edoeb · kss-weiterzug-an-das-bundesverwaltungsgericht-2010-bvge-200944pdf11919-kb10-juni · 2008-06-10 · de
KSS: Weiterzug an das Bundesverwaltungsgericht (2010)> BVGE 2009/44PDF119.19 kB10. Juni 2008
Datenschutz


Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter
EDÖB
Der Beauftragte



Feldeggweg 1, 3003 Bern
Tel. 031 323 74 84, Fax 031 325 99 96
www.edoeb.admin.ch



Bern, den 10. Juni 2008


WEITERZUG
gemäss Art. 29 Abs. 4 des Bundesgesetzes über den Datenschutz (DSG) vom 19. Juni 1992
in der Sache
Schlussbericht und Empfehlung des Eidgenössischen Datenschutz- und
Öffentlichkeitsbeauftragten (EDÖB) vom 11. April 2006
betreffend
die Erhebung biometrischer Daten beim Erwerb einer Dauerkarte in den Sport- und Freizeitan-
lagen KSS Schaffhausen
I. Begehren


Folgenden Begehren sei stattzugeben:

Die Empfehlungsadressatin sei auszufordern auf die zentrale Speicherung von biometri-
schen Daten in Form von Templates der Fingerabdrücke zu verzichten und diese biomet-
rischen Daten - auch diejenigen, welche bereits zentral erfasst wurden - auf einer Sicher-
heitskarte (smartcard), welche in der Einflusssphäre und unter Kontrolle der betroffenen
Person verbleibt, abzulegen. Damit soll die Verifizierung der Identität ausschliesslich auf
diesem Sicherheitsmedium stattfinden (smartcard match on card), so dass die biometri-
schen Daten zu keinem Zeitpunkt die gesicherte Umgebung des Mediums und die Kon-
trolle der betroffenen Person verlassen.







2/16


II.
Sachverhalt

1.
Im Januar 2005 hat die KSS Sport- und Freizeitanlagen Schaffhausen (nachfolgend KSS
genannt) ein neues Zugangskontrollsystem (biometrisches Erkennungssystem1 für die
biometrische Verifizierung2 von Abonnenten) für den Hallenbad- und Wellnessbereich
eingeführt. Dieses sieht vor, dass neben den Personalien auch biometrische Daten3 in
Form von Templates4 des Fingerabdrucks5 des Abonnenten erhoben und gespeichert
werden. Bei jedem Eintritt in das Hallenbad- oder den Wellnessbereich muss der Kunde
seine Dauerkarte sowie zusätzlich seinen Finger einsetzen, um das Drehkreuz am Ein-
gang passieren zu können.

2.
Ziel der KSS ist es, durch das neue Zugangskontrollsystem Missbräuche bei der Benut-
zung persönlicher, nicht übertragbarer Dauerkarten einzudämmen. Nach einer halbjähri-
gen Pilotphase wurde das neue System im Sommer 2005 definitiv eingeführt. Langfristig
ist ein Ausbau des Systems für weitere Sport- und Freizeitangebote (wie Freibad im
Sommer oder Eisbahn im Winter) geplant.
Der EDÖB erfuhr von der durch die KSS vorgenommene Erhebung biometrischer Daten
durch diverse Zeitungsberichte und Fragen seitens besorgter Bürger.

3.
In diesem Rahmen hat der EDÖB bei den KSS zwischen Juni 2005 und April 2006 ge-
mäss Art. 29 DSG eine umfassende Überprüfung im Hinblick auf die Einhaltung der Da-
tenschutzbestimmungen bei der Bearbeitung biometrischer Daten vorgenommen.

4.
Mit Schreiben vom 6. Juni 2005 hat der EDÖB die KSS schriftlich über die geplante Da-
tenschutzkontrolle und Sachverhaltsabklärung vor Ort betreffend das neue Zugangskon-
trollsystem informiert. Zusätzlich wurden vom EDÖB die Dokumentation des neue Sys-
tems angefordert und um die Beantwortung eines beigelegten Fragenkataloges gebeten.
(siehe Anhang 2 : Schreiben des EDÖB vom 6. Juni 2005 (Sachverhaltsabklärung) )

5.
Mit Schreiben vom 29. Juni 2005 hat die KSS den Fragekatalog des EDÖB beantwortet
und um Terminvorschläge gebeten. (siehe Anhang 3 : Schreiben der KSS vom 29. Juni
2005)

6.
Mit Schreiben vom 4. August 2005 hat der EDÖB Terminvorschläge unterbreitet und um
Nennung der an der Sachverhaltsabklärung anwesenden Personen gebeten. Zudem hat
der EDÖB letzte Rückfragen gestellt. (siehe Anhang 4 : Schreiben des EDÖB vom 4.
August 2005)

7.
Mit Schreiben vom 19. August 2005 hat die KSS die letzten Rückfragen schriftlich be-
antwortet und den Termin für die Sachverhaltsabklärung vor Ort auf den 21. September
2005 festgelegt. (siehe Anhang 5 : Schreiben der KSS vom 19. August 2005)


1 Siehe Anhang 1 : Definitionen zur Biometrie, Nr. 3
2 Siehe Anhang 1 : Definitionen zur Biometrie, Nr. 8
3 Siehe Anhang 1 : Definitionen zur Biometrie, Nr. 6
4 Siehe Anhang 1 : Definitionen zur Biometrie, Nr. 5
5 Siehe Anhang 1 : Definitionen zur Biometrie, Nr. 2






3/16


8.
Am 25. August 2005 hat der EDÖB den Termin für die Sachverhaltsabklärung per E-Mail
bestätigt. (siehe Anhang 6 : E-Mail des EDÖB vom 25. August 2005 (Bestätigung des
Termins))

9.
Mit Anruf vom 7. September 2005 hat die KSS mitgeteilt, dass die Sachverhaltsabklä-
rung von Seiten der KSS auf unbestimmte Zeit verschoben werden musste. (siehe
Anhang 7 : Anruf der KSS vom 7. September 2005 (Verschiebungsanfrage))

10.
Am 21. November 2005 fand die Sachverhaltsabklärung des EDÖB bei den KSS in
Schaffhausen statt.

11.
Mit Schreiben vom 30. November 2005 hat der EDÖB den KSS das weitere Vorgehen
im Rahmen der Datenschutzkontrolle per E-Mail angekündigt. (siehe Anhang 8 : E-Mail
des EDÖB vom 30. November 2005 (Vorgehen Datenschutzkontrolle))

12.
Am 14. Dezember 2005 hat der EDÖB den KSS ein Fact-Sheet geschickt, mit der Bitte
um materielle Bereinigung des Textes sowie um Beantwortung aufgetretener Rückfra-
gen. (siehe Anhang 9 : Schreiben des EDÖB vom 14. Dezember 2005 (Fact-Sheet))

13.
Mit Schreiben vom 20. Januar 2006 hat die KSS um eine Fristverlängerung gebeten.
(siehe Anhang 10 : Schreiben der KSS vom 20 Januar 2006 (Bitte um Fristerstreckung))

