A-4467/2011

B u n d e s v e r w a l t u n g s g e r i c h t T r i b u n a l a d m i n i s t r a t i f f é d é r a l T r i b u n a l e a m m i n i s t r a t i v o f e d e r a l e T r i b u n a l a d m i n i s t r a t i v f e d e r a l

Abteilung I A-4467/2011

U r t e i l v o m 1 0 . A p r i l 2 0 1 2 Besetzung

Richterin Marianne Ryter Sauvant (Vorsitz), Richter Lorenz Kneubühler, Richter André Moser, Gerichtsschreiberin Tanja Haltiner.

Parteien

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauf- tragter EDÖB, Feldeggweg 1, 3003 Bern, Beschwerdeführer,

gegen

AXA Stiftung Berufliche Vorsorge Winterthur, Legal and Compliance, Postfach 300, 8401 Winterthur, Beschwerdegegnerin,

Eidgenössisches Departement des Innern EDI, Inselgasse 1, 3003 Bern, Vorinstanz.

Gegenstand

Empfehlung gemäss Art. 27 DSG betreffend Zustellung von Pensionskassenausweisen.

A-4467/2011 Seite 2 Sachverhalt: A. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) wurde von Bürgern auf die Praxis der AXA Stiftung Berufliche Vorsorge Winterthur (AXA) aufmerksam gemacht, persönliche Pensionskassen- ausweise nicht direkt an die versicherten Personen, sondern allesamt un- verschlossen in einem Couvert mit dem Vermerk "Vertraulich" an die Ad- resse der jeweiligen Arbeitgebenden zwecks betriebsinterner Verteilung zu versenden. Auf Anfrage bestätigte die AXA, dass die Pensionskassen- ausweise aller Versicherten offen den Arbeitgebenden zwecks Weiterlei- tung zugestellt würden. Die Versendung der Pensionskassenausweise di- rekt an die Arbeitnehmenden sei aus organisatorischen Gründen nicht möglich. Mit Datum vom 8. Juni 2009 erliess der EDÖB nach Durchführung mehre- rer Schriftenwechsel eine Empfehlung an die Adresse der AXA. Er hielt fest, dass sie die praktizierte Bekanntgabe von Daten der bei ihr versi- cherten Personen an deren Arbeitgebende unverzüglich einstellen und die Pensionskassenausweise künftig in einer Art und Weise versenden solle, welche gewährleiste, dass diese direkt und ausschliesslich an die versicherte Person gelangten. B. Nachdem die AXA die Empfehlung mit Schreiben vom 10. August 2009 abgelehnt hatte, legte der EDÖB die Angelegenheit mit Schreiben vom 27. August 2009 dem Eidgenössischen Departement des Innern (EDI) zum Entscheid gemäss Art. 27 Abs. 5 des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz (Datenschutzgesetz, DSG, SR 235.1) vor. Dabei beantragte er entsprechend seiner Empfehlung vom 8. Juni 2009, die AXA sei mittels Verfügung zu verpflichten, die von ihr praktizierte Be- kanntgabe der Daten der bei ihr versicherten Personen an deren Arbeit- gebende unverzüglich einzustellen und die Pensionskassenausweise künftig in einer Art und Weise zu versenden, die gewährleiste, dass diese direkt und ausschliesslich an die jeweilige versicherte Person gelangten. Das EDI holte im Rahmen des Beweisverfahrens beim Bundesamt für Sozialversicherung (BSV) eine Drittmeinung ein. Das BSV kam in seiner Vernehmlassung vom 22. Dezember 2009 zum Schluss, dass weder von einer Datenbekanntgabe ohne gesetzliche Grundlage noch von einer Schweigepflichtverletzung seitens der AXA auszugehen sei.

A-4467/2011 Seite 3 Mit Verfügung vom 15. Juni 2011 gab das EDI dem Antrag des EDÖB nicht statt und stellte fest, dass die Praxis der AXA, die Pensionskassen- ausweise den Arbeitgebenden zur Weiterleitung an die Arbeitnehmenden zu übergeben, keine rechtlichen Normen verletze und daher dem Legali- tätsprinzip entspreche. C. In der Folge erhob der EDÖB (nachfolgend: Beschwerdeführer) mit Schreiben vom 12. August 2011 Beschwerde beim Bundesverwaltungs- gericht. Er beantragt, die Verfügung des EDI (nachfolgend: Vorinstanz) vom 15. Juni 2011 sei aufzuheben und die AXA (nachfolgend: Beschwer- degegnerin) sei anzuweisen, den bei ihr versicherten Personen die per- sönlichen Pensionskassenausweise künftig so zuzustellen, dass aus- schliesslich diese selbst, aber insbesondere nicht deren Arbeitgebende, Kenntnis vom Inhalt dieser Ausweise erlangen könnten. Mit Beschwerdeantwort vom 8. September 2011 beantragt die Beschwer- degegnerin die Abweisung der Beschwerde. In ihrer Vernehmlassung vom 27. September 2011 beantragt die Vorin- stanz ebenfalls, die Beschwerde sei abzuweisen und die angefochtene Verfügung demgemäss zu bestätigen. Der Beschwerdeführer hält mit Schreiben vom 18. Oktober 2011 an sei- nen Anträgen und Ausführungen gemäss Beschwerdeschrift fest. D. Auf weitere Sachverhaltselemente und Parteivorbringen wird – sofern entscheidrelevant – im Rahmen der nachfolgenden Erwägungen einge- gangen.

Das Bundesverwaltungsgericht zieht in Erwägung: 1. 1.1. Gemäss Art. 31 des Bundesgesetzes über das Bundesverwaltungs- gericht vom 17. Juni 2005 (Verwaltungsgerichtsgesetz, VGG, SR 173.32) beurteilt das Bundesverwaltungsgericht Beschwerden gegen Verfügun- gen nach Art. 5 des Bundesgesetzes vom 20. Dezember 1968 über das Verwaltungsverfahren (VwVG, SR 172.021). Weil keine Ausnahme nach

A-4467/2011 Seite 4 Art. 32 VGG vorliegt und das EDI eine Vorinstanz nach Art. 33 Bst. d VGG ist, ist das Bundesverwaltungsgericht zur Beurteilung der vorliegen- den Beschwerde zuständig. 1.2. Im Rahmen der Aufsicht über Bundesorgane ist der EDÖB gemäss Art. 27 Abs. 6 DSG befugt, gegen Verfügungen eines Departements nach Art. 27 Abs. 5 DSG Beschwerde zu führen, wobei sich das Beschwerde- verfahren nach den allgemeinen Bestimmungen über die Bundesrechts- pflege richtet (YVONNE JÖHRI, Handkommentar zum Datenschutzgesetz, Zürich/Basel/Genf 2008, Art. 27 Abs. 6 Rz. 24). 1.3. Auf die form- und fristgerecht eingereichte Beschwerde (Art. 50 und 52 VwVG) ist daher einzutreten. 2. Das Bundesverwaltungsgericht prüft die Entscheide seiner Vorinstanzen mit voller Kognition. Gerügt werden kann daher gemäss Art. 49 VwVG die Verletzung von Bundesrecht – einschliesslich Überschreitung oder Miss- brauch des Ermessens –, die unrichtige oder unvollständige Feststellung des rechtserheblichen Sachverhalts sowie die Unangemessenheit des angefochtenen Entscheids. 3. Umstritten ist vorliegend, ob eine Datenbekanntgabe von der Beschwer- degegnerin an die Arbeitgebenden stattgefunden hat bzw. ob Letztere wie der Beschwerdeführer behauptet, als Dritte zu qualifizieren sind oder dem Standpunkt der Beschwerdegegnerin zu folgen ist, wonach keine Daten- bekanntgabe vorliegen könne, da die Arbeitgebenden als Stiftungsorgane mit der Durchführung der beruflichen Vorsorge betraut seien und daher nicht als Dritte gelten könnten. Die Vorinstanz ist in ihrer Verfügung in Be- zug auf den Arbeitgebenden nicht bereits aufgrund der Anmeldung der versicherten Arbeitnehmenden bei der Vorsorgeeinrichtung bekannte Da- ten von einer Datenbekanntgabe ausgegangen. Sie hat die Arbeitgeben- den jedoch aufgrund der Qualifikation als Organe der Vorsorgestiftung nicht als Dritte eingestuft und in der Folge eine Verletzung der Schweige- pflicht seitens der Beschwerdegegnerin verneint. Das BSV hat diesbe- züglich erklärt, im obligatorischen Bereich des Bundesgesetzes vom 25. Juni 1982 über die berufliche Alters-, Hinterlassenen- und Invaliden- vorsorge (Bundesgesetz über die berufliche Vorsorge, BVG, SR 831.40) würden keine Daten bekanntgegeben, welche die Arbeitgebenden nicht bereits aufgrund ihrer Mitgliedschaft im paritätischen Organ der Vorsor-

A-4467/2011 Seite 5 geeinrichtung kennen würden oder problemlos selbst berechnen könnten. Aber auch wenn von einer Datenbekanntgabe ausgegangen würde, sei diese nicht zweckwidrig, da die Arbeitgebenden von der Vorsorgestiftung gewisse Daten benötigten, um ihrer gesetzlichen Beitragspflicht gemäss Art. 66 BVG und ihrer Informationspflicht nach Art. 333 Abs. 4 des Obliga- tionenrechts vom 30. März 1911 (OR, SR 220) nachzukommen. Dabei erhielten sie jedoch keinen Einblick in besonders schützenswerte Perso- nendaten. Im Folgenden sind vorab die anwendbaren Rechtsgrundlagen sowie de- ren Verhältnis zueinander darzulegen. In einem zweiten Schritt ist zu prü- fen, ob eine datenschutzrechtlich relevante Datenbekanntgabe stattge- funden hat und falls ja, ob diesbezüglich ein Verstoss gegen die mass- geblichen Gesetzesbestimmungen und damit eine widerrechtliche Per- sönlichkeitsverletzung vorliegt. 4. 4.1. Jeder Mensch hat nach Art. 8 Abs. 1 der Konvention vom 4. November 1950 zum Schutze der Menschenrechte und Grundfreihei- ten (EMRK, SR 0.101) das Recht auf Achtung seines Privatlebens. Unter diesem Blickwinkel werden die Speicherung und Verwertung von Informa- tionen durch den Staat sowie die Einsicht in gespeicherte Informationen beurteilt. Gemäss Art. 13 der Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999 (BV, SR 101) hat jede Person An- spruch auf Achtung ihrer Privatsphäre und Schutz vor Missbrauch ihrer persönlichen Daten (vgl. diesbezüglich auch BGE 136 II 508 E. 6.3.1 f.). Dieser Anspruch bildet Teil der verfassungsmässigen Garantie der Privat- sphäre und Kernbestandteil des Datenschutzgesetzes (Art. 1 DSG) und räumt jeder Person das Recht darauf ein, selbst zu entscheiden, wann und wem sie persönliche Lebenssachverhalte, aber auch Gedanken, Empfindungen und Ähnliches preisgibt. Dieses verfassungsmässige Recht auf informationelle Selbstbestimmung (Art. 13 Abs. 2 BV und Art. 8 Ziff. 1 EMRK) lässt grundsätzlich ohne Rücksicht darauf, wie sensibel die fraglichen Informationen tatsächlich sind, dem Einzelnen die Herrschaft über seine personenbezogenen Daten zukommen und schützt ihn vor Beeinträchtigungen, die durch die staatliche Bearbeitung seiner persönli- chen Daten entstehen (RAINER J. SCHWEIZER, in: Die Schweizerische Bundesverfassung, Kommentar, Ehrenzel- ler/Mastronardi/Schweizer/Vallender [Hrsg.], 2. Auflage, Zürich 2008, Art. 13 Rz. 37 ff.; JÖRG PAUL MÜLLER/MARKUS SCHEFER, Grundrechte in

A-4467/2011 Seite 6 der Schweiz, Im Rahmen der Bundesverfassung, der EMRK und der UNO-Pakte, 4. Auflage, Bern 2008, S. 164 ff.; URS MAURER- LAMBROU/SIMON KUNZ, in: Basler Kommentar zum Datenschutzgesetz, 2. Auflage, Basel 2006, Maurer-Lambrou/Vogt [Hrsg.], Art. 1 Rz. 19 und 23 mit Hinweisen, nachfolgend "BSK-DSG"; REBEKKA RIESSELMANN- SAXER, Datenschutz im privatrechtlichen Arbeitsverhältnis, Diss. Bern 2002, S. 3 f. mit Hinweis; KURT PÄRLI, Datenaustausch zwischen Arbeit- geber und Versicherung, Diss. Bern 2003, S.127 f.). 4.2. Für die Beurteilung der Anwendbarkeit des Bundesdatenschutz- rechts bzw. für die Abgrenzung privat- oder öffentlich-rechtlich ist auf die Natur des zugrunde liegenden Verhältnisses abzustellen; die Beziehung zwischen dem Datenbearbeitenden und der betroffenen Person ist in ei- ner gesamthaften Betrachtung zu prüfen (vgl. BGE 122 I 153 E. 2c; DAVID ROSENTHAL/YVONNE JÖHRI, Handkommentar zum Datenschutzgesetz, a.a.O., Art. 2 Abs. 1 Rz. 17). Vorliegend handelt es sich bei der Daten- bearbeiterin um eine Vorsorgestiftung, betroffen sind die bei ihr im Rah- men der obligatorischen beruflichen Vorsorge versicherten Personen. Die hier in Frage stehende Rechtsbeziehung ist ohne Weiteres gesetzliche Folge des Arbeitsvertrags (vgl. Art. 10 BVG), d.h. der Arbeitnehmende kann grundsätzlich weder den Abschluss noch den Partner oder Inhalt der Rechtsbeziehung bestimmen, es fehlt an den zentralen Elementen der (privatrechtlichen) Vertragsfreiheit. Der erwähnte gesetzliche An- schluss an die Stiftung bewirkt, dass der einzelne Arbeitnehmende auch ohne Weiteres ihren reglementarischen Bestimmungen unterworfen ist (HANS MICHAEL RIEMER/GABRIELA RIEMER-KAFKA, Das Recht der berufli- chen Vorsorge in der Schweiz, 2. Auflage Bern 2006, § 4 Rz. 11; PÄRLI, a.a.O., S. 83 mit Hinweisen). Als Bundesaufgabe nach Art. 113 BV ist die berufliche Vorsorge dem öffentlichen Recht zuzuordnen. Die unter Bun- desaufsicht stehenden Vorsorgeeinrichtungen, die an der Durchführung der obligatorischen Versicherung beteiligt sind (Art. 48 Abs. 1 BVG), gel- ten als mit einer öffentlichen Aufgabe des Bundes betraute juristische Personen und sind damit in Bezug auf den Datenschutz trotz ihrer feh- lenden Verfügungsmacht als Bundesorgane i.S.v. Art. 2 Abs. 1 Bst. b DSG i.V.m. Art. 3 Bst. h DSG zu qualifizieren, sofern sie Personendaten für die Erfüllung einer öffentlichen Aufgabe des Bundes bearbeiten, was vorliegend der Fall ist (JÖHRI, Handkommentar zum Datenschutzgesetz, a.a.O., Art. 3 Bst. h Rz. 99; KURT PÄRLI, Handkommentar zum BVG, Schneider/Geiser/Gächter [Hrsg.], Bern 2010, Art. 85a Rz. 2 mit Hinweis; MAURER-LAMBROU/ KUNZ, BSK-DSG, a.a.O., Art. 2 Rz. 16 und 18).

A-4467/2011 Seite 7 4.3. Das Datenschutzgesetz bezweckt den Schutz der Persönlichkeit und der Grundrechte von Personen, über die Daten bearbeitet werden (Art. 1 DSG). Es ergänzt und konkretisiert damit den bereits durch das Schwei- zerische Zivilgesetzbuch vom 10. Dezember 1907 (ZGB, SR 210) ge- währleisteten Schutz (BGE 136 II 508 E. 6.3.2; BGE 127 III 481 E. 3.a.bb mit Hinweis). Da jegliche Form des Datenbearbeitens das verfassungs- rechtlich verankerte Recht auf informelle Selbstbestimmung sowie allge- mein das Recht auf persönliche Freiheit gemäss Art. 10 BV tangiert, ist sie nur dann rechtmässig, wenn die in Art. 36 BV vorgesehenen Schran- ken eingehalten sind. Die Bestimmungen des Datenschutzrechts sind letztlich Wertungen darüber, wann eine Datenbearbeitung einen schwer- wiegenden Grundrechtseingriff darstellt. Der bereichsspezifische Gesetz- geber ist nicht an das Schutzniveau des Datenschutzgesetzgebers ge- bunden; er kann andere Wertungen bzw. Regelungen vorsehen (MAU- RER-LAMBROU/KUNZ, BSK-DSG, a.a.O., Art. 1 Rz. 15; JÖHRI, Handkom- mentar zum DSG, a.a.O., Art. 17 Rz. 35 f.). Das Bundesgericht hat dies- bezüglich festgehalten, dass sich weder aus dem Gesetz noch aus den allgemeinen Grundsätzen ergebe, dass das Datenschutzgesetz inhaltli- che Anforderungen an die Ausgestaltung anderer, spezieller Gesetze ent- halte (BGE 124 I 176 E. 5c/ee). Der Gesetzgeber kann somit in bereichs- spezifischen Rechtsgrundlagen von gewissen allgemeinen Prinzipien oder Wertungen des Datenschutzrechts abweichen, so dass einzelnen Bestimmungen des Datenschutzgesetzes keine eigenständige materielle Bedeutung mehr zukommt. Soweit aber nicht eine abschliessende spezi- algesetzliche Norm vorliegt, müssen die Bundesorgane immer auch die allgemeinen Bestimmungen von Art. 4 ff. DSG beachten. Schliesslich sind die Grundsätze des Datenschutzgesetzes auch bei der Auslegung be- reichsspezifischer Normen zu berücksichtigen (vgl. Urteil des Bundesge- richts 2A.534/2001 vom 15. März 2002 E. 5, BGE 126 II 126 E. 5b und 5c; Botschaft vom 23. März 1988 zum DSG in BBl 1988 II 467; JÖHRI, Handkommentar zum DSG, a.a.O., Art. 17 Rz. 5). Das Datenschutzgesetz will also in der Regel neben anderen Erlassen angewandt werden. Es ist jedoch nicht ausgeschlossen, dass eine ande- re Bestimmung des schweizerischen Rechts dem Datenschutzgesetz als lex specialis vorgeht. Ob der Gesetzgeber mit einer spezialgesetzlichen Norm eine bestimmte, auch vom Datenschutzgesetz geregelte Frage für den betreffenden Spezialfall abschliessend regeln wollte, ist durch Geset- zesauslegung festzustellen. Beispielsweise setzt der Gesetzgeber der Datenbearbeitung durch Arbeitgebende über das Datenschutzgesetz hi- nausgehende Schranken, indem diese Daten über Arbeitnehmende ge-

A-4467/2011 Seite 8 mäss Art. 328b Satz 1 OR nur bearbeiten dürfen, soweit sie deren Eig- nung für das Arbeitsverhältnis betreffen oder zur Durchführung des Ar- beitsvertrags erforderlich sind (ROSENTHAL/JÖHRI, Handkommentar zum DSG, a.a.O., Art. 2 Abs. 1 Rz. 2 f.). Wenn eine spezialgesetzliche Rechtsgrundlage für die Bearbeitung von Personendaten vorhanden ist, so erfolgt diese grundsätzlich rechtmässig (STEPHAN C. BRUNNER, Das revidierte Datenschutzgesetz und seine Auswirkungen im Gesundheits- und Versicherungswesen in: Datenschutz im Gesundheits- und Versiche- rungswesen, Schaffhauser/Horschik [Hrsg.], St. Gallen 2008, S. 145; vgl. auch Art. 4 Abs. 3 DSG). Im Bereich der obligatorischen beruflichen Vor- sorge ist die Datenbearbeitung bzw. -bekanntgabe durch Bundesorgane in Art. 85a bis 87 BVG geregelt. Wenn das Spezialrecht strengere Daten- schutznormen oder wie hier eine in sich geschlossene Datenschutzkon- zeption enthält, so gehen diese Bestimmungen ausnahmsweise jenen des allgemeinen Datenschutzgesetzes vor (BBl 1988 II 444, 471). 4.4. Auf die Vorsorgeeinrichtungen als Bundesorgane i.S.v. Art. 2 Abs. 1 Bst. b DSG sind die Bestimmungen des Datenschutzgesetzes aber er- gänzend anwendbar (PÄRLI, Handkommentar zum BVG, a.a.O., Art. 86a Rz. 6, vgl. auch hinten E. 8.3). Das Datenschutzgesetz ist nämlich ein "Querschnitts- bzw. Einheitsgesetz", dessen Geltungsbereich sich nicht nur auf Datenbearbeitungen durch private Personen erstreckt, sondern wie erwähnt auch auf Bundesorgane, welche Personendaten bearbeiten (BBl 1988 II 444; PÄRLI, a.a.O., S. 141; MAURER-LAMBROU/ KUNZ, BSK- DSG, a.a.O., Art. 1 Rz. 6). Darunter sind gemäss Art. 3 Bst. h DSG Be- hörden und Dienststellen des Bundes sowie Personen zu verstehen, die mit öffentlichen Aufgaben des Bundes betraut sind. Bundesorgane sind von Amtes wegen verpflichtet, sowohl die Bestimmungen des Daten- schutzgesetzes als auch datenschutzrechtliche Normen anderer Bundes- erlasse einzuhalten und unterstehen grundsätzlich den strengeren öffent- lich-rechtlichen Bestimmungen von Art. 16 bis 25 bis DSG. Dies liegt darin begründet, dass Bundesbehörden gegenüber Privatpersonen grundsätz- lich hoheitlich auftreten und sie Personendaten auch gegen den Willen der Betroffenen erheben können. Für Datenbearbeitungen durch Bun- desbehörden gelten daneben jedoch auch die allgemeinen Datenschutz- bestimmungen (Art. 4 bis 11a DSG), die sowohl auf private Personen als auch auf Bundesorgane anwendbar sind (JÖHRI, Handkommentar zum Datenschutzgesetz, a.a.O., Art. 3 Bst. h Rz. 99 und ROSENTHAL/JÖHRI, Handkommentar zum Datenschutzgesetz, a.a.O., Art. 2 Abs. 1 Rz. 18 f.; MAURER-LAMBROU/KUNZ, BSK-DSG, a.a.O., Art. 1 Rz. 12; PÄRLI, a.a.O. S. 152).

A-4467/2011 Seite 9

5.1. Unter Personendaten (bzw. "Daten" im Sinne des Datenschutzge- setzes) sind alle Angaben zu verstehen, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 3 Bst. a DSG). Als Angaben gelten al- le Informationen, die auf die Vermittlung oder die Aufbewahrung von Kenntnissen ausgerichtet sind, ungeachtet dessen, ob es sich dabei um eine Tatsachenfeststellung oder um ein Werturteil handelt. Unerheblich ist auch, ob eine Aussage als Zeichen, Wort, Bild, Ton oder Kombinationen aus diesen auftritt und auf welcher Art von Datenträger die Informationen gespeichert sind. Entscheidend für die Qualifikation als Personendaten ist, dass sich die Angaben einer oder mehreren Personen zuordnen las- sen. Sogenannte Sachdaten sind daher immer dann auch Personenda- ten, wenn sie mit einer Person in Verbindung gebracht werden können. Eine Person ist zudem dann bestimmt, wenn sich aus der Information selbst ergibt, dass es sich um diese ganz bestimmte Person handelt. Wie der Bezug zur betroffenen Person hergestellt wird, ist ohne Bedeutung. Als Personendaten gelten schliesslich auch Angaben, bei denen eine Person lediglich bestimmbar ist, weil deren Identifikation durch die Kom- bination verschiedener Informationen ohne einen unverhältnismässigen Aufwand möglich ist. Der für die Bestimmung einer Person zu betreiben- de Aufwand ist aber dann nicht mehr vertretbar, wenn nach der allgemei- nen Lebenserfahrung nicht damit gerechnet werden muss, dass ein Inte- ressent diesen auf sich nehmen wird (vgl. BBl 1988 II 444 f.; URS BELSER, BSK-DSG, a.a.O., Art. 3 Rz. 5 f.). Ob eine Information aufgrund zusätzli- cher Angaben mit einer Person in Verbindung gebracht werden kann, sich die Information mithin auf eine bestimmbare Person bezieht (Art. 3 Bst. a DSG), beurteilt sich aus der Sicht des jeweiligen Inhabers der Informati- on. Im Falle der Weitergabe von Informationen ist dabei ausreichend, wenn der Empfänger die betroffene Person zu identifizieren vermag (Ur- teil des Bundesgerichts 1C_285/2009 vom 8. September 2010 E. 3.4 mit Hinweisen). Der Begriff der Personendaten geht ausserordentlich weit, weshalb auch der sachliche Geltungsbereich des Datenschutzgesetzes ausserordent- lich weit ist und selbst Daten mit sehr geringem Personenbezug und ge- ringer Gefährdung der Persönlichkeit der betroffenen Person erfasst wer- den. Diesem Umstand trägt das Datenschutzgesetz dadurch Rechnung, dass die Anforderungen, die es bei korrekter Anwendung aufstellt, umso

A-4467/2011 Seite 10 tiefer sind, je geringer die Persönlichkeit der betroffenen Personen ge- fährdet ist (vgl. ROSENTHAL, Handkommentar zum DSG, a.a.O., Art. 3 Rz. 2). 5.2. Nicht in Frage steht, dass es sich vorliegend um Informationen han- delt, die als Angaben im Sinne des Datenschutzgesetzes anzusehen sind (vgl. vorangehende E. 5.1). Auch das zweite Kriterium – der Personenbe- zug – kann ohne Weiteres bejaht werden, da auf dem jeweiligen Pensi- onskassenausweis Name und Adresse vermerkt sind und sich daraus somit direkt ergibt, wem die darauf verzeichneten Daten zuzuordnen sind. Damit sind die betroffenen Personen offensichtlich bestimmt und die in den fraglichen Ausweisen enthaltenen Angaben klar als Personendaten zu qualifizieren. 6. 6.1. Bearbeiten von Daten im Sinne von Art. 2 Abs. 1 DSG bedeutet je- der Umgang mit Personendaten, unabhängig von den angewandten Mit- teln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwen- den, Umarbeiten, Bekanntgeben, Archivieren oder Vernichten von Daten (Art. 3 Bst. e DSG). 6.2. Der Begriff der Bekanntgabe als der heikelste Bearbeitungsschritt mit entsprechend hohem Potenzial für Persönlichkeitsverletzungen ist in Art. 3 Bst. f DSG definiert als das Zugänglichmachen von Personendaten wie das Einsichtgewähren, Weitergeben oder Veröffentlichen. In der Leh- re wird darunter grösstenteils jede aktive Weitergabe und jedes passive Zugänglichmachen von Personendaten, z.B. durch Herumliegenlassen vertraulicher Akten verstanden, die es einem Dritten ermöglichen, vom Inhalt personenbezogener Informationen Kenntnis zu nehmen. RIESSEL- MANN-SAXER stellt sich demgegenüber auf den Standpunkt, die Bekannt- gabe durch passive Weitergabe im Sinne einer Einsichtgewährung sei von der blossen Verletzung des Grundsatzes der Datensicherheit zu un- terscheiden. Erstere liege vor, wenn die Daten mit entsprechendem Wil- len zur Bekanntgabe zugänglich gemacht werden, Letztere gründe auf einer eigentlichen Nachlässigkeit des Verantwortlichen. So oder anders ist erforderlich, dass die Daten einem Dritten tatsächlich zugänglich ge- macht werden. Wer schon Zugang zu bestimmten Daten hat, dem können sie nicht mehr zugänglich gemacht werden; mit anderen Worten können Daten nur bekanntgegeben werden, wem sie nicht schon bzw. nicht in diesem Umfang bekannt sind (JÖHRI, Handkommentar zum DSG, a.a.O.,

A-4467/2011 Seite 11 Art. 3 Bst. f Rz. 75 f.; ROSENTHAL, Handkommentar zum DSG, a.a.O., Art. 6 Rz. 4; URS BELSER, BSK-DSG, a.a.O., Art. 3 Rz. 30; YVONNE JÖH- RI/MARCEL STUDER, BSK-DSG, a.a.O., Art. 19 Rz. 1; RIESSELMANN- SAXER, a.a.O., S. 18; BBl 1988 II 447; zur Datensicherheit vgl. hinten E. 9). 6.3. Die Beschwerdegegnerin hat die Vorsorgeausweise willentlich un- verschlossen an die Arbeitgebenden zugestellt, d.h. es wurde zweifelsfrei Einsicht gewährt. Den Ausweisen ist unter anderem zu entnehmen, wel- che Freizügigkeitsleistungen neu eintretende Versicherte einbringen, wann und in welcher Höhe versicherte Personen Einkäufe in die Pensi- onskasse tätigen bzw. Pensionskassenguthaben für den Erwerb von Wohneigentum vorbeziehen, ob und wann ihr Guthaben sich infolge Ehe- scheidung verändert hat und auf welchen Betrag sich ihre angesparten Pensionskassenguthaben belaufen. Unter Umständen befinden sich Hin- weise betreffend provisorischem Versicherungsschutz oder temporärer Erwerbsunfähigkeit auf dem Vorsorgeausweis. Zudem wird alljährlich die Höhe der Freizügigkeitsleistung bekanntgegeben (Art. 24 des Freizügig- keitsgesetzes vom 17. Dezember 1993 [FZG, SR 831.42]). Zu klären ist in diesem Zusammenhang, ob die Arbeitgebenden in Bezug auf die soeben erwähnten Daten als Dritte zu qualifizieren sind, so dass von einer datenschutzrechtlich relevanten Bekanntgabe auszugehen ist oder ob sie aufgrund ihrer Aufgaben im Rahmen der beruflichen Vorsorge oder innerhalb der Vorsorgestiftung bereits Kenntnis von obgenannten Daten haben, womit eben keine Datenbekanntgabe vorliegen würde (vgl. dazu auch E. 3). 6.3.1. Der Gesetzgeber hat es unterlassen, in den Legaldefinitionen von Art. 3 DSG den Begriff des Dritten zu konkretisieren. Dieser wird jedoch in diversen Bestimmungen verwendet und ist daher von einiger Bedeutung. Grundsätzlich sind drei Betrachtungsweisen denkbar, um den Begriff des Dritten zu bestimmen. Die funktionsbezogene Umschreibung fasst den Begriff am engsten: Demnach sind all jene Dritte, welche nicht aufgrund ihrer Aufgabe Zugriff auf die Daten erhalten. Bei der rechtlichen Betrach- tungsweise hingegen gilt als Dritter, wer nicht derselben rechtlichen Ein- heit angehört bzw. bei dem es sich um eine andere juristische oder natür- liche Person handelt. Am weitesten wird der Begriff des Dritten aufgrund der wirtschaftlichen Betrachtungsweise gefasst: Als Dritte zu qualifizieren sind danach all jene, die ausserhalb einer wirtschaftlichen Einheit, z.B. eines Konzerns, stehen. Infolge konsequenter Anwendung des Vertrau-

A-4467/2011 Seite 12 lichkeitsprinzips (vgl. Art. 7 Abs. 1 DSG und Art. 9 Abs. 1 Bst. g der Ver- ordnung vom 14. Juni 1993 zum Bundesgesetz über den Datenschutz [VDSG, SR 235.11]), wonach der Zugriff der berechtigten Personen auf diejenigen Personendaten zu beschränken ist, die sie für die Erfüllung ih- rer Aufgabe benötigen, kann grundsätzlich nur die erstgenannte, funkti- onsbezogene Begriffsbestimmung massgebend sein. Dritte sind dement- sprechend all diejenigen, welche die betreffenden Personendaten für die Erfüllung ihrer jeweiligen Aufgabe nicht benötigen. Als Bekanntgabe an einen Dritten gilt demnach beispielsweise die Einsichtnahme eines Abtei- lungsleiters in die Personalakte eines Arbeitnehmenden, der nicht dersel- ben Abteilung innerhalb desselben Betriebs angehört (RIESSELMANN- SAXER, a.a.O, S. 20 mit Hinweisen). Ziel vorgenannter Bestimmung ist – analog zum gleichlautenden Art. 33 des Bundesgesetzes vom 6. Oktober 2000 über den Allgemeinen Teil des Sozialversicherungsrechts (ATSG, SR 830.1) – u.a. der Schutz der Persönlichkeit betroffener Personen, welche sowohl durch die Weitergabe entsprechender Daten nach aussen als auch innerhalb derselben Behörde tangiert wird. Dies lässt sich eben- falls aus der Tatsache schliessen, dass die Schweigepflicht grundsätzlich auch innerhalb derselben Behörde zu beachten ist, solange damit nicht die Durchführung der beruflichen Vorsorge verunmöglicht wird. Daran än- dert nichts, dass die einzelnen Personen innerhalb der Behörde ihrerseits der Schweigepflicht unterstehen. Alle Personen und Stellen ausserhalb der entsprechenden Behörde – wie etwa Arbeitgebende – haben umso mehr als Dritte zu gelten (vgl. UELI KIESER, ATSG-Kommentar, 2. Auflage, Zürich/Basel/Genf 2009, Art. 33 Rz 10 f. mit Hinweisen; PÄRLI, Hand- kommentar zum BVG, a.a.O., Art. 86 Rz. 3, 5 und 13 f. mit Hinweisen; JÖHRI, Handkommentar zum DSG, a.a.O., Art. 3 Bst. f. Rz. 75). 6.3.2. 6.3.2.1 Die paritätische Verwaltung nach Art. 51 BVG ist das oberste Or- gan einer Vorsorgeeinrichtung. Der Grundgedanke von Art. 51 BVG ist die Einführung einer beitragsunabhängigen und vollen paritätischen, d.h. effektiv gleichberechtigten Mitbestimmung der Arbeitnehmervertretung in privatrechtlichen Personalvorsorgestiftungen, also die Statuierung einer echten Sozialpartnerschaft auf dem Gebiet der beruflichen Vorsorge. Dies muss für die Anwendung dieser Bestimmung (Auslegung und Füllung all- fälliger Lücken des darauf beruhenden Reglements) wegleitend sein. Die volle Parität gemäss Art. 51 BVG wurde vorab als Minimalvorschrift zum Schutz der Arbeitnehmenden eingeführt, so dass sie zu deren Ungunsten nicht verändert werden darf, es den Arbeitgebenden jedoch freisteht, auf

A-4467/2011 Seite 13 ihre Vertretungsrechte ganz oder teilweise zu verzichten (RIEMER/RIEMER- KAFKA, a.a.O., § 2 Rz. 54 und 69; THOMAS GÄCHTER/MAYA GECKELER HUNZIKER, Handkommentar zum BVG, a.a.O., Art. 51 Rz. 12 f. mit Hin- weisen). Dem paritätischen Organ kommen eigentliche Mitbestimmungs- und nicht nur blosse Mitspracherechte zu, wobei alle Vertretenden abso- lut gleichberechtigt sind. Ob zur Vertretung auf beiden Seiten externe Personen wie Rechtsanwälte oder Experten beigezogen werden dürfen, ist gesetzlich nicht geregelt, wird jedoch von der Lehre entsprechend der bisherigen Praxis bejaht. Alle strategischen Entscheide als Kernaufgaben des obersten Organs dürfen nicht auf aussenstehende Dritte übertragen werden, d.h. bestimmte zentrale Führungsaufgaben müssen vom paritäti- schen Organ selbst wahrgenommen werden. Dieses kann indessen ihm zustehende operative Kompetenzen beispielsweise an ein besonderes Fachgremium delegieren, insbesondere im Bereich der Vermögensver- waltung i.S.v. Art. 51 Abs. 2 Bst. c BVG, wo den Mitgliedern des paritäti- schen Organs oftmals das nötige Fachwissen fehlt. In Anbetracht der zu- nehmenden Komplexität der zu bewältigenden Aufgaben führen man- gelnde Fachkenntnisse und das Bedürfnis nach Professionalität vermehrt dazu, dass Vorsorgeeinrichtungen bestimmte Aufgaben an aussenste- hende Dienstleistende auslagern. Ebenso kann es – vor allem bei gros- sen Personalvorsorgeeinrichtungen – zweckmässig sein, wenn gewisse Aufgaben einzelnen Mitgliedern oder Ausschüssen des Führungsorgans zugewiesen werden. Solche Ausschüsse müssen nicht zwingend paritä- tisch zusammengesetzt, jedoch durch das paritätische Organ gewählt sein und kontrolliert werden können (GÄCHTER/GECKELER HUNZIKER, Handkommentar zum BVG, a.a.O., Art. 51 Rz. 29 f. und Rz. 54 ff. je mit Hinweisen; RIEMER/RIEMER-KAFKA, a.a.O., § 2 Rz. 58 f.). 6.3.2.2 Im Sinne einer informationellen Gewaltenteilung ist eine gewisse Abschottung zwischen Verwaltungseinheiten sicherzustellen, damit nicht jede Amtsstelle in alle Personendaten beliebig Einblick nehmen kann, die im Staat bearbeitet werden (BBl 1988 II 469). Dieser Grundsatz der in- formationellen Trennung ist nicht nur bei der Datenbekanntgabe zwischen verschiedenen Bundesorganen zu beachten, sondern auch innerhalb ei- ner Behörde sicherzustellen (JÖHRI, Handkommentar zum DSG, a.a.O., Art. 19 Rz. 6 mit Hinweisen). Die in Art. 7 DSG geforderte Vertraulichkeit der Daten ist nicht vorhanden, wenn Arbeitgebende Einblick in Gesund- heits- und andere versicherungsrechtliche Daten erhalten. Die Verwaltung einer Vorsorgeeinrichtung muss deshalb so organisiert sein, dass weder der Arbeitgebende selber noch ein Organ oder Stellvertreter Zugang zu den Daten der versicherten und bei ihm angestellten Personen erhält, an-

A-4467/2011 Seite 14 sonsten eine widerrechtliche Datenbearbeitung vorliegt. Namentlich die fehlende Trennung zwischen Arbeitgeber- und Versicherungsfunktion kann dazu führen, dass die Arbeitgebenden Einblick in Versicherungsda- ten erhalten (PÄRLI, a.a.O., S. 3 und 9). Wenn ein Mitarbeitender der Per- sonalabteilung eines Arbeitgebenden gleichzeitig verantwortlich ist für die Abwicklung organisatorischer Belange der Vorsorgeeinrichtung, so dient das Wissen, das er in seiner Funktion als Vertretender der Vorsorgeein- richtung erlangt, zwei Herren. Hat der Arbeitgebende dadurch uneinge- schränkten Zugang zu den Versicherungsdossiers der Vorsorgeeinrich- tung, ist die Ausgangslage mit einer verpönten Personalunion vergleich- bar. Folgt man der herrschenden Lehre, so wird alles Wissen eines Organs der juristischen Person selbst zugerechnet, d.h. das Wissen der Vorsor- geeinrichtung über die im persönlichen Ausweis enthaltenen Daten wird zum Wissen des jeweiligen Arbeitgebenden. Die Lehre wird allerdings in ihrer Absolutheit in Frage gestellt. So wird angeregt, eine angemessene Informationsbewirtschaftung solle dazu führen, dass Informationen an diejenigen Stellen gelangten, welche sie auch benötigten. Die richtige Kanalisation des Informationsflusses und insbesondere eine adäquate Zugangsregelung können durch Kommunikationsschranken innerhalb des Betriebs, sogenannte "Chinese Walls" sichergestellt werden. Diese ver- hindern, dass Unbefugte Zugang zu für sie nicht relevante Informationen erhalten. Die Notwendigkeit solcher Schranken ergibt sich wie erwähnt bereits aus dem in Art. 7 DSG verankerten Gebot der Datensicherheit. So verlangt denn auch der EDÖB in seinem Leitfaden für die Bearbeitung von Personendaten im Arbeitsbereich eine strikte Trennung zwischen dem Personaldienst des Arbeitgebenden und dem Verwaltungspersonal der Versicherung. Die Führung der Dossiers der versicherten Personen kann grundsätzlich aussenstehenden Dritten übertragen werden. Da- durch lässt sich der unbefugte Datenaustausch als Folge von Personal- union oder ungenügenden Kommunikationsschranken vermeiden, wobei der grundlegend unbefriedigende Zustand nur mit einem Verbot der Wahrnehmung beider Aufgaben in Personalunion geändert werden kann (HANS MICHAEL RIEMER, Berührungspunkte zwischen beruflicher Vorsorge und Arbeitsrecht, SZS 2009, S. 119 f. mit Hinweisen; GABRIELA RIEMER- KAFKA, Datenschutz zwischen Arbeitgeber und Versicherungsträgern, SJZ 96/2000, S. 288, 291 f. mit Hinweisen; PÄRLI, a.a.O., S. 210 ff. mit Hinweisen; EDÖB, Leitfaden für die Bearbeitung von Personendaten im Arbeitsbereich, Version Mai 2011, S. 10 Ziff. 3.1.4,

A-4467/2011 Seite 15 http://www.edoeb.admin.ch > Dokumentation > Leitfäden, besucht am 2. März 2012; zum Grundsatz der Datensicherheit vgl. hinten E. 9). 6.3.2.3 In Bezug auf die Auskunftspflicht einer Vorsorgeeinrichtung ge- genüber ihren Versicherten hat das BSV in diesem Zusammenhang Fol- gendes festgehalten: Im Rahmen ihrer Organisation kann die Vorsorgeeinrichtung ihre Vorsor- gewerke als unmittelbare Kontaktstellen zu den Versicherten bezeichnen, so dass sämtliche Anfragen, Informationen, Anweisungen usw. über diese laufen. Anderseits ist die Übertragung von solchen Aufgaben nicht zwin- gend erforderlich, auch dann nicht, wenn die paritätische Verwaltung auf Stufe der Vorsorgewerke organisiert ist. Die alltägliche Geschäftsführung wird nämlich in der Regel nicht vom Stiftungsrat oder vom paritätischen Organ des Vorsorgewerkes persönlich betreut. Vielmehr wird damit eine Geschäftsstelle beauftragt. Ein Bedürfnis nach Direktinformationen besteht z.B. in den Fällen, in de- nen der Arbeitnehmende ein legitimes Interesse daran hat, dass sein Ar- beitgebender von seinem Auskunftsbegehren nichts erfährt. Dies kann insbesondere bei Erkundigungen nach der Höhe der Freizügigkeitsleis- tung der Fall sein. Wenn sich die versicherte Person an die im Rahmen des Vorsorgewerkes organisierte paritätische Verwaltung, in der ihr Ar- beitgebender oder dessen Vertretung Einsitz haben, oder an Mitarbeiten- de im Personalwesen, die das Vorsorgewerk betreuen, wenden muss, ist die Vertraulichkeit der Behandlung solcher Anfragen nicht gewährleistet. Dies kann die faktische Durchsetzung der Informationsansprüche der Ar- beitnehmenden beträchtlich erschweren. Die Autonomie der Vorsorgeein- richtung, sich nach ihrem Gutdünken zu organisieren, steht somit in Kon- flikt mit dem sich aus dem arbeitsrechtlichen Persönlichkeitsschutz des Arbeitnehmenden ergebenden Anspruch auf vertrauliche Behandlung seiner Anfrage im Bereich des Vorsorgeverhältnisses. Aus dem Sinn und Zweck von Art. 86 BVG ergibt sich, dass Auskunftsbegehren der versi- cherten Personen zu keinen negativen Auswirkungen auf ihr Arbeitsver- hältnis führen dürfen. Der Arbeitnehmende hat einen legitimen Anspruch darauf, dass der Arbeitgebende wegen allfälliger Interessenkollisionen von seiner Anfrage keine Kenntnis erhält (vgl. diesbezüglich hinten E. 9.3). Es ist somit organisatorisch die Möglichkeit zu schaffen, auf Wunsch des Arbeitnehmenden eine Auskunft in der Weise zu erteilen, dass der Arbeitgebende und andere mit der Geschäftsleitung der betref- fenden Unternehmung betraute Personen davon nichts erfahren. Die

A-4467/2011 Seite 16 Sammel- wie auch die übrigen Einrichtungen können dieses Problem z.B. dadurch lösen, dass wichtige, die versicherte Person besonders und per- sönlich interessierende Daten wie die Freizügigkeitsleistung periodisch auf einem Versicherungsausweis mitgeteilt werden (Mitteilungen des BSV über die berufliche Vorsorge Nr. 19 vom August 1991, Nr. 114 Auskunft in der beruflichen Vorsorge, Ziff.1 S. 2 f., http://www.bsv.admin.ch/vollzug/ documents/index/page:12/lang:deu/category:67, besucht am 2. März 2012). 6.3.3. 6.3.3.1 Im Fall der Beschwerdegegnerin setzt sich die Personalvorsorge- kommission als paritätisches Organ aus mindestens je einem Vertreter der Arbeitgeber- und –nehmerseite zusammen, wobei auch nicht versi- cherte Dritte als Mitglieder gewählt werden können (vgl. Art. 2 f. Organi- sationsreglement der Personalvorsorge-Kommission der Beschwerde- gegnerin [Organisationsreglement]). Die Personalvorsorge-Kommission wählt den Stiftungsrat und nimmt die Aufgaben wahr, die dieser ihr regle- mentarisch überträgt (vgl. Art. 6 Organisationsreglement). Die Kommissi- on ist ebenfalls Stiftungsorgan. Vorsorgekommissionen sind einerseits Vertreterinnen der angeschlossenen Firmen, zugleich aber auch dasjeni- ge Gremium, mittels welchem die in Art. 51 BVG vorgesehene paritäti- sche Verwaltung der Vorsorgeeinrichtung durchgeführt wird. Deshalb ha- ben sie grundsätzlich den gleichen Zugang zu den massgeblichen Infor- mationen wie die Gremien der paritätischen Verwaltung bei einer einzel- betrieblichen Vorsorgeeinrichtung (BGE 124 II 114 E. 2b mit Hinweisen). Zum Kreis der von der Schweigepflicht nach Art. 86 BVG erfassten Per- sonen gehören auch die Mitglieder des paritätischen Organs, welche als Organe der Stiftung fungieren (GECKELER HUNZIKER, Arbeitnehmermitbe- stimmung unter besonderer Berücksichtigung der paritätischen Verwal- tung nach Art. 51 BVG, Diss. Zürich/Basel/Genf 2010, S. 174 f.; PÄRLI, BVG-Kommentar, a.a.O., Art. 86 Rz. 12; RIEMER/RIEMER-KAFKA, a.a.O., § 2 Rz. 76). Obwohl den Mitgliedern der Kommission zwecks Erfüllung ih- rer Aufgaben ein umfassendes Einsichtsrecht zukommen muss, lässt sich aus den diesem Organ zustehenden Kompetenzen folgern, dass indivi- dualisierte, v.a. gesundheitsbezogene Daten über versicherte Arbeitneh- mende keine Relevanz für das dem paritätischen Gremium zukommende Handeln haben. Art. 51 BVG steht somit einer Einschränkung des Ein- sichtsrechts in Personaldossiers der Versicherung durch die Arbeitgeber- seite nicht im Weg. Darüber hinaus scheint fraglich, ob ein Stiftungsrats- mitglied – vorbehältlich der Pensionskassenverwaltung – überhaupt ein

A-4467/2011 Seite 17 rechtliches Interesse an schützenswerten Daten von Arbeitnehmenden haben kann (GECKELER HUNZIKER, a.a.O., S. 174; RIEMER-KAFKA, a.a.O., S. 288 mit Hinweisen; vgl. zudem vorne E. 6.3.2.1 zum Zweck von Art. 51 als Minimalvorschrift zugunsten der Arbeitnehmenden). 6.3.3.2 Die Personalvorsorge-Kommission der Beschwerdegegnerin nimmt strategische Aufgaben wie namentlich die Wahl des Stiftungsrats, den Erlass des Vorsorgeplans, Entscheide über die Finanzierung des Vorsorgewerks und über die Verwendung des freien Vermögens wahr und überprüft die Jahresrechnung (vgl. Art. 6 des Organisationsreglements). Dafür benötigten ihre Mitglieder keine Einsicht in die individuellen Daten der einzelnen Versicherten. Es ist für die Erfüllung ihrer Aufgabe irrele- vant, wer welche Einkäufe oder Vorbezüge getätigt hat; vielmehr reicht es, wenn sie um die Höhe des insgesamt vorhandenen Kapitals der Stif- tung wissen. Die Organstellung der Arbeitgebervertretung hat demge- mäss entgegen der Ansicht der Beschwerdegegnerin und der Vorinstanz nicht zur Folge, dass die Arbeitgebenden Kenntnis aller persönlichen Da- ten ihrer Arbeitnehmenden haben (müssen). Die diesbezüglichen vo- rinstanzlichen Ausführungen, wonach der Arbeitgebende "naturgemäss" Angestellte in die Personalvorsorge-Kommission entsende und es dem- nach klar sei, dass er als Teil des obersten Organs der Stiftung Einblick in diese Akten habe, solange nicht besonders schützenswerte Daten davon betroffen seien, vermag in doppelter Hinsicht nicht zu überzeugen. Einer- seits ist seitens des Arbeitgebenden wie erwähnt die Vertretung im paritä- tischen Organ nicht zwingend und an Dritte delegierbar, andererseits ist nicht auszuschliessen, dass – sofern die Vertretung des Arbeitgebenden infolge organisatorischer Mängel Einsicht in individuelle Versichertendos- siers erhält – besonders sensible Gesundheitsdaten nicht betroffen sind. Umso mehr ist die Einsicht auf die zur Wahrnehmung der obgenannten strategischen Aufgaben erforderlichen Informationen zu beschränken (vgl. dazu auch vorne E. 6.3.2). 6.3.4. 6.3.4.1 Die Beitragspflicht der Arbeitgebenden stellt den wichtigsten Teil des Inhalts der Rechtsbeziehung zwischen ihnen und der Vorsorgestif- tung dar (vgl. Art. 66 BVG; RIEMER/RIEMER-KAFKA, a.a.O., § 4 Rz. 6). Der Arbeitgebende, der obligatorisch zu versichernde Arbeitnehmende be- schäftigt, muss eine in das Register für die berufliche Vorsorge eingetra- gene Vorsorgeeinrichtung errichten oder sich einer solchen anschliessen (Art. 11 Abs. 1 BVG). Gemäss Art. 10 der Verordnung vom 18. April 1984

A-4467/2011 Seite 18 über die berufliche Alters-, Hinterlassenen- und Invalidenvorsorge (SR 831.441.1) muss der Arbeitgebende der Vorsorgeeinrichtung alle versicherungspflichtigen Arbeitnehmenden melden und alle Angaben ma- chen, die zur Führung der Alterskonten und zur Berechnung der Beiträge nötig sind. 6.3.4.2 Für die Durchführung der beruflichen Vorsorge bzw. zur Erfüllung ihrer damit verbundenen Aufgaben benötigen die Arbeitgebenden Anga- ben im Zusammenhang mit der in Art. 66 BVG geregelten Beitragspflicht, d.h. Daten zwecks Anmeldung eines Arbeitnehmenden in die Vorsorge- einrichtung oder Angaben bei dessen Austritt. Es werden jedoch keine Angaben über die Höhe von Freizügigkeitsleistungen, über Bezüge für Wohneigentum oder über Einkäufe in die berufliche Vorsorge benötigt. Die in Erwägung 6.3.2.3 zitierte Mitteilung des BSV vom 19. August 1991 zeigt auf, dass den Arbeitgebenden die Höhe der Freizügigkeitsleistun- gen, die ihren einzelnen Arbeitnehmenden zustehen, grundsätzlich nicht bekannt ist und die Vertreter der Arbeitgebenden in der paritätischen Kommission keine Einsicht in Daten haben sollten, die sie nicht im Rah- men ihrer Beitragspflicht oder zur strategischen Führung der Stiftung be- nötigen. Idealerweise hat sich eine Vorsorgeeinrichtung demgemäss so zu organisieren, dass die Arbeitgebenden bzw. deren Vertretung keinen Einblick in die im Pensionskassenausweis enthaltenen, ihnen grössten- teils unbekannten und aufgrund der Beitragspflicht nicht errechenbaren Daten erhalten. 6.3.5. 6.3.5.1 Nach Art. 331 Abs. 4 OR hat der Arbeitgebende dem Arbeitneh- menden über die ihm gegen eine Vorsorgeeinrichtung zustehenden For- derungsrechte den erforderlichen Aufschluss zu erteilen. Der Arbeitge- bende ist indes nur auskunftspflichtig über die "Forderungsrechte", d.h. über den Arbeitnehmenden zustehende Rechte und Anwartschaften. In- dem der Arbeitgebende dem Arbeitnehmenden bei dessen Eintritt das Personalvorsorgereglement abgibt und ihm auch später regelmässig einmal jährlich, mindestens jedoch alle drei Jahre (Art. 24 Abs. 1 FZG analog), den Stand seiner Ansprüche bekanntgibt sowie allfällige Fragen beantwortet, wird er seinen Pflichten genügen. Die arbeitsrechtliche In- formationspflicht tritt hinter der vorsorgerechtlichen zurück und wird v.a. im Rahmen der arbeitsrechtlichen Vertragsverhandlungen, wenn letztere Pflicht noch nicht aktuell ist, Bedeutung haben (ULLIN STREIFF/ADRIAN VON KAENEL, Praxiskommentar zum Arbeitsvertrag, 6. Auflage 2006,

A-4467/2011 Seite 19 Art. 331 Rz. 10 mit Hinweisen; RIEMER, a.a.O., S. 120). In diese Richtung zielen auch die Weisungen des Bundesrates über die Pflicht der regis- trierten Vorsorgeeinrichtungen zur Auskunftserteilung an ihre Versicher- ten, gemäss welchen die Einrichtungen zu veranlassen haben, dass die bei ihnen angeschlossenen Arbeitgebenden ihre Arbeitnehmenden über die ihnen zustehenden Auskunftsrechte informieren (Mitteilung des BSV über die berufliche Vorsorge Nr. 10 vom 15. August 1988, Nr. 54, http://www.bsv.admin.ch/vollzug/documents/index/page:12/lang:deu/categ ory:67, besucht am 2. März 2012). Art. 55 Abs. 6 des Reglements 2005 der Stiftung Auffangeinrichtung BVG, wonach Vorsorgeausweise, Reglemente, Merkblätter und Formulare den angeschlossenen Betrieben zuzustellen und diese dafür verantwortlich sind, dass die versicherte Per- son in den Besitz der für sie bestimmten Unterlagen gelangt (Stiftung Auf- fangeinrichtung BVG, Reglement 2005 zur Vorsorge BVG, 2. Teil Allge- meine Bestimmungen, genehmigt vom Bundesrat am 27. Oktober 2004, http://www.chaeis.net/fileadmin/CHAEIS_SYNC/Internet/BVG_ALV/BVG_ ALV_Reglemente/D_Allgemeine%20Bestimmungen.pdf, besucht am 2. März 2012), legitimiert die Arbeitgebenden entgegen der Ansicht der Vorinstanz nicht, die im Vorsorgeausweis enthaltenen Daten zur Kenntnis zu nehmen. Der Hinweis auf die in welcher Form auch immer zu erfol- gende Zustellung und Weiterleitung impliziert noch keine Kenntnis der Daten. 6.3.5.2 Die Arbeitgebenden müssen somit über die individuelle Vorsorge- situation ihrer Arbeitnehmenden nicht informiert sein, um Letztere pflicht- gemäss über ihre Forderungsrechte zu unterrichten. Damit die Arbeit- nehmenden umfassend informiert sind und ihre Forderungen gegenüber der Vorsorgeeinrichtung geltend machen können, reichen allgemeine Hinweise theoretischer Natur; eine einzelfallspezifische Beratung ist hier- für nicht erforderlich, kann aber mit Einwilligung des betroffenen Arbeit- nehmenden erfolgen. Entgegen der Auffassung der Vorinstanz lässt sich aus Art. 331 Abs. 4 OR demnach nicht herleiten, dass die Beschwerde- gegnerin den Arbeitgebenden die im Vorsorgeausweis enthaltenen Daten weiterleiten darf. 6.3.6. Ebenso wenig lässt sich in der Fürsorgepflicht des Arbeitgebenden nach Art. 328 OR eine gesetzliche Grundlage für die Weitergabe der strit- tigen Daten erblicken. Im Gegenteil: Gemäss Art. 328 Abs. 1 OR hat der Arbeitgebende im Arbeitsverhältnis u.a. die Persönlichkeit des Arbeit- nehmenden zu achten und zu schützen, wozu auch dessen private Ge- heimsphäre zählt; die Missachtung des Datenschutzes führt zu einer Ver-

A-4467/2011 Seite 20 letzung der Persönlichkeit des betroffenen Arbeitnehmenden (STREIFF/ VON KAENEL, a.a.O., Art. 328 Rz. 7). Hinzu kommt, dass der Arbeitgebende Daten über den Arbeitnehmenden nur bearbeiten darf, soweit sie dessen Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrags erforderlich sind (Art. 328b OR). Vorgenannte Bestimmung beschränkt die zulässige Da- tenbearbeitung im Arbeitsverhältnis auf Fälle mit Arbeitsplatzbezug (STREIFF/VON KAENEL, a.a.O., Art. 328b Rz. 3, vgl. auch vorne E. 4.1 zur Anwendbarkeit des DSG). Unter den zur Durchführung des Arbeitsver- trags erforderlichen Datenbearbeitungen werden gemeinhin administrati- ve Belange verstanden, so etwa zur Erfüllung der gesetzlichen Verpflich- tungen gegenüber den Sozialversicherungen (STREIFF/VON KAENEL, a.a.O., Art. 328b Rz. 6). Damit wird jedoch der umgekehrte Fall der Da- tenbekanntgabe von den Arbeitgebenden an die Beschwerdegegnerin in Zusammenhang mit deren Beitragspflicht gemäss Art. 66 BVG angespro- chen, wovon nur diejenigen Daten aus dem Vorsorgeausweis betroffen sind, welche den Arbeitgebenden aufgrund ihrer Beitragspflicht ohnehin schon bekannt sind, d.h. in Bezug auf welche hier unbestrittenermassen keine Datenbekanntgabe vorliegt. 6.4. Zusammenfassend ist Folgendes festzuhalten: Da aus den Pensi- onskassenausweisen Daten zur persönlichen Vorsorgesituation der versi- cherten Arbeitnehmenden ersichtlich sind, welche die angeschlossenen Arbeitgebenden der Vorsorgeeinrichtung nicht bereits in Erfüllung ihrer Beitragspflicht nach Art. 66 BVG via Anmeldeformular mitteilen und daher weder bereits kennen noch berechnen können, liegt in Bezug auf diese Daten nach allen in Erwägung 6.3.1 erwähnten Definitionen eine Be- kanntgabe bzw. Weitergabe der entsprechenden Personendaten an einen Dritten im Sinne des Datenschutzgesetzes vor. Denn auch wenn die Ar- beitgebenden bzw. die sie vertretenden Personen gleichzeitig eine Or- ganfunktion innerhalb der Vorsorgeeinrichtung einnehmen, was v.a. in Bezug auf den vorliegend nicht zu thematisierenden Bereich der Verant- wortlichkeit relevant ist, benötigen sie die strittigen Angaben nicht zur Wahrnehmung der damit verbundenen strategischen Aufgaben und soll- ten aufgrund entsprechender, zu erwartender und wünschenswerter or- ganisatorischer Vorkehrungen der Vorsorgeeinrichtung gemäss vorste- henden Erwägungen (vgl. insbesondere E. 6.3.2) auch keine Kenntnis davon erhalten. Entgegen der Meinung der Vorinstanz und der Be- schwerdegegnerin sind die Arbeitgebenden bzw. ihre Vertreter in der pari- tätischen Kommission daher in Bezug auf Daten, die ihnen nicht bekannt

A-4467/2011 Seite 21 sind bzw. sein sollten, als Dritte zu qualifizieren. Zudem kann bei der praktizierten Zustellung der Pensionskassenausweise in offenen Couverts – auch wenn sie an eine von den Arbeitgebenden mit der Durchführung der beruflichen Vorsorge beauftragte Stelle, der die Daten allenfalls we- gen organisatorischer Mängel oder Personalunion schon bekannt wären, erfolgen würde – nicht ausgeschlossen werden, dass zusätzliche unbetei- ligte Dritte in darin enthaltene Daten, die ihnen bis anhin unbekannt wa- ren, Einblick erhalten. Die Voraussetzung des Bearbeitens gemäss Art. 2 Abs. 1 i.V.m. Art. 3 Bst. e und f DSG ist somit in Bezug auf die Beschwerdegegnerin erfüllt. Ob die entsprechenden Daten interessant für die Arbeitgebenden sind oder nicht, wie die Vorinstanz behauptet, ist irrelevant und verkennt den Zweck des Datenschutzgesetzes, welcher vorliegend im Schutz der Per- sönlichkeit der betroffenen versicherten Arbeitnehmenden bzw. im Ver- hindern unrechtmässigen Datenflusses zu erblicken ist (vgl. auch vorne E. 4.1). Zudem kann nicht ausgeschlossen werden, dass die bekanntge- gebenen Daten von den Arbeitgebenden zum Nachteil der Arbeitneh- menden verwendet werden könnten (vgl. dazu hinten E. 9.3). 7. Art. 4 DSG, welcher gleichermassen für die Datenbearbeitung durch Pri- vate und Bundesorgane gilt, verlangt, dass Personendaten nur rechtmäs- sig bearbeitet werden dürfen (Abs. 1), dass ihre Bearbeitung nach Treu und Glauben zu erfolgen hat und verhältnismässig sein muss (Abs. 2), dass Daten nur zu dem Zweck bearbeitet werden, der bei der Beschaf- fung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist (Abs. 3) und dass die Beschaffung der Daten und insbe- sondere der Zweck ihrer Bearbeitung für die betroffene Person erkennbar sein muss (Abs. 4). Die Grundsätze in Art. 4 Abs. 1 bis 4 DSG definieren positiv ausgedrückt, welche Verhaltensweisen im Rahmen einer Daten- bearbeitung per se eine Verletzung der Persönlichkeit der Betroffenen darstellen (ROSENTHAL, Handkommentar DSG, a.a.O., Art. 4 Rz. 2). Art. 4 Abs. 1 DSG enthält die an und für sich selbstverständliche Aussage, dass Personendaten nur rechtmässig bearbeitet werden dürfen. Eine Datener- hebung ist immer dann rechtswidrig, wenn ein Verstoss gegen eine Rechtsnorm vorliegt (MAURER-LAMBROU/STEINER, BSK-DSG, a.a.O., Art. 4 Rz. 5 f.). Die Personendaten müssen zudem vor unbefugtem Zugriff gesichert sein (Art. 7 Abs. 1 DSG).

A-4467/2011 Seite 22 Nachfolgend ist somit zunächst die Rechtmässigkeit der Bearbeitung der Personendaten bzw. der mit der Zustellpraxis der Beschwerdegegnerin verbundenen Bekanntgabe von Angaben über die berufliche Vorsorgesi- tuation der versicherten Personen an deren Arbeitgebende zu prüfen (E. 8). Danach wird auf den in vorliegendem Zusammenhang relevanten Grundsatz der Datensicherheit eingegangen (E. 9). 8. 8.1. 8.1.1. Bundesorgane müssen eine gesetzliche Grundlage für die Daten- bearbeitung haben (Art. 17 Abs. 1 DSG). Aus dieser Grundlage ergibt sich auch, ob und inwieweit sie im Rahmen einer bestimmten Datenbear- beitung von der Einhaltung der Bearbeitungsgrundsätze ausnahmsweise befreit sind, d.h. die ihnen übertragene Aufgabe erfüllen dürfen, auch wenn dies zu einer Verletzung der Persönlichkeit des Einzelnen führt (ROSENTHAL, Handkommentar zum DSG, a.a.O., Art. 4 Rz. 4). Ob die Da- tenbearbeitung auf Gesetzes- oder auf Verordnungsebene geregelt wer- den muss, ist nach allgemeinen gesetzestechnischen Grundsätzen zu beurteilen. Massgeblich ist, wieweit eine Datenbearbeitung in die Persön- lichkeit der Bürger eingreift. Aus diesen Gründen ist für die Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitspro- filen grundsätzlich eine formelle gesetzliche Grundlage notwendig (vgl. Art. 17 Abs. 2 DSG und allgemein zum Legalitätsprinzip: ULRICH HÄFE- LIN/GEORG MÜLLER/FELIX UHLMANN, Allgemeines Verwaltungsrecht, 6. Auflage Zürich/St. Gallen 2010, Rz. 377 ff.; EDÖB, Leitfaden für die Bearbeitung von Personendaten in der Bundesverwaltung, August 2001, Ziff. 2.1.1 S. 5, http://www.edoeb.admin.ch > Dokumentation > Leitfäden, besucht am 2. März 2012). 8.1.2. Nur in den Fällen von Art. 17 Abs. 2 Bst. a-c DSG können beson- ders schützenswerte Personendaten oder Personenprofile ausnahmswei- se ohne formelle gesetzliche Grundlage bearbeitet werden. Bei beson- ders schützenswerten Personendaten handelt es sich gemäss Legaldefinition von Art. 3 Bst. c DSG um Daten über die religiösen, welt- anschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätig- keiten, die Gesundheit, die Intimsphäre oder die Rassenzugehörigkeit, Massnahmen der sozialen Hilfe sowie über administrative oder strafrecht- liche Verfolgungen und Sanktionen. Im Pensionskassenausweis aufge- führt sein könnten allenfalls Daten über die Gesundheit der versicherten

A-4467/2011 Seite 23 Personen. Wo dies der Fall ist, stellt die Beschwerdegegnerin jene Aus- weise jedoch künftig unbestrittenermassen direkt den betroffenen Perso- nen zu, so dass es sich bei den Gegenstand dieses Verfahrens bildenden Personendaten nicht um besonders schützenswerte i.S.v. Art. 3 Bst. c DSG handelt und die obgenannte Ausnahmebestimmung deshalb nicht zur Anwendung gelangt. Es bleibt ohnehin anzumerken, dass für die Be- kanntgabe von Personendaten durch Bundesorgane als Unterfall der Da- tenbearbeitung die in nachfolgender Erwägung erwähnte Spezialregelung von Art. 19 DSG zu beachten ist. 8.2. 8.2.1. Die Bekanntgabe von Personendaten muss grundsätzlich wie jede Art der Datenbearbeitung in einer Rechtsgrundlage i.S.v. Art. 17 DSG vorgesehen sein (Art. 19 Abs. 1 DSG). Die gesetzliche Grundlage muss sich ausdrücklich auf den Transfer von Daten als solchen beziehen, d.h. die Rechtsgrundlage muss eine Ermächtigung bzw. Verpflichtung zur Be- kanntgabe von Personendaten enthalten. Eine allgemeine Kompetenz zur Datenbearbeitung i.S.v. Art. 17 DSG genügt für die Datenbekanntgabe nicht (JÖHRI/STUDER, BSK-DSG, a.a.O., Art. 19 Rz. 25). 8.2.2. Art. 19 DSG sieht einige Ausnahmen vor, in denen eine Datenbe- kanntgabe trotz fehlender gesetzlicher Grundlage zulässig ist, um eine ra- tionelle Verwaltungstätigkeit und die Erfüllung gesetzlicher Aufgaben zu sichern. Diese Ausnahmen gelten jedoch nur in den Einzelfällen, die ab- schliessend aufgezählt und eng auszulegen sind. Die Ausnahmen betref- fen einzig die Weitergabe von Personendaten, nicht die Datenbearbeitung im Allgemeinen, d.h. die Bestimmungen in Art. 19 DSG entbinden nicht von der Schaffung der erforderlichen Rechtsgrundlagen für die Datenbe- arbeitung. Für die Bekanntgabe von Personendaten durch ein automati- siertes Abrufverfahren (z.B. Online-Zugriffe, Selfservice-prinzip) gelten diese Ausnahmen nicht (vgl. EDÖB, Leitfaden für die Bearbeitung von Personendaten in der Bundesverwaltung, a.a.O., Ziff. 2.3 S. 6; JÖHRI, Handkommentar zum DSG, a.a.O., Art. 19 Rz. 7 und 20). 8.2.2.1 Vorliegend geht es nicht darum, Personendaten in einem Abruf- verfahren zugänglich zu machen. Die Frage, inwiefern Arbeitgebende an- gesichts des Anspruchs auf paritätische Verwaltung nach Art. 51 Abs. 1 BVG, aufgrund der Erfüllung ihrer Beitragspflicht nach Art. 66 BVG oder wegen arbeitsvertraglicher Pflichten Anspruch auf Kenntnis von Versi- chertendaten geltend machen können, wurde vorne in Erwägung 6.3 ge-

A-4467/2011 Seite 24 klärt. Danach besteht keine rechtliche Verpflichtung bzw. Notwendigkeit zur Bekanntgabe der vorliegend strittigen Daten. Zu prüfen bleibt daher, ob ein spezieller Grund gemäss Art. 19 DSG vorliegt, der im Einzelfall ei- ne Datenbekanntgabe trotz Fehlens einer (genügenden) gesetzlichen Grundlage rechtfertigen würde. Vorliegend kommt dafür mangels Einwilli- gung und allgemeinen Zugänglichmachens der Daten durch die betroffe- nen Personen nur Art. 19 Abs. 1 Bst. a in Betracht, wonach Bundesorga- ne Personendaten trotz fehlender rechtlicher Grundlage bekannt geben dürfen, wenn die Daten für den Empfänger im Einzelfall zur Erfüllung sei- ner gesetzlichen Aufgabe unentbehrlich sind, d.h. dieser ansonsten seine gesetzliche Aufgabe im konkreten Fall nicht erfüllen könnte. Empfänger können neben anderen Bundesorganen und kantonalen, kommunalen oder ausländischen Behörden auch natürliche oder juristische Privatper- sonen im In- und Ausland sein. Eine Datenbekanntgabe i.S.v. Art. 19 Abs. 1 Bst. a DSG kann nur in einem bestimmten Fall für einen einmali- gen Zweck sowie nur auf Anfrage erfolgen. Vorgenannte Bestimmung bie- tet somit keine Rechtsgrundlage für eine aktive Information durch eine Verwaltungsstelle (BBl 1988 II 469; JÖHRI, Handkommentar zum DSG, a.a.O., Art. 19 Abs. 1 Rz. 21 und 24 f.; JÖHRI/STUDER, BSK-DSG, a.a.O., Art. 19 Rz. 42 f. und 45 mit Hinweisen). 8.2.2.2 Die durch Zustellung der Vorsorgeausweise erfolgte Datenbe- kanntgabe ist nicht auf Anfrage hin erfolgt; vielmehr versendet die Be- schwerdegegnerin die Ausweise in eigenem Interesse an die Arbeitge- benden, um Kosten einzusparen. Die Anwendbarkeit der Ausnahmebe- stimmung nach Art. 19 Abs. 1 Bst. a DSG ist daher bereits aufgrund die- ser Tatsache zu verneinen. 8.3. Im Sozialversicherungsrecht gelten spezielle Geheimhaltungspflich- ten, die eine Bekanntgabe von Personendaten nur ausnahmsweise zu- lassen. Ebenso gibt es eine Anzahl bereichsspezifischer Datenschutzbe- stimmungen, die den zulässigen Empfängerkreis und zum Teil auch die Art der Daten, die übermittelt werden, festlegen. Solche Bestimmungen gehen als Spezialnormen Art. 19 DSG vor (BBl 1988 II 471). Es bleibt da- her zu prüfen, ob eine spezialgesetzliche Ausnahme vorliegt, welche wei- ter geht als Art. 19 DSG und daher eine Datenbekanntgabe ausnahms- weise rechtfertigen würde. 8.3.1. Gemäss Art. 86 BVG haben Personen, die an der Durchführung sowie der Kontrolle oder der Beaufsichtigung der Durchführung des Bun- desgesetzes zur beruflichen Vorsorge beteiligt sind, gegenüber Dritten

A-4467/2011 Seite 25 Verschwiegenheit zu bewahren. Die Schweigepflicht bezieht sich auf alle Kenntnisse, die zum Stillschweigen verpflichtete Personen im Rahmen ih- rer vorgenannten Tätigkeit erlangen. Bundesorgane bzw. allgemein Per- sonen, die am Vollzug der Sozialversicherungsgesetze beteiligt sind, dür- fen Personendaten aus diesen Bereichen nur dann an Dritte bekanntge- ben, wenn das betreffende Gesetz eine Ausnahme von der grundsätzli- chen Schweigepflicht vorsieht (vgl. Botschaft vom 24. November 1999 über die Anpassung und Harmonisierung der gesetzlichen Grundlagen für die Bearbeitung von Personendaten in den Sozialversicherungen in: BBl 2000 261). Ausnahmen von der Schweigepflicht bedürfen folglich einer gesetzlichen Grundlage. Der Schweigepflicht unterstehen u.a. die Mitar- beitenden der Vorsorgeeinrichtungen, die in die Durchführung des Bun- desgesetzes über die berufliche Vorsorge involvierten Personen der Ar- beitgebenden sowie die Vertretung in der paritätischen Verwaltung der Vorsorgeeinrichtung (PÄRLI, Handkommentar zum BVG, a.a.O., Art. 86 Rz. 10 und 12 mit Hinweis). 8.3.2. 8.3.2.1 Zufolge Art. 85a BVG sind die mit der Durchführung, der Kontrolle oder der Beaufsichtigung der Durchführung dieses Gesetzes betrauten Organe befugt, die Personendaten, einschliesslich besonders schüt- zenswerter Daten und Persönlichkeitsprofile, zu bearbeiten oder bearbei- ten zu lassen, die sie benötigen, um die ihnen nach diesem Gesetz über- tragenen Aufgaben zu erfüllen, namentlich um (Bst. a bis f): – die Versicherungsbeiträge zu berechnen und zu erheben; – Leistungsansprüche zu beurteilen sowie Leistungen zu berechnen, zu gewähren und diese mit Leistungen anderer Sozialversicherungen zu koordinieren; – ein Rückgriffsrecht gegenüber einem haftpflichtigen Dritten geltend zu machen; – die Aufsicht über die Durchführung dieses Gesetzes auszuüben; – Statistiken zu führen; – die Versichertennummer der AHV zuzuweisen oder zu verifizieren.

Die Liste der für zulässig erklärten Datenbearbeitungen ist nicht ab- schliessend (vgl. Gesetzestext "namentlich"). Zulässig ist jede Bearbei- tung von Personendaten, die vom zuständigen Organ in Erfüllung der im Bundesgesetz über die berufliche Vorsorge vorgesehenen Aufgabe not- wendig ist. Zu ergänzen ist, dass für die Bekanntgabe von Personenda-

A-4467/2011 Seite 26 ten Art. 86a BVG massgebend ist. Dieser Artikel erweitert und konkreti- siert die Schweigepflicht und geht der allgemeinen Datenbearbeitungsbe- stimmung in Art. 85a BVG vor. Gleiches gilt für die in Art. 85b BVG veran- kerte Akteneinsicht. Die Liste der Fälle zulässiger Datenbekanntgaben in Art. 86a BVG ist abschliessend; weitergehende Ausnahmen von der ge- setzlichen Schweigepflicht sind nicht vorgesehen (PÄRLI, Handkommentar zum BVG, a.a.O., Art. 85a Rz. 10 und 12, Art. 86a Rz. 3 f.). Es dürfen zu- dem nur die Daten bekannt gegeben werden, welche für den in Frage stehenden Zweck erforderlich sind (Art. 86a Abs. 6 BVG). 8.3.2.2 Eine mögliche gesetzliche Grundlage für eine Ausnahme von der Schweigepflicht stellt das in Art. 85b BVG erwähnte Akteneinsichtsrecht dar: Sofern überwiegende Privatinteressen gewahrt bleiben, steht die Ak- teneinsicht Personen zu, die eine Verpflichtung nach diesem Gesetz ha- ben, für diejenigen Daten, die für die Wahrung des Anspruchs oder die Erfüllung der Verpflichtung erforderlich sind (Art. 85b Abs. 1 Bst. b BVG). Diese Regelung bezweckt klarzustellen, in welchen Fällen die Vorsorge- einrichtung zur Gewährung der Akteneinsicht befugt ist, ohne damit die Schweigepflicht nach Art. 86 BVG zu verletzen (PÄRLI, Handkommentar zum BVG, a.a.O., Art. 85b Rz. 3 mit Hinweis). Daten dürfen überdies i.S. einer Ausnahme zur Schweigepflicht bekannt gegeben werden an andere mit der Durchführung sowie der Kontrolle oder der Beaufsichtigung der Durchführung dieses Gesetzes betrauten Organe, sofern kein überwie- gendes Privatinteresse entgegensteht und wenn sie für die Erfüllung der ihnen nach diesem Gesetz übertragenen Aufgaben erforderlich sind (Art. 86a Abs. 2 Bst. a BVG). Eine Interessenabwägung erübrigt sich vorliegend, da der Einsichtsan- spruch im Fall beider vorgenannter gesetzlicher Bestimmungen auf Daten beschränkt ist, die für die Erfüllung einer Verpflichtung gemäss Bundes- gesetz über die berufliche Vorsorge notwendig sind. Die vorliegend um- strittenen Daten werden von den Arbeitgebenden weder zur Erfüllung ih- rer Beitragspflicht nach Art. 66 Abs. 2 bis 4 BVG benötigt noch im Rah- men der paritätischen Verwaltung nach Art. 51 Abs. 1 BVG. Arbeitsver- tragliche Pflichten, die einen Anspruch der Arbeitgebenden auf Einsicht begründen würden, sind gemäss Wortlaut von Art. 85b Abs. 1 Bst. b BVG und Art. 86a Abs. 2 Bst. a BVG unbeachtlich ("nach diesem Gesetz") und vorliegend auch nicht ersichtlich (vgl. vorne E. 6.3.5). Abgesehen davon dürfte auch in diesen beiden Konstellationen zumindest faktisch ein Ge- such um Akteneinsicht bzw. Datenbekanntgabe vorausgesetzt werden, während hier die Beschwerdegegnerin von sich aus aktiv geworden ist.

A-4467/2011 Seite 27 8.3.2.3 In den übrigen Fällen dürfen Personendaten an Dritte bekannt gegeben werden, sofern die betroffene Person im Einzelfall schriftlich eingewilligt hat oder, wenn das Einholen der Einwilligung nicht möglich ist, diese nach den Umständen als im Interesse des Versicherten voraus- gesetzt werden darf (Art. 86a Abs. 5 Bst. b BVG). Diese Regelung lehnt sich an Art. 19 Abs. 1 Bst. b DSG an (BBl 2000 266). Im vorliegenden Fall haben die betroffenen Personen weder in die Daten- bekanntgabe eingewilligt noch sind Gründe ersichtlich, welche das Einho- len der Einwilligung als unmöglich und die Bekanntgabe nach den Um- ständen als im Interesse der versicherten Personen erscheinen lassen würden. Im Gegenteil ist nicht auszuschliessen, dass die Arbeitnehmen- den durch die Bekanntgabe ihrer Daten an die Arbeitgebenden Nachteile zu erleiden haben (vgl. dazu hinten E. 9.3). 8.4. Weder auf Gesetzes- noch auf Verordnungsstufe findet sich eine ge- setzliche Grundlage für eine Ausnahme von der Schweigepflicht, welche die Bekanntgabe der Daten von der Beschwerdegegnerin an die Arbeit- gebenden der bei ihr versicherten Personen rechtfertigen würde. Es ist insbesondere kein Grund ersichtlich, weshalb die Arbeitgebenden die strittigen Versicherungsdaten der Arbeitnehmenden für die Erfüllung ihrer Pflichten im Zusammenhang mit der Durchführung der beruflichen Vor- sorge und im Übrigen auch bezüglich jener aus dem Arbeitsverhältnis be- nötigen würden (vgl. vorne E. 6.3.4 ff.). Vielmehr gilt die Schweigepflicht gemäss Art. 86 BVG auch für die Arbeitgebervertretung, die an der Durchführung der beruflichen Vorsorge beteiligt ist (PÄRLI, Handkommen- tar BVG, Art. 86 Rz. 12). Die Daten hätten folglich nicht weitergeleitet werden dürfen, d.h. die von der Beschwerdegegnerin praktizierte Datenbekanntgabe ist rechtswidrig und verletzt somit die Persönlichkeit der versicherten Personen. Überdies ist in nachfolgender Erwägung kurz auf einen in vorliegendem Zusam- menhang ebenfalls bedeutsamen Grundsatz des Datenschutzrechts, nämlich denjenigen der Datensicherheit, einzugehen. 9. 9.1. Aus Art. 8 EMRK erwächst dem Staat nicht nur die negative Ver- pflichtung auf Unterlassen jeder unrechtmässigen Beeinträchtigung der Privatsphäre des Einzelnen, sondern ebenso die positive Pflicht, Perso- nendaten effektiv und praktisch vor der Möglichkeit eines unautorisierten

A-4467/2011 Seite 28 Zugriffs zu schützen; es reicht nicht aus, wenn den Betroffenen eine Kla- gemöglichkeit gewährt wird (KURT PÄRLI, EMRK und Datenschutz am Ar- beitsplatz, digma 2009, Heft 1, S. 30 ff. mit Hinweisen insbesondere zur Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte). Gemäss Art. 7 Abs. 1 DSG müssen Personendaten durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bear- beiten geschützt werden. Es handelt sich dabei um eine Dauerpflicht je- des Datenbearbeitenden; aufgrund veränderter Umstände nicht mehr ge- nügende Schutzmassnahmen sind anzupassen. Ziel der Datensicherheit ist nicht nur die Gewährleistung der Vertraulichkeit, der Verfügbarkeit und der Richtigkeit der Personendaten (vgl. diesbezüglich Art. 8 Abs. 1 VDSG, welcher auch für Bundesorgane gilt), vielmehr geht es ganz allgemein um die Verhinderung einer unbefugten Bearbeitung von Personendaten. Da- bei steht insbesondere der Schutz gegen Risiken der unbefugten oder zu- fälligen Vernichtung, des zufälligen Verlusts, technischer Fehler, der Fäl- schung, des Diebstahls oder der widerrechtlichen Verwendung sowie des unbefugten Änderns, Kopierens, Zugreifens oder anderer unbefugter Be- arbeitungen im Vordergrund. Gegenstand der Massnahmen ist nicht nur die EDV-gestützte, automati- sierte, sondern auch jegliche Form der manuellen Datenbearbeitung. Be- züglich Art und Umfang der zu treffenden Massnahmen gilt das Verhält- nismässigkeitsprinzip: Zufolge Art. 8 Abs. 2 VDSG sind insbesondere Zweck, Art und Umfang der Datenbearbeitung sowie der gegenwärtige Stand der Technik zu berücksichtigen und eine Einschätzung der mögli- chen Risiken für die betroffenen Personen vorzunehmen. Aufgrund der nicht abschliessenden Aufzählung in vorgenannter Bestimmung können und dürfen aber auch die Kosten der Massnahmen im Hinblick auf den angestrebten Schutzzweck berücksichtigt werden. Die allgemeinen finan- ziellen Möglichkeiten des Datenbearbeitenden sind jedoch zweitrangig (RIESSELMANN-SAXER, a.a.O, S. 33 f. mit Hinweisen; ROSENTHAL, Hand- kommentar zum DSG, a.a.O., Art. 7 Rz. 3 und 5 ff.; KURT PAULI, BSK- DSG, a.a.O., Art. 7 Rz. 2, 4 ff. und 17; EDÖB, Leitfaden für die Bearbei- tung von Personendaten in der Bundesverwaltung, a.a.O., Ziff. 2.7 S. 9). 9.2. Die Pensionskassenausweise der versicherten Personen sind trotz des Vermerks "Vertraulich" bei Zustellung an die Arbeitgebenden in keiner Weise gegen Einsichtnahme oder Kopieren geschützt (vgl. Art. 8 Abs. 1 Bst. e VDSG), insbesondere sind sie nicht einzeln in Couverts verpackt, mit einem (Klebe-)Siegel versehen oder nur nach Aufreissen einer perfo- rierten Sollbruchlinie einsehbar. Solche Massnahmen wären einfach zu

A-4467/2011 Seite 29 treffen und nicht allzu kostenintensiv. Die Beschwerdegegnerin hat in der Vergangenheit keine entsprechenden Massnahmen getroffen, sondern im Gegenteil bis anhin nicht einmal überprüft, ob besonders schützenswerte Daten Inhalt der einzelnen weitergeleiteten Vorsorgeausweise bilden. Damit verletzt sie zusätzlich den Grundsatz der Datensicherheit gemäss Art. 8 EMRK und Art. 7 DSG. 9.3. Weiter ist zu berücksichtigen, dass dem Datenschutz im Arbeitsver- hältnis auch eine anti-diskriminierende Funktion zukommt (PÄRLI, a.a.O., S. 20 mit Hinweisen). Die Daten der betroffenen Personen könnten zu Zwecken verwendet werden, die mit der Durchführung der beruflichen Vorsorge nichts zu tun haben und ebenso wenig im Interesse der Betrof- fenen liegen bzw. sie allfälligen Benachteiligungen im Arbeitsverhältnis aussetzen. Es kann nicht mit Sicherheit ausgeschlossen werden, dass die Daten beispielsweise im Zusammenhang mit Lohnverhandlungen von den Arbeitgebenden zulasten der Arbeitnehmenden verwendet werden könnten (vgl. dazu auch die Mitteilung des BSV vom 19. August 1991 in E. 6.3.2.3). Wer beispielsweise einen Vorbezug für Wohneigentum getä- tigt hat, ist ortsgebundener und daher vermehrt auf seine Stelle angewie- sen, was ihn abhängiger von seinem Arbeitgebenden macht. Für diesen wiederum spielen die Lohnkosten als variabler und beeinflussbarer Bud- getposten eine zentrale Rolle und bergen aus seiner Sicht im Vergleich zu den festen Kostenfaktoren am ehesten ein Sparpotential in sich (RIE- MER-KAFKA, a.a.O., S. 285). Die diesbezüglichen Bedenken des Be- schwerdeführers sind demnach gerechtfertigt. 10. 10.1. Die Beschwerdegegnerin macht als Grund für ihre Zustellpraxis wirtschaftliche Interessen geltend; konkret führt sie an, eine separate Zu- stellung der Pensionskassenausweise in verschlossenen Couverts an die Arbeitnehmenden stelle einen finanziellen Mehraufwand dar. Zudem weist sie auf Bestrebungen im Bereich der beruflichen Vorsorge hin, Kos- ten einzusparen und erklärt, ihre langjährige Zustellpraxis sei branchen- üblich. Dass die von der Beschwerdegegnerin praktizierte Zustellung der Vorsorgeausweise von bei ihr versicherten Personen in unverschlosse- nen Couverts an die Arbeitgebenden zwecks Weiterleitung sich auf keine gesetzliche Grundlage stützen kann und zudem dem Grundsatz der Da- tensicherheit widerspricht, wurde bereits dargelegt (vgl. E. 8 f.). Es stellt sich im Folgenden daher nur noch die Frage, in welcher Form die Zustel- lung der Pensionskassenausweise zu erfolgen hat bzw. welche Art der

A-4467/2011 Seite 30 Zustellung geeignet ist, den Grundsätzen des Datenschutzes, insbeson- dere demjenigen der Datensicherheit, Genüge zu tun. 10.2. Vorab gilt es in diesem Zusammenhang zu beachten, dass im Rahmen des vorliegenden Verfahrens die Rechte einer Vielzahl von Per- sonen in Frage stehen, deren Verteidigung der Beschwerdeführer mit seiner Empfehlung bzw. Beschwerde bezweckt. Das Ergebnis des Ver- fahrens kann somit indirekt Wirkung für all jene Personen zeitigen, die nach einer ähnlichen Methode vorgehen wie die Beschwerdegegnerin, was zusätzlich Licht auf die Tragweite des vorliegenden Falls und die von der Beschwerdegegnerin zu verlangende Art der Zustellung wirft (vgl. BGE 136 II 508 E. 6.3.2 betreffend Klageverfahren nach Art. 29 Abs. 4 i.V.m. Abs. 1 Bst. a DSG [sogenannter "Systemfehler"] mit Hinwei- sen). 10.3. Im Rahmen einer Interessenabwägung sind grundsätzlich auch rein wirtschaftliche Interessen des Datenbearbeitenden, wie beispielsweise das Interesse daran, eine Datenbearbeitung möglichst effizient zu gestal- ten oder die eigenen Geschäftsabläufe zu optimieren, schützenswert. Ebenso kann Gewinnstreben ein schützenswertes Interesse darstellen (ROSENTHAL, Handkommentar DSG, a.a.O., Art. 13 Rz. 10; a.M. RAMPINI, BSK-DSG, a.a.O., Art. 13 Rz. 22). Vorliegend würde der Mehraufwand in- des die wirtschaftliche Existenz der Beschwerdegegnerin offensichtlich nicht in Frage stellen; dies wird ihrerseits auch nicht geltend gemacht. Die Vermeidung von finanziellem Mehraufwand ist grundsätzlich als gewinnstrebiges Interesse der Beschwerdegegnerin anzuerkennen, ver- mag aber dasjenige der betroffenen Personen am Schutz der eigenen Persönlichkeit ebenso wenig zu überwiegen wie das politische Argument der Forderung einer Kostenreduktion im Bereich der beruflichen Vorsor- ge. Auch der Hinweis auf die Langjährigkeit und angebliche Branchenüb- lichkeit der umstrittenen Zustellpraxis ist unbehelflich, zumal beispiels- weise die Pensionskasse des Bundes ebenso wie diejenige des Kantons Zürich die Pensionskassenausweise den bei ihr versicherten Personen direkt und verschlossen zustellen. 10.4. Die Beschwerdegegnerin hat demnach alle Massnahmen zu tref- fen, welche erforderlich sind um sicherzustellen, dass die Persönlichkeits- rechte der bei ihr versicherten Personen im Rahmen der Zustellung der Vorsorgeausweise nicht verletzt werden. D.h. sie hat die Ausweise in ei- ner geeigneten, den Grundsätzen des Datenschutzes angemessenen Form zu versenden. Konkret bedeutet dies, die Ausweise entweder den

A-4467/2011 Seite 31 Arbeitnehmenden einzeln direkt verschlossen per Post an ihre persönli- che Adresse oder zumindest in verschlossenen und mit dem jeweiligen Namen sowie dem Vermerk "Vertraulich" versehenen Couverts den Arbeitgebenden zur Weiterleitung zuzustellen. Es geht also letztlich nicht um ein gänzliches Verbot der Zusendung von Pensionskassenausweisen an die Arbeitgebenden, sondern lediglich als minimale Alternative zur di- rekten Zustellung an die Arbeitnehmenden darum, die Ausweise nicht wie in rechtswidriger Weise praktiziert frei zugänglich den Arbeitgebenden zu- zusenden. Aus unternehmerischer Sicht mag es gerechtfertigt erschei- nen, sich auf den finanziellen Mehraufwand bei (vereinzelter) manueller Zustellung zu berufen, doch lässt sich damit wie erwähnt der Eingriff in die Persönlichkeitsrechte der Betroffenen nicht rechtfertigen. Hinzu kommt, dass die Nichteinhaltung von Datenschutzvorschriften für eine Vorsorgeeinrichtung in der Öffentlichkeit, bei Arbeitgebenden und versi- cherten Personen ein Imageproblem hervorrufen kann. Deshalb stellt de- ren Einhaltung bei allen Arbeitsprozessen ein nicht zu unterschätzendes Qualitätsmerkmal dar und sollte von der Beschwerdegegnerin auch in ei- genem Interesse beachtet werden (PÄRLI, Handkommentar zum BVG, a.a.O., Art. 85a Rz. 7). 11. Zusammenfassend bleibt Folgendes festzuhalten: Die betroffenen Infor- mationen sind als Personendaten zu qualifizieren und ihre Bearbeitung bzw. Bekanntgabe untersteht den Bestimmungen des Datenschutzgeset- zes, ergänzt durch die spezialrechtlichen Normen des Bundesgesetzes über die berufliche Vorsorge und des Obligationenrechts. Die Weitergabe der Daten durch die Beschwerdegegnerin an die Arbeitgebenden erfolgt ohne gesetzliche Grundlage in Verletzung ihrer Schweigepflicht. Die be- kanntgegebenen Daten sind für die Erfüllung der arbeitsvertraglichen so- wie der im Rahmen der beruflichen Vorsorge anfallenden Aufgaben der Arbeitgebenden nicht objektiv notwendig. Mit der Zustellung der Pensi- onskassenausweise in unverschlossenen Couverts an die Arbeitgeben- den zwecks Weiterleitung an deren bei ihr versicherten Arbeitnehmenden verstösst die Beschwerdegegnerin ausserdem gegen den in Art. 7 DSG festgehaltenen Grundsatz der Datensicherheit. Das strittige Verhalten der Beschwerdegegnerin verletzt somit mehrere wichtige datenschutzrechtli- che Grundsätze und Bestimmungen (Art. 4 Abs. 1 DSG und Art. 7 Abs. 1 DSG, Art. 85a, 85b und 86a BVG) und führt damit zu einer rechtswidrigen Persönlichkeitsverletzung der betroffenen versicherten Personen.

A-4467/2011 Seite 32 Demzufolge ist die Beschwerde des EDÖB gutzuheissen und die Be- schwerdegegnerin anzuweisen, den bei ihr versicherten Personen die persönlichen Vorsorgeausweise künftig so zuzustellen, dass ausschliess- lich die jeweilige versicherte Person und damit keine Dritten – insbeson- dere nicht deren Arbeitgebende – Kenntnis vom Inhalt des sie betreffen- den Ausweises erlangen kann (vgl. auch den Wortlaut von Art. 86b Abs. 1 Bst. a BVG, wonach die Vorsorgeeinrichtung ihre Versicherten jährlich in geeigneter Form u.a. über die Leistungsansprüche, den koordinierten Lohn, den Beitragssatz und das Altersguthaben zu informieren hat). 12. Bei diesem Verfahrensausgang wird – im Rahmen ihres Unterliegens – die sich mit eigenen Anträgen am Verfahren beteiligende Beschwerde- gegnerin kostenpflichtig (Art. 63 Abs. 1 VwVG, vgl. auch MICHAEL BEUSCH in: Kommentar zum Bundesgesetz über das Verwaltungsverfahren [VwVG-Kommentar], Auer/Müller/Schindler [Hrsg.], Zürich/St. Gallen 2008, Art. 63 Rz. 12). Die Beschwerdegegnerin ist als privatrechtliche Stiftung nach Art. 80 ff. ZGB zwar im öffentlich-rechtlichen Bereich tätig, besitzt aber keine Verfügungsbefugnis (vgl. vorne E. 4.1.2), so dass sie nicht als Bundesbehörde i.S.v. Art. 1 Abs. 2 Bst. e VwVG i.V.m. Art. 2 Abs. 4 des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 1997 (SR 172.010) gelten kann und kostenbefreit wäre (vgl. PI- ERRE TSCHANNEN in: VwVG-Kommentar, Art. 1 Rz. 22). Keine Verfahrens- kosten werden hingegen der unterliegenden Vorinstanz auferlegt (Art. 63 Abs. 2 VwVG). Die Verfahrenskosten sind nach dem Reglement vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bun- desverwaltungsgericht (VGKE, SR 173.320.2) festzulegen und werden vorliegend auf Fr. 2'500.– festgesetzt. 13. Als Bundesbehörde hat der obsiegende Beschwerdeführer gemäss Art. 7 Abs. 3 VGKE keinen Anspruch auf Parteientschädigung.

A-4467/2011 Seite 33 Demnach erkennt das Bundesverwaltungsgericht: 1. Die Beschwerde wird gutgeheissen und die Beschwerdegegnerin ange- wiesen, den bei ihr versicherten Personen die persönlichen Vorsorge- ausweise künftig so zuzustellen, dass ausschliesslich die jeweilige versi- cherte Person und damit keine Dritten – insbesondere nicht deren Arbeit- gebende – Kenntnis vom Inhalt des sie betreffenden Ausweises erlangen kann. 2. Die Verfahrenskosten von Fr. 2'500.– werden der Beschwerdegegnerin auferlegt. Der Betrag ist innert 30 Tagen nach Eintritt der Rechtskraft des vorliegenden Urteils zu Gunsten der Gerichtskasse zu überweisen. Die Zustellung des Einzahlungsscheins erfolgt mit separater Post. 3. Es wird keine Parteientschädigung zugesprochen. 4. Dieses Urteil geht an: – den Beschwerdeführer (Gerichtsurkunde) – die Beschwerdegegnerin (Gerichtsurkunde) – die Vorinstanz (Ref-Nr. 331.0 / BIT; Gerichtsurkunde)

Für die Rechtsmittelbelehrung wird auf die nächste Seite verwiesen.

Die vorsitzende Richterin: Die Gerichtsschreiberin:

Marianne Ryter Sauvant Tanja Haltiner

A-4467/2011 Seite 34 Rechtsmittelbelehrung: Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bun- desgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen An- gelegenheiten geführt werden (Art. 82 ff., 90 ff. und 100 des Bundesge- richtsgesetzes vom 17. Juni 2005 [BGG, SR 173.110]). Die Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begehren, deren Be- gründung mit Angabe der Beweismittel und die Unterschrift zu enthalten. Der angefochtene Entscheid und die Beweismittel sind, soweit sie der Beschwerdeführer in Händen hat, beizulegen (Art. 42 BGG).

Versand: