Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter EDÖB Der Beauftragte Feldeggweg 1, 3003 Bern Tel. 031 323 74 84, Fax 031 325 99 96 www.edoeb.admin.ch CH-3003 Bern , EDÖB, LR Einschreiben (R) Bundesverwaltungsgericht Postfach 3000 Bern 14 Ihr Zeichen: Unser Zeichen: A2011.08.10-0006 / LR Bern, 12.08.2011 Beschwerde in Sachen Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter EDÖB Feldeggweg 1, 3003 Bern (Beschwerdeführer) gegen die AXA Stiftung berufliche Vorsorge, Winterthur c/o AXA Leben AG, General Guisan-Strasse 40, 8400 Winterthur (Beschwerdegegnerin) und das Eidgenössische Departement des Innern EDI Schwarztorstrasse 59, 3007 Bern (Vorinstanz) betreffend Verfügung des EDI vom 15. Juni 2011 (Zustellung von Pensionskassenausweisen) 2/15 I. Antrag 1. Die Verfügung des EDI vom 15. Juni 2011 sei aufzuheben. 2. Die Beschwerdegegnerin sei anzuweisen, den bei ihr versicherten Personen die persönli- chen Pensionskassenausweise künftig so zuzustellen, dass ausschliesslich die versicherten Personen, insbesondere aber nicht deren Arbeitgeber, Kenntnis vom Inhalt dieser Ausweise erlangen können. 3. Es seien weder Verfahrenskosten aufzuerlegen noch Parteientschädigungen zuzusprechen. II. Begründung Formelles 1. Der beschwerdegegenständlichen Verfügung ging die Empfehlung des EDÖB gemäss Art. 27 Abs. 4 DSG an die Beschwerdegegnerin vom 8. Juli 2009 und der Antrag auf Entscheid des EDÖB gemäss Art. 27 Abs. 5 DSG an die Vorinstanz vom 27. August 2009 voraus. Die Be- schwerdelegitimation ergibt sich aus Art. 27 Abs. 6 DSG. Beweis: Empfehlung vom 8. Juli 2009 (Beilage 1) Antrag auf Entscheid vom 27. August 2009 (Beilage 2) 2. Die Verfügung des EDI datiert vom 15. Juni 2011 und ging hierorts am 16. Juni 2011 ein. Die Beschwerdefrist von 30 Tagen gemäss Art. 50 Abs. 1 VwVG begann am Tag nach der Mittei- lung an die Parteien, mithin am 17. Juni 2011, zu laufen (Art. 20 Abs. 1 VwVG). Unter Berück- sichtigung des Fristenstillstands von Art. 22a Abs. 1 Bst. b VwVG erfolgt die vorliegende Be- schwerde rechtzeitig. Beweis: Verfügung des EDI vom 15. Juni 2011 im Original (Beilage 3) Sachverhalt 3. Das Bundesverwaltungsgericht stellt den Sachverhalt im vorliegenden Verfahren grundsätzlich von Amtes wegen fest (Art. 37 VGG i.V.m. Art. 12 VwVG). Er ist allerdings soweit ersichtlich li- quid, unbestritten und einfach: 3/15 4. Die Beschwerdegegnerin stellt die persönlichen Pensionskassenausweise nicht verschlossen direkt den bei ihr versicherten Personen zu, sondern unverschlossen deren jeweiligen Arbeitge- bern. Diese übernehmen die betriebsinterne Verteilung. Die Ausweise sind dabei in keiner Wei- se gegen Einsichtnahme und Kopieren geschützt. Insbesondere sind die Ausweise nicht einzeln in Couverts verpackt, nicht mit einem (Klebe-)Siegel versehen oder nicht nur nach Aufreissen einer perforierten Sollbruchlinie einsehbar. 5. Den Ausweisen ist unter anderem zu entnehmen, welche Freizügigkeitsleistungen neu eintre- tende Versicherte mitbringen, wann und in welcher Höhe sie Einkäufe in die Pensionskasse tä- tigen, wann und in welcher Höhe sie Pensionskassenguthaben für den Erwerb von Wohneigen- tum vorbeziehen, ob und wann das Pensionskassenguthaben (infolge Ehescheidung) geteilt wurde und auf welchen Betrag sich ihre angesparten Pensionskassenguthaben belaufen (vgl. angefochtene Verfügung S. 14, Ziff. 4 und S. 15, Ziff. 7). Rechtliches 6. Streitig ist die (datenschutz-)rechtliche Beurteilung der Zustellpraxis der Beschwerdegegnerin, deren Zulässigkeit in Ziffer 2 des Dispositivs der angefochtenen Verfügung bejaht wird. Umstrit- ten ist mithin die Rechtmässigkeit der damit verbundenen Bekanntgabe von Angaben über die berufliche Vorsorgesituation der Versicherten durch die Beschwerdegegnerin (als Bundesor- gan) an die ihr angeschlossenen Arbeitgeber, welche Letztere weder bereits kennen noch be- rechnen könnten. Anwendbarkeit des DSG 7. Bei den erwähnten Angaben handelt es sich um Personendaten i.S.v. Art. 3 Bst. a DSG. Die Beschwerdegegnerin ist mit der Durchführung der obligatorischen BVG-Versicherung, einer öf- fentlichen Aufgabe des Bundes, betraut. Sie handelt dabei als Bundesorgan i.S.v. Art. 3 Bst. h DSG. Eine Ausnahme vom Geltungsbereich nach Art. 2 Abs. 2 DSG liegt nicht vor. Allgemeine Datenbearbeitungsgrundsätze für Bundesorgane 8. Gegenstand der vorliegenden Beschwerde ist die Datenbearbeitung der Beschwerdegegnerin in ihrer Funktion als Bundesorgan im Bereich der obligatorischen Vorsorgeversicherung. Für den Bereich der weitergehenden beruflichen Vorsorge ist die Beschwerdegegnerin als Privat- person einzustufen, auf welche grundsätzlich die allgemeinen Datenschutzbestimmungen nach Art. 4 - 11a DSG und die besonderen Datenschutzbestimmungen für Privatpersonen nach Art. 12 - 15 DSG zur Anwendung kommen. 4/15 9. Organe des Bundes dürfen Personendaten dann bear beiten, wenn dafür eine gesetzliche Grundlage besteht (Art. 17 Abs. 1 DSG). Für die Bearbeitung von besonders schützenswerten Personendaten und Persönlichkeitsprofilen ist ein Gesetz im formellen Sinn erforderlich (Art. 17 Abs. 2 DSG), es sei denn, es kommen die Ausnahmen von Art. 17 Abs. 2 Bst. a-c DSG zum Zuge. Dieselben Voraussetzungen gelten für die Bekanntgabe von Personendaten (Art. 19 DSG). Nach Art. 19 Abs. 4 DSG ist die Datenbekanntgabe an Dritte abzulehnen, einzuschrän- ken oder mit Auflagen zu versehen, wenn gesetzliche Geheimhaltungs- und Schweigepflichten bestehen. Die gesetzliche Grundlage für Datenbekanntgaben durch Bundesorgane muss nicht nur eine genügende Bestimmtheit aufweisen, sondern sie muss sich ausdrücklich auf den Transfer der Daten als solchen beziehen. Eine allgemeine Kompetenz zur Datenbearbeitung genügt demnach nicht. Hingegen kommt es nicht darauf an, ob die Weitergabe der Daten als Recht oder Pflicht der bekannt gebenden Behörde oder aber als Anspruch des Empfängers der Daten umschrieben ist (BBl 1988 II 469). Mit anderen Worten, die gesetzliche Grundlage muss eine Ermächtigung oder Verpflichtung für die Datenbekanntgabe enthalten. 