13

Auszug aus dem Urteil der Abteilung I
i.S. A. und X. Corporation gegen Eidgenössische Steuerverwaltung, Dienst für Informationsaustausch in Steuersachen
A 1204/2014 vom 23. April 2015

Internationale Amtshilfe in Steuersachen. Datenschutz. Vernichtung zu Unrecht erhobener Daten.

Art. 2 Abs. 2 Bst. c

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 2 Persönlicher und sachlicher Geltungsbereich - 1 Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
1	Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
a	private Personen;
b	Bundesorgane.
2	Es ist nicht anwendbar auf:
a	Personendaten, die von einer natürlichen Person ausschliesslich zum persönlichen Gebrauch bearbeitet werden;
b	Personendaten, die von den eidgenössischen Räten und den parlamentarischen Kommissionen im Rahmen ihrer Beratungen bearbeitet werden;
c	Personendaten, die bearbeitet werden durch institutionelle Begünstigte nach Artikel 2 Absatz 1 des Gaststaatgesetzes vom 22. Juni 20073, die in der Schweiz Immunität von der Gerichtsbarkeit geniessen.
3	Das anwendbare Verfahrensrecht regelt die Bearbeitung von Personendaten und die Rechte der betroffenen Personen in Gerichtsverfahren und in Verfahren nach bundesrechtlichen Verfahrensordnungen. Auf erstinstanzliche Verwaltungsverfahren sind die Bestimmungen dieses Gesetzes anwendbar.
4	Die öffentlichen Register des Privatrechtsverkehrs, insbesondere der Zugang zu diesen Registern und die Rechte der betroffenen Personen, werden durch die Spezialbestimmungen des anwendbaren Bundesrechts geregelt. Enthalten die Spezialbestimmungen keine Regelung, so ist dieses Gesetz anwendbar.

, Art. 4

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 4 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter - 1 Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
1	Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
2	Von der Aufsicht durch den EDÖB sind ausgenommen:
a	die Bundesversammlung;
b	der Bundesrat;
c	die eidgenössischen Gerichte;
d	die Bundesanwaltschaft: betreffend die Bearbeitung von Personendaten im Rahmen von Strafverfahren;
e	Bundesbehörden: betreffend die Bearbeitung von Personendaten im Rahmen einer rechtsprechenden Tätigkeit oder von Verfahren der internationalen Rechtshilfe in Strafsachen.

, Art. 5 Abs. 1

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 5 Begriffe - In diesem Gesetz bedeuten:
a	Personendaten: alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen;
b	betroffene Person: natürliche Person, über die Personendaten bearbeitet werden;
c	besonders schützenswerte Personendaten:
c1	Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten,
c2	Daten über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie,
c3	genetische Daten,
c4	biometrische Daten, die eine natürliche Person eindeutig identifizieren,
c5	Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen,
c6	Daten über Massnahmen der sozialen Hilfe;
d	Bearbeiten: jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten;
e	Bekanntgeben: das Übermitteln oder Zugänglichmachen von Personendaten;
f	Profiling: jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;
g	Profiling mit hohem Risiko: Profiling, das ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt, indem es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt;
h	Verletzung der Datensicherheit: eine Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden;
i	Bundesorgan: Behörde oder Dienststelle des Bundes oder Person, die mit öffentlichen Aufgaben des Bundes betraut ist;
j	Verantwortlicher: private Person oder Bundesorgan, die oder das allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet;
k	Auftragsbearbeiter: private Person oder Bundesorgan, die oder das im Auftrag des Verantwortlichen Personendaten bearbeitet.

und Art. 25 Abs. 3 Bst. a

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 25 Auskunftsrecht - 1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
1	Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
2	Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt:
a	die Identität und die Kontaktdaten des Verantwortlichen;
b	die bearbeiteten Personendaten als solche;
c	der Bearbeitungszweck;
d	die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
e	die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
f	gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
g	gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.
3	Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.
4	Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig.
5	Niemand kann im Voraus auf das Auskunftsrecht verzichten.
6	Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist.
7	Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt.

DSG. Art. 6

SR 152.1 Bundesgesetz vom 26. Juni 1998 über die Archivierung (Archivierungsgesetz, BGA) - Archivierungsgesetz BGA Art. 6 Anbietepflicht - Die in Artikel 1 Absatz 1 bezeichneten Stellen oder Personen müssen alle Unterlagen, die sie nicht mehr ständig benötigen, dem Bundesarchiv zur Übernahme anbieten, soweit sie nicht selbst für deren Archivierung zuständig sind.

und Art. 8 Abs. 1

SR 152.1 Bundesgesetz vom 26. Juni 1998 über die Archivierung (Archivierungsgesetz, BGA) - Archivierungsgesetz BGA Art. 8 Vernichtung von Unterlagen - 1 Unterlagen, die unter die Anbietepflicht fallen, dürfen ohne Zustimmung des Bundesarchivs nicht vernichtet werden.
1	Unterlagen, die unter die Anbietepflicht fallen, dürfen ohne Zustimmung des Bundesarchivs nicht vernichtet werden.
2	Das Bundesarchiv vernichtet keine Unterlagen ohne Zustimmung der abliefernden Stelle.

BGA.

Daten, die in einem Verfahren der internationalen Amtshilfe in Steuersachen erhoben wurden, sind zu vernichten, wenn das Bundesverwaltungsgericht auf Beschwerde hin zum Schluss kommt, dass auf das Amtshilfegesuch, aufgrund dessen die Daten erhoben wurden, nicht hätte eingetreten werden dürfen (E. 3). Das DSG ist in einem solchen Verfahren anwendbar (E. 3.2).

Assistance administrative internationale en matière fiscale. Protection des données. Destruction de données collectées à tort.

Art. 2 al. 2 let. c, art. 4, art. 5 al. 1 et art. 25 al. 3 let. a LPD. Art. 6 et art. 8 al. 1 LAr.

Les données collectées dans le cadre d'une procédure d'assistance administrative internationale en matière fiscale doivent être détruites lorsque, sur recours, le Tribunal administratif fédéral arrive à la conclusion qu'il n'aurait pas dû être entré en matière sur la demande d'assistance (consid. 3). La LPD s'applique à une telle procédure (consid. 3.2).

Assistenza amministrativa internazionale in materia fiscale. Protezione dei dati. Distruzione di dati acquisiti ingiustamente.

Art. 2 cpv. 2 lett. c, art. 4, art. 5 cpv. 1 e art. 25 cpv. 3 lett. a LPD. Art. 6 e art. 8 cpv. 1 LAr.

Se in sede ricorsuale il Tribunale amministrativo federale stabilisce che non si sarebbe dovuto entrare nel merito di una domanda di assistenza amministrativa internazionale in materia fiscale, i dati acquisiti in virtù di tale domanda devono essere distrutti (consid. 3). La LPD si applica ad un tale procedimento (consid. 3.2).


Am 1. Oktober 2013 reichten A. und die X. Corporation (nachfolgend: Beschwerdeführende) beim Bundesverwaltungsgericht eine Beschwerde gegen eine Schlussverfügung der Eidgenössischen Steuerverwaltung (ESTV) ein, welche gestützt auf ein Amtshilfegesuch der Steuerbehörde (Internal Revenue Service [IRS]) der USA vom 17. April 2013 erlassen worden war. Diese Beschwerde hiess das Bundesverwaltungsgericht mit Urteil A 3395/2014 vom 7. Juli 2014 gut. Mit Hinweis auf ein anderes, sich auf dasselbe Amtshilfegesuch beziehendes Verfahren, hielt es fest, auf das Gesuch hätte nicht eingetreten werden dürfen.

Währenddessen reichten die Beschwerdeführenden bei der ESTV am 20. Januar 2014 unter anderem ein Ersuchen um Datenlöschung/Datensperrung der im Amtshilfeverfahren erhobenen, sie betreffenden Daten ein. Die ESTV wies das Gesuch um Vernichtung beziehungsweise Rückgabe der Bankunterlagen mit Verfügung vom 5. Februar 2014 ab und trat in derselben Verfügung auf das Gesuch um Datensperrung nicht ein.

Gegen diese Verfügung erhoben die Beschwerdeführenden mit Eingabe vom 10. März 2014 Beschwerde an das Bundesverwaltungsgericht. Diesbezüglich beantragen sie, die Verfügung vom 5. Februar 2014 aufzuheben und das Datenlöschungsersuchen vom 20. Januar 2014 in dem Sinn gutzuheissen, dass die Personendaten und Bankunterlagen, welche sie (die Beschwerdeführenden) beträfen und die im Rahmen des sie betreffenden Geschäfts durch die ESTV bearbeitet worden seien, unverzüglich zu vernichten seien. Sofern die Daten in physischer Form bei der ESTV bearbeitet worden seien, seien diese der betreffenden Bank unverzüglich zurückzugeben.

Das Bundesverwaltungsgericht heisst die Beschwerde - soweit sie nicht gegenstandslos geworden ist - gut.


Aus den Erwägungen:

3. Es gilt somit, auf das Rechtsbegehren 2 der Beschwerdeführenden einzugehen, welches sich auf die Verfügung vom 5. Februar 2014 betreffend Datenlöschung bezieht.

3.1

3.1.1 Die Beschwerdeführenden verlangen die unverzügliche Vernichtung von Personendaten und Bankunterlagen (und dass bis zur Vernichtung jede weitere Datenbearbeitung unterlassen werde), allenfalls deren Rückgabe an die Bank Z. beziehungsweise deren Sperrung. Sie stützen sich dabei auf das DSG (SR 235.1) und das auch dort zur Anwendung kommende Verhältnismässigkeitsprinzip. Ferner ziehen sie aus Art. 8 Abs. 2

SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz StAhiG Art. 8 Grundsätze - 1 Zur Beschaffung von Informationen dürfen nur Massnahmen durchgeführt werden, die nach schweizerischem Recht zur Veranlagung und Durchsetzung der Steuern, die Gegenstand des Ersuchens sind, durchgeführt werden könnten.
1	Zur Beschaffung von Informationen dürfen nur Massnahmen durchgeführt werden, die nach schweizerischem Recht zur Veranlagung und Durchsetzung der Steuern, die Gegenstand des Ersuchens sind, durchgeführt werden könnten.
2	Informationen, die sich im Besitz einer Bank, eines anderen Finanzinstituts, einer beauftragten oder bevollmächtigten Person, einer Treuhänderin oder eines Treuhänders befinden oder die sich auf Beteiligungen an einer Person beziehen, können verlangt werden, wenn das anwendbare Abkommen ihre Übermittlung vorsieht.
3	Die ESTV wendet sich zur Beschaffung der Informationen an die Personen und Behörden nach den Artikeln 9-12, von denen sie annehmen kann, dass sie über die Informationen verfügen.
4	Die ersuchende Behörde hat keinen Anspruch auf Akteneinsicht oder Anwesenheit bei den Verfahrenshandlungen in der Schweiz.
5	Die Kosten aus der Informationsbeschaffung werden nicht erstattet.
6	Anwältinnen und Anwälte, die nach dem Anwaltsgesetz vom 23. Juni 200023 (BGFA) zur Vertretung vor schweizerischen Gerichten berechtigt sind, können die Herausgabe von Unterlagen und Informationen verweigern, die durch das Anwaltsgeheimnis geschützt sind.

des Steueramtshilfegesetzes vom 28. September 2012 (StAhiG, SR 672.5) den Umkehrschluss, dass Personendaten, welche in Verletzung dieses Artikels gesammelt wurden, der Bank zurückzugeben sind. Sie machen geltend, die Erhebung und Aufbewahrung der Daten sei - aufgrund des ungenügenden Amtshilfegesuchs - zu Unrecht erfolgt.

3.1.2 Die ESTV stellt sich in der angefochtenen Verfügung - die vor dem Urteil des Bundesgerichts im Verfahren 2C_54/2015 vom 22. Juni 2015 ergangen ist - auf den Standpunkt, das Urteil des Bundesverwaltungsgerichts A 5390/2013 vom 6. Januar 2014 habe keine Auswirkungen auf das Verfahren der Beschwerdeführenden und die Daten seien deshalb zu Recht erhoben worden. Selbst wenn keine Amtshilfe geleistet würde, dürften die Daten nicht vernichtet werden, sondern wären dem Bundesarchiv zur Aufbewahrung anzubieten. Dabei stützt sie sich auf Art. 6 Abs. 1

SR 152.1 Bundesgesetz vom 26. Juni 1998 über die Archivierung (Archivierungsgesetz, BGA) - Archivierungsgesetz BGA Art. 6 Anbietepflicht - Die in Artikel 1 Absatz 1 bezeichneten Stellen oder Personen müssen alle Unterlagen, die sie nicht mehr ständig benötigen, dem Bundesarchiv zur Übernahme anbieten, soweit sie nicht selbst für deren Archivierung zuständig sind.

des Archivierungsgesetzes vom 26. Juni 1998 (BGA, SR 152.1) und auf Art. 6

SR 172.010 Regierungs- und Verwaltungsorganisationsgesetz vom 21. März 1997 (RVOG) - Verwaltungsorganisationsgesetz RVOG Art. 6 Regierungsobliegenheiten - 1 Der Bundesrat bestimmt Ziele und Mittel seiner Regierungspolitik.
1	Der Bundesrat bestimmt Ziele und Mittel seiner Regierungspolitik.
2	Er räumt der Wahrnehmung der Regierungsobliegenheiten Vorrang ein.
3	Er trifft alle Massnahmen, um die Regierungstätigkeit jederzeit sicherzustellen.
4	Er wirkt auf die staatliche Einheit und den Zusammenhalt des Landes hin und wahrt dabei die föderalistische Vielfalt. Er leistet seinen Beitrag, damit die anderen Staatsorgane ihre Aufgaben nach Verfassung und Gesetz zweckmässig und zeitgerecht erfüllen können.

in Verbindung mit Art. 1 Abs. 1 Bst. b

SR 172.010 Regierungs- und Verwaltungsorganisationsgesetz vom 21. März 1997 (RVOG) - Verwaltungsorganisationsgesetz RVOG Art. 1 Die Regierung - 1 Der Bundesrat ist die oberste leitende und vollziehende Behörde der Eidgenossenschaft.
1	Der Bundesrat ist die oberste leitende und vollziehende Behörde der Eidgenossenschaft.
2	Er besteht aus sieben Mitgliedern.
3	Er wird unterstützt durch den Bundeskanzler oder die Bundeskanzlerin.

und Art. 2

SR 172.010 Regierungs- und Verwaltungsorganisationsgesetz vom 21. März 1997 (RVOG) - Verwaltungsorganisationsgesetz RVOG Art. 2 Die Bundesverwaltung - 1 Die Bundesverwaltung untersteht dem Bundesrat. Sie umfasst die Departemente und die Bundeskanzlei.
1	Die Bundesverwaltung untersteht dem Bundesrat. Sie umfasst die Departemente und die Bundeskanzlei.
2	Die einzelnen Departemente gliedern sich in Ämter, die zu Gruppen zusammengefasst werden können. Sie verfügen je über ein Generalsekretariat.
3	Zur Bundesverwaltung gehören ferner dezentralisierte Verwaltungseinheiten nach Massgabe ihrer Organisationserlasse.
4	Durch die Bundesgesetzgebung können Organisationen und Personen des öffentlichen oder privaten Rechts, die nicht der Bundesverwaltung angehören, mit Verwaltungsaufgaben betraut werden.

des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 1997 (RVOG, SR 172.010). Zudem ist die Vorinstanz der Meinung, aufgrund des Devolutiveffekts und des Weiterzugs der Schlussverfügung vom 23. August 2013 ans Bundesverwaltungsgericht beziehungsweise des Weiterzugs von dessen Urteil ans Bundesgericht sei sie in der Sache nicht mehr zuständig, auch nicht zur Behandlung des Begehrens um Datensperrung.

3.2 Im Folgenden ist zunächst die Anwendbarkeit des DSG zu prüfen (E. 3.2). Ist dieses anwendbar, gilt es festzustellen, welche dessen relevante Bestimmungen sind (E. 3.3). Anschliessend sind die Bestimmungen auf den konkreten Fall anzuwenden (E. 3.4).

3.2.1 Art. 2 Abs. 2 Bst. c

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 2 Persönlicher und sachlicher Geltungsbereich - 1 Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
1	Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
a	private Personen;
b	Bundesorgane.
2	Es ist nicht anwendbar auf:
a	Personendaten, die von einer natürlichen Person ausschliesslich zum persönlichen Gebrauch bearbeitet werden;
b	Personendaten, die von den eidgenössischen Räten und den parlamentarischen Kommissionen im Rahmen ihrer Beratungen bearbeitet werden;
c	Personendaten, die bearbeitet werden durch institutionelle Begünstigte nach Artikel 2 Absatz 1 des Gaststaatgesetzes vom 22. Juni 20073, die in der Schweiz Immunität von der Gerichtsbarkeit geniessen.
3	Das anwendbare Verfahrensrecht regelt die Bearbeitung von Personendaten und die Rechte der betroffenen Personen in Gerichtsverfahren und in Verfahren nach bundesrechtlichen Verfahrensordnungen. Auf erstinstanzliche Verwaltungsverfahren sind die Bestimmungen dieses Gesetzes anwendbar.
4	Die öffentlichen Register des Privatrechtsverkehrs, insbesondere der Zugang zu diesen Registern und die Rechte der betroffenen Personen, werden durch die Spezialbestimmungen des anwendbaren Bundesrechts geregelt. Enthalten die Spezialbestimmungen keine Regelung, so ist dieses Gesetz anwendbar.

