Verfügung vom 29. Januar 2025, Cembra Money Bank AG, gesetzliche Fristen für die Behandlung von Auskunftsgesuchen und Mitteilung der bearbeitenden Personendaten als solcheArt. 25 Abs. 2 lit. b DSG – bearbeitende Personendaten als solche bei der Beantwortung von Auskunftsgesuchen; Art. 25 Abs. 7 DSG – Auskunftserteilung in der Regel innerhalb von 30 Tagen PDF774.70 kB1. Juli 2025

0 Schweizerische Eidgenossenschaft Confëdëration suisse Confederazione Svizzera Confederaziun svizra Eidgenössischer Datenschutz' und Öffentlichkeitsbeauftragter EDÖB

Datenschutz Der Beauftragte

POST CH AG CH-3003 Bern EDÖB EDÖB-A-D3DA3401/2

Einschreiben (R) Walder Wyss AG RA DavidVasella RA Hannes Meyle Seefeldstrasse 123 Postfach 8034 Zürich

Ihr Zeichen Unser Zeichen: EDÖB-A-D3DA3401/2 Sachbearbeiter/in: WIN Bern, 29. Januar 2025

Verfügung

vom 29. Januar 2025

in Sachen

Untersuchung nach Art. 49 des Bundesgesetzes über den Datenschutz

gegen

Cembra Money Bank AG, Bändeliweg20, 8048 Zürich, vertretendurch Walder Wyss AG, RA DavidVasella und Hannes Meyle, Seefeldstrasse 123, Postfach, 8034 Zürich

betreffend

Gesetzliche Fristen für die Behandlungvon Auskunftsgesuchen und Mitteilungder bearbeitetenPerso- nendaten als solche

Feldeggweg 1 3003 Bern Tel. [phone]. Fax [phone] www.edoeb.admin.ch

W EDÖB-A-D3DA3401 /2

Sachverhalt

1. Anzeige 1 Mit Anzeige vom 5. April 2024 wurde der EDÖB darüber in Kenntnisgesetzt, dass die Cembra auf ein am 4. März 2024 mittelseingeschriebenen Briefs zugestelltes Auskunftsgesuch nicht reagiert hat

2, Mit Schreiben vom 16. April 2024 wies der EDÖB die Cembra auf ihre Pflicht hin, Auskunftsgesu- che innert der gesetzlichen Frist zu beantworten. Er hat sie aufgefordert, einerseits der betroffenen Person Auskunft zu erteilen und andererseits ihre Praxis zur Gewährung des Auskunftsrechts auf ihre Datenschutzkonformität hin zu überprüfen und nötigenfalls anzupassen.

3 Mit Schreiben vom 2. Mai 2024 bestätigtedie Cembra gegenüber dem EDÖB, dass die Auskunft im konkreten Fall nicht fristgerecht beantwortet, aber inzwischen erteilt worden sei. Zur Aufforde- rung, ihre Praxis zur Gewährung des Auskunftsrechts auf ihre Datenschutzkonformitäthin zu über- prüfen und nötigenfalls anzupassen, nahm die Cembra wie folgt Stellung: KEs ist zutreffend, dass das Auskunftsbegehren der betroffenen Person, [.. .], nicht fristgerecht beantwortetworden ist. Aufgrund eines vorübergehenden personellen Engpasses sind wir mit der Beantwortungin Verzug geraten. Allerdingsist die Eingabe erst am 5. März 2024 bei uns einge- gangen, womit die Verzugsdauer knapp drei Wochen beträgt; eine Mahnung seitens des Betroffe- nen ist nicht erfolgt. Zwischenzeitlich konnte die Vakanz geschlossen und die gewünschte Aus- kunfterteiltwerden. Damit kann unserer Meinung nach die Angelegenheitals geschlossen be- trachtet werden

Da die Verzögerung durch den personellen Engpass begründet war, drängt sich unseres Erach- tens keine Anpassung unserer Praxis zur Gewährung des Auskunftsrechts auf, wir erachten sie als datenschutzkonform. Dies zeigt sich nicht zuletzt darin, dass die überwiegende Mehrheit un- serer Kundinnen und Kunden mit der erteilten Auskunft offenbar zufriedengestellt ist, mangels anderslautender Rückmeldungen.»

