/G3 EIDGENÖSSISCHER DATENSCHUTZBEAUFTRAGTER PRÉPOSÉ FÉDÉRAL À LA PROTECTION DES DONNÉES INCARICATO FEDERALE DELLA PROTEZIONE DEI DATI INCUMBENSÀ FEDERAL PER LA PROTECZIUN DA DATAS A2001.11.22-0011 /1999-00040/22.11.2001 Bern, 28. November 2001 EMPFEHLUNG gemäss Artikel 29 des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz in Sachen CD-ROM Black Book I. Der Eidgenössische Datenschutzbeauftragte stellt fest: 1. Im Laufe des Jahres 2000 wurde die CD-ROM Black Book in der Schweiz auf den Markt gebracht. Sie wurde hergeste llt und importiert durch das Unte rnehmen X (im Folgenden X genannt), eingetragen im Bundesstaat Nevada. 2. F.G. vertritt von der Schweiz aus das Unterneh men X in Europa (vgl. dazu den Briefkopf eines dem Eidgenössischen Datenschutzbeauftragten (EDSB) vorliegenden Begleitbriefes zu einer Lieferung sowie das Schreiben vom 26. Juni 2001 von F.G. an den EDSB). Gemäss einem Schreiben, das dem EDSB vorliegt und das von F.G. unterschr ieben ist, liefert er die CD-ROM der Kundschaft in der Schweiz und biet et seine Unterstützung bei der Installation an. Er verwaltet beispielsweise die Passwörter und aktualisiert die Daten auf der CD-ROM. Er zeichnet mit dem Vermerk "X, Germansupport". 3. Die CD-ROM enthält Persone ndaten (Namen, Stra sse, Wohnort, Beruf, Telefonnummer, E- Mail-Adressen, Internetadresse usw.) von 450'000 Personen in der Schweiz (450'000 E-Mail- Adressen von Geschäften, 150'000 Kontakta dressen und 160'000 Homepages; siehe Beschreibung der CD-ROM, Seite 1). 4. Anfang 2001 erschien ein In ternetdokument mit dem Titel Database Analysis Black Book 2000, Autor: Adrian Wiesmann, Datum: 25. 04.2001, Copyright 2001 by Verein zur Gründung der "SwordLord-Foundation for new technology ethics". Das Dokument analysiert die auf der CD-ROM enthaltene Datenbank und will Folgendes aufzeigen: die schlechte /G3/G3 page 2 Qualität der darauf gespei cherten Daten, die Unrechtmä ssigkeit der Datenbeschaffung im Sinne des Datenschutzgeset zes (DSG, SR 235.1) und inwiefern diese Datenbank für unbestellte elektronische Ma ssenwerbesendungen (sogenannte Spams) verwendet werden. Die CD-ROM enthält namentlich Software, die das Spamming ermöglicht ("Bulk.Mail 2.0"). 5. Gleichzeitig machte Y das oben erwähn te Dokument auf seinem Internetsite "http://bbook.trash.net" zugänglich. 6. Mit Schreiben vom 3. Mai 2001 an Y kündete F.G. eine Zivilklage gegen Y an. Er forderte, dass die Verbreitung des oben erwähnten Dokume nts gestoppt wird. Er werde dadurch in seiner Persönlichkeit verletzt, da seine eigene Internetsite ("www.carfashop.com") und sein eigener Name darin erwähnt werden. 7. Am 17. Mai 2001 wurde am Zürcher Bezirksger icht mittels einer vorsorglichen Massnahme vereinbart, dass der Inhalt der Einstiegsseite des S ites "http://bbook.trash.net" gesperrt wird, bis ein Entscheid zur Sache gefällt ist. Währen d der Verhandlung bestätigte F.G., dass er die CD-ROM im Auftrag der X in der Schwei z vertreibt, dass di e Personendaten ohne ausdrückliches Einverständnis der betroffenen Personen gesammelt worden sind und dass die CD-ROM Daten enthält, die zum Teil aus der Domain-Namen-Datenbank der Registrierungsstelle Switch beschafft worden sind. Er räu mte ebenfalls ein, dass gewisse Daten vollkommen falsch sind. Weiter machte er geltend, dass jemand, der E-Mail-Adressen auf einem Website veröffentlicht, automatis ch damit einverstanden sei, jede Art von elektronischer Post zu erhalten. Wie es auf der CD-ROM selbst vermerkt sei, diene diese im Übrigen der Verwaltung der Adressen von Newsletter-Kundinnen und Kunden und nicht dem Versenden von Spams. 8. Ebenfalls am 17. Mai 2001 beschlossen vers chiedene Internetbenutzer-Organisationen (trash.net, SIUG, Swordlord, Linux User Gr oup Switzerland sowie das Community-Projekt Symlink.ch) und einige Einzelpersonen, eine n Fonds zu schaffen, der die Wahrung der Interessen von Internetbenutzerinnen und -be nutzern im vorliegenden und in zukünftigen Fällen ermöglichen soll. In der Folge ha ben zwei von den oben erwähnten Kreisen beauftragte Anwaltskanzleien mit dem Eidgenössischen Datenschutzbeauftragten (EDSB) Kontakt aufgenommen und ihn um eine Stellungnahme gebeten. 9. Zur gleichen Zeit teilten mehrere Pers onen, die immer mehr une rwünschte Werbung erhielten, dem EDSB mit, sie hätten gegenüber F.G. ihren Anspruch auf Auskunft geltend gemacht. Sie wollten erfahren, über welc he Personendaten er verfügt und ihm die Verwendung der Daten auf der CD-ROM verbie ten. F.G. kam ihrer Forderung nicht nach. Immer mehr Werbung erhielt auch D.R., der auf seinem Website ausdrücklich vermerkt, dass er keine Werbung wünscht. 10. Mit den Schreiben vom 29. Mai und 1. Juni 2001 eröffnete der EDSB gegen F.G. eine Untersuchung im Sinne von Artikel 29 des Bunde sgesetzes über den Datenschutz (DSG; SR 235.1). Zu diesem Zweck forderte er ein Exemplar der CD-ROM an. Vorsorglich wurde F.G. ausserdem aufgefordert, seine CD-ROM nach Erhalt des zweiten Schreibens des EDSB und bis zur Klärung der Angelegenheit nicht mehr in Verkehr zu bringen. 11. In den Schreiben vom 26. Juni und 24. August 2001 nahm F.G. Stellung. Einige Beispiele auf Papier der CD-ROM wurden dem EDSB überg eben. F.G. erklärte, er habe die Forderung des EDSB, die Vermarktung der CD-ROM in der Schweiz einzustellen, der X weitergeleitet. Er selbst sei zu einer solche n Massnahme nicht befähigt. Sein er Ansicht nach hat die X die Massnahme durchgeführt. /G3/G3 page 3 12. Mit Schreiben vom 2. Oktober 2001 forderte der EDSB nochmals die Zustellung der CD- ROM. 13. Mit Schreiben vom 5. Oktober 2001 übermittelte F.G. dem EDSB ein Exemplar der besagten CD-ROM. Deren Überprüfung ergab Folgendes: Die verschiedenen Vorwahltabellen können miteinander verknüpft werden ; wenn man z.B. einen Beruf eingibt, kann man die entsprechenden E-Mail-Adressen erhalten. – Viele E-Mail-Adress en sind nicht brauchbar. – Der Benutzer oder die Benutzerin hat ebenfa lls Zugriff auf Postadressen. – Neben den Suchresultaten erscheint der Ve rmerk "opt-in", was vermuten lässt, dass alle Personendaten auf der CD-ROM mit ausdrücklicher Zustim mung der betroffenen Personen beschafft worden sind. Im Übrigen bestreitet F.G. in se inem Begleitbrief nicht, dass Daten auf der Basis der Domain-Namen-Datenbank der Switch beschafft worden sind. 14. Mit Schreiben vom 10. Oktobe r 2001 bestätigte Y dem EDSB, er habe auf sein Ersuchen nach Auskunft zu den über ihn in der Da tensammlung vorhandenen Daten von F.G. keine Antwort erhalten. II. Der Eidgenössische Datenschutzbeauftragte zieht in Erwägung: 1. Das Bundesgesetz über den Datenschutz (DSG, SR 235.1) regelt unter anderem die Bearbeitung von Daten natürliche r und juristischer Personen durch private Personen (Art. 2 Abs. 1 DSG). Zum einen stellt die Vermar ktung der von der X herg estellten und in der Schweiz über F.G. vertriebenen CD-ROM eine Bearbeitung von Personendaten im Sinne von Artikel 3 Buchstabe e DSG dar. Zum andern ist F.G. eine private Person . Seine Tätigkeit fällt daher unter die Bestimmungen des DSG (Art. 2 Abs. 1 DSG). 2. Gemäss Artikel 29 DSG klärt der EDSB im Privatbereich von sich aus oder auf Meldung Dritter den Sachverhalt näher ab, namentlich wenn die B earbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Systemfehler) [Art. 29 Abs. 1 Bst. a DSG]. Die Eidgenössische Datenschutzkommission hat in ihrem Entscheid vom 21. November 1996 in Sachen Mietwesen (VPB 1998, 62.42B) festgestellt, "dass die Empfehlungsbefugnis des EDSB nach Artikel 29 Absatz 1 Buchstabe a DSG weiter zu interpretieren und nicht bloss auf Fehler von In formationssystemen der EDV zu beschränken sei." Mit anderen Worten ist von einem "Syste mfehler" im Sinne der genannten Bestimmung auch dann zu sprechen, "wenn die Bearbe itung von Daten inhaltlich rechtswidrig, d.h. die Bearbeitung als solche so angelegt ist, dass sie geeignet ist, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen." Die fraglic he CD-ROM enthält Personendaten von rund 500'000 Personen in der Schweiz. Es hande lt sich dabei um eine Bearbeitung von Personendaten, die geeignet ist, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen . Deshalb kann der EDSB dazu eine Empfehlung im Sinne von Artikel 29 Absatz 2 DSG abgeben. 3. Mit Schreiben vom 26. Juni 2001 bestreitet F.G., dass die fr agliche Datenbearbeitung unter das DSG fällt. Er begründet se ine Haltung damit, dass er nur an folgenden Tätigkeiten beteiligt war: • an der Programmierung der Indexierungssuchmaschine X mit dem Ziel, die Sites von Schweizer und europäischen Unternehmen du rch Auflistung zu indexieren und zu klassifizieren; • im Rahmen eines Freelance-Vertrag s an der Speicherung, Erstellung und Programmierung der deutschen Version des Sites "www.carfashop.com" der X, • an der Lieferung der CD-ROMs, die Schweizer Kundinnen und Kunden bei der X bestellt hatten und an der dazu gehörigen technischen Wartung. /G3/G3 page 4 4. Er weist eine Beteiligung an der Beschaffung der Persone ndaten, am Datenexport, am Betrieb der Suchmaschine sowi e an der Werbung für dieses Pr odukt auf seinem Internetsite zurück. Diese Tätigkeiten seien ausschliesslich durch die X ausgeführt worden. F.G. schliesst daraus, dass er nicht als Inha ber oder als Besitzer der Da tensammlung bezeichnet werden könne. Die Verantwortung für alle Massnahme n – auch den Stopp des Vertriebs der CD- ROM – liege ausschliesslich be i der X, der er im Übrigen alle Schreiben des EDSB weitergeleitet habe. 5. Die Frage, ob F.G. an der Beschaffung der be troffenen Daten beteilig t war, ob er "Inhaber der Datensammlung" im Sinne von Artikel 8 DSG ist oder ob er als "Besitzer der Datensammlung" – ein Begriff, der übrigens im DSG nicht ve rwendet wird – bezeichnet werden soll, kann offen bleiben. Mit dem Im port einer CD-ROM, die Personendaten enthält und mit der Aufbewahrung dieser CD-ROM im Hinblick auf ihre Vermarktung, bearbeitet F.G. Personendaten einer betr ächtlichen Anzahl von Personen in der Schweiz. In Artikel 12 Absatz 1 DSG steht klar: "Wer Personendate n bearbeitet, darf dabe i die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen." Na mentlich auf Grund dieser Bestimmung ist F.G. dem DSG unterstellt. 6. F.G. legt ebenfalls dar, die CD-ROM enthalte Adressen von Internet-Homepages zu spezifischen Berufssparten sowie Beschreibungen der jeweiligen beruflichen Tätigkeiten, so wie sie im Internet stehen. Zudem finden sich dort die E-Mail-Adressen, die auf den betreffenden Homepages verö ffentlicht sind, Namen und Adre ssen der Betreiber sowie gegebenenfalls die Telefon- und Faxnummern. Nach F.G. ist mit der CD-ROM kein Zugang zu den Daten allein vom Na men und vom Vornamen einer Person aus möglich. Die CD- ROM enthalte also keine Personendaten, da diese sich weder auf bestimmte noch auf bestimmbare Personen beziehen. 7. Die CD-ROM enthält ganz klar Personendaten im Sinne von Artikel 3 Buchstabe a DSG, da darauf Name, Adresse, Wohnort, Beruf, Telefonnummer und E- Mail-Adresse vermerkt sind. Diese beziehen sich auf klar bestimmte oder zumindest bestimmbare natürliche oder juristische Personen. Es können zudem Persönlichkeitsprofile erstellt werd en, da die Daten mit Hilfe der ebenfalls vorhandenen Tabellen miteinander verknüpft werden können. 8. Mit Schreiben vom 26. Juni 2001 gibt F.G. z u, mit der CD-ROM sei der Zugriff auf Daten wie Name, Vorname, Strasse, Postleitzahl, Ort, Beruf möglich, dies aber nur für Daten, die sowieso auf dem Internet veröffentlicht sind. Er erklärt, dass die Daten auf der CD-ROM mit Hilfe von Suchmaschinen be schafft worden seien, und zwar mit "www.sear.ch", "www.infoseek.com" unter Berücksichtigung de r Robot Matatgs ("Robot-exclusion – Norm des W3C-Consortiums"); letzterer schliesst Da ten von Personen aus, die nicht wollen, dass die Daten, die sie betreffen, von den Suchma schinen angezeigt werden. Dieser in der Internetgemeinschaft allgemein bekannte Roboter entspreche den international anerkannten Standards (namentlich in Bezug auf das Erkenne n der Sprache und der Metatags). Bezüglich D.R. führt F.G. aus, dieser habe zwar au f seinen Internetsites "www.insider.ch" und "www.ipd.ch" vermerkt, dass er keine Verwendung seiner E-Mail-Adresse zu Werbezwecken wolle. Er habe aber keine Metatags verwendet, die den Suchmaschinen eine solche Benutzungsbeschränkung anzeigt. Ausserdem stellt F.G. fest, die E-Mail-Adresse von D.R. tauche auf einem anderen Site ("www. bigfoot.com") auf. Damit sei die Adresse öffentlich zugänglich, namentlich über das Suchwort "E-Mail". Im Übrigen seien viele Post- und E-Mail-Adressen sowie Telefonnummern auf dem Internet über spezielle Suchmaschinen für Adressen zugänglich. Das Projekt Bl ackbook unterscheide sich von diesen lediglich dadurch, dass die Daten auf einer CD-ROM vereint seien. F.G. präzisiert, die Daten stammten in keinem Fall von einem E-Mail-Server eines Unternehmens, von der /G3/G3 page 5 Benutzerliste eines Internetanbieters (w ie Bluewindow) oder von der Liste der Teilnehmerinnen und Teilnehmer einer News group. Die gesammelten Daten seien für Unternehmen bestimmt, die ihre Kontakte ausdehnen wollen. Die Verantwortlichen seien sich bewusst, dass die Daten gebraucht, na chverfolgt und indexiert werden. Wer "Robot- exclusion – Norm des W3C-Consortiums" nich t verwendet, will bewusst die Verwendung seiner Daten nicht einschränken. F.G. unterstreicht weiter, dass es auf dem Markt bereits eine Reihe von Produkten gebe, die Name, Vorn ame, Adresse, Tele fonnummer und E-Mail- Adresse auflisten, namentlich elektronische Verzeichnisse wie das elektronische Telefonbuch, TwixTel oder Outlook- Express. Verzeichnisse dies er Art seien zudem sehr leicht zu erstellen. Mit andere n Worten glaubt F.G., es ha ndle sich beim vor liegenden Fall nicht um eine Verletzung der Persön lichkeit, da die be troffenen Personen die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt haben (Art. 12 Abs. 3 DSG). 9. Es ist unbestritten, dass die Da ten aus dem Internet beschaff t worden sind, einem Medium, das allen zugänglich ist, die wie F.G. über einen Net zzugang verfügen. Dies bedeutet aber noch nicht, dass über diese Da ten uneingeschränkt verfügt werden kann. Die Anhörung vor dem Bezirksgericht Zürich vom 17. Mai 2001 hat ergeben, dass die Daten auf der CD-ROM mit Hilfe der Switch Domain-Namen-Datenbank beschafft worden sind. Dies geht auch aus den Briefen von F.G. hervor. Auf dem Site von Switch verbietet jedoch ein Hinweis ausdrücklich, die Datenbank für den Adresse nhandel, für Werbung oder für elektronische Massenversände zu verwenden. In dem er sich an der an der Vermarktung der betroffenen Daten beteiligt hat, ha t F.G. die formelle Ablehnung der Sitebetreiber ge genüber solchen Verwendungszwecken nicht respektiert. Das Besc haffen der auf der CD-ROM enthaltenen Daten ist deshalb rechtswidrig und de ren Bearbeitung erfü llt den Grundsatz der Zweckbindungsprinzip nicht (Art. 4 Abs.1 und 3 DSG). 10. Zudem werden auf der CD-ROM D.R. Pe rsonendaten veröffentlicht, ohne darauf hinzuweisen, dass letzterer ei ne Verwendung der Daten zu Werbezwecken ablehnt. Die Angabe auf der Etikette der CD-ROM, das Programm nicht für das Spamming oder ähnliche Zwecke zu verwenden, reicht nicht aus. Der Vermerk muss bei jeder Person erscheinen, die die Verwendung der Daten zu We rbezwecken ausdrücklich ablehnt. Es kommt auch nicht darauf an, dass das System "Robot-exclusion – Norm des W3C-Consortiums" von D.R. nicht verwendet wurde: Dies ist nach schweizerisch em Recht nicht zwingend. Im Übrigen ist ein solcher Roboter nicht hundertprozentig wirksam, auch wenn er programmiert worden ist. Ein automatischer Filter funktioniert momentan noch nicht immer; man muss einen manuellen Filter einbauen, um sicherzustellen, dass alle Daten rechtmässig beschafft werden. Weiter ist es unwichtig, ob die Daten auch auf einem a nderen Site ("infoseek.or g") veröffentlicht sind oder nicht. Es liegt an der Person, die Pers onendaten bearbeitet, se lbst die Rechtmässigkeit der Bearbeitung zu überprüfen. Sc hliesslich verletzt eine so lche Bearbeitung den Grundsatz von Treu und Glauben sowie den Grundsatz de r Zweckbindungsprinzip (Art. 4 Abs. 2 und 3 DSG). 11. In beiden Fällen (Switch und D.R.) kann kein Rechtfertigungsgrund (Art. 12 Abs. 2 und Art. 13 DSG) vorgebracht werden. Weder die Firma Switch – beziehungsweise die betroffenen in der Schweiz registrierten Personen – noch D.R. haben in die Bearbeitung der Daten eingewilligt. Ebensowenig gibt es ein Gesetz oder ein überwiegendes öffentliches Interesse, die eine Bearbeitung rechtfertig en würden (Art. 12 Abs. 2 und Art. 13 DSG). Schliesslich kann auch kein überwiegendes privates Inte resse geltend gemacht werden; F.G. kann sich insbesondere auf keine Vertragsverhandlungen (Art. 13 Abs. 2 Bst. a DSG) mit Switch oder D.R. und auf keinen gegenwärtigen oder zukünf tigen wirtschaftlichen Wettbewerb mit ihnen (Art. 13 Abs. 2 Bst. b DSG) berufen. /G3/G3 page 6 12. Der Vergleich mit anderen Produkten wie dem elektronischen Telefonbuch oder TwixTel ist zudem nicht stichhaltig. Di ese Datenbanken wurden auf Grund von schon bestehenden Verträgen erstellt (Kundi nnen und Kunden von Swisscom ) und halten sich an die Bestimmungen der Telekommunika tionsgesetzgebung; sie resp ektieren insbesondere den Wunsch von Personen, die keine Werbung erhalte n möchten (mittels Kennzeichnung mit einem Stern), und die nicht wollen, dass ihre Daten veröffentlicht werden (via schwarze, rote, grüne und weisse Listen). Das Beschaffen von Daten im Internet, deren Verwendung nicht wie in den beiden oben erwähnten Fällen (Switch und D.R.) eingeschränkt ist, ist im Übrigen rechtmässig (Art. 12 Abs. 3). 13. Das Argument, wonach die Daten auf Grund des Prinzips "opt-in" beschafft worden sind, ist auch nicht stichhaltig. Be i der Beschaffung der Da ten wurde nämlich von einem stillschweigenden Einverständnis ausgegangen. Dieses Vorgehen widerspricht sowohl dem Grundsatz von Treu und Glauben (Art. 4 Abs. 2 DSG) als auch dem Grundsatz der Richtigkeit der Daten (Art. 5 Abs. 1 DSG) , wonach sich alle, die Personendaten bearbeiten, über deren Richtigkeit vergew issern müssen. Zudem stellt das von der "SwordLord-Foundation for ne w technology ethics" in Au ftrag gegebene Dokument "Database Analysis Black Book 2000" auf Seite 10 schwere Mängel bei der Datenrichtigkeit fest (85 Prozent der E-Mail-Ad ressen seien unbrauchbar), wa s ebenfalls einer Verletzung von Artikel 5 DSG ist. 14. Die Personen schliesslich, die sich n achträglich gegen eine Veröffentlichung und Weiterleitung ihrer Daten durch Verkauf de r CD-ROM wehren, verfügen über mehrere Rechte. So haben sie ein Auskunftsrecht (Art. 8 DSG). Artikel 8 Absatz 4 DSG sieht vor, dass eine Drittperson auskunftspf lichtig ist, wenn sie den I nhaber der Datensammlung nicht bekannt gibt oder dieser nicht Wohnsitz in de r Schweiz hat. Im vor liegenden Fall ist F.G. also auskunftspflichtig. Die betroffenen Personen ihre rseits können verlangen, dass unrichtige Daten berichtigt werden (Art. 5 Abs. 2 DS G) und dass die Bearbeitung eingestellt wird (Art. 15 DSG bzw. Art. 28-28l ZGB). III. Auf Grund dieser Erwägungen empfiehlt der Eidg. Datenschutzbeauftragte: 1. Die Version 2000 der CD-ROM und alle even tuellen anderen Versionen, auf die der Sachverhalt zutrifft werden nach Erhalt dieses Schreibens nicht mehr vertrieben. 2. Die mit Hilfe der Switch Domain-Namen-Datenbank gesammelten Personendaten werden in der nächsten Version der CD-ROM nicht mehr enthalten sein. 3. Die Personendaten von Personen, die ausdrü cklich schriftlich ode r mündlich darauf hingewiesen haben, dass sie keine Werbung wünsch en, werden in der nächsten bereinigten Version mit dem Vermerk "Wünsch t keine Werbung" versehen. Di es gilt namentlich für die Daten von Personen, die sich mit einem Schreiben direkt an F.G. gewendet haben, die sich in eine Robinson-Liste eingetragen haben, die bei der Swisscom die Verwendung eines Sternchens vor ihrem Namen beantragt haben oder die mit einem klaren Hinweis auf ihrer Internetsite erklärt haben, dass sie keine Werbung wünschen. 4. Die Personendaten von Personen, die deren Veröffentlichung able hnen, erscheinen in der nächsten Version der CD-ROM nicht mehr. 5. F.G. kommt seiner Auskunftspflicht n ach und teilt den betro ffenen Personen die Personendaten, die er bearbeitet, und deren Quellen mit. /G3/G3 page 7 6. Die unrichtigen Daten werden berichtigt; in sbesondere wird der Vermerk "opt-in" nur verwendet, wenn eine explizite Einwilligung der betroffenen Person vorliegt. 7. Die vorliegende Empfehlung wird F.G. eingeschrieben zugestellt. 8. F.G. teilt dem Eidg. Datensc hutzbeauftragten innerhalb von 30 Tagen nach Erhalt dieses Schreibens mit, ob er die Empfehlung ann immt oder ablehnt. Wird diese Empfehlung abgelehnt oder nicht befolgt, so kann der Eidg. Datenschutzb eauftragte die Angelegenheit der Eidg. Datenschutzkommission zum Entscheid vorlegen. EIDGENÖSSISCHER DATENSCHUTZBEAUFTRAGTER D e r B e a u f t r a g t e : Hanspeter Thür Kopie an die KlägerInnen A2001.11.22-0011 / 1999-00040 / HE