edoeb · schlussbericht-vom-3-maerz-2023-mit-ergaenzungen-vom-17-mai-2023-des-edoeb-in-sa-2023-03-03 · 2023-03-03 · de
Schlussbericht vom 3. März 2023 mit Ergänzungen vom 17. Mai 2023 des EDÖB in Sachen Once Dating AG gemäss Art. 29 DSGPDF1.05 MB3. März 2023
Datenschutz


Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter
EDÖB



Feldeggweg 1, 3003 Bern
Tel. 058 463 74 84, Fax 058 465 99 96
www.edoeb.admin.ch




EDÖB-A-72643401/2 / F. Nakagawa






Schlussbericht und Empfehlungen

betreffend die Sachverhaltsabklärung des

Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten
(EDÖB)


in Sachen
Once Dating AG

gemäss
Artikel 29 des Bundesgesetzes vom 19. Juni 1992
über den Datenschutz (DSG; SR 235.1)











2/44



Inhaltsverzeichnis

1.
Einführung ........................................................................................................................................ 4
1.1.
Ausgangslage .......................................................................................................................... 4
1.2.
Chronologie ............................................................................................................................. 5
1.3.
Gesetzliche Grundlage ............................................................................................................ 5
1.4.
Umfang der Sachverhaltsabklärung ........................................................................................ 5
1.5.
Berücksichtigte Dokumente ..................................................................................................... 5
2.
Sachverhalt ...................................................................................................................................... 6
2.1.
Differenzen bei der Sachverhaltsfeststellung und dem Schlussbericht .................................. 6
2.2.
Funktionsweise der App .......................................................................................................... 6
2.2.1.
Datenflussmodellierung ................................................................................................... 6
2.2.2.
Registrierungsverfahren .................................................................................................. 8
2.2.3.
Matchmaking ................................................................................................................... 9
2.2.4.
Bearbeitungszwecke ....................................................................................................... 9
2.2.5.
Weitere Massnahmen zur Missbrauchsbekämpfung .................................................... 10
2.2.6.
Bekanntgabe von Personendaten der Nutzer an Dritte ................................................ 10
2.2.7.
Bekanntgabe von Personendaten an andere Nutzer der App ...................................... 10
2.2.8.
Bekanntgabe von Personendaten an Dienstleister/Partner .......................................... 11
2.2.9.
Bekanntgabe von Personendaten ins Ausland ............................................................. 14
2.3.
Aufbewahrung und Löschung von Personendaten ............................................................... 16
2.3.1.
Deaktivierung von Konten auf Verlangen ...................................................................... 16
2.3.2.
Löschung von Konten bzw. Personendaten der Nutzer auf Verlangen ........................ 16
2.3.3.
Deaktivierung und Löschung von Konten von inaktiven Nutzern .................................. 18
2.3.4.
Löschung von Personendaten bei Dritten ..................................................................... 18
2.4.
Datensicherheit ...................................................................................................................... 19
2.4.1.
Entwicklung der App ...................................................................................................... 19
2.4.2.
Schwachstellentests ...................................................................................................... 19
2.4.3.
Monitoring und Patchen................................................................................................. 19
2.4.4.
Verschlüsselung ............................................................................................................ 19
2.4.5.
Zugriffskontrollen ........................................................................................................... 19
2.5.
Logging .................................................................................................................................. 20
2.6.
Einwilligung und Datenschutzeinstellungen der App ............................................................ 20
3.
Datenschutzrechtliche Beurteilung ................................................................................................ 21
3.1.
Bearbeitung von Personendaten ........................................................................................... 21
3.1.1.
Bearbeitung von besonders schützenswerten Daten .................................................... 21
3.1.2.
Bearbeitung von Persönlichkeitsprofilen ....................................................................... 22
3.2.
Transparenz und Qualität der Informationen an die Nutzer der App Once........................... 23
3.2.1.
Grundsatz der Transparenz nach Art. 4 Abs. 4 DSG .................................................... 23
3.2.2.
Informationspflicht nach Art. 14 DSG ............................................................................ 23
3.2.3.
Einhaltung des Transparenzgrundsatzes (Art. 4 Abs. 4 DSG) und der
Informationspflicht (Art. 14 DSG) ................................................................................................... 24
3.2.3.1.
Erkennbarkeit der Datenerhebungen bei der App Once ............................................... 24
3.2.3.2.
Erkennbarkeit der Bearbeitungszwecke und der Rahmenbedingungen der
Datenbearbeitung ........................................................................................................................... 25
3.2.3.3.
Information über die Kategorien der Datenempfänger .................................................. 29
3.2.3.4.
Erkennbarkeit der verwendeten Garantien für die Übermittlung von Daten ins Ausland

29






3/44



3.2.3.5.
Schlussfolgerung ........................................................................................................... 30
3.3.
Löschkonzept und Löschmöglichkeiten der Nutzer ............................................................... 30
3.3.1.
Grundsatz der Rechtmässigkeit (Art. 4 Abs. 1), von Treu und Glauben und der
Verhältnismässigkeit (Art. 4 Abs. 2 DSG) ...................................................................................... 30
3.3.1.1.
Möglichkeit Personendaten auf Verlangen zu löschen (Art. 12 Abs. 2 lit. b DSG) ....... 30
3.3.1.2.
Information über die verfügbaren Löschmöglichkeiten ................................................. 31
3.3.1.3.
Automatische Löschung von Personendaten bei Inaktivität ......................................... 32
3.3.1.4.
Löschung von Personendaten, deren Bearbeitung ausgelagert wurde ........................ 33
3.3.1.5.
Schlussfolgerung ........................................................................................................... 33
3.4.
Datenweitergabe an «Dienstleister» ..................................................................................... 34
3.4.1.
Anforderungen an einer Auftragsdatenbearbeitung (Art. 10a DSG) ............................. 34
3.4.2.
Einhaltung der Anforderungen nach Art. 10a DSG ....................................................... 34
3.4.2.1.
Übermittlung ins Ausland............................................................................................... 35
3.4.2.2.
Bearbeitung von Personendaten für Zwecke Dritter ..................................................... 35
3.4.3.
Schlussfolgerung ........................................................................................................... 35
3.5.
Einhaltung der Anforderungen an die Datensicherheit ......................................................... 36
3.5.1.
Schutz des Systems gegen datenschutzrechtlich relevante Risiken ............................ 36
3.5.1.1.
Schutz gegen unbefugte Datenbearbeitung .................................................................. 36
3.5.1.2.
Periodische Evaluation der Sicherheitsmassnahmen und Durchführung von
Schwachstellentests ....................................................................................................................... 37
3.5.1.3.
Schlussfolgerung ........................................................................................................... 37
3.6.
Persönlichkeitsverletzungen .................................................................................................. 37
3.6.1.
Rechtfertigung ............................................................................................................... 38
3.6.2.
Einwilligung der betroffenen Person .............................................................................. 38
3.6.2.1.
Anforderungen an einer gütigen Einwilligung ................................................................ 38
3.6.2.2.
Erteilte Einwilligung ....................................................................................................... 38
3.6.2.3.
Grenzen der erteilten Einwilligung ................................................................................. 38
3.6.2.4.
Schlussfolgerung ........................................................................................................... 39
3.6.3.
Überwiegendes privates Interesse ................................................................................ 39
3.6.3.1.
Vertrag zwischen Nutzenden und der Once Dating AG ................................................ 39
3.6.3.2.
Schlussfolgerung ........................................................................................................... 41
3.7.
Empfehlungen ....................................................................................................................... 41
3.8.
Stellungnahme der Once Dating AG ..................................................................................... 43
3.9.
Verfahren ............................................................................................................................... 43
3.9.1.
Rechtliches Gehör und weiteres Vorgehen ................................................................... 43
3.9.2.
Veröffentlichung des Schlussberichts mit Empfehlungen ............................................. 44

Abbildungsverzeichnis

Abbildung 1: Ansicht der Mobile App Functional Architecture .............................................................. 6
Abbildung 2: Übersicht zur Backend Functional Architecture. .............................................................. 7
Abbildung 3: Illustration der Once Backend Technical Architecture. .................................................... 7
Abbildung 3: Screenshot des Kontaktkanals in der App Once («Nous contacter») ............................ 17
Abbildung 6: Auszug aus der Datenschutzrichtlinie ............................................................................ 27









4/44



1. Einführung
1.1. Ausgangslage
1. Dating-Apps und -Webseiten spielen bei der Partnersuche eine zunehmend bedeutsame
Rolle in der Schweiz: 19,7% der Paare, die in den letzten 5 Jahren in eine Beziehung getre-
ten sind, haben sich gemäss Angaben des Bundesamts für Statistik online über eine Partner-
börse, eine Dating-App oder ein soziales Netzwerk1 kennen gelernt. Solche Dating-Apps und
-Webseiten unterscheiden sich von klassischen Vermittlungsagenturen, welche vergleichs-
weise klein und noch mehrheitlich «analog» tätig sind, indem sie Personendaten (unter ande-
rem auch besonders schützenswerte Daten) von einer Mehrzahl von Kunden über ein Inter-
netportal oder eine App für Mobilgeräte erheben und diese teil- oder vollautomatisch bearbei-
ten, um einen geeigneten Partner zu vermitteln.
2. Im Dezember 2020 wurde der EDÖB darauf aufmerksam gemacht, dass die Nutzer der Da-
ting-App Once keine Möglichkeit hätten, ein Konto über die Applikation zu löschen, und dass
der Betreiber dieser App, die Once Dating AG, angeblich nicht auf Löschbegehren reagieren
würde.
3. Die Once Dating AG ist ein privates Unternehmen mit Sitz in Pfäffikon im Kanton Schwyz,
welches im Bereich Online-Dating tätig ist. Mit der App «Once» bietet die Once Dating AG
einen Partnervermittlungsdienst an, welcher auf das Konzept des Slow-Datings setzt. Die
Nutzung der App setzt eine Registrierung voraus. Dabei muss die Nutzerin oder der Nutzer
verschiedene Angaben über sich machen oder Daten aus ihrem/seinem Facebook-Profil im-
portieren. Zudem können auf freiwilliger Basis weitere Angaben zur Person gemacht werden.
4. Mithilfe von Künstlicher Intelligenz (KI) werden Personendaten ausgewertet, um den Nutzern
einmal am Tag ein passendes Profil vorzustellen («Match»). Da die Nutzer der App aufgefor-
dert werden, echte Angaben über sich zu machen, erfolgt sowohl bei der Datenerhebung bei
den Nutzern als auch bei der Vermittlung von passenden Dating-Partnern eine Bearbeitung
von Personendaten.
5. Auf der Grundlage von Art. 29 des Bundesgesetzes über den Datenschutz (DSG) leitete der
EDÖB mit Schreiben vom 15. Februar 2021 eine Sachverhaltsabklärung bei der Once Dating
AG ein, um einerseits ihre Löschungsprozesse zu prüfen und andererseits zu klären, ob die
Bearbeitungen der Once Dating AG die Anforderungen des Datenschutzes an Datensicher-
heit und Transparenz einhalten.
6. Am 9. April beantwortete die Once Dating AG, vertreten durch Frau Rechtsanwältin
die Fragen des EDÖB und teilte mit, dass kein Testzugang zu der App ge-
währt werden könne. Ausserdem erklärte RA
dass die Once Dating AG die Kanzlei
beauftragt habe, ihre Datenbearbeitungsaktivitäten zu analysieren
und die aktuellen Datenschutz-Policies dem revidierten DSG in den nächsten Monaten ent-
sprechend anzupassen. Die neuen internen Datenschutz-Policies wurden als "Work in Pro-
gress" als Beilage geschickt. Mit E-Mail vom 19. April 2021 stellte der EDÖB der Once Dating
AG verschiedene Zusatzfragen, zu welchen diese fristgerecht mit Schreiben vom 10. Mai
2021 Stellung nahm.
7. Am 23. Juni 2021 stellte der EDÖB der Once Dating AG seine Sachverhaltsfeststellung vom
selben Datum zu. Diese basiert ausschliesslich auf den von der Once Dating AG gelieferten


1 Bundesamt für Statistik (Hg.): Erhebung zu Familien und Generationen 2018. Erste Ergebnisse. Neuchâtel
2019, 9 S., verfügbar unter: https://www.bfs.admin.ch/bfs/de/home/statistiken/bevoelkerung/erhebungen/efg.as-
setdetail.10467788.html [aufgerufen am 14.04.2020]






5/44



Antworten und Dokumenten (Vgl. Ziff. 1.5) sowie aus öffentlich zugänglichen Informationen
auf der Webseite der Once Dating AG (Datenschutzrichtilinien, FAQ, Medienmitteilungen
etc.) sowie Informationen im Apple Store und Google Play Store. Der EDÖB hat aufgrund der
ausreichenden Dokumentation auf eine Sitzung mit Vertretern der Once Dating AG wie auch
auf einen Augenschein vor Ort verzichtet. Mit Schreiben vom 21. Juli 2021 nahm die Once
Dating AG fristgerecht Stellung zur Sachverhaltsfeststellung. Der vorliegende Schlussbericht
des EDÖB basiert auf diese Sachverhaltsfeststellung und beinhaltet die rechtliche Würdigung
des EDÖB des Sachverhalts sowie seine Empfehlungen im Sinne des Datenschutzes.
1.2. Chronologie
15.02.2021:
Eröffnung Sachverhaltsabklärung durch den EDÖB und Zustellung eines Fragenkata-
loges an Once Dating AG
19.03.2021:
Mitteilung der Vertretung durch
und Fristerstreckungsgesuch
09.04.2021:
Beantwortung Fragenkatalog
19.04.2021:
Stellung Zusatzfragen
10.05.2021:
Beantwortung Zusatzfragen
23.06.2021:
Versand Sachverhaltsfeststellung an
Once Dating AG
21.07.2021:
Änderungsvorschläge der Once Dating AG zur Sachverhaltsfeststellung
03.03.2023:
Versand Schlussbericht, inklusive Empfehlungen, an
Once
Dating AG zur Stellungnahme
30.03.2023:
Gewährung der mit Schreiben vom 28. März 2023 beantragten Fristverlängerung
02.05.2023:
Annahme der Empfehlungen durch Once Dating AG
17.05.2023:
Versand Schlussbericht mit Ergänzungen, an
Once Dating AG

1.3. Gesetzliche Grundlage
8. Art. 1 bis 15 des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz (DSG, SR 235.1)
und Art. 1 bis 12 der Verordnung vom 14. Juni 1993 zum Bundesgesetz über den Daten-
schutz sind auf das Bearbeiten von Personendaten durch private Personen anwendbar. Ge-
mäss Art. 29 Abs. 1 lit. a DSG kann der EDÖB von sich aus oder auf Meldung Dritter hin ei-
nen Sachverhalt näher abklären, wenn Bearbeitungsmethoden geeignet sind, die Persönlich-
keit einer grösseren Anzahl von Personen zu verletzen (Systemfehler). Gemäss Art. 29 Abs.
2 DSG kann er dabei Akten herausverlangen, Auskünfte einholen und sich Datenbearbeitun-
gen vorführen lassen.
1.4. Umfang der Sachverhaltsabklärung
9. Die vorliegende Sachverhaltsabklärung zielt darauf ab zu prüfen, ob und inwiefern Mängel
hinsichtlich der Konformität mit dem DSG bei der Bearbeitung von Löschbegehren, bei der
Erhebung und Weitergabe von Personendaten der Nutzer an Dritte und bei der Einhaltung
des Bearbeitungsgrundsatzes der Transparenz und der Datensicherheit bestehen.
1.5. Berücksichtigte Dokumente
10. Die Sachverhaltsfeststellungen des EDÖB stützen sich auf folgende Dokumente ab:
- Schreiben vom 9. April 2021 (vorab per E-Mail) mit folgenden Beilagen:
o
Datenflussdiagramm






6/44



o
Interne Datenschutz-Policies als "Work in Progress" aufgrund der Integration in
die Dating Group und Anpassungen ans revidierte Schweizer DSG
- Schreiben vom 10. Mai 2021 inkl. Anhang 1 – Antworten zu Zusatzfragen
- Schreiben vom 21. Juli 2021 inkl. Anhang 1 – Änderungsvorschläge zur Sachverhaltsfeststel-
lung
2. Sachverhalt
2.1. Differenzen bei der Sachverhaltsfeststellung und dem Schlussbericht
11. Die Once Dating AG hat ihre Änderungs- und Ergänzungsvorschläge zur Sachverhaltsfest-
stellung vom 23. Juni 2021 mit Stellungnahme vom 21. Juli 2021 mitgeteilt. Diese wurden bei
der Verfassung dieses Schlussberichts berücksichtigt.
2.2. Funktionsweise der App
2.2.1. Datenflussmodellierung
12. Das erhaltene Datenflussdiagramm ist in die drei Schichten Mobile App Functional Architec-
ture, Backend Functional Architecture und Once Backend Technical Architecture gegliedert.
13. In Abbildung 1 wird die Benutzeroberfläche (UX Modules) dargestellt. Diese bezieht sich auf
alle Dinge, auf die der Once App Nutzer zugreift, um Anforderungen zu senden oder andere
Aufgaben in der Cloud auszuführen. Synchron erfolgen im Weiteren das Logging etc. mittels
den dargestellten Tech and UX monitoring modules.
Abbildung 1: Ansicht der Mobile App Functional Architecture






7/44



14. Die in Abbildung 2 dargestellte Funktionsschicht Backend Functional Architecture beschreibt
die Administrationsoberfläche der App Once. Also primär alle Operationen, die im Hinter-
grund vorgenommen werden (bspw. das Aussehen und die Funktionen im Frontend verän-
dern).
Abbildung 2: Übersicht zur Backend Functional Architecture.

15. Die vorgängig abgebildete Datenflussmodellierung wird in Abbildung 3 zerlegt und auf einer
detaillierteren Ebene genauer beschrieben, wie folgende Abbildung schematisch zeigt.
Abbildung 3: Illustration der Once Backend Technical Architecture.






8/44



16. Die Backend-Architektur in der Cloud unterstützt die Frontend-Architektur. Sie besteht aus
Hardware und Speicher und befindet sich auf einem Remote-Server. Der Cloud-Provider
(AWS) steuert und verwaltet diese Backend Technical Architecture.
2.2.2. Registrierungsverfahren
17. Die App Once kann über den Google Play Store und über den Apple App Store heruntergela-
den werden. Um die App zu nutzen, muss sich die Nutzerin oder der Nutzer registrieren. Ge-
mäss Angaben der Once Dating AG kann die Anmeldung aktuell über 3 Methoden erfolgen:
per Telefon, via Facebook-Connect oder via Apple-ID2, wobei die letzte Methode nur für Nut-
zer verfügbar ist, die die App auf einem Apple Gerät installiert haben. Gemäss der Daten-
schutzrichtlinie sollte eine Anmeldung per E-Mail auch möglich sein, womit offenbar das Lo-
gin via Apple-ID gemeint ist.3
18. Für jede der drei Methoden ist ein unterschiedliches Verifizierungsverfahren vorgesehen, mit
dem Ziel sicherzustellen, dass die Profile von Menschen und nicht von Robotern erstellt wer-
den. Wer sich mit einer Handynummer anmeldet, wird mittels eines SMS-Verifizierungspro-
zesses verifiziert. Dabei erhält die Person einen Code per SMS, welchen sie in ihrem Profil
eingeben muss. Bei einer Anmeldung über Facebook-Connect4 wird die Identität der Nutzer
verifiziert, indem die Nutzerin oder der Nutzer der Once Dating AG Zugriff auf Daten ihres
oder seines Facebook Profils gewährt. Diese seien gemäss Once Dating AG der Nutzer-
name, das Geburtsdatum, die Nutzerfotos und die Nutzer-E-Mail von Facebook. Dadurch
wird das Profil des Nutzers bei Once mit seinem Facebook-Account verknüpft. Die Once Da-
ting AG hat hierzu Folgendes klargestellt: Obwohl in der Datenschutzrichtlinie aufgeführt wird,
dass bei einer Anmeldung über Facebook darüber hinaus die «Freundesliste, Fotos und Inte-
ressen sowie Likes entsprechend den Facebook-Posts» an die Once Dating AG übermittelt
werden, die Once Dating AG diese zusätzlichen Informationen nicht erhält.5 Wenn man sich
für die Verifizierung per Apple ID entscheidet, erhält die Once Dating AG die E-Mail-Adresse
oder einen Proxy der E-Mail-Adresse, je nach den Einstellungen der Nutzerin oder des Nut-
zers. 6
19. Nutzer müssen ausserdem mindestens 18 Jahre alt sein. Um dies zu prüfen, fordert Once
ihre Nutzerinnen und Nutzer auf, einige Angaben über sich zu machen, wenn sie sich als Mit-
glied registrieren. Pflichtangaben sind: Vorname, Bild(er), Alter, Land/Standort sowie sexuelle
Orientierung.7 Die Once Dating AG prüft das Alter und die Echtheit des Profils anhand der
Bilder, welche die Nutzerin oder der Nutzer in die App hochlädt. Alle Profile werden mithilfe
des Bildmoderationstools Sightengine halbautomatisch moderiert. Wenn die Nutzerin oder
der Nutzer Bilder hochlädt, auf denen keine Person erkennbar ist bzw. nur eine Illustration
auf dem Foto zu sehen ist, oder falls auf dem Foto mit hoher Wahrscheinlichkeit ein Promi-
nenter oder ein Minderjähriger erkannt wird, wird das Profil gesperrt und manuell moderiert.


2 Vgl. Antwort zur Frage 14.1 (Anhang 1 des Schreibens vom 9. April 2021, S. 10 bzw. 26 f.)
3 Vgl. Datenschutzrichtlinie vom 26.05.2020, Ziff. 2 «Arten von erhobenen personenbezogenen Daten», verfügbar
unter https://getonce.com/de/terms#privacy [aufgerufen am 21.04.2021]
4 Mehr Informationen zum Facebook Tool «Facebook Login» unter Ziff. 31
5 Vgl. Datenschutzrichtlinie vom 26.05.2020, Ziff. 2 «Arten von erhobenen personenbezogenen Daten», verfügbar
unter https://getonce.com/de/terms#privacy [aufgerufen am 21.04.2021]
6 Vgl. Antwort zur Frage 14.1 (Anhang 1 des Schreibens vom 9. April 2021, S. 10 bzw. 26 f.)
7 Vgl. Antwort zur Frage 4.1 (Anhang 1 des Schreibens vom 9. April 2021, S. 4 bzw. 20 f.) und Datenschutzrichtli-
nie vom 26.05.2020, Ziff. 2 «Arten von erhobenen personenbezogenen Daten», verfügbar unter https://ge-
tonce.com/de/terms#privacy [aufgerufen am 21.04.2021]






9/44



Die entsprechenden Bilder werden entfernt und die Nutzerin oder der Nutzer wird entweder
gesperrt oder benachrichtigt, die Bilder zu ändern.8
2.2.3. Matchmaking
20. Neben den Pflichtangaben können die Nutzer der App die folgenden Angaben freiwillig ma-
chen: Beschreibung; Bildung; Grösse; Job & Arbeitgeber; Kekse (Fragen zur Persönlichkeit);
Hobbys; Reisen; Kinder/ keine Kinder; Religion; Politik; Vorlieben beim Trinken und Vorlieben
beim Rauchen. Diese Informationen sowie die Pflichtangaben werden von der KI ausgewer-
tet, um eine Partnerin oder einen Partner zu vermitteln, sind aber durch die anderen Nutzer
nicht einsehbar (siehe Ziff. 27).
21. Der «Matchmaking-Algorithmus» wählt potentielle Partner basierend auf den Informationen in
den Profilen der Nutzer und aufgrund ihrer täglichen Bewertungen von Profilen anderer Nut-
zer. Er ist eine selbstlernende KI, die Rückschlüsse über die Partnerpräferenzen der Nutzer
aus diesen Bewertungen zieht. Sie passt sich dementsprechend an, um die vermuteten Prä-
ferenzen der Nutzer bei künftigen Vorschlägen zu berücksichtigen. Je mehr die Nutzer an-
dere Profile bewerten, desto besser weiss die KI über deren Vorlieben Bescheid und kann
dementsprechend bessere Matchs machen. Der Algorithmus lernt auch dadurch, dass er
über die Kompatibilität zwischen den Nutzern lernt.9
2.2.4. Bearbeitungszwecke
22. Alle Informationen der Nutzer werden gemäss Angaben der Once Dating AG ausschliesslich
für das Matchmaking verwendet. Die Once Dating AG führt in diesem Zusammenhang aus,
dass sie «im Gegensatz zu vielen ihrer Konkurrenten, die Daten der Nutzer nicht verkauft und
die persönlichen Daten der Nutzer nicht über In-App-Werbung monetarisiert»10 und, dass sie
«keine persönlichen Daten für Werbung [verwendet], (…) die Nutzer nicht für Werbung [mo-
netarisiert] und (…) nicht mit Affiliates [arbeitet]».11
23. Gemäss der Once Dating AG bedeutet die Aussage, dass sie keine persönlichen Daten für
Werbung verwende, dass keine Anzeigen innerhalb der App Once platziert sind (Interstitials,
Banner, etc.), welche Personendaten der Nutzer verwenden, um ihnen Werbung anzuzeigen.
Mit der Aussage «wir monetarisieren unsere Nutzer nicht für Werbung» meint Once Dating
AG, dass sie keine Nutzerdaten gegen irgendeine Art von Entgelt weitergeben.12
24. Die Once Dating AG bearbeitet Nutzerdaten für folgende Zwecke:
a. Bereitstellung des täglichen Matches;
b. Um passende Nutzer in der App vorzustellen z.B. auf dem Bewertungsbildschirm;
c. Um Produktinformationen an die Nutzer zu senden z.B. Benachrichtigungen von
erhaltener Nachrichten etc;


8 Ausserdem werden die Bilder moderiert, wenn der Algorithmus Nacktheit, Waffen oder rassistische Elemente
mit hoher Wahrscheinlichkeit auf den Fotos erkennt. Vgl. Antwort zur Frage 14.1 (Anhang 1 des Schreibens vom
9. April 2021, S. 10 f. bzw. 26 f.)
9 Vgl. Antwort zur Frage 2.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 3 f. bzw. 19 f.)
10 Vgl. Schreiben vom 9. April 2021, S. 1 f.
11 Vgl. Antwort zur Frage 6 (Anhang 1 des Schreibens vom 9. April 2021, S. 7 bzw. 23)
12 Vgl. Antwort zur Zusatzfrage 2 (Anhang 1 bzw. 2 des Schreibens vom 10. Mai 2021).






10/44



d. Um Marketingkommunikation zuzustellen z.B. Nutzerumfragen und Werbeaktio-
nen;
e. Weitergabe an Dritte zu Marketingzwecken. 13
2.2.5. Weitere Massnahmen zur Missbrauchsbekämpfung
25. Neben der Verifizierung bei der Registrierung und der halbautomatisierten Bildermoderation
implementiert die Once Dating AG auch die folgenden Massnahmen und bearbeitet dabei
Personendaten der Nutzer, um Fake-Profile und andere Nutzermissbräuche zu erkennen und
zu bekämpfen:
a. Nutzerberichten: An 3 Endpunkten in der App haben die Nutzer die Möglichkeit,
«bösartiges Verhalten» anderer Nutzer zu melden.
b. Regelmässige IP-Prüfungen (und evtl. Blockierung): IP-Adressen aus bestimmten
Ländern, die als besonders riskant eingeschätzt werden, die bereits von anderen
bekannten betrügerischen Nutzern verwendet worden sind oder die zu Dritten ge-
hören, die VPN anbieten und als betrügerisch bekannt sind, können blockiert wer-
den.
c. Punkte im Bewertungssystem: auf Basis von Nutzerberichten wurde ein Bewer-
tungssystem implementiert, welches betrügerische Profile gemäss den folgenden
Kriterien erkennt: Nutzerberichte, Wahrscheinlichkeit, dass es sich um eine betrü-
gerische Telefonnummer handelt, letzte bekannte IP-Adressen, Bewertungsver-
halten (Geschwindigkeit und Bewertung), Grösse der Beschreibung.
d. Manuelle Moderation: Die Once Dating AG führt täglich eine manuelle Moderation
durch, um andere Probleme zu beheben und um Scammer-Muster zu entdecken.
e. Kundenbetreuung: die Nutzer können sich an den Kundendienst wenden, um
Probleme (inkl. gefälschte Profile) zu melden. Die Once Dating AG hat ein Team
von 2 Personen, die, unter der Aufsicht des CPO, Tickets in 4 Sprachen verwal-
ten.14
2.2.6. Bekanntgabe von Personendaten der Nutzer an Dritte
26. Gemäss der Datenschutzrichtlinie von der Once Dating AG können Personendaten der Nut-
zer an die folgenden Dritten übermittelt werden: andere Nutzer von Once und «Dritten, die
auf Rechnung von Once bestimmte Leistungen erbringen».15
2.2.7. Bekanntgabe von Personendaten an andere Nutzer der App
27. Mit Ausnahme der Fotos, die im «Bewertungsbildschirm» von anderen Nutzern eingesehen
werden können, sind die Profilinformationen eines Nutzers oder einer Nutzerin nur für diejeni-
gen Personen zugänglich, die vom Algorithmus als «Match des Tages» ausgewählt wurden.16


13 Vgl. Antworten zu Fragen 25.3 und 28.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 16 f. bzw. 32 f.)
14 Vgl. Antwort zur Frage 14.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 11 f. bzw. 27 f.)
15 Vgl. Datenschutzrichtlinie vom 26.05.2020, Ziff. 4 «Weitergabe Ihrer personenbezogenen Daten», verfügbar
unter https://getonce.com/de/terms#privacy [aufgerufen am 21.04.2021]
16 Vgl. Antwort zur Frage 4.1 (Anhang 1 des Schreibens vom 9. April 2021, S. 4 bzw. 20 f.)






11/44



28. Nicht registrierte Nutzer haben keine Möglichkeit, auf Personendaten registrierter Nutzer zu-
zugreifen.17
2.2.8. Bekanntgabe von Personendaten an Dienstleister/Partner
29. Gemäss der Datenschutzrichtlinie von Once Dating AG, können Personendaten der Nutzer
«mit Dritten ausgetauscht werden, «die auf Rechnung von Once bestimmte Leistungen er-
bringen, wie zum Beispiel externen Dienstleistern insbesondere für Hosting und Pflege der
Daten, Analysen, Kundendienst, Zahlungsabwicklung und Sicherheitsmaßnahmen.».18 «Aus-
tausch» soll hier gemäss der Once Dating AG als «Bekanntgabe» verstanden werden, weil
die Once Dating AG keine personenbezogenen Daten von Nutzern von Dritten erhält, abge-
sehen von den Daten, die mit dem Facebook SDK beim Facebook-Login übertragen wer-
den.19
30. Diese Datenbekanntgaben erfolgen im Zusammenhang mit folgenden Bearbeitungszwecken:
Kundensupport, Zahlungsabwicklung und Sicherheitsoperationen sowie Analysen für Marke-
tingzwecke. Die Once Dating AG verlässt sich auf externe Partner oder Dienstleister in die-
sen Bereichen, um einen sicheren und hochwertigen Service zu betreiben, weil sie nicht alle
Kompetenzen oder technischen Bausteine im Haus hat.20
31. Die nachfolgenden Partner erhalten Zugriff auf folgende Daten:21:
Dienstleister
Dienst
Kategorien der im Auftrag bear-
beiteten Daten
Facebook
App-Analytik22: Messung und Visualisie-
rung aller In-App-Ereignisse, Funnels,
Kohorten, etc.
App-Ereignisse, Telefonumgebung
(Plattform, OS, App-Version), ano-
nymisierte Benutzerinformationen
(Geschlecht, Plattform, Land), u-
did23
Facebook Login
Facebook-Konto
Google Ana-
lytics und
Firebase
App-Analytik: Messung und Visualisie-
rung aller In-App-Ereignisse, Funnels,
Kohorten, etc.
App-Ereignisse, Telefonumgebung
(Plattform, OS, App-Version, udid),
anonymisierte Benutzerinformatio-
nen (Geschlecht, Plattform, Land,
IP-Adresse)





17 Vgl. Antwort zur Frage 4.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 5 bzw. 21 f.)
18 Vgl. Datenschutzrichtlinie vom 26.05.2020, Ziff. 2 «Arten von erhobenen personenbezogenen Daten», verfüg-
bar unter https://getonce.com/de/terms#privacy [aufgerufen am 21.04.2021]
19 Vgl. Antwort zur Frage 5.3 (Anhang 1 des Schreibens vom 9. April 2021, S. 7 bzw. 23)
20 Vgl. Antworten zur Fragen 5.1 und 5.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 5 f. bzw. 21 f.)
21 Vgl. Antworten zur Fragen 5.1 und 5.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 5 f. bzw. 21 f.), Antwort
zur Zusatzfrage 1 (Anhang 1 bzw. 2 des Schreibens vom 10. Mai 2021) und Änderungsvorschlag 1 (Anhang 1
des Schreibens vom 21. Juli 2021, S. 2 bzw. 3)
22 Das Tool Facebook Analytics wird am 30. Juni 2021 von Facebook eingestellt. Vgl. Facebook, Facebook Analy-
tics wird eingestellt, verfügbar unter https://www.facebook.com/business/help/ 966883707418907 [aufgerufen am
26.04.2021].
23 Udid ist ein Akronym für «Unique Device Identifier». Dies ist eine eindeutige Kennung für jedes Apple-Gerät.






12/44



Batch
Reengagement-Dienste: ermöglicht das
Senden von Push-Benachrichtigungen
an Benutzer, basierend auf Ereignissen
und Auslösern.
App-Ereignisse, Telefonumgebung
(Plattform, Betriebssystem, App-
Version), Benutzerinformationen
(Geschlecht, Plattform, Alter, Land,
Standort, Trinkvorlieben, Grösse,
Politik, Religion, Sexualität)
Adjust
Analytik und Werkzeug zur Attributions-
erkennung
Anonyme Benutzerkennung, App-
Sitzungen (von Adjust SDK abgeru-
fen), Umsatz, udid
Paypal
Online Bezahldienst.
Anonyme Benutzerkennung
Stripe
Online Bezahldienst.
Anonyme Benutzerkennungen, Kre-
ditkartennummer, E-Mail-Adresse
Sightengine
Bildanalyse zur Moderation
Anonyme Benutzerkennungen und
Bilder
Telesign
Überprüft die Telefonnummer, die für die
Benutzerauthentifizierung bei der An-
meldung verwendet wird. Sendet einen
6-stelligen Code zur Verifizierung, damit
sich der Benutzer anmelden kann.
Rufnummer
Logentries24
Werkzeug zur Verwaltung von Protokol-
len
Anonyme Benutzerkennung

Airbrake
Crash-Reporting-Werkzeug
Anonyme Benutzerkennung
Sendgrid
Reengagement-Dienste: ermöglicht das
Senden von E-Mails an Benutzer, basie-
rend auf Ereignissen und Auslösern
E-Mail-Adresse
Looker
Visualisiert die wichtigsten Daten, um
sie zu analysieren, Berichte zu erstellen
und Entscheidungen zu treffen.
Anonyme Benutzerkennungen, Pro-
duktereignisse, Geschlecht, Be-
triebssystem, Alter
Zendesk
Cloudbasierte Kundensupport-Plattform.
Anonyme Benutzerkennung, E-
Mail-Adresse und Konversationen
mit unserem Kundensupport
Vonage
Videochats zwischen Nutzern, nachdem
die Zustimmung eingeholt wurde.
Anonyme Benutzerkennung und Vi-
deo
Apple
Apple Sign-In
E-Mail-Adresse für Apple-Anmel-
dung
Tabelle 1
32. Grösstenteils erfolgen diese Datenbekanntgaben an Dienstleister/Partner über Programmier-
schnittstellen (API), welche durch das Einbauen von vorgefertigten Code-Bausteinen (SDK)


24 Dieser wird gemäss der Once Dating AG derzeit entfernt.






13/44



der Dienstleister in den Code der App Once ausgelöst werden. Durch die Integration dieser
SDK werden viele Funktionen der App durch Algorithmen, welche von Dritten entwickelt wer-
den, ausgeführt.
33. Einige dieser Algorithmen von Dritten führen eine Trackingfunktion aus. Dabei werden Perso-
nendaten der Nutzer durch Ditte bearbeitet, um das Nutzerverhalten zu verfolgen: Facebook
Analytics, Google Analytics, Batch, Firebase,25 Adjust26, Telesign27, Sendgrid28, Looker29, Vo-
nage30 und Airbrake31.
34. Die Werbe-ID der Nutzer (IDFA für iOS, GPS-ADID für Google) wird an den Dienstleister Ad-
just übermittelt, der seinerseits die Werbe-ID an Dritte (insbesondere Facebook und Google)
für Werbezwecke weitergibt. Die Once Dating AG speichert jedoch die IDFA oder GPS-ADID
der Nutzer nicht auf ihren Servern und verknüpft keine Daten der Nutzer zu deren Werbe-
ID.32


25 Vgl. Antwort zur Fragen 27, 27.1 und 27.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 16 bzw. 33)
26 Adjust wurde zwar nicht in der Antwort von Once Dating AG zur Frage 27.1 erwähnt, wird aber gemäss ihrer
Antwort zur Frage 23 hier auch aufgeführt. (Anhang 1 des Schreibens vom 9. April 2021, S. 15 bzw. 32)
27 Telesign wurde zwar nicht in der Antwort von Once Dating zur Frage 27.1 erwähnt, wird aber aufgrund der ge-
mäss der Privacy Notice erhobenen Daten hier aufgeführt. Vgl. Privacy Notice von Telesign, verfügbar unter:
https://www.telesign.com/privacy-notice [aufgerufen am 18.05.2021].
28 Sendgrid wurde zwar nicht in der Antwort von Once Dating zur Frage 27.1 erwähnt, wird aber aufgrund der ge-
mäss dem Privacy Statement von Twilio möglicherweise erhobenen Daten hier aufgeführt. Vgl. Twilio Privacy
Statement, verfügbar unter: https://www.twilio.com/legal/privacy#how-twilio-processes-your-end-users-personal-
information [aufgerufen am 18.05.2021]
29 Looker wurde zwar nicht in der Antwort von Once Dating zur Frage 27.1 erwähnt, wird aber aufgrund der ge-
mäss der Privacy Policy von Looker möglicherweise erhobenen Daten hier aufgeführt. Vgl. Ziff. 2 der Privacy Po-
licy, verfügbar unter https://looker.com/trust-center/privacy/policy [aufgerufen am 18.05.2021]
30 Vonage wurde zwar nicht in der Antwort von Once Dating zur Frage 27.1 erwähnt, wird aber aufgrund der ge-
mäss der Privacy Policy von Vonage möglicherweise erhobenen Daten hier aufgeführt. Vgl. https://www.vo-
nage.com/legal/privacy-policy/?icmp=footer_legalpolicy_privacy [aufgerufen am 18.05.2021]
31 Airbrake wurde zwar nicht in der Antwort von Once Dating zur Frage 27.1 erwähnt, wird hier aber aufgeführt,
weil gemäss der Airbrake Privacy Notice Drittdienste wie bspw. Google Analytics Daten von Airbrake Nutzern er-
heben können. Vgl. https://airbrake.io/privacy#information-collected [aufgerufen am 18.05.2021].
32 Vgl. Antworten zur Fragen 22 bis 25 (Anhang 1 des Schreibens vom 9. April 2021, S. 15 f. bzw. 32)






14/44



35. Gewisse Dienstleister behalten sich das Recht vor, die ihnen durch Once Dating AG bereitge-
stellten Daten im eigenen Interesse zu nutzen. Diese sind: Facebook, Google,33 Sendgrid34,
Looker35, Vonage36 und Paypal37.38
2.2.9. Bekanntgabe von Personendaten ins Ausland
36. Gemäss der Datenschutzrichtlinie der Once Dating AG erfolgt manchmal eine Datenbekannt-
gabe ins Ausland, wenn Daten an Dritte weitergegeben werden. Für die Übermittlung von Da-
ten in Länder, die kein angemessenes Datenschutzniveau aufweisen, wie zum Beispiel die
USA, beruft sich die Once Dating AG auf EU-Standardvertragsklauseln oder «andere geeig-
nete Schutzklauseln, um diesen Datenübertragungen einen festen Rahmen zu verleihen und
die Geheimhaltung und Sicherheit Ihrer Daten abzusichern.».39
37. Auf die Frage, in welchem Rahmen eine Datenübertragung in Länder ohne angemessenes
Datenschutzniveau erfolgt und welche Personendaten davon betroffen sind, gab die Once
Dating AG lediglich den Cloud-Anbieter Amazon Web Services an, welche die Daten von der
App Once hostet, wobei alle Daten in der EU (Irland) gespeichert werden, ausser den Fotos
der Nutzer, die in einer AWS-Instanz in den USA gespeichert werden40.


33 Vgl. Antwort zur Zusatzfrage 1 (Anhang 1 bzw. 2 des Schreibens vom 10. Mai 2021).
34 Sendgrid wurde zwar nicht in der Antwort von Once Dating AG zur Zusatzfrage 1 erwähnt, wird aber gemäss
dem Privacy Statement von Twilio hier aufgeführt. «When we process Customer Usage Data, we act as a proces-
sor in many respects, but we may act as a controller in others. For example, we may need to use certain Cus-
tomer Usage Data for the legitimate interests of billing, reconciling invoices with telecommunications carriers, and
in the context of troubleshooting and detecting problems with the network. (…) » Vgl. Twilio Privacy Statement,
verfügbar unter: https://www.twilio.com/legal/privacy#how-twilio-processes-your-personal-information [aufgerufen
am 18.05.2021]
35 Looker wurde zwar nicht in der Antwort von Once Dating AG zur Zusatzfrage 1 erwähnt, wird aber gemäss der
Privacy Policy von Looker hier aufgeführt. Vgl. Privacy Policy von Looker, verfügbar unter: https://loo-
ker.com/trust-center/privacy/policy [aufgerufen am 18.05.2021]
36 Vonage wurde zwar nicht in der Antwort von Once Dating AG zur Zusatzfrage 1 erwähnt, wird aber gemäss der
Privacy Policy von Vonage hier aufgeführt. Vgl. Vonage Privacy Policy, verfügbar unter: https://www.vo-
nage.com/legal/privacy-policy/?icmp=footer_legalpolicy_privacy [aufgerufen am 18.05.2021]
37 Paypal wurde zwar nicht in der Antwort von Once Dating AG zur Zusatzfrage 1 erwähnt, wird aber gemäss der
Privacy Policy von Paypal hier aufgeführt. Vgl. Privacy Policy, verfügbar unter:
https://www.paypal.com/ch/webapps/mpp/ua/privacy-full?locale.x=en_CH#7 [aufgerufen am 18.05.2021]
38 Zwischen der Zustellung der Sachverhaltsfeststellung und der Erarbeitung des Schlussberichts wurde die Pri-
vacy Notice von TeleSign überarbeitet. Gemäss den neuen Bestimmungen behält sich die TeleSign nicht mehr
vor, Daten, die sie im Auftrag erhält, für eigene Zwecke zu bearbeiten. «In den meisten Fällen sind wir ein "Daten-
verarbeiter", d.h. wir verarbeiten Persönliche Daten, die wir von Organisationen (TeleSigns "Kunden") für die Er-
bringung unserer Dienstleistungen erhalten. […] Als Datenverarbeiter erheben und verwenden wir Ihre personen-
bezogenen Daten in Übereinstimmung mit den vertraglichen Verpflichtungen, die wir mit unseren Kunden ha-
ben.». Deshalb wird TeleSign in dieser Auflistung nicht mehr aufgeführt. Vgl. Hinweis zum Datenschutz, verfügbar
unter: https://www.telesign.com/privacy-notice [aufgerufen am 15.02.2022]
39 Vgl. Datenschutzrichtlinie vom 26.05.2020, Ziff. 5 «Übertragung von personenbezogenen Daten», verfügbar
unter https://getonce.com/de/terms#privacy [aufgerufen am 21.04.2021]
40 Vgl. Antworten zur Fragen 15.1 und 15.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 12 bzw. 28 f.)






15/44



38. Die gemäss Once Dating AG als Schutzklausel einschlägige AWS Kundenvereinbarung hält
zum Datenschutz Folgendes fest:
«3.2 Datenschutz. Sie können die AWS Regionen benennen, in denen Ihre Inhalte gespeichert werden.
Sie stimmen der Speicherung Ihrer Inhalte in den von Ihnen gewählten AWS Regionen sowie deren Über-
tragung in diese AWS Regionen zu. Wir werden nicht auf Ihre Inhalte zugreifen oder diese nutzen, es sei
denn, dies ist notwendig, um die Serviceangebote zu warten oder anzubieten oder erforderlich, um die
Gesetze einzuhalten oder einer verbindlichen Anordnung einer staatlichen Stelle nachzukommen. Wir
werden Ihre Inhalte (a) nicht an staatliche Stellen oder Dritte weitergeben oder (b) Ihre Inhalte, vorbehalt-
lich Ziffer 3.3, nicht in andere als die von Ihnen gewählten AWS-Regionen verlagern, es sei denn, dies ist
im Einzelfall erforderlich, um Gesetze einzuhalten oder einer verbindlichen Anordnung einer staatlichen
Stelle nachzukommen. Wir werden Sie über eine rechtliche Verpflichtung oder Anordnung im Sinne dieser
Ziffer 3.2 informieren, es sei denn, dies ist uns gesetzlich oder durch die Anordnung einer staatlichen Stelle
untersagt. Wir werden Ihre Account Informationen nur der Datenschutzerklärung entsprechend verwen-
den, und Sie stimmen hiermit einer solchen Nutzung zu. Die Datenschutzerklärung ist auf Ihre Inhalte nicht
anwendbar.» 41
39. Wir stellen aber aus der von der Once Dating AG bereitgestellten Partnerliste fest, dass ver-
schiedene Dienstleister, mit denen die Once Dating AG zusammenarbeitet, in ihren Daten-
schutzerklärungen bzw. Nutzungsbedingungen ankündigen, dass sie Personendaten von
Endkunden in Drittländer (z.B. USA) übermitteln. Ein angemessener Schutz der Daten in dem
Zielland werde gemäss den Partnern durch EU-Standardvertragsklausel oder eine Zertifizie-
rung unter dem Privacy Shield Framework gewährleistet. Diese sind: Google (Google Analy-
tics, Firebase und Looker42), Facebook43, Adjust44; Paypal45; Stripe46; Sightengine47;


41 Vgl. AWS Kundenvereinbarung, verfügbar unter https://d1.awsstatic.com/legal/aws-customer-agree-
ment/AWS_Customer_Agreement-German_2020-11-30.pdf [aufgerufen am 28.04.2021]
42 Vgl. Rechtliche Rahmenbedingungen für Datenübermittlungen, verfügbar unter https://policies.google.com/pri-
vacy/frameworks?hl=de und Ziff. 10 der Data Processing and Security Terms for Looker Services (Customers),
verfügbar unter https://looker.com/trust-center/legal/customers/dpst [aufgerufen am 28.04.2021]
43 Vgl. Informationen für Unternehmen, verfügbar unter https://www.facebook.com/business/gdpr [aufgerufen am
28.04.2021]
44 Vgl. Annex “General Terms and Conditions for Data Processing”, verfügbar unter https://www.ad-
just.com/terms/general-terms-and-conditions/?entity=rest-of-world [aufgerufen am 28.04.2021]
45 Vgl. Ziff. 7 der Datenschutzerklärung, verfügbar unter https://www.paypal.com/ch/webapps/mpp/ua/privacy-
full?locale.x=en_CH#7 [aufgerufen am 28.04.2021]
46 Vgl. Ziff. 7 der «Global Privacy Policy – World», verfügbar unter https://stripe.com/gb/privacy#international-
data-transfers [aufgerufen am 28.04.2021]
47 Vgl. Data Processing Addendum, verfügbar unter https://s3-eu-west-1.amazonaws.com/static.sighten-
gine.com/legal/20191212-dpa.pdf und Liste von Sub-Processors, verfügbar unter https://sightengine.com/poli-
cies/subprocessors [aufgerufen am 28.04.2021]






16/44



Telesign48; Rapid749; Airbreak50; Twilio (Sendgrid)51; Zendesk52 und Vonage53. Also alle aus-
ser Batch54.
40. Gemäss den «Internen Datenschutz-Policies», welche die Once Dating AG im Hinblick auf
das neue DSG erarbeitet und gemäss ihrer Anwältin Fr.
noch als «Work in Progress»
zu betrachten sind, dürften Auftragnehmer der Once Dating AG keine Personendaten in Dritt-
ländern ohne die Zustimmung der Once Dating AG übermitteln. Sollte die Once Dating AG
dies jedoch erlauben, dann würde sie als Auftraggeberin in der Regel sicherstellen, dass sich
die fraglichen Datenübermittlungen auf die von der EU genehmigten Standardvertragsklau-
seln für die Übertragung persönlicher Daten stützen.55
2.3. Aufbewahrung und Löschung von Personendaten
2.3.1. Deaktivierung von Konten auf Verlangen
41. Nutzer können ihr Konto jederzeit selbst in der App deaktivieren, indem sie unter den Einstel-
lungen die Option «Mein Konto deaktivieren» wählen. Wenn eine Nutzerin oder Nutzer dies
tut, wird ihr oder sein Profil für andere Mitglieder unsichtbar gemacht. Eine Reaktivierung ist
innerhalb eines Jahres möglich, weil die Informationen des Kontos für 1 (ein) Jahr nach dem
Deaktivierungsdatum aufbewahrt werden.56
2.3.2. Löschung von Konten bzw. Personendaten der Nutzer auf Verlangen
42. Man findet zwar keine eigenständige In-App Option unter den Einstellungen («Paramètres»)
für das Löschen des Kontos mit entsprechenden Personendaten, aber es besteht seit 2017
die Möglichkeit, einen Löschungsantrag durch das Auswählen der Option «ich will mein


48 Vgl. Privacy Notice von Telesign, verfügbar unter: https://www.telesign.com/privacy-notice [aufgerufen am
15.05.2022]
49 Vgl. Rapid7 Privacy Policy, verfügbar unter: https://www.rapid7.com/de/privacy-policy/ [aufgerufen am
28.04.2021]
50 Vgl. Airbreak Privacy Policy, verfügbar unter: https://airbrake.io/privacy [aufgerufen am 28.04.2021]
51 Vgl. Twilio Privacy Statement, verfügbar unter: https://www.twilio.com/legal/privacy#transfers-of-personal-infor-
mation-out-of-the-eea-and-switzerland [aufgerufen am 28.04.2021]
52 Vgl. Ziff. 8 der «Privacy Policy von Zendesk», verfügbar unter: https://www.zendesk.com/company/customers-
partners/privacy-policy/#international-transfer-of-personal-information [aufgerufen am 28.04.2021]
53 Vgl. Privacy Policy von Vonage, verfügbar unter: https://www.vonage.com/legal/privacy-policy/?icmp=footer_le-
galpolicy_privacy [aufgerufen am 28.04.2021]
54 Vgl. Ziff. 2.8 des Data Processing Agreements - Batch und Once Dating, verfügbar unter:
https://drive.google.com/file/d/1UU8BbAPK5KaKVGzBkW6O_k_xawhQ3a31/view [aufgerufen am 28.04.2021]
55 Vgl. Ziff. 11 des Data Processing Addendums (Beilage 1 zum Schreiben vom 9. April 2021, S. 11)
56 Vgl. Antwort zur Frage 16.1 (Anhang 1 des Schreibens vom 9. April 2021, S. 12 f. bzw. 29) und FAQ von Once,
verfügbar unter https://getonce.com/de/faq#wie-deaktiviere-ich-mein [aufgerufen am 21.04.2021]






17/44



Konto löschen» über den In-App Kontaktkanal («Nous contacter») einzureichen, wie folgende
Abbildung zeigt:57
43. Somit können Löschbegehren entweder per Brief an die Adresse der Once Dating AG in Pfäf-
fikon SZ, per E-Mail an hello@getonce.com oder über den Kontaktkanal in der App einge-
reicht werden. Die Bearbeitungszeit von Löschbegehren beträgt gemäss Angaben der Once
Dating AG 24 Stunden und erfolgt seit Mai 2021 in automatisierter Form mithilfe eines Lö-
schungs-Skripts, welches täglich ausgeführt wird.58
44. Gemäss der Datenschutzrichtlinie der Once Dating AG sollen Datenschutzbegehren jedoch
an die E-Mail-Adresse dpo@getonce.com gerichtet werden, wo sie in der Regel innerhalb
von zwei Monaten nach Eingang von der Once Dating AG bearbeitet werden. In der Daten-
schutzrichtlinie wird ausserdem ausgeführt, dass der Anfrage eine Kopie eines mit der Unter-
schrift des Inhabers versehenen Ausweisdokuments beizufügen ist. Darüber hinaus werden
die Betroffenen darauf hingewiesen, dass falls «sich die Anfragen eines Mitglieds als deutlich
unbegründet oder über das Maß hinausgehend herausstellen (insbesondere aufgrund ihres
sich wiederholenden Charakters), ist Once [Dating AG] berechtigt, i) angemessene Aufwen-
dungen geltend zu machen, die den Verwaltungskosten für die Bereitstellung der Informatio-
nen, den Kommunikationsaufbau oder das Ergreifen der angefragten Maßnahmen Rechnung
tragen, oder ii) sich weigern, diesen Anträgen Folge zu leisten.».59
45. In der FAQ zu Once wird die Frage «Wie kann ich mein Konto endgültig löschen, anstatt es
nur zu deaktivieren?» wie folgt beantwortet: «Wenn du dein Konto dauerhaft löschen


57 Vgl. Änderungsvorschlag 3 (Anhang 1 des Schreibens vom 21. Juli 2021, S. 2 bzw. 3)
58 Vgl. Antwort zur Frage 18 (Anhang 1 des Schreibens vom 9. April 2021, S. 14 bzw. 30)
59 Datenschutzrichtlinie vom 26.05.2020, Ziff. 9 «Ihre Rechte», verfügbar unter https://getonce.com/de/terms#pri-
vacy [aufgerufen am 21.04.2021]
Abbildung 4: Screenshot des Kontaktkanals in der App Once («Nous contacter»)






18/44



möchtest, sende uns eine Nachricht mit deiner Telefonnummer, deiner E-Mail-Adresse oder
deiner Facebook-E-Mail-Adresse, damit wir dein Profil finden können. Bitte bedenke, dass
alle Vorschläge und alle Profildaten dabei verloren gehen und diese Aktion nicht rückgängig
gemacht werden kann.». Es wird jedoch nicht präzisiert, wie bzw. über welchen Kommunika-
tionskanal man diese «Nachricht» der Once Dating AG senden kann.60
46. Die Once Dating AG hat in ihrer Antwort zu unserer Frage Nr. 19 ausgeführt, dass sämtliche
Personendaten der Nutzer gelöscht werden, wenn diese es verlangen; in ihrer Antwort zu un-
serer Frage Nr. 16.1 jedoch festgehalten:«…identifizierenden Daten des Mitglieds werden für
1 (ein) Jahr nach diesem Datum aufbewahrt, für den Fall, dass betrügerisches Verhalten ge-
meldet wird oder Beschwerden von einem anderen Mitglied gegen das Mitglied vorgebracht
werden».
47. Once Dating AG hat hierzu klargestellt, dass in der Regel alle personenbezogenen Daten von
Nutzern innert 24 Stunden nach dem Eingang eines Löschbegehrens automatisch gelöscht
werden, mit Ausnahme des Falles, dass ein Nutzer mit betrügerischem Verhalten auf der App
identifiziert wurde und bereits blockiert wurde. Nur in diesem Fall würden die Daten, die die
Nutzerin oder der Nutzer bei der Anmeldung angegeben hat, sowie alle In-App-Aktivitätsda-
ten der Nutzerin oder des Nutzers für 1 (ein) Jahr nach dem Datum der Blockierung aufbe-
wahrt bevor sie endgültig gelöscht werden.61
2.3.3. Deaktivierung und Löschung von Konten von inaktiven Nutzern
48. Die App Once führt weder eine automatisierte Löschung noch eine Deaktivierung von inakti-
ven Konten durch. Gemäss Angaben der Once Dating AG werden jedoch die Profile von Nut-
zern, die für eine lange Zeit die App nicht mehr genutzt haben, «in verschiedenen Dimensio-
nen depriorisiert». Zuerst erfolgt eine De-Priorisierung der inaktiven Nutzer in dem Match-Ma-
king-Prozess, wenn sie die App seit mehr als 2 Wochen nicht genutzt haben. Nutzen sie die
App seit mehr als 30 Tagen nicht, werden sie in der Datenbank von Once inaktiv. Dies hat
zur Folge, dass sie keine Kommunikation (E-Mail, Benachrichtigungen) mehr von der Once
Dating AG erhalten, aus ihrer Mailingliste gelöscht werden und nicht mehr für User Experi-
ence Umfragen und Fokusgruppen ausgewählt werden.62
2.3.4. Löschung von Personendaten bei Dritten
49. Auf unsere Frage, wie die Datenlöschung bei der Inanspruchnahme von Diensten Dritter si-
chergestellt wird, teilte uns die Once Dating AG mit, dass sie sich auf Dritte verlasse, um die
Daten von gelöschten Nutzern zu löschen. Sie habe allerdings aktuell keinen proaktiven Pro-
zess, um eine sofortige Löschung von Daten, die durch Dritte im Auftrag bearbeitet werden,
zu beantragen, obwohl die Vereinbarungen, die sie mit diesen Dienstleistern geschlossen ha-
ben, die Möglichkeit vorsehen, dass sie auf Anfrage der Once Dating AG die Nutzerdaten lö-
schen.63
50. Die neuen internen Policies der Once Dating AG beinhalten die folgende Vorgabe zur Lö-
schung von Personendaten, die durch Dritte bearbeitet werden:
“Each employee who works with personal data shall take all reasonable measures for the destruction and
deletion from all systems of all personal data which is not necessary anymore and in compliance with the


60 Vgl. Antwort FAQ von Once, verfügbar unter https://getonce.com/de/faq#wie-kann-ich-mein-konto-endgultig-
anstatt-es-nur-zu [aufgerufen am 21.04.2021]
61 Vgl. Antwort zur Zusatzfrage 3 (Anhang 1 bzw. 2 des Schreibens vom 10. Mai 2021)
62 Vgl. Antwort zur Frage 3.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 4 bzw. 20)
63 Vgl. Antwort zur Frage 21 (Anhang 1 des Schreibens vom 9. April 2021, S. 14 f. bzw. 31 f.)






19/44



rules and keeping policies of Once – this may include the obligation third parties to be required to delete
these personal data.”64
2.4. Datensicherheit
2.4.1. Entwicklung der App
51. Gemäss der Once Dating AG wurde die App Once nicht nach einem besonderen Standard
hinsichtlich Datenspeicherung und Datenschutz (OWASP; ISO, NIST etc.) entwickelt, aber
die Datenschutzkonformität wurde dadurch gewährleistet, dass die Once Dating AG die Ent-
wicklung der Datenschutzvorschriften verfolgt hat und den Rat ihrer Rechtsberater in Bezug
auf den Datenschutz bei der Entwicklung der App berücksichtigt hat. Die Once Dating AG ist
der Auffassung, dass die Sicherheit der Daten dadurch gewährleistet wird, dass die Entwick-
lung der Anwendung von Senior Ingenieuren durchgeführt wird, die Erfahrung mit ähnlichen
Anwendungen und in einem hochkritischen Kontext gesammelt haben (z. B. Militär,
Amadeus, etc.), die Datenspeicherung gemäss den best practices der AWS-Sicherheit erfolgt
und die Infrastruktur über Sicherheitsgruppen und IP-Filterung in mehrere Bereiche mit einge-
schränktem Zugriff aufgeteilt wird.
2.4.2. Schwachstellentests
52. Die Once Dating AG bearbeitet aufgrund des Zwecks Partnervermittlung sensible Daten der
Nutzer, unter anderem auch besonders schützenswerten Daten. Auch wenn diese - auf der
Netzwerkebene geschützt - auf einem anderen System liegen, sind sie doch über die App er-
reichbar. Es wurden bisher weder Audits noch Penetrations-Tests durchgeführt, um die Si-
cherheit der App durch externe Schwachstellentests überprüfen zu lassen. Im Moment wer-
den nur interne Schwachstellentests durchgeführt. Änderungen werden von einer zweiten
Person des Teams auf mehrere Aspekte hin, inkl. die Implikationen der Änderungen aus
Sicht des Datenschutzes, überprüft und analysiert, bevor sie aufgeschaltet werden. 65
2.4.3. Monitoring und Patchen
53. Das Monitoring bei Once erfolgt mittels Alarmierung bei Verbindungen zu kritischen Maschi-
nen. Das regelmässige Patchen wird sichergestellt, indem die App typischerweise alle 2 Wo-
chen gepatcht wird. Dies erfolgt durch vollständige Bereitstellungen der API-Infrastruktur.66
2.4.4. Verschlüsselung
54. Die Datenübertragungen zwischen dem Endgerät der Nutzer und den Servern von Once
(AWS) erfolgen über verschlüsselte HTTPS-Verbindungen (HTTP over TLS). In der Cloud
angekommen, werden die Daten aber wieder vollständig entschlüsselt. Damit hat der Cloud-
Anbieter ungehindert Zugriff auf die Daten, da diese im Ruhezustand (Data at Rest) weder
pseudonymisiert noch verschlüsselt werden.67
2.4.5. Zugriffskontrollen


64 Vgl. Ziff. 9 der Internal General Data Protection Guidance (Beilage 1 zum Schreiben vom 9. April 2021, S. 18 f.)
65 Vgl. Antworten zur Fragen 8, 11 und 12 (Anhang 1 des Schreibens vom 9. April 2021, S. 9 f. bzw. 25 f.)
66 Vgl. Antwort zur Frage 12 (Anhang 1 des Schreibens vom 9. April 2021, S. 10 bzw. 26)
67 Vgl. Antworten zu Fragen 9 und 10 (Anhang 1 des Schreibens vom 9. April 2021, S. 9 bzw. 25)






20/44



55. Der Zugriff auf Nutzerdaten wird einerseits durch VPN und IP-Beschränkungen und anderer-
seits durch Zugriffsberechtigungen eingeschränkt. Ergänzend sind Ratenbegrenzung auf IP-
Adressen für die Administration und für die öffentliche API implementiert mit dem Ziel, einen
brute force Angriff auf Authentifizierungstoken zu verhindern. Die Administration ist über ein
VPN mit persönlichem Zugriff nur für Teammitglieder erreichbar. Das Verwaltungstool ist mit
persönlichen Anmeldeinformationen eingeschränkt, wonach jeder Nutzer nur auf diejenigen
Daten zugreifen kann, die er benötigt. Ausserdem werden die Daten gemäss den Sicherheits-
massnahmen von AWS gespeichert.68 Logdaten und Protokolle sind durch persönliche Zu-
gangsdaten geschützt, die nur an Personen weitergegeben werden, die Zugang zu den Pro-
tokollen benötigen.69
56. Gemäss der uns von der Once Dating AG zugestellten AWS Kundenvereinbarung ist die
Once Dating AG «für die ordnungsgemäße Konfiguration und Nutzung der Serviceangebote
verantwortlich» und muss «angemessene Maßnahmen ergreifen zur Sicherung, zum Schutz
und zum Backup Ihrer Accounts und Ihrer Inhalte, wozu die Nutzung von Verschlüsselungs-
technologie zum Schutz Ihrer Inhalte vor unberechtigtem Zugriff sowie eine regelmäßige Ar-
chivierung gehören können.». AWS ergreift ihrerseits «zumutbare und angemessene Maß-
nahmen», um der Once Dating AG «zu helfen, Ihre Inhalte gegen zufällige oder rechtswidrige
Verluste, Zugriffe oder Offenlegung zu schützen».70
57. In den neuen internen Datenschutz-Policies werden die technischen und organisatorischen
Massnahmen zum Schutz der Daten allgemein unter Ziff. 10.1 des Dokuments «Internal Ge-
neral Data Protection Guidance»71 sowie in Details im Dokument «Technical and Organisatio-
nal Measures (TOMS)»72 umschrieben. Diese Massnahmen sind ein «Work-in-Progress» und
wurden noch nicht implementiert.
2.5. Logging
58. Gemäss der Datenschutzrichtlinie der Once Dating AG werden Daten über die Nutzung der
Webseite und der App Once erfasst, wobei alle über die Website und die App realisierten Ak-
tionen sowie die Verbindungen, Verbindungszeiten und die gesamten Interaktionen der Nut-
zer mit den anderen Nutzern protokolliert werden. Gemäss Angaben der Once Dating AG
werden Logdaten aggregiert und ausschliesslich zur Analyse der Applikationsperformance
ausgewertet. Logdaten werden für 1 Monat aufbewahrt. 73
2.6. Einwilligung und Datenschutzeinstellungen der App
59. Die Once Dating AG rechtfertigt die Bearbeitung aller Daten, die sie von Nutzern erhebt, auf
der Grundlage der Einwilligung der betroffenen Personen (Nutzerin oder Nutzer). Gemäss
der Once Dating AG erteilen die Nutzer im Rahmen der Anmeldung74 eine Einwilligung zur
Bearbeitung von «Daten, die während des Anmeldevorgangs gesammelt werden, sowie auf


68 Vgl. Antworten zu Fragen 13 und 13.1 (Anhang 1 des Schreibens vom 9. April 2021, S. 10 bzw. 26)
69 Vgl. Antworten zur Frage 26.3 (Anhang 1 des Schreibens vom 9. April 2021, S. 16 bzw. 33)
70 Vgl. Ziff. 3.1 und 4.3 der AWS Kundenvereinbarung, verfügbar unter https://d1.awsstatic.com/legal/aws-custo-
mer-agreement/AWS_Customer_Agreement-German_2020-11-30.pdf [aufgerufen am 28.04.2021]
71 Beilage 1 zum Schreiben vom 9. April 2021, S. 19 f.
72 Beilage 1 zum Schreiben vom 9. April 2021, S. 26 f.
73 Vgl. Antworten zu Fragen 26, 26.1 und 26.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 16 bzw. 33)
74 Durch Ankreuzen des Kästchens neben der Aussage: «Ich akzeptiere, dass Once einige meiner personenbe-
zogenen Daten sammelt und weiterverarbeitet, um ihren Dienst bereitzustellen».






21/44



die Profilinformationen, die zu jedem Zeitpunkt der App-Nutzung vom Nutzer gesammelt wer-
den können.».75
60. Es ist nicht möglich, die Datenbearbeitungen in der App Once durch Datenschutzeinstellun-
gen einzuschränken. Nutzer müssen allen Datenbearbeitungen inkl. Weitergabe an Dritte zu
Marketingzwecke zustimmen, wenn sie Once nutzen wollen. Wenn sie dies nicht wünschen,
können sie ihr Konto deaktivieren oder löschen.76
3. Datenschutzrechtliche Beurteilung
61. Nachfolgend werden auf der Basis des verbindlich festgestellten Sachverhalts diejenigen As-
pekte behandelt, deren Datenschutzkonformität in Rahmen dieser Sachverhaltsabklärung zu
prüfen waren.
3.1. Bearbeitung von Personendaten
62. Das Bundesgesetz vom 19. Juni 1992 über den Datenschutz (DSG, SR 235.1) ist auf das Be-
arbeiten von sog. Personendaten durch private Personen anwendbar (Art. 2 Abs. 1 lit. a
DSG). Unter «Bearbeiten» wird jeder Umgang mit Personendaten, unabhängig von den an-
gewandten Mitteln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwenden,
Umarbeiten, Bekanntgeben, Archivieren oder Vernichten von Daten verstanden (Art. 3 lit. e
DSG). Entscheidend für die Anwendbarkeit des DSG ist vor diesem Hintergrund die Qualifi-
zierung der bearbeitenden Daten als Personendaten.
63. Gemäss Art. 3 lit. a DSG gelten als Personendaten alle Angaben, die sich auf eine bestimmte
oder bestimmbare (natürliche oder juristische) Person beziehen. Die gesetzliche Definition
des Begriffs «Personendaten» erfasst demnach alle Informationen, die mit einer natürlichen
oder juristischen Person in Verbindung gebracht werden können. Diese Verbindung zu einer
Person kann anhand der Daten selbst eindeutig sein. In diesem Fall ist die Person bestimmt.
Es ist aber auch möglich, dass die Person, zu der sich die Information bezieht, zwar nicht al-
lein anhand dieses Datums identifiziert werden kann, aber anhand der Umstände auf sie ge-
schlossen werden kann. In letzterem Fall spricht man von einer Person, die identifizierbar ist.
(Botschaft DSG, BBl 1988 II 413, S. 444).
64. Vorliegend ist unbestritten, dass die Once Dating AG für und bei der Bereitstellung der App
Once verschiedene Daten, die einen Bezug zu der Person des Nutzers oder der Nutzerin ha-
ben, zu diversen Zwecken (siehe dazu Rz. 24) bearbeitet: diese Daten sind einerseits die An-
gaben, welche die Nutzer über sich selbst in ihren Profilen und bei der Registrierung machen
und andererseits Informationen, die bei der Nutzung der App entstehen (Bewertung von Pro-
filen, Kontakt mit anderen Nutzern, Reaktion auf Benachrichtigung, Informationen über die
Aktivität der Nutzer in der App etc.). Diese Datenbearbeitungen unterliegen dem DSG und
müssen deshalb in Einklang mit den Bearbeitungsgrundsätzen gemäss Art. 4, 5 und 7 DSG
erfolgen.
3.1.1. Bearbeitung von besonders schützenswerten Daten
65. Gemäss Art. 3 lit. c DSG gelten als besonders schützenswerte Daten solche über die religiö-
sen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten, die
Gesundheit, die Intimsphäre oder die Rassenzugehörigkeit, Massnahmen der sozialen Hilfe,
sowie administrative oder strafrechtliche Verfolgungen und Sanktionen.


75 Vgl. Antworten zu Fragen 28.1 und 30 (Anhang 1 des Schreibens vom 9. April 2021, S. 16 f. bzw. 33 f.)
76 Vgl. Antworten zur Frage 29 (Anhang 1 des Schreibens vom 9. April 2021, S. 18 f. bzw. 35)






22/44



66. Die Datenbearbeitungen der Once Dating AG umfassen zum Teil besonders schützenswerte
Daten der Kategorie «Daten über die Intimsphäre». Dazu gehört die sexuelle Orientierung
der Nutzer, die sie angeben müssen, damit ihnen ein geeigneter Partner oder eine geeignete
Partnerin ausgesucht werden kann (siehe Ziff. 19), wie man aus der Datenschutzrichtlinie
entnehmen kann: «Von Once erhobene personenbezogene Pflichtangaben (bei Nichtbereit-
stellung dieser Daten werden Sie die Dienste nicht nutzen können) […] Sensible Daten: sexu-
elle Orientierung (heterosexuell, homosexuell, bisexuell).». Ausserdem kann die Information,
dass eine Person ein aktives Profil bei einer Dating App hat, unter Umstände Rückschlüsse
über ihre Intimsphäre liefern, weil diese Information darauf hindeutet, dass der Nutzer aktiv
nach einem Partner oder Partnerin sucht.
67. Zudem können die Datenbearbeitungen der Once Dating AG auch besonders schützens-
werte Daten der Kategorien «Daten über religiösen, weltanschaulichen, politischen oder ge-
werkschaftlichen Ansichten» sowie Gesundheitsdaten und Daten über die Rassenzugehörig-
keit erfassen, je nach den Angaben, welche die Nutzer freiwillig in ihren Profilen machen
(siehe Ziff. 20).
68. In diesem Sinne ist unbestritten, dass die Once Dating AG besonders schützenswerte Perso-
nendaten bearbeitet, Die Einhaltung der erhöhten Anforderungen, die das Gesetz an die Be-
arbeitung besonders schützenswerter Daten stellt, wird im Folgenden in den einzelnen The-
menbereichen untersucht.
3.1.2. Bearbeitung von Persönlichkeitsprofilen
69. Persönlichkeitsprofile werden in Art. 3 lit. d DSG als «eine Zusammenstellung von Daten, die
eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt»
definiert. Anhaltspunkte, was unter diesem Begriff zu verstehen ist, findet man in der Bot-
schaft zum Bundesgesetz über den Datenschutz vom 23. März 1988 (BBl II 1988 413) und in
der Rechtsprechung. Gemäss der Botschaft zum DSG ist ein Persönlichkeitsprofil eine Zu-
sammenstellung einer grösseren Zahl von Daten über die Persönlichkeitsstruktur, die berufli-
chen Fähigkeiten und Aktivitäten oder auch die ausserberuflichen Beziehungen und Tätigkei-
ten, die ein Gesamtbild oder ein wesentliches Teilbild der betreffenden Person ergibt. Ent-
scheidend ist, dass die systematische Zusammenstellung von an sich nicht besonders schüt-
zenswerten Daten (z.B. über Lesegewohnheiten, Reise- und Freizeitaktivitäten) eine Beurtei-
lung wesentlicher Aspekte der Persönlichkeit zulässt (BBl II 1988 447).
70. Die ehemalige Eidgenössische Datenschutzkommission hielt fest, dass der Begriff des Per-
sönlichkeitsprofils nicht generell definiert werden kann, sondern das Vorliegen eines Persön-
lichkeitsprofils im Einzelfall auf Grund der konkreten Umstände zu bejahen oder zu verneinen
ist. (Urteil der EDSK vom 27. Januar 2000, VPB 65.48, E. 2). Mithin muss eine Prüfung vor-
genommen werden, ob die Once Dating AG Personendaten der Nutzer so zusammenstellt,
dass eine Beurteilung wesentlicher Aspekte deren Persönlichkeit ermöglicht wird (BVerG A-
4232/2015 Urteil vom 18. April 2017, E. 5.2.1). Dabei ist eine Darstellung der Gesamtpersön-
lichkeit nicht erforderlich. Es genügt, wenn aus wichtigen Eigenschafts- und Verhaltensaspek-
ten ein Persönlichkeitsbild erstellt werden kann. In diesem Sinne entsteht ein Persönlichkeits-
profil auch anhand der Zusammenstellung einer Anzahl von Daten etwa über die Persönlich-
keitsstruktur sowie über berufliche und private Aktivitäten, die ein wesentliches Teilbild einer
betroffenen Person ergeben (Vgl. Basler Kommentar DSG, Art. 3 Bst. d, Rz. 66 f.).
71. Wenn sich eine Person bei der App Once registriert, muss sie gewisse Angaben über sich
machen, damit sie mit anderen in der App registrierten Person in Verbindung gesetzt werden
kann (siehe Ziff. 19). Beim Match-Making-Prozess zielt die Once Dating AG darauf ab, zwei
Personen zusammen zu bringen, die gemäss den Einschätzungen von Once zusammenpas-
sen würden. Diese Einschätzung basiert auf den Angaben, die die Nutzer über sich machen,
sowie auf ihren Präferenzen (siehe Ziff. 21). Basierend auf diesen Personendaten erstellt die
Once Dating AG ein Persönlichkeitsbild der Nutzer und zieht Schlussfolgerungen über die






23/44



Vorlieben (in Bezug auf potentielle Partner) der betroffenen Person. Dieses Persönlichkeits-
bild lässt die Beurteilung wesentlicher Aspekte der betroffenen Personen zu und zielt gera-
dezu darauf ab. Dementsprechend ist es als Persönlichkeitsprofil zu qualifizieren.
72. Daraus folgt, dass die Once Dating sowohl gewisse besonders schützenswerten Daten als
auch Persönlichkeitsprofile bearbeitet. Die Einhaltung der erhöhten Anforderungen, die das
Gesetz an die Bearbeitung von Persönlichkeitsprofilen knüpft, wird folgend in den einzelnen
Themenbereichen geprüft.
3.2. Transparenz und Qualität der Informationen an die Nutzer der App Once
3.2.1. Grundsatz der Transparenz nach Art. 4 Abs. 4 DSG
73. Die Bearbeitung von Personendaten muss gemäss den Bearbeitungsgrundsätzen von Art. 4,
5 Abs. 1 und 7 Abs. 1 erfolgen. Eine Verletzung dieser Bearbeitungsgrundsätze stellt eine
Persönlichkeitsverletzung gemäss Art. 12 Abs. 2 lit. a DSG dar. Art. 4 Abs. 4 DSG sieht den
Transparenzgrundsatz vor, wonach die Beschaffung von Personendaten und insbesondere
der Zweck ihrer Bearbeitung für die betroffene Person erkennbar sein müssen.
74. Der Grundsatz der Transparenz dient dazu, den betroffenen Personen zu ermöglichen, be-
wusste Entscheidungen über ihr informationelles Selbstbestimmungsrecht zu treffen. Wenn
die Bearbeitungszwecke nicht präzis genug bestimmt werden oder nicht in einer klaren und
eindeutigen Form beschrieben werden, kann eine betroffene Person weder die durchgeführ-
ten Datenbearbeitungen kontrollieren, noch ihre datenschutzrechtlichen Ansprüche vernünftig
ausüben. So die Botschaft: «Die in Artikel 4 Absatz 4 verlangte Transparenz (…) verleiht dem
Recht, die Bearbeitung zu untersagen (Art. 12 Abs. 2 Bst. b DSG), ebenfalls eine neue Di-
mension. Das Recht, sich der Bearbeitung zu widersetzen, muss so lange blosse Theorie
bleiben, als die betroffenen Personen sich über eine Datenbeschaffung und ihre wesentlichen
Rahmenbedingungen gar nicht im Klaren sind. Die Transparenz der Beschaffung und die In-
formation der betroffenen Person bilden somit den eigentlichen Eckpfeiler des ganzen Daten-
schutzsystems.» (BBl 2003 2101, S. 2126)
75. Vor diesem Hintergrund sind die Informationen, welche der Inhaber der Datensammlung in
einer konkreten Situation der betroffenen Person erteilen muss, damit die Datenbeschaffung
sowie die Rahmenbedingungen der Datenbearbeitung erkennbar sind, nach den Umständen
sowie den Grundsätzen der Verhältnismässigkeit und von Treu und Glauben zu beurteilen
(Art. 4 Abs. 2 DSG).
76. Wenn die Datenbeschaffung und ihr Zweck aus den Umständen klar erkennbar sind, muss
keine besondere Information erfolgen. Wenn eine Beschaffung auf Grund der Umstände hin-
gegen weniger deutlich erkennbar ist, muss die betroffene Person umso eher in geeigneter
Art und Weise auf die Erhebung und ihre wesentlichen Rahmenbedingungen aufmerksam
gemacht werden. Wenn eine Information erforderlich ist, setzen die Grundsätze der Verhält-
nismässigkeit und von Treu und Glauben voraus, dass diese aus der Perspektive einer zum
Zielpublikum der App gehörenden, verständigen Durchschnittsperson nach Treu und Glau-
ben hinreichend sind, um ihnen eine zumutbare Möglichkeit zu gewähren, davon Kenntnis zu
nehmen.
3.2.2. Informationspflicht nach Art. 14 DSG
77. Die Once Dating AG bearbeitet in Zusammenhang mit der Bereitstellung der App Once so-
wohl besonders schützenswerte Personendaten (siehe Ziff. 3.1.1) als auch Persönlichkeits-
profile (siehe Ziff. 3.1.2). Somit untersteht die Once Dating AG der Informationspflicht nach
Art. 14 DSG.






