Auskunftsrecht bei Videoüberwachung

Aktueller Stand: Berufungsverfahren ausgesetzt (bis EuGH, C-300/21).

Worum geht es?

Die neueren Züge der Berliner S-Bahn (einige 481/2-er und m. W. alle 483/4-er Baureihen) sind mit Videoüberwachungskameras ausgestattet. Die Aufzeichnungen werden für 48 Stunden gespeichert und danach automatisch überschrieben (Ringspeicher).

Ich bin der Auffassung, dass es sich bei der Videoaufzeichnung um ein personenbezogenes Datum (Artikel 4 Nr. 1 DSGVO) handelt und daher die S-Bahn verpflichtet ist, mir eine Kopie herauszugeben (bei der natürlich die Bilder der anderen Zugfahrenden unkenntlich gemacht wurden; Artikel 15 DSGVO), sowie auf meine (rechtzeitige) Anfrage zu verhindern, dass diese Daten vor Erteilung der Auskunft gelöscht werden (Artikel 18 Abs. 1 Buchst. c. DSGVO).

Der Personenbezug folgt für mich aus Folgendem:

In Artikel 4 Nr. 1 DSGVO steht folgendes:

Im Sinne dieser Verordnung bezeichnet der Ausdruck: "personenbezogene Daten" alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen (...).

Dabei sind Personen identifizierbar, wenn es irgendwie realistisch möglich ist, diese Person zu identifizieren. Das sollte der Fall sein, denn der Zweck der Aufzeichnung ist es, Straftaten aufzuklären. Dafür muss es entweder während des Ermittlungsverfahrens beim Abgleich mit einer (biometrischen?) Datenbank oder in einem Gerichtsverfahren als Beweismittel möglich sein, festzustellen, dass eine Person auf dem Video eine bestimmte identifizierte Person ist, d.h. eine aufgezeichnete Person zu identifizieren. Ob die S-Bahn selber so eine Identifizierung vornehmen will oder dies gar regelmäßig macht (was sie laut eigener Aussage nicht tut), ist für die Eigenschaft der Daten irrelevant.

Außerdem handelt es sich um eine Verarbeitung dieser Informationen, denn als solche zählt bereits die Speicherung.

Damit müsste – meiner Auffassung nach – eine Kopie auf mein Verlangen herausgegeben werden. Ferner müsste auch die Löschung/Überschreibung der Daten verhindert werden. Der Europäische Datenschutzausschuss meint, dass dies bereits aus dem Auskunftsrecht folgt. Das klingt verständlich, denn das Recht soll ja den Betroffenen ermöglichen, nachzuvollziehen, wie sie betreffende personenbezogene Daten verarbeitet werden, und die Rechtmäßigkeit davon zu überprüfen. Das ganze würde ja komplett sinnlos werden, wenn die Verantwortlichen einen Teil der Daten vor der Auskunft löschen könnten, da ja dann das Bild verzerrt würde.

Aber auf jeden Fall müsste das aus dem Recht auf Einschränkung der Verarbeitung folgen (Artikel 18 Absatz 1 Buchst. c DSGVO). Danach gilt:

Die betroffene Person hat das Recht, von dem Verantwortlichen die Einschränkung der Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist:

c) der Verantwortliche die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigt, die betroffene Person sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt, oder

Genau das ist hier der Fall! Die Verantwortlichen brauchen die Daten nicht mehr (denn sie haben nicht von einer Straftat o.ä. gehört, die Anlass gegeben hatte, die Aufzeichnung auszulesen) und würden sie nun nach Ablauf der Speicherfrist löschen wollen. Ich als Betroffener brauche aber die Daten noch, nämlich zur Ausübung meines Auskunftsrechts.

Auch den Einwand, das ganze sei ein unverhältnismäßiger Aufwand für die S-Bahn, kann ich nicht nachvollziehen. Es existieren schließlich Prozesse, mit denen die Strafverfolgungsbehörden Einsicht in die Videoaufzeichnungen verlangen können. Solche Anfragen kommen sicher deutlich häufiger vor, als Datenschutzanfragen, sodass es absurd wäre, würden solche Anfragen als verhältnismäßig, aber einzelne Datenschutzanfragen als unverhältnismäßig zählen. Außerdem liegt es in der Verantwortung der S-Bahn, ihr System so zu gestalten, dass sie Datenschutzanfragen möglichst einfach beantworten kann (vgl. BVerfG, B. v. 9. Januar 2006, - 2 BvR 443/02 -, Rn. 54). Sie kann also auch nicht einfach ganz komplexe Schutzmechanismen hinzufügen und dann sagen, dass sie nun keine Lust mehr hat, Datenschutzanfragen zu beantworten.

Was ist bisher passiert?

Unmittelbar nach einer Fahrt im Oktober 2020 hatte ich beantragt, eine Kopie der Aufzeichnung zu erhalten. Da ich in dem ausgehängten Datenschutzhinweis gelesen hatte, dass die Aufzeichnungen automatisiert gelöscht werden, hatte ich vorsorglich auch beantragt, die Verarbeitung einzuschränken. Beides hat die S-Bahn abgelehnt.

Daraufhin hatte ich mich bei der Berliner Landesbeauftragten für Datenschutz und Informationsfreiheit beschwert, welche nach einigem Hin und Her und einem (inzwischen zurückgenommenen) ursprünglichen Bescheid, mit dem meine Beschwerde abgewiesen wurde, sowie einiger Überzeugungsarbeit feststellte, dass die S-Bahn gegen meine Betroffenenrechte verstoßen hatte, insoweit sie keine Auskunft erteilt und stattdessen die Daten gelöscht hatte. Gegen den Bescheid hat die S-Bahn inzwischen Klage vor dem VG Berlin erhoben.

Da sich bei der Beschwerde lange Zeit nichts tat, stellte ich im April 2021 eine gleichartige Auskunftsanfrage an die S-Bahn. Auch diese wurde abgewiesen. Daraufhin habe ich erst außergerichtlich und dann mit einer Klage vor dem AG Pankow immateriellen Schadensersatz in Höhe von 350 Euro geltend gemacht (Az.: 4 C 199/21). Durch den Datenschutzverstoß der Beklagten habe ich die Kontrolle über die Verarbeitung der mich betreffenden personenbezogenen Daten verloren (Kontrollverlust), was als immaterieller Schaden zu charakterisieren ist (vgl. ErwGr 75 und 85 DSGVO). Des Weiteren habe ich durch die Löschung der Daten mein Auskunftsrecht verloren (Rechtsverlust), was ebenfalls ein immaterieller Schaden ist (ibid).

Das Gericht hatte am 14.3.2022 (PI-DAY \o/) über die Klage verhandelt und diese leider mit Urteil vom 28.3.2022 abgewiesen. Das Urteil ist auf rewis.io veröffentlicht und findet sich auch auf GDPRhub.eu.

Gegen das Urteil habe ich Berufung erhoben und warte nun auf die Entscheidung des Landgerichts Berlin. Das LG wollte zunächst die Berufung nach § 522 II ZPO im Beschlusswege zurückweisen, konnte jedoch noch überzeugt werden, davon abzusehen. Im Dezember 2022 gab es eine mündliche Verhandlung, in deren Anschluss das Verfahren ausgesetzt wurde, bis der EuGH in der Rechtssache C-300/21 über Grundsatzfragen zum Schadensersatz nach Art. 82 DSGVO entschieden hat.

Außerdem hat mich das Verwaltungsgericht Berlin in dem Verfahren S-Bahn ./. LfDI (Az. VG 1 K 561/21) beigeladen und ich habe umfassend Stellung nehmen können. Ein Termin für die mündliche Verhandlung steht zurzeit noch aus.

Was passiert nun?

Es ist abzuwarten, wie das Berufungsgericht und das Verwaltungsgericht entscheiden werden.