# Swiss Legal Decision

**Decision ID:** 10d50c60-8bd5-401c-afae-e2939372a142
**Court:** CH_EDÖB
**Chamber:** CH_EDÖB_001
**Year:** 2012
**Language:** de
**Jurisdiction:** CH / Federation
**Law Area:** $law_area
**Law Sub-area:** nan

## Facts

1. Genereller Sachverhalt:
Mehrere Schweizer Banken haben im Rahmen von laufenden Verhandlungen mit den US-Behörden sehr grosse Mengen an Dokumenten, die das Geschäft mit US-Kunden betreffen, an die dortigen Behörden übermittelt. In den Unterlagen sind auch die Namen von aktuellen und ehemaligen Mitarbeitenden sowie Dritten enthalten. Mehrere dieser betroffenen Personen haben sich an den Eidgenössischen Datenschutz- und  (EDÖB) gewandt. Der EDÖB war damals davon ausgegangen, dass es sich bei diesen Übermittlungen um eine einmalige Angelegenheit handelte und hat  die betroffenen Personen, die sich an ihn gewandt haben, über ihre  gemäss DSG informiert. Weiter wurden sowohl eine der betroffenen Banken, wie auch die Schweizerische Bankiervereinigung und die Vereinigung der Schweizer  schriftlich an die Einhaltung der Datenschutzprinzipien erinnert.
Nachdem bekannt wurde, dass weitere Datenübermittlungen durch die Banken  werden, hat der EDÖB zur Klärung der datenschutzrechtlichen Fragen am 17. August 2012 eine Sachverhaltsabklärung gemäss Art. 29 DSG eingeleitet und die  11 Banken aufgefordert, bis zum Abschluss des Verfahrens keine weiteren Perso-
2/11
nendaten ausserhalb von konkreten Amts- bzw. Rechtshilfeverfahren mehr zu .
1.1. Von sechs der betroffenen Banken erhielt der EDÖB dann die Bestätigung, dass
bisher keine Übermittlungen von Personendaten an US-Behörden stattgefunden  und auch keine solchen geplant seien bis zum Abschluss der .
1.2. Von den fünf anderen Banken kam die Antwort, dass Personendaten an US-
Behörden geliefert worden seien, dass aber bis zu einem Gespräch mit dem EDÖB keine weiteren Lieferungen erfolgen würden.
1.3. In der Weiterführung seiner Sachverhaltsabklärung hat der EDÖB, mit Schreiben
vom 24. August 2012, die Banken einerseits angewiesen Unterlagen (sämtliche  Korrespondenz mit den betroffenen Bundesämtern und den US-Behörden, Informationsschreiben an die Mitarbeitenden, Datenbearbeitungsreglemente, etc.) zuzustellen und andererseits Fragen (u.a. betreffend Rechtfertigungsgrund,  der Mitarbeitenden, Auskunftsrecht, etc.) zu beantworten.
1.4. Im Rahmen seiner Abklärungen hat der EDÖB zwischen dem 29. August und dem
3. September 2012 mit dem Staatssekretariat für internationale Finanzfragen (SIF), der Finanzmarktaufsicht (FlNMA) und dem Bundesamt für Justiz (BJ) Gespräche . In diesen wurden dem EDÖB die Überlegungen erläutert, die zu den  des Bundesrates betreffend Kooperation der Banken mit US-Behörden geführt haben. Eine Übersicht über die erläuterten Schritte findet sich auf der  des SIF unter http://www.sif.admin.ch/themen/00502/00783/ .html?Iang=de.
1.5. Am 4. September 2012 wurden die betroffenen Banken durch den EDÖB empfan-
gen. Dieser hat die Banken zum Schutz der betroffenen Personen als erste  zu einem transparenten Verhalten gegenüber den Mitarbeitenden . Dementsprechend haben sich die Banken mit Schreiben vom 6. September 2012 verpflichtet, während der laufenden Abklärungen, die Mitarbeitenden vor jeder weiteren Dokumentenlieferung an US-Behörden zu informieren, falls darin Namen von Mitarbeitenden enthalten sein sollten. Die Information hat in geeigneter Weise zu erfolgen, insbesondere muss sie anführen, welche Kategorien von Dokumenten den US-Behörden offengelegt werden und aus welchem Zeitraum diese Dokumente stammen. Die jeweilige Bank hat dann den Mitarbeitenden eine angemessene Frist vor einer Dokumentenlieferung zu gewähren, um Auskunft darüber zu verlangen, ob ihr Name in den offenzulegenden Dokumenten vorkommt. Sie können ebenfalls  in die sie betreffenden Teile der Dokumente verlangen. Will eine Bank trotz  allfälligen Widerspruchs eines Mitarbeitenden, Dokumente ohne Abdeckung von dessen Namen liefern, hat sie auf eigene Verantwortung eine entsprechende  vorzunehmen. Dies bedeutet, die Banken tragen damit weiterhin die volle zivilrechtliche Verantwortung für jede Übermittlung von Mitarbeiterdaten an die US-Behörden. Aufgrund dieser Verpflichtung beantragte der EDÖB keine  Massnahmen beim Bundesverwaltungsgericht.
1.6. Die betroffenen Banken haben die verlangten Dokumente am 10. September 2012
geliefert und auf die entsprechenden Fragen geantwortet. In den Fällen, in denen die
3/11
Unterlagen nicht ausreichten, um die Sachverhaltsfeststellung durchzuführen, wurde zudem ein Augenschein vor Ort durchgeführt.
2. Sachverhalt die einzelne Bank betreffend:
Die CS reichte dem EDÖB mit Datum vom 24. August und vom 10. September 2012 die verlangten Unterlagen ein und beantwortete den Fragekatalog. Nach der  der Antworten und Unterlagen lässt sich der Sachverhalt somit wie folgt :
2.1. Die Bank hat aufgrund eines Schreibens des Department of Justice (DOJ)  zum US-Geschäft, in denen Mitarbeiternamen und Namen von Dritten enthalten waren, übermittelt. Dieser Schritt sei unternommen worden, weil sich die Bank durch unkooperatives Verhalten zweifellos erheblichen Risiken  hätte.
2.2. Bei der Übermittlung sei dann folgendermassen vorgegangen worden: Da die Editi-
onsbegehren der US-Behörden sehr weit gefasst gewesen seien, hätte die Bank das grosse, verlangte Volumen auf einen bewältigbaren Kern von Geschäftsunterlagen mit erhöhter Relevanz reduziert. Die potentiell relevanten Daten seien gesichtet und in aufwändigen, elektronischen und manuellen Reviews auf Relevanz hin überprüft worden. Bei der Aufbereitung dieser Dokumente für die Lieferung an US-Behörden seien die Unterlagen anschliessend einem weiteren, zeit -und kostenintensiven Screening-Prozess unterzogen und dabei erneut auch auf Relevanz hin überprüft worden.
2.3. Die Bank beschrieb weiter, dass ein massgeblicher Teil der Dokumente (ca. zwei
Drittel) vorgängig bereits von der FINMA amtshilfeweise übermittelt worden sei,  grundsätzlich unter Abdeckung der Namen. Die Direktlieferung sei demnach erst erfolgt, nachdem sich der Amts- und Rechtshilfeweg als nicht zielführend  habe. Es sei somit kein milderes Mittel vorhanden gewesen. Es seien aber keine Namenlisten oder Persönlichkeitsprofile und auch keine besonders schützenswerten Personendaten (Personaldossiers) oder ausschliesslich persönliche Korrespondenz an US-Behörden herausgegeben worden. Die CS machte in ihren Schreiben darauf aufmerksam, dass es sich bei den gelieferten Daten um ihre eigenen  handle. Eine Herausgabe von Geschäftsunterlagen an in- oder  Behörden, etwa um das eigene Geschäftsgebaren zu erklären, liege im  ihrer Zweckbestimmung und sei nicht unvorhersehbar. Auch die  der CS würden dies reflektieren.
2.4. Die Mitarbeitenden seien mittels einer Intranet-Meldung, in der der Entscheid des
Bundesrates bestätigt und die erweiterten Kooperationsmöglichkeiten begrüsst , informiert worden. Detailliertere Informationen seien an das Management . Die tendenziell stärker betroffenen Mitarbeitenden seien im persönlichen Gespräch oder per Telefon informiert worden. Auch seien für potentiell betroffene Mitarbeitende verschiedene Informationsveranstaltungen durchgeführt worden.  sei eine spezielle Anlaufstelle (Helpline) zur Beantwortung von Fragen im  mit den Datenlieferungen geschaffen worden.
4/11
2.5. Die Helpline habe auf Anfrage mündliche Auskünfte über die Hintergründe der , die Aufbereitung der Daten und den allgemeinen Inhalt der gelieferten Unterlagen erteilt. Weiter sei auf Wunsch eine Suche nach entsprechenden  durchgeführt und über die Resultate mündlich oder auf ausdrückliches  schriftlich informiert oder eine Einsichtnahme in die entsprechenden  gewährt worden.
2.6. Da sich der Sachverhalt aus den Informationen, die die CS dem EDÖB zugestellt hat, nicht vollständig feststellen liess, führte der EDÖB am 27. September 2012  Augenschein bei der Bank vor Ort durch. Empfangen wurde der EDÖB durch die zuständigen Personen der Bank sowie der von der CS beigezogenen . Die Fragen des EDÖB bezogen sich vor allem auf die Triage der , die Information der Mitarbeitenden und das Auskunftsrecht.
2.7. Die CS hat darüber anlässlich dieser Sitzung folgendermassen informiert: Insgesamt
sei eine grosse Anzahl potentiell relevante Dokumenten-Seiten in ein elektronisches Review-System geladen worden. In mehreren Schritten wurden dann diese Seiten auf relevante Unterlagen durchsucht. Tatsächlich übermittelt wurden schliesslich
die vorher in verschiedenen Schritten ermittelt und für die  vorbereitet worden waren. In einem ersten Schritt wurden die ins  geladenen Unterlagen mit ca. 300 Suchbegriffen automatisiert durchsucht. Ziel dieses ersten Schrittes war u.a. die Identifikation von Kommunikation mit/über Kunden und das gleichzeitige Ausscheiden von Dokumenten mit rein persönlichem Inhalt. In einem zweiten Schritt wurden die resultierenden Dokumente manuell durchgesehen. Dieser Schritt diente der weiteren Eingrenzung der relevanten  sowie erneut auch dem Ausscheiden allenfalls noch verbliebener  mit rein persönlichem Inhalt. Der dritte Schritt beinhaltete den " Review". In diesem wurden die Unterlagen auf Dokumente, welche die von den US-Behörden in ihrem Informationsersuchen gesetzten Kriterien erfüllten, reduziert. Danach wurden bestimmte Teile der Dokumente geschwärzt oder ganze Dokumente durch Platzhalter ersetzt. Davon betroffen waren einerseits Passagen, die dem  (nach amerikanischem Recht) unterstehen. Andererseits wurden sowohl Kundendaten (Client Info), Drittparteieninformationen in den USA (Client Info) als auch vertrauliche Informationen abgedeckt oder durch Platzhalter ersetzt. Die beschriebene Aufbereitung der Dokumente wurde durch zwei Consulting Firmen und drei Anwaltskanzleien vorgenommen Für die Abdeckung von dem Anwaltsgeheimnis unterstehenden Passagen wurde zusätzlich eine US Anwaltskanzlei beigezogen. Insgesamt wurden die Dokumente während dieser Vorgänge sieben Mal angeschaut und überprüft, bevor sie übermittelt wurden. Mit dem Sichten und Bearbeiten der  waren durchgehend eine grosse Anzahl von Personen beschäftigt. Alle Vorgänge fanden und finden in einem speziell geschützten, geschlossenen System statt, in welchem die Zugangsberechtigungen restriktiv überwacht werden.
2.8. Betreffend Information der Mitarbeitenden habet sich die CS an die am 6. September
2012 mit dem EDÖB getroffene Vereinbarung gehalten. Seit diesem Zeitpunkt  die Mitarbeitenden, wie mit dem EDÖB vereinbart, vor einer Übermittlung . Davor war die Information jeweils im Nachhinein erfolgt. Die Information über eine bevorstehende weitere Lieferung von Geschäftsunterlagen wurde am 17.  2012 per E-Mail an ca. 25'000 Mitarbeitende der CS versandt. Die  hatten danach 5 Tage (Frist auch angemessen verlängerbar, z. Bsp.  Ferienabwesenheit) Zeit, Auskunft darüber zu verlangen, ob Daten über sie
5/11
übermittelt werden sollten. Danach wurden die um Auskunft ersuchenden  durch die Helpline kontaktiert und darüber aufgeklärt, ob sie von der in  genommenen Übermittlung tatsächlich betroffen sind. Wünschten betroffene Mitarbeitende weitere Informationen, wurden die Dokumente, welche ihren Namen enthielten, zusammengestellt, gesichtet und die Resultate danach mündlich . Auf Wunsch wurde Einsicht in die Dokumente gewährt. Es werden sämtliche Dokumente gezeigt, die den Namen des Mitarbeitenden enthalten. Bei Dokumenten, welche der betreffenden Person bisher mutmasslich nicht bekannt waren, wurden dafür diejenigen Passagen, welche keinen Bezug zu ihr aufwiesen, vorgängig . Um das Verständnis des Dokumenteninhalts zu erleichtern, wurden dagegen gewisse Abdeckungen, wie sie für die Übermittlung an US-Behörden angebracht worden waren, bisweilen ausgeblendet. Die Personen mussten vor der  eine Vertraulichkeitserklärung unterzeichnen. Kopien der eingesehenen  wurden keine ausgehändigt. Auch Anwälte wurden nicht zugelassen. Die  Personen wurden darauf hingewiesen, dass sie innerhalb einer Frist von 3 Tagen gegen die Übermittlung opponieren können.
Für diese am 17. September 2012 angekündigte Übermittlung gab es bis zum 27. September 2012 insgesamt 776 Anfragen interessierter Mitarbeitender. Davon  sich ca. zwei Drittel als nicht betroffen. 282 Mitarbeitende waren betroffen, wovon 130 nur durch ein einzelnes Dokument. Bis zum genannten Zeitpunkt  17 Personen ihr Auskunftsrecht.
II.

## Considerations

Erwägungen des Eidgenössischen Datenschutz- und Öff entlichkeitsbeauftragten:
1. In den Dokumenten, die von den Banken an die US-Behörden übermittelt wurden, sind
Namen und Vornamen, E-Mail Adressen und Telefonnummern von aktiven und  Mitarbeitenden sowie externen Dritten aufgeführt. Diese Daten beziehen sich auf  Personen. Es handelt sich somit um Personendaten gemäss Art. 3 Bst. a DSG. Werden diese Personendaten zugänglich gemacht, das heisst wird Einsicht gewährt, werden sie weitergegeben oder veröffentlicht, handelt es sich um eine Bekanntgabe nach Art. 3 Bst. f DSG. Die Personendaten wurden durch die Bank an US-Behörden . Dies stellt eine Bekanntgabe dar.
2. Die Voraussetzungen für das Eröffnen einer Sachverhaltsabklärung sind gegeben, da die Bearbeitungsmethoden grundsätzlich geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Art. 29 Abs. 1 Bst. a DSG). Der EDÖB ist dazu , den Sachverhalt näher abzuklären und gestützt auf Art. 29 Abs. 3 DSG zu , die Datenbearbeitung zu ändern, einzustellen oder zu unterlassen.
Rechtmässigkeit der Datenbearbeitung/Rechtfertigung sgrund
3. Wer gemäss Art. 12 DSG Personendaten bearbeitet, darf dabei die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen. Er darf dabei insbesondere nicht Personendaten entgegen den Grundsätzen der Artikel 4, 5 Abs. 1 und 7 Abs. 1 DSG . Zudem dürfen Personendaten nach Art. 6 DSG nicht ins Ausland übermittelt werden, wenn die Möglichkeit einer Persönlichkeitsverletzung besteht, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet. Im vorliegen-
6/11
den Fall wurden Dokumente, die Personendaten wie Namen, Vornamen, E-Mail  und Telefonnummern von aktiven und ehemaligen Mitarbeitenden, sowie externen Dritten enthalten, durch die Banken an die US-Behörden übermittelt. Es stellt sich somit die Frage, ob durch dieses Vorgehen eine Persönlichkeitsverletzung stattgefunden hat und ob diese allenfalls durch einen Rechtfertigungsgrund nach Art. 13 DSG gerechtfertigt werden kann. Zudem muss untersucht werden, ob eine der Voraussetzungen gemäss Art. 6 Abs. 2 DSG vorliegt, unter welcher Personendaten auch in ein Land übermittelt werden können, das keinen angemessenen Datenschutz gewährleistet.
4. Eine Verletzung der Persönlichkeit ist gemäss Art. 13 DSG widerrechtlich, wenn sie nicht
durch Einwilligung des Verletzten, durch ein überwiegendes privates oder öffentliches  oder durch Gesetz gerechtfertigt ist. Eine Einwilligung der betroffenen Personen sowie eine gesetzliche Grundlage liegt offensichtlich nicht vor. Grundsätzlich ist , dass im Arbeitsbereich die Freiwilligkeit einer Einwilligung nur in  angenommen werden kann. Im vorliegenden Fall könnte klarerweise nicht von der Freiwilligkeit der Einwilligung ausgegangen werden. Es kommen somit nur die  des überwiegenden privaten oder öffentlichen Interesses in Frage.
