Auskunfts- und Löschungsbegehren betreffend Datensammlung Gewähr ("Watchlist").
Entscheiddatum: 03.04.2024Publikationsdatum: 17.04.2024
Bundesverwaltungsgericht Tribunal administratif fédéral Tribunale amministrativo federale Tribunal administrativ federal Abteilung II B-915/2022
Urteil vom 3. April 2024 Besetzung Richter Francesco Brentani (Vorsitz), Richter Maurizio Greppi, Richterin Eva Schneeberger, Gerichtsschreiber Benjamin Märkli. Parteien A._______, vertreten durch Dr. iur. Andreas Rüd, Rechtsanwalt LL.M., Rüd Winkler Partner AG, Beschwerdeführer, gegen Eidgenössische Finanzmarktaufsicht FINMA, Laupenstrasse 27, 3003 Bern, Vorinstanz. Gegenstand Auskunfts- und Löschungsbegehren betreffend Datensammlung Gewähr ("Watchlist").
A.
A.a A._______ (nachfolgend: Beschwerdeführer) war zwischen dem Jahr 2000 und dem Jahr 2015 in der B._______ AG (nachfolgend auch: Bank) tätig, wovon bis zum 30. November 2014 als Leiter (...).
A.b Die Bank liess eine interne Untersuchung durchführen, um verschiedene, hier nicht näher interessierende Vorkommnisse im Zeitraum vom Januar 2009 bis Mai 2017 abzuklären. Sie mündete in einen Bericht vom 19. Mai 2017 (nachfolgend: Untersuchungsbericht). Dieser Bericht befasste sich auch mit dem Beschwerdeführer.
B.
B.a Am 8. Januar 2021 ersuchte der Beschwerdeführer bei der Eidgenössischen Finanzmarktaufsicht FINMA (nachfolgend: Vorinstanz) um "vollständige Offenlegung und die Zustellung von Kopien sämtlicher über [ihn] in der Datensammlung Gewähr (Watchlist) [...] vorhandenen Daten" sowie um Mitteilung, ob nach Ansicht der Vorinstanz Gründe existierten, die gewissen zukünftigen Tätigkeiten entgegenstünden.
B.b Am 16. Februar 2021 teilte die Vorinstanz dem Beschwerdeführer mit, dass er aufgrund des Untersuchungsberichts in der Datensammlung Gewähr eingetragen sei. Sie stellte ihm jene Teile des Untersuchungsberichts zu, die sich ihres Erachtens auf ihn selbst beziehen oder die auf die Herkunft der Daten und den Sachzusammenhang der Daten des Beschwerdeführers schliessen lassen, während sie Daten mit Bezug auf Dritte oder "allgemeine Ausführungen ohne Bezug zu ihm (sog. Sachdaten)" geschwärzt hatte. Sie teilte sodann mit, dass der Eintrag selbst keine Aussage über die Gewähr des Beschwerdeführers impliziere und dass sie, die Vorinstanz, abstrakt und unabhängig von einem konkreten Gewährsverfahren keine entsprechende Einschätzung abgeben könne.
B.c Mit Eingabe vom 1. April 2021 stellte der Beschwerdeführer ein Löschungs- und Auskunftsbegehren bei der Vorinstanz, verbunden mit dem Antrag um Erlass einer anfechtbaren Verfügung. Er ersuchte die Vorinstanz, zu begründen, weshalb er nicht über den Eintrag informiert worden sei, bestritt die Zulässigkeit der Aufnahme des Untersuchungsberichts in die Datensammlung Gewähr sowie die darin gegen ihn erhobenen Vorwürfe und rügte die von der Vorinstanz vorgenommene Schwärzung des Untersuchungsberichts als zu extensiv.
B.d Am 28. Mai 2021 entgegnete die Vorinstanz den Vorwürfen im Wesentlichen, dass die Aufnahme des Beschwerdeführers in die Datensammlung Gewähr vor Inkrafttreten der Informationspflicht erfolgt sei. Sie teilte dem Beschwerdeführer sodann Informationen zum Auftrag, zu den durchgeführten Abklärungen, zur Vorgehensweise und zum Untersuchungszeitraum des Untersuchungsberichts mit und bot ihm an, einen Bestreitungsvermerk in die Datensammlung aufzunehmen.
B.e Mit Schreiben vom 23. Juli 2021 hielt der Beschwerdeführer an seinen bisherigen Auffassungen fest, wonach er - schon gestützt auf allgemeines Datenschutzrecht - hätte informiert werden müssen, der Untersuchungsbericht nicht in die Datensammlung Gewähr habe Eingang finden dürfen, die Vorwürfe unzutreffend seien und die Schwärzung zu extensiv sei. Ebenso hielt er am Antrag auf Erlass einer anfechtbaren Verfügung fest.
B.f Mit Schreiben vom 12. August 2021 führte die Vorinstanz aus, der Beschwerdeführer habe sich in seinem ursprünglichen Gesuch vom 8. Januar 2021 ausdrücklich auf seine Personendaten in der Datensammlung Gewähr bezogen, welche ihm offengelegt worden seien. Wenn er nun neben der Löschung seines Antrags auch die Zustellung des ungeschwärzten Untersuchungsberichts sowie aller Anhänge und Beilagen verlange, überschreite dies den Gegenstand des gegebenen Verfahrens, weil die Anhänge und Beilagen nicht in der Datensammlung Gewähr enthalten seien, worauf der Beschwerdeführer in seiner Eingabe nicht eingegangen sei. Die Vorinstanz lud den Beschwerdeführer sodann ein, mitzuteilen ob er in Bezug auf die Anhänge und Beilagen ein Auskunftsgesuch nach Datenschutzgesetz stelle, stellte ihm den Erlass einer Verfügung in Aussicht und wies auf die mögliche Gebührenpflicht für eine solche Verfügung hin.
B.g Am 16. August 2021 ergänzte der Beschwerdeführer sein Gesuch unter Aufrechterhaltung der bisher gestellten Anträge zusätzlich um ein Einsichtsbegehren über sämtliche über ihn bei der Vorinstanz gespeicherten Daten, deren Herkunft, Bearbeitungszweck, Rechtsgrundlagen des Bearbeitens, Kategorie der bearbeiteten Daten, Beteiligte der Datensammlung und Datenempfängern allenfalls übermittelte Daten.
B.h Mit Schreiben vom 16. September 2021 teilte die Vorinstanz dem Beschwerdeführer mit, dass die Aufbereitung der von ihm beantragten Auskunft mehrere Monate in Anspruch nehmen würde. In vielen Fällen seien in ihren Datenbeständen Personendaten zum Gesuchsteller (wie beispielsweise seine Unterschrift) bloss aufgrund seiner bisherigen Funktion bei der Bank vorhanden, ohne eigentliche personenbezogene Aussagen zu enthalten. Sie lud den Beschwerdeführer ein, mitzuteilen, ob solche Dokumente vom Auskunftsbegehren ausgenommen würden, da sie ohnehin nur fast vollständig geschwärzt vorgelegt werden könnten. Sodann werde die Einsicht in die übrigen Dokumente etappenweise erfolgen, weil die datenschutzkonforme Aufarbeitung äusserst zeitintensiv sei. Die Inhalte der Datensammlung Gewähr seien bereits offengelegt worden, in einer ersten Etappe würden die Anhänge und Beilagen zum Untersuchungsbericht aufbereitet und offengelegt.
B.i Die in Aussicht gestellte Zustellung der (geschwärzten) Anhänge und Beilagen zum Untersuchungsbericht erfolgte mit Schreiben vom 29. Oktober 2021, in dem die Vorinstanz festhielt, der Beschwerdeführer habe inzwischen auf die etappenweise Zustellung weiterer Unterlagen verzichtet (E-Mail vom 25. Oktober 2021). Sie wiederholte, dass die Anhänge und Beilagen nicht Teil der Datensammlung Gewähr seien und dass das Einsichtsrecht sich nur auf Personendaten des Beschwerdeführers, nicht aber auf Personendaten Dritter oder auf allgemeine Ausführungen ohne Bezug zur betroffenen Person (Sachdaten) beziehe, weshalb diese zu schwärzen seien. Entsprechend habe sie alle Daten entfernt, die keinen Personenbezug zum Beschwerdeführer aufwiesen. Sie habe aber Daten belassen, welche auf Herkunft, Kategorie (z.B. als E-Mail, Protokoll, usw.) oder Sachzusammenhang der offengelegten Daten schliessen lassen. Hingegen handle es sich bei den nicht offengelegten Passagen um keine Personendaten des Beschwerdeführers. Schliesslich räumte die Vorinstanz dem Beschwerdeführer im Hinblick auf die noch ausstehende anfechtbare Verfügung die Gelegenheit ein, "insbesondere zum Hauptantrag betreffend die Löschung des Gesuchstellers aus der Datensammlung Gewähr", sich noch einmal abschliessend zu äussern.
