(Urteil des Präsidenten der Eidgenössischen Datenschutzkommission vom 15. März 1999)
Art. 8 DSG. Art. 2 Abs. 1 Bst. b VDSG. Art. 15 VwKV. Kostenpflichtigkeit der Auskunftserteilung bezüglich abgeschlossener Verfahrensakten.
- Wenn eine betroffene Person den datenschutzrechtlichen Anspruch auf Auskunftserteilung geltend macht, ist darüber - jedenfalls nach Abschluss des Verfahrens - nicht mehr nach dem anwendbaren Verfahrensrecht, sondern nach DSG zu entscheiden (E. 2).
- Grundsatz der Kostenlosigkeit der Auskunftserteilung nach DSG (E. 3).
- Begriff des «besonders grossen Arbeitsaufwandes», der gemäss Art. 2 Abs. 1 Bst. b

SR 235.11 Ordonnance du 31 août 2022 sur la protection des données (OPDo) OPDo Art. 2 Objectifs - En fonction du besoin de protection, le responsable du traitement et le sous-traitant prennent des mesures techniques et organisationnelles pour que les données traitées: |
|
a | ne soient accessibles qu'aux personnes autorisées (confidentialité); |
b | soient disponibles en cas de besoin (disponibilité); |
c | ne puissent être modifiées sans droit ou par mégarde (intégrité); |
d | soient traitées de manière à être traçables (traçabilité). |
Art. 8 LPD. Art. 2 al. 1 let. b OLPD. Art. 15 O sur les frais et indemnités en procédure administrative. Obligation de supporter les frais entraînés par la fourniture de renseignements relatifs au dossier d'une procédure close.
- Lorsqu'une personne concernée fait valoir son droit d'accès fondé sur les dispositions de la protection des données, sa demande ne doit plus être traitée - du moins après la clôture de la procédure - selon le droit de procédure applicable, mais selon la LPD (consid. 2).
- Principe de la gratuité des renseignements selon la LPD (consid. 3).
- Notion de «volume de travail considérable», qui justifie une participation du requérant aux frais selon l'art. 2 al. 1 let. b OLPD. Le maître du fichier jouit le cas échéant d'une certaine marge d'appréciation dans le calcul (E. 4).
Art. 8 LPD. Art. 2 cpv. 1 lett. b OLPD. Art. 15 O sulle spese e le indennità nella procedura amministrativa. Obbligo di sopportare i costi derivanti dalla comunicazione di informazioni relative all'incarto di una procedura conclusa.
- Se una persona interessata fa valere il diritto d'accesso basato sulle disposizioni sulla protezione dei dati, la sua domanda non deve più essere trattata - almeno dopo la conclusione della procedura - secondo il diritto di procedura applicabile, ma secondo la LPD (consid. 2).
- Principio della gratuità delle informazioni secondo la LPD (consid. 3).
- Nozione di «lavoro considerevole» che, secondo l'art. 2 cpv. 1 lett. b OLPD, giustifica la partecipazione del richiedente alle spese. Nel caso concreto il detentore delle collezioni di dati ha un certo margine di apprezzamento per il calcolo di tali spese (consid. 4).
A. Mit Schreiben vom 10. Juni 1998 ersuchte der Rechtsvertreter des Beschwerdeführers T. das Bundesamt für Flüchtlinge (BFF) gestützt auf Art. 8

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |

SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA) PA Art. 27 - 1 L'autorité ne peut refuser la consultation des pièces que si: |
|
1 | L'autorité ne peut refuser la consultation des pièces que si: |
a | des intérêts publics importants de la Confédération ou des cantons, en particulier la sécurité intérieure ou extérieure de la Confédération, exigent que le secret soit gardé; |
b | des intérêts privés importants, en particulier ceux de parties adverses, exigent que le secret soit gardé; |
c | l'intérêt d'une enquête officielle non encore close l'exige. |
2 | Le refus d'autoriser la consultation des pièces ne peut s'étendre qu'à celles qu'il y a lieu de garder secrètes. |
3 | La consultation par la partie de ses propres mémoires, des documents qu'elle a produits comme moyens de preuves et des décisions qui lui ont été notifiées ne peut pas lui être refusée. La consultation des procès-verbaux relatifs aux déclarations qu'elle a faites ne peut lui être refusée que jusqu'à la clôture de l'enquête. |
Nach telefonischer Intervention von Rechtsanwalt X. teilte das BFF diesem mit Schreiben vom 30. Juni 1998 mit, es sei übersehen worden, dass Akteneinsicht gestützt auf das DSG und nicht aufgrund des Bundesgesetzes vom 20. Dezember 1968 über das Verwaltungsverfahren (VwVG, SR 172.021) verlangt worden sei. Gestützt auf Art. 8

