BVGE-2015-13 - 2015-04-23 - Cour I (infrastructure, environnement, redevances, personnel)

13

Auszug aus dem Urteil der Abteilung I
i.S. A. und X. Corporation gegen Eidgenössische Steuerverwaltung, Dienst für Informationsaustausch in Steuersachen
A 1204/2014 vom 23. April 2015

Internationale Amtshilfe in Steuersachen. Datenschutz. Vernichtung zu Unrecht erhobener Daten.

Art. 2 Abs. 2 Bst. c , Art. 4 , Art. 5 Abs. 1 und Art. 25 Abs. 3 Bst. a DSG. Art. 6 und Art. 8 Abs. 1 BGA.

Daten, die in einem Verfahren der internationalen Amtshilfe in Steuersachen erhoben wurden, sind zu vernichten, wenn das Bundesverwaltungsgericht auf Beschwerde hin zum Schluss kommt, dass auf das Amtshilfegesuch, aufgrund dessen die Daten erhoben wurden, nicht hätte eingetreten werden dürfen (E. 3). Das DSG ist in einem solchen Verfahren anwendbar (E. 3.2).

Assistance administrative internationale en matière fiscale. Protection des données. Destruction de données collectées à tort.

Art. 2 al. 2 let. c, art. 4, art. 5 al. 1 et art. 25 al. 3 let. a LPD. Art. 6 et art. 8 al. 1 LAr.

Les données collectées dans le cadre d'une procédure d'assistance administrative internationale en matière fiscale doivent être détruites lorsque, sur recours, le Tribunal administratif fédéral arrive à la conclusion qu'il n'aurait pas dû être entré en matière sur la demande d'assistance (consid. 3). La LPD s'applique à une telle procédure (consid. 3.2).

Assistenza amministrativa internazionale in materia fiscale. Protezione dei dati. Distruzione di dati acquisiti ingiustamente.

Art. 2 cpv. 2 lett. c, art. 4, art. 5 cpv. 1 e art. 25 cpv. 3 lett. a LPD. Art. 6 e art. 8 cpv. 1 LAr.

Se in sede ricorsuale il Tribunale amministrativo federale stabilisce che non si sarebbe dovuto entrare nel merito di una domanda di assistenza amministrativa internazionale in materia fiscale, i dati acquisiti in virtù di tale domanda devono essere distrutti (consid. 3). La LPD si applica ad un tale procedimento (consid. 3.2).

Am 1. Oktober 2013 reichten A. und die X. Corporation (nachfolgend: Beschwerdeführende) beim Bundesverwaltungsgericht eine Beschwerde gegen eine Schlussverfügung der Eidgenössischen Steuerverwaltung (ESTV) ein, welche gestützt auf ein Amtshilfegesuch der Steuerbehörde (Internal Revenue Service [IRS]) der USA vom 17. April 2013 erlassen worden war. Diese Beschwerde hiess das Bundesverwaltungsgericht mit Urteil A 3395/2014 vom 7. Juli 2014 gut. Mit Hinweis auf ein anderes, sich auf dasselbe Amtshilfegesuch beziehendes Verfahren, hielt es fest, auf das Gesuch hätte nicht eingetreten werden dürfen.

Währenddessen reichten die Beschwerdeführenden bei der ESTV am 20. Januar 2014 unter anderem ein Ersuchen um Datenlöschung/Datensperrung der im Amtshilfeverfahren erhobenen, sie betreffenden Daten ein. Die ESTV wies das Gesuch um Vernichtung beziehungsweise Rückgabe der Bankunterlagen mit Verfügung vom 5. Februar 2014 ab und trat in derselben Verfügung auf das Gesuch um Datensperrung nicht ein.

Gegen diese Verfügung erhoben die Beschwerdeführenden mit Eingabe vom 10. März 2014 Beschwerde an das Bundesverwaltungsgericht. Diesbezüglich beantragen sie, die Verfügung vom 5. Februar 2014 aufzuheben und das Datenlöschungsersuchen vom 20. Januar 2014 in dem Sinn gutzuheissen, dass die Personendaten und Bankunterlagen, welche sie (die Beschwerdeführenden) beträfen und die im Rahmen des sie betreffenden Geschäfts durch die ESTV bearbeitet worden seien, unverzüglich zu vernichten seien. Sofern die Daten in physischer Form bei der ESTV bearbeitet worden seien, seien diese der betreffenden Bank unverzüglich zurückzugeben.

Das Bundesverwaltungsgericht heisst die Beschwerde - soweit sie nicht gegenstandslos geworden ist - gut.

Aus den Erwägungen:

3. Es gilt somit, auf das Rechtsbegehren 2 der Beschwerdeführenden einzugehen, welches sich auf die Verfügung vom 5. Februar 2014 betreffend Datenlöschung bezieht.

3.1

3.1.1 Die Beschwerdeführenden verlangen die unverzügliche Vernichtung von Personendaten und Bankunterlagen (und dass bis zur Vernichtung jede weitere Datenbearbeitung unterlassen werde), allenfalls deren Rückgabe an die Bank Z. beziehungsweise deren Sperrung. Sie stützen sich dabei auf das DSG (SR 235.1) und das auch dort zur Anwendung kommende Verhältnismässigkeitsprinzip. Ferner ziehen sie aus Art. 8 Abs. 2 des Steueramtshilfegesetzes vom 28. September 2012 (StAhiG, SR 672.5) den Umkehrschluss, dass Personendaten, welche in Verletzung dieses Artikels gesammelt wurden, der Bank zurückzugeben sind. Sie machen geltend, die Erhebung und Aufbewahrung der Daten sei - aufgrund des ungenügenden Amtshilfegesuchs - zu Unrecht erfolgt.

3.1.2 Die ESTV stellt sich in der angefochtenen Verfügung - die vor dem Urteil des Bundesgerichts im Verfahren 2C_54/2015 vom 22. Juni 2015 ergangen ist - auf den Standpunkt, das Urteil des Bundesverwaltungsgerichts A 5390/2013 vom 6. Januar 2014 habe keine Auswirkungen auf das Verfahren der Beschwerdeführenden und die Daten seien deshalb zu Recht erhoben worden. Selbst wenn keine Amtshilfe geleistet würde, dürften die Daten nicht vernichtet werden, sondern wären dem Bundesarchiv zur Aufbewahrung anzubieten. Dabei stützt sie sich auf Art. 6 Abs. 1 des Archivierungsgesetzes vom 26. Juni 1998 (BGA, SR 152.1) und auf Art. 6 in Verbindung mit Art. 1 Abs. 1 Bst. b und Art. 2 des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 1997 (RVOG, SR 172.010). Zudem ist die Vorinstanz der Meinung, aufgrund des Devolutiveffekts und des Weiterzugs der Schlussverfügung vom 23. August 2013 ans Bundesverwaltungsgericht beziehungsweise des Weiterzugs von dessen Urteil ans Bundesgericht sei sie in der Sache nicht mehr zuständig, auch nicht zur Behandlung des Begehrens um Datensperrung.

3.2 Im Folgenden ist zunächst die Anwendbarkeit des DSG zu prüfen (E. 3.2). Ist dieses anwendbar, gilt es festzustellen, welche dessen relevante Bestimmungen sind (E. 3.3). Anschliessend sind die Bestimmungen auf den konkreten Fall anzuwenden (E. 3.4).

3.2.1 Art. 2 Abs. 2 Bst. c DSG bestimmt, dass das DSG unter anderem nicht auf Verfahren der internationalen Rechtshilfe sowie auf staats- und verwaltungsrechtliche Verfahren anwendbar ist, mit Ausnahme erstinstanzlicher Verwaltungsverfahren. Das Bundesverwaltungsgericht hielt seinerzeit dazu fest, dass diese Sonderregelung auf der Idee beruhe, dass in den in Art. 2 Abs. 2 Bst. c DSG geregelten Bereichen der Persönlichkeitsschutz durch spezialgesetzliche Verfahrensnormen hinreichend gesichert sei. Nach der Rechtsprechung des Bundesgerichts gelte dies für den Bereich der Amtshilfe allerdings nicht im gleichen Masse. Die Amtshilfe könne demnach diesbezüglich nicht einfach aus Praktikabilitätsgründen mit der internationalen Rechtshilfe in Zivil- und Strafsachen gleichgesetzt werden (BGE 126 II 126 E. 5a/aa zur Amtshilfe im Bereich des Börsenrechts). Die in jenen Verfahren anwendbaren Bestimmungen sahen keinen weitreichenden Persönlichkeitsschutz vor, weshalb das Bundesverwaltungsgericht zum Schluss kam, das DSG sei im Bereich der Amtshilfe grundsätzlich anwendbar (statt vieler: Urteil des BVGer A 6242/2010 vom 11. Juli 2011 E. 10.2).

3.2.2 Im vorliegenden Verfahren gelten andere Rechtsgrundlagen als jene, aufgrund deren die eben erwähnten Urteile des Bundesverwaltungsgerichts ergingen. Jenen lagen das Abkommen vom 19. August 2009 zwischen der Schweizerischen Eidgenossenschaft und den Vereinigten Staaten von Amerika über ein Amtshilfegesuch des Internal Revenue Service der Vereinigten Staaten von Amerika betreffend UBS AG, einer nach schweizerischem Recht errichteten Aktiengesellschaft (in der von der Bundesversammlung am 17. Juni 2010 genehmigten Fassung, SR 0.672.933.612) - wobei das Abkommen vom 2. Oktober 1996 zwischen der Schweizerischen Eidgenossenschaft und den Vereinigten Staaten von Amerika zur Vermeidung der Doppelbesteuerung auf dem Gebiete der Steuern vom Einkommen (SR 0.672.933.61, nachfolgend: DBA-USA 96) anwendbar war, soweit das Abkommen keine abweichenden Bestimmungen enthielt (vgl. BVGE 2010/40 E. 6.2.2) - und die Verordnung vom 15. Juni 1998 zum schweizerisch-amerikanischen Doppelbesteuerungsabkommen vom 2. Oktober 1996 (SR 672.933.61) zugrunde, während im vorliegenden Verfahren das DBA-USA 96 in seiner ursprünglichen Fassung sowie das StAhiG anwendbar sind. Das DBA-USA 96 enthält soweit hier interessierend
- keine Datenschutzbestimmungen. Die Frage, wie mit den - nun einmal - erhobenen Daten innerstaatlich umzugehen ist, beantwortet sich mangels Bestimmungen im DBA-USA 96 somit einzig nach dem innerstaatlichen Recht. Im StAhiG finden sich datenschutzrechtliche Bestimmungen. So ist insbesondere die Übermittlung von Informationen zu Personen, die nicht vom Ersuchen betroffen sind, unzulässig (Art. 4 Abs. 3 StAhiG). Es fragt sich daher, ob an der genannten Rechtsprechung, dass das Datenschutzgesetz im Bereich der Amtshilfe grundsätzlich anwendbar ist, festgehalten werden kann.

