Tribunal administratif fédéral
Tribunale amministrativo federale
Tribunal administrativ federal
Abteilung I
A-5225/2015
Urteil vom 12. April 2017
Richterin Christine Ackermann (Vorsitz),
Besetzung Richterin Claudia Pasqualetto Péquignot,
Richter Jérôme Candrian,
Gerichtsschreiber Pascal Baur.
Eidgenössischer Datenschutz- und
Öffentlichkeitsbeauftragter EDÖB,
Parteien Feldeggweg 1, 3003 Bern,
Kläger,
gegen
Lucency AG,
Mittlere Dorfstrasse 3, 8598 Bottighofen,
Beklagte,
Gegenstand Umsetzung von Empfehlungen des EDÖB.
Sachverhalt:
A.
Die Lucency AG ist seit dem 23. Oktober 2014 im Handelsregister des Kantons Thurgau eingetragen und hat ihren Sitz in Bottighofen. Zuvor hatte sie ihren Sitz in Rorschach, Kanton St. Gallen, noch früher, bis Januar 2013, in Zürich. In der Rubrik "Personalangaben" des Handelsregistereintrags wird einzig Stephan Schellscheidt, deutscher Staatsangehöriger, in Rorschach, als Mitglied (des Verwaltungsrats) mit Einzelunterschrift genannt. Der Zweck der Gesellschaft wird wie folgt angegeben:
Zweck der Gesellschaft ist der Betrieb einer Mediaagentur und dergleichen für die Erstellung und den Verkauf von innovativen Dienstleistungen im Bereich Kommunikation und Marketing, Unternehmens- und Finanzberatung, Datenverarbeitung und -analyse, Adressenmitteilung und -verwaltung, Optimierung von Zielgruppen, Konzeption und Durchführung von Direktwerbeaktionen, Beschaffung bzw. Produktion der erforderlichen Materialien und Werbeerfolgskontrolle. Die Gesellschaft kann internationale Handels- und Beratergeschäfte abwickeln, Zweigniederlassungen und Tochtergesellschaften errichten und sich an anderen Unternehmen im In- und Ausland beteiligen und Beteiligungen erwerben. Die Gesellschaft ist berechtigt, Grundeigentum/Immobilien zu erwerben, zu belasten, zu veräussern und zu verwalten. Die Gesellschaft kann im übrigen alle Geschäfte tätigen, die geeignet sind, die Entwicklung des Unternehmens und die Erreichung des Gesellschaftszwecks zu fördern.
B.
B.a Ende Januar bzw. Anfang März 2012 wandten sich drei in Deutschland wohnhafte Personen in separaten Eingaben an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten EDÖB und baten diesen zuständigkeitshalber um Unterstützung bei ihrem datenschutzrechtlichen Vorgehen gegen die Lucency AG. Die drei Personen hatten unerwünschte Werbeschreiben der Targobank AG & Co. KGaA (nachfolgend: Targobank) in Deutschland erhalten. Nachfragen bei dieser und bei der für deren Werbeaktion zuständigen Indima direct GmbH in Pforzheim, Deutschland, hatten ergeben, dass ihre Adressdaten von der Lucency AG bezogen worden waren, die damals Sitz in Zürich sowie eine Anschrift in Neukirchen-Vluyn, Deutschland, hatte. An letztere Anschrift gerichtete Auskunftsersuchen sowie ein Begehren auf Löschung der Adressdaten waren unbeantwortet geblieben, ebenso direkt an den Sitz in der Schweiz gerichtete Auskunftsersuchen.
B.b Mit Schreiben vom April bzw. Mai 2012 gelangte der EDÖB unter Bezugnahme auf die Eingaben der drei betroffenen Personen an die Lucency AG in Zürich und ersuchte diese - je nach Begehren der betroffenen Person bei ihm - um Auskunftserteilung über die bearbeiteten Adressdaten, Löschung dieser Daten oder beides zusammen. Mit Schreiben vom 31. Mai 2012 erteilte die Lucency AG den betroffenen Personen jeweils Auskunft über die bearbeiteten Adressdaten und stellte deren Sperrung (falls gewünscht) oder deren Löschung (falls gewünscht oder keine Rückmeldung) in Aussicht. Über diese Schreiben informierte sie den EDÖB. Zugleich teilte sie ihm mit, sie habe den Anlass genutzt, die internen Abläufe zu beschleunigen, damit künftig für eine umgehende Beantwortung entsprechender Begehren gesorgt sei.
C.
C.a In der Folge meldeten sich allerdings drei weitere in Deutschland wohnhafte Personen wegen vergleichbarer Sachverhalte beim EDÖB und ersuchten diesen um Unterstützung bei ihrem datenschutzrechtlichen Vorgehen gegen die Lucency AG (Auskunfts- und Löschungsbegehren). Der EDÖB wandte sich deshalb mit Schreiben vom 13. November 2012, 16. Oktober 2013 und 16. Juni 2014 erneut an die Lucency AG und ersuchte diese, den betroffenen Personen Auskunft über die bearbeiteten Adressdaten zu erteilen und diese zu löschen. Die Lucency AG reagierte auf diese Schreiben nicht und kam der Aufforderung des EDÖB nicht nach.
C.b Am 17. September 2014 erliess der EDÖB deshalb eine Empfehlung nach Art. 29 Abs. 3
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 29 Restrictions du droit à la remise ou à la transmission des données personnelles - 1 Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
|
1 | Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
2 | Le responsable du traitement indique le motif pour lequel il refuse, restreint ou diffère la remise ou la transmission des données personnelles. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 12 Registre des activités de traitement - 1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
|
1 | Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
2 | Le registre du responsable du traitement contient au moins les indications suivantes: |
a | l'identité du responsable du traitement; |
b | la finalité du traitement; |
c | une description des catégories de personnes concernées et des catégories de données personnelles traitées; |
d | les catégories de destinataires; |
e | dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; |
f | dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'art. 8; |
g | en cas de communication de données personnelles à l'étranger, le nom de l'État concerné et les garanties prévues à l'art. 16, al. 2. |
3 | Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l'al. 2, let. f et g. |
4 | Les organes fédéraux déclarent leur registre d'activités de traitement au PFPDT. |
5 | Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d'atteinte à la personnalité des personnes concernées. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 12 Registre des activités de traitement - 1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
|
1 | Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
2 | Le registre du responsable du traitement contient au moins les indications suivantes: |
a | l'identité du responsable du traitement; |
b | la finalité du traitement; |
c | une description des catégories de personnes concernées et des catégories de données personnelles traitées; |
d | les catégories de destinataires; |
e | dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; |
f | dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'art. 8; |
g | en cas de communication de données personnelles à l'étranger, le nom de l'État concerné et les garanties prévues à l'art. 16, al. 2. |
3 | Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l'al. 2, let. f et g. |
4 | Les organes fédéraux déclarent leur registre d'activités de traitement au PFPDT. |
5 | Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d'atteinte à la personnalité des personnes concernées. |
1. Innert der gesetzlichen Frist von 30 Tagen beantwortet die Lucency AG die Auskunftsbegehren (Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 9 Sous-traitance - 1 Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu'un contrat ou la loi le prévoie et que les conditions suivantes soient réunies: |
|
1 | Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu'un contrat ou la loi le prévoie et que les conditions suivantes soient réunies: |
a | seuls sont effectués les traitements que le responsable du traitement serait en droit d'effectuer lui-même; |
b | aucune obligation légale ou contractuelle de garder le secret ne l'interdit. |
2 | Le responsable du traitement doit en particulier s'assurer que le sous-traitant est en mesure de garantir la sécurité des données. |
3 | Le sous-traitant ne peut lui-même sous-traiter un traitement à un tiers qu'avec l'autorisation préalable du responsable du traitement. |
4 | Il peut faire valoir les mêmes motifs justificatifs que le responsable du traitement. |
2. Adressdaten werden nach Art. 12 Abs. 2 lit. b
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 12 Registre des activités de traitement - 1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
|
1 | Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
2 | Le registre du responsable du traitement contient au moins les indications suivantes: |
a | l'identité du responsable du traitement; |
b | la finalité du traitement; |
c | une description des catégories de personnes concernées et des catégories de données personnelles traitées; |
d | les catégories de destinataires; |
e | dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; |
f | dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'art. 8; |
g | en cas de communication de données personnelles à l'étranger, le nom de l'État concerné et les garanties prévues à l'art. 16, al. 2. |
3 | Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l'al. 2, let. f et g. |
4 | Les organes fédéraux déclarent leur registre d'activités de traitement au PFPDT. |
5 | Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d'atteinte à la personnalité des personnes concernées. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 13 Certification - 1 Les fournisseurs de systèmes ou de logiciels de traitement de données personnelles ainsi que les responsables du traitement et les sous-traitants peuvent soumettre leurs systèmes, leurs produits ou leurs services à une évaluation effectuée par des organismes de certification agréés et indépendants. |
|
1 | Les fournisseurs de systèmes ou de logiciels de traitement de données personnelles ainsi que les responsables du traitement et les sous-traitants peuvent soumettre leurs systèmes, leurs produits ou leurs services à une évaluation effectuée par des organismes de certification agréés et indépendants. |
2 | Le Conseil fédéral édicte des dispositions sur la reconnaissance des procédures de certification et sur l'introduction d'un label de qualité de protection des données. Il tient compte du droit international et des normes techniques reconnues au niveau international. |
3. Die Lucency AG meldet ihre Datensammlung(en) im Sinne von Art. 11a Abs. 3 Bst. b beim EDÖB an oder gibt an, welche Ausnahme nach Art. 11a Abs. 5
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 13 Certification - 1 Les fournisseurs de systèmes ou de logiciels de traitement de données personnelles ainsi que les responsables du traitement et les sous-traitants peuvent soumettre leurs systèmes, leurs produits ou leurs services à une évaluation effectuée par des organismes de certification agréés et indépendants. |
|
1 | Les fournisseurs de systèmes ou de logiciels de traitement de données personnelles ainsi que les responsables du traitement et les sous-traitants peuvent soumettre leurs systèmes, leurs produits ou leurs services à une évaluation effectuée par des organismes de certification agréés et indépendants. |
2 | Le Conseil fédéral édicte des dispositions sur la reconnaissance des procédures de certification et sur l'introduction d'un label de qualité de protection des données. Il tient compte du droit international et des normes techniques reconnues au niveau international. |
Er forderte die Lucency AG auf, ihm innert der angesetzten Frist mitzuteilen, ob sie die Empfehlung annehme oder ablehne. Ausserdem wies er darauf hin, dass er die Angelegenheit dem Bundesverwaltungsgericht vorlegen könne, wenn die Empfehlung nicht befolgt oder abgelehnt werde. Die Empfehlung wurde am 17. September sowie am 3. und 15. Oktober 2014 per Einschreiben versandt; die Lucency AG holte die Einschreibesendungen jedoch nicht ab.
D.
Am 10. Dezember 2014 und 27. Januar 2015 ersuchten zwei weitere in Deutschland wohnhafte Personen den EDÖB um Unterstützung bei ihrem datenschutzrechtlichen Vorgehen gegen die Lucency AG (Auskunfts- und Löschungs- bzw. Sperrbegehren). Eine dritte in Deutschland wohnhafte Person hatte zudem bereits am 13. August 2014 ein schon früher beim EDÖB eingereichtes entsprechendes Ersuchen bekräftigt. Jeweils mit Schreiben vom 19. März 2015 ersuchte der EDÖB die Lucency AG, den betroffenen Personen Auskunft über die bearbeiteten Adressdaten zu erteilen und diese zu löschen. Ausserdem versandte er seine Empfehlung vom 17. September 2014 erneut per Einschreiben, verbunden mit der Aufforderung, ihm mitzuteilen, ob sie angenommen werde. Die Lucency AG holte das Einschreiben diesmal zwar ab, kam der Aufforderung des EDÖB jedoch nicht nach. Anfang Mai und Mitte Juli 2015 gingen bei diesem erneut zwei Unterstützungsersuchen von in Deutschland wohnhaften Personen ein.
E.
E.a Am 27. August 2015 reicht der EDÖB (nachfolgend: Kläger) beim Bundesverwaltungsgericht gestützt auf Art. 29 Abs. 4
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 29 Restrictions du droit à la remise ou à la transmission des données personnelles - 1 Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
|
1 | Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
2 | Le responsable du traitement indique le motif pour lequel il refuse, restreint ou diffère la remise ou la transmission des données personnelles. |
![](media/link.gif)
SR 173.32 Loi du 17 juin 2005 sur le Tribunal administratif fédéral (LTAF) LTAF Art. 35 Principe - Le Tribunal administratif fédéral connaît par voie d'action en première instance: |
|
a | des contestations qui reposent sur des contrats de droit public signés par la Confédération, ses établissements, ses entreprises ou par des organisations visées à l'art. 33, let. h; |
b | ... |
c | des contestations opposant la Banque nationale et la Confédération au sujet des conventions sur les services bancaires et de la convention sur la répartition du bénéfice; |
d | des demandes de confiscation de valeurs patrimoniales conformément à la loi du 18 décembre 2015 sur les valeurs patrimoniales d'origine illicite53. |
1. Die Beklagte sei zu verpflichten, innert der gesetzlichen Frist von 30 Tagen Auskunftsgesuche nach Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
2. Die Beklagte sei zu verpflichten, Personendaten auf Antrag zu sperren
oder zu löschen bzw. das Vorliegen eines Rechtfertigungsgrundes darzulegen und die betroffenen Personen entsprechend zu informieren.
3. Die Beklagte sei zu verpflichten, ihre Datensammlung bzw. ihre Datensammlungen beim Kläger anzumelden, einen Datenschutzverantwortlichen nach Art. 11a Abs. 5 Bst. e
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 13 Certification - 1 Les fournisseurs de systèmes ou de logiciels de traitement de données personnelles ainsi que les responsables du traitement et les sous-traitants peuvent soumettre leurs systèmes, leurs produits ou leurs services à une évaluation effectuée par des organismes de certification agréés et indépendants. |
|
1 | Les fournisseurs de systèmes ou de logiciels de traitement de données personnelles ainsi que les responsables du traitement et les sous-traitants peuvent soumettre leurs systèmes, leurs produits ou leurs services à une évaluation effectuée par des organismes de certification agréés et indépendants. |
2 | Le Conseil fédéral édicte des dispositions sur la reconnaissance des procédures de certification et sur l'introduction d'un label de qualité de protection des données. Il tient compte du droit international et des normes techniques reconnues au niveau international. |
4. Unter Kosten- und Entschädigungsfolge zulasten der Beklagten.
E.b Hinsichtlich der Begehren 1 und 2 bringt der EDÖB vor, er habe mehrere Beschwerden von Personen erhalten, die bei der Beklagten ohne Erfolg Auskunfts- und Löschungs- bzw. Sperrbegehren gestellt hätten. Auf sein Verlangen hin habe die Beklagte lediglich in den drei Anfang Januar 2012 gemeldeten Fällen (vgl. Bst. B.a) Auskunft erteilt und die Löschung bzw. Sperrung der Daten bestätigt; auf seine weiteren Schreiben habe sie hingegen nicht reagiert. Er stelle somit fest, dass sie ihre Auskunftspflicht nach Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 12 Registre des activités de traitement - 1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
|
1 | Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
2 | Le registre du responsable du traitement contient au moins les indications suivantes: |
a | l'identité du responsable du traitement; |
b | la finalité du traitement; |
c | une description des catégories de personnes concernées et des catégories de données personnelles traitées; |
d | les catégories de destinataires; |
e | dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; |
f | dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'art. 8; |
g | en cas de communication de données personnelles à l'étranger, le nom de l'État concerné et les garanties prévues à l'art. 16, al. 2. |
3 | Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l'al. 2, let. f et g. |
4 | Les organes fédéraux déclarent leur registre d'activités de traitement au PFPDT. |
5 | Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d'atteinte à la personnalité des personnes concernées. |
E.c Zu Begehren 3 führt er aus, die Adressdaten der betroffenen Personen seien im Rahmen von Marktforschungs-, Werbe- und Vertriebstätigkeiten gewonnen und im System der Beklagten gespeichert worden. Es müsse davon ausgegangen werden, dass die Beklagte eine Datensammlung im Sinne von Art. 3 Bst. g
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 12 Registre des activités de traitement - 1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
|
1 | Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
2 | Le registre du responsable du traitement contient au moins les indications suivantes: |
a | l'identité du responsable du traitement; |
b | la finalité du traitement; |
c | une description des catégories de personnes concernées et des catégories de données personnelles traitées; |
d | les catégories de destinataires; |
e | dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; |
f | dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'art. 8; |
g | en cas de communication de données personnelles à l'étranger, le nom de l'État concerné et les garanties prévues à l'art. 16, al. 2. |
3 | Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l'al. 2, let. f et g. |
4 | Les organes fédéraux déclarent leur registre d'activités de traitement au PFPDT. |
5 | Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d'atteinte à la personnalité des personnes concernées. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 11 Codes de conduite - 1 Les associations professionnelles, sectorielles et économiques, lorsqu'elles sont autorisées de par leurs statuts à défendre les intérêts économiques de leurs membres, de même que les organes fédéraux, peuvent soumettre leur code de conduite au PFPDT. |
|
1 | Les associations professionnelles, sectorielles et économiques, lorsqu'elles sont autorisées de par leurs statuts à défendre les intérêts économiques de leurs membres, de même que les organes fédéraux, peuvent soumettre leur code de conduite au PFPDT. |
2 | Le PFPDT prend position sur les codes de conduite et publie ses prises de position. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 13 Certification - 1 Les fournisseurs de systèmes ou de logiciels de traitement de données personnelles ainsi que les responsables du traitement et les sous-traitants peuvent soumettre leurs systèmes, leurs produits ou leurs services à une évaluation effectuée par des organismes de certification agréés et indépendants. |
|
1 | Les fournisseurs de systèmes ou de logiciels de traitement de données personnelles ainsi que les responsables du traitement et les sous-traitants peuvent soumettre leurs systèmes, leurs produits ou leurs services à une évaluation effectuée par des organismes de certification agréés et indépendants. |
2 | Le Conseil fédéral édicte des dispositions sur la reconnaissance des procédures de certification et sur l'introduction d'un label de qualité de protection des données. Il tient compte du droit international et des normes techniques reconnues au niveau international. |
F.
Mit Verfügung vom 31. August 2015 setzt die Instruktionsrichterin der Beklagten Frist bis zum 1. Oktober 2015 an, um eine Klageantwort einzureichen. Nach unbenutztem Ablauf der Frist setzt sie der Beklagten mit Verfügung vom 20. Oktober 2015 eine neue Frist bis zum 9. November 2015 zur Einreichung einer Klageantwort an, dies unter Hinweis darauf, dass bei unbenutztem Ablauf auch dieser Frist das Klageverfahren gemäss Art. 12 Abs. 1
![](media/link.gif)
SR 273 Loi fédérale du 4 décembre 1947 de procédure civile fédérale PCF Art. 12 - 1 À moins que la loi n'y attache d'autres effets, l'omission d'un acte de procédure a pour seule conséquence que l'instance suit son cours sans l'acte omis. |
|
1 | À moins que la loi n'y attache d'autres effets, l'omission d'un acte de procédure a pour seule conséquence que l'instance suit son cours sans l'acte omis. |
2 | Lorsqu'une partie fait défaut à une audience, celle-ci a néanmoins lieu. Les conclusions et moyens présentés jusqu'alors par la partie défaillante restent acquis. |
3 | Lorsque, par suite de l'omission d'une écriture ou du défaut d'une partie, des faits avancés par la partie adverse n'ont pas été contestés, la preuve doit être néanmoins ordonnée s'il y a des raisons de douter de leur exactitude. |
4 | Une copie du procès-verbal de l'audience est notifiée à la partie défaillante. La notification n'a pas lieu lorsque, d'après l'art. 11, elle devrait se faire par publication. |
5 | Lorsque les deux parties font défaut à une audience, le juge les invite à donner leurs raisons. S'il constate que leur défaillance est injustifiée, il peut rayer l'affaire du rôle et mettre les frais à leur charge par parts égales. |
G.
Da die Beklagte auch innert der zweiten Frist keine Klageantwort einreicht, erklärt die Instruktionsrichterin mit Verfügung vom 20. November 2015 den Schriftenwechsel für abgeschlossen. Zugleich ersucht sie die Parteien, bis zum 7. Dezember 2015 mitzuteilen, ob sie eine mündliche Vorbereitungsverhandlung im Sinne von Art. 34 f
![](media/link.gif)
SR 273 Loi fédérale du 4 décembre 1947 de procédure civile fédérale PCF Art. 34 - 1 Après l'échange des écritures, le juge délégué ouvre la procédure préparatoire. |
|
1 | Après l'échange des écritures, le juge délégué ouvre la procédure préparatoire. |
2 | Le juge délégué restreint la procédure en tant qu'une limitation de la réponse a été ordonnée en vertu de l'art. 30 ou qu'une telle mesure se révèle désormais opportune. Il peut aussi décider que l'instruction ne portera que sur une question de fond dont la solution est de nature à mettre fin au litige. |
![](media/link.gif)
SR 273 Loi fédérale du 4 décembre 1947 de procédure civile fédérale PCF Art. 66 - 1 Les parties sont avisées de la clôture de la procédure préparatoire. |
|
1 | Les parties sont avisées de la clôture de la procédure préparatoire. |
2 | Le président de la section procède aux citations pour les débats devant le tribunal. |
3 | L'art. 34, al. 2, est applicable par analogie. |
H.
Auf telefonische Rückfrage der Instruktionsrichterin bei der Beklagten am 18. Dezember 2015 erklärt der einzelzeichnungsberechtigte Stephan Schellscheidt, er habe Anfang bis Juli 2014 eine schwierige Situation bei der Beklagten angetreten und sich unter anderem zuerst einen Überblick verschaffen müssen. In der vorliegenden Sache werde er sich gegenüber dem Gericht am Montag, 21. Dezember 2015, schriftlich vernehmen lassen und Belege zu seinen Ausführungen einreichen. Zur Frage einer Vorbereitungs- und/oder Hauptverhandlung werde er sich ebenfalls Gedanken machen. Unter Bezugnahme auf dieses Telefongespräch setzt die Instruktionsrichterin der Beklagten am 18. Dezember 2015 eine Frist bis zum 4. Januar 2016 an, um sich in der Sache und bezüglich eines eventuellen Verzichts auf die Vorbereitungs- und/oder Hauptverhandlung schriftlich vernehmen zu lassen sowie Belege zum Ausgeführten einzureichen.
I.
Am 5. Januar 2016 reicht Stephan Schellscheidt für die Beklagte per Fax eine rund zweiseitige Stellungnahme ein. Darin erläutert er zum einen, wie sich die Situation der Beklagten ab etwa Mitte Januar 2014 bis im Jahr 2015 entwickelt habe. In diesem Zusammenhang hält er insbesondere fest, zu den von ihm bereits in dieser Zeit empfohlenen Massnahmen habe "die Einstellung der Vermietung von Postadressen an Dritte beziehungsweise Werbetreibende" gehört. Diese Empfehlung habe primär auf der Erkenntnis basiert, dass für diesen Geschäftsbereich weder "eine sinnvolle Wirtschaftlichkeit" habe bestätigt werden können noch die Folgen der unzureichenden Bearbeitung von Anfragen bzw. Beschwerden überschaubar gewesen seien. Zum anderen geht er auf die Empfehlung des Klägers vom 17. September 2014 ein. Er erklärt, diese werde vollumfänglich angenommen. Die Beklagte verpflichte sich, die "Vermietung gewonnener Postadressen an Dritte sowie jegliche werbliche Nutzung ausnahmslos einzustellen". Eine Wiederaufnahme dieser Tätigkeit finde nur nach vorheriger Abklärung mit den zuständigen Behörden (Kläger) und einer allfälligen ausdrücklichen Genehmigung statt, wobei in diesem Fall ein Datenschutzbeauftragter gewählt würde. Die Geschäftstätigkeit werde sich künftig auf die Weiterentwicklung und Vermarktung der seit Mitte 2013 entwickelten Software- und Analysewerkzeuge beschränken. Parallel zu seiner Eingabe werde im Weiteren die Beantwortung aller der Beklagten "bekanntgewordenen Anfragen zu Auskunfts- und Löschungsbegehren gem. Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 12 Registre des activités de traitement - 1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
|
1 | Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
2 | Le registre du responsable du traitement contient au moins les indications suivantes: |
a | l'identité du responsable du traitement; |
b | la finalité du traitement; |
c | une description des catégories de personnes concernées et des catégories de données personnelles traitées; |
d | les catégories de destinataires; |
e | dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; |
f | dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'art. 8; |
g | en cas de communication de données personnelles à l'étranger, le nom de l'État concerné et les garanties prévues à l'art. 16, al. 2. |
3 | Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l'al. 2, let. f et g. |
4 | Les organes fédéraux déclarent leur registre d'activités de traitement au PFPDT. |
5 | Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d'atteinte à la personnalité des personnes concernées. |
J.
J.a Am 5. Februar 2016 nimmt der Kläger zur Faxeingabe der Beklagten Stellung. Er bringt vor, bis anhin seien keine Kopien von Auskunftserteilungen bzw. Sperrbestätigungen bei ihm eingegangen, ebenso wenig habe er eine Aufstellung über entsprechende Schreiben erhalten; die Beklagte habe ihn in dieser Hinsicht auch nicht kontaktiert. Konkrete Massnahmen zur Wahrung der Datenschutzrechte (Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 12 Registre des activités de traitement - 1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
|
1 | Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
2 | Le registre du responsable du traitement contient au moins les indications suivantes: |
a | l'identité du responsable du traitement; |
b | la finalité du traitement; |
c | une description des catégories de personnes concernées et des catégories de données personnelles traitées; |
d | les catégories de destinataires; |
e | dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; |
f | dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'art. 8; |
g | en cas de communication de données personnelles à l'étranger, le nom de l'État concerné et les garanties prévues à l'art. 16, al. 2. |
3 | Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l'al. 2, let. f et g. |
4 | Les organes fédéraux déclarent leur registre d'activités de traitement au PFPDT. |
5 | Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d'atteinte à la personnalité des personnes concernées. |
J.b Die Beklagte habe im Weiteren sämtliche Schreiben von ihm ignoriert bzw. nicht entgegengenommen. Auch im vorliegenden Klageverfahren habe sie zunächst nicht auf die Verfügungen der Instruktionsrichterin reagiert, zudem halte sie Fristen und ihre Versprechungen nicht ein. Unter diesen Umständen halte er ihre Glaubwürdigkeit und Kooperationsbereitschaft für zweifelhaft und den Abschluss eines Vergleichs für schwierig. Ein solcher setze voraus, dass die Beklagte die versprochenen Nachweise fristgerecht lückenlos einreiche und einen detaillierten schriftlichen Vorschlag mache, mit welchen Massnahmen sie seine Empfehlungen umsetzen wolle. Aufgrund des bisherigen Verhaltens der Beklagten sei zu befürchten, sie lasse ihren Zugeständnissen und Versprechen keine Taten folgen. Es sei daher die Ungehorsamsstrafe nach Art. 292
![](media/link.gif)
SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 292 - Quiconque ne se conforme pas à une décision à lui signifiée, sous la menace de la peine prévue au présent article, par une autorité ou un fonctionnaire compétents est puni d'une amende. |
![](media/link.gif)
SR 273 Loi fédérale du 4 décembre 1947 de procédure civile fédérale PCF Art. 26 - 1 Le demandeur peut modifier ses conclusions ou en prendre de plus amples, pourvu qu'elles soient en connexité avec la demande primitive. |
|
1 | Le demandeur peut modifier ses conclusions ou en prendre de plus amples, pourvu qu'elles soient en connexité avec la demande primitive. |
2 | L'allégation de faits nouveaux à l'appui des conclusions modifiées n'est possible que dans les limites de l'art. 19, al. 2 et 3. |
1.
a) Die Beklagte sei zu verpflichten, innert der gesetzlichen Frist von 30 Tagen Auskunftsgesuche nach Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
b) Die Beklagte sei zu verpflichten, die für die Umsetzung des Begehrens 1a notwendigen technischen und organisatorischen Massnahmen vorzulegen.
unter Strafandrohung des Artikels 292 des Strafgesetzbuches
2.
Die Beklagte sei zu verpflichten, Personendaten auf Antrag zu sperren
oder zu löschen (inklusive pendente Anträge) bzw. das Vorliegen eines Rechtfertigungsgrundes darzulegen und die betroffenen Personen entsprechend zu informieren.
unter Strafandrohung des Artikels 292 des Strafgesetzbuches
3.
Die Beklagte sei zu verpflichten, ihre Datensammlung bzw. ihre Datensammlungen beim Kläger anzumelden, einen Datenschutzverantwortlichen nach Art. 11a Abs. 5 Bst. e
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 13 Certification - 1 Les fournisseurs de systèmes ou de logiciels de traitement de données personnelles ainsi que les responsables du traitement et les sous-traitants peuvent soumettre leurs systèmes, leurs produits ou leurs services à une évaluation effectuée par des organismes de certification agréés et indépendants. |
|
1 | Les fournisseurs de systèmes ou de logiciels de traitement de données personnelles ainsi que les responsables du traitement et les sous-traitants peuvent soumettre leurs systèmes, leurs produits ou leurs services à une évaluation effectuée par des organismes de certification agréés et indépendants. |
2 | Le Conseil fédéral édicte des dispositions sur la reconnaissance des procédures de certification et sur l'introduction d'un label de qualité de protection des données. Il tient compte du droit international et des normes techniques reconnues au niveau international. |
4.
Unter Kosten- und Entschädigungsfolge zulasten der Beklagten.
J.c Vor dem dargelegten Hintergrund erscheine sodann die Aussage der Beklagten, die "Vermietung der Postadressen an Dritte" sei eingestellt worden, zumindest als fragwürdig; diesbezügliche Belege seien nicht eingereicht worden. Zwar sei die Massnahme nicht Teil seiner Empfehlungen. Da eine tatsächliche Einstellung der "Vermietung der Postadressen an Dritte" mögliche Auswirkungen auf den dargelegten Sachverhalt bzw. auf das Klagebegehren 3 haben könnte, erachte er einen solchen Nachweis aber als notwendig. Die Beklagte habe dabei nachzuweisen, dass keine Datenbekanntgabe an Dritte - also nicht nur keine "Vermietung der Postadressen an Dritte" - mehr erfolge und keine weitere Konstellation der Meldepflicht nach Art. 11a
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 12 Registre des activités de traitement - 1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
|
1 | Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
2 | Le registre du responsable du traitement contient au moins les indications suivantes: |
a | l'identité du responsable du traitement; |
b | la finalité du traitement; |
c | une description des catégories de personnes concernées et des catégories de données personnelles traitées; |
d | les catégories de destinataires; |
e | dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; |
f | dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'art. 8; |
g | en cas de communication de données personnelles à l'étranger, le nom de l'État concerné et les garanties prévues à l'art. 16, al. 2. |
3 | Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l'al. 2, let. f et g. |
4 | Les organes fédéraux déclarent leur registre d'activités de traitement au PFPDT. |
5 | Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d'atteinte à la personnalité des personnes concernées. |
K.
Mit Verfügung vom 8. Februar 2016 räumt die Instruktionsrichterin der Beklagten die Möglichkeit ein, sich bis zum 11. März 2016 zur Stellungnahme des Klägers vom 5. Februar 2016 vernehmen zu lassen. Diese Frist verstreicht unbenutzt. Auf telefonische Nachfrage vonseiten des Gerichts am 17. März 2016 erklärt Stephan Schellscheidt, er habe die Verfügung und die Stellungnahme des Klägers nie erhalten, und nennt als Grund Unstimmigkeiten bei der Entgegennahme von Zustellungen in den Zeiten, in denen er nicht vor Ort sei. Auf sein Ersuchen hin werden ihm die Verfügung und die Stellungnahme des Klägers erneut per Fax zugestellt, mit der Bitte, den Eingang der beiden Dokumente telefonisch zu bestätigen. Ausserdem wird ihm die Möglichkeit eingeräumt, sich bis zum 25. März 2016 vernehmen zu lassen, was er in Aussicht stellt. Obschon die beiden Dokumente gemäss Sendebericht erfolgreich versandt werden, bestätigt er in der Folge deren Eingang nicht; ebenso wenig reicht er eine Stellungnahme ein.
L.
Mit Verfügung vom 11. April 2016 lädt die Instruktionsrichterin die Parteien auf den 7. Juni 2016 zur Vorbereitungsverhandlung vor. Sie weist namentlich darauf hin, dass die Verhandlung auch dann durchgeführt werde, wenn eine Partei ausbleibe, und hinsichtlich der ausbleibenden Partei angenommen werde, sie verzichte auf die Darlegung des eigenen Standpunkts. Sie gibt der Beklagten zudem erneut Gelegenheit, auf die Vorbereitungs- und/oder Hauptverhandlung zu verzichten. Mit Schreiben vom 28. April 2016 schickt sie eine Kopie der an die bisherige Adresse der Beklagten in Bottighofen gesandten und zugestellten Verfügung an die neue, dem Gericht nicht gemeldete Adresse der Beklagten in der gleichen Gemeinde.
M.
Zur Vorbereitungsverhandlung vom 7. Juni 2016 erscheint lediglich der Kläger; die Beklagte bleibt unentschuldigt aus. Der Kläger erklärt, er habe mit E-Mail vom 18. März 2016 - die zu den Akten genommen wird - die Beschwerde einer weiteren in Deutschland wohnhaften Person erhalten, die sich mit einem Auskunftsbegehren an die Beklagte gewandt, von dieser jedoch keine Antwort erhalten habe. Es gebe somit weiterhin die Beklagte betreffende Beschwerden. Es sei zudem anzunehmen, dass sich nur ein Teil der Betroffenen bei ihm beschwert habe bzw. beschwere, zumal alle bisherigen Beschwerden von Personen aus Deutschland gestammt hätten. Die Beklagte habe weiter bislang keine Datensammlung(en) bei ihm registriert. Ebenso wenig habe sie darum ersucht, von der Pflicht zur Anmeldung der Datensammlung(en) befreit zu werden. Sie habe sich vielmehr nie bei ihm gemeldet. Sie habe zudem nichts von dem, was sie versprochen habe, eingehalten. An der Replik (Stellungnahme vom 5. Februar 2016) werde festgehalten. Die Situation sei unverändert, alle Unterlagen seien eingereicht worden, es gebe nichts zu ergänzen. Der Fall sei klar.
N.
Mit Verfügung vom 8. Juni 2016 stellt die Instruktionsrichterin den Parteien das Protokoll der Vorbereitungsverhandlung zu und gibt ihnen Gelegenheit, bis zum 23. Juni 2016 allfällige Bemerkungen dazu einzureichen. Die Beklagte erhält ausserdem Gelegenheit, innert dieser Frist zu den Vorbringen des Klägers anlässlich der Vorbereitungsverhandlung Stellung zu nehmen und mitzuteilen, ob sie auf die Durchführung der Hauptverhandlung verzichte. Der Kläger wird aufgefordert, innert der genannten Frist die Konkretisierung der verlangten technischen und organisatorischen Massnahmen einzureichen.
O.
In der Folge äussert sich einzig der Kläger. Mit Eingabe vom 22. Juni 2016 erklärt er, die Beklagte habe bislang nicht dargelegt, welche konkreten Massnahmen sie zur Wahrung der Datenschutzrechte umgesetzt habe. Insbesondere seien die pendenten Auskunfts- und Widerspruchsbegehren nicht beantwortet worden. Er fordere die Beklagte daher auf, den Prozess bzw. Ablauf bei einem Auskunfts- bzw. Widerspruchsbegehren festzulegen und zu dokumentieren. Es sei festzuhalten, wie das Verfahren zur Umsetzung des Auskunfts- und Widerspruchsrechts ablaufe. Er verweise dabei auf seinen - auszugsweise eingereichten - Leitfaden vom August 2015 zu den technischen und organisatorischen Massnahmen des Datenschutzes (S. 27; abrufbar unter: https://www.edoeb.admin.ch/datenschutz/00628/ 00629/00636/index.html?lang=de ). Das Konzept der Beklagten solle insbesondere die in der Eingabe aufgeführten Punkte enthalten.
P.
Mit Verfügung vom 14. Juli 2016 räumt die Instruktionsrichterin der Beklagten die Möglichkeit ein, sich bis zum 3. August 2016 zur Stellungnahme des Klägers vom 22. Juni 2016 vernehmen zu lassen. Weiter teilt sie den Parteien mit, das Vorbereitungsverfahren sei abgeschlossen, und gibt ihnen Gelegenheit, innert zehn Tagen seit Zustellung der Verfügung einen Antrag auf Ergänzung ihrer Beweiserhebungen an der Hauptverhandlung oder - bei Vorliegen besonderer Gründe - auf Wiederholung der von ihr erhobenen Beweise zu stellen. Sie lädt die Parteien zudem auf den 6. September 2016 zur Hauptverhandlung vor, dies unter Hinweis auf die Säumnisfolgen nach Art. 12
![](media/link.gif)
SR 273 Loi fédérale du 4 décembre 1947 de procédure civile fédérale PCF Art. 12 - 1 À moins que la loi n'y attache d'autres effets, l'omission d'un acte de procédure a pour seule conséquence que l'instance suit son cours sans l'acte omis. |
|
1 | À moins que la loi n'y attache d'autres effets, l'omission d'un acte de procédure a pour seule conséquence que l'instance suit son cours sans l'acte omis. |
2 | Lorsqu'une partie fait défaut à une audience, celle-ci a néanmoins lieu. Les conclusions et moyens présentés jusqu'alors par la partie défaillante restent acquis. |
3 | Lorsque, par suite de l'omission d'une écriture ou du défaut d'une partie, des faits avancés par la partie adverse n'ont pas été contestés, la preuve doit être néanmoins ordonnée s'il y a des raisons de douter de leur exactitude. |
4 | Une copie du procès-verbal de l'audience est notifiée à la partie défaillante. La notification n'a pas lieu lorsque, d'après l'art. 11, elle devrait se faire par publication. |
5 | Lorsque les deux parties font défaut à une audience, le juge les invite à donner leurs raisons. S'il constate que leur défaillance est injustifiée, il peut rayer l'affaire du rôle et mettre les frais à leur charge par parts égales. |
Q.
Mit Eingabe vom 21. Juli 2016 reicht der Kläger den Schriftenwechsel ein, den die anlässlich der Vorbereitungsverhandlung erwähnte weitere betroffene Person mit der Beklagten und mit ihm führte, und beantragt, die eingereichten Dokumente seien als Beweismittel zu den Akten zu nehmen. Mit Verfügung vom 27. Juli 2016 gibt die Instruktionsrichterin der Beklagten Gelegenheit, bis zum 24. August 2016 zur Eingabe des Klägers Stellung zu nehmen. Diese Frist verstreicht wie jene bis zum 3. August 2016 (vgl. Bst. P) unbenutzt.
R.
Zur Hauptverhandlung am 6. September 2016 erscheint lediglich der Kläger; die Beklagte bleibt unentschuldigt aus. Der Kläger hält in seinem Parteivortrag an den modifizierten Klagebegehren fest und fasst seine bisherigen Vorbringen kurz zusammen. Er weist ausserdem darauf hin, dass der Beklagten wegen fehlender Geschäftstätigkeit die amtliche Löschung im Handelsregister drohe.
S.
Mit Verfügung vom 8. September 2016 stellt die Instruktionsrichterin den Parteien das Protokoll der Hauptverhandlung zu (inklusive Plädoyernotizen des Klägers) und gibt ihnen Gelegenheit, sich bis zum 23. September 2016 dazu vernehmen zu lassen. Die Frist verstreicht unbenutzt.
T.
Auf die weiteren Vorbringen der Parteien und die sich bei den Akten befindlichen Schriftstücke wird, soweit entscheidrelevant, in den nachfolgenden Erwägungen eingegangen.
Das Bundesverwaltungsgericht zieht in Erwägung:
1.
1.1 Das Bundesverwaltungsgericht beurteilt nach Art. 35 Bst. b
![](media/link.gif)
SR 173.32 Loi du 17 juin 2005 sur le Tribunal administratif fédéral (LTAF) LTAF Art. 35 Principe - Le Tribunal administratif fédéral connaît par voie d'action en première instance: |
|
a | des contestations qui reposent sur des contrats de droit public signés par la Confédération, ses établissements, ses entreprises ou par des organisations visées à l'art. 33, let. h; |
b | ... |
c | des contestations opposant la Banque nationale et la Confédération au sujet des conventions sur les services bancaires et de la convention sur la répartition du bénéfice; |
d | des demandes de confiscation de valeurs patrimoniales conformément à la loi du 18 décembre 2015 sur les valeurs patrimoniales d'origine illicite53. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 29 Restrictions du droit à la remise ou à la transmission des données personnelles - 1 Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
|
1 | Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
2 | Le responsable du traitement indique le motif pour lequel il refuse, restreint ou diffère la remise ou la transmission des données personnelles. |
Das Verfahren richtet sich gemäss Art. 44 Abs. 1
![](media/link.gif)
SR 173.32 Loi du 17 juin 2005 sur le Tribunal administratif fédéral (LTAF) LTAF Art. 44 - 1 Lorsque le Tribunal administratif fédéral statue en tant que première instance, la procédure est régie par les art. 3 à 73 et 79 à 85 de la loi fédérale du 4 décembre 1947 sur la procédure civile61. |
|
1 | Lorsque le Tribunal administratif fédéral statue en tant que première instance, la procédure est régie par les art. 3 à 73 et 79 à 85 de la loi fédérale du 4 décembre 1947 sur la procédure civile61. |
2 | Le Tribunal administratif fédéral établit les faits d'office. |
3 | Les émoluments judiciaires et les dépens sont régis par les art. 63 à 65 PA62.63 |
![](media/link.gif)
SR 273 Loi fédérale du 4 décembre 1947 de procédure civile fédérale PCF Art. 3 - 1 Le juge examine d'office la recevabilité de l'action et de tous actes de procédure. |
|
1 | Le juge examine d'office la recevabilité de l'action et de tous actes de procédure. |
2 | Le juge ne peut aller au-delà des conclusions des parties, ni fonder son jugement sur d'autres faits que ceux qui ont été allégués dans l'instance. Toutefois il doit attirer l'attention des parties sur les lacunes de leurs conclusions et les engager à articuler complètement les faits et les preuves nécessaires à la manifestation de la vérité. A cet effet, il peut en tout état de cause interpeller les parties personnellement. |
![](media/link.gif)
SR 273 Loi fédérale du 4 décembre 1947 de procédure civile fédérale PCF Art. 73 - 1 La transaction passée entre les parties devant le juge ou remise au juge pour être consignée au procès-verbal, de même que le désistement d'une partie, mettent fin au procès. |
|
1 | La transaction passée entre les parties devant le juge ou remise au juge pour être consignée au procès-verbal, de même que le désistement d'une partie, mettent fin au procès. |
2 | La transaction judiciaire peut aussi porter sur des points qui, bien qu'étrangers au procès, sont litigieux entre les parties ou entre une partie et un tiers, en tant que cela favorise la fin du procès. |
3 | Lorsque le défendeur allègue par voie d'exception que la prétention est inexigible ou subordonnée à une condition ou oppose un vice de forme, le demandeur peut retirer son action en se réservant de l'introduire à nouveau dès que la prétention sera exigible, la condition accomplie ou le vice de forme réparé. |
4 | La transaction judiciaire et le désistement ont la force exécutoire d'un jugement. |
![](media/link.gif)
SR 273 Loi fédérale du 4 décembre 1947 de procédure civile fédérale PCF Art. 79 - 1 Le juge peut ordonner des mesures provisionnelles: |
|
1 | Le juge peut ordonner des mesures provisionnelles: |
a | pour protéger le possesseur contre tout acte d'usurpation ou de trouble et faire rentrer une partie en possession d'une chose indûment retenue; |
b | pour écarter la menace d'un dommage difficile à réparer, notamment le dommage résultant de la modification, avant l'introduction de la demande ou en cours d'instance, de l'état de choses existant. |
2 | Il ne peut être pris de mesures provisionnelles pour la sûreté de créances soumises à la loi fédérale du 11 avril 1889 sur la poursuite pour dettes et la faillite38. |
![](media/link.gif)
SR 273 Loi fédérale du 4 décembre 1947 de procédure civile fédérale PCF Art. 85 - Sont réservées les dispositions spéciales d'autres lois fédérales en matière de mesures provisionnelles. |
![](media/link.gif)
SR 273 Loi fédérale du 4 décembre 1947 de procédure civile fédérale PCF Art. 3 - 1 Le juge examine d'office la recevabilité de l'action et de tous actes de procédure. |
|
1 | Le juge examine d'office la recevabilité de l'action et de tous actes de procédure. |
2 | Le juge ne peut aller au-delà des conclusions des parties, ni fonder son jugement sur d'autres faits que ceux qui ont été allégués dans l'instance. Toutefois il doit attirer l'attention des parties sur les lacunes de leurs conclusions et les engager à articuler complètement les faits et les preuves nécessaires à la manifestation de la vérité. A cet effet, il peut en tout état de cause interpeller les parties personnellement. |
![](media/link.gif)
SR 173.32 Loi du 17 juin 2005 sur le Tribunal administratif fédéral (LTAF) LTAF Art. 44 - 1 Lorsque le Tribunal administratif fédéral statue en tant que première instance, la procédure est régie par les art. 3 à 73 et 79 à 85 de la loi fédérale du 4 décembre 1947 sur la procédure civile61. |
|
1 | Lorsque le Tribunal administratif fédéral statue en tant que première instance, la procédure est régie par les art. 3 à 73 et 79 à 85 de la loi fédérale du 4 décembre 1947 sur la procédure civile61. |
2 | Le Tribunal administratif fédéral établit les faits d'office. |
3 | Les émoluments judiciaires et les dépens sont régis par les art. 63 à 65 PA62.63 |
![](media/link.gif)
SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA) PA Art. 63 - 1 En règle générale, les frais de procédure comprenant l'émolument d'arrêté, les émoluments de chancellerie et les débours sont mis, dans le dispositif, à la charge de la partie qui succombe. Si celle-ci n'est déboutée que partiellement, ces frais sont réduits. À titre exceptionnel, ils peuvent être entièrement remis. |
|
1 | En règle générale, les frais de procédure comprenant l'émolument d'arrêté, les émoluments de chancellerie et les débours sont mis, dans le dispositif, à la charge de la partie qui succombe. Si celle-ci n'est déboutée que partiellement, ces frais sont réduits. À titre exceptionnel, ils peuvent être entièrement remis. |
2 | Aucun frais de procédure n'est mis à la charge des autorités inférieures, ni des autorités fédérales recourantes et déboutées; si l'autorité recourante qui succombe n'est pas une autorité fédérale, les frais de procédure sont mis à sa charge dans la mesure où le litige porte sur des intérêts pécuniaires de collectivités ou d'établissements autonomes. |
3 | Des frais de procédure ne peuvent être mis à la charge de la partie qui a gain de cause que si elle les a occasionnés en violant des règles de procédure. |
4 | L'autorité de recours, son président ou le juge instructeur perçoit du recourant une avance de frais équivalant aux frais de procédure présumés. Elle lui impartit pour le versement de cette créance un délai raisonnable en l'avertissant qu'à défaut de paiement elle n'entrera pas en matière. Si des motifs particuliers le justifient, elle peut renoncer à percevoir la totalité ou une partie de l'avance de frais.101 |
4bis | L'émolument d'arrêté est calculé en fonction de l'ampleur et de la difficulté de la cause, de la manière de procéder des parties et de leur situation financière. Son montant est fixé: |
a | entre 100 et 5000 francs dans les contestations non pécuniaires; |
b | entre 100 et 50 000 francs dans les autres contestations.102 |
5 | Le Conseil fédéral établit un tarif des émoluments.103 L'art. 16, al. 1, let. a, de la loi du 17 juin 2005 sur le Tribunal administratif fédéral104 et l'art. 73 de la loi du 19 mars 2010 sur l'organisation des autorités pénales105 sont réservés.106 |
![](media/link.gif)
SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA) PA Art. 65 - 1 Après le dépôt du recours, la partie qui ne dispose pas de ressources suffisantes et dont les conclusions ne paraissent pas d'emblée vouées à l'échec est, à sa demande, dispensée par l'autorité de recours, son président ou le juge instructeur de payer les frais de procédure.111 |
|
1 | Après le dépôt du recours, la partie qui ne dispose pas de ressources suffisantes et dont les conclusions ne paraissent pas d'emblée vouées à l'échec est, à sa demande, dispensée par l'autorité de recours, son président ou le juge instructeur de payer les frais de procédure.111 |
2 | L'autorité de recours, son président ou le juge instructeur attribue en outre un avocat à cette partie si la sauvegarde de ses droits le requiert.112 |
3 | Les frais et honoraires d'avocat sont supportés conformément à l'art. 64, al. 2 à 4. |
4 | Si la partie indigente revient à meilleure fortune, elle est tenue de rembourser les honoraires et les frais d'avocat à la collectivité ou à l'établissement autonome qui les a payés. |
5 | Le Conseil fédéral établit un tarif des honoraires et des frais.113 L'art. 16, al. 1, let. a, de la loi du 17 juin 2005 sur le Tribunal administratif fédéral114 et l'art. 73 de la loi du 19 mars 2010 sur l'organisation des autorités pénales115 sont réservés.116 |
![](media/link.gif)
SR 173.32 Loi du 17 juin 2005 sur le Tribunal administratif fédéral (LTAF) LTAF Art. 44 - 1 Lorsque le Tribunal administratif fédéral statue en tant que première instance, la procédure est régie par les art. 3 à 73 et 79 à 85 de la loi fédérale du 4 décembre 1947 sur la procédure civile61. |
|
1 | Lorsque le Tribunal administratif fédéral statue en tant que première instance, la procédure est régie par les art. 3 à 73 et 79 à 85 de la loi fédérale du 4 décembre 1947 sur la procédure civile61. |
2 | Le Tribunal administratif fédéral établit les faits d'office. |
3 | Les émoluments judiciaires et les dépens sont régis par les art. 63 à 65 PA62.63 |
1.2 Nach Art. 29 Abs. 4
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 29 Restrictions du droit à la remise ou à la transmission des données personnelles - 1 Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
|
1 | Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
2 | Le responsable du traitement indique le motif pour lequel il refuse, restreint ou diffère la remise ou la transmission des données personnelles. |
A-7040/2009 vom 30. März 2011 [nachfolgend: Urteil des BVGer
A-7040/2009] E. 4.3.1; Rosenthal, a.a.O., N. 42 zu Art. 29
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 29 Restrictions du droit à la remise ou à la transmission des données personnelles - 1 Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
|
1 | Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
2 | Le responsable du traitement indique le motif pour lequel il refuse, restreint ou diffère la remise ou la transmission des données personnelles. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 29 Restrictions du droit à la remise ou à la transmission des données personnelles - 1 Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
|
1 | Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
2 | Le responsable du traitement indique le motif pour lequel il refuse, restreint ou diffère la remise ou la transmission des données personnelles. |
1.2.1 Die Aktivlegitimation des Klägers setzt angesichts des internationalen Bezugs des vorliegenden Sachverhalts zunächst voraus, dass das DSG überhaupt zur Anwendung kommt und der Kläger grundsätzlich zuständig war, den Sachverhalt auf seine Konformität mit dem DSG zu überprüfen und eine Empfehlung abzugeben. Dies ist zu bejahen. Da die Beklagte ihren Sitz in der Schweiz hat und hier Personendaten bearbeitet (vgl. E. 4.3.1 f.), kommen die Vorschriften des DSG mit öffentlich-rechtlichem Charakter, also auch Art. 29
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 29 Restrictions du droit à la remise ou à la transmission des données personnelles - 1 Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
|
1 | Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
2 | Le responsable du traitement indique le motif pour lequel il refuse, restreint ou diffère la remise ou la transmission des données personnelles. |
A-7040/2009 E. 5.4.1; Rosenthal, a.a.O., N. 6 zu Art. 29
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 29 Restrictions du droit à la remise ou à la transmission des données personnelles - 1 Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
|
1 | Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
2 | Le responsable du traitement indique le motif pour lequel il refuse, restreint ou diffère la remise ou la transmission des données personnelles. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 29 Restrictions du droit à la remise ou à la transmission des données personnelles - 1 Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
|
1 | Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
2 | Le responsable du traitement indique le motif pour lequel il refuse, restreint ou diffère la remise ou la transmission des données personnelles. |
Die Aktivlegitimation des Klägers setzt weiter voraus, dass dieser nach Art. 29 Abs. 1
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 29 Restrictions du droit à la remise ou à la transmission des données personnelles - 1 Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
|
1 | Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
2 | Le responsable du traitement indique le motif pour lequel il refuse, restreint ou diffère la remise ou la transmission des données personnelles. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 29 Restrictions du droit à la remise ou à la transmission des données personnelles - 1 Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
|
1 | Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
2 | Le responsable du traitement indique le motif pour lequel il refuse, restreint ou diffère la remise ou la transmission des données personnelles. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 29 Restrictions du droit à la remise ou à la transmission des données personnelles - 1 Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
|
1 | Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
2 | Le responsable du traitement indique le motif pour lequel il refuse, restreint ou diffère la remise ou la transmission des données personnelles. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 12 Registre des activités de traitement - 1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
|
1 | Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
2 | Le registre du responsable du traitement contient au moins les indications suivantes: |
a | l'identité du responsable du traitement; |
b | la finalité du traitement; |
c | une description des catégories de personnes concernées et des catégories de données personnelles traitées; |
d | les catégories de destinataires; |
e | dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; |
f | dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'art. 8; |
g | en cas de communication de données personnelles à l'étranger, le nom de l'État concerné et les garanties prévues à l'art. 16, al. 2. |
3 | Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l'al. 2, let. f et g. |
4 | Les organes fédéraux déclarent leur registre d'activités de traitement au PFPDT. |
5 | Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d'atteinte à la personnalité des personnes concernées. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 29 Restrictions du droit à la remise ou à la transmission des données personnelles - 1 Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
|
1 | Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
2 | Le responsable du traitement indique le motif pour lequel il refuse, restreint ou diffère la remise ou la transmission des données personnelles. |
Die Aktivlegitimation des Klägers setzt schliesslich, wie erwähnt, voraus, dass dessen Empfehlung von der Beklagten nicht befolgt oder abgelehnt wurde bzw. wird (vgl. Art. 29 Abs. 4
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 29 Restrictions du droit à la remise ou à la transmission des données personnelles - 1 Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
|
1 | Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
2 | Le responsable du traitement indique le motif pour lequel il refuse, restreint ou diffère la remise ou la transmission des données personnelles. |
1.2.2 Die Beklagte ist formelle und materielle Adressatin der Empfehlung des Klägers vom 17. September 2014. Sie hat diese zudem, wie erwähnt, bislang nicht umgesetzt. Sie ist demnach passivlegitimiert.
1.3 Die Klage ist an keine bestimmte Frist gebunden und wurde vom Kläger nicht ungebührlich hinausgezögert (vgl. René Huber, in: Basler Kommentar DSG/BGÖ, 3. Aufl. 2014, N. 34 und 34a zu Art. 29
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 29 Restrictions du droit à la remise ou à la transmission des données personnelles - 1 Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
|
1 | Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
2 | Le responsable du traitement indique le motif pour lequel il refuse, restreint ou diffère la remise ou la transmission des données personnelles. |
![](media/link.gif)
SR 273 Loi fédérale du 4 décembre 1947 de procédure civile fédérale PCF Art. 23 - La demande doit contenir: |
|
a | le nom, le domicile et la désignation exacte des parties; |
b | les conclusions du demandeur; |
c | les indications nécessaires pour apprécier la compétence du Tribunal fédéral; |
d | l'exposé clair des faits motivant les conclusions (art. 19); |
e | l'indication précise, pour chaque fait, des preuves offertes, avec mention des numéros du bordereau des annexes (let. f); |
f | le bordereau numéroté des annexes; |
g | la date de l'acte et la signature de l'auteur. |
2.
2.1 Gemäss Art. 3 Abs. 2
![](media/link.gif)
SR 273 Loi fédérale du 4 décembre 1947 de procédure civile fédérale PCF Art. 3 - 1 Le juge examine d'office la recevabilité de l'action et de tous actes de procédure. |
|
1 | Le juge examine d'office la recevabilité de l'action et de tous actes de procédure. |
2 | Le juge ne peut aller au-delà des conclusions des parties, ni fonder son jugement sur d'autres faits que ceux qui ont été allégués dans l'instance. Toutefois il doit attirer l'attention des parties sur les lacunes de leurs conclusions et les engager à articuler complètement les faits et les preuves nécessaires à la manifestation de la vérité. A cet effet, il peut en tout état de cause interpeller les parties personnellement. |
![](media/link.gif)
SR 173.32 Loi du 17 juin 2005 sur le Tribunal administratif fédéral (LTAF) LTAF Art. 44 - 1 Lorsque le Tribunal administratif fédéral statue en tant que première instance, la procédure est régie par les art. 3 à 73 et 79 à 85 de la loi fédérale du 4 décembre 1947 sur la procédure civile61. |
|
1 | Lorsque le Tribunal administratif fédéral statue en tant que première instance, la procédure est régie par les art. 3 à 73 et 79 à 85 de la loi fédérale du 4 décembre 1947 sur la procédure civile61. |
2 | Le Tribunal administratif fédéral établit les faits d'office. |
3 | Les émoluments judiciaires et les dépens sont régis par les art. 63 à 65 PA62.63 |
A-7040/2009 E. 2.2 f.). Der Streitgegenstand wird in solchen Verfahren deshalb ausschliesslich durch die gestellten Rechtsbegehren (und allenfalls die entsprechende Begründung) definiert, weshalb einer Partei nicht mehr oder nichts anderes zugesprochen werden darf, als sie beantragt (vgl. BVGE 2008/16 E. 2.2; Urteil des BVGer A-7040/2009 E. 2.2; Moser/ Beusch/Kneubühler, a.a.O., Rz. 5.14).
Nach Art. 26 Abs. 1
![](media/link.gif)
SR 273 Loi fédérale du 4 décembre 1947 de procédure civile fédérale PCF Art. 26 - 1 Le demandeur peut modifier ses conclusions ou en prendre de plus amples, pourvu qu'elles soient en connexité avec la demande primitive. |
|
1 | Le demandeur peut modifier ses conclusions ou en prendre de plus amples, pourvu qu'elles soient en connexité avec la demande primitive. |
2 | L'allégation de faits nouveaux à l'appui des conclusions modifiées n'est possible que dans les limites de l'art. 19, al. 2 et 3. |
![](media/link.gif)
SR 173.32 Loi du 17 juin 2005 sur le Tribunal administratif fédéral (LTAF) LTAF Art. 44 - 1 Lorsque le Tribunal administratif fédéral statue en tant que première instance, la procédure est régie par les art. 3 à 73 et 79 à 85 de la loi fédérale du 4 décembre 1947 sur la procédure civile61. |
|
1 | Lorsque le Tribunal administratif fédéral statue en tant que première instance, la procédure est régie par les art. 3 à 73 et 79 à 85 de la loi fédérale du 4 décembre 1947 sur la procédure civile61. |
2 | Le Tribunal administratif fédéral établit les faits d'office. |
3 | Les émoluments judiciaires et les dépens sont régis par les art. 63 à 65 PA62.63 |
Gemäss Rosenthal kann der EDÖB im Klageverfahren vor Bundesverwaltungsgericht nur Massnahmen verlangen, die inhaltlich nicht über die von ihm empfohlenen Massnahmen hinausgehen. In diesem Rahmen darf er die von ihm begehrten Massnahmen aber konkreter formulieren und genauer umschreiben, um die Vollstreckbarkeit sicherzustellen. Er kann vom Gericht zudem die Androhung von Vollstreckungsmassnahmen wie zum Beispiel die Ungehorsamsstrafe nach Art. 292
![](media/link.gif)
SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 292 - Quiconque ne se conforme pas à une décision à lui signifiée, sous la menace de la peine prévue au présent article, par une autorité ou un fonctionnaire compétents est puni d'une amende. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 29 Restrictions du droit à la remise ou à la transmission des données personnelles - 1 Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
|
1 | Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2. |
2 | Le responsable du traitement indique le motif pour lequel il refuse, restreint ou diffère la remise ou la transmission des données personnelles. |
2.2 Die Rechtsbegehren 1-3 der Klage vom 27. August 2015 (vgl. Bst. E.a; Rechtsbegehren 4 betrifft die Kosten- und Entschädigungsfolge im vorliegenden Verfahren) stimmen inhaltlich mit den drei Empfehlungen des Klägers vom 17. September 2014 (vgl. Bst. C.b) überein, gehen über diese also nicht hinaus. In der Stellungnahme des Klägers vom 5. Februar 2016 (vgl. Bst. J.b) wird das ursprüngliche Begehren 1 (neu 1a) um das Begehren 1b ergänzt, wonach die Beklagte zu verpflichten sei, dem Kläger die für die Umsetzung des Begehrens 1a notwendigen technischen und organisatorischen Massnahmen vorzulegen. Dieses neue Begehren dient weder der konkreteren Formulierung noch der genaueren Umschreibung der mit Begehren 1a beantragten Verpflichtung der Beklagten. Mit der Verpflichtung zur Vorlage der erwähnten Massnahmen soll dieser vielmehr eine neue und zusätzliche Verpflichtung auferlegt werden. Das Begehren 1b geht somit über das hinaus, was in Klageverfahren betreffend Empfehlungen des EDÖB beantragt werden darf. Es steht denn auch im Wesentlichen im Zusammenhang mit der Frage, unter welchen Voraussetzungen für den Kläger angesichts der Erklärung der Beklagten in der Faxeingabe vom 5. Januar 2016, sie nehme seine Empfehlungen an, eine vergleichsweise Erledigung des vorliegenden Klageverfahrens in Frage käme (vgl. Bst. J.b). Da das Begehren den Streitgegenstand in unzulässiger Weise ausweitet, kann nicht darauf eingetreten werden. Auf die Frage, ob es genügend präzis formuliert ist und nach Art. 26
![](media/link.gif)
SR 273 Loi fédérale du 4 décembre 1947 de procédure civile fédérale PCF Art. 26 - 1 Le demandeur peut modifier ses conclusions ou en prendre de plus amples, pourvu qu'elles soient en connexité avec la demande primitive. |
|
1 | Le demandeur peut modifier ses conclusions ou en prendre de plus amples, pourvu qu'elles soient en connexité avec la demande primitive. |
2 | L'allégation de faits nouveaux à l'appui des conclusions modifiées n'est possible que dans les limites de l'art. 19, al. 2 et 3. |
In der erwähnten Stellungnahme des Klägers werden im Weiteren die Begehren 1a und 2 in zulässiger Weise präzisiert, indem klargestellt wird, dass sie sich auch auf die pendenten Auskunftsbegehren bzw. Sperr- und Löschungsbegehren beziehen. Ausserdem werden die Begehren 1a und 2 jeweils um den Antrag ergänzt, es sei die Ungehorsamsstrafe nach Art. 292
![](media/link.gif)
SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 292 - Quiconque ne se conforme pas à une décision à lui signifiée, sous la menace de la peine prévue au présent article, par une autorité ou un fonctionnaire compétents est puni d'une amende. |
3.
Wie dargelegt, äusserte sich die Beklagte einzig in ihrer nach Ablauf der Frist zur Einreichung der Klageantwort eingegangenen Faxeingabe vom 5. Januar 2016 (vgl. Bst. I) zur vorliegenden Angelegenheit und erschien sie unentschuldigt weder zur Vorbereitungsverhandlung vom 7. Juni 2016 noch zur Hauptverhandlung vom 6. September 2016. Hinsichtlich der unentschuldigten Nichtteilnahme an den beiden Verhandlungen und des Verpassens der Frist zur Einreichung der Klageantwort greifen die vorgängig angedrohten gesetzlichen Säumnisfolgen (vgl. Bst. F, L und P). Bezüglich der ausgebliebenen freigestellten Stellungnahmen ist davon auszugehen, die Beklagte habe auf diese verzichtet. Über die Klage kann somit ungeachtet der Versäumnisse der Beklagten aufgrund der Akten entschieden werden. Daran ändert nichts, dass im vorliegenden Klageverfahren der Grundsatz der Sachverhaltsabklärung von Amtes wegen gilt (vgl. E. 1.1). Wegen der Geltung dieses Grundsatzes müssen grundsätzlich alle entscheidrelevanten Eingaben, Unterlagen und protokollierten mündlichen Vorbringen berücksichtigt werden, also etwa auch die Faxeingabe der Beklagten. Aus diesen Akten geht der entscheidrelevante Sachverhalt in rechtsgenüglicher Weise hervor (vgl. E. 4.3.1 f. und 5.2), weshalb von vornherein keine ergänzenden Sachverhaltsabklärungen vorzunehmen sind. Nachfolgend ist somit zu prüfen, ob die Klage, soweit sie zulässig ist (vgl. E. 2.2), angesichts des Sachverhalts, wie er sich aus den Akten ergibt, begründet ist.
4.
4.1 Gemäss Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
![](media/link.gif)
SR 235.11 Ordonnance du 31 août 2022 sur la protection des données (OPDo) OPDo Art. 1 Principes - 1 Pour assurer une sécurité adéquate des données, le responsable du traitement et le sous-traitant établissent le besoin de protection des données personnelles et déterminent les mesures techniques et organisationnelles appropriées à prendre par rapport au risque encouru. |
|
1 | Pour assurer une sécurité adéquate des données, le responsable du traitement et le sous-traitant établissent le besoin de protection des données personnelles et déterminent les mesures techniques et organisationnelles appropriées à prendre par rapport au risque encouru. |
2 | Le besoin de protection des données personnelles est évalué en fonction des critères suivants: |
a | le type de données traitées; |
b | la finalité, la nature, l'étendue et les circonstances du traitement. |
3 | Le risque pour la personnalité ou les droits fondamentaux de la personne concernée est évalué en fonction des critères suivants: |
a | les causes du risque; |
b | les principales menaces; |
c | les mesures prises ou prévues pour réduire le risque; |
d | la probabilité et la gravité d'une violation de la sécurité des données, malgré les mesures prises ou prévues. |
4 | Lors de la détermination des mesures techniques et organisationnelles, les critères suivants sont de plus pris en compte: |
a | l'état des connaissances; |
b | les coûts de mise en oeuvre. |
5 | Le besoin de protection des données personnelles, le risque encouru, ainsi que les mesures techniques et organisationnelles sont réévalués pendant toute la durée du traitement. En cas de besoin, les mesures sont adaptées. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 9 Sous-traitance - 1 Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu'un contrat ou la loi le prévoie et que les conditions suivantes soient réunies: |
|
1 | Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu'un contrat ou la loi le prévoie et que les conditions suivantes soient réunies: |
a | seuls sont effectués les traitements que le responsable du traitement serait en droit d'effectuer lui-même; |
b | aucune obligation légale ou contractuelle de garder le secret ne l'interdit. |
2 | Le responsable du traitement doit en particulier s'assurer que le sous-traitant est en mesure de garantir la sécurité des données. |
3 | Le sous-traitant ne peut lui-même sous-traiter un traitement à un tiers qu'avec l'autorisation préalable du responsable du traitement. |
4 | Il peut faire valoir les mêmes motifs justificatifs que le responsable du traitement. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 9 Sous-traitance - 1 Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu'un contrat ou la loi le prévoie et que les conditions suivantes soient réunies: |
|
1 | Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu'un contrat ou la loi le prévoie et que les conditions suivantes soient réunies: |
a | seuls sont effectués les traitements que le responsable du traitement serait en droit d'effectuer lui-même; |
b | aucune obligation légale ou contractuelle de garder le secret ne l'interdit. |
2 | Le responsable du traitement doit en particulier s'assurer que le sous-traitant est en mesure de garantir la sécurité des données. |
3 | Le sous-traitant ne peut lui-même sous-traiter un traitement à un tiers qu'avec l'autorisation préalable du responsable du traitement. |
4 | Il peut faire valoir les mêmes motifs justificatifs que le responsable du traitement. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 9 Sous-traitance - 1 Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu'un contrat ou la loi le prévoie et que les conditions suivantes soient réunies: |
|
1 | Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu'un contrat ou la loi le prévoie et que les conditions suivantes soient réunies: |
a | seuls sont effectués les traitements que le responsable du traitement serait en droit d'effectuer lui-même; |
b | aucune obligation légale ou contractuelle de garder le secret ne l'interdit. |
2 | Le responsable du traitement doit en particulier s'assurer que le sous-traitant est en mesure de garantir la sécurité des données. |
3 | Le sous-traitant ne peut lui-même sous-traiter un traitement à un tiers qu'avec l'autorisation préalable du responsable du traitement. |
4 | Il peut faire valoir les mêmes motifs justificatifs que le responsable du traitement. |
oder aufgeschoben werden.
4.2 Nach Art. 12 Abs. 1
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 12 Registre des activités de traitement - 1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
|
1 | Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
2 | Le registre du responsable du traitement contient au moins les indications suivantes: |
a | l'identité du responsable du traitement; |
b | la finalité du traitement; |
c | une description des catégories de personnes concernées et des catégories de données personnelles traitées; |
d | les catégories de destinataires; |
e | dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; |
f | dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'art. 8; |
g | en cas de communication de données personnelles à l'étranger, le nom de l'État concerné et les garanties prévues à l'art. 16, al. 2. |
3 | Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l'al. 2, let. f et g. |
4 | Les organes fédéraux déclarent leur registre d'activités de traitement au PFPDT. |
5 | Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d'atteinte à la personnalité des personnes concernées. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 12 Registre des activités de traitement - 1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
|
1 | Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
2 | Le registre du responsable du traitement contient au moins les indications suivantes: |
a | l'identité du responsable du traitement; |
b | la finalité du traitement; |
c | une description des catégories de personnes concernées et des catégories de données personnelles traitées; |
d | les catégories de destinataires; |
e | dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; |
f | dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'art. 8; |
g | en cas de communication de données personnelles à l'étranger, le nom de l'État concerné et les garanties prévues à l'art. 16, al. 2. |
3 | Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l'al. 2, let. f et g. |
4 | Les organes fédéraux déclarent leur registre d'activités de traitement au PFPDT. |
5 | Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d'atteinte à la personnalité des personnes concernées. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 13 Certification - 1 Les fournisseurs de systèmes ou de logiciels de traitement de données personnelles ainsi que les responsables du traitement et les sous-traitants peuvent soumettre leurs systèmes, leurs produits ou leurs services à une évaluation effectuée par des organismes de certification agréés et indépendants. |
|
1 | Les fournisseurs de systèmes ou de logiciels de traitement de données personnelles ainsi que les responsables du traitement et les sous-traitants peuvent soumettre leurs systèmes, leurs produits ou leurs services à une évaluation effectuée par des organismes de certification agréés et indépendants. |
2 | Le Conseil fédéral édicte des dispositions sur la reconnaissance des procédures de certification et sur l'introduction d'un label de qualité de protection des données. Il tient compte du droit international et des normes techniques reconnues au niveau international. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 12 Registre des activités de traitement - 1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
|
1 | Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
2 | Le registre du responsable du traitement contient au moins les indications suivantes: |
a | l'identité du responsable du traitement; |
b | la finalité du traitement; |
c | une description des catégories de personnes concernées et des catégories de données personnelles traitées; |
d | les catégories de destinataires; |
e | dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; |
f | dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'art. 8; |
g | en cas de communication de données personnelles à l'étranger, le nom de l'État concerné et les garanties prévues à l'art. 16, al. 2. |
3 | Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l'al. 2, let. f et g. |
4 | Les organes fédéraux déclarent leur registre d'activités de traitement au PFPDT. |
5 | Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d'atteinte à la personnalité des personnes concernées. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 12 Registre des activités de traitement - 1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
|
1 | Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
2 | Le registre du responsable du traitement contient au moins les indications suivantes: |
a | l'identité du responsable du traitement; |
b | la finalité du traitement; |
c | une description des catégories de personnes concernées et des catégories de données personnelles traitées; |
d | les catégories de destinataires; |
e | dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; |
f | dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'art. 8; |
g | en cas de communication de données personnelles à l'étranger, le nom de l'État concerné et les garanties prévues à l'art. 16, al. 2. |
3 | Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l'al. 2, let. f et g. |
4 | Les organes fédéraux déclarent leur registre d'activités de traitement au PFPDT. |
5 | Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d'atteinte à la personnalité des personnes concernées. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 12 Registre des activités de traitement - 1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
|
1 | Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
2 | Le registre du responsable du traitement contient au moins les indications suivantes: |
a | l'identité du responsable du traitement; |
b | la finalité du traitement; |
c | une description des catégories de personnes concernées et des catégories de données personnelles traitées; |
d | les catégories de destinataires; |
e | dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; |
f | dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'art. 8; |
g | en cas de communication de données personnelles à l'étranger, le nom de l'État concerné et les garanties prévues à l'art. 16, al. 2. |
3 | Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l'al. 2, let. f et g. |
4 | Les organes fédéraux déclarent leur registre d'activités de traitement au PFPDT. |
5 | Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d'atteinte à la personnalité des personnes concernées. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 12 Registre des activités de traitement - 1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
|
1 | Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
2 | Le registre du responsable du traitement contient au moins les indications suivantes: |
a | l'identité du responsable du traitement; |
b | la finalité du traitement; |
c | une description des catégories de personnes concernées et des catégories de données personnelles traitées; |
d | les catégories de destinataires; |
e | dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; |
f | dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'art. 8; |
g | en cas de communication de données personnelles à l'étranger, le nom de l'État concerné et les garanties prévues à l'art. 16, al. 2. |
3 | Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l'al. 2, let. f et g. |
4 | Les organes fédéraux déclarent leur registre d'activités de traitement au PFPDT. |
5 | Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d'atteinte à la personnalité des personnes concernées. |
4.3
4.3.1 Aus den Akten geht hervor, dass die Beklagte in den letzten Jahren Adress- und damit Personendaten von in Deutschland wohnhaften Personen an Interessenten in Deutschland bekannt gab und diese Daten in der Folge zu Werbezwecken verwendet wurden. Da die Bekanntgabe der Daten - wie insbesondere aus der Faxeingabe der Beklagten vom 5. Januar 2016 hervorgeht - zu ihrer Geschäftstätigkeit gehörte, ist davon auszugehen, sie sei regelmässig erfolgt und habe auch Adressdaten weiterer Personen umfasst. Ausserdem ist anzunehmen, der Bestand der Adressdaten sei nach betroffenen Personen erschliessbar, die Beklagte mithin Inhaberin (mindestens) einer Datensammlung gewesen (vgl. Art. 3 Bst. g
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
Als Inhaberin (mindestens) einer Datensammlung, die namentlich mit der Bekanntgabe von Adressdaten ins Ausland Personendaten bearbeitete (vgl. BGE 138 II 346 E. 3.2; Urteil des BVGer A-7040/2009 E. 5.4.1), hatte die Beklagte im Zusammenhang mit Auskunfts- und Sperr- bzw. Löschungsbegehren nach Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 12 Registre des activités de traitement - 1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
|
1 | Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
2 | Le registre du responsable du traitement contient au moins les indications suivantes: |
a | l'identité du responsable du traitement; |
b | la finalité du traitement; |
c | une description des catégories de personnes concernées et des catégories de données personnelles traitées; |
d | les catégories de destinataires; |
e | dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; |
f | dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'art. 8; |
g | en cas de communication de données personnelles à l'étranger, le nom de l'État concerné et les garanties prévues à l'art. 16, al. 2. |
3 | Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l'al. 2, let. f et g. |
4 | Les organes fédéraux déclarent leur registre d'activités de traitement au PFPDT. |
5 | Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d'atteinte à la personnalité des personnes concernées. |
4.3.2 Was die gegenwärtige Situation betrifft, so erklärt die Beklagte in ihrer Faxeingabe vom 5. Januar 2016 zwar, sie verpflichte sich, "die Vermietung gewonnener Postadressen an Dritte sowie jegliche werbliche Nutzung ausnahmslos einzustellen". Dass sie dies getan hätte, ist indes weder ersichtlich noch in irgendeiner Weise belegt. Der Kläger weist zudem zu Recht darauf hin, dass nicht nur der Verzicht auf die "Vermietung der Postadressen an Dritte" zu belegen wäre, sondern die Einstellung der Datenbekanntgabe an Dritte. Weder erkennbar noch belegt ist im Weiteren, dass die Beklagte - wie in der Faxeingabe angekündigt - alle ihr "bekanntgewordenen Anfragen zu Auskunfts- und Löschungsbegehren" beantwortet hätte. Die weitere beim Kläger eingegangene Beschwerde (vgl. Bst. M) legt vielmehr das Gegenteil nahe. Die Beklagte liess dem Kläger denn auch die mit ihrer Faxeingabe in Aussicht gestellte "Aufstellung" der entsprechenden Schreiben nicht zukommen. Weder ersichtlich noch belegt ist überdies, dass die Beklagte die notwendigen Massnahmen getroffen hätte, um neu eingehende Auskunfts- und Sperr- bzw. Löschungsbegehren den rechtlichen Anforderungen gemäss bearbeiten zu können, oder derartige Begehren nunmehr entsprechend bearbeiten würde. Unter diesen Umständen ist davon auszugehen, sie habe aus den erwähnten Gründen nach wie vor die dargelegten datenschutzrechtlichen Pflichten, erfülle diese hinsichtlich der bei ihr eingehenden Auskunfts- und Sperr- bzw. Löschungsbegehren aber weiterhin nicht.
4.3.3 Die Klage erweist sich insoweit demnach als begründet. Die Begehren 1a und 2 (vgl. Bst. J.b) sind daher in Bezug auf die jeweils geforderte Verpflichtung der Beklagten zu datenschutzrechtskonformem Verhalten gutzuheissen (zum Antrag auf Androhung der Ungehorsamsstrafe vgl. E. 6). Der Klarheit halber sei erwähnt, dass pendente Auskunftsbegehren, bei denen die Frist von 30 Tagen zur Beantwortung bereits abgelaufen ist, umgehend zu beantworten sind, zielt das Begehren 1a doch nicht darauf ab, für solche Begehren die 30-tägige Frist zu erneuern.
5.
5.1 Gemäss Art. 11a Abs. 3
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 12 Registre des activités de traitement - 1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
|
1 | Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
2 | Le registre du responsable du traitement contient au moins les indications suivantes: |
a | l'identité du responsable du traitement; |
b | la finalité du traitement; |
c | une description des catégories de personnes concernées et des catégories de données personnelles traitées; |
d | les catégories de destinataires; |
e | dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; |
f | dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'art. 8; |
g | en cas de communication de données personnelles à l'étranger, le nom de l'État concerné et les garanties prévues à l'art. 16, al. 2. |
3 | Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l'al. 2, let. f et g. |
4 | Les organes fédéraux déclarent leur registre d'activités de traitement au PFPDT. |
5 | Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d'atteinte à la personnalité des personnes concernées. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 12 Registre des activités de traitement - 1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
|
1 | Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. |
2 | Le registre du responsable du traitement contient au moins les indications suivantes: |
a | l'identité du responsable du traitement; |
b | la finalité du traitement; |
c | une description des catégories de personnes concernées et des catégories de données personnelles traitées; |
d | les catégories de destinataires; |
e | dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; |
f | dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'art. 8; |
g | en cas de communication de données personnelles à l'étranger, le nom de l'État concerné et les garanties prévues à l'art. 16, al. 2. |
3 | Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l'al. 2, let. f et g. |
4 | Les organes fédéraux déclarent leur registre d'activités de traitement au PFPDT. |
5 | Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d'atteinte à la personnalité des personnes concernées. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 13 Certification - 1 Les fournisseurs de systèmes ou de logiciels de traitement de données personnelles ainsi que les responsables du traitement et les sous-traitants peuvent soumettre leurs systèmes, leurs produits ou leurs services à une évaluation effectuée par des organismes de certification agréés et indépendants. |
|
1 | Les fournisseurs de systèmes ou de logiciels de traitement de données personnelles ainsi que les responsables du traitement et les sous-traitants peuvent soumettre leurs systèmes, leurs produits ou leurs services à une évaluation effectuée par des organismes de certification agréés et indépendants. |
2 | Le Conseil fédéral édicte des dispositions sur la reconnaissance des procédures de certification et sur l'introduction d'un label de qualité de protection des données. Il tient compte du droit international et des normes techniques reconnues au niveau international. |
![](media/link.gif)
SR 235.11 Ordonnance du 31 août 2022 sur la protection des données (OPDo) OPDo Art. 4 Journalisation - 1 Lors de traitements automatisés de données sensibles à grande échelle ou de profilage à risque élevé et lorsque les mesures préventives ne suffisent pas à garantir la protection des données, le responsable du traitement privé et son sous-traitant privé journalisent au moins l'enregistrement, la modification, la lecture, la communication, l'effacement et la destruction des données. La journalisation est notamment nécessaire lorsque, sans cette mesure, il n'est pas possible de vérifier a posteriori que les données ont été traitées conformément aux finalités pour lesquelles elles ont été collectées ou communiquées. |
|
1 | Lors de traitements automatisés de données sensibles à grande échelle ou de profilage à risque élevé et lorsque les mesures préventives ne suffisent pas à garantir la protection des données, le responsable du traitement privé et son sous-traitant privé journalisent au moins l'enregistrement, la modification, la lecture, la communication, l'effacement et la destruction des données. La journalisation est notamment nécessaire lorsque, sans cette mesure, il n'est pas possible de vérifier a posteriori que les données ont été traitées conformément aux finalités pour lesquelles elles ont été collectées ou communiquées. |
2 | Lors du traitement automatisé de données personnelles, l'organe fédéral responsable et son sous-traitant journalisent au moins l'enregistrement, la modification, la lecture, la communication, l'effacement et la destruction des données. |
3 | Pour les données personnelles généralement accessibles au public, l'enregistrement, la modification, l'effacement et la destruction des données doivent au moins être journalisés. |
4 | La journalisation doit fournir des informations sur l'identité de la personne qui a effectué le traitement, la nature, la date et l'heure du traitement et, cas échéant, l'identité du destinataire des données. |
5 | Les procès-verbaux de journalisation sont conservés durant au moins un an, séparément du système dans lequel les données personnelles sont traitées. Ils sont accessibles uniquement aux organes et aux personnes chargés de vérifier l'application des dispositions relatives à la protection des données personnelles ou de préserver ou restaurer la confidentialité, l'intégrité, la disponibilité et la traçabilité des données, et ne peuvent être utilisés qu'à cette fin. |
5.2 Wie ausgeführt (vgl. E. 4.3.1 f.), ist davon auszugehen, die Beklage sei Inhaberin (mindestens) einer Datensammlung und gebe Dritten aus dieser Datensammlung regelmässig Personendaten (Adressdaten) bekannt. Sie ist somit nach Art. 11a Abs. 3 Bst. b
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
|
1 | La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. |
2 | Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5. |
6.
6.1 Gemäss Art. 292
![](media/link.gif)
SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 292 - Quiconque ne se conforme pas à une décision à lui signifiée, sous la menace de la peine prévue au présent article, par une autorité ou un fonctionnaire compétents est puni d'une amende. |
![](media/link.gif)
SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 292 - Quiconque ne se conforme pas à une décision à lui signifiée, sous la menace de la peine prévue au présent article, par une autorité ou un fonctionnaire compétents est puni d'une amende. |
![](media/link.gif)
SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 292 - Quiconque ne se conforme pas à une décision à lui signifiée, sous la menace de la peine prévue au présent article, par une autorité ou un fonctionnaire compétents est puni d'une amende. |
![](media/link.gif)
SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 292 - Quiconque ne se conforme pas à une décision à lui signifiée, sous la menace de la peine prévue au présent article, par une autorité ou un fonctionnaire compétents est puni d'une amende. |
![](media/link.gif)
SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 292 - Quiconque ne se conforme pas à une décision à lui signifiée, sous la menace de la peine prévue au présent article, par une autorité ou un fonctionnaire compétents est puni d'une amende. |
![](media/link.gif)
SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 292 - Quiconque ne se conforme pas à une décision à lui signifiée, sous la menace de la peine prévue au présent article, par une autorité ou un fonctionnaire compétents est puni d'une amende. |
![](media/link.gif)
SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 292 - Quiconque ne se conforme pas à une décision à lui signifiée, sous la menace de la peine prévue au présent article, par une autorité ou un fonctionnaire compétents est puni d'une amende. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 34 Bases légales - 1 Les organes fédéraux ne sont en droit de traiter des données personnelles que s'il existe une base légale. |
|
1 | Les organes fédéraux ne sont en droit de traiter des données personnelles que s'il existe une base légale. |
2 | La base légale doit être prévue dans une loi au sens formel dans les cas suivants: |
a | il s'agit d'un traitement de données sensibles; |
b | il s'agit d'un profilage; |
c | la finalité ou le mode du traitement de données personnelles est susceptible de porter gravement atteinte aux droits fondamentaux de la personne concernée. |
3 | Pour les traitements de données personnelles visés à l'al. 2, let. a et b, une base légale prévue dans une loi au sens matériel suffit si les conditions suivantes sont réunies: |
a | le traitement est indispensable à l'accomplissement d'une tâche définie dans une loi au sens formel; |
b | la finalité du traitement ne présente pas de risques particuliers pour les droits fondamentaux de la personne concernée. |
4 | En dérogation aux al. 1 à 3, les organes fédéraux peuvent traiter des données personnelles si l'une des conditions suivantes est remplie: |
a | le Conseil fédéral a autorisé le traitement, considérant que les droits des personnes concernées ne sont pas menacés; |
b | la personne concernée a consenti au traitement en l'espèce ou a rendu ses données personnelles accessibles à tout un chacun et ne s'est pas opposée expressément au traitement; |
c | le traitement est nécessaire pour protéger la vie ou l'intégrité corporelle de la personne concernée ou d'un tiers et il n'est pas possible d'obtenir le consentement de la personne concernée dans un délai raisonnable. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 35 Traitement de données personnelles automatisé dans le cadre d'essais pilotes - 1 Le Conseil fédéral peut autoriser, avant l'entrée en vigueur d'une loi au sens formel, le traitement automatisé de données sensibles ou d'autres traitements au sens de l'art. 34, al. 2, let. b et c, si les conditions suivantes sont réunies: |
|
1 | Le Conseil fédéral peut autoriser, avant l'entrée en vigueur d'une loi au sens formel, le traitement automatisé de données sensibles ou d'autres traitements au sens de l'art. 34, al. 2, let. b et c, si les conditions suivantes sont réunies: |
a | les tâches qui nécessitent ce traitement sont réglées dans une loi au sens formel déjà en vigueur; |
b | des mesures appropriées sont prises aux fins de réduire au minimum les atteintes aux droits fondamentaux de la personne concernée; |
c | la mise en oeuvre du traitement rend indispensable une phase d'essai avant l'entrée en vigueur de la loi au sens formel, en particulier pour des raisons techniques. |
2 | Il consulte au préalable le PFPDT. |
3 | L'organe fédéral responsable transmet, au plus tard deux ans après la mise en oeuvre de l'essai pilote, un rapport d'évaluation au Conseil fédéral. Dans ce rapport, il lui propose la poursuite ou l'interruption du traitement. |
4 | Le traitement automatisé de données personnelles doit être interrompu dans tous les cas si aucune loi au sens formel prévoyant la base légale nécessaire n'est entrée en vigueur dans un délai de cinq ans à compter de la mise en oeuvre de l'essai pilote. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 34 Bases légales - 1 Les organes fédéraux ne sont en droit de traiter des données personnelles que s'il existe une base légale. |
|
1 | Les organes fédéraux ne sont en droit de traiter des données personnelles que s'il existe une base légale. |
2 | La base légale doit être prévue dans une loi au sens formel dans les cas suivants: |
a | il s'agit d'un traitement de données sensibles; |
b | il s'agit d'un profilage; |
c | la finalité ou le mode du traitement de données personnelles est susceptible de porter gravement atteinte aux droits fondamentaux de la personne concernée. |
3 | Pour les traitements de données personnelles visés à l'al. 2, let. a et b, une base légale prévue dans une loi au sens matériel suffit si les conditions suivantes sont réunies: |
a | le traitement est indispensable à l'accomplissement d'une tâche définie dans une loi au sens formel; |
b | la finalité du traitement ne présente pas de risques particuliers pour les droits fondamentaux de la personne concernée. |
4 | En dérogation aux al. 1 à 3, les organes fédéraux peuvent traiter des données personnelles si l'une des conditions suivantes est remplie: |
a | le Conseil fédéral a autorisé le traitement, considérant que les droits des personnes concernées ne sont pas menacés; |
b | la personne concernée a consenti au traitement en l'espèce ou a rendu ses données personnelles accessibles à tout un chacun et ne s'est pas opposée expressément au traitement; |
c | le traitement est nécessaire pour protéger la vie ou l'intégrité corporelle de la personne concernée ou d'un tiers et il n'est pas possible d'obtenir le consentement de la personne concernée dans un délai raisonnable. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 35 Traitement de données personnelles automatisé dans le cadre d'essais pilotes - 1 Le Conseil fédéral peut autoriser, avant l'entrée en vigueur d'une loi au sens formel, le traitement automatisé de données sensibles ou d'autres traitements au sens de l'art. 34, al. 2, let. b et c, si les conditions suivantes sont réunies: |
|
1 | Le Conseil fédéral peut autoriser, avant l'entrée en vigueur d'une loi au sens formel, le traitement automatisé de données sensibles ou d'autres traitements au sens de l'art. 34, al. 2, let. b et c, si les conditions suivantes sont réunies: |
a | les tâches qui nécessitent ce traitement sont réglées dans une loi au sens formel déjà en vigueur; |
b | des mesures appropriées sont prises aux fins de réduire au minimum les atteintes aux droits fondamentaux de la personne concernée; |
c | la mise en oeuvre du traitement rend indispensable une phase d'essai avant l'entrée en vigueur de la loi au sens formel, en particulier pour des raisons techniques. |
2 | Il consulte au préalable le PFPDT. |
3 | L'organe fédéral responsable transmet, au plus tard deux ans après la mise en oeuvre de l'essai pilote, un rapport d'évaluation au Conseil fédéral. Dans ce rapport, il lui propose la poursuite ou l'interruption du traitement. |
4 | Le traitement automatisé de données personnelles doit être interrompu dans tous les cas si aucune loi au sens formel prévoyant la base légale nécessaire n'est entrée en vigueur dans un délai de cinq ans à compter de la mise en oeuvre de l'essai pilote. |
![](media/link.gif)
SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 292 - Quiconque ne se conforme pas à une décision à lui signifiée, sous la menace de la peine prévue au présent article, par une autorité ou un fonctionnaire compétents est puni d'une amende. |
6.2 Der Kläger erklärt in den Anträgen, mit denen er jeweils die Androhung der Ungehorsamsstrafe verlangt (vgl. Bst. J.b), nicht, gegen wen sich diese Androhung richten soll. Aus der Begründung in seiner Stellungnahme vom 5. Februar 2016 geht indes hervor, dass es ihm in allgemeiner Weise darum geht, der von ihm befürchteten Nichterfüllung der mit den Begehren
1a und 2 beantragten Verpflichtungen der Beklagten entgegenzutreten. Es ist entsprechend davon auszugehen, es komme ihm letztlich nicht darauf an, wer Adressat der Strafandrohung ist, sondern gehe ihm einzig darum, dass diese ausgesprochen wird.
Eine Strafandrohung gegenüber der Beklagten als juristische Person kommt, wie ausgeführt, vorliegend nicht in Betracht. Gegenüber den zuständigen Organen der Beklagten kommt sie hingegen grundsätzlich in Frage. Sie ist insoweit auch zulässig, besteht doch keine speziellere, vorgehende Strafbestimmung und erscheint die Androhung der Ungehorsamsstrafe angesichts des bisherigen Verhaltens der Beklagten als angezeigt und verhältnismässig; das mit den Begehren 1a und 2 von der Beklagten verlangte Verhalten ist zudem genügend genau umschrieben. Der Klage ist demnach auch in Bezug auf die verlangte Androhung der Ungehorsamsstrafe stattzugeben und gegenüber den Mitgliedern des Verwaltungsrats (Art. 707 ff
![](media/link.gif)
SR 220 Première partie: Dispositions générales Titre premier: De la formation des obligations Chapitre I: Des obligations résultant d'un contrat CO Art. 707 - 1 Le conseil d'administration de la société se compose d'un ou de plusieurs membres.572 |
|
1 | Le conseil d'administration de la société se compose d'un ou de plusieurs membres.572 |
2 | ...573 |
3 | Lorsqu'une personne morale ou une société commerciale est membre de la société, elle ne peut avoir la qualité de membre du conseil d'administration574, mais ses représentants sont éligibles en son lieu et place. |
![](media/link.gif)
SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 292 - Quiconque ne se conforme pas à une décision à lui signifiée, sous la menace de la peine prévue au présent article, par une autorité ou un fonctionnaire compétents est puni d'une amende. |
7.
7.1 Wie erwähnt (vgl. E. 1.1), richten sich die Gerichtsgebühren und die Parteientschädigung nach den Art. 63
![](media/link.gif)
SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA) PA Art. 63 - 1 En règle générale, les frais de procédure comprenant l'émolument d'arrêté, les émoluments de chancellerie et les débours sont mis, dans le dispositif, à la charge de la partie qui succombe. Si celle-ci n'est déboutée que partiellement, ces frais sont réduits. À titre exceptionnel, ils peuvent être entièrement remis. |
|
1 | En règle générale, les frais de procédure comprenant l'émolument d'arrêté, les émoluments de chancellerie et les débours sont mis, dans le dispositif, à la charge de la partie qui succombe. Si celle-ci n'est déboutée que partiellement, ces frais sont réduits. À titre exceptionnel, ils peuvent être entièrement remis. |
2 | Aucun frais de procédure n'est mis à la charge des autorités inférieures, ni des autorités fédérales recourantes et déboutées; si l'autorité recourante qui succombe n'est pas une autorité fédérale, les frais de procédure sont mis à sa charge dans la mesure où le litige porte sur des intérêts pécuniaires de collectivités ou d'établissements autonomes. |
3 | Des frais de procédure ne peuvent être mis à la charge de la partie qui a gain de cause que si elle les a occasionnés en violant des règles de procédure. |
4 | L'autorité de recours, son président ou le juge instructeur perçoit du recourant une avance de frais équivalant aux frais de procédure présumés. Elle lui impartit pour le versement de cette créance un délai raisonnable en l'avertissant qu'à défaut de paiement elle n'entrera pas en matière. Si des motifs particuliers le justifient, elle peut renoncer à percevoir la totalité ou une partie de l'avance de frais.101 |
4bis | L'émolument d'arrêté est calculé en fonction de l'ampleur et de la difficulté de la cause, de la manière de procéder des parties et de leur situation financière. Son montant est fixé: |
a | entre 100 et 5000 francs dans les contestations non pécuniaires; |
b | entre 100 et 50 000 francs dans les autres contestations.102 |
5 | Le Conseil fédéral établit un tarif des émoluments.103 L'art. 16, al. 1, let. a, de la loi du 17 juin 2005 sur le Tribunal administratif fédéral104 et l'art. 73 de la loi du 19 mars 2010 sur l'organisation des autorités pénales105 sont réservés.106 |
![](media/link.gif)
SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA) PA Art. 65 - 1 Après le dépôt du recours, la partie qui ne dispose pas de ressources suffisantes et dont les conclusions ne paraissent pas d'emblée vouées à l'échec est, à sa demande, dispensée par l'autorité de recours, son président ou le juge instructeur de payer les frais de procédure.111 |
|
1 | Après le dépôt du recours, la partie qui ne dispose pas de ressources suffisantes et dont les conclusions ne paraissent pas d'emblée vouées à l'échec est, à sa demande, dispensée par l'autorité de recours, son président ou le juge instructeur de payer les frais de procédure.111 |
2 | L'autorité de recours, son président ou le juge instructeur attribue en outre un avocat à cette partie si la sauvegarde de ses droits le requiert.112 |
3 | Les frais et honoraires d'avocat sont supportés conformément à l'art. 64, al. 2 à 4. |
4 | Si la partie indigente revient à meilleure fortune, elle est tenue de rembourser les honoraires et les frais d'avocat à la collectivité ou à l'établissement autonome qui les a payés. |
5 | Le Conseil fédéral établit un tarif des honoraires et des frais.113 L'art. 16, al. 1, let. a, de la loi du 17 juin 2005 sur le Tribunal administratif fédéral114 et l'art. 73 de la loi du 19 mars 2010 sur l'organisation des autorités pénales115 sont réservés.116 |
![](media/link.gif)
SR 173.32 Loi du 17 juin 2005 sur le Tribunal administratif fédéral (LTAF) LTAF Art. 44 - 1 Lorsque le Tribunal administratif fédéral statue en tant que première instance, la procédure est régie par les art. 3 à 73 et 79 à 85 de la loi fédérale du 4 décembre 1947 sur la procédure civile61. |
|
1 | Lorsque le Tribunal administratif fédéral statue en tant que première instance, la procédure est régie par les art. 3 à 73 et 79 à 85 de la loi fédérale du 4 décembre 1947 sur la procédure civile61. |
2 | Le Tribunal administratif fédéral établit les faits d'office. |
3 | Les émoluments judiciaires et les dépens sont régis par les art. 63 à 65 PA62.63 |
![](media/link.gif)
SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA) PA Art. 63 - 1 En règle générale, les frais de procédure comprenant l'émolument d'arrêté, les émoluments de chancellerie et les débours sont mis, dans le dispositif, à la charge de la partie qui succombe. Si celle-ci n'est déboutée que partiellement, ces frais sont réduits. À titre exceptionnel, ils peuvent être entièrement remis. |
|
1 | En règle générale, les frais de procédure comprenant l'émolument d'arrêté, les émoluments de chancellerie et les débours sont mis, dans le dispositif, à la charge de la partie qui succombe. Si celle-ci n'est déboutée que partiellement, ces frais sont réduits. À titre exceptionnel, ils peuvent être entièrement remis. |
2 | Aucun frais de procédure n'est mis à la charge des autorités inférieures, ni des autorités fédérales recourantes et déboutées; si l'autorité recourante qui succombe n'est pas une autorité fédérale, les frais de procédure sont mis à sa charge dans la mesure où le litige porte sur des intérêts pécuniaires de collectivités ou d'établissements autonomes. |
3 | Des frais de procédure ne peuvent être mis à la charge de la partie qui a gain de cause que si elle les a occasionnés en violant des règles de procédure. |
4 | L'autorité de recours, son président ou le juge instructeur perçoit du recourant une avance de frais équivalant aux frais de procédure présumés. Elle lui impartit pour le versement de cette créance un délai raisonnable en l'avertissant qu'à défaut de paiement elle n'entrera pas en matière. Si des motifs particuliers le justifient, elle peut renoncer à percevoir la totalité ou une partie de l'avance de frais.101 |
4bis | L'émolument d'arrêté est calculé en fonction de l'ampleur et de la difficulté de la cause, de la manière de procéder des parties et de leur situation financière. Son montant est fixé: |
a | entre 100 et 5000 francs dans les contestations non pécuniaires; |
b | entre 100 et 50 000 francs dans les autres contestations.102 |
5 | Le Conseil fédéral établit un tarif des émoluments.103 L'art. 16, al. 1, let. a, de la loi du 17 juin 2005 sur le Tribunal administratif fédéral104 et l'art. 73 de la loi du 19 mars 2010 sur l'organisation des autorités pénales105 sont réservés.106 |
![](media/link.gif)
SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA) PA Art. 63 - 1 En règle générale, les frais de procédure comprenant l'émolument d'arrêté, les émoluments de chancellerie et les débours sont mis, dans le dispositif, à la charge de la partie qui succombe. Si celle-ci n'est déboutée que partiellement, ces frais sont réduits. À titre exceptionnel, ils peuvent être entièrement remis. |
|
1 | En règle générale, les frais de procédure comprenant l'émolument d'arrêté, les émoluments de chancellerie et les débours sont mis, dans le dispositif, à la charge de la partie qui succombe. Si celle-ci n'est déboutée que partiellement, ces frais sont réduits. À titre exceptionnel, ils peuvent être entièrement remis. |
2 | Aucun frais de procédure n'est mis à la charge des autorités inférieures, ni des autorités fédérales recourantes et déboutées; si l'autorité recourante qui succombe n'est pas une autorité fédérale, les frais de procédure sont mis à sa charge dans la mesure où le litige porte sur des intérêts pécuniaires de collectivités ou d'établissements autonomes. |
3 | Des frais de procédure ne peuvent être mis à la charge de la partie qui a gain de cause que si elle les a occasionnés en violant des règles de procédure. |
4 | L'autorité de recours, son président ou le juge instructeur perçoit du recourant une avance de frais équivalant aux frais de procédure présumés. Elle lui impartit pour le versement de cette créance un délai raisonnable en l'avertissant qu'à défaut de paiement elle n'entrera pas en matière. Si des motifs particuliers le justifient, elle peut renoncer à percevoir la totalité ou une partie de l'avance de frais.101 |
4bis | L'émolument d'arrêté est calculé en fonction de l'ampleur et de la difficulté de la cause, de la manière de procéder des parties et de leur situation financière. Son montant est fixé: |
a | entre 100 et 5000 francs dans les contestations non pécuniaires; |
b | entre 100 et 50 000 francs dans les autres contestations.102 |
5 | Le Conseil fédéral établit un tarif des émoluments.103 L'art. 16, al. 1, let. a, de la loi du 17 juin 2005 sur le Tribunal administratif fédéral104 et l'art. 73 de la loi du 19 mars 2010 sur l'organisation des autorités pénales105 sont réservés.106 |
Der Kläger setzt sich mit seinen Begehren 1a, 2 und 3 - und damit der gesamten Empfehlung vom 17. September 2014 - sowie mit den Anträgen auf Androhung der Ungehorsamsstrafe nach Art. 292
![](media/link.gif)
SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 292 - Quiconque ne se conforme pas à une décision à lui signifiée, sous la menace de la peine prévue au présent article, par une autorité ou un fonctionnaire compétents est puni d'une amende. |
![](media/link.gif)
SR 173.320.2 Règlement du 21 février 2008 concernant les frais, dépens et indemnités fixés par le Tribunal administratif fédéral (FITAF) FITAF Art. 1 Frais de procédure |
|
1 | Les frais de procédure devant le Tribunal administratif fédéral (tribunal) comprennent l'émolument judiciaire et les débours. |
2 | L'émolument judiciaire couvre les frais de photocopie des mémoires et les frais administratifs normaux, tels que les frais pour le personnel, les locaux et le matériel ainsi que les frais postaux, téléphoniques et de télécopie. |
3 | Les débours comprennent notamment les frais de traduction et les frais occasionnés par l'administration des preuves. Les frais de traduction ne sont pas facturés lorsqu'il s'agit de la traduction d'une langue officielle à une autre. |
7.2 Der obsiegenden Partei ist von Amtes wegen oder auf Begehren eine Entschädigung für die ihr erwachsenen notwendigen Kosten zuzusprechen (vgl. Art. 64 Abs. 1
![](media/link.gif)
SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA) PA Art. 64 - 1 L'autorité de recours peut allouer, d'office ou sur requête, à la partie ayant entièrement ou partiellement gain de cause une indemnité pour les frais indispensables et relativement élevés qui lui ont été occasionnés. |
|
1 | L'autorité de recours peut allouer, d'office ou sur requête, à la partie ayant entièrement ou partiellement gain de cause une indemnité pour les frais indispensables et relativement élevés qui lui ont été occasionnés. |
2 | Le dispositif indique le montant des dépens alloués qui, lorsqu'ils ne peuvent pas être mis à la charge de la partie adverse déboutée, sont supportés par la collectivité ou par l'établissement autonome au nom de qui l'autorité inférieure a statué. |
3 | Lorsque la partie adverse déboutée avait pris des conclusions indépendantes, les dépens alloués peuvent être mis à sa charge, dans la mesure de ses moyens. |
4 | La collectivité ou l'établissement autonome au nom de qui l'autorité inférieure a statué répond des dépens mis à la charge de la partie adverse déboutée en tant qu'ils se révéleraient irrécouvrables. |
5 | Le Conseil fédéral établit un tarif des dépens.107 L'art. 16, al. 1, let. a, de la loi du 17 juin 2005 sur le Tribunal administratif fédéral108 et l'art. 73 de la loi du 19 mars 2010 sur l'organisation des autorités pénales109 sont réservés.110 |
![](media/link.gif)
SR 173.320.2 Règlement du 21 février 2008 concernant les frais, dépens et indemnités fixés par le Tribunal administratif fédéral (FITAF) FITAF Art. 7 Principe |
|
1 | La partie qui obtient gain de cause a droit aux dépens pour les frais nécessaires causés par le litige. |
2 | Lorsqu'une partie n'obtient que partiellement gain de cause, les dépens auxquels elle peut prétendre sont réduits en proportion. |
3 | Les autorités fédérales et, en règle générale, les autres autorités parties n'ont pas droit aux dépens. |
4 | Si les frais sont relativement peu élevés, le tribunal peut renoncer à allouer des dépens. |
5 | L'art. 6a s'applique par analogie.7 |
![](media/link.gif)
SR 173.320.2 Règlement du 21 février 2008 concernant les frais, dépens et indemnités fixés par le Tribunal administratif fédéral (FITAF) FITAF Art. 7 Principe |
|
1 | La partie qui obtient gain de cause a droit aux dépens pour les frais nécessaires causés par le litige. |
2 | Lorsqu'une partie n'obtient que partiellement gain de cause, les dépens auxquels elle peut prétendre sont réduits en proportion. |
3 | Les autorités fédérales et, en règle générale, les autres autorités parties n'ont pas droit aux dépens. |
4 | Si les frais sont relativement peu élevés, le tribunal peut renoncer à allouer des dépens. |
5 | L'art. 6a s'applique par analogie.7 |
![](media/link.gif)
SR 173.320.2 Règlement du 21 février 2008 concernant les frais, dépens et indemnités fixés par le Tribunal administratif fédéral (FITAF) FITAF Art. 7 Principe |
|
1 | La partie qui obtient gain de cause a droit aux dépens pour les frais nécessaires causés par le litige. |
2 | Lorsqu'une partie n'obtient que partiellement gain de cause, les dépens auxquels elle peut prétendre sont réduits en proportion. |
3 | Les autorités fédérales et, en règle générale, les autres autorités parties n'ont pas droit aux dépens. |
4 | Si les frais sont relativement peu élevés, le tribunal peut renoncer à allouer des dépens. |
5 | L'art. 6a s'applique par analogie.7 |
![](media/link.gif)
SR 173.320.2 Règlement du 21 février 2008 concernant les frais, dépens et indemnités fixés par le Tribunal administratif fédéral (FITAF) FITAF Art. 7 Principe |
|
1 | La partie qui obtient gain de cause a droit aux dépens pour les frais nécessaires causés par le litige. |
2 | Lorsqu'une partie n'obtient que partiellement gain de cause, les dépens auxquels elle peut prétendre sont réduits en proportion. |
3 | Les autorités fédérales et, en règle générale, les autres autorités parties n'ont pas droit aux dépens. |
4 | Si les frais sont relativement peu élevés, le tribunal peut renoncer à allouer des dépens. |
5 | L'art. 6a s'applique par analogie.7 |
Demnach erkennt das Bundesverwaltungsgericht:
1.
Die Klage wird gutgeheissen, soweit darauf einzutreten ist.
2.
Die Beklagte wird verpflichtet, innert der gesetzlichen Frist von 30 Tagen Auskunftsgesuche nach Art. 8
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
3.
Die Beklagte wird verpflichtet, Personendaten auf Antrag zu sperren
oder zu löschen (inklusive auf pendente Anträge) bzw. das Vorliegen eines Rechtfertigungsgrundes darzulegen und die betroffenen Personen entsprechend zu informieren.
4.
Die Beklagte wird verpflichtet, ihre Datensammlung bzw. ihre Datensammlungen beim Kläger anzumelden, einen Datenschutzverantwortlichen nach Art. 11a Abs. 5 Bst. e
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
![](media/link.gif)
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 13 Certification - 1 Les fournisseurs de systèmes ou de logiciels de traitement de données personnelles ainsi que les responsables du traitement et les sous-traitants peuvent soumettre leurs systèmes, leurs produits ou leurs services à une évaluation effectuée par des organismes de certification agréés et indépendants. |
|
1 | Les fournisseurs de systèmes ou de logiciels de traitement de données personnelles ainsi que les responsables du traitement et les sous-traitants peuvent soumettre leurs systèmes, leurs produits ou leurs services à une évaluation effectuée par des organismes de certification agréés et indépendants. |
2 | Le Conseil fédéral édicte des dispositions sur la reconnaissance des procédures de certification et sur l'introduction d'un label de qualité de protection des données. Il tient compte du droit international et des normes techniques reconnues au niveau international. |
5.
Für den Fall der Nichterfüllung der Dispositiv-Ziff. 2 und 3 wird den Mitgliedern des Verwaltungsrats der Beklagten die Ungehorsamsstrafe nach Art. 292
![](media/link.gif)
SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 292 - Quiconque ne se conforme pas à une décision à lui signifiée, sous la menace de la peine prévue au présent article, par une autorité ou un fonctionnaire compétents est puni d'une amende. |
Art. 292
![](media/link.gif)
SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 292 - Quiconque ne se conforme pas à une décision à lui signifiée, sous la menace de la peine prévue au présent article, par une autorité ou un fonctionnaire compétents est puni d'une amende. |
![](media/link.gif)
SR 311.0 Code pénal suisse du 21 décembre 1937 CP Art. 106 - 1 Sauf disposition contraire de la loi, le montant maximum de l'amende est de 10 000 francs. |
|
1 | Sauf disposition contraire de la loi, le montant maximum de l'amende est de 10 000 francs. |
2 | Le juge prononce dans son jugement, pour le cas où, de manière fautive, le condamné ne paie pas l'amende, une peine privative de liberté de substitution d'un jour au moins et de trois mois au plus. |
3 | Le juge fixe l'amende et la peine privative de liberté de substitution en tenant compte de la situation de l'auteur afin que la peine corresponde à la faute commise. |
4 | Le paiement ultérieur de l'amende entraîne une réduction proportionnelle de la peine privative de liberté de substitution. |
5 | Les art. 35 et 36, al. 2, sont applicables par analogie à l'exécution et à la conversion de l'amende.151 |
6.
Die Verfahrenskosten von Fr. 2'000.- werden im Umfang von Fr. 1'600.- der Beklagten auferlegt.
7.
Es wird keine Parteientschädigung zugesprochen.
8.
Dieses Urteil geht an:
- den Kläger (Gerichtsurkunde)
- die Beklagte (Gerichtsurkunde)
Die vorsitzende Richterin: Der Gerichtsschreiber:
Christine Ackermann Pascal Baur
Rechtsmittelbelehrung:
Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bundesgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen Angelegenheiten geführt werden (Art. 82 ff
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 82 Principe - Le Tribunal fédéral connaît des recours: |
|
a | contre les décisions rendues dans des causes de droit public; |
b | contre les actes normatifs cantonaux; |
c | qui concernent le droit de vote des citoyens ainsi que les élections et votations populaires. |
![](media/link.gif)
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 42 Mémoires - 1 Les mémoires doivent être rédigés dans une langue officielle, indiquer les conclusions, les motifs et les moyens de preuve, et être signés. |
|
1 | Les mémoires doivent être rédigés dans une langue officielle, indiquer les conclusions, les motifs et les moyens de preuve, et être signés. |
2 | Les motifs doivent exposer succinctement en quoi l'acte attaqué viole le droit. Si le recours n'est recevable que lorsqu'il soulève une question juridique de principe ou qu'il porte sur un cas particulièrement important pour d'autres motifs, il faut exposer en quoi l'affaire remplit la condition exigée.15 16 |
3 | Les pièces invoquées comme moyens de preuve doivent être jointes au mémoire, pour autant qu'elles soient en mains de la partie; il en va de même de la décision attaquée si le mémoire est dirigé contre une décision. |
4 | En cas de transmission électronique, le mémoire doit être muni de la signature électronique qualifiée de la partie ou de son mandataire au sens de la loi du 18 mars 2016 sur la signature électronique17. Le Tribunal fédéral détermine dans un règlement: |
a | le format du mémoire et des pièces jointes; |
b | les modalités de la transmission; |
c | les conditions auxquelles il peut exiger, en cas de problème technique, que des documents lui soient adressés ultérieurement sur papier.18 |
5 | Si la signature de la partie ou de son mandataire, la procuration ou les annexes prescrites font défaut, ou si le mandataire n'est pas autorisé, le Tribunal fédéral impartit un délai approprié à la partie pour remédier à l'irrégularité et l'avertit qu'à défaut le mémoire ne sera pas pris en considération. |
6 | Si le mémoire est illisible, inconvenant, incompréhensible ou prolixe ou qu'il n'est pas rédigé dans une langue officielle, le Tribunal fédéral peut le renvoyer à son auteur; il impartit à celui-ci un délai approprié pour remédier à l'irrégularité et l'avertit qu'à défaut le mémoire ne sera pas pris en considération. |
7 | Le mémoire de recours introduit de manière procédurière ou à tout autre égard abusif est irrecevable. |
Versand: