Bundesverwaltungsgericht
Tribunal administratif fédéral
Tribunale amministrativo federale
Tribunal administrativ federal


Abteilung II

B-6850/2014

Urteil vom 30. November 2016

Richterin Vera Marantelli (Vorsitz),

Besetzung Richterin Kathrin Dietrich, Richter Pascal Richard,

Gerichtsschreiber Thomas Bischof.

A._______,

Parteien vertreten durchlic. iur. Klaus Neff, Rechtsanwalt,

Beschwerdeführerin,

gegen

Wettbewerbskommission WEKO,

Hallwylstrasse 4, 3003 Bern,

Vorinstanz.

Gegenstand Auskunftsbegehren nach DSG.

Sachverhalt:

A.

A.a Am 13. Februar 2006 eröffnete das Sekretariat der Wettbewerbskommission (WEKO) im Einvernehmen mit einem Mitglied des Präsidiums der WEKO eine Untersuchung betreffend Abreden über Zuschläge im Bereich Luftfracht (Verfahrens-Nr. 81.21-0014). Die Untersuchung richtete sich gegen mehrere Luftfahrtunternehmungen (teils zuzüglich ihrer Tochtergesellschaften). Die Beschwerdeführerin war nicht Partei in dieser Untersuchung.

Die WEKO orientierte die Öffentlichkeit am 10. Januar 2014 darüber, dass mit Verfügung vom 2. Dezember 2013 ("Sanktionsverfügung") insgesamt elf Parteien wegen Beteiligung an einer gemäss Artikel 8 des Abkommens vom 21. Juni 1999 zwischen der Schweizerischen Eidgenossenschaft und der Europäischen Gemeinschaft über den Luftverkehr (SR 0.748.127.192.68) in Verbindung mit Artikel 5 Absatz 1 und 3 Buchstabe a des Kartellgesetzes (KG, SR 251) unzulässigen Preisabrede mit Sanktionen in unterschiedlicher Höhe belegt worden seien (Wettbewerbskommission: WEKO büsst mehrere Fluggesellschaften, Medienmitteilung und Presserohstoff, 10.01.2014, https://www.weko.admin.ch/weko/de/home/ aktuell/medieninformationen/nsb-news.msg-id-51605.html, abgerufen am 23. November 2016).

Mehrere Parteien haben die Sanktionsverfügung beim Bundesverwaltungsgericht angefochten. Diese Verfahren sind hängig.

A.b Die Frage, ob respektive in welcher Form die WEKO die Sanktionsverfügung publizieren darf, ist Gegenstand einer eigenständigen Verfügung vom 8. September 2014 ("Publikationsverfügung" mit einer teils anonymisierten resp. geschwärzten Fassung der Sanktionsverfügung ["Publikationsversion"] im Anhang). Auch diese ist von mehreren Parteien mittels Beschwerde beim Bundesverwaltungsgericht angefochten worden.

Diese Beschwerdeverfahren wurden mit Zwischenverfügungen vom 27. Januar 2015 bis zur Eröffnung eines begründeten Urteils des Bundesgerichts zum angefochtenen bundesverwaltungsgerichtlichen Urteil
B-3588/2012 vom 15. Oktober 2014 sistiert. Nachdem das Bundesgericht dieses Urteil (Urteil 2C_1065/2014 vom 26. Mai 2016, zur Publikation vorgesehen) auf seiner Website publiziert hatte, wurde die Sistierung der Verfahren mit Verfügungen je vom 13. Juli 2016 aufgehoben. Diese Verfahren sind hängig.

B.

B.a Mit Schreiben vom 19. September 2014 gelangte die Beschwerdeführerin an die WEKO. Unter Bezugnahme auf die Medienmitteilung vom 10. Januar 2014 ersuchte sie im Hinblick auf die erwartete Publikation der Sanktionsverfügung um die Bestätigung,

"dass die Verfügung der Weko [die Beschwerdeführerin] nicht erwähnt und auch keine direkten oder indirekten Hinweise auf [die Beschwerdeführerin] enthält und dass [die Beschwerdeführerin] auch nicht auf andere Weise bei einer Lektüre der Verfügung mit dem von der Weko im Verfahren 81.21-0014 untersuchten Verhalten in Verbindung gebracht werden kann",

eventualiter - für den Fall, dass die Sanktionsverfügung Hinweise oder Andeutungen auf die Beschwerdeführerin enthalten sollte - um die Bestätigung,

"dass alle diese Hinweise und Andeutungen aus der zur Publikation bestimmten Fassung der Verfügung gelöscht werden",

und schliesslich bat die Beschwerdeführerin

"um Offenlegung der zur Publikation bestimmten Verfügung an uns, bevor sie publiziert wird, so dass wir innert kurzer Frist prüfen können, dass in der zur Publikation bestimmten Verfügung keine Hinweise und Andeutungen auf [die Beschwerdeführerin] im oben dargelegten Sinne enthalten sind."

B.b Das Sekretariat der WEKO teilte mit Schreiben vom 23. September 2014 mit, die gewünschten Bestätigungen könne man nicht abgeben. Ob der Beschwerdeführerin ein Anspruch auf Offenlegung der Verfügung vor Publikation zustehe, sei "fraglich". Die Frage der Publikation sei zudem strittig und nicht rechtskräftig geklärt, weshalb "zurzeit" nicht möglich sei, die Publikationsversion zugänglich zu machen.

B.c Die Beschwerdeführerin wandte sich am 17. Oktober 2014 wiederum an die WEKO. Sie machte geltend, sie habe Grund zur Annahme, die Sanktionsverfügung enthalte direkte oder indirekte Bezüge oder Hinweise auf die Beschwerdeführerin und damit Daten, welche sie, die Beschwerdeführerin, betreffen oder vom Inhalt der Verfügung insgesamt erkennbar machen. Unter Berufung auf Art. 8 des Datenschutzgesetzes (DSG, SR 235.1) verlangte die Beschwerdeführerin

"Auskunft über die Art der von der Weko über ihr Unternehmen bearbeiteten Personendaten und über den Zweck dieser Bearbeitung. Soweit die Weko Personendaten über [die Beschwerdeführerin] zum Zweck bzw. als Teil der Begründung der Verfügung bearbeitet, verlangt [die Beschwerdeführerin] hiermit gestützt auf Art. 8 DSG, dass die Weko uns vor der Publikation der Verfügung eine Kopie derjenigen Teile der Verfügung zustellt, die auf [die Beschwerdeführerin] oder auf Aktivitäten [der Beschwerdeführerin] Bezug nehmen."

Die Beschwerdeführerin stellte weiter klar, dass ihr nur am Zugang zu den eigenen, in der Verfügung vermutlich enthaltenen Personendaten gelegen sei und sie eine Einschränkung dergestalt hinzunehmen bereit wäre, dass Teile, welche Geschäftsgeheimnisse der vom Verfahren Betroffenen enthielten, unkenntlich gemacht würden. Sollte die WEKO "entscheiden, den Zugang zu den von Ihnen über [die Beschwerdeführerin] bearbeiteten Personendaten [...] zu verweigern, ersuchen wir Sie hiermit, darüber unter Angabe der Gründe [...] formell zu verfügen."

B.d Das Sekretariat der WEKO antwortete darauf mit Einschreibebrief vom 22. Oktober 2014. Nach einem Résumé des Schreibens der Beschwerdeführerin vom 17. Oktober 2014 hält sie fest:

"Nach wie vor ist die Frage der Publikation der genannten Verfügung strittig und noch nicht rechtskräftig geklärt. Dabei sind sowohl die Publikation an sich als auch deren Umfang bestritten. Gemäss Artikel 9 Absatz 1 und 2 DSG in Verbindung mit Art. 25 Absatz 1 des Bundesgesetzes vom 6. Oktober 1995 über Kartelle und andere Wettbewerbsbeschränkungen (Kartellgesetz, KG, SR 251) ist es daher zurzeit nicht möglich, Ihnen die genannte Verfügung in irgendeiner Form zugänglich zu machen."

C.

C.a Die Beschwerdeführerin erhob mit Eingabe vom 24. November 2014 Beschwerde gegen diese von ihr als Verfügung qualifizierte Mitteilung. Sie stellte darin die Rechtsbegehren:

"1. Die Verfügung der Vorinstanz vom 22. Oktober 2014 sei vollumfänglich aufzuheben.

2.Die Vorinstanz sei anzuweisen, der Beschwerdeführerin alle Personendaten bekannt zu geben, die über die Beschwerdeführerin in den Akten der Vorinstanz mit Bezug auf die Verfügung in Sachen 81.21-0014 - Abreden im Bereich Luftfracht vorhanden sind, namentlich der Beschwerdeführerin alle Personendaten über die Beschwerdeführerin offen zu legen, welche die Vorinstanz in ihrer Verfügung in Sachen 81.21-0014 bearbeitet.

3.Unter Kosten- und Entschädigungsfolge."

Zudem stellte die Beschwerdeführerin die Verfahrensanträge:

"1.Die Vorinstanz sei anzuweisen, während des hängigen Beschwerdeverfahrens und bis zur Rechtskraft des gerichtlichen Entscheides Dritten keine Personendaten bekannt zu geben, die in den Akten der Vorinstanz mit Bezug auf die Verfügung in Sachen 81.21-0014 - Abreden im Bereich Luftfracht vorhanden sind, namentlich die Verfügung in Sachen 81.21-0014 nicht zu veröffentlichen.