3.2.3 Die genannten Bestimmungen des StAhiG regeln den Datenschutz in der Steueramtshilfe nur punktuell. Der so gewährte Schutz ist keinesfalls umfassend. Insbesondere fehlen Bestimmungen, die auf die vorliegend gestellten Fragen angewendet werden könnten, nämlich dazu, ob Daten wie die vorliegenden aufzubewahren oder zu vernichten seien und, wenn aufzubewahren, durch wen. Entgegen der Auffassung der Beschwerdeführenden kann aus Art. 8 Abs. 2 StAhiG nicht der Umkehrschluss gezogen werden, dass zu Unrecht erhobene Daten den dort genannten Instituten wieder zurückzugeben seien; dieser Absatz befasst sich nur mit der Informationsbeschaffung, nicht mit der Rückgabe von Daten. Die Beschwerdeführenden selbst beziehen sich andernorts auf das DSG. Dieses enthält - im Gegensatz zum StAhiG - Bestimmungen zu den von ihnen aufgeworfenen Fragen. Ob das StAhiG oder das DSG vorgeht - entsprechend dem Grundsatz, dass das DSG anderen Erlassen mit Datenschutzbestimmungen vorgeht, es sei denn, diese enthielten strengere Bestimmungen (Maurer-Lambrou/Kunz, in: Basler Kommentar, Datenschutzgesetz, 3. Aufl. 2014, Art. 2 DSG N. 2, nachfolgend: Kommentar DSG; vgl. auch BGE 128 II 311 E. 8.4) - muss vorliegend somit nicht
geklärt werden. Dazu kommt, dass das Amtshilfeverfahren als solches in dem Sinn abgeschlossen ist, dass keine Amtshilfe gewährt wird (...). Im konkreten Fall stehen damit auch Einschränkungen, welche die Natur eines Amtshilfeverfahrens beim Datenschutz allenfalls zulässt, nicht entgegen.

3.2.4 Schliesslich stellt sich die hier interessierende Frage in einem erstinstanzlichen Verwaltungsverfahren, weshalb das DSG aufgrund der doppelten Ausnahmeklausel in Art. 2 Abs. 2 Bst. c DSG anwendbar ist.

3.2.5 Die anstehenden Fragen sind somit aufgrund des DSG zu beantworten.

3.3

3.3.1 Das DSG dient dem verfassungsrechtlichen Schutz der Privatsphäre (vgl. Art. 1 DSG; Frank Seethaler, in: Kommentar DSG, Entstehungsgeschichte, N. 12 vor Art. 1 DSG; Rainer J. Schweizer, in: Die Schweizerische Bundesverfassung, St. Galler Kommentar, 2. Aufl. 2008, Art. 13 Abs. 2 Rz. 37). Personendaten beziehungsweise « Daten » im Sinn des Datenschutzgesetzes sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 3 Bst. a DSG; vgl. BGE 136 II 508 E. 3.2 m.H.). Dabei kann es sich sowohl um Tatsachenfeststellungen als auch um Werturteile handeln. Entscheidend ist, dass sich die Angaben einer oder mehreren bestimmten Personen zuordnen lassen (vgl. Gabor P. Blechta, in: Kommentar DSG, Art. 3 DSG N. 4).

« Bearbeiten » bedeutet laut Datenschutzgesetz jeder Umgang mit Personendaten, insbesondere das Beschaffen, Aufbewahren, Verwenden und Bekanntgeben von Daten (Art. 3 Bst. e DSG).

3.3.2 Die Bearbeitung von Personendaten muss rechtmässig sein (Art. 4 Abs. 1 DSG). Organe des Bundes dürfen laut dem DSG Personendaten bearbeiten und bekanntgeben, wenn dafür eine gesetzliche Grundlage besteht; besonders schützenswerte Personendaten dürfen sie nur dann bearbeiten, wenn ein Gesetz im formellen Sinn dies ausdrücklich vorsieht. Ist dies nicht der Fall, muss entweder a) die Bearbeitung für eine in einem formellen Gesetz klar umschriebene Aufgabe unentbehrlich sein oder b) der Bundesrat die Bearbeitung bewilligt haben, weil die Rechte der betroffenen Personen nicht gefährdet sind, oder c) die betroffene Person im Einzelfall eingewilligt oder ihre Daten allgemein zugänglich gemacht haben (Art. 17 Abs. 1 und 2 i.V.m. Art. 19 DSG; Urteil des BVGer B 3588/2012 vom 15. Oktober 2014 E. 6.5.1).

3.3.3 Unrechtmässig bearbeitete Personendaten sind gestützt auf Art. 4 , 5 Abs. 1 und Art. 25 Abs. 3 Bst. a DSG zu vernichten. Ihrer Vernichtung stehen die Archivierungsvorschriften des Bundes nicht entgegen. Art. 21 Abs. 1 DSG sieht nämlich lediglich vor, dass Bundesorgane dem Bundesarchiv in Übereinstimmung mit dem BGA alle Personendaten anzubieten haben, die sie nicht mehr ständig benötigen (vgl. auch die entsprechenden Bestimmungen von Art. 6 und 8 Abs. 1 BGA). Erfasst sind mit anderen Worten nur Personendaten, deren Bearbeitung bis anhin rechtmässig war, nicht aber Personendaten, deren Bearbeitung (Beschaffung) von Anfang an widerrechtlich war (Robert Bühler, in: Kommentar DSG, Art. 21 DSG N. 8; Urteil des BVGer A 6067/2008 vom 30. März 2009 E. 5.3; vgl. dazu auch Urteil des BGer 1A.6/2001 vom 2. Mai 2001 E. 2). Allerdings prüft das Bundesarchiv selbst nicht, ob die Daten rechtmässig erhoben wurden (Bühler, a.a.O., Art. 21 DSG N. 9).

