Öffentlichkeitsprinzip

1.

1.1 Beim angefochtenen Entscheid handelt es sich um eine Verfügung im Sinne von Art. 5 des Verwaltungsverfahrensgesetzes vom 20. Dezember 1968 (VwVG, SR 172.021). Art. 26 Abs. 3 DSG ordnet den EDÖB administrativ der Bundeskanzlei zu. Anhang 1 Bst. A Ziff. 2.1 der Regierungs- und Verwaltungsorganisationsverordnung vom 25. November 1998

(RVOV, SR 172.010.1) erklärt ihn zur Verwaltungseinheit der dezentralen Bundesverwaltung. Er gilt als Vorinstanz nach Art. 33 Bst. d des Verwaltungsgerichtsgesetzes vom 17. Juni 2005 (VGG, SR 173.32; vgl. Urteil des BVGer A-363/2010 vom 1. März 2010 E. 1 und E. 1.1). Da keine Ausnahme nach Art. 32 VGG vorliegt, ist das Bundesverwaltungsgericht zur Beurteilung der Beschwerde zuständig.

1.2 Das Verfahren richtet sich nach dem VwVG, soweit das VGG nichts anderes bestimmt (Art. 37 VGG).

1.3 Zur Beschwerde ist nach Art. 48 Abs. 1 VwVG berechtigt, wer am Verfahren vor der Vorinstanz teilgenommen oder keine Möglichkeit zur Teilnahme erhalten hat (Bst. a), durch die angefochtene Verfügung besonders berührt ist (Bst. b) und ein schutzwürdiges Interesse an deren Aufhebung oder Änderung hat (Bst. c). Die Beschwerdeführerinnen haben sich am vorinstanzlichen Zugangsverfahren als Gesuchsgegnerinnen sowie angehörte Dritte im Sinne von Art. 11 BGÖ beteiligt und sind mit ihren Anträgen nicht durchgedrungen. Mit der angefochtenen Verfügung sollen Dokumente, welche sie betreffen, gegen ihren Willen offengelegt werden. Sie sind somit formell sowie materiell durch die Verfügung beschwert und daher zur Beschwerde legitimiert.

1.4 Auf die frist- und formgerecht eingereichte Beschwerde (vgl. Art. 50 Abs. 1 und Art. 52 Abs. 1 VwVG) ist somit einzutreten.

2. Das Bundesverwaltungsgericht überprüft die angefochtene Verfügung auf Rechtsverletzungen, einschliesslich unrichtiger oder unvollständiger Feststellung des rechtserheblichen Sachverhalts und Rechtsfehler bei der Ausübung des Ermessens (Art. 49 Bst. a und b VwVG). Zudem prüft es die Verfügung auf Angemessenheit hin (Art. 49 Bst. c VwVG).

3. In verfahrensrechtlicher Hinsicht ist streitig und vorab zu prüfen, ob vor Erlass der angefochtenen Verfügung – wie von den Beschwerdeführerinnen beantragt bzw. von der Vorinstanz abgelehnt – zwingend ein Schlichtungsverfahren durch eine Ersatzbehörde hätte durchgeführt werden müssen und die Sache daher nach dem Hauptbegehren der Beschwerdeführerinnen an die Aufsichtsbehörde zu überweisen ist.

3.1

3.1.1 Die Vorinstanz führt aus, es hätte ein Ausstandsgrund vorgelegen, wenn sie das Schlichtungsverfahren selbst durchgeführt hätte. Die Bezeichnung einer Person oder einer Ersatzbehörde, die an ihrer Stelle die Schlichtung vornehmen könne, sei im Öffentlichkeitsgesetz nicht vorgesehen. Es bestehe dafür keine gesetzliche Grundlage. In langjähriger Praxis führe sie bei Zugangsgesuchen, die an sie selbst gerichtet seien, kein Schlichtungsverfahren durch. Den Betroffenen entstehe dadurch kein nicht wieder gutzumachender Nachteil. Sie unterstehe als unabhängige Behörde in dieser Hinsicht nicht der Aufsicht des Bundesrats und eine Schlichtung durch das Parlament liefe deren Hauptzweck der Aufwandsminimierung zuwider.

3.1.2 Die Beschwerdeführerinnen machen geltend, sie hätten einen Anspruch auf das Schlichtungsverfahren, wie das Öffentlichkeitsgesetz es vorsehe. Es bestehe keine gesetzliche Grundlage dafür, das Schlichtungsverfahren im Sinne von Art. 13 BGÖ entfallen zu lassen. Beim Schlichtungsverfahren handle es sich auch dann um einen zwingenden Verfahrensschritt, wenn die Vorinstanz selbst Partei sei. Dies ergebe sich ohne Weiteres aus dem Wortlaut, der Systematik und dem Zweck des Gesetzes, wobei das Schlichtungsverfahren dazu diene, den Daten- und Geheimnisschutz der betroffenen Dritten verfahrensrechtlich abzusichern. Gelinge keine Einigung, müsse die Vorinstanz nach Art. 14 BGÖ eine Empfehlung abgeben. Die zuständige Behörde könne nach Art. 15 Abs. 2 BGÖ erst danach verfügen. Es gelte daher: «Ohne Empfehlung keine Verfügung». Interessenkonflikte und Ausstandsgründe berechtigten nicht zur Verkürzung des Rechtsschutzes. Die Vorinstanz wäre verpflichtet gewesen, als Behörde in den Ausstand zu treten und an ihre Aufsichtsbehörde, den Bundesrat oder die Bundesversammlung bzw. deren Gerichtskommission zu gelangen, sodass diese das Verfahren hätte durchführen oder einer Ersatzbehörde bezeichnen müssen, wie es der Praxis zu Art. 10 Abs. 2 VwVG entspreche. Eine Ersatzbehörde sei zwingend, damit die Wahrnehmung der gesetzlichen Aufgaben der Vorinstanz gewährleistet bleibe. Mit der Schlichtung hätte das Verfahren womöglich rasch erledigt werden können, was durch den direkten Erlass der Verfügung verhindert worden sei.

3.1.3 Der Beschwerdegegner bringt vor, den Beschwerdeführerinnen gehe es offensichtlich darum, den Zugang zu den streitigen Informationen zu verhindern, weshalb eine Schlichtung keine Lösung gebracht hätte. Es fehle die gesetzliche Grundlage sowohl für die Einschaltung einer Aufsichtsbehörde als auch für die Bezeichnung einer Ersatzbehörde, zumal unklar sei, wer die Aufsichtsbehörde der Vorinstanz darstelle und welche die zu bezeichnende Ersatzbehörde gewesen wäre. Jede Behörde hätte diese Rolle mit gutem Recht ablehnen können. Mangels Befangenheit einer Person gehe es zudem nicht um einen Ausstandsfall, sondern um einen institutionellen Interessenkonflikt der Vorinstanz, für den das BGÖ keine Regeln bereithalte. Zu Recht habe sie in teleologischer Reduktion von Art. 13 BGÖ auf eine Schlichtung verzichtet und die Auflösung des Konflikts der Beschwerdeinstanz überlassen. Ein zusätzliches Schlichtungsverfahren mit leicht vorauszusehendem Ergebnis beeinträchtige aufgrund der zeitlichen Verzögerung faktisch die Medienfreiheit, da die Informationen aus Sicht der Medienschaffenden womöglich nicht mehr aktuell seien. Der Zweck des Öffentlichkeitsprinzips werde auf diese Weise unterlaufen und das Gebot der beförderlichen Beurteilung verletzt.

3.2 Das Öffentlichkeitsgesetz regelt das Verfahren betreffend den Zugang zu amtlichen Dokumenten im dritten Abschnitt (Art. 10 ff. BGÖ).

Demnach ist das Zugangsgesuch an die Behörde zu richten, die das amtliche Dokument erstellt hat (Art. 10 Abs. 1 BGÖ). Betrifft das Gesuch Dokumente, die Personendaten enthalten, und zieht die Behörde den Zugang in Betracht, so konsultiert sie die betroffene Person und gibt ihr Gelegenheit zur Stellungnahme (Art. 11 Abs. 1 BGÖ). Die Behörde nimmt Stellung zum Gesuch (Art. 12 BGÖ). Das Schlichtungsverfahren ist im Folgenden in Art. 13 BGÖ und Art. 12 ff. VBGÖ normiert: Eine gesuchstellende Person, deren Gesuch nicht vollständig entsprochen wird sowie eine Person, die nach Art. 11 BGÖ angehört worden ist und gegen deren Willen die Behörde Zugang gewähren will, hat die Möglichkeit, mit einem Schlichtungsantrag an den EDÖB zu gelangen (Art. 13 Abs. 1 Bst. a und c BGÖ). Der EDÖB leitet das Schlichtungsverfahren (Art. 13) ein (vgl. Art. 18 Bst. a BGÖ) und klärt ab, ob die Behörde das Zugangsgesuch rechtmässig und angemessen bearbeitet hat (Art. 12 Abs. 1 VBGÖ). Er hört die am Schlichtungsverfahren Beteiligten an und strebt zwischen ihnen eine Einigung an. Das Verfahren kann mündlich oder schriftlich durchgeführt werden (Art. 12 Abs. 2 VBGÖ). Kommt eine Einigung zu Stande, gilt das Verfahren als erledigt (Art. 13 Abs. 3 BGÖ).

Kommt keine Schlichtung zu Stande bzw. führt das Schlichtungsverfahren nicht zur Einigung, gibt der EDÖB eine Empfehlung über die Gewährung des Zugangs ab (Art. 14 BGÖ). Die Empfehlung ist keine Verfügung i.S.v.

Art. 5 VwVG und entfaltet keine bindende Wirkung (BVGE 2014/6 E. 1.2.2). Weicht die zuständige Behörde von der Empfehlung des EDÖB ab, so erlässt sie gemäss Art. 15 Abs. 1 und 2 BGÖ eine Verfügung (zum Ganzen BVGE 2014/6 E. 1.2.2; Urteile des BVGer A-6054/2013 vom 18. Mai 2015 E. 3.3; A-363/2010 vom 1. März 2010 E. 1.2.2; Botschaft des Bundesrats zum Bundesgesetz über die Öffentlichkeit der Verwaltung [Botschaft BGÖ], BBl 2003, 2018 ff., 2024).

3.3 Die Beschwerdeführerinnen berufen sich u.a. auf die Praxis des Bundesverwaltungsgerichts, wonach in Fällen, in denen trotz Schlichtungsantrag kein Schlichtungsverfahren stattgefunden habe, die Sache jeweils an die Vorinstanz zurückgewiesen werde. Auch die Literatur anerkenne den zwingenden Charakter des Verfahrens (vgl. Beschwerde, Rz. 27).

3.3.1 Das Bundesverwaltungsgericht erwog im Urteil A-7369/2006 vom 24. Juli 2007 (E. 4.3), dass die Schlichtung einen wesentlichen Verfahrensabschnitt mit dem Ziel der Streitbeilegung und Vermeidung von Gerichtsverfahren bilde, weshalb es nicht aus prozessökonomischen Gründen weggelassen werden könne. Bei der Beurteilung einer Rechtsverzögerungsbeschwerde gegen die Vorinstanz führte es zudem aus, die zuständige Behörde könne keine Entscheidung über den Zugang treffen, bevor die Vorinstanz ein Schlichtungsverfahren durchgeführt und eine allfällige Empfehlung gegeben habe (Urteil A-75/2009 vom 16. April 2009 E. 4.1, 4.3). Ferner hielt es im Urteil A-3403/2013 vom 17. November 2014 fest, nachdem die zuständige Behörde überhaupt kein Zugangsverfahren nach Art. 10 ff. BGÖ durchgeführt und das Gesuch unter Verweis auf das DSG abgewiesen hatte, dass «in jedem Fall ein Schlichtungsverfahren durchzuführen gewesen wäre» (E. 3.3).

Die Besonderheit des vorliegend zu beurteilenden Verfahrens liegt indessen darin, dass die Vorinstanz – im Unterschied zu den genannten Urteilen – nebst der ihr grundsätzlich zugewiesenen Rolle als Schlichtungsorgan (Art. 13 f., Art. 18 Bst. a BGÖ) zugleich als für das Zugangsgesuch (unbestritten) zuständige Behörde fungiert, welche die streitigen amtlichen Dokumente selbst erstellt oder von Dritten erhalten hat (Art. 10 Abs. 1 BGÖ). Für diese Verfahrenskonstellation einer potentiellen Doppelfunktion der Vorinstanz hat sich das Bundesverwaltungsgericht noch nie mit der Frage befasst, ob und gegebenenfalls von welcher Behörde ein Schlichtungsverfahren durchzuführen ist. Anders als die Beschwerdeführerinnen vorbringen, bestehen dazu in der bisherigen Rechtsprechung zum BGÖ keine kerntreffenden Erwägungen, die sich zu ihren Gunsten anführen liessen.

3.3.2 Das Bundesverwaltungsgericht hat im Urteil A-6755/2016 vom 23. Oktober 2017 zur streitigen Durchführung einer Schlichtungsverhandlung durch die Vorinstanz festgehalten, dass diese nicht zwingend ist: Das Schlichtungsverfahren stelle ein informelles Verfahren dar, dessen Festlegung im Einzelnen der Vorinstanz obliege. Sie könne dasjenige Vorgehen wählen, das dem einzelnen Fall am besten angemessen sei (E. 4.1.4; Botschaft BGÖ, BBl 2003, 2024). Das Urteil äussert sich dabei zur Frage des zwingenden Charakters einer «Schlichtungsverhandlung» als Verfahrensschritt des (im Einzelfall auszugestaltenden) Schlichtungsverfahrens (vgl. vorne E. 3.2, Art. 12 Abs. 2 BGÖ), nicht jedoch dazu, ob unter Umständen von der Durchführung eines Schlichtungsverfahrens an sich (insgesamt) Umgang genommen werden kann. Die Vorinstanz hatte vom Schlichtungsverfahren nicht vollständig abgesehen und zunächst eine Verhandlung mit dem Gesuchsteller und der betroffenen Behörde durchgeführt. Nach der anschliessenden Anhörung zahlreicher Dritter nach Art. 11 BGÖ waren 16 Schlichtungsanträge eingegangen, worauf die Vorinstanz die Verfahren vereinigte, im anschliessenden Schlichtungsverfahren aber auf eine (weitere) Verhandlung mit sämtlichen Dritten verzichtete (Urteil A-6755/2016, Bst. C ff., E. 4.1.4). Bei solchen Massenverfahren kann die Vorinstanz laut dem Urteil, sieht sie keine Möglichkeit zur Einigung, allenfalls auf die Schlichtung verzichten und direkt eine Empfehlung abgeben (E. 4.1.3 mit Verweis auf CHRISTINE GUY-ECABERT, in: Brunner/Mader, Öffentlichkeitsgesetz, 2008 [nachfolgend SHK BGÖ], Art. 13 N 26). Ein Massenverfahren ist vorliegend jedoch nicht gegeben. Zudem fungierte die Vorinstanz in jenem Fall nicht als zugleich vom Zugangsgesuch betroffene Behörde, weshalb der Entscheid nicht die Frage beantwortet, ob in solchen Fällen zwingend eine unabhängige Ersatzbehörde das Schlichtungsverfahren leiten und über das Vorgehen (etwa die Durchführung einer Verhandlung) bestimmen muss. Dem Urteil sind somit keine einschlägigen Aussagen für die vorliegende Prüfung zu entnehmen.

3.3.3 In der Literatur wird das Schlichtungsverfahren als obligatorisch betrachtet (JULIA BHEND/JÜRG SCHNEIDER, in: Maurer-Lambrou/Blechta, Basler Kommentar zum Datenschutzgesetz/Öffentlichkeitsgesetz, 3. Aufl. 2014 [nachfolgend BSK DSG/BGÖ], Art. 13 N 2; GUY-ECABERT, SHK BGÖ, Art. 13 N 4, 22), die konkrete Ausgestaltung des Verfahrens im Einzelnen aber ebenfalls – wie in den Materialien vorgesehen (Botschaft BGÖ, BBl 2003, 2024) – dem Handlungsspielraum der Vorinstanz zugeordnet (BHEND/SCHNEIDER, BSK BGÖ, Art. 13 N 17). Die genannten Lehrmeinungen beziehen sich daher auf die übliche Verfahrenssituation, dass die Schlichtung nicht durch die verfügende Behörde erfolgt, setzen sich aber nicht mit Zugangsgesuche an die Vorinstanz selbst auseinander. In Bezug auf letztere wird die Ansicht vertreten, der Gesetzgeber habe das (Rechtspflege-)Verfahren in dieser Hinsicht nicht geregelt, wobei den Beteiligten zufolge Interessenkollision der Vorinstanz kein Schlichtungsverfahren offenstehe und sie in der Praxis eine Verfügung erlasse (ASTRID SCHWEGLER, BSK BGÖ, Art. 18 N 36).

3.3.4 Die bisherige Rechtsprechung und Literatur beantworten somit nicht die Frage, ob und von wem vorliegend allenfalls ein Schlichtungsverfahren an die Hand zu nehmen gewesen wäre bzw. ist.

3.4 Es ist somit in einem nächsten Schritt durch Auslegung zu ermitteln, ob das Gesetz eine Antwort auf diese Frage bereithält oder in dieser Hinsicht eine (echte) Gesetzeslücke besteht (E. 3.4.1 ff.). Ist letzteres der Fall, ist in einem weiteren Schritt zu erwägen, wie diese zu füllen ist, insbesondere, ob und durch wen ein Schlichtungsverfahren allenfalls analog den gesetzlichen Verfahrensbestimmungen zu erfolgen hat oder umgekehrt gerade kein solches durchgeführt werden muss (E. 3.5).

3.4.1 Ausgangspunkt jeder Auslegung ist der Wortlaut (grammatikalische Auslegung). Ist der Text nicht klar und sind verschiedene Interpretationen möglich, ist der Sinn der Norm unter Berücksichtigung aller Auslegungselemente (sog. Methodenpluralismus) zu ermitteln. Abzustellen ist dabei namentlich auf die Entstehungsgeschichte einer Rechtsnorm (historisches Element), ihren Sinn und Zweck (teleologisches Element) und die Bedeutung, die ihr im Kontext mit anderen Normen (systematisches Element) zukommt (statt vieler Urteile des BVGer A-2884/2019 vom 17. Februar 2020 E. 5.1; A-4962/2012 vom 22. April 2013 E. 5.1). Bleiben letztlich mehrere Auslegungen möglich, ist jene zu wählen, die der Verfassung am besten entspricht (Urteile A-2884/2019 E. 5.1; A-4962/2012 vom 22. April 2013 E. 5.1; BGE 142 I 135 E. 1.1.1).

Eine Lücke im Gesetz besteht, wenn sich eine Regelung als unvollständig erweist, weil sie jede Antwort auf eine Rechtsfrage schuldig bleibt oder eine Antwort gibt, die aber als sachlich unhaltbar angesehen werden muss. Hat der Gesetzgeber die Rechtsfrage nicht übersehen, sondern stillschweigend – im negativen Sinn – mitentschieden (qualifiziertes Schweigen), bleibt kein Raum für richterliche Lückenfüllung. Eine echte Gesetzeslücke liegt vor, wenn der Gesetzgeber etwas zu regeln unterlassen hat, was er hätte regeln sollen, und dem Gesetz weder nach seinem Wortlaut noch durch Auslegung eine Vorschrift zu entnehmen ist. Von einer unechten oder rechtspolitischen Lücke ist dagegen die Rede, wenn dem Gesetz zwar eine Antwort, aber keine befriedigende zu entnehmen ist. Echte Lücken zu füllen, ist dem Richter aufgegeben, unechte zu korrigieren, ist ihm jedoch nach traditioneller Auffassung grundsätzlich verwehrt und dem Gesetzgeber vorbehalten (zum Ganzen BGE 145 III 169 E. 3.3; BGE 134 V 182 E. 4.1; BGE 128 I 34 E. 3b Urteil des BVGer A-3378/2019 vom 20. April 2020 E. 3.3.1; A-5664/2014 vom 18. November 2015 E. 7). Von der Berichtigung unechter Lücken zu unterscheiden ist der zulässige Vorgang richterlicher Rechtsfindung, bei welchem ein zu weit gefasster Wortlaut durch zweckgerichtete Auslegung eine restriktivere Deutung erfährt oder mittels teleologischer Reduktion – d.h. wenn die Gesetzesinterpretation aus triftigen Gründen ergibt, dass ein (scheinbar) klarer Wortlaut zu weit gefasst sowie auf einen an sich erfassten Sachverhalt nicht anzuwenden ist (BGE 143 II 268 E. 4.3.1; BGE 141 V 191 E. 3) – eine verdeckte Lücke festgestellt und korrigiert wird (vgl. BGE 128 I 34 E. 3b; Urteile des BVGer A-4586/2014 vom 24. März 2015 E. 5.2.2; A-2768/2014 vom 30. April 2015 E. 4.6). Die teleologische Reduktion des Wortsinns kann zudem ergeben, dass die positive Ordnung einer Regelung entbehrt, mithin eine verdeckte – aber echte – Lücke aufweist, die im Prozess der richterlichen Rechtsschöpfung zu schliessen ist (vgl. BGE 128 I 34 E. 3b).

3.4.2 Den Beschwerdeführerinnen ist einerseits insoweit zuzustimmen, als der Wortlaut des Gesetzes (Art. 13 BGÖ) keine Ausnahmetatbestände vorsieht, nach denen das Schlichtungsverfahren entfällt (anders z.B. Art. 198 ZPO). Andererseits unterscheidet der Wortlaut konsequent zwischen dem «Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten» und der für das Zugangsgesuch zuständigen «Behörde» (Art. 13 Abs. 1 und Abs. 2). Er ist somit, obgleich sich die Vorinstanz – je isoliert betrachtet – formell beiden Begriffen zuordnen liesse, auf ein Verfahren mit zwei beteiligten Behörden zugeschnitten, was eher darauf hindeutet, dass die Norm die Konstellation des Zusammenfallens beider Funktionen bei derselben Behörde nicht regelt.

Dies legt auch die Gesetzessystematik nahe. Das Verfahren ist, wie sich aus den Art. 13 - 15 BGÖ eindeutig ergibt, darauf ausgelegt, dass die Schlichtung nicht durch die verfügende Behörde, sondern einen unabhängigen Dritten (den EDÖB) erfolgt, der seinerseits bei der Schlichtungstätigkeit keine Verfügungskompetenz (vgl. Art. 15) besitzt, sondern bei fehlender Einigung eine Empfehlung (Art. 14) erlässt (vgl. GUY-ECABERT, SHK BGÖ, Art. 13 N 4, 6, 12, 39; Botschaft BGÖ, 2018; vorne, E. 3.2). Der Gesetzgeber hat bewusst mehrere Verfahrensschritte unter Beteiligung von zwei verschiedenen Behörden mit unterschiedlichen Befugnissen vorgesehen (vgl. Urteil des BVGer A-75/2009 vom 16. April 2009 E. 4.3).

Diese Konzeption entspricht dem Zweck des Schlichtungsverfahrens, der sich zweifelsfrei aus der Entstehungsgeschichte ergibt: Ziel ist eine Einigung zwischen den Gesuchstellenden sowie der Behörde, die für den Zugangsentscheid zuständig ist, und damit eine einfache und rasche Erledigung von Streitfällen, ohne dass eine Verfügung erlassen und allenfalls ein Rechtsmittelverfahren durchlaufen werden muss (Botschaft BGÖ, BBl 2003, 1977, 2018, 2024). Mit Einführung des Schlichtungsverfahrens wurde somit, wie sich aus den Debatten der parlamentarischen Räte ebenfalls ergibt (Amtliches Bulletin [AB] 2003 S 1141, AB 2004 N 1255), eine Verfahrensvereinfachung und Vermeidung von Gerichtsverfahren beabsichtigt (vgl. auch Urteil des BVGer A-7369/ 2006 vom 24. Juli 2007 E. 4.3; BHEND/SCHNEIDER, BSK BGÖ, Art. 13 N 1). Zu diesem Zweck ist in der Verfahrensphase vor dem Erlass einer Verfügung eine neutrale, unparteiische Schlichtungsstelle vorgesehen (vgl. Botschaft BGÖ, 2018; Erläuterungen des Bundesamts für Justiz zur Verordnung über das Öffentlichkeitsprinzip der Verwaltung vom 24. Mai 2006 [Erläuterungen VBGÖ], S. 16 zu Art. 12 Abs. 2 VBGÖ). Der EDÖB übernimmt im Schlichtungsverfahren die Rolle des neutralen, konsensorientierten Dritten just ohne Entscheidungsmacht (vgl. SCHWEGLER, BSK BGÖ Art. 18 N 31 f.), während die Behörde, die das Verfahren zuvor geleitet hat, zur Beteiligten wird und dem Gesuchsteller in diesem Verfahrensabschnitt auf gleicher hierarchischer Stufe gegenübersteht (vgl. GUY-ECABERT, Art. 13 N 39).

3.4.3 Mit Anwendung der Regeln des Schlichtungsverfahrens (Art. 13 f. BGÖ; Art. 12 VBGÖ) würde diese Zielrichtung aber offensichtlich verfehlt, wenn die Vorinstanz gemäss dem gesetzlichen Ablauf des Schlichtungsverfahrens zwischen dem Gesuchsteller und sich selbst als betroffener Behörde vermitteln müsste und allenfalls sowohl eine Empfehlung (Art. 14) als auch eine Verfügung (Art. 15) zu erlassen hätte. Die Beschwerdeführerinnen, die Vorinstanz und der Beschwerdegegner sind sich denn auch darin einig, dass die Rolle der Vorinstanz als über den Zugang entscheidende Behörde ihre gesetzlich vorgesehene Funktion als neutrale Schlichtungsstelle ausschliesst. Der Verfahrensablauf liesse sich nicht wie vorgesehen sinnvoll umsetzen. Zugleich enthält das Öffentlichkeitsgesetz für diesen Fall keine besonderen Verfahrensregeln, obwohl er unausweichlich nach einer Lösung verlangt. Die Gesetzesmaterialien enthalten ebenfalls keine Erläuterungen dazu, wie bei Zugangsgesuchen an die Vorinstanz zu verfahren ist.

3.4.4 Insgesamt liegt somit nahe, dass der Gesetzgeber die vorliegende Konstellation bei Erlass der Normen zum Zugangsverfahren nicht im Auge hatte. Die Auslegung ergibt, dass das Öffentlichkeitsgesetz weder in seinem Wortlaut noch durch Auslegung eine Antwort auf die Frage enthält, wie es sich mit dem Schlichtungsverfahren im Fall von Zugangsgesuchen an die Vorinstanz verhält. Insbesondere sieht das (unvollständige) Gesetz dafür keinen Verfahrensablauf vor und nennt auch keine allenfalls zuständige Ersatzbehörde für ein Schlichtungsverfahren. Es ist somit vom Vorliegen einer echten Lücke auszugehen.

Nicht anders verhält es sich im Ergebnis, würde man mit den Beschwerdeführerinnen Zugangsgesuche an die Vorinstanz als vom Gesetzeswortlaut (Art. 13 BGÖ) erfasst erachten. Er erwiese sich bei dieser Betrachtungsweise aus dem triftigen Grund der gesetzlich gewollten Trennung von neutraler Schlichtungs- und verfügender Entscheidbehörde als zu weit gefasst. Kommen der Vorinstanz gleichzeitig beide Funktionen zu, könnten die Regeln des Schlichtungsverfahrens wie dargelegt nicht sinnvoll angewandt werden und der Sachverhalt wäre vom Anwendungsbereich auszunehmen. Diese teleologische Reduktion legt eine verdeckte (echte) Lücke frei, weil sie nicht mittels Auslegung unmittelbar zu einer verfahrensrechtlichen (Ersatz-)Lösung, sondern zur Erkenntnis führt, dass das BGÖ mit Reduktion des Wortlauts einer Regelung entbehrt, wie verfahrensmässig vorzugehen ist.

3.4.5 Es verhält sich somit nicht so, dass gemäss Öffentlichkeitsgesetz zwingend ein Schlichtungsverfahren durchzuführen wäre und sich einzig noch die Frage nach der zuständigen Ersatzbehörde stellt. Vielmehr sieht das Gesetz für den vorliegenden Fall kein normiertes Schlichtungsverfahren und keine Ersatzregelung vor.

Der Gesetzgeber sah dabei jedoch, wie dargelegt, nicht im Sinne eines qualifizierten Schweigens bewusst von einem Schlichtungsverfahren ab, sondern hat diese Konstellation nicht bedacht. Kann dem Gesetz keine Vorschrift entnommen werden, soll das Gericht nach der Regel entscheiden, die es als Gesetzgeber aufstellen würde (vgl. Art. 1 Abs. 2 des Zivilgesetzbuches [ZGB, SR 210]): Bei der Ergänzung des lückenhaften Gesetzes gelten als Massstab die dem Gesetz selbst zu Grunde liegenden Zielsetzungen und Werte; oftmals können Lücken mittels Analogie geschlossen werden (zum Ganzen Urteil des BVGer A-5664/2014 vom 18. November 2015 E. 7.2 mit Hinweisen; vgl. BGE 140 II 289 E. 3.1, 137 V 90 E. 5.4.1).

3.5 Es ist deshalb zu prüfen, ob sich lückenfüllend, ausgerichtet am Gesetzeszweck und an den im Gesetz getroffenen Wertentscheidungen des Gesetzgebers, ein Schlichtungsverfahren in Analogie zu Art. 13 BGÖ durch eine andere Behörde aufdrängt und wie diese allenfalls zu bestellen wäre.

3.5.1 Nach Auffassung der Beschwerdeführerinnen bildet Art. 10 Abs. 2 VwVG, wonach die Aufsichtsbehörden im Streitfall über Ausstandsbegehren entscheiden, die gesetzliche Grundlage für die Überweisung des Verfahrens an die Aufsichtsbehörde. Sie verweisen auf die Praxis des Bundesverwaltungsgerichts, wonach es ebenfalls Sache der Aufsichtsbehörden ist, bei Befangenheit sämtlicher Behördenmitglieder eine Ersatzbehörde zu bezeichnen oder, sind sie in der Lage selbst in der Sache zu entscheiden, allenfalls die eigene Zuständigkeit zum Entscheid in der Sache festzustellen (BVGE 2008/13 E. 10.3, 10.6; BREITENMOSER/ SPORI FEDAIL, in: Waldmann/Weissenberger, Praxiskommentar VwVG, 2. Aufl. 2016, Art. 10 N 34 m.H.).

Während sich aber das Verfahren auf Erlass einer Verfügung nach Art. 15 BGÖ nach den Normen des VwVG richtet (BGE 142 II 324 E. 3.6; Urteile des BVGer A-8073/2015 vom 13. Juli 2016 E. 4.1; A-6755/2016 vom 23. Oktober 2017 E. 4.2.2.1), stellt das Schlichtungsverfahren ein Mediationsverfahren dar, auf welches die Bestimmungen des VwVG nicht (direkt) anwendbar sind (Urteil des BVGer A-6755/2016 vom 23. Oktober 2017 E. 4.1.4; BHEND/SCHNEIDER, BSK BGÖ, Art. 13 N 9, Art. 15 N 12; GUY- ECABERT, SHK BGÖ, Art. 13 N 12). Abweichend von der Auffassung der Beschwerdeführerinnen ist die ersatzweise Zuständigkeit der Aufsichtsbehörde für das Schlichtungsverfahren daher nicht verfahrensgesetzlich vorgezeichnet.

Denkbar wäre unter Umständen eine sinngemässe Anwendung einzelner Normen des VwVG auf das Mediationsverfahren (so etwa Urteil des BVGer A-6755/2016 E. 4.1.3 für Art. 11a und Art. 36 Bst. c VwVG in Bezug auf Massenverfahren). Ein sinngemässes Beiziehen der Praxis zu Art. 10 Abs. 2 VwVG für den vorliegenden (institutionellen) Interessenkonflikt der Vorinstanz – analog dem Vorgehen beim streitigen Ausstand von Mitgliedern einer Behörde – setzt aber in der gegebenen Konstellation zumindest voraus, dass die Regelungsabsicht des Gesetzgebers hinsichtlich der Vereinfachung bzw. Vermeidung von Verfahren (E. 3.4.2) und der erforderlichen Unabhängigkeit der neutralen Schlichtungsstelle im Verfahren vor der Aufsichts- bzw. Ersatzbehörde erhalten bleibt (vgl. BGE 122 II 471 E. 3a), was nachfolgend zu prüfen ist.

3.5.2 Bei Einführung des Öffentlichkeitsgesetzes war absehbar, dass sich in Verfahren betreffend den Zugang zu amtlichen Dokumenten, die Personendaten enthalten, oft datenschutzrechtliche Fragen stellen würden. In der Absicht, das Zugangsverfahren möglichst einfach zu halten und Synergien zu nutzen, wurde die Funktion des oder der Datenschutz- und Öffentlichkeitsbeauftragten daher bewusst dem früheren Eidgenössischen Datenschutzbeauftragten zugewiesen (Art. 18 BGÖ), nachdem der Vernehmlassungsentwurf noch vorgesehen hatte, dafür ein besonderes Schlichtungsorgan einzurichten (Botschaft BGÖ, 2029; SCHWEGLER, BSK BGÖ, Art. 18 BGÖ N 64 mit Hinweisen; HUBER, BSK DSG, Art. 26 DSG N 15j).

Aus der Entstehungsgeschichte des Gesetzes geht somit hervor, dass die Vorinstanz aufgrund ihrer fachlichen Kompetenz und der damit zusammenhängenden bzw. erhofften Begrenzung des Verfahrensaufwands mit der Schlichtungsfunktion betraut wurde. Dieser Absicht liefe es zuwider, das Schlichtungsverfahren – unter Überweisung an die Aufsichtsbehörde und Zuteilung an eine Ersatzbehörde ohne vergleichbare Fachkunde oder Schlichtungserfahrung im Rechtsgebiet – mehrstufig und mit zusätzlichem Aufwand stattfinden zu lassen. Der Einwand der Beschwerdeführenden, wonach die Aufsichtsbehörde nur ohne grossen Aufwand eine Ersatzbehörde bezeichnen müsse, das Verfahren jedoch nicht selbst durchführen müsse (Replik, Rz. 15), greift vor diesem Hintergrund zu kurz.

3.5.3 Des Weiteren kommt dem EDÖB eine besondere institutionelle Stellung zu. Insbesondere sieht das Gesetz besondere Anforderungen an seine Unabhängigkeit vor (Art. 26, 26a und 26b DSG), die auch für seine Aufgaben nach dem Öffentlichkeitsgesetz gelten (SCHWEGLER, BSK BGÖ Art. 18 N 20; vgl. Botschaft BGÖ, S. 2029 a.E.):

3.5.3.1 Der EDÖB übt seine Aufgabe unabhängig aus und unterliegt keinen Weisungen einer Behörde (Art. 26 Abs. 3 DSG). Diese funktionelle Unabhängigkeit und Weisungsungebundenheit setzt der Aufsicht des Bundesrats über den Geschäftsgang (vgl. Urteil A-363/2010 vom 1. März 2010 E. 3.1; Art. 178 Abs. 1 BV; Art. 8 Abs. 4 RVOG) Grenzen und schliesst eine inhaltliche bzw. fachliche Kontrolle der Aufgabenerfüllung aus (vgl. Botschaft BGÖ, 2029 a.E.; BERNHARD W ALDMANN/ANDRE SPIELMANN, Unabhängigkeit der Datenschutzaufsicht, 2010, Rz 68 f.; Rz. 58; ISABELLE HÄNER, in: Epiney/Häni/Brülisauer, Die Unabhängigkeit der Aufsichtsbehörden und weitere aktuelle Fragen des Datenschutzrechts, 2012, S. 48 f.; THOMAS SÄGESSER, Die institutionelle Stellung des Eidgenössischen Datenschutz-und Öffentlichkeitsbeauftragten, AJP 2009, S. 1421; HUBER,

BSK DSG Art. 26 N 53; SCHWEGLER, BSK BGÖ Art. 18 N 18). Der EDÖB ist als dezentrale Verwaltungseinheit (E. 1.1) nur administrativ der Bundeskanzlei zugeordnet (Art. 26 Abs. 3 Satz 2 DSG). Durch diese Zuordnung sollte seine Unabhängigkeit insofern gestärkt werden, als die Bundeskanzlei als allgemeine Stabstelle des Bundesrats, im Unterschied zu den Departementen, kaum datenschutzrelevante Geschäfte bearbeitet (SCHWEG- LER, BSK BGÖ Art. 18 N 21; W ALDMANN/SPIELMANN, a.a.O. Rz. 67).

Besonders geregelt sind sodann die Wahl und die Wiederwahl des EDÖB. Die Wahl durch den Bundesrat, die für eine Amtsdauer von vier Jahren erfolgt, ist durch die Bundesversammlung zu genehmigen (Art. 26 Abs. 1 DSG). Mit dem Erfordernis einer parlamentarischen Genehmigung sollte der in der Lehre vorgebrachten Kritik entsprochen werden, wonach die Wahl durch die Exekutive keine hinreichende Garantie für die Unabhängigkeit biete (BBl 2009, 6749, 6776 mit Hinweisen; SÄGESSER, AJP 2009, 1424; HUBER, BSK DSG Art. 26 N 23a m.H.). Eine Nichtwiederwahl ist des Weiteren nur aus sachlich hinreichenden Gründen zulässig und sechs Monate vor Ablauf der Amtsdauer zu verfügen, ansonsten sich die Amtsdauer

Der EDÖB besitzt zudem eine gewisse Unabhängigkeit hinsichtlich seiner Ressourcen, indem er über ein eigenes Budget verfügt (Art. 26 Abs. 4 DSG), das von demjenigen der Bundeskanzlei separat ausgewiesen wird (Art. 30 Abs. 3 der Verordnung zum Bundesgesetz über den Datenschutz vom 14. Juni 1993 [VDSG; SR 235.11]; näher SÄGESSER, AJP 2009, 1423; HÄNER, a.a.O., S. 48, 50; HUBER, BSK DSG Art. 26 N. 34 ff.). Ausserdem ist seine Entlöhnung nicht von einer Leistungsbeurteilung abhängig, da er nicht dem Beurteilungssystem nach Art. 4 Abs. 3 des Bundespersonalgesetzes vom 24. März 2000 (BPG; SR 172.220.1) untersteht (Art. 26 Abs. 5 DSG; BBl 2009, 6776; HÄNER, a.a.O., S. 49). Betreffend die personelle Unabhängigkeit des EDÖB sieht Art. 26b DSG vor, dass er nur mit Bewilligung des Bundesrates eine andere Beschäftigung ausüben kann, soweit Unabhängigkeit und Ansehen nicht beeinträchtigt werden.

Mit den genannten, seit 1. Dezember 2010 geltenden Normen wurde das Datenschutzgesetz angepasst an die aufgrund des Schengen-Abkommens mit der EU (SR 0.362.31) umzusetzenden Anforderungen an die Unabhängigkeit der Datenaufsichtsbehörde nach Art. 25 des Rahmenbeschlusses 2008/977/JI des Rates der Europäischen Union vom 27. November 2008 über den Schutz personenbezogener Daten (ABl. L 350/60), wonach die in jedem Schengen-Staat einzurichtenden Kontrollstellen die ihnen zugewiesenen Aufgaben in «völliger Unabhängigkeit» wahrzunehmen haben. Die Bestimmungen tragen den Empfehlungen des 2008 durch den Rat verabschiedeten Experten-Berichts Rechnung, der kritisiert hatte, das schweizerische Recht biete keine ausreichenden institutionellen Garantien für die Unabhängigkeit der Datenschutzaufsicht (vgl. Botschaft zur Umsetzung des Rahmenbeschlusses 2008/977/JI vom 11. September 2009, BBl 2009, 6749, 6756, 6775 f.; W ALDMANN/SPIELMANN, a.a.O., Rz. 55, Rz. 72 f.; HÄNER, a.a.O., S. 45, 48; zu den Anforderungen des EuGH etwa Urteil vom 9. März 2010 C-518/07, Slg. 2010 I-01885, insb. Rz. 31 ff.).

3.5.3.2 Die gesetzlich besonders ausgestaltete Unabhängigkeit ist für die Aufgabenerfüllung der Vorinstanz zentral (W ALDMANN/SPIELMANN, a.a.O., Rz. 68; HUBER, BSK DSG Art. 26 DSG N 29a, 31) und auch im Schlichtungsverfahren von wesentlicher Bedeutung, da die Neutralität das charakteristische Merkmal der Schlichtungsstelle als keiner Seite verpflichteter Vermittlerin zwischen Verwaltungsstellen und Gesuchstellenden sowie Gesuchsgegnern darstellt (vgl. GUY-ECABERT, SHK BGÖ Art. 13 N 9; SCH- WEGLER, BSK BGÖ Art. 18 N 22 mit Hinweisen).

Aufgrund der besonderen Anforderungen an die Unabhängigkeit von der Bundesverwaltung wird die Vorinstanz mitunter auch als «Einrichtung sui generis» bezeichnet (HUBER, BSK DSG, Art. 26 DSG N 31). Eine allfällige Ersatzbehörde des Bundes, welche nach Ansicht der Beschwerdeführerinnen durch den Bundesrat oder das Parlament für die Schlichtung bezeichnet werden müsste, würde diese spezifischen Anforderungen nicht erfüllen. Dies ist vorliegend nicht zuletzt insofern von Belang, als der Bund Mehrheitsaktionär der Beschwerdeführerin 1 ist und ein Vertreter des Bundes in deren Verwaltungsrat Einsitz nimmt. Es ist mithin keine hinsichtlich der Unabhängigkeit äquivalente und mit Datenschutz befasste Bundesstelle ersichtlich, welche das Verfahren im Einklang mit den dazu getroffenen Vorgaben des Gesetzgebers zugewiesen erhalten und durchführen könnte (zur politisch wiederholt abgelehnten Einführung einer Ombudsstelle des Bundes: GUY-ECABERT, SHK BGÖ Art. 13 N 11; SCHWEGLER, BSG BGÖ Art. 18 N 22 m.H.). Das Vorbringen der Beschwerdeführerinnen, die Autonomie der Vorinstanz werde durch Bezeichnung einer Ersatzbehörde durch den Bundesrat nicht beschränkt, überzeugt aus diesem Grund nicht. Würde das Parlament allenfalls im Rahmen seiner Oberaufsicht einbezogen (vgl. SCHWEGLER, BSK BGÖ Art. 18 N 18 mit Verweis auf Art. 26 ParlG; HUBER, BSK DSG Art. 26 N 30b, 53 ff.), bestünde zudem die Möglichkeit des Einflusses u.a. parteipolitischer Interessen.

3.5.4 Die Beschwerdeführerinnen bringen zudem vor, das Schlichtungsverfahren bezwecke, den Daten- und Geheimnisschutz betroffener Dritten verfahrensrechtlich abzusichern und bilde Ausfluss ihres Anspruchs auf rechtliches Gehör, weshalb ihnen zwingend die Möglichkeit der Streitbeilegung mithilfe eines Vermittlers eingeräumt werden müsse. Wie dargelegt, dient das Schlichtungsverfahren jedoch insbesondere dem Zweck der Verfahrensvereinfachung (E. 3.4.2), weshalb sich unter dem Aspekt des verfahrensrechtlichen Schutzes Drittbetroffener kein Schlichtungsverfahren durch eine Ersatzbehörde aus Analogieüberlegungen aufdrängt.

Unbegründet ist zudem die in diesem Zusammenhang erhobene Rüge, wonach der Verzicht auf das Schlichtungsverfahren eine Verletzung des rechtlichen Gehörs bedeute. Im Mediationsverfahren gilt, da es in keine Verfügung mündet, sondern eine allfällige Empfehlung der Vorinstanz zur Folge hat, praxisgemäss weder der verfassungsmässige Anspruch auf rechtliches Gehör noch sind die ihn konkretisierenden Normen des VwVG (Art. 26 – 33) direkt anwendbar (Urteil des BVGer A-6755/2016 vom 23. Oktober 2017 E. 4.1.3 a.E., E. 4.1.4; ALEXANDRE FLÜCKIGER, SHK BGÖ, Art. 11 N 3 mit Verweis auf BGE 116 Ib 260 E. 1d). Anlässlich der erfolgten Anhörung nach Art. 11 BGÖ erhielten die Beschwerdeführerinnen zudem vor der Vorinstanz die Gelegenheit, ihren Standpunkt und ihre Geheimhaltungsinteressen (schriftlich) darzulegen (allgemein zur Anhörung Urteil des BVGer A-4903/2016 vom 17. Mai 2017 E. 4.2.2).

3.5.5 Wenngleich nicht mit Sicherheit ausgeschlossen ist, dass eine Ersatzbehörde letztendlich eine Einigung zwischen den Beschwerdeführerinnen und der Vorinstanz (sowie dem Beschwerdegegner) hätte erreichen können, gebieten die dem Öffentlichkeitsgesetz zu Grunde liegenden Wertungen zusammenfassend keine Durchführung des Schlichtungsverfahrens in Analogie zu Art. 13 BGÖ durch eine (entsprechend der Praxis zu Art. 10 Abs. 2 VwVG bezeichnete) Ersatzbehörde. Insbesondere würde damit den Vorstellungen des Gesetzgebers betreffend die Einfachheit des Verfahrens, die Unabhängigkeit und die fachliche Eignung der Schlichtungsstelle nicht hinreichend Rechnung getragen. Die Vorinstanz hat somit im vorliegenden Fall kein Bundesrecht verletzt, indem sie auf ein Schlichtungsverfahren verzichtete, da sie von Vornherein keinen Spielraum für eine einvernehmliche Lösung gesehen hatte.

3.6 Das Hauptbegehren der Beschwerdeführerinnen, die Sache unter Aufhebung der Verfügung an die Aufsichtsbehörde der Vorinstanz zur Durchführung eines Schlichtungsverfahrens oder zur Bestimmung einer Ersatzbehörde zu überweisen, ist somit abzuweisen.

4. In materieller Hinsicht ist unbestritten, dass das Zugangsgesuch des Beschwerdegegners in den persönlichen und sachlichen Geltungsbereich des Öffentlichkeitsgesetzes fällt (vgl. Art. 2 und 3 BGÖ), dass keine ihm vorgehende spezielle Bestimmung nach Art. 4 BGÖ besteht und es sich bei den betroffenen Unterlagen um amtliche Dokumente im Sinne von Art. 5 BGÖ handelt.

Streitig und zu prüfen ist hingegen, ob der ersuchte Zugang gestützt auf Ausnahmebestimmungen zu verweigern ist, weil er die freie Willens- und Meinungsbildung der Vorinstanz wesentlich beeinträchtigen kann oder die zielkonforme Durchführung konkreter behördlicher Massnahmen vereitelt (E. 5), da dem Zugang Geschäftsgeheimnisse der Beschwerdeführerinnen (E. 6) und eine Zusicherung der Geheimhaltung seitens Vorinstanz entgegenstehen (E. 7) oder die Privatsphäre der Beschwerdeführerinnen höher zu gewichten ist (E. 8).

4.1 Diese Prüfung hat sich darauf zu beschränken, ob Einsicht in die Dokumente des von der Vorinstanz durchgeführten Verfahrens zur Sachverhaltsabklärung hinsichtlich der Folgeschäden des Datenvorfalls (Art. 29 DSG) zu gewähren ist (vgl. Bst. A.b). Die Beschwerdeführerinnen haben darauf verzichtet, den in Dispositiv-Ziffer 1 der angefochtenen Verfügung angeordneten Aufschub des Zugangs anzufechten und dessen Zulässigkeit in Frage zu stellen. Nicht Streitgegenstand des vorliegenden Verfahrens bildet damit der Zugang zu denjenigen Dokumenten, welche die Beratung der Beschwerdeführerinnen durch die Vorinstanz (Art. 28 DSG) im Zusammenhang mit dem Datenvorfall – bis zu dessen Bekanntgabe am 7. Februar 2018 – betreffen.

4.2 Das Öffentlichkeitsgesetz bezweckt, die Transparenz über den Auftrag, die Organisation und die Tätigkeit der Verwaltung zu fördern (Art. 1 BGÖ). Dadurch soll das Vertrauen der Bürger in die öffentlichen Institutionen gestärkt, die Kontrolle über die Verwaltung verbessert und eine sinnvolle demokratische Mitwirkung am politischen Entscheidfindungsprozess ermöglicht werden (BGE 142 II 313 E. 3.1; BGE 136 II 399 E. 2.1). Im Sinne die- ser Zielsetzung statuiert das Gesetz das Prinzip der Öffentlichkeit mit Geheimhaltungsvorbehalt und gewährt einen grundsätzlichen Anspruch auf Zugang zu amtlichen Dokumenten (BGE 136 II 399 E. 2.1 m.w.H. und BGE 133 II 209 E. 2.3.1; BVGE 2016/9 E. 3).

4.3 Entsprechend hat jede Person grundsätzlich das Recht, amtliche Dokumente einzusehen und von den Behörden Auskunft über deren Inhalt zu erhalten (Art. 6 Abs. 1 BGÖ). Aufgrund des Öffentlichkeitsprinzips besteht die (widerlegbare) Vermutung zu Gunsten eines freien Zugangs zu amtlichen Dokumenten (BGE 142 II 340 E. 2.2). Es liegt somit nicht im freien Ermessen der Behörde, ob sie Informationen und amtliche Dokumente zugänglich machen will oder nicht (BVGE 2014/6 E. 4.2). Der Zugang zu amtlichen Dokumenten ist jedoch einzuschränken, aufzuschieben oder zu verweigern, wenn überwiegende öffentliche oder private Interessen an der Geheimhaltung einer Offenlegung entgegenstehen (Art. 7 BGÖ). Die aufgrund der Zugangsgewährung drohende Verletzung der jeweiligen öffentlichen oder privaten Interessen muss nicht mit Sicherheit eintreten, jedoch darf eine Gefährdung auch nicht lediglich denkbar oder (entfernt) möglich erscheinen; zudem muss diese ernsthaft sein, weshalb eine bloss geringfügige oder unangenehme Konsequenz nicht als Beeinträchtigung gelten kann (BGE 142 II 340 E. 2.2 und 142 II 324 E. 3.4, je m.w.H.; Urteil des BVGer A-6108/2016 vom 28. März 2018 E. 4.2.3).

5. Die Beschwerdeführerinnen berufen sich zunächst auf die Ausnahmetatbestände nach Art. 7 Abs. 1 Bst. a und b BGÖ. Nach diesen Bestimmungen wird der Zugang zu amtlichen Dokumenten eingeschränkt, aufgeschoben oder verweigert, wenn durch ihn die freie Meinungs- und Willensbildung einer dem BGÖ unterstellten Behörde, eines anderen legislativen oder administrativen Organs bzw. einer gerichtlichen Instanz wesentlich beeinträchtigt werden kann (Bst. a) oder die zielkonforme Durchführung konkreter behördlicher Massnahmen beeinträchtigt wird (Bst. b).

5.1 Im Einzelnen machen die Beschwerdeführerinnen ohne nähere Unterscheidung der beiden Bestimmungen geltend, der Zugang würde die Willensbildung und die Erfüllung der gesetzlichen Aufgaben der Vorinstanz stark gefährden. Er beeinträchtige die vertrauensvolle Zusammenarbeit zwischen ihr und den Unternehmen, auf deren Kooperation sie angewiesen sei, und damit ihre allgemeine Vorgehensweise, was sich auf jede konkrete Massnahme auswirke (Beschwerde, Rz. 35 ff.; Replik, Rz. 17).

5.2 Die Vorinstanz sieht sich dagegen durch den Zugang in ihrer Willensbildung und in ihrer Tätigkeit nicht beeinträchtigt (Vernehmlassung, Rz. 18). Der Beschwerdegegner geht ebenfalls davon aus, dass die Vorinstanz selbst am besten beurteilen könne, wie sie ihre Aufgabe erfüllen könne. Das Interesse der Beschwerdeführerinnen an einer vertrauensvollen Zusammenarbeit mit der Vorinstanz sei über die freiwillige Mitteilung von Informationen unter Zusicherung der Geheimhaltung nach Art. 7 Abs. 1 Bst. h BGÖ zu gewährleisten (Beschwerdeantwort, Rz. 18).

5.3 Der Geheimhaltungstatbestand nach Art. 7 Abs. 1 Bst. a BGÖ schützt die freie, unbeeinflusste Meinungs- und Willensbildung innerhalb der staatlichen Organe. Er soll verhindern, dass die Verwaltung durch eine verfrühte Bekanntgabe von Informationen während eines Entscheidungsprozesses unter zu starken Druck der Öffentlichkeit gerät und dadurch der interne Willensbildungsprozess beeinträchtigt wird (BVGE 2011/52 E. 6.3.1; Urteile des BVGer A-1432/2016 vom 5. April 2017 E. 8.4.1 A-6313/2015 vom 17. April 2016 E. 5.7.2; A-3122/2014 vom 24. November 2014 E. 4.2.1).

Im konkreten Fall ist weder ersichtlich noch dargetan, inwieweit der Zugang zu den streitigen Informationen die Willensbildung der Vorinstanz hinsichtlich eines Entscheidungsprozesses beeinträchtigen könnte. Die Anwendung dieser Ausnahmebestimmung fällt daher offensichtlich ausser Betracht.

5.4

5.4.1 Die Ausnahmebestimmung gemäss Art. 7 Abs. 1 b BGÖ (Beeinträchtigung der zielkonformen Durchführung konkreter behördlicher Massnahmen) schützt Informationen, die der Vorbereitung konkreter behördlicher Massnahmen dienen, und kann angerufen werden, wenn deren Ziel durch die Gewährung des Zugangs mit hoher Wahrscheinlichkeit nicht oder nicht vollumfänglich erreicht würde (BGE 144 II 77 E. 4.3). Geschützt sind insbesondere die Ermittlungen, die Inspektionen und die administrativen Überwachungen, mit denen sichergestellt werden soll, dass sich die Bürgerinnen und Bürger an das Gesetz halten (zum Ganzen Urteile des BVGer A-4571/2015 vom 10. August 2016 E. 6.1; A-700/2015 vom 26. Mai 2015 E. 5.1, A-683/2016 vom 20. Oktober 2016 E. 5.4.1). Die Ausnahmebestimmung kann aber auch in weniger offensichtlichen Fällen Anwendung finden, sofern aufgrund der Umstände mit hoher Wahrscheinlichkeit davon auszugehen ist, dass der Erfolg einer Massnahme durch Bekanntgabe von Informationen ganz oder teilweise vereitelt würde (vgl. Urteil des BVGer

A-683/2016 vom 20. Oktober 2016 E. 5.4.1 – 5.4.3). Nicht von der Bestimmung erfasst ist jedoch die allgemeine Aufgabenerfüllung oder Aufsichtstätigkeit einer Behörde insgesamt (vgl. BGE 144 II 77 E. 4.2 f.; Urteil des BVGer A-4571/2015 vom 10. August 2016 E. 6.1).

5.4.2 In Bezug auf die Aufgabe der Vorinstanz, private Personen in Fragen des Datenschutzes zu beraten (Art. 28 DSG), machen die Beschwerdeführerinnen geltend, Private würden sich nicht mehr freiwillig und vertrauensvoll an sie wenden, müssten sie damit rechnen, dass sämtliche Informationen an die Öffentlichkeit gelangten.

Wie dargelegt, liegt der aufgeschobene Zugang zu denjenigen Dokumenten, welche die Beratung der Beschwerdeführerinnen durch die Vorinstanz betreffen (Art. 28 DSG), im vorliegenden Verfahren nicht im Streit (E. 4.1), sondern bildet Gegenstand eines anderen Verfahrens. Auf die Rüge ist somit nicht näher einzugehen.

5.4.3 Ferner ist der Ausnahmetatbestand von Art. 7 Abs. 1 Bst. b BGÖ auf konkret definierte Massnahmen zugeschnitten. Anders als bei anderen Tatbeständen in Art. 7 Abs. 1 BGÖ wird der Zugang nicht bereits eingeschränkt, aufgeschoben oder verweigert, wenn eine Beeinträchtigung erfolgen "kann". Die Geheimhaltung der Informationen muss Bedingung bzw. den Schlüssel für den Erfolg der entsprechenden Massnahme bilden (vgl. BGE 144 II 77 E. 4.2 f.; Urteile des BVGer A-4571/2015 vom 10. August 2016 E. 6.1; A-700/2015 vom 26. Mai 2015 E. 5.1). Die Beschwerdeführerinnen befürchten dagegen in allzu abstrakter Weise eine Erschwerung der Aufgaben der Vorinstanz im Allgemeinen und vermuten dabei eine generelle Abnahme der Kooperationsbereitschaft Privater. Dagegen kann nicht davon ausgegangen werden, dass konkrete Massnahmen bzw. definierte Vorgehensweisen der Vorinstanz im Zusammenhang mit Sachverhaltsabklärungen (Art. 29 DSG) mit den vorliegend streitigen Informationen in unmittelbarem Zusammenhang stünden bzw. durch deren Offenlegung mit hoher Wahrscheinlichkeit vereitelt würden.

Nicht anders verhält es sich hinsichtlich des Einwands, wonach die Beschwerdeführerinnen die Informationsbeschaffung der Vorinstanz bei Abklärungen nach Art. 29 DSG – im Unterschied zu dieser selbst – als gefährdet erachten, da ihres Erachtens Private die Herausgabe von Informationen aufgrund der möglichen Veröffentlichung auf das Minimum reduzieren würden. Vielmehr stehen der Vorinstanz laut Datenschutzgesetz Informati- onsbeschaffungsrechte im Verfahren zu: Sie kann insbesondere Akten herausverlangen und Auskünfte einholen (Art. 29 Abs. 2 DSG). Private Personen, die vorsätzlich falsche Angaben machen oder die Mitwirkung verweigern, machen sich sodann strafbar (Art. 34 Abs. 2 Bst. b DSG). Wenn die Beschwerdeführerinnen die fehlenden unmittelbaren Zwangsbefugnisse der Vorinstanz zur Durchsetzung dieser Informationspflichten bemängeln (ähnlich NIGGLI/MÄDER, BSK DSG Art. 34 Rz. 72 ff.), ist dies eine Angelegenheit der Datenschutzgesetzgebung und kein Grund, die Ausnahmeregel des Art. 7 Abs. 1 Bst. b BGÖ extensiv auszulegen.

5.4.4 Der Ausnahmetatbestand nach Art. 7 Abs. 1 Bst. b BGÖ ist somit ebenfalls nicht erfüllt.

6. Zu prüfen ist weiter, ob Geschäftsgeheimnisse der Beschwerdeführerinnen in den verfügungsgemäss einsehbaren Stellen der von der Vorinstanz geschwärzten Dokumente enthalten sind, welche dem beantragten Zugang entgegenstehen (Art. 7 Abs. 1 Bst. g BGÖ).

6.1 Die Beschwerdeführerinnen machen geltend, die der Vorinstanz eingereichte Analyse der Risiken von Folgeschäden des gemeldeten Datenvorfalls vom 13. April 2018 bilde ein Geschäftsgeheimnis, da bei Offenlegung die Gefahr bestehe, dass sie Rückschlüsse auf das strategische Vorgehen und die Organisation der Beschwerdeführerinnen betreffend Hackerangriffe, Phishing, unerwünschte Werbung, Systemfehler und Datendiebstahl erlaube. Sie hätten ein erhebliches Interesse, interne Prozesse und Analysen bei Datendiebstählen zum Schutz ihrer Kunden geheim zu halten.

Weitere Dokumente würden sodann ausführliche Informationen zu zwei datensicherheitsrelevanten Zwischenfällen und somit Geschäftsgeheimnisse enthalten, insbesondere, weil der darin beschriebene, exakte zeitliche Ablauf und die konkreten Ursachen der Zwischenfälle nicht allgemein bekannt seien. Dem Gesuchsteller sei der Zugang zu den betroffenen Dokumenten gesamthaft zu verweigern.

6.2 Die Vorinstanz hält dem entgegen, soweit ein konkretes, ernsthaftes Schädigungspotential und damit ein objektives Geheimhaltungsinteresse erstellt sei, habe sie gemäss der angefochtenen Verfügung Schwärzungen in den Dokumenten vorgenommen. Darüber hinaus hätten die Beschwerdeführerinnen das objektive Geheimhaltungsinteresse nur unzureichend substantiiert und abstrakte Gefährdungsrisiken aufgezählt, die sich anhand der betroffenen Dokumente nicht konkretisieren liessen.

6.3

6.3.1 Art. 7 Abs. 1 Bst. g BGÖ sieht vor, dass der Zugang zu amtlichen Dokumenten u.a. dann eingeschränkt oder verweigert wird, wenn durch seine Gewährung Geschäftsgeheimnisse offenbart werden können. Von der Ausnahmeregelung werden nicht alle Geschäftsinformationen erfasst, über welche die Verwaltung verfügt. Dem Begriff des Geschäftsgeheimnisses werden insbesondere Informationen zugewiesen, die zu einer Beeinträchtigung des geschäftlichen Erfolgs des Unternehmens bzw. zu einer Verfälschung des Wettbewerbs und damit zu Wettbewerbsnachteilen des Unternehmens führen könnten, wenn sie Konkurrenzunternehmen bekannt würden. Insofern wird der Geheimnisbegriff weit verstanden (BGE 142 II 340 E. 3.2; BGE 144 II 91 E. 3.1; Urteile des BGer 1C_509/2016 vom 9. Februar 2017 E. 3.7; detailliert Urteile des BVGer A 3367/2017 vom 3. April 2018 E. 7.4 ff.; A-1751/2017 vom 1. Mai 2020 E. 8.2; A-6108/2016 vom 28. März 2018 E. 6.1.2). Als Geheimnis wird dabei eine Tatsache qualifiziert, die weder offenkundig noch allgemein zugänglich ist, an deren Geheimhaltung der Geheimnisherr ein berechtigtes Interesse hat und welche er geheim halten will. Ein pauschaler Verweis auf Geschäftsgeheimnisse genügt nicht. Der Geheimnisherr bzw. die zuständige Behörde hat konkret und im Detail aufzuzeigen, inwiefern eine Information geschützt ist (Urteile des BVGer A-6755/2016 vom 23. Oktober 2017 E. 6.4.4; A-1432/2016 vom 5. April 2017 E. 5.4). Ein abstraktes Gefährdungsrisiko reicht sodann nicht aus. Die Schädigung bzw. Beeinträchtigung der privaten Interessen hat gewichtig zu sein und darf nicht nur denkbar oder (entfernt) möglich erscheinen, sondern muss mit Wahrscheinlichkeit drohen (Urteil des BGer 1C_509/2016 vom 9. Februar 2017 E. 3.3; Urteile des BVGer A-1751/2017 vom 1. Mai 2020 E. 8.3; A-3367/2017 vom 3. April 2018 E. 7.4 m.H.).

6.3.2 Wie erwähnt ist seit der Medienmitteilung der Beschwerdeführerinnen öffentlich bekannt, dass sich Unbekannte im Herbst 2017 missbräuchlich Zugang zu Namen, Adressen, Telefonnummern und Geburtsdaten von Kunden der Beschwerdeführerinnen verschafft haben (Bst. A.a). Die Risikoanalyse im Schreiben der Beschwerdeführerinnen an die Vorinstanz vom 13. April 2018 enthält eine Aufzählung der möglichen Folgerisiken mit einer stichwortartigen Einschätzung der Eintretenswahrscheinlichkeit und des Schadenspotentials (Ziff. 3.1 – 3.11). Es handelt sich dabei um allgemeine Risiken, die generell als Folge der Entwendung von Daten durch

Handlungen Dritter entstehen können und insofern nicht mit dem Geschäftsmodell, der Organisation oder dem technischen System der Beschwerdeführerinnen zusammenhängen. Die kurz geschilderten Massnahmen zum Umgang mit den Risiken sind ebenfalls allgemein und einfach gehalten. Sie enthalten insbesondere keine in strategischer Hinsicht komplexen Inhalte oder aufschlussreiche Detailangaben zu technischen Vorkehren, welche Dritte zu einem erheblichen Vorteil nutzen bzw. mit welchen sie nicht ohnehin rechnen könnten. Die Angaben ermöglichen daher keine marktrelevanten Rückschlüsse auf das detaillierte Vorgehen oder die interne Organisation der Beschwerdeführerinnen im Zusammenhang mit Datenvorfällen. Es ist nicht ersichtlich oder konkret dargetan, inwieweit die Offenlegung nicht abgedeckter Passagen der Risikoanalyse, würden sie der Konkurrenz bekannt, den Beschwerdeführerinnen einen Wettbewerbsvorteil nehmen bzw. sich negativ auf den Geschäftserfolg auswirken könnte. Dass insofern eine ernsthafte Beeinträchtigung mit Wahrscheinlichkeit droht, lässt sich nicht festhalten. Somit ist nicht von Geschäftsgeheimnissen auszugehen.

6.3.3 Hinsichtlich der weiteren, streitigen Dokumente ist zunächst für die Schreiben der Vorinstanz an die Beschwerdeführerin 1 vom 13. Februar 2018 und vom 12. Juni 2019 offensichtlich, dass sie in der verfügungsgemäss geschwärzten Version keine Geschäftsgeheimnisse enthalten: Sie beinhalten grundsätzlich nur die Aufforderung zur Erteilung von Informationen und die Mitteilung des Verfahrensabschlusses, gehen aber – wie die E-Mails vom 12. und 13. März 2018 – nicht näher auf die datenschutzrelevanten Zwischenfälle ein, deren exakten zeitlichen Abläufe und Ursachen die Beschwerdeführerinnen geheim halten wollen.

6.3.4 Dabei handelt sich um zwei Fälle, die in der Stellungnahme der Beschwerdeführerinnen an die Vorinstanz vom 13. April 2018 beschrieben sind. Im Vordergrund steht der erste Fall, den u.a. auch die E-Mails der Beschwerdeführerin 1 an die Vorinstanz vom 10. und 12. Februar 2018 aus Anlass einer Medienanfrage thematisieren. Über diesen Fall wurde kurz danach in den Medien berichtet […]. Insoweit ist das Geschehen im Grundsatz bereits seit über zwei Jahren allgemein zugänglich und sind spürbare Marktverzerrungen etwa durch (zusätzliche) Reputationsverluste unwahrscheinlich. Der Sachverhalt des Falles ist in der für den Beschwerdegegner bestimmten Fassung zudem vollumfänglich abgedeckt. Insoweit werden keine exakten Sachverhaltselemente bzw. schützenswerte Abläufe offenbart, die nicht allgemein bekannt sind.

6.3.5 Mit Ausnahme der betroffenen Personen (Namen) nicht abgedeckt sind dagegen insbesondere die Ursachen der genannten Zwischenfälle und ausserdem der kurz zusammengefasste Hergang des zweiten Falls. In dieser Hinsicht befürchten die Beschwerdeführerinnen ebenfalls, dass durch eine Veröffentlichung Rückschlüsse auf […] möglich seien. Dies wiederum könne es Hackern und einzelnen Kunden erleichtern, sich Zugang zu schützenswerten Kundendaten zu verschaffen, weshalb durch Geheimhaltung ein Wettbewerbsnachteil verhindert werden könne.

Die Analyse der Ursachen führt die Bedingungen […] auf, welche im Verhältnis zwischen Unternehmen und Kunde kumulativ gegeben sein mussten, damit sich die betreffenden Zwischenfälle ereignen konnten. Sie sind zwar ihrer Art nach potentiell geeignet, Geschäftsgeheimnisse darzustellen. Wie aber aus den Dokumenten hervorgeht, gründen die ursächlichen Bedingungen der genannten Einzelfälle in zeitlich zurückliegenden, nicht mehr praktizierten Abwicklungen […] und können heute aufgrund der veränderten (technischen) Verhältnisse sowie der getroffenen Massnahmen […] nicht mehr auftreten. Die Vorinstanz hat den Abschluss der Sachverhaltsabklärung nach Art. 29 DSG denn auch u.a. damit begründet, dass die aufgetretenen Fälle auf inzwischen behobene technische Begebenheiten zurückzuführen seien und die Beschwerdeführerinnen Massnahmen zu deren Vermeidung getroffen hätten. Unter diesen Umständen kann nicht mit den Beschwerdeführerinnen davon ausgegangen werden, dass die Kenntnis der einsehbaren Textstellen gewissen Akteuren den Zugang zu Kundendaten heute noch und künftig erleichtern könnte. Es ist dadurch keine erhebliche Schädigung bzw. kein ernsthafter Wettbewerbsnachteil wahrscheinlich, etwa durch gewichtige Kundenabgänge, was jedoch, wie dargelegt, praxisgemäss Voraussetzung dafür ist, dass der Tatbestand nach Art. 7 Abs. Bst. g BGÖ erfüllt ist (vorne, E. 6.3.1).

6.4 Im Ergebnis ist mit der Vorinstanz festzuhalten, dass nicht konkret aufgezeigt ist, inwieweit die betroffenen Informationen vom Geschäftsgeheimnis geschützt sind. Mithin ist nicht zu beanstanden, dass sie das Vorliegen eines Ausnahmegrundes nach Art. 7 Abs. 1 lit. g BGÖ verneint hat.

7. Ferner stützen sich die Beschwerdeführerinnen auf die Ausnahmeregelung nach Art. 7 Abs. 1 Bst. h BGÖ. Sie setzt voraus, dass durch Gewährung des Zugangs Informationen vermittelt werden können, die der Behörde von Dritten freiwillig mitgeteilt worden sind und deren Geheimhaltung die Behörde zugesichert hat.

7.1 Diese Bestimmung findet Anwendung, wenn folgende drei Anforderungen kumulativ erfüllt sind: Zunächst müssen die Informationen von einer Privatperson, nicht aber von einer Behörde mitgeteilt worden sein. Sodann müssen die betreffenden Informationen von sich aus, das heisst nicht im Rahmen einer gesetzlichen oder vertraglichen Verpflichtung abgegeben worden sein. Schliesslich muss die Verwaltung die Zusicherung der Vertraulichkeit auf ausdrückliches Verlangen des Informanten hin erteilt haben (Urteile des BVGer A-3367/2017 vom 3. April 2018 E. 6.1; A-6755/2016 vom 23. Oktober 2017 E. 7.3; BVGE 2011/52 E. 6.3.3).

7.2 Nach Auffassung der Beschwerdeführerinnen ist die E-Mail-Korrespondenz vom 9. und 12. Februar 2018 (mit Mail-Verlauf) zwischen ihnen und der Vorinstanz vom Zugang auszunehmen, weil sie freiwillig erfolgt sei. Nach Ansicht der Vorinstanz haben die Beschwerdeführerinnen dagegen im Rahmen ihrer gesetzlichen Pflichten gehandelt.

7.3 Die Vorinstanz teilte ihnen am 9. Februar 2018 die Eröffnung der Sachverhaltsabklärung nach Art. 29 DSG mit, welche sie mit Schreiben vom 13. Februar 2018 bestätigte. Mit Eröffnung des Verfahrens gelten die erwähnten Informationsbeschaffungsrechte der Vorinstanz (Art. 29 Abs. 2 DSG), wobei die Verweigerung der Mitwirkung und Erteilung falscher Auskünfte unter Strafe steht (Art. 34 Abs. 2 Bst. b DSG; vgl. HUBER, BSK DSG Art. 29 N 20 f.; ROSENTHAL/JÖHRI, Handkommentar zum Datenschutzgesetz, 2008, Art. 29 N 14 f.). Die Vorinstanz hat bereits mit Mitteilung der Verfahrenseröffnung im E-Mail vom 9. Februar 2018 auf Art. 29 Abs. 2 DSG hingewiesen und eine zeitnahe Aufforderung, alle sachdienlichen Detailinformationen einzureichen, angekündigt. Am 12. Februar 2018 teilte sie den Beschwerdeführerinnen zudem mit, sie werde aus Anlass einer Medienanfrage auf ihrer Webseite u.a. darüber informieren, dass sie die Beschwerdeführerinnen am 9. Februar 2018 in Anwendung von Art. 29 Abs. 2 DSG aufgefordert habe, zum Ereignis Stellung zu nehmen. Gleichentags (am 12. Februar 2018) nahm die Vorinstanz die entsprechende Veröffentlichung vor.

Wenngleich die Beschwerdeführerinnen am 12. Februar 2018 und zuvor am 10. Februar 2018 entsprechende Auskünfte bereits erteilt haben, bevor die Vorinstanz am 13. Februar 2018 konkrete Informationen verlangt hat, fehlt es unter diesen Umständen am Element der Freiwilligkeit. Die Informationen erfolgten ab dem 9. Februar 2018 vielmehr unter dem Eindruck des Verfahrens nach Art. 29 DSG und den gesetzlichen Regeln zur Mitwirkung bei der Sachverhaltsabklärung (Art. 29 Abs. 2 DSG). Die Auffassung der Beschwerdeführerinnen, sie hätten vom 9. Februar bis zur Aufforderung vom 13. Februar 2018 noch freiwillig Informationen offenlegen können, um eine Sachverhaltsermittlung mit Mitwirkungspflichten abzuwenden, vermag deshalb nicht zu überzeugen. In Bezug auf das E-Mail der Vorinstanz vom 9. Februar 2018 (Mitteilung der Verfahrenseröffnung) ist zudem nicht ersichtlich, inwieweit es konkrete, seitens der Beschwerdeführerinnen mitgeteilte Angaben enthalten sollte.

7.4 Da es demnach an einer freiwilligen Mitteilung der betroffenen Informationen fehlt, sind diese nicht gestützt auf Art. 7 Abs. 1 Bst. h BGÖ vom Zugang auszunehmen. Es erübrigt sich daher weiter zu prüfen, ob die Vorinstanz, wie die Beschwerdeführerinnen vorbringen, zu Beginn des Informationsaustausches am 22. Dezember 2017 die Geheimhaltung von Informationen zugesichert habe. Nicht zu beurteilen ist die Anwendung der Ausnahmeregelung zudem wiederum hinsichtlich der die Beratung nach Art. 28 DSG betreffenden Dokumente (E. 4.1).

8. Weiter berufen sich die Beschwerdeführerinnen auf den Schutz ihrer Privat- und Geheimsphäre nach Art. 7 Abs. 2 BGÖ sowie Art. 9 Abs. 2 BGÖ

8.1 Ist der Zugang zu amtlichen Dokumenten nicht bereits aufgrund eines Spezialtatbestandes von Art. 7 Abs. 1 BGÖ einzuschränken, aufzuschieben oder zu verweigern, hat die ersuchte Behörde dies zu tun, wenn durch seine Gewährung die Privatsphäre Dritter beeinträchtigt werden kann; ausnahmsweise kann jedoch das öffentliche Interesse am Zugang überwiegen (Art. 7 Abs. 2 BGÖ; vgl. Urteil des BVGer A-3829/2015 vom 26. November 2015 E. 8.1). Zudem sind amtliche Dokumente, die Personendaten enthalten, nach Möglichkeit vor der Einsichtnahme zu anonymisieren (Art. 9 Abs. 1 BGÖ; zum Begriff der Persondaten: Urteil des BVGer A-3367/2017 vom 3. April 2018 E. 5.2.1 mit Hinweisen). Zugangsgesuche, die sich auf amtliche Dokumente beziehen, die nicht anonymisiert werden können – was vorliegend im nicht abgedeckten Umfang unstreitig der Fall ist (Verfügung, Rz. 2.6, Beschwerde, Rz. 47) – sind nach Art. 19 DSG (Bekanntgabe von Personendaten) zu beurteilen (Art. 9 BGÖ; BGE 142 II 340 E. 4.1). Nach Art. 19 Abs. 1bis DSG dürfen Bundesorgane im Rahmen der behördlichen Information der Öffentlichkeit von Amtes wegen oder gestützt auf das Öffentlichkeitsgesetz vom 17. Dezember 2004 Personendaten bekannt geben, wenn die betreffenden Personendaten im Zusammenhang mit der Erfüllung öffentlicher Aufgaben stehen (Bst. a) und an deren Bekanntgabe ein überwiegendes öffentliches Interesse besteht (Bst. b).

8.2 Soweit die Beschwerdeführerinnen vorab unter Verweis auf die Lehre vorbringen, das Verhältnis von Art. 7 Abs. 2 BGÖ einerseits und Art. 9 Abs. 2 BGÖ i.V.m. Art. 19 Abs. 1bis DSG andererseits sei umstritten und die Gerichtspraxis dürfe einer Auseinandersetzung mit den konkurrierenden Norminteressen nicht länger ausweichen (Beschwerde, Rz. 48 ff.), kann auf die bundesgerichtliche Rechtsprechung verwiesen werden: Über das Verhältnis der genannten Normen können danach zwar unterschiedliche Auffassungen vertreten werden; letztlich ist allerdings massgeblich, dass gestützt auf beide Bestimmungen eine Abwägung vorzunehmen ist zwischen dem öffentlichen Interesse am Zugang zu amtlichen Dokumenten und dem Schutz der Privatsphäre bzw. der informationellen Selbstbestimmung jener Personen, deren Daten im Dokument enthalten sind und zugänglich gemacht werden sollen (BGE 144 II 91 E. 4.5; BGE 142 II 340 E. 4.3; detailliert Urteil 1C_74/2015 vom 2. Dezember 2015 E. 4.1.1 m.H.).

8.3 Bei dieser Abwägung steht auf der einen Seite das öffentliche Interesse an der Öffentlichkeit der Verwaltung im Sinne der genannten Zielsetzungen des BGÖ im Vordergrund (Interesse am Zugang; vorne, E. 4.2). Weitere Kriterien für besondere Informationsinteressen der Öffentlichkeit finden sich in Art. 6 Abs. 2 VBGÖ (zum Ganzen BGE 142 II 340 E. 4.5; Urteil des BGer 1C_74/2015 vom 2. Dezember 2015 E. 4.1.4). So kann das öffentliche Interesse überwiegen, wenn der Zugang einem besonderen Informationsinteresse der Öffentlichkeit dient, insbesondere aufgrund wichtiger Vorkommnisse (Bst. a), oder wenn die Person, deren Privatsphäre beeinträchtigt werden könnte, zu einer dem BGÖ unterstehenden Behörde in einer rechtlichen oder faktischen Beziehung steht, aus der ihr bedeutende Vorteile erwachsen (Bst. c). Bei der Gewichtung der privaten Interessen auf der anderen Seite sind insbesondere die Rolle bzw. Stellung der betroffenen Person, die Auswirkungen einer Bekanntgabe für sie und die Art der Daten zu berücksichtigen (vgl. BGE 142 II 340 E. 4.4; Urteile des BVGer A-6108/2016 vom 28. März 2018 E. 7.2; A‑6755/2016 vom 23. Oktober 2017 E. 8.5; A‑4571/2015 vom 10. August 2016 E. 7.2.1).

Der Standpunkt der Beschwerdeführerinnen, die Ausnahmebestimmungen des BGÖ seien verfassungskonform, insbesondere im Lichte der Grundrechte auf Datenschutz (Art. 13 BV) sowie der Wirtschaftsfreiheit (Art. 27 BV) und damit zu ihren Gunsten auszulegen, erweist sich dabei als zu einseitig. Im Rahmen der nach Art. 19 Abs. 1bis DSG (bzw. Art. 7 Abs. 2 BGÖ) vorzunehmenden Güterabwägung ist nach bundesgerichtlicher Rechtsprechung eine praktische Konkordanz zwischen der Informations- und Medienfreiheit (Art. 16 und Art. 17 BV), auf welche sich der Beschwerdegegner beruft und zu deren Verwirklichung das Transparenzgebot beiträgt (BGE 142 II 313 E. 3.1; Urteil 1C_50/2015 vom 2. Dezember 2015 E. 2.2), und dem Recht auf Achtung der Privatsphäre bzw. auf informationelle Selbstbestimmung (Art. 13 BV, Art. 8 EMRK) herzustellen (BGE 144 II 77 E. 5.7; vgl. Urteile des BGer 1C_74/2015 vom 2. Dezember 2015 E. 4.1.2;1C_50/2015 vom 2. Dezember 2015 E. 6.1).

8.4

8.4.1 Die Vorinstanz gelangt in dieser Hinsicht zum Schluss, der Zugang diene im verfügten Umfang einem besonderen Informationsinteresse der Öffentlichkeit, da die Anzahl der vom Datenvorfall betroffenen Personen hoch und in den Medien breit über den Fall berichtet worden sei. Es handle sich um ein wichtiges Vorkommnis, weshalb die Dokumentation der gesetzlichen Aufsichtstätigkeit zu den möglichen Folgeschäden der Öffentlichkeit zugänglich sein müsse. Des Weiteren führe die Rolle des Bundes als Mehrheitsaktionär, seine Möglichkeiten der Einflussnahme auf die Willensbildung des Unternehmens und der Umstand, dass die Beschwerdeführerinnen in konzessionierten Bereichen tätig seien, zu einer Staatsnähe, die den Schutz ihrer personenbezogenen Daten hinter die öffentlichen Interessen zurücktreten liessen.

8.4.2 Die Beschwerdeführerinnen führen demgegenüber an, sie hätten eine besonders hohe Zahl an Kunden und ihre Geschäftstätigkeit basiere auf elektronischen Daten. Im Falle von Datenpannen, welche vor diesem Hintergrund nicht vollständig vermeidbar seien, wollten und müssten sie mit der Vorinstanz in Kontakt treten. Sie müssten dabei aber auf die Achtung ihrer Persönlichkeit bzw. ihrer Geheimsphäre vertrauen können. Lege man die streitigen Informationen offen, was einen unverantwortlichen Eingriff in ihre Sphäre darstelle, sei künftig keine vertrauensvolle und proaktive Zusammenarbeit mehr möglich. Zudem stehe sie im öffentlichen und medialen Fokus, weshalb sie im Falle des Zugangs Reputationsrisiken erleide. Bereits die Tatsache, dass sie mit der Vorinstanz im Zusammenhang mit dem Datenvorfall korrespondiert hätten, sei heikel und greife in ihre Privat- und Geheimsphäre ein, da die Medien dies aufgreifen und breitschlagen könnten. Die Mehrheitsbeteiligung des Bundes und ihre Konzession im Fernmeldebereich begründeten zudem kein öffentliches Interesse und keine Legitimation, sie anders als Konkurrenzunternehmen zu behandeln.

8.4.3 Der Beschwerdegegner hält dem entgegen, es bestehe gerade aufgrund der hohen Kundenzahl und der geschäftlichen Tätigkeit mit elektronischen Daten ein äusserst grosses und legitimes öffentliches Interesse am Zugang zu Informationen über den Datendiebstahl. Zudem seien Datensicherheitsprobleme eines der wichtigsten Themen unserer Zeit und die Öffentlichkeit habe ein Interesse daran, konkrete Anwendungsfälle fundiert zu verstehen. Die Medien hätten die Aufgabe, entsprechende Berichte zu publizieren. Auch im vorliegenden Fall sei die Öffentlichkeit für die entsprechenden Gefahren zu sensibilisieren.

8.5

8.5.1 Im Vordergrund steht vorliegend das öffentliche Interesse an der Öffentlichkeit der Verwaltung. Nach Art. 29 DSG klärt die Vorinstanz einen Sachverhalt von sich aus oder auf Meldung Dritter näher ab, wenn Bearbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (sog. Systemfehler: Abs. 1 Bst. a DSG). Dazu bestand auch im vorliegend vom Zugangsgesuch betroffenen Verfahren Anlass. Vom Datenvorfall betroffen waren gemäss Medienmitteilung der Beschwerdeführerinnen vom 7. Februar 2018 die Kontaktangaben von rund […] Kunden. Zielt das Öffentlichkeitsgesetz wie besehen auf die Transparenz der Tätigkeit von Verwaltungseinheiten, das Vertrauen der Bevölkerung in die öffentlichen Institutionen und die demokratische Mitwirkung am politischen Prozess ab (BGE 142 II 340 E. 4.5), besteht offensichtlich ein gewichtiges öffentliches Interesse am Einblick in die Tätigkeit der Vorinstanz und ihr Vorgehen bei datenschutzrelevanten Ermittlungen mit entsprechender Tragweite. Dafür spricht überdies, dass die politische und gesellschaftliche Bedeutung des Datenschutzes und der Datensicherheit im digitalen Bereich zunimmt und das Datenschutzgesetz sich in Totalrevision befindet (zum Stand der Beratung: www.parlament.ch > Ratsbetrieb > Curia Vista: Geschäft Nr. 17.059).

8.5.2 Hinzu kommt, dass der Bund zur Mehrheit an der Beschwerdeführerin 1 beteiligt ist, sie mithin eine gewisse Staatsnähe aufweist, was ein erhöhtes Interesse der Öffentlichkeit an der Offenlegung der umstrittenen Informationen zu begründen vermag (BGE 144 II 77 E. 5.10).

Zudem verfügt die Beschwerdeführerin 2 über eine Grundkonzession des Bundes nach Art. 14 ff. des Fernmeldegesetzes vom 30. April 1997 (FMG; SR 784.10; Konzession abrufbar unter: www.admin.ch > Telekommunikation > Grundversorgung – besucht am 3. Juni 2020), welche entgegen der

Beschwerdeführerinnen nicht ausschliesslich Pflichten, sondern auch das Recht auf finanzielle Abgeltung im Rahmen von Art. 19 FMG und Ziff. 2.2. der Konzession beinhaltet und ihnen Vorteile bringt (vgl. Art. 6 Abs. 2 VBGÖ; BGE 144 II 77 E. 5.10). Sie fällt bei der Abwägung insofern reduziert ins Gewicht, als vorliegend nicht Informationen betreffend das Konzessionsverhältnis zum Bund offenzulegen sind (vgl. Erläuterungen VBGÖ, S 7 f.), sondern die Datenvorfälle in erster Linie Mobilfunkkunden betreffen (Medienmitteilung vom 7. Februar 2018).

8.5.3 Die Vorbringen und privaten Interessen der Beschwerdeführerinnen auf der anderen Seite sind vorab dadurch zu relativieren, als sie in der Medienmitteilung vom 7. Februar 2018 (Bst. A.a) die Öffentlichkeit selbst darüber informiert haben, den Datenvorfall der Vorinstanz (EDÖB) zur Kenntnis gebracht zu haben. Die Vorinstanz hat am 12. Februar 2018 zudem auf ihrer Webseite allgemein zugänglich auf das Verfahren nach Art. 29 DSG hingewiesen (vorne, E. 7.3). Der Beschwerdegegner hat sein Gesuch explizit zum «Schriftwechsel zwischen der Swisscom und dem EDÖB» gestellt. Wenn die Beschwerdeführerinnen die Tatsache geheim halten wollen, dass Korrespondenz mit der Vorinstanz erfolgte, kommt dem privaten Interesse insoweit kein Gewicht mehr zu.

8.5.4 Des Weiteren ist aus Sicht der Beschwerdeführerinnen zwar nachvollziehbar, dass sie eine vertrauliche Zusammenarbeit mit der Vorinstanz bei weitreichenden Datenvorfällen anstreben. Aus diesem allgemeinen Interesse ergibt sich aber nicht, ob und in welchem Mass ihre Privatsphäre im einzelnen Fall durch konkrete Dokumente tangiert ist und demzufolge nach Massgabe des Öffentlichkeitsgesetzes vom Zugang abzusehen ist (Art. 7 Abs. 2 BGÖ Art. 19 Abs. 1bis DSG). Vielmehr geht dieses Anliegen über das konkrete Verfahren hinaus und betrifft die Frage, ob es sinnvoll ist, Verfahren nach Art. 29 DSG überhaupt dem Zugang nach Öffentlichkeitsgesetz zu unterstellen. Wenn die Beschwerdeführerinnen zugleich kritisieren, der Gesetzgeber habe die Vorinstanz zu Unrecht nicht vom Geltungsbereich des BGÖ ausgeschlossen, haben sie zu Recht erkannt, dass es in dessen Kompetenz läge, das Verfahren allenfalls vom Öffentlichkeitsgesetz auszunehmen (vgl. Art. 2 und 3 BGÖ).

8.5.5 Zu gewichten sind indessen die privaten Reputationsrisiken, welche die Beschwerdeführerinnen als Folge des konkreten Zugangs befürchten, da sie im medialen Fokus stehen. In dieser Hinsicht ist jedoch zum einen zu berücksichtigen, dass die Medien im Nachgang zur Medienmitteilung vom 7. Februar 2018 bereits breit über den öffentlich kommunizierten Datenvorfall insgesamt berichtet haben. Zum andern betreiben die Beschwerdeführerinnen ein allgemein in der Öffentlichkeit stehendes Unternehmen. In Bezug auf solche geht das Bundesgericht tendenziell davon aus, dass eine kritische oder negative Berichterstattung kein gewichtiges privates Geheimhaltungsinteresse begründet, sondern es um bloss unangenehme Konsequenzen geht, die als öffentlich exponiertes Unternehmen in einer rechtsstaatlichen Demokratie hinzunehmen sind (BGE 144 II 91 E. 4.8). Kurzfristig unangenehme Folgen in Form einer vorübergehend allenfalls höheren Medienpräsenz reichen in solchen Konstellationen für die Verweigerung des Zugangs nicht aus (vgl. Urteil des BVGer A-6108/2016 vom 28. März 2018 E. 7.4).

Hinsichtlich der Risikoanalyse vom 13. April 2018 erscheint die Gefahr von Reputationsverlusten zudem insofern gering, als sie keine effektiv eingetretenen Folgeschäden der bereits öffentlich bekannten Datenentwendung, sondern lediglich allgemeine (unabhängig vom Zugang mögliche) Folgerisiken und ebensolche Massnahmen beschreibt. Als Verfahrensergebnis geht – zum Vorteil der Beschwerdeführerinnen – hervor, dass keine Anzeichen für Folgeschäden bestünden und die Beschwerdeführerinnen Massnahmen zu deren Vermeidung getroffen hätten, weshalb kein Anlass für weitere Ermittlungen bestehe. Insoweit sind durch Bekanntwerden des Inhalts der Risikoanalyse keine (zusätzlichen) erheblichen Reputationsverluste ernsthaft zu befürchten. Umgekehrt ist nicht auszuschliessen, dass eine allfällige Information über allgemeine Folgerisiken von Datenentwendungen Teile der Bevölkerung betreffend Datensicherheit sensibilisieren und diese dadurch gestärkt werden könnte.

8.5.6 Hinsichtlich der zwei in den Dokumenten einzeln erwähnten «Zwischenfälle» (siehe E. 6.3.4 f.) bringen die Beschwerdeführerinnen zutreffend vor, dass sie nicht mit dem öffentlich gemachten Datenvorfall (Datenentwendung) zusammenhängen, d.h. nicht durch diesen verursacht wurden. Dennoch besteht auch hinsichtlich dieser Passagen ein öffentliches Interesse an der Information der Öffentlichkeit über die datenschutzrelevante Tätigkeit der Vorinstanz und den Bereich der Datensicherheit, zumal die Meldung eines der beiden Zwischenfälle durch einen Journalisten die Eröffnung der Sachverhaltsabklärung der Vorinstanz mitveranlasst hat und erst diese ergeben hat, dass es sich um keinen Folgeschaden der Datenentwendung handelte. Wenn das öffentliche Interesse hieran nicht gleich hoch erscheint wie dasjenige an Informationen zur Datenentwendung mit grossem Betroffenenkreis, so fällt auf der anderen Seite auch das private

Interesse an der Geheimhaltung dieser Einzelfälle geringfügiger aus: Wiederum ist darauf hinzuweisen, dass über einen der beiden Fälle in seinen Grundzügen schon vor über zwei Jahren in den Medien öffentlich berichtet wurde (E. 6.3.4). Über den zweiten, bereits im Jahr 2006 verursachten Fall informierten die Beschwerdeführerinnen die Vorinstanz zudem aufgrund seiner Ähnlichkeit zum ersten, medial aufgegriffenen Vorgang. Wie ausgeführt, beruhen diese Vorfälle auf vergangenen (technischen) Umständen bzw. Abläufen und könnten sich heute nicht mehr ereignen (E. 6.3.5). Die streitigen Angaben vermitteln somit nicht den Eindruck einer noch aktuellen Gefahr und Häufung von gewichtigen Datenvorfällen, welche Kunden breitflächig verunsichern könnten. Aus demselben Grund würden durch ihre Offenlegung auch keine ernsthaften Sicherheitsrisiken geschaffen. Ebenso wenig erwecken die streitigen Passagen den Eindruck, dass die Datensicherheit von den Beschwerdeführerinnen nicht ernst genommen würde, sondern zeigen gerade, dass geeignete Massnahmen ergriffen werden bzw. wurden.

8.6 Die Abwägung ergibt somit zusammenfassend, dass die privaten Interessen der Beschwerdeführerinnen das durch das Öffentlichkeitsprinzip statuierte Transparenzinteresse nicht überwiegen. Somit sind keine Ausnahmegründe gegeben, gestützt auf welche der verfügte Zugang weiter einzuschränken wäre.

8.7 Zu Recht hat die Vorinstanz die Einsicht demnach nicht vollständig verweigert, sondern den Umständen und Interessen entsprechend eingeschränkt, indem sie die Dokumente, deren Offenlegung geeignet ist, dem öffentlichen Interesse an der Transparenz der Verwaltung Nachachtung zu verschaffen, im erforderlichen Umfang abgedeckt hat. Die Herausgabe der streitigen Daten erscheint zumutbar, da die Persönlichkeitsrechte der Beschwerdeführerinnen nach dem Ausgeführten nicht über Gebühr eingeschränkt werden und die Offenlegung im Sinne der vorstehenden Abwägung nicht mit ihren Grundrechten in Konflikt gerät.

9. Schliesslich rügen die Beschwerdeführerinnen, die Vorinstanz habe dem Beschwerdegegner ohne gesetzliche Grundlage Zugang über dessen Gesuch hinaus gewährt, statt ihn nach Art. 7 Abs. 3 VBGÖ zur Präzisierung des nach Art. 10 Abs. 3 BGÖ zu ungenau formulierten Gesuchs aufzufordern. Sie wolle Dokumente offenlegen, welche nicht im Zusammenhang mit dem Datendiebstahl stünden.

Der Beschwerdegegner hat bezugnehmend auf einen konkreten Sachbereich (das öffentlich bekannte Datenleck) um Zugang explizit zum «Schriftwechsel zwischen der Swisscom und dem EDÖB» ersucht. Bei den streitbetroffenen Dokumenten handelt es sich offensichtlich um Schreiben und E-Mails («Schriftwechsel») zwischen den Beteiligten, welche aus Anlass des genannten Datenvorfalls und mit ihm zusammenhängend erfolgten. Zwar hat sich im Verfahren wie ausgeführt herausgestellt, dass in den Dokumenten genannte Sachverhalte (Zwischenfälle) nicht Folge dieser Datenentwendung waren. Diese Abklärung und die Frage, ob es sich um mögliche Folgeschäden handelte, war jedoch gerade Gegenstand der aufgrund des Datenvorfalls durchgeführten Sachverhaltsermittlung (Art. 29 DSG), u.a. weil in den Medien unmittelbar im Nachgang zur Medienmitteilung der Beschwerdeführerinnen vom 7. Februar 2018 über einen der Zwischenfälle berichtet wurde und daher ein Zusammenhang, insbesondere aus Sicht der Medienschaffenden, denkbar war (E. 6.3.4). Der Beschwerdegegner hat sein Gesuch hinsichtlich des verlangten «Schriftwechsels» nicht eingeschränkt. Angesichts dessen ist nicht zu beanstanden, dass die Vorinstanz das Zugangsgesuch nicht restriktiv nur auf Teile des «Schriftwechsels» bezogen hat.

10. Da der Zugang somit nicht über die angefochtene Verfügung hinaus einzuschränken ist, sind die Eventualbegehren der Beschwerdeführerinnen ebenfalls abzuweisen. Damit erübrigt sich das Einräumen einer Frist zur Bezeichnung zu schwärzender Informationen, um welche die Beschwerdeführerinnen für den Fall der Gutheissung ihres Sub-subeventualbegehrens ersuchen (prozessualer Antrag Nr. 3).

11.

11.1 Zusammenfassend erweist sich die Beschwerde als unbegründet, weshalb sie abzuweisen ist.

11.2 Der prozessuale Antrag Nr. 2 der Beschwerdeführerin, einen selbständig anfechtbaren Entscheid über das Hauptbegehren zu fällen, wird damit gegenstandslos.

12.

12.1 Dem Verfahrensausgang entsprechend gelten die Beschwerdeführerinnen als unterliegend und haben die Verfahrenskosten zu tragen (Art. 63 Abs. 1 VwVG). Sie sind vorliegend auf insgesamt Fr. 3'000.– festzusetzen

(Art. 1 ff. des Reglements vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht [VGKE, SR 173.320.2]). Der in gleicher Höhe einbezahlte Kostenvorschuss wird zur Bezahlung der Verfahrenskosten verwendet.

12.2 Den Beschwerdeführerinnen steht als unterliegenden Parteien keine Parteientschädigung zu (Art. 64 Abs. 1 VwVG; Art. 7 Abs. 1 VGKE). Ebenso wenig hat die obsiegende Vorinstanz einen Anspruch auf eine Entschädigung (vgl. Art. 7 Abs. 3 VGKE).

Des Weiteren ist davon abzusehen, dem nicht anwaltlich vertretenen Beschwerdeführer eine Parteientschädigung zuzusprechen. Es ist weder davon auszugehen, dass ihm massgebende Kosten erwachsen sind (Art. 64 Abs. 1 VwVG) noch hat er solche geltend gemacht.

(Das Dispositiv befindet sich auf der nächsten Seite.)