edoeb · verfuegung-vom-29-januar-2025-cembra-money-bank-ag-gesetzliche-fristen-fuer-die--2025-01-29 · 2025-01-29 · de
Verfügung vom 29. Januar 2025, Cembra Money Bank AG, gesetzliche Fristen für die Behandlung von Auskunftsgesuchen und Mitteilung der bearbeitenden Personendaten als solcheArt. 25 Abs. 2 lit. b DSG – bearbeitende Personendaten als solche bei der Beantwortung von Auskunftsgesuchen; Art. 25 Abs. 7 DSG – Auskunftserteilung in der Regel innerhalb von 30 TagenPDF774.70 kB1. Juli 2025
Datenschutz


Schweizerische Eidgenossenschaft
Confëdëration suisse
Confederazione Svizzera
Confederaziun svizra
0
Eidgenössischer Datenschutz' und
Öffentlichkeitsbeauftragter
EDÖB
Datenschutz
Der Beauftragte
CH-3003 Bern
EDÖB
W
POST CH AG
EDÖB-A-D3DA3401 /2
Einschreiben (R)
Walder Wyss AG
RA David Vasella
RA Hannes Meyle
Seefeldstrasse
123
Postfach
8034 Zürich
Ihr Zeichen
Unser Zeichen: EDÖB-A-D3DA3401/2
Sachbearbeiter/in: WIN
Bern, 29. Januar 2025
Verfügung
vom 29. Januar 2025
in Sachen
Untersuchung nach Art. 49 des Bundesgesetzes über den Datenschutz
gegen
Cembra Money Bank AG, Bändeliweg 20, 8048 Zürich,
vertreten durch Walder Wyss AG, RA David Vasella und Hannes Meyle, Seefeldstrasse 123, Postfach,
8034 Zürich
betreffend
Gesetzliche Fristen für die Behandlung von Auskunftsgesuchen und Mitteilung der bearbeiteten Perso-
nendaten als solche
Feldeggweg 1
3003 Bern
Tel. +41 58 463 74 84. Fax +41 58 465 99 96
www.edoeb.admin.ch
EDÖB-A-D3DA3401 /2

A.
Sachverhalt
1.
1
2,
Anzeige 1
Mit Anzeige vom 5. April 2024 wurde der EDÖB darüber in Kenntnis gesetzt, dass die Cembra auf
ein am 4. März 2024 mittels eingeschriebenen Briefs zugestelltes Auskunftsgesuch nicht reagiert
hat
Mit Schreiben vom 16. April 2024 wies der EDÖB die Cembra auf ihre Pflicht hin, Auskunftsgesu-
che innert der gesetzlichen Frist zu beantworten. Er hat sie aufgefordert, einerseits der betroffenen
Person Auskunft zu erteilen und andererseits ihre Praxis zur Gewährung des Auskunftsrechts auf
ihre Datenschutzkonformität hin zu überprüfen und nötigenfalls anzupassen.
Mit Schreiben vom 2. Mai 2024 bestätigte die Cembra gegenüber dem EDÖB, dass die Auskunft
im konkreten Fall nicht fristgerecht beantwortet, aber inzwischen erteilt worden sei. Zur Aufforde-
rung, ihre Praxis zur Gewährung des Auskunftsrechts auf ihre Datenschutzkonformität hin zu über-
prüfen und nötigenfalls anzupassen, nahm die Cembra wie folgt Stellung:
3
KEs ist zutreffend, dass das Auskunftsbegehren der betroffenen Person, [.. .], nicht fristgerecht
beantwortet worden ist. Aufgrund eines vorübergehenden personellen Engpasses sind wir mit der
Beantwortung in Verzug geraten. Allerdings ist die Eingabe erst am 5. März 2024 bei uns einge-
gangen, womit die Verzugsdauer knapp drei Wochen beträgt; eine Mahnung seitens des Betroffe-
nen ist nicht erfolgt. Zwischenzeitlich konnte die Vakanz geschlossen und die gewünschte Aus-
kunft erteilt werden. Damit kann unserer Meinung nach die Angelegenheit als geschlossen be-
trachtet werden
Da die Verzögerung durch den personellen Engpass begründet war, drängt sich unseres Erach-
tens keine Anpassung unserer Praxis zur Gewährung des Auskunftsrechts auf, wir erachten sie
als datenschutzkonform. Dies zeigt sich nicht zuletzt darin, dass die überwiegende Mehrheit un-
serer Kundinnen und Kunden mit der erteilten Auskunft offenbar zufriedengestellt ist, mangels
anderslautender Rückmeldungen.»
11.
4,
5,
Anzeige 2
Mit Anzeige vom 3. Juli 2023 wurde der EDÖB durch eine betroffene Person (nachfolgend: An-
zeiger 2) über folgenden Sachverhalt in Kenntnis gesetzt:
Am 27. Dezember 2023 teilte die Cembra dem Anzeiger 2 mit, dass sein Antrag auf Ausstellung
einer TCS Member Mastercard aufgrund gesetzlicher Bestimmungen und internen Richtlinien ab-
gelehnt werde. Fragen betreffend Ablehnungsgründe seien schriftlich an folgende Adresse zu
richten: Cembra Money Bank AG, Customer Care /UWC, Postfach, 8048 Zürich.
6
7,
Mit Schreiben vom 5. Januar 2024 hat sich der Anzeiger 2 schriftlich an die Cembra gewandt und
eine Begründung für die Ablehnung seines Antrags für eine TCS Member Mastercard verlangt.
Weil der Anzeiger 2 keine Antwort erhielt, wiederholte er sein Auskunftsersuchen mittels einge-
schriebenen Schreibens vom 24. Januar 2024 und ersuchte um folgende Informationen:
Eine Begründung zur Ablehnung des Antrags;
Die erwähnten gesetzlichen und internen Richtlinien;
Welche Informationen die Cembra Money Bank über den Anzeiger 2 gespeichert hat;
Woher die gespeicherten Informationen stammen.
8.
Weil der Anzeiger 2 wiederum keine Antwort auf sein Gesuch erhielt, stellte er mittels eingeschrie-
benen Schreibens vom 16. Februar 2024 erneut ein Auskunftsgesuch an die Adresse der Cembra.
In seinem Schreiben verlangt der Anzeiger 2 mittels Musterbrief des EDÖB die gesetzlich defi-
nierten Mindestangaben von der Cembra, namentlich «die bearbeiteten Personendaten aIs sol-
che»
2/9

9
Da der Anzeiger 2 auch auf dieses Schreiben keine Antwort erhielt, reichte er am 25. März 2024
(PoststempeË) ein Schlichtungsgesuch bei der Schlichtungsbehörde des Zivilgerichts des Kantons
Basel-Stadt ein und stellte folgende Rechtsbegehren:
 
Im Schreiben wurde zudem generell für weitergehende Informationen auch auf die Datenschut-
zerklärung der Cembra verwiesen (siehe www.cembra.ch/datenschutzerklärung). Eine Auskunft
darüber, welche Personendaten des Anzeigers 2 die Cembra bearbeitet, wurde nicht erteilt.
11
Zur Schlichtungsverhandlung vom 13. Mai 2024 ist die Cembra nicht erschienen, weshalb die
Schlichtungsbehörde des Zivilgerichts des Kantons Basel-Stadt die Klagebewilligung vom
13. Mai 2024 erteilt hat,
111.
12,
Untersuchung durch den EDÖB
Mit Schreiben vom 6. September 2024 teilte der EDÖB der Cembra die Eröffnung einer Untersu-
chung nach Art. 49 Datenschutzgesetz (DSG, SR 235.1) mit. Dabei hielt der EDÖB aufgrund des
ihm vorliegenden Antwortschreibens der Cembra vom 10. April 2024 fest, dass die Praxis der
Cembra offenbar darin bestehe, Auskunftsgesuche mit einem standardisierten Brief zu beantwor-
ten. und gab ihr Gelegenheit, zum oben ausgeführten Sachverhalt Stellung zu nehmen.
13
Mit E-Mail vom 16. September 2024 teilte RA David Vasella namens und im Auftrag der Cembra
als Vorinformation mit, die Cembra lege grossen Wert auf die Einhaltung des anwendbaren Rechts
und selbstverständlich auch des Datenschutzrechts. Sie habe die erforderlichen Prozesse einge-
richtet und ihre Mitarbeitenden sensibilisiert. Die Cembra bedauere, dass Auskunftsbegehren in
den genannten Fällen nicht zur Zufriedenheit der Betroffenen beantwortet worden seien. Die Be-
antwortung erfülle auch nicht die eigenen Standards der Cembra. Ursache dafür sei nach derzei-
tigem Kenntnisstand ein akuter Personalmangel im Bereich des Datenschutzes.
Der Personalmangel sei durch externe Unterstützung behoben worden, bis die erforderlichen Ka-
pazitäten intern besetzt werden könnten. Die Cembra nehme die Angelegenheit aber zum Anlass,
die bestehenden Prozesse für Auskunftsbegehren zu überprüfen. Allfällige Empfehlungen des
EDÖB in diesem Zusammenhang würde sie dabei gerne berücksichtigen.
14
Mit Schreiben vom 8. Oktober 2024 nahm die Cembra zur Sachverhaltsfeststellung des EDÖB
dahingehend Stellung, dass die Praxis der Cembra Money Bank AG in Zusammenhang mit der
Bearbeitung von Auskunftsgesuchen, den betroffenen Personen einen standardisierten Brief zu
schicken, nicht der üblichen Praxis der Cembra entspreche, sondern Folge eines akuten Perso-
nalmangels gewesen sei. Dieser sei inzwischen mit externer Unterstützung behoben worden, so
dass kein Grund zur Befürchtung bestehe, dass weitere Auskunftsgesuche in der gleichen Weise
bearbeitet würden. Weiter wies die Cembra darauf hin, dass die Feststellung einer allgemeinen
Praxis keine Sachverhaltsfeststellung aufgrund der Akten sei, sondern eine unzulässige Verallge-
meinerung festgestellter Fakten.
3/9

Die Cembra habe den Sachverhalt zum Anlass genommen, die Prozesse und Dokumentationen
für die Gewährleistung des Auskunftsrechts zu prüfen. Allfällige Empfehlung würde die Cembra
bei einer Anpassung gerne berücksichtigen.
Die Beantwortung der Auskunftsbegehren habe die Cembra am 8. Oktober 2024 nachgeholt.
15
Der EDÖB forderte die Cembra am 10. Oktober 2024 auf, ihm folgende Informationen zuzustellen:
<1. Gemäss Ihrem Schreiben vom 8. Oktober 2024 hat die Cembra «die Beantwortung der unter-
suchungsgegenständlichen Auskunftsbegehren [. ..] nachgeholt». Übermitteln Sie dem EDÖB Ko-
pien der Antworten.
2. Teilen Sie uns mit, in welchem Zeitraum der in den Schreiben vom 8. Oktober und 2. Mai 2024
bzw. in der E-Mail vom 16. September 2024 erwähnte «akute Personalmangel» bestanden hat.
3. Teilen Sie uns mit, wie genau dieser «akute Personalmangel» gemäss vorangehender Ziffer 2
behoben wurde.
4. Teilen Sie uns mit, wie vielen Auskunftsgesuche im Zeitraum des «akuten Personalmangels»
gemäss vorangehender Ziffer 2 nicht inneR der gesetzlichen Frist von 30 Tagen, sondern mit Ver-
zögerung, beantwortet wurden.
5. Teilen Sie uns mit, wie viele Auskunftsgesuche mit dem standardisierten Text (.. .) entsprochen
wurden. »
16.
Die Cembra sandte dem EDÖB am 25. Oktober 2024 die einverlangten Kopien der Antwortschrei-
ben zu. Bezüglich Personalmangel führte die Cembra aus, dieser habe in wechselnder Konstella-
tion zwischen Dezember 2023 und September 2024 bestanden, wobei die Cembra bereits ab April
2024 verschiedene Abhilfemassnahmen getroffen habe. Von 13 Auskunftsgesuchen, die zwi-
schen dem 1. Dezember 2023 und 31. August 2024 eingegangen seien, seien vier Auskunftsge-
suche innerhalb von 30 Tagen beantwortet. Neun Auskunftsgesuche seien nach Ablauf einer län-
geren Frist beantwortet worden.