3.3.4 Vernichtung von unrechtmässig bearbeiteten Daten bedeutet, dass diese unwiederbringlich zerstört und irreversibel entfernt werden müssen (Bühler, a.a.O., Art. 21 DSG N. 14). Bei Daten auf Papier ist dieses zu schreddern oder zu verbrennen und es ist sicherzustellen, dass Dritte keinen Zugang zu den « Relikten » erhalten (Bühler, a.a.O., Art. 21 DSG N. 15). Schwieriger gestaltet sich die Datenzerstörung bei elektronischen Daten. Hier ist nicht nur wesentlich, wie diese Daten bei der Behörde gespeichert wurden, sondern bereits, wie die Behörde diese erhalten hat. Wurden die Daten mittels einer CD oder eines USB-Sticks der Behörde übermittelt, muss einerseits der Datenträger mittels Durchbohrung oder Durchlochung unbrauchbar gemacht werden und andererseits sind alle Kopien (inkl. sämtliche Back-ups) so zu behandeln, dass die Daten auch nicht mehr lesbar gemacht werden können. Bei Daten, die der Behörde im Anhang zu einer E-Mail übermittelt worden sind, müssen auch allfällige Zwischenspeicherungen dieser E-Mail vernichtet werden. Da sich die Speicherungstechnik laufend ändert, sind an die Vernichtung hohe Anforderungen zu stellen. Übliche Löschbefehle oder eine reine Umformatierung stellen kein
Vernichten im datenschutzrechtlichen Sinn dar (Bühler, a.a.O., Art. 21 DSG N. 14), ebenso wenig die Sperrung von Zugangspasswörtern.

3.4 Im Folgenden ist somit in Bezug auf den vorliegenden Fall zuerst festzustellen, ob die Daten rechtmässig erhoben wurden (E. 3.4.1) und je nach Resultat, wie weiter zu verfahren ist (E. 3.4.2).

Vorauszuschicken bleibt, dass es sich bei den durch die ESTV bei der betroffenen Bank angeforderten Angaben um Daten im Sinn des DSG handelt - bei einem Teil davon allenfalls sogar um besonders schützenswerte Personendaten nach Art. 3 Bst. c DSG - und dass auch das Aufbewahren von Daten eine Bearbeitung im Sinn des DSG ist (E. 3.3.1).

3.4.1

3.4.1.1 Sowohl das DBA-USA 96 als auch das StAhiG sehen vor, dass im Rahmen eines Amtshilfeverfahrens Daten über die betroffenen Personen erhoben werden dürfen. Dies wird auch von den Beschwerdeführenden nicht in Frage gestellt. Mit Art. 26 Ziff. 1 DBA-USA 96 besteht eine zumindest implizite Grundlage zur Erhebung der Daten, denn Informationen (Daten) können nur übermittelt werden, wenn sie zuvor erhoben wurden. Die Datenerhebung ist damit für eine in einem formellen Gesetz - dem der Staatsvertrag gleichgestellt ist - klar umschriebene Aufgabe unentbehrlich (E. 3.3.2).

Eine explizite Grundlage für das Erheben der Daten findet sich überdies in Art. 8 ff . StAhiG. Diese genügt den Anforderungen von Art. 17 Abs. 1 sowie auch Abs. 2 DSG: Beim StAhiG handelt es sich um ein Gesetz im formellen Sinn. Es besteht somit grundsätzlich eine genügende gesetzliche Grundlage für die Erhebung von Daten im Amtshilfeverfahren.

3.4.1.2 Selbst wenn an sich eine genügende gesetzliche Grundlage für die Datenbearbeitung durch die ESTV vorgelegen hat, stellt sich weiter die Frage, ob die Datenbearbeitung im konkreten Fall rechtmässig war. Art. 4 StAhiG mit der Überschrift « Grundsätze » sieht in Abs. 1 vor, dass Amtshilfe ausschliesslich auf Ersuchen geleistet wird. In der Botschaft vom 6. Juli 2011 zum Erlass eines Steueramtshilfegesetzes wird festgehalten, dass diese Vorschrift unter anderem die spontane Amtshilfeleistung grundsätzlich ausschliesst (BBl 2011 6193 ff., 6204). Unter spontaner (internationaler) Amtshilfe ist die Informationsübermittlung an ausländische Behörden zu verstehen, die ohne oder ohne konkretes Ersuchen erfolgt (Urteile des BVGer A 1606/2014 vom 7. Oktober 2014 E. 3.4.1 und A 3098/2014 vom 18. September 2014 E. 3.1). Die Anforderung, dass ein Ersuchen der ausländischen Behörde vorliegen muss, erfüllt nicht jede beliebige Anfrage der ausländischen Behörde, sondern nur ein Ersuchen, welches die rechtlich vorgeschriebenen Voraussetzungen erfüllt.

Das Bundesverwaltungsgericht hat mit Urteil vom 7. Juli 2014 im Verfahren A 3395/2014 festgestellt, dass auf das Amtshilfegesuch des IRS vom 17. Juli 2013 nicht einzutreten sei (wobei auf die Begründung in Urteil A 5390/2013 verwiesen wurde, im Wesentlichen darauf, die im Indictment angeführten Sachverhalte würden den notwendigen Tatbestand « Betrugsdelikte und dergleichen » nicht erfüllen und der im Gesuch selber dargestellte Sachverhalt weise nicht denjenigen Detaillierungsgrad auf, der bei Gruppenersuchen, welche diesen Tatbestand betreffen, erforderlich sei; Urteil des BVGer A 3395/2014 E. c). Damit fehlt es bezüglich der in jenem Verfahren erhobenen Daten an einem - den gesetzlichen Anforderungen genügenden - Amtshilfegesuch. Weil das StAhiG, wie gesagt, die spontane Amtshilfe ausschliesst, hat dies zur Folge, dass die Erhebung dieser Daten widerrechtlich erfolgte.

3.4.1.3 Keine entscheidende Rolle spielt, dass die ESTV aufgrund ihrer damaligen Auslegung der gesetzlichen Bestimmungen und der Subsumtion zum Schluss kam, auf das Amtshilfegesuch sei einzutreten, und dass aus ihrer damaligen Sicht die Datenerhebung rechtmässig erfolgte. Aufgrund des Konzepts des Gesetzes findet die gerichtliche Überprüfung des Entscheids der ESTV, auf ein Amtshilfegesuch einzutreten, erst nach Erlass der Schlussverfügung statt (vgl. Art. 19 Abs. 1 StAhiG). Diese Konstruktion gereicht jedoch den Beschwerdeführenden rechtlich nicht zum Nachteil, wäre doch schon vor der Datenerhebung nicht auf das Amtshilfegesuch einzutreten gewesen und war die Datenbeschaffung somit im Augenblick, als sie stattfand - als allfällige Daten von der Bank übermittelt wurden -, bereits widerrechtlich.

3.4.2 Weil die Daten unrechtmässig beschafft wurden, sind sie nach dem zuvor Gesagten (E. 3.3.3) nicht dem Bundesarchiv anzubieten, sondern zu vernichten. Vorliegend haben die Beschwerdeführenden einen entsprechenden Antrag gestellt. Dieser ist nach Art. 25 Abs. 3 Bst. a DSG zulässig und somit gutzuheissen.

Was das Vorgehen bei der Vernichtung anbelangt, hat sich die ESTV an die in E. 3.3.4 dargelegten Überlegungen zu halten, insbesondere sind bei elektronischen Daten auch alle Back-ups so zu behandeln, dass nicht mehr auf sie zugegriffen werden kann. Falls die Daten lediglich auf einer CD oder einem USB-Stick gespeichert oder sogar in Papierform vorhanden sind - was aber gemäss den Kenntnissen des Bundesverwaltungsgerichts nicht der Fall ist, hatte es doch selber online auf die Akten mittels eines Passworts Zugriff -, spricht aus Sicht des Bundesverwaltungsgerichts nichts gegen deren Rückgabe an die Bank.

3.4.3 Der Eventualantrag der Beschwerdeführenden auf Datensperrung ist mit dem Urteil A 3395/2014 gegenstandslos geworden, weil dadurch bereits entschieden wurde, dass dem IRS in Zusammenhang mit dem Amtshilfeersuchen vom 17. April 2013 keine Daten der Beschwerdeführenden übermittelt werden dürfen. Aus diesem Grund muss auch nicht mehr auf die von den Parteien vorgebrachten Argumente zu den Auswirkungen des Devolutiveffekts der ergriffenen Rechtsmittel auf die beantragte Datensperre eingegangen werden.

3.5 In Bezug auf die datenschutzrechtliche Frage ist die Beschwerde somit gutzuheissen, soweit sie nicht gegenstandslos geworden ist.

3.6 In diesem Punkt obsiegen die Beschwerdeführenden. Ihnen und der Vorinstanz sind insoweit keine Verfahrenskosten aufzuerlegen (Art. 63 VwVG).

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 2 Champ d'application à raison de la personne et de la matière - 1 La présente loi régit le traitement de données personnelles concernant des personnes physiques effectué par:
¹	La présente loi régit le traitement de données personnelles concernant des personnes physiques effectué par:
^a	des personnes privées;
^b	des organes fédéraux.
²	Elle ne s'applique pas:
^a	aux traitements de données personnelles effectués par une personne physique pour un usage exclusivement personnel;
^b	aux traitements de données personnelles effectués par les Chambres fédérales et les commissions parlementaires dans le cadre de leurs délibérations;
^c	aux traitements de données personnelles effectués par les bénéficiaires institutionnels au sens de l'art. 2, al. 1, de la loi du 22 juin 2007 sur l'État hôte3 qui jouissent en Suisse de l'immunité de juridiction.
³	Les traitements de données personnelles effectués dans le cadre de procédures devant des tribunaux ou dans le cadre de procédures régies par des dispositions fédérales de procédure, ainsi que les droits des personnes concernées, obéissent au droit de procédure applicable. La présente loi s'applique aux procédures administratives de première instance.
⁴	Les registres publics relatifs aux rapports de droit privé, notamment l'accès à ces registres et les droits des personnes concernées, sont régis par les dispositions spéciales du droit fédéral applicable. À défaut la présente loi s'applique.

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 4 Préposé fédéral à la protection des données et à la transparence - 1 Le Préposé fédéral à la protection des données et à la transparence (PFPDT) est chargé de surveiller la bonne application des dispositions fédérales de protection des données.
¹	Le Préposé fédéral à la protection des données et à la transparence (PFPDT) est chargé de surveiller la bonne application des dispositions fédérales de protection des données.
²	Il ne peut exercer aucune surveillance sur:
^a	l'Assemblée fédérale;
^b	le Conseil fédéral;
^c	les tribunaux fédéraux;
^d	le Ministère public de la Confédération, en ce qui concerne le traitement de données personnelles dans le cadre de procédures pénales;
^e	les autorités fédérales, en ce qui concerne le traitement de données personnelles dans le cadre de leurs activités juridictionnelles ou dans le cadre de procédures d'entraide judiciaire internationale en matière pénale.

