Schlussbericht vom 1. Juni 2015 betreffend E-Finance von Postfinance

5.6.2 Beurteilung der inhaltlichen Verhältnismässigkeit bei E-Cockpit aus Sicht des EDÖB 15

5.6.3 Beurteilung der inhaltlichen Verhältnismässigkeit bei Bicicletta aus Sicht des EDÖB . 16

5.6.5 Beurteilung der zeitlichen Verhältnismässigkeit von E-Cockpit aus Sicht des EDÖB .. 17

5.6.6 Beurteilung der zeitlichen Verhältnismässigkeit von Bicicletta aus Sicht des EDÖB ... 17

7.1 Bezüglich der Kontrolle im Zusammenhang mit E-Cockpit und Bicicletta von PostFinance 35

1. Ausgangslage

Im Zusammenhang mit dem Vorhaben von PostFinance zu einem neuen Release ihrer E-Banking- Plattform E-Finance (Release 14C) wurde der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) erstmals anfangs 2014 von PostFinance kontaktiert, und im Anschluss fand eine erste Sitzung statt. Der EDÖB hat daraufhin eine Stellungnahme verfasst, in der er im Rahmen seiner Beratungstätigkeit eine datenschutzrechtliche Beurteilung vorgenommen hat. Auf Begehren von PostFinance fand Ende März 2014 eine nächste Sitzung statt, in der weitere Informationen zum Release 14C bekannt wurden. Der EDÖB hat daraufhin eine zweite, ausführliche Stellungnahme zuhanden von PostFinance verfasst, ohne einen Gegenbericht zu erhalten.

Ab August 2014 ist PostFinance dazu übergegangen, ihre Kunden auf einer Zwischenseite nach dem Log-In in E-Finance über die Einführung der überarbeiteten Plattform und die damit verbundenen neuen Teilnahmebedingungen (TNB) zu E-Finance zu informieren. Die Kunden wurden aufgefordert, die neuen TNB zu akzeptieren, damit sie zukünftig E-Finance noch nutzen können. Aufgrund zahlreicher Bürgermeldungen hat sich der EDÖB am 21. August 2014 entschlossen, im Rahmen einer Sachverhaltsabklärung im Sinne von Art. 29 des Bundesgesetzes über den Datenschutz (DSG; SR 235.1) die Umsetzung von E-Cockpit und den Werbeangeboten von Dritten (Bicicletta) zu prüfen und anschliessend in einem Bericht seine datenschutzrechtliche Beurteilung zu verfassen.

Am 22. September 2014 gelangte der EDÖB schriftlich an PostFinance und verlangte von ihr, dass sie ihren Kunden nach dem 12. Oktober 2014, ungeachtet davon, ob diese die neuen TNB akzeptiert haben, weiterhin Zugang zu E-Finance gewährt, mindestens solange die Abklärungen des EDÖB laufen. Ansonsten er einen Antrag auf vorsorgliche Massnahmen prüfen müsse. Es kam in der Folge zu Gesprächen, in deren Rahmen PostFinance sich u.a. bereiterklärte, den bisherigen Kunden eine Option zum Abmelden von Bicicletta bereits auf der Zwischenseite nach dem Log-In anzubieten. Auf die Beantragung vorsorglicher Massnahmen wurde verzichtet.

In weiteren Sitzungen mit PostFinance wurde anfangs April 2015 erreicht, dass PostFinance sich dazu bereit erklärt hat, im Sinne von Verbesserungsvorschlägen des EDÖB zwei wesentliche Änderungen umzusetzen: Einerseits wird bei E-Cockpit die Möglichkeit implementiert werden, dass die Kunden E- Cockpit deaktivieren können, mit der Folge, dass die kategorisierten Daten gelöscht werden. Andererseits wird bei denjenigen Kunden, welche den neuen TNB E-Finance ohne unmittelbare Wahlmöglichkeiten bezüglich Bicicletta zugestimmt haben, die Einwilligung nochmals eingeholt. In den Ausführungen in Ziff. 6 dieses Schlussberichtes wird auf diese Verbesserungen, wo nötig, eingegangen.

Der vorliegende Schlussbericht umfasst die rechtliche Würdigung des Sachverhaltes, welcher auf der bereinigten Sachverhaltsfeststellung vom 11. März 2015 basiert.

2. Umfang der Kontrolle

Die Datenschutzkontrolle bezog sich auf die Datenabläufe im Zusammenhang mit E-Cockpit und Bicicletta, soweit diese Funktionen bis zur bereinigten Sachverhaltsfeststellung vom 11. März 2015 bekannt waren. Insbesondere ist Bicicletta noch nicht in Betrieb und vollständig definiert. Bezüglich der Frage der Datensicherheit beschränkt sich der Bericht auf die grundsätzliche Umsetzung des DSG, da eine praktische Risikoanalyse nicht Bestandteil dieser Untersuchung ist. Weitere Applikationen im Zusammenhang mit E-Finance (z.B. „Apps“ und Mobile Payment) bilden keinen Gegenstand dieser Sachverhaltsabklärung.

3. Chronologie der Kontrolle

21. August 2014 Ankündigung Sachverhaltsabklärung mit Fragenkatalog und Bitte um Dokumentationen 19. September 2014 Eingang der Dokumentationen und Beantwortung der Fragen durch PostFinance 15. Oktober 2014 Augenschein in Zofingen inkl. Demonstration und Beantwortung offener Fragen 10. November 2014 Ergänzungsfragen sowie Einfordern zusätzlicher Unterlagen durch EDÖB 8. Dezember 2014 Beantwortung Ergänzungsfragen vom 10. November 2014 durch PostFinance mit Zusendung weiterer Unterlagen 7. Januar 2015 Zustellung der Sachverhaltsfeststellung des EDÖB an PostFinance zur Stellungnahme 25. Februar 2015 Sitzung mit PostFinance zur Bereinigung der Sachverhaltsfeststellung vom 7. Januar 2015 11. März 2015 Zustellung der bereinigten Sachverhaltsfeststellung an PostFinance 26. März 2015 Erhalt der Bestätigung von PostFinance bezüglich der bereinigten Sachverhaltsfeststellung 23. März 2015 Zustellung des Schreibens an PostFinance betreffend Verbesserungsvorschläge 2. April 2015 Erhalt der Bestätigung von PostFinance zur Umsetzung unserer Verbesserungsvorschläge bei E-Cockpit und Bicicletta 13. Mai 2015 Zustellung des zweiten Schreibens an PostFinance betreffend Verbesserungsvorschläge 18. Mai 2015 Erhalt der zweiten Bestätigung von PostFinance zur Umsetzung unserer Verbesserungsvorschläge bei E-Cockpit und Bicicletta 1. Juni 2015 Zustellung des Schlussberichtes des EDÖB an PostFinance

4. Sachverhaltsfeststellung vom 11. März 2015

Es wird vollumfänglich auf die Sachverhaltsfeststellung vom 11. März 2015 verwiesen.

5. Datenschutzrechtliche Beurteilung

5.1 Vorbemerkungen

Art. 12 und 13 DSG legen die Voraussetzungen fest, nach welchen die Bearbeitung von Personendaten durch Private rechtmässig ist. Wer im privaten Bereich Personendaten bearbeitet, darf nach Art. 12 Abs. 1 DSG dabei die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen. Gemäss Art. 12 Abs. 2 DSG darf er insbesondere nicht:

a. Personendaten entgegen den Grundsätzen der Artikel 4, 5 Absatz 1 und 7 Absatz 1 bearbeiten; b. ohne Rechtfertigungsgrund Daten einer Person gegen deren ausdrücklichen Willen bearbeiten; c. ohne Rechtfertigungsgrund besonders schützenswerte Personendaten oder Persönlichkeitsprofile Dritten bekannt geben.

In der Regel liegt keine Persönlichkeitsverletzung vor, wenn die betroffene Person die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat (Art. 12 Abs. 3 DSG).

Das Bundesgericht hat im zur Publikation vorgesehenen Urteil 1C_285/2009 vom 8. September 2010, E.5.2.4, zu den Rechtfertigungsgründen betreffend Art. 12 Abs. 2 lit. a DSG Folgendes festgehalten: Eine strikt systematische Auslegung, wonach lediglich bei lit. b und c, nicht aber bei lit. a von Art. 12 Abs. 2 DSG das Geltendmachen eines Rechtfertigungsgrunds zulässig sein soll, erweist sich als verfehlt. Art. 12 Abs. 2 lit. a DSG ist daher so auszulegen, dass eine Rechtfertigung der Bearbeitung von Personendaten entgegen der Grundsätze von Art. 4, Art. 5 Abs. 1 und Art. 7 Abs. 1 DSG zwar nicht generell ausgeschlossen ist, dass Rechtfertigungsgründe im konkreten Fall aber nur mit grosser Zurückhaltung bejaht werden können.

Mit Blick auf den vorliegenden Schlussbericht bedeutet dies, dass – falls PostFinance Daten entgegen den Grundsätzen von Art. 4, Art. 5 Abs. 1 und Art. 7 Abs. 1 DSG bearbeitet – Rechtfertigungsgründe geprüft werden, deren Vorliegen aber nur mit Zurückhaltung anzunehmen ist.

Die nachfolgenden Ausführungen sollen aufzeigen, ob die Datenbearbeitung durch PostFinance im Zusammenhang mit E-Cockpit und Bicicletta im Zeitpunkt der Kontrolle durch den EDÖB datenschutzkonform ausgestaltet ist. Dabei stehen die allgemeinen Datenschutzgrundsätze, namentlich die Verhältnismässigkeit und die Zweckbindung neben der gültigen Einwilligung, im Zentrum.

5.2 E-Cockpit- und Bicicletta-Daten als Personendaten

5.2.1 Ausgangslage

Das DSG findet dort Anwendung, wo Personendaten i.S.v. Art. 3 lit. a DSG bearbeitet werden. Als Personendaten gelten alle Angaben, die sich auf eine bestimmte oder bestimmbare (natürliche oder juristische) Person beziehen.

5.2.2 Beurteilung aus Sicht des EDÖB

Sowohl bei E-Cockpit als auch bei Bicicletta werden der Privatkunden von E-Finance bearbeitet. Diese Daten sind bestimmten Personen zugeordnet und als solche als Personendaten i.S.v. Art. 3 lit. a DSG zu verstehen.

Daten, welche in E-Finance im Zusammenhang mit E-Cockpit und Bicicletta bearbeitet werden, sind als Personendaten i.S.v. Art. 3 lit. a DSG zu qualifizieren.

5.3 E-Cockpit- und Bicicletta-Daten als besonders schützenswerte Personendaten

5.3.1 Ausgangslage

Nach Art. 3 lit. c DSG gelten als besonders schützenswerte Personendaten: Daten über:

1. die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten,

2. die Gesundheit, die Intimsphäre oder die Rassenzugehörigkeit, 3. Massnahmen der sozialen Hilfe,

4. Administrative oder strafrechtliche Verfolgungen und Sanktionen.

Nachfolgend soll geprüft werden, ob in E-Cockpit oder in Bicicletta besonders schützenswerte Personendaten bearbeitet werden.

5.3.2 Beurteilung aus Sicht des EDÖB

E-Cockpit analysiert die

Neben bankenspezifischen Kategorien (z.B. Hypothekarzins, Amortisation / Bargeldbezug / PostFinance Kreditkarten) werden zahlreiche Datenkategorien aus anderen Branchen resp. Lebensbereichen bearbeitet (vgl. Ziff. 8.6 der Sachverhaltsfeststellung vom 11. März 2015). Es befinden sich darunter Kategorien, die eine Auswertung im Bereich der besonders schützenswerten Personendaten i.S.v. Art. 3 lit. c Ziff. 2 DSG erlauben könn- ten, z.B. Arzt, Spital, Optiker. Diese Informationen sind jedoch unabhängig von E-Cockpit vorhanden, um den Zahlungsverkehr über PostFinance zu ermöglichen. Ob der qualifizierte Schutz der besonders schützenswerten Personendaten zum Tragen kommt, muss deshalb vom Kontext abhängig sein, in welchem die Daten stehen oder verwendet werden. Der EDÖB hat festgestellt, dass die kategorisierten E-Cockpit-Daten ausschliesslich den einzelnen Privatkunden in ihrem E-Finance-Bereich zur Verfügung stehen. PostFinance wertet die Daten nicht für eigene oder fremde Zwecke aus. Daraus wird ersichtlich, dass die in E-Finance erhobenen Daten durch PostFinance nicht zu besonders schützenswerten Personendaten verdichtet werden. Eine derartige Auswertung und Verdichtung könnte einzig der Kunde, und damit die betroffene Person selbst, durchführen. Aus diesen Gründen kann festgehalten werden, dass PostFinance mit E-Cockpit in der derzeitigen Ausgestaltung keine besonders schützenswerte Personendaten i.S.v. Art. 3 lit. c DSG bearbeitet.

Eine ähnliche Ausgangslage ist für Bicicletta gegeben. Bicicletta hat als Grundlage die innerhalb von E-Cockpit bearbeiteten und kategorisierten Daten. Die E-Cockpit-Daten werden in Bicicletta weiterverwendet um mittels Algorithmen die Wahrscheinlichkeit zu berechnen, ob ein Privatkunde einer bestimmten Zielgruppe angehört, um ihm Angebote von Dritten in seinem E-Finance-Bereich anzuzeigen. Wiederum stellt sich die Frage, ob hier der qualifizierte Schutz der besonders schützenswerten Personendaten zum Tragen kommt. Ziel der Berechnungen innerhalb von Bicicletta ist die Wahrscheinlichkeit zu eruieren, dass ein Kunde in Zukunft in einer bestimmten Branche einkaufen wird.

Weitere Branchen werden zu einem späteren Zeitpunkt definiert. PostFinance hat nach eigenen Angaben bereits viele Anfragen von interessierten Geschäftskunden erhalten. Es wurden aber bereits diverse kritische Branchen definiert, welche nicht beworben werden sollen (vgl. Ziff. 9.6.1 der Sachverhaltsfeststellung vom 11. März 2015). Es kann festgehalten werden, dass mit den heute bekannten Kategorien von Daten innerhalb von Bicicletta keine besonders schützenswerte Personendaten i.S.v. Art. 3 lit. c DSG bearbeitet werden. Je nach Branchen, welche in Zukunft beworben werden sollen, müsste die Datenbearbeitung gemäss Art. 3 lit. c DSG neu überprüft werden.

Zusammenfassend kann festgehalten werden, dass sowohl im Kontext von E-Cockpit wie auch von Bicicletta keine besonders schützenswerten Personendaten i.S.v. Art. 3 lit. c DSG bearbeitet werden.

5.4 E-Cockpit- und Bicicletta-Daten als Persönlichkeitsprofile

5.4.1 Ausgangslage

Nicht jede Kombination von Daten ergibt ein Persönlichkeitsprofil. Gemäss Legaldefinition von Art. 3 lit. d DSG stellt ein Persönlichkeitsprofil eine Zusammenstellung von Daten dar, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt. Anhaltspunkte, was unter dem Begriff „Persönlichkeitsprofil“ zu verstehen ist, findet man einerseits in der Botschaft zum Bun- desgesetz über den Datenschutz vom 23. März 1988 (BBl II 1988 413) und andererseits in der Lehre und Rechtsprechung.

Gemäss Botschaft zum DSG (BBl II 1988 447) ist ein Persönlichkeitsprofil eine Zusammenstellung einer grösseren Zahl von Daten über die Persönlichkeitsstruktur, die beruflichen Fähigkeiten und Aktivitäten oder auch die ausserberuflichen Beziehungen und Tätigkeiten, die ein Gesamtbild oder ein wesentliches Teilbild der betreffenden Person ergibt. Entscheidend ist, dass die systematische Zusammenstellung von an sich nicht besonders schützenswerten Daten (z.B. über Lesegewohnheiten, Reise- und Freizeitaktivitäten) eine Beurteilung wesentlicher Aspekte der Persönlichkeit zulässt.

Nach herrschender Lehre muss die Zusammenstellung der Daten nicht ein Gesamtbild der Persönlichkeit ergeben. Es genügt, wenn von wichtigen Teilaspekten (z.B. Konsumverhalten, Profile von Kreditkartenbenutzern zur Verhinderung von Betrügereien, Eignungstest, Kreditdossiers, etc.) ein Persönlichkeitsbild entsteht (BSK-DSG, Urs Belser, Art. 3 N 21). Von einem Persönlichkeitsprofil ist jedoch erst dann auszugehen, wenn für die betroffene Person ein Risiko entsteht, dass „sie sich in der Gesellschaft nicht mehr so darstellen kann, wie sie es für richtig hält“ (BSK-DSG, Urs Belser, Art. 3 N 22 mit Hinweis auf VPB 65.48, E. 2.d).

Gemäss Rechtsprechung (VPB 65.48, E. 2.b.) hängt die Erstellung eines Persönlichkeitsprofils von der Menge, dem Inhalt sowie der Zeitdauer der zusammengestellten Daten ab. Demnach sind Personendaten, die über einen längeren Zeitraum zusammengetragen werden (z.B. Zahlungsverhalten oder die Zahlungsfähigkeit über Jahre hinweg) und dadurch gleichsam ein biografisches Bild ergeben, indem sie eine Entwicklung, einen Werdegang, also eine Art „Längsprofil“ der betroffenen Person aufzeigen, eher als Persönlichkeitsprofil zu qualifizieren als Daten, die eine blosse Momentaufnahme, ein „Querprofil“, darstellen. Aber, selbst wenn von einem wesentlichen Teilbild der Persönlichkeit ausgegangen wird, muss letztlich der konkrete Zusammenhang, in dem die Daten verwendet werden, mit entscheidend dafür sein, ob der qualifizierte gesetzliche Schutz, den der Gesetzgeber für die Persönlichkeitsprofile vorgesehen hat, zum Tragen kommen soll oder nicht.

Durch die Auswertungsmöglichkeiten der automatischen Datenverarbeitung und durch die Verknüpfung automatisierter Datenbestände ist die Erstellung von Persönlichkeitsprofilen heutzutage einfacher und häufiger geworden. Das Problem von Persönlichkeitsprofilen liegt darin, dass sie die Vielfalt und Komplexität der menschlichen Persönlichkeit (zu) sehr vereinheitlichen und schematisieren und dabei den betroffenen Personen nicht gerecht werden. Sodann haben betroffene Personen meist keine Kenntnis vom Bestehen eines Persönlichkeitsprofils. Damit können sie dessen Richtigkeit und Verwendung nicht kontrollieren. Einmal erstellt, können Persönlichkeitsprofile betroffene Personen der Freiheit berauben, sich so darzustellen, wie sie es für richtig halten. Damit vermögen Persönlichkeitsprofile die Entfaltung der Persönlichkeit ganz wesentlich zu beeinträchtigen. Deshalb hat der Gesetzgeber festgelegt, dass Persönlichkeitsprofile gleich wie besonders schützenswerte Personendaten zu behandeln sind und nur unter bestimmten Voraussetzungen erstellt und bearbeitet werden dürfen.

Weil PostFinance in E-Cockpit und Bicicletta umfangreiche Daten bearbeitet und analysiert, muss nachfolgend geprüft werden, ob die Daten in E-Cockpit oder in Bicicletta in ihrer Gesamtheit ein Persönlichkeitsprofile i.S.v. Art. 3 lit. d DSG darstellen.

5.4.2 Beurteilung von Persönlichkeitsprofilen in E-Cockpit aus der Sicht des EDÖB

Die aus dem Data Warehouse (DWH) stammenden Ausgangsdaten, die in E-Cockpit bearbeitet werden, umfassen der Privatkunden von PostFinance, welche in ihrer Gesamtheit eine grosse Menge von Daten darstellen. E-Cockpit teilt diese Daten automatisch einer bestimmten Kategorie zu. Die Zuordnung wird aus den PostFinance hat diverse Haupt- und Unterkategorien für die Zuordnung definiert (vgl. dazu Ziff. 8.6 der Sachverhaltsfeststellung vom 11. März 2015), Ein Teil wurde lediglich aufgenommen, damit der Kunde sie bei Gebrauch benutzen kann. Gemäss PostFinance ist auch längst nicht jede Transaktion automatisch zuordenbar, sondern die Kunden können durch eigene Regeln „nachhelfen“. Der Kunde kann die von E-Cockpit vorgegebene Default-Kategorisierung für alle weiteren Berechnungen übersteuern. Wie in Ziff. 8.6. der Sachverhaltsfeststellung vom 11. März 2015 aufgelistet, erhält die PostFinance durch die automatischen oder manuellen Kategorisierungen der Transaktionsdaten eines E-Finance-Kunden grundsätzlich viele Datenkategorien. Neben bankenspezifischen Kategorien (z.B. Hypothekarzins, Amortisation / Bargeldbezug / PostFinance Kreditkarten) werden zahlreiche Datenkategorien aus anderen Branchen resp. Lebensbereichen bearbeitet Diese Daten werden bis zu zehn Jahre in E-Cockpit gespeichert (vgl. Ziff. 8.7 der Sachverhaltsfeststellung vom 11. März 2015). Somit ist davon auszugehen, dass die Gesamtheit der Menge, des Inhalts und der zeitlichen Aufbewahrung dieser Daten ein wesentliches Teilbild einer betroffenen Person ausmachen kann. Aber selbst wenn von einem wesentlichen Teilbild der Persönlichkeit ausgegangen wird, muss – wie eingangs erwähnt – letztlich der konkrete Zusammenhang, in dem die Daten verwendet werden, mitentscheidend dafür sein, ob der qualifizierte gesetzliche Schutz zum Tragen kommen soll oder nicht. Dies ist dann der Fall, wenn durch die Erstellung eines Persönlichkeitsprofils für eine betroffene Person ein Risiko entsteht, dass sie sich in der Gesellschaft nicht mehr so darstellen und entfalten kann, wie sie es für richtig hält. Für die Beurteilung dieses Aspektes betreffend E-Cockpit ist entscheidend, dass diese Daten ausschliesslich den einzelnen Privatkunden zur Verfügung stehen, welche E-Cockpit in ihrem E-

Finance-Bereich nutzen wollen. PostFinance nutzt die Daten weder für eine personenbezogene Auswertung noch werden Affinitäten u.Ä. berechnet. Es werden auch keine Daten an Dritte weitergegeben. Insofern besteht für die betroffenen Personen keine Gefahr, dass sie sich in der Gesellschaft nicht mehr so darstellen oder entfalten können, wie sie es für richtig halten.

Zusammenfassend ist aufgrund der Gesamtheit der Menge, des Inhalts und der zeitlichen Aufbewahrung der Daten in E-Cockpit von einem wesentlichen Teilbild einer betroffen Person auszugehen. Solange die Daten jedoch ausschliesslich für die Kunden im Zusammenhang mit den Funktionen von E- Cockpit verwendet und die Daten weder von PostFinance noch von Dritten weiterverarbeitet werden, werden in E-Cockpit keine Persönlichkeitsprofile i.S.v. Art. 3 lit. d DSG bearbeitet.

5.4.3 Beurteilung von Persönlichkeitsprofilen in Bicicletta aus der Sicht des EDÖB

Bicicletta hat als Grundlage die innerhalb von E-Cockpit bearbeiteten und kategorisierten Daten, weshalb auch hier aufgrund der Gesamtheit der Menge von Daten, des Inhalts und der zeitlichen Aufbewahrung der Daten von einem wesentlichen Teilbild einer betroffenen Person ausgegangen werden muss (zu den Ausführungen vgl. Ziff. 5.4.2 dieses Schlussberichtes).

Wiederum stellt sich die Frage, ob der qualifizierte Schutz des Persönlichkeitsprofils i.S.v. Art. 3 lit. d DSG zum Tragen kommt. Die E-Cockpit-Daten werden in Bicicletta weiterverwendet um mittels Algorithmen die Wahrscheinlichkeit zu berechnen, ob ein Privatkunde in einem bestimmten Zeitraum in einer bestimmten Branche einkaufen wird (Affinität).

Unter Branche werden die Unterkategorien verstanden, denen die Transaktionen mit dem betreffenden Geschäftskunden standardmässig zugeordnet werden.

Weitere werden folgen. PostFinance betont, dass bei Einkäufen innerhalb einer Branche nur die ausgewertet werden (vgl. Ziff. 9.6.2 der Sachverhaltsfeststellung vom 11. März 2015). Die durch Analysen mittels Algorithmen gewonnenen Erkenntnisse werden im Zusammenhang mit Bicicletta für Marketingmassnahmen verwendet. Das heisst, es wird in den Daten eines betroffenen Kunden gesucht, um ihn einer Branche zuzuordnen und ihm zielgerichtete Werbeangebote in seinem E-Finance-Portal anzuzeigen. Diese Analysen und Auswertungen finden im Verbogenen statt, sie entziehen sich dem Bewusstsein der betroffenen Personen, sodass sie deren Richtigkeit und Verwendung in vollem Umfang auch nicht kontrollieren können. Eine derartige systematische Datenbearbeitung kann dem Betroffenen die Freiheit nehmen, sich so darzustellen, wie er will, insbesondere wenn er weiss, dass solche Profile über ihn bestehen oder gerade gebildet werden. Wenn seine Transaktionsdaten systematisch für Werbeangebote für Dritte analysiert und die betroffene Person branchenspezifisch schematisiert wird, kann das Änderungen im Denken, Handeln und Verhalten des Betroffenen bewirken. Und dies kann die Entfaltung seiner Persönlichkeit wesentlich beeinträchtigen. Aus diesen Gründen muss im Zusammenhang mit der Verwendung und Analyse der Transaktionsdaten bei Bicicletta von einem Persönlichkeitsprofil i.S.v. Art. 3 lit. d DSG ausgegangen werden.

Zusammenfassend kann festgehalten werden, dass bei E-Cockpit nicht von einem Persönlichkeitsprofil i.S.v. Art. 3 lit. d DSG auszugehen ist, solange die Daten ausschliesslich für die Kunden im Zusammenhang mit den Funktionen von E-Cockpit gespeichert werden und sie weder von PostFinance noch von Dritten weiterverarbeitet werden. Im Unterschied dazu werden in Bicicletta diese E-Cockpit-Daten analysiert mit dem Ziel, den betroffenen Personen zielgerichtete Werbung von Dritten in E-Finance einzublenden, weshalb hier von einem Persönlichkeitsprofil gemäss Art. 3 lit. d DSG anzugehen ist.

5.5 Bearbeitung nach Treu und Glauben / Transparenz

5.5.1 Ausgangslage

Transparenz und Information der betroffenen Personen in Bezug auf die Beschaffung und Verwendung der Daten bilden die eigentlichen Eckpfeiler einer Datenbearbeitung (Botschaft DSG BBl 2003 2126).

Die Bearbeitung von Personendaten muss nach Treu und Glauben erfolgen (Art. 4 Abs. 2 DSG). Daten sollen nicht in einer Art erhoben und bearbeitet werden, mit der die betroffene Person aus den Umständen heraus nicht rechnen musste und mit der sie nicht einverstanden gewesen wäre. Gegen diesen Grundsatz verstösst beispielsweise derjenige, der Daten nicht offen bearbeitet, ohne dabei gegen eine Rechtsnorm zu verstossen (Botschaft DSG BBl 1988 II 449). Demzufolge muss eine Datenbearbeitung für die betroffenen Personen transparent erfolgen. Dies bedeutet gemäss Art. 4 Abs. 4 DSG, dass für betroffene Personen die Datenbeschaffung und jede weitere Datenbearbeitung (BSK- DSG, Urs Maurer-Lambrou/Andrea Steiner, Art. 4 N 8), der Zweck jeder (weiteren) Datenbearbeitung, die Identität des Datenbearbeiters und – bei einer Datenbekanntgabe an Dritte – die Kategorien von möglichen Datenempfängern erkennbar sein müssen (Botschaft DSG BBl 2003 2125). Auch die Beschaffung von Personendaten bei Dritten muss erkennbar sein (Botschaft DSG BBl 2003 2126).

Die Anforderungen, welche an die Erkennbarkeit gestellt werden, sind nach den Umständen sowie den Grundsätzen der Verhältnismässigkeit und von Treu und Glauben zu beurteilen (Botschaft DSG BBl 2003 2125). Unter dem Gesichtspunkt der Verhältnismässigkeit ist zu prüfen, in welchem Mass die betroffene Person auf die wesentlichen Rahmenbedingungen der Beschaffung aufmerksam gemacht werden muss, welche Mittel dem Inhaber der Datensammlung zur Verfügung stehen, um diese Rahmenbedingungen erkennbar zu machen, und in welchem Umfang von ihm erwartet werden kann, dass er diese Mittel auch einsetzt, namentlich unter Berücksichtigung ihrer Kosten und ihrer Wirksamkeit. Zu berücksichtigen sind ferner die in der Branche oder für die betreffende Art von Transaktionen geltenden Usanzen. Für die einfachen Transaktionen des täglichen Lebens, die so geartet sind, dass die Beschaffung und ihr Zweck sowie die Identität des Inhabers der Datensammlung für die betroffene Person auf Anhieb leicht und deutlich erkennbar sind, bringt Art. 4 Abs. 4 DSG keine neue Verpflichtung mit sich. Ist eine Beschaffung auf Grund der Umstände hingegen weniger deutlich erkennbar, muss die betroffene Person umso eher mit angemessenen Mitteln auf die Erhebung und ihre wesentlichen Rahmenbedingungen aufmerksam gemacht werden. Im Internet ist ein Hinweis auf dem Eingangsportal in einer genügend sichtbaren Rubrik, der auf weitere Angaben zur Beschaffung und Verwendung der Daten verweist, in den meisten Fällen ein einfaches und angemessenes Informationsmittel (Botschaft DSG BBl 2003 2126).

Werden Daten aus allgemein zugänglichen Quellen beschafft und hat die betroffene Person deren Bearbeitung nicht ausdrücklich untersagt (Art. 12 Abs. 3 DSG), so sind grundsätzlich keine weiteren Massnahmen bezüglich Gewährleistung der Erkennbarkeit der Beschaffung und Bearbeitung nötig.

Ab August 2014 ist PostFinance dazu übergegangen, ihre E-Finance-Kunden auf einer Zwischenseite nach dem Log-In im Online-Portal über die Einführung der überarbeiteten Plattform und die damit verbundenen neuen TNB zu E-Finance zu informieren. Die Kunden wurden aufgefordert, diese zu akzeptieren, damit sie zukünftig E-Finance noch nutzen können. Taten die Kunden dies nicht sofort, konnten sie E-Finance bis zum 12. Oktober 2014 wie gewohnt weiterbenutzen, allerdings fehlte auf der Zwischenseite ein solcher Hinweis. Die Privatkunden wurden nicht mit separater Briefpost über diese Änderungen informiert.

Auf der Zwischenseite informierte PostFinance u.a. wie folgt: „Ab nächstem Jahr können Sie zusätzlich von massgeschneiderten Angeboten profitieren, welche Ihnen Partner von PostFinance vergünstigt anbieten. Die Vertraulichkeit Ihrer Daten ist sichergestellt, da wir Ihre Kundendaten nicht an unsere Partner weiterleiten. Im Rahmen dieser Neuerungen haben wir die Teilnahmebedingungen E- Finance (TNB) komplett überarbeitet (vgl. insbesondere Ziff. 19 und 20). Die neuen TNB ersetzen die bisherigen „TNB E-Finance“ und „TNB für die Benutzung der Dienstleistungen Kredit- und Prepaidkarten Online im E-Finance (Kartenservice Online)“. Bitte lesen Sie die neuen TNB aufmerksam durch, welche am 12. Oktober 2014 in Kraft treten. Um E-Finance zukünftig nutzen zu können, müssen Sie diese akzeptieren. Somit können Sie auch weiterhin Ihre Geldgeschäfte einfach und bequem im E- Finance abwickeln.“

Die neuen TNB zu E-Finance sind per Link auf der Zwischenseite für die Kunden einsehbar.

Im Folgenden ist zu prüfen, inwieweit PostFinance den Anforderungen von Art. 4 Abs. 2 und 4 DSG in Bezug auf Transparenz und Erkennbarkeit bei E-Cockpit und Bicicletta Rechnung trägt.

5.5.2 Beurteilung von Treu und Glauben bei E-Cockpit aus Sicht des EDÖB

Bezüglich E-Cockpit wird in den TNB in Ziff. 19 wie folgt informiert: „E-Finance ist mit dem Dienst E- Cockpit ausgestattet. E-Cockpit ist für die private Nutzung durch Privatkunden konzipiert und stellt dem Privatkunden seine Zahlungen grafisch dar. Dazu wird jede Transaktion automatisch einer Einnahme- oder Ausgabekategorie zugeordnet. Der Privatkunde kann die Ausgestaltung der Unterkategorien auf seine eigenen Bedürfnisse anpassen. PostFinance kann den Umfang dieses Dienstes erweitern oder ändern, um das Angebot zu optimieren.“

Die Informationen über die Neuerungen bezüglich der Datenbearbeitung im Zusammenhang mit E- Cockpit auf der Zwischenseite mit dem Link auf die neuen TNB nach dem Log-In sind für die Kunden genügend sichtbar. Auch die Wahl des Mittels der elektronischen Zwischenseite ist geeignet, um die betroffenen Personen zu erreichen. Bezüglich der Information über den Zweck der Datenbearbeitung hinsichtlich E-Cockpit werden die E-Finance-Kunden in erster Linie in Ziff. 19 der neuen E-Finance- TNB grundsätzlich genügend umfassend informiert. Darin wird erwähnt, dass E-Cockpit dem Zweck dient, die Zahlungen von Privatkunden grafisch darzustellen. E-Cockpit umfasst jedoch auch ein Archivierungs- und Recherche-Tool, mit welchem jeder Privatkunde seine Transaktionen voraussichtlich bis zu zehn Jahre zurück abrufen kann. Daneben können mit E-Cockpit auch Sparziele und Budgets definiert und Push-Meldungen eingerichtet werden (vgl. Ziff. 8.1. der Sachverhaltsfeststellung vom 11.

März 2015). Diese Funktionen werden in Ziff. 19 der TNB nicht erwähnt, sind jedoch für den E- Finance-Kunden jederzeit online in E-Finance genügend erkennbar.

Zusammenfassend erfolgt die Datenbearbeitung bei E-Cockpit den Grundsätzen von Treu und Glauben und Erkennbarkeit nach Art. 4 Abs. 2 DSG.

5.5.3 Beurteilung von Treu und Glauben bei Bicicletta aus Sicht des EDÖB

Hinsichtlich Bicicletta werden die Privatkunden in Ziff. 11 und Ziff. 20 der TNB informiert. PostFinance führt hier wie folgt aus: „PostFinance bietet ihren Privatkunden in E-Finance eine Plattform an, auf welcher Drittanbieter Angebote in Form von persönlichen Rabatten und Aktionen aufschalten lassen können. Bei diesen Angeboten bleiben die Privatkunden anonym, selbst wenn sie die Angebote einlösen. Dazu muss ein Privatkunde, der ein solches, für ihn verfügbares Angebot in Anspruch nehmen will, dieses zunächst online «reservieren». Ist der entsprechende Bezug erfolgt und mit einem von PostFinance definierten Zahlungsmittel bezahlt worden, schreibt ihm PostFinance den entsprechenden Rabatt nachträglich automatisch gut. PostFinance agiert dabei lediglich als Vermittlerin zwischen dem Drittanbieter, der das Angebot unterbreitet, und dem Privatkunden, der von diesem Angebot profitiert. Allfällige Ansprüche des Privatkunden aus dem Vertrag mit dem Drittanbieter richten sich ausschliesslich nach den entsprechenden Vereinbarungen der beiden. Ein Drittanbieter weiss zu keiner Zeit, welche Privatkunden das Angebot in E-Finance aufgeschaltet erhalten haben. Ein Drittanbieter kann zudem keinen Rückschluss auf einen bestimmten Privatkunden ziehen, da der Privatkunde, der das Angebot in Anspruch nimmt, dies dem Drittanbieter nicht offenlegen muss. PostFinance legt dem Drittanbieter weder die Adresse noch sonstige Personendaten des Privatkunden offen. Wünscht der Privatkunde keine derartigen Angebote, kann er darauf (durch entsprechende Abmeldung innerhalb von E-Finance) verzichten und sich damit auch von der damit verbundenen Analyse seiner Daten abmelden. Bis dahin geht PostFinance vom Einverständnis des Privatkunden mit der Anzeige entsprechender Angebote und der dazu nötigen Datenbearbeitung aus.“

Auch für die Datenbearbeitung im Zusammenhang mit Bicicletta sind die Informationen über die Neuerungen auf der Zwischenseite mit dem Link auf die neuen TNB für die Kunden genügend sichtbar. Die Wahl des Mittels der elektronischen Zwischenseite nach dem Log-In ist geeignet, um die betroffenen Personen zu erreichen. Mit Ziff. 11 und Ziff. 20 der neuen E-Finance-TNB werden die Kunden über den Zweck der Datenbearbeitung von Bicicletta, über die Datenbeschaffung und dass keine Datenweitergabe an Dritte erfolgt, grundsätzlich genügend umfassend informiert. Der Kunde versteht, dass seine Transaktionsdaten analysiert werden, um ihm zielgerichtete Werbung von Drittanbietern auf dem E-Finance-Portal aufzuschalten, falls er Bicicletta nutzen will. Es wird ihm auch genügend transparent mitgeteilt, wie Bicicletta funktioniert. PostFinance informiert hier auch darüber, dass keine Adressen oder sonstige Personendaten an den Drittanbieter weitergegeben werden. Ebenso wird erwähnt, dass der Kunde sich „innerhalb von E-Finance“ von Bicicletta abmelden kann („Opt-out“). Gemäss PostFinance können sich die Kunden nach der Lancierung von Bicicletta innerhalb von E- Finance bei den „Einstellungen“ von Bicicletta wieder abmelden. Eine Information über dieses Vorgehen wird in der Produktebeschreibung von Bicicletta online unter www.postfinance.ch Erwähnung finden. Insofern erfolgt die Datenbearbeitung bei Bicicletta nach dem Grundsatz von Treu und Glau- ben i.S.v. Art. 4 Abs. 2 DSG und der nachträgliche Verzicht („Opt-Out“) ist für die betroffenen Personen genügend transparent.

Zusammenfassend erfolgt die Datenbearbeitung bei E-Cockpit und Bicicletta nach dem Grundsatz von Treu und Glauben i.S.v. Art. 4 Abs. 2 DSG und ist für die betroffene Person genügend erkennbar.

5.6 Verhältnismässigkeit der Datenbearbeitung

Die Bearbeitung von Personendaten hat sich am Grundsatz der Verhältnismässigkeit auszurichten (Art. 4 Abs. 2 DSG). Verhältnismässigkeit bedeutet, dass ein Datenbearbeiter nur diejenigen Daten bearbeiten darf, die zur Erreichung eines bestimmten Zwecks objektiv geeignet und tatsächlich erforderlich sind, und dass die Nachteile, die mit der Bearbeitung verbunden sind, in einem angemessenen Verhältnis zu den Vorteilen stehen müssen. Die Datenbearbeitung muss für die betroffene Person sowohl hinsichtlich ihres Zwecks als auch hinsichtlich ihrer Mittel zumutbar sein (d.h. verhältnismässig i.e.S.). Dazu muss geprüft werden, ob zwischen dem Bearbeitungszweck und einer im Hinblick darauf nötigen (d.h. durch die Art und Weise der Bearbeitung gegebenenfalls bewirkte) Persönlichkeitsbeeinträchtigung ein vernünftiges Verhältnis besteht (Botschaft DSG BBl 1988 II 450). Es hat also eine Abwägung von Zweck und Wirkung des Eingriffs stattzufinden und es ist zu prüfen, ob nicht ein milderes Mittel ebenso zum Ziel führt. Die Prüfung der Verhältnismässigkeit verlangt eine Gesamtwürdigung aller Umstände.

Im Folgenden wird die Verhältnismässigkeit der Datenbearbeitung von Konto- und Transaktionsdaten für E-Cockpit und für Bicicletta in inhaltlicher sowie zeitlicher Hinsicht untersucht.

5.6.1 Verhältnismässigkeit in inhaltlicher Hinsicht - Ausgangslage

Eine Datenbearbeitung ist dann verhältnismässig, wenn sie inhaltlich auf das absolut Notwendige beschränkt wird, um ein bestimmtes Ziel zu erreichen. Die inhaltliche Verhältnismässigkeit fordert einen möglichst schonenden Umgang mit Personendaten. Dies bedingt auch, dass keine für den verfolgten Zweck nicht benötigten Überschussinformationen anfallen dürfen. Ebenso ist es unzulässig, Personendaten auf Vorrat zu erheben, sofern der damit verfolgte Zweck dies nicht unabdingbar erfordert (BGE 125 II 473 E. 4.b S. 476).

Nachfolgend ist zu prüfen, ob die Datenbearbeitung von PostFinance bezüglich E-Cockpit und Bicicletta inhaltlich verhältnismässig erfolgt.

5.6.2 Beurteilung der inhaltlichen Verhältnismässigkeit bei E-Cockpit aus Sicht des EDÖB

Mit E-Finance stellt PostFinance seinen Kunden eine Plattform zur Verfügung, um Ihnen die Abwicklung ihres Bankgeschäftes über Datenleitungen zu ermöglichen. Der Kunde soll zeit- und ortsunab- hängig Online-Zugriff auf seine Konten und Kontobewegungen haben. E-Banking-Kunden erwarten üblicherweise eine Benutzeroberfläche, welche ihre Konten und deren Bewegungen kundenfreundlich darstellt, und dass sie sich einfach und schnell ihre fürs E-Banking notwendigen Informationen, wie z.B. gebuchte Zahlungen, finden können.

E-Cockpit teilt alle über PostFinance abgewickelten Zahlungen eines Privatkunden auf die vordefinierten Einnahmen- und Ausgabenkategorien auf, zählt zusammen und stellt diese Kategorien dem Kunden grafisch auf der Benutzeroberfläche dar (Kuchendiagramm). E-Cockpit umfasst zudem ein Archivierungs- und Recherche-Tool, mit welchem neu jeder E-Finance-Privatkunde seine Transkationen voraussichtlich bis zu zehn Jahre zurück abrufen kann. Somit ist E-Cockpit geeignet, den erforderlichen Zweck von E-Finance zu ergänzen. Fraglich ist jedoch, ob E-Cockpit auch erforderlich ist für eine funktionierende E-Banking-Benutzeroberfläche. Vor diesem Hintergrund muss beachtet werden, dass E-Cockpit seit 2012 den Privatkunden von E-Finance angeboten wird. Das Tool konnte bisher vom Kunden im E-Finance-Bereich auf Wunsch aktiviert und die dazugehörigen separaten Teilnahmebedingungen (TNB E-Cockpit 2013) akzeptiert werden. Nach der Aktivierung konnte der Kunde zu einem beliebigen Zeitpunkt später E-Cockpit wieder kündigen, und seine Daten wurden gemäss Informationen der PostFinance nicht mehr analysiert (vgl. Ziff. 6 TNB E-Cockpit 2013). Seit dem Release 14C bildet E-Cockpit einen integralen Bestandteil von E-Finance. In der neuen Benutzeroberfläche von E- Finance sind die Funktionen von E-Cockpit im Zuge der Neugestaltung der Plattform vollständig integriert worden, d.h. E-Cockpit bildet neu einen festen Bestandteil für alle Privatkunden von E-Finance, der sich nicht abschalten lässt. Wie erwähnt kann E-Cockpit die Transaktionen in E-Finance statt der bisherigen Balkendarstellung zusätzlich als Kuchendiagramm darstellen und bietet ein Archivierungs- und Recherche-Tool. Zusätzlich erlaubt es dem Privatkunden, Sparziele oder Budgets zu definieren und Meldungen („Alarmings“) einzurichten. Die zusätzliche Darstellungsform und die ergänzenden Tools mögen einen wichtigen Schritt zur Modernisierung von E-Finance und für viele Kunden wünschenswert sein. Die historische Entwicklung von E-Finance zeigt aber, dass E-Cockpit für eine funktionierende E-Banking-Benutzeroberfläche nicht zwingend erforderlich ist. Die feste Einbindung von E- Cockpit in E-Finance ohne Verzichtsmöglichkeit ist daher i.S.v. Art. 4 Abs. 2 DSG nicht notwendig.

5.6.3 Beurteilung der inhaltlichen Verhältnismässigkeit bei Bicicletta aus Sicht des EDÖB

Wie bereits erwähnt verfolgt E-Finance als E-Banking-Benutzeroberfläche zusammenfassend den Zweck, dass PostFinance-Kunden ihre Bankgeschäfte über Datenleitungen abwickeln können.

Bei Bicicletta werden aus PostFinance-Zahlungsverkehrsdaten Erkenntnisse gezogen, anhand derer Drittanbieter im E-Finance-Portal den Privatkunden gezielte Angebote in Form von Rabatten unterbreiten können. Als Grundlage für die Analyse der Zahlungsverkehrsdaten stehen dabei die durch E- Cockpit kategorisierten Daten. Mittels Algorithmen wird die statistische Wahrscheinlichkeit berechnet, dass ein Privatkunde in einem bestimmten Zeitraum in einer bestimmten Branche einkaufen wird (Affinität). und den betroffenen Personen zugewiesen. Bicicletta ist für reine Marketingfunktionen konzipiert worden. Die Datenbearbeitung in diesem Zusammenhang ist für die Funktion von E-Finance i.S.v. Art. 4 Abs. 2 DSG nicht notwendig.

Eine feste Einbindung von E-Cockpit in E-Finance ist für die Benutzeroberfläche i.S.v. Art. 4 Abs. 2 DSG nicht erforderlich. Ebenso ist Bicicletta als Marketingfunktion für Geschäftskunden von PostFinance für das Funktionieren von E-Finance nicht notwendig.

5.6.4 Verhältnismässigkeit in zeitlicher Hinsicht – Ausgangslage

Das Erfordernis der Verhältnismässigkeit begrenzt die Datenbearbeitung auch in zeitlicher Hinsicht. Sofern personenbezogene Daten für den verfolgten Zweck nicht mehr gebraucht werden, sind sie zu vernichten oder zu anonymisieren. Dabei ist eine frühest mögliche Löschung/Anonymisierung vorzusehen.

Nachfolgend ist zu prüfen, ob die Datenbearbeitung von PostFinance bezüglich E-Cockpit und Bicicletta zeitlich verhältnismässig erfolgt.

5.6.5 Beurteilung der zeitlichen Verhältnismässigkeit von E-Cockpit aus Sicht des EDÖB

Die Kundendaten im Sinne von Stammdaten werden nur so lange gespeichert, wie der Privatkunde E- Finance nutzt. Auch die kategorisierten Transaktionsdaten werden so lange gespeichert, wie der Privatkunde E-Finance nutzt, maximal aber zehn Jahre. Die Datenbearbeitung bei E-Cockpit hat einerseits zum Zweck, die Transaktionsdaten von Privatkunden zu kategorisieren, um sie grafisch darzustellen. Des Weiteren umfasst E-Cockpit ein Archivierungs- und Recherche-Tool, mit welchem jede betroffene Person seine Transaktionen voraussichtlich bis zu zehn Jahre zurück abrufen kann. Mit E- Cockpit kann der Privatkunde seine Transaktionen abrufen, in Kategorien zusammenfassen und mit anderen Zeitperioden vergleichen. Für diese Funktionen und die Recherche-Möglichkeit erscheint die Speicherung der Daten bis maximal zehn Jahre als sinnvoll und zeitlich i.S.v. Art. 4 Abs. 2 DSG verhältnismässig, zumal sie mit der Aufbewahrungspflicht für Geschäftsbücher nach Art. 958f OR korrespondiert.

5.6.6 Beurteilung der zeitlichen Verhältnismässigkeit von Bicicletta aus Sicht des EDÖB

Für Bicicletta ist folgende Speicherdauer vorgesehen: Von dort werden sie an Bicicletta geliefert, wo sie bis zum nächsten Berechnungslauf gespeichert werden Die eingelösten Angebote werden nach Ablauf der Kampagne zehn Jahre aufbewahrt. Die Transaktionen von eingelösten Angeboten werden maximal zehn Jahre aufbewahrt. Wenn ein Kunde sich von Bicicletta abmeldet, werden die Stammdaten, die Kundennummer und die relevanten Transaktionen und Angebote weiterhin gemäss den buchhalterischen Kriterien gespeichert (Art. 958f OR). Alle anderen Daten werden gelöscht resp. die berechneten Daten werden auf null gesetzt, wenn sie nicht mehr gebraucht werden, d.h. nach Abwicklung aller für die Durchführung der Abmeldung notwendigen Arbeitsschritte. Die Datenbearbeitung ist damit zeitlich i.S.v. Art. 4 Abs. 2 DSG verhältnismässig.

Sowohl bei E-Cockpit als auch Bicicletta ist die Datenbearbeitung i.S.v. Art. 4 Abs. 2 DSG zeitlich verhältnismässig.

5.7 Zweckbindung der Datenbearbeitung

5.7.1 Ausgangslage

Personendaten dürfen nur für den Zweck bearbeitet werden, welcher bei der Beschaffung angegeben worden ist oder der aus den Umständen ersichtlich oder gesetzlich vorgesehen ist (Art. 4 Abs. 3 DSG). Der Verwendungszweck der Daten muss bereits bei der Datenbeschaffung ersichtlich sein oder sonst feststehen. Ein Sammeln und weiteres Bearbeiten von Daten – quasi auf „Vorrat“ – ohne dass ein bestimmter Zweck feststeht oder angegeben wird, ist unzulässig. Wird vom ursprünglich angegebenen oder aus den Umständen ersichtlichen Zweck abgewichen, sind die betroffenen Personen darüber zu informieren. Die Zweckbindung der Datenbearbeitung ist auch bei der Weitergabe der Daten einzuhalten.

Es soll nachfolgend überprüft werden, ob durch die Datenbearbeitung im Zusammenhang mit E- Cockpit und mit Bicicletta der Datenschutzgrundsatz der Zweckbindung nach Art. 4 Abs. 3 DSG verletzt wird.

5.7.2 Beurteilung der Zweckbindung bei E-Cockpit aus Sicht des EDÖB

Die Bearbeitung der Konto- und Transaktionsdaten für E-Finance hat in erster Linie den Zweck, die Abwicklung des Bankgeschäftes über Datenleitungen zu ermöglichen. Der Kunde soll zeit- und ortsunabhängig Online-Zugriff auf seine Konten und Kontobewegungen haben.

E-Cockpit stellt innerhalb des E-Finance-Portals einen zusätzlichen Service dar, welcher die über PostFinance abgewickelten Zahlungen eines Privatkunden anhand zusammenzählt und grafisch darstellt (Kuchendiagramm). E-Cockpit umfasst zudem eine Archivierungs- und Recherche-Tool und erlaubt dem Privatkunden, Sparziele oder Budgets zu definieren und Meldungen einzurichten. Solange sich die Datenbearbeitung von E-Cockpit auf die Funktionen Darstellung, Archivierung und Recherche beschränkt, liegt sie noch im ursprünglichen Zweck der Abwicklung des Bankgeschäftes über Datenleitungen. Auch die Zusatzfunktionen wie Definition von Sparzielen und Budgets oder Meldungen bewegen sich noch in diesem Bereich. Es kann deshalb festgehalten werden, dass E-Cockpit in der beschriebenen Form den Zweckbindungsgrundsatz von Art. 4 Abs. 3 DSG nicht verletzt.

5.7.3 Beurteilung der Zweckbindung bei Bicicletta aus Sicht des EDÖB

Bei Bicicletta werden aus PostFinance-Zahlungsverkehrsdaten eines Privatkunden Erkenntnisse gezogen. Mittels Algorithmen werden die Wahrscheinlichkeit, dass ein Privatkunde in einem bestimmten Zeitraum in einer bestimmten Branche einkaufen wird (Affinität), bei den verschiedenen Geschäftskunden der Branche berechnet. Die Berechnungen haben zum Zweck, dem entsprechenden Kunden zielgruppenspezifische Angebote von Dritten (Geschäftskunden von PostFinance) anzuzeigen. Diese Datenbearbeitung stellt eine Zweckänderung i.S.v. Art. 4 Abs. 3 DSG dar. Insofern wird durch die Bearbeitung der PostFinance-Kundendaten im Zusammenhang mit Bicicletta der Zweckbindungsgrundsatz nach Art. 4 Abs. 3 DSG verletzt.

Mit E-Cockpit in der heutigen Ausgestaltung wird der Zweckbindungsgrundsatz von Art. 4 Abs. 3 DSG nicht verletzt. Bicicletta als Marketingfunktion für Geschäftskunden von PostFinance verletzt jedoch den Zweckbindungsgrundsatz nach Art. 4 Abs. 3 DSG.

5.8 Datenrichtigkeit

5.8.1 Ausgangslage

Jeder Datenbearbeiter hat sich über die Richtigkeit der Personendaten zu vergewissern (Art. 5 Abs. 1 DSG). Vergewissern bedeutet, dass die Richtigkeit von Personendaten abzuklären ist. Der Datenbearbeiter hat alle angemessenen Massnahmen zu treffen, damit die Daten berichtigt oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind. Werden unrichtige Daten bearbeitet, so kann dies zu erheblichen Beeinträchtigungen der betroffenen Personen führen. Dabei können an sich geringfügige Fehler bereits bedeutsame Auswirkungen haben (Botschaft DSG BBl 1988 II 450).

Nachfolgend soll geprüft werden, ob die Datenbearbeitung in E-Cockpit und in Bicicletta den Anforderungen an die Datenrichtigkeit entspricht.

5.8.2 Beurteilung der Datenrichtigkeit bei E-Cockpit und Bicicletta aus Sicht des EDÖB

Im Rahmen von E-Cockpit werden die über PostFinance abgewickelten Transaktionen eines Privatkunden auf die vordefinierten Einnahmen- und Ausgabenkategorien automatisch aufgeteilt resp. zugeordnet. Sofern der Privatkunde keine andere Regel definiert hat, wird die Zuteilung zu einer Kategorie aus den abgeleitet, welche unabhängig von E-Cockpit bestehen. PostFinance hat dafür zahlreiche Haupt- und Unterkate- gorien vorgesehen (vgl. dazu Ziff. 8.6 der Sachverhaltsfeststellung vom 11. März 2015). E-Cockpit im heute zu beurteilenden Zustand steht ausschliesslich den E-Finance-Kunden zur Verfügung. PostFinance nutzt die Daten weder für eine personenbezogene Auswertung, noch werden Affinitäten u.Ä. berechnet; es werden auch keine E-Cockpit-Daten an Dritte weitergegeben. Falls eine automatische Zuordnung nicht korrekt oder gar nicht erfolgt, kann der Kunde jederzeit „nachhelfen“, indem er eigene Regeln vornimmt resp. die automatische Zuordnung übersteuert. Unkorrekte Zuordnungen haben keine weiteren Beeinträchtigungen zur Folge für die betroffenen Personen, da die Daten ausschliesslich ihnen zur Verfügung stehen. Aus diesen Gründen wird bei E-Cockpit der Datenrichtigkeit i.S.v. Art. 5 Abs. 1 DSG genüge getan.

Bei Bicicletta wird aus kategorisierten E-Cockpit-Daten und den Stammdaten die statistische Wahrscheinlichkeit, dass ein Privatkunde in einem bestimmten Zeitraum in einer bestimmten Branche einkaufen wird (Affinität), der bei den verschiedenen Geschäftskunden der Branche berechnet. Im Unterschied zu E-Cockpit, wo die vom Privatkunden übersteuerten Standardkategorisierungen berücksichtigt werden, übernimmt Bicicletta die individuellen Änderungen nicht und

(vgl. Ziff. 8.6 der Sachverhaltsfeststellung vom 11. März 2015). Gemäss PostFinance muss als Berechnungsgrundlage von Standard- Kategorien ausgegangen werden, damit die Ergebnisse mit anderen Kunden vergleichbar sind. Die Resultate der Berechnungen werden in der Bicicletta-Datenbank gespeichert. Art. 5 Abs. 1 DSG verpflichtet PostFinance, sich über die Richtigkeit der Personendaten zu vergewissern. Bei Bicicletta ist dies grundsätzlich nicht möglich, da den berechneten Daten eine gewisse Ungenauigkeit inhärent ist. Es handelt sich hier um Wahrscheinlichkeiten, ob ein betroffener PostFinance-Kunde einer bestimmten Zielgruppe resp. Branche angehört oder nicht. Obwohl PostFinance ein Interesse daran hat, dass die betroffenen Kunden effektiv zu der berechneten Zielgruppe gehören, ist eine Abklärung i.S.v. Art 5 Abs. 1 DSG nicht möglich. Es liegt deshalb eine Verletzung von Art. 5 Abs. 1 DSG vor.

Zusammenfassend kann gesagt werden, dass in E-Cockpit den Anforderungen an die Datenrichtigkeit gemäss Art. 5 Abs. 1 DSG genüge getan wird, da die Daten ausschliesslich den jeweiligen Kunden zur Verfügung stehen und diese selbständig Korrekturen anbringen können. Den berechneten Ergebnissen in Bicicletta ist eine gewisse Ungenauigkeit inhärent, weshalb Art. 5 Abs. 1 DSG verletzt wird.

5.9 Datensicherheit

5.9.1 Ausgangslage

Gemäss Art. 7 Abs. 1 DSG müssen Personendaten durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten gesichert werden. Konkretisiert werden diese Anfor- derungen in Art. 8 ff. der Verordnung zum Bundesgesetz über den Datenschutz vom 14. Juni 1993 (VDSG; SR 235.11). Zu gewährleisten sind insbesondere die Vertraulichkeit, die Verfügbarkeit sowie die Integrität der Personendaten. Diese Anforderungen sind dann nicht mehr gewährleistet, wenn ein unberechtigter Dritter auf die Daten zugreifen oder manipulieren könnte. Die Datensicherheit liegt in der Verantwortung derjenigen Stelle, welche die Datenherrschaft über die Personendaten innehat.

Nachfolgend ist zu prüfen, ob die Bearbeitung der Personendaten von PostFinance im Zusammenhang mit E-Cockpit und Bicicletta den Anforderungen an die Datensicherheit genügt.

5.9.2 Beurteilung der Datensicherheit aus Sicht des EDÖB

Den Zugang zu den Datenbanken von E-Cockpit und Bicicletta haben diejenigen PostFinance- Mitarbeiter, welche diesen für ihre Aufgabe benötigen.

Abhängig von der Klassifizierung sind Graphical User Interface (GUI), Applikation sowie Datenbank in einer getrennten Netzwerkzone installiert. Die Applikation ist in der Applikationszone und die Datenbank in der Secure- Zone installiert. Sie befinden sich in den Rechenzentren von PostFinance in Bern und Zofingen. Die Netzwerkzonen werden durch dezidierte Firewalls geschützt und überwacht. Für die Verbindungen zwischen den Netzwerkzonen können nur definierte und freigegebene Ports und Netzwerkprotokolle verwendet werden. Die jeweiligen Netzwerkzonen werden mit unterschiedlichen Monitoring Aktivitäten (z.B. IDS, Stateful Inspection etc.) Realtime überwacht. Für diese Zonen bestehen keine öffentlichen Zugänge. Speziell berechtigte PostFinance-Mitarbeiter (Datenbank Administrator, Applikationsmanager) haben hier für technische Wartung Zugriff. Mitarbeitende müssen einen Auftrag dafür haben (z.B.

Organisatorische Massnahmen zur Sicherstellung der Datensicherheit sind beispielsweise Gremien zur Bestimmung und Umsetzung der Datensicherheit, interne Kontrollen, Rollenkonzepte pro Applikation, Klassifizierung von Informationen, Durchführung von Schutzbedarfsanalysen bei Vorliegen sensitiver Informationen resp. Personendaten, regelmässige Kontrollen der Zugriffsberechtigungen etc. Details werden in Ziff. 10.2 der Sachverhaltsfeststellung vom 11. März 2015 beschrieben.

Die Berechtigungen werden „Need-to-Know“-basierend und rollenbasiert vergeben.

Zur Gewährleistung der Datensicherheit dienen weiter die Richtlinien und Handbücher, die für die gesamte PostFinance gelten.

Die von PostFinance getroffenen technischen und organisatorischen Massnahmen sind geeignet, die E-Cockpit- und die Bicicletta-Daten gegen unbefugtes Bearbeiten i.S.v. Art. 7 Abs. 1 DSG i.V.m. Art. 8 ff VDSG zu sichern.

5.10 Rechtfertigung der Persönlichkeitsverletzung

5.10.1 Ausgangslage

Eine Verletzung der Persönlichkeit ist widerrechtlich, wenn sie nicht durch Einwilligung des Verletzten, durch ein überwiegendes privates oder öffentliches Interesse oder durch eine gesetzliche Grundlage gerechtfertigt ist (Art. 13 Abs. 1 DSG).

Wie vorangehend ausgeführt, liegt aufgrund der Datenbearbeitung entgegen Art. 4 und Abs. 5 Abs. 1 DSG eine Persönlichkeitsverletzung nach Art. 12 Abs. 2 lit. a DSG vor. Es sind deshalb nachfolgend Rechtfertigungsgründe zu prüfen. Das Bundesgericht hat im Urteil BGE 136 II 508 vom 8. September 2010, E.5.2.4, zu den Rechtfertigungsgründen betreffend Art. 12 Abs. 2 lit. a DSG folgendes festgehalten: Eine strikt systematische Auslegung, wonach lediglich bei lit. b und c, nicht aber bei lit. a von Art. 12 Abs. 2 DSG das Geltendmachen eines Rechtfertigungsgrunds zulässig sein soll, erweist sich als verfehlt. Art. 12 Abs. 2 lit. a DSG ist daher so auszulegen, dass eine Rechtfertigung der Bearbeitung von Personendaten entgegen der Grundsätze von Art. 4, Art. 5 Abs. 1 und Art. 7 Abs. 1 DSG zwar nicht generell ausgeschlossen ist, dass Rechtfertigungsgründe im konkreten Fall aber nur mit grosser Zurückhaltung bejaht werden können.

Als Rechtfertigung für die Datenbearbeitung im Zusammenhang mit E-Cockpit und Bicicletta kommt im vorliegenden Fall die Einwilligung der betroffenen Personen in Frage.

Wann eine gültige Einwilligung vorliegt, bestimmt Art. 4 Abs. 5 Satz 1 DSG, wonach die Einwilligung nach angemessener Information freiwillig erfolgen muss.

Das Erfordernis einer angemessenen Information will erreichen, dass die betroffene Person ihre Einwilligung in Kenntnis der Sachlage gibt, d.h. erst entscheiden muss, wenn sie sich ein Bild (auch) über die möglichen negativen Folgen ihrer Einwilligung machen konnte. Erforderlich, aber auch genügend ist letztlich, dass sich die betroffene Person im Klaren darüber sein kann, worin sie einwilligen soll, d.h. was die Tragweite ihrer Entscheidung ist. Je nach Situation wird eine Aufklärung erforderlich sein, die nicht nur auf die Umstände der Datenbearbeitung, sondern auch auf ihre wichtigsten möglichen Risiken bzw. Folgen für die betroffene Person hinweist, insbesondere wenn diese schwerwiegend sind. Eine Einwilligung muss freiwillig erfolgen, das heisst Ausdruck des freien Willens der betroffenen Person sein. Ungültig ist die durch Täuschung, Drohung oder Zwang zustande gekommene Einwilligung. Der betroffenen Person muss eine – mit nicht unzumutbaren Nachteilen behaftete – Handlungsalternative zur Verfügung stehen (vgl. BVGer A-3907/2008 E. 4.2).

5.10.2 Beurteilung der Einwilligung für E-Cockpit aus Sicht des EDÖB

Kunden werden auf einer Zwischenseite nach dem Log-In auf die neuen TNB zu E-Finance aufmerksam gemacht. Diese sind per Link für den Kunden einsehbar und müssen durch Setzen eines Häkchens akzeptiert werden. Es stellt sich hier die Frage, wie diese Akzeptanz der Kunden bezüglich E- Cockpit zu werten ist.

Auf der Zwischenseite wurde informiert, dass u.a. die bisher separaten TNB zu E-Cockpit neu in die TNB zu E-Finance integriert wurden. In diesen neuen TNB wird über die Datenbearbeitung im Zu- sammenhang mit E-Cockpit in Ziff. 11 und Ziff. 19 informiert. Mit diesen Massnahmen erfolgt die Information zu E-Cockpit grundsätzlich angemessen, die betroffenen Personen können die Folgen bei einer Einwilligung in Bezug auf E-Cockpit abschätzen (zu den Ausführungen vgl. Ziff. 5.5.2 dieses Schlussberichtes). Es ist also zu prüfen, ob mit der Akzeptanz der neuen E-Finance TNB die Einwilligung zu E-Cockpit freiwillig erfolgt ist. Seit dem 12. Oktober 2014 haben alle Kunden, welche die neuen TNB bis anhin noch nicht akzeptiert haben, die Möglichkeit, die neuen TNB vollumfänglich zu akzeptieren oder die neuen TNB zu akzeptieren, aber auf die Analyse von Personendaten zu Marketingzwecken zu verzichten. Ein Verzicht auf E-Cockpit ist jedoch nicht möglich, da E-Cockpit nach dem Willen von PostFinance ein fester Bestandteil von E-Finance sein soll. Will ein betroffener Kunde der Datenbearbeitung von E-Cockpit nicht zustimmen, muss er von E-Finance ausscheiden, da er die neuen TNB zu E-Finance nur als Ganzes annehmen kann. Ein Ausscheiden hat zur Folge, dass der Kunde keinen elektronischen Zugang mehr zu seinen PostFinance-Konten hat. Die E-Finance-Kunden müssen in dem Fall ihre Zahlungsaufträge mittels Zahlungsformular auf dem Postweg erledigen oder an den Postschalter gehen. Vor diesem Hintergrund ist zu beachten, dass die PostFinance in den letzten Jahren das System des elektronischen Zahlungsverkehrs permanent ausgedehnt hat, wohingegen die Infrastruktur für den Barzahlungsverkehr eher abgebaut wurde, da sie aufwändig und teuer ist (vgl. auch Botschaft zum Postgesetz, Ziff. 5.2.2, S. 5204-5205). Diese Entwicklung wird sich in den nächsten Jahren wohl fortsetzen. Desweitern ist zu beachten, dass Privatkunden von reinen elektronischen Konten (wie z.B. das E-Sparkonto), welche nur über das E-Finance verfügbar sind, keine Alternative zu E-Finance haben, um diese Konten führen zu können. Daraus folgt, dass bei Ablehnung der neuen E-Finance-TNB für die Kunden keine zumutbaren Handlungsalternativen zur Verfügung stehen.

Mit der Annahme der neuen TNB zu E-Finance werden die Kunden auch gezwungen, die Datenbearbeitung im Zusammenhang mit E-Cockpit zu akzeptieren. Da für E-Cockpit keine Verzichtsmöglichkeit gegeben ist, liegt keine Freiwilligkeit i.S.v. Art. 4 Abs. 5 Satz 1 DSG vor. Für E-Cockpit liegt folglich keine gültige Einwilligung i.S.v. Art. 4 Abs. 5 Satz 1 DSG vor.

5.10.3 Beurteilung der Einwilligung für Bicicletta aus Sicht des EDÖB

Wie vorne ausgeführt (vgl. Ziff. 5.4.3 dieses Schlussberichtes), werden bei der Datenbearbeitung im Zusammenhang mit Bicicletta nach Ansicht des EDÖB Persönlichkeitsprofile bearbeitet. Die Einwilligung muss in diesem Fall nach Art. 4 Abs. 5 Satz 2 DSG ausdrücklich erfolgen und dem Inhaber der Datensammlung obliegt eine erweitere Informationspflicht nach Art. 14 DSG.

Es ist zunächst zu prüfen, ob mit der Akzeptanz der neuen E-Finance TNB die Einwilligung zu Bicicletta erfolgt ist. Nach Art. 4 Abs. 5 Satz 2 DSG muss bei der Bearbeitung von besonders schützenswerten Personendaten oder von Persönlichkeitsprofilen die Einwilligung ausdrücklich erfolgen. Ausdrücklich ist die Einwilligung, wenn die Zustimmung der betroffenen Person sich ausdrücklich auf die Bearbeitung dieser Daten bezieht. Seit dem 12. Oktober 2014 haben die E-Finance-Kunden auf der Zwischenseite nach dem Einstieg in E-Finance die Wahlmöglichkeiten, entweder die TNB zu akzeptieren und von Angebote von Dritten zu profitieren oder die TNB zu akzeptieren, jedoch auf die Analyse von Personendaten zu Marketingzwecken und damit auf Angebote von Dritten zu verzichten. Diese Wahlmöglichkeiten werden allen Kunden zur Verfügung gestellt, welche bis zum 12. Oktober 2014 noch nicht in E-Finance eingestiegen sind resp. die neuen TNB zu E-Finance noch nicht angenom- men haben. Die betroffenen Personen haben damit die Möglichkeit, klar und deutlich zum Ausdruck zu bringen, ob sie mit der Datenbearbeitung im Zusammenhang mit Bicicletta einverstanden sind. Die Zustimmung erfolgt zudem i.S.v. Art. 4 Abs. 5 Satz 1 DSG freiwillig, da die betroffenen Personen sich ohne Nachteile gegen die Bearbeitung ihrer Daten zwecks Bicicletta aussprechen können. Folglich liegt in diesen Fällen eine ausdrückliche Einwilligung i.S.v. Art. 4 Abs. 5 Satz 2 DSG vor.

Alle anderen Kunden, welche bereits vor dem 12. Oktober 2014 die TNB akzeptiert hatten, hatten diese Wahlmöglichkeit auf der Zwischenseite von E-Finance nicht unmittelbar. Die Erklärung erfolgte zwar auch freiwillig i.S.v. Art. 4 As. 5 Satz 1 DSG, da die betroffenen Personen sich jederzeit nachträglich von Bicicletta abmelden können („Opt-Out“; vgl. Ziff. 20 TNB E-Finance und vorne Ziff. 5.5.3 dieses Schlussberichtes mit Anmerkungen). Wie im letzten Satz von Ziff. 20 der TNB zu E-Finance informiert wird, geht PostFinance bis zur Verzichtserklärung einer betroffenen Person vom Einverständnis des Privatkunden aus. Die Einwilligung zur Datenbearbeitung im Zusammenhang mit Bicicletta darf sich aber eben nicht implizit ergeben. Mit der globalen Akzeptanz der neuen TNB zu E- Finance geht daher nicht ausdrücklich die Zustimmung der betroffenen Personen zur Datenbearbeitung im Zusammenhang mit Bicicletta einher. Für Kunden, welche vor dem 12. Oktober 2014 die TNB in der beschriebenen Form akzeptiert haben, liegt deshalb keine ausdrückliche Einwilligung i.S.v. Art. 4 Abs. 5 Satz 2 DSG vor.

Des Weiteren sieht Art. 14 DSG eine erweitere Informationspflicht bei der Beschaffung von Persönlichkeitsprofilen vor. In diesem Fall muss der Inhaber der Datensammlung die betroffene Person aktiv über die Beschaffung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen informieren. Dabei ist der betroffenen Person nach Art. 14 Abs. 2 DSG mindestens mitzuteilen, a. der Inhaber der Datensammlung, b. der Zweck des Bearbeitens, c. die Kategorien der Datenempfänger, wenn eine Datenbekanntgabe vorgesehen ist. Zu prüfen ist zunächst, ob mit Ziff. 25 der Allgemeinen Geschäftsbedingungen (AGB) zu PostFinance, die für alle PostFinance-Kunden gilt, angemessen i.S.v. Art. 14 DSG informiert wird (vgl. Ziff. 6 der Sachverhaltsfeststellung vom 11. März 2015). Hier wird u.a. die Zustimmung des Kunden eingeholt, dass PostFinance die ihr zur Verfügung stehenden Kundendaten mit technischen Mitteln auswerten darf. Und weiter: „Die Analyse dient der laufenden Verbesserung der Dienstleistungen und im Verhältnis zum einzelnen Kunden zur Auslösung von Betreuungshinweisen […] und deren Unterbreitung von bedürfnisgerechten Angeboten.“ Im Vordergrund steht hier die Erwähnung von „bedürfnisgerechten Angeboten“. In den Antworten zu den Ergänzungsfragen vom EDÖB vom 5. Dezember 2014 führt PostFinance dazu sinngemäss aus, dass damit bankenspezifische Produkte und Dienstleistungen gemeint sind. Kunden sollen mit „spezifischen Marktbearbeitungsmassnahmen über Sparpotenziale und eine optimierte Dienstleistungsnutzung informiert werden“ können. Bei Bicicletta geht es allerdings um die Analyse von Transaktionsdaten mit dem Ziel, E-Finance-Kunden zielgerichtete Werbung von Dritten (Geschäftskunden) anzuzeigen. Ziff. 25 der AGB zu PostFinance genügt deshalb nicht als Information i.S.v. Art. 14 DSG. Spezifisch informiert wird aber in Ziff. 11 und Ziff. 20 der TNB zu E-Finance, welche auf der Zwischenseite nach dem Log- In verlinkt sind und vom Kunden eingesehen werden können. Die Funktionsweise von Bicicletta wird hier genügend transparent dargestellt (vgl. auch Ziff. 5.5.3 dieses Schlussberichtes); auch gehen der Inhaber der Datensammlung und der Zweck der Bearbeitung direkt aus den Informationen oder aus den Umständen hervor. Der Kunde versteht, dass seine Transaktionsdaten analysiert werden, um ihm

zielgerichtete Werbung von Drittanbietern auf dem E-Finance-Portal aufzuschalten, falls er Bicicletta nutzen will. Es wird ihm auch genügend transparent mitgeteilt, wie Bicicletta funktioniert. PostFinance kommt damit seiner Informationspflicht gemäss Art. 14 DSG genügend nach.

Zusammenfassend liegt für E-Cockpit – vor dem Hintergrund, dass den Kunden keine echte Handlungsalternative gegeben ist – wegen fehlender Verzichtsmöglichkeit keine gültige Einwilligung i.S.v. Art. 4 Abs. 5 Satz 1 DSG vor.

Da in Bicicletta Persönlichkeitsprofile bearbeitet werden, muss die Einwilligung gemäss Art. 4 Abs. 5 Satz 2 DSG ausdrücklich sein. Diese liegt für Kunden, welche ab dem 12. Oktober 2014 auf der Zwischenseite nach dem Einstieg in E-Finance Bicicletta gewählt haben, vor. Für alle anderen Kunden gilt, dass die globale Akzeptanz der neuen TNB zu E-Finance keine ausdrückliche Zustimmung zu Bicicletta mitumfasst. Für die Beschaffung von Persönlichkeitsprofilen sieht Art. 14 DSG zudem eine erweiterte Informationspflicht vor, welcher PostFinance aber genügend nachkommt.

5.11 Auskunftsrecht

5.11.1 Ausgangslage

Gemäss Art. 8 DSG kann jede Person vom Inhaber einer Datensammlung Auskunft darüber verlangen, ob Daten über sie bearbeitet werden. Der Inhaber der Datensammlung muss der betroffenen Person mitteilen:

– alle über sie in der Datensammlung vorhandenen Daten einschliesslich der verfügbaren Angaben über die Herkunft der Daten; – den Zweck und gegebenenfalls die Rechtsgrundlagen des Bearbeitens sowie die Kategorien der bearbeiteten Personendaten, der an der Sammlung Beteiligten und der Datenempfänger.

Lässt der Inhaber der Datensammlung Personendaten durch einen Dritten bearbeiten, so bleibt er auskunftspflichtig. Der Dritte ist auskunftspflichtig, wenn er den Inhaber nicht bekannt gibt oder dieser keinen Wohnsitz in der Schweiz hat. Die Auskunft ist in der Regel schriftlich, in Form eines Ausdrucks oder einer Fotokopie sowie kostenlos zu erteilen. Der Bundesrat regelt die Ausnahmen.

Wird die Auskunft verweigert, eingeschränkt oder aufgeschoben, muss nach Art. 9 Abs. 4 DSG hierfür ein Grund angegeben werden.

Bis zum Zeitpunkt der Sachverhaltsfeststellung sind bei PostFinance keine Auskunftsbegehren eingegangen, welche spezifisch auf E-Cockpit oder Bicicletta abzielen. Ein allgemein abgefasstes Muster für eine Auskunftserteilung liegt dem EDÖB vor. Es werden darin die verschiedenen Angaben i.S.v. Art. 8 DSG gemacht. Es ist vorgesehen, dieses Schreiben, auf den jeweiligen Auskunftsersuchenden angepasst, als Antwort zuzustellen. Dem Schreiben wird zusätzlich das Datenblatt der Stammdaten des Kunden (Basisdaten) beigelegt (ein Muster liegt dem EDÖB vor).

5.11.2 Beurteilung aus Sicht des EDÖB

Was die Auskunftserteilung von E-Cockpit-Daten anbelangt, hat der E-Finance-Kunde über das Online-Portal jederzeit die Möglichkeit, die in E-Cockpit kategorisierten Daten einzusehen und erkennt die von PostFinance bearbeiteten Kategorien. In diesem Sinne ist diese Datenbearbeitung für den Kunden transparent (vgl. Art. 4 Abs. 4 DSG) und muss dem Kunden nicht separat mit der Auskunftserteilung detailliert mitgeteilt werden. Die Angaben, welche in der schriftlichen Auskunftserteilung von PostFinance gemacht werden, sind i.S.v. Art. 8 DSG für E-Cockpit deshalb genügend.

Die Zuordnung der Privatkunden in entsprechende Affinitäten resp. die Zuordnung zu einer bestimmten Branche, in einer bestimmten Branche stellen wesentliche Komponenten im Zusammenhang mit der Datenbearbeitung von Bicicletta dar. Die den Transaktionen, z.B. im E-Cockpit, detailliert einsehbar. Der Kunde hat hier die Möglichkeit, die Suchfunktion so einzustellen, dass er über einen beliebigen Zeitraum sowohl seine Kaufhäufigkeit als auch die Kaufbeträge einsehen kann. Diese Datenbearbeitung erfolgt insofern für den Kunden transparent (vgl. Art. 4 Abs. 4 DSG). Die Daten werden in der höchstens kurzfristig gespeichert (vgl. Ziff. 9.8 dieses Schlussberichtes). Die Affinitäten werden mittels Algorithmen berechnet, allerdings erst, wenn eine entsprechende Anfrage eines Geschäftskunden von PostFinance erfolgt. Sie ändern sich folglich ständig, und die Berechnungen werden anschliessend wieder gelöscht. PostFinance hat bewusst auf eine Historisierung oder Aufbewahrung dieser Daten verzichtet, was unter dem Aspekt der Verhältnismässigkeit (Art. 4 Abs. 2 DSG) zu begrüssen ist. Mit der schriftlichen Auskunftserteilung gibt PostFinance auf allgemeine Weise über die Funktionsweise von Bicicletta bzw. die Verwendung dieser Daten i.S.v. Art. 8 DSG Auskunft. Sofern im Zeitpunkt des Auskunftsgesuches berechnete Daten im Zusammenhang mit Bicicletta in der -Datenbank über die betroffene Person vorhanden sind, müssen diese Daten mit der schriftlichen Auskunftserteilung bekannt gegeben werden (vgl. Art. 8 Abs. 2 lit. a DSG). Die genaue Berechnungsweise, wie PostFinance zu diesen Ergebnissen gekommen ist, muss nicht bekannt gegeben werden, da diese Information als Geschäftsgeheimnis und deshalb als Einschränkungsgrund i.S.v. Art. 9 Abs. 4 DSG zu verstehen ist. Es genügt, dass PostFinance hier auf allgemeine Weise Auskunft gibt.

Das vorgesehene Verfahren und die Form der Auskunftserteilung von PostFinance entsprechen den Anforderungen von Art. 8 DSG i.V.m. Art. 1 VDSG.

Zusammenfassend entsprechen die Angaben in der schriftlichen Auskunftserteilung bezüglich E-Cockpit und Bicicletta den Anforderungen von Art. 8 DSG. Sofern im Zeitpunkt der Auskunftserteilung berechnete Daten im Zusammenhang mit Bicicletta in der -Datenbank über den auskunftsersuchenden Kunden vorhanden sind, sind diese Daten mit der schriftlichen Auskunftserteilung bekannt zu geben (vgl. Art. 8 Abs. 2 lit. a DSG). Das vorgesehene Verfah- ren, die Form und der Inhalt der Auskunftserteilung von PostFinance entsprechen den Anforderungen von Art. 8 DSG i.V.m. Art. 1 VDSG.

5.12 Datenbekanntgabe an Dritte

5.12.1 Ausgangslage

Nach Art. 3 lit. f DSG ist unter Bekanntgabe das Zugänglichmachen von Personendaten wie das Einsichtgewähren, Weitergeben oder Veröffentlichen zu verstehen. Mit Dritten ist hier jede andere Person oder Stelle im In- und Ausland gemeint.

5.12.2 Beurteilung aus Sicht des EDÖB

E-Cockpit-Daten stehen ausschliesslich den betroffenen Privatkunden zur Verfügung, welche E- Cockpit in ihrem E-Finance-Bereich nutzen wollen. Die Daten werden nicht an Dritte i.S.v. Art. 3 lit. f DSG bekannt gegeben.

Gemäss PostFinance werden den Geschäftskunden in Bicicletta zu keinem Zeitpunkt Kundendaten angezeigt, welche Rückschlüsse auf einen bestimmten Kunden ermöglichen würden. Der Geschäftskunde könne auch zu keinem Zeitpunkt erkennen, an welchen Privatkunden eine Gutschrift für ein eingelöstes Angebot erfolgt sei (vgl. dazu und zu weiteren Details des Verfahrens Ziff. 9.7 der Sachverhaltsfeststellung vom 11. März 2015). PostFinance will bis zum Start von Bicicletta noch weitere Sicherheitsüberlegungen in die Applikation miteinfliessen lassen, um Rückschlüsse auf konkrete Personen zu verhindern. So soll es in der vom Geschäftskunden gewählten Branche und der ausgewählten geografischen Eingrenzung genügend Konkurrenten geben. Auch soll die Mindestanzahl der Kunden, welche den Selektionskriterien entsprechen, genügend hoch sein (je nach Branche). PostFinance wird diese Standards nach der ersten Testphase von Bicicletta definieren und bis zur Einführung umgesetzt haben. Der EDÖB stellt fest, dass nach heutiger Beurteilung von Bicicletta keine Bekanntgabe von Personendaten i.S.v. Art. 3 lit. f DSG stattfindet.

Sowohl bei E-Cockpit als auch bei Bicicletta findet keine Bekanntgabe von Personendaten an Dritte i.S.v. Art. 3 lit. f DSG statt.

5.13 Anmeldung der Datensammlung

5.13.1 Ausgangslage

Nach Art. 11a Abs. 3 DSG müssen private Personen Datensammlungen anmelden, wenn: a. Regelmässig besonders schützenswerte Personendaten bearbeitet werden; oder b. Regelmässig Personendaten an Dritte bekannt gegeben werden.

Ausnahmen von der Anmeldepflicht von Datensammlungen finden sich in Art. 11a Abs. 5 DSG.

PostFinance gibt im Rahmen von E-Cockpit und Bicicletta aus heutiger Sicht keine Personendaten an Dritte bekannt (vgl. Ziff. 5.12 dieses Schlussberichtes). Da in Bicicletta Persönlichkeitsprofile bearbeitet werden, wird nachfolgend geprüft, ob die Datenbank von Bicicletta angemeldet werden muss.

5.13.2 Beurteilung aus Sicht des EDÖB

Eine Datensammlung ist gemäss Art. 3 lit. g DSG jeder Bestand von Personendaten, der so aufgebaut ist, dass die Daten nach betroffenen Personen erschliessbar sind. Die Resultate aus den Berechnungen werden in die PAS-Datenbank übermittelt, ebenso die Stammdaten der Privatkunden zur demografischen Selektion. Die PAS-Datenbank ist somit eine Datensammlung gemäss Art. 3 lit. g DSG, da sie einen Bestand von Personendaten enthält, der nach betroffenen Personen erschliessbar ist. Diese Datensammlung enthält Persönlichkeitsprofile i.S.v. Art. 3 lit. d DSG (vgl. Ziff. 5.4.3 dieses Schlussberichtes). Nach Art. 11a Abs. 3 DSG ist die Datenbank im Zusammenhang mit Bicicletta daher grundsätzlich anzumelden. PostFinance hat jedoch eine datenschutzverantwortliche Person i.S.v. Art. 11a Abs. 5 lit. e DSG bezeichnet, weshalb eine Anmeldepflicht entfällt.

Da einerseits keine Daten im Zusammenhang mit E-Cockpit und Bicicletta an Dritte weitergegeben werden und PostFinance eine datenschutzverantwortliche Person i.S.v. Art. 11a Abs. 5 lit. e DSG bezeichnet hat, entfällt die Anmeldepflicht nach Art. 11a Abs. 3 DSG.

6. Ergebnisse

Aufgrund der Auswertung der eingereichten Unterlagen und Dokumente sowie gestützt auf die durchgeführte Kontrolle von PostFinance gemäss Art. 29 DSG gelangt der EDÖB zu einer kritischen Gesamtbeurteilung von E-Cockpit und Bicicletta. Die Datenschutzkontrolle hat gezeigt, dass die in diesem Zusammenhang vorgenommenen Datenbearbeitungen nicht in allen Aspekten datenschutzkonform verlaufen. Der EDÖB ist in seiner Kontrolle auf Sachverhalte gestossen, welche aus datenschutzrechtlicher Sicht einer Verbesserung resp. Änderung bedürfen.

An einer Sitzung zwischen der PostFinance und dem EDÖB und mit Schreiben vom 25. März und vom 13. Mai 2015 noch vor Abschluss dieses Schlussberichtes hat Letzterer seine datenschutzrechtlichen Bedenken erläutert. PostFinance hat daraufhin mit Schreiben vom 2. April und vom 18. Mai 2015 einige Verbesserungsvorschläge gemacht und deren Umsetzung zugesichert. In den nachfolgenden Ausführungen wird auf diese, wo nötig, detaillierter eingegangen.

Ausgehend von diesem Gesamtbild erlässt der EDÖB zuhanden von PostFinance seine Gesamtbeurteilun. Bezugnehmend auf die jeweiligen rechtlichen Beurteilungen wird im Folgenden dargelegt, in welchen Punkten die durch die PostFinance im Rahmen von E-Cockpit und Bicicletta durchgeführten

Datenbearbeitungen verbesserungsbedürftig sind und welche Änderungen vorgenommen werden müssen. Die von PostFinance zugesicherten Änderungsvorschläge wurden anschliessend bereits aufgenommen.

6.1 Daten als Personendaten

Sowohl bei E-Cockpit als auch bei Bicicletta werden der Privatkunden von E-Finance bearbeitet. Diese Daten sind bestimmten Personen zugeordnet und als solche als Personendaten i.S.v. Art. 3 lit. a DSG zu verstehen.

6.2 Daten als besonders schützenswerte Personendaten

E-Cockpit analysiert die der Privatkunden von E-Finance anhand der und teilt sie automatisch einer bestimmten Kategorie zu. Der EDÖB hat festgestellt, dass diese Daten grundsätzlich unabhängig von E-Cockpit bearbeitet werden und sie ausschliesslich den einzelnen Privatkunden in ihrem E-Finance-Bereich zur Verfügung stehen. PostFinance wertet die Daten nicht für eigene oder fremde Zwecke aus. Es kann festgehalten werden, dass PostFinance mit E- Cockpit in der derzeitigen Ausgestaltung keine besonders schützenswerte Personendaten für eigene Zwecke i.S.v. Art. 3 lit. c DSG bearbeitet.

Bicicletta hat als Grundlage die innerhalb von E-Cockpit bearbeiteten und kategorisierten Daten. Die E-Cockpit-Daten werden in Bicicletta weiterverwendet, um mittels Algorithmen die Wahrscheinlichkeit zu berechnen, ob ein Privatkunde einer bestimmten Zielgruppe angehört, um ihm Angebote von Dritten in seinem E-Finance-Bereich anzuzeigen. Es kann festgehalten werden, dass mit den heute bekannten Kategorien von Daten innerhalb von Bicicletta keine besonders schützenswerte Personendaten für eigene Zwecke i.S.v. Art. 3 lit. c DSG bearbeitet werden.

6.3 Daten als Persönlichkeitsprofile

Im Zusammenhang mit E-Cockpit bearbeitet PostFinance keine Persönlichkeitsprofile i.S.v. Art. 3 lit. d DSG, solange die Daten ausschliesslich für die Kunden im Zusammenhang mit den Funktionen von E- Cockpit gespeichert werden und sie weder von PostFinance noch von Dritten weiterverarbeitet werden. Im Unterschied dazu werden in Bicicletta diese E-Cockpit-Daten analysiert mit dem Ziel, den betroffenen Personen zielgerichtete Werbung in E-Finance einzublenden, weshalb hier von einem Persönlichkeitsprofil gemäss Art. 3 lit. d DSG anzugehen ist.

6.4 Bearbeitung nach Treu und Glauben / Transparenz

PostFinance informiert über die Neuerungen im Zusammenhang mit E-Cockpit und Bicicletta seit dem 12. Oktober 2014 auf der Zwischenseite nach dem Log-In in E-Finance, und die neuen TNB zu E- Finance sind verlinkt. Diese Mittel sind geeignet, um die betroffenen Personen zu erreichen, und für sie genügend sichtbar. In Ziff. 19 und 20 der TNB wird über den Zweck von E-Cockpit und Bicicletta informiert. Zusammenfassend erfolgt die Datenbearbeitung bei E-Cockpit und Bicicletta nach dem Grundsatz von Treu und Glauben gemäss Art. 4 Abs. 2 und ist für die betroffene Person genügend erkennbar.

Hinsichtlich der Abmeldungen von Bicicletta („Opt-Out“) werden die Privatkunden in Ziff. 20 der TNB informiert. Gemäss PostFinance können sich die Kunden nach der Lancierung von Bicicletta innerhalb von E-Finance bei den „Einstellungen“ von Bicicletta wieder abmelden. Eine Information über dieses Vorgehen wird in der Produktebeschreibung von Bicicletta online unter www.postfinance.ch Erwähnung finden. Insofern erfolgt die Datenbearbeitung bei Bicicletta nach dem Grundsatz von Treu und Glauben i.S.v. Art. 4 Abs. 2 DSG und der nachträgliche Verzicht („Opt-Out“) ist für die betroffenen Personen genügend transparent.

6.5 Verhältnismässigkeit der Datenbearbeitung

6.5.1 Verhältnismässigkeit in inhaltlicher Hinsicht

In der neuen Benutzeroberfläche von E-Finance sind die Funktionen von E-Cockpit im Zuge der Neugestaltung der Plattform vollständig integriert worden, d.h. E-Cockpit bildet neu einen festen Bestandteil für alle Privatkunden von E-Finance, der sich nicht abschalten lässt. Es hat sich aber gezeigt, dass E-Cockpit für eine funktionierende E-Banking-Benutzeroberfläche nicht zwingend erforderlich ist. Die feste Einbindung von E-Cockpit in E-Finance ohne Verzichtsmöglichkeit ist daher inhaltlich i.S.v. Art. 4 Abs. 2 DSG nicht notwendig.

Bei Bicicletta werden aus PostFinance-Zahlungsverkehrsdaten Erkenntnisse gezogen, anhand derer Drittanbieter im E-Finance-Portal den Privatkunden gezielte Angebote in Form von Rabatten unterbreiten können. Bicicletta ist für reine Marketingfunktionen konzipiert worden. Die Datenbearbeitung in diesem Zusammenhang ist für die Funktion von E-Finance nicht notwendig und daher i.S.v. Art. 4 Abs. 2 DSG inhaltlich nicht notwendig.

6.5.2 Verhältnismässigkeit in zeitlicher Hinsicht

Für die Funktionen von E-Cockpit und für Bicicletta erscheint die Speicherung der Daten für die Dauer der Kundenbeziehung resp. bis maximal zehn Jahre als sinnvoll und i.S.v. Art. 4 Abs. 2 DSG zeitlich verhältnismässig.

6.6 Zweck der Datenbearbeitung

Solange sich die Datenbearbeitung von E-Cockpit auf die Funktionen Darstellung, Archivierung und Recherche beschränkt, liegt sie noch innerhalb des Zwecks von E-Finance, die Abwicklung des Bankgeschäftes über Datenleitungen zu ermöglichen. Auch die Zusatzfunktionen wie Definition von Sparzielen und Budgets oder Meldungen bewegen sich noch in diesem Bereich. Es kann deshalb festgehalten werden, dass E-Cockpit in der heute beschriebenen Form den Zweckbindungsgrundsatz von Art. 4 Abs. 3 DSG nicht verletzt.

Bicicletta hat den Zweck, dem entsprechenden Kunden zielgruppenspezifische Angebote von Dritten (Geschäftskunden) zu unterbreiten. Diese Datenbearbeitung stellt eine Zweckänderung i.S.v. Art. 4 Abs. 3 DSG dar. Insofern wird durch die Bearbeitung der PostFinance-Kundendaten im Zusammenhang mit Bicicletta der Zweckbindungsgrundsatz nach Art. 4 Abs. 3 DSG verletzt (zur Rechtfertigung durch Einwilligung der betroffenen Personen vgl. Ziff. 6.7 dieses Schlussberichtes).

6.7 Rechtfertigung der Persönlichkeitsverletzung

Kunden wurden resp. werden auf einer Zwischenseite nach dem Log-In in E-Finance auf die neuen TNB aufmerksam gemacht. Die TNB sind per Link einsehbar und müssen durch Setzen eines Häkchens akzeptiert werden.

Auf der Zwischenseite wird informiert, dass u.a. die bisher separaten TNB zu E-Cockpit neu in die TNB zu E-Finance integriert wurden, wo v.a. in Ziff. 19 über die Datenbearbeitung im Zusammenhang mit E-Cockpit informiert wird. Mit diesen Massnahmen erfolgt die Information zu E-Cockpit grundsätzlich angemessen. Ein Verzicht auf E-Cockpit ist jedoch nicht möglich. Will ein betroffener Kunde der Datenbearbeitung von E-Cockpit nicht zustimmen, muss er von E-Finance ausscheiden, da er die neuen TNB zu E-Finance nur als Ganzes annehmen kann. Ein Ausscheiden hat zur Folge, dass der Kunde keinen elektronischen Zugang mehr zu seinen PostFinance-Konten hat. Bei Ablehnung der neuen E-Finance-TNB stehen für die Kunden damit keine zumutbaren Handlungsalternativen zur Verfügung. Da für E-Cockpit keine Verzichtsmöglichkeit gegeben ist, liegt keine Freiwilligkeit und folglich keine gültige Einwilligung i.S.v. Art. 4 Abs. 5 Satz 1 DSG vor.

PostFinance hat noch vor Abschluss dieses Schlussberichtes mit Schreiben vom 2. April 2015 bestätigt, eine Verzichtsmöglichkeit betreffend E-Cockpit einzuführen. Nach der Einführung der Verzichtsmöglichkeit ist die Freiwilligkeit zur Datenbearbeitung im Zusammenhang mit E-Cockpit gegeben und die Einwilligung i.S.v. Art. 4 Abs. 5 Satz 1 DSG gültig.

Vom Erlass einer Empfehlung i.S.v. Art. 29 Abs. 3 DSG kann daher abgesehen werden.

Bei der Datenbearbeitung im Zusammenhang mit Bicicletta werden nach Ansicht des EDÖB Persönlichkeitsprofile bearbeitet. Die Einwilligung muss in diesem Fall nach Art. 4 Abs. 5 Satz 2 DSG ausdrücklich erfolgen und dem Inhaber der Datensammlung obliegt eine erweitere Informationspflicht nach Art. 14 DSG. Der Informationspflicht gemäss Art. 14 DSG kommt PostFinance in Ziff. 11 und Ziff. 20 der TNB zu E-Finance genügend nach. Die Funktionsweise von Bicicletta wird hier transparent dargestellt. Seit dem 12. Oktober 2014 haben die E-Finance-Kunden auf der Zwischenseite nach dem Einstieg in E-Finance die Wahlmöglichkeiten, entweder die TNB zu akzeptieren und von Angebote von Dritten zu profitieren oder die TNB zu akzeptieren, jedoch auf die Analyse von Personendaten zu Marketingzwecken und damit auf Angebote von Dritten zu verzichten. Diese Wahlmöglichkeiten wird allen Kunden zur Verfügung gestellt, welche bis zum 12. Oktober 2014 noch nicht in E-Finance eingestiegen sind resp. die neuen TNB zu E-Finance noch nicht angenommen haben. Alle anderen Kunden, welche bereits vor dem 12. Oktober 2014 die TNB akzeptiert hatten, hatten diese Wahlmöglichkeiten auf der Zwischenseite von E-Finance nicht unmittelbar. Die Erklärung erfolgte zwar auch freiwillig i.S.v. Art. 4 As. 5 Satz 1 DSG, da die betroffenen Personen sich jederzeit nachträglich von Bicicletta abmelden können („Opt-Out“; vgl. Ziff. 20 TNB E-Finance und vorne Ziff. 5.5.3 dieses Schlussberichtes mit Anmerkungen). Mit der globalen Akzeptanz der neuen TNB zu E-Finance geht aber nicht ausdrücklich die Zustimmung der betroffenen Personen zur Datenbearbeitung im Zusammenhang mit Bicicletta einher. Daher dürfen die Daten von den betroffenen Personen nicht ohne weiteres für Bicicletta verwendet werden.

PostFinance teilt die Rechtsauffassung des EDÖB bezüglich Bicicletta nicht. Trotzdem hat sie mit Schreiben vom 2. April 2015 bestätigt, bei denjenigen Kunden, die den TNB zu E-Finance ohne unmittelbare Online-Wahlmöglichkeit zugestimmt haben (also vor dem 12. Oktober 2014), die Einwilligung nochmals einzuholen und nur bei entsprechender Einwilligung eine Datenanalyse zwecks Drittangeboten zu machen. Der EDÖB erachtet dieses Vorgehen als angemessen, zumal bis zum jetzigen Zeitpunkt keine Datenanalysen gemacht wurden und deren erstmalige Durchführung somit in jedem Fall erst nach Vorliegen der nachträglich eingeholten Einwilligung erfolgt.

Vom Erlass einer Empfehlung i.S.v. Art. 29 Abs. 3 DSG kann daher abgesehen werden.

6.8 Datenrichtigkeit

In E-Cockpit wird den Anforderungen an die Datenrichtigkeit gemäss Art. 5 Abs. 1 DSG genüge getan, da zusammengefasst die Daten ausschliesslich den jeweiligen Kunden zur Verfügung stehen und diese selbständig Korrekturen anbringen können.

Den berechneten Ergebnissen in Bicicletta ist eine gewisse Ungenauigkeit inhärent, Art. 5 Abs. 1 DSG wird verletzt. PostFinance wird daher angehalten, alle angemessenen Massnahmen zu treffen, die Berechnungen ständig zu verbessern und um falsche Daten laufend zu berichtigen oder zu vernichten.

6.9 Datensicherheit

Die von PostFinance getroffenen technischen und organisatorischen Massnahmen sind geeignet, die E-Cockpit- und die Bicicletta-Daten gegen unbefugtes Bearbeiten i.S.v. Art. 7 Abs. 1 DSG i.V.m. Art. 8 ff VDSG zu sichern.

6.10 Auskunftsrecht

Die Angaben bezüglich E-Cockpit, welche in der schriftlichen Auskunftserteilung von PostFinance gemacht werden, entsprechen den Anforderungen von Art. 8 DSG.

In Bicicletta stellen die Berechnung der Affinitäten der Privatkunden resp. die Zuordnung zu einer bestimmten Branche, in einer bestimmten Branche wesentliche Komponenten im Zusammenhang mit der Datenbearbeitung dar. Diese Informationen werden jedoch grundsätzlich nicht in der Datenbank gespeichert, da sie sich ständig ändern. Falls im Zeitpunkt der Auskunftserteilung berechnete Daten im Zusammenhang mit Bicicletta in der PAS-Datenbank vorhanden sind, sind diese Daten mit der schriftlichen Auskunftserteilung bekannt zu geben (vgl. Art. 8 Abs. 2 lit. a DSG). Die genaue Berechnungsweise, wie PostFinance zu diesen Ergebnissen gekommen ist, muss nicht bekannt gegeben werden, da diese Information als Geschäftsgeheimnis und deshalb als Einschränkungsgrund i.S.v. Art. 9 Abs. 4 DSG zu verstehen ist.

Das vorgesehene Verfahren, die Form und der Inhalt der Auskunftserteilung von PostFinance entsprechen den Anforderungen von Art. 8 DSG i.V.m. Art. 1 VDSG.

6.11 Datenbekanntgabe an Dritte

E-Cockpit-Daten stehen ausschliesslich den betroffenen Privatkunden zur Verfügung, welche E- Cockpit in ihrem E-Finance-Bereich nutzen wollen. Die Daten werden nicht an Dritte i.S.v. Art. 3 lit. f DSG bekannt gegeben.

Betreffend Bicicletta werden gemäss PostFinance den Geschäftskunden zu keinem Zeitpunkt Kundendaten angezeigt, welche Rückschlüsse auf einen bestimmten Kunden ermöglichen würden. Im heutigen Zeitpunkt ist auch davon auszugehen, dass der Geschäftskunde zu keinem Zeitpunkt erkennen kann, an welchen Privatkunden eine Gutschrift für ein eingelöstes Angebot erfolgt ist (vgl. dazu und zu weiteren Details des Verfahrens Ziff. 9.7 der Sachverhaltsfeststellung vom 11. März 2015). Somit erfolgt nach heutiger Beurteilung auch in Bicicletta keine Bekanntgabe von Personendaten i.S.v. Art. 3 lit. f DSG.

6.12 Anmeldung der Datensammlung

E-Cockpit erfüllt keine der Voraussetzungen zur Anmeldepflicht gemäss Art. 11a Abs. 3 DSG. Da im Zusammenhang mit Bicicletta regelmässig Persönlichkeitsprofile bearbeitet werden, ist die Datensammlung nach Art 11a Abs. 3 lit. a DSG grundsätzlich anmeldepflichtig. PostFinance hat jedoch eine datenschutzverantwortliche Person i.S.v. Art. 11a Abs. 5 lit. e DSG bezeichnet, weshalb die Anmeldepflicht entfällt.

7. Schlussfolgerungen

7.1 Bezüglich der Kontrolle im Zusammenhang mit E-Cockpit und Bicicletta von PostFinance

Die durchgeführte Datenschutzkontrolle konnte dem EDÖB einen vertieften Einblick in die Datenbearbeitung im Zusammenhang mit E-Cockpit und Bicicletta liefern. Die von PostFinance zu Verfügung gestellten Unterlagen und Dokumente haben es dem EDÖB erlaubt, die damit verbundene Datenbearbeitung auf die Einhaltung der Datenschutzbestimmungen zu überprüfen.

Der EDÖB gelangt zu einer kritischen Gesamtbeurteilung der Datenbearbeitung im Zusammenhang mit E-Cockpit und Bicicletta. Er ist in seiner Kontrolle auf Sachverhalte gestossen, welche aus datenschutzrechtlicher Sicht einer Verbesserung resp. Änderung bedürfen. Vorbehältlich der Umsetzung der von PostFinance mit Schreiben vom 2. April 2015 und 18. Mai 2015 zugesicherten Verbesserung kann auf Empfehlungen im Sinne von Art 29. Abs. 3 DSG verzichtet werden.

7.2 Verfahren und weiteres Vorgehen

Der vorliegende Kontrollbericht enthält eine Reihe von Feststellungen, welche vom EDÖB auf Basis der durchgeführten Kontrolle verfasst wurden. Der vorliegende Kontrollbericht wird PostFinance zur Kenntnisnahme zugestellt.

Vorbehältlich der von PostFinance mit Schreiben vom 2. April und 18. Mai 2015 zugesicherten Verbesserungen ist die Sachverhaltsabklärung im Zusammenhang mit E-Cockpit und Bicicletta soweit abgeschlossen. Eine Nachkontrolle der Verbesserungen zu einem späteren Zeitpunkt wird ausdrücklich vorbehalten.

Es besteht ein grundsätzliches Interesse daran, die Öffentlichkeit für die vorliegende Art der Datenbearbeitung zu sensibilisieren und sie insbesondere über die erfolgte Datenschutzkontrolle bei PostFinance und die diesbezüglichen Ergebnisse zu informieren. Gestützt auf Art. 30 Abs. 2 DSG wird der EDÖB daher den vorliegenden Kontrollbericht in einer angepassten Version publizieren. Selbstver- ständlich erfolgt die Publikation unter dem Vorbehalt, dass keine aus Sicht von PostFinance vertraulichen Daten, welche Geschäftsgeheimnisse offenbaren oder die Konkurrenzfähigkeit beeinflussen könnten, bekannt gegeben werden. PostFinance wird daher aufgefordert, den Schlussbericht auf solche vertraulichen Inhalte hin zu überprüfen und dem EDÖB mit Frist von 30 Tagen entsprechend schriftliche Rückmeldung zu erstatten.

Mit freundlichen Grüssen

Eidgenössischer Datenschutz- und Verfahrensleitender Jurist Öffentlichkeitsbeauftragter

Hanspeter Thür Philipp Gisin