Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter EDÖB
Feldeggweg 1, 3003 Bern Tel. 031 322 43 95, Fax 031 325 99 96 www.edoeb.admin.ch
Bern, den 2. Mai 2007
EMPFEHLUNG
gemäss
Art. 29 des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz (DSG),
betreffend
die Bearbeitung von Handelsregisterdaten durch die Firma X
I.
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte stellt fest:
Die Firma X publiziert im Internet Handelsregisterdaten sowohl von Unternehmen, die aktuell am Wirtschaftsleben teilnehmen, wie auch von jenen, die aus diesem Kreislauf zwischenzeitlich ausgeschieden sind. Die Daten werden ohne Einwilligung der betroffenen Personen publiziert. Diese Datenbearbeitung wurde uns gegenüber seitens betroffener Personen wiederholt kritisiert. Beanstandet wurde namentlich, dass die Firma X Personendaten auch dann nicht löscht, wenn sich die betroffene Person ausdrücklich gegen deren Publikation im Internet ausgesprochen hatte. Bei der Prüfung der Rechtslage hat sich gezeigt, dass dies nicht das einzige Datenschutzproblem ist. Der seit dem Jahr 2005 bestehende Kontakt zwischen unserer Behörde und der Firma X hat bislang nicht zur Folge gehabt, dass die unsererseits angemeldeten Bedenken umfassend ausgeräumt worden sind. Nach einer ausführlichen schriftlichen Erörterung der Rechtslage unsererseits (Schreiben vom 27. März 2007) hält die Firma X im Wesentlichen an ihrem Standpunkt fest.
2/7 II.
Erwägungen des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten:
Auf der Basis unserer Erörterung der Rechtslage vom 27. März 2007 wiederholen wir die Hinweise für eine datenschutzkonforme Bearbeitung von Handelsregisterdaten durch die Firma X im Rahmen einer Empfehlung im Sinne von Artikel 29 DSG. Die Voraussetzungen für eine Empfehlung im Sinne dieser Bestimmung sind gegeben. Die Bearbeitungsmethoden sind geeignet, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (Art. 29 Abs. 1 lit. a DSG).
Der Begriff der Handelsregisterdaten umfasst sämtliche Informationen in den Registern der kantonalen Handelsregisterämter. Der Begriff umfasst ausserdem die Daten von Publikationsorganen, die ausschliesslich Registerdaten enthalten, wie das Schweizerische Handelsamtsblatt (SHAB) und der zentrale Firmenindex (Zefix).
Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 3 lit. a DSG). Handelsregisterdaten stellen damit Personendaten dar: Die im Handelsregister publizierten Informationen beziehen sich stets auf natürliche Personen (z.B. bei einer Einzelfirma) und je nach Rechtsform des eingetragenen Sachverhaltes gleichzeitig auch auf eine juristische Person.
Das Datenschutzgesetz ist auf öffentliche Register des Privatrechtsverkehrs nicht anwendbar (Art. 2 Abs. 2 lit. d DSG). Allerdings hatte der Gesetzgeber bei der Schaffung dieser Bestimmung einzig die Datenbearbeitung durch die zuständigen staatlichen Organe im Auge (vgl. BBl 1988 II 413, 444); auf die Bearbeitung von Handelsregisterdaten durch Privatpersonen ist das Datenschutzgesetz uneinge- schränkt anwendbar.
