Tribunal fédéral
Tribunale federale
Tribunal federal
4A 125/2020
Urteil vom 10. Dezember 2020
I. zivilrechtliche Abteilung
Besetzung
Bundesrichterin Kiss, Präsidentin,
Bundesrichterinnen Hohl, Niquille,
Bundesrichter Rüedi,
Bundesrichterin May Canellas
Gerichtsschreiber Luczak.
Verfahrensbeteiligte
1. A.A.________ AG,
2. A.B.________ AG,
3. A.C.________ AG,
alle drei vertreten durch
Rechtsanwalt Dr. Peter Hafner,
Beschwerdeführerinnen,
gegen
1. D.D.________,
2. E.D.________,
beide vertreten durch
Rechtsanwalt Dr. Valentin Landmann,
Beschwerdegegner.
Gegenstand
Datenschutz; Auskunft über Herkunftsangaben,
Beschwerde gegen das Urteil des Obergerichts des Kantons Zürich, I. Zivilkammer, vom 30. Januar 2020 (PP190037-O/U).
Sachverhalt:
A.
A.a. Die A.A.________ AG (Beschwerdeführerin 1) und die A.B.________ AG (Beschwerdeführerin 2) betreiben das Bankgeschäft. Deren Beteiligungen hält die A.C.________ AG (Beschwerdeführerin 3) als Holdinggesellschaft.
D.D.________ (Beschwerdegegner) und E.D.________ (Beschwerdegegnerin) unterhielten zunächst eine Geschäftsbeziehung zur Beschwerdeführerin 2. Diese Beziehung ging am 21. November 2016 zusammen mit den Datensammlungen über die Beschwerdegegner auf die Beschwerdeführerin 1 über.
A.b. Im April 2013 wurde der Beschwerdegegner von den US-amerikanischen Strafverfolgungsbehörden wegen Beihilfe zu Steuerdelikten angeklagt, was seinen Ausschluss aus der Anwaltskanzlei F.________ AG zur Folge hatte. Daraus resultierte ein Rechtsstreit zwischen der Anwaltskanzlei und dem Beschwerdegegner. Am 15. Dezember 2015 überwies die Anwaltskanzlei aus diesem Rechtsstreit Fr. 566'000.-- auf das Konto des Beschwerdegegners bei der Beschwerdeführerin 2.
A.c. Im Januar 2016 informierte die Beschwerdeführerin 2 die Beschwerdegegner, sie beabsichtige, die Geschäftsbeziehung mit dem Beschwerdegegner zu beenden. Am 24. und 25. Mai 2016 wurden die auf den Beschwerdegegner und auf beide Beschwerdegegner lautenden Konten saldiert. Am 11. Oktober 2016 wurde der Beschwerdegegner in der Datenbank der Beschwerdeführerin 2 mit der Bezeichnung "A.X.________" als "unerwünschter Kunde" (Code "UK") erfasst. Im November 2016 kündigte die Kreditkartengesellschaft G.________ GmbH das Kreditkartenkonto des Beschwerdegegners mit sofortiger Wirkung. Die Geschäftsbeziehung mit der Beschwerdegegnerin lösten die Beschwerdeführerinnen im Januar 2017 auf.
A.d. Die Beschwerdeführerin 2 hatte im Mai 2014 im Steuerstreit mit den US-amerikanischen Behörden einer Vergleichsvereinbarung mit der New Yorker Aufsichtsbehörde zugestimmt. Die Beschwerdeführerinnen behaupten im Wesentlichen, die Beschwerdeführerin 2 habe bei der Umsetzung der Vergleichsvereinbarung im November 2015 entschieden, die Geschäftsbeziehungen zu Personen zu beenden, die in den USA wegen Beihilfe zu Steuerdelikten angeklagt oder verurteilt worden seien. Dies schliesse den Beschwerdegegner ein. Im Dezember 2015 habe die Beschwerdeführerin 2 mit der Umsetzung dieses Entscheids begonnen.
A.e. Die Beschwerdegegner halten diese Begründung für vorgeschoben. Geht es nach ihnen, kontaktierte ein Partner der Anwaltskanzlei den General Counsel der Beschwerdeführerin 3 und informierte diesen, dass der Beschwerdegegner bei der Beschwerdeführerin 1 eine Bankkundenbeziehung habe. Dies sei angereichert worden mit der personenbezogenen Information, wonach der Beschwerdegegner in den USA wegen Beihilfe zur Steuerhinterziehung angeklagt sei und man der Bank rate, die Bankkundenbeziehung zu beenden. Darauf habe der General Counsel am Morgen des 21. Dezember 2015 von einem Mitarbeiter eine Liste der Personen angefordert, die in den USA wegen Beihilfe zu Steuerdelikten angeklagt oder verurteilt worden seien und deren Geschäftsbeziehungen gemäss einem bereits im November 2015 gefassten Beschluss beendet werden sollten. In der Folge habe man die Umsetzung des Entscheids veranlasst, wonach sämtliche Konten von Bankkunden, welche in den USA angeklagt waren, geschlossen würden, darunter jenes des Beschwerdegegners.
B.
B.a. Nach erfolglosem Schlichtungsversuch klagten die Beschwerdegegner beim Bezirksgericht Zürich auf Auskunft gemäss Datenschutzgesetz. An der Hauptverhandlung zog die Beschwerdegegnerin ihre Klagebegehren vollumfänglich zurück und der Beschwerdegegner teilweise. Mit den noch hängigen Rechtsbegehren verlangte der Beschwerdegegner im Wesentlichen (Ziff. 1) Auskunft über sämtliche Personendaten der Beschwerdeführerinnen mit inhaltlichem Bezug auf ihn und zwar konkret gemäss Ziff. 1 (iii) seiner Begehren betreffend die konsultierten und verwendeten Personendaten im Zusammenhang mit dem Zahlungseingang von Fr. 566'000.-- per 15. Dezember 2015. Dieses Begehren erfasste gemäss Rechtsbegehren Ziff. 3 mit gewissen Einschränkungen nicht nur den Datenbestand, der mittels EDV-Techniken erschliessbar ist, sondern auch den E-Mail- und Faxverkehr, soweit ihn der Beschwerdegegner nicht erhalten hatte, sowie Telefon- und Gesprächsnotizen sowie interne Unterlagen und Notizen.
Das Bezirksgericht erliess am 29. Juli 2019 eine Beweisverfügung, worin es Zeugenbefragungen des angesprochenen Partners der Anwaltskanzlei und eines weiteren Anwalts sowie eine Parteibefragung des General Counsel vorsah, und zwar gemäss Dispositivziffer 1 der Verfügung zu folgenden Behauptungen der Beschwerdegegner:
B.a.a.a.a) Dass im Zusammenhang mit der Zahlung von Fr. 566'000.-- an den Beschwerdegegner zwischen dem General Counsel der Beschwerdeführerin 3 und einem Partner der Anwaltskanzlei ein Gespräch stattgefunden hat.
B.a.a.a.b) Dass der Partner der Anwaltskanzlei im Zuge dieses Gesprächs dem General Counsel der Beschwerdeführerin 3 personenbezogene Informationen über den Beschwerdegegner mitgeteilt hat.
B.a.a.a.c) Dass der General Counsel der Beschwerdeführerin 3 den Inhalt dieses Gesprächs einer anderen Person schriftlich mitgeteilt hat oder dass der General Counsel der Beschwerdeführerin 3 den Inhalt dieses Gesprächs einem Mitarbeiter oder Organ einer der Beschwerdeführerinnen mündlich mitgeteilt hat, worauf diese Person den Inhalt dieses Gesprächs schriftlich festgehalten hat.
B.b. Gegen diese Beweisverfügung erhoben die Beschwerdeführerinnen Beschwerde, welche das Obergericht des Kantons Zürich am 30. Januar 2020 abwies, soweit es darauf eintrat. Es kam im Wesentlichen zum Schluss, die mit den Beweissätzen a) bis c) zum Beweis verstellten Tatsachen seien durch den Auskunftsanspruch gemäss Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
C.
Die Beschwerdeführerinnen beantragen mit Beschwerde in Zivilsachen, der Entscheid des Obergerichts vom 30. Januar 2020 sei teilweise aufzuheben, die Beschwerde gegen die Beweisverfügung des Bezirksgerichts vom 29. Juli 2019 sei gutzuheissen und die Sache sei an das Obergericht zurückzuweisen mit der Weisung, die Sache an das Bezirksgericht zum Entscheid in der Hauptsache zurückzuweisen, unter ausgangsgemässer Verteilung der Prozesskosten vor Obergericht. Eventualiter sei die Sache zur Neubeurteilung an das Obergericht zurückzuweisen. Dem Gesuch der Beschwerdeführerinnen, ihrer Beschwerde die aufschiebende Wirkung zu erteilen, wurde am 9. April 2020 entsprochen. Die Beschwerdegegner beantragen, die Beschwerde sei abzuweisen. Das Obergericht hat auf eine Vernehmlassung verzichtet. Die Parteien haben unaufgefordert repliziert und dupliziert.
Erwägungen:
1.
Das Bundesgericht prüft von Amtes wegen und mit freier Kognition, ob ein Rechtsmittel zulässig ist (Art. 29 Abs. 1
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 29 Examen - 1 Le Tribunal fédéral examine d'office sa compétence. |
|
1 | Le Tribunal fédéral examine d'office sa compétence. |
2 | En cas de doute quant à sa propre compétence, il procède à un échange de vues avec l'autorité dont la compétence lui paraît entrer en ligne de compte. |
1.1. Die Beweisverfügung stellt als prozessleitende Verfügung einen Zwischenentscheid dar. Die dagegen gerichtete Beschwerde wies die Vorinstanz ab, soweit sie darauf eintrat. Entscheide, mit denen ein Rechtsmittel gegen einen Zwischenentscheid abgewiesen wird, sind ihrerseits regelmässig Zwischenentscheide. Anders wäre lediglich dann zu entscheiden, wenn durch den Entscheid der letzten kantonalen Instanz ein Zwischenentscheid der ersten Instanz umgestossen und das erstinstanzliche Verfahren damit abgeschlossen würde (BGE 139 V 339 E. 3.2 S. 341, 604 E. 2.1 S. 606; vgl. zum Fall des Nichteintretens der Vorinstanz auf das Rechtsmittel: BGE 137 III 380 E. 1.1 S. 382; Urteile 4A 697/2016 vom 14. März 2017 E. 1.1; 4A 542/2009 vom 27. April 2010 E. 3).
1.2. Bei Zwischenentscheiden folgt der Rechtsweg jenem der Hauptsache (BGE 137 III 380 E. 1.1 S. 382; 133 III 645 E. 2.2 S. 647 f.). Der angefochtene Entscheid erging in Anwendung des Datenschutzgesetzes. Es geht um eine zivilrechtliche Klage zur Durchsetzung des Auskunftsrechts nach Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 72 Principe - 1 Le Tribunal fédéral connaît des recours contre les décisions rendues en matière civile. |
|
1 | Le Tribunal fédéral connaît des recours contre les décisions rendues en matière civile. |
2 | Sont également sujettes au recours en matière civile: |
a | les décisions en matière de poursuite pour dettes et de faillite; |
b | les décisions prises en application de normes de droit public dans des matières connexes au droit civil, notamment les décisions: |
b1 | sur la reconnaissance et l'exécution de décisions ainsi que sur l'entraide en matière civile, |
b2 | sur la tenue des registres foncier, d'état civil et du commerce, ainsi que des registres en matière de protection des marques, des dessins et modèles, des brevets d'invention, des obtentions végétales et des topographies, |
b3 | sur le changement de nom, |
b4 | en matière de surveillance des fondations, à l'exclusion des institutions de prévoyance et de libre passage, |
b5 | en matière de surveillance des exécuteurs testamentaires et autres représentants successoraux, |
b6 | les décisions prises dans le domaine de la protection de l'enfant et de l'adulte, |
b7 | ... |
1.3. Gegen selbständig eröffnete Vor- und Zwischenentscheide, die weder die Zuständigkeit noch den Ausstand betreffen, ist die Beschwerde zulässig, wenn sie einen nicht wieder gutzumachenden Nachteil bewirken können (Art. 93 Abs. 1 lit. a
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 93 Autres décisions préjudicielles et incidentes - 1 Les autres décisions préjudicielles et incidentes notifiées séparément peuvent faire l'objet d'un recours: |
|
1 | Les autres décisions préjudicielles et incidentes notifiées séparément peuvent faire l'objet d'un recours: |
a | si elles peuvent causer un préjudice irréparable, ou |
b | si l'admission du recours peut conduire immédiatement à une décision finale qui permet d'éviter une procédure probatoire longue et coûteuse. |
2 | En matière d'entraide pénale internationale et en matière d'asile, les décisions préjudicielles et incidentes ne peuvent pas faire l'objet d'un recours.88 Le recours contre les décisions relatives à la détention extraditionnelle ou à la saisie d'objets et de valeurs est réservé si les conditions de l'al. 1 sont remplies. |
3 | Si le recours n'est pas recevable en vertu des al. 1 et 2 ou qu'il n'a pas été utilisé, les décisions préjudicielles et incidentes peuvent être attaquées par un recours contre la décision finale dans la mesure où elles influent sur le contenu de celle-ci. |
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 93 Autres décisions préjudicielles et incidentes - 1 Les autres décisions préjudicielles et incidentes notifiées séparément peuvent faire l'objet d'un recours: |
|
1 | Les autres décisions préjudicielles et incidentes notifiées séparément peuvent faire l'objet d'un recours: |
a | si elles peuvent causer un préjudice irréparable, ou |
b | si l'admission du recours peut conduire immédiatement à une décision finale qui permet d'éviter une procédure probatoire longue et coûteuse. |
2 | En matière d'entraide pénale internationale et en matière d'asile, les décisions préjudicielles et incidentes ne peuvent pas faire l'objet d'un recours.88 Le recours contre les décisions relatives à la détention extraditionnelle ou à la saisie d'objets et de valeurs est réservé si les conditions de l'al. 1 sont remplies. |
3 | Si le recours n'est pas recevable en vertu des al. 1 et 2 ou qu'il n'a pas été utilisé, les décisions préjudicielles et incidentes peuvent être attaquées par un recours contre la décision finale dans la mesure où elles influent sur le contenu de celle-ci. |
Nach der Rechtsprechung muss es sich um einen Nachteil rechtlicher Natur handeln, der auch durch einen für die beschwerdeführende Partei günstigen Entscheid in der Zukunft nicht mehr behoben werden kann (BGE 143 III 416 E. 1.3 S. 419; 141 III 80 E. 1.2, 395 E. 2.5 S. 399 f.; je mit Hinweisen). Rein tatsächliche Nachteile wie die Verlängerung oder Verteuerung des Verfahrens reichen nicht aus (BGE 142 III 798 E. 2.2 S. 801; 141 III 80 E. 1.2, 395 E. 2.5 S. 399 f. mit Hinweisen). Die selbständige Anfechtbarkeit von Zwischenentscheiden bildet aus prozessökonomischen Gründen eine Ausnahme vom Grundsatz, dass sich das Bundesgericht mit jeder Angelegenheit nur einmal befassen soll (BGE 142 III 798 E. 2.2 S. 801; 141 III 80 E. 1.2 S. 81). Die Ausnahme ist restriktiv zu handhaben (BGE 144 III 475 E. 1.2 S. 479 mit Hinweisen).
Es obliegt der beschwerdeführenden Partei darzutun, dass die Voraussetzungen von Art. 93
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 93 Autres décisions préjudicielles et incidentes - 1 Les autres décisions préjudicielles et incidentes notifiées séparément peuvent faire l'objet d'un recours: |
|
1 | Les autres décisions préjudicielles et incidentes notifiées séparément peuvent faire l'objet d'un recours: |
a | si elles peuvent causer un préjudice irréparable, ou |
b | si l'admission du recours peut conduire immédiatement à une décision finale qui permet d'éviter une procédure probatoire longue et coûteuse. |
2 | En matière d'entraide pénale internationale et en matière d'asile, les décisions préjudicielles et incidentes ne peuvent pas faire l'objet d'un recours.88 Le recours contre les décisions relatives à la détention extraditionnelle ou à la saisie d'objets et de valeurs est réservé si les conditions de l'al. 1 sont remplies. |
3 | Si le recours n'est pas recevable en vertu des al. 1 et 2 ou qu'il n'a pas été utilisé, les décisions préjudicielles et incidentes peuvent être attaquées par un recours contre la décision finale dans la mesure où elles influent sur le contenu de celle-ci. |
1.4. Nach der bundesgerichtlichen Rechtsprechung bewirken Anordnungen betreffend die Beweisführung in aller Regel keinen nicht wieder gutzumachenden Nachteil, da mit Beschwerde gegen den Endentscheid für gewöhnlich erreicht werden kann, dass ein zu Unrecht verweigerter Beweis abgenommen oder ein zu Unrecht erhobener Beweis aus den Akten gewiesen wird (BGE 141 III 80 E. 1.2 S. 81; Urteile 5A 745/2014 vom 16. März 2015 E. 1.2.2; 5A 315/2012 vom 28. August 2012 E. 1.2.1). Davon gibt es Ausnahmen, so namentlich, wenn im Rahmen von Beweismassnahmen Geschäftsgeheimnisse offen gelegt werden müssen (zit. Urteil 5A 745/2014 E. 1.2.2; Urteile 4A 269/2011 vom 10. November 2011 E. 1.3 mit Hinweisen). Ferner liegt eine Ausnahme vor, wenn durch die Beweisabnahme Informationen offenbart würden, obwohl in der Hauptsache darüber gestritten wird, ob eben diese Informationen herausgegeben werden müssen. Auch in diesen Fällen kann mit der späteren Beschwerde gegen den Endentscheid keine Remedur mehr geschaffen werden (vgl. Urteil 4A 195/2010 vom 8. Juni 2010 E. 1.1.2).
1.5. Die Beschwerdegegner machen geltend, das Beweisverfahren solle aufzeigen, ob Personendaten über den Beschwerdegegner vorhanden seien, über die keine Auskunft erteilt worden sei. Gefragt sei also, ob solche Daten vorhanden seien und nicht, welchen Inhalt sie hätten. Der vorliegende Fall unterscheide sich vom Urteil 4A 195/2010 vom 8. Juni 2010. Denn die Beschwerdeführerinnen zeigten nicht auf, dass die Tatsachen, auf welche die Beweisverfügung ziele, objektiv schützenswert seien. Vielmehr habe die Erstinstanz einen Verweigerungsgrund nach Art. 9 Abs. 4
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 9 Sous-traitance - 1 Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu'un contrat ou la loi le prévoie et que les conditions suivantes soient réunies: |
|
1 | Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu'un contrat ou la loi le prévoie et que les conditions suivantes soient réunies: |
a | seuls sont effectués les traitements que le responsable du traitement serait en droit d'effectuer lui-même; |
b | aucune obligation légale ou contractuelle de garder le secret ne l'interdit. |
2 | Le responsable du traitement doit en particulier s'assurer que le sous-traitant est en mesure de garantir la sécurité des données. |
3 | Le sous-traitant ne peut lui-même sous-traiter un traitement à un tiers qu'avec l'autorisation préalable du responsable du traitement. |
4 | Il peut faire valoir les mêmes motifs justificatifs que le responsable du traitement. |
1.6. Die Beschwerdeführerinnen tragen vor, die streitige Beweisverfügung verpflichte sie zu einer Auskunftserteilung, die über Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
1.7. Im zu beurteilenden Fall sind zwei Aspekte auseinanderzuhalten: Einerseits die Tragweite des eingeklagten materiellen Anspruchs auf Auskunftserteilung gemäss Art. 8 Abs. 2 lit. a
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 272 Code de procédure civile du 19 décembre 2008 (CPC) - Loi sur les fors CPC Art. 150 Objet de la preuve - 1 La preuve a pour objet les faits pertinents et contestés. |
|
1 | La preuve a pour objet les faits pertinents et contestés. |
2 | La preuve peut également porter sur l'usage, les usages locaux et, dans les litiges patrimoniaux, le droit étranger. |
![](media/link.gif)
SR 272 Code de procédure civile du 19 décembre 2008 (CPC) - Loi sur les fors CPC Art. 152 Droit à la preuve - 1 Toute partie a droit à ce que le tribunal administre les moyens de preuve adéquats proposés régulièrement et en temps utile. |
|
1 | Toute partie a droit à ce que le tribunal administre les moyens de preuve adéquats proposés régulièrement et en temps utile. |
2 | Le tribunal ne prend en considération les moyens de preuve obtenus de manière illicite que si l'intérêt à la manifestation de la vérité est prépondérant. |
![](media/link.gif)
SR 210 Code civil suisse du 10 décembre 1907 CC Art. 170 - 1 Chaque époux peut demander à son conjoint qu'il le renseigne sur ses revenus, ses biens et ses dettes. |
|
1 | Chaque époux peut demander à son conjoint qu'il le renseigne sur ses revenus, ses biens et ses dettes. |
2 | Le juge peut astreindre le conjoint du requérant ou des tiers à fournir les renseignements utiles et à produire les pièces nécessaires. |
3 | Est réservé le secret professionnel des avocats, des notaires, des médecins, des ecclésiastiques et de leurs auxiliaires. |
1.7.1. Die Einvernahme eines Zeugen oder einer Partei im Prozess unterliegt prozessrechtlichen Regeln (Art. 160 ff
![](media/link.gif)
SR 272 Code de procédure civile du 19 décembre 2008 (CPC) - Loi sur les fors CPC Art. 160 Obligation de collaborer - 1 Les parties et les tiers sont tenus de collaborer à l'administration des preuves. Ils ont en particulier l'obligation: |
|
1 | Les parties et les tiers sont tenus de collaborer à l'administration des preuves. Ils ont en particulier l'obligation: |
a | de faire une déposition conforme à la vérité en qualité de partie ou de témoin; |
b | de produire les titres requis, à l'exception des documents concernant des contacts entre une partie ou un tiers et un avocat autorisé à les représenter à titre professionnel ou un conseil en brevets au sens de l'art. 2 de la loi du 20 mars 2009 sur les conseils en brevets68; |
c | de tolérer un examen de leur personne ou une inspection de leurs biens par un expert. |
2 | Le tribunal statue librement sur le devoir de collaborer des mineurs. Il tient compte du bien de l'enfant. |
3 | Les tiers qui ont l'obligation de collaborer ont droit à une indemnité équitable. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 210 Code civil suisse du 10 décembre 1907 CC Art. 8 - Chaque partie doit, si la loi ne prescrit le contraire, prouver les faits qu'elle allègue pour en déduire son droit. |
![](media/link.gif)
SR 272 Code de procédure civile du 19 décembre 2008 (CPC) - Loi sur les fors CPC Art. 152 Droit à la preuve - 1 Toute partie a droit à ce que le tribunal administre les moyens de preuve adéquats proposés régulièrement et en temps utile. |
|
1 | Toute partie a droit à ce que le tribunal administre les moyens de preuve adéquats proposés régulièrement et en temps utile. |
2 | Le tribunal ne prend en considération les moyens de preuve obtenus de manière illicite que si l'intérêt à la manifestation de la vérité est prépondérant. |
![](media/link.gif)
SR 272 Code de procédure civile du 19 décembre 2008 (CPC) - Loi sur les fors CPC Art. 150 Objet de la preuve - 1 La preuve a pour objet les faits pertinents et contestés. |
|
1 | La preuve a pour objet les faits pertinents et contestés. |
2 | La preuve peut également porter sur l'usage, les usages locaux et, dans les litiges patrimoniaux, le droit étranger. |
werden, wenn zwischen den Parteien umstritten sei, ob der Kläger gestützt auf Art. 400
![](media/link.gif)
SR 220 Première partie: Dispositions générales Titre premier: De la formation des obligations Chapitre I: Des obligations résultant d'un contrat CO Art. 400 - 1 Le mandataire est tenu, à la demande du mandant, de lui rendre en tout temps compte de sa gestion et de lui restituer tout ce qu'il a reçu de ce chef, à quelque titre que ce soit. |
|
1 | Le mandataire est tenu, à la demande du mandant, de lui rendre en tout temps compte de sa gestion et de lui restituer tout ce qu'il a reçu de ce chef, à quelque titre que ce soit. |
2 | Il doit l'intérêt des sommes pour le versement desquelles il est en retard. |
1.7.2. Sowohl für den materiellen Anspruch auf Auskunft nach Datenschutzgesetz als auch für den zivilprozessualen Anspruch auf Beweisabnahme gilt sodann, dass diese nicht zu einer verpönten Beweisausforschung missbraucht werden dürfen (vgl. BGE 138 III 425 E. 4.3 S. 430). Mit Blick auf das Datenschutzgesetz fällt Rechtsmissbrauch in Betracht, wenn das Auskunftsrecht zu datenschutzwidrigen Zwecken eingesetzt wird, etwa um sich die Kosten einer Datenbeschaffung zu sparen, die sonst bezahlt werden müssten. Zu denken ist etwa auch an eine schikanöse Rechtsausübung ohne wirkliches Interesse an der Auskunft, lediglich um den Auskunftspflichtigen zu schädigen. Eine zweckwidrige Verwendung des datenschutzrechtlichen Auskunftsrechts (beziehungsweise der Beweisabnahme in einem Prozess um das Auskunftsrecht) wäre wohl auch anzunehmen, wenn das Auskunftsbegehren einzig zum Zweck gestellt wird, eine (spätere) Gegenpartei auszuforschen und Beweise zu beschaffen, an die eine Partei sonst nicht gelangen könnte (BGE 141 III 119 E. 7.1.1 S. 127 f.; 138 III 425 E. 5.5 S. 432; Urteil 4A 277/2020 vom 18. November 2020 E. 5.3 f.; je mit Hinweisen). Denn das Auskunftsrecht nach Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
Zivilprozessrecht eingreifen (BGE 138 III 425 E. 5.5 S. 432; zit. Urteil 4A 277/2020 E. 5.3).
1.7.3. Für die Eintretensvoraussetzungen ist zu beachten, dass eine einmal erteilte Auskunft nicht mehr rückgängig gemacht werden kann. Dies spricht für die Annahme eines nicht wieder gutzumachenden Nachteils (vgl. Urteil des Bundesgerichts 4A 713/2014 E. 2.2). Müsste die beklagte Partei im Rahmen der Abnahme der Beweismittel in der Tat den eingeklagten Anspruch erfüllen, könnte sich sogar die Frage stellen, ob das Gericht nicht unter dem Deckmantel der Beweisanordnung bereits materiell in der Sache entschieden hat (vgl. zum analogen Problem im Rahmen von Schiedsverfahren: BGE 136 III 200 E. 2.3.1 S. 204; und allgemein mit Bezug auf die Kognition des Bundesgerichts in Fällen, in denen im Rahmen einer beantragten Massnahme bereits definitiv über den streitigen Anspruch entschieden wird: BGE 138 III 728 E. 2.4 S. 731) und der Entscheid als anfechtbarer Endentscheid (Art. 90
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 90 Décisions finales - Le recours est recevable contre les décisions qui mettent fin à la procédure. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
abgenommen, dann wäre der umstrittene Auskunftsanspruch zumindest insoweit erfüllt, als den Beschwerdegegnern gewisse Informationen bereits zugekommen wären, womit der Endentscheid präjudiziert wäre. Daher könnte die Beweisabnahme einen nicht wieder gutzumachenden Nachteil gemäss Art. 93 Abs. 1 lit. a
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 93 Autres décisions préjudicielles et incidentes - 1 Les autres décisions préjudicielles et incidentes notifiées séparément peuvent faire l'objet d'un recours: |
|
1 | Les autres décisions préjudicielles et incidentes notifiées séparément peuvent faire l'objet d'un recours: |
a | si elles peuvent causer un préjudice irréparable, ou |
b | si l'admission du recours peut conduire immédiatement à une décision finale qui permet d'éviter une procédure probatoire longue et coûteuse. |
2 | En matière d'entraide pénale internationale et en matière d'asile, les décisions préjudicielles et incidentes ne peuvent pas faire l'objet d'un recours.88 Le recours contre les décisions relatives à la détention extraditionnelle ou à la saisie d'objets et de valeurs est réservé si les conditions de l'al. 1 sont remplies. |
3 | Si le recours n'est pas recevable en vertu des al. 1 et 2 ou qu'il n'a pas été utilisé, les décisions préjudicielles et incidentes peuvent être attaquées par un recours contre la décision finale dans la mesure où elles influent sur le contenu de celle-ci. |
2.
Mit Beschwerde in Zivilsachen können Rechtsverletzungen nach Art. 95
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 95 Droit suisse - Le recours peut être formé pour violation: |
|
a | du droit fédéral; |
b | du droit international; |
c | de droits constitutionnels cantonaux; |
d | de dispositions cantonales sur le droit de vote des citoyens ainsi que sur les élections et votations populaires; |
e | du droit intercantonal. |
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 96 Droit étranger - Le recours peut être formé pour: |
|
a | inapplication du droit étranger désigné par le droit international privé suisse; |
b | application erronée du droit étranger désigné par le droit international privé suisse, pour autant qu'il s'agisse d'une affaire non pécuniaire. |
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 42 Mémoires - 1 Les mémoires doivent être rédigés dans une langue officielle, indiquer les conclusions, les motifs et les moyens de preuve, et être signés. |
|
1 | Les mémoires doivent être rédigés dans une langue officielle, indiquer les conclusions, les motifs et les moyens de preuve, et être signés. |
2 | Les motifs doivent exposer succinctement en quoi l'acte attaqué viole le droit. Si le recours n'est recevable que lorsqu'il soulève une question juridique de principe ou qu'il porte sur un cas particulièrement important pour d'autres motifs, il faut exposer en quoi l'affaire remplit la condition exigée.15 16 |
3 | Les pièces invoquées comme moyens de preuve doivent être jointes au mémoire, pour autant qu'elles soient en mains de la partie; il en va de même de la décision attaquée si le mémoire est dirigé contre une décision. |
4 | En cas de transmission électronique, le mémoire doit être muni de la signature électronique qualifiée de la partie ou de son mandataire au sens de la loi du 18 mars 2016 sur la signature électronique17. Le Tribunal fédéral détermine dans un règlement: |
a | le format du mémoire et des pièces jointes; |
b | les modalités de la transmission; |
c | les conditions auxquelles il peut exiger, en cas de problème technique, que des documents lui soient adressés ultérieurement sur papier.18 |
5 | Si la signature de la partie ou de son mandataire, la procuration ou les annexes prescrites font défaut, ou si le mandataire n'est pas autorisé, le Tribunal fédéral impartit un délai approprié à la partie pour remédier à l'irrégularité et l'avertit qu'à défaut le mémoire ne sera pas pris en considération. |
6 | Si le mémoire est illisible, inconvenant, incompréhensible ou prolixe ou qu'il n'est pas rédigé dans une langue officielle, le Tribunal fédéral peut le renvoyer à son auteur; il impartit à celui-ci un délai approprié pour remédier à l'irrégularité et l'avertit qu'à défaut le mémoire ne sera pas pris en considération. |
7 | Le mémoire de recours introduit de manière procédurière ou à tout autre égard abusif est irrecevable. |
2.1. Das Bundesgericht legt seinem Urteil den Sachverhalt zugrunde, den die Vorinstanz festgestellt hat (Art. 105 Abs. 1
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 105 Faits déterminants - 1 Le Tribunal fédéral statue sur la base des faits établis par l'autorité précédente. |
|
1 | Le Tribunal fédéral statue sur la base des faits établis par l'autorité précédente. |
2 | Il peut rectifier ou compléter d'office les constatations de l'autorité précédente si les faits ont été établis de façon manifestement inexacte ou en violation du droit au sens de l'art. 95. |
3 | Lorsque la décision qui fait l'objet d'un recours concerne l'octroi ou le refus de prestations en espèces de l'assurance-accidents ou de l'assurance militaire, le Tribunal fédéral n'est pas lié par les faits établis par l'autorité précédente.99 |
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 95 Droit suisse - Le recours peut être formé pour violation: |
|
a | du droit fédéral; |
b | du droit international; |
c | de droits constitutionnels cantonaux; |
d | de dispositions cantonales sur le droit de vote des citoyens ainsi que sur les élections et votations populaires; |
e | du droit intercantonal. |
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 105 Faits déterminants - 1 Le Tribunal fédéral statue sur la base des faits établis par l'autorité précédente. |
|
1 | Le Tribunal fédéral statue sur la base des faits établis par l'autorité précédente. |
2 | Il peut rectifier ou compléter d'office les constatations de l'autorité précédente si les faits ont été établis de façon manifestement inexacte ou en violation du droit au sens de l'art. 95. |
3 | Lorsque la décision qui fait l'objet d'un recours concerne l'octroi ou le refus de prestations en espèces de l'assurance-accidents ou de l'assurance militaire, le Tribunal fédéral n'est pas lié par les faits établis par l'autorité précédente.99 |
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 97 Établissement inexact des faits - 1 Le recours ne peut critiquer les constatations de fait que si les faits ont été établis de façon manifestement inexacte ou en violation du droit au sens de l'art. 95, et si la correction du vice est susceptible d'influer sur le sort de la cause. |
|
1 | Le recours ne peut critiquer les constatations de fait que si les faits ont été établis de façon manifestement inexacte ou en violation du droit au sens de l'art. 95, et si la correction du vice est susceptible d'influer sur le sort de la cause. |
2 | Si la décision qui fait l'objet d'un recours concerne l'octroi ou le refus de prestations en espèces de l'assurance-accidents ou de l'assurance militaire, le recours peut porter sur toute constatation incomplète ou erronée des faits.89 |
2.2. Für eine Kritik am festgestellten Sachverhalt gilt das strenge Rügeprinzip von Art. 106 Abs. 2
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 106 Application du droit - 1 Le Tribunal fédéral applique le droit d'office. |
|
1 | Le Tribunal fédéral applique le droit d'office. |
2 | Il n'examine la violation de droits fondamentaux ainsi que celle de dispositions de droit cantonal et intercantonal que si ce grief a été invoqué et motivé par le recourant. |
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 99 - 1 Aucun fait nouveau ni preuve nouvelle ne peut être présenté à moins de résulter de la décision de l'autorité précédente. |
|
1 | Aucun fait nouveau ni preuve nouvelle ne peut être présenté à moins de résulter de la décision de l'autorité précédente. |
2 | Toute conclusion nouvelle est irrecevable. |
2.3. Dieselben Begründungsanforderungen gelten auch für die Beschwerdeantwort, wenn darin Erwägungen der Vorinstanz beanstandet werden, die sich für die im kantonalen Verfahren obsiegende Partei ungünstig auswirken können (BGE 140 III 115 E. 2 S. 116; Urteil 4A 438/2010 vom 15. November 2010 E. 1.2 in fine, nicht publ. in: BGE 136 III 545; Urteil 4A 347/2009 vom 16. November 2009 E. 4.1 in fine, nicht publ. in: BGE 136 III 96).
3.
Die Beschwerdeführerinnen machen geltend, die Vorinstanz habe die Tragweite des datenschutzrechtlichen Auskunftsanspruchs verkannt und Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 272 Code de procédure civile du 19 décembre 2008 (CPC) - Loi sur les fors CPC Art. 150 Objet de la preuve - 1 La preuve a pour objet les faits pertinents et contestés. |
|
1 | La preuve a pour objet les faits pertinents et contestés. |
2 | La preuve peut également porter sur l'usage, les usages locaux et, dans les litiges patrimoniaux, le droit étranger. |
3.1. Gemäss Art. 8 Abs. 1
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
Aus dem französischen und italienischen Wortlaut ergibt sich nichts anderes: Mitzuteilen sind "alle (...) vorhandenen Daten einschliesslich der verfügbaren Angaben über die Herkunft der Daten" ("toutes les données [...] qui sont contenues dans le fichier, y compris les informations disponibles sur l'origine des données"; "tutti i dati [...] contenuti nella collezione, comprese le informazioni disponibili sull'origine dei dati").
Das Auskunftsrecht ist mit einer Strafdrohung bewehrt: Verletzt eine private Person ihre Auskunftspflicht, indem sie vorsätzlich eine falsche oder eine unvollständige Auskunft erteilt, dann wird sie auf Antrag mit Busse bestraft (Art. 34 Abs. 1 lit. a
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 34 Bases légales - 1 Les organes fédéraux ne sont en droit de traiter des données personnelles que s'il existe une base légale. |
|
1 | Les organes fédéraux ne sont en droit de traiter des données personnelles que s'il existe une base légale. |
2 | La base légale doit être prévue dans une loi au sens formel dans les cas suivants: |
a | il s'agit d'un traitement de données sensibles; |
b | il s'agit d'un profilage; |
c | la finalité ou le mode du traitement de données personnelles est susceptible de porter gravement atteinte aux droits fondamentaux de la personne concernée. |
3 | Pour les traitements de données personnelles visés à l'al. 2, let. a et b, une base légale prévue dans une loi au sens matériel suffit si les conditions suivantes sont réunies: |
a | le traitement est indispensable à l'accomplissement d'une tâche définie dans une loi au sens formel; |
b | la finalité du traitement ne présente pas de risques particuliers pour les droits fondamentaux de la personne concernée. |
4 | En dérogation aux al. 1 à 3, les organes fédéraux peuvent traiter des données personnelles si l'une des conditions suivantes est remplie: |
a | le Conseil fédéral a autorisé le traitement, considérant que les droits des personnes concernées ne sont pas menacés; |
b | la personne concernée a consenti au traitement en l'espèce ou a rendu ses données personnelles accessibles à tout un chacun et ne s'est pas opposée expressément au traitement; |
c | le traitement est nécessaire pour protéger la vie ou l'intégrité corporelle de la personne concernée ou d'un tiers et il n'est pas possible d'obtenir le consentement de la personne concernée dans un délai raisonnable. |
Die Lehre versteht den Begriff der "Personendaten (Daten) " gemäss Art. 3 lit. a
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
3.1.1. Gemäss Art. 8 Abs. 2 lit. a
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
fehlt es am Gegenstand des Auskunftsrechts nach Art. 8 Abs. 2 lit. a
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
3.1.2. Die zu erteilende Auskunft muss wahr und vollständig sein (vgl. Botschaft vom 23. März 1988 zum Bundesgesetz über den Datenschutz [DSG], BBl 1988 II 453 Ziff. 221.2 zu Art. 5 Abs. 2 E
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 5 Définitions - On entend par: |
|
a | données personnelles: toutes les informations concernant une personne physique identifiée ou identifiable; |
b | personne concernée: la personne physique dont les données personnelles font l'objet d'un traitement; |
c | données personnelles sensibles (données sensibles): |
c1 | les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales, |
c2 | les données sur la santé, la sphère intime ou l'origine raciale ou ethnique, |
c3 | les données génétiques, |
c4 | les données biométriques identifiant une personne physique de manière univoque, |
c5 | les données sur des poursuites ou sanctions pénales et administratives, |
c6 | les données sur des mesures d'aide sociale; |
d | traitement: toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction de données; |
e | communication: le fait de transmettre des données personnelles ou de les rendre accessibles; |
f | profilage: toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique; |
g | profilage à risque élevé: tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu'il conduit à un appariement de données qui permet d'apprécier les caractéristiques essentielles de la personnalité d'une personne physique; |
h | violation de la sécurité des données: toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données; |
i | organe fédéral: l'autorité fédérale, le service fédéral ou la personne chargée d'une tâche publique de la Confédération; |
j | responsable du traitement: la personne privée ou l'organe fédéral qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles; |
k | sous-traitant: la personne privée ou l'organe fédéral qui traite des données personnelles pour le compte du responsable du traitement. |
indem sie einen Gegenbeweis erbringt oder zumindest konkrete Anhaltspunkte für das Vorhandensein weiterer Daten aufzeigt (Urteil 1C 59/2015 vom 17. September 2015 E. 3.2 mit Hinweisen).
3.2. Art. 8 Abs. 2 lit. a
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
Auch auf europäischer Ebene hat die betroffene Person unter bestimmten Voraussetzungen das Recht, alle verfügbaren Informationen über die Herkunft der Daten zu erhalten (Art. 15 Abs. 1 lit. g
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
3.2.1. Den Inhaber der Datensammlung trifft keine Pflicht, die Herkunftsangaben zu speichern (RENÉ HUBER, Die Teilrevision des Eidg. Datenschutzgesetzes - ungenügende Pinselrenovation, recht 24/2006 S. 205 ff., 208; BEAT RUDIN, in: Datenschutzgesetz [DSG], Baeriswyl/ Pärli [Hrsg.], 2015, N. 36 zu Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
Würden in der Datenbank vorhandene Angaben über die Herkunft der Daten allerdings nach Eingang eines Auskunftsbegehrens gelöscht, läge ein Verstoss gegen Treu und Glauben vor (ROSENTHAL, a.a.O., N. 13 zu Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 34 Bases légales - 1 Les organes fédéraux ne sont en droit de traiter des données personnelles que s'il existe une base légale. |
|
1 | Les organes fédéraux ne sont en droit de traiter des données personnelles que s'il existe une base légale. |
2 | La base légale doit être prévue dans une loi au sens formel dans les cas suivants: |
a | il s'agit d'un traitement de données sensibles; |
b | il s'agit d'un profilage; |
c | la finalité ou le mode du traitement de données personnelles est susceptible de porter gravement atteinte aux droits fondamentaux de la personne concernée. |
3 | Pour les traitements de données personnelles visés à l'al. 2, let. a et b, une base légale prévue dans une loi au sens matériel suffit si les conditions suivantes sont réunies: |
a | le traitement est indispensable à l'accomplissement d'une tâche définie dans une loi au sens formel; |
b | la finalité du traitement ne présente pas de risques particuliers pour les droits fondamentaux de la personne concernée. |
4 | En dérogation aux al. 1 à 3, les organes fédéraux peuvent traiter des données personnelles si l'une des conditions suivantes est remplie: |
a | le Conseil fédéral a autorisé le traitement, considérant que les droits des personnes concernées ne sont pas menacés; |
b | la personne concernée a consenti au traitement en l'espèce ou a rendu ses données personnelles accessibles à tout un chacun et ne s'est pas opposée expressément au traitement; |
c | le traitement est nécessaire pour protéger la vie ou l'intégrité corporelle de la personne concernée ou d'un tiers et il n'est pas possible d'obtenir le consentement de la personne concernée dans un délai raisonnable. |
3.2.2. Im vorliegenden Fall geht es um die Auskunftspflicht einer Bank. Bei Finanzinstituten kommen als Angaben über die Herkunft der Daten beispielsweise die Mittel der Abklärungen in Frage, die in Art. 16 der Verordnung vom 3. Juni 2015 der Eidgenössischen Finanzmarktaufsicht über die Bekämpfung von Geldwäscherei und Terrorismusfinanzierung im Finanzsektor (Geldwäschereiverordnung-FINMA, GwV-FINMA; SR 955.033.0) aufgelistet sind.
Zu denken ist an das Einholen schriftlicher oder mündlicher Auskünfte (Art. 16 Abs. 1 lit. a
![](media/link.gif)
SR 955.033.0 Ordonnance du 3 juin 2015 de l'Autorité fédérale de surveillance des marchés financiers sur la lutte contre le blanchiment d'argent et le financement du terrorisme dans le secteur financier (Ordonnance de la FINMA sur le blanchiment d'argent, OBA-FINMA) - Ordonnance 3 de la FINMA sur le blanchiment d'argent OBA-FINMA Art. 16 Moyens de clarification |
|
1 | Selon les circonstances, les clarifications comprennent notamment: |
a | la prise de renseignements écrits ou oraux auprès des cocontractants, des détenteurs du contrôle ou des ayants droit économiques des valeurs patrimoniales; |
b | des visites des lieux où les cocontractants, les détenteurs du contrôle ou les ayants droit économiques des valeurs patrimoniales conduisent leurs affaires; |
c | une consultation des sources et des banques de données accessibles au public; |
d | le cas échéant, des renseignements auprès de personnes dignes de confiance. |
2 | L'intermédiaire financier vérifie si les résultats des clarifications sont plausibles et les documente. |
![](media/link.gif)
SR 955.033.0 Ordonnance du 3 juin 2015 de l'Autorité fédérale de surveillance des marchés financiers sur la lutte contre le blanchiment d'argent et le financement du terrorisme dans le secteur financier (Ordonnance de la FINMA sur le blanchiment d'argent, OBA-FINMA) - Ordonnance 3 de la FINMA sur le blanchiment d'argent OBA-FINMA Art. 16 Moyens de clarification |
|
1 | Selon les circonstances, les clarifications comprennent notamment: |
a | la prise de renseignements écrits ou oraux auprès des cocontractants, des détenteurs du contrôle ou des ayants droit économiques des valeurs patrimoniales; |
b | des visites des lieux où les cocontractants, les détenteurs du contrôle ou les ayants droit économiques des valeurs patrimoniales conduisent leurs affaires; |
c | une consultation des sources et des banques de données accessibles au public; |
d | le cas échéant, des renseignements auprès de personnes dignes de confiance. |
2 | L'intermédiaire financier vérifie si les résultats des clarifications sont plausibles et les documente. |
![](media/link.gif)
SR 955.033.0 Ordonnance du 3 juin 2015 de l'Autorité fédérale de surveillance des marchés financiers sur la lutte contre le blanchiment d'argent et le financement du terrorisme dans le secteur financier (Ordonnance de la FINMA sur le blanchiment d'argent, OBA-FINMA) - Ordonnance 3 de la FINMA sur le blanchiment d'argent OBA-FINMA Art. 16 Moyens de clarification |
|
1 | Selon les circonstances, les clarifications comprennent notamment: |
a | la prise de renseignements écrits ou oraux auprès des cocontractants, des détenteurs du contrôle ou des ayants droit économiques des valeurs patrimoniales; |
b | des visites des lieux où les cocontractants, les détenteurs du contrôle ou les ayants droit économiques des valeurs patrimoniales conduisent leurs affaires; |
c | une consultation des sources et des banques de données accessibles au public; |
d | le cas échéant, des renseignements auprès de personnes dignes de confiance. |
2 | L'intermédiaire financier vérifie si les résultats des clarifications sont plausibles et les documente. |
![](media/link.gif)
SR 955.033.0 Ordonnance du 3 juin 2015 de l'Autorité fédérale de surveillance des marchés financiers sur la lutte contre le blanchiment d'argent et le financement du terrorisme dans le secteur financier (Ordonnance de la FINMA sur le blanchiment d'argent, OBA-FINMA) - Ordonnance 3 de la FINMA sur le blanchiment d'argent OBA-FINMA Art. 16 Moyens de clarification |
|
1 | Selon les circonstances, les clarifications comprennent notamment: |
a | la prise de renseignements écrits ou oraux auprès des cocontractants, des détenteurs du contrôle ou des ayants droit économiques des valeurs patrimoniales; |
b | des visites des lieux où les cocontractants, les détenteurs du contrôle ou les ayants droit économiques des valeurs patrimoniales conduisent leurs affaires; |
c | une consultation des sources et des banques de données accessibles au public; |
d | le cas échéant, des renseignements auprès de personnes dignes de confiance. |
2 | L'intermédiaire financier vérifie si les résultats des clarifications sont plausibles et les documente. |
Geht es nach DOMMER, so unterliegen solche Informationen dem Auskunftsrecht, sofern sie verfügbar sind. Dabei müsse die Angabe der Quelle möglichst spezifisch sein. Falls die Bank die Daten von vertrauenswürdigen Personen erhalte, habe sie deren Identität bekanntzugeben. Die Bekanntgabe der Identität verstosse nicht gegen die Grundsätze von Art. 4
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 4 Préposé fédéral à la protection des données et à la transparence - 1 Le Préposé fédéral à la protection des données et à la transparence (PFPDT) est chargé de surveiller la bonne application des dispositions fédérales de protection des données. |
|
1 | Le Préposé fédéral à la protection des données et à la transparence (PFPDT) est chargé de surveiller la bonne application des dispositions fédérales de protection des données. |
2 | Il ne peut exercer aucune surveillance sur: |
a | l'Assemblée fédérale; |
b | le Conseil fédéral; |
c | les tribunaux fédéraux; |
d | le Ministère public de la Confédération, en ce qui concerne le traitement de données personnelles dans le cadre de procédures pénales; |
e | les autorités fédérales, en ce qui concerne le traitement de données personnelles dans le cadre de leurs activités juridictionnelles ou dans le cadre de procédures d'entraide judiciaire internationale en matière pénale. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
3.3. Die Vorinstanz hielt unter Hinweis auf eine Kommentarstelle zu Art. 3 lit. a
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
3.4. Mit ihrer Interpretation überdehnt die Vorinstanz das Auskunftsrecht und verkennt die Tragweite der von ihr zitierten Literaturstelle:
3.4.1. An der von der Vorinstanz zitierten Stelle geht es um den Begriff der "Personendaten" im Sinne von Art. 3 lit. a
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
der Auffassung, die Erschliessbarkeit sei nur eines von mehreren Kriterien. Im Rahmen der Auslegung der Legaldefinition müssten ebenso eine Reihe weiterer Elemente berücksichtigt werden, die sich teilweise aus dem Wortlaut, aber auch dem Sinn und Zweck der Legaldefinition ergäben. Zu berücksichtigen sei aber auch die Art und Weise, wie die Sonderpflichten (darunter auch die Auskunftspflicht nach Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
3.4.2. Das Auskunftsrecht steht nach Art. 8 Abs. 1
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.11 Ordonnance du 31 août 2022 sur la protection des données (OPDo) OPDo Art. 2 Objectifs - En fonction du besoin de protection, le responsable du traitement et le sous-traitant prennent des mesures techniques et organisationnelles pour que les données traitées: |
|
a | ne soient accessibles qu'aux personnes autorisées (confidentialité); |
b | soient disponibles en cas de besoin (disponibilité); |
c | ne puissent être modifiées sans droit ou par mégarde (intégrité); |
d | soient traitées de manière à être traçables (traçabilité). |
![](media/link.gif)
SR 235.11 Ordonnance du 31 août 2022 sur la protection des données (OPDo) OPDo Art. 9 Clauses de protection des données d'un contrat et garanties spécifiques - 1 Les clauses de protection des données d'un contrat au sens de l'art. 16, al. 2, let. b, LPD et les garanties spécifiques au sens de l'art. 16, al. 2, let. c, LPD comprennent au moins les points suivants: |
|
1 | Les clauses de protection des données d'un contrat au sens de l'art. 16, al. 2, let. b, LPD et les garanties spécifiques au sens de l'art. 16, al. 2, let. c, LPD comprennent au moins les points suivants: |
a | l'application des principes de licéité, de bonne foi, de proportionnalité, de transparence, de finalité et d'exactitude; |
b | les catégories de données communiquées et de personnes concernées; |
c | le type et la finalité de la communication des données personnelles; |
d | le cas échéant, le nom des États ou des organismes internationaux auxquels sont destinées les données personnelles, et les conditions applicables à la communication; |
e | les conditions applicables à la conservation, à l'effacement et à la destruction des données personnelles; |
f | les destinataires ou les catégories de destinataires; |
g | les mesures visant à garantir la sécurité des données; |
h | l'obligation d'annoncer les violations de la sécurité des données; |
i | l'obligation pour le destinataire, lorsqu'il est responsable du traitement, d'informer les personnes concernées par le traitement des données; |
j | les droits de la personne concernée, en particulier: |
j1 | le droit d'accès et le droit à la remise ou à la transmission des données personnelles, |
j2 | le droit de s'opposer à la communication des données, |
j3 | le droit de demander la rectification, l'effacement ou la destruction des données, |
j4 | le droit de saisir en justice une autorité indépendante. |
2 | Le responsable du traitement ou, dans le cas de clauses de protection des données d'un contrat, le sous-traitant prend les mesures adéquates pour s'assurer que le destinataire respecte ces clauses ou les garanties spécifiques. |
3 | Une fois les clauses de protection des données d'un contrat ou les garanties spécifiques annoncées au PFPDT, le devoir d'information du responsable du traitement est réputé également rempli pour toutes les communications: |
a | qui se fondent sur les mêmes clauses ou garanties, pour autant que les catégories de destinataires, les finalités du traitement et les catégories de données communiquées soient similaires, ou |
b | qui sont effectuées au sein d'une même personne morale ou société ou entre des entreprises appartenant au même groupe. |
3.4.3. Die Ausgestaltung der Pflichten des Inhabers der Datensammlung in Gesetz und Verordnung lässt Rückschlüsse auf die Tragweite des Auskunftsrechts zu: Die Auskünfte sind grundsätzlich voraussetzungslos geschuldet, ohne jeden Interessennachweis (BGE 141 III 119 E. 7.1.1 S. 127; 138 III 425 E. 5.5 S. 432; je mit Hinweisen). Sie sind in der Regel kostenlos und schriftlich zu erteilen. Dass ein derart voraussetzungs- und kostenloses Auskunftsrecht vorgesehen ist, zeigt, dass der Gesetzgeber davon ausgeht, eine Auskunftserteilung sei bei gesetzes- und verordnungskonformer Gestaltung der Datensammlung (Art. 9 Abs. 2
![](media/link.gif)
SR 235.11 Ordonnance du 31 août 2022 sur la protection des données (OPDo) OPDo Art. 9 Clauses de protection des données d'un contrat et garanties spécifiques - 1 Les clauses de protection des données d'un contrat au sens de l'art. 16, al. 2, let. b, LPD et les garanties spécifiques au sens de l'art. 16, al. 2, let. c, LPD comprennent au moins les points suivants: |
|
1 | Les clauses de protection des données d'un contrat au sens de l'art. 16, al. 2, let. b, LPD et les garanties spécifiques au sens de l'art. 16, al. 2, let. c, LPD comprennent au moins les points suivants: |
a | l'application des principes de licéité, de bonne foi, de proportionnalité, de transparence, de finalité et d'exactitude; |
b | les catégories de données communiquées et de personnes concernées; |
c | le type et la finalité de la communication des données personnelles; |
d | le cas échéant, le nom des États ou des organismes internationaux auxquels sont destinées les données personnelles, et les conditions applicables à la communication; |
e | les conditions applicables à la conservation, à l'effacement et à la destruction des données personnelles; |
f | les destinataires ou les catégories de destinataires; |
g | les mesures visant à garantir la sécurité des données; |
h | l'obligation d'annoncer les violations de la sécurité des données; |
