Verfügung vom 29. Januar 2025, Cembra Money Bank AG, gesetzliche Fristen für die Behandlung von Auskunftsgesuchen und Mitteilung der bearbeitenden Personendaten als solcheArt. 25 Abs. 2 lit. b DSG – bearbeitende Personendaten als solche bei der Beantwortung von Auskunftsgesuchen; Art. 25 Abs. 7 DSG – Auskunftserteilung in der Regel innerhalb von 30 Tagen

17. Das DSG giltfür die Bearbeitung von Personendaten natürlicher Personen durch private Personen und Bundesorgane (Art. 2 Abs. 1 DSG). Als private Personen gelten alle Subjekte des Privatrechts und somit alle natürlichenund juristischen Personen.

18 Als juristische Person und Aktiengesellschaft mit Sitz in Zürich ist die Cembra eine private Person im Sinne von Art. 2 Abs. 1 Bst. a DSG. Gemäss ihrem Gesellschaftszweckbezweckt die Cembra den Betrieb einer Bank. Ihr Geschäftskreis umfasst alle Arten von Bankgeschäften, insbesondere die Gewährung von Kreditenaller Art, die Vermittlungvon damit zusammenhängenden Dienstleistungen sowie die Annahme von Geldern. Zur Erfüllung dieses Gesellschaftszweck bearbeitet sie unbestrittenerMassen Personendaten ihrer Kundinnen und Kunden, weshalb das DSG nach Art. 5 Bst. a zur Anwendungkommt. Für die Gewährung des Auskunftsrechtsgelten die die Art, 25-29 dieses Gesetzes. 19, Der EDÖB beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften (Art. 4 Abs. 1 DSG). Er eröffnetvon Amtes wegen oder auf Anzeige hin eine Untersuchung gegen ein Bundesorgan oder eine private Person, wenn genügend Anzeichen bestehen, dass eine Datenbearbeitunggegen die Datenschutzvorschriften verstossen könnte

20. Vorliegend wurde der EDÖB durch zwei Anzeigen in Kenntnis darüber gesetzt, dass die Cembra Auskunftsgesuche nicht inneR der gesetzlichen Frist und ohne die Bekanntgabe der von ihr bearbeiteten Personendaten als solche beantwortet. Es bestanden damit genügend Anzeichen, dass die Bearbeitung von Auskunftsgesuchen durch die Cembra gegen Datenschutzvorschriften verstossen könnte, weshalb der EDÖB am 6. September 2024 eine Untersuchung eröffnet hat.

21. Das Untersuchungsverfahrensowie Verfügungen nach den Art. 50 und 51 DSG richten sich nach dem VwVG. Partei ist nur das Bundesorgan oder die private Person, gegen die eine Untersuchung eröffnetwurde (Art. 52 Abs. 1 und 2 DSG). Verfügungsadressaten sind die materiellen Normadressaten des DSG, also entweder ein Bundesorgan oder eine private Person, meist wohl ein (rechtsfähiges) Unternehmen. Nur ihnen kommt Parteistellungzu (BuNDI Llvlo, in: Bieri Adrian/PowellJulian (Hrsg.), DSG Kommentar, Kommentar zum Schweizerischen Datenschutzgesetz mitweiterenErlassen, Zürich 2023, Art. 51 VerwaltungsmassnahmenN 20). Bei der Cembra handelt es sich um ein rechtsfähiges Unternehmen, weshalb ihr im vorliegenden Verfahren Parteistellungzukommt, Gemäss Art. 11 Abs. 1 VwVG kann sich die Partei vertretenlassen. Von dieser Möglichkeithat die Cembra mit Mitteilungihrer Rechtsvertretungvom 16. September 2024 Gebrauch gemacht. Die Vollmacht datiertvom 16. Januar 2025.