DSG bestimmt, dass das DSG unter anderem nicht auf Verfahren der internationalen Rechtshilfe sowie auf staats- und verwaltungsrechtliche Verfahren anwendbar ist, mit Ausnahme erstinstanzlicher Verwaltungsverfahren. Das Bundesverwaltungsgericht hielt seinerzeit dazu fest, dass diese Sonderregelung auf der Idee beruhe, dass in den in Art. 2 Abs. 2 Bst. c

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 2 Persönlicher und sachlicher Geltungsbereich - 1 Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
1	Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
a	private Personen;
b	Bundesorgane.
2	Es ist nicht anwendbar auf:
a	Personendaten, die von einer natürlichen Person ausschliesslich zum persönlichen Gebrauch bearbeitet werden;
b	Personendaten, die von den eidgenössischen Räten und den parlamentarischen Kommissionen im Rahmen ihrer Beratungen bearbeitet werden;
c	Personendaten, die bearbeitet werden durch institutionelle Begünstigte nach Artikel 2 Absatz 1 des Gaststaatgesetzes vom 22. Juni 20073, die in der Schweiz Immunität von der Gerichtsbarkeit geniessen.
3	Das anwendbare Verfahrensrecht regelt die Bearbeitung von Personendaten und die Rechte der betroffenen Personen in Gerichtsverfahren und in Verfahren nach bundesrechtlichen Verfahrensordnungen. Auf erstinstanzliche Verwaltungsverfahren sind die Bestimmungen dieses Gesetzes anwendbar.
4	Die öffentlichen Register des Privatrechtsverkehrs, insbesondere der Zugang zu diesen Registern und die Rechte der betroffenen Personen, werden durch die Spezialbestimmungen des anwendbaren Bundesrechts geregelt. Enthalten die Spezialbestimmungen keine Regelung, so ist dieses Gesetz anwendbar.

DSG geregelten Bereichen der Persönlichkeitsschutz durch spezialgesetzliche Verfahrensnormen hinreichend gesichert sei. Nach der Rechtsprechung des Bundesgerichts gelte dies für den Bereich der Amtshilfe allerdings nicht im gleichen Masse. Die Amtshilfe könne demnach diesbezüglich nicht einfach aus Praktikabilitätsgründen mit der internationalen Rechtshilfe in Zivil- und Strafsachen gleichgesetzt werden (BGE 126 II 126 E. 5a/aa zur Amtshilfe im Bereich des Börsenrechts). Die in jenen Verfahren anwendbaren Bestimmungen sahen keinen weitreichenden Persönlichkeitsschutz vor, weshalb das Bundesverwaltungsgericht zum Schluss kam, das DSG sei im Bereich der Amtshilfe grundsätzlich anwendbar (statt vieler: Urteil des BVGer A 6242/2010 vom 11. Juli 2011 E. 10.2).

3.2.2 Im vorliegenden Verfahren gelten andere Rechtsgrundlagen als jene, aufgrund deren die eben erwähnten Urteile des Bundesverwaltungsgerichts ergingen. Jenen lagen das Abkommen vom 19. August 2009 zwischen der Schweizerischen Eidgenossenschaft und den Vereinigten Staaten von Amerika über ein Amtshilfegesuch des Internal Revenue Service der Vereinigten Staaten von Amerika betreffend UBS AG, einer nach schweizerischem Recht errichteten Aktiengesellschaft (in der von der Bundesversammlung am 17. Juni 2010 genehmigten Fassung, SR 0.672.933.612) - wobei das Abkommen vom 2. Oktober 1996 zwischen der Schweizerischen Eidgenossenschaft und den Vereinigten Staaten von Amerika zur Vermeidung der Doppelbesteuerung auf dem Gebiete der Steuern vom Einkommen (SR 0.672.933.61, nachfolgend: DBA-USA 96) anwendbar war, soweit das Abkommen keine abweichenden Bestimmungen enthielt (vgl. BVGE 2010/40 E. 6.2.2) - und die Verordnung vom 15. Juni 1998 zum schweizerisch-amerikanischen Doppelbesteuerungsabkommen vom 2. Oktober 1996 (SR 672.933.61) zugrunde, während im vorliegenden Verfahren das DBA-USA 96 in seiner ursprünglichen Fassung sowie das StAhiG anwendbar sind. Das DBA-USA 96 enthält soweit hier interessierend
- keine Datenschutzbestimmungen. Die Frage, wie mit den - nun einmal - erhobenen Daten innerstaatlich umzugehen ist, beantwortet sich mangels Bestimmungen im DBA-USA 96 somit einzig nach dem innerstaatlichen Recht. Im StAhiG finden sich datenschutzrechtliche Bestimmungen. So ist insbesondere die Übermittlung von Informationen zu Personen, die nicht vom Ersuchen betroffen sind, unzulässig (Art. 4 Abs. 3

SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz StAhiG Art. 4 Grundsätze - 1 ...11
1	...11
2	Das Amtshilfeverfahren wird zügig durchgeführt.
3	Die Übermittlung von Informationen zu Personen, die nicht betroffene Personen sind, ist unzulässig, wenn diese Informationen für die Beurteilung der Steuersituation der betroffenen Person nicht voraussichtlich relevant sind oder wenn berechtigte Interessen von Personen, die nicht betroffene Personen sind, das Interesse der ersuchenden Seite an der Übermittlung der Informationen überwiegen.12

StAhiG). Es fragt sich daher, ob an der genannten Rechtsprechung, dass das Datenschutzgesetz im Bereich der Amtshilfe grundsätzlich anwendbar ist, festgehalten werden kann.

3.2.3 Die genannten Bestimmungen des StAhiG regeln den Datenschutz in der Steueramtshilfe nur punktuell. Der so gewährte Schutz ist keinesfalls umfassend. Insbesondere fehlen Bestimmungen, die auf die vorliegend gestellten Fragen angewendet werden könnten, nämlich dazu, ob Daten wie die vorliegenden aufzubewahren oder zu vernichten seien und, wenn aufzubewahren, durch wen. Entgegen der Auffassung der Beschwerdeführenden kann aus Art. 8 Abs. 2

SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz StAhiG Art. 8 Grundsätze - 1 Zur Beschaffung von Informationen dürfen nur Massnahmen durchgeführt werden, die nach schweizerischem Recht zur Veranlagung und Durchsetzung der Steuern, die Gegenstand des Ersuchens sind, durchgeführt werden könnten.
1	Zur Beschaffung von Informationen dürfen nur Massnahmen durchgeführt werden, die nach schweizerischem Recht zur Veranlagung und Durchsetzung der Steuern, die Gegenstand des Ersuchens sind, durchgeführt werden könnten.
2	Informationen, die sich im Besitz einer Bank, eines anderen Finanzinstituts, einer beauftragten oder bevollmächtigten Person, einer Treuhänderin oder eines Treuhänders befinden oder die sich auf Beteiligungen an einer Person beziehen, können verlangt werden, wenn das anwendbare Abkommen ihre Übermittlung vorsieht.
3	Die ESTV wendet sich zur Beschaffung der Informationen an die Personen und Behörden nach den Artikeln 9-12, von denen sie annehmen kann, dass sie über die Informationen verfügen.
4	Die ersuchende Behörde hat keinen Anspruch auf Akteneinsicht oder Anwesenheit bei den Verfahrenshandlungen in der Schweiz.
5	Die Kosten aus der Informationsbeschaffung werden nicht erstattet.
6	Anwältinnen und Anwälte, die nach dem Anwaltsgesetz vom 23. Juni 200023 (BGFA) zur Vertretung vor schweizerischen Gerichten berechtigt sind, können die Herausgabe von Unterlagen und Informationen verweigern, die durch das Anwaltsgeheimnis geschützt sind.

StAhiG nicht der Umkehrschluss gezogen werden, dass zu Unrecht erhobene Daten den dort genannten Instituten wieder zurückzugeben seien; dieser Absatz befasst sich nur mit der Informationsbeschaffung, nicht mit der Rückgabe von Daten. Die Beschwerdeführenden selbst beziehen sich andernorts auf das DSG. Dieses enthält - im Gegensatz zum StAhiG - Bestimmungen zu den von ihnen aufgeworfenen Fragen. Ob das StAhiG oder das DSG vorgeht - entsprechend dem Grundsatz, dass das DSG anderen Erlassen mit Datenschutzbestimmungen vorgeht, es sei denn, diese enthielten strengere Bestimmungen (Maurer-Lambrou/Kunz, in: Basler Kommentar, Datenschutzgesetz, 3. Aufl. 2014, Art. 2

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 2 Persönlicher und sachlicher Geltungsbereich - 1 Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
1	Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
a	private Personen;
b	Bundesorgane.
2	Es ist nicht anwendbar auf:
a	Personendaten, die von einer natürlichen Person ausschliesslich zum persönlichen Gebrauch bearbeitet werden;
b	Personendaten, die von den eidgenössischen Räten und den parlamentarischen Kommissionen im Rahmen ihrer Beratungen bearbeitet werden;
c	Personendaten, die bearbeitet werden durch institutionelle Begünstigte nach Artikel 2 Absatz 1 des Gaststaatgesetzes vom 22. Juni 20073, die in der Schweiz Immunität von der Gerichtsbarkeit geniessen.
3	Das anwendbare Verfahrensrecht regelt die Bearbeitung von Personendaten und die Rechte der betroffenen Personen in Gerichtsverfahren und in Verfahren nach bundesrechtlichen Verfahrensordnungen. Auf erstinstanzliche Verwaltungsverfahren sind die Bestimmungen dieses Gesetzes anwendbar.
4	Die öffentlichen Register des Privatrechtsverkehrs, insbesondere der Zugang zu diesen Registern und die Rechte der betroffenen Personen, werden durch die Spezialbestimmungen des anwendbaren Bundesrechts geregelt. Enthalten die Spezialbestimmungen keine Regelung, so ist dieses Gesetz anwendbar.

DSG N. 2, nachfolgend: Kommentar DSG; vgl. auch BGE 128 II 311 E. 8.4) - muss vorliegend somit nicht
geklärt werden. Dazu kommt, dass das Amtshilfeverfahren als solches in dem Sinn abgeschlossen ist, dass keine Amtshilfe gewährt wird (...). Im konkreten Fall stehen damit auch Einschränkungen, welche die Natur eines Amtshilfeverfahrens beim Datenschutz allenfalls zulässt, nicht entgegen.

3.2.4 Schliesslich stellt sich die hier interessierende Frage in einem erstinstanzlichen Verwaltungsverfahren, weshalb das DSG aufgrund der doppelten Ausnahmeklausel in Art. 2 Abs. 2 Bst. c

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 2 Persönlicher und sachlicher Geltungsbereich - 1 Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
1	Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
a	private Personen;
b	Bundesorgane.
2	Es ist nicht anwendbar auf:
a	Personendaten, die von einer natürlichen Person ausschliesslich zum persönlichen Gebrauch bearbeitet werden;
b	Personendaten, die von den eidgenössischen Räten und den parlamentarischen Kommissionen im Rahmen ihrer Beratungen bearbeitet werden;
c	Personendaten, die bearbeitet werden durch institutionelle Begünstigte nach Artikel 2 Absatz 1 des Gaststaatgesetzes vom 22. Juni 20073, die in der Schweiz Immunität von der Gerichtsbarkeit geniessen.
3	Das anwendbare Verfahrensrecht regelt die Bearbeitung von Personendaten und die Rechte der betroffenen Personen in Gerichtsverfahren und in Verfahren nach bundesrechtlichen Verfahrensordnungen. Auf erstinstanzliche Verwaltungsverfahren sind die Bestimmungen dieses Gesetzes anwendbar.
4	Die öffentlichen Register des Privatrechtsverkehrs, insbesondere der Zugang zu diesen Registern und die Rechte der betroffenen Personen, werden durch die Spezialbestimmungen des anwendbaren Bundesrechts geregelt. Enthalten die Spezialbestimmungen keine Regelung, so ist dieses Gesetz anwendbar.

DSG anwendbar ist.

3.2.5 Die anstehenden Fragen sind somit aufgrund des DSG zu beantworten.

3.3

3.3.1 Das DSG dient dem verfassungsrechtlichen Schutz der Privatsphäre (vgl. Art. 1

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 1 Zweck - Dieses Gesetz bezweckt den Schutz der Persönlichkeit und der Grundrechte von natürlichen Personen, über die Personendaten bearbeitet werden.

DSG; Frank Seethaler, in: Kommentar DSG, Entstehungsgeschichte, N. 12 vor Art. 1

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 1 Zweck - Dieses Gesetz bezweckt den Schutz der Persönlichkeit und der Grundrechte von natürlichen Personen, über die Personendaten bearbeitet werden.

DSG; Rainer J. Schweizer, in: Die Schweizerische Bundesverfassung, St. Galler Kommentar, 2. Aufl. 2008, Art. 13 Abs. 2 Rz. 37). Personendaten beziehungsweise « Daten » im Sinn des Datenschutzgesetzes sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 3 Bst. a

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 3 Räumlicher Geltungsbereich - 1 Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
1	Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
2	Für privatrechtliche Ansprüche gilt das Bundesgesetz vom 18. Dezember 19874 über das Internationale Privatrecht. Vorbehalten bleiben zudem die Bestimmungen zum räumlichen Geltungsbereich des Strafgesetzbuchs5.

DSG; vgl. BGE 136 II 508 E. 3.2 m.H.). Dabei kann es sich sowohl um Tatsachenfeststellungen als auch um Werturteile handeln. Entscheidend ist, dass sich die Angaben einer oder mehreren bestimmten Personen zuordnen lassen (vgl. Gabor P. Blechta, in: Kommentar DSG, Art. 3

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 3 Räumlicher Geltungsbereich - 1 Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
1	Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
2	Für privatrechtliche Ansprüche gilt das Bundesgesetz vom 18. Dezember 19874 über das Internationale Privatrecht. Vorbehalten bleiben zudem die Bestimmungen zum räumlichen Geltungsbereich des Strafgesetzbuchs5.

DSG N. 4).

« Bearbeiten » bedeutet laut Datenschutzgesetz jeder Umgang mit Personendaten, insbesondere das Beschaffen, Aufbewahren, Verwenden und Bekanntgeben von Daten (Art. 3 Bst. e

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 3 Räumlicher Geltungsbereich - 1 Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
1	Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
2	Für privatrechtliche Ansprüche gilt das Bundesgesetz vom 18. Dezember 19874 über das Internationale Privatrecht. Vorbehalten bleiben zudem die Bestimmungen zum räumlichen Geltungsbereich des Strafgesetzbuchs5.

DSG).

3.3.2 Die Bearbeitung von Personendaten muss rechtmässig sein (Art. 4 Abs. 1

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 4 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter - 1 Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
1	Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
2	Von der Aufsicht durch den EDÖB sind ausgenommen:
a	die Bundesversammlung;
b	der Bundesrat;
c	die eidgenössischen Gerichte;
d	die Bundesanwaltschaft: betreffend die Bearbeitung von Personendaten im Rahmen von Strafverfahren;
e	Bundesbehörden: betreffend die Bearbeitung von Personendaten im Rahmen einer rechtsprechenden Tätigkeit oder von Verfahren der internationalen Rechtshilfe in Strafsachen.

DSG). Organe des Bundes dürfen laut dem DSG Personendaten bearbeiten und bekanntgeben, wenn dafür eine gesetzliche Grundlage besteht; besonders schützenswerte Personendaten dürfen sie nur dann bearbeiten, wenn ein Gesetz im formellen Sinn dies ausdrücklich vorsieht. Ist dies nicht der Fall, muss entweder a) die Bearbeitung für eine in einem formellen Gesetz klar umschriebene Aufgabe unentbehrlich sein oder b) der Bundesrat die Bearbeitung bewilligt haben, weil die Rechte der betroffenen Personen nicht gefährdet sind, oder c) die betroffene Person im Einzelfall eingewilligt oder ihre Daten allgemein zugänglich gemacht haben (Art. 17 Abs. 1

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 17 Ausnahmen - 1 Abweichend von Artikel 16 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden:
1	Abweichend von Artikel 16 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden:
a	Die betroffene Person hat ausdrücklich in die Bekanntgabe eingewilligt.
b	Die Bekanntgabe steht in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags:
b1	zwischen dem Verantwortlichen und der betroffenen Person; oder
b2	zwischen dem Verantwortlichen und seiner Vertragspartnerin oder seinem Vertragspartner im Interesse der betroffenen Person.
c	Die Bekanntgabe ist notwendig für:
c1	die Wahrung eines überwiegenden öffentlichen Interesses; oder
c2	die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor einem Gericht oder einer anderen zuständigen ausländischen Behörde.
d	Die Bekanntgabe ist notwendig, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu schützen, und es ist nicht möglich, innerhalb einer angemessenen Frist die Einwilligung der betroffenen Person einzuholen.
e	Die betroffene Person hat die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt.
f	Die Daten stammen aus einem gesetzlich vorgesehenen Register, das öffentlich oder Personen mit einem schutzwürdigen Interesse zugänglich ist, soweit im Einzelfall die gesetzlichen Voraussetzungen der Einsichtnahme erfüllt sind.
2	Der Verantwortliche oder der Auftragsbearbeiter informiert den EDÖB auf Anfrage über die Bekanntgabe von Personendaten nach Absatz 1 Buchstaben b Ziffer 2, c und d.

und 2

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 17 Ausnahmen - 1 Abweichend von Artikel 16 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden:
1	Abweichend von Artikel 16 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden:
a	Die betroffene Person hat ausdrücklich in die Bekanntgabe eingewilligt.
b	Die Bekanntgabe steht in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags:
b1	zwischen dem Verantwortlichen und der betroffenen Person; oder
b2	zwischen dem Verantwortlichen und seiner Vertragspartnerin oder seinem Vertragspartner im Interesse der betroffenen Person.
c	Die Bekanntgabe ist notwendig für:
c1	die Wahrung eines überwiegenden öffentlichen Interesses; oder
c2	die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor einem Gericht oder einer anderen zuständigen ausländischen Behörde.
d	Die Bekanntgabe ist notwendig, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu schützen, und es ist nicht möglich, innerhalb einer angemessenen Frist die Einwilligung der betroffenen Person einzuholen.
e	Die betroffene Person hat die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt.
f	Die Daten stammen aus einem gesetzlich vorgesehenen Register, das öffentlich oder Personen mit einem schutzwürdigen Interesse zugänglich ist, soweit im Einzelfall die gesetzlichen Voraussetzungen der Einsichtnahme erfüllt sind.
2	Der Verantwortliche oder der Auftragsbearbeiter informiert den EDÖB auf Anfrage über die Bekanntgabe von Personendaten nach Absatz 1 Buchstaben b Ziffer 2, c und d.

i.V.m. Art. 19

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 19 Informationspflicht bei der Beschaffung von Personendaten - 1 Der Verantwortliche informiert die betroffene Person angemessen über die Beschaffung von Personendaten; diese Informationspflicht gilt auch, wenn die Daten nicht bei der betroffenen Person beschafft werden.
1	Der Verantwortliche informiert die betroffene Person angemessen über die Beschaffung von Personendaten; diese Informationspflicht gilt auch, wenn die Daten nicht bei der betroffenen Person beschafft werden.
2	Er teilt der betroffenen Person bei der Beschaffung diejenigen Informationen mit, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist; er teilt ihr mindestens mit:
a	die Identität und die Kontaktdaten des Verantwortlichen;
b	den Bearbeitungszweck;
c	gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden.
3	Werden die Daten nicht bei der betroffenen Person beschafft, so teilt er ihr zudem die Kategorien der bearbeiteten Personendaten mit.
4	Werden die Personendaten ins Ausland bekanntgegeben, so teilt er der betroffenen Person auch den Staat oder das internationale Organ und gegebenenfalls die Garantien nach Artikel 16 Absatz 2 oder die Anwendung einer Ausnahme nach Artikel 17 mit.
5	Werden die Daten nicht bei der betroffenen Person beschafft, so teilt er ihr die Informationen nach den Absätzen 2-4 spätestens einen Monat, nachdem er die Daten erhalten hat, mit. Gibt der Verantwortliche die Personendaten vor Ablauf dieser Frist bekannt, so informiert er die betroffene Person spätestens im Zeitpunkt der Bekanntgabe.

DSG; Urteil des BVGer B 3588/2012 vom 15. Oktober 2014 E. 6.5.1).

3.3.3 Unrechtmässig bearbeitete Personendaten sind gestützt auf Art. 4

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 4 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter - 1 Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
1	Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
2	Von der Aufsicht durch den EDÖB sind ausgenommen:
a	die Bundesversammlung;
b	der Bundesrat;
c	die eidgenössischen Gerichte;
d	die Bundesanwaltschaft: betreffend die Bearbeitung von Personendaten im Rahmen von Strafverfahren;
e	Bundesbehörden: betreffend die Bearbeitung von Personendaten im Rahmen einer rechtsprechenden Tätigkeit oder von Verfahren der internationalen Rechtshilfe in Strafsachen.

, 5 Abs. 1

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 5 Begriffe - In diesem Gesetz bedeuten:
a	Personendaten: alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen;
b	betroffene Person: natürliche Person, über die Personendaten bearbeitet werden;
c	besonders schützenswerte Personendaten:
c1	Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten,
c2	Daten über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie,
c3	genetische Daten,
c4	biometrische Daten, die eine natürliche Person eindeutig identifizieren,
c5	Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen,
c6	Daten über Massnahmen der sozialen Hilfe;
d	Bearbeiten: jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten;
e	Bekanntgeben: das Übermitteln oder Zugänglichmachen von Personendaten;
f	Profiling: jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;
g	Profiling mit hohem Risiko: Profiling, das ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt, indem es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt;
h	Verletzung der Datensicherheit: eine Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden;
i	Bundesorgan: Behörde oder Dienststelle des Bundes oder Person, die mit öffentlichen Aufgaben des Bundes betraut ist;
j	Verantwortlicher: private Person oder Bundesorgan, die oder das allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet;
k	Auftragsbearbeiter: private Person oder Bundesorgan, die oder das im Auftrag des Verantwortlichen Personendaten bearbeitet.

und Art. 25 Abs. 3 Bst. a

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 25 Auskunftsrecht - 1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
1	Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
2	Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt:
a	die Identität und die Kontaktdaten des Verantwortlichen;
b	die bearbeiteten Personendaten als solche;
c	der Bearbeitungszweck;
d	die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
e	die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
f	gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
g	gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.
3	Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.
4	Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig.
5	Niemand kann im Voraus auf das Auskunftsrecht verzichten.
6	Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist.
7	Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt.

DSG zu vernichten. Ihrer Vernichtung stehen die Archivierungsvorschriften des Bundes nicht entgegen. Art. 21 Abs. 1

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 21 Informationspflicht bei einer automatisierten Einzelentscheidung - 1 Der Verantwortliche informiert die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (automatisierte Einzelentscheidung).
1	Der Verantwortliche informiert die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (automatisierte Einzelentscheidung).
2	Er gibt der betroffenen Person auf Antrag die Möglichkeit, ihren Standpunkt darzulegen. Die betroffene Person kann verlangen, dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird.
3	Die Absätze 1 und 2 gelten nicht, wenn:
a	die automatisierte Einzelentscheidung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags zwischen dem Verantwortlichen und der betroffenen Person steht und ihrem Begehren stattgegeben wird; oder
b	die betroffene Person ausdrücklich eingewilligt hat, dass die Entscheidung automatisiert erfolgt.
4	Ergeht die automatisierte Einzelentscheidung durch ein Bundesorgan, so muss es die Entscheidung entsprechend kennzeichnen. Absatz 2 ist nicht anwendbar, wenn die betroffene Person nach Artikel 30 Absatz 2 des Verwaltungsverfahrensgesetzes vom 20. Dezember 19686 (VwVG) oder nach einem anderen Bundesgesetz vor dem Entscheid nicht angehört werden muss.

DSG sieht nämlich lediglich vor, dass Bundesorgane dem Bundesarchiv in Übereinstimmung mit dem BGA alle Personendaten anzubieten haben, die sie nicht mehr ständig benötigen (vgl. auch die entsprechenden Bestimmungen von Art. 6

SR 152.1 Bundesgesetz vom 26. Juni 1998 über die Archivierung (Archivierungsgesetz, BGA) - Archivierungsgesetz BGA Art. 6 Anbietepflicht - Die in Artikel 1 Absatz 1 bezeichneten Stellen oder Personen müssen alle Unterlagen, die sie nicht mehr ständig benötigen, dem Bundesarchiv zur Übernahme anbieten, soweit sie nicht selbst für deren Archivierung zuständig sind.

und 8 Abs. 1

SR 152.1 Bundesgesetz vom 26. Juni 1998 über die Archivierung (Archivierungsgesetz, BGA) - Archivierungsgesetz BGA Art. 8 Vernichtung von Unterlagen - 1 Unterlagen, die unter die Anbietepflicht fallen, dürfen ohne Zustimmung des Bundesarchivs nicht vernichtet werden.
1	Unterlagen, die unter die Anbietepflicht fallen, dürfen ohne Zustimmung des Bundesarchivs nicht vernichtet werden.
2	Das Bundesarchiv vernichtet keine Unterlagen ohne Zustimmung der abliefernden Stelle.

BGA). Erfasst sind mit anderen Worten nur Personendaten, deren Bearbeitung bis anhin rechtmässig war, nicht aber Personendaten, deren Bearbeitung (Beschaffung) von Anfang an widerrechtlich war (Robert Bühler, in: Kommentar DSG, Art. 21

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 21 Informationspflicht bei einer automatisierten Einzelentscheidung - 1 Der Verantwortliche informiert die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (automatisierte Einzelentscheidung).
1	Der Verantwortliche informiert die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (automatisierte Einzelentscheidung).
2	Er gibt der betroffenen Person auf Antrag die Möglichkeit, ihren Standpunkt darzulegen. Die betroffene Person kann verlangen, dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird.
3	Die Absätze 1 und 2 gelten nicht, wenn:
a	die automatisierte Einzelentscheidung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags zwischen dem Verantwortlichen und der betroffenen Person steht und ihrem Begehren stattgegeben wird; oder
b	die betroffene Person ausdrücklich eingewilligt hat, dass die Entscheidung automatisiert erfolgt.
4	Ergeht die automatisierte Einzelentscheidung durch ein Bundesorgan, so muss es die Entscheidung entsprechend kennzeichnen. Absatz 2 ist nicht anwendbar, wenn die betroffene Person nach Artikel 30 Absatz 2 des Verwaltungsverfahrensgesetzes vom 20. Dezember 19686 (VwVG) oder nach einem anderen Bundesgesetz vor dem Entscheid nicht angehört werden muss.

DSG N. 8; Urteil des BVGer A 6067/2008 vom 30. März 2009 E. 5.3; vgl. dazu auch Urteil des BGer 1A.6/2001 vom 2. Mai 2001 E. 2). Allerdings prüft das Bundesarchiv selbst nicht, ob die Daten rechtmässig erhoben wurden (Bühler, a.a.O., Art. 21

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 21 Informationspflicht bei einer automatisierten Einzelentscheidung - 1 Der Verantwortliche informiert die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (automatisierte Einzelentscheidung).
1	Der Verantwortliche informiert die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (automatisierte Einzelentscheidung).
2	Er gibt der betroffenen Person auf Antrag die Möglichkeit, ihren Standpunkt darzulegen. Die betroffene Person kann verlangen, dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird.
3	Die Absätze 1 und 2 gelten nicht, wenn:
a	die automatisierte Einzelentscheidung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags zwischen dem Verantwortlichen und der betroffenen Person steht und ihrem Begehren stattgegeben wird; oder
b	die betroffene Person ausdrücklich eingewilligt hat, dass die Entscheidung automatisiert erfolgt.
4	Ergeht die automatisierte Einzelentscheidung durch ein Bundesorgan, so muss es die Entscheidung entsprechend kennzeichnen. Absatz 2 ist nicht anwendbar, wenn die betroffene Person nach Artikel 30 Absatz 2 des Verwaltungsverfahrensgesetzes vom 20. Dezember 19686 (VwVG) oder nach einem anderen Bundesgesetz vor dem Entscheid nicht angehört werden muss.

DSG N. 9).

3.3.4 Vernichtung von unrechtmässig bearbeiteten Daten bedeutet, dass diese unwiederbringlich zerstört und irreversibel entfernt werden müssen (Bühler, a.a.O., Art. 21

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 21 Informationspflicht bei einer automatisierten Einzelentscheidung - 1 Der Verantwortliche informiert die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (automatisierte Einzelentscheidung).
1	Der Verantwortliche informiert die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (automatisierte Einzelentscheidung).
2	Er gibt der betroffenen Person auf Antrag die Möglichkeit, ihren Standpunkt darzulegen. Die betroffene Person kann verlangen, dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird.
3	Die Absätze 1 und 2 gelten nicht, wenn:
a	die automatisierte Einzelentscheidung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags zwischen dem Verantwortlichen und der betroffenen Person steht und ihrem Begehren stattgegeben wird; oder
b	die betroffene Person ausdrücklich eingewilligt hat, dass die Entscheidung automatisiert erfolgt.
4	Ergeht die automatisierte Einzelentscheidung durch ein Bundesorgan, so muss es die Entscheidung entsprechend kennzeichnen. Absatz 2 ist nicht anwendbar, wenn die betroffene Person nach Artikel 30 Absatz 2 des Verwaltungsverfahrensgesetzes vom 20. Dezember 19686 (VwVG) oder nach einem anderen Bundesgesetz vor dem Entscheid nicht angehört werden muss.

DSG N. 14). Bei Daten auf Papier ist dieses zu schreddern oder zu verbrennen und es ist sicherzustellen, dass Dritte keinen Zugang zu den « Relikten » erhalten (Bühler, a.a.O., Art. 21

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 21 Informationspflicht bei einer automatisierten Einzelentscheidung - 1 Der Verantwortliche informiert die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (automatisierte Einzelentscheidung).
1	Der Verantwortliche informiert die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (automatisierte Einzelentscheidung).
2	Er gibt der betroffenen Person auf Antrag die Möglichkeit, ihren Standpunkt darzulegen. Die betroffene Person kann verlangen, dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird.
3	Die Absätze 1 und 2 gelten nicht, wenn:
a	die automatisierte Einzelentscheidung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags zwischen dem Verantwortlichen und der betroffenen Person steht und ihrem Begehren stattgegeben wird; oder
b	die betroffene Person ausdrücklich eingewilligt hat, dass die Entscheidung automatisiert erfolgt.
4	Ergeht die automatisierte Einzelentscheidung durch ein Bundesorgan, so muss es die Entscheidung entsprechend kennzeichnen. Absatz 2 ist nicht anwendbar, wenn die betroffene Person nach Artikel 30 Absatz 2 des Verwaltungsverfahrensgesetzes vom 20. Dezember 19686 (VwVG) oder nach einem anderen Bundesgesetz vor dem Entscheid nicht angehört werden muss.

DSG N. 15). Schwieriger gestaltet sich die Datenzerstörung bei elektronischen Daten. Hier ist nicht nur wesentlich, wie diese Daten bei der Behörde gespeichert wurden, sondern bereits, wie die Behörde diese erhalten hat. Wurden die Daten mittels einer CD oder eines USB-Sticks der Behörde übermittelt, muss einerseits der Datenträger mittels Durchbohrung oder Durchlochung unbrauchbar gemacht werden und andererseits sind alle Kopien (inkl. sämtliche Back-ups) so zu behandeln, dass die Daten auch nicht mehr lesbar gemacht werden können. Bei Daten, die der Behörde im Anhang zu einer E-Mail übermittelt worden sind, müssen auch allfällige Zwischenspeicherungen dieser E-Mail vernichtet werden. Da sich die Speicherungstechnik laufend ändert, sind an die Vernichtung hohe Anforderungen zu stellen. Übliche Löschbefehle oder eine reine Umformatierung stellen kein
Vernichten im datenschutzrechtlichen Sinn dar (Bühler, a.a.O., Art. 21

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 21 Informationspflicht bei einer automatisierten Einzelentscheidung - 1 Der Verantwortliche informiert die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (automatisierte Einzelentscheidung).
1	Der Verantwortliche informiert die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (automatisierte Einzelentscheidung).
2	Er gibt der betroffenen Person auf Antrag die Möglichkeit, ihren Standpunkt darzulegen. Die betroffene Person kann verlangen, dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird.
3	Die Absätze 1 und 2 gelten nicht, wenn:
a	die automatisierte Einzelentscheidung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags zwischen dem Verantwortlichen und der betroffenen Person steht und ihrem Begehren stattgegeben wird; oder
b	die betroffene Person ausdrücklich eingewilligt hat, dass die Entscheidung automatisiert erfolgt.
4	Ergeht die automatisierte Einzelentscheidung durch ein Bundesorgan, so muss es die Entscheidung entsprechend kennzeichnen. Absatz 2 ist nicht anwendbar, wenn die betroffene Person nach Artikel 30 Absatz 2 des Verwaltungsverfahrensgesetzes vom 20. Dezember 19686 (VwVG) oder nach einem anderen Bundesgesetz vor dem Entscheid nicht angehört werden muss.

DSG N. 14), ebenso wenig die Sperrung von Zugangspasswörtern.

3.4 Im Folgenden ist somit in Bezug auf den vorliegenden Fall zuerst festzustellen, ob die Daten rechtmässig erhoben wurden (E. 3.4.1) und je nach Resultat, wie weiter zu verfahren ist (E. 3.4.2).

Vorauszuschicken bleibt, dass es sich bei den durch die ESTV bei der betroffenen Bank angeforderten Angaben um Daten im Sinn des DSG handelt - bei einem Teil davon allenfalls sogar um besonders schützenswerte Personendaten nach Art. 3 Bst. c

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 3 Räumlicher Geltungsbereich - 1 Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
1	Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
2	Für privatrechtliche Ansprüche gilt das Bundesgesetz vom 18. Dezember 19874 über das Internationale Privatrecht. Vorbehalten bleiben zudem die Bestimmungen zum räumlichen Geltungsbereich des Strafgesetzbuchs5.

DSG - und dass auch das Aufbewahren von Daten eine Bearbeitung im Sinn des DSG ist (E. 3.3.1).

3.4.1

3.4.1.1 Sowohl das DBA-USA 96 als auch das StAhiG sehen vor, dass im Rahmen eines Amtshilfeverfahrens Daten über die betroffenen Personen erhoben werden dürfen. Dies wird auch von den Beschwerdeführenden nicht in Frage gestellt. Mit Art. 26 Ziff. 1

IR 0.672.933.61 Abkommen vom 2. Oktober 1996 zwischen der Schweizerischen Eidgenossenschaft und den Vereinigten Staaten von Amerika zur Vermeidung der Doppelbesteuerung auf dem Gebiet der Steuern vom Einkommen (mit Prot., Verständigungsvereinbarung und Anhang) DBA-USA Art. 26 Informationsaustausch - 1. Die zuständigen Behörden der Vertragsstaaten tauschen die Informationen aus, die zur Durchführung dieses Abkommens oder zur Anwendung oder Durchsetzung des innerstaatlichen Rechts betreffend die unter das Abkommen fallenden Steuern erheblich sein können, soweit die diesem Recht entsprechende Besteuerung nicht dem Abkommen widerspricht. Der Informationsaustausch ist durch Artikel 1 nicht eingeschränkt.
1	Die zuständigen Behörden der Vertragsstaaten tauschen die Informationen aus, die zur Durchführung dieses Abkommens oder zur Anwendung oder Durchsetzung des innerstaatlichen Rechts betreffend die unter das Abkommen fallenden Steuern erheblich sein können, soweit die diesem Recht entsprechende Besteuerung nicht dem Abkommen widerspricht. Der Informationsaustausch ist durch Artikel 1 nicht eingeschränkt.
2	Alle Informationen, die ein Vertragsstaat nach Absatz 1 erhalten hat, sind ebenso geheim zu halten wie die aufgrund des innerstaatlichen Rechts dieses Staates beschafften Informationen und dürfen nur den Personen oder Behörden (einschliesslich der Gerichte und der Verwaltungsbehörden) zugänglich gemacht werden, die mit der Anwendung, Veranlagung oder der Erhebung, mit der Vollstreckung oder der Strafverfolgung oder mit der Entscheidung von Rechtsmitteln hinsichtlich der Steuern im Sinne von Absatz 1 oder mit der Aufsicht über diese Funktionen befasst sind. Diese Personen oder Behörden dürfen die Informationen nur für diese Zwecke verwenden. Sie dürfen die Informationen in einem öffentlichen Gerichtsverfahren oder in einer Gerichtsentscheidung offenlegen. Ungeachtet der vorstehenden Bestimmungen kann ein Vertragsstaat die erhaltenen Informationen für andere Zwecke verwenden, wenn solche Informationen nach dem Recht beider Staaten für solche andere Zwecke verwendet werden dürfen und die
3	Die Absätze 1 und 2 sind nicht so auszulegen, als verpflichteten sie einen Vertragsstaat:
a	Verwaltungsmassnahmen durchzuführen, die von den Gesetzen und der Verwaltungspraxis dieses oder des anderen Vertragsstaates abweichen;
b	Informationen zu erteilen, die nach den Gesetzen oder im üblichen Verwaltungsverfahren dieses oder des anderen Vertragsstaates nicht beschafft werden können;
c	Informationen zu erteilen, die ein Handels-, Geschäfts-, Industrie-, Gewerbe- oder Berufsgeheimnis oder ein Geschäftsverfahren preisgeben würden oder deren Erteilung dem Ordre public widerspräche.
4	Ersucht ein Vertragsstaat gemäss diesem Artikel um Informationen, so nutzt der andere Vertragsstaat die ihm zur Verfügung stehenden Möglichkeiten zur Beschaffung der erbetenen Informationen, selbst wenn dieser andere Staat diese Informationen für seine eigenen steuerlichen Zwecke nicht benötigt. Die im vorhergehenden Satz enthaltene Verpflichtung unterliegt den Beschränkungen nach Absatz 3, wobei diese jedoch nicht so auszulegen sind, dass ein Vertragsstaat die Erteilung von Informationen nur deshalb ablehnen kann, weil er sie für innerstaatliche Zwecke nicht benötigt.
5	Absatz 3 ist in keinem Fall so auszulegen, als erlaube er einem Vertragsstaat, die Erteilung von Informationen nur deshalb abzulehnen, weil sich die Informationen im Besitz einer Bank, eines sonstigen Finanzinstituts, eines Bevollmächtigten, Beauftragten oder Treuhänders befinden oder weil sie sich auf Beteiligungen an einer Person beziehen. Ungeachtet von Absatz 3 oder entgegenstehender Bestimmungen des innerstaatlichen Rechts verfügen die Steuerbehörden des ersuchten Vertragsstaates, sofern dies für die Erfüllung der Verpflichtungen unter diesem Absatz erforderlich ist, über die Befugnis, die Offenlegung der in diesem Absatz genannten Informationen durchzusetzen.

DBA-USA 96 besteht eine zumindest implizite Grundlage zur Erhebung der Daten, denn Informationen (Daten) können nur übermittelt werden, wenn sie zuvor erhoben wurden. Die Datenerhebung ist damit für eine in einem formellen Gesetz - dem der Staatsvertrag gleichgestellt ist - klar umschriebene Aufgabe unentbehrlich (E. 3.3.2).

Eine explizite Grundlage für das Erheben der Daten findet sich überdies in Art. 8 ff

SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz StAhiG Art. 8 Grundsätze - 1 Zur Beschaffung von Informationen dürfen nur Massnahmen durchgeführt werden, die nach schweizerischem Recht zur Veranlagung und Durchsetzung der Steuern, die Gegenstand des Ersuchens sind, durchgeführt werden könnten.
1	Zur Beschaffung von Informationen dürfen nur Massnahmen durchgeführt werden, die nach schweizerischem Recht zur Veranlagung und Durchsetzung der Steuern, die Gegenstand des Ersuchens sind, durchgeführt werden könnten.
2	Informationen, die sich im Besitz einer Bank, eines anderen Finanzinstituts, einer beauftragten oder bevollmächtigten Person, einer Treuhänderin oder eines Treuhänders befinden oder die sich auf Beteiligungen an einer Person beziehen, können verlangt werden, wenn das anwendbare Abkommen ihre Übermittlung vorsieht.
3	Die ESTV wendet sich zur Beschaffung der Informationen an die Personen und Behörden nach den Artikeln 9-12, von denen sie annehmen kann, dass sie über die Informationen verfügen.
4	Die ersuchende Behörde hat keinen Anspruch auf Akteneinsicht oder Anwesenheit bei den Verfahrenshandlungen in der Schweiz.
5	Die Kosten aus der Informationsbeschaffung werden nicht erstattet.
6	Anwältinnen und Anwälte, die nach dem Anwaltsgesetz vom 23. Juni 200023 (BGFA) zur Vertretung vor schweizerischen Gerichten berechtigt sind, können die Herausgabe von Unterlagen und Informationen verweigern, die durch das Anwaltsgeheimnis geschützt sind.

. StAhiG. Diese genügt den Anforderungen von Art. 17 Abs. 1

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 17 Ausnahmen - 1 Abweichend von Artikel 16 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden:
1	Abweichend von Artikel 16 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden:
a	Die betroffene Person hat ausdrücklich in die Bekanntgabe eingewilligt.
b	Die Bekanntgabe steht in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags:
b1	zwischen dem Verantwortlichen und der betroffenen Person; oder
b2	zwischen dem Verantwortlichen und seiner Vertragspartnerin oder seinem Vertragspartner im Interesse der betroffenen Person.
c	Die Bekanntgabe ist notwendig für:
c1	die Wahrung eines überwiegenden öffentlichen Interesses; oder
c2	die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor einem Gericht oder einer anderen zuständigen ausländischen Behörde.
d	Die Bekanntgabe ist notwendig, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu schützen, und es ist nicht möglich, innerhalb einer angemessenen Frist die Einwilligung der betroffenen Person einzuholen.
e	Die betroffene Person hat die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt.
f	Die Daten stammen aus einem gesetzlich vorgesehenen Register, das öffentlich oder Personen mit einem schutzwürdigen Interesse zugänglich ist, soweit im Einzelfall die gesetzlichen Voraussetzungen der Einsichtnahme erfüllt sind.
2	Der Verantwortliche oder der Auftragsbearbeiter informiert den EDÖB auf Anfrage über die Bekanntgabe von Personendaten nach Absatz 1 Buchstaben b Ziffer 2, c und d.

sowie auch Abs. 2 DSG: Beim StAhiG handelt es sich um ein Gesetz im formellen Sinn. Es besteht somit grundsätzlich eine genügende gesetzliche Grundlage für die Erhebung von Daten im Amtshilfeverfahren.

3.4.1.2 Selbst wenn an sich eine genügende gesetzliche Grundlage für die Datenbearbeitung durch die ESTV vorgelegen hat, stellt sich weiter die Frage, ob die Datenbearbeitung im konkreten Fall rechtmässig war. Art. 4

SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz StAhiG Art. 4 Grundsätze - 1 ...11
1	...11
2	Das Amtshilfeverfahren wird zügig durchgeführt.
3	Die Übermittlung von Informationen zu Personen, die nicht betroffene Personen sind, ist unzulässig, wenn diese Informationen für die Beurteilung der Steuersituation der betroffenen Person nicht voraussichtlich relevant sind oder wenn berechtigte Interessen von Personen, die nicht betroffene Personen sind, das Interesse der ersuchenden Seite an der Übermittlung der Informationen überwiegen.12

StAhiG mit der Überschrift « Grundsätze » sieht in Abs. 1 vor, dass Amtshilfe ausschliesslich auf Ersuchen geleistet wird. In der Botschaft vom 6. Juli 2011 zum Erlass eines Steueramtshilfegesetzes wird festgehalten, dass diese Vorschrift unter anderem die spontane Amtshilfeleistung grundsätzlich ausschliesst (BBl 2011 6193 ff., 6204). Unter spontaner (internationaler) Amtshilfe ist die Informationsübermittlung an ausländische Behörden zu verstehen, die ohne oder ohne konkretes Ersuchen erfolgt (Urteile des BVGer A 1606/2014 vom 7. Oktober 2014 E. 3.4.1 und A 3098/2014 vom 18. September 2014 E. 3.1). Die Anforderung, dass ein Ersuchen der ausländischen Behörde vorliegen muss, erfüllt nicht jede beliebige Anfrage der ausländischen Behörde, sondern nur ein Ersuchen, welches die rechtlich vorgeschriebenen Voraussetzungen erfüllt.

Das Bundesverwaltungsgericht hat mit Urteil vom 7. Juli 2014 im Verfahren A 3395/2014 festgestellt, dass auf das Amtshilfegesuch des IRS vom 17. Juli 2013 nicht einzutreten sei (wobei auf die Begründung in Urteil A 5390/2013 verwiesen wurde, im Wesentlichen darauf, die im Indictment angeführten Sachverhalte würden den notwendigen Tatbestand « Betrugsdelikte und dergleichen » nicht erfüllen und der im Gesuch selber dargestellte Sachverhalt weise nicht denjenigen Detaillierungsgrad auf, der bei Gruppenersuchen, welche diesen Tatbestand betreffen, erforderlich sei; Urteil des BVGer A 3395/2014 E. c). Damit fehlt es bezüglich der in jenem Verfahren erhobenen Daten an einem - den gesetzlichen Anforderungen genügenden - Amtshilfegesuch. Weil das StAhiG, wie gesagt, die spontane Amtshilfe ausschliesst, hat dies zur Folge, dass die Erhebung dieser Daten widerrechtlich erfolgte.

3.4.1.3 Keine entscheidende Rolle spielt, dass die ESTV aufgrund ihrer damaligen Auslegung der gesetzlichen Bestimmungen und der Subsumtion zum Schluss kam, auf das Amtshilfegesuch sei einzutreten, und dass aus ihrer damaligen Sicht die Datenerhebung rechtmässig erfolgte. Aufgrund des Konzepts des Gesetzes findet die gerichtliche Überprüfung des Entscheids der ESTV, auf ein Amtshilfegesuch einzutreten, erst nach Erlass der Schlussverfügung statt (vgl. Art. 19 Abs. 1

SR 651.1 Bundesgesetz vom 28. September 2012 über die internationale Amtshilfe in Steuersachen (Steueramtshilfegesetz, StAhiG) - Steueramtshilfegesetz StAhiG Art. 19 Beschwerdeverfahren - 1 Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
1	Jede der Schlussverfügung vorangehende Verfügung, einschliesslich einer Verfügung über Zwangsmassnahmen, ist sofort vollstreckbar und kann nur zusammen mit der Schlussverfügung angefochten werden.
2	Zur Beschwerde berechtigt sind die betroffene Person sowie weitere Personen unter den Voraussetzungen von Artikel 48 VwVG40.
3	Die Beschwerde hat aufschiebende Wirkung. Artikel 55 Absätze 2-4 VwVG ist anwendbar.
4	Es findet grundsätzlich nur ein Schriftenwechsel statt.
5	Im Übrigen gelten die Bestimmungen über die Bundesrechtspflege.

StAhiG). Diese Konstruktion gereicht jedoch den Beschwerdeführenden rechtlich nicht zum Nachteil, wäre doch schon vor der Datenerhebung nicht auf das Amtshilfegesuch einzutreten gewesen und war die Datenbeschaffung somit im Augenblick, als sie stattfand - als allfällige Daten von der Bank übermittelt wurden -, bereits widerrechtlich.

3.4.2 Weil die Daten unrechtmässig beschafft wurden, sind sie nach dem zuvor Gesagten (E. 3.3.3) nicht dem Bundesarchiv anzubieten, sondern zu vernichten. Vorliegend haben die Beschwerdeführenden einen entsprechenden Antrag gestellt. Dieser ist nach Art. 25 Abs. 3 Bst. a

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 25 Auskunftsrecht - 1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
1	Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
2	Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt:
a	die Identität und die Kontaktdaten des Verantwortlichen;
b	die bearbeiteten Personendaten als solche;
c	der Bearbeitungszweck;
d	die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
e	die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
f	gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
g	gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.
3	Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.
4	Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig.
5	Niemand kann im Voraus auf das Auskunftsrecht verzichten.
6	Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist.
7	Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt.

DSG zulässig und somit gutzuheissen.

Was das Vorgehen bei der Vernichtung anbelangt, hat sich die ESTV an die in E. 3.3.4 dargelegten Überlegungen zu halten, insbesondere sind bei elektronischen Daten auch alle Back-ups so zu behandeln, dass nicht mehr auf sie zugegriffen werden kann. Falls die Daten lediglich auf einer CD oder einem USB-Stick gespeichert oder sogar in Papierform vorhanden sind - was aber gemäss den Kenntnissen des Bundesverwaltungsgerichts nicht der Fall ist, hatte es doch selber online auf die Akten mittels eines Passworts Zugriff -, spricht aus Sicht des Bundesverwaltungsgerichts nichts gegen deren Rückgabe an die Bank.

3.4.3 Der Eventualantrag der Beschwerdeführenden auf Datensperrung ist mit dem Urteil A 3395/2014 gegenstandslos geworden, weil dadurch bereits entschieden wurde, dass dem IRS in Zusammenhang mit dem Amtshilfeersuchen vom 17. April 2013 keine Daten der Beschwerdeführenden übermittelt werden dürfen. Aus diesem Grund muss auch nicht mehr auf die von den Parteien vorgebrachten Argumente zu den Auswirkungen des Devolutiveffekts der ergriffenen Rechtsmittel auf die beantragte Datensperre eingegangen werden.

3.5 In Bezug auf die datenschutzrechtliche Frage ist die Beschwerde somit gutzuheissen, soweit sie nicht gegenstandslos geworden ist.

3.6 In diesem Punkt obsiegen die Beschwerdeführenden. Ihnen und der Vorinstanz sind insoweit keine Verfahrenskosten aufzuerlegen (Art. 63

SR 172.021 Bundesgesetz vom 20. Dezember 1968 über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG) - Verwaltungsverfahrensgesetz VwVG Art. 63 - 1 Die Beschwerdeinstanz auferlegt in der Entscheidungsformel die Verfahrenskosten, bestehend aus Spruchgebühr, Schreibgebühren und Barauslagen, in der Regel der unterliegenden Partei. Unterliegt diese nur teilweise, so werden die Verfahrenskosten ermässigt. Ausnahmsweise können sie ihr erlassen werden.
1	Die Beschwerdeinstanz auferlegt in der Entscheidungsformel die Verfahrenskosten, bestehend aus Spruchgebühr, Schreibgebühren und Barauslagen, in der Regel der unterliegenden Partei. Unterliegt diese nur teilweise, so werden die Verfahrenskosten ermässigt. Ausnahmsweise können sie ihr erlassen werden.
2	Keine Verfahrenskosten werden Vorinstanzen oder beschwerdeführenden und unterliegenden Bundesbehörden auferlegt; anderen als Bundesbehörden, die Beschwerde führen und unterliegen, werden Verfahrenskosten auferlegt, soweit sich der Streit um vermögensrechtliche Interessen von Körperschaften oder autonomen Anstalten dreht.
3	Einer obsiegenden Partei dürfen nur Verfahrenskosten auferlegt werden, die sie durch Verletzung von Verfahrenspflichten verursacht hat.
4	Die Beschwerdeinstanz, ihr Vorsitzender oder der Instruktionsrichter erhebt vom Beschwerdeführer einen Kostenvorschuss in der Höhe der mutmasslichen Verfahrenskosten. Zu dessen Leistung ist dem Beschwerdeführer eine angemessene Frist anzusetzen unter Androhung des Nichteintretens. Wenn besondere Gründe vorliegen, kann auf die Erhebung des Kostenvorschusses ganz oder teilweise verzichtet werden.102
4bis	Die Spruchgebühr richtet sich nach Umfang und Schwierigkeit der Streitsache, Art der Prozessführung und finanzieller Lage der Parteien. Sie beträgt:
a	in Streitigkeiten ohne Vermögensinteresse 100-5000 Franken;
b	in den übrigen Streitigkeiten 100-50 000 Franken.103
5	Der Bundesrat regelt die Bemessung der Gebühren im Einzelnen.104 Vorbehalten bleiben Artikel 16 Absatz 1 Buchstabe a des Verwaltungsgerichtsgesetzes vom 17. Juni 2005105 und Artikel 73 des Strafbehördenorganisationsgesetzes vom 19. März 2010106.107

VwVG).