2015/13 Datenschutz. Amtshilfe (DBA-USA)
176 BVGE / ATAF / DTAF
13 Auszug aus dem Urteil der Abteilung I i.S. A. und X. Corporation gegen Eidgenössische Steuerverwaltung, Dienst für Informationsaustausch in Steuersachen A‒1204/2014 vom 23. April 2015 Internationale Amtshilfe in Steuersachen. Datenschutz. Vernichtung zu Unrecht erhobener Daten. Art. 2 Abs. 2 Bst. c, Art. 4, Art. 5 Abs. 1 und Art. 25 Abs. 3 Bst. a DSG. Art. 6 und Art. 8 Abs. 1 BGA. Daten, die in einem Verfahren der internationalen Amtshilfe in Steuersachen erhoben wurden, sind zu vernichten, wenn das Bundesverwaltungsgericht auf Beschwerde hin zum Schluss kommt, dass auf das Amtshilfegesuch, aufgrund dessen die Daten erhoben wurden, nicht hätte eingetreten werden dürfen (E. 3). Das DSG ist in einem solchen Verfahren anwendbar (E. 3.2). Assistance administrative internationale en matière fiscale. Protection des données. Destruction de données collectées à tort. Art. 2 al. 2 let. c, art. 4, art. 5 al. 1 et art. 25 al. 3 let. a LPD. Art. 6 et art. 8 al. 1 LAr. Les données collectées dans le cadre d'une procédure d'assistance administrative internationale en matière fiscale doivent être détruites lorsque, sur recours, le Tribunal administratif fédéral arrive à la conclusion qu'il n'aurait pas dû être entré en matière sur la demande d'assistance (consid. 3). La LPD s'applique à une telle procédure (consid. 3.2). Assistenza amministrativa internazionale in materia fiscale. Protezione dei dati. Distruzione di dati acquisiti ingiustamente. Art. 2 cpv. 2 lett. c, art. 4, art. 5 cpv. 1 e art. 25 cpv. 3 lett. a LPD. Art. 6 e art. 8 cpv. 1 LAr. Se in sede ricorsuale il Tribunale amministrativo federale stabilisce che non si sarebbe dovuto entrare nel merito di una domanda di assistenza amministrativa internazionale in materia fiscale, i dati acquisiti in virtù di tale domanda devono essere
Datenschutz. Amtshilfe (DBA-USA) 2015/13
BVGE / ATAF / DTAF 177
distrutti (consid. 3). La LPD si applica ad un tale procedimento (consid. 3.2).
Am 1. Oktober 2013 reichten A. und die X. Corporation (nachfolgend: Beschwerdeführende) beim Bundesverwaltungsgericht eine Beschwerde gegen eine Schlussverfügung der Eidgenössischen Steuerverwaltung (ESTV) ein, welche gestützt auf ein Amtshilfegesuch der Steuerbehörde (Internal Revenue Service [IRS]) der USA vom 17. April 2013 erlassen worden war. Diese Beschwerde hiess das Bundesverwaltungsgericht mit Urteil A‒3395/2014 vom 7. Juli 2014 gut. Mit Hinweis auf ein anderes, sich auf dasselbe Amtshilfegesuch beziehendes Verfahren, hielt es fest, auf das Gesuch hätte nicht eingetreten werden dürfen. Währenddessen reichten die Beschwerdeführenden bei der ESTV am 20. Januar 2014 unter anderem ein Ersuchen um Datenlöschung/Datensperrung der im Amtshilfeverfahren erhobenen, sie betreffenden Daten ein. Die ESTV wies das Gesuch um Vernichtung beziehungsweise Rückgabe der Bankunterlagen mit Verfügung vom 5. Februar 2014 ab und trat in derselben Verfügung auf das Gesuch um Datensperrung nicht ein. Gegen diese Verfügung erhoben die Beschwerdeführenden mit Eingabe vom 10. März 2014 Beschwerde an das Bundesverwaltungsgericht. Diesbezüglich beantragen sie, die Verfügung vom 5. Februar 2014 aufzuheben und das Datenlöschungsersuchen vom 20. Januar 2014 in dem Sinn gutzuheissen, dass die Personendaten und Bankunterlagen, welche sie (die Beschwerdeführenden) beträfen und die im Rahmen des sie betreffenden Geschäfts durch die ESTV bearbeitet worden seien, unverzüglich zu vernichten seien. Sofern die Daten in physischer Form bei der ESTV bearbeitet worden seien, seien diese der betreffenden Bank unverzüglich zurückzugeben. Das Bundesverwaltungsgericht heisst die Beschwerde – soweit sie nicht gegenstandslos geworden ist – gut. Aus den Erwägungen: 3. Es gilt somit, auf das Rechtsbegehren 2 der Beschwerdeführenden einzugehen, welches sich auf die Verfügung vom 5. Februar 2014 betreffend Datenlöschung bezieht.
