Citation: BGE 141 I 201 E. 4.5.1

Dieselbe Vorgabe ergibt sich auch aus dem Datenschutzrecht: Auf das erstinstanzliche Verwaltungsverfahren vor Bundesorganen ist das Bundesgesetz vom 19. Juni 1992 über den Datenschutz (DSG; SR 235.1) anwendbar (Art. 2 Abs. 1 lit. b und Abs. 2 lit. c [e contrario] DSG). Das gilt auch für das Verfahren vor der FINMA (vgl. BGE 126 II 126 E. 5a/aa S. 131 bez. der früheren Bankenkommission). Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 3 lit. a DSG). Das Bundesorgan, das Personendaten bearbeitet oder bearbeiten lässt, ist verantwortlich für den Datenschutz (Art. 16 Abs. 1 DSG). Es darf Personendaten bearbeiten, wenn dafür eine gesetzliche Grundlage besteht (Art. 17 Abs. 1 DSG). Es darf Personendaten nur bekanntgeben, wenn dafür eine gesetzliche Grundlage besteht oder die übrigen Voraussetzungen von Art. 19 Abs. 1 DSG erfüllt sind. Spezialgesetze, die eine autonome Regelung der Datenbekanntgabe enthalten, können dem Datenschutzgesetz vorgehen (vgl. BGE 128 II 311 E. 8.4 bez. Art. 110 ff. DBG [SR 642.11]). Das gilt aber nicht generell für die Bankenaufsicht (BGE 126 II 126 E. 5a/aa S. 131). Art. 23 Abs. 1 FINMAG ermächtigt die FINMA, im Rahmen ihrer Aufsichtstätigkeit Personendaten zu bearbeiten und die Einzelheiten zu regeln. Die FINMA hat gestützt darauf ihre Verordnung vom 8. September 2011 über die Datenbearbeitung (Datenverordnung-FINMA; SR 956.124) erlassen. Nach deren Art. 8 kann die FINMA Daten bekanntgeben, soweit eine gesetzliche Grundlage besteht oder die betroffene Person schriftlich einwilligt. Diese Regelung entspricht derjenigen des DSG (vgl. auch BGE 126 II 126 E. 5b/bb S. 134). Im Rahmen von Aufsichtsverfahren der FINMA müssen die Beaufsichtigten der FINMA alle Auskünfte erteilen und Unterlagen herausgeben, die sie zur Erfüllung ihrer Aufgaben benötigt (Art. 29 Abs. 1 FINMAG). Es liegt auf der Hand, dass in diesen Auskünften und Unterlagen auch Personendaten von Personen enthalten sein können, welche nicht selber der Aufsicht unterstellt sind bzw. in einem Aufsichtsverfahren Parteistellung haben. Die Erhebung und BGE 141 I 201 S. 208 Bearbeitung dieser Personendaten ist der FINMA aufgrund von Art. 23 Abs. 1 FINMAG erlaubt. Gelangen ihr auf diesem Weg Personendaten zur Kenntnis, trägt sie aber die Verantwortung dafür, dass diese Daten nicht ohne gesetzliche Grundlage oder schriftliche Einwilligung der betroffenen Person Dritten bekanntgegeben werden (RAYROUX/DU PASQUIER, in: Basler Kommentar, Börsengesetz, 2. Aufl. 2011, N. 28 und 34 zu Art. 22 FINMAG).