Bundesverwaltungsgericht
Tribunal administratif fédéral
Tribunale amministrativo federale
Tribunal administrativ federal


Abteilung I
A-3908/2008
{T 1/2}

Urteil vom 4. August 2009

Besetzung
Richter André Moser (Vorsitz), Richter Christoph Bandli, Richterin Kathrin Dietrich,
Gerichtsschreiber Stefan von Gunten.

Parteien
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter EDÖB, Feldeggweg 1, 3003 Bern,
Kläger,

gegen

KSS Schaffhausen, Sport- und Freizeitanlagen Breite, Breitenaustrasse 117, 8200 Schaffhausen,
vertreten durch Rechtsanwalt lic. iur. Hans-Peter Sorg, Promenadenstrasse 17, 8201 Schaffhausen,
Beklagte,

Gegenstand
Umsetzung einer Empfehlung des EDÖB.

Sachverhalt:

A.
Nach einer halbjährigen Pilotphase haben die KSS Sport- und Freizeitanlagen Schaffhausen (KSS) im Sommer 2005 zum Zweck der Missbrauchsbekämpfung bei der Benutzung persönlicher, nicht übertragbarer Jahres- und Halbjahresabonnemente für den Eintritt ins Hallenbad und den Wellnessbereich ein neues Zugangskontrollsystem eingeführt. Langfristig ist ein Ausbau des Systems für weitere Sport- und Freizeitangebote geplant.
Für das neue System werden von den Kunden neben den Personalien - Vorname, Nachname, Adresse, Sprache und Geburtsdatum - auch digital komprimierte bzw. reduzierte Darstellungen eines biometrischen Abdrucks, im vorliegenden Fall des Fingerabdrucks, sogenannte Templates, erhoben. Das Fingerbild wird analysiert und die Merkmale des Abbilds - Anfangs- und Endpunkt, Gabelungen etc.; "Minutien" genannt - werden extrahiert. Die Minutien-Daten (insgesamt 20-50) sind für jeden Menschen einzigartig. Sie werden mittels eines mathematischen Algorithmus codiert und komprimiert, dergestalt in ein Template umgewandelt und mit den Personalien zentral in einer Datenbank der KSS gespeichert. Rohdaten des Fingerabdruckes, d.h. physische oder digitale Abbildungen biometrischer Charakteristiken, werden keine erfasst. Anhand der gespeicherten Daten lässt sich kein Fingerabdruck mehr rekonstruieren.
Der Kunde erhält zudem eine Transponderkarte in Kreditkartenformat mit einer einmaligen Karten-ID. Die Personalien des Kunden und das Template werden dieser Karten-ID zugeordnet. Auf der Karte sind keine Daten gespeichert. Sie ist lediglich mit einem Unterschriftsfeld versehen, damit sie optisch unterschieden werden kann.

B.
Um Zugang zum Hallenbad der KSS zu erhalten, muss der Kunde seine Transponderkarte in ein Lesegerät am Drehkreuz schieben und seinen Finger auf einen Scanner legen. Über die individuelle Karten-ID wird aus der zentralen Datenbank das entsprechende Template abgerufen und mit dem Fingerabdruck des Kunden verglichen. Es handelt sich deshalb um einen Verifizierungs-, nicht um einen Identifizierungsprozess. Insofern erfolgt zwischen einem biometrischen Probedatum und einem biometrischen Referenzdatum ein Vergleichsvorgang, um zu bestätigen, dass die betroffene Person diejenige ist, welche sie zu sein behauptet. Alle korrekt verifizierten und getätigten Transaktionen werden zu den Kartendaten zentral gespeichert. Dabei werden das Datum, die Uhrzeit und der Kontrollautomat des Ein- bzw. Austritts erfasst. Da alle Daten, sowohl die Personalien als auch die Minutien, in einer Datenbank gespeichert werden, ist ein Rückschluss eines Templates auf eine Person und zu einem Abonnement möglich.

C.
Infolge kritischer Reaktionen aus der Bevölkerung unterzog der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) das neue Zugangssystem einer Kontrolle. Mit Schlussbericht vom 11. April 2006 (nachfolgend Schlussbericht) empfahl er der KSS, dass:
für Personen, die nicht bereit sind, ihre biometrischen Daten für die Ausstellung einer Dauerkarte einlesen zu lassen, eine kostengleiche Alternative ohne Fingerabdruck-Verifizierung angeboten wird (Empfehlung Nr. 1);
auf die zentrale Speicherung der Templates der Fingerabdrücke verzichtet wird und diese biometrischen Daten auf einer Smartcard, welche in der Benutzersphäre und unter Kontrolle der betroffenen Person verbleibt, abgelegt werden (Empfehlung Nr. 2);
für die erhobenen Kundendaten (Anschrift und Kontaktinformationen) Löschfristen eingeführt werden (Empfehlung Nr. 3);
die Transaktionsdaten (Datum, Uhrzeit und Kontrollautomat des Badeein- bzw. des Badeaustritts) anonymisiert werden (Empfehlung Nr. 4);
bis zum Zeitpunkt, an dem die Templates dezentral auf Smartcard abgelegt werden, Löschfristen für die derzeit noch zentral gespeicherten Templates eingeführt werden (Empfehlung Nr. 5);
Im Weiteren regte der EDÖB im Sinne von Verbesserungsvorschlägen an, dass
die Kunden besser über die Bearbeitung ihrer biometrischen Daten aufgeklärt werden und dass der dafür vorgesehene Flyer den Kunden auch tatsächlich ausgehändigt wird (Verbesserungsvorschlag Nr. 1);
das System so zu modifizieren ist, dass kein Abbild des gescannten Fingerabdruckes (sog. Rohdatum) kopiert oder gespeichert werden kann (Verbesserungsvorschlag Nr. 2);
die Templates in verschlüsselter Form abgelegt werden (Verbesserungsvorschlag Nr. 3);
bei (Fern-)Wartungsarbeiten das Wartungspersonal des Systemlieferanten nur auf Testdaten zugreifen kann (Verbesserungsvorschlag Nr. 4).

D.
Am 29. Februar 2008 teilte die KSS dem EDÖB mit, dass ein Verzicht auf den Fingerprint nicht in Frage komme. Die Ausstellung einer neuen Karte (Smartcard) stelle überdies keine praktikable Lösung dar und sei unverhältnismässig.

E.
Mit Klage vom 10. Juni 2008 stellt der EDÖB (Kläger) das Begehren, die KSS sei aufzufordern, auf die zentrale Speicherung von biometrischen Daten in Form von Templates der Fingerabdrücke zu verzichten und diese biometrischen Daten - auch diejenigen, welche bereits zentral erfasst wurden - seien auf einer Sicherheitskarte (Smartcard), welche in der Einflusssphäre und unter Kontrolle der betroffenen Person verbleibt, abzulegen. Damit solle die Verifizierung der Identität ausschliesslich auf diesem Sicherheitsmedium stattfinden (Smartcard match on card), so dass die biometrischen Daten zu keinem Zeitpunkt die gesicherte Umgebung des Mediums und die Kontrolle der betroffenen Person verlassen.
Die Klage begründet er im Wesentlichen damit, dass die von der KSS durchgeführte Datenverarbeitung - zentrale Speicherung biometrischer Daten - das Recht auf informationelle Selbstbestimmung gefährde und unverhältnismässig sei. Die empfohlene Lösung greife weniger stark in die Grundrechte der Betroffenen ein und erreiche den verfolgten Zweck genauso. Die durch eine Systemänderung entstehenden Kosten hätten vermieden werden können, wenn die KSS sich vorgängig über die datenschutzrechtlichen Anforderungen informiert hätte. Es liege in der Verantwortung des Inhabers einer Datensammlung dafür zu sorgen, dass seine Anlage zum vornherein diese Voraussetzungen erfülle. Im Übrigen hätten diverse EU-Länder die dezentrale Speicherung von biometrischen Daten ebenfalls empfohlen.

F.
Mit Klageantwort vom 28. August 2008 beantragt die KSS (Beklagte) die Abweisung des Begehrens. Sie begründet ihren Antrag damit, dass das neue System seit 3 ½ Jahren bestens funktioniere und keine Beschwerden von Benutzern eingegangen seien. Es sei für jedermann möglich, ein Jahresabonnement zu erwerben, ohne dass seine Daten gespeichert würden. Diese Lösung werde allerdings nicht öffentlich bekannt gegeben. Die Empfehlung sei nicht praktikabel, weil damit zu hohe Kosten verbunden seien. Die Daten seien bisher nie sachfremd verwendet worden. Sie habe sich nach einer aufwändigen Evaluation für dieses System entschieden. Es habe dringender Handlungsbedarf bestanden und eine Antwort des Klägers wäre wohl nicht innert nützlicher Frist erfolgt. Das System sei bereits bei anderen Bade- und Sportanlagen installiert worden. Im Übrigen sei das von Bergbahnen verwendete System mit zentral gespeichertem Foto und der Registrierung jeder einzelnen Fahrt ein weitaus gravierenderer Eingriff.

G.
In der Replik vom 30. September 2008 führt der Kläger ergänzend aus, die Bearbeitung von Daten müsse auch dann verhältnismässig sein, wenn die betroffene Person zugestimmt habe und eine Alternative zum biometrischen Erkennungssystem bestehe. Die Neuanschaffungskosten seien nicht unverhältnismässig und würden wohl sowieso auf die Benutzer abgewälzt. Er bringt weiter vor, die dezentrale Speicherung bereits beim Check-In und Boarding beim Flughafen Zürich begrüsst zu haben. Der Zürcher Datenschutzbeauftragte habe zudem die dezentrale Speicherung für die Zugangskontrolle in einem Schwimmbad empfohlen.

H.
In ihrer Duplik vom 3. November 2008 macht die Beklagte ergänzend geltend, in den schweizerischen Flughäfen sollten gemäss Medien Nackt-Scanner eingesetzt werden. Dort sei der Kläger aber nicht eingeschritten. Eine Abwälzung der Neuanschaffungskosten sei aufgrund der Wirtschaftslage ausgeschlossen. Die Betroffenen könnten zudem jederzeit Einsicht in die Daten nehmen, so dass sie die Kontrolle über die Daten nicht verlieren würden. Beim Anschaffungsprozess seien bereits gleichartige Systeme in Betrieb gewesen, dennoch habe der Kläger keine Einwände vorgebracht. Sein Begehren verstosse daher auch gegen die Rechtssicherheit und den Vertrauensschutz.

I.
Mit Schreiben vom 11. bzw. 12. November 2008 haben Kläger und Beklagte auf die Durchführung einer mündlichen Vorbereitungs- und einer Hauptverhandlung verzichtet.

J.
Auf Anfrage des Bundesverwaltungsgerichts teilt die Beklagte am 16. März 2009 mit, dass es die Systemsoftware nicht erlaube, auf eine Zuordnungsliste zu verzichten, weil die verwendeten Radio Frequency Identification (RFID) - Karten (Identifizierung mit Hilfe elektromagnetischer Wellen) auf "read only" basierten.
Ebenfalls auf Anfrage des Bundesverwaltungsgerichts führt der Kläger am 18. März 2009 aus, das Vergleichsbeispiel mit den Bergbahnen unterscheide sich in wesentlichen Tatsachen vom vorliegenden Fall. Bei den Bergbahnen sei das Verwenden von biometrischen Daten in keiner Art und Weise Bestandteil der vorgenommenen Sachverhaltsabklärung gewesen. Im vorliegenden Fall habe er zum ersten Mal die Problematik der Authentifizierung von Personen zum Zweck der Zugangskontrolle unter dem Blickwinkel der Biometrie geprüft. Er sei dabei zum Schluss gekommen, dass die dezentrale Speicherung einen Hauptpunkt für eine datenschutzkonforme biometrische Verifizierung darstelle. Es sei absolut notwendig, dass für die Authentifizierung von Personen zum Zweck der Zugangskontrolle unter dem Blickwinkel der Biometrie eine Praxis respektive Rechtsprechung gebildet werde, welche dann auf alle gleichartigen Bearbeitungen von biometrischen Daten angewendet werden könne - sei es bei Sportzentren, Bergbahnen oder anderen Inhabern von Datensammlungen. Deshalb würden künftig auch Bergbahnen, wenn sie biometrische Daten einsetzen, die Anforderungen erfüllen müssen, wie sie für die Beklagte etabliert worden seien.

K.
Auf weitere Vorbringen und die sich bei den Akten befindlichen Schriftstücke wird, soweit für den Entscheid wesentlich, in den nachfolgenden Erwägungen eingegangen.

Das Bundesverwaltungsgericht zieht in Erwägung:

1.
Der EDÖB klärt von sich aus oder auf Meldung Dritter hin den Sachverhalt näher ab, wenn Bearbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Systemfehler, Art. 29 Abs. 1 Bst. a
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 29 Abklärungen und Empfehlungen im Privatrechtsbereich
1    Der Beauftragte klärt von sich aus oder auf Meldung Dritter hin den Sachverhalt näher ab, wenn:
a  Bearbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Systemfehler);
b  Datensammlungen registriert werden müssen (Art. 11 a);
c  eine Informationspflicht nach Artikel 6 Absatz 3 besteht.
2    Er kann dabei Akten herausverlangen, Auskünfte einholen und sich Datenbearbeitungen vorführen lassen. Das Zeugnisverweigerungsrecht nach Artikel 16 des Verwaltungsverfahrensgesetzes 3 gilt sinngemäss.
3    Der Beauftragte kann aufgrund seiner Abklärungen empfehlen, das Bearbeiten zu ändern oder zu unterlassen.
4    Wird eine solche Empfehlung des Beauftragten nicht befolgt oder abgelehnt, so kann er die Angelegenheit dem Bundesverwaltungsgericht zum Entscheid vorlegen. Er ist berechtigt, gegen diesen Entscheid Beschwerde zu führen. 4
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 29 Abklärungen und Empfehlungen im Privatrechtsbereich
1    Der Beauftragte klärt von sich aus oder auf Meldung Dritter hin den Sachverhalt näher ab, wenn:
a  Bearbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Systemfehler);
b  Datensammlungen registriert werden müssen (Art. 11 a);
c  eine Informationspflicht nach Artikel 6 Absatz 3 besteht.
2    Er kann dabei Akten herausverlangen, Auskünfte einholen und sich Datenbearbeitungen vorführen lassen. Das Zeugnisverweigerungsrecht nach Artikel 16 des Verwaltungsverfahrensgesetzes 3 gilt sinngemäss.
3    Der Beauftragte kann aufgrund seiner Abklärungen empfehlen, das Bearbeiten zu ändern oder zu unterlassen.
4    Wird eine solche Empfehlung des Beauftragten nicht befolgt oder abgelehnt, so kann er die Angelegenheit dem Bundesverwaltungsgericht zum Entscheid vorlegen. Er ist berechtigt, gegen diesen Entscheid Beschwerde zu führen. 4
des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz [DSG, SR 235.1]). Aufgrund seiner Abklärungen kann er empfehlen, das Bearbeiten zu ändern oder zu unterlassen (Art. 29 Abs. 3
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 29 Abklärungen und Empfehlungen im Privatrechtsbereich
1    Der Beauftragte klärt von sich aus oder auf Meldung Dritter hin den Sachverhalt näher ab, wenn:
a  Bearbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Systemfehler);
b  Datensammlungen registriert werden müssen (Art. 11 a);
c  eine Informationspflicht nach Artikel 6 Absatz 3 besteht.
2    Er kann dabei Akten herausverlangen, Auskünfte einholen und sich Datenbearbeitungen vorführen lassen. Das Zeugnisverweigerungsrecht nach Artikel 16 des Verwaltungsverfahrensgesetzes 3 gilt sinngemäss.
3    Der Beauftragte kann aufgrund seiner Abklärungen empfehlen, das Bearbeiten zu ändern oder zu unterlassen.
4    Wird eine solche Empfehlung des Beauftragten nicht befolgt oder abgelehnt, so kann er die Angelegenheit dem Bundesverwaltungsgericht zum Entscheid vorlegen. Er ist berechtigt, gegen diesen Entscheid Beschwerde zu führen. 4
DSG). Wird eine solche Empfehlung nicht befolgt oder abgelehnt, kann er die Angelegenheit dem Bundesverwaltungsgericht auf dem Klageweg zum Entscheid vorlegen (Art. 29 Abs. 4
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 29 Abklärungen und Empfehlungen im Privatrechtsbereich
1    Der Beauftragte klärt von sich aus oder auf Meldung Dritter hin den Sachverhalt näher ab, wenn:
a  Bearbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Systemfehler);
b  Datensammlungen registriert werden müssen (Art. 11 a);
c  eine Informationspflicht nach Artikel 6 Absatz 3 besteht.
2    Er kann dabei Akten herausverlangen, Auskünfte einholen und sich Datenbearbeitungen vorführen lassen. Das Zeugnisverweigerungsrecht nach Artikel 16 des Verwaltungsverfahrensgesetzes 3 gilt sinngemäss.
3    Der Beauftragte kann aufgrund seiner Abklärungen empfehlen, das Bearbeiten zu ändern oder zu unterlassen.
4    Wird eine solche Empfehlung des Beauftragten nicht befolgt oder abgelehnt, so kann er die Angelegenheit dem Bundesverwaltungsgericht zum Entscheid vorlegen. Er ist berechtigt, gegen diesen Entscheid Beschwerde zu führen. 4
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 29 Abklärungen und Empfehlungen im Privatrechtsbereich
1    Der Beauftragte klärt von sich aus oder auf Meldung Dritter hin den Sachverhalt näher ab, wenn:
a  Bearbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Systemfehler);
b  Datensammlungen registriert werden müssen (Art. 11 a);
c  eine Informationspflicht nach Artikel 6 Absatz 3 besteht.
2    Er kann dabei Akten herausverlangen, Auskünfte einholen und sich Datenbearbeitungen vorführen lassen. Das Zeugnisverweigerungsrecht nach Artikel 16 des Verwaltungsverfahrensgesetzes 3 gilt sinngemäss.
3    Der Beauftragte kann aufgrund seiner Abklärungen empfehlen, das Bearbeiten zu ändern oder zu unterlassen.
4    Wird eine solche Empfehlung des Beauftragten nicht befolgt oder abgelehnt, so kann er die Angelegenheit dem Bundesverwaltungsgericht zum Entscheid vorlegen. Er ist berechtigt, gegen diesen Entscheid Beschwerde zu führen. 4
DSG i.V.m. Art. 35 Bst. b
SR 173.32 Bundesgesetz über das Bundesverwaltungsgericht - Verwaltungsgerichtsgesetz
VGG Art. 35 Grundsatz - Das Bundesverwaltungsgericht beurteilt auf Klage als erste Instanz:
a  Streitigkeiten aus öffentlich-rechtlichen Verträgen des Bundes, seiner Anstalten und Betriebe und der Organisationen im Sinne von Artikel 33 Buchstabe h;
b  Streitigkeiten über Empfehlungen des Datenschutzbeauftragten im Privatrechtsbereich (Art. 29 Abs. 4 des BG vom 19. Juni 1992 1 über den Datenschutz);
c  Streitigkeiten zwischen Bund und Nationalbank betreffend die Vereinbarungen über Bankdienstleistungen und die Vereinbarung über die Gewinnausschüttung;
d  Ersuchen um Einziehung von Vermögenswerten nach dem Bundesgesetz vom 18. Dezember 2015 3 über die Sperrung und die Rückerstattung unrechtmässig erworbener Vermögenswerte ausländischer politisch exponierter Personen.
des Verwaltungsgerichtsgesetzes vom 17. Juni 2005 [VGG, SR 173.32]).

