Schlussbericht vom 3. März 2023 mit Ergänzungen vom 17. Mai 2023 des EDÖB in Sachen Once Dating AG gemäss Art. 29 DSG

3.2.3. Einhaltung des Transparenzgrundsatzes (Art. 4 Abs. 4 DSG) und der

3.2.3.2. Erkennbarkeit der Bearbeitungszwecke und der Rahmenbedingungen der

3.2.3.4. Erkennbarkeit der verwendeten Garantien für die Übermittlung von Daten ins Ausland

3.3.1. Grundsatz der Rechtmässigkeit (Art. 4 Abs. 1), von Treu und Glauben und der

3.5.1.2. Periodische Evaluation der Sicherheitsmassnahmen und Durchführung von

Abbildungsverzeichnis

1. Einführung

1.1. Ausgangslage

1. Dating-Apps und -Webseiten spielen bei der Partnersuche eine zunehmend bedeutsame Rolle in der Schweiz: 19,7% der Paare, die in den letzten 5 Jahren in eine Beziehung getreten sind, haben sich gemäss Angaben des Bundesamts für Statistik online über eine Partnerbörse, eine Dating-App oder ein soziales Netzwerk 1 kennen gelernt. Solche Dating-Apps und -Webseiten unterscheiden sich von klassischen Vermittlungsagenturen, welche vergleichsweise klein und noch mehrheitlich «analog» tätig sind, indem sie Personendaten (unter anderem auch besonders schützenswerte Daten) von einer Mehrzahl von Kunden über ein Internetportal oder eine App für Mobilgeräte erheben und diese teil- oder vollautomatisch bearbeiten, um einen geeigneten Partner zu vermitteln.

2. Im Dezember 2020 wurde der EDÖB darauf aufmerksam gemacht, dass die Nutzer der Dating-App Once keine Möglichkeit hätten, ein Konto über die Applikation zu löschen, und dass der Betreiber dieser App, die Once Dating AG, angeblich nicht auf Löschbegehren reagieren würde.

3. Die Once Dating AG ist ein privates Unternehmen mit Sitz in Pfäffikon im Kanton Schwyz, welches im Bereich Online-Dating tätig ist. Mit der App «Once» bietet die Once Dating AG einen Partnervermittlungsdienst an, welcher auf das Konzept des Slow-Datings setzt. Die Nutzung der App setzt eine Registrierung voraus. Dabei muss die Nutzerin oder der Nutzer verschiedene Angaben über sich machen oder Daten aus ihrem/seinem Facebook-Profil importieren. Zudem können auf freiwilliger Basis weitere Angaben zur Person gemacht werden.

4. Mithilfe von Künstlicher Intelligenz (KI) werden Personendaten ausgewertet, um den Nutzern einmal am Tag ein passendes Profil vorzustellen («Match»). Da die Nutzer der App aufgefordert werden, echte Angaben über sich zu machen, erfolgt sowohl bei der Datenerhebung bei den Nutzern als auch bei der Vermittlung von passenden Dating-Partnern eine Bearbeitung von Personendaten.

5. Auf der Grundlage von Art. 29 des Bundesgesetzes über den Datenschutz (DSG) leitete der EDÖB mit Schreiben vom 15. Februar 2021 eine Sachverhaltsabklärung bei der Once Dating AG ein, um einerseits ihre Löschungsprozesse zu prüfen und andererseits zu klären, ob die Bearbeitungen der Once Dating AG die Anforderungen des Datenschutzes an Datensicherheit und Transparenz einhalten.

6. Am 9. April beantwortete die Once Dating AG, vertreten durch Frau Rechtsanwältin die Fragen des EDÖB und teilte mit, dass kein Testzugang zu der App gewährt werden könne. Ausserdem erklärte RA dass die Once Dating AG die Kanzlei beauftragt habe, ihre Datenbearbeitungsaktivitäten zu analysieren und die aktuellen Datenschutz-Policies dem revidierten DSG in den nächsten Monaten entsprechend anzupassen. Die neuen internen Datenschutz-Policies wurden als "Work in Progress" als Beilage geschickt. Mit E-Mail vom 19. April 2021 stellte der EDÖB der Once Dating AG verschiedene Zusatzfragen, zu welchen diese fristgerecht mit Schreiben vom 10. Mai 2021 Stellung nahm.

7. Am 23. Juni 2021 stellte der EDÖB der Once Dating AG seine Sachverhaltsfeststellung vom selben Datum zu. Diese basiert ausschliesslich auf den von der Once Dating AG gelieferten

1 Bundesamt für Statistik (Hg.): Erhebung zu Familien und Generationen 2018. Erste Ergebnisse. Neuchâtel

2019, 9 S., verfügbar unter: https://www.bfs.admin.ch/bfs/de/home/statistiken/bevoelkerung/erhebungen/efg.assetdetail.10467788.html [aufgerufen am 14.04.2020]

Antworten und Dokumenten (Vgl. Ziff. 1.5) sowie aus öffentlich zugänglichen Informationen auf der Webseite der Once Dating AG (Datenschutzrichtilinien, FAQ, Medienmitteilungen etc.) sowie Informationen im Apple Store und Google Play Store. Der EDÖB hat aufgrund der ausreichenden Dokumentation auf eine Sitzung mit Vertretern der Once Dating AG wie auch auf einen Augenschein vor Ort verzichtet. Mit Schreiben vom 21. Juli 2021 nahm die Once Dating AG fristgerecht Stellung zur Sachverhaltsfeststellung. Der vorliegende Schlussbericht des EDÖB basiert auf diese Sachverhaltsfeststellung und beinhaltet die rechtliche Würdigung des EDÖB des Sachverhalts sowie seine Empfehlungen im Sinne des Datenschutzes.

1.2. Chronologie

15.02.2021: Eröffnung Sachverhaltsabklärung durch den EDÖB und Zustellung eines Fragenkataloges an Once Dating AG 19.03.2021: Mitteilung der Vertretung durch und Fristerstreckungsgesuch 09.04.2021: Beantwortung Fragenkatalog 19.04.2021: Stellung Zusatzfragen 10.05.2021: Beantwortung Zusatzfragen 23.06.2021: Versand Sachverhaltsfeststellung an Once Dating AG 21.07.2021: Änderungsvorschläge der Once Dating AG zur Sachverhaltsfeststellung 03.03.2023: Versand Schlussbericht, inklusive Empfehlungen, an Once Dating AG zur Stellungnahme 30.03.2023: Gewährung der mit Schreiben vom 28. März 2023 beantragten Fristverlängerung 02.05.2023: Annahme der Empfehlungen durch Once Dating AG 17.05.2023: Versand Schlussbericht mit Ergänzungen, an Once Dating AG

1.3. Gesetzliche Grundlage

8. Art. 1 bis 15 des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz (DSG, SR 235.1) und Art. 1 bis 12 der Verordnung vom 14. Juni 1993 zum Bundesgesetz über den Datenschutz sind auf das Bearbeiten von Personendaten durch private Personen anwendbar. Gemäss Art. 29 Abs. 1 lit. a DSG kann der EDÖB von sich aus oder auf Meldung Dritter hin einen Sachverhalt näher abklären, wenn Bearbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Systemfehler). Gemäss Art. 29 Abs. 2 DSG kann er dabei Akten herausverlangen, Auskünfte einholen und sich Datenbearbeitungen vorführen lassen.

1.4. Umfang der Sachverhaltsabklärung

9. Die vorliegende Sachverhaltsabklärung zielt darauf ab zu prüfen, ob und inwiefern Mängel hinsichtlich der Konformität mit dem DSG bei der Bearbeitung von Löschbegehren, bei der Erhebung und Weitergabe von Personendaten der Nutzer an Dritte und bei der Einhaltung des Bearbeitungsgrundsatzes der Transparenz und der Datensicherheit bestehen.

1.5. Berücksichtigte Dokumente

10. Die Sachverhaltsfeststellungen des EDÖB stützen sich auf folgende Dokumente ab:

• Schreiben vom 9. April 2021 (vorab per E-Mail) mit folgenden Beilagen: o Datenflussdiagramm o Interne Datenschutz-Policies als "Work in Progress" aufgrund der Integration in die Dating Group und Anpassungen ans revidierte Schweizer DSG

• Schreiben vom 10. Mai 2021 inkl. Anhang 1 – Antworten zu Zusatzfragen

• Schreiben vom 21. Juli 2021 inkl. Anhang 1 – Änderungsvorschläge zur Sachverhaltsfeststellung

2. Sachverhalt

2.1. Differenzen bei der Sachverhaltsfeststellung und dem Schlussbericht

11. Die Once Dating AG hat ihre Änderungs- und Ergänzungsvorschläge zur Sachverhaltsfeststellung vom 23. Juni 2021 mit Stellungnahme vom 21. Juli 2021 mitgeteilt. Diese wurden bei der Verfassung dieses Schlussberichts berücksichtigt.

2.2. Funktionsweise der App

2.2.1.Datenflussmodellierung

12. Das erhaltene Datenflussdiagramm ist in die drei Schichten Mobile App Functional Architecture, Backend Functional Architecture und Once Backend Technical Architecture gegliedert.

13. In Abbildung 1 wird die Benutzeroberfläche (UX Modules) dargestellt. Diese bezieht sich auf alle Dinge, auf die der Once App Nutzer zugreift, um Anforderungen zu senden oder andere Aufgaben in der Cloud auszuführen. Synchron erfolgen im Weiteren das Logging etc. mittels den dargestellten Tech and UX monitoring modules. Abbildung 1: Ansicht der Mobile App Functional Architecture

14. Die in Abbildung 2 dargestellte Funktionsschicht Backend Functional Architecture beschreibt die Administrationsoberfläche der App Once. Also primär alle Operationen, die im Hintergrund vorgenommen werden (bspw. das Aussehen und die Funktionen im Frontend verändern).

Abbildung 2: Übersicht zur Backend Functional Architecture.

15. Die vorgängig abgebildete Datenflussmodellierung wird in Abbildung 3 zerlegt und auf einer detaillierteren Ebene genauer beschrieben, wie folgende Abbildung schematisch zeigt.

Abbildung 3: Illustration der Once Backend Technical Architecture.

16. Die Backend-Architektur in der Cloud unterstützt die Frontend-Architektur. Sie besteht aus Hardware und Speicher und befindet sich auf einem Remote-Server. Der Cloud-Provider (AWS) steuert und verwaltet diese Backend Technical Architecture.

2.2.2.Registrierungsverfahren

17. Die App Once kann über den Google Play Store und über den Apple App Store heruntergeladen werden. Um die App zu nutzen, muss sich die Nutzerin oder der Nutzer registrieren. Gemäss Angaben der Once Dating AG kann die Anmeldung aktuell über 3 Methoden erfolgen: per Telefon, via Facebook-Connect oder via Apple-ID2, wobei die letzte Methode nur für Nutzer verfügbar ist, die die App auf einem Apple Gerät installiert haben. Gemäss der Datenschutzrichtlinie sollte eine Anmeldung per E-Mail auch möglich sein, womit offenbar das Login via Apple-ID gemeint ist.3

18. Für jede der drei Methoden ist ein unterschiedliches Verifizierungsverfahren vorgesehen, mit dem Ziel sicherzustellen, dass die Profile von Menschen und nicht von Robotern erstellt werden. Wer sich mit einer Handynummer anmeldet, wird mittels eines SMS-Verifizierungsprozesses verifiziert. Dabei erhält die Person einen Code per SMS, welchen sie in ihrem Profil eingeben muss. Bei einer Anmeldung über Facebook-Connect4 wird die Identität der Nutzer verifiziert, indem die Nutzerin oder der Nutzer der Once Dating AG Zugriff auf Daten ihres oder seines Facebook Profils gewährt. Diese seien gemäss Once Dating AG der Nutzername, das Geburtsdatum, die Nutzerfotos und die Nutzer-E-Mail von Facebook. Dadurch wird das Profil des Nutzers bei Once mit seinem Facebook-Account verknüpft. Die Once Dating AG hat hierzu Folgendes klargestellt: Obwohl in der Datenschutzrichtlinie aufgeführt wird, dass bei einer Anmeldung über Facebook darüber hinaus die «Freundesliste, Fotos und Interessen sowie Likes entsprechend den Facebook-Posts» an die Once Dating AG übermittelt werden, die Once Dating AG diese zusätzlichen Informationen nicht erhält.5 Wenn man sich für die Verifizierung per Apple ID entscheidet, erhält die Once Dating AG die E-Mail-Adresse oder einen Proxy der E-Mail-Adresse, je nach den Einstellungen der Nutzerin oder des Nutzers. 6

19. Nutzer müssen ausserdem mindestens 18 Jahre alt sein. Um dies zu prüfen, fordert Once ihre Nutzerinnen und Nutzer auf, einige Angaben über sich zu machen, wenn sie sich als Mitglied registrieren. Pflichtangaben sind: Vorname, Bild(er), Alter, Land/Standort sowie sexuelle Orientierung.7 Die Once Dating AG prüft das Alter und die Echtheit des Profils anhand der Bilder, welche die Nutzerin oder der Nutzer in die App hochlädt. Alle Profile werden mithilfe des Bildmoderationstools Sightengine halbautomatisch moderiert. Wenn die Nutzerin oder der Nutzer Bilder hochlädt, auf denen keine Person erkennbar ist bzw. nur eine Illustration auf dem Foto zu sehen ist, oder falls auf dem Foto mit hoher Wahrscheinlichkeit ein Prominenter oder ein Minderjähriger erkannt wird, wird das Profil gesperrt und manuell moderiert.

2 Vgl. Antwort zur Frage 14.1 (Anhang 1 des Schreibens vom 9. April 2021, S. 10 bzw. 26 f.)

3 Vgl. Datenschutzrichtlinie vom 26.05.2020, Ziff. 2 «Arten von erhobenen personenbezogenen Daten», verfügbar

unter https://getonce.com/de/terms#privacy [aufgerufen am 21.04.2021]

4 Mehr Informationen zum Facebook Tool «Facebook Login» unter Ziff. 31

5 Vgl. Datenschutzrichtlinie vom 26.05.2020, Ziff. 2 «Arten von erhobenen personenbezogenen Daten», verfügbar

unter https://getonce.com/de/terms#privacy [aufgerufen am 21.04.2021]

6 Vgl. Antwort zur Frage 14.1 (Anhang 1 des Schreibens vom 9. April 2021, S. 10 bzw. 26 f.)

7 Vgl. Antwort zur Frage 4.1 (Anhang 1 des Schreibens vom 9. April 2021, S. 4 bzw. 20 f.) und Datenschutzrichtlinie vom 26.05.2020, Ziff. 2 «Arten von erhobenen personenbezogenen Daten», verfügbar unter https://getonce.com/de/terms#privacy [aufgerufen am 21.04.2021]

Die entsprechenden Bilder werden entfernt und die Nutzerin oder der Nutzer wird entweder gesperrt oder benachrichtigt, die Bilder zu ändern. 8

2.2.3.Matchmaking

20. Neben den Pflichtangaben können die Nutzer der App die folgenden Angaben freiwillig machen: Beschreibung; Bildung; Grösse; Job & Arbeitgeber; Kekse (Fragen zur Persönlichkeit); Hobbys; Reisen; Kinder/ keine Kinder; Religion; Politik; Vorlieben beim Trinken und Vorlieben beim Rauchen. Diese Informationen sowie die Pflichtangaben werden von der KI ausgewertet, um eine Partnerin oder einen Partner zu vermitteln, sind aber durch die anderen Nutzer nicht einsehbar (siehe Ziff. 27).

21. Der «Matchmaking-Algorithmus» wählt potentielle Partner basierend auf den Informationen in den Profilen der Nutzer und aufgrund ihrer täglichen Bewertungen von Profilen anderer Nutzer. Er ist eine selbstlernende KI, die Rückschlüsse über die Partnerpräferenzen der Nutzer aus diesen Bewertungen zieht. Sie passt sich dementsprechend an, um die vermuteten Präferenzen der Nutzer bei künftigen Vorschlägen zu berücksichtigen. Je mehr die Nutzer andere Profile bewerten, desto besser weiss die KI über deren Vorlieben Bescheid und kann dementsprechend bessere Matchs machen. Der Algorithmus lernt auch dadurch, dass er über die Kompatibilität zwischen den Nutzern lernt. 9

2.2.4.Bearbeitungszwecke

22. Alle Informationen der Nutzer werden gemäss Angaben der Once Dating AG ausschliesslich für das Matchmaking verwendet. Die Once Dating AG führt in diesem Zusammenhang aus, dass sie «im Gegensatz zu vielen ihrer Konkurrenten, die Daten der Nutzer nicht verkauft und die persönlichen Daten der Nutzer nicht über In-App-Werbung monetarisiert»10 und, dass sie «keine persönlichen Daten für Werbung [verwendet], (…) die Nutzer nicht für Werbung [monetarisiert] und (…) nicht mit Affiliates [arbeitet]». 11

23. Gemäss der Once Dating AG bedeutet die Aussage, dass sie keine persönlichen Daten für Werbung verwende, dass keine Anzeigen innerhalb der App Once platziert sind (Interstitials, Banner, etc.), welche Personendaten der Nutzer verwenden, um ihnen Werbung anzuzeigen. Mit der Aussage «wir monetarisieren unsere Nutzer nicht für Werbung» meint Once Dating AG, dass sie keine Nutzerdaten gegen irgendeine Art von Entgelt weitergeben.12

24. Die Once Dating AG bearbeitet Nutzerdaten für folgende Zwecke: a. Bereitstellung des täglichen Matches; b. Um passende Nutzer in der App vorzustellen z.B. auf dem Bewertungsbildschirm; c. Um Produktinformationen an die Nutzer zu senden z.B. Benachrichtigungen von erhaltener Nachrichten etc;

8 Ausserdem werden die Bilder moderiert, wenn der Algorithmus Nacktheit, Waffen oder rassistische Elemente

mit hoher Wahrscheinlichkeit auf den Fotos erkennt. Vgl. Antwort zur Frage 14.1 (Anhang 1 des Schreibens vom 9. April 2021, S. 10 f. bzw. 26 f.)