24/44



78. Die Informationspflicht beim Beschaffen von besonders schützenswerten Personendaten und
Persönlichkeitsprofilen nach Art. 14 DSG ergänzt den Grundsatz der Transparenz und setzt
eine ausdrückliche Information durch den Verantwortlichen über Folgendes voraus: die Be-
schaffung der Daten, den Zweck ihrer Bearbeitung, die Identität des Inhabers der Daten-
sammlung sowie die Kategorien der Datenempfänger, wenn eine Datenbekanntgabe vorge-
sehen ist (nicht aber die Identität jedes einzelnen Datenempfängers). Gemäss der Botschaft
ist es aber möglich, dass unter Umstände weitere Angaben gemacht werden müssen: «Erfor-
dert es der Grundsatz von Treu und Glauben, muss der Inhaber der Datensammlung indes-
sen noch weitere Informationen liefern, beispielsweise darüber, ob die Beantwortung der ge-
stellten Fragen freiwillig oder obligatorisch ist und über die Folgen einer Verweigerung der
verlangten Angaben» (BBl 2131). Um seiner Informationspflicht nachzukommen muss der
Verantwortliche alles unternehmen, was von ihm nach den Umständen vernünftigerweise ver-
langt werden kann. (BBl 2003 2101, S. 2132).
3.2.3. Einhaltung des Transparenzgrundsatzes (Art. 4 Abs. 4 DSG) und der Informati-
onspflicht (Art. 14 DSG)
79. Folgende Anforderungen müssen erfüllt werden, um den Transparenzgrundsatz einzuhalten:
1) Die Erhebung von Personendaten muss erkennbar sein und dabei muss es der betroffe-
nen Person klar sein, wofür welche Daten über sie bearbeitet werden; 2) wenn dies aus den
Umständen nicht ersichtlich ist, müssen die Bearbeitungszwecke und Rahmenbedingungen
durch den Verantwortlichen in Form einer Information angegeben werden; 3) die Angemes-
senheit der Informationen wird daran gemessen, ob eine betroffene Person auf Grundlage
dieser eine bewusste Entscheidung über ihr Recht auf informationelle Selbstbestimmung tref-
fen kann (z. B. ihre Einwilligung geben). In diesem Sinne müssen die Informationen, die be-
reitgestellt werden, umfassend, korrekt und für den Nutzer eindeutig und klar sein.
80. Die Informationspflicht nach Art. 14 setzt ausserdem voraus, dass die Information ausdrück-
lich bereitgestellt wird und dass der Inhaber der Datensammlung der betroffenen Person alle
Informationen zukommen lässt, die für eine Bearbeitung nach dem Grundsatz von Treu und
Glauben und der Verhältnismässigkeit erforderlich sind, insbesondere die Identität des Inha-
bers der Datensammlung, den Zweck des Bearbeitens und die Kategorien allfälliger Daten-
empfänger.
3.2.3.1.
Erkennbarkeit der Datenerhebungen bei der App Once
81. Vorliegend werden die Nutzer der App Once bei der Registrierung aufgefordert, gewisse An-
gaben über sich zu machen und zu bestätigen, dass sie die Datenschutzrichtlinie und die
AGB der Once Dating AG zur Kenntnis genommen haben (dabei werden beide Dokumente
verlinkt), sowie folgenden Aussage zuzustimmen: «Ich akzeptiere, dass Once einige meiner
personenbezogenen Daten sammelt und weiterverarbeitet, um ihren Dienst bereitzustellen».
In diesem Sinne ist es für die betroffenen Personen erkennbar, dass die Once Dating AG
Personendaten erhebt.
82. Dass die Nutzer bei der Registrierung aufgefordert werden, Kenntnis von der Datenschutz-
richtlinie und den AGB zu nehmen, kann als Zeichen einer aktiven Information der Nutzer be-
treffend die im Zusammenhang mit der App Once durchgeführten Datenbearbeitungen ange-
sehen werden, was mit Blick auf Art. 14 DSG und zu begrüssen ist. Es gibt jedoch keinen di-
rekten Link auf die Datenschutzrichtlinie im Footer der Webseite getonce.com.77


77 Um darauf zu gelangen, muss man zuerst auf «Bedingungen» klicken, um den Link auf die «Daten-
schutzbedingungen», d.h. die Datenschutzrichtlinie der Once Dating AG, zu finden.






25/44



83. Die Einhaltung des Transparenzgebots und der Informationspflicht gemäss Art. 14 DSG kann
allerdings nur abschliessend bejaht werden, wenn die Informationen, die durch den Verant-
wortlichen geliefert werden, angemessen sind (siehe Ziff. 79). Dies bedeutet vorliegend, dass
in den Datenschutzrichtlinien und AGB der Once Dating AG angemessene Informationen
über die durch die Once Dating AG durchgeführte Datenbearbeitungen inkl. Bearbeitung von
besonders schützenswerten Daten und Persönlichkeitsprofilen zu finden sein müssen. Insbe-
sondere müsste ersichtlich sein: welche Daten für welche Zwecke und unter welchen Bedin-
gungen bearbeitet werden. In Bezug auf besonders schützenswerte Daten und Persönlich-
keitsprofilen müsste ausserdem ausgeführt werden, ob und inwieweit diese bearbeitet wer-
den, für welche Zwecke, durch wen und ob eine Datenbekanntgabe an Dritte stattfindet.
3.2.3.2.
Erkennbarkeit der Bearbeitungszwecke und der Rahmenbedingungen der
Datenbearbeitung
84. Gemäss den Nutzungsbedingungen legen diese die Hauptregeln für die Nutzung der Mobile
App fest und werden «durch zusätzliche Richtlinien, die Datenschutzrichtlinie, die Cookie-
Richtlinie und die häufig gestellten Fragen (FAQ) ergänzt». Die AGB beinhalten auch eine
Vorrangregel, wonach im Falle eines Konflikts zwischen den verschiedenen Richtlinien der zu
einer mangelnden Zugänglichkeit, Verständlichkeit und/oder Vorhersehbarkeit der Regeln
führt, die AGB Vorrang vor der Datenschutzrichtlinie, der Cookie-Richtlinie und den FAQ ha-
ben. Gemäss Ziff. 6 der AGB erfolgen die Datenbearbeitungen, welche die Once Dating AG
in Zusammenhang mit der App Once durchführt, «zur Erfüllung eines Vertrags, bei dem das
Mitglied Vertragspartei ist» und sind dazu «erforderlich». Dabei wird auf die Datenschutzricht-
linie verwiesen.78
85. In der Datenschutzrichtlinie der Once Dating AG werden zuerst gewisse Bearbeitungszwecke
unter Ziff. 1 («Zwecke und Rechtsgrundlage der Verarbeitungen») ohne weitere Informatio-
nen über die bearbeitenden Daten angegeben: «Verwaltung und Verwendung der App und
der Website», «Newsletter» und «Verwaltung der Bewerbungen». Der Zweck «Verwaltung
und Verwendung der App und der Website» wird dabei mit folgenden Informationen weiter
konkretisiert: 1) Den Nutzern die Verwendung der App und die Nutzung der Dienste zu erlau-
ben; 2) Mit den Nutzern per E-Mail, SMS oder auf dem Postweg zu kommunizieren; 3) Die
Verbesserung der Services der Once Dating AG (mit folgenden Beispielen: «Analyse von Da-
ten, Forschung und Entwicklung, Aufdeckung betrügerischer Verhaltensweisen; wobei alleine
auf der Grundlage einer automatisierten Verarbeitung keine Entscheidung eines Eingreifens
getroffen wird».). Dabei erklärt die Once Dating AG, dass die in diesem Zusammenhang
durchgeführten Datenbearbeitungen «für die Erfüllung eines Vertrages, von dem das Mitglied
Vertragspartei ist, notwendig» seien. Dabei wird auch informiert, dass die Once Dating AG in
Zusammenhang mit der «Verwaltung und Verwendung der App und der Website» auch «so-
genannte „sensible“ Daten» bearbeitet79. Diese Datenbearbeitung erfolge aber nicht zur Erfül-
lung des Vertrags, sondern mit der ausdrücklichen Einwilligung der Nutzer, «die durch Ihre
Anmeldung zustande kommt.». Diese Unterscheidung oder Präzisierung wird in den AGB
nicht gemacht (siehe Ziff. 84).
86. Gemäss der Once Dating AG gibt sie Daten an Dritte weiter, damit diese gewisse Datenbear-
beitungen (siehe Tabelle 1) mit folgenden Bearbeitungszwecken im Auftrag der Once Dating
AG durchführen: Kundensupport, Zahlungsabwicklung, Sicherheitsoperationen und Analysen
für Marketingzwecke (siehe Ziff. 30 ff.). Diese Zwecke werden zwar nicht explizit in der Da-
tenschutzrichtlinie angegeben, aber können, mit Ausnahme der Analysen für


78 Gemäss Ziff. 6 der AGB
79 Für genauere Informationen wird auf Ziff. 2 verwiesen «(sexuelle Ausrichtung etc. - siehe unten „Ar-
ten von erhobenen personenbezogenen Daten“)».






26/44



Marketingzwecke, den allgemeinen Zwecken, welche unter Ziff. 1 der Datenschutzrichtlinie
angegeben werden, subsumiert werden (siehe Tabelle 2). Somit lassen sich diese Bearbei-
tungszwecke mit Ausnahme der Analysen für Marketingzwecke aus den Informationen der
Datenschutzrichtlinie ableiten. Der Zweck «Analysen für Marketingzwecke» ist hingegen nicht
erkennbar.
87. Die Mehrheit der durchgeführten Datenbearbeitungen stehen in engem Zusammenhang mit
der Erfüllung der durch die Once Dating AG angegebenen Bearbeitungszwecke (gemäss Ziff.
30 ff.), aber nicht alle. Die Dienste der Anbieter Vonage, Airbrake und Looker scheinen zwar
in Zusammenhang mit der Erfüllung von Bearbeitungszwecken zu stehen, die in der Daten-
schutzrichtlinie angegeben werden, aber nicht mit den Zwecken Kundensupport, Zahlungsab-
wicklung, Sicherheitsoperationen oder Analysen für Marketingzwecke. Die Reengagement-
Dienste, welche durch Batch bereitgestellt werden, können hingegen unter keinen der er-
wähnten Zwecken subsumiert werden (siehe Tabelle 2).
Dienst (Datenbearbeiter)
Bearbeitungszweck gemäss
Angaben der Once Dating
AG
Zweck gemäss Daten-
schutzrichtlinie
Cloudbasierte Kundensupport-
Plattform (Zendesk)

Kundensupport
«Um per E-Mail, SMS oder
auf dem Postweg mit Ihnen
(den Nutzern) zu kommunizie-
ren»
Reengagement-Dienste
(Batch)

Keine Subsumtion möglich.
Keine Subsumtion möglich,
denn die Kommunikation mit
den Kunden erfolgt nicht per
E-Mail, SMS oder Postweg,
sondern mittels Handybenach-
richtigung.
Online Bezahldienst (Paypal,
Stipe)
Zahlungsabwicklung
«Um die Verwendung der App
und die Nutzung der Dienste
zu erlauben»
Videochats zwischen Nutzern
(Vonage)
-
«Um die Verwendung der App
und die Nutzung der Dienste
zu erlauben»
Bildanalyse zur Moderation
(Sightengine)
Sicherheitsoperationen
«Um unseren Service zu
verbessern (nämlich: Analyse
von Daten, Forschung und
Entwicklung, Aufdeckung be-
trügerischer Verhaltenswei-
sen); wobei alleine auf der
Grundlage einer automatisier-
ten Verarbeitung keine Ent-
scheidung eines Eingreifens
getroffen wird»
Überprüfung von Rufnummern
(Telesign)
Werkzeug zur Verwaltung von
Protokollen (Logentries)






27/44



Crash-Reporting-Werkzeug
(Airbrake)

-
«Um unseren Service zu
verbessern (nämlich: Ana-
lyse von Daten, Forschung
und Entwicklung, Aufde-
ckung betrügerischer Verhal-
tensweisen); wobei alleine auf
der Grundlage einer automati-
sierten Verarbeitung keine
Entscheidung eines Eingrei-
fens getroffen wird»
Visualisiert die wichtigsten Da-
ten, um sie zu analysieren, Be-
richte zu erstellen und Ent-
scheidungen zu treffen (Loo-
ker)
App-Analytik (Google Analytics
und Firebase; Facebook)
Analysen für Marketingzwecke
Keine Subsumtion möglich,
denn die Analyse steht nicht
im Zusammenhang mit der
Verbesserung der Services,
sondern dient Marketingzwe-
cken.
Analytik und Werkzeug zur At-
tributionserkennung (Adjust)
Tabelle 2
88. Unter Ziff. 2 der Datenschutzrichtlinie («Arten von erhobenen personenbezogenen Daten»)
wird präzisiert, welche Daten im Zusammenhang mit den bereits unter Ziff. 1 ausgeführten
Zwecken bearbeitet werden. Im Zusammenhang mit der «Verwaltung und Verwendung der
App und der Website» wird zwischen Daten, die durch die Nutzer bereitgestellt werden müs-
sen, um die App nutzen zu können (Pflichtangaben), und Daten, welche freiwillig durch die
Nutzer bereitgestellt werden, differenziert. Unter den Pflichtangaben wird die sexuelle Orien-
tierung als «sensibel» (besonders schützenswertes Datum) gekennzeichnet. Unter den frei-
willigen Angaben werden die Informationen «über ethnische Herkunft, Religion, ethnische/re-
ligiöse Vorlieben beim Dating, politische Einstellung» als sensibel gekennzeichnet.



Abbildung 5: Auszug aus der Datenschutzrichtlinie






28/44



89. Die verwendete Struktur des Absatzes mit Aufzählungszeichen gibt zu verstehen, dass alle
Angaben, welche nach dem Satz «Von Once erhobene freiwillige personenbezogene Anga-
ben» aufgeführt sind, mit freiwilliger Zustimmung der Nutzerinnen und Nutzer von der Once
Dating AG erhoben werden (siehe Abbildung 5). Allerdings gehört zumindest ein Teil davon
zu den erforderlichen Angaben. In diesem Zusammenhang wird erläutert, dass die Once Da-
ting AG Informationen bei ihren Interaktionen mit Kunden im Rahmen der Kundenbetreuung
sammelt und diese zu Trainingszwecken und Qualitätssicherung überwacht oder aufzeichnet.
Auch in diesem Zusammenhang wird mitgeteilt, dass die Once Dating AG Daten über die Ak-
tivität der Nutzer auf der Website und der App erfasst. Diese Datenbearbeitung betreffe alle
durch die Nutzer via Website oder App realisierten Aktionen, Verbindungen, Verbindungszei-
ten sowie die gesamten Interaktionen mit anderen Nutzern. Dabei wird allerdings nicht präzi-
siert, für welche Zwecke diese Informationen verwendet werden, sondern lediglich mitgeteilt,
dass sie erhoben werden.
90. Ausserdem wird dabei informiert, dass die Once Dating AG Daten über die Endgeräte der
Nutzer erhebt. Als Angaben, die im Zusammenhang mit den Endgeräten der Nutzer erhoben
werden, werden die Modelle sowie Version des Betriebssystems erwähnt, und als Zweck für
deren Bearbeitung wird die Verbesserung der mobilen Anwendungen angegeben. Wie wir
allerdings feststellen konnten, bearbeitet die Once Dating AG neben diesen Informationen
auch die u-id (siehe Ziff. 31) für verschiedene Zwecke und gibt die Werbe-ID der Nutzer
(IDFA für iOS, GPS-ADID für Android) an Dritte bekannt, welche diese wiederum an weitere
Dritte weitergeben, welche sie für Werbezwecke bearbeiten (siehe Ziff. 34). Auch dabei wird
angedeutet, dass die Once Dating AG Daten im Rahmen von Markterhebungen sammelt,
ohne allerdings anzugeben, welche Daten dabei bearbeitet werden.
91. Im Zusammenhang mit dem Bearbeitungszweck «Newsletter» wird Folgendes erläutert: «Da-
mit wir Ihnen unsere Newsletter zukommen lassen können, wird von Once die von Ihnen mit-
geteilte E-Mail-Adresse erfasst und verarbeitet. Dem Nutzer steht es frei, diese nicht bekannt
zu geben. Die Mitteilung Ihrer E-Mail-Adresse ist zwingend erforderlich, wenn Sie die
Newsletter von Once erhalten möchten.» Diese Information widerspricht zum Teil dem Inhalt
der AGB, wonach die Nutzer bei der Anmeldung eine Einwilligung zum Versand von Newslet-
tern erteilen: «Newsletter: Bei der Anmeldung für die App stimmt das Mitglied dem Empfang
eines Newsletters von ONCE zu. Per Klick auf den Abmeldelink unten in jeder E-Mail von
ONCE können die Mitglieder jederzeit von ihrem Widerspruchsrecht Gebrauch machen und
den Newsletter abbestellen.». In diesem Zusammenhang stellen wir fest, dass die Nutzer
nicht angemessen informiert werden, dass mit der Registrierung eine Einwilligung zum Ver-
sand des Newsletters erteilt wird.80
92. Aus den oben genannten Gründen erlaubt die Struktur des Textes der Datenschutzrichtlinie
und zum Teil auch der Inhalt ihrer einzelnen Punkte den Nutzern nicht, sich einen Überblick
über die tatsächlich durchgeführten Datenbearbeitungen zu verschaffen. Darum erachten wir
die Informationen in der Datenschutzrichtlinie als ungenügend hinsichtlich des Transparenz-
gebots nach Art. 4 Abs. 4 DSG. In Bezug auf die Bearbeitungsbedingungen wird die Kennt-
nisnahme der datenschutzrelevanten Informationen erschwert durch die Tatsache, dass ei-
nige Informationen in den AGB nicht mit der Datenschutzrichtlinie (siehe z.B. Ziff. 84 und 91)
oder den FAQ (siehe Ziff. 45) übereinstimmen. Darüber hinaus wird die Kenntnisnahme auch
dadurch erschwert, dass in den AGB und in der Datenschutzrichtlinie auf unterschiedliche


80 Unter Ziff. 2 wird auch erläutert, inwieweit die Once Dating AG Daten in Zusammenhang mit Bewer-
bungen bearbeitet. Da diese Datenbearbeitung nicht die Nutzer der App Once betrifft, sondern den
Anstellungsprozess, ist diese nicht Gegenstand unserer Sachverhaltsabklärung.






29/44



Gesetze verwiesen wird81, jedoch nicht auf das DSG, obschon es auf die Datenbearbeitun-
gen der Once Dating AG anwendbar ist. Eine unmissverständliche Information über die für
die Anbieterin geltende Datenschutzgesetzgebung ist unerlässlich, um den Nutzern zu er-
möglichen, ihre Rechtsansprüche zu kennen und durchzusetzen.
3.2.3.3.
Information über die Kategorien der Datenempfänger
93. Unter Umständen gehört die Information über die Datenempfänger zu den minimalen Anga-
ben, welche erforderlich sind, um einer Datenbearbeitung Transparenz zu gewähren. Wenn
es um die Datenbekanntgabe von besonders schützenswerten Personendaten oder Persön-
lichkeitsprofilgen geht, ist die Kategorie der Empfänger sogar eine Pflichtangabe gemäss Art.
14a DSG.
94. Die Datenschutzrichtlinie der Once Dating AG enthält Informationen zu den Kategorien von
Datenempfängern, ohne die übermittelten Daten näher zu erläutern. Unter Ziff. 4 der Daten-
schutzrichtlinie wird angegeben, dass grundsätzlich die «Mitglieder von Once», also die re-
gistrierten Nutzer, sowie «Dienstleister der Once Dating AG», die Empfänger der Daten sind,
welche die Once Dating AG bearbeitet. Im Fall einer Fusion, Verkauf, Auflösung usw. erklärt
die Once Dating AG ausserdem, dass Daten an andere Gesellschaften weitergegeben könn-
ten. Zudem behält sich die Once Dating AG das Recht vor, Personendaten bekanntzugeben,
wenn dies gesetzlich, gerichtlich oder behördlich vorgeschrieben ist, oder wenn dies zum
Nachweis oder zur Ausübung der Rechte der Once Dating AG, ihrer Mitarbeitenden oder
sonstiger Personen erforderlich scheint.
95. Gemäss unserer Abklärung behalten sich einige Dienstleister der Once Dating AG das Recht
vor, die ihnen durch die Once Dating AG bereitgestellten Daten zu eigenen Zwecken zu nut-
zen. Diese sind: Facebook, Google, Sendgrid, Looker, Vonage und Paypal. (siehe Ziff. 35).
Dies bedeutet, dass die Once Dating AG Daten an Dritte bekanntgibt, die diese nicht nur in
ihrem Auftrag bearbeiten, sondern zum Teil auch in eigener Verantwortung.
96. Aufgrund der Tatsache, dass diese Empfänger die Daten nicht ausschliesslich im Auftrag der
Once Dating AG bearbeiten, ist der Begriff «Dienstleister der Once» nicht zutreffend, um
diese Kategorie von Datenempfängern zu beschreiben. Immer wenn die Empfänger Perso-
nendaten in eigener Verantwortung bearbeiten, gelten diese als Dritte, nicht aber als reine
Dienstleister bzw. Auftragnehmer.
97. Da die Informationen in der Datenschutzrichtlinie keine Hinweise über die Bekanntgabe von
Personendaten an Dritte, die Personendaten im eigenen Interesse und unter eigener Verant-
wortung bearbeiten, enthalten, erachten wir diese als unvollständig. Dies stellt einen Mangel
hinsichtlich der Informationspflicht der Once Dating AG gegenüber ihren Nutzern dar. In der
Datenschutzrichtlinie müsste diese Datenbekanntgabe an Dritte inkl. Bearbeitungszweck er-
läutert werden.
3.2.3.4.
Erkennbarkeit der verwendeten Garantien für die Übermittlung von Daten
ins Ausland
98. Da uns die Once Dating AG am 9. April 2021 mitteilte, dass sie die Kanzlei

beauftragt hat, ihre Datenbearbeitungsaktivitäten zu analysieren und ihre


81 In den AGB wird auf das Gesetz Nr. 78-17 vom 6. Januar 1978 in der durch das französische Datenschutzge-
setz Nr. 2004-801 vom 6. August 2004 abgeänderten Fassung verwiesen; in der Datenschutzrichtlinie wird auf
die Verordnung zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten Nr. 2016/679
vom 27. April 2016 («DSGVO») verwiesen.






30/44



Datenschutz-Policies gemäss dem revidierten DSG anzupassen, gehen wir davon aus, dass
die Datenschutzrichtlinie der Once Dating AG im Hinblick auf die Ausweitung der Informati-
onspflicht gemäss dem neuen Gesetz überarbeitet werden soll. In diesem Zusammenhang
weisen wir darauf hin, dass die Informationspflicht gemäss Art. 19 nDSG auch die Information
über die verwendeten Garantien für die Datenübermittlung ins Ausland umfasst und eine all-
gemeine Aussage zu der Verwendung von Standardvertragsklauseln oder anderen «geeigne-
ten Schutzklausen» nicht genügt, um diese zu erfüllen. Gemäss dem Erwägungsgrund 4 der
neuen europäischen Standardvertragsklauseln «muss diese Information einen Verweis auf
die angemessenen Garantien und die Möglichkeiten, wie eine Kopie von ihnen eingeholt wer-
den kann, oder wo sie verfügbar sind, umfassen.»82.
3.2.3.5.
Schlussfolgerung
99. Zusammenfassend lässt sich feststellen, dass die Informationen, welche die Once Dating AG
ihren Nutzern zur Verfügung stellt, nicht angemessen sind. Die Reengagement-Dienste, wel-
che durch Batch bereitgestellt werden, können unter keinen der in der Datenschutzrichtlinie
dargestellten Zwecke subsumiert werden, und der Zweck «Analysen für Marketingzwecke»
ist in dieser auch nicht erkennbar. Ausserdem geht aus der missverständlichen Struktur und
zum Teil aus dem Inhalt der einzelnen Punkte nicht klar hervor, was die tatsächlich durchge-
führten Datenbearbeitungen sind. Hinsichtlich der Datenbearbeitung in Zusammenhang mit
dem Newsletter wird die Kenntnisnahme der datenschutzrelevanten Informationen erschwert
durch die Tatsache, dass einige Informationen in den AGB nicht mit der Datenschutzrichtlinie
übereinstimmen. Darüber hinaus wird die Kenntnisnahme auch dadurch erschwert, dass in
den AGB und in der Datenschutzrichtlinie auf unterschiedliche Gesetze verwiesen wird und
das DSG gänzlich unerwähnt bleibt, obschon es für die Datenbearbeitungen der Once Dating
AG eigentlich gilt. Ausserdem enthält die Datenschutzrichtlinie keine Informationen über die
Datenbekanntgabe an Dritte, die nicht als Dienstleister der Once Dating AG handeln, sondern
Personendaten für eigene Zwecke bearbeiten.
100.
Dies stellt eine Verletzung des Transparenzgrundsatzes (Art. 4 Abs. 4 DSG) dar, die
zu einer Persönlichkeitsverletzung gemäss Art. 12 Abs. 2 lit. a DSG führt. Wenn kein Recht-
fertigungsgrund vorliegt, ist diese Persönlichkeitsverletzung widerrechtlich.
3.3. Löschkonzept und Löschmöglichkeiten der Nutzer
3.3.1. Grundsatz der Rechtmässigkeit (Art. 4 Abs. 1), von Treu und Glauben und der Ver-
hältnismässigkeit (Art. 4 Abs. 2 DSG)
3.3.1.1.
Möglichkeit Personendaten auf Verlangen zu löschen (Art. 12 Abs. 2 lit. b
DSG)
101.
Angesichts der Sensibilität der auf der App Once bearbeitenden Daten sowie der Tat-
sache, dass die Daten gemäss der Datenschutzrichtlinie und den Angaben der Once Dating
AG in dieser Sachverhaltsabklärung gestützt auf die Einwilligung der betroffenen Person be-
arbeitet werden, ist es unabdingbar, dass die Nutzer der App Once eindeutig auf ihre
Löschmöglichkeiten hingewiesen werden und jederzeit die umgehende Löschung ihrer Per-
sonendaten bzw. ihres Profils verlangen können. Aufgrund des Grundsatzes von Treu und


82 Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln für
die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 des Europäi-
schen Parlaments und des Rates






31/44



Glauben soll jeder Nutzer und Nutzerin dies auf einfacher Weise verlangen können. Das
heisst, es darf nicht schwieriger sein, eine Einwilligung zurückzuziehen und die Löschung der
eigenen Daten zu verlangen, als eine Einwilligung abzugeben und ein Konto bei Once Dating
AG zu erstellen. Gemäss Art. 12 Abs. 2 lit. b DSG darf die Once Dating AG ausserdem keine
Personendaten bearbeiten ohne Rechtfertigungsgrund, wenn die betroffene Person aus-
drücklichen Widerspruch zur Datenbearbeitung eingelegt hat.
102.
Gemäss der Once Dating AG haben die Nutzer der App Once die Möglichkeiten, die
in Ziff. 2.3.2 der Sachverhaltsfeststellung erläutert werden, um die Löschung ihrer Daten zu
verlangen: ein Löschbegehren per E-Mail, per Brief oder über den in-App Kontaktkanal einzu-
reichen. Die Löschbegehren erfolgen gemäss Löschprozess in automatisierter Form grund-
sätzlich innert 24 Stunden nach dem Eingang des Löschbegehrens, mit Ausnahme des Fal-
les, dass ein Nutzer mit betrügerischem Verhalten auf der App identifiziert und bereits blo-
ckiert wurde.
103.
Aus den oben genannten Gründen ist es zu begrüssen, dass die Nutzer die Löschung
ihrer Daten verlangen können und dass die Once Dating AG einen Prozess hat, um Löschbe-
gehren umgehend zu bearbeiten. Es ist auch positiv, dass den Nutzern verschiedene Kom-
munikationskanäle zur Verfügung stehen, um ihr Löschbegehren einzureichen (per E-Mail,
per Brief oder über den in-App Kontaktkanal), wobei die Zugänglichkeit der in-App
Löschmöglichkeit (siehe Ziff. 42) verbessert werden könnte.
3.3.1.2.
Information über die verfügbaren Löschmöglichkeiten
104.
Ein weiterer wichtiger Punkt ist die Information über die verfügbaren Löschmöglichkei-
ten, die den Nutzern bereitgestellt werden. Insgesamt lässt sich nach unserer Abklärung fest-
stellen, dass die Nutzer der Once App nicht angemessen über ihre Löschungsmöglichkeiten
durch die Once Dating AG informiert werden. Einerseits, weil die den Nutzern zur Verfügung
gestellten Informationen diesbezüglich erhebliche Ungenauigkeiten aufweisen und anderer-
seits, weil diese nicht oder nicht genügend die verfügbaren Löschmöglichkeiten erläutern.
105.
Erstens stimmen die Informationen auf der Datenschutzrichtlinie betreffend die Bear-
beitung von Löschbegehren mit der aktuellen Praxis der Once Dating AG nicht überein: ge-
mäss der Datenschutzrichtlinie müssen Löschbegehren per E-Mail an die Adresse dpo@ge-
tonce.com mit einer Kopie des Ausweises eingereicht werden. Diese sollten durch die Once
Dating AG anschliessend innerhalb von 2 Monaten bearbeitet werden, es sei denn, die An-
frage stellt sich «als deutlich unbegründet oder über das Maß hinausgehend» heraus. Zwei-
tens werden die Möglichkeiten, das Löschbegehren per Brief oder über den im App-Kontakt-
kanal einzureichen, in der Datenschutzrichtlinie nicht erläutert. Die Möglichkeit, das Löschbe-
gehren per Brief einzureichen, wird lediglich in den AGB erwähnt. Die Möglichkeit, ein Lösch-
begehren über den Kontaktkanal in der App einzureichen, wird weder in den AGB noch in der
Datenschutzrichtlinie der Once Dating AG erwähnt, und die FAQ klärt darüber auch nicht wei-
ter auf. Diese Diskrepanzen zwischen den verschiedenen Dokumenten macht die Information
zu den gewährten Löschmöglichkeiten derart unübersichtlich, dass es einem durchschnittli-
chen Nutzer nicht möglich ist, Kenntnis von den verfügbaren Löschungsoptionen zu nehmen.
106.
Ausserdem enthält die Datenschutzrichtlinie folgenden Satz, welcher unter dem Ge-
sichtspunkt von Treu und Glauben problematisch ist, da er die Nutzerinnen und Nutzer von
der Ausübung deren Rechte möglicherweise abhalten könnte: «[s]ollten sich die Anfragen ei-
nes Mitglieds als deutlich unbegründet oder über das Maß hinausgehend herausstellen (ins-
besondere aufgrund ihres sich wiederholenden Charakters), ist Once berechtigt, i) angemes-
sene Aufwendungen geltend zu machen, die den Verwaltungskosten für die Bereitstellung
der Informationen, den Kommunikationsaufbau oder das Ergreifen der angefragten Maßnah-
men Rechnung tragen, oder ii) sich weigern, diesen Anträgen Folge zu leisten.». (Siehe Ziff.
44).






32/44



107.
Zu möglichen Kostenfolgen eines Begehrens muss zwischen dem Auskunftsrecht und
anderen Betroffenenrechten differenziert werden. Das Gesetz sieht zwar die Möglichkeit ei-
ner Erhebung von Kosten für die Bereitstellung von Auskünften gemäss Art. 8 DSG vor, um
unverhältnismässige Aufwände auszugleichen, nicht aber für die Bearbeitung anderer Daten-
schutzbegehren. Zudem erlaubt auch Art. 8 DSG nicht ohne Weiteres, dass sich ein Verant-
wortlicher weigert, einem Datenschutzbegehren Folge zu leisten. Ausserdem muss ein
Löschbegehren immer berücksichtigt werden, wenn die Weiterbearbeitung der Daten ohne
Rechtfertigungsgrund erfolgen würde. Daher ist ein genereller Hinweis, wonach Begehren
nicht berücksichtigt werden, unter diesem Aspekt nicht zulässig.
108.
Angesichts der Tatsache, dass sich die Datenbearbeitungen der Once Dating AG auf
die Einwilligung der Nutzer stützen, stellt dieser Mangel an Übersichtlichkeit der Informatio-
nen über die verfügbaren Löschmöglichkeiten und der oben erwähnte Hinweis auf die Mög-
lichkeit, dass die Once Dating AG «angemessene Aufwendungen geltend zu machen»
könnte, einen Verstoss gegen den Grundsatz der Treu und Glauben dar.
3.3.1.3.
Automatische Löschung von Personendaten bei Inaktivität
109.
Das Ziel der App Once ist es, mittels Matching-Algorithmus Menschen zu verbinden,
die eine Beziehung mit einer anderen Person eingehen möchten. Mit dieser Erwartung ver-
trauen die Nutzerinnen und Nutzer der App Once der Once Dating AG die Bearbeitung ihrer
persönlichen Daten an. Im Hinblick auf den Grundsatz der Datenbearbeitung nach Treu und
Glauben und den Grundsatz der Datenrichtigkeit ist die Once Dating AG verpflichtet, ange-
messene Massnahmen zu treffen, um sich darüber zu vergewissern, dass die Personenda-
ten, die sie in diesem Zusammenhang erhebt und bearbeitet, Personen betreffen, die tat-
sächlich eine Beziehung mit einer anderen Person eingehen möchten. Im Rahmen der Part-
nervermittlung folgt daraus, dass die Once Dating AG nicht nur eine Pflicht hat, die registrie-
renden Nutzer zu prüfen und betrügerisches Verhalten von aktiven Nutzern regelmässig zu
kontrollieren, sondern auch zumutbare Massnahmen zu treffen, um sicherzustellen, dass der
Datenbestand möglichst aktuell bleibt.
110.
Die Once Dating AG implementiert Massnahmen zur Verifikation der registrierten Nut-
zerinnen und Nutzer und zur Identifikation und Bekämpfung von auffälligem Missbrauch
(mehr dazu unter 3.5.1.1). Ausserdem führt sie beim Matchmaking eine De-Priorisierung der
Profile von Nutzenden durch, die für eine lange Zeit die App nicht mehr genutzt haben. Nut-
zende, die seit mehr als 30 Tagen die App nicht genutzt haben, werden in der Datenbank der
Once Dating AG inaktiv. Dies entspricht aber nicht einer Deaktivierung des Kontos (siehe Ziff.
41), sondern hat lediglich zur Folge, dass die Nutzerinnen und Nutzer keine Kommunikation
(E-Mail, Benachrichtigungen) mehr von der Once Dating AG erhalten, aus ihrer Mailingliste
gelöscht und nicht mehr für User Experience Umfragen und Fokusgruppen ausgewählt wer-
den (siehe Ziff. 48). Die inaktiven Nutzerinnen und Nutzer bleiben jedoch in der Datenbank
der Once Dating AG gespeichert und können theoretisch weiterhin von anderen Nutzenden
angesehen werden, bis sie aktiv die Deaktivierung oder die Löschung der Daten verlangen.
111.
Die Once Dating AG weiss, welche Nutzerinnen und Nutzer aktiv oder inaktiv sind und
kann deshalb nicht in gutem Glauben deren persönliche Daten auf unbestimmte Zeit bearbei-
ten. Die De-Priorisierung ist zwar eine wichtige Massnahme, um die Bearbeitung von Daten
von inaktiven Nutzerinnen und Nutzern zu minimieren. Angesichts der Sensibilität der Daten,
und da allein die Information, dass eine Person ein Konto bei einer Dating-Anwendung hat,
Rückschlüsse auf die Intimsphäre einer Person zulässt, erachten wir als notwendig, dass die
Once Dating AG weitergehende Massnahmen ergreift, um sich zu vergewissern, dass sie die
Personendaten von inaktiven Nutzerinnen und Nutzern nach Treu und Glaube weiterhin bear-
beiten darf.
112.
Bei längerer Inaktivität der Nutzerinnen und Nutzer kann nicht mehr davon ausgegan-
gen werden, dass diese noch an der Vermittlung eines Partners oder eine Partnerin






33/44



interessiert sind, weshalb eine Weiterbearbeitung zu diesem Zweck unverhältnismässig ist.
Aufgrund der fehlenden Übersichtlichkeit der Optionen für die Einreichung eines Löschbegeh-
rens kann ausserdem nicht ausgeschlossen werden, dass Personen ihr Konto einzig aus
dem Grund nicht löschen, dass sie nicht wissen, wie sie diese Löschung veranlassen kön-
nen, die App aber tatsächlich nicht mehr nutzen und deshalb als inaktive Nutzenden gelten.
113.
Der Grundsatz der Verhältnismässigkeit verlangt von der Once Dating AG, dass sie
keine Personendaten bearbeitet, welche zur Erreichung der Bearbeitungszwecke nicht mehr
notwendig sind. Auch wenn die Once Dating AG die Daten von inaktiven Nutzenden nicht
mehr aktiv für die Partnervermittlung bearbeitet, speichert sie die Daten weiter, obwohl sie
diese nicht mehr benötigt. Diese zeitlich unbeschränkte Bearbeitung der Daten von inaktiven
Nutzern durch die Once Dating AG verletzt deshalb den Grundsatz der Treu und Glauben
und der Verhältnismässigkeit.
3.3.1.4.
Löschung von Personendaten, deren Bearbeitung ausgelagert wurde
114.
Der Löschprozess der Once Dating AG, welcher in Ziff. 46 beschrieben wird, beinhal-
tet nicht die Daten, welche durch Auftragnehmer bearbeitet werden. Dies bedeutet, dass die
Once Dating AG bei einem Löschbegehren zwar diejenigen Daten löscht, die bei ihr gespei-
chert sind, aber nicht unbedingt diejenigen, deren Bearbeitung an Datenbearbeiter ausgela-
gert wurde. Diesbezüglich hat sie keinen proaktiven Prozess. Folglich bleiben gewisse Perso-
nendaten bei den Auftragsbearbeitern der Once Dating AG gespeichert.
115.
Art. 10a Abs. 1 lit. a DSG sieht aber vor, dass der Auftragnehmer die Daten nur so be-
arbeiten darf, wie der Auftraggeber selbst es tun dürfte. Dies bedeutet, dass dieser keine Da-
ten weiterbearbeiten darf, die eine Person betreffen, welche die Löschung ihrer Daten beim
Inhaber der Datensammlung verlangt hat. Die Once Dating AG ist aufgrund des Bearbei-
tungsgrundsatzes der Rechtmässigkeit und der Verhältnismässigkeit verpflichtet, für die Lö-
schung dieser Daten zu sorgen, auch wenn sie Dritte (Auftragsdatenbearbeiter) mit deren Be-
arbeitung beauftragt hat. Zum Beispiel, indem sie das Begehren an den Dritten zur Erledi-
gung weiterleitet, wenn sie nicht selbst in der Lage ist, die Löschung zu veranlassen.
116.
Es verstösst gegen die Grundsätze der Rechtmässigkeit und der Verhältnismässig-
keit, wenn die Auftragnehmer der Once Dating AG in ihrem Auftrag Daten, deren Löschung
der Nutzer oder die Nutzerin ausdrücklich verlangt hat bzw. die nicht mehr benötigt werden,
weiterbearbeiten.
3.3.1.5.
Schlussfolgerung
117.
Das Verfahren zur Bearbeitung von Löschbegehren ist insofern mit dem Grundsatz
der Verhältnismässigkeit, Rechtmässigkeit und Treu und Glauben zu vereinbaren, als die
Once Dating AG Löschbegehren und über verschiedenen unkomplizierten Kanälen erhält und
diese in kurzer Zeit (24 Stunden) bearbeitet. Hingegen wird dem Grundsatz von Treu und
Glauben nicht genügend getan hinsichtlich der Qualität der Informationen über die
Löschmöglichkeiten, die den Nutzerinnen und Nutzern bereitgestellt werden sowie der Zu-
gänglichkeit der In-App Kontaktoption, die u.E. nicht ausreichend erkennbar ist. Aufgrund der
fehlenden Übersichtlichkeit der Optionen für die Einreichung eines Löschbegehrens ist nicht
auszuschliessen, dass Personen, die ihr Konto löschen wollten, aber nicht wissen, wie genau
dies verlangt werden kann, kein Löschbegehren einreichen, aber die App nicht mehr nutzen
und als inaktive Nutzenden gelten. Die Once Dating AG bearbeitet deren Daten nicht mehr
aktiv, aber speichert sie weiter, obwohl sie diese nicht mehr benötigt, was einen Verstoss ge-
gen den Grundsatz der Verhältnismässigkeit darstellt. In diesem Sinne und vor dem Hinter-
grund, dass die Information, dass eine Person ein Profil in einer Dating-App hat, unter Um-
ständen auch Rückschlüsse über ihre Intimsphäre erlaubt, müsste die Once Dating AG auch
eine maximale Aufbewahrungsfrist für inaktive Konten festlegen.






34/44



118.
Angesichts der Tatsache, dass die Once Dating AG keinen aktiven Prozess hat, um
sicherzustellen, dass die Daten, die von den Löschbegehren betroffen sind, aber von Auf-
tragsbearbeitern der Once Dating AG bearbeitet werden, ebenfalls gelöscht werden, erfolgt
die weitere Bearbeitung dieser Daten unter Missachtung des Grundsatzes der Rechtmässig-
keit, der Verhältnismässigkeit und der Treu und Glaube. Ausserdem ist es nicht auszuschlies-
sen, dass die Daten, die gelöscht werden sollten, die aber durch Auftragnehmer bearbeitet
werden, weiterhin bei diesen vorhanden sind. Dies stellt einen Verstoss gegen den Grund-
satz der Rechtmässigkeit, der Treu und Glaube und der Verhältnismässigkeit dar. Dies führt
zu einer Persönlichkeitsverletzung gemäss Art. 12 Abs. 2 lit. a DSG. Dementsprechend muss
die Once Dating AG die Personendaten von inaktiven Konten in ihren Löschungsprozess in-
tegrieren, um diese von sich aus zu löschen, soweit eine Weiterbearbeitung nicht zu anderen
Zwecken notwendig ist oder eine Weiterbearbeitung aus anderen Gründen nicht gerechtfer-
tigt werden könnte.
3.4. Datenweitergabe an «Dienstleister»
3.4.1. Anforderungen an einer Auftragsdatenbearbeitung (Art. 10a DSG)
119.
Gemäss Art. 10a DSG darf ein Verantwortlicher die Bearbeitung von Personendaten
einem Dritten (Auftragnehmer) übertragen. Eine Auftragsbearbeitung i.S.v. Art. 10a DSG
setzt die Erfüllung bestimmter Anforderungen voraus: Der Dritte darf die Daten nur so verar-
beitet, wie es der Verantwortliche selbst tun dürfte, es gibt keine gesetzlichen oder vertragli-
chen Geheimhaltungspflichten, die einer Auslagerung dieser Datenbearbeitung entgegenste-
hen, und der Verantwortliche stellt sicher, dass der Dritte die Sicherheit der Daten gewähr-
leistet.
120.
Wer einem Dritten den Auftrag zur Datenbearbeitung gibt, muss dafür sorgen, dass
dieser die datenschutzrechtlichen Schranken in gleicher Weise beachtet, wie er es selbst tun
müsste. Dies gilt für jegliche Bearbeitungsart, von der Erhebung bis zur allfälligen Weitergabe
der Daten. Bei der Übertragung der Bearbeitung an einen Dritten muss der Auftraggeber in
Analogie zu Art. 55 des Bundesgesetzes über das Obligationenrecht alle gebotene Sorgfalt
aufwenden, um Verstösse gegen das Datenschutzgesetz zu verhindern. Das betrifft insbe-
sondere die Einhaltung der allgemeinen Grundsätze, der Regeln betreffend die Datensicher-
heit, sowie der Regeln betreffend die Bekanntgabe ins Ausland. Er ist daher verpflichtet, sei-
nen Auftragsbearbeiter sorgfältig auszuwählen, ihn angemessen zu instruieren und soweit als
nötig zu überwachen (BBl 1988 II 413, S. 463).
121.
Die Aufführung von Art. 12 Abs. 2 DSG ist nicht abschliessend, sondern nur exempla-
risch. Eine Persönlichkeitsverletzung kann demnach auch vorliegen, wenn andere Daten-
schutzvorgaben nicht eingehalten werden. So ist beispielsweise von einer widerrechtlichen
Persönlichkeitsverletzung auszugehen, wenn die Anforderungen an einer Auftragsbearbei-
tung von Art. 10a DSG nicht eingehalten werden. Sind diese Bedingungen nicht gegeben,
dann darf der Verantwortliche die dafür geltende Privilegierung für Auftragsbearbeitungen
nicht für sich in Anspruch nehmen. Dies bedeutet, die Datenbekanntgabe an den Dritten
muss gemäss Art. 13 DSG gerechtfertigt werden, sonst wird die Persönlichkeit der betroffe-
nen Personen widerrechtlich verletzt.
3.4.2. Einhaltung der Anforderungen nach Art. 10a DSG
122.
Die Dienstleister, die in der Datenschutzrichtlinie der Once Dating AG als Datenemp-
fänger erwähnt werden, sind in erster Linie Auftragnehmer der Once Dating AG, denn sie
übertragt ihnen gewisse Personendaten, damit sie diesen für die von ihr festgelegten Zwecke
bearbeiten. In diesem Sinne ist die Once Dating AG gemäss Art. 10a DSG verpflichtet, ihre
Dienstleister sorgfältig auszuwählen und so zu instruieren und zu überwachen, dass sie die






35/44



Daten nur weisungsgemäss bearbeiten und auch die Datenschutzbestimmungen insbeson-
dere hinsichtlich Datensicherheit und Übermittlung ins Ausland einhalten. Werden die Anfor-
derungen von Art. 10a DSG nicht eingehalten, gilt diese Übertragung als eine Datenbekannt-
gabe an Dritte, für die der Verantwortliche die für Auftragsbearbeitung geltende Privilegierung
nicht für sich in Anspruch nehmen kann, so dass sie gerechtfertigt werden muss. Kann sie
nicht gerechtfertigt werden, wird die Persönlichkeit der betroffenen Personen widerrechtlich
verletzt.
123.
Die Verträge bzw. Vereinbarungen zwischen der Once Dating AG und ihren Dienst-
leistern sind nicht Gegenstand der vorliegenden Abklärung. Darum verzichten wir darauf zu
prüfen, ob diese tatsächlich den Anforderungen an einer Auftragsdatenbearbeitung nach Art.
10a DSG genügen. Wir konnten allerdings im Rahmen unserer Abklärung zwei Mängel in Zu-
sammenhang mit der Auslagerung von Personendaten durch die Once Dating AG an ihren
Dienstleister feststellen.
3.4.2.1.
Übermittlung ins Ausland
124.
Erstens konnten wir feststellen, dass alle Auftragsdatenbearbeiter der Once Dating
AG Daten in Drittländern bearbeiten und nicht nur AWS, wie die Once Dating AG in ihrer Ant-
wort auf unsere Fragen angegeben hat (siehe Ziff. 36 ff.). Die Einhaltung der Vorgaben von
Art. 6 DSG durch die Auftragnehmer der Once Dating AG steht ausserhalb des Rahmens die-
ser Abklärung. Wie bereits unter Ziff. 119 ausgeführt, ist die Once Dating AG als Auftragge-
berin aber verpflichtet, sorgfältig zu prüfen, ob ihre Auftragnehmer die Datenschutzvorgaben
einhalten und trägt die Verantwortung für die Einhaltung der Regeln betreffend Datenüber-
mittlung ins Ausland, wenn diese Datenbekanntgabe in Rahmen einer Auftragsdatenbearbei-
tung erfolgt.
125.
Unabhängig von der Frage, ob die von den Dienstleistern in ihren jeweiligen Daten-
schutzerklärungen im Zusammenhang mit der Datenübermittlung ins Ausland erwähnten Si-
cherheitsvorkehrungen (siehe Ziff. 39) die Anforderungen von Art. 6 DSG tatsächlich erfüllen,
kommen wir aufgrund der Tatsache, dass die Once Dating AG in ihrer Antwort nur AWS er-
wähnt hat, zu dem Schluss, dass sie ihre Dienstleister in dieser Hinsicht nicht angemessen
überprüft und keine besonderen Vorkehrungen getroffen hat um sicherzustellen, dass die von
ihren Dienstleistern in Drittländer übermittelten Daten angemessen geschützt bleiben. In die-
sem Sinne ist davon auszugehen, dass die Once Dating AG nicht genügend getan hat, um
sicherzustellen, dass ihre Auftragnehmer die Regeln betreffend Datenübermittlung ins Aus-
land einhalten. Somit hat sie die Anforderungen von Art. 10a DSG nicht eingehalten und
könnte zugleich selbst Art. 6 DSG verletzt haben.
3.4.2.2.
Bearbeitung von Personendaten für Zwecke Dritter
126.
Zweitens stellten wir fest, dass einige Dienstleister der Once Dating AG Personenda-
ten nicht nur nach der Weisung der Auftraggeberin Once Dating AG, sondern auch für eigene
Zwecke bearbeiten. Dies verstösst gegen den Grundsatz der Zweckbindung und steht der
Natur einer Auftragsdatenbearbeitung entgegen. Immer, wenn Datenbearbeiter Personenda-
ten, die sie von Auftraggeber erhalten, für eigene Zwecke bearbeiten, gilt dies als eine Daten-
bekanntgabe an Dritte, für die der Verantwortliche die für Auftragsbearbeitung geltende Privi-
legierung nicht für sich in Anspruch nehmen kann, so dass sie gerechtfertigt werden muss.
3.4.3. Schlussfolgerung
127.
Gemäss unserer Abklärung bearbeiten alle Auftragnehmer entgegen ihrer Angaben
Personendaten in Drittländern ohne angemessenes Datenschutzniveau und manche bearbei-
ten Personendaten für eigene Zwecke. Die Once Dating AG hat nicht sichergestellt, dass ihre
Auftragnehmer die Daten nur weisungsgemäss bearbeiten. Da die Anforderungen an einer






36/44



Auftragsbearbeitung von Art. 10a DSG nicht eingehalten werden, muss die Once Dating AG
diese Datenbekanntgabe an Dritte gemäss Art. 13 DSG rechtfertigen, sonst wird die Persön-
lichkeit der betroffenen Personen gemäss Art. 12 Abs. 1 DSG widerrechtlich verletzt. Sie trägt
ausserdem die Verantwortung für die Einhaltung von Art. 6 DSG, wenn die Datenübermittlung
ins Ausland in Rahmen einer Auftragsdatenbearbeitung erfolgt.
3.5. Einhaltung der Anforderungen an die Datensicherheit
3.5.1. Schutz des Systems gegen datenschutzrechtlich relevante Risiken
128.
Gemäss Art. 7 DSG i.V.m. Art. 8 VDSG ist eine Privatperson, die Personendaten be-
arbeitet, verpflichtet, den Grundsatz der Datensicherheit einzuhalten. Das heisst, sie hat für
die Vertraulichkeit, die Verfügbarkeit und die Integrität der Daten zu sorgen, um einen ange-
messenen Datenschutz zu gewährleisten. Dabei muss sie vor allem die Systeme gegen fol-
gende Risiken schützen: unbefugte oder zufällige Vernichtung; zufälligen Verlust; technische
Fehler; Fälschung, Diebstahl oder widerrechtliche Verwendung der Daten; unbefugtes Än-
dern, Kopieren, Zugreifen oder andere unbefugte Bearbeitungen. Die Massnahmen müssen
dem Zweck der Datenbearbeitung, der Art und dem Umfang der Datenbearbeitung, den mög-
lichen Risiken für die betroffenen Personen und dem gegenwärtigen Stand der Technik ange-
messen sein.
129.
Das Gesetz verzichtet darauf, die Sicherheitsmassnahmen im Detail zu regeln. Es
verfolgt aber einen risikobasierten Ansatz. Das Risiko, das mit einer Bearbeitung einhergeht,
muss in Beziehung gesetzt werden zu den technischen Möglichkeiten, um dieses zu verrin-
gern. Je höher das Risiko, je grösser die Eintrittswahrscheinlichkeit und je umfangreicher die
Datenbearbeitung ist, umso höher sind die Anforderungen an die technischen Vorkehren, da-
mit sie als angemessen gelten können. Es liegt in der Verantwortung des Inhabers der Da-
tensammlung, die Sicherheitsbedürfnisse für seine Datenbearbeitungen zu definieren und die
nötigen Sicherheitsmassnahmen anzuordnen.
3.5.1.1.
Schutz gegen unbefugte Datenbearbeitung
130.
Gemäss der Once Dating AG sollen grundsätzlich nur registrierte Nutzer und berech-
tigte Dritte auf Personendaten der registrierten Nutzerinnen und Nutzer zugreifen können.
Um zu verhindern, dass Unbefugte mittels Bots auf die Daten zugreifen, führt die Once Da-
ting AG bei der Registrierung neuer Nutzer eine Verifikation durch. Das Verifikationsverfahren
dient nicht einer Verifizierung der echten Identität einer Person, sondern der Vermeidung von
computergenerierten Anmeldungen. Wer sich mit einer Handynummer anmeldet, wird mittels
eines SMS-Verifizierungsprozesses verifiziert. Bei einer Anmeldung über Facebook-Connect
wird die Identität der Nutzender verifiziert, indem das Nutzerprofil bei Once mit einem beste-
henden Facebook-Profil verknüpft wird. Wenn man sich für die Verifizierung per Apple ID ent-
scheidet, erhält die Once Dating AG, je nach den gewählten Einstellungen, die E-Mail-Ad-
resse oder einen Proxy der E-Mail-Adresse der Nutzerin oder des Nutzers. Zudem hat die
Once Dating AG verschiedene Massnahmen ergriffen, um offensichtliche Fake-Profilen zu
erkennen und zu blockieren.
131.
Die registrierenden Personen zu verifizieren ist wichtig, um die Datensicherheit im
System zu gewährleisten. Nutzende einer Dating App, die aufgefordert werden, echte Anga-
ben über sich zu machen, um eine passende Partnerin oder Partner vom Algorithmus vermit-
telt zu bekommen, können erwarten, dass ihre Profile nur durch echte Personen eingesehen
werden. In diesem Zusammenhang müssen wir feststellen, dass die Verifizierung über Face-
book sowie über die Telefonnummer die Erstellung von Profilen durch Bots nicht vollständig
verhindern können, sie erschweren aber das Erstellen von Fake-Profile und stellen die übli-
chen Verifikationsverfahren im elektronischen Bereich dar.






37/44



132.
Ausserdem ist niemand dazu verpflichtet, sich ein Konto bei Facebook anzulegen, um
sich bei der App Once zu registrieren, es bestehen Alternativen zu diesem Verifizierungpro-
zess. Insgesamt erscheint das Verifizierungsverfahren der Once Dating AG nach heutigem
Stand der Technik als angemessen, um zusammen mit den weiteren Massnahmen zur Miss-
brauchsbekämpfung die App gegen Bots zu schützen. Die Once Dating AG bleibt aber in der
Pflicht stets zu prüfen, ob diese Massnahme auch in der Zukunft geeignet bleiben und dem
aktuellen Stand der Technik weiterhin entsprechen, um den diesbezüglichen Anforderungen
der Datensicherheit zu genügen und diese ggf. durch sichere Login-Möglichkeiten zu ersetz-
ten.
3.5.1.2.
Periodische Evaluation der Sicherheitsmassnahmen und Durchführung
von Schwachstellentests
133.
Eine wichtige organisatorische Massnahme ist die periodische Evaluation der Sicher-
heitsmassnahmen. Neben der Überprüfung der Massnahmen selbst ist zu klären, ob sie noch
dem Stand der Technik entsprechen und, ob die getroffenen Massnahmen tatsächlich ihren
Zweck erfüllen. Dabei ist es sinnvoll, die technischen Massnahmen einer Kontrolle zu unter-
ziehen, um zu prüfen, ob sie das System wirksam vor möglichen Angriffen schützen können.
In diesem Zusammenhang soll der Inhaber der Datensammlung Schwachstellentests (Vulne-
rability Scans) durchführen, um das System auf Sicherheitslücken zu überprüfen.
134.
Die Once Dating AG führt aktuell interne Schwachstellentests durch, und bei der Im-
plementierung neuer Funktionen in der App werden diese von einer zweiten Person des
Teams vorgängig überprüft und analysiert, bevor die App wieder produktiv gesetzt wird. Au-
dits oder Penetrationstests durch externe Prüfer wurden bisher jedoch noch nicht durchge-
führt.
135.
Bei der Definition der angemessenen Schutzmassnahmen sind auch die Mittel, die
dem Inhaber der Datensammlung zur Verfügung stehen, von Bedeutung. Die Once Dating
AG ist zwar ein kleines Startup Unternehmen, wurde jedoch im Januar 2021 für 18 Million
Dollar durch die Dating Group aufgekauft. Ihr Team soll auch von 4 auf 12 Mitarbeitenden
vergrössert werden. In diesem Zusammenhang gehen wir davon aus, dass die Once Dating
AG über die notwendigen Mittel verfügt, periodisch ihre Sicherheitsmassnahmen zu überprü-
fen und neben den internen Schwachstellentests auch Schwachstellentests durch externe
Prüfer durchzuführen zu lassen, um ihre Systeme auf Sicherheitslücken zu überprüfen.
3.5.1.3.
Schlussfolgerung
136.
Was die Gewährleistung der Datensicherheit betrifft, so stellen wir fest, dass die
Once Dating AG ihre Sicherheitsmassnahmen nicht durch Externe prüft, was angesichts der
Sensibilität der durch die App bearbeiteten Daten eine angemessene Sicherheitsmassnahme
zum Schutz von Personendaten vor unbefugter Bearbeitung wäre. Dies ist eine Verletzung
der Pflicht des Verantwortlichen, angemessene Schutzmassnahmen zur Gewährleistung der
Datensicherheit zu treffen.
3.6. Persönlichkeitsverletzungen
137.
Wie oben ausgeführt, hat die Once Dating AG die Persönlichkeit ihrer Nutzerinnen
und Nutzer verletzt, indem sie Datenbearbeitungen entgegen den Datenschutzgrundsätzen
gemäss Art. 4 und Art. 7 DSG durchgeführt hat (siehe Schlussfolgerungen 3.2.3.5, 3.3.1.5,
und 3.4.3) und, in Verletzung von Art. 10a DSG, Personendaten an Dritte bekanntgegeben
hat (siehe Schlussfolgerung 3.4.3). Im Folgenden ist zu prüfen, ob die Persönlichkeitsverlet-
zungen gerechtfertigt werden können.






38/44



3.6.1. Rechtfertigung
138.
Eine Persönlichkeitsverletzung ist nicht widerrechtlich, wenn sie durch eine Rechts-
grundlage, die Einwilligung der Betroffenen oder durch ein überwiegendes privates oder öf-
fentliches Interesse gerechtfertigt werden kann. Vorliegend würden insbesondere die Einwilli-
gung der betroffenen Person und ein überwiegendes privates Interesse im Betracht kommen.
Da für die Datenbearbeitungen der Once Dating AG keine gesetzliche Grundlage besteht,
fällt diese als Rechtfertigungsgrund ausser Betracht und wird im Folgenden nicht mehr weiter
geprüft.
3.6.2. Einwilligung der betroffenen Person
139.
Die Once Dating AG hält in ihren Ausführungen fest, dass sie Personendaten der Nut-
zerinnen und Nutzer gestützt auf deren Einwilligung bearbeitet. Folgend wird geprüft, ob die
Einwilligung der Nutzenden, welche zum Zeitpunkt der Registrierung eingeholt wird, die fest-
gestellten Persönlichkeitsverletzungen zu rechtfertigen vermag.
3.6.2.1.
Anforderungen an einer gütigen Einwilligung
140.
Gemäss Art. 4 Abs. 5 DSG ist eine Einwilligung erst gültig, wenn sie nach angemes-
sener Information freiwillig erfolgt. Bei der Bearbeitung von besonders schützenswerten Per-
sonendaten oder Persönlichkeitsprofilen muss die Einwilligung zudem ausdrücklich erfolgen.
141.
In der Rechtsprechung zu Helsana+ führt das Bundesverwaltungsgericht ausserdem
aus, dass es nicht genügt, wenn die Einwilligung breit und ohne Einschränkungen formuliert
ist, weil dadurch der Inhaber der Datensammlung eine über den notwendigen Zweck der Da-
tenbearbeitung hinausgehende Einwilligung einholen würde. Zudem würde eine Einwilligung,
die auf mehrere Bestimmungen verteilt ist (z.B. Nutzungsbedingungen und Datenschutzerklä-
rung), welche die Nutzerinnen und Nutzer durch Anklicken einer Schaltfläche genehmigen
würden, den Voraussetzungen einer angemessenen Information für die Gültigkeit einer Ein-
willigung nach Art. 4 Abs. 5 DSG nicht entsprechen. Dies, weil dieses Vorgehen es den be-
troffenen Personen erschwert zu erkennen, in welche Datenbearbeitungen sie einwilligen
(BVerG, Urteil vom 19. März 2019, A-3548/2018, E. 4.8.4). In diesem Zusammenhang wird
eine Information über die Datenkategorien und die Bearbeitungszwecke, welche gestützt auf
die Einwilligung der betroffenen Personen erfolgen, vorausgesetzt.
3.6.2.2.
Erteilte Einwilligung
142.
Die Einwilligung der Nutzer holt die Once Dating AG im Rahmen der Registrierung
ein, indem die Nutzer das Kästchens neben der Aussage: «Ich akzeptiere, dass Once einige
meiner personenbezogenen Daten sammelt und weiterverarbeitet, um ihren Dienst bereitzu-
stellen» ankreuzen (siehe Ziff. 59). Dies erfordert eine aktive Handlung der Nutzer. Dabei be-
zieht sich die Einwilligung auf die Nutzungsbedingungen und die Datenschutzrichtlinie.
3.6.2.3.
Grenzen der erteilten Einwilligung
143.
Die Einwilligung kann nur die Datenbearbeitungen rechtfertigen, über welche die Nut-
zenden vor der Erteilung der Einwilligung angemessen informiert werden. Die Once Dating
AG hat den Transparenzgrundsatz hinsichtlich gewisser Bearbeitungszwecke der Once Da-
ting AG (siehe Ziff. 3.2.3.5) und Datenbekanntgabe an Dritte (siehe Ziff. 3.4.2.2) verletzt, weil
sie die betroffenen Nutzerinnen und Nutzer über diese Aspekte nicht angemessen in ihrer
Datenschutzrichtlinie bzw. Nutzungsbedingungen informiert. Daraus folgt, dass die von den
Nutzenden bei der Registrierung erteilte Zustimmung die Persönlichkeitsverletzung nicht
rechtfertigen kann, die aus einem Verstoss gegen den Grundsatz der Transparenz resultiert.






