Sachverhaltsabklärung Swiss Pass

Ende 2015 führten wir eine Sachverhaltsabklärung zum «Swiss Pass» der SBB und des Verbands öffentlicher Verkehr (VöV) durch. Wir kamen dabei zum Schluss, dass die bei den Fahrscheinkontrollen durchgeführten Datenbearbeitungen weder verhältnismässig waren noch auf einer genügenden gesetzlichen Grundlage beruhten. Folglich haben wir gegenüber dem VöV und den SBB eine Empfehlung zur Behebung der festgestellten Mängel erlassen.

Die SBB und der VöV setzten uns am 3. März 2015 über das Projekt Swiss Pass in Kenntnis - eine Woche vor der Orientierung der Medien. Dabei handelte es sich um eine reine Vorinformation, in welcher uns die wichtigsten Aspekte des Projekts präsentiert wurden. Seit dem 1. August 2015 werden alle General- und Halbtaxabonnemente laufend durch den Swiss Pass ersetzt. Dieser bietet zusätzlich Zugang zu Partnerdiensten wie Mobility Carsharing, Publibike, SchweizMobil oder einigen Skigebieten.

Ende 2015 führten wir eine Sachverhaltsabklärung zum SwissPass und den damit zusammenhängenden Datenbearbeitungen durch. Dabei prüften wir insbesondere auch die Kontrolldatenbank. Wir konnten Folgendes feststellen:

Unmittelbar nach dem Kauf eines GA oder eines Halbtaxabonnements werden die Kundendaten in die zentrale Kunden- und Abonnementsdatenbank (KUBA) eingetragen. Bei den Kontrollen legt das Zugbegleitpersonal ein Lesegerät, das eine lokale Kopie der Abonnementsdaten enthält, auf den Swiss Pass, um diesen zu scannen. Dabei werden die Identitätsdaten, Art des Abonnements sowie dessen Gültigkeit (gültig, teilgültig, ungültig) auf dem Bildschirm des Lesegerätes angezeigt. Die Kontrolldaten, unter anderem bestehend aus Uhrzeit, Zug- und Kursnummer sowie der Verknüpfung zur Swiss-Pass-Ausweisnummer, werden anschliessend in die Kontrolldatenbank hochgeladen und dort während 90 Tagen aufbewahrt.

Die SBB wurden vom VöV mit der Marktbearbeitung und mit der Führung der Swiss-Pass-Datenbanken beauftragt und sind auch für die Behandlung von Auskunftsgesuchen zuständig. Die Kunden- und Leistungsdaten werden, sofern kein ausdrücklicher Einwand (Opt-out) der Kunden erfolgte, auch zu Marketingzwecken verwendet. Die Kontrolldaten selbst werden weder zu Marketingzwecken bearbeitet noch an Dritte bekannt gegeben.

Aufgrund unserer Abklärungen kamen wir zum Schluss, dass die in Zusammenhang mit der Kontrolldatenbank durchgeführten Datenbearbeitungen weder verhältnismässig sind noch auf einer genügenden gesetzlichen Grundlage beruhen. Folglich erliessen wir gegenüber dem VöV und den SBB eine Empfehlung, in welcher wir die unverzügliche Löschung der Kontrolldaten und die Einstellung des Betriebs der Kontrolldatenbank verlangten. Weiter machten wir einen Verbesserungsvorschlag zur Formulierung der AGB zum GA und zum Halbtaxabonnement, um sicherzustellen, dass die Information zur Verwendung der Daten zu Marketingzwecken und zum Opt-out auf klare und angemessene Weise erfolgt.

Am 4. Januar 2016 haben wir unseren Schlussbericht dem VöV und den SBB geschickt. Sie haben unsere Empfehlung und die Verbesserungsvorschläge angenommen. Wir werden die Umsetzung noch in diesem Jahr prüfen.

https://www.edoeb.admin.ch/content/edoeb/de/home/dokumentation/taetigkeitsberichte/23--taetigkeitsbericht-2015-2016/sachverhaltsabklaerung-swiss-pass.html