 13; Böken, in: Sydow/Marsch, DS-GVO/BDSG, 3. Aufl. 2022, § 2 BDSG Rn. 14). Die Aufsicht über nichtöffentliche Stellen, zu denen die Klägerin mithin zu zählen ist, liegt bei den Landesdatenschutzbehörden (vgl. §§ 2 Abs. 4 Satz 1, 40 Abs. 1 BDSG; Thiel, in: Gola/Heckmann, DS-GVO/BDSG, 3. Aufl. 2022, § 9 BDSG Rn. 1). Infolge des Sitzes der Klägerin in Berlin ist dies vorliegend die Beklagte (s. § 8 Abs. 2 BlnDSG).

Zudem fand auch eine ordnungsgemäße Anhörung der Klägerin vor dem Bescheiderlass in Gestalt der Schreiben vom 20. Juli 2021 und 2. Dezember 2021 statt (vgl. § 28 Abs. 1 VwVfG i.V.m. § 1 Abs. 1 Gesetz über das Verfahren der Berliner Verwaltung).

3. Der Bescheid ist jedoch materiell rechtswidrig. Die Klägerin hat den Auskunftsanspruch des Beigeladenen aus Art. 15 DS-GVO nicht verletzt, so dass die Tatbestandsvoraussetzungen für den Erlass einer Verwarnung nach Art. 58 Abs. 2 lit. b DS-GVO nicht erfüllt waren.

Die Verwarnung vom 23. Dezember 2021 betrifft - allein - eine Verletzung des Auskunftsanspruchs des Beigeladenen aus Art. 15 DS-GVO. Dabei ist zwischen den Verfahrensbeteiligten unstreitig, dass die Klägerin dem Beigeladenen Auskunft über die in Art. 15 Abs. 1 DS-GVO aufgeführten Aspekte erteilt hat, so dass sich die Verwarnung nur noch auf die verweigerte Herausgabe einer Kopie der in Rede stehenden Videosequenz von der Fahrt am 6. Oktober 2020 bezieht (vgl. Art. 15 Abs. 3 DS-GVO; s. Protokoll der mündlichen Verhandlung vom 12. Oktober 2023, Bl. 198 d. A.; vgl. dazu, dass Art. 15 Abs. 3 DS-GVO eine Erfüllungsmodalität des einheitlichen Informationsanspruchs gemäß Art. 15 DS-GVO regelt EuGH, Urteil vom 4. Mai 2023 - C-487/21 -, juris Rn. 31; Kuznik, NVwZ 2023, 297 [298]).

a) Der Anwendungsbereich der Datenschutz-Grundverordnung ist eröffnet.

Diese gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen (Art. 2 Abs. 1 DS-GVO), sofern keine Bereichsausnahme nach Art. 2 Abs. 2 DS-GVO vorliegt.

Die Videoaufnahmen aus den Zügen der Klägerin sind als personenbezogene Daten i.S.d. Art. 4 Nr. 1 DS-GVO einzuordnen. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Identifizierbar ist eine natürliche Person, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann (Art. 4 Nr. 1 DS-GVO).

Die Aufzeichnungen beziehen sich nicht auf bereits identifizierte Personen, da die erfassten Passagiere nicht unmittelbar entsprechend der oben benannten Merkmale tatsächlich individualisiert sind, die Identität der Person also nicht bereits aus der Information selbst folgt. Jedoch reicht es für die Annahme personenbezogener Daten i.S.d. Art. 4 Nr. 1 DS-GVO aus, dass eine erhobene Information sich auf eine „identifizierbare“ Person bezieht (vgl. auch Art. 11 DS-GVO). Dies ist vorliegend der Fall. Um festzustellen, ob eine natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren. Dabei sind alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, heranzuziehen (vgl. ErwG Nr. 26 DS-GVO).

aa) Eine unmittelbare Identifizierbarkeit durch die Klägerin selbst als Verantwortliche gemäß Art. 4 Nr. 7 DS-GVO dürfte nicht vorliegen. Dies ergibt sich - unabhängig von der Frage, ob rechtliche Schranken in Gestalt der klägerseits angeführten Betriebsvereinbarung (§ 4 Abs. 8 BetrV) in diesem Zusammenhang zu berücksichtigten sind (hierzu Klar/Kühling, in: Kühling/Buchner, DS-GVO/BDSG, 4. Aufl. 2024, Art. 4 DS-GVO Rn. 29), und ungeachtet der Angaben des Beigeladenen dazu, wie er auf den begehrten Videosequenzen ausfindig zu machen sei -, daraus, dass die Klägerin zum Zeitpunkt der Auskunftsanfrage (und auch weiterhin) nicht über die Möglichkeiten verfügt, die Videoaufnahmen aus den Zügen selbst zu betrachten sowie - bei Bedarf - eine Gesichtserkennung durchzuführen. Denn indem maßgeblich auf die praktische Durchführbarkeit der Identifizierung für den jeweiligen Verantwortlichen abgestellt und eine solche verneint wird, wenn die Identifizierung „einen unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskräften erfordern würde, so dass das Risiko einer Identifizierung de facto vernachlässigbar erschiene“ (vgl. EuGH, Urteil vom 19. Oktober 2016 - C-582/14 -, juris Rn. 46; so auch EuGH, Urteil vom 7. März 2024 - C-479/22 P -, juris Rn. 51), ist ein Maßstab der „theoretischen Machbarkeit“ bei der Frage der Qualifikation als personenbezogenes Datum i.S.d. Art. 4 Nr. 1 DS-GVO abzulehnen (deutlich Karg, in: Simitis/Hornung/Spiecker gen. Döhmann, DatenschutzR, 2. Aufl. 2025, Art. 4 DS-GVO Rn. 60; Schild, in: BeckOK/DatenschutzR [Stand: 1.11.2024], Art. 4 DS-GVO Rn. 18).

bb) Letztlich kommt es auf die Frage der Identifizierbarkeit durch die Klägerin selbst aber nicht an. Denn es handelt sich bei den Videoaufnahmen in den Zügen der Klägerin jedenfalls infolge der möglichen Identifizierung durch Dritte in Gestalt der Strafverfolgungsbehörden um personenbezogene Daten i.S.d. Art. 4 Nr. 1 DS-GVO - unabhängig davon, ob man für die Zurechnung von deren Erkenntnismitteln einen absoluten (vgl. (1)) oder relativen Ansatz (vgl. (2)) verfolgt.

(1) Nach den Stimmen, die bereits die Identifizierbarkeit durch einen beliebigen Dritten für ausreichend erachten, um den Anwendungsbereich der Datenschutzgrund-Verordnung generell zu eröffnen, wären die Videoaufnahmen in der S-Bahn als personenbezogene Daten - auch für die Klägerin - einzuordnen (vgl. zu einer solchen „absoluten“ Perspektive die Darstellung in EuGH, Urteil vom 19. Oktober 2016 - C-582/14 -, juris Rn. 25; Karg, in: Simitis/Hornung/Spiecker gen. Döhmann, DatenschutzR, 2. Aufl. 2025, Art. 4 DS-GVO Rn. 59 m.w.N.). Denn die Strafverfolgungsbehörden - denen die Sichtung der Videos aus den Zügen der Klägerin auch technisch möglich ist - sind mit den ihnen zur Verfügung stehenden Mitteln (z.B. Öffentlichkeitsfahndung, Gesichtserkennungssoftware, Abgleich mit Datenbanken) in der Lage, einzelne Personen auf den Aufnahmen zu identifizieren. Gerade darin besteht auch der zentrale Zweck der Videoüberwachung durch die Klägerin. § 20 BlnDSG und § 4 BDSG gehen offenbar ebenfalls ohne Weiteres davon aus, dass bei der Videoüberwachung in öffentlich zugänglichen Räumen personenbezogene Daten verarbeitet werden (ebenso ErwG Nr. 16 Richtlinie 95/46/EG). Auch bei den Datenschutzbehörden (EDPB, Leitlinien zu den Rechten der betroffenen Person - Auskunftsrecht, Version 2.1 [28.3.2023], Rn. 61; Guidelines on processing of personal data through video devices, 29.1.2020, Rn. 7 f.; DSK, Kurzpapier Nr. 15 - Videoüberwachung nach der Datenschutz-Grundverordnung, 17.12.2018) sowie in Rechtsprechung (vgl. OVG NI, Urteil vom 7. September 2017 - 11 LC 59/16 -, juris Rn. 29 [betr. Videoaufnahmen im Black-Box-Verfahren im öffentlichen Personennahverkehr]; OVG SL, Urteil vom 14. Dezember 2017 - 2 A 662/17 -, juris Rn. 38; VG Hannover, Urteil vom 10. Oktober 2023 - 10 A 3472/20 -, juris Rn. 41; VG Mainz, Urteil vom 24. September 2020 - 1 K 584.19 MZ -, juris Rn. 26) und Literatur (Wilhelm-Robertson, in: BeckOK/DatenschutzR [1.8.2024], § 4 BDSG Rn. 45; Klar/Kühling, in: Kühling/Buchner, DS-GVO/BDSG, 4. Aufl. 2024, Art. 4 DS-GVO Rn. 24, 37; Hansen, in: Simitis/Hornung/Spiecker gen. Döhmann, DatenschutzR, 2. Aufl. 2025, Art. 11 DS-GVO Rn. 19; Borges, in: BeckOK/IT-Recht [Stand: 1. Juli 2021], Art. 4 DS-GVO Rn. 26; Korch/Chatard, CR 2020, 438 [439]; Piltz, Umsetzung des Auskunftsrechts bei der Videoüberwachung, DSB 2019, 104) werden Videoaufnahmen zugänglicher Räume ohne weitere Problematisierung der Identifizierungsmöglichkeiten des Verantwortlichen selbst als personenbezogene Daten eingeordnet. Vielfach wird dabei für ausreichend erachtet, dass die Kameraaufnahmen Gesichter erkennen lassen und damit eine Identifikation ermöglichen, ohne dass erörtert würde, mit welchen Mitteln und durch wen diese erfolgt (vgl. EuGH, Urteil vom 14. Februar 2019 - C-345/17 -, juris Rn. 31 [Filmaufnahmen in einer Polizeidienststelle]; BVerwG, Urteil vom 27. März 2019 - 6 C 2/18 -, juris Rn. 15 und OVG BE-BB, Urteil vom 6. April 2017 - OVG 12 B 7.16 -, juris Rn. 19 [jeweils Videoüberwachung in einer Zahnarztpraxis]; KG, Urteil vom 30. November 2023 - 2 ORs 31/23 -, juris Rn. 22 [Aufnahme einer Polizeikontrolle mit Helmkamera]).