1.1 Die vorliegende Klage richtet sich gegen die Nichtbefolgung bzw. die Ablehnung einer Empfehlung des EDÖB durch die Beklagte. Insofern handelt es sich um eine Klage nach Art. 29 Abs. 4
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 29 Abklärungen und Empfehlungen im Privatrechtsbereich
1    Der Beauftragte klärt von sich aus oder auf Meldung Dritter hin den Sachverhalt näher ab, wenn:
a  Bearbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Systemfehler);
b  Datensammlungen registriert werden müssen (Art. 11 a);
c  eine Informationspflicht nach Artikel 6 Absatz 3 besteht.
2    Er kann dabei Akten herausverlangen, Auskünfte einholen und sich Datenbearbeitungen vorführen lassen. Das Zeugnisverweigerungsrecht nach Artikel 16 des Verwaltungsverfahrensgesetzes 3 gilt sinngemäss.
3    Der Beauftragte kann aufgrund seiner Abklärungen empfehlen, das Bearbeiten zu ändern oder zu unterlassen.
4    Wird eine solche Empfehlung des Beauftragten nicht befolgt oder abgelehnt, so kann er die Angelegenheit dem Bundesverwaltungsgericht zum Entscheid vorlegen. Er ist berechtigt, gegen diesen Entscheid Beschwerde zu führen. 4
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 29 Abklärungen und Empfehlungen im Privatrechtsbereich
1    Der Beauftragte klärt von sich aus oder auf Meldung Dritter hin den Sachverhalt näher ab, wenn:
a  Bearbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Systemfehler);
b  Datensammlungen registriert werden müssen (Art. 11 a);
c  eine Informationspflicht nach Artikel 6 Absatz 3 besteht.
2    Er kann dabei Akten herausverlangen, Auskünfte einholen und sich Datenbearbeitungen vorführen lassen. Das Zeugnisverweigerungsrecht nach Artikel 16 des Verwaltungsverfahrensgesetzes 3 gilt sinngemäss.
3    Der Beauftragte kann aufgrund seiner Abklärungen empfehlen, das Bearbeiten zu ändern oder zu unterlassen.
4    Wird eine solche Empfehlung des Beauftragten nicht befolgt oder abgelehnt, so kann er die Angelegenheit dem Bundesverwaltungsgericht zum Entscheid vorlegen. Er ist berechtigt, gegen diesen Entscheid Beschwerde zu führen. 4
DSG. Zunächst ist daher abzuklären, ob das DSG im vorliegenden Verfahren überhaupt Anwendung findet und der EDÖB zur vorliegenden Klageerhebung berechtigt war.

1.2 Das DSG gilt für das Bearbeiten von Daten natürlicher und juristischer Personen durch private Personen und Bundesorgane (Art. 2 Abs. 1
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 2 Geltungsbereich
1    Dieses Gesetz gilt für das Bearbeiten von Daten natürlicher und juristischer Personen durch:
a  private Personen;
b  Bundesorgane.
2    Es ist nicht anwendbar auf:
a  Personendaten, die eine natürliche Person ausschliesslich zum persönlichen Gebrauch bearbeitet und nicht an Aussenstehende bekannt gibt;
b  Beratungen in den Eidgenössischen Räten und in den parlamentarischen Kommissionen;
c  hängige Zivilprozesse, Strafverfahren, Verfahren der internationalen Rechtshilfe sowie staats- und verwaltungsrechtliche Verfahren mit Ausnahme erstinstanzlicher Verwaltungsverfahren;
d  öffentliche Register des Privatrechtsverkehrs;
e  Personendaten, die das Internationale Komitee vom Roten Kreuz bearbeitet.
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 2 Geltungsbereich
1    Dieses Gesetz gilt für das Bearbeiten von Daten natürlicher und juristischer Personen durch:
a  private Personen;
b  Bundesorgane.
2    Es ist nicht anwendbar auf:
a  Personendaten, die eine natürliche Person ausschliesslich zum persönlichen Gebrauch bearbeitet und nicht an Aussenstehende bekannt gibt;
b  Beratungen in den Eidgenössischen Räten und in den parlamentarischen Kommissionen;
c  hängige Zivilprozesse, Strafverfahren, Verfahren der internationalen Rechtshilfe sowie staats- und verwaltungsrechtliche Verfahren mit Ausnahme erstinstanzlicher Verwaltungsverfahren;
d  öffentliche Register des Privatrechtsverkehrs;
e  Personendaten, die das Internationale Komitee vom Roten Kreuz bearbeitet.
DSG).
1.2.1 Unter Personendaten (Daten) fallen nach Art. 3 Bst. a
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 3 Begriffe - Die folgenden Ausdrücke bedeuten:
1  Bundesgesetze,
2  für die Schweiz verbindliche Beschlüsse internationaler Organisationen und von der Bundesversammlung genehmigte völkerrechtliche Verträge mit rechtsetzendem Inhalt;
3  Massnahmen der sozialen Hilfe,
4  administrative oder strafrechtliche Verfolgungen und Sanktionen;
a  Personendaten (Daten):alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen;
b  betroffene Personen:natürliche oder juristische Personen, über die Daten bearbeitet werden;
c  besonders schützenswerte Personendaten:Daten über:
d  Persönlichkeitsprofil:eine Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt;
e  Bearbeiten:jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben, Archivieren oder Vernichten von Daten;
f  Bekanntgeben:das Zugänglichmachen von Personendaten wie das Einsichtgewähren, Weitergeben oder Veröffentlichen;
g  Datensammlung:jeder Bestand von Personendaten, der so aufgebaut ist, dass die Daten nach betroffenen Personen erschliessbar sind;
h  Bundesorgane:Behörden und Dienststellen des Bundes sowie Personen, soweit sie mit öffentlichen Aufgaben des Bundes betraut sind;
i  Inhaber der Datensammlung:private Personen oder Bundesorgane, die über den Zweck und den Inhalt der Datensammlung entscheiden;
j  Gesetz im formellen Sinn:
DSG alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen. Darunter ist jede Art von Information zu verstehen, die auf die Vermittlung oder die Aufbewahrung von Kenntnissen ausgerichtet ist, ungeachtet dessen, ob es sich dabei um eine Tatsachenfeststellung oder um ein Werturteil handelt. Unerheblich ist auch, ob eine Aussage als Zeichen, Wort, Bild, Ton oder Kombinationen aus diesen auftritt und auf welcher Art von Datenträger die Informationen gespeichert sind. Eine Person ist dann bestimmt, wenn sich aus der Information selbst ergibt, dass es sich um diese ganz bestimmte Person handelt (Urs Belser, in: Maurer-Lambrou/Vogt [Hrsg.], Datenschutzgesetz, Basler Kommentar, 2. Aufl., Basel 2006, Rz. 5 f. zu Art. 3; nachfolgend "BSK-DSG"). Der Bezug ist dort unproblematisch, wo sich der Personenbezug aus der Natur der Information selbst ergibt, wie bei biometrischen Informationen wie Fingerabdrücken (vgl. David Rosenthal, in Rosenthal/Jöhri, Handkommentar DSG, Zürich 2008, Art. 3 Bst. a N 13; nachfolgend "Handkommentar DSG").
1.2.2 Die Beklagte erhebt von jedem Dauerkarteninhaber die Personalien, d.h. Name, Vorname, Adresse, Sprache und Geburtsdatum. Dabei handelt es sich ohne Weiteres um Personendaten, die einerseits für sich alleine (Name, Vorname), andererseits in Zusammenhang mit den weiter erhobenen Daten - ohne grossen Aufwand - auf eine bestimmte Person schliessen lassen (Adresse, Sprache, Geburtsdatum). Daneben werden den Abonnenten die Fingerabdrücke genommen bzw. deren Minutien extrahiert, mittels Algorithmus in ein Template umgewandelt und dergestalt in einer zentralen Datenbank abgelegt. Der Fingerabdruck an sich, wie auch die extrahierten Minutien sind einzigartig und nur einer bestimmten Person zuzuordnen. Der Bezug zu einer Person geht daher aus diesen selbst hervor. Auf welche Art von Datenträger (Template) sie gespeichert werden, ist unerheblich. Im Übrigen ist auch noch eine Zuordnungsliste zentral abgelegt, sodass mit dieser Rückschluss auf einen bestimmten Abonnenten genommen werden kann.
Insofern sind sämtliche hier in Frage stehenden Daten als Personendaten gemäss DSG zu qualifizieren.
1.2.3 Bearbeiten im Sinne von Art. 2 Abs. 1
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 2 Geltungsbereich
1    Dieses Gesetz gilt für das Bearbeiten von Daten natürlicher und juristischer Personen durch:
a  private Personen;
b  Bundesorgane.
2    Es ist nicht anwendbar auf:
a  Personendaten, die eine natürliche Person ausschliesslich zum persönlichen Gebrauch bearbeitet und nicht an Aussenstehende bekannt gibt;
b  Beratungen in den Eidgenössischen Räten und in den parlamentarischen Kommissionen;
c  hängige Zivilprozesse, Strafverfahren, Verfahren der internationalen Rechtshilfe sowie staats- und verwaltungsrechtliche Verfahren mit Ausnahme erstinstanzlicher Verwaltungsverfahren;
d  öffentliche Register des Privatrechtsverkehrs;
e  Personendaten, die das Internationale Komitee vom Roten Kreuz bearbeitet.
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 2 Geltungsbereich
1    Dieses Gesetz gilt für das Bearbeiten von Daten natürlicher und juristischer Personen durch:
a  private Personen;
b  Bundesorgane.
2    Es ist nicht anwendbar auf:
a  Personendaten, die eine natürliche Person ausschliesslich zum persönlichen Gebrauch bearbeitet und nicht an Aussenstehende bekannt gibt;
b  Beratungen in den Eidgenössischen Räten und in den parlamentarischen Kommissionen;
c  hängige Zivilprozesse, Strafverfahren, Verfahren der internationalen Rechtshilfe sowie staats- und verwaltungsrechtliche Verfahren mit Ausnahme erstinstanzlicher Verwaltungsverfahren;
d  öffentliche Register des Privatrechtsverkehrs;
e  Personendaten, die das Internationale Komitee vom Roten Kreuz bearbeitet.
DSG bedeutet jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben, Archivieren oder Vernichten von Daten (Art. 3 Bst. e
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 3 Begriffe - Die folgenden Ausdrücke bedeuten:
1  Bundesgesetze,
2  für die Schweiz verbindliche Beschlüsse internationaler Organisationen und von der Bundesversammlung genehmigte völkerrechtliche Verträge mit rechtsetzendem Inhalt;
3  Massnahmen der sozialen Hilfe,
4  administrative oder strafrechtliche Verfolgungen und Sanktionen;
a  Personendaten (Daten):alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen;
b  betroffene Personen:natürliche oder juristische Personen, über die Daten bearbeitet werden;
c  besonders schützenswerte Personendaten:Daten über:
d  Persönlichkeitsprofil:eine Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt;
e  Bearbeiten:jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben, Archivieren oder Vernichten von Daten;
f  Bekanntgeben:das Zugänglichmachen von Personendaten wie das Einsichtgewähren, Weitergeben oder Veröffentlichen;
g  Datensammlung:jeder Bestand von Personendaten, der so aufgebaut ist, dass die Daten nach betroffenen Personen erschliessbar sind;
h  Bundesorgane:Behörden und Dienststellen des Bundes sowie Personen, soweit sie mit öffentlichen Aufgaben des Bundes betraut sind;
i  Inhaber der Datensammlung:private Personen oder Bundesorgane, die über den Zweck und den Inhalt der Datensammlung entscheiden;
j  Gesetz im formellen Sinn:
DSG). Für das Bundesverwaltungsgericht besteht kein Zweifel, dass im vorliegenden Fall eine Bearbeitung nach DSG erfolgt. Dies wird im Übrigen auch nicht bestritten.
1.2.4 Wie bereits erwähnt, klärt der Beauftragte gemäss Art. 29 Abs. 1 Bst. a
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 29 Abklärungen und Empfehlungen im Privatrechtsbereich
1    Der Beauftragte klärt von sich aus oder auf Meldung Dritter hin den Sachverhalt näher ab, wenn:
a  Bearbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Systemfehler);
b  Datensammlungen registriert werden müssen (Art. 11 a);
c  eine Informationspflicht nach Artikel 6 Absatz 3 besteht.
2    Er kann dabei Akten herausverlangen, Auskünfte einholen und sich Datenbearbeitungen vorführen lassen. Das Zeugnisverweigerungsrecht nach Artikel 16 des Verwaltungsverfahrensgesetzes 3 gilt sinngemäss.
3    Der Beauftragte kann aufgrund seiner Abklärungen empfehlen, das Bearbeiten zu ändern oder zu unterlassen.
4    Wird eine solche Empfehlung des Beauftragten nicht befolgt oder abgelehnt, so kann er die Angelegenheit dem Bundesverwaltungsgericht zum Entscheid vorlegen. Er ist berechtigt, gegen diesen Entscheid Beschwerde zu führen. 4
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 29 Abklärungen und Empfehlungen im Privatrechtsbereich
1    Der Beauftragte klärt von sich aus oder auf Meldung Dritter hin den Sachverhalt näher ab, wenn:
a  Bearbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Systemfehler);
b  Datensammlungen registriert werden müssen (Art. 11 a);
c  eine Informationspflicht nach Artikel 6 Absatz 3 besteht.
2    Er kann dabei Akten herausverlangen, Auskünfte einholen und sich Datenbearbeitungen vorführen lassen. Das Zeugnisverweigerungsrecht nach Artikel 16 des Verwaltungsverfahrensgesetzes 3 gilt sinngemäss.
3    Der Beauftragte kann aufgrund seiner Abklärungen empfehlen, das Bearbeiten zu ändern oder zu unterlassen.
4    Wird eine solche Empfehlung des Beauftragten nicht befolgt oder abgelehnt, so kann er die Angelegenheit dem Bundesverwaltungsgericht zum Entscheid vorlegen. Er ist berechtigt, gegen diesen Entscheid Beschwerde zu führen. 4
DSG von sich aus oder auf Meldung Dritter hin den Sachverhalt näher ab, wenn Bearbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Systemfehler). "Systemfehler" bedeutet in diesem Zusammenhang die Eignung, eine grössere Anzahl von Personen in ihrer Persönlichkeit zu verletzen (vgl. David Rosenthal, Handkommentar DSG, Art. 29 N. 11; René Huber, BSK-DSG, Rz. 6 ff. zu Art. 29; Urteil der Eidgenössischen Datenschutzkommission [EDSK] vom 15. April 2005, veröffentlicht in Verwaltungspraxis des Bundes [VPB] 69.106, E. 3.2). Kann die fragliche Datenbearbeitung potentiell zur Schädigung einer grösseren Anzahl Betroffener führen, ist die Schwelle der "grösseren Anzahl" bereits beim Vorliegen einiger weniger Vorfälle erreicht (René Huber, BSK-DSG, Rz. 10 f. zu Art. 29). In der Klageantwort führt die Beklagte aus, dass jährlich 1'200 Dauerkarten verkauft würden. Insofern kann ohne Weiteres von einem "Systemfehler" im Sinne der Gesetzgebung ausgegangen werden.

1.3 Das DSG kommt aus diesen Gründen zur Anwendung und der Kläger war zur Erteilung der Empfehlung ermächtigt. Auf die im Weiteren form- und fristgerecht eingereichte Klage ist daher einzutreten.

1.4 Das Verfahren richtet sich gemäss Art. 44 Abs. 1
SR 173.32 Bundesgesetz über das Bundesverwaltungsgericht - Verwaltungsgerichtsgesetz
VGG Art. 44
1    Entscheidet das Bundesverwaltungsgericht als erste Instanz, so richtet sich das Verfahren nach den Artikeln 3-73 und 79-85 des Bundesgesetzes vom 4. Dezember 1947 1 über den Bundeszivilprozess.
2    Das Bundesverwaltungsgericht stellt den Sachverhalt von Amtes wegen fest.
3    Die Gerichtsgebühren und die Parteientschädigung richten sich nach den Artikeln 63-65 VwVG 2 . 3
VGG grundsätzlich nach den Art. 3
SR 273 Bundesgesetz über den Bundeszivilprozess
BZP Art. 3 Richterpflicht
1    Der Richter prüft von Amtes wegen die Zulässigkeit der Klage und aller weiteren Prozesshandlungen.
2    Der Richter darf über die Rechtsbegehren der Parteien nicht hinausgehen und sein Urteil nur auf Tatsachen gründen, die im Verfahren geltend gemacht worden sind. Er soll jedoch die Parteien auf unzulängliche Rechtsbegehren aufmerksam machen und darauf hinwirken, dass sie Tatsachen und Beweismittel, die für die Feststellung des wahren Tatbestandes notwendig erscheinen, vollständig angeben. Zu diesem Instruktionszwecke kann er jederzeit die Parteien persönlich einvernehmen.
- 73
SR 273 Bundesgesetz über den Bundeszivilprozess
BZP Art. 73 Gerichtlicher Vergleich und Abstand
1    Der vor dem Richter erklärte oder dem Richter zur Verurkundung im Protokoll eingereichte Vergleich der Parteien und der Abstand einer Partei beenden den Rechtsstreit.
2    In den gerichtlichen Vergleich können ausserhalb des Prozesses liegende Streitfragen zwischen den Parteien und einer Partei mit Dritten einbezogen werden, sofern es der Beilegung des Prozesses dient.
3    Ist die Einrede erhoben worden, der Anspruch sei nicht fällig oder er sei von einer Bedingung abhängig, oder ist ein Prozessmangel gerügt worden, so kann der Kläger die Klage unter dem Vorbehalt zurücknehmen, sie nach Eintritt der Fälligkeit oder der Bedingung oder nach Behebung des Prozessmangels wieder einzureichen.
4    Gerichtlicher Vergleich und Abstand sind wie das Urteil vollstreckbar.
sowie 79
SR 273 Bundesgesetz über den Bundeszivilprozess
BZP Art. 79 Fälle
1    Vorsorgliche Verfügungen können getroffen werden:
a  zum Schutze des Besitzes gegen verbotene Eigenmacht und widerrechtliche Vorenthaltung;
b  zur Abwehr eines drohenden, nicht leicht wieder gutzumachenden Nachteils, insbesondere durch Veränderung des bestehenden Zustandes vor oder während der Rechtshängigkeit des Anspruchs.
2    Ausgeschlossen ist die vorsorgliche Verfügung zur Sicherung von Forderungen, die dem Bundesgesetz vom 11. April 1889 1 über Schuldbetreibung- und Konkurs unterliegen.
- 85
SR 273 Bundesgesetz über den Bundeszivilprozess
BZP Art. 85 Vorbehalt besonderer Vorschriften - Vorbehalt besonderer Vorschriften Die besondern Vorschriften anderer Bundesgesetze über vorsorgliche Verfügungen bleiben vorbehalten.
des Bundesgesetzes vom 4. Dezember 1947 über den Bundeszivilprozess (BZP, SR 273). Obwohl im Bundeszivilprozess der Richter sein Urteil grundsätzlich nur auf Tatsachen gründen darf, die im Verfahren geltend gemacht worden sind (Art. 3 Abs. 2
SR 273 Bundesgesetz über den Bundeszivilprozess
BZP Art. 3 Richterpflicht
1    Der Richter prüft von Amtes wegen die Zulässigkeit der Klage und aller weiteren Prozesshandlungen.
2    Der Richter darf über die Rechtsbegehren der Parteien nicht hinausgehen und sein Urteil nur auf Tatsachen gründen, die im Verfahren geltend gemacht worden sind. Er soll jedoch die Parteien auf unzulängliche Rechtsbegehren aufmerksam machen und darauf hinwirken, dass sie Tatsachen und Beweismittel, die für die Feststellung des wahren Tatbestandes notwendig erscheinen, vollständig angeben. Zu diesem Instruktionszwecke kann er jederzeit die Parteien persönlich einvernehmen.
SR 273 Bundesgesetz über den Bundeszivilprozess
BZP Art. 3 Richterpflicht
1    Der Richter prüft von Amtes wegen die Zulässigkeit der Klage und aller weiteren Prozesshandlungen.
2    Der Richter darf über die Rechtsbegehren der Parteien nicht hinausgehen und sein Urteil nur auf Tatsachen gründen, die im Verfahren geltend gemacht worden sind. Er soll jedoch die Parteien auf unzulängliche Rechtsbegehren aufmerksam machen und darauf hinwirken, dass sie Tatsachen und Beweismittel, die für die Feststellung des wahren Tatbestandes notwendig erscheinen, vollständig angeben. Zu diesem Instruktionszwecke kann er jederzeit die Parteien persönlich einvernehmen.
BZP), gilt vor Bundesverwaltungsgericht infolge der spezialgesetzlichen Bestimmung von Art. 44 Abs. 2
SR 173.32 Bundesgesetz über das Bundesverwaltungsgericht - Verwaltungsgerichtsgesetz
VGG Art. 44
1    Entscheidet das Bundesverwaltungsgericht als erste Instanz, so richtet sich das Verfahren nach den Artikeln 3-73 und 79-85 des Bundesgesetzes vom 4. Dezember 1947 1 über den Bundeszivilprozess.
2    Das Bundesverwaltungsgericht stellt den Sachverhalt von Amtes wegen fest.
3    Die Gerichtsgebühren und die Parteientschädigung richten sich nach den Artikeln 63-65 VwVG 2 . 3
VGG der Grundsatz der Sachverhaltsabklärung von Amtes wegen.
Art. 3 Abs. 2
SR 273 Bundesgesetz über den Bundeszivilprozess
BZP Art. 3 Richterpflicht
1    Der Richter prüft von Amtes wegen die Zulässigkeit der Klage und aller weiteren Prozesshandlungen.
2    Der Richter darf über die Rechtsbegehren der Parteien nicht hinausgehen und sein Urteil nur auf Tatsachen gründen, die im Verfahren geltend gemacht worden sind. Er soll jedoch die Parteien auf unzulängliche Rechtsbegehren aufmerksam machen und darauf hinwirken, dass sie Tatsachen und Beweismittel, die für die Feststellung des wahren Tatbestandes notwendig erscheinen, vollständig angeben. Zu diesem Instruktionszwecke kann er jederzeit die Parteien persönlich einvernehmen.
SR 273 Bundesgesetz über den Bundeszivilprozess
BZP Art. 3 Richterpflicht
1    Der Richter prüft von Amtes wegen die Zulässigkeit der Klage und aller weiteren Prozesshandlungen.
2    Der Richter darf über die Rechtsbegehren der Parteien nicht hinausgehen und sein Urteil nur auf Tatsachen gründen, die im Verfahren geltend gemacht worden sind. Er soll jedoch die Parteien auf unzulängliche Rechtsbegehren aufmerksam machen und darauf hinwirken, dass sie Tatsachen und Beweismittel, die für die Feststellung des wahren Tatbestandes notwendig erscheinen, vollständig angeben. Zu diesem Instruktionszwecke kann er jederzeit die Parteien persönlich einvernehmen.
BZP bestimmt, dass der Richter nicht über die Rechtsbegehren der Parteien hinausgehen darf. In einem Klageverfahren wie dem vorliegenden hat die Dispositionsmaxime somit grössere Bedeutung als im Beschwerdeverfahren vor Bundesverwaltungsgericht. Im Verfahren vor dem Bundesverwaltungsgericht wird der EDÖB in der Regel verlangen, dass die von ihm empfohlenen und nun klageweise geltend gemachten Massnahmen gegenüber den betreffenden Datenbearbeitern verfügt, d.h. den Datenbearbeitern durch das Gericht in verbindlicher und erzwingbarer Form angeordnet werden. Damit wird die Empfehlung zwar nicht verbindlich, doch wird ihr - soweit begehrt und gutgeheissen - ein entsprechendes Urteil zur Seite gestellt. Das Bundesverwaltungsgericht kann aber auch weniger weit gehende Massnahmen anordnen (vgl. DAVID ROSENTHAL, Handkommentar DSG, Art. 29 Abs. 4 N 47).

2.
2.1 Der Kläger rügt vorab, das Zugangssystem der Beklagten verstosse gegen das Gebot der Zweckbindung der Datenbearbeitung nach Art. 4 Abs. 3
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 4 Grundsätze
1    Personendaten dürfen nur rechtmässig bearbeitet werden. 1
2    Ihre Bearbeitung hat nach Treu und Glauben zu erfolgen und muss verhältnismässig sein.
3    Personendaten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist.
4    Die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung müssen für die betroffene Person erkennbar sein. 2
5    Ist für die Bearbeitung von Personendaten die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung erst gültig, wenn sie nach angemessener Information freiwillig erfolgt. Bei der Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen muss die Einwilligung zudem ausdrücklich erfolgen. 3
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 4 Grundsätze
1    Personendaten dürfen nur rechtmässig bearbeitet werden. 1
2    Ihre Bearbeitung hat nach Treu und Glauben zu erfolgen und muss verhältnismässig sein.
3    Personendaten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist.
4    Die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung müssen für die betroffene Person erkennbar sein. 2
5    Ist für die Bearbeitung von Personendaten die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung erst gültig, wenn sie nach angemessener Information freiwillig erfolgt. Bei der Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen muss die Einwilligung zudem ausdrücklich erfolgen. 3
DSG (Ziffer 2.1 der Klage). Eine Zweckänderung sei von den Betroffenen durch die zentrale Speicherung der biometrischen Daten aber nicht kontrollierbar. Damit bestehe die Gefahr einer Verletzung der informationellen Selbstbestimmung nach Art. 13 Abs. 2
SR 101 Bundesverfassung der Schweizerischen Eidgenossenschaft
BV Art. 13 Schutz der Privatsphäre
1    Jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihres Brief-, Post- und Fernmeldeverkehrs.
2    Jede Person hat Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten.
SR 101 Bundesverfassung der Schweizerischen Eidgenossenschaft
BV Art. 13 Schutz der Privatsphäre
1    Jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihres Brief-, Post- und Fernmeldeverkehrs.
2    Jede Person hat Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten.
der Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999 (BV, SR 101). Die biometrischen Daten dürften den Kontrollbereich der betroffenen Person deshalb nicht verlassen. Er empfehle daher ein milderes Mittel, die sogenannte "Smartcard match on card". Die biometrischen Daten würden auf dem Sicherheitsmedium gespeichert und die Verifizierung finde ebenfalls darauf statt.

2.2 Es ist nicht ersichtlich und wird vom Kläger auch nicht weiter begründet, inwiefern der Grundsatz der Zweckbindung nach Art. 4 Abs. 3
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 4 Grundsätze
1    Personendaten dürfen nur rechtmässig bearbeitet werden. 1
2    Ihre Bearbeitung hat nach Treu und Glauben zu erfolgen und muss verhältnismässig sein.
3    Personendaten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist.
4    Die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung müssen für die betroffene Person erkennbar sein. 2
5    Ist für die Bearbeitung von Personendaten die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung erst gültig, wenn sie nach angemessener Information freiwillig erfolgt. Bei der Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen muss die Einwilligung zudem ausdrücklich erfolgen. 3
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 4 Grundsätze
1    Personendaten dürfen nur rechtmässig bearbeitet werden. 1
2    Ihre Bearbeitung hat nach Treu und Glauben zu erfolgen und muss verhältnismässig sein.
3    Personendaten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist.
4    Die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung müssen für die betroffene Person erkennbar sein. 2
5    Ist für die Bearbeitung von Personendaten die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung erst gültig, wenn sie nach angemessener Information freiwillig erfolgt. Bei der Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen muss die Einwilligung zudem ausdrücklich erfolgen. 3
DSG hier verletzt worden sein soll. Der Kläger gesteht der Beklagten denn auch zu, dass sie bisher keine Zweckänderung vorgenommen habe (Klageschrift, Ziffer 43). Er rügt unter dem Grundsatz der Zweckbindung der Datenbearbeitung nichts anderes als den Grundsatz der Verhältnismässigkeit der Datenbearbeitung gemäss Ziffer 2.2 seiner Klage. Die Klage ist denn auch (hauptsächlich) unter diesem Gesichtspunkt zu behandeln.

3.
Gemäss Art. 13 Abs. 2
SR 101 Bundesverfassung der Schweizerischen Eidgenossenschaft
BV Art. 13 Schutz der Privatsphäre
1    Jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihres Brief-, Post- und Fernmeldeverkehrs.
2    Jede Person hat Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten.
SR 101 Bundesverfassung der Schweizerischen Eidgenossenschaft
BV Art. 13 Schutz der Privatsphäre
1    Jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihres Brief-, Post- und Fernmeldeverkehrs.
2    Jede Person hat Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten.
BV hat jede Person Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten. Diesem Anspruch hat der Bundesgesetzgeber im DSG Rechnung getragen und das Bearbeiten von Daten durch Private und Bundesbehörden eingehend geregelt (Ulrich Häfelin/Walter Haller/Helen Keller, Schweizerisches Bundesstaatsrecht, 7. Aufl., Zürich/Basel/Genf 2008, Rz. 390). Wer Personendaten bearbeitet, darf dabei die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen. Er darf insbesondere nicht Personendaten entgegen den Grundsätzen des Artikels 4 bearbeiten (Art. 12 Abs. 1 Bst. a
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 12 Persönlichkeitsverletzungen
1    Wer Personendaten bearbeitet, darf dabei die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen.
2    Er darf insbesondere nicht:
a  Personendaten entgegen den Grundsätzen der Artikel 4, 5 Absatz 1 und 7 Absatz 1 bearbeiten;
b  ohne Rechtfertigungsgrund Daten einer Person gegen deren ausdrücklichen Willen bearbeiten;
c  ohne Rechtfertigungsgrund besonders schützenswerte Personendaten oder Persönlichkeitsprofile Dritten bekanntgeben. 1
3    In der Regel liegt keine Persönlichkeitsverletzung vor, wenn die betroffene Person die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat.
DSG).

3.1 Nach Art. 4 Abs. 2
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 4 Grundsätze
1    Personendaten dürfen nur rechtmässig bearbeitet werden. 1
2    Ihre Bearbeitung hat nach Treu und Glauben zu erfolgen und muss verhältnismässig sein.
3    Personendaten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist.
4    Die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung müssen für die betroffene Person erkennbar sein. 2
5    Ist für die Bearbeitung von Personendaten die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung erst gültig, wenn sie nach angemessener Information freiwillig erfolgt. Bei der Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen muss die Einwilligung zudem ausdrücklich erfolgen. 3
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 4 Grundsätze
1    Personendaten dürfen nur rechtmässig bearbeitet werden. 1
2    Ihre Bearbeitung hat nach Treu und Glauben zu erfolgen und muss verhältnismässig sein.
3    Personendaten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist.
4    Die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung müssen für die betroffene Person erkennbar sein. 2
5    Ist für die Bearbeitung von Personendaten die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung erst gültig, wenn sie nach angemessener Information freiwillig erfolgt. Bei der Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen muss die Einwilligung zudem ausdrücklich erfolgen. 3
DSG muss die Bearbeitung der Daten verhältnismässig sein. Sowohl der Zweck, der mit der Datenbearbeitung verfolgt wird, als auch die Art und Weise der Bearbeitung müssen verhältnismässig sein. Dies verlangt zunächst, dass Personendaten nur soweit bearbeitet werden dürfen, als dies für einen bestimmten Zweck objektiv geeignet und tatsächlich erforderlich ist. Der Verhältnismässigkeitsgrundsatz verlangt weiter, dass die Datenbearbeitung für die betroffene Person sowohl hinsichtlich ihres Zwecks als auch hinsichtlich ihrer Mittel zumutbar ist (d.h. verhältnismässig i.e.S.). Die Prüfung der Verhältnismässigkeit verlangt eine Gesamtwürdigung aller Umstände (BGE 122 II 199), d.h. auch der Interessen des Datenbearbeiters (David Rosenthal, Handkommentar DSG, Art. 4 N 19 ff.).

3.2 Gemäss Klageschrift Ziffer 63 akzeptiert der Kläger die Einführung des biometrischen Erkennungssystems in Hinblick auf den Bearbeitungszweck unter Vorbehalt. Im Verhältnis zum Eingriff in die Grundrechte der betroffenen Person seien die von der Beklagten eingeführten Massnahmen und durchgeführten Datenbearbeitungen zwar geeignet, um das angestrebte Ziel - den Missbrauch der Dauerkarten - zu erreichen, sie stünden jedoch nicht in einem vernünftigen Verhältnis zum Eingriff in die Grundrechte der betroffenen Person. Insofern bemängelt der Kläger die Erforderlichkeit des Eingriffs.

3.3 Eine Massnahme hat zu unterbleiben, wenn eine gleich geeignete, aber mildere Massnahme für den angestrebten Erfolg ausreichen würde. Das Gebot der Erforderlichkeit einer Massnahme wird auch als Prinzip der «Notwendigkeit», des «geringst möglichen Eingriffs», der «Zweckangemessenheit» oder als «Übermassverbot» bezeichnet Ulrich Häfelin/Georg Müller/Felix Uhlmann, Allgemeines Verwaltungsrecht, 5. Aufl., Zürich/Basel/Genf 2006, Rz. 591 f.). Der Eingriff darf in sachlicher, räumlicher, zeitlicher und personeller Beziehung nicht über das Notwendige hinausgehen (Ulrich Häfelin/Walter Haller/Helen Keller, a.a.O., Rz. 322). Bei der Verifizierung der Identität der Betroffenen sollen die biometrischen Daten statt in einer zentralen Datenbank vorzugsweise auf einem gesicherten individuellen Speichermedium gespeichert werden, dessen Einsatz durch den Betroffenen kontrolliert werden kann (Urs Maurer Lambrou/Andrea Steiner, BSK-DSG, Rz. 22 zu Art. 4).

3.4 Mit dem aktuellen System werden die biometrischen Daten zusammen mit einer Zuordnungsliste auf dem Host der Beklagten gespeichert. Die Transponderkarte dient lediglich dazu, das entsprechende Template für den Überprüfungsprozess zu aktivieren, damit der Besucher über seinen Fingerabdruck als Abonnent identifiziert werden kann. Auf ihr sind keine Daten gespeichert. Der Verifizierungsprozess erfolgt auf dem Host. Jede korrekt durchgeführte Transaktion wird erfasst.

3.5 Bei dem vom Kläger empfohlenen System "Smartcard match on card" erfolgt der Vergleich zwischen der biometrischen Charakteristik (Fingerabdruck) und den lokal gespeicherten biometrischen Daten (Referenz-Template) dezentral auf der Karte, so dass der Host lediglich ein Freigabesignal von der Smartcard erhält und keine biometrischen Daten zwischen Smartcard und dem elektronischen Zugangskontrollsystem ausgetauscht werden. Damit haben die betroffenen Personen sowohl die Kontrolle über ihre biometrischen Referenzdaten als auch über die Transaktionsdaten im Rahmen des Vergleichs. In einem solchen Fall liegen lediglich Transaktionsdaten, welche zwischen der Smartcard und dem Leser ausgetauscht werden, ausserhalb des Kontrollbereichs der betroffenen Person.

3.6 Bei der Gegenüberstellung der beiden verschiedenen Zugangssysteme wird ersichtlich, dass das vom Kläger geforderte System weit weniger in das informationelle Selbstbestimmungsrecht des Betroffenen eingreift als das bis anhin verwendete System und trotzdem das verfolgte Ziel erreichen kann. Der Betroffene gibt seine Daten dabei nicht mehr aus der Hand und behält damit stets die Kontrolle. Dass der Abonnent beim derzeitigen Zugangssystem jederzeit Einsicht in seine Daten nehmen könne, wie dies die Beklagte vorbringt, vermag die Kontrollmöglichkeiten des eingeklagten Zugangssystems bei Weitem nicht zu erreichen. Zentral gespeicherte Daten ausserhalb des Herrschaftsbereichs des Abonnenten bleiben für diesen mehrheitlich unerreichbar und damit verletzlich.

3.7 Im Zusammenhang mit Art. 36 Abs. 4 Bst. c
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 36 Vollzug
1    Der Bundesrat erlässt die Ausführungsbestimmungen.
2    … 1
3    Er kann für die Auskunftserteilung durch diplomatische und konsularische Vertretungen der Schweiz im Ausland Abweichungen von den Artikeln 8 und 9 vorsehen.
4    Er kann ferner bestimmen:
a  welche Datensammlungen ein Bearbeitungsreglement benötigen;
b  unter welchen Voraussetzungen ein Bundesorgan Personendaten durch einen Dritten bearbeiten lassen oder für Dritte bearbeiten darf;
c  wie die Mittel zur Identifikation von Personen verwendet werden dürfen.
5    Er kann völkerrechtliche Verträge über den Datenschutz abschliessen, wenn sie den Grundsätzen dieses Gesetzes entsprechen.
6    Er regelt, wie Datensammlungen zu sichern sind, deren Daten im Kriegs- oder Krisenfall zu einer Gefährdung von Leib und Leben der betroffenen Personen führen können.
DSG, wonach der Bundesrat Bestimmungen erlassen kann, wie die Mittel zur Identifikation von Personen verwendet werden dürfen, verweist der Handkommentar DSG zudem auf den Schlussbericht des Klägers vom 11. April 2006 und begrüsst damit das vorliegende Begehren nach dezentraler Speicherung der biometrischen Daten (vgl. YVONNE JÖHRI, Handkommentar DSG, Art. 36 Abs. 4 Bst. c N 35 f.). Der Zürcher Datenschutzbeauftragte hat anlässlich seines 11. Tätigkeitsberichts 2005 ebenfalls empfohlen, dass Systeme vorzuziehen seien, bei denen die biometrischen Daten nicht bei der Schwimmbad-Betreiberin abgelegt würden (Klagebeilage 36). In diesem Sinne hat sich auch die Art. 29 - Datenschutzgruppe der EU als deren unabhängiges Beratungsgremium in Datenschutzfragen geäussert. Danach sind biometrische Daten bei der Verwendung als Zutrittskontrolle nicht auf einem Medium zu speichern, das sich nicht im Besitz der betroffenen Person befindet (vgl. Arbeitspapier über Biometrie der Art. 29 - Datenschutzgruppe vom 1. August 2003, Ziff. 3.2, S. 7). Europäische Länder sind diesen Empfehlungen gefolgt (u.a. Frankreich, vgl. Klagebeilage 38, und Italien, vgl. Klagebeilage 46, S. 3) und sprechen sich ebenfalls
für die dezentrale Speicherung gemäss Klagebegehren aus. Der Kläger seinerseits hat sich im (gleichartigen) Fall des Check-In und Boarding beim Flughafen Zürich, wo auch Fingerabdrücke der Fluggäste genommen und in Form von Templates abgelegt wurden, geäussert. Auch hier hat er die dezentrale Speicherung empfohlen (Klagebeilage 37, S. 15).

3.8 Die Beklagte hat im Übrigen mit Schreiben vom 10. August 2006 (Klagebeilage 19) der Empfehlung Nr. 2 - mithin dem Klagebegehren - zugestimmt und ausgeführt, dass die Dauerkarten durch beschreibbare Medien ersetzt würden. Die Software werde so angepasst, dass die Daten auf der Karte gespeichert werden könnten. Dem Schreiben vom 29. Februar 2008 ist zudem zu entnehmen, dass die Beklagte nur die hohen Anschaffungskosten und den zusätzlichen logistischen Aufwand für das Festhalten an der bisherigen zentralen Speicherung der Daten vorbringt. Sie stellt sich hingegen nicht auf den Standpunkt, das vom Kläger begehrte Zugangssystem stelle kein milderes Mittel im Sinne der Verhältnismässigkeit dar. Dies scheint insofern auch nachvollziehbar, als kein Grund ersichtlich ist, weshalb eine zentrale Speicherung der Daten bei der Beklagten notwendig ist. Ein solcher wird von ihr auch nicht geltend gemacht.

3.9 Aus diesen Gründen steht fest, dass die zentrale Speicherung der biometrischen Daten, wie sie die Beklagte bisher handhabt, dem Gebot der Erforderlichkeit widerspricht und damit den Grundsatz der Verhältnissmässigkeit der Datenbearbeitung gemäss Art. 4 Abs. 2
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 4 Grundsätze
1    Personendaten dürfen nur rechtmässig bearbeitet werden. 1
2    Ihre Bearbeitung hat nach Treu und Glauben zu erfolgen und muss verhältnismässig sein.
3    Personendaten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist.
4    Die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung müssen für die betroffene Person erkennbar sein. 2
5    Ist für die Bearbeitung von Personendaten die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung erst gültig, wenn sie nach angemessener Information freiwillig erfolgt. Bei der Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen muss die Einwilligung zudem ausdrücklich erfolgen. 3
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 4 Grundsätze
1    Personendaten dürfen nur rechtmässig bearbeitet werden. 1
2    Ihre Bearbeitung hat nach Treu und Glauben zu erfolgen und muss verhältnismässig sein.
3    Personendaten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist.
4    Die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung müssen für die betroffene Person erkennbar sein. 2
5    Ist für die Bearbeitung von Personendaten die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung erst gültig, wenn sie nach angemessener Information freiwillig erfolgt. Bei der Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen muss die Einwilligung zudem ausdrücklich erfolgen. 3
DSG verletzt. Es liegt daher eine Persönlichkeitsverletzung nach Art. 12 Abs. 2 Bst. a
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 12 Persönlichkeitsverletzungen
1    Wer Personendaten bearbeitet, darf dabei die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen.
2    Er darf insbesondere nicht:
a  Personendaten entgegen den Grundsätzen der Artikel 4, 5 Absatz 1 und 7 Absatz 1 bearbeiten;
b  ohne Rechtfertigungsgrund Daten einer Person gegen deren ausdrücklichen Willen bearbeiten;
c  ohne Rechtfertigungsgrund besonders schützenswerte Personendaten oder Persönlichkeitsprofile Dritten bekanntgeben. 1
3    In der Regel liegt keine Persönlichkeitsverletzung vor, wenn die betroffene Person die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat.
DSG vor.

4.
Nicht jede Verletzung der Persönlichkeit ist auch widerrechtlich; die Widerrechtlichkeit ist somit lediglich Grundsatz, von dem es Ausnahmen gibt. Eine Verletzung der Persönlichkeit ist dann nicht widerrechtlich, wenn sie u.a. durch Einwilligung des Verletzten gerechtfertigt ist (Art. 13 Abs. 1
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 13 Rechtfertigungsgründe
1    Eine Verletzung der Persönlichkeit ist widerrechtlich, wenn sie nicht durch Einwilligung des Verletzten, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist.
2    Ein überwiegendes Interesse der bearbeitenden Person fällt insbesondere in Betracht, wenn diese:
a  in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags Personendaten über ihren Vertragspartner bearbeitet;
b  mit einer anderen Person in wirtschaftlichem Wettbewerb steht oder treten will und zu diesem Zweck Personendaten bearbeitet, ohne diese Dritten bekannt zu geben;
c  zur Prüfung der Kreditwürdigkeit einer anderen Person weder besonders schützenswerte Personendaten noch Persönlichkeitsprofile bearbeitet und Dritten nur Daten bekannt gibt, die sie für den Abschluss oder die Abwicklung eines Vertrages mit der betroffenen Person benötigen;
d  beruflich Personendaten ausschliesslich für die Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet;
e  Personendaten zu nicht personenbezogenen Zwecken insbesondere in der Forschung, Planung und Statistik bearbeitet und die Ergebnisse so veröffentlicht, dass die betroffenen Personen nicht bestimmbar sind;
f  Daten über eine Person des öffentlichen Lebens sammelt, sofern sich die Daten auf das Wirken dieser Person in der Öffentlichkeit beziehen.
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 13 Rechtfertigungsgründe
1    Eine Verletzung der Persönlichkeit ist widerrechtlich, wenn sie nicht durch Einwilligung des Verletzten, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist.
2    Ein überwiegendes Interesse der bearbeitenden Person fällt insbesondere in Betracht, wenn diese:
a  in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags Personendaten über ihren Vertragspartner bearbeitet;
b  mit einer anderen Person in wirtschaftlichem Wettbewerb steht oder treten will und zu diesem Zweck Personendaten bearbeitet, ohne diese Dritten bekannt zu geben;
c  zur Prüfung der Kreditwürdigkeit einer anderen Person weder besonders schützenswerte Personendaten noch Persönlichkeitsprofile bearbeitet und Dritten nur Daten bekannt gibt, die sie für den Abschluss oder die Abwicklung eines Vertrages mit der betroffenen Person benötigen;
d  beruflich Personendaten ausschliesslich für die Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet;
e  Personendaten zu nicht personenbezogenen Zwecken insbesondere in der Forschung, Planung und Statistik bearbeitet und die Ergebnisse so veröffentlicht, dass die betroffenen Personen nicht bestimmbar sind;
f  Daten über eine Person des öffentlichen Lebens sammelt, sofern sich die Daten auf das Wirken dieser Person in der Öffentlichkeit beziehen.
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 13 Rechtfertigungsgründe
1    Eine Verletzung der Persönlichkeit ist widerrechtlich, wenn sie nicht durch Einwilligung des Verletzten, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist.
2    Ein überwiegendes Interesse der bearbeitenden Person fällt insbesondere in Betracht, wenn diese:
a  in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags Personendaten über ihren Vertragspartner bearbeitet;
b  mit einer anderen Person in wirtschaftlichem Wettbewerb steht oder treten will und zu diesem Zweck Personendaten bearbeitet, ohne diese Dritten bekannt zu geben;
c  zur Prüfung der Kreditwürdigkeit einer anderen Person weder besonders schützenswerte Personendaten noch Persönlichkeitsprofile bearbeitet und Dritten nur Daten bekannt gibt, die sie für den Abschluss oder die Abwicklung eines Vertrages mit der betroffenen Person benötigen;
d  beruflich Personendaten ausschliesslich für die Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet;
e  Personendaten zu nicht personenbezogenen Zwecken insbesondere in der Forschung, Planung und Statistik bearbeitet und die Ergebnisse so veröffentlicht, dass die betroffenen Personen nicht bestimmbar sind;
f  Daten über eine Person des öffentlichen Lebens sammelt, sofern sich die Daten auf das Wirken dieser Person in der Öffentlichkeit beziehen.
DSG).