2.Ziff. 1 der Verfahrensanträge sei superprovisorisch, d.h. sofort und ohne Anhörung der Vorinstanz, anzuordnen."

Zur Begründung führt die Beschwerdeführerin im Wesentlichen aus, sie habe - auch wenn sie durch die Vorinstanz weder beschuldigt noch gebüsst worden sei - begründeten Anlass zur Annahme, die Sanktionsverfügung enthalte direkte oder indirekte Hinweise auf sie und ihre Verhaltensweisen, welche den Eindruck erwecken könnten, sie habe sich wettbewerbswidrig resp. unrechtmässig verhalten. Um dies verifizieren zu können, habe sie sich an die Vorinstanz gewandt und nach der ersten abschlägigen Antwort ein formelles Gesuch, gestützt auf Art. 8 DSG, gestellt. Dieses habe die Vorinstanz folglich förmlich abgewiesen. Die Bearbeitung und allfällige Bekanntgabe von Personendaten über die Beschwerdeführerin durch die Vorinstanz im Zusammenhang mit, zum Zweck oder als Teil der Begründung der Luftfracht-Verfügung falle in den Anwendungsbereich des DSG. Sie, die Beschwerdeführerin, habe das Recht, von der Vorinstanz als Inhaberin einer Datensammlung Auskunft über die bearbeiteten Personendaten zu verlangen. Das Auskunftsrecht könne ohne Nachweis eines Interesses geltend gemacht werden. Die Vorinstanz bringe zwar keine massgeblichen Gründe für die Verweigerung vor, doch überwögen die Interessen der Beschwerdeführerin an der Einsicht in die bearbeiteten Daten diejenigen der Vorinstanz an der Verweigerung jedenfalls deutlich.

C.b Mit Zwischenverfügung vom 26. November 2014 (act. 2) wies die I. Abteilung des Bundesverwaltungsgerichts die Vorinstanz in teilweiser Gutheissung der Verfahrensanträge an,

"während des hängigen Beschwerdeverfahrens Dritten keine Personendaten über die Beschwerdeführerin bekannt zu geben, die in den Akten der Vorinstanz mit Bezug auf die Verfügung in Sachen 81.21-0014 (Abreden im Bereich Luftfracht) vorhanden sind, namentlich die Verfügung in Sachen 81.21-0014 nicht zu veröffentlichen."

C.c Die Wettbewerbskommission ihrerseits unterbreitete mit Eingabe vom 1. Dezember 2014 die Verfahrensanträge,

"1.Es sei das Beschwerdeverfahren A-6850/2014 bis zur rechtskräftigen Entscheidung über die Publikationsverfügung der Wettbewerbskommission vom 8. September 2014 (Untersuchung 81.21-0014) zu sistieren.

2.Es sei der Vorinstanz erst nach Aufhebung der Sistierung Frist zur Stellungnahme zur Beschwerde zu setzen."

Die Beschwerdeführerin erklärte sich mit der Sistierung unter Aufrechterhaltung der vorsorglichen Massnahme als einverstanden.

Mit Zwischenverfügung vom 16. Dezember 2014 wurde den Parteien mitgeteilt, dass die Abteilung II aufgrund des engen Zusammenhangs mit den Beschwerdeverfahren bezüglich der Publikationsverfügung (vorstehend, B.b) das Verfahren übernommen habe. Das Verfahren wurde sistiert.

Die Sistierung wurde - analog den Verfahren bezüglich der Publikationsverfügung (siehe vorstehend, A.b) - am 13. Juli 2016 aufgehoben.

C.d Die Vorinstanz liess sich am 17. August 2016 vernehmen (act. 15). Sie stellte die Anträge,

"1.Es sei auf die Beschwerde nicht einzutreten.

2.Eventualiter sei die Beschwerde abzuweisen, soweit darauf einzutreten ist.

3.Alles unter Kostenfolge zu Lasten der Beschwerdeführerin."

Die Vorinstanz macht geltend, sie - gegen die sich die Beschwerde richte - sei gar nicht tätig geworden, sondern das Sekretariat der WEKO. Dieses habe einzig "bescheinigt", dass eine Offenlegung der Sanktionsverfügung im Moment nicht möglich sei. Über den Bestand des Auskunftsrechts sei nicht entschieden worden. Das Schreiben vom 22. Oktober 2014 sei nicht auf die Erzielung einer Rechtswirkung gerichtet gewesen und qualifiziere sich nicht als Verfügung, wobei unklar sei, ob das Sekretariat eine solche überhaupt erlassen dürfte. Es handle sich um ein blosses "Verwaltungsschreiben", welches nur über das geplante Vorgehen informiere.

Das grundsätzliche Einsichtsrecht der Beschwerdeführerin sei nicht bestritten. Indessen sei mit den Beschwerdeverfahren gegen die Publikationsverfügung auch die Publikation als solche in Frage gestellt, mithin gerade die Einsichtnahme durch Dritte überhaupt. Bis zur rechtskräftigen Klärung dieser Frage würde mit einer gewährten Einsichtnahme durch eine Drittperson die aufschiebende Wirkung der Beschwerden gegen die Publikationsverfügung unterlaufen. Im Rahmen des rechtlich Zulässigen werde die gewünschte Auskunft indessen erteilt resp. vor einer allfälligen Publikation das rechtliche Gehör gewährt werden. Ein Aufschub der Auskunft sei der Beschwerdeführerin zumutbar, zumal bis zu den Beschwerdeentscheiden über die Publikationsverfügungen eine Publikation ohnehin nicht erfolgen werde und das Kernanliegen der Beschwerdeführerin darin bestehe, in der dannzumaligen Publikationsversion nicht zu erscheinen.

C.e In ihrer Replik vom 19. September 2016 bekräftigte die Beschwerdeführerin ihre Anträge in der Sache (vorstehend, C.a) und stellte den Verfahrensantrag,

"Die Vorinstanz sei anzuweisen, während des hängigen Beschwerdeverfahrens und bis zur Rechtskraft des gerichtlichen Entscheids keine Personendaten über die Beschwerdeführerin bekannt zu geben, die in den Akten der Vorinstanz mit Bezug auf die Verfügung in Sachen 81.21-0014 - Abreden im Bereich Luftfracht vorhanden sind, namentlich keine Verfügung in Sachen 81.21-0014 zu veröffentlichen, die derartige Daten enthält."

Die Beschwerdeführerin führt aus, sie habe ihr Auskunftsbegehren an die WEKO gestellt. Es habe dabei keine andere Wahl bestanden, als dieses Begehren über deren Sekretariat zu stellen. Dieses bilde mit der WEKO zusammen eine integrierte Verwaltungseinheit; die Verfahrensakte befinde sich in gemeinsamer Kontrolle der WEKO und deren Sekretariats. Erstere habe zwar die Entscheidbefugnis. Letzteres bereite die Entscheide indessen vor - Gesuche an dieses würden mit der eindeutigen Absicht gestellt, dass jene darüber entscheide. Ein Entscheid des Sekretariats sei folglich der WEKO zuzurechnen, ganz gleich, ob damit die Kompetenzen des Sekretariats überschritten würden.

Die Beschwerdeführerin begründet weiter, es handle sich vorliegend um einen reinen Datenschutzfall. Sie nehme mit dem Auskunftsrecht den ersten Schritt zur Wahrung ihrer Datenschutzrechte wahr. Auf das Auskunftsbegehren hätte die Vorinstanz in Anwendung von Art. 8 Abs. 5 DSG und Art. 1 Abs. 4
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VDSG (SR 235.11) innert 30 Tagen schriftlich respektive, gestützt auf die Rechtsprechung, in Verfügungsform zu antworten. Die angefochtene Mitteilung sei denn zwar nicht als Verfügung bezeichnet, erfülle aber alle Strukturelemente einer solchen. Es liege eine individuelle, spezifische und autoritative Entscheidung in Anwendung des Datenschutzgesetzes vor, welche - zumal unmittelbarer Zugang zu den Daten erforderlich sei, um effektiv und zeitgerecht die Datenschutzansprüche zu prüfen und durchzusetzen - auch in der Form des Aufschubs eine der Verweigerung gleichartige Wirkung habe. Es bestehe nämlich trotz der grundsätzlichen Zugeständnisse der Vorinstanz keine Rechtssicherheit, dass sie Zugang zu den Teilen der Verfügung erhalten werde, welche Personendaten enthielten respektive, dass ihr genügend Zeit gewährt würde, ihre Datenschutzrechte wahrzunehmen. Im Fall, dass die Mitteilung vom 22. Oktober 2014 nicht als Verfügung zu qualifizieren sei, liege eine unrechtmässige Rechtsverweigerung resp. Rechtsverzögerung vor. Das Urteil des Bundesgerichts in der Sache 2C_165/2014 schliesslich habe für das vorliegende Verfahren keine Relevanz, es bestehe insbesondere keine auf dem Kartellrecht begründete öffentlich-rechtliche Beziehung zur Vorinstanz.

C.f Am 28. September 2016 teilte die Vorinstanz mit, sie verzichte auf eine Duplik. Bezüglich des Verfahrensantrages stellt sie sinngemäss den Antrag auf Nichteintreten infolge Gegenstandslosigkeit.

