/G3 EIDGENÖSSISCHER DATENSCHUTZBEAUFTRAGTER PRÉPOSÉ FÉDÉRAL À LA PROTECTION DES DONNÉES INCARICATO FEDERALE DELLA PROTEZIONE DEI DATI INCUMBENSÀ FEDERAL PER LA PROTECZIUN DA DATAS A2001.06.07-0005 / 1999-00057 13. Juni 2001 EMPFEHLUNG gemäss Art. 29 Abs. 3 des Bundesgesetzes über den Datenschutz vom 19. Juni 1992 in Sachen Weitergabe von Personendaten aus Kontoeröffnungsanträgen der X-Bank AG I. Der Eidg. Datenschutzbeauftragte stellt fest: 1. Die X-Bank AG bietet ihren Kundinnen und Kunden verschiedene Möglichkeiten zur Kapitalanlage an. Die entsprechenden Kontoeröffnungsanträge enthalten u.a. eine Rubrik, die sich zur Datenbearbeitung durch die Bank äussert. 2. Der Eidg. Datenschutzbeauftra gte (EDSB) hat bei der X- Bank AG wiederholt wegen der Rubrik "Datenbearbeitung" interveniert. Dabe i bemängelte er insbes ondere, dass der Satz "Die Einwilligung zur Datenbear beitung kann jederzeit widerru fen werden" von zahlreichen Personen missverstanden werde und dass di e Umschreibung "zu de r X-Group gehörende Gesellschaften" als mögliche Datenempfänger zu unbestimmt sei. 3. Erst nach mehreren Briefwechseln erklärte sich die X-Bank AG in einem Schreiben vom 25. Oktober 1999 bereit, den Forderungen de s EDSB nachzukommen und die Rubrik Datenbearbeitung folgendermassen anzupassen: Der Kunde ermächtigt die Bank, Kundendaten zu bearbeiten und zum Zweck der vertieften Analyse der Kundenbedürfnisse und zur Verbesserung der Leistungserbringung an zur X-Group gehörende Gesellschaften zur Bearbeitung weiterzuleiten. Der Kunde ermächtigt die Bank, den Abschlussvermittler und dessen Arbeitgeber, beide ebenfalls dem Bankgeheimnis unterstellt, über die Kundendaten zu informieren. Der Kunde hat das Recht, bei der Bank über die Bearbeitung der ihn betreffenden Daten die gesetzlich vorgesehenen Auskünfte sowie eine Aufstellung der zur X-Group gehörende Gesellschaften zu verlangen. 4. Am 9. März 2001 intervenierte der EDSB er neut bei der X-Bank AG, weil diese noch immer Antragsformulare mit dem ur sprünglichen Text zur Date nbearbeitung benützte, und bat /G3/G3 2/G3 darum, die von der Bank vorgeschlagene Te xtversion zur Datenbearbeitung doch endlich anzuwenden. 5. Mit Schreiben vom 30. März 2001 bestä tigte die X-Bank AG, dass künftig keine Antragsformulare mit der urspr ünglichen Textversion mehr ve rsandt würden. Gleichzeitig teilte sie dem EDSB auch mit, dass ab Mai 2001 der Halbsa tz, wonach je der Kunde das Recht habe, "... eine Aufstellung der zur X-Group ge hörenden Gesellschaften zu verlangen", wieder gestrichen werde, weil ".... im übrigen lediglich die im Geschäftsbericht der X-Group und nicht generell alle Gruppengesellschaften bekannt gegeben werden können". 6. Weil dem EDSB erneut Kontoeröffnungsan träge mit dem ursprünglichen Text zur Datenbearbeitung vorgelegt worden sind, wandte er sich am 3. Mai 2001 wiederum an die X- Bank AG und wies bei dieser Ge legenheit nochmals darauf hin, dass der Verzicht auf eine Aufstellung aller zur X-Group gehören den Gesellschaften nicht mit dem datenschutzrechtlichen Transparenzprinzip vereinbar sei. 7. Die X-Bank AG führte dazu in ihrer Ste llungnahme vom 21. Mai 2001 aus, dass der Halbsatz "... bezüglich des Aspekts der Transparenz ni chts beizutragen vermag. Da der Kunde überdies klar darauf hingewiesen wird, dass er die gesetzlich vorgesehenen Auskünfte jederzeit bei der Bank verlange n kann, ist der Bestimmung v on Art. 8 des Bundesgesetzes über den Datenschutz (DSG; SR 235.1) Genüge getan." II. Der Eidg. Datenschutzbeauftragte zieht in Erwägung: 1. Das Bundesgesetz über den Datenschutz (DSG, SR 235.1) regelt unter anderem die Bearbeitung von Daten natürliche r und juristischer Personen durch private Personen (Art. 2 Abs. 1 DSG). Die Bekanntgabe von Daten im Zusammenhang mit Anlageanträgen stellt eine Bearbeitung von Personendaten im Sinne von Art. 3 Bst. e DSG dar. Die X-Bank AG ist eine private Person und fällt daher unter die Bestimmungen des DSG (Art. 2 Abs. 1 DSG). 2. Gemäss Art. 29 DSG klärt de r EDSB im Privatbereich von sich aus oder auf Meldung Dritter den Sachverhalt näher ab, na mentlich wenn die Bearbeit ungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Systemfehler, Art. 29 Abs. 1 Bst. a DSG). Die Eidgenössische Datens chutzkommission hat in ihrem Entscheid vom 21. November 1996 in S. Mietwesen (V PB 1996, 62.42B) festgestellt, "dass die Empfehlungsbefugnis des EDSB nach Art. 29 Abs. 1 Bst. a DSG weiter zu interpretieren und nicht bloss auf Fehler von Informationssystem en der EDV zu beschrä nken sei." Mit anderen Worten ist von einem "Systemfehler" im Si nne der genannten Bestimmung auch dann zu sprechen, "wenn die Bearbeitung von Daten inha ltlich rechtswidrig, d.h. die Bearbeitung als solche so angelegt ist, da ss sie geeignet ist, die Persön lichkeit einer grösseren Anzahl von Personen zu verletzen." Eine Datenbeschaffung ohne Angaben über die geplanten möglichen, zukünftigen Datenempfänger ist geeignet, di e Persönlichkeit einer grösseren Anzahl von Personen zu verletzen. 3. Ausgehend vom verfassungsmässig garantierten Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten (Art. 13 Abs. 2 Bundesverfa ssung) muss jede Person die Herrschaft über die sie betreffenden Informationen ausüben und eine Bearbeitung dieser Daten durch Dritte einschränken können (infor mationelles Selbst bestimmungsrecht; vgl. BUNTSCHU, in Maurer/Vogt (Hrsg.), Kommentar zum Schweizerischen Datenschutzgesetz, Art. 1, N 14 ff.). /G3/G3 3/G3 4. Ohne genaue Kenntnis der Da tenempfänger ist es der betrof fenen Person nicht möglich, frei zu entscheiden, ob und wem die Personendate n zugetragen werden sollen. Durch die generelle Umschreibung, gemäss we lcher die Personendaten an eine für die betroffene Person unbestimmte Anzahl von Ge sellschaften der X-Group weiter gegeben werden können, wird das informationelle Selbstbestimmungsrecht tangiert. 5. Zudem verstösst diese Formulierung auch gegen den Grundsatz von Treu und Glauben und das Transparenzprinzip von Art. 4 Abs. 2 DS G. Demnach muss jede Form der Bearbeitung, also auch die Weitergabe von Personendaten na ch Treu und Glauben erfolgen und für die betroffene Person erkennbar sein. Dass die X-Bank AG nicht gewillt ist, alle in Frage kommenden Datenempfänger bekannt zu geben, zeigt sich auch daran, dass sie sich bei der Offenlegung lediglich auf die im Geschäftsbericht der X-Gr oup aufgeführten Gesellschaften beschränkt, andere Datenempfänger jedoch offenbar bewusst ni cht bekannt geben möchte (s. o. Ziffer I.5.). 6. Die X-Bank AG verkennt, dass das Tr ansparenzprinzip als fundamentaler datenschutzrechtlicher Grundsat z nicht erst im Zeitpunkt ei ner allfällig verlangten Auskunftserteilung seine Wirkung zu entfalten hat, sondern bereits ab dem Moment der Aufnahme der Bearbeitung von Personendaten uneingeschränkt berücksichtigt werden muss. III. Aufgrund dieser Erwägungen empfiehlt der Eidg. Datenschutzbeauftragte: 1. Die X-Bank AG übernimmt die unter Ziffer I.3. erwähnte Formulierung zur Datenbearbeitung für die Kontoeröffnungsanträge. 2. Die X-Bank AG teilt dem Eidg. Datenschutzbea uftragten innerhalb von 30 Tagen seit Erhalt dieser Empfehlung mit, ob sie die Empf ehlung annimmt oder ablehnt. Wird diese Empfehlung nicht befolgt oder abgelehnt, so kann der Eidg. Datenschutzbeauftragte die Angelegenheit der Eidg. Datenschutzkommission zum Entscheid vorlegen. 3. Diese Empfehlung wird der X-Bank AG mitgeteilt. DER EIDGENÖSSISCHE DATENSCHUTZBEAUFTRAGTE Der Beauftragte: O. Guntern