(2) Zu demselben Ergebnis gelangt vorliegend auch die verschiedentlich in den Entscheidungen des Europäischen Gerichtshofs zum Ausdruck kommende relative Betrachtungsweise. Danach sind Daten für den Verantwortlichen als personenbezogen einzuordnen, sofern dieser über die notwendigen Informationen und Mittel verfügt, die „vernünftigerweise“ eingesetzt werden können, um selbst oder mit Hilfe Dritter die betreffende Person bestimmen zu lassen (vgl. EuGH, Urteil vom 9. November 2023 - C-319/22 -, juris Rn. 45; Urteil vom 19. Oktober 2016 - C-582/14 -, juris Rn. 48). Es wird auch nach der Perspektive des relativen Personenbezugs mithin nicht vorausgesetzt, dass sich alle zur Identifizierung der betroffenen Person erforderlichen Informationen in den Händen des Verantwortlichen befinden (vgl. EuGH, Urteil vom 9. November 2023 - C-319/22 -, juris Rn. 45; Urteil vom 19. Oktober 2016 - C-582/14 -, juris Rn. 43; EuG, Urteil vom 26. April 2023 - T-557/20 -, juris Rn. 90; i.E. auch EuGH, Urteil vom 7. März 2024 - C-479/22 P -, juris Rn. 55). Maßgeblich ist, ob die Option, den erhobenen Datenbestand mit den Zusatzinformationen und -möglichkeiten Dritter zu verknüpfen, „ein Mittel darstellt, das vernünftigerweise zur Bestimmung der betreffenden Person eingesetzt werden kann“ (EuGH, Urteil vom 19. Oktober 2016 - C-582/14 -, juris Rn. 45) bzw. ob „die Möglichkeit, die fraglichen Daten mit zusätzlichen Informationen zu kombinieren, ein Mittel darstell[t], das nach allgemeinem Ermessen wahrscheinlich genutzt wird, um die betreffende Person zu identifizieren“ (EuGH, Urteil vom 7. März 2024 - C-479/22 P -, juris Rn. 50). Dies ist vorliegend der Fall. Die - durchschnittlich mehrmals pro Woche erfolgende - Einschaltung der Strafverfolgungsbehörden kann zur Identifizierung einzelner Fahrgäste führen (vgl. oben). Die Betriebsvereinbarung der Klägerin steht der Einschaltung der Strafverfolgungsbehörden nicht entgegen, sondern sieht sie gerade vor (§ 6 Abs. 1 BetrV). Die Klägerin nutzt deren Ermittlungsergebnisse nach eigenen Angaben auch, um beispielweise ihr Hausrecht oder Schadensersatzansprüche durchzusetzen. Ihr steht als Verletzte (§ 373b Abs. 1 StPO) ein Akteneinsichtsrecht zu (§ 406e Abs. 1 StPO). Für die Zurechnung der behördlichen Identifizierungsmöglichkeiten als „vernünftigerweise“ bzw. „nach allgemeinem Ermessen wahrscheinlich“ eingesetztes Identifizierungsmittel der Klägerin spricht insbesondere dieser enge funktionale Zusammenhang mit dem Zweck der Datenverarbeitung (vgl. Klar/Kühling, in: Kühling/Buchner, DS-GVO/BDSG, 4. Aufl. 2024, Art. 4 DS-GVO Rn. 28): Die Videoaufnahmen in den Zügen der Klägerin dienen zwar primär der Strafverfolgung, aber eben auch dazu, Rechtsgüter der Klägerin zu schützen (vgl. auch „Regionales Betreiberkonzept Videoaufzeichnung“, S. 3). Diese Bejahung des relativen Personenbezugs der Videoaufnahmen in der S-Bahn für die Klägerin wird durch die großzügige Anwendung dieses Kriteriums in der Rechtsprechung des Europäischen Gerichtshofs bestätigt (vgl. EuGH, Urteil vom 9. November 2023 - C-319/22 -, juris Rn. 44 ff. [Fahrzeugidentifikationsnummer als personenbezogenes Datum für Fahrzeughersteller]; restriktiver EuG, Urteil vom 26. April 2023 - T-557/20 -, juris Rn. 105). Der Europäische Gerichtshof ließ insbesondere wiederholt die Zurechnung behördlicher Identifizierungsmöglichkeiten für die Annahme personenbezogener Daten auch im Hinblick auf den Verantwortlichen ausreichen (vgl. EuGH, Urteil vom 11. Dezember 2014 - C-212/13 -, juris Rn. 15, 22, 24 zur Vorgängerregelung in Art. 2 lit. a Richtlinie 95/46/EG [Videoüberwachung durch Privatperson]; Urteil vom 19. Oktober 2016 - C-582/14 -, juris Rn. 47 f. [Speicherung einer dynamischen IP-Adresse durch Anbieter von Online-Mediendiensten], i.E. auch OVG SH, Urteil vom 25. November 2021 - 4 LB 20/13 -, juris Rn. 103).

Zwar ist der Klägerin zuzugeben, dass die Quote erfolgreicher Identifizierungen auf Basis der Videoaufnahmen in den Zügen der Klägerin geringer als etwa bei einem punktgenauen Abgleich dynamischer IP-Adressen mit den Informationen der Internetzugangsanbieter oder der Verknüpfung der Fahrzeugidentifikationsnummer mit Halterdaten ausfallen dürfte. Jedoch steht dies der Annahme „vernünftigerweise“ einsetzbarer Mittel zum Zwecke einer (möglichen) Identifizierung nicht entgegen, da das Potenzial der Identifizierung für die Eröffnung des Anwendungsbereichs der Datenschutz-Grundverordnung ausreicht (deutlich OVG NI, Urteil vom 29. September 2014 - 11 LC 114/13 -, juris Rn. 29; Schild, in: BeckOK/DatenschutzR [Stand: 1.11.2024], Art. 4 DS-GVO Rn. 21; vgl. auch Karg, in: Simitis/Hornung/Spiecker gen. Döhmann, DatenschutzR, 2. Aufl. 2025, Art. 4 DS-GVO Rn. 63). Daher verfängt auch der Einwand der Klägerin nicht, dass die seitens des Beigeladenen begehrten Aufnahmen tatsächlich nicht zur Verfolgung einer Straftat benötigt wurden. Auch das Tragen einer Atemschutzmaske durch den Beigeladenen ändert nichts am hiesigen Ergebnis, denn unabhängig davon, in welchem Umfang dies eine Identifizierung erschwerte, bleibt die generelle Identifizierbarkeit zum Zeitpunkt der Datenverarbeitung und damit die Qualifizierung als personenbezogenes Datum bestehen. Ebenso steht der geringe Anteil der Fahrgäste, die von Identifizierungsversuchen betroffen sein dürften, dem hiesigen Ergebnis nicht entgegen (so auch die Analyse der EuGH-Rechtsprechung bei Ziegenhorn, NVwZ 2017, 216 [217]).

Der Vorgang der Aufnahme und Speicherung von Bildern der Fahrgäste stellt auch eine „Verarbeitung“ personenbezogener Daten i.S.d. Art. 4 Nr. 2 DS-GVO dar. Ferner liegt keine Bereichsausnahme nach Art. 2 Abs. 2 DS-GVO vor. Insbesondere scheidet ein Ausschluss der Anwendbarkeit der Datenschutz-Grundverordnung nach Art. 2 Abs. 2 lit. d DS-GVO aus, da die Aufnahmen zwar ausschließlich den Strafverfolgungsbehörden zur Verfügung gestellt werden, jedoch weiterhin nicht „durch“ diese, sondern allein die Klägerin als Verantwortliche i.S.d. Art. 4 Nr. 7 DS-GVO erfolgen.

b) Der Auskunftsanspruch des Beigeladenen scheitert nicht daran, dass er nicht „betroffene Person“ im Sinne des Art. 15 Abs. 3 DS-GVO ist. Er stellte sein Auskunftsbegehren noch vor Löschung der Videoaufzeichnung und machte dabei unter Vorlage einer Ausweiskopie spezifische Angaben zu Zeitraum, Zugnummer, seinem äußeren Erscheinungsbild und seinem Verhalten während der Fahrt. Es ist weder vorgetragen noch erkennbar, inwiefern der Beigeladene seine Angaben noch hätte weiter substantiieren können, um seine Betroffenheit nachzuweisen. Dies wäre letztlich nur durch einen tatsächlichen Abgleich mit den Videoaufzeichnungen möglich gewesen, der wiederum der Sphäre der Klägerin zuzuordnen ist, die auch noch vor der Überschreibung der Aufzeichnung Kenntnis von dem Antrag des Beigeladenen erlangte. Die Konstellation legt daher bereits nach allgemeinen Beweislastregeln eine sekundäre Darlegungslast der Klägerin im Hinblick auf die Frage der Betroffenheit nahe. Die ohne Sichtung des Videomaterials getätigte Schlussfolgerung des Verwaltungsgerichts, dass es trotz der äußerst detaillierten Angaben des Beigeladenen selbst bei einer Einsichtnahme nicht möglich gewesen wäre, ihn als die auf den Videoaufzeichnungen abgebildete Person zu identifizieren, erscheint wiederum spekulativ - auch wenn das Tragen einer Atemschutzmaske seine Erkennbarkeit sicherlich erschwert hätte. Die Klägerin hat nichts dazu vorgetragen, weshalb bereits ohne Betrachtung des Bildmaterials sicher davon ausgegangen werden müsse, dass ein Nachweis der Betroffenheit selbst bei Einsichtnahme nicht gelingen könne. Für die Beschreibung einer dritten Person durch den Beigeladenen liegen keine Anhaltspunkte vor. Gegen den Ausschluss der Betroffenheit des Beigeladenen spricht zudem die Wertung der Art. 11 Abs. 2, 12 Abs. 2 DS-GVO: Diese verorten die Darlegungs- und Beweislast für die fehlende Identifizierung generell beim Verantwortlichen (vgl. Steinrötter, in: BeckOK/IT-Recht [1.1.2023], Art. 11 DS-GVO Rn. 17; Dix, in: Simitis/Hornung/Spiecker gen. Döhmann, DatenschutzR, 2. Aufl. 2025, Art. 12 DS-GVO Rn. 24). Zudem gehen diese Vorschriften auch bei fehlender Identifizierungsmöglichkeit weiter von einer „betroffenen Person“ aus und lassen den Auskunftsanspruch aus Art. 15 DS-GVO erst unter zusätzlichen Voraussetzungen entfallen. Dieser Maßgabe hätte es nicht bedurft, sofern die fehlende Identifizierungsmöglichkeit durch den Verantwortlichen bereits der Annahme einer „betroffenen Person“ i.S.d. Art. 15 Abs. 3 DS-GVO entgegenstünde. Auch wenn infolge der zwischenzeitlichen Löschung keine positive Feststellung mehr möglich ist, dass der Beigeladene auf den begehrten Aufzeichnungen tatsächlich zu sehen war, kann eine Verletzung seines Auskunftsrechts auch darin liegen, die weitere Prüfung der Anspruchsberechtigung - einschließlich der Betroffenheit - vereitelt zu haben (vgl. zu solchen „Vorwirkungen“ eines Auskunftsantrags nach Art. 15 DS-GVO: EDPB, Leitlinien zu den Rechten der betroffenen Person - Auskunftsrecht, Version 2.1 [28.3.2023], S. 5; Franck, in: Gola/Heckmann, DS-GVO/BDSG, 3. Aufl. 2022, Art. 4 DS-GVO Rn. 52; Weichert, in: Kühling/Buchner, DS-GVO/BDSG, 4. Aufl. 2024, Art. 11 DS-GVO Rn. 11).

c) Der Anspruch des Beigeladenen auf Herausgabe der Videoaufnahmen ist jedoch gemäß Art. 11 Abs. 2 i.V.m. Art. 12 Abs. 2 Satz 2 DS-GVO ausgeschlossen.

Ist für die Zwecke, für die ein Verantwortlicher personenbezogene Daten verarbeitet, die Identifizierung der betroffenen Person durch den Verantwortlichen nicht oder nicht mehr erforderlich, so ist dieser nicht verpflichtet, zur bloßen Einhaltung dieser Verordnung zusätzliche Informationen aufzubewahren, einzuholen oder zu verarbeiten, um die betroffene Person zu identifizieren (Art. 11 Abs. 1 DS-GVO). Kann der Verantwortliche in diesen Fällen nachweisen, dass er nicht in der Lage ist, die betroffene Person zu identifizieren, so unterrichtet er diese hierüber, sofern möglich (Art. 11 Abs. 2 Satz 1 DS-GVO). In diesen Fällen finden die Artikel 15 bis 20 keine Anwendung, es sei denn, die betroffene Person stellt zur Ausübung ihrer in diesen Artikeln niedergelegten Rechte zusätzliche Informationen bereit, die ihre Identifizierung ermöglichen (Art. 11 Abs. 2 Satz 2 DS-GVO). Der Verantwortliche darf die Auskunft verweigern, wenn er glaubhaft macht, dass er - weiterhin - nicht in der Lage ist, die betroffene Person zu identifizieren (Art. 12 Abs. 2 Satz 2 DS-GVO). Diese Voraussetzungen sind vorliegend erfüllt.

aa) Die Videoüberwachung in der S-Bahn unterfällt dem Anwendungsbereich des Art. 11 Abs. 1 DS-GVO. Die Klägerin verarbeitet durch die Aufnahmen personenbezogene Daten (vgl. a)), ohne dass es ihr - vorbehaltlich konkreter Anhaltspunkte für strafrechtlich relevante Vorgänge - auf die Identifizierung der aufgezeichneten Personen ankäme. Solche Datenverarbeitungen ohne gezielten Personenbezug erfasst Art. 11 Abs. 1 DS-GVO (vgl. zur Videoüberwachung als Anwendungsfall des Art. 11 Abs. 1 DS-GVO EDPB, Leitlinien zu den Rechten der betroffenen Person - Auskunftsrecht, Version 2.1 [28.3.2023], Rn. 61; Klabunde, in: Ehmann/Selmayr, DS-GVO, 3. Aufl. 2024, Art. 11 Rn. 24; Plath, DS-GVO/BDSG/TTDSG, 4. Aufl. 2023, Art. 11 DS-GVO Rn. 17).

bb) Die Klägerin hat nachgewiesen, dass sie „nicht in der Lage ist“, den Beigeladenen auf den begehrten Videoaufzeichnungen zu identifizieren (vgl. Art. 11 Abs. 2 Satz 1 DS-GVO). Sofern Art. 12 Abs. 2 Satz 2 DS-GVO eine „Glaubhaftmachung“ voraussetzt, ist damit jedenfalls kein strengerer Maßstab für die Darlegung der Nicht-Identifizierbarkeit als mit dem Erfordernis des „Nachweises“ in Art. 11 Abs. 2 DS-GVO verbunden (vgl. zum Verhältnis der Normen Veil, in: Gierschmann, DS-GVO, 2018, Art. 11 Rn. 54 ff.; Paal/Hennemann, in: Paal/Pauly, DS-GVO/BDSG, 3. Aufl. 2021, Art. 12 DS-GVO Rn. 48 ff.; Dix, in: Simitis/Hornung/Spiecker gen. Döhmann, DatenschutzR, 2. Aufl. 2025, Art. 12 DS-GVO Rn. 24).

(1) Dabei ist für die Identifizierbarkeit im Rahmen des Art. 11 Abs. 2 DS-GVO - anders als bei der Frage, ob überhaupt personenbezogene Daten gemäß Art. 4 Nr. 1 DS-GVO vorliegen (vgl. a)) - allein auf den Organisationskreis des Verantwortlichen abzustellen (vgl. Schwartmann/Klein/Peisker, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, 3. Aufl. 2024, Art. 15 DS-GVO Rn. 65; Carmichael u.a., in: Spiecker gen. Döhmann u.a., General Data Protection Regulation, 1. Aufl. 2023, Art. 11 DS-GVO Rn. 7; Hansen, in: Simitis/Hornung/Spiecker gen. Döhmann, DatenschutzR, 2. Aufl. 2025, Art. 11 DS-GVO Rn. 34). Art. 11 Abs. 1 DS-GVO betrifft Fälle, in denen zwar der objektive Personenbezug besteht - ansonsten wäre der Anwendungsbereich der Datenschutz-Grundverordnung schon nicht eröffnet (vgl. Art. 2 Abs. 1 i.V.m. Art. 4 Nr. 1 DS-GVO; Veil, in: Gierschmann, DS-GVO, 2018, Art. 11 Rn. 45) -, der Verantwortliche aber subjektiv auf den Personenbezug verzichtet, ihn also mit den ihm unmittelbar zur Verfügung stehenden Mitteln nicht selbst herstellen kann (vgl. Gola, in: Gola/Heckmann, DS-GVO/BDSG, 3. Aufl. 2022, Art. 11 DS-GVO Rn. 1, 5; Schwartmann/Klein/Peisker, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, 3. Aufl. 2024, Art. 15 DS-GVO Rn. 65). Insbesondere die Möglichkeiten der Strafverfolgungsbehörden finden daher i.R.d. Art. 11 DS-GVO keine Berücksichtigung, da die Klägerin hierauf nicht für Zwecke der Erfüllung von Auskunftsansprüchen zurückzugreifen vermag.

Für die Frage der Identifizierbarkeit gemäß Art. 11 Abs. 2 Satz 1 DS-GVO kommt es nicht darauf an, welche Maßnahmen die Klägerin theoretisch - im Sinne einer faktischen Realisierbarkeit - hätte ergreifen können, um den Beigeladenen auf den Videoaufnahmen ausfindig zu machen. Vielmehr ist darauf abzustellen, welcher Identifizierungsaufwand dem Verantwortlichen im Einzelfall zumutbar ist (vgl. zur Zumutbarkeitsschwelle i.R.v. Art. 11 Abs. 2 DS-GVO: EDPB, Leitlinien zu den Rechten der betroffenen Person - Auskunftsrecht, Version 2.1 [28.3.2023], Rn. 61; Plath, DS-GVO/BDSG/TTDSG, 4. Aufl. 2023, Art. 11 DS-GVO Rn. 9: Kamlah, in: Plath, DS-GVO/BDSG/TTDSG, 4. Aufl. 2023, Art. 15 DS-GVO Rn. 19; Weichert, in: Kühling/Buchner, DS-GVO/BDSG, 4. Aufl. 2024, Art. 11 DS-GVO Rn. 13; Carmichael u.a., in: Spiecker gen. Döhmann u.a., General Data Protection Regulation, 1. Aufl. 2023, Art. 11 DS-GVO Rn. 20; Lee-Wunderlich, in: Taeger/Gabel, DS-GVO/BDSG/TTDSG, 4. Aufl. 2022, Art. 11 DS-GVO Rn. 14; Schaffland/Holthaus, in: Schaffland/Wiltfang, DS-GVO/BDSG [Oktober 2024], Art. 11 DS-GVO Rn. 1a; Steinrötter, in: BeckOK/IT-Recht [1.1.2023] Art. 12 DS-GVO Rn. 27). Die Datenschutz-Grundverordnung bringt verschiedentlich zum Ausdruck, dass im Rahmen von Art. 11 Abs. 2 DS-GVO eine solche wertende Verhältnismäßigkeits- anstelle einer reinen Machbarkeitsbetrachtung anzustellen ist. Bereits Art. 11 Abs. 1 DS-GVO, der die Konfliktlage zwischen Betroffenenrechten und Datensparsamkeit dahingehend auflöst, dass bei fehlender Erforderlichkeit der Identifizierung der betroffenen Person durch den Verantwortlichen grundsätzlich auf zusätzliche Datenerhebungen allein zum Zweck der Erfüllung eines Auskunftsanspruchs zu verzichten ist, spricht dagegen, dass der Verantwortliche alle denkbaren Maßnahmen zur Identifizierung ohne Rücksicht auf den damit verbundenen Aufwand und Nutzen ergreifen muss. Die Ausübung der Rechte zum Schutz personenbezogener Daten steht zudem generell unter einem Verhältnismäßigkeitsvorbehalt (vgl. ErwG Nr. 4 DS-GVO). Eine Begrenzung auf „vertretbare“ Mittel zur Identifizierung (vgl. ErwG Nr. 64 DS-GVO) erscheint auch insofern sachgerecht, als auf diesem Wege Wertungswidersprüche zu den Maßstäben für die Herstellung des Personenbezugs im Rahmen von Art. 4 Nr. 1 DS-GVO vermieden werden (parallele Maßstäbe ansetzend Schwartmann/Schneider, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, 3. Aufl. 2024, Art. 12 Rn. 46 f.): Denn für die Frage der Anwendbarkeit der Datenschutz-Grundverordnung erkennt der Europäische Gerichtshof an, dass es nur auf die „nach allgemeinem Ermessen“ und „vernünftigerweise“ - nicht aber alle hypothetisch einsetzbaren - Mittel ankommt (vgl. a); s. auch ErwG Nr. 26 DS-GVO). Auch der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DS-GVO) spricht gegen eine Pflicht, die Datenverarbeitung so zu organisieren, dass eine Verknüpfung zwischen den erhobenen Daten und den jeweiligen Betroffenen allein für Zwecke der Auskunftserteilung nach Art. 15 Abs. 3 DS-GVO hergestellt werden kann oder aufrecht erhalten bleibt. Vielmehr dürfte es gerade im Interesse der Betroffenen sein, dass Zugriffs- und Identifizierungsmöglichkeiten des Verantwortlichen beschränkt sind und bleiben (vgl. Weichert, in: Kühling/Buchner, DS-GVO/BDSG, 4. Aufl. 2024, Art. 11 DS-GVO Rn. 1b; Greve, in: Sydow/Marsch, DS-GVO/BDSG, 3. Aufl. 2022, Art. 12 DS-GVO Rn. 23; Carmichael u.a., in: Spiecker gen. Döhmann u.a., General Data Protection Regulation, 1. Aufl. 2023, Art. 11 DS-GVO Rn. 15; in diese Richtung auch Schwartmann/Klein/Peisker, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, 3. Aufl. 2024, Art. 15 DS-GVO Rn. 65). Kein Verantwortlicher sollte dazu gezwungen sein, deutlich gefährdungsträchtigere Verfahren im Umgang mit personenbezogenen Daten anzuwenden, nur um Auskunftsersuchen erfüllen zu können (vgl. Britz/Breyer, VersR 2020, 65 [69]). Sofern Beklagte und Beigeladener unter Bezug auf die Maßgaben zur Erleichterung der Wahrnehmung der Betroffenenrechte in Art. 12 Abs. 2 Satz 1 und Art. 25 Abs. 1 DS-GVO eine Pflicht des Verantwortlichen annehmen wollen, seine Datenverarbeitung unter Einsatz entsprechender Ressourcen so zu organisieren, dass sie die umfassende, unkomplizierte und fristgerechte Auskunftserteilung ermöglicht, verfangen diese Einwände nicht für die der eigentlichen Auskunft vorgelagerte Frage der Identifizierbarkeit im Rahmen des Art. 11 Abs. 2 DS-GVO. Dies erkennt auch Art. 25 Abs. 1 DS-GVO insofern an, als er eine den Grundsätzen der Datenminimierung Rechnung tragende organisatorische und technische Ausgestaltung der Datenschutzmechanismen einfordert (vgl. Art. 5 Abs. 1 lit. c DS-GVO). Eine solche kann dazu führen, dass die Identifizierbarkeit von Betroffenen nicht mehr mit verhältnismäßigem Aufwand möglich und damit ihr Auskunftsrecht eingeschränkt wird, ohne dass hierin ein datenschutzrechtlicher Verstoß zu erblicken wäre, wie Art. 11 Abs. 2 Satz 2 i.V.m. Art. 12 Abs 2 Satz 2 DS-GVO klarstellen. Auch der Grundsatz der Speicherbegrenzung in Art. 5 Abs. 1 lit. e DS-GVO, wonach Daten in einer Form gespeichert werden müssen, „die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist“, weist darauf hin, dass Datenschutzkonzepte dem Erforderlichkeitsprinzip unterliegen und nicht darauf ausgelegt sein müssen, binnen der Speicherfrist angebrachten Auskunftsersuchen trotz fehlender Identifizierbarkeit ohne Weiteres Rechnung tragen zu können.

(2) Auf Basis dieser Maßstäbe steht das Datenschutzkonzept der Klägerin für den Umgang mit den Videoaufnahmen aus der S-Bahn der zumutbaren Identifizierbarkeit des Beigeladenen gemäß Art. 11 Abs. 2 Satz 1 i.V.m. Art. 12 Abs. 2 Satz 2 DS-GVO entgegen.

Die Klägerin vermag als Folge ihres Datenschutzkonzepts keine Einsicht in die Videoaufzeichnungen zu nehmen. Zu einer Abkehr von ihrer Datenschutzpraxis zur Identifizierung des Beigeladenen war sie nicht verpflichtet. Das mit der Beklagten abgestimmte Datenschutzsystem der Klägerin, das auch Gegenstand der durch die Länder Berlin und Brandenburg ausgeschriebenen Verkehrsverträge war, ist nicht Ausdruck unzureichender Organisation oder verfolgt das Ziel, Auskunftsansprüche leerlaufen zu lassen. Es sichert vielmehr gerade ein hohes Datenschutzniveau, indem es den Wertungen der Datenschutz-Grundverordnung sowie den Rechten und Freiheiten der von der Datenverarbeitung betroffenen Personen Rechnung trägt. Die dezentrale Speicherung der Aufnahmen, die Sicherung der Datenträger gegen unbefugte Entnahme, der mehrstufige Prozess zur Auslese der Datenträger an einem speziell geschützten Arbeitsplatz, die Autorisierung nur weniger Personen zur Bearbeitung der Daten sowie deren limitierte Zugriffsrechte ohne die Möglichkeit der Einsichtnahme, die eng begrenzte Speicherdauer und die Auswertung allein auf Anforderung der Strafverfolgungsbehörden bilden zentrale Bestandteile des Datenschutzkonzepts. Dieses minimiert die Eingriffe und Gefährdungen im Hinblick auf die personenbezogenen Daten der Beschäftigten der Klägerin und ihrer täglich hunderttausenden Kunden.

Während die zeitlich, technisch, personell und organisatorisch komplexe physische Entnahme der Datenträger (aus dem sich im Betrieb befindenden Zug) und die Extrahierung der relevanten Videosequenz bei Auskunftsanfragen Betroffener nach Art. 15 DS-GVO den Arbeitsschritten im Rahmen der Bereitstellung von Videoaufnahmen für die Strafverfolgungsbehörden entspricht und damit „nur“ zusätzlichen - wenn auch durchaus beachtlichen - Aufwand bedeutete, hätte die Identifizierung des Beigeladenen vorausgesetzt, dass die Klägerin dieses kohärente und datenschutzrechtlichen Grundprinzipien Rechnung tragende Konzept in seinen wesentlichen Bestandteilen aufgibt und die eigenen Identifizierungsmöglichkeiten erheblich erweitert. Dies würde die Ziele der Datenschutz-Grundverordnung konterkarieren, denn Resultat wäre eine deutliche Absenkung des Datenschutzniveaus und eine gewichtige Zunahme umfangreicher und sensibler Datenverarbeitungsprozesse: Da die Einsichtnahme und Auswertung nicht mehr nur durch die Strafverfolgungsbehörden, sondern auch seitens der Klägerin selbst erfolgen müsste, hätte sie die technischen Voraussetzungen hierfür schaffen müssen, da es die Konfiguration der Software derzeit weder ihr noch dem beauftragten Dienstleister erlaubt, die verschlüsselten Videosequenzen zu betrachten (vgl. § 4 Abs. 8 Satz 2 BetrV). Zudem wären weitere personelle Kapazitäten erforderlich, da das Personal des Drittanbieters bisher nur für die die Extrahierung betroffener Sequenzen bei Anfragen der Strafverfolgungsbehörden beauftragt ist (vgl. §§ 3, 6 Abs. 2 BetrV). Ferner wären umfangreiche Änderungen der Betriebsvereinbarung erforderlich gewesen, die eine Entnahme und Auswertung der Videoaufnahmen derzeit nur auf Anfrage der Strafverfolgungsbehörden zulässt. Auch wenn die Maßgaben der Betriebsvereinbarung nicht unmittelbar den Rechten des Beigeladenen entgegengehalten werden können, ist deren Abschluss zum Schutz der personenbezogenen Daten im Beschäftigungskontext ausdrücklich anerkannt (vgl. Art. 88 Abs. 1 DS-GVO, ErwG Nr. 155 DS-GVO) und der rechtliche Anpassungsbedarf für die Frage der zumutbaren Identifizierungsmaßnahmen ebenfalls zu berücksichtigen. Indem ein Zug mit 40 Videokameras ausgestattet ist, wäre zur Identifikation des Beigeladenen auf Basis seiner Angaben sodann - jedenfalls potentiell - die Durchsicht zahlreicher Aufnahmen sowie ggf. der Einsatz einer Gesichtserkennungssoftware erforderlich gewesen (deren Einsatz § 9 Abs. 1 BetrV ebenfalls untersagt). Mit diesen Maßnahmen wäre zudem zwingend eine längere Speicherung der Aufnahmen einhergegangen, obwohl deren automatische Löschung im Ringspeicherverfahren nach 48 Stunden gerade den Empfehlungen der europäischen Datenaufsicht (EDPB, Leitlinien zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0 [29.1.2020], Rn. 121; so auch DSK, Kurzpapier Nr. 15 - Videoüberwachung nach der Datenschutz-Grundverordnung, S. 3), den Maßgaben in § 20 Abs. 4 Satz 2 BlnDSG sowie der Abstimmung des Datenschutzkonzepts zwischen der Klägerin und der Beklagten entspricht.

Diese umfangreiche Durchsicht und Analyse - nicht mehr nur durch die Strafverfolgungsbehörden und in eng umgrenzten Ausnahmefällen -, die Abkehr von den Schutzmechanismen des bestehenden Konzepts sowie die längere Speicherung der personenbezogenen Daten zur Identifizierung des Beigeladenen - mit im Übrigen ungewissen Erfolgsaussichten seiner Identifizierung - widerspräche nicht nur den Grundsätzen der Datensparsamkeit und -minimierung (vgl. Art. 5 Abs. 1 lit. c und e DS-GVO), sondern ginge auch mit gewichtigen Eingriffen in die Grundrechte der weiteren Fahrgäste einher (vgl. Art. 7, Art. 8 GrCh), die durch Verpixelung oder anderweitige Unkenntlichmachung zwar gemildert, aber nicht vermieden werden können. Der Sinn und Zweck von Art. 11 Abs. 1 DS-GVO besteht aber gerade darin, solche datenschutzrechtlich negativen Implikationen einer aus Sicht des Verantwortlichen gar nicht erforderlichen Identifikation nur zum Zweck der Erfüllung des Auskunftsrechts aus Art. 15 Abs. 3 DS-GVO zu verhindern. Indem Art. 11 DS-GVO anerkennt, dass Verantwortliche ihr Datenschutzsystem so organisieren, dass es als Folge hoher Datenschutzstandards der Identifizierung Betroffener entgegensteht (vgl. oben), kommt es für das Auskunftsbegehren des Beigeladenen nicht darauf an, dass die Klägerin theoretisch die Möglichkeit gehabt hätte, die Datenverarbeitung anders zu gestalten, z.B. durch eine zentrale Speicherung der Videoaufnahmen mit jederzeitiger Einsichtnahmemöglichkeit (vgl. Schwartmann/Klein/Peisker, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, 3. Aufl. 2024, Art. 15 DS-GVO Rn. 65).

Auch wenn der Auskunftsanspruch des Art. 15 DS-GVO nicht davon abhängig ist, dass mit seiner Ausübung bestimmte Zwecke verfolgt werden (vgl. EuGH, Urteil vom 26. Oktober 2023 - C-307/22 -, juris Rn. 52; Schemmer, ZGI 2024, 205 [206]), bietet die Frage der Zumutbarkeit von Identifizierungsmaßnahmen i.R.d. Art. 11 Abs. 2 Satz 1 DS-GVO Raum für eine Abwägung von Aufwand und Folgen einer Identifizierung mit den Informationsbelangen des Auskunftssuchenden. Danach ist das Transparenzinteresse des Beigeladenen vorliegend als äußerst gering einzuordnen. Der Beigeladene war sich der Datenverarbeitung bereits im Moment seiner Zugfahrt am 6. Oktober 2020 bewusst, wie sein Auskunftsantrag unmittelbar nach Fahrtende belegt. Die Klägerin hat dargelegt, dass die Kameras und die Hinweise auf die Videoüberwachung in ihren Zügen gut sichtbar angebracht sind (vgl. Anlage K 5; „Regionales Betreiberkonzept Videoaufzeichnung“, S. 8 und Anlage 4). Sein Antrag diente nach eigenen Angaben auch nicht dazu, Art, Umfang, Richtigkeit oder Vollständigkeit einer Datenverarbeitung zu klären, um ihre Rechtmäßigkeit überprüfen zu können (vgl. ErwG Nr. 63 Satz 1 DS-GVO), sondern erfolgte zunächst ohne spezifischen Anlass. Es ist auch nicht erkennbar, dass die Herausgabe der Aufnahme erforderlich gewesen wäre, um sein Recht auf Berichtigung, Löschung („Recht auf Vergessenwerden“), Einschränkung der Verarbeitung sowie Widerspruch gegen die Verarbeitung seiner personenbezogenen Daten auszuüben (vgl. Art. 16-18, 21 DS-GVO; zu diesen Zwecken des Auskunftsrechts EuGH, Urteil vom 4. Mai 2023 - C-487/21 -, juris Rn. 35; Urteil vom 12. Januar 2023 - C-154/21 -, juris Rn. 37 f.). Sofern der Beigeladene angibt, mittlerweile an den - auch nach der umfänglich erfolgten Auskunft nach Art. 15 Abs. 1 DS-GVO noch offenen - Details zur Art der Datenverarbeitung (z.B. Winkel und Auflösung der Aufnahmen) interessiert zu sein, bleibt unklar, inwiefern diese Angaben für die Verwirklichung seiner Rechte und Freiheiten von Belang sind. Dies gilt insbesondere deshalb, da nach dem Datenschutzkonzept der Klägerin grundsätzlich keinerlei Einsicht in diese Aufnahmen stattfinden und deren Löschung nach 48 Stunden erfolgen wird, so dass der Beigeladene - unabhängig von der Höhe der Auflösung der Videoaufzeichnungen - keine Auswertung seiner Daten durch den Verantwortlichen oder Dritte fürchten muss. Sollte der Beigeladene wiederum möglicherweise auf einer von den Strafverfolgungsbehörden angefragten Aufzeichnung zu sehen sein, wäre er hierüber nach Art. 15 Abs. 1 lit. c DS-GVO zu informieren gewesen und weitere Auskünfte (ggf. auch nach Art. 15 Abs. 3 DS-GVO) wären - ohne Entwertung des Datenschutzkonzepts und den damit einhergehenden gewichtigen Bedenken - möglich gewesen. Zudem stellt die Datenverarbeitung im Anwendungsbereich des Art. 11 DS-GVO infolge der nur abstrakten Personenbeziehbarkeit bei fehlender Erforderlichkeit einer konkreten Identifizierung durch den Verantwortlichen schon grundsätzlich nur einen geringen Eingriff in die Rechte der Betroffenen dar (vgl. Steiger, ZD 2024, 143 [144]). Der Verordnungsgeber hat anerkannt, dass diesen Daten nur ein geringes Gefährdungspotential innewohnt und der Betroffene weniger schutzbedürftig ist. Die Belange des Beigeladenen rechtfertigen daher nicht die gewichtigen Bedenken begegnende und erheblichen Aufwand hervorrufende Aufgabe des Datenschutzkonzepts der Klägerin. Dies führt zur Annahme der Unzumutbarkeit seiner Identifizierung gemäß Art. 11 Abs. 2 Satz 1 DS-GVO.

cc) Indem die Klägerin nicht zur Identifizierung des Beigeladenen in der Lage war, scheidet dessen Anspruch auf Herausgabe der begehrten Videoaufzeichnungen nach Art. 15 Abs. 3 DS-GVO aus (vgl. Art. 11 Abs. 2 Satz 2 i.V.m. Art. 12 Abs. 2 Satz 2 DS-GVO). Sofern die Beklagte dem entgegenhält, dass dieser Anspruchsausschluss eine „Unterrichtung“ gemäß Art. 11 Abs. 2 Satz 1 DS-GVO und die Anforderung weiterer Informationen durch die Klägerin vorausgesetzt hätte, dringt sie hiermit nicht durch. Der Zweck der Unterrichtungspflicht besteht darin, der betroffenen Person die Entscheidung darüber zu ermöglichen, ob sie durch die Zulieferung weiterer Daten doch eine Identifizierung ermöglichen möchte (vgl. Plath, DS-GVO/BDSG/TTDSG, 4. Aufl. 2023, Art. 11 DS-GVO Rn. 14). Die fehlende Identifizierbarkeit des Beigeladenen beruht vorliegend jedoch nicht auf unzureichenden Angaben seinerseits, sondern der konkreten Ausgestaltung des Datenschutzkonzepts der Klägerin. Der Beigeladene hätte die Klägerin folglich nicht durch sein Zutun in die Lage versetzen können, doch einen Personenbezug mit zumutbaren Mitteln herzustellen (vgl. Schwartmann/Klein/Peisker, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, 3. Aufl. 2024, Art. 15 DS-GVO Rn. 66 zu Fallgruppen, in denen zusätzliche Angaben eine Identifizierung des Betroffenen infolge fehlender Voraussetzungen beim Verantwortlichen nicht ermöglichen). Hierüber hat die Klägerin den Beigeladenen mit E-Mail vom 6. Oktober 2020 und Schreiben vom 22. Oktober 2020 unterrichtet.

d) Darüber hinaus berechtigte auch Art. 15 Abs. 4 DS-GVO die Klägerin dazu, die Herausgabe der Videoaufnahmen an den Beigeladenen zu verweigern. Nach Art. 15 Abs. 4 DS-GVO darf das Recht auf Erhalt einer Kopie gemäß Art. 15 Abs. 3 DS-GVO die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. „Andere Personen“ sind dabei alle Personen außer dem Betroffenen, das heißt auch der Verantwortliche, der gemäß Art. 4 Nr. 7 DS-GVO „natürliche oder juristische Person, Behörde Einrichtung oder andere Stelle“ sein kann. Denn anderenfalls hätte der Normgeber auf „Dritte“ (vgl. Art. 4 Nr. 10 DS-GVO) anstatt „andere Personen“ Bezug genommen (vgl. EDPB, Leitlinien zu den Rechten der betroffenen Person - Auskunftsrecht, Version 2.1 [28.3.2023], Rn. 171; Schmidt-Wudy, in: BeckOK/DatenschutzR [1.2.2025], Art. 15 DS-GVO Rn. 96; Kamlah, in: Plath, DS-GVO/BDSG/TTDSG, 4. Aufl. 2023, Art. 15 DS-GVO Rn. 20). Sofern der Beigeladene daher die Belange der Klägerin im Rahmen von Art. 15 Abs. 4 DS-GVO ausblenden möchte, verfängt dies nicht. Hieran ändert auch die Berufung auf eine entsprechende Entscheidung des Bundesfinanzhofs (Urteil vom 14. Januar 2025 - IX R 25/22 -, juris Rn. 34) nichts, dessen Position von der dort zitierten Rechtsprechung des Europäischen Gerichtshofs (Urteil vom 26. Oktober 2023 - C-307/22 -, juris Rn. 63, 67) nicht gestützt wird, die nur rein wirtschaftliche Interessen, aber nicht generell die Rechte und Freiheiten des Verantwortlichen aus der Betrachtung nach Art. 15 Abs. 4 DS-GVO ausschließt.

Art. 15 Abs. 4 DS-GVO setzt eine Güterabwägung voraus, in deren Rahmen das nach Art. 8 Abs. 2 Satz 2 GrCh vorbehaltlos gewährleistete Auskunftsrecht einerseits und die Persönlichkeitsrechte (vgl. Art. 7 GrCh) bzw. der Schutz personenbezogener Daten (vgl. Art. 8 GrCh) Dritter sowie die schutzwürdigen Belange des Verantwortlichen andererseits einzustellen sind (vgl. auch Art. 1 Abs. 2 DS-GVO; Franck, in: Gola/Heckmann, DS-GVO/BDSG, 3. Aufl. 2022, Art. 15 DS-GVO Rn. 47; Ehmann, in: Ehmann/Selmayr, DS-GVO, 3. Aufl. 2024, Art. 15 Rn. 72 f.; ebenfalls in Richtung einer der Datenschutz-Grundverordnung immanenten Beschränkung des Auskunftsrechts aufgrund der Rechte und Freiheiten anderer BGH, Urteil vom 22. Februar 2022 - VI ZR 14/21 -, juris Rn. 18). Zwar fordert Erwägungsgrund Nr. 63 DS-GVO, dass die Rechte und Freiheiten anderer Personen nicht dazu führen dürften, dass „jegliche Auskunft verweigert“ wird (vgl. auch EDPB, Leitlinien zu den Rechten der betroffenen Person - Auskunftsrecht, Version 2.1 [28.3.2023], Rn. 173). Dennoch kann das Ergebnis der Abwägung nach Art. 15 Abs. 4 DS-GVO auch ein Ausschluss des Rechts auf Herausgabe einer Kopie sein (vgl. Rudkowski, NZA 2024, 1 [3]; Kuznik, NVwZ 2023, 297 [304]). Unabhängig davon, dass Erwägungsgründe weder rechtlich verbindlich sind noch herangezogen werden dürfen, um von den Bestimmungen des betreffenden Rechtsakts abzuweichen (vgl. EuGH, Urteil vom 13. September 2018 - C-287/17 -, juris Rn. 33), steht infolge der nach Art. 15 Abs. 1 DS-GVO erfolgten Information des Beigeladenen bereits keine Verweigerung „jeglicher Auskunft“ in Rede. Zudem muss das Auskunftsrecht im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Verhältnismäßigkeitsgrundsatzes gegen andere Grundrechte abgewogen und gegebenenfalls eingeschränkt werden (vgl. ErwG Nr. 4 DS-GVO; Schemmer, ZGI 2024, 205 [208 f.]). Nachdem er einen solchen Vorbehalt für Auskunftsrechte bereits für die Vorgängerrichtlinie 95/46/EG anerkannt hatte (EuGH, Urteil vom 7. Mai 2009 - C-553/07 -, juris Rn. 62 ff.; ebenso EuGH, Urteil vom 2. Oktober 2014 - C-127/13 P -, juris Rn. 27 f. zum Auskunftsrecht nach VO (EG) Nr. 1049/2001 über den Zugang der Öffentlichkeit zu Dokumenten des Europäischen Parlaments, des Rates und der Kommission), hat der Europäische Gerichtshof dies nun auch für Art. 15 DS-GVO ausdrücklich betont (vgl. EuGH, Urteil vom 12. Januar 2023 - C-154/21 -, juris Rn. 47, s. auch EuGH, Urteil vom 22. Juni 2023 - C-579/21 -, juris Rn. 78; Urteil vom 26. Oktober 2023 - C-307/22 -, juris Rn. 59 ff.). Die Datenschutz-Grundverordnung lässt auch an weiteren Stellen Abwägungs- und Ausgleichsmechanismen zur Auflösung datenschutzrechtlicher Zielkonflikte erkennen, die einer Auskunftserteilung entgegenstehen können (vgl. FG BE-BB, Urteil vom 26. Januar 2021 - 16 K 2059/21 -, juris Rn. 50): So betonen Art. 5 Abs. 1 lit. a DS-GVO wie Art. 8 Abs. 2 GrCh, dass die Verarbeitung personenbezogener Daten dem Gebot von „Treu und Glauben“ unterstehe, worin eine allgemeine Wertentscheidung erblickt werden kann (vgl. Franck, in: Gola/Heckmann, DS-GVO, 3. Aufl. 2022, Art. 15 Rn. 51). Indem der Verantwortliche zudem bei großen Mengen verarbeiteter Daten vor der Erteilung einer Auskunft eine Präzisierung des Begehrens verlangen darf (vgl. ErwG Nr. 63 Satz 7 DS-GVO) sowie bestimmte Aspekte des Auskunftsrechts unter einen Möglichkeitsvorbehalt gestellt werden (vgl. ErwG Nr. 63 Sätze 3-4 DS-GVO), bringt der Verordnungsgeber erneut zum Ausdruck, dass die Folgen einer Auskunft dem Ersuchen Grenzen zu setzen vermögen (vgl. Kuznik, NVwZ 2023, 297 [301]). Auch bei den Fragen, inwiefern überhaupt von personenbezogenen Daten auszugehen ist (Art. 4 Nr. 1 DS-GVO; vgl. a)) und ob dem Verantwortlichen eine Identifizierung des Betroffenen möglich ist (Art. 11 Abs. 2 DS-GVO; vgl. c)), sind Zumutbarkeitserwägungen geboten, so dass auch die Reichweite des Auskunftsrechts einer durch Art. 15 Abs. 4 DS-GVO folgerichtig eröffneten Verhältnismäßigkeitskontrolle unterliegt.

Aufgrund der zentralen Bedeutung des Auskunftsanspruchs gemäß Art. 15 DS-GVO für die informationelle Selbstbestimmung des Betroffenen (vgl. Art. 8 Abs. 2 Satz 2 GrCh) und der Wertung des Normgebers, diesen nicht wie in Art. 14 Abs. 5 lit. b DS-GVO ausdrücklich unter den Vorbehalt unverhältnismäßigen Aufwands zu stellen, sind strenge Maßstäbe an den Ausschluss eines Auskunftsbegehrens nach Art. 15 Abs. 4 DS-GVO anzusetzen. Dieser verlangt, dass die Güterabwägung ein außergewöhnliches Missverhältnis zwischen den Folgen einer Auskunftserteilung und dem Informationsinteresse des Auskunftssuchenden im jeweiligen Einzelfall ergibt. Dies ist hier der Fall.

Inwiefern bereits der für die Klägerin mit einer Auskunftserteilung verbundene Aufwand für sich genommen den Ausschluss des Auskunftsrechts nach Art. 15 Abs. 3 DS-GVO zu rechtfertigen vermag, kann dabei vorliegend dahinstehen (ebenfalls offenlassend BVerwG, Urteil vom 30. November 2022 - 6 C 10/21 -, juris Rn. 37). Diese Frage wird von Rechtsprechung, Literatur und Aufsichtsbehörden - mit teils divergierenden Begründungsansätzen - unterschiedlich beantwortet (einen Ausschluss wegen unverhältnismäßigen Aufwands ablehnend u.a. BFH, Urteil vom 14. Januar 2025 - IX R 25/22 -, juris Rn. 27 ff.; EDPB, Leitlinien zu den Rechten der betroffenen Person - Auskunftsrecht, Version 2.1 [28.3.2023], Rn. 166; Schwartmann/Klein/Peisker, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, 3. Aufl. 2024, Art. 15 DS-GVO Rn. 84 f.; diesen Ausschlussgrund anerkennend u.a. VG Berlin, Urteil vom 6. Februar 2024 - 1 K 187/21 -, juris Rn. 37; LG Heidelberg, Urteil vom 21. Februar 2020 - 4 O 6/19 -, juris Rn. 35 f.; Franck, in: Gola/Heckmann, DS-GVO/BDSG, 3. Aufl. 2022, Art. 15 DS-GVO Rn. 51).

Denn der Ausschluss des Herausgabeanspruchs ergibt sich vorliegend nicht allein oder hauptsächlich aus dem mit einer Auskunftserteilung verbundenen Aufwand für die Klägerin. Maßgeblich sind vielmehr erneut die bei der Beurteilung der Zumutbarkeit einer Identifizierung des Beigeladenen im Rahmen von Art. 11 Abs. 2 Satz 1 DS-GVO angestellten Erwägungen: Die Herausgabe der Videoaufnahmen an den Beigeladenen würde - auch bei Unkenntlichmachung ihrer Gesichter - angesichts der hierfür erforderlichen Speicherung, Sichtung und Analyse der Aufzeichnungen durchaus gewichtig in die Freiheitsrechte der anderen durch die Videoüberwachung erfassten Personen (Passagiere, Mitarbeiter) eingreifen (vgl. Art. 7, Art. 8 GrCh). Die Erfüllung des Auskunftsanspruchs würde zudem zwangsläufig zu einer Aufgabe des kohärenten und den datenschutzrechtlichen Grundsätzen der Zweckbindung und Datenminimierung (Art. 5 Abs. 1 lit. c und e DS-GVO) Rechnung tragenden Datenschutzkonzepts der Klägerin führen, das gerade den Schutz der Persönlichkeitsrechte aller Fahrgäste und Mitarbeiter bezweckt. Dies liefe dem Regelungsauftrag des Art. 25 DS-GVO zuwider. Die in Art. 11 DS-GVO zum Ausdruck kommende Wertung ist dabei auch für die Abwägung gemäß Art. 15 Abs. 4 DS-GVO zu berücksichtigen: Die Erfüllung von Auskunftsansprüchen nach Art. 15 DS-GVO ist kein Selbstzweck, sondern im Kontext des konkreten Datenverarbeitungssystems zu betrachten. Sofern eine Identifizierung durch den Verantwortlichen weder möglich noch intendiert ist, misst der Verordnungsgeber dem Auskunftsrecht generell einen niedrigeren Stellenwert zu und erachtet die Intensität des Eingriffs einer verweigerten Herausgabe als hinnehmbar. Vorliegend fällt das Transparenzinteresse des Beigeladenen dabei in besonderem Maße gering aus, da ein gewichtiges Informationsanliegen auch nach seinen Einlassungen in der mündlichen Verhandlung nicht erkennbar ist.

Der mit der Herausgabe der Videoaufnahmen verbundene Aufwand für die Klägerin ist in diesem Zusammenhang daher auch nicht als rein wirtschaftliches Interesse einzuordnen (gegen die Berücksichtigung solcher i.R.v. Art. 15 DS-GVO EuGH, Urteil vom 26. Oktober 2023 - C-307/22 -, juris Rn. 63 ff.), sondern insofern relevant, als die Auskunftserteilung nicht durch eine geringfügige und temporäre Anpassung der Datenverarbeitungsprozesse erreicht werden könnte, sondern einen grundsätzlichen Systemwechsel erforderte, der dauerhaft zu den beschriebenen datenschutz- und persönlichkeitsrechtlich bedenklichen Konsequenzen führte. Dabei spricht Vieles dafür, dass sich die Klägerin in diesem Zusammenhang auch als staatlich beherrschtes Unternehmen auf die durch Art. 16 GrCh geschützte unternehmerische Freiheit zu berufen vermag (vgl. zu deren Betroffenheit durch Auskunftspflichten Starke, ZD 2024, 63 [66]; Engeler/Quiel, NJW 2019, 2201 [2203]). Denn sie nimmt - ohne Beliehene zu sein - am Wettbewerb teil und befindet sich im Verhältnis zu den Aufsichtsbehörden damit in einer „grundrechtstypischen Gefährdungslage“ (vgl. Kingreen, in: Calliess/Ruffert, EUV/AEUV, 6. Aufl. 2022, Art. 52 GrCh Rn. 54; Schwarze/Voet van Vormizeele, in: Schwarze/Becker/Hatje/Schoo, EU-Kommentar, 4. Auf. 2019, Art. 16 GrCh Rn. 4; Gundel, NVwZ 2020, 1504 f. m.w.N.; Ludwigs/Friedmann, NVwZ 2018, 22 [26 f.]; a.A. Blanke, in: Stern/Sachs, GrCh, 2016, Art. 16 Rn. 12; Schubert, in: Franzen/Gallner/Oetker, EuropArbR, 5. Aufl. 2024, Art. 16 GrCh Rn. 7; zum Meinungsstand Meyer, EuR 2023, 497). Ein solches funktionales Grundrechtsverständnis im Hinblick auf staatlich beherrschte Unternehmen kommt zuletzt auch in der Rechtsprechung des Gerichts der Europäischen Union (Urt. v. 13. September 2018 - T-735/14 u. T-799/14, -, juris Rn. 155 ff.) und in den gemäß Art. 52 Abs. 3 GrCh für die Auslegung der Grundrechte-Charta relevanten Entscheidungen des Europäischen Gerichtshofs für Menschenrechte (Entscheidung vom 11. April 2023 - 10857/21 -, juris Rn. 11; Entscheidung vom 13. Dezember 2007 - 40998/98 -, Rn 78 ff.) zum Ausdruck (allerdings skeptisch BVerfG, Beschluss vom 18. August 2020 - 1 BvQ 82/20 -, juris Rn. 27 ff.). Aber auch unabhängig von der Berufung auf Art. 16 GrCh sind die mit der Auskunftserteilung verbundenen Folgen für die Klägerin in Gestalt der erforderlichen personellen, technischen, rechtlichen und organisatorischen Maßnahmen (vgl. c)) bei der Abwägung gemäß Art. 15 Abs. 4 DS-GVO jedenfalls zu berücksichtigen, da die Datenschutz-Grundverordnung - wie beschrieben - an zahlreichen Stellen zum Ausdruck bringt, die Belange des Verantwortlichen als rechtlich schützenswerte Interessen anzuerkennen, nicht zuletzt im Rahmen der Erwägungen zur zumutbaren Herstellung des Personenbezugs (vgl. Art. 4 Nr. 1 DS-GVO) oder der verhältnismäßigen Maßnahmen zur Identifizierung eines Betroffenen (vgl. Art. 11 Abs. 2 Satz 1 DS-GVO; vgl. zu Art. 15 Abs. 4 DS-GVO als allgemeine Verhältnismäßigkeitsgrenze Kamlah, in: Plath, DS-GVO/BDSG/TTDSG, 4. Aufl. 2023, Art. 15 DS-GVO Rn. 20; ähnlich BGH, Urteil vom 15. Juni 2021 - VI ZR 576/19 -, juris Rn. 33; Steinrötter, in: BeckOK/IT-Recht [1.1.2023] Art. 15 DS-GVO Rn. 45). Ein Ausschluss dieser Belange infolge fehlender Grundrechtsfähigkeit der Klägerin würde insbesondere auch deshalb zu Verzerrungen führen, als datenschutzrechtliche Aufsichtsmaßnahmen gegenüber staatlichen Stellen regelmäßig erfolgen (vgl. § 20 Abs. 7 BDSG).

