edoeb · schlussbericht-vom-13-september-2010-betreffend-biometrische-daten-fuer-ein-rese-2010-09-13 · 2010-09-13 · de
Schlussbericht vom 13. September 2010 betreffend Biometrische Daten für ein ReservationssystemPDF148.27 kB13. September 2010
Datenschutz


Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter
EDÖB



Feldeggweg 1, 3003 Bern
Tel. 031 323 74 84, Fax 031 325 99 96
www.edoeb.admin.ch











Verwendung biometrischer Daten
für das Reservationssystem
des Tennisclub XX


Schlussbericht
vom 13. Septembre 2010

der Kontrolle
des Eidgenössischen Datenschutz- und
Öffentlichkeitsbeauftragten (EDÖB)
nach Art. 29 des
Bundesgesetzes über den Datenschutz (DSG)






2/27


Inhaltsverzeichnis

1. Ausgangslage

3
2. Umfang der Kontrolle
3
3. Chronologie der Kontrolle
3
4. Sachverhaltsabklärung vom 11. Februar 2010
4

4.1
Anwesende Personen
4

4.2
Enrolement

4

4.3
Reservation eines Tennisplatzes
4

4.4
Löschung der Daten
5

4.5
Aufklärungs- und Auskunftsrecht
5

4.6
Alternativen zur biometrischen Erfassung
5

4.7
Vorteile des biometrischen Erfassungssystems
5

4.8
Weiterleitung von Daten an aussenstehende Dritte
6

4.9
Serverraum und Server, Datensicherheit
6

4.10 Systemwartung 7
5. Datenschutzrechtliche Beurteilung
7

5.1
Biometrische Daten als Personendaten
7


5.1.1 Ausgangslage
7


5.1.2 Beurteilung aus Sicht des EDÖB
7

5.2
Zweck der Datenbearbeitung
8


5.2.1 Ausgangslage
8


5.2.2 Beurteilung aus Sicht des EDÖB
8

5.3
Rechtmässigkeit der Datenbeschaffung / Einwilligung der Betroffenen
8


5.3.1 Ausgangslage
8


5.3.2 Beurteilung aus Sicht des EDÖB
9

5.4
Bearbeitung nach Treu und Glauben / Transparenz
10


5.4.1 Ausgangslage
10


5.4.2 Beurteilung aus Sicht des EDÖB
10

5.5
Verhältnismässigkeit der Datenbearbeitung
10


5.5.1 Verhältnismässigkeit in inhaltlicher Hinsicht – Ausgangslage
10


5.5.2 Beurteilung der inhaltlichen Verhältnismässigkeit aus Sicht des EDÖB
11



5.5.2.1
Zentrale Speicherung biometrischer Daten
11



5.5.2.2
Veröffentlichung der Reservationsdaten im Internet
12


5.5.3 Verhältnismässigkeit in zeitlicher Hinsicht – Ausgangslage
13


5.5.4 Beurteilung der zeitlichen Verhältnismässigkeit aus Sicht des EDÖB
13

5.6
Zweckbindung der Datenbearbeitung
13


5.6.1 Ausgangslage
13


5.6.2 Beurteilung aus Sicht des EDÖB
13

5.7
Datenrichtigkeit (Zuverlässigkeit, Anwendbarkeit)
14


5.7.1 Ausgangslage
14


5.7.2 Beurteilung aus Sicht des EDÖB
14





3/27



5.8
Datensicherheit
14


5.8.1 Ausgangslage
14


5.8.2 Beurteilung aus Sicht des EDÖB
15

5.9
Auskunftsrecht 15


5.9.1 Ausgangslage
15


5.9.2 Beurteilung aus Sicht des EDÖB
16
6. Ergebnisse

16

6.1
Biometrische Daten als Personendaten
16

6.2
Zweck der Datenbearbeitung
16

6.3
Rechtmässigkeit der Datenbeschaffung / Einwilligung der Betroffenen
17

6.4
Bearbeitung nach Treu und Glauben / Transparenz
18

6.5
Verhältnismässigkeit der Datenbearbeitung
18


6.5.1 Verhältnismässigkeit in inhaltlicher Hinsicht
18



6.5.1.1
Zentrale Speicherung biometrischer Daten
18



6.5.1.2
Veröffentlichung der Reservationsdaten im Internet
19


6.5.2 Verhältnismässigkeit in zeitlicher Hinsicht
20

6.6
Zweckbindung der Datenbearbeitung
20

6.7
Datenrichtigkeit (Zuverlässigkeit, Anwendbarkeit)
21

6.8
Datensicherheit
21

6.9
Auskunftsrecht
22
7. Schlussfolgerung

22

7.1
Bezüglich der Kontrolle der Erhebung biometrischer Daten
22

7.2
Verfahren und weiteres Vorgehen
22











4/27


1. Ausgangslage

Im Sommer 2009 hat der TC XX ein neues System für die Reservation der Tennisplätze eingeführt.
Neu werden die Fingerabdrücke der Mitglieder erfasst und in Form von Templates gespeichert. Jede
Reservation eines Tennisplatzes muss nun mit der Mitgliedernummer und mit Einsatz des Fingerab-
druckes bestätigt werden, damit der Platz bespielt werden darf.

Das neue Reservationssystem soll sicherstellen, dass nur Berechtigte die Plätze des TC XX nutzen.


2. Umfang der Kontrolle

Die Datenschutzkontrolle bezog sich auf die Datenabläufe im Zusammenhang mit dem neuen Reser-
vationssystem. Der Schwerpunkt lag dabei bei der Bearbeitung der erhobenen biometrischen Daten
sowie der im Zusammenhang mit der Online-Reservation veröffentlichten Personendaten.


3. Chronologie der Kontrolle

Anfang Oktober 2009
Der EDÖB erfährt aufgrund von Anfragen von Clubmitgliedern des TC
XX vom biometrischen Reservationssystem des Clubs. Nachdem sich
innerhalb des Clubs Widerstand formiert hat und mehr als 1000 Perso-
nen von diesem Reservationssystem betroffen sind, beschliesst der
EDÖB, eine Sachverhaltsabklärung durchzuführen.
15.10.2009
Der EDÖB informiert den TC XX schriftlich über die geplante Daten-
schutzkontrolle betreffend das Reservationssystem sowie über die ge-
plante Sachverhaltsabklärung vor Ort. Zusätzlich bittet der EDÖB um
Dokumentation über das neue System und um Beantwortung eines
beigelegten Fragebogens.
30.10.2009
Der TC XX beantwortet den Fragekatalog des EDÖB und schickt Unter-
lagen.
03.12.2009
Der EDÖB stellt Rückfragen.
14.12.2009
Der TC XX beantwortet die Rückfragen und schickt weitere Unterlagen.
14.01.2010
Der EDÖB macht Terminvorschläge und bittet und Nennung der anwe-
senden Personen.
27.01.2010
Der Termin wird auf den 11.02.2010 festgelegt.
11.02.2010
Sachverhaltsabklärung mit den verantwortlichen Personen.
2. Hälfte Februar 2010
Mailverkehr zwischen dem EDÖB und dem TC XX betreffend Ergän-
zungsfragen
05.03.2010
Der EDÖB schickt dem TC XX ein Factsheet mit der Bitte um materielle
Bereinigung des Textes und Beantwortung der Ergänzungsfragen.
22.03.2010
Der TC XX bestätigt schriftlich den Inhalt des Factsheets
April 2010
Analyse und Auswertung aller Unterlagen und Sachverhalte sowie Aus-
arbeitung des Schlussberichtes durch den EDÖB.
13. September 2010
Verabschiedung des Schlussberichtes durch den EDÖB.







5/27

4.1 Anwesende Personen :


Präsident des TC XX

Rechtsvertreter des TC XX

Systemverantwortlicher des TC XX

2 Vertreter des Systemlieferanten

2 Mitarbeiter des EDÖB


4.2 Enrolement:

Das Enrolement wird durch das Mitglied selbständig durchgeführt. Die Personalien sowie die Mitglie-
dernummer bestehen bereits auf der Mitgliederdatenbank des Clubs. Das Mitglied gibt seine Mitglie-
dernummer in das System ein und liest seinen Fingerabdruck über einen Scanner ein. Aus dem Scan
wird ein Template mit 12 Minutien extrahiert und unter der Mitgliedernummer auf dem Server „Bio-
metrie“ im vom Lesegerät generierten Format (ASN.1 DER) gespeichert. Wir gehen davon aus, dass
die Templates nur codiert und nicht verschlüsselt gespeichert werden. Der EDÖB verfügen jedenfalls
trotz wiederholtem Nachfragen über keinerlei Informationen, welche eine allfällige Verschlüsselung
belegen würden (Algorithmus, Schlüssel, Länge des Schlüssels).

Das Reservationssystem funktioniert ohne Karten, so dass sämtliche Daten zentral gespeichert wer-
den. Die Templates befinden sich aber nicht auf demselben Rechner wie die übrigen Mitgliederdaten.
Jene sind auf einem PC im Sekretariat (Mitgliederdatenbank) und auf einem Webserver (Reservati-
onssystem) gespeichert. Der PC „Biometrie“ ist dabei durch ein drahtloses Netzwerk (WLAN/WPA) mit
dem Sekretariats-PC verbunden, welcher seinerseits via ADSL mit dem Internet verbunden ist. Es
werden keine Rohdaten des Fingerabdrucks gespeichert. Gemäss Aussage des Herstellers des Le-
segeräts können aus den gespeicherten Templates keine Rohdaten rekonstruiert werden.


4.3 Reservation eines Tennisplatzes

Bevor auf einem Platz gespielt werden darf, muss dieser zwingend reserviert werden. Dies kann ent-
weder vor Ort oder via Internet geschehen. Diese Reservation muss anschliessend bis spätestens 10
Minuten nach Spielbeginn mittels Fingerabdruck bestätigt werden. Es müssen sämtliche Spieler, mit
Ausnahme eingeladener Gäste, ihre Anwesenheit mittels Fingerabdruck bestätigen.

Hierzu gibt das Mitglied seine Mitgliedernummer ein. Es folgt die Aufforderung, seinen Finger auf den
Scanner zu legen. Durch die Mitgliedernummer wird automatisch das dazugehörende Template (Refe-
renzdatum) aufgerufen und mit dem Fingerabdruck des anwesenden Mitglieds verglichen. Es findet
also kein 1:n-Verlgeich (Identifikation) mit der ganzen Datenbank statt, sondern ein 1:1 Vergleich (Ve-
rifikation) über die Mitgliedernummer. Ist die Verifikation aller für die Reservation eingeschriebenen
Mitglieder gelungen, wird die Reservation bestätigt. Gelingt die Verifikation nicht oder wird die Reser-
vation nicht (vollständig) bestätigt, wird die Reservation 10 Minuten nach Beginn der Reservationszeit
gelöscht. Der Platz erscheint im System als „frei“ und darf nicht benützt werden. Wird auf einem Platz
ohne Reservation gespielt, können die Spieler vom Platz gewiesen werden.