10. Soweit nicht besondere gesetzliche Vorschriften entgegenstehen, müssen Bundesorgane im- mer auch die allgemeinen Bestimmungen in Art. 4 ff. DSG beachten (BBl 1988 II 467). Die Grundsätze und Prinzipien des DSG sind zudem bei der Auslegung bereichsspezifischer Nor- men zu berücksichtigen (YVONNE JÖHRI , Handkommentar zum DSG, 2008, Art. 17 N. 5; BGE 126 II 126 E. 5b/bb S. 134). Namentlich ist den in der Bundesverfassung und dem Daten- schutzgesetz verankerten Wertentscheiden im Sinne einer grundrechtskonformen Auslegung Rechnung zu tragen. 11. Nach Art. 13 der Bundesverfassung hat jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihres Brief-, Post- und Fernmeldeverkehrs und auf Schutz vor Missbrauch ihrer persönlichen Daten. Das Datenschutzgesetz bezweckt den Schutz der Persönlichkeit und der Grundrechte von Personen, über die Daten bearbeitet werden (Art. 1 DSG). Mit dem DSG sollen die in der Bundesverfassung und der EMRK garantierten Grund- rechte auf Achtung der Privatsphäre und auf informationelle Selbstbestimmung geschützt und gestärkt werden. Letzteres zählt - über den zu engen Wortlaut hinaus - als ungeschriebenes Grundrecht zum Gehalt des in Art. 13 Abs. 2 BV verankerten verfassungsrechtlichen Persön- lichkeitsschutzes (RAINER J. SCHWEIZER , in: Die schweizerische Bundesverfassung, 2. Aufl. 2008, Art. 13 N. 39). Das Recht auf informationelle Selbstbestimmung gewährt Anspruch dar- auf, selber zu bestimmen, wem und weshalb man persönliche Lebenssachverhalte offenbart. Dieser Schutz umfasst jedes staatliche Erheben, Sammeln, Aufbewahren und Weitergeben von Daten, die sich auf die Privatsphäre einer Person beziehen. Weil eine diesbezügliche staatliche Datenbearbeitung eine Grundrechtsbeschränkung darstellt, müssen die allgemeinen Voraus- setzungen von Art. 36 BV eingehalten werden. Das bedeutet insbesondere, dass die Beschrän- kung verhältnismässig sein muss (URS M AURER -LAMBROU / SIMON KUNZ , in: Basler Kommentar, Datenschutzgesetz, 2. Aufl. 2006, Art. 1 N. 19). 12. Dieses Prinzip spiegelt sich auch in Art. 4 Abs. 2 DSG wieder: Verhältnismässigkeit ist eine Grundvoraussetzung jeder rechtmässigen Personendatenbearbeitung. Das bedeutet nament- lich, dass Personendaten nur soweit bearbeitet dürfen, als dies für einen bestimmten Zweck ob- jektiv geeignet und erforderlich ist (DAVID R OSENTHAL , Handkommentar zum DSG, 2008, Art. 4 N. 20). Das Verhältnismässigkeitsgebot wird speziell für den Arbeitsbereich durch Art. 328b OR 5/15 konkretisiert. Diese Norm beschränkt die zulässige Bearbeitung von Personendaten des Arbeit- nehmers durch den Arbeitgeber auf Fälle mit Arbeitsplatzbezug (STREIFF /VON KAENEL , Arbeits- vertrag, 6. Aufl. 2006, Art. 328b N. 3). Regelung der Datenbearbeitung im Bereich der obligatorischen beruflichen Vorsorge 13. Im Bereich der obligatorischen beruflichen Vorsorge ist die Datenbearbeitung und -bekanntgabe durch Bundesorgane in den Art. 85a - 87 BVG geregelt. Diese Bestimmungen wurden mit der BVG-Revision vom 23. Juni 2000 eingefügt und per 1. Januar 2001 in Kraft gesetzt. Sie erset- zen frühere Regelungen (auf Verordnungsstufe), welche den Anforderungen an die gesetzliche Grundlage für die Datenbearbeitung durch Bundesorgane nach Inkrafttreten des DSG nicht mehr genügten (Botschaft über die Anpassung und Harmonisierung der gesetzlichen Grundla- gen für die Bearbeitung von Personendaten in den Sozialversicherungen vom 24. November 1999; BBl 2000 255 ff.; nachfolgend "Botschaft Anpassung Sozialversicherungsgesetze"). Gesetzliche Schweigepflicht nach Art. 86 BVG 14. Nach Art. 86 BVG haben Personen, welche an der Durchführung sowie Kontrolle oder Beauf- sichtigung der Durchführung des BVG beteiligt sind, gegenüber Dritten Verschwiegenheit zu bewahren. Die Schweigepflicht nach Art. 86 BVG ist auf den Bereich der obligatorischen beruf- lichen Vorsorge beschränkt, da dieser Artikel nicht in der Liste von Art. 49 Abs. 2 BVG aufge- führt ist (K URT PÄRLI , in: Jacques-André Schneider/Thomas Geiser/Thomas Gächter (Hrsg.), BVG und FZG, Bern 2010, Art. 86 N. 15 [zit. Handkommentar BVG und FZG]). 15. Personen, die am Vollzug der Sozialversicherungsgesetze beteiligt sind, unterliegen der Schweigepflicht. Diese Pflicht verhindert die Bekanntgabe von Personendaten durch Bundesor- gane an Dritte (Art. 19 Abs. 4 Bst. b DSG), sofern nicht das betreffende Gesetz, d.h. das jewei- lige Sozialversicherungsgesetz, Ausnahmen vorsieht (Botschaft Anpassung Sozialversiche- rungsgesetze, BBl 2000 261). Die Schweigepflicht bezweckt den Schutz der Persönlichkeit der BVG-versicherten Personen. 16. Die gesetzliche Schweigepflicht im Bereich der Sozialversicherungen wurde 2002 in die allge- meinen Verfahrensbestimmungen des Bundesgesetzes über den Allgemeinen Teil des Sozial- versicherungsrechts (ATSG) überführt (Art. 33 ATSG). Da aber das ATSG auf die berufliche Vorsorge nicht anwendbar ist, wurde im Zuge dieser Revision Art. 86 BVG nicht aufgehoben. Sowohl die Schweigepflicht nach Art. 33 ATSG wie auch jene von Art. 86 BVG sind sprachlich identisch und verfolgen denselben Zweck. Es liegt deshalb nahe, die Frage, welche Personen als "Dritte" i.S.v. Art. 86 BVG gelten, in analoger Auslegung zu Art. 33 ATSG zu beantworten. 17. Die Liste der Personen und Behörden, denen gegenüber die Schweigepflicht nach BVG entfällt, entspricht im Wesentlichen jener der Ersten Säule (AHV/IV) sowie der Unfallversicherungsge- 6/15 setzgebung (Bundesamt für Sozialversicherungen, Mitteilungen über die berufliche Vorsorge Nr. 8 vom 30. März 1988, Nr. 50, Die Ausnahmen von der Schweigepflicht in der beruflichen Vorsorge, S. 13). "Dritte" i.S.v. Art. 86 BVG sind alle Stellen und Personen, die nicht zur Vor- sorgeeinrichtung gehören (PÄRLI , Handkommentar BVG und FZG, Art. 86 N 13;). Als "Dritte" gelten insbesondere Arbeitgeber (UELI KIESER , ATSG-Kommentar, 2. Aufl., Zürich 2009, Art. 33 N. 10). 18. Einzelne Mitarbeitende der Arbeitgeber (bspw. Mitarbeitende der Personal- oder Finanzabtei- lung), die an der Durchführung des BVG beteiligt sind und dazu Daten bearbeiten, unterstehen ebenfalls der gesetzlichen Schweigepflicht nach Art. 86 BVG (PÄRLI , Handkommentar BVG und FZG, Art. 86 N. 12). Für die Durchführung des BVG im obligatorischen Bereich benötigen sie beispielsweise Angaben im Zusammenhang mit der Beitragspflicht (Art. 66 BVG), Daten zwecks Anmeldung eines Arbeitnehmers in die Vorsorgeeinrichtung oder Angaben bei Austritt eines Ar- beitnehmers. Sie benötigen zur Durchführung des BVG im obligatorischen Bereich jedoch keine Angaben über Freizügigkeitsleistungen, über Bezüge für Wohneigentum oder über Einkäufe in die berufliche Vorsorge und sie können diese Angaben auch nicht selber berechnen. Bezüglich solcher Daten gelten diese Mitarbeitenden (wie auch die Arbeitgeber insgesamt) als Dritte i.S.v. Art. 86 BVG. 19. Gemäss Art. 85a BVG sind die mit der Durchführung, der Kontrolle oder der Beaufsichtigung der Durchführung dieses Gesetzes betrauten Organe befugt, Personendaten, einschliesslich besonders schützenswerter Daten und Persönlichkeitsprofile, zu bearbeiten oder bearbeiten zu lassen. Gemäss Botschaft handelt es sich bei den Bundesorganen, die befugt sind, Personen- daten zu bearbeiten, um jene, die im Gesetz bezeichnet sind. Es sind dies vorwiegend Organe, welche die Sozialversicherung durchführen (auch diejenigen, die privatrechtlich organisiert sind, wie beispielsweise Kranken- oder Pensionskassen; vgl. Art. 3 Bst. h DSG), aber auch andere Organe (Zentrale Ausgleichsstelle der AHV, IV-Stellen, Organe der Arbeitssicherheit usw.) so- wie Organe, welche die Anwendung der Gesetze überwachen sollen (z.B. das Bundesamt für Sozialversicherung, BSV). Es kann sich auch um kantonale Organe handeln (z.B. kantonale Ausgleichskassen). Sofern eine kantonale Stelle ein Bundessozialversicherungsgesetz anwen- det, hat sie die in diesem Gesetz enthaltenen Bestimmungen über das Bearbeiten von Perso- nendaten, die Schweigepflicht, usw. einzuhalten (Botschaft Anpassung Sozialversicherungsge- setze, BBl 2000 263). 20. Die paritätische Verwaltung nach Art. 51 BVG ist das oberste Organ der Vorsorgeinrichtung. Im Fall der Beschwerdegegnerin ist dies der Stiftungsrat. Er setzt sich aus je drei Arbeitgeber- und Arbeitnehmervertretern zusammen. Seine Entscheidungen trifft er frei und unabhängig vom Wil- len Aussenstehender (MAYA G ECKELER H UNZIKER , Arbeitnehmermitbestimmung unter besonde- rer Berücksichtigung der paritätischen Verwaltung nach Art. 51 BVG, Zürich 2010, S. 183). Die ebenfalls paritätisch besetzten Personalvorsorge-Kommissionen der einzelnen Vorsorgewerke wählen den Stiftungsrat und nehmen die Aufgaben wahr, die ihnen der Stiftungsrat reglementa- risch überträgt. Sie sind neben dem Stiftungsrat Organe der Stiftung. Die Vorsorgekommissio- nen sind damit einerseits Vertreter der angeschlossenen Firmen (Arbeitnehmer und Arbeitge- ber), zugleich aber auch dasjenige Gremium, mittels welchem die in Art. 51 BVG vorgesehene paritätische Verwaltung der Kasse durchgeführt wird. Sie haben deshalb grundsätzlich den glei- 7/15 chen Zugang zu den massgeblichen Informationen wie die Gremien der paritätischen Verwal- tung bei einer einzelbetrieblichen Vorsorgeeinrichtung (BGE 124 II 114 E. 2b S. 117). 21. Dort, wo der Stiftungsrat bzw. die Personalvorsorgekommissionen öffentliche Aufgaben des Bundes wahrnehmen, handeln sie als Bundesorgane i.S.v. Art. 3 Bst. h DSG bzw. als Organe i.S.v. Art. 85a BVG. Die dorthin entsandten Arbeitgeber- und Arbeitnehmervertreter dürfen nur die Daten bearbeiten, die sie benötigen, um ihre Aufgaben zu erfüllen (Art. 85a BVG). Zudem unterliegen die Stiftungsratsmitglieder – und damit auch die Vertreter des Arbeitgebers in ihrer Funktion als Mitglied der paritätischen Verwaltung – der Schweigepflicht nach Art. 86 BVG und dürfen Daten nur den in Art. 86a BVG aufgeführten Stellen und unter den dort umschriebenen Voraussetzungen bekannt geben (GECKELER H UNZIKER , a.a.O., S. 174 f.). 22. Dabei steht ihnen zwar ein Einsichtsrecht in die kompletten Listen aller Versicherten und Ren- tenbezüger sowie Barauszahlungen zu (GECKELER H UNZIKER , a.a.O., S. 174). Soweit aber indi- vidualisierte Daten über versicherte Arbeitnehmer keine Relevanz für das dem paritätischen Gremium zukommende Handeln haben, steht Art. 51 BVG einer Einschränkung des Einsichts- rechts in einzelne Dossiers nicht entgegen (so auch GABRIELA R IEMER -KAFKA , Datenschutz zwi- schen Arbeitgeber und Versicherungsträgern, SJZ 96 [2000] S. 288. Dieser Autorin erscheint darüber hinaus ohnehin fraglich, ob ein Stiftungsrat überhaupt ein rechtliches Interesse an schützenswerten Arbeitnehmerdaten haben kann). 