Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) Schlussberichte und Empfehlungen Datenschutz 15.10.2012

Eidgenössischer Datenschutz- und Öffentlichkeitsbea uftragter EDÖB

Feldeggweg 1, 3003 Bern Tel. 031 323 74 84, Fax 031 325 99 96 www.edoeb.admin.ch

A2012.11.05-0017 / 2012-00215 Bern, 15. Oktober 2012

Empfehlung

gemäss

Art. 29 des Bundesgesetzes vom 19. Juni 1992 über d en Datenschutz (DSG),

betreffend

Übermittlung von Mitarbeiterdaten (inklusive ehemal ige Mitarbeitende und externe Dritte) durch die Bank Julius Bär & Co AG (Julius B är) an US-Behörden

I.

Der Eidgenössische Datenschutz- und Öffentlichkeits beauftragte stellt fest: 1. Genereller Sachverhalt:

Mehrere Schweizer Banken haben im Rahmen von laufenden Verhandlungen mit den US-Behörden sehr grosse Mengen an Dokumenten, die das Geschäft mit US-Kunden betreffen, an die dortigen Behörden übermittelt. In den Unterlagen sind auch die Namen von aktuellen und ehemaligen Mitarbeitenden sowie Dritten enthalten. Mehrere dieser betroffenen Personen haben sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gewandt. Der EDÖB war damals davon ausgegangen, dass es sich bei diesen Übermittlungen um eine einmalige Angelegenheit handelte und hat demzufolge die betroffenen Personen, die sich an ihn gewandt haben, über ihre Rechtsansprüche gemäss DSG informiert. Weiter wurden sowohl eine der betroffenen Banken, wie auch die Schweizerische Bankiervereinigung und die Vereinigung der Schweizer Privatbankiers schriftlich an die Einhaltung der Datenschutzprinzipien erinnert. Nachdem bekannt wurde, dass weitere Datenübermittlungen durch die Banken vorgenommen werden, hat der EDÖB zur Klärung der datenschutzrechtlichen Fragen am 17. August 2012 eine Sachverhaltsabklärung gemäss Art. 29 DSG eingeleitet und die betroffenen 11 Banken aufgefordert, bis zum Abschluss des Verfahrens keine weiteren Perso-

2/10

nendaten ausserhalb von konkreten Amts- bzw. Rechtshilfeverfahren mehr zu übermitteln.

1.1. Von sechs der betroffenen Banken erhielt der EDÖB dann die Bestätigung, dass bisher keine Übermittlungen von Personendaten an US-Behörden stattgefunden haben und auch keine solchen geplant seien bis zum Abschluss der Sachverhaltsabklärung.

1.2. Von den fünf anderen Banken kam die Antwort, dass Personendaten an US- Behörden geliefert worden seien, dass aber bis zu einem Gespräch mit dem EDÖB keine weiteren Lieferungen erfolgen würden.

1.3. In der Weiterführung seiner Sachverhaltsabklärung hat der EDÖB, mit Schreiben vom 24. August 2012, die Banken einerseits angewiesen Unterlagen (sämtliche relevante Korrespondenz mit den betroffenen Bundesämtern und den US-Behörden, Informationsschreiben an die Mitarbeitenden, Datenbearbeitungsreglemente, etc.) zuzustellen und andererseits Fragen (u.a. betreffend Rechtfertigungsgrund, Information der Mitarbeitenden, Auskunftsrecht, etc.) zu beantworten.

1.4. Im Rahmen seiner Abklärungen hat der EDÖB zwischen dem 29. August und dem 3. September 2012 mit dem Staatssekretariat für internationale Finanzfragen (SIF), der Finanzmarktaufsicht (FINMA) und dem Bundesamt für Justiz (BJ) Gespräche geführt. In diesen wurden dem EDÖB die Überlegungen erläutert, die zu den Beschlüssen des Bundesrates betreffend Kooperation der Banken mit US-Behörden geführt haben. Eine Übersicht über die erläuterten Schritte findet sich auf der Homepage des SIF unter http://www.sif.admin.ch/themen/00502/00783/index.html? lang=de.