Gemäss Art. 12 Abs. 3 DSG besteht eine gesetzliche Vermutung, nach welcher die Bearbeitung von Personendaten keine Persönlichkeitsverletzung darstellt, wenn diese durch die betroffene Person allgemein zugänglich gemacht worden sind. Nachdem Handelsregisterdaten öffentlich sind, ist zu prüfen, ob auf der Grundlage dieser Bestimmung die Möglichkeit der Persönlichkeitsverletzung allgemein ausgeschlossen ist. Vorausgesetzt wäre dafür, dass die Datenpublikation aus freien Stücken geschieht. Genauer ist ein Willensakt vonnöten, der sich exakt auf die Publikation der Daten bezieht und auf irgendeinen anderen Vorgang (vgl. die Beispiele in Basler Kommentar zum DSG, 2. Aufl. 2006, Rn. 16 zu Art. 12 DSG). Bei Handelsregisterdaten handelt es sich grundsätzlich nicht um allgemein zugänglich gemachte Personendaten: Soweit nämlich eine Eintragungspflicht in das Handelsregister besteht, ist weder die Datenpublikation selbst verhandelbar, noch deren Inhalt (vgl. Art. 10 Abs. 1 HRegV und Art. 20 Abs. 1 HRegV). Lediglich bei Unternehmen, die sich trotz Fehlens einer Eintragungspflicht in das Handelsregister eintragen lassen (vgl. etwa Art. 119 Abs. 2 lit. a HRegV; SR 211.411), geht die Datenpublikation auf einen Willensakt zurück, der den Anforderungen von Art. 12 Abs. 3 DSG entspricht.
3/7 Nachdem Handelsregisterdaten nicht im Sinne des Datenschutzgesetzes „allgemein zugänglich gemacht“ sind, gilt der in Art. 12 Abs. 1 DSG festgelegte Grundsatz: Wer Personendaten bearbeitet, darf die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen. 4. Die Bearbeitung von Handelsregisterdaten durch Privatpersonen als möglicherweise widerrechtlicher Vorgang
Die Bearbeitung von Handelsregisterdaten durch Privatpersonen ist nicht gesamthaft durch einen besonderen Rechtfertigungsgrund im Sinne von Art. 13 Abs. 2 DSG gedeckt. Immerhin werden einige Bearbeitungsschritte in diesem Zusammenhang durch den Rechtfertigungsgrund des Art. 13 Abs. 2 lit. b DSG erfasst. Aus den Gesetzesmaterialien zu dieser Bestimmung wird deutlich, dass die Beschaffung von Handelsregisterdaten erlaubt sein soll, falls zwischen dem Datenbearbeiter und der betroffenen Person ein Wettbewerbsverhältnis besteht und ausserdem die Daten nur intern verwendet werden (vgl. BBl 1988 II 413, 461). Der Gesetzgeber wollte also die systematische Weitergabe von Handelsregisterdaten durch Privatpersonen nicht in allgemeiner Form erlauben. Damit ist die persönlichkeitsverletzende Bearbeitung von Handelsregisterdaten durch Privatpersonen stets widerrechtlich, soweit sie denn nicht durch einen der allgemeinen Rechtfertigungsgründe im Sinne von Art. 13 Abs. 1 DSG gedeckt ist. Im Hinblick auf die im konkreten Fall zu leistende Widerrechtlichkeitsprüfung (vgl. unten 8.) ist an dieser Stelle darauf hinzuweisen, dass gemäss der Botschaft zum Datenschutzgesetz zwar die im Handelsregister eingetragenen juristischen Personen „in gewissem Sinne [als] ‚öffentliche’ Personen“ anzusehen sind, nicht aber die natürlichen Personen, die in ihrer Eigenschaft als Organe juristischer Personen eingetragen sind (vgl. BBl 1988 II 414, 461). Diese gesetzgeberische Wertung gilt es auch vorliegend zu berücksichtigen.
Werden Daten durch verschiedene Akteure bearbeitet, erlangt das datenschutzrechtliche Gebot der Zweckbindung bei der Datenbearbeitung besondere Bedeutung (Art. 4 Abs. 3 DSG). Dies gilt ohne Weiteres auch im vorliegenden Fall, obwohl sich lediglich die Bearbeitung von Handelsregisterdaten durch Privatpersonen nach dem Datenschutzgesetz bemisst und nicht bereits die Datenerhebung durch den Staat. Vielmehr kommt man nicht umhin, den Zweck der staatlichen Datenerhebung (Handelsregisterzweck) zu berücksichtigen, um die Zulässigkeit der Weitergabe von Handelsregisterdaten durch Privatpersonen zu beurteilen (vgl. unten 6.). 6. Registerrechtliche Vorgaben für die private Weitergabe von Handelsregisterdaten durch den Zweck des Handelsregisters
Der Zweck des Handelsregisters ist nicht mittels ausdrücklicher Gesetzesbestimmung definiert. Ge- mäss einschlägiger Rechtsquellen (Rechtsprechung und Lehre; Art. 1 Abs. 2 und 3 ZGB) hat das Handelsregister mehr als bloss einen einzigen Zweck. Diese Zweckpluralität ist vorliegend von Bedeutung, als insbesondere auch die Publizität des Handelsregisters nicht dessen alleiniger Zweck ist: Die Öffentlichkeit des Registers ist vielmehr im Gesamtzusammenhang der damit angestrebten Rechtswirkungen zu sehen, die sich unter dem Stichwort des öffentlichen Glaubens zusammenfassen lassen.
