Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter EDÖB
Feldeggweg 1, 3003 Bern Tel. 031 323 74 84, Fax 031 325 99 96 www.edoeb.admin.ch
A2012.11.05-0013 / 2012-00215 Bern, 15. Oktober 2012
Empfehlung
gemäss
Art. 29 des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz (DSG),
betreffend
Übermittlung von Mitarbeiterdaten (inklusive ehemalige Mitarbeitende und externe Dritte) durch die Zürcher Kantonalbank (ZKB) an US-Behörden
I.
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte stellt fest:
Mehrere Schweizer Banken haben im Rahmen von laufenden Verhandlungen mit den US-Behörden sehr grosse Mengen an Dokumenten, die das Geschäft mit US-Kunden betreffen, an die dortigen Behörden übermittelt. In den Unterlagen sind auch die Namen von aktuellen und ehemaligen Mitarbeitenden sowie Dritten enthalten. Mehrere dieser betroffenen Personen haben sich an den Eidgenössischen Datenschutz- und Öffentlich- keitsbeauftragten (EDÖB) gewandt. Der EDÖB war damals davon ausgegangen, dass es sich bei diesen Übermittlungen um eine einmalige Angelegenheit handelte und hat dem- zufolge die betroffenen Personen, die sich an ihn gewandt haben, über ihre Rechtsan- sprüche gemäss DSG informiert. Weiter wurden sowohl eine der betroffenen Banken, wie auch die Schweizerische Bankiervereinigung und die Vereinigung der Schweizer Privat- bankier schriftlich an die Einhaltung der Datenschutzprinzipien erinnert.
Nachdem bekannt wurde, dass weitere Datenübermittlungen durch die Banken vorge- nommen werden, hat der EDÖB zur Klärung der datenschutzrechtlichen Fragen am 17. August 2012 eine Sachverhaltsabklärung gemäss Art. 29 DSG eingeleitet und die betrof- fenen 11 Banken aufgefordert, bis zum Abschluss des Verfahrens keine weiteren Perso-
2/10
nendaten ausserhalb von konkreten Amts- bzw. Rechtshilfeverfahren mehr zu übermit- teln.
1.1. Von sechs der betroffenen Banken erhielt der EDÖB dann die Bestätigung, dass bisher keine Übermittlungen von Personendaten an US-Behörden stattgefunden ha- ben und auch keine solchen geplant seien bis zum Abschluss der Sachverhaltsab- klärung.
1.2. Von den fünf anderen Banken kam die Antwort, dass Personendaten an US- Behörden geliefert worden seien, dass aber bis zu einem Gespräch mit dem EDÖB keine weiteren Lieferungen erfolgen würden.
1.3. In der Weiterführung seiner Sachverhaltsabklärung hat der EDÖB, mit Schreiben vom 24. August 2012, die Banken einerseits angewiesen Unterlagen (sämtliche re- levante Korrespondenz mit den betroffenen Bundesämtern und den US-Behörden, Informationsschreiben an die Mitarbeitenden, Datenbearbeitungsreglemente, etc.) zuzustellen und andererseits Fragen (u.a. betreffend Rechtfertigungsgrund, Informa- tion der Mitarbeitenden, Auskunftsrecht, etc.) zu beantworten.
1.4. Im Rahmen seiner Abklärungen hat der EDÖB zwischen dem 29. August und dem 3. September 2012 mit dem Staatssekretariat für internationale Finanzfragen (SIF), der Finanzmarktaufsicht (FINMA) und dem Bundesamt für Justiz (BJ) Gespräche ge- führt. In diesen wurden dem EDÖB die Überlegungen erläutert, die zu den Be- schlüssen des Bundesrates betreffend Kooperation der Banken mit US-Behörden geführt haben. Eine Übersicht über die erläuterten Schritte findet sich auf der Home- page des SIF unter http://www.sif.admin.ch/themen/00502/00783/index.html? lang=de.
1.5. Am 4. September 2012 wurden die betroffenen Banken durch den EDÖB empfan- gen. Dieser hat die Banken zum Schutz der betroffenen Personen als erste Mass- nahme zu einem transparenten Verhalten gegenüber den Mitarbeitenden angehal- ten. Dementsprechend haben sich die Banken mit Schreiben vom 6. September 2012 verpflichtet, während der laufenden Abklärungen, die Mitarbeitenden vor jeder weiteren Dokumentenlieferung an US-Behörden zu informieren, falls darin Namen von Mitarbeitenden enthalten sein sollten. Die Information hat in geeigneter Weise zu erfolgen, insbesondere muss sie anführen, welche Kategorien von Dokumenten den US-Behörden offengelegt werden und aus welchem Zeitraum diese Dokumente stammen. Die jeweilige Bank hat dann den Mitarbeitenden eine angemessene Frist vor einer Dokumentenlieferung zu gewähren, um Auskunft darüber zu verlangen, ob ihr Name in den offenzulegenden Dokumenten vorkommt. Sie können ebenfalls Ein- sicht in die sie betreffenden Teile der Dokumente verlangen. Will eine Bank trotz ei- nes allfälligen Widerspruchs eines Mitarbeitenden Dokumente ohne Abdeckung von dessen Namen liefern, hat sie auf eigene Verantwortung eine entsprechende Inte- ressenabwägung vorzunehmen. Dies bedeutet, die Banken tragen damit weiterhin die volle zivilrechtliche Verantwortung für jede Übermittlung von Mitarbeiterdaten an die US-Behörden. Aufgrund dieser Verpflichtung beantragte der EDÖB keine vor- sorglichen Massnahmen beim Bundesverwaltungsgericht.
Die betroffenen Banken haben die verlangten Dokumente geliefert und auf die ent- sprechenden Fragen geantwortet. In den Fällen, in denen die Unterlagen nicht aus-
3/10
reichten, um die Sachverhaltsfeststellung durchzuführen, wurde zudem ein Augen- schein vor Ort durchgeführt.
Die ZKB reichte dem EDÖB mit Datum vom 24. August und vom 10. September die ver- langten Unterlagen ein und beantwortete den Fragekatalog. Nach der Auswertung der Antworten und Unterlagen lässt sich der Sachverhalt somit wie folgt feststellen:
2.1. Die Bank hat aufgrund eines Schreibens des Departement of Justice (DOJ) Ge- schäftsunterlagen zum US-Geschäft, in denen Mitarbeiternamen und Namen von Dritten enthalten waren, übermittelt. Dieser Schritt sei unternommen worden, da sich die Bank durch unkooperatives Verhalten zweifellos erheblichen Risiken ausgesetzt hätte.
2.2. Die Bank habe nur Dokumente selektioniert und an das DOJ übermittelt, die in ei- nem Zusammenhang mit dem US-Geschäft der ZKB in der Periode 2002-2012 ste- hen. Sämtliche Unterlagen seien in einem mehrstufigen Selektionsprozess ausge- wählt worden. Geliefert worden seien nur Dokumente, die vom DOJ mittels Aus- kunftsbegehren vom 19. Dezember 2011 explizit verlangt worden seien.
2.3. Die gelieferten Dokumente würden Namen aktiver und ehemaliger Mitarbeitenden der Bank, welche während des relevanten Zeitraums mit einer mit dem (früheren) US-Geschäft der Bank zusammenhängenden Aufgaben betraut gewesen seien bzw. noch sind, beinhalten. Im Rahmen der Dokumentenaufbereitung seien durch ein spezielles Programm die E-Mails der betreffenden Personen im Hinblick auf das US- Geschäft analysiert worden. Anhand von einschlägigen thematischen Suchbegriffen seien die E-Mails gefiltert und im Anschluss in einer manuellen Prüfung als in Bezug auf das US-Geschäft relevant oder nicht relevant qualifiziert worden. E-Mails mit persönlichen oder irrelevanten Inhalten seien dabei in einem aufwändigen Prozess ausgeschlossen worden.
2.4. Die herausgegeben Daten würden nur in beschränktem Umfang Personendaten von Mitarbeitenden enthalten. Es seien weder Namenslisten von Mitarbeitenden erstellt, noch übermittelt worden. Zu keinem Zeitpunkt seien Personaldossiers oder sonstige Persönlichkeitsprofile übermittelt worden. Vielmehr seien in den geschäftlichen Un- terlagen einzelne Mitarbeitende mit Vor- und Nachnamen sowie allfälligen Funkti- onsbezeichnungen aufgeführt (z.B. als Absender oder Empfänger einer E-Mail oder Teilnehmer einer Besprechung oder Sitzung zum US-Geschäft).
2.5. Die Auswahl und Schwärzung der gelieferten Dokumente sei auf einem von den Banksystemen getrennten Spezialsystem der Anwälte und die Übermittlung der Do- kumente über geschützte Server erfolgt.
2.6. Die ZKB habe im April 2012 den Grundsatzentscheid getroffen, dass alle betroffenen Mitarbeitenden vor der Offenlegung ihrer Namen aktiv informiert würden. Dies sei so umgesetzt worden, dass die Mitarbeitenden je nach Betroffenheit in persönlichen Gesprächen, in Gruppen anlässlich von Informationsmeetings oder per E-Mail über die bevorstehende Offenlegung ihres Namens und die Art der zur Lieferung anste-
4/10
henden Dokumente informiert worden seien. Ausserdem sei eine Hotline für Fragen eingerichtet worden.
2.7. Auf Wunsch der Mitarbeitenden sei ihnen Einsicht in die gelieferten Dokumente ge- währt worden. Für Fragen würde die eingerichtete Hotline zur Verfügung stehen und bei Bedarf würden einzelfallspezifische Fragen in persönlichen Gesprächen erörtert. Kopien der Unterlagen würden aus Gründen der Vertraulichkeit (Bankkundenge- heimnis) nicht ausgehändigt. Bis zum 10. September 2012 hätten rund 50 Mitarbei- ter Akteneinsicht verlangt.
II.
Erwägungen des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten:
In den Dokumenten, die von den Banken an die US-Behörden übermittelt wurden, sind Namen und Vornamen, E-Mail Adressen und Telefonnummern von aktiven und ehemali- gen Mitarbeitende sowie externen Dritten aufgeführt. Diese Daten beziehen sich auf be- stimmte Personen. Es handelt sich somit um Personendaten gemäss Art. 3 Bst. a DSG. Werden diese Personendaten zugänglich gemacht, das heisst wird Einsicht gewährt, werden sie weitergegeben oder veröffentlicht, handelt es sich um eine Bekanntgabe nach Art. 3 Bst. f DSG. Die Personendaten wurden durch die Bank an US-Behörden übermit- telt. Dies stellt eine Bekanntgabe dar.
Die Voraussetzungen für das Eröffnen einer Sachverhaltsabklärung sind gegeben, da die Bearbeitungsmethoden grundsätzlich geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Art. 29 Abs. 1 Bst. a DSG). Der EDÖB ist dazu be- rechtigt, den Sachverhalt näher abzuklären und gestützt auf Art. 29 Abs. 3 DSG zu emp- fehlen, die Datenbearbeitung zu ändern, einzustellen oder zu unterlassen.
Rechtmässigkeit der Datenbearbeitung/Rechtfertigungsgrund
Wer gemäss Art. 12 DSG Personendaten bearbeitet, darf dabei die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen. Er darf dabei insbesondere nicht Personendaten entgegen den Grundsätzen der Artikel 4, 5 Abs. 1 und 7 Abs. 1 DSG be- arbeiten. Zudem dürfen Personendaten nach Art. 6 DSG nicht ins Ausland übermittelt werden, wenn die Möglichkeit einer Persönlichkeitsverletzung besteht, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet. Im vorliegen- den Fall wurden Dokumente, die Personendaten wie Namen, Vornamen, E-Mail- Adressen und Telefonnummern von aktiven und ehemaligen Mitarbeitenden, sowie ex- ternen Dritten enthalten, durch die Banken an die US-Behörden übermittelt. Es stellt sich somit die Frage, ob durch dieses Vorgehen eine Persönlichkeitsverletzung stattgefunden hat und ob diese allenfalls durch einen Rechtfertigungsgrund nach Art. 13 DSG gerecht- fertigt werden kann. Zudem muss untersucht werden, ob eine der Voraussetzungen ge- mäss Art. 6 Abs. 2 DSG vorliegt, unter welcher Personendaten auch in ein Land übermit- telt werden können, das keinen angemessenen Datenschutz gewährleistet.
Eine Verletzung der Persönlichkeit ist gemäss Art. 13 DSG widerrechtlich, wenn sie nicht durch Einwilligung des Verletzten, durch ein überwiegendes privates oder öffentliches In-
5/10
teresse oder durch Gesetz gerechtfertigt ist. Eine Einwilligung der betroffenen Personen sowie eine gesetzliche Grundlage liegt offensichtlich nicht vor. Grundsätzlich ist anzu- merken, dass im Arbeitsbereich die Freiwilligkeit einer Einwilligung nur in Ausnahmefäl- len angenommen werden kann. Im vorliegenden Fall könnte klarerweise nicht von der Freiwilligkeit der Einwilligung ausgegangen werden. Es kommen somit nur die Rechtferti- gungsgründe des überwiegenden privaten oder öffentlichen Interesses in Frage.
Konkret macht die Bank geltend, dass ohne eine Übermittlung der Dokumente (die auch Personendaten beinhalten), wie sie von den US-Behörden gefordert wurde und wird, die wirtschaftliche Existenz der Bank bedroht wäre. Als Beispiel dafür wird die kürzlich aufge- löste Bank Wegelin vorgebracht, welche im Januar 2012 von den USA angeklagt wurde. Die Bank beruft sich bei ihrer Argumentation auch auf einen früheren Bundesgerichtsent- scheid, in dem das Gericht die Auffassung vertrat, dass im Falle einer damaligen Anklage gegen die UBS, dies mit hoher Wahrscheinlichkeit existenzbedrohende Folgen gehabt hätte. Wie hinlänglich bekannt sei, führe eine Anklageerhebung in den USA, unabhängig von ihrem Ausgang, für das betroffene Unternehmen zu einem nichtwiedergutzumachen- den Reputations- und Vermögensverlust, der im Bankenbereich verheerende Folgen ha- be und rasch zu einer Überschuldung führe (BGE 137 II 431, E.4.3.1, S. 447).
Damit ein überwiegendes privates oder öffentliches Interesse angenommen werden kann, müssen gewisse Anforderungen erfüllt sein. Ob ein Rechtfertigungsgrund gegeben ist, muss aufgrund der konkreten Umstände im Einzelfall anhand einer sorgfältigen Inter- essensabwägung entschieden werden (Urteil der EDSK vom 21. November 1996, VPB 62.42B, E. V 1b). Als schützenswerte Interessen können hierbei alle „Interessen von all- gemein anerkanntem Wert“ angesehen werden (A. Bucher, natürliche Personen, S. 536 in Basler Kommentar zum DSG Corrado Rampini zu Art. 13 DSG Rz. 22). Bei der Inte- ressenabwägung sind insbesondere die Sensitivität der bearbeiteten Personendaten so- wie das Verletzungspotential der Datenbearbeitung zu beachten.
Aufgrund der Schilderungen der ZKB einerseits und der verschiedenen involvierten Bun- desämter andererseits, können wir das Interesse der ZKB an der Abwehr einer Strafan- klage der USA grundsätzlich nachvollziehen. Welche Gefahr eine Anklage der US- Behörden für eine Bank darstellen würde, ist mittlerweile bekannt. Weiter geht aus den verschiedenen Unterlagen und Erläuterungen hervor, dass vor einer direkten Lieferung von Dokumenten ohne Schwärzung der Personendaten aktueller und ehemaliger Mitar- beitenden sowie weiterer Dritter versucht wurde, die Dokumente über Rechts- und Amts- hilfeverfahren zu übermitteln. Dies wurde aber von den US-Behörden nicht akzeptiert.
Gegen das private Interesse der Bank sind die Interessen der betroffenen Personen (ehemalige und jetzige Mitarbeitende und Dritte) abzuwägen. Diese bestehen im Schutz der Privatsphäre bzw. der persönlichen Freiheit. So besteht die Angst, durch die Über- mittlung des eigenen Namens und E-Mail-Adresse, in den USA allenfalls strafrechtlich belangt zu werden. Zudem besteht die Gefahr, dass betroffene Personen aufgrund dieser Übermittlung keine neue Anstellung mehr finden.
Die Banken machen weiter geltend, dass durch einen allfälligen Konkurs einer der betrof- fenen Banken, nicht nur die Bank selbst, sondern auch die Schweiz als Finanzplatz ge- fährdet wäre. Dies umso mehr, wenn es sich um eine systemrelevante Bank handeln würde. Zudem werde auch politisch nach einer Globallösung gesucht, die für alle Banken gelten solle. Aus diesem Grunde habe der Bundesrat den Banken auch die Bewilligung
6/10
nach Art. 271 StGB für eine straflose direkte Datenübermittlung erteilt, nachdem die vor- herigen Datenübermittlungen im Rahmen von Amts- und Rechtshilfeverfahren von den US-Behörden nicht akzeptiert worden seien.
7/10
Treu und Glauben sowie Transparenzprinzip
Gemäss Art. 12 Abs. 2 Bst. a DSG begeht eine Persönlichkeitsverletzung, wer Perso- nendaten unter anderem entgegen den Grundsätzen von Art. 4 DSG bearbeitet. Zwar wurde in der vorhergehenden Ziffer ein Rechtfertigungsgrund für die Datenübermittlung bejaht, was jedoch nicht bedeutet, dass die Daten entgegen den Prinzipien des Daten- schutzgesetzes bearbeitet werden dürfen. Dies gilt auch für eine Bekanntgabe ins Aus- land nach Art. 6 DSG. Die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung müssen für die betroffenen Personen erkennbar sein.
Die Bearbeitung von Personendaten muss nach Treu und Glauben erfolgen (Art. 4 Abs. 2 DSG). Daten sollen nicht in einer Art erhoben und bearbeitet werden, mit der die betrof- fene Person aus den Umständen heraus nicht rechnen musste und mit der sie nicht ein- verstanden gewesen wäre. Gegen diesen Grundsatz verstösst beispielsweise derjenige, der Daten nicht offen bearbeitet, ohne dabei gegen eine Rechtsnorm zu verstossen (Bot- schaft DSG BBl 1988 II 449). Demzufolge muss eine Datenbearbeitung für die betroffe- nen Personen transparent erfolgen. Dies bedeutet gemäss Art. 4 Abs. 4 DSG, dass für betroffene Personen die Datenbeschaffung und jede weitere Datenbearbeitung (BSK- DSG, Urs Maurer-Lambrou/Andrea Steiner, Art. 4 N 8), der Zweck jeder (weiteren) Da- tenbearbeitung, die Identität des Datenbearbeiters und – bei einer Datenbekanntgabe an Dritte – die Kategorien von möglichen Datenempfängern erkennbar sein müssen (Bot- schaft DSG BBl 2003 2125). Auch die Beschaffung von Personendaten bei Dritten muss erkennbar sein (Botschaft DSG BBl 2003 2126).
Die Anforderungen, welche an die Erkennbarkeit gestellt werden, sind nach den Umstän- den sowie den Grundsätzen der Verhältnismässigkeit und von Treu und Glauben zu be- urteilen (Botschaft DSG BBl 2003 2125). Unter dem Gesichtspunkt der Verhältnismäs- sigkeit ist zu prüfen, in welchem Mass die betroffene Person auf die wesentlichen Rah- menbedingungen der Beschaffung aufmerksam gemacht werden muss, welche Mittel dem Inhaber der Datensammlung zur Verfügung stehen, um diese Rahmenbedingungen erkennbar zu machen, und in welchem Umfang von ihm erwartet werden kann, dass er diese Mittel auch einsetzt, namentlich unter Berücksichtigung ihrer Kosten und ihrer Wirksamkeit.
8/10
klärung die Mitarbeitenden im Voraus über eine Datenübermittlung zu informieren. Damit kann sie dem Transparenzprinzip nachkommen. Für zukünftige Datenübermittlungen muss die Bank somit weiterhin die Mitarbeitenden vorzeitig über den Umfang und die Art der Dokumente, sowie den Zeitraum, aus dem sie stammen, informieren. Diese Informa- tion hat mit einer angemessenen Frist vor einer jeweiligen Übermittlung zu erfolgen. Zu- dem muss die Information so erfolgen, dass sie geeignet ist, die potentiell betroffenen Personen zu erreichen.
Auskunftsrecht
Gemäss Art. 8 DSG kann jede Person vom Inhaber einer Datensammlung Auskunft dar- über verlangen, ob und welche Daten über sie bearbeitet werden.
Gemäss Art. 3 Bst. g DSG gilt als Datensammlung jeder Bestand von Personendaten, der so aufgebaut ist, dass die Daten nach betroffenen Personen erschliessbar sind. Eine Datensammlung im Sinne des Gesetzes ist ein Bestand von Daten, der auf mehr als eine Person Bezug nimmt. Sie kann ganz unterschiedlich organisiert und aufgebaut sein. Da- tenschutzrechtlich entscheidend ist, dass die zu einer bestimmten Person gehörenden Daten auffindbar sind (Botschaft DSG, BBl 1988 II 447). Bei der Zusammenstellung der für den Versand an die US-Behörde vorgesehenen Dokumenten handelt sich um eine Datensammlung im Sinne des Datenschutzgesetzes.
Betreffend bisherige Übermittlungen kann festgehalten werden, dass den betroffenen Personen das Auskunftsrecht nach Art. 8 DSG, in die über sie bearbeiteten Daten, voll- umfänglich zu gewähren ist.
Für die zukünftigen Übermittlungen gilt folgendes Vorgehen: Durch eine vorgehende In- formation der Mitarbeitenden wie sie in Ziffer 13 ff. beschrieben wird, hat die betroffene Person die Möglichkeit, über die sie betreffenden Daten Auskunft zu verlangen. Dabei muss sie Zugang zu sämtlichen Dokumenten erhalten, die Daten über sie enthalten. Will die Person nach dieser Auskunft gegen die Übermittlung ihrer Daten opponieren, muss die Bank nochmals eine auf den Einzelfall bezogene Güterabwägung durchführen. Will die Bank danach die Dokumente trotzdem ohne Schwärzung des Namens übermitteln, muss die ZKB die betroffene Person darüber informieren und über ihre Rechte aufklären. Damit bleibt der betroffenen Person die Möglichkeit, ihre Rechte wahrzunehmen.
Der tatsächlich erfolgte Antrag für vorsorgliche Massnahmen eines Mitarbeiters von einer der involvierten Banken bei einem Gericht in Genf zeigt, dass durch eine vorgehende In- formation durch die Bank, dem Mitarbeitenden die Möglichkeit bleibt, seine individuellen Rechte wahrzunehmen.
Die ZKB gewährt das vorgängige Auskunftsrecht in dem Sinne, als dass die betroffene Person die Möglichkeit hat, die entsprechenden Dokumente in den Räumlichkeiten der
9/10
Bank einzusehen. In Art. 8 Abs. 5 DSG heisst es, dass die Auskunft in der Regel schrift- lich, in Form eines Ausdrucks oder einer Fotokopie sowie kostenlos zu erteilen ist. Die Bank gibt jedoch keine Kopien der gesichteten Dokumente ab. Es handelt sich um eine Frage der Modalität des Auskunftsrechts nach Art. 1 der Verordnung zum Datenschutz- gesetz (VDSG, SR 235.11). Darin heisst es in Abs. 3, dass im Einvernehmen mit dem In- haber der Datensammlung oder auf dessen Vorschlag hin, die betroffene Person ihre Da- ten auch an Ort und Stelle einsehen kann. Die Bank macht geltend, dass aufgrund der Sensitivität der Dokumente betreffend Bank- und Kundengeheimnis keine Kopien abge- geben werden können. Der EDÖB kann dieser Argumentation insofern folgen, als dass es beim Auskunftsrecht nach Art. 8 DSG vor allem darum geht, dass die betroffenen Per- sonen Zugang zu allen Dokumenten und Informationen haben, die ihre Person betreffen. Gleichzeitig sprechen allenfalls andere gesetzliche Grundlagen, wie das Bankgeheimnis nach Bankengesetz, gegen eine Abgabe von Kopien. Zudem dürfte es den Mitarbeiten- den gemäss Vertrag und internen Weisungen klar sein, dass sie grundsätzlich keine Ko- pien von internen Dokumenten nach Hause nehmen dürfen.
III.
Aufgrund dieser Erwägungen empfiehlt der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte:
In Bezug auf die bereits erfolgten Datenlieferungen gewährt die ZKB den betroffenen Perso- nen (aktuelle und ehemalige Mitarbeitende sowie externe Dritte) das Auskunftsrecht gemäss Artikel 8 DSG im Sinne der Erwägungen.
2.1 In Bezug auf jede zukünftige Datenlieferung an US-Behörden informiert die ZKB gemäss Art. 4 Abs. 2 und 4 DSG im Voraus die betroffenen Personen über Umfang und Art der Doku- mente, die übermittelt werden sollen sowie über den Zeitraum aus dem sie stammen. Bei ehemaligen Mitarbeitenden und externen Dritten hat die ZKB diese Information vorzuneh- men, sofern dies mit einem verhältnismässigen Aufwand möglich ist.
2.2 Die ZKB gewährt den betroffenen Personen eine angemessene Frist, um gemäss Art. 8 DSG Auskunft über sämtliche, sie betreffende Dokumente zu erhalten.
2.3 Spricht sich eine betroffene Person gegenüber der ZKB gegen die Übermittlung von Doku- menten aus, die ihren Namen enthalten, so nimmt die ZKB eine Interessenabwägung für den konkreten Einzelfall vor. Will die ZKB dann die Dokumente trotzdem ohne Schwärzung des Namens übermitteln, muss sie die betroffene Person darüber informieren und über ihre Rechte aufklären.
10/10
Die ZKB teilt dem EDÖB innerhalb von 14 Tagen ab Erhalt dieser Empfehlung mit, ob sie die Empfehlung annimmt oder ablehnt. Wird diese Empfehlung nicht befolgt oder abgelehnt, so kann der EDÖB die Angelegenheit dem Bundesverwaltungsgericht zum Entscheid vorlegen (Art. 29 Abs. 4 DSG).
Es ist vorgesehen, dass die vorliegende Empfehlung in Anwendung von Art. 30 Abs. 2 DSG publiziert wird.
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter
Hanspeter Thür