Der Angeklagte, der zu viel wissen wollte

Kann eine strafrechtlich verfolgte Person von der FINMA auf der Grundlage des DSG die Unterlagen eines gegen eine Bank gerichteten Vollstreckungsverfahrens erhalten ? Nein, wenn der Antrag in Wirklichkeit dazu dient, die eigene Strafverteidigung vorzubereiten und in das Vollstreckungsverfahren einzugreifen (BVGer, A-1251/2024, A-1692/2024 vom 16. September 2026).

Ein australischer Anwalt, der drei Offshore-Gesellschaften verwaltet, verfügt über ein Bankkonto bei einer Schweizer Bank. Am 28. Oktober 2020 leitete die Genfer Staatsanwaltschaft ein Strafverfahren gegen ihn wegen Geldwäscherei im Zusammenhang mit Steuerhinterziehung ein. Dieses richtet sich auch gegen einen US-amerikanischen Staatsangehörigen, der im Verdacht steht, mit Unterstützung des Rechtsanwalts rund 2 Milliarden US-Dollar insbesondere bei dieser Bank versteckt zu haben. Die FINMA leitete ein Enforcement-Verfahren gegen die Bank ein und tauschte Informationen mit der Staatsanwaltschaft aus.

Am 16. Februar 2022 beantragen der Anwalt und seine Gesellschaften bei der FINMA Zugang zu all ihren Daten (Art. 8 aLPD). Sie möchten diese vor einer für den 18. März 2022 angesetzten Strafverhandlung erhalten. Zwischen Mai 2022 und Februar 2024 übermittelt die FINMA ihnen in acht Sendungen 3.250 geschwärzte Dokumente. Unter Berufung auf ein Risiko der Absprache verschiebt sie zunächst den Zugang zu den Unterlagen des am 16. Juni 2023 abgeschlossenen Enforcement-Verfahrens. Im Januar und Februar 2024 übermittelt sie den Bericht des Untersuchungsbeauftragten, ihren Entscheid und die Stellungnahmen der Bank – ebenfalls geschwärzt.

Die Beschwerdeführer legen beim Bundesverwaltungsgericht (BVGer) Beschwerde gegen diese beiden letzten Sendungen ein. Sie beanstanden einen unvollständigen Zugang und übermäßige Schwärzungen. Ihr Ziel sei es, die Daten der Bank über sie zu überprüfen und gegebenenfalls vor deren Übermittlung an die Staatsanwaltschaft berichtigen zu lassen.

Das BVGer stuft die beiden Schreiben der FINMA zunächst als Verfügungen ein (Art. 5 VwVG). Anschließend weist es die Beschwerden der Unternehmen zurück. Denn das neue DSG, das aufgrund von Art. 70 DSG anwendbar ist, schützt juristische Personen nicht mehr. Das BVGer weist die gegenteilige Auffassung des Bundesamtes für Justiz zurück, das der Ansicht war, dass das alte Recht weiterhin gelten müsse, da der Antrag der Unternehmen auf Auskunft vor dem 1. September 2023 gestellt worden sei.

Gemäß Art. 26 Abs. 1 Bst. c DSG kann der Auskunftsanspruch abgelehnt, eingeschränkt oder aufgeschoben werden, wenn „der Auskunftsantrag offensichtlich unbegründet ist, insbesondere weil er einem dem Datenschutz zuwiderlaufenden Zweck dient oder offensichtlich prozessualer Natur ist“. Nach dem alten DSG (aLPD) beurteilte das Bundesgericht einen Antrag als missbräuchlich, der ausschliesslich darauf abzielte, Beweismittel für ein Gerichtsverfahren zu beschaffen (BGE 138 III 425, kommentiert in Fischer, cdbf.ch/821/).

Im vorliegenden Fall stellt das Bundesverwaltungsgericht fest, dass die Beschwerdeführer „keinen datenschutzrechtlichen Zweck verfolgten“. Sie wollten zunächst vor der Strafverhandlung Unterlagen erhalten, zu denen der Anwalt erst zu einem späteren Zeitpunkt im Strafverfahren Zugang gehabt hätte. Ihr zweites Ziel bestand darin, in ein Enforcement-Verfahren einzugreifen, an dem sie nicht beteiligt waren, um die Angaben der Bank vor deren Übermittlung an die Staatsanwaltschaft korrigieren zu lassen. Doch selbst eine am Enforcement-Verfahren beteiligte Partei kann sich dieser Übermittlung nicht widersetzen.

Nach Ansicht des BVGer bestätigen drei Anhaltspunkte diese Schlussfolgerung : (i) der Umfang der Anträge, der einer Fishing Expedition gleichkommt und nicht durch ein datenschutzrechtliches Ziel begründet ist, (ii) die fortwährende Anfechtung der Schwärzungen, die ein Interesse am Kontext und nicht an den Daten offenbart, und (iii) die Konzentration auf die Unterlagen des Vollstreckungsverfahrens.

Daher stellten die Zugangsanträge „einen Rechtsmissbrauch dar, da sie auf Ziele beruhten, die nichts mit dem DSG zu tun hatten“. Das BVGer weist die Beschwerden zurück.

Dieses Urteil gibt Anlass zu drei Anmerkungen.

Erstens lässt das BVGer die Frage nach der Schwelle für den Rechtsmissbrauch gemäss Art. 26 Abs. 1 Bst. c DSG ausdrücklich offen. Nach Ansicht einiger Autoren greift diese Bestimmung lediglich die oben erwähnte, unter dem alten DSG geltende Rechtsprechung auf, während sie nach Ansicht anderer die Schwelle dafür senkt. Unserer Ansicht nach bestätigt dieses Urteil den Trend in der Rechtsprechung, gegenüber Auskunftsersuchen, die nicht wirklich darauf abzielen, Rechte aus dem DSG geltend zu machen, zunehmend restriktiv vorzugehen (vgl. auch Fischer, cdbf.ch/1200/ und Hirsch, cdbf.ch/1243/).

Der Praktiker kann sich künftig nicht mehr zwangsläufig darauf beschränken, das Recht seines Mandanten auf Berichtigung der Daten gemäß Art. 32 Abs. 1 DSG und Art. 41 Abs. 2 Bst. a DSG geltend zu machen, um zu vermeiden, dass sein Antrag als missbräuchlich eingestuft wird. Er muss seinen Antrag auf Auskunft nach dem DSG sorgfältig formulieren und wahrscheinlich jeglichen Verweis auf andere, anhängige oder künftige Verfahren vermeiden.

Zweitens überzeugt die Argumentation des Bundesverwaltungsgerichts nicht, wenn es die Tatsache, dass die Beschwerdeführer „sich mehr für die Kontextinformationen“ als für „ihre reinen personenbezogenen Daten“ interessierten, als Anzeichen für einen Rechtsmissbrauch wertet. Denn das DSG gewährt Zugang zu „personenbezogenen Daten, die als solche verarbeitet werden “ (Art. 25 Abs. 2 Bst. b DSG). Es wäre besser gewesen, wenn das BVGer erläutert hätte, ob die von der FINMA vorgenommene Schwärzung dieser gesetzlichen Beschränkung entsprach, anstatt sich auf den in unserer Rechtsordnung unbekannten Begriff der „rohen Personendaten“ zu stützen (zur von der FINMA vorgenommenen Schwärzung vgl. auch Jeanneret, cdbf.ch/1345/).

Schließlich ist das BVGer der Ansicht, dass die FINMA gegen Art. 70 DSG verstoßen habe, indem sie die Zugangsanträge der Unternehmen auch nach Inkrafttreten des neuen Gesetzes am 1. ^September 2023 weiter geprüft habe. Wir bezweifeln jedoch, dass der Gesetzgeber mit der Verabschiedung von Art. 70 DSG tatsächlich beabsichtigt hat, dass ein vor dem 1. September 2023 von juristischen Personen eingereichter Antrag auf Auskunft mit der Begründung abgelehnt wird, dass dieses Gesetz juristische Personen nicht mehr schützt. Auf jeden Fall ist nicht ausgeschlossen, dass juristische Personen sich gegenüber dem Staat weiterhin auf Art. 13 Abs. 2 BV oder gegenüber Privatpersonen auf Art. 28 ZGB berufen können, um Zugang zu ihren Daten zu erhalten.