2009/44 Datenschutz
2 Privatrecht – Zivilrechtspflege – Vollstreckung
Droit privé – Procédure civile – Exécution
Diritto privato – Procedura civile – Esecuzione
44
Auszug aus dem Urteil der Abteilung I
i. S. Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter
gegen KSS Schaffhausen
A-3908/2008 vom 4. August 2009
Datenschutz. Empfehlung des Eidgenössischen Datenschutz- und Öf-
fentlichkeitsbeauftragten. Klageverfahren. Informationelle Selbstbe-
stimmung. Zentrale Speicherung biometrischer Daten. Erfor-
derlichkeit im Sinne der Verhältnismässigkeit. Rechtfertigung durch
Einwilligung der Betroffenen oder überwiegendes privates Interesse
der Bearbeiterin.
Art. 13 Abs. 2 BV. Art. 4 Abs. 2, Art. 12 Abs. 2 Bst. a, Art. 13 Abs. 1
DSG.
1. Nach Art. 4 Abs. 2 DSG muss die Bearbeitung der Daten verhält-
nismässig sein, und zwar sowohl hinsichtlich des mit der Daten-
bearbeitung verfolgten Zwecks als auch betreffend Art und
Weise der Bearbeitung (E. 3.1).
2. Eine Massnahme hat zu unterbleiben, wenn eine gleich geeignete,
aber mildere Massnahme für den angestrebten Erfolg ausreichen
würde (E. 3.3).
3. Die Einwilligung kann grundsätzlich jede Persönlichkeitsverlet-
zung rechtfertigen, auch Verstösse gegen die allgemeinen Da-
tenschutzbearbeitungsgrundsätze (E. 4.1).
4. Das Erfordernis einer angemessenen Information will erreichen,
dass die betroffene Person ihre Einwilligung in Kenntnis der
Sachlage gibt, das heisst erst entscheiden muss, wenn sie sich ein
Bild (auch) über die möglichen negativen Folgen ihrer Einwilli-
gung machen konnte. Eine Einwilligung muss zudem freiwillig
erfolgen. Der betroffenen Person muss « eine – mit nicht unzu-
mutbaren Nachteilen behaftete – Handlungsalternative » zur
Verfügung stehen (E. 4.2).
620 BVGE / ATAF / DTAF
Datenschutz 2009/44
5. Eine Verletzung der Persönlichkeit ist nicht widerrechtlich, wenn
sie durch ein überwiegendes privates Interesse gerechtfertigt ist.
Zu ermitteln sind dabei das Interesse sowohl am Zweck als auch
an den Mitteln der Datenbearbeitung, mit welchen der Zweck
erreicht werden soll (E. 5).
6. Die Einwände der Bearbeiterin betreffend Vertrauensschutz und
Gleichbehandlung mit Bezug auf andere Zugangssysteme sind
unbegründet (E. 7).
Protection des données. Recommandation du Préposé fédéral à la
protection des données et à la transparence. Procédure par voie d'ac-
tion. Autodétermination en matière de données personnelles. Enre-
gistrement centralisé de données biométriques. Nécessité au regard
du principe de proportionnalité. Justification par le consentement de
l'intéressé ou par l'intérêt privé prépondérant de la personne trai-
tant les données.
Art. 13 al. 2 Cst. Art. 4 al. 2, art. 12 al. 2 let. a, art. 13 al. 1 LPD.
1. En vertu de l'art. 4 al. 2 LPD, le traitement de données doit être
conforme au principe de la proportionnalité, tant en ce qui
concerne son but que ses modalités (consid. 3.1).
2. Il convient de renoncer à une mesure lorsqu'une autre mesure
moins intrusive permet d'obtenir le résultat escompté (con-
sid. 3.3).
3. Le consentement peut en principe justifier toute atteinte à la per-
sonnalité, y compris la violation des principes généraux de pro-
tection des données applicables au traitement de données
(consid. 4.1).
4. En exigeant que la personne concernée soit dûment informée, la
loi veut s'assurer que le consentement est donné en connaissance
de cause, c'est-à-dire que la personne concernée ne décide
qu'après avoir (aussi) pris connaissance des conséquences néga-
tives que peut entraîner son consentement. Le consentement doit
en outre être donné librement. La personne concernée doit dis-
poser d'une « solution de rechange qui ne comporte pas de dés-
avantages inacceptables » (consid. 4.2).
5. Une atteinte à la personnalité n'est pas illicite lorsqu'elle est justi-
fiée par un intérêt privé prépondérant. Dans ce cas, il convient
d'établir tant l'intérêt lié au but du traitement de données que
l'intérêt lié aux moyens permettant d'atteindre ce but (consid. 5).
BVGE / ATAF / DTAF 621
2009/44 Datenschutz
6. Les objections soulevées par la personne traitant des données et
tirées du principe de la confiance et de l'égalité de traitement par
rapport à d'autres systèmes d'accès sont infondées (consid. 7).
Protezione dei dati. Raccomandazione dell'Incaricato federale della
protezione dei dati e della trasparenza. Procedimenti promossi me-
diante azione. Autodeterminazione informativa. Memorizzazione
centrale di dati biometrici. Necessità del rispetto del principio della
proporzionalità. Giustificazione mediante consenso dell'interessato o
un interesse privato preponderante di chi tratta i dati.
Art. 13 cpv. 2 Cost. Art. 4 cpv. 2, art. 12 cpv. 2 lett. a, art. 13 cpv. 1
LPD.
1. Secondo l'art. 4 cpv. 2 LPD il trattamento dei dati deve essere
conforme al principio della proporzionalità sia dal punto di vista
della finalità perseguita con il trattamento dei dati sia della mo-
dalità del trattamento (consid. 3.1).
2. Una misura non deve essere adottata se una misura parimenti
appropriata, ma più lieve, è sufficiente per conseguire lo scopo
perseguito (consid. 3.3).
3. Il consenso può giustificare in linea di massima ogni lesione
della personalità, anche le violazioni ai principi generali del
trattamento della protezione dei dati (consid. 4.1).
4. L'esigenza di una debita informazione è soddisfatta se la persona
interessata esprime il suo consenso con cognizione di causa, vale
a dire che essa deve decidere solo se ha un chiaro quadro (anche)
delle possibili conseguenze negative del suo consenso. Un con-
senso deve essere espresso liberamente. La persona interessata
deve avere a disposizione « un'alternativa di trattamento non
subordinata a pregiudizi inaccettabili » (consid. 4.2).
5. Una lesione della personalità non è illecita se è giustificata da un
interesse privato preponderante. Occorre accertare l'interesse
allo scopo del trattamento e ai mezzi impiegati del trattamento
dei dati con i quali si dovrebbe raggiungere lo scopo (consid. 5).
6. Le obiezioni di chi tratta i dati quanto alla tutela della buona fe-
de e alla parità di trattamento con riferimento ad altri sistemi di
accesso sono infondate (consid. 7).