9 Vgl. Antwort zur Frage 2.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 3 f. bzw. 19 f.)

10 Vgl. Schreiben vom 9. April 2021, S. 1 f.

11 Vgl. Antwort zur Frage 6 (Anhang 1 des Schreibens vom 9. April 2021, S. 7 bzw. 23)

12 Vgl. Antwort zur Zusatzfrage 2 (Anhang 1 bzw. 2 des Schreibens vom 10. Mai 2021).

d. Um Marketingkommunikation zuzustellen z.B. Nutzerumfragen und Werbeaktionen; e. Weitergabe an Dritte zu Marketingzwecken. 13

2.2.5.Weitere Massnahmen zur Missbrauchsbekämpfung

25. Neben der Verifizierung bei der Registrierung und der halbautomatisierten Bildermoderation implementiert die Once Dating AG auch die folgenden Massnahmen und bearbeitet dabei Personendaten der Nutzer, um Fake-Profile und andere Nutzermissbräuche zu erkennen und zu bekämpfen: a. Nutzerberichten: An 3 Endpunkten in der App haben die Nutzer die Möglichkeit, «bösartiges Verhalten» anderer Nutzer zu melden. b. Regelmässige IP-Prüfungen (und evtl. Blockierung): IP-Adressen aus bestimmten Ländern, die als besonders riskant eingeschätzt werden, die bereits von anderen bekannten betrügerischen Nutzern verwendet worden sind oder die zu Dritten gehören, die VPN anbieten und als betrügerisch bekannt sind, können blockiert werden. c. Punkte im Bewertungssystem: auf Basis von Nutzerberichten wurde ein Bewertungssystem implementiert, welches betrügerische Profile gemäss den folgenden Kriterien erkennt: Nutzerberichte, Wahrscheinlichkeit, dass es sich um eine betrügerische Telefonnummer handelt, letzte bekannte IP-Adressen, Bewertungsverhalten (Geschwindigkeit und Bewertung), Grösse der Beschreibung. d. Manuelle Moderation: Die Once Dating AG führt täglich eine manuelle Moderation durch, um andere Probleme zu beheben und um Scammer-Muster zu entdecken. e. Kundenbetreuung: die Nutzer können sich an den Kundendienst wenden, um Probleme (inkl. gefälschte Profile) zu melden. Die Once Dating AG hat ein Team von 2 Personen, die, unter der Aufsicht des CPO, Tickets in 4 Sprachen verwalten.14

2.2.6.Bekanntgabe von Personendaten der Nutzer an Dritte

26. Gemäss der Datenschutzrichtlinie von der Once Dating AG können Personendaten der Nutzer an die folgenden Dritten übermittelt werden: andere Nutzer von Once und «Dritten, die auf Rechnung von Once bestimmte Leistungen erbringen». 15

2.2.7.Bekanntgabe von Personendaten an andere Nutzer der App

27. Mit Ausnahme der Fotos, die im «Bewertungsbildschirm» von anderen Nutzern eingesehen werden können, sind die Profilinformationen eines Nutzers oder einer Nutzerin nur für diejenigen Personen zugänglich, die vom Algorithmus als «Match des Tages» ausgewählt wurden. 16

13 Vgl. Antworten zu Fragen 25.3 und 28.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 16 f. bzw. 32 f.)

14 Vgl. Antwort zur Frage 14.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 11 f. bzw. 27 f.)

15 Vgl. Datenschutzrichtlinie vom 26.05.2020, Ziff. 4 «Weitergabe Ihrer personenbezogenen Daten», verfügbar

unter https://getonce.com/de/terms#privacy [aufgerufen am 21.04.2021]

16 Vgl. Antwort zur Frage 4.1 (Anhang 1 des Schreibens vom 9. April 2021, S. 4 bzw. 20 f.)

28. Nicht registrierte Nutzer haben keine Möglichkeit, auf Personendaten registrierter Nutzer zuzugreifen.17

2.2.8.Bekanntgabe von Personendaten an Dienstleister/Partner

29. Gemäss der Datenschutzrichtlinie von Once Dating AG, können Personendaten der Nutzer «mit Dritten ausgetauscht werden, «die auf Rechnung von Once bestimmte Leistungen erbringen, wie zum Beispiel externen Dienstleistern insbesondere für Hosting und Pflege der Daten, Analysen, Kundendienst, Zahlungsabwicklung und Sicherheitsmassnahmen.». 18 «Austausch» soll hier gemäss der Once Dating AG als «Bekanntgabe» verstanden werden, weil die Once Dating AG keine personenbezogenen Daten von Nutzern von Dritten erhält, abgesehen von den Daten, die mit dem Facebook SDK beim Facebook-Login übertragen werden.19

30. Diese Datenbekanntgaben erfolgen im Zusammenhang mit folgenden Bearbeitungszwecken: Kundensupport, Zahlungsabwicklung und Sicherheitsoperationen sowie Analysen für Marketingzwecke. Die Once Dating AG verlässt sich auf externe Partner oder Dienstleister in diesen Bereichen, um einen sicheren und hochwertigen Service zu betreiben, weil sie nicht alle Kompetenzen oder technischen Bausteine im Haus hat.20

31. Die nachfolgenden Partner erhalten Zugriff auf folgende Daten: 21:

Dienstleister Dienst Kategorien der im Auftrag bearbeiteten Daten

Facebook App-Analytik22: Messung und Visualisie- App-Ereignisse, Telefonumgebung rung aller In-App-Ereignisse, Funnels, (Plattform, OS, App-Version), ano- Kohorten, etc. nymisierte Benutzerinformationen (Geschlecht, Plattform, Land), u-

Facebook Login Facebook-Konto

Google Ana- App-Analytik: Messung und Visualisie- App-Ereignisse, Telefonumgebung lytics und rung aller In-App-Ereignisse, Funnels, (Plattform, OS, App-Version, udid), Firebase Kohorten, etc. anonymisierte Benutzerinformationen (Geschlecht, Plattform, Land, IP-Adresse)

17 Vgl. Antwort zur Frage 4.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 5 bzw. 21 f.)

18 Vgl. Datenschutzrichtlinie vom 26.05.2020, Ziff. 2 «Arten von erhobenen personenbezogenen Daten», verfügbar unter https://getonce.com/de/terms#privacy [aufgerufen am 21.04.2021]

19 Vgl. Antwort zur Frage 5.3 (Anhang 1 des Schreibens vom 9. April 2021, S. 7 bzw. 23)

20 Vgl. Antworten zur Fragen 5.1 und 5.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 5 f. bzw. 21 f.)

21 Vgl. Antworten zur Fragen 5.1 und 5.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 5 f. bzw. 21 f.), Antwort

zur Zusatzfrage 1 (Anhang 1 bzw. 2 des Schreibens vom 10. Mai 2021) und Änderungsvorschlag 1 (Anhang 1 des Schreibens vom 21. Juli 2021, S. 2 bzw. 3)

22 Das Tool Facebook Analytics wird am 30. Juni 2021 von Facebook eingestellt. Vgl. Facebook, Facebook Analytics wird eingestellt, verfügbar unter https://www.facebook.com/business/help/ 966883707418907 [aufgerufen am 26.04.2021].

23 Udid ist ein Akronym für «Unique Device Identifier». Dies ist eine eindeutige Kennung für jedes Apple-Gerät.

Batch Reengagement-Dienste: ermöglicht das App-Ereignisse, Telefonumgebung Senden von Push-Benachrichtigungen (Plattform, Betriebssystem, Appan Benutzer, basierend auf Ereignissen Version), Benutzerinformationen und Auslösern. (Geschlecht, Plattform, Alter, Land, Standort, Trinkvorlieben, Grösse, Politik, Religion, Sexualität)

Adjust Analytik und Werkzeug zur Attributions- Anonyme Benutzerkennung, Apperkennung Sitzungen (von Adjust SDK abgerufen), Umsatz, udid

Paypal Online Bezahldienst. Anonyme Benutzerkennung

Stripe Online Bezahldienst. Anonyme Benutzerkennungen, Kreditkartennummer, E-Mail-Adresse

Sightengine Bildanalyse zur Moderation Anonyme Benutzerkennungen und Bilder

Telesign Überprüft die Telefonnummer, die für die Rufnummer Benutzerauthentifizierung bei der Anmeldung verwendet wird. Sendet einen 6-stelligen Code zur Verifizierung, damit sich der Benutzer anmelden kann.

Logentries24 Werkzeug zur Verwaltung von Protokol- Anonyme Benutzerkennung len

Airbrake Crash-Reporting-Werkzeug Anonyme Benutzerkennung

Sendgrid Reengagement-Dienste: ermöglicht das E-Mail-Adresse Senden von E-Mails an Benutzer, basierend auf Ereignissen und Auslösern

Looker Visualisiert die wichtigsten Daten, um Anonyme Benutzerkennungen, Prosie zu analysieren, Berichte zu erstellen duktereignisse, Geschlecht, Be- und Entscheidungen zu treffen. triebssystem, Alter

Zendesk Cloudbasierte Kundensupport-Plattform. Anonyme Benutzerkennung, E- Mail-Adresse und Konversationen mit unserem Kundensupport

Vonage Videochats zwischen Nutzern, nachdem Anonyme Benutzerkennung und Vidie Zustimmung eingeholt wurde. deo

Apple Apple Sign-In E-Mail-Adresse für Apple-Anmeldung Tabelle 1

32. Grösstenteils erfolgen diese Datenbekanntgaben an Dienstleister/Partner über Programmierschnittstellen (API), welche durch das Einbauen von vorgefertigten Code-Bausteinen (SDK)

24 Dieser wird gemäss der Once Dating AG derzeit entfernt.

der Dienstleister in den Code der App Once ausgelöst werden. Durch die Integration dieser SDK werden viele Funktionen der App durch Algorithmen, welche von Dritten entwickelt werden, ausgeführt.

33. Einige dieser Algorithmen von Dritten führen eine Trackingfunktion aus. Dabei werden Personendaten der Nutzer durch Ditte bearbeitet, um das Nutzerverhalten zu verfolgen: Facebook Analytics, Google Analytics, Batch, Firebase, 25 Adjust26, Telesign27, Sendgrid28, Looker29, Vo-

34. Die Werbe-ID der Nutzer (IDFA für iOS, GPS-ADID für Google) wird an den Dienstleister Adjust übermittelt, der seinerseits die Werbe-ID an Dritte (insbesondere Facebook und Google) für Werbezwecke weitergibt. Die Once Dating AG speichert jedoch die IDFA oder GPS-ADID der Nutzer nicht auf ihren Servern und verknüpft keine Daten der Nutzer zu deren Werbe- ID.32

25 Vgl. Antwort zur Fragen 27, 27.1 und 27.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 16 bzw. 33)

26 Adjust wurde zwar nicht in der Antwort von Once Dating AG zur Frage 27.1 erwähnt, wird aber gemäss ihrer

Antwort zur Frage 23 hier auch aufgeführt. (Anhang 1 des Schreibens vom 9. April 2021, S. 15 bzw. 32)

27 Telesign wurde zwar nicht in der Antwort von Once Dating zur Frage 27.1 erwähnt, wird aber aufgrund der gemäss der Privacy Notice erhobenen Daten hier aufgeführt. Vgl. Privacy Notice von Telesign, verfügbar unter: https://www.telesign.com/privacy-notice [aufgerufen am 18.05.2021].

28 Sendgrid wurde zwar nicht in der Antwort von Once Dating zur Frage 27.1 erwähnt, wird aber aufgrund der gemäss dem Privacy Statement von Twilio möglicherweise erhobenen Daten hier aufgeführt. Vgl. Twilio Privacy Statement, verfügbar unter: https://www.twilio.com/legal/privacy#how-twilio-processes-your-end-users-personalinformation [aufgerufen am 18.05.2021]

29 Looker wurde zwar nicht in der Antwort von Once Dating zur Frage 27.1 erwähnt, wird aber aufgrund der gemäss der Privacy Policy von Looker möglicherweise erhobenen Daten hier aufgeführt. Vgl. Ziff. 2 der Privacy Policy, verfügbar unter https://looker.com/trust-center/privacy/policy [aufgerufen am 18.05.2021]

30 Vonage wurde zwar nicht in der Antwort von Once Dating zur Frage 27.1 erwähnt, wird aber aufgrund der gemäss der Privacy Policy von Vonage möglicherweise erhobenen Daten hier aufgeführt. Vgl. https://www.vonage.com/legal/privacy-policy/?icmp=footer_legalpolicy_privacy [aufgerufen am 18.05.2021]

31 Airbrake wurde zwar nicht in der Antwort von Once Dating zur Frage 27.1 erwähnt, wird hier aber aufgeführt,

weil gemäss der Airbrake Privacy Notice Drittdienste wie bspw. Google Analytics Daten von Airbrake Nutzern erheben können. Vgl. https://airbrake.io/privacy#information-collected [aufgerufen am 18.05.2021].

32 Vgl. Antworten zur Fragen 22 bis 25 (Anhang 1 des Schreibens vom 9. April 2021, S. 15 f. bzw. 32)

35. Gewisse Dienstleister behalten sich das Recht vor, die ihnen durch Once Dating AG bereitgestellten Daten im eigenen Interesse zu nutzen. Diese sind: Facebook, Google, 33 Sendgrid34, Looker35, Vonage36 und Paypal37.38

2.2.9.Bekanntgabe von Personendaten ins Ausland

36. Gemäss der Datenschutzrichtlinie der Once Dating AG erfolgt manchmal eine Datenbekanntgabe ins Ausland, wenn Daten an Dritte weitergegeben werden. Für die Übermittlung von Daten in Länder, die kein angemessenes Datenschutzniveau aufweisen, wie zum Beispiel die USA, beruft sich die Once Dating AG auf EU-Standardvertragsklauseln oder «andere geeignete Schutzklauseln, um diesen Datenübertragungen einen festen Rahmen zu verleihen und die Geheimhaltung und Sicherheit Ihrer Daten abzusichern.».39

37. Auf die Frage, in welchem Rahmen eine Datenübertragung in Länder ohne angemessenes Datenschutzniveau erfolgt und welche Personendaten davon betroffen sind, gab die Once Dating AG lediglich den Cloud-Anbieter Amazon Web Services an, welche die Daten von der App Once hostet, wobei alle Daten in der EU (Irland) gespeichert werden, ausser den Fotos der Nutzer, die in einer AWS-Instanz in den USA gespeichert werden 40.

33 Vgl. Antwort zur Zusatzfrage 1 (Anhang 1 bzw. 2 des Schreibens vom 10. Mai 2021).

34 Sendgrid wurde zwar nicht in der Antwort von Once Dating AG zur Zusatzfrage 1 erwähnt, wird aber gemäss

dem Privacy Statement von Twilio hier aufgeführt. «When we process Customer Usage Data, we act as a processor in many respects, but we may act as a controller in others. For example, we may need to use certain Customer Usage Data for the legitimate interests of billing, reconciling invoices with telecommunications carriers, and in the context of troubleshooting and detecting problems with the network. (…) » Vgl. Twilio Privacy Statement, verfügbar unter: https://www.twilio.com/legal/privacy#how-twilio-processes-your-personal-information [aufgerufen am 18.05.2021]

35 Looker wurde zwar nicht in der Antwort von Once Dating AG zur Zusatzfrage 1 erwähnt, wird aber gemäss der

Privacy Policy von Looker hier aufgeführt. Vgl. Privacy Policy von Looker, verfügbar unter: https://looker.com/trust-center/privacy/policy [aufgerufen am 18.05.2021]

36 Vonage wurde zwar nicht in der Antwort von Once Dating AG zur Zusatzfrage 1 erwähnt, wird aber gemäss der

Privacy Policy von Vonage hier aufgeführt. Vgl. Vonage Privacy Policy, verfügbar unter: https://www.vonage.com/legal/privacy-policy/?icmp=footer_legalpolicy_privacy [aufgerufen am 18.05.2021]

37 Paypal wurde zwar nicht in der Antwort von Once Dating AG zur Zusatzfrage 1 erwähnt, wird aber gemäss der

Privacy Policy von Paypal hier aufgeführt. Vgl. Privacy Policy, verfügbar unter: https://www.paypal.com/ch/webapps/mpp/ua/privacy-full?locale.x=en_CH#7 [aufgerufen am 18.05.2021]

38 Zwischen der Zustellung der Sachverhaltsfeststellung und der Erarbeitung des Schlussberichts wurde die Privacy Notice von TeleSign überarbeitet. Gemäss den neuen Bestimmungen behält sich die TeleSign nicht mehr vor, Daten, die sie im Auftrag erhält, für eigene Zwecke zu bearbeiten. «In den meisten Fällen sind wir ein "Datenverarbeiter", d.h. wir verarbeiten Persönliche Daten, die wir von Organisationen (TeleSigns "Kunden") für die Erbringung unserer Dienstleistungen erhalten. […] Als Datenverarbeiter erheben und verwenden wir Ihre personenbezogenen Daten in Übereinstimmung mit den vertraglichen Verpflichtungen, die wir mit unseren Kunden haben.». Deshalb wird TeleSign in dieser Auflistung nicht mehr aufgeführt. Vgl. Hinweis zum Datenschutz, verfügbar unter: https://www.telesign.com/privacy-notice [aufgerufen am 15.02.2022]

39 Vgl. Datenschutzrichtlinie vom 26.05.2020, Ziff. 5 «Übertragung von personenbezogenen Daten», verfügbar

unter https://getonce.com/de/terms#privacy [aufgerufen am 21.04.2021]

40 Vgl. Antworten zur Fragen 15.1 und 15.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 12 bzw. 28 f.)

38. Die gemäss Once Dating AG als Schutzklausel einschlägige AWS Kundenvereinbarung hält zum Datenschutz Folgendes fest: «3.2 Datenschutz. Sie können die AWS Regionen benennen, in denen Ihre Inhalte gespeichert werden. Sie stimmen der Speicherung Ihrer Inhalte in den von Ihnen gewählten AWS Regionen sowie deren Übertragung in diese AWS Regionen zu. Wir werden nicht auf Ihre Inhalte zugreifen oder diese nutzen, es sei denn, dies ist notwendig, um die Serviceangebote zu warten oder anzubieten oder erforderlich, um die Gesetze einzuhalten oder einer verbindlichen Anordnung einer staatlichen Stelle nachzukommen. Wir werden Ihre Inhalte (a) nicht an staatliche Stellen oder Dritte weitergeben oder (b) Ihre Inhalte, vorbehaltlich Ziffer 3.3, nicht in andere als die von Ihnen gewählten AWS-Regionen verlagern, es sei denn, dies ist im Einzelfall erforderlich, um Gesetze einzuhalten oder einer verbindlichen Anordnung einer staatlichen Stelle nachzukommen. Wir werden Sie über eine rechtliche Verpflichtung oder Anordnung im Sinne dieser Ziffer 3.2 informieren, es sei denn, dies ist uns gesetzlich oder durch die Anordnung einer staatlichen Stelle untersagt. Wir werden Ihre Account Informationen nur der Datenschutzerklärung entsprechend verwenden, und Sie stimmen hiermit einer solchen Nutzung zu. Die Datenschutzerklärung ist auf Ihre Inhalte nicht anwendbar.» 41

39. Wir stellen aber aus der von der Once Dating AG bereitgestellten Partnerliste fest, dass verschiedene Dienstleister, mit denen die Once Dating AG zusammenarbeitet, in ihren Datenschutzerklärungen bzw. Nutzungsbedingungen ankündigen, dass sie Personendaten von Endkunden in Drittländer (z.B. USA) übermitteln. Ein angemessener Schutz der Daten in dem Zielland werde gemäss den Partnern durch EU-Standardvertragsklausel oder eine Zertifizierung unter dem Privacy Shield Framework gewährleistet. Diese sind: Google (Google Analytics, Firebase und Looker42), Facebook43, Adjust44; Paypal45; Stripe46; Sightengine47;

41 Vgl. AWS Kundenvereinbarung, verfügbar unter https://d1.awsstatic.com/legal/aws-customer-agreement/AWS_Customer_Agreement-German_2020-11-30.pdf [aufgerufen am 28.04.2021]

42 Vgl. Rechtliche Rahmenbedingungen für Datenübermittlungen, verfügbar unter https://policies.google.com/privacy/frameworks?hl=de und Ziff. 10 der Data Processing and Security Terms for Looker Services (Customers), verfügbar unter https://looker.com/trust-center/legal/customers/dpst [aufgerufen am 28.04.2021]

43 Vgl. Informationen für Unternehmen, verfügbar unter https://www.facebook.com/business/gdpr [aufgerufen am

28.04.2021]

44 Vgl. Annex “General Terms and Conditions for Data Processing”, verfügbar unter https://www.adjust.com/terms/general-terms-and-conditions/?entity=rest-of-world [aufgerufen am 28.04.2021]

45 Vgl. Ziff. 7 der Datenschutzerklärung, verfügbar unter https://www.paypal.com/ch/webapps/mpp/ua/privacyfull?locale.x=en_CH#7 [aufgerufen am 28.04.2021]

46 Vgl. Ziff. 7 der «Global Privacy Policy – World», verfügbar unter https://stripe.com/gb/privacy#internationaldata-transfers [aufgerufen am 28.04.2021]

47 Vgl. Data Processing Addendum, verfügbar unter https://s3-eu-west-1.amazonaws.com/static.sightengine.com/legal/20191212-dpa.pdf und Liste von Sub-Processors, verfügbar unter https://sightengine.com/policies/subprocessors [aufgerufen am 28.04.2021]

Telesign48; Rapid749; Airbreak50; Twilio (Sendgrid)51; Zendesk52 und Vonage53. Also alle ausser Batch54. 40. Gemäss den «Internen Datenschutz-Policies», welche die Once Dating AG im Hinblick auf das neue DSG erarbeitet und gemäss ihrer Anwältin Fr. noch als «Work in Progress» zu betrachten sind, dürften Auftragnehmer der Once Dating AG keine Personendaten in Drittländern ohne die Zustimmung der Once Dating AG übermitteln. Sollte die Once Dating AG dies jedoch erlauben, dann würde sie als Auftraggeberin in der Regel sicherstellen, dass sich die fraglichen Datenübermittlungen auf die von der EU genehmigten Standardvertragsklauseln für die Übertragung persönlicher Daten stützen. 55

2.3. Aufbewahrung und Löschung von Personendaten

2.3.1.Deaktivierung von Konten auf Verlangen

41. Nutzer können ihr Konto jederzeit selbst in der App deaktivieren, indem sie unter den Einstellungen die Option «Mein Konto deaktivieren» wählen. Wenn eine Nutzerin oder Nutzer dies tut, wird ihr oder sein Profil für andere Mitglieder unsichtbar gemacht. Eine Reaktivierung ist innerhalb eines Jahres möglich, weil die Informationen des Kontos für 1 (ein) Jahr nach dem Deaktivierungsdatum aufbewahrt werden.56

2.3.2.Löschung von Konten bzw. Personendaten der Nutzer auf Verlangen

42. Man findet zwar keine eigenständige In-App Option unter den Einstellungen («Paramètres») für das Löschen des Kontos mit entsprechenden Personendaten, aber es besteht seit 2017 die Möglichkeit, einen Löschungsantrag durch das Auswählen der Option «ich will mein

48 Vgl. Privacy Notice von Telesign, verfügbar unter: https://www.telesign.com/privacy-notice [aufgerufen am

15.05.2022]

49 Vgl. Rapid7 Privacy Policy, verfügbar unter: https://www.rapid7.com/de/privacy-policy/ [aufgerufen am

28.04.2021]

50 Vgl. Airbreak Privacy Policy, verfügbar unter: https://airbrake.io/privacy [aufgerufen am 28.04.2021]

51 Vgl. Twilio Privacy Statement, verfügbar unter: https://www.twilio.com/legal/privacy#transfers-of-personal-information-out-of-the-eea-and-switzerland [aufgerufen am 28.04.2021]

52 Vgl. Ziff. 8 der «Privacy Policy von Zendesk», verfügbar unter: https://www.zendesk.com/company/customerspartners/privacy-policy/#international-transfer-of-personal-information [aufgerufen am 28.04.2021]

53 Vgl. Privacy Policy von Vonage, verfügbar unter: https://www.vonage.com/legal/privacy-policy/?icmp=footer_legalpolicy_privacy [aufgerufen am 28.04.2021]

54 Vgl. Ziff. 2.8 des Data Processing Agreements - Batch und Once Dating, verfügbar unter:

https://drive.google.com/file/d/1UU8BbAPK5KaKVGzBkW6O_k_xawhQ3a31/view [aufgerufen am 28.04.2021]

55 Vgl. Ziff. 11 des Data Processing Addendums (Beilage 1 zum Schreiben vom 9. April 2021, S. 11)

56 Vgl. Antwort zur Frage 16.1 (Anhang 1 des Schreibens vom 9. April 2021, S. 12 f. bzw. 29) und FAQ von Once,

verfügbar unter https://getonce.com/de/faq#wie-deaktiviere-ich-mein [aufgerufen am 21.04.2021]

Konto löschen» über den In-App Kontaktkanal («Nous contacter») einzureichen, wie folgende Abbildung zeigt:57

Abbildung 4: Screenshot des Kontaktkanals in der App Once («Nous contacter»)

43. Somit können Löschbegehren entweder per Brief an die Adresse der Once Dating AG in Pfäffikon SZ, per E-Mail an hello@getonce.com oder über den Kontaktkanal in der App eingereicht werden. Die Bearbeitungszeit von Löschbegehren beträgt gemäss Angaben der Once Dating AG 24 Stunden und erfolgt seit Mai 2021 in automatisierter Form mithilfe eines Löschungs-Skripts, welches täglich ausgeführt wird.58

44. Gemäss der Datenschutzrichtlinie der Once Dating AG sollen Datenschutzbegehren jedoch an die E-Mail-Adresse dpo@getonce.com gerichtet werden, wo sie in der Regel innerhalb von zwei Monaten nach Eingang von der Once Dating AG bearbeitet werden. In der Datenschutzrichtlinie wird ausserdem ausgeführt, dass der Anfrage eine Kopie eines mit der Unterschrift des Inhabers versehenen Ausweisdokuments beizufügen ist. Darüber hinaus werden die Betroffenen darauf hingewiesen, dass falls «sich die Anfragen eines Mitglieds als deutlich unbegründet oder über das Mass hinausgehend herausstellen (insbesondere aufgrund ihres sich wiederholenden Charakters), ist Once [Dating AG] berechtigt, i) angemessene Aufwendungen geltend zu machen, die den Verwaltungskosten für die Bereitstellung der Informationen, den Kommunikationsaufbau oder das Ergreifen der angefragten Massnahmen Rechnung tragen, oder ii) sich weigern, diesen Anträgen Folge zu leisten.». 59

45. In der FAQ zu Once wird die Frage «Wie kann ich mein Konto endgültig löschen, anstatt es nur zu deaktivieren?» wie folgt beantwortet: «Wenn du dein Konto dauerhaft löschen

57 Vgl. Änderungsvorschlag 3 (Anhang 1 des Schreibens vom 21. Juli 2021, S. 2 bzw. 3)

58 Vgl. Antwort zur Frage 18 (Anhang 1 des Schreibens vom 9. April 2021, S. 14 bzw. 30)

59 Datenschutzrichtlinie vom 26.05.2020, Ziff. 9 «Ihre Rechte», verfügbar unter https://getonce.com/de/terms#privacy [aufgerufen am 21.04.2021] möchtest, sende uns eine Nachricht mit deiner Telefonnummer, deiner E-Mail-Adresse oder deiner Facebook-E-Mail-Adresse, damit wir dein Profil finden können. Bitte bedenke, dass alle Vorschläge und alle Profildaten dabei verloren gehen und diese Aktion nicht rückgängig gemacht werden kann.». Es wird jedoch nicht präzisiert, wie bzw. über welchen Kommunikationskanal man diese «Nachricht» der Once Dating AG senden kann. 60 46. Die Once Dating AG hat in ihrer Antwort zu unserer Frage Nr. 19 ausgeführt, dass sämtliche Personendaten der Nutzer gelöscht werden, wenn diese es verlangen; in ihrer Antwort zu unserer Frage Nr. 16.1 jedoch festgehalten:«…identifizierenden Daten des Mitglieds werden für 1 (ein) Jahr nach diesem Datum aufbewahrt, für den Fall, dass betrügerisches Verhalten gemeldet wird oder Beschwerden von einem anderen Mitglied gegen das Mitglied vorgebracht werden».

47. Once Dating AG hat hierzu klargestellt, dass in der Regel alle personenbezogenen Daten von Nutzern innert 24 Stunden nach dem Eingang eines Löschbegehrens automatisch gelöscht werden, mit Ausnahme des Falles, dass ein Nutzer mit betrügerischem Verhalten auf der App identifiziert wurde und bereits blockiert wurde. Nur in diesem Fall würden die Daten, die die Nutzerin oder der Nutzer bei der Anmeldung angegeben hat, sowie alle In-App-Aktivitätsdaten der Nutzerin oder des Nutzers für 1 (ein) Jahr nach dem Datum der Blockierung aufbewahrt bevor sie endgültig gelöscht werden.61

2.3.3.Deaktivierung und Löschung von Konten von inaktiven Nutzern

48. Die App Once führt weder eine automatisierte Löschung noch eine Deaktivierung von inaktiven Konten durch. Gemäss Angaben der Once Dating AG werden jedoch die Profile von Nutzern, die für eine lange Zeit die App nicht mehr genutzt haben, «in verschiedenen Dimensionen depriorisiert». Zuerst erfolgt eine De-Priorisierung der inaktiven Nutzer in dem Match-Making-Prozess, wenn sie die App seit mehr als 2 Wochen nicht genutzt haben. Nutzen sie die App seit mehr als 30 Tagen nicht, werden sie in der Datenbank von Once inaktiv. Dies hat zur Folge, dass sie keine Kommunikation (E-Mail, Benachrichtigungen) mehr von der Once Dating AG erhalten, aus ihrer Mailingliste gelöscht werden und nicht mehr für User Experience Umfragen und Fokusgruppen ausgewählt werden.62

2.3.4.Löschung von Personendaten bei Dritten

49. Auf unsere Frage, wie die Datenlöschung bei der Inanspruchnahme von Diensten Dritter sichergestellt wird, teilte uns die Once Dating AG mit, dass sie sich auf Dritte verlasse, um die Daten von gelöschten Nutzern zu löschen. Sie habe allerdings aktuell keinen proaktiven Prozess, um eine sofortige Löschung von Daten, die durch Dritte im Auftrag bearbeitet werden, zu beantragen, obwohl die Vereinbarungen, die sie mit diesen Dienstleistern geschlossen haben, die Möglichkeit vorsehen, dass sie auf Anfrage der Once Dating AG die Nutzerdaten löschen.63

50. Die neuen internen Policies der Once Dating AG beinhalten die folgende Vorgabe zur Löschung von Personendaten, die durch Dritte bearbeitet werden: “Each employee who works with personal data shall take all reasonable measures for the destruction and deletion from all systems of all personal data which is not necessary anymore and in compliance with the

60 Vgl. Antwort FAQ von Once, verfügbar unter https://getonce.com/de/faq#wie-kann-ich-mein-konto-endgultiganstatt-es-nur-zu [aufgerufen am 21.04.2021]

61 Vgl. Antwort zur Zusatzfrage 3 (Anhang 1 bzw. 2 des Schreibens vom 10. Mai 2021)

62 Vgl. Antwort zur Frage 3.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 4 bzw. 20)

63 Vgl. Antwort zur Frage 21 (Anhang 1 des Schreibens vom 9. April 2021, S. 14 f. bzw. 31 f.) rules and keeping policies of Once – this may include the obligation third parties to be required to delete these personal data.”64

2.4. Datensicherheit

2.4.1.Entwicklung der App

51. Gemäss der Once Dating AG wurde die App Once nicht nach einem besonderen Standard hinsichtlich Datenspeicherung und Datenschutz (OWASP; ISO, NIST etc.) entwickelt, aber die Datenschutzkonformität wurde dadurch gewährleistet, dass die Once Dating AG die Entwicklung der Datenschutzvorschriften verfolgt hat und den Rat ihrer Rechtsberater in Bezug auf den Datenschutz bei der Entwicklung der App berücksichtigt hat. Die Once Dating AG ist der Auffassung, dass die Sicherheit der Daten dadurch gewährleistet wird, dass die Entwicklung der Anwendung von Senior Ingenieuren durchgeführt wird, die Erfahrung mit ähnlichen Anwendungen und in einem hochkritischen Kontext gesammelt haben (z. B. Militär, Amadeus, etc.), die Datenspeicherung gemäss den best practices der AWS-Sicherheit erfolgt und die Infrastruktur über Sicherheitsgruppen und IP-Filterung in mehrere Bereiche mit eingeschränktem Zugriff aufgeteilt wird.

2.4.2.Schwachstellentests

52. Die Once Dating AG bearbeitet aufgrund des Zwecks Partnervermittlung sensible Daten der Nutzer, unter anderem auch besonders schützenswerten Daten. Auch wenn diese - auf der Netzwerkebene geschützt - auf einem anderen System liegen, sind sie doch über die App erreichbar. Es wurden bisher weder Audits noch Penetrations-Tests durchgeführt, um die Sicherheit der App durch externe Schwachstellentests überprüfen zu lassen. Im Moment werden nur interne Schwachstellentests durchgeführt. Änderungen werden von einer zweiten Person des Teams auf mehrere Aspekte hin, inkl. die Implikationen der Änderungen aus Sicht des Datenschutzes, überprüft und analysiert, bevor sie aufgeschaltet werden. 65

2.4.3.Monitoring und Patchen

53. Das Monitoring bei Once erfolgt mittels Alarmierung bei Verbindungen zu kritischen Maschinen. Das regelmässige Patchen wird sichergestellt, indem die App typischerweise alle 2 Wochen gepatcht wird. Dies erfolgt durch vollständige Bereitstellungen der API-Infrastruktur.66

2.4.4.Verschlüsselung

54. Die Datenübertragungen zwischen dem Endgerät der Nutzer und den Servern von Once (AWS) erfolgen über verschlüsselte HTTPS-Verbindungen (HTTP over TLS). In der Cloud angekommen, werden die Daten aber wieder vollständig entschlüsselt. Damit hat der Cloud- Anbieter ungehindert Zugriff auf die Daten, da diese im Ruhezustand (Data at Rest) weder pseudonymisiert noch verschlüsselt werden. 67

2.4.5.Zugriffskontrollen

64 Vgl. Ziff. 9 der Internal General Data Protection Guidance (Beilage 1 zum Schreiben vom 9. April 2021, S. 18 f.)

65 Vgl. Antworten zur Fragen 8, 11 und 12 (Anhang 1 des Schreibens vom 9. April 2021, S. 9 f. bzw. 25 f.)

66 Vgl. Antwort zur Frage 12 (Anhang 1 des Schreibens vom 9. April 2021, S. 10 bzw. 26)

67 Vgl. Antworten zu Fragen 9 und 10 (Anhang 1 des Schreibens vom 9. April 2021, S. 9 bzw. 25)

55. Der Zugriff auf Nutzerdaten wird einerseits durch VPN und IP-Beschränkungen und andererseits durch Zugriffsberechtigungen eingeschränkt. Ergänzend sind Ratenbegrenzung auf IP- Adressen für die Administration und für die öffentliche API implementiert mit dem Ziel, einen brute force Angriff auf Authentifizierungstoken zu verhindern. Die Administration ist über ein VPN mit persönlichem Zugriff nur für Teammitglieder erreichbar. Das Verwaltungstool ist mit persönlichen Anmeldeinformationen eingeschränkt, wonach jeder Nutzer nur auf diejenigen Daten zugreifen kann, die er benötigt. Ausserdem werden die Daten gemäss den Sicherheitsmassnahmen von AWS gespeichert.68 Logdaten und Protokolle sind durch persönliche Zugangsdaten geschützt, die nur an Personen weitergegeben werden, die Zugang zu den Protokollen benötigen.69

56. Gemäss der uns von der Once Dating AG zugestellten AWS Kundenvereinbarung ist die Once Dating AG «für die ordnungsgemässe Konfiguration und Nutzung der Serviceangebote verantwortlich» und muss «angemessene Massnahmen ergreifen zur Sicherung, zum Schutz und zum Backup Ihrer Accounts und Ihrer Inhalte, wozu die Nutzung von Verschlüsselungstechnologie zum Schutz Ihrer Inhalte vor unberechtigtem Zugriff sowie eine regelmässige Archivierung gehören können.». AWS ergreift ihrerseits «zumutbare und angemessene Massnahmen», um der Once Dating AG «zu helfen, Ihre Inhalte gegen zufällige oder rechtswidrige Verluste, Zugriffe oder Offenlegung zu schützen». 70

57. In den neuen internen Datenschutz-Policies werden die technischen und organisatorischen Massnahmen zum Schutz der Daten allgemein unter Ziff. 10.1 des Dokuments «Internal General Data Protection Guidance»71 sowie in Details im Dokument «Technical and Organisational Measures (TOMS)»72 umschrieben. Diese Massnahmen sind ein «Work-in-Progress» und wurden noch nicht implementiert.

2.5. Logging

58. Gemäss der Datenschutzrichtlinie der Once Dating AG werden Daten über die Nutzung der Webseite und der App Once erfasst, wobei alle über die Website und die App realisierten Aktionen sowie die Verbindungen, Verbindungszeiten und die gesamten Interaktionen der Nutzer mit den anderen Nutzern protokolliert werden. Gemäss Angaben der Once Dating AG werden Logdaten aggregiert und ausschliesslich zur Analyse der Applikationsperformance ausgewertet. Logdaten werden für 1 Monat aufbewahrt. 73

2.6. Einwilligung und Datenschutzeinstellungen der App

59. Die Once Dating AG rechtfertigt die Bearbeitung aller Daten, die sie von Nutzern erhebt, auf der Grundlage der Einwilligung der betroffenen Personen (Nutzerin oder Nutzer). Gemäss der Once Dating AG erteilen die Nutzer im Rahmen der Anmeldung74 eine Einwilligung zur Bearbeitung von «Daten, die während des Anmeldevorgangs gesammelt werden, sowie auf

68 Vgl. Antworten zu Fragen 13 und 13.1 (Anhang 1 des Schreibens vom 9. April 2021, S. 10 bzw. 26)

69 Vgl. Antworten zur Frage 26.3 (Anhang 1 des Schreibens vom 9. April 2021, S. 16 bzw. 33)

70 Vgl. Ziff. 3.1 und 4.3 der AWS Kundenvereinbarung, verfügbar unter https://d1.awsstatic.com/legal/aws-customer-agreement/AWS_Customer_Agreement-German_2020-11-30.pdf [aufgerufen am 28.04.2021]

71 Beilage 1 zum Schreiben vom 9. April 2021, S. 19 f.

72 Beilage 1 zum Schreiben vom 9. April 2021, S. 26 f.

73 Vgl. Antworten zu Fragen 26, 26.1 und 26.2 (Anhang 1 des Schreibens vom 9. April 2021, S. 16 bzw. 33)

74 Durch Ankreuzen des Kästchens neben der Aussage: «Ich akzeptiere, dass Once einige meiner personenbezogenen Daten sammelt und weiterverarbeitet, um ihren Dienst bereitzustellen».

die Profilinformationen, die zu jedem Zeitpunkt der App-Nutzung vom Nutzer gesammelt werden können.».75 60. Es ist nicht möglich, die Datenbearbeitungen in der App Once durch Datenschutzeinstellungen einzuschränken. Nutzer müssen allen Datenbearbeitungen inkl. Weitergabe an Dritte zu Marketingzwecke zustimmen, wenn sie Once nutzen wollen. Wenn sie dies nicht wünschen, können sie ihr Konto deaktivieren oder löschen.76

3. Datenschutzrechtliche Beurteilung

61. Nachfolgend werden auf der Basis des verbindlich festgestellten Sachverhalts diejenigen Aspekte behandelt, deren Datenschutzkonformität in Rahmen dieser Sachverhaltsabklärung zu prüfen waren.

3.1. Bearbeitung von Personendaten

62. Das Bundesgesetz vom 19. Juni 1992 über den Datenschutz (DSG, SR 235.1) ist auf das Bearbeiten von sog. Personendaten durch private Personen anwendbar (Art. 2 Abs. 1 lit. a DSG). Unter «Bearbeiten» wird jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben, Archivieren oder Vernichten von Daten verstanden (Art. 3 lit. e DSG). Entscheidend für die Anwendbarkeit des DSG ist vor diesem Hintergrund die Qualifizierung der bearbeitenden Daten als Personendaten.

63. Gemäss Art. 3 lit. a DSG gelten als Personendaten alle Angaben, die sich auf eine bestimmte oder bestimmbare (natürliche oder juristische) Person beziehen. Die gesetzliche Definition des Begriffs «Personendaten» erfasst demnach alle Informationen, die mit einer natürlichen oder juristischen Person in Verbindung gebracht werden können. Diese Verbindung zu einer Person kann anhand der Daten selbst eindeutig sein. In diesem Fall ist die Person bestimmt. Es ist aber auch möglich, dass die Person, zu der sich die Information bezieht, zwar nicht allein anhand dieses Datums identifiziert werden kann, aber anhand der Umstände auf sie geschlossen werden kann. In letzterem Fall spricht man von einer Person, die identifizierbar ist. (Botschaft DSG, BBl 1988 II 413, S. 444).

64. Vorliegend ist unbestritten, dass die Once Dating AG für und bei der Bereitstellung der App Once verschiedene Daten, die einen Bezug zu der Person des Nutzers oder der Nutzerin haben, zu diversen Zwecken (siehe dazu Rz. 24) bearbeitet: diese Daten sind einerseits die Angaben, welche die Nutzer über sich selbst in ihren Profilen und bei der Registrierung machen und andererseits Informationen, die bei der Nutzung der App entstehen (Bewertung von Profilen, Kontakt mit anderen Nutzern, Reaktion auf Benachrichtigung, Informationen über die Aktivität der Nutzer in der App etc.). Diese Datenbearbeitungen unterliegen dem DSG und müssen deshalb in Einklang mit den Bearbeitungsgrundsätzen gemäss Art. 4, 5 und 7 DSG erfolgen.

3.1.1. Bearbeitung von besonders schützenswerten Daten

65. Gemäss Art. 3 lit. c DSG gelten als besonders schützenswerte Daten solche über die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten, die Gesundheit, die Intimsphäre oder die Rassenzugehörigkeit, Massnahmen der sozialen Hilfe, sowie administrative oder strafrechtliche Verfolgungen und Sanktionen.

75 Vgl. Antworten zu Fragen 28.1 und 30 (Anhang 1 des Schreibens vom 9. April 2021, S. 16 f. bzw. 33 f.)

76 Vgl. Antworten zur Frage 29 (Anhang 1 des Schreibens vom 9. April 2021, S. 18 f. bzw. 35)

66. Die Datenbearbeitungen der Once Dating AG umfassen zum Teil besonders schützenswerte Daten der Kategorie «Daten über die Intimsphäre». Dazu gehört die sexuelle Orientierung der Nutzer, die sie angeben müssen, damit ihnen ein geeigneter Partner oder eine geeignete Partnerin ausgesucht werden kann (siehe Ziff. 19), wie man aus der Datenschutzrichtlinie entnehmen kann: «Von Once erhobene personenbezogene Pflichtangaben (bei Nichtbereitstellung dieser Daten werden Sie die Dienste nicht nutzen können) […] Sensible Daten: sexuelle Orientierung (heterosexuell, homosexuell, bisexuell).». Ausserdem kann die Information, dass eine Person ein aktives Profil bei einer Dating App hat, unter Umstände Rückschlüsse über ihre Intimsphäre liefern, weil diese Information darauf hindeutet, dass der Nutzer aktiv nach einem Partner oder Partnerin sucht.

67. Zudem können die Datenbearbeitungen der Once Dating AG auch besonders schützenswerte Daten der Kategorien «Daten über religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten» sowie Gesundheitsdaten und Daten über die Rassenzugehörigkeit erfassen, je nach den Angaben, welche die Nutzer freiwillig in ihren Profilen machen (siehe Ziff. 20).

68. In diesem Sinne ist unbestritten, dass die Once Dating AG besonders schützenswerte Personendaten bearbeitet, Die Einhaltung der erhöhten Anforderungen, die das Gesetz an die Bearbeitung besonders schützenswerter Daten stellt, wird im Folgenden in den einzelnen Themenbereichen untersucht.

3.1.2. Bearbeitung von Persönlichkeitsprofilen

69. Persönlichkeitsprofile werden in Art. 3 lit. d DSG als «eine Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt» definiert. Anhaltspunkte, was unter diesem Begriff zu verstehen ist, findet man in der Botschaft zum Bundesgesetz über den Datenschutz vom 23. März 1988 (BBl II 1988 413) und in der Rechtsprechung. Gemäss der Botschaft zum DSG ist ein Persönlichkeitsprofil eine Zusammenstellung einer grösseren Zahl von Daten über die Persönlichkeitsstruktur, die beruflichen Fähigkeiten und Aktivitäten oder auch die ausserberuflichen Beziehungen und Tätigkeiten, die ein Gesamtbild oder ein wesentliches Teilbild der betreffenden Person ergibt. Entscheidend ist, dass die systematische Zusammenstellung von an sich nicht besonders schützenswerten Daten (z.B. über Lesegewohnheiten, Reise- und Freizeitaktivitäten) eine Beurteilung wesentlicher Aspekte der Persönlichkeit zulässt (BBl II 1988 447).

70. Die ehemalige Eidgenössische Datenschutzkommission hielt fest, dass der Begriff des Persönlichkeitsprofils nicht generell definiert werden kann, sondern das Vorliegen eines Persönlichkeitsprofils im Einzelfall auf Grund der konkreten Umstände zu bejahen oder zu verneinen ist. (Urteil der EDSK vom 27. Januar 2000, VPB 65.48, E. 2). Mithin muss eine Prüfung vorgenommen werden, ob die Once Dating AG Personendaten der Nutzer so zusammenstellt, dass eine Beurteilung wesentlicher Aspekte deren Persönlichkeit ermöglicht wird (BVerG A- 4232/2015 Urteil vom 18. April 2017, E. 5.2.1). Dabei ist eine Darstellung der Gesamtpersönlichkeit nicht erforderlich. Es genügt, wenn aus wichtigen Eigenschafts- und Verhaltensaspekten ein Persönlichkeitsbild erstellt werden kann. In diesem Sinne entsteht ein Persönlichkeitsprofil auch anhand der Zusammenstellung einer Anzahl von Daten etwa über die Persönlichkeitsstruktur sowie über berufliche und private Aktivitäten, die ein wesentliches Teilbild einer betroffenen Person ergeben (Vgl. Basler Kommentar DSG, Art. 3 Bst. d, Rz. 66 f.).

71. Wenn sich eine Person bei der App Once registriert, muss sie gewisse Angaben über sich machen, damit sie mit anderen in der App registrierten Person in Verbindung gesetzt werden kann (siehe Ziff. 19). Beim Match-Making-Prozess zielt die Once Dating AG darauf ab, zwei Personen zusammen zu bringen, die gemäss den Einschätzungen von Once zusammenpassen würden. Diese Einschätzung basiert auf den Angaben, die die Nutzer über sich machen, sowie auf ihren Präferenzen (siehe Ziff. 21). Basierend auf diesen Personendaten erstellt die Once Dating AG ein Persönlichkeitsbild der Nutzer und zieht Schlussfolgerungen über die

Vorlieben (in Bezug auf potentielle Partner) der betroffenen Person. Dieses Persönlichkeitsbild lässt die Beurteilung wesentlicher Aspekte der betroffenen Personen zu und zielt geradezu darauf ab. Dementsprechend ist es als Persönlichkeitsprofil zu qualifizieren.

72. Daraus folgt, dass die Once Dating sowohl gewisse besonders schützenswerten Daten als auch Persönlichkeitsprofile bearbeitet. Die Einhaltung der erhöhten Anforderungen, die das Gesetz an die Bearbeitung von Persönlichkeitsprofilen knüpft, wird folgend in den einzelnen Themenbereichen geprüft.

3.2. Transparenz und Qualität der Informationen an die Nutzer der App Once

3.2.1.Grundsatz der Transparenz nach Art. 4 Abs. 4 DSG

73. Die Bearbeitung von Personendaten muss gemäss den Bearbeitungsgrundsätzen von Art. 4, 5 Abs. 1 und 7 Abs. 1 erfolgen. Eine Verletzung dieser Bearbeitungsgrundsätze stellt eine Persönlichkeitsverletzung gemäss Art. 12 Abs. 2 lit. a DSG dar. Art. 4 Abs. 4 DSG sieht den Transparenzgrundsatz vor, wonach die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung für die betroffene Person erkennbar sein müssen.

74. Der Grundsatz der Transparenz dient dazu, den betroffenen Personen zu ermöglichen, bewusste Entscheidungen über ihr informationelles Selbstbestimmungsrecht zu treffen. Wenn die Bearbeitungszwecke nicht präzis genug bestimmt werden oder nicht in einer klaren und eindeutigen Form beschrieben werden, kann eine betroffene Person weder die durchgeführten Datenbearbeitungen kontrollieren, noch ihre datenschutzrechtlichen Ansprüche vernünftig ausüben. So die Botschaft: «Die in Artikel 4 Absatz 4 verlangte Transparenz (…) verleiht dem Recht, die Bearbeitung zu untersagen (Art. 12 Abs. 2 Bst. b DSG), ebenfalls eine neue Dimension. Das Recht, sich der Bearbeitung zu widersetzen, muss so lange blosse Theorie bleiben, als die betroffenen Personen sich über eine Datenbeschaffung und ihre wesentlichen Rahmenbedingungen gar nicht im Klaren sind. Die Transparenz der Beschaffung und die Information der betroffenen Person bilden somit den eigentlichen Eckpfeiler des ganzen Datenschutzsystems.» (BBl 2003 2101, S. 2126)

75. Vor diesem Hintergrund sind die Informationen, welche der Inhaber der Datensammlung in einer konkreten Situation der betroffenen Person erteilen muss, damit die Datenbeschaffung sowie die Rahmenbedingungen der Datenbearbeitung erkennbar sind, nach den Umständen sowie den Grundsätzen der Verhältnismässigkeit und von Treu und Glauben zu beurteilen (Art. 4 Abs. 2 DSG).

76. Wenn die Datenbeschaffung und ihr Zweck aus den Umständen klar erkennbar sind, muss keine besondere Information erfolgen. Wenn eine Beschaffung auf Grund der Umstände hingegen weniger deutlich erkennbar ist, muss die betroffene Person umso eher in geeigneter Art und Weise auf die Erhebung und ihre wesentlichen Rahmenbedingungen aufmerksam gemacht werden. Wenn eine Information erforderlich ist, setzen die Grundsätze der Verhältnismässigkeit und von Treu und Glauben voraus, dass diese aus der Perspektive einer zum Zielpublikum der App gehörenden, verständigen Durchschnittsperson nach Treu und Glauben hinreichend sind, um ihnen eine zumutbare Möglichkeit zu gewähren, davon Kenntnis zu nehmen.

3.2.2.Informationspflicht nach Art. 14 DSG

77. Die Once Dating AG bearbeitet in Zusammenhang mit der Bereitstellung der App Once sowohl besonders schützenswerte Personendaten (siehe Ziff. 3.1.1) als auch Persönlichkeitsprofile (siehe Ziff. 3.1.2). Somit untersteht die Once Dating AG der Informationspflicht nach Art. 14 DSG.

78. Die Informationspflicht beim Beschaffen von besonders schützenswerten Personendaten und Persönlichkeitsprofilen nach Art. 14 DSG ergänzt den Grundsatz der Transparenz und setzt eine ausdrückliche Information durch den Verantwortlichen über Folgendes voraus: die Beschaffung der Daten, den Zweck ihrer Bearbeitung, die Identität des Inhabers der Datensammlung sowie die Kategorien der Datenempfänger, wenn eine Datenbekanntgabe vorgesehen ist (nicht aber die Identität jedes einzelnen Datenempfängers). Gemäss der Botschaft ist es aber möglich, dass unter Umstände weitere Angaben gemacht werden müssen: «Erfordert es der Grundsatz von Treu und Glauben, muss der Inhaber der Datensammlung indessen noch weitere Informationen liefern, beispielsweise darüber, ob die Beantwortung der gestellten Fragen freiwillig oder obligatorisch ist und über die Folgen einer Verweigerung der verlangten Angaben» (BBl 2131). Um seiner Informationspflicht nachzukommen muss der Verantwortliche alles unternehmen, was von ihm nach den Umständen vernünftigerweise verlangt werden kann. (BBl 2003 2101, S. 2132).

3.2.3. Einhaltung des Transparenzgrundsatzes (Art. 4 Abs. 4 DSG) und der Informationspflicht (Art. 14 DSG)

79. Folgende Anforderungen müssen erfüllt werden, um den Transparenzgrundsatz einzuhalten: 1) Die Erhebung von Personendaten muss erkennbar sein und dabei muss es der betroffenen Person klar sein, wofür welche Daten über sie bearbeitet werden; 2) wenn dies aus den Umständen nicht ersichtlich ist, müssen die Bearbeitungszwecke und Rahmenbedingungen durch den Verantwortlichen in Form einer Information angegeben werden; 3) die Angemessenheit der Informationen wird daran gemessen, ob eine betroffene Person auf Grundlage dieser eine bewusste Entscheidung über ihr Recht auf informationelle Selbstbestimmung treffen kann (z. B. ihre Einwilligung geben). In diesem Sinne müssen die Informationen, die bereitgestellt werden, umfassend, korrekt und für den Nutzer eindeutig und klar sein.

80. Die Informationspflicht nach Art. 14 setzt ausserdem voraus, dass die Information ausdrücklich bereitgestellt wird und dass der Inhaber der Datensammlung der betroffenen Person alle Informationen zukommen lässt, die für eine Bearbeitung nach dem Grundsatz von Treu und Glauben und der Verhältnismässigkeit erforderlich sind, insbesondere die Identität des Inhabers der Datensammlung, den Zweck des Bearbeitens und die Kategorien allfälliger Datenempfänger.

3.2.3.1. Erkennbarkeit der Datenerhebungen bei der App Once

81. Vorliegend werden die Nutzer der App Once bei der Registrierung aufgefordert, gewisse Angaben über sich zu machen und zu bestätigen, dass sie die Datenschutzrichtlinie und die AGB der Once Dating AG zur Kenntnis genommen haben (dabei werden beide Dokumente verlinkt), sowie folgenden Aussage zuzustimmen: «Ich akzeptiere, dass Once einige meiner personenbezogenen Daten sammelt und weiterverarbeitet, um ihren Dienst bereitzustellen». In diesem Sinne ist es für die betroffenen Personen erkennbar, dass die Once Dating AG Personendaten erhebt.

82. Dass die Nutzer bei der Registrierung aufgefordert werden, Kenntnis von der Datenschutzrichtlinie und den AGB zu nehmen, kann als Zeichen einer aktiven Information der Nutzer betreffend die im Zusammenhang mit der App Once durchgeführten Datenbearbeitungen angesehen werden, was mit Blick auf Art. 14 DSG und zu begrüssen ist. Es gibt jedoch keinen direkten Link auf die Datenschutzrichtlinie im Footer der Webseite getonce.com. 77

77 Um darauf zu gelangen, muss man zuerst auf «Bedingungen» klicken, um den Link auf die «Datenschutzbedingungen», d.h. die Datenschutzrichtlinie der Once Dating AG, zu finden.

83. Die Einhaltung des Transparenzgebots und der Informationspflicht gemäss Art. 14 DSG kann allerdings nur abschliessend bejaht werden, wenn die Informationen, die durch den Verantwortlichen geliefert werden, angemessen sind (siehe Ziff. 79). Dies bedeutet vorliegend, dass in den Datenschutzrichtlinien und AGB der Once Dating AG angemessene Informationen über die durch die Once Dating AG durchgeführte Datenbearbeitungen inkl. Bearbeitung von besonders schützenswerten Daten und Persönlichkeitsprofilen zu finden sein müssen. Insbesondere müsste ersichtlich sein: welche Daten für welche Zwecke und unter welchen Bedingungen bearbeitet werden. In Bezug auf besonders schützenswerte Daten und Persönlichkeitsprofilen müsste ausserdem ausgeführt werden, ob und inwieweit diese bearbeitet werden, für welche Zwecke, durch wen und ob eine Datenbekanntgabe an Dritte stattfindet.

3.2.3.2. Erkennbarkeit der Bearbeitungszwecke und der Rahmenbedingungen der Datenbearbeitung

84. Gemäss den Nutzungsbedingungen legen diese die Hauptregeln für die Nutzung der Mobile App fest und werden «durch zusätzliche Richtlinien, die Datenschutzrichtlinie, die Cookie- Richtlinie und die häufig gestellten Fragen (FAQ) ergänzt». Die AGB beinhalten auch eine Vorrangregel, wonach im Falle eines Konflikts zwischen den verschiedenen Richtlinien der zu einer mangelnden Zugänglichkeit, Verständlichkeit und/oder Vorhersehbarkeit der Regeln führt, die AGB Vorrang vor der Datenschutzrichtlinie, der Cookie-Richtlinie und den FAQ haben. Gemäss Ziff. 6 der AGB erfolgen die Datenbearbeitungen, welche die Once Dating AG in Zusammenhang mit der App Once durchführt, «zur Erfüllung eines Vertrags, bei dem das Mitglied Vertragspartei ist» und sind dazu «erforderlich». Dabei wird auf die Datenschutzrichtlinie verwiesen.78

85. In der Datenschutzrichtlinie der Once Dating AG werden zuerst gewisse Bearbeitungszwecke unter Ziff. 1 («Zwecke und Rechtsgrundlage der Verarbeitungen») ohne weitere Informationen über die bearbeitenden Daten angegeben: «Verwaltung und Verwendung der App und der Website», «Newsletter» und «Verwaltung der Bewerbungen». Der Zweck «Verwaltung und Verwendung der App und der Website» wird dabei mit folgenden Informationen weiter konkretisiert: 1) Den Nutzern die Verwendung der App und die Nutzung der Dienste zu erlauben; 2) Mit den Nutzern per E-Mail, SMS oder auf dem Postweg zu kommunizieren; 3) Die Verbesserung der Services der Once Dating AG (mit folgenden Beispielen: «Analyse von Daten, Forschung und Entwicklung, Aufdeckung betrügerischer Verhaltensweisen; wobei alleine auf der Grundlage einer automatisierten Verarbeitung keine Entscheidung eines Eingreifens getroffen wird».). Dabei erklärt die Once Dating AG, dass die in diesem Zusammenhang durchgeführten Datenbearbeitungen «für die Erfüllung eines Vertrages, von dem das Mitglied Vertragspartei ist, notwendig» seien. Dabei wird auch informiert, dass die Once Dating AG in Zusammenhang mit der «Verwaltung und Verwendung der App und der Website» auch «sogenannte „sensible“ Daten» bearbeitet79. Diese Datenbearbeitung erfolge aber nicht zur Erfüllung des Vertrags, sondern mit der ausdrücklichen Einwilligung der Nutzer, «die durch Ihre Anmeldung zustande kommt.». Diese Unterscheidung oder Präzisierung wird in den AGB nicht gemacht (siehe Ziff. 84).

86. Gemäss der Once Dating AG gibt sie Daten an Dritte weiter, damit diese gewisse Datenbearbeitungen (siehe Tabelle 1) mit folgenden Bearbeitungszwecken im Auftrag der Once Dating AG durchführen: Kundensupport, Zahlungsabwicklung, Sicherheitsoperationen und Analysen für Marketingzwecke (siehe Ziff. 30 ff.). Diese Zwecke werden zwar nicht explizit in der Datenschutzrichtlinie angegeben, aber können, mit Ausnahme der Analysen für

78 Gemäss Ziff. 6 der AGB

79 Für genauere Informationen wird auf Ziff. 2 verwiesen «(sexuelle Ausrichtung etc. - siehe unten „Arten von erhobenen personenbezogenen Daten“)».

Marketingzwecke, den allgemeinen Zwecken, welche unter Ziff. 1 der Datenschutzrichtlinie angegeben werden, subsumiert werden (siehe Tabelle 2). Somit lassen sich diese Bearbeitungszwecke mit Ausnahme der Analysen für Marketingzwecke aus den Informationen der Datenschutzrichtlinie ableiten. Der Zweck «Analysen für Marketingzwecke» ist hingegen nicht erkennbar.

87. Die Mehrheit der durchgeführten Datenbearbeitungen stehen in engem Zusammenhang mit der Erfüllung der durch die Once Dating AG angegebenen Bearbeitungszwecke (gemäss Ziff. 30 ff.), aber nicht alle. Die Dienste der Anbieter Vonage, Airbrake und Looker scheinen zwar in Zusammenhang mit der Erfüllung von Bearbeitungszwecken zu stehen, die in der Datenschutzrichtlinie angegeben werden, aber nicht mit den Zwecken Kundensupport, Zahlungsabwicklung, Sicherheitsoperationen oder Analysen für Marketingzwecke. Die Reengagement- Dienste, welche durch Batch bereitgestellt werden, können hingegen unter keinen der erwähnten Zwecken subsumiert werden (siehe Tabelle 2). Dienst (Datenbearbeiter) Bearbeitungszweck gemäss Zweck gemäss Daten- Angaben der Once Dating schutzrichtlinie AG Cloudbasierte Kundensupport- Kundensupport «Um per E-Mail, SMS oder Plattform (Zendesk) auf dem Postweg mit Ihnen (den Nutzern) zu kommunizieren» Reengagement-Dienste Keine Subsumtion möglich, Keine Subsumtion möglich. (Batch) denn die Kommunikation mit den Kunden erfolgt nicht per E-Mail, SMS oder Postweg, sondern mittels Handybenachrichtigung. Online Bezahldienst (Paypal, Zahlungsabwicklung «Um die Verwendung der App Stipe) und die Nutzung der Dienste zu erlauben» Videochats zwischen Nutzern - «Um die Verwendung der App (Vonage) und die Nutzung der Dienste zu erlauben»

Bildanalyse zur Moderation Sicherheitsoperationen «Um unseren Service zu (Sightengine) verbessern (nämlich: Analyse von Daten, Forschung und Entwicklung, Aufdeckung be- Überprüfung von Rufnummern trügerischer Verhaltenswei- (Telesign) sen); wobei alleine auf der Grundlage einer automatisier- Werkzeug zur Verwaltung von ten Verarbeitung keine Ent- Protokollen (Logentries) scheidung eines Eingreifens getroffen wird»

Crash-Reporting-Werkzeug - «Um unseren Service zu (Airbrake) verbessern (nämlich: Analyse von Daten, Forschung und Entwicklung, Aufdeckung betrügerischer Verhal- Visualisiert die wichtigsten Da- tensweisen); wobei alleine auf ten, um sie zu analysieren, Be- der Grundlage einer automatirichte zu erstellen und Ent- sierten Verarbeitung keine scheidungen zu treffen (Loo- Entscheidung eines Eingreiker) fens getroffen wird»

App-Analytik (Google Analytics Analysen für Marketingzwecke Keine Subsumtion möglich, und Firebase; Facebook) denn die Analyse steht nicht im Zusammenhang mit der Analytik und Werkzeug zur At- Verbesserung der Services, tributionserkennung (Adjust) sondern dient Marketingzwecken. Tabelle 2

88. Unter Ziff. 2 der Datenschutzrichtlinie («Arten von erhobenen personenbezogenen Daten») wird präzisiert, welche Daten im Zusammenhang mit den bereits unter Ziff. 1 ausgeführten Zwecken bearbeitet werden. Im Zusammenhang mit der «Verwaltung und Verwendung der App und der Website» wird zwischen Daten, die durch die Nutzer bereitgestellt werden müssen, um die App nutzen zu können (Pflichtangaben), und Daten, welche freiwillig durch die Nutzer bereitgestellt werden, differenziert. Unter den Pflichtangaben wird die sexuelle Orientierung als «sensibel» (besonders schützenswertes Datum) gekennzeichnet. Unter den freiwilligen Angaben werden die Informationen «über ethnische Herkunft, Religion, ethnische/religiöse Vorlieben beim Dating, politische Einstellung» als sensibel gekennzeichnet.

Abbildung 5: Auszug aus der Datenschutzrichtlinie

89. Die verwendete Struktur des Absatzes mit Aufzählungszeichen gibt zu verstehen, dass alle Angaben, welche nach dem Satz «Von Once erhobene freiwillige personenbezogene Angaben» aufgeführt sind, mit freiwilliger Zustimmung der Nutzerinnen und Nutzer von der Once Dating AG erhoben werden (siehe Abbildung 5). Allerdings gehört zumindest ein Teil davon zu den erforderlichen Angaben. In diesem Zusammenhang wird erläutert, dass die Once Dating AG Informationen bei ihren Interaktionen mit Kunden im Rahmen der Kundenbetreuung sammelt und diese zu Trainingszwecken und Qualitätssicherung überwacht oder aufzeichnet. Auch in diesem Zusammenhang wird mitgeteilt, dass die Once Dating AG Daten über die Aktivität der Nutzer auf der Website und der App erfasst. Diese Datenbearbeitung betreffe alle durch die Nutzer via Website oder App realisierten Aktionen, Verbindungen, Verbindungszeiten sowie die gesamten Interaktionen mit anderen Nutzern. Dabei wird allerdings nicht präzisiert, für welche Zwecke diese Informationen verwendet werden, sondern lediglich mitgeteilt, dass sie erhoben werden.

90. Ausserdem wird dabei informiert, dass die Once Dating AG Daten über die Endgeräte der Nutzer erhebt. Als Angaben, die im Zusammenhang mit den Endgeräten der Nutzer erhoben werden, werden die Modelle sowie Version des Betriebssystems erwähnt, und als Zweck für deren Bearbeitung wird die Verbesserung der mobilen Anwendungen angegeben. Wie wir allerdings feststellen konnten, bearbeitet die Once Dating AG neben diesen Informationen auch die u-id (siehe Ziff. 31) für verschiedene Zwecke und gibt die Werbe-ID der Nutzer (IDFA für iOS, GPS-ADID für Android) an Dritte bekannt, welche diese wiederum an weitere Dritte weitergeben, welche sie für Werbezwecke bearbeiten (siehe Ziff. 34). Auch dabei wird angedeutet, dass die Once Dating AG Daten im Rahmen von Markterhebungen sammelt, ohne allerdings anzugeben, welche Daten dabei bearbeitet werden.

91. Im Zusammenhang mit dem Bearbeitungszweck «Newsletter» wird Folgendes erläutert: «Damit wir Ihnen unsere Newsletter zukommen lassen können, wird von Once die von Ihnen mitgeteilte E-Mail-Adresse erfasst und verarbeitet. Dem Nutzer steht es frei, diese nicht bekannt zu geben. Die Mitteilung Ihrer E-Mail-Adresse ist zwingend erforderlich, wenn Sie die Newsletter von Once erhalten möchten.» Diese Information widerspricht zum Teil dem Inhalt der AGB, wonach die Nutzer bei der Anmeldung eine Einwilligung zum Versand von Newslettern erteilen: «Newsletter: Bei der Anmeldung für die App stimmt das Mitglied dem Empfang eines Newsletters von ONCE zu. Per Klick auf den Abmeldelink unten in jeder E-Mail von ONCE können die Mitglieder jederzeit von ihrem Widerspruchsrecht Gebrauch machen und den Newsletter abbestellen.». In diesem Zusammenhang stellen wir fest, dass die Nutzer nicht angemessen informiert werden, dass mit der Registrierung eine Einwilligung zum Versand des Newsletters erteilt wird.80

92. Aus den oben genannten Gründen erlaubt die Struktur des Textes der Datenschutzrichtlinie und zum Teil auch der Inhalt ihrer einzelnen Punkte den Nutzern nicht, sich einen Überblick über die tatsächlich durchgeführten Datenbearbeitungen zu verschaffen. Darum erachten wir die Informationen in der Datenschutzrichtlinie als ungenügend hinsichtlich des Transparenzgebots nach Art. 4 Abs. 4 DSG. In Bezug auf die Bearbeitungsbedingungen wird die Kenntnisnahme der datenschutzrelevanten Informationen erschwert durch die Tatsache, dass einige Informationen in den AGB nicht mit der Datenschutzrichtlinie (siehe z.B. Ziff. 84 und 91) oder den FAQ (siehe Ziff. 45) übereinstimmen. Darüber hinaus wird die Kenntnisnahme auch dadurch erschwert, dass in den AGB und in der Datenschutzrichtlinie auf unterschiedliche

80 Unter Ziff. 2 wird auch erläutert, inwieweit die Once Dating AG Daten in Zusammenhang mit Bewerbungen bearbeitet. Da diese Datenbearbeitung nicht die Nutzer der App Once betrifft, sondern den Anstellungsprozess, ist diese nicht Gegenstand unserer Sachverhaltsabklärung.

Gesetze verwiesen wird81, jedoch nicht auf das DSG, obschon es auf die Datenbearbeitungen der Once Dating AG anwendbar ist. Eine unmissverständliche Information über die für die Anbieterin geltende Datenschutzgesetzgebung ist unerlässlich, um den Nutzern zu ermöglichen, ihre Rechtsansprüche zu kennen und durchzusetzen.

3.2.3.3. Information über die Kategorien der Datenempfänger

93. Unter Umständen gehört die Information über die Datenempfänger zu den minimalen Angaben, welche erforderlich sind, um einer Datenbearbeitung Transparenz zu gewähren. Wenn es um die Datenbekanntgabe von besonders schützenswerten Personendaten oder Persönlichkeitsprofilgen geht, ist die Kategorie der Empfänger sogar eine Pflichtangabe gemäss Art.

94. Die Datenschutzrichtlinie der Once Dating AG enthält Informationen zu den Kategorien von Datenempfängern, ohne die übermittelten Daten näher zu erläutern. Unter Ziff. 4 der Datenschutzrichtlinie wird angegeben, dass grundsätzlich die «Mitglieder von Once», also die registrierten Nutzer, sowie «Dienstleister der Once Dating AG», die Empfänger der Daten sind, welche die Once Dating AG bearbeitet. Im Fall einer Fusion, Verkauf, Auflösung usw. erklärt die Once Dating AG ausserdem, dass Daten an andere Gesellschaften weitergegeben könnten. Zudem behält sich die Once Dating AG das Recht vor, Personendaten bekanntzugeben, wenn dies gesetzlich, gerichtlich oder behördlich vorgeschrieben ist, oder wenn dies zum Nachweis oder zur Ausübung der Rechte der Once Dating AG, ihrer Mitarbeitenden oder sonstiger Personen erforderlich scheint.

95. Gemäss unserer Abklärung behalten sich einige Dienstleister der Once Dating AG das Recht vor, die ihnen durch die Once Dating AG bereitgestellten Daten zu eigenen Zwecken zu nutzen. Diese sind: Facebook, Google, Sendgrid, Looker, Vonage und Paypal. (siehe Ziff. 35). Dies bedeutet, dass die Once Dating AG Daten an Dritte bekanntgibt, die diese nicht nur in ihrem Auftrag bearbeiten, sondern zum Teil auch in eigener Verantwortung.

96. Aufgrund der Tatsache, dass diese Empfänger die Daten nicht ausschliesslich im Auftrag der Once Dating AG bearbeiten, ist der Begriff «Dienstleister der Once» nicht zutreffend, um diese Kategorie von Datenempfängern zu beschreiben. Immer wenn die Empfänger Personendaten in eigener Verantwortung bearbeiten, gelten diese als Dritte, nicht aber als reine Dienstleister bzw. Auftragnehmer.

97. Da die Informationen in der Datenschutzrichtlinie keine Hinweise über die Bekanntgabe von Personendaten an Dritte, die Personendaten im eigenen Interesse und unter eigener Verantwortung bearbeiten, enthalten, erachten wir diese als unvollständig. Dies stellt einen Mangel hinsichtlich der Informationspflicht der Once Dating AG gegenüber ihren Nutzern dar. In der Datenschutzrichtlinie müsste diese Datenbekanntgabe an Dritte inkl. Bearbeitungszweck erläutert werden.

3.2.3.4. Erkennbarkeit der verwendeten Garantien für die Übermittlung von Daten ins Ausland

98. Da uns die Once Dating AG am 9. April 2021 mitteilte, dass sie die Kanzlei beauftragt hat, ihre Datenbearbeitungsaktivitäten zu analysieren und ihre

81 In den AGB wird auf das Gesetz Nr. 78-17 vom 6. Januar 1978 in der durch das französische Datenschutzgesetz Nr. 2004-801 vom 6. August 2004 abgeänderten Fassung verwiesen; in der Datenschutzrichtlinie wird auf die Verordnung zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten Nr. 2016/679 vom 27. April 2016 («DSGVO») verwiesen.

Datenschutz-Policies gemäss dem revidierten DSG anzupassen, gehen wir davon aus, dass die Datenschutzrichtlinie der Once Dating AG im Hinblick auf die Ausweitung der Informationspflicht gemäss dem neuen Gesetz überarbeitet werden soll. In diesem Zusammenhang weisen wir darauf hin, dass die Informationspflicht gemäss Art. 19 nDSG auch die Information über die verwendeten Garantien für die Datenübermittlung ins Ausland umfasst und eine allgemeine Aussage zu der Verwendung von Standardvertragsklauseln oder anderen «geeigneten Schutzklausen» nicht genügt, um diese zu erfüllen. Gemäss dem Erwägungsgrund 4 der neuen europäischen Standardvertragsklauseln «muss diese Information einen Verweis auf die angemessenen Garantien und die Möglichkeiten, wie eine Kopie von ihnen eingeholt werden kann, oder wo sie verfügbar sind, umfassen.» 82.

3.2.3.5. Schlussfolgerung

99. Zusammenfassend lässt sich feststellen, dass die Informationen, welche die Once Dating AG ihren Nutzern zur Verfügung stellt, nicht angemessen sind. Die Reengagement-Dienste, welche durch Batch bereitgestellt werden, können unter keinen der in der Datenschutzrichtlinie dargestellten Zwecke subsumiert werden, und der Zweck «Analysen für Marketingzwecke» ist in dieser auch nicht erkennbar. Ausserdem geht aus der missverständlichen Struktur und zum Teil aus dem Inhalt der einzelnen Punkte nicht klar hervor, was die tatsächlich durchgeführten Datenbearbeitungen sind. Hinsichtlich der Datenbearbeitung in Zusammenhang mit dem Newsletter wird die Kenntnisnahme der datenschutzrelevanten Informationen erschwert durch die Tatsache, dass einige Informationen in den AGB nicht mit der Datenschutzrichtlinie übereinstimmen. Darüber hinaus wird die Kenntnisnahme auch dadurch erschwert, dass in den AGB und in der Datenschutzrichtlinie auf unterschiedliche Gesetze verwiesen wird und das DSG gänzlich unerwähnt bleibt, obschon es für die Datenbearbeitungen der Once Dating AG eigentlich gilt. Ausserdem enthält die Datenschutzrichtlinie keine Informationen über die Datenbekanntgabe an Dritte, die nicht als Dienstleister der Once Dating AG handeln, sondern Personendaten für eigene Zwecke bearbeiten.

100. Dies stellt eine Verletzung des Transparenzgrundsatzes (Art. 4 Abs. 4 DSG) dar, die zu einer Persönlichkeitsverletzung gemäss Art. 12 Abs. 2 lit. a DSG führt. Wenn kein Rechtfertigungsgrund vorliegt, ist diese Persönlichkeitsverletzung widerrechtlich.

3.3. Löschkonzept und Löschmöglichkeiten der Nutzer

3.3.1.Grundsatz der Rechtmässigkeit (Art. 4 Abs. 1), von Treu und Glauben und der Verhältnismässigkeit (Art. 4 Abs. 2 DSG)

3.3.1.1. Möglichkeit Personendaten auf Verlangen zu löschen (Art. 12 Abs. 2 lit. b DSG)

101. Angesichts der Sensibilität der auf der App Once bearbeitenden Daten sowie der Tatsache, dass die Daten gemäss der Datenschutzrichtlinie und den Angaben der Once Dating AG in dieser Sachverhaltsabklärung gestützt auf die Einwilligung der betroffenen Person bearbeitet werden, ist es unabdingbar, dass die Nutzer der App Once eindeutig auf ihre Löschmöglichkeiten hingewiesen werden und jederzeit die umgehende Löschung ihrer Personendaten bzw. ihres Profils verlangen können. Aufgrund des Grundsatzes von Treu und

82 Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln für

die Übermittlung personenbezogener Daten an Drittländer gemäss der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates

Glauben soll jeder Nutzer und Nutzerin dies auf einfacher Weise verlangen können. Das heisst, es darf nicht schwieriger sein, eine Einwilligung zurückzuziehen und die Löschung der eigenen Daten zu verlangen, als eine Einwilligung abzugeben und ein Konto bei Once Dating AG zu erstellen. Gemäss Art. 12 Abs. 2 lit. b DSG darf die Once Dating AG ausserdem keine Personendaten bearbeiten ohne Rechtfertigungsgrund, wenn die betroffene Person ausdrücklichen Widerspruch zur Datenbearbeitung eingelegt hat.

102. Gemäss der Once Dating AG haben die Nutzer der App Once die Möglichkeiten, die in Ziff. 2.3.2 der Sachverhaltsfeststellung erläutert werden, um die Löschung ihrer Daten zu verlangen: ein Löschbegehren per E-Mail, per Brief oder über den in-App Kontaktkanal einzureichen. Die Löschbegehren erfolgen gemäss Löschprozess in automatisierter Form grundsätzlich innert 24 Stunden nach dem Eingang des Löschbegehrens, mit Ausnahme des Falles, dass ein Nutzer mit betrügerischem Verhalten auf der App identifiziert und bereits blockiert wurde.

103. Aus den oben genannten Gründen ist es zu begrüssen, dass die Nutzer die Löschung ihrer Daten verlangen können und dass die Once Dating AG einen Prozess hat, um Löschbegehren umgehend zu bearbeiten. Es ist auch positiv, dass den Nutzern verschiedene Kommunikationskanäle zur Verfügung stehen, um ihr Löschbegehren einzureichen (per E-Mail, per Brief oder über den in-App Kontaktkanal), wobei die Zugänglichkeit der in-App Löschmöglichkeit (siehe Ziff. 42) verbessert werden könnte.

3.3.1.2. Information über die verfügbaren Löschmöglichkeiten

104. Ein weiterer wichtiger Punkt ist die Information über die verfügbaren Löschmöglichkeiten, die den Nutzern bereitgestellt werden. Insgesamt lässt sich nach unserer Abklärung feststellen, dass die Nutzer der Once App nicht angemessen über ihre Löschungsmöglichkeiten durch die Once Dating AG informiert werden. Einerseits, weil die den Nutzern zur Verfügung gestellten Informationen diesbezüglich erhebliche Ungenauigkeiten aufweisen und andererseits, weil diese nicht oder nicht genügend die verfügbaren Löschmöglichkeiten erläutern.

105. Erstens stimmen die Informationen auf der Datenschutzrichtlinie betreffend die Bearbeitung von Löschbegehren mit der aktuellen Praxis der Once Dating AG nicht überein: gemäss der Datenschutzrichtlinie müssen Löschbegehren per E-Mail an die Adresse dpo@getonce.com mit einer Kopie des Ausweises eingereicht werden. Diese sollten durch die Once Dating AG anschliessend innerhalb von 2 Monaten bearbeitet werden, es sei denn, die Anfrage stellt sich «als deutlich unbegründet oder über das Mass hinausgehend» heraus. Zweitens werden die Möglichkeiten, das Löschbegehren per Brief oder über den im App-Kontaktkanal einzureichen, in der Datenschutzrichtlinie nicht erläutert. Die Möglichkeit, das Löschbegehren per Brief einzureichen, wird lediglich in den AGB erwähnt. Die Möglichkeit, ein Löschbegehren über den Kontaktkanal in der App einzureichen, wird weder in den AGB noch in der Datenschutzrichtlinie der Once Dating AG erwähnt, und die FAQ klärt darüber auch nicht weiter auf. Diese Diskrepanzen zwischen den verschiedenen Dokumenten macht die Information zu den gewährten Löschmöglichkeiten derart unübersichtlich, dass es einem durchschnittlichen Nutzer nicht möglich ist, Kenntnis von den verfügbaren Löschungsoptionen zu nehmen.

106. Ausserdem enthält die Datenschutzrichtlinie folgenden Satz, welcher unter dem Gesichtspunkt von Treu und Glauben problematisch ist, da er die Nutzerinnen und Nutzer von der Ausübung deren Rechte möglicherweise abhalten könnte: «[s]ollten sich die Anfragen eines Mitglieds als deutlich unbegründet oder über das Mass hinausgehend herausstellen (insbesondere aufgrund ihres sich wiederholenden Charakters), ist Once berechtigt, i) angemessene Aufwendungen geltend zu machen, die den Verwaltungskosten für die Bereitstellung der Informationen, den Kommunikationsaufbau oder das Ergreifen der angefragten Massnahmen Rechnung tragen, oder ii) sich weigern, diesen Anträgen Folge zu leisten.». (Siehe Ziff. 44).

107. Zu möglichen Kostenfolgen eines Begehrens muss zwischen dem Auskunftsrecht und anderen Betroffenenrechten differenziert werden. Das Gesetz sieht zwar die Möglichkeit einer Erhebung von Kosten für die Bereitstellung von Auskünften gemäss Art. 8 DSG vor, um unverhältnismässige Aufwände auszugleichen, nicht aber für die Bearbeitung anderer Datenschutzbegehren. Zudem erlaubt auch Art. 8 DSG nicht ohne Weiteres, dass sich ein Verantwortlicher weigert, einem Datenschutzbegehren Folge zu leisten. Ausserdem muss ein Löschbegehren immer berücksichtigt werden, wenn die Weiterbearbeitung der Daten ohne Rechtfertigungsgrund erfolgen würde. Daher ist ein genereller Hinweis, wonach Begehren nicht berücksichtigt werden, unter diesem Aspekt nicht zulässig.

108. Angesichts der Tatsache, dass sich die Datenbearbeitungen der Once Dating AG auf die Einwilligung der Nutzer stützen, stellt dieser Mangel an Übersichtlichkeit der Informationen über die verfügbaren Löschmöglichkeiten und der oben erwähnte Hinweis auf die Möglichkeit, dass die Once Dating AG «angemessene Aufwendungen geltend zu machen» könnte, einen Verstoss gegen den Grundsatz der Treu und Glauben dar.

3.3.1.3. Automatische Löschung von Personendaten bei Inaktivität

109. Das Ziel der App Once ist es, mittels Matching-Algorithmus Menschen zu verbinden, die eine Beziehung mit einer anderen Person eingehen möchten. Mit dieser Erwartung vertrauen die Nutzerinnen und Nutzer der App Once der Once Dating AG die Bearbeitung ihrer persönlichen Daten an. Im Hinblick auf den Grundsatz der Datenbearbeitung nach Treu und Glauben und den Grundsatz der Datenrichtigkeit ist die Once Dating AG verpflichtet, angemessene Massnahmen zu treffen, um sich darüber zu vergewissern, dass die Personendaten, die sie in diesem Zusammenhang erhebt und bearbeitet, Personen betreffen, die tatsächlich eine Beziehung mit einer anderen Person eingehen möchten. Im Rahmen der Partnervermittlung folgt daraus, dass die Once Dating AG nicht nur eine Pflicht hat, die registrierenden Nutzer zu prüfen und betrügerisches Verhalten von aktiven Nutzern regelmässig zu kontrollieren, sondern auch zumutbare Massnahmen zu treffen, um sicherzustellen, dass der Datenbestand möglichst aktuell bleibt.

110. Die Once Dating AG implementiert Massnahmen zur Verifikation der registrierten Nutzerinnen und Nutzer und zur Identifikation und Bekämpfung von auffälligem Missbrauch (mehr dazu unter 3.5.1.1). Ausserdem führt sie beim Matchmaking eine De-Priorisierung der Profile von Nutzenden durch, die für eine lange Zeit die App nicht mehr genutzt haben. Nutzende, die seit mehr als 30 Tagen die App nicht genutzt haben, werden in der Datenbank der Once Dating AG inaktiv. Dies entspricht aber nicht einer Deaktivierung des Kontos (siehe Ziff. 41), sondern hat lediglich zur Folge, dass die Nutzerinnen und Nutzer keine Kommunikation (E-Mail, Benachrichtigungen) mehr von der Once Dating AG erhalten, aus ihrer Mailingliste gelöscht und nicht mehr für User Experience Umfragen und Fokusgruppen ausgewählt werden (siehe Ziff. 48). Die inaktiven Nutzerinnen und Nutzer bleiben jedoch in der Datenbank der Once Dating AG gespeichert und können theoretisch weiterhin von anderen Nutzenden angesehen werden, bis sie aktiv die Deaktivierung oder die Löschung der Daten verlangen.

111. Die Once Dating AG weiss, welche Nutzerinnen und Nutzer aktiv oder inaktiv sind und kann deshalb nicht in gutem Glauben deren persönliche Daten auf unbestimmte Zeit bearbeiten. Die De-Priorisierung ist zwar eine wichtige Massnahme, um die Bearbeitung von Daten von inaktiven Nutzerinnen und Nutzern zu minimieren. Angesichts der Sensibilität der Daten, und da allein die Information, dass eine Person ein Konto bei einer Dating-Anwendung hat, Rückschlüsse auf die Intimsphäre einer Person zulässt, erachten wir als notwendig, dass die Once Dating AG weitergehende Massnahmen ergreift, um sich zu vergewissern, dass sie die Personendaten von inaktiven Nutzerinnen und Nutzern nach Treu und Glaube weiterhin bearbeiten darf.

112. Bei längerer Inaktivität der Nutzerinnen und Nutzer kann nicht mehr davon ausgegangen werden, dass diese noch an der Vermittlung eines Partners oder eine Partnerin interessiert sind, weshalb eine Weiterbearbeitung zu diesem Zweck unverhältnismässig ist. Aufgrund der fehlenden Übersichtlichkeit der Optionen für die Einreichung eines Löschbegehrens kann ausserdem nicht ausgeschlossen werden, dass Personen ihr Konto einzig aus dem Grund nicht löschen, dass sie nicht wissen, wie sie diese Löschung veranlassen können, die App aber tatsächlich nicht mehr nutzen und deshalb als inaktive Nutzenden gelten.

113. Der Grundsatz der Verhältnismässigkeit verlangt von der Once Dating AG, dass sie keine Personendaten bearbeitet, welche zur Erreichung der Bearbeitungszwecke nicht mehr notwendig sind. Auch wenn die Once Dating AG die Daten von inaktiven Nutzenden nicht mehr aktiv für die Partnervermittlung bearbeitet, speichert sie die Daten weiter, obwohl sie diese nicht mehr benötigt. Diese zeitlich unbeschränkte Bearbeitung der Daten von inaktiven Nutzern durch die Once Dating AG verletzt deshalb den Grundsatz der Treu und Glauben und der Verhältnismässigkeit.

3.3.1.4. Löschung von Personendaten, deren Bearbeitung ausgelagert wurde

114. Der Löschprozess der Once Dating AG, welcher in Ziff. 46 beschrieben wird, beinhaltet nicht die Daten, welche durch Auftragnehmer bearbeitet werden. Dies bedeutet, dass die Once Dating AG bei einem Löschbegehren zwar diejenigen Daten löscht, die bei ihr gespeichert sind, aber nicht unbedingt diejenigen, deren Bearbeitung an Datenbearbeiter ausgelagert wurde. Diesbezüglich hat sie keinen proaktiven Prozess. Folglich bleiben gewisse Personendaten bei den Auftragsbearbeitern der Once Dating AG gespeichert.

115. Art. 10a Abs. 1 lit. a DSG sieht aber vor, dass der Auftragnehmer die Daten nur so bearbeiten darf, wie der Auftraggeber selbst es tun dürfte. Dies bedeutet, dass dieser keine Daten weiterbearbeiten darf, die eine Person betreffen, welche die Löschung ihrer Daten beim Inhaber der Datensammlung verlangt hat. Die Once Dating AG ist aufgrund des Bearbeitungsgrundsatzes der Rechtmässigkeit und der Verhältnismässigkeit verpflichtet, für die Löschung dieser Daten zu sorgen, auch wenn sie Dritte (Auftragsdatenbearbeiter) mit deren Bearbeitung beauftragt hat. Zum Beispiel, indem sie das Begehren an den Dritten zur Erledigung weiterleitet, wenn sie nicht selbst in der Lage ist, die Löschung zu veranlassen.

116. Es verstösst gegen die Grundsätze der Rechtmässigkeit und der Verhältnismässigkeit, wenn die Auftragnehmer der Once Dating AG in ihrem Auftrag Daten, deren Löschung der Nutzer oder die Nutzerin ausdrücklich verlangt hat bzw. die nicht mehr benötigt werden, weiterbearbeiten.

3.3.1.5. Schlussfolgerung

117. Das Verfahren zur Bearbeitung von Löschbegehren ist insofern mit dem Grundsatz der Verhältnismässigkeit, Rechtmässigkeit und Treu und Glauben zu vereinbaren, als die Once Dating AG Löschbegehren und über verschiedenen unkomplizierten Kanälen erhält und diese in kurzer Zeit (24 Stunden) bearbeitet. Hingegen wird dem Grundsatz von Treu und Glauben nicht genügend getan hinsichtlich der Qualität der Informationen über die Löschmöglichkeiten, die den Nutzerinnen und Nutzern bereitgestellt werden sowie der Zugänglichkeit der In-App Kontaktoption, die u.E. nicht ausreichend erkennbar ist. Aufgrund der fehlenden Übersichtlichkeit der Optionen für die Einreichung eines Löschbegehrens ist nicht auszuschliessen, dass Personen, die ihr Konto löschen wollten, aber nicht wissen, wie genau dies verlangt werden kann, kein Löschbegehren einreichen, aber die App nicht mehr nutzen und als inaktive Nutzenden gelten. Die Once Dating AG bearbeitet deren Daten nicht mehr aktiv, aber speichert sie weiter, obwohl sie diese nicht mehr benötigt, was einen Verstoss gegen den Grundsatz der Verhältnismässigkeit darstellt. In diesem Sinne und vor dem Hintergrund, dass die Information, dass eine Person ein Profil in einer Dating-App hat, unter Umständen auch Rückschlüsse über ihre Intimsphäre erlaubt, müsste die Once Dating AG auch eine maximale Aufbewahrungsfrist für inaktive Konten festlegen.

118. Angesichts der Tatsache, dass die Once Dating AG keinen aktiven Prozess hat, um sicherzustellen, dass die Daten, die von den Löschbegehren betroffen sind, aber von Auftragsbearbeitern der Once Dating AG bearbeitet werden, ebenfalls gelöscht werden, erfolgt die weitere Bearbeitung dieser Daten unter Missachtung des Grundsatzes der Rechtmässigkeit, der Verhältnismässigkeit und der Treu und Glaube. Ausserdem ist es nicht auszuschliessen, dass die Daten, die gelöscht werden sollten, die aber durch Auftragnehmer bearbeitet werden, weiterhin bei diesen vorhanden sind. Dies stellt einen Verstoss gegen den Grundsatz der Rechtmässigkeit, der Treu und Glaube und der Verhältnismässigkeit dar. Dies führt zu einer Persönlichkeitsverletzung gemäss Art. 12 Abs. 2 lit. a DSG. Dementsprechend muss die Once Dating AG die Personendaten von inaktiven Konten in ihren Löschungsprozess integrieren, um diese von sich aus zu löschen, soweit eine Weiterbearbeitung nicht zu anderen Zwecken notwendig ist oder eine Weiterbearbeitung aus anderen Gründen nicht gerechtfertigt werden könnte.

3.4. Datenweitergabe an «Dienstleister»

3.4.1. Anforderungen an einer Auftragsdatenbearbeitung (Art. 10a DSG)

119. Gemäss Art. 10a DSG darf ein Verantwortlicher die Bearbeitung von Personendaten einem Dritten (Auftragnehmer) übertragen. Eine Auftragsbearbeitung i.S.v. Art. 10a DSG setzt die Erfüllung bestimmter Anforderungen voraus: Der Dritte darf die Daten nur so verarbeitet, wie es der Verantwortliche selbst tun dürfte, es gibt keine gesetzlichen oder vertraglichen Geheimhaltungspflichten, die einer Auslagerung dieser Datenbearbeitung entgegenstehen, und der Verantwortliche stellt sicher, dass der Dritte die Sicherheit der Daten gewährleistet.

120. Wer einem Dritten den Auftrag zur Datenbearbeitung gibt, muss dafür sorgen, dass dieser die datenschutzrechtlichen Schranken in gleicher Weise beachtet, wie er es selbst tun müsste. Dies gilt für jegliche Bearbeitungsart, von der Erhebung bis zur allfälligen Weitergabe der Daten. Bei der Übertragung der Bearbeitung an einen Dritten muss der Auftraggeber in Analogie zu Art. 55 des Bundesgesetzes über das Obligationenrecht alle gebotene Sorgfalt aufwenden, um Verstösse gegen das Datenschutzgesetz zu verhindern. Das betrifft insbesondere die Einhaltung der allgemeinen Grundsätze, der Regeln betreffend die Datensicherheit, sowie der Regeln betreffend die Bekanntgabe ins Ausland. Er ist daher verpflichtet, seinen Auftragsbearbeiter sorgfältig auszuwählen, ihn angemessen zu instruieren und soweit als nötig zu überwachen (BBl 1988 II 413, S. 463).

121. Die Aufführung von Art. 12 Abs. 2 DSG ist nicht abschliessend, sondern nur exemplarisch. Eine Persönlichkeitsverletzung kann demnach auch vorliegen, wenn andere Datenschutzvorgaben nicht eingehalten werden. So ist beispielsweise von einer widerrechtlichen Persönlichkeitsverletzung auszugehen, wenn die Anforderungen an einer Auftragsbearbeitung von Art. 10a DSG nicht eingehalten werden. Sind diese Bedingungen nicht gegeben, dann darf der Verantwortliche die dafür geltende Privilegierung für Auftragsbearbeitungen nicht für sich in Anspruch nehmen. Dies bedeutet, die Datenbekanntgabe an den Dritten muss gemäss Art. 13 DSG gerechtfertigt werden, sonst wird die Persönlichkeit der betroffenen Personen widerrechtlich verletzt.

3.4.2.Einhaltung der Anforderungen nach Art. 10a DSG

122. Die Dienstleister, die in der Datenschutzrichtlinie der Once Dating AG als Datenempfänger erwähnt werden, sind in erster Linie Auftragnehmer der Once Dating AG, denn sie übertragt ihnen gewisse Personendaten, damit sie diesen für die von ihr festgelegten Zwecke bearbeiten. In diesem Sinne ist die Once Dating AG gemäss Art. 10a DSG verpflichtet, ihre Dienstleister sorgfältig auszuwählen und so zu instruieren und zu überwachen, dass sie die

Daten nur weisungsgemäss bearbeiten und auch die Datenschutzbestimmungen insbesondere hinsichtlich Datensicherheit und Übermittlung ins Ausland einhalten. Werden die Anforderungen von Art. 10a DSG nicht eingehalten, gilt diese Übertragung als eine Datenbekanntgabe an Dritte, für die der Verantwortliche die für Auftragsbearbeitung geltende Privilegierung nicht für sich in Anspruch nehmen kann, so dass sie gerechtfertigt werden muss. Kann sie nicht gerechtfertigt werden, wird die Persönlichkeit der betroffenen Personen widerrechtlich verletzt.

123. Die Verträge bzw. Vereinbarungen zwischen der Once Dating AG und ihren Dienstleistern sind nicht Gegenstand der vorliegenden Abklärung. Darum verzichten wir darauf zu prüfen, ob diese tatsächlich den Anforderungen an einer Auftragsdatenbearbeitung nach Art. 10a DSG genügen. Wir konnten allerdings im Rahmen unserer Abklärung zwei Mängel in Zusammenhang mit der Auslagerung von Personendaten durch die Once Dating AG an ihren Dienstleister feststellen.

3.4.2.1. Übermittlung ins Ausland

124. Erstens konnten wir feststellen, dass alle Auftragsdatenbearbeiter der Once Dating AG Daten in Drittländern bearbeiten und nicht nur AWS, wie die Once Dating AG in ihrer Antwort auf unsere Fragen angegeben hat (siehe Ziff. 36 ff.). Die Einhaltung der Vorgaben von Art. 6 DSG durch die Auftragnehmer der Once Dating AG steht ausserhalb des Rahmens dieser Abklärung. Wie bereits unter Ziff. 119 ausgeführt, ist die Once Dating AG als Auftraggeberin aber verpflichtet, sorgfältig zu prüfen, ob ihre Auftragnehmer die Datenschutzvorgaben einhalten und trägt die Verantwortung für die Einhaltung der Regeln betreffend Datenübermittlung ins Ausland, wenn diese Datenbekanntgabe in Rahmen einer Auftragsdatenbearbeitung erfolgt.

125. Unabhängig von der Frage, ob die von den Dienstleistern in ihren jeweiligen Datenschutzerklärungen im Zusammenhang mit der Datenübermittlung ins Ausland erwähnten Sicherheitsvorkehrungen (siehe Ziff. 39) die Anforderungen von Art. 6 DSG tatsächlich erfüllen, kommen wir aufgrund der Tatsache, dass die Once Dating AG in ihrer Antwort nur AWS erwähnt hat, zu dem Schluss, dass sie ihre Dienstleister in dieser Hinsicht nicht angemessen überprüft und keine besonderen Vorkehrungen getroffen hat um sicherzustellen, dass die von ihren Dienstleistern in Drittländer übermittelten Daten angemessen geschützt bleiben. In diesem Sinne ist davon auszugehen, dass die Once Dating AG nicht genügend getan hat, um sicherzustellen, dass ihre Auftragnehmer die Regeln betreffend Datenübermittlung ins Ausland einhalten. Somit hat sie die Anforderungen von Art. 10a DSG nicht eingehalten und könnte zugleich selbst Art. 6 DSG verletzt haben.

3.4.2.2. Bearbeitung von Personendaten für Zwecke Dritter

126. Zweitens stellten wir fest, dass einige Dienstleister der Once Dating AG Personendaten nicht nur nach der Weisung der Auftraggeberin Once Dating AG, sondern auch für eigene Zwecke bearbeiten. Dies verstösst gegen den Grundsatz der Zweckbindung und steht der Natur einer Auftragsdatenbearbeitung entgegen. Immer, wenn Datenbearbeiter Personendaten, die sie von Auftraggeber erhalten, für eigene Zwecke bearbeiten, gilt dies als eine Datenbekanntgabe an Dritte, für die der Verantwortliche die für Auftragsbearbeitung geltende Privilegierung nicht für sich in Anspruch nehmen kann, so dass sie gerechtfertigt werden muss.

3.4.3. Schlussfolgerung

127. Gemäss unserer Abklärung bearbeiten alle Auftragnehmer entgegen ihrer Angaben Personendaten in Drittländern ohne angemessenes Datenschutzniveau und manche bearbeiten Personendaten für eigene Zwecke. Die Once Dating AG hat nicht sichergestellt, dass ihre Auftragnehmer die Daten nur weisungsgemäss bearbeiten. Da die Anforderungen an einer

Auftragsbearbeitung von Art. 10a DSG nicht eingehalten werden, muss die Once Dating AG diese Datenbekanntgabe an Dritte gemäss Art. 13 DSG rechtfertigen, sonst wird die Persönlichkeit der betroffenen Personen gemäss Art. 12 Abs. 1 DSG widerrechtlich verletzt. Sie trägt ausserdem die Verantwortung für die Einhaltung von Art. 6 DSG, wenn die Datenübermittlung ins Ausland in Rahmen einer Auftragsdatenbearbeitung erfolgt.

3.5. Einhaltung der Anforderungen an die Datensicherheit

3.5.1.Schutz des Systems gegen datenschutzrechtlich relevante Risiken

128. Gemäss Art. 7 DSG i.V.m. Art. 8 VDSG ist eine Privatperson, die Personendaten bearbeitet, verpflichtet, den Grundsatz der Datensicherheit einzuhalten. Das heisst, sie hat für die Vertraulichkeit, die Verfügbarkeit und die Integrität der Daten zu sorgen, um einen angemessenen Datenschutz zu gewährleisten. Dabei muss sie vor allem die Systeme gegen folgende Risiken schützen: unbefugte oder zufällige Vernichtung; zufälligen Verlust; technische Fehler; Fälschung, Diebstahl oder widerrechtliche Verwendung der Daten; unbefugtes Ändern, Kopieren, Zugreifen oder andere unbefugte Bearbeitungen. Die Massnahmen müssen dem Zweck der Datenbearbeitung, der Art und dem Umfang der Datenbearbeitung, den möglichen Risiken für die betroffenen Personen und dem gegenwärtigen Stand der Technik angemessen sein.

129. Das Gesetz verzichtet darauf, die Sicherheitsmassnahmen im Detail zu regeln. Es verfolgt aber einen risikobasierten Ansatz. Das Risiko, das mit einer Bearbeitung einhergeht, muss in Beziehung gesetzt werden zu den technischen Möglichkeiten, um dieses zu verringern. Je höher das Risiko, je grösser die Eintrittswahrscheinlichkeit und je umfangreicher die Datenbearbeitung ist, umso höher sind die Anforderungen an die technischen Vorkehren, damit sie als angemessen gelten können. Es liegt in der Verantwortung des Inhabers der Datensammlung, die Sicherheitsbedürfnisse für seine Datenbearbeitungen zu definieren und die nötigen Sicherheitsmassnahmen anzuordnen.

3.5.1.1. Schutz gegen unbefugte Datenbearbeitung

130. Gemäss der Once Dating AG sollen grundsätzlich nur registrierte Nutzer und berechtigte Dritte auf Personendaten der registrierten Nutzerinnen und Nutzer zugreifen können. Um zu verhindern, dass Unbefugte mittels Bots auf die Daten zugreifen, führt die Once Dating AG bei der Registrierung neuer Nutzer eine Verifikation durch. Das Verifikationsverfahren dient nicht einer Verifizierung der echten Identität einer Person, sondern der Vermeidung von computergenerierten Anmeldungen. Wer sich mit einer Handynummer anmeldet, wird mittels eines SMS-Verifizierungsprozesses verifiziert. Bei einer Anmeldung über Facebook-Connect wird die Identität der Nutzender verifiziert, indem das Nutzerprofil bei Once mit einem bestehenden Facebook-Profil verknüpft wird. Wenn man sich für die Verifizierung per Apple ID entscheidet, erhält die Once Dating AG, je nach den gewählten Einstellungen, die E-Mail-Adresse oder einen Proxy der E-Mail-Adresse der Nutzerin oder des Nutzers. Zudem hat die Once Dating AG verschiedene Massnahmen ergriffen, um offensichtliche Fake-Profilen zu erkennen und zu blockieren.

131. Die registrierenden Personen zu verifizieren ist wichtig, um die Datensicherheit im System zu gewährleisten. Nutzende einer Dating App, die aufgefordert werden, echte Angaben über sich zu machen, um eine passende Partnerin oder Partner vom Algorithmus vermittelt zu bekommen, können erwarten, dass ihre Profile nur durch echte Personen eingesehen werden. In diesem Zusammenhang müssen wir feststellen, dass die Verifizierung über Facebook sowie über die Telefonnummer die Erstellung von Profilen durch Bots nicht vollständig verhindern können, sie erschweren aber das Erstellen von Fake-Profile und stellen die üblichen Verifikationsverfahren im elektronischen Bereich dar.

132. Ausserdem ist niemand dazu verpflichtet, sich ein Konto bei Facebook anzulegen, um sich bei der App Once zu registrieren, es bestehen Alternativen zu diesem Verifizierungprozess. Insgesamt erscheint das Verifizierungsverfahren der Once Dating AG nach heutigem Stand der Technik als angemessen, um zusammen mit den weiteren Massnahmen zur Missbrauchsbekämpfung die App gegen Bots zu schützen. Die Once Dating AG bleibt aber in der Pflicht stets zu prüfen, ob diese Massnahme auch in der Zukunft geeignet bleiben und dem aktuellen Stand der Technik weiterhin entsprechen, um den diesbezüglichen Anforderungen der Datensicherheit zu genügen und diese ggf. durch sichere Login-Möglichkeiten zu ersetzten.

3.5.1.2. Periodische Evaluation der Sicherheitsmassnahmen und Durchführung von Schwachstellentests

133. Eine wichtige organisatorische Massnahme ist die periodische Evaluation der Sicherheitsmassnahmen. Neben der Überprüfung der Massnahmen selbst ist zu klären, ob sie noch dem Stand der Technik entsprechen und, ob die getroffenen Massnahmen tatsächlich ihren Zweck erfüllen. Dabei ist es sinnvoll, die technischen Massnahmen einer Kontrolle zu unterziehen, um zu prüfen, ob sie das System wirksam vor möglichen Angriffen schützen können. In diesem Zusammenhang soll der Inhaber der Datensammlung Schwachstellentests (Vulnerability Scans) durchführen, um das System auf Sicherheitslücken zu überprüfen.

134. Die Once Dating AG führt aktuell interne Schwachstellentests durch, und bei der Implementierung neuer Funktionen in der App werden diese von einer zweiten Person des Teams vorgängig überprüft und analysiert, bevor die App wieder produktiv gesetzt wird. Audits oder Penetrationstests durch externe Prüfer wurden bisher jedoch noch nicht durchgeführt.

135. Bei der Definition der angemessenen Schutzmassnahmen sind auch die Mittel, die dem Inhaber der Datensammlung zur Verfügung stehen, von Bedeutung. Die Once Dating AG ist zwar ein kleines Startup Unternehmen, wurde jedoch im Januar 2021 für 18 Million Dollar durch die Dating Group aufgekauft. Ihr Team soll auch von 4 auf 12 Mitarbeitenden vergrössert werden. In diesem Zusammenhang gehen wir davon aus, dass die Once Dating AG über die notwendigen Mittel verfügt, periodisch ihre Sicherheitsmassnahmen zu überprüfen und neben den internen Schwachstellentests auch Schwachstellentests durch externe Prüfer durchzuführen zu lassen, um ihre Systeme auf Sicherheitslücken zu überprüfen.

3.5.1.3. Schlussfolgerung

136. Was die Gewährleistung der Datensicherheit betrifft, so stellen wir fest, dass die Once Dating AG ihre Sicherheitsmassnahmen nicht durch Externe prüft, was angesichts der Sensibilität der durch die App bearbeiteten Daten eine angemessene Sicherheitsmassnahme zum Schutz von Personendaten vor unbefugter Bearbeitung wäre. Dies ist eine Verletzung der Pflicht des Verantwortlichen, angemessene Schutzmassnahmen zur Gewährleistung der Datensicherheit zu treffen.

3.6. Persönlichkeitsverletzungen

137. Wie oben ausgeführt, hat die Once Dating AG die Persönlichkeit ihrer Nutzerinnen und Nutzer verletzt, indem sie Datenbearbeitungen entgegen den Datenschutzgrundsätzen gemäss Art. 4 und Art. 7 DSG durchgeführt hat (siehe Schlussfolgerungen 3.2.3.5, 3.3.1.5, und 3.4.3) und, in Verletzung von Art. 10a DSG, Personendaten an Dritte bekanntgegeben hat (siehe Schlussfolgerung 3.4.3). Im Folgenden ist zu prüfen, ob die Persönlichkeitsverletzungen gerechtfertigt werden können.

3.6.1. Rechtfertigung

138. Eine Persönlichkeitsverletzung ist nicht widerrechtlich, wenn sie durch eine Rechtsgrundlage, die Einwilligung der Betroffenen oder durch ein überwiegendes privates oder öffentliches Interesse gerechtfertigt werden kann. Vorliegend würden insbesondere die Einwilligung der betroffenen Person und ein überwiegendes privates Interesse im Betracht kommen. Da für die Datenbearbeitungen der Once Dating AG keine gesetzliche Grundlage besteht, fällt diese als Rechtfertigungsgrund ausser Betracht und wird im Folgenden nicht mehr weiter geprüft.

3.6.2. Einwilligung der betroffenen Person

139. Die Once Dating AG hält in ihren Ausführungen fest, dass sie Personendaten der Nutzerinnen und Nutzer gestützt auf deren Einwilligung bearbeitet. Folgend wird geprüft, ob die Einwilligung der Nutzenden, welche zum Zeitpunkt der Registrierung eingeholt wird, die festgestellten Persönlichkeitsverletzungen zu rechtfertigen vermag.

3.6.2.1. Anforderungen an einer gütigen Einwilligung

140. Gemäss Art. 4 Abs. 5 DSG ist eine Einwilligung erst gültig, wenn sie nach angemessener Information freiwillig erfolgt. Bei der Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen muss die Einwilligung zudem ausdrücklich erfolgen.

141. In der Rechtsprechung zu Helsana+ führt das Bundesverwaltungsgericht ausserdem aus, dass es nicht genügt, wenn die Einwilligung breit und ohne Einschränkungen formuliert ist, weil dadurch der Inhaber der Datensammlung eine über den notwendigen Zweck der Datenbearbeitung hinausgehende Einwilligung einholen würde. Zudem würde eine Einwilligung, die auf mehrere Bestimmungen verteilt ist (z.B. Nutzungsbedingungen und Datenschutzerklärung), welche die Nutzerinnen und Nutzer durch Anklicken einer Schaltfläche genehmigen würden, den Voraussetzungen einer angemessenen Information für die Gültigkeit einer Einwilligung nach Art. 4 Abs. 5 DSG nicht entsprechen. Dies, weil dieses Vorgehen es den betroffenen Personen erschwert zu erkennen, in welche Datenbearbeitungen sie einwilligen (BVerG, Urteil vom 19. März 2019, A-3548/2018, E. 4.8.4). In diesem Zusammenhang wird eine Information über die Datenkategorien und die Bearbeitungszwecke, welche gestützt auf die Einwilligung der betroffenen Personen erfolgen, vorausgesetzt.

3.6.2.2. Erteilte Einwilligung

142. Die Einwilligung der Nutzer holt die Once Dating AG im Rahmen der Registrierung ein, indem die Nutzer das Kästchens neben der Aussage: «Ich akzeptiere, dass Once einige meiner personenbezogenen Daten sammelt und weiterverarbeitet, um ihren Dienst bereitzustellen» ankreuzen (siehe Ziff. 59). Dies erfordert eine aktive Handlung der Nutzer. Dabei bezieht sich die Einwilligung auf die Nutzungsbedingungen und die Datenschutzrichtlinie.

3.6.2.3. Grenzen der erteilten Einwilligung

143. Die Einwilligung kann nur die Datenbearbeitungen rechtfertigen, über welche die Nutzenden vor der Erteilung der Einwilligung angemessen informiert werden. Die Once Dating AG hat den Transparenzgrundsatz hinsichtlich gewisser Bearbeitungszwecke der Once Dating AG (siehe Ziff. 3.2.3.5) und Datenbekanntgabe an Dritte (siehe Ziff. 3.4.2.2) verletzt, weil sie die betroffenen Nutzerinnen und Nutzer über diese Aspekte nicht angemessen in ihrer Datenschutzrichtlinie bzw. Nutzungsbedingungen informiert. Daraus folgt, dass die von den Nutzenden bei der Registrierung erteilte Zustimmung die Persönlichkeitsverletzung nicht rechtfertigen kann, die aus einem Verstoss gegen den Grundsatz der Transparenz resultiert.