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 5 Définitions - On entend par:
^a	données personnelles: toutes les informations concernant une personne physique identifiée ou identifiable;
^b	personne concernée: la personne physique dont les données personnelles font l'objet d'un traitement;
^c	données personnelles sensibles (données sensibles):
^c1	les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales,
^c2	les données sur la santé, la sphère intime ou l'origine raciale ou ethnique,
^c3	les données génétiques,
^c4	les données biométriques identifiant une personne physique de manière univoque,
^c5	les données sur des poursuites ou sanctions pénales et administratives,
^c6	les données sur des mesures d'aide sociale;
^d	traitement: toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction de données;
^e	communication: le fait de transmettre des données personnelles ou de les rendre accessibles;
^f	profilage: toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique;
^g	profilage à risque élevé: tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu'il conduit à un appariement de données qui permet d'apprécier les caractéristiques essentielles de la personnalité d'une personne physique;
^h	violation de la sécurité des données: toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données;
ⁱ	organe fédéral: l'autorité fédérale, le service fédéral ou la personne chargée d'une tâche publique de la Confédération;
^j	responsable du traitement: la personne privée ou l'organe fédéral qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles;
^k	sous-traitant: la personne privée ou l'organe fédéral qui traite des données personnelles pour le compte du responsable du traitement.

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
¹	Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
²	La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
^a	l'identité et les coordonnées du responsable du traitement;
^b	les données personnelles traitées en tant que telles;
^c	la finalité du traitement;
^d	la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
^e	les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
^f	le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
^g	le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
³	Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
⁴	Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
⁵	Nul ne peut renoncer par avance au droit d'accès.
⁶	Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
⁷	En règle générale, les renseignements sont fournis dans un délai de 30 jours.

SR 152.1 Loi fédérale du 26 juin 1998 sur l'archivage (LAr) LAr Art. 8 Destruction de documents - 1 Les documents qui doivent être proposés aux Archives fédérales ne peuvent pas être détruits sans leur autorisation.
¹	Les documents qui doivent être proposés aux Archives fédérales ne peuvent pas être détruits sans leur autorisation.
²	Les Archives fédérales ne détruisent aucun document sans l'autorisation du service versant.

SR 651.1 Loi fédérale du 28 septembre 2012 sur l'assistance administrative internationale en matière fiscale (Loi sur l'assistance administrative fiscale, LAAF) - Loi sur l'assistance administrative fiscale LAAF Art. 8 Principes - 1 Pour obtenir des renseignements, seules sont autorisées les mesures prévues par le droit suisse qui pourraient être prises en vue de la taxation et de la perception des impôts visés par la demande.
¹	Pour obtenir des renseignements, seules sont autorisées les mesures prévues par le droit suisse qui pourraient être prises en vue de la taxation et de la perception des impôts visés par la demande.
²	Les renseignements détenus par une banque, un autre établissement financier, un mandataire, un fondé de pouvoirs ou un agent fiduciaire, ou les renseignements concernant les droits de propriété d'une personne ne peuvent être exigés que si la convention applicable prévoit leur transmission.
³	Pour obtenir les renseignements, l'AFC s'adresse aux personnes et autorités citées aux art. 9 à 12, dont elle peut admettre qu'elles détiennent ces renseignements.
⁴	L'autorité requérante ne peut se prévaloir du droit de consulter les pièces ou d'assister aux actes de procédure exécutés en Suisse.
⁵	Les frais engendrés par la recherche de renseignements ne sont pas remboursés.
⁶	Les avocats qui sont autorisés à pratiquer la représentation en justice aux termes de la loi du 23 juin 2000 sur les avocats (LLCA)24 peuvent refuser de remettre des documents et des informations qui sont couverts par le secret professionnel.

SR 172.010 Loi du 21 mars 1997 sur l'organisation du gouvernement et de l'administration (LOGA) - Loi sur l'organisation de l'administration LOGA Art. 6 Obligations gouvernementales - 1 Le Conseil fédéral définit les objectifs et les moyens de sa politique gouvernementale.
¹	Le Conseil fédéral définit les objectifs et les moyens de sa politique gouvernementale.
²	Il accorde la priorité aux obligations gouvernementales.
³	Il prend toutes les mesures nécessaires pour assurer en tout temps l'activité gouvernementale.
⁴	Il maintient l'unité de la Suisse et encourage la solidarité nationale tout en préservant la diversité inhérente au fédéralisme. Il contribue à ce que les autres organes de l'Etat soient en mesure d'exécuter de manière appropriée et en temps opportun les tâches qui leur incombent de par la constitution et la loi.

SR 172.010 Loi du 21 mars 1997 sur l'organisation du gouvernement et de l'administration (LOGA) - Loi sur l'organisation de l'administration LOGA Art. 1 Gouvernement - 1 Le Conseil fédéral est l'autorité directoriale et exécutive suprême de la Confédération.
¹	Le Conseil fédéral est l'autorité directoriale et exécutive suprême de la Confédération.
²	Il se compose de sept membres.
³	Il est assisté par le chancelier de la Confédération.

SR 172.010 Loi du 21 mars 1997 sur l'organisation du gouvernement et de l'administration (LOGA) - Loi sur l'organisation de l'administration LOGA Art. 2 Administration fédérale - 1 L'administration fédérale est subordonnée au Conseil fédéral. Elle se compose des départements et de la Chancellerie fédérale.
¹	L'administration fédérale est subordonnée au Conseil fédéral. Elle se compose des départements et de la Chancellerie fédérale.
²	Les départements s'organisent en offices, qui peuvent être réunis en groupements. Ils disposent chacun d'un secrétariat général.
³	A teneur des dispositions régissant son organisation, l'administration fédérale comprend en outre des unités administratives décentralisées.
⁴	La législation fédérale peut confier des tâches administratives à des organisations et à des personnes de droit public ou privé qui sont extérieures à l'administration fédérale.

SR 651.1 Loi fédérale du 28 septembre 2012 sur l'assistance administrative internationale en matière fiscale (Loi sur l'assistance administrative fiscale, LAAF) - Loi sur l'assistance administrative fiscale LAAF Art. 4 Principes - 1 ...12
¹	...12
²	La procédure d'assistance administrative est menée avec diligence.
³	La transmission de renseignements concernant des personnes qui ne sont pas des personnes concernées est exclue lorsque ces renseignements ne sont pas vraisemblablement pertinents pour l'évaluation de la situation fiscale de la personne concernée ou lorsque les intérêts légitimes de personnes qui ne sont pas des personnes concernées prévalent sur l'intérêt de la partie requérante à la transmission des renseignements.13

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.
¹	La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.
²	Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5.

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 17 Dérogations - 1 En dérogation à l'art. 16, al. 1 et 2, des données personnelles peuvent être communiquées à l'étranger dans les cas suivants:
¹	En dérogation à l'art. 16, al. 1 et 2, des données personnelles peuvent être communiquées à l'étranger dans les cas suivants:
^a	la personne concernée a expressément donné son consentement à la communication;
^b	la communication est en relation directe avec la conclusion ou l'exécution d'un contrat:
^b1	entre le responsable du traitement et la personne concernée, ou
^b2	entre le responsable du traitement et son cocontractant, dans l'intérêt de la personne concernée;
^c	la communication est nécessaire:
^c1	à la sauvegarde d'un intérêt public prépondérant, ou
^c2	à la constatation, à l'exercice ou à la défense d'un droit devant un tribunal ou une autre autorité étrangère compétente;
^d	la communication est nécessaire pour protéger la vie ou l'intégrité corporelle de la personne concernée ou d'un tiers et il n'est pas possible d'obtenir le consentement de la personne concernée dans un délai raisonnable;
^e	la personne concernée a rendu les données personnelles accessibles à tout un chacun et ne s'est pas opposée expressément au traitement;
^f	les données personnelles proviennent d'un registre prévu par la loi, accessible au public ou à toute personne justifiant d'un intérêt légitime, pour autant que les conditions légales pour la consultation dans le cas d'espèce soient remplies.
²	Le responsable du traitement ou le sous-traitant informe, sur demande, le PFPDT des communications de données personnelles effectuées en vertu de l'al. 1, let. b, ch. 2, c et d.

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 19 Devoir d'informer lors de la collecte de données personnelles - 1 Le responsable du traitement informe la personne concernée de manière adéquate de la collecte de données personnelles, que celle-ci soit effectuée auprès d'elle ou non.
¹	Le responsable du traitement informe la personne concernée de manière adéquate de la collecte de données personnelles, que celle-ci soit effectuée auprès d'elle ou non.
²	Lors de la collecte, il communique à la personne concernée les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence des traitements soit garantie; il lui communique au moins:
^a	l'identité et les coordonnées du responsable du traitement;
^b	la finalité du traitement;
^c	le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont transmises.
³	Si les données personnelles ne sont pas collectées auprès de la personne concernée, il communique en outre les catégories de données traitées à cette personne.
⁴	Lorsque des données personnelles sont communiquées à l'étranger, il communique également à la personne concernée le nom de l'État ou de l'organisme international auquel elles sont communiquées et, le cas échéant, les garanties prévues à l'art. 16, al. 2, ou l'application d'une des exceptions prévues à l'art. 17.
⁵	Si les données personnelles ne sont pas collectées auprès de la personne concernée, il communique à cette personne les informations mentionnées aux al. 2 à 4 au plus tard un mois après qu'il a obtenu les données personnelles. S'il communique les données personnelles avant l'échéance de ce délai, il en informe la personne concernée au plus tard lors de la communication.

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 21 Devoir d'informer en cas de décision individuelle automatisée - 1 Le responsable du traitement informe la personne concernée de toute décision qui est prise exclusivement sur la base d'un traitement de données personnelles automatisé et qui a des effets juridiques pour elle ou l'affecte de manière significative (décision individuelle automatisée).
¹	Le responsable du traitement informe la personne concernée de toute décision qui est prise exclusivement sur la base d'un traitement de données personnelles automatisé et qui a des effets juridiques pour elle ou l'affecte de manière significative (décision individuelle automatisée).
²	Si la personne concernée le demande, le responsable du traitement lui donne la possibilité de faire valoir son point de vue. La personne concernée peut exiger que la décision individuelle automatisée soit revue par une personne physique.
³	Les al. 1 et 2 ne s'appliquent pas dans les cas suivants:
^a	la décision individuelle automatisée est en relation directe avec la conclusion ou l'exécution d'un contrat entre le responsable du traitement et la personne concernée et la demande de cette dernière est satisfaite;
^b	la personne concernée a expressément consenti à ce que la décision soit prise de manière automatisée.
⁴	Si la décision individuelle automatisée émane d'un organe fédéral, ce dernier doit la qualifier comme telle. L'al. 2 ne s'applique pas lorsque la personne concernée ne doit pas être entendue avant la décision conformément à l'art. 30, al. 2, de la loi fédérale du 20 décembre 1968 sur la procédure administrative (PA)6 ou en vertu d'une autre loi fédérale.