622 BVGE / ATAF / DTAF
Datenschutz 2009/44
Nach einer halbjährigen Pilotphase haben die KSS Sport- und Freizeit-
anlagen Schaffhausen (KSS, Beklagte) im Sommer 2005 zum Zweck der
Missbrauchsbekämpfung bei der Benutzung persönlicher, nicht übertrag-
barer Jahres- und Halbjahresabonnemente für den Eintritt ins Hallenbad
und den Wellnessbereich ein neues Zugangskontrollsystem eingeführt.
Für das neue System werden von den Kunden neben den Personalien –
Vorname, Nachname, Adresse, Sprache und Geburtsdatum – auch digital
komprimierte bzw. reduzierte Darstellungen eines biometrischen Ab-
drucks, im vorliegenden Fall des Fingerabdrucks, sogenannte Templates,
erhoben. Diese werden zentral in einer Datenbank der KSS gespeichert.
Der Kunde erhält zudem eine Transponderkarte in Kreditkartenformat
mit einer einmaligen Karten-ID. Die Personalien des Kunden und das
Template werden dieser Karten-ID zugeordnet. Auf der Karte sind keine
Daten gespeichert. Sie ist lediglich mit einem Unterschriftsfeld versehen,
damit sie optisch unterschieden werden kann.
Um Zugang zum Hallenbad der KSS zu erhalten, muss der Kunde seine
Transponderkarte in ein Lesegerät am Drehkreuz schieben und seinen
Finger auf einen Scanner legen. Über die individuelle Karten-ID wird
aus der zentralen Datenbank das entsprechende Template abgerufen und
mit dem Fingerabdruck des Kunden verglichen. Es handelt sich deshalb
um einen Verifizierungsprozess. Insofern erfolgt zwischen einem biome-
trischen Probedatum und einem biometrischen Referenzdatum ein Ver-
gleichsvorgang, um zu bestätigen, dass die betroffene Person diejenige
ist, welche sie zu sein behauptet. Alle korrekt verifizierten und getätigten
Transaktionen werden zu den Kartendaten zentral gespeichert. Dabei
werden das Datum, die Uhrzeit und der Kontrollautomat des Ein- be-
ziehungsweise Austritts erfasst. Da alle Daten, zentral in einer Datenbank
gespeichert werden, ist ein Rückschluss eines Templates auf eine Person
und zu einem Abonnement möglich.
Mit Klage vom 10. Juni 2008 stellt der Eidgenössische Datenschutz- und
Öffentlichkeitsbeauftragte (EDÖB, Kläger) das Begehren, die KSS sei
aufzufordern, auf die zentrale Speicherung von biometrischen Daten in
Form von Templates der Fingerabdrücke zu verzichten und diese biome-
trischen Daten – auch diejenigen, welche bereits zentral erfasst wurden –
seien auf einer Sicherheitskarte (Smartcard), welche in der Einfluss-
sphäre und unter Kontrolle der betroffenen Person verbleibt, abzulegen.
Damit solle die Verifizierung der Identität ausschliesslich auf diesem Si-
cherheitsmedium stattfinden (Smartcard match on card), so dass die
biometrischen Daten zu keinem Zeitpunkt die gesicherte Umgebung des
Mediums und die Kontrolle der betroffenen Person verlassen.
BVGE / ATAF / DTAF 623
2009/44 Datenschutz
Die Klage begründet er im Wesentlichen damit, dass die von der KSS
durchgeführte Datenverarbeitung – zentrale Speicherung biometrischer
Daten – das Recht auf informationelle Selbstbestimmung gefährde und
unverhältnismässig sei. Die von ihm empfohlene Lösung greife weniger
stark in die Grundrechte der Betroffenen ein und erreiche den verfolgten
Zweck genauso.
In ihrer Klageantwort beantragt die KSS die Abweisung der Klage. Das
neue System habe seit dreieinhalb Jahren bestens funktioniert und es
seien keine Beschwerden eingegangen. Jedermann könne ein Jahres-
abonnement erwerben, ohne dass seine Daten gespeichert würden. Dies
werde allerdings nicht öffentlich bekannt gegeben. Die Empfehlung des
Klägers sei nicht praktikabel, weil damit zu hohe Kosten verbunden
seien. Das System sei bereits bei anderen Bade- und Sportanlagen
installiert worden. Im Übrigen sei das von Bergbahnen verwendete Sys-
tem mit zentral gespeichertem Foto und der Registrierung jeder einzel-
nen Fahrt ein weitaus gravierenderer Eingriff.
In der Replik hält der Kläger an seinem Begehren fest und führt ergän-
zend aus, die Bearbeitung von Daten müsse auch dann verhältnismässig
sein, wenn die betroffene Person zugestimmt habe und eine Alternative
zum biometrischen Erkennungssystem bestehe. Die Neuanschaffungs-
kosten seien nicht unverhältnismässig und würden wohl sowieso auf die
Benutzer abgewälzt. Zudem habe er die dezentrale Speicherung bereits
mehrmals empfohlen.
In der Duplik bringt die Beklagte vor, die Abwälzung der Neuanschaf-
fungskosten sei aufgrund der Wirtschaftslage ausgeschlossen. Die Be-
troffenen könnten zudem jederzeit Einsicht in die Daten nehmen, so dass
sie die Kontrolle über die Daten nicht verlieren würden. Beim Anschaf-
fungsprozess seien bereits gleichartige Systeme in Betrieb gewesen, den-
noch habe der Kläger keine Einwände vorgebracht. Sein Begehren ver-
stosse daher auch gegen die Rechtssicherheit und den Vertrauensschutz.
Auf Anfrage des Bundesverwaltungsgerichts (BVGer) teilt die Beklagte
mit, dass es die Systemsoftware nicht erlaube, auf eine Zuordnungsliste
zu verzichten. Ebenfalls auf Anfrage des BVGer führt der Kläger aus,
das Vergleichsbeispiel mit den Bergbahnen unterscheide sich in wesent-
lichen Tatsachen vom vorliegenden Fall. Bei den Bergbahnen sei das
Verwenden von biometrischen Daten in keiner Art und Weise Bestandteil
der vorgenommenen Sachverhaltsabklärung gewesen.
Das BVGer heisst die Klage im Sinne der Erwägungen gut.
624 BVGE / ATAF / DTAF
Datenschutz 2009/44
Aus den Erwägungen:
1. Der EDÖB klärt von sich aus oder auf Meldung Dritter hin den
Sachverhalt näher ab, wenn Bearbeitungsmethoden geeignet sind, die
Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Sys-
temfehler, Art. 29 Abs. 1 Bst. a des Bundesgesetzes vom 19. Juni 1992
über den Datenschutz [DSG, SR 235.1]). Aufgrund seiner Abklärungen
kann er empfehlen, das Bearbeiten zu ändern oder zu unterlassen
(Art. 29 Abs. 3 DSG). Wird eine solche Empfehlung nicht befolgt oder
abgelehnt, kann er die Angelegenheit dem BVGer auf dem Klageweg
zum Entscheid vorlegen (Art. 29 Abs. 4 DSG i. V. m. Art. 35 Bst. b des
Verwaltungsgerichtsgesetzes vom 17. Juni 2005 [VGG, SR 173.32]).
1.1 Die vorliegende Klage richtet sich gegen die Nichtbefolgung
beziehungsweise die Ablehnung einer Empfehlung des EDÖB durch die
Beklagte. Insofern handelt es sich um eine Klage nach Art. 29 Abs. 4
DSG. Zunächst ist daher abzuklären, ob das DSG im vorliegenden Ver-
fahren überhaupt Anwendung findet und der EDÖB zur vorliegenden
Klageerhebung berechtigt war.
1.2 Das DSG gilt für das Bearbeiten von Daten natürlicher und juristi-
scher Personen durch private Personen und Bundesorgane (Art. 2 Abs. 1
DSG).
1.2.1 Unter Personendaten (Daten) fallen nach Art. 3 Bst. a DSG alle
Angaben, die sich auf eine bestimmte oder bestimmbare Person be-
ziehen. Darunter ist jede Art von Information zu verstehen, die auf die
Vermittlung oder die Aufbewahrung von Kenntnissen ausgerichtet ist,
ungeachtet dessen, ob es sich dabei um eine Tatsachenfeststellung oder
um ein Werturteil handelt. Unerheblich ist auch, ob eine Aussage als Zei-
chen, Wort, Bild, Ton oder Kombinationen aus diesen auftritt und auf
welcher Art von Datenträger die Informationen gespeichert sind. Eine
Person ist dann bestimmt, wenn sich aus der Information selbst ergibt,
dass es sich um diese ganz bestimmte Person handelt (URS BELSER, in:
Urs Maurer-Lambrou/Nedim Peter Vogt [Hrsg.], Datenschutzgesetz, Bas-
ler Kommentar, 2. Aufl., Basel 2006, Rz. 5 f. zu Art. 3). Der Bezug ist
dort unproblematisch, wo sich der Personenbezug aus der Natur der
Information selbst ergibt, wie bei biometrischen Informationen wie Fin-
gerabdrücken (vgl. DAVID ROSENTHAL/YVONNE JÖHRI, Handkommentar zum
Datenschutzgesetz, Zürich 2008, Art. 3 Bst. a N 13).
1.2.2 Die Beklagte erhebt von jedem Dauerkarteninhaber die Perso-
nalien, das heisst Name, Vorname, Adresse, Sprache und Geburtsdatum.
Dabei handelt es sich ohne Weiteres um Personendaten, die einerseits für
BVGE / ATAF / DTAF 625
2009/44 Datenschutz
sich alleine (Name, Vorname), andererseits in Zusammenhang mit den
weiter erhobenen Daten – ohne grossen Aufwand – auf eine bestimmte
Person schliessen lassen (Adresse, Sprache, Geburtsdatum). Daneben
werden den Abonnenten die Fingerabdrücke genommen bzw. deren
Minutien extrahiert, mittels Algorithmus in ein Template umgewandelt
und dergestalt in einer zentralen Datenbank abgelegt. Der Fingerabdruck
an sich, wie auch die extrahierten Minutien sind einzigartig und nur einer
bestimmten Person zuzuordnen. Der Bezug zu einer Person geht daher
aus diesen selbst hervor. Auf welche Art von Datenträger (Template) sie
gespeichert werden, ist unerheblich. Im Übrigen ist auch noch eine
Zuordnungsliste zentral abgelegt, sodass mit dieser Rückschluss auf
einen bestimmten Abonnenten genommen werden kann.
Insofern sind sämtliche hier in Frage stehenden Daten als Personendaten
gemäss DSG zu qualifizieren.
1.2.3 Bearbeiten im Sinne von Art. 2 Abs. 1 DSG bedeutet jeder Um-
gang mit Personendaten, unabhängig von den angewandten Mitteln und
Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwenden, Um-
arbeiten, Bekanntgeben, Archivieren oder Vernichten von Daten (Art. 3
Bst. e DSG). Für das BVGer besteht kein Zweifel, dass im vorliegenden
Fall eine Bearbeitung nach DSG erfolgt. Dies wird im Übrigen auch
nicht bestritten.
1.2.4 Wie bereits erwähnt, klärt der Beauftragte gemäss Art. 29 Abs. 1
Bst. a DSG von sich aus oder auf Meldung Dritter hin den Sachverhalt
näher ab, wenn Bearbeitungsmethoden geeignet sind, die Persönlichkeit
einer grösseren Anzahl von Personen zu verletzen (Systemfehler). « Sys-
temfehler » bedeutet in diesem Zusammenhang die Eignung, eine
grössere Anzahl von Personen in ihrer Persönlichkeit zu verletzen (vgl.
ROSENTHAL/JÖHRI, a. a. O., Art. 29 N. 11; RENÉ HUBER, in: Urs Maurer-
Lambrou/Nedim Peter Vogt [Hrsg.], Datenschutzgesetz, Basler Kom-
mentar, 2. Aufl., Basel 2006, Rz. 6 ff. zu Art. 29; Urteil der Eidgenös-
sischen Datenschutzkommission vom 15. April 2005, veröffentlicht in
Verwaltungspraxis des Bundes [VPB] 69.106 E. 3.2). Kann die fragliche
Datenbearbeitung potentiell zur Schädigung einer grösseren Anzahl Be-
troffener führen, ist die Schwelle der « grösseren Anzahl » bereits beim
Vorliegen einiger weniger Vorfälle erreicht (HUBER, a. a. O., Rz. 10 f. zu
Art. 29). In der Klageantwort führt die Beklagte aus, dass jährlich 1'200
Dauerkarten verkauft würden. Insofern kann ohne Weiteres von einem
« Systemfehler » im Sinne der Gesetzgebung ausgegangen werden.
626 BVGE / ATAF / DTAF
Datenschutz 2009/44
1.3 Das DSG kommt aus diesen Gründen zur Anwendung und der
Kläger war zur Erteilung der Empfehlung ermächtigt. Auf die im Weite-
ren form- und fristgerecht eingereichte Klage ist daher einzutreten.
1.4 Das Verfahren richtet sich gemäss Art. 44 Abs. 1 VGG grundsätz-
lich nach den Art. 3–73 sowie den Art. 79–85 des Bundesgesetzes vom
4. Dezember 1947 über den Bundeszivilprozess (BZP, SR 273). Obwohl
im Bundeszivilprozess der Richter sein Urteil grundsätzlich nur auf Tat-
sachen gründen darf, die im Verfahren geltend gemacht worden sind
(Art. 3 Abs. 2 BZP), gilt vor BVGer infolge der spezialgesetzlichen Be-
stimmung von Art. 44 Abs. 2 VGG der Grundsatz der Sachverhaltsabklä-
rung von Amtes wegen.
Art. 3 Abs. 2 BZP bestimmt, dass der Richter nicht über die Rechtsbe-
gehren der Parteien hinausgehen darf. In einem Klageverfahren wie dem
vorliegenden hat die Dispositionsmaxime somit grössere Bedeutung als
im Beschwerdeverfahren vor BVGer. Im Verfahren vor dem BVGer wird
der EDÖB in der Regel verlangen, dass die von ihm empfohlenen und
nun klageweise geltend gemachten Massnahmen gegenüber den betref-
fenden Datenbearbeitern verfügt, das heisst den Datenbearbeitern durch
das Gericht in verbindlicher und erzwingbarer Form angeordnet werden.
Damit wird die Empfehlung zwar nicht verbindlich, doch wird ihr –
soweit begehrt und gutgeheissen – ein entsprechendes Urteil zur Seite
gestellt. Das BVGer kann aber auch weniger weit gehende Massnahmen
anordnen (vgl. ROSENTHAL/JÖHRI, a. a. O., Art. 29 Abs. 4 N 47).
2.
2.1 Der Kläger rügt vorab, das Zugangssystem der Beklagten ver-
stosse gegen das Gebot der Zweckbindung der Datenbearbeitung nach
Art. 4 Abs. 3 DSG (Klageschrift, Ziff. 2.1). Eine Zweckänderung sei von
den Betroffenen durch die zentrale Speicherung der biometrischen Daten
aber nicht kontrollierbar. Damit bestehe die Gefahr einer Verletzung der
informationellen Selbstbestimmung nach Art. 13 Abs. 2 der Bundesver-
fassung der Schweizerischen Eidgenossenschaft vom 18. April 1999
(BV, SR 101). Die biometrischen Daten dürften den Kontrollbereich der
betroffenen Person deshalb nicht verlassen. Er empfehle daher ein
milderes Mittel, die sogenannte « Smartcard match on card ». Die bio-
metrischen Daten würden auf dem Sicherheitsmedium gespeichert und
die Verifizierung finde ebenfalls darauf statt.
2.2 Es ist nicht ersichtlich und wird vom Kläger auch nicht weiter be-
gründet, inwiefern der Grundsatz der Zweckbindung nach Art. 4 Abs. 3
DSG hier verletzt worden sein soll. Der Kläger gesteht der Beklagten
denn auch zu, dass sie bisher keine Zweckänderung vorgenommen habe
BVGE / ATAF / DTAF 627
2009/44 Datenschutz
(Klageschrift, Ziff. 43). Er rügt unter dem Grundsatz der Zweckbindung
der Datenbearbeitung nichts anderes als den Grundsatz der Verhältnis-
mässigkeit der Datenbearbeitung gemäss Ziffer 2.2 seiner Klage. Die
Klage ist denn auch (hauptsächlich) unter diesem Gesichtspunkt zu be-
handeln.
3. Gemäss Art. 13 Abs. 2 BV hat jede Person Anspruch auf Schutz
vor Missbrauch ihrer persönlichen Daten. Diesem Anspruch hat der Bun-
desgesetzgeber im DSG Rechnung getragen und das Bearbeiten von
Daten durch Private und Bundesbehörden eingehend geregelt (ULRICH
HÄFELIN/WALTER HALLER/HELEN KELLER, Schweizerisches Bundesstaats-
recht, 7. Aufl., Zürich/Basel/Genf 2008, Rz. 390). Wer Personendaten
bearbeitet, darf dabei die Persönlichkeit der betroffenen Personen nicht
widerrechtlich verletzen. Er darf insbesondere nicht Personendaten ent-
gegen den Grundsätzen des Artikels 4 bearbeiten (Art. 12 Abs. 2 Bst. a
DSG).
3.1 Nach Art. 4 Abs. 2 DSG muss die Bearbeitung der Daten verhält-
nismässig sein. Sowohl der Zweck, der mit der Datenbearbeitung ver-
folgt wird, als auch die Art und Weise der Bearbeitung müssen verhält-
nismässig sein. Dies verlangt zunächst, dass Personendaten nur soweit
bearbeitet werden dürfen, als dies für einen bestimmten Zweck objektiv
geeignet und tatsächlich erforderlich ist. Der Verhältnismässigkeits-
grundsatz verlangt weiter, dass die Datenbearbeitung für die betroffene
Person sowohl hinsichtlich ihres Zwecks als auch hinsichtlich ihrer
Mittel zumutbar ist (das heisst verhältnismässig im engeren Sinne). Die
Prüfung der Verhältnismässigkeit verlangt eine Gesamtwürdigung aller
Umstände (BGE 122 II 199), das heisst auch der Interessen des Datenbe-
arbeiters (ROSENTHAL/JÖHRI, a. a. O., Art. 4 N 19 ff.).
3.2 Gemäss Klageschrift Ziff. 63 akzeptiert der Kläger die Einfüh-
rung des biometrischen Erkennungssystems in Hinblick auf den Bearbei-
tungszweck unter Vorbehalt. Im Verhältnis zum Eingriff in die Grund-
rechte der betroffenen Person seien die von der Beklagten eingeführten
Massnahmen und durchgeführten Datenbearbeitungen zwar geeignet, um
das angestrebte Ziel – den Missbrauch der Dauerkarten – zu erreichen,
sie stünden jedoch nicht in einem vernünftigen Verhältnis zum Eingriff
in die Grundrechte der betroffenen Person. Insofern bemängelt der Klä-
ger die Erforderlichkeit des Eingriffs.
628 BVGE / ATAF / DTAF
Datenschutz 2009/44
3.3 Eine Massnahme hat zu unterbleiben, wenn eine gleich geeignete,
aber mildere Massnahme für den angestrebten Erfolg ausreichen würde.
Das Gebot der Erforderlichkeit einer Massnahme wird auch als Prinzip
der « Notwendigkeit », des « geringst möglichen Eingriffs », der
« Zweckangemessenheit » oder als « Übermassverbot » bezeichnet
(ULRICH HÄFELIN/GEORG MÜLLER/FELIX UHLMANN, Allgemeines Verwal-
tungsrecht, 5. Aufl., Zürich/Basel/Genf 2006, Rz. 591 f.). Der Eingriff
darf in sachlicher, räumlicher, zeitlicher und personeller Beziehung nicht
über das Notwendige hinausgehen (ULRICH HÄFELIN/WALTER HALLER/HELEN
KELLER, a. a. O., Rz. 322). Bei der Verifizierung der Identität der Be-
troffenen sollen die biometrischen Daten statt in einer zentralen Daten-
bank vorzugsweise auf einem gesicherten individuellen Speichermedium
gespeichert werden, dessen Einsatz durch den Betroffenen kontrolliert
werden kann (URS MAURER-LAMBROU/ANDREA STEINER, in: Urs Maurer-
Lambrou/Nedim Peter Vogt [Hrsg.], Datenschutzgesetz, Basler Kom-
mentar, 2. Aufl., Basel 2006, Rz. 22 zu Art. 4).
3.4 Mit dem aktuellen System werden die biometrischen Daten zu-
sammen mit einer Zuordnungsliste auf dem Host der Beklagten gespei-
chert. Die Transponderkarte dient lediglich dazu, das entsprechende
Template für den Überprüfungsprozess zu aktivieren, damit der Besucher
über seinen Fingerabdruck als Abonnent identifiziert werden kann. Auf
ihr sind keine Daten gespeichert. Der Verifizierungsprozess erfolgt auf
dem Host. Jede korrekt durchgeführte Transaktion wird erfasst.
3.5 Bei dem vom Kläger empfohlenen System « Smartcard match on
card » erfolgt der Vergleich zwischen der biometrischen Charakteristik
(Fingerabdruck) und den lokal gespeicherten biometrischen Daten (Refe-
renz-Template) dezentral auf der Karte, so dass der Host lediglich ein
Freigabesignal von der Smartcard erhält und keine biometrischen Daten
zwischen Smartcard und dem elektronischen Zugangskontrollsystem
ausgetauscht werden. Damit haben die betroffenen Personen sowohl die
Kontrolle über ihre biometrischen Referenzdaten als auch über die
Transaktionsdaten im Rahmen des Vergleichs. In einem solchen Fall
liegen lediglich Transaktionsdaten, welche zwischen der Smartcard und
dem Leser ausgetauscht werden, ausserhalb des Kontrollbereichs der be-
troffenen Person.
3.6 Bei der Gegenüberstellung der beiden verschiedenen Zugangssys-
teme wird ersichtlich, dass das vom Kläger geforderte System weit weni-
ger in das informationelle Selbstbestimmungsrecht des Betroffenen ein-
greift als das bis anhin verwendete System und trotzdem das verfolgte
Ziel erreichen kann. Der Betroffene gibt seine Daten dabei nicht mehr
BVGE / ATAF / DTAF 629
2009/44 Datenschutz
aus der Hand und behält damit stets die Kontrolle. Dass der Abonnent
beim derzeitigen Zugangssystem jederzeit Einsicht in seine Daten neh-
men könne, wie dies die Beklagte vorbringt, vermag die Kontrollmög-
lichkeiten des eingeklagten Zugangssystems bei Weitem nicht zu errei-
chen. Zentral gespeicherte Daten ausserhalb des Herrschaftsbereichs des
Abonnenten bleiben für diesen mehrheitlich unerreichbar und damit ver-
letzlich.
3.7 Im Zusammenhang mit Art. 36 Abs. 4 Bst. c DSG, wonach der
Bundesrat Bestimmungen erlassen kann, wie die Mittel zur Identifikation
von Personen verwendet werden dürfen, verweist der Handkommentar
DSG zudem auf den Schlussbericht des Klägers vom 11. April 2006 und
begrüsst damit das vorliegende Begehren nach dezentraler Speicherung
der biometrischen Daten (vgl. ROSENTHAL/JÖHRI, a. a. O., Art. 36 Abs. 4
Bst. c N 35 f.). Der Zürcher Datenschutzbeauftragte hat anlässlich seines
11. Tätigkeitsberichts 2005 ebenfalls empfohlen, dass Systeme vorzu-
ziehen seien, bei denen die biometrischen Daten nicht bei der Schwimm-
bad-Betreiberin abgelegt würden (...). In diesem Sinne hat sich auch die
Art. 29 – Datenschutzgruppe der EU als deren unabhängiges Beratungs-
gremium in Datenschutzfragen geäussert. Danach sind biometrische Da-
ten bei der Verwendung als Zutrittskontrolle nicht auf einem Medium zu
speichern, das sich nicht im Besitz der betroffenen Person befindet (vgl.
Arbeitspapier über Biometrie der Art. 29 – Datenschutzgruppe vom
1. August 2003, Ziff. 3.2 S. 7). Europäische Länder sind diesen Empfeh-
lungen gefolgt (u. a. Frankreich ... und Italien ...) und sprechen sich
ebenfalls für die dezentrale Speicherung gemäss Klagebegehren aus. Der
Kläger seinerseits hat sich im (gleichartigen) Fall des Check-In und
Boarding beim Flughafen Zürich, wo auch Fingerabdrücke der Fluggäste
genommen und in Form von Templates abgelegt wurden, geäussert.
Auch hier hat er die dezentrale Speicherung empfohlen (...).
3.8 Die Beklagte hat im Übrigen mit Schreiben vom 10. August 2006
(...) der Empfehlung Nr. 2 – mithin dem Klagebegehren – zugestimmt
und ausgeführt, dass die Dauerkarten durch beschreibbare Medien ersetzt
würden. Die Software werde so angepasst, dass die Daten auf der Karte
gespeichert werden könnten. Dem Schreiben vom 29. Februar 2008 ist
zudem zu entnehmen, dass die Beklagte nur die hohen Anschaffungs-
kosten und den zusätzlichen logistischen Aufwand für das Festhalten an
der bisherigen zentralen Speicherung der Daten vorbringt. Sie stellt sich
hingegen nicht auf den Standpunkt, das vom Kläger begehrte Zugangs-
system stelle kein milderes Mittel im Sinne der Verhältnismässigkeit dar.
Dies scheint insofern auch nachvollziehbar, als kein Grund ersichtlich
630 BVGE / ATAF / DTAF
Datenschutz 2009/44
ist, weshalb eine zentrale Speicherung der Daten bei der Beklagten not-
wendig ist. Ein solcher wird von ihr auch nicht geltend gemacht.
3.9 Aus diesen Gründen steht fest, dass die zentrale Speicherung der
biometrischen Daten, wie sie die Beklagte bisher handhabt, dem Gebot
der Erforderlichkeit widerspricht und damit den Grundsatz der Verhält-
nismässigkeit der Datenbearbeitung gemäss Art. 4 Abs. 2 DSG verletzt.
Es liegt daher eine Persönlichkeitsverletzung nach Art. 12 Abs. 2 Bst. a
DSG vor.
4. Nicht jede Verletzung der Persönlichkeit ist auch widerrechtlich;
die Widerrechtlichkeit ist somit lediglich Grundsatz, von dem es Ausnah-
men gibt. Eine Verletzung der Persönlichkeit ist dann nicht widerrecht-
lich, wenn sie unter anderem durch Einwilligung des Verletzten gerecht-
fertigt ist (Art. 13 Abs. 1 DSG).
4.1 Die Einwilligung kann grundsätzlich jede Persönlichkeitsverlet-
zung rechtfertigen, auch Verstösse gegen die allgemeinen Datenschutz-
bearbeitungsgrundsätze (vgl. dazu CORRADO RAMPINI, in: Urs Maurer-
Lambrou/Nedim Peter Vogt [Hrsg.] Datenschutzgesetz, Basler Kommen-
tar, 2. Aufl., Basel 2006, Rz. 3 f. zu Art. 13). Der Gesetzgeber hat sich
bei der Definition des Begriffs der Einwilligung an demjenigen der Ein-
willigung des aufgeklärten Patienten (vgl. BGE 119 II 456, BGE 117 Ib
197, BGE 114 Ia 350) orientiert, und zwar in dem Sinne, dass die betrof-
fene Person über alle Informationen im konkreten Fall verfügen muss,
die erforderlich sind, damit sie eine freie Entscheidung treffen kann
(Botschaft des Bundesrates zur Änderung des Bundesgesetzes über den
Datenschutz [DSG] und zum Bundesbeschluss betreffend den Beitritt der
Schweiz zum Zusatzprotokoll vom 8. November 2001 zum Übereinkom-
men zum Schutz des Menschen bei der automatischen Verarbeitung per-
sonenbezogener Daten bezüglich Aufsichtsbehörden und grenzüber-
schreitende Datenübermittlung vom 19. Februar 2003, BBl 2003 2127).
Eine rechtlich gültige Einwilligung setzt nach Art. 4 Abs. 5 DSG voraus,
dass eine angemessene Information bezüglich der Datenbearbeitung vor-
liegt, in die eingewilligt werden soll, eine Willenserklärung vorliegt, aus
welcher eine Zustimmung zu dieser Datenbearbeitung entnommen wer-
den kann und diese Willenserklärung freiwillig erfolgt (ROSENTHAL/JÖHRI,
a. a. O., Art. 4 Abs. 5 N 67 f.).
4.2 Das Erfordernis einer angemessenen Information will erreichen,
dass die betroffene Person ihre Einwilligung in Kenntnis der Sachlage
gibt, das heisst erst entscheiden muss, wenn sie sich ein Bild (auch) über
die möglichen negativen Folgen ihrer Einwilligung machen konnte.
Erforderlich, aber auch genügend ist letztlich, dass sich die betroffene
BVGE / ATAF / DTAF 631
2009/44 Datenschutz
Person im Klaren darüber sein kann, worin sie einwilligen soll, das heisst
was die Tragweite ihrer Entscheidung ist. Je nach Situation wird eine
Aufklärung erforderlich sein, die nicht nur auf die Umstände der Daten-
bearbeitung, sondern auch auf ihre wichtigsten möglichen Risiken bzw.
Folgen für die betroffene Person hinweist, insbesondere wenn diese
schwerwiegend sind. Ob und wie weit diesbezüglich informiert werden
muss, hängt letztlich aber von den konkreten Umständen ab
(ROSENTHAL/JÖHRI, a. a. O., Art. 4 Abs. 5 N 72 f.). Eine Einwilligung muss
freiwillig erfolgen, das heisst Ausdruck des freien Willens der betroffe-
nen Person sein. Ungültig ist die durch Täuschung, Drohung oder Zwang
zustande gekommene Einwilligung. Der betroffenen Person muss « eine
– mit nicht unzumutbaren Nachteilen behaftete – Handlungsalternative »
zur Verfügung stehen (RAMPINI, a. a. O., Rz. 6 f. zu Art. 13; vgl. auch
CHRISTIAN DRECHSLER, Die Revision des Datenschutzrechts, in: Aktuelle
Juristische Praxis 2007 S. 1473). Etwas abweichend dazu äussert sich
DAVID ROSENTHAL im Handkommentar DSG und meint, dass dies zu weit
gehe: Wo davon auszugehen sei, dass eine Einwilligung subjektiv im
Interesse der betroffenen Person liege, könne normalerweise ebenfalls
von einer freiwilligen Willenserklärung ausgegangen werden, selbst
wenn die betroffene Person keine Handlungsalternative habe. Seine Kri-
tik berührt den vorliegenden Fall jedoch nicht, weil die Einwilligung hier
dem Betroffenen keinen Vorteil bringt, insofern nicht in dessen subjek-
tivem Interesse liegt.
4.3 Die Beklagte bringt zum Rechtfertigungsgrund der Einwilligung
vor, die Betroffenen würden beim Kauf einer Dauerkarte auf das System
und die Datenbearbeitung aufmerksam gemacht. Die alternative Ausstel-
lung von Dauerkarten ohne Finger-Print werde indes nicht öffentlich be-
kannt gemacht. Erst wenn sich ein Gast weigere, werde ihm die Alter-
nativlösung angeboten. Die Betroffenen könnten zudem jederzeit
Einblick in ihre Daten nehmen.
4.4 In seinem Schlussbericht führt der Kläger in Bezug auf die Ein-
willigung der Betroffenen aus, dass keine Alternativlösungen bestünden.
Die Kunden müssten auf teurere Zehner-Abonnemente ausweichen. Die
Badegäste würden beim Umtausch oder Erwerb einer Dauerkarte vom
Kassenpersonal über die Erhebung der biometrischen Daten und über die
weitere Datenbearbeitung mündlich aufgeklärt. Bei der Sachverhaltsab-
klärung vor Ort seien an der Kassentheke aber keine Flyer erhältlich
gewesen. Der Flyer habe ihm erst nach einer kleineren Suchaktion über-
reicht werden können. Er trage die Überschrift « Ist der Datenschutz bei
der biometrischen Fingerabdruck Erkennung und Identifikation gewähr-
leistet? ». Der Flyer erkläre, dass keine Rohdaten gespeichert, sondern
632 BVGE / ATAF / DTAF
Datenschutz 2009/44
extrahierte Merkmale eines Fingerabdruckes in Form eines « codierten »
Templates in der Datenbank gespeichert würden. Der Flyer führe weiter
aus, wie der Abgleich der Templates vor sich gehe und dass es nicht
möglich sei, aus dem « Code » das Rohdatum wieder herzustellen. Fer-
ner werde darauf hingewiesen, dass heute gängige Personendatenbanken
aus Sicht des Datenschutzes eine weit grössere Gefahr darstellten als die
Information des Fingerabdruckes. Der Flyer äussere sich nur grob über
die Bearbeitungsmodalitäten der erhobenen Daten. Zudem erkläre der
Flyer primär, warum der Einsatz von Biometrie aus Sicht des System-
lieferanten unproblematisch sei.
In seinem Verbesserungsvorschlag Nr. 1 regt der Kläger daher an, dass
der Informationsgehalt des Flyers hinsichtlich der Bearbeitungsmodalitä-
ten der biometrischen Daten stark verbessert werden müsse. Aufgeführt
werden müssten die Hauptpunkte der Datenbearbeitung, wie zum
Beispiel wo und für wie lange die Daten gespeichert würden, insbeson-
dere was mit den Templates und den Transaktionsdaten geschehe, wer
Zugriff auf die Daten habe und an wen sie – wenn überhaupt – weiterge-
geben würden. Er sei jedem Kunden vor dem Enrolement (Registrie-
rung) automatisch vom Kassenpersonal und ohne Nachfrage des Kunden
auszuhändigen. Dem Badegast sei genügend Zeit zur Verfügung zu stel-
len, ihn vorher durchzulesen. Weitere Flyer seien griffbereit an der Kas-
sentheke aufzulegen. Mit Schreiben vom 18. Oktober 2006 (...) stimmt
die Beklagte auch diesem Verbesserungsvorschlag zu und führt aus, dass
dieser umgesetzt werde. Der Flyer werde vollständig überarbeitet, wobei
die vom Kläger genannten Punkte berücksichtigt würden. Weiter werde
ein Ablauf- und Organisationsdiagramm für das Kassenpersonal erstellt,
aus welchem hervorgehe, wie bei der Herausgabe eines Abonnements
(mit biometrischen Daten) vorzugehen sei. Aus den vorliegenden Unter-
lagen ist nicht ersichtlich, dass der Verbesserungsvorschlag von der Be-
klagten umgesetzt worden ist.
4.5 Dem Kläger ist zuzustimmen, dass einem Badegast (faktisch) kei-
ne Alternativlösung geboten wird, wenn er die Möglichkeit für den Er-
werb eines Jahres- oder Halbjahresabonnements ohne Fingerprint-Lö-
sung erst dann erhält, wenn er sich geweigert hat, ein solches mit dem
aktuellen Zugangssystem zu akzeptieren. In den meisten Fällen wird der
Gast sich (vermeintlich) mangels Alternative dazu bewegen lassen, seine
biometrischen Daten zentral zu hinterlegen. Insofern kann hier nicht von
Freiwilligkeit die Rede sein.
BVGE / ATAF / DTAF 633
2009/44 Datenschutz
4.6 Im Weiteren wird der Gast auch nicht angemessen informiert, so
dass er sich über die Tragweite seiner Entscheidung (vollends) im Klaren
sein könnte. Der Flyer wird diesem offensichtlich gar nicht erst ausge-
händigt. Wenn er schon bei der vorher vereinbarten Sachverhaltsfeststel-
lung des Klägers erst nach einer kleineren Suchaktion überreicht werden
kann, ist nicht davon auszugehen, dass er an einem « gewöhnlichen
Tag » stets griffbereit ist, geschweige denn verteilt wird. Weiter scheint
das Kassenpersonal weder spezifische Vorgaben noch eine besondere
Schulung erhalten zu haben, wie beim Verkauf einer Dauerkarte vor-
zugehen ist. Dem Erfordernis der angemessenen Information kommt die
Beklagte deshalb nicht genügend nach.
Über den Inhalt des Flyers und ob dieser ausreichend ist, braucht das
BVGer daher nicht weiter zu befinden. Zu bemerken sei hierzu lediglich,
dass biometrische Daten (wohl unbestrittenermassen) sensibel sind und
die Information hierüber umfassend sein müsste. Aufgrund der unbestrit-
tenen Beschreibung des Klägers über den Informationsgehalt des Flyers
und des Verbesserungsvorschlages lässt sich aber erahnen, dass dieser
einer angemessenen Aufklärung nicht genügend Rechnung trägt.
5. Eine Verletzung der Persönlichkeit ist ebenfalls nicht widerrecht-
lich, wenn sie durch ein überwiegendes privates Interesse gerechtfertigt
ist (Art. 13 Abs. 1 DSG). Seitens des Datenbearbeiters sind nur die priva-
ten Interessen an der zu rechtfertigenden Datenbearbeitung zu berück-
sichtigen. Zu ermitteln sind dabei sowohl das Interesse am Zweck als
auch an den Mitteln der Datenbearbeitung, mit welchen der Zweck er-
reicht werden soll. Die Mittel der Datenbearbeitung umfassen insbeson-
dere die Art und Weise der Datenbearbeitung und die Art und Auswahl
der Personendaten (ROSENTHAL/JÖHRI, a. a. O., Art. 13 Abs. 1 N 8).
5.1 Die Beklagte bringt in diesem Zusammenhang vor, durch die An-
passungen im Sinne des Klagebegehrens entstünden hohe Anschaffungs-
kosten und zusätzlicher logistischer Aufwand.
5.2 Der Kläger führt hingegen aus, es liege in der Verantwortung des
Inhabers der Datensammlung dafür zu sorgen, dass eine Anlage zum
vornherein datenschutzkonform sei. Insofern seien die Änderungskosten
und der zusätzliche logistische Aufwand keine stichhaltigen Argumente.
5.3 Die Interessen der Beklagten sind nicht zu berücksichtigen, weil
sich diese nicht auf die Datenverarbeitung selbst beziehen, sondern nur
auf die Unannehmlichkeiten abstellen, die eine allfälligen Änderung im
Sinne des Klägers mit sich brächten. Diese Interessen haben beim Recht-
fertigungsgrund der überwiegenden privaten Interessen im Sinne von
634 BVGE / ATAF / DTAF
Datenschutz 2009/44
Art. 13 Abs. 1 DSG – wie den vorstehenden Erwägungen zu entnehmen
ist – kein Gewicht. Insofern liegt auch keine Rechtfertigung vor.
6. Zusammenfassend ergibt sich, dass die Beklagte mit dem bisheri-
gen Zugangssystem und der entsprechenden Art und Weise der Bearbei-
tung der biometrischen Daten den Grundsatz der Verhältnismässigkeit
verletzt. Diese Verletzung ist weder durch Einwilligung noch durch über-
wiegende private Interessen gerechtfertigt. Es kann damit offen gelassen
werden, ob auch die Gefahr besteht, dass die Daten exportiert, kopiert
und unbefugt weiterverarbeitet werden könnten, mithin die Datensicher-
heit nach Art. 7 DSG nicht gewährleistet ist, wie dies der Kläger weiter
vorbringt.
Aufgabe des BVGer ist es festzustellen, ob ein Zugangssystem daten-
schutzkonform ist. Es ist hingegen nicht dessen Aufgabe festzulegen,
welche Art und Weise der Bearbeitung bei der Verwendung von biome-
trischen Daten angezeigt ist, mithin ein umfassendes (datenschutzkon-
formes) Zugangssystem zu liefern. Das vom Kläger vorgeschlagene
System erscheint dem BVGer auf den ersten Blick geeignet und den
gesetzlichen Anforderungen an die Bearbeitung von biometrischen Daten
gewachsen zu sein. Zumindest stellt es ein milderes Mittel im Sinne der
Erforderlichkeit im Rahmen der Verhältnismässigkeitsprüfung dar. Da
sich die Zuordnungsliste aus technischen Gründen nicht aus der zentralen
Datenbank und daher nicht von den entsprechenden Templates entfernen
lässt (...), ist eine für die Beklagte weniger einschneidende Massnahme
im Rahmen des vorliegenden Verfahrens nicht ersichtlich. Zur Überprü-
fung einer Zugangsberechtigung könnte es etwa ausreichen, die Temp-
lates ohne Zuordnungsliste zu speichern und bei der Einlasskontrolle
lediglich zu prüfen, ob das präsentierte Merkmal in der Datenbank vor-
handen ist. Zumindest zwischen den Matchingvorgängen bestünde dann
für die speichernde Stelle bei ausreichender Grösse der Datenbank keine
Möglichkeit der Herstellung eines Personenbezugs (GERRIT HORNUNG, Der
Personenbezug biometrischer Daten, in: Zeitschrift « Datenschutz und
Datensicherheit », 28 [2004] 7, S. 430).
Der Beklagten steht es indes frei, von dem bisherigen System gänzlich
abzusehen. Es besteht kein Grund, der Beklagten ein anderes Zugangs-
system aufzuzwingen.
7. Im Übrigen ist der Beklagten auch insofern nicht zu folgen als sie
rügt, das Vorgehen des Klägers verletze den Grundsatz der Rechtsgleich-
heit und des Vertrauensschutzes, indem beispielsweise das Kontrollsys-
tem der Bergbahnen nicht bemängelt werde und der Kläger im Rahmen
BVGE / ATAF / DTAF 635
2009/44 Datenschutz
ihres Beschaffungsprozesses keinen Einwand erhoben habe, obwohl
gleichartige Systeme bereits im Einsatz gewesen seien.
7.1.1 Der Grundsatz des Vertrauensschutzes (Art. 9 BV) bedeutet,
dass die Privaten Anspruch darauf haben, in ihrem berechtigten Ver-
trauen in behördliche Zusicherungen oder in anderes, bestimmte Erwar-
tungen begründendes Verhalten der Behörden geschützt zu werden
(HÄFELIN/MÜLLER/UHLMANN, a. a. O., Rz. 627). Damit sich jemand auf den
Vertrauensschutz berufen kann wird unter anderem eine Vertrauens-
grundlage gefordert. Dabei kommt es auf den Bestimmtheitsgrad der
Grundlage an, der so gross sein muss, dass der Private daraus die für
seine Dispositionen massgebenden Informationen entnehmen kann
(HÄFELIN/MÜLLER/UHLMANN, a. a. O., Rz. 631). Grundsätzlich hindert die
vorübergehende Duldung eines rechtswidrigen Zustandes die Behörde
nicht an der späteren Behebung dieses Zustandes. Eine Vertrauensgrund-
lage, die der Wiederherstellung der Rechtmässigkeit ganz oder teilweise
entgegensteht, wird durch behördliche Untätigkeit nur in Ausnahmefäl-
len geschaffen (HÄFELIN/MÜLLER/UHLMANN, a. a. O., Rz. 652). Weder kann
sich die Beklagte vorliegend auf eine ausreichend bestimmte Vertrau-
ensgrundlage stützen, wie etwa eine schriftliche oder mündliche Zusi-
cherung des Klägers, noch kann sie sich im Sinne des Vertrauensschutzes
darauf berufen, dass gleichartige – allenfalls auch datenschutzwidrige –
Systeme im Einsatz gewesen seien und der Kläger nicht eingeschritten
sei. Ein Ausnahmefall ist hier nicht ersichtlich und wird von der Beklag-
ten auch nicht geltend gemacht.
7.1.2 Wie nachfolgend aufgezeigt, kann sich diese auch nicht auf den
Grundsatz der Gleichbehandlung berufen. Der Anspruch auf Gleichbe-
handlung verlangt, dass Rechte und Pflichten der Betroffenen nach dem
gleichen Massstab festzusetzen sind. Gleiches ist nach Massgabe seiner
Gleichheit gleich, Ungleiches nach Massgabe seiner Ungleichheit un-
gleich zu behandeln. Das Gleichheitsprinzip verbietet einerseits unter-
schiedliche Regelungen, denen keine rechtlich erheblichen Unterschei-
dungen zu Grunde liegen. Andererseits untersagt es aber auch die
rechtliche Gleichbehandlung von Fällen, die sich in tatsächlicher Hin-
sicht wesentlich unterscheiden. Die Gleichbehandlung durch den Gesetz-
geber oder die rechtsanwendende Behörde ist allerdings nicht nur dann
geboten, wenn zwei Tatbestände in allen ihren tatsächlichen Elementen
absolut identisch sind, sondern auch, wenn die im Hinblick auf die zu
erlassende oder anzuwendende Norm relevanten Tatsachen gleich sind
(HÄFELIN/MÜLLER/UHLMANN, a. a. O., Rz. 495). Der Grundsatz der Gesetz-
mässigkeit der Verwaltung geht dem Rechtsgleichheitsprinzip im Kon-
fliktfall in der Regel vor. Wenn eine Behörde in einem Fall eine vom
636 BVGE / ATAF / DTAF
Datenschutz 2009/44
Gesetz abweichende Entscheidung getroffen hat, gibt das den Privaten,
die sich in der gleichen Lage befinden, grundsätzlich keinen Anspruch
darauf, ebenfalls abweichend von der Norm behandelt zu werden (keine
Gleichbehandlung im Unrecht). Dies gilt allerdings nur dann, wenn die
abweichende Behandlung lediglich in einem einzigen oder in einigen
wenigen Fällen erfolgt ist. Besteht hingegen eine eigentliche Praxis und
lehnt es die Behörde ab, diese aufzugeben, so können Private verlangen,
dass die widerrechtliche Begünstigung, die Dritten zuteil wurde, auch
ihnen gewährt werde (Urteil des BVGer A-5541/2008 vom 2. Juli 2009
E. 5.1 mit Hinweisen; HÄFELIN/MÜLLER/UHLMANN, a. a. O., Rz. 518). Das
von der Beklagten als Vergleich herangezogene Zugangssystem der
Bergbahnen unterscheidet sich in wesentlichen Zügen von ihrem
Zugangssystem. Wie der Kläger ausführt, waren die biometrischen Daten
beim Zugangssystem der Bergbahnen in keiner Art und Weise Be-
standteil der vorgenommenen Sachverhaltsabklärung, das heisst solche
werden dabei offenbar auch nicht verwendet. Insofern unterscheiden sie
sich in relevanten Tatsachen und taugen daher nicht für einen Vergleich.
Im Übrigen ist der Kläger gewillt, die einmal entwickelte Rechtspre-
chung in Bezug auf die gleichartige Bearbeitung biometrischer Daten in
sämtlichen Bereichen anzuwenden und so einer einheitlichen Handha-
bung zu Durchbruch zu verhelfen.
8. Aus diesen Gründen ist die Klage im Sinne der Erwägungen gutzu-
heissen.
BVGE / ATAF / DTAF 637