Die private Publikation von Handelsregisterdaten steht mit dem öffentlichen Glauben des Handels- registers in keinem Zusammenhang. Streng genommen liegt sie damit gesamthaft ausserhalb der Zwecksbestimmung, die für die Datenerhebung Gültigkeit hatte. Dennoch ist die private Verbreitung der Handelsregisterdaten nicht per se ein Verstoss gegen das Zweckbindungsgebot: Auch wenn kein staatlicher Auftrag zur Maximierung der Publizität besteht, kann die private Weiterverbreitung der Handelsregisterdaten wirtschaftlich gewinnbringend sein.
4/7 Dennoch sind der Weitergabe von Handelsregisterdaten durch Privatpersonen Schranken gesetzt: Soweit Daten publiziert werden, die im Handelsregister nicht mehr auffindbar sind, stellt dies einen persönlichkeitsverletzenden Vorgang dar. Eine solche Ausdehnung des staatlichen Informationsangebots ist durch den Zweck nicht mehr gedeckt, der bei der Datenerhebung Gültigkeit hatte (Verstoss gegen Art. 4 Abs. 3 DSG). Dieses gesetzeswidrige Zweckänderung bei der Datenbearbeitung präsentiert sich überdies gleichzeitig als Verstoss gegen das datenschutzrechtliche Verhältnismässigkeitsprinzip (Art. 4 Abs. 2 DSG). Die Frage der Zweckbindung und des zulässigen Umfangs der Datenbearbeitung sind im vorliegenden Fall untrennbar miteinander verbunden. Ein Datenschutzverstoss ist damit erst dem Grundsatz nach umschrieben; allein mit Blick auf den Zweck des Handelsregisters lässt sich die Zulässigkeit der Datenbearbeitung nicht ermessen. Es ergeben sich aber für die Weitergabe von Handelsregisterdaten im Rahmen von Online-Publikationen aus dem Handelsregisterrecht konkretere Vorgaben (vgl. im Anschluss 7.) 7. Registerrechtliche Vorgaben für die private Datenweitergabe im Rahmen von Online- Publikationen
Die datenschutzrechtliche Problemlage durch die Übersteigerung des staatlichen Informationsangebots durch Privatpersonen steht in einem engen Zusammenhang mit den Möglichkeiten der elektronischen Datenbearbeitung: Nachdem es technisch möglich ist, die im Rahmen der Online-Publikation des SHAB (<www.shab.ch>) verfügbaren Daten laufend und gesamthaft zu speichern, können auf privater Basis ohne Weiteres Informationen zusammen getragen werden, die dem Umfang nach über die aktuellen Handelsregistereinträge hinaus gehen. Da mit Blick auf den Zweck des Handelsregisters nur die aktuell im Handelsregister eingetragenen Informationen publik sein müssen, hat der Gesetzgeber die Regel aufgestellt, dass die Handelregisterdaten auf <www.shab.ch> nur während eines begrenzten Zeitraums zur Verfügung stehen (Vgl. Art. 11 Abs. 2 der VO über das Schweizerische Handelsamtsblatt; SR 221.415). Diese staatliche Selbstbeschränkung vermittelt namentlich den betroffenen natürlichen Personen Schutz: Ausserhalb von <www.shab.ch> bleibt eine schweizweite, selektive Suche – bezogen auf natürliche Personen – im staatlichen Informationsangebot ohne Resultat. Obwohl der Staat bei der Bearbeitung von Handelsregisterdaten dem Datenschutzgesetz nicht unterstellt ist, schützt das beschriebene Vorgehen die Datenschutzinteressen der betroffenen Personen: Der Staat stellt sicher, dass die wirtschaftliche Entflechtung natürlicher Personen von einem Unternehmen nach einer bestimmten Zeit auch auf der Ebene der Handelsregisterdaten durchschlägt.
Was die Bearbeitung von Handelsregisterdaten im Rahmen von Online-Publikationen von Privatpersonen betrifft, muss der beschriebene Schutz ebenfalls gewährleistet werden. Die Bestimmung in Art. 11 Abs. 2 der SHAB-Verordnung stellt insofern auch für Privatpersonen eine zwingende Vorgabe für die zulässige Maximaldauer der Datenspeicherung dar. Wird diese Vorgabe nicht erfüllt, ist vom Vorliegen eines Datenschutzverstosses auszugehen (Art. 4 Abs. 2 und 3 DSG; vgl. dazu oben 6.). 8. Prüfung des Verstosses gegen datenschutzrechtliche Bearbeitungsgrundsätze bei der Datenweitergabe durch die Firma X
Die Datenbearbeitung durch die Firma X ist in einigen Belangen nicht datenschutzkonform: Ein Verstoss gegen datenschutzrechtliche Bearbeitungsgrundsätze besteht dabei namentlich im Zusammenhang mit der Weitergabe der Personendaten von natürlichen Personen, insoweit diese natürlichen Personen in keiner Verbindung mehr zu einer im Handelsregister eingetragenen juristischen Person stehen bzw. wenn die juristische Person gar nicht mehr existiert (vgl. unten a).
5/7 Hingegen ist für die Weitergabe von Daten natürlicher Personen im Zusammenhang mit aktiven Firmen vom Vorliegen eines Rechtfertigungsgrundes auszugehen (vgl. unten a). Erlaubt ist grundsätzlich auch die Weitergabe der Daten juristischer Personen. Dies sowohl bei Unternehmen, die aus dem Wirtschaftskreislauf ausgeschieden sind, wie auch bei jenen, die daran aktuell teilnehmen (vgl. unten b). a) Die Bearbeitung der Personendaten natürlicher Personen
Die Weitergabe der Personendaten natürlicher Personen, die in keiner Verbindung mehr zu einer im Handelsregister eingetragenen juristischen Person stehen, ist eine datenschutzwidrige Übersteigerung des staatlichen Informationsangebotes. Sobald die Verbindung auch unter <www.shab.ch> nicht mehr abrufbar ist, stellt die Internetpublikation dieser Daten durch Privatpersonen eine persönlichkeitsverletzende Datenbearbeitung dar (vgl. oben 5., 6. und 7.). Ein Rechtfertigungsgrund, welcher die persönlichkeitsverletzende Datenweitergabe erlauben würde, ist nicht ersichtlich. Denn einerseits ist die Datenweitergabe nicht durch einen besonderen Recht- fertigungsgrundes gedeckt (vgl. oben 4.), andererseits liegt auch kein allgemeiner Rechtfertigungsgrund vor: Innerhalb der Rechtfertigungsgründe in Art. 13 Abs. 1 DSG vermöchte einzig eine Einwilligung der betroffenen Personen die Datenweitergabe zu rechtfertigen, die aber durch die Firma X nicht eingeholt wird (Massengeschäft). Ein überwiegendes Interesse an der Datenpublikation besteht hinsichtlich vergangener Wirtschafts- bindungen nicht: Wäre es für ein störungsfreies Wirtschaftsgeschehen erforderlich, dass sämtliche vergangenen Verbindungen zwischen natürlichen und juristischen Personen umfassend bekannt sind, hätte sich der Staat im Rahmen SHAB-Verordnung keine Beschränkung der Speicherdauer auferlegt. Vor dem Hintergrund dieser gesetzgeberischen Wertung ist festzustellen, dass das Publikums- interesse an der wirtschaftlichen Vergangenheit einer natürlichen Person weniger schwer wiegt, als das Interesse dieser Person, mit einem Unternehmen nicht in Verbindung gebracht zu werden. Diese können in verschiedener Hinsicht ein Interesse daran haben, dass die Loslösung von einer juristischen Person nicht unterschlagen wird. Namentlich im Zusammenhang mit den (gesellschaftlich stigmatisierenden) Firmenkonkursen ist darauf hinzuweisen, dass ein „Recht auf Vergessen" auch bezogen auf die wirtschaftliche Biographie einer Person besteht.
Anders verhält es sich im Zusammenhang mit Unternehmen, die aktiv am Wirtschaftsleben. In diesem Zusammenhang entsteht durch die Datenbearbeitung der Firma X eine datenschutzrelevante Übersteigerung des staatlichen Informationsangebots lediglich insofern, als dass auf der Internetplattform der Firma X eine schweizweite, personenbezogene Suche zur Verfügung steht, welche auch den Zeitraum betrifft, der über <www.shab.ch> nicht mehr abgefragt werden kann. Insofern ist zwar auch in diesem Zusammenhang eine persönlichkeitsverletzende Datenbearbeitung festzustellen (vgl. oben 5., 6. und 7.), jedoch ist in diesem Zusammenhang ein überwiegendes Interesse des Publikums vorstellbar (überwiegendes privates Interesse im Sinne von Art. 13 Abs. 1 DSG). Allerdings ist das Privatheitsinteresse der natürlichen Personen deswegen nicht belanglos. Immerhin ergibt sich aus den Materialien des Datenschutzgesetzes, dass die Bearbeitung der Daten natürlicher Personen im Zusammenhang mit Handelsregistereinträgen nur mit Zurückhaltung erfolgen soll (vgl. oben 4.). Dies hat namentlich zur Folge, dass die betroffene Person die Möglichkeit haben muss, durch die Intervention bei der Firma X ihre Daten löschen zu lassen (vgl. dazu im Anschluss 9.) b) Die Bearbeitung der Personendaten juristischer Personen
Auch die Publikation von Personendaten juristischer Personen ist eine persönlichkeitsverletzende Datenbearbeitung, soweit das staatliche Informationsangebot übersteigert wird (vgl. oben 5., 6. und 7.). Dies ist im Rahmen der Datenbearbeitung der Firma X insofern der Fall, als auch Angaben über erloschene juristische Personen publiziert werden. Wir gehen in diesem Zusammenhang allerdings
6/7 davon aus, dass im Zusammenhang mit diesen Daten kein schützenswertes Privatheitsinteresse besteht. Insoweit auf der Internetplattform der Firma X Informationen über aktive Firmen publiziert werden, die auf obsolet gewordenen Handelsregistereinträgen beruhen (z.B. Angabe über die zwischenzeitlich geänderte Kapitaleinlage), handelt es sich zwar ebenfalls um eine persönlichkeitsverletzende Datenbearbeitung (vgl. oben 5., 6. und 7.), wir gehen aber davon aus, dass die diesbezügliche Datenweitergabe durch ein überwiegendes privates Interesse gedeckt ist: Das Publikum hat durchaus ein Interesse an der Kenntnis, wie sich ein Unternehmen bezüglich bestimmter handelsregisterrelevanter Sachverhalte entwickelt hat. Eine Ausnahme ist nur zu machen, wenn sich die zuständigen Organe einer juristischen Person gegen die Datenweitergabe auf der Internetplattform der Firma X ausdrücklich aussprechen (vgl. im Anschluss 9.) 9. Datenschutzverletzung durch die Bearbeitung von Handelsregisterdaten gegen den Willen der betroffenen Person
Gemäss Art. 12 Abs. 2 lit. b DSG stellt die Bearbeitung von Personendaten gegen den ausdrücklichen Willen der betroffenen Person stets eine Persönlichkeitsverletzung dar, die nur erlaubt wäre, wenn die Datenbearbeitung durch einen Rechtfertigungsgrund gedeckt ist. Dabei kann für die Widerrechtlichkeitsprüfung nicht integral auf das bereits Gesagte verwiesen werden, da sich im Kontext von Art. 12 Abs. 2 lit. b DSG die Persönlichkeitsverletzung nicht primär aus dem Handelsregisterrecht herleitet, sondern aus dem Datenschutzgesetz selbst. Immerhin gilt aber für die Widerrechtlichkeitsprüfung auch in diesem Zusammenhang die Feststellung, dass ein besonderer Rechtfertigungsgrund im Sinne von Art. 13 Abs. 2 DSG fehlt (vgl. oben 4.). Zu prüfen ist damit einzig, ob ein privates Interesse im Sinne von Art. 13 Abs. 1 DSG vorliegt, welches das ausdrückliche Verbot der Datenbearbeitung überwiegen würde. Dies ist nicht der Fall. Die private Duplizierung der Handelsregisterdaten auf der Internetplattform der Firma X dient primär den wirtschaftlichen Interessen dieses Unternehmens, und erst in zweiter Linie den Informationsbedürfnissen des Publikums. Gegen die solcherart motivierte Datenpublikation ist das datenschutzrechtlich fundamentale Interesse der Betroffenen an informationeller Selbstbestimmung abzuwägen: Der Sinn von Art. 12 Abs. 2 lit. b DSG liegt exakt darin, dass die von einer Datenbearbeitung betroffenen Personen dieses Recht aktiv durchsetzen können.
Das Recht der betroffenen Person auf informationelle Selbstbestimmung wiegt deutlich schwerer. Denn zum einen sind wirtschaftliche Interessen kaum je höher zu gewichten als das Interesse an der Verfügungsgewalt über die eigenen Daten. Zum anderen ist die private Duplizierung von Handels- registerdaten zwar wie gezeigt sinnvoll (vgl. oben 6.), aber deswegen nicht unabdingbar. Im Ergebnis ist festzuhalten, dass die Firma X auf ausdrückliches Begehren der betroffenen (natürlichen oder juristischen) Person hin, keine Daten mehr über diese bearbeiten darf; namentlich dürfen die Daten nicht mehr auf der Internetplattform der Firma X publiziert werden.
7/7 III.
Aufgrund dieser Erwägungen empfiehlt der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte:
• Wenn zwischen einer natürlichen und einer juristischen Person keine Verbindung mehr besteht, dürfen die Personendaten der betroffenen natürlichen Personen auf der Internetplattform der Firma X maximal so lange publiziert werden, wie die Daten auch unter <www.shab.ch> abrufbar sind (drei Jahre, bzw. ein Jahr im Fall von Firmenkonkursen). • Die beschriebene Massname ist eine Daueraufgabe. Sie muss aber überdies für das aktuelle Informationsangebot der Firma X rückwirkend umgesetzt werden. Für die entsprechenden Arbeiten erachten wir einen Zeitraum von sechs Monaten als angemessen. • Die Firma X muss sämtliche Personendaten natürlicher Personen löschen, die sie bislang auf ihrem Internetauftritt im Zusammenhang mit juristischen Personen publiziert hat, die nicht mehr existieren. Auch für die Umsetzung dieser Massnahme erachten wir einen Zeitraum von sechs Monaten als angemessen.
• Als angemessene Frist erachten wir die Löschung der Daten innert dreier Arbeitstage ab Erhalt der Erklärung der betroffenen Person.
Die Firma X teilt dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) innerhalb von 30 Tagen ab Erhalt dieser Empfehlung mit, ob sie die Empfehlung annimmt oder ablehnt. Wird diese Empfehlung nicht befolgt oder abgelehnt, so kann der EDÖB die Angelegenheit dem Bundesverwaltungsgericht zum Entscheid vorlegen (Art. 29 Abs. 4 DSG). Bei Annahme der Empfehlung gilt der Fristablauf (30 Tage) gleichzeitig als Fristbeginn für die Umsetzung der genannten Massnahmen. Die vorliegende Empfehlung wird in Anwendung von Art. 30 Abs. 2 DSG in anonymisierter Form publiziert.
EIDGENÖSSISCHER DATENSCHUTZ- UND ÖFFENTLICHKEITSBEAUFTRAGTER
Hanspeter Thür