2015/13 Datenschutz. Amtshilfe (DBA-USA)
178 BVGE / ATAF / DTAF
3.1 3.1.1 Die Beschwerdeführenden verlangen die unverzügliche Vernichtung von Personendaten und Bankunterlagen (und dass bis zur Vernichtung jede weitere Datenbearbeitung unterlassen werde), allenfalls deren Rückgabe an die Bank Z. beziehungsweise deren Sperrung. Sie stützen sich dabei auf das DSG (SR 235.1) und das auch dort zur Anwendung kommende Verhältnismässigkeitsprinzip. Ferner ziehen sie aus Art. 8 Abs. 2 des Steueramtshilfegesetzes vom 28. September 2012 (StAhiG, SR 672.5) den Umkehrschluss, dass Personendaten, welche in Verletzung dieses Artikels gesammelt wurden, der Bank zurückzugeben sind. Sie machen geltend, die Erhebung und Aufbewahrung der Daten sei – aufgrund des ungenügenden Amtshilfegesuchs – zu Unrecht erfolgt. 3.1.2 Die ESTV stellt sich in der angefochtenen Verfügung – die vor dem Urteil des Bundesgerichts im Verfahren 2C_54/2015 vom 22. Juni 2015 ergangen ist – auf den Standpunkt, das Urteil des Bundesverwaltungsgerichts A‒5390/2013 vom 6. Januar 2014 habe keine Auswirkungen auf das Verfahren der Beschwerdeführenden und die Daten seien deshalb zu Recht erhoben worden. Selbst wenn keine Amtshilfe geleistet würde, dürften die Daten nicht vernichtet werden, sondern wären dem Bundesarchiv zur Aufbewahrung anzubieten. Dabei stützt sie sich auf Art. 6 Abs. 1 des Archivierungsgesetzes vom 26. Juni 1998 (BGA, SR 152.1) und auf Art. 6 in Verbindung mit Art. 1 Abs. 1 Bst. b und Art. 2 des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 1997 (RVOG, SR 172.010). Zudem ist die Vorinstanz der Meinung, aufgrund des Devolutiveffekts und des Weiterzugs der Schlussverfügung vom 23. August 2013 ans Bundesverwaltungsgericht beziehungsweise des Weiterzugs von dessen Urteil ans Bundesgericht sei sie in der Sache nicht mehr zuständig, auch nicht zur Behandlung des Begehrens um Datensperrung. 3.2 Im Folgenden ist zunächst die Anwendbarkeit des DSG zu prüfen (E. 3.2). Ist dieses anwendbar, gilt es festzustellen, welche dessen relevante Bestimmungen sind (E. 3.3). Anschliessend sind die Bestimmungen auf den konkreten Fall anzuwenden (E. 3.4). 3.2.1 Art. 2 Abs. 2 Bst. c DSG bestimmt, dass das DSG unter anderem nicht auf Verfahren der internationalen Rechtshilfe sowie auf staats- und verwaltungsrechtliche Verfahren anwendbar ist, mit Ausnahme erstinstanzlicher Verwaltungsverfahren. Das Bundesverwaltungsgericht hielt seinerzeit dazu fest, dass diese Sonderregelung auf der Idee beruhe, dass in den in Art. 2 Abs. 2 Bst. c DSG geregelten Bereichen der
Datenschutz. Amtshilfe (DBA-USA) 2015/13
BVGE / ATAF / DTAF 179
Persönlichkeitsschutz durch spezialgesetzliche Verfahrensnormen hinreichend gesichert sei. Nach der Rechtsprechung des Bundesgerichts gelte dies für den Bereich der Amtshilfe allerdings nicht im gleichen Masse. Die Amtshilfe könne demnach diesbezüglich nicht einfach aus Praktikabilitätsgründen mit der internationalen Rechtshilfe in Zivil- und Strafsachen gleichgesetzt werden (BGE 126 II 126 E. 5a/aa zur Amtshilfe im Bereich des Börsenrechts). Die in jenen Verfahren anwendbaren Bestimmungen sahen keinen weitreichenden Persönlichkeitsschutz vor, weshalb das Bundesverwaltungsgericht zum Schluss kam, das DSG sei im Bereich der Amtshilfe grundsätzlich anwendbar (statt vieler: Urteil des BVGer A‒6242/2010 vom 11. Juli 2011 E. 10.2). 3.2.2 Im vorliegenden Verfahren gelten andere Rechtsgrundlagen als jene, aufgrund deren die eben erwähnten Urteile des Bundesverwaltungsgerichts ergingen. Jenen lagen das Abkommen vom 19. August 2009 zwischen der Schweizerischen Eidgenossenschaft und den Vereinigten Staaten von Amerika über ein Amtshilfegesuch des Internal Revenue Service der Vereinigten Staaten von Amerika betreffend UBS AG, einer nach schweizerischem Recht errichteten Aktiengesellschaft (in der von der Bundesversammlung am 17. Juni 2010 genehmigten Fassung, SR 0.672.933.612) – wobei das Abkommen vom 2. Oktober 1996 zwischen der Schweizerischen Eidgenossenschaft und den Vereinigten Staaten von Amerika zur Vermeidung der Doppelbesteuerung auf dem Gebiete der Steuern vom Einkommen (SR 0.672.933.61, nachfolgend: DBA-USA 96) anwendbar war, soweit das Abkommen keine abweichenden Bestimmungen enthielt (vgl. BVGE 2010/40 E. 6.2.2) – und die Verordnung vom 15. Juni 1998 zum schweizerisch-amerikanischen Doppelbesteuerungsabkommen vom 2. Oktober 1996 (SR 672.933.61) zugrunde, während im vorliegenden Verfahren das DBA-USA 96 in seiner ursprünglichen Fassung sowie das StAhiG anwendbar sind. Das DBA-USA 96 enthält ‒ soweit hier interessierend – keine Datenschutzbestimmungen. Die Frage, wie mit den – nun einmal – erhobenen Daten innerstaatlich umzugehen ist, beantwortet sich mangels Bestimmungen im DBA-USA 96 somit einzig nach dem innerstaatlichen Recht. Im StAhiG finden sich datenschutzrechtliche Bestimmungen. So ist insbesondere die Übermittlung von Informationen zu Personen, die nicht vom Ersuchen betroffen sind, unzulässig (Art. 4 Abs. 3 StAhiG). Es fragt sich daher, ob an der genannten Rechtsprechung, dass das Datenschutzgesetz im Bereich der Amtshilfe grundsätzlich anwendbar ist, festgehalten werden kann.
2015/13 Datenschutz. Amtshilfe (DBA-USA)
180 BVGE / ATAF / DTAF
3.2.3 Die genannten Bestimmungen des StAhiG regeln den Datenschutz in der Steueramtshilfe nur punktuell. Der so gewährte Schutz ist keinesfalls umfassend. Insbesondere fehlen Bestimmungen, die auf die vorliegend gestellten Fragen angewendet werden könnten, nämlich dazu, ob Daten wie die vorliegenden aufzubewahren oder zu vernichten seien und, wenn aufzubewahren, durch wen. Entgegen der Auffassung der Beschwerdeführenden kann aus Art. 8 Abs. 2 StAhiG nicht der Umkehrschluss gezogen werden, dass zu Unrecht erhobene Daten den dort genannten Instituten wieder zurückzugeben seien; dieser Absatz befasst sich nur mit der Informationsbeschaffung, nicht mit der Rückgabe von Daten. Die Beschwerdeführenden selbst beziehen sich andernorts auf das DSG. Dieses enthält – im Gegensatz zum StAhiG – Bestimmungen zu den von ihnen aufgeworfenen Fragen. Ob das StAhiG oder das DSG vorgeht – entsprechend dem Grundsatz, dass das DSG anderen Erlassen mit Datenschutzbestimmungen vorgeht, es sei denn, diese enthielten strengere Bestimmungen (MAURER-LAMBROU/KUNZ, in: Basler Kommentar, Datenschutzgesetz, 3. Aufl. 2014, Art. 2 DSG N. 2, nachfolgend: Kommentar DSG; vgl. auch BGE 128 II 311 E. 8.4) – muss vorliegend somit nicht geklärt werden. Dazu kommt, dass das Amtshilfeverfahren als solches in dem Sinn abgeschlossen ist, dass keine Amtshilfe gewährt wird (…). Im konkreten Fall stehen damit auch Einschränkungen, welche die Natur eines Amtshilfeverfahrens beim Datenschutz allenfalls zulässt, nicht entgegen. 3.2.4 Schliesslich stellt sich die hier interessierende Frage in einem erstinstanzlichen Verwaltungsverfahren, weshalb das DSG aufgrund der doppelten Ausnahmeklausel in Art. 2 Abs. 2 Bst. c DSG anwendbar ist. 3.2.5 Die anstehenden Fragen sind somit aufgrund des DSG zu beantworten. 3.3 3.3.1 Das DSG dient dem verfassungsrechtlichen Schutz der Privatsphäre (vgl. Art. 1 DSG; FRANK SEETHALER, in: Kommentar DSG, Entstehungsgeschichte, N. 12 vor Art. 1 DSG; RAINER J. SCHWEIZER, in: Die Schweizerische Bundesverfassung, St. Galler Kommentar, 2. Aufl. 2008, Art. 13 Abs. 2 Rz. 37). Personendaten beziehungsweise « Daten » im Sinn des Datenschutzgesetzes sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 3 Bst. a DSG; vgl. BGE 136 II 508 E. 3.2 m.H.). Dabei kann es sich sowohl um Tatsachenfeststellungen als auch um Werturteile handeln. Entscheidend ist, dass sich
Datenschutz. Amtshilfe (DBA-USA) 2015/13
BVGE / ATAF / DTAF 181
die Angaben einer oder mehreren bestimmten Personen zuordnen lassen (vgl. GABOR P. BLECHTA, in: Kommentar DSG, Art. 3 DSG N. 4). « Bearbeiten » bedeutet laut Datenschutzgesetz jeder Umgang mit Personendaten, insbesondere das Beschaffen, Aufbewahren, Verwenden und Bekanntgeben von Daten (Art. 3 Bst. e DSG). 3.3.2 Die Bearbeitung von Personendaten muss rechtmässig sein (Art. 4 Abs. 1 DSG). Organe des Bundes dürfen laut dem DSG Personendaten bearbeiten und bekanntgeben, wenn dafür eine gesetzliche Grundlage besteht; besonders schützenswerte Personendaten dürfen sie nur dann bearbeiten, wenn ein Gesetz im formellen Sinn dies ausdrücklich vorsieht. Ist dies nicht der Fall, muss entweder a) die Bearbeitung für eine in einem formellen Gesetz klar umschriebene Aufgabe unentbehrlich sein oder b) der Bundesrat die Bearbeitung bewilligt haben, weil die Rechte der betroffenen Personen nicht gefährdet sind, oder c) die betroffene Person im Einzelfall eingewilligt oder ihre Daten allgemein zugänglich gemacht haben (Art. 17 Abs. 1 und 2 i.V.m. Art. 19 DSG; Urteil des BVGer B‒3588/2012 vom 15. Oktober 2014 E. 6.5.1). 3.3.3 Unrechtmässig bearbeitete Personendaten sind gestützt auf Art. 4, 5 Abs. 1 und Art. 25 Abs. 3 Bst. a DSG zu vernichten. Ihrer Vernichtung stehen die Archivierungsvorschriften des Bundes nicht entgegen. Art. 21 Abs. 1 DSG sieht nämlich lediglich vor, dass Bundesorgane dem Bundesarchiv in Übereinstimmung mit dem BGA alle Personendaten anzubieten haben, die sie nicht mehr ständig benötigen (vgl. auch die entsprechenden Bestimmungen von Art. 6 und 8 Abs. 1 BGA). Erfasst sind mit anderen Worten nur Personendaten, deren Bearbeitung bis anhin rechtmässig war, nicht aber Personendaten, deren Bearbeitung (Beschaffung) von Anfang an widerrechtlich war (ROBERT BÜHLER, in: Kommentar DSG, Art. 21 DSG N. 8; Urteil des BVGer A‒6067/2008 vom 30. März 2009 E. 5.3; vgl. dazu auch Urteil des BGer 1A.6/2001 vom 2. Mai 2001 E. 2). Allerdings prüft das Bundesarchiv selbst nicht, ob die Daten rechtmässig erhoben wurden (BÜHLER, a.a.O., Art. 21 DSG N. 9). 3.3.4 Vernichtung von unrechtmässig bearbeiteten Daten bedeutet, dass diese unwiederbringlich zerstört und irreversibel entfernt werden müssen (BÜHLER, a.a.O., Art. 21 DSG N. 14). Bei Daten auf Papier ist dieses zu schreddern oder zu verbrennen und es ist sicherzustellen, dass Dritte keinen Zugang zu den « Relikten » erhalten (BÜHLER, a.a.O., Art. 21 DSG N. 15). Schwieriger gestaltet sich die Datenzerstörung bei
2015/13 Datenschutz. Amtshilfe (DBA-USA)
182 BVGE / ATAF / DTAF
elektronischen Daten. Hier ist nicht nur wesentlich, wie diese Daten bei der Behörde gespeichert wurden, sondern bereits, wie die Behörde diese erhalten hat. Wurden die Daten mittels einer CD oder eines USB-Sticks der Behörde übermittelt, muss einerseits der Datenträger mittels Durchbohrung oder Durchlochung unbrauchbar gemacht werden und andererseits sind alle Kopien (inkl. sämtliche Back-ups) so zu behandeln, dass die Daten auch nicht mehr lesbar gemacht werden können. Bei Daten, die der Behörde im Anhang zu einer E-Mail übermittelt worden sind, müssen auch allfällige Zwischenspeicherungen dieser E-Mail vernichtet werden. Da sich die Speicherungstechnik laufend ändert, sind an die Vernichtung hohe Anforderungen zu stellen. Übliche Löschbefehle oder eine reine Umformatierung stellen kein Vernichten im datenschutzrechtlichen Sinn dar (BÜHLER, a.a.O., Art. 21 DSG N. 14), ebenso wenig die Sperrung von Zugangspasswörtern. 3.4 Im Folgenden ist somit in Bezug auf den vorliegenden Fall zuerst festzustellen, ob die Daten rechtmässig erhoben wurden (E. 3.4.1) und je nach Resultat, wie weiter zu verfahren ist (E. 3.4.2). Vorauszuschicken bleibt, dass es sich bei den durch die ESTV bei der betroffenen Bank angeforderten Angaben um Daten im Sinn des DSG handelt – bei einem Teil davon allenfalls sogar um besonders schützenswerte Personendaten nach Art. 3 Bst. c DSG – und dass auch das Aufbewahren von Daten eine Bearbeitung im Sinn des DSG ist (E. 3.3.1). 3.4.1 3.4.1.1 Sowohl das DBA-USA 96 als auch das StAhiG sehen vor, dass im Rahmen eines Amtshilfeverfahrens Daten über die betroffenen Personen erhoben werden dürfen. Dies wird auch von den Beschwerdeführenden nicht in Frage gestellt. Mit Art. 26 Ziff. 1 DBA-USA 96 besteht eine zumindest implizite Grundlage zur Erhebung der Daten, denn Informationen (Daten) können nur übermittelt werden, wenn sie zuvor erhoben wurden. Die Datenerhebung ist damit für eine in einem formellen Gesetz – dem der Staatsvertrag gleichgestellt ist – klar umschriebene Aufgabe unentbehrlich (E. 3.3.2). Eine explizite Grundlage für das Erheben der Daten findet sich überdies in Art. 8 ff. StAhiG. Diese genügt den Anforderungen von Art. 17 Abs. 1 sowie auch Abs. 2 DSG: Beim StAhiG handelt es sich um ein Gesetz im formellen Sinn. Es besteht somit grundsätzlich eine genügende gesetzliche Grundlage für die Erhebung von Daten im Amtshilfeverfahren.
Datenschutz. Amtshilfe (DBA-USA) 2015/13
BVGE / ATAF / DTAF 183
3.4.1.2 Selbst wenn an sich eine genügende gesetzliche Grundlage für die Datenbearbeitung durch die ESTV vorgelegen hat, stellt sich weiter die Frage, ob die Datenbearbeitung im konkreten Fall rechtmässig war. Art. 4 StAhiG mit der Überschrift « Grundsätze » sieht in Abs. 1 vor, dass Amtshilfe ausschliesslich auf Ersuchen geleistet wird. In der Botschaft vom 6. Juli 2011 zum Erlass eines Steueramtshilfegesetzes wird festgehalten, dass diese Vorschrift unter anderem die spontane Amtshilfeleistung grundsätzlich ausschliesst (BBl 2011 6193 ff., 6204). Unter spontaner (internationaler) Amtshilfe ist die Informationsübermittlung an ausländische Behörden zu verstehen, die ohne oder ohne konkretes Ersuchen erfolgt (Urteile des BVGer A‒1606/2014 vom 7. Oktober 2014 E. 3.4.1 und A‒3098/2014 vom 18. September 2014 E. 3.1). Die Anforderung, dass ein Ersuchen der ausländischen Behörde vorliegen muss, erfüllt nicht jede beliebige Anfrage der ausländischen Behörde, sondern nur ein Ersuchen, welches die rechtlich vorgeschriebenen Voraussetzungen erfüllt. Das Bundesverwaltungsgericht hat mit Urteil vom 7. Juli 2014 im Verfahren A‒3395/2014 festgestellt, dass auf das Amtshilfegesuch des IRS vom 17. Juli 2013 nicht einzutreten sei (wobei auf die Begründung in Urteil A‒5390/2013 verwiesen wurde, im Wesentlichen darauf, die im Indictment angeführten Sachverhalte würden den notwendigen Tatbestand « Betrugsdelikte und dergleichen » nicht erfüllen und der im Gesuch selber dargestellte Sachverhalt weise nicht denjenigen Detaillierungsgrad auf, der bei Gruppenersuchen, welche diesen Tatbestand betreffen, erforderlich sei; Urteil des BVGer A‒3395/2014 E. c). Damit fehlt es bezüglich der in jenem Verfahren erhobenen Daten an einem – den gesetzlichen Anforderungen genügenden – Amtshilfegesuch. Weil das StAhiG, wie gesagt, die spontane Amtshilfe ausschliesst, hat dies zur Folge, dass die Erhebung dieser Daten widerrechtlich erfolgte. 3.4.1.3 Keine entscheidende Rolle spielt, dass die ESTV aufgrund ihrer damaligen Auslegung der gesetzlichen Bestimmungen und der Subsumtion zum Schluss kam, auf das Amtshilfegesuch sei einzutreten, und dass aus ihrer damaligen Sicht die Datenerhebung rechtmässig erfolgte. Aufgrund des Konzepts des Gesetzes findet die gerichtliche Überprüfung des Entscheids der ESTV, auf ein Amtshilfegesuch einzutreten, erst nach Erlass der Schlussverfügung statt (vgl. Art. 19 Abs. 1 StAhiG). Diese Konstruktion gereicht jedoch den Beschwerdeführenden rechtlich nicht zum Nachteil, wäre doch schon vor der Datenerhebung nicht auf das Amtshilfegesuch einzutreten gewesen und war die Datenbeschaffung somit im
2015/13 Datenschutz. Amtshilfe (DBA-USA)
184 BVGE / ATAF / DTAF
Augenblick, als sie stattfand – als allfällige Daten von der Bank übermittelt wurden –, bereits widerrechtlich. 3.4.2 Weil die Daten unrechtmässig beschafft wurden, sind sie nach dem zuvor Gesagten (E. 3.3.3) nicht dem Bundesarchiv anzubieten, sondern zu vernichten. Vorliegend haben die Beschwerdeführenden einen entsprechenden Antrag gestellt. Dieser ist nach Art. 25 Abs. 3 Bst. a DSG zulässig und somit gutzuheissen. Was das Vorgehen bei der Vernichtung anbelangt, hat sich die ESTV an die in E. 3.3.4 dargelegten Überlegungen zu halten, insbesondere sind bei elektronischen Daten auch alle Back-ups so zu behandeln, dass nicht mehr auf sie zugegriffen werden kann. Falls die Daten lediglich auf einer CD oder einem USB-Stick gespeichert oder sogar in Papierform vorhanden sind – was aber gemäss den Kenntnissen des Bundesverwaltungsgerichts nicht der Fall ist, hatte es doch selber online auf die Akten mittels eines Passworts Zugriff –, spricht aus Sicht des Bundesverwaltungsgerichts nichts gegen deren Rückgabe an die Bank. 3.4.3 Der Eventualantrag der Beschwerdeführenden auf Datensperrung ist mit dem Urteil A‒3395/2014 gegenstandslos geworden, weil dadurch bereits entschieden wurde, dass dem IRS in Zusammenhang mit dem Amtshilfeersuchen vom 17. April 2013 keine Daten der Beschwerdeführenden übermittelt werden dürfen. Aus diesem Grund muss auch nicht mehr auf die von den Parteien vorgebrachten Argumente zu den Auswirkungen des Devolutiveffekts der ergriffenen Rechtsmittel auf die beantragte Datensperre eingegangen werden. 3.5 In Bezug auf die datenschutzrechtliche Frage ist die Beschwerde somit gutzuheissen, soweit sie nicht gegenstandslos geworden ist. 3.6 In diesem Punkt obsiegen die Beschwerdeführenden. Ihnen und der Vorinstanz sind insoweit keine Verfahrenskosten aufzuerlegen (Art. 63 VwVG).