23. Selbst wenn man davon ausgehen wollte, dass die Stiftungsratsmitglieder für die Erfüllung ihrer Aufgaben individualisierte und lückenlose Angaben zur Vorsorgesituation jedes einzelnen Ver- sicherten benötigen würden, bedeutet dies nun aber selbstverständlich nicht, dass damit die ca. 30'000 der Beschwerdegegnerin angeschlossenen Arbeitgeber in ihrer Gesamtheit zu "Orga- nen" der Vorsorgeeinrichtung würden, damit nicht "Dritte" i.S.v. Art. 86 BVG wären (so aber S. 16, Ziff. 9 der angefochtenen Verfügung) und Anspruch auf uneingeschränkten Zugang zu sämtlichen Angaben über jeden einzelnen Versichten hätten. Würde konsequenterweise diese Schlussfolgerung auch auf die Arbeitnehmer angewendet, weil auch sie ja Vertreter in den Stif- tungsrat und die Personalvorsorgekommissionen entsenden können, hätte eine Sammel- oder Gemeinschaftsstiftung wie die Beschwerdegegnerin mehrere Hunderttausend derartiger "Orga- ne", die allesamt Zugang zu allen Versichertendaten hätten. Diese Betrachtungsweise erscheint abwegig. 24. Zum gleichen Ergebnis gelangt man, wenn man sich die Bestimmungen zur Verantwortlichkeit der Mitglieder der Organe der Vorsorgeinrichtungen vor Augen hält. Diese richtet sich (im Ver- hältnis zu anderen Personen als der Vorsorgeinrichtung selbst) nach der allgemeinen Organ- haftung juristischer Personen in Art. 55 Abs. 2 ZGB. Ein schädigendes Verhalten der Arbeit- nehmer- und Arbeitgebervertreter als Organträger der Vorsorgeeinrichtung wird dieser (und nicht etwa dem angeschlossenen Arbeitgeber) zugerechnet. Die Vorsorgeeinrichtung haftet gemäss Art. 55 Abs. 2 ZGB für den Schaden. Überdies besteht nach Art. 55 Abs. 3 ZGB eine persönliche Haftung aus unerlaubter Handlung der Organträger, d.h. der einzelnen Arbeitneh- mer- und Arbeitgebervertreter im Führungsorgan der Vorsorgeeinrichtung und nicht der ange- schlossenen Arbeitgeber (GECKELER H UNZIKER , a.a.O., S. 214, mit Hinweisen). 8/15 25. Zusammengefasst lässt sich damit festhalten, dass zwar die dorthin entsandten Vertreter des Arbeitgebers Teil eines Organs der Vorsorgeeinrichtung sind, nicht aber der Arbeitgeber insge- samt. Da weiter nicht ersichtlich ist, wo der Arbeitgeber im Bereich der obligatorischen berufli- chen Vorsorge eine öffentliche Aufgabe erfüllen würde, kann er auch nicht insgesamt als Bun- desorgan i.S.v. Art. 3 Bst. h DSG betrachtet werden. Der Arbeitgeber ist damit - entgegen S. 16, Ziff. 8 ff. der angefochtenen Verfügung - grundsätzlich "Dritter" i.S.v. Art. 86 und 86a BVG. Durchbrechung der Schweigepflicht - Allgemeines 26. Bundesorgane dürfen Personendaten aus dem Bereich der obligatorischen Sozialversicherung nur dann an Dritte bekannt geben, wenn das betreffende Gesetz eine Ausnahme von der grundsätzlichen Schweigepflicht vorsieht (Botschaft Anpassung Sozialversicherungsgesetze, BBl 2000 261). Art. 86 BVG selber enthält keine Angaben über die ausnahmsweise zulässige Durchbrechung der Schweigepflicht. 27. Die ursprüngliche Fassung von Art. 86 BVG enthielt in Absatz 2 eine Ermächtigung an den Bundesrat, Ausnahmen von der Schweigepflicht zu regeln. Gestützt auf diese Kompetenznorm hat der Bundesrat eine Verordnung über die Ausnahmen von der Schweigepflicht erlassen. Al- lerdings wurde diese Bestimmung am 22. November 2000 (AS 2000 2909) gestrichen. Grund dafür war die umfassende Revision zur Anpassung der Sozialversicherungsgesetze an das neue Datenschutzgesetz (vgl. Botschaft Anpassung Sozialversicherungsgesetze, BBl 2000 255 ff.). Das wesentliche Ziel dieser Revision war es, in jedem Sozialversicherungsgesetz eine neue Bestimmung zu schaffen, welche die Bearbeitung sämtlicher für das Führen der Versiche- rung erforderlichen Personendaten gestattet und die Bekanntgabe von Personendaten auf Ge- setzesstufe (und nicht wie bisher auf Verordnungsebene) regelt. Zugleich wurde für alle Sozial- versicherer eine einheitliche Regelung der Schweigepflichten und ihrer Ausnahmen geschaffen (Botschaft Anpassung Sozialversicherungsgesetze, BBl 2000 260; P ÄRLI , Handkommentar BVG und FZG, Art. 86a N. 1). Gemäss Botschaft wird die Aufhebung der Schweigepflicht künftig in jedem Gesetz Gegenstand einer Bestimmung mit dem Titel „Datenbekanntgabe“ (in Anlehnung an die Terminologie des DSG) sein. Diese Norm übernimmt im Wesentlichen die derzeit in den Verordnungen geregelten Ausnahmen von der Schweigepflicht (Botschaft Anpassung Sozial- versicherungsgesetze, BBl 2000 262). Zwar enthält Art. 86a Abs. 7 BVG eine Delegationsnorm an den Bundesrat, wonach dieser die Modalitäten der Bekanntgabe und die Information der Be- troffenen regeln kann. Diese Kompetenz ist allerdings auf die Regelung der Bekanntgabe moda- litäten beschränkt; der Bundesrat kann auf Verordnungsstufe nicht zusätzliche Dritte aufneh- men, denen in Abweichung der gesetzlichen Schweigepflicht Daten bekannt gegeben werden dürfen. 28. Seit dem Inkrafttreten dieser neuen BVG-Bestimmungen zur Datenbearbeitung durch Bundes- organe (Art. 85a - 87 BVG) sind die Ausnahmen von der Schweigepflicht im Bereich der obliga- torischen beruflichen Vorsorge in Art. 85b BVG (Akteneinsicht), Art. 86a BVG (Datenbekannt- gabe) und Art. 87 BVG (Amts- und Verwaltungshilfe) geregelt (Botschaft Anpassung Sozialver- 9/15 sicherungsgesetze, BBl 2000 261; PÄRLI , Handkommentar BVG und FZG, Art. 86 N. 7 und 10, Art. 86a N. 4). Diese Bestimmungen gehen Art. 85a BVG vor. Weitergehende Ausnahmen von der gesetzlichen Schweigepflicht sind nicht vorgesehen. Die Weisungen des Bundesrates über die Pflicht der registrierten Vorsorgeeinrichtungen zur Auskunftserteilung an ihre Versicherten vom 11. Mai 1988 (BBl 1988 II 641) wurden mit Inkrafttreten von Artikel 86a BVG ausser Kraft gesetzt (Botschaft Anpassung Sozialversicherungsgesetze, BBl 2000 2680). Durchbrechung der Schweigepflicht - Fälle zulässiger Datenbekanntgabe (Art. 86a BVG) 29. Die Beschwerdegegnerin als Bundesorgan gibt mit der offenen Zustellung der Pensionskas- senausweise den Arbeitgebern Personendaten aus der obligatorischen beruflichen Vorsorge bekannt (vgl. oben Ziff. 5 und S. 15, Ziff. 7 der angefochtenen Verfügung), die ihnen sonst nicht bekannt wären. 30. Eine Datenbekanntgabe durch Bundesorgane – in Abweichung von Art. 86 BVG – an Personen und Stellen, die nicht der gesetzlichen Schweigepflicht unterliegen, ist im Bereich der obligatori- schen beruflichen Vorsorge unter den in Art. 86a BVG umschriebenen Voraussetzungen mög- lich. Diese Liste ist abschliessend (P ÄRLI , Handkommentar BVG und FZG, Art. 86a N. 4). Ge- mäss Art. 86a Abs. 6 BVG dürfen jedenfalls nur die Daten bekannt gegeben werden, welche für den in Frage stehenden Zweck erforderlich sind. 31. Eine Datenbekanntgabe gestützt auf Art. 86a Abs. 1 BVG scheidet vorliegend aus, da der Ar- beitgeber nicht zu den in Bst. a-e aufgeführten Behörden zählt, es nicht um eine Bekanntgabe im Einzelfall geht und kein schriftliches und begründetes Gesuch vorliegt. 32. Art. 86a Abs. 2 BVG regelt jene Fälle, in denen auch ohne Gesuch und ausserhalb von Einzel- fällen Daten bekannt gegeben werden dürfen. Art. 86a Abs. 2 Bst. a BVG sieht vor, dass Orga- nen, die mit der Durchführung sowie der Kontrolle oder der Beaufsichtigung der Durchführung des BVG betraut sind, Daten bekannt gegeben werden dürfen, wenn diese für die Erfüllung der ihnen nach diesem Gesetz übertragenen Aufgaben erforderlich sind. Laut Botschaft Anpassung Sozialversicherungsgesetze ist damit die Datenbekanntgabe gemeint zwischen Organen, die das gleiche Sozialversicherungsgesetz anwenden (BBl 2000 264). Da die Arbeitgeber, wie be- reits aufgezeigt (oben Ziff. 14 ff.), erstens nicht insgesamt als mit der Durchführung sowie der Kontrolle oder der Beaufsichtigung der Durchführung des BVG betraute "Organe" angesehen werden können, welche die Daten zur Erfüllung von ihnen nach dem BVG übertragenen Aufga- ben benötigen würden, und zweitens der Arbeitnehmer ein überwiegendes Privatinteresse an der Geheimhaltung seiner persönlichen Daten hat, kann auch Art. 86a Abs. 2 Bst. a BVG nicht als Ausnahmegrund von der Schweigepflicht greifen. 33. Gemäss Art. 86a Abs. 5 Bst. b BVG dürfen in den übrigen Fällen Personendaten an Dritte be- kannt gegeben werden, sofern die betroffene Person im Einzelfall schriftlich eingewilligt hat oder, wenn das Einholen der Einwilligung nicht möglich ist, diese nach den Umständen als im Interesse des Versicherten vorausgesetzt werden darf. Ist das Einholen der Einwilligung nicht 10/15 möglich (z.B. weil die betroffene Person entscheidunfähig geworden ist), so darf diese voraus- gesetzt werden, jedoch nur in Ausnahmefällen, d.h. wenn die Umstände klar erkennen lassen, dass die betroffene Person die Bekanntgabe gutgeheissen hätte, namentlich weil sie in ihrem Interesse liegt. Diese Bestimmung hat den Charakter einer Auffangklausel und lehnt sich an Art. 19 Abs. 1 Bst. b DSG an (Botschaft Anpassung Sozialversicherungsgesetze, BBl 2000 266). Demnach können Personendaten im Einzelfall dennoch bekanntgegeben werden. Die Beschränkung auf den Einzelfall bedeutet, dass ohne gesetzliche Grundlage einem andern Or- gan oder einer Privatperson kein dauernder Zugriff auf eine Datensammlung gewährt werden darf, wie dies etwa in Form eines Online-Anschlusses oder durch periodisches Zustellen von Computer-Ausdrucken möglich wäre. Ein Einzelfall liegt vor, wenn die Daten für einen einmali- gen Zweck bekannt gegeben werden. Dabei kommt es nicht darauf an, ob es sich um die Daten einer einzigen Person oder einer Mehrzahl von Personen handelt (BBl 1988 II 470). Umfassen- dere Datenbekanntgaben beispielsweise mittels (elektronischer) Listen und die Übernahme in andere Datensammlungen verlangen aber eine ausdrückliche Rechtsgrundlage, in welcher auch die erforderlichen Grenzen der Datenbearbeitungen und die Sicherheit zu regeln sind (VPB 62.43 E. 2.2). Da im vorliegenden Fall die Pensionskassenausweise periodisch, d.h. min- destens jährlich einmal, ausgedruckt und zugestellt werden, kann nicht von einem Einzelfall für einen einmaligen Zweck gesprochen werden. Es liegt auch keine schriftliche Einwilligung der betroffenen Personen vor. Ausserdem ist weder ersichtlich, dass diese nicht eingeholt werden könnte, noch kann davon ausgegangen werden, dass alle Arbeitnehmer sämtliche auf dem Pensionskassenausweis enthaltenen Informationen ihrem Arbeitgeber bekannt geben wollen, die Einwilligung als nach den Umständen als im Interesse des Versicherten vorausgesetzt wer- den darf. Somit kommt auch Art. 86a Abs. 5 Bst. b BVG nicht als Ausnahmegrund von der Schweigepflicht in Frage. 34. Damit steht fest, dass sich die Beschwerdegegnerin als Bundesorgan für die Bekanntgabe der auf den Pensionskassenausweisen enthaltenen Daten aus der obligatorischen beruflichen Vor- sorge, welche die angeschlossenen Arbeitgeber nicht zur Durchführung von BVG-Pflichten be- nötigen, nicht auf Art. 86a BVG als Ausnahme von der gesetzlichen Schweigepflicht (Art. 86 BVG) stützen kann. Durchbrechung der Schweigepflicht - Akteneinsicht (Art. 85b BVG) und Pflichten der Arbeitgeber 35. Die Schweigepflicht entfällt gegenüber denjenigen Personen und Institutionen, die einen An- spruch auf Akteneinsicht haben. Einen Anspruch auf Akteneinsicht haben diejenigen Personen oder Institutionen, die ein unmittelbares Interesse an einem Zugang zu den Akten haben. Die- ser Zugang ist jedoch insofern beschränkt, als die Bekanntgabe von Daten erforderlich sein muss und schutzwürdige Privatinteressen gewahrt bleiben müssen, insbesondere diejenigen von Personen, die in den Akten erwähnt werden (Botschaft Anpassungen Sozialversicherungs- gesetze, BBl 2000 264). 36. Gemäss Art. 85b Abs. 1 Bst. b BVG steht Personen, die einen Anspruch oder eine Verpflich- tung "nach diesem Gesetz" (dem BVG) haben, für diejenigen Daten, die für die Wahrung des 11/15 Anspruchs oder die Erfüllung der Verpflichtung erforderlich sind, die Akteneinsicht zu, sofern überwiegende Privatinteressen gewahrt bleiben. Es besteht jedoch kein Akteneinsichtsrecht für Verpflichtungen aus anderen Gesetzen. Das Einsichtsrecht beschränkt sich auf jene Daten, die für die Wahrung des Anspruchs oder für die Erfüllung der Verpflichtung aus dem obligatori- schen Teil des BVG notwendig sind (PÄRLI , Handkommentar BVG und FZG, Art. 85b N. 8). 37. Gestützt auf Art. 85b Abs. 1 Bst. b BVG hat der Arbeitgeber folglich ein Recht auf Akteneinsicht für Verpflichtungen aus dem Bereich der obligatorischen beruflichen Vorsorge. Die Beitrags- pflicht nach Art. 66 BVG begründet damit ein Akteneinsichtsrecht, für jene Daten, die für die Er- füllung dieser Verpflichtung notwendig sind. Nicht zu diesen Daten gehören Angaben zu Frei- zügigkeitsleistungen, Wohneigentumsbezügen oder Einkäufen in die Pensionskasse. 38. Kein Einsichtsrecht begründet die Informationspflicht nach Art. 86b BVG, da es sich hier nicht um eine Pflicht des Arbeitgebers, sondern um eine Pflicht der Vorsorgeeinrichtung handelt. 39. Ebensowenig begründet die Informationspflicht des Arbeitgebers nach Art. 331 Abs. 4 OR ein Einsichtsrecht. Erstens handelt es sich hierbei nicht um eine Pflicht nach dem BVG , sondern um eine obligationenrechtliche Pflicht des Arbeitgebers. Zweitens hat der Arbeitgeber kein Ein- sichtsrecht in Daten aus dem Bereich der obligatorischen beruflichen Vorsorge, die er nicht zur Erfüllung seiner BVG-Pflichten benötigt; es kann ihn insoweit damit auch keine obligationen- rechtliche Informationspflicht treffen. Ausschlaggebend ist zudem drittens, dass sich der An- wendungsbereich von Art. 331 Abs. 4 OR seit Inkrafttreten des BVG auf den Bereich der wei- tergehenden Vorsorge beschränkt (GÄCHTER /SANER , Handkommentar BVG und FZG, Art. 49 N. 43; STREIFF /VON KAENEL , a.a.O., Art. 331 N. 3). Der Arbeitgeber kann ein Einsichtsrecht im Bereich der obligatorischen beruflichen Vorsorge (um diesen Teil geht es ja vorliegend) folglich entgegen S. 16 f., Ziff. 12 der angefochtenen Verfügung nicht mit der Informationspflicht nach Art. 331 Abs. 4 OR begründen. 40. Die Informationspflicht des Arbeitgebers gemäss Art. 331 Abs. 4 OR kann sich ohnehin nur darauf beschränken, was die Arbeitgeber selber bereits wissen und auch überprüfen können; für alle anderen Fragen ist die Vorsorgeeinrichtung die geeignete Ansprechperson. Die arbeits- rechtliche Informationspflicht tritt hinter die vorsorgerechtliche zurück und wird praktisch dann aktuell, wenn die vorsorgerechtliche (noch) nicht aktuell ist, d.h. im Rahmen der arbeitsrechtli- chen Vertragsverhandlungen (so auch HANS M ICHAEL R IEMER , Berührungspunkte zwischen be- ruflicher Vorsorge und Arbeitsrecht, SZS 2009 S. 120). 41. Sinn und Zweck der Informationspflicht des Arbeitgebers war seit ihrer Einführung im Rahmen der Revision des Dienstvertrags- und Stiftungsrechts im Jahr 1956, dass der Arbeitnehmer dar- über orientiert ist, ob und in welchem Umfang ihm Rechtsansprüche gegenüber einer Personal- vorsorgeeinrichtung zustehen. "Die Vorschrift bezweckt, dass der Dienstpflichtige über Ansprü- che, die ihm aus bestehenden Personalwohlfahrtseinrichtungen zukommen, aufgeklärt werde; so wird auch verhütet, dass bei ihm unzutreffende Vorstellungen über solche Einrichtungen und infolgedessen falsche Hoffnungen erweckt werden" (BBl 108 II 837). Es ging und geht dabei nie darum, dass der Arbeitgeber umfassend über die Vorsorgesituation sämtlicher Arbeitnehmer in- formiert ist. 12/15 42. Zur Erfüllung ihrer Verpflichtung aus Art. 331 Abs. 4 OR haben die Arbeitgeber nur (aber im- merhin) die entsprechenden Informationen der Vorsorgeeinrichtungen an die Arbeitnehmer wei- terzuleiten und die Arbeitnehmern auf das direkte Auskunftsrecht gegenüber den Vorsorgeein- richtungen aufmerksam zu machen (BRUNNER /B ÜHLER /W AEBER /B RUCHEZ , Kommentar zum Ar- beitsvertragsrecht, 3. Aufl. 2005, Art. 331 N. 8; vgl. auch KURT PÄRLI , Datenaustausch zwischen Arbeitgeber und Versicherung, 2003, S. 99). 43. Eine "Vorsorgeberatungspflicht" und ein daraus abgeleitetes Recht des Arbeitgebers, von der Vorsorgeeinrichtung zusätzliche Angaben zur Vorsorgesituation seiner Arbeitnehmer zu erhal- ten, lässt sich entgegen S. 17, Ziff. 13 der angefochtenen Verfügung bei grundrechtskonformer Auslegung und unter Berücksichtigung des Verhältnismässigkeitsgebots von Art. 4 Abs. 2 DSG auch nicht mit der generellen Fürsorgepflicht des Arbeitgebers (Art. 328 OR) begründen. Der Arbeitgeber hat keinen Anspruch, von der Vorsorgeeinrichtung Informationen über seine Arbeit- nehmer zu erhalten, die er nicht zur Durchführung von Pflichten im obligatorischen BVG- Bereich benötigt, die ihm auch sonst nicht bekannt wären und die überdies zur Abwicklung des Arbeitsvertrags gar nicht erforderlich sind. Im Gegenteil: Zur Fürsorgepflicht des Arbeitgebers gehört gerade, dass er die Privatsphäre seiner Arbeitnehmer und deren Recht auf informatio- nelle Selbstbestimmung respektiert. Das ergibt sich bereits aus der Gesetzessystematik, finden sich die einschlägigen Art. 328 und 328b OR doch unter demselben Zwischentitel "Schutz der Persönlichkeit des Arbeitnehmers". 44. Auch aus dem (vorliegend nicht anwendbaren) Reglement 2005 der Stiftung Auffangeinrichtung BVG ergibt sich im Übrigen kein Akteneinsichtsrecht. Gemäss Art. 55 Abs. 6 des Reglements sind die angeschlossenen Betriebe dafür verantwortlich, "dass die versicherte Person in den Besitz der für sie bestimmten Unterlagen gelangt". Daraus lässt sich kein Recht der Arbeitgeber ableiten, Einsicht in Daten aus der obligatorischen beruflichen Vorsorge zu bekommen, die nicht zur Erfüllung von BVG-Pflichten benötigt werden. 45. Damit ist erstellt, dass der Arbeitgeber kein Einsichtsrecht i.S.v. Art. 85b Abs. 1 Bst. b BVG in Daten von Arbeitnehmern aus der obligatorischen beruflichen Vorsorge hat, die er nicht zur Er- füllung von BVG-Pflichten benötigt. Es handelt sich dabei insbesondere um Angaben zu Freizü- gigkeitsleistungen, Wohneigentumsbezügen oder Einkäufen in die Pensionskasse. Informationspflichten der Vorsorgeeinrichtungen und zulässige Form der Mitwirkung durch Arbeitgeber 46. Gemäss Art. 86b BVG muss die Vorsorgeeinrichtung ihre Versicherten jährlich in geeigneter Form über die Leistungsansprüche, den koordinierten Lohn, den Beitragssatz und das Alters- guthaben, über die Organisation und die Finanzierung und die Mitglieder des paritätisch besetz- ten Organs nach Artikel 51 informieren. Diese Bestimmung wurde per 1. Januar 2005, also nach den Art. 85a - 87 BVG, in Kraft gesetzt (AS 2004 1677). Im Gegensatz zu diesen ist Art. 86b BVG kraft Verweisung von Art. 49 Abs. 2 Ziff. 26 BVG auch für die weitergehende be- rufliche Vorsorge anwendbar. Er wurde systematisch im Anschluss an Art. 86a BVG (Datenbe- kanntgabe an Dritte) eingefügt. Die Vorsorgeeinrichtung muss auch bei der Ausübung ihrer In- 13/15 formationspflicht die gesetzliche Schweigepflicht von Art. 86 BVG beachten und darf keine Da- ten von Versicherten an Dritte bekannt geben. 47. Art. 86b BVG bezweckt, die Versicherten in die Lage zu versetzen, gestützt auf die Informatio- nen der Vorsorgeeinrichtungen den Stand und die Entwicklung ihrer Vorsorgesituation jederzeit nachvollziehen zu können (Botschaft zur Revision des Bundesgesetzes über die berufliche Al- ters-, Hinterlassenen- und Invalidenvorsorge [BVG] [1. BVG-Revision] vom 1. März 2000, BBl 2000 2679). Die Informationspflicht der Vorsorgeeinrichtungen umfasst auch die Pflicht zur Be- kanntgabe der Namen der Mitglieder des paritätisch besetzten Organs. Dieses (und nicht die Arbeitgeber) fungiert als Ansprechpartner für die Versicherten bei Problemen im Zusammen- hang mit ihrer beruflichen Vorsorge (BBl 2000 2701 f.) Damit sich die Versicherten ein Bild über ihre Vorsorgesituation machen können, müssen sie "in geeigneter Form" informiert werden. Das Gesetz listet auf, welche Informationen die Vorsorgeeinrichtung den Versicherten mindestens mitteilen muss. Die Formulierung "in geeigneter Form" schliesst mit ein, dass die Vorsorgeein- richtung die Pensionskassenausweise den Versicherten so zustellt, dass dabei weder die ge- setzliche Schweigepflicht von Art. 86 BVG noch das informationelle Selbstbestimmungsrecht der versicherten Arbeitnehmer verletzt wird. 48. Gemäss Art. 24 FZG hat die Vorsorgeeinrichtung dem Versicherten jährlich die reglementari- sche Austrittsleistung nach Art. 2 FZG mitzuteilen. Aus diesem Grund finden sich auf den Pen- sionskassenausweisen auch Angaben zu Freizügigkeitsleistungen. Bei einem Stellenwechsel des versicherten Arbeitnehmers wird die Austrittsleistung vom Versicherten der neuen Pensi- onskasse (und nicht dem neuen Arbeitgeber) mitgeteilt (Art. 11 FZG). Weder der bisherige noch der neue Arbeitgeber erfahren damit die Höhe der Freizügigkeitsleistung. 49. Die Mitteilung nach Art. 24 FZG hat direkt und persönlich an die Versicherten zu erfolgen, ohne dass der Arbeitgeber davon Kenntnis erhält. Der Arbeitnehmer soll in regelmässigen Zeitab- ständen über seine Ansprüche informiert werden, ohne gezwungen zu sein, seine Kündigungs- absichten preiszugeben (Botschaft zu einem Bundesgesetz über die Freizügigkeit in der berufli- chen Alters-, Hinterlassenen- und Invalidenvorsorge vom 26. Februar 1992, BBl 1992 III 533). 50. Das Bundesamt für Sozialversicherungen geht ebenfalls davon aus, dass der Versicherte auch bei Sammelstiftungen Anspruch auf direkte, d.h. materielle Auskunft durch die Stiftung hat. "Ein Bedürfnis nach solchen Direktinformationen besteht z.B. in den Fällen, in denen der Arbeitneh- mer ein legitimes Interesse daran hat, dass sein Arbeitgeber von seinem Auskunftsbegehren nichts erfährt. Dies kann insbesondere bei Erkundigungen nach der Höhe der Freizügigkeits- leistung der Fall sein. Wenn sich der Versicherte an die im Rahmen des Vorsorgewerkes orga- nisierte paritätische Verwaltung, in der sein Arbeitgeber oder dessen Vertreter Einsitz haben, oder an Mitarbeiter im Personalwesen, die das Vorsorgewerk betreuen, wenden muss, ist die Vertraulichkeit der Behandlung solcher Anfragen nicht gewährleistet. Dies kann die faktische Durchsetzung der Informationsansprüche der Arbeitnehmer beträchtlich erschweren. Die Auto- nomie der Vorsorgeeinrichtung, sich nach ihrem Gutdünken zu organisieren, steht somit in Kon- flikt mit dem aus dem arbeitsrechtlichen Persönlichkeitsschutz des Arbeitnehmers sich erge- benden Anspruch auf vertrauliche Behandlung seiner Anfrage im Bereich des Vorsorgeverhält- nisses. Aus dem Sinn und Zweck von Artikel 86 BVG ergibt sich, dass Auskunftsbegehren der 14/15 Versicherten zu keinen negativen Auswirkungen auf ihr Arbeitsverhältnis führen dürfen. Der Ar- beitnehmer hat einen legitimen Anspruch darauf, dass der Arbeitgeber wegen allfälliger Interes- senkollisionen von seiner Anfrage keine Kenntnis erhält. Eine Verletzung der Schweigepflicht durch die Vorsorgeeinrichtung könnte unter Umständen sogar einen Schadenersatzanspruch des Versicherten begründen. In den Sammeleinrichtungen ist somit organisatorisch die Mög- lichkeit zu schaffen, auf Wunsch des Arbeitnehmers eine Auskunft in der Weise zu erteilen, dass der Arbeitgeber und andere mit der Geschäftsleitung der betreffenden Unternehmung be- traute Personen davon nichts erfahren. Die Sammeleinrichtungen wie auch die übrigen Einrich- tungen können dieses Problem z.B. dadurch lösen, dass wichtige, den Versicherten besonders und persönlich interessierende Daten wie die Freizügigkeitsleistung periodisch auf einem Versi- cherungsausweis mitgeteilt werden" (Bundesamt für Sozialversicherungen, Mitteilungen über die berufliche Vorsorge Nr. 19 vom 12. August 1991, Nr. 114, Auskunft in der beruflichen Vor- sorge, S. 3). 51. Die Arbeitgeber haben kein Recht dazu, die wegen den soeben dargestellten Informations- pflichten der Vorsorgeeinrichtungen (Art. 86b BVG und Art. 24 FZG) auf den Pensionskassen- ausweisen enthaltenen Angaben über ihre Angestellten zur Kenntnis zu nehmen und Einsicht in diese - für die versicherten Personen und nicht für die Betriebe bestimmten - Unterlagen zu nehmen. Der entsprechende Eingriff in die Persönlichkeitsrechte der Arbeitnehmer ist nicht er- forderlich. Das schliesst nicht aus, dass die Arbeitgeber bei der Information der Versicherten durch die Vorsorgeeinrichtung in "geeigneter Form" i.S.v. Art. 86b BVG mitwirken, indem sie die betriebsinterne Feinverteilung der Pensionskassenausweise übernehmen. Dabei muss aber die Datensicherheit (Art. 7 DSG) gewährleistet sein, was insbesondere Massnahmen gegen unbe- fugtes Zugreifen und Kopieren umfasst (Art. 20 VDSG i.V.m. Art. 8 Abs. 1 Bst. e VDSG). Ergebnis 52. Zusammenfassend kann Folgendes festgehalten werden: Die offene Zustellung der Pensions- kassenausweise an den Arbeitgeber, so dass dieser Einsicht in alle darauf aufgeführten Daten seiner Arbeitnehmer erhält, ist keine "geeignete Form" der Zustellung i.S.v. Art. 86b BVG. Die Beschwerdegegnerin gilt für ihre Datenbearbeitung und -bekanntgabe im Bereich der obligatori- schen beruflichen Vorsorge als Bundesorgan (Art. 3 Bst. h DSG) und unterliegt damit der ge- setzlichen Schweigepflicht von Art. 86 BVG. Da auf den Ausweisen Daten aufgeführt sind, wel- che die Arbeitgeber weder bereits kennen noch selber berechnen können noch diese zur Durchführung ihrer Pflichten im Bereich der obligatorischen beruflichen Vorsorge benötigen, werden so Daten an Dritte bekannt gegeben. Für eine Datenbekanntgabe an Dritte in Abwei- chung von Art. 86 BVG bedürfte es eines gesetzlichen Ausnahmegrundes, der vorliegend nicht gegeben ist. 53. Darüber hinaus vermögen offenkundig weder eine angebliche Markt- oder Branchenüblichkeit der vorliegend zu beurteilenden Zustellpraxis noch die Einschätzung, die an die Arbeitgeber be- kannt gegebenen Daten seien für diese ja "uninteressant" (angefochtene Verfügung S. 15, 15/15 Ziff. 7), ein Durchbrechen der gesetzlichen Schweigepflicht und einen Eingriff in das Grundrecht auf informationelle Selbstbestimmung der betroffenen Personen zu begründen. 54. Die Zustellpraxis der Beschwerdegegnerin bringt mit sich, dass sämtliche angeschlossenen Arbeitgeber fortlaufend den offenen Pensionskassenausweisen entnehmen können, welche Pensionskassenguthaben neu eintretenden Arbeitnehmenden mitbringen, welche ihrer Arbeit- nehmenden wann und in welcher Höhe Einkäufe in die Pensionskasse tätigen, welche ihrer Ar- beitnehmenden wann und in welcher Höhe Pensionskassenguthaben für den Erwerb von Wohneigentum vorbeziehen oder verpfänden, ob die Ehe von Arbeitnehmenden gerade ge- schieden und deshalb die Pensionskassenguthaben geteilt wurden und auf welchen Betrag sich die angesparten Pensionskassenguthaben ihrer einzelnen Arbeitnehmenden jeweils belaufen. Es kann nicht ausgeschlossen werden, dass diese Informationen zu Zwecken verwendet wer- den, die nichts mit der Durchführung der obligatorischen Vorsorge zu tun haben und die nicht im Interesse der Betroffenen liegen, indem sie etwa als Entscheidungshilfe herangezogen wer- den, wenn die nächste Lohnrunde ansteht oder Stellen abgebaut werden müssen. Der Gefahr einer derartigen unrechtmässigen Verwendung der auf den Ausweisen enthaltenen Angaben ist durch eine Anpassung der Zustellmodalitäten Rechnung zu tragen 55. Die eingangs gestellten Anträge sind damit begründet. Um ihren Schutz wird höflich ersucht. EIDGENÖSSISCHER DATENSCHUTZ- UND ÖFFENTLICHKEITSBEAUFTRAGTER Hanspeter Thür Dreifach