11. Anzeige 2 4, Mit Anzeige vom 3. Juli 2023 wurde der EDÖB durch eine betroffenePerson (nachfolgend: An- zeiger 2) über folgenden Sachverhalt in Kenntnis gesetzt: 5, Am 27. Dezember 2023 teilte die Cembra dem Anzeiger 2 mit, dass sein Antrag auf Ausstellung einer TCS Member Mastercard aufgrund gesetzlicher Bestimmungen und internen Richtlinien ab- gelehntwerde. Fragen betreffendAblehnungsgründeseien schriftlichan folgendeAdresse zu richten: Cembra Money Bank AG, Customer Care /UWC, Postfach, 8048 Zürich. 6 Mit Schreiben vom 5. Januar 2024 hat sich der Anzeiger 2 schriftlichan die Cembra gewandt und eine Begründung für die Ablehnung seines Antrags für eine TCS Member Mastercard verlangt. 7, Weil der Anzeiger 2 keine Antwort erhielt, wiederholte er sein Auskunftsersuchen mittels einge- schriebenen Schreibens vom 24. Januar 2024 und ersuchte um folgende Informationen: Eine Begründungzur Ablehnungdes Antrags; Die erwähnten gesetzlichen und internen Richtlinien; Welche Informationendie Cembra Money Bank über den Anzeiger 2 gespeichert hat; Woher die gespeicherten Informationen stammen.

8. Weil der Anzeiger 2 wiederum keine Antwort auf sein Gesuch erhielt, stellte er mittels eingeschrie- benen Schreibens vom 16. Februar 2024 erneut ein Auskunftsgesuch an die Adresse der Cembra. In seinem Schreiben verlangt der Anzeiger 2 mittels Musterbrief des EDÖB die gesetzlich defi- niertenMindestangabenvon der Cembra, namentlich«die bearbeitetenPersonendaten aIs sol- che»

9 Da der Anzeiger 2 auch auf dieses Schreiben keine Antwort erhielt,reichte er am 25. März 2024 (PoststempeË)ein Schlichtungsgesuch bei der Schlichtungsbehörde des Zivilgerichts des Kantons Basel-Stadt ein und stellte folgende Rechtsbegehren: <Es sei die Gesuchsbeklagte zu verpflichten, gestützt auf Art. 25 DSG die geforderten Daten offen zu legen. (Begründungzu AblehnungTCS Member Mastercard, die gesetzlichen und internen Richtlinien,welche Informationen Sie über meine Person speichert, woher diese Informationen stammen).» Unter Kostenfolgeund zu Lasten der Beklagten.»

10 Mit Schreiben vom 10. April 2024 nahm die Cembra gegenüber dem Anzeiger 2 wie folgt Stellung: «Wir bearbeiten alle Kategorienvon Daten, die sich auf eine bestimmte oder bestimmt)are natür- liche Person beziehen. Darunter fallen persönliche Angaben (Name, Vorname, Geburtsdatum, Adresse, Kontaktdaten (Telefon, E-Mail etc.), besonders schützenswerte Daten (z.B. die sexuelle Orientierung,die sich aus dem Zivilstandergeben kann), alle Arten von Finanzdaten (Lohnaus- weise, Steuerbescheide u.ä.), Kreditinformationen(ZEK/IKO, Kremo etc.) sowie Daten, die sich aus einem Profilingergeben können, wie bspw. beim Besuch unserer Webseiten zur Verbesse- rung der Kundenzufriedenheitoder zu Marketingzwecken.> Im Schreiben wurde zudem generell für weitergehende Informationenauch auf die Datenschut- zerklärung der Cembra verwiesen (siehe www.cembra.ch/datenschutzerklärung). Eine Auskunft darüber, welche Personendaten des Anzeigers 2 die Cembra bearbeitet, wurde nicht erteilt.

11 Zur Schlichtungsverhandlungvom 13. Mai 2024 ist die Cembra nicht erschienen, weshalb die Schlichtungsbehörde des Zivilgerichts des Kantons Basel-Stadt die Klagebewilligung vom 13. Mai 2024 erteilthat,

111. Untersuchung durch den EDÖB 12, MitSchreiben vom 6. September2024 teilteder EDÖB der Cembra die Eröffnungeiner Untersu- chung nach Art. 49 Datenschutzgesetz (DSG, SR 235.1) mit. Dabei hielt der EDÖB aufgrund des ihm vorliegenden Antwortschreibens der Cembra vom 10. April 2024 fest, dass die Praxis der Cembra offenbar darin bestehe, Auskunftsgesuche mit einem standardisierten Brief zu beantwor- ten. und gab ihr Gelegenheit, zum oben ausgeführten Sachverhalt Stellung zu nehmen.

13 Mit E-Mailvom 16. September 2024 teilte RA David Vasella namens und im Auftrag der Cembra als Vorinformation mit, die Cembra lege grossen Wert auf die Einhaltung des anwendbaren Rechts und selbstverständlich auch des Datenschutzrechts. Sie habe die erforderlichen Prozesse einge- richtetund ihre Mitarbeitendensensibilisiert.Die Cembra bedauere, dass Auskunftsbegehren in den genannten Fällen nicht zur Zufriedenheit der Betroffenen beantwortet worden seien. Die Be- antwortung erfülle auch nicht die eigenen Standards der Cembra. Ursache dafür sei nach derzei- tigem Kenntnisstand ein akuter Personalmangel im Bereich des Datenschutzes. Der Personalmangel sei durch externe Unterstützung behoben worden, bis die erforderlichen Ka- pazitäteninternbesetzt werden könnten. Die Cembra nehme die Angelegenheit aber zum Anlass, die bestehenden Prozesse für Auskunftsbegehren zu überprüfen. Allfällige Empfehlungen des EDÖB in diesem Zusammenhang würde sie dabei gerne berücksichtigen.

14 Mit Schreiben vom 8. Oktober 2024 nahm die Cembra zur Sachverhaltsfeststellungdes EDÖB dahingehendStellung,dass die Praxis der Cembra Money Bank AG in Zusammenhang mit der Bearbeitung von Auskunftsgesuchen, den betroffenen Personen einen standardisierten Brief zu schicken, nichtder üblichenPraxis der Cembra entspreche, sondern Folge eines akuten Perso- nalmangelsgewesen sei. Dieser sei inzwischen mit externer Unterstützungbehoben worden, so dass kein Grund zur Befürchtung bestehe, dass weitere Auskunftsgesuche in der gleichen Weise bearbeitetwürden. Weiter wies die Cembra darauf hin, dass die Feststellung einer allgemeinen Praxis keine Sachverhaltsfeststellungaufgrund der Akten sei, sondern eine unzulässige Verallge- meinerung festgestellter Fakten.

Die Cembra habe den Sachverhalt zum Anlass genommen, die Prozesse und Dokumentationen für die Gewährleistung des Auskunftsrechts zu prüfen. Allfällige Empfehlung würde die Cembra bei einer Anpassung gerne berücksichtigen.

Die Beantwortungder Auskunftsbegehrenhabe die Cembra am 8. Oktober2024 nachgeholt.

15 Der EDÖB forderte die Cembra am 10. Oktober 2024 auf, ihm folgende Informationen zuzustellen: <1. Gemäss Ihrem Schreibenvom 8. Oktober2024 hat die Cembra «die Beantwortungder unter- suchungsgegenständlichenAuskunftsbegehren [. ..] nachgeholt». ÜbermittelnSie dem EDÖB Ko- pien der Antworten.

2. Teilen Sie uns mit, in welchem Zeitraum der in den Schreiben vom 8. Oktober und 2. Mai 2024 bzw. in der E-Mail vom 16. September 2024 erwähnte «akute Personalmangel» bestanden hat.

3. Teilen Sie uns mit, wie genau dieser «akute Personalmangel» gemäss vorangehender Ziffer 2 behoben wurde.

4. Teilen Sie uns mit, wie vielen Auskunftsgesuche im Zeitraum des «akuten Personalmangels» gemäss vorangehender Ziffer 2 nicht inneR der gesetzlichen Frist von 30 Tagen, sondern mit Ver- zögerung, beantwortetwurden.

5. Teilen Sie uns mit, wie viele Auskunftsgesuche mit dem standardisierten Text (.. .) entsprochen wurden.»

16. Die Cembra sandte dem EDÖB am 25. Oktober 2024 die einverlangten Kopien der Antwortschrei- ben zu. Bezüglich Personalmangel führte die Cembra aus, dieser habe in wechselnder Konstella- tion zwischen Dezember 2023 und September 2024 bestanden, wobei die Cembra bereits ab April 2024 verschiedene Abhilfemassnahmengetroffen habe. Von 13 Auskunftsgesuchen, die zwi- schen dem 1. Dezember 2023 und 31. August 2024 eingegangen seien, seien vier Auskunftsge- suche innerhalbvon 30 Tagen beantwortet. Neun Auskunftsgesuche seien nach Ablauf einer län- geren Frist beantwortetworden. Die vom 1. Dezember 2023 bis am 31. August 2024 eingegangen 13 Auskunftsgesuche seien mit einem standardisierten Text beantwortetworden, wie ihn Anzeiger 2 am 10. April 2024 erhalten habe. Von den 13 Empfängern hätten nach Kenntnis der Cembra nur die beiden Personen rea- giert, die sich dann an den EDÖB gewandt hätten. Diesbezüglichteiltedie Cembra dem EDÖB mit: «Das führte dazu, dass Cembra nicht früher darauf aufmerksam wurde, dass der Auskunfts- prozess mangelhaft gelebt wurde.». Weiter bringtdie Cembra vor, dass die Ursache der Fehler die Personalengpässe gewesen seien und nicht etwa mangelnde Rechtskenntnis oder fehlender Wille. Dies belege die Tatsache, dass die Cembra Auskunftsgesuche vor dem Zeitraum des Personalmangels jeweils fristgerecht und mit Beilage der bearbeiteten Personendaten als solche beantwortethabe. Vor dem akuten Perso- nalmangel, beispielsweise vom 1. August bis 31. November 2023, seien 20 von 23 Auskunftsbe- gehren fristgerecht und unter Beilage der bearbeiteten Personendaten als Solche beantwortet worden. Die durchschnittlicheBearbeitungsdauer habe dabei bei rund 25 Kalendertagen gelegen.

B. EIwägungen

Erwägungen

17. Das DSG giltfür die Bearbeitung von Personendaten natürlicher Personen durch private Personen und Bundesorgane (Art. 2 Abs. 1 DSG). Als private Personen gelten alle Subjekte des Privatrechts und somit alle natürlichenund juristischen Personen.

18 Als juristische Person und Aktiengesellschaft mit Sitz in Zürich ist die Cembra eine private Person im Sinne von Art. 2 Abs. 1 Bst. a DSG. Gemäss ihrem Gesellschaftszweckbezweckt die Cembra den Betrieb einer Bank. Ihr Geschäftskreis umfasst alle Arten von Bankgeschäften, insbesondere die Gewährung von Kreditenaller Art, die Vermittlungvon damit zusammenhängenden Dienst- leistungen sowie die Annahme von Geldern. Zur Erfüllung dieses Gesellschaftszweck bearbeitet sie unbestrittenerMassen Personendaten ihrer Kundinnen und Kunden, weshalb das DSG nach Art. 5 Bst. a zur Anwendungkommt. Für die Gewährung des Auskunftsrechtsgelten die die Art, 25-29 dieses Gesetzes. 19, Der EDÖB beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften (Art. 4 Abs. 1 DSG). Er eröffnetvon Amtes wegen oder auf Anzeige hin eine Untersuchung gegen ein Bundesorgan oder eine private Person, wenn genügend Anzeichen bestehen, dass eine Daten- bearbeitunggegen die Datenschutzvorschriften verstossen könnte

20. Vorliegend wurde der EDÖB durch zwei Anzeigen in Kenntnis darüber gesetzt, dass die Cembra Auskunftsgesuche nicht inneR der gesetzlichen Frist und ohne die Bekanntgabe der von ihr bear- beiteten Personendaten als solche beantwortet. Es bestanden damit genügend Anzeichen, dass die Bearbeitung von Auskunftsgesuchen durch die Cembra gegen Datenschutzvorschriften verstossen könnte, weshalb der EDÖB am 6. September 2024 eine Untersuchung eröffnet hat.

21. Das Untersuchungsverfahrensowie Verfügungen nach den Art. 50 und 51 DSG richten sich nach dem VwVG. Partei ist nur das Bundesorgan oder die private Person, gegen die eine Untersuchung eröffnetwurde (Art. 52 Abs. 1 und 2 DSG). Verfügungsadressaten sind die materiellen Normad- ressaten des DSG, also entweder ein Bundesorgan oder eine private Person, meist wohl ein (rechtsfähiges) Unternehmen. Nur ihnen kommt Parteistellungzu (BuNDI Llvlo, in: Bieri Ad- rian/PowellJulian (Hrsg.), DSG Kommentar, Kommentar zum Schweizerischen Datenschutzge- setz mitweiterenErlassen, Zürich 2023, Art. 51 VerwaltungsmassnahmenN 20). Bei der Cembra handelt es sich um ein rechtsfähiges Unternehmen, weshalb ihr im vorliegenden Verfahren Parteistellungzukommt, Gemäss Art. 11 Abs. 1 VwVG kann sich die Partei vertretenlassen. Von dieser Möglichkeithat die Cembra mit Mitteilungihrer Rechtsvertretungvom 16. September 2024 Gebrauch gemacht. Die Vollmacht datiertvom 16. Januar 2025.

11. Materielles

22 Gemäss Art. 32 Abs. 1 VwVG würdigtder EDÖB, bevor er verfügt,alle erheblichen und rechtzei- tigenVorbringen der Parteien (Art. 32 Abs. 1 VwVG). 1. Einhaltung der gesetzlichen Frist

23. Ein Auskunftsbegehren ist gemäss Art. 25 Abs. 7 DSG innerhalb von 30 Tagen seit dem Eingang des Begehrens zu beantworten. Kann die Auskunft nicht innerhalb von 30 Tagen erteilt werden, so muss die oder der Verantwortliche die betroffene Person darüber informieren und ihr mitteilen, innerhalb welcher Frist die Auskunft erfolgt. Wird die Auskunft verweigert, eingeschränkt oder auf- geschoben, muss dies innerhalbderselben Frist mitgeteiltwerden (Art. 18 Abs. 2 und 3 DSV).

24 Mit Schreiben vom 16. April 2024 hat der EDÖB die Cembra darauf hingewiesen,dass gemäss den erhaltenen Informationen betreffend Anzeige 1 ein Auskunftsgesuch nicht innerhalb der ge- setzlichenFrist beantwortetwurde. Der DPO bestätigtemit Schreiben vom 2. Mai 2024 die nicht fristgerechteBeantwortungdes Auskunftsgesuchs der betreffendenAnzeige und teiltemit, dass die Beantwortunginzwischenerfolgtsei. Dies ändert jedoch nichts daran, dass die gesetzliche Frist vorliegend überschritten wurde.

25 Anzeiger 2 reichte insgesamt drei Auskunftsgesuche bei der Cembra ein. Die Beantwortung dieser Gesuche erfolgtejedoch erst nach über drei Monate nach Zusendung des ersten Auskunftsge- such bzw. nach rund dreifachemVerstreichender gesetzlichenFrist. Bis zu diesem Zeitpunkt wurde der Anzeiger 2 zudem auch nicht darüber informiert, dass die Rückmeldung nicht inneN der gesetzlichenFrist erfolgenkann und innerhalbwelcher Frist sie erfolgenwird. Die über drei Mo- nate verspätete Rückmeldung erhielt auch keine Informationen über die von der Cembra über den

Anzeiger 2 bearbeitetenPersonendaten als solche, wie dies Art. 25 Abs. 2 Bst. b. DSG vor- schreibt. Eine Antwort erfolgteerst mitSchreiben vom 8. Oktober 2024 und damit rund neun Mo- nate nach der Gesuchstellung, womit die gesetzliche Frist massiv überschrittenwurde. 26, Neben diesen Anzeigen wurden nach Angaben der Cembra in der Zeit des «akuten Personalman- gels» vom 1. Dezember 2023 bis 31. August 2024 von 13 eingegangenen Auskunftsgesuche neun nach Ablauf der gesetzlichen Frist beantwortet.Es wurden somit mehr als drei Viertel der Gesuche zu spät beantwortet. 27. Zusammenfassend ergibt sich deshalb, dass für die beiden oben erwähnten Anzeigen die gesetz- liche Frist von Art. 25 Abs. 7 DSG verletzt worden ist und dass dies in der Zeit vom 1, Dezember 2023 bis am 31. August 2024 bei insgesamt neun von 13 Gesuchen der Fall war. 2. Mitteilung der bearbeiteten Personendaten als solche 28, Gemäss Art. 25 Abs. 1 DSG kannjede natürlichePerson vom VerantwortlichenAuskunft darüber verlangen, ob Personendaten über sie bearbeitet werden. Nach Abs. 2 erhält sie vom Verantwort- lichendiejenigenInformationen,die erforderlichsind, damit sie ihre Rechte nach dem DSG gel- tend machen kann und eine transparente Datenbearbeitung gewährleistet ist. Darunter fallen ge- mäss Bst. b. dieses Absatzes namentlich die vom Verantwortlichen über die Auskunft verlangende Person bearbeiteten Personendaten als solche. 29. Um zu beurteilen, aufgrund welcher Informationsverarbeitungenihre Bank einen Kreditantrag ab- lehnte und allenfalls weitere Rechte wie jenes auf eine Datenberichtigung nach Art. 32 Abs. 1 DSG geltend machen zu können, sind natürliche Personen als Bankkunden auf Informationen zu den über sie bearbeitetenPersonendaten als solche angewiesen. Würde sich herausstellen, dass ein Kredit aufgrund von falschen oder nicht mit mehr aktuellen Informationenabgelehnt worden ist, stellte dies einen erheblichen Eingriff in die Persönlichkeit der betroffenen Person dar, gegen das sie sich ohne Informationen zu den über sie bearbeiteten Personendaten als solche nicht zur Wehr setzen kann. Banken müssen bei der Beantwortung eines Auskunftsgesuchs somit prüfen, welche Geschäftstätigkeitensie mit der betroffenen Person geführt haben und ihr die diesbezüg- lichen Informationen bekanntgeben.

2.1. Anzeige 1

30. Die Cembra beantwortetezuerst das Auskunftsgesuch des ersten Anzeigers nur mit einem stan- dardisierten Text (vgl. Ziffer 9) ohne Informationen über die von ihr bearbeiteten Personendaten als solche bekanntzugeben oder eine gesetzliche Ausnahme des Auskunftsrechts geltend zu ma- chen. Dies wurde von der Cembra bestätigtund ist daher unbestritten.Erst mit Schreiben vom 8 Oktober 2024 wurde das Auskunftsgesuch vollständig beantwortet, indem der Ablehnungsgrund des Kreditkartenantrages begründet sowie die bearbeiteten Personendaten als solche als Beila- gen bekanntgegeben wurden.

31 Damit stellte die erste Antwort auf das Auskunftsgesuchs des ersten Anzeigers eine Verletzung von Art. 25 Abs. 2 lit. b DSG dar,

2.2. Anzeige 2

32. Auch bei Anzeiger 2 hat die Cembra das Auskunftsgesuch nur mit einem standardisierten Text und ohne Informationenüber die bearbeiteten Informationen beantwortet. Eine gesetzliche Aus- nahme des Auskunftsrechts hat Cembra auch gegenüber Anzeiger 2 nicht geltend gemacht (siehe Ziffer 9). Für weitergehende Informationen hat ihn Cembra lediglich auf die Datenschutzerklärung verwiesen, die online abrufbar sind. Auch das Auskunftsgesuch des Anzeigers 2 hat die Cembra erst mit Schreiben vom 8. Oktober 2024 vollständig beantwortet.

33 Folglich erfolgte auch die erste Antwort des Auskunftsgesuchs von Anzeiger 2 in Verletzung von Art. 25 Abs. 2 lit.b DSG.

2.3. Weitere Erkenntnisse

34. Wie die Cembra gegenüber dem EDÖB einräumte, wurden alle die vom 1. Dezember 2023 bis am 31. August 2024 eingegangen 13 Auskunftsgesuche mit einem standardisierten Text beant- wortet,wie ihn Anzeiger 2 am 10. April 2024 erhalten habe. Im Verlauf des Verfahrens kam die Cembra ihrer Auskunftspflichtbei den Anzeigenden nachträglichnach, nichtjedoch gegenüber den übrigen 1 1 Empfängern. Damit dauert eine Verletzung von Art. 25 Abs. 2 lit. b DSG nach wie vor an

3. Einwände der Cembra 35, Im Entwurfder Sachverhaltsfeststellung vom 6. September 2024, welcher der Cembra zur Stel- lungnahme vorgelegtwurde, hieltder EDÖB in Ziffer 13 fest, dass die Praxis der Cembra in Zu- sammenhang mit Auskunftsgesuchen darin bestünde, den betroffenen einen standardisierten Brief zu versenden, wie ihnAnzeiger 2 am 10 April 2024 erhielt. Die Cembra erwiderte diesbe- züglich in ihrer Stellungnahme vom 8. Oktober 2024, es sei nachvollziehbar, dass dieser Eindruck entstanden sei, aber er treffe nicht zu. Die Beantwortung der vorliegend relevanten Auskunftsbe- gehren entspreche nicht der üblichenPraxis der Cembra, sondern sei eine Folge des akuten Per- sonalmangelsgewesen. Zudem sei die Feststellungeiner allgemeinenPraxis durch den EDÖB keine Sachverhaltsfeststellung,sondern eine unzulässige Verallgemeinerung festgestellter Fak- ten

36 Mit Schreiben vom 25. Oktober 2024 hat die Cembra aber sodann selber dargelegt, dass alle der insgesamtdreizehn in der Zeit vom 1. Dezember 2023 bis am 31. August 2024 eingegangenen Auskunftsgesuche mit Standardschreiben beantwortet worden sind, womit sich ihr Einwand einer unzulässigen Verallgemeinerung als hinfällig erweist,

37. Weiter macht die Cembra für die verspätete und unvollständige Antwort auf die Auskunftsgesuche geltend,es habe ein Personalmangel vorgelegen.

38. Diese Begründung überzeugt nicht, weil Art. 18 Abs. 2 DSV für den Fall, dass eine Auskunft nicht innert 30 Tagen erteiltwerden kann, eine Fristverlängerungsmöglichkeit vorsieht. Von dieser Mög- lichkeithat die Cembra jedoch vorliegend nicht Gebrauch gemacht. Der Einwand des Personal- mangels stösst deshalb ins Leere.

39 Der EDÖB stelltsomit abschliessend fest, dass das Datenschutzgesetz verletzt worden ist, indem den beiden Anzeigern die in Art. 25 Abs. 2 Bst. b. vorgesehenen Informationenzu den über sie bearbeiteten Personendaten als solche nicht innert der 30-tägigen Frist mitgeteiltwurden und auch keine Fristverlängerungbeansprucht worden ist.

40. Weiter macht die Cembra geltend, angesichts des Sachverhaltes sei lediglicheine Verwarnung auszusprechen, da zwischenzeitlichMassnahmen für die rechtskonformeBearbeitung der Aus- kunftsgesuche getroffen worden und die konkreten Auskunftsgesuche nun beantwortet worden seien

41 Liegteine Verletzungvon Datenschutzvorschriftenvor, so kann der EDÖB verfügen, dass die Bearbeitung ganz oder teilweise angepasst, unterbrochen oder abgebrochen wird und die Perso- nendaten ganz oder teilweise gelöscht oder vernichtet werden (Art. 51 Abs. 1 DSG). Er kann dabei namentlichanordnen, der betroffenenPerson die Auskünfte nach Artikel25 zu erteilen (Art. 51 Abs. 3 Bst. g). Hat das Bundesorgan oder die private Person während der Untersuchung die er- forderlichenMassnahmen getroffen,um die Einhaltung der Datenschutzvorschriftenwiederherzu- stellen,so kann der EDÖB sich darauf beschränken, eine Verwarnungauszusprechen (Art. 51 Abs. 5 DSG).

42. Wie vorstehend festgestelltliegen mehrfache Verletzungen des Datenschutzgesetzes vor. Die Bearbeitung der Personendaten wurde jedoch während der Untersuchung bereits angepasst. Ebenfalls wurden während dieser Untersuchung die Auskünfte nach Art. 25 DSG lediglichgegen- über Anzeiger 1 und 2 erteilt. Eine Mitteilung der bearbeitenden Personendaten ist gegenüber den übrigen 11 Betroffenen bisher noch nicht erfolgt und muss noch nachgeholt werden.

43. Die Cembra ist angehalten, Art. 25 DSG inskünftig rechtskonform anzuwenden. Für den Fall er- neuter Beschwerden behält sich der EDÖB Nachkontrollenvor und weist die Cembra ausdrück- lich auf die Strafbestimmung von Art. 63 DSG hin:

<Mit Busse bis zu 250 000 Franken werden private Per$onen bestraft, die einer Verfügung des ED(:)B oder einem Entscheid der Rechtsmittelinstanzen, die oder der unter Hinweis auf die Straf- drohung dieses Artikels ergangen ist, vorsätzlich nicht Folge leisten.D

c. Gebühren

44. Gemäss Art. 59 Abs. 1 Bst. d DSG erhebt der EDÖB von privatenPersonen Gebühren für Mass- nahmen nach Art. 51 DSG. Die Höhe der Gebühren bemisst sich dabei nach der Regelung von Art. 44 DSV, welcher einen Stundenansatz vorsieht. Vorliegend wirdgegenüber der Cembra eine Verwarnung ausgesprochen, welche eine gebühren- pflichtige Verwaltungsmassnahme nach Art. 51 DSG darstellt,

45 Die aufgewendeteZeit beträgtvorliegend insgesamt 33 Stunden zuzüglichAuslagen von CHF 16.90. Es resultiert ein Gebührentotal von CHF 5'829.40.

46, Die Gebühr wird fällig mit der Rechtskraft der Verfügung; die Zahlungsfrist beträgt grundsätzlich 30 Tage ab Fälligkeit(vgl. Art. 44 Abs. 5 DSV i.V.m. Art. 12 Abs. 1 Bst. a und Abs. 2 AllgGebV).

Dispositiv

Demnach wird

festgestellt:

Die Cembra Money Bank AG hat das DSG durch Missachtung von Art. 25 Abs. 2 Bst. b. und Abs. 7 in der Zeit vom 1. Dezember 2023 bis am 31. August 2024 mehrfachverletzt.

und verfügt:

1. Die Cembra Money Bank AG wird aufgefordert, allen Personen, die bisher auf ihr Auskunftsbegeh- ren lediglich eine Standardantwort erhalten haben, gestützt auf Art. 51 Abs. 3 lit. g i.V.m. Art. 25 Abs. 2 lit. b DSG mitzuteilen, welche Personendaten über sie bearbeitet werden.

2. Die Cembra Money Bank AG wird auf die Strafbestimmung von Art. 63 DSG hingewiesen.

3. Der Cembra Money Bank AG wirdeine Gebühr in der Höhe von insgesamt CHF 5'829.40 auferlegt.

4. Zu eröffnen: Cembra Money Bank AG, Bändeliweg 20, 8048 Zürich, p.A. Walder Wyss AG, RA David Vasella und Hannes Meyle, Seefeldstrasse 123, Postfach, 8034 Zürich

Der Beauftragte Adrian Lobsiger

Rechtsmittelbelehrung

Gegen diese Verfügungkanninnerhalb von 30 Tagen ab Erhalt der schriftlichen Ausfertigung Beschwerde erhoben werden (vgl. Art. 52 Abs. 1 DSG i.V.m. Art. 50 des Bundesgesetzes über das Verwaltungsverfahren, VwVG; SR 172.021). Diese Frist steht still,vom siebten Tag vor Ostern bis und mit dem siebten Tag nach Ostern; vom 15. Juli bis und mit 15. August und vom 18. Dezemberbis und mit2. Januar (vgl. Art. 52 Abs. 1 DSG i.V.m. Art. 22a VwVG). Die Beschwerde ist einzureichen beim Bundesverwaltungsgericht Postfach 9023 St. Gallen

Sie hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschriftder beschwerdeführen- den Partei oder ihrer Vertretung zu enthalten. Die angefochtene Verfügung und die als Beweismittel angerufenen Urkunden sind der Beschwerde beizulegen, soweit sie der beschwerdeführenden Partei vorliegen (vgl. Art. 52 Abs 1 DSG i.V.m. Art. 52 Abs. 1 VwVG).