i | l'obligation pour le destinataire, lorsqu'il est responsable du traitement, d'informer les personnes concernées par le traitement des données; |
j | les droits de la personne concernée, en particulier: |
j1 | le droit d'accès et le droit à la remise ou à la transmission des données personnelles, |
j2 | le droit de s'opposer à la communication des données, |
j3 | le droit de demander la rectification, l'effacement ou la destruction des données, |
j4 | le droit de saisir en justice une autorité indépendante. |
2 | Le responsable du traitement ou, dans le cas de clauses de protection des données d'un contrat, le sous-traitant prend les mesures adéquates pour s'assurer que le destinataire respecte ces clauses ou les garanties spécifiques. |
3 | Une fois les clauses de protection des données d'un contrat ou les garanties spécifiques annoncées au PFPDT, le devoir d'information du responsable du traitement est réputé également rempli pour toutes les communications: |
a | qui se fondent sur les mêmes clauses ou garanties, pour autant que les catégories de destinataires, les finalités du traitement et les catégories de données communiquées soient similaires, ou |
b | qui sont effectuées au sein d'une même personne morale ou société ou entre des entreprises appartenant au même groupe. |
![](media/link.gif)
SR 235.11 Ordonnance du 31 août 2022 sur la protection des données (OPDo) OPDo Art. 9 Clauses de protection des données d'un contrat et garanties spécifiques - 1 Les clauses de protection des données d'un contrat au sens de l'art. 16, al. 2, let. b, LPD et les garanties spécifiques au sens de l'art. 16, al. 2, let. c, LPD comprennent au moins les points suivants: |
|
1 | Les clauses de protection des données d'un contrat au sens de l'art. 16, al. 2, let. b, LPD et les garanties spécifiques au sens de l'art. 16, al. 2, let. c, LPD comprennent au moins les points suivants: |
a | l'application des principes de licéité, de bonne foi, de proportionnalité, de transparence, de finalité et d'exactitude; |
b | les catégories de données communiquées et de personnes concernées; |
c | le type et la finalité de la communication des données personnelles; |
d | le cas échéant, le nom des États ou des organismes internationaux auxquels sont destinées les données personnelles, et les conditions applicables à la communication; |
e | les conditions applicables à la conservation, à l'effacement et à la destruction des données personnelles; |
f | les destinataires ou les catégories de destinataires; |
g | les mesures visant à garantir la sécurité des données; |
h | l'obligation d'annoncer les violations de la sécurité des données; |
i | l'obligation pour le destinataire, lorsqu'il est responsable du traitement, d'informer les personnes concernées par le traitement des données; |
j | les droits de la personne concernée, en particulier: |
j1 | le droit d'accès et le droit à la remise ou à la transmission des données personnelles, |
j2 | le droit de s'opposer à la communication des données, |
j3 | le droit de demander la rectification, l'effacement ou la destruction des données, |
j4 | le droit de saisir en justice une autorité indépendante. |
2 | Le responsable du traitement ou, dans le cas de clauses de protection des données d'un contrat, le sous-traitant prend les mesures adéquates pour s'assurer que le destinataire respecte ces clauses ou les garanties spécifiques. |
3 | Une fois les clauses de protection des données d'un contrat ou les garanties spécifiques annoncées au PFPDT, le devoir d'information du responsable du traitement est réputé également rempli pour toutes les communications: |
a | qui se fondent sur les mêmes clauses ou garanties, pour autant que les catégories de destinataires, les finalités du traitement et les catégories de données communiquées soient similaires, ou |
b | qui sont effectuées au sein d'une même personne morale ou société ou entre des entreprises appartenant au même groupe. |
Datenabfragen (ROSENTHAL, a.a.O., N. 15 zu Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
Auch die Modalitäten der Auskunftserteilung sprechen dafür, dass das Auskunftsrecht nach Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.11 Ordonnance du 31 août 2022 sur la protection des données (OPDo) OPDo Art. 1 Principes - 1 Pour assurer une sécurité adéquate des données, le responsable du traitement et le sous-traitant établissent le besoin de protection des données personnelles et déterminent les mesures techniques et organisationnelles appropriées à prendre par rapport au risque encouru. |
|
1 | Pour assurer une sécurité adéquate des données, le responsable du traitement et le sous-traitant établissent le besoin de protection des données personnelles et déterminent les mesures techniques et organisationnelles appropriées à prendre par rapport au risque encouru. |
2 | Le besoin de protection des données personnelles est évalué en fonction des critères suivants: |
a | le type de données traitées; |
b | la finalité, la nature, l'étendue et les circonstances du traitement. |
3 | Le risque pour la personnalité ou les droits fondamentaux de la personne concernée est évalué en fonction des critères suivants: |
a | les causes du risque; |
b | les principales menaces; |
c | les mesures prises ou prévues pour réduire le risque; |
d | la probabilité et la gravité d'une violation de la sécurité des données, malgré les mesures prises ou prévues. |
4 | Lors de la détermination des mesures techniques et organisationnelles, les critères suivants sont de plus pris en compte: |
a | l'état des connaissances; |
b | les coûts de mise en oeuvre. |
5 | Le besoin de protection des données personnelles, le risque encouru, ainsi que les mesures techniques et organisationnelles sont réévalués pendant toute la durée du traitement. En cas de besoin, les mesures sont adaptées. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
3.4.4. In Bezug auf Angaben über die Herkunft der Daten vertritt der genannte Autor die Auffassung, alle (in- oder ausserhalb der Datensammlung) vorhandenen Angaben müssten mitgeteilt werden, soweit dies für den Antragsteller nötig ist, seine Rechte auch gegenüber diesen Quellen geltend zu machen (ROSENTHAL, a.a.O., N. 13 zu Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
indem er die Herkunftsangaben separat aufbewahrt. Eine präventive Wirkung (vgl. E. 3.2 hiervor) liesse sich so nicht erzielen.
3.4.5. Der Gesetzgeber spricht aber von "verfügbaren" Herkunftsangaben (so auch im neuen Datenschutzgesetz: Art. 25 Abs. 2 lit. e
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées. |
|
1 | Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées. |
2 | La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes: |
a | l'identité et les coordonnées du responsable du traitement; |
b | les données personnelles traitées en tant que telles; |
c | la finalité du traitement; |
d | la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière; |
e | les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée; |
f | le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision; |
g | le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4. |
3 | Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné. |
4 | Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés. |
5 | Nul ne peut renoncer par avance au droit d'accès. |
6 | Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés. |
7 | En règle générale, les renseignements sont fournis dans un délai de 30 jours. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.11 Ordonnance du 31 août 2022 sur la protection des données (OPDo) OPDo Art. 9 Clauses de protection des données d'un contrat et garanties spécifiques - 1 Les clauses de protection des données d'un contrat au sens de l'art. 16, al. 2, let. b, LPD et les garanties spécifiques au sens de l'art. 16, al. 2, let. c, LPD comprennent au moins les points suivants: |
|
1 | Les clauses de protection des données d'un contrat au sens de l'art. 16, al. 2, let. b, LPD et les garanties spécifiques au sens de l'art. 16, al. 2, let. c, LPD comprennent au moins les points suivants: |
a | l'application des principes de licéité, de bonne foi, de proportionnalité, de transparence, de finalité et d'exactitude; |
b | les catégories de données communiquées et de personnes concernées; |
c | le type et la finalité de la communication des données personnelles; |
d | le cas échéant, le nom des États ou des organismes internationaux auxquels sont destinées les données personnelles, et les conditions applicables à la communication; |
e | les conditions applicables à la conservation, à l'effacement et à la destruction des données personnelles; |
f | les destinataires ou les catégories de destinataires; |
g | les mesures visant à garantir la sécurité des données; |
h | l'obligation d'annoncer les violations de la sécurité des données; |
i | l'obligation pour le destinataire, lorsqu'il est responsable du traitement, d'informer les personnes concernées par le traitement des données; |
j | les droits de la personne concernée, en particulier: |
j1 | le droit d'accès et le droit à la remise ou à la transmission des données personnelles, |
j2 | le droit de s'opposer à la communication des données, |
j3 | le droit de demander la rectification, l'effacement ou la destruction des données, |
j4 | le droit de saisir en justice une autorité indépendante. |
2 | Le responsable du traitement ou, dans le cas de clauses de protection des données d'un contrat, le sous-traitant prend les mesures adéquates pour s'assurer que le destinataire respecte ces clauses ou les garanties spécifiques. |
3 | Une fois les clauses de protection des données d'un contrat ou les garanties spécifiques annoncées au PFPDT, le devoir d'information du responsable du traitement est réputé également rempli pour toutes les communications: |
a | qui se fondent sur les mêmes clauses ou garanties, pour autant que les catégories de destinataires, les finalités du traitement et les catégories de données communiquées soient similaires, ou |
b | qui sont effectuées au sein d'une même personne morale ou société ou entre des entreprises appartenant au même groupe. |
3.4.6. Entgegen der Auffassung der Vorinstanz werden Angaben über die Herkunft von Daten, die allenfalls im Gehirn unter den gewöhnlichen Erinnerungen einer Person gespeichert sein könnten (und nicht etwa auf Geheiss des Inhabers der Datensammlung auswendig gelernt wurden), nicht vom Auskunftsrecht erfasst. Denn über derartige Informationen kann der Inhaber der Datensammlung nicht verfügen. Er kann, ohne Nachforschungen bei der betroffenen Person anzustellen, objektiv nicht wissen, ob die Herkunftsangaben zu einem gegebenen Zeitpunkt noch vorhanden sind. Im Rahmen der voraussetzungslos geschuldeten Auskunft nach Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
kann von ihm im Rahmen von Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
3.5. Vor diesem Hintergrund betreffen die Beweissätze keine prozessrelevanten Punkte:
3.5.1. Selbst wenn im Zusammenhang mit der Zahlung von Fr. 566'000.-- an den Beschwerdegegner zwischen dem General Counsel der Beschwerdeführerin 3 und einem Partner der Anwaltskanzlei ein Gespräch stattgefunden haben sollte, lässt sich daraus nicht ableiten, dass für die Beschwerdeführerinnen im Rahmen von Art. 8 Abs. 2 lit. a
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
3.5.2. Auch dass der Partner der Anwaltskanzlei im Zuge dieses Gesprächs dem General Counsel der Beschwerdeführerin 3 allenfalls personenbezogene Informationen über den Beschwerdegegner mitgeteilt haben könnte, sagt nichts über die Verfügbarkeit der Angaben betreffend die Herkunft der Daten aus. Da der Inhalt des Gesprächs nicht zum Beweissatz gehört, könnten auch keine inhaltlichen Rückschlüsse auf die Vollständigkeit der erteilten Auskünfte gezogen werden.
3.5.3. Dass der General Counsel der Beschwerdeführerin 3 den Inhalt dieses Gesprächs einer anderen Person schriftlich mitgeteilt haben könnte oder dass der General Counsel der Beschwerdeführerin 3 den Inhalt dieses Gesprächs einem Mitarbeiter oder Organ einer der Beschwerdeführerinnen mündlich mitgeteilt haben könnte, worauf diese Person den Inhalt dieses Gesprächs schriftlich festgehalten hat, bildet zwar eine Voraussetzung dafür, dass überhaupt eine Auskunftspflicht in Betracht fällt, nämlich sofern das erwähnte Schriftstück nicht lediglich zum vorübergehenden Gebrauch bestimmt war, sondern vielmehr aufbewahrt wurde, so dass ein gezielter Zugriff darauf möglich wäre. Aus der Tatsache allein, dass ein entsprechendes Schriftstück allenfalls einmal verfasst wurde, folgt dies aber nicht. Da der Inhalt des Gesprächs wieder nicht zum Beweissatz gehört, könnten zudem auch hier keine inhaltlichen Rückschlüsse auf die Vollständigkeit der erteilten Auskünfte gezogen werden.
4.
Damit erweisen sich die Beanstandungen der Beschwerdeführerinnen als begründet. Die Beschwerdegegner werfen den Beschwerdeführerinnen allerdings treuwidriges Verhalten vor. Sie machen gelten, die Erstinstanz habe den Parteien angeboten, die in der Beweisverfügung genannten zwei Zeugen und die Auskunftsperson zu den darin aufgeführten Beweisthemen vorzuladen, wenn die Beschwerdegegner die übrigen Klagebegehren zurückziehen würden. Die Beschwerdeführerinnen hätten diesem Vorschlag zugestimmt, worauf die Beschwerdegegner die übrigen Klagebegehren zurückgezogen hätten und die Beweisverfügung erlassen worden sei. Entsprechendes lässt sich den Feststellungen des angefochtenen Entscheides aber nicht entnehmen, und die Beschwerdegegner erheben keine hinreichend begründete Sachverhaltsrüge, die dem Bundesgericht eine Ergänzung des Sachverhalts erlauben würde (vgl. E. 2.1 - 2.3 hiervor). Damit sind sie nicht zu hören.
Der Vorwurf der Treuwidrigkeit bzw. des Rechtsmissbrauchs könnte vielmehr auf die Beschwerdegegner fallen, indem die Vorinstanzen im Rahmen der Beurteilung in der Sache auch zu prüfen haben werden, ob die Beschwerdegegner mit ihren sehr weit gefassten, über die erhaltenen Informationen hinausgehenden Auskunftsbegehren wirklich datenschutzrechtliche Interessen verfolgen, oder allenfalls ein zweckwidriger Gebrauch des Instituts des datenschutzrechtlichen Auskunftsanspruchs vorliegt (vgl. E. 1.7.2 hiervor).
5.
Damit erweist sich die Beschwerde als begründet. Der angefochtene Entscheid ist aufzuheben ebenso wie die mit der kantonalen Beschwerde angefochtene Beweisverfügung des Bezirksgerichts Zürich vom 29. Juli 2019. Die Vorinstanz hat allerdings die Frage nach der Parteistellung der Beschwerdegegnerin im Beschwerdeverfahren offengelassen. Da sich die Begründung, dass die Beschwerdeführerinnen mit ihrer kantonalen Beschwerde nicht durchdringen, als nicht tragfähig erwiesen hat, ist die Sache in diesem Punkt an die Vorinstanz zu neuer Entscheidung zurückzuweisen. In diesem Rahmen wird sie auch die Prozesskosten für das kantonale Verfahren neu zu verlegen haben. Im Übrigen wird das Bezirksgericht die Sache nun wieder aufnehmen müssen zum Entscheid in der Hauptsache ohne Vornahme der aufgehobenen Beweisanordnung.
Vor Bundesgericht muss auf die Frage der Parteistellung im kantonalen Beschwerdeverfahren nicht eingegangen werden, zumal die Beschwerdegegner sich dazu nicht äussern und ihnen zumindest für das Verfahren vor Bundesgericht beiden Parteistellung zukommt. Dem Ausgang des Verfahrens entsprechend werden sie unter solidarischer Haftbarkeit kosten- und entschädigungspflichtig. Es handelt sich um eine nichtvermögensrechtliche Streitigkeit (BGE 142 III 145 E. 6.3 S. 151 f.). Die Höhe der Gerichtskosten bestimmt sich daher gestützt auf Art. 65 Abs. 3 lit. a
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 65 Frais judiciaires - 1 Les frais judiciaires comprennent l'émolument judiciaire, l'émolument pour la copie de mémoires, les frais de traduction, sauf d'une langue officielle à une autre, et les indemnités versées aux experts et aux témoins. |
|
1 | Les frais judiciaires comprennent l'émolument judiciaire, l'émolument pour la copie de mémoires, les frais de traduction, sauf d'une langue officielle à une autre, et les indemnités versées aux experts et aux témoins. |
2 | L'émolument judiciaire est calculé en fonction de la valeur litigieuse, de l'ampleur et de la difficulté de la cause, de la façon de procéder des parties et de leur situation financière. |
3 | Son montant est fixé en règle générale: |
a | entre 200 et 5000 francs dans les contestations non pécuniaires; |
b | entre 200 et 100 000 francs dans les autres contestations. |
4 | Il est fixé entre 200 et 1000 francs, indépendamment de la valeur litigieuse, dans les affaires qui concernent: |
a | des prestations d'assurance sociale; |
b | des discriminations à raison du sexe; |
c | des litiges résultant de rapports de travail, pour autant que la valeur litigieuse ne dépasse pas 30 000 francs; |
d | des litiges concernant les art. 7 et 8 de la loi du 13 décembre 2002 sur l'égalité pour les handicapés24. |
5 | Si des motifs particuliers le justifient, le Tribunal fédéral peut majorer ces montants jusqu'au double dans les cas visés à l'al. 3 et jusqu'à 10 000 francs dans les cas visés à l'al. 4. |
Demnach erkennt das Bundesgericht:
1.
In Gutheissung der Beschwerde wird der angefochtene Entscheid aufgehoben. Die Beweisverfügung des Bezirksgerichts Zürich vom 29. Juli 2019 wird aufgehoben.
2.
Die Sache wird zu neuer Entscheidung über die Parteikosten sowie über die Parteistellung der Beschwerdegegnerin im kantonalen Beschwerdeverfahren an das Obergericht des Kantons Zürich zurückgewiesen.
3.
Die Gerichtskosten von Fr. 1'000.-- werden unter solidarischer Haftbarkeit den Beschwerdegegnern auferlegt.
4.
Die Beschwerdegegner haben die Beschwerdeführerinnen für das bundesgerichtliche Verfahren unter solidarischer Haftbarkeit mit insgesamt Fr. 2'500.-- zu entschädigen.
5.
Dieses Urteil wird den Parteien und dem Obergericht des Kantons Zürich, I. Zivilkammer, schriftlich mitgeteilt.
Lausanne, 10. Dezember 2020
Im Namen der I. zivilrechtlichen Abteilung
des Schweizerischen Bundesgerichts
Die Präsidentin: Kiss
Der Gerichtsschreiber: Luczak