Bundesverwaltungsgericht 11.04.2024 A-4873/2021

Bundesverwaltu ng sgeri ch t Trib un a l ad ministratif f éd éral Trib un a l e am m in istrati vo federale Trib un a l ad ministrativ fe deral

Abteilung I A-4873/2021

Urteil v o m 11 . April 2024 Besetzung Richterin Christine Ackermann (Vorsitz), Richter Maurizio Greppi, Richter Alexander Misic, Gerichtsschreiber Andreas Kunz.

Parteien A._______, Beschwerdeführerin,

gegen

Nachrichtendienst des Bundes NDB, Papiermühlestrasse 20, 3003 Bern, Vorinstanz.

Gegenstand Datenschutz; Auskunftsgesuch von Daten zum Verein «[…]»; Herausgabe von Dokumenten.

A-4873/2021 Sachverhalt: A. Der Verein «A._______», (…), bezweckt mitunter, (Beschreibung Vereinszweck). Zur Erfüllung ihres Zwecks organisiert A._______ diverse Veranstaltungen, z. B. Kundgebungen ([…]). Bekannt wurde A._______ für ihre «(Veranstaltung X.)». Diese (…) zwischen (…) und (…) anlässlich (Grossveranstaltung Z.). (Beschreibung Veranstaltung X.). B. A._______ gelangte mit Schreiben vom 5. Februar 2020 an den Nachrichtendienst des Bundes NDB. Darin verlangte sie Auskunft über sämtliche über sie gespeicherten Daten in den Datensystemen des NDB. C. Mit Antwortschreiben vom 17. Dezember 2020 übermittelte der NDB A._______ die Resultate seiner Suchabfrage in einer tabellarischen Übersicht. Darin wurden aus 405 Dokumenten jeweils die spezifischen Erwähnungen von A._______ pro Informations- und Speichersystem samt der Natur des jeweiligen Dokuments aufgeführt. Am meisten Erwähnungen fand A._______ in Lageprodukten (Tageslagen, Wochenlagen oder Lagerapporten). Laut dem NDB dienen diese ihm und seinen Partnern als Hilfsmittel zur frühzeitigen Erkennung und Verhinderung von Bedrohungen der inneren und äusseren Sicherheit, insbesondere in Bezug auf Grossveranstaltungen. Die A._______ betreffenden Lageprodukte bezogen sich zum grössten Teil auf (Veranstaltung X.). Registriert wurden aber auch andere Kundgebungen, an denen A._______ teilnahm, wie z. B. (…). Zusätzlich waren weitere Informationen zur (…) aus diversen Dokumenten (Berichten, E-Mails, Reports, Presseartikeln etc.) in der tabellarischen Übersicht aufgelistet. Zum besseren Verständnis legte der NDB dem Schreiben die ersten zehn Dokumente bei. Er wies darauf hin, dass in sämtlichen Beilagen als auch in allen Auszügen in den Tabellen Personendaten von Dritten sowie Daten, die A._______ nicht betreffen, geschwärzt oder weggelassen worden seien. Ferner schob der NDB die Auskunft bezüglich zweier im Informationssystem GEVER NDB und teils im IASA NDB abgelegter Dokumente (Dokumente Nrn. 30 und 31) aus Geheimhaltungsgründen auf. D. A._______ forderte vom NDB mit Schreiben vom 29. Januar 2021 unter anderem die Zustellung der 405 Dokumente in Kopie sowie Auskunft über sämtliche über sie gespeicherte Daten für den Zeitraum vom 6. Februar 2020 bis Ende Januar 2021.

A-4873/2021 E. Der NDB teilte A._______ mit Schreiben vom 11. März 2021 mit, dass kein gesetzlicher Anspruch auf Herausgabe von Dokumentenkopien bestehe. Den Gesuchstellenden seien nur jene Informationen mitzuteilen, die sie beträfen. Eine Dokumentenkopie werde nur zur beispielhaften Veranschaulichung zugestellt oder wenn der Inhalt des Dokuments ausnahmsweise nicht mit einem Auszug aus dem Dokument verständlich wiedergegeben werden könne. Bezüglich der allfällig bearbeiteten Daten aus dem Zeitraum vom 6. Februar 2020 bis Ende Januar 2021 wies der NDB A._______ auf die Möglichkeit hin, ein erneutes Auskunftsgesuch zu stellen, da sich jenes vom 5. Februar 2020 auf den Zeitraum davor bezog. F. Infolgedessen stellte A._______ mit Schreiben vom 22. März 2021 ein erneutes Auskunftsgesuch über sämtliche über sie seit dem 6. Februar 2020 gespeicherten Daten. G. Am 17. Juni 2021 erliess der NDB drei Schreiben. G.a Im ersten Schreiben informierte er A._______ darüber, dass im Zeitraum vom 6. Februar 2020 bis 22. März 2021 26 Dokumente in seinen Informationssystemen abgelegt worden seien, in denen A._______ Erwähnung finde. Die Informationen dazu wurden wiederum tabellarisch aufgelistet. Sofern zum besseren Verständnis nötig, legte der NDB die entsprechenden Dokumentenkopien in anonymisierter Form dem Schreiben bei. G.b Im zweiten Schreiben erteilte der NDB Auskunft über die zwei aufgeschobenen Dokumente Nrn. 30 und 31 (vgl. oben Bst. C) in tabellarischer Form. In der Zwischenzeit hatte sich ergeben, dass die Daten über A._______ in diesen beiden Dokumenten für den NDB nicht mehr von Interesse waren. G.c Im dritten, in Verfügungsform gekleideten Schreiben verweigerte der NDB die Auskunft über die A._______ betreffenden Daten in einem Dokument vom 17. Oktober 2020 und einem Dokument vom 20. Oktober 2020. Der NDB begründete die Auskunftsverweigerung mit überwiegenden Drittinteressen.

A-4873/2021 H. Gegen die Verfügung des NDB (nachfolgend: Vorinstanz) vom 17. Juni 2021 erhob A._______ (nachfolgend: Beschwerdeführerin) mit Schreiben vom 14. Juli 2021 Beschwerde beim Bundesverwaltungsgericht (Verfahren A-3275/2021). Darin verlangte sie Folgendes: 1. Die Verfügung des NDB vom 17. Juni 2021 sei aufzuheben. 2. Unser Auskunftsgesuch vom 22. März 2021 beim NDB sei insoweit gutzuheissen, als uns auch in die in der angefochtenen Verfügung erwähnten Dokumente vom 17. Oktober 2020 sowie vom 20. Oktober 2020 Einsicht zu gewähren sei, unter Schwärzung der Angaben zu der darin befragten Person und allenfalls weiterer Passagen im Sinne der nachstehenden Beschwerdebegründung; unter Kosten- und Entschädigungsfolgen zu Lasten des NDB. I. Mit Schreiben vom 15. Juli 2021 gelangte die Beschwerdeführerin erneut an die Vorinstanz. Sie verlangte die Herausgabe von Kopien von 19 bzw. vier Dokumenten aus den Auskunftsgesuchen (recte: Auskunftserteilungen) vom 17. Dezember 2020 bzw. 17. Juni 2021. Zusätzlich beantragte sie die integrale Löschung der Daten, die älter als ein Jahr sind und die nicht nachrichtendienstlich nach Art. 6 des Bundesgesetzes über den Nachrichtendienst vom 25. September 2015 (NDG, SR 121) bearbeitet werden. Die gelöschten Daten seien ins Bundesarchiv zu überführen. J. Im Verfahren A-3275/2021 ersuchte die Vorinstanz das Bundesverwaltungsgericht mit Vernehmlassung vom 24. August 2021 um Abweisung der Beschwerde. K. Die Beschwerdeführerin hielt im Verfahren A-3275/2021 in ihrer Stellungnahme vom 27. September 2021 an ihren Anträgen fest. L. Am 4. Oktober 2021 lehnte die Vorinstanz sämtliche Begehren der Beschwerdeführerin mittels Verfügung ab, die letztere in ihrem Schreiben vom 15. Juli 2021 gestellt hatte (vgl. oben Bst. I). Gleichzeitig stellte sie fest, dass sie der Beschwerdeführerin in ihren Antworten vom 17. Dezember 2020, 11. März 2021 und 17. Juni 2021 zusammen mit den Ergänzungen vom «heutigen» Datum eine Kopie der Daten über die Beschwerdeführerin

A-4873/2021 aus den 19 Dokumenten bzw. vier Dokumenten bereits zugestellt habe. In einem separaten Begleitschreiben gleichen Datums machte der NDB weitere Angaben zu den Einträgen Nrn. 44, 113 und 120 sowie zu den Quellen der Personendaten in den 23 herausverlangten Dokumenten. Daneben erläuterte sie den Zweck der Bearbeitung und die Rechtsgrundlagen. M. Gegen die Verfügung vom 4. Oktober 2021 erhob die Beschwerdeführerin mit Schreiben vom 4. November 2021 Beschwerde beim Bundesverwaltungsgericht (Verfahren A-4873/2021). Darin beantragte sie Folgendes: 1. Die Verfügung des NDB vom 4. Oktober 2021 sei aufzuheben. 2. Der NDB sei zu verpflichten, uns alle im Gesuch vom 15. Juli 2021 verlangten Dokumente in Kopie herauszugeben, die Herkunft der in den entsprechenden Dokumenten enthaltenen Daten offenzulegen und den Zweck der Bearbeitung dieser Daten anzugeben, namentlich: Kopien von 19 Dokumenten aus dem Auskunftsgesuch vom 17. Dezember 2020: S. 11, Dok 44; S. 14, Dok 69; S.19, Dok 109; S. 19, Dok 111; S. 20, Dok 113; S. 20, Dok 120; S. 21, Dok 125; S. 29, Dok 205; S. 35, Dok 1; S. 35, Dok 2; S. 35, Dok 3; S. 35, Dok 4; S. 36, Dok 7; S. 36, Dok 9; S. 36, Dok 12; S. 37, Dok 16; S. 37, Dok 21; S. 37, Dok 22; S. 38, Dok 29 Kopien von 4 Dokumenten aus dem Auskunftsgesuch vom 17. Juni 2021: S. 2, Dok 3; S.3,Dok 6; S. 3, Dok 7; S. 3, Dok 8 3. Der NDB sei zu verpflichten, entsprechend dem Gesuch vom 15. Juli 2021 folgende Daten integral zu löschen und die gelöschten Daten ins Bundesarchiv zu überführen: - alle Daten, die älter als 1 Jahr sind; - alle Daten, die nicht nachrichtendienstlich nach NDG Art. 6 bearbeitet werden; unter Kosten- und Entschädigungsfolgen zu Lasten des NDB. N. Die Vorinstanz beantragte im Verfahren A-4873/2021 mit Vernehmlassung vom 7. April 2022 die Abweisung der Beschwerde, soweit darauf einzutreten sei.

A-4873/2021 O. Mit Verfügung vom 14. April 2022 vereinigte die Instruktionsrichterin das Verfahren A-4873/2021 mit dem bereits spruchreifen Verfahren A-3275/2021 unter der Verfahrensnummer A-4873/2021. P. Die Beschwerdeführerin äusserte sich mit Replik vom 22. Juni 2022 zur vorinstanzlichen Vernehmlassung. Q. Zur Replik der Beschwerdeführerin nahm die Vorinstanz mit ihrer Duplik vom 2. September 2022 Stellung. R. Ihre Schlussbemerkungen erstatteten die Beschwerdeführerin und die Vorinstanz mit Schreiben vom 18. Oktober 2022 bzw. 27. Dezember 2022. S. Am 26. Januar 2023 liess die Beschwerdeführerin dem Bundesverwaltungsgericht eine Stellungnahme zu den vorinstanzlichen Schlussbemerkungen zukommen. T. Auf die weiteren Vorbringen der Verfahrensbeteiligten und die sich bei den Akten befindlichen Schriftstücke wird – soweit relevant – in den nachfolgenden Erwägungen eingegangen.

Das Bundesverwaltungsgericht zieht in Erwägung: 1. 1.1 Gegen die vorinstanzliche Verfügung, die gestützt auf das NDG ergangen ist, kann beim Bundesverwaltungsgericht Beschwerde erhoben werden (vgl. Art. 83 Abs. 1 NDG). Der Ausnahmegrund von Art. 32 Abs. 1 Bst. a VGG (Verfügung auf dem Gebiet der inneren und äusseren Sicherheit des Landes) steht dem nicht entgegen (vgl. Urteil des Bundesgerichts [BGer] 1C_377/2019 vom 1. Dezember 2020 E. 1 zum wortgleichen Art. 83 Bst. a BGG, nicht publiziert in BGE 147 I 280). Demnach ist das Bundesverwaltungsgericht für die Beurteilung der Beschwerden zuständig.

A-4873/2021 1.2 Das Verfahren vor dem Bundesverwaltungsgericht richtet sich nach dem VwVG, soweit das VGG nichts anderes bestimmt (Art. 37 VGG). 1.3 Die Beschwerdeführerin beteiligte sich an den vorinstanzlichen Verfahren und ist als Adressatin der angefochtenen Entscheide sowohl formell als auch materiell beschwert. Sie ist deshalb zur Beschwerde legitimiert (vgl. Art. 48 Abs. 1 VwVG). 1.4 Auf die im Übrigen frist- und formgerecht eingereichten Beschwerden (Art. 50 und Art. 52 VwVG) ist somit einzutreten. 2. Das Bundesverwaltungsgericht überprüft die angefochtene Verfügung auf Rechtsverletzungen – einschliesslich unrichtiger oder unvollständiger Feststellung des rechtserheblichen Sachverhalts und Rechtsfehler bei der Ausübung des Ermessens – sowie auf Angemessenheit hin (Art. 49 VwVG). Im Übrigen muss es sich nicht mit jeder tatbeständlichen Behauptung und jedem rechtlichen Einwand auseinandersetzen. Es kann sich auf die für den Entscheid wesentlichen Gesichtspunkte beschränken (BGE 133 I 270 E. 3.1). 3. Im Bereich des Auskunftsrechts verweist das NDG teilweise auf die Bestimmungen des «DSG» (vgl. Art. 63 Abs. 1 und 4 NDG). Die Verfügungen wurden zu einer Zeit erlassen, als das Bundesgesetz über den Datenschutz vom 19. Juni 1992 in Kraft stand (nachfolgend: aDSG, SR 235.1). Während des Beschwerdeverfahrens ist am 1. September 2023 das Bundesgesetz über den Datenschutz vom 25. September 2020 (DSG, SR 235.1) in Kraft getreten (vgl. Art. 74 DSG). Es fragt sich, ob im Beschwerdeverfahren auf das aDSG oder das DSG abzustellen ist. Grundsätzlich sind neue Gesetzesbestimmungen in Rechtsmittelverfahren zu berücksichtigen, wenn sie nach den intertemporalrechtlichen Regeln in der Sache anwendbar sind (statt vieler BGE 138 II 137 E. 5.2.2). Die Übergangsbestimmung von Art. 70 DSG hält dazu jedoch fest, dass das DSG nicht anwendbar auf hängige Beschwerden gegen erstinstanzliche Entscheide ist, die vor seinem Inkrafttreten ergangen sind. Somit ist auf das aDSG abzustellen, soweit das NDG auf das «DSG» verweist. 4. Nachfolgend wird zunächst die Beschwerde vom 4. November 2021 gegen die Verfügung vom 4. Oktober 2021 behandelt (E. 5 - 13). Die Beurteilung

A-4873/2021 der Beschwerde vom 14. Juli 2021 gegen die Verfügung vom 17. Juni 2021 erfolgt in der Erwägung 14. 5. Vorab ist die Frage zu klären, ob es sich bei den Informationen zur Beschwerdeführerin in den Informationssystemen der Vorinstanz um Personendaten im Sinne des aDSG handelt. Die Vorinstanz verneint dies. 5.1 Zur Begründung führt die Vorinstanz im Wesentlichen aus, bei Informationen, die zur Beschreibung, Einordnung oder Wiedergabe von Sachverhalten erforderlich, aber von sekundärer Natur seien, handle es sich um «Kollateraldaten». Fehlten Kollateraldaten der Personenbezug bzw. würden diese nicht als Personendaten der betreffenden Person genutzt und sei solches auch nicht absehbar, stellten diese nicht Personendaten dieser Person dar. Diese Meinung werde durch ROSENTHAL in einem Beitrag im Jusletter gestützt. In solchen Fällen griffen die Betroffenenrechte (Auskunfts- oder Löschrechte) nicht mehr. Bei den Erwähnungen der Beschwerdeführerin in ihren Systemen handle es sich um solche Kollateraldaten. Während die Beschwerdeführerin als Person nachrichtendienstlich nicht von Interesse sei, seien die Erwähnungen nötig, um nachrichtendienstlich relevante Ereignisse (öffentliche Anlässe, Medienberichte, etc.) zu beschreiben oder einzuordnen. Ansonsten könnte sie ihre Aufgaben nicht erfüllen. Wenn bspw. von einem Gespräch einer Person an (einer Veranstaltung einer juristischen Person) berichtet werde, handle diese Information nicht (von der Veranstaltung als juristische Person) (d.h. als betroffene Person), sondern um den (von der juristischen Person) organisierten Anlass. Die Information werde nicht als Personendatum genutzt. Mit der Beschwerdeführerin verhalte es sich gleich. Dies schliesse jedoch nicht aus, dass Handlungen anderer Personen im Kontext von Veranstaltungen der Beschwerdeführerin von grossem Interesse für sie sein könnten, spezifisch in der Verfolgung von politischem Extremismus. Diese Primärdaten seien mit den sekundären Kollateraldaten derart verflochten, dass sie nicht getrennt werden könnten, ohne dass die Primärdaten jeglichen Nutzen verlören. Sachbezogene Kollateraldaten unterlägen deshalb nicht dem Auskunftsrecht nach Art. 8 aDSG. Ihre (trotzdem) erteilten Auskünfte seien weit über das gesetzlich Vorgegebene hinausgegangen. 5.2 Die Beschwerdeführerin entgegnet, der Begriff der «reinen Kollateraldaten» finde sich nicht im Gesetz und werde in der Lehre und Rechtsprechung nirgends verwendet. Insbesondere biete die Lehrmeinung von RO- SENTHAL keine Stütze für die Auffassung der Vorinstanz. Letztere laufe

A-4873/2021 darauf hinaus, dass ihre Daten gar keine personenbezogenen Daten seien, was rechtlich nicht haltbar sei. Die von der Vorinstanz vertretene Unterscheidung von personenbezogenen Daten und «reinen Kollateraldaten» sei in der Praxis nicht handhabbar. Es würde dazu führen, dass den erfassten Personen, je nachdem, wie die bearbeitende Behörde die Datenerfassung darlege und begründe, deren datenschutzrechtlichen Ansprüche verlustig gingen. Die Behörde müsste lediglich vorbringen, dass sie zwar Daten, welche eine Person beträfen, bearbeite, damit aber letztlich einen Zweck verfolge, welcher nicht unmittelbar mit dieser Person zu tun habe, sondern mit irgendetwas anderem. 5.3 5.3.1 Zur Aufgabe des NDB gehört die Informationsbeschaffung und -bearbeitung, unter anderem um Bedrohungen der inneren oder äusseren Sicherheit frühzeitig zu erkennen und zu verhindern (vgl. Art. 6 Abs. 1 NDG). Zu diesem Zweck betreibt er folgende Informationssysteme: IASA NDB, IASA-GEX NDB, INDEX NDB, GEVER NDB, ELD, OSINT-Portal, Quattro P, ISCO und Restdatenspeicher (vgl. Art. 47 Abs. 1 Bst. a – i NDG). Informationen dürfen in diesen Systemen erfasst werden, sofern sie den Aufgaben nach Art. 6 NDG dienen (vgl. Art. 44 Abs. 3 i.V.m. Art. 45 Abs. 2 NDG). Durch deren Erfassung in Wort, Bild oder Ton werden die Informationen zu Daten (vgl. Art. 2 Bst. a der Verordnung über die Informations- und Speichersysteme des Nachrichtendienstes des Bundes vom 16. August 2017 [VIS-NDB, SR 121.2]). Die Vorinstanz ist befugt, Personendaten, einschliesslich Personendaten, welche die Beurteilung des Gefährlichkeitsgrades einer Person erlauben, zu bearbeiten, unabhängig davon, ob es sich um besonders schützenswerte Personendaten handelt oder nicht (Art. 44 Abs. 1 NDG). 5.3.2 Ist eine Person von einer Datenbearbeitung durch den NDB betroffen, steht ihr ein Auskunftsrecht zu (vgl. Art. 10 Abs. 1 VIS-NDB). Das Auskunftsrecht betreffend die Informationssysteme ELD, OSINT-Portal und Quattro P sowie betreffend die administrativen Daten in GEVER NDB richtet sich nach dem DSG (vgl. Art. 63 Abs. 1 NDG). Verlangt eine Person Auskunft darüber, ob der NDB Daten über sie in den Informationssystemen IASA NDB, IASA-GEX NDB, INDEX NDB, ISCO und Restdatenspeicher sowie in den nachrichtendienstlichen Daten von GEVER NDB bearbeitet, so schiebt der NDB diese Auskunft bei Vorliegen bestimmter Gründe, insbesondere im Falle eines Geheimhaltungsinteresses auf (vgl. Art. 63 Abs. 2 Bst. a - c NDG). Sobald kein Geheimhaltungsinteresse mehr

A-4873/2021 besteht, spätestens aber nach Ablauf der Aufbewahrungsdauer, erteilt der NDB der gesuchstellenden Person ebenfalls nach dem DSG Auskunft, sofern dies nicht mit übermässigem Aufwand verbunden ist (Art. 63 Abs. 4 NDG). 5.3.3 Das Auskunftsrecht ist in Art. 8 aDSG geregelt. Nach Art. 8 Abs. 1 aDSG kann jede Person – natürliche wie juristische (vgl. Art. 2 Abs. 1 aDSG) – vom Inhaber einer Datensammlung Auskunft darüber verlangen, ob Daten über sie bearbeitet werden. Als Datensammlung gilt jeder Bestand von Personendaten, der so aufgebaut ist, dass die Daten nach betroffenen Personen erschliessbar sind (Art. 3 Bst. g aDSG). Entscheidend ist, dass die zu einer bestimmten Person gehörenden Daten mit einem vernünftigen Aufwand auffindbar sind (Botschaft zum Bundesgesetz über den Datenschutz [DSG] vom 23. März 1988, BBl 1988 II 413, 447 f.; GABOR P. BLECHTA, in: Maurer-Lambrou/Blechta [Hrsg.], Datenschutzgesetz – Öffentlichkeitsgesetz, Basler Kommentar, 3. Aufl. 2014 [nachfolgend: BSK aDSG], Rz. 79 zu Art. 3 aDSG). Dazu kann bei einer automatisch geführten Datensammlung eine Suchfunktion genügen, z. B. eine Freitextsuche (vgl. DAVID ROSENTHAL, in: Rosenthal/Jöhri [Hrsg.], Handkommentar zum Datenschutzgesetz, 2008 [nachfolgend: HK aDSG], Rz. 90 zu Art. 3 aDSG). 5.3.4 Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 3 Bst. a aDSG). Andernfalls stellen sie Sachdaten dar. Diese werden vom sachlichen Geltungsbereich des aDSG nicht erfasst (BLECHTA, in BSK aDSG, a.a.O., Rz. 3 zu Art. 3 aDSG). Der Begriff des Personendatums ist ausserordentlich weit zu verstehen. Darunter werden alle Informationen, die mit einer natürlichen oder juristischen Person in Verbindung gebracht werden können, erfasst (vgl. BEAT RUDIN, in: Baeriswyl/Pärli/Blonski [Hrsg.], Datenschutzgesetz [DSG], SHK - Stämpflis Handkommentar, 2. Aufl. 2023 [nachfolgend: SHK DSG], Rz. 7 zu Art. 5 DSG; BLECHTA, in: BSK aDSG, a.a.O., Rz. 7 zu Art. 3 aDSG). Personendaten Dritter, die sich im selben Dokument befinden, sind in der Regel keine Personendaten der betroffenen Person, ausser sie beziehen sich auf letztere (vgl. RALPH GRAMIGNA, in: Blechta/Vasella [Hrsg.], Datenschutzgesetz – Öffentlichkeitsgesetz, Basler Kommentar, 4. Aufl. 2024, Rz. 20 zu 25 DSG). Zu welchem Zweck Angaben bearbeitet werden, spielt für deren Qualifikation als Personendaten keine Rolle. Ebenso wenig kommt es darauf an, ob der Datenbearbeiter an den betreffenden Informationen mit Personenbezug überhaupt interessiert ist (vgl. ROSENTHAL, in: HK aDSG, a.a.O., Rz. 16 zu Art. 3 DSG).

A-4873/2021 Eine Person ist dann im Sinne von Art. 3 Bst. a aDSG bestimmt, wenn sich aus den Informationen selbst ergibt, dass es sich genau um diese Person handelt (Urteile BGer 1C_425/2020 vom 28. Februar 2022 E. 3.1 und 4A_365/2017 vom 26. Februar 2018 E. 5). Unter Angaben ist jede Art von Information zu verstehen, die dem «Vermitteln oder Verfügbarhalten von Kenntnis dient». Der Begriff ist ausserordentlich weit; die Information muss schlicht einen Informationsgehalt haben. Unerheblich ist, ob die Information als Tatsachenfeststellung oder als Werturteil daherkommt (RUDIN, SHK DSG, a.a.O., Rz. 3 ff. zu Art. 5 DSG). Insofern ist der Inhalt der Information unerheblich. Es kommt nicht darauf an, wie stark die Information einen Bezug zur Persönlichkeit der betroffenen Person aufweist (ROSENTHAL, in: HK aDSG, a.a.O., Rz. 10 zu Art. 3 DSG). 5.4 5.4.1 Es ist unbestritten, dass Personendaten in den Informationssystemen der Vorinstanz mittels Freitextsuche auffindbar und damit mit einem vernünftigen Aufwand erschliessbar sind. Folglich führt die Vorinstanz eine Datensammlung im Sinne von Art. 3 Bst. g aDSG (vgl. oben E. 5.3.3). Sie unterliegt deshalb der Auskunftspflicht nach Art. 8 Abs. 1 aDSG und der Beschwerdeführerin steht das entsprechende Auskunftsrecht zu. 5.4.2 Aus welchem Zweck die Vorinstanz eine Information über die Beschwerdeführerin bearbeitet oder ob diese für sie überhaupt von (näherem) Interesse ist, ist für die Qualifikation als Personendatum im Art. 3 Bst. a aDSG irrelevant (vgl. oben E. 5.4.2). Damit sind alle Angaben, die sich auf die Beschwerdeführerin als auskunftsersuchende Person beziehen oder beziehen lassen, Personendaten im Sinne des aDSG und verleihen ihr die gesetzlich vorgesehenen Auskunfts- und Löschrechte. Die Lehrmeinung von ROSENTHAL ändert daran nichts, zumal diese nur den Umfang der Auskunftserteilung zum Gegenstand hat. In der von der Vorinstanz zitierten Stelle, fragt sich ROSENTHAL, wo ein Personendatum aufhört. Er erörtert dies anhand eines Beispiels, in welchem eine Person einen Vertrag unterschrieben hat und sich nun die Frage stellt, ob der gesamte Vertrag ein Personendatum darstellt oder nur ihre Unterschrift. Nach ROSENTHAL ist aufgrund der Zweckbestimmung des Auskunftsrechts entscheidend, wie die Information genutzt wird. Wird sie nicht als Personendatum der betreffenden Person genutzt und besteht auch kein relevantes Risiko, dass dies geschehen wird, so wird die Information auch nicht dem Auskunftsrecht unterliegen. Mithin hat der CEO, der einen Vertrag seiner Firma unterzeichnete, dies in seiner Eigenschaft als CEO getan. Den Vertragstext zu

A-4873/2021 erfahren, ist für die Geltendmachung seiner Datenschutzrechte in der Regel nicht erforderlich (DAVID ROSENTHAL, Das neue Datenschutzgesetz, in: Jusletter vom 16. November 2020 [nachfolgend: Jusletter DSG], S. 46 Rz. 121). Nach der Durchsicht der Einträge ist nicht ersichtlich, inwiefern die Auskunftserteilung der Vorinstanz über das gesetzlich geforderte hinausgegangen sein soll. Alle Einträge weisen einen klaren Bezug zur Beschwerdeführerin als juristische Person auf und sind dementsprechend Personendaten. Im Unterschied zu einem CEO kann bei der Beschwerdeführerin auch nicht zwischen einer beruflichen Funktion und der auskunftsersuchenden Privatperson unterschieden werden. Jedenfalls ist es unerheblich, ob z. B. eine Kundgebung der Beschwerdeführerin für die Vorinstanz nur ein deskriptiver Umstand für ein nachrichtendienstlich relevantes Ereignis ist und sie die Beschwerdeführerin nicht als Zielperson betrachtet. Aus der Sicht der Beschwerdeführerin bleibt die Kundgebung ein Personendatum, hat letztere die Veranstaltung doch organisiert. Mithin lässt sich letztere ihr als Information zuordnen. Der Vorinstanz kann daher nicht gefolgt werden, soweit sie diesen Informationen deren Natur als Personendaten der Beschwerdeführerin und damit einhergehend letzterer ihre Auskunfts- und Löschrechte absprechen möchte. 6. Als erstes ist zu prüfen, ob die Beschwerdeführerin einen Anspruch auf Herausgabe der 23 von ihr bezeichneten Dokumente in Kopie hat. 6.1 Die Beschwerdeführerin begründet ihren Anspruch mit dem Wortlaut von Art. 8 Abs. 5 aDSG und der gerichtlichen Praxis (BGE 125 II 321 E 3 und 123 II 534 E. 3c f.; Urteil BGer 4A_506/2014 vom 3. Juli 2014 Bst. b; Urteil des Bundesverwaltungsgerichts [BVGer] A-3763/2011 vom 3. Juli 2012 E. 8.2; Urteil LB130059-O/U des Obergerichts des Kantons Zürich vom 28. Februar 2014 E. 2). 6.2 Die Vorinstanz entgegnet, ein Anspruch auf Herausgabe von Kopien von Akten und Dokumenten lasse sich nicht aus Art. 63 Abs. 1 NDG i.V.m. Art. 8 Abs. 5 aDSG herleiten. Das Auskunftsrecht beziehe sich – auch gemäss der Lehre – einzig auf Personendaten. Im Übrigen habe der Gesetzgeber im revidierten DSG jegliche Zweifel darüber ausgeräumt, ob das Auskunftsrecht Personendaten oder die Aushändigung von Dokumenten betreffe. So sei in Art. 25 Abs. 2 Bst. b DSG präzisiert worden, dass nur ein Anspruch auf die Personendaten «als solche» bestehe. Diese Formulierung decke sich mit dem Datenschutzrecht der Europäischen Union (EU), mithin mit Art. 15 der Verordnung (EU) 2016/679 vom 27. April 2016

A-4873/2021 (DSGVO). Hätte der Gesetzgeber die Aushändigung ganzer Dokumente im DSG verankern und damit von der europäischen Gesetzgebung abweichen wollen, hätte er dies spätestens im revidierten DSG getan. Stattdessen habe er die bisherige Regelung noch klarer ausformuliert und die Deckungsgleichheit mit dem Verständnis des Auskunftsrechts im europäischen Recht bestätigt. Überdies gehe die Berufung auf die zitierte Rechtsprechung fehl. Es sei darin nie im Speziellen um die Frage gegangen, ob Dokumente oder bloss die Personendaten darauf als solche auf einem Schriftstück herauszugeben seien. Die Herausgabe von Dokumentenkopien möge zwar eine in der Praxis verbreitete Art und Weise der Erfüllung des Auskunftsanspruchs sein. Sie gehe aber (freiwillig) über die gesetzliche Pflicht hinaus. 6.3 In den angeführten Fällen wurde zwar jeweils die Herausgabe von Kopien von Dokumenten oder Akten unter Berufung auf das aDSG verlangt. Die Gerichte mussten sich dabei jedoch nicht mit der Frage auseinandersetzen, ob Art. 8 Abs. 5 aDSG überhaupt einen rechtlichen Anspruch auf Herausgabe von solchen Unterlagen gewährt. Diese Frage bildete in keinem Urteil Streitpunkt, auch nicht in einem kürzlich ergangenen des Bundesverwaltungsgerichts, in welchem ein Anspruch auf Einsicht in zwei Dokumente anerkannt wurde (vgl. Urteil BVGer A-4725/2020 vom 1. Februar 2023 E. 8.3.3). Bezeichnenderweise ist sie in der Lehre umstritten (ablehnend: STENGEL/STÄUBLE, in: Bieri/Powell [Hrsg.], DSG, Orell Füssli Kommentar, 2023 [nachfolgend: DSG OFK], Rz. 15 zu Art. 25 DSG, DANIEL VA- SELLA, EuGH, C-307/22: Generalanwalt – Auskunftsrecht auch zur Prozessvorbereitung, dafür Kopien von Dokumenten nur ausnahmsweise, Blogeintrag vom 21. April 2023 [zur Rechtslage in der Schweiz], abrufbar unter: https://datenrecht.ch/eugh-c-307-22-generalanwalt-auskunftsrechtauch-zur-prozessvorbereitung-dafuer-kopien-von-dokumenten-nur-ausna hmsweise/ [zuletzt abgerufen am 21.03.2023]; ROSENTHAL, Jusletter DSG, a.a.O., S. 46 Rz. 120; MICHAEL WIDMER, in: Passadelis/Rosenthal/Thür [Hrsg.], Datenschutzrecht, 2015 [nachfolgend DSG 2015], S. 154 f. Rz. 5.24); zustimmend: CHRISTIAN PETER, DSGVO und E-DSG fordern Schweizer Spitäler, Praxen, Heime und Spitex, in: Jusletter vom 26. Februar 2018, S. 24 Rz. 145; SETHE/SEILER, Dokumentation und Rechenschaft im geplanten FIDLEG, in: Law & Economics, Festschrift für Peter Nobel zum 70. Geburtstag, 2015, S. 446; OLIVER GNEHM, Das datenschutzrechtliche Auskunftsrecht, Nukleus zur prozeduralen Durchsetzung des datenschutzrechtlichen Persönlichkeitsschutzes, in: Epiney/Nüesch [Hrsg.], Durchsetzung der Rechte der Betroffenen im Bereich des Datenschutzes, 2015, S. 94; EPINEY/FASNACHT, in: Belser/Epiney/Waldmann [Hrsg.],

A-4873/2021 Datenschutzrecht, 2011 [nachfolgend: Datenschutzrecht 2011], S. 623 Rz. 35). Deren Beantwortung ist mittels Auslegung von Art. 8 Abs. 5 aDSG zu klären. 6.4 6.4.1 Das Gesetz ist in erster Linie aus sich selbst heraus auszulegen, d.h. nach dem Wortlaut, Sinn und Zweck und den ihm zugrundeliegenden Wertungen auf der Basis einer teleologischen Verständnismethode. Die Gesetzesauslegung hat sich vom Gedanken leiten zu lassen, dass nicht schon der Wortlaut die Norm darstellt, sondern erst das an Sachverhalten verstandene und konkretisierte Gesetz. Gefordert ist die sachlich richtige Entscheidung im normativen Gefüge, ausgerichtet auf ein befriedigendes Ergebnis der ratio legis (statt vieler BGE 149 V 21 E. 4.3). 6.4.2 Die grammatikalische Auslegung stellt auf Wortlaut, Wortsinn und Sprachgebrauch ab, wobei die Formulierungen in den Amtssprachen Deutsch, Französisch und Italienisch gleichwertig sind (BVGE 2016/9 E. 7). Unter Sprachgebrauch ist in der Regel der allgemeine Sprachgebrauch zu verstehen (Urteil BVGer A-7000/2016 vom 1. November 2017 E. 5.3 m.H.). Art. 8 Abs. 5 aDSG lautet wie folgt: «Die Auskunft ist in der Regel schriftlich, in Form eines Ausdrucks oder einer Fotokopie sowie kostenlos zu erteilen. Der Bundesrat regelt die Ausnahmen.» Die französisch- und italienischsprachigen Fassungen stimmen im Wortlaut mit der deutschsprachigen überein («Les renseignements sont, en règle générale, fournis gratuitement et par écrit, sous forme d’imprimé ou de photocopie. Le Conseil fédéral règle les exceptions»; «L’informazione è di regola gratuita e scritta, sotto forma di stampato o di fotocopia. Il Consiglio federale disciplina le eccezioni». Vorliegend interessiert die Wendung «Auskunft in der Form einer Fotokopie». Unter Auskunft wird eine «auf eine Frage hin gegebene Information» oder «aufklärende Mitteilung über jemanden oder etwas» verstanden (vgl. DUDEN, Deutsches Universalwörterbuch, 10. Aufl. 2023, S. 232). Eine Fotokopie ist «eine fotografisch hergestellte Kopie eines Schriftstücks, einer Druckseite oder eines Bildes» oder eine «Ablichtung» (vgl. DUDEN, a.a.O., S. 648). Nach dem allgemeinen Sprachgebrauch dürfte bei einer Fotokopie an eine mittels Fotokopierer vervielfältigte Dokumentenseite gedacht werden. Im Gegensatz dazu

A-4873/2021 bezieht sich die in der Bestimmung genannte Fotokopie nicht auf ein Schriftstück oder eine Druckseite, sondern explizit nur auf die Auskunft als solche. Eine Auskunft kann in einem ganzen Dokument, aber auch nur in einzelnen Abschnitten, Sätzen oder Wörtern enthalten sein. Insofern wäre nur die betreffende Information zu fotokopieren; eine Fotokopie des gesamten Dokuments mitsamt anderweitigen Informationen ginge über den Wortlaut hinaus. Vor diesem Hintergrund ist eine Diskrepanz zwischen der Bedeutung der Fotokopie im allgemeinen Sprachgebrauch und dem im Vergleich dazu auf die «Auskunft» beschränkten Wortlaut von Art. 8 Abs. 5 aDSG offenkundig. Die Norm liefert keine klare grammatikalische Antwort auf die aufgeworfene Frage. Klar scheint mit dem Begriff «Fotokopie» nur, dass die Auskunft originalgetreu sein muss. 6.4.3 Bei der systematischen Auslegung wird der Sinn einer Rechtsnorm bestimmt durch ihr Verhältnis zu anderen Rechtsnormen und ihre Stellung im Gefüge der Rechtsordnung. Massgebliches Element ist damit der systematische Aufbau eines Erlasses. Weiter kann das Verhältnis einer Norm zu Vorschriften in einem anderen Erlass berücksichtigt werden (Urteil BVGer A-2997/2020 vom 18. Juli 2022 E. 3.5.3). Art. 8 aDSG befindet sich im 2. Abschnitt über die allgemeinen Datenschutzbestimmungen und ist mit «Auskunftsrecht» betitelt. Dabei nimmt Abs. 5 offensichtlich Bezug auf die ersten beiden Absätze. Nach Art. 8 Abs. 1 aDSG kann jede Person vom Inhaber einer Datensammlung Auskunft darüber verlangen, ob Daten über sie bearbeitet werden. Diese Norm statuiert das Auskunftsrecht in allgemeiner Weise (vgl. PÄRLI/FLÜCK, SHK DSG, a.a.O., Rz. 3 zum inhaltlich weitgehend gleichen Art. 25 DSG). In Art. 8 Abs. 2 aDSG wird definiert, was der betroffenen Person mitgeteilt werden muss. Dies sind alle über sie in der Datensammlung vorhandenen Daten einschliesslich der verfügbaren Angaben über die Herkunft der Daten (Art. 8 Abs. 2 Bst. a aDSG) sowie den Zweck und gegebenenfalls die Rechtsgrundlagen des Bearbeitens sowie die Kategorien der bearbeitenden Personendaten, der an der Sammlung Beteiligten und der Datenempfänger (Bst. b). Nachdem die Regelung des Umfangs des Auskunftsanspruchs bereits in Art. 8 Abs. 2 aDSG abgedeckt wird, muss sich Art. 8 Abs. 5 aDSG konsequenterweise auf die praktische Modalität der Auskunftserteilung beziehen (vgl. in diesem Sinne WIDMER, DSG 2015, a.a.O., S. 154 f. Rz. 5.24). Aus systematischen Gründen bezieht sich somit das Auskunftsrecht sowie das Recht auf eine Fotokopie in erster Linie nur «auf die vorhandenen Daten» der auskunftsersuchenden Person. Weitere Informationen, die sich neben den eigentlichen Personendaten in einem

A-4873/2021 Dokument befinden, werden nicht vom Auskunftsrecht umfasst. Demzufolge besteht auch keine Verpflichtung, diese ebenfalls zu kopieren. Es ist denn auch technisch ohne weiteres möglich, eine Fotokopie nur von jenen Stellen, die die ersuchten Personendaten enthalten, zu erstellen, indem der Rest des Dokuments vor dem Fotokopiervorgang abgedeckt oder weggeschnitten, und der verbleibende Abschnitt allenfalls noch geschwärzt wird, falls sich darin noch weitere Daten befinden sollten, die sich nicht auf die Person beziehen. Dem gleichgestellt wäre eine originalgetreue Abschrift der Personendaten. Anhaltspunkte, wonach stets das gesamte Dokument, in welchem sich die Personendaten befinden, kopiert und herausgegeben werden müsste, ergeben sich aus der Systematik des aDSG damit keine. In diesem Zusammenhang ist noch auf Art. 6 Abs. 2 des Bundesgesetzes über das Öffentlichkeitsprinzip der Verwaltung vom 17. Dezember 2004 (BGÖ, SR 152.3) zu verweisen, der die Modalitäten des Auskunftsrechts betreffend amtliche Dokumente regelt. Darin wird klar statuiert, dass Kopien von Dokumenten angefordert werden können. Hätte der Gesetzgeber dies auch in Bezug auf das Auskunftsrecht nach Art. 8 aDSG gewollt, wäre die Wahl vergleichbaren Formulierung naheliegend gewesen. 6.4.4 Die historische Auslegung stellt auf den Sinn und Zweck ab, den man einer Norm zur Zeit ihrer Entstehung gab (BVGE 2015/32 E. 3.4). Die bundesrätliche Botschaft zum aDSG äussert sich nicht zur Frage, auf was sich die Fotokopie bezieht. Immerhin hält sie fest, dass es unter gewissen Umständen angezeigt sein kann, dem Betroffenen Einsicht in ein ganzes Dossier zu geben (vgl. BBl 1988 II 413, 454). Dies würde zwar auf eine Fotokopie sämtlicher, sich darin befindenden Dokumente hinauslaufen. Aus der bundesrätlichen Botschaft kann indes nicht abgeleitet werden, dass darauf ein grundsätzlicher Anspruch bestehen könnte. Vielmehr handelt es sich um eine Modalität, die der konkrete Einzelfall allenfalls erfordert, um den Einsichtsrechten der auskunftsersuchenden Person gerecht zu werden. Die Parlamentsdebatten tragen zur Beantwortung der zu klärenden Frage nichts bei (vgl. AB 1991 N III 956; AB 1991 S V 1021). 6.4.5 Die teleologische Auslegung stellt auf die Zweckvorstellung ab, die mit einer Rechtsnorm verbunden ist (sogenannte ratio legis; statt vieler Urteil A-2997/2020 E. 3.5.6). Das Auskunftsrecht nach Art. 8 aDSG dient der Durchsetzung des Persönlichkeitsschutzes. Es ermöglicht der betroffenen Person, die über sie in

A-4873/2021 einer Datensammlung eines Dritten bearbeiteten Daten zu kontrollieren, mit dem Ziel, die Einhaltung der datenschutzrechtlichen Grundsätze, wie Beschaffung der Daten mit rechtmässigen Mitteln und nicht in gegen Treu und Glauben verstossender Weise oder Gewährleistung der Richtigkeit der Daten und der Verhältnismässigkeit ihrer Bearbeitung, in der Rechtswirklichkeit zu überprüfen und durchzusetzen (BGE 144 I 126 E. 8.3.7 und 138 III 425 E. 5.3; Urteil BGer 4A_277/2020 vom 18. November 2020 E. 5.2). Über das Auskunftsrecht soll eine betroffene Person in gewissen Grenzen feststellen können, ob und welche Personendaten über sie in welcher Weise bearbeitet werden (ROSENTHAL, in: HK aDSG, a.a.O., Rz. 1 zu Art. 8 aDSG). Zweck von Art. 8 Abs. 5 aDSG ist somit, die auskunftsersuchende Person in die Lage zu versetzen, diese Beurteilung vornehmen zu können. Insofern müssen aus teleologischer Sicht nur jene Daten aus einem bestimmten Dokument fotokopiert werden, die dies sicherstellen. Im äussersten Fall kann dies auf die Herausgabe einer Dokumentenkopie herauslaufen, wie es bereits der Bundesrat angedeutet hat. Ein genereller Anspruch darauf ergibt sich aus dem Gesetzeszweck aber nicht. 6.4.6 Eine Gesetzesrevision kann bei der Auslegung einer Norm des früheren Rechts im Sinne einer Vorwirkung berücksichtigt werden, jedoch nur dann, wenn das System nicht grundsätzlich geändert wird, sondern lediglich eine Konkretisierung des Rechtszustands angestrebt oder eine Rechtslücke gefüllt wird (Urteil BGer 4A_84/2021 vom 2. Februar 2022 E. 5.2.1 mit Verweise auf BGE 141 II 297 E. 5.3.3 und 125 III 401 E. 2a). Nach dem geltenden Recht erhält die betroffene Person diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist (Art. 25 Abs. 2 Satz 1 DSG). In jedem Fall werden die bearbeiteten Personendaten als solche mitgeteilt (vgl. Art. 25 Abs. 2 Satz 2 Bst. b DSG). Der Zusatz «als solche» wurde vom Parlament hinzugefügt (vgl. AB 2019 N 1817 f; AB 2020 S 293), nachdem der Bundesrat lediglich die Formulierung «die bearbeiteten Personendaten» vorgeschlagen hatte (vgl. Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15. September 2017, BBl 2017 6941, 7067). Dadurch sollte präzisierend klargestellt werden, dass damit die Personendaten und nicht sämtliche Dokumente, die solche Daten enthalten können, gemeint sind (vgl. Votum Romano, AB 2020 N 145; Votum Cottier, AB 2020 N 149). Hintergrund dieser Präzisierung war der Umstand, dass viele Schweizer Gerichte – einschliesslich das Bundesgericht – die an sich schon bisher geltende

A-4873/2021 Regelung missachtet haben und freizügig Rechtsbegehren stattgaben, welche die Edition von Unterlagen (z. B. E-Mails, Verträgen, Berichten etc.) verlangten und nicht nur die Personendaten als solche (also z. B. gewisse in den E-Mails und Berichten enthaltenen Aussagen über eine Person; RO- SENTHAL, Jusletter DSG, a.a.O., S. 46 Rz. 120; STENGEL/STÄUBLE, in: DSG OFK, a.a.O., Rz. 16 zu Art. 25 DSG; PÄRLI/FLÜCK, in: SHK DSG, a.a.O., Rz. 21 zu Art. 25 DSG). Die neue Formulierung, wonach «die bearbeiteten Personendaten als solche» mitzuteilen sind, erscheint nicht als ein Systemwechsel, sondern als eine Präzisierung bzw. Klarstellung der bisherigen Rechtslage. Dementsprechend kann das geltende Recht in die Auslegung von Art. 8 Abs. 5 aDSG miteinbezogen werden. Danach hat die betroffene Person grundsätzlich keinen Anspruch darauf, dass ihr eine Fotokopie des gesamten Dokuments, in welcher sich ihre Personendaten befinden, herausgegeben wird (vgl. dazu auch STENGEL/STÄUBLE, in: DSG OFK, a.a.O., Rz. 15 zu Art. 25 DSG; HUSI-STÄMPFLI/MORAND/SURY, Datenschutzrecht, litera B, 2023, S. 255 RZ. 494; BÜHLMANN/LAGLER, Informationspflichten und Auskunftsrecht nach dem neuen Datenschutzrecht, Schweizerische Zeitschrift für Wirtschafts- und Finanzmarktrecht [SZW] 2021, S. 16, 21; ROSENTHAL, Jusletter DSG, a.a.O., S. 46 Rz. 120). 6.4.7 Der Vollständigkeit halber ist auf Art. 15 DSGVO und die Rechtsprechung dazu einzugehen. Zwar ist Art. 15 DSGVO zur Auslegung von Art. 8 Abs. 5 aDSG nicht relevant, da ersterer dem Gesetzgeber nicht als Vorbild diente (vgl. BGE 133 III 180 E. 3.5 und 129 III 335 E. 6; Urteil BGer 2C_92/2019 vom 31. Januar 2020 E. 5.3.2). Dies war erst beim geltenden DSG der Fall (vgl. STENGEL/STÄUBLE, in: DSG OFK, a.a.O., Rz. 3 zu Art. 25 DSG). Nachdem jedoch Art. 15 DSGVO einen vergleichbaren Wortlaut aufweist und zu dessen Tragweite bereits Gerichtsurteile vorliegen, rechtfertigt sich ein rechtsvergleichender Blick darauf. Nach der DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie unter anderem ein Recht auf Auskunft über diese personenbezogenen Daten (vgl. Art. 15 Abs. 1 DSGVO). Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung (Art. 15 Abs. 3 Satz 1 DSGVO). Sowohl in der Lehre als auch in der Gerichts- und Behördenpraxis bestand keine Einigkeit darüber, ob der betroffenen Person eine Kopie der Dokumente, welche die Personendaten

A-4873/2021 enthalten, zuzustellen, oder ob eine Aushändigung der Personendaten in aufbereiteter Form ausreichend ist. Der Europäische Gerichtshof (EuGH) beantwortete kürzlich diese Frage mit Urteil C-487/21 vom 4. Mai 2023 (vgl. zur Übersicht STENGEL/STÄUBLE, in: DSG OFK, a.a.O., Rz. 17 zu Art. 25 DSG). Im Vorlageverfahren hatte sich das österreichische Bundesverwaltungsgericht an den EuGH gewandt. Dabei warf es unter anderem die Frage auf, ob Art. 15 Abs. 3 Satz 1 DSGVO lediglich die Form festlegt, in der das Recht auf Auskunft über die in Art. 15 Abs. 1 DSGVO genannten Informationen zu gewährleisten ist, oder ob die erstgenannte Bestimmung ein eigenständiges Recht der betroffenen Person auf Zugang zu Informationen über den Kontext, in dem die Daten dieser Person verarbeitet werden, in Form einer Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder von Auszügen aus Datenbanken, die u. a. diese Daten enthalten, begründet (vgl. Urteil C-487/21 E. 15). Der EuGH kam zum Schluss, dass das Recht, vom für die Verarbeitung Verantwortlichen eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu erhalten, bedeute, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten ausgefolgt werde. Nur wenn es zur Ermöglichung der wirksamen Ausübung der in der DSGVO verliehenen Rechte unerlässlich sei, sei der betroffenen Person eine Kopie von Auszügen aus Dokumenten oder ganzen Dokumenten auszuhändigen (vgl. Urteil C-487/21 E. 45). Insbesondere wenn die Kontextualisierung der verarbeiteten Daten erforderlich sei, um die Verständlichkeit der bereitgestellten Informationen zu gewährleisten, könne ein solches Vorgehen angezeigt sein (vgl. Urteil C-487/21 E. 41). 6.4.8 Zusammengefasst ergibt sich weder in grammatikalischer noch systematischer, historischer, teleologischer oder geltungszeitlicher Hinsicht ein grundsätzlicher Anspruch einer auskunftsersuchenden Person auf Fotokopien jener Dokumente, in welchen sich deren Daten befinden. Der Anspruch bezieht sich auch nach dem aDSG prinzipiell nur auf die Personendaten als solche. Nachdem jedoch letztere so mitzuteilen sind, dass sie verständlich sind (vgl. ROSENTHAL, in: HK aDSG, a.a.O., Rz. 16 zu Art. 8 aDSG; GRAMIGNA/MAURER-LAMBROU, in: BSK aDSG, a.a.O., Rz. 27 zu Art. 8 aDSG), kann es – aus teleologischen Gesichtspunkten, mit Blick auf die Andeutung in der bundesrätlichen Botschaft sowie analog zur überzeugenden Rechtsprechung des EuGH – im Einzelfall erforderlich sein, zur Kontextualisierung der Datenbearbeitung der auskunftsersuchenden Person eine Fotokopie des Dokuments auszuhändigen (vgl. dazu STEN- GEL/STÄUBLE, in: DSG OFK, a.a.O., Rz. 18 zu Art. 25 DSG).

A-4873/2021 6.5 Nach dem Gesagten erweist sich der Antrag der Beschwerdeführerin auf Herausgabe von Kopien der 23 Dokumente grundsätzlich als unbegründet. Dem Antrag wäre nur stattzugeben, wenn die erteilten Auskünfte ohne eine Kopie der entsprechenden Dokumente nicht verständlich wären. Die Beschwerdeführerin legt indes nicht im Einzelnen dar, inwiefern dies bei den 23 Auskünften zutrifft. Nach deren Durchsicht ergibt sich für das Bundesverwaltungsgericht jedenfalls nicht, weshalb es zur Prüfung, ob die datenschutzrechtliche Grundsätze eingehalten sind, jeweils zwingend der Einsicht in die ganzen Dokumente bedürfen würde. Einerseits wird der erweiterte Kontext mit der detaillierten Umschreibung der Dokumentenart jeweils angegeben (Lageberichte, Lagekarte, Lagebeurteilungen, Informationen zur (Grossveranstaltung Z.), Dokumente zu […]extremismus, Konferenznotizen, Berichte zu einem spezifischen Thema, Screenshots einer Website, Protokolle, Konzepte, Internetrecherchen etc.). Andererseits lässt sich aus diesen Einträgen sehr wohl beurteilen, ob die Daten mit rechtmässigen Mitteln beschafft wurden (vgl. dazu Art. 5 Abs. 2 – 4 NDG), ob diese im Sinne von Art. 5 Abs. 5 und 6 NDG überhaupt bearbeitet werden dürfen (vgl. dazu unten E. 11), ob diese richtig sind, ob deren Bearbeitung verhältnismässig ist (vgl. oben E. 6.4.5) und ob sie aus zeitlicher Sicht überhaupt noch bearbeitet werden dürfen (vgl. unten E. 10.3.1). Zwar ergibt sich aus den Tabellen vereinzelt die Herkunft der Daten (vgl. unten E. 8) sowie der genauere Verarbeitungszweck (vgl. unten E. 9) nicht. Ausserdem ist zur Beurteilung der Rechtmässigkeit der Datenbearbeitung der Aufgabenbezug gemäss Art. 6 NDG jeweils nicht klar (vgl. unten E.10). Um dies beurteilen zu können, dürften jedoch weitere Erläuterungen durch die Vorinstanz ausreichend sein. Nur falls dem nicht so wäre, müsste die Vorinstanz die Dokumente in Kopie herausgeben. Dies wird jedoch zunächst die Vorinstanz erneut beurteilen müssen. Jedenfalls kann zum jetzigen Zeitpunkt dem Gesuch der Beschwerdeführerin auf Herausgabe der 23 Kopien nicht entsprochen werden. 7. Die Beschwerdeführerin ist weiter der Ansicht, die 23 Dokumente seien in Kopie herauszugeben, weil die tabellarische Auskunft dem Vollständigkeitsgebot widerspreche. 7.1 Hierzu macht die Beschwerdeführerin geltend, die Auskunftserteilung müsse wahr und vollständig sein. Beweispflichtig sei dafür im Streitfall der Inhaber der Datensammlung. Die tabellarische Auskunft sei nicht tauglich, die Vollständigkeit der Auskunft zu belegen. Dies könne die Vorinstanz in Bezug auf ein einzelnes Dokument nur tun, wenn ihr eine Kopie des

A-4873/2021 Dokuments zugestellt werde. Bei einer (ungeschwärzten) Kopie sei ohne Weiteres ersichtlich, ob es sich um den vollständigen Text handle oder ob ein Teil des Textes abgedeckt worden sei. Einen abgedeckten Teil habe die Vorinstanz zu begründen. Nur so werde transparent und nachvollziehbar, inwieweit in Bezug auf ein bestimmtes Dokument Auskunft gegeben worden sei. Dass eine Auskunft in tabellarischer Form den Beleg für eine vollständige Auskunftserteilung nicht erbringen könne, habe sich im konkreten Fall gezeigt. Die Vorinstanz habe sich in einigen Einträgen nicht auf die Auskunft in Tabellenform beschränkt, sondern zusätzlich Kopien der entsprechenden Dokumente angefertigt und ihr zugeschickt. In denen sei ein Teil der Informationen abgedeckt gewesen. Einerseits habe die Vorinstanz damit selber gezeigt, dass die ursprünglich erteilte Auskunft unvollständig gewesen sei. Andererseits habe sie feststellen müssen, dass in den Kopien teilweise wesentliche Informationen enthalten seien, die sich aus der Auskunft in Tabellenform nicht erschlössen. So sei ihr ein Eintrag offengelegt worden zur Teilnahme am (…): «[…]» (OSINT-INFO [Internetmonitoring] vom 31. März 2019 [recte: 21. März 2019]). Erst aus der Dokumentenkopie sei ersichtlich, dass diese Info den Titel «Internetmonitoring […]extremismus» trage. Die Information, dass sie im Kontext von […]extremismus erwähnt werde, sei für sie sehr wesentlich. Auch weitere Dokumente, die ihr in Form von teilweise abgedeckten Kopien offengelegt worden seien, gäben ihr zusätzliche wesentliche Informationen, insbesondere zum Kontext. Als Beispiel sei etwa der Lagebericht vom 16. Januar 2008 genannt (Auskunft vom 17. Dezember 2020, Dokument Nr. 3 in der Tabelle der Lageprodukte in GEVER NDB). Nur aus der Kopie ergebe sich der Verfasser des Dokuments (Strategischer Nachrichtendienst SND) und dass zur Zeile, in welcher sie Erwähnung finde, ein Eintrag in der Spalte «Bedrohung» gehöre. Dieser sei jedoch abgedeckt worden. Ein weiteres Beispiel sei die Tageslage vom 15. Januar 2010 (Auskunft vom 17. Dezember 2020, Dokument Nr. 8 in der Tabelle der Lageprodukte in GEVER NDB). Darin werde erwähnt, dass sie am (Grossveranstaltung Z.)-Eröffnungstag (…) würde. An anderer Stelle würden Ausführungen zur Lage in Bezug auf Terrorismus und Extremismus gemacht. Überdies gehörten zu dieser Tageslage zwei Medienberichte, in denen sie Erwähnung finde, was aus dem Tabelleneintrag nicht deutlich werde. Ebenso sei der Tageslage vom 18. Januar 2010 ein ganzer Medienbericht angehängt (Auskunft vom 17. Dezember 2020, Dokument Nr. 9 in der Tabelle der Lageprodukte in GEVER NDB), was aus dem Tabelleneintrag nicht deutlich werde. Alsdann sei auf die «Hintergrundnotiz» des DAP zum (Internationale Veranstaltung) in (ausländische Stadt) vom (…) ([…]; Auskunft vom 17. Dezember 2020, Dokument Nr. 8 in der Tabelle in Diverse Dokumente) hinzuweisen. Diese

A-4873/2021 offenbare, nebst den offengelegten Passagen, in denen sie genannt werde, wie umfassend sich der DAP mit (ausländische Veranstaltung) befasst habe und dass dabei auch Massnahmen in (Land der betreffenden Stadt) beleuchtet würden, was ohne Austausch von Daten mit ausländischen Diensten nicht möglich gewesen wäre. Die Beispiele zeigten, dass die tabellarische Auskunft nicht geeignet sei, ihr vollständige Auskunft zu erteilen, dass die Tabellen nicht alle wesentlichen Informationen enthielten, insbesondere, was den Kontext betreffe, indem sie genannt würden, dass das Ausmass der Weglassung bzw. Schwärzungen von Informationen aus Tabellen nicht klar werde und sie sich nicht darauf verlassen könne, mit der tabellarischen Auskunft alle sie betreffenden Daten erhalten zu haben. Ohnehin seien als ihre personenbezogenen Daten der ganze Text zu betrachten, in welchem sie erwähnt werde. Es sei nicht bloss offen zu legen, dass sie namentlich Erwähnung finde, sondern wie und in welchem Kontext; all dies zusammen stelle die massgeblichen personenbezogenen Daten dar. Die vollständige Auskunft umfasse somit notwendigerweise den gesamten Text und bedinge damit, dass dieser im kompletten Wortlaut offengelegt werde. Nur soweit in einem Dokument auch Daten enthalten seien, die keinerlei Bezug zu ihr hätten, könne deren Offenlegung gänzlich unterbleiben. 7.2 Die Vorinstanz entgegnet, die Auflistungen und die aufgeführten Abfragen in den Daten- und Informationssystemen bewiesen die Vollständigkeit der Auskunft. Allein schon die Angaben zur Trefferanzahl in den unterschiedlichen Systemen gäben über das «ob» im Sinne von Art. 8 Abs. 1 aDSG vollständig Auskunft. Eine unzulässige Manipulation der Abfragen werde von der Beschwerdeführerin zurecht nicht behauptet. Weiter sei die tabellarische Darstellung dienlich, die nötigen Informationen zu liefern. Einen Informationsgewinn würden grösstenteils geschwärzte Dokumente nicht bringen. 7.3 7.3.1 Die Auskunft nach Art. 8 Abs. 2 aDSG hat vollständig und wahr zu sein (Urteil BGer 1C_59/2015 vom 17. September 2015 E. 3.2). Der Gegenstand des Auskunftsrechts muss in dem Umfang mitgeteilt werden, als das Begehren nicht ausdrücklich eingeschränkt gestellt wurde (Urteil BVGer A-8457/2010 vom 14. Juni 2011 E. 1.3.4.1). Ob die Auskunft vollständig ist, lässt sich nur anhand des konkreten Gesuchs und der Umstände des Einzelfalls ermitteln (EPINEY/FASNACHT, Datenschutzrecht

A-4873/2021 2011, a.a.O., S. 624 Rz. 36). Für die vollständige und wahre Auskunftserteilung ist der Inhaber einer Datensammlung im Streitfall beweispflichtig. Auch wenn negative Tatsachen, namentlich das Nichtvorhandensein zusätzlicher, nicht bereits ausgehändigter Informationen bewiesen werden müssen, ändert sich grundsätzlich nichts an der Beweislast. Da es aber naturgemäss einfacher ist, das Vorhandensein von Tatsachen zu beweisen als deren Nichtvorhandensein, ist die Schwelle der rechtsgenüglichen Beweiserhebung vernünftig anzusetzen. Wo der beweisbelasteten Partei der regelmässig äusserst schwierige Beweis des Nichtvorhandenseins einer Tatsache obliegt, ist die Gegenpartei nach Treu und Glauben gehalten, ihrerseits verstärkt bei der Beweisführung mitzuwirken, namentlich indem sie einen Gegenbeweis erbringt oder zumindest konkrete Anhaltspunkte für das Vorhandensein weiterer Daten aufzeigt. Die blosse Behauptung, eine erteilte Auskunft sei unvollständig, vermag für sich allein keine Grundlage dafür zu bieten, dass dies tatsächlich so ist (BGE 147 III 139 E. 3.1.2; Urteil 1C_59/2015 vom E. 3.2; Urteil BVGer A-6931/2018 vom 20. September 2019 E. 2.2). 7.3.2 In der Regel besteht kein Anspruch auf Erhalt von Kopien von Originaldokumenten (vgl. oben E. 6.5). Infolgedessen hat die Auskunft in einer von den Dokumenten unabhängigen Form – etwa mittels einer Liste oder Tabelle – zu erfolgen. Die Auskunftserteilung muss allerdings der Verständlichkeit halber übersichtlich sein (vgl. oben E. 6.4.8). Zudem ist bei einer Auflistung von Personendaten sicherzustellen, dass diese weder weggelassen noch (versehentlich) verändert werden, damit die Auskunft vollständig und korrekt erteilt wird (vgl. STENGEL/STÄUBLE, in: DSG OFK, a.a.O., Rz. 18 zu Art. 25 DSG). Die Frage, welche Informationen bei der Auskunft in Form einer separaten Liste oder Tabelle anzugeben sind, muss im Einzelfall beantwortet werden. Infolge der Zweckbestimmung des Auskunftsrechts ist darauf abzustellen, ob die betroffene Person auf die fragliche Information angewiesen ist, um ihre Datenschutzrechte geltend zu machen. Wird diese Frage verneint, unterliegt die Information nicht dem Auskunftsrecht (vgl. STENGEL/STÄUBLE, in: DSG OFK, a.a.O., Rz. 19 zu Art. 25 DSG). 7.3.3 Angaben müssen sich auf eine Person beziehen oder beziehen lassen, um als Personendaten zu gelten (vgl. oben E. 5.3.4). Ein solcher Bezug liegt nur dann vor, wenn es sich um Angaben über eine Person handelt. Der Bezug kann sich einerseits aus der Natur der Information selbst ergeben, wie z. B. Daten in einer Personalakte oder Äusserungen von einer Person. Andererseits kann ein Personenbezug vorliegen, wenn die Angaben an sich nicht personenbezogene Informationen zum Inhalt haben

A-4873/2021 (Angaben über Sachen, Ereignisse, Vorgänge), aber aufgrund ihres Kontexts oder aufgrund von Zusatzinformationen direkt oder indirekt eine Aussage auch über eine oder mehrere Personen erlauben. Dabei muss der Personenbezug stets von inhaltlicher Natur sein. Werden z. B. in einem Bericht über die Angelegenheit einer Person in einem Exkurs weitere, generelle Ausführungen zu einem bestimmten Thema gemacht, so handelt es sich hierbei nicht um Angaben über diese Person. Der Umstand, dass diese Informationen in einem Bericht über diese Person enthalten sind, stellt lediglich einen Personenbezug formaler Art her. Mithin macht die physische Nähe zu Personendaten allein Angaben zu Sachen oder Ereignissen nicht zu Personendaten. Nur falls Sachangaben Rückschlüsse auf die betroffene Person zulassen, ist ein Personenbezug zu bejahen (vgl. zum Ganzen ROSENTHAL, in: HK aDSG, a.a.O., Rz. 13 ff. zu Art. 3 aDSG; BEL- SER/NOUREDDINE, Datenschutzrecht 2011, a.a.O., S. 422 Rz. 38; BLECHTA, in: BSK aDSG, a.a.O., Rz. 7f. zu Art. 3 aDSG). 7.4 Vor diesem Hintergrund ist Folgendes klarzustellen. 7.4.1 Die Beschwerdeführerin hatte von der Vorinstanz Auskunft über sämtliche über sie bis am bis 22. März 2021 registrierte Daten verlangt. Letztere teilte ihr mit, es seien Daten über sie in insgesamt 431 Dokumenten vorhanden. Die Beschwerdeführerin macht nicht geltend, dass noch weitere Dokumente vorhanden sein müssten, auf welche sie nicht hingewiesen wurde. Es ist daher von der Vollständigkeit der angegebenen Dokumente auszugehen. 7.4.2 Ferner behauptet die Beschwerdeführerin, ihr seien ohnehin der gesamte Text der Dokumente offenzulegen. Gleichzeitig anerkennt sie, dass dies für jene Daten unterbleiben könne, die keinerlei Bezug zu ihr aufwiesen (vgl. oben E. 7.1). Damit ist die Beschwerdeführerin der Ansicht, dass sich in den erwähnten Dokumenten weitere Personendaten von ihr befinden müssen, die ihr noch nicht mitgeteilt wurden. Zwar ist die Vorinstanz diesbezüglich beweispflichtig, jedoch nur insoweit, als die Beschwerdeführerin dafür einen Gegenbeweis oder konkrete Anhaltspunkte erbringt (vgl. oben E. 7.3.1). 7.4.3 In diesem Zusammenhang ist generell zu fragen, ob die Vorinstanz ein erkennbares Interesse daran haben könnte, der Beschwerdeführerin weitere Personendaten vorzuenthalten (vgl. Urteil 1C_59/2015 E. 3.3). Als Behörde ist die Vorinstanz in ihrem Handeln an das Recht gebunden (vgl. Art. 5 Abs. 1 BV). Eine Auskunft nicht zu erteilen, ist nur im Falle eines

A-4873/2021 Aufschubs nach Art. 63 Abs. 3 NDG zulässig. Ein solcher Fall liegt unbestrittenermassen nicht (mehr) vor (vgl. oben Bst. G.b). Im Übrigen hat die Vorinstanz mehrmals betont, dass die Beschwerdeführerin für sie nicht von nachrichtendienstlichem Interesse bzw. nicht als «Objekt» oder umgangssprachlich als «Fiche» in den Informationssystemen verzeichnet sei. Als Objekt gilt die Zusammenstellung von Daten zu einer natürlichen oder juristischen Person, einer Sache oder einem Ereignis in den Informationssystemen des NDB (Art. 2 Bst. b VIS-NDB). Solche werden nur im IASA NDB (vgl. Art. 17 VIS-NDB) und im IASA-GEX NDB (vgl. Art. 23 VIS-NDB) gespeichert. Zwar existieren in diesen beiden Systemen insgesamt 123 Dokumente, in denen sich Personendaten der Beschwerdeführerin befinden. In den allermeisten Fällen wird die Beschwerdeführerin aber im Rahmen von Tages- und Wochenlagen als Veranstalterin der (Veranstaltung X.) an der (Grossveranstaltung Z.) samt den damit zusammenhängenden Informationen (Ort, Datum, […], Äusserungen von ihr) genannt. Daneben existieren weitere Hinweise in Tages- und Wochenlagen auf Veranstaltungen, die die Beschwerdeführerin durchführte. Ausserdem sind vereinzelt ausländische Presseartikel vorhanden, in denen die Beschwerdeführerin erwähnt wird, etwa im Zusammenhang mit einem (…) oder mit Vorgängen in (…) Staaten. Jedenfalls lässt sich feststellen, dass es sich nicht um eine strukturelle Zusammenstellung von Daten zur Beschwerdeführerin im Sinne einer klassischen Fiche handelt, bezüglich der allenfalls ein Geheimhaltungsinteresse bestehen könnte. Vielmehr ist der sinngemässe Hinweis der Vorinstanz, wonach die Beschwerdeführerin von ihr nicht aktiv überwacht wird bzw. deren Daten für sie lediglich nebensächliche «Kollateraldaten» darstellten, glaubhaft. Ein generelles Interesse auf Seiten der Vorinstanz, das sie dazu bewegen könnte, nur eine unvollständige Auskunft zu erteilen, ist nicht erkennbar. 7.4.4 Alsdann hat eine auskunftsersuchende Person keinen grundsätzlichen Anspruch darauf, in einem Dokument enthaltene Kontextinformationen zu erhalten, wenn diese für die Verständlichkeit der Auskunft nicht notwendig sind (vgl. oben E. 6.4.8). Soweit die Beschwerdeführerin geltend macht, die tabellarische Auskunft sei generell unvollständig, weil jeweils die aus den angehängten Beilagen zusätzlich ersichtlichen Kontextinformationen fehlten, ist ihr deshalb nicht zu folgen. Sie muss darlegen, weshalb sie weitere Kontextinformationen, die sich nicht aus einer weitergehenden Begründung, sondern nur aus dem Dokument selbst ergeben kann, zwingend benötigt (vgl. oben E. 6.5), was sie jedoch unterlässt.

A-4873/2021 7.4.5 Was sodann die angeführten Beilagen anbelangt, die die generelle Unvollständigkeit der tabellarischen Auskunft belegen sollen, kann Folgendes gesagt werden. 7.4.5.1 OSINT INFO (…) (GEVER NDB, diverse Dokumente):

Die Beschwerdeführerin macht geltend, der Umstand, dass auf der Beilage Nr. 21 nicht nur, wie in der Tabelle, der Begriff «Internetmonitoring», sondern «Internetmonitoring […]extremismus» gestanden sei, beweise die Unvollständigkeit der tabellarischen Auskünfte. Zwar wird die Beschwerdeführerin, wie die nachfolgenden Einträge zeigen (alle unter GEVER NDB, diverse Dokumente), durchaus im Zusammenhang mit «[…]extremismus» erwähnt. 2 (…) Bericht «Vorfälle im Bereich des (…)extremismus im Jahr (…)» (…) In (…), nahe dem Austragungsort (Veranstaltung X.), wurde am (…). […] gefunden.

3 (…) Ereignisliste ([…]) NDB, Ereignisse mit Bezug (…)extremismus Kanton: (…) Datum: (…) Ort: (…) (…) bei (…) durch rund (…) von […] und (A._______) mit (…) und (…). (…) während rund (…) Stunden gesperrt. Verkehrsumleitung durch (…) nötig. Bezug zu: (Grossveranstaltung Z.) Täter: (…) Bezug zur Globalisierung: (…) (…)extremismus: (…)

21 (…) OSINT-INFO (…) […] (…)extremismus: […] (Veranstaltung X.) (…) (Veranstaltung X.).

Insofern ist es denkbar, dass die Vorinstanz mit «(…)extremismus» Bezug auf die Beschwerdeführerin nimmt und der Begriff deshalb aus deren Sicht ein Personendatum der Beschwerdeführerin darstellt. Naheliegender ist jedoch, dass die weiteren, die Beschwerdeführerin nicht betreffenden Informationen im Dokument einen Bezug zum gewalttätigen Extremismus im Sinne von Art. 6 Abs. 1 Bst. a Ziff. 5 NDG aufweisen und der Begriff «(…)extremismus» in diesem Kontext zu verstehen ist. Insbesondere, nachdem die Beschwerdeführerin mit Blick auf ihren Zweck und ihren Tätigkeiten keinen Bezug zum (…)extremismus aufweist (vgl. oben Bst. A). Jedenfalls geht es fehl, aus diesem einzelnen Beispiel die generelle Unvollständigkeit der Tabellenauskunft belegen zu wollen. Die weiteren Beispiele legen denn auch offen, dass die Beschwerdeführerin mehrere Male und für diese erkennbar im Zusammenhang mit «(…)extremismus» 26 (…) OSINT INFO (…) (Internetmonitoring) (…) 21

A-4873/2021 erwähnt wird. Die Nichtnennung dieses Begriffs im angeführten Beispiel dürfte daher ein Versehen sein, zumal dieser in der Beilage Nr. 21 ebenfalls kenntlich gemacht und nicht etwa geschwärzt wurde. 7.4.5.2 Lagebericht einer anderen Behörde vom (…) (GEVER NDB): 3 (…) Lagebericht einer anderen Behörde vom Mittwoch, (…) Im unmittelbaren Vorfeld und während (Grossveranstaltung Z.) sind im Wesentlichen die folgenden Veranstaltungen geplant: […] (Veranstaltung X.), Datum (…). Eskalations- und Gefährdungspotential: gering 3 Soweit die Beschwerdeführerin als Beweis für die Unvollständigkeit der tabellarischen Auskunft geltend macht, erst in der Beilage Nr. 3 werde die Herkunft der Information – der SND – ersichtlich, kann ihr ebenfalls nicht beigepflichtet werden. Mit dem Hinweis auf die «andere Behörde» legte die Vorinstanz offen, dass Angaben über die Herkunft der Daten vorhanden sind. Nur wenn sie dies verschwiegen hätte, wäre die Auskunft unvollständig gewesen. Dies ist von der Frage zu trennen, ob die Herkunftsangabe «andere Behörde» genügt, damit die Beschwerdeführerin ihre Rechte gegenüber diesen Quellen geltend machen kann (vgl. dazu unten E. 8). Im Übrigen kann aus dem Umstand, dass in der Beilage Nr. 21 eine geschwärzte, mit «Bedrohung» betitelte Spalte vorhanden ist, nicht darauf geschlossen werden, dass es sich dabei um Personendaten der Beschwerdeführerin handelt. Zum einen erscheint dies aufgrund ihrer Person und ihrer Tätigkeiten von vorneherein als abwegig. Zum anderen behaftet sie die Vorinstanz in ihren Beschwerdeschriften ja selber darauf, dass sie für diese nicht von Interesse sei und dementsprechend keine Bedrohung darstelle (vgl. unten E. 10.1). Dem zum Trotz bei der geschwärzten Stelle Personendaten von ihr zu vermuten, erscheint widersprüchlich. 7.4.5.3 Tageslage NDB vom (…) (GEVER NDB): 8 (…) Tageslage NDB Freitag, (…), erwähnt in Medienprodukten / ddp / ATS - […] (…): (Grossveranstaltung Z.)-Eröffnungstag vom (…) / (…) (Veranstaltung X.) (…) - (…) - (Grossveranstaltung Z.) (…) 8 Auch in diesem Zusammenhang ist nicht ersichtlich, inwiefern sich die Ausführungen in der Beilage zur Lage in Bezug auf Terrorismus und Extremismus auf die Beschwerdeführerin als Person beziehen würden. Es dürfte nur ein formaler Bezug zu diesen bestehen, der nicht der Auskunft untersteht (vgl. oben E. 7.3.3). Zudem wird in der Tabelle erwähnt, dass die

A-4873/2021 Informationen aus Medienprodukten von der ddp (Deutscher Depeschendienst) und der ATS (Keystone-ATS) stammen. Inwiefern die Auskunft vor diesem Hintergrund unvollständig sein soll, erhellt sich nicht. 7.4.5.4 Tageslage vom (…) (GEVER NDB): 9 (…) Tageslage Montag, (…), erwähnt in Medienprodukt / ddp (…) 9 Das soeben Gesagte gilt auch für diese Auskunft. Entgegen der Beschwerdeführerin wird deutlich auf einen Artikel der ddp hingewiesen. 7.4.5.5 Schliesslich ist nicht ersichtlich, inwiefern die Beschwerdeführerin mit dem Hinweis auf die Hintergrundnotiz des DAB die Unvollständigkeit der Tabellenauskunft belegen möchte, wird doch die Auskunft in diesem Beispiel direkt in der Beilage Nr. 14 erteilt: 8 (…) Bericht DAP (Vorgängerorganisation des NDB) (internationale Veranstaltung im Ausland) Siehe Beilage 14 7.4.5.6 Im Ergebnis sind die angeführten Beispiele der Beschwerdeführerin nicht geeignet, konkrete Anhaltspunkte für eine generell unvollständige Auskunftserteilung zu erbringen. 7.4.6 Bezüglich der Vollständigkeit der die 23 Dokumente betreffenden Tabellenauskünfte (Auskunftserteilung vom 17. Dezember 2020: S. 11, Dok 44; S. 14, Dok 69; S.19, Dok 109; S. 19, Dok 111; S. 20, Dok 113; S. 20, Dok 120; S. 21, Dok 125; S. 29, Dok 205; S. 35, Dok 1; S. 35, Dok 2; S. 35, Dok 3; S. 35, Dok 4; S. 36, Dok 7; S. 36, Dok 9; S. 36, Dok 12; S. 37, Dok 16; S. 37, Dok 21; S. 37, Dok 22; S. 38, Dok 29; Auskunftserteilung vom 17. Juni 2021: S. 2, Dok 3; S.3,Dok 6; S. 3, Dok 7; S. 3, Dok 8) legt die Beschwerdeführerin bei keiner Auskunft dar, inwiefern noch weitere Personendaten von ihr vorhanden sein müssten. Nach Durchsicht der einzelnen Einträge ist auch für das Bundesverwaltungsgericht nicht ersichtlich, inwiefern darin weitere Personendaten der Beschwerdeführerin vorhanden sein müssten. 7.5 Zusammengefasst bestehen keine Anhaltspunkte für eine unvollständige Auskunft bezüglich den 23 herausverlangten Dokumente. Auch vor diesem Hintergrund können keine Kopien davon der Beschwerdeführerin herausgegeben werden.

A-4873/2021 8. Weiter ist zu prüfen, ob die Vorinstanz die Herkunft der Personendaten der Beschwerdeführerin genügend offenlegte. 8.1 Dazu führt die Beschwerdeführerin aus, die Vorinstanz sei ihrer Pflicht, die verfügbaren Daten über die Herkunft ihrer Personendaten offenzulegen, höchstens in Ansätzen nachgekommen. Auch das Begleitschreiben vom 4. Oktober 2021 (vgl. oben Bst. L) schaffe keine Klarheit. Einerseits äussere sich die Vorinstanz darin nur zu einem Teil der Dokumente. Andererseits sei der dort angebrachte Verweis auf die Vorinstanz als Quelle tautologisch. Dieser sage nichts zur eigentlichen Quelle der Information aus. Die dazu angebrachten Verweise auf das Schreiben vom 17. Dezember 2020 und die weiteren Hinweise im Schreiben vom 4. Oktober 2021 reichten als Auskunft über die Herkunft der Daten nicht aus. Daraus ergebe sich die effektive Quelle nicht. Namentlich sei es nicht ausreichend, «eine andere Behörde» als Quelle anzugeben. 8.2 Die Vorinstanz entgegnet, ihre bisher gemachten Angaben zur Herkunft der Daten genügten den gesetzlichen Anforderungen. 8.3 8.3.1 Der Inhaber der Datensammlung muss der betroffenen Person die verfügbaren Angaben über die Herkunft der Daten mitteilen (vgl. Art. 8 Abs. 2 Bst. a aDSG). Die betroffene Person kann ein legitimes Interesse daran haben, die Herkunft der Daten zu kennen, z. B. um auf die Datenquellen zurückzugreifen oder die Korrektur von Fehlern zu veranlassen (BGE 147 III 139 E. 3.2; Botschaft vom 19. Februar 2003 zur Änderung des Bundesgesetzes über den Datenschutz [DSG], BBl 2003 2101, 2134 f. Ziff. 2.7). In diesem Sinne müssen die vorhandenen Angaben über die Herkunft der Daten (inkl. Identität) mitgeteilt werden, soweit dies für den Antragssteller nötig ist, um seine Rechte auch gegenüber diesen Quellen geltend zu machen (ROSENTHAL, in: HK aDSG, a.a.O., Rz. 13 zu Art. 8 Abs. 2 aDSG). 8.3.2 Die Vorinstanz darf Daten nur von gesetzlich definierten Quellen beschaffen. In Frage kommen öffentliche wie auch nicht öffentliche Informationsquellen (vgl. Art. 5 Abs. 1 NDG). Öffentliche Informationsquellen sind namentlich öffentlich zugängliche Medien (Art. 13 Bst. a NDG), öffentlich zugängliche Register von Behörden des Bundes und der Kantone (Bst. b), von Privaten öffentlich zugänglich gemachte Personendaten (Bst. c) sowie in der Öffentlichkeit vorgetragene Äusserungen (Bst. d). Weiter kann der

A-4873/2021 NDB selber an öffentlich und allgemein zugänglichen Orten Vorgänge und Einrichtungen beobachten und in Bild und Ton festhalten (Art. 14 Abs. 1 NDG). Alsdann kann der NDB Informationen von menschlichen Quellen beziehen (vgl. Art. 15 Abs. 1 NDG). Informationen in der Form von Auskünften und Meldungen können von Behörden des Bundes und der Kantone, von Organisationen, denen der Bund oder die Kantone die Erfüllung öffentlicher Aufgaben übertragen hat (vgl. Art. 19 und 20 NDG), von Dritten (Art. 23 NDG) sowie von Privaten, die einer bestimmten Tätigkeit nachgehen (vgl. Art. 25 NDG), stammen. Ferner kann die Vorinstanz Informationen selber mittels genehmigungspflichtigen Beschaffungsmassnahmen sammeln (vgl. Art. 26 NDG) oder durch in- oder ausländische Amtsstellen beschaffen lassen (vgl. Art. 34 Abs. 1 NDG). Die Vorinstanz kann aber auch selber Quelle einer Information sein, indem sie Personendaten bearbeitet (vgl. Art. 44 Abs. 1 NDG) und damit neue Informationen bzw. Personendaten generiert. 8.3.3 Der Inhaber der Datensammlung kann die Auskunft verweigern, einschränken oder aufschieben, soweit ein Gesetz im formellen Sinn dies vorsieht (Art. 9 Abs. 1 Bst. a aDSG), oder es wegen überwiegender Interessen Dritter erforderlich ist (Bst. b). Ein Bundesorgan kann zudem die Auskunft verweigern, einschränken oder aufschieben, soweit es wegen überwiegender öffentlicher Interessen, insbesondere der inneren oder äusseren Sicherheit der Eidgenossenschaft, erforderlich ist (Art. 9 Abs. 2 Bst. a aDSG) oder die Auskunft den Zweck einer Strafuntersuchung oder eines andern Untersuchungsverfahrens in Frage stellt (Bst. b). Sobald der Grund für die Verweigerung, Einschränkung oder Aufschiebung einer Auskunft wegfällt, muss das Bundesorgan die Auskunft erteilen, ausser dies ist unmöglich oder nur mit unverhältnismässigem Aufwand möglich (Art. 9 Abs. 3 aDSG). 8.4 8.4.1 In den Tabellen in den Schreiben vom 17. Dezember 2020 und 17. Juni 2021 findet sich jeweils eine mit «Dokument/Quelle/Erklärung» betitelte Spalte. Darin wird die Herkunft der Daten genannt. Im Schreiben vom 17. Dezember 2020 wies die Vorinstanz die Beschwerdeführerin erklärend darauf hin, dass es sich um von ihr erstellte Dokumente handle, falls in den Tabellen keine Quellen angegeben seien. Im Begleitschreiben vom 4. Oktober 2021 listete die Vorinstanz nochmals einzeln jede Quelle der 23 Dokumenten auf, deren Herausgabe die Beschwerdeführerin verlangte. Es präzisierte, dass mit «NDB» dessen Vorgängerorganisationen (DAP und SND) mitgemeint seien.

A-4873/2021 8.4.2 Folgende Dokumente und damit Daten wurden infolge expliziter oder fehlender Nennung der Quelle von der Vorinstanz selber erstellt. Die Herkunftsangaben sind aufgrund der Natur der Dokumente glaubhaft: Auskunftserteilung vom 17. Dezember 2020: S. 11, Dok 44 (Lagebericht); S. 14, Dok 69 (Lagekarte); S. 19, Dok 111 (Präsentation PPP mit Lagebeurteilung [Grossveranstaltung Z.]); S. 20, Dok 113 (Tabelle NDB); S. 20, Dok 120 (Situation du Jour Mardi) S. 29, Dok 205; (Tageslage Mittwoch); S. 35, Dok 1 (Liste von […]); S. 35, Dok 2 (Bericht «Vorfälle im Bereich des […]extremismus im Jahr […]»); S. 35, Dok 3 (Ereignisliste […] NDB, Ereignisse mit Bezug […]extremismus); S. 35, Dok 4 (Bericht zur Lage vom […] des Strategischen Nachrichtendienstes SND zuhanden […]); S. 36, Dok 7 (DAP; Konferenz vom […], Beitrag Schweiz); S. 36, Dok 9 (Bericht innere Sicherheit der Schweiz); S. 37, Dok 16 (Skript zum Lageradar Kerngruppe Sicherheit vom […]); S. 37, Dok 21 (OSINT-INFO […]); S. 37, Dok 22 (Screenshot im gleichen Zusammenhang wie hiervor [OSINT-INFO]), S. 38 Dok 29 (Protokoll eines bilateralen Treffens des NDB mit einer externen Privatperson vom […]). Auskunftsgesuch vom 17. Juni 2021: S. 3, Dok 7 (OSINT-Recherche des NDB zu einer Person, die sich für eine Stelle beworben hat, bei der sie hochsensible Daten bearbeiten muss); S. 3, Dok 8 (OSINT Info, […] Recherche OSINT sur les sociétes). Vor diesem Hintergrund erhellt nicht, inwiefern die Herkunftsangaben bezüglich den von der Vorinstanz selbst generierten Daten nicht ausreichend sein sollten. Insbesondere ist nicht ersichtlich, an welche sonstigen Personen die Beschwerdeführerin gelangen sollte, um allfällige Fehler zu berichtigen (vgl. oben E. 8.3.1), wenn nicht an die Vorinstanz als Urheberin dieser Dokumente. Letztere hat in Bezug auf die soeben genannten Dokumente ihrer Auskunftspflicht bezüglich deren Herkunft Genüge getan. 8.4.3 Weiter werden in folgenden Dokumenten eindeutig Nachrichtenagenturen als Datenquellen genannt. Die Vorinstanz ist diesbezüglich ihrer Auskunftspflicht nachgekommen. Auskunftsgesuch vom 17. Dezember 2020: S. 29, Dok 205 (SDA, Der Bund); S. 36, Dok 12 (AP [Associated Press]).

A-4873/2021 8.4.4 Alsdann wurde bezüglich den Auskünften «S. 2, Dok 3» und «S. 3, Dok 6» der «Führungsstab Polizei» als Datenquelle erwähnt. Dabei handelt es sich um die Konferenz der kantonalen Polizeikommandanten (vgl. Bericht des Bundesrates «Die Sicherheitspolitik der Schweiz» vom 24. August 2016, BBl 2016 7763, 7876). Die Konferenz der kantonalen Polizeikommandanten ist ein Verein (vgl. https://www.kkpks.ch/ > Organisation > KKPKS, zuletzt abgerufen am 22.03.2024). Die Beschwerdeführerin weiss somit, an wen sie sich wenden muss. Die Auskunftspflicht wurde durch die Vorinstanz erfüllt. 8.4.5 Einzig bezüglich den Auskünften «S.19, Dok 109» und «S. 21, Dok 125» liegt mit «eine andere Behörde» keine präzise Herkunftsangabe vor. Die Vorinstanz legte in ihrem Begleitschreiben vom 4. Oktober 2021 zwar dar, dass als «andere Behörden» z. B. (…) oder (…) in Betracht kämen. Diese hätten ebenfalls eine Rolle bei der Organisation (Grossveranstaltung Z.) gespielt. Mit dieser Information wird es der Beschwerdeführerin aber nicht ermöglicht, sich an die konkreten Quellen der beiden Auskünfte zu wenden. Insofern ist die Herkunftsangabe der Daten ungenügend und die Beschwerde begründet. Die Vorinstanz wird – vorbehaltlich allfälliger Hinderungsgründe gemäss Art. 9 aDSG (vgl. oben E. 8.3.3), die zu erläutern wären – der Beschwerdeführerin die Quellen nennen müssen. 8.5 Im Ergebnis ist der Antrag der Beschwerdeführerin auf Offenlegung der Herkunft ihrer in den 23 Dokumenten verzeichneten Personendaten teilweise gutzuheissen. Die Vorinstanz wird angewiesen, bezüglich der Herkunftsangabe «andere Behörden» weitere Auskünfte im Sinne der Erwägungen zu erteilen. 9. Alsdann ist der Antrag auf Angabe des Bearbeitungszwecks der in den 23 Dokumenten vorhandenen Personendaten der Beschwerdeführerin zu behandeln. 9.1 Dazu führt die Beschwerdeführerin aus, die Vorinstanz habe ihr den Zweck, der der Bearbeitung ihrer Personendaten zugrunde liege, nicht mitgeteilt. Zwar habe sie insbesondere in ihrem Schreiben vom 17. Dezember 2020 einige Erläuterungen zur Datenerfassung angebracht. Ein effektiver Zweck – welcher sich aus den gesetzlich definierten Aufgaben der Vorinstanz ergeben müsste, namentlich aus Art. 6 NDG – erschliesse sich daraus nicht.

A-4873/2021 9.2 Die Vorinstanz entgegnet, sie habe der Beschwerdeführerin den Zweck der Datenbearbeitung bereits erläutert und habe dazu mehr als nur rudimentäre Angaben gemacht. Es ergebe sich aus den sich auf die Beschwerdeführerin beziehenden Daten, dass es lediglich Kollateraldaten seien. 9.3 Der Inhaber der Datensammlung muss der betroffenen Person den Zweck und gegebenenfalls die Rechtsgrundlage des Bearbeitens mitteilen (vgl. Art. 8 Abs. 2 Bst. b aDSG). Mit dieser Bestimmung soll dem Grundsatz der in Art. 4 Abs. 3 aDSG statuierten Zweckbindung Rechnung getragen werden (WALDMANN/BICKEL, Datenschutzrecht 2011, a.a.O., §12 Rz. 65, S. 685 f.). Durch die Nennung des Zwecks soll es der betroffenen Person rudimentär ermöglicht werden, die Rechtmässigkeit der Datenbearbeitung zu beurteilen (vgl. ROSENTHAL, in: HK aDSG, a.a.O., Rz. 17 zu Art. 8 Abs. 2 aDSG). 9.4 In ihrem Begleitschreiben vom 4. Oktober 2021 gab die Vorinstanz an, «dass sich der Zweck der Bearbeitung aus Art. 6 NDG ergebe». Dies ist insofern zutreffend, als in Art. 6 Abs. 1 Bst. a – d NDG definiert wird, zu welchen Zwecken die Vorinstanz Informationen überhaupt beschaffen und bearbeiten darf (vgl. dazu unten E. 10.3.2). Insofern liegt eine Zwecknennung vor, was von der Frage, ob die Bearbeitung der Personendaten dem genannten Zweck tatsächlich entspricht, zu unterscheiden ist (vgl. dazu unten E. 10). Jedoch erweist sich die vorinstanzliche Zweckangabe als zu generell, zumal Art. 6 Abs. 1 Bst. a – d NDG eine differenzierte Zwecknennung erlauben würde. Dadurch wird die Beurteilung der Rechtmässigkeit der Datenbeschaffung und -bearbeitung erheblich erschwert. Es sind – wenn überhaupt – lediglich Mutmassungen möglich, wie z. B., dass die Informationsbearbeitungen bei jenen Einträgen, die (die Grossveranstaltung Z.) betreffen, dem frühzeitigen Erkennen und Verhindern von gewalttätigem Extremismus dienten (vgl. Art. 6 Abs. 1 Bst. a Ziff. 5 NDG). Vor diesem Hintergrund erweist sich die Beschwerde als begründet. Die Vorinstanz ist anzuweisen, zu jedem Eintrag den genauen Bearbeitungszweck zu nennen, sofern dem nicht im einzelnen Hinderungsgründe nach Art. 9 aDSG entgegenstehen. Träfe letzteres zu, wären diese zu erläutern. 10. Schliesslich verlangt die Beschwerdeführerin die Löschung aller ihrer Personendaten, die älter als ein Jahr sind und die nicht nachrichtendienstlich nach Art. 6 NDG bearbeitet werden, sowie deren Überführung ins Bundesarchiv. Als ersten Grund dafür macht die Beschwerdeführerin geltend,

A-4873/2021 die Bearbeitung ihrer Personendaten sei widerrechtlich, weil sie nicht mit Art. 6 NDG vereinbar sei. 10.1 Zur Begründung führt die Beschwerdeführerin aus, es werde nicht bestritten sein, dass von ihr keine Bedrohung im Sinne von Art. 6 Abs. 1 Bst. a Ziff. 1 – 5 NDG ausgehe. Weiter sei generell ein Bezug zu nachrichtendienstlich relevanten Sachverhalten grösstenteils nicht erkennbar. Insbesondere sei die in Art. 6 Abs. 1 Bst. c NDG erwähnte Handlungsfähigkeit der Schweiz nur tangiert, wenn es sich um Informationen zu entsprechend schwerwiegenden Vorgängen handle. Deshalb könne sich die Vorinstanz nicht auf Art. 6 NDG stützen, wenn sie sich mit ihren Aktivitäten befasse. Die Erfassung von Angaben zu Kundgebungen und sicherheitspolitischen Einschätzungen dazu seien nicht vom Zweck des NDG und den gesetzlichen Aufgaben gedeckt. Die Vorinstanz habe keine umfassenden sicherheitspolizeilichen Aufgaben und Kompetenzen und könne sich als Bundesbehörde nicht jene Kompetenzen anmassen, die kantonalen und kommunalen Polizeibehörden zustünden. Allein der Umstand, dass eine andere Behörde eine Einschätzung treffe, ob die Gefahr bestehe, dass eine Kundgebung gewalttätig verlaufen oder es Gegenkundgebungen geben könnten, reiche nicht aus, um eine Befassung der Vorinstanz mit der entsprechenden Veranstaltung zu veranlassen. Dafür müsse eine der in Art. 6 NDG aufgezählten Bedrohungen vorliegen, was sicherlich nicht bei jeder denkbaren Gefahr der Fall sei. Es müssten konkrete Anzeichen dafür vorhanden sein. Ebenso wenig sei es die Aufgabe der Vorinstanz, für den Bundesrat die Zeitungen zu lesen und alle öffentlich zugänglichen Informationen zu sammeln. Die Bearbeitung letzterer müsse einen zureichenden Bezug zum Zweck des NDG und zum Aufgabenbereich der Vorinstanz aufweisen. Indes werde für die Erfassung öffentlicher Quellen wie Presseschauen und Zeitungsartikel kein spezifischer Grund genannt. Die Erklärung, die Erfassung von Daten, welche sie beträfe, sei notwendig, um andere tatsächlich nachrichtendienstlich relevante Sachverhalte zu beschreiben oder einzuordnen, vermöge diesbezüglich kaum zu greifen. Es sei darauf hingewiesen, dass die eidgenössische Geschäftsprüfungskommission (GPDel) die Notwendigkeit, öffentlich zugängliche Informationen in diesem Umfang zu erfassen, stark in Frage gestellt habe. In der Folge habe die Vorinstanz bzw. das VBS in Aussicht gestellt, ihre diesbezügliche Praxis anzupassen. Die Charakterisierung der sie betreffenden Daten als «reine Kollateraldaten» sei damit in tatsächlicher Hinsicht unzutreffend. Soweit sich die Vorinstanz dazu entschliesse, derartige Daten zu erfassen, müsse sie zumindest ihren Namen und die Namen der bei ihr engagierten Personen abdecken. Aufgrund der Widerrechtlichkeit der Bearbeitung ihrer

A-4873/2021 Personendaten seien diese gestützt auf Art. 25 aDSG zu löschen und ins Bundesarchiv zu überführen. 10.2 Gemäss der Vorinstanz übersieht die Beschwerdeführerin, dass der Umstand, wonach sie selber nicht von nachrichtendienstlichem Interesse sei, nicht bedeute, dass die Verwendung der sie betreffenden Daten nicht trotzdem einem nachrichtendienstlichen Zweck (z. B. Gesamtlage der Schweiz) dienen könne. Selbst wenn die Kollateraldaten als Personendaten erachtet würden, seien diese zur Darstellung und Einordnung von nachrichtendienstlichen Sachverhalten nötig, um ihre gesetzlichen Aufgaben nach Art. 6 NDG erfüllen zu können. Sie sei quasi das Organ, das für den Bundesrat und weitere Behörden die Zeitungen lese und die öffentlichen Aktivitäten verfolge. Daraus formuliere sie ein sicherheitspolitisches Bild (vgl. Art. 6 Abs. 2 und 3 NDG). Die Beschwerdeführerin sei sich dieser Facette ihres Auftrags offenbar nicht bewusst. Sämtliche Einträge in ihren Systemen liessen sich ihren Aufgaben zuordnen und seien damit hinreichend begründet. Sollte das Bundesverwaltungsgericht für die Feststellung des rechtserheblichen Sachverhalts zu jedem einzelnen der Einträge eine umfassende Begründung mit Bezug auf die Aufgabenerfüllung benötigen, so sei sie zu entsprechenden und aus ihrer Sicht nicht verfahrensökonomischen Ausführungen bereit. Im Sinne der Verfahrensökonomie habe sie illustrative Ausführungen zu einzelnen von der Beschwerdeführerin angeführten Beispielen gemacht. 10.3 10.3.1 Die Löschung von Daten in den Informationssystemen der Vorinstanz hat aus diversen Gründen zu geschehen, wobei vorliegend nur die Relevantesten hervorgehoben werden. Zum einen legt die VIS-NDB die Aufbewahrungsdauer für jedes Informationssystem fest, nach deren Ablauf die Daten zu löschen sind (vgl. Art. 47 Abs. 2 Bst. f NDG i.V.m. Art. 8 VIS- NDB). Weiter enthält Art. 5 Abs. 7 NDG Löschungsvorgaben bezüglich Personendaten, die im Sinne von Art. 5 Abs. 6 NDG nur ausnahmsweise beschafft und bearbeitet werden durften (vgl. dazu unten E. 11.4). Und schliesslich ist im Rahmen des Auskunftsrechts Art. 25 Abs. 1 aDSG zu beachten (vgl. Urteil A-4725/2020 E. 7.4.2). Danach kann bei Vorliegen eines schutzwürdigen Interesses vom verantwortlichen Bundesorgan unter anderem verlangt werden, dass es das widerrechtliche Bearbeiten von Personendaten unterlässt (Bst. a), was auf deren Löschung hinausläuft.

A-4873/2021 10.3.2 Ob der NDB Daten rechtmässig bearbeitet, beurteilt sich nach seinen im NDG statuierten gesetzlichen Befugnissen. Das NDG dient dem Schutz wichtiger Landesinteressen. Es bezweckt zur Sicherung der demokratischen und rechtsstaatlichen Grundlagen der Schweiz und zum Schutz der Freiheitsrechte ihrer Bevölkerung beizutragen (Art. 2 Bst. a NDG), die Sicherheit der Bevölkerung der Schweiz sowie der Schweizerinnen und Schweizer im Ausland zu erhöhen (Bst. b), die Handlungsfähigkeit der Schweiz zu unterstützen (Bst. c) und zur Wahrung internationaler Sicherheitsinteressen beizutragen (Bst. d). In diesem Sinne gehören zu den Aufgaben des NDB die Informationsbeschaffung und -bearbeitung zum frühzeitigen Erkennen und Verhindern von Bedrohungen der inneren oder äusseren Sicherheit, die ausgehen von Terrorismus (Art. 6 Abs. 1 Bst. a Ziff. 1 NDG), verbotenem Nachrichtendienst (Ziff. 2), der Weiterverbreitung nuklearer, biologischer oder chemischer Waffen, einschliesslich ihrer Trägersysteme, sowie aller zur Herstellung dieser Waffen notwendigen zivil und militärisch verwendbaren Gütern und Technologien (NBC-Proliferation) oder dem illegalen Handel mit radioaktiven Substanzen, Kriegsmaterial und anderen Rüstungsgütern (Ziff. 3), Angriffen auf Informations-, Kommunikations-, Energie-, Transport- und weitere Infrastrukturen, die für das Funktionieren von Gesellschaft, Wirtschaft und Staat unerlässlich sind (kritische Infrastrukturen; Ziff. 4) und gewalttätigem Extremismus (Ziff. 5). Weiter ist die nachrichtendienstliche Informationsbeschaffung und -bearbeitung zulässig für die Feststellung, Beobachtung und Beurteilung von sicherheitspolitisch bedeutsamen Vorgängen im Ausland (Bst. b), der Wahrung der Handlungsfähigkeit der Schweiz (Bst. c) sowie der Wahrung weiterer wichtiger Landesinteressen nach Artikel 3, wenn dafür ein konkreter Auftrag des Bundesrates vorliegt (Bst. d). Bst. c bezieht sich auf die essentielle Aufgabe des NDB, der Landesregierung zeitgerecht für die Erfüllung ihrer Aufgaben notwendige Informationen zu liefern (Botschaft zum Nachrichtendienstgesetz vom 19. Februar 2014, BBl 2013 2105, 2144). Gemäss Art. 3 NDG kann der Bundesrat im Falle einer schweren und unmittelbaren Bedrohung den NDB über die in Artikel 2 genannten Landesinteressen hinaus zum Schutz der verfassungsrechtlichen Grundordnung der Schweiz (Bst. a), zur Unterstützung der schweizerischen Aussenpolitik (Bst. b) sowie zum Schutz des Werk-, Wirtschafts- und Finanzplatzes Schweiz (Bst. c) einsetzen. 10.3.3 Was er mit den beschafften Informationen tun darf bzw. muss, wird in Art. 6 Abs. 2 und 3 NDG normiert. So hat der NDB gestützt auf diese Informationen die Bedrohungslage zu beurteilen und die betroffenen Bundesstellen und kantonalen Vollzugsbehörden laufend über allfällige

A-4873/2021 Bedrohungen sowie über die getroffenen und geplanten Massnahmen nach diesem Gesetz zu informieren. Bei Bedarf alarmiert er die zuständigen staatlichen Stellen (Art. 6 Abs. 2 NDG). Zudem informiert er andere Dienststellen des Bundes und der Kantone unter Wahrung des Quellenschutzes über Vorgänge und Erkenntnisse, welche die gesetzlichen Aufgaben dieser Stellen bei der Wahrung der inneren oder äusseren Sicherheit betreffen (Art. 6 Abs. 3 NDG). Zur Erfüllung der Aufgaben nach den Absätzen 2 und 3 richtet der NDB bei besonderen sicherheitsrelevanten Ereignissen (z. B. dem jährlich stattfindenden WEF oder grossen internationalen Konferenzen wie dem Frankophoniegipfel) einen Nachrichtenverbund ein. Dieser koordiniert die Informationsbeschaffung und -verbreitung und ermöglicht den zuständigen beteiligten Stellen das ständige Verfolgen der aktuellen Lage über die Elektronische Lagedarstellung (ELD, Art. 53; BBl 2013 2105, 2144). Das Informationssystem zur elektronischen Lagedarstellung (ELD) dient den zuständigen Behörden des Bundes und der Kantone als Führungsinstrument und der Verbreitung von Informationen im Hinblick auf die Steuerung und Umsetzung von sicherheitspolizeilichen Massnahmen, namentlich bei Ereignissen, bei denen Gewalttätigkeiten befürchtet werden (Art. 53 Abs. 1 NDG). Es enthält Daten über Ereignisse und über Massnahmen zur Wahrung der inneren oder äusseren Sicherheit (Art. 53 Abs. 2 NDG). 10.3.4 Die Datenbeschaffung und -bearbeitung zur Beurteilung der Bedrohungslage nach Absatz 2 ist in den Kapiteln 3 (Informationsbeschaffung) und 4 (Datenbearbeitung und Archivierung) ausführlich geregelt (BBl 2013 2105, 2144). Wie bereits dargelegt, ist der NDB gemäss Art. 44 Abs. 1 NDG befugt, Personendaten zu bearbeiten (vgl. oben E. 5.3.1). Er kann dieselben Daten in mehrere Informationssysteme überführen. Es gelten die Vorgaben des jeweiligen Informationssystems (Art. 44 Abs. 3 NDG). Bevor der NDB die Personendaten in einem Informationssystem erfasst, beurteilt er deren Erheblichkeit und Richtigkeit. Meldungen, die mehrere Personendaten enthalten, beurteilt er als Ganzes, bevor er sie in der Aktenablage erfasst (Art. 45 Abs. 1 NDG). Diese Prüfung erfolgt somit, bevor Personendaten eine Aussenwirkung entfalten; eine Wirkung entfalten Personendaten, indem sie innerhalb eines Produkts des NDB (z. B. Analysebericht, Meldung an ausländischen Nachrichtendienst, Lagebeurteilung) verwendet werden (BBl 2013 2105, 2182). Der NDB erfasst nur Daten, die zur Erfüllung der Aufgaben nach Artikel 6 dienen, unter Beachtung von Artikel 5 Absätze 5 - 8 (Art. 45 Abs. 2 NDG). Konkret muss der NDB mit einer Eingangskontrolle bereits vor der Erfassung in ein Informationssystem sicherstellen, dass die erhaltenen Meldungen und Auskünfte einen inhaltlichen

A-4873/2021 Bezug zu gewalttätigem Extremismus, Terrorismus, verbotenem Nachrichtendienst, Proliferation, Angriffen auf kritische Infrastrukturen oder sicherheitspolitisch bedeutsamen Vorgängen aufweisen (BBl 2013 2105, 2186). Daten, die in keinem Informationssystem erfasst werden dürfen, sind zu vernichten oder an den Absender zur weiteren Abklärung oder zur Bearbeitung in dessen eigener Zuständigkeit zurückzusenden (vgl. Art. 45 Abs. 3 NDG). Der NDB überprüft periodisch in allen Informationssystemen, ob die erfassten Personendatensätze zur Erfüllung seiner Aufgaben weiterhin notwendig sind. Er löscht nicht mehr benötigte Datensätze (Art. 45 Abs. 4 Satz 1 und 2 NDG). Diese und zur Vernichtung bestimmte Daten und Akten bietet der NDB dem Bundesarchiv zur Archivierung an (Art. 68 Abs. 1 Satz 1 NDG). 10.3.5 Verfügungen sind zu begründen (vgl. Art. 35 Abs. 1 VwVG). Die Begründungspflicht ist Bestandteil des verfassungsmässigen Anspruchs auf rechtliches Gehör im Sinne von Art. 29 Abs. 2 BV (statt vieler BGE 142 II 324 E. 3.6). Die Begründung eines Entscheides muss so abgefasst sein, dass der Betroffene ihn sachgerecht anfechten kann. Dies ist nur möglich, wenn sich sowohl er wie auch die Rechtsmittelinstanz über die Tragweite des Entscheides ein Bild machen können (BVGE 2009/35 E. 6.4.1). Welchen Anforderungen eine Begründung hinsichtlich Dichte und Qualität zu genügen hat, ist im Einzelfall anhand der konkreten Umstände und der Interessen der Betroffenen zu bestimmen. Die Vorinstanz hat sich jedenfalls insgesamt mit den verschiedenen rechtlich relevanten Gesichtspunkten auseinanderzusetzen und darzutun, aus welchen Gründen sie den Vorbringen einer Partei folgt oder diese ablehnt (statt vieler Urteil BVGer A-1186/2022 vom 13. Dezember 2023 E. 3.2). 10.4 10.4.1 Sämtliche Personendaten, die in den Informationssystemen der Vorinstanz bearbeitet werden, müssen einem Tatbestand von Art. 6 Abs. 1 Bst. a – d NDG klar und nachvollziehbar zugeordnet werden können. Dies gilt auch für jene der Beschwerdeführerin. Ausgenommen davon sind – was zu Recht von niemandem bestritten wird – rein administrative Daten, wie z. B. die Korrespondenz zwischen der Vorinstanz und der Beschwerdeführerin (vgl. Art. 52 Abs. 2 Bst. a NDG). 10.4.2 In den Schreiben vom 17. Dezember 2020 bzw. 17. Juni 2021 machte die Vorinstanz einleitend Ausführungen zu den einzelnen Informationssystemen und legte dar, weshalb die Beschwerdeführerin darin

A-4873/2021 Erwähnung findet. Es handelt sich um Ausführungen allgemeiner Natur zur Arbeitsweise der Vorinstanz, wie z. B. zu den Lageberichten und Agenden. Weshalb die Vorinstanz die Personendaten der Beschwerdeführerin jeweils zur Erfüllung einer bestimmten gesetzlichen Aufgabe braucht, wird aber nirgends erwähnt. Es ist dem Bundesverwaltungsgericht deshalb nicht möglich, die Rechtmässigkeit der einzelnen Einträge unter dem Gesichtspunkt von Art. 6 Abs. 1 Bst. a – d NDG zu prüfen, zumal nicht einmal angegeben wird, welchen konkreten Gesetzesbestimmungen diese Einträge zuzuordnen sind (vgl. oben E. 9.3). Z. B. gibt es zahlreiche Einträge zur (Grossveranstaltung Z.), in denen ein Veranstaltungstermin der Beschwerdeführerin (Veranstaltung X.) genannt wird. Ob das Wissen um diesen Event z. B. dem Verhindern von gewalttätigem Extremismus (Art. 6 Abs. 1 Bst. a Ziff. 5 NDG) oder der Wahrung der Handlungsfähigkeit der Schweiz (Art. 6 Abs. 1 Bst. c NDG) dient und weshalb, bleibt unklar. Zwar ist es vorstellbar, dass die Nennung der Beschwerdeführerin gerade im Zusammenhang mit einer Grossveranstaltung wie (der Grossveranstaltung Z.) gerechtfertigt sein kann, um sämtliche Akteure auf dem Radar zu haben. Es ist jedoch nicht am Bundesverwaltungsgericht, diesbezüglich Mutmassungen anzustellen. Insbesondere wenn es um einen Tatbestand mit einem unbestimmten Rechtsbegriff wie «Handlungsfähigkeit der Schweiz» geht, bedarf es weiterer Ausführungen, um eine Beurteilung vornehmen zu können. Ferner ist es bspw. nicht nachvollziehbar, inwiefern die Nennung der Beschwerdeführerin in einem Zeitungsartikel zum Doppelsteuerabkommen mit (…) durch Art. 6 Abs. 1 Bst. a – d NDG gedeckt sein sollte. 10.4.3 Im Übrigen räumt die Vorinstanz selber ein, dass sie den Aufgabenbezug der Einträge nach Art. 6 NDG nicht einzeln dargelegt habe. Erst im Beschwerdeverfahren erklärte sie diesen illustrativ anhand zweier Einträge. Im ersten Beispiel geht es um eine Aussage eines Vertreters der Beschwerdeführerin zum Besuch (…) (an der Grossveranstaltung Z.) («[…]»). Dazu führte die Vorinstanz im Wesentlichen aus, Herr (…) habe sich damit zu einem sicherheitspolitisch relevanten Thema öffentlich geäussert. Für die Darstellung eines ausgewogenen Bildes zur sicherheitspolitischen Lage rund um den Besuch (…) in der Schweiz müsse eine solche Aussage wiedergegeben werden. Dies ist ohne Weiteres nachvollziehbar. In Art. 6 Abs. 1 Bst. a – d NDG existiert indes keine Generalklausel, die eine Informationsbeschaffung erlauben würde, sobald eine Information aus Sicht der Vorinstanz von sicherheitspolitischer Relevanz ist. Ebenso wenig kann aus Art. 6 Abs. 2 NDG, wonach der NDB die Bedrohungslage beurteilt, eine derartige Kompetenz abgeleitet werden. Die Beurteilung der Bedrohungslage muss nämlich zunächst auf Informationen beruhen,

A-4873/2021 welche die Vorinstanz gestützt auf Art. 6 Abs. 1 Bst. a – d NDG überhaupt sammeln durfte (vgl. oben E. 10.3.3). Welcher Aufgabe die Information dient und weshalb, bleibt mangels weiterer Erläuterungen ungeklärt. Das Gleiche gilt für das zweite Beispiel bezüglich einer Meldung einer Kantonspolizei betreffend (…) («Mit der Aktion […] soll auf Missstände in der […]industrie aufmerksam gemacht werden. Die Organisation A._______ rechnet mit ca. […] Personen, die an der Aktion teilnehmen werden. LOW RISK: Es wird mit einer unproblematischen Aktion gerechnet.»). Gemäss der Vorinstanz handelt es sich dabei um eine sicherheitspolizeiliche Information. Diese diene den kantonalen Sicherheitsbehörden dazu, die Lage den Umständen entsprechend einzuschätzen und ihr Sicherheitsdispositiv anzupassen. Zu diesem Zweck sei es wesentlich zu wissen, wer an der Kundgebung und an einer möglichen Gegenkundgebung teilnehme und zu welchen Themen die Kundgebungen stattfänden. Für die korrekte Anpassung eines Sicherheitsdispositivs sei es zudem von Bedeutung zu wissen, wenn eine Aktion unproblematisch erscheine («LOW RISK»). Auch in diesem Fall erscheint eine nachrichtendienstliche Relevanz des Eintrags nicht abwegig. Allerdings ist selbst nach den Erläuterungen der Vorinstanz für das Bundesverwaltungsgericht nicht klar, welcher Aufgabe nach Art. 6 Abs. 1 Bst. a – d NDG die Nennung der Beschwerdeführerin konkret dient. Der Vorinstanz ist deshalb zu empfehlen, bei künftigen tabellarischen Auskünften sowohl die genaue rechtliche Grundlage nach Art. 6 Abs. 1 Bst. a – d NDG zu nennen und den Aufgabenbezug im konkreten Fall näher zu erläutern, sofern dieser anhand der restlichen Angaben nicht offensichtlich ist. 10.4.4 Im Ergebnis ist die Beschwerde in diese