14.
Am 24. Januar 2006 hat der EDÖB per E-Mail eine Fristverlängerung bis zum 3. Februar
2006 gewährt. (siehe Anhang 11 : E-Mail des EDÖB vom 24. Januar 2006 (Fristerstre-
ckung bis 3. Februar 2006))

15.
Mit Schreiben vom 1. Februar 2006 hat die KSS die Richtigkeit des Fact-Sheets bestätigt
und die gestellten Rückfragen beantwortet. (siehe Anhang 12 : Schreiben der KSS vom
1. Februar 2006 (Bestätigung der Richtigkeit des Fact-Sheets))

16.
Die Ergebnisse der Sachverhaltsabklärung wurden vom EDÖB in einem separaten und
detaillierten Bericht (Schlussbericht des EDÖB vom 11. April 2006) festgehalten. Dieser
Schlussbericht erging zusammen mit der Empfehlung zuhanden der KSS. (siehe
Anhang 13 : Schreiben des EDÖB vom 11. April 2006 (Schlussbericht) und Anhang 14 :
Schreiben des EDÖB vom 11. April 2006 (Empfehlung))

17.
Mit Schreiben vom 18. Mai 2006 hat die KSS um eine Fristverlängerung bezüglich Stel-
lungnahme zum Schlussbericht und zur Empfehlung gebeten. (siehe Anhang 15 :
Schreiben der KSS vom 18. Mai 2006 (Bitte um Fristverlängerung))

18.
Mit Schreiben vom 24. Mai 2006 hat der EDÖB eine Fristerstreckung bis zum 19. Juni
2006 gewährt. (siehe Anhang 16 : Schreiben des EDÖB vom 24. Mai 2006 (Fristerstre-
ckung bis 19. Juni 2006))

19.
Mit Schreiben vom 19. Juni 2006 hat die KSS um eine Fristverlängerung bezüglich Stel-
lungnahme zum Schlussbericht und zur Empfehlung gebeten. (siehe Anhang 17 :
Schreiben der KSS vom 19. Juni 2006 (zweite Bitte um Fristverlängerung))







4/16


20.
Mit Schreiben vom 21. Juni 2006 hat der EDÖB eine zweite Fristerstreckung bis 10. Au-
gust 2006 gewährt. (siehe Anhang 18 : Schreiben des EDÖB vom 21. Juni 2006 (zweite
Fristerstreckung bis 10. August 2006))

21.
Mit Schreiben vom 10. August 2006 hat die KSS die fünf vom EDÖB unterbreiteten Emp-
fehlungen akzeptiert. Bezüglich der Verbesserungsvorschläge und die Angabe der ver-
traulichen Informationen hat sich die KSS nicht geäussert. (siehe Anhang 19 : Schreiben
der KSS vom 10. August 2006 (Stellungnahme zu unseren 5 Empfehlungen))

22.
Mit Schreiben vom 31. August 2006 hat der EDÖB die KSS um Nachlieferung der Stel-
lungnahmen zu den Verbesserungsvorschlägen, Angaben über vertrauliche Informatio-
nen und Erläuterung der Stellungnahme der KSS zu Empfehlung Nr. 4 (Anonymisierung
der Transaktionsdaten) - mit Frist bis zum 15. September 2006 - gebeten. (siehe Anhang
20 : Schreiben des EDÖB vom 31. August 2006 (Bitte um Nachlieferung der Stellung-
nahme zu den Verbesserungsvorschlägen und zur Erläuterung der Stellungnahme zu
Empfehlung Nr. 4))

23.
Mit Schreiben vom 15. September 2006 hat uns die KSS um eine weitere Fristerstre-
ckung bis 19. Oktober 2006 gebeten. (siehe Anhang 21 : Schreiben der KSS vom 15.
September 2006 (Bitte um Fristverlängerung))

24.
Mit Schreiben vom 20. September 2006, wurde eine Fristerstreckung bis 19. Oktober
2006 durch den EDÖB gewährt. (siehe Anhang 22 : Schreiben des EDÖB vom 20. Sep-
tember 2006 (Fristerstreckung bis 19. Oktober 2006))

25.
Mit Stellungnahme vom 18. Oktober 2006, hat die KSS, folgende Massnahmen zur Emp-
fehlung Nr. 2 (dezentralisierte Speicherung der Templates) vorgeschlagen: „Die Dauer-
karten werden durch beschreibbare Medien ersetzt, die Software wird so angepasst,
dass die Daten auf der Karte gespeichert werden können. …Programmieren, Testen und
die Inbetriebnahme kann bis zum 01. Mai 2007 garantiert werden. Die Einführung kann
ebenfalls auf Saisonbeginn, mithin 15. Mai 2007, stattfinden“. (siehe Anhang 23 :
Schreiben der KSS vom 18. Oktober 2006 (Massnahmen zur Empfehlung Nr. 2))

26.
Mit Schreiben vom 10. November 2006 haben wir KSS mitgeteilt, dass wir die Kontrolle
für abgeschlossen erachten würden, vorbehältlich der Einreichung eines Implementie-
rungsberichts bezüglich die Umsetzung der erlassenen Empfehlungen und Verbesse-
rungsvorschläge und unter Hinweis auf die im erwähnten Schreiben genannten drei
Punkte. Deshalb wurde die KSS dazu aufgefordert, uns per 01. Juni 2007 einen Imple-
mentierungsbericht bezüglich der Umsetzung sämtlicher vom EDÖB erlassenen Emp-
fehlungen und Verbesserungsvorschläge zuzustellen. (siehe Anhang 24 : Schreiben des
EDÖB vom 10. November 2006 (Bitte um Zustellung einem Implementierungsbericht be-
züglich der Umsetzung sämtlicher vom EDÖB erlassenen Empfehlungen und Verbesse-
rungsvorschläge))

27.
Mit Schreiben vom 22. November 2006, hat der EDÖB der KSS die zuvor angekündigte
Aufschaltung des Schlussberichts am 24. November 2006 auf seiner Website bestätigt.
(siehe Anhang 25 : Schreiben des EDÖB vom 22. November 2006 (Bericht zur Publika-
tion))







5/16


28.
Mit Schreiben vom 1. Juni 2007, teilte die KSS mit, dass „aus Gründen der Arbeitsüber-
lastung […] bisher weder die Direktion der KSS noch die Herstellerfirma […] dazu [kam],
den verlangten Bericht zu erstellen“. (siehe Anhang 26 : Schreiben der KSS vom 1. Juni
2007 (Bemerkungen zum kürzen Implementierungsbericht))

