A-3891/2025

Bundesverwaltungsgericht

Tribunal administratif fédéral

Tribunale amministrativo federale

Tribunal administrativ federal

Abteilung I

A-3891/2025

Urteil vom 22. Juni 2026

Besetzung

Richterin Christine Ackermann (Vorsitz),

Richter Stephan Metzger, Richter Alexander Misic,

Gerichtsschreiberin Gloria Leuenberger-Romano.

Parteien

Inkasso-Team AG,

Innere Margarethenstrasse 5, 4051 Basel,

Beschwerdeführerin,

gegen

Eidgenössischer Datenschutz- und

Öffentlichkeitsbeauftragter EDÖB,

Feldeggweg 1, 3003 Bern,

Vorinstanz.

Gegenstand

Datenschutz; Untersuchung EDÖB;

Verfügung vom 28. April 2025.

Sachverhalt:

A. Die Inkasso-Team AG betreibt ein Inkassounternehmen und zu diesem Zweck die Internetseiten https://inkasso-team.com/ (ehemals: https://rolf-schmidt-Inkasso.ch/) und https://schuldner-finden.com/. Auf letzterer Internetseite werden diverse Personendaten mutmasslicher Schuldnerinnen/Schuldner publiziert. Die Besucherinnen und Besucher der Internetseite werden einerseits davor gewarnt, mit den aufgeführten Personen Geschäfte abzuschliessen, und andererseits dazu aufgefordert, ihre allfälligen Erfahrungen mit diesen Personen mitzuteilen.

B. Mit Schreiben vom 12. März 2021 informierte das Bayerische Landesamt für Datenschutzaufsicht (nachfolgend: BayLDA) den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (nachfolgend: EDÖB) über eine datenschutzrechtliche Beschwerde einer in Deutschland wohnhaften Person gegen die Firma Rolf Schmidt Inkasso-Team, Schweiz.

Das BayLDA teilte dem EDÖB unter anderem mit, dass die Firma Rolf Schmidt Inkasso-Team beziehungsweise deren Nachfolgerin Inkasso-Team AG, die Internetseite https://schuldner-finden.com mit dem Zweck betreibe, Informationen und Hinweise zu mutmasslichen Schuldnerinnen/Schuldnern zu sammeln.

C. Mit Schreiben vom 9. September 2021 wies der EDÖB die Inkasso-Team AG darauf hin, dass die Veröffentlichung von Personendaten angeblich säumiger Zahlerinnen und Zahler respektive mutmasslicher Schuldnerinnen/Schuldnern auf ihren Internetseiten oder über andere Kanäle gegen datenschutzrechtliche Vorschriften verstosse, da insbesondere der Grundsatz der Verhältnismässigkeit verletzt werde und hierfür kein Rechtfertigungsgrund ersichtlich sei.

Die Inkasso-Team AG reagierte auf dieses Schreiben des EDÖB nicht.

D. Zwei Jahre später machte das BayLDA den EDÖB mit Schreiben vom 23. Oktober 2023 erneut darauf aufmerksam, dass die Inkasso-Team AG offensichtlich weiterhin Personendaten von mutmasslichen Schuldnerinnen/Schuldnern auf ihrer Internetseite https://schuldner-finden.com/ publiziere.

E. In der Folge eröffnete der EDÖB gegen die Inkasso-Team AG eine Untersuchung. Zudem wurde sie aufgefordert, sich innert 30 Tagen zum Entwurf der Sachverhaltsfeststellung zu äussern.

F. Mit Schreiben vom 17. Oktober 2024 nahm die Inkasso-Team AG Stellung. Sie machte im Wesentlichen geltend, der Grundsatz der Verhältnismässigkeit sei nicht verletzt und es liege ein überwiegendes privates und öffentliches Interesse vor.

G. Mit Verfügung vom 28. April 2025 wies der EDÖB die Inkasso-Team AG an, die Publikation von Personendaten mutmasslicher Schuldnerinnen/Schuldner sowie von mit ihnen verbundenen Personen - wie sie sich auf ihrer Internetseite https://schuldner-finden.com/ (nachfolgend: Internetseite [Schuldner-finden]) befinde - zu unterlassen (Ziffer 1). Auch wurde verfügt, dass die Inkasso-Team AG die auf dieser Internetseite bereits publizierten Personendaten von mutmasslichen Schuldnerinnen/Schuldnern sowie von mit ihnen verbundenen Personen zu löschen habe (Ziffer 2). Weiter wurde die Inkasso-Team AG verpflichtet, die Umsetzung der Löschung innerhalb von 10 Tagen nach der Rechtskraft der Verfügung dem EDÖB mitzuteilen (Ziffer 3). Zudem wurde die Inkasso-Team AG darauf hingewiesen, dass die Missachtung der Ziffern 1 bis 3 der Verfügung gemäss Datenschutzgesetz mit einer Geldbusse bedroht sei (Ziffer 4). Schliesslich wurde der Inkasso-Team AG eine Gebühr in der Höhe von insgesamt Fr. 3'200.- auferlegt (Ziffer 5).

H. Dagegen erhob die Inkasso-Team AG (nachfolgend: Beschwerdeführerin) am 27. Mai 2025 Beschwerde beim Bundesverwaltungsgericht. Sie beantragt sinngemäss die Aufhebung der Verfügung vom 28. April 2025 des EDÖB (nachfolgend: Vorinstanz). Sie begründet dies im Wesentlichen damit, sie habe die Bearbeitungsgrundsätze - entgegen der Ansicht der Vorinstanz - gemäss Datenschutzgesetz eingehalten. Soweit dennoch Persönlichkeitsrechte verletzt würden, lägen Rechtfertigungsgründe vor, namentlich ein überwiegendes privates oder öffentliches Interesse. In prozessualer Hinsicht rügt sie sinngemäss die Verletzung des Anspruchs auf rechtliches Gehör durch die Vorinstanz.

I. In ihrer Vernehmlassung vom 8. August 2025 schliesst die Vorinstanz auf Abweisung der Beschwerde. Sie begründet dies zusammengefasst damit, die Beschwerdeführerin verstosse gegen bundesrechtliche Datenschutzvorschriften.

J. Mit instruktionsrichterlicher Verfügung vom 22. September 2025 wurde festgestellt, dass keine Replik der Beschwerdeführerin eingegangen war.

K. Auf die weiteren Vorbringen der Parteien und die sich bei den Akten befindlichen Dokumente wird - soweit entscheidrelevant - in den nachfolgenden Erwägungen eingegangen.

Das Bundesverwaltungsgericht zieht in Erwägung:

1.

1.1 Das Bundesverwaltungsgericht beurteilt gemäss Art. 31 des Verwaltungsgerichtsgesetzes vom 17. Juni 2005 (VGG, SR 173.32) Beschwerden gegen Verfügungen nach Art. 5 des Verwaltungsverfahrensgesetzes vom 20. Dezember 1968 (VwVG, SR 172.021), sofern - wie im vorliegenden Fall - keine Ausnahme nach Art. 32 VGG vorliegt. Als Vorinstanzen gelten gestützt auf Art. 33 Bst. d VGG unter anderen die der Bundeskanzlei administrativ zugeordneten Dienststellen der Bundesverwaltung.

Die Vereinigte Bundesversammlung wählt die Leiterin oder den Leiter des EDÖB (die oder der Beauftragte; Art. 43 des Datenschutzgesetzes vom 25. September 2020 [DSG, SR 235.1]). Art. 43 Abs. 4 DSG ordnet den EDÖB administrativ der Bundeskanzlei zu; Anhang 1 Bst. A Ziff. 2.1.1 der Regierungs- und Verwaltungsorganisationsverordnung vom 25. November 1998 (RVOV, SR 172.010.1) erklärt den EDÖB zur Verwaltungseinheit der dezentralen Bundesverwaltung; dieser gilt daher als Vorinstanz des Bundesverwaltungsgerichts. Die angefochtene Verfügung stellt zudem ein taugliches Anfechtungsobjekt dar. Das Bundesverwaltungsgericht ist somit zur Beurteilung der vorliegenden Beschwerde zuständig. Das Verfahren richtet sich nach dem VwVG, soweit das VGG nichts anderes bestimmt (Art. 37 VGG).

1.2 Die Beschwerdeführerin hat sich am vorinstanzlichen Verfahren beteiligt und ist als Adressatin der angefochtenen Verfügung sowohl formell als auch materiell beschwert, weshalb sie zur Beschwerde legitimiert ist (vgl. Art. 48 Abs. 1 VwVG).

1.3 Auf die im Übrigen frist- und formgerecht eingereichte Beschwerde (Art. 50 Abs. 1 und Art. 52 Abs. 1 VwVG) ist somit einzutreten.

2. Das Bundesverwaltungsgericht überprüft die angefochtene Verfügung auf Verletzungen von Bundesrecht - einschliesslich der unrichtigen oder unvollständigen Feststellung des Sachverhaltes und Überschreitung oder Missbrauch des Ermessens - sowie auf Angemessenheit hin (Art. 49 VwVG). Es wendet das Recht von Amtes wegen an und ist an die Begründung der Begehren der Parteien nicht gebunden (Art. 62 Abs. 4 VwVG).

3.

3.1 Die Beschwerdeführerin beantragt, die angefochtene Verfügung sei «dokumentarisch» nachzubessern sowie Teile der Verfügung seien genauer zu begründen und zu korrigieren. Sie rügt unter anderem, die Verfügung genüge den formellen Anforderungen nicht. Zur Begründung führt sie aus, es fehle an der erforderlichen Dokumentation und Präzision. Dadurch seien die Aussagen nicht hinreichend nachvollziehbar, weshalb ein substantiierter Widerspruch nicht möglich sei. Des Weiteren führt sie aus, es sei falsch, dass jede Seite (Dropdown-Link; nachfolgend: Unterseite) ihrer Internetseite datenschutzwidrige Inhalte aufweise. Auch gehe die Vorinstanz nur pauschal auf ihre Argumente ein, wonach ein öffentliches und privates Interesse vorliege.