5. Konkret macht die Bank geltend, dass die Übermittlung der Dokumente (die auch Perso-
nendaten beinhalten), wie sie von den US-Behörden gefordert wurde und wird,eine  Voraussetzung für die einvernehmliche Beilegung des Verfahrens in den USA sei. Im Falle unkooperativen Verhaltens drohten dagegegen ernsthafte Sanktionen. Als Beispiel dafür wird die kürzlich aufgelöste Bank Wegelin vorgebracht, welche im  2012 von den USA angeklagt wurde. Die Bank beruft sich bei ihrer Argumentation auch auf einen früheren Bundesgerichtsentscheid in dem das Gericht die Auffassung , dass im Falle einer damaligen Anklage gegen die UBS, dies mit hoher  existenzbedrohende Folgen gehabt hätte. Wie hinlänglich bekannt sei, führe eine Anklageerhebung in den USA, unabhängig von ihrem Ausgang, für das betroffene  zu einem nichtwiedergutzumachenden Reputations- und Vermögensverlust, der im Bankenbereich verheerende Folgen habe und rasch zu einer Überschuldung führe (BGE 137 II 431, E.4.3.1, S. 447).
6. Damit ein überwiegendes privates oder öffentliches Interesse angenommen werden
kann, müssen gewisse Anforderungen erfüllt sein. Ob ein Rechtfertigungsgrund gegeben ist, muss aufgrund der konkreten Umstände im Einzelfall anhand einer sorgfältigen  entschieden werden (Urteil der EDSK vom 21. November 1996, VPB 62.42B, E. V 1b). Als schützenswerte Interessen können hierbei alle „Interessen von  anerkanntem Wert“ angesehen werden (A. Bucher, natürliche Personen, S. 536 in Basler Kommentar zum DSG Corrado Rampini zu Art. 13 DSG Rz. 22). Bei der  sind insbesondere die Sensitivität der bearbeiteten Personendaten  das Verletzungspotential der Datenbearbeitung zu beachten.
7. Aufgrund der Schilderungen der CS einerseits und der verschiedenen involvierten Bun-
desämter andererseits, können wir das Interesse der CS an der Abwehr einer  der USA grundsätzlich nachvollziehen. Welche Gefahr eine Anklage der  für eine Bank darstellen würde, ist mittlerweile bekannt. Weiter geht aus den verschiedenen Unterlagen und Erläuterungen hervor, dass vor einer direkten Lieferung von Dokumenten ohne Schwärzung der Personendaten aktueller und ehemaliger  sowie weiterer Dritter versucht wurde, die Dokumente über Rechts- und  zu übermitteln. Dies wurde aber von den US-Behörden nicht akzeptiert.
7/11
8. Gegen das private Interesse der Bank sind die Interessen der betroffenen Personen (ehemalige und jetzige Mitarbeitende und Dritte) abzuwägen. Diese bestehen im Schutz der Privatsphäre bzw. der persönlichen Freiheit. So besteht die Angst, durch die  des eigenen Namens und E-Mails, in den USA allenfalls strafrechtlich belangt zu werden. Zudem besteht die Gefahr, dass betroffene Personen aufgrund dieser  keine neue Anstellung mehr finden.
9. Die Banken machen weiter geltend, dass durch einen allfälligen Konkurs einer der betrof-
fenen Banken, nicht nur die Bank selbst, sondern auch die Schweiz als Finanzplatz  wäre. Dies umso mehr, wenn es sich um eine systemrelevante Bank handeln würde. Zudem werde auch politisch nach einer Globallösung gesucht, die für alle Banken gelten solle. Aus diesem Grunde habe der Bundesrat den Banken auch die Bewilligung nach Art. 271 StGB für eine straflose, direkte Datenübermittlung erteilt, nachdem die  Datenübermittlungen im Rahmen von Amts- und Rechtshilfeverfahren von den US-Behörden nicht akzeptiert worden seien.
10. Aufgrund der Ausführungen der CS und der involvierten Bundesämter, können wir die
Interessen der CS an der Abwehr einer Strafanklage der USA grundsätzlich , dies auch im öffentlichen Interesse der Sicherung des schweizerischen . Welche Gefahr eine Anklage der US-Behörden für die Schweiz und den Finanzplatz darstellen kann, wurde im vorher genannten Bundesgerichtsentscheid (BGE 137 II 431) ausgeführt. Darauf gestützt kann durchaus ein öffentliches Interesse begründet werden, obschon der Sachverhalt, der dem genannten Entscheid zugrunde liegt, nur beschränkt mit der vorliegenden Übermittlung verglichen werden kann. Weiter geht aus den  Unterlagen und Erläuterungen hervor, dass vor einer direkten Lieferung  ohne Schwärzung der Personendaten aktueller und ehemaliger Mitarbeitenden und weiterer Dritter versucht wurde, die Dokumente über Rechts- und Amtshilfeverfahren zu übermitteln. Dies wurde aber von den US-Behörden nicht akzeptiert, weshalb der Bundesrat, mit Entscheid vom 4. April 2012, den Banken erlaubte ohne strafrechtliche Konsequenzen, ihre Geschäftsunterlagen direkt an die US-Behörden zu übermitteln.  Bewilligung kann aber nicht als Rechtfertigungsgrund nach DSG akzeptiert werden. Zumal der Bundesrat, gemäss den uns vorliegenden Informationen, den Banken  ausdrücklich festgehalten hat, dass das Einhalten von datenschutzrechtlichen  auch mit dieser Bewilligung in der Verantwortung der betroffenen Banken liegt. Jedoch kann das Vorgehen des Bundesrates dahingehend gewertet werden, dass grundsätzlich ein Interesse der Regierung an einem kooperativen Verhalten der Banken zur Abwehr von Anklagen bestand, was wiederum für ein öffentliches Interesse sprechen würde. Diese Beurteilung wurde im Übrigen auch vom SIF, der FINMA und dem BJ . Demgegenüber sind aber auch die Interessen der betroffenen Personen sehr wohl vorhanden und verständlich, zumal diese teilweise weder von der Übermittlung ihrer  wussten, noch die Auswirkungen dieser Übermittlung abgeschätzt werden kann.
11. Gemäss Art. 6 Abs. 2 DSG dürfen Personendaten nur unter gewissen Voraussetzungen in ein Land bekannt gegeben werden, in welchem eine Gesetzgebung fehlt, die einen angemessenen Datenschutz gewährleistet. Die USA gelten gemäss der Staatenliste des EDÖB als Land ohne angemessenen Schutz. Für eine datenschutzkonforme  muss dementsprechend eine der Voraussetzungen nach Art. 6 Abs. 2 DSG erfüllt sein. Im vorliegenden Fall kommt nur die Voraussetzung des Art. 6 Abs. 2 Bst. d DSG in Frage. Eine Bekanntgabe ist erlaubt, wenn diese im Einzelfall entweder für die Wahrung eines überwiegenden öffentlichen Interesses oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht unerlässlich ist. Vorliegend kommt nur
8/11
die Wahrung überwiegender öffentlicher Interessen in Betracht. Nicht gefolgt werden kann der Argumentation der Bank betreffend die Voraussetzung der Feststellung,  oder Durchsetzung von Rechtsansprüchen vor Gericht, da ein Gerichtsverfahren gar nicht hängig ist. Eine Einwilligung nach Abs. 2 lit. b DSG kommt nicht in Frage, da die Definition der freiwilligen Einwilligung im Arbeitsbereich dagegen spricht (siehe Ziffer 4). Das Vorliegen eines überwiegenden privaten Interesses kann im Rahmen von Artikel 6 Absatz 2 DSG nicht geltend gemacht werden.
12. Die Interessenabwägung, die hier vorliegend durch den EDÖB durchgeführt wird, bezieht sich jedoch nicht auf Einzelfälle, sondern auf die Datenübermittlung als Ganzes. In  Rahmen kann nach den Erläuterungen der involvierten Bank und der involvierten Bundesorgane von einem überwiegend öffentlichen Interesse der Banken ausgegangen werden. Nichtsdestotrotz müssen die Interessen der betroffenen Mitarbeitenden beachtet und gewichtet werden. Dabei handelt es sich vor allem um die Information der  Mitarbeitenden und um die Einsicht in die sie betreffenden Dokumente. Dies wird in den folgenden Ziffern näher erläutert. Zudem bleibt anzumerken, dass neben dieser  Interessenabwägung durch den EDÖB Raum für die individuelle  im Einzelfall bleibt.
Treu und Glauben sowie Transparenzprinzip
13. Gemäss Art. 12 Abs. 2 Bst. a DSG begeht eine Persönlichkeitsverletzung, wer Perso-
nendaten unter anderem entgegen den Grundsätzen von Art. 4 DSG bearbeitet. Zwar wurde in der vorhergehenden Ziffer ein Rechtfertigungsgrund für die Datenübermittlung bejaht, was jedoch nicht bedeutet, dass die Daten entgegen den Prinzipien des  bearbeitet werden dürfen. Dies gilt auch für eine Bekanntgabe ins  nach Art. 6 DSG. Die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung müssen für die betroffenen Personen erkennbar sein.