29.
Mit Schreiben vom 28. Juni 2007, hat der EDÖB wiederholt zur Kenntnis genommen,
dass KSS gemäss Ihren Antworten vom 10. August 2006 und 18. Oktober 2006 die vier
Empfehlungen vom 11. April 2006 akzeptiert hatte. Der EDÖB hat dabei wieder auf sei-
nen Brief vom 10. November 2006 (abgeschlossene Kontrolle, vorbehältlich der Einrei-
chung eines Implementierungsberichts) hingewiesen und die KSS um Erläuterungen
zum Implementierungsbericht gebeten. (mit Frist bis zum 31. Juli 2007 zur Einreichung
einer kurzen Übersicht und zum 30. September zur Einriechung des Implementierungs-
berichts ). (siehe Anhang 27 : Schreiben des EDÖB vom 28. Juni 2007 (Nachforderung
für die Frist um die Beschaffung des Implementierungsberichts))

30.
Mit Schreiben vom 26. Juli 2007, teilte die KSS mit, dass „unter Hinweis auf die bisher
entstandenen Kosten, keine weitere Vorkehren mehr geplant“ seien. (siehe Anhang 28 :
Schreiben der KSS vom 26. Juli 2007)

31.
Aufgrund dieser neuen Informationen seitens der KSS, hat der EDÖB mit Schreiben vom
27. August 2007 der KSS mitgeteilt, dass er sich zu einer Nachkontrolle entschieden
hatte, um zu überprüfen, ob die Empfehlungen und Verbesserungsvorschläge umgesetzt
wurden. (siehe Anhang 29 : Schreiben des EDÖB vom 27. August 2007 (Nachkontrol-
le)).

32.
Bei der ersten Nachkontrolle am 11. September 2007, wurde festgestellt, dass die Emp-
fehlung Nr. 1 umgesetzt war und dass die Empfehlungen 3, 4 und 5 erst nach einem
Software-Release bis Ende Jahr umgesetzt werden könnten. Was die Empfehlung Nr. 2
anbelangt (dezentrale Speicherung der Templates), wurde der Anbieter der technischen
Lösung angefragt, wie Smartcards eingesetzt werden können und welche Kosten damit
verbunden seien. Der Geschäftsleiter hat uns mitgeteilt, dass die KSS bisher keine
Smartcards nachgefragt hat, aber dass die Anpassung für die KSS allerdings kosten-
neutral sei (bis auf die Anschaffungskosten für die Smartcards, d.h. ungefähr 5 Franken
pro Stück). Zusätzlich hat er mitgeteilt, dass das System schon dazu geeignet ist,
Smartcards auszulesen. Der Betriebsleiter der KSS schätzte die bei der KSS im Umlauf
befindliche Dauerkarten auf ungefähr 15'000.

33.
Mit Schreiben vom 4. Dezember 2007 teilte der EDÖB der KSS mit, dass er sich für eine
zweite Nachkontrolle vor Ort entschieden hatte, um die Umsetzung der Empfehlungen 3
und 4 überprüfen zu können. Dazu setzte er der KSS eine Frist bis 15. Januar 2008 an,
um einen Termin zu nennen, bis wann Sie die Empfehlung Nr. 2 im Jahr 2008 umsetzen
wollten. (siehe Anhang 30 : Schreiben des EDÖB vom 4. Dezember 2007). Eine Bespre-
chung über die Umsetzung der Empfehlung Nr. 2 wurde nachträglich zwischen den Be-
teiligten vereinbart.

34.
Mit Schreiben vom 14. Januar 2008 teilte uns die KSS mit, dass sie davon ausgingen,
dass Ihnen die eröffnete Frist einstweilen abgenommen war. (siehe Anhang Anhang 31 :
Schreiben der KSS vom 14. Januar 2008).







6/16


35.
Bei der zweiten Nachkontrolle am 17. Januar 2008 hat der EDÖB feststellen können,
dass die Empfehlungen 3 und 4 umgesetzt worden waren. Die Besprechung über die
Empfehlung Nr. 2 führte dazu, dass deren Umsetzung grundsätzlich möglich sein sollte,
unter Berücksichtigung der auf die KSS zukommenden Kosten für die Neuanschaffung
von Smartcards, auf welchen die biometrischen Daten in dezentraler Form gespeichert
werden können.

36.
Mit Schreiben vom 29. Februar 2008 hat die KSS mitgeteilt, dass sie die Umsetzung der
Empfehlung Nr. 2 ablehnt, da sie diese als unverhältnismässig („Zum einen müssten
neue Karten eingekauft werden, was hohe Anschaffungskosten verursacht, zum andern
wäre zusätzlicher logistischer Aufwand durch die Erfassung und Ausstellung der neuen
Karte unvermeidbar“) erachtet. (siehe Anhang 32 : Schreiben der KSS vom 29. Februar
2008 (Ablehnung der Empfehlung Nr. 2)).
III. Formelles

37.
Die KSS hat unsere Empfehlung Nr. 2 bezüglich der dezentralen Speicherung von
Templates mit Schreiben vom 10. August 2006 akzeptiert, diese aber dann nicht befolgt.
Schliesslich, mit Schreiben vom 29. Februar 2008 hat die KSS unsere Empfehlung Nr. 2
abgelehnt. Damit kann der EDÖB gemäss Art. 29 Abs. 4 DSG die Angelegenheit dem
Bundesverwaltungsgericht zum Entscheid vorlegen.
IV. Erwägungen

1. Biometrische Daten als Personendaten im Sinne von Art. 3 lit. a DSG

38.
Gemäss Art. 3 lit. a DSG, sind unter „personenbezogene Daten“, alle Angaben zu ver-
stehen, „die sich auf eine bestimmte oder bestimmbare Person beziehen“ (Basler Kom-
mentar zum DSG, Urs Maurer-Lambrou/Andreas Steiner zu Art. 3 DSG, Rz. 4). Gemäss
Art. 2 Abs. 1 DSG ist das DSG für das Bearbeiten von Daten natürlicher und juristischer
Personen durch private Personen sowie durch Bundesorgane anwendbar.

39.
Biometrische Daten6 werden als personenbezogenen Daten qualifiziert, da sie sich auf
den eigenen Körper (biometrische Charakteristiken7) beziehen und Informationen über
physiologischen (dazu zählen Fingerabdrücken und Finger-Bild, Iris, Gesichts, Handge-
ometrie, usw.) oder verhaltenstypischen (dazu zählen Unterschrift, Tastenanschlag,
Gangart usw.) Merkmale von bestimmten oder bestimmbaren Personen enthaltenen
können. Der Einsatz von biometrischen Erkennungssystemen beinhaltet Risiken für die
Grundrechte und -freiheiten und hat sich zu einer grossen Herausforderung für den Da-
tenschutz entwickelt. Aufgrund dieser Risiken, haben gewisse Mitgliedstaaten der EU
gemäss Art. 20 Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbei-
tung personenbezogener Daten und zum freien Datenverkehr (siehe Anhang 33 : Richt-
linie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum
freien Datenverkehr) http://ec.europa.eu/justice_home/fsj/privacy/law/index_de.htm, Re-

6 Siehe Anhang 1 : Definitionen zur Biometrie, Nr. 6
7 Siehe Anhang 1 : Definitionen zur Biometrie, Nr. 2






7/16


gelungen bezüglich Vorabkontrollen für biometrische Daten oder Erkennungssystemen
(Frankreich, Italien, Luxemburg, Slowakei, Slowenien) sowie besonders schützenswer-
ten Personendaten (Deutschland, Griechenland, Litauen, Österreich, Portugal) festge-
legt.

40.
Wie die Art. 29-Datenschutzgruppe der EU in ihrem Arbeitspapier über Biometrie, S. 2,
5 f. (siehe Anhang 34 : Arbeitspapier über Biometrie (WP Nr. 80)) (angenommen am 1.
August 2003)
http://ec.europa.eu/justice_home/fsj/privacy/workinggroup/wpdocs/2003_en.htm
festhält, sind „biometrische Daten […] Daten besonderer Art, da sie sich auf die verhal-
tenstypischen und physiologischen Merkmale einer Person beziehen und unter Umstän-
den ihre eindeutige Identifizierung ermöglichen. Allerdings hängt die eindeutige Identifi-
zierung von verschiedenen Faktoren wie dem Umfang der Datenbank und der Art der
verwendeten biometrischen Daten ab. […] Biometrische Daten dürften stets als Informa-
tionen über eine natürliche Person einzustufen sein, da sie naturgemäß Aufschluss über
eine bestimmte Person geben“.

41.
Gemäss Hornung (Der Personbezug biometrischer Daten, Datenschutz und Datensi-
cherheit (DuD), 28 (2004) 7, S. 430 f.) kann „ein Personenbezug von Templates […]
nicht grundsätzlich verneint werden, weil auch diese (extrahierte) Informationen über ei-
ne Person enthalten und ihr über Zuordnungslisten zugeordnet sein können. Biometri-
sche Daten sollten dann nicht als personenbezogene Daten eingestuft werden, wenn sie
wie ein Template so gespeichert werden, dass eine Identifizierung der betroffenen Per-
son durch den Verantwortlichen für die Verarbeitung oder Dritte mit angemessenen Mit-
teln ausgeschlossen ist. Bei der Präsentation biometrischer Merkmale entstehen in aller
Regel personenbezogene Daten. Das ist beim Enrolment stets, beim Matching immer
dann der Fall, wenn die Identität des Betroffenen durch die verantwortliche Stelle auf
anderem Wege feststellbar ist. In diesem Fall sind auch die jeweiligen Referenzdaten
personenbezogen. Gleiches gilt, wenn diese mit einem Zuordnungssystem gespeichert
sind. Bei einer Speicherung auf Chipkarten, auf denen der Name des Inhabers aufge-
druckt ist, handelt es sich nur dann nicht um personenbezogene Daten, wenn die Karte
selbst über einen Sensor verfügt“.

42.
Im vorliegenden Fall ist die von den KSS durchgeführten Datenbearbeitungen gerade
auf die Verifizierung ausgerichtet. Die Überprüfung der Zugangsberechtigung wird durch
die Vergleichung des Fingerabdrucks einer Person mit dem in der zentralen Datenbank
abgespeicherten Template erfüllt. Damit handelt es sich bei den von den KSS gesam-
melten biometrischen Daten um Personendaten gemäss Art. 3 lit. a DSG.


2.
Datenschutzgrundsätze

2.1.
Zweckbindung

43.
Personendaten dürfen nur zu dem Zweck bearbeitet werden, welcher bei der Beschaf-
fung angegeben wurde oder der aus den Umständen ersichtlich oder gesetzlich vorge-
sehen ist (Art. 4 Abs. 3 DSG). Die von den KSS erhobenen biometrischen Daten dienen
der Verifizierung der Zugangsberechtigung der betroffenen Personen. Zwar nimmt die
KSS bei den Zugangskontrollen keine Zweckänderung vor, allerdings ist eine Änderung
des Bearbeitungszwecks im vorliegenden Falle von den Betroffenen durch die zentrale






8/16


Speicherung der biometrischen Daten nicht kontrollierbar. Daher sind technische Lösun-
gen zur Verifizierung der Zugangsberechtigung vorzuziehen, bei welchen keine zentrale
Speicherung von biometrischen Daten vorgenommen wird. Da bei einer zentralen Da-
tenspeicherung die betroffene Person die Kontrolle über die über sie gesammelten bio-
metrischen Daten vollständig verliert, birgt ein zentraler Datenbestand die Gefahr einer
Verletzung der informationellen Selbstbestimmung mit sich, welche gemäss Art. 13 Abs.
2 der Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999
(SR 101; BV) garantiert wird.

44.
In der Praxis hängt die Reichweite der informationellen Selbstbestimmung der betroffe-
nen Personen von den verwendeten technischen Verfahren und Lösungen ab. Einige
Lösungen ermöglichen die individuelle Kontrolle über die personenbezogenen Refe-
renzdaten, andere ermöglichen die individuelle Kontrolle sowohl über die personenbe-
zogenen Referenzdaten als auch über die personenbezogenen Transaktionsdaten (Le-
sen und Vergleichen).

45.
Datenschutzrechtlich, sollten die betroffenen Personen so viel Kontrolle wie möglich über
die eigenen Daten haben. Im Fall der KSS, haben wir daher eine dezentrale Speiche-
rung empfohlen. Damit die biometrischen Daten den Kontrollbereich der betroffenen
Person nicht verlassen, haben wir den Einsatz von einem milderen Mittel „Smartcards
match on card“ empfohlen, so dass die biometrische Daten auf dem Sicherheitsmedium
gespeichert werden und die Verifizierung auf dem Sicherheitsmedium stattfindet.

2.2.
Verhältnismäßigkeit der Datenbearbeitung

46.
Die Bearbeitung von Personendaten hat sich am Grundsatz der Verhältnismässigkeit zu
orientieren (Art. 4 Abs. 2 DSG). Dies bedeutet, dass ein Datenbearbeiter nur diejenigen
Daten bearbeiten darf, die er für einen bestimmten Zweck objektiv tatsächlich benötigt
und die im Hinblick auf den Bearbeitungszweck und die Persönlichkeitsbeeinträchtigung
in einem vernünftigen Verhältnis stehen (Basler Kommentar zum DSG, Urs Maurer-
Lambrou/Andreas Steiner zu Art. 4 DSG, Rz. 11). Eine Datenbearbeitung ist dann ver-
hältnismässig, wenn sie sich inhaltlich auf das absolut Notwendige beschränkt, um ein
bestimmtes Ziel zu erreichen.
Dies bedingt auch, dass keine für den verfolgten Zweck nicht benötigten Überschussin-
formationen anfallen. Ebenso ist es unzulässig, Personendaten auf Vorrat zu erheben,
sofern der damit verfolgte Zweck dies nicht unabdingbar erfordert.

47.
Wie die Art. 29-Datenschutzgruppe der EU in ihrer Stellungnahme zum Einsatz von Bi-
ometrie festhält (siehe Anhang 34 : Arbeitspapier über Biometrie (WP Nr. 80), S. 6, Nr.
3.2), sind bei der Beurteilung der Verhältnismässigkeit „die Risiken für den Schutz der
Grundrechte und – freiheiten des Einzelnen zu berücksichtigen, vor allem die Frage, ob
der beabsichtigte Zweck nicht auch auf eine weniger in die Rechte der Betroffenen ein-
greifende Weise zu erreichen ist“.
Grundsätzlich sind daher vor dem Einsatz biometrischer Erkennungssysteme immer
auch andere geeignete Alternativen zu überprüfen, welche weniger stark in die Grund-
rechte der Betroffenen eingreifen und mit denen der angestrebte Zweck ebenfalls er-
reicht werden kann.

48.
Der Einsatz biometrischer Erkennungssysteme stellt je nach Ausgestaltung im konkreten
Einzelfall einen mehr oder weniger intensiven Eingriff in die Persönlichkeitsrechte der






9/16


Betroffenen dar. Die Eingriffe in die Grundrechte der Betroffenen müssen daher schon
bei der Auswahl und Ausgestaltung des biometrischen Verfahrens berücksichtigt wer-
den. Grundsätzlich muss ein möglichst datensparsames System ausgewählt werden,
welches in einem vernünftigen Verhältnis zum angestrebten Zweck steht.

49.
Vor diesem Hintergrund müsste die Konzeption des Zugangskontrollsystems im Hinblick
auf den zu erreichenden Zweck ausgestaltet sein und insbesondere die nachfolgenden
Kriterien in die hierfür notwendigen Erwägungen mit einbeziehen:

1.) Ermöglicht das System eine biometrische Identifizierung oder Verifizierung und ist
es zur Erreichung des Zwecks notwendig die betroffene Person zu identifizieren
bzw. reicht eine Verifizierung aus?
2.) Wie werden die biometrischen Daten gespeichert (zentral oder dezentral) und ist
eine zentrale Speicherung notwendig?
3.) Welche biometrischen Charakteristiken werden verwendet und sind diese für die
Zweckerreichung notwendig?
4.) Welche technischen und organisatorischen Massnahmen werden getroffen, um die
Zuverlässigkeit und Sicherheit des biometrischen Erkennungssystems zu gewähr-
leisten?

50.
Zu 1.)
Die biometrische Identifizierung einer betroffenen Person stellt einen schwerwiegende-
ren Eingriff in deren Persönlichkeit dar als deren blosse Verifizierung. Aus diesem
Grund sollten Systeme zur biometrischen Identifizierung nur eingesetzt werden, wenn
es zur Erreichung des beabsichtigten Zwecks zwingend notwendig ist, die betroffene
Person aufgrund ihrer biometrischen Daten zu identifizieren. Die biometrische Verifi-
zierung sollte vorwiegend nur dann zum Einsatz kommen, wenn eine strenge Authenti-
fizierung nicht in einem ausreichenden Masse durch traditionelle Authentifizierungs-
möglichkeiten, wie Passwörter oder Zugangschips (Tokens) realisiert werden kann
und eine eigentliche Identifizierung der betroffenen Person nicht zwingend notwendig
ist.

51.
Zu 2.)
Der Grundsatz der Verhältnismässigkeit gebietet, bei biometrischen Systemen, die
auch ohne zentrale Speicherung der biometrischen Daten auskommen, dass die bio-
metrischen Charakteristiken möglichst nicht in einer zentralen Datenbank gespeichert
werden, sondern nur auf einem dezentralen Medium, das ausschliesslich dem Benut-
zer zugänglich ist. Der Europarat hält in seiner Stellungnahme fest, (siehe Anhang 35 :
Rapport d’étape sur les principes de l’application de la Convention 108 à la collecte et
au traitement des données biométriques, Nr. 48).
http://www.coe.int/t/f/affaires_juridiques/coop%E9ration_juridique/protection_des_don
n%E9es/documents/rapports_et_%E9tudes_des_comit%E9s_de_protection_des_don
n%E9es/O-Biometrie_2005.asp#TopOfPage, „le choix d’une base de données pour la
fonction de vérification requiert une justification particulière“ (dass die Implementierung
einer zentralen Datenbank zum Zweck der biometrischen Verifizierung besondere
Rechtfertigungsgründe voraussetzt).

52.
Ist hingegen die Identifizierung der betroffenen Person zur Erreichung des angestreb-
ten Zwecks notwendig, so ist eine zentrale Speicherung der biometrischen Daten in
vielen Fällen geboten.






10/16


53.
Der Zürcher Datenschutzbeauftragter hat in seinem 11. Tätigkeitsbericht (siehe
Anhang 36 : Datenschutzbeauftragter Kanton Zürich, Tätigkeitsbericht 2005, S.12 f.)
bezüglich des Einsatzes eines biometrischen Systems durch eine Gemeinde für die
Zugangskontrolle ins Schwimmbad festgehalten, dass „das Template auf einer bei der
betroffenen Person verbleibenden Smartcard abgelegt und beim Wiedereintritt mit
dem erzeugten Prüfmuster verglichen werden. Aus datenschutzrechtlicher Sicht sind
Systeme vorzuziehen, bei denen auch das Einlesen des Fingerabdrucks und der Veri-
fizierungsvorgang in der Nützersphäre stattfinden. Biometrische Daten dürfen nicht bei
der Schwimmbad-Betreiberin abgelegt werden “.

54.
Der EDÖB hat schon im Jahre 2004, in seinem Bericht über das Pilotprojekt Secure
Check am Flughafen Zürich-Kloten, die dezentrale Speicherung empfohlen. (siehe
Anhang 37 : Bericht über das Pilotprojekt Secure Check - Einsatz von Biometrie beim
Check-In und Boarding am Flughafen Zürich-Kloten, Nr. 6.5.2, 6.6.1, 6.6.2 und 7.1)

55.
In Frankreich hat die Commission nationale de l’informatique et des libertés (CNIL) in
verschiedene Fälle die dezentrale Speicherung empfohlen8. Bezüglich Délibération
n°2007-138 du 21 juin 2007 autorisant la mise en œu vre par la SARL Magic Form
d’un traitement automatisé de données à caractère personnel reposant sur la recon-
naissance des empreintes digitales et ayant pour finalité le contrôle de l’accès à un
club de sport (siehe Anhang 38 : Délibération n°2007-138 du 21 ju in 2007 (CNIL)) hat
die CNIL folgendes empfohlen : „Le gabarit de l’empreinte digitale des personnes
concernées sera exclusivement stocké sur un support individuel exclusivement détenu
par la personne concernée et dont elle décide librement de l’utilisation “.

56.
Im Fall Comité d’entreprise d’Effia Services, Syndicat Sud Rail / Effia Services hat das
Tribunal de grande instance de Paris am 19. April 2005 folgendes bezüglich die Be-

8 Délibération n°2007-138 du 21 juin 2007 autorisan t la mise en œuvre par la SARL Magic Form d’un
traitement automatisé de données à caractère personnel reposant sur la reconnaissance des em-
preintes digitales et ayant pour finalité le contrôle de l’accès à un club de sport, S. 2 (siehe Anhang 38
: Délibération n°2007-138 du 21 juin 2007 (CNIL)) ;
Délibération n°2006-102 du 27 avril 2006 portant au torisation unique de mise en œuvre de dispositifs
biométriques reposant sur la reconnaissance de l’empreinte digitale exclusivement enregistrée sur un
support individuel détenu par la personne concernée et ayant pour finalité le contrôle de l’accès aux
locaux sur les lieux de travail, S. 1 f. (siehe Anhang 39 : Délibération n°2006-102 du 27 avril 2006
(CNIL)) http://www.cnil.fr/index.php?id=2013 ;
Délibération n°2005-115 du 7 juin 2005 portant auto risation de la mise en œuvre par la Chambre de
Commerce et d’Industrie de Nice-Côte d’Azur d’un traitement automatisé de données à caractère
personnel ayant pour finalité la gestion d’une carte de fidélité impliquant l’utilisation d’un dispositif
biométrique de reconnaissance des empreintes digitales, S. 3 (siehe Anhang 40 : Délibération
n°2005-115 du 7 juin 2005 (CNIL)) ;
Délibération n°04-018 relative à une demande d’avis présentée par le Centre hospitalier de Hyères
concernant la mise en œuvre d’un dispositif de reconnaissance de l’empreinte digitale ayant pour
finalité la gestion du temps de travail de ses personnels, S. 1 f. (siehe Anhang 41 : Délibération n°0 4-
018 (CNIL)) http://www.cnil.fr/index.php?id=1550 X=
Délibération n°04-017 relative à une demande d’avis de l’établissement public Aéroports de Paris
concernant la mise en œuvre d’un contrôle d’accès biométrique aux zones réservées de sûreté des
aéroports d’Orly et de Roissy, S. 1 (siehe Anhang 42 : Délibération n°04-017 (CNIL))
http://www.cnil.fr/index.php?id=1551






11/16


nützung eines biometrisches Erkennungssystems (welches den Fingerabdruck als Er-
kennungsmerkmal nutzte) erwägt : „Son utilisation qui met en cause le corps humain
et porte ainsi atteinte aux libertés individuelles peut cependant se justifier lorsqu’elle a
une finalité sécuritaire ou protectrice de l’activité exercée dans des locaux identifiés.
[…] Or, il n’est pas prétendu par la société Effia Services que la seule mise en place
d’un système de badge ne serait pas de nature à permettre de contrôler efficacement
les horaires des salariés sans avoir recours à un procédé d’identification comportant
des dangers d’atteinte aux libertés individuelles dont la nécessité n’est pas démon-
trée. Il s’ensuit que l’objectif poursuivi n’est pas de nature à justifier la constitution
d’une base de données d’empreintes digitales des personnels travaillant dans les es-
paces publics des gares de la Sncf, le traitement pris dans son ensemble
n’apparaissant ni adapté ni proportionné au but recherché. Il y a lieu de faire interdic-
tion à la société Effia Services de mettre en place le système de "badgeage" par em-
preintes digitales“. (siehe Anhang 43 : Tribunal de grande instance de Paris 1ère
chambre, section sociale Jugement du 19 avril 2005 Comité d’entreprise d’Effia Servi-
ces, Syndicat Sud Rail / Effia Services, S. 2) http://www.legalis.net/jurisprudence-
decision.php3?id_article=1433

57.
In Luxemburg hat die Commission nationale pour la protection des données bezüglich
Délibération n°89/2005 du 21 décembre 2005 de la Co mmission nationale pour la pro-
tection des données relative à la demande d’autorisation préalable introduite par
l’établissement public Domaine Thermal de Mondorf en matière de traitement à des
fins de surveillance contenant des données biométriques (siehe Anhang 44 : Délibéra-
tion n°89/2005 du 21 décembre 2005 de la Commission nationale pour la protection
des données, S. 18) http://www.cnpd.lu/objets/deliberation_89_2005.pdf folgendes
empfohlen : „les moyens adoptés par le requérant pour atteindre ces finalités doivent
être les plus respectueux possible des droits fondamentaux et des libertés de la per-
sonne concernée : or, tout système centralisé de données – comme le traitement en-
visagé par le requérant - présente un risque particulier de dérive, qui n’existe pas
quand les données ne sont pas centralisées. Qui plus est, les systèmes de centralisa-
tion de données biométriques qui laissent des traces, comme les empreintes digitales,
présentent plus de risques pour la protection des libertés et des droits fondamentaux
de la personne que les traitements qui ne prévoient pas une telle centralisation “.

58.
Die dezentrale Speicherung von biometrischen Daten wurde ebenfalls in Grie-
chenland9, Italien10 und Slowenien11 empfohlen.


9 Siehe Anhang 45 : Decision Nr. 9/2003 (Hellenic Republic authority for the protection of personal
data), S. 4
10 Uso delle impronte digitali per i sistemi di rilevamento delle presenze nei luoghi di lavoro (siehe
Anhang 46 : Verifica preliminare (art. 17 del Codice) – 21 luglio 2005, Bollettino del n. 63/luglio 2005
(Garante per la protezione dei dati personali), S. 3)
http://www.garanteprivacy.it/garante/doc.jsp?ID=1150679
Trattamento dei dati biometrici di dipendenti per garantire la salute pubblica (siehe Anhang 47 : Pre-
scrizioni del Garante [art. 154, 1 c) del Codice] - 15 febbraio 2008 Bollettino del n. 92/febbraio, S. 2)
http://www.garanteprivacy.it/garante/doc.jsp?ID=1497675
11 Empfehlung Nr. 751-01-26/2005-01 (administrative procedure on deciding over introduction of bio-
metric measures initiated on request of the Bank of Slovenia) (siehe Anhang 48 : Empfehlung Nr. 751-
01-26/2005-01 (Slowenien), S. 2) http://www.ip-rs.si/index.php?id=369






12/16


59.
Zu 3.)
Wie die Art. 29-Datenschutzgruppe in ihrer Stellungnahme zum Einsatz von Biometrie,
S. 6 und f. festhält, „sind biometrische Systeme, die zur Zugangskontrolle (für Identifi-
kation oder Verifikation) eingesetzt werden, mit geringeren Gefahren für den Schutz
der Grundrechte und –freiheiten des Einzelnen verbunden, wenn sie entweder auf
Körpermerkmalen basieren, die keine Spuren hinterlassen (z.B. in Form der Hand,
aber keine Fingerabdrücke), oder wenn sie zwar Körpermerkmale verwenden, die
Spuren hinterlassen, die Daten jedoch nicht auf einem Medium speichern, das sich
nicht im Besitz der betroffenen Person befindet (mit anderen Worten, wenn die Daten
nicht im Gerät, das den Zugang kontrolliert, oder in einer zentralen Datenbank gespei-
chert werden)“.
Zudem sind biometrische Erkennungssysteme weniger geeignet, die Grundrechte und
–Freiheiten des Einzelnen zu verletzen, wenn sie sich nicht auf Körpermerkmale ab-
stützen, welche unbemerkt von der betroffenen Person erhoben werden können (z.B.
Fingerabdruck auf einem Glas, etc.).

60.
Dazu hat die CNIL in Délibération n°2006-103 du 27 avril 2006 portant autorisation
unique de mise en œuvre de traitements automatisés de données à caractère person-
nel reposant sur l’utilisation d’un dispositif de reconnaissance du contour de la main et
ayant pour finalité l’accès au restaurant scolaire, folgendes emfohlen (siehe Anhang
49 : Délibération n°2006-103 du 27 avril 2006 (CNIL ), S. 2)
http://www.cnil.fr/index.php?id=2012&print=1
„Les personnes habilitées énumérées ci-dessus ne peuvent avoir accès au gabarit de
l’empreinte digitale que de façon temporaire et pour les stricts besoins de son inscrip-
tion sur le support individuel ou de sa suppression“.

61.
Zu 4.)
Die Zuverlässigkeit und Sicherheit des biometrischen Erkennungssystems hat einen
bedeutenden Einfluss auf eine mögliche Verletzung und die Gefahren im Hinblick auf
den Schutz der Grundrechte und –freiheiten des Einzelnen. Vor diesem Hintergrund
ist es notwendig die nachfolgenden Elemente im Hinblick auf die Konzeption von sol-
chen Systemen in die Erwägungen mit einzubeziehen: Die Architektur des Systems
(insbesondere dessen Ausgestaltung, Zuverlässigkeit und die Installationsorte der Le-
segeräte sowie das verwendete Kommunikationsnetzwerk und die Art der Speiche-
rung der biometrischen Daten), die Extraktionsalgorithmen (Zahl der erhobenen Cha-
rakteristiken der biometrischen Information) und Vergleichsalgorithmen12 (FAR/FRR)
sowie die technischen und organisatorischen Sicherheitsmassnahmen (insbesondere
die Verschlüsselung der Daten).

62.
Dazu hat die OCDE empfohlen, dass die Sicherheit des biometrischen Erkennung-
ssystems sich auf die „Lignes directrices de l’OCDE sur la vie privée“ und die „Lignes
directrices de l’OCDE sur la sécurité“ stutzt (siehe Anhang 51 : Technologies fondées
sur la biométrie (document DSTI/ICCP/REG(2003)2/FINAL), S. 5)
http://appli1.oecd.org/olis/2003doc.nsf/linkto/dsti-iccp-reg(2003)2-final

12 Siehe Anhang 50 : FIDIS Deliverable 3.10 Biometrics in identity management , S. 26 ff., Nr. 3.1.4
http://www.fidis.net/fileadmin/fidis/deliverables/fidis-wp3-
del3.10.biometrics_in_identity_management.pdf)







13/16



63.
Im Fall der KSS geht es um eine biometrische Verifizierung mit Erfassung von Fingerab-
drücken (die Spuren hinterlassen), welche zentral gespeichert werden, ausschliesslich
darum, den Missbrauch von Dauerkarten (Saisonabonnemente und Jahreskarten) auto-
matisiert zu verhindern. Im Hinblick auf die Bearbeitungszwecke, kann der EDÖB die
Einführung des biometrisches Erkennungssystems unter Vorbehalt akzeptieren. Obwohl,
allerdings die von KSS eingeführten Massnahmen und durchgeführten Datenbearbei-
tungen geeignet sind das angestrebte Ziel zu erreichen, stehen diese nicht in einem ver-
nünftigen Verhältnis zum Eingriff in die Grundrechte der betroffenen Personen. Die Kon-
formität der Datenbearbeitung mit dem Datenschutzgesetz, insbesondere mit den
Grundsätzen des Datenschutzes, muss vorgängig überprüft werden. Diesbezüglich, stel-
len die von der KSS erwähnten hohen Anschaffungskosten und der zusätzliche logisti-
sche Aufwand (siehe Anhang 32 : Schreiben der KSS vom 29. Februar 2008 (Ablehnung
der Empfehlung Nr. 2)) kein stichhaltiges Argument dar. Dabei ist zunächst darauf hin-
zuweisen, dass es sich hier nicht um Anschaffungs- sondern Änderungskosten handelt.
Hätte sich die KSS rechtzeitig über die datenschutzrechtlichen Anforderungen an einer
solchen Anlage informiert, wären diese Änderungskosten nicht entstanden. Es liegt in
der Verantwortung des Inhabers einer Datensammlung dafür zu sorgen, dass eine Anla-
ge zum vornherein datenschutzkonform ist.

Infolgedessen, sind die von KSS durchgeführten Datenbearbeitungen (zentrale Speiche-
rung der biometrischen Daten) als unverhältnismässig zu qualifizieren (Basler Kommen-
tar zum DSG, Urs Maurer-Lambrou/Andreas Steiner zu Art. 4 DSG, Rz. 9 und 11).


3.
Schlussfolgerung

64.
Aus den dargelegten Gründen und nach einer Interessenabwägung, hat der EDÖB in
seiner Empfehlung vom 11. April 2006 den Einsatz von einem milderen Mittel, “Smart-
cards match on card“, empfohlen : “Nach Ansicht des EDSB wird beim Einsatz von Bio-
metrie im Privatbereich der Persönlichkeitsschutz der Betroffenen am ehesten gewahrt,
indem: die biometrischen Daten auf einem Sicherheitsmedium, das sich in der alleinigen
Kontrolle der betroffenen Person befindet, auslesesicher gespeichert werden; die betrof-
fene Person jeden Zugriff auf die Daten explizit und bewusst freigeben muss; und die
Verifizierung der Identität ausschliesslich auf diesem Sicherheitsmedium stattfindet, so
dass die biometrischen Daten zu keinem Zeitpunkt die gesicherte Umgebung des Medi-
ums und die Kontrolle der betroffenen Person verlassen.“ (siehe Anhang 14 : Schreiben
des EDÖB vom 11. April 2006 (Empfehlung), Kapitel II, Nr. 2, S. 3). Der EDÖB hat dem-
nach empfohlen, dass „auf die zentrale Speicherung der biometrischen Daten in Form
von Templates der Fingerabdrücke verzichtet wird und diese biometrischen Daten –
auch diejenigen, welche bereits zentral erfasst wurden – auf einer Smart Card, welche in
der Benutzersphäre und unter Kontrolle der betroffenen Person verbleibt, abgelegt wer-
den“. (siehe Anhang 14 : Schreiben des EDÖB vom 11. April 2006 (Empfehlung), Kapitel
III, Nr. 2, S. 4)

65.
Eine Dezentralisierung der biometrischen Daten, welche den betroffenen Personen le-
diglich eine beschränkte Kontrolle über ihre personenbezogenen Daten gewährleistet
(bspw. “Template on card“, siehe Anhang 1 : Definitionen, Nr. 10, 13 und 14) ist aus
Sicht des EDÖB als ungenügend anzusehen; da die biometrische Referenzdaten ohne
Kenntnis der betroffenen Personen exportiert, kopiert und unbefugt weiterverarbeitet
werden könnten.






14/16



V.
Fazit

66.
Aus den dargelegten Gründen, sind die von der KSS vorgenommene Datenbearbeitun-
gen datenschutzwidrig. Die KSS ist daher auszufordern die von ihr zur Verifizierung ver-
wendeten biometrischen Daten (Templates der Fingerabdrücke) dezentral zu speichern,
mittels einer Smartcard Match on card, welche sich in der Einflusssphäre und unter Kon-
trollbereich der betroffenen Person befindet, sowie über welche die biometrische Verifi-
zierung stattfindet. Damit sollen die biometrischen Daten zu keinem Zeitpunkt die gesi-
cherte Umgebung des Mediums und die Kontrolle der betroffenen Person verlassen.
Daher ist das eingangsgestellte Begehren gutzuheissen und die Empfehlungsadressatin
insbesondere zu verpflichten, auf die zentrale Speicherung von biometrischen Daten in
Form von Templates der Fingerabdrücke zu verzichten.






EIDGENÖSSISCHER DATENSCHUTZ- UND
ÖFFENTLICHKEITSBEAUFTRAGTER
















Hanspeter Thür







15/16


Beilagen:
Anhang 1 : Definitionen zur Biometrie
Anhang 2 : Schreiben des EDÖB vom 6. Juni 2005 (Sachverhaltsabklärung)
Anhang 3 : Schreiben der KSS vom 29. Juni 2005
Anhang 4 : Schreiben des EDÖB vom 4. August 2005
Anhang 5 : Schreiben der KSS vom 19. August 2005
Anhang 6 : E-Mail des EDÖB vom 25. August 2005 (Bestätigung des Termins)
Anhang 7 : Anruf der KSS vom 7. September 2005 (Verschiebungsanfrage)
Anhang 8 : E-Mail des EDÖB vom 30. November 2005 (Vorgehen Datenschutzkontrolle)
Anhang 9 : Schreiben des EDÖB vom 14. Dezember 2005 (Fact-Sheet)
Anhang 10 : Schreiben der KSS vom 20 Januar 2006 (Bitte um Fristerstreckung)
Anhang 11 : E-Mail des EDÖB vom 24. Januar 2006 (Fristerstreckung bis 3. Februar 2006))
Anhang 12 : Schreiben der KSS vom 1. Februar 2006 (Bestätigung der Richtigkeit des Fact-Sheets)
Anhang 13 : Schreiben des EDÖB vom 11. April 2006 (Schlussbericht)
Anhang 14 : Schreiben des EDÖB vom 11. April 2006 (Empfehlung)
Anhang 15 : Schreiben der KSS vom 18. Mai 2006 (Bitte um Fristverlängerung)
Anhang 16 : Schreiben des EDÖB vom 24. Mai 2006 (Fristerstreckung bis 19. Juni 2006)
Anhang 17 : Schreiben der KSS vom 19. Juni 2006 (zweite Bitte um Fristverlängerung)
Anhang 18 : Schreiben des EDÖB vom 21. Juni 2006 (zweite Fristerstreckung bis 10. August 2006)
Anhang 19 : Schreiben der KSS vom 10. August 2006 (Stellungnahme zu unseren 5 Empfehlungen)
Anhang 20 : Schreiben des EDÖB vom 31. August 2006 (Bitte um Nachlieferung der Stellungnahme
zu den Verbesserungsvorschlägen und zur Erläuterung der Stellungnahme zu Empfeh-
lung Nr. 4)
Anhang 21 : Schreiben der KSS vom 15. September 2006 (Bitte um Fristverlängerung)
Anhang 22 : Schreiben des EDÖB vom 20. September 2006 (Fristerstreckung bis 19. Oktober 2006)
Anhang 23 : Schreiben der KSS vom 18. Oktober 2006 (Massnahmen zur Empfehlung Nr. 2)
Anhang 24 : Schreiben des EDÖB vom 10. November 2006 (Bitte um Zustellung einem Implementie-
rungsbericht bezüglich der Umsetzung sämtlicher vom EDÖB erlassenen Empfehlungen
und Verbesserungsvorschläge)
Anhang 25 : Schreiben des EDÖB vom 22. November 2006 (Bericht zur Publikation)
Anhang 26 : Schreiben der KSS vom 1. Juni 2007 (Bemerkungen zum kürzen Implementierungsbe-
richt)
Anhang 27 : Schreiben des EDÖB vom 28. Juni 2007 (Nachforderung für die Frist um die Beschaffung
des Implementierungsberichts)
Anhang 28 : Schreiben der KSS vom 26. Juli 2007
Anhang 29 : Schreiben des EDÖB vom 27. August 2007 (Nachkontrolle)
Anhang 30 : Schreiben des EDÖB vom 4. Dezember 2007 (zweite Nachkontrolle und Frist bis
15.01.2008)
Anhang 31 : Schreiben der KSS vom 14. Januar 2008 (Abgenommene Frist)
Anhang 32 : Schreiben der KSS vom 29. Februar 2008 (Ablehnung der Empfehlung Nr. 2)
Anhang 33 : Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995
zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und
zum freien Datenverkehr
Anhang 34 : Arbeitspapier über Biometrie (WP Nr. 80)







16/16


Anhang 35 : Rapport d’étape sur les principes de l’application de la Convention 108 à la collecte et au
traitement des données biométriques
Anhang 36 : Datenschutzbeauftragter Kanton Zürich, Tätigkeitsbericht 2005
Anhang 37 : Bericht über das Pilotprojekt Secure Check - Einsatz von Biometrie beim Check-In und
Boarding am Flughafen Zürich-Kloten
Anhang 38 : Délibération n°2007-138 du 21 juin 2007 (CNIL)
Anhang 39 : Délibération n°2006-102 du 27 avril 200 6 (CNIL)
Anhang 40 : Délibération n°2005-115 du 7 juin 2005 (CNIL)
Anhang 41 : Délibération n°04-018 (CNIL)
Anhang 42 : Délibération n°04-017 (CNIL)
Anhang 43 : Tribunal de grande instance de Paris 1ère chambre, section sociale Jugement du 19 avril
2005 Comité d’entreprise d’Effia Services, Syndicat Sud Rail / Effia Services
Anhang 44 : Délibération n°89/2005 du 21 décembre 2 005 de la Commission nationale pour la protec-
tion des données
Anhang 45 : Decision Nr. 9/2003 (Hellenic Republic authority for the protection of personal data)
Anhang 46 : Verifica preliminare (art. 17 del Codice) – 21 luglio 2005, Bollettino del n. 63/luglio 2005
(Garante per la protezione dei dati personali)
Anhang 47 : Prescrizioni del Garante [art. 154, 1 c) del Codice] - 15 febbraio 2008 Bollettino del n.
92/febbraio
Anhang 48 : Empfehlung Nr. 751-01-26/2005-01 (Slowenien)
Anhang 49 : Délibération n°2006-103 du 27 avril 200 6 (CNIL)
Anhang 50 : FIDIS Deliverable 3.10 Biometrics in identity management
Anhang 51 : Technologies fondées sur la biométrie (document DSTI/ICCP/REG(2003)2/FINAL)