Mit dem Antrag der Beschwerdeführerin, die angefochtene Verfügung genauer zu begründen, rügt die Beschwerdeführerin einen Begründungsmangel, mithin sinngemäss die Verletzung des Anspruchs auf rechtliches Gehör (Begründungspflicht).

3.2 Die Vorinstanz nimmt zum geltend gemachten Verstoss gegen die Grundsätze der Datenbearbeitung Stellung, äussert sich jedoch nicht zur sinngemäss gerügten Verletzung der Begründungspflicht.

3.3 Nach Art. 29 Abs. 2 der Bundesverfassung vom 18. April 1999 der Schweizerischen Eidgenossenschaft (BV, SR 101) und Art. 29 ff. VwVG haben die Parteien Anspruch auf Gewährung des rechtlichen Gehörs. Dieses dient einerseits der Sachaufklärung, anderseits stellt es ein persönlichkeitsbezogenes Mitwirkungsrecht beim Erlass eines Entscheids dar, der in die Rechtsstellung des Einzelnen eingreift. Dazu gehört insbesondere das Recht des Betroffenen, sich vor Erlass eines solchen Entscheids zur Sache zu äussern, erhebliche Beweise beizubringen und Einsicht in die Akten zu nehmen (BGE 140 I 99 E. 3.4; 135 II 286 E. 5.1). Voraussetzung des Äusserungsrechts sind genügende Kenntnisse über den Verfahrensverlauf, was auf das Recht hinausläuft, in geeigneter Weise über die entscheidwesentlichen Vorgänge und Grundlagen vorweg orientiert zu werden (BGE 141 I 60 E. 3.3; 140 I 99 E. 3.4; Urteil des Bundesgerichts [BGer] 2C_50/2024 vom 23. Januar 2025 E. 4.1.1 m.w.H.). Wie weit dieses Recht geht, lässt sich nicht generell, sondern nur unter Würdigung der konkreten Umstände beurteilen (BGE 135 I 279 E. 2.3; 111 Ia 273 E. 2b). Entscheidend ist, ob der betroffenen Person ermöglicht wurde, ihren Standpunkt wirksam zur Geltung zu bringen (BGE 144 I 11 E. 5.3 m.w.H.; Urteil des BGer 2C_807/2015 vom 18. Oktober 2016 E. 2.2.1).

Aus dem Anspruch auf rechtliches Gehör nach Art. 29 Abs. 2 BV folgt die Verpflichtung der Behörden, ihre Entscheide zu begründen. Die Begründung muss so abgefasst sein, dass der Betroffene sich über die Tragweite des Entscheids ein Bild machen und ihn sachgerecht anfechten kann. Dazu ist erforderlich, dass aus der Begründung hervorgeht, von welchem festgestellten Sachverhalt die Behörde ausging und welche rechtlichen Überlegungen sie anstellte. Dies bedeutet indessen nicht, dass sich die Begründung ausdrücklich mit jeder tatbeständlichen Behauptung und jedem rechtlichen Einwand auseinandersetzen muss. Vielmehr kann sie sich auf die für den Entscheid wesentlichen Gesichtspunkte beschränken (Urteil des BGer 1C_70/2021 vom 7. Januar 2022 E. 2.1; 1C_390/2024 vom 21. Februar 2025 E. 3.1 m.w.H. und Urteil des Bundesverwaltungsgerichts [BVGer] A-3149/2024 vom 17. September 2025 E. 3.1 m.w.H.).

3.4 Die angefochtene Verfügung hält den rechtserheblichen Sachverhalt, die anwendbaren Rechtsnormen und die rechtliche Würdigung fest. Darin erläutert die Vorinstanz, weshalb die Beschwerdeführerin durch die Publikation von Personendaten auf ihrer Internetseite gegen bundesrechtliche Datenschutzvorschriften respektive gegen die Grundsätze der Datenbearbeitung, namentlich das Transparenzprinzip und die Verhältnismässigkeit verstossen habe. Auch führt die Vorinstanz aus, weshalb sie der Ansicht sei, es würden keine Rechtfertigungsgründe vorliegen. Der Beschwerdeführerin war es entsprechend möglich, sich ein Bild über die Tragweite der behördlichen Beurteilung zu machen und die Verfügung sachgerecht anzufechten. Die Begründungspflicht verlangt lediglich, dass die Behörde die für sie massgebenden Gründe nennt; ob diese zutreffen oder nicht, ist eine Frage des materiellen Rechts und nicht der Begründungspflicht (vgl. Urteil des BGer 1C_390/2024 vom 21. Februar 2025 E. 3.2). Der Anspruch auf rechtliches Gehör respektive die Begründungspflicht wurde entsprechend nicht verletzt. Diese Rüge ist demnach unbegründet und die Beschwerde diesbezüglich abzuweisen.

Soweit die Beschwerdeführerin die Nachbesserung/Korrektur der angefochtenen Verfügung verlangt, rügt sie eine falsche (unvollständige) Begründung, mithin die unrichtige Rechtsanwendung respektive unvollständige Sachverhaltsfeststellung, was nichts mit der Verletzung der Begründungspflicht zu tun hat. Die Frage, ob die Vorinstanz den Sachverhalt genügend abgeklärt hat und ob ihre rechtliche Beurteilung, - unter anderem in Bezug auf die Frage, ob Rechtfertigungsgründe vorliegen - korrekt ist, wird nachfolgend im Rahmen der Rüge der unrichtigen respektive unvollständigen Sachverhaltsfeststellung und der Verletzung von Bundesrecht zu beurteilen sein.

4.

4.1 Die Beschwerdeführerin beantragt, die Vorinstanz habe die angefochtene Verfügung nachzubessern/zu korrigieren. Sie begründet dies sinngemäss damit, die Vorinstanz habe den Sachverhalt unrichtig/unvollständig festgestellt (vgl. nachstehende E. 4.2 f.) und Bundesrecht verletzt (vgl. nachstehende E. 5).

4.2 Die Rüge der unrichtigen beziehungsweise unvollständigen Feststellung des rechtserheblichen Sachverhaltes durch die Vorinstanz begründet die Beschwerdeführerin damit, die Verfügung sei unzureichend dokumentiert. Die Vorinstanz stütze ihre Verfügung auf eine pauschale und nicht auf eine bestimmte Publikation bezogene Beurteilung. Sie gehe davon aus, dass alle Unterseiten ihrer Internetseite gleichermassen zu beurteilen seien. Die Vorinstanz werfe ihr vor, auf der Internetseite (Schuldner-finden) unter den Rubriken «Nachfragen», «Warnungen» und «Ermittlungen & Prävention, Betrug» eine Vielzahl von Personendaten zu mutmasslichen Schuldnerinnen/Schuldner sowie mit ihnen verbundenen Personen zu veröffentlichen. Dabei handle es sich um Vornamen und Nachnamen der Schuldnerin/des Schuldners, Adressdaten, Herkunft, Arbeitsstelle beziehungsweise Geschäftstätigkeit, Angaben zu zivil- und strafrechtlichen Verfahren und Urteilen sowie Fotos. Die Internetseite (Schuldner-finden) enthalte zudem ähnliche Daten zu Personen, die mit der Schuldnerin/dem Schuldner familiär, freundschaftlich oder geschäftlich verbunden seien. Entgegen der Auffassung der Vorinstanz würden jedoch nicht sämtliche Unterseiten ihrer Internetseite (Schuldner-finden) alle genannten Personendaten beinhalten. Es werde nicht berücksichtigt, dass diese Unterseiten hinsichtlich der Datenschutzkriterien sehr unterschiedliche Inhalte aufwiesen. Namentlich gebe es solche, bei denen eine Datenschutzwidrigkeit anzuerkennen sei, und solche, die ausschliesslich Daten enthielten, die an anderen Stellen bereits öffentlich zugänglich seien, oder auf solche Daten verlinken würden. Schliesslich gebe es auch Unterseiten, bei denen ein öffentliches oder privates Interesse vorliege.

4.3 Die Vorinstanz weist darauf hin, dass sie im Rahmen der Datenverarbeitung die generelle Einhaltung der Datenschutzvorschriften prüfe. Dabei beurteile sie nicht in erster Linie den Einzelfall, sondern die allgemeine Praxis der Veröffentlichung von Namen mutmasslicher Schuldnerinnen/Schuldner im Internet. Anhand einzelner konkreter Publikationen habe sie ein Muster identifiziert, das gegen die Grundsätze der Datenverarbeitung verstosse, ohne dass ein Rechtfertigungsgrund ersichtlich sei. Daher habe sie der Beschwerdeführerin im Rahmen der am 24. Oktober 2024 gewährten Akteneinsicht beispielhaft Screenshots von fünf einzelnen Unterseiten der Internetseite (Schuldner-finden) der Beschwerdeführerin zur Untermauerung des festgestellten Sachverhalts zugestellt.

4.4

4.4.1 Das Datenschutzrecht bezweckt den Schutz der Persönlichkeit und der Grundrechte von natürlichen Personen, über die Personendaten bearbeitet werden (Art. 1 DSG). Es gilt für die Bearbeitung von Personendaten natürlicher Personen durch private Personen und Bundesorgane (Art. 2 DSG). Als Personendaten gelten alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (Art. 5 Bst. a DSG). Unter Bearbeiten ist nach Art. 5 Bst. d DSG jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten zu verstehen. Als Bekanntgeben gilt das Übermitteln oder Zugänglichmachen von Personendaten (Art. 5 Bst. e DSG).

4.4.2 Unrichtig ist eine Sachverhaltsfeststellung etwa dann, wenn der Verfügung ein aktenwidriger oder nicht weiter belegbarer Sachverhalt zugrunde gelegt wurde und wenn Beweise unzutreffend gewürdigt wurden. Unvollständig ist die Sachverhaltsfeststellung, wenn die Behörde trotz entsprechender Verpflichtung den rechtserheblichen Sachverhalt nicht von Amtes wegen abgeklärt oder nicht alle für den Entscheid wesentlichen Sachumstände berücksichtigt hat. Die fehlerhafte Sachverhaltsfeststellung muss sich stets auf den wesentlichen, das heisst rechtserheblichen Sachverhalt beziehen und mithin für den Ausgang der Streitigkeit erheblich (sog. entscheidwesentlich) sein (vgl. zum Ganzen Urteil des BVGer A- 5566/2022 vom 15. Februar 2023 E. 5.2.1; BGE 143 II 425 E. 5.1).

4.5

4.5.1 Aus den Akten geht hervor, dass die Beschwerdeführerin auf ihrer Internetseite (Schuldner-finden) unter der Rubrik «Nachfragen», «Warnungen» und «Ermittlungen & Prävention, Betrug» diverse Namen und Vornamen oder Decknamen natürlicher und juristischer Personen respektive mutmasslicher Schuldnerinnen/Schuldner sowie weitere Angaben zu diesen Personen aufführt. Dabei handelt es sich um Daten wie zum Beispiel Stimmaufnahmen, Hinweise, dass die Person Betrug mit fiktiven Grundstücken betreibt, gewerbsmässig Darlehen aufnimmt und nicht zurückzahlt, dass sich die Person in U-Haft befindet, lügt, betrügt und dubiose Geschäfte führt sowie Hinweise auf strafrechtliche, steuerrechtliche, zivilrechtliche Verfahren und Urteile. Zudem werden beispielsweise Namen und Fotos von Schuldnerinnen/Schuldnern und von mit diesen verbundenen Personen aufgeführt. Unter der Rubrik «Nachfragen» fordert die Beschwerdeführerin den Besucher/die Besucherin dieser Unterseite auf, ihr allfällige Erfahrungen mit diesen Personen mitzuteilen. In der Rubrik «Warnungen» und «Ermittlungen & Prävention, Betrug» wird die Besucherin/der Besucher dieser Unterseite darauf hingewiesen, dass aufgrund der vorliegenden Fakten ein Risiko besteht, beim Ausleihen von Geld an diese Personen, dieses zu verlieren.

4.5.2 Bei diesen auf der Internetseite (Schuldner-finden) der Beschwerdeführerin enthaltenen Angaben über die mutmasslichen Schuldnerinnen/Schuldner und die Personen, die mit diesen familiär, freundschaftlich oder geschäftlich verbunden sind, handelt es sich um Personendaten nach Art. 5 Bst. a DSG. Bei den Angaben zu zivil- und strafrechtlichen Verfahren und Urteilen, sowie bei den Stimmaufnahmen handelt es sich um besonders schützenswerte Personendaten nach Art. 5 Bst. c Ziff. 4 und 5 DSG. Das Übermitteln oder Zugänglichmachen von Personendaten - entsprechend auch das Publizieren/Veröffentlichen dieser Personendaten auf ihrer Internetseite (Schuldner-finden) - gilt als Bekanntgeben im Sinne von Art. 5 Bst. e DSG.

Entgegen der Ansicht der Beschwerdeführerin ist für die Beurteilung der Frage, ob sie gegen bundesrechtliche Datenschutzvorschriften verstossen hat, nicht massgebend, unter welcher Unterseite ihrer Internetseite (Schuldner-finden) Personendaten bekannt gegeben werden. Wie nachfolgend dargelegt wird, ist entscheidend, ob die Bearbeitungsgrundsätze eingehalten wurden und ob im Falle ihrer Verletzung Rechtfertigungsgründe vorliegen. Die Vorinstanz legt in ihrer Verfügung dar, inwiefern die Beschwerdeführerin die Bearbeitungsgrundsätze verletzt hat und belegt ihre Feststellungen mit Screenshots der Unterseiten der Internetseite (Schuldner-finden) der Beschwerdeführerin. Dass die Vorinstanz (lediglich) beispielhaft Screenshots von fünf einzelnen Unterseiten zu den Akten genommen hat, um darzulegen, dass die Beschwerdeführerin bundesrechtliche Datenschutzvorschriften respektive die Bearbeitungsgrundsätze verletzt hat, ist nach dem Gesagten nicht zu beanstanden (vgl. nachstehende E. 5).

4.6 Zusammenfassend ergibt sich, dass die Vorinstanz den rechtserheblichen Sachverhalt festgestellt und in der angefochtenen Verfügung festgehalten hat. Eine unrichtige oder unvollständige Feststellung des rechtserheblichen Sachverhaltes durch die Vorinstanz ist nicht ersichtlich. Diese Rüge ist demnach unbegründet und die Beschwerde diesbezüglich abzuweisen.

5.

5.1 Die Beschwerdeführerin rügt die Verletzung von Bundesrecht. Sie begründet dies unter anderem damit, den Grundsatz der Transparenz nicht verletzt zu haben. In der überwiegenden Zahl der Fälle informiere sie die Betroffenen oder diese würden sich von sich aus bei ihr melden, womit die Informationspflicht ebenfalls erfüllt sei. Die sich daraus ergebende Kommunikation führe immer wieder zu Vereinbarungen und zur Löschung der Publikation oder zu anderen Schritten, wie zum Beispiel die Betreibung/Zwangsvollstreckung oder Strafanzeigen.

Des Weiteren macht sie geltend, die von ihr publizierten Fotos würden keine schützenswerten Daten darstellen. Es handle sich um Fotos, die von den Schuldnern bereits anderswo publiziert und «unrechtmässig» verwendet worden seien. Das verwendete Foto auf ihrer Internetseite (Schuldner-finden) sei nicht als Foto eines Schuldners, sondern als ein öffentlich zugängliches typgleiches Foto deklariert.

5.2 Mit Vernehmlassung vom 8. August 2025 äussert sich die Vorinstanz zum Argument der Beschwerdeführerin betreffend die veröffentlichten Fotos. Sie entgegnet, die unbelegte Behauptung, dass gewisse Fotos oder Informationen aus öffentlich zugänglichen Quellen stammen würden, ändere an der Beurteilung, dass die Bearbeitungsgrundsätze verletzt seien, nichts. Allfällig öffentlich zugängliche Daten seien vorliegend, kombiniert mit Informationen, die aus anderen Quellen stammen, in einem neuen Kontext verwendet worden, um insbesondere Aussagen über die Zahlungsmoral einer Person zu machen oder einen Aufenthaltsort festzustellen. Es handle sich somit nicht um eine Wiederverwendung von öffentlich zugänglichen Daten, sondern um deren Nutzung zu einem anderen, neuen Zweck.

Des Weiteren äussert sich die Vorinstanz in ihrer Vernehmlassung vom 8. August 2025 nicht, sondern verweist auf die angefochtene Verfügung. Darin hält die Vorinstanz fest, dass die Internetseite (Schuldner-finden) der Beschwerdeführerin zwar eine Datenschutzerklärung enthalte, diese beschränke sich jedoch nur auf Angaben zur Datenbearbeitung beim Besuch dieser Internetseite, bei der Nutzung des Kontaktformulars sowie auf Daten von allfälligen Bewerberinnen und Bewerbern. Sie enthalte keine Hinweise zur Datenverarbeitung in Bezug auf die Veröffentlichung der Personendaten von mutmasslichen Schuldnerinnen/Schuldnern. Es sei davon auszugehen, dass die Beschaffung der Daten nicht von den betroffenen Personen selbst, sondern bei Dritten erfolgt sei. In diesem Fall müssten die Betroffenen, gestützt auf Art. 19 Abs. 5 DSG, spätestens einen Monat nach Erhalt der Daten vom Verantwortlichen die notwendigen Informationen über die Datenbearbeitung erhalten. Die Beschwerdeführerin habe in ihrer Stellungnahme mitgeteilt, dass die Betroffenen nicht über die Datenbearbeitung informiert würden. Eine Ausnahme von der Informationspflicht (Art. 20 DSG) liege nicht vor. Entsprechend verstosse die Beschwerdeführerin gegen den Grundsatz der Transparenz nach Art. 19 DSG.

5.3

5.3.1 Wer Personendaten bearbeitet, darf die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen (Art. 30 Abs. 1 DSG). Eine Persönlichkeitsverletzung liegt unter anderem vor, wenn Personendaten entgegen den Grundsätzen nach Art. 6 DSG bearbeitet werden oder wenn Dritten besonders schützenswerte Personendaten bekanntgegeben werden (Art. 30 Abs. 2 Bst. a und c DSG).

Art. 6 DSG enthält sowohl für private Datenbearbeiter als auch für Bundesorgane die wesentlichen materiellen Bearbeitungsgrundsätze. Nach Art. 6 Abs. 1 DSG müssen Personendaten rechtmässig bearbeitet werden. Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein (Art. 6 Abs. 2 DSG). Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist (Art. 6 Abs. 3 DSG; Grundsatz der Zweckbindung und der Transparenz). Die Bearbeitungsgrundsätze müssen kumulativ eingehalten werden und sind unabhängig voneinander zu prüfen. Die Verletzung mehrerer Bearbeitungsgrundsätze bei einer Datenbearbeitung wirkt sich auf die Schwere der Persönlichkeitsverletzung aus und erhöht die Anforderungen an deren Rechtfertigung. Die Bearbeitungsgrundsätze konkretisieren den verfassungsmässigen Persönlichkeitsschutz (vgl. Bühlmann/Reinle, in: Blechta/Vasella [Hrsg.], Datenschutzgesetz - Öffentlichkeitsgesetz, Basler Kommentar, 4. Aufl. 2024, [nachfolgend: BSK DSG/BGÖ], N. 1 f. zu Art. 6).

5.3.2 Der Grundsatz der Zweckbindung und der Transparenz (Art. 6 Abs. 3 DSG) gilt sowohl für Private als auch für Bundesorgane. Die Erkennbarkeit muss sowohl hinsichtlich der Beschaffung der Personendaten als auch hinsichtlich des Zwecks ihrer Bearbeitung gegeben sein. Wann eine Datenbeschaffung beziehungsweise eine Datenbearbeitung ausreichend erkennbar ist, entscheidet sich nach den konkreten Umständen unter Berücksichtigung des Grundsatzes von Treu und Glauben (Bühlmann/Reinle, in: BSK DSG/BGÖ, a.a.O., N. 158 und 162 zu Art. 6). Personendaten dürfen nur für die Zwecke bearbeitet werden, welche für die betroffene Person im Zeitpunkt der Datenbeschaffung erkennbar waren. Erkennbar ist ein Bearbeitungszweck, wenn die betroffene Person darüber informiert wurde, die Bearbeitung durch Gesetz vorgesehen ist oder sich aus den Umständen erkennen lässt. Nicht entscheidend ist, ob der Zweck legitim ist. Ob die Datenbeschaffung und der Bearbeitungszweck erkennbar sind, ist aufgrund einer Einzelfallprüfung zu beurteilen. Entscheidend ist, von welchen Datenbeschaffungen beziehungsweise Datenbearbeitungen eine betroffene Person unter den konkreten Umständen der Beschaffung beziehungsweise Bearbeitung nach Treu und Glauben ausgehen durfte beziehungsweise musste (Bühlmann/Reinle, in: BSK DSG/BGÖ, a.a.O., N. 108 f. zu Art. 6). Die Bearbeitung der Personendaten muss mit dem Zweck, der bei der Datenbeschaffung erkennbar war, vereinbar sein. Die Frage der Vereinbarkeit stellt sich in Konstellationen, in denen ein Bearbeitungszweck vom Zweck abweicht, der im Zeitpunkt der Datenbeschaffung bekanntgegeben wurde oder erkennbar war (Bühlmann/Reinle, in: BSK DSG/BGÖ, a.a.O., N. 119 zu Art. 6). Die Anforderungen an die Transparenz sind umso höher, je sensibler die bearbeiteten Daten und einschneidender die Datenbearbeitungen sind. Bei der Bestimmung der Anforderungen an die Erkennbarkeit beziehungsweise Transparenz ist der Massstab der Verhältnismässigkeit zu beachten. Der mit der Herstellung der Transparenz verbundene Aufwand für den Verantwortlichen beziehungsweise Auftragsbearbeiter ist zu berücksichtigen. Aus dem Transparenzprinzip folgt nicht ohne Weiteres eine Informationspflicht. Transparenz kann auch ohne explizite Information geschaffen werden. Werden Daten über eine betroffene Person bei Dritten erhoben, besteht ohne vorgängige Information regelmässig keine Erkennbarkeit. Die Erkennbarkeit muss im Zeitpunkt der Datenbeschaffung beziehungsweise -bearbeitung vorliegen. Eine nachträgliche Information genügt den Anforderungen an die Transparenz nicht. Der Transparenzgrundsatz und seine Regelung im Gesetz geben keine klaren Anhaltspunkte darüber, welche Aspekte der Datenbeschaffung erkennbar sein müssen. Unbestritten ist, dass es nicht nur um die Beschaffung an sich geht, sondern auch um deren Rahmenbedingungen (Bearbeitungszweck, Identität des Verantwortlichen, Kategorien möglicher Datenempfänger). Nach dem Sinn und Zweck des Transparenzgrundsatzes sind diejenigen Parameter der Datenbeschaffung erkennbar zu machen, welche die betroffene Person benötigt, um zu entscheiden, ob sie sich einer Datenbearbeitung widersetzen oder andere Ansprüche geltend machen möchte. Das DSG enthält keine Formvorschrift für die Information. Die Verletzung des Transparenzgrundsatzes kann nach Art. 31 DSG (Rechtfertigungsgründe) gerechtfertigt sein (Bühlmann/Reinle, in: BSK DSG/BGÖ, a.a.O., N. 163 f. zu Art. 6).