1.5. Am 4. September 2012 wurden die betroffenen Banken durch den EDÖB empfangen. Dieser hat die Banken zum Schutz der betroffenen Personen als erste Massnahme zu einem transparenten Verhalten gegenüber den Mitarbeitenden angehalten. Dementsprechend haben sich die Banken mit Schreiben vom 6. September 2012 verpflichtet, während der laufenden Abklärungen, die Mitarbeitenden vor jeder weiteren Dokumentenlieferung an US-Behörden zu informieren, falls darin Namen von Mitarbeitenden enthalten sein sollten. Die Information hat in geeigneter Weise zu erfolgen. Insbesondere muss sie anführen, welche Kategorien von Dokumenten den US-Behörden offengelegt werden und aus welchem Zeitraum diese Dokumente stammen. Die jeweilige Bank hat dann den Mitarbeitenden eine angemessene Frist vor einer Dokumentenlieferung zu gewähren, um Auskunft darüber zu verlangen, ob ihr Name in den offenzulegenden Dokumenten vorkommt. Sie können ebenfalls Einsicht in die sie betreffenden Teile der Dokumente verlangen. Will eine Bank trotz eines allfälligen Widerspruchs eines Mitarbeitenden Dokumente ohne Abdeckung von dessen Namen liefern, hat sie auf eigene Verantwortung eine entsprechende Interessenabwägung vorzunehmen. Dies bedeutet, die Banken tragen damit weiterhin die volle zivilrechtliche Verantwortung für jede Übermittlung von Mitarbeiterdaten an die US-Behörden. Aufgrund dieser Verpflichtung beantragte der EDÖB keine vorsorglichen Massnahmen beim Bundesverwaltungsgericht.

1.6. Die betroffenen Banken haben die verlangten Dokumente geliefert und auf die entsprechenden Fragen geantwortet. In den Fällen, in denen die Unterlagen nicht aus-

3/10

reichten, um die Sachverhaltsfeststellung durchzuführen, wurde zudem ein Augenschein vor Ort durchgeführt.

2. Sachverhalt die einzelne Bank betreffend :

Julius Bär reichte dem EDÖB mit Datum vom 24. August und vom 10. September die verlangten Unterlagen ein und beantwortete den Fragekatalog. Nach der Auswertung der Antworten und Unterlagen lässt sich der Sachverhalt somit wie folgt feststellen:

2.1. Die Bank hat aufgrund eines Schreibens des Departement of Justice (DOJ) Geschäftsunterlagen zum US-Geschäft, in denen Mitarbeiternamen und Namen von Dritten enthalten waren, übermittelt. Dieser Schritt sei unternommen worden, da sich die Bank durch unkooperatives Verhalten zweifellos erheblichen Risiken ausgesetzt hätte.

2.2. Übermittelt worden seien Unterlagen, die die Kontobeziehungen mit sogenannten US-Personen betrefffen, unter anderem interne und externe Korrespondenz, Bankweisungen mit Bezug zu diesem Geschäft, Reiseberichte und Unterlagen. Unter anderem weil die US-Kunden sehr breit über die mehreren hundert Kundenberatern gestreut waren, resultiere eine entsprechend hohe Anzahl von betroffenen Personen. Bei den Personendaten, die übermittelt worden seien, handle es sich um Vorund Nachnamen von Mitarbeitenden und Dritten (inklusive Firma), wie sie z.B. in der E-Mail Adresse und in der Signatur erscheinen würden. Zu beachten sei dabei, dass insbesondere E-Mails meist mehrere bis viele Direktadressaten und Kopieadressaten aufweisen würden. Ferner seien Mitarbeitende (mit Vor- und Nachname und ev. Funktion) als Autoren von Weisungen und Präsentationen sowie als Teilnehmer oder als Vortragende an Sitzungen genannt. Es seien aber weder Listen mit Namen, noch Personaldossiers oder andere Persönlichkeitsprofile übermittelt worden.

Aufgrund der oben geschilderten Erkenntnisse seien Mitarbeitende identifiziert worden, welche einen materiellen Bezug zum Geschäft mit US-Kunden aufweisen bzw. aufwiesen. Danach seien in einem nächsten Schritt mittels geeigneter Suche (Suchbegriffe mit Bezug zum US-Offshore-Geschäft) die relevanten E-Mails dieser Mitarbeitenden durch spezialisierte, externe Anwälte identifiziert worden. Sämtliche E- Mails mit privatem oder irrelevantem Inhalt seien danach wieder ausgesondert worden.