4.1 Die Einwilligung kann grundsätzlich jede Persönlichkeitsverletzung rechtfertigen, auch Verstösse gegen die allgemeinen Datenschutzbearbeitungsgrundsätze (vgl. dazu Corrado Rampini, BSK-DSG, Rz. 3 f. zu Art. 13). Der Gesetzgeber hat sich bei der Definition des Begriffs der Einwilligung an demjenigen der Einwilligung des aufgeklärten Patienten (vgl. BGE 119 II 456, BGE 117 Ib 197, BGE 114 Ia 350) orientiert, und zwar in dem Sinne, dass die betroffene Person über alle Informationen im konkreten Fall verfügen muss, die erforderlich sind, damit sie eine freie Entscheidung treffen kann (BBl 2003 2127). Eine rechtlich gültige Einwilligung setzt nach Art. 4 Abs. 5
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 4 Grundsätze
1    Personendaten dürfen nur rechtmässig bearbeitet werden. 1
2    Ihre Bearbeitung hat nach Treu und Glauben zu erfolgen und muss verhältnismässig sein.
3    Personendaten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist.
4    Die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung müssen für die betroffene Person erkennbar sein. 2
5    Ist für die Bearbeitung von Personendaten die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung erst gültig, wenn sie nach angemessener Information freiwillig erfolgt. Bei der Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen muss die Einwilligung zudem ausdrücklich erfolgen. 3
DSG voraus, dass eine angemessene Information bezüglich der Datenbearbeitung vorliegt, in die eingewilligt werden soll, eine Willenserklärung vorliegt, aus welcher eine Zustimmung zu dieser Datenbearbeitung entnommen werden kann und diese Willenserklärung freiwillig erfolgt (David Rosenthal, Handkommentar DSG, Art. 4 Abs. 5 N 67 f.).

4.2 Das Erfordernis einer angemessenen Information will erreichen, dass die betroffene Person ihre Einwilligung in Kenntnis der Sachlage gibt, d.h. erst entscheiden muss, wenn sie sich ein Bild (auch) über die möglichen negativen Folgen ihrer Einwilligung machen konnte. Erforderlich, aber auch genügend ist letztlich, dass sich die betroffene Person im Klaren darüber sein kann, worin sie einwilligen soll, d.h. was die Tragweite ihrer Entscheidung ist. Je nach Situation wird eine Aufklärung erforderlich sein, die nicht nur auf die Umstände der Datenbearbeitung, sondern auch auf ihre wichtigsten möglichen Risiken bzw. Folgen für die betroffene Person hinweist, insbesondere wenn diese schwerwiegend sind. Ob und wie weit diesbezüglich informiert werden muss, hängt letztlich aber von den konkreten Umständen ab (David Rosenthal, Handkommentar DSG, Art. 4 Abs. 5 N 72 f.). Eine Einwilligung muss freiwillig erfolgen, das heisst Ausdruck des freien Willens der betroffenen Person sein. Ungültig ist die durch Täuschung, Drohung oder Zwang zustande gekommene Einwilligung. Der betroffenen Person muss "eine - mit nicht unzumutbaren Nachteilen behaftete - Handlungsalternative" zur Verfügung stehen (Corrado Rampini, BSK-DSG, Rz. 6 f. zu Art. 13;
vgl. auch Christian Drechsler, Die Revision des Datenschutzrechts, in Aktuelle Juristische Praxis [AJP] 2007, S. 1473). Etwas abweichend dazu äussert sich David Rosenthal im Handkommentar DSG und meint, dass dies zu weit gehe: Wo davon auszugehen sei, dass eine Einwilligung subjektiv im Interesse der betroffenen Person liege, könne normalerweise ebenfalls von einer freiwilligen Willenserklärung ausgegangen werden, selbst wenn die betroffene Person keine Handlungsalternative habe. Seine Kritik berührt den vorliegenden Fall jedoch nicht, weil die Einwilligung hier dem Betroffenen keinen Vorteil bringt, insofern nicht in dessen subjektivem Interesse liegt.

4.3 Die Beklagte bringt zum Rechtfertigungsgrund der Einwilligung vor, die Betroffenen würden beim Kauf einer Dauerkarte auf das System und die Datenbearbeitung aufmerksam gemacht. Die alternative Ausstellung von Dauerkarten ohne Finger-Print werde indes nicht öffentlich bekannt gemacht. Erst wenn sich ein Gast weigere, werde ihm die Alternativlösung angeboten. Die Betroffenen könnten zudem jederzeit Einblick in ihre Daten nehmen.

4.4 In seinem Schlussbericht führt der Kläger in Bezug auf die Einwilligung der Betroffenen aus, dass keine Alternativlösungen bestünden. Die Kunden müssten auf teurere 10-er Abonnemente ausweichen. Die Badegäste würden beim Umtausch oder Erwerb einer Dauerkarte vom Kassenpersonal über die Erhebung der biometrischen Daten und über die weitere Datenbearbeitung mündlich aufgeklärt. Bei der Sachverhaltsabklärung vor Ort seien an der Kassentheke aber keine Flyer erhältlich gewesen. Der Flyer habe ihm erst nach einer kleineren Suchaktion überreicht werden können. Er trage die Überschrift "Ist der Datenschutz bei der biometrischen Fingerabdruck Erkennung und Identifikation gewährleistet?". Der Flyer erkläre, dass keine Rohdaten gespeichert, sondern extrahierte Merkmale eines Fingerabdruckes in Form eines "codierten" Templates in der Datenbank gespeichert würden. Der Flyer führe weiter aus, wie der Abgleich der Templates vor sich gehe und dass es nicht möglich sei, aus dem "Code" das Rohdatum wieder herzustellen. Ferner werde darauf hingewiesen, dass heute gängige Personendatenbanken aus Sicht des Datenschutzes eine weit grössere Gefahr darstellten als die Information des Fingerabdruckes. Der Flyer äussere sich nur grob über die
Bearbeitungsmodalitäten der erhobenen Daten. Zudem erkläre der Flyer primär, warum der Einsatz von Biometrie aus Sicht des Systemlieferanten unproblematisch sei.
In seinem Verbesserungsvorschlag Nr. 1 regt der Kläger daher an, dass der Informationsgehalt des Flyers hinsichtlich der Bearbeitungsmodalitäten der biometrischen Daten stark verbessert werden müsse. Aufgeführt werden müssten die Hauptpunkte der Datenbearbeitung, wie z.B. wo und für wie lange die Daten gespeichert würden, insbesondere was mit den Templates und den Transaktionsdaten geschehe, wer Zugriff auf die Daten habe und an wen sie - wenn überhaupt - weitergegeben würden. Er sei jedem Kunden vor dem Enrolement (Registrierung) automatisch vom Kassenpersonal und ohne Nachfrage des Kunden auszuhändigen. Dem Badegast sei genügend Zeit zur Verfügung zu stellen, ihn vorher durchzulesen. Weitere Flyer seien griffbereit an der Kassentheke aufzulegen. Mit Schreiben vom 18. Oktober 2006 (Klagebeilage 23) stimmt die Beklagte auch diesem Verbesserungsvorschlag zu und führt aus, dass dieser umgesetzt werde. Der Flyer werde vollständig überarbeitet, wobei die vom Kläger genannten Punkte berücksichtigt würden. Weiter werde ein Ablauf- und Organisationsdiagramm für das Kassenpersonal erstellt, aus welchem hervorgehe, wie bei der Herausgabe eines Abonnements (mit biometrischen Daten) vorzugehen sei. Aus den vorliegenden Unterlagen ist nicht
ersichtlich, dass der Verbesserungsvorschlag von der Beklagten umgesetzt worden ist.

4.5 Dem Kläger ist zuzustimmen, dass einem Badegast (faktisch) keine Alternativlösung geboten wird, wenn er die Möglichkeit für den Erwerb eines Jahres- oder Halbjahresabonnements ohne Fingerprint-Lösung erst dann erhält, wenn er sich geweigert hat, ein solches mit dem aktuellen Zugangssystem zu akzeptieren. In den meisten Fällen wird der Gast sich (vermeintlich) mangels Alternative dazu bewegen lassen, seine biometrischen Daten zentral zu hinterlegen. Insofern kann hier nicht von Freiwilligkeit die Rede sein.

4.6 Im Weiteren wird der Gast auch nicht angemessen informiert, so dass er sich über die Tragweite seiner Entscheidung (vollends) im Klaren sein könnte. Der Flyer wird diesem offensichtlich gar nicht erst ausgehändigt. Wenn er schon bei der vorher vereinbarten Sachverhaltsfeststellung des Klägers erst nach einer kleineren Suchaktion überreicht werden kann, ist nicht davon auszugehen, dass er an einem "gewöhnlichen Tag" stets griffbereit ist, geschweige denn verteilt wird. Weiter scheint das Kassenpersonal weder spezifische Vorgaben noch eine besondere Schulung erhalten zu haben, wie beim Verkauf einer Dauerkarte vorzugehen ist. Dem Erfordernis der angemessenen Information kommt die Beklagte deshalb nicht genügend nach.
Über den Inhalt des Flyers und ob dieser ausreichend ist, braucht das Bundesverwaltungsgericht daher nicht weiter zu befinden. Zu bemerken sei hierzu lediglich, dass biometrische Daten (wohl unbestrittenermassen) sensibel sind und die Information hierüber umfassend sein müsste. Aufgrund der unbestrittenen Beschreibung des Klägers über den Informationsgehalt des Flyers und des Verbesserungsvorschlages lässt sich aber erahnen, dass dieser einer angemessenen Aufklärung nicht genügend Rechnung trägt.

5.
Eine Verletzung der Persönlichkeit ist ebenfalls nicht widerrechtlich, wenn sie durch ein überwiegendes privates Interesse gerechtfertigt ist (Art. 13 Abs. 1
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 13 Rechtfertigungsgründe
1    Eine Verletzung der Persönlichkeit ist widerrechtlich, wenn sie nicht durch Einwilligung des Verletzten, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist.
2    Ein überwiegendes Interesse der bearbeitenden Person fällt insbesondere in Betracht, wenn diese:
a  in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags Personendaten über ihren Vertragspartner bearbeitet;
b  mit einer anderen Person in wirtschaftlichem Wettbewerb steht oder treten will und zu diesem Zweck Personendaten bearbeitet, ohne diese Dritten bekannt zu geben;
c  zur Prüfung der Kreditwürdigkeit einer anderen Person weder besonders schützenswerte Personendaten noch Persönlichkeitsprofile bearbeitet und Dritten nur Daten bekannt gibt, die sie für den Abschluss oder die Abwicklung eines Vertrages mit der betroffenen Person benötigen;
d  beruflich Personendaten ausschliesslich für die Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet;
e  Personendaten zu nicht personenbezogenen Zwecken insbesondere in der Forschung, Planung und Statistik bearbeitet und die Ergebnisse so veröffentlicht, dass die betroffenen Personen nicht bestimmbar sind;
f  Daten über eine Person des öffentlichen Lebens sammelt, sofern sich die Daten auf das Wirken dieser Person in der Öffentlichkeit beziehen.
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 13 Rechtfertigungsgründe
1    Eine Verletzung der Persönlichkeit ist widerrechtlich, wenn sie nicht durch Einwilligung des Verletzten, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist.
2    Ein überwiegendes Interesse der bearbeitenden Person fällt insbesondere in Betracht, wenn diese:
a  in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags Personendaten über ihren Vertragspartner bearbeitet;
b  mit einer anderen Person in wirtschaftlichem Wettbewerb steht oder treten will und zu diesem Zweck Personendaten bearbeitet, ohne diese Dritten bekannt zu geben;
c  zur Prüfung der Kreditwürdigkeit einer anderen Person weder besonders schützenswerte Personendaten noch Persönlichkeitsprofile bearbeitet und Dritten nur Daten bekannt gibt, die sie für den Abschluss oder die Abwicklung eines Vertrages mit der betroffenen Person benötigen;
d  beruflich Personendaten ausschliesslich für die Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet;
e  Personendaten zu nicht personenbezogenen Zwecken insbesondere in der Forschung, Planung und Statistik bearbeitet und die Ergebnisse so veröffentlicht, dass die betroffenen Personen nicht bestimmbar sind;
f  Daten über eine Person des öffentlichen Lebens sammelt, sofern sich die Daten auf das Wirken dieser Person in der Öffentlichkeit beziehen.
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 13 Rechtfertigungsgründe
1    Eine Verletzung der Persönlichkeit ist widerrechtlich, wenn sie nicht durch Einwilligung des Verletzten, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist.
2    Ein überwiegendes Interesse der bearbeitenden Person fällt insbesondere in Betracht, wenn diese:
a  in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags Personendaten über ihren Vertragspartner bearbeitet;
b  mit einer anderen Person in wirtschaftlichem Wettbewerb steht oder treten will und zu diesem Zweck Personendaten bearbeitet, ohne diese Dritten bekannt zu geben;
c  zur Prüfung der Kreditwürdigkeit einer anderen Person weder besonders schützenswerte Personendaten noch Persönlichkeitsprofile bearbeitet und Dritten nur Daten bekannt gibt, die sie für den Abschluss oder die Abwicklung eines Vertrages mit der betroffenen Person benötigen;
d  beruflich Personendaten ausschliesslich für die Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet;
e  Personendaten zu nicht personenbezogenen Zwecken insbesondere in der Forschung, Planung und Statistik bearbeitet und die Ergebnisse so veröffentlicht, dass die betroffenen Personen nicht bestimmbar sind;
f  Daten über eine Person des öffentlichen Lebens sammelt, sofern sich die Daten auf das Wirken dieser Person in der Öffentlichkeit beziehen.
DSG). Seitens des Datenbearbeiters sind nur die privaten Interessen an der zu rechtfertigenden Datenbearbeitung zu berücksichtigen. Zu ermitteln sind dabei sowohl das Interesse am Zweck als auch an den Mitteln der Datenbearbeitung, mit welchen der Zweck erreicht werden soll. Die Mittel der Datenbearbeitung umfassen insbesondere die Art und Weise der Datenbearbeitung und die Art und Auswahl der Personendaten (David Rosenthal, Handkommentar DSG, Art. 13 Abs. 1 N 8).

5.1 Die Beklagte bringt in diesem Zusammenhang vor, durch die Anpassungen im Sinne des Klagebegehrens entstünden hohe Anschaffungskosten und zusätzlicher logistischer Aufwand.

5.2 Der Kläger führt hingegen aus, es liege in der Verantwortung des Inhabers der Datensammlung dafür zu sorgen, dass eine Anlage zum vornherein datenschutzkonform sei. Insofern seien die Änderungskosten und der zusätzliche logistische Aufwand keine stichhaltigen Argumente.

5.3 Die Interessen der Beklagten sind nicht zu berücksichtigen, weil sich diese nicht auf die Datenverarbeitung selbst beziehen, sondern nur auf die Unannehmlichkeiten abstellen, die eine allfälligen Änderung im Sinne des Klägers mit sich brächten. Diese Interessen haben beim Rechtfertigungsgrund der überwiegenden privaten Interessen im Sinne von Art. 13 Abs. 1
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 13 Rechtfertigungsgründe
1    Eine Verletzung der Persönlichkeit ist widerrechtlich, wenn sie nicht durch Einwilligung des Verletzten, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist.
2    Ein überwiegendes Interesse der bearbeitenden Person fällt insbesondere in Betracht, wenn diese:
a  in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags Personendaten über ihren Vertragspartner bearbeitet;
b  mit einer anderen Person in wirtschaftlichem Wettbewerb steht oder treten will und zu diesem Zweck Personendaten bearbeitet, ohne diese Dritten bekannt zu geben;
c  zur Prüfung der Kreditwürdigkeit einer anderen Person weder besonders schützenswerte Personendaten noch Persönlichkeitsprofile bearbeitet und Dritten nur Daten bekannt gibt, die sie für den Abschluss oder die Abwicklung eines Vertrages mit der betroffenen Person benötigen;
d  beruflich Personendaten ausschliesslich für die Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet;
e  Personendaten zu nicht personenbezogenen Zwecken insbesondere in der Forschung, Planung und Statistik bearbeitet und die Ergebnisse so veröffentlicht, dass die betroffenen Personen nicht bestimmbar sind;
f  Daten über eine Person des öffentlichen Lebens sammelt, sofern sich die Daten auf das Wirken dieser Person in der Öffentlichkeit beziehen.
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 13 Rechtfertigungsgründe
1    Eine Verletzung der Persönlichkeit ist widerrechtlich, wenn sie nicht durch Einwilligung des Verletzten, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist.
2    Ein überwiegendes Interesse der bearbeitenden Person fällt insbesondere in Betracht, wenn diese:
a  in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags Personendaten über ihren Vertragspartner bearbeitet;
b  mit einer anderen Person in wirtschaftlichem Wettbewerb steht oder treten will und zu diesem Zweck Personendaten bearbeitet, ohne diese Dritten bekannt zu geben;
c  zur Prüfung der Kreditwürdigkeit einer anderen Person weder besonders schützenswerte Personendaten noch Persönlichkeitsprofile bearbeitet und Dritten nur Daten bekannt gibt, die sie für den Abschluss oder die Abwicklung eines Vertrages mit der betroffenen Person benötigen;
d  beruflich Personendaten ausschliesslich für die Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet;
e  Personendaten zu nicht personenbezogenen Zwecken insbesondere in der Forschung, Planung und Statistik bearbeitet und die Ergebnisse so veröffentlicht, dass die betroffenen Personen nicht bestimmbar sind;
f  Daten über eine Person des öffentlichen Lebens sammelt, sofern sich die Daten auf das Wirken dieser Person in der Öffentlichkeit beziehen.
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 13 Rechtfertigungsgründe
1    Eine Verletzung der Persönlichkeit ist widerrechtlich, wenn sie nicht durch Einwilligung des Verletzten, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist.
2    Ein überwiegendes Interesse der bearbeitenden Person fällt insbesondere in Betracht, wenn diese:
a  in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags Personendaten über ihren Vertragspartner bearbeitet;
b  mit einer anderen Person in wirtschaftlichem Wettbewerb steht oder treten will und zu diesem Zweck Personendaten bearbeitet, ohne diese Dritten bekannt zu geben;
c  zur Prüfung der Kreditwürdigkeit einer anderen Person weder besonders schützenswerte Personendaten noch Persönlichkeitsprofile bearbeitet und Dritten nur Daten bekannt gibt, die sie für den Abschluss oder die Abwicklung eines Vertrages mit der betroffenen Person benötigen;
d  beruflich Personendaten ausschliesslich für die Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet;
e  Personendaten zu nicht personenbezogenen Zwecken insbesondere in der Forschung, Planung und Statistik bearbeitet und die Ergebnisse so veröffentlicht, dass die betroffenen Personen nicht bestimmbar sind;
f  Daten über eine Person des öffentlichen Lebens sammelt, sofern sich die Daten auf das Wirken dieser Person in der Öffentlichkeit beziehen.
DSG - wie den vorstehenden Erwägungen zu entnehmen ist - kein Gewicht. Insofern liegt auch keine Rechtfertigung vor.

6.
Zusammenfassend ergibt sich, dass die Beklagte mit dem bisherigen Zugangssystem und der entsprechenden Art und Weise der Bearbeitung der biometrischen Daten den Grundsatz der Verhältnismässigkeit verletzt. Diese Verletzung ist weder durch Einwilligung noch durch überwiegende private Interessen gerechtfertigt. Es kann damit offen gelassen werden, ob auch die Gefahr besteht, dass die Daten exportiert, kopiert und unbefugt weiterverarbeitet werden könnten, mithin die Datensicherheit nach Art. 7
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 7 Datensicherheit
1    Personendaten müssen durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden.
2    Der Bundesrat erlässt nähere Bestimmungen über die Mindestanforderungen an die Datensicherheit.
DSG nicht gewährleistet ist, wie dies der Kläger weiter vorbringt.
Aufgabe des Bundesverwaltungsgerichts ist es festzustellen, ob ein Zugangssystem datenschutzkonform ist. Es ist hingegen nicht dessen Aufgabe festzulegen, welche Art und Weise der Bearbeitung bei der Verwendung von biometrischen Daten angezeigt ist, mithin ein umfassendes (datenschutzkonformes) Zugangssystem zu liefern. Das vom Kläger vorgeschlagene System erscheint dem Bundesverwaltungsgericht auf den ersten Blick geeignet und den gesetzlichen Anforderungen an die Bearbeitung von biometrischen Daten gewachsen zu sein. Zumindest stellt es ein milderes Mittel im Sinne der Erforderlichkeit im Rahmen der Verhältnismässigkeitsprüfung dar. Da sich die Zuordnungsliste aus technischen Gründen nicht aus der zentralen Datenbank und daher nicht von den entsprechenden Templates entfernen lässt (Eingabe der Beklagten vom 16. März 2009), ist eine für die Beklagte weniger einschneidende Massnahme im Rahmen des vorliegenden Verfahrens nicht ersichtlich. Zur Überprüfung einer Zugangsberechtigung könnte es etwa ausreichen, die Templates ohne Zuordnungsliste zu speichern und bei der Einlasskontrolle lediglich zu prüfen, ob das präsentierte Merkmal in der Datenbank vorhanden ist. Zumindest zwischen den Matchingvorgängen bestünde dann für die
speichernde Stelle bei ausreichender Grösse der Datenbank keine Möglichkeit der Herstellung eines Personenbezugs (Gerrit Hornung, Der Personenbezug biometrischer Daten, in: Zeitschrift "Datenschutz und Datensicherheit", 28 [2004] 7, S. 430).
Der Beklagten steht es indes frei, von dem bisherigen System gänzlich abzusehen. Es besteht kein Grund, der Beklagten ein anderes Zugangssystem aufzuzwingen.

7.
Im Übrigen ist der Beklagten auch insofern nicht zu folgen als sie rügt, das Vorgehen des Klägers verletze den Grundsatz der Rechtsgleichheit und des Vertrauensschutzes, indem beispielsweise das Kontrollsystem der Bergbahnen nicht bemängelt werde und der Kläger im Rahmen ihres Beschaffungsprozesses keinen Einwand erhoben habe, obwohl gleichartige Systeme bereits im Einsatz gewesen seien.
7.1.1 Der Grundsatz des Vertrauensschutzes (Art. 9
SR 101 Bundesverfassung der Schweizerischen Eidgenossenschaft
BV Art. 9 Schutz vor Willkür und Wahrung von Treu und Glauben - Jede Person hat Anspruch darauf, von den staatlichen Organen ohne Willkür und nach Treu und Glauben behandelt zu werden.
BV) bedeutet, dass die Privaten Anspruch darauf haben, in ihrem berechtigten Vertrauen in behördliche Zusicherungen oder in anderes, bestimmte Erwartungen begründendes Verhalten der Behörden geschützt zu werden (HÄFELIN/MÜLLER/UHLMANN, a.a.O., Rz. 627). Damit sich jemand auf den Vertrauensschutz berufen kann wird u.a. eine Vertrauensgrundlage gefordert. Dabei kommt es auf den Bestimmtheitsgrad der Grundlage an, der so gross sein muss, dass der Private daraus die für seine Dispositionen massgebenden Informationen entnehmen kann (HÄFELIN/MÜLLER/UHLMANN, a.a.O., Rz. 631). Grundsätzlich hindert die vorübergehende Duldung eines rechtswidrigen Zustandes die Behörde nicht an der späteren Behebung dieses Zustandes. Eine Vertrauensgrundlage, die der Wiederherstellung der Rechtmässigkeit ganz oder teilweise entgegensteht, wird durch behördliche Untätigkeit nur in Ausnahmefällen geschaffen (HÄFELIN/MÜLLER/UHLMANN, a.a.O., Rz. 652). Weder kann sich die Beklagte vorliegend auf eine ausreichend bestimmte Vertrauensgrundlage stützen, wie etwa eine schriftliche oder mündliche Zusicherung des Klägers, noch kann sie sich im Sinne des Vertrauensschutzes darauf berufen, dass gleichartige - allenfalls
auch datenschutzwidrige - Systeme im Einsatz gewesen seien und der Kläger nicht eingeschritten sei. Ein Ausnahmefall ist hier nicht ersichtlich und wird von der Beklagten auch nicht geltend gemacht.
7.1.2 Wie nachfolgend aufgezeigt, kann sich diese auch nicht auf den Grundsatz der Gleichbehandlung berufen. Der Anspruch auf Gleichbehandlung verlangt, dass Rechte und Pflichten der Betroffenen nach dem gleichen Massstab festzusetzen sind. Gleiches ist nach Massgabe seiner Gleichheit gleich, Ungleiches nach Massgabe seiner Ungleichheit ungleich zu behandeln. Das Gleichheitsprinzip verbietet einerseits unterschiedliche Regelungen, denen keine rechtlich erheblichen Unterscheidungen zu Grunde liegen. Andererseits untersagt es aber auch die rechtliche Gleichbehandlung von Fällen, die sich in tatsächlicher Hinsicht wesentlich unterscheiden. Die Gleichbehandlung durch den Gesetzgeber oder die rechtsanwendende Behörde ist allerdings nicht nur dann geboten, wenn zwei Tatbestände in allen ihren tatsächlichen Elementen absolut identisch sind, sondern auch, wenn die im Hinblick auf die zu erlassende oder anzuwendende Norm relevanten Tatsachen gleich sind (HÄFELIN/MÜLLER/UHLMANN, a.a.O., Rz. 495). Der Grundsatz der Gesetzmässigkeit der Verwaltung geht dem Rechtsgleichheitsprinzip im Konfliktfall in der Regel vor. Wenn eine Behörde in einem Fall eine vom Gesetz abweichende Entscheidung getroffen hat, gibt das den Privaten, die sich in der
gleichen Lage befinden, grundsätzlich keinen Anspruch darauf, ebenfalls abweichend von der Norm behandelt zu werden (keine Gleichbehandlung im Unrecht). Dies gilt allerdings nur dann, wenn die abweichende Behandlung lediglich in einem einzigen oder in einigen wenigen Fällen erfolgt ist. Besteht hingegen eine eigentliche Praxis und lehnt es die Behörde ab, diese aufzugeben, so können Private verlangen, dass die widerrechtliche Begünstigung, die Dritten zuteil wurde, auch ihnen gewährt werde (Urteil des Bundesverwaltungsgerichts A-5541/2008 vom 2. Juli 2009 E. 5.1 mit Hinweisen; HÄFELIN/MÜLLER/UHLMANN, a.a.O., Rz. 518). Das von der Beklagten als Vergleich herangezogene Zugangssystem der Bergbahnen unterscheidet sich in wesentlichen Zügen von ihrem Zugangssystem. Wie der Kläger ausführt, waren die biometrischen Daten beim Zugangssystem der Bergbahnen in keiner Art und Weise Bestandteil der vorgenommenen Sachverhaltsabklärung, d.h. solche werden dabei offenbar auch nicht verwendet. Insofern unterscheiden sie sich in relevanten Tatsachen und taugen daher nicht für einen Vergleich. Im Übrigen ist der Kläger gewillt, die einmal entwickelte Rechtsprechung in Bezug auf die gleichartige Bearbeitung biometrischer Daten in sämtlichen
Bereichen anzuwenden und so einer einheitlichen Handhabung zu Durchbruch zu verhelfen.

8.
Aus diesen Gründen ist die Klage im Sinne der Erwägungen gutzuheissen.

9.
Gemäss Art. 69 Abs. 1
SR 273 Bundesgesetz über den Bundeszivilprozess
BZP Art. 69 Prozesskosten
1    Über die Prozesskosten entscheidet das Gericht von Amtes wegen nach den Artikeln 65, 66 und 68 BGG 1 . 2
2    Es bestimmt nach seinem Ermessen, ob mehrere Kläger oder Beklagte solidarisch und in welchem Verhältnis unter sich oder ob sie nach Kopfteilen oder entsprechend ihrer Beteiligung am Rechtsstreit kostenpflichtig oder ersatzberechtigt sind. Ebenso bestimmt es, inwieweit der Intervenient am die Gerichtskosten und die Entschädigung des Gegners der unterstützten Partei beitragspflichtig oder diesem gegenüber ersatzberechtigt ist.
3    Die Parteien sollen vor dem Urteil ein spezifiziertes Verzeichnis ihrer Kostenforderung einreichen.
BZP entscheidet das Gericht über die Prozesskosten von Amtes wegen nach den Art. 65
SR 173.110 Bundesgesetz über das Bundesgericht - Bundesgerichtsgesetz
BGG Art. 65 Gerichtskosten
1    Die Gerichtskosten bestehen in der Gerichtsgebühr, der Gebühr für das Kopieren von Rechtsschriften, den Auslagen für Übersetzungen, ausgenommen solche zwischen Amtssprachen, und den Entschädigungen für Sachverständige sowie für Zeugen und Zeuginnen.
2    Die Gerichtsgebühr richtet sich nach Streitwert, Umfang und Schwierigkeit der Sache, Art der Prozessführung und finanzieller Lage der Parteien.
3    Sie beträgt in der Regel:
a  in Streitigkeiten ohne Vermögensinteresse 200-5000 Franken;
b  in den übrigen Streitigkeiten 200-100 000 Franken.
4    Sie beträgt 200-1000 Franken und wird nicht nach dem Streitwert bemessen in Streitigkeiten:
a  über Sozialversicherungsleistungen;
b  über Diskriminierungen auf Grund des Geschlechts;
c  aus einem Arbeitsverhältnis mit einem Streitwert bis zu 30 000 Franken;
d  nach den Artikeln 7 und 8 des Behindertengleichstellungsgesetzes vom 13. Dezember 2002 1 .
5    Wenn besondere Gründe es rechtfertigen, kann das Bundesgericht bei der Bestimmung der Gerichtsgebühr über die Höchstbeträge hinausgehen, jedoch höchstens bis zum doppelten Betrag in den Fällen von Absatz 3 und bis zu 10 000 Franken in den Fällen von Absatz 4.
, 66
SR 173.110 Bundesgesetz über das Bundesgericht - Bundesgerichtsgesetz
BGG Art. 66 Erhebung und Verteilung der Gerichtskosten
1    Die Gerichtskosten werden in der Regel der unterliegenden Partei auferlegt. Wenn die Umstände es rechtfertigen, kann das Bundesgericht die Kosten anders verteilen oder darauf verzichten, Kosten zu erheben.
2    Wird ein Fall durch Abstandserklärung oder Vergleich erledigt, so kann auf die Erhebung von Gerichtskosten ganz oder teilweise verzichtet werden.
3    Unnötige Kosten hat zu bezahlen, wer sie verursacht.
4    Dem Bund, den Kantonen und den Gemeinden sowie mit öffentlich-rechtlichen Aufgaben betrauten Organisationen dürfen in der Regel keine Gerichtskosten auferlegt werden, wenn sie in ihrem amtlichen Wirkungskreis, ohne dass es sich um ihr Vermögensinteresse handelt, das Bundesgericht in Anspruch nehmen oder wenn gegen ihre Entscheide in solchen Angelegenheiten Beschwerde geführt worden ist.
5    Mehrere Personen haben die ihnen gemeinsam auferlegten Gerichtskosten, wenn nichts anderes bestimmt ist, zu gleichen Teilen und unter solidarischer Haftung zu tragen.
SR 173.110 Bundesgesetz über das Bundesgericht - Bundesgerichtsgesetz
BGG Art. 66 Erhebung und Verteilung der Gerichtskosten
1    Die Gerichtskosten werden in der Regel der unterliegenden Partei auferlegt. Wenn die Umstände es rechtfertigen, kann das Bundesgericht die Kosten anders verteilen oder darauf verzichten, Kosten zu erheben.
2    Wird ein Fall durch Abstandserklärung oder Vergleich erledigt, so kann auf die Erhebung von Gerichtskosten ganz oder teilweise verzichtet werden.
3    Unnötige Kosten hat zu bezahlen, wer sie verursacht.
4    Dem Bund, den Kantonen und den Gemeinden sowie mit öffentlich-rechtlichen Aufgaben betrauten Organisationen dürfen in der Regel keine Gerichtskosten auferlegt werden, wenn sie in ihrem amtlichen Wirkungskreis, ohne dass es sich um ihr Vermögensinteresse handelt, das Bundesgericht in Anspruch nehmen oder wenn gegen ihre Entscheide in solchen Angelegenheiten Beschwerde geführt worden ist.
5    Mehrere Personen haben die ihnen gemeinsam auferlegten Gerichtskosten, wenn nichts anderes bestimmt ist, zu gleichen Teilen und unter solidarischer Haftung zu tragen.
und 68
SR 173.110 Bundesgesetz über das Bundesgericht - Bundesgerichtsgesetz
BGG Art. 68 Parteientschädigung
1    Das Bundesgericht bestimmt im Urteil, ob und in welchem Mass die Kosten der obsiegenden Partei von der unterliegenden zu ersetzen sind.
2    Die unterliegende Partei wird in der Regel verpflichtet, der obsiegenden Partei nach Massgabe des Tarifs des Bundesgerichts alle durch den Rechtsstreit verursachten notwendigen Kosten zu ersetzen.
3    Bund, Kantonen und Gemeinden sowie mit öffentlich-rechtlichen Aufgaben betrauten Organisationen wird in der Regel keine Parteientschädigung zugesprochen, wenn sie in ihrem amtlichen Wirkungskreis obsiegen.
4    Artikel 66 Absätze 3 und 5 ist sinngemäss anwendbar.
5    Der Entscheid der Vorinstanz über die Parteientschädigung wird vom Bundesgericht je nach Ausgang des Verfahrens bestätigt, aufgehoben oder geändert. Dabei kann das Gericht die Entschädigung nach Massgabe des anwendbaren eidgenössischen oder kantonalen Tarifs selbst festsetzen oder die Festsetzung der Vorinstanz übertragen.
des Bundesgerichtsgesetzes vom 17. Juni 2005 (BGG, SR 173.110). Die Gerichtskosten bestehen in der Gerichtsgebühr, der Gebühr für das Kopieren von Rechtsschriften, den Auslagen für Übersetzungen, ausgenommen solche zwischen Amtssprachen, und den Entschädigungen für Sachverständige sowie für Zeugen und Zeuginnen. Die Gerichtsgebühr richtet sich nach Streitwert, Umfang und Schwierigkeit der Sache, Art der Prozessführung und finanzieller Lage der Parteien. Sie beträgt in der Regel zwischen 200-5000 Franken in Streitigkeiten ohne Vermögensinteresse (Art. 65 Abs. 1 bis
SR 173.110 Bundesgesetz über das Bundesgericht - Bundesgerichtsgesetz
BGG Art. 65 Gerichtskosten
1    Die Gerichtskosten bestehen in der Gerichtsgebühr, der Gebühr für das Kopieren von Rechtsschriften, den Auslagen für Übersetzungen, ausgenommen solche zwischen Amtssprachen, und den Entschädigungen für Sachverständige sowie für Zeugen und Zeuginnen.
2    Die Gerichtsgebühr richtet sich nach Streitwert, Umfang und Schwierigkeit der Sache, Art der Prozessführung und finanzieller Lage der Parteien.
3    Sie beträgt in der Regel:
a  in Streitigkeiten ohne Vermögensinteresse 200-5000 Franken;
b  in den übrigen Streitigkeiten 200-100 000 Franken.
4    Sie beträgt 200-1000 Franken und wird nicht nach dem Streitwert bemessen in Streitigkeiten:
a  über Sozialversicherungsleistungen;
b  über Diskriminierungen auf Grund des Geschlechts;
c  aus einem Arbeitsverhältnis mit einem Streitwert bis zu 30 000 Franken;
d  nach den Artikeln 7 und 8 des Behindertengleichstellungsgesetzes vom 13. Dezember 2002 1 .
5    Wenn besondere Gründe es rechtfertigen, kann das Bundesgericht bei der Bestimmung der Gerichtsgebühr über die Höchstbeträge hinausgehen, jedoch höchstens bis zum doppelten Betrag in den Fällen von Absatz 3 und bis zu 10 000 Franken in den Fällen von Absatz 4.
3 Bst. a BGG). Für das vorliegende Klageverfahren werden die Kosten auf Fr. 1'500.-- bestimmt.

9.1 Nach Art. 66
SR 173.110 Bundesgesetz über das Bundesgericht - Bundesgerichtsgesetz
BGG Art. 66 Erhebung und Verteilung der Gerichtskosten
1    Die Gerichtskosten werden in der Regel der unterliegenden Partei auferlegt. Wenn die Umstände es rechtfertigen, kann das Bundesgericht die Kosten anders verteilen oder darauf verzichten, Kosten zu erheben.
2    Wird ein Fall durch Abstandserklärung oder Vergleich erledigt, so kann auf die Erhebung von Gerichtskosten ganz oder teilweise verzichtet werden.
3    Unnötige Kosten hat zu bezahlen, wer sie verursacht.
4    Dem Bund, den Kantonen und den Gemeinden sowie mit öffentlich-rechtlichen Aufgaben betrauten Organisationen dürfen in der Regel keine Gerichtskosten auferlegt werden, wenn sie in ihrem amtlichen Wirkungskreis, ohne dass es sich um ihr Vermögensinteresse handelt, das Bundesgericht in Anspruch nehmen oder wenn gegen ihre Entscheide in solchen Angelegenheiten Beschwerde geführt worden ist.
5    Mehrere Personen haben die ihnen gemeinsam auferlegten Gerichtskosten, wenn nichts anderes bestimmt ist, zu gleichen Teilen und unter solidarischer Haftung zu tragen.
SR 173.110 Bundesgesetz über das Bundesgericht - Bundesgerichtsgesetz
BGG Art. 66 Erhebung und Verteilung der Gerichtskosten
1    Die Gerichtskosten werden in der Regel der unterliegenden Partei auferlegt. Wenn die Umstände es rechtfertigen, kann das Bundesgericht die Kosten anders verteilen oder darauf verzichten, Kosten zu erheben.
2    Wird ein Fall durch Abstandserklärung oder Vergleich erledigt, so kann auf die Erhebung von Gerichtskosten ganz oder teilweise verzichtet werden.
3    Unnötige Kosten hat zu bezahlen, wer sie verursacht.
4    Dem Bund, den Kantonen und den Gemeinden sowie mit öffentlich-rechtlichen Aufgaben betrauten Organisationen dürfen in der Regel keine Gerichtskosten auferlegt werden, wenn sie in ihrem amtlichen Wirkungskreis, ohne dass es sich um ihr Vermögensinteresse handelt, das Bundesgericht in Anspruch nehmen oder wenn gegen ihre Entscheide in solchen Angelegenheiten Beschwerde geführt worden ist.
5    Mehrere Personen haben die ihnen gemeinsam auferlegten Gerichtskosten, wenn nichts anderes bestimmt ist, zu gleichen Teilen und unter solidarischer Haftung zu tragen.
BGG werden die Gerichtskosten in der Regel der unterliegenden Partei auferlegt. Vorliegend besteht kein Anlass, von dieser Regel abzuweichen. Gemäss Ausgang dieses Verfahrens trägt daher die Beklagte als unterliegende Partei die Verfahrenskosten in der Höhe von Fr. 1'500.--. Der Betrag ist innert 30 Tagen nach Eintritt der Rechtskraft des vorliegenden Urteils zu Gunsten der Gerichtskasse zu überweisen.

9.2 Im Urteil wird bestimmt, ob und in welchem Mass die Kosten der obsiegenden Partei von der unterliegenden zu ersetzen sind. Bund, Kantonen und Gemeinden sowie mit öffentlich-rechtlichen Aufgaben betrauten Organisationen wird in der Regel keine Parteikostenentschädigung zugesprochen, wenn sie in ihrem amtlichen Wirkungskreis obsiegen (Art. 68 Abs. 1
SR 173.110 Bundesgesetz über das Bundesgericht - Bundesgerichtsgesetz
BGG Art. 68 Parteientschädigung
1    Das Bundesgericht bestimmt im Urteil, ob und in welchem Mass die Kosten der obsiegenden Partei von der unterliegenden zu ersetzen sind.
2    Die unterliegende Partei wird in der Regel verpflichtet, der obsiegenden Partei nach Massgabe des Tarifs des Bundesgerichts alle durch den Rechtsstreit verursachten notwendigen Kosten zu ersetzen.
3    Bund, Kantonen und Gemeinden sowie mit öffentlich-rechtlichen Aufgaben betrauten Organisationen wird in der Regel keine Parteientschädigung zugesprochen, wenn sie in ihrem amtlichen Wirkungskreis obsiegen.
4    Artikel 66 Absätze 3 und 5 ist sinngemäss anwendbar.
5    Der Entscheid der Vorinstanz über die Parteientschädigung wird vom Bundesgericht je nach Ausgang des Verfahrens bestätigt, aufgehoben oder geändert. Dabei kann das Gericht die Entschädigung nach Massgabe des anwendbaren eidgenössischen oder kantonalen Tarifs selbst festsetzen oder die Festsetzung der Vorinstanz übertragen.
und 3
SR 173.110 Bundesgesetz über das Bundesgericht - Bundesgerichtsgesetz
BGG Art. 68 Parteientschädigung
1    Das Bundesgericht bestimmt im Urteil, ob und in welchem Mass die Kosten der obsiegenden Partei von der unterliegenden zu ersetzen sind.
2    Die unterliegende Partei wird in der Regel verpflichtet, der obsiegenden Partei nach Massgabe des Tarifs des Bundesgerichts alle durch den Rechtsstreit verursachten notwendigen Kosten zu ersetzen.
3    Bund, Kantonen und Gemeinden sowie mit öffentlich-rechtlichen Aufgaben betrauten Organisationen wird in der Regel keine Parteientschädigung zugesprochen, wenn sie in ihrem amtlichen Wirkungskreis obsiegen.
4    Artikel 66 Absätze 3 und 5 ist sinngemäss anwendbar.
5    Der Entscheid der Vorinstanz über die Parteientschädigung wird vom Bundesgericht je nach Ausgang des Verfahrens bestätigt, aufgehoben oder geändert. Dabei kann das Gericht die Entschädigung nach Massgabe des anwendbaren eidgenössischen oder kantonalen Tarifs selbst festsetzen oder die Festsetzung der Vorinstanz übertragen.
BGG). Der obsiegende Kläger hat in diesem Sinne keinen Anspruch auf eine Parteikostenentschädigung.

Demnach erkennt das Bundesverwaltungsgericht:

1.
Die Klage wird im Sinne der Erwägungen gutgeheissen.

2.
Die Verfahrenskosten von Fr. 1'500.-- werden der Beklagten auferlegt. Der Betrag ist innert 30 Tagen nach Eintritt der Rechtskraft des vorliegenden Urteils zu Gunsten der Gerichtskasse zu überweisen. Die Zustellung des Einzahlungsscheins erfolgt mit separater Post.

3.
Es wird keine Parteikostenentschädigung gesprochen.

4.
Dieses Urteil geht an:
den Kläger (Gerichtsurkunde)
die Beklagte (Gerichtsurkunde)

Der vorsitzende Richter: Der Gerichtsschreiber:

André Moser Stefan von Gunten

Rechtsmittelbelehrung:
Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bundesgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen Angelegenheiten geführt werden (Art. 82 ff
SR 173.110 Bundesgesetz über das Bundesgericht - Bundesgerichtsgesetz
BGG Art. 82 Grundsatz - Das Bundesgericht beurteilt Beschwerden:
a  gegen Entscheide in Angelegenheiten des öffentlichen Rechts;
b  gegen kantonale Erlasse;
c  betreffend die politische Stimmberechtigung der Bürger und Bürgerinnen sowie betreffend Volkswahlen und -abstimmungen.
., 90 ff. und 100 des Bundesgerichtsgesetzes vom 17. Juni 2005 [BGG, SR 173.110]). Die Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten. Der angefochtene Entscheid und die Beweismittel sind, soweit sie die beschwerdeführende Partei in Händen hat, beizulegen (vgl. Art. 42
SR 173.110 Bundesgesetz über das Bundesgericht - Bundesgerichtsgesetz
BGG Art. 42 Rechtsschriften
1    Rechtsschriften sind in einer Amtssprache abzufassen und haben die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten.
2    In der Begründung ist in gedrängter Form darzulegen, inwiefern der angefochtene Akt Recht verletzt. Ist eine Beschwerde nur unter der Voraussetzung zulässig, dass sich eine Rechtsfrage von grundsätzlicher Bedeutung stellt oder aus anderen Gründen ein besonders bedeutender Fall vorliegt, so ist auszuführen, warum die jeweilige Voraussetzung erfüllt ist. 1 2
3    Die Urkunden, auf die sich die Partei als Beweismittel beruft, sind beizulegen, soweit die Partei sie in Händen hat; richtet sich die Rechtsschrift gegen einen Entscheid, so ist auch dieser beizulegen.
4    Bei elektronischer Einreichung muss die Rechtsschrift von der Partei oder ihrem Vertreter beziehungsweise ihrer Vertreterin mit einer qualifizierten elektronischen Signatur gemäss Bundesgesetz vom 18. März 2016 3 über die elektronische Signatur versehen werden. Das Bundesgericht bestimmt in einem Reglement:
a  das Format der Rechtsschrift und ihrer Beilagen;
b  die Art und Weise der Übermittlung;
c  die Voraussetzungen, unter denen bei technischen Problemen die Nachreichung von Dokumenten auf Papier verlangt werden kann. 4
5    Fehlen die Unterschrift der Partei oder ihrer Vertretung, deren Vollmacht oder die vorgeschriebenen Beilagen oder ist die Vertretung nicht zugelassen, so wird eine angemessene Frist zur Behebung des Mangels angesetzt mit der Androhung, dass die Rechtsschrift sonst unbeachtet bleibt.
6    Unleserliche, ungebührliche, unverständliche, übermässig weitschweifige oder nicht in einer Amtssprache verfasste Rechtsschriften können in gleicher Weise zur Änderung zurückgewiesen werden.
7    Rechtsschriften, die auf querulatorischer oder rechtsmissbräuchlicher Prozessführung beruhen, sind unzulässig.
BGG).

Versand:
Entscheidinformationen   •   DEFRITEN
Entscheid : A-3908/2008
Datum : 04. August 2009
Publiziert : 12. August 2009
Gericht : Bundesverwaltungsgericht
Status : Publiziert als BVGE-2009-44
Sachgebiet : Datenschutz und Öffentlichkeitsprinzip
Regeste : Umsetzung einer Empfehlung des EDÖB


Gesetzesregister
BGG: 42 
SR 173.110 Bundesgesetz über das Bundesgericht - Bundesgerichtsgesetz
BGG Art. 42 Rechtsschriften
1    Rechtsschriften sind in einer Amtssprache abzufassen und haben die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten.
2    In der Begründung ist in gedrängter Form darzulegen, inwiefern der angefochtene Akt Recht verletzt. Ist eine Beschwerde nur unter der Voraussetzung zulässig, dass sich eine Rechtsfrage von grundsätzlicher Bedeutung stellt oder aus anderen Gründen ein besonders bedeutender Fall vorliegt, so ist auszuführen, warum die jeweilige Voraussetzung erfüllt ist. 1 2
3    Die Urkunden, auf die sich die Partei als Beweismittel beruft, sind beizulegen, soweit die Partei sie in Händen hat; richtet sich die Rechtsschrift gegen einen Entscheid, so ist auch dieser beizulegen.
4    Bei elektronischer Einreichung muss die Rechtsschrift von der Partei oder ihrem Vertreter beziehungsweise ihrer Vertreterin mit einer qualifizierten elektronischen Signatur gemäss Bundesgesetz vom 18. März 2016 3 über die elektronische Signatur versehen werden. Das Bundesgericht bestimmt in einem Reglement:
a  das Format der Rechtsschrift und ihrer Beilagen;
b  die Art und Weise der Übermittlung;
c  die Voraussetzungen, unter denen bei technischen Problemen die Nachreichung von Dokumenten auf Papier verlangt werden kann. 4
5    Fehlen die Unterschrift der Partei oder ihrer Vertretung, deren Vollmacht oder die vorgeschriebenen Beilagen oder ist die Vertretung nicht zugelassen, so wird eine angemessene Frist zur Behebung des Mangels angesetzt mit der Androhung, dass die Rechtsschrift sonst unbeachtet bleibt.
6    Unleserliche, ungebührliche, unverständliche, übermässig weitschweifige oder nicht in einer Amtssprache verfasste Rechtsschriften können in gleicher Weise zur Änderung zurückgewiesen werden.
7    Rechtsschriften, die auf querulatorischer oder rechtsmissbräuchlicher Prozessführung beruhen, sind unzulässig.
65 
SR 173.110 Bundesgesetz über das Bundesgericht - Bundesgerichtsgesetz
BGG Art. 65 Gerichtskosten
1    Die Gerichtskosten bestehen in der Gerichtsgebühr, der Gebühr für das Kopieren von Rechtsschriften, den Auslagen für Übersetzungen, ausgenommen solche zwischen Amtssprachen, und den Entschädigungen für Sachverständige sowie für Zeugen und Zeuginnen.
2    Die Gerichtsgebühr richtet sich nach Streitwert, Umfang und Schwierigkeit der Sache, Art der Prozessführung und finanzieller Lage der Parteien.
3    Sie beträgt in der Regel:
a  in Streitigkeiten ohne Vermögensinteresse 200-5000 Franken;
b  in den übrigen Streitigkeiten 200-100 000 Franken.
4    Sie beträgt 200-1000 Franken und wird nicht nach dem Streitwert bemessen in Streitigkeiten:
a  über Sozialversicherungsleistungen;
b  über Diskriminierungen auf Grund des Geschlechts;
c  aus einem Arbeitsverhältnis mit einem Streitwert bis zu 30 000 Franken;
d  nach den Artikeln 7 und 8 des Behindertengleichstellungsgesetzes vom 13. Dezember 2002 1 .
5    Wenn besondere Gründe es rechtfertigen, kann das Bundesgericht bei der Bestimmung der Gerichtsgebühr über die Höchstbeträge hinausgehen, jedoch höchstens bis zum doppelten Betrag in den Fällen von Absatz 3 und bis zu 10 000 Franken in den Fällen von Absatz 4.
66 
SR 173.110 Bundesgesetz über das Bundesgericht - Bundesgerichtsgesetz
BGG Art. 66 Erhebung und Verteilung der Gerichtskosten
1    Die Gerichtskosten werden in der Regel der unterliegenden Partei auferlegt. Wenn die Umstände es rechtfertigen, kann das Bundesgericht die Kosten anders verteilen oder darauf verzichten, Kosten zu erheben.
2    Wird ein Fall durch Abstandserklärung oder Vergleich erledigt, so kann auf die Erhebung von Gerichtskosten ganz oder teilweise verzichtet werden.
3    Unnötige Kosten hat zu bezahlen, wer sie verursacht.
4    Dem Bund, den Kantonen und den Gemeinden sowie mit öffentlich-rechtlichen Aufgaben betrauten Organisationen dürfen in der Regel keine Gerichtskosten auferlegt werden, wenn sie in ihrem amtlichen Wirkungskreis, ohne dass es sich um ihr Vermögensinteresse handelt, das Bundesgericht in Anspruch nehmen oder wenn gegen ihre Entscheide in solchen Angelegenheiten Beschwerde geführt worden ist.
5    Mehrere Personen haben die ihnen gemeinsam auferlegten Gerichtskosten, wenn nichts anderes bestimmt ist, zu gleichen Teilen und unter solidarischer Haftung zu tragen.
68 
SR 173.110 Bundesgesetz über das Bundesgericht - Bundesgerichtsgesetz
BGG Art. 68 Parteientschädigung
1    Das Bundesgericht bestimmt im Urteil, ob und in welchem Mass die Kosten der obsiegenden Partei von der unterliegenden zu ersetzen sind.
2    Die unterliegende Partei wird in der Regel verpflichtet, der obsiegenden Partei nach Massgabe des Tarifs des Bundesgerichts alle durch den Rechtsstreit verursachten notwendigen Kosten zu ersetzen.
3    Bund, Kantonen und Gemeinden sowie mit öffentlich-rechtlichen Aufgaben betrauten Organisationen wird in der Regel keine Parteientschädigung zugesprochen, wenn sie in ihrem amtlichen Wirkungskreis obsiegen.
4    Artikel 66 Absätze 3 und 5 ist sinngemäss anwendbar.
5    Der Entscheid der Vorinstanz über die Parteientschädigung wird vom Bundesgericht je nach Ausgang des Verfahrens bestätigt, aufgehoben oder geändert. Dabei kann das Gericht die Entschädigung nach Massgabe des anwendbaren eidgenössischen oder kantonalen Tarifs selbst festsetzen oder die Festsetzung der Vorinstanz übertragen.
82
SR 173.110 Bundesgesetz über das Bundesgericht - Bundesgerichtsgesetz
BGG Art. 82 Grundsatz - Das Bundesgericht beurteilt Beschwerden:
a  gegen Entscheide in Angelegenheiten des öffentlichen Rechts;
b  gegen kantonale Erlasse;
c  betreffend die politische Stimmberechtigung der Bürger und Bürgerinnen sowie betreffend Volkswahlen und -abstimmungen.
BV: 9 
SR 101 Bundesverfassung der Schweizerischen Eidgenossenschaft
BV Art. 9 Schutz vor Willkür und Wahrung von Treu und Glauben - Jede Person hat Anspruch darauf, von den staatlichen Organen ohne Willkür und nach Treu und Glauben behandelt zu werden.
13
SR 101 Bundesverfassung der Schweizerischen Eidgenossenschaft
BV Art. 13 Schutz der Privatsphäre
1    Jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihres Brief-, Post- und Fernmeldeverkehrs.
2    Jede Person hat Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten.
BZP: 3 
SR 273 Bundesgesetz über den Bundeszivilprozess
BZP Art. 3 Richterpflicht
1    Der Richter prüft von Amtes wegen die Zulässigkeit der Klage und aller weiteren Prozesshandlungen.
2    Der Richter darf über die Rechtsbegehren der Parteien nicht hinausgehen und sein Urteil nur auf Tatsachen gründen, die im Verfahren geltend gemacht worden sind. Er soll jedoch die Parteien auf unzulängliche Rechtsbegehren aufmerksam machen und darauf hinwirken, dass sie Tatsachen und Beweismittel, die für die Feststellung des wahren Tatbestandes notwendig erscheinen, vollständig angeben. Zu diesem Instruktionszwecke kann er jederzeit die Parteien persönlich einvernehmen.
69 
SR 273 Bundesgesetz über den Bundeszivilprozess
BZP Art. 69 Prozesskosten
1    Über die Prozesskosten entscheidet das Gericht von Amtes wegen nach den Artikeln 65, 66 und 68 BGG 1 . 2
2    Es bestimmt nach seinem Ermessen, ob mehrere Kläger oder Beklagte solidarisch und in welchem Verhältnis unter sich oder ob sie nach Kopfteilen oder entsprechend ihrer Beteiligung am Rechtsstreit kostenpflichtig oder ersatzberechtigt sind. Ebenso bestimmt es, inwieweit der Intervenient am die Gerichtskosten und die Entschädigung des Gegners der unterstützten Partei beitragspflichtig oder diesem gegenüber ersatzberechtigt ist.
3    Die Parteien sollen vor dem Urteil ein spezifiziertes Verzeichnis ihrer Kostenforderung einreichen.
73 
SR 273 Bundesgesetz über den Bundeszivilprozess
BZP Art. 73 Gerichtlicher Vergleich und Abstand
1    Der vor dem Richter erklärte oder dem Richter zur Verurkundung im Protokoll eingereichte Vergleich der Parteien und der Abstand einer Partei beenden den Rechtsstreit.
2    In den gerichtlichen Vergleich können ausserhalb des Prozesses liegende Streitfragen zwischen den Parteien und einer Partei mit Dritten einbezogen werden, sofern es der Beilegung des Prozesses dient.
3    Ist die Einrede erhoben worden, der Anspruch sei nicht fällig oder er sei von einer Bedingung abhängig, oder ist ein Prozessmangel gerügt worden, so kann der Kläger die Klage unter dem Vorbehalt zurücknehmen, sie nach Eintritt der Fälligkeit oder der Bedingung oder nach Behebung des Prozessmangels wieder einzureichen.
4    Gerichtlicher Vergleich und Abstand sind wie das Urteil vollstreckbar.
79 
SR 273 Bundesgesetz über den Bundeszivilprozess
BZP Art. 79 Fälle
1    Vorsorgliche Verfügungen können getroffen werden:
a  zum Schutze des Besitzes gegen verbotene Eigenmacht und widerrechtliche Vorenthaltung;
b  zur Abwehr eines drohenden, nicht leicht wieder gutzumachenden Nachteils, insbesondere durch Veränderung des bestehenden Zustandes vor oder während der Rechtshängigkeit des Anspruchs.
2    Ausgeschlossen ist die vorsorgliche Verfügung zur Sicherung von Forderungen, die dem Bundesgesetz vom 11. April 1889 1 über Schuldbetreibung- und Konkurs unterliegen.
85
SR 273 Bundesgesetz über den Bundeszivilprozess
BZP Art. 85 Vorbehalt besonderer Vorschriften - Vorbehalt besonderer Vorschriften Die besondern Vorschriften anderer Bundesgesetze über vorsorgliche Verfügungen bleiben vorbehalten.
DSG: 2 
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 2 Geltungsbereich
1    Dieses Gesetz gilt für das Bearbeiten von Daten natürlicher und juristischer Personen durch:
a  private Personen;
b  Bundesorgane.
2    Es ist nicht anwendbar auf:
a  Personendaten, die eine natürliche Person ausschliesslich zum persönlichen Gebrauch bearbeitet und nicht an Aussenstehende bekannt gibt;
b  Beratungen in den Eidgenössischen Räten und in den parlamentarischen Kommissionen;
c  hängige Zivilprozesse, Strafverfahren, Verfahren der internationalen Rechtshilfe sowie staats- und verwaltungsrechtliche Verfahren mit Ausnahme erstinstanzlicher Verwaltungsverfahren;
d  öffentliche Register des Privatrechtsverkehrs;
e  Personendaten, die das Internationale Komitee vom Roten Kreuz bearbeitet.
3 
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 3 Begriffe - Die folgenden Ausdrücke bedeuten:
1  Bundesgesetze,
2  für die Schweiz verbindliche Beschlüsse internationaler Organisationen und von der Bundesversammlung genehmigte völkerrechtliche Verträge mit rechtsetzendem Inhalt;
3  Massnahmen der sozialen Hilfe,
4  administrative oder strafrechtliche Verfolgungen und Sanktionen;
a  Personendaten (Daten):alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen;
b  betroffene Personen:natürliche oder juristische Personen, über die Daten bearbeitet werden;
c  besonders schützenswerte Personendaten:Daten über:
d  Persönlichkeitsprofil:eine Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt;
e  Bearbeiten:jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben, Archivieren oder Vernichten von Daten;
f  Bekanntgeben:das Zugänglichmachen von Personendaten wie das Einsichtgewähren, Weitergeben oder Veröffentlichen;
g  Datensammlung:jeder Bestand von Personendaten, der so aufgebaut ist, dass die Daten nach betroffenen Personen erschliessbar sind;
h  Bundesorgane:Behörden und Dienststellen des Bundes sowie Personen, soweit sie mit öffentlichen Aufgaben des Bundes betraut sind;
i  Inhaber der Datensammlung:private Personen oder Bundesorgane, die über den Zweck und den Inhalt der Datensammlung entscheiden;
j  Gesetz im formellen Sinn:
4 
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 4 Grundsätze
1    Personendaten dürfen nur rechtmässig bearbeitet werden. 1
2    Ihre Bearbeitung hat nach Treu und Glauben zu erfolgen und muss verhältnismässig sein.
3    Personendaten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist.
4    Die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung müssen für die betroffene Person erkennbar sein. 2
5    Ist für die Bearbeitung von Personendaten die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung erst gültig, wenn sie nach angemessener Information freiwillig erfolgt. Bei der Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen muss die Einwilligung zudem ausdrücklich erfolgen. 3
7 
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 7 Datensicherheit
1    Personendaten müssen durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden.
2    Der Bundesrat erlässt nähere Bestimmungen über die Mindestanforderungen an die Datensicherheit.
12 
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 12 Persönlichkeitsverletzungen
1    Wer Personendaten bearbeitet, darf dabei die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen.
2    Er darf insbesondere nicht:
a  Personendaten entgegen den Grundsätzen der Artikel 4, 5 Absatz 1 und 7 Absatz 1 bearbeiten;
b  ohne Rechtfertigungsgrund Daten einer Person gegen deren ausdrücklichen Willen bearbeiten;
c  ohne Rechtfertigungsgrund besonders schützenswerte Personendaten oder Persönlichkeitsprofile Dritten bekanntgeben. 1
3    In der Regel liegt keine Persönlichkeitsverletzung vor, wenn die betroffene Person die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat.
13 
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 13 Rechtfertigungsgründe
1    Eine Verletzung der Persönlichkeit ist widerrechtlich, wenn sie nicht durch Einwilligung des Verletzten, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist.
2    Ein überwiegendes Interesse der bearbeitenden Person fällt insbesondere in Betracht, wenn diese:
a  in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags Personendaten über ihren Vertragspartner bearbeitet;
b  mit einer anderen Person in wirtschaftlichem Wettbewerb steht oder treten will und zu diesem Zweck Personendaten bearbeitet, ohne diese Dritten bekannt zu geben;
c  zur Prüfung der Kreditwürdigkeit einer anderen Person weder besonders schützenswerte Personendaten noch Persönlichkeitsprofile bearbeitet und Dritten nur Daten bekannt gibt, die sie für den Abschluss oder die Abwicklung eines Vertrages mit der betroffenen Person benötigen;
d  beruflich Personendaten ausschliesslich für die Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet;
e  Personendaten zu nicht personenbezogenen Zwecken insbesondere in der Forschung, Planung und Statistik bearbeitet und die Ergebnisse so veröffentlicht, dass die betroffenen Personen nicht bestimmbar sind;
f  Daten über eine Person des öffentlichen Lebens sammelt, sofern sich die Daten auf das Wirken dieser Person in der Öffentlichkeit beziehen.
29 
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 29 Abklärungen und Empfehlungen im Privatrechtsbereich
1    Der Beauftragte klärt von sich aus oder auf Meldung Dritter hin den Sachverhalt näher ab, wenn:
a  Bearbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Systemfehler);
b  Datensammlungen registriert werden müssen (Art. 11 a);
c  eine Informationspflicht nach Artikel 6 Absatz 3 besteht.
2    Er kann dabei Akten herausverlangen, Auskünfte einholen und sich Datenbearbeitungen vorführen lassen. Das Zeugnisverweigerungsrecht nach Artikel 16 des Verwaltungsverfahrensgesetzes 3 gilt sinngemäss.
3    Der Beauftragte kann aufgrund seiner Abklärungen empfehlen, das Bearbeiten zu ändern oder zu unterlassen.
4    Wird eine solche Empfehlung des Beauftragten nicht befolgt oder abgelehnt, so kann er die Angelegenheit dem Bundesverwaltungsgericht zum Entscheid vorlegen. Er ist berechtigt, gegen diesen Entscheid Beschwerde zu führen. 4
36
SR 235.1 Bundesgesetz über den Datenschutz
DSG Art. 36 Vollzug
1    Der Bundesrat erlässt die Ausführungsbestimmungen.
2    … 1
3    Er kann für die Auskunftserteilung durch diplomatische und konsularische Vertretungen der Schweiz im Ausland Abweichungen von den Artikeln 8 und 9 vorsehen.
4    Er kann ferner bestimmen:
a  welche Datensammlungen ein Bearbeitungsreglement benötigen;
b  unter welchen Voraussetzungen ein Bundesorgan Personendaten durch einen Dritten bearbeiten lassen oder für Dritte bearbeiten darf;
c  wie die Mittel zur Identifikation von Personen verwendet werden dürfen.
5    Er kann völkerrechtliche Verträge über den Datenschutz abschliessen, wenn sie den Grundsätzen dieses Gesetzes entsprechen.
6    Er regelt, wie Datensammlungen zu sichern sind, deren Daten im Kriegs- oder Krisenfall zu einer Gefährdung von Leib und Leben der betroffenen Personen führen können.
VGG: 35 
SR 173.32 Bundesgesetz über das Bundesverwaltungsgericht - Verwaltungsgerichtsgesetz
VGG Art. 35 Grundsatz - Das Bundesverwaltungsgericht beurteilt auf Klage als erste Instanz:
a  Streitigkeiten aus öffentlich-rechtlichen Verträgen des Bundes, seiner Anstalten und Betriebe und der Organisationen im Sinne von Artikel 33 Buchstabe h;
b  Streitigkeiten über Empfehlungen des Datenschutzbeauftragten im Privatrechtsbereich (Art. 29 Abs. 4 des BG vom 19. Juni 1992 1 über den Datenschutz);
c  Streitigkeiten zwischen Bund und Nationalbank betreffend die Vereinbarungen über Bankdienstleistungen und die Vereinbarung über die Gewinnausschüttung;
d  Ersuchen um Einziehung von Vermögenswerten nach dem Bundesgesetz vom 18. Dezember 2015 3 über die Sperrung und die Rückerstattung unrechtmässig erworbener Vermögenswerte ausländischer politisch exponierter Personen.
44
SR 173.32 Bundesgesetz über das Bundesverwaltungsgericht - Verwaltungsgerichtsgesetz
VGG Art. 44
1    Entscheidet das Bundesverwaltungsgericht als erste Instanz, so richtet sich das Verfahren nach den Artikeln 3-73 und 79-85 des Bundesgesetzes vom 4. Dezember 1947 1 über den Bundeszivilprozess.
2    Das Bundesverwaltungsgericht stellt den Sachverhalt von Amtes wegen fest.
3    Die Gerichtsgebühren und die Parteientschädigung richten sich nach den Artikeln 63-65 VwVG 2 . 3
BGE Register
114-IA-350 • 117-IB-197 • 119-II-456 • 122-II-193
Stichwortregister
Sortiert nach Häufigkeit oder Alphabet
beklagter • betroffene person • bundesverwaltungsgericht • fingerabdruck • personendaten • datenbank • bergbahn • datenschutz • privates interesse • stelle • biometrie • weiler • tag • erforderlichkeit • benutzung • schwimmbad • klageantwort • adresse • sprache • abonnement
... Alle anzeigen
BVGer
A-3908/2008 • A-5541/2008
BBl
2003/2127