Update 7. August 2016: Das Urteil wur­de in der sic! 2016, 387 ff., mit dem Stich­wort “Whist­leb­lo­wing-Mel­de­stel­le” publi­ziert.


Das BVGer ver­pflich­tet die Eidg. Finanz­kon­trol­le, ihre Daten­be­stän­de im Zusam­men­hang mit den Mel­dun­gen, die bei ihr als Whist­leb­lo­wing-Mel­de­stel­le ein­ge­hen, nach DSG 11a II anzu­mel­den, und sie muss ein Bear­bei­tungs­re­gle­ment gemäss VDSG 21 erstel­len. Strit­tig war v.a. der Begriff der Daten­samm­lung.

Das Urteil ist rechts­kräf­tig; das BGer ist auf die Beschwer­de der EFK (dazu die NZZ) nicht ein­ge­tre­ten (1C_66/2015).

5.4.1 Der Bot­schaft zufol­ge soll es sich bei der Daten­samm­lung um einen Bestand von Daten han­deln, der auf mehr als eine Per­son Bezug nimmt. Dabei kann die Daten­samm­lung ganz unter­schied­lich orga­ni­siert und auf­ge­baut sein. Ent­schei­dend ist, dass die zu einer bestimm­ten Per­son gehö­ren­den Daten auf­find­bar sind (Bot­schaft des Bun­des­ra­tes vom 23. März 1988 zum DSG, BBl 1988 II 413, 447 f. [nach­fol­gend: Bot­schaft zum DSG]). In der Leh­re wird im Zusam­men­hang mit dem Kri­te­ri­um der Erschliess­bar­keit mit­un­ter die Auf­fas­sung ver­tre­ten, dass es sich bei der Daten­samm­lung um eine ver­gleich­bar offe­ne Begriffs­be­stim­mung hand­le, so dass auch Daten­be­stän­de, die an sich nicht als Daten­samm­lun­gen ange­legt wur­den und soweit auch kei­ne eige­ne, erkenn­ba­re Zweck­be­stim­mung auf­wei­sen, wie etwa die Fest­plat­te eines PC oder das Inter­net an sich, die indes­sen anhand der tech­ni­schen Mög­lich­kei­ten nach Per­so­nen erschlos­sen wer­den kön­nen, als Daten­samm­lun­gen zu qua­li­fi­zie­ren sei­en. In die­sem Sin­ne wür­de sich jeder elek­tro­ni­sche Daten­trä­ger, wie etwa eine Fest­plat­te, eine Dis­ket­te oder eine CD-ROM, als Trä­ger­me­di­um einer Daten­samm­lung erwei­sen, soweit er der Spei­che­rung von Per­so­nen­da­ten die­ne und ein per­so­nen­be­zo­ge­ner Zugriff mit­tels eines ent­spre­chen­den Pro­gramms mög­lich sei, was bei Office-Pro­gram­men stan­dard­mä­ssig der Fall sei. Somit stel­le ein Bestand von elek­tro­nisch gespei­cher­ten Text­do­ku­men­ten regel­mä­ssig eine Daten­samm­lung im Sin­ne des DSG dar. Nicht als Daten­samm­lun­gen könn­ten daher eigent­lich nur noch unge­ord­ne­te und ver­streu­te Abla­gen von Papier­un­ter­la­gen gel­ten (vgl. Blech­ta, BSK DSG/BGÖ, N. 81 zu Art. 3 DSG).

Die­ses wei­te Ver­ständ­nis der Legal­de­fi­ni­ti­on von Art. 3 Bst. g DSG wird in der Lite­ra­tur zu Recht kri­ti­siert: Mit den heu­ti­gen Such­pro­gram­men ist es in der Regel mög­lich, den Inhalt sämt­li­cher Fest­plat­ten bei­spiels­wei­se nach einem Per­so­nen­na­men zu durch­su­chen. Zudem ist es auch wahr­scheinlich, dass auf zahl­rei­chen Fest­plat­ten Per­so­nen­da­ten vor­han­den sind. Doch wird es kaum der Wil­le des Gesetz­ge­bers gewe­sen sein – noch ent­spricht es dem Sinn und Zweck des Daten­schutz­ge­set­zes -, dass mit einer wei­ten Begriffs­aus­le­gung zahl­rei­che Daten­be­stän­de, wie die Fest­plat­ten von Com­pu­tern, als Daten­samm­lun­gen gel­ten, mit der Kon­se­quenz, dass die­se etwa dem Aus­kunfts­recht nach Art. 8 DSG oder – wie hier – der Regi­strie­rungs­pflicht nach Art. 11a DSG unter­ste­hen (vgl. Rosen­thal, Hand­kom­men­tar DSG, Rz. 82 zu Art. 3 DSG). Rosen­thal will den Begriff daher enger ver­stan­den haben und stellt des­halb fol­gen­de Vor­aus­set­zun­gen auf, die kumu­la­tiv erfüllt sein müs­sen, damit von einer Daten­samm­lung im Sin­ne des DSG gespro­chen wer­den kann: Es muss sich um Per­so­nen­da­ten von mehr als einer Per­son han­deln. Die­se müs­sen fest­ge­hal­ten sein und – begriffs­not­wen­dig – aus mehr als einem Daten­satz bestehen, um als Samm­lung zu gel­ten. Des Wei­te­ren sind die Kate­go­ri­en der Per­so­nen­da­ten, die in der Daten­samm­lung vor­kom­men, vor­gän­gig in gene­rell-abstrak­ter Wei­se fest­zu­le­gen. Die ein­zelnen Daten­sät­ze müs­sen einen the­ma­ti­schen, logi­schen Zusammen­hang und die Samm­lung eine gewis­se Bestän­dig­keit auf­wei­sen. Schliess­lich müs­sen die Per­so­nen­da­ten nach betrof­fe­nen Per­so­nen erschliess­bar sein. Eine Daten­samm­lung erfasst Daten­be­stän­de sodann nur inso­weit, als sie bezüg­lich Inhalt und Zweck fak­tisch unter einer ein­heit­li­chen Herr­schaft ste­hen (vgl. Rosen­thal, Hand­kom­men­tar DSG, Rz. 83 ff. zu Art. 3 DSG).

5.4.2 Ob abschlie­ssend an die­sen Kri­te­ri­en fest­ge­hal­ten wer­den soll, kann an die­ser Stel­le offen blei­ben; wie zu sehen sein wird, ist vor­lie­gend so oder anders von Daten­samm­lun­gen im Sin­ne des Geset­zes aus­zu­ge­hen.

Posted by David Vasella

RA Dr. David Vasella ist Rechtsanwalt bei FRORIEP. Er ist auf IT-, Datenschutz- und Immaterialgüterrecht spezialisiert und ist Lehrbeauftragter der Universität Zürich. Er ist Gründer von swissblawg.