B.j Mit Schreiben vom 8. Dezember 2021 hielt die Vorinstanz fest, dass binnen angesetzter Frist keine Stellungnahme des Beschwerdeführers bei ihr eingegangen sei, und stellte die Verfügung in Aussicht.
C. Mit Verfügung vom 21. Januar 2022 wies die Vorinstanz das Löschungsbegehren des Beschwerdeführers und das Gesuch um Zustellung des vollständigen Untersuchungsberichts ohne Abdeckungen ab, trat auf das Gesuch um Zustellung aller Anhänge und Beilagen zum Untersuchungsbericht nicht ein und auferlegte dem Beschwerdeführer Verfahrenskosten im Umfang von Fr. 1'500.-. Zur Begründung führte sie zusammengefasst aus, was folgt.
C.a Bei der Datensammlung Gewähr handle es sich um ein ausschliesslich dem internen Wissensmanagement dienendes Hilfsmittel und noch nicht um eine Beurteilung der Gewähr des Beschwerdeführers. Eine solche erfolge erst gegebenenfalls und dann mit Blick auf eine konkret angestrebte Gewährsposition. Im Rahmen eines solchen Verfahrens erhalte der Beschwerdeführer rechtliches Gehör nach Massgabe des Verwaltungsverfahrensgesetzes. Dem Beschwerdeführer sei angeboten worden, seine Stellungnahmen als Bestreitungsvermerk in der Datensammlung Gewähr abzulegen, wovon er keinen Gebrauch gemacht habe. Verfahrensgegenstand sei nicht die Gewähr des Beschwerdeführers, sondern nur die Frage, ob seine Daten zu Recht in der Datensammlung geführt würden, namentlich ob der Untersuchungsbericht den Anforderungen genüge. Auch nicht Verfahrensgegenstand seien die Anhänge und Beilagen des Untersuchungsberichts, in die ihm Einsicht nach Datenschutzgesetz gewährt worden sei, die aber nicht Teil der Datensammlung Gewähr seien. Auf den Antrag um Zustellung dieser Anhänge und Beilagen sei somit nicht einzutreten.
C.b Die Löschung aus der Datensammlung Gewähr setze voraus, dass sich die Aufrechterhaltung des Eintrages oder die weitere Bearbeitung der Personendaten als widerrechtlich erweise. Die Datensammlung Gewähr als solche sei gesetzlich vorgesehen und bezwecke die Sammlung von Daten, die für die Beurteilung der Gewähr erforderlich sind. Der Untersuchungsbericht äussere sich spezifisch zum Beschwerdeführer und enthalte diesbezüglich gewährsrelevante Informationen. Er sei eine zuverlässige Quelle und gehöre insofern einer für die Datenbank zulässigen Dokumentkategorie gemäss Verordnung und Rechtsprechung an. Entsprechend werde das Löschungsbegehren abgewiesen.
C.c Das Eventualbegehren um vollständige Offenlegung des Untersuchungsberichts müsse ebenfalls abgewiesen werden, weil die bereits gewährte (geschwärzte) Einsicht nach den Grundsätzen des Datenschutzrechts erfolgt sei. Diese vermittelten dem Beschwerdeführer einzig ein Recht auf Einsicht in seine Personendaten, welche ihm offengelegt worden seien. Darüber hinaus bestehe für ihn kein Recht auf Einsicht in die Datensammlung Gewähr oder in einzelne darin enthaltene Dokumente, weshalb eine weitergehende Einsicht in Daten, die nicht als seine Personendaten qualifizierten, abzuweisen sei.
D. Mit Eingabe vom 24. Februar 2022 ficht der Beschwerdeführer die Verfügung der Vorinstanz an. Er beantragt, die Verfügung aufzuheben, das Verfahren zwecks Gewährung des rechtlichen Gehörs an die Vorinstanz zurückzuweisen und diese anzuweisen, ihm den vollständigen Untersuchungsbericht ohne Abdeckungen und inklusive Anhänge und Beilagen zuzustellen sowie ihm eine angemessene Frist für eine Stellungnahme anzusetzen, welche in der Datensammlung Gewähr abzulegen sei, eventualiter den Eintrag des Beschwerdeführers in der Datensammlung Gewähr ganz zu löschen. Zur Begründung führt er im Wesentlichen an, ohne vollständige Einsicht in den Untersuchungsbericht könne er nicht wirksam Stellung nehmen. Der Eintrag in der Datensammlung Gewähr sei für ihn ein schwerwiegender Eingriff, da er nach Treu und Glauben schon im Rahmen einer Bewerbung auf den bestehenden Eintrag hinweisen müsse. Die Vorinstanz stütze sich zu Unrecht auf das Datenschutzgesetz, da sie verkenne, dass er nicht (mehr nur) gestützt auf dieses, sondern (mittlerweile) vor allem gestützt auf seinen Anspruch auf rechtliches Gehör im von ihm angestossenen Verfahren um Löschung der Daten Akteneinsicht verlange. Mithin sei das Begehren nach den Regeln zur Akteneinsicht im Rahmen des rechtlichen Gehörs und nach Verwaltungsverfahrensgesetz zu beurteilen. Nach dieser Massgabe habe er das Recht auf Einsicht in alle als Beweismittel dienenden Aktenstücke, welches zwar eingeschränkt werden könne, jedoch nur unter restriktiven Bedingungen, welche vorliegend nicht erfüllt seien.
E. In ihrer Vernehmlassung vom 11. Mai 2022 beantragt die Vorinstanz die kostenfällige Abweisung der Beschwerde, soweit darauf einzutreten sei.
F. Mit Eingabe vom 23. November 2023 reichte die Vorinstanz auf eine entsprechende Aufforderung des Bundesverwaltungsgerichts hin den ungeschwärzten Untersuchungsbericht zu den Akten. Mit Verfügung vom 27. November 2023 wurde der Begleitbrief zum ungeschwärzten Untersuchungsbericht, nicht aber der Bericht selbst, dem Beschwerdeführer zur Kenntnis zugestellt. Mit Eingabe vom 23. Januar 2024 liess der Beschwerdeführer um Einsicht "in die vollständige Eingabe (mit Beilagen) der Vorinstanz vom 23. November 2023" ersuchen. Mit Verfügung vom 24. Januar 2024 teilte ihm das Bundesverwaltungsgericht mit, dass er in den Begleitbrief bereits Einsicht erhalten habe, dass die Beilage - der ungeschwärzte Untersuchungsbericht - Teil des Prozessgegenstands der Hauptsache sei sowie dass keine weiteren Beilagen vorhanden gewesen seien; entsprechend würde zu einem späteren Zeitpunkt über das Gesuch entschieden.
G. Auf die vorstehend erwähnten und weitere im Verlaufe des erstinstanzlichen und des Beschwerdeverfahrens von beiden Seiten vorgebrachten Argumente wird, soweit erforderlich, in den untenstehenden Urteilserwägungen eingegangen.
1.1 Der Entscheid der Vorinstanz vom 21. Januar 2022 ist eine Verfügung nach Art. 5 Abs. 1 VwVG. Das Bundesverwaltungsgericht ist zuständig für die Beurteilung von Beschwerden gegen Verfügungen der Vorinstanz (vgl. Art. 33 Abs. 1 des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz [aDSG, AS 1993 1945; vgl. zur intertemporalrechtlichen Anwendbarkeit E. 2.1 hiernach] und Art. 54 Abs. 1 des Bundesgesetzes vom 22. Juni 2007 über die Eidgenössische Finanzmarktaufsicht [Finanzmarktaufsichtsgesetz, FINMAG, SR 956.1] je i.V.m. Art. 31 und Art. 33 Bst. e des Bundesgesetzes vom 17. Juni 2005 über das Bundesverwaltungsgericht [Verwaltungsgerichtsgesetz, VGG, SR 173.32]). Eine Ausnahme nach Art. 32 VGG liegt nicht vor. Das Bundesverwaltungsgericht ist damit zur Behandlung der Beschwerde gegen die vorinstanzliche Verfügung zuständig.
1.2 Zur Beschwerde ist berechtigt, wer vor der Vorinstanz am Verfahren teilgenommen hat oder keine Möglichkeit zur Teilnahme erhalten hat, durch die angefochtene Verfügung besonders berührt ist und ein schutzwürdiges Interesse an deren Aufhebung oder Änderung hat (Art. 48 Abs. 1 VwVG). Der Beschwerdeführer hat vor der Vorinstanz am Verfahren teilgenommen. Als Adressat der angefochtenen Verfügung ist er in besonderem Mass vom Entscheid betroffen und hat ein aktuelles praktisches Interesse an der Aufhebung oder Änderung der vorinstanzlichen Verfügung.
1.3 Die Vorinstanz vertritt die Meinung, weil der Beschwerdeführer den Antrag auf Herausgabe des ungeschwärzten Untersuchungsberichts als "Beweisantrag" in Verbindung mit Art. 26 VwVG begründe, führe dies zu einer unzulässigen Ausweitung des Streitgegenstandes. Der Beschwerdeführer habe das Auskunftsbegehren zum Untersuchungsbericht nach Art. 8 f. aDSG als selbständigen Eventualantrag neben dem hauptsächlichen Löschungsbegehren gestellt und nun in den Hauptantrag vor Bundesverwaltungsgericht überführt. Vor der Vorinstanz habe er diesen Antrag nicht als verfahrensrechtlichen Beweisantrag gestellt.
1.4 Streitgegenstand in einem Beschwerdeverfahren kann nur sein, was bereits Gegenstand des erstinstanzlichen Verfahrens war oder allenfalls hätte sein sollen und was gemäss der Dispositionsmaxime zwischen den Parteien noch strittig ist, was sich vorab aus den Beschwerdeanträgen ergibt. Im Laufe des Rechtsmittelverfahrens kann sich der Streitgegenstand verengen bzw. um nicht mehr strittige Punkte reduzieren, grundsätzlich jedoch nicht erweitern oder inhaltlich verändern (vgl. BGE 142 I 155 E. 4.4.2; Urteile des BVGer B-5497/2021 vom 12. Dezember 2023 E. 2; B-5441/2019 vom 17. Dezember 2020 E. 3.1 je m.w.H.).
1.5 Ausgehend vom Gesuch vom 1. April 2021 stellte der Beschwerdeführer die Anträge auf Löschung des ihn betreffenden Eintrags in der Datensammlung Gewähr sowie eventualiter die Zustellung an sich des ungeschwärzten Untersuchungsberichtes und von dessen Anhängen und Beilagen. Weiter verlangte er Auskunft explizit nach Datenschutzgesetz. Aus der Begründung der angefochtenen Verfügung geht hervor, dass die Vorinstanz die ihrer Meinung nach gemäss Datenschutzgesetz mögliche Auskunft erteilt hat. Im Dispositiv der angefochtenen Verfügung wies sie sowohl das Begehren auf Löschung als auch das Eventualbegehren auf Zustellung des ungeschwärzten Untersuchungsberichts ab bzw. trat, soweit die Zustellung aller Anhänge respektive Beilagen betreffend, darauf nicht ein.
Mit dem Hauptbegehren der Beschwerde ans Bundesverwaltungsgericht verlangt der Beschwerdeführer die Aufhebung der angefochtenen Verfügung und Rückweisung der Sache an die Vorinstanz zur Gewährung des rechtlichen Gehörs, mit der Weisung, ihm den Untersuchungsbericht inklusive aller Anhänge und Beilagen zur uneingeschränkten Einsicht und Stellungnahme zu Handen der Datensammlung Gewähr zuzustellen.
Der Beschwerdeführer verbindet diesen Aufhebungsantrag mit dem Begründungselement einer angeblichen Gehörsverletzung, welche, seinem Wortlaut nach, allein im Verfahren vor der Vorinstanz behoben werden solle, indem dem Beschwerdeführer die verlangte Einsicht und Möglichkeit zur Stellungnahme gewährt werde. Es ist entgegen den Äusserungen der Vorinstanz nicht ersichtlich, dass und inwiefern dieser Aufhebungsantrag mit gerügter Verfahrensverletzung ausserhalb des Anfechtungsobjektes läge oder den Streitgegenstand erweitern würde. Der Streitgegenstand wird durch die Begehren definiert, vorliegend durch den bereits vorinstanzlich gestellten Antrag auf Löschung und den Antrag auf Einsicht, unabhängig von den unterschiedlichen Rechtsgrundlagen, auf die sich der Beschwerdeführer beruft (vgl. Urteil des BVGer B-4598/2012 vom 11. März 2013 E. 1.3.2). Diese können für die Streitgegenstandbestimmung zwar hilfsweise herangezogen werden, aber nur hinsichtlich allenfalls auslegungsbedürftiger Rechtsbegehren. Die Rechtsmittelbehörde ist weder an die rechtliche Begründung einer Vorinstanz noch an jene, die von Parteien vorgetragen wird (Art. 62 Abs. 4 VwVG), gebunden. Entsprechend wendet sie das Recht von Amtes wegen an (vgl. BGE 131 II 200 E. 4.2 sowie E. 2.2 hiernach).
1.6 Die Vorinstanz ist auf einen Teil der vorinstanzlich beantragten Begehren, nämlich soweit die Zustellung der Anhänge und Beilagen zum Untersuchungsbericht verlangt werden, nicht eingetreten. In diesem Umfang wäre ein Nichteintretensentscheid angefochten. Das Bundesverwaltungsgericht würde insoweit nur die Frage prüfen, ob die Vorinstanz auf die bei ihr erhobene Beschwerde zu Recht nicht eingetreten ist. Folglich könnte nur geltend gemacht werden, die Vorinstanz habe das Bestehen der Eintretensvoraussetzungen zu Unrecht verneint (vgl. BGE 144 II 184 E. 1.1; 135 II 38 E. 1.2; Urteil des BVGer B-5337/2022 vom 12. April 2023 E. 3 m.w.H.). Der Streitgegenstand bliebe auf die Eintretensfrage beschränkt. Auf materielle Begehren wäre nicht einzutreten (vgl. BGE 149 IV 205 E. 1.4; BGE 132 V 74 E. 1.1 sowie Urteil des BVGer B-7115/2013 vom 9. März 2015 E. 1.4 m.w.H.). Soweit der beschwerdeführerische Hauptantrag die Zustellung der Anhänge und Beilagen des Untersuchungsberichts betrifft, wäre er nur, aber immerhin, in dem Sinne zu prüfen, als die Vorinstanz im Falle des Obsiegens des Beschwerdeführers anzuweisen wäre, die Notwendigkeit der Zustellung der Anhänge und Beilagen zu prüfen und darüber zu entscheiden.
Indessen zeigt sich bei näherem Hinsehen, dass die Vorinstanz das Auskunfts- bzw. Einsichtsgesuch in Bezug auf die Anhänge und Beilagen zum Untersuchungsbericht materiell im Wesentlichen gleich behandelte und im Ergebnis auch gleich darüber entschied, so dass die angefochtene Verfügung vom Inhalt her, was letztlich entscheidend ist (BGE 132 V 74 E. 2), auch diesbezüglich als ein Sach- und nicht als ein Prozessentscheid zu qualifizieren ist (vgl. hierzu E. 4.6 hiernach).
1.7 Die Eingabefrist sowie die Anforderungen an Form und Inhalt der Beschwerdeschrift sind gewahrt (Art. 50 Abs. 1 und 52 Abs. 1 VwVG). Der Vertreter hat sich rechtsgenüglich ausgewiesen (Art. 11 VwVG), der Kostenvorschuss wurde fristgerecht bezahlt (Art. 63 Abs. 4 VwVG) und die übrigen Sachurteilsvoraussetzungen liegen ebenfalls vor (Art. 46 ff. VwVG).
Auf die Beschwerde ist einzutreten.
2.1 Die Rechtmässigkeit eines Verwaltungsakts beurteilt sich bei Fehlen anderslautender Übergangsbestimmungen grundsätzlich nach jenem materiellen Recht, das bei Verwirklichung des massgeblichen Sachverhalts Gültigkeit hatte (vgl. BGE 147 V 278 E. 2.1; 144 II 326 E. 2.1.1; 143 II 297 E. 5.3.3; 140 V 136 E. 4.2.1; Urteil des BGer 9C_648/2022 vom 9. Januar 2024 E. 6.1), während in verfahrensrechtlicher Hinsicht grundsätzlich diejenigen Rechtssätze massgebend sind, welche im Zeitpunkt der Beschwerdebeurteilung Geltung haben (vgl. BGE 130 V 1 E. 3.2). Während der Rechtshängigkeit des Beschwerdeverfahrens vor Bundesverwaltungsgericht traten per 1. September 2023 das neue Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG, SR 235.1) und die neue Verordnung der FINMA vom 4. Mai 2023 über die Bearbeitung von Personendaten im Rahmen der Aufsicht (Datenverordnung FINMA, SR 956.124) in Kraft. Soweit die nachfolgend zitierten Erlasse des Datenschutzgesetzes sowie der Datenverordnung FINMA zur Anwendung kommen, ist zu beachten, dass sich der zugrundeliegende Sachverhalt vor dem Inkrafttreten des neuen Rechts verwirklicht hat und die angefochtene Verfügung vom 21. Januar 2022 datiert. Soweit erforderlich, ist ihre Rechtmässigkeit somit nach den Vorgängererlassen zu beurteilen (Bundesgesetz vom 19. Juni 1992 über den Datenschutz [aDSG, AS 1993 1945], in der Fassung vom 1. März 2019 [AS 2019 625] und Verordnung der Eidgenössischen Finanzmarktaufsicht vom 8. September 2011 über die Datenbearbeitung [aDatenverordnung-FINMA, AS 2011 4363], in der Fassung vom 12. Dezember 2019 [AS 2019 3511]), was im Falle des Datenschutzgesetzes in Art. 70 DSG auch explizit so vorgesehen ist.