6/27


Über die Reservationen werden im Reservationssystem (Webserver) Logfiles erstellt, und auch die
Reservationsdaten selbst werden gespeichert. So ist es möglich, für ca. 1 Jahr Rückwirkend die Re-
servationen und damit die Platznutzung der Mitglieder einzusehen.


4.4 Löschung der Daten

Es werden an drei verschiedenen Orten Personendaten der Mitglieder gespeichert: In der Mitglieder-
datenbank (Sekretariats-PC), im Reservationssystem (Webserver) und in der Template-Datenbank
(Biometrie). Gemäss Aussage der Informatiker können alle Daten grundsätzlich jederzeit gelöscht
werden. Es seien zurzeit jedoch keine Speicherfristen geregelt, dies läge im Verantwortungsbereich
des TC XX. Wenn ein Mitglied austritt, kann das Template einfach gelöscht werden. Im Reservations-
system werden die Daten alle 2 bis 3 Jahre durch die Informatiker gelöscht, Logfiles nach ca. 1 Jahr,
um Platz zu schaffen. Der TC XX selbst führt keine regelmässigen Datenlöschungen durch.

Der EDÖB macht vor Ort darauf aufmerksam, dass der Grundsatz der Verhältnismässigkeit der Da-
tenbearbeitung eine frühest mögliche Löschung von Daten verlange und regt an, dass der TC XX
Regeln für eine sinnvolle Löschung der Daten einführen soll.


4.5 Aufklärungs- und Auskunftsrecht

Die Mitglieder wurden im Rahmen der entsprechenden Abstimmung der GV vorgängig über das ge-
plante System informiert. Anlässlich der GV fand eine Diskussion statt, in welcher ebenfalls Informati-
onen ausgetauscht wurden. Nachdem der Beschluss zur Einführung des Systems gefasst worden ist,
wurden sämtliche Mitglieder per Post oder Mail sowie im Clubmagazin über das System informiert.
Eine standardisierte Information von Neumitgliedern besteht nicht. Auf Anregung des EDÖB wird der
Präsident die Information der Mitglieder verbessern.

Die Mitglieder können sich jederzeit an den Clubpräsidenten wenden und Einsicht in die Templateda-
tenbank nehmen. Auf Anregung des EDÖB wird der Präsident dieses Auskunftsrecht auch auf die
Mitgliederdatenbank und das Reservationssystem ausdehnen.

Das System erlaubt es, dass die Reservation mit einem PIN anstelle des Fingerabdrucks bestätigt
werden kann. Diejenigen Personen, welche das biometrische System nicht nutzen können oder wol-
len, können auf dieses System ausweichen. Diese Alternative wird zurzeit von ca. 10 Personen ge-
nutzt.

Auf Anregung des EDÖB hat der Präsident eingewilligt, die Mitglieder zukünftig transparent über diese
Alternative zu informieren.

Die Anlage des TC XX besteht hauptsächlich aus den Tennisplätzen und dem Clubhaus mit Gardero-
ben und Restaurant. Eine Reception oder dergleichen existiert nicht. Aus diesem Grund muss die
Kontrolle, dass nur Berechtigte die Anlage nutzen, automatisiert erfolgen.





7/27



Bisher wurde dies mit einem Reservationssystem mit PIN gemacht. Das Problem hierbei war, dass die
PINs teilweise weitergegeben und von mehreren Personen (Nichtmitglieder) benutzt wurden. Das
System musste daher so abgeändert werden, dass eine eindeutige Verifizierung mit möglichst gerin-
gem Aufwand (die finanziellen Mittel des Clubs seien gemäss Aussage des Präsidenten gering) mög-
lich ist. Die Verifizierung mittels Fingerabdruck bietet diese Möglichkeiten und wurde daher ausge-
wählt. Der Club hat seither einen deutlichen Mitgliederzuwachs erlebt, und trotzdem sind die Plätze
weniger ausgebucht als früher. Dies legt den Schluss nahe, dass der Missbrauch des früheren Sys-
tems bedeutend war.

Man hat sich bewusst gegen ein System mit Karten entschieden. Die Karten können leicht vergessen
oder verloren gehen, was einerseits die Missbrauchsgefahr wieder erhöht und andererseits dem Mit-
glied einen Zusatzaufwand gibt. Die Mitglieder begrüssen mit grosser Mehrheit die Lösung ohne Kar-
te, weil diese viel bequemer sei („die Finger hat man immer mit dabei…“). Das System sei bei einer
grossen Mehrheit der Mitglieder akzeptiert und man sei sehr zufrieden mit dieser Lösung.

Es werden keine biometrischen Daten an Dritte weitergeleitet. Es findet auch kein Transfer solcher
Daten an den Hersteller statt, das System ist nicht mit dem Hersteller verbunden.

Dagegen ist das Reservationssystem (ohne biometrische Daten) ohne Passwortschutz oder derglei-
chen auf der Website des Clubs abrufbar. Jeder Internetnutzer kann damit sehen, wer zu welcher Zeit
welchen Platz reserviert hat. Dies ist auch rückwirkend für 2-3 Jahre möglich. Jedes Clubmitglied kann
beim Einrichten seines Benutzerkontos zwar den Benutzernamen abändern und so ein Pseudonym
anzeigen lassen. Die Default-Einstellung entspricht jedoch dem ersten Buchstaben des Vornamens,
gefolgt von max. den ersten 20 Buchstaben des Nachnamens.

Die Templates sind auf einem PC „Biometrie“ gespeichert, welcher sich in einem Vorraum zum Club-
haus befindet. Der Raum ist mit einer normalen Türe mit einfachem Schloss gesichert. Zutritt zu die-
sem Raum haben der Clubpräsident, der Verwalter, der Informatiker sowie 2 bis 3 weitere Personen.
Auf einem Tablar ausserhalb des Gebäudes befinden sich folgende zum PC „Biomentrie“ gehörenden
Peripherie-Geräte: Eine numerische Tastatur zur Eingabe der Mitgliedernummer, ein Fingerabdruckle-
segerät und eine Maus, mit der auf dem Bildschirm navigiert werden kann.

Die Mitgliederdaten befinden sich auf einem PC im Clubsekretariat, welches sich im 1. Stock des
Clubhauses, von aussen zugänglich über eine Galerie, befindet. Das Sekretariat ist ebenfalls mit einer
normalen Tür mit einfachem Schloss gesichert und kann während der Öffnungszeiten des Sekretariats
von Jedermann betreten werden. Ausserhalb der Öffnungszeiten haben der Präsident, der Verwalter,
der Informatiker, 4 Vorstandsmitglieder sowie 4 Angestellte Zutritt zum Sekretariat. Der Zugang zum
Sekretariats-PC ist mit einem Passwort gesichert. Hier muss beachtet werden, dass auch vom Sekre-
tariats-PC aus via eine versteckte Partition auf dem PC „Biometrie“ auf die Templates zugegriffen
werden kann. Um die Sicherheit dieses Zugangs zu erhöhen, wurde dem EDÖB vorgeschlagen, hier-
für ein separates Administratorenprofil zu erstellen.






8/27


Das Reservationssystem befindet sich auf einem Webserver. Der Zugang zu den Personendaten wird
durch ein Passwort für den Administrator des Reservationssystems geschützt. Wir kennen die Ver-
tragsbedingungen betreffend Datenschutz mit dem Serverbetreiber nicht.

Die beiden PCs sind mit dem Internet und untereinander via WIFI verbunden. Das WIFI wird zurzeit
durch das Protokoll WPA geschützt (ab März 2010 durch das Protokoll WPA2) und kann gemäss
Website auch von Mitgliedern für den Zugang zum Internet benutzt werden. Diese erhalten auf Anfra-
ge das Zugangspasswort.

Die nicht biometrischen Personendaten der Mitglieder werden in Klartext gespeichert, während die
Templates angeblich verschlüsselt gespeichert werden. Der EDÖB geht aber davon aus, dass es sich
eher um eine Codierung (ASN.1 DER) als um eine Verschlüsselung handelt, insbesondere da er kei-
nerlei Informationen betreffend die behauptete Verschlüsselung erhalten hat (Algorithmus, Schlüssel,
Länge des Schlüssels).


4.10 Systemwartung

Die Systemwartung erfolgt durch die Informatiker des TC XX. Die Templates können aufgrund der
Codierung/Verschlüsselung im Rahmen von Wartungsarbeiten nicht gelesen werden, die übrigen,
unverschlüsselt gespeicherten Daten dagegen schon.


5. Datenschutzrechtliche Beurteilung

5.1.1 Ausgangslage

Das Bundesgesetz über den Datenschutz vom 19. Juni 1992 (DSG; SR 235.1) findet dort Anwendung,
wo mit Personendaten im Sinne des Art. 3 lit. a DSG operiert wird. Im vorliegenden Fall werden für die
Reservation eines Tennisplatzes biometrische Daten bearbeitet (Templates von Fingerabdrücken).

5.1.2 Beurteilung aus Sicht des EDÖB

Biometrische Daten der Fingerabdrücke in Form von Templates (=Referenzdatum) machen eine Per-
son durch Abgleich mit einem aktuell präsentierten Fingerabdruck bestimmbar. Somit können die bio-
metrischen Daten der Verifizierung (resp. Identifizierung) einer Person dienen. Die Bestimmbarkeit
ergibt sich nicht nur aus dieser Abgleichsmöglichkeit, sondern auch dadurch, dass eine Verbindung
zwischen der Template-Datenbank und dem Sekretariats-PC mit den Mitgliederdaten besteht. Die
biometrischen Daten in Form von Templates können in Verbindung mit diesen weiteren Daten klar
einer Person zugeordnet werden und machen diese bestimmbar (Art. 3 lit. a DSG).

Im Falle des TC XX werden 12 Minutien, die aus einem Fingerabdruck entnommen werden, abge-
speichert. Die Minutien-Daten werden mittels eines mathematischen Algorithmus codiert und kompri-
miert. Die Algorithmen für die Template-Extrahierung von biometrischen Rohdaten sind heutzutage
weder standardisiert noch transparent, weswegen es derzeit schwierig ist, die Sensibilität (Elemente
über Gesundheit/Rasse) eines Templates formell abschliessend einschätzen zu können. Zudem ma-
chen biometrische Daten in Form von Rohdaten oder Templates eine Person identifizierbar resp. be-
stimmbar, und ihre Erhebung hinterlässt in der Regel – insbesondere bei der Erhebung von Fingerab-





9/27


drücken – (Daten-) Spuren. Die Erhebung von Rohdaten oder Templates ist somit geeignet, ein Be-
wegungsprofil der betroffenen Person zu erstellen. Gestützt auf diese Tatsache besteht bei der Erhe-
bung biometrischer Daten für die betroffene Person ein hohes Gefährdungspotenzial für ihre Persön-
lichkeitsrechte. Ferner ist festzuhalten, dass auch der Europarat und die Art. 29-Datenschutzgruppe
der EU (Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Daten-
verkehr) aus gleichen Gründen die hohe Sensibilität biometrischer Daten anerkennt.