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
Mit Schreiben vom 3. Juli 1998 ersuchte Rechtsanwalt X. das BFF unter Hinweis auf BGE 123 II 534 um Wiedererwägung. Mit Schreiben vom 9. Juli 1998 lehnte das BFF diese ab und verwies den Beschwerdeführer auf den vorgesehenen Rechtsweg.
B. Mit Beschwerde vom 20. August 1998 stellte der Beschwerdeführer bei der Eidgenössischen Datenschutzkommission (EDSK) folgende Anträge:
«1. Die angefochtenen Verfügungen seien insoweit aufzuheben, als dem Beschwerdeführer die Einsicht in die bei der Vorinstanz liegenden Akten verweigert wird und für die Auskunftserteilung in Form von Kopien der Akten Kosten erhoben werden;
2. die Vorinstanz sei anzuweisen, dem Beschwerdeführer - soweit nicht bereits erfolgt - sämtliche Verfahrensakten in Kopien zuzustellen und die per Nachnahme erhobene Gebühr von Fr. 36.- an den Beschwerdeführer zurückzuerstatten;
3. (Antrag betreffend unentgeltliche Prozessführung)
alles unter Kosten- und Entschädigungsfolgen zu Lasten der Bundeskasse.»
Der Begründung lässt sich entnehmen, dass Gegenstand der Beschwerde einzig die Frage des Umfangs des Akteneinsichtsrechts und der Kostenpflicht bildete.
C. In seiner Vernehmlassung vom 24. September 1998 beantragte das BFF:
«1. Die vorliegende Beschwerde sei bezüglich der mit nachträglicher Verfügung wiedererwägungsweise gewährten Einsicht in die paginierten Akten, (Nummern...) gemäss Art. 8

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
2. Bezüglich der Akte A 5/1 sei die Beschwerde abzuweisen.
3. Hinsichtlich der für die Aktenedition verrechneten Kostengebühr von insgesamt Fr. 36.- (inkl. Portogebühren für Postnachnahme und Einschreiben) sei festzustellen, dass dem Beschwerdeführer aufgrund des verhältnismässig hohen Arbeits- und Personalaufwandes die anfallenden Kosten sowie die Gebühren für die Fertigung von Fotokopien gestützt auf Art. 2 Abs. 1 Bst. b der Verordnung vom 14. Juni 1993 zum Bundesgesetz über den Datenschutz zu Recht in Rechnung gestellt worden sind. Die Beschwerde sei daher bezüglich dieses und aller weiteren Begehren als ungerechtfertigt abzuweisen.
Unter Kostenfolge zulasten des Beschwerdeführers.»
In der Begründung wurde ausgeführt, dass nach nochmaliger Prüfung des Gesuchs vom 10. Juni 1998 in die Akten (...) wiedererwägungsweise Einsicht gewährt werde, was mit Verfügung vom 22. September 1998 nachgeholt worden sei. Somit bleibe einzig das Aktenstück A 5, über das keine Auskunft erteilt werde. Dies aufgrund des Umstandes, dass dieses eine Drittperson betreffe. Der Verfügung vom 15. Juni 1998 hafte diesbezüglich somit nur der leichte Mangel an, dass der Grund, der zur Auskunftsverweigerung führte, nicht angegeben worden sei. Am materiellen Ergebnis ändere sich jedoch nichts.
Bezüglich der Kostenerhebung wurde unter Hinweis auf Art. 2 Abs. 1 Bst. b

SR 235.11 Ordonnance du 31 août 2022 sur la protection des données (OPDo) OPDo Art. 2 Objectifs - En fonction du besoin de protection, le responsable du traitement et le sous-traitant prennent des mesures techniques et organisationnelles pour que les données traitées: |
|
a | ne soient accessibles qu'aux personnes autorisées (confidentialité); |
b | soient disponibles en cas de besoin (disponibilité); |
c | ne puissent être modifiées sans droit ou par mégarde (intégrité); |
d | soient traitées de manière à être traçables (traçabilité). |
Auskunftsbegehrens nach DSG unabhängig vom Umfang des Dossiers in jedem Fall gross sei, was nach Auffassung des Beschwerdegegners eine grundsätzliche Kostenbeteiligung rechtfertige. Es sei allerdings darauf hinzuweisen, dass das BFF (auch bei Akteneinsichtsgesuchen nach VwVG) bei Kosten unter Fr. 10.- die Kostenbeteiligung erlasse, da hierbei der Aufwand in keinem Verhältnis zum Nutzen stünde. In diesem Sinne seien für die am 22.6.1998 wiedererwägungsweise erteilte Auskunft keine Kosten in Rechnung gestellt worden.
D. Mit Schreiben vom 26. Oktober 1998 teilte Rechtsanwalt X. mit, dass die Beschwerde nach der wiedererwägungsweisen Aufhebung der angefochtenen Verfügungen des Beschwerdegegners und der antragsgemässen Auskunftserteilung hinsichtlich der Akten (Nr. ...) gegenstandslos geworden sei. Hinsichtlich des Aktenstücks Nr. A 5/1 wurde die Beschwerde zurückgezogen.
Im Übrigen hielt der Beschwerdeführer daran fest, dass die Erhebung einer Gebühr für das Erstellen und den Versand der Aktenkopien Art. 8 Abs. 5

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
Die vom Beschwerdegegner angeführten Gründe vermöchten keine Ausnahme von der grundsätzlichen Kostenlosigkeit der Auskunftserteilung nach Art. 8 Abs. 5

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |

SR 235.11 Ordonnance du 31 août 2022 sur la protection des données (OPDo) OPDo Art. 2 Objectifs - En fonction du besoin de protection, le responsable du traitement et le sous-traitant prennent des mesures techniques et organisationnelles pour que les données traitées: |
|
a | ne soient accessibles qu'aux personnes autorisées (confidentialité); |
b | soient disponibles en cas de besoin (disponibilité); |
c | ne puissent être modifiées sans droit ou par mégarde (intégrité); |
d | soient traitées de manière à être traçables (traçabilité). |

SR 235.11 Ordonnance du 31 août 2022 sur la protection des données (OPDo) OPDo Art. 2 Objectifs - En fonction du besoin de protection, le responsable du traitement et le sous-traitant prennent des mesures techniques et organisationnelles pour que les données traitées: |
|
a | ne soient accessibles qu'aux personnes autorisées (confidentialité); |
b | soient disponibles en cas de besoin (disponibilité); |
c | ne puissent être modifiées sans droit ou par mégarde (intégrité); |
d | soient traitées de manière à être traçables (traçabilité). |
VDSG in keiner Weise zu vereinbaren.
E. Das BFF seinerseits hält in seiner abschliessenden Stellungnahme vom 19. November 1998 dafür, man könnte den durchschnittlichen Aufwand für die Erledigung eines einzelnen Auskunftsgesuchs nach Art. 8

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
Beschwerdegegner auf Abweisung der Beschwerde, soweit sie noch zu beurteilen ist.
Aus den Erwägungen:
1. Nachdem die Beschwerde teilweise zufolge Wiedererwägung durch den Beschwerdegegner gegenstandslos und bezüglich des einzigen von der Auskunftserteilung noch ausgenommenen Aktenstückes zurückgezogen worden ist, ist vorliegend einzig noch über die Frage der Kostenpflichtigkeit der Auskunftserteilung (Art. 2

SR 235.11 Ordonnance du 31 août 2022 sur la protection des données (OPDo) OPDo Art. 2 Objectifs - En fonction du besoin de protection, le responsable du traitement et le sous-traitant prennent des mesures techniques et organisationnelles pour que les données traitées: |
|
a | ne soient accessibles qu'aux personnes autorisées (confidentialité); |
b | soient disponibles en cas de besoin (disponibilité); |
c | ne puissent être modifiées sans droit ou par mégarde (intégrité); |
d | soient traitées de manière à être traçables (traçabilité). |

SR 235.11 Ordonnance du 31 août 2022 sur la protection des données (OPDo) OPDo Art. 2 Objectifs - En fonction du besoin de protection, le responsable du traitement et le sous-traitant prennent des mesures techniques et organisationnelles pour que les données traitées: |
|
a | ne soient accessibles qu'aux personnes autorisées (confidentialité); |
b | soient disponibles en cas de besoin (disponibilité); |
c | ne puissent être modifiées sans droit ou par mégarde (intégrité); |
d | soient traitées de manière à être traçables (traçabilité). |
2. Der Beschwerdeführer macht im vorliegenden Verfahren geltend, das durch seinen Anwalt erstmals mit Schreiben vom 10. Juni 1998 gestellte Gesuch um Akteneinsicht stütze sich auf Art. 8

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |

SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA) PA Art. 27 - 1 L'autorité ne peut refuser la consultation des pièces que si: |
|
1 | L'autorité ne peut refuser la consultation des pièces que si: |
a | des intérêts publics importants de la Confédération ou des cantons, en particulier la sécurité intérieure ou extérieure de la Confédération, exigent que le secret soit gardé; |
b | des intérêts privés importants, en particulier ceux de parties adverses, exigent que le secret soit gardé; |
c | l'intérêt d'une enquête officielle non encore close l'exige. |
2 | Le refus d'autoriser la consultation des pièces ne peut s'étendre qu'à celles qu'il y a lieu de garder secrètes. |
3 | La consultation par la partie de ses propres mémoires, des documents qu'elle a produits comme moyens de preuves et des décisions qui lui ont été notifiées ne peut pas lui être refusée. La consultation des procès-verbaux relatifs aux déclarations qu'elle a faites ne peut lui être refusée que jusqu'à la clôture de l'enquête. |

SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA) PA Art. 35 - 1 Même si l'autorité les notifie sous forme de lettre, les décisions écrites sont désignées comme telles, motivées, et indiquent les voies de droit. |
|
1 | Même si l'autorité les notifie sous forme de lettre, les décisions écrites sont désignées comme telles, motivées, et indiquent les voies de droit. |
2 | L'indication des voies de droit mentionne le moyen de droit ordinaire qui est ouvert, l'autorité à laquelle il doit être adressé et le délai pour l'utiliser. |
3 | L'autorité peut renoncer à motiver la décision et à indiquer les moyens de droit, si elle fait entièrement droit aux conclusions des parties et si aucune partie ne réclame une motivation. |
Verbindung mit Art. 45 Abs. 2 Bst. e

SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA) PA Art. 45 - 1 Les décisions incidentes qui sont notifiées séparément et qui portent sur la compétence ou sur une demande de récusation peuvent faire l'objet d'un recours. |
|
1 | Les décisions incidentes qui sont notifiées séparément et qui portent sur la compétence ou sur une demande de récusation peuvent faire l'objet d'un recours. |
2 | Ces décisions ne peuvent plus être attaquées ultérieurement. |

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
Gemäss BGE 123 II 534 f., 538 E. 2e bestehen das aus dem Anspruch auf rechtliches Gehör gemäss Art. 4

SR 101 Constitution fédérale de la Confédération suisse du 18 avril 1999 Cst. Art. 4 Langues nationales - Les langues nationales sont l'allemand, le français, l'italien et le romanche. |

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |
beschlagen wird. Insofern, als eine betroffene Person den datenschutzrechtlichen Anspruch geltend macht, ist darüber - jedenfalls nach Abschluss des Verfahrens - nicht mehr nach dem anwendbaren Verfahrensrecht, sondern nach Datenschutzgesetz zu entscheiden. Das zuständige Bundesorgan kann den datenschutzrechtlich vorgesehenen Rechtsmittelweg nicht dadurch vereiteln, dass es den geltend gemachten Anspruch anstatt nach DSG nach anderen Rechtsgrundlagen beurteilt (BGE 123 II 539 E. 2f).
3. Dass die datenschutzrechtliche Auskunft gemäss Art. 8 Abs. 5

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |

SR 235.11 Ordonnance du 31 août 2022 sur la protection des données (OPDo) OPDo Art. 2 Objectifs - En fonction du besoin de protection, le responsable du traitement et le sous-traitant prennent des mesures techniques et organisationnelles pour que les données traitées: |
|
a | ne soient accessibles qu'aux personnes autorisées (confidentialité); |
b | soient disponibles en cas de besoin (disponibilité); |
c | ne puissent être modifiées sans droit ou par mégarde (intégrité); |
d | soient traitées de manière à être traçables (traçabilité). |

SR 235.11 Ordonnance du 31 août 2022 sur la protection des données (OPDo) OPDo Art. 2 Objectifs - En fonction du besoin de protection, le responsable du traitement et le sous-traitant prennent des mesures techniques et organisationnelles pour que les données traitées: |
|
a | ne soient accessibles qu'aux personnes autorisées (confidentialité); |
b | soient disponibles en cas de besoin (disponibilité); |
c | ne puissent être modifiées sans droit ou par mégarde (intégrité); |
d | soient traitées de manière à être traçables (traçabilité). |
explizit auf das DSG berufen hatte, wurden keine weiteren Kostenbeteiligungen mehr verlangt.
4. Art. 2 Abs. 1 Bst. b

SR 235.11 Ordonnance du 31 août 2022 sur la protection des données (OPDo) OPDo Art. 2 Objectifs - En fonction du besoin de protection, le responsable du traitement et le sous-traitant prennent des mesures techniques et organisationnelles pour que les données traitées: |
|
a | ne soient accessibles qu'aux personnes autorisées (confidentialité); |
b | soient disponibles en cas de besoin (disponibilité); |
c | ne puissent être modifiées sans droit ou par mégarde (intégrité); |
d | soient traitées de manière à être traçables (traçabilité). |
Nach der Praxis der EDSK (vgl. z. B. Urteil vom 20. Februar 1998, VPB 64.71) richtet sich die Angemessenheit der Kostenbeteiligung einerseits nach dem Aufwand der datenbearbeitenden Stelle und andererseits nach dem persönlichkeitsverletzenden Potential der gespeicherten Daten im Einzelfall. Ist die Gefahr einer Persönlichkeitsverletzung besonders hoch, so besteht ein akzentuiertes Auskunftsbedürfnis. Dieses wiederum rechtfertigt es, die Auskunft durch einen niedrig bemessenen Kostenanteil zu erleichtern (Dubach, a.a.O., N. 43 zu Art. 8). Da die Maximalgebühr vom Gesetzgeber bewusst niedrig gehalten wurde, um in komplexen Fällen die Kosten der Auskunftserteilung nicht so hoch werden zu lassen, dass dadurch der Auskunftsanspruch faktisch ausgehöhlt würde (Dubach, a. a. O., N. 45), dürfen indessen nach dem zitierten Urteil die Anforderungen für eine Ausschöpfung dieser Maximalgebühr auch nicht allzu hoch gestellt werden. Dem Inhaber der Datensammlung muss bei der Bemessung auch ein gewisser Ermessensspielraum zugebilligt werden. Aus diesen Gründen sah die EDSK im damals beurteilten Fall keinen Anlass, von der vom datenbearbeitenden Organ festgesetzten Kostenbeteiligung von Fr. 300.- abzuweichen. Die Kostenbeteiligung hat
aber angemessen zu sein; wenn deshalb der Verordnungsgeber die Kostenbeteiligung selbst bei extrem grossem Aufwand auf Fr. 300.- limitierte, wollte er damit offensichtlich nicht ausschliessen, dass die Kostenbeteiligung bei nicht ganz so grossem Aufwand auch einen kleineren Betrag ausmachen kann (vgl. z. B. Urteil der EDSK vom 4. September 1998 i. S. C. gegen S., wo eine maximale Kostenbeteiligung von Fr. 200.- als angemessen erachtet wurde).
Im vorliegenden Fall macht der Beschwerdegegner besonderen Aufwand geltend für die Abklärung, welche Akten Personendaten enthalten und in welchem Umfang diese bekannt gegeben werden dürfen oder müssen, was unter Umständen den Beizug einer juristischen Fachperson sowie der Datenschutzberaterin des Amtes erfordere. Erschwerend komme hinzu, dass die Dossierführung des Amtes auf die sich aus dem VwVG ergebenden Grundsätze - insbesondere zur Akteneinsicht - ausgerichtet sei, während für die Auskunftserteilung nach DSG andere Kriterien massgebend seien; grundsätzlich seien sämtliche Akten mit Personendaten zu edieren, auch wenn es sich um für den Entscheid unwesentliche Akten handelte. Es könne somit nicht auf die Klassifizierung gemäss Aktenverzeichnis im Asylverfahren zurückgegriffen werden, sondern es habe eine neue Bewertung zu erfolgen. Daraus ergebe sich, dass der Aufwand für die Behandlung eines Auskunftsbegehrens nach DSG unabhängig vom Umfang des Dossiers in jedem Fall gross sei und eine Kostenbeteiligung rechtfertige.
Dieses Argument erscheint grundsätzlich berechtigt. Insbesondere kann dem Beschwerdegegner nicht entgegengehalten werden, seine Aktenarchivierung sei unzulänglich oder unzweckmässig, da sie auf verfahrensrechtliche und nicht auf spezifisch datenschutzrechtliche, d. h. personenbezogene Kriterien abstellt, weil es sich eben um Verfahrensakten handelt. Sie erlaubt es deshalb dem BFF, sich gegenüber Auskunftsbegehren gemäss Art. 8

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
|
1 | Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. |
2 | Les mesures doivent permettre d'éviter toute violation de la sécurité des données. |
3 | Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. |

SR 235.11 Ordonnance du 31 août 2022 sur la protection des données (OPDo) OPDo Art. 2 Objectifs - En fonction du besoin de protection, le responsable du traitement et le sous-traitant prennent des mesures techniques et organisationnelles pour que les données traitées: |
|
a | ne soient accessibles qu'aux personnes autorisées (confidentialité); |
b | soient disponibles en cas de besoin (disponibilité); |
c | ne puissent être modifiées sans droit ou par mégarde (intégrité); |
d | soient traitées de manière à être traçables (traçabilité). |
Dokumente der EDSK