Die vom 1. Dezember 2023 bis am 31. August 2024 eingegangen 13 Auskunftsgesuche seien mit
einem standardisierten Text beantwortet worden, wie ihn Anzeiger 2 am 10. April 2024 erhalten
habe. Von den 13 Empfängern hätten nach Kenntnis der Cembra nur die beiden Personen rea-
giert, die sich dann an den EDÖB gewandt hätten. Diesbezüglich teilte die Cembra dem EDÖB
mit: «Das führte dazu, dass Cembra nicht früher darauf aufmerksam wurde, dass der Auskunfts-
prozess mangelhaft gelebt wurde.».
Weiter bringt die Cembra vor, dass die Ursache der Fehler die Personalengpässe gewesen seien
und nicht etwa mangelnde Rechtskenntnis oder fehlender Wille. Dies belege die Tatsache, dass
die Cembra Auskunftsgesuche vor dem Zeitraum des Personalmangels jeweils fristgerecht und
mit Beilage der bearbeiteten Personendaten als solche beantwortet habe. Vor dem akuten Perso-
nalmangel, beispielsweise vom 1. August bis 31. November 2023, seien 20 von 23 Auskunftsbe-
gehren fristgerecht und unter Beilage der bearbeiteten Personendaten als Solche beantwortet
worden. Die durchschnittliche Bearbeitungsdauer habe dabei bei rund 25 Kalendertagen gelegen.
B.
1.
17.
EIwägungen
Formelles
Das DSG gilt für die Bearbeitung von Personendaten natürlicher Personen durch private Personen
und Bundesorgane (Art. 2 Abs. 1 DSG). Als private Personen gelten alle Subjekte des Privatrechts
und somit alle natürlichen und juristischen Personen.
4/9

18
Als juristische Person und Aktiengesellschaft mit Sitz in Zürich ist die Cembra eine private Person
im Sinne von Art. 2 Abs. 1 Bst. a DSG. Gemäss ihrem Gesellschaftszweck bezweckt die Cembra
den Betrieb einer Bank. Ihr Geschäftskreis umfasst alle Arten von Bankgeschäften, insbesondere
die Gewährung von Krediten aller Art, die Vermittlung von damit zusammenhängenden Dienst-
leistungen sowie die Annahme von Geldern. Zur Erfüllung dieses Gesellschaftszweck bearbeitet
sie unbestrittener Massen Personendaten ihrer Kundinnen und Kunden, weshalb das DSG nach
Art. 5 Bst. a zur Anwendung kommt. Für die Gewährung des Auskunftsrechts gelten die die Art,
25-29 dieses Gesetzes.
19,
Der EDÖB beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften (Art. 4
Abs. 1 DSG). Er eröffnet von Amtes wegen oder auf Anzeige hin eine Untersuchung gegen ein
Bundesorgan oder eine private Person, wenn genügend Anzeichen bestehen, dass eine Daten-
bearbeitung gegen die Datenschutzvorschriften verstossen könnte
Vorliegend wurde der EDÖB durch zwei Anzeigen in Kenntnis darüber gesetzt, dass die Cembra
Auskunftsgesuche nicht inneR der gesetzlichen Frist und ohne die Bekanntgabe der von ihr bear-
beiteten Personendaten als solche beantwortet. Es bestanden damit genügend Anzeichen, dass
die Bearbeitung von Auskunftsgesuchen durch die Cembra gegen Datenschutzvorschriften
verstossen könnte, weshalb der EDÖB am 6. September 2024 eine Untersuchung eröffnet hat.
20.
21.
Das Untersuchungsverfahren sowie Verfügungen nach den Art. 50 und 51 DSG richten sich nach
dem VwVG. Partei ist nur das Bundesorgan oder die private Person, gegen die eine Untersuchung
eröffnet wurde (Art. 52 Abs. 1 und 2 DSG). Verfügungsadressaten sind die materiellen Normad-
ressaten des DSG, also entweder ein Bundesorgan oder eine private Person, meist wohl ein
(rechtsfähiges) Unternehmen. Nur ihnen kommt Parteistellung zu (BuNDI Llvlo, in: Bieri Ad-
rian/Powell Julian (Hrsg.), DSG Kommentar, Kommentar zum Schweizerischen Datenschutzge-
setz mit weiteren Erlassen, Zürich 2023, Art. 51 Verwaltungsmassnahmen N 20).
Bei der Cembra handelt es sich um ein rechtsfähiges Unternehmen, weshalb ihr im vorliegenden
Verfahren Parteistellung zukommt,
Gemäss Art. 11 Abs. 1 VwVG kann sich die Partei vertreten lassen. Von dieser Möglichkeit hat
die Cembra mit Mitteilung ihrer Rechtsvertretung vom 16. September 2024 Gebrauch gemacht.
Die Vollmacht datiert vom 16. Januar 2025.
11.
22
1.
23.
Materielles
Gemäss Art. 32 Abs. 1 VwVG würdigt der EDÖB, bevor er verfügt, alle erheblichen und rechtzei-
tigen Vorbringen der Parteien (Art. 32 Abs. 1 VwVG).
Einhaltung der gesetzlichen Frist
Ein Auskunftsbegehren ist gemäss Art. 25 Abs. 7 DSG innerhalb von 30 Tagen seit dem Eingang
des Begehrens zu beantworten. Kann die Auskunft nicht innerhalb von 30 Tagen erteilt werden,
so muss die oder der Verantwortliche die betroffene Person darüber informieren und ihr mitteilen,
innerhalb welcher Frist die Auskunft erfolgt. Wird die Auskunft verweigert, eingeschränkt oder auf-
geschoben, muss dies innerhalb derselben Frist mitgeteilt werden (Art. 18 Abs. 2 und 3 DSV).
24
Mit Schreiben vom 16. April 2024 hat der EDÖB die Cembra darauf hingewiesen, dass gemäss
den erhaltenen Informationen betreffend Anzeige 1 ein Auskunftsgesuch nicht innerhalb der ge-
setzlichen Frist beantwortet wurde. Der DPO bestätigte mit Schreiben vom 2. Mai 2024 die nicht
fristgerechte Beantwortung des Auskunftsgesuchs der betreffenden Anzeige und teilte mit, dass
die Beantwortung inzwischen erfolgt sei. Dies ändert jedoch nichts daran, dass die gesetzliche
Frist vorliegend überschritten wurde.
25
Anzeiger 2 reichte insgesamt drei Auskunftsgesuche bei der Cembra ein. Die Beantwortung dieser
Gesuche erfolgte jedoch erst nach über drei Monate nach Zusendung des ersten Auskunftsge-
such bzw. nach rund dreifachem Verstreichen der gesetzlichen Frist. Bis zu diesem Zeitpunkt
wurde der Anzeiger 2 zudem auch nicht darüber informiert, dass die Rückmeldung nicht inneN der
gesetzlichen Frist erfolgen kann und innerhalb welcher Frist sie erfolgen wird. Die über drei Mo-
nate verspätete Rückmeldung erhielt auch keine Informationen über die von der Cembra über den
5/9

Anzeiger 2 bearbeiteten Personendaten als solche, wie dies Art. 25 Abs. 2 Bst. b. DSG vor-
schreibt. Eine Antwort erfolgte erst mit Schreiben vom 8. Oktober 2024 und damit rund neun Mo-
nate nach der Gesuchstellung, womit die gesetzliche Frist massiv überschritten wurde.
26,
Neben diesen Anzeigen wurden nach Angaben der Cembra in der Zeit des «akuten Personalman-
gels» vom 1. Dezember 2023 bis 31. August 2024 von 13 eingegangenen Auskunftsgesuche neun
nach Ablauf der gesetzlichen Frist beantwortet. Es wurden somit mehr als drei Viertel der Gesuche
zu spät beantwortet.
27.
2.
28,
Zusammenfassend ergibt sich deshalb, dass für die beiden oben erwähnten Anzeigen die gesetz-
liche Frist von Art. 25 Abs. 7 DSG verletzt worden ist und dass dies in der Zeit vom 1, Dezember
2023 bis am 31. August 2024 bei insgesamt neun von 13 Gesuchen der Fall war.
Mitteilung der bearbeiteten Personendaten als solche
Gemäss Art. 25 Abs. 1 DSG kann jede natürliche Person vom Verantwortlichen Auskunft darüber
verlangen, ob Personendaten über sie bearbeitet werden. Nach Abs. 2 erhält sie vom Verantwort-
lichen diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach dem DSG gel-
tend machen kann und eine transparente Datenbearbeitung gewährleistet ist. Darunter fallen ge-
mäss Bst. b. dieses Absatzes namentlich die vom Verantwortlichen über die Auskunft verlangende
Person bearbeiteten Personendaten als solche.
29.
Um zu beurteilen, aufgrund welcher Informationsverarbeitungen ihre Bank einen Kreditantrag ab-
lehnte und allenfalls weitere Rechte wie jenes auf eine Datenberichtigung nach Art. 32 Abs. 1
DSG geltend machen zu können, sind natürliche Personen als Bankkunden auf Informationen zu
den über sie bearbeiteten Personendaten als solche angewiesen. Würde sich herausstellen, dass
ein Kredit aufgrund von falschen oder nicht mit mehr aktuellen Informationen abgelehnt worden
ist, stellte dies einen erheblichen Eingriff in die Persönlichkeit der betroffenen Person dar, gegen
das sie sich ohne Informationen zu den über sie bearbeiteten Personendaten als solche nicht zur
Wehr setzen kann. Banken müssen bei der Beantwortung eines Auskunftsgesuchs somit prüfen,
welche Geschäftstätigkeiten sie mit der betroffenen Person geführt haben und ihr die diesbezüg-
lichen Informationen bekanntgeben.
2.1.
30.
Anzeige 1
Die Cembra beantwortete zuerst das Auskunftsgesuch des ersten Anzeigers nur mit einem stan-
dardisierten Text (vgl. Ziffer 9) ohne Informationen über die von ihr bearbeiteten Personendaten
als solche bekanntzugeben oder eine gesetzliche Ausnahme des Auskunftsrechts geltend zu ma-
chen. Dies wurde von der Cembra bestätigt und ist daher unbestritten. Erst mit Schreiben vom 8
Oktober 2024 wurde das Auskunftsgesuch vollständig beantwortet, indem der Ablehnungsgrund
des Kreditkartenantrages begründet sowie die bearbeiteten Personendaten als solche als Beila-
gen bekanntgegeben wurden.
31
Damit stellte die erste Antwort auf das Auskunftsgesuchs des ersten Anzeigers eine Verletzung
von Art. 25 Abs. 2 lit. b DSG dar,
2.2.
32.
Anzeige 2
Auch bei Anzeiger 2 hat die Cembra das Auskunftsgesuch nur mit einem standardisierten Text
und ohne Informationen über die bearbeiteten Informationen beantwortet. Eine gesetzliche Aus-
nahme des Auskunftsrechts hat Cembra auch gegenüber Anzeiger 2 nicht geltend gemacht (siehe
Ziffer 9). Für weitergehende Informationen hat ihn Cembra lediglich auf die Datenschutzerklärung
verwiesen, die online abrufbar sind. Auch das Auskunftsgesuch des Anzeigers 2 hat die Cembra
erst mit Schreiben vom 8. Oktober 2024 vollständig beantwortet.
33
Folglich erfolgte auch die erste Antwort des Auskunftsgesuchs von Anzeiger 2 in Verletzung von
Art. 25 Abs. 2 lit. b DSG.
2.3. Weitere Erkenntnisse
6/9

34.
Wie die Cembra gegenüber dem EDÖB einräumte, wurden alle die vom 1. Dezember 2023 bis
am 31. August 2024 eingegangen 13 Auskunftsgesuche mit einem standardisierten Text beant-
wortet, wie ihn Anzeiger 2 am 10. April 2024 erhalten habe. Im Verlauf des Verfahrens kam die
Cembra ihrer Auskunftspflicht bei den Anzeigenden nachträglich nach, nicht jedoch gegenüber
den übrigen 1 1 Empfängern. Damit dauert eine Verletzung von Art. 25 Abs. 2 lit. b DSG nach wie
vor an
3.
35,
Einwände der Cembra
Im Entwurf der Sachverhaltsfeststellung vom 6. September 2024, welcher der Cembra zur Stel-
lungnahme vorgelegt wurde, hielt der EDÖB in Ziffer 13 fest, dass die Praxis der Cembra in Zu-
sammenhang mit Auskunftsgesuchen darin bestünde, den betroffenen einen standardisierten
Brief zu versenden, wie ihn Anzeiger 2 am 10 April 2024 erhielt. Die Cembra erwiderte diesbe-
züglich in ihrer Stellungnahme vom 8. Oktober 2024, es sei nachvollziehbar, dass dieser Eindruck
entstanden sei, aber er treffe nicht zu. Die Beantwortung der vorliegend relevanten Auskunftsbe-
gehren entspreche nicht der üblichen Praxis der Cembra, sondern sei eine Folge des akuten Per-
sonalmangels gewesen. Zudem sei die Feststellung einer allgemeinen Praxis durch den EDÖB
keine Sachverhaltsfeststellung, sondern eine unzulässige Verallgemeinerung festgestellter Fak-
ten
36
Mit Schreiben vom 25. Oktober 2024 hat die Cembra aber sodann selber dargelegt, dass alle der
insgesamt dreizehn in der Zeit vom 1. Dezember 2023 bis am 31. August 2024 eingegangenen
Auskunftsgesuche mit Standardschreiben beantwortet worden sind, womit sich ihr Einwand einer
unzulässigen Verallgemeinerung als hinfällig erweist,
37.
38.
Weiter macht die Cembra für die verspätete und unvollständige Antwort auf die Auskunftsgesuche
geltend, es habe ein Personalmangel vorgelegen.
Diese Begründung überzeugt nicht, weil Art. 18 Abs. 2 DSV für den Fall, dass eine Auskunft nicht
innert 30 Tagen erteilt werden kann, eine Fristverlängerungsmöglichkeit vorsieht. Von dieser Mög-
lichkeit hat die Cembra jedoch vorliegend nicht Gebrauch gemacht. Der Einwand des Personal-
mangels stösst deshalb ins Leere.
39
Der EDÖB stellt somit abschliessend fest, dass das Datenschutzgesetz verletzt worden ist, indem
den beiden Anzeigern die in Art. 25 Abs. 2 Bst. b. vorgesehenen Informationen zu den über sie
bearbeiteten Personendaten als solche nicht innert der 30-tägigen Frist mitgeteilt wurden und
auch keine Fristverlängerung beansprucht worden ist.
40.
Weiter macht die Cembra geltend, angesichts des Sachverhaltes sei lediglich eine Verwarnung
auszusprechen, da zwischenzeitlich Massnahmen für die rechtskonforme Bearbeitung der Aus-
kunftsgesuche getroffen worden und die konkreten Auskunftsgesuche nun beantwortet worden
seien
41
Liegt eine Verletzung von Datenschutzvorschriften vor, so kann der EDÖB verfügen, dass die
Bearbeitung ganz oder teilweise angepasst, unterbrochen oder abgebrochen wird und die Perso-
nendaten ganz oder teilweise gelöscht oder vernichtet werden (Art. 51 Abs. 1 DSG). Er kann dabei
namentlich anordnen, der betroffenen Person die Auskünfte nach Artikel 25 zu erteilen (Art. 51
Abs. 3 Bst. g). Hat das Bundesorgan oder die private Person während der Untersuchung die er-
forderlichen Massnahmen getroffen, um die Einhaltung der Datenschutzvorschriften wiederherzu-
stellen, so kann der EDÖB sich darauf beschränken, eine Verwarnung auszusprechen (Art. 51
Abs. 5 DSG).
42.
Wie vorstehend festgestellt liegen mehrfache Verletzungen des Datenschutzgesetzes vor. Die
Bearbeitung der Personendaten wurde jedoch während der Untersuchung bereits angepasst.
Ebenfalls wurden während dieser Untersuchung die Auskünfte nach Art. 25 DSG lediglich gegen-
über Anzeiger 1 und 2 erteilt. Eine Mitteilung der bearbeitenden Personendaten ist gegenüber den
übrigen 11 Betroffenen bisher noch nicht erfolgt und muss noch nachgeholt werden.
7/9

43.
Die Cembra ist angehalten, Art. 25 DSG inskünftig rechtskonform anzuwenden. Für den Fall er-
neuter Beschwerden behält sich der EDÖB Nachkontrollen vor und weist die Cembra ausdrück-
lich auf die Strafbestimmung von Art. 63 DSG hin:
<Mit Busse bis zu 250 000 Franken werden private Per$onen bestraft, die einer Verfügung des
ED(:)B oder einem Entscheid der Rechtsmittelinstanzen, die oder der unter Hinweis auf die Straf-
drohung dieses Artikels ergangen ist, vorsätzlich nicht Folge leisten.D
c.
44.
Gebühren
Gemäss Art. 59 Abs. 1 Bst. d DSG erhebt der EDÖB von privaten Personen Gebühren für Mass-
nahmen nach Art. 51 DSG. Die Höhe der Gebühren bemisst sich dabei nach der Regelung von
Art. 44 DSV, welcher einen Stundenansatz vorsieht.
Vorliegend wird gegenüber der Cembra eine Verwarnung ausgesprochen, welche eine gebühren-
pflichtige Verwaltungsmassnahme
nach Art. 51 DSG darstellt,
45
46,
Die aufgewendete Zeit beträgt vorliegend insgesamt 33 Stunden zuzüglich Auslagen von CHF
16.90. Es resultiert ein Gebührentotal von CHF 5'829.40.
Die Gebühr wird fällig mit der Rechtskraft der Verfügung; die Zahlungsfrist beträgt grundsätzlich
30 Tage ab Fälligkeit (vgl. Art. 44 Abs. 5 DSV i. V.m. Art. 12 Abs. 1 Bst. a und Abs. 2 AllgGebV).
8/9

Demnach wird
festgestellt:
Die Cembra Money Bank AG hat das DSG durch Missachtung von Art. 25 Abs. 2 Bst. b. und Abs. 7 in
der Zeit vom 1. Dezember 2023 bis am 31. August 2024 mehrfach verletzt.
und verfügt:
1. Die Cembra Money Bank AG wird aufgefordert, allen Personen, die bisher auf ihr Auskunftsbegeh-
ren lediglich eine Standardantwort erhalten haben, gestützt auf Art. 51 Abs. 3 lit. g i. V.m. Art. 25 Abs.
2 lit. b DSG mitzuteilen, welche Personendaten über sie bearbeitet werden.
2.
Die Cembra Money Bank AG wird auf die Strafbestimmung von Art. 63 DSG hingewiesen.
3.
Der Cembra Money Bank AG wird eine Gebühr in der Höhe von insgesamt CHF 5'829.40 auferlegt.
4. Zu eröffnen: Cembra Money Bank AG, Bändeliweg 20, 8048 Zürich, p.A. Walder Wyss AG, RA
David Vasella und Hannes Meyle, Seefeldstrasse 123, Postfach, 8034 Zürich
Der Beauftragte
Adrian Lobsiger
Rechtsmittelbelehrung
Gegen diese Verfügung kann innerhalb von 30 Tagen ab Erhalt der schriftlichen Ausfertigung Beschwerde
erhoben werden (vgl. Art. 52 Abs. 1 DSG i.V.m. Art. 50 des Bundesgesetzes über das Verwaltungsverfahren, VwVG;
SR 172.021). Diese Frist steht still, vom siebten Tag vor Ostern bis und mit dem siebten Tag nach Ostern; vom
15. Juli bis und mit 15. August und vom 18. Dezember bis und mit 2. Januar (vgl. Art. 52 Abs. 1 DSG i.V.m. Art. 22a
VwVG). Die Beschwerde ist einzureichen beim
Bundesverwaltungsgericht
Postfach
9023 St. Gallen
Sie hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift der beschwerdeführen-
den Partei oder ihrer Vertretung zu enthalten. Die angefochtene Verfügung und die als Beweismittel angerufenen
Urkunden sind der Beschwerde beizulegen, soweit sie der beschwerdeführenden Partei vorliegen (vgl. Art. 52 Abs
1 DSG i.V.m. Art. 52 Abs. 1 VwVG).
9/9