9|2017
Rechtsprechung | Jurisprudence

|

«Unerwünschte Werbung»
Bundesverwaltungsgericht vom 12. April 2017
Missachtung des DSG während 5 Jahren

3. Persönlichkeits- und Datenschutzrecht

DSG 29; BZP 26 I; VVG 44 I. Gemäss Dispositionsmaxime wird der Streitgegenstand ausschliesslich durch die gestellten Rechtsbegehren definiert. Dementsprechend kann der Eidg. Datenschutz- und Öffentlichkeitsbeauftragte im Klageverfahren vor BVGer nur Massnahmen verlangen, die nicht über die von ihm empfohlenen Massnahmen hinausgehen. Die zusätz­liche Androhung einer Ungehorsamsstrafe nach Art. 292 StGB dient der Vollstreckung und stellt eine zu­lässige Klageänderung dar. Demgegenüber ist das Vorlegen der technischen und organisatorischen Massnahmen zur Umsetzung des Urteils eine neue, zusätzliche Verpflichtung, die unzulässig ist (E. 2.1, 2.2).

DSG 3 g, 8, 11a III, 11a IV. Die ­geschäftsmässige Weitergabe von Adress- und damit Personendaten an Dritte stellt eine Datenbearbeitung dar. Ausserdem lässt sie die Ver­mutung zu, dass der Bestand der ­Adressdaten nach Personen erschliessbar ist und folglich eine ­Datensammlung vorliegt, die vor ­Eröffnung beim Eidg. Datenschutz- und Öffentlichkeitsbeauftragten angemeldet werden muss und deren Inhaber Auskunfts-, Sperr- und Löschungspflichten trägt (E. 4.3, 5).

StGB 292. Eine Strafandrohung nach Art. 292 StGB bedingt, dass dieselbe Tathandlung nicht bereits durch eine andere, speziellere Bestimmung mit Strafe bedroht ist. Sie kann nur ­gegenüber natürlichen Personen ausgesprochen werden und unterliegt dem Grundsatz der Verhältnis­mässigkeit (E. 6).

3. Protection de la personnalité et protection des données

LPD 29; PCF 26 I; LCA 44 I. Selon la maxime de disposition, l’objet du litige se définit exclusivement par les conclusions déposées. Par conséquent, dans la procédure d’action devant le Tribunal administratif fédéral, le Préposé à la protection des données et à la transparence peut demander uniquement des mesures qui ne vont pas au-delà des mesures qu’il a lui-même recommandées. La menace supplémentaire d’une peine pour insoumission au sens de l’art. 292 CP sert à l’exécution et représente une modification admissible de la demande. En revanche, des mesures techniques et organisationnelles visant à la mise en œuvre du jugement représentent une obligation supplémentaire et nouvelle qui n’est pas admissible (consid. 2.1, 2.2).

LPD 3 g, 8, 11a III, 11a IV. La transmission commerciale d’adresses et par conséquent de données personnelles représente un traitement de données. En outre, on peut présumer qu’il est possible de rechercher les données par personne dans l’ensemble des données d’adresses et qu’il existe par conséquent un fichier qui doit être déclaré au Préposé à la protection des données et à la transparence avant d’être opérationnel, et dont le maître assume des obligations de droit d’accès, d’interdiction de communication et de suppression (consid. 4.3, 5).

CP 292. La menace d’une peine au sens de l’art. 292 CP exige que la même infraction ne soit pas menacée d’une peine par une autre disposition plus spécifique. Elle ne peut être prononcée qu’à l’égard de personnes physiques et elle est soumise au principe de la proportionnalité (consid. 6).

Abteilung I; teilweise Gutheissung der Klage; Akten-Nr. A-5225/2015

Die L AG gab Adressdaten an die deutsche T AG & Co. KGaA weiter. In der Folge erhielten im Jahr 2012 drei in Deutschland wohnhafte Personen ­unerwünschte Werbeschreiben der T AG & Co. KGaA. Da die L AG die ­Auskunfts- bzw. Löschungsbegehren der Betroffenen nicht beantwortete, wandten sich diese an den Eidg. Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Auf die ersten Schreiben des EDÖB im April bzw. Mai 2012 reagierte die L AG positiv und teilte mit, sie werde den Begehren der Betroffenen nachkommen und habe ihre internen Abläufe beschleunigt. Im Widerspruch dazu meldeten sich beim EDÖB kon­tinuierlich weitere Betroffene, deren Begehren die L AG nicht nachkam. Die in der Folge vom EDÖB per Einschreiben versandete Empfehlung wurde von der L AG die ersten beiden Male nicht abgeholt und nach erfolgreicher Zu­stellung im dritten Versuch nicht beachtet. Entsprechend reichte der EDÖB am 27. August 2015 beim BVGer gestützt auf Art. 29 Abs. 4 DSG in Verbindung mit Art. 35 lit. b VGG Klage ein.

|

Im Verfahren vor BVGer liess die L AG mehrere Fristen ungenutzt ver­streichen. Nach telefonischer Kontaktaufnahme durch die Instruktionsrichterin reichte sie eine Stellungnahme ein, in der sie sinngemäss erklärte, die ­Empfehlungen des EDÖB anzunehmen und alle bekanntgewordenen Anfragen zu Auskunfts- und Löschungsbegehren zu beantworten und dem EDÖB bis ­spätestens 15. Januar 2016 eine Aufstellung davon sowie eine Kopie dieser Schreiben zuzustellen. Am 5. Februar 2016 teilte der EDÖB dem Gericht mit, dass kein entsprechendes Schreiben bei ihm eingegangen sei. Aufgrund des bisherigen Verhaltens der L AG sah sich der EDÖB veranlasst, seine Begehren anzupassen. Das Begehren, die L AG sei ­anzuweisen, alle Auskunftsbegehren zu beantworten, sei dahingehend zu ­ergänzen, dass die L AG zu verpflichten sei, die für die Umsetzung dieses Begehrens notwendigen technischen und ­organisatorischen Massnahmen vorzulegen; ausserdem sei die Erfüllung dieser Begehren mit Strafandrohung nach Art. 292 StGB sicherzustellen. Ebenfalls sei das bereits gestellte Begehren, die L AG sei zu verpflichten, die von Betroffenen beantragten Sperrungs- und Löschungsbegehren zu bearbeiten, neu mit Strafandrohung nach Art. 292 StGB zu versehen.

Aus den Erwägungen:

2.1 Gemäss Art. 3 Abs. 2 BZP darf der Richter über die Rechtsbegehren der Parteien nicht hinausgehen. Diese ­Regelung findet aufgrund des Verweises von Art. 44 Abs. 1 VGG (vgl. E. 1.1) auch in Klageverfahren betreffend Empfehlungen des EDÖB Anwendung. Auch in solchen Verfahren gilt demnach – entgegen der Ansicht von Schweizer / Glutz von Blotzheim (vgl. R. J. Schweizer / A. M. Glutz von Blotzheim, Wie die Empfehlungen des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten gegenüber privaten Datenbearbeitern umgesetzt werden, Jusletter vom 21. Februar 2011, Rz. 11 ff.) – die ­Dispositionsmaxime (vgl. BVGer vom 30. März 2011, A-7040/2009, E. 2.2 f.). Der Streitgegenstand wird in solchen Verfahren deshalb ausschliesslich durch die gestellten Rechtsbegehren (und allenfalls die entsprechende Begründung) definiert, weshalb einer Partei nicht mehr oder nichts anderes zugesprochen werden darf, als sie ­beantragt (vgl. BVGE 2008/16 E. 2.2; BVGer vom 30. März 2011, A-7040/2009, E. 2.2; A. Moser / M. Beusch / ​L. Kneubühler, Prozessieren vor dem Bundesverwaltungsgericht, Basel 2013, 239).

Nach Art. 26 Abs. 1 BZP – der vom Verweis von Art. 44 Abs. 1 VGG mit ­umfasst ist und damit in Klageverfahren wie dem vorliegenden ebenfalls Anwendung findet – kann das Rechtsbegehren in der Weise geändert werden, dass ein anderer oder weiterer Anspruch erhoben wird, der mit dem bisher geltend gemachten im Zusammenhang steht (Klageänderung). Der erforderliche Zusammenhang ist zu bejahen, wenn aus dem bestehenden tatsächlichen Klagefundament ein anderer oder weiter ­gehender Rechtsschluss gezogen wird (vgl. P. Gelzer, Prozessieren vor Bundesgericht, 4. Aufl., Basel 2014, 332).

Gemäss Rosenthal kann der EDÖB im Klageverfahren vor BVGer nur Massnahmen verlangen, die inhaltlich nicht über die von ihm empfohlenen Massnahmen hinausgehen. In diesem Rahmen darf er die von ihm begehrten Massnahmen aber konkreter formu­lieren und genauer umschreiben, um die Vollstreckbarkeit sicherzustellen. Er kann vom Gericht zudem die An­drohung von Vollstreckungsmassnahmen wie zum Beispiel die Ungehorsamsstrafe nach Art. 292 StGB verlangen (vgl. zum Ganzen D. Rosenthal, Handkommentar zum DSG, Zürich 2008, DSG 29 N 46).

2.2 Die Rechtsbegehren 1–3 der Klage vom 27. August 2015 (Rechts­begehren 4 betrifft die Kosten- und Entschädigungsfolge im vorliegenden Verfahren) stimmen inhaltlich mit den drei Empfehlungen des Klägers vom 17. September 2014 überein, gehen über diese also nicht hinaus. In der Stellungnahme des Klägers vom 5. Februar 2016 wird das ursprüngliche Begehren 1 (neu 1a) um das Begehren 1b ergänzt, wonach die Beklagte zu verpflichten sei, dem Kläger die für die Umsetzung des Begehrens 1a not­wendigen technischen und organisa­torischen Massnahmen vorzulegen. Dieses neue Begehren dient weder der konkreteren Formulierung noch der genaueren Umschreibung der mit ­Begehren 1a beantragten Verpflichtung der Beklagten. Mit der Verpflichtung zur Vorlage der erwähnten Massnahmen soll dieser vielmehr eine neue und zusätzliche Verpflichtung auferlegt werden. Das Begehren 1b geht ­somit über das hinaus, was in Klageverfahren betreffend Empfehlungen des EDÖB beantragt werden darf. Es steht denn auch im Wesentlichen im Zusammenhang mit der Frage, unter welchen Voraussetzungen für den ­Kläger angesichts der Erklärung der Beklagten in der Faxeingabe vom 5. Januar 2016, sie nehme seine Empfehlungen an, eine vergleichsweise Erledigung des vorliegenden Klageverfahrens in Frage käme. Da das Be­gehren den Streitgegenstand in unzulässiger Weise ausweitet, kann nicht darauf eingetreten werden. Auf die Frage, ob es genügend präzis formuliert ist und nach Art. 26 BZP zulässig wäre, braucht daher nicht eingegangen zu werden.

In der erwähnten Stellungnahme des Klägers werden im Weiteren die Begehren 1a und 2 in zulässiger Weise präzisiert, indem klargestellt wird, dass sie sich auch auf die pendenten Auskunftsbegehren bzw. Sperr- und Löschungsbegehren beziehen. Ausserdem werden die Begehren 1a und 2 jeweils um den Antrag ergänzt, es sei die Unge- | horsamsstrafe nach Art. 292 StGB ­anzudrohen. Dies ist, wie ausgeführt, ebenfalls zulässig. Der Streitgegenstand des vorliegenden Verfahrens wird somit durch die Begehren 1a, 2 und 3 in der Stellungnahme des Klägers vom 5. Februar 2016 definiert.

[…]

4.3

4.3.1 Aus den Akten geht hervor, dass die Beklagte in den letzten Jahren Adress- und damit Personendaten von in Deutschland wohnhaften Personen an Interessenten in Deutschland bekannt gab und diese Daten in der Folge zu Werbezwecken verwendet wurden. Da die Bekanntgabe der Daten – wie insbesondere aus der Faxeingabe der Beklagten vom 5. Januar 2016 hervorgeht – zu ihrer Geschäftstätigkeit ­gehörte, ist davon auszugehen, sie sei regelmässig erfolgt und habe auch ­Adressdaten weiterer Personen umfasst. Ausserdem ist anzunehmen, der Bestand der Adressdaten sei nach ­betroffenen Personen erschliessbar, die Beklagte mithin Inhaberin (mindestens) einer Datensammlung gewesen (vgl. Art. 3 lit. g DSG).

Als Inhaberin (mindestens) einer Datensammlung, die namentlich mit der Bekanntgabe von Adressdaten ins Ausland Personendaten bearbeitete (vgl. BGE 138 II 346 ff. E. 3.2; BVGer vom 30. März 2011, A-7040/2009, E. 5.4.1), hatte die Beklagte im Zusammenhang mit Auskunfts- und Sperr- bzw. Löschungsbegehren nach Art. 8 und 12 DSG die vorstehend dargelegten Pflichten. Diese erfüllte sie jedoch nicht. Aus den Akten geht vielmehr ­hervor, dass sie – von den erwähnten drei Fällen abgesehen, in denen sie ihr Verhalten auf Druck des Klägers änderte – den Auskunfts- und Sperr- bzw. Löschungsbegehren der bekannten betroffenen Personen keine Folge leistet. Angesichts ihres Verhaltensmusters ist zudem davon auszugehen, ein Teil der weiteren betroffenen Personen habe sich ebenfalls erfolglos mit entsprechenden Begehren an sie gewandt, in der Folge aber davon abgesehen, sich beim Kläger über ihr Verhalten zu beschweren. Diese Annahme rechtfertigt sich umso mehr, als sämtliche bekannten betroffenen Personen in Deutschland wohnhaft sind. Für die letzten Jahre ist somit davon auszugehen, die Beklagte sei hinsichtlich der bei ihr eingegangenen Auskunfts- und Sperr- bzw. Löschungsbegehren den dargelegten datenschutzrechtlichen Pflichten generell nicht nachgekommen.

4.3.2 Was die gegenwärtige Situation betrifft, so erklärt die Beklagte in ihrer Faxeingabe vom 5. Januar 2016 zwar, sie verpflichte sich, «die Vermietung gewonnener Postadressen an Dritte sowie jegliche werbliche Nutzung ausnahmslos einzustellen». Dass sie dies getan hätte, ist indes weder ersichtlich noch in irgendeiner Weise belegt. Der Kläger weist zudem zu Recht darauf hin, dass nicht nur der Verzicht auf die «Vermietung der Postadressen an Dritte» zu belegen wäre, sondern die Einstellung der Datenbekanntgabe an Dritte. Weder erkennbar noch belegt ist im Weiteren, dass die Beklagte – wie in der Faxeingabe angekündigt – alle ihr «bekanntgewordenen Anfragen zu Auskunfts- und Löschungsbegehren» beantwortet hätte. Die weitere beim Kläger eingegangene Beschwerde legt vielmehr das Gegenteil nahe. Die Beklagte liess dem Kläger denn auch die mit ihrer Faxeingabe in Aussicht gestellte «Aufstellung» der entsprechenden Schreiben nicht zukommen. Weder ersichtlich noch belegt ist überdies, dass die Beklagte die notwen­digen Massnahmen getroffen hätte, um neu eingehende Auskunfts- und Sperr- bzw. Löschungsbegehren den rechtlichen Anforderungen gemäss bearbeiten zu können, oder derartige ­Begehren nunmehr entsprechend bearbeiten würde. Unter diesen Um­ständen ist davon auszugehen, sie habe aus den erwähnten Gründen nach wie vor die dargelegten datenschutzrechtlichen Pflichten, erfülle diese hinsichtlich der bei ihr eingehenden Auskunfts- und Sperr- bzw. Löschungsbegehren aber weiterhin nicht.

4.3.3 Die Klage erweist sich insoweit demnach als begründet. Die Begehren 1a und 2 sind daher in Bezug auf die jeweils geforderte Verpflichtung der Beklagten zu datenschutzrechtskonformem Verhalten gutzuheissen. Der Klarheit halber sei erwähnt, dass ­pendente Auskunftsbegehren, bei denen die Frist von 30 Tagen zur Beantwortung bereits abgelaufen ist, umgehend zu beantworten sind, zielt das Begehren 1a doch nicht darauf ab, für solche Begehren die 30-tägige Frist zu erneuern.

5.

5.1 Gemäss Art. 11a Abs. 3 DSG müssen private Personen Datensamm­lungen anmelden, wenn regelmässig besonders schützenswerte Personendaten oder Persönlichkeitsprofile bearbeitet (lit. a) oder regelmässig Personendaten an Dritte bekannt gegeben werden (lit. b). Die Anmeldung hat zu erfolgen, bevor die Datensammlungen eröffnet werden (vgl. Art. 11a Abs. 4 DSG). Die Ausnahmen von der Anmeldepflicht werden in Art. 11a Abs. 5 DSG und Art. 4 Abs. 1 VDSG geregelt.

5.2 Wie ausgeführt (vgl. E. 4.3.1 f.), ist davon auszugehen, die Beklagte sei Inhaberin (mindestens) einer Datensammlung und gebe Dritten aus dieser Datensammlung regelmässig Perso­nendaten (Adressdaten) bekannt. Sie ist somit nach Art. 11a Abs. 3 lit. b DSG grundsätzlich verpflichtet, ihre Daten­sammlung(en) beim Kläger anzu­melden. Dass sie sich auf eine Ausnahme von der Anmeldepflicht be­rufen könnte, ist nicht ersichtlich. Das Begehren 3 des Klägers ist demnach ebenfalls begründet. Die Klage ist ­daher auch insoweit gutzuheissen und die Beklagte entsprechend zu verpflichten.

6.

6.1 Gemäss Art. 292 StGB wird mit Busse bestraft, wer der von einer zu- | ständigen Behörde oder einem zuständigen Beamten unter Hinweis auf die Strafdrohung dieses Artikels an ihn ­erlassenen Verfügung nicht Folge leistet. Der Anwendungsbereich dieser Blankettstrafnorm erstreckt sich auf sämtliche Rechtsgebiete, in denen Verfügungen erlassen werden. Die Strafandrohung nach Art. 292 StGB kommt jedoch nur in Frage, wenn dieselbe Tathandlung nicht bereits durch eine andere, speziellere Bestimmung mit Strafe bedroht ist (vgl. zum Ganzen C. Riedo / B. Boner, Basler Kommentar Strafrecht II, 3. Aufl., Basel 2013, StGB 292 N 19 ff.). Eine gewisse Einschränkung ergibt sich zudem aus dem Grundsatz der Verhältnismässigkeit (vgl. Riedo / Boner, StGB 292 N 87). Trotz teilweise abweichender Praxis darf im Weiteren gegenüber juristischen Personen grundsätzlich keine Bestrafung nach Art. 292 StGB an­gedroht werden. Stattdessen ist die Strafandrohung an die zuständigen Organe bzw. Vertreter zu richten. Eine Ausnahme gilt nur, wenn ein Spezialgesetz die Bestrafung von juristischen Personen wegen Ungehorsams ausdrücklich erlaubt. Diesfalls bestehen aber regelmässig besondere Ungehorsamstatbestände, die Art. 292 StGB vorgehen (vgl. zum Ganzen Riedo / ​Boner, StGB 292 N 74 ff. m.w.H.). Das DSG sieht keine Bestrafung von juris­tischen Personen wegen Ungehorsams vor (vgl. M. A. Niggli / S. Maeder, Basler Kommentar DSG/BGÖ, 3. Aufl., Basel 2014, Vor Art. 34 und 35 DSG N 17, DSG 34 N 19, DSG 35 N 13). Die Strafandrohung muss sich gegen eine oder mehrere bestimmte oder doch zumindest bestimmbare Personen richten. Das erfasste Verhalten muss zudem so genau umschrieben sein, dass die betroffene(n) Person(en) erkennen kann bzw. können, was verlangt wird (vgl. zum Ganzen G. Stratenwerth / W. Wohlers, Schweizerisches Strafgesetzbuch – Handkommentar, 3. Aufl., Bern 2012, StGB 292 N 2 m.w.H.).

6.2 Der Kläger erklärt in den Anträgen, mit denen er jeweils die Androhung der Ungehorsamsstrafe verlangt, nicht, gegen wen sich diese Androhung richten soll. Aus der Begründung in seiner Stellungnahme vom 5. Februar 2016 geht indes hervor, dass es ihm in allgemeiner Weise darum geht, der von ihm befürchteten Nichterfüllung der mit den Begehren 1a und 2 be­antragten Verpflichtungen der Be­klagten entgegenzutreten. Es ist ­entsprechend davon auszugehen, es komme ihm letztlich nicht darauf an, wer Adressat der Strafandrohung ist, sondern gehe ihm einzig darum, dass diese ausgesprochen wird.

Eine Strafandrohung gegenüber der Beklagten als juristische Person kommt, wie ausgeführt, vorliegend nicht in Betracht. Gegenüber den zuständigen Organen der Beklagten kommt sie hingegen grundsätzlich in Frage. Sie ist insoweit auch zulässig, besteht doch keine speziellere, vorgehende Strafbestimmung und erscheint die Androhung der Ungehorsamsstrafe angesichts des bisherigen Verhaltens der Beklagten als angezeigt und verhältnismässig; das mit den Begehren 1a und 2 von der Beklagten verlangte Verhalten ist zudem genügend genau umschrieben. Der Klage ist demnach auch in Bezug auf die verlangte Androhung der Ungehorsamsstrafe stattzugeben und gegenüber den Mitgliedern des Ver­waltungsrats (Art. 707 ff. OR) der ­Beklagten für den Fall der Nichterfüllung der mit den Begehren 1a und 2 beantragten Verpflichtungen eine Strafandrohung nach Art. 292 StGB auszusprechen.

[…]

Vb