5.2 Zweck der Datenbearbeitung

5.2.1 Ausgangslage

Jede Bearbeitung von Personendaten stelle einen Eingriff in das Recht auf informationelle Selbstbe-
stimmung gemäss Art. 13 Abs. 2 der Bundesverfassung der Schweizerischen Eidgenossenschaft vom
18. April 1999 (BV; SR 101) dar. Daher bedarf die Bearbeitung einer besonderen Rechtfertigung.
Praktikabilitätserwägungen oder allgemeine Kundenfreundlichkeit stellen grundsätzlich keine ausrei-
chende Rechtfertigung für die Bearbeitung biometrischer Daten dar.

Gemäss Angaben des TC XX geht es beim Erfassen biometrischer Daten ausschliesslich darum, den
Missbrauch der Tennisplätze durch Unberechtigte zu verhindern. Vor Einführung des biometrischen
Reservationssystems wurden die Plätze mit einem PIN reserviert, was sich als missbrauchsanfällig
erwiesen hat. Die Nummern wurden teilweise weitergeben und durch mehrere Personen (Nichtmit-
glieder) verwendet. Dies ist mit dem neuen, biometrischen System nicht mehr möglich. Der TC XX hat
denn auch seit Einführung des neuen Systems einen deutlichen Mitgliederzuwachs erfahren, während
die Plätze aber weniger frequentiert werden.

Auf den Einsatz von Kartensystemen wurde bewusst verzichtet, da hier die Gefahr besteht, dass die
Karten verloren oder vergessen gehen und die Mitglieder ein kartenloses System aus Komfortgründen
bevorzugen.

5.2.2 Beurteilung aus Sicht des EDÖB

Das neue Reservationssystem und die damit verbundene Erhebung biometrischer Daten verfolgt
nachvollziehbare Zwecke. Für den EDÖB stellt sich jedoch ernsthaft die Frage, ob es nicht Alternati-
ven zur Missbrauchsvermeidung gäbe, welche weniger stark in die Persönlichkeitsrechte der Betroffe-
nen eingreifen würden (vgl. dazu auch die grundsätzlichen Bemerkungen zur Verhältnismässigkeit
unter Ziff. 5.5).

5.3.1 Ausgangslage

Biometrische Daten sind Personendaten im Sinne des Datenschutzgesetzes, für deren Bearbeitung
ein Rechtfertigungsgrund (Art. 12 und 13 DSG) benötigt wird. Als Rechtfertigung der Datenbearbei-
tung kommt im vorliegenden Fall die Einwilligung der Betroffenen in Frage.

Gemäss Auskunft des TC XX wurde das geplante System an der Generalversammlung in grundsätzli-
cher Hinsicht besprochen. Bei der anschliessend durchgeführten Abstimmung har sich die Mehrheit





10/27


der Mitglieder für die Einführung eines solchen Systems ausgesprochen. Das System wurde in der
Folge eingeführt und auf der Website resp. auf dem „Borne“ eine Gebrauchsanweisung aufgeschaltet,
welche über das Reservationssystem Auskunft gibt. Gemäss Auskunft des TC XX werden Neumitglie-
der zudem vom Präsidenten mündlich über das Reservationssystem informiert.

Offenbar existieren keine schriftlichen Aufzeichnungen darüber, welche Informationen den Mitgliedern
anlässlich der GV gegeben wurden. Es muss jedoch davon ausgegangen werden, dass die Informati-
onen nur grundsätzlicher Natur waren und insbesondere nicht über die Bearbeitungsmodalitäten im
Rahmen des biometrischen Reservationssystems (z.B. Speicherort, Speicherdauer, Zugriffsberechti-
gungen u.V.m.) Auskunft gaben.

Die Gebrauchsanweisung für das Reservationssystem äussert sich nur grob über die Bearbeitungs-
modalitäten des Systems. Sie gibt hauptsächlich Auskunft über das Vorgehen beim Enrolement und
bei der Reservation.

Die mündliche Auskunft durch den Präsidenten erfolgt jeweils individuell und ist nicht standardisiert.
Es ist auch hier davon auszugehen, dass der Präsident nicht über die Bearbeitungsmodalitäten infor-
miert.

Weiteres Informationsmaterial existiert zurzeit nicht, soll aber gemäss Auskunft des TC XX erstellt und
an die Mitglieder abgegeben werden.

Diejenigen Personen, welche das biometrische Reservationssystem nicht benützten können oder
wollen, können die Reservation, wie bis anhin, mit einem PIN vornehmen. Zurzeit machen ca. 10 Per-
sonen von dieser Möglichkeit Gebrauch. Die Mitglieder werden nicht vorgängig über diese Alternative
informiert. Erst, wenn sich jemand weigert, seine biometrischen Daten zu erfassen, oder wenn sich
herausstellt, dass das biometrische System nicht benutzt werden kann, wird auf die Alternative hinge-
wiesen.

5.3.2 Beurteilung aus Sicht des EDÖB

Aus Sicht des EDÖB müssen für die Einwilligung der Betroffenen – gerade in so einem sensiblen Be-
reich wie bei der Bearbeitung von Fingerabdrücken – strenge Anforderungen an die Aufklärung der
betroffenen Personen gestellt werden. Es ist daher zu fordern, dass die Mitglieder konkreter über die
Bearbeitungsmodalitäten informiert werden, damit sie sich über die Tragweite ihrer Einwilligung im
Klaren sind. Es sind den Betroffenen daher die Hauptpunkte der Datenbearbeitung mitzuteilen, wie
z.B. wo und für wie lange die Daten gespeichert werden, was mit den Templates und den Transakti-
onsdaten geschieht, wer Zugriff auf die Daten hat und an wen sie, wenn überhaupt, weitergegeben
werden. Dies sollte mittels standardisiertem Informationsblatt geschehen, welches sämtlichen beste-
henden und neu eintretenden Mitgliedern abzugeben ist. Das Informationsblatt muss vom Vorstand
des TC XX unterschrieben und mit einer Versionenkontrolle versehen werden. Zudem müssen die
Mitglieder über die Alternative (vorliegend: Reservation mittels PIN) informiert werden, damit die Ein-
willigung freiwillig erfolgt und nicht unter der vermeintlichen Annahme, man habe keine Wahl.

Die Mitglieder verfügten im Zeitpunkt der GV-Abstimmung nicht über die notwendigen Kenntnisse der
Sachlage, um eine rechtsgenügliche Einwilligung abzugeben. Zudem muss an dieser Stelle darauf
hingewiesen werden, dass nur die Einwilligung jedes einzelnen Betroffenen die Verletzung der Per-
sönlichkeitsrechte zu rechtfertigen vermag. Ein Mehrheitsbeschluss an einer GV erfüllt diese Voraus-
setzung nicht.






11/27


Auch im jetzigen Zeitpunkt muss davon ausgegangen werden, dass die Mitglieder nicht genügend
über die Bearbeitungsmodalitäten informiert sind, um rechtsgültig in die Datenbearbeitung einzuwilli-
gen. Erst, wenn die oben aufgeführten Voraussetzungen erfüllt sind und sich die Mitglieder in Kenntnis
dieser Informationen für das biometrische Reservationssystem entscheiden, kann eine rechtsgültige
Einwilligung geprüft werden.







12/27

5.4.1 Ausgangslage

Die Bearbeitung von Personendaten muss nach Treu und Glauben erfolgen (Art. 4 Abs. 1 DSG). Die
bedeutet zum einen, dass die Datenbearbeitung für die betroffenen Personen transparent erfolgen
muss. Zum anderen muss eine Datenbeschaffung und jede weitere Datenbearbeitung grundsätzlich
für die Betroffenen erkennbar sein.

Wie bereits unter Ziffer 5.3 ausgeführt, wurden die Mitglieder anlässlich der GV, durch die
Gebrauchsanweisung für das Reservationssystem sowie mündlich durch den Vereinspräsidenten über
die Erhebung biometrischer Daten informiert. Ein standardisiertes Infoblatt besteht indessen nicht.
Das Enrolement erfolgt durch das Mitglied selbst. Dieses muss also aktiv tätig werden, damit seine
biometrischen Daten erfasst werden können (Abrollen des Fingers auf dem Sensor beim „Borne“ beim
Clubeingang). Ohne sein Zutun können keine biometrischen Daten erhoben werden.

5.4.2 Beurteilung aus Sicht des EDÖB

Da die biometrischen Daten nicht ohne Zutun der Betroffenen erhoben werden können, erfolgt die
Datenbearbeitung für diese auf klar erkennbare Weise. Für eine möglichst transparente Datenbearbei-
tung sollte neben den zurzeit den Mitgliedern gegebenen Informationen noch ein standardisiertes
Informationsblatt abgegeben werden, auf dem beschrieben wird, was mit den Personendaten ge-
schieht. Es kann auf das unter Ziffer 5.3 Geschriebene verwiesen werden.

Die Bearbeitung von Personendaten hat sich am Grundsatz der Verhältnismässigkeit auszurichten
(Art. 4 Abs. 2 DSG). Dies bedeutet, dass ein Datenbearbeiter nur diejenigen Daten bearbeiten darf,
die er für einen bestimmten Zweck objektiv tatsächlich benötigt und die im Hinblick auf den Bearbei-
tungszweck und die Persönlichkeitsbeeinträchtigung in einem vernünftigen Verhältnis stehen.

5.5.1 Verhältnismässigkeit in inhaltlicher Hinsicht - Ausgangslage

Eine Datenbearbeitung ist dann verhältnismässig, wenn sie sich inhaltlich auf das absolut Notwendige
beschränkt, um ein bestimmtes Ziel zu erreichen. Die inhaltliche Verhältnismässigkeit fordert einen
möglichst schonenden Umgang mit Personendaten. Dies bedingt auch, dass keine für den verfolgten
Zweck nicht benötigten Überschussinformationen anfallen. Ebenso ist es unzulässig, Personendaten
auf Vorrat zu erheben, sofern der damit verfolgte Zweck dies nicht unabdingbar erfordert.

