BVGE-2012-14 - 2012-04-10 - Corte I (infrastruttura, ambiente, finanze, personale)

2 Privatrecht - Zivilrechtspflege - Vollstreckung
Droit privé - Procédure civile - Exécution
Diritto privato - Procedura civile - Esecuzione

14

Auszug aus dem Urteil der Abteilung I
i.S. Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter gegen AXA Stiftung Berufliche Vorsorge Winterthur und
Eidgenössisches Departement des Innern
A 4467/2011 vom 10. April 2012

Datenschutz. Zustellung von Pensionskassenausweisen. Recht auf informationelle Selbstbestimmung.

Art. 8 Ziff. 1 EMRK. Art. 13 Abs. 2 BV. Art. 51 , Art. 85a , Art. 85b , Art. 86 und Art. 86a BVG. Art. 328 und Art. 331 Abs. 4 OR. Art. 2 Abs. 1 Bst. b , Art. 3 Bst. e und f, Art. 4 , Art. 7 Abs. 1 , Art. 17 , Art. 19 und Art. 27 Abs. 5 DSG. Art. 8 und Art. 9 Abs. 1 Bst. g VDSG.

1. Art. 85a -Art. 87 BVG als strengere Spezialnormen zur Datenbearbeitung beziehungsweise -bekanntgabe im Bereich der obligatorischen beruflichen Vorsorge; ergänzende Anwendung des Datenschutzgesetzes auf Vorsorgeeinrichtungen als Bundesorgane (E. 4.3 f.).

2. Weitergabe von Daten der Pensionskassenausweise zur persönlichen Vorsorgesituation der versicherten Arbeitnehmenden durch die Vorsorgeeinrichtung an die angeschlossenen Arbeitgebenden. Definition Begriff Dritter gemäss Art. 86 BVG im Zusammenhang mit allfälliger Organfunktion der Arbeitgebervertretung in paritätischer Kommission der Vorsorgestiftung (E. 6).

3. Fehlende gesetzliche Grundlage für eine Ausnahme von der Schweigepflicht nach Art. 86 BVG. Persönlichkeitsverletzende Datenbekanntgabe (E. 8).

4. Verletzung des Grundsatzes der Datensicherheit durch Zustellpraxis (E. 9).

Protection des données. Remise de certificats de caisses de pension. Droit à l'autodétermination en matière d'information.

Art. 8 par. 1 CEDH. Art. 13 al. 2 Cst. Art. 51, art. 85a, art. 85b, art. 86 et art. 86a LPP. Art. 328 et art. 331 al. 4 CO. Art. 2 al. 1 let. b, art. 3 let. e et f, art. 4, art. 7 al. 1, art. 17, art. 19 et art. 27 al. 5 LPD. Art. 8 et art. 9 al. 1 let. g OLPD.

1. Art. 85a-art. 87 LPP en tant que règles spéciales plus strictes en matière de traitement et de communication des données dans le domaine de la prévoyance professionnelle obligatoire; application à titre supplétif de la loi sur la protection des données, aux institutions de prévoyance en tant qu'organes fédéraux (consid. 4.3s.).

2. Communication de données contenues dans les certificats personnels de caisse de pension relatives à la situation de prévoyance professionnelle de salariés assurés aux employeurs affiliés par l'institution de prévoyance. Définition de la notion de tiers au sens de l'art. 86 LPP, en lien avec la possibilité qu'un représentant de l'employeur siège au sein de l'organe de la commission paritaire de la fondation de prévoyance (consid. 6).

3. Défaut de base légale pour une exception à l'obligation de garder le secret au sens de l'art. 86 LPP. Communication de données constituant une atteinte à la personnalité (consid. 8).

4. Le mode de remise des certificats adopté viole le principe de la sécurité des données (consid. 9).

Protezione dei dati. Notificazionedi certificati di previdenza. Diritto all'autodeterminazione informativa.

Art. 8 n.1 CEDU. Art. 13 cpv. 2 Cost. Art. 51, art. 85a, art. 85b, art. 86 e art. 86a LPP. Art. 328 e art. 331 cpv. 4 CO. Art. 2 cpv. 1 lett. b, art. 3 lett. e e f, art. 4, art. 7 cpv. 1, art. 17, art. 19 e art. 27 cpv. 5 LPD. Art. 8 e art. 9 cpv. 1 lett. g OLPD.

1. Gli art. 85a-art. 87 LPP regolano, siccome norme speciali più restrittive, il trattamento e la comunicazione dei dati nell'ambito della previdenza professionale obbligatoria; applicazione a titolo complementare della legge sulla protezione dei dati agli istituti di previdenza in quanto organi federali (consid. 4.3 seg.).

2. Trasmissione ai datori di lavoro affiliati, da parte dell'istituto di previdenza, dei dati contenuti nei certificati di previdenza riguardo alla situazione previdenziale personale dei lavoratori assicurati. Definizione del concetto di terzi ai sensi dell'art. 86 LPP con riferimento alla funzione di organo eventualmente assunta dai rappresentanti del datore di lavoro in seno alla commissione paritetica della fondazione di previdenza (consid. 6).

3. Mancanza di una base legale che legittimi un'eccezione al principio dell'obbligo del segreto sancito dall'art. 86 LPP. Comunicazione di dati lesiva della personalità (consid. 8).

4. La prassi seguita nella trasmissione dei certificati di previdenza viola il principio della sicurezza dei dati (consid. 9).

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) wurde von Bürgern auf die Praxis der AXA Stiftung Berufliche Vorsorge Winterthur (AXA) aufmerksam gemacht, persönliche Pensionskassenausweise nicht direkt an die versicherten Personen, sondern allesamt unverschlossen in einem Couvert mit dem Vermerk « Vertraulich » an die Adresse der jeweiligen Arbeitgebenden zwecks betriebsinterner Verteilung zu versenden, was von der AXA auf Anfrage bestätigt wurde.

Am 8. Juni 2009 erliess der EDÖB eine Empfehlung an die Adresse der AXA, welche diese mit Schreiben vom 10. August 2009 ablehnte.

Der EDÖB gelangte mit Schreiben vom 27. August 2009 ans Eidgenössische Departement des Innern (EDI) und beantragte, die AXA sei mittels Verfügung zu verpflichten, die von ihr praktizierte Bekanntgabe der Daten der bei ihr versicherten Personen an deren Arbeitgebende unverzüglich einzustellen.

Mit Verfügung vom 15. Juni 2011 gab das EDI dem Antrag des EDÖB nicht statt und stellte fest, dass die Praxis der AXA, die Pensionskassenausweise den Arbeitgebenden zur Weiterleitung an die Arbeitnehmenden zu übergeben, keine rechtlichen Normen verletze und daher dem Legalitätsprinzip entspreche.

In der Folge erhob der EDÖB (nachfolgend: Beschwerdeführer) mit Schreiben vom 12. August 2011 Beschwerde beim Bundesverwaltungsgericht. Er beantragt, die Verfügung des EDI (nachfolgend: Vorinstanz) vom 15. Juni 2011 sei aufzuheben und die AXA (nachfolgend: Beschwerdegegnerin) sei anzuweisen, den bei ihr versicherten Personen die persönlichen Pensionskassenausweise künftig so zuzustellen, dass ausschliesslich die jeweilige versicherte Person selbst und damit keine Dritten - insbesondere nicht deren Arbeitgebende - Kenntnis vom Inhalt des sie betreffenden Ausweises erlangen könnten.

Das Bundesverwaltungsgericht heisst die Beschwerde gut.

Aus den Erwägungen:

3. Umstritten ist vorliegend, ob eine Datenbekanntgabe von der Beschwerdegegnerin an die Arbeitgebenden stattgefunden hat beziehungsweise ob Letztere, wie der Beschwerdeführer behauptet, als Dritte zu qualifizieren sind oder dem Standpunkt der Beschwerdegegnerin zu folgen ist, wonach keine Datenbekanntgabe vorliegen könne, da die Arbeitgebenden als Stiftungsorgane mit der Durchführung der beruflichen Vorsorge betraut seien und daher nicht als Dritte gelten könnten. Die Vorinstanz ist in ihrer Verfügung in Bezug auf den Arbeitgebenden nicht bereits aufgrund der Anmeldung der versicherten Arbeitnehmenden bei der Vorsorgeeinrichtung bekannte Daten von einer Datenbekanntgabe ausgegangen. Sie hat die Arbeitgebenden jedoch aufgrund der Qualifikation als Organe der Vorsorgestiftung nicht als Dritte eingestuft und in der Folge eine Verletzung der Schweigepflicht seitens der Beschwerdegegnerin verneint. Das Bundesamt für Sozialversicherungen (BSV) hat diesbezüglich erklärt, im obligatorischen Bereich des Bundesgesetzes vom 25. Juni 1982 über die berufliche Alters-, Hinterlassenen- und Invalidenvorsorge (BVG, SR 831.40) würden keine Daten bekannt gegeben, welche die
Arbeitgebenden nicht bereits aufgrund ihrer Mitgliedschaft im paritätischen Organ der Vorsorgeeinrichtung kennen würden oder problemlos selbst berechnen könnten. Aber auch wenn von einer Datenbekanntgabe ausgegangen würde, sei diese nicht zweckwidrig, da die Arbeitgebenden von der Vorsorgestiftung gewisse Daten benötigten, um ihrer gesetzlichen Beitragspflicht gemäss Art. 66 BVG und ihrer Informationspflicht nach Art. 333 Abs. 4 des Obligationenrechts vom 30. März 1911 (OR, SR 220) nachzukommen. Dabei erhielten sie jedoch keinen Einblick in besonders schützenswerte Personendaten.

Im Folgenden sind vorab die anwendbaren Rechtsgrundlagen sowie deren Verhältnis zueinander darzulegen. In einem zweiten Schritt ist zu prüfen, ob eine datenschutzrechtlich relevante Datenbekanntgabe stattgefunden hat und falls ja, ob diesbezüglich ein Verstoss gegen die massgeblichen Gesetzesbestimmungen und damit eine widerrechtliche Persönlichkeitsverletzung vorliegt.

4.

4.1 Jeder Mensch hat nach Art. 8 Abs. 1 der Konvention vom 4. November 1950 zum Schutze der Menschenrechte und Grundfreiheiten (EMRK, SR 0.101) das Recht auf Achtung seines Privatlebens. Unter diesem Blickwinkel werden die Speicherung und Verwertung von Informationen durch den Staat sowie die Einsicht in gespeicherte Informationen beurteilt. Gemäss Art. 13 der Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999 (BV, SR 101) hat jede Person Anspruch auf Achtung ihrer Privatsphäre und Schutz vor Missbrauch ihrer persönlichen Daten (vgl. diesbezüglich auch BGE 136 II 508 E. 6.3.1 f.). Dieser Anspruch bildet Teil der verfassungsmässigen Garantie der Privatsphäre und Kernbestandteil des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz (DSG, SR 235.1) (Art. 1 DSG) und räumt jeder Person das Recht darauf ein, selbst zu entscheiden, wann und wem sie persönliche Lebenssachverhalte, aber auch Gedanken, Empfindungen und Ähnliches preisgibt. Dieses verfassungsmässige Recht auf informationelle Selbstbestimmung (Art. 13 Abs. 2 BV und Art. 8 Ziff. 1 EMRK) lässt grundsätzlich ohne Rücksicht darauf, wie sensibel die fraglichen Informationen tatsächlich sind, dem Einzelnen
die Herrschaft über seine personenbezogenen Daten zukommen und schützt ihn vor Beeinträchtigungen, die durch die staatliche Bearbeitung seiner persönlichen Daten entstehen (Rainer J. Schweizer, in: Ehrenzeller/ Mastronardi/Schweizer/Vallender [Hrsg.], Die Schweizerische Bundesverfassung, Kommentar, 2. Aufl., Zürich 2008, Art. 13 Rz. 37 ff.; Jörg paul müller/Markus Schefer, Grundrechte in der Schweiz, Im Rahmen der Bundesverfassung, der EMRK und der UNO-Pakte, 4. Aufl., Bern 2008, S. 164 ff.; Urs Maurer-Lambrou/Simon Kunz, in: Maurer-Lambrou/Vogt [Hrsg.], Basler Kommentar zum Datenschutzgesetz, 2. Aufl., Basel 2006, Art. 1 Rz. 19 und 23 mit Hinweisen, nachfolgend: BSK-DSG; Rebekka Riesselmann-Saxer, Datenschutz im privatrechtlichen Arbeitsverhältnis, Diss. Bern 2002, S. 3f. mit Hinweis; Kurt Pärli, Datenaustausch zwischen Arbeitgeber und Versicherung, Diss. Bern 2003, S. 127f.).

4.2 Für die Beurteilung der Anwendbarkeit des Bundesdatenschutzrechts beziehungsweise für die Abgrenzung privat- oder öffentlichrechtlich ist auf die Natur des zugrunde liegenden Verhältnisses abzustellen; die Beziehung zwischen dem Datenbearbeitenden und der betroffenen Person ist in einer gesamthaften Betrachtung zu prüfen (vgl. BGE 122 I 153 E. 2c; David Rosenthal/Yvonne Jöhri, Handkommentar zum Datenschutzgesetz, Zürich 2008, Art. 2 Abs. 1 Rz. 17). Vorliegend handelt es sich bei der Datenbearbeiterin um eine Vorsorgestiftung, betroffen sind die bei ihr im Rahmen der obligatorischen beruflichen Vorsorge versicherten Personen. Die hier in Frage stehende Rechtsbeziehung ist ohne Weiteres gesetzliche Folge des Arbeitsvertrags (vgl. Art. 10 BVG), das heisst, der Arbeitnehmende kann grundsätzlich weder den Abschluss noch den Partner oder Inhalt der Rechtsbeziehung bestimmen, es fehlt an den zentralen Elementen der (privatrechtlichen) Vertragsfreiheit. Der erwähnte gesetzliche Anschluss an die Stiftung bewirkt, dass der einzelne Arbeitnehmende auch ohne Weiteres ihren reglementarischen Bestimmungen unterworfen ist (Hans Michael Riemer/Gabriela Riemer-Kafka, Das Recht der beruflichen
Vorsorge in der Schweiz, 2. Aufl., Bern 2006, § 4 Rz. 11; Pärli, a.a.O., S. 83 mit Hinweisen). Als Bundesaufgabe nach Art. 113 BV ist die berufliche Vorsorge dem öffentlichen Recht zuzuordnen. Die unter Bundesaufsicht stehenden Vorsorgeeinrichtungen, die an der Durchführung der obligatorischen Versicherung beteiligt sind (Art. 48 Abs. 1 BVG), gelten als mit einer öffentlichen Aufgabe des Bundes betraute juristische Personen und sind damit in Bezug auf den Datenschutz trotz ihrer fehlenden Verfügungsmacht als Bundesorgane im Sinne von Art. 2 Abs. 1 Bst. b DSG in Verbindung mit Art. 3 Bst. h DSG zu qualifizieren, sofern sie Personendaten für die Erfüllung einer öffentlichen Aufgabe des Bundes bearbeiten, was vorliegend der Fall ist (Jöhri, a.a.O., Art. 3 Bst. h Rz. 99; Kurt Pärli, in: Schneider/Geiser/Gächter [Hrsg.], Handkommentar zum BVG, Bern 2010, Art. 85a Rz. 2 mit Hinweis, nachfolgend: Handkommentar zum BVG; Maurer-Lambrou/Kunz, a.a.O., Art. 2 Rz. 16 und 18).

4.3 Das Datenschutzgesetz bezweckt den Schutz der Persönlichkeit und der Grundrechte von Personen, über die Daten bearbeitet werden (Art. 1 DSG). Es ergänzt und konkretisiert damit den bereits durch das Schweizerische Zivilgesetzbuch vom 10. Dezember 1907 (ZGB, SR 210) gewährleisteten Schutz (BGE 136 II 508 E. 6.3.2, BGE 127 III 481 E. 3.a.bb mit Hinweis). Da jegliche Form des Datenbearbeitens das verfassungsrechtlich verankerte Recht auf informelle Selbstbestimmung sowie allgemein das Recht auf persönliche Freiheit gemäss Art. 10 BV tangiert, ist sie nur dann rechtmässig, wenn die in Art. 36 BV vorgesehenen Schranken eingehalten sind. Die Bestimmungen des Datenschutzrechts sind letztlich Wertungen darüber, wann eine Datenbearbeitung einen schwerwiegenden Grundrechtseingriff darstellt. Der bereichsspezifische Gesetzgeber ist nicht an das Schutzniveau des Datenschutzgesetzgebers gebunden; er kann andere Wertungen beziehungsweise Regelungen vorsehen (Maurer-Lambrou/Kunz, a.a.O., Art. 1 Rz. 15; Jöhri, a.a.O., Art. 17 Rz. 35f.). Das Bundesgericht hat diesbezüglich festgehalten, dass sich weder aus dem Gesetz noch aus den allgemeinen Grundsätzen ergebe, dass das Datenschutzgesetz
inhaltliche Anforderungen an die Ausgestaltung anderer, spezieller Gesetze enthalte (BGE 124 I 176 E. 5c/ee). Der Gesetzgeber kann somit in bereichsspezifischen Rechtsgrundlagen von gewissen allgemeinen Prinzipien oder Wertungen des Datenschutzrechts abweichen, sodass einzelnen Bestimmungen des Datenschutzgesetzes keine eigenständige materielle Bedeutung mehr zukommt. Soweit aber nicht eine abschliessende spezialgesetzliche Norm vorliegt, müssen die Bundesorgane immer auch die allgemeinen Bestimmungen von Art. 4 ff . DSG beachten. Schliesslich sind die Grundsätze des Datenschutzgesetzes auch bei der Auslegung bereichsspezifischer Normen zu berücksichtigen (vgl. Urteil des Bundesgerichts 2A.534/2001 vom 15. März 2002 E. 5; BGE 126 II 126 E. 5b und 5c; Botschaft vom 23. März 1988 zum DSG in BBl 1988 II 467; Jöhri, a.a.O., Art. 17 Rz. 5).

Das Datenschutzgesetz will also in der Regel neben anderen Erlassen angewandt werden. Es ist jedoch nicht ausgeschlossen, dass eine andere Bestimmung des schweizerischen Rechts dem Datenschutzgesetz als lex specialis vorgeht. Ob der Gesetzgeber mit einer spezialgesetzlichen Norm eine bestimmte, auch vom Datenschutzgesetz geregelte Frage für den betreffenden Spezialfall abschliessend regeln wollte, ist durch Gesetzesauslegung festzustellen. Beispielsweise setzt der Gesetzgeber der Datenbearbeitung durch Arbeitgebende über das Datenschutzgesetz hinausgehende Schranken, indem diese Daten über Arbeitnehmende gemäss Art. 328b Satz 1 OR nur bearbeiten dürfen, soweit sie deren Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrags erforderlich sind (Rosenthal/Jöhri, a.a.O., Art. 2 Abs. 1 Rz. 2f.). Wenn eine spezialgesetzliche Rechtsgrundlage für die Bearbeitung von Personendaten vorhanden ist, so erfolgt diese grundsätzlich rechtmässig (Stephan C. Brunner, Das revidierte Datenschutzgesetz und seine Auswirkungen im Gesundheits- und Versicherungswesen, in: Schaffhauser/Horschik [Hrsg.], Datenschutz im Gesundheits- und Versicherungswesen, St. Gallen 2008, S. 145; vgl. auch Art. 4 Abs. 3 DSG). Im Bereich
der obligatorischen beruflichen Vorsorge ist die Datenbearbeitung beziehungsweise -bekanntgabe durch Bundesorgane in Art. 85a bis 87 BVG geregelt. Wenn das Spezialrecht strengere Datenschutznormen oder wie hier eine in sich geschlossene Datenschutzkonzeption enthält, so gehen diese Bestimmungen ausnahmsweise jenen des allgemeinen Datenschutzgesetzes vor (BBl 1988 II 444, 471).

4.4 Auf die Vorsorgeeinrichtungen als Bundesorgane im Sinne von Art. 2 Abs. 1 Bst. b DSG sind die Bestimmungen des Datenschutzgesetzes aber ergänzend anwendbar (Pärli, Handkommentar zum BVG, Art. 86a Rz. 6, vgl. auch E. 8.3). Das Datenschutzgesetz ist nämlich ein « Querschnitts- beziehungsweise Einheitsgesetz », dessen Geltungsbereich sich nicht nur auf Datenbearbeitungen durch private Personen erstreckt, sondern wie erwähnt auch auf Bundesorgane, welche Personendaten bearbeiten (BBl 1988 II 444; Pärli, a.a.O., S. 141; Maurer-Lambrou/Kunz, a.a.O., Art. 1 Rz. 6). Darunter sind gemäss Art. 3 Bst. h DSG Behörden und Dienststellen des Bundes sowie Personen zu verstehen, die mit öffentlichen Aufgaben des Bundes betraut sind. Bundesorgane sind von Amtes wegen verpflichtet, sowohl die Bestimmungen des Datenschutzgesetzes als auch datenschutzrechtliche Normen anderer Bundeserlasse einzuhalten und unterstehen grundsätzlich den strengeren öffentlich-rechtlichen Bestimmungen von Art. 16 bis 25bis DSG. Dies liegt darin begründet, dass Bundesbehörden gegenüber Privatpersonen grundsätzlich hoheitlich auftreten und sie Personendaten auch gegen den Willen der Betroffenen erheben können. Für
Datenbearbeitungen durch Bundesbehörden gelten daneben jedoch auch die allgemeinen Datenschutzbestimmungen (Art. 4 bis 11a DSG), die sowohl auf private Personen als auch auf Bundesorgane anwendbar sind (Jöhri, a.a.O., Art. 3 Bst. h Rz. 99 und Rosenthal/Jöhri, a.a.O., Art. 2 Abs. 1 Rz. 18f.; Maurer-Lambrou/Kunz, a.a.O., Art. 1 Rz. 12; Pärli, a.a.O., S. 152).

5. (Begriff der Personendaten)

6.

6.1 Bearbeiten von Daten im Sinne von Art. 2 Abs. 1 DSG bedeutet jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben, Archivieren oder Vernichten von Daten (Art. 3 Bst. e DSG).

6.2 Der Begriff der Bekanntgabe als der heikelste Bearbeitungsschritt mit entsprechend hohem Potenzial für Persönlichkeitsverletzungen ist in Art. 3 Bst. f DSG definiert als das Zugänglichmachen von Personendaten wie das Einsichtgewähren, Weitergeben oder Veröffentlichen. In der Lehre wird darunter grösstenteils jede aktive Weitergabe und jedes passive Zugänglichmachen von Personendaten, zum Beispiel durch Herumliegenlassen vertraulicher Akten, verstanden, die es einem Dritten ermöglichen, vom Inhalt personenbezogener Informationen Kenntnis zu nehmen. Riesselmann-Saxer stellt sich demgegenüber auf den Standpunkt, die Bekanntgabe durch passive Weitergabe im Sinne einer Einsichtgewährung sei von der blossen Verletzung des Grundsatzes der Datensicherheit zu unterscheiden. Erstere liege vor, wenn die Daten mit entsprechendem Willen zur Bekanntgabe zugänglich gemacht werden, Letztere gründe auf einer eigentlichen Nachlässigkeit des Verantwortlichen. So oder anders ist erforderlich, dass die Daten einem Dritten tatsächlich zugänglich gemacht werden. Wer schon Zugang zu bestimmten Daten hat, dem können sie nicht mehr zugänglich gemacht werden; mit anderen Worten können Daten nur bekannt
gegeben werden, wem sie nicht schon beziehungsweise nicht in diesem Umfang bekannt sind (Jöhri, a.a.O., Art. 3 Bst. f Rz. 75f.; Rosenthal, a.a.O., Art. 6 Rz. 4; Urs Belser, BSK-DSG, Art. 3 Rz. 30; Yvonne Jöhri/Marcel Studer, BSK-DSG, Art. 19 Rz. 1; Riesselmann-Saxer, a.a.O., S. 18; BBl 1988 II 447; zur Datensicherheit vgl. E. 9).

6.3 Die Beschwerdegegnerin hat die Vorsorgeausweise willentlich unverschlossen an die Arbeitgebenden zugestellt, das heisst, es wurde zweifelsfrei Einsicht gewährt. Den Ausweisen ist unter anderem zu entnehmen, welche Freizügigkeitsleistungen neu eintretende Versicherte einbringen, wann und in welcher Höhe versicherte Personen Einkäufe in die Pensionskasse tätigen beziehungsweise Pensionskassenguthaben für den Erwerb von Wohneigentum vorbeziehen, ob und wann ihr Guthaben sich infolge Ehescheidung verändert hat und auf welchen Betrag sich ihre angesparten Pensionskassenguthaben belaufen. Unter Umständen befinden sich Hinweise betreffend provisorischem Versicherungsschutz oder temporärer Erwerbsunfähigkeit auf dem Vorsorgeausweis. Zudem wird alljährlich die Höhe der Freizügigkeitsleistung bekannt gegeben (Art. 24 des Freizügigkeitsgesetzes vom 17. Dezember 1993 [FZG, SR 831.42]).

Zu klären ist in diesem Zusammenhang, ob die Arbeitgebenden in Bezug auf die soeben erwähnten Daten als Dritte zu qualifizieren sind, sodass von einer datenschutzrechtlich relevanten Bekanntgabe auszugehen ist, oder ob sie aufgrund ihrer Aufgaben im Rahmen der beruflichen Vorsorge oder innerhalb der Vorsorgestiftung bereits Kenntnis von obgenannten Daten haben, womit eben keine Datenbekanntgabe vorliegen würde (vgl. dazu auch E. 3).

6.3.1 Der Gesetzgeber hat es unterlassen, in den Legaldefinitionen von Art. 3 DSG den Begriff des Dritten zu konkretisieren. Dieser wird jedoch in diversen Bestimmungen verwendet und ist daher von einiger Bedeutung. Grundsätzlich sind drei Betrachtungsweisen denkbar, um den Begriff des Dritten zu bestimmen. Die funktionsbezogene Umschreibung fasst den Begriff am engsten: Demnach sind all jene Dritte, welche nicht aufgrund ihrer Aufgabe Zugriff auf die Daten erhalten. Bei der rechtlichen Betrachtungsweise hingegen gilt als Dritter, wer nicht derselben rechtlichen Einheit angehört beziehungsweise bei dem es sich um eine andere juristische oder natürliche Person handelt. Am weitesten wird der Begriff des Dritten aufgrund der wirtschaftlichen Betrachtungsweise gefasst: Als Dritte zu qualifizieren sind danach all jene, die ausserhalb einer wirtschaftlichen Einheit, zum Beispiel eines Konzerns, stehen. Infolge konsequenter Anwendung des Vertraulichkeitsprinzips (vgl. Art. 7 Abs. 1 DSG und Art. 9 Abs. 1 Bst. g der Verordnung vom 14. Juni 1993 zum Bundesgesetz über den Datenschutz [VDSG, SR 235.11]), wonach der Zugriff der berechtigten Personen auf diejenigen Personendaten zu beschränken ist, die sie für
die Erfüllung ihrer Aufgabe benötigen, kann grundsätzlich nur die erstgenannte, funktionsbezogene Begriffsbestimmung massgebend sein. Dritte sind dementsprechend all diejenigen, welche die betreffenden Personendaten für die Erfüllung ihrer jeweiligen Aufgabe nicht benötigen. Als Bekanntgabe an einen Dritten gilt demnach beispielsweise die Einsichtnahme eines Abteilungsleiters in die Personalakte eines Arbeitnehmenden, der nicht derselben Abteilung innerhalb desselben Betriebs angehört (Riesselmann-Saxer, a.a.O., S. 20 mit Hinweisen). Ziel vorgenannter Bestimmung ist - analog zum gleichlautenden Art. 33 des Bundesgesetzes vom 6. Oktober 2000 über den Allgemeinen Teil des Sozialversicherungsrechts (ATSG, SR 830.1) - unter anderem der Schutz der Persönlichkeit betroffener Personen, welche sowohl durch die Weitergabe entsprechender Daten nach aussen als auch innerhalb derselben Behörde tangiert wird. Dies lässt sich ebenfalls aus der Tatsache schliessen, dass die Schweigepflicht grundsätzlich auch innerhalb derselben Behörde zu beachten ist, solange damit nicht die Durchführung der beruflichen Vorsorge verunmöglicht wird. Daran ändert nichts, dass die einzelnen Personen innerhalb der Behörde ihrerseits der Schweigepflicht unterstehen.
Alle Personen und Stellen ausserhalb der entsprechenden Behörde - wie etwa Arbeitgebende - haben umso mehr als Dritte zu gelten (vgl. Ueli Kieser, ATSG-Kommentar, 2. Aufl., Zürich/Basel/Genf 2009, Art. 33 Rz. 10f. mit Hinweisen; Pärli, Handkommentar zum BVG, Art. 86 Rz. 3, 5 und 13 f. mit Hinweisen; Jöhri, a.a.O., Art. 3 Bst. f . Rz. 75).

6.3.2

6.3.2.1 Die paritätische Verwaltung nach Art. 51 BVG ist das oberste Organ einer Vorsorgeeinrichtung. Der Grundgedanke von Art. 51 BVG ist die Einführung einer beitragsunabhängigen und vollen paritätischen, das heisst effektiv gleichberechtigten Mitbestimmung der Arbeitnehmervertretung in privatrechtlichen Personalvorsorgestiftungen, also die Statuierung einer echten Sozialpartnerschaft auf dem Gebiet der beruflichen Vorsorge. Dies muss für die Anwendung dieser Bestimmung (Auslegung und Füllung allfälliger Lücken des darauf beruhenden Reglements) wegleitend sein. Die volle Parität gemäss Art. 51 BVG wurde vorab als Minimalvorschrift zum Schutz der Arbeitnehmenden eingeführt, sodass sie zu deren Ungunsten nicht verändert werden darf, es den Arbeitgebenden jedoch freisteht, auf ihre Vertretungsrechte ganz oder teilweise zu verzichten (Riemer/Riemer-Kafka, a.a.O., § 2 Rz. 54 und 69; Thomas Gächter/Maya Geckeler Hunziker, Handkommentar zum BVG, Art. 51 Rz. 12f. mit Hinweisen). Dem paritätischen Organ kommen eigentliche Mitbestimmungs- und nicht nur blosse Mitspracherechte zu, wobei alle Vertretenden absolut gleichberechtigt sind. Ob zur Vertretung auf beiden Seiten externe Personen wie Rechtsanwälte oder Experten
beigezogen werden dürfen, ist gesetzlich nicht geregelt, wird jedoch von der Lehre entsprechend der bisherigen Praxis bejaht. Alle strategischen Entscheide als Kernaufgaben des obersten Organs dürfen nicht auf aussenstehende Dritte übertragen werden, das heisst, bestimmte zentrale Führungsaufgaben müssen vom paritätischen Organ selbst wahrgenommen werden. Dieses kann indessen ihm zustehende operative Kompetenzen beispielsweise an ein besonderes Fachgremium delegieren, insbesondere im Bereich der Vermögensverwaltung im Sinne von Art. 51 Abs. 2 Bst. c BVG, wo den Mitgliedern des paritätischen Organs oftmals das nötige Fachwissen fehlt. In Anbetracht der zunehmenden Komplexität der zu bewältigenden Aufgaben führen mangelnde Fachkenntnisse und das Bedürfnis nach Professionalität vermehrt dazu, dass Vorsorgeeinrichtungen bestimmte Aufgaben an aussenstehende Dienstleistende auslagern. Ebenso kann es - vor allem bei grossen Personalvorsorgeeinrichtungen - zweckmässig sein, wenn gewisse Aufgaben einzelnen Mitgliedern oder Ausschüssen des Führungsorgans zugewiesen werden. Solche Ausschüsse müssen nicht zwingend paritätisch zusammengesetzt, jedoch durch das paritätische Organ gewählt sein und kontrolliert werden können (Gächter/Geckeler
Hunziker, Handkommentar zum BVG, Art. 51 Rz. 29f. und Rz. 54ff., je mit Hinweisen; Riemer/Riemer-Kafka, a.a.O., § 2 Rz. 58f.).