5.3.3 Art. 19 DSG stipuliert eine aktive Informationspflicht des Verantwortlichen bei der Beschaffung von Personendaten. Die Bestimmung bezweckt die Erhöhung der Transparenz und konkretisiert den in Art. 6 Abs. 3 DSG enthaltenen Erkennbarkeitsgrundsatz. Diese Informationspflicht greift bei der Beschaffung jeglicher Personendaten, also auch im Falle der Beschaffung von besonders schützenswerten Personendaten. Art. 19 DSG verpflichtet den Verantwortlichen, die betroffene Person angemessen über die Beschaffung von Personendaten zu informieren. Ausgelöst wird die Informationspflicht durch die Beschaffung von Personendaten und sie besteht unabhängig davon, ob die Personendaten bei der betroffenen Person selbst oder bei einem Dritten beschafft werden. Das Gesetz legt dabei Mindestanforderungen an die Informationen fest, welche der betroffenen Person mitzuteilen sind. Es handelt sich bei Art. 19 DSG um eine aktive Informationspflicht, welcher der Verantwortliche von sich aus und nicht erst auf Nachfrage der betroffenen Person nachzukommen hat. Die Informationspflicht bildet die Grundlage für die Ausübung der Rechte der betroffenen Person, insbesondere auch des datenschutzrechtlichen Auskunftsrechts nach Art. 25 ff. DSG (vgl. Rampini/Fuchs/Kunz, in: BSK DSG/BGÖ, a.a.O., N. 1 und 2 zu Art. 19). Die Informationspflicht kann nach Art. 20 DSG bei Vorliegen diverser Voraussetzungen entfallen, eingeschränkt, aufgeschoben oder es kann darauf verzichtet werden.

5.3.4 Im öffentlichen Recht gilt der allgemeine Rechtsgrundsatz, wonach jene Partei für das Vorhandensein einer behaupteten Tatsache beweisbelastet ist, die aus ihr Rechte ableitet (vgl. Art. 8 des Schweizerischen Zivilgesetzbuches vom 10. Dezember 1907 [ZGB, SR 210]). Bleibt ein Sachverhalt unbewiesen, fällt der Entscheid zu Ungunsten der Partei aus, die dafür die Beweislast trägt.

5.4

5.4.1 Dem Auszug des Handelsregisteramts des Kantons Basel-Stadt kann entnommen werden, dass der Zweck der Beschwerdeführerin insbesondere im Betrieb eines Inkassounternehmens, im Erwerb und Eintreiben von Forderungen, im Inkasso von Forderungen für Dritte, in der Überwachung und Realisierung von Verlustscheinen, in der Vermittlung von Inkasso-Mandanten, in der Sammlung und Weitergabe von Wirtschaftsdaten und in der Erteilung von Wirtschaftsauskünften besteht. Gemäss Internetseite (Schuldner-finden) der Beschwerdeführerin liegt ihre «Mission» in der Ermittlung (Täter identifizieren und lokalisieren, Betrüger zur Geldrückgabe «motivieren»), in der Betrugsprävention (Warnung vor bekannten Betrugsmustern) sowie im Inkasso bei Betrug.

Die Beschwerdeführerin bearbeitet die Personendaten damit vorwiegend zum Zweck der Ermittlung von mutmasslichen Schuldnerinnen/Schuldner und um folglich die Forderungen einzutreiben. Weiter bearbeitet sie Personendaten zum Zweck der Betrugsprävention.

5.4.2 Im vorliegenden Fall werden der Beschwerdeführerin die Personendaten einerseits von Dritten, beispielsweise von (allfällig) Geschädigten oder von Drittpersonen, die Informationen über die mutmasslichen Schuldnerinnen/Schuldner haben, übermittelt. Andererseits beschafft sich die Beschwerdeführerin die Personendaten aus anderen (auch öffentlichen) Quellen, nicht jedoch bei der/dem mutmasslichen Schuldnerin/Schuldner. Wie hiervor in E. 5.3.2 bereits erwähnt, besteht ohne vorgängige Information regelmässig keine Erkennbarkeit, wenn Daten über eine betroffene Person bei Dritten erhoben werden. Dass die Beschwerdeführerin die betroffenen Personen im Zeitpunkt der Datenbeschaffung respektive der -bearbeitung über den erwähnten Bearbeitungszweck und damit auch über die Kategorien möglicher Datenempfänger informiert hat, ergibt sich aus den Akten nicht. Die Beschwerdeführerin macht zwar geltend, sie habe die betroffenen Personen in der überwiegenden Zahl der Fälle informiert. Welche der betroffenen Personen sie über die Beschaffung der Personendaten, den Bearbeitungszweck sowie über die Empfänger oder die Kategorie der Empfänger informiert hat (vgl. vorstehende E. 5.3.2), führt sie nicht aus. Zudem reicht es nicht aus, dass sie - nach eigener Angabe - die Betroffenen in der überwiegenden Zahl der Fälle informiert hat. Es handelt sich um eine überschaubare Anzahl betroffener Personen, sodass die Information jeder betroffenen Person über die Datenbeschaffung und -