Bundesverwaltungsgericht
Tribunal administratif fédéral
Tribunale amministrativo federale
Tribunal administrativ federal


Abteilung I

A-5715/2018

Urteil vom 3. September 2019

Richter Christoph Bandli (Vorsitz),

Besetzung Richter Maurizio Greppi, Richterin Christine Ackermann,

Gerichtsschreiberin Rahel Gresch.

Eidgenössischer Datenschutz- und

Öffentlichkeitsbeauftragter EDÖB,
Parteien
Feldeggweg 1, 3003 Bern,

Beschwerdeführer,

gegen

Eidgenössische Steuerverwaltung ESTV,

Dienst für Informationsaustausch in Steuersachen SEI,

Eigerstrasse 65, 3003 Bern,

Beschwerdegegnerin,

Eidgenössisches Finanzdepartement EFD,

Generalsekretariat, Rechtsdienst,

Bundesgasse 3, 3003 Bern,

Vorinstanz.

Gegenstand Empfehlung des EDÖB in Sachen Recht auf Information in der internationalen Amtshilfe in Steuersachen.

Sachverhalt:

A.
Dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) lagen Hinweise vor, dass seitens der amerikanischen Internal Revenue Service (IRS) Amtshilfeersuchen an die Eidgenössische Steuerverwaltung (ESTV) gerichtet worden seien. Die ESTV habe vor, die Namen von über 100 Personen offen an die US-amerikanischen Steuerbehörden - an den Internal Revenue Service (IRS) - zu übermitteln. Es stelle sich die Frage, ob es hierbei um die Namen von Personen gehe, die vom Amtshilfeverfahren gar nicht betroffen sind und nur zufällig in den Akten erscheinen würden, was zur Folge hätte, dass sie vorgängig über die Übermittlung zu informieren und auf das ihnen zustehende Recht auf Schwärzung ihrer Namen aufmerksam zu machen wären.

Der EDÖB forderte deshalb mit der Eröffnung einer Sachverhaltsabklärung gemäss Art. 27
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 27 Einschränkungen des Auskunftsrechts für Medien - 1 Werden Personendaten ausschliesslich zur Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet, so kann der Verantwortliche aus einem der folgenden Gründe die Auskunft verweigern, einschränken oder aufschieben:
1    Werden Personendaten ausschliesslich zur Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet, so kann der Verantwortliche aus einem der folgenden Gründe die Auskunft verweigern, einschränken oder aufschieben:
a  Die Daten geben Aufschluss über die Informationsquellen.
b  Durch die Auskunft würde Einsicht in Entwürfe für Publikationen gewährt.
c  Die Veröffentlichung würde die freie Meinungsbildung des Publikums gefährden.
2    Medienschaffende können die Auskunft zudem verweigern, einschränken oder aufschieben, wenn ihnen die Personendaten ausschliesslich als persönliches Arbeitsinstrument dienen.
des Bundesgesetzes über den Datenschutz vom 19. Juni 1992 (DSG, SR 235.1) am 10. November 2017 die ESTV auf, ihn über die Sachlage aufzuklären und darzulegen, wie der Persönlichkeitsschutz betroffener Personen sichergestellt werde.

B.
Nach Durchführung der Sachverhaltsabklärung erliess der EDÖB am 18. Dezember 2017 eine Empfehlung betreffend das Recht auf Information in der internationalen Amtshilfe in Steuersachen durch die ESTV. Der EDÖB empfahl der ESTV Folgendes:

"1. Die ESTV stellt sicher, dass in der Steueramtshilfe das Recht auf Information gemäss Art. 14 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 14 Information der beschwerdeberechtigten Personen - 1 Die ESTV informiert die betroffene Person über die wesentlichen Teile des Ersuchens.27
1    Die ESTV informiert die betroffene Person über die wesentlichen Teile des Ersuchens.27
2    Sie informiert die weiteren Personen, von deren Beschwerdeberechtigung nach Artikel 19 Absatz 2 sie aufgrund der Akten ausgehen muss, über das Amtshilfeverfahren.28
3    Ist eine Person nach Absatz 1 oder 2 (beschwerdeberechtigte Person) im Ausland ansässig, so ersucht die ESTV die Informationsinhaberin oder den Informationsinhaber, diese Person aufzufordern, in der Schweiz eine zur Zustellung bevollmächtigte Person zu bezeichnen. Sie setzt hierfür eine Frist.
4    Sie kann die im Ausland ansässige beschwerdeberechtigte Person direkt informieren, wenn:
a  es zulässig ist, Schriftstücke im betreffenden Staat durch die Post zuzustellen; oder
b  die ersuchende Behörde diesem Vorgehen im Einzelfall ausdrücklich zustimmt.29
5    Kann eine beschwerdeberechtigte Person nicht erreicht werden, so informiert die ESTV sie auf dem Weg der ersuchenden Behörde oder durch Veröffentlichung im Bundesblatt über das Ersuchen. Sie fordert sie auf, eine zur Zustellung bevollmächtigte Person zu bezeichnen. Sie setzt hierfür eine Frist von zehn Tagen.30
StAhiG beachtet wird und dementsprechend sämtliche vom Amtshilfeersuchen nicht formell betroffenen Personen (d.h. Drittpersonen), betreffend welche Informationen offen an die ersuchende Behörde übermittelt werden sollen, vorgängig der Übermittlung informiert werden und somit die Möglichkeit erhalten, das ihnen nach Art. 19 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 19 Beschwerdeverfahren - 1 Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
1    Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
2    Zur Beschwerde berechtigt sind die betroffene Person sowie weitere Personen unter den Voraussetzungen von Artikel 48 VwVG40.
3    Die Beschwerde hat aufschiebende Wirkung. Artikel 55 Absätze 2-4 VwVG ist anwendbar.
4    Es findet grundsätzlich nur ein Schriftenwechsel statt.
5    Im Übrigen gelten die Bestimmungen über die Bundesrechtspflege.
StAhiG zustehende Beschwerderecht auszuüben."

C.
Am 18. Januar 2018 teilte die ESTV dem EDÖB mit, seine Empfehlung sei mit der völkerrechtlichen Verpflichtung der Schweiz, einen wirksamen Informationsaustausch sicherzustellen, nicht vereinbar, weshalb sie von ihr abgelehnt werde.

D.
Nachdem der EDÖB am 13. Februar 2018 beim Eidgenössischen Finanzdepartement (EFD) gestützt auf Art. 27 Abs. 5
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 27 Einschränkungen des Auskunftsrechts für Medien - 1 Werden Personendaten ausschliesslich zur Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet, so kann der Verantwortliche aus einem der folgenden Gründe die Auskunft verweigern, einschränken oder aufschieben:
1    Werden Personendaten ausschliesslich zur Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet, so kann der Verantwortliche aus einem der folgenden Gründe die Auskunft verweigern, einschränken oder aufschieben:
a  Die Daten geben Aufschluss über die Informationsquellen.
b  Durch die Auskunft würde Einsicht in Entwürfe für Publikationen gewährt.
c  Die Veröffentlichung würde die freie Meinungsbildung des Publikums gefährden.
2    Medienschaffende können die Auskunft zudem verweigern, einschränken oder aufschieben, wenn ihnen die Personendaten ausschliesslich als persönliches Arbeitsinstrument dienen.
DSG den Antrag stellte, dass die ESTV zu verpflichten sei, seine Empfehlung umzusetzen, erliess das EFD am 20. September 2018 eine Verfügung. Darin verfügte der Vorsteher des EFD, dass der Antrag des EDÖB abgelehnt werde.

E.
Am 5. Oktober 2018 erhebt der EDÖB (nachfolgend: Beschwerdeführer) gegen die Verfügung des EFD (nachfolgend: Vorinstanz) Beschwerde beim Bundesverwaltungsgericht. Er beantragt:

"1. Die Verfügung des EFD vom 20. September 2018 sei aufzuheben.

2.Die Beschwerdegegnerin sei zu verpflichten, dass sie in der US-Steueramtshilfe sowie in allen anderen Bereichen der internationalen Steueramtshilfe, wo sich das Recht auf Information mangels abweichender Be-stimmungen des im Einzelfall anwendbaren Abkommens nach dem StAhiG richtet, die vom Amtshilfeersuchen nicht formell betroffenen Personen (d.h. Drittpersonen), betreffend welcher Informationen offen an die ersuchende Behörde übermittelt werden sollen, in Übereinstimmung mit Art. 14 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 14 Information der beschwerdeberechtigten Personen - 1 Die ESTV informiert die betroffene Person über die wesentlichen Teile des Ersuchens.27
1    Die ESTV informiert die betroffene Person über die wesentlichen Teile des Ersuchens.27
2    Sie informiert die weiteren Personen, von deren Beschwerdeberechtigung nach Artikel 19 Absatz 2 sie aufgrund der Akten ausgehen muss, über das Amtshilfeverfahren.28
3    Ist eine Person nach Absatz 1 oder 2 (beschwerdeberechtigte Person) im Ausland ansässig, so ersucht die ESTV die Informationsinhaberin oder den Informationsinhaber, diese Person aufzufordern, in der Schweiz eine zur Zustellung bevollmächtigte Person zu bezeichnen. Sie setzt hierfür eine Frist.
4    Sie kann die im Ausland ansässige beschwerdeberechtigte Person direkt informieren, wenn:
a  es zulässig ist, Schriftstücke im betreffenden Staat durch die Post zuzustellen; oder
b  die ersuchende Behörde diesem Vorgehen im Einzelfall ausdrücklich zustimmt.29
5    Kann eine beschwerdeberechtigte Person nicht erreicht werden, so informiert die ESTV sie auf dem Weg der ersuchenden Behörde oder durch Veröffentlichung im Bundesblatt über das Ersuchen. Sie fordert sie auf, eine zur Zustellung bevollmächtigte Person zu bezeichnen. Sie setzt hierfür eine Frist von zehn Tagen.30
i.V.m. Art. 19 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 19 Beschwerdeverfahren - 1 Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
1    Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
2    Zur Beschwerde berechtigt sind die betroffene Person sowie weitere Personen unter den Voraussetzungen von Artikel 48 VwVG40.
3    Die Beschwerde hat aufschiebende Wirkung. Artikel 55 Absätze 2-4 VwVG ist anwendbar.
4    Es findet grundsätzlich nur ein Schriftenwechsel statt.
5    Im Übrigen gelten die Bestimmungen über die Bundesrechtspflege.
StAhiG vorgängig der Übermittlung zu informieren hat."

Der Beschwerdeführer begründet seinen Antrag im Wesentlichen damit, dass das Gesuch des IRS zu allgemein formuliert sei und somit die Anforderungen an die Betroffenheit gemäss Art. 4 Abs. 3
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 4 Grundsätze - 1 ...11
1    ...11
2    Das Amtshilfeverfahren wird zügig durchgeführt.
3    Die Übermittlung von Informationen zu Personen, die nicht betroffene Personen sind, ist unzulässig, wenn diese Informationen für die Beurteilung der Steuersituation der betroffenen Person nicht voraussichtlich relevant sind oder wenn berechtigte Interessen von Personen, die nicht betroffene Personen sind, das Interesse der ersuchenden Seite an der Übermittlung der Informationen überwiegen.12
des Steueramtshilfegesetzes vom 28. September 2012 (StAhiG, SR 651.1), die sich nach dem Kriterium der voraussichtlichen Erheblichkeit richtet, missachte. Zudem hält er fest, dass die Beschwerdebefugnis nach Art. 19 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 19 Beschwerdeverfahren - 1 Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
1    Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
2    Zur Beschwerde berechtigt sind die betroffene Person sowie weitere Personen unter den Voraussetzungen von Artikel 48 VwVG40.
3    Die Beschwerde hat aufschiebende Wirkung. Artikel 55 Absätze 2-4 VwVG ist anwendbar.
4    Es findet grundsätzlich nur ein Schriftenwechsel statt.
5    Im Übrigen gelten die Bestimmungen über die Bundesrechtspflege.
StAhiG den von einer Datenübermittlung betroffenen Drittpersonen generell zustehe, da die Übermittlung von Drittpersonendaten durch Art. 4 Abs. 3
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 4 Grundsätze - 1 ...11
1    ...11
2    Das Amtshilfeverfahren wird zügig durchgeführt.
3    Die Übermittlung von Informationen zu Personen, die nicht betroffene Personen sind, ist unzulässig, wenn diese Informationen für die Beurteilung der Steuersituation der betroffenen Person nicht voraussichtlich relevant sind oder wenn berechtigte Interessen von Personen, die nicht betroffene Personen sind, das Interesse der ersuchenden Seite an der Übermittlung der Informationen überwiegen.12
StAhiG grundsätzlich untersagt werde und lediglich ausnahmsweise erlaubt sei, wenn die Daten voraussichtlich erheblich seien. Wer auch immer als Drittperson von einer offenen Übermittlung seiner Daten betroffen sei, müsse berechtigt sein, den materiell-rechtlichen Schutz, welcher ihm aufgrund von Art. 4 Abs. 3
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 4 Grundsätze - 1 ...11
1    ...11
2    Das Amtshilfeverfahren wird zügig durchgeführt.
3    Die Übermittlung von Informationen zu Personen, die nicht betroffene Personen sind, ist unzulässig, wenn diese Informationen für die Beurteilung der Steuersituation der betroffenen Person nicht voraussichtlich relevant sind oder wenn berechtigte Interessen von Personen, die nicht betroffene Personen sind, das Interesse der ersuchenden Seite an der Übermittlung der Informationen überwiegen.12
StAhiG zustehe, prozessual durchzusetzen.

F.
Die Vorinstanz beantragt in ihrer Vernehmlassung vom 9. November 2018, die Beschwerde sei abzuweisen und hält an den in ihrer Verfügung gemachten Ausführungen vollumfänglich fest. Sie macht geltend, dass Gegenstand der Empfehlung des Beschwerdeführers und damit der angefochtenen Verfügung lediglich die Frage sei, ob Drittpersonen bei Datenlieferungen vorgängig zu informieren seien, weshalb einzig diese Frage Streitgegenstand bilden könne. Gemäss bundesgerichtlicher Rechtsprechung sei bei der Bestimmung der Beschwerdebefugnis nach Art. 19 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 19 Beschwerdeverfahren - 1 Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
1    Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
2    Zur Beschwerde berechtigt sind die betroffene Person sowie weitere Personen unter den Voraussetzungen von Artikel 48 VwVG40.
3    Die Beschwerde hat aufschiebende Wirkung. Artikel 55 Absätze 2-4 VwVG ist anwendbar.
4    Es findet grundsätzlich nur ein Schriftenwechsel statt.
5    Im Übrigen gelten die Bestimmungen über die Bundesrechtspflege.
StAhiG der gleiche Massstab anzuwenden wie in Rechtshilfeverfahren. Es sei deshalb als geltende Praxis anzuerkennen, dass bloss indirekt betroffene Personen nicht als beschwerdeberechtigt zu betrachten und damit auch nicht von Amtes wegen über die bevorstehende Amtshilfe zu informieren seien. Zudem dürfe die Einräumung von Verfahrensrechten die gesetzlich gewollte Beschleunigung des Amtshilfeverfahrens nicht beeinträchtigen.

G.
Die ESTV (nachfolgend: Beschwerdegegnerin) beantragt in ihrer Beschwerdeantwort vom 9. November 2018 die Abweisung der Beschwerde. Auch sie betont, die Frage der Schwärzung von Drittpersonendaten sei nicht Streitgegenstand des vorliegenden Beschwerdeverfahrens. Zudem bestreitet sie, solche Daten ins Ausland zu übermitteln, ohne dass die Voraussetzungen der voraussichtlichen Erheblichkeit erfüllt wären. Es bestünde gemäss bundesgerichtlicher Rechtsprechung gestützt auf Art. 14 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 14 Information der beschwerdeberechtigten Personen - 1 Die ESTV informiert die betroffene Person über die wesentlichen Teile des Ersuchens.27
1    Die ESTV informiert die betroffene Person über die wesentlichen Teile des Ersuchens.27
2    Sie informiert die weiteren Personen, von deren Beschwerdeberechtigung nach Artikel 19 Absatz 2 sie aufgrund der Akten ausgehen muss, über das Amtshilfeverfahren.28
3    Ist eine Person nach Absatz 1 oder 2 (beschwerdeberechtigte Person) im Ausland ansässig, so ersucht die ESTV die Informationsinhaberin oder den Informationsinhaber, diese Person aufzufordern, in der Schweiz eine zur Zustellung bevollmächtigte Person zu bezeichnen. Sie setzt hierfür eine Frist.
4    Sie kann die im Ausland ansässige beschwerdeberechtigte Person direkt informieren, wenn:
a  es zulässig ist, Schriftstücke im betreffenden Staat durch die Post zuzustellen; oder
b  die ersuchende Behörde diesem Vorgehen im Einzelfall ausdrücklich zustimmt.29
5    Kann eine beschwerdeberechtigte Person nicht erreicht werden, so informiert die ESTV sie auf dem Weg der ersuchenden Behörde oder durch Veröffentlichung im Bundesblatt über das Ersuchen. Sie fordert sie auf, eine zur Zustellung bevollmächtigte Person zu bezeichnen. Sie setzt hierfür eine Frist von zehn Tagen.30
i.V.m. Art. 19 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 19 Beschwerdeverfahren - 1 Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
1    Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
2    Zur Beschwerde berechtigt sind die betroffene Person sowie weitere Personen unter den Voraussetzungen von Artikel 48 VwVG40.
3    Die Beschwerde hat aufschiebende Wirkung. Artikel 55 Absätze 2-4 VwVG ist anwendbar.
4    Es findet grundsätzlich nur ein Schriftenwechsel statt.
5    Im Übrigen gelten die Bestimmungen über die Bundesrechtspflege.
StAhiG für sie keine Verpflichtung, sämtliche Drittpersonen ex officio über ein laufendes Amtshilfeverfahren zu informieren. Demzufolge erweise sich ihre Praxis als bundesrechtskonform.

H.
In seinen Schlussbemerkungen vom 13. Dezember 2018 hält der Beschwerdeführer an seinen Anträgen fest und macht ergänzende Ausführungen.

I.
Auf die weitergehenden Ausführungen der Parteien und die sich bei den Akten befindlichen Schriftstücke wird - soweit entscheidrelevant - in den nachfolgenden Erwägungen eingegangen.

Das Bundesverwaltungsgericht zieht in Erwägung:

1.

1.1 Gemäss Art. 31
SR 173.32 Bundesgesetz vom 17. Juni 2005 über das Bundesverwaltungsgericht (Verwaltungsgerichtsgesetz, VGG) - Verwaltungsgerichtsgesetz
VGG Art. 31 Grundsatz - Das Bundesverwaltungsgericht beurteilt Beschwerden gegen Verfügungen nach Artikel 5 des Bundesgesetzes vom 20. Dezember 196819 über das Verwaltungsverfahren (VwVG).
des Bundesgesetzes über das Bundesverwaltungsgericht vom 17. Juni 2005 (Verwaltungsgerichtsgesetz (VGG, SR 173.32) beurteilt das Bundesverwaltungsgericht Beschwerden gegen Verfügungen nach Art. 5
SR 172.021 Bundesgesetz vom 20. Dezember 1968 über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG) - Verwaltungsverfahrensgesetz
VwVG Art. 5 - 1 Als Verfügungen gelten Anordnungen der Behörden im Einzelfall, die sich auf öffentliches Recht des Bundes stützen und zum Gegenstand haben:
1    Als Verfügungen gelten Anordnungen der Behörden im Einzelfall, die sich auf öffentliches Recht des Bundes stützen und zum Gegenstand haben:
a  Begründung, Änderung oder Aufhebung von Rechten oder Pflichten;
b  Feststellung des Bestehens, Nichtbestehens oder Umfanges von Rechten oder Pflichten;
c  Abweisung von Begehren auf Begründung, Änderung, Aufhebung oder Feststellung von Rechten oder Pflichten oder Nichteintreten auf solche Begehren.
2    Als Verfügungen gelten auch Vollstreckungsverfügungen (Art. 41 Abs. 1 Bst. a und b), Zwischenverfügungen (Art. 45 und 46), Einspracheentscheide (Art. 30 Abs. 2 Bst. b und 74), Beschwerdeentscheide (Art. 61), Entscheide im Rahmen einer Revision (Art. 68) und die Erläuterung (Art. 69).25
3    Erklärungen von Behörden über Ablehnung oder Erhebung von Ansprüchen, die auf dem Klageweg zu verfolgen sind, gelten nicht als Verfügungen.
VwVG. Weil keine Ausnahme nach Art. 32
SR 173.32 Bundesgesetz vom 17. Juni 2005 über das Bundesverwaltungsgericht (Verwaltungsgerichtsgesetz, VGG) - Verwaltungsgerichtsgesetz
VGG Art. 32 Ausnahmen - 1 Die Beschwerde ist unzulässig gegen:
1    Die Beschwerde ist unzulässig gegen:
a  Verfügungen auf dem Gebiet der inneren und äusseren Sicherheit des Landes, der Neutralität, des diplomatischen Schutzes und der übrigen auswärtigen Angelegenheiten, soweit das Völkerrecht nicht einen Anspruch auf gerichtliche Beurteilung einräumt;
b  Verfügungen betreffend die politische Stimmberechtigung der Bürger und Bürgerinnen sowie Volkswahlen und -abstimmungen;
c  Verfügungen über leistungsabhängige Lohnanteile des Bundespersonals, soweit sie nicht die Gleichstellung der Geschlechter betreffen;
d  ...
e  Verfügungen auf dem Gebiet der Kernenergie betreffend:
e1  Rahmenbewilligungen von Kernanlagen,
e2  die Genehmigung des Entsorgungsprogramms,
e3  den Verschluss von geologischen Tiefenlagern,
e4  den Entsorgungsnachweis;
f  Verfügungen über die Erteilung oder Ausdehnung von Infrastrukturkonzessionen für Eisenbahnen;
g  Verfügungen der unabhängigen Beschwerdeinstanz für Radio und Fernsehen;
h  Verfügungen über die Erteilung von Konzessionen für Spielbanken;
i  Verfügungen über die Erteilung, Änderung oder Erneuerung der Konzession für die Schweizerische Radio- und Fernsehgesellschaft (SRG);
j  Verfügungen über die Beitragsberechtigung einer Hochschule oder einer anderen Institution des Hochschulbereichs.
2    Die Beschwerde ist auch unzulässig gegen:
a  Verfügungen, die nach einem anderen Bundesgesetz durch Einsprache oder durch Beschwerde an eine Behörde im Sinne von Artikel 33 Buchstaben c-f anfechtbar sind;
b  Verfügungen, die nach einem anderen Bundesgesetz durch Beschwerde an eine kantonale Behörde anfechtbar sind.
VGG vorliegt und das EFD eine Vorinstanz nach Art. 33 Bst. d
SR 173.32 Bundesgesetz vom 17. Juni 2005 über das Bundesverwaltungsgericht (Verwaltungsgerichtsgesetz, VGG) - Verwaltungsgerichtsgesetz
VGG Art. 33 Vorinstanzen - Die Beschwerde ist zulässig gegen Verfügungen:
a  des Bundesrates und der Organe der Bundesversammlung auf dem Gebiet des Arbeitsverhältnisses des Bundespersonals einschliesslich der Verweigerung der Ermächtigung zur Strafverfolgung;
b  des Bundesrates betreffend:
b1  die Amtsenthebung eines Mitgliedes des Bankrats, des Direktoriums oder eines Stellvertreters oder einer Stellvertreterin nach dem Nationalbankgesetz vom 3. Oktober 200325,
b10  die Abberufung eines Verwaltungsratsmitglieds der Schweizerischen Trassenvergabestelle oder die Genehmigung der Auflösung des Arbeitsverhältnisses der Geschäftsführerin oder des Geschäftsführers durch den Verwaltungsrat nach dem Eisenbahngesetz vom 20. Dezember 195743;
b2  die Abberufung eines Verwaltungsratsmitgliedes der Eidgenössischen Finanzmarktaufsicht oder die Genehmigung der Auflösung des Arbeitsverhältnisses der Direktorin oder des Direktors durch den Verwaltungsrat nach dem Finanzmarktaufsichtsgesetz vom 22. Juni 200726,
b3  die Sperrung von Vermögenswerten gestützt auf das Bundesgesetz vom 18. Dezember 201528 über die Sperrung und die Rückerstattung unrechtmässig erworbener Vermögenswerte ausländischer politisch exponierter Personen,
b4  das Verbot von Tätigkeiten nach dem NDG30,
b5bis  die Abberufung eines Mitglieds des Institutsrats des Eidgenössischen Instituts für Metrologie nach dem Bundesgesetz vom 17. Juni 201133 über das Eidgenössische Institut für Metrologie,
b6  die Abberufung eines Verwaltungsratsmitglieds der Eidgenössischen Revisionsaufsichtsbehörde oder die Genehmigung der Auflösung des Arbeitsverhältnisses der Direktorin oder des Direktors durch den Verwaltungsrat nach dem Revisionsaufsichtsgesetz vom 16. Dezember 200535,
b7  die Abberufung eines Mitglieds des Institutsrats des Schweizerischen Heilmittelinstituts nach dem Heilmittelgesetz vom 15. Dezember 200037,
b8  die Abberufung eines Verwaltungsratsmitglieds der Anstalt nach dem Ausgleichsfondsgesetz vom 16. Juni 201739,
b9  die Abberufung eines Mitglieds des Institutsrats des Schweizerischen Instituts für Rechtsvergleichung nach dem Bundesgesetz vom 28. September 201841 über das Schweizerische Institut für Rechtsvergleichung,
c  des Bundesstrafgerichts auf dem Gebiet des Arbeitsverhältnisses seiner Richter und Richterinnen und seines Personals;
cbis  des Bundespatentgerichts auf dem Gebiet des Arbeitsverhältnisses seiner Richter und Richterinnen und seines Personals;
cquater  des Bundesanwaltes oder der Bundesanwältin auf dem Gebiet des Arbeitsverhältnisses der von ihm oder ihr gewählten Staatsanwälte und Staatsanwältinnen sowie des Personals der Bundesanwaltschaft;
cquinquies  der Aufsichtsbehörde über die Bundesanwaltschaft auf dem Gebiet des Arbeitsverhältnisses ihres Sekretariats;
cter  der Aufsichtsbehörde über die Bundesanwaltschaft auf dem Gebiet des Arbeitsverhältnisses der von der Vereinigten Bundesversammlung gewählten Mitglieder der Bundesanwaltschaft;
d  der Bundeskanzlei, der Departemente und der ihnen unterstellten oder administrativ zugeordneten Dienststellen der Bundesverwaltung;
e  der Anstalten und Betriebe des Bundes;
f  der eidgenössischen Kommissionen;
g  der Schiedsgerichte auf Grund öffentlich-rechtlicher Verträge des Bundes, seiner Anstalten und Betriebe;
h  der Instanzen oder Organisationen ausserhalb der Bundesverwaltung, die in Erfüllung ihnen übertragener öffentlich-rechtlicher Aufgaben des Bundes verfügen;
i  kantonaler Instanzen, soweit ein Bundesgesetz gegen ihre Verfügungen die Beschwerde an das Bundesverwaltungsgericht vorsieht.
VGG ist, ist das Bundesverwaltungsgericht zur Beurteilung der vorliegenden Beschwerde zuständig.

1.2 Der EDÖB überwacht die Einhaltung des DSG und der übrigen Datenschutzvorschriften des Bundes durch die Bundesorgane (Art. 27 Abs. 1
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 27 Einschränkungen des Auskunftsrechts für Medien - 1 Werden Personendaten ausschliesslich zur Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet, so kann der Verantwortliche aus einem der folgenden Gründe die Auskunft verweigern, einschränken oder aufschieben:
1    Werden Personendaten ausschliesslich zur Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet, so kann der Verantwortliche aus einem der folgenden Gründe die Auskunft verweigern, einschränken oder aufschieben:
a  Die Daten geben Aufschluss über die Informationsquellen.
b  Durch die Auskunft würde Einsicht in Entwürfe für Publikationen gewährt.
c  Die Veröffentlichung würde die freie Meinungsbildung des Publikums gefährden.
2    Medienschaffende können die Auskunft zudem verweigern, einschränken oder aufschieben, wenn ihnen die Personendaten ausschliesslich als persönliches Arbeitsinstrument dienen.
DSG). Im Rahmen der Aufsicht über Bundesorgane ist er gemäss Art. 27 Abs. 6
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 27 Einschränkungen des Auskunftsrechts für Medien - 1 Werden Personendaten ausschliesslich zur Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet, so kann der Verantwortliche aus einem der folgenden Gründe die Auskunft verweigern, einschränken oder aufschieben:
1    Werden Personendaten ausschliesslich zur Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet, so kann der Verantwortliche aus einem der folgenden Gründe die Auskunft verweigern, einschränken oder aufschieben:
a  Die Daten geben Aufschluss über die Informationsquellen.
b  Durch die Auskunft würde Einsicht in Entwürfe für Publikationen gewährt.
c  Die Veröffentlichung würde die freie Meinungsbildung des Publikums gefährden.
2    Medienschaffende können die Auskunft zudem verweigern, einschränken oder aufschieben, wenn ihnen die Personendaten ausschliesslich als persönliches Arbeitsinstrument dienen.
DSG befugt, gegen Verfügungen eines Departements nach Art. 27 Abs. 5
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 27 Einschränkungen des Auskunftsrechts für Medien - 1 Werden Personendaten ausschliesslich zur Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet, so kann der Verantwortliche aus einem der folgenden Gründe die Auskunft verweigern, einschränken oder aufschieben:
1    Werden Personendaten ausschliesslich zur Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet, so kann der Verantwortliche aus einem der folgenden Gründe die Auskunft verweigern, einschränken oder aufschieben:
a  Die Daten geben Aufschluss über die Informationsquellen.
b  Durch die Auskunft würde Einsicht in Entwürfe für Publikationen gewährt.
c  Die Veröffentlichung würde die freie Meinungsbildung des Publikums gefährden.
2    Medienschaffende können die Auskunft zudem verweigern, einschränken oder aufschieben, wenn ihnen die Personendaten ausschliesslich als persönliches Arbeitsinstrument dienen.
DSG Beschwerde zu führen, wobei sich das Beschwerdeverfahren nach den allgemeinen Bestimmungen über die Bundesrechtspflege richtet (vgl. Urteil des BVGer A-4467/2011 vom 10. April 2012 E. 1.2; Bruno Baeriswyl, in: Baeriswyl/Pärli [Hrsg.] Stämpflis Handkommentar zum DSG, 2015, Art. 27 Rz. 47 f.; René Huber, in: Maurer-Lambrou/Blechta [Hrsg.], Basler Kommentar Datenschutzgesetz und Öffentlichkeitsgesetz, 3. Aufl. 2014 [nachfolgend: BSK DSG], Art. 27 Rz. 15a).

1.3 Zunächst ist vorliegend auf den konkreten Streitgegenstand einzugehen.

1.3.1 Streitgegenstand im Verfahren vor dem Bundesverwaltungsgericht ist das durch die Verfügung geregelte Rechtsverhältnis, soweit dieses angefochten wird. Er wird einerseits bestimmt durch den Gegenstand der angefochtenen Verfügung (Anfechtungsgegenstand), andererseits durch die Parteibegehren. Das Anfechtungsobjekt bildet den Rahmen, welcher den möglichen Umfang des Streitgegenstandes begrenzt. Gegenstand des Beschwerdeverfahrens kann nur sein, was Gegenstand des erstinstanzlichen Verfahrens war oder nach richtiger Gesetzesauslegung hätte sein sollen. Gegenstände, über welche die erste Instanz nicht entschieden hat und über welche sie nicht entscheiden musste, darf die zweite Instanz grundsätzlich nicht beurteilen. Der Streitgegenstand wird gemäss der Dispositionsmaxime durch die Parteibegehren definiert. Er darf sich im Laufe des Rechtsmittelzuges nicht erweitern und qualitativ nicht verändern (Moser/Beusch/Kneubühler, Prozessieren vor dem Bundesverwaltungsgericht, 2. Aufl. 2013, Rz. 2.8, 208 und 2.213, je mit Hinweisen).

1.3.2 Die Vorinstanz und die Beschwerdegegnerin bringen vor, Gegenstand des vorliegenden Beschwerdeverfahrens sei lediglich die Frage, ob Drittpersonen bei Datenlieferungen vorgängig zu informieren seien. Die Frage der Schwärzung von Daten von Drittpersonen und ob diese überhaupt im Rahmen eines Amtshilfeverfahrens übermittelt werden dürfen, sei nicht Gegenstand der angefochtenen Verfügung.

