FINMA führt Watchlist mit Verdachtsdaten über ehemaligen UBS-Kader: Persönlichkeitsprofil ohne formellgesetzliche Grundlage unwirksam (Art. 13 Abs. 2 BV)

Tragende Normen

Art. 10 BEHG Art. 35a BEHG Art. 82 BGG Art. 86 BGG Art. 89 BGG Art. 95 BGG Art. 5 BV Art. 13 BV Art. 27 BV Art. 36 BV Art. 164 BV Art. 3 BankG Art. 2 DSG Art. 3 DSG Art. 17 DSG Art. 25 DSG Art. 23 FINMAG

Zusammenfassung

Ein ehemaliger Managing Director der UBS AG wurde von der Eidgenössischen Finanzmarktaufsicht (FINMA) in deren interne Datensammlung „Gewähr für einwandfreie Geschäftstätigkeit und Berufsausübung“ – die sogenannte Watchlist – aufgenommen. Die FINMA begründete dies damit, dass er als für Zinssatzmanipulationen bei der UBS mitverantwortlich gelte und Hinweise darauf bestünden, dass er davon Kenntnis gehabt habe. Der Betroffene beantragte die Löschung sämtlicher ihn betreffender Daten und verlangte eine anfechtbare Verfügung. Die FINMA lehnte dies ab und wies das Gesuch ab. Dagegen erhob er Beschwerde beim Bundesverwaltungsgericht, das diese abwies. Er legte daraufhin Beschwerde ans Bundesgericht ein und rügte insbesondere einen Verstoss gegen das Datenschutzgesetz, das Recht auf informationelle Selbstbestimmung sowie die Wirtschaftsfreiheit.

Das Bundesgericht hob das Urteil des Bundesverwaltungsgerichts auf und wies die FINMA an, die Daten über den Beschwerdeführer in der Watchlist zu löschen. Es stellte fest, dass die Watchlist ein Persönlichkeitsprofil im Sinne von Art. 3 lit. d DSG darstellt, weil sie Informationen zur Eignung einer Person zur Geschäftsführung im Finanzmarktbereich sammelt und dadurch wesentliche Aspekte der Persönlichkeit beurteilen lässt. Ein solcher Eingriff in das Recht auf informationelle Selbstbestimmung nach Art. 13 Abs. 2 BV erfordert gemäss Art. 36 Abs. 1 BV eine formellgesetzliche Grundlage. Das Datenschutzgesetz verlangt für Persönlichkeitsprofile nach Art. 17 Abs. 2 DSG ebenfalls eine solche Grundlage. Art. 23 Abs. 1 FINMAG reicht hierfür nicht aus, da er keine einzig auf Verdachtsmomenten beruhende Vorratshaltung von Daten deckt; zulässig sind nur erhärtete Angaben aus mit Parteirechten verbundenen Verfahren oder zuverlässigen Quellen wie Registereinträgen oder Audits. Die in der Watchlist gesammelten Daten stammen jedoch überwiegend aus einem Verwaltungsverfahren gegen die frühere Arbeitgeberin, an dem der Beschwerdeführer nicht als Partei beteiligt war, und bestehen teilweise nur aus E-Mails, in denen sein Name vorkommt. Diese Daten sind daher nicht erhärtet und nicht glaubwürdig. Damit entspricht die Datensammlung nicht Art. 3 der Datenverordnung-FINMA und ist bundesrechtswidrig. Das Bundesgericht verurteilte die FINMA, den Beschwerdeführer für das bundesgerichtliche Verfahren mit Fr. 4'000.-- zu entschädigen, und erhob keine Gerichtskosten. Die Entscheidung klärt, dass eine rein verdachtsbasierte, langfristige Speicherung personenbezogener Daten durch Aufsichtsbehörden ohne konkrete, gesetzlich geregelte Grundlage unzulässig ist.

Regeste

Art. 13 Abs. 2 und Art. 36 Abs. 1 BV, Art. 17 Abs. 2 DSG, Art. 23 FINMAG, Datenverordnung-FINMA; Gesetzmässigkeit der von der FINMA geführten sog. Watchlist. Die Watchlist dient als Hilfsmittel der FINMA, um sicherzustellen, dass nur Personen, die Gewähr für eine einwandfreie Geschäftstätigkeit bieten, mit der Verwaltung oder Geschäftsführung von beaufsichtigten Unternehmungen oder Personen betraut werden oder sich daran beteiligen. Die darin aufgenommenen Daten ergeben ein Persönlichkeitsprofil der betroffenen Personen. Die Aufnahme in die Datenbank bewirkt einen schweren Eingriff in das Recht auf informationelle Selbstbestimmung und bedarf einer formellgesetzlichen Grundlage (E. 3 und 4). Ob auch ein schwerer Eingriff in die Wirtschaftsfreiheit vorliegt, kann offenbleiben (E. 5). Art. 23 FINMAG stellt eine genügende gesetzliche Grundlage für die Aufnahme von erhärteten Daten zur Person in Verbindung mit zuverlässigen Daten zur Geschäftstätigkeit in die Watchlist dar (E. 6). Die in der Datenverordnung-FINMA vorgesehene Datenbank ist grundsätzlich mit dem Gesetz vereinbar. Bei den im vorliegenden Fall gesammelten Informationen handelt es sich aber nicht um zuverlässige Daten, für die eine rechtmässige Grundlage bestehen würde (E. 7). Regeste Art. 13 al. 2 et art. 36 al. 1 Cst., art. 17 al. 2 LPD, art. 23 LFINMA, ordonnance de la FINMA sur les données; légalité de la "watchlist" élaborée par la FINMA. La "watchlist" permet à la FINMA d'assurer que seules les personnes qui présentent la garantie d'une activité irréprochable assument la gestion ou la direction ou encore fassent partie des investisseurs importants d'entreprises ou de personnes assujetties. Les données ainsi récoltées permettent d'établir un profil de la personnalité des personnes concernées. L'inscription dans la banque de données constitue une atteinte grave au droit à l'autodétermination informationnelle et doit reposer sur une base légale au sens formel (consid. 3 et 4). La question de savoir s'il existe aussi une atteinte grave à la liberté économique peut demeurer indécise (consid. 5). L'art. 23 LFINMA représente une base légale suffisante pour l'inscription dans la "watchlist" de données confirmées sur une personne en lien avec des données fiables sur l'activité commerciale (consid. 6). La banque de données prévue par l'ordonnance de la FINMA sur les données est en principe compatible avec la loi. Cependant, les informations récoltées dans le cas présent ne sont pas des données fiables, pour lesquelles une base légale existerait (consid. 7). Regesto Art. 13 cpv. 2 e art. 36 cpv. 1 Cost., art. 17 cpv. 2 LPD, art. 23 LFINMA, ordinanza FINMA sui dati; legalità della "watchlist" elaborata dalla FINMA. La "watchlist" serve quale mezzo ausiliario della FINMA per assicurare che soltanto le persone che offrono la garanzia dell'esercizio di un'attività irreprensibile assumano l'amministrazione o la gestione di imprese o di persone soggette alla vigilanza oppure vi partecipino. I dati ivi raccolti mostrano un profilo della personalità delle persone interessate. L'iscrizione in detta banca dati comporta una limitazione grave del diritto all'autodeterminazione informativa e necessita di una base legale formale (consid. 3 e 4). Il quesito di sapere se è data anche una limitazione grave della libertà economica può rimanere indeciso (consid. 5). L'art. 23 LFINMA rappresenta una base legale sufficiente per l'iscrizione nella "watchlist" di dati consolidati sulla persona in relazione con dati affidabili relativi all'attività commerciale (consid. 6). La banca dati prevista nell'ordinanza FINMA sui dati è di principio compatibile con la legge. Tuttavia, le informazioni raccolte nel caso in esame non costituiscono dati affidabili per i quali esiste una base legale sufficiente (consid. 7).