Zentrale Speicherung von Kundenfotos bei Skistationen

Mit der PhotoCompare-Funktion der Firma Skidata wird bei Skipass-Kontrollen stärker in die Persönlichkeit der Kunden eingegriffen als mit herkömmlichen Verfahren. Deren Einsatz ist daher auf Abonnemente mit langer Gültigkeitsdauer zu beschränken. Die Kunden müssen speziell informiert und die Daten dürfen nur für kurze Zeit aufbewahrt werden.

Die in vielen Skistationen praktizierte Zutrittskontrolle mittels Fotoabonnementskarte wirft einige datenschutzrechtliche Fragen auf. Wir haben uns deshalb in der Vergangenheit wiederholt damit befasst (vgl. etwa unseren 22. Tätigkeitsbericht 2014/2015, Ziffer 1.2.3). In der Zwischenzeit wurden diese Systeme weiterentwickelt und durch zusätzliche Funktionen ergänzt. Insbesondere sollen die Skistationen die Möglichkeit erhalten, Abonnementsnutzungen auch nachträglich kontrollieren zu können.

Die PhotoCompare-Funktion der Firma Ski Data dient diesem Zweck. Bei jedem Passieren eines Drehkreuzes wird vom Gast ein Kontrollfoto erstellt. Es kann zu einem beliebigen Zeitpunkt mit dem zentral in der Abonnementsdatenbank hinterlegten Referenzfoto verglichen werden. Damit erhalten die Skistationen einerseits die Möglichkeit, in Zeiten mit hoher Besucherfrequenz Kontrollen aufzuschieben und diese in einem günstigeren Zeitpunkt nachzuholen. Andererseits ist es mit Hilfe dieser Funktion möglich, systematische und über einen längeren Zeitraum andauernde Missbräuche von Abonnementen zu entdecken und zu ahnden. Skistationen begründen den Einsatz dieser Funktion denn auch mit der offenbar gestiegenen Anzahl von Missbrauchsfällen. Wir haben die Funktion aufgrund diverser Anfragen betroffener Personen und auf Wunsch der Herstellerin analysiert und sind dabei zu folgendem Schluss gelangt:

Mit der PhotoCompare-Funktion wird stärker in die Persönlichkeitsrechte der Kunden eingegriffen als mit herkömmlichen Zutrittskontrollen. Überspitzt formuliert, werden sämtliche Gäste einem Generalverdacht unterstellt und Daten auf Vorrat gespeichert, was unter datenschutzrechtlichen Aspekten stets heikel ist. Daher ist bei deren Verwendung nebst den für Zutrittskontrollsysteme allgemein einzuhaltenden Rahmenbedingungen (vgl. unseren 22. Tätigkeitsbericht 2014/2015, Ziffer 1.2.3) insbesondere Folgendes zu beachten:

Der Einsatz von PhotoCompare rechtfertigt sich nur bei Abonnementen mit höherem Wert, also insbesondere bei Saison- oder Wochenkarten. Bei Karten mit kurzer Gültigkeitsdauer ist auf den Einsatz der Funktion hingegen zu verzichten. Das System von Skidata erlaubt entsprechende Einstellungen, damit nur bei bestimmten Abonnementskategorien Kontrollfotos erstellt werden.

Beim Einsatz von PhotoCompare müssen die Gäste vorab in den Allgemeinen Geschäftsbedingungen (AGB) oder spezifischen Datenschutzbestimmungen sowie vor Ort mit gut sichtbaren Hinweisschildern darüber informiert werden, dass sie beim Passieren der Drehkreuze fotografiert werden können. Dies dient nicht nur der Einhaltung des Transparenzgrundsatzes, sondern nach unseren Erfahrungen auch der Akzeptanz des Systems bei den betroffenen Personen.

Die Kontrollfotos dürfen nur für einige Tage aufbewahrt werden. Die Speicherdauer kann dabei im System individuell eingestellt werden. Die von einigen Skistationen praktizierte Speicherung der Vergleichsfotos während der gesamten Gültigkeitsdauer des Abonnements kann unter Umständen problematisch sein:

Bei Saison- oder Jahreskarten führt dies zu einer Speicherdauer von mehreren Monaten bis hin zu einem Jahr. Diese sehr lange Speicherdauer wird zwar damit begründet, dass Missbrauchs- und Betrugsfälle, die über einen längeren Zeitraum andauern, aufgedeckt und dokumentiert werden können. Hierfür würden aber die Daten sämtlicher (also auch aller sich korrekt verhaltender) Inhaber von Abonnementen mit längerer Gültigkeitsdauer gespeichert. Der daraus gewonnene Mehrwert wäre aus unserer Sicht deshalb fraglich.

Mit Hilfe der Fotovergleich-Funktion können die Abonnementsnutzungen täglich (oder zumindest alle paar Tage) detailliert kontrolliert und Missbrauchsfälle damit sofort entdeckt werden (was nach den uns bekannten Tarifbestimmungen der meisten Skistationen zu einem sofortigen Entzug des Abonnements führt). Deshalb ist eine längere Aufbewahrung der Bilder der sich korrekt verhaltenden Personen nicht notwendig. Die Betreiber müssen diese folglich löschen und dürfen einzig diejenigen Bilder weiterhin speichern, die einen allfälligen Missbrauch dokumentieren. Mit den übrigen Logdaten können auffällige Nutzungsmuster über einen längeren Zeitraum entdeckt und anschliessend gezielt abgeklärt werden, ohne derart stark in die Persönlichkeitsrechte sämtlicher Kunden einzugreifen.

https://www.edoeb.admin.ch/content/edoeb/de/home/dokumentation/taetigkeitsberichte/23--taetigkeitsbericht-2015-2016/zentrale-speicherung-von-kundenfotos-bei-skistationen.html