2.3. Zusammen mit den relevanten Weisungen, Geschäftsleitungsprotokollen, (anonymisierter) Korrespondenz aus US-Kundenbeziehungen sowie Geschäftsberichten der Bank seien diese relevanten E-Mails entsprechend den, von den US-Behörden geforderten, Kategorien in chronologischer Weise zusammengestellt und übermittelt worden.

2.4. Das erste Mal habe die Julius Bär die Mitarbeitenden am 20. April 2012 via Intranet informiert, mit Hinweis, dass die Bank pro-aktiv auf Mitarbeitende zugehen werde, sollte die Offenlegung von Daten einen relevanten Einfluss auf die Situation einer bestimmten Person haben. Ferner seien alle Mitarbeitenden gebeten worden, sich bei Fragen an die zuständige Stelle in der Rechtsabteilung zu wenden, was auch zahlreich wahrgenommen worden sei. Weitere Informationen seien am 27. Juli 2012

4/10

erfolgt. Darüber hinaus habe man mehrere Informationsveranstaltungen für Mitarbeitende organisiert.

2.5. Auf Wunsch sei und werde auch weiterhin jedem Mitarbeitenden bekanntgegeben, ob sein Name auf den in die USA übermittelten Dokumenten erscheine. Es sei entsprechend auch Einsicht in die herausgegebenen Unterlagen gewährt worden. Drittpersonen seien und würden auch weiterhin auf Anfrage ebenfalls darüber informiert, ob ihr Name in den übermittelten Daten enthalten sei. Eingehende Anfragen von Drittparteien würden ebenfalls durch die Rechtsabteilung behandelt. Wobei wiederum zuerst festgestellt werde, ob eine Person überhaupt betroffen sei. Je nach Situation und Anfrage würden danach die Daten offengelegt und mit den zuständigen Personen der Bank besprochen.

II.

Erwägungen des Eidgenössischen Datenschutz- und Öff entlichkeitsbeauftragten: 1. In den Dokumenten, die von den Banken an die US-Behörden übermittelt wurden, sind Namen und Vornamen, E-Mail Adressen und Telefonnummern von aktiven und ehemaligen Mitarbeitenden sowie externen Dritten aufgeführt. Diese Daten beziehen sich auf bestimmte Personen. Es handelt sich somit um Personendaten gemäss Art. 3 Bst. a DSG. Werden diese Personendaten zugänglich gemacht, das heisst wird Einsicht gewährt, werden sie weitergegeben oder veröffentlicht, handelt es sich um eine Bekanntgabe nach Art. 3 Bst. f DSG. Die Personendaten wurden durch die Bank an US-Behörden übermittelt. Dies stellt eine Bekanntgabe dar.

2. Die Voraussetzungen für das Eröffnen einer Sachverhaltsabklärung sind gegeben, da die Bearbeitungsmethoden grundsätzlich geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Art. 29 Abs. 1 Bst. a DSG). Der EDÖB ist dazu berechtigt, den Sachverhalt näher abzuklären und gestützt auf Art. 29 Abs. 3 DSG zu empfehlen, die Datenbearbeitung zu ändern, einzustellen oder zu unterlassen.

Rechtmässigkeit der Datenbearbeitung/Rechtfertigung sgrund 3. Wer gemäss Art. 12 DSG Personendaten bearbeitet, darf dabei die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen. Er darf dabei insbesondere nicht Personendaten entgegen den Grundsätzen der Artikel 4, 5 Abs. 1 und 7 Abs. 1 DSG bearbeiten. Zudem dürfen Personendaten nach Art. 6 DSG nicht ins Ausland übermittelt werden, wenn die Möglichkeit einer Persönlichkeitsverletzung besteht, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet. Im vorliegenden Fall wurden Dokumente, die Personendaten wie Namen, Vornamen, E-Mail Adressen und Telefonnummern von aktiven und ehemaligen Mitarbeitenden, sowie externen Dritten enthalten, durch die Banken an die US-Behörden übermittelt. Es stellt sich somit die Frage, ob durch dieses Vorgehen eine Persönlichkeitsverletzung stattgefunden hat und ob diese allenfalls durch einen Rechtfertigungsgrund nach Art. 13 DSG gerechtfertigt werden kann. Zudem muss untersucht werden, ob eine der Voraussetzungen gemäss Art. 6 Abs. 2 DSG vorliegt, unter welcher Personendaten auch in ein Land übermittelt werden können, das keinen angemessenen Datenschutz gewährleistet.

