4A_365/2017
Urteil vom 26. Februar 2018
I. zivilrechtliche Abteilung
Besetzung
Bundesrichterin Kiss, Präsidentin,
Bundesrichterinnen Klett, Hohl, Niquille, May Canellas,
Gerichtsschreiber Luczak.
Verfahrensbeteiligte
Bank A.________ AG,
vertreten durch Rechtsanwälte Dr. Martin Burkhardt und Robin Moser,
Beschwerdeführerin,
gegen
Gegenstand
Datenschutz, Unterlassung,
Beschwerde gegen das Urteil des Handelsgerichts des Kantons Zürich vom 30. Mai 2017 (HG150170-O).
A.a. Die B.________ S.A. (Klägerin 1, Beschwerdegegnerin 1) ist eine Gesellschaft mit Sitz in U.________. Sie unterhielt ab 1999 zunächst ein Bankkonto bei der Bank D.________ AG. Als diese Bank im Frühling 2013 mit der Bank A.________ SA (Beklagte, Beschwerdeführerin) fusionierte, wurde die Kontobeziehung mit dieser bis zur Kontoschliessung am 9. April 2014 fortgeführt. Die Klägerin 1, eine Offshore-Gesellschaft, gibt an, eine Diamantenhändlerin zu sein, was die Beklagte bestreitet.
C.________ (Kläger 2, Beschwerdegegner 2) ist in V.________ domiziliert und wirtschaftlich Berechtigter des Kontos der Klägerin 1. Er ist auch amerikanischer Staatsbürger.
A.b. Die Beschwerdeführerin hat am "Program for Non-Prosecution Agreements or Non-Target Letters for Swiss Banks" des US Justizministeriums (Department of Justice, nachfolgend: "DoJ") und der US-Steuerbehörde (nachfolgend: US-Programm) teilgenommen. Mit Entscheid vom 6. Februar 2014 erteilte das Eidgenössische Finanzdepartement (nachfolgend: EFD) der Beklagten eine Bewilligung im Sinne von Art. 271 Abs. 1 StGB. Am 24. November 2015 hat die Beklagte mit dem DoJ ein sog. Non-Prosecution-Agreement (nachfolgend: "NPA") abgeschlossen (zum Hintergrund und Einzelheiten des US-Programms vgl. Urteil 4A_83/2016 vom 22. September 2016 Sachverhalt A.a f.).
A.c. Die Beklagte beabsichtigte, eine Liste gemäss Ziffer II.D.2 des US-Programms (sog. Leaver-Liste) zu übermitteln. Ziffer II.D.2 lautet:
"2 Upon execution of an NPA, for all U.S. Related Accounts that were closed during the Applicable Period, the Swiss Bank must provide information including:
a. the total number of accounts; and
b. as to each account:
i. the maximum value, in dollars, of each account, during the Applicable Period;
ii. the number of U.S. persons or entities affiliated or potentially affiliated with each account, and further noting the nature of the relationship to the account of each such U.S. person or entity or potential U.S. person or entity (e.g., a financial interest, beneficial interest, ownership, or signature authority, whether directly or indirectly, or other authority);
iii. whether it was held in the name of an individual or an entity;
iv. whether it held U.S. securities at any time during the Applicable Period;
v. the name and function of any relationship manager, client advisor, asset manager, financial advisor, trustee, fiduciary, nominee, attorney, accountant, or other individual or entity functioning in a similar capacity known by the Bank to be affiliated with said account at any time during the Applicable Period; and
vi. information concerning the transfer of funds into and out of the account during the Applicable Period on a monthly basis, including (a) whether funds were deposited or withdrawn in cash; (b) whether funds were transferred through an intermediary (including but not limited to an asset manager, financial advisor, trustee, fiduciary, nominee, attorney, accountant, or other third party functioning in a similar capacity) and the name and function of any such intermediary; (c) identification of any financial institution and domicile of any financial institution that transferred funds into or received funds from the account; and (d) any country to or from which funds were transferred."
Ausserdem sollte eine Liste gemäss Ziffer II.D.4 des US-Programms (sog. Factsheet) geliefert werden. Ziffer II.D.4 lautet:
"4. As a condition of any NPA, the Swiss Bank will provide all necessary information for the United States to draft treaty requests to seek account information; such cooperation will include but not be limited to the development of appropriate search criteria."
A.d. Nach der Kontoschliessung im April 2014 führten die Parteien diesbezüglich eine umfangreiche Korrespondenz. Mit Schreiben vom 6. Juni 2014 verboten die Kläger der Beklagten, Bankkundendaten weiterzugeben, bzw. sie teilten ihr mit Schreiben vom 17. November 2014 mit, "that no data which relates to the referenced account may be transmitted at all".
B.a. Am 24. August 2015 reichten die Kläger beim Handelsgericht des Kantons Zürich Klage ein. Mit in der Replik erweitertem Rechtsbegehren beantragten sie:
"Es sei der Beklagten zu verbieten, Personendaten der Kläger direkt oder indirekt ins Ausland zu übermitteln oder direkt oder indirekt an US-Behörden weiterzugeben, wobei Personendaten auch alle Daten umfasst, welche die Kläger bestimmbar machen (d.h. u.a. solche in pseudonymisierter und verschlüsselter / codierter Form, wie Kontonummern oder andere Kundennummern), insbesondere sei der Beklagten zu verbieten, eine die Kläger betreffende sog. II.D.2-Liste an US-Behörden zu übermitteln, unter Androhung gegen die Organe der Beklagten der Bestrafung wegen Ungehorsams gegen eine amtliche Verfügung im Sinne von Art. 292 StGB (Bestrafung mit Busse) im Widerhandlungsfall.
Eventualiter seien die sich bei den US-Behörden befindlichen Personendaten der Kläger vernichten zu lassen; und es sei festzustellen,
Alles unter Kosten- und Entschädigungsfolgen (zzgl. 8 % MWST) zu Lasten der Beklagten."
B.b. Mit Urteil vom 30. Mai 2017 schützte das Handelsgericht das Hauptbegehren der Kläger. Es erwog, das Verbot, die strittigen Daten zu übermitteln, könne weder gestützt auf Art. 47 des Bundesgesetzes über die Banken und Sparkassen (Bankengesetz, BankG; SR 952.0) (Bankgeheimnis) noch gestützt auf eine drohende Verletzung des Geschäftsgeheimnisses (Art. 162 StGB), eine drohende verbotene Handlung für einen fremden Staat (Art. 271 StGB) oder einen drohenden wirtschaftlichen Nachrichtendienst (Art. 273 StGB) erlassen werden. Hingegen sei die von der Beklagten beabsichtigte bzw. allenfalls teilweise bereits erfolgte Datenübermittlung an das DoJ nicht mit der (nach-) vertraglichen Treuepflicht der Beklagten gegenüber der Klägerin 1 vereinbar. Überdies hätten die Kläger auch auf datenschutz- bzw. persönlichkeitsrechtlicher Grundlage einen Anspruch auf Unterlassung der Datenübermittlung. Die mit der Replik zusätzlich gestellten Eventualbegehren, welche die Kläger im Hinblick darauf vorgebracht hatten, dass die Beklagte bereits Daten an die US-Behörden übermittelt hätte, erachtete die Vorinstanz als gegenstandslos, da nicht erstellt sei, dass die US-Behörden bereits Personendaten der Kläger erhalten hätten.
Mit Beschwerde in Zivilsachen beantragt die Beklagte dem Bundesgericht, das Urteil des Handelsgerichts sei aufzuheben und die Klage kostenfällig abzuweisen, soweit darauf eingetreten werden könne; eventuell sei die Sache zur Neubeurteilung an das Handelsgericht zurückzuweisen. In prozessualer Hinsicht verlangt die Beschwerdeführerin, es sei dem EFD Gelegenheit zur Vernehmlassung zu geben. Die Beschwerdegegner stellen das Rechtsbegehren, auf die Beschwerde sei nicht einzutreten; eventualiter sei das angefochtene Urteil zu bestätigen. Gelegenheit zur Vernehmlassung sei dem EFD nicht einzuräumen. Die Vorinstanz hat auf eine Vernehmlassung verzichtet. Die Beschwerdeführerin hat unaufgefordert eine Beschwerdereplik eingereicht.
1.1. Das Bundesgericht wendet das Recht von Amtes wegen an (Art. 106 Abs. 1 BGG). Mit Blick auf die allgemeinen Begründungsanforderungen an eine Beschwerde (Art. 42 Abs. 1 und 2 BGG) behandelt es aber grundsätzlich nur die geltend gemachten Rügen, sofern die rechtlichen Mängel nicht geradezu offensichtlich sind. Es ist jedenfalls nicht gehalten, wie eine erstinstanzliche Behörde alle sich stellenden rechtlichen Fragen zu untersuchen, wenn diese vor Bundesgericht nicht mehr vorgetragen werden (BGE 140 III 86 E. 2 S. 88 f. mit Hinweisen). Unerlässlich ist im Hinblick auf Art. 42 Abs. 2 BGG, dass die Beschwerde auf die Begründung des angefochtenen Entscheids eingeht und im Einzelnen aufzeigt, worin eine Verletzung von Bundesrecht liegt. Die beschwerdeführende Partei soll in der Beschwerdeschrift nicht bloss die Rechtsstandpunkte, die sie im kantonalen Verfahren eingenommen hat, erneut bekräftigen, sondern mit ihrer Kritik an den als rechtsfehlerhaft erachteten Erwägungen der Vorinstanz ansetzen (BGE 140 III 86 E. 2 S. 89, 115 E. 2 S. 116). Erfüllt eine Beschwerde diese Anforderungen nicht, ist darauf nicht einzutreten.
1.2. Neue Tatsachen und Beweismittel dürfen nur soweit vorgebracht werden, als erst der Entscheid der Vorinstanz dazu Anlass gibt (Art. 99 Abs. 1 BGG; BGE 136 III 123 E. 4.4.3 S. 129 mit Hinweisen), was in der Beschwerde ebenfalls näher darzulegen ist (BGE 133 III 393 E. 3 S. 395). Das Einbringen echter Noven, d.h. von Tatsachen, die erst nach der Fällung des angefochtenen Entscheides entstanden sind, ist vor Bundesgericht grundsätzlich ausgeschlossen (vgl. BGE 139 III 120 E. 3.1.2 S. 123 mit Hinweis). Das mit der Beschwerde eingereichte Schreiben des EFD vom 6. Juli 2017 ist daher ein unzulässiges Novum.
Die Beschwerdeführerin hat mit der Beschwerde ausserdem ein Rechtsgutachten vom 6. Juli 2017 eingereicht. Rechtsgutachten sind keine Noven, die nur unter den Voraussetzungen von Art. 99 Abs. 1 BGG ins Verfahren eingeführt werden dürfen, sondern Stellungnahmen zur Untermauerung des Rechtsstandpunkts einer Partei; sie gehören damit zur Rechtsanwendung, die das Bundesgericht von Amtes wegen vornimmt (Art. 106 Abs. 1 BGG) und sind ungeachtet von Art. 99 BGG zulässig (BGE 138 II 217 E. 2.4 S. 221; Urteile 9C_133/2016 vom 30. August 2016 E. 1.2, nicht publ. in: BGE 142 V 425; 4A_195/2014 vom 27. November 2014 E. 2.2, nicht publ. in: BGE 140 III 602; 2C_347/2012 vom 28. März 2013 E. 2.6, nicht publ. in: BGE 139 II 185).
1.3. Die Beschwerdeführerin beantragt die Beiladung des EFD gestützt auf Art. 102 BGG. Nach Art. 102 Abs. 1 BGG kann das Bundesgericht weitere Beteiligte in das Verfahren einbeziehen, wenn sie durch den Ausgang des bundesgerichtlichen Verfahrens in rechtlicher oder tatsächlicher Weise, direkt oder indirekt betroffen sind, ohne dass eine derart intensive Betroffenheit verlangt wird, dass sie formell als Gegenparteien auftreten könnten (BGE 135 II 384 E. 1.2.1 S. 387; Urteil 2C_64/2013 vom 26. September 2014 E. 1.4.1, publ. in: StE 2014 A 42 Nr. 3). Die prozessuale Beiladung bedingt, dass die Dritten zum rechtshängigen Rechtsverhältnis (zwischen Haupt- und Gegenpartei) in einer besonders engen Beziehung stehen (zit. Urteil 2C_64/2013 E. 1.4.1 mit Hinweisen). Das EFD hat in der Bewilligung vom 6. Februar 2014 (Ziffer 8) selber festgehalten, die Bewilligung beziehe sich auf Art. 271 StGB, äussere sich aber nicht zu anderen im Zusammenhang mit der Datenherausgabe allenfalls relevanten Grundlagen des schweizerischen Rechts. Mit andern Worten hat diese Behörde für sich keine Kompetenz im Bereich des Datenschutzes und des Bankkundengeheimnisses in Anspruch genommen. Von einer Beiladung ist daher abzusehen.
Die Parteien haben in den Vertragsgrundlagen unbestrittenermassen eine Rechtswahl zugunsten des schweizerischen Rechts (Art. 116 Abs. 1 IPRG [SR 291]) getroffen. Die Vorinstanz ging zutreffend davon aus, dass damit dieses anwendbar ist, was auch für den geltend gemachten Anspruch aus Datenschutz bzw. Persönlichkeitsverletzung (Art. 139 Abs. 1 lit. b i.V.m. Art. 139 Abs. 3 IPRG) gelte.
Vorinstanzlich behauptete die Beschwerdeführerin, dass bereits Daten in Form eines Factsheets und einer Leaver-Liste an das DoJ geliefert worden seien. Sie leitete daraus ein fehlendes Rechtsschutzinteresse der Beschwerdegegner an der Unterlassungsklage ab. Im Beschwerdeverfahren hält die Beschwerdeführerin nun ausdrücklich fest, sie fechte die Würdigung der Vorinstanz, wonach es nicht erstellt sei, dass in der Vergangenheit bereits Personendaten an das DoJ geliefert worden seien, nicht an.
Die Vorinstanz begründete den Unterlassungsanspruch zum Einen mit einer drohenden Verletzung der (nach-) vertraglichen Sorgfalts- und Treuepflichten.
4.1. Eine schriftliche Vertragsurkunde liegt nach den Feststellungen der Vorinstanz nicht vor, nur die "General Conditions" der Beschwerdeführerin. Aufgrund der Umstände - so die Vorinstanz - sei von einer reinen Konto-/Depotbeziehung zwischen der Beschwerdeführerin und der Beschwerdegegnerin 1 auszugehen. Als Beauftragte sei die Beschwerdeführerin verpflichtet, die auftragsrechtliche Treuepflicht zu wahren. Unter die Treuepflicht falle auch die Geheimhaltungspflicht; daran sei sie über die Vertragsbeendigung hinaus gebunden.
Die Vorinstanz bejahte auch die Aktivlegitimation des Beschwerdegegners 2. Es könne zwar nicht abschliessend beurteilt werden, ob er als wirtschaftlich Berechtigter an den Konten der Beschwerdegegnerin 1 in einem Vertragsverhältnis zur Beschwerdeführerin gestanden sei. Es sei aber davon auszugehen, dass er bzw. seine Interessensphäre einerseits als Teilgehalt der Geheimhaltungspflicht der Beschwerdeführerin vom vertraglichen Unterlassungsanspruch erfasst werde, so dass zumindest der Beschwerdegegnerin 1 ein nachvertraglicher Anspruch auf Unterlassung der Datenübermittlung zustehe. Zudem könne er sich zur Durchsetzung seines Anspruchs auf das Bundesgesetz vom 19. Juni 1992 über den Datenschutz (DSG; SR 235.1) berufen.
Die Beschwerdeführerin bestreitet nicht (mehr), dass grundsätzlich auch über die Vertragsbeendigung hinaus eine Geheimhaltungspflicht besteht (sie ist vielmehr der Auffassung, sie habe die entsprechenden Pflichten zufolge hinreichender Pseudonymisierung der Daten nicht verletzt). Sie äussert sich auch nicht zur Aktivlegitimation des Beschwerdegegners 2. Damit hat es sein Bewenden (vgl. E. 1.1 hiervor).
4.2. Vorinstanzlich hatten die Beschwerdegegner gemäss den Feststellungen der Vorinstanz geltend gemacht, von der vertraglichen Geheimhaltungspflicht seien auch Informationen betreffend Bankdaten erfasst, die nicht Personendaten (i.S. des DSG) enthielten oder Rückschlüsse auf die Identität der Kontoinhaber zuliessen, soweit deren Herausgabe sonst den Interessen des Bankkunden entgegenstehe. Die Vorinstanz folgte dem nicht. Unter Hinweis auf entsprechende Ausführungen der Beschwerdeführerin in Randziffer 99 der Klageantwort hielt sie fest, Daten aus der Konto-/Depotbeziehung seien Grundlage für die Erstellung der Leaver-Liste und des Factsheets gewesen. Diese Dokumente, d.h. die Leaver-Liste und das Factsheet, bzw. die darin enthaltenen Daten genössen grundsätzlich - vorbehältlich einer Anonymisierung bzw. einer dieser gleichkommenden Pseudonymisierung - den vertraglichen Geheimnisschutz. Sie ging somit davon aus, unabhängig von der Rechtsgrundlage - ob vertragliche Treuepflicht oder Datenschutz/Persönlichkeitsschutz - sei massgeblich, ob von einer genügenden Anonymisierung bzw. Pseudonymisierung auszugehen sei. Die Beschwerdegegner gehen nicht mehr auf eine mögliche Differenzierung zwischen den erwähnten Rechtsgrundlagen ein; auch damit hat es sein Bewenden (vgl. E. 1.1 hiervor).
Personendaten (bzw. Daten im Sinne des Datenschutzgesetzes) sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 3 lit. a DSG). Eine Person ist dann bestimmt, wenn sich aus der Information selbst ergibt, dass es sich genau um diese Person handelt. Bestimmbar ist die Person, wenn aufgrund zusätzlicher Informationen auf sie geschlossen werden kann. Für die Bestimmbarkeit genügt jedoch nicht jede theoretische Möglichkeit der Identifizierung. Ist der Aufwand derart gross, dass nach der allgemeinen Lebenserfahrung nicht damit gerechnet werden muss, dass ein Interessent diesen auf sich nehmen wird, liegt keine Bestimmbarkeit vor (BBl 1988 II 444 f. Ziff. 221.1 zu Art. 3 lit. a E-DSG). Die Frage ist abhängig vom konkreten Fall zu beantworten, wobei insbesondere auch die Möglichkeiten der Technik mitzuberücksichtigen sind. Von Bedeutung ist indessen nicht nur, welcher Aufwand objektiv erforderlich ist, um eine bestimmte Information einer Person zuordnen zu können, sondern auch, welches Interesse der Datenbearbeite r oder ein Dritter an der Identifizierung hat (BGE 138 II 346 E. 6.1 S. 353 f.; 136 II 508 E. 3.2 S. 514; je mit Hinweisen; vgl. auch BGE 142 III 263 E. 2.2.1 S. 268).
5.1. Die Vorinstanz verneinte, dass die von der Beschwerdeführerin vorgesehene Form der Anonymisierung bzw. Pseudonymisierung genügend sei, um die Identität der Beschwerdegegner geheim zu halten. Das wäre sie nur, wenn ausgeschlossen sei, dass diese Anonymisierung bzw. Pseudonymisierung reversibel sei. Angesichts der heute bestehenden technischen Möglichkeiten verbleibe für eine irreversible Anonymisierung nur wenig Raum.
5.1.1. Hinsichtlich der von der Beschwerdeführerin selber getroffenen und von ihr ins Feld geführten Anonymisierungsmassnahmen argumentierte die Vorinstanz, diese könnten kaum als solche bezeichnet werden. So werde die von ihr angeführte Umrechnung in US-Dollar im US-Programm und im NPA teilweise explizit so vorgeschrieben. Im Übrigen bestreite die Beschwerdeführerin das Vorbringen der Beschwerdegegner, wonach bei Überweisungen in US-Dollar eine Umrechnung (in US-Dollar) keine taugliche Anonymisierungsmassnahme darstelle, nicht genügend substanziiert. Die Addition der Transaktionen und die Ausweisung des monatlichen Totals werde im US-Programm gar verlangt. Die Aufrundung auf die nächsten USD 10'000.-- stelle ebenfalls keine taugliche Anonymisierungsmassnahme dar, da dies dem DoJ offenbar - genauso wie die Addition der Transaktionen und die Ausweisung des monatlichen Totals - so mitgeteilt werden soll. Damit könne das DoJ seine Analyseparameter leicht anpassen. Immerhin ergebe sich aus den eingereichten Leaver-Listen - im Entwurf und in der finalen Version -, dass die Namen der Beschwerdegegner nicht aufgeführt seien, indessen ihre rechtliche Stellung in Bezug auf das Konto. In der finalen Leaver-Liste finde sich der Name des Relationship oder Account Managers, E.________, der zusammen mit den übrigen Daten der Leaver-Liste und dem Factsheet einen tauglichen Anknüpfungspunkt bilde, um Genaueres über das Konto der Beschwerdegegner, insbesondere über die dahinterstehende (n) Identität (en) in Erfahrung zu bringen. Das Factsheet sei - wie der Entwurf und die finale Version der Leaver-Liste - mit der Nummer xxxx gekennzeichnet. Betreffend das Factsheet mache die Beschwerdeführerin bis auf die Nummer xxxx keine konkreten Anonymisierungsmassnahmen geltend. Dieses erwähne zwar den Namen der Beschwerdegegner nicht, mache jedoch Angaben zum Kontoinhaber ("Accountholder Type: F.________") und dem Maximalwert des Kontos; hinsichtlich des wirtschaftlich Berechtigten werde sein Geburts- und Wohnort (das betreffende Land) aufgeführt. Bei der von der Beschwerdeführerin zur Verheimlichung verwendeten Nummer xxxx handle es sich um eine pseudonymisierte Konto- bzw. Kundennummer. Es bleibe unklar, mit welchem Schlüssel die Kontonummer konkret pseudonymisiert worden sein soll und wo sich dieser Schlüssel befinde. Angesichts der Bestreitungen der Beschwerdegegner betreffend die (Irreversibilität der) Pseudonymisierung, wäre die Beschwerdeführerin gehalten gewesen, konkret darzulegen, was sie in technologischer und allenfalls organisatorischer Hinsicht unternommen habe, um Rückschlüsse auf die Beschwerdegegner zu verhindern.
Hinsichtlich des beim DoJ als Datenempfänger vorhandenen Zusatzwissens bzw. dessen technischen Möglichkeiten argumentierte die Vorinstanz sodann, die Beschwerdeführerin könne sich nicht darauf beschränken vorzubringen, es sei nicht möglich bzw. nach der allgemeinen Lebenserfahrung nicht zu erwarten, dass das DoJ den nötigen Aufwand auf sich nehmen würde, um die (ungenügend) anonymisierten Daten zu rekonstruieren. Die Behauptung der Beschwerdeführerin, das DoJ habe keinen Zugriff auf die SWIFT-Daten, also Daten des internationalen Zahlungsverkehrs, sei nur schon aufgrund ihrer eigenen Ausführungen in dieser Absolutheit nicht korrekt. Zumindest eines der SWIFT-Rechenzentren befinde sich zudem in den USA. Die technologischen und administrativen Möglichkeiten der US-Behörden seien kaum zu unterschätzen [sic]. Zudem sei zu beachten, dass Datenbanken wie jene des International Consortium of Investigative Journalists, die öffentlich zugänglich seien, die Identifikation zusätzlich begünstigten. Schliesslich sei davon auszugehen, dass die US-Behörden auch willens seien, den entsprechenden Aufwand für die Identifikation aufgrund solcher Datengrundlagen zu erbringen, bezwecke das US-Programm doch, wenn auch nicht ausschliesslich, die Sammlung von Informationen über Bankkunden.
5.1.2. Letztlich, so die Vorinstanz weiter, sei es die Beschwerdeführerin, die eine Anonymisierung bzw. eine dieser gleichkommende Pseudonymisierung vorbringe und gestützt darauf behaupte, keine Personendaten zu liefern. Mit anderen Worten bringe sie eine rechtshindernde Tatsache vor, mit welcher der Unterlassungsanspruch der Beschwerdegegner vereitelt werden solle; dafür trage sie die Beweislast. Der Beweislast vorgelagert sei die Behauptungslast, wobei sich Letztere aus Ersterer ergebe. Dieser Behauptungslast sei die Beschwerdeführerin nicht genügend nachgekommen. Es bleibe unklar, wer die Personendaten der Beschwerdegegner wo und wie bearbeitet habe. Entsprechend könne nicht abschliessend beurteilt werden, ob tatsächlich eine einer Anonymisierung gleichkommende Pseudonymisierung stattgefunden habe, und müsse zumindest von der Bestimmbarkeit der Beschwerdegegner ausgegangen werden. Das bedeute, dass die in der Leaver-Liste und im Factsheet enthaltenen Daten nach wie vor vom (nach-) vertraglichen Geheimnisschutz erfasst seien. Und gleichzeitig beinhalteten sie Personendaten im Sinne von Art. 3 lit. a DSG.
5.2. Die Beschwerdeführerin wirft der Vorinstanz eine falsche Verteilung der Beweislast vor. Da die Beschwerdegegner einen Unterlassungsanspruch geltend machten, trügen sie die Beweislast dafür, dass eine Verletzung der Persönlichkeit und der vertraglichen Treuepflicht drohe. Sie hätten somit zu beweisen, dass mit den vorgesehenen Informationen ihre bislang geheimgehaltene Identität aufgedeckt werde. Denn dies sei ihr Klagefundament.
5.2.1. Rechtshindernde Tatsachen sind gleichsam negative Voraussetzungen der Entstehung eines Rechts. Rechtserzeugende und rechtshindernde Sachumstände sind die beiden Seiten der Medaille des subjektiven Rechts. Welche Tatsachen rechtserzeugend und welche rechtshindernd sind, ist eine Frage des materiellen Rechts. Sie lässt sich aus einer ausdrücklichen Beweislastregel, aus der Struktur des anzuwendenden Rechtssatzes oder aus dessen systematischer Stellung beantworten. Aus der Struktur kann sich namentlich eine Regel und eine Ausnahme ergeben. Dann muss jene Partei, die sich auf die Ausnahme beruft, diese als rechtshindernde Tatsache beweisen (HANS PETER WALTER, in: Berner Kommentar, 2012, N. 260 und N. 288 ff. zu Art. 8 ZGB; MAX KUMMER, in: Berner Kommentar, 1966, N. 164 ff. zu Art. 8 ZGB). Nichts anderes bzw. gerade Letzteres ergibt sich auch aus BGE 139 III 278 (E. 3.2 S. 279), auf welchen Entscheid sich das von der Beschwerdeführerin eingereichte Rechtsgutachten im Sinn einer "situation comparable" beruft (ebenso auch BGE 139 III 7 E. 2.2 S. 10 mit Hinweis).
5.2.2. Die ursprünglichen Daten, auf denen die Leaver-Liste und das Factsheet beruhen, sind zweifellos von der vertraglichen Geheimhaltungspflicht erfasste Daten bzw. Personendaten i.S.v. Art. 3 lit. a DSG. Indem die Beschwerdeführerin diese Daten anonymisiert bzw. pseudonymisiert, bearbeitet sie diese grundsätzlich geschützten Daten im Sinn von Art. 3 lit. e DSG, auch wenn das Resultat dieser Bearbeitung keine Personendaten bzw. geschützte Daten mehr sind (DAVID ROSENTHAL/YVONNE JÖHRI, Handkommentar zum Datenschutzgesetz, 2008, N. 63 zu Art. 3 DSG). Das Resultat dieser Bearbeitung will die Beschwerdeführerin weitergeben. Damit beruft sie sich auf eine Ausnahme. Denn geschuldet ist grundsätzlich die Nicht-Weitergabe der die Beschwerdegegner identifizierenden Daten und die Zulässigkeit der Weitergabe der bearbeiteten Daten begründet die Beschwerdeführerin damit, dass mit den getroffenen Pseudonymisierungsmassnahmen das Geheimnis ebenso gewahrt sei wie mit der grundsätzlich vereinbarten bzw. geschuldeten Nichtweitergabe. Soweit es jedenfalls um die von der Beschwerdeführerin selbst vorgenommene Pseudonymisierung/Anonymisierung (vgl. E. 5.1.1 hiervor) geht, ist die Vorinstanz zutreffend davon ausgegangen, dass die Beschwerdeführerin die Wirksamkeit der entsprechenden Massnahmen zu behaupten und zu beweisen hat.
Ob dies auch zutrifft hinsichtlich der Frage, über welche Zusatzinformationen das DoJ als Datenempfänger verfügt bzw. erhältlich machen kann und inwieweit es bereit ist, diese zu nutzen (vgl. E. 5.1.2 hiervor), kann offenbleiben. Denn wie nachfolgend dargelegt wird (E. 5.3), muss diese Frage hier nicht entschieden werden.
5.3.