IR 0.672.933.61 Convention du 2 octobre 1996 entre la Confédération suisse et les Etats-Unis d'Amérique en vue d'éviter les doubles impositions en matière d'impôts sur le revenu (avec prot., prot. d'accord et annexe) RS-0.672.933.61 Art. 26 Échange de renseignements - 1. Les autorités compétentes des États contractants échangent les renseignements qui peuvent être pertinents pour appliquer les dispositions de la présente Convention ou pour l'administration ou l'application de la législation interne relatives aux impôts tombant sous le coup de la Convention dans la mesure où l'imposition que cette législation prévoit n'est pas contraire à la Convention. L'échange de renseignements n'est pas restreint par l'art. 1.
¹	Les autorités compétentes des États contractants échangent les renseignements qui peuvent être pertinents pour appliquer les dispositions de la présente Convention ou pour l'administration ou l'application de la législation interne relatives aux impôts tombant sous le coup de la Convention dans la mesure où l'imposition que cette législation prévoit n'est pas contraire à la Convention. L'échange de renseignements n'est pas restreint par l'art. 1.
²	Les renseignements reçus en vertu du par. 1 par un État contractant sont tenus secrets de la même manière que les renseignements obtenus en application de la législation interne de cet État et ne sont communiqués qu'aux personnes ou autorités (y compris les tribunaux et les organes administratifs) concernées par l'administration, l'établissement ou le recouvrement des impôts mentionnés dans le par. 1, par les procédures ou poursuites concernant ces impôts, par les décisions sur les recours relatifs à ces impôts, ou par le contrôle de ce qui précède. Ces personnes ou autorités n'utilisent ces renseignements qu'à ces fins. Elles peuvent révéler ces renseignements au cours d'audiences publiques de tribunaux ou dans des jugements. Nonobstant ces précédentes dispositions, un État contractant peut utiliser les renseignements obtenus à d'autres fins si ces renseignements peuvent être utilisés à ces fins en vertu de la législation des deux États et si l'autorité compétente de l'État requis don
³	Les dispositions des par. 1 et 2 ne peuvent en aucun cas être interprétées comme imposant à un État contractant l'obligation:
^a	de prendre des mesures administratives dérogeant à sa législation et à sa pratique administrative ou à celles de l'autre État contractant;
^b	de fournir des renseignements qui ne pourraient être obtenus sur la base de sa législation ou dans le cadre de sa pratique administrative normale ou de celles de l'autre État contractant;
^c	de fournir des renseignements qui révéleraient un secret commercial, industriel, professionnel ou un procédé commercial ou des renseignements dont la communication serait contraire à l'ordre public.
⁴	Si des renseignements sont demandés par un État contractant conformément à cet article, l'autre État contractant utilise les pouvoirs dont il dispose pour obtenir les renseignements demandés, même s'il n'en a pas besoin à ses propres fins fiscales. L'obligation qui figure dans la phrase précédente est soumise aux limitations prévues au par. 3 sauf si ces limitations sont susceptibles d'empêcher un État contractant de communiquer des renseignements uniquement parce qu'il n'en a pas l'utilité dans le cadre national.
⁵	En aucun cas les dispositions du par. 3 ne peuvent être interprétées comme permettant à un État contractant de refuser de communiquer des renseignements uniquement parce que ceux-ci sont détenus par une banque, un autre établissement financier, un mandataire ou une personne agissant en tant qu'agent ou fiduciaire ou parce que ces renseignements se rattachent aux droits de propriété d'une personne. Nonobstant le par. 3 ou des dispositions équivalentes dans la législation interne d'un État, les autorités fiscales de l'État requis ont le pouvoir d'exiger la divulgation des renseignements précités, pour autant que cela soit nécessaire à l'accomplissement des obligations citées dans ce paragraphe.

SR 651.1 Loi fédérale du 28 septembre 2012 sur l'assistance administrative internationale en matière fiscale (Loi sur l'assistance administrative fiscale, LAAF) - Loi sur l'assistance administrative fiscale LAAF Art. 19 Procédure de recours - 1 Toute décision précédant la décision finale, y compris une décision relative à des mesures de contrainte, est immédiatement exécutoire et ne peut faire l'objet d'un recours qu'avec la décision finale.
¹	Toute décision précédant la décision finale, y compris une décision relative à des mesures de contrainte, est immédiatement exécutoire et ne peut faire l'objet d'un recours qu'avec la décision finale.
²	Ont qualité pour recourir la personne concernée ainsi que les autres personnes qui remplissent les conditions prévues à l'art. 48 PA41.
³	Le recours a un effet suspensif. L'art. 55, al. 2 à 4, PA est applicable.
⁴	En principe, il n'y a qu'un seul échange d'écritures.
⁵	Au surplus, les dispositions de la procédure fédérale sont applicables.

SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA) PA Art. 63
¹	En règle générale, les frais de procédure comprenant l'émolument d'arrêté, les émoluments de chancellerie et les débours sont mis, dans le dispositif, à la charge de la partie qui succombe. Si celle-ci n'est déboutée que partiellement, ces frais sont réduits. À titre exceptionnel, ils peuvent être entièrement remis.
²	Aucun frais de procédure n'est mis à la charge des autorités inférieures, ni des autorités fédérales recourantes et déboutées; si l'autorité recourante qui succombe n'est pas une autorité fédérale, les frais de procédure sont mis à sa charge dans la mesure où le litige porte sur des intérêts pécuniaires de collectivités ou d'établissements autonomes.
³	Des frais de procédure ne peuvent être mis à la charge de la partie qui a gain de cause que si elle les a occasionnés en violant des règles de procédure.
⁴	L'autorité de recours, son président ou le juge instructeur perçoit du recourant une avance de frais équivalant aux frais de procédure présumés. Elle lui impartit pour le versement de cette créance un délai raisonnable en l'avertissant qu'à défaut de paiement elle n'entrera pas en matière. Si des motifs particuliers le justifient, elle peut renoncer à percevoir la totalité ou une partie de l'avance de frais.101
^4bis	L'émolument d'arrêté est calculé en fonction de l'ampleur et de la difficulté de la cause, de la manière de procéder des parties et de leur situation financière. Son montant est fixé:
^a	entre 100 et 5000 francs dans les contestations non pécuniaires;
^b	entre 100 et 50 000 francs dans les autres contestations.102
⁵	Le Conseil fédéral établit un tarif des émoluments.103 L'art. 16, al. 1, let. a, de la loi du 17 juin 2005 sur le Tribunal administratif fédéral104 et l'art. 73 de la loi du 19 mars 2010 sur l'organisation des autorités pénales105 sont réservés.106