2.2 Der im Beschwerdeverfahren geltende Grundsatz der Rechtsanwendung von Amtes wegen verpflichtet das Bundesverwaltungsgericht, auf den festgestellten Sachverhalt jenen Rechtssatz anzuwenden, den es als den zutreffenden erachtet, und ihm jene Auslegung zu geben, von der es überzeugt ist. Im Einklang damit steht die Bestimmung, wonach das Bundesverwaltungsgericht als Beschwerdeinstanz wie bereits erwähnt nicht an die rechtliche Begründung der Begehren gebunden ist (vgl. Art. 62 Abs. 4 VwVG) und eine Beschwerde auch aus anderen als den geltend gemachten Gründen (teilweise) gutheissen oder den angefochtenen Entscheid im Ergebnis mit einer von der Vorinstanz abweichenden Begründung bestätigen kann (Motivsubstitution; vgl. BVGE 2007/41 E. 2 m.w.H.).
3.1 Die Vorinstanz bearbeitet im Rahmen der Aufsicht gemäss dem Finanzmarktaufsichtsgesetz und den übrigen Finanzmarktgesetzen Personendaten, einschliesslich besonders schützenswerter Personendaten und Persönlichkeitsprofilen, und regelt dazu die Einzelheiten (aArt. 23 Abs. 1 FINMAG). Sie führt zu diesem Zweck die Datensammlung Gewähr, in der Daten enthalten sind, die für die Beurteilung der Gewähr für eine einwandfreie Geschäftstätigkeit erforderlich sind (Art. 1 Bst. a aDatenverordnung-FINMA). Bei der Datensammlung Gewähr handelt es sich um ein Persönlichkeitsprofil nach aDSG (vgl. BGE 143 I 253 E. 4.4) und den Betroffenen stehen (unter den entsprechenden Voraussetzungen) die datenschutzrechtlichen Rechte zu, darunter das Auskunftsrecht nach Art. 8 aDSG und das Berichtigungs- oder Vernichtungsrecht nach Art. 5 und 25 Abs. 3 Bst. a aDSG (vgl. BGE 143 I 253).
Umstritten ist, ob - über die bereits nach Art. 8 aDSG gewährte Einsicht in den Untersuchungsbericht hinaus - gestützt auf das Akteneinsichtsrecht nach Art. 26 VwVG eine weitergehende Offenlegung hätte stattfinden sollen, und eventualiter, ob der Untersuchungsbericht - und damit der soweit ersichtlich einzig hierauf beruhende Eintrag des Beschwerdeführers - aus der Datensammlung Gewähr zu löschen sei.
3.2 Diesbezüglich rechtfertigt sich eine Vorbemerkung zur Tragweite des vorliegenden Verfahrens. Wie die Vorinstanz in der Verfügung ausführlich begründet (Ziff 18 ff. der angefochtenen Verfügung; vgl. auch vorstehend Bst. C.a im Sachverhalt) ist die Aufnahme in die Datensammlung Gewähr für sich genommen noch mit keiner Aussage über die Gewähr verknüpft (Art. 1a aDatenverordnung-FINMA), sondern laut Bundesgericht eine "Vorstufe" für eine allfällige, in einem entsprechenden Verfahren anzuordnende Massnahme (BGE 143 I 253 E. 4.1). Zwar erfolgt die Aufnahme in die Datensammlung Gewähr aufgrund von der Vorinstanz erblickter Verdachtsmomente und führt ein Eintrag für die Betroffenen zu einer "ungünstigeren Ausgangslage zur Weiterführung oder Wiederaufnahme einer Erwerbstätigkeit" mit Gewährsposition. Um ein solches Verfahren geht es in casu aber nicht. Trotzdem ist ein Eintrag in die Datensammlung Gewähr nach höchstrichterlicher Konzeption mit einem schweren Eingriff in das Recht auf informationelle Selbstbestimmung der Betroffenen verbunden (vgl. BGE 143 I 253 E. 4.8). Demnach führt weder die Aufnahme des Beschwerdeführers in die Datensammlung Gewähr noch das von ihm gestellte Löschungsbegehren dazu, dass er sich ausserhalb des ursprünglichen datenschutzrechtlichen Verfahrens befindet, denn auch das Löschungsbegehren wäre, wie sich aus den nachfolgenden Erwägungen ergibt, nur datenschutzrechtlich begründbar. Demnach befindet sich der Beschwerdeführer vorliegend nicht in einem Gewährs- oder sonstigen finanzmarktrechtlichen Verfahren, sondern es ist einzig das vorliegende Verfahren datenschutzrechtlicher Natur zu beurteilen.
3.3 Nach dem Gesagten wird zunächst das Hauptbegehren des Beschwerdeführers um Zurückweisung des Verfahrens an die Vorinstanz aufgrund einer angeblichen Verletzung des rechtlichen Gehörs beurteilt werden. Laut Beschwerdeführer ergebe sich diese Verletzung aus dem Umstand, dass sich der Umfang der ihm zu gewährenden Einsicht nicht aus Art. 8 aDSG, sondern aus Art. 26 VwVG (sogleich E. 4) ergebe. Sollte sich diese Rüge der Gehörsverletzung als unbegründet erweisen, wäre anschliessend zu beurteilen, ob gestützt auf Datenschutzrecht eine weitergehende Offenlegung erforderlich ist (nachfolgend E. 6), oder ob in Gutheissung seines Eventualbegehrens sein Eintrag aus der Datensammlung Gewähr zu löschen ist (nachfolgend E. 5).
4.1 Der Beschwerdeführer vertritt die Auffassung, die Vorinstanz verkenne in der angefochtenen Verfügung die Tragweite seines Begehrens um Zustellung des Untersuchungsberichts samt Anhängen und Beilagen sowie Gelegenheit zur Stellungnahme. Es sei unzutreffend, wenn sie gestützt auf Datenschutzrecht die Einsicht verweigere, denn es gehe nicht mehr nur um ein datenschutzrechtliches Auskunftsbegehren. Mit dem Löschungsantrag befinde er sich vielmehr in einem Verwaltungsverfahren. Weil dieses nach Art. 25 Abs. 4 aDSG den Bestimmungen des Verwaltungsverfahrensgesetzes unterstehe, gelange auch das Recht auf Akteneinsicht (Art. 26 VwVG) zur Anwendung. Es seien grundsätzlich der gesamte Untersuchungsbericht und auch die Anhänge und Beilagen offenzulegen, und nur ausnahmsweise - beim Vorliegen konkreter Geheimnisse - könne die Einsicht eingeschränkt werden (Art. 27 Abs. 1 VwVG). Solche Verweigerungsgründe seien nicht erkennbar oder jedenfalls nicht derart überwiegend, dass sie die Verweigerung einer vollständigen Einsicht rechtfertigen könnten.
Die Vorinstanz ist dagegen der Meinung, sich korrekterweise auf das Datenschutzrecht gestützt zu haben. Der Beschwerdeführer habe das Auskunftsbegehren als materiellen Eventualantrag gestellt und nicht als prozessuales Einsichtsbegehren im Rahmen des Löschungsantrags. Es habe demnach nach diesem selbständig und gestützt auf das materielle Datenschutzrecht geprüft werden müssen, zumal der Beschwerdeführer sich in diesem Zusammenhang ausdrücklich auf das Datenschutzrecht bezogen habe. Der Beschwerdeführer habe im Rahmen des Löschungsbegehrens gerade keinen Antrag auf Akteneinsicht gestellt. Zudem unterliege der verwaltungsverfahrensrechtlichen Akteneinsicht nur, was Bestandteil der Akten sei. Der Beschwerdeführer habe sich in einem datenschutzrechtlichen Verfahren betreffend die Rechtmässigkeit der Bearbeitung seiner Personendaten befunden und entsprechend nur Einsicht in die Akten, die zu jenem Verfahren gehörten - also in die ihm entsprechend offengelegten Personendaten -, nicht aber in den übrigen Inhalt des Untersuchungsberichts.