Mit der Einführung des neuen Reservationssystems werden aus den Fingerabdrücken der Mitglieder
Templates generiert und diese zentral in einer Datenbank abgelegt. Rohdaten (d.h. das Originalbild
des Fingerabdrucks) werden keine erhoben. Das System funktioniert ohne Karten. Eine zuvor über
das Reservationssystem online oder auf dem „Borne“ getätigte Platzreservation wird bestätigt, indem
die Mitgliedernummer eingegeben und anschliessend der Finger auf das Lesegerät gehalten wird.
Das aktuell erstellte Template wird nun mit dem durch die Mitgliedernummer ermittelten Referenzda-
tum verglichen. Stimmen die beiden Templates überein, wird die Reservation bestätigt und die Reser-
vation bleibt für die nächsten zwei bis drei Jahre im Reservationssystem gespeichert und abrufbar.
Stimmen die Templates nicht überein, wird die Reservation nicht bestätigt und 10 Minuten nach Be-
ginn der Reservationszeit gelöscht.





13/27



Nebst den Templates werden im Sekretariats-PC weitere Daten der Mitglieder (Personalien, Spieler-
daten etc.) und im Reservationssystem die Reservationsdaten gespeichert. Die Reservationsdaten
sind ohne Passwortschutz durch sämtliche Internetnutzer über das Internet abrufbar. Hierbei werden
der Benutzername (im Defaultzustand erster Buchstabe des Vornamens sowie max. die ersten 12
Buchstaben des Nachnamens) sowie die Reservationszeiten für die vergangenen zwei bis drei Jahre
angezeigt. Um eine Reservation zu tätigen, muss sich das Mitglied mit seinem Benutzernamen und
einem Passwort einloggen. Der angezeigte Name kann durch das Mitglied selbständig geändert wer-
den.

Der Einsatz biometrischer Verfahren im Privatbereich stellt je nach Ausgestaltung im konkreten Einzel-
fall einen mehr oder weniger intensiven Eingriff in die Persönlichkeitsrechte der Betroffenen dar.
Grundsätzlich sind daher vor dem Einsatz biometrischer Verfahren immer auch andere geeignete
Massnahmen zu prüfen, welche weniger in die Grundrechte der Betroffenen eingreifen und mit denen
der angestrebte Zweck ebenfalls erreicht werden kann. Des Weiteren muss schon bei der Auswahl
und Ausgestaltung des biometrischen Verfahrens darauf geachtet werden, ein möglichst datenspar-
sames System auszuwählen, das in einem vernünftigen Verhältnis zum angestrebten Zweck steht.
Wie die Art. 29-Datenschutzgruppe der EU in ihrer Stellungnahme zum Einsatz von Biometrie festhält,
sind bei der Beurteilung der Verhältnismässigkeit „auch die Risiken für den Schutz der Grundrechte
und –freiheiten des Einzelnen zu berücksichtigen, vor allem die Frage, ob der beabsichtigte Zweck
nicht auch auf eine weniger in die Rechte der Betroffenen eingreifende Weise zu erreichen ist“. Wie
die Art. 29-Datenschutzgruppe weiter festhält, „sind biometrische Systeme, die zur Zugangskontrolle
(Verifikation) eingesetzt werden, mit geringeren Gefahren für den Schutz der Grundrechte und –
freiheiten des Einzelnen verbunden, wenn sie entweder auf Körpermerkmalen basieren, die keine
Spuren hinterlassen (z.B. in Form der Hand, aber keine Fingerabdrücke), oder wenn sie zwar Körper-
merkmale verwendet, die Spuren hinterlassen, die Daten jedoch auf einem Medium gespeichert wer-
den, das sich im Besitz der betroffenen Person befindet (mit anderen Worten, wenn die Daten nicht im
Gerät, das den Zugang kontrolliert oder in einer zentrales Datenbank gespeichert werden (Art. 29-
Datenschutzgruppe, Arbeitspapier über Biometrie, angenommen am 1. August 2003, 12168/08/DE
WP 80)).

Im vorliegenden Fall geht es um ein Reservationssystem für eine Freizeitanlage. Die Biometrie wird
zur Verifizierung der Clubmitglieder eingesetzt. Datensparsamkeit erreicht man, indem nur die unbe-
dingt zur Verifizierung notwendigen biometrischen Daten erhoben werden. Zur Verifizierung werden
keine Rohdaten benötigt. Der Vergleich mit Templates reicht aus, um die berechtigte Person bei der
Bestätigung der Reservation zu verifizieren. Die Beschränkung der Speicherung biometrischer Daten
auf Templates, wie dies vom TC XX vollzogen wird, ist unter dem Gesichtspunkt der Datensparsam-
keit verhältnismässig.

Biometrische Daten sind dauerhaft personengebunden. Aus diesem Grund sollten die biometrischen
Daten – gerade wenn es um so heikle Bereiche wie Fingerabdrücke geht – im Einflussbereich der
betroffenen Person, d.h. des Mitglieds, gespeichert werden und dort verbleiben.

Aus dem bisher Gesagten folgt, dass für eine datenschutzkonforme Umsetzung biometrischer Verifi-
zierungssystemen im Freizeitbereich die nachfolgend beschriebenen drei Varianten in Frage kommen.
Für den Einsatz biometrischer Charakteristika, die (physische oder digitale) Spuren hinterlassen (z.B.





14/27


Fingerabdrücke oder Gesichtsfotografien), können nur die Varianten a) und b) durch den Einsatz von
individuellen Karten ein genügendes Sicherheitsniveau garantieren. Die Variante c) ohne Karten kann
dagegen nur dann eingesetzt werden, wenn biometrische Charakteristika verwendet werden, die kei-
ne Spuren hinterlassen (z.B. Fingervenen oder Handumriss).

a) Dezentralisierung (auf Karten)

Wie der EDÖB in seinem Leitfaden zu biometrischen Erkennungssystemen vom September 2009
festhält, wird beim Einsatz von Biometrie im Privatbereich der Persönlichkeitsschutz der Betroffenen
am ehesten gewahrt, indem

1. die biometrischen Daten auf einem Sicherheitsmedium, da sich in der alleinigen Kontrolle der
betroffenen Person befindet, auslesesicher gespeichert werden;

2. die betroffene Person jeden Zugriff auf die Daten explizit und bewusst freigeben muss; und

3. die Verifizierung der Identität ausschliesslich auf diesem Sicherheitsmedium stattfindet, so
dass die biometrischen Daten zu keinem Zeitpunkt die gesicherte Umgebung des Mediums
und die Kontrolle der betroffenen Person verlassen (biometrischer Vergleich auf Karte, vgl.
Leitfaden S. 13).

b) Pseudodezentralisierung (mit Karten)

Ein annährend gleich hohes Niveau betreffend den Persönlichkeitsschutz kann mit der Pseudodezent-
ralisierung erreicht werden. Diese Lösung wurde denn auch vom Bundesverwaltungsgericht in seinem
Urteil vom 4 August 2009 in Sachen KSS (A-3908/2008) skizziert. Im Unterscheid zur richtigen De-
zentralisierung werden die biometrischen Daten zentral gespeichert, der logische Zugang zu diesen
Daten ist aber einzig durch den Einsatz eines Zuordnungscodes möglich, der auf einer Karte gespei-
chert wird, die sich ausschliesslich im Besitz der betroffenen Person befindet. Im Einzelnen bedeutet
dies Folgendes:

1. Die biometrischen Daten werden als verschlüsselte Templates zentral gespeichert (und nicht
als Rohdaten, z.B. als Fingerabdruckbild oder als Fotografie);
2. die Templates sind so gespeichert, dass der Inhaber der Datensammlung keinen Bezug zu
einer bestimmten oder bestimmbaren Person herstellen kann. Statistische Daten oder weitere
Angaben (z.B. Zeitstempel) können in Verbindung mit den biometrischen Daten so lange ge-
speichert werden, wie durch sie keine Identifizierung der fraglichen Person möglich wird;
3. die Verbindung zwischen dem Template und der betroffenen Person kann einzig durch eine
explizite und bewusste Freigabe durch die Verwendung der persönlichen Karte hergestellt
werden.

c) Zentralisierung (ohne Karten)

Wird ein Verifizierungssystem ohne die Verwendung persönlicher Karten im Freizeitbereich ge-
wünscht, so ist dies nur mit einer Zentralisierung der biometrischen Daten möglich. Da die zentrale
Speicherung biometrischer Daten für den Verifzierungsprozess normalerweise nicht notwendig wäre,
muss das System angepasst werden, damit es nicht gegen den Grundsatz der Verhältnismässigkeit
verstösst:

1. Es dürfen nur biometrische Charakteristika verwendet werden, die keine (physischen oder di-
gitalen) Spuren hinterlassen;





15/27


2. die biometrischen Daten werden als verschlüsselte Templates zentral gespeichert (und nicht
als Rohdaten, z.B. als Fotografie);
3. die Templates sind so gespeichert, dass der Inhaber der Datensammlung keinen Bezug zu
einer bestimmten oder bestimmbaren Person herstellen kann. Statistische Daten oder weitere
Angaben (z.B. Zeitstempel) können in Verbindung mit den biometrischen Daten so lange ge-
speichert werden, wie durch sie keine Identifizierung der fraglichen Person möglich wird;
4. die Verbindung zwischen dem Template und der betroffenen Person wird einzig in flüchtiger
Weise durch das Erkennungssystem hergestellt, mit dem Ziel, die Zugehörigkeit einer Person
zum Kreis der Berechtigten festzustellen. Alle weiteren Operationen (Identifizierung der Per-
son, Bestätigung der Reservation…) werden davon getrennt und ohne Verwendung biometri-
scher Charakteristika durchgeführt.

Daraus folgt, dass der TC XX in Zukunft eine der vorgeschlagenen Varianten wählt, wenn an der Ver-
wendung biometrischer Erkennungssysteme festgehalten wird. Die gilt auch für die bereits zentral
gespeicherten biometrischen Daten. Eine zentrale Speicherung, wie sie zurzeit praktiziert wird, ist
unter dem Blickwinkel des Grundsatzes der Datensparsamkeit und des Grundsatzes der möglichst
schonenden Bearbeitung von Personendaten, im vorliegenden Fall der Reservation von Tennisplätzen
des TC XX, unverhältnismässig.

Das Reservationssystem ermöglicht es den Mitgliedern, die Platzreservation via Internet vorzunehmen
und die so getätigte Reservation anschliessend vor Ort mit dem Fingerabdruck zu bestätigen. Zu die-
sem Zweck ist das System auf der Website des TC XX aufgeschaltet. Der EDÖB anerkennt, dass die
Online-Reservation den Mitgliedern einen grossen Nutzen bringt und daneben auch die Möglichkeit
eröffnet, Spielpartner zu suchen und zu finden. Zur Erfüllung dieses Zwecks erscheint es auch ver-
hältnismässig, den Mitgliedern einen Online-Zugang zum Reservationssystem zu gewähren.

Nach Ansicht des EDÖB besteht dagegen kein Grund dafür, den Zugang zu den Reservationsdaten
ohne Beschränkung zuzulassen und damit auch Nichtmitgliedern Einsicht zu gewähren. Dies geht
weit über das für die Zweckerreichung Notwendigen hinaus. Nach Ansicht des EDÖB ist der Online-
Zugang zum Reservationssystem daher auf die Clubmitglieder zu beschränken. Dies kann beispiels-
weise durch einen Passwortschutz geschehen. Nachdem die Online-Reservation ohnehin ein Login
erfordert, bedarf es für diese Beschränkung nur einer geringfügigen Änderung des Systems. So könn-
te man beispielsweise bereits für die Einsicht in die Reservationsdaten ein Login verlangen.

Der EDÖB regt zudem an, dass bei Erstellung eines Benutzerkontos automatisch darauf hingewiesen
wird, dass bei unveränderten Grundeinstellungen im Online-Reservationssystem der richtige Nach-
name angezeigt wird, dass explizit danach gefragt wird, ob die betroffene Person damit einverstanden
ist und auf die Möglichkeit der Pseudonymisierung des angezeigten Namens verwiesen wird.

Zusammenfassend kann festgehalten werden, dass die jetzige Veröffentlichung der Reservationsda-
ten im Internet weit über das zur Zweckverfolgung Notwendige hinausgeht. Sie ist damit unter dem
Grundsatz der möglichst schonenden Bearbeitung von Personendaten unverhältnismässig.

Das Erfordernis der Verhältnismässigkeit begrenzt die Datenbearbeitung auch in zeitlicher Hinsicht.
Sofern personenbezogene Daten für den verfolgten Zweck nicht mehr gebraucht werden, sind sie zu
vernichten oder zu anonymisieren. Dabei ist eine frühest mögliche Löschung/Anonymisierung vorzu-
sehen.





16/27



Vorliegend werden an drei Orten Personendaten gespeichert: Auf dem PC „Biometrie“, auf dem Sek-
retariats-PC und auf dem Webserver für das Reservationssystem. Für keinen dieser Speicherorte
besteht eine Regelung für die Speicherdauer oder die Zuständigkeit für die Löschung. Bis jetzt werden
auf dem PC „Biometrie“ und auf dem Sekretariats-PC keine regelmässigen Datenlöschungen durch-
geführt, im Reservationssystem werden die Reservationsdaten aus Platzgründen alle 2 bis 3 Jahre,
die Logdaten nach ca. 1 Jahr, gelöscht.

Der EDÖB hat bereits bei der Besichtigung der Anlage vor Ort darauf aufmerksam gemacht, dass bei
der Bearbeitung von sensiblen Personendaten die Speicherdauer der Daten sowie die Zuständigkeit
für die Löschung nicht mehr benötigter Daten geregelt und in einem Reglement festgehalten werden
sollte, da für die Betroffenen sonst nicht einschätzbar ist, wie lange die Daten gespeichert werden.
Zudem besteht tatsächlich die Gefahr, dass der Löschung der Daten zu wenig Beachtung geschenkt
wird und diese daher dauerhaft aufbewahrt würden.

Die Templates auf dem PC „Biometrie“ sowie die auf dem Sekretariats-PC gespeicherten Mitglieder-
daten sind zu löschen, sobald sie nicht mehr benötigt werden. Dies ist spätestens dann der Fall, wenn
ein Mitglied den Austritt gibt. Die Löschung der Daten beim Austritt muss daher einerseits im Regle-
ment festgehalten und in den Standardprozess für solche Fälle aufgenommen werden. Für den EDÖB
sind keinerlei Gründe ersichtlich, welche die Speicherdauer von 2 bis 3 Jahren für die Reservationsda-
ten und die von einem Jahr für die Logdaten im Reservationssystem rechtfertigen würden.

Es wird daher davon ausgegangen, dass die Speicherdauern unverhältnismässig lange sind und auf
ein angemessenes Mass reduziert werden müssen. Der TC XX hat dem EDÖB daher einen Vorschlag
zu unterbreiten, wie die Löschfristen festgelegt werden sollen und diese Fristen anschliessend (tech-
nisch) umzusetzen. Dabei muss nebst der Löschung der oberwähnten Daten auch diejenige von die-
sen Daten gemachten Backups und dergleichen geregelt werden.


5.6 Zweckbindung der Datenbearbeitung

5.6.1 Ausgangslage

Personendaten dürfen nur für den Zweck bearbeitet werden, welcher bei der Beschaffung angegeben
worden ist oder der aus den Umständen ersichtlich oder gesetzlich vorgesehen ist (Art. 4 Abs. 3
DSG). Da eine Änderung des Bearbeitungszwecks von den Betroffenen durch die zentrale Speiche-
rung der biometrischen Daten nicht kontrollierbar ist, sind technische Lösungen vorzuziehen, welche
die Zweckbindung ausreichend gewährleisten.


5.6.2 Beurteilung aus Sicht des EDÖB

Durch die zentrale Speicherung der Templates in der Datenbank ist eine Zweckentfremdung in der
Bearbeitung dieser Daten nicht gänzlich ausgeschlossen. Dies unter anderem auch deshalb, weil die
Daten sich nicht in der Nutzersphäre der Betroffenen befinden. Eine Zweckentfremdung im Sinne
einer Verknüpfung mit anderen Datensammlungen oder eine Weitergabe an aussen stehende Dritte
wäre möglich. Auch wenn die Tatsache berücksichtigt wird, dass keine Rohdaten, sondern Templates
in der Datenbank abgelegt werden, ist auch aus Gründen der Zweckbindung der Datenbearbeitung





17/27


auf eine zentrale Speicherung der biometrischen Daten, wie sie zurzeit praktiziert wird, zu verzichten
und auf einer der unter Ziffer 5.5.2.1 aufgeführten Varianten umzustellen.

5.7.1 Ausgangslage

Das Vergleichsverfahren zwischen Referenz- und aktuell präsentieren Daten (hier Templates der Fin-
gerabdrücke) basiert auf Wahrscheinlichkeitsberechnungen und ergibt einen Übereinstimmungswert,
der grösser als eine vordefinierte Schwelle sein muss, um die Person zu erkennen. Von dieser einzi-
gen Schwelle sind die beiden Werte „Fals Rejection Rate (FFR)“ und „False Acceptance Rate (FAR)“
umgekehrt abhängig. Aus Gründen des Persönlichkeitsschutzes sollte von allem die FAR vermindert
werden, ohne aber die FRR zu stark zu beeinträchtigen. Die Wahl eines optimalen Schwellenwertes
für eine ausreichende Zuverlässigkeit des gesamten biometrischen Systems ist aus diesem Grunde
nicht einfach zu treffen.

Nicht ausser Acht gelassen werden darf auch die Tatsache, dass gewisse Anwender (aufgrund feh-
lender Gliedmassen, Verletzungen, Narben oder aufgrund des Alters, wie z.B. Kinder oder ältere Per-
sonen) keine oder zu wenig gute biometrische Merkmale vorweisen und ihre Verifizierung misslingen
kann. Für diese Personen ist ein Alternativszenario vorzusehen, welches nicht zu einer Diskriminie-
rung der Betroffenen führen darf.

5.7.2 Beurteilung aus Sicht des EDÖB

Aus Datenschutzgründen sollte die FAR vermindert werden, ohne aber die FRR zu stark zu beein-
trächtigen. Zudem sollte ein optimaler Schwellenwert gewählt werden. Jedes biometrische System
weist einen gewissen Prozentsatz an FAR auf. Die Verifizierung kann infolgedessen nicht zu 100 %
zuverlässig erfolgen. Das System des TC XX extrahiert 12 Minutien pro Template. Dies ist aus heuti-
ger Sicht knapp ausreichend. Tests vor Ort haben denn auch ergeben, dass das System funktioniert.

Probleme ergeben sich weiter auch bei Personen, denen gewisse biometrische Merkmale fehlen oder
nur schlecht lesbar vorhanden sind (Enrolement). Für solche Ausnahmen muss eine äquivalente An-
wendbarkeit des Erkennungssystems geplant und eingesetzt werden. Eine solche Alternative besteht
vorliegend. Anstelle einer Verifizierung mittels Fingerabdrücken wird eine PIN eingesetzt. Diese Alter-
native ist für die Betroffenen sowohl kostenneutral als auch von der Handhabung her äquivalent. Es
gibt offenbar bereits Mitglieder, welche das Fingerabdrucksystem aus gesundheitlichen Gründen nicht
nutzen können und ihre Reservationen daher mittels PIN bestätigen. Dies funktioniert problemlos.

Die Datenrichtigkeit ist damit beim Reservationssystem des TC XX gewährleistet. Der EDÖB hat hier
keine weiteren Bemerkungen.


5.8 Datensicherheit

5.8.1 Ausgangslage

Gemäss Art. 7 DSG müssen Personendaten durch angemessene technische und organisatorische
Massnahmen gegen unbefugtes Bearbeiten gesichert werden. Zu gewährleisten sind insbesondere
die Vertraulichkeit, die Verfügbarkeit sowie die Integrität der Personendaten. Diese Anforderungen





18/27


sind dann nicht mehr gewährleistet, wenn Unbefugte leichten Zugriff auf die Daten haben oder ein
fremdes „Drittgerät“ die Daten abhören oder manipulieren könnte. Die Datensicherheit liegt in der Ver-
antwortung derjenigen Stelle, welche die Datenherrschaft über die Personendaten inne hat (Art. 8
Abs. 1 der Verordnung zum Bundesgesetz über den Datenschutz vom 14. Juni 1993 (VDSG; SR
235.11).

Wie bereits ausgeführt wurde, befinden sich sowohl der PC „Biometrie“ als auch der Sekretariats-PC
in von aussen zugänglichen und nur durch ein einfaches Schloss gesicherten Räumen des Clubhau-
ses. Zum PC „Biometrie“ haben 5 bis 6 Personen Zutritt, wobei 2 bis 3 davon vom TC XX nicht näher
benannt werden konnten. Zum Sekretariats-PC haben ausserhalb der Öffnungszeiten 11 Personen
Zutritt, während der Öffnungszeiten kann der Raum von jedermann betreten werden, wobei der PC
dann i.d.R. nicht unbeaufsichtigt ist und der Zugang auf die dort gespeicherten Daten passwortge-
schützt ist.

Der PC „Biometrie“ und der Sekretariats-PC sind via WIFI miteinander und mit dem Internet verbun-
den. Das WIFI ist durch das Protokoll WPA (seit März 2010 WPA2) gesichert. Den Mitgliedern wird auf
Wunsch das WIFI-Passwort bekannt gegeben, damit diese während ihres Aufenthalts auf dem Club-
gelände via WIFI aufs Internet zugreifen können.

Vom Sekretariats-PC aus kann via eine versteckte Partition auf dem PC „Biometrie“ auf die dort ge-
speicherten Templates zugegriffen werden.

5.8.2 Beurteilung aus Sicht des EDÖB

Der EDÖB beurteilt die physische Sicherung des PC „Biometrie“ und des Sekretariats-PC als ungenü-
gend. Die Türen samt Schlössern können ohne grösseren Aufwand aufgebrochen werden. Damit sind
die beiden PCs nicht in dem Masse physisch gesichert, wie dies vorliegend angezeigt wäre, und ein
„Datendiebstahl“ oder gar die Entwendung der ganzen PCs wäre leicht möglich. Dies muss aus Sicht
des EDÖB dringend verbessert werden, insbesondere in Anbetracht der Sensibilität der auf den PCs
gespeicherten Daten.

Der Zugang zu den PCs „Biometrie“ und dem Sekretariats-PC ist zuwenig klar geregelt. Es muss da-
her für beide Rechner sowie eine Liste erstellt werden, in der die Zutrittsberechtigten klar definiert
werden, wobei die Anzahl der Berechtigten auf ein Minimum reduziert werden muss. Dasselbe gilt für
die Zugangsberechtigten für die genannten Rechner (Benutzerkonten) und den Zutritt und den Zu-
gang zu Backups und dergleichen.

Der EDÖB erachtet es zudem als problematisch, dass die Übertragung (biometrischer) Persondaten
via WIFI erfolgt, welches nicht denselben Sicherheitsstandard bieten kann wie eine Übermittlung via
Kabel, und dieses WIFI auch von den Mitgliedern für den Zugang zum Internet genutzt werden kann.
Er schlägt daher vor, dass die Verbindung zwischen dem PC „Biometrie“ und dem Sekretariats-PC
sowie die Verbindungen zum Router/Modem mittels Kabel erfolgen und das WIFI nur noch für den
Internetzugang der Mitglieder genutzt wird. Damit erfolgt die Übertragung der (biometrischen) Perso-
nendaten sicherer und getrennt vom Internetverkehr der Mitglieder.


5.9 Auskunftsrecht

5.9.1 Ausgangslage






19/27


Gemäss Art. 8 DSG kann jede Person vom Inhaber der Datensammlung Auskunft darüber verlangen,
ob Daten über sie bearbeitet werden.

Beim TC XX können die Mitglieder sich jederzeit an den Präsidenten wenden, um Einsicht in die
Template-Datenbank zu erhalten. Der Präsident will dieses Auskunftsrecht auf sämtliche Mitgliederda-
ten ausweiten.

5.9.2 Beurteilung aus Sicht des EDÖB

Mit der Ausweitung des Auskunftsrechts auf sämtliche Mitgliederdaten sind die diesbezüglichen Rech-
te der Mitglieder gewahrt. Der EDÖB hat dazu keine weiteren Bemerkungen.


6. Ergebnisse

Aufgrund der Auswertung der eingereichten Unterlagen und Dokumente sowie gestützt auf die durch-
geführte Kontrolle vom 11. Februar 2010 gemäss Art. 29 DSG gelangt der EDÖB zu einer kritischen
Gesamtbeurteilung des biometrischen Reservationssystems. Die Datenschutzkontrolle hat gezeigt,
dass die seit der Einführung des biometrischen Reservationssystems erfolgte Bearbeitung von Perso-
nendaten durch den TC XX nicht in allen Aspekten datenschutzkonform verläuft. Der EDÖB ist in sei-
ner Kontrolle auf Sachverhalte gestossen, welche aus datenschutzrechtlicher Sicht einer Verbesse-
rung resp. Änderung bedürfen.

Ausgehend von diesem Gesamtbild erlässt der EDÖB zuhanden des TC XX seine Gesamtbeurteilung
in folgender Form:


Feststellungen und/oder

Empfehlungen im Sinne des Art. 29 Abs. 3 DSG.

Bei biometrischen Daten der Fingerabdrücke handelt es sich um Personendaten gemäss Art- 3 lit. a
DSG. Biometrische Daten in Form von Rohdaten oder Templates machen eine Person identifizierbar
resp. bestimmbar. Ihre Erhebung hinterlässt in der Regel – insbesondere bei der Erhebung von Fin-
gerabdrücken – (Daten-)Spuren. Die Erhebung von Rohdaten oder Templates ist somit geeignet, ein
Bewegungsprofil der betroffenen Person zu erstellen. Gestützt auf diese Tatsache besteht bei der
Erhebung biometrischer Daten für die betroffene Person ein hohes Potenzial für Persönlichkeitsverlet-
zungen.


6.2 Zweck der Datenbearbeitung

Jede Bearbeitung von Personendaten stellt einen Eingriff in das Recht auf informationelle Selbstbe-
stimmung gemäss Art. 13 Abs. 2 des Bundesverfassung der Schweizerischen Eidgenossenschaft vom
18. April 1999 (BV; SR 101) dar. Daher bedarf die Bearbeitung einer besonderen Rechtfertigung.
Praktikabilitätserwägungen oder allgemeine Bedienerfreundlichkeit stellen grundsätzlich keine ausrei-
chende Rechtfertigung für die Bearbeitung biometrischer Daten dar.






20/27


Gemäss Auskunft des TC XX geht es bei der Erfassung der biometrischen Daten ausschliesslich um
die automatisierte Missbrauchsbekämpfung bei der Reservation und der Nutzung von Tennisplätzen.
Der Vorteil für den TC XX läge darin, dass keine persönliche Prüfung der Identität der Spieler bei der
Reservation und der Platznutzung (z.B. durch den Betrieb einer Reception) vorgenommen werden
müsse. Das neue biometrische Reservationssystem ersetzt das veraltete Reservationssystem mittels
PIN, bei dem es zu zahlreichen Missbräuchen gekommen sei. Gemäss Angaben des TC XX hat sich
die Zahl der Mitglieder seit Einführung des neuen Systems stark erhöht, während die Plätze in dersel-
ben Zeit weniger genutzt wurden, was mit der fehlenden Missbrauchsmöglichkeit in Zusammenhang
stehe. Der Vorteil für die Mitglieder besteht darin, dass sie keine Mitgliederkarte oder dergleichen mit
sich führen müssen. Zudem sind, wie unter dem bisherigen System, Reservationen via Internet mög-
lich.

Das neue biometrische Reservationssystem des TC XX verfolgt nachvollziehbare Zwecke. Dennoch
möchte der EDÖB seine ernsthaften Bedenken bezüglich der Frage äussern, ob es nicht andere Al-
ternativen zur Missbrauchsvermeidung geben würde, welche weniger stark in die Persönlichkeitsrech-
te der Betroffenen eingreifen würden (vgl. dazu auch das Ergebnis des Verhältnismässigkeitsprüfung
unter Ziffer 6.5.1.1, Empfehlung Nr. 2).

Die Bearbeitung biometrischer Daten bedarf eines Rechtfertigungsgrundes (Art. 12 und 13 DSG). Als
Rechtfertigungsgrund kommt im vorliegenden Fall die Einwilligung der Betroffenen in Frage. Das bio-
metrische Reservationssystem wurde nach einem entsprechenden GV-Beschluss eingeführt. Denje-
nigen Mitgliedern, die mit dem System nicht einverstanden waren, wurde eine valable Alternative ge-
boten, so dass davon ausgegangen werden kann, dass diejenigen Mitglieder, welche das biometri-
sche System nutzen, ihre Einwilligung geben. Aus Sicht des EDÖB fehlen jedoch wichtige Informatio-
nen, wie insbesondere die Bearbeitungsmodalitäten und der explizite Hinweis auf die Alternative ohne
Einsatz biometrischer Daten.

Aus Sicht des EDÖB fehlen vorliegend wichtige Informationen, insbesondere über die Bearbeitungs-
modalitäten, die explizite Erwähnung des Bestehens einer Alternative ohne Verwendung biometri-
scher Daten und die Tatsache, dass der Familienname im Reservationssystem angezeigt wird (vgl.
Ziffer 6.5.1.2 nachstehend).


Emfpehlung Nr. 1:

a) Der TC XX erarbeitet bis zum 31.12.2010 ein Informationen-
blatt, welches die Modalitäten der Bearbeitung der biometrischen
Daten, die Möglichkeit einer Alternative ohne Verwendung bio-
metrischer Daten, wie auch die Tatsache, dass der Familienna-
men der Mitglieder im Reservationssystem angezeigt wird, wenn
nicht von der Möglichkeit der Pseudonymisierung Gebrauch ge-
macht wird, Auskunft gibt. Aufgeführt werden müssen die Haupt-
punkte der Datenbearbeitung, wie z.B. die Einzelheiten Datenbe-
arbeitung, wo und wie lange die Daten gespeichert werden, ins-
besondere, was mit den Templates und den Transaktionsdaten





21/27


geschieht, wer Zugriff auf die Daten hat und an wen sie, wenn
überhaupt, weitergegeben werden etc.

b) Dieses Informationsblatt muss von einem Mitglied des Vor-
stands unterzeichnet und mit einer Versionenkontrolle versehen
werden.

c) Dieses Informationsblatt ist umgehend allen bestehenden Mit-
gliedern auszuhändigen und jedem Neumitglied vor dem Enrole-
ment abzugeben. Dem Neumitglied ist genügend Zeit zu Verfü-
gung zu stellen, das Informationsblatt vor dem Enrolement durch-
zulesen.

Das Enrolement erfolgt ausschliesslich unter Mitwirkung des Mitglieds. Ohne sein Zutun können beim
TC XX keine biometrischen Daten erhoben werden. Die Datenbearbeitung erfolgt in diesem Punkt
transparent und ist für die Betroffenen erkennbar.

Jedoch muss bemängelt werden, dass die Information der Mitglieder hinsichtlich der Bearbeitungsmo-
dalitäten ungenügend ist. Die Mitglieder wurden zwar anlässlich der GV, durch die Gebrauchsanwei-
sung sowie mündlich durch den Vereinspräsidenten informiert. Für eine möglichst transparente Da-
tenbearbeitung sollte neben den mündlichen Informationen durch den Vereinspräsidenten und der rein
über die richtige Handhabung des Systems informierende Gebrauchsanweisung auch ein Infoblatt
abgegeben werden, auf dem umschrieben ist, was mit den Personendaten geschieht und dass eine
Alternative ohne Erhebung biometrischer Daten besteht (vgl. EmpfehlungNr. 1).

Der Einsatz biometrischer Verfahren im Privatbereich stellt, je nach Ausgestaltung im konkreten Ein-
zelfall, einen mehr oder weniger intensiven Eingriff in die Persönlichkeitsrechte der Betroffenen dar.
Grundsätzlich sind daher vor dem Einsatz biometrischer Verfahren immer auch andere geeignete
Massnahmen zu überprüfen, welche weniger in die Grundrechte der Betroffenen eingreifen und mit
denen der angestrebte Zweck ebenfalls erreicht werden kann. Des Weitere muss bei der Auswahl und
Ausgestaltung des biometrischen Verfahrens darauf geachtet werden, ein möglichst datensparsames
System auszuwählen, das in einem vernünftigen Verhältnis zum angestrebten Zweck steht.

Im vorliegenden Fall geht es um ein Reservationssystem für Tennisplätze. Die Biometrie wird hier zur
Verifizierung der Mitglieder eingesetzt. Datensparsamkeit erreicht man, indem nur die unbedingt zur
Verifizierung notwendigen biometrischen Daten erhoben werden.

Für den Einsatz des neuen Reservationssystems werden aus den Fingerabdrücken der Mitglieder
Templates generiert und diese zentral in einer Datenbank abgelegt. Rohdaten (d.h. das Originalbild





22/27


des Fingerabdrucks) werden keine erhoben. Die Beschränkung der Speicherung biometrischer Daten
auf Templates, wie dies vom TC XX vollzogen wird, ist unter dem Gesichtspunkt der Datensparsam-
keit verhältnismässig und zu begrüssen.

Biometrische Daten sind dauerhaft personengebunden und geeignet, von der betroffenen Person ein
Bewegungsprofil zu erstellen. Aus diesem Grund sollten die biometrischen Daten – gerade wenn es
um so heikle Bereiche wie Fingerabdrücke geht – im Einflussbereich der betroffenen Person resp. des
Nutzers gespeichert werden. Der Grundsatz der inhaltlichen Verhältnismässigkeit erfordert, dass bei
biometrischen Systemen, die auch ohne zentrale Speicherung funktionsfähig sind, die biometrischen
Merkmale möglichst nicht in einer zentralen Datenbank gespeichert werden sollten, sondern nur auf
einem Medium, das ausschliesslich dem Benutzer zugänglich ist. Insbesondere beim Einsatz der Bi-
ometrie für ein Reservationssystem in einer Freizeitanlage muss aus Gründen des Persönlichkeits-
und Datenschutzes auf eine zentrale Speicherung verzichtet werden.

Aus dem bisher Gesagten folgt, dass für eine datenschutzkonforme Umsetzung biometrischer Verifi-
zierungssystemen im Freizeitbereich die nachfolgend beschriebenen drei Varianten in Frage kommen.
Für den Einsatz biometrischer Charakteristika, die (physische oder digitale) Spuren hinterlassen (z.B.
Fingerabdrücke oder Gesichtsfotografien), können nur die Varianten a) und b) durch den Einsatz von
individuellen Karten ein genügendes Sicherheitsniveau garantieren. Die Variante c) ohne Karten kann
dagegen nur dann eingesetzt werden, wenn biometrische Charakteristika verwendet werden, die kei-
ne Spuren hinterlassen (z.B. Fingervenen oder Handumriss).

a) Dezentralisierung (auf Karten)

4. die Verifizierung der Identität ausschliesslich auf diesem Sicherheitsmedium stattfindet, so
dass die biometrischen Daten zu keinem Zeitpunkt die gesicherte Umgebung des Mediums
und die Kontrolle der betroffenen Person verlassen (biometrischer Vergleich auf Karte, vgl.
Leitfaden S. 13).

b) Pseudodezentralisierung (mit Karten)

4. Die biometrischen Daten werden als verschlüsselte Templates zentral gespeichert (und nicht
als Rohdaten, z.B. als Fingerabdruckbild oder als Fotografie);





23/27


5. die Templates sind so gespeichert, dass der Inhaber der Datensammlung keinen Bezug zu
einer bestimmten oder bestimmbaren Person herstellen kann. Statistische Daten oder weitere
Angaben (z.B. Zeitstempel) können in Verbindung mit den biometrischen Daten so lange ge-
speichert werden, wie durch sie keine Identifizierung der fraglichen Person möglich wird;
6. die Verbindung zwischen dem Template und der betroffenen Person kann einzig durch eine
explizite und bewusste Freigabe durch die Verwendung der persönlichen Karte hergestellt
werden.

c) Zentralisierung (ohne Karten)

Wird ein Verifizierungssystem ohne die Verwendung persönlicher Karten im Freizeitbereich ge-
wünscht, so ist dies nur mit einer Zentralisierung der biometrischen Daten möglich. Da die zentrale
Speicherung biometrischer Daten für den Verifizierungsprozess normalerweise nicht notwendig wäre,
muss das System angepasst werden, damit es nicht gegen den Grundsatz der Verhältnismässigkeit
verstösst:

5. Es dürfen nur biometrische Charakteristika verwendet werden, die keine (physischen oder di-
gitalen) Spuren hinterlassen;
6. die biometrischen Daten werden als verschlüsselte Templates zentral gespeichert (und nicht
als Rohdaten, z.B. als Fotografie);
7. die Templates sind so gespeichert, dass der Inhaber der Datensammlung keinen Bezug zu
einer bestimmten oder bestimmbaren Person herstellen kann. Statistische Daten oder weitere
Angaben (z.B. Zeitstempel) können in Verbindung mit den biometrischen Daten so lange ge-
speichert werden, wie durch sie keine Identifizierung der fraglichen Person möglich wird;
8. die Verbindung zwischen dem Template und der betroffenen Person wird einzig in flüchtiger
Weise durch das Erkennungssystem hergestellt, mit dem Ziel, die Zugehörigkeit einer Person
zum Kreis der Berechtigten festzustellen. Alle weiteren Operationen (Identifizierung der Per-
son, Bestätigung der Reservation…) werden davon getrennt und ohne Verwendung biometri-
scher Charakteristika durchgeführt.



Empfehlung Nr. 2:

a) In Zukunft, jedoch spätestens ab 30.06.2011verzichtet der TC
XX auf die zentrale Speicherung der biometrischen Daten in der
heute praktizierten Form von Templates der Fingerabdrücke.
b) Wenn der TC XX an der Verwendung biometrischer Daten für
die Verifizierung seiner Mitglieder im Reservationssystem festhal-
ten will, so
- sind diese biometrischen Daten – auch diejenigen, welche be-
reits zentral erfasst wurden – auf einem Datenträger, welcher in
der Benutzersphäre und unter Kontrolle der betroffenen Personen
verbleibt (Minimum biometrischer Vergleich auf Karte, vgl. S. 13
des Leitfadens), zu speichern; oder
- sind diese biometrischen Daten zentralisiert als verschlüsselte
Templates zu speichern, ohne jegliche Verbindung zu anderen
Personendaten, so dass der Bezug zu einer bestimmten oder be-
stimmbaren Person einzig durch eine bewusste und explizite
Freigabe durch die betroffene Person durch die Verwendung ei-
ner persönlichen Karte hergestellt werden kann; oder





24/27


- sind nur biometrische Charakteristika zu verwenden, die keiner-
lei (physische oder digitale) Spuren hinterlasse. Die biometri-
schen Daten sind dabei als verschlüsselte Templates ohne dau-
erhaften Bezug zu anderen Personendaten zu speichern.

Eine Veröffentlichung von Personendaten im Internet ist stets mit besonderen Risiken Verbunden. Aus
diesem Grund ist der Zweck der Veröffentlichung vorgängig sorgfältig zu prüfen und die Veröffentli-
chung auf die für den Zweck unbedingt erforderlichen Daten zu beschränken. Wenn immer möglich,
ist der Zugang beispielsweise durch einen Passwortschutz auf diejenigen Personen zu beschränken,
die den Zugang zur Zweckerreichung benötigen.

Vorliegend dient die Veröffentlichung im Internet dem Zweck, den Clubmitgliedern eine Online-
Reservation zu ermöglichen. Dieser Zweck kann ohne Einschränkungen auch erreicht werden, wenn
der Zugang auf die Clubmitglieder beschränkt wird. Auch die technische Umsetzung der Zugangsbe-
schränkung dürfte wenig Probleme bereiten, wird doch für die Tätigung einer Reservation bereits jetzt
ein Login benötigt. Die Beschränkung kann mit Benutzeridentifikation und Passwort erreicht werden.
Für die vertrauliche Übertragung stehen heute erprobte Verschlüsselungssysteme, wie beispielsweise
das SSL-Protokoll (Secure Socket Layer), zur Verfügung. Die Schlüssellänge sollte dabei mindestens
128 Bit betragen.


Empfehlung Nr. 3:

aÉê=wìÖ~åÖ=òìã=çåäáåÉJ=oÉëÉêî~íáçåëëóëíÉã=áëí=Äáë=òìã=PNKNOKOMNM=
~ìÑ=ÇáÉ=jáíÖäáÉÇÉê=òì=ÄÉëÅÜê®åâÉå=ìåÇ=Ç~ÜÉê=ãáí=ÉáåÉã=m~ëëïçêíJ
ëÅÜìíò=òì=îÉêëÉÜÉå=aáÉ=§ÄÉêíê~ÖìåÖ=ÇÉê=a~íÉå=Ü~í=îÉêëÅÜäΩëëÉäí=
Eå~ÅÜ=~âíìÉääÉã=pí~åÇ=ÇÉê=qÉÅÜåáâF=òì=ÉêÑçäÖÉåK=



Für die Online-Reservation ist die Namensnennung zudem nicht notwendig. Es genügt, wenn erkenn-
bar ist, ob ein Platz frei oder besetzt ist. Der Mehrwert, durch die Namensnennung Spielpartner finden
zu können, muss auf freiwilliger Basis geschehen. Wird in den Grundeinstellungen jedoch der richtige
Name angezeigt, besteht die Gefahr, dass viele Mitglieder aus Unwissenheit oder Bequemlichkeit den
richtigen Namen stehen lassen, ohne dass sie mit einer Veröffentlichung ihres Namens im Reservati-
onssystem tatsächlich einverstanden sind. Aus diesem Grund müssen die Mitglieder auf diesen Um-
stand sowie die Möglichkeit der Pseudonymisierung aufmerksam gemacht werden (vgl. Empfehlung
Nr. 1a).

Beim TC XX werden zurzeit keine regelmässigen Datenlöschungen durchgeführt. Die Daten im Re-
servationssystem werden aus Platzgründen alle 2 bis 3 Jahre gelöscht, die übrigen Daten werden bis





25/27


jetzt gar nicht gelöscht. Es sind nirgends Löschfristen für die Daten festgehalten. Dies ist in zeitlicher
Hinsicht unverhältnismässig.


Empfehlung Nr. 4:

aÉê=q`=uu=Ü~í=ÑΩê=ë®ãíäáÅÜÉ=mÉêëçåÉåÇ~íÉå=i∏ëÅÜÑêáëíÉå=ÉáåòìÑΩÜJ
êÉåI=áåâäK=ÑΩê=ÇáÉ=_~ÅâìéÇ~íÉåK=a~ÜÉê=Ü~í=ÇÉê=q`=uu=ÇÉã=ba£_=ÉáJ
åÉå=sçêëÅÜä~Ö=ÑΩê=ÇáÉ=oÉÖÉäìåÖ=ÇÉê=i∏ëÅÜÑêáëíÉå=ÉáåòìêÉáÅÜÉå=ìåÇ=
ÇáÉëÉ=Äáë=òìã=PNKNOKOMNM=ìãòìëÉíòÉå=ìåÇ=ÇáÉ=íÉÅÜåáëÅÜÉå=^åé~ëJ
ëìåÖÉå=îçêòìåÉÜãÉåK



6.6 Zweckbindung der Datenbearbeitung

Durch die derzeit praktizierte zentrale Speicherung der Templates kann eine Zweckentfremdung (d.h.
eine über die Missbrauchsverhinderung hinausgehende Datenbearbeitung) dieser heiklen Daten nicht
gänzlich ausgeschlossen werden. Eine Zweckentfremdung im Sinne einer Verknüpfung mit anderen
Datensammlungen oder einer Weitergabe an aussenstehende Dritte wäre möglich. Da eine Änderung
des Bearbeitungszwecks der biometrischen Daten von den Betroffenen durch die zentrale Speiche-
rung der Daten nicht kontrollierbar ist, sind technische Lösungen vorzuziehen, welche die Zweckbin-
dung ausreichend gewährleisten. Unter dem Aspekt der Zweckbindung ist die dezentrale Speicherung
der biometrischen Daten auf einem sich in der Nutzersphäre der Betroffenen befindenden Datenträger
und nicht, wie vorliegend, eine zentrale Speicherung der Daten vorzusehen. Es kann an dieser Stelle
auf die Empfehlung Nr. 2 verwiesen werden.

Aus Datenschutzgründen sollte die False Acceptance Rate (FAR) vermindert werden, ohne aber die
False Rejection Rate (FRR) zu stark zu beeinträchtigen. Gleichzeitig sollte ein optimaler Schwellen-
wert gewählt werden. Jedes biometrische System weist einen gewissen Prozentsatz an FAR auf. Die
Verifizierung kann infolgedessen nicht zu 100 % zuverlässig erfolgen.

Für Personen, denen biometrische Merkmale fehlen oder deren biometrische Merkmale z.B. aufgrund
des Alters, Narben oder sonstiger Gründe nicht oder nur schlecht eingelesen werden können, muss
eine äquivalente Anwendbarkeit des Erkennungssystems geplant und eingesetzt werden.

Die Anzahl der vom TC XX verwendeten Minutien pro Template liegt innerhalb der Bandbreite des
Zulässigen. Diejenigen Personen, die das biometrische System aufgrund fehlender oder für das Sys-
tem nicht genügender biometrischer Merkmale nicht nutzen können, können ihre Reservationen mit-
tels PIN vornehmen und haben damit eine äquivalente Alternative. Abgesehen davon, dass der EDÖB
der Ansicht ist, die zentrale Speicherung sei unverhältnismässig und daher eine dezentrale Speiche-
rung auf einem Speichermedium in der Nutzersphäre der betroffenen Person einzuführen (vgl. Emp-
fehlung Nr. 2), hat der EDÖB zur Datenrichtigkeit keine Bemerkungen.







26/27


6.8 Datensicherheit

Die Datensicherheit ist beim TC XX, gerade in Anbetracht der Sensibilität der verwendeten Personen-
daten, zu wenig gewährleistet. Die Rechner müssen physisch besser gesichert werden, um die Wahr-
scheinlichkeit eines Diebstahls zu verringern. Zudem müssen die Zugangs- und Zutrittsberechtigung
genauer geregelt und reduziert werden, um auch hier die Risiken zu senken. Eine Umgestaltung des
Netzwerks sollte ausserdem die Sicherheit der Datenübertragung erhöhen.


Empfehlung Nr. 5:

rã=ÇáÉ=òìêòÉáí=ìåÖÉåΩÖÉåÇÉ=a~íÉåëáÅÜÉêÜÉáí=òì=ÉêÜ∏ÜÉåI=áåëÄÉJ
ëçåÇÉêÉ=~ìÅÜ=áå=^åÄÉíê~ÅÜí=ÇÉê=pÉåëáÄáäáí®í=ÇÉê=Ñê~ÖäáÅÜÉå=a~íÉåI=
Ü~í=ÇÉê=q`=uu=Äáë=òìã=PNKNOKOMNM=
~= =ÇáÉ=éÜóëáëÅÜÉ=páÅÜÉêìåÖ=ÇÉë=m`=ł_áçãÉíêáÉ“=ìåÇ=ÇÉë=pÉâêÉí~êáJ
~íëJm`=ÇìêÅÜ=ÖÉÉáÖåÉíÉ=j~ëëå~ÜãÉå=îÉêÄÉëëÉêíK=
ÄK= ÇáÉ=wìíêáííëÄÉêÉÅÜíáÖìåÖÉå=òìã=m`=ł_áçãÉíêáÉ“=ìåÇ=òìã=pÉâêÉJ
í~êá~íëJm`=êÉÖÉäíI=ïçÄÉá=ÇáÉ=^åò~Üä=ÇÉê=wìíêáííëÄÉêÉÅÜíáÖíÉå=~ìÑ=Éáå=
jáåáãìã=òì=êÉÇìòáÉêÉå=áëíK=
ÅK= ÇáÉ=wìÖ~åÖëÄÉêÉÅÜíáÖìåÖÉå=òì=ë®ãíäáÅÜÉå=îçã=q`=uu=ÖÉëéÉáJ
ÅÜÉêíÉå=mÉêëçåÉåÇ~íÉåI=áåâäK=_~ÅâìéëI=êÉÖÉäíI=ïçÄÉá=ÇáÉ=^åò~Üä=ÇÉê=
wìíêáííëÄÉêÉÅÜíáÖíÉå=~ìÑ=Éáå=jáåáãìã=òì=êÉÇìòáÉêÉå=áëíK=
ÇK= ÇáÉ=â~ÄÉääçëÉ=a~íÉåΩÄÉêíê~ÖìåÖ=òïáëÅÜÉå=ÇÉã=m`=ł_áçãÉíêáÉ“=
ìåÇ=ÇÉã=pÉâêÉí~êá~íëJm`=ìåÇ=òïáëÅÜÉå=ÇÉã=pÉâêÉí~êá~íëJm`=ìåÇ=
ÇÉã=jçÇÉãLoçìíÉê=ÇìêÅÜ=ÉáåÉ=§ÄÉêãáííäìåÖ=îá~=h~ÄÉä=ÉêëÉíòíK



6.9 Auskunftsrecht

Die Mitglieder haben jederzeit die Möglichkeit, ihre persönlichen Daten einzusehen und aktualisieren
zu lassen. Das Auskunftsrecht der Mitglieder wird gewährleistet. Der EDÖB hat dazu keine Bemer-
kungen.


7. Schlussfolgerungen

Zum Zweck der Eindämmung von Missbräuchen bei der Reservation und Nutzung der Tennisplätze
hat der TC XX im Sommer 2009 ein neues Reservationssystem eingeführt, bei dem neben der Perso-
nalien der Mitglieder auch biometrische Daten in Form von Templates der Fingerabdrücke erhoben
und gespeichert werden.

Die durchgeführte Datenschutzkontrolle konnte dem EDÖB einen vertieften Einblick in das neue Re-
servationssystem liefern. Die vom TC XX zu Verfügung gestellten Unterlagen und Dokumente haben
es dem EDÖB erlaubt, die damit verbundene Datenbearbeitung auf die Einhaltung der Datenschutz-
bestimmungen zu überprüfen.





27/27



Der EDÖB gelangt zu einer kritischen Gesamtbeurteilung des biometrischen Reservationssystems.
Die Datenschutzkontrolle hat gezeigt, dass die seit der Einführung des neuen biometrischen Reserva-
tionssystems erfolgte Bearbeitung von Personendaten durch den TC XX nicht in allen Aspekten da-
tenschutzkonform verläuft. Wo Änderungen vorgenommen werden müssen oder wo Verbesserungs-
bedarf besteht, hat dies der EDÖB mit Begründung erläutert.


7.2 Verfahren und weiteres Vorgehen

Der vorliegende Kontrollbericht enthält eine Reihe von Feststellungen sowie Empfehlungen, welche
vom EDÖB auf Basis der durchgeführten Kontrolle verfasst wurden. Der vorliegende Kontrollbericht
wird dem TC XX zur Kenntnisnahme zugestellt. Innert Frist von 30 Tagen nach Zustellung hat der TC
XX dem EDÖB mitzuteilen, ob seitens des TC XX irgendwelche Bemerkungen dazu vorliegen und ob
der TC XX die Empfehlungen akzeptiert. Falls die Empfehlungen akzeptiert werden, lässt der TC XX
innert derselben Frist dem EDÖB einen Vorschlag für die Regelung der Löschristen zukommen (vgl.
Empfehlung Nr. 4). Für den Fall, dass der TC XX die Empfehlungen nicht akzeptiert oder umsetzt,
kann der EDÖB die Angelegenheit dem Bundesverwaltungsgericht zum Entscheid vorlegen (Art- 29
Abs. 4 DSG).

In Anbetracht der Sensibilität der bearbeiteten Daten und der Reaktionen einiger Clubmitglieder ist die
Notwendigkeit der Kontrolle des neuen Reservationssystems des TC XX in Bezug auf den Daten-
schutz offensichtlich. Die Feststellungen und Empfehlungen des EDÖB zeigen nun die Richtung auf,
die andere private Betreiber von Freizeitanlagen bei der Umsetzung biometrischer Systeme einzu-
schlagen haben.

Aus besagten Gründen besteht ein grundsätzliches Interesse daran, die Öffentlichkeit für
diese Art der Datenerhebung zu sensibilisieren und sie insbesondere über die erfolgte Datenschutz-
kontrolle beim TC XX und die diesbezüglichen Ergebnisse zu informieren. Gestützt auf Art. 30 Abs. 2
DSG wird der EDÖB daher den vorliegenden Kontrollbericht in einer angepassten und anonymisierten
Version publizieren. Selbstverständlich erfolgt die Publikation unter dem Vorbehalt, dass keine aus
Sicht des TC XX (und dem Systemlieferanten) vertraulichen Daten, welche Geschäftsgeheimnisse
offenbaren oder die Konkurrenzfähigkeit beeinflussen könnten, bekannt gegeben werden. Der TC XX
wird daher aufgefordert, den Schlussbericht auf solche vertraulichen Inhalte hin zu überprüfen und
dem EDÖB mit Frist von 30 Tagen entsprechend schriftliche Rückmeldung zu erstatten.