# Swiss Caselaw Document

**Case Identifier:** 00e999d3-22c3-5ecc-8a0a-8dba1215a394
**Source:** Bundesverwaltungsgericht ()
**Court Level:** federal
**Decision Date:** 2009-08-04
**Language:** de
**Title:** Bundesverwaltungsgericht 04.08.2009 A-3908/2008
**Docket/Reference:** 
**URL:** https://entscheidsuche.ch/docs/CH_BVGer/CH_BVGE_001_A-3908-2008_2009-08-04.pdf

## Full Text

Abtei lung I
A-3908/2008
{T 1/2}

U r t e i l  v o m  4 .  A u g u s t  2 0 0 9

Richter André Moser (Vorsitz), Richter Christoph Bandli, 
Richterin Kathrin Dietrich, 
Gerichtsschreiber Stefan von Gunten.

Eidgenössischer Datenschutz- und Öffentlichkeitsbe-
auftragter EDÖB, Feldeggweg 1, 3003 Bern,
Kläger,

gegen

KSS Schaffhausen, Sport- und Freizeitanlagen Breite, 
Breitenaustrasse 117, 8200 Schaffhausen,
vertreten durch Rechtsanwalt lic. iur. Hans-Peter Sorg, 
Promenadenstrasse 17, 8201 Schaffhausen,
Beklagte,

Umsetzung einer Empfehlung des EDÖB.

B u n d e s v e r w a l t u n g s g e r i c h t

T r i b u n a l  a d m i n i s t r a t i f  f é d é r a l

T r i b u n a l e  a m m i n i s t r a t i v o  f e d e r a l e

T r i b u n a l  a d m i n i s t r a t i v  f e d e r a l

Besetzung

Parteien

Gegenstand

A-3908/2008

Sachverhalt:

A.
Nach einer halbjährigen Pilotphase haben die KSS Sport- und Freizeit-
anlagen Schaffhausen (KSS) im Sommer 2005 zum Zweck der Miss-
brauchsbekämpfung bei der Benutzung persönlicher, nicht übertragba-
rer Jahres- und Halbjahresabonnemente für den Eintritt ins Hallenbad 
und den Wellnessbereich ein neues Zugangskontrollsystem eingeführt. 
Langfristig ist ein Ausbau des Systems für weitere Sport- und Freizeit-
angebote geplant. 

Für das neue System werden von den Kunden neben den Personalien 
– Vorname, Nachname, Adresse, Sprache und Geburtsdatum –  auch 
digital komprimierte bzw. reduzierte Darstellungen eines biometrischen 
Abdrucks,  im  vorliegenden  Fall  des  Fingerabdrucks,  sogenannte 
Templates, erhoben. Das Fingerbild wird analysiert und die Merkmale 
des Abbilds – Anfangs- und Endpunkt, Gabelungen etc.; "Minutien" ge-
nannt – werden extrahiert. Die Minutien-Daten (insgesamt 20-50) sind 
für jeden Menschen einzigartig. Sie werden mittels eines mathemati-
schen Algorithmus codiert und komprimiert, dergestalt in ein Template 
umgewandelt  und mit den Personalien zentral in einer Datenbank der 
KSS gespeichert. Rohdaten des Fingerabdruckes, d.h. physische oder 
digitale Abbildungen biometrischer Charakteristiken, werden keine er-
fasst. Anhand der gespeicherten Daten lässt sich kein Fingerabdruck 
mehr rekonstruieren.

Der Kunde erhält zudem eine  Transponderkarte in Kreditkartenformat 
mit einer einmaligen Karten-ID. Die Personalien des Kunden und das 
Template werden dieser Karten-ID zugeordnet. Auf der Karte sind kei-
ne Daten gespeichert. Sie ist lediglich mit einem Unterschriftsfeld ver-
sehen, damit sie optisch unterschieden werden kann.

B.
Um Zugang zum Hallenbad der KSS zu erhalten, muss der Kunde sei-
ne Transponderkarte in ein Lesegerät am Drehkreuz schieben und sei-
nen Finger auf einen Scanner legen. Über die individuelle Karten-ID 
wird aus der zentralen Datenbank das entsprechende Template abge-
rufen und mit dem Fingerabdruck des Kunden verglichen. Es handelt 
sich deshalb um einen Verifizierungs-, nicht um einen Identifizierungs-
prozess. Insofern  erfolgt  zwischen einem biometrischen  Probedatum 
und einem biometrischen  Referenzdatum ein  Vergleichsvorgang,  um 

Seite 2

A-3908/2008

zu bestätigen, dass die betroffene Person diejenige ist, welche sie zu 
sein behauptet. Alle korrekt verifizierten und getätigten Transaktionen 
werden  zu  den  Kartendaten  zentral  gespeichert.  Dabei  werden  das 
Datum,  die  Uhrzeit  und  der  Kontrollautomat  des  Ein-  bzw. Austritts 
erfasst. Da alle Daten, sowohl die Personalien als auch die Minutien, in 
einer  Datenbank  gespeichert  werden,  ist  ein  Rückschluss  eines 
Templates auf eine Person und zu einem Abonnement möglich.

C.
Infolge kritischer Reaktionen aus der Bevölkerung unterzog der Eidge-
nössische  Datenschutz-  und  Öffentlichkeitsbeauftragter  (EDÖB)  das 
neue Zugangssystem einer Kontrolle. Mit Schlussbericht vom 11. April 
2006 (nachfolgend Schlussbericht) empfahl er der KSS, dass:

• für Personen, die nicht  bereit  sind, ihre biometrischen Daten für die 

Ausstellung einer Dauerkarte einlesen zu lassen, eine kostengleiche 

Alternative  ohne  Fingerabdruck-Verifizierung  angeboten  wird  (Emp-

fehlung Nr. 1);

• auf die zentrale Speicherung der Templates der Fingerabdrücke ver-

zichtet wird und diese biometrischen Daten auf einer Smartcard, wel-

che in der Benutzersphäre und unter Kontrolle der betroffenen Person 

verbleibt, abgelegt werden (Empfehlung Nr. 2);

• für die erhobenen Kundendaten (Anschrift und Kontaktinformationen) 

Löschfristen eingeführt werden (Empfehlung Nr. 3); 

• die Transaktionsdaten (Datum, Uhrzeit und Kontrollautomat des Bade-

ein- bzw. des Badeaustritts) anonymisiert werden (Empfehlung Nr. 4); 

• bis zum Zeitpunkt, an dem die Templates dezentral auf Smartcard ab-

gelegt werden, Löschfristen für die derzeit noch zentral gespeicherten 

Templates eingeführt werden (Empfehlung Nr. 5);

Im Weiteren regte der EDÖB im Sinne von Verbesserungsvorschlägen 
an, dass

• die  Kunden besser  über  die  Bearbeitung  ihrer  biometrischen  Daten 

aufgeklärt werden und dass der dafür vorgesehene Flyer den Kunden 

auch tatsächlich ausgehändigt wird (Verbesserungsvorschlag Nr. 1);

Seite 3

A-3908/2008

• das System so zu modifizieren ist, dass kein Abbild des gescannten 

Fingerabdruckes  (sog.  Rohdatum)  kopiert  oder  gespeichert  werden 

kann (Verbesserungsvorschlag Nr. 2); 

• die  Templates  in  verschlüsselter  Form  abgelegt  werden  (Verbesse-

rungsvorschlag Nr. 3); 

• bei (Fern-)Wartungsarbeiten das Wartungspersonal des Systemliefe-

ranten  nur  auf  Testdaten  zugreifen  kann  (Verbesserungsvorschlag 

Nr. 4).

D.
Am 29. Februar 2008 teilte die KSS dem EDÖB mit, dass ein Verzicht 
auf den Fingerprint nicht in Frage komme. Die Ausstellung einer neuen 
Karte (Smartcard) stelle überdies keine praktikable Lösung dar und sei 
unverhältnismässig. 

E.
Mit  Klage vom 10. Juni 2008 stellt der EDÖB (Kläger) das Begehren, 
die KSS sei aufzufordern, auf die  zentrale Speicherung von biometri-
schen Daten in Form von Templates der Fingerabdrücke zu verzichten 
und diese biometrischen Daten – auch diejenigen, welche bereits zen-
tral  erfasst  wurden  –  seien  auf  einer  Sicherheitskarte  (Smartcard), 
welche in der Einflusssphäre und unter Kontrolle der betroffenen Per-
son  verbleibt,  abzulegen.  Damit  solle  die  Verifizierung  der  Identität 
ausschliesslich auf diesem Sicherheitsmedium stattfinden (Smartcard 
match on card), so dass die biometrischen Daten zu keinem Zeitpunkt 
die gesicherte Umgebung des Mediums und die Kontrolle der betroffe-
nen Person verlassen.

Die Klage begründet er im Wesentlichen damit, dass die von der KSS 
durchgeführte  Datenverarbeitung  –  zentrale Speicherung  biometri-
scher  Daten  –  das  Recht  auf  informationelle  Selbstbestimmung ge-
fährde und unverhältnismässig sei. Die empfohlene Lösung greife we-
niger stark  in  die Grundrechte der Betroffenen ein und erreiche den 
verfolgten Zweck genauso. Die durch eine Systemänderung entstehen-
den Kosten hätten vermieden werden können, wenn die KSS sich vor-
gängig über die datenschutzrechtlichen Anforderungen informiert hät-
te. Es liege in der Verantwortung des Inhabers einer Datensammlung 
dafür zu sorgen, dass seine Anlage zum vornherein diese Vorausset-
zungen erfülle. Im Übrigen hätten  diverse EU-Länder  die  dezentrale 
Speicherung von biometrischen Daten ebenfalls empfohlen.

Seite 4

A-3908/2008

F.
Mit  Klageantwort vom 28. August 2008 beantragt die KSS (Beklagte) 
die Abweisung des Begehrens. Sie begründet ihren Antrag damit, dass 
das neue System seit 3 ½ Jahren bestens funktioniere und keine Be-
schwerden von Benutzern  eingegangen seien. Es  sei  für  jedermann 
möglich, ein Jahresabonnement zu erwerben, ohne dass seine Daten 
gespeichert würden. Diese Lösung werde allerdings nicht öffentlich be-
kannt  gegeben. Die  Empfehlung  sei  nicht  praktikabel,  weil  damit  zu 
hohe Kosten verbunden seien. Die Daten seien bisher nie sachfremd 
verwendet worden. Sie habe sich nach einer aufwändigen Evaluation 
für dieses System entschieden. Es habe dringender Handlungsbedarf 
bestanden und eine Antwort des Klägers wäre wohl nicht innert nützli-
cher  Frist  erfolgt.  Das  System  sei  bereits  bei  anderen  Bade-  und 
Sportanlagen installiert  worden. Im Übrigen sei das von Bergbahnen 
verwendete System mit zentral gespeichertem Foto und der Registrie-
rung jeder einzelnen Fahrt ein weitaus gravierenderer Eingriff. 

G.
In  der  Replik  vom  30. September  2008 führt  der  Kläger  ergänzend 
aus,  die  Bearbeitung  von Daten  müsse auch  dann  verhältnismässig 
sein, wenn die betroffene Person zugestimmt habe und eine Alternati-
ve zum biometrischen  Erkennungssystem bestehe. Die  Neuanschaf-
fungskosten seien nicht unverhältnismässig und würden wohl sowieso 
auf die Benutzer abgewälzt. Er bringt weiter vor, die dezentrale Spei-
cherung bereits  beim Check-In und Boarding beim Flughafen Zürich 
begrüsst zu haben. Der Zürcher Datenschutzbeauftragte habe zudem 
die  dezentrale  Speicherung  für  die  Zugangskontrolle  in  einem 
Schwimmbad empfohlen.

H.
In ihrer  Duplik vom 3. November 2008 macht die Beklagte ergänzend 
geltend,  in  den  schweizerischen  Flughäfen  sollten  gemäss  Medien 
Nackt-Scanner eingesetzt werden. Dort sei der Kläger aber nicht ein-
geschritten. Eine Abwälzung der Neuanschaffungskosten sei aufgrund 
der Wirtschaftslage ausgeschlossen. Die Betroffenen könnten zudem 
jederzeit Einsicht in die Daten nehmen, so dass sie die Kontrolle über 
die Daten nicht verlieren würden. Beim Anschaffungsprozess seien be-
reits gleichartige Systeme in Betrieb gewesen, dennoch habe der Klä-
ger keine Einwände vorgebracht. Sein Begehren verstosse daher auch 
gegen die Rechtssicherheit und den Vertrauensschutz.

Seite 5

A-3908/2008

I.
Mit Schreiben vom 11. bzw. 12. November 2008 haben Kläger und Be-
klagte auf die Durchführung einer mündlichen Vorbereitungs- und einer 
Hauptverhandlung verzichtet.

J.
Auf  Anfrage  des  Bundesverwaltungsgerichts  teilt  die  Beklagte  am 
16. März 2009 mit, dass es die Systemsoftware nicht erlaube, auf eine 
Zuordnungsliste zu verzichten, weil die verwendeten Radio Frequency 
Identification (RFID) - Karten (Identifizierung mit Hilfe elektromagneti-
scher Wellen) auf "read only" basierten. 

Ebenfalls auf Anfrage des Bundesverwaltungsgerichts führt der Kläger 
am 18. März 2009 aus, das Vergleichsbeispiel mit den Bergbahnen un-
terscheide sich in wesentlichen Tatsachen vom vorliegenden Fall. Bei 
den Bergbahnen sei das Verwenden von biometrischen Daten in keiner 
Art und Weise Bestandteil der vorgenommenen Sachverhaltsabklärung 
gewesen. Im vorliegenden Fall habe er zum ersten Mal die Problematik 
der Authentifizierung von Personen zum Zweck der Zugangskontrolle 
unter dem Blickwinkel der Biometrie geprüft. Er sei dabei zum Schluss 
gekommen,  dass  die  dezentrale  Speicherung  einen  Hauptpunkt  für 
eine datenschutzkonforme biometrische Verifizierung darstelle. Es sei 
absolut  notwendig,  dass für  die Authentifizierung von Personen zum 
Zweck der Zugangskontrolle unter dem Blickwinkel der Biometrie eine 
Praxis  respektive  Rechtsprechung  gebildet  werde,  welche  dann  auf 
alle gleichartigen Bearbeitungen von biometrischen Daten angewendet 
werden könne – sei es bei Sportzentren, Bergbahnen oder anderen In-
habern  von  Datensammlungen.  Deshalb  würden  künftig  auch  Berg-
bahnen,  wenn sie  biometrische Daten  einsetzen,  die  Anforderungen 
erfüllen müssen, wie sie für die Beklagte etabliert worden seien.

K.
Auf weitere Vorbringen und die sich bei den Akten befindlichen Schrift-
stücke wird, soweit  für den Entscheid wesentlich, in den nachfolgen-
den Erwägungen eingegangen.

Das Bundesverwaltungsgericht zieht in Erwägung:

1.
Der EDÖB klärt von sich aus oder auf Meldung Dritter hin den Sach-

Seite 6

A-3908/2008

verhalt näher ab, wenn Bearbeitungsmethoden geeignet sind, die Per-
sönlichkeit  einer  grösseren Anzahl  von Personen zu verletzen (Sys-
temfehler,  Art. 29  Abs. 1  Bst. a  des  Bundesgesetzes  vom  19. Juni 
1992 über den Datenschutz [DSG, SR 235.1]). Aufgrund seiner Abklä-
rungen kann er empfehlen, das Bearbeiten zu ändern oder zu unter-
lassen (Art. 29 Abs. 3 DSG). Wird eine solche Empfehlung nicht  be-
folgt oder abgelehnt,  kann er  die Angelegenheit  dem Bundesverwal-
tungsgericht  auf  dem  Klageweg  zum  Entscheid  vorlegen  (Art. 29 
Abs. 4 DSG i.V.m. Art. 35 Bst. b des Verwaltungsgerichtsgesetzes vom 
17. Juni 2005 [VGG, SR 173.32]).

1.1 Die vorliegende Klage richtet sich gegen die Nichtbefolgung bzw. 
die Ablehnung einer Empfehlung des EDÖB durch die Beklagte. Inso-
fern handelt es sich um eine Klage nach Art. 29 Abs. 4 DSG. Zunächst 
ist  daher  abzuklären,  ob  das  DSG im  vorliegenden  Verfahren  über-
haupt Anwendung findet und der EDÖB zur vorliegenden Klageerhe-
bung berechtigt war. 

1.2 Das DSG gilt für das Bearbeiten von Daten natürlicher und juristi-
scher  Personen  durch  private  Personen  und  Bundesorgane  (Art. 2 
Abs. 1 DSG). 

1.2.1 Unter  Personendaten (Daten) fallen nach Art. 3 Bst. a DSG alle 
Angaben, die sich auf eine bestimmte oder bestimmbare Person be-
ziehen. Darunter ist jede Art von Information zu verstehen, die auf die 
Vermittlung oder die Aufbewahrung von Kenntnissen ausgerichtet ist, 
ungeachtet  dessen,  ob es  sich  dabei  um eine Tatsachenfeststellung 
oder um ein Werturteil handelt. Unerheblich ist auch, ob eine Aussage 
als  Zeichen,  Wort,  Bild,  Ton oder  Kombinationen  aus  diesen  auftritt 
und  auf  welcher  Art  von  Datenträger  die  Informationen  gespeichert 
sind. Eine Person ist  dann  bestimmt, wenn sich aus der Information 
selbst ergibt, dass es sich um diese ganz bestimmte Person handelt 
(URS BELSER,  in:  Maurer-Lambrou/Vogt  [Hrsg.],  Datenschutzgesetz, 
Basler Kommentar, 2. Aufl., Basel 2006, Rz. 5 f. zu Art. 3; nachfolgend 
"BSK-DSG").  Der Bezug ist dort unproblematisch, wo sich der Perso-
nenbezug aus der Natur der Information selbst ergibt, wie bei biometri-
schen Informationen wie Fingerabdrücken (vgl. DAVID ROSENTHAL, in Ro-
senthal/Jöhri,  Handkommentar DSG, Zürich 2008, Art. 3 Bst. a N 13; 
nachfolgend "Handkommentar DSG"). 

1.2.2 Die Beklagte erhebt  von jedem Dauerkarteninhaber die Perso-
nalien,  d.h.  Name,  Vorname,  Adresse,  Sprache  und  Geburtsdatum. 

Seite 7

A-3908/2008

Dabei handelt es sich ohne Weiteres um Personendaten, die einerseits 
für sich alleine (Name, Vorname), andererseits in Zusammenhang mit 
den   weiter  erhobenen  Daten  – ohne  grossen  Aufwand  – auf  eine 
bestimmte  Person  schliessen  lassen  (Adresse,  Sprache, 
Geburtsdatum). Daneben werden den Abonnenten die Fingerabdrücke 
genommen bzw. deren Minutien extrahiert,  mittels Algorithmus in ein 
Template  umgewandelt  und  dergestalt  in  einer  zentralen  Datenbank 
abgelegt.  Der  Fingerabdruck  an  sich,  wie  auch  die  extrahierten 
Minutien sind  einzigartig  und nur einer  bestimmten Person zuzuord-
nen. Der Bezug zu einer Person geht daher aus diesen selbst hervor. 
Auf welche Art von Datenträger (Template) sie gespeichert werden, ist 
unerheblich.  Im  Übrigen  ist  auch  noch  eine  Zuordnungsliste  zentral 
abgelegt,  sodass  mit  dieser  Rückschluss  auf  einen  bestimmten 
Abonnenten genommen werden kann. 

Insofern sind sämtliche hier in Frage stehenden Daten als Personen-
daten gemäss DSG zu qualifizieren.

1.2.3 Bearbeiten im Sinne von Art. 2 Abs. 1 DSG bedeutet jeder Um-
gang  mit  Personendaten,  unabhängig  von  den  angewandten  Mitteln 
und Verfahren,  insbesondere  das Beschaffen,  Aufbewahren,  Verwen-
den, Umarbeiten, Bekanntgeben, Archivieren oder Vernichten von Da-
ten  (Art. 3  Bst. e  DSG).  Für  das  Bundesverwaltungsgericht  besteht 
kein Zweifel, dass im vorliegenden Fall eine Bearbeitung nach DSG er-
folgt. Dies wird im Übrigen auch nicht bestritten.

1.2.4  Wie  bereits  erwähnt,  klärt  der  Beauftragte  gemäss  Art. 29 
Abs. 1  Bst. a  DSG  von  sich  aus  oder  auf  Meldung  Dritter  hin  den 
Sachverhalt näher ab, wenn Bearbeitungsmethoden geeignet sind, die 
Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Sys-
temfehler). "Systemfehler"  bedeutet  in  diesem  Zusammenhang  die 
Eignung, eine grössere Anzahl von Personen in ihrer Persönlichkeit zu 
verletzen (vgl.  DAVID ROSENTHAL,  Handkommentar  DSG,  Art. 29  N. 11; 
RENÉ HUBER, BSK-DSG, Rz. 6 ff. zu Art. 29; Urteil der Eidgenössischen 
Datenschutzkommission  [EDSK] vom 15. April  2005,  veröffentlicht  in 
Verwaltungspraxis des Bundes  [VPB] 69.106, E. 3.2). Kann die fragli-
che Datenbearbeitung potentiell  zur Schädigung einer grösseren An-
zahl  Betroffener führen,  ist  die  Schwelle  der "grösseren Anzahl"  be-
reits  beim  Vorliegen  einiger  weniger  Vorfälle  erreicht  (RENÉ HUBER, 
BSK-DSG, Rz. 10 f. zu Art. 29). In der Klageantwort führt die Beklagte 
aus, dass jährlich 1'200 Dauerkarten verkauft  würden. Insofern kann 

Seite 8

A-3908/2008

ohne Weiteres von einem "Systemfehler" im Sinne der Gesetzgebung 
ausgegangen werden.

1.3 Das  DSG  kommt  aus  diesen  Gründen  zur  Anwendung  und  der 
Kläger war zur Erteilung der Empfehlung ermächtigt. Auf die im Weite-
ren form- und fristgerecht eingereichte Klage ist daher einzutreten.

1.4 Das Verfahren richtet sich gemäss Art. 44 Abs. 1 VGG grundsätz-
lich  nach  den  Art. 3 – 73  sowie  79 – 85  des  Bundesgesetzes  vom 
4. Dezember  1947 über den Bundeszivilprozess (BZP, SR 273). Ob-
wohl  im Bundeszivilprozess der Richter  sein Urteil  grundsätzlich nur 
auf Tatsachen gründen darf, die im Verfahren geltend gemacht worden 
sind (Art. 3 Abs. 2 BZP), gilt vor Bundesverwaltungsgericht infolge der 
spezialgesetzlichen Bestimmung von Art. 44 Abs. 2 VGG der Grund-
satz der Sachverhaltsabklärung von Amtes wegen. 

Art. 3 Abs. 2 BZP bestimmt, dass der Richter nicht über die Rechtsbe-
gehren der  Parteien  hinausgehen darf. In  einem Klageverfahren wie 
dem vorliegenden hat die Dispositionsmaxime somit grössere Bedeu-
tung  als  im  Beschwerdeverfahren  vor  Bundesverwaltungsgericht.  Im 
Verfahren  vor  dem Bundesverwaltungsgericht  wird  der  EDÖB in  der 
Regel verlangen, dass die von ihm empfohlenen und nun klageweise 
geltend gemachten Massnahmen gegenüber den betreffenden Daten-
bearbeitern  verfügt,  d.h. den Datenbearbeitern  durch  das  Gericht  in 
verbindlicher und erzwingbarer Form angeordnet werden. Damit wird 
die Empfehlung zwar nicht verbindlich, doch wird ihr – soweit begehrt 
und gutgeheissen – ein entsprechendes Urteil zur Seite gestellt. Das 
Bundesverwaltungsgericht  kann  aber  auch  weniger  weit  gehende 
Massnahmen anordnen  (vgl.  DAVID ROSENTHAL,  Handkommentar  DSG, 
Art. 29 Abs. 4 N 47).

2.
2.1 Der  Kläger  rügt  vorab,  das  Zugangssystem  der  Beklagten  ver-
stosse  gegen  das  Gebot  der  Zweckbindung  der  Datenbearbeitung 
nach Art. 4 Abs. 3 DSG (Ziffer 2.1 der Klage). Eine Zweckänderung sei 
von den Betroffenen durch die zentrale Speicherung der biometrischen 
Daten aber nicht kontrollierbar. Damit bestehe die Gefahr einer Verlet-
zung der  informationellen Selbstbestimmung nach Art. 13 Abs. 2  der 
Bundesverfassung  der  Schweizerischen  Eidgenossenschaft  vom 
18. April  1999  (BV,  SR  101).  Die  biometrischen  Daten  dürften  den 
Kontrollbereich  der  betroffenen  Person  deshalb  nicht  verlassen.  Er 
empfehle daher ein milderes Mittel, die sogenannte "Smartcard match 

Seite 9

A-3908/2008

on card". Die biometrischen Daten würden auf dem Sicherheitsmedium 
gespeichert und die Verifizierung finde ebenfalls darauf statt. 

2.2 Es ist nicht ersichtlich und wird vom Kläger auch nicht weiter be-
gründet, inwiefern der Grundsatz der Zweckbindung nach Art. 4 Abs. 3 
DSG hier verletzt worden sein soll. Der Kläger gesteht der Beklagten 
denn  auch  zu,  dass  sie  bisher  keine  Zweckänderung vorgenommen 
habe (Klageschrift, Ziffer 43). Er rügt unter dem Grundsatz der Zweck-
bindung der Datenbearbeitung nichts anderes als den Grundsatz der 
Verhältnismässigkeit der  Datenbearbeitung  gemäss  Ziffer  2.2  seiner 
Klage. Die Klage ist denn auch (hauptsächlich) unter diesem Gesichts-
punkt zu behandeln.

3.
Gemäss Art. 13 Abs. 2 BV hat jede Person Anspruch auf Schutz vor 
Missbrauch ihrer persönlichen Daten. Diesem Anspruch hat der Bun-
desgesetzgeber im DSG Rechnung getragen und das Bearbeiten von 
Daten durch Private und Bundesbehörden eingehend geregelt (ULRICH 
HÄFELIN/WALTER HALLER/HELEN KELLER,  Schweizerisches  Bundesstaats-
recht, 7. Aufl.,  Zürich/Basel/Genf 2008, Rz. 390). Wer Personendaten 
bearbeitet,  darf  dabei  die  Persönlichkeit  der  betroffenen  Personen 
nicht widerrechtlich verletzen. Er darf insbesondere nicht Personenda-
ten  entgegen  den  Grundsätzen  des  Artikels 4  bearbeiten  (Art. 12 
Abs. 1 Bst. a DSG).

3.1 Nach Art. 4 Abs. 2 DSG muss die Bearbeitung der Daten verhält-
nismässig sein. Sowohl der Zweck, der mit der Datenbearbeitung ver-
folgt wird, als auch die Art und Weise der Bearbeitung müssen verhält-
nismässig sein. Dies verlangt zunächst,  dass Personendaten nur so-
weit  bearbeitet  werden dürfen,  als  dies für  einen bestimmten Zweck 
objektiv geeignet und tatsächlich erforderlich ist. Der Verhältnismässig-
keitsgrundsatz verlangt weiter, dass die Datenbearbeitung für die be-
troffene Person sowohl hinsichtlich ihres Zwecks als auch hinsichtlich 
ihrer Mittel zumutbar ist (d.h. verhältnismässig i.e.S.). Die Prüfung der 
Verhältnismässigkeit  verlangt  eine  Gesamtwürdigung aller  Umstände 
(BGE  122  II  199),  d.h.  auch  der  Interessen  des  Datenbearbeiters 
(DAVID ROSENTHAL, Handkommentar DSG, Art. 4 N 19 ff.). 

3.2 Gemäss Klageschrift Ziffer 63 akzeptiert der Kläger die Einführung 
des  biometrischen  Erkennungssystems  in  Hinblick  auf  den  Bearbei-
tungszweck unter Vorbehalt. Im Verhältnis zum Eingriff  in die Grund-
rechte der betroffenen Person seien die von der Beklagten eingeführ-

Seite 10

A-3908/2008

ten Massnahmen und durchgeführten Datenbearbeitungen zwar geeig-
net, um das angestrebte Ziel – den Missbrauch der Dauerkarten – zu 
erreichen,  sie  stünden jedoch nicht  in  einem vernünftigen Verhältnis 
zum Eingriff  in die Grundrechte der betroffenen Person. Insofern be-
mängelt der Kläger die Erforderlichkeit des Eingriffs.

3.3 Eine Massnahme hat zu unterbleiben, wenn eine gleich geeignete, 
aber mildere Massnahme für den angestrebten Erfolg ausreichen wür-
de.  Das  Gebot  der  Erforderlichkeit einer  Massnahme wird  auch  als 
Prinzip der  «Notwendigkeit», des  «geringst möglichen Eingriffs», der 
«Zweckangemessenheit» oder  als  «Übermassverbot» bezeichnet 
ULRICH HÄFELIN/GEORG MÜLLER/FELIX UHLMANN,  Allgemeines  Verwaltungs-
recht, 5. Aufl., Zürich/Basel/Genf 2006, Rz. 591 f.). Der Eingriff darf in 
sachlicher, räumlicher, zeitlicher und personeller Beziehung nicht über 
das  Notwendige  hinausgehen  (ULRICH HÄFELIN/WALTER HALLER/HELEN 
KELLER, a.a.O., Rz. 322). Bei der Verifizierung der Identität der Betroffe-
nen sollen die biometrischen Daten statt in einer zentralen Datenbank 
vorzugsweise  auf  einem  gesicherten  individuellen  Speichermedium 
gespeichert werden, dessen Einsatz durch den Betroffenen kontrolliert 
werden kann (URS MAURER LAMBROU/ANDREA STEINER, BSK-DSG, Rz. 22 
zu Art. 4).

3.4 Mit  dem  aktuellen  System werden  die  biometrischen  Daten  zu-
sammen mit  einer  Zuordnungsliste  auf  dem Host  der  Beklagten ge-
speichert. Die Transponderkarte dient lediglich dazu, das entsprechen-
de Template für den Überprüfungsprozess zu aktivieren, damit der Be-
sucher  über  seinen  Fingerabdruck  als  Abonnent  identifiziert  werden 
kann. Auf ihr sind keine Daten gespeichert. Der Verifizierungsprozess 
erfolgt auf dem Host. Jede korrekt durchgeführte Transaktion wird er-
fasst.

3.5 Bei dem vom Kläger  empfohlenen System "Smartcard match on 
card" erfolgt der Vergleich zwischen der biometrischen Charakteristik 
(Fingerabdruck)  und  den  lokal  gespeicherten  biometrischen  Daten 
(Referenz-Template) dezentral auf der Karte, so dass der Host ledig-
lich ein Freigabesignal  von der Smartcard erhält  und keine biometri-
schen Daten zwischen Smartcard und dem elektronischen Zugangs-
kontrollsystem ausgetauscht werden. Damit haben die betroffenen Per-
sonen sowohl die Kontrolle über ihre biometrischen Referenzdaten als 
auch über die Transaktionsdaten im Rahmen des Vergleichs. In einem 
solchen Fall  liegen lediglich Transaktionsdaten,  welche zwischen der 

Seite 11

A-3908/2008

Smartcard  und  dem  Leser  ausgetauscht  werden,  ausserhalb  des 
Kontrollbereichs der betroffenen Person.

3.6 Bei  der  Gegenüberstellung  der  beiden  verschiedenen  Zugangs-
systeme wird ersichtlich, dass das vom Kläger geforderte System weit 
weniger in das informationelle  Selbstbestimmungsrecht  des Betroffe-
nen eingreift als das bis anhin verwendete System und trotzdem das 
verfolgte Ziel  erreichen kann. Der  Betroffene gibt  seine Daten dabei 
nicht mehr aus der Hand und behält damit stets die Kontrolle. Dass der 
Abonnent beim derzeitigen Zugangssystem jederzeit Einsicht in seine 
Daten  nehmen  könne,  wie  dies  die  Beklagte  vorbringt,  vermag  die 
Kontrollmöglichkeiten  des  eingeklagten  Zugangssystems  bei  Weitem 
nicht  zu erreichen. Zentral  gespeicherte Daten ausserhalb des Herr-
schaftsbereichs des Abonnenten bleiben für diesen mehrheitlich uner-
reichbar und damit verletzlich.

3.7 Im  Zusammenhang  mit  Art. 36  Abs. 4  Bst. c  DSG,  wonach  der 
Bundesrat Bestimmungen erlassen kann, wie die Mittel zur Identifikati-
on  von  Personen  verwendet  werden  dürfen,  verweist  der  Handkom-
mentar DSG zudem auf den Schlussbericht des Klägers vom 11. April 
2006 und begrüsst damit das vorliegende Begehren nach dezentraler 
Speicherung  der  biometrischen  Daten  (vgl.  YVONNE JÖHRI,  Handkom-
mentar DSG, Art. 36 Abs. 4 Bst. c N 35 f.). Der Zürcher Datenschutz-
beauftragte hat anlässlich seines 11. Tätigkeitsberichts 2005 ebenfalls 
empfohlen, dass Systeme vorzuziehen seien, bei denen die biometri-
schen Daten nicht bei der Schwimmbad-Betreiberin abgelegt würden 
(Klagebeilage 36). In diesem Sinne hat sich auch die Art. 29 – Daten-
schutzgruppe der  EU als  deren unabhängiges  Beratungsgremium in 
Datenschutzfragen geäussert. Danach sind biometrische Daten bei der 
Verwendung als Zutrittskontrolle nicht auf einem Medium zu speichern, 
das sich nicht im Besitz der betroffenen Person befindet (vgl. Arbeits-
papier über Biometrie der Art. 29 –  Datenschutzgruppe vom 1. August 
2003,  Ziff. 3.2, S. 7). Europäische Länder sind diesen Empfehlungen 
gefolgt (u.a. Frankreich, vgl. Klagebeilage 38, und Italien, vgl. Klage-
beilage 46, S. 3) und sprechen sich ebenfalls für die dezentrale Spei-
cherung gemäss Klagebegehren aus. Der Kläger seinerseits hat sich 
im (gleichartigen) Fall des Check-In und Boarding beim Flughafen Zü-
rich, wo auch Fingerabdrücke der Fluggäste genommen und in Form 
von Templates abgelegt wurden, geäussert. Auch hier hat er die de-
zentrale Speicherung empfohlen (Klagebeilage 37, S. 15).

Seite 12

A-3908/2008

3.8 Die Beklagte hat im Übrigen mit Schreiben vom 10. August 2006 
(Klagebeilage 19) der Empfehlung Nr. 2 – mithin dem Klagebegehren 
– zugestimmt und ausgeführt, dass die Dauerkarten durch beschreib-
bare Medien ersetzt würden. Die Software werde so angepasst, dass 
die Daten auf der Karte gespeichert werden könnten. Dem Schreiben 
vom 29. Februar 2008 ist zudem zu entnehmen, dass die Beklagte nur 
die hohen Anschaffungskosten und den zusätzlichen logistischen Auf-
wand für das Festhalten an der bisherigen zentralen Speicherung der 
Daten vorbringt. Sie stellt sich hingegen nicht auf den Standpunkt, das 
vom  Kläger  begehrte  Zugangssystem  stelle  kein  milderes  Mittel  im 
Sinne der Verhältnismässigkeit dar. Dies scheint insofern auch nach-
vollziehbar, als kein Grund ersichtlich ist, weshalb eine zentrale Spei-
cherung der Daten bei der Beklagten notwendig ist. Ein solcher wird 
von ihr auch nicht geltend gemacht.

3.9 Aus diesen Gründen steht fest, dass die zentrale Speicherung der 
biometrischen Daten, wie sie die Beklagte bisher handhabt, dem Ge-
bot der Erforderlichkeit widerspricht und damit den Grundsatz der Ver-
hältnissmässigkeit  der  Datenbearbeitung  gemäss  Art. 4  Abs. 2  DSG 
verletzt.  Es  liegt  daher  eine  Persönlichkeitsverletzung  nach  Art. 12 
Abs. 2 Bst. a DSG vor. 

4.
Nicht jede Verletzung der Persönlichkeit ist auch widerrechtlich; die Wi-
derrechtlichkeit ist somit lediglich Grundsatz, von dem es Ausnahmen 
gibt. Eine Verletzung der Persönlichkeit  ist  dann nicht  widerrechtlich, 
wenn  sie  u.a.  durch  Einwilligung  des  Verletzten  gerechtfertigt  ist 
(Art. 13 Abs. 1 DSG).

4.1 Die Einwilligung kann grundsätzlich jede Persönlichkeitsverletzung 
rechtfertigen, auch Verstösse gegen die allgemeinen Datenschutzbe-
arbeitungsgrundsätze (vgl. dazu  CORRADO RAMPINI,  BSK-DSG, Rz. 3 f. 
zu Art. 13). Der Gesetzgeber hat sich bei der Definition des Begriffs 
der Einwilligung an demjenigen der Einwilligung des aufgeklärten Pati-
enten (vgl. BGE 119 II 456, BGE 117 Ib 197, BGE 114 Ia 350) orien-
tiert, und zwar in dem Sinne, dass die betroffene Person über alle In-
formationen im konkreten Fall verfügen muss, die erforderlich sind, da-
mit  sie  eine  freie  Entscheidung  treffen  kann  (BBl  2003  2127).  Eine 
rechtlich  gültige  Einwilligung  setzt  nach  Art. 4  Abs. 5  DSG  voraus, 
dass eine angemessene Information bezüglich der Datenbearbeitung 
vorliegt, in die eingewilligt werden soll, eine Willenserklärung vorliegt, 

Seite 13

A-3908/2008

aus welcher eine Zustimmung zu dieser Datenbearbeitung entnommen 
werden  kann  und  diese  Willenserklärung  freiwillig  erfolgt  (DAVID 
ROSENTHAL, Handkommentar  DSG, Art. 4 Abs. 5 N 67 f.).

4.2 Das  Erfordernis  einer  angemessenen  Information will  erreichen, 
dass die betroffene Person ihre Einwilligung in Kenntnis der Sachlage 
gibt, d.h. erst entscheiden muss, wenn sie sich ein Bild (auch) über die 
möglichen negativen Folgen ihrer Einwilligung machen konnte. Erfor-
derlich, aber auch genügend ist letztlich, dass sich die betroffene Per-
son im Klaren darüber sein kann, worin sie einwilligen soll,  d.h. was 
die Tragweite ihrer Entscheidung ist. Je nach Situation wird eine Auf-
klärung erforderlich sein, die nicht nur auf die Umstände der Datenbe-
arbeitung, sondern auch auf ihre wichtigsten möglichen Risiken bzw. 
Folgen für  die betroffene Person hinweist,  insbesondere wenn diese 
schwerwiegend sind. Ob und wie weit diesbezüglich informiert werden 
muss,  hängt  letztlich  aber  von  den  konkreten  Umständen  ab  (DAVID 
ROSENTHAL, Handkommentar DSG, Art. 4 Abs. 5 N 72 f.). Eine Einwilli-
gung muss  freiwillig erfolgen, das heisst Ausdruck des freien Willens 
der betroffenen Person sein. Ungültig  ist  die  durch Täuschung,  Dro-
hung oder Zwang zustande gekommene Einwilligung. Der betroffenen 
Person muss "eine – mit  nicht unzumutbaren Nachteilen behaftete – 
Handlungsalternative"  zur  Verfügung  stehen  (CORRADO RAMPINI,  BSK-
DSG, Rz. 6 f. zu Art. 13; vgl. auch  CHRISTIAN DRECHSLER,  Die Revision 
des  Datenschutzrechts,  in  Aktuelle  Juristische  Praxis  [AJP]  2007, 
S. 1473). Etwas  abweichend  dazu  äussert  sich  DAVID ROSENTHAL im 
Handkommentar  DSG  und meint,  dass dies zu weit  gehe: Wo davon 
auszugehen sei, dass eine Einwilligung subjektiv im Interesse der be-
troffenen Person liege, könne normalerweise ebenfalls von einer frei-
willigen  Willenserklärung  ausgegangen werden,  selbst  wenn die  be-
troffene Person keine Handlungsalternative habe. Seine Kritik berührt 
den vorliegenden Fall jedoch nicht, weil die Einwilligung hier dem Be-
troffenen keinen Vorteil bringt, insofern nicht in dessen subjektivem In-
teresse liegt.

4.3 Die  Beklagte  bringt  zum  Rechtfertigungsgrund  der  Einwilligung 
vor, die Betroffenen würden beim Kauf einer Dauerkarte auf das Sys-
tem und die Datenbearbeitung aufmerksam gemacht. Die alternative 
Ausstellung von Dauerkarten ohne Finger-Print werde indes nicht öf-
fentlich bekannt gemacht. Erst wenn sich ein Gast weigere, werde ihm 
die Alternativlösung angeboten. Die Betroffenen könnten zudem jeder-
zeit Einblick in ihre Daten nehmen.

Seite 14

A-3908/2008

4.4 In seinem Schlussbericht führt der Kläger in Bezug auf die Einwil-
ligung der Betroffenen aus, dass keine Alternativlösungen bestünden. 
Die Kunden müssten auf teurere 10-er Abonnemente ausweichen. Die 
Badegäste würden beim Umtausch oder Erwerb einer Dauerkarte vom 
Kassenpersonal über die Erhebung der biometrischen Daten und über 
die  weitere  Datenbearbeitung  mündlich  aufgeklärt.  Bei  der  Sachver-
haltsabklärung vor Ort seien an der Kassentheke aber keine Flyer er-
hältlich gewesen. Der Flyer habe ihm erst nach einer kleineren Such-
aktion überreicht werden können. Er trage die Überschrift "Ist der Da-
tenschutz bei der biometrischen Fingerabdruck Erkennung und Identi-
fikation  gewährleistet?". Der  Flyer  erkläre,  dass  keine Rohdaten ge-
speichert,  sondern  extrahierte  Merkmale  eines  Fingerabdruckes  in 
Form eines "codierten" Templates in der Datenbank gespeichert wür-
den. Der Flyer führe weiter aus, wie der Abgleich der Templates vor 
sich gehe und dass es nicht möglich sei, aus dem "Code" das Rohda-
tum wieder herzustellen. Ferner werde darauf hingewiesen, dass heute 
gängige Personendatenbanken aus Sicht des Datenschutzes eine weit 
grössere Gefahr darstellten als die Information des Fingerabdruckes. 
Der Flyer äussere sich nur grob über die Bearbeitungsmodalitäten der 
erhobenen Daten. Zudem erkläre der Flyer primär, warum der Einsatz 
von Biometrie aus Sicht des Systemlieferanten unproblematisch sei. 

In  seinem  Verbesserungsvorschlag  Nr. 1  regt  der  Kläger  daher  an, 
dass der Informationsgehalt des Flyers hinsichtlich der Bearbeitungs-
modalitäten der biometrischen Daten stark verbessert werden müsse. 
Aufgeführt  werden  müssten  die  Hauptpunkte  der  Datenbearbeitung, 
wie z.B. wo und für wie lange die Daten gespeichert  würden, insbe-
sondere was mit den Templates und den Transaktionsdaten geschehe, 
wer Zugriff  auf die Daten habe und an wen sie – wenn überhaupt – 
weitergegeben würden. Er sei jedem Kunden vor dem Enrolement (Re-
gistrierung)  automatisch  vom  Kassenpersonal  und  ohne  Nachfrage 
des Kunden auszuhändigen. Dem Badegast sei genügend Zeit zur Ver-
fügung zu stellen, ihn vorher durchzulesen. Weitere Flyer seien griffbe-
reit  an der  Kassentheke aufzulegen.  Mit  Schreiben vom 18. Oktober 
2006 (Klagebeilage 23)  stimmt die  Beklagte  auch diesem Verbesse-
rungsvorschlag zu und führt  aus, dass dieser umgesetzt  werde. Der 
Flyer werde vollständig überarbeitet, wobei die vom Kläger genannten 
Punkte berücksichtigt würden. Weiter werde ein Ablauf- und Organisa-
tionsdiagramm für das Kassenpersonal erstellt,  aus welchem hervor-
gehe, wie bei der Herausgabe eines Abonnements (mit biometrischen 
Daten) vorzugehen sei. Aus den vorliegenden Unterlagen ist nicht er-

Seite 15

A-3908/2008

sichtlich, dass der Verbesserungsvorschlag von der Beklagten umge-
setzt worden ist.

4.5 Dem Kläger ist zuzustimmen, dass einem Badegast (faktisch) kei-
ne Alternativlösung geboten wird, wenn er die Möglichkeit für den Er-
werb eines Jahres- oder Halbjahresabonnements ohne Fingerprint-Lö-
sung erst dann erhält, wenn er sich geweigert hat, ein solches mit dem 
aktuellen Zugangssystem zu akzeptieren. In den meisten Fällen wird 
der  Gast  sich  (vermeintlich)  mangels  Alternative dazu bewegen las-
sen, seine biometrischen Daten zentral zu hinterlegen. Insofern kann 
hier nicht von Freiwilligkeit die Rede sein. 

4.6 Im Weiteren wird der Gast auch nicht angemessen informiert, so 
dass er sich über die Tragweite seiner Entscheidung (vollends) im Kla-
ren  sein  könnte.  Der  Flyer  wird  diesem  offensichtlich  gar  nicht  erst 
ausgehändigt.  Wenn er  schon  bei  der  vorher  vereinbarten  Sachver-
haltsfeststellung  des  Klägers  erst  nach  einer  kleineren  Suchaktion 
überreicht werden kann, ist nicht davon auszugehen, dass er an einem 
"gewöhnlichen Tag" stets griffbereit ist, geschweige denn verteilt wird. 
Weiter scheint das Kassenpersonal weder spezifische Vorgaben noch 
eine besondere Schulung erhalten zu haben, wie beim Verkauf einer 
Dauerkarte vorzugehen ist. Dem Erfordernis der angemessenen Infor-
mation kommt die Beklagte deshalb nicht genügend nach.

Über den Inhalt des Flyers und ob dieser ausreichend ist, braucht das 
Bundesverwaltungsgericht daher nicht weiter zu befinden. Zu bemer-
ken sei hierzu lediglich, dass biometrische Daten (wohl unbestrittener-
massen)  sensibel  sind  und die  Information  hierüber  umfassend sein 
müsste. Aufgrund der unbestrittenen Beschreibung des Klägers über 
den Informationsgehalt des Flyers und des Verbesserungsvorschlages 
lässt sich aber erahnen, dass dieser einer angemessenen Aufklärung 
nicht genügend Rechnung trägt.

5.
Eine  Verletzung  der  Persönlichkeit  ist  ebenfalls  nicht  widerrechtlich, 
wenn sie durch ein überwiegendes privates Interesse gerechtfertigt ist 
(Art. 13 Abs. 1 DSG). Seitens des Datenbearbeiters sind nur die priva-
ten  Interessen  an  der  zu  rechtfertigenden  Datenbearbeitung  zu  be-
rücksichtigen. Zu ermitteln sind dabei sowohl das Interesse am Zweck 
als auch an den Mitteln der Datenbearbeitung, mit welchen der Zweck 
erreicht werden soll. Die Mittel der Datenbearbeitung umfassen insbe-
sondere die Art und Weise der Datenbearbeitung und die Art und Aus-

Seite 16

A-3908/2008

wahl  der  Personendaten  (DAVID ROSENTHAL,  Handkommentar  DSG, 
Art. 13 Abs. 1 N 8).

5.1 Die Beklagte bringt in diesem Zusammenhang vor, durch die An-
passungen im Sinne des Klagebegehrens entstünden hohe Anschaf-
fungskosten und zusätzlicher logistischer Aufwand.

5.2 Der Kläger führt hingegen aus, es liege in der Verantwortung des 
Inhabers der Datensammlung dafür zu sorgen, dass eine Anlage zum 
vornherein datenschutzkonform sei. Insofern seien die Änderungskos-
ten und der zusätzliche logistische Aufwand keine stichhaltigen Argu-
mente.

5.3 Die Interessen der Beklagten sind nicht  zu berücksichtigen,  weil 
sich  diese nicht  auf  die Datenverarbeitung selbst  beziehen,  sondern 
nur  auf  die  Unannehmlichkeiten  abstellen,  die  eine  allfälligen Ände-
rung im Sinne des Klägers mit sich brächten. Diese Interessen haben 
beim Rechtfertigungsgrund der überwiegenden privaten Interessen im 
Sinne von Art. 13 Abs. 1 DSG – wie den vorstehenden Erwägungen zu 
entnehmen ist – kein Gewicht. Insofern liegt auch keine Rechtfertigung 
vor.

6.
Zusammenfassend ergibt sich, dass die Beklagte mit dem bisherigen 
Zugangssystem und der entsprechenden Art und Weise der Bearbei-
tung der biometrischen Daten den Grundsatz der Verhältnismässigkeit 
verletzt.  Diese  Verletzung  ist  weder  durch  Einwilligung  noch  durch 
überwiegende  private  Interessen  gerechtfertigt.  Es  kann  damit  offen 
gelassen werden, ob auch die Gefahr besteht, dass die Daten expor-
tiert, kopiert und unbefugt weiterverarbeitet werden könnten, mithin die 
Datensicherheit nach Art. 7 DSG nicht gewährleistet ist, wie dies der 
Kläger weiter vorbringt.

Aufgabe  des  Bundesverwaltungsgerichts  ist  es  festzustellen,  ob  ein 
Zugangssystem datenschutzkonform ist. Es ist hingegen nicht dessen 
Aufgabe festzulegen,  welche Art  und Weise der Bearbeitung bei der 
Verwendung von biometrischen Daten angezeigt ist, mithin ein umfas-
sendes (datenschutzkonformes)  Zugangssystem zu liefern. Das vom 
Kläger vorgeschlagene System erscheint dem Bundesverwaltungsge-
richt auf den ersten Blick geeignet und den gesetzlichen Anforderun-
gen an die Bearbeitung von biometrischen Daten gewachsen zu sein. 
Zumindest stellt es ein milderes Mittel im Sinne der Erforderlichkeit im 

Seite 17

A-3908/2008

Rahmen  der  Verhältnismässigkeitsprüfung  dar.  Da  sich  die 
Zuordnungsliste  aus  technischen  Gründen  nicht  aus  der  zentralen 
Datenbank  und  daher  nicht  von  den  entsprechenden  Templates 
entfernen lässt (Eingabe der Beklagten vom 16. März 2009), ist eine 
für die Beklagte weniger einschneidende Massnahme im Rahmen des 
vorliegenden  Verfahrens  nicht  ersichtlich.  Zur  Überprüfung  einer 
Zugangsberechtigung könnte es etwa ausreichen, die Templates ohne 
Zuordnungsliste zu speichern und bei der Einlasskontrolle lediglich zu 
prüfen, ob das präsentierte Merkmal in der Datenbank vorhanden ist. 
Zumindest  zwischen  den  Matchingvorgängen  bestünde  dann  für  die 
speichernde  Stelle  bei  ausreichender  Grösse  der  Datenbank  keine 
Möglichkeit  der  Herstellung  eines  Personenbezugs  (GERRIT HORNUNG, 
Der Personenbezug biometrischer Daten,  in: Zeitschrift  "Datenschutz 
und Datensicherheit", 28 [2004] 7, S. 430).

Der Beklagten steht es indes frei, von dem bisherigen System gänzlich 
abzusehen. Es  besteht  kein  Grund,  der  Beklagten  ein  anderes  Zu-
gangssystem aufzuzwingen.

7.
Im Übrigen ist der Beklagten auch insofern nicht zu folgen als sie rügt, 
das Vorgehen des Klägers verletze den Grundsatz der Rechtsgleich-
heit  und des Vertrauensschutzes,  indem beispielsweise das Kontroll-
system  der  Bergbahnen  nicht  bemängelt  werde  und  der  Kläger  im 
Rahmen ihres Beschaffungsprozesses keinen Einwand erhoben habe, 
obwohl gleichartige Systeme bereits im Einsatz gewesen seien.

7.1.1 Der  Grundsatz  des  Vertrauensschutzes  (Art. 9  BV)  bedeutet, 
dass die Privaten Anspruch darauf haben, in ihrem berechtigten Ver-
trauen in behördliche Zusicherungen oder in anderes, bestimmte Er-
wartungen begründendes Verhalten der  Behörden geschützt  zu wer-
den (HÄFELIN/MÜLLER/UHLMANN,  a.a.O.,  Rz. 627). Damit  sich jemand auf 
den Vertrauensschutz berufen kann wird u.a. eine Vertrauensgrundla-
ge gefordert. Dabei kommt es auf den Bestimmtheitsgrad der Grundla-
ge an, der so gross sein muss, dass der Private daraus die für seine 
Dispositionen massgebenden Informationen entnehmen kann (HÄFELIN/
MÜLLER/UHLMANN, a.a.O., Rz. 631). Grundsätzlich hindert die vorüberge-
hende Duldung eines rechtswidrigen Zustandes die Behörde nicht an 
der späteren Behebung dieses Zustandes. Eine Vertrauensgrundlage, 
die  der  Wiederherstellung  der  Rechtmässigkeit  ganz  oder  teilweise 
entgegensteht, wird durch behördliche Untätigkeit nur in Ausnahmefäl-

Seite 18

A-3908/2008

len geschaffen (HÄFELIN/MÜLLER/UHLMANN,  a.a.O.,  Rz. 652). Weder kann 
sich die Beklagte vorliegend auf eine ausreichend bestimmte Vertrau-
ensgrundlage stützen, wie etwa eine schriftliche oder mündliche Zusi-
cherung  des  Klägers,  noch  kann  sie  sich  im Sinne des Vertrauens-
schutzes  darauf  berufen,  dass  gleichartige  –  allenfalls  auch  daten-
schutzwidrige  –  Systeme im Einsatz  gewesen seien und der  Kläger 
nicht eingeschritten sei. Ein Ausnahmefall ist hier nicht ersichtlich und 
wird von der Beklagten auch nicht geltend gemacht. 

7.1.2 Wie nachfolgend aufgezeigt, kann sich diese auch nicht auf den 
Grundsatz der Gleichbehandlung berufen. Der Anspruch auf Gleichbe-
handlung  verlangt,  dass  Rechte  und  Pflichten  der  Betroffenen  nach 
dem gleichen Massstab festzusetzen sind. Gleiches ist nach Massga-
be  seiner  Gleichheit  gleich,  Ungleiches  nach  Massgabe  seiner  Un-
gleichheit ungleich zu behandeln. Das Gleichheitsprinzip verbietet ei-
nerseits  unterschiedliche Regelungen,  denen keine rechtlich  erhebli-
chen Unterscheidungen zu Grunde liegen. Andererseits untersagt es 
aber auch die rechtliche Gleichbehandlung von Fällen, die sich in tat-
sächlicher  Hinsicht  wesentlich  unterscheiden.  Die  Gleichbehandlung 
durch den Gesetzgeber oder die rechtsanwendende Behörde ist aller-
dings nicht  nur dann geboten,  wenn zwei Tatbestände in allen ihren 
tatsächlichen Elementen absolut  identisch sind, sondern auch, wenn 
die im Hinblick auf die zu erlassende oder anzuwendende Norm rele-
vanten Tatsachen gleich sind (HÄFELIN/MÜLLER/UHLMANN, a.a.O., Rz. 495). 
Der  Grundsatz  der  Gesetzmässigkeit  der  Verwaltung  geht  dem 
Rechtsgleichheitsprinzip im Konfliktfall in der Regel vor. Wenn eine Be-
hörde in einem Fall eine vom Gesetz abweichende Entscheidung ge-
troffen hat, gibt das den Privaten, die sich in der gleichen Lage befin-
den, grundsätzlich keinen Anspruch darauf, ebenfalls abweichend von 
der Norm behandelt zu werden (keine Gleichbehandlung im Unrecht). 
Dies gilt  allerdings nur dann, wenn die abweichende Behandlung le-
diglich in einem einzigen oder in einigen wenigen Fällen erfolgt ist. Be-
steht hingegen eine eigentliche Praxis und lehnt es die Behörde ab, 
diese aufzugeben, so können Private verlangen, dass die widerrechtli-
che Begünstigung, die Dritten zuteil wurde, auch ihnen gewährt werde 
(Urteil  des Bundesverwaltungsgerichts A-5541/2008 vom 2. Juli  2009 
E. 5.1 mit Hinweisen; HÄFELIN/MÜLLER/UHLMANN, a.a.O., Rz. 518). Das von 
der Beklagten als Vergleich herangezogene Zugangssystem der Berg-
bahnen unterscheidet sich in wesentlichen Zügen von ihrem Zugangs-
system. Wie der Kläger ausführt, waren die biometrischen Daten beim 
Zugangssystem der Bergbahnen in keiner Art  und Weise Bestandteil 

Seite 19

A-3908/2008

der vorgenommenen Sachverhaltsabklärung, d.h. solche werden dabei 
offenbar  auch  nicht  verwendet.  Insofern  unterscheiden  sie  sich  in 
relevanten Tatsachen und taugen daher nicht für  einen Vergleich. Im 
Übrigen ist der Kläger gewillt, die einmal entwickelte Rechtsprechung 
in  Bezug  auf  die  gleichartige  Bearbeitung  biometrischer  Daten  in 
sämtlichen  Bereichen  anzuwenden  und  so  einer  einheitlichen 
Handhabung zu Durchbruch zu verhelfen.

8.
Aus diesen Gründen ist  die  Klage im Sinne der  Erwägungen gutzu-
heissen.

9.
Gemäss Art. 69 Abs. 1 BZP entscheidet das Gericht über die Prozess-
kosten von Amtes wegen nach den Art. 65, 66 und 68 des Bundesge-
richtsgesetzes  vom 17. Juni  2005 (BGG, SR 173.110). Die  Gerichts-
kosten bestehen in der Gerichtsgebühr, der Gebühr für das Kopieren 
von Rechtsschriften, den Auslagen für Übersetzungen, ausgenommen 
solche zwischen Amtssprachen, und den Entschädigungen für  Sach-
verständige  sowie  für  Zeugen  und  Zeuginnen. Die  Gerichtsgebühr 
richtet sich nach Streitwert, Umfang und Schwierigkeit der Sache, Art 
der Prozessführung und finanzieller Lage der Parteien. Sie beträgt in 
der Regel zwischen 200–5000 Franken in Streitigkeiten ohne Vermö-
gensinteresse (Art. 65 Abs. 1 bis  3 Bst. a BGG). Für das vorliegende 
Klageverfahren werden die Kosten auf Fr. 1'500.-- bestimmt.

9.1 Nach Art. 66 BGG werden die Gerichtskosten in der Regel der un-
terliegenden Partei auferlegt. Vorliegend besteht kein Anlass, von die-
ser Regel abzuweichen. Gemäss Ausgang dieses Verfahrens trägt da-
her die Beklagte als unterliegende Partei die Verfahrenskosten in der 
Höhe von Fr. 1'500.--. Der Betrag ist innert 30 Tagen nach Eintritt der 
Rechtskraft des vorliegenden Urteils zu Gunsten der Gerichtskasse zu 
überweisen.

9.2 Im Urteil wird bestimmt, ob und in welchem Mass die Kosten der 
obsiegenden Partei  von der  unterliegenden  zu  ersetzen  sind. Bund, 
Kantonen  und  Gemeinden  sowie  mit  öffentlich-rechtlichen  Aufgaben 
betrauten  Organisationen  wird  in  der  Regel  keine  Parteikostenent-
schädigung zugesprochen, wenn sie in ihrem amtlichen Wirkungskreis 
obsiegen (Art. 68 Abs. 1 und 3 BGG).  Der obsiegende Kläger hat in 
diesem Sinne keinen Anspruch auf eine Parteikostenentschädigung. 

Seite 20

A-3908/2008

Demnach erkennt das Bundesverwaltungsgericht:

1.
Die Klage wird im Sinne der Erwägungen gutgeheissen.

2.
Die Verfahrenskosten von Fr. 1'500.-- werden der Beklagten auferlegt. 
Der Betrag ist innert 30 Tagen nach Eintritt der Rechtskraft des vorlie-
genden Urteils zu Gunsten der Gerichtskasse zu überweisen. Die Zu-
stellung des Einzahlungsscheins erfolgt mit separater Post.

3.
Es wird keine Parteikostenentschädigung gesprochen.

4.
Dieses Urteil geht an: 

- den Kläger (Gerichtsurkunde)
- die Beklagte (Gerichtsurkunde)

Der vorsitzende Richter: Der Gerichtsschreiber:

André Moser Stefan von Gunten

Rechtsmittelbelehrung:

Gegen diesen Entscheid kann innert  30 Tagen nach Eröffnung beim 
Bundesgericht,  1000  Lausanne  14,  Beschwerde  in  öffentlich-rechtli-
chen Angelegenheiten geführt  werden (Art. 82 ff., 90 ff. und 100 des 
Bundesgerichtsgesetzes vom 17. Juni 2005 [BGG, SR 173.110]). Die 
Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begeh-
ren,  deren Begründung mit  Angabe der  Beweismittel  und die Unter-
schrift zu enthalten. Der angefochtene Entscheid und die Beweismittel 

Seite 21

A-3908/2008

sind, soweit sie die beschwerdeführende Partei in Händen hat, beizu-
legen (vgl. Art. 42 BGG).

Versand: 

Seite 22