4.2 Im Allgemeinen ist anerkannt, dass das Auskunftsrecht nach Art. 8 aDSG und das verfahrensrechtliche Akteneinsichtsrecht selbständige Ansprüche sind, die grundsätzlich nebeneinander bestehen, je verschiedenen Zielen dienen und unterschiedlich weit gehen können (vgl. BGE 139 V 492 E. 3.2; 126 I 7 E. 2c; 125 II 473 E. 4a). Der sich aus dem Datenschutzrecht ergebende Anspruch erfasst sämtliche Personendaten der betroffenen Person und besteht im Gegensatz zum Akteneinsichtsrecht unabhängig von einem konkreten Interesse bzw. Fallbezug. Vor diesem Hintergrund befassen sich Praxis (vgl. statt vieler BGE 139 V 492 E. 3.2) und Lehre (vgl. etwa Bernhard Waldmann/Magnus Oeschger, Praxiskommentar VwVG, 3. Aufl. 2023, Art. 26 N. 25 m.w.H.) im Zusammenhang mit der Abgrenzung von Auskunftsrecht und Akteneinsichtsrecht hauptsächlich damit, unter welchen Umständen sich eine Partei neben dem Akteneinsichtsrecht innerhalb oder ausserhalb eines Verfahrens auch auf datenschutzrechtliche Ansprüche stützen kann. Im vorliegenden Fall ist nun aber zu prüfen, wie es sich im umgekehrten Fall verhält.
4.3 Im Folgenden ist die je zum Akteneinsichts- und zum Auskunftsrecht entwickelte Praxis darzustellen, denn ihre Tragweite ist praxisgemäss vor dem Hintergrund ihrer unterschiedlichen Zielsetzungen zu betrachten (vgl. BGE 139 V 492 E. 3.2; 138 III 425 E. 4.3).
4.3.1 Das Akteneinsichtsrecht ist Ausdruck und Konkretisierung der allgemeinen, aus Art. 29 Abs. 2 der Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999 (BV, SR 101) abgeleiteten Grund-sätze zum rechtlichen Gehör (vgl. BGE 132 II 485 E. 3.2; 129 I 249 E. 3), das einerseits der Sachaufklärung dient, andererseits ein persönlichkeitsbezogenes Mitwirkungsrecht beim Erlass eines Entscheids bildet, welcher in die Rechtsstellung des Einzelnen eingreift (vgl. statt vieler BGE 140 I 99 E. 3.4; BVGE 2015/10 E. 3.3). Der Anspruch umfasst als Mitwirkungsrecht somit alle Befugnisse, die einer Partei einzuräumen sind, damit sie in einem Verfahren ihren Standpunkt wirksam zur Geltung bringen kann (vgl. BGE 145 I 167 E. 4.1; 144 I 11 E. 5.3; 140 I 99 E. 3.4; 135 II 286 E. 5.1). Wie weit dieses Recht geht, lässt sich nicht generell, sondern nur unter Würdigung der konkreten Umstände beurteilen (vgl. BGE 144 I 11 E. 5.3 m.w.H.; zum Ganzen auch Urteil des BVGer B-404/2022 vom 11. Januar 2023 E. 4.1). Es dient mithin dazu, der betroffenen Person die sachverhaltliche Grundlage für das weitere prozessuale Vorgehen zu verschaffen. Inhaltlich umfasst das Akteneinsichtsrecht sämtliche verfahrensbezogenen Akten, die geeignet sind, Grundlage des Entscheids zu bilden, unabhängig davon, ob sie im Einzelnen für den Ausgang des Verfahrens bedeutsam sind (vgl. BGE 147 II 227 E. 5.4.7 m.w.H.).
4.3.2 Das Datenschutzrecht ist demgegenüber Ausdruck und Konkretisierung des Grundrechts auf informationelle Selbstbestimmung, das sich aus Art. 13 Abs. 2 BV ergibt (vgl. BGE 148 I 233 E. 3.1; 144 II 77 E. 5.2; 143 I 253 E. 3.3; 138 II 346 E. 3.2; 136 II 508 E. 6.3.2; BVGE 2012/14 E. 4.1) und insbesondere auch vor dem Missbrauch persönlicher Daten schützt (vgl. BGE 147 I 463 E. 6.4; 129 I 232 E. 4.3.1; 128 II 259 E. 3.2; grundlegend BGE 113 Ia 1 E. 4b/bb). In diesem Bereich garantiert es, dass - grundsätzlich ohne Rücksicht darauf, wie sensibel die fraglichen Informationen tatsächlich sind - jede Person gegenüber fremder, staatlicher oder privater Bearbeitung von sie betreffenden Informationen bestimmen können muss, ob und zu welchem Zweck diese Informationen über sie bearbeitet werden dürfen (vgl. BGE 147 I 346 E. 5.3.1; 146 I 11 E. 3.1.1; 145 IV 42 E. 4.2; 144 I 126 E. 4.1; 144 II 91 E. 4.4; 142 II 340 E. 4.2; 140 I 2 E. 9.1; 138 II 346 E. 8.2; 129 I 232 E. 4.3.1; BVGE 2012/14 E. 4.1 je m.w.H.). Die Zweckrichtung scheint demnach, wie in der erwähnten Praxis betont, zwischen dem Akteneinsichtsrecht und dem Datenschutzrecht grundsätzlich verschieden.
4.3.3 Das Auskunftsrecht nach Art. 8 aDSG ist ebenso primär ein Institut zur Durchsetzung des Persönlichkeitsschutzes (vgl. BGE 138 III 425 E. 5.3;120 II 118 E. 3b). Es dient aber insbesondere auch dazu, die betroffene Person in die Lage zu versetzen, ihre übrigen Datenschutzrechte (wie etwa einen Anspruch auf Berichtigung, einen Bestreitungsvermerk, ein Löschungsbegehren etc.) wahrzunehmen (vgl. BGE 148 II 349 E. 4.4). Gemäss Art. 4 aDSG muss die Bearbeitung von Personendaten verhältnismässig sein (Abs. 2) und sie darf nur zum Zweck erfolgen, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist (Abs. 3). Das aDSG verbietet daher ein überschiessendes Sammeln von Personendaten auf Vorrat und verlangt, dass nur diejenigen Daten erhoben und gespeichert werden, die eine Behörde zur Erfüllung ihrer Aufgabe objektiv benötigt (vgl. Art. 3 Abs. 1 aDatenverordnung-FINMA). Erst das Auskunftsrecht ermöglicht der betroffenen Person, die Einhaltung dieser materiellen Grundsätze des Datenschutzes zu überprüfen und ihre Rechte wahrzunehmen (vgl. BGE 147 II 408 E. 6.3; 144 I 126 E. 8.3.7; 139 V 492 E. 3.2; 125 II 473 E. 4b).
4.4 Das Akteneinsichtsrecht und das Auskunftsrecht haben nach dem Gesagten einen unterschiedlichen Umfang (vorstehend E. 4.3.1 und E. 4.3.2), erweisen sich im Bereich des Datenschutzes aber betreffend Zielsetzungen als gleichgerichtet: Wie das Akteneinsichtsrecht im allgemeinen Verfahrensrecht dient im datenschutzrechtlichen Kontext das Auskunftsrecht dazu, der betroffenen Person die inhaltlichen Grundlagen zu verschaffen, damit sie ihre materiellen Rechte wirksam wahrnehmen kann (vorstehend E. 4.3.1 und E. 4.3.3). Innerhalb des Datenschutzrechts stimmen die Zweckbestimmung des Akteneinsichtsrechts und des Auskunftsrechts somit überein. Berücksichtigt man, dass vorliegend (ausschliesslich) ein datenschutzrechtliches Verfahren zur Diskussion steht (vorstehend E. 3.2) zeigt sich, dass es sich bei den erwähnten, vom Akteneinsichtsrecht nach Art. 26 f. VwVG geschützten Mitwirkungsmöglichkeiten (vorstehend E. 4.3.1) in der Sache auch nur um solche handeln kann, die sich wie das Auskunftsrecht nach Art. 8 f. aDSG (vorstehend E. 4.3.3) auf die Einhaltung der materiellen Grundsätze des Datenschutzrechts beziehen.
4.4.1 Der aus dem Anspruch auf rechtliches Gehör fliessende verfassungsmässige Anspruch auf Akteneinsicht wird im Bereich des Datenschutzrechts durch das datenschutzrechtliche Auskunftsrecht wahrgenommen. Daran ändert auch der Verweis in Art. 25 Abs. 4 aDSG, wonach sich das Verfahren nach dem Verwaltungsverfahrensgesetz richtet, nichts. Der Beschwerdeführer kann sich nicht auf diese Bestimmung berufen, um die spezialgesetzlichen Beschränkungen des Datenschutzrechts zu umgehen (vgl. BGE 138 III 425 E. 5.5 und E. 4.4.2 hiernach). Die Vorinstanz ist in der vorliegend gegebenen Situation - wo sich die Frage nach dem Akteneinsichtsrecht gemäss Art. 26 VwVG einzig innerhalb eines Auskunfts- oder Löschungsverfahrens nach aDSG stellen könnte - nicht gehalten, über die bereits offengelegten Personendaten des Beschwerdeführers hinaus eine weitergehende Einsicht in den Untersuchungsbericht zu gewähren.
4.4.2 Wenn in einem datenschutzrechtlichen Verfahren weitergehende Akteneinsichtsrechte bestünden, wäre dies auch systemwidrig. Im Normalfall ist das Akteneinsichtsrecht in ein Verwaltungsverfahren eingebettet, in dem hinsichtlich der materiellen Interessen ein schutzwürdiges Interesse erforderlich ist. Unter Umständen besteht nach der Praxis auch ausserhalb eines Verwaltungsverfahrens ein Anspruch auf Akteneinsicht, wofür ebenfalls ein schutzwürdiges Interesse erforderlich ist (vgl. BGE 147 II 227 E. 5.4.5.2; 129 I 249 E. 3; Stephan C. Brunner, Kommentar VwVG, 2. Aufl. 2019, Art. 26 N. 20 m.w.H.). Durch dieses Erfordernis eines schutzwürdigen Interesses wird die Akteneinsicht sachlich begrenzt. Demgegenüber ist ein solches Interesse für ein datenschutzrechtliches Auskunftsbegehren grundsätzlich nicht erforderlich (vgl. BGE 138 III 425 E. 5.5). Das Auskunftsbegehren kann sich auf beliebige Datenbestände beziehen, denn es begründet gegebenenfalls auch die Pflicht, eine Negativmeldung zu erstatten, wenn keine Daten der betroffenen Person bearbeitet werden (vgl. Urteil des BVGer A-5113/2014 vom 11. Dezember 2014 E. 4.1.1). Es bestimmt seinen Verfahrensgegenstand damit weitgehend autonom und unabhängig von jeglichen Interessen. Würde ein solches Verfahren jedes Mal zu einem umfassenden Akteneinsichtsrecht (vorstehend E. 4.3.1) führen, bestünde damit eine im Ergebnis voraussetzungslose und unbeschränkte Akteneinsicht. Zudem würden die Art. 8 f. aDSG ihres Sinnes beraubt, weil sie vollständig durch Art. 26 f. VwVG überlagert würden, die automatisch zur Anwendung gelangten, weil die datenschutzrechtlichen Verfahren auch Verwaltungsverfahren sind. Damit im Einklang steht die etablierte Praxis, wonach es unstatthaft sei, das Datenschutzrecht missbräuchlich (insb. für prozessuale, aber auch für andere datenschutzfremde Zwecke) einzusetzen (vgl. BGE 138 III 425 E. 5.5).
4.5 Abschliessend ist klarzustellen, dass sich diese Ausführungen einzig auf die gegenwärtige Konstellation bzw. Situation beziehen, in welcher der Beschwerdeführer unabhängig von einem eigentlichen Verwaltungsverfahren seine datenschutzrechtlichen Rechte wahrnimmt. Sobald die Vorinstanz - unerheblich aus welchen Gründen - eine konkrete Gewährsprüfung des Beschwerdeführers vornimmt, wäre ein entsprechendes eigenständiges Verwaltungsverfahren gegeben und müssten dem Beschwerdeführer die sich aus dem rechtlichen Gehör (Art. 29 ff. VwVG und Art. 29 Abs. 2 BV) fliessenden Mitwirkungsrechte und damit auch die dafür erforderliche (vorstehend E. 4.3.1) umfassendere Akteneinsicht (Art. 26 ff. VwVG) eingeräumt werden, was die Vorinstanz auch selbst explizit so festhält (vgl. Ziff. 20 der angefochtenen Verfügung).
4.6 Nichts anderes gilt schliesslich betreffend das Begehren des Beschwerdeführers um Zustellung der (ungeschwärzten) Anhänge und Beilagen zum Untersuchungsbericht, auf welches die Vorinstanz nicht eingetreten ist. Diese stellt sich einerseits auf den Standpunkt, das Begehren um Zustellung der Anhänge und Beilagen zum Untersuchungsbericht liege ausserhalb des Streitgegenstandes (Ziff. 23 und Überschrift vor Ziff. 22 der angefochtenen Verfügung). Sie bringt andererseits aber ebenso vor, sie habe die Anhänge und Beilagen des Untersuchungsberichts dem Beschwerdeführer bereits, ähnlich wie im Fall des Untersuchungsberichts, in geschwärzter Form zugestellt (Ziff. 23 der angefochtenen Verfügung; Ziff. 23 der Vernehmlassung). Es bleibt unklar, welche Begründung die Vor-instanz für das Nichteintreten anführen möchte.
Das Nichteintreten der Vorinstanz und die Begründung hierzu, mithin die unterschiedliche Behandlung im Vergleich zur ebenfalls verlangten Auskunft und Einsicht in den Untersuchungsbericht selbst, überzeugen nicht. Soweit der Beschwerdeführer, wie zum Untersuchungsbericht selbst, auch für die Anhänge und Beilagen ein weitergehendes Einsichtsrecht geltend macht, als ihm dies die Vorinstanz bereits gewährt hat, liegt seine Rüge zum Antrag auf Aufhebung und Rückweisung vor, welcher ohne weiteres innerhalb des Streitgegenstandes liegt. Die Vorinstanz hätte demnach auf das Begehren eintreten und dieses korrekterweise abweisen müssen.
Im Ergebnis ändert sich dadurch, dass die Vorinstanz in diesem Punkt auf das Gesuch nicht eingetreten ist, statt das Begehren wie für den Untersuchungsbericht abzuweisen, für den Beschwerdeführer aber nichts. Denn entgegen dem Anschein, den die Nichteintretensformulierung weckt, hat die Vorinstanz das Zustellungsbegehren bezüglich Anhänge und Beilagen zum Untersuchungsbericht, wie bereits in den Eintretenserwägungen erwähnt (vgl. E. 1.6), materiell gleich wie das analoge Begehren zum Untersuchungsbericht behandelt. Sie hat in diejenigen Beilagen und Unterlagen Einsicht gegeben, die ihrer Meinung nach in persönlichem oder sachlichem Zusammenhang zum Beschwerdeführer stehen, mithin Sach- und Personendaten geschwärzt, welche nicht in diesem Zusammenhang stehen. Entsprechend unterscheidet sich auch die von der Vorinstanz vorgetragene Begründung hinsichtlich der Ablehnung der Zustellung der ungeschwärzten Anhänge und Beilagen zum Untersuchungsbericht nicht rechtswesentlich von jener, die die Vorinstanz zur Abweisung des Antrages auf weitergehende Auskunft und Einsicht in den Untersuchungsbericht vorbringt.
Aufgrund der bisherigen Ausführungen zum datenschutzrechtlich eingeschränkten Auskunftsrecht hinsichtlich des Untersuchungsberichts (E. 4.4 ff.) steht fest, dass deren ungeschwärzte Herausgabe weder gestützt auf die Parteistellung in diesem Verfahren noch aufgrund der Bestimmungen von Art. 26 ff. VwVG verlangt werden kann.
4.7 Im Weiteren kann auch dem im Verlaufe des Beschwerdeverfahrens gestellten prozessualen Antrag des Beschwerdeführers auf Herausgabe des ungeschwärzten Untersuchungsberichts durch das Bundesverwaltungsgericht im Rahmen der Akteneinsicht im vorliegenden Verfahren (vgl. vorstehend Bst. F im Sachverhalt) nicht stattgegeben werden. Der Beschwerdeführer hat zwar offensichtlich Parteistellung im vorliegenden Rechtsmittelverfahren und die in Frage stehende Beilage wurde auch in diesem Verfahren eingereicht. Dennoch befindet er sich nach wie vor im Verfahren betreffend Auskunft in die Datensammlung Gewähr, weshalb auf die Ausführungen in E. 4.4 ff. verwiesen werden kann. Im Übrigen kann auch auf die Praxis des Bundesgerichts hingewiesen werden, wonach aufgrund der Parteieigenschaft allein kein Anspruch per se auf Einsicht in Dokumente besteht, da und soweit die Frage des Zugangs zu diesen Akten gerade den eigentlichen Streitgegenstand des Verfahrens darstellt (Urteil des BGer 1C_277/2016 vom 29. November 2016 E. 2.1). Davon wäre auch im vorliegenden Verfahren auszugehen.
4.8 Zusammenfassend ist festzuhalten, dass die Vorinstanz zu Recht Datenschutzrecht angewandt hat und dass eine Verletzung des Akteneinsichtsrechts des Beschwerdeführers nicht ersichtlich ist.
Indes entscheidet das Bundesverwaltungsgericht über die vorliegende Beschwerde in Kenntnis der Akten, die dem Beschwerdeführer nicht vollständig offengelegt wurden und auch in diesem Verfahren nicht offenzulegen sind. Dieses Vorgehen entspricht ebenfalls der Praxis des Bundesgerichts (vgl. BGE 138 I 6 E. 2.1; 128 I 167 E. 3.1; je m.w.H.).
5.1 Das zweitgenannte Eventualbegehren begründet der Beschwerdeführer ausschliesslich mit der unterlassenen Gewährung des Akteneinsichtsrechts. Weil nach den bisherigen Ausführungen bereits erstellt ist, dass für eine über das Auskunftsrecht nach Datenschutzgesetz hinausgehende Akteneinsicht gestützt auf Art. 26 VwVG kein Raum besteht, kann bzw. muss das Begehren vorab und dahingehend beantwortet werden, dass gestützt auf diese Grundlage selbstredend auch keine Löschung verlangt werden kann.
5.2 Das Bundesverwaltungsgericht wendet das Recht von Amtes wegen an, befindet über zulässige Begehren und ist nicht an die Begründung der Beschwerde gebunden (Art. 62 Abs. 4 VwVG; vgl. vorstehend E. 2.2). Es prüft deshalb im Rahmen des Löschungsbegehrens immerhin, ob der Untersuchungsbericht zu Recht als Grundlage für den Eintrag des Beschwerdeführers in der Datensammlung Gewähr dienen kann.
Ausgehend vom Löschungsantrag betreffend den Untersuchungsbericht stellt sich die Frage, ob der Eintrag des Beschwerdeführers (allein) auf der Grundlage des Untersuchungsberichts, welcher als solcher ebenfalls Teil des Eintrags sei, Bestand haben kann, mithin aus der Sicht des Beschwerdeführers, ob der Untersuchungsbericht zu Recht als Grundlage für den Eintrag in die Datensammlung Gewähr dienen kann oder als solcher zu löschen ist, womit auch der Eintrag des Beschwerdeführers als solcher zu löschen wäre (weil der Untersuchungsbericht die einzige Grundlage für den Eintrag darstellt).
5.2.1 In seinen Eingaben im Vorfeld der angefochtenen Verfügung bestreitet der Beschwerdeführer zusammengefasst die Zuverlässigkeit des Untersuchungsberichts, da er nie befragt worden sei oder keine Stellungnahme dazu habe abgeben können. Er bezeichnete die darin gegen ihn erhobenen Vorwürfe als unzutreffend und führte aus, aufgrund der extensiven Schwärzungen könne er diese auch nicht nachvollziehen oder ihnen etwas entgegnen. Zudem sei er niemals über den Untersuchungsbericht informiert worden und nach dem damals geltenden Recht sei die Aufnahme interner Berichte in die Datensammlung Gewähr nicht vorgesehen gewesen. Ausserdem sei anzunehmen, dass seine ehemalige Arbeitgeberin die Untersuchung darauf angelegt habe, alle Missstände auf ihn abzuwälzen. Der Untersuchungsbericht bzw. der darauf beruhende Eintrag in der Datensammlung Gewähr seien mithin bundesrechtswidrig und umgehend zu löschen, eventualiter sei ihm die Möglichkeit einzuräumen, zu den Vorwürfen Stellung zu nehmen. Für letzteres benötige er aber vorgängig vollständige Einsicht in den Untersuchungsbericht.
5.2.2 Die Vorinstanz bot im Vorfeld der angefochtenen Verfügung an, mit dem Einverständnis des Beschwerdeführers die Eingabe vom 1. April 2021 sowie eine allfällige ergänzende Stellungnahme als Bestreitungsvermerk nach Datenschutzgesetz in die Datensammlung Gewähr aufzunehmen. Im Rahmen eines allfälligen formellen Gewährsverfahrens würde sie diesen Vermerk beiziehen und allenfalls auch die weitergehende Offenlegung des Untersuchungsberichts prüfen. In der angefochtenen Verfügung selbst führte die Vorinstanz aus, die Datensammlung Gewähr beruhe auf einer ausreichenden Rechtsgrundlage und sei vom Bundesgericht zwar als schwerer Eingriff in die informationelle Selbstbestimmung, der aber gesetzeskonform sei, beurteilt worden. Der Untersuchungsbericht erfülle die bundesgerichtlichen Kriterien. Er sei zwar nicht in einem kontradiktorischen Verfahren entstanden, sei aber trotzdem im Sinne der Rechtsprechung ausreichend belastbar. Entsprechend sei er nicht aus der Datensammlung Gewähr zu löschen. Eine Informationspflicht habe nicht bestanden, da der Bericht vor Inkrafttreten der entsprechenden Verordnungsbestimmung in die Datensammlung Gewähr aufgenommen worden sei. Auch der Umfang der dem Beschwerdeführer gewährten Einsicht sei korrekt, denn gestützt auf das Datenschutzrecht habe sie nur die Personendaten des Beschwerdeführers offenlegen müssen, nicht aber Sachdaten oder Personendaten Dritter. Sie habe zudem den Kontext der offengelegten Informationen kenntlich gemacht. Für eine weitergehende Offenlegung biete das Datenschutzrecht keine Grundlage und eine solche sei auch aufgrund des Amtsgeheimnisses und zum Schutz der Privatsphäre Dritter nicht möglich.
5.2.3 In materieller Hinsicht sind neben dem aDSG einschlägige Sonderbestimmungen mit Datenschutzcharakter in anderen Bundesgesetzen zu beachten. Im vorliegenden Zusammenhang trifft das insbesondere für das Finanzmarktaufsichtsgesetz und dessen Ausführungsbestimmungen, insbesondere die aDatenverordnung-FINMA zu (vgl. BGE 143 I 253 E. 3.3). Der Gesetzgeber kann in bereichsspezifischen Rechtsgrundlagen von gewissen allgemeinen Prinzipien oder Wertungen des Datenschutzrechts abweichen. Soweit aber nicht eine abschliessende spezialgesetzliche Norm vorliegt, müssen die Bundesorgane die allgemeinen Bestimmungen von Art. 4 ff. aDSG beachten. Schliesslich sind die Grundsätze des Datenschutzgesetzes auch bei der Auslegung bereichsspezifischer Normen zu berücksichtigen (vgl. BGE 126 II 126 E. 5b und 5c; BVGE 2012/14 E. 4.3 m.w.H.).
5.2.4 Im bereits vorstehend und auch von der Vorinstanz erwähnten Urteil BGE 143 I 253 (vom 22. März 2017) hatte das Bundesgericht bereits Gelegenheit, die Datenbearbeitung durch die Vorinstanz unter dem hier einschlägigen datenschutzrechtlichen Blickwinkel zu beurteilen. Es gelangte dabei zum Schluss, dass die Datensammlung Gewähr ein schwerer Eingriff in das Grundrecht der informationellen Selbstbestimmung sowie ein Persönlichkeitsprofil sei und daher einer formell-gesetzlichen Grundlage bedürfe (E. 4.8). Eine ausreichende Grundlage liege mit aArt. 23 FINMAG im Zusammenhang mit dem Erfordernis der Gewähr in weiteren Finanzmarktgesetzen vor (E. 6.5.2), solange es sich bei den in die Datensammlung Gewähr aufgenommenen Informationen um "erhärtete Angaben zur Person in Verbindung mit zuverlässigen Daten zur Geschäftstätigkeit" handle, wozu Daten "aus mit Parteirechten verbundenen Verfahren [...] oder aus weiteren zuverlässigen Quellen" zählten (E. 6.5.3). Es beurteilte auch die (damalige Fassung der) aDatenverordnung-FINMA als gesetzeskonform (E. 7.2.2). Die angefochtene Verfügung gibt diese Rechtsprechung korrekt wieder und steht damit grundsätzlich im Einklang. Zu beachten ist freilich, dass nach diesem Urteil eine Anpassung der aDatenverordnung-FINMA vorgenommen wurde, die insbesondere eine Pflicht zur Information der Beaufsichtigten über erfolgte Einträge in die Datensammlung Gewähr vorsah (Art. 5a aDatenverordnung-FINMA) sowie die Liste zulässiger Inhalte in Art. 3 aDatenverordnung-FINMA anpasste. Vor diesem Hintergrund ist die Verfügung der Vorinstanz zu beurteilen.
5.2.5 Die Ausführungen und Einordnungen der Vorinstanz sind im Grundsatz nicht zu beanstanden. Die Qualifikation des Untersuchungsberichts als zuverlässige Quelle im Sinne der erwähnten bundesgerichtlichen Rechtsprechung ist nachvollziehbar. Die Durchsicht des ungeschwärzten Untersuchungsberichts durch das Bundesverwaltungsgericht zeigt, dass der Bericht - entgegen den Befürchtungen des Beschwerdeführers - erkenntlich nicht auf blossen Verdachtsmomenten oder auf einer versuchten Schuldzuweisung an ihn beruht. Vielmehr sind die Erkenntnisse des Berichts auf Belege abgestützt und betreffen neben dem Beschwerdeführer eine Vielzahl von Akteuren. Der Untersuchungsbericht darf damit als zuverlässige Quelle im Sinne der höchstrichterlichen Praxis eingestuft werden. Damit ist lediglich die Zulässigkeit des Eintrags des Beschwerdeführers auf Grundlage dieses Berichts angesprochen und selbstverständlich nichts darüber gesagt, ob der Untersuchungsbericht inhaltlich korrekt oder vollständig ist. Das Vorbringen des Beschwerdeführers, wonach nur ein mit Parteirechten ausgestattetes Verfahren zuverlässige Daten im Sinne dieser Rechtsprechung produzieren könne, ignoriert die Praxis des Bundesgerichts, wonach, wie soeben ausgeführt (E. 5.2.4), ausdrücklich auch "weitere zuverlässige Quellen" zuzulassen seien. Demnach erfüllt der Untersuchungsbericht die in BGE 143 I 253 aufgestellten Kriterien und erweist sich seine Aufnahme in die Datensammlung Gewähr im Grundsatz als bundesrechtskonform. Allerdings qualifizierte das Bundesgericht in der zitierten Rechtsprechung die Liste in Art. 3 aDatenverordnung-FINMA als abschliessend. Es ist unklar, ob der Untersuchungsbericht schon vor Inkrafttreten der neuen Fassung der Liste mit der Revision der aDatenverordnung-FINMA vom 16. August 2017 (Inkrafttreten am 15. September 2017; vgl. vorstehend E. 5.2.4 a.E.) in die Datensammlung Gewähr aufgenommen wurde; zumindest im Zusammenhang mit der Informationspflicht (dazu sogleich E. 5.2.7) führt die Vorinstanz selbst jedoch Solches aus (vgl. vorstehend E. 5.2.2). Diesfalls wäre der Untersuchungsbericht für eine gewisse Zeit unrechtmässig in der Datensammlung Gewähr enthalten gewesen. Somit wäre der Untersuchungsbericht und mit ihm der Eintrag des Beschwerdeführers nach altem Recht aus der Datensammlung Gewähr zu löschen gewesen.
5.2.6 Jedenfalls seit Inkrafttreten der neuen Fassung der Verordnung entspricht der Untersuchungsbericht aber einer zulässigen Dokumentenkategorie, darf mithin in die Datensammlung Gewähr aufgenommen werden. Da die Vorinstanz zur Erfüllung ihrer Aufgaben auch auf eine vollständige Datengrundlage der potentiell gewährsrelevanten Dokumente abstellen können muss (vgl. BGE 143 I 253 E. 6.5.2), hätte sie, selbst bei einer zwischenzeitlichen Löschung, entsprechend spätestens ab dem 15. September 2017 den Untersuchungsbericht bei der Bank (erneut) beschaffen und (wiederum) in die Datensammlung Gewähr einfügen können (Art. 5 aDatensammlung-FINMA). Entsprechend kann die Möglichkeit einer zeitweisen unzulässigen Datenbearbeitung nicht zur Gutheissung des pro futuro wirkenden Löschungsbegehrens führen, auch wenn insoweit eine vorübergehende Rechtswidrigkeit vorgelegen haben könnte.
5.2.7 Zutreffend ist auch die Rüge des Beschwerdeführers, dass er nicht über den Eintrag informiert wurde. Die mangelnde Information wurde schon im erwähnten BGE 143 I 253 E. 4.7 scharf kritisiert. Die Vorinstanz stellt sich zwar wie erwähnt auf den Standpunkt, dass der die Informationspflicht verbriefende Art. 5a aDatenverordnung-FINMA, der ebenfalls am 15. September 2017 in die Verordnung aufgenommen wurde, zum Zeitpunkt der Aufnahme noch nicht in Kraft gewesen sei. Dies ist insofern unerheblich, als sich eine Informationspflicht ohnehin aus Art. 18a aDSG ergeben hätte; eine Einschränkung der Informationspflicht nach Art. 18b aDSG ist (betreffend die Personendaten des Beschwerdeführers selbst) nicht ersichtlich. Diese Verletzung der Informationspflicht kann letztlich aber ebenfalls nicht zur Löschung des Eintrags führen, der nach dem Gesagten für die Vorinstanz zur Erfüllung ihrer Aufgaben erforderlich ist (vgl. BGE 143 I 253 E. 6.5.2) und durch die mangelnde Information auch nicht unrichtig wird. So hat auch das Bundesgericht das Unterlassen der Information zwar als Hinweis auf die Schwere des Eingriffs genommen, aber daraus für sich genommen noch keinen Anspruch auf Löschung des Eintrags abgeleitet (BGE 143 I 253 E. 4.7). Entsprechend ergibt sich, dass die Information - wenn sie zeitlich rechtens erfolgt wäre -, wie sich in den vorstehenden Ausführungen gezeigt hat, nichts am Eintrag geändert hätte. Die unterbliebene Information des Beschwerdeführers begründet aber ebenfalls eine Rechtswidrigkeit.
Die Vorinstanz hat dem Beschwerdeführer angeboten, einen Bestreitungsvermerk in die Datensammlung Gewähr aufzunehmen, welcher in einem allfälligen Gewährsverfahren zu berücksichtigen wäre. Ein Bestreitungsvermerk kann sich inhaltlich auch darauf beschränken, dass allfällige Vorhalte grundsätzlich bestritten werden oder die Abdeckungen als zu rigoros empfunden werden. Der Beschwerdeführer ist mit der gewährten Einsicht entgegen seinen Ausführungen in der Lage, eine derartige Bestreitung vorzunehmen.
Der Umfang der Schwärzungen muss vor diesem Hintergrund hingenommen werden.
Zusammenfassend ist festzuhalten, dass sowohl die Führung des Beschwerdeführers in der Datensammlung Gewähr gestützt auf den Untersuchungsbericht als auch die durch die Vorinstanz erfolgte Auskunftserteilung bzw. die in diesem Zusammenhang vorgenommenen Schwärzungen bundesrechtskonform sind. Die Beschwerde ist damit sowohl im Haupt- als auch im Eventualpunkt abzuweisen.
8.1 Bei diesem Verfahrensausgang wären die Kosten dem Beschwerdeführer vollständig aufzuerlegen (Art. 63 Abs. 1 VwVG; Art. 1-3 des Reglements vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht [VGKE, SR 173.320.2]). Die gesamten Verfahrenskosten werden auf Fr. 2'000.- festgelegt. Aufgrund der festgestellten Unregelmässigkeiten (vorstehend E. 5.2.6 und 5.2.7) werden indes aus Billigkeitsgründen die Verfahrenskosten reduziert (Art. 63 Abs. 1 Satz 3 VwVG; Art. 6 Bst. b VGKE), auf Fr. 1'700.- festgesetzt und dem vom Beschwerdeführer einbezahlten Kostenvorschuss von Fr. 2'000.- entnommen.
8.2 Der unterliegende Beschwerdeführer hat keinen Anspruch auf eine Parteientschädigung (Art. 64 Abs. 1 VwVG und Art. 7 Abs. 1 VGKE e contrario). Als Bundesbehörde hat auch die Vorinstanz keinen solchen Anspruch (Art. 7 Abs. 3 VGKE).
Die Beschwerde wird abgewiesen.
Die Verfahrenskosten werden im Umfang von Fr. 1'700.- dem Beschwer-deführer auferlegt.
Dieser Betrag ist nach Eintritt der Rechtskraft des vorliegenden Urteils dem geleisteten Kostenvorschuss zu entnehmen; der Überschuss von Fr. 300.- ist dem Beschwerdeführer zurückzuerstatten.
Es werden keine Parteientschädigungen zugesprochen.
Dieses Urteil geht an den Beschwerdeführer, die Vorinstanz und den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).
Für die Rechtsmittelbelehrung wird auf die nächste Seite verwiesen.
Der vorsitzende Richter: Der Gerichtsschreiber: Francesco Brentani Benjamin Märkli
Rechtsmittelbelehrung:
Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bundesgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen Angelegenheiten geführt werden (Art. 82 ff., 90 ff. und 100 BGG). Die Frist ist gewahrt, wenn die Beschwerde spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Handen der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung übergeben worden ist (Art. 48 Abs. 1 BGG). Die Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten. Der angefochtene Entscheid und die Beweismittel sind, soweit sie die beschwerdeführende Partei in Händen hat, beizulegen (Art. 42 BGG).
Versand: 10. April 2024
Zustellung erfolgt an:
den Beschwerdeführer (Gerichtsurkunde; Beilage: Rückerstattungs-formular)
die Vorinstanz (Ref-Nr. [...]; Gerichtsurkunde)
den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB)