edoeb · schlussbericht-vom-3-juni-2014-betreffend-risikomanagementsystem-eines-finanzdie-2014-06-03 · 2014-06-03 · de
Schlussbericht vom 3. Juni 2014 betreffend Risikomanagementsystem eines FinanzdienstleistersPDF464.38 kB3. Juni 2014
Datenschutz


Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter
EDÖB




Feldeggweg 1, 3003 Bern
Tel. 058 463 74 84, Fax 058 465 99 96
www.edoeb.admin.ch


A2014.05.12-0010
12.05.2014




Schlussbericht

vom


3. Juni 2014



zur Abklärung des
Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB)
gemäss Art. 29 des Bundesgesetzes über den Datenschutz
vom 19. Juni 1992 (DSG; SR 235.1)


betreffend die Datenbearbeitung im Zusammenhang mit der Datensammlung


von

AG



A2014.05.12-0010

I


Inhaltsverzeichnis

Inhaltsverzeichnis .................................................................................................................................. I

1. Ausgangslage der Abklärung .......................................................................................................... 1

2. Umfang der Kontrolle ........................................................................................................................ 1

3. Chronologie der Kontrolle ................................................................................................................ 1

4. Sachverhalt: Sachverhaltsfeststellung vom 9. August 2013 ........................................................ 2

5. Vorbemerkungen ............................................................................................................................... 2

6. Bankenrechtliche Beurteilung ......................................................................................................... 3

6.1 Einführung ......................................................................................................................................... 3
6.2 Gesetzliche Grundlagen .................................................................................................................... 3
6.3 Bewilligung zum Geschäftsbetrieb .................................................................................................... 3
6.3.1 Organisation und Überwachung der Geschäftsführung ................................................................. 4
6.3.2 Organisationsanforderungen im weiteren Sinne – Risikomanagement im Konzern...................... 4
6.4 Beurteilung ........................................................................................................................................ 5

7. Datenschutzrechtliche Beurteilung ................................................................................................. 5

7.1 Einführung ......................................................................................................................................... 5
7.2 Personendaten, besonders schützenswerte Personendaten und Persönlichkeitsprofile ................. 6
7.2.1 Ausgangslage ................................................................................................................................. 6
7.2.2 Beurteilung ..................................................................................................................................... 7
7.3. Zweck der Datenbearbeitung ........................................................................................................... 8
7.3.1 Ausgangslage ................................................................................................................................. 8
7.3.2 Beurteilung ..................................................................................................................................... 8
7.4 Rechtmässigkeit der Datenbeschaffung ........................................................................................... 8
7.4.1 Ausgangslage ................................................................................................................................. 8
7.4.2 Beurteilung ..................................................................................................................................... 8
7.5 Bearbeitung nach Treu und Glauben / Transparenz ......................................................................... 8
7.5.1 Ausgangslage ................................................................................................................................. 8
7.5.2 Beurteilung ................................................................................................................................... 10
7.5.2.1 Transparenz, Erkennbarkeit und Bearbeitung nach Treu und Glauben in
....................... 10
7.5.2.2 Informationspflicht bei der Bearbeitung von besonders schützenswerte Daten ....................... 10
7.6 Verhältnismässigkeit der Datenbearbeitung ................................................................................... 11
7.6.1 Ausgangslage ............................................................................................................................... 11
7.6.1.1 Verhältnismässigkeit in inhaltlicher Hinsicht – Ausgangslage .................................................. 12
7.6.1.2 Beurteilung der inhaltlichen Verhältnismässigkeit ..................................................................... 12
7.6.2.1 Verhältnismässigkeit in zeitlicher Hinsicht – Ausgangslage ..................................................... 12
7.6.2.2 Beurteilung der zeitlichen Verhältnismässigkeit ........................................................................ 13
7.7. Zweckbindung der Datenbearbeitung ............................................................................................ 13
7.7.1 Ausgangslage ............................................................................................................................... 13
7.7.2 Beurteilung ................................................................................................................................... 14
7.8 Anmeldung der Datensammlung ..................................................................................................... 14


A2014.05.12-0010

II


7.9 Richtigkeit der Daten ....................................................................................................................... 14
7.9.1 Ausgangslage ............................................................................................................................... 14
7.9.2 Beurteilung ................................................................................................................................... 14

8. Schlussfolgerungen ........................................................................................................................ 15

8.1 Fazit ................................................................................................................................................. 15
8.2 Verfahren und weiteres Vorgehen .................................................................................................. 15




A2014.05.12-0010

1/16


1. Ausgangslage der Abklärung

Im Verlauf des Jahres 2012 wurde der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte
(nachfolgend: EDÖB) auf Medienberichte aufmerksam gemacht, in denen von einer angeblich daten-
schutzwidrigen und geheimen Datenbank
AG (nachfolgend:
) namens

(nachfolgend:
) die Rede war. Darin seien Personendaten über Kunden, Mitarbeiter und
Dritte, zum Teil ohne deren Kenntnis, gespeichert. Dies hat den EDÖB dazu veranlasst, bei der

eine Sachverhaltsabklärung gemäss Artikel 29 des Bundesgesetzes über den Datenschutz vom 19.
Juni 1992 (DSG; SR 235.1) durchzuführen und die Datensammlung auf die Konformität mit dem DSG
zu überprüfen.

2. Umfang der Kontrolle

Die Sachverhaltsabklärung beschränkt sich auf die Analyse der Applikation
und der dazuge-
hörenden Datensammlung. Besonderes Augenmerk wird dabei auf die Bearbeitungsprozesse und ihre
Rechtmässigkeit gelegt. Bezüglich der Frage der Datensicherheit beschränkt sich die Abklärung auf
die grundsätzliche Umsetzung des DSG bzw. dessen Verordnung. Aus Gründen der Praktikabilität
wurde auf eine vertiefte Analyse der Datensicherheit verzichtet. Beim Augenschein wurden zum einen
die Antworten der
auf den Fragenkatalog des EDÖB vom 12. November 2012 besprochen. Zum
anderen wurde uns das Testsystem von
vorgeführt.

Der Schlussbericht und die darin enthaltenen Erwägungen basieren ausschliesslich auf der definitiven
Sachverhaltsfeststellung vom 9. August 2013, den Stellungnahmen
sowie der von ihr zuge-
stellten Dokumentation.




























3. Chronologie der Kontrolle

07.05.2012

Schreiben an
mit Bitte um Stellungnahme zum Artikel

15.05.2012

Zustellung einer ersten Dokumentation zu
durch

13.11.2012

Ankündigung der Sachverhaltsabklärung mit Fragenkatalog


A2014.05.12-0010

2/16


21.12.2012

Fristgerechtes Eintreffen der Antworten und Beilagen

27.03.2013

Augenschein in den Räumlichkeiten

09.08.2013

Sachverhaltsfeststellung
23.09.2013

Stellungnahme
zur Sachverhaltsfeststellung vom 09.08.2013

08.11.2013

Übernahme der von
vorgeschlagenen Änderungen, sofern sie keine recht-
liche Beurteilung beinhalteten

02.12.2013
Gegenzeichnung der Sachverhaltsfeststellung vom 09.08.2013 durch


03. 06. 2014
Schlussbericht



5. Vorbemerkungen

Artikel 12 und 13 DSG legen die Voraussetzungen fest, unter denen die Bearbeitung von Personenda-
ten durch Private rechtmässig ist. Wer im privaten Bereich Personendaten bearbeitet, darf dabei die
Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen (Art. 12 Abs. 1 DSG). Gemäss
Art. 12 Abs. 2 DSG darf er insbesondere nicht:

a. Personendaten entgegen den Grundsätzen der Art. 4, 5 Abs. 1 und 7 Abs. 1 DSG bearbeiten;
b. ohne Rechtfertigungsgrund Daten einer Person gegen deren ausdrücklichen Willen bearbei-
ten;
c. ohne Rechtfertigungsgrund besonders schützenswerte Personendaten oder Persönlichkeits-
profile Dritten bekannt geben.

In der Regel liegt keine Persönlichkeitsverletzung vor, wenn die betroffene Person die Daten allge-
mein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat (Art. 12 Abs. 3 DSG).

Das Bundesgericht hat im Entscheid BGE 136 II 508 vom 8. September 2010, in Erwägung 5.2.4, zu
den Rechtfertigungsgründen betreffend Art. 12 Abs. 2 lit. a DSG Folgendes festgehalten: Eine strikt
systematische Auslegung, wonach lediglich bei lit. b. und c, nicht aber bei lit. a von Art. 12 Abs. 2 DSG
das Geltendmachen eines Rechtfertigungsgrunds zulässig sein soll, erweist sich als verfehlt. Art. 12
Abs. 2 lit. a DSG ist daher so auszulegen, dass eine Rechtfertigung der Bearbeitung von Personenda-
ten entgegen der Grundsätze von Art. 4, Art. 5 Abs. 1 und Art. 7 Abs. 1 DSG zwar nicht generell aus-
geschlossen ist, im konkreten Fall aber nur mit grosser Zurückhaltung bejaht werden kann.

Mit Blick auf den vorliegenden Schlussbericht bedeutet dies, dass – falls
Personendaten
entgegen den oben aufgeführten Grundsätzen bearbeitet – Rechtfertigungsgründe geprüft werden,
deren Vorliegen aber nur mit Zurückhaltung anzunehmen ist. Um diese Beurteilung im vorliegenden
Fall vornehmen zu können, müssen allfällige spezialgesetzliche Pflichten aus dem Bankenrecht be-
rücksichtigt werden. Daher enthält dieser Bericht sowohl eine banken- wie auch eine datenschutz-
rechtliche Beurteilung (Ziff. 6 ff. resp. Ziff. 7 ff.).


A2014.05.12-0010

3/16


6. Bankenrechtliche Beurteilung
6.1 Einführung

Die Sachverhaltsfeststellung hat gezeigt, dass
eine Datenbank

zur Erfassung
von sicherheitsrelevanten Ereignissen führt.





Dies hat auch Folgen für den Datenschutz, da
natürliche und juristische Personen in
erfasst sind
Demzufolge sind die von ihr vorgenommenen sicher-
heitsrelevanten Datenbearbeitungen geeignet, die Persönlichkeit einer grösseren Anzahl von Perso-
nen gemäss Art. 29 Abs. 1 lit. a DSG zu verletzen (Systemfehler).

macht in dieser Hinsicht geltend, sie sei aufgrund spezialgesetzlicher Bestimmungen zu die-
sen Datenbearbeitungen in
verpflichtet. Bei diesen handle es sich um Art. 3f des Bundesgeset-
zes vom 8. November 1934 über die Banken und Sparkassen (BankG; SR 952.0) und Art. 6 der Ver-
ordnung der Eidgenössischen Finanzmarktaufsicht vom 8. Dezember 2010 über die Verhinderung von
Geldwäscherei und Terrorismusfinanzierung (GwV-FINMA; SR 955.033.0). Zudem richte sie sich
diesbezüglich der Erfassung der Risiken nach den Vorgaben von Art. 9 Abs. 2 der Verordnung vom
17. Mai 1972 über die Banken und Sparkassen (BankV; SR 952.02). Letztendlich macht sie auch ein
überwiegendes Privatinteresse zur Datenverarbeitung, i.S.v. Art. 13 Abs. 1 DSG geltend.

6.2 Gesetzliche Grundlagen

Die
untersteht dem Geltungsbereich der von ihr für die Bearbeitung geltend gemachten Gesetze.
Sie sind nachfolgend aufgelistet und werden im Rahmen dieses Schlussberichts berücksichtigt:


Bundesgesetz vom 8. November 1934 über die Banken und Sparkassen (BankG; SR 952.0);

Verordnung vom 17. Mai 1972 über die Banken und Sparkassen (BankV; SR 952.02);

Verordnung der Eidgenössischen Finanzmarktaufsicht vom 8. Dezember 2010 über die Ver-
hinderung von Geldwäscherei und Terrorismusfinanzierung (GwV-FINMA; SR 955.033.0);

Eine Auslegung dieser Bestimmungen ist erforderlich, um die Absicht des Gesetzgebers und der ver-
antwortlichen Regulierungsbehörden im Gebiet der Sicherheit und Organisation von Finanzkonzernen
zu eruieren. Die nachfolgende rechtliche Beurteilung berücksichtigt auch die einschlägigen Rund-
schreiben der FINMA, welche den regulatorischen Rechtsrahmen setzt. Bei der Verwendung von
technischen Begriffen aus dem Gebiet der Risikobearbeitung stützt sich dieser Bericht auf den ISO-
Standard 3100:2009.

Nachfolgend wird geprüft, ob die erwähnten spezialgesetzlichen Bestimmungen eine Bearbeitung im
Sinne von Art. 12 Abs. 2 DSG rechtfertigen (vgl. BGE 136 II 508, E.5.2.4).

6.3 Bewilligung zum Geschäftsbetrieb

Art. 3 BankG unterstellt die Banktätigkeit dem Erfordernis einer Bewilligung (Polizeierlaubnis).



A2014.05.12-0010

4/16


Massgebende Bewilligungsvoraussetzungen im Rahmen dieser Abklärung werden insbesondere in
Art. 3 Abs. 2 lit. a und c sowie Art 3f BankG aufgeführt. Diese Bestimmungen nennen als dauernd
einzuhaltende Bewilligungsvoraussetzungen Organisationsanforderungen sowie Gewährspflichten.

Gestützt auf Art. 3 Abs. 2 lit. a BankG ist die funktionelle wie personelle Trennung der strategischen
Leitung (Verwaltungsrat) von der operationellen Führung (Geschäftsleitung) im Bankwesen eine der
Voraussetzungen dafür, dass die Geschäftsleitung die effektive Überwachung der Geschäftsführung
wahrnehmen kann (Art. 3 Abs. 2 lit. a in fine BankG).

Aus dieser Aufsichtspflicht leitet sich das Gebot zur internen Überwachung von Risiken ab, die mit der
Geschäftstätigkeit der Bank zusammenhängen. Diese Kontrolle muss dem überwachten Bereich an-
gepasst sein. In Sachen Risikoüberwachung heisst das, dass sie sich mit Rücksicht auf Grösse, Kom-
plexität, Struktur und Risikoprofil
1 des Instituts gestalten muss
2.

Die Pflicht zur internen Risikoüberwachung ist in Art. 3f Abs. 2 BankG und Art. 14a Abs. 1 BankV vor-
gesehen. Daraus geht hervor, dass Finanzgruppen so organisiert sein müssen, dass sie insbesondere
alle wesentlichen Risiken erfassen, begrenzen und überwachen können. Wie dies in den Grundzügen
geschehen soll, ist in Art. 14a Abs. 1 BankV sowie im FINMA-Rundschreiben 2008/24 „Überwachung
und interne Kontrolle Banken“ definiert. Letzteres sieht z.B. vor, dass eine in die Gesamtorganisation
des Instituts einzugliedernde Kontrolle auch von Bereichen, die unabhängig von den ertragsorientier-
ten Geschäftsaktivitäten der Bank sind, zu schaffen ist
3. Das bedeutet, dass in Anbetracht der be-
trächtliche Risikoexposition
4

die Anforderungen an, die Organisation der Bank im Risikobe-
reich umso grösser sind. Die interne Kontrolle von Risiken
5 muss eine effiziente Überwachung der
Geschäftsführung auf Konzernebene ermöglichen, um den gesetzlichen Organisationsanforderungen
gewachsen zu sein.

Praktisch heisst das, dass geeignete Prozesse und Risikoüberwachungssysteme für die Identifikation,
Messung, Bewertung, Beurteilung und Kontrolle der durch das Institut eingegangenen finanziellen und
nichtfinanziellen Risiken eingesetzt werden müssen
6. Aus dem Gesagten geht zum einen hervor, dass
Risikomanagement alle Prozesse und Verhaltensweisen umfasst, die darauf ausgerichtet sind, eine
Organisation bezüglich Risiken zu steuern
7 und zum anderen, dass Risikomanagement Bestandteil
einer modernen Konzernführung und -organisation ist. Überdies ist es sogar eine gesetzliche Pflicht
für Finanzgruppen. So sieht Art. 9 Abs. 2 BankV ausdrücklich ein Risikomanagement vor, mit dem
insbesondere Markt-, Kredit-, Ausfall-, Abwicklungs-, Liquiditäts- und Imagerisiken sowie operationelle
und rechtliche Risiken erfasst, begrenzt und überwacht werden sollen.

Weniger spezifisch ist die Generalklausel von Art. 3f Abs. 1 BankG, die die Gewährspflicht umschreibt.
Vorgesehen ist, dass diejenigen Personen der Finanzgruppe, die mit der Geschäftsführung einerseits

1 Gemäss ISO 3100:2009: Beschreibung und Struktur einer Anzahl von Risiken.
2 FINMA-RS 2008/24, Rz 9.
3 a.a.O., Rz 113.
4 Gemäss ISO 3100:2009: Zustand, in dem Menschen, Sachen oder die Umwelt einer oder mehreren Gefahren ausgesetzt
sind.
5 FINMA-RS 2008/24, Rz 9.
6 a.a.O., Rz 81.
7 ISO 31000:2009, Ziff. 2.2.


A2014.05.12-0010

5/16


und der Oberleitung, Aufsicht und Kontrolle andererseits betraut sind, einen guten Ruf geniessen und
Gewähr für eine einwandfreie Geschäftstätigkeit bieten müssen. Durch das Einfallstor des Risikoma-
nagements bietet Art. 3f Abs. 1 BankG sodann die Möglichkeit auch die weniger greifbaren ethischen
und rechtspolitischen Anforderungen an die Bankenaufsicht zu erfassen
8. Insofern diente z.B. diese
Bestimmung vor Erlass des Bundesgesetzes über die Bekämpfung der Geldwäscherei und der Terro-
rismusfinanzierung im Finanzsektor vom 10. Oktober 1997 (RS 955.0; GwG) der Konkretisierung von
Massnahmen gegen die Geldwäscherei
9. Heute wird die globale Erfassung von mit Geldwäscherei
und Terrorismusfinanzierung zusammenhängenden Rechts- und Reputationsrisiken explizit in Art. 6
Abs. 1 GwV-FINMA vorgeschrieben.

6.4 Beurteilung

Wir kommen in dieser Hinsicht zum Schluss, dass das Zusammenspiel der von der
geltend ge-
machten Bestimmungen die gesetzliche Grundlage für den Einsatz eines konzernweiten und globalen
Risikomanagements bildet. Die Implementierung von
und der darin erfolgenden Datenbearbei-
tungen ist gerechtfertigt, da sie der Gewährleistung der operativen Umsetzung des Risikomanage-
ments dienen.

Aus diesen Bestimmungen kann jedoch kein Rechtfertigungsgrund für die Bearbeitung von Personen-
daten entgegen den Datenschutzgrundsätzen im Sinne von Art. 12 abs. 2 lit. a DSG abgeleitet wer-
den. Sie stellen zwar Spezialnormen dar, die Vorrang gegenüber dem allgemeinen Gesetz geniessen,
in diesem Fall vor dem DSG. Nur sehen sie inhaltlich keine gegenteilige Regelung zu Art. 12 abs. 2 lit.
a DSG vor.

Folglich ist eine weitere Prüfung der Datenschutzkonformität der Bearbeitungen erforderlich.

7. Datenschutzrechtliche Beurteilung
7.1 Einführung

In
werden Personendaten bearbeitet, die in Verbindung mit einem sicherheitsrelevanten Ereignis
stehen. Ein ereignisunabhängiger Eintrag in
ist gemäss
nicht möglich.








Aus dem bankenrechtlichen Teil dieses Berichts geht hervor, dass gesetzliche Grundlagen die Ver-
wendung von
zum Zwecke des Risikomanagements rechtfertigen. Ob ein überwiegendes Privat-
interesse i.S.v. Art. 13 DSG vorhanden ist, braucht somit nicht geprüft zu werden.

8 BSK BankG WINZELER, Art. 3, N 25.
9 a.a.O.


A2014.05.12-0010

6/16


7.2 Personendaten, besonders schützenswerte Personendaten und Per-
sönlichkeitsprofile
7.2.1 Ausgangslage

Das DSG findet dort Anwendung, wo Personendaten i.S.v. Art. 3 lit. a DSG bearbeitet werden. Als
Personendaten gelten alle Angaben, die sich auf eine bestimmte oder bestimmbare (natürliche oder
juristische) Person beziehen. Bestimmbar ist die Person, wenn aufgrund zusätzlicher Informationen
auf sie geschlossen werden kann
10. Gestützt auf Art. 3 lit. c DSG sind besonders schützenswerte Per-
sonendaten Daten über:

1. die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätig-
keiten,
2. die Gesundheit, die Intimsphäre oder die Rassenzugehörigkeit,
3. Massnahmen der sozialen Hilfe,
4. administrative oder strafrechtliche Verfolgungen und Sanktionen.

Bei
können
zu folgenden Personenkategorien, die
mit
in irgendeiner Art und Weise interagieren, Personendaten erhoben werden:


Mitarbeiter,

Kunden,

Lieferanten/Subunternehmer,

und andere Personenkategorien.

Unter „andere Personenkategorien“ sind gemäss
sämtliche Personen, welche nicht in eine der
oben aufgeführten Kategorien fallen, zu verstehen;






Identifikationsdaten:













Individuelle Daten:











Zusätzliche Daten:





10 BGE 136 II 508 E. 3.2.


A2014.05.12-0010

7/16





















Besonders schützenswerte Daten:



















Gemäss
werden mittels
keine Persönlichkeitsprofile erstellt.



7.2.2 Beurteilung

Im vorliegenden Fall ist unbestritten, dass detaillierte Informationen über Personen i.S.v. Art. 3 lit. a
DSG in
bearbeitet werden. Auch die Bearbeitung von besonders schützenswerte Daten i.S.v. Art.
3 lit. c DSG ist offensichtlich. Betreffend Persönlichkeitsprofile i.S.v. Art. 3 lit. d DSG stellt sich


jedoch auf den Standpunkt, dass keine solchen in
erstellt werden.

Obwohl die heutigen technischen Möglichkeiten die Schaffung von Persönlichkeitsprofilen sehr leicht
machen, wird auf die Erklärung der
es würden keine Persönlichkeitsprofile in
erstellt, abge-
stützt. Eine unabhängige Schlussfolgerung des EDÖB in dieser Hinsicht setzte eine forensische Da-
tenanalyse von
voraus, was den Rahmen dieser Sachverhaltsabklärung sprengen würde.

Zusammenfassend kann festgehalten werden, dass die in
bearbeiteten Daten stets einen Bezug
zu einer bestimmten Person aufweisen. Damit gelten sie als Personendaten i.S.v. Art. 3 lit. a DSG.
Insbesondere müssen gemäss Art. 14 DSG betroffene Personen informiert werden, wenn über sie
besonders schützenswerte Personendaten bearbeitet werden (siehe dazu Ziff. 7.5 ff.). Diese Informa-
tionspflicht gilt nicht nur für die Beschaffung von besonders schützenswerten Personendaten, sondern
auch, wenn Daten beschafft werden, die sich erst zu einem späteren Zeitpunkt zu einem Persönlich-
keitsprofil verdichten.

Da der
zufolge in
keine systematische Verwendung von AHV-Nummern stattfindet, ist keine
Meldung an die Zentrale Ausgleichsstelle (ZAS) im Sinne von Art. 134ter Abs. 1 der Alters- und Hinter-
lassenenversicherung vom 31.10.2012 (SR 831.101; AHVV) erforderlich.




A2014.05.12-0010

8/16


7.3. Zweck der Datenbearbeitung
7.3.1 Ausgangslage

Personendaten dürfen nur für den Zweck bearbeitet werden, welcher bei der Beschaffung angegeben
worden ist oder der aus den Umständen ersichtlich oder gesetzlich vorgesehen ist (Art. 4 Abs. 3
DSG). Der Verwendungszweck der Daten muss also bereits bei der Datenbeschaffung feststehen und
die Daten dürfen nicht zu anderen Zwecken verwendet werden.






7.3.2 Beurteilung

Der von
angegebene Zweck
der Datenbearbeitung in
betrach-
ten wir zusammengefasst als Risikomanagement (siehe Ziff. 6.3.2). Aus den bankenrechtlichen Erwä-
gungen (siehe Ziff. 6 ff.) ergibt sich, dass ein Risikomanagement in diesem Fall gesetzlich vorge-
schrieben ist.

7.4 Rechtmässigkeit der Datenbeschaffung
7.4.1 Ausgangslage

In
werden Personendaten im Sinne des Datenschutzgesetzes erfasst, für deren Bearbeitung ein
Rechtfertigungsgrund benötigt wird (Art. 12 und 13 DSG).

Als Rechtfertigung der Datenbearbeitung stützt sich die
im vorliegenden Fall auf folgende Best-
immungen:


Art. 3 Abs. 2 lit. a und c BankG i.V.m. Art. 3f BankG

Art. 9 BankV

Art. 6 GwV-FINMA

7.4.2 Beurteilung

Die erwähnten bankenrechtlichen Bestimmungen rechtfertigen eine Datenbearbeitung respektive Da-
tenbeschaffung zwecks Risikomanagement (siehe Ziff. 6 ff.).

7.5 Bearbeitung nach Treu und Glauben / Transparenz
7.5.1 Ausgangslage

Transparenz und Information der betroffenen Personen in Bezug auf die Beschaffung und Verwen-
dung der Daten bilden die eigentlichen Eckpfeiler einer datenschutzkonformen Datenbearbeitung
11.

Die Bearbeitung von Personendaten muss nach Treu und Glauben erfolgen (Art. 4 Abs. 2 DSG). Da-
ten sollen nicht in einer Art erhoben und bearbeitet werden, mit der die betroffene Person aus den

11 Botschaft DSG, BBl 2003 2126.


A2014.05.12-0010

9/16


Umständen heraus nicht rechnen musste und mit der sie nicht einverstanden gewesen wäre. Gegen
diesen Grundsatz verstösst beispielsweise derjenige, der Daten nicht offen bearbeitet, ohne dabei
gegen eine Rechtsnorm zu verstossen
12. Demzufolge muss eine Datenbearbeitung für die betroffenen
Personen transparent erfolgen. Dies bedeutet gemäss Art. 4 Abs. 4 DSG, dass für betroffene Perso-
nen die Datenbeschaffung und jede weitere Datenbearbeitung
13, der Zweck jeder (weiteren) Datenbe-
arbeitung, die Identität des Datenbearbeiters und – bei einer Datenbekanntgabe an Dritte – die Kate-
gorien von möglichen Datenempfängern erkennbar sein müssen
14. Auch die Beschaffung von Perso-
nendaten bei Dritten muss erkennbar sein
15.

Die Anforderungen, welche an die Erkennbarkeit gestellt werden, sind nach den Umständen sowie
den Grundsätzen der Verhältnismässigkeit und von Treu und Glauben zu beurteilen
16. Unter dem Ge-
sichtspunkt der Verhältnismässigkeit ist zu prüfen, in welchem Mass die betroffene Person auf die
wesentlichen Rahmenbedingungen der Beschaffung aufmerksam gemacht werden muss, welche
Mittel dem Inhaber der Datensammlung zur Verfügung stehen, um diese Rahmenbedingungen er-
kennbar zu machen, und in welchem Umfang von ihm erwartet werden kann, dass er diese Mittel
auch einsetzt, namentlich unter Berücksichtigung ihrer Kosten und ihrer Wirksamkeit. Zu berücksichti-
gen sind ferner die in der Branche oder für die betreffende Art von Transaktionen geltenden Usanzen.
Für die einfachen Transaktionen des täglichen Lebens, die so geartet sind, dass die Beschaffung und
ihr Zweck sowie die Identität des Inhabers der Datensammlung für die betroffene Person auf Anhieb
leicht und deutlich erkennbar sind, bringt Art. 4 Abs. 4 DSG keine neue Verpflichtung mit sich. Ist eine
Beschaffung auf Grund der Umstände hingegen weniger deutlich erkennbar, muss die betroffene Per-
son umso eher mit angemessenen Mitteln auf die Erhebung und ihre wesentlichen Rahmenbedingun-
gen aufmerksam gemacht werden. Im Internet ist ein Hinweis auf dem Eingangsportal in einer genü-
gend sichtbaren Rubrik, der auf weitere Angaben zur Beschaffung und Verwendung der Daten ver-
weist, in den meisten Fällen ein einfaches und angemessenes Informationsmittel
17.

Werden Daten aus allgemein zugänglichen Quellen beschafft und hat die betroffene Person deren
Bearbeitung nicht ausdrücklich untersagt (Art. 12 Abs. 3 DSG), so sind grundsätzlich keine weiteren
Massnahmen bezüglich Gewährleistung der Erkennbarkeit der Beschaffung und Bearbeitung nötig.

Über die in
bearbeiteten Personendaten, respektive besonders schützenswerten Daten, wird
ausserhalb eines Auskunftsbegehrens nicht informiert. D.h., dass bei der Erhebung, Beschaffung usw.
von Personendaten und weiteren Datenbearbeitungen die betroffenen Personen keine Kenntnis da-
von erhalten, dass Daten zu ihrer Person in einer sicherheitsrelevanten Datenbank
gespei-
chert werden.

nimmt diesbezüglich für sich in Anspruch, dass bei
die Informationspflicht gestützt auf
Art. 14 Abs. 4 und Abs. 5 DSG i.V.m. Art. 9 Abs. 1 und 4 DSG entfällt.





12 Botschaft DSG, BBl 1988 II 449.
13 BSK-DSG, MAURER-LAMBROU/STEINER, Art. 4 N 8.
14 Botschaft DSG BBl 2003 2125.
15 a.a.O., 2126.
16 a.a.O., 2125.
17 a.a.O., 2126.


A2014.05.12-0010

10/16


7.5.2 Beurteilung
7.5.2.1 Transparenz, Erkennbarkeit und Bearbeitung nach Treu und Glauben in


Im Folgenden ist zu prüfen, inwieweit
den Anforderungen von Art. 4 Abs. 2 und 4 DSG in
Bezug auf Transparenz und Erkennbarkeit der in
vorgenommenen Datenbearbeitung Rechnung
trägt.

bestreitet nicht, dass sie diesen Anforderungen bezüglich
nicht nachkommt. Eine allfäl-
lige Information über die Datenbearbeitung sieht

erst vor, wenn bei ihr ein Auskunftsbegeh-
ren geltend gemacht wird. Die Anforderungen an die Erkennbarkeit und die Bearbeitung nach Treu
und Glauben setzen jedoch voraus, dass, unabhängig vom Tätig werden eines Auskunftsersuchen-
den, auf die wesentlichen Rahmenbedingungen der Beschaffung aufmerksam gemacht werden muss.

Zusammenfassend geht aus den vorhergehenden Ausführungen hervor, dass die Erkennbarkeit der
Bearbeitung von Personendaten in
nicht gewährleistet ist und somit die Grundsätze in Art 4 Abs.
2 und 4 DSG verletzt werden.


Änderungsvorschlag 1:
Die
informiert die Allgemeinheit auf klare Weise über den Einsatz von
und dessen Zweck
(insbesondere mittels Webseite und/oder AGB). Sie macht die Informationen einfach zugänglich.

Weiterhin unbestritten ist die Tatsache, dass die
besonders schützenswerte Daten in
bear-
beitet (siehe Ziff. 7.2 ff.). Personen, die von solch einer Datenbearbeitung betroffen sind, müssen
zwingend im Sinne von Art. 14 DSG informiert werden.
Um sich bei der Bearbeitung von besonders schützenswerten Personendaten auf ein Entfallen der
Informationspflicht berufen zu können, müssen die strengen Voraussetzungen von Art. 14 Abs. 4 er-
füllt sein. Das heisst in Fällen, in denen die Daten nicht bei der betroffenen Person beschafft worden
sind:
a. und die Bearbeitung der Daten ausdrücklich im Gesetz vorgesehen ist;
b. oder die Information nicht oder nur mit unverhältnismässigem Aufwand möglich ist,
ist eine Information nicht erforderlich.

Im Fall von
sieht keine Bestimmung ausdrücklich vor, dass besonders schützenswerte Perso-
nendaten bearbeitet werden müssen. Die in Art. 14 Abs. 4 lit. a DSG vorgesehene Ausnahme kommt
somit nicht zum Tragen.

Allerdings ist es vorstellbar, dass in gewissen Situationen die
nicht oder nur mit unverhältnismäs-
sigem Aufwand informieren könnte. Insofern muss zwischen drei Personenkategorien unterschieden
werden: Die erste betrifft Personen, die kein Vertragsverhältnis zur
haben (nachfolgend: erste
Kategorie). Die zweite betrifft Personen die ein vertragliches Verhältnis zur
unterhalten, jedoch
keine Kunden sind (nachfolgend: zweite Kategorie). Und die dritte Kategorie betrifft
-Kunden
(nachfolgend: dritte Kategorie).



A2014.05.12-0010

11/16


Werden besonders schützenswerte Daten zu einer Person der ersten Kategorie nicht bei dieser selbst
beschafft sondern über Dritte, kann davon ausgegangen werden, dass das Einhalten ihrer Informati-
onspflichten für die
einen unverhältnismässigen Aufwand darstellen würde. Dies ist aber nur in
den Fällen zu bejahen, bei denen die
über keine Kontaktangaben der betroffenen Personen ver-
fügt und diese nur mit einem unverhältnismässigen Aufwand beschaffen könnte. In diesen Fällen ent-
fällt die Informationspflicht i.S.v. Art. 14 Abs. 4 lit. b DSG.

Bei den anderen zwei Kategorien kann indes auch ohne unverhältnismässigen Aufwand informiert
werden, da entweder ein Kundenvertrag oder ein anderes Vertragsverhältnis, die Person zur

bindet und die Bank dementsprechend über die nötigen Kontaktangaben verfügt, um ihren Informati-
onspflichten nachzukommen. In diesen Fällen bleibt die Informationspflicht bestehen.

Weiter ist zu prüfen ob die Ausnahmetatbestände von 14 Abs. 5 i.V.m. Art. 9 Abs. 1 und 4 DSG zur
Verweigerung, Einschränkung oder Aufschiebung der Information erfüllt sind. Dafür muss die Bank
von Fall zu Fall überprüfen, ob ein Gesetz im formellen Sinn die genannten Möglichkeiten tatsächlich
vorsieht.

Ein überwiegendes Interesse Dritter, die Informationspflicht gemäss Art. 14 Abs. 5 i.V.m. Art. 9 Abs. 1
lit. b DSG einzuschränken, zu verweigern oder aufzuschieben können wir mangels Substantiierung
dieses Arguments nicht bejahen. Aus demselben Grund kann letztlich auch kein überwiegendes Inte-
resse der
im Sinne von Art. 14 Abs. 5 i.V.m. Art. 9 Abs. 4 DSG angenommen werden.

Zusammenfassend geht aus dem oben Gesagten hervor, dass die Information bei der Bearbeitung
von besonders schützenswerten Daten von Personen der zweiten und dritten Kategorie zwingend
stattfinden muss.




7.6 Verhältnismässigkeit der Datenbearbeitung
7.6.1 Ausgangslage

Die Bearbeitung von Personendaten hat sich am Grundsatz der Verhältnismässigkeit auszurichten
(Art. 4 Abs. 2 DSG). Verhältnismässigkeit bedeutet, dass ein Datenbearbeiter nur diejenigen Daten
bearbeiten darf, die zur Erreichung eines bestimmten Zwecks objektiv geeignet und tatsächlich erfor-
derlich sind, und dass die Nachteile, die mit der Bearbeitung verbunden sind, in einem angemessenen
Verhältnis zu den Vorteilen stehen müssen. Die Datenbearbeitung muss für die betroffene Person
sowohl hinsichtlich ihres Zwecks als auch hinsichtlich ihrer Mittel zumutbar sein (d.h. verhältnismässig
i.e.S.). Dazu muss geprüft werden, ob zwischen dem Bearbeitungszweck und einer im Hinblick darauf
nötigen (d.h. durch die Art und Weise der Bearbeitung gegebenenfalls bewirkte) Persönlichkeitsbeein-
trächtigung ein vernünftiges Verhältnis besteht
18. Es hat also eine Abwägung von Zweck und Wirkung
des Eingriffs stattzufinden und es ist zu prüfen, ob nicht ein milderes Mittel ebenso zum Ziel führt. Die
Prüfung der Verhältnismässigkeit verlangt eine Gesamtwürdigung aller Umstände.

18 Botschaft DSG, BBl 1988 II 450.
Änderungsvorschlag 2:
Die in Ziff. 7.5.2.2 beschriebenen Personenkategorien Zwei (Vertragsverhältnis zur
und Drei
(Kunden der
müssen bei der Bearbeitung von besonders schützenswerten Daten in
in
geeigneter Art und Weise informiert werden.


A2014.05.12-0010

12/16


Im Folgenden wird die Verhältnismässigkeit der Datenbearbeitung in inhaltlicher sowie zeitlicher Hin-
sicht untersucht.

Eine Datenbearbeitung ist dann verhältnismässig, wenn sie inhaltlich auf das absolut Notwendige
beschränkt wird, um ein bestimmtes Ziel zu erreichen. Die inhaltliche Verhältnismässigkeit fordert
einen möglichst schonenden Umgang mit Personendaten. Dies bedingt auch, dass keine für den ver-
folgten Zweck nicht benötigten Überschussinformationen anfallen dürfen. Ebenso ist es unzulässig,
Personendaten auf Vorrat zu erheben, sofern der damit verfolgte Zweck dies nicht unabdingbar erfor-
dert
19.

Für eine inhaltlich verhältnismässige Datenbearbeitung ist grundlegend, dass ein Eintrag nur vorge-
nommen wird, wenn ein sicherheitsrelevantes Ereignis vorliegt.

Allerdings ist die von

vorgenommene Begriffsbestimmung des sicherheitsrelevanten Ereig-
nisses
dermassen unbestimmt, dass sie momentan den Eintrag nahezu jedes beliebi-
gen Lebenssachverhalts ohne Rücksicht auf die Verhältnismässigkeit zulässt.


Änderungsvorschlag 3:
Der Begriff des sicherheitsrelevanten Ereignisses soll präziser umschrieben werden.

Das Erfordernis der Verhältnismässigkeit begrenzt die Datenbearbeitung auch in zeitlicher Hinsicht.
Sofern personenbezogene Daten für den verfolgten Zweck nicht mehr gebraucht werden, sind sie zu
vernichten oder zu anonymisieren. Dabei ist eine frühestmögliche Löschung/Anonymisierung vorzu-
sehen.





19 BGE 125 II 473 E. 4.b S. 476.


A2014.05.12-0010

13/16

Die Dauer der Speicherung von Personendaten und die vorgesehenen Löschungsmechanismen in
erfüllen so, wie sie aktuell vorgesehen sind nicht die Vorgaben einer in zeitlicher Hinsicht ver-
hältnismässigen Datenbearbeitung. Die aktuelle Speicherungsdauer und die Löschungsmechanismen
sind zwar geeignet und zweckmässig, um die von
verfolgten Zielen zu erreichen, jedoch scheitert
das aktuelle Löschkonzept bei der Prüfung der Erforderlichkeit.

Die
hat aber in diesem Belangen bereits Anpassungen geplant, die der Verhältnismässigkeit der
Bearbeitung in zeitlicher Hinsicht besser Rechnung trägt






















Änderungsvorschlag 4:
Die in der
beschriebenen Systemanpassungen sind innert einem Jahr ab Annahme des
Änderungsvorschlags operativ umzusetzen.



7.7. Zweckbindung der Datenbearbeitung
7.7.1 Ausgangslage

Personendaten dürfen nur für den Zweck bearbeitet werden, welcher bei der Beschaffung angegeben
worden ist oder der aus den Umständen ersichtlich oder gesetzlich vorgesehen ist (Art. 4 Abs. 3
DSG). Der Verwendungszweck der Daten muss bereits bei der Datenbeschaffung ersichtlich sein oder
sonst feststehen. Ein Sammeln und weiteres Bearbeiten von Daten – quasi auf „Vorrat“ – ohne dass
ein bestimmter Zweck feststeht oder angegeben wird, ist unzulässig. Wird vom ursprünglich angege-
benen oder aus den Umständen ersichtlichen Zweck abgewichen, sind die betroffenen Personen dar-
über zu informieren. Die Zweckbindung der Datenbearbeitung ist auch bei Weitergabe der Daten ein-
zuhalten.


A2014.05.12-0010

14/16







7.7.2 Beurteilung

Die Organisation der
, die ihr zugrunde liegenden Berechtigungskonzep-
te sowie die datenschutzrechtlichen Vorgaben bzw. Weisungen, die innerhalb der
gelten, weisen
auf eine zweckgebundene Datenbearbeitung von Personendaten in
hin.

7.8 Anmeldung der Datensammlung

Da die Ausnahmebedingung von Art. 11a Abs. 5 lit. e DSG in diesem Fall erfüllt ist, kann von einer
Anmeldung der Datensammlung
beim EDÖB abgesehen werden.

7.9 Richtigkeit der Daten
7.9.1 Ausgangslage

Gestützt auf Art. 5 Abs. 1 DSG hat sich wer Personendaten bearbeitet, über deren Richtigkeit zu ver-
gewissern. Er hat alle angemessenen Massnahmen zu treffen, damit die Daten berichtigt oder ver-
nichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder un-
vollständig sind.










7.9.2 Beurteilung

hat eine höhere Sorgfaltsplicht bei der Benutzung ihrer externen respektive öffentlich zu-
gänglichen Quellen an den Tag zu legen, insbesondere bei der Datenbeschaffung aus dem Internet.
Die Richtigkeit von Informationen aus dem Internet ist vielmals nicht verifizierbar. Verwendet

unwissentlich falsche Informationen, kann dies negative Konsequenzen für die betroffene Person ha-
ben. Auch ist es für diese schwierig, die verbreiteten Informationen zu widerlegen.

Auch bei der Inanspruchnahme der Dienstleistungen von Kreditauskunfteien ist verstärkt auf die Da-
tenqualität zu achten.


A2014.05.12-0010

15/16


Basierend auf dieser Sachverhaltsabklärung besteht kein Anlass daran zu zweifeln, dass die
alle
angemessenen Massnahmen ergriffen hat, um die Richtigkeit der bearbeiteten Personendaten in

zu gewährleisten. Wir kommen zum Schluss, dass die von der
geschilderten Prozesse zur Ge-
währleistung der Datenrichtigkeit angemessen sind i.S.v. Art. 5 Abs. 1 DSG.

8. Schlussfolgerungen
8.1 Fazit

Die durchgeführte Datenschutzkontrolle konnte dem EDÖB einen vertieften Einblick in
liefern.
Die von der
zugestellten Unterlagen und Dokumente haben es dem EDÖB erlaubt, die damit
verbundene Datenbearbeitung auf die Einhaltung der Datenschutzbestimmungen zu überprüfen. Die
Datenschutzkontrolle hat gezeigt, dass
nicht in allen Aspekten datenschutzkonform verläuft. Wo
Änderungen vorgenommen werden müssen, hat dies der EDÖB mit Begründung erläutert. Die im
Rahmen der Sachverhaltsabklärung angehörten Beteiligten zeigten durchwegs eine der Sache ange-
messene Sensibilität für datenschutzrechtliche Fragen. Wir sind überzeugt, dass die vorgeschlagenen
Verbesserungen zur Erhöhung des Datenschutzniveaus beitragen, ohne die Funktionalität und Prakti-
kabilität des Systems unangemessen zu beeinträchtigen.

8.2 Verfahren und weiteres Vorgehen

Der vorliegende Kontrollbericht enthält eine Reihe von Feststellungen sowie Änderungsvorschlägen,
welche vom EDÖB auf Basis der durchgeführten Kontrolle verfasst wurden. Der Bericht wird

zur Kenntnisnahme zugestellt. Innert Frist von 30 Tagen nach Zustellung hat
dem EDÖB
mitzuteilen, ob ihrerseits allfällige Bemerkungen dazu vorliegen und ob sie die Änderungsvorschläge
akzeptiert. Sollte sich nach der Stellungnahme erweisen, dass keine Einigung über die im Schlussbe-
richt enthaltenen Änderungsvorschlägen erzielt werden kann, wird zum Abschluss der Sachverhalts-
abklärung eine Empfehlung erlassen. Werden die Empfehlungen nicht akzeptiert oder umgesetzt,
kann der EDÖB die Angelegenheit dem Bundesverwaltungsgericht zum Entscheid vorlegen (Art. 29
Abs. 4 DSG).

Es besteht ein grundsätzliches Interesse daran, die Öffentlichkeit für die vorliegende Art der Datener-
hebung zu sensibilisieren und sie insbesondere über die erfolgte Datenschutzkontrolle bei

und die diesbezüglichen Ergebnisse zu informieren. Gestützt auf Art. 30 Abs. 2 DSG wird der EDÖB
daher den vorliegenden Kontrollbericht in einer angepassten Version publizieren. Die Publikation er-
folgt unter dem Vorbehalt, dass keine Daten, die aus Sicht
vertraulich sind, Geschäftsge-
heimnisse offenbaren oder die Konkurrenzfähigkeit beeinflussen könnten, bekannt gegeben werden.
wird daher aufgefordert, den Schlussbericht auf solche vertraulichen Inhalte hin zu prüfen
und dem EDÖB mit Frist von 30 Tagen entsprechend schriftlich Rückmeldung zu erstatten.














A2014.05.12-0010

16/16


Mit freundlichen Grüssen


Der Beauftragte
Verfahrensleitender Jurist




Hanspeter Thür
Quentin Van Beek