39/44



144.
Die Einwilligung im Sinne von Art. 6 Abs. 2 lit. b DSG kann eine Datenübermittlung in
Drittländer ohne hinreichende Garantien grundsätzlich rechtfertigen. Allerdings betrifft diese
Bestimmung gemäss der Botschaft eine konkrete ausservertragliche Situation. Das heisst,
dass die Einwilligung nur im konkreten Einzelfall für Übermittlungen ins Ausland herangezo-
gen werden kann. Hinzukommt, dass aus den Informationen, die den Nutzenden bereitge-
stellt werden, nicht abgeleitet werden kann, dass die Once Dating AG ihre Datenübermittlung
ins Ausland auf der Grundlage der Einwilligung der betroffenen Nutzer vornimmt, sodass
nicht davon ausgegangen werden kann, dass die Nutzenden akzeptieren, dass ihre Daten in
Drittländer ohne hinreichende Garantien übermittelt werden. Folgend kann die Einwilligung
der betroffenen Personen die festgestellte Verletzung von Art. 6 nicht rechtfertigen (siehe Ziff.
3.2.3.4).
145.
Ebenfalls kann die Verletzung der Rechtmässigkeits- und Verhältnismässigkeitsgrund-
sätze sowie des Grundsatzes der Treu und Glauben in Zusammenhang mit der Bearbeitung
von Löschbegehren und von Personendaten inaktiver Nutzenden (siehe Ziff. 3.3.1) nicht
durch die Einwilligung der betroffenen Person gerechtfertigt werden. Die Personen, welche
zum Zeitpunkt der Registrierung ihre Zustimmung zu der Bearbeitung ihrer Personendaten
durch die Once Dating AG erteilt haben, haben diese durch das Einreichen eines Löschbe-
gehrens implizit zurückgezogen. Die Tatsache, dass die Once Dating AG die Bearbeitung ge-
wisser Personendaten an ihre Auftragnehmer delegiert hat, so dass diese nicht unter ihrer
direkten Kontrolle stehen, ändert nichts an ihrer Verpflichtung, diese Daten unverzüglich zu
löschen. In Bezug auf die Bearbeitung von Personendaten von inaktiven Nutzenden stellen
wir ausserdem fest, dass aus der Datenschutzrichtlinie nicht abgeleitet werden kann, dass
die Personendaten der Nutzer für immer aufbewahrt werden, auch wenn die Profile inaktiv
werden. Vielmehr wird durch folgende Aussage den Eindruck erweckt, dass sie gemäss ei-
nem Löschkonzept gelöscht werden, wenn sie nicht mehr gebraucht werden: «Die personen-
bezogenen Daten werden nicht länger als die für die Zwecke, für die sie erhoben und verar-
beitet werden, erforderliche Dauer aufbewahrt.
146.
Die festgestellte Verletzung des Datensicherheitsgrundsatzes (siehe Ziff. 3.5.1.3)
kann ebensowenig durch die erteilte Einwilligung gerechtfertigt werden, denn in der Daten-
schutzrichtlinie wird ausgeführt, dass die Once Dating AG «sämtliche zweckmäßigen Vorkeh-
rungen [trifft], um die Sicherheit Ihrer personenbezogenen Daten zu gewährleisten und insbe-
sondere ihre Verfälschung und Beschädigung oder den unbefugten Zugriff durch Dritte zu
verhindern.».
3.6.2.4.
Schlussfolgerung
147.
Aus den oben genannten Gründen können die festgestellten Persönlichkeitsverletzun-
gen nicht durch die Einwilligung der betroffenen Nutzenden gerechtfertigt werden.
3.6.3. Überwiegendes privates Interesse
3.6.3.1.
Vertrag zwischen Nutzenden und der Once Dating AG
148.
Eine Verletzung der Persönlichkeit ist ebenfalls nicht widerrechtlich, wenn sie durch
ein überwiegendes privates Interesse gerechtfertigt ist. Gemäss Art. 13 Abs. 2 lit. a DSG fällt
ein überwiegendes Interesse des Verantwortlichen insbesondere in Betracht, wenn dieser in
unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags Per-
sonendaten über seinen Vertragspartner bearbeitet.
149.
In den Nutzungsbedingungen der App Once wird Folgendes ausgeführt: «Bei der Be-
stätigung seiner Anmeldung für die App und/oder auf der Website hat der Nutzer die Daten-
schutzrichtlinie von ONCE zur Kenntnis zu nehmen: Die Verarbeitung persönlicher Daten
durch ONCE ist zur Erfüllung eines Vertrags, bei dem das Mitglied Vertragspartei ist, erfor-
derlich.». In der Datenschutzrichtlinie der Once Dating AG steht ausserdem: «Once erhebt,






40/44



verarbeitet und verwendet Ihre personenbezogenen Daten, um: Ihnen die Verwendung der
App und die Nutzung der Dienste zu erlauben; per E-Mail, SMS oder auf dem Postweg mit
Ihnen zu kommunizieren; unseren Service zu verbessern (nämlich: Analyse von Daten, For-
schung und Entwicklung, Aufdeckung betrügerischer Verhaltensweisen; wobei alleine auf der
Grundlage einer automatisierten Verarbeitung keine Entscheidung eines Eingreifens getrof-
fen wird). Diese von Once durchgeführte Verarbeitung personenbezogener Daten ist für die
Erfüllung eines Vertrages, von dem das Mitglied Vertragspartei ist, notwendig».
150.
Daraus folgt, dass die Once Dating AG möglicherweise die festgestellten Persönlich-
keitsverletzungen durch ein überwiegendes privates Interesse, nämlich die Bearbeitung von
Personendaten über ihre Nutzer (Vertragspartner) in unmittelbarem Zusammenhang mit dem
Abschluss oder der Abwicklung des Vertrags, welchen diese durch die Annahme der Nut-
zungsbedingungen der Once Dating AG abschliessen, rechtfertigen könnte. Dies soll im Fol-
genden geprüft werden. Darüber hinaus sehen wir kein weitergehendes Interesse der Once
Dating AG, das im vorliegenden Fall das Interesse der betroffenen Personen überwiegen
könnte, um die festgestellten Persönlichkeitsverletzungen zu rechtfertigen.
151.
In unmittelbarem Zusammenhang mit dem Abschluss oder Abwicklung eines Vertrags
sind alle Bearbeitungen zu verstehen, die aus technischer oder wirtschaftlicher Sicht notwen-
dig sind, so dass der Vertrag erfüllt werden kann. Die Notwendigkeit muss objektiv und im
Hinblick auf den Grundsatz der Verhältnismässigkeit gemessen werden. Vorliegend kann die
Once Dating AG diesen Rechtfertigungsgrund geltend machen, um Datenbearbeitungen zu
rechtfertigen, ohne welche sie die App Once technisch oder wirtschaftlich nicht betreiben
kann.
152.
Nach der Rechtsprechung des Bundesgerichts i.S. Logistep (BGE 136 II 508 E. 5.2.4),
kann eine Rechtfertigung der Bearbeitung von Personendaten entgegen der Grundsätze von
Art. 4, Art. 5 Abs. 1 und Art. 7 Abs. 1 DSG im konkreten Fall nur mit grosser Zurückhaltung
bejaht werden. Von den im Rahmen dieser Sachverhaltsabklärung festgestellten Persönlich-
keitsverletzungen sind alle, ausser die Persönlichkeitsverletzung beim Verstoss gegen Art.
10a DSG (siehe Ziff. 3.4.2.2), Persönlichkeitsverletzungen, welche aufgrund einer Bearbei-
tung von Personendaten entgegen der Grundsätze von Art. 4, Art. 5 Abs. 1 und Art. 7 Abs. 1
DSG herbeigeführt werden.
153.
Die Once Dating AG hat den Transparenzgrundsatz hinsichtlich gewisser Bearbei-
tungszwecke der Once Dating AG (siehe Ziff. 3.2.3.5) und der Weitergabe von Personenda-
ten an Dritte, welche diese im eigenen Interesse bearbeiten (siehe Ziff. 3.4.2.2) verletzt. An-
gesichts der Tatsache, dass angemessene Information über die durchgeführten Datenbear-
beitungen eine Grundbedingung des informationellen Selbstbestimmungsrechts ist, kann die-
ses Interesse dem Interesse der betroffenen Personen nicht überwiegen. Somit kann die
Once Dating AG die Verletzung des Transparenzgrundsatzes nicht durch ein überwiegendes
Interesse im Sinne von Art. 13 Abs. 2 lit. a DSG rechtfertigen.
154.
Die Datenweitergabe an Dritte selbst könnte theoretisch gerechtfertigt werden, wenn
die Once Dating AG darlegen könnte, dass sie an die Dienstleistung durch diese Dritte unter
den von ihnen festgelegten Konditionen angewiesen wäre, um die App wirtschaftlich zu be-
treiben. Ohne eine Abklärung bezüglich der Notwendigkeit dieser Datenbekanntgabe an
Dritte können wir jedoch nicht davon ausgehen, dass diese durch ein überwiegendes Inte-
resse der Once Dating AG gerechtfertigt werden. Somit erachten wir diese Persönlichkeits-
verletzungen als widerrechtlich.
155.
Die Weiterbearbeitung von Personendaten von Nutzenden, welche ein Löschbegeh-
ren eingereicht haben, aber die bei Auftragnehmer der Once Dating AG bearbeitet werden
und von Personendaten inaktiver Nutzenden stellt einen Verstoss gegen den Bearbeitungs-
grundsätze der Rechtmässigkeit und der Verhältnismässigkeit sowie der Bearbeitung nach
Treu und Glauben dar (siehe Ziff. 3.3.1). Diese Weiterbearbeitung kann nicht durch das






41/44



überwiegende private Interesse der Once Dating AG gerechtfertigt werden, weil diese Daten
nicht benötigt werden, um die App technisch oder wirtschaftlich zu betreiben.
156.
Die festgestellte Verletzung des Datensicherheitsgrundsatzes (siehe Ziff. 3.5.1.3) kann
ebenfalls nicht durch ein überwiegendes Interesse der Once Dating AG gerechtfertigt werden,
denn in Art. 7 Abs. 1 DSG ist eine Angemessenheitsprüfung bereits integriert. Bei der Prüfung
der Angemessenheit der getroffenen Schutzmassnahmen wurden die Interessen der Once Da-
ting AG bereits berücksichtigt. Somit kann diese Persönlichkeitsverletzung nicht durch ein
überwiegendes privates Interesse gerechtfertigt werden.
3.6.3.2.
Schlussfolgerung
157.
Die Once Dating AG kann die festgestellten Persönlichkeitsverletzungen nicht durch
ein überwiegendes privates Interesse rechtfertigen, womit diese als widerrechtlich zu beurtei-
len sind und daher behoben bzw. vermieden werden müssen.
3.7. Empfehlungen
158.
Gestützt auf Art. 29 Abs. 3 DSG erlässt der EDÖB gegenüber der Once Dating AG die
folgenden Empfehlungen.
159.
In Bezug auf die festgestellten Mängel betreffend die Transparenzanforderungen bzw.
die Qualität der Informationen, die den Nutzenden zur Verfügung gestellt werden, und welche
eine widerrechtliche Persönlichkeitsverletzung herbeiführen (siehe Ziff. 3.2.3.5), macht der
EDÖB gegenüber der Once Dating AG folgende
Empfehlungen:


Die Once Dating AG passt ihre Datenschutzrichtlinie, AGB und FAQ dergestalt an, dass:

1. die Nutzerinnen und Nutzer eindeutig und in verständlicher Sprache über Datenbearbeitungen
der Once Dating AG informiert werden. Dabei muss klar darüber informiert werden, welche
Daten für welche Bearbeitungszwecke bearbeitet werden und an welche Datenempfänger sie
weitergegeben werden. Die Qualität der Informationen hinsichtlich der Bearbeitung zu Marke-
tingzwecken, in Zusammenhang mit den Re-Engagement-Diensten und bezüglich Drittemp-
fängern ist zu verbessern;

2. die Informationen der Datenschutzrichtlinie, der AGB und der FAQ übereinstimmen und Klar-
heit über die Geltung des DSG geschaffen wird;

3. die Datenschutzrichtlinie von jeder Seite der Webseite www.getonce.com aus mit einem Klick
aufgerufen werden kann;

4. differenziert und unmissverständlich informiert wird, welche Bearbeitungsvorgänge gestützt
auf die Einwilligung der betroffenen Personen oder in direkter Beziehung mit dem Vertrag er-
folgen;

5. hinsichtlich der neuen Pflichten gemäss nDSG, korrekt und vollständig über die verwendeten
Garantien für die Datenübermittlung ins Ausland informiert wird (inkl. Link zu den vertraglichen






42/44



Garantien im Falle einer Verwendung von SCC).


160.
In Bezug auf die festgestellten Mängel betreffend die Bearbeitung von Löschbegehren
und die Bearbeitung von Personendaten von inaktiven Nutzenden, welche eine widerrechtli-
che Persönlichkeitsverletzung herbeiführen (siehe Ziff. 3.3.1), macht der EDÖB gegenüber
der Once Dating AG folgende
Empfehlungen:

1. über alle verfügbaren Löschungsmöglichkeiten der Nutzer klar, zentral und einheitlich infor-
miert wird;

2. folgender Satz aus der Datenschutzrichtlinie gestrichen oder angepasst wird, so dass er keine
unzulässige Hürden für die Ausübung von Betroffenenrechten darstellt: «[s]ollten sich die An-
fragen eines Mitglieds als deutlich unbegründet oder über das Maß hinausgehend herausstel-
len (insbesondere aufgrund ihres sich wiederholenden Charakters), ist Once berechtigt, i) an-
gemessene Aufwendungen geltend zu machen, die den Verwaltungskosten für die Bereitstel-
lung der Informationen, den Kommunikationsaufbau oder das Ergreifen der angefragten Maß-
nahmen Rechnung tragen, oder ii) sich weigern, diesen Anträgen Folge zu leisten.»;

Die Once Dating AG passt das Design der App Once wie folgt an:

3. Eine eigenständige Option «Mein Konto löschen» analog zur bestehenden Option «mein
Konto deaktivieren» wird unter Einstellungen eingebaut, um diese in der App auffindbar zu
machen.

Die Once Dating AG ändert ihren Löschprozess wie folgt und informiert darüber in den AGB oder
FAQ:

4. Anstatt inaktive Nutzenden nur im «Matchmaking» zu depriorisieren, deaktiviert die Once Da-
ting AG von sich aus die Konten nach 30 Tagen von Inaktivität und informiert die betroffenen
Nutzenden per E-Mail, dass sie ihr Konto reaktivieren können, wenn sie sich innerhalb von
einem Jahr bei der Anwendung wieder anmelden. Dabei weist die Once Dating AG auch auf
die Möglichkeit hin, die Löschung der eigenen Personendaten jederzeit zu verlangen. Nach
einem Jahr ohne Aktivität löscht die Once Dating AG von sich aus das bereits deaktivierte
Konto endgültig;

5. Die Once Dating AG führt einen Prozess ein, um im Falle eines Löschbegehrens die Lö-
schung oder die Anonymisierung der Daten, die durch Auftragnehmer bearbeitet werden, si-
cherzustellen.








43/44



161.
In Bezug auf die festgestellten Mängel in Zusammenhang mit der Auslagerung von
Personendatenbearbeitungen durch die Once Dating AG an Dritte (siehe Ziff. 3.4.2.2), macht
der EDÖB gegenüber der Once Dating AG folgende
Empfehlungen:


Die Once Dating AG prüft ihre Verträge mit ihren Dienstleistern und trifft Massnahmen, um sicher-
zustellen, dass:

1. die Dienstleister die Anforderungen an einer Datenübermittlung ins Ausland gemäss Art. 6
DSG einhalten;
2. die Dienstleister keine Daten ohne Rechtfertigungsgrund für eigene Zwecke bearbeiten.

162.
In Bezug auf die festgestellten Mängel in Zusammenhang mit der Gewährleistung der
Datensicherheit durch die Once Dating AG (siehe Ziff. 3.5.1.3) macht der EDÖB gegenüber
der Once Dating AG folgende
Empfehlungen:


1. Die Once Dating AG prüft regelmässig ihre Sicherheitsmassnahmen und Verifikationsverfah-
ren, um sicherzustellen, dass diese geeignet bleiben, um ihre Schutzziele zu erreichen;

2. Die Once Dating AG lässt regelmässig Penetrationstests durch externe Auditoren ausführen,
insbesondere, wenn neue Features in die App Once eingebaut werden.


3.8. Stellungnahme der Once Dating AG
163. Mit Schreiben vom 3. März 2023 wurde der Once Dating AG der Bericht zu einer abschliessen-
den Stellungnahme unterbreitet. Die Stellungnahme der Once Dating AG (vgl. Ziff. 165) wird im
Rahmen der Schlussredaktion an dieser Stelle eingefügt.
164. Im Rahmen der Stellungnahme hat die Once Dating AG den EDÖB informiert, dass aufgrund von
Umstrukturierungen die Webseite und die App zwischenzeitlich abgeschaltet wurden. Die Inakti-
ven Nutzerinnen und Nutzer seien gelöscht wurden, aktive Nutzerinnen und Nutzer wurden auf
das neue System transferiert, welches von Xeanco Limited mit Sitz in Hong Kong übernommen
wurde und die Empfehlungen umsetzt.
3.9. Verfahren
3.9.1. Rechtliches Gehör und weiteres Vorgehen
165. Der EDÖB hat der Once Dating AG den vorliegenden Schlussbericht mit Empfehlungen zur Prü-
fung und Stellungnahme vorgelegt. Die Once Dating AG wurde aufgefordert innerhalb von 30 Ta-
gen nach Erhalt zum Bericht Stellung zu nehmen und mitzuteilen, ob sie die Empfehlungen ak-
zeptiert oder andere für die betroffenen Personen gleichwertigen Massnahmen trifft.






44/44



166. Die Once Dating AG hat die Empfehlungen angenommen und gleichzeitig mitgeteilt, dass sie die
Empfehlungen bereits umgesetzt hat oder diese bis Ende 2023 umsetzen wird.
3.9.2. Veröffentlichung des Schlussberichts mit Empfehlungen
167. Es besteht ein grundsätzliches Interesse daran, die Öffentlichkeit für die vorliegende Art der Da-
tenbearbeitung zu sensibilisieren und sie über seine Feststellungen und die Ergebnisse seiner
Abklärung zu informieren, Gestützt auf Art. 30 Abs. 2 DSG wird der EDÖB deshalb den vorliegen-
den Schlussbericht in angepasster Form auf seiner Website (www.edoeb.admin.ch) veröffentli-
chen.
168. Die Veröffentlichung des vollständigen Berichts inklusive Empfehlungen steht unter dem Vorbe-
halt, dass aus Sicht der Once Dating AG keine vertraulichen Daten offengelegt werden, welche
Geschäftsgeheimnisse preisgeben oder die Wettbewerbsfähigkeit beeinflussen könnten. Die
Once Dating AG wurde deshalb aufgefordert, den Bericht auf solche vertraulichen Inhalte zu prü-
fen und gegenüber dem EDÖB innert derselben Frist schriftlich Stellung zu nehmen.
169. Die Once Dating AG hat keine Geschäftsgeheimnisse geltend gemacht. Im Sinne des Persönlich-
keitsschutzes wurden deshalb nur einzelne Namen für die Publikation geschwärzt.


Der Beauftragte:
Die zuständige Juristin:



Adrian Lobsiger





Fabiane Midori Sousa Nakagawa