11. Materielles

22 Gemäss Art. 32 Abs. 1 VwVG würdigtder EDÖB, bevor er verfügt,alle erheblichen und rechtzeitigenVorbringen der Parteien (Art. 32 Abs. 1 VwVG). 1. Einhaltung der gesetzlichen Frist

23. Ein Auskunftsbegehren ist gemäss Art. 25 Abs. 7 DSG innerhalb von 30 Tagen seit dem Eingang des Begehrens zu beantworten. Kann die Auskunft nicht innerhalb von 30 Tagen erteilt werden, so muss die oder der Verantwortliche die betroffene Person darüber informieren und ihr mitteilen, innerhalb welcher Frist die Auskunft erfolgt. Wird die Auskunft verweigert, eingeschränkt oder aufgeschoben, muss dies innerhalbderselben Frist mitgeteiltwerden (Art. 18 Abs. 2 und 3 DSV).

24 Mit Schreiben vom 16. April 2024 hat der EDÖB die Cembra darauf hingewiesen,dass gemäss den erhaltenen Informationen betreffend Anzeige 1 ein Auskunftsgesuch nicht innerhalb der gesetzlichenFrist beantwortetwurde. Der DPO bestätigtemit Schreiben vom 2. Mai 2024 die nicht fristgerechteBeantwortungdes Auskunftsgesuchs der betreffendenAnzeige und teiltemit, dass die Beantwortunginzwischenerfolgtsei. Dies ändert jedoch nichts daran, dass die gesetzliche Frist vorliegend überschritten wurde.

25 Anzeiger 2 reichte insgesamt drei Auskunftsgesuche bei der Cembra ein. Die Beantwortung dieser Gesuche erfolgtejedoch erst nach über drei Monate nach Zusendung des ersten Auskunftsgesuch bzw. nach rund dreifachemVerstreichender gesetzlichenFrist. Bis zu diesem Zeitpunkt wurde der Anzeiger 2 zudem auch nicht darüber informiert, dass die Rückmeldung nicht inneN der gesetzlichenFrist erfolgenkann und innerhalbwelcher Frist sie erfolgenwird. Die über drei Monate verspätete Rückmeldung erhielt auch keine Informationen über die von der Cembra über den

Anzeiger 2 bearbeitetenPersonendaten als solche, wie dies Art. 25 Abs. 2 Bst. b. DSG vorschreibt. Eine Antwort erfolgteerst mitSchreiben vom 8. Oktober 2024 und damit rund neun Monate nach der Gesuchstellung, womit die gesetzliche Frist massiv überschrittenwurde. 26, Neben diesen Anzeigen wurden nach Angaben der Cembra in der Zeit des «akuten Personalmangels» vom 1. Dezember 2023 bis 31. August 2024 von 13 eingegangenen Auskunftsgesuche neun nach Ablauf der gesetzlichen Frist beantwortet.Es wurden somit mehr als drei Viertel der Gesuche zu spät beantwortet. 27. Zusammenfassend ergibt sich deshalb, dass für die beiden oben erwähnten Anzeigen die gesetzliche Frist von Art. 25 Abs. 7 DSG verletzt worden ist und dass dies in der Zeit vom 1, Dezember 2023 bis am 31. August 2024 bei insgesamt neun von 13 Gesuchen der Fall war. 2. Mitteilung der bearbeiteten Personendaten als solche 28, Gemäss Art. 25 Abs. 1 DSG kannjede natürlichePerson vom VerantwortlichenAuskunft darüber verlangen, ob Personendaten über sie bearbeitet werden. Nach Abs. 2 erhält sie vom VerantwortlichendiejenigenInformationen,die erforderlichsind, damit sie ihre Rechte nach dem DSG geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. Darunter fallen gemäss Bst. b. dieses Absatzes namentlich die vom Verantwortlichen über die Auskunft verlangende Person bearbeiteten Personendaten als solche. 29. Um zu beurteilen, aufgrund welcher Informationsverarbeitungenihre Bank einen Kreditantrag ablehnte und allenfalls weitere Rechte wie jenes auf eine Datenberichtigung nach Art. 32 Abs. 1 DSG geltend machen zu können, sind natürliche Personen als Bankkunden auf Informationen zu den über sie bearbeitetenPersonendaten als solche angewiesen. Würde sich herausstellen, dass ein Kredit aufgrund von falschen oder nicht mit mehr aktuellen Informationenabgelehnt worden ist, stellte dies einen erheblichen Eingriff in die Persönlichkeit der betroffenen Person dar, gegen das sie sich ohne Informationen zu den über sie bearbeiteten Personendaten als solche nicht zur Wehr setzen kann. Banken müssen bei der Beantwortung eines Auskunftsgesuchs somit prüfen, welche Geschäftstätigkeitensie mit der betroffenen Person geführt haben und ihr die diesbezüglichen Informationen bekanntgeben.

2.1. Anzeige 1

30. Die Cembra beantwortetezuerst das Auskunftsgesuch des ersten Anzeigers nur mit einem standardisierten Text (vgl. Ziffer 9) ohne Informationen über die von ihr bearbeiteten Personendaten als solche bekanntzugeben oder eine gesetzliche Ausnahme des Auskunftsrechts geltend zu machen. Dies wurde von der Cembra bestätigtund ist daher unbestritten.Erst mit Schreiben vom 8 Oktober 2024 wurde das Auskunftsgesuch vollständig beantwortet, indem der Ablehnungsgrund des Kreditkartenantrages begründet sowie die bearbeiteten Personendaten als solche als Beilagen bekanntgegeben wurden.

31 Damit stellte die erste Antwort auf das Auskunftsgesuchs des ersten Anzeigers eine Verletzung von Art. 25 Abs. 2 lit. b DSG dar,

2.2. Anzeige 2

32. Auch bei Anzeiger 2 hat die Cembra das Auskunftsgesuch nur mit einem standardisierten Text und ohne Informationenüber die bearbeiteten Informationen beantwortet. Eine gesetzliche Ausnahme des Auskunftsrechts hat Cembra auch gegenüber Anzeiger 2 nicht geltend gemacht (siehe Ziffer 9). Für weitergehende Informationen hat ihn Cembra lediglich auf die Datenschutzerklärung verwiesen, die online abrufbar sind. Auch das Auskunftsgesuch des Anzeigers 2 hat die Cembra erst mit Schreiben vom 8. Oktober 2024 vollständig beantwortet.

33 Folglich erfolgte auch die erste Antwort des Auskunftsgesuchs von Anzeiger 2 in Verletzung von Art. 25 Abs. 2 lit.b DSG.

2.3. Weitere Erkenntnisse

34. Wie die Cembra gegenüber dem EDÖB einräumte, wurden alle die vom 1. Dezember 2023 bis am 31. August 2024 eingegangen 13 Auskunftsgesuche mit einem standardisierten Text beantwortet,wie ihn Anzeiger 2 am 10. April 2024 erhalten habe. Im Verlauf des Verfahrens kam die Cembra ihrer Auskunftspflichtbei den Anzeigenden nachträglichnach, nichtjedoch gegenüber den übrigen 1 1 Empfängern. Damit dauert eine Verletzung von Art. 25 Abs. 2 lit. b DSG nach wie vor an

3. Einwände der Cembra 35, Im Entwurfder Sachverhaltsfeststellung vom 6. September 2024, welcher der Cembra zur Stellungnahme vorgelegtwurde, hieltder EDÖB in Ziffer 13 fest, dass die Praxis der Cembra in Zusammenhang mit Auskunftsgesuchen darin bestünde, den betroffenen einen standardisierten Brief zu versenden, wie ihnAnzeiger 2 am 10 April 2024 erhielt. Die Cembra erwiderte diesbezüglich in ihrer Stellungnahme vom 8. Oktober 2024, es sei nachvollziehbar, dass dieser Eindruck entstanden sei, aber er treffe nicht zu. Die Beantwortung der vorliegend relevanten Auskunftsbegehren entspreche nicht der üblichenPraxis der Cembra, sondern sei eine Folge des akuten Personalmangelsgewesen. Zudem sei die Feststellungeiner allgemeinenPraxis durch den EDÖB keine Sachverhaltsfeststellung,sondern eine unzulässige Verallgemeinerung festgestellter Fakten

36 Mit Schreiben vom 25. Oktober 2024 hat die Cembra aber sodann selber dargelegt, dass alle der insgesamtdreizehn in der Zeit vom 1. Dezember 2023 bis am 31. August 2024 eingegangenen Auskunftsgesuche mit Standardschreiben beantwortet worden sind, womit sich ihr Einwand einer unzulässigen Verallgemeinerung als hinfällig erweist,

37. Weiter macht die Cembra für die verspätete und unvollständige Antwort auf die Auskunftsgesuche geltend,es habe ein Personalmangel vorgelegen.

38. Diese Begründung überzeugt nicht, weil Art. 18 Abs. 2 DSV für den Fall, dass eine Auskunft nicht innert 30 Tagen erteiltwerden kann, eine Fristverlängerungsmöglichkeit vorsieht. Von dieser Möglichkeithat die Cembra jedoch vorliegend nicht Gebrauch gemacht. Der Einwand des Personalmangels stösst deshalb ins Leere.

39 Der EDÖB stelltsomit abschliessend fest, dass das Datenschutzgesetz verletzt worden ist, indem den beiden Anzeigern die in Art. 25 Abs. 2 Bst. b. vorgesehenen Informationenzu den über sie bearbeiteten Personendaten als solche nicht innert der 30-tägigen Frist mitgeteiltwurden und auch keine Fristverlängerungbeansprucht worden ist.

40. Weiter macht die Cembra geltend, angesichts des Sachverhaltes sei lediglicheine Verwarnung auszusprechen, da zwischenzeitlichMassnahmen für die rechtskonformeBearbeitung der Auskunftsgesuche getroffen worden und die konkreten Auskunftsgesuche nun beantwortet worden seien

41 Liegteine Verletzungvon Datenschutzvorschriftenvor, so kann der EDÖB verfügen, dass die Bearbeitung ganz oder teilweise angepasst, unterbrochen oder abgebrochen wird und die Personendaten ganz oder teilweise gelöscht oder vernichtet werden (Art. 51 Abs. 1 DSG). Er kann dabei namentlichanordnen, der betroffenenPerson die Auskünfte nach Artikel25 zu erteilen (Art. 51 Abs. 3 Bst. g). Hat das Bundesorgan oder die private Person während der Untersuchung die erforderlichenMassnahmen getroffen,um die Einhaltung der Datenschutzvorschriftenwiederherzustellen,so kann der EDÖB sich darauf beschränken, eine Verwarnungauszusprechen (Art. 51 Abs. 5 DSG).

42. Wie vorstehend festgestelltliegen mehrfache Verletzungen des Datenschutzgesetzes vor. Die Bearbeitung der Personendaten wurde jedoch während der Untersuchung bereits angepasst. Ebenfalls wurden während dieser Untersuchung die Auskünfte nach Art. 25 DSG lediglichgegenüber Anzeiger 1 und 2 erteilt. Eine Mitteilung der bearbeitenden Personendaten ist gegenüber den übrigen 11 Betroffenen bisher noch nicht erfolgt und muss noch nachgeholt werden.

43. Die Cembra ist angehalten, Art. 25 DSG inskünftig rechtskonform anzuwenden. Für den Fall erneuter Beschwerden behält sich der EDÖB Nachkontrollenvor und weist die Cembra ausdrücklich auf die Strafbestimmung von Art. 63 DSG hin:

<Mit Busse bis zu 250 000 Franken werden private Per$onen bestraft, die einer Verfügung des ED(:)B oder einem Entscheid der Rechtsmittelinstanzen, die oder der unter Hinweis auf die Strafdrohung dieses Artikels ergangen ist, vorsätzlich nicht Folge leisten.D

c. Gebühren

44. Gemäss Art. 59 Abs. 1 Bst. d DSG erhebt der EDÖB von privatenPersonen Gebühren für Massnahmen nach Art. 51 DSG. Die Höhe der Gebühren bemisst sich dabei nach der Regelung von Art. 44 DSV, welcher einen Stundenansatz vorsieht. Vorliegend wirdgegenüber der Cembra eine Verwarnung ausgesprochen, welche eine gebührenpflichtige Verwaltungsmassnahme nach Art. 51 DSG darstellt,

45 Die aufgewendeteZeit beträgtvorliegend insgesamt 33 Stunden zuzüglichAuslagen von CHF 16.90. Es resultiert ein Gebührentotal von CHF 5'829.40.

46, Die Gebühr wird fällig mit der Rechtskraft der Verfügung; die Zahlungsfrist beträgt grundsätzlich 30 Tage ab Fälligkeit(vgl. Art. 44 Abs. 5 DSV i.V.m. Art. 12 Abs. 1 Bst. a und Abs. 2 AllgGebV).