A-3908/2008 - Abteilung I - Datenschutz - Umsetzung einer Empfehlung des EDÖB

Abtei lung I
A-3908/2008
{T 1/2}
U r t e i l v o m 4 . A u g u s t 2 0 0 9
Richter André Moser (Vorsitz), Richter Christoph Bandli,
Richterin Kathrin Dietrich,
Gerichtsschreiber Stefan von Gunten.
Eidgenössischer Datenschutz- und Öffentlichkeitsbe-
auftragter EDÖB, Feldeggweg 1, 3003 Bern,
Kläger,
gegen
KSS Schaffhausen, Sport- und Freizeitanlagen Breite,
Breitenaustrasse 117, 8200 Schaffhausen,
vertreten durch Rechtsanwalt lic. iur. Hans-Peter Sorg,
Promenadenstrasse 17, 8201 Schaffhausen,
Beklagte,
Umsetzung einer Empfehlung des EDÖB.
B u n d e s v e r w a l t u n g s g e r i c h t
T r i b u n a l a d m i n i s t r a t i f f é d é r a l
T r i b u n a l e a m m i n i s t r a t i v o f e d e r a l e
T r i b u n a l a d m i n i s t r a t i v f e d e r a l
Besetzung
Parteien
Gegenstand
A-3908/2008
Sachverhalt:
A.
Nach einer halbjährigen Pilotphase haben die KSS Sport- und Freizeit-
anlagen Schaffhausen (KSS) im Sommer 2005 zum Zweck der Miss-
brauchsbekämpfung bei der Benutzung persönlicher, nicht übertragba-
rer Jahres- und Halbjahresabonnemente für den Eintritt ins Hallenbad
und den Wellnessbereich ein neues Zugangskontrollsystem eingeführt.
Langfristig ist ein Ausbau des Systems für weitere Sport- und Freizeit-
angebote geplant.
Für das neue System werden von den Kunden neben den Personalien
– Vorname, Nachname, Adresse, Sprache und Geburtsdatum – auch
digital komprimierte bzw. reduzierte Darstellungen eines biometrischen
Abdrucks, im vorliegenden Fall des Fingerabdrucks, sogenannte
Templates, erhoben. Das Fingerbild wird analysiert und die Merkmale
des Abbilds – Anfangs- und Endpunkt, Gabelungen etc.; "Minutien" ge-
nannt – werden extrahiert. Die Minutien-Daten (insgesamt 20-50) sind
für jeden Menschen einzigartig. Sie werden mittels eines mathemati-
schen Algorithmus codiert und komprimiert, dergestalt in ein Template
umgewandelt und mit den Personalien zentral in einer Datenbank der
KSS gespeichert. Rohdaten des Fingerabdruckes, d.h. physische oder
digitale Abbildungen biometrischer Charakteristiken, werden keine er-
fasst. Anhand der gespeicherten Daten lässt sich kein Fingerabdruck
mehr rekonstruieren.
Der Kunde erhält zudem eine Transponderkarte in Kreditkartenformat
mit einer einmaligen Karten-ID. Die Personalien des Kunden und das
Template werden dieser Karten-ID zugeordnet. Auf der Karte sind kei-
ne Daten gespeichert. Sie ist lediglich mit einem Unterschriftsfeld ver-
sehen, damit sie optisch unterschieden werden kann.
B.
Um Zugang zum Hallenbad der KSS zu erhalten, muss der Kunde sei-
ne Transponderkarte in ein Lesegerät am Drehkreuz schieben und sei-
nen Finger auf einen Scanner legen. Über die individuelle Karten-ID
wird aus der zentralen Datenbank das entsprechende Template abge-
rufen und mit dem Fingerabdruck des Kunden verglichen. Es handelt
sich deshalb um einen Verifizierungs-, nicht um einen Identifizierungs-
prozess. Insofern erfolgt zwischen einem biometrischen Probedatum
und einem biometrischen Referenzdatum ein Vergleichsvorgang, um
Seite 2
A-3908/2008
zu bestätigen, dass die betroffene Person diejenige ist, welche sie zu
sein behauptet. Alle korrekt verifizierten und getätigten Transaktionen
werden zu den Kartendaten zentral gespeichert. Dabei werden das
Datum, die Uhrzeit und der Kontrollautomat des Ein- bzw. Austritts
erfasst. Da alle Daten, sowohl die Personalien als auch die Minutien, in
einer Datenbank gespeichert werden, ist ein Rückschluss eines
Templates auf eine Person und zu einem Abonnement möglich.
C.
Infolge kritischer Reaktionen aus der Bevölkerung unterzog der Eidge-
nössische Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) das
neue Zugangssystem einer Kontrolle. Mit Schlussbericht vom 11. April
2006 (nachfolgend Schlussbericht) empfahl er der KSS, dass:
• für Personen, die nicht bereit sind, ihre biometrischen Daten für die
Ausstellung einer Dauerkarte einlesen zu lassen, eine kostengleiche
Alternative ohne Fingerabdruck-Verifizierung angeboten wird (Emp-
fehlung Nr. 1);
• auf die zentrale Speicherung der Templates der Fingerabdrücke ver-
zichtet wird und diese biometrischen Daten auf einer Smartcard, wel-
che in der Benutzersphäre und unter Kontrolle der betroffenen Person
verbleibt, abgelegt werden (Empfehlung Nr. 2);
• für die erhobenen Kundendaten (Anschrift und Kontaktinformationen)
Löschfristen eingeführt werden (Empfehlung Nr. 3);
• die Transaktionsdaten (Datum, Uhrzeit und Kontrollautomat des Bade-
ein- bzw. des Badeaustritts) anonymisiert werden (Empfehlung Nr. 4);
• bis zum Zeitpunkt, an dem die Templates dezentral auf Smartcard ab-
gelegt werden, Löschfristen für die derzeit noch zentral gespeicherten
Templates eingeführt werden (Empfehlung Nr. 5);
Im Weiteren regte der EDÖB im Sinne von Verbesserungsvorschlägen
an, dass
• die Kunden besser über die Bearbeitung ihrer biometrischen Daten
aufgeklärt werden und dass der dafür vorgesehene Flyer den Kunden
auch tatsächlich ausgehändigt wird (Verbesserungsvorschlag Nr. 1);
Seite 3
A-3908/2008
• das System so zu modifizieren ist, dass kein Abbild des gescannten
Fingerabdruckes (sog. Rohdatum) kopiert oder gespeichert werden
kann (Verbesserungsvorschlag Nr. 2);
• die Templates in verschlüsselter Form abgelegt werden (Verbesse-
rungsvorschlag Nr. 3);
• bei (Fern-)Wartungsarbeiten das Wartungspersonal des Systemliefe-
ranten nur auf Testdaten zugreifen kann (Verbesserungsvorschlag
Nr. 4).
D.
Am 29. Februar 2008 teilte die KSS dem EDÖB mit, dass ein Verzicht
auf den Fingerprint nicht in Frage komme. Die Ausstellung einer neuen
Karte (Smartcard) stelle überdies keine praktikable Lösung dar und sei
unverhältnismässig.
E.
Mit Klage vom 10. Juni 2008 stellt der EDÖB (Kläger) das Begehren,
die KSS sei aufzufordern, auf die zentrale Speicherung von biometri-
schen Daten in Form von Templates der Fingerabdrücke zu verzichten
und diese biometrischen Daten – auch diejenigen, welche bereits zen-
tral erfasst wurden – seien auf einer Sicherheitskarte (Smartcard),
welche in der Einflusssphäre und unter Kontrolle der betroffenen Per-
son verbleibt, abzulegen. Damit solle die Verifizierung der Identität
ausschliesslich auf diesem Sicherheitsmedium stattfinden (Smartcard
match on card), so dass die biometrischen Daten zu keinem Zeitpunkt
die gesicherte Umgebung des Mediums und die Kontrolle der betroffe-
nen Person verlassen.
Die Klage begründet er im Wesentlichen damit, dass die von der KSS
durchgeführte Datenverarbeitung – zentrale Speicherung biometri-
scher Daten – das Recht auf informationelle Selbstbestimmung ge-
fährde und unverhältnismässig sei. Die empfohlene Lösung greife we-
niger stark in die Grundrechte der Betroffenen ein und erreiche den
verfolgten Zweck genauso. Die durch eine Systemänderung entstehen-
den Kosten hätten vermieden werden können, wenn die KSS sich vor-
gängig über die datenschutzrechtlichen Anforderungen informiert hät-
te. Es liege in der Verantwortung des Inhabers einer Datensammlung
dafür zu sorgen, dass seine Anlage zum vornherein diese Vorausset-
zungen erfülle. Im Übrigen hätten diverse EU-Länder die dezentrale
Speicherung von biometrischen Daten ebenfalls empfohlen.
Seite 4
A-3908/2008
F.
Mit Klageantwort vom 28. August 2008 beantragt die KSS (Beklagte)
die Abweisung des Begehrens. Sie begründet ihren Antrag damit, dass
das neue System seit 3 ½ Jahren bestens funktioniere und keine Be-
schwerden von Benutzern eingegangen seien. Es sei für jedermann
möglich, ein Jahresabonnement zu erwerben, ohne dass seine Daten
gespeichert würden. Diese Lösung werde allerdings nicht öffentlich be-
kannt gegeben. Die Empfehlung sei nicht praktikabel, weil damit zu
hohe Kosten verbunden seien. Die Daten seien bisher nie sachfremd
verwendet worden. Sie habe sich nach einer aufwändigen Evaluation
für dieses System entschieden. Es habe dringender Handlungsbedarf
bestanden und eine Antwort des Klägers wäre wohl nicht innert nützli-
cher Frist erfolgt. Das System sei bereits bei anderen Bade- und
Sportanlagen installiert worden. Im Übrigen sei das von Bergbahnen
verwendete System mit zentral gespeichertem Foto und der Registrie-
rung jeder einzelnen Fahrt ein weitaus gravierenderer Eingriff.
G.
In der Replik vom 30. September 2008 führt der Kläger ergänzend
aus, die Bearbeitung von Daten müsse auch dann verhältnismässig
sein, wenn die betroffene Person zugestimmt habe und eine Alternati-
ve zum biometrischen Erkennungssystem bestehe. Die Neuanschaf-
fungskosten seien nicht unverhältnismässig und würden wohl sowieso
auf die Benutzer abgewälzt. Er bringt weiter vor, die dezentrale Spei-
cherung bereits beim Check-In und Boarding beim Flughafen Zürich
begrüsst zu haben. Der Zürcher Datenschutzbeauftragte habe zudem
die dezentrale Speicherung für die Zugangskontrolle in einem
Schwimmbad empfohlen.
H.
In ihrer Duplik vom 3. November 2008 macht die Beklagte ergänzend
geltend, in den schweizerischen Flughäfen sollten gemäss Medien
Nackt-Scanner eingesetzt werden. Dort sei der Kläger aber nicht ein-
geschritten. Eine Abwälzung der Neuanschaffungskosten sei aufgrund
der Wirtschaftslage ausgeschlossen. Die Betroffenen könnten zudem
jederzeit Einsicht in die Daten nehmen, so dass sie die Kontrolle über
die Daten nicht verlieren würden. Beim Anschaffungsprozess seien be-
reits gleichartige Systeme in Betrieb gewesen, dennoch habe der Klä-
ger keine Einwände vorgebracht. Sein Begehren verstosse daher auch
gegen die Rechtssicherheit und den Vertrauensschutz.
Seite 5
A-3908/2008
I.
Mit Schreiben vom 11. bzw. 12. November 2008 haben Kläger und Be-
klagte auf die Durchführung einer mündlichen Vorbereitungs- und einer
Hauptverhandlung verzichtet.
J.
Auf Anfrage des Bundesverwaltungsgerichts teilt die Beklagte am
16. März 2009 mit, dass es die Systemsoftware nicht erlaube, auf eine
Zuordnungsliste zu verzichten, weil die verwendeten Radio Frequency
Identification (RFID) - Karten (Identifizierung mit Hilfe elektromagneti-
scher Wellen) auf "read only" basierten.
Ebenfalls auf Anfrage des Bundesverwaltungsgerichts führt der Kläger
am 18. März 2009 aus, das Vergleichsbeispiel mit den Bergbahnen un-
terscheide sich in wesentlichen Tatsachen vom vorliegenden Fall. Bei
den Bergbahnen sei das Verwenden von biometrischen Daten in keiner
Art und Weise Bestandteil der vorgenommenen Sachverhaltsabklärung
gewesen. Im vorliegenden Fall habe er zum ersten Mal die Problematik
der Authentifizierung von Personen zum Zweck der Zugangskontrolle
unter dem Blickwinkel der Biometrie geprüft. Er sei dabei zum Schluss
gekommen, dass die dezentrale Speicherung einen Hauptpunkt für
eine datenschutzkonforme biometrische Verifizierung darstelle. Es sei
absolut notwendig, dass für die Authentifizierung von Personen zum
Zweck der Zugangskontrolle unter dem Blickwinkel der Biometrie eine
Praxis respektive Rechtsprechung gebildet werde, welche dann auf
alle gleichartigen Bearbeitungen von biometrischen Daten angewendet
werden könne – sei es bei Sportzentren, Bergbahnen oder anderen In-
habern von Datensammlungen. Deshalb würden künftig auch Berg-
bahnen, wenn sie biometrische Daten einsetzen, die Anforderungen
erfüllen müssen, wie sie für die Beklagte etabliert worden seien.
K.
Auf weitere Vorbringen und die sich bei den Akten befindlichen Schrift-
stücke wird, soweit für den Entscheid wesentlich, in den nachfolgen-
den Erwägungen eingegangen.
Das Bundesverwaltungsgericht zieht in Erwägung:
1.
Der EDÖB klärt von sich aus oder auf Meldung Dritter hin den Sach-
Seite 6
A-3908/2008
verhalt näher ab, wenn Bearbeitungsmethoden geeignet sind, die Per-
sönlichkeit einer grösseren Anzahl von Personen zu verletzen (Sys-
temfehler, Art. 29 Abs. 1 Bst. a des Bundesgesetzes vom 19. Juni
1992 über den Datenschutz [DSG, SR 235.1]). Aufgrund seiner Abklä-
rungen kann er empfehlen, das Bearbeiten zu ändern oder zu unter-
lassen (Art. 29 Abs. 3 DSG). Wird eine solche Empfehlung nicht be-
folgt oder abgelehnt, kann er die Angelegenheit dem Bundesverwal-
tungsgericht auf dem Klageweg zum Entscheid vorlegen (Art. 29
Abs. 4 DSG i.V.m. Art. 35 Bst. b des Verwaltungsgerichtsgesetzes vom
17. Juni 2005 [VGG, SR 173.32]).
1.1 Die vorliegende Klage richtet sich gegen die Nichtbefolgung bzw.
die Ablehnung einer Empfehlung des EDÖB durch die Beklagte. Inso-
fern handelt es sich um eine Klage nach Art. 29 Abs. 4 DSG. Zunächst
ist daher abzuklären, ob das DSG im vorliegenden Verfahren über-
haupt Anwendung findet und der EDÖB zur vorliegenden Klageerhe-
bung berechtigt war.
1.2 Das DSG gilt für das Bearbeiten von Daten natürlicher und juristi-
scher Personen durch private Personen und Bundesorgane (Art. 2
Abs. 1 DSG).
1.2.1 Unter Personendaten (Daten) fallen nach Art. 3 Bst. a DSG alle
Angaben, die sich auf eine bestimmte oder bestimmbare Person be-
ziehen. Darunter ist jede Art von Information zu verstehen, die auf die
Vermittlung oder die Aufbewahrung von Kenntnissen ausgerichtet ist,
ungeachtet dessen, ob es sich dabei um eine Tatsachenfeststellung
oder um ein Werturteil handelt. Unerheblich ist auch, ob eine Aussage
als Zeichen, Wort, Bild, Ton oder Kombinationen aus diesen auftritt
und auf welcher Art von Datenträger die Informationen gespeichert
sind. Eine Person ist dann bestimmt, wenn sich aus der Information
selbst ergibt, dass es sich um diese ganz bestimmte Person handelt
(URS BELSER, in: Maurer-Lambrou/Vogt [Hrsg.], Datenschutzgesetz,
Basler Kommentar, 2. Aufl., Basel 2006, Rz. 5 f. zu Art. 3; nachfolgend
"BSK-DSG"). Der Bezug ist dort unproblematisch, wo sich der Perso-
nenbezug aus der Natur der Information selbst ergibt, wie bei biometri-
schen Informationen wie Fingerabdrücken (vgl. DAVID ROSENTHAL, in Ro-
senthal/Jöhri, Handkommentar DSG, Zürich 2008, Art. 3 Bst. a N 13;
nachfolgend "Handkommentar DSG").
1.2.2 Die Beklagte erhebt von jedem Dauerkarteninhaber die Perso-
nalien, d.h. Name, Vorname, Adresse, Sprache und Geburtsdatum.
Seite 7
A-3908/2008
Dabei handelt es sich ohne Weiteres um Personendaten, die einerseits
für sich alleine (Name, Vorname), andererseits in Zusammenhang mit
den weiter erhobenen Daten – ohne grossen Aufwand – auf eine
bestimmte Person schliessen lassen (Adresse, Sprache,
Geburtsdatum). Daneben werden den Abonnenten die Fingerabdrücke
genommen bzw. deren Minutien extrahiert, mittels Algorithmus in ein
Template umgewandelt und dergestalt in einer zentralen Datenbank
abgelegt. Der Fingerabdruck an sich, wie auch die extrahierten
Minutien sind einzigartig und nur einer bestimmten Person zuzuord-
nen. Der Bezug zu einer Person geht daher aus diesen selbst hervor.
Auf welche Art von Datenträger (Template) sie gespeichert werden, ist
unerheblich. Im Übrigen ist auch noch eine Zuordnungsliste zentral
abgelegt, sodass mit dieser Rückschluss auf einen bestimmten
Abonnenten genommen werden kann.
Insofern sind sämtliche hier in Frage stehenden Daten als Personen-
daten gemäss DSG zu qualifizieren.
1.2.3 Bearbeiten im Sinne von Art. 2 Abs. 1 DSG bedeutet jeder Um-
gang mit Personendaten, unabhängig von den angewandten Mitteln
und Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwen-
den, Umarbeiten, Bekanntgeben, Archivieren oder Vernichten von Da-
ten (Art. 3 Bst. e DSG). Für das Bundesverwaltungsgericht besteht
kein Zweifel, dass im vorliegenden Fall eine Bearbeitung nach DSG er-
folgt. Dies wird im Übrigen auch nicht bestritten.
1.2.4 Wie bereits erwähnt, klärt der Beauftragte gemäss Art. 29
Abs. 1 Bst. a DSG von sich aus oder auf Meldung Dritter hin den
Sachverhalt näher ab, wenn Bearbeitungsmethoden geeignet sind, die
Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Sys-
temfehler). "Systemfehler" bedeutet in diesem Zusammenhang die
Eignung, eine grössere Anzahl von Personen in ihrer Persönlichkeit zu
verletzen (vgl. DAVID ROSENTHAL, Handkommentar DSG, Art. 29 N. 11;
RENÉ HUBER, BSK-DSG, Rz. 6 ff. zu Art. 29; Urteil der Eidgenössischen
Datenschutzkommission [EDSK] vom 15. April 2005, veröffentlicht in
Verwaltungspraxis des Bundes [VPB] 69.106, E. 3.2). Kann die fragli-
che Datenbearbeitung potentiell zur Schädigung einer grösseren An-
zahl Betroffener führen, ist die Schwelle der "grösseren Anzahl" be-
reits beim Vorliegen einiger weniger Vorfälle erreicht (RENÉ HUBER,
BSK-DSG, Rz. 10 f. zu Art. 29). In der Klageantwort führt die Beklagte
aus, dass jährlich 1'200 Dauerkarten verkauft würden. Insofern kann
Seite 8
A-3908/2008
ohne Weiteres von einem "Systemfehler" im Sinne der Gesetzgebung
ausgegangen werden.
1.3 Das DSG kommt aus diesen Gründen zur Anwendung und der
Kläger war zur Erteilung der Empfehlung ermächtigt. Auf die im Weite-
ren form- und fristgerecht eingereichte Klage ist daher einzutreten.
1.4 Das Verfahren richtet sich gemäss Art. 44 Abs. 1 VGG grundsätz-
lich nach den Art. 3 – 73 sowie 79 – 85 des Bundesgesetzes vom
4. Dezember 1947 über den Bundeszivilprozess (BZP, SR 273). Ob-
wohl im Bundeszivilprozess der Richter sein Urteil grundsätzlich nur
auf Tatsachen gründen darf, die im Verfahren geltend gemacht worden
sind (Art. 3 Abs. 2 BZP), gilt vor Bundesverwaltungsgericht infolge der
spezialgesetzlichen Bestimmung von Art. 44 Abs. 2 VGG der Grund-
satz der Sachverhaltsabklärung von Amtes wegen.
Art. 3 Abs. 2 BZP bestimmt, dass der Richter nicht über die Rechtsbe-
gehren der Parteien hinausgehen darf. In einem Klageverfahren wie
dem vorliegenden hat die Dispositionsmaxime somit grössere Bedeu-
tung als im Beschwerdeverfahren vor Bundesverwaltungsgericht. Im
Verfahren vor dem Bundesverwaltungsgericht wird der EDÖB in der
Regel verlangen, dass die von ihm empfohlenen und nun klageweise
geltend gemachten Massnahmen gegenüber den betreffenden Daten-
bearbeitern verfügt, d.h. den Datenbearbeitern durch das Gericht in
verbindlicher und erzwingbarer Form angeordnet werden. Damit wird
die Empfehlung zwar nicht verbindlich, doch wird ihr – soweit begehrt
und gutgeheissen – ein entsprechendes Urteil zur Seite gestellt. Das
Bundesverwaltungsgericht kann aber auch weniger weit gehende
Massnahmen anordnen (vgl. DAVID ROSENTHAL, Handkommentar DSG,
Art. 29 Abs. 4 N 47).
2.
2.1 Der Kläger rügt vorab, das Zugangssystem der Beklagten ver-
stosse gegen das Gebot der Zweckbindung der Datenbearbeitung
nach Art. 4 Abs. 3 DSG (Ziffer 2.1 der Klage). Eine Zweckänderung sei
von den Betroffenen durch die zentrale Speicherung der biometrischen
Daten aber nicht kontrollierbar. Damit bestehe die Gefahr einer Verlet-
zung der informationellen Selbstbestimmung nach Art. 13 Abs. 2 der
Bundesverfassung der Schweizerischen Eidgenossenschaft vom
18. April 1999 (BV, SR 101). Die biometrischen Daten dürften den
Kontrollbereich der betroffenen Person deshalb nicht verlassen. Er
empfehle daher ein milderes Mittel, die sogenannte "Smartcard match
Seite 9
A-3908/2008
on card". Die biometrischen Daten würden auf dem Sicherheitsmedium
gespeichert und die Verifizierung finde ebenfalls darauf statt.
2.2 Es ist nicht ersichtlich und wird vom Kläger auch nicht weiter be-
gründet, inwiefern der Grundsatz der Zweckbindung nach Art. 4 Abs. 3
DSG hier verletzt worden sein soll. Der Kläger gesteht der Beklagten
denn auch zu, dass sie bisher keine Zweckänderung vorgenommen
habe (Klageschrift, Ziffer 43). Er rügt unter dem Grundsatz der Zweck-
bindung der Datenbearbeitung nichts anderes als den Grundsatz der
Verhältnismässigkeit der Datenbearbeitung gemäss Ziffer 2.2 seiner
Klage. Die Klage ist denn auch (hauptsächlich) unter diesem Gesichts-
punkt zu behandeln.
3.
Gemäss Art. 13 Abs. 2 BV hat jede Person Anspruch auf Schutz vor
Missbrauch ihrer persönlichen Daten. Diesem Anspruch hat der Bun-
desgesetzgeber im DSG Rechnung getragen und das Bearbeiten von
Daten durch Private und Bundesbehörden eingehend geregelt (ULRICH
HÄFELIN/WALTER HALLER/HELEN KELLER, Schweizerisches Bundesstaats-
recht, 7. Aufl., Zürich/Basel/Genf 2008, Rz. 390). Wer Personendaten
bearbeitet, darf dabei die Persönlichkeit der betroffenen Personen
nicht widerrechtlich verletzen. Er darf insbesondere nicht Personenda-
ten entgegen den Grundsätzen des Artikels 4 bearbeiten (Art. 12
Abs. 1 Bst. a DSG).
3.1 Nach Art. 4 Abs. 2 DSG muss die Bearbeitung der Daten verhält-
nismässig sein. Sowohl der Zweck, der mit der Datenbearbeitung ver-
folgt wird, als auch die Art und Weise der Bearbeitung müssen verhält-
nismässig sein. Dies verlangt zunächst, dass Personendaten nur so-
weit bearbeitet werden dürfen, als dies für einen bestimmten Zweck
objektiv geeignet und tatsächlich erforderlich ist. Der Verhältnismässig-
keitsgrundsatz verlangt weiter, dass die Datenbearbeitung für die be-
troffene Person sowohl hinsichtlich ihres Zwecks als auch hinsichtlich
ihrer Mittel zumutbar ist (d.h. verhältnismässig i.e.S.). Die Prüfung der
Verhältnismässigkeit verlangt eine Gesamtwürdigung aller Umstände
(BGE 122 II 199), d.h. auch der Interessen des Datenbearbeiters
(DAVID ROSENTHAL, Handkommentar DSG, Art. 4 N 19 ff.).
3.2 Gemäss Klageschrift Ziffer 63 akzeptiert der Kläger die Einführung
des biometrischen Erkennungssystems in Hinblick auf den Bearbei-
tungszweck unter Vorbehalt. Im Verhältnis zum Eingriff in die Grund-
rechte der betroffenen Person seien die von der Beklagten eingeführ-
Seite 10
A-3908/2008
ten Massnahmen und durchgeführten Datenbearbeitungen zwar geeig-
net, um das angestrebte Ziel – den Missbrauch der Dauerkarten – zu
erreichen, sie stünden jedoch nicht in einem vernünftigen Verhältnis
zum Eingriff in die Grundrechte der betroffenen Person. Insofern be-
mängelt der Kläger die Erforderlichkeit des Eingriffs.
3.3 Eine Massnahme hat zu unterbleiben, wenn eine gleich geeignete,
aber mildere Massnahme für den angestrebten Erfolg ausreichen wür-
de. Das Gebot der Erforderlichkeit einer Massnahme wird auch als
Prinzip der «Notwendigkeit», des «geringst möglichen Eingriffs», der
«Zweckangemessenheit» oder als «Übermassverbot» bezeichnet
ULRICH HÄFELIN/GEORG MÜLLER/FELIX UHLMANN, Allgemeines Verwaltungs-
recht, 5. Aufl., Zürich/Basel/Genf 2006, Rz. 591 f.). Der Eingriff darf in
sachlicher, räumlicher, zeitlicher und personeller Beziehung nicht über
das Notwendige hinausgehen (ULRICH HÄFELIN/WALTER HALLER/HELEN
KELLER, a.a.O., Rz. 322). Bei der Verifizierung der Identität der Betroffe-
nen sollen die biometrischen Daten statt in einer zentralen Datenbank
vorzugsweise auf einem gesicherten individuellen Speichermedium
gespeichert werden, dessen Einsatz durch den Betroffenen kontrolliert
werden kann (URS MAURER LAMBROU/ANDREA STEINER, BSK-DSG, Rz. 22
zu Art. 4).
3.4 Mit dem aktuellen System werden die biometrischen Daten zu-
sammen mit einer Zuordnungsliste auf dem Host der Beklagten ge-
speichert. Die Transponderkarte dient lediglich dazu, das entsprechen-
de Template für den Überprüfungsprozess zu aktivieren, damit der Be-
sucher über seinen Fingerabdruck als Abonnent identifiziert werden
kann. Auf ihr sind keine Daten gespeichert. Der Verifizierungsprozess
erfolgt auf dem Host. Jede korrekt durchgeführte Transaktion wird er-
fasst.
3.5 Bei dem vom Kläger empfohlenen System "Smartcard match on
card" erfolgt der Vergleich zwischen der biometrischen Charakteristik
(Fingerabdruck) und den lokal gespeicherten biometrischen Daten
(Referenz-Template) dezentral auf der Karte, so dass der Host ledig-
lich ein Freigabesignal von der Smartcard erhält und keine biometri-
schen Daten zwischen Smartcard und dem elektronischen Zugangs-
kontrollsystem ausgetauscht werden. Damit haben die betroffenen Per-
sonen sowohl die Kontrolle über ihre biometrischen Referenzdaten als
auch über die Transaktionsdaten im Rahmen des Vergleichs. In einem
solchen Fall liegen lediglich Transaktionsdaten, welche zwischen der
Seite 11
A-3908/2008
Smartcard und dem Leser ausgetauscht werden, ausserhalb des
Kontrollbereichs der betroffenen Person.
3.6 Bei der Gegenüberstellung der beiden verschiedenen Zugangs-
systeme wird ersichtlich, dass das vom Kläger geforderte System weit
weniger in das informationelle Selbstbestimmungsrecht des Betroffe-
nen eingreift als das bis anhin verwendete System und trotzdem das
verfolgte Ziel erreichen kann. Der Betroffene gibt seine Daten dabei
nicht mehr aus der Hand und behält damit stets die Kontrolle. Dass der
Abonnent beim derzeitigen Zugangssystem jederzeit Einsicht in seine
Daten nehmen könne, wie dies die Beklagte vorbringt, vermag die
Kontrollmöglichkeiten des eingeklagten Zugangssystems bei Weitem
nicht zu erreichen. Zentral gespeicherte Daten ausserhalb des Herr-
schaftsbereichs des Abonnenten bleiben für diesen mehrheitlich uner-
reichbar und damit verletzlich.
3.7 Im Zusammenhang mit Art. 36 Abs. 4 Bst. c DSG, wonach der
Bundesrat Bestimmungen erlassen kann, wie die Mittel zur Identifikati-
on von Personen verwendet werden dürfen, verweist der Handkom-
mentar DSG zudem auf den Schlussbericht des Klägers vom 11. April
2006 und begrüsst damit das vorliegende Begehren nach dezentraler
Speicherung der biometrischen Daten (vgl. YVONNE JÖHRI, Handkom-
mentar DSG, Art. 36 Abs. 4 Bst. c N 35 f.). Der Zürcher Datenschutz-
beauftragte hat anlässlich seines 11. Tätigkeitsberichts 2005 ebenfalls
empfohlen, dass Systeme vorzuziehen seien, bei denen die biometri-
schen Daten nicht bei der Schwimmbad-Betreiberin abgelegt würden
(Klagebeilage 36). In diesem Sinne hat sich auch die Art. 29 – Daten-
schutzgruppe der EU als deren unabhängiges Beratungsgremium in
Datenschutzfragen geäussert. Danach sind biometrische Daten bei der
Verwendung als Zutrittskontrolle nicht auf einem Medium zu speichern,
das sich nicht im Besitz der betroffenen Person befindet (vgl. Arbeits-
papier über Biometrie der Art. 29 – Datenschutzgruppe vom 1. August
2003, Ziff. 3.2, S. 7). Europäische Länder sind diesen Empfehlungen
gefolgt (u.a. Frankreich, vgl. Klagebeilage 38, und Italien, vgl. Klage-
beilage 46, S. 3) und sprechen sich ebenfalls für die dezentrale Spei-
cherung gemäss Klagebegehren aus. Der Kläger seinerseits hat sich
im (gleichartigen) Fall des Check-In und Boarding beim Flughafen Zü-
rich, wo auch Fingerabdrücke der Fluggäste genommen und in Form
von Templates abgelegt wurden, geäussert. Auch hier hat er die de-
zentrale Speicherung empfohlen (Klagebeilage 37, S. 15).
Seite 12
A-3908/2008
3.8 Die Beklagte hat im Übrigen mit Schreiben vom 10. August 2006
(Klagebeilage 19) der Empfehlung Nr. 2 – mithin dem Klagebegehren
– zugestimmt und ausgeführt, dass die Dauerkarten durch beschreib-
bare Medien ersetzt würden. Die Software werde so angepasst, dass
die Daten auf der Karte gespeichert werden könnten. Dem Schreiben
vom 29. Februar 2008 ist zudem zu entnehmen, dass die Beklagte nur
die hohen Anschaffungskosten und den zusätzlichen logistischen Auf-
wand für das Festhalten an der bisherigen zentralen Speicherung der
Daten vorbringt. Sie stellt sich hingegen nicht auf den Standpunkt, das
vom Kläger begehrte Zugangssystem stelle kein milderes Mittel im
Sinne der Verhältnismässigkeit dar. Dies scheint insofern auch nach-
vollziehbar, als kein Grund ersichtlich ist, weshalb eine zentrale Spei-
cherung der Daten bei der Beklagten notwendig ist. Ein solcher wird
von ihr auch nicht geltend gemacht.
3.9 Aus diesen Gründen steht fest, dass die zentrale Speicherung der
biometrischen Daten, wie sie die Beklagte bisher handhabt, dem Ge-
bot der Erforderlichkeit widerspricht und damit den Grundsatz der Ver-
hältnissmässigkeit der Datenbearbeitung gemäss Art. 4 Abs. 2 DSG
verletzt. Es liegt daher eine Persönlichkeitsverletzung nach Art. 12
Abs. 2 Bst. a DSG vor.
4.
Nicht jede Verletzung der Persönlichkeit ist auch widerrechtlich; die Wi-
derrechtlichkeit ist somit lediglich Grundsatz, von dem es Ausnahmen
gibt. Eine Verletzung der Persönlichkeit ist dann nicht widerrechtlich,
wenn sie u.a. durch Einwilligung des Verletzten gerechtfertigt ist
(Art. 13 Abs. 1 DSG).
4.1 Die Einwilligung kann grundsätzlich jede Persönlichkeitsverletzung
rechtfertigen, auch Verstösse gegen die allgemeinen Datenschutzbe-
arbeitungsgrundsätze (vgl. dazu CORRADO RAMPINI, BSK-DSG, Rz. 3 f.
zu Art. 13). Der Gesetzgeber hat sich bei der Definition des Begriffs
der Einwilligung an demjenigen der Einwilligung des aufgeklärten Pati-
enten (vgl. BGE 119 II 456, BGE 117 Ib 197, BGE 114 Ia 350) orien-
tiert, und zwar in dem Sinne, dass die betroffene Person über alle In-
formationen im konkreten Fall verfügen muss, die erforderlich sind, da-
mit sie eine freie Entscheidung treffen kann (BBl 2003 2127). Eine
rechtlich gültige Einwilligung setzt nach Art. 4 Abs. 5 DSG voraus,
dass eine angemessene Information bezüglich der Datenbearbeitung
vorliegt, in die eingewilligt werden soll, eine Willenserklärung vorliegt,
Seite 13
A-3908/2008
aus welcher eine Zustimmung zu dieser Datenbearbeitung entnommen
werden kann und diese Willenserklärung freiwillig erfolgt (DAVID
ROSENTHAL, Handkommentar DSG, Art. 4 Abs. 5 N 67 f.).
4.2 Das Erfordernis einer angemessenen Information will erreichen,
dass die betroffene Person ihre Einwilligung in Kenntnis der Sachlage
gibt, d.h. erst entscheiden muss, wenn sie sich ein Bild (auch) über die
möglichen negativen Folgen ihrer Einwilligung machen konnte. Erfor-
derlich, aber auch genügend ist letztlich, dass sich die betroffene Per-
son im Klaren darüber sein kann, worin sie einwilligen soll, d.h. was
die Tragweite ihrer Entscheidung ist. Je nach Situation wird eine Auf-
klärung erforderlich sein, die nicht nur auf die Umstände der Datenbe-
arbeitung, sondern auch auf ihre wichtigsten möglichen Risiken bzw.
Folgen für die betroffene Person hinweist, insbesondere wenn diese
schwerwiegend sind. Ob und wie weit diesbezüglich informiert werden
muss, hängt letztlich aber von den konkreten Umständen ab (DAVID
ROSENTHAL, Handkommentar DSG, Art. 4 Abs. 5 N 72 f.). Eine Einwilli-
gung muss freiwillig erfolgen, das heisst Ausdruck des freien Willens
der betroffenen Person sein. Ungültig ist die durch Täuschung, Dro-
hung oder Zwang zustande gekommene Einwilligung. Der betroffenen
Person muss "eine – mit nicht unzumutbaren Nachteilen behaftete –
Handlungsalternative" zur Verfügung stehen (CORRADO RAMPINI, BSK-
DSG, Rz. 6 f. zu Art. 13; vgl. auch CHRISTIAN DRECHSLER, Die Revision
des Datenschutzrechts, in Aktuelle Juristische Praxis [AJP] 2007,
S. 1473). Etwas abweichend dazu äussert sich DAVID ROSENTHAL im
Handkommentar DSG und meint, dass dies zu weit gehe: Wo davon
auszugehen sei, dass eine Einwilligung subjektiv im Interesse der be-
troffenen Person liege, könne normalerweise ebenfalls von einer frei-
willigen Willenserklärung ausgegangen werden, selbst wenn die be-
troffene Person keine Handlungsalternative habe. Seine Kritik berührt
den vorliegenden Fall jedoch nicht, weil die Einwilligung hier dem Be-
troffenen keinen Vorteil bringt, insofern nicht in dessen subjektivem In-
teresse liegt.
4.3 Die Beklagte bringt zum Rechtfertigungsgrund der Einwilligung
vor, die Betroffenen würden beim Kauf einer Dauerkarte auf das Sys-
tem und die Datenbearbeitung aufmerksam gemacht. Die alternative
Ausstellung von Dauerkarten ohne Finger-Print werde indes nicht öf-
fentlich bekannt gemacht. Erst wenn sich ein Gast weigere, werde ihm
die Alternativlösung angeboten. Die Betroffenen könnten zudem jeder-
zeit Einblick in ihre Daten nehmen.
Seite 14
A-3908/2008
4.4 In seinem Schlussbericht führt der Kläger in Bezug auf die Einwil-
ligung der Betroffenen aus, dass keine Alternativlösungen bestünden.
Die Kunden müssten auf teurere 10-er Abonnemente ausweichen. Die
Badegäste würden beim Umtausch oder Erwerb einer Dauerkarte vom
Kassenpersonal über die Erhebung der biometrischen Daten und über
die weitere Datenbearbeitung mündlich aufgeklärt. Bei der Sachver-
haltsabklärung vor Ort seien an der Kassentheke aber keine Flyer er-
hältlich gewesen. Der Flyer habe ihm erst nach einer kleineren Such-
aktion überreicht werden können. Er trage die Überschrift "Ist der Da-
tenschutz bei der biometrischen Fingerabdruck Erkennung und Identi-
fikation gewährleistet?". Der Flyer erkläre, dass keine Rohdaten ge-
speichert, sondern extrahierte Merkmale eines Fingerabdruckes in
Form eines "codierten" Templates in der Datenbank gespeichert wür-
den. Der Flyer führe weiter aus, wie der Abgleich der Templates vor
sich gehe und dass es nicht möglich sei, aus dem "Code" das Rohda-
tum wieder herzustellen. Ferner werde darauf hingewiesen, dass heute
gängige Personendatenbanken aus Sicht des Datenschutzes eine weit
grössere Gefahr darstellten als die Information des Fingerabdruckes.
Der Flyer äussere sich nur grob über die Bearbeitungsmodalitäten der
erhobenen Daten. Zudem erkläre der Flyer primär, warum der Einsatz
von Biometrie aus Sicht des Systemlieferanten unproblematisch sei.
In seinem Verbesserungsvorschlag Nr. 1 regt der Kläger daher an,
dass der Informationsgehalt des Flyers hinsichtlich der Bearbeitungs-
modalitäten der biometrischen Daten stark verbessert werden müsse.
Aufgeführt werden müssten die Hauptpunkte der Datenbearbeitung,
wie z.B. wo und für wie lange die Daten gespeichert würden, insbe-
sondere was mit den Templates und den Transaktionsdaten geschehe,
wer Zugriff auf die Daten habe und an wen sie – wenn überhaupt –
weitergegeben würden. Er sei jedem Kunden vor dem Enrolement (Re-
gistrierung) automatisch vom Kassenpersonal und ohne Nachfrage
des Kunden auszuhändigen. Dem Badegast sei genügend Zeit zur Ver-
fügung zu stellen, ihn vorher durchzulesen. Weitere Flyer seien griffbe-
reit an der Kassentheke aufzulegen. Mit Schreiben vom 18. Oktober
2006 (Klagebeilage 23) stimmt die Beklagte auch diesem Verbesse-
rungsvorschlag zu und führt aus, dass dieser umgesetzt werde. Der
Flyer werde vollständig überarbeitet, wobei die vom Kläger genannten
Punkte berücksichtigt würden. Weiter werde ein Ablauf- und Organisa-
tionsdiagramm für das Kassenpersonal erstellt, aus welchem hervor-
gehe, wie bei der Herausgabe eines Abonnements (mit biometrischen
Daten) vorzugehen sei. Aus den vorliegenden Unterlagen ist nicht er-
Seite 15
A-3908/2008
sichtlich, dass der Verbesserungsvorschlag von der Beklagten umge-
setzt worden ist.
4.5 Dem Kläger ist zuzustimmen, dass einem Badegast (faktisch) kei-
ne Alternativlösung geboten wird, wenn er die Möglichkeit für den Er-
werb eines Jahres- oder Halbjahresabonnements ohne Fingerprint-Lö-
sung erst dann erhält, wenn er sich geweigert hat, ein solches mit dem
aktuellen Zugangssystem zu akzeptieren. In den meisten Fällen wird
der Gast sich (vermeintlich) mangels Alternative dazu bewegen las-
sen, seine biometrischen Daten zentral zu hinterlegen. Insofern kann
hier nicht von Freiwilligkeit die Rede sein.
4.6 Im Weiteren wird der Gast auch nicht angemessen informiert, so
dass er sich über die Tragweite seiner Entscheidung (vollends) im Kla-
ren sein könnte. Der Flyer wird diesem offensichtlich gar nicht erst
ausgehändigt. Wenn er schon bei der vorher vereinbarten Sachver-
haltsfeststellung des Klägers erst nach einer kleineren Suchaktion
überreicht werden kann, ist nicht davon auszugehen, dass er an einem
"gewöhnlichen Tag" stets griffbereit ist, geschweige denn verteilt wird.
Weiter scheint das Kassenpersonal weder spezifische Vorgaben noch
eine besondere Schulung erhalten zu haben, wie beim Verkauf einer
Dauerkarte vorzugehen ist. Dem Erfordernis der angemessenen Infor-
mation kommt die Beklagte deshalb nicht genügend nach.
Über den Inhalt des Flyers und ob dieser ausreichend ist, braucht das
Bundesverwaltungsgericht daher nicht weiter zu befinden. Zu bemer-
ken sei hierzu lediglich, dass biometrische Daten (wohl unbestrittener-
massen) sensibel sind und die Information hierüber umfassend sein
müsste. Aufgrund der unbestrittenen Beschreibung des Klägers über
den Informationsgehalt des Flyers und des Verbesserungsvorschlages
lässt sich aber erahnen, dass dieser einer angemessenen Aufklärung
nicht genügend Rechnung trägt.
5.
Eine Verletzung der Persönlichkeit ist ebenfalls nicht widerrechtlich,
wenn sie durch ein überwiegendes privates Interesse gerechtfertigt ist
(Art. 13 Abs. 1 DSG). Seitens des Datenbearbeiters sind nur die priva-
ten Interessen an der zu rechtfertigenden Datenbearbeitung zu be-
rücksichtigen. Zu ermitteln sind dabei sowohl das Interesse am Zweck
als auch an den Mitteln der Datenbearbeitung, mit welchen der Zweck
erreicht werden soll. Die Mittel der Datenbearbeitung umfassen insbe-
sondere die Art und Weise der Datenbearbeitung und die Art und Aus-
Seite 16
A-3908/2008
wahl der Personendaten (DAVID ROSENTHAL, Handkommentar DSG,
Art. 13 Abs. 1 N 8).
5.1 Die Beklagte bringt in diesem Zusammenhang vor, durch die An-
passungen im Sinne des Klagebegehrens entstünden hohe Anschaf-
fungskosten und zusätzlicher logistischer Aufwand.
5.2 Der Kläger führt hingegen aus, es liege in der Verantwortung des
Inhabers der Datensammlung dafür zu sorgen, dass eine Anlage zum
vornherein datenschutzkonform sei. Insofern seien die Änderungskos-
ten und der zusätzliche logistische Aufwand keine stichhaltigen Argu-
mente.
5.3 Die Interessen der Beklagten sind nicht zu berücksichtigen, weil
sich diese nicht auf die Datenverarbeitung selbst beziehen, sondern
nur auf die Unannehmlichkeiten abstellen, die eine allfälligen Ände-
rung im Sinne des Klägers mit sich brächten. Diese Interessen haben
beim Rechtfertigungsgrund der überwiegenden privaten Interessen im
Sinne von Art. 13 Abs. 1 DSG – wie den vorstehenden Erwägungen zu
entnehmen ist – kein Gewicht. Insofern liegt auch keine Rechtfertigung
vor.
6.
Zusammenfassend ergibt sich, dass die Beklagte mit dem bisherigen
Zugangssystem und der entsprechenden Art und Weise der Bearbei-
tung der biometrischen Daten den Grundsatz der Verhältnismässigkeit
verletzt. Diese Verletzung ist weder durch Einwilligung noch durch
überwiegende private Interessen gerechtfertigt. Es kann damit offen
gelassen werden, ob auch die Gefahr besteht, dass die Daten expor-
tiert, kopiert und unbefugt weiterverarbeitet werden könnten, mithin die
Datensicherheit nach Art. 7 DSG nicht gewährleistet ist, wie dies der
Kläger weiter vorbringt.
Aufgabe des Bundesverwaltungsgerichts ist es festzustellen, ob ein
Zugangssystem datenschutzkonform ist. Es ist hingegen nicht dessen
Aufgabe festzulegen, welche Art und Weise der Bearbeitung bei der
Verwendung von biometrischen Daten angezeigt ist, mithin ein umfas-
sendes (datenschutzkonformes) Zugangssystem zu liefern. Das vom
Kläger vorgeschlagene System erscheint dem Bundesverwaltungsge-
richt auf den ersten Blick geeignet und den gesetzlichen Anforderun-
gen an die Bearbeitung von biometrischen Daten gewachsen zu sein.
Zumindest stellt es ein milderes Mittel im Sinne der Erforderlichkeit im
Seite 17
A-3908/2008
Rahmen der Verhältnismässigkeitsprüfung dar. Da sich die
Zuordnungsliste aus technischen Gründen nicht aus der zentralen
Datenbank und daher nicht von den entsprechenden Templates
entfernen lässt (Eingabe der Beklagten vom 16. März 2009), ist eine
für die Beklagte weniger einschneidende Massnahme im Rahmen des
vorliegenden Verfahrens nicht ersichtlich. Zur Überprüfung einer
Zugangsberechtigung könnte es etwa ausreichen, die Templates ohne
Zuordnungsliste zu speichern und bei der Einlasskontrolle lediglich zu
prüfen, ob das präsentierte Merkmal in der Datenbank vorhanden ist.
Zumindest zwischen den Matchingvorgängen bestünde dann für die
speichernde Stelle bei ausreichender Grösse der Datenbank keine
Möglichkeit der Herstellung eines Personenbezugs (GERRIT HORNUNG,
Der Personenbezug biometrischer Daten, in: Zeitschrift "Datenschutz
und Datensicherheit", 28 [2004] 7, S. 430).
Der Beklagten steht es indes frei, von dem bisherigen System gänzlich
abzusehen. Es besteht kein Grund, der Beklagten ein anderes Zu-
gangssystem aufzuzwingen.
7.
Im Übrigen ist der Beklagten auch insofern nicht zu folgen als sie rügt,
das Vorgehen des Klägers verletze den Grundsatz der Rechtsgleich-
heit und des Vertrauensschutzes, indem beispielsweise das Kontroll-
system der Bergbahnen nicht bemängelt werde und der Kläger im
Rahmen ihres Beschaffungsprozesses keinen Einwand erhoben habe,
obwohl gleichartige Systeme bereits im Einsatz gewesen seien.
7.1.1 Der Grundsatz des Vertrauensschutzes (Art. 9 BV) bedeutet,
dass die Privaten Anspruch darauf haben, in ihrem berechtigten Ver-
trauen in behördliche Zusicherungen oder in anderes, bestimmte Er-
wartungen begründendes Verhalten der Behörden geschützt zu wer-
den (HÄFELIN/MÜLLER/UHLMANN, a.a.O., Rz. 627). Damit sich jemand auf
den Vertrauensschutz berufen kann wird u.a. eine Vertrauensgrundla-
ge gefordert. Dabei kommt es auf den Bestimmtheitsgrad der Grundla-
ge an, der so gross sein muss, dass der Private daraus die für seine
Dispositionen massgebenden Informationen entnehmen kann (HÄFELIN/
MÜLLER/UHLMANN, a.a.O., Rz. 631). Grundsätzlich hindert die vorüberge-
hende Duldung eines rechtswidrigen Zustandes die Behörde nicht an
der späteren Behebung dieses Zustandes. Eine Vertrauensgrundlage,
die der Wiederherstellung der Rechtmässigkeit ganz oder teilweise
entgegensteht, wird durch behördliche Untätigkeit nur in Ausnahmefäl-
Seite 18
A-3908/2008
len geschaffen (HÄFELIN/MÜLLER/UHLMANN, a.a.O., Rz. 652). Weder kann
sich die Beklagte vorliegend auf eine ausreichend bestimmte Vertrau-
ensgrundlage stützen, wie etwa eine schriftliche oder mündliche Zusi-
cherung des Klägers, noch kann sie sich im Sinne des Vertrauens-
schutzes darauf berufen, dass gleichartige – allenfalls auch daten-
schutzwidrige – Systeme im Einsatz gewesen seien und der Kläger
nicht eingeschritten sei. Ein Ausnahmefall ist hier nicht ersichtlich und
wird von der Beklagten auch nicht geltend gemacht.
7.1.2 Wie nachfolgend aufgezeigt, kann sich diese auch nicht auf den
Grundsatz der Gleichbehandlung berufen. Der Anspruch auf Gleichbe-
handlung verlangt, dass Rechte und Pflichten der Betroffenen nach
dem gleichen Massstab festzusetzen sind. Gleiches ist nach Massga-
be seiner Gleichheit gleich, Ungleiches nach Massgabe seiner Un-
gleichheit ungleich zu behandeln. Das Gleichheitsprinzip verbietet ei-
nerseits unterschiedliche Regelungen, denen keine rechtlich erhebli-
chen Unterscheidungen zu Grunde liegen. Andererseits untersagt es
aber auch die rechtliche Gleichbehandlung von Fällen, die sich in tat-
sächlicher Hinsicht wesentlich unterscheiden. Die Gleichbehandlung
durch den Gesetzgeber oder die rechtsanwendende Behörde ist aller-
dings nicht nur dann geboten, wenn zwei Tatbestände in allen ihren
tatsächlichen Elementen absolut identisch sind, sondern auch, wenn
die im Hinblick auf die zu erlassende oder anzuwendende Norm rele-
vanten Tatsachen gleich sind (HÄFELIN/MÜLLER/UHLMANN, a.a.O., Rz. 495).
Der Grundsatz der Gesetzmässigkeit der Verwaltung geht dem
Rechtsgleichheitsprinzip im Konfliktfall in der Regel vor. Wenn eine Be-
hörde in einem Fall eine vom Gesetz abweichende Entscheidung ge-
troffen hat, gibt das den Privaten, die sich in der gleichen Lage befin-
den, grundsätzlich keinen Anspruch darauf, ebenfalls abweichend von
der Norm behandelt zu werden (keine Gleichbehandlung im Unrecht).
Dies gilt allerdings nur dann, wenn die abweichende Behandlung le-
diglich in einem einzigen oder in einigen wenigen Fällen erfolgt ist. Be-
steht hingegen eine eigentliche Praxis und lehnt es die Behörde ab,
diese aufzugeben, so können Private verlangen, dass die widerrechtli-
che Begünstigung, die Dritten zuteil wurde, auch ihnen gewährt werde
(Urteil des Bundesverwaltungsgerichts A-5541/2008 vom 2. Juli 2009
E. 5.1 mit Hinweisen; HÄFELIN/MÜLLER/UHLMANN, a.a.O., Rz. 518). Das von
der Beklagten als Vergleich herangezogene Zugangssystem der Berg-
bahnen unterscheidet sich in wesentlichen Zügen von ihrem Zugangs-
system. Wie der Kläger ausführt, waren die biometrischen Daten beim
Zugangssystem der Bergbahnen in keiner Art und Weise Bestandteil
Seite 19
A-3908/2008
der vorgenommenen Sachverhaltsabklärung, d.h. solche werden dabei
offenbar auch nicht verwendet. Insofern unterscheiden sie sich in
relevanten Tatsachen und taugen daher nicht für einen Vergleich. Im
Übrigen ist der Kläger gewillt, die einmal entwickelte Rechtsprechung
in Bezug auf die gleichartige Bearbeitung biometrischer Daten in
sämtlichen Bereichen anzuwenden und so einer einheitlichen
Handhabung zu Durchbruch zu verhelfen.
8.
Aus diesen Gründen ist die Klage im Sinne der Erwägungen gutzu-
heissen.
9.
Gemäss Art. 69 Abs. 1 BZP entscheidet das Gericht über die Prozess-
kosten von Amtes wegen nach den Art. 65, 66 und 68 des Bundesge-
richtsgesetzes vom 17. Juni 2005 (BGG, SR 173.110). Die Gerichts-
kosten bestehen in der Gerichtsgebühr, der Gebühr für das Kopieren
von Rechtsschriften, den Auslagen für Übersetzungen, ausgenommen
solche zwischen Amtssprachen, und den Entschädigungen für Sach-
verständige sowie für Zeugen und Zeuginnen. Die Gerichtsgebühr
richtet sich nach Streitwert, Umfang und Schwierigkeit der Sache, Art
der Prozessführung und finanzieller Lage der Parteien. Sie beträgt in
der Regel zwischen 200–5000 Franken in Streitigkeiten ohne Vermö-
gensinteresse (Art. 65 Abs. 1 bis 3 Bst. a BGG). Für das vorliegende
Klageverfahren werden die Kosten auf Fr. 1'500.-- bestimmt.
9.1 Nach Art. 66 BGG werden die Gerichtskosten in der Regel der un-
terliegenden Partei auferlegt. Vorliegend besteht kein Anlass, von die-
ser Regel abzuweichen. Gemäss Ausgang dieses Verfahrens trägt da-
her die Beklagte als unterliegende Partei die Verfahrenskosten in der
Höhe von Fr. 1'500.--. Der Betrag ist innert 30 Tagen nach Eintritt der
Rechtskraft des vorliegenden Urteils zu Gunsten der Gerichtskasse zu
überweisen.
9.2 Im Urteil wird bestimmt, ob und in welchem Mass die Kosten der
obsiegenden Partei von der unterliegenden zu ersetzen sind. Bund,
Kantonen und Gemeinden sowie mit öffentlich-rechtlichen Aufgaben
betrauten Organisationen wird in der Regel keine Parteikostenent-
schädigung zugesprochen, wenn sie in ihrem amtlichen Wirkungskreis
obsiegen (Art. 68 Abs. 1 und 3 BGG). Der obsiegende Kläger hat in
diesem Sinne keinen Anspruch auf eine Parteikostenentschädigung.
Seite 20
A-3908/2008
Demnach erkennt das Bundesverwaltungsgericht:
1.
Die Klage wird im Sinne der Erwägungen gutgeheissen.
2.
Die Verfahrenskosten von Fr. 1'500.-- werden der Beklagten auferlegt.
Der Betrag ist innert 30 Tagen nach Eintritt der Rechtskraft des vorlie-
genden Urteils zu Gunsten der Gerichtskasse zu überweisen. Die Zu-
stellung des Einzahlungsscheins erfolgt mit separater Post.
3.
Es wird keine Parteikostenentschädigung gesprochen.
4.
Dieses Urteil geht an:
- den Kläger (Gerichtsurkunde)
- die Beklagte (Gerichtsurkunde)
Der vorsitzende Richter: Der Gerichtsschreiber:
André Moser Stefan von Gunten
Rechtsmittelbelehrung:
Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim
Bundesgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtli-
chen Angelegenheiten geführt werden (Art. 82 ff., 90 ff. und 100 des
Bundesgerichtsgesetzes vom 17. Juni 2005 [BGG, SR 173.110]). Die
Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begeh-
ren, deren Begründung mit Angabe der Beweismittel und die Unter-
schrift zu enthalten. Der angefochtene Entscheid und die Beweismittel
Seite 21
A-3908/2008
sind, soweit sie die beschwerdeführende Partei in Händen hat, beizu-
legen (vgl. Art. 42 BGG).
Versand:
Seite 22