14. Die Bearbeitung von Personendaten muss nach Treu und Glauben erfolgen (Art. 4 Abs. 2 DSG). Daten sollen nicht in einer Art erhoben und bearbeitet werden, mit der die  Person aus den Umständen heraus nicht rechnen musste und mit der sie nicht  gewesen wäre. Gegen diesen Grundsatz verstösst beispielsweise derjenige, der Daten nicht offen bearbeitet, ohne dabei gegen eine Rechtsnorm zu verstossen ( DSG BBl 1988 II 449). Demzufolge muss eine Datenbearbeitung für die  Personen transparent erfolgen. Dies bedeutet gemäss Art. 4 Abs. 4 DSG, dass für betroffene Personen die Datenbeschaffung und jede weitere Datenbearbeitung (, Urs Maurer-Lambrou/Andrea Steiner, Art. 4 N 8), der Zweck jeder (weiteren) , die Identität des Datenbearbeiters und – bei einer Datenbekanntgabe an Dritte – die Kategorien von möglichen Datenempfängern erkennbar sein müssen ( DSG BBl 2003 2125). Auch die Beschaffung von Personendaten bei Dritten muss erkennbar sein (Botschaft DSG BBl 2003 2126).
Die Anforderungen, welche an die Erkennbarkeit gestellt werden, sind nach den  sowie den Grundsätzen der Verhältnismässigkeit und von Treu und Glauben zu  (Botschaft DSG BBl 2003 2125). Unter dem Gesichtspunkt der  ist zu prüfen, in welchem Mass die betroffene Person auf die wesentlichen  der Beschaffung aufmerksam gemacht werden muss, welche Mittel dem Inhaber der Datensammlung zur Verfügung stehen, um diese Rahmenbedingungen erkennbar zu machen, und in welchem Umfang von ihm erwartet werden kann, dass er
9/11
diese Mittel auch einsetzt, namentlich unter Berücksichtigung ihrer Kosten und ihrer Wirksamkeit.
15. Die CS hat bei den bisherigen Übermittlungen die Mitarbeitenden erst im Nachhinein informiert. Die Bank hat sich jedoch am 6. September 2012 gegenüber dem EDÖB , während der laufenden Sachverhaltsabklärung die Mitarbeitenden im Voraus über eine Datenübermittlung zu informieren. Damit kann sie dem Transparenzprinzip nachkommen. Für zukünftige Datenübermittlungen muss die Bank somit weiterhin die Mitarbeitenden vorzeitig über den Umfang und die Art der Dokumente, sowie den , aus dem sie stammen, informieren. Diese Information hat mit einer angemessenen Frist vor einer jeweiligen Übermittlung zu erfolgen. Zudem muss die Information so , dass sie geeignet ist, die potentiell betroffenen Personen zu erreichen.
16. Des Weiteren stellt sich die Frage, wie die Information an ehemalige Mitarbeitende und externe Dritte zu erfolgen hat. Diese haben gemäss DSG grundsätzlich das gleiche  auf Information wie aktuelle Mitarbeitende. Soweit zumutbar, müssen demnach sämtliche Personen vor einer Übermittlung informiert werden, die von dieser betroffen sind.
Auskunftsrecht
17. Gemäss Art. 8 DSG kann jede Person vom Inhaber einer Datensammlung Auskunft  verlangen, ob und welche Daten über sie bearbeitet werden.
18. Gemäss Art. 3 Bst. g DSG gilt als Datensammlung jeder Bestand von Personendaten, der so aufgebaut ist, dass die Daten nach betroffenen Personen erschliessbar sind. Eine Datensammlung im Sinne des Gesetzes ist ein Bestand von Daten, der auf mehr als eine Person Bezug nimmt. Sie kann ganz unterschiedlich organisiert und aufgebaut sein.  entscheidend ist, dass die zu einer bestimmten Person gehörenden Daten auffindbar sind (Botschaft DSG, BBl 1988 II 447).
19. Die CS stellt sich grundsätzlich auf den Standpunkt, dass es sich bei den übermittelten
Daten nicht um eine Datensammlung gemäss DSG handelt und deswegen Art. 8 DSG gar nicht anwendbar ist. Ihrer Ansicht nach fehle die personenbezogene, systematische Anordnung der Daten, die für eine Datensammlung notwendig sei. Hierzu ist , dass es sich, bei der hier in Frage stehenden Datensammlung, um einen  verschiedener Unterlagen und Dokumente der Bank handelt. Diese wurden alle von Personen, die in der Bank arbeiten oder gearbeitet haben, erstellt. Durch die Triage wurden die Dokumente ermittelt, die danach an die US-Behörden übermittelt wurden. Dieser Vorgang erfolgte auch durch die Suche nach Personendaten (Namen von  beispielsweise). Dies bedeutet, dass eine Suche bzw. Erschliessung der Dokumente nach Personendaten durchaus möglich ist. Gleichzeitig konnte die Bank auf Begehren von betroffenen Personen in den übermittelten Dokumenten nach den Namen der Personen suchen. Auch dies zeigt, dass es sich um eine Datensammlung gemäss Art. 3 Bst. g DSG handelt.
20. Der EDÖB ist demzufolge sehr wohl der Ansicht, dass es sich bei den bearbeiteten Do-
kumenten um eine Datensammlung nach DSG handelt. Den betroffenen Personen ist demnach das Auskunftsrecht nach Art. 8 DSG zu gewähren. Einschränkungen können unter den Voraussetzungen von Art. 9 DSG durch die Bank geltend gemacht werden,
10/11
z.B. dass überwiegende Interessen von Dritten vorliegen. Diese Einschränkung müsste jedoch im Einzelfall durch die Bank begründet werden.
21. Betreffend bisherige Übermittlungen kann festgehalten werden, dass den betroffenen
Personen das Auskunftsrecht nach Art. 8 DSG, in die über sie bearbeiteten Daten,  zu gewähren ist.
22. Für die zukünftigen Übermittlungen gilt folgendes Vorgehen: Durch eine vorgehende In-
formation der Mitarbeitenden wie sie in Ziffer 13 ff. beschrieben wird, hat die betroffene Person die Möglichkeit, über die sie betreffenden Daten, Auskunft zu verlangen. Dabei muss sie Zugang zu sämtlichen Dokumenten erhalten, die Daten über sie enthalten. Will die Person nach dieser Auskunft gegen die Übermittlung ihrer Daten opponieren, muss die Bank nochmals eine auf den Einzelfall bezogene Güterabwägung durchführen. Will die Bank danach die Dokumente trotzdem ohne Schwärzung des Namens übermitteln, muss die CS die betroffene Person darüber informieren und über ihre Rechte aufklären. Damit bleibt der betroffenen Person die Möglichkeit, ihre Rechte wahrzunehmen.
23. Der tatsächlich erfolgte Antrag für vorsorgliche Massnahmen eines Mitarbeiters von einer
der involvierten Banken bei einem Gericht in Genf zeigt, dass durch eine vorgehende  durch die Bank, dem Mitarbeitenden die Möglichkeit bleibt, seine individuellen Rechte wahrzunehmen.
24. Die CS gewährt das vorgängige Auskunftsrecht in dem Sinne, als dass die betroffene
Person die Möglichkeit hat, die entsprechenden Dokumente in den Räumlichkeiten der Bank einzusehen. In Art. 8 Abs. 5 DSG heisst es, dass die Auskunft in der Regel , in Form eines Ausdrucks oder einer Fotokopie sowie kostenlos zu erteilen ist. Die Bank gibt jedoch keine Kopien der gesichteten Dokumente ab. Es handelt sich um eine Frage der Modalität des Auskunftsrechts nach Art. 1 der Verordnung zum  (VDSG, SR 235.11). Darin heisst es in Abs. 3, dass im Einvernehmen mit dem  der Datensammlung oder auf dessen Vorschlag hin, die betroffene Person ihre  auch an Ort und Stelle einsehen kann. Die Bank macht geltend, dass aufgrund der Sensitivität der Dokumente betreffend Bank- und Kundengeheimnis keine Kopien  werden können. Zudem würde ein Abgeben von Kopien den allgemeinen  der Bank widersprechen. Der EDÖB kann dieser Argumentation insofern , als dass es beim Auskunftsrecht nach Art. 8 DSG vor allem darum geht, dass die betroffenen Personen Zugang zu allen Dokumenten und Informationen haben, die ihre Person betreffen. Gleichzeitig sprechen allenfalls andere gesetzliche Grundlagen, wie das Bankgeheimnis nach Bankengesetz, gegen eine Abgabe von Kopien. Zudem dürfte es den Mitarbeitenden gemäss Vertrag und internen Weisungen klar sein, dass sie grundsätzlich keine Kopien von internen Dokumenten nach Hause nehmen dürfen.
25. Zusammenfassend kann also gefolgert werden, dass die CS den betroffenen Personen das Auskunftsrecht nach Art. 8 DSG vollumfänglich gewähren muss. Dies bedeutet, dass den betroffenen Personen Zugang zu allen sie betreffenden Dokumenten gewährt  muss.
11/11
III.