6.3.2.2 Im Sinne einer informationellen Gewaltenteilung ist eine gewisse Abschottung zwischen Verwaltungseinheiten sicherzustellen, damit nicht jede Amtsstelle in alle Personendaten beliebig Einblick nehmen kann, die im Staat bearbeitet werden (BBl 1988 II 469). Dieser Grundsatz der informationellen Trennung ist nicht nur bei der Datenbekanntgabe zwischen verschiedenen Bundesorganen zu beachten, sondern auch innerhalb einer Behörde sicherzustellen (Jöhri, a.a.O., Art. 19 Rz. 6 mit Hinweisen). Die in Art. 7 DSG geforderte Vertraulichkeit der Daten ist nicht vorhanden, wenn Arbeitgebende Einblick in Gesundheits- und andere versicherungsrechtliche Daten erhalten. Die Verwaltung einer Vorsorgeeinrichtung muss deshalb so organisiert sein, dass weder der Arbeitgebende selber noch ein Organ oder Stellvertreter Zugang zu den Daten der versicherten und bei ihm angestellten Personen erhält, ansonsten eine widerrechtliche Datenbearbeitung vorliegt. Namentlich die fehlende Trennung zwischen Arbeitgeber- und Versicherungsfunktion kann dazu führen, dass die Arbeitgebenden Einblick in Versicherungsdaten erhalten (Pärli, a.a.O., S. 3 und 9). Wenn ein Mitarbeitender der Personalabteilung eines Arbeitgebenden gleichzeitig
verantwortlich ist für die Abwicklung organisatorischer Belange der Vorsorgeeinrichtung, so dient das Wissen, das er in seiner Funktion als Vertretender der Vorsorgeeinrichtung erlangt, zwei Herren. Hat der Arbeitgebende dadurch uneingeschränkten Zugang zu den Versicherungsdossiers der Vorsorgeeinrichtung, ist die Ausgangslage mit einer verpönten Personalunion vergleichbar.

Folgt man der herrschenden Lehre, so wird alles Wissen eines Organs der juristischen Person selbst zugerechnet, das heisst, das Wissen der Vorsorgeeinrichtung über die im persönlichen Ausweis enthaltenen Daten wird zum Wissen des jeweiligen Arbeitgebenden. Die Lehre wird allerdings in ihrer Absolutheit in Frage gestellt. So wird angeregt, eine angemessene Informationsbewirtschaftung solle dazu führen, dass Informationen an diejenigen Stellen gelangten, welche sie auch benötigten. Die richtige Kanalisation des Informationsflusses und insbesondere eine adäquate Zugangsregelung können durch Kommunikationsschranken innerhalb des Betriebs, sogenannte « Chinese Walls », sichergestellt werden. Diese verhindern, dass Unbefugte Zugang zu für sie nicht relevanten Informationen erhalten. Die Notwendigkeit solcher Schranken ergibt sich wie erwähnt bereits aus dem in Art. 7 DSG verankerten Gebot der Datensicherheit. So verlangt denn auch der EDÖB in seinem Leitfaden für die Bearbeitung von Personendaten im Arbeitsbereich eine strikte Trennung zwischen dem Personaldienst des Arbeitgebenden und dem Verwaltungspersonal der Versicherung. Die Führung der Dossiers der versicherten Personen kann grundsätzlich aussenstehenden Dritten übertragen
werden. Dadurch lässt sich der unbefugte Datenaustausch als Folge von Personalunion oder ungenügenden Kommunikationsschranken vermeiden, wobei der grundlegend unbefriedigende Zustand nur mit einem Verbot der Wahrnehmung beider Aufgaben in Personalunion geändert werden kann (Hans Michael Riemer, Berührungspunkte zwischen beruflicher Vorsorge und Arbeitsrecht, in: Schweizerische Zeitschrift für Sozialversicherung und berufliche Vorsorge 2009, S. 119f. mit Hinweisen; Gabriela Riemer-Kafka, Datenschutz zwischen Arbeitgeber und Versicherungsträgern, in: Schweizerische Juristen-Zeitung 96/2000, S. 288, 291 f. mit Hinweisen; Pärli, a.a.O., S. 210ff. mit Hinweisen; EDÖB, Leitfaden für die Bearbeitung von Personendaten im Arbeitsbereich, Version Mai 2011, S. 10 Ziff. 3.1.4, < http://www. edoeb.admin.ch > Dokumentation > Datenschutz > Leitfäden, besucht am 2. März 2012; zum Grundsatz der Datensicherheit vgl. E. 9).

6.3.2.3 In Bezug auf die Auskunftspflicht einer Vorsorgeeinrichtung gegenüber ihren Versicherten hat das BSV in diesem Zusammenhang Folgendes festgehalten:

Im Rahmen ihrer Organisation kann die Vorsorgeeinrichtung ihre Vorsorgewerke als unmittelbare Kontaktstellen zu den Versicherten bezeichnen, sodass sämtliche Anfragen, Informationen, Anweisungen und so weiter über diese laufen. Anderseits ist die Übertragung von solchen Aufgaben nicht zwingend erforderlich, auch dann nicht, wenn die paritätische Verwaltung auf Stufe der Vorsorgewerke organisiert ist. Die alltägliche Geschäftsführung wird nämlich in der Regel nicht vom Stiftungsrat oder vom paritätischen Organ des Vorsorgewerkes persönlich betreut. Vielmehr wird damit eine Geschäftsstelle beauftragt.

Ein Bedürfnis nach Direktinformationen besteht zum Beispiel in den Fällen, in denen der Arbeitnehmende ein legitimes Interesse daran hat, dass sein Arbeitgebender von seinem Auskunftsbegehren nichts erfährt. Dies kann insbesondere bei Erkundigungen nach der Höhe der Freizügigkeitsleistung der Fall sein. Wenn sich die versicherte Person an die im Rahmen des Vorsorgewerkes organisierte paritätische Verwaltung, in der ihr Arbeitgebender oder dessen Vertretung Einsitz haben, oder an Mitarbeitende im Personalwesen, die das Vorsorgewerk betreuen, wenden muss, ist die Vertraulichkeit der Behandlung solcher Anfragen nicht gewährleistet. Dies kann die faktische Durchsetzung der Informationsansprüche der Arbeitnehmenden beträchtlich erschweren. Die Autonomie der Vorsorgeeinrichtung, sich nach ihrem Gutdünken zu organisieren, steht somit in Konflikt mit dem sich aus dem arbeitsrechtlichen Persönlichkeitsschutz des Arbeitnehmenden ergebenden Anspruch auf vertrauliche Behandlung seiner Anfrage im Bereich des Vorsorgeverhältnisses. Aus dem Sinn und Zweck von Art. 86 BVG ergibt sich, dass Auskunftsbegehren der versicherten Personen zu keinen negativen Auswirkungen auf ihr Arbeitsverhältnis führen dürfen. Der Arbeitnehmende hat einen legitimen
Anspruch darauf, dass der Arbeitgebende wegen allfälliger Interessenkollisionen von seiner Anfrage keine Kenntnis erhält (vgl. diesbezüglich E. 9.3). Es ist somit organisatorisch die Möglichkeit zu schaffen, auf Wunsch des Arbeitnehmenden eine Auskunft in der Weise zu erteilen, dass der Arbeitgebende und andere mit der Geschäftsleitung der betreffenden Unternehmung betraute Personen davon nichts erfahren. Die Sammel- wie auch die übrigen Einrichtungen können dieses Problem zum Beispiel dadurch lösen, dass wichtige, die versicherte Person besonders und persönlich interessierende Daten wie die Freizügigkeitsleistung periodisch auf einem Versicherungsausweis mitgeteilt werden (Mitteilungen des BSV über die berufliche Vorsorge Nr. 19 vom 12. August 1991, Nr. 114 Auskunft in der beruflichen Vorsorge, Ziff. 1 S.2 f., < http://www.bsv.admin.ch > Vollzug Sozialversicherungen > BV (2. Säule) > Mitteilungen, besucht am 2. März 2012).

6.3.3

6.3.3.1 Im Fall der Beschwerdegegnerin setzt sich die Personalvorsorgekommission als paritätisches Organ aus mindestens je einem Vertreter der Arbeitgeber- und -nehmerseite zusammen, wobei auch nicht versicherte Dritte als Mitglieder gewählt werden können (vgl. Art. 2f. Organisationsreglement der Personalvorsorge-Kommission der Beschwerdegegnerin [Organisationsreglement]). Die Personalvorsorge-Kommission wählt den Stiftungsrat und nimmt die Aufgaben wahr, die dieser ihr reglementarisch überträgt (vgl. Art. 6 Organisationsreglement). Die Kommission ist ebenfalls Stiftungsorgan. Vorsorgekommissionen sind einerseits Vertreterinnen der angeschlossenen Firmen, zugleich aber auch dasjenige Gremium, mittels welchem die in Art. 51 BVG vorgesehene paritätische Verwaltung der Vorsorgeeinrichtung durchgeführt wird. Deshalb haben sie grundsätzlich den gleichen Zugang zu den massgeblichen Informationen wie die Gremien der paritätischen Verwaltung bei einer einzelbetrieblichen Vorsorgeeinrichtung (BGE 124 II 114 E. 2b mit Hinweisen). Zum Kreis der von der Schweigepflicht nach Art. 86 BVG erfassten Personen gehören auch die Mitglieder des paritätischen Organs, welche als Organe der Stiftung fungieren (Geckeler Hunziker,
Arbeitnehmermitbestimmung unter besonderer Berücksichtigung der paritätischen Verwaltung nach Art. 51 BVG, Diss. Zürich/Basel/Genf 2010, S. 174f.; Pärli, Handkommentar zum BVG, Art. 86 Rz. 12; Riemer/Riemer-Kafka, a.a.O., § 2 Rz. 76). Obwohl den Mitgliedern der Kommission zwecks Erfüllung ihrer Aufgaben ein umfassendes Einsichtsrecht zukommen muss, lässt sich aus den diesem Organ zustehenden Kompetenzen folgern, dass individualisierte, vor allem gesundheitsbezogene Daten über versicherte Arbeitnehmende keine Relevanz für das dem paritätischen Gremium zukommende Handeln haben. Art. 51 BVG steht somit einer Einschränkung des Einsichtsrechts in Personaldossiers der Versicherung durch die Arbeitgeberseite nicht im Weg. Darüber hinaus scheint fraglich, ob ein Stiftungsratsmitglied - vorbehältlich der Pensionskassenverwaltung - überhaupt ein rechtliches Interesse an schützenswerten Daten von Arbeitnehmenden haben kann (Geckeler Hunziker, a.a.O., S. 174; Riemer-Kafka, a.a.O., S. 288 mit Hinweisen; vgl. zudem E. 6.3.2.1 zum Zweck von Art. 51 als Minimalvorschrift zugunsten der Arbeitnehmenden).

6.3.3.2 Die Personalvorsorge-Kommission der Beschwerdegegnerin nimmt strategische Aufgaben wie namentlich die Wahl des Stiftungsrats, den Erlass des Vorsorgeplans, Entscheide über die Finanzierung des Vorsorgewerks und über die Verwendung des freien Vermögens wahr und überprüft die Jahresrechnung (vgl. Art. 6 des Organisationsreglements). Dafür benötigten ihre Mitglieder keine Einsicht in die individuellen Daten der einzelnen Versicherten. Es ist für die Erfüllung ihrer Aufgabe irrelevant, wer welche Einkäufe oder Vorbezüge getätigt hat; vielmehr reicht es, wenn sie um die Höhe des insgesamt vorhandenen Kapitals der Stiftung wissen. Die Organstellung der Arbeitgebervertretung hat demgemäss entgegen der Ansicht der Beschwerdegegnerin und der Vorinstanz nicht zur Folge, dass die Arbeitgebenden Kenntnis aller persönlichen Daten ihrer Arbeitnehmenden haben (müssen). Die diesbezüglichen vorinstanzlichen Ausführungen, wonach der Arbeitgebende « naturgemäss » Angestellte in die Personalvorsorge-Kommission entsende und es demnach klar sei, dass er als Teil des obersten Organs der Stiftung Einblick in diese Akten habe, solange nicht besonders schützenswerte Daten davon betroffen seien, vermag in doppelter Hinsicht nicht zu
überzeugen. Einerseits ist seitens des Arbeitgebenden wie erwähnt die Vertretung im paritätischen Organ nicht zwingend und an Dritte delegierbar, andererseits ist nicht auszuschliessen, dass - sofern die Vertretung des Arbeitgebenden infolge organisatorischer Mängel Einsicht in individuelle Versichertendossiers erhält - besonders sensible Gesundheitsdaten nicht betroffen sind. Umso mehr ist die Einsicht auf die zur Wahrnehmung der obgenannten strategischen Aufgaben erforderlichen Informationen zu beschränken (vgl. dazu auch E. 6.3.2).

6.3.4

6.3.4.1 Die Beitragspflicht der Arbeitgebenden stellt den wichtigsten Teil des Inhalts der Rechtsbeziehung zwischen ihnen und der Vorsorgestiftung dar (vgl. Art. 66 BVG; Riemer/Riemer-Kafka, a.a.O., § 4 Rz. 6). Der Arbeitgebende, der obligatorisch zu versichernde Arbeitnehmende beschäftigt, muss eine in das Register für die berufliche Vorsorge eingetragene Vorsorgeeinrichtung errichten oder sich einer solchen anschliessen (Art. 11 Abs. 1 BVG). Gemäss Art. 10 der Verordnung vom 18. April 1984 über die berufliche Alters-, Hinterlassenen- und Invalidenvorsorge (SR 831.441.1) muss der Arbeitgebende der Vorsorgeeinrichtung alle versicherungspflichtigen Arbeitnehmenden melden und alle Angaben machen, die zur Führung der Alterskonten und zur Berechnung der Beiträge nötig sind.

6.3.4.2 Für die Durchführung der beruflichen Vorsorge beziehungsweise zur Erfüllung ihrer damit verbundenen Aufgaben benötigen die Arbeitgebenden Angaben im Zusammenhang mit der in Art. 66 BVG geregelten Beitragspflicht, das heisst Daten zwecks Anmeldung eines Arbeitnehmenden in die Vorsorgeeinrichtung oder Angaben bei dessen Austritt. Es werden jedoch keine Angaben über die Höhe von Freizügigkeitsleistungen, über Bezüge für Wohneigentum oder über Einkäufe in die berufliche Vorsorge benötigt. Die in Erwägung 6.3.2.3 zitierte Mitteilung des BSV vom 12. August 1991 zeigt auf, dass den Arbeitgebenden die Höhe der Freizügigkeitsleistungen, die ihren einzelnen Arbeitnehmenden zustehen, grundsätzlich nicht bekannt ist und die Vertreter der Arbeitgebenden in der paritätischen Kommission keine Einsicht in Daten haben sollten, die sie nicht im Rahmen ihrer Beitragspflicht oder zur strategischen Führung der Stiftung benötigen. Idealerweise hat sich eine Vorsorgeeinrichtung demgemäss so zu organisieren, dass die Arbeitgebenden beziehungsweise deren Vertretung keinen Einblick in die im Pensionskassenausweis enthaltenen, ihnen grösstenteils unbekannten und aufgrund der Beitragspflicht nicht errechenbaren Daten erhalten.

6.3.5

6.3.5.1 Nach Art. 331 Abs. 4 OR hat der Arbeitgebende dem Arbeitnehmenden über die ihm gegen eine Vorsorgeeinrichtung zustehenden Forderungsrechte den erforderlichen Aufschluss zu erteilen. Der Arbeitgebende ist indes nur auskunftspflichtig über die « Forderungsrechte », das heisst über den Arbeitnehmenden zustehende Rechte und Anwartschaften. Indem der Arbeitgebende dem Arbeitnehmenden bei dessen Eintritt das Personalvorsorgereglement abgibt und ihm auch später regelmässig einmal jährlich, mindestens jedoch alle drei Jahre (Art. 24 Abs. 1 FZG analog), den Stand seiner Ansprüche bekanntgibt sowie allfällige Fragen beantwortet, wird er seinen Pflichten genügen. Die arbeitsrechtliche Informationspflicht tritt hinter der vorsorgerechtlichen zurück und wird vor allem im Rahmen der arbeitsrechtlichen Vertragsverhandlungen, wenn letztere Pflicht noch nicht aktuell ist, Bedeutung haben (Ullin Streiff/Adrian von Kaenel, Praxiskommentar zum Arbeitsvertrag, 6. Aufl., Zürich/Basel/Genf 2006, Art. 331 Rz. 10 mit Hinweisen; Riemer, a.a.O., S. 120). In diese Richtung zielen auch die Weisungen des Bundesrates über die Pflicht der registrierten Vorsorgeeinrichtungen zur Auskunftserteilung an ihre Versicherten, gemäss welchen die
Einrichtungen zu veranlassen haben, dass die bei ihnen angeschlossenen Arbeitgebenden ihre Arbeitnehmenden über die ihnen zustehenden Auskunftsrechte informieren (Mitteilung des BSV über die berufliche Vorsorge Nr. 10 vom 15. August 1988, Nr. 54, < http://www. bsv.admin.ch > Vollzug Sozialversicherungen > BV (2. Säule) > Mitteilungen, besucht am 2. März 2012). Art. 55 Abs. 6 des Reglements 2005 der Stiftung Auffangeinrichtung BVG, wonach Vorsorgeausweise, Reglemente, Merkblätter und Formulare den angeschlossenen Betrieben zuzustellen und diese dafür verantwortlich sind, dass die versicherte Person in den Besitz der für sie bestimmten Unterlagen gelangt (Stiftung Auffangeinrichtung BVG, Reglement 2005 zur Vorsorge BVG, 2. Teil Allgemeine Bestimmungen, genehmigt vom Bundesrat am 27. Oktober 2004, < http://www.chaeis.net > BVGE Berufliche Vorsorge > Arbeitgeber > Anmeldung > Allgemeine Bestimmungen, besucht am 2. März 2012), legitimiert die Arbeitgebenden entgegen der Ansicht der Vorinstanz nicht, die im Vorsorgeausweis enthaltenen Daten zur Kenntnis zu nehmen. Der Hinweis auf die in welcher Form auch immer zu erfolgende Zustellung und Weiterleitung impliziert noch keine Kenntnis der Daten.

6.3.5.2 Die Arbeitgebenden müssen somit über die individuelle Vorsorgesituation ihrer Arbeitnehmenden nicht informiert sein, um Letztere pflichtgemäss über ihre Forderungsrechte zu unterrichten. Damit die Arbeitnehmenden umfassend informiert sind und ihre Forderungen gegenüber der Vorsorgeeinrichtung geltend machen können, reichen allgemeine Hinweise theoretischer Natur; eine einzelfallspezifische Beratung ist hierfür nicht erforderlich, kann aber mit Einwilligung des betroffenen Arbeitnehmenden erfolgen. Entgegen der Auffassung der Vorinstanz lässt sich aus Art. 331 Abs. 4 OR demnach nicht herleiten, dass die Beschwerdegegnerin den Arbeitgebenden die im Vorsorgeausweis enthaltenen Daten weiterleiten darf.

6.3.6 Ebenso wenig lässt sich in der Fürsorgepflicht des Arbeitgebenden nach Art. 328 OR eine gesetzliche Grundlage für die Weitergabe der strittigen Daten erblicken. Im Gegenteil: Gemäss Art. 328 Abs. 1 OR hat der Arbeitgebende im Arbeitsverhältnis unter anderem die Persönlichkeit des Arbeitnehmenden zu achten und zu schützen, wozu auch dessen private Geheimsphäre zählt; die Missachtung des Datenschutzes führt zu einer Verletzung der Persönlichkeit des betroffenen Arbeitnehmenden (Streiff/von Kaenel, a.a.O., Art. 328 Rz. 7).

Hinzu kommt, dass der Arbeitgebende Daten über den Arbeitnehmenden nur bearbeiten darf, soweit sie dessen Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrags erforderlich sind (Art. 328b OR). Die vorgenannte Bestimmung beschränkt die zulässige Datenbearbeitung im Arbeitsverhältnis auf Fälle mit Arbeitsplatzbezug (Streiff/von Kaenel, a.a.O., Art. 328b Rz. 3; vgl. auch E. 4.1 zur Anwendbarkeit des DSG). Unter den zur Durchführung des Arbeitsvertrags erforderlichen Datenbearbeitungen werden gemeinhin administrative Belange verstanden, so etwa zur Erfüllung der gesetzlichen Verpflichtungen gegenüber den Sozialversicherungen (Streiff/von Kaenel, a.a.O., Art. 328b Rz. 6). Damit wird jedoch der umgekehrte Fall der Datenbekanntgabe von den Arbeitgebenden an die Beschwerdegegnerin in Zusammenhang mit deren Beitragspflicht gemäss Art. 66 BVG angesprochen, wovon nur diejenigen Daten aus dem Vorsorgeausweis betroffen sind, welche den Arbeitgebenden aufgrund ihrer Beitragspflicht ohnehin schon bekannt sind, das heisst in Bezug auf welche hier unbestrittenermassen keine Datenbekanntgabe vorliegt.

6.4 Zusammenfassend ist Folgendes festzuhalten: Da aus den Pensionskassenausweisen Daten zur persönlichen Vorsorgesituation der versicherten Arbeitnehmenden ersichtlich sind, welche die angeschlossenen Arbeitgebenden der Vorsorgeeinrichtung nicht bereits in Erfüllung ihrer Beitragspflicht nach Art. 66 BVG via Anmeldeformular mitteilen und daher weder bereits kennen noch berechnen können, liegt in Bezug auf diese Daten nach allen in E. 6.3.1 erwähnten Definitionen eine Bekanntgabe beziehungsweise Weitergabe der entsprechenden Personendaten an einen Dritten im Sinne des Datenschutzgesetzes vor. Denn auch wenn die Arbeitgebenden beziehungsweise die sie vertretenden Personen gleichzeitig eine Organfunktion innerhalb der Vorsorgeeinrichtung einnehmen, was vor allem in Bezug auf den vorliegend nicht zu thematisierenden Bereich der Verantwortlichkeit relevant ist, benötigen sie die strittigen Angaben nicht zur Wahrnehmung der damit verbundenen strategischen Aufgaben und sollten aufgrund entsprechender, zu erwartender und wünschenswerter organisatorischer Vorkehrungen der Vorsorgeeinrichtung gemäss vorstehenden Erwägungen (vgl. insbes. E. 6.3.2) auch keine Kenntnis davon erhalten. Entgegen
der Meinung der Vorinstanz und der Beschwerdegegnerin sind die Arbeitgebenden beziehungsweise ihre Vertreter in der paritätischen Kommission daher in Bezug auf Daten, die ihnen nicht bekannt sind beziehungsweise sein sollten, als Dritte zu qualifizieren. Zudem kann bei der praktizierten Zustellung der Pensionskassenausweise in offenen Couverts - auch wenn sie an eine von den Arbeitgebenden mit der Durchführung der beruflichen Vorsorge beauftragte Stelle, der die Daten allenfalls wegen organisatorischer Mängel oder Personalunion schon bekannt wären, erfolgen würde - nicht ausgeschlossen werden, dass zusätzliche unbeteiligte Dritte in darin enthaltene Daten, die ihnen bis anhin unbekannt waren, Einblick erhalten.

Die Voraussetzung des Bearbeitens gemäss Art. 2 Abs. 1 in Verbindung mit Art. 3 Bst. e und f DSG ist somit in Bezug auf die Beschwerdegegnerin erfüllt. Ob die entsprechenden Daten interessant für die Arbeitgebenden sind oder nicht, wie die Vorinstanz behauptet, ist irrelevant und verkennt den Zweck des Datenschutzgesetzes, welcher vorliegend im Schutz der Persönlichkeit der betroffenen versicherten Arbeitnehmenden beziehungsweise im Verhindern unrechtmässigen Datenflusses zu erblicken ist (vgl. auch E. 4.1). Zudem kann nicht ausgeschlossen werden, dass die bekannt gegebenen Daten von den Arbeitgebenden zum Nachteil der Arbeitnehmenden verwendet werden könnten (vgl. dazu E. 9.3).

7. Art. 4 DSG, welcher gleichermassen für die Datenbearbeitung durch Private und Bundesorgane gilt, verlangt, dass Personendaten nur rechtmässig bearbeitet werden dürfen (Abs. 1), dass ihre Bearbeitung nach Treu und Glauben zu erfolgen hat und verhältnismässig sein muss (Abs. 2), dass Daten nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist (Abs. 3) und dass die Beschaffung der Daten und insbesondere der Zweck ihrer Bearbeitung für die betroffene Person erkennbar sein muss (Abs. 4). Die Grundsätze in Art. 4 Abs. 1 bis 4 DSG definieren positiv ausgedrückt, welche Verhaltensweisen im Rahmen einer Datenbearbeitung per se eine Verletzung der Persönlichkeit der Betroffenen darstellen (Rosenthal, a.a.O., Art. 4 Rz. 2). Art. 4 Abs. 1 DSG enthält die an und für sich selbstverständliche Aussage, dass Personendaten nur rechtmässig bearbeitet werden dürfen. Eine Datenerhebung ist immer dann rechtswidrig, wenn ein Verstoss gegen eine Rechtsnorm vorliegt (Maurer-Lambrou/Steiner, a.a.O., Art. 4 Rz. 5f.). Die Personendaten müssen zudem vor unbefugtem Zugriff gesichert sein (Art. 7 Abs. 1
DSG).

Nachfolgend ist somit zunächst die Rechtmässigkeit der Bearbeitung der Personendaten beziehungsweise der mit der Zustellpraxis der Beschwerdegegnerin verbundenen Bekanntgabe von Angaben über die berufliche Vorsorgesituation der versicherten Personen an deren Arbeitgebende zu prüfen (E. 8). Danach wird auf den in vorliegendem Zusammenhang relevanten Grundsatz der Datensicherheit eingegangen (E. 9).

8.

8.1.1 Bundesorgane müssen eine gesetzliche Grundlage für die Datenbearbeitung haben (Art. 17 Abs. 1 DSG). Aus dieser Grundlage ergibt sich auch, ob und inwieweit sie im Rahmen einer bestimmten Datenbearbeitung von der Einhaltung der Bearbeitungsgrundsätze ausnahmsweise befreit sind, das heisst die ihnen übertragene Aufgabe erfüllen dürfen, auch wenn dies zu einer Verletzung der Persönlichkeit des Einzelnen führt (Rosenthal, a.a.O., Art. 4 Rz. 4). Ob die Datenbearbeitung auf Gesetzes- oder auf Verordnungsebene geregelt werden muss, ist nach allgemeinen gesetzestechnischen Grundsätzen zu beurteilen. Massgeblich ist, wieweit eine Datenbearbeitung in die Persönlichkeit der Bürger eingreift. Aus diesen Gründen ist für die Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen grundsätzlich eine formelle gesetzliche Grundlage notwendig (vgl. Art. 17 Abs. 2 DSG und allgemein zum Legalitätsprinzip: Ulrich Häfelin/Georg Müller/Felix Uhlmann, Allgemeines Verwaltungsrecht, 6. Aufl., Zürich/St. Gallen 2010, Rz. 377 ff.; EDÖB, Leitfaden für die Bearbeitung von Personendaten in der Bundesverwaltung, August 2009, Ziff. 2.1.1 S. 5, < http://www.edoeb.admin.ch > Dokumentation >
Datenschutz > Leitfäden, besucht am 2. März 2012).

8.1.2 Nur in den Fällen von Art. 17 Abs. 2 Bst. a c DSG können besonders schützenswerte Personendaten oder Personenprofile ausnahmsweise ohne formelle gesetzliche Grundlage bearbeitet werden. Bei besonders schützenswerten Personendaten handelt es sich gemäss Legaldefinition von Art. 3 Bst. c DSG um Daten über die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten, die Gesundheit, die Intimsphäre oder die Rassenzugehörigkeit, Massnahmen der sozialen Hilfe sowie über administrative oder strafrechtliche Verfolgungen und Sanktionen. Im Pensionskassenausweis aufgeführt sein könnten allenfalls Daten über die Gesundheit der versicherten Personen. Wo dies der Fall ist, stellt die Beschwerdegegnerin jene Ausweise jedoch künftig unbestrittenermassen direkt den betroffenen Personen zu, sodass es sich bei den Gegenstand dieses Verfahrens bildenden Personendaten nicht um besonders schützenswerte im Sinne von Art. 3 Bst. c DSG handelt und die obgenannte Ausnahmebestimmung deshalb nicht zur Anwendung gelangt. Es bleibt ohnehin anzumerken, dass für die Bekanntgabe von Personendaten durch Bundesorgane als Unterfall der Datenbearbeitung die in nachfolgender Erwägung
erwähnte Spezialregelung von Art. 19 DSG zu beachten ist.

8.2

8.2.1 Die Bekanntgabe von Personendaten muss grundsätzlich wie jede Art der Datenbearbeitung in einer Rechtsgrundlage im Sinne von Art. 17 DSG vorgesehen sein (Art. 19 Abs. 1 DSG). Die gesetzliche Grundlage muss sich ausdrücklich auf den Transfer von Daten als solchen beziehen, das heisst, die Rechtsgrundlage muss eine Ermächtigung beziehungsweise Verpflichtung zur Bekanntgabe von Personendaten enthalten. Eine allgemeine Kompetenz zur Datenbearbeitung im Sinne von Art. 17 DSG genügt für die Datenbekanntgabe nicht (Jöhri/ Studer, BSK-DSG, Art. 19 Rz. 25).

8.2.2 Art. 19 DSG sieht einige Ausnahmen vor, in denen eine Datenbekanntgabe trotz fehlender gesetzlicher Grundlage zulässig ist, um eine rationelle Verwaltungstätigkeit und die Erfüllung gesetzlicher Aufgaben zu sichern. Diese Ausnahmen gelten jedoch nur in den Einzelfällen, die abschliessend aufgezählt und eng auszulegen sind. Die Ausnahmen betreffen einzig die Weitergabe von Personendaten, nicht die Datenbearbeitung im Allgemeinen, das heisst, die Bestimmungen in Art. 19 DSG entbinden nicht von der Schaffung der erforderlichen Rechtsgrundlagen für die Datenbearbeitung. Für die Bekanntgabe von Personendaten durch ein automatisiertes Abrufverfahren (z.B. Online-Zugriffe, Selfservice-Prinzip) gelten diese Ausnahmen nicht (vgl. EDÖB, Leitfaden für die Bearbeitung von Personendaten in der Bundesverwaltung, a.a.O., Ziff. 2.3 S. 6; Jöhri, a.a.O., Art. 19 Rz. 7 und 20).

8.2.2.1 Vorliegend geht es nicht darum, Personendaten in einem Abrufverfahren zugänglich zu machen. Die Frage, inwiefern Arbeitgebende angesichts des Anspruchs auf paritätische Verwaltung nach Art. 51 Abs. 1 BVG, aufgrund der Erfüllung ihrer Beitragspflicht nach Art. 66 BVG oder wegen arbeitsvertraglicher Pflichten Anspruch auf Kenntnis von Versichertendaten geltend machen können, wurde vorne in E. 6.3 geklärt. Danach besteht keine rechtliche Verpflichtung beziehungsweise Notwendigkeit zur Bekanntgabe der vorliegend strittigen Daten. Zu prüfen bleibt daher, ob ein spezieller Grund gemäss Art. 19 DSG vorliegt, der im Einzelfall eine Datenbekanntgabe trotz Fehlens einer (genügenden) gesetzlichen Grundlage rechtfertigen würde. Vorliegend kommt dafür mangels Einwilligung und allgemeinen Zugänglichmachens der Daten durch die betroffenen Personen nur Art. 19 Abs. 1 Bst. a in Betracht, wonach Bundesorgane Personendaten trotz fehlender rechtlicher Grundlage bekannt geben dürfen, wenn die Daten für den Empfänger im Einzelfall zur Erfüllung seiner gesetzlichen Aufgabe unentbehrlich sind, das heisst dieser ansonsten seine gesetzliche Aufgabe im konkreten Fall nicht erfüllen könnte. Empfänger können neben anderen Bundesorganen
und kantonalen, kommunalen oder ausländischen Behörden auch natürliche oder juristische Privatpersonen im In- und Ausland sein. Eine Datenbekanntgabe im Sinne von Art. 19 Abs. 1 Bst. a DSG kann nur in einem bestimmten Fall für einen einmaligen Zweck sowie nur auf Anfrage erfolgen. Vorgenannte Bestimmung bietet somit keine Rechtsgrundlage für eine aktive Information durch eine Verwaltungsstelle (BBl 1988 II 469; Jöhri, a.a.O., Art. 19 Abs. 1 Rz. 21 und 24 f.; Jöhri/ Studer, BSK-DSG, Art. 19 Rz. 42f. und 45 mit Hinweisen).

8.2.2.2 Die durch Zustellung der Vorsorgeausweise erfolgte Datenbekanntgabe ist nicht auf Anfrage hin erfolgt; vielmehr versendet die Beschwerdegegnerin die Ausweise in eigenem Interesse an die Arbeitgebenden, um Kosten einzusparen. Die Anwendbarkeit der Ausnahmebestimmung nach Art. 19 Abs. 1 Bst. a DSG ist daher bereits aufgrund dieser Tatsache zu verneinen.

8.3 Im Sozialversicherungsrecht gelten spezielle Geheimhaltungspflichten, die eine Bekanntgabe von Personendaten nur ausnahmsweise zulassen. Ebenso gibt es eine Anzahl bereichsspezifischer Datenschutzbestimmungen, die den zulässigen Empfängerkreis und zum Teil auch die Art der Daten, die übermittelt werden, festlegen. Solche Bestimmungen gehen als Spezialnormen Art. 19 DSG vor (BBl 1988 II 471). Es bleibt daher zu prüfen, ob eine spezialgesetzliche Ausnahme vorliegt, welche weiter geht als Art. 19 DSG und daher eine Datenbekanntgabe ausnahmsweise rechtfertigen würde.

8.3.1 Gemäss Art. 86 BVG haben Personen, die an der Durchführung sowie der Kontrolle oder der Beaufsichtigung der Durchführung des Bundesgesetzes zur beruflichen Vorsorge beteiligt sind, gegenüber Dritten Verschwiegenheit zu bewahren. Die Schweigepflicht bezieht sich auf alle Kenntnisse, die zum Stillschweigen verpflichtete Personen im Rahmen ihrer vorgenannten Tätigkeit erlangen. Bundesorgane beziehungsweise allgemein Personen, die am Vollzug der Sozialversicherungsgesetze beteiligt sind, dürfen Personendaten aus diesen Bereichen nur dann an Dritte bekanntgeben, wenn das betreffende Gesetz eine Ausnahme von der grundsätzlichen Schweigepflicht vorsieht (vgl. Botschaft vom 24. November 1999 über die Anpassung und Harmonisierung der gesetzlichen Grundlagen für die Bearbeitung von Personendaten in den Sozialversicherungen, in: BBl 2000 261). Ausnahmen von der Schweigepflicht bedürfen folglich einer gesetzlichen Grundlage. Der Schweigepflicht unterstehen unter anderen die Mitarbeitenden der Vorsorgeeinrichtungen, die in die Durchführung des Bundesgesetzes über die berufliche Vorsorge involvierten Personen der Arbeitgebenden sowie die Vertretung in der paritätischen Verwaltung der Vorsorgeeinrichtung
(Pärli, Handkommentar zum BVG, Art. 86 Rz. 10 und 12 mit Hinweis).

8.3.2

8.3.2.1 Zufolge Art. 85a BVG sind die mit der Durchführung, der Kontrolle oder der Beaufsichtigung der Durchführung dieses Gesetzes betrauten Organe befugt, die Personendaten, einschliesslich besonders schützenswerter Daten und Persönlichkeitsprofile, zu bearbeiten oder bearbeiten zu lassen, die sie benötigen, um die ihnen nach diesem Gesetz übertragenen Aufgaben zu erfüllen, namentlich um (Bst. a bis f):

die Versicherungsbeiträge zu berechnen und zu erheben;

Leistungsansprüche zu beurteilen sowie Leistungen zu berechnen, zu gewähren und diese mit Leistungen anderer Sozialversicherungen zu koordinieren;

ein Rückgriffsrecht gegenüber einem haftpflichtigen Dritten geltend zu machen;

die Aufsicht über die Durchführung dieses Gesetzes auszuüben;

Statistiken zu führen;

die Versichertennummer der AHV zuzuweisen oder zu verifizieren.

Die Liste der für zulässig erklärten Datenbearbeitungen ist nicht abschliessend (vgl. Gesetzestext « namentlich »). Zulässig ist jede Bearbeitung von Personendaten, die vom zuständigen Organ in Erfüllung der im BVG vorgesehenen Aufgabe notwendig ist. Zu ergänzen ist, dass für die Bekanntgabe von Personendaten Art. 86a BVG massgebend ist. Dieser Artikel erweitert und konkretisiert die Schweigepflicht und geht der allgemeinen Datenbearbeitungsbestimmung in Art. 85a BVG vor. Gleiches gilt für die in Art. 85b BVG verankerte Akteneinsicht. Die Liste der Fälle zulässiger Datenbekanntgaben in Art. 86a BVG ist abschliessend; weitergehende Ausnahmen von der gesetzlichen Schweigepflicht sind nicht vorgesehen (Pärli, Handkommentar zum BVG, Art. 85a Rz. 10 und 12, Art. 86a Rz. 3 f.). Es dürfen zudem nur die Daten bekannt gegeben werden, welche für den in Frage stehenden Zweck erforderlich sind (Art. 86a Abs. 6 BVG).

8.3.2.2 Eine mögliche gesetzliche Grundlage für eine Ausnahme von der Schweigepflicht stellt das in Art. 85b BVG erwähnte Akteneinsichtsrecht dar: Sofern überwiegende Privatinteressen gewahrt bleiben, steht die Akteneinsicht Personen zu, die eine Verpflichtung nach diesem Gesetz haben, für diejenigen Daten, die für die Wahrung des Anspruchs oder die Erfüllung der Verpflichtung erforderlich sind (Art. 85b Abs. 1 Bst. b BVG). Diese Regelung bezweckt klarzustellen, in welchen Fällen die Vorsorgeeinrichtung zur Gewährung der Akteneinsicht befugt ist, ohne damit die Schweigepflicht nach Art. 86 BVG zu verletzen (Pärli, Handkommentar zum BVG, Art. 85b Rz. 3 mit Hinweis). Daten dürfen überdies im Sinne einer Ausnahme zur Schweigepflicht bekannt gegeben werden an andere mit der Durchführung sowie der Kontrolle oder der Beaufsichtigung der Durchführung dieses Gesetzes betrauten Organe, sofern kein überwiegendes Privatinteresse entgegensteht und wenn sie für die Erfüllung der ihnen nach diesem Gesetz übertragenen Aufgaben erforderlich sind (Art. 86a Abs. 2 Bst. a BVG).

Eine Interessenabwägung erübrigt sich vorliegend, da der Einsichtsanspruch im Fall beider vorgenannter gesetzlicher Bestimmungen auf Daten beschränkt ist, die für die Erfüllung einer Verpflichtung gemäss BVG notwendig sind. Die vorliegend umstrittenen Daten werden von den Arbeitgebenden weder zur Erfüllung ihrer Beitragspflicht nach Art. 66 Abs. 2 bis 4 BVG benötigt noch im Rahmen der paritätischen Verwaltung nach Art. 51 Abs. 1 BVG. Arbeitsvertragliche Pflichten, die einen Anspruch der Arbeitgebenden auf Einsicht begründen würden, sind gemäss Wortlaut von Art. 85b Abs. 1 Bst. b BVG und Art. 86a Abs. 2 Bst. a BVG unbeachtlich (« nach diesem Gesetz ») und vorliegend auch nicht ersichtlich (vgl. E. 6.3.5). Abgesehen davon dürfte auch in diesen beiden Konstellationen zumindest faktisch ein Gesuch um Akteneinsicht beziehungsweise Datenbekanntgabe vorausgesetzt werden, während hier die Beschwerdegegnerin von sich aus aktiv geworden ist.

8.3.2.3 In den übrigen Fällen dürfen Personendaten an Dritte bekannt gegeben werden, sofern die betroffene Person im Einzelfall schriftlich eingewilligt hat oder, wenn das Einholen der Einwilligung nicht möglich ist, diese nach den Umständen als im Interesse des Versicherten vorausgesetzt werden darf (Art. 86a Abs. 5 Bst. b BVG). Diese Regelung lehnt sich an Art. 19 Abs. 1 Bst. b DSG an (BBl 2000 266).

Im vorliegenden Fall haben die betroffenen Personen weder in die Datenbekanntgabe eingewilligt noch sind Gründe ersichtlich, welche das Einholen der Einwilligung als unmöglich und die Bekanntgabe nach den Umständen als im Interesse der versicherten Personen erscheinen lassen würden. Im Gegenteil ist nicht auszuschliessen, dass die Arbeitnehmenden durch die Bekanntgabe ihrer Daten an die Arbeitgebenden Nachteile zu erleiden haben (vgl. dazu E. 9.3).

8.4 Weder auf Gesetzes- noch auf Verordnungsstufe findet sich eine gesetzliche Grundlage für eine Ausnahme von der Schweigepflicht, welche die Bekanntgabe der Daten von der Beschwerdegegnerin an die Arbeitgebenden der bei ihr versicherten Personen rechtfertigen würde. Es ist insbesondere kein Grund ersichtlich, weshalb die Arbeitgebenden die strittigen Versicherungsdaten der Arbeitnehmenden für die Erfüllung ihrer Pflichten im Zusammenhang mit der Durchführung der beruflichen Vorsorge und im Übrigen auch bezüglich jener aus dem Arbeitsverhältnis benötigen würden (vgl. E. 6.3.4 ff.). Vielmehr gilt die Schweigepflicht gemäss Art. 86 BVG auch für die Arbeitgebervertretung, die an der Durchführung der beruflichen Vorsorge beteiligt ist (Pärli, Handkommentar zum BVG, Art. 86 Rz. 12).

Die Daten hätten folglich nicht weitergeleitet werden dürfen, das heisst, die von der Beschwerdegegnerin praktizierte Datenbekanntgabe ist rechtswidrig und verletzt somit die Persönlichkeit der versicherten Personen. Überdies ist in nachfolgender Erwägung kurz auf einen in vorliegendem Zusammenhang ebenfalls bedeutsamen Grundsatz des Datenschutzrechts, nämlich denjenigen der Datensicherheit, einzugehen.

9.

9.1 Aus Art. 8 EMRK erwächst dem Staat nicht nur die negative Verpflichtung auf Unterlassen jeder unrechtmässigen Beeinträchtigung der Privatsphäre des Einzelnen, sondern ebenso die positive Pflicht, Personendaten effektiv und praktisch vor der Möglichkeit eines unautorisierten Zugriffs zu schützen; es reicht nicht aus, wenn den Betroffenen eine Klagemöglichkeit gewährt wird (Kurt Pärli, EMRK und Datenschutz am Arbeitsplatz, in: digma - Zeitschrift für Datenrecht und Informationssicherheit 2009, Heft 1, S. 30 ff. mit Hinweisen insbes. zur Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte). Gemäss Art. 7 Abs. 1 DSG müssen Personendaten durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden. Es handelt sich dabei um eine Dauerpflicht jedes Datenbearbeitenden; aufgrund veränderter Umstände nicht mehr genügende Schutzmassnahmen sind anzupassen. Ziel der Datensicherheit ist nicht nur die Gewährleistung der Vertraulichkeit, der Verfügbarkeit und der Richtigkeit der Personendaten (vgl. diesbezüglich Art. 8 Abs. 1 VDSG, welcher auch für Bundesorgane gilt), vielmehr geht es ganz allgemein um die Verhinderung einer unbefugten
Bearbeitung von Personendaten. Dabei steht insbesondere der Schutz gegen Risiken der unbefugten oder zufälligen Vernichtung, des zufälligen Verlusts, technischer Fehler, der Fälschung, des Diebstahls oder der widerrechtlichen Verwendung sowie des unbefugten Änderns, Kopierens, Zugreifens oder anderer unbefugter Bearbeitungen im Vordergrund.

Gegenstand der Massnahmen ist nicht nur die EDV-gestützte, automatisierte, sondern auch jegliche Form der manuellen Datenbearbeitung. Bezüglich Art und Umfang der zu treffenden Massnahmen gilt das Verhältnismässigkeitsprinzip: Zufolge Art. 8 Abs. 2 VDSG sind insbesondere Zweck, Art und Umfang der Datenbearbeitung sowie der gegenwärtige Stand der Technik zu berücksichtigen und eine Einschätzung der möglichen Risiken für die betroffenen Personen vorzunehmen. Aufgrund der nicht abschliessenden Aufzählung in vorgenannter Bestimmung können und dürfen aber auch die Kosten der Massnahmen im Hinblick auf den angestrebten Schutzzweck berücksichtigt werden. Die allgemeinen finanziellen Möglichkeiten des Datenbearbeitenden sind jedoch zweitrangig (Riesselmann-Saxer, a.a.O., S. 33f. mit Hinweisen; Rosenthal, a.a.O., Art. 7 Rz. 3 und 5 ff.; Kurt Pauli, BSK-DSG, Art. 7 Rz. 2, 4ff. und 17; EDÖB, Leitfaden für die Bearbeitung von Personendaten in der Bundesverwaltung, a.a.O., Ziff. 2.7 S. 9).

9.2 Die Pensionskassenausweise der versicherten Personen sind trotz des Vermerks « Vertraulich » bei Zustellung an die Arbeitgebenden in keiner Weise gegen Einsichtnahme oder Kopieren geschützt (vgl. Art.8 Abs. 1 Bst. e VDSG), insbesondere sind sie nicht einzeln in Couverts verpackt, mit einem (Klebe-)Siegel versehen oder nur nach Aufreissen einer perforierten Sollbruchlinie einsehbar. Solche Massnahmen wären einfach zu treffen und nicht allzu kostenintensiv. Die Beschwerdegegnerin hat in der Vergangenheit keine entsprechenden Massnahmen getroffen, sondern im Gegenteil bis anhin nicht einmal überprüft, ob besonders schützenswerte Daten Inhalt der einzelnen weitergeleiteten Vorsorgeausweise bilden. Damit verletzt sie zusätzlich den Grundsatz der Datensicherheit gemäss Art. 8 EMRK und Art. 7 DSG.

9.3 Weiter ist zu berücksichtigen, dass dem Datenschutz im Arbeitsverhältnis auch eine antidiskriminierende Funktion zukommt (Pärli, a.a.O., S. 20 mit Hinweisen). Die Daten der betroffenen Personen könnten zu Zwecken verwendet werden, die mit der Durchführung der beruflichen Vorsorge nichts zu tun haben und ebenso wenig im Interesse der Betroffenen liegen beziehungsweise sie allfälligen Benachteiligungen im Arbeitsverhältnis aussetzen. Es kann nicht mit Sicherheit ausgeschlossen werden, dass die Daten beispielsweise im Zusammenhang mit Lohnverhandlungen von den Arbeitgebenden zulasten der Arbeitnehmenden verwendet werden könnten (vgl. dazu auch die Mitteilung des BSV vom 12. August 1991 in E. 6.3.2.3). Wer beispielsweise einen Vorbezug für Wohneigentum getätigt hat, ist ortsgebundener und daher vermehrt auf seine Stelle angewiesen, was ihn abhängiger von seinem Arbeitgebenden macht. Für diesen wiederum spielen die Lohnkosten als variabler und beeinflussbarer Budgetposten eine zentrale Rolle und bergen aus seiner Sicht im Vergleich zu den festen Kostenfaktoren am ehesten ein Sparpotential in sich (Riemer-Kafka, a.a.O., S. 285). Die diesbezüglichen Bedenken des Beschwerdeführers sind
demnach gerechtfertigt.

10.1 Die Beschwerdegegnerin macht als Grund für ihre Zustellpraxis wirtschaftliche Interessen geltend; konkret führt sie an, eine separate Zustellung der Pensionskassenausweise in verschlossenen Couverts an die Arbeitnehmenden stelle einen finanziellen Mehraufwand dar. Zudem weist sie auf Bestrebungen im Bereich der beruflichen Vorsorge hin, Kosten einzusparen, und erklärt, ihre langjährige Zustellpraxis sei branchenüblich. Dass die von der Beschwerdegegnerin praktizierte Zustellung der Vorsorgeausweise von bei ihr versicherten Personen in unverschlossenen Couverts an die Arbeitgebenden zwecks Weiterleitung sich auf keine gesetzliche Grundlage stützen kann und zudem dem Grundsatz der Datensicherheit widerspricht, wurde bereits dargelegt (vgl. E.8 f.). Es stellt sich im Folgenden daher nur noch die Frage, in welcher Form die Zustellung der Pensionskassenausweise zu erfolgen hat beziehungsweise welche Art der Zustellung geeignet ist, den Grundsätzen des Datenschutzes, insbesondere demjenigen der Datensicherheit, Genüge zu tun.

10.2 Vorab gilt es in diesem Zusammenhang zu beachten, dass im Rahmen des vorliegenden Verfahrens die Rechte einer Vielzahl von Personen in Frage stehen, deren Verteidigung der Beschwerdeführer mit seiner Empfehlung beziehungsweise Beschwerde bezweckt. Das Ergebnis des Verfahrens kann somit indirekt Wirkung für all jene Personen zeitigen, die nach einer ähnlichen Methode vorgehen wie die Beschwerdegegnerin, was zusätzlich Licht auf die Tragweite des vorliegenden Falls und die von der Beschwerdegegnerin zu verlangende Art der Zustellung wirft (vgl. BGE 136 II 508 E. 6.3.2 betreffend Klageverfahren nach Art. 29 Abs. 4 i.V.m. Abs. 1 Bst. a DSG [sog. « Systemfehler »] mit Hinweisen).

10.3 Im Rahmen einer Interessenabwägung sind grundsätzlich auch rein wirtschaftliche Interessen des Datenbearbeitenden, wie beispielsweise das Interesse daran, eine Datenbearbeitung möglichst effizient zu gestalten oder die eigenen Geschäftsabläufe zu optimieren, schützenswert. Ebenso kann Gewinnstreben ein schützenswertes Interesse darstellen (Rosenthal, a.a.O., Art. 13 Rz. 10; a.M. Corrado Rampini, BSK-DSG, Art. 13 Rz. 22). Vorliegend würde der Mehraufwand indes die wirtschaftliche Existenz der Beschwerdegegnerin offensichtlich nicht in Frage stellen; dies wird ihrerseits auch nicht geltend gemacht. Die Vermeidung von finanziellem Mehraufwand ist grundsätzlich als gewinnstrebiges Interesse der Beschwerdegegnerin anzuerkennen, vermag aber dasjenige der betroffenen Personen am Schutz der eigenen Persönlichkeit ebenso wenig zu überwiegen wie das politische Argument der Forderung einer Kostenreduktion im Bereich der beruflichen Vorsorge. Auch der Hinweis auf die Langjährigkeit und angebliche Branchenüblichkeit der umstrittenen Zustellpraxis ist unbehelflich, zumal beispielsweise die Pensionskasse des Bundes ebenso wie diejenige des Kantons Zürich die Pensionskassenausweise den bei ihr versicherten
Personen direkt und verschlossen zustellen.

10.4 Die Beschwerdegegnerin hat demnach alle Massnahmen zu treffen, welche erforderlich sind, um sicherzustellen, dass die Persönlichkeitsrechte der bei ihr versicherten Personen im Rahmen der Zustellung der Vorsorgeausweise nicht verletzt werden. Das heisst, sie hat die Ausweise in einer geeigneten, den Grundsätzen des Datenschutzes angemessenen Form zu versenden. Konkret bedeutet dies, die Ausweise entweder den Arbeitnehmenden einzeln direkt verschlossen per Post an ihre persönliche Adresse oder zumindest in verschlossenen und mit dem jeweiligen Namen sowie dem Vermerk « Vertraulich » versehenen Couverts den Arbeitgebenden zur Weiterleitung zuzustellen. Es geht also letztlich nicht um ein gänzliches Verbot der Zusendung von Pensionskassenausweisen an die Arbeitgebenden, sondern lediglich als minimale Alternative zur direkten Zustellung an die Arbeitnehmenden darum, die Ausweise nicht wie in rechtswidriger Weise praktiziert frei zugänglich den Arbeitgebenden zuzusenden. Aus unternehmerischer Sicht mag es gerechtfertigt erscheinen, sich auf den finanziellen Mehraufwand bei (vereinzelter) manueller Zustellung zu berufen, doch lässt sich damit wie erwähnt der Eingriff in die Persönlichkeitsrechte
der Betroffenen nicht rechtfertigen. Hinzu kommt, dass die Nichteinhaltung von Datenschutzvorschriften für eine Vorsorgeeinrichtung in der Öffentlichkeit, bei Arbeitgebenden und versicherten Personen ein Imageproblem hervorrufen kann. Deshalb stellt deren Einhaltung bei allen Arbeitsprozessen ein nicht zu unterschätzendes Qualitätsmerkmal dar und sollte von der Beschwerdegegnerin auch in eigenem Interesse beachtet werden (Pärli, Handkommentar zum BVG, Art. 85a Rz. 7).

IR 0.101 Convenzione del 4 novembre 1950 per la salvaguardia dei diritti dell'uomo e delle libertà fondamentali (CEDU) CEDU Art. 8 Diritto al rispetto della vita privata e familiare - 1. Ogni persona ha diritto al rispetto della sua vita privata e familiare, del suo domicilio e della sua corrispondenza.
¹	Ogni persona ha diritto al rispetto della sua vita privata e familiare, del suo domicilio e della sua corrispondenza.
²	Non può esservi ingerenza della pubblica autorità nell'esercizio di tale diritto se non in quanto tale ingerenza sia prevista dalla legge e in quanto costituisca una misura che, in una società democratica, è necessaria per la sicurezza nazionale, l'ordine pubblico, il benessere economico del paese, la prevenzione dei reati, la protezione della salute o della morale, o la protezione dei diritti e delle libertà altrui.

SR 101 Costituzione federale della Confederazione Svizzera del 18 aprile 1999 Cost. Art. 13 Protezione della sfera privata - 1 Ognuno ha diritto al rispetto della sua vita privata e familiare, della sua abitazione, della sua corrispondenza epistolare nonché delle sue relazioni via posta e telecomunicazioni.
¹	Ognuno ha diritto al rispetto della sua vita privata e familiare, della sua abitazione, della sua corrispondenza epistolare nonché delle sue relazioni via posta e telecomunicazioni.
²	Ognuno ha diritto d'essere protetto da un impiego abusivo dei suoi dati personali.

SR 831.40 Legge federale del 25 giugno 1982 sulla previdenza professionale per la vecchiaia, i superstiti e l'invalidità (LPP) LPP Art. 51 Amministrazione paritetica - 1 I lavoratori e i datori di lavoro hanno il diritto di designare lo stesso numero di rappresentanti nell'organo supremo dell'istituto di previdenza.176
¹	I lavoratori e i datori di lavoro hanno il diritto di designare lo stesso numero di rappresentanti nell'organo supremo dell'istituto di previdenza.176
²	L'istituto di previdenza deve garantire il buon funzionamento dell'amministrazione paritetica. Devono essere in particolare disciplinate:
^a	la designazione dei rappresentanti degli assicurati;
^b	l'adeguata rappresentanza delle diverse categorie di lavoratori;
^c	l'amministrazione paritetica del patrimonio;
^d	la procedura in caso di parità di voti.
³	Gli assicurati designano i loro rappresentanti direttamente o mediante delegati. Se la struttura dell'istituto di previdenza, in particolare in caso di fondazioni collettive, non lo consente, l'autorità di vigilanza può ammettere altre forme di rappresentanza. La presidenza dell'organo paritetico è assunta a turno da un rappresentante dei lavoratori e dei datori di lavoro. L'organo paritetico può tuttavia disciplinare diversamente l'attribuzione della presidenza.177
⁴	Se la procedura applicabile in caso di parità di voti non è ancora disciplinata, la decisione spetta a un arbitro neutrale, designato di comune intesa. Mancando l'intesa, l'arbitro è designato dall'autorità di vigilanza.
⁶	e 7 ...179

SR 831.40 Legge federale del 25 giugno 1982 sulla previdenza professionale per la vecchiaia, i superstiti e l'invalidità (LPP) LPP Art. 85^a Trattamento di dati personali - 1 Gli organi incaricati di applicare la presente legge o di controllarne o sorvegliarne l'esecuzione possono trattare o far trattare dati personali, compresi dati personali degni di particolare protezione, di cui necessitano per adempiere i compiti conferiti loro dalla presente legge, segnatamente per:348
¹	Gli organi incaricati di applicare la presente legge o di controllarne o sorvegliarne l'esecuzione possono trattare o far trattare dati personali, compresi dati personali degni di particolare protezione, di cui necessitano per adempiere i compiti conferiti loro dalla presente legge, segnatamente per:348
^a	calcolare e riscuotere i contributi assicurativi;
^b	stabilire il diritto alle prestazioni, nonché calcolarle, versarle e coordinarle con quelle di altre assicurazioni sociali;
^c	far valere una pretesa di regresso nei confronti di terzi responsabili;
^d	sorvegliare l'esecuzione della presente legge;
^e	allestire statistiche;
^f	assegnare o verificare il numero d'assicurato dell'AVS.
²	Per adempiere tali compiti possono inoltre trattare o far trattare dati personali che permettono segnatamente di valutare la salute, la gravità dell'infermità fisica o psichica, i bisogni e la situazione economica dell'assicurato.350

SR 831.40 Legge federale del 25 giugno 1982 sulla previdenza professionale per la vecchiaia, i superstiti e l'invalidità (LPP) LPP Art. 85^b Consultazione degli atti - 1 Purché rimangano tutelati interessi privati preponderanti, possono consultare gli atti:
¹	Purché rimangano tutelati interessi privati preponderanti, possono consultare gli atti:
^a	la persona assicurata, per i dati che la concernono;
^b	le persone che hanno un diritto o un obbligo conformemente alla presente legge, per i dati necessari all'esercizio di tale diritto o all'adempimento di tale obbligo;
^c	le persone e le istituzioni che possono impugnare decisioni prese in virtù della presente legge, per i dati necessari all'esercizio di tale diritto;
^d	le autorità competenti in caso di ricorso contro decisioni prese in virtù della presente legge, per i dati necessari all'adempimento di tale compito;
^e	il terzo responsabile e il suo assicuratore, per i dati necessari ad accertare una pretesa di regresso della previdenza professionale.
²	Nel caso di dati relativi alla salute, la cui comunicazione potrebbe ripercuotersi negativamente sulla salute della persona autorizzata a consultare gli atti, questa può essere tenuta a designare un medico che glieli comunichi.

SR 831.40 Legge federale del 25 giugno 1982 sulla previdenza professionale per la vecchiaia, i superstiti e l'invalidità (LPP) LPP Art. 86^a Comunicazione di dati - 1 Purché nessun interesse privato preponderante vi si opponga, in singoli casi e su richiesta scritta e motivata i dati possono essere comunicati:
¹	Purché nessun interesse privato preponderante vi si opponga, in singoli casi e su richiesta scritta e motivata i dati possono essere comunicati:
^a	alle autorità d'assistenza sociale, qualora ne necessitino per determinare o modificare prestazioni, chiederne la restituzione o prevenire pagamenti indebiti;
^abis	all'ufficio specializzato designato dal diritto cantonale (art. 40), qualora ne necessiti per riscuotere alimenti non pagati o garantire il versamento di alimenti futuri;
^b	ai tribunali civili, qualora ne necessitino per decidere di una controversia relativa al diritto di famiglia o successorio;
^c	ai tribunali penali e alle autorità istruttorie penali, qualora ne necessitino per accertare un crimine o un delitto;
^d	agli uffici d'esecuzione, conformemente agli articoli 91, 163 e 222 della legge federale dell'11 aprile 1889355 sulla esecuzione e sul fallimento;
^e	alle autorità fiscali, qualora riguardino il versamento di prestazioni della previdenza professionale e siano necessari per l'applicazione delle leggi in materia fiscale;
^f	alle autorità di protezione dei minori e degli adulti, conformemente all'articolo 448 capoverso 4 del Codice civile357;
^g	...
²	Purché nessun interesse privato preponderante vi si opponga, i dati possono essere comunicati:
^a	ad altri organi incaricati di applicare la presente legge, nonché di controllarne o sorvegliarne l'esecuzione, qualora ne necessitino per adempiere gli obblighi conferiti loro dalla presente legge;
^b	agli organi di altre assicurazioni sociali, qualora l'obbligo di comunicazione sia sancito da una legge federale;
^bbis	agli organi di un'altra assicurazione sociale per assegnare o verificare il numero d'assicurato dell'AVS;
^c	alle autorità competenti per l'imposta alla fonte, conformemente agli articoli 88 e 100 della legge federale del 14 dicembre 1990360 sull'imposta federale diretta, nonché alle rispettive disposizioni cantonali;
^d	agli organi della statistica federale, conformemente alla legge federale del 9 ottobre 1992361 sulla statistica federale;
^e	alle autorità istruttorie penali, qualora ne necessitino per denunciare o impedire un crimine;
^f	all'ufficio AI competente per il rilevamento tempestivo conformemente all'articolo 3b LAI363 o nell'ambito della collaborazione interistituzionale secondo l'articolo 68bis LAI e agli istituti d'assicurazione privati secondo l'articolo 68bis capoverso 1 lettera b LAI;
^g	al Servizio delle attività informative della Confederazione (SIC) o agli organi di sicurezza dei Cantoni a destinazione del SIC, qualora sussista una minaccia concreta per la sicurezza interna o esterna secondo l'articolo 19 capoverso 2 della legge federale del 25 settembre 2015365 sulle attività informative.
³	I dati possono altresì essere comunicati alle competenti autorità fiscali nell'ambito della procedura di notifica di cui all'articolo 19 della legge federale del 13 ottobre 1965366 sull'imposta preventiva.
⁴	I dati d'interesse generale in relazione all'applicazione della presente legge possono essere pubblicati. L'anonimato degli assicurati è garantito.
⁵	Negli altri casi i dati possono essere comunicati a terzi alle condizioni seguenti:
^a	per i dati non personali: se la comunicazione è giustificata da un interesse preponderante;
^b	per i dati personali: se, nel caso specifico, la persona interessata ha dato il suo consenso scritto o, qualora non sia possibile ottenerlo, le circostanze permettono di presumere che la comunicazione dei dati sia nell'interesse dell'assicurato.
⁶	Possono essere comunicati solo i dati necessari per l'obiettivo perseguito.
⁷	Il Consiglio federale disciplina le modalità di comunicazione e d'informazione della persona interessata.
⁸	I dati sono di norma comunicati per scritto e gratuitamente. Il Consiglio federale può prevedere la riscossione di un emolumento qualora sia necessario un particolare dispendio di lavoro.

SR 220 Parte prima: Disposizioni generali Titolo primo: Delle cause delle obbligazioni Capo primo: Delle obbligazioni derivanti da contratto CO Art. 328 - 1 Nei rapporti di lavoro, il datore di lavoro deve rispettare e proteggere la personalità del lavoratore, avere il dovuto riguardo per la sua salute e vigilare alla salvaguardia della moralità. In particolare, deve vigilare affinché il lavoratore non subisca molestie sessuali e, se lo stesso fosse vittima di tali molestie, non subisca ulteriori svantaggi.121
¹	Nei rapporti di lavoro, il datore di lavoro deve rispettare e proteggere la personalità del lavoratore, avere il dovuto riguardo per la sua salute e vigilare alla salvaguardia della moralità. In particolare, deve vigilare affinché il lavoratore non subisca molestie sessuali e, se lo stesso fosse vittima di tali molestie, non subisca ulteriori svantaggi.121
²	Egli deve prendere i provvedimenti realizzabili secondo lo stato della tecnica ed adeguati alle condizioni dell'azienda o dell'economia domestica, che l'esperienza ha dimostrato necessari per la tutela della vita, della salute e dell'integrità personale del lavoratore, in quanto il singolo rapporto di lavoro e la natura del lavoro consentano equamente di pretenderlo.122

SR 220 Parte prima: Disposizioni generali Titolo primo: Delle cause delle obbligazioni Capo primo: Delle obbligazioni derivanti da contratto CO Art. 331 - 1 Se il datore di lavoro destina delle prestazioni a scopo di previdenza a favore del personale o se i lavoratori pagano contributi a tale scopo, il datore di lavoro deve devolvere queste prestazioni e questi contributi a una fondazione, a una società cooperativa o a una istituzione di diritto pubblico.
¹	Se il datore di lavoro destina delle prestazioni a scopo di previdenza a favore del personale o se i lavoratori pagano contributi a tale scopo, il datore di lavoro deve devolvere queste prestazioni e questi contributi a una fondazione, a una società cooperativa o a una istituzione di diritto pubblico.
²	Se le prestazioni del datore di lavoro e gli eventuali contributi del lavoratore sono usati per assicurare quest'ultimo contro le malattie, contro gli infortuni, sulla vita, contro l'invalidità o in caso di morte presso un istituto sottoposto alla vigilanza assicurativa o presso una cassa malati riconosciuta, il datore di lavoro non è tenuto alla devoluzione prevista nel capoverso precedente, qualora il lavoratore fruisca di un diritto di credito direttamente verso l'assicuratore al momento in cui il rischio si manifesta.
³	Se il lavoratore deve pagare contributi a un'istituzione di previdenza, il datore di lavoro è tenuto, per lo stesso periodo di tempo, a pagare contributi d'importo almeno pari alla somma dei contributi di tutti i lavoratori; i contributi del datore di lavoro devono provenire da suoi fondi propri o da riserve di contributi dell'istituzione di previdenza alimentate previamente a tal fine dal datore di lavoro e conteggiate separatamente. Il datore di lavoro deve versare all'istituzione di previdenza la quota dedotta dal salario del lavoratore, insieme alla sua quota, al più tardi alla fine del primo mese seguente l'anno civile o l'anno assicurativo per il quale sono dovuti i contributi.150
⁴	Il datore di lavoro deve dare al lavoratore le informazioni necessarie sui suoi diritti verso l'istituzione di previdenza a favore del personale e verso l'assicuratore.
⁵	Su richiesta, il datore di lavoro deve fornire all'Ufficio centrale del 2° pilastro i dati di cui dispone adatti a reperire gli aventi diritto di averi dimenticati o gli istituti che gestiscono simili averi.151

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 2 Campo d'applicazione personale e materiale - 1 La presente legge si applica al trattamento di dati personali concernenti persone fisiche da parte di:
¹	La presente legge si applica al trattamento di dati personali concernenti persone fisiche da parte di:
^a	privati;
^b	organi federali.
²	Non si applica al trattamento di dati personali da parte:
^a	di persone fisiche per uso esclusivamente personale;
^b	delle Camere federali e delle commissioni parlamentari nell'ambito delle loro deliberazioni;
^c	dei beneficiari istituzionali di cui all'articolo 2 capoverso 1 della legge del 22 giugno 20073 sullo Stato ospite che godono dell'immunità di giurisdizione in Svizzera.
³	Il trattamento di dati personali e i diritti delle persone interessate nei procedimenti giudiziari e nei procedimenti secondo gli ordinamenti procedurali federali sono retti dal diritto processuale applicabile. Le disposizioni della presente legge si applicano alle procedure amministrative di primo grado.
⁴	I registri pubblici relativi ai rapporti di diritto privato, in particolare l'accesso a tali registri e i diritti delle persone interessate, sono retti dalle disposizioni speciali del diritto federale applicabile. In assenza di disposizioni speciali si applica la presente legge.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 3 Campo d'applicazione territoriale - 1 La presente legge si applica alle fattispecie che generano effetti in Svizzera, anche se si verificano all'estero.
¹	La presente legge si applica alle fattispecie che generano effetti in Svizzera, anche se si verificano all'estero.
²	Alle pretese di diritto civile si applica la legge federale del 18 dicembre 19874 sul diritto internazionale privato. Sono fatte salve inoltre le disposizioni concernenti il campo d'applicazione territoriale del Codice penale5.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 4 Incaricato federale della protezione dei dati e della trasparenza - 1 L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) vigila sull'applicazione delle disposizioni federali sulla protezione dei dati.
¹	L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) vigila sull'applicazione delle disposizioni federali sulla protezione dei dati.
²	Non sono sottoposti alla vigilanza dell'IFPDT:
^a	l'Assemblea federale;
^b	il Consiglio federale;
^c	i tribunali della Confederazione;
^d	il Ministero pubblico della Confederazione, per quanto riguarda il trattamento di dati personali nell'ambito di un procedimento penale;
^e	le autorità federali, per quanto riguarda il trattamento di dati personali nell'ambito della loro attività giurisdizionale o di procedure di assistenza giudiziaria internazionale in materia penale.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 7 Protezione dei dati personali sin dalla progettazione e per impostazione predefinita - 1 Il titolare del trattamento è tenuto ad adottare i provvedimenti tecnici e organizzativi necessari affinché il trattamento dei dati personali sia conforme alle disposizioni sulla protezione dei dati, in particolare ai principi di cui all'articolo 6. Li adotta sin dalla progettazione.
¹	Il titolare del trattamento è tenuto ad adottare i provvedimenti tecnici e organizzativi necessari affinché il trattamento dei dati personali sia conforme alle disposizioni sulla protezione dei dati, in particolare ai principi di cui all'articolo 6. Li adotta sin dalla progettazione.
²	I provvedimenti tecnici e organizzativi devono essere adeguati in particolare allo stato della tecnica, al tipo e all'entità del trattamento dei dati personali come pure ai rischi derivanti dal trattamento per la personalità o i diritti fondamentali delle persone interessate.
³	Il titolare del trattamento è tenuto a garantire, mediante appropriate impostazioni predefinite, che il trattamento di dati personali sia circoscritto al minimo indispensabile per lo scopo perseguito, salvo che la persona interessata disponga altrimenti.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 17 Eccezioni - 1 In deroga all'articolo 16 capoversi 1 e 2, dati personali possono essere comunicati all'estero se:
¹	In deroga all'articolo 16 capoversi 1 e 2, dati personali possono essere comunicati all'estero se:
^a	la persona interessata ha dato il suo espresso consenso alla comunicazione;
^b	la comunicazione è in relazione diretta con la conclusione o l'esecuzione di un contratto:
^b1	tra il titolare del trattamento e la persona interessata, o
^b2	tra il titolare del trattamento e un altro contraente, nell'interesse della persona interessata;
^c	la comunicazione è necessaria per:
^c1	tutelare un interesse pubblico preponderante, o
^c2	accertare, esercitare o far valere un diritto dinanzi a un giudice o a un'altra autorità estera competente;
^d	la comunicazione è necessaria per proteggere la vita o l'integrità fisica della persona interessata o di un terzo e non è possibile ottenere il consenso della persona interessata entro un termine ragionevole;
^e	la persona interessata ha reso i dati personali accessibili a chiunque e non si è opposta espressamente al loro trattamento; o
^f	i dati provengono da un registro previsto dalla legge accessibile al pubblico o alle persone con un interesse degno di protezione, sempreché nel caso specifico siano adempiute le condizioni legali per la consultazione.
²	Il titolare o il responsabile del trattamento che comunica dati personali conformemente al capoverso 1 lettere b numero 2, c e d ne informa, su richiesta, l'IFPDT.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 19 Obbligo di informare sulla raccolta di dati personali - 1 Il titolare del trattamento informa in modo adeguato la persona interessata sulla raccolta di dati personali; tale obbligo sussiste anche se i dati non sono raccolti presso la persona interessata.
¹	Il titolare del trattamento informa in modo adeguato la persona interessata sulla raccolta di dati personali; tale obbligo sussiste anche se i dati non sono raccolti presso la persona interessata.
²	Al momento della raccolta, il titolare del trattamento fornisce alla persona interessata le informazioni necessarie affinché questa possa far valere i propri diritti secondo la presente legge e sia garantito un trattamento trasparente dei dati; fornisce almeno le informazioni seguenti:
^a	l'identità e i dati di contatto del titolare del trattamento;
^b	lo scopo del trattamento;
^c	se del caso, i destinatari o le categorie di destinatari cui sono comunicati dati personali.
³	Se i dati personali non sono raccolti presso la persona interessata, il titolare del trattamento la informa inoltre sulle categorie di dati personali trattati.
⁴	Se i dati personali sono comunicati all'estero, il titolare del trattamento informa la persona interessata sullo Stato o sull'organismo internazionale destinatario e, se del caso, sulle garanzie di cui all'articolo 16 capoverso 2, oppure sull'applicazione di un'eccezione secondo l'articolo 17.
⁵	Se i dati personali non sono raccolti presso la persona interessata, il titolare del trattamento le fornisce le informazioni di cui ai capoversi 2-4 entro un mese dalla ricezione dei dati. Se comunica questi dati personali prima della scadenza di detto termine, il titolare del trattamento fornisce alla persona interessata tali informazioni al più tardi al momento della comunicazione dei dati.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 27 Restrizioni del diritto d'accesso nei confronti dei mezzi di comunicazione di massa - 1 Se i dati personali sono trattati esclusivamente in vista della pubblicazione nella parte redazionale di un mezzo di comunicazione di massa con carattere periodico, il titolare del trattamento può rifiutare, limitare o differire l'informazione se:
¹	Se i dati personali sono trattati esclusivamente in vista della pubblicazione nella parte redazionale di un mezzo di comunicazione di massa con carattere periodico, il titolare del trattamento può rifiutare, limitare o differire l'informazione se:
^a	i dati forniscono indicazioni sulle fonti;
^b	l'informazione permette di accedere a progetti di pubblicazioni; o
^c	la libera formazione dell'opinione del pubblico rischia di essere compromessa.
²	I giornalisti possono inoltre rifiutare, limitare o differire l'informazione qualora i dati personali servano loro esclusivamente a titolo di strumento personale di lavoro.

SR 235.11 Ordinanza del 31 agosto 2022 sulla protezione dei dati (OPDa) OPDa Art. 8 Valutazione dell'adeguatezza della protezione dei dati di uno Stato, un territorio, un determinato settore di uno Stato o un organismo internazionale - 1 Gli Stati, i territori, determinati settori di uno Stato e gli organismi internazionali con una protezione adeguata dei dati sono elencati nell'allegato 1.
¹	Gli Stati, i territori, determinati settori di uno Stato e gli organismi internazionali con una protezione adeguata dei dati sono elencati nell'allegato 1.
²	Per valutare se uno Stato, un territorio, un determinato settore di uno Stato o un organismo internazionale garantisce una protezione adeguata dei dati, vanno segnatamente presi in considerazione i seguenti criteri:
^a	gli impegni internazionali dello Stato o dell'organismo internazionale, in particolare nel settore della protezione dei dati;
^b	lo Stato di diritto e il rispetto dei diritti dell'uomo;
^c	la legislazione vigente in particolare in materia di protezione dei dati, la sua attuazione e la giurisprudenza pertinente;
^d	l'effettiva garanzia dei diritti delle persone interessate e della tutela giurisdizionale;
^e	l'effettivo funzionamento di una o più autorità indipendenti responsabili della protezione dei dati nello Stato in questione o alle quali è assoggettato un organismo internazionale e dotate di poteri e competenze sufficienti.
³	L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) viene consultato al momento di ogni valutazione. Possono essere presi in considerazione i pareri di organismi internazionali o autorità estere competenti per la protezione dei dati.
⁴	L'adeguatezza della protezione dei dati è periodicamente oggetto di una nuova valutazione.
⁵	Le valutazioni vengono pubblicate.
⁶	Se dalla valutazione secondo il capoverso 4 o da altre informazioni si evince che non è più garantita una protezione adeguata dei dati, l'allegato 1 è modificato; tale modifica non ha alcuna ripercussione sulle comunicazioni di dati già avvenute.

SR 235.11 Ordinanza del 31 agosto 2022 sulla protezione dei dati (OPDa) OPDa Art. 9 Clausole contrattuali di protezione dei dati e garanzie specifiche - 1 Le clausole contrattuali di protezione dei dati di un contratto secondo l'articolo 16 capoverso 2 lettera b LPD e le garanzie specifiche secondo l'articolo 16 capoverso 2 lettera c LPD contengono almeno i seguenti punti:
¹	Le clausole contrattuali di protezione dei dati di un contratto secondo l'articolo 16 capoverso 2 lettera b LPD e le garanzie specifiche secondo l'articolo 16 capoverso 2 lettera c LPD contengono almeno i seguenti punti:
^a	l'applicazione dei principi della liceità, della buona fede, della proporzionalità, della trasparenza, della finalità e dell'esattezza;
^b	le categorie dei dati personali comunicati e delle persone interessate;
^c	il tipo e lo scopo della comunicazione dei dati personali;
^d	all'occorrenza, il nome degli Stati o degli organismi internazionali cui sono comunicati dati personali nonché i requisiti della comunicazione;
^e	i requisiti della conservazione, della cancellazione e della distruzione di dati personali;
^f	i destinatari o le categorie dei destinatari;
^g	i provvedimenti per garantire la sicurezza dei dati;
^h	l'obbligo di comunicare le violazioni della sicurezza dei dati;
ⁱ	se i destinatari sono titolari del trattamento, l'obbligo di informare le persone interessate dal trattamento;
^j	i diritti della persona interessata, segnatamente:
^j1	il diritto d'accesso e il diritto alla consegna o alla trasmissione dei dati,
^j2	il diritto di opporsi alla comunicazione dei dati,
^j3	il diritto di chiedere la rettifica, la cancellazione o la distruzione dei dati che la concernono,
^j4	il diritto di chiedere tutela giurisdizionale a un'autorità indipendente.
²	Il titolare del trattamento e, nel caso di clausole contrattuali sulla protezione dei dati, il responsabile del trattamento prendono misure adeguate per garantire che il destinatario rispetti dette clausole o le garanzie specifiche.
³	Se l'IFPDT è stato informato sulle clausole contrattuali di protezione dei dati o sulle garanzie specifiche, l'obbligo di informare è considerato adempiuto per tutte le ulteriori comunicazioni che:
^a	si basano sulle medesime clausole contrattuali o garanzie, sempre che le categorie dei destinatari, la finalità del trattamento o le categorie di dati rimangano sostanzialmente immutate; o
^b	sono effettuate in seno alla medesima persona giuridica o società o tra imprese che appartengono allo stesso gruppo.

SR 831.40 Legge federale del 25 giugno 1982 sulla previdenza professionale per la vecchiaia, i superstiti e l'invalidità (LPP) LPP Art. 87 Assistenza amministrativa - 1 Le autorità amministrative e giudiziarie della Confederazione, dei Cantoni, dei distretti, dei circoli e dei Comuni, nonché gli organi delle altre assicurazioni sociali forniscono nel singolo caso gratuitamente agli organi incaricati dell'esecuzione della presente legge, su richiesta scritta e motivata, i dati necessari per:
¹	Le autorità amministrative e giudiziarie della Confederazione, dei Cantoni, dei distretti, dei circoli e dei Comuni, nonché gli organi delle altre assicurazioni sociali forniscono nel singolo caso gratuitamente agli organi incaricati dell'esecuzione della presente legge, su richiesta scritta e motivata, i dati necessari per:
^a	controllare l'assoggettamento dei datori di lavoro;
^b	determinare o modificare prestazioni, o chiederne la restituzione;
^c	prevenire versamenti indebiti;
^d	fissare e riscuotere i contributi;
^e	intraprendere azioni di regresso contro terzi responsabili.
²	L'istituto di previdenza che, nello svolgimento delle sue funzioni, apprende che un assicurato percepisce prestazioni indebite, può informarne gli organi dell'assicurazione sociale interessata.373

SR 831.40 Legge federale del 25 giugno 1982 sulla previdenza professionale per la vecchiaia, i superstiti e l'invalidità (LPP) LPP Art. 66 Ripartizione dei contributi - 1 L'istituto di previdenza stabilisce nelle disposizioni regolamentari l'importo dei contributi del datore di lavoro e dei lavoratori. Il contributo del datore di lavoro deve essere almeno uguale a quello complessivo dei suoi lavoratori. Una quota maggiore a carico del datore di lavoro può essere stabilita solo con il suo consenso.
¹	L'istituto di previdenza stabilisce nelle disposizioni regolamentari l'importo dei contributi del datore di lavoro e dei lavoratori. Il contributo del datore di lavoro deve essere almeno uguale a quello complessivo dei suoi lavoratori. Una quota maggiore a carico del datore di lavoro può essere stabilita solo con il suo consenso.
²	Il datore di lavoro deve all'istituto di previdenza gli interi contributi. Sui contributi non pagati alla scadenza, l'istituto di previdenza può pretendere interessi di mora.
³	Il datore di lavoro deduce dal salario la quota del lavoratore stabilita nelle disposizioni regolamentari dell'istituto di previdenza.
⁴	Il datore di lavoro versa all'istituto di previdenza i contributi del lavoratore e i suoi propri contributi al più tardi alla fine del primo mese seguente l'anno civile o l'anno assicurativo per il quale i contributi sono dovuti.301

SR 220 Parte prima: Disposizioni generali Titolo primo: Delle cause delle obbligazioni Capo primo: Delle obbligazioni derivanti da contratto CO Art. 333 - 1 Se il datore di lavoro trasferisce l'azienda o una parte di essa a un terzo, il rapporto di lavoro passa con tutti i diritti e gli obblighi all'acquirente al momento del trasferimento dell'azienda, in quanto il lavoratore non vi si opponga.171
¹	Se il datore di lavoro trasferisce l'azienda o una parte di essa a un terzo, il rapporto di lavoro passa con tutti i diritti e gli obblighi all'acquirente al momento del trasferimento dell'azienda, in quanto il lavoratore non vi si opponga.171
^1bis	Se al rapporto di lavoro oggetto del trasferimento è applicabile un contratto collettivo, l'acquirente è tenuto ad osservarlo per un anno, sempreché non cessi prima per scadenza o disdetta.172
²	Nel caso di opposizione, il rapporto di lavoro è sciolto alla scadenza del termine legale di disdetta; sino a tale momento, l'acquirente dell'azienda e il lavoratore sono tenuti ad adempiere il contratto.
³	Il precedente datore di lavoro e l'acquirente dell'azienda rispondono solidalmente dei crediti del lavoratore divenuti esigibili prima del trasferimento e dopo sino al momento in cui il rapporto di lavoro possa essere sciolto normalmente od è sciolto per opposizione del lavoratore al trasferimento.
⁴	Per altro, il datore di lavoro non può trasferire a un terzo i diritti derivanti dal rapporto di lavoro, in quanto il contrario non risulti da un accordo o dalle circostanze.

SR 831.40 Legge federale del 25 giugno 1982 sulla previdenza professionale per la vecchiaia, i superstiti e l'invalidità (LPP) LPP Art. 10 Inizio e fine dell'assicurazione obbligatoria - 1 L'assicurazione obbligatoria inizia con il rapporto di lavoro o, per i beneficiari di indennità giornaliere dell'assicurazione contro la disoccupazione, il giorno in cui è versata per la prima volta un'indennità di disoccupazione.22
¹	L'assicurazione obbligatoria inizia con il rapporto di lavoro o, per i beneficiari di indennità giornaliere dell'assicurazione contro la disoccupazione, il giorno in cui è versata per la prima volta un'indennità di disoccupazione.22
²	Fatto salvo l'articolo 8 capoverso 3, l'obbligo assicurativo finisce quando:
^a	è raggiunta l'età di riferimento23 (art. 13);
^b	è sciolto il rapporto di lavoro;
^c	non è più raggiunto il salario minimo;
^d	termina il diritto alle indennità giornaliere dell'assicurazione contro la disoccupazione.25
³	Per i rischi morte e invalidità il salariato resta assicurato presso il suo istituto di previdenza durante un mese dopo lo scioglimento del rapporto di previdenza.26 Se esisteva in precedenza un rapporto di previdenza, è competente il nuovo istituto di previdenza.27

SR 101 Costituzione federale della Confederazione Svizzera del 18 aprile 1999 Cost. Art. 113 * - 1 La Confederazione emana prescrizioni sulla previdenza professionale.
¹	La Confederazione emana prescrizioni sulla previdenza professionale.
²	In tale ambito si attiene ai principi seguenti:
^a	la previdenza professionale, insieme con l'assicurazione vecchiaia, superstiti e invalidità, deve rendere possibile l'adeguata continuazione del tenore di vita abituale;
^b	la previdenza professionale è obbligatoria per i dipendenti; la legge può prevedere eccezioni;
^c	i datori di lavoro assicurano i dipendenti presso un istituto previdenziale; per quanto necessario, la Confederazione offre loro la possibilità di assicurare i lavoratori presso un istituto di previdenza federale;
^d	chi esercita un'attività indipendente può assicurarsi facoltativamente presso un istituto di previdenza;
^e	per dati gruppi d'indipendenti, la Confederazione può dichiarare obbligatoria la previdenza professionale, in generale o per singoli rischi.
³	La previdenza professionale è finanziata con i contributi degli assicurati; almeno la metà dei contributi dei dipendenti è a carico del datore di lavoro.
⁴	Gli istituti di previdenza devono soddisfare alle esigenze minime prescritte dal diritto federale; per risolvere compiti speciali la Confederazione può prevedere misure a livello nazionale.

SR 831.40 Legge federale del 25 giugno 1982 sulla previdenza professionale per la vecchiaia, i superstiti e l'invalidità (LPP) LPP Art. 48 - 1 Gli istituti di previdenza che intendono partecipare all'attuazione dell'assicurazione obbligatoria devono farsi iscrivere nel registro della previdenza professionale presso l'autorità di vigilanza loro preposta (art. 61).
¹	Gli istituti di previdenza che intendono partecipare all'attuazione dell'assicurazione obbligatoria devono farsi iscrivere nel registro della previdenza professionale presso l'autorità di vigilanza loro preposta (art. 61).
²	Gli istituti di previdenza registrati devono rivestire la forma della fondazione o essere istituzioni di diritto pubblico dotate di personalità giuridica.146 Devono effettuare le prestazioni secondo le prescrizioni sull'assicurazione obbligatoria ed essere organizzati, finanziati e amministrati secondo la presente legge.
³	Un istituto di previdenza è radiato dal registro se:
^a	non soddisfa più le condizioni legali per la registrazione e non provvede agli adeguamenti necessari entro il termine impartito dall'autorità di vigilanza;
^b	rinuncia alla registrazione.147
⁴	Gli istituti di previdenza registrati e i terzi coinvolti nella previdenza professionale da essi attuata sono autorizzati a utilizzare sistematicamente, per adempiere i loro compiti legali, il numero d'assicurato dell'AVS conformemente alle disposizioni della LAVS148.149

SR 101 Costituzione federale della Confederazione Svizzera del 18 aprile 1999 Cost. Art. 10 Diritto alla vita e alla libertà personale - 1 Ognuno ha diritto alla vita. La pena di morte è vietata.
¹	Ognuno ha diritto alla vita. La pena di morte è vietata.
²	Ognuno ha diritto alla libertà personale, in particolare all'integrità fisica e psichica e alla libertà di movimento.
³	La tortura nonché ogni altro genere di trattamento o punizione crudele, inumano o degradante sono vietati.

SR 101 Costituzione federale della Confederazione Svizzera del 18 aprile 1999 Cost. Art. 36 Limiti dei diritti fondamentali - 1 Le restrizioni dei diritti fondamentali devono avere una base legale. Se gravi, devono essere previste dalla legge medesima. Sono eccettuate le restrizioni ordinate in caso di pericolo grave, immediato e non altrimenti evitabile.
¹	Le restrizioni dei diritti fondamentali devono avere una base legale. Se gravi, devono essere previste dalla legge medesima. Sono eccettuate le restrizioni ordinate in caso di pericolo grave, immediato e non altrimenti evitabile.
²	Le restrizioni dei diritti fondamentali devono essere giustificate da un interesse pubblico o dalla protezione di diritti fondamentali altrui.
³	Esse devono essere proporzionate allo scopo.
⁴	I diritti fondamentali sono intangibili nella loro essenza.

SR 831.42 Legge federale del 17 dicembre 1993 sul libero passaggio nella previdenza professionale per la vecchiaia, i superstiti e l'invalidità (Legge sul libero passaggio, LFLP) - Legge sul libero passaggio LFLP Art. 24 - 1 L'istituto di previdenza informa annualmente l'assicurato sulla prestazione d'uscita regolamentare secondo l'articolo 2.65
¹	L'istituto di previdenza informa annualmente l'assicurato sulla prestazione d'uscita regolamentare secondo l'articolo 2.65
²	L'istituto di previdenza deve informare l'assicurato che contrae matrimonio o un'unione domestica registrata sulla prestazione di uscita alla data di celebrazione del matrimonio o di registrazione dell'unione domestica.66 L'istituto di previdenza deve conservare questo dato e, in caso di uscita dell'assicurato, comunicarlo al nuovo istituto di previdenza o a un eventuale istituto di libero passaggio.67
³	In caso di divorzio o di scioglimento giudiziale dell'unione domestica registrata, l'istituto di previdenza deve informare, su richiesta, l'assicurato o il giudice su:
^a	l'importo degli averi determinanti per calcolare la prestazione d'uscita da dividere;
^b	la parte dell'avere di vecchiaia secondo l'articolo 15 LPP68 sull'intero avere di previdenza dell'assicurato.69
⁴	Il Consiglio federale disciplina gli ulteriori obblighi d'informazione.70

SR 831.40 Legge federale del 25 giugno 1982 sulla previdenza professionale per la vecchiaia, i superstiti e l'invalidità (LPP) LPP Art. 11 Affiliazione a un istituto di previdenza - 1 Il datore di lavoro che occupa lavoratori da assicurare obbligatoriamente dev'essere affiliato a un istituto di previdenza iscritto nel registro della previdenza professionale.
¹	Il datore di lavoro che occupa lavoratori da assicurare obbligatoriamente dev'essere affiliato a un istituto di previdenza iscritto nel registro della previdenza professionale.
²	Se non è ancora affiliato a un istituto di previdenza, il datore di lavoro ne sceglie uno d'intesa con il suo personale o con l'eventuale rappresentanza dei lavoratori.28
³	L'affiliazione ha effetto retroattivo.
^3bis	Lo scioglimento dell'affiliazione e la riaffiliazione a un nuovo istituto di previdenza da parte del datore di lavoro avviene d'intesa con il personale o con l'eventuale rappresentanza dei lavoratori. L'istituto di previdenza è tenuto ad annunciare lo scioglimento del contratto all'istituto collettore (art. 60).29 30
^3ter	In mancanza di un'intesa nei casi di cui ai capoversi 2 e 3bis, la decisione è presa da un arbitro neutrale designato di comune accordo o, mancando l'accordo, dall'autorità di vigilanza.31
⁴	La cassa di compensazione dell'AVS verifica se i datori di lavoro ad essa assoggettati sono affiliati a un istituto di previdenza registrato.32
⁵	La cassa di compensazione dell'AVS ingiunge al datore di lavoro che non ha dato seguito all'obbligo previsto nel capoverso 1 di affiliarsi entro due mesi a un istituto di previdenza registrato.33
⁶	Se il datore di lavoro non si conforma all'ingiunzione entro il termine impartito, la cassa di compensazione dell'AVS lo annuncia all'istituto collettore (art. 60) per l'affiliazione con effetto retroattivo.34
⁷	L'istituto collettore e la cassa di compensazione dell'AVS conteggiano al datore di lavoro moroso le spese amministrative che ha causato. Le spese amministrative non recuperabili sono assunte dal fondo di garanzia (art. 56 cpv. 1 lett. d, h).35

SR 831.40 Legge federale del 25 giugno 1982 sulla previdenza professionale per la vecchiaia, i superstiti e l'invalidità (LPP) LPP Art. 55 Consigli di fondazione - 1 I consigli di fondazione sono composti di un uguale numero di rappresentanti dei datori di lavoro e dei lavoratori. Si deve tenere adeguatamente conto della pubblica amministrazione. I consigli di fondazione possono essere diretti da un presidente neutrale.
¹	I consigli di fondazione sono composti di un uguale numero di rappresentanti dei datori di lavoro e dei lavoratori. Si deve tenere adeguatamente conto della pubblica amministrazione. I consigli di fondazione possono essere diretti da un presidente neutrale.
²	I membri dei consigli di fondazione sono nominati per un quadriennio.
³	I consigli di fondazione si autocostituiscono ed emanano i regolamenti sull'organizzazione della fondazione. Essi ne sorvegliano la gestione e insediano come organo di controllo un ufficio di revisione indipendente.
⁴	Ogni consiglio di fondazione designa un ufficio di direzione che amministra e rappresenta la fondazione.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 29 Restrizioni del diritto di farsi consegnare dati o di esigerne la trasmissione a terzi - 1 Il titolare del trattamento può rifiutare, limitare o differire la consegna o la trasmissione dei dati personali per i motivi di cui all'articolo 26 capoversi 1 e 2.
¹	Il titolare del trattamento può rifiutare, limitare o differire la consegna o la trasmissione dei dati personali per i motivi di cui all'articolo 26 capoversi 1 e 2.
²	Il titolare del trattamento indica il motivo per cui rifiuta, limita o differisce la consegna o la trasmissione.