e) Auf das Vorliegen anderer Ausschlussgründe kommt es nicht an. Solche sind auch nicht erkennbar.

Eine Beschränkung des Auskunftsrechts nach Art. 23 DS-GVO i.V.m. § 34 Abs. 1 BDSG scheidet bereits deshalb aus, da keine der - neben dem unverhältnismäßigen Aufwand der Auskunftserteilung kumulativ erforderlichen - Voraussetzungen in § 34 Abs. 1 Nr. 1 und 2 BDSG erfüllt ist.

Der Herausgabeanspruch ist auch nicht nach Art. 12 Abs. 5 Satz 2 lit. b DS-GVO ausgeschlossen. Danach kann der Verantwortliche sich weigern, aufgrund eines Antrags tätig zu werden, sofern dieser offenkundig unbegründet oder - insbesondere im Fall von häufiger Wiederholung - exzessiv ist, was auch bei einem Rechtsmissbrauch der Fall sein kann. Es ist anhand der relevanten Umstände des Einzelfalls festzustellen, dass eine Missbrauchsabsicht der betroffenen Person vorliegt (vgl. EuGH, Urteil vom 9. Januar 2025 - C-416/23 -, juris Rn. 43 ff.). Hierfür ist auf Basis des glaubhaften Vortrags des Beigeladenen zu seiner Motivlage im Zeitpunkt seines Auskunftsersuchens nichts erkennbar; eine Antragstellung aus bloßer Neugier oder zu datenschutzfremden Zwecken genügt hierfür nicht (vgl. BGH, Urteile vom 5. März 2024 - VI ZR 330/21 -, juris Rn. 20 und 29. März 2022 - VI ZR 1352/20 -, juris Rn. 17 ff.). Der Vortrag der insofern darlegungsbelasteten Klägerin (vgl. Art. 12 Abs. 5 Satz 3 DS-GVO) beschränkt sich in diesem Zusammenhang auf Mutmaßungen. Sofern sich die Klägerin auf eine mögliche zukünftige Vielzahl von Auskunftsanträgen beruft, vermag dies nicht die Exzessivität des Antrags zu begründen, da Art. 12 Abs. 5 Satz 2 lit. b DS-GVO jeweils den einzelnen Antragsteller in den Blick nimmt (BVerwG, Urteil vom 30. November 2022 - 6 C 10.21 -, juris Rn. 34). Unabhängig davon ist für eine „Antragsflut“ bislang nichts vorgetragen oder ersichtlich.

C. Die Kostenentscheidung beruht auf §§ 154 Abs. 2, 155 Abs. 1 Satz 1, Abs. 2 VwGO, wobei sich die Kostenquote aus dem Verhältnis des Obsiegens bzw. Unterliegens zum Streitwert ergibt. Dabei ist der Senat trotz Zurückweisung der Berufung zur Abänderung der erstinstanzlichen Kostenentscheidung befugt (vgl. BVerwG, Urteil vom 23. Mai 1962 - V C 62.61 -, juris Rn. 17; OVG Berlin, NVwZ 1990, 681 f.; VGH BW, Urteil vom 5. November 2014 - 1 S 2333/13 -, juris Rn. 99 ff.). Es entspricht im Übrigen nicht der Billigkeit gemäß § 162 Abs. 3 VwGO, die außergerichtlichen Kosten des Beigeladenen den jeweils unterlegenen Verfahrensbeteiligten aufzuerlegen. Der Beigeladene hat keinen Sachantrag gestellt und sich damit keinem Kostenrisiko ausgesetzt (vgl. § 154 Abs. 3 VwGO). Auch unter dem Gesichtspunkt einer wesentlichen Verfahrensförderung ergibt sich kein Kostenerstattungsanspruch: Der Beigeladene äußerte sich im Wesentlichen nur zur Begründetheit der Berufung der Beklagten, diesbezüglich steht er jedoch gerade nicht materiell im Lager der obsiegenden Partei, so dass eine entsprechende Kostenbelastung der Beklagten unbillig erschiene (vgl. Wysk, VwGO, 4. Aufl. 2025, § 162 Rn. 66; Neumann/Schaks, in: Sodan/Ziekow, VwGO, 5. Aufl. 2018, § 162 Rn. 131). Zu den im Wege der zurückgenommenen Anschlussberufung verfolgten Unterlassungs- bzw. Feststellungsanträgen und den in diesem Zusammenhang maßgeblichen verwaltungsprozessualen Fragestellungen erfolgte im Berufungsverfahren keine wesentliche Verfahrensförderung durch den Beigeladenen.

Die vorläufige Vollstreckbarkeit richtet sich nach § 167 VwGO i.V.m. §§ 708 Nr. 11, 709 Satz 2, 711 ZPO.

Die Revision ist infolge der grundsätzlichen Bedeutung der Rechtssache zuzulassen (§ 132 Abs. 2 Nr. 1 VwGO). Diese scheidet nicht deshalb aus, da die Verwarnung bereits wegen eines Ermessensfehlers aufzuheben gewesen wäre. Ein Nichtgebrauch im Hinblick auf das Entschließungsermessen liegt nicht vor. Denn es handelt sich bei Art. 58 Abs. 2 DS-GVO um einen Fall des intendierten Ermessens, so dass die Beklagte bei festgestellten Verstößen grundsätzlich gehalten ist, aufsichtsrechtliche Maßnahmen zu ergreifen: Der Europäische Gerichtshof räumt der Aufsichtsbehörde zwar ein Ermessen im Hinblick auf die Sanktionierung eines datenschutzrechtlichen Verstoßes ein, erachtet ein Absehen von Abhilfemaßnahmen aber nur im Ausnahmefall für denkbar (vgl. EuGH, Urteil vom 26. September 2024 - C-768/21 -, juris Rn. 41 ff.; Urteil vom 7. Dezember 2023 - C-26/22 und C-64/22 -, juris Rn. 57). Da weder ersichtlich noch substantiiert vorgetragen ist, inwiefern - einen Verstoß gegen Art. 15 DS-GVO unterstellt - eine atypische Konstellation gegeben sein sollte, unterlag die Beklagte im Hinblick auf das intendierte Entschließungsermessen mithin keiner Pflicht zur Abwägung des Für und Wider eines Einschreitens oder zur Niederlegung dieser Erwägungen (vgl. BVerwG, Urteil vom 16. Juni 1997 - 3 C 22/96 -, juris Rn. 14; Urteil vom 23. Mai 1996 - 3 C 13/94 -, juris Rn. 51; OVG NW, Urteil vom 26. März 2010 - 1 A 945/08, BeckRS 2010, 49129; Geis, in: Schoch/Schneider, VwVfG [Juli 2024], § 40 Rn. 27). Auch die Ausübung des Auswahlermessens ist nicht zu beanstanden. Die Verwarnung als „mildes“ Abhilfeinstrument kann grundsätzlich bereits bei einem erstmaligem Verstoß gegen die Datenschutz-Grundverordnung erfolgen, nicht zuletzt angesichts der hervorgehobenen Bedeutung des Auskunftsrechts in Art. 15 DS-GVO für die Wahrnehmung der Interessen der Betroffenen (vgl. VG Hannover, Urteil vom 10. Oktober 2023 - 10 A 3472/20 -, juris Rn. 63; VG Berlin, Urteil vom 13. Juni 2022 - 1 K 19/22 -, UA S. 5 f.; VG Mainz, Urteil vom 24. September 2020 - 1 K 584/19.MZ -, juris Rn. 51).