C.g Die Beschwerdeführerin liess sich am 10. Oktober 2016 unaufgefordert vernehmen. Sie nahm einerseits zur Eingabe der Vorinstanz vom 28. September 2014 Stellung. Anderseits deutete sie - ohne formell einen Antrag zu stellen - an, soweit die Beschwerdeverfahren gegen die Publikationsverfügung die Einsicht behinderten, sei korrekterweise "das Verfahren - wie von der Vorinstanz am 1. Dezember 2014 beantragt - erneut zu sistieren - unter Aufrechterhaltung des Massnahmebegehrens". Mit einer solchen verfahrensrechtlichen Anordnung "wäre die Beschwerdeführerin weiterhin einverstanden".

C.h Am 19. Oktober 2016 verfügte die Instruktionsrichterin:

"1.Die Vorinstanz wird vorsorglich angewiesen, während des hängigen Beschwerdeverfahrens Dritten keine Personendaten über die Beschwerdeführerin bekannt zu geben, die in den Akten der Vorinstanz mit Bezug auf die Verfügung in Sachen 81.21-0014 (Abreden im Bereich Luftfracht) vorhanden sind, namentlich keine Verfügung in Sachen 81.21-0014 zu veröffentlichen, die Personendaten über die Beschwerdeführerin enthält.

2.Das Verfahren wird nicht sistiert.

3.Über die Kosten für diese Verfügung wird mit der Hauptsache entschieden."

Das Bundesverwaltungsgericht zieht in Erwägung:

1.

1.1 Das Bundesverwaltungsgericht beurteilt gemäss Art. 31
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VGG (SR 173.32) Beschwerden gegen Verfügungen im Sinne von Art. 5
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VwVG (SR 172.021), sofern keine Ausnahme nach Art. 32
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VGG gegeben ist und eine Vorinstanz gemäss Art. 33
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VGG entschieden hat. Das Verfahren vor dem Bundesverwaltungsgericht richtet sich nach dem VwVG, soweit das VGG nichts anderes vorsieht (Art. 37
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VGG).

1.2 Die WEKO ist Vorinstanz i.S.v. Art. 33 Bst. f
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VGG (vgl. Art. 18 Abs. 3
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
und 39
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
KG; Entscheid BVGer B-7084/2010 vom 6. Dezember 2010 E. 1.2).

Nicht zu hören ist der Einwand der WEKO, die angefochtene Mitteilung stamme nicht von ihr, sondern vom Sekretariat der WEKO, sowie die Andeutung, dieses könnte seine Kompetenzen überschritten haben. Zwar ist das Sekretariat neben der WEKO eine eigenständige Wettbewerbsbehörde (Simon Bangerter, in: Basler Kommentar Kartellgesetz [nachstehend: BSK KG], Art. 23
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
KG N 8 und 10). In der Kompetenzabgrenzung zwischen diesen Behörden kommt die subsidiäre Generalkompetenz der WEKO zu (Art. 18 Abs. 3
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
KG; Art. 10 Abs. 1 des Geschäftsreglements der Wettbewerbskommission vom 15. Juni 2015 [SR 251.1 GR-WEKO], resp. Art. 4 Abs. 1 des 2014 in Kraft stehenden Geschäftsreglements der Wettbewerbskommission vom 30. September 1996 [AS 1996 2870]; Simon Bangerter, BSK KG N 11 zu Art. 23
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
KG; Vincent Martenet, in: Droit de la concurrence, Commentaire romand [nachstehend : CR Concurrence], 2. A., 2013, Art. 13
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
KG N 21). Aus einer Aussensicht bilden WEKO und Sekretariat eine Einheit, sodass Entscheide des Sekretariats, insbesondere auch solche, welche dessen Kompetenz überschreiten, der WEKO zuzurechnen sind (Vincent Martenet, CR Concurrence, Art. 23
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
KG N 21; Urteil des BVGer B-4363/2013 vom 2. September 2013 E. 1.2).

Vorliegend adressierte die Beschwerdeführerin ihre Auskunftsbegehren zwar an das Sekretariat. Daraus folgt jedoch nichts zu ihren Ungunsten. Zum einen ist dies die offizielle Kontaktadresse der Vorinstanz (siehe https://www.weko.admin.ch/weko/de/home/die-weko/adresse.html, besucht am 23. November 2016). Zum andern richtete die Beschwerdeführerin ihr Begehren eben nicht an das Sekretariat, sondern ausdrücklich an die WEKO (vgl. insbesondere Schreiben vom 17. Oktober 2014, al. 3 und 4: "Soweit die Weko Personendaten [...] bearbeitet [...], verlangt [...], dass die Weko [...]", "[...] akzeptiert daher, dass die Weko ihre Einsichtnahme [...] einschränkt, etwa indem die Weko [...]"). Es stand sodann ausserhalb des Einflusses der Beschwerdeführerin, dass intern im Verhältnis zwischen WEKO und Sekretariat dieses das formelle Auskunftsbegehren - in welcher Form auch immer - beantwortete. Dies kann der Beschwerdeführerin denn auch nicht entgegengehalten werden, sie kann sich auf die Einheit von WEKO und Sekretariat berufen.

1.3 Eine Ausnahme nach Art. 32
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VGG liegt nicht vor (vgl. Art. 33 Abs. 1
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG). Die Erfordernisse an Form und Frist (Art. 50 Abs. 1
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
i.V.m. Art. 20 Abs. 3
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
und Art. 52 Abs. 1
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VwVG) sind eingehalten.

1.4 Vom Ausnahmefall der Rechtsverweigerungs- und Rechtsverzögerungsbeschwerde (Art. 46a
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VwVG) abgesehen, werden im Verfahren vor Bundesverwaltungsgericht nur Rechtsverhältnisse überprüft, zu denen die zuständige Verwaltungsbehörde vorgängig verbindlich in Form einer Verfügung Stellung genommen hat. Das Vorliegen einer Verfügung als Anfechtungsobjekt ist Sachurteilsvoraussetzung (Moser/Beusch/Kneubühler, Prozessieren vor dem Bundesverwaltungsgericht, Handbücher für die Anwaltspraxis, 2. Aufl. 2013, N 2.1 und 2.6; Uhlmann, in: Waldmann/
Weissenberger (Hrsg.), Praxiskommentar Verwaltungsverfahrensgesetz [nachstehend: Praxiskommentar VwVG], 2. Aufl. 2016, Art. 5
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VwVG N 5; Art. 31
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VGG; Art. 46
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VwVG).

Vorliegend ist umstritten, ob es sich bei der Mitteilung vom 22. Oktober 2014 um eine Verfügung handle, also, ob ein Anfechtungsobjekt vorliege.

1.4.1 Art. 5 Abs. 1
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VwVG definiert die Verfügung als Anordnung der Behörden im Einzelfall, die sich auf öffentliches Recht des Bundes stützt und (Bst. a.) die Begründung, Änderung oder Aufhebung von Rechten oder Pflichten, (Bst. b) die Feststellung des Bestehens, Nichtbestehens oder des Umfanges von Rechten oder Pflichten oder (Bst. c) die Abweisung von Begehren auf Begründung, Änderung, Aufhebung oder Feststellung von Rechten oder Pflichten, oder Nichteintreten auf solche Begehren zum Gegenstand hat.

Lehre und Rechtsprechung umschreiben die Verfügung als individuellen, an den Einzelnen gerichteten Hoheitsakt, durch den eine konkrete verwaltungsrechtliche Rechtsbeziehung rechtsgestaltend oder feststellend in verbindlicher und erzwingbarer Weise geregelt wird (so Häfelin/Müller/
Uhlmann, Allgemeines Verwaltungsrecht, 7. Aufl. 2016, N 849 und 851 m.w.H.; vgl. auch Moser/Beusch/Kneubühler, a.a.O., N 2.3; statt Vieler: BGE 139 V 143 E. 1.2, 139 V 72 E. 2.2.1, 135 II 38 E. 4.3, je m.w.H.). Als konkrete Prüfkriterien gelten folglich folgende fünf Elemente: (1.) hoheitliche, einseitige Anordnung einer Behörde, (2.) individuell-konkrete Anordnung, (3.) Anwendung von (Bundes-)Verwaltungsrecht, (4.) auf Rechtswirkung ausgerichtete Anordnung und (5.) Verbindlichkeit und Erzwingbarkeit (Häfelin/Müller/Uhlmann, a.a.O. N 855 ff.; Uhlmann, a.a.O., N 19).

Massgeblich ist ein materieller, nicht ein formeller Verfügungsbegriff. Es bestehen zwar Erwartungen an die Form einer Verfügung (Art. 35
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VwVG), doch sind diese nicht Voraussetzung des Verfügungsbegriffes, sondern dessen Folge. Ist eine behördliche Mitteilung materiell als Verfügung zu qualifizieren, so sind Formmängel - soweit nicht geradezu von einer nichtigen Verfügung auszugehen ist - nach Art. 38
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VwVG zu würdigen, ändern aber am Verfügungscharakter nichts (Häfelin/Müller/Uhlmann, a.a.O. N 871 f.; Uhlmann, a.a.O., N 131-133).

1.4.2 Die Mitteilung vom 22. Oktober 2014 erfolgte durch die WEKO (resp. deren Sekretariat) als verantwortliches Organ i.S.v. Art. 16 Abs. 1
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG (siehe auch E. 3) gegenüber einer antragsstellenden Privatperson und spricht sich über das von ihr unabhängig vom Einverständnis der Privatperson beabsichtigte Vorgehen bezüglich dieses Antrages aus - sie erfolgte folglich einseitig und hoheitlich (dazu im Detail Häfelin/Müller/
Uhlmann, a.a.O. N 855-859; Uhlmann, a.a.O., N 21-44). Die Mitteilung betrifft einen individuellen Adressaten (die Beschwerdeführerin) sowie einen konkreten Einzelfall (die Frage der Bearbeitung von Personendaten der Beschwerdeführerin durch die Vorinstanz resp. das Einsichtsrecht in die bearbeiteten Daten), sie ist individuell-konkret (vgl. Häfelin/Müller/
Uhlmann, a.a.O. N 860-863; Uhlmann, a.a.O., N 45-72). Die Mitteilung beantwortet einen auf Bundesverwaltungsrecht (Art. 8 DSG) gestützten Antrag und spricht sich darüber aus, Bundesverwaltungsrecht anwenden zu wollen (zum Kriterium der Anwendung von Bundesverwaltungsrecht vgl. Häfelin/Müller/Uhlmann, a.a.O. N 864 f.; Uhlmann, a.a.O., N 73-93). Die ersten drei vorstehend (E. 1.4.1) genannten Kriterien sind somit klarerweise erfüllt. Keine selbständige Bedeutung hat neben dem in der folgenden Ziffer zu klärenden Kriterium der Rechtswirkung jenes der Verbindlichkeit und Erzwingbarkeit; dies umso mehr, als die vorliegende Mitteilung ihres Inhalts nach nicht zwangsweise vollstreckbar ist (Uhlmann, a.a.O., Art. 5
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VwVG, N 128-130).

1.4.3 Die Vorinstanz bestreitet, dass die Mitteilung auf die Erzielung einer Rechtswirkung ausgerichtet sei.

Das Handeln der Behörde erzeugt Rechtswirkung, wenn es einen der in Art. 5 Abs. 1 Bst. a
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
bis c VwVG (siehe vorstehend, E. 1.4.1 al. 1) aufgeführten Inhalte zum Gegenstand hat und so bewusst ein Rechtsverhältnis regelt resp. die Rechtsstellung des Betroffenen gestaltet (Uhlmann, a.a.O., Art. 5
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VwVG, N 94, 98). Um dies zu beurteilen, sind Gesuch und Antwort kurz in das fragliche Rechtsgebiet einzuordnen.

1.4.3.1 Das Datenschutzgesetz bezweckt den Schutz der Persönlichkeit und der Grundrechte von Personen, über die Daten bearbeitet werden ("betroffene Personen", Art. 3 Bst. b
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG; Art. 1
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG). Sein Geltungsbereich erstreckt sich auf die Bearbeitung von Daten durch Private und durch Bundesorgane (Art. 2 Abs. 1
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG). Es trifft neben allgemeinen Datenschutzbestimmungen, welche für beide Arten von Datenbearbeitenden gelten (Art. 3
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
-11a
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG), auch spezifische Regelungen für die Datenbearbeitung durch Private einerseits (Art. 12
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
-15
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG), durch Bundesorgane anderseits (Art. 16-25bisDSG). Es stehen den betroffenen Personen Rechte zu, welche für beide Kategorien von Bearbeitenden gelten, aber auch differenzierte, je nach Art des Bearbeitenden. Zur ersten Gruppe gehört insbesondere das Auskunftsrecht gemäss Art. 8 DSG (samt seiner Einschränkungen gem. Art. 9
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG). Im besonderen Fall der Datenbearbeitung durch Bundesorgane kommt dem Auskunftsrecht insbesondere die Funktion zu, die betroffene Person in die Lage zu versetzen, die weitergehenden Rechte gemäss Art. 25
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG überhaupt wahrnehmen zu können (so Waldmann/
Bickelin: Belser/Epiney/Waldmann, Datenschutzrecht. Grundlagen und öffentliches Recht, 2011, § 12 N 139; allgemeiner Michael Widmer, in: Passadelis/Rosenthal/ Thür (Hrsg.), Datenschutzrecht, Handbücher für die Anwaltspraxis, N 5.2).

Die Modalitäten des Auskunftsrechts gestalten sich bei Privatpersonen wie auch Bundesorganen im Grundsatz analog (Art. 1 f
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
. i.V.m. Art. 13
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 13 Modalitäten der Informationspflicht - Der Verantwortliche muss der betroffenen Person die Information über die Beschaffung von Personendaten in präziser, transparenter, verständlicher und leicht zugänglicher Form mitteilen.
VDSG). Die betroffene Person hat ein schriftliches Gesuch an den Datenbearbeiter zu stellen, in welchem in der Regel kein schutzwürdiges Interesse ausgewiesen werden muss (zu den Ausnahmen vgl. Epiney/Fasnacht, in:
Belser/Epiney/Waldmann, a.a.O., § 11 N 33; Widmer, a.a.O. N 5.7). Der Inhaber der Datensammlung hat die beantragte Einsicht im Umfang von Art. 8 Abs. 1
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 13 Modalitäten der Informationspflicht - Der Verantwortliche muss der betroffenen Person die Information über die Beschaffung von Personendaten in präziser, transparenter, verständlicher und leicht zugänglicher Form mitteilen.
und 2
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 13 Modalitäten der Informationspflicht - Der Verantwortliche muss der betroffenen Person die Information über die Beschaffung von Personendaten in präziser, transparenter, verständlicher und leicht zugänglicher Form mitteilen.
DSG grundsätzlich zu erteilen. Er kann unter den Voraussetzungen von Art. 9 Abs. 1 (und im Falle von Bundesorganen auch Abs. 2) DSG die Auskunft "verweigern, einschränken oder aufschieben" (alle drei Arten verstehen sich als "Einschränkung" im Sinne eines Oberbegriffs, Graminga/Maurer-Lambrou, in: Basler Kommentar Datenschutzgesetz/ Öffentlichkeitsgesetz [nachstehend: BSK DSG/BGÖ], 3.A. 2014, Art. 9
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG N 10). Die Einschränkung ist zu begründen (Art. 9 Abs. 5
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 13 Modalitäten der Informationspflicht - Der Verantwortliche muss der betroffenen Person die Information über die Beschaffung von Personendaten in präziser, transparenter, verständlicher und leicht zugänglicher Form mitteilen.
DSG). Die Auskunft oder der begründete Entscheid über die Einschränkung hat innert 30 Tagen zu erfolgen; kann die Auskunft nicht innert 30 Tagen erteilt werden (also im Fall des Aufschubs, vgl. Graminga/Maurer-Lambrou, a.a.O., Art. 8 DSG N 47), ist der Gesuchsteller zu benachrichtigen und es ist ihm mitzuteilen, innert welcher Frist die Auskunft erteilt wird (Art. 1 Abs. 4
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VDSG). Der Entscheid eines Bundesorganes über die Verweigerung, Einschränkung oder den Aufschub der Auskunft erfolgt in Verfügungsform und ist anfechtbar (Waldmann/Bickel, a.a.O., § 12 N 149 und 188; Widmer, a.a.O, N 5.43; Graminga/Maurer-Lambrou, a.a.O., Art. 8 DSG N 63).

1.4.3.2 Die Beschwerdeführerin stellte am 17. Oktober 2014 ein unmissverständliches Auskunftsgesuch im Sinne von Art. 8 DSG. In ihrer Antwort vom 22. Oktober 2014 teilte die Vorinstanz mit, es sei "zurzeit" nicht möglich, die Auskunft zu erteilen ("Ihnen die genannte Verfügung in irgendeiner Form zugänglich zu machen"). Sinngemäss ist dem Schreiben zu entnehmen, dass die Auskunftserteilung (oder aber ein Entscheid über allfällige inhaltliche Einschränkungen) vom rechtskräftigen Ausgang der Beschwerdeverfahren gegen die Publikationsverfügung abhängig sei. Damit teilte die Vorinstanz - und zwar unter ausdrücklicher Berufung auf Art. 9 Abs. 1 und 2 DSG - nichts anderes als einen Aufschub der Auskunftserteilung mit. Dabei handelt es sich um eine gesetzlich vorgesehene Form der Einschränkung, d.h. das Rechtsverhältnis wird in einer der gesetzlich vorgesehenen Formen geregelt. In diesem Sinne wird eine Rechtswirkung erzielt.

Aus der geschilderten gesetzlichen Ordnung ergibt sich zudem, dass auch die in Form eines Aufschubes erklärte Einschränkung innert einer (hier klar eingehaltenen) Frist von 30 Tagen begründet mitzuteilen, d.h. zu entscheiden, ist. Einen formlosen Aufschub (etwa in Form eines "Verwaltungsschreibens") lässt die in diesem Punkt lückenlose Regelung nicht zu.

1.4.4 Die Mitteilung der Vorinstanz erfüllt zusammengefasst alle Strukturmerkmale einer Verfügung. Es liegt somit ein taugliches Anfechtungsobjekt vor.

1.5 Auf die Beschwerde ist folglich einzutreten.

2.
Die Anrufung des Auskunftsrechts gemäss Art. 8 DSG bedingt die Anwendbarkeit des DSG (Gramigna/Maurer-Lambrou, Art. 8 N 21 DSG). Vorausgesetzt ist hierfür - soweit hier von Interesse - das Bearbeiten von Daten natürlicher und juristischer Personen durch Bundesorgane (Art. 2 Abs. 1
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG), sofern keine Ausnahme gemäss Art. 2 Abs. 2
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG vorliegt.

2.1 Als Bundesorgan verstehen sich Behörden und Dienststellen des Bundes sowie Personen, soweit sie mit öffentlichen Aufgaben des Bundes betraut sind (Art. 3 Bst. h
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG). Das trifft auf die WEKO als mit dem Vollzug des Kartellgesetzes betraute Behördenkommission ohne Weiteres zu (vgl. Waldmann/Bickel, a.a.O., § 12 N 13 f. mit Fn. 25). Ebenso liegt auf der Hand, dass die WEKO resp. deren Sekretariat im Rahmen ihrer Untersuchungstätigkeit Angaben zu Unternehmen - und damit Personen - erhebt, erfasst und bearbeitet, also Personendaten bearbeitet (Art. 3 Bst. a
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
und e DSG; Waldmann/Bickel, a.a.O., § 12 N 18; Blechta, BSK DSG/BGÖ, Art. 3 N 3 ff. und 71 ff. zu Art. 3
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG).

2.2 Die Vorinstanz beruft sich - wenn auch in anderem Zusammenhang - auf die rechtshängigen Beschwerden gegen die Publikationsverfügung. Folglich ist zu klären, ob der Ausnahmetatbestand von Art. 2 Abs. 2 Bst. d
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG greift, gemäss welchem das DSG unter anderem keine Anwendung findet auf hängige verwaltungsrechtliche Verfahren (mit Ausnahme erstinstanzlicher Verwaltungsverfahren).

Hintergrund dieser Ausnahmebestimmung ist, dass der Persönlichkeitsschutz durch die Spezialbestimmungen der entsprechenden Verfahren hinreichend gesichert und geregelt ist; es sollen sich nicht zwei Gesetze mit zum Teil gleicher Zielrichtung überlagern (BGE 138 III 425 E. 4.3). Voraussetzung für das Greifen der Ausnahmebestimmung ist, dass der Schutz des Verfahrensgesetzes gleichwertig demjenigen des DSG sei (Maurer-Lambour/ Kunz, BSK DSG/BGÖ, N 27 zu Art. 2
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG; a.M. Waldmann/
Bickel, a.a.O., § 12 N 29, jedoch mit der Konzession, dass der datenschutzrechtliche Persönlichkeitsschutz [nur] dann hintansteht, wenn die verfahrensrechtlichen Mitwirkungs- und Informationsrechte greifen [a.a.O. § 12 N 31]). Das Auskunftsrecht gemäss Art. 8 DSG und die Akteneinsichtsrechte des VwVG sind voneinander unabhängige Ansprüche, die hinsichtlich Voraussetzungen und Umfang nicht deckungsgleich sind, also je ihren eigenen Anwendungsbereich haben, so dass sie innerhalb ihres jeweiligen Geltungsbereichs unabhängig voneinander geltend gemacht werden können (Waldmann/Oeschger, in: Waldmann/Weissenberger, Praxiskommentar VwVG, Art. 26
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VwVG N 24 f.; Graminga/Maurer-Lambrou, a.a.O., Art. 8 DSG N 2; vgl. BGE 123 II 534 E. 2.e). Wesentliche Unterschiede der beiden Institute sind die Anspruchsträgerschaft und der Umfang der Einsicht: Auf das Akteneinsichtsrecht kann sich berufen, wer einen durchsetzbaren Anspruch auf Verfahrensteilnahme als Partei hat und es erstreckt sich auf sämtliche verfahrensbezogenen Akten in der Sache der betreffenden Partei (Waldmann/Oeschger, a.a.O. Art. 26
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VwVG N 48, 58, 60); das Auskunftsrecht gemäss Art. 8 DSG demgegenüber steht grundsätzlich jeder Person zu, soweit es um die Frage geht, ob Daten bearbeitet werden (Art. 8 Abs. 1
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 13 Modalitäten der Informationspflicht - Der Verantwortliche muss der betroffenen Person die Information über die Beschaffung von Personendaten in präziser, transparenter, verständlicher und leicht zugänglicher Form mitteilen.
DSG), resp. jeder betroffenen Person (d.h. jeder Person, über die Daten bearbeitet werden, Art. 3 Bst. b
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG) bezüglich einer Auskunft über die konkret bearbeiteten Daten (Art. 8 Abs. 2
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 13 Modalitäten der Informationspflicht - Der Verantwortliche muss der betroffenen Person die Information über die Beschaffung von Personendaten in präziser, transparenter, verständlicher und leicht zugänglicher Form mitteilen.
DSG), es erstreckt sich aber ausschliesslich auf die eigenen Personendaten (Widmer, a.a.O., N 5.8 f.; Waldmann/Bickel, a.a.O. § 12 N 139).

Die Ausnahmebestimmung des Art. 2 Abs. 2 Bst. c
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG erfordert von ihrem Zweck her die Hängigkeit eines Verfahrens "in dem Sinne, dass die Geltung der einschlägigen Verfahrensvorschriften ausgelöst wird" (BGE 138 III 425 E. 4.3; Gerschwiler, in: Passadelis/Rosenthal/ Thür (Hrsg.), Datenschutzrecht, Handbücher für die Anwaltspraxis, N 3.37). Angesichts der nicht deckungsgleichen Geltungsbereiche muss dies nicht nur - wie im zitierten Bundesgerichtsentscheid - in zeitlicher Hinsicht gelten, sondern auch in persönlicher: Zumal nicht verfahrensbeteiligte Dritte die entsprechenden Verfahrensrechte gerade nicht anrufen können, muss ihnen die Berufung auf das datenschutzrechtliche Auskunftsrecht auch bezüglich ihrer Personendaten möglich sein, welche im Zusammenhang mit einem Verfahren bearbeitet werden, das seinerseits bei Bundesverwaltungsgericht hängig ist.

2.3 Zusammengefasst bearbeitet die Vorinstanz als Bundesorgan Personendaten im Sinne von Art. 2 Abs. 1
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG, ohne dass eine Ausnahme gemäss Art. 2 Abs. 2
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG vorläge. Das DSG ist folglich anwendbar.

3.
Das Auskunftsrecht bezieht sich auf Daten, die in einer Datensammlung enthalten sind. Unter diesem Begriff versteht sich jeder Bestand von Personendaten, der so aufgebaut ist, dass die Daten nach betroffenen Personen erschliessbar sind (Art. 3 Bst. g
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG); der Begriff der Datensammlung ist zwar enger als der der Datenbearbeitung (Widmer, a.a.O., N 5.5;
Graminga/Maurer-Lambrou, a.a.O., Art. 8 DSG N 25), durch seine Offenheit und den technologischen Fortschritt indessen gleichwohl konturlos geworden (Gerschwiler, a.a.O., N 3.56; Blechta, a.a.O. Art. 3
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG N 80 f.). Im Falle der Vorinstanz kann davon ausgegangen werden, ihre Geschäftsdatenbank erfülle diesen Begriff - sie ist entsprechend gemäss Art. 11a Abs. 2
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG ins Register der Datensammlungen eingetragen (Registernummer 201300053; nachgeschlagen auf www.datareg.admin.ch am 11. Oktober 2016). Aus dem Eintrag geht im Übrigen hervor, dass die WEKO - und nicht etwa deren Sekretariat - als Inhaberin fungiert, mag auch der Zweck mit der "Registrierung, Verwaltung, Indexierung und Kontrolle von Schriftverkehr und Geschäften des Sekretariats der Wettbewerbskommission WEKO" umschrieben sein.

4.
Die Beschwerdeführerin kann - zumal die Modalitäten zur Geltendmachung des Auskunftsrechts (vgl. vorne E. 1.4.3.1) eingehalten sind - somit bei der Vorinstanz ein Gesuch um Auskunft stellen und hat, vorbehältlich gültiger Einschränkung, Anspruch auf die Auskunft, ob Daten über sie bearbeitet werden und, bejahendenfalls, auf Mitteilung aller über sie in der Datensammlung vorhandenen Personendaten, einschliesslich der verfügbaren Angaben über deren Herkunft, des Zweckes und der Rechtsgrundlagen der Bearbeitung, sowie der Kategorien der bearbeiteten Personendaten, der an der Sammlung Beteiligten und der Datenempfänger (Art. 8 Abs. 1
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 13 Modalitäten der Informationspflicht - Der Verantwortliche muss der betroffenen Person die Information über die Beschaffung von Personendaten in präziser, transparenter, verständlicher und leicht zugänglicher Form mitteilen.
und 2
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 13 Modalitäten der Informationspflicht - Der Verantwortliche muss der betroffenen Person die Information über die Beschaffung von Personendaten in präziser, transparenter, verständlicher und leicht zugänglicher Form mitteilen.
DSG).

5.
Zu prüfen bleibt, ob die Vorinstanz die Auskunft zu Recht einschränkte.

5.1 Nach Art. 9 Abs. 1 DSG kann der Inhaber der Datensammlung die Auskunft verweigern, einschränken oder aufschieben (auch im Sinne eines Oberbegriffes als "Einschränkung" zusammengefasst, Gramigna/
Maurer-Lambrou, a.a.O., Art. 9
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG N 10), soweit ein Gesetz im formellen Sinn dies vorsieht (vgl. Bst. a) oder es wegen überwiegender Interessen Dritter erforderlich ist (vgl. Bst. b); ein Bundesorgan als Inhaber der Datensammlung kann die Auskunft einschränken, soweit es wegen überwiegender öffentlicher Interessen, insbesondere der inneren oder äusseren Sicherheit der Eidgenossenschaft, erforderlich ist (vgl. Bst. a) oder die Auskunft den Zweck einer Strafuntersuchung oder eines anderen Untersuchungsverfahrens in Frage stellt (vgl. Bst. b). Der Inhaber der Datensammlung muss den Grund der Einschränkung angeben, er ist auch beweispflichtig (Art. 9 Abs. 5
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 13 Modalitäten der Informationspflicht - Der Verantwortliche muss der betroffenen Person die Information über die Beschaffung von Personendaten in präziser, transparenter, verständlicher und leicht zugänglicher Form mitteilen.
DSG; Gramigna/Maurer-Lambrou, a.a.O., Art. 9
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG N 11, 13; Widmer, a.a.O., N 5.43 f.).

Die Einschränkung des Auskunftsrechts erfordert eine Abwägung der Interessen im konkreten Einzelfall. Die gebotene Interessenabwägung kann dazu führen, dass der um Auskunft Ersuchende seine Interessen darlegen muss, obschon das Auskunftsrecht nach Art. 8 DSG grundsätzlich, (vorbehältlich des Rechtsmissbrauchs) ohne Nachweis eines Interesses geltend gemacht werden kann (vgl. BGE 138 III 425 E. 5.4; Gramigna/Maurer-Lambrou, a.a.O. Art. 8 DSG N 39, 42 Art. 9
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG N 9). In Betracht fällt der Anspruch der betroffenen Person einerseits, die entgegengesetzten Interessen des Inhabers der Datensammlung anderseits; zu berücksichtigen ist auch die unterstützende und ergänzende Funktion des Auskunftsrechts in Bezug auf die Persönlichkeits- und Grundrechte. Je schützenswerter die Personendaten sind und je grösser das Interesse des Auskunftsberechtigten an der Auskunft ist, um so überwiegender müssen die Interessen an der Einschränkung zu Tage treten. Die Auskunft darf nur soweit beschränkt werden, als dies unerlässlich ist, d.h. es ist die am wenigsten einschränkende Lösung zu wählen. Die Einschränkungsgründe gemäss Art. 9
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG sind abschliessend und restriktiv auszulegen (Gramigna/ Maurer-Lambrou, a.a.O. Art. 9
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG N 8 f. und 14 f.; Widmer, a.a.O. N 5.41 f., Epiney/Fasnacht, a.a.O., § 11 N 47).

5.2 Die Beschwerdeführerin beruft sich in der Schilderung ihrer Interessen auf den Zweck des Auskunftsrechts als Institut zur Durchsetzung des Persönlichkeitsschutzes, das den betroffenen Personen die Kontrolle der Rechtmässigkeit der Datenbearbeitung und die Durchsetzung ihrer Ansprüche ermöglichen solle. Sie müsse davon ausgehen, in der Sanktionsverfügung erwähnt zu sein. Das Auskunftsrecht ermögliche ihr zu kontrollieren, ob die Grundsätze der Datenverarbeitung gemäss Art. 4
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG eingehalten seien, insbesondere ob sie über die Bearbeitung nicht hätte informiert werden sollen. Weiter müsse ihr möglich sein, abzuklären, ob sie in der Verfügung in reputationsschädigender Weise im Umfeld kartellrechtswidrigen Verhaltens dargestellt sei, um gegebenenfalls eine Weitergabe unterbinden zu können. Schliesslich habe sie ein besonderes Interesse an der Auskunftserteilung über Zweck und Rechtsgrundlage der Bearbeitung ihrer Personendaten; sie sei überzeugt, es bestehe keine Notwendigkeit, sie in der Sanktionsverfügung zu erwähnen (Beschwerde, Ziff. 29-42).

Die Vorinstanz hatte sich in der angefochtenen Verfügung darauf berufen, die Frage der Publikation der Sanktionsverfügung sei noch nicht rechtskräftig entschieden, wobei die Publikation an sich wie auch deren Umfang bestritten sei. Art. 9 Abs. 1
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
und 2
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
in Verbindung mit Art. 25 Abs. 1 KG verböten, die Verfügung zugänglich zu machen. In ihrer Vernehmlassung vom 17. August 2016 (Ziff. 15 ff.) stellt die Vorinstanz klar, dass sie ihren Entscheid nicht als Verweigerung, sondern als Aufschub verstanden wissen wolle. Offensichtlich gehe es der Beschwerdeführerin vorab um Einsicht in die Sanktionsverfügung (und nicht der Akten an sich). Indessen sei deren Publikation - und damit auch die Frage der Einsichtnahme Dritter - angefochten und noch nicht rechtskräftig entschieden. Der Aufschub erfolge in Nachachtung der aufschiebenden Wirkung.

5.3 Die von der Beschwerdeführerin geltend gemachten Interessen erscheinen als gewichtig. Die Beschwerdeführerin hat ein berechtigtes Interesse daran, kontrollieren zu können, ob ihre Personendaten bearbeitet wurden und, wenn ja, ob dies den Grundsätzen des Art. 4
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG genügte. Ebenso muss sie sich Rechenschaft darüber ablegen können, gegebenenfalls weitere Rechtsbehelfe, insbesondere jene des Art. 25
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG zu ergreifen. All das setzt die Wahrnehmung des Auskunftsrechts gemäss Art. 8 DSG voraus; dabei handelt es sich um eine typische und legitime Zielrichtung, mit der dieses Auskunftsrecht wahrgenommen wird. Daran ändert nichts, dass das konkrete Auskunftsinteresse der Beschwerdeführerin wohl primär auf die Sanktionsverfügung (und nicht die Verfahrensakten) geht.

Die Vorinstanz macht als überwiegendes Interesse den Schutz des Instituts der aufschiebenden Wirkung geltend. Den in der angefochtenen Verfügung enthaltenen Verweis auf Art. 25 Abs. 1 KG scheint sie nicht (mehr) so verstanden wissen zu wollen, dass sie sich im Sinn von Art. 9 Abs. 1 lit. a
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG auf das Amtsgeheimnis beruft. Dies zu recht: Soweit die betroffene Person einzig und allein Auskunft über die eigenen Personendaten verlangt, entbindet sie den Datenbearbeiter damit auch vom Amtsgeheimnis, soweit dieses ihren Schutz bezweckt (vgl. Gramigna/Maurer-Lambrou, a.a.O., Art. 9
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG N 18 f.; Rosenthal, in Rosenthal/Jöri: Handkommentar zum Datenschutzgesetz, Art. 9
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG N 8). Auch kann - nachdem die Untersuchung abgeschlossen ist - ein das Verfahren schützender Zweck der Anrufung des Amtsgeheimnisses (vgl. Art. 9 Abs. 2 Bst. b
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG) ausgeschlossen werden.

Die aufschiebende Wirkung eines Rechtsmittels bewirkt, dass die in der angefochtenen Verfügung angeordnete Rechtsfolge vorläufig nicht eintritt. Es bleibt der rechtliche und tatsächliche Zustand vor deren Erlass bestehen, die angefochtene Verfügung ist in ihrer Wirksamkeit und Vollstreckung gehemmt (Seiler, in: Waldmann/Weissenberger (Hrsg.), Praxiskommentar VwVG, 2. Aufl. 2016, Art. 55
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VwVG, N 8 ff.; Kiener/Rütsche/Kuhn, Öffentliches Verfahrensrecht, 2. Aufl. 2015, N 1319 ff.). Die Publikationsverfügung hat zum Gegenstand, dass die WEKO die Sanktionsverfügung publizieren darf, insbesondere in der von ihr vorgesehenen Publikationsversion. Als "Publizieren" versteht sich im gegebenen Kontext die Veröffentlichung auf der Website der WEKO (https://www.weko.admin.ch/), wie sie regelmässig unter der Rubrik "Aktuelles"/ "Letzte Entscheide" erfolgt, und in der von der WEKO herausgegebenen Reihe "Recht und Politik des Wettbewerbs (RPW)", die ebenso voraussetzungslos für jedermann auf der Website der WEKO (in der Rubrik "Dokumentation") zugänglich ist. Mit der aufschiebenden Wirkung ist die Frage einer solchen Publikation in der Schwebe. Eine Bekanntgabe der Verfügung an Dritte mit höherer Zugangshürde ist nicht Gegenstand der Publikationsverfügung (und der anschliessenden Beschwerdeverfahren), ebensowenig eine Sperre der Auskunft Dritter über ihre eigenen Personendaten. Über diese Fragen wird denn auch in den Beschwerdeverfahren nicht entschieden werden. Aus der aufschiebenden Wirkung in den Verfahren betreffend die Publikationsverfügung folgt damit nichts für die Frage der Auskunft gemäss Art. 8 DSG.

Als berechtigtes Interesse, das gegen eine Auskunft sprechen könnte, fallen vorliegend einzig Geheimhaltungsinteressen der von der Untersuchung betroffenen Unternehmungen in Betracht. Die Frage, wie diesen gerecht werden kann, stellt sich nach Rechtskraft der Entscheide über die Publikationsverfügung gleichermassen wie bereits jetzt. Um diesen Interessen gerecht zu werden, ist ein Aufschub der Auskunft somit kein geeignetes Mittel. Es ist das das Auskunftsrecht am wenigsten einschränkende Vorgehen zu wählen. Die Frage, wie den Interessen weiterer Beteiligter begegnet werden kann - ob mit einer inhaltlichen Einschränkung, oder mit der Gestaltung der Auskunft (insb. auch bezüglich der Angaben gemäss Art. 8 Abs. 2 lit. b
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
DSG) und auch, ob diese im Verfahren sich vernehmen lassen müssen -, ist damit unmittelbar, ohne weiteren Aufschub, zu klären.

5.4 Die Einschränkung der Auskunft in der gewählten Form des Aufschubes ist folglich aufzuheben.

6.
Im Regelfall soll das Bundesverwaltungsgericht in der Sache selbst entscheiden und nur ausnahmsweise die Angelegenheit (mit verbindlichen Weisungen) an die Vorinstanz zurückweisen (Art. 61 Abs. 1
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VwVG).

Vorliegend ist der angefochtene Aufschub aufzuheben. Gründe für eine gänzliche Verweigerung des Auskunftsrechts sind nicht erkennbar und werden von der Vorinstanz auch nicht angerufen (im Gegenteil anerkennt sie das Auskunftsrecht im Grundsatz [Vernehmlassung Vorinstanz, Ziff. 15]). Indessen kann mit Blick auf Drittinteressen nicht ausgeschlossen werden, dass im Zuge der konkreten Auskunftserteilung Einschränkungen anzuordnen sind. Es ist sachgemäss, den Entscheid hierüber (wie auch über die Modalitäten der Auskunftserteilung insgesamt) der Vorinstanz zu übertragen, welche mit den Verhältnissen besser vertraut ist; auch ist der Beschwerdeführerin die Möglichkeit offenzuhalten, einen solchen Entscheid wiederum vor einem Gericht mit voller Kognition anzufechten (vgl. Weissenberger/Hirzel, in: Waldmann/Weissenberger (Hrsg.), Praxiskommentar VwVG, 2. Aufl. 2016, Art. 61
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VwVG N 17; Kiener/
Rütsche/Kuhn, a.a.O., N 1647, 1650).

Die Angelegenheit ist nach alledem an die Vorinstanz zurückzuweisen; sie hat ohne Aufschub über eine Form der Auskunftserteilung zu entscheiden, welche den Interessen der am Verfahren Beteiligten gerecht wird und gleichzeitig das Auskunftsrecht der Beschwerdeführerin am wenigsten einschränkt.

7.

7.1 Das Bundesverwaltungsgericht auferlegt die Verfahrenskosten in der Regel der unterliegenden Partei (Art. 63 Abs. 1
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VwVG). In der Verwaltungsrechtspflege des Bundes gilt die Rückweisung der Sache an die
Vorinstanz zu weiteren Abklärungen und neuem Entscheid (mit noch offenem Ausgang) praxisgemäss als volles Obsiegen der Beschwerde führenden Partei (Urteil des Bundesverwaltungsgerichts A-3763/2011 vom 3. Juli 2012 E. 14.1, m.w.H.). Vorinstanzen werden keine Verfahrenskosten auferlegt (Art. 63 Abs. 2
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VwVG).

Die Beschwerdeführerin obsiegt im vorstehend geschilderten Sinne, der unterliegenden Vorinstanz sind keine Verfahrenskosten aufzuerlegen. Es sind folglich keine Verfahrenskosten zu sprechen. Der von der Beschwerdeführerin geleistete Kostenvorschuss von Fr. 1'500.00 ist ihr zurückzuerstatten.

7.2 Obsiegende Parteien haben Anspruch auf eine Parteientschädigung für die ihnen erwachsenen notwendigen Kosten (Art. 64 Abs. 1
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 1 Grundsätze - 1 Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
1    Zur Gewährleistung einer angemessenen Datensicherheit müssen der Verantwortliche und der Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten technischen und organisatorischen Massnahmen festlegen.
2    Der Schutzbedarf der Personendaten wird nach den folgenden Kriterien beurteilt:
a  Art der bearbeiteten Daten;
b  Zweck, Art, Umfang und Umstände der Bearbeitung.
3    Das Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person wird nach den folgenden Kriterien beurteilt:
a  Ursachen des Risikos;
b  hauptsächliche Gefahren;
c  ergriffene oder vorgesehene Massnahmen, um das Risiko zu verringern;
d  Wahrscheinlichkeit und Schwere einer Verletzung der Datensicherheit trotz der ergriffenen oder vorgesehenen Massnahmen.
4    Bei der Festlegung der technischen und organisatorischen Massnahmen werden zudem die folgenden Kriterien berücksichtigt:
a  Stand der Technik;
b  Implementierungskosten.
5    Der Schutzbedarf der Personendaten, das Risiko und die technischen und organisatorischen Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen. Die Massnahmen sind nötigenfalls anzupassen.
VwVG; Art. 7 Abs. 1
SR 173.320.2 Reglement vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht (VGKE)
VGKE Art. 7 Grundsatz
1    Obsiegende Parteien haben Anspruch auf eine Parteientschädigung für die ihnen erwachsenen notwendigen Kosten.
2    Obsiegt die Partei nur teilweise, so ist die Parteientschädigung entsprechend zu kürzen.
3    Keinen Anspruch auf Parteientschädigung haben Bundesbehörden und, in der Regel, andere Behörden, die als Parteien auftreten.
4    Sind die Kosten verhältnismässig gering, so kann von einer Parteientschädigung abgesehen werden.
5    Artikel 6a ist sinngemäss anwendbar.7
des Reglements vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht [VGKE, SR 173.320.2]). Die Parteientschädigung umfasst die Kosten der Vertretung sowie allfällige weitere notwendige Auslagen der Partei (Art. 8
SR 173.320.2 Reglement vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht (VGKE)
VGKE Art. 8 Parteientschädigung
1    Die Parteientschädigung umfasst die Kosten der Vertretung sowie allfällige weitere Auslagen der Partei.
2    Unnötiger Aufwand wird nicht entschädigt.
VGKE). Soweit eine Parteientschädigung nicht einer unterliegenden Gegenpartei auferlegt werden kann, wird sie der Körperschaft oder autonomen Anstalt auferlegt, in deren Namen die Vorinstanz verfügt hat (Art. 64 Abs. 2
SR 173.320.2 Reglement vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht (VGKE)
VGKE Art. 8 Parteientschädigung
1    Die Parteientschädigung umfasst die Kosten der Vertretung sowie allfällige weitere Auslagen der Partei.
2    Unnötiger Aufwand wird nicht entschädigt.
VwVG).

Die Beschwerdeführerin ist anwaltlich vertreten, ihr ist daher eine Parteientschädigung für die ihr entstandenen notwendigen Kosten zuzusprechen. Da der Rechtsvertreter keine Kostennote eingereicht hat, ist die Parteientschädigung aufgrund der Akten festzusetzen (Art. 14 Abs. 2
SR 173.320.2 Reglement vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht (VGKE)
VGKE Art. 14 Festsetzung der Parteientschädigung
1    Die Parteien, die Anspruch auf Parteientschädigung erheben, und die amtlich bestellten Anwälte und Anwältinnen haben dem Gericht vor dem Entscheid eine detaillierte Kostennote einzureichen.
2    Das Gericht setzt die Parteientschädigung und die Entschädigung für die amtlich bestellten Anwälte und Anwältinnen auf Grund der Kostennote fest. Wird keine Kostennote eingereicht, so setzt das Gericht die Entschädigung auf Grund der Akten fest.
Satz 2 VGKE). Eine Parteientschädigung in der Höhe von Fr. 4'000.00 (inkl. Auslagen; Art. 9 Abs. 1 Bst. a
SR 173.320.2 Reglement vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht (VGKE)
VGKE Art. 9 Kosten der Vertretung
1    Die Kosten der Vertretung umfassen:
a  das Anwaltshonorar oder die Entschädigung für eine nichtanwaltliche berufsmässige Vertretung;
b  die Auslagen, namentlich die Kosten für das Kopieren von Schriftstücken, die Reise-, Verpflegungs- und Unterkunftskosten, die Porti und die Telefonspesen;
c  die Mehrwertsteuer für die Entschädigungen nach den Buchstaben a und b, soweit eine Steuerpflicht besteht und die Mehrwertsteuer nicht bereits berücksichtigt wurde.
2    Keine Entschädigung ist geschuldet, wenn der Vertreter oder die Vertreterin in einem Arbeitsverhältnis zur Partei steht.
und b VGKE) erscheint als angemessen. Die zu entschädigenden Kosten der Vertretung umfassen vorliegend die Mehrwertsteuer nicht. Diese wird nur entschädigt, wenn eine Steuerpflicht besteht, was für die Dienstleistung des Rechtsanwalts gegenüber der im Ausland domizilierten Beschwerdeführerin nicht der Fall ist (vgl. Art. 1 Abs. 1
SR 173.320.2 Reglement vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht (VGKE)
VGKE Art. 9 Kosten der Vertretung
1    Die Kosten der Vertretung umfassen:
a  das Anwaltshonorar oder die Entschädigung für eine nichtanwaltliche berufsmässige Vertretung;
b  die Auslagen, namentlich die Kosten für das Kopieren von Schriftstücken, die Reise-, Verpflegungs- und Unterkunftskosten, die Porti und die Telefonspesen;
c  die Mehrwertsteuer für die Entschädigungen nach den Buchstaben a und b, soweit eine Steuerpflicht besteht und die Mehrwertsteuer nicht bereits berücksichtigt wurde.
2    Keine Entschädigung ist geschuldet, wenn der Vertreter oder die Vertreterin in einem Arbeitsverhältnis zur Partei steht.
und 2
SR 173.320.2 Reglement vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht (VGKE)
VGKE Art. 9 Kosten der Vertretung
1    Die Kosten der Vertretung umfassen:
a  das Anwaltshonorar oder die Entschädigung für eine nichtanwaltliche berufsmässige Vertretung;
b  die Auslagen, namentlich die Kosten für das Kopieren von Schriftstücken, die Reise-, Verpflegungs- und Unterkunftskosten, die Porti und die Telefonspesen;
c  die Mehrwertsteuer für die Entschädigungen nach den Buchstaben a und b, soweit eine Steuerpflicht besteht und die Mehrwertsteuer nicht bereits berücksichtigt wurde.
2    Keine Entschädigung ist geschuldet, wenn der Vertreter oder die Vertreterin in einem Arbeitsverhältnis zur Partei steht.
, Art. 8 Abs. 1
SR 173.320.2 Reglement vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht (VGKE)
VGKE Art. 9 Kosten der Vertretung
1    Die Kosten der Vertretung umfassen:
a  das Anwaltshonorar oder die Entschädigung für eine nichtanwaltliche berufsmässige Vertretung;
b  die Auslagen, namentlich die Kosten für das Kopieren von Schriftstücken, die Reise-, Verpflegungs- und Unterkunftskosten, die Porti und die Telefonspesen;
c  die Mehrwertsteuer für die Entschädigungen nach den Buchstaben a und b, soweit eine Steuerpflicht besteht und die Mehrwertsteuer nicht bereits berücksichtigt wurde.
2    Keine Entschädigung ist geschuldet, wenn der Vertreter oder die Vertreterin in einem Arbeitsverhältnis zur Partei steht.
und Art. 18 Abs. 1
SR 173.320.2 Reglement vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht (VGKE)
VGKE Art. 9 Kosten der Vertretung
1    Die Kosten der Vertretung umfassen:
a  das Anwaltshonorar oder die Entschädigung für eine nichtanwaltliche berufsmässige Vertretung;
b  die Auslagen, namentlich die Kosten für das Kopieren von Schriftstücken, die Reise-, Verpflegungs- und Unterkunftskosten, die Porti und die Telefonspesen;
c  die Mehrwertsteuer für die Entschädigungen nach den Buchstaben a und b, soweit eine Steuerpflicht besteht und die Mehrwertsteuer nicht bereits berücksichtigt wurde.
2    Keine Entschädigung ist geschuldet, wenn der Vertreter oder die Vertreterin in einem Arbeitsverhältnis zur Partei steht.
des Bundesgesetzes vom 12. Juni 2009 über die Mehrwertsteuer [Mehrwertsteuergesetz, MWSTG, SR 641.20] i.V.m. Art. 9 Abs. 1 Bst. c
SR 173.320.2 Reglement vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht (VGKE)
VGKE Art. 9 Kosten der Vertretung
1    Die Kosten der Vertretung umfassen:
a  das Anwaltshonorar oder die Entschädigung für eine nichtanwaltliche berufsmässige Vertretung;
b  die Auslagen, namentlich die Kosten für das Kopieren von Schriftstücken, die Reise-, Verpflegungs- und Unterkunftskosten, die Porti und die Telefonspesen;
c  die Mehrwertsteuer für die Entschädigungen nach den Buchstaben a und b, soweit eine Steuerpflicht besteht und die Mehrwertsteuer nicht bereits berücksichtigt wurde.
2    Keine Entschädigung ist geschuldet, wenn der Vertreter oder die Vertreterin in einem Arbeitsverhältnis zur Partei steht.
VGKE).

8.
Entscheide des Bundesverwaltungsgerichts auf dem Gebiet des Datenschutzes sind gemäss Art. 35 Abs. 2
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 35 - Werden Personendaten zu nicht personenbezogenen Zwecken, insbesondere der Forschung, der Planung und der Statistik, und gleichzeitig zu einem anderen Zweck bearbeitet, so sind die Ausnahmen nach Artikel 39 Absatz 2 DSG nur für die Bearbeitung zu den nicht personenbezogenen Zwecken anwendbar.
der Verordnung vom 14. Juni 1993 zum Bundesgesetz über den Datenschutz (VDSG, SR 235.11) dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) bekannt zu geben.

Demnach erkennt das Bundesverwaltungsgericht:

1.
Die Beschwerde wird gutgeheissen. Die Verfügung vom 22. Oktober 2014 wird aufgehoben und die Sache zur Neubeurteilung im Sinne der Erwägungen an die Vorinstanz zurückgewiesen.

2.
Es werden keine Verfahrenskosten erhoben. Der Beschwerdeführerin wird der von ihr geleistete Kostenvorschuss nach Eintritt der Rechtskraft von Fr. 1'500.00 zurückerstattet.

3.
Der Beschwerdeführerin wird eine Parteientschädigung von Fr. 4'000.00 zu Lasten der Wettbewerbskommission zugesprochen.

4.
Dieses Urteil geht an:

- die Beschwerdeführerin (Gerichtsurkunde, Beilage: Rückerstattungs-formular)

- die Vorinstanz (Ref-Nr. 81.21-0014; Gerichtsurkunde)

- den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten

Die vorsitzende Richterin: Der Gerichtsschreiber:

Vera Marantelli Thomas Bischof

Rechtsmittelbelehrung

Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bundesgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen Angelegenheiten geführt werden (Art. 82 ff
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 35 - Werden Personendaten zu nicht personenbezogenen Zwecken, insbesondere der Forschung, der Planung und der Statistik, und gleichzeitig zu einem anderen Zweck bearbeitet, so sind die Ausnahmen nach Artikel 39 Absatz 2 DSG nur für die Bearbeitung zu den nicht personenbezogenen Zwecken anwendbar.
., 90 ff. und 100 BGG). Die Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten. Der angefochtene Entscheid und die Beweismittel sind, soweit sie der Beschwerdeführer in Händen hat, beizulegen (Art. 42
SR 235.11 Verordnung vom 31.August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 35 - Werden Personendaten zu nicht personenbezogenen Zwecken, insbesondere der Forschung, der Planung und der Statistik, und gleichzeitig zu einem anderen Zweck bearbeitet, so sind die Ausnahmen nach Artikel 39 Absatz 2 DSG nur für die Bearbeitung zu den nicht personenbezogenen Zwecken anwendbar.
BGG).

Versand: 6. Dezember 2016
Decision information   •   DEFRITEN
Document : B-6850/2014
Date : 30. November 2016
Published : 25. Juli 2017
Source : Bundesverwaltungsgericht
Status : Publiziert als BVGE-2016-28
Subject area : Datenschutz und Öffentlichkeitsprinzip
Subject : Auskunftsbegehren nach DSG. -> BVGE 2016/28


Legislation register
BGG: 42  82
DSG: 1  2  3  4  8  9  11a  12  15  16  25  33
DSV: 1  13  35
KG: 5  9  13  18  23  25  39
MWSTG: 1  8  18
VGG: 31  32  33  37
VGKE: 7  8  9  14
VwVG: 5  20  26  35  38  46  46a  50  52  55  61  63  64
BGE-register
123-II-534 • 135-II-38 • 138-III-425 • 139-V-143 • 139-V-72
Weitere Urteile ab 2000
2C_1065/2014 • 2C_165/2014
Keyword index
Sorted by frequency or alphabet
lower instance • personal data • federal administrational court • question • competition committee • person concerned • [noenglish] • day • costs of the proceedings • time limit • owner of data bank • federal court • data collection • position • private person • data protection • behavior • electronic data processing • communication • lawyer • federal law on data protection • confederation • directive • federal law on value added tax • president • [noenglish] • authorization • advance on costs • knowledge • category • function • evidence • value added tax • clerk • writ • decision • duty to give information • request to an authority • access • publishing • inscription • remedies • access records • state organization and administration • relationship between • nephew • cartel • nullity • participant of a proceeding • scope • autonomy • rejoinder • counterplea • legal demand • enclosure • act of state • weight • [noenglish] • effect • company • internet • federal law on administrational proceedings • [noenglish] • [noenglish] • publication of plans • criminal investigation • lawfulness • legal representation • competence • illegality • cost • request for juridical assistance • form and content • judicial agency • statement of reasons for the adjudication • right to be heard • notification of judgment • appeal concerning affairs under public law • proceedings conditions • counterstatement • cooperation obligation • declaration • false statement • dimensions of the building • extent • expenditure • certification • task sharing • [noenglish] • abuse of legal right • provisional measure • answer to appeal • equivalence • subsidiary company • main issue • officialese • within • collection • letter • meadow • petitioner • partial acceptance • signature • adult • accused • register of data pools • sanction • protective measures • copy • drawee • legal entity • instructions about a person's right to appeal • legal certainty • presumption • documentation • address • 1995 • lausanne • outside • statement of affairs
... Don't show all
BVGer
A-3763/2011 • A-6850/2014 • B-3588/2012 • B-4363/2013 • B-6850/2014 • B-7084/2010
AS
AS 1996/2870