1.3.3 Zu Recht sind sich die Parteien einig, dass der Streitgegenstand vorliegend die Frage umfasst, ob Drittpersonen, die von einem Amtshilfeverfahren nicht formell betroffen sind, in Übereinstimmung mit Art. 14 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 14 Information der beschwerdeberechtigten Personen - 1 Die ESTV informiert die betroffene Person über die wesentlichen Teile des Ersuchens.27
1    Die ESTV informiert die betroffene Person über die wesentlichen Teile des Ersuchens.27
2    Sie informiert die weiteren Personen, von deren Beschwerdeberechtigung nach Artikel 19 Absatz 2 sie aufgrund der Akten ausgehen muss, über das Amtshilfeverfahren.28
3    Ist eine Person nach Absatz 1 oder 2 (beschwerdeberechtigte Person) im Ausland ansässig, so ersucht die ESTV die Informationsinhaberin oder den Informationsinhaber, diese Person aufzufordern, in der Schweiz eine zur Zustellung bevollmächtigte Person zu bezeichnen. Sie setzt hierfür eine Frist.
4    Sie kann die im Ausland ansässige beschwerdeberechtigte Person direkt informieren, wenn:
a  es zulässig ist, Schriftstücke im betreffenden Staat durch die Post zuzustellen; oder
b  die ersuchende Behörde diesem Vorgehen im Einzelfall ausdrücklich zustimmt.29
5    Kann eine beschwerdeberechtigte Person nicht erreicht werden, so informiert die ESTV sie auf dem Weg der ersuchenden Behörde oder durch Veröffentlichung im Bundesblatt über das Ersuchen. Sie fordert sie auf, eine zur Zustellung bevollmächtigte Person zu bezeichnen. Sie setzt hierfür eine Frist von zehn Tagen.30
i.V.m. Art. 19 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 19 Beschwerdeverfahren - 1 Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
1    Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
2    Zur Beschwerde berechtigt sind die betroffene Person sowie weitere Personen unter den Voraussetzungen von Artikel 48 VwVG40.
3    Die Beschwerde hat aufschiebende Wirkung. Artikel 55 Absätze 2-4 VwVG ist anwendbar.
4    Es findet grundsätzlich nur ein Schriftenwechsel statt.
5    Im Übrigen gelten die Bestimmungen über die Bundesrechtspflege.
StAhiG darüber zu informieren sind, wenn die Beschwerdegegnerin im Rahmen der internationalen Steueramtshilfe sie (d.h. die Drittpersonen) betreffende Daten zu übermitteln gedenkt. Dies geht auch aus der Empfehlung des Beschwerdeführers vom 18. Dezember 2017 hervor, wonach er sich nicht veranlasst sieht, hinsichtlich der Praxis des Beschwerdegegners zum Recht auf Schwärzung eine Empfehlung zu erlassen (Empfehlung EDÖB, Abschnitt II, Ziff. 1, S. 5). Im Übrigen würde sich die Frage der Information nicht mehr stellen, sobald Daten geschwärzt werden.

1.4 Auf die form- und fristgerecht eingereichte Beschwerde (Art. 50
SR 172.021 Bundesgesetz vom 20. Dezember 1968 über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG) - Verwaltungsverfahrensgesetz
VwVG Art. 50 - 1 Die Beschwerde ist innerhalb von 30 Tagen nach Eröffnung der Verfügung einzureichen.
1    Die Beschwerde ist innerhalb von 30 Tagen nach Eröffnung der Verfügung einzureichen.
2    Gegen das unrechtmässige Verweigern oder Verzögern einer Verfügung kann jederzeit Beschwerde geführt werden.
und 52
SR 172.021 Bundesgesetz vom 20. Dezember 1968 über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG) - Verwaltungsverfahrensgesetz
VwVG Art. 52 - 1 Die Beschwerdeschrift hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift des Beschwerdeführers oder seines Vertreters zu enthalten; die Ausfertigung der angefochtenen Verfügung und die als Beweismittel angerufenen Urkunden sind beizulegen, soweit der Beschwerdeführer sie in Händen hat.
1    Die Beschwerdeschrift hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift des Beschwerdeführers oder seines Vertreters zu enthalten; die Ausfertigung der angefochtenen Verfügung und die als Beweismittel angerufenen Urkunden sind beizulegen, soweit der Beschwerdeführer sie in Händen hat.
2    Genügt die Beschwerde diesen Anforderungen nicht oder lassen die Begehren des Beschwerdeführers oder deren Begründung die nötige Klarheit vermissen und stellt sich die Beschwerde nicht als offensichtlich unzulässig heraus, so räumt die Beschwerdeinstanz dem Beschwerdeführer eine kurze Nachfrist zur Verbesserung ein.
3    Sie verbindet diese Nachfrist mit der Androhung, nach unbenutztem Fristablauf auf Grund der Akten zu entscheiden oder, wenn Begehren, Begründung oder Unterschrift fehlen, auf die Beschwerde nicht einzutreten.
VwVG) ist daher im soeben dargestellten Umfang einzutreten.

2.
Das Bundesverwaltungsgericht prüft die Entscheide seiner Vorinstanzen mit voller Kognition. Gerügt werden kann daher gemäss Art. 49
SR 172.021 Bundesgesetz vom 20. Dezember 1968 über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG) - Verwaltungsverfahrensgesetz
VwVG Art. 49 - Der Beschwerdeführer kann mit der Beschwerde rügen:
a  Verletzung von Bundesrecht einschliesslich Überschreitung oder Missbrauch des Ermessens;
b  unrichtige oder unvollständige Feststellung des rechtserheblichen Sachverhaltes;
c  Unangemessenheit; die Rüge der Unangemessenheit ist unzulässig, wenn eine kantonale Behörde als Beschwerdeinstanz verfügt hat.
VwVG die Verletzung von Bundesrecht - einschliesslich Überschreitung oder Missbrauch des Ermessens -, die unrichtige oder unvollständige Feststellung des rechtserheblichen Sachverhalts sowie die Unangemessenheit des angefochtenen Entscheids.

3.
Umstritten ist vorliegend, ob Personen, die formell nicht in einem Amtshilfeverfahren involviert sind, sog. Drittpersonen, betreffend welchen Informationen offen an eine ersuchende Behörde übermittelt werden sollen, in Übereinstimmung mit Art. 14 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 14 Information der beschwerdeberechtigten Personen - 1 Die ESTV informiert die betroffene Person über die wesentlichen Teile des Ersuchens.27
1    Die ESTV informiert die betroffene Person über die wesentlichen Teile des Ersuchens.27
2    Sie informiert die weiteren Personen, von deren Beschwerdeberechtigung nach Artikel 19 Absatz 2 sie aufgrund der Akten ausgehen muss, über das Amtshilfeverfahren.28
3    Ist eine Person nach Absatz 1 oder 2 (beschwerdeberechtigte Person) im Ausland ansässig, so ersucht die ESTV die Informationsinhaberin oder den Informationsinhaber, diese Person aufzufordern, in der Schweiz eine zur Zustellung bevollmächtigte Person zu bezeichnen. Sie setzt hierfür eine Frist.
4    Sie kann die im Ausland ansässige beschwerdeberechtigte Person direkt informieren, wenn:
a  es zulässig ist, Schriftstücke im betreffenden Staat durch die Post zuzustellen; oder
b  die ersuchende Behörde diesem Vorgehen im Einzelfall ausdrücklich zustimmt.29
5    Kann eine beschwerdeberechtigte Person nicht erreicht werden, so informiert die ESTV sie auf dem Weg der ersuchenden Behörde oder durch Veröffentlichung im Bundesblatt über das Ersuchen. Sie fordert sie auf, eine zur Zustellung bevollmächtigte Person zu bezeichnen. Sie setzt hierfür eine Frist von zehn Tagen.30
i.V.m. Art. 19 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 19 Beschwerdeverfahren - 1 Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
1    Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
2    Zur Beschwerde berechtigt sind die betroffene Person sowie weitere Personen unter den Voraussetzungen von Artikel 48 VwVG40.
3    Die Beschwerde hat aufschiebende Wirkung. Artikel 55 Absätze 2-4 VwVG ist anwendbar.
4    Es findet grundsätzlich nur ein Schriftenwechsel statt.
5    Im Übrigen gelten die Bestimmungen über die Bundesrechtspflege.
StAhiG, vorgängig der Übermittlung von der Beschwerdegegnerin zu informieren sind.

Im Folgenden sind vorab die anwendbaren Rechtsgrundlagen und die dazugehörige Rechtsprechung sowohl des Datenschutzrechts als auch der internationalen Amtshilfe in Steuersachen sowie deren Verhältnis zueinander darzulegen. In einem zweiten Schritt sind die entsprechenden Folgerungen daraus aufzuzeigen.

4.

4.1 Das DSG bezweckt den Schutz der Persönlichkeit und der Grundrechte von Personen, über die Daten bearbeitet werden (Art. 1
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 1 Zweck - Dieses Gesetz bezweckt den Schutz der Persönlichkeit und der Grundrechte von natürlichen Personen, über die Personendaten bearbeitet werden.
DSG). Es gilt unter anderem für das Bearbeiten von Daten natürlicher und juristischer Personen durch die Bundesorgane (Art. 2 Abs. 1 Bst. b
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 2 Persönlicher und sachlicher Geltungsbereich - 1 Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
1    Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
a  private Personen;
b  Bundesorgane.
2    Es ist nicht anwendbar auf:
a  Personendaten, die von einer natürlichen Person ausschliesslich zum persönlichen Gebrauch bearbeitet werden;
b  Personendaten, die von den eidgenössischen Räten und den parlamentarischen Kommissionen im Rahmen ihrer Beratungen bearbeitet werden;
c  Personendaten, die bearbeitet werden durch institutionelle Begünstigte nach Artikel 2 Absatz 1 des Gaststaatgesetzes vom 22. Juni 20073, die in der Schweiz Immunität von der Gerichtsbarkeit geniessen.
3    Das anwendbare Verfahrensrecht regelt die Bearbeitung von Personendaten und die Rechte der betroffenen Personen in Gerichtsverfahren und in Verfahren nach bundesrechtlichen Verfahrensordnungen. Auf erstinstanzliche Verwaltungsverfahren sind die Bestimmungen dieses Gesetzes anwendbar.
4    Die öffentlichen Register des Privatrechtsverkehrs, insbesondere der Zugang zu diesen Registern und die Rechte der betroffenen Personen, werden durch die Spezialbestimmungen des anwendbaren Bundesrechts geregelt. Enthalten die Spezialbestimmungen keine Regelung, so ist dieses Gesetz anwendbar.
DSG), zu denen die Vorinstanz und die Beschwerdegegnerin gehören (Urteil des BVGer A-6080/2016 vom 23. Februar 2018 E. 4.5.1).

4.1.1 Jeder Mensch hat nach Art. 8 Abs. 1
IR 0.101 Konvention vom 4. November 1950 zum Schutze der Menschenrechte und Grundfreiheiten (EMRK)
EMRK Art. 8 Recht auf Achtung des Privat- und Familienlebens - (1) Jede Person hat das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung und ihrer Korrespondenz.
der Konvention vom 4. November 1950 zum Schutze der Menschenrechte und Grundfreiheiten (EMRK, SR 0.101) das Recht auf Achtung seines Privatlebens. Unter diesem Blickwinkel werden die Speicherung und Verwertung von Informationen durch den Staat sowie die Einsicht in gespeicherte Informationen beurteilt. Gemäss Art. 13
SR 101 Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999
BV Art. 13 Schutz der Privatsphäre - 1 Jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihres Brief-, Post- und Fernmeldeverkehrs.
1    Jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihres Brief-, Post- und Fernmeldeverkehrs.
2    Jede Person hat Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten.
der Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999 (BV, SR 101) hat jede Person Anspruch auf Achtung ihrer Privatsphäre und Schutz vor Missbrauch ihrer persönlichen Daten (vgl. diesbezüglich auch BGE 136 II 508 E. 6.3.1 f.). Dieser Anspruch bildet Teil der verfassungsmässigen Garantie der Privatsphäre und Kernbestandteil des Datenschutzgesetzes (Art. 1
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 1 Zweck - Dieses Gesetz bezweckt den Schutz der Persönlichkeit und der Grundrechte von natürlichen Personen, über die Personendaten bearbeitet werden.
DSG) und räumt jeder Person das Recht darauf ein, selbst zu entscheiden, wann und wem sie persönliche Lebenssachverhalte, aber auch Gedanken, Empfindungen und Ähnliches preisgibt. Dieses verfassungsmässige Recht auf informationelle Selbstbestimmung (Art. 13 Abs. 2
SR 101 Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999
BV Art. 13 Schutz der Privatsphäre - 1 Jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihres Brief-, Post- und Fernmeldeverkehrs.
1    Jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihres Brief-, Post- und Fernmeldeverkehrs.
2    Jede Person hat Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten.
BV und Art. 8 Ziff. 1
IR 0.101 Konvention vom 4. November 1950 zum Schutze der Menschenrechte und Grundfreiheiten (EMRK)
EMRK Art. 8 Recht auf Achtung des Privat- und Familienlebens - (1) Jede Person hat das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung und ihrer Korrespondenz.
EMRK) lässt grundsätzlich ohne Rücksicht darauf, wie sensibel die fraglichen Informationen tatsächlich sind, dem Einzelnen die Herrschaft über seine personenbezogenen Daten zukommen und schützt ihn vor Beeinträchtigungen, die durch die staatliche Bearbeitung seiner persönlichen Daten entstehen (Rainer J. Schweizer, in: Ehrenzeller/Schindler/Schweizer/Vallender [Hrsg.], Die Schweizerische Bundesverfassung, St. Galler Kommentar, 3. Aufl. 2014, Art. 13 Rz. 85 ff.; Jörg Paul Müller/Markus Schefer, Grundrechte in der Schweiz, Im Rahmen der Bundesverfassung, der EMRK und der UNO-Pakte, 4. Aufl. 2008, S. 164 ff.; Urs Maurer-Lambrou/Simon Kunz, BSK DSG, Art. 1 Rz. 19 und 23 mit Hinweisen).

4.1.2 Das Datenschutzgesetz ergänzt und konkretisiert den bereits durch das Schweizerische Zivilgesetzbuch vom 10. Dezember 1907 (ZGB, SR 210) gewährleisteten Schutz (BGE 136 II 508 E. 6.3.2; BGE 127 III 481 E. 3.a.bb mit Hinweis). Da jegliche Form des Datenbearbeitens das verfassungsrechtlich verankerte Recht auf informationelle Selbstbestimmung sowie allgemein das Recht auf persönliche Freiheit gemäss Art. 10
SR 101 Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999
BV Art. 10 Recht auf Leben und auf persönliche Freiheit - 1 Jeder Mensch hat das Recht auf Leben. Die Todesstrafe ist verboten.
1    Jeder Mensch hat das Recht auf Leben. Die Todesstrafe ist verboten.
2    Jeder Mensch hat das Recht auf persönliche Freiheit, insbesondere auf körperliche und geistige Unversehrtheit und auf Bewegungsfreiheit.
3    Folter und jede andere Art grausamer, unmenschlicher oder erniedrigender Behandlung oder Bestrafung sind verboten.
BV tangiert, ist sie nur dann rechtmässig, wenn die in Art. 36
SR 101 Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999
BV Art. 36 Einschränkungen von Grundrechten - 1 Einschränkungen von Grundrechten bedürfen einer gesetzlichen Grundlage. Schwerwiegende Einschränkungen müssen im Gesetz selbst vorgesehen sein. Ausgenommen sind Fälle ernster, unmittelbarer und nicht anders abwendbarer Gefahr.
1    Einschränkungen von Grundrechten bedürfen einer gesetzlichen Grundlage. Schwerwiegende Einschränkungen müssen im Gesetz selbst vorgesehen sein. Ausgenommen sind Fälle ernster, unmittelbarer und nicht anders abwendbarer Gefahr.
2    Einschränkungen von Grundrechten müssen durch ein öffentliches Interesse oder durch den Schutz von Grundrechten Dritter gerechtfertigt sein.
3    Einschränkungen von Grundrechten müssen verhältnismässig sein.
4    Der Kerngehalt der Grundrechte ist unantastbar.
BV vorgesehenen Schranken eingehalten sind. Die Bestimmungen des Datenschutzrechts sind letztlich Wertungen darüber, wann eine Datenbearbeitung einen schwerwiegenden Grundrechtseingriff darstellt. Der bereichsspezifische Gesetzgeber ist nicht an das Schutzniveau des Datenschutzgesetzgebers gebunden; er kann andere Wertungen bzw. Regelungen vorsehen (Maurer-Lambrou/Kunz, a.a.O., Art. 1 Rz. 15; Yvonne Jöhri, in: Rosenthal/Jöhri [Hrsg.], Handkommentar zum Datenschutzgesetz, Zürich 2008, Art. 17
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 17 Ausnahmen - 1 Abweichend von Artikel 16 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden:
1    Abweichend von Artikel 16 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden:
a  Die betroffene Person hat ausdrücklich in die Bekanntgabe eingewilligt.
b  Die Bekanntgabe steht in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags:
b1  zwischen dem Verantwortlichen und der betroffenen Person; oder
b2  zwischen dem Verantwortlichen und seiner Vertragspartnerin oder seinem Vertragspartner im Interesse der betroffenen Person.
c  Die Bekanntgabe ist notwendig für:
c1  die Wahrung eines überwiegenden öffentlichen Interesses; oder
c2  die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor einem Gericht oder einer anderen zuständigen ausländischen Behörde.
d  Die Bekanntgabe ist notwendig, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu schützen, und es ist nicht möglich, innerhalb einer angemessenen Frist die Einwilligung der betroffenen Person einzuholen.
e  Die betroffene Person hat die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt.
f  Die Daten stammen aus einem gesetzlich vorgesehenen Register, das öffentlich oder Personen mit einem schutzwürdigen Interesse zugänglich ist, soweit im Einzelfall die gesetzlichen Voraussetzungen der Einsichtnahme erfüllt sind.
2    Der Verantwortliche oder der Auftragsbearbeiter informiert den EDÖB auf Anfrage über die Bekanntgabe von Personendaten nach Absatz 1 Buchstaben b Ziffer 2, c und d.
Rz. 35 f., [nachfolgend: Handkommentar DSG]). Das Bundesgericht hat diesbezüglich festgehalten, dass sich weder aus dem Gesetz noch aus den allgemeinen Grundsätzen ergebe, dass das Datenschutzgesetz inhaltliche Anforderungen an die Ausgestaltung anderer, spezieller Gesetze enthalte (BGE 124 I 176 E. 5c/ee). Der Gesetzgeber kann somit in bereichsspezifischen Rechtsgrundlagen von gewissen allgemeinen Prinzipien oder Wertungen des Datenschutzrechts abweichen, so dass einzelnen Bestimmungen des Datenschutzgesetzes keine eigenständige materielle Bedeutung mehr zukommt. Soweit aber nicht eine abschliessende spezialgesetzliche Norm vorliegt, müssen die Bundesorgane immer auch die allgemeinen Bestimmungen von Art. 4 ff
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 4 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter - 1 Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
1    Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
2    Von der Aufsicht durch den EDÖB sind ausgenommen:
a  die Bundesversammlung;
b  der Bundesrat;
c  die eidgenössischen Gerichte;
d  die Bundesanwaltschaft: betreffend die Bearbeitung von Personendaten im Rahmen von Strafverfahren;
e  Bundesbehörden: betreffend die Bearbeitung von Personendaten im Rahmen einer rechtsprechenden Tätigkeit oder von Verfahren der internationalen Rechtshilfe in Strafsachen.
. DSG beachten. Schliesslich sind die Grundsätze des Datenschutzgesetzes auch bei der Auslegung bereichsspezifischer Normen zu berücksichtigen (vgl. Urteil des Bundesgerichts 2A.534/2001 vom 15. März 2002 E. 5, BGE 126 II 126 E. 5b und 5c; Botschaft vom 23. März 1988 zum DSG in BBl 1988 II 467; Jöhri, a.a.O., Art. 17
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 17 Ausnahmen - 1 Abweichend von Artikel 16 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden:
1    Abweichend von Artikel 16 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden:
a  Die betroffene Person hat ausdrücklich in die Bekanntgabe eingewilligt.
b  Die Bekanntgabe steht in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags:
b1  zwischen dem Verantwortlichen und der betroffenen Person; oder
b2  zwischen dem Verantwortlichen und seiner Vertragspartnerin oder seinem Vertragspartner im Interesse der betroffenen Person.
c  Die Bekanntgabe ist notwendig für:
c1  die Wahrung eines überwiegenden öffentlichen Interesses; oder
c2  die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor einem Gericht oder einer anderen zuständigen ausländischen Behörde.
d  Die Bekanntgabe ist notwendig, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu schützen, und es ist nicht möglich, innerhalb einer angemessenen Frist die Einwilligung der betroffenen Person einzuholen.
e  Die betroffene Person hat die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt.
f  Die Daten stammen aus einem gesetzlich vorgesehenen Register, das öffentlich oder Personen mit einem schutzwürdigen Interesse zugänglich ist, soweit im Einzelfall die gesetzlichen Voraussetzungen der Einsichtnahme erfüllt sind.
2    Der Verantwortliche oder der Auftragsbearbeiter informiert den EDÖB auf Anfrage über die Bekanntgabe von Personendaten nach Absatz 1 Buchstaben b Ziffer 2, c und d.
Rz. 5).

4.2 Der Grundsatzartikel von Art. 4
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 4 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter - 1 Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
1    Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
2    Von der Aufsicht durch den EDÖB sind ausgenommen:
a  die Bundesversammlung;
b  der Bundesrat;
c  die eidgenössischen Gerichte;
d  die Bundesanwaltschaft: betreffend die Bearbeitung von Personendaten im Rahmen von Strafverfahren;
e  Bundesbehörden: betreffend die Bearbeitung von Personendaten im Rahmen einer rechtsprechenden Tätigkeit oder von Verfahren der internationalen Rechtshilfe in Strafsachen.
DSG enthält die für Private und Bundesorgane wichtigsten materiellen Grundsätze, die bei einer Bearbeitung von Personendaten eingehalten werden müssen. Damit soll eine uneingeschränkte, übermässige oder zweckwidrige Datenbearbeitung vermieden werden (Urs Maurer-Lambrou/Andrea Steiner, BSK DSG, Art. 4 Rz. 2). Für Bundesorgane bedeutet dies, dass jegliches Bearbeiten von Personendaten einen Eingriff in die Grundrechte bedeutet, weshalb dafür eine gesetzliche Grundlage das Handeln legitimieren muss (Art. 4
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 4 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter - 1 Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
1    Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
2    Von der Aufsicht durch den EDÖB sind ausgenommen:
a  die Bundesversammlung;
b  der Bundesrat;
c  die eidgenössischen Gerichte;
d  die Bundesanwaltschaft: betreffend die Bearbeitung von Personendaten im Rahmen von Strafverfahren;
e  Bundesbehörden: betreffend die Bearbeitung von Personendaten im Rahmen einer rechtsprechenden Tätigkeit oder von Verfahren der internationalen Rechtshilfe in Strafsachen.
. Abs. 1 DSG), was in Art. 17 Abs. 1
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 17 Ausnahmen - 1 Abweichend von Artikel 16 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden:
1    Abweichend von Artikel 16 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden:
a  Die betroffene Person hat ausdrücklich in die Bekanntgabe eingewilligt.
b  Die Bekanntgabe steht in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags:
b1  zwischen dem Verantwortlichen und der betroffenen Person; oder
b2  zwischen dem Verantwortlichen und seiner Vertragspartnerin oder seinem Vertragspartner im Interesse der betroffenen Person.
c  Die Bekanntgabe ist notwendig für:
c1  die Wahrung eines überwiegenden öffentlichen Interesses; oder
c2  die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor einem Gericht oder einer anderen zuständigen ausländischen Behörde.
d  Die Bekanntgabe ist notwendig, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu schützen, und es ist nicht möglich, innerhalb einer angemessenen Frist die Einwilligung der betroffenen Person einzuholen.
e  Die betroffene Person hat die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt.
f  Die Daten stammen aus einem gesetzlich vorgesehenen Register, das öffentlich oder Personen mit einem schutzwürdigen Interesse zugänglich ist, soweit im Einzelfall die gesetzlichen Voraussetzungen der Einsichtnahme erfüllt sind.
2    Der Verantwortliche oder der Auftragsbearbeiter informiert den EDÖB auf Anfrage über die Bekanntgabe von Personendaten nach Absatz 1 Buchstaben b Ziffer 2, c und d.
DSG auch festgehalten wird (vgl. dazu ausführlich das Urteil des BVGer A-3548/2018 vom 19. März 2019 E. 5.4; Baeriswyl, a.a.O., Art. 4
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 4 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter - 1 Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
1    Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
2    Von der Aufsicht durch den EDÖB sind ausgenommen:
a  die Bundesversammlung;
b  der Bundesrat;
c  die eidgenössischen Gerichte;
d  die Bundesanwaltschaft: betreffend die Bearbeitung von Personendaten im Rahmen von Strafverfahren;
e  Bundesbehörden: betreffend die Bearbeitung von Personendaten im Rahmen einer rechtsprechenden Tätigkeit oder von Verfahren der internationalen Rechtshilfe in Strafsachen.
Rz. 6 ff.).

4.3 Art. 6
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 6 Grundsätze - 1 Personendaten müssen rechtmässig bearbeitet werden.
1    Personendaten müssen rechtmässig bearbeitet werden.
2    Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein.
3    Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist.
4    Sie werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.
5    Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern. Sie oder er muss alle angemessenen Massnahmen treffen, damit die Daten berichtigt, gelöscht oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind. Die Angemessenheit der Massnahmen hängt namentlich ab von der Art und dem Umfang der Bearbeitung sowie vom Risiko, das die Bearbeitung für die Persönlichkeit oder Grundrechte der betroffenen Personen mit sich bringt.
6    Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird.
7    Die Einwilligung muss ausdrücklich erfolgen für:
a  die Bearbeitung von besonders schützenswerten Personendaten;
b  ein Profiling mit hohem Risiko durch eine private Person; oder
c  ein Profiling durch ein Bundesorgan.
DSG verlangt schliesslich, dass Personendaten, welche den Hoheitsbereich des Schweizer Rechts verlassen, im Ausland dennoch einem Mindestmass an Datenschutz unterliegen.

4.3.1 Gemäss Art. 6 Abs. 1
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 6 Grundsätze - 1 Personendaten müssen rechtmässig bearbeitet werden.
1    Personendaten müssen rechtmässig bearbeitet werden.
2    Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein.
3    Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist.
4    Sie werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.
5    Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern. Sie oder er muss alle angemessenen Massnahmen treffen, damit die Daten berichtigt, gelöscht oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind. Die Angemessenheit der Massnahmen hängt namentlich ab von der Art und dem Umfang der Bearbeitung sowie vom Risiko, das die Bearbeitung für die Persönlichkeit oder Grundrechte der betroffenen Personen mit sich bringt.
6    Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird.
7    Die Einwilligung muss ausdrücklich erfolgen für:
a  die Bearbeitung von besonders schützenswerten Personendaten;
b  ein Profiling mit hohem Risiko durch eine private Person; oder
c  ein Profiling durch ein Bundesorgan.
DSG dürfen Personendaten nicht ins Ausland bekannt gegeben werden, wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde, namentlich, weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet. Fehlt eine solche Gesetzgebung, können Daten ins Ausland nur unter bestimmten Voraussetzungen bekannt gegeben werden (Art. 6 Abs. 2
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 6 Grundsätze - 1 Personendaten müssen rechtmässig bearbeitet werden.
1    Personendaten müssen rechtmässig bearbeitet werden.
2    Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein.
3    Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist.
4    Sie werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.
5    Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern. Sie oder er muss alle angemessenen Massnahmen treffen, damit die Daten berichtigt, gelöscht oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind. Die Angemessenheit der Massnahmen hängt namentlich ab von der Art und dem Umfang der Bearbeitung sowie vom Risiko, das die Bearbeitung für die Persönlichkeit oder Grundrechte der betroffenen Personen mit sich bringt.
6    Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird.
7    Die Einwilligung muss ausdrücklich erfolgen für:
a  die Bearbeitung von besonders schützenswerten Personendaten;
b  ein Profiling mit hohem Risiko durch eine private Person; oder
c  ein Profiling durch ein Bundesorgan.
DSG). Diese Norm will soweit möglich sicherstellen, dass Personendaten, die den Hoheitsbereich des Schweizer Rechts und damit den engeren Schutzbereich des DSG verlassen, im Ausland dennoch einem Mindestmass an Datenschutz unterliegen oder es gute Gründe geben muss, warum ein solcher Datenschutz im Einzelfall nicht möglich ist (David Rosenthal, Handkommentar DSG, Art. 6 Rz. 1). Die Bestimmung richtet sich nach der Gesetzessystematik an private Personen und Bundesorgane gleichermassen und gehört zum eigentlichen Fundament des Datenschutzrechts (Maurer-Lambrou/Steiner, a.a.O., Art. 6 Rz. 12).

4.3.2 Sollen Personendaten trotz fehlendem angemessenem Datenschutz ins Ausland bekannt gegeben werden, so verstösst diese Datenbearbeitung gegen Art. 6 Abs. 1
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 6 Grundsätze - 1 Personendaten müssen rechtmässig bearbeitet werden.
1    Personendaten müssen rechtmässig bearbeitet werden.
2    Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein.
3    Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist.
4    Sie werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.
5    Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern. Sie oder er muss alle angemessenen Massnahmen treffen, damit die Daten berichtigt, gelöscht oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind. Die Angemessenheit der Massnahmen hängt namentlich ab von der Art und dem Umfang der Bearbeitung sowie vom Risiko, das die Bearbeitung für die Persönlichkeit oder Grundrechte der betroffenen Personen mit sich bringt.
6    Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird.
7    Die Einwilligung muss ausdrücklich erfolgen für:
a  die Bearbeitung von besonders schützenswerten Personendaten;
b  ein Profiling mit hohem Risiko durch eine private Person; oder
c  ein Profiling durch ein Bundesorgan.
DSG und wird nur zulässig durch eine der in Art. 6 Abs. 2
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 6 Grundsätze - 1 Personendaten müssen rechtmässig bearbeitet werden.
1    Personendaten müssen rechtmässig bearbeitet werden.
2    Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein.
3    Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist.
4    Sie werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.
5    Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern. Sie oder er muss alle angemessenen Massnahmen treffen, damit die Daten berichtigt, gelöscht oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind. Die Angemessenheit der Massnahmen hängt namentlich ab von der Art und dem Umfang der Bearbeitung sowie vom Risiko, das die Bearbeitung für die Persönlichkeit oder Grundrechte der betroffenen Personen mit sich bringt.
6    Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird.
7    Die Einwilligung muss ausdrücklich erfolgen für:
a  die Bearbeitung von besonders schützenswerten Personendaten;
b  ein Profiling mit hohem Risiko durch eine private Person; oder
c  ein Profiling durch ein Bundesorgan.
DSG vorgesehenen Ausnahmen (Maurer-Lambrou/Steiner, a.a.O., Art. 6 Rz. 11a). Die Bekanntgabe von Personendaten ist trotz fehlender Gesetzgebung unter anderem dann möglich, wenn einer der Ausnahmetatbestände des Art. 6 Abs. 2
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 6 Grundsätze - 1 Personendaten müssen rechtmässig bearbeitet werden.
1    Personendaten müssen rechtmässig bearbeitet werden.
2    Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein.
3    Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist.
4    Sie werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.
5    Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern. Sie oder er muss alle angemessenen Massnahmen treffen, damit die Daten berichtigt, gelöscht oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind. Die Angemessenheit der Massnahmen hängt namentlich ab von der Art und dem Umfang der Bearbeitung sowie vom Risiko, das die Bearbeitung für die Persönlichkeit oder Grundrechte der betroffenen Personen mit sich bringt.
6    Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird.
7    Die Einwilligung muss ausdrücklich erfolgen für:
a  die Bearbeitung von besonders schützenswerten Personendaten;
b  ein Profiling mit hohem Risiko durch eine private Person; oder
c  ein Profiling durch ein Bundesorgan.
DSG vorliegt. Die Inhaber der Datensammlung können die Mittel zur Sicherstellung der Personendaten im Ausland innerhalb des Ausnahmekatalogs frei wählen, dieser ist jedoch abschliessend (BBl 2003 2128 f.), so dass keine anderen Ausnahmen statthaft sind (Astrid Epiney/Tobias Fasnacht, in: Belser/Epiney/Waldmann [Hrsg.], Datenschutzrecht, 2011, § 10 Rz. 15). Vorliegend von Bedeutung sind insbesondere die Ausnahmetatbestände von Art. 6 Abs. 2 Bst. a
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 6 Grundsätze - 1 Personendaten müssen rechtmässig bearbeitet werden.
1    Personendaten müssen rechtmässig bearbeitet werden.
2    Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein.
3    Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist.
4    Sie werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.
5    Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern. Sie oder er muss alle angemessenen Massnahmen treffen, damit die Daten berichtigt, gelöscht oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind. Die Angemessenheit der Massnahmen hängt namentlich ab von der Art und dem Umfang der Bearbeitung sowie vom Risiko, das die Bearbeitung für die Persönlichkeit oder Grundrechte der betroffenen Personen mit sich bringt.
6    Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird.
7    Die Einwilligung muss ausdrücklich erfolgen für:
a  die Bearbeitung von besonders schützenswerten Personendaten;
b  ein Profiling mit hohem Risiko durch eine private Person; oder
c  ein Profiling durch ein Bundesorgan.
DSG, wonach Personendaten ins Ausland bekannt gegeben werden können, wenn hinreichende Garantien, insbesondere durch Vertrag, einen angemessenen Schutz im Ausland gewährleisten, die betroffene Person im Einzelfall eingewilligt hat (Bst. b der Bestimmung) oder die Bekanntgabe im Einzelfall für die Wahrung eines überwiegenden öffentlichen Interesses unerlässlich ist (Bst. d der Bestimmung). Die Berufung auf letztere Ausnahme wird eher selten erforderlich sein, da hierfür oft eine spezialgesetzliche Grundlage besteht, welche Art. 6
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 6 Grundsätze - 1 Personendaten müssen rechtmässig bearbeitet werden.
1    Personendaten müssen rechtmässig bearbeitet werden.
2    Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein.
3    Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist.
4    Sie werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.
5    Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern. Sie oder er muss alle angemessenen Massnahmen treffen, damit die Daten berichtigt, gelöscht oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind. Die Angemessenheit der Massnahmen hängt namentlich ab von der Art und dem Umfang der Bearbeitung sowie vom Risiko, das die Bearbeitung für die Persönlichkeit oder Grundrechte der betroffenen Personen mit sich bringt.
6    Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird.
7    Die Einwilligung muss ausdrücklich erfolgen für:
a  die Bearbeitung von besonders schützenswerten Personendaten;
b  ein Profiling mit hohem Risiko durch eine private Person; oder
c  ein Profiling durch ein Bundesorgan.
DSG vorgehen würde (Rosenthal, a.a.O., Art. 6 Rz. 61, Epiney/Fasnacht, a.a.O., Fn. 74 zu § 10 Rz. 23).