5/10

4. Eine Verletzung der Persönlichkeit ist gemäss Art. 13 DSG widerrechtlich, wenn sie nicht durch Einwilligung des Verletzten, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist. Eine Einwilligung der betroffenen Personen sowie eine gesetzliche Grundlage liegt offensichtlich nicht vor. Grundsätzlich ist anzumerken, dass im Arbeitsbereich die Freiwilligkeit einer Einwilligung nur in Ausnahmefällen angenommen werden kann. Im vorliegenden Fall könnte klarerweise nicht von der Freiwilligkeit der Einwilligung ausgegangen werden. Es kommen somit nur die Rechtfertigungsgründe des überwiegenden privaten oder öffentlichen Interesses in Frage.

5. Konkret macht die Bank geltend, dass ohne eine Übermittlung der Dokumente (die auch Personendaten beinhalten), wie sie von den US-Behörden gefordert wurde und wird, die zur Abwendung einer für die Bank existenzbedrohenden Strafklage in den USA notwendige Kooperation mit den US-Behörden nicht möglich wäre. Als Beispiel dafür wird die kürzlich aufgelöste Bank Wegelin vorgebracht, welche im Januar 2012 von den USA angeklagt wurde. Die Bank beruft sich bei ihrer Argumentation auch auf einen früheren Bundesgerichtsentscheid, in dem das Gericht die Auffassung vertrat, dass im Falle einer damaligen Anklage gegen die UBS, dies mit hoher Wahrscheinlichkeit existenzbedrohende Folgen gehabt hätte. Wie hinlänglich bekannt sei, führe eine Anklageerhebung in den USA, unabhängig von ihrem Ausgang, für das betroffene Unternehmen zu einem nichtwiedergutzumachenden Reputations- und Vermögensverlust, der im Bankenbereich verheerende Folgen habe und rasch zu einer Überschuldung führe (BGE 137 II 431, E.4.3.1, S. 447).

6. Damit ein überwiegendes privates oder öffentliches Interesse angenommen werden kann, müssen gewisse Anforderungen erfüllt sein. Ob ein Rechtfertigungsgrund gegeben ist, muss aufgrund der konkreten Umstände im Einzelfall anhand einer sorgfältigen Interessensabwägung entschieden werden (Urteil der EDSK vom 21. November 1996, VPB 62.42B, E. V 1b). Als schützenswerte Interessen können hierbei alle „Interessen von allgemein anerkanntem Wert“ angesehen werden (A. Bucher, natürliche Personen, S. 536 in Basler Kommentar zum DSG Corrado Rampini zu Art. 13 DSG Rz. 22). Bei der Interessenabwägung sind insbesondere die Sensitivität der bearbeiteten Personendaten sowie das Verletzungspotential der Datenbearbeitung zu beachten.

7. Aufgrund der Schilderungen der Julius Bär einerseits und der verschiedenen involvierten Bundesämter andererseits, können wir das Interesse der Julius Bär an der Abwehr einer Strafanklage der USA grundsätzlich nachvollziehen. Welche Gefahr eine Anklage der US-Behörden für eine Bank darstellen würde, ist mittlerweile bekannt. Weiter geht aus den verschiedenen Unterlagen und Erläuterungen hervor, dass vor einer direkten Lieferung von Dokumenten ohne Schwärzung der Personendaten aktueller und ehemaliger Mitarbeitenden sowie weiterer Dritter versucht wurde, die Dokumente über Rechts- und Amtshilfeverfahren zu übermitteln. Die mit der Gewährung der Amts- und/oder Rechtshilfe in dieser Angelegenheit von den Schweizer Behörden gestellten Bedingungen und verlangten Zusicherung seitens der US-Behörden wurde aber von den US-Behörden nicht akzeptiert.

8. Gegen das private Interesse der Bank sind die Interessen der betroffenen Personen (ehemalige und jetzige Mitarbeitende und Dritte) abzuwägen. Diese bestehen im Schutz der Privatsphäre bzw. der persönlichen Freiheit. So besteht die Angst, durch die Übermittlung des eigenen Namens und E-Mails, in den USA allenfalls strafrechtlich belangt zu

6/10

werden. Zudem besteht die Gefahr, dass betroffene Personen aufgrund dieser Übermittlung keine neue Anstellung mehr finden.

9. Die Banken machen weiter geltend, dass durch einen allfälligen Konkurs einer der betroffenen Banken, nicht nur die Bank selbst, sondern auch die Schweiz als Finanzplatz gefährdet wäre. Dies umso mehr, wenn es sich um eine systemrelevante Bank handeln würde. Zudem werde auch politisch nach einer Globallösung gesucht, die für alle Banken gelten soll. Aus diesem Grunde habe der Bundesrat den Banken auch die Bewilligung nach Art. 271 StGB für eine straflose direkte Datenübermittlung erteilt, nachdem die vorherigen Datenübermittlungen im Rahmen von Amts- und Rechtshilfeverfahren von den US-Behörden nicht akzeptiert worden seien.

10. Aufgrund der Ausführungen der Julius Bär und der involvierten Bundesämter, können wir die Interessen der Julius Bär an der Abwehr einer Strafanklage der USA grundsätzlich nachvollziehen, dies auch im öffentlichen Interesse der Sicherung des schweizerischen Finanzplatzes. Welche Gefahr eine Anklage der US-Behörden für die Schweiz und den Finanzplatz darstellen kann, wurde im vorher genannten Bundesgerichtsentscheid (BGE 137 II 431) ausgeführt. Darauf gestützt kann durchaus ein öffentliches Interesse begründet werden, obschon der Sachverhalt, der dem genannten Entscheid zugrunde liegt, nur beschränkt mit der vorliegenden Übermittlung verglichen werden kann. Weiter geht aus den verschiedenen Unterlagen und Erläuterungen hervor, dass vor einer direkten Lieferung Dokumente ohne Schwärzung der Personendaten aktueller und ehemaliger Mitarbeitenden und weiterer Dritter versucht wurde, die Dokumente über Rechts- und Amtshilfeverfahren zu übermitteln. Dies wurde aber von den US-Behörden nicht akzeptiert, weshalb der Bundesrat, mit Entscheid vom 4. April 2012, den Banken erlaubte ohne strafrechtliche Konsequenzen, ihre Geschäftsunterlagen direkt an die US-Behörden zu übermitteln. Diese Bewilligung kann aber nicht als Rechtfertigungsgrund nach DSG akzeptiert werden. Zumal der Bundesrat, gemäss den uns vorliegenden Informationen, den Banken gegenüber ausdrücklich festgehalten hat, dass das Einhalten von datenschutzrechtlichen Bestimmungen auch mit dieser Bewilligung in der Verantwortung der betroffenen Banken liegt. Jedoch kann das Vorgehen des Bundesrates dahingehend gewertet werden, dass grundsätzlich ein Interesse der Regierung an einem kooperativen Verhalten der Banken zur Abwehr von Anklagen bestand, was wiederum für ein öffentliches Interesse sprechen würde. Diese Beurteilung wurde im Übrigen auch vom SIF, der FINMA und dem BJ geteilt. Demgegenüber sind aber auch die Interessen der betroffenen Personen sehr wohl vorhanden und verständlich, zumal diese teilweise weder von der Übermittlung ihrer Namen wussten, noch die Auswirkungen dieser Übermittlung abgeschätzt werden kann.

11. Gemäss Art. 6 Abs. 2 DSG dürfen Personendaten nur unter gewissen Voraussetzungen in ein Land bekannt gegeben werden, in welchem eine Gesetzgebung fehlt, die einen angemessenen Datenschutz gewährleistet. Die USA gelten gemäss der Staatenliste des EDÖB als Land ohne angemessenen Schutz. Für eine datenschutzkonforme Übermittlung muss dementsprechend eine der Voraussetzungen nach Art. 6 Abs. 2 DSG erfüllt sein. Im vorliegenden Fall kommt nur die Voraussetzung des Art. 6 Abs. 2 Bst. d DSG in Frage. Eine Bekanntgabe ist erlaubt, wenn diese im Einzelfall entweder für die Wahrung eines überwiegenden öffentlichen Interesses oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht unerlässlich ist. Vorliegend kommt nur die Wahrung überwiegender öffentlicher Interessen in Betracht. Nicht gefolgt werden kann der Argumentation der Bank betreffend die Voraussetzung der Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht, da es sich bisher nur um

7/10

die Androhung einer allfälligen Anklage handelt und demnach nicht um die Geltendmachung oder die Verteidigung eines Anspruchs bzw. Rechts vor Gericht. Eine Einwilligung nach Abs. 2 lit. b DSG kommt nicht in Frage, da die Definition der freiwilligen Einwilligung im Arbeitsbereich dagegen spricht (siehe Ziffer 4) Das Vorliegen eines überwiegenden privaten Interesses kann im Rahmen von Artikel 6 Absatz 2 DSG nicht geltend gemacht werden.

12. Die Interessenabwägung, die hier vorliegend durch den EDÖB durchgeführt wird, bezieht sich jedoch nicht auf Einzelfälle, sondern auf die Datenübermittlung als Ganzes. In diesem Rahmen kann nach den Erläuterungen der involvierten Bank und der involvierten Bundesorgane von einem überwiegend öffentlichen Interesse der Banken ausgegangen werden. Nichtsdestotrotz müssen die Interessen der betroffenen Mitarbeitenden beachtet und gewichtet werden. Dabei handelt es sich vor allem um die Information der betreffenden Mitarbeitenden und um die Einsicht in die sie betreffenden Dokumente. Dies wird in den folgenden Ziffern näher erläutert. Zudem bleibt anzumerken, dass neben dieser generellen Interessenabwägung durch den EDÖB Raum für die individuelle Interessenabwägung im Einzelfall bleibt.

Treu und Glauben sowie Transparenzprinzip

13. Gemäss Art. 12 Abs. 2 Bst. a DSG begeht eine Persönlichkeitsverletzung, wer Personendaten unter anderem entgegen den Grundsätzen von Art. 4 DSG bearbeitet. Zwar wurde in der vorhergehenden Ziffer ein Rechtfertigungsgrund für die Datenübermittlung bejaht, was jedoch nicht bedeutet, dass die Daten entgegen den Prinzipien des Datenschutzgesetzes bearbeitet werden dürfen. Dies gilt auch für eine Bekanntgabe ins Ausland nach Art. 6 DSG. Die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung müssen für die betroffenen Personen erkennbar sein.

14. Die Bearbeitung von Personendaten muss nach Treu und Glauben erfolgen (Art. 4 Abs. 2 DSG). Daten sollen nicht in einer Art erhoben und bearbeitet werden, mit der die betroffene Person aus den Umständen heraus nicht rechnen musste und mit der sie nicht einverstanden gewesen wäre. Gegen diesen Grundsatz verstösst beispielsweise derjenige, der Daten nicht offen bearbeitet, ohne dabei gegen eine Rechtsnorm zu verstossen (Botschaft DSG BBl 1988 II 449). Demzufolge muss eine Datenbearbeitung für die betroffenen Personen transparent erfolgen. Dies bedeutet gemäss Art. 4 Abs. 4 DSG, dass für betroffene Personen die Datenbeschaffung und jede weitere Datenbearbeitung (BSK- DSG, Urs Maurer-Lambrou/Andrea Steiner, Art. 4 N 8), der Zweck jeder (weiteren) Datenbearbeitung, die Identität des Datenbearbeiters und – bei einer Datenbekanntgabe an Dritte – die Kategorien von möglichen Datenempfängern erkennbar sein müssen (Botschaft DSG BBl 2003 2125). Auch die Beschaffung von Personendaten bei Dritten muss erkennbar sein (Botschaft DSG BBl 2003 2126).

Die Anforderungen, welche an die Erkennbarkeit gestellt werden, sind nach den Umständen sowie den Grundsätzen der Verhältnismässigkeit und von Treu und Glauben zu beurteilen (Botschaft DSG BBl 2003 2125). Unter dem Gesichtspunkt der Verhältnismässigkeit ist zu prüfen, in welchem Mass die betroffene Person auf die wesentlichen Rahmenbedingungen der Beschaffung aufmerksam gemacht werden muss, welche Mittel dem Inhaber der Datensammlung zur Verfügung stehen, um diese Rahmenbedingungen erkennbar zu machen, und in welchem Umfang von ihm erwartet werden kann, dass er

8/10

diese Mittel auch einsetzt, namentlich unter Berücksichtigung ihrer Kosten und ihrer Wirksamkeit.

15. Die Julius Bär hat die Mitarbeitenden via Intranet und an Informationsveranstaltungen über die erfolgte Lieferung informiert. Aus den uns eingereichten Antworten und Unterlagen geht nicht klar hervor, ob die Julius Bär die Mitarbeitenden bisher jeweils vor oder nach einer Übermittlung informiert hat. Die Bank hat sich jedoch am 6. September 2012 gegenüber dem EDÖB verpflichtet, während der laufenden Sachverhaltsabklärung die Mitarbeitenden im Voraus über eine Datenübermittlung zu informieren. Damit kann sie dem Transparenzprinzip nachkommen. Für zukünftige Datenübermittlungen muss die Bank somit weiterhin die Mitarbeitenden vorzeitig über den Umfang und die Art der Dokumente, sowie den Zeitraum, aus dem sie stammen, informieren. Diese Information hat mit einer angemessenen Frist vor einer jeweiligen Übermittlung zu erfolgen. Zudem muss die Information so erfolgen, dass sie geeignet ist, die potentiell betroffenen Personen zu erreichen.

16. Des Weiteren stellt sich die Frage, wie die Information an ehemalige Mitarbeitende und externe Dritte zu erfolgen hat. Diese haben gemäss DSG grundsätzlich das gleiche Anrecht auf Information wie aktuelle Mitarbeitende. Soweit zumutbar, müssen demnach sämtliche Personen vor einer Übermittlung informiert werden, die von dieser betroffen sind.

Auskunftsrecht

17. Gemäss Art. 8 DSG kann jede Person vom Inhaber einer Datensammlung Auskunft darüber verlangen, ob und welche Daten über sie bearbeitet werden. 18. Gemäss Art. 3 Bst. g DSG gilt als Datensammlung jeder Bestand von Personendaten, der so aufgebaut ist, dass die Daten nach betroffenen Personen erschliessbar sind. Eine Datensammlung im Sinne des Gesetzes ist ein Bestand von Daten, der auf mehr als eine Person Bezug nimmt. Sie kann ganz unterschiedlich organisiert und aufgebaut sein. Datenschutzrechtlich entscheidend ist, dass die zu einer bestimmten Person gehörenden Daten auffindbar sind (Botschaft DSG, BBl 1988 II 447).

19. Den betroffenen Personen ist demnach das Auskunftsrecht nach Art. 8 DSG zu gewähren. Einschränkungen können unter den Voraussetzungen von Art. 9 DSG durch die Bank geltend gemacht werden, z.B. dass überwiegende Interessen von Dritten vorliegen. Diese Einschränkung müsste jedoch im Einzelfall durch die Bank begründet werden.

20. Die Julius Bär führt aus, dass sie dem Auskunftsrecht nach Art. 8 DSG selbstverständlich nachkommt. Nicht konkret äussert sie sich dazu, ob den betroffenen Personen Kopien der sie betreffenden Dokumente abgegeben werden. In Art. 8 Abs. 5 DSG heisst es aber, dass die Auskunft in der Regel schriftlich, in Form eines Ausdrucks oder einer Fotokopie sowie kostenlos zu erteilen ist. Es handelt sich um eine Frage der Modalität des Auskunftsrechts nach Art. 1 der Verordnung zum Datenschutzgesetz (VDSG, SR 235.11). Darin heisst es in Abs. 3, dass im Einvernehmen mit dem Inhaber der Datensammlung oder auf dessen Vorschlag hin, die betroffene Person ihre Daten auch an Ort und Stelle einsehen kann. Zur Klärung der Rechtslage hält der EDÖB hierzu fest: Im Rahmen von Art. 8 DSG geht es vor allem darum, dass die betroffenen Personen Zugang zu allen Do-

9/10

kumenten und Informationen haben, die ihre Person betreffen. Gleichzeitig sprechen allenfalls andere gesetzliche Grundlagen, wie das Bankgeheimnis nach Bankengesetz, gegen eine Abgabe von Kopien. Zudem dürfte es den Mitarbeitenden gemäss Vertrag und internen Weisungen klar sein, dass sie grundsätzlich keine Kopien von internen Dokumenten nach Hause nehmen dürfen.

21. Betreffend bisherige Übermittlungen ist demnach hier festzuhalten, dass ungeachtet des bisherigen Vorgehens der Bank, den betroffenen Personen das Auskunftsrecht nach Art. 8 DSG, in die über sie bearbeiteten Daten, vollumfänglich zu gewähren ist.

22. Für die zukünftigen Übermittlungen gilt folgendes Vorgehen: Durch eine vorgehende Information der Mitarbeitenden wie sie in Ziffer 13 ff. beschrieben wird, hat die betroffene Person die Möglichkeit, über die sie betreffenden Daten, Auskunft zu verlangen. Dabei muss sie Zugang zu sämtlichen Dokumenten erhalten, die Daten über sie enthalten. Will die Person nach dieser Auskunft gegen die Übermittlung ihrer Daten opponieren, muss die Bank nochmals eine auf den Einzelfall bezogene Güterabwägung durchführen. Will die Bank danach die Dokumente trotzdem ohne Schwärzung des Namens übermitteln, muss die Julius Bär die betroffene Person darüber informieren und über ihre Rechte aufklären. Damit bleibt der betroffenen Person die Möglichkeit, ihre Rechte wahrzunehmen.

23. Der tatsächlich erfolgte Antrag für vorsorgliche Massnahmen eines Mitarbeiters von einer der involvierten Banken bei einem Gericht in Genf zeigt, dass durch eine vorgehende Information durch die Bank, dem Mitarbeitenden die Möglichkeit bleibt, seine individuellen Rechte wahrzunehmen.

III.

Aufgrund dieser Erwägungen empfiehlt der Eidgenössische Datenschutz- und Öffentlichkeits beauftragte:

1. In Bezug auf die bereits erfolgten Datenlieferungen gewährt die Julius Bär den betroffenen Personen (aktuelle und ehemalige Mitarbeitende sowie externe Dritte) das Auskunftsrecht gemäss Artikel 8 DSG im Sinne der Erwägungen. 2.1 In Bezug auf jede zukünftige Datenlieferung an US-Behörden informiert die Julius Bär gemäss Art. 4 Abs. 2 und 4 DSG im Voraus die betroffenen Personen über Umfang und Art der Dokumente, die übermittelt werden sollen sowie über den Zeitraum aus dem sie stammen. Bei ehemaligen Mitarbeitenden und externen Dritten hat die Julius Bär diese Information vorzunehmen, sofern dies mit einem verhältnismässigen Aufwand möglich ist. 2.2 Die Julius Bär gewährt den betroffenen Personen eine angemessene Frist, um gemäss Art. 8 DSG Auskunft über sämtliche, sie betreffende Dokumente zu erhalten.

10/10

2.3 Spricht sich eine betroffene Person gegenüber der Julius Bär gegen die Übermittlung von Dokumenten aus, die ihren Namen enthalten, so nimmt die Julius Bär eine Interessenabwägung für den konkreten Einzelfall vor. Will die Julius Bär dann die Dokumente trotzdem ohne Schwärzung des Namens übermitteln, muss sie die betroffene Person darüber informieren und über ihre Rechte aufklären.

Die Julius Bär teilt dem EDÖB innerhalb von 14 Tagen ab Erhalt dieser Empfehlung mit, ob sie die Empfehlung annimmt oder ablehnt. Wird diese Empfehlung nicht befolgt oder abgelehnt, so kann der EDÖB die Angelegenheit dem Bundesverwaltungsgericht zum Entscheid vorlegen (Art. 29 Abs. 4 DSG). Es ist vorgesehen, dass die vorliegende Empfehlung in Anwendung von Art. 30 Abs. 2 DSG publiziert wird.

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Hanspeter Thür