5.3.1. Auch die Vorinstanz stellte fest, dass die Namen der Beschwerdegegner in der Leaver-Liste und dem Factsheet nicht enthalten sind. Insofern unterscheidet sich der vorliegende Fall von jenen, wo
Namen von Bankangestellten (BGE 141 III 119; Urteil 4A_390/2017 vom 23. November 2017) oder
Namen von Anwälten bzw. Finanzintermediären (zit. Urteil 4A_83/2016; Urteile 4A_355/2017 vom 29. November 2017; 4A_88/2017 vom 29. November 2017) mitgeteilt werden sollten und diese sich gegen deren Offenlegung wehrten.
Die Beschwerdeführerin rügt auch zu Recht, dass die Begründung der Vorinstanz zu einzelnen Pseudonymisierungs- bzw. Anonymisierungsmassnahmen teilweise nicht nachvollziehbar ist. Das betrifft etwa die Kontrollnummer (xxxx). Die Beschwerdeführerin verweist zu Recht auf ihre Ausführungen in Klageantwort und Duplik, wo sie dargelegt hatte, dass die Kontrollnummer nur intern, aber nicht dem DoJ bekannt sei und im Zahlungsverkehr nicht verwendet worden sei. Diesbezüglich wirft ihr die Vorinstanz vor, dass sie nicht dargelegt habe, "mit welchem Schlüssel/Verschlüsselung bzw. mit welcher Zuordnungsregel die Kontonummer konkret pseudonymisiert" worden sei. Es ist in der Tat entgegen der Vorinstanz nicht ersichtlich, weshalb dies von Bedeutung sein soll. Denn um die Kontrollnummer aufzuschlüsseln und so die Kontonummer zu erfahren, müsste das DoJ sich Zugriff darauf verschaffen. Dass statt der tatsächlichen Kontonummer eine Kontrollnummer verwendet werden soll, ist daher grundsätzlich eine geeignete Pseudonomisierungsmassnahme.
Das Aggregieren von Datensätzen stellt sodann ebenso eine allgemein bekannte Methode der Anonymisierung dar (PHILIP SCHOLZ, in: Bundesdatenschutzgesetz, Spiros Simitis [Hrsg.], 8. Aufl., Baden-Baden 2014, N. 215 zu § 3 BDSG; vgl. auch ERIK BUCHMANN, Anonymitätsmasse für Personendaten, in: digma 2011, S. 166 ff., 169 f.). Dass in der Leaver-Liste keine einzelnen Überweisungen angegeben werden, sondern nur das monatliche Total der addierten Zahlungen, welcher Betrag auf die nächsten USD 10'000.-- aufgerundet wird, ist jedoch nach Auffassung der Vorinstanz keine taugliche Anonymisierungsmassnahme, weil dies dem DoJ ohnehin so mitgeteilt werden sollte. Sie scheint sich dabei auf Ziffer II.D.2.b.vi des US-Programms zu beziehen, wo eine Information über Zahlungseingänge und -ausgänge auf "monthly basis" vorgesehen ist. Es ist jedoch nicht ersichtlich, weshalb einzig deswegen, weil die Beschwerdeführerin eine entsprechende Aggregierung allenfalls nicht von sich aus vornahm, sondern in Erfüllung des Programms, die Massnahme ungeeignet sein soll. Denn zweifellos lässt sich eine einzelne Zahlung/Überweisung nicht (oder jedenfalls nur erschwert) nachverfolgen, wenn nur eine Gesamtsumme aufgeführt wird.
5.3.2. Die Vorinstanz hat ihre Begründung indessen insbesondere auch darauf abgestützt, dass die finale Leaver-Liste den Namen des Relationship oder Account Managers E.________ enthalte. Dieser bilde zusammen mit den übrigen Daten der Leaver-Liste und dem Factsheet einen tauglichen Anknüpfungspunkt, um Genaueres über das Konto der Beschwerdegegner zu erfahren, insbesondere über die dahinter stehenden Identitäten. Ausserdem "scheine" die Offenlegung des "PLACEHOLDER-yyyy" geplant zu sein, wobei sie bezüglich der Aufhebung dieser Pseudonymisierung keine tatsächlichen Feststellungen trifft ("scheint"). Auf diese Begründung geht die Beschwerde nicht rechtsgenüglich ein. Eine Begründung genügt den Anforderungen von Art. 42 Abs. 2 BGG aber nur, wenn sie sich im Einzelnen mit der vorinstanzlichen Argumentation auseinandersetzt (vgl. E. 1.1 hiervor). Eine Auseinandersetzung damit wäre auch erforderlich gewesen, denn es ist nicht geradezu offensichtlich, dass die Kenntnis der Person des Account Managers für die Identifikation der Beschwerdegegner nicht von Bedeutung ist bzw. in Zukunft sein kann. Mangels genügender Rüge ist daher darauf nicht weiter einzugehen.
Aufgrund der vorinstanzlichen und vom Bundesgericht nicht weiter überprüfbaren Begründung ist somit davon auszugehen, dass bereits mit den Angaben in der Leaver-Liste und dem Factsheet eine Identifizierung möglich und damit die Beschwerdegegner bestimmbar sind. Die von der Beschwerdeführerin eingehend diskutierte Frage, inwiefern die US-Behörden Zugang zu SWIFT-Daten haben und so über eigenes Zusatzwissen verfügen bzw. sich solches verschaffen könnten (und erst dieses die Identifizierung zuliesse), muss daher nicht geprüft werden. Offenbleiben kann auch, ob die Vorinstanz die Übermittlung der Leaver-Liste und des Factsheets hätte zulassen können unter der einschränkenden Voraussetzung, dass der Name des Relationship and Account Managers nicht erscheint.
5.4. Die Beschwerdeführerin bestreitet grundsätzlich, dass das DoJ Zugang zu SWIFT-Daten hat und Zahlungen nachverfolgen kann. Sie macht aber in einer Eventualbegründung geltend, die zu übermittelnden Informationen könnten gar nicht als geheim gelten, wenn das DoJ tatsächlich über so weitreichende Rekonstruierungsmöglichkeiten verfügen würde, wie die Vorinstanz spekuliere. Denn wenn das DoJ Zugang zu SWIFT-Daten hätte und so leicht Zahlungen identifizieren könnte, müsste man diese Daten als dem DoJ (bereits) zugänglich und damit bekannt qualifizieren; die US Behörden könnten diesfalls einfach alle Zahlungen von Schweizer Banken zu US-Banken herausfiltern und so den Auftraggeber ermitteln. Auch auf diese Eventualbegründung ist nicht weiter einzugehen, da die Beschwerdeführerin ja im Hauptstandpunkt selber die entsprechenden technischen Möglichkeiten und das Interesse des DoJ bestreitet.
6.1. Die Beschwerdeführerin macht geltend, mit Art. 16 der "General Conditions" (nachfolgend: Art. 16) hätten die Beschwerdegegner auf die Einhaltung des Bankgeheimnisses und der Datenschutzbestimmungen verzichtet. Diese Regelung erlaube ihr im Fall von "justified interests" den Geheimnisschutz preiszugeben. Art. 16 bestimmt:
"Art. 16 Bank client secrecy
The Bank shall be legally obliged to treat all client-related data confidentially. The client shall take note of the fact that the legally protected bank client confidentiality ist subject to certain legal limits. So far as provided by law, the Bank shall be obliged to furnish evidence and information to the Swiss authorities. In so far as this shall be necessary to safeguard the Bank's justified interests, the client shall dispense the Bank from its obligation to maintain banking secrecy and data protection, in particular to safeguard claims against the client. In addition, the client is aware of the fact that in the case of payment orders abroad, on principle it is necessary to state the client's name and additional client information (e.g. account number, identification number address of the person placing the order) and that trading in securities and other financial instruments in certain markets can lead to the disclosure of the identity of the client and/or economically entitled persons. [...]."
Die Vorinstanz hat hinsichtlich dieses behaupteten Verzichts keinen tatsächlich übereinstimmenden Willen der Parteien festgestellt, sondern Art. 16 nach dem Vertrauensprinzip ausgelegt. Sie weist zu Recht darauf hin, Art. 16 spreche davon, dass der Geheimnisschutz "certain legal limits " unterliege und die Bank von Gesetzes wegen verpflichtet sein könne, den Schweizer Behörden Informationen zu liefern ("So far as provided by law, the Bank shall be obliged to furnish evidence and information to the Swiss authorities "). Sie stellt dazu fest, dass die Parteien nicht über die Aufhebung des Bankgeheimnisses disponieren könnten, soweit es um gesetzliche Verpflichtungen der Beschwerdeführerin gegenüber den Schweizer Behörden gehe. Die Beschwerdeführerin rügt, ihr erschliesse sich nicht, was die Vorinstanz daraus ableiten wolle. Die Feststellung sei falsch. Im Rahmen der Vertragsfreiheit könnten die Parteien nach Belieben Vereinbarungen über die Aufhebung des Bankgeheimnisses treffen. Die Beschwerdeführerin erkennt aber selbst, dass es den Parteien nicht möglich ist, die Erfüllung gesetzlicher Pflichten durch eine Verschärfung des Geheimnisschutzes zu erschweren. Genau das hat die Vorinstanz festgehalten, indem die Parteien, soweit es um gesetzliche Verpflichtungen der Beschwerdeführerin gegenüber den Schweizer Behörden geht, eben nicht darüber disponieren können, ob das Bankgeheimnis gelten soll oder nicht. In Bezug auf die zulässige Einschränkung des Geheimnisschutzes verpflichtet sich der Klient, die Bank von der Einhaltung des Bankgeheimnisses zu entbinden, sofern dies zur Wahrung der berechtigten Interessen der Bank notwendig ist, insbesondere zur Wahrung von Ansprüchen gegenüber dem Klienten. Die Beschwerdeführerin bezieht sich auf diesen Satz. Sie macht geltend er enthalte eine Generalklausel, denn aus der Formulierung "in particular" ergebe sich, dass die Bestimmung nur ein Anwendungsbeispiel erwähne, ohne abschliessend zu sein, und im Übrigen immer zur Anwendung komme, wenn es um "justified interests" der Bank gehe. Zwar ist richtig, dass "in particular" ein nicht abschliessendes Beispiel betrifft. Nach Treu und Glauben darf der Bankkunde aber annehmen, das Beispiel veranschauliche die Tragweite des Verzichts. Soweit von "claims against the client" die Rede ist, geht es um das Verhältnis zum Klienten und die Bereinigung von Auseinandersetzungen mit diesem. Das sind Aspekte, die mit dem Verhalten des Klienten zusammenhängen und die er beeinflussen kann. Die Vorinstanz verletzt kein Bundesrecht, wenn sie Art. 16 nicht als allgemeine Generalklausel interpretiert und nicht jedes Interesse, das die Beschwerdeführerin selbst für berechtigt hält, für eine Einschränkung des Bankgeheimnisses genügen lässt. Die Beschwerdeführerin müsste vielmehr darlegen, dass ihre Interessen in einer mit dem genannten Beispiel vergleichbaren Art betroffen sind. Insgesamt schloss die Vorinstanz zu Recht, dass mit Blick auf den ausdrücklichen Vorbehalt der
gesetzlichen Verpflichtungen der Beschwerdeführerin gegenüber den
Schweizer Behörden einerseits und dem Beispiel für eine Entbindung vom Bankgeheimnis andererseits (Wahrung von Ansprüchen der Bank gegenüber dem Klienten), der Klient nicht davon ausgehen musste, auch die Kooperation mit
amerikanischen Banken im Rahmen des US-Programms - welches
kein Gesetz darstellt - werde erfasst. Soweit der Einwand der Beschwerdeführerin, im Jahr 2008 sei die notwendige Kooperation mit amerikanischen Behörden noch nicht vorhersehbar gewesen, darauf abzielen sollte, den Vertrag insoweit als lückenhaft auszugeben, wäre ihr nicht zu folgen: Ergibt die Auslegung nach dem Vertrauensprinzip, dass die Parteien über eine zu regelnde Frage keine (oder keine vollständige) inhaltliche Einigung erzielt haben, so liegt eine Vertragslücke vor, die richterlich nach dem hypothetischen Parteiwillen zu ergänzen ist (BGE 115 II 484 E. 4 S. 487 f.; Urteil 4A_380/2011 vom 5. März 2012, E. 4.3). Eine Lücke in diesem Sinn liegt jedoch nicht vor, denn der Vertrag macht auch Sinn ohne die Vereinbarung einer Offenlegung (auch) gegenüber ausländischen Behörden; die Frage ist nicht zwingend zu regeln.
