Update 7. August 2016: Das Urteil wurde in der sic! 2016, 387 ff., mit dem Stichwort “Whistleblowing-Meldestelle” publiziert.
Das BVGer verpflichtet die Eidg. Finanzkontrolle, ihre Datenbestände im Zusammenhang mit den Meldungen, die bei ihr als Whistleblowing-Meldestelle eingehen, nach DSG 11a II anzumelden, und sie muss ein Bearbeitungsreglement gemäss VDSG 21 erstellen. Strittig war v.a. der Begriff der Datensammlung.
Das Urteil ist rechtskräftig; das BGer ist auf die Beschwerde der EFK (dazu die NZZ) nicht eingetreten (1C_66/2015).
5.4.1 Der Botschaft zufolge soll es sich bei der Datensammlung um einen Bestand von Daten handeln, der auf mehr als eine Person Bezug nimmt. Dabei kann die Datensammlung ganz unterschiedlich organisiert und aufgebaut sein. Entscheidend ist, dass die zu einer bestimmten Person gehörenden Daten auffindbar sind (Botschaft des Bundesrates vom 23. März 1988 zum DSG, BBl 1988 II 413, 447 f. [nachfolgend: Botschaft zum DSG]). In der Lehre wird im Zusammenhang mit dem Kriterium der Erschliessbarkeit mitunter die Auffassung vertreten, dass es sich bei der Datensammlung um eine vergleichbar offene Begriffsbestimmung handle, so dass auch Datenbestände, die an sich nicht als Datensammlungen angelegt wurden und soweit auch keine eigene, erkennbare Zweckbestimmung aufweisen, wie etwa die Festplatte eines PC oder das Internet an sich, die indessen anhand der technischen Möglichkeiten nach Personen erschlossen werden können, als Datensammlungen zu qualifizieren seien. In diesem Sinne würde sich jeder elektronische Datenträger, wie etwa eine Festplatte, eine Diskette oder eine CD-ROM, als Trägermedium einer Datensammlung erweisen, soweit er der Speicherung von Personendaten diene und ein personenbezogener Zugriff mittels eines entsprechenden Programms möglich sei, was bei Office-Programmen standardmässig der Fall sei. Somit stelle ein Bestand von elektronisch gespeicherten Textdokumenten regelmässig eine Datensammlung im Sinne des DSG dar. Nicht als Datensammlungen könnten daher eigentlich nur noch ungeordnete und verstreute Ablagen von Papierunterlagen gelten (vgl. Blechta, BSK DSG/BGÖ, N. 81 zu Art. 3 DSG).
Dieses weite Verständnis der Legaldefinition von Art. 3 Bst. g DSG wird in der Literatur zu Recht kritisiert: Mit den heutigen Suchprogrammen ist es in der Regel möglich, den Inhalt sämtlicher Festplatten beispielsweise nach einem Personennamen zu durchsuchen. Zudem ist es auch wahrscheinlich, dass auf zahlreichen Festplatten Personendaten vorhanden sind. Doch wird es kaum der Wille des Gesetzgebers gewesen sein – noch entspricht es dem Sinn und Zweck des Datenschutzgesetzes -, dass mit einer weiten Begriffsauslegung zahlreiche Datenbestände, wie die Festplatten von Computern, als Datensammlungen gelten, mit der Konsequenz, dass diese etwa dem Auskunftsrecht nach Art. 8 DSG oder – wie hier – der Registrierungspflicht nach Art. 11a DSG unterstehen (vgl. Rosenthal, Handkommentar DSG, Rz. 82 zu Art. 3 DSG). Rosenthal will den Begriff daher enger verstanden haben und stellt deshalb folgende Voraussetzungen auf, die kumulativ erfüllt sein müssen, damit von einer Datensammlung im Sinne des DSG gesprochen werden kann: Es muss sich um Personendaten von mehr als einer Person handeln. Diese müssen festgehalten sein und – begriffsnotwendig – aus mehr als einem Datensatz bestehen, um als Sammlung zu gelten. Des Weiteren sind die Kategorien der Personendaten, die in der Datensammlung vorkommen, vorgängig in generell-abstrakter Weise festzulegen. Die einzelnen Datensätze müssen einen thematischen, logischen Zusammenhang und die Sammlung eine gewisse Beständigkeit aufweisen. Schliesslich müssen die Personendaten nach betroffenen Personen erschliessbar sein. Eine Datensammlung erfasst Datenbestände sodann nur insoweit, als sie bezüglich Inhalt und Zweck faktisch unter einer einheitlichen Herrschaft stehen (vgl. Rosenthal, Handkommentar DSG, Rz. 83 ff. zu Art. 3 DSG).
5.4.2 Ob abschliessend an diesen Kriterien festgehalten werden soll, kann an dieser Stelle offen bleiben; wie zu sehen sein wird, ist vorliegend so oder anders von Datensammlungen im Sinne des Gesetzes auszugehen.