144. Die Einwilligung im Sinne von Art. 6 Abs. 2 lit. b DSG kann eine Datenübermittlung in Drittländer ohne hinreichende Garantien grundsätzlich rechtfertigen. Allerdings betrifft diese Bestimmung gemäss der Botschaft eine konkrete ausservertragliche Situation. Das heisst, dass die Einwilligung nur im konkreten Einzelfall für Übermittlungen ins Ausland herangezogen werden kann. Hinzukommt, dass aus den Informationen, die den Nutzenden bereitgestellt werden, nicht abgeleitet werden kann, dass die Once Dating AG ihre Datenübermittlung ins Ausland auf der Grundlage der Einwilligung der betroffenen Nutzer vornimmt, sodass nicht davon ausgegangen werden kann, dass die Nutzenden akzeptieren, dass ihre Daten in Drittländer ohne hinreichende Garantien übermittelt werden. Folgend kann die Einwilligung der betroffenen Personen die festgestellte Verletzung von Art. 6 nicht rechtfertigen (siehe Ziff. 3.2.3.4).

145. Ebenfalls kann die Verletzung der Rechtmässigkeits- und Verhältnismässigkeitsgrundsätze sowie des Grundsatzes der Treu und Glauben in Zusammenhang mit der Bearbeitung von Löschbegehren und von Personendaten inaktiver Nutzenden (siehe Ziff. 3.3.1) nicht durch die Einwilligung der betroffenen Person gerechtfertigt werden. Die Personen, welche zum Zeitpunkt der Registrierung ihre Zustimmung zu der Bearbeitung ihrer Personendaten durch die Once Dating AG erteilt haben, haben diese durch das Einreichen eines Löschbegehrens implizit zurückgezogen. Die Tatsache, dass die Once Dating AG die Bearbeitung gewisser Personendaten an ihre Auftragnehmer delegiert hat, so dass diese nicht unter ihrer direkten Kontrolle stehen, ändert nichts an ihrer Verpflichtung, diese Daten unverzüglich zu löschen. In Bezug auf die Bearbeitung von Personendaten von inaktiven Nutzenden stellen wir ausserdem fest, dass aus der Datenschutzrichtlinie nicht abgeleitet werden kann, dass die Personendaten der Nutzer für immer aufbewahrt werden, auch wenn die Profile inaktiv werden. Vielmehr wird durch folgende Aussage den Eindruck erweckt, dass sie gemäss einem Löschkonzept gelöscht werden, wenn sie nicht mehr gebraucht werden: «Die personenbezogenen Daten werden nicht länger als die für die Zwecke, für die sie erhoben und verarbeitet werden, erforderliche Dauer aufbewahrt.

146. Die festgestellte Verletzung des Datensicherheitsgrundsatzes (siehe Ziff. 3.5.1.3) kann ebensowenig durch die erteilte Einwilligung gerechtfertigt werden, denn in der Datenschutzrichtlinie wird ausgeführt, dass die Once Dating AG «sämtliche zweckmässigen Vorkehrungen [trifft], um die Sicherheit Ihrer personenbezogenen Daten zu gewährleisten und insbesondere ihre Verfälschung und Beschädigung oder den unbefugten Zugriff durch Dritte zu verhindern.».

3.6.2.4. Schlussfolgerung

147. Aus den oben genannten Gründen können die festgestellten Persönlichkeitsverletzungen nicht durch die Einwilligung der betroffenen Nutzenden gerechtfertigt werden.

3.6.3.Überwiegendes privates Interesse 3.6.3.1. Vertrag zwischen Nutzenden und der Once Dating AG

148. Eine Verletzung der Persönlichkeit ist ebenfalls nicht widerrechtlich, wenn sie durch ein überwiegendes privates Interesse gerechtfertigt ist. Gemäss Art. 13 Abs. 2 lit. a DSG fällt ein überwiegendes Interesse des Verantwortlichen insbesondere in Betracht, wenn dieser in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags Personendaten über seinen Vertragspartner bearbeitet.

149. In den Nutzungsbedingungen der App Once wird Folgendes ausgeführt: «Bei der Bestätigung seiner Anmeldung für die App und/oder auf der Website hat der Nutzer die Datenschutzrichtlinie von ONCE zur Kenntnis zu nehmen: Die Verarbeitung persönlicher Daten durch ONCE ist zur Erfüllung eines Vertrags, bei dem das Mitglied Vertragspartei ist, erforderlich.». In der Datenschutzrichtlinie der Once Dating AG steht ausserdem: «Once erhebt, verarbeitet und verwendet Ihre personenbezogenen Daten, um: Ihnen die Verwendung der App und die Nutzung der Dienste zu erlauben; per E-Mail, SMS oder auf dem Postweg mit Ihnen zu kommunizieren; unseren Service zu verbessern (nämlich: Analyse von Daten, Forschung und Entwicklung, Aufdeckung betrügerischer Verhaltensweisen; wobei alleine auf der Grundlage einer automatisierten Verarbeitung keine Entscheidung eines Eingreifens getroffen wird). Diese von Once durchgeführte Verarbeitung personenbezogener Daten ist für die Erfüllung eines Vertrages, von dem das Mitglied Vertragspartei ist, notwendig».

150. Daraus folgt, dass die Once Dating AG möglicherweise die festgestellten Persönlichkeitsverletzungen durch ein überwiegendes privates Interesse, nämlich die Bearbeitung von Personendaten über ihre Nutzer (Vertragspartner) in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung des Vertrags, welchen diese durch die Annahme der Nutzungsbedingungen der Once Dating AG abschliessen, rechtfertigen könnte. Dies soll im Folgenden geprüft werden. Darüber hinaus sehen wir kein weitergehendes Interesse der Once Dating AG, das im vorliegenden Fall das Interesse der betroffenen Personen überwiegen könnte, um die festgestellten Persönlichkeitsverletzungen zu rechtfertigen.

151. In unmittelbarem Zusammenhang mit dem Abschluss oder Abwicklung eines Vertrags sind alle Bearbeitungen zu verstehen, die aus technischer oder wirtschaftlicher Sicht notwendig sind, so dass der Vertrag erfüllt werden kann. Die Notwendigkeit muss objektiv und im Hinblick auf den Grundsatz der Verhältnismässigkeit gemessen werden. Vorliegend kann die Once Dating AG diesen Rechtfertigungsgrund geltend machen, um Datenbearbeitungen zu rechtfertigen, ohne welche sie die App Once technisch oder wirtschaftlich nicht betreiben kann.

152. Nach der Rechtsprechung des Bundesgerichts i.S. Logistep (BGE 136 II 508 E. 5.2.4), kann eine Rechtfertigung der Bearbeitung von Personendaten entgegen der Grundsätze von Art. 4, Art. 5 Abs. 1 und Art. 7 Abs. 1 DSG im konkreten Fall nur mit grosser Zurückhaltung bejaht werden. Von den im Rahmen dieser Sachverhaltsabklärung festgestellten Persönlichkeitsverletzungen sind alle, ausser die Persönlichkeitsverletzung beim Verstoss gegen Art. 10a DSG (siehe Ziff. 3.4.2.2), Persönlichkeitsverletzungen, welche aufgrund einer Bearbeitung von Personendaten entgegen der Grundsätze von Art. 4, Art. 5 Abs. 1 und Art. 7 Abs. 1 DSG herbeigeführt werden.

153. Die Once Dating AG hat den Transparenzgrundsatz hinsichtlich gewisser Bearbeitungszwecke der Once Dating AG (siehe Ziff. 3.2.3.5) und der Weitergabe von Personendaten an Dritte, welche diese im eigenen Interesse bearbeiten (siehe Ziff. 3.4.2.2) verletzt. Angesichts der Tatsache, dass angemessene Information über die durchgeführten Datenbearbeitungen eine Grundbedingung des informationellen Selbstbestimmungsrechts ist, kann dieses Interesse dem Interesse der betroffenen Personen nicht überwiegen. Somit kann die Once Dating AG die Verletzung des Transparenzgrundsatzes nicht durch ein überwiegendes Interesse im Sinne von Art. 13 Abs. 2 lit. a DSG rechtfertigen.

154. Die Datenweitergabe an Dritte selbst könnte theoretisch gerechtfertigt werden, wenn die Once Dating AG darlegen könnte, dass sie an die Dienstleistung durch diese Dritte unter den von ihnen festgelegten Konditionen angewiesen wäre, um die App wirtschaftlich zu betreiben. Ohne eine Abklärung bezüglich der Notwendigkeit dieser Datenbekanntgabe an Dritte können wir jedoch nicht davon ausgehen, dass diese durch ein überwiegendes Interesse der Once Dating AG gerechtfertigt werden. Somit erachten wir diese Persönlichkeitsverletzungen als widerrechtlich.

155. Die Weiterbearbeitung von Personendaten von Nutzenden, welche ein Löschbegehren eingereicht haben, aber die bei Auftragnehmer der Once Dating AG bearbeitet werden und von Personendaten inaktiver Nutzenden stellt einen Verstoss gegen den Bearbeitungsgrundsätze der Rechtmässigkeit und der Verhältnismässigkeit sowie der Bearbeitung nach Treu und Glauben dar (siehe Ziff. 3.3.1). Diese Weiterbearbeitung kann nicht durch das überwiegende private Interesse der Once Dating AG gerechtfertigt werden, weil diese Daten nicht benötigt werden, um die App technisch oder wirtschaftlich zu betreiben.

156. Die festgestellte Verletzung des Datensicherheitsgrundsatzes (siehe Ziff. 3.5.1.3) kann ebenfalls nicht durch ein überwiegendes Interesse der Once Dating AG gerechtfertigt werden, denn in Art. 7 Abs. 1 DSG ist eine Angemessenheitsprüfung bereits integriert. Bei der Prüfung der Angemessenheit der getroffenen Schutzmassnahmen wurden die Interessen der Once Dating AG bereits berücksichtigt. Somit kann diese Persönlichkeitsverletzung nicht durch ein überwiegendes privates Interesse gerechtfertigt werden.

3.6.3.2. Schlussfolgerung

157. Die Once Dating AG kann die festgestellten Persönlichkeitsverletzungen nicht durch ein überwiegendes privates Interesse rechtfertigen, womit diese als widerrechtlich zu beurteilen sind und daher behoben bzw. vermieden werden müssen.

3.7. Empfehlungen

158. Gestützt auf Art. 29 Abs. 3 DSG erlässt der EDÖB gegenüber der Once Dating AG die folgenden Empfehlungen.

159. In Bezug auf die festgestellten Mängel betreffend die Transparenzanforderungen bzw. die Qualität der Informationen, die den Nutzenden zur Verfügung gestellt werden, und welche eine widerrechtliche Persönlichkeitsverletzung herbeiführen (siehe Ziff. 3.2.3.5), macht der EDÖB gegenüber der Once Dating AG folgende Empfehlungen:

Die Once Dating AG passt ihre Datenschutzrichtlinie, AGB und FAQ dergestalt an, dass:

1. die Nutzerinnen und Nutzer eindeutig und in verständlicher Sprache über Datenbearbeitungen der Once Dating AG informiert werden. Dabei muss klar darüber informiert werden, welche Daten für welche Bearbeitungszwecke bearbeitet werden und an welche Datenempfänger sie weitergegeben werden. Die Qualität der Informationen hinsichtlich der Bearbeitung zu Marketingzwecken, in Zusammenhang mit den Re-Engagement-Diensten und bezüglich Drittempfängern ist zu verbessern;

2. die Informationen der Datenschutzrichtlinie, der AGB und der FAQ übereinstimmen und Klarheit über die Geltung des DSG geschaffen wird;

3. die Datenschutzrichtlinie von jeder Seite der Webseite www.getonce.com aus mit einem Klick aufgerufen werden kann;

4. differenziert und unmissverständlich informiert wird, welche Bearbeitungsvorgänge gestützt auf die Einwilligung der betroffenen Personen oder in direkter Beziehung mit dem Vertrag erfolgen;

5. hinsichtlich der neuen Pflichten gemäss nDSG, korrekt und vollständig über die verwendeten Garantien für die Datenübermittlung ins Ausland informiert wird (inkl. Link zu den vertraglichen

Garantien im Falle einer Verwendung von SCC).

160. In Bezug auf die festgestellten Mängel betreffend die Bearbeitung von Löschbegehren und die Bearbeitung von Personendaten von inaktiven Nutzenden, welche eine widerrechtliche Persönlichkeitsverletzung herbeiführen (siehe Ziff. 3.3.1), macht der EDÖB gegenüber der Once Dating AG folgende Empfehlungen:

Die Once Dating AG passt ihre Datenschutzrichtlinie, AGB und FAQ dergestalt an, dass:

1. über alle verfügbaren Löschungsmöglichkeiten der Nutzer klar, zentral und einheitlich informiert wird;

2. folgender Satz aus der Datenschutzrichtlinie gestrichen oder angepasst wird, so dass er keine unzulässige Hürden für die Ausübung von Betroffenenrechten darstellt: «[s]ollten sich die Anfragen eines Mitglieds als deutlich unbegründet oder über das Mass hinausgehend herausstellen (insbesondere aufgrund ihres sich wiederholenden Charakters), ist Once berechtigt, i) angemessene Aufwendungen geltend zu machen, die den Verwaltungskosten für die Bereitstellung der Informationen, den Kommunikationsaufbau oder das Ergreifen der angefragten Massnahmen Rechnung tragen, oder ii) sich weigern, diesen Anträgen Folge zu leisten.»;

Die Once Dating AG passt das Design der App Once wie folgt an:

3. Eine eigenständige Option «Mein Konto löschen» analog zur bestehenden Option «mein Konto deaktivieren» wird unter Einstellungen eingebaut, um diese in der App auffindbar zu machen.

Die Once Dating AG ändert ihren Löschprozess wie folgt und informiert darüber in den AGB oder FAQ:

4. Anstatt inaktive Nutzenden nur im «Matchmaking» zu depriorisieren, deaktiviert die Once Dating AG von sich aus die Konten nach 30 Tagen von Inaktivität und informiert die betroffenen Nutzenden per E-Mail, dass sie ihr Konto reaktivieren können, wenn sie sich innerhalb von einem Jahr bei der Anwendung wieder anmelden. Dabei weist die Once Dating AG auch auf die Möglichkeit hin, die Löschung der eigenen Personendaten jederzeit zu verlangen. Nach einem Jahr ohne Aktivität löscht die Once Dating AG von sich aus das bereits deaktivierte Konto endgültig;

5. Die Once Dating AG führt einen Prozess ein, um im Falle eines Löschbegehrens die Löschung oder die Anonymisierung der Daten, die durch Auftragnehmer bearbeitet werden, sicherzustellen.

161. In Bezug auf die festgestellten Mängel in Zusammenhang mit der Auslagerung von Personendatenbearbeitungen durch die Once Dating AG an Dritte (siehe Ziff. 3.4.2.2), macht der EDÖB gegenüber der Once Dating AG folgende Empfehlungen:

Die Once Dating AG prüft ihre Verträge mit ihren Dienstleistern und trifft Massnahmen, um sicherzustellen, dass:

1. die Dienstleister die Anforderungen an einer Datenübermittlung ins Ausland gemäss Art. 6 DSG einhalten;

2. die Dienstleister keine Daten ohne Rechtfertigungsgrund für eigene Zwecke bearbeiten .

162. In Bezug auf die festgestellten Mängel in Zusammenhang mit der Gewährleistung der Datensicherheit durch die Once Dating AG (siehe Ziff. 3.5.1.3) macht der EDÖB gegenüber der Once Dating AG folgende Empfehlungen:

1. Die Once Dating AG prüft regelmässig ihre Sicherheitsmassnahmen und Verifikationsverfahren, um sicherzustellen, dass diese geeignet bleiben, um ihre Schutzziele zu erreichen;

2. Die Once Dating AG lässt regelmässig Penetrationstests durch externe Auditoren ausführen, insbesondere, wenn neue Features in die App Once eingebaut werden.

3.8. Stellungnahme der Once Dating AG

163. Mit Schreiben vom 3. März 2023 wurde der Once Dating AG der Bericht zu einer abschliessenden Stellungnahme unterbreitet. Die Stellungnahme der Once Dating AG (vgl. Ziff. 165) wird im Rahmen der Schlussredaktion an dieser Stelle eingefügt.

164. Im Rahmen der Stellungnahme hat die Once Dating AG den EDÖB informiert, dass aufgrund von Umstrukturierungen die Webseite und die App zwischenzeitlich abgeschaltet wurden. Die Inaktiven Nutzerinnen und Nutzer seien gelöscht wurden, aktive Nutzerinnen und Nutzer wurden auf das neue System transferiert, welches von Xeanco Limited mit Sitz in Hong Kong übernommen wurde und die Empfehlungen umsetzt.

3.9. Verfahren

3.9.1. Rechtliches Gehör und weiteres Vorgehen

165. Der EDÖB hat der Once Dating AG den vorliegenden Schlussbericht mit Empfehlungen zur Prüfung und Stellungnahme vorgelegt. Die Once Dating AG wurde aufgefordert innerhalb von 30 Tagen nach Erhalt zum Bericht Stellung zu nehmen und mitzuteilen, ob sie die Empfehlungen akzeptiert oder andere für die betroffenen Personen gleichwertigen Massnahmen trifft.

166. Die Once Dating AG hat die Empfehlungen angenommen und gleichzeitig mitgeteilt, dass sie die Empfehlungen bereits umgesetzt hat oder diese bis Ende 2023 umsetzen wird.

3.9.2.Veröffentlichung des Schlussberichts mit Empfehlungen

167. Es besteht ein grundsätzliches Interesse daran, die Öffentlichkeit für die vorliegende Art der Datenbearbeitung zu sensibilisieren und sie über seine Feststellungen und die Ergebnisse seiner Abklärung zu informieren, Gestützt auf Art. 30 Abs. 2 DSG wird der EDÖB deshalb den vorliegenden Schlussbericht in angepasster Form auf seiner Website (www.edoeb.admin.ch) veröffentlichen.

168. Die Veröffentlichung des vollständigen Berichts inklusive Empfehlungen steht unter dem Vorbehalt, dass aus Sicht der Once Dating AG keine vertraulichen Daten offengelegt werden, welche Geschäftsgeheimnisse preisgeben oder die Wettbewerbsfähigkeit beeinflussen könnten. Die Once Dating AG wurde deshalb aufgefordert, den Bericht auf solche vertraulichen Inhalte zu prüfen und gegenüber dem EDÖB innert derselben Frist schriftlich Stellung zu nehmen.

169. Die Once Dating AG hat keine Geschäftsgeheimnisse geltend gemacht. Im Sinne des Persönlichkeitsschutzes wurden deshalb nur einzelne Namen für die Publikation geschwärzt.

Der Beauftragte: Die zuständige Juristin:

Adrian Lobsiger Fabiane Midori Sousa Nakagawa