Aus Art. 16 ergibt sich darüber hinaus, dass sich die Beschwerdegegner bewusst sein mussten, dass es im internationalen Zahlungsverkehr im Prinzip notwendig ist, den Namen und zusätzliche Informationen zur Person des Kunden (z.B. Kontonummer, Identitätsnummer, Adresse der den Auftrag erteilenden Person) anzugeben. Dieser Teil von Art. 16 betrifft aber den internationalen Zahlungsverkehr unter Banken (SWIFT) und die damit einhergehenden Datenübermittlungen. Die Vorinstanz leitete daher zutreffend auch aus diesem Teil von Art. 16 keinen generellen Verzicht auf die Einhaltung des vertraglichen Geheimnisschutzes und der Datenschutzbestimmungen ab.
6.2. Auf die Ausführungen der Beschwerdeführerin zur Rechtfertigung einer Datenlieferung gemäss Art. 6 DSG wegen überwiegendem privatem und/oder überwiegendem öffentlichen Interesse ist nicht einzugehen, da die Vorinstanz den Unterlassungsanspruch der Beschwerdegegner sowohl vertraglich wie gestützt auf die Datenschutzbestimmungen bejaht hat und die Beschwerdegegner wie dargelegt auf die vertraglich eingeräumte Geheimhaltungspflicht nicht verzichtet haben.
Schliesslich beruft sich die Beschwerdeführerin auf das völkerrechtliche Estoppel-Prinzip. Selbst wenn die Lieferung der Daten so wie mit der Leaver-Liste und dem Factsheet beabsichtigt mit Art. 398 OR, Art. 47 BankG und Art. 6 sowie 12 DSG nicht vereinbar wäre, könne sie nicht verboten werden, weil die Staaten als Völkerrechtssubjekte zu einem Verhalten nach Treu und Glauben (sog. Estoppel) verpflichtet seien. Das gelte auch für die Judikative. Unter Wiedergabe der Begründung eines (nicht angefochtenen) Entscheids des Bundesverwaltungsgerichts vom 2. März 2016 betreffend Amtshilfe gestützt auf das Doppelbesteuerungsabkommen mit den USA (Urteil A-4695/2015) legt die Beschwerdeführerin dar, Estoppel setze voraus, dass eine Partei im Vertrauen auf Zusicherungen oder konkludente Verhaltensweise der andern sich zu rechtlich erheblichem Handeln habe verleiten lassen, das ihr zum Schaden gereichen würde, wenn die andere Partei später einen gegenteiligen Standpunkt einnehmen dürfte.
Das Bundesverwaltungsgericht hat seine von der Beschwerdeführerin zitierte Rechtsprechung in einem weiteren Urteil vom 31. Oktober 2016 betreffend Amtshilfe für die USA (A-5506/2015) wiederholt; dieser Entscheid wurde jedoch beim Bundesgericht angefochten. Im vorliegenden Verfahren kann eine Auseinandersetzung damit unterbleiben. Die Beschwerdeführerin macht zwar unter Hinweis auf die Auffassung des Bundesverwaltungsgerichts geltend, der Bundesrat und das Schweizer Parlament hätten im Sinn des Estoppel-Prinzips beim DoJ Vertrauen erweckt, dass alle Informationen gemäss Ziffer II.D.2 und II.D.4 des US-Programms geliefert würden; und würden sie verweigert, entstünde dem DoJ "ein Schaden in der Form von nutzlosem Aufwand". Letzteres präzisiert sie nicht weiter, sondern zitiert einfach die entsprechende Stelle im Entscheid des Bundesverwaltungsgerichts (E. 6.7.2.2). Dieses sah den nutzlosen Aufwand im Amtshilfeverfahren darin, dass die Bank gestützt auf das US-Progr amm Daten geliefert hatte (pseudonymisierte Fallnummer und weitere Angaben) und das vom DoJ
gestützt darauf eingereichte Amtshilfeverfahren nutzlosen Aufwand darstellen würde, wenn nun im Nachhinein festgestellt würde, die Amtshilfe sei zu verweigern, weil die seinerzeitige Datenlieferung das Bankgeheimnis verletzt habe. Die Situation ist somit nicht mit der vorliegenden vergleichbar. Und da die Beschwerdeführerin nicht darlegt, worin denn im konkreten Fall hier der nutzlose Aufwand bestünde, ist darauf nicht weiter einzugehen und kann offenbleiben, ob die Beschwerdeführerin aus dem völkerrechtlichen Estoppel-Prinzip für ihr Verhältnis zu den Beschwerdegegnern überhaupt etwas ableiten könnte.
Die Beschwerde ist abzuweisen, soweit darauf einzutreten ist. Dem Ausgang des Verfahrens entsprechend wird die Beschwerdeführerin kosten- und entschädigungspflichtig.
Die Beschwerde wird abgewiesen, soweit darauf einzutreten ist.
Die Gerichtskosten von Fr. 12'000.-- werden der Beschwerdeführerin auferlegt.
Die Beschwerdeführerin hat die Beschwerdegegner für das bundesgerichtliche Verfahren mit insgesamt Fr. 14'000.-- zu entschädigen.
Dieses Urteil wird den Parteien und dem Handelsgericht des Kantons Zürich schriftlich mitgeteilt.
Lausanne, 26. Februar 2018
Im Namen der I. zivilrechtlichen Abteilung
des Schweizerischen Bundesgerichts
Die Präsidentin: Kiss
Der Gerichtsschreiber: Luczak