4.4 Nach Art. 25 Abs. 1
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 25 Auskunftsrecht - 1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
1    Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
2    Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt:
a  die Identität und die Kontaktdaten des Verantwortlichen;
b  die bearbeiteten Personendaten als solche;
c  der Bearbeitungszweck;
d  die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
e  die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
f  gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
g  gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.
3    Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.
4    Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig.
5    Niemand kann im Voraus auf das Auskunftsrecht verzichten.
6    Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist.
7    Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt.
und 3
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 25 Auskunftsrecht - 1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
1    Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
2    Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt:
a  die Identität und die Kontaktdaten des Verantwortlichen;
b  die bearbeiteten Personendaten als solche;
c  der Bearbeitungszweck;
d  die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
e  die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
f  gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
g  gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.
3    Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.
4    Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig.
5    Niemand kann im Voraus auf das Auskunftsrecht verzichten.
6    Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist.
7    Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt.
DSG kann sich jede Person gegen die widerrechtliche Bearbeitung ihrer Personendaten durch Bundesorgane zur Wehr setzen. Ein Gesuchsteller kann somit gemäss Art. 25 Abs. 3 Bst. a
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 25 Auskunftsrecht - 1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
1    Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
2    Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt:
a  die Identität und die Kontaktdaten des Verantwortlichen;
b  die bearbeiteten Personendaten als solche;
c  der Bearbeitungszweck;
d  die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
e  die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
f  gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
g  gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.
3    Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.
4    Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig.
5    Niemand kann im Voraus auf das Auskunftsrecht verzichten.
6    Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist.
7    Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt.
DSG verlangen, dass das Bundesorgan die Bekanntgabe von Personendaten an Dritte sperrt. Ein derartiges Gesuch muss stets darlegen, welche bestimmten Bearbeitungsvorgänge allenfalls im Sinne von Art. 25
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 25 Auskunftsrecht - 1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
1    Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
2    Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt:
a  die Identität und die Kontaktdaten des Verantwortlichen;
b  die bearbeiteten Personendaten als solche;
c  der Bearbeitungszweck;
d  die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
e  die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
f  gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
g  gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.
3    Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.
4    Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig.
5    Niemand kann im Voraus auf das Auskunftsrecht verzichten.
6    Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist.
7    Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt.
DSG widerrechtlich sind und worin die widerrechtliche Datenbearbeitung besteht (vgl. Jan Bangert, BSK DSG, Art. 25/25bis Rz. 43; dieser in Art. 25 Abs. 3 Bst. a
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 25 Auskunftsrecht - 1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
1    Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
2    Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt:
a  die Identität und die Kontaktdaten des Verantwortlichen;
b  die bearbeiteten Personendaten als solche;
c  der Bearbeitungszweck;
d  die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
e  die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
f  gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
g  gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.
3    Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.
4    Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig.
5    Niemand kann im Voraus auf das Auskunftsrecht verzichten.
6    Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist.
7    Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt.
DSG vorgesehene Anspruch auf Sperrung ist allerdings nach Meinung der Lehre ein Versehen des Gesetzgebers. Die Sperrung ist danach abschliessend in Art. 20
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 20 Ausnahmen von der Informationspflicht und Einschränkungen - 1 Die Informationspflicht nach Artikel 19 entfällt, wenn eine der folgenden Voraussetzungen erfüllt ist:
1    Die Informationspflicht nach Artikel 19 entfällt, wenn eine der folgenden Voraussetzungen erfüllt ist:
a  Die betroffene Person verfügt bereits über die entsprechenden Informationen.
b  Die Bearbeitung ist gesetzlich vorgesehen.
c  Es handelt sich beim Verantwortlichen um eine private Person, die gesetzlich zur Geheimhaltung verpflichtet ist.
d  Die Voraussetzungen nach Artikel 27 sind erfüllt.
2    Werden die Personendaten nicht bei der betroffenen Person beschafft, so entfällt die Informationspflicht zudem, wenn eine der folgenden Voraussetzungen erfüllt ist:
a  Die Information ist nicht möglich.
b  Die Information erfordert einen unverhältnismässigen Aufwand.
3    Der Verantwortliche kann die Mitteilung der Informationen in den folgenden Fällen einschränken, aufschieben oder darauf verzichten:
a  Überwiegende Interessen Dritter erfordern die Massnahme.
b  Die Information vereitelt den Zweck der Bearbeitung.
c  Der Verantwortliche ist eine private Person und die folgenden Voraussetzungen sind erfüllt:
c1  Überwiegende Interessen des Verantwortlichen erfordern die Massnahme.
c2  Der Verantwortliche gibt die Personendaten nicht Dritten bekannt.
d  Der Verantwortliche ist ein Bundesorgan und eine der folgenden Voraussetzungen ist erfüllt:
d1  Die Massnahme ist wegen überwiegender öffentlicher Interessen, insbesondere der inneren oder der äusseren Sicherheit der Schweiz, erforderlich.
d2  Die Mitteilung der Information kann eine Ermittlung, eine Untersuchung oder ein behördliches oder gerichtliches Verfahren gefährden.
4    Unternehmen, die zum selben Konzern gehören, gelten nicht als Dritte im Sinne von Absatz 3 Buchstabe c Ziffer 2.
DSG geregelt und setzt damit auch keine Widerrechtlichkeit voraus [vgl. hierzu Bangert, a.a.O., Art. 25
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 25 Auskunftsrecht - 1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
1    Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
2    Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt:
a  die Identität und die Kontaktdaten des Verantwortlichen;
b  die bearbeiteten Personendaten als solche;
c  der Bearbeitungszweck;
d  die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
e  die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
f  gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
g  gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.
3    Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.
4    Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig.
5    Niemand kann im Voraus auf das Auskunftsrecht verzichten.
6    Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist.
7    Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt.
/25bis
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 25 Auskunftsrecht - 1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
1    Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
2    Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt:
a  die Identität und die Kontaktdaten des Verantwortlichen;
b  die bearbeiteten Personendaten als solche;
c  der Bearbeitungszweck;
d  die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
e  die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
f  gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
g  gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.
3    Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.
4    Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig.
5    Niemand kann im Voraus auf das Auskunftsrecht verzichten.
6    Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist.
7    Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt.
Rz. 62]).

Die Möglichkeit der Sperrung gestützt auf Art. 20
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 20 Ausnahmen von der Informationspflicht und Einschränkungen - 1 Die Informationspflicht nach Artikel 19 entfällt, wenn eine der folgenden Voraussetzungen erfüllt ist:
1    Die Informationspflicht nach Artikel 19 entfällt, wenn eine der folgenden Voraussetzungen erfüllt ist:
a  Die betroffene Person verfügt bereits über die entsprechenden Informationen.
b  Die Bearbeitung ist gesetzlich vorgesehen.
c  Es handelt sich beim Verantwortlichen um eine private Person, die gesetzlich zur Geheimhaltung verpflichtet ist.
d  Die Voraussetzungen nach Artikel 27 sind erfüllt.
2    Werden die Personendaten nicht bei der betroffenen Person beschafft, so entfällt die Informationspflicht zudem, wenn eine der folgenden Voraussetzungen erfüllt ist:
a  Die Information ist nicht möglich.
b  Die Information erfordert einen unverhältnismässigen Aufwand.
3    Der Verantwortliche kann die Mitteilung der Informationen in den folgenden Fällen einschränken, aufschieben oder darauf verzichten:
a  Überwiegende Interessen Dritter erfordern die Massnahme.
b  Die Information vereitelt den Zweck der Bearbeitung.
c  Der Verantwortliche ist eine private Person und die folgenden Voraussetzungen sind erfüllt:
c1  Überwiegende Interessen des Verantwortlichen erfordern die Massnahme.
c2  Der Verantwortliche gibt die Personendaten nicht Dritten bekannt.
d  Der Verantwortliche ist ein Bundesorgan und eine der folgenden Voraussetzungen ist erfüllt:
d1  Die Massnahme ist wegen überwiegender öffentlicher Interessen, insbesondere der inneren oder der äusseren Sicherheit der Schweiz, erforderlich.
d2  Die Mitteilung der Information kann eine Ermittlung, eine Untersuchung oder ein behördliches oder gerichtliches Verfahren gefährden.
4    Unternehmen, die zum selben Konzern gehören, gelten nicht als Dritte im Sinne von Absatz 3 Buchstabe c Ziffer 2.
DSG ist vor allem bei Datenweitergabe ins Ausland von Bedeutung. Das Sperrrecht kann allerdings nicht in pauschaler Weise geltend gemacht werden; die betroffene Person muss sich vielmehr an die zuständigen Organe wenden und die Daten, welche der Sperrung unterliegen sollen, genau bezeichnen (vgl. Botschaft zum Bundesgesetz über den Datenschutz vom 23. März 1988, BBl 1988 II 413, 472). Das Sperrrecht bezieht sich lediglich auf die Bekanntgabe bestimmter Daten, nicht aber auf andere Bearbeitungsvorgänge; solche sind im Rahmen von Art. 25
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 25 Auskunftsrecht - 1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
1    Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
2    Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt:
a  die Identität und die Kontaktdaten des Verantwortlichen;
b  die bearbeiteten Personendaten als solche;
c  der Bearbeitungszweck;
d  die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
e  die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
f  gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
g  gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.
3    Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.
4    Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig.
5    Niemand kann im Voraus auf das Auskunftsrecht verzichten.
6    Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist.
7    Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt.
DSG geltend zu machen (vgl. Jennifer Ehrensperger, BSK DSG, Art. 20 Rz. 4 ff.). Unter dem Begriff der Bekanntgabe wird das Zugänglichmachen von Personendaten wie das Einsichtgewähren, Weitergeben oder Veröffentlichen verstanden (Art. 3 Bst. f
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 3 Räumlicher Geltungsbereich - 1 Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
1    Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
2    Für privatrechtliche Ansprüche gilt das Bundesgesetz vom 18. Dezember 19874 über das Internationale Privatrecht. Vorbehalten bleiben zudem die Bestimmungen zum räumlichen Geltungsbereich des Strafgesetzbuchs5.
DSG). Dem Gesuchsteller bleibt es dennoch unbenommen, nach Art. 25 Abs. 3 Bst. a
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 25 Auskunftsrecht - 1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
1    Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
2    Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt:
a  die Identität und die Kontaktdaten des Verantwortlichen;
b  die bearbeiteten Personendaten als solche;
c  der Bearbeitungszweck;
d  die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
e  die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
f  gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
g  gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.
3    Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.
4    Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig.
5    Niemand kann im Voraus auf das Auskunftsrecht verzichten.
6    Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist.
7    Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt.
DSG die Unterlassung einer ernsthaft zu befürchtenden, widerrechtlichen Weitergabe bestimmter Daten an bestimmte Empfänger zu verlangen (vgl. Urteil des BVGer A-7368/2006 vom 10. Juli 2007 E. 2.4.1; Bangert, a.a.O., Art. 25/25bis Rz. 63).

4.5 Gegen Verfügungen über datenschutzrechtliche Ansprüche steht der Rechtsweg offen, womit die betroffenen Personen die Sache einer Überprüfung durch ein unabhängiges Gericht zuführen können. Dabei richtet sich der Rechtsschutz nach den allgemeinen Bestimmungen über die Bundesrechtspflege (Art. 33 Abs. 1
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 33 Kontrolle und Verantwortung bei gemeinsamer Bearbeitung von Personendaten - Der Bundesrat regelt die Kontrollverfahren und die Verantwortung für den Datenschutz, wenn ein Bundesorgan Personendaten zusammen mit anderen Bundesorganen, mit kantonalen Organen oder mit privaten Personen bearbeitet.
DSG; Urteil des BVGer A-6143/2017 vom 4. Juni 2019 E. 4.5.2).

4.6

4.6.1 Grundsätzlich findet das DSG im Bereich der internationalen Amtshilfe Anwendung (vgl. Urteil des BGer 2C_792/2016 vom 23. August 2017 E. 3.1). Art. 2 Abs. 2 Bst. c
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 2 Persönlicher und sachlicher Geltungsbereich - 1 Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
1    Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
a  private Personen;
b  Bundesorgane.
2    Es ist nicht anwendbar auf:
a  Personendaten, die von einer natürlichen Person ausschliesslich zum persönlichen Gebrauch bearbeitet werden;
b  Personendaten, die von den eidgenössischen Räten und den parlamentarischen Kommissionen im Rahmen ihrer Beratungen bearbeitet werden;
c  Personendaten, die bearbeitet werden durch institutionelle Begünstigte nach Artikel 2 Absatz 1 des Gaststaatgesetzes vom 22. Juni 20073, die in der Schweiz Immunität von der Gerichtsbarkeit geniessen.
3    Das anwendbare Verfahrensrecht regelt die Bearbeitung von Personendaten und die Rechte der betroffenen Personen in Gerichtsverfahren und in Verfahren nach bundesrechtlichen Verfahrensordnungen. Auf erstinstanzliche Verwaltungsverfahren sind die Bestimmungen dieses Gesetzes anwendbar.
4    Die öffentlichen Register des Privatrechtsverkehrs, insbesondere der Zugang zu diesen Registern und die Rechte der betroffenen Personen, werden durch die Spezialbestimmungen des anwendbaren Bundesrechts geregelt. Enthalten die Spezialbestimmungen keine Regelung, so ist dieses Gesetz anwendbar.
DSG präzisiert, dass das DSG unter anderem nicht auf Verfahren der internationalen Rechtshilfe sowie auf staats- und verwaltungsrechtliche Verfahren anwendbar ist, mit Ausnahme erstinstanzlicher Verwaltungsverfahren. Diese Ausnahme rechtfertige sich, weil in diesen Bereichen der Persönlichkeitsschutz durch spezialgesetzliche Verfahrensnormen hinreichend gesichert sei (BVGE 2015/13 E. 3.2.1; Urteile des BVGer A-3715/2017 vom 2. Juli 2018 E. 2..42, A-6080/2016 vom 23. Februar 2018 E. 4.5.2 und A-4669/2018 vom 8. Dezember 2017 E. 2.9.2 mit weiteren Hinweisen).

4.6.2 Im Bereich der internationalen Amtshilfe ist, sofern das anwendbare Doppelbesteuerungsabkommen keine genügenden datenschutzrechtlichen Bestimmungen enthält, auf das innerstaatliche Recht zurückzugreifen. Das StAhiG enthält mit Art. 4 Abs. 3
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 4 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter - 1 Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
1    Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
2    Von der Aufsicht durch den EDÖB sind ausgenommen:
a  die Bundesversammlung;
b  der Bundesrat;
c  die eidgenössischen Gerichte;
d  die Bundesanwaltschaft: betreffend die Bearbeitung von Personendaten im Rahmen von Strafverfahren;
e  Bundesbehörden: betreffend die Bearbeitung von Personendaten im Rahmen einer rechtsprechenden Tätigkeit oder von Verfahren der internationalen Rechtshilfe in Strafsachen.
eine solche Bestimmung. Mit anderen Worten schliesst Art. 2 Abs. 2 Bst. c
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 2 Persönlicher und sachlicher Geltungsbereich - 1 Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
1    Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
a  private Personen;
b  Bundesorgane.
2    Es ist nicht anwendbar auf:
a  Personendaten, die von einer natürlichen Person ausschliesslich zum persönlichen Gebrauch bearbeitet werden;
b  Personendaten, die von den eidgenössischen Räten und den parlamentarischen Kommissionen im Rahmen ihrer Beratungen bearbeitet werden;
c  Personendaten, die bearbeitet werden durch institutionelle Begünstigte nach Artikel 2 Absatz 1 des Gaststaatgesetzes vom 22. Juni 20073, die in der Schweiz Immunität von der Gerichtsbarkeit geniessen.
3    Das anwendbare Verfahrensrecht regelt die Bearbeitung von Personendaten und die Rechte der betroffenen Personen in Gerichtsverfahren und in Verfahren nach bundesrechtlichen Verfahrensordnungen. Auf erstinstanzliche Verwaltungsverfahren sind die Bestimmungen dieses Gesetzes anwendbar.
4    Die öffentlichen Register des Privatrechtsverkehrs, insbesondere der Zugang zu diesen Registern und die Rechte der betroffenen Personen, werden durch die Spezialbestimmungen des anwendbaren Bundesrechts geregelt. Enthalten die Spezialbestimmungen keine Regelung, so ist dieses Gesetz anwendbar.
DSG die Anwendung des DSG im Verfahren der internationalen Amtshilfe vor der ESTV nicht aus. Es findet hingegen keine Anwendung, wenn die Bestimmungen in einem anderen Gesetz - also einem Doppelbesteuerungsabkommen (aufgrund des Vorrangs des Völkerrechts, vgl. Art. 5 Abs. 4
SR 101 Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999
BV Art. 5 Grundsätze rechtsstaatlichen Handelns - 1 Grundlage und Schranke staatlichen Handelns ist das Recht.
1    Grundlage und Schranke staatlichen Handelns ist das Recht.
2    Staatliches Handeln muss im öffentlichen Interesse liegen und verhältnismässig sein.
3    Staatliche Organe und Private handeln nach Treu und Glauben.
4    Bund und Kantone beachten das Völkerrecht.
BV) oder dem StAhiG (insbesondere Art. 4 Abs. 3
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 4 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter - 1 Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
1    Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
2    Von der Aufsicht durch den EDÖB sind ausgenommen:
a  die Bundesversammlung;
b  der Bundesrat;
c  die eidgenössischen Gerichte;
d  die Bundesanwaltschaft: betreffend die Bearbeitung von Personendaten im Rahmen von Strafverfahren;
e  Bundesbehörden: betreffend die Bearbeitung von Personendaten im Rahmen einer rechtsprechenden Tätigkeit oder von Verfahren der internationalen Rechtshilfe in Strafsachen.
als lex specialis zum DSG: BGE 143 II 506 E 5.2.2) - einen für gleichartig erachteten Schutz der betroffenen Personen bieten (Urteil des BGer 2C_619/2018 vom 21. Dezember 2018 E. 4.4; Urteile des BVGer A-6080/2016 vom 23. Februar 2018 E. 4.5.3, A-4669/2018 vom 8. Dezember 2017 E. 2.9.3 m.w.H.; Charlotte Schoder, Praxiskommentar zum Bundesgesetz über die internationale Amtshilfe in Steuersachen, 2014, S. 125 Rz. 254; Ehrensperger, a.a.O., Art. 19
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 19 Informationspflicht bei der Beschaffung von Personendaten - 1 Der Verantwortliche informiert die betroffene Person angemessen über die Beschaffung von Personendaten; diese Informationspflicht gilt auch, wenn die Daten nicht bei der betroffenen Person beschafft werden.
1    Der Verantwortliche informiert die betroffene Person angemessen über die Beschaffung von Personendaten; diese Informationspflicht gilt auch, wenn die Daten nicht bei der betroffenen Person beschafft werden.
2    Er teilt der betroffenen Person bei der Beschaffung diejenigen Informationen mit, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist; er teilt ihr mindestens mit:
a  die Identität und die Kontaktdaten des Verantwortlichen;
b  den Bearbeitungszweck;
c  gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden.
3    Werden die Daten nicht bei der betroffenen Person beschafft, so teilt er ihr zudem die Kategorien der bearbeiteten Personendaten mit.
4    Werden die Personendaten ins Ausland bekanntgegeben, so teilt er der betroffenen Person auch den Staat oder das internationale Organ und gegebenenfalls die Garantien nach Artikel 16 Absatz 2 oder die Anwendung einer Ausnahme nach Artikel 17 mit.
5    Werden die Daten nicht bei der betroffenen Person beschafft, so teilt er ihr die Informationen nach den Absätzen 2-4 spätestens einen Monat, nachdem er die Daten erhalten hat, mit. Gibt der Verantwortliche die Personendaten vor Ablauf dieser Frist bekannt, so informiert er die betroffene Person spätestens im Zeitpunkt der Bekanntgabe.
Rz. 11).

4.7 Als Zwischenergebnis kann somit festgehalten werden, dass im vorliegenden Verfahren das DSG aufgrund der spezialgesetzlichen datenschutzrechtlichen Regelungen im StAhiG als auch im Doppelbesteuerungsabkommen zwischen der Schweiz und den USA (vgl. hierzu sogleich) lediglich als Auslegungshilfe zur Anwendung gelangt. Es sind im Folgenden deshalb die grundlegenden Regelungen der Amtshilfe in Steuersachen, inklusiv deren datenschutzrechtlichen Bestimmungen, die der Beschwerdeführer gestützt auf Art. 27 Abs. 1
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 27 Einschränkungen des Auskunftsrechts für Medien - 1 Werden Personendaten ausschliesslich zur Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet, so kann der Verantwortliche aus einem der folgenden Gründe die Auskunft verweigern, einschränken oder aufschieben:
1    Werden Personendaten ausschliesslich zur Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet, so kann der Verantwortliche aus einem der folgenden Gründe die Auskunft verweigern, einschränken oder aufschieben:
a  Die Daten geben Aufschluss über die Informationsquellen.
b  Durch die Auskunft würde Einsicht in Entwürfe für Publikationen gewährt.
c  Die Veröffentlichung würde die freie Meinungsbildung des Publikums gefährden.
2    Medienschaffende können die Auskunft zudem verweigern, einschränken oder aufschieben, wenn ihnen die Personendaten ausschliesslich als persönliches Arbeitsinstrument dienen.
DSG ebenfalls überwacht, darzulegen.

5.

5.1 Staatsvertragliche Grundlage für die Leistung von Amtshilfe in Steuersachen gegenüber den USA ist Art. 26 des Abkommens vom 2. Oktober 1996 zwischen der Schweizerischen Eidgenossenschaft und den Vereinigten Staaten von Amerika zur Vermeidung der Doppelbesteuerung auf dem Gebiete der Steuern vom Einkommen (DBA CH-USA 96, SR 0.672.933.61) und das dazugehörige Protokoll (ebenfalls unter SR 0.672.933.61). Gemäss dessen Ziff. 1 tauschen die zuständigen Behörden der beiden Vertragsstaaten unter sich diejenigen gemäss ihren Steuergesetzgebungen erhältlichen Auskünfte aus, die notwendig sind zur Durchführung der Bestimmungen des Abkommens oder zur Verhütung von Betrugsdelikten und dergleichen, die eine unter das Abkommen fallende Steuer zum Gegenstand haben (Urteil des BVGer A-5046/2018 vom 22. Mai 2019 E. 2.1).

5.2 In Anwendung des Verhältnismässigkeitsprinzips (vgl. Art. 5 Abs. 2
SR 101 Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999
BV Art. 5 Grundsätze rechtsstaatlichen Handelns - 1 Grundlage und Schranke staatlichen Handelns ist das Recht.
1    Grundlage und Schranke staatlichen Handelns ist das Recht.
2    Staatliches Handeln muss im öffentlichen Interesse liegen und verhältnismässig sein.
3    Staatliche Organe und Private handeln nach Treu und Glauben.
4    Bund und Kantone beachten das Völkerrecht.
BV) müssen die Amtshilfemassnahmen ihrem Zweck entsprechen und dürfen nicht über das hinausgehen, was zu dessen Erreichung notwendig ist (statt vieler: BGE 139 II 404 E. 7.2.2, mit Hinweisen; siehe ferner zum Verbot der Beweisausforschung, das Ausfluss des Verhältnismässigkeitsgrundsatzes ist [BGE 129 II 484 E. 4.1; BVGE 2015/27 E. 3, 2011/14 E. 5.2.2.1], Art. 7 Bst. a
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 7 Nichteintreten - Auf das Ersuchen wird nicht eingetreten, wenn:
a  es zum Zweck der Beweisausforschung gestellt worden ist;
b  Informationen verlangt werden, die von den Amtshilfebestimmungen des anwendbaren Abkommens nicht erfasst sind; oder
c  es den Grundsatz von Treu und Glauben verletzt, insbesondere wenn es auf Informationen beruht, die durch nach schweizerischem Recht strafbare Handlungen erlangt worden sind.
StAhiG sowie [in Bezug auf das DBA CH-USA 96] Urteil des BGer 2C_1042/2016 vom 12. Juni 2018 E. 4.2 f.; Urteil des BVGer A-5513/2015 vom 31. Oktober 2016 E. 5.5.2). Rechtsprechungsgemäss darf der ersuchte Staat Auskünfte mit der Begründung, die verlangten Informationen seien nicht notwendig im Sinne von Art. 26 Ziff. 1 DBA CH-USA 96, freilich nur verweigern, wenn ein Zusammenhang zwischen den verlangten Angaben und der im ersuchenden Staat durchgeführten Untersuchung unwahrscheinlich erscheint (vgl. BGE 141 II 436 E. 4.4.3, mit weiteren Hinweisen; Urteil des BVGer A-4218/2017 vom 28. Mai 2018 E. 2.3.1). In letzterem Sinne ist auch Art. 17 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 17 Ordentliches Verfahren - 1 Die ESTV eröffnet jeder beschwerdeberechtigten Person eine Schlussverfügung, in der die Amtshilfeleistung begründet und der Umfang der zu übermittelnden Informationen bestimmt werden.
1    Die ESTV eröffnet jeder beschwerdeberechtigten Person eine Schlussverfügung, in der die Amtshilfeleistung begründet und der Umfang der zu übermittelnden Informationen bestimmt werden.
2    Informationen, die voraussichtlich nicht erheblich sind, dürfen nicht übermittelt werden. Sie werden von der ESTV ausgesondert oder unkenntlich gemacht.
3    Einer im Ausland ansässigen beschwerdeberechtigten Person eröffnet die ESTV die Schlussverfügung über die zur Zustellung bevollmächtigte Person oder direkt, sofern es zulässig ist, Schriftstücke im betreffenden Staat durch die Post zuzustellen. Andernfalls eröffnet sie die Verfügung durch Veröffentlichung im Bundesblatt.38
4    Über den Erlass und den Inhalt der Schlussverfügung informiert sie gleichzeitig die betroffenen kantonalen Steuerverwaltungen.
StAhiG zu verstehen, wonach Informationen, welche voraussichtlich nicht erheblich sind, nicht übermittelt werden dürfen (Urteile des BVGer A-4218/2017 vom 28. Mai 2018 E. 2.3.1, A-3791/2017 vom 5. Januar 2018 E. 5.1.1, mit weiteren Hinweisen; vgl. auch Art. 4 Abs. 3
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 4 Grundsätze - 1 ...11
1    ...11
2    Das Amtshilfeverfahren wird zügig durchgeführt.
3    Die Übermittlung von Informationen zu Personen, die nicht betroffene Personen sind, ist unzulässig, wenn diese Informationen für die Beurteilung der Steuersituation der betroffenen Person nicht voraussichtlich relevant sind oder wenn berechtigte Interessen von Personen, die nicht betroffene Personen sind, das Interesse der ersuchenden Seite an der Übermittlung der Informationen überwiegen.12
StAhiG [zu dieser Bestimmung sogleich E. 5.3.1]).

5.3

5.3.1 Gemäss Art. 4 Abs. 3
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 4 Grundsätze - 1 ...11
1    ...11
2    Das Amtshilfeverfahren wird zügig durchgeführt.
3    Die Übermittlung von Informationen zu Personen, die nicht betroffene Personen sind, ist unzulässig, wenn diese Informationen für die Beurteilung der Steuersituation der betroffenen Person nicht voraussichtlich relevant sind oder wenn berechtigte Interessen von Personen, die nicht betroffene Personen sind, das Interesse der ersuchenden Seite an der Übermittlung der Informationen überwiegen.12
StAhiG in der bis Ende 2016 gültig gewesenen Fassung (AS 2013 231) ist die Übermittlung von Informationen zu Personen, welche nicht vom Ersuchen betroffen sind, unzulässig. Dabei ist insbesondere an Personen zu denken, die in Dokumenten über die betroffene Person zufällig auftauchen und mit dem Steuerzweck, zu welchem der ersuchende Staat die Information wünscht, in keinem Zusammenhang stehen, wie Bankmitarbeiter, Mitinhaberinnen von Konten oder Bevollmächtigte. Daten über Vermögenszuflüsse und -abflüsse enthalten regelmässig Angaben über Drittpersonen. Macht die Unterbindung dieser Informationen eine Amtshilfe wertlos, so kann eine Übermittlung erwogen werden. In diesem Fall erhalten diese Personen jedoch eine Beschwerdemöglichkeit gemäss Art.19 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 19 Beschwerdeverfahren - 1 Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
1    Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
2    Zur Beschwerde berechtigt sind die betroffene Person sowie weitere Personen unter den Voraussetzungen von Artikel 48 VwVG40.
3    Die Beschwerde hat aufschiebende Wirkung. Artikel 55 Absätze 2-4 VwVG ist anwendbar.
4    Es findet grundsätzlich nur ein Schriftenwechsel statt.
5    Im Übrigen gelten die Bestimmungen über die Bundesrechtspflege.
StAhiG (Botschaft zum StAhiG, BBl 2011 6205). Nach der am 1. Januar 2017 in Kraft getretenen Fassung dieser Vorschrift ist die Übermittlung von Informationen zu Personen, welche nicht betroffene Personen sind, unzulässig, "wenn diese Informationen für die Beurteilung der Steuersituation der betroffenen Person nicht voraussichtlich relevant sind oder wenn berechtigte Interessen von Personen, die nicht betroffene Personen sind, das Interesse der ersuchenden Seite an der Übermittlung der Informationen überwiegen" (AS 2016 5063). Gemäss bundesgerichtlicher Rechtsprechung hat dieser neu ins Gesetz aufgenommene Passus nichts an der Ordnung betreffend die Übermittlung von Informationen über vom Amtshilfeersuchen nicht betroffene Personen geändert (vgl. BGE 144 II 29 E. 4.2.3, 143 II 506 E. 5.2.1; Urteil des BGer 2C_387/2016 vom 5. März 2018 E. 5.1). Nach dieser Ordnung bzw. der einschlägigen Rechtsprechung sind unter Umständen auch Personen, deren Steuerpflicht im ersuchenden Staat nicht geltend gemacht wird, als (materiell) betroffene Personen zu qualifizieren, nämlich dann, wenn die Informationen über diese Personen für den ersuchenden Staat voraussichtlich erheblich sind (grundlegend: BGE 141 II 436 E. 4.4.3 und 4.5, auch publiziert in: ASA 84 [2015/2016] S. 559 ff.; ferner: BGE 143 II 185 E. 3.2 ff.). Können die ersuchten Informationen für die Steuerpflicht der im ersuchenden Staat zu besteuernden Person voraussichtlich erheblich sein (bzw. sind diese Informationen - im Fall des DBA CH-USA 96 - im Sinne von Art. 26 Ziff. 1 DBA CH-USA 96 notwendig zur Durchführung des Abkommens oder zur Verhütung von Betrugsdelikten und dergleichen betreffend eine unter das Abkommen fallende Steuer), so sind sie dem ersuchenden Staat zu übermitteln (vgl. BGE 141 II 436 E. 4.4.3 f., 143 II 506 E. 5.2.1; Urteile des BVGer A-5046/2018 vom 22. Mai 2019 E. 2.4.1, A-4218/2017 vom 28. Mai 2018 E. 3.1 und A-3791/2017 vom 5. Januar 2018 E. 5.2.2, mit
Hinweisen).

Rechtsprechungsgemäss ist der Begriff der nicht betroffenen Person nach Art. 4 Abs. 3
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 4 Grundsätze - 1 ...11
1    ...11
2    Das Amtshilfeverfahren wird zügig durchgeführt.
3    Die Übermittlung von Informationen zu Personen, die nicht betroffene Personen sind, ist unzulässig, wenn diese Informationen für die Beurteilung der Steuersituation der betroffenen Person nicht voraussichtlich relevant sind oder wenn berechtigte Interessen von Personen, die nicht betroffene Personen sind, das Interesse der ersuchenden Seite an der Übermittlung der Informationen überwiegen.12
StAhiG restriktiv zu verstehen (vgl. BGE 142 II 161 E. 4.6.1 f.; Urteil des BVGer A-4218/2017 vom 28. Mai 2018 E. 3.1). Damit sollen in Anwendung des Verhältnismässigkeitsprinzips Personen geschützt werden, die nichts mit dem im Amtshilfeersuchen geschilderten Sachverhalt zu tun haben, deren Namen also rein zufällig in den weiterzuleitenden Dokumenten auftauchen ("fruit d'un pur hasard"; Botschaft des Bundesrates vom 5. Juni 2015 zur Genehmigung des Übereinkommens des Europarats und der OECD über die gegenseitige Amtshilfe in Steuersachen und zu seiner Umsetzung [Änderung des Steueramtshilfegesetzes], BBl 2015 5585 ff., 5623, und statt vieler: Urteil des BVGer A-3791/2017 vom 5. Januar 2018 E. 5.2.2, mit Hinweisen). Der Name eines Dritten kann jedoch in den zu übermittelnden Unterlagen belassen werden, wenn dies geeignet ist, die steuerliche Situation der vom Ersuchen betroffenen Person zu erhellen (Urteil des BGer 2C_619/2018 vom 21. Dezember 2018 E. 3.1).

5.3.2 Das Bundesgericht hält in seinem Urteil vom 18. Dezember 2017 (BGE 144 II 29) fest, im konkreten Fall seien im Rahmen des Informationsaustausches die Namen von Bankmitarbeitenden und Rechtsvertretern grundsätzlich abzudecken, da Informationen über Bankangestellte sowie Rechtsvertreter nichts mit dem Zweck des Ersuchens (bzw. dem Motiv für das Ersuchen) zu tun hätten ("rien à voir avec la question fiscale qui motive les demandes"). Es hält zudem fest, dass bei der zu beurteilenden Konstellation nicht ersichtlich sei, inwieweit eine Schwärzung der Namen der Bankangestellten und des Anwalts/Notars in den zu übermittelnden Dokumenten diese unverständlich mache oder ihnen die Beweiskraft nehme. Zwar sei es möglich, dass die Frage, ob der Steuerpflichtige von sich aus oder auf Anraten bzw. unter Mitwirkung Dritter gehandelt habe, die Höhe einer allfälligen Steuerbusse beeinflusse. Hierzu genüge aber die Information, ob und gegebenenfalls inwieweit Dritte beteiligt gewesen seien. Die Identität dieser Dritten sei demgegenüber ohne Belang (siehe zum Ganzen: BGE 144 II 29 E. 4.3; siehe zu diesem Urteil auch Andrea Opel, Informationsaustausch über Bankmitarbeiter - das Janusgesicht der Steueramtshilfe, in: ASA 86 [2017/2018] S. 433 ff., S. 469 ff.).

Im erwähnten Urteil führt das Bundesgericht auch aus, dass Art. 26 DBA CH-USA 96 einzig eine Grundlage für die Amtshilfe enthalte. Informationen über die Identität von mutmasslichen Komplizen des Steuerpflichtigen könnten gestützt auf diese Vorschrift daher nur erlangt werden, sofern diese Informationen für die Abklärung der steuerlichen Situation des Steuerpflichtigen selbst notwendig seien (BGE 144 II 29 E. 4.3).

Abschliessend erklärt das Bundesgericht, im fraglichen Fall seien die Namen der Bankmitarbeitenden und des Anwalts/Notars unter dem Vorbehalt, dass der ersuchende Staat ausdrücklich um diese Angaben ersuche und diese Informationen nachweislich als notwendig erscheinen würden ("sous réserve de situations où l'Etat requérant demanderait expressément ces données et que celles-ci présenteraient un caractère nécessaire avéré"), nicht im Sinne von Art. 26 Ziff. 1 DBA CH-USA 96 notwendig (BGE 144 II 29 E. 4.3; vgl. dazu auch Opel, a.a.O., S. 471 [mit Ablehnung des Kriteriums, dass der ersuchende Staat explizit um die Namen ersucht]).

5.3.3 Im hiervor erwähnten Urteil (BGE 144 II 29 ff.) bezieht sich das Bundesgericht (in E. 4.2.4) unter anderem auf einen früheren Entscheid zur internationalen Amtshilfe in Steuersachen. In jenem Entscheid hatte das Bundesgericht darüber zu befinden, ob die Amtshilfevoraussetzung von Art. 28 Abs. 1 des Abkommens vom 9. September 1966 zwischen der Schweiz und Frankreich zur Vermeidung der Doppelbesteuerung auf dem Gebiet der Steuern vom Einkommen und vom Vermögen und zur Vermeidung von Steuerbetrug und Steuerflucht (DBA CH-FR; SR 0.672.934.91), wonach die ersuchten Informationen voraussichtlich erheblich zur Durchführung des Abkommens oder zur Anwendung oder Durchsetzung des innerstaatlichen Steuerrechts sein müssen, in Bezug auf die bei einer schweizerischen Bank vorhandenen Namen von Geschäftsführern einer bestimmten Gesellschaft erfüllt sind (vgl. Urteil des BGer 2C_904/2015 vom 8. Dezember 2016 E. 6.4, auch zum Folgenden). Das Bundesgericht bejahte dies im konkreten Fall mit der Begründung, dem ersuchenden Staat gehe es darum, zu prüfen, ob die in Frage stehende, über ein Konto bei der Bank verfügende Gesellschaft eine reelle Existenz aufweise. Zu wissen, wer die Geschäfte der Gesellschaft und deren Mittel in der Hand halte, sei im Rahmen der Prüfung, ob es sich nicht um eine Scheingesellschaft zwecks Täuschung über die Identität der tatsächlich über die Mittel bei der Bank verfügenden Person handle, voraussichtlich erheblich.

5.3.4 Wird die Anonymisierung von Daten einzelner Personen verlangt, die in der Amtshilfeverpflichtung an sich unterliegenden Kontounterlagen enthalten sind, genügt es grundsätzlich nicht, pauschal vorzubringen, bei den in diesen Unterlagen erwähnten Personen handle es sich um unbeteiligte Dritte. Vielmehr ist nach der bundesverwaltungsgerichtlichen Rechtsprechung in solchen Konstellationen in Bezug auf jedes einzelne Aktenstück, das von der Übermittlung ausgeschlossen werden soll, anzugeben und im Einzelnen darzulegen, weshalb es im ausländischen Verfahren nicht erheblich sein kann (vgl. statt vieler: Urteile des BVGer A-4218/2017 vom 28. Mai 2018 E. 3.2, A-4331/2017 vom 16. November 2017 E. 4.2.3, mit Hinweisen).

5.4 Das Spezialitätsprinzip stellt einen traditionellen völkerrechtlichen Grundsatz der internationalen Amts- und Rechtshilfe dar, welcher im Auslieferungsrecht entwickelt wurde (vgl. BGE 123 IV 42 E. 3b, 135 IV 212 E. 2.1), wobei ihm auch völkergewohnheitsrechtlichen Charakter zukommt. Da es sich insbesondere aus der Vertragsnatur der Amts- und Rechtshilfe ableiten lässt, auf der es beruht, gründet es auf einem völkerrechtlichen Vertrag. Der ersuchende Staat akzeptiert mit der vorbehaltlosen Entgegennahme der gesammelten Informationen die im Vertrag vorgesehene und bei der Übermittlung erwähnte Zweckbindung (zum Ganzen: Robert Weyeneth, Der nationale und internationale ordre public im Rahmen der grenzüberschreitenden Amtshilfe in Steuersachen, 2017, S. 214, mit weiteren Hinweisen). Dabei kann nach dem völkerrechtlichen Vertrauensprinzip grundsätzlich als selbstverständlich vorausgesetzt werden, dass der Spezialitätsgrundsatz durch Staaten eingehalten wird, die mit der Schweiz durch einen Amts- oder Rechtshilfevertrag verbunden sind, ohne dass die Einholung einer ausdrücklichen Zusicherung notwendig wäre (BGE 128 II 407 E. 4.3.1, 115 Ib 373 E. 8, 107 Ib 264 E. 4b). Der Grundsatz der Spezialität der Amts- und Rechtshilfe schützt in erster Linie die Souveränität des ersuchten Staates, indem dieser durch die (vertragliche) Bestimmung des zulässigen Verwendungszweckes den Rahmen seiner Zusammenarbeit festlegt und eine gewisse Kontrolle über die Verwendung der übermittelten Informationen behält. Schliesslich stellt er aber auch eine Garantie zugunsten der betroffenen Person dar, deren Persönlichkeitsrechte durch die Zweckbindung geschützt werden (BGE 135 IV 212 E. 2.1). Letztlich enthält der Grundsatz der Zweckbindung insofern Merkmale einer Schranke und einer (Zulässigkeits-)Voraussetzung, als die ersuchende Behörde hinreichende Gewähr für deren Einhaltung bieten muss (siehe zum Ganzen: BVGE 2018 III/1 E. 2.9.1; Weyeneth, a.a.O., S. 216 ff., mit weiteren Hinweisen).

Beruht die internationale Hilfe auf Vertrag, ist der ersuchende Staat durch die Abkommensbestimmungen gebunden. Soweit der Vertrag die Tragweite der Bindung für den ersuchenden Staat nur in den Grundzügen umschreibt, gelangen subsidiär die allgemeinen Grundsätze für Rechtshilfeverfahren zur Anwendung (vgl. Urteil des BGer 2A.551/2001 vom 12. April 2002 E 6a; Peter Popp, Grundzüge der internationalen Rechtshilfe in Strafsachen, 2001, Rz. 287 und 326 ff.). Im Bereich der Amtshilfe nach dem Doppelbesteuerungsabkommen mit den USA statuieren Art. 26 Ziff. 1 Sätze 3 und 4 DBA CH-USA 96 selbst, für wen und zu welchem Gebrauch die übermittelten Informationen ausschliesslich bestimmt sind. So sieht Art. 26 Ziff. 1 Satz 3 DBA CH-USA 96 vor, dass diese Informationen ebenso geheim zu halten sind wie die aufgrund des innerstaatlichen Rechts des ersuchenden Staates beschafften Informationen und sie nur Personen oder Behörden (einschliesslich der Gerichte und Verwaltungsbehörden) zugänglich gemacht werden dürfen, "die mit der Veranlagung, Erhebung oder Verwaltung, der Vollstreckung oder Strafverfolgung oder mit der Entscheidung von Rechtsmitteln hinsichtlich der unter dieses Abkommen fallenden Steuern befasst sind". Nach Art. 26 Ziff. 1 Satz 4 DBA CH-USA 96 dürfen diese Personen oder Behörden die Informationen nur für diese Zwecke verwenden.

Nach ständiger Praxis des Bundesverwaltungsgerichts bedeutet das Spezialitätsprinzip, dass der ersuchende Staat die vom ersuchten Staat erlangten Informationen einzig in Bezug auf Personen oder Handlungen verwenden darf, für welche er sie verlangt und der ersuchte Staat sie gewährt hat (Urteile des BVGer A-5046/2018 vom 22. Mai 2019 E. 2.5, A-7261/2017 vom 3. April 2019 E. 7, A-6391/2016 vom 17. Januar 2018 E. 4.3.5, A-2322/2017 vom 9. April 2018 E. 5.3.5.1, A-4992/2016 vom 29. November 2016 E. 5 und A-38/2014 vom 1. April 2014 E. 4.6).

5.5 Als Zwischenfazit kann festgehalten werden, dass Drittpersonen, d.h. Personen, die nicht direkt vom Amtshilfeverfahren betroffen sind, gestützt auf Art. 14 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 14 Information der beschwerdeberechtigten Personen - 1 Die ESTV informiert die betroffene Person über die wesentlichen Teile des Ersuchens.27
1    Die ESTV informiert die betroffene Person über die wesentlichen Teile des Ersuchens.27
2    Sie informiert die weiteren Personen, von deren Beschwerdeberechtigung nach Artikel 19 Absatz 2 sie aufgrund der Akten ausgehen muss, über das Amtshilfeverfahren.28
3    Ist eine Person nach Absatz 1 oder 2 (beschwerdeberechtigte Person) im Ausland ansässig, so ersucht die ESTV die Informationsinhaberin oder den Informationsinhaber, diese Person aufzufordern, in der Schweiz eine zur Zustellung bevollmächtigte Person zu bezeichnen. Sie setzt hierfür eine Frist.
4    Sie kann die im Ausland ansässige beschwerdeberechtigte Person direkt informieren, wenn:
a  es zulässig ist, Schriftstücke im betreffenden Staat durch die Post zuzustellen; oder
b  die ersuchende Behörde diesem Vorgehen im Einzelfall ausdrücklich zustimmt.29
5    Kann eine beschwerdeberechtigte Person nicht erreicht werden, so informiert die ESTV sie auf dem Weg der ersuchenden Behörde oder durch Veröffentlichung im Bundesblatt über das Ersuchen. Sie fordert sie auf, eine zur Zustellung bevollmächtigte Person zu bezeichnen. Sie setzt hierfür eine Frist von zehn Tagen.30
StAhiG das Recht haben, darüber informiert zu werden, sobald ihre Daten für eine Übermittlung an eine ersuchende Steuerbehörde voraussichtlich relevant im Sinne von Art. 4 Abs. 3
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 4 Grundsätze - 1 ...11
1    ...11
2    Das Amtshilfeverfahren wird zügig durchgeführt.
3    Die Übermittlung von Informationen zu Personen, die nicht betroffene Personen sind, ist unzulässig, wenn diese Informationen für die Beurteilung der Steuersituation der betroffenen Person nicht voraussichtlich relevant sind oder wenn berechtigte Interessen von Personen, die nicht betroffene Personen sind, das Interesse der ersuchenden Seite an der Übermittlung der Informationen überwiegen.12
StAhiG und Art. 26 DBA CH-USA 96 sind. Sind diese nicht voraussichtlich relevant, ist die Übermittlung ihrer Daten unzulässig und ihre Daten sind auszusondern oder unkenntlich zu machen (Art. 17 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 17 Ordentliches Verfahren - 1 Die ESTV eröffnet jeder beschwerdeberechtigten Person eine Schlussverfügung, in der die Amtshilfeleistung begründet und der Umfang der zu übermittelnden Informationen bestimmt werden.
1    Die ESTV eröffnet jeder beschwerdeberechtigten Person eine Schlussverfügung, in der die Amtshilfeleistung begründet und der Umfang der zu übermittelnden Informationen bestimmt werden.
2    Informationen, die voraussichtlich nicht erheblich sind, dürfen nicht übermittelt werden. Sie werden von der ESTV ausgesondert oder unkenntlich gemacht.
3    Einer im Ausland ansässigen beschwerdeberechtigten Person eröffnet die ESTV die Schlussverfügung über die zur Zustellung bevollmächtigte Person oder direkt, sofern es zulässig ist, Schriftstücke im betreffenden Staat durch die Post zuzustellen. Andernfalls eröffnet sie die Verfügung durch Veröffentlichung im Bundesblatt.38
4    Über den Erlass und den Inhalt der Schlussverfügung informiert sie gleichzeitig die betroffenen kantonalen Steuerverwaltungen.
StAhiG). Der Begriff der nicht betroffenen Person nach Art. 4 Abs. 3
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 4 Grundsätze - 1 ...11
1    ...11
2    Das Amtshilfeverfahren wird zügig durchgeführt.
3    Die Übermittlung von Informationen zu Personen, die nicht betroffene Personen sind, ist unzulässig, wenn diese Informationen für die Beurteilung der Steuersituation der betroffenen Person nicht voraussichtlich relevant sind oder wenn berechtigte Interessen von Personen, die nicht betroffene Personen sind, das Interesse der ersuchenden Seite an der Übermittlung der Informationen überwiegen.12
StAhiG ist gemäss Rechtsprechung restriktiv zu verstehen, das heisst, dass diejenigen Personen zu schützen sind, die nichts mit dem im Amtshilfeersuchen geschilderten Sachverhalt zu tun haben und deren Namen rein zufällig in den zu übermittelnden Dokumenten auftauchen. So hält das Bundesgericht in seinem Leitentscheid BGE 144 II 29 denn auch fest, dass die Namen von Bankmitarbeitern, Rechtsvertretern und Notaren grundsätzlich abzudecken sind und im konkreten Fall nicht ersichtlich sei, inwieweit die Schwärzung der Namen in den zu übermittelnden Akten diese unverständlich mache oder ihnen die Beweiskraft nehme (BGE 144 II 29 E. 4.3).

6.
In einem weiteren Leitentscheid (BGE 143 II 506 E. 5.2.2) hielt das Bundesgericht fest, dass den Bankangestellten ein schutzwürdiges Interesse gemäss Art. 48
SR 172.021 Bundesgesetz vom 20. Dezember 1968 über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG) - Verwaltungsverfahrensgesetz
VwVG Art. 48 - 1 Zur Beschwerde ist berechtigt, wer:
1    Zur Beschwerde ist berechtigt, wer:
a  vor der Vorinstanz am Verfahren teilgenommen hat oder keine Möglichkeit zur Teilnahme erhalten hat;
b  durch die angefochtene Verfügung besonders berührt ist; und
c  ein schutzwürdiges Interesse an deren Aufhebung oder Änderung hat.
2    Zur Beschwerde berechtigt sind ferner Personen, Organisationen und Behörden, denen ein anderes Bundesgesetz dieses Recht einräumt.
VwVG nicht nur aufgrund von Art. 4 Abs. 3
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 4 Grundsätze - 1 ...11
1    ...11
2    Das Amtshilfeverfahren wird zügig durchgeführt.
3    Die Übermittlung von Informationen zu Personen, die nicht betroffene Personen sind, ist unzulässig, wenn diese Informationen für die Beurteilung der Steuersituation der betroffenen Person nicht voraussichtlich relevant sind oder wenn berechtigte Interessen von Personen, die nicht betroffene Personen sind, das Interesse der ersuchenden Seite an der Übermittlung der Informationen überwiegen.12
StAhiG zukomme, sondern auch gestützt auf das Datenschutzrecht, insbesondere gemäss Art. 25
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 25 Auskunftsrecht - 1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
1    Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
2    Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt:
a  die Identität und die Kontaktdaten des Verantwortlichen;
b  die bearbeiteten Personendaten als solche;
c  der Bearbeitungszweck;
d  die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
e  die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
f  gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
g  gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.
3    Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.
4    Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig.
5    Niemand kann im Voraus auf das Auskunftsrecht verzichten.
6    Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist.
7    Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt.
DSG, fallen doch die Daten, welche von den Bankangestellten weitergegeben werden, unter Art 3 Bst. a
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 3 Räumlicher Geltungsbereich - 1 Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
1    Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
2    Für privatrechtliche Ansprüche gilt das Bundesgesetz vom 18. Dezember 19874 über das Internationale Privatrecht. Vorbehalten bleiben zudem die Bestimmungen zum räumlichen Geltungsbereich des Strafgesetzbuchs5.
und b DSG und ihre Weitergabe unter Art. 3 Bst. f
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 3 Räumlicher Geltungsbereich - 1 Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
1    Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
2    Für privatrechtliche Ansprüche gilt das Bundesgesetz vom 18. Dezember 19874 über das Internationale Privatrecht. Vorbehalten bleiben zudem die Bestimmungen zum räumlichen Geltungsbereich des Strafgesetzbuchs5.
DSG. Sofern Daten von Drittpersonen somit nicht ausgesondert oder unkenntlich gemacht werden und an eine ausländische Behörde übermittelt werden sollen, sind sie aufgrund ihres schutzwürdigen Interesses gemäss Art. 14 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 14 Information der beschwerdeberechtigten Personen - 1 Die ESTV informiert die betroffene Person über die wesentlichen Teile des Ersuchens.27
1    Die ESTV informiert die betroffene Person über die wesentlichen Teile des Ersuchens.27
2    Sie informiert die weiteren Personen, von deren Beschwerdeberechtigung nach Artikel 19 Absatz 2 sie aufgrund der Akten ausgehen muss, über das Amtshilfeverfahren.28
3    Ist eine Person nach Absatz 1 oder 2 (beschwerdeberechtigte Person) im Ausland ansässig, so ersucht die ESTV die Informationsinhaberin oder den Informationsinhaber, diese Person aufzufordern, in der Schweiz eine zur Zustellung bevollmächtigte Person zu bezeichnen. Sie setzt hierfür eine Frist.
4    Sie kann die im Ausland ansässige beschwerdeberechtigte Person direkt informieren, wenn:
a  es zulässig ist, Schriftstücke im betreffenden Staat durch die Post zuzustellen; oder
b  die ersuchende Behörde diesem Vorgehen im Einzelfall ausdrücklich zustimmt.29
5    Kann eine beschwerdeberechtigte Person nicht erreicht werden, so informiert die ESTV sie auf dem Weg der ersuchenden Behörde oder durch Veröffentlichung im Bundesblatt über das Ersuchen. Sie fordert sie auf, eine zur Zustellung bevollmächtigte Person zu bezeichnen. Sie setzt hierfür eine Frist von zehn Tagen.30
i.V.m. Art. 19 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 19 Beschwerdeverfahren - 1 Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
1    Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
2    Zur Beschwerde berechtigt sind die betroffene Person sowie weitere Personen unter den Voraussetzungen von Artikel 48 VwVG40.
3    Die Beschwerde hat aufschiebende Wirkung. Artikel 55 Absätze 2-4 VwVG ist anwendbar.
4    Es findet grundsätzlich nur ein Schriftenwechsel statt.
5    Im Übrigen gelten die Bestimmungen über die Bundesrechtspflege.
StAhiG zu informieren und ist ihnen Rechtsschutz hinsichtlich der Bearbeitung oder Weitergabe ihrer Daten zu gewährleisten. In einem solchen Fall ist somit die Beschwerdelegitimation für Drittpersonen gemäss Art. 19 Abs. 2
SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz
StAhiG Art. 19 Beschwerdeverfahren - 1 Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
1    Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
2    Zur Beschwerde berechtigt sind die betroffene Person sowie weitere Personen unter den Voraussetzungen von Artikel 48 VwVG40.
3    Die Beschwerde hat aufschiebende Wirkung. Artikel 55 Absätze 2-4 VwVG ist anwendbar.
4    Es findet grundsätzlich nur ein Schriftenwechsel statt.
5    Im Übrigen gelten die Bestimmungen über die Bundesrechtspflege.
StAhiG zu bejahen, damit sie eine allfällige Schlussverfügung anfechten können. Dabei sind gemäss bundesgerichtlicher Rechtsprechung die Grundsätze des Datenschutzgesetzes bei der Auslegung der Bestimmungen des StAhiG stets zu berücksichtigen.

7.
Zusammenfassend ist somit festzuhalten, dass von einem Amtshilfeersuchen nicht betroffene Personen, d.h. Drittpersonen, deren Daten an die amerikanischen und andere ersuchende Behörden übermittelt werden sollen, grundsätzlich gestützt auf den ihnen zustehenden Rechtsschutz im StAhiG als auch aufgrund des DSG, vorgängig zu informieren sind. Für Fälle, in welchen mit der erforderlichen Information unverhältnismässiger Aufwand verbunden ist und der Vollzug der Amtshilfe verunmöglicht oder unverhältnismässig verzögert würde, haben die zuständigen Behörden in geeigneter Form, zum Beispiel mittels Weisungen oder Richtlinien, gemeinsame Lösungen im Sinne von Ausnahmeregelungen zu erarbeiten. Die Beschwerde ist deshalb gutzuheissen und zum neuen Entscheid im Sinne der Erwägungen an die Vorinstanz zurückzuweisen.

8.

8.1 Die Rückweisung der Angelegenheit an die Vorinstanz zur weiteren Abklärung und neuem Entscheid (mit noch offenem Ausgang) gilt praxisgemäss als volles Obsiegen der beschwerdeführenden Partei (vgl. BGE 137 V 57 E. 2, 132 V 215 E. 6.1; Urteile des BVGer A-7025/2017 vom 20. Juni 2019 E. 5.1 und A-199/2018 vom 18. April 2019 E. 6). Die Vorinstanz und die Beschwerdegegnerin haben keine Kosten zu tragen (Art. 63 Abs. 2
SR 172.021 Bundesgesetz vom 20. Dezember 1968 über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG) - Verwaltungsverfahrensgesetz
VwVG Art. 63 - 1 Die Beschwerdeinstanz auferlegt in der Entscheidungsformel die Verfahrenskosten, bestehend aus Spruchgebühr, Schreibgebühren und Barauslagen, in der Regel der unterliegenden Partei. Unterliegt diese nur teilweise, so werden die Verfahrenskosten ermässigt. Ausnahmsweise können sie ihr erlassen werden.
1    Die Beschwerdeinstanz auferlegt in der Entscheidungsformel die Verfahrenskosten, bestehend aus Spruchgebühr, Schreibgebühren und Barauslagen, in der Regel der unterliegenden Partei. Unterliegt diese nur teilweise, so werden die Verfahrenskosten ermässigt. Ausnahmsweise können sie ihr erlassen werden.
2    Keine Verfahrenskosten werden Vorinstanzen oder beschwerdeführenden und unterliegenden Bundesbehörden auferlegt; anderen als Bundesbehörden, die Beschwerde führen und unterliegen, werden Verfahrenskosten auferlegt, soweit sich der Streit um vermögensrechtliche Interessen von Körperschaften oder autonomen Anstalten dreht.
3    Einer obsiegenden Partei dürfen nur Verfahrenskosten auferlegt werden, die sie durch Verletzung von Verfahrenspflichten verursacht hat.
4    Die Beschwerdeinstanz, ihr Vorsitzender oder der Instruktionsrichter erhebt vom Beschwerdeführer einen Kostenvorschuss in der Höhe der mutmasslichen Verfahrenskosten. Zu dessen Leistung ist dem Beschwerdeführer eine angemessene Frist anzusetzen unter Androhung des Nichteintretens. Wenn besondere Gründe vorliegen, kann auf die Erhebung des Kostenvorschusses ganz oder teilweise verzichtet werden.102
4bis    Die Spruchgebühr richtet sich nach Umfang und Schwierigkeit der Streitsache, Art der Prozessführung und finanzieller Lage der Parteien. Sie beträgt:
a  in Streitigkeiten ohne Vermögensinteresse 100-5000 Franken;
b  in den übrigen Streitigkeiten 100-50 000 Franken.103
5    Der Bundesrat regelt die Bemessung der Gebühren im Einzelnen.104 Vorbehalten bleiben Artikel 16 Absatz 1 Buchstabe a des Verwaltungsgerichtsgesetzes vom 17. Juni 2005105 und Artikel 73 des Strafbehördenorganisationsgesetzes vom 19. März 2010106.107
VwVG).

8.2 Bundesbehörden haben keinen Anspruch auf eine Parteientschädigung (Art. 7 Abs. 3
SR 173.320.2 Reglement vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht (VGKE)
VGKE Art. 7 Grundsatz - 1 Obsiegende Parteien haben Anspruch auf eine Parteientschädigung für die ihnen erwachsenen notwendigen Kosten.
1    Obsiegende Parteien haben Anspruch auf eine Parteientschädigung für die ihnen erwachsenen notwendigen Kosten.
2    Obsiegt die Partei nur teilweise, so ist die Parteientschädigung entsprechend zu kürzen.
3    Keinen Anspruch auf Parteientschädigung haben Bundesbehörden und, in der Regel, andere Behörden, die als Parteien auftreten.
4    Sind die Kosten verhältnismässig gering, so kann von einer Parteientschädigung abgesehen werden.
5    Artikel 6a ist sinngemäss anwendbar.7
des Reglements über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht vom 21. Februar 2008 [VGKE, SR 173.320.2]). Dem Beschwerdeführer steht somit keine Parteientschädigung zu.

(Das Dispositiv befindet sich auf der nächsten Seite.)

Demnach erkennt das Bundesverwaltungsgericht:

1.
Die Beschwerde wird gutgeheissen, die angefochtene Verfügung aufgehoben und die Angelegenheit zur Neubeurteilung im Sinne der Erwägungen an die Vorinstanz zurückgewiesen.

2.
Es werden keine Verfahrenskosten erhoben.

3.
Es wird keine Parteientschädigung zugesprochen.

4.
Dieses Urteil geht an:

- den Beschwerdeführer (Ref-Nr. 225.11/2; Gerichtsurkunde)

- die Beschwerdegegnerin (Ref-Nr. 17-360/SXM; Gerichtsurkunde)

- die Vorinstanz (Ref-Nr. 466.2-011; Gerichtsurkunde)

Für die Rechtsmittelbelehrung wird auf die nächste Seite verwiesen.

Der vorsitzende Richter: Die Gerichtsschreiberin:

Christoph Bandli Rahel Gresch

Rechtsmittelbelehrung:

Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bun-desgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen An-gelegenheiten geführt werden, sofern die Voraussetzungen gemäss Art. 82 ff
SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz
BGG Art. 82 Grundsatz - Das Bundesgericht beurteilt Beschwerden:
a  gegen Entscheide in Angelegenheiten des öffentlichen Rechts;
b  gegen kantonale Erlasse;
c  betreffend die politische Stimmberechtigung der Bürger und Bürgerinnen sowie betreffend Volkswahlen und -abstimmungen.
., 90 ff. und 100 BGG gegeben sind. Die Frist ist gewahrt, wenn die Beschwerde spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Handen der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung überge-ben worden ist (Art. 48 Abs. 1
SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz
BGG Art. 48 Einhaltung - 1 Eingaben müssen spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Handen der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung übergeben werden.
1    Eingaben müssen spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Handen der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung übergeben werden.
2    Im Falle der elektronischen Einreichung ist für die Wahrung einer Frist der Zeitpunkt massgebend, in dem die Quittung ausgestellt wird, die bestätigt, dass alle Schritte abgeschlossen sind, die auf der Seite der Partei für die Übermittlung notwendig sind.19
3    Die Frist gilt auch als gewahrt, wenn die Eingabe rechtzeitig bei der Vorinstanz oder bei einer unzuständigen eidgenössischen oder kantonalen Behörde eingereicht worden ist. Die Eingabe ist unverzüglich dem Bundesgericht zu übermitteln.
4    Die Frist für die Zahlung eines Vorschusses oder für eine Sicherstellung ist gewahrt, wenn der Betrag rechtzeitig zu Gunsten des Bundesgerichts der Schweizerischen Post übergeben oder einem Post- oder Bankkonto in der Schweiz belastet worden ist.
BGG). Die Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten. Der angefochtene Entscheid und die Beweismittel sind, soweit sie die beschwerdeführende Partei in Händen hat, beizulegen (Art. 42
SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz
BGG Art. 42 Rechtsschriften - 1 Rechtsschriften sind in einer Amtssprache abzufassen und haben die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten.
1    Rechtsschriften sind in einer Amtssprache abzufassen und haben die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten.
2    In der Begründung ist in gedrängter Form darzulegen, inwiefern der angefochtene Akt Recht verletzt. Ist eine Beschwerde nur unter der Voraussetzung zulässig, dass sich eine Rechtsfrage von grundsätzlicher Bedeutung stellt oder aus anderen Gründen ein besonders bedeutender Fall vorliegt, so ist auszuführen, warum die jeweilige Voraussetzung erfüllt ist. 14 15
3    Die Urkunden, auf die sich die Partei als Beweismittel beruft, sind beizulegen, soweit die Partei sie in Händen hat; richtet sich die Rechtsschrift gegen einen Entscheid, so ist auch dieser beizulegen.
4    Bei elektronischer Einreichung muss die Rechtsschrift von der Partei oder ihrem Vertreter beziehungsweise ihrer Vertreterin mit einer qualifizierten elektronischen Signatur gemäss Bundesgesetz vom 18. März 201616 über die elektronische Signatur versehen werden. Das Bundesgericht bestimmt in einem Reglement:
a  das Format der Rechtsschrift und ihrer Beilagen;
b  die Art und Weise der Übermittlung;
c  die Voraussetzungen, unter denen bei technischen Problemen die Nachreichung von Dokumenten auf Papier verlangt werden kann.17
5    Fehlen die Unterschrift der Partei oder ihrer Vertretung, deren Vollmacht oder die vorgeschriebenen Beilagen oder ist die Vertretung nicht zugelassen, so wird eine angemessene Frist zur Behebung des Mangels angesetzt mit der Androhung, dass die Rechtsschrift sonst unbeachtet bleibt.
6    Unleserliche, ungebührliche, unverständliche, übermässig weitschweifige oder nicht in einer Amtssprache verfasste Rechtsschriften können in gleicher Weise zur Änderung zurückgewiesen werden.
7    Rechtsschriften, die auf querulatorischer oder rechtsmissbräuchlicher Prozessführung beruhen, sind unzulässig.
BGG).

Versand: