Bundesgericht: Umfang des Auskunftsrechts nach Art. 8 DSG umfasst keine Erinnerungen

Bank beendet Geschäftsbeziehung mit Anwalt

Das Bundesgericht hatte jüngst den Umfang des datenschutzrechtlichen Auskunftsanspruches zu präzisieren (BGer 4A_125/2020 (amtl. Publ.), Urteil vom 10. Dezember 2020). Diese Gelegenheit bot sich im Rahmen einer nicht ganz alltäglichen Konstellation: Ein Anwalt wurde im Jahr 2013 von den US-Strafverfolgungsbehörden wegen Beihilfe zu Steuerdelikten angeklagt. Die Anklageerhebung durch die US-Strafverfolgungsbehörden führte dazu, dass er sich mit seiner bisherigen Anwaltskanzlei überwarf. Als er aus dieser Kanzlei ausschied, musste diese ihm Ende 2015 CHF 566’000.- auf sein Bankkonto überweisen.

Ein gutes halbes Jahr später wollte die Bank des Anwalts dann die Geschäftsbeziehungen mit ihm beenden und machte zur Begründung geltend, dass die Kontoschliessung erforderlich sei, um eine Vereinbarung mit US-Aufsichtsbehörden erfüllen zu können, die zur Bereinigung ihrer eigenen steuerrechtlichen Altlasten geschlossen wurde. Der Anwalt hielt diese Begründung für vorgeschoben. Er vermutete, dass ein Partner seiner Ex-Kanzlei nach der Geldüberweisung den General Counsel der Bank kontaktiert und ihm bzw. der Bank geraten habe, sich vom Anwalt als Kunden zu trennen.

Anwalt verlangt datenschutzrechtliche Auskunft von der Bank

Es folgte ein Schlichtungsverfahren zwischen dem Anwalt und der Bank. Nachdem dieses erfolglos war, klagte der Anwalt beim Bezirksgericht Zürich auf Auskunft gemäss Art. 8 Datenschutzgesetz. Er verlangte im Wesentlichen Auskunft über sämtliche Personendaten mit inhaltlichem Bezug auf ihn und zwar konkret betreffend die konsultierten und verwendeten Personendaten im Zusammenhang mit dem Zahlungseingang von CHF 566’000. Das Rechtsbegehren erfasste mit gewissen Einschränkungen nicht nur den Datenbestand, der mittels EDV-Techniken erschliessbar ist, sondern auch den E-Mail- und Faxverkehr, soweit der Anwalt diesen nicht erhalten hatte, sowie Telefon- und Gesprächsnotizen sowie interne Unterlagen und Notizen.

Das Bezirksgericht erliess hierauf eine Beweisverfügung, mit der es die Zeugenbefragung des angesprochenen Partners und eines weiteren Anwalts der Ex-Kanzlei sowie die Parteibefragung des General Counsels der Bank anordnete. Gegenstand des Beweisverfahrens sollte sein, ob der Partner den General Counsel in Zusammenhang mit der Zahlung kontaktiert hatte, ob dabei personenbezogene Daten des Anwalts bekanntgegeben wurden und ob der Inhalt dieses Gesprächs durch den General Counsel selbst oder andere Bankmitarbeiter schriftlich festgehalten worden war.

Gegen diese Beweisverfügung erhob die Bank Beschwerde beim Obergericht Zürich. Dieses wies die Beschwerde mit der Begründung ab, die beweispflichtigen Tatsachen seien durch den datenschutzrechtlichen Auskunftsanspruch gedeckt (Obergericht des Kantons Zürich, Nr. PP190037-O/U, Urteil vom 30. Januar 2020). Daraufhin gelangte die Bank mit Beschwerde in Zivilsachen an das Bundesgericht.

Präjudizierende Wirkung von Beweisverfahren in Verfahren zur Auskunftserteilung

In einem ersten Schritt äusserte sich das Bundesgericht zur prozessualen Frage, ob die Beweisverfügung als solche überhaupt vor Bundesgericht angefochten werden kann. Eine Anfechtung der Beweisverfügung als Zwischenentscheid ist nur ausnahmsweise möglich, wenn im Beweisverfahren Geschäftsgeheimnisse offenbart werden müssen oder wenn mit der Beweisabnahme Informationen offengelegt würden, über deren Herausgabe in der Hauptsache gestritten wird.

Mit Blick auf letztere Ausnahme rief das Bundesgericht in Erinnerung, dass Beweisverfahren zur Anspruchsdurchsetzung ohne Prüfung der Anspruchsvoraussetzungen missbraucht werden könnten: Die strittige Beweisverfügung sah Zeugenbefragungen und eine Parteibefragung zur Ermittlung der Herkunft von Personendaten vor. Würden diese Beweise abgenommen, wäre der Auskunftsanspruch in der Sache zumindest teilweise präjudiziert. Mit einem solchen Beweisverfahren könne faktisch über den eingeklagten Auskunftsanspruch entschieden werden, bevor geklärt ist, ob und in welchem Umfang dieser Auskunftsanspruch überhaupt besteht. Daher bewirkte die Beweisverfügung bzw. der Rechtsmittelentscheid des Obergerichts über diese einen nicht leicht wieder gutzumachender Nachteil rechtlicher Natur und war selbstständig anfechtbar.

Präzisierung der Tragweite des Auskunftsrechts

Danach widmete sich das Bundesgericht der Frage, ob Art. 8 DSG durch die Vorinstanz falsch angewandt worden war. Nach dessen Wortlaut kann jede Person vom Inhaber einer Datensammlung Auskunft darüber verlangen, ob Daten über sie bearbeitet werden. Gemäss Art. 8 Abs. 2 lit. a DSG erstreckt sich das Auskunftsrecht auf alle über eine Person in einer Datensammlung vorhandenen Daten, d.h. auf alle Angaben, die sich auf diese Person beziehen (Personendaten i.S.v. Art. 3 lit. a DSG) und ihr zugeordnet werden können (Datensammlung i.S.v. Art. 3 lit. g DSG).

Hierzu stellte das Bundesgericht zunächst klar, dass die Art der Speicherung oder die Bezeichnung der Datensammlung durch den Inhaber unerheblich ist. Das Auskunftsrecht könne nicht dadurch unterlaufen werden, dass z.B. neben der offiziellen Datensammlung auch eine inoffizielle geführt wird. Werden neben der eigentlichen Datensammlung weitere Datenbestände geführt, die nach betroffenen Personen erschliessbar sind, sind diese ebenfalls vom Auskunftsrecht erfasst.

Die zu erteilende Auskunft muss wahr und vollständig sein, aber das Auskunftsrecht erfasse gemäss Gesetzeswortlaut und bisheriger Rechtsprechung nur vorhandene Daten. Wenn die auskunftsverpflichtete Partei geltend macht, dass die verlangten Personendaten nicht vorhanden sind, muss sie dies beweisen. Da das Nichtvorhandensein von Tatsachen aber schwierig zu beweisen ist, muss die auskunftsersuchende Person nach Treu und Glauben verstärkt an der Beweisführung mitwirken, indem sie entweder einen Gegenbeweis anbietet oder zumindest Anhaltspunkte für das Vorhandensein der fraglichen Daten aufzeigt.

Keine Pflicht Angaben über die Herkunft zu speichern

In der Folge erörterte das Bundesgericht, inwiefern Herkunftsangaben vom Auskunftsrecht erfasst sind. Gemäss Wortlaut von Art. 8 Abs. 2 lit. a DSG muss zwar über die Herkunft von Daten Auskunft erteilt werden, daraus ergebe sich aber keine Pflicht, Angaben über die Herkunft von Personendaten vorrätig zu speichern. Das Bundesgericht kam im Unterschied zur Vorinstanz zum Schluss, dass auch Erinnerungen an die Herkunft von Daten im Gedächtnis eines Mitarbeiters nicht vom Auskunftsanspruch umfasst sind. Diese Erinnerungen seien zunächst nicht in einer Datensammlung vorhanden und das Auskunftsrecht beziehe sich gemäss Art. 8 Abs. 2 lit. a DSG i.V.m. Art. 3 lit. g DSG nur auf in einer Datensammlung vorhandene Daten. Bezüglich der Herkunftsangaben weiche der Gesetzgeber zwar von diesem Grundsatz ab, denn hier beziehe sich das Auskunftsrecht gemäss Gesetzeswortlaut auf die «verfügbaren» Herkunftsangaben. Auch das künftige, totalrevidierte DSG (Art. 25 Abs. 2 lit. e nDSG) gewähre ein Auskunftsrecht für verfügbare Herkunftsangaben.

Das Bundesgericht gab aber zu bedenken, dass der Gesetzgeber den Auskunftsanspruch als weitgehend voraussetzungslosen und kostenlosen Anspruch auf einen Ausdruck oder eine Kopie der Daten ausgestaltet habe. Daraus sei zu schliessen, dass Auskunftsbegehren bei gesetzes- und verordnungskonformer Gestaltung der Datensammlung (Art. 9 Abs. 2 VDSG) in aller Regel zu keiner grossen Mehrbelastung für den Verpflichteten führen sollen. Der Anspruch erfasse somit primär schriftlich festgehaltene Daten. Nur weil sich die Information zur Herkunft von Daten mit weiteren Nachforschungen rekonstruieren lasse, bedeute dies nicht, dass sie «verfügbar» und vom Auskunftsanspruch umfasst sei.

Beweisverfügung betraf keine rechtserheblichen Tatsachen

Da die Bank unbestrittenermassen keine Herkunftsangaben über ein Gespräch zwischen dem Partner der Anwaltskanzlei und dem General Counsel der Bank gespeichert hatte, bestand kein Auskunftsanspruch nach Art. 8 DSG auf diese Information. Wenn in der Hauptsache nach Art. 8 DSG auch kein Auskunftsanspruch über diesbezügliche Erinnerungen eines Mitarbeiters besteht, müsse gemäss Bundesgericht über diese Erinnerungen auch kein Beweis geführt werden. Die Beweisverfügung wurde daher aufgehoben.

Einschätzung

Das Auskunftsrecht nach Art. 8 DSG erfreute sich in den letzten Jahren zunehmender Beliebtheit. Dies auch deshalb weil die Abwehr eines Auskunftsanspruchs mit dem Argument, es handle sich um eine vorprozessuale Beweisausforschung und das Begehren werde rechtsmissbräuchlich gestellt, sehr schwierig ist (siehe z.B. BGE 138 III 425). Vor kostspieligeren Prozessen werden deshalb oftmals datenschutzrechtliche Auskunftsbegehren gestellt, um die Prozesschancen besser abschätzen zu können.

Diese Begehren werden dann wie vorliegend bewusst sehr weit gefasst. Sie innert der gesetzlichen Regelfrist von 30 Tagen (vgl. Art. 1 Abs. 4 VDSG) zu beantworten, ist für Unternehmen häufig eine Herausforderung. Daher dürften viele Verantwortliche mit Genugtuung zur Kenntnis nehmen, dass das Bundesgericht jüngst nicht nur die Rechtsmissbräuchlichkeit eines Auskunftsbegehrens bejaht hat (siehe BGer 4A_277/2020, Urteil vom 18. November 2020), sondern mit dem vorliegenden Urteil auch den Umfang des Auskunftsanspruchs restriktiver definiert. Die Kernaussagen des Urteils sollten aber mit Blick auf das künftige totalrevidierte DSG gewürdigt werden (siehe dazu auch MLL-News vom 19. Oktober 2020):

• Das Auskunftsrecht umfasst grundsätzlich nur (in einer Datensammlung) vorhandene Daten: Das Bundesgericht ruft hier die Legaldefinition der Datensammlung in Erinnerung, gemäss der ein Datenbestand nach Personen erschliessbar sein muss, um vom Auskunftsanspruch erfasst zu sein. Aus der Legaldefinition wird sich aber de lege ferenda nicht mehr viel herleiten lassen, weil der Begriff «Datensammlung» im revidierten DSG nicht mehr vorkommt. Das Auskunftsrecht nach Art. 25 nDSG erstreckt sich vielmehr auf alle Informationen, die erforderlich sind, damit eine betroffene Person ihre Rechte nach dem Datenschutzgesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. Der Auskunftsanspruch des nDSG umfasst also potenziell alle Daten, gleich wo diese gespeichert sind und wie gut sie nach Personen erschliessbar sind. Umso wichtiger sind die Ausführungen des Bundesgerichts dazu, dass sich aus der Ausgestaltung des Auskunftsrechts ergibt, dass die Auskunftserteilung nicht zu einem nennenswerten Mehraufwand führen dürfe. Da sich an der grundsätzlichen Ausgestaltung des Auskunftsrechts nicht viel ändert, sollte es auch nach dem revidierten DSG grundsätzlich auf leicht verfügbare Personendaten beschränkt sein. Sind Daten aber nicht verfügbar, weil ein Unternehmen seiner Pflicht zur gesetzes- oder verordnungskonformen Ausgestaltung der IT-Systeme nicht nachkommt, ist der durch ein Auskunftsbegehren verursachte Mehraufwand selbstredend kein Argument, diesem nicht zu entsprechen.
• Herkunftsangaben zu Personendaten müssen nur mitgeteilt werden, wenn sie verfügbar sind: Sowohl nach geltendem und revidiertem Recht muss über die Herkunft von Personendaten nur Auskunft erteilt werden, wenn diese Herkunftsangaben verfügbar sind. Aus dieser Formulierung leitet das Bundesgericht ab, dass keine grundsätzliche Pflicht zur Speicherung von Herkunftsangaben besteht. Bei der Aufzählung von zu liefernden Angaben im revidierten Art. 25 Abs. 2 nDSG handelt es sich allerdings um den Mindestumfang der im Rahmen eines Auskunftsbegehrens zu liefernden Informationen. Aber selbst wenn sich argumentieren liesse, dass im Einzelfall Herkunftsangaben erforderlich sind, um eine transparente Datenbearbeitung sicherzustellen, verneinte das Bundesgericht vorliegend aus grundsätzlichen Überlegungen eine Pflicht, Informationen nur deshalb zu speichern, weil sie Gegenstand eines Auskunftsbegehrens werden könnten. Da das Bundesgericht explizit auf das revidierte Recht Bezug nimmt, dürfte sich auch aus Art. 25 nDSG keine grundsätzliche Pflicht zur vorrätigen Speicherung von Herkunftsangaben von Personendaten ergeben. Ob und wo gegebenenfalls Ausnahmen hiervon zu bejahen sind, wird die Praxis weisen müssen.

Weitere Informationen:

• Urteil des Bundesgerichts vom 10. Dezember 2020 (4A_125/2020)
• Urteil des OG Zürich vom 30. Januar 2020 (Nr. PP190037-O/U)
• MLL-News vom 19. Oktober 2020: «Neues Schweizer Datenschutzrecht: wichtigste Regelungen der DSG-Revision im Überblick»
• Bundesgesetz über den Datenschutz (DSG)
• Verordnung zum Bundesgesetz über den Datenschutz (VDSG)