2009/44 Datenschutz 2 Privatrecht – Zivilrechtspflege – Vollstreckung Droit privé – Procédure civile – Exécution Diritto privato – Procedura civile – Esecuzione 44 Auszug aus dem Urteil der Abteilung I i. S. Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter gegen KSS Schaffhausen A-3908/2008 vom 4. August 2009 Datenschutz. Empfehlung des Eidgenössischen Datenschutz- und Öf - fentlichkeitsbeauftragten. Klageverfahren. Informationelle Selbst be- stimmung. Zentrale Speicherung biometrischer Daten. Er for- derlichkeit im Sinne der Verhältnismässigkeit. Rechtfertigung durch Einwilligung der Betroffenen oder überwiegendes privates Interesse der Bearbeiterin. Art. 13 Abs. 2 BV . Art. 4 Abs. 2, Art. 12 Abs. 2 Bst. a, Art. 13 Abs. 1 DSG. 1. Nach Art. 4 Abs. 2 DSG muss die Bearbeitung der Daten ver hält- nismässig sein, und zwar s owohl hinsichtlich des mit der Daten - bearbeitung verfolgten Zwecks als auch betreffend Art und Weise der Bearbeitung (E. 3.1). 2. Eine Massnahme hat zu unterbleiben, wenn eine gleich geeignete, aber mildere Massnahme für den angestrebten Erfolg aus reichen würde (E. 3.3). 3. Die Einwilligung kann grundsätzlich jede Persönlichkeitsverlet - zung rechtfertigen, auch Verstösse gegen die allgemeinen Da- tenschutzbearbeitungsgrundsätze (E. 4.1). 4. Das Erfordernis eine r angemessenen Information will er reichen, dass die betroffene Person ihre Einwilligung in Kenntnis der Sachlage gibt, das heisst erst entscheiden muss, wenn sie sich ein Bild (auch) über die möglichen negativen Folgen ihrer Ein willi- gung machen konnte. Eine Einwilli gung muss zudem freiwillig erfolgen. Der betroffenen Person muss « eine – mit nicht unzu - mutbaren Nachteilen behaftete – Handlungsalternative » zur Verfügung stehen (E. 4.2). 620 BVGE / ATAF / DTAFDatenschutz 2009/44 5. Eine Verletzung der Persönlichkeit ist nicht widerrechtlich, wenn sie durch ein über wiegendes privates Interesse gerecht fertigt ist. Zu ermitteln sind dabei das Interesse sowohl am Zweck als auch an den Mitteln der Datenbearbeitung, mit wel chen der Zweck erreicht werden soll (E. 5). 6. Die Einwände der Bearbeiterin betreffend Vertrauensschutz und Gleichbehandlung mit Bezug auf andere Zugangssysteme sind unbegründet (E. 7). Protection des données. Recommandation du Préposé fédéral à la protection des données et à la transparence. Procédure par voie d'ac- tion. Autodétermination en matière de données personnelles. En re- gistrement centralisé de données biométriques. Nécessité au regard du principe de proportionnalité. Justification par le consen tement de l'intéressé ou par l'intérêt privé prépondérant de la personne trai - tant les données. Art. 13 al. 2 Cst. Art. 4 al. 2, art. 12 al. 2 let. a, art. 13 al. 1 LPD. 1. En vertu de l'art. 4 al. 2 LPD, le traitement de données doit être conforme au principe de la proportionnalité, tant en ce qui concerne son but que ses modalités (consid. 3.1). 2. Il convient de renoncer à une mesure lorsqu'une autre mesure moins intrusive permet d'obtenir le résultat escompté (con- sid. 3.3). 3. Le consentement peut en principe justifier toute atteinte à la per - sonnalité, y compris la violation des principes généraux de pro - tection des données applicables au traitement de données (consid. 4.1). 4. En exigeant que la personne concernée soit dûment informée, la loi veut s'assurer que le consentement est donné en connais sance de cause, c'est-à-dire que la personne concernée ne décide qu'après avoir (aussi) pris connaissance des consé quences néga- tives que peut entraîner son consentement. Le consen tement doit en outre être donné librement. La personne concer née doit dis - poser d'une « solution de rechange qui ne comporte pas de dés - avantages inacceptables » (consid. 4.2). 5. Une atteinte à la personnalité n'est pas illicite lorsqu'elle est justi- fiée par un intérêt privé prépondérant . Dans ce cas, il convient d'établir tant l'intérêt lié au but du traitement de données que l'intérêt lié aux moyens permettant d'atteindre ce but (consid. 5). BVGE / ATAF / DTAF 6212009/44 Datenschutz 6. Les objections soulevées par la personne traitant des données et tirées du principe de la confiance et de l'égalité de traitement par rapport à d'autres systèmes d'accès sont infondées (consid. 7). Protezione dei dati. Raccomandazione dell'Incaricato federale del la protezione dei dati e della trasparenza. Procedimenti promos si me- diante azione. Autodeterminazione informativa. Memorizzazione centrale di dati biometrici. Necessità del rispetto del prin cipio della proporzionalità. Giustificazione mediante consenso dell'inte ressato o un interesse privato preponderante di chi tratta i dati. Art. 13 cpv. 2 Cost. Art. 4 cpv. 2, art. 12 cpv. 2 lett. a, art. 13 cpv. 1 LPD. 1. Secondo l'art. 4 cpv. 2 LPD il trattamento dei dati deve essere conforme al principio della proporzionalità sia dal punto di vista della finalità perseguita con il trattamento dei dati sia della mo - dalità del trattamento (consid. 3.1). 2. Una misura non deve essere adottata se una misura parimenti appropriata, ma più lieve, è sufficiente per conseguire lo scopo perseguito (consid. 3.3). 3. Il consenso può giustificare in linea di massima ogni lesione della personalità, anche le violazioni ai principi generali del trattamento della protezione dei dati (consid. 4.1). 4. L'esigenza di una debita informazione è soddisfatta se la per sona interessata esprime il suo consenso con cognizione di causa, vale a dire che essa deve decidere solo se ha un chiaro quadro (anche) delle possibili conseguenze negative del suo con senso. Un con - senso deve essere espresso liberamente. La per sona interes sata deve avere a disposizione « un'alternativa di trattamento non subordinata a pregiudizi inaccettabili » (consid. 4.2). 5. Una lesione della personalità non è illecita se è giustificata da un interesse privato preponderante. Occorre accertare l'interesse allo scopo del trattamento e ai mezzi impiegati del trat tamento dei dati con i quali si dovrebbe raggiungere lo scopo (consid. 5). 6. Le obiezioni di chi tratta i dati quanto alla tutela della buona fe - de e alla parità di trattamento con riferimento ad altri sistemi di accesso sono infondate (consid. 7). 622 BVGE / ATAF / DTAFDatenschutz 2009/44 Nach einer halbjährigen Pilotphase haben die KSS Sport- und Freizeit - anlagen Schaffhausen (KSS, Beklagte) im Sommer 2005 zum Zweck der Missbrauchsbekämpfung bei der Benut zung persönlicher, nicht übertrag- barer Jahres- und Halbjahresabonne mente für den Eintritt ins Hallen bad und den Wellnessbereich ein neues Zugangskontroll system ein geführt. Für das neue System werden von den Kunden ne ben den Personalien – V orname, Nachname, Adresse, Sprache und Geburtsdatum – auch digital komprimierte bzw. reduzierte Darstellungen eines biometrischen Ab- drucks, im vorliegenden Fall des Fingerabdrucks, sogenannte Templates, erhoben. Diese werden zentral in einer Daten bank der KSS gespei chert. Der Kunde erhält zudem eine Transponderkarte in Kredit kartenformat mit einer ein maligen Karten-ID. Die Personalien des Kun den und das Template werden dieser Karten-ID zugeordnet. Auf der Karte sind kei ne Daten gespeichert. Sie ist lediglich mit einem Unter schriftsfeld versehen, damit sie optisch unterschieden werden kann. Um Zugang zum Hallenbad der KSS zu erhalten, muss der Kunde sei ne Transponderkarte in ein Lesegerät am Drehkreuz schieben und sei nen Finger auf einen Scanner legen. Über die indivi duelle Karten-ID wird aus der zentralen Daten bank das ent sprechende Template abgerufen und mit dem Fingerabdruck des Kunden vergli chen. Es handelt sich deshalb um einen Verifizierungsprozess. Insofern erfolgt zwischen einem biome - trischen Pro bedatum und einem biometrischen Referenz datum ein Ver - gleichsvorgang, um zu bestätigen, dass die betroffene Person diejenige ist, welche sie zu sein behauptet. Alle korrekt verifizierten und getätigten Transaktionen werden zu den Kartendaten zentral gespeichert. Dabei werden das Datum, die Uhrzeit und der Kontroll automat des Ein- be - ziehungsweise Austritts erfasst. Da alle Daten, zentral in einer Datenbank gespeichert werden, ist ein Rückschluss eines Templates auf eine Person und zu einem Abonnement möglich. Mit Klage vom 10. Juni 2008 stellt der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB, Kläger) das Begehren, die KSS sei aufzufordern, auf die zentrale Speicherung von biometri schen Daten in Form von Templates der Fingerabdrücke zu ver zichten und diese bio me- trischen Daten – auch diejenigen, welche be reits zentral erfasst wurden – seien auf einer Sicherheitskarte (Smartcard), welche in der Einfluss- sphäre und unter Kontrolle der be troffenen Person verbleibt, abzulegen. Damit solle die Verifizierung der Identität aus schliesslich auf diesem Si - cherheitsmedium stattfinden (Smartcard match on card), so dass die biometrischen Daten zu kei nem Zeitpunkt die gesicherte Um gebung des Mediums und die Kontrolle der betroffenen Person verlassen. BVGE / ATAF / DTAF 6232009/44 Datenschutz Die Klage begründet er im Wesentlichen damit, dass die von der KSS durchgeführte Datenverarbeitung – zentrale Speicherung biometri scher Daten – das Recht auf informationelle Selbstbestimmung ge fährde und unverhältnismässig sei. Die von ihm empfohlene Lö sung greife we niger stark in die Grundrechte der Betroffenen ein und errei che den verfolgten Zweck genauso. In ihrer Klageantwort beantragt die KSS die Abweisung der Klage. Das neue System habe seit dreieinhalb Jahren bestens funktioniert und es seien keine Beschwerden eingegangen. Jedermann könne ein Jahres- abonnement erwerben, ohne dass seine Daten gespeichert würden. Dies werde allerdings nicht öffentlich bekannt gegeben. Die Empfeh lung des Klägers sei nicht praktikabel, weil damit zu hohe Kosten verbunden seien. Das System sei bereits bei anderen Bade- und Sportanlagen installiert worden. Im Übrigen sei das von Bergbahnen verwen dete Sys- tem mit zentral ge speichertem Foto und der Registrierung je der ein zel- nen Fahrt ein weitaus gravierenderer Eingriff. In der Replik hält der Kläger an seinem Begehren fest und führt ergän - zend aus, die Bearbeitung von Daten müsse auch dann verhältnis mässig sein, wenn die betroffene Person zugestimmt habe und eine Alternative zum biometrischen Erkennungssystem bestehe. Die Neuanschaffungs- kosten seien nicht unverhältnismässig und würden wohl sowieso auf die Benutzer abgewälzt. Zudem habe er die dezentrale Speicherung bereits mehrmals empfohlen. In der Duplik bringt die Beklagte vor, die Abwälzung der Neuan schaf- fungskosten sei aufgrund der Wirtschafts lage ausgeschlossen. Die Be - troffenen könnten zudem jederzeit Ein sicht in die Daten nehmen, so dass sie die Kontrolle über die Daten nicht verlieren würden. Beim An schaf- fungsprozess seien bereits gleichartige Systeme in Betrieb gewesen, den- noch habe der Klä ger keine Einwände vorgebracht. Sein Begehren ver - stosse daher auch gegen die Rechtssicherheit und den Vertrauensschutz. Auf Anfrage des Bundesverwaltungsgerichts (BVGer) teilt die Beklagte mit, dass es die Systemsoftware nicht erlaube, auf eine Zuordnungsliste zu verzichten. Ebenfalls auf Anfrage des BVGer führt der Kläger aus, das Vergleichsbeispiel mit den Bergbahnen unter scheide sich in we sent- lichen Tatsachen vom vorliegenden Fall. Bei den Bergbahnen sei das Verwenden von biometrischen Daten in keiner Art und Weise Bestandteil der vorgenommenen Sachverhaltsabklärung gewesen. Das BVGer heisst die Klage im Sinne der Erwägungen gut. 624 BVGE / ATAF / DTAFDatenschutz 2009/44 Aus den Erwägungen: 1. Der EDÖB klärt von sich aus oder auf Meldung Dritter hin den Sachverhalt näher ab, wenn Bearbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Sys - temfehler, Art. 29 Abs. 1 Bst. a des Bundesgesetzes vom 19. Juni 1992 über den Da tenschutz [DSG, SR 235.1]). Aufgrund seiner Abklä rungen kann er empfehlen, das Bearbeiten zu ändern oder zu unterlassen (Art. 29 Abs. 3 DSG). Wird eine solche Empfehlung nicht be folgt oder abgelehnt, kann er die Angelegenheit dem BVGer auf dem Klageweg zum Entscheid vorlegen (Art. 29 Abs. 4 DSG i. V . m. Art. 35 Bst. b des Verwaltungsgerichtsgesetzes vom 17. Juni 2005 [VGG, SR 173.32]). 1.1 Die vorliegende Klage richtet sich gegen die Nichtbefolgung beziehungsweise die Ablehnung einer Empfehlung des EDÖB durch die Beklagte. Inso fern handelt es sich um eine Klage nach Art. 29 Abs. 4 DSG. Zunächst ist daher abzuklären, ob das DSG im vorliegenden Ver - fahren über haupt Anwendung findet und der EDÖB zur vorliegenden Klageerhebung berechtigt war. 1.2 Das DSG gilt für das Bearbeiten von Daten natürlicher und juristi- scher Personen durch private Personen und Bundesorgane (Art. 2 Abs. 1 DSG). 1.2.1 Unter Personendaten (Daten) fallen nach Art. 3 Bst. a DSG alle Angaben, die sich auf eine bestimmte oder bestimmbare Person be- ziehen. Darunter ist jede Art von Information zu verstehen, die auf die Vermittlung oder die Aufbewahrung von Kenntnissen ausgerichtet ist, ungeachtet dessen, ob es sich dabei um eine Tatsachenfeststellung oder um ein Werturteil handelt. Unerheblich ist auch, ob eine Aussage als Zei - chen, Wort, Bild, Ton oder Kombinationen aus diesen auftritt und auf welcher Art von Da tenträger die Informationen gespeichert sind. Eine Person ist dann be stimmt, wenn sich aus der Information s elbst ergibt, dass es sich um diese ganz bestimmte Person handelt (U RS BELSER , in: Urs Maurer-Lambrou/Nedim Peter V ogt [Hrsg.], Datenschutzgesetz, Bas- ler Kom mentar, 2. Aufl., Basel 2006 , Rz . 5 f. zu Art. 3). Der Bezug ist dort unproblematisch, wo sich der Personenbezug aus der Natur der Information selbst ergibt, wie bei biometri schen Informationen wie Fin - gerabdrücken (vgl. D AVID ROSENTHAL /YVONNE JÖHRI , Handkommentar zum Datenschutzgesetz, Zürich 2008, Art. 3 Bst. a N 13). 1.2.2 Die Beklagte erhebt von jedem Dauerkarteninhaber die Perso - nalien, das heisst Name, V orname, Adresse, Sprache und Geburtsdatum. Dabei handelt es sich ohne Weiteres um Personendaten, die einerseits für BVGE / ATAF / DTAF 6252009/44 Datenschutz sich alleine (Name, V orname), andererseits in Zusammenhang mit den weiter erhobenen Daten – ohne grossen Aufwand – auf eine bestimmte Person schliessen lassen (Adresse, Sprache, Geburtsdatum). Daneben werden den Abonnenten die Fingerabdrücke genommen bzw. deren Minutien extra hiert, mittels Algorith mus in ein Templa te umge wandelt und dergestalt in einer zentralen Daten bank abgelegt. Der Fingerabdruck an sich, wie auch die extrahierten Minutien sind einzigartig und nur einer bestimmten Person zuzuord nen. Der Bezug zu einer Person geht daher aus diesen selbst hervor. Auf wel che Art von Datenträger (Template) sie gespeichert werden, ist unerheblich. Im Übrigen ist auch noch eine Zuordnungsliste zentral abgelegt, sodass mit dieser Rückschluss auf einen bestimmten Abonnenten genommen werden kann. Insofern sind sämtliche hier in Frage stehenden Daten als Personen daten gemäss DSG zu qualifizieren. 1.2.3 Bearbeiten im Sinne von Art. 2 Abs. 1 DSG bedeutet jeder Um- gang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwenden, Um- arbeiten, Bekanntgeben, Archivieren oder Vernichten von Da ten (Art. 3 Bst. e DSG). Für das BVGer besteht kein Zweifel, dass im vorliegenden Fall eine Bearbeitung nach DSG er folgt. Dies wird im Übrigen auch nicht bestritten. 1.2.4 Wie bereits erwähnt, klärt der Beauftragte gemäss Art. 29 Abs. 1 Bst. a DSG von sich aus oder auf Meldung Dritter hin den Sachverhalt näher ab, wenn Bearbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Systemfehler). « Sys- temfehler » bedeutet in diesem Zusammenhang die Eignung, eine grössere Anzahl von Personen in ihrer Persönlich keit zu verletzen (vgl. R OSENTHAL /JÖHRI , a. a. O., Art. 29 N. 11; R ENÉ H UBER , in: Urs Maurer- Lambrou/Nedim Peter V ogt [Hrsg.], Datenschutzgesetz, Basler Kom- mentar, 2. Aufl., Basel 2006 , Rz. 6 ff. zu Art. 29; Ur teil der Eid genös- sischen Daten schutzkommission vom 15. April 2005, veröffent licht in Verwaltungspraxis des Bundes [VPB] 69.106 E. 3.2). Kann die fragli che Datenbearbeitung potentiell zur Schädigung einer grösse ren Anzahl Be- troffener führen, ist die Schwel le der « grösseren Anzahl » bereits beim V orliegen einiger weniger V orfälle erreicht ( H UBER , a. a. O., Rz. 10 f. zu Art. 29). In der Klageant wort führt die Beklagte aus, dass jährlich 1'200 Dauerkarten verkauft wür den. Inso fern kann ohne Weiteres von einem « Systemfehler » im Sinne der Gesetzgebung ausgegangen werden. 626 BVGE / ATAF / DTAFDatenschutz 2009/44 1.3 Das DSG kommt aus diesen Gründen zur Anwendung und der Kläger war zur Erteilung der Empfehlung ermächtigt. Auf die im Weite - ren form- und fristgerecht eingereichte Klage ist daher einzutreten. 1.4 Das Verfahren richtet sich gemäss Art. 44 Abs. 1 VGG grundsätz- lich nach den Art. 3–73 sowie den Art. 79–85 des Bundesgesetzes vom 4. Dezember 1947 über den Bundeszivilprozess (BZP, SR 273) . Obwohl im Bundeszivilprozess der Richter sein Urteil grundsätzlich nur auf Tat - sachen gründen darf, die im Verfahren geltend gemacht worden sind (Art. 3 Abs. 2 BZP), gilt vor BVGer infolge der spezialgesetzli chen Be- stimmung von Art. 44 Abs. 2 VGG der Grundsatz der Sachverhaltsabklä- rung von Amtes wegen. Art. 3 Abs. 2 BZP bestimmt, dass der Richter nicht über die Rechtsbe - gehren der Parteien hinausgehen darf. In einem Klageverfahren wie dem vorliegenden hat die Dispositionsmaxime somit grössere Bedeu tung als im Beschwerdeverfahren vor BVGer. Im Verfahren vor dem BVGer wird der EDÖB in der Regel verlangen, dass die von ihm empfohlenen und nun klagewei se geltend gemachten Massnahmen gegenüber den be tref- fenden Datenbearbeitern verfügt, das heisst den Datenbearbeitern durch das Gericht in verbindlicher und erzwingbarer Form angeordnet werden. Damit wird die Empfehlung zwar nicht verbindlich, doch wird ihr – soweit be gehrt und gutgeheissen – ein entsprechendes Urteil zur Seite gestellt. Das BVGer kann aber auch weniger weit gehende Mass nahmen anordnen (vgl. R OSENTHAL /JÖHRI , a. a. O., Art. 29 Abs. 4 N 47). 2. 2.1 Der Kläger rügt vorab, das Zugangssystem der Beklagten ver - stosse ge gen das Gebot der Zweckbindung der Datenbearbeitung nach Art. 4 Abs. 3 DSG (Klageschrift, Ziff. 2.1). Eine Zweckänderung sei von den Betroffenen durch die zentrale Speicherung der biometrischen Da ten aber nicht kontrollierbar. Damit bestehe die Gefahr einer Verlet zung der informationellen Selbstbestimmung nach Art. 13 Abs. 2 der Bun desver- fassung der Schweizerischen Eidgenossenschaft vom 18. April 1999 (BV , SR 101). Die biometrischen Da ten dürften den Kontrollbe reich der betroffenen Person deshalb nicht verlassen. Er empfehle daher ein milderes Mittel, die sogenannte « Smartcard match on card ». Die bio - metrischen Daten würden auf dem Sicherheits medium gespei chert und die Verifizierung finde ebenfalls darauf statt. 2.2 Es ist nicht ersichtlich und wird vom Kläger auch nicht weiter be - gründet, inwiefern der Grundsatz der Zweckbindung nach Art. 4 Abs. 3 DSG hier verletzt worden sein soll. Der Kläger gesteht der Beklagten denn auch zu, dass sie bisher keine Zweckänderung vorgenommen habe BVGE / ATAF / DTAF 6272009/44 Datenschutz (Klageschrift, Ziff. 43). Er rügt unter dem Grundsatz der Zweckbindung der Da tenbearbeitung nichts anderes als den Grundsatz der Verhältnis- mässigkeit der Datenbearbeitung gemäss Ziffer 2.2 seiner Klage. Die Klage ist denn auch (hauptsäch lich) unter diesem Gesichts punkt zu be - handeln. 3. Gemäss Art. 13 Abs. 2 BV hat jede Person Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten. Diesem Anspruch hat der Bun - desgesetzgeber im DSG Rechnung getragen und das Bearbeiten von Daten durch Private und Bundesbehörden eingehend geregelt ( U LRICH H ÄFE LIN /W ALTER H ALLER /HELEN K ELLER , Schweizerisches Bundesstaats- recht, 7. Aufl., Zürich/Basel/Genf 2008, Rz. 390). Wer Personendaten bearbeitet, darf dabei die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen. Er darf insbe sondere nicht Personenda ten ent- gegen den Grund sätzen des Artikels 4 bearbeiten (Art. 12 Abs. 2 Bst. a DSG). 3.1 Nach Art. 4 Abs. 2 DSG muss die Bearbeitung der Daten verhält - nismässig sein. S owohl der Zweck, der mit der Datenbearbeitung ver - folgt wird, als auch die Art und Weise der Bearbeitung müssen verhält- nismässig sein. Dies verlangt zunächst, dass Per sonendaten nur so weit bearbeitet werden dürfen, als dies für einen be stimmten Zweck objektiv geeignet und tatsächlich erforderlich ist. Der Verhältnismässigkeits- grundsatz ver langt weiter, dass die Datenbearbeitung für die be troffene Person sowohl hinsichtlich ihres Zwecks als auch hinsichtlich ihrer Mittel zumutbar ist (das heisst verhältnismässig im engeren Sinne) . Die Prüfung der Verhält nismässigkeit verlangt eine Ge samtwürdigung aller Umstände (BGE 122 II 199), das heisst auch der Interessen des Datenbe- arbeiters (R OSENTHAL /JÖHRI , a. a. O., Art. 4 N 19 ff.). 3.2 Gemäss Klageschrift Ziff. 63 akzeptiert der Kläger die Einfüh - rung des biometrischen Erkennungssystems in Hinblick auf den Bearbei - tungszweck unter V orbehalt. Im Verhältnis zum Eingriff in die Grund - rechte der betroffenen Person seien die von der Beklagten eingeführ ten Massnahmen und durchgeführten Datenbearbeitungen zwar geeig net, um das angestrebte Ziel – den Missbrauch der Dauerkarten – zu erreichen, sie stünden jedoch nicht in einem vernünftigen Verhält nis zum Eingriff in die Grundrechte der betroffenen Person. Insofern be mängelt der Klä - ger die Erforderlichkeit des Eingriffs. 628 BVGE / ATAF / DTAFDatenschutz 2009/44 3.3 Eine Massnahme hat zu unterbleiben, wenn eine gleich geeignete, aber mildere Massnahme für den angestrebten Erfolg ausreichen wür de. Das Gebot der Erforderlichkeit einer Massnahme wird auch als Prinzip der « Notwendigkeit », des « geringst möglichen Eingriffs », der « Zweckangemessenheit » oder als « Übermassverbot » bezeichnet (U LRICH H ÄFELIN /GEORG M ÜLLER /FELIX U HLMANN , Allgemeines Verwal- tungsrecht, 5. Aufl., Zürich/Basel/Genf 2006, Rz. 591 f.). Der Eingriff darf in sachlicher, räumlicher, zeitlicher und personeller Beziehung nicht über das Notwendige hinausgehen (U LRICH HÄFELIN /W ALTER HALLER /HELEN K ELLER , a. a. O., Rz. 322). Bei der Verifizierung der Identität der Be - troffenen sollen die biometrischen Daten statt in einer zentralen Daten - bank vorzugsweise auf einem gesicherten individuellen Speichermedium gespeichert werden, dessen Einsatz durch den Betroffenen kontrolliert werden kann ( U RS M AURER -LAMBROU /ANDREA STEINER , in: Urs Maurer- Lambrou/Nedim Peter V ogt [Hrsg.], Datenschutzgesetz, Basler Kom- mentar, 2. Aufl., Basel 2006, Rz. 22 zu Art. 4). 3.4 Mit dem aktuellen System werden die biometrischen Daten zu - sammen mit einer Zuordnungsliste auf dem Host der Beklagten ge spei- chert. Die Transponderkarte dient lediglich dazu, das entsprechende Template für den Überprüfungsprozess zu aktivieren, damit der Be sucher über seinen Fingerabdruck als Abonnent identifiziert werden kann. Auf ihr sind keine Daten gespeichert. Der Verifizierungsprozess erfolgt auf dem Host. Jede korrekt durchgeführte Transaktion wird erfasst. 3.5 Bei dem vom Kläger empfohlenen System « Smartcard match on card » erfolgt der Vergleich zwischen der biometrischen Charakteristik (Fingerabdruck) und den lokal gespeicherten biometrischen Daten (Refe - renz-Template) dezentral auf der Karte, so dass der Host ledig lich ein Freigabesignal von der Smartcard erhält und keine biometri schen Daten zwischen Smartcard und dem elektronischen Zugangskontrollsystem ausgetauscht werden. Damit haben die betroffenen Per sonen sowohl die Kontrolle über ihre biometrischen Referenzdaten als auch über die Transaktionsdaten im Rahmen des Vergleichs. In einem solchen Fall liegen lediglich Transaktionsdaten, welche zwischen der Smartcard und dem Leser ausgetauscht werden, ausserhalb des Kontrollbereichs der be - troffenen Person. 3.6 Bei der Gegenüberstellung der beiden verschiedenen Zugangs sys- teme wird ersichtlich, dass das vom Kläger geforderte System weit we ni- ger in das informationelle Selbstbestimmungsrecht des Betroffe nen ein- greift als das bis anhin verwendete System und trotzdem das verfolgte Ziel er reichen kann. Der Betroffene gibt seine Daten dabei nicht mehr BVGE / ATAF / DTAF 6292009/44 Datenschutz aus der Hand und behält damit stets die Kontrolle. Dass der Abonnent beim der zeitigen Zugangssystem jederzeit Einsicht in seine Daten neh - men könne, wie dies die Beklagte vorbringt, vermag die Kon trollmög- lichkeiten des ein geklagten Zugangssystems bei Weitem nicht zu er rei- chen. Zentral ge speicherte Daten ausserhalb des Herr schaftsbereichs des Abonnenten bleiben für diesen mehrheitlich uner reichbar und damit ver - letzlich. 3.7 Im Zusammenhang mit Art. 36 Abs. 4 Bst. c DSG, wonach der Bundesrat Bestimmungen erlassen kann, wie die Mittel zur Identifikati on von Personen verwendet werden dürfen, verweist der Handkom mentar DSG zudem auf den Schlussbericht des Klägers vom 11. April 2006 und begrüsst damit das vorliegende Begehren nach dezentraler Speicherung der biometrischen Daten (vgl. R OSENTHAL /JÖHRI , a. a. O., Art. 36 Abs. 4 Bst. c N 35 f.). Der Zürcher Datenschutz beauftragte hat anlässlich seines 11. Tätigkeitsberichts 2005 ebenfalls empfohlen, dass Systeme vor zu- ziehen seien, bei denen die biometri schen Daten nicht bei der Schwimm - bad-Betreiberin abgelegt würden (...). In diesem Sinne hat sich auch die Art. 29 – Daten schutzgruppe der EU als deren unabhängiges Beratungs - gremium in Datenschutzfragen ge äussert. Danach sind biometrische Da - ten bei der Verwendung als Zu trittskontrolle nicht auf einem Medium zu speichern, das sich nicht im Besitz der betroffenen Person befindet (vgl. Arbeitspapier über Biometrie der Art. 29 – Datenschutzgruppe vom 1. August 2003, Ziff. 3.2 S. 7). Europäische Länder sind diesen Empfeh - lungen gefolgt (u. a. Frankreich ... und Italien ...) und sprechen sich ebenfalls für die dezentrale Speicherung gemäss Klagebegehren aus. Der Kläger seinerseits hat sich im (gleichartigen) Fall des Check-In und Boarding beim Flughafen Zürich, wo auch Fingerabdrücke der Fluggäste genommen und in Form von Templates abgelegt wurden, geäussert. Auch hier hat er die dezentrale Speicherung empfohlen (...). 3.8 Die Beklagte hat im Übrigen mit Schreiben vom 10. August 2006 (...) der Empfehlung Nr. 2 – mithin dem Klagebegehren – zugestimmt und ausgeführt, dass die Dauerkarten durch beschreib bare Medien ersetzt würden. Die Software werde so angepasst, dass die Daten auf der Karte gespeichert werden könnten. Dem Schreiben vom 29. Februar 2008 ist zudem zu entnehmen, dass die Beklagte nur die hohen Anschaf fungs- kosten und den zusätzlichen lo gistischen Aufwand für das Festhalten an der bisherigen zentralen Speicherung der Daten vorbringt. Sie stellt sich hingegen nicht auf den Standpunkt, das vom Kläger begehrte Zugangs - system stelle kein milderes Mittel im Sinne der Verhältnismässigkeit dar. Dies scheint insofern auch nach vollziehbar, als kein Grund ersichtlich 630 BVGE / ATAF / DTAFDatenschutz 2009/44 ist, weshalb eine zentrale Spei cherung der Daten bei der Beklagten not - wendig ist. Ein solcher wird von ihr auch nicht geltend gemacht. 3.9 Aus diesen Gründen steht fest, dass die zentrale Speicherung der biometrischen Daten, wie sie die Beklagte bisher handhabt, dem Ge bot der Erforderlichkeit widerspricht und damit den Grundsatz der Ver hält- nismässigkeit der Datenbearbeitung gemäss Art. 4 Abs. 2 DSG verletzt. Es liegt daher eine Persönlichkeitsverletzung nach Art. 12 Abs. 2 Bst. a DSG vor. 4. Nicht jede Verletzung der Persönlichkeit ist auch widerrechtlich; die Widerrechtlichkeit ist somit lediglich Grundsatz, von dem es Ausnah- men gibt. Eine Verletzung der Persön lichkeit ist dann nicht wider recht- lich, wenn sie unter anderem durch Einwilligung des Verletzten ge recht- fertigt ist (Art. 13 Abs. 1 DSG). 4.1 Die Einwilligung kann grundsätzlich jede Persönlichkeitsverlet - zung rechtfertigen, auch V erstösse gegen die allgemeinen Daten schutz- bearbeitungsgrundsätze (vgl. dazu CORRADO R AMPINI, in: Urs Maurer- Lambrou/Nedim Peter V ogt [Hrsg.] Datenschutzgesetz, Basler Kommen- tar, 2. Aufl., Basel 2006 , Rz. 3 f. zu Art. 13). Der Gesetzgeber hat sich bei der Definition des Begriffs der Einwilligung an demjenigen der Ein - willigung des aufgeklärten Pati enten (vgl. BGE 119 II 456, BGE 117 Ib 197, BGE 114 Ia 350) orientiert, und zwar in dem Sinne, dass die betrof - fene Person über alle In formationen im konkreten Fall verfügen muss, die erforderlich sind, damit sie eine freie Entscheidung treffen kann (Botschaft des Bun desrates zur Änderung des Bundesgesetzes über den Datenschutz [DSG] und zum Bundesbeschluss betreffend den Beitritt der Schweiz zum Zusatzprotokoll vom 8. November 2001 zum Übereinkom- men zum Schutz des Menschen bei der automatischen Verarbeitung per - sonenbezogener Daten bezüglich Aufsichtsbehörden und grenzüber- schreitende Datenüber mittlung vom 19. Februar 2003, BBl 2003 2127). Eine rechtlich gültige Einwilli gung setzt nach Art. 4 Abs. 5 DSG voraus, dass eine angemessene Infor mation bezüglich der Datenbearbeitung vor - liegt, in die eingewilligt werden soll, eine Willenserklärung vorliegt, aus welcher eine Zustimmung zu dieser Datenbearbeitung entnommen wer - den kann und diese Willens erklärung freiwillig erfolgt ( ROSENTHAL/JÖHRI , a. a. O., Art. 4 Abs. 5 N 67 f.). 4.2 Das Erfordernis einer angemessenen Information will erreichen, dass die betroffene Person ihre Einwilligung in Kenntnis der Sachlage gibt, das heisst erst entscheiden muss, wenn sie sich ein Bild (auch) über die möglichen negativen Folgen ihrer Einwilligung machen konnte. Erforderlich, aber auch genügend ist letztlich, dass sich die betroffene BVGE / ATAF / DTAF 6312009/44 Datenschutz Person im Klaren darüber sein kann, worin sie einwilligen soll, das heisst was die Tragweite ihrer Entscheidung ist. Je nach Situation wird eine Aufklärung erforderlich sein, die nicht nur auf die Umstände der Daten - bearbeitung, sondern auch auf ihre wichtigsten möglichen Risiken bzw. Folgen für die betroffene Person hinweist, insbesondere wenn diese schwerwiegend sind. Ob und wie weit diesbezüglich informiert werden muss, hängt letztlich aber von den konkreten Umständen ab (ROSENTHAL/JÖHRI , a. a. O., Art. 4 Abs. 5 N 72 f.). Eine Einwilligung muss freiwillig erfolgen, das heisst Aus druck des freien Willens der betrof fe- nen Person sein. Ungültig ist die durch Täuschung, Dro hung oder Zwang zustande gekommene Einwilli gung. Der betroffenen Person muss « eine – mit nicht unzumutbaren Nach teilen behaftete – Handlungsalternative » zur Verfügung stehen (RAMPINI, a. a. O., Rz. 6 f. zu Art. 13; vgl. auch CHRISTIAN D RECHSLER, Die Revision des Da tenschutzrechts, in: Aktuelle Juristische Praxis 2007 S. 1473). Etwas ab weichend dazu äussert sich DA VID ROSENTHAL im Handkommentar DSG und meint, dass dies zu weit gehe: Wo davon auszugehen sei, dass eine Einwilligung subjektiv im Interesse der be troffenen Person liege, könne normalerweise ebenfalls von einer freiwilligen Willenserklärung ausgegangen werden, selbst wenn die be troffene Person keine Handlungs alternative habe. Seine Kri - tik berührt den vorliegenden Fall jedoch nicht, weil die Einwilligung hier dem Betroffenen keinen V orteil bringt, insofern nicht in dessen sub jek- tivem Interesse liegt. 4.3 Die Beklagte bringt zum Rechtfertigungsgrund der Einwilligung vor, die Betroffenen würden beim Kauf einer Dauerkarte auf das Sys tem und die Datenbearbeitung aufmerk sam gemacht. Die alternative Ausstel - lung von Dauerkarten ohne Finger-Print werde indes nicht öf fentlich be- kannt gemacht. Erst wenn sich ein Gast weigere, werde ihm die Alter - nativlösung angeboten. Die Betroffenen könnten zudem jeder zeit Einblick in ihre Daten nehmen. 4.4 In seinem Schlussbericht führt der Kläger in Bezug auf die Ein - willigung der Betroffenen aus, dass keine Alternativlösungen bestünden. Die Kunden müssten auf teurere Zehner-Abonnemente ausweichen. Die Badegäste würden beim Umtausch oder Erwerb einer Dauerkarte vom Kassenpersonal über die Erhebung der biometrischen Daten und über die weitere Datenbearbeitung mündlich aufgeklärt. Bei der Sachver haltsab- klärung vor Ort seien an der Kassentheke aber keine Flyer er hältlich gewesen. Der Flyer habe ihm erst nach einer kleineren Such aktion über- reicht werden können. Er trage die Überschrift « Ist der Datenschutz bei der biometrischen Fingerabdruck Erkennung und Identi fikation gewähr- leistet? ». Der Flyer erkläre, dass keine Rohdaten ge speichert, sondern 632 BVGE / ATAF / DTAFDatenschutz 2009/44 extrahierte Merkmale eines Fingerabdruckes in Form eines « codierten » Templates in der Datenbank gespeichert wür den. Der Flyer führe weiter aus, wie der Ab gleich der Templates vor sich gehe und dass es nicht möglich sei, aus dem « Code » das Rohda tum wieder herzustellen. Fer - ner werde darauf hin gewiesen, dass heute gängige Personendatenbanken aus Sicht des Daten schutzes eine weit grössere Gefahr darstellten als die Information des Fin gerabdruckes. Der Flyer äussere sich nur grob über die Bearbei tungsmodalitäten der erhobenen Daten. Zudem erkläre der Flyer primär, warum der Einsatz von Biometrie aus Sicht des System - lieferanten unproblematisch sei. In seinem Verbesserungsvorschlag Nr. 1 regt der Kläger daher an, dass der Informationsgehalt des Flyers hinsichtlich der Bearbeitungs modalitä- ten der biometrischen Daten stark verbessert werden müsse. Aufge führt werden müssten die Hauptpunkte der Datenbearbeitung, wie zum Beispiel wo und für wie lange die Daten gespeichert würden, insbe son- dere was mit den Templates und den Transaktionsdaten geschehe, wer Zugriff auf die Daten habe und an wen sie – wenn überhaupt – weiter ge- geben würden. Er sei jedem Kunden vor dem Enrolement (Re gistrie- rung) automatisch vom Kas senpersonal und ohne Nachfrage des Kunden auszuhändigen. Dem Bade gast sei genügend Zeit zur Ver fügung zu stel - len, ihn vorher durch zulesen. Weitere Flyer seien griffbe reit an der Kas - sentheke aufzulegen. Mit Schrei ben vom 18. Oktober 2006 (...) stimmt die Beklagte auch diesem Verbesserungsvorschlag zu und führt aus, dass dieser umgesetzt werde. Der Flyer werde vollständig überar beitet, wobei die vom Kläger genannten Punkte berücksichtigt würden. Weiter werde ein Ablauf- und Organisa tionsdiagramm für das Kassen personal erstellt, aus welchem hervor gehe, wie bei der Herausgabe eines Abonnements (mit biometrischen Daten) vorzugehen sei. Aus den vor liegenden Unter- lagen ist nicht er sichtlich, dass der Ver besserungsvorschlag von der Be - klagten umgesetzt worden ist. 4.5 Dem Kläger ist zuzustimmen, dass einem Badegast (faktisch) kei - ne Alternativlösung geboten wird, wenn er die Möglichkeit für den Er - werb eines Jahres- oder Halbjahresabonnements ohne Fingerprint-Lö - sung erst dann erhält, wenn er sich geweigert hat, ein solches mit dem aktuellen Zugangssystem zu akzeptieren. In den meisten Fällen wird der Gast sich (vermeintlich) mangels Alternative dazu bewegen las sen, seine biometrischen Daten zentral zu hinterlegen. Insofern kann hier nicht von Freiwilligkeit die Rede sein. BVGE / ATAF / DTAF 6332009/44 Datenschutz 4.6 Im Weiteren wird der Gast auch nicht angemessen informiert, so dass er sich über die Tragweite seiner Entscheidung (vollends) im Kla ren sein könnte. Der Flyer wird diesem offensichtlich gar nicht erst ausge - händigt. Wenn er schon bei der vorher vereinbarten Sachver haltsfeststel- lung des Klägers erst nach einer kleineren Suchaktion überreicht werden kann, ist nicht davon auszugehen, dass er an einem « gewöhnlichen Tag » stets griff bereit ist, geschweige denn verteilt wird. Weiter scheint das Kassenpersonal weder spezifische V orgaben noch eine besondere Schulung erhalten zu haben, wie beim Verkauf einer Dauerkarte vor - zugehen ist. Dem Erfor dernis der angemessenen Infor mation kommt die Beklagte deshalb nicht genügend nach. Über den Inhalt des Flyers und ob dieser ausreichend ist, braucht das BVGer daher nicht weiter zu befinden. Zu bemer ken sei hierzu lediglich, dass biometrische Daten (wohl unbestrittener massen) sensibel sind und die Information hierüber umfassend sein müsste. Aufgrund der un bestrit- tenen Beschreibung des Klägers über den Informationsgehalt des Flyers und des Verbesserungsvorschlages lässt sich aber erahnen, dass dieser einer angemessenen Aufklärung nicht genügend Rechnung trägt. 5. Eine Verletzung der Persönlichkeit ist ebenfalls nicht wider recht- lich, wenn sie durch ein überwiegendes privates Interesse gerechtfertigt ist (Art. 13 Abs. 1 DSG). Seitens des Datenbearbeiters sind nur die priva- ten Interessen an der zu rechtfertigenden Datenbearbeitung zu be rück- sichtigen. Zu ermitteln sind dabei sowohl das Interesse am Zweck als auch an den Mitteln der Datenbearbeitung, mit welchen der Zweck er - reicht werden soll. Die Mittel der Datenbearbeitung umfassen insbe son- dere die Art und Weise der Datenbearbeitung und die Art und Aus wahl der Personendaten (R OSENTHAL /JÖHRI , a. a. O., Art. 13 Abs. 1 N 8). 5.1 Die Beklagte bringt in diesem Zusammenhang vor, durch die An - passungen im Sinne des Klagebegehrens entstünden hohe Anschaf fungs- kosten und zusätzlicher logistischer Aufwand. 5.2 Der Kläger führt hingegen aus, es liege in der Verantwortung des Inhabers der Datensammlung dafür zu sorgen, dass eine Anlage zum vornherein datenschutzkonform sei. Insofern seien die Änderungskos ten und der zusätzliche logistische Aufwand keine stichhaltigen Argumente. 5.3 Die Interessen der Beklagten sind nicht zu berücksichtigen, weil sich diese nicht auf die Datenverarbeitung selbst beziehen, sondern nur auf die Unannehmlichkeiten abstellen, die eine allfälligen Ände rung im Sinne des Klägers mit sich brächten. Diese Interessen haben beim Recht - fertigungsgrund der überwiegenden privaten Interessen im Sinne von 634 BVGE / ATAF / DTAFDatenschutz 2009/44 Art. 13 Abs. 1 DSG – wie den vorstehenden Erwägungen zu entnehmen ist – kein Gewicht. Insofern liegt auch keine Rechtfertigung vor. 6. Zusammenfassend ergibt sich, dass die Beklagte mit dem bis heri- gen Zugangssystem und der entsprechenden Art und Weise der Bearbei - tung der biometrischen Daten den Grundsatz der Verhältnismässigkeit verletzt. Diese Verletzung ist weder durch Einwilligung noch durch über- wiegende private Interessen gerechtfertigt. Es kann damit offen gelassen werden, ob auch die Gefahr besteht, dass die Daten expor tiert, kopiert und unbefugt weiterverarbeitet werden könnten, mithin die Daten sicher- heit nach Art. 7 DSG nicht gewährleistet ist, wie dies der Kläger weiter vorbringt. Aufgabe des BVGer ist es festzustellen, ob ein Zugangssystem daten - schutzkonform ist. Es ist hingegen nicht dessen Aufgabe festzulegen, welche Art und Weise der Bearbeitung bei der Verwendung von biome - trischen Daten angezeigt ist, mithin ein umfas sendes (daten schutzkon- formes) Zugangssystem zu liefern. Das vom Kläger vorgeschlagene System erscheint dem BVGer auf den ersten Blick geeignet und den gesetzlichen Anforderungen an die Bearbeitung von biometrischen Daten gewachsen zu sein. Zumindest stellt es ein milderes Mittel im Sinne der Erforderlichkeit im Rahmen der Verhältnismässigkeitsprüfung dar. Da sich die Zuordnungsliste aus technischen Gründen nicht aus der zentralen Datenbank und daher nicht von den entsprechenden Templates entfernen lässt (...), ist eine für die Beklagte weniger einschneidende Massnahme im Rahmen des vor liegenden Verfahrens nicht ersichtlich. Zur Über prü- fung einer Zugangs berechtigung könnte es etwa ausreichen, die Temp - lates ohne Zuordnungs liste zu speichern und bei der Einlasskontrolle lediglich zu prüfen, ob das prä sentierte Merkmal in der Datenbank vor - handen ist. Zumindest zwi schen den Matchingvorgängen bestünde dann für die speichernde Stelle bei aus reichender Grösse der Datenbank keine Möglichkeit der Herstellung eines Personenbezugs ( G ERRIT HORNUNG , Der Personenbezug biometrischer Daten, in: Zeitschrift « Datenschutz und Datensicherheit », 28 [2004] 7, S. 430). Der Beklagten steht es indes frei, von dem bisherigen System gänzlich abzusehen. Es besteht kein Grund, der Beklagten ein anderes Zu gangs- system aufzuzwingen. 7. Im Übrigen ist der Beklagten auch insofern nicht zu folgen als sie rügt, das V orgehen des Klägers verletze den Grundsatz der Rechtsgleich- heit und des Vertrauensschutzes, indem beispielsweise das Kontroll sys- tem der Bergbahnen nicht bemängelt werde und der Kläger im Rahmen BVGE / ATAF / DTAF 6352009/44 Datenschutz ihres Beschaffungsprozesses keinen Einwand erhoben habe, obwohl gleichartige Systeme bereits im Einsatz gewesen seien. 7.1.1 Der Grundsatz des Vertrauensschutzes (Art. 9 BV) bedeutet, dass die Privaten Anspruch darauf haben, in ihrem berechtigten Ver- trauen in behördliche Zusicherungen oder in anderes, bestimmte Er war- tungen begründendes Verhalten der Behörden geschützt zu werden (H ÄFE LIN /M ÜLLER /UHLMANN , a. a. O., Rz. 627). Damit sich jemand auf den Vertrauensschutz berufen kann wird unter anderem eine Vertrauens- grundlage gefordert. Dabei kommt es auf den Bestimmtheitsgrad der Grundlage an, der so gross sein muss, dass der Private daraus die für seine Dispositionen massgebenden Informationen entnehmen kann (H ÄFELIN /M ÜLLER /UHLMANN , a. a. O., Rz. 631). Grundsätzlich hindert die vorübergehende Duldung eines rechts widrigen Zustandes die Behörde nicht an der späteren Behebung dieses Zustandes. Eine Vertrauens grund- lage, die der Wieder herstellung der Recht mässigkeit ganz oder teilweise entgegensteht, wird durch behörd liche Untätigkeit nur in Ausnahmefäl - len geschaffen (H ÄFELIN /M ÜLLER /UHLMANN , a. a. O., Rz. 652). Weder kann sich die Beklag te vorliegend auf eine ausreichend bestimmte Vertrau - ensgrundlage stützen, wie etwa eine schriftliche oder mündliche Zusi - cherung des Klägers, noch kann sie sich im Sinne des Vertrauensschutzes darauf be rufen, dass gleich artige – allenfalls auch daten schutzwidrige – Systeme im Einsatz gewesen seien und der Kläger nicht eingeschritten sei. Ein Ausnahmefall ist hier nicht ersichtlich und wird von der Be klag- ten auch nicht geltend gemacht. 7.1.2 Wie nachfolgend aufgezeigt, kann sich diese auch nicht auf den Grundsatz der Gleichbehandlung berufen. Der Anspruch auf Gleichbe - handlung verlangt, dass Rechte und Pflichten der Betroffenen nach dem gleichen Massstab festzusetzen sind. Gleiches ist nach Massga be seiner Gleichheit gleich, Ungleiches nach Massgabe seiner Un gleichheit un - gleich zu behandeln. Das Gleichheitsprinzip verbietet ei nerseits unter - schiedliche Regelungen, denen keine rechtlich erhebli chen Unter schei- dungen zu Grunde liegen. Andererseits untersagt es aber auch die rechtliche Gleich behandlung von Fällen, die sich in tat sächlicher Hin - sicht wesentlich unterscheiden. Die Gleichbehandlung durch den Gesetz - geber oder die rechts anwendende Behörde ist aller dings nicht nur dann geboten, wenn zwei Tatbestände in allen ihren tatsächlichen Elementen absolut identisch sind, sondern auch, wenn die im Hinblick auf die zu erlassende oder an zuwendende Norm rele vanten Tatsachen gleich sind (H ÄFELIN /M ÜLLER /UHLMANN , a. a. O., Rz. 495). Der Grundsatz der Gesetz - mässigkeit der Verwaltung geht dem Rechtsgleichheitsprinzip im Kon - fliktfall in der Regel vor. Wenn eine Be hörde in einem Fall eine vom 636 BVGE / ATAF / DTAFDatenschutz 2009/44 Gesetz abweichende Entscheidung ge troffen hat, gibt das den Privaten, die sich in der gleichen Lage befin den, grundsätzlich keinen Anspruch darauf, ebenfalls abweichend von der Norm behandelt zu werden ( keine Gleichbehandlung im Unrecht). Dies gilt allerdings nur dann, wenn die abweichende Behandlung le diglich in einem einzigen oder in einigen wenigen Fällen erfolgt ist. Be steht hingegen eine eigentliche Praxis und lehnt es die Behörde ab, diese auf zugeben, so können Private verlangen, dass die widerrechtli che Begünsti gung, die Dritten zuteil wurde, auch ihnen gewährt werde (Urteil des BVGer A -5541/2008 vom 2. Juli 2009 E. 5.1 mit Hinweisen; H ÄFELIN /M ÜLLER /UHLMANN , a. a. O., Rz. 518). Das von der Beklagten als Vergleich herangezogene Zugangssystem der Bergbahnen unterscheidet sich in wesentlichen Zügen von ihrem Zugangssystem. Wie der Kläger ausführt, waren die biometrischen Daten beim Zugangssystem der Bergbahnen in keiner Art und Weise Be- standteil der vorgenommenen Sach verhaltsabklärung, das heisst solche werden dabei offenbar auch nicht ver wendet. Insofern unterscheiden sie sich in rele vanten Tatsachen und taugen daher nicht für einen Vergleich. Im Übrigen ist der Kläger gewillt, die einmal ent wickelte Recht spre- chung in Bezug auf die gleichartige Bear beitung biometrischer Daten in sämtlichen Bereichen anzuwenden und so einer einheit lichen Hand ha- bung zu Durchbruch zu verhelfen. 8. Aus diesen Gründen ist die Klage im Sinne der Erwägungen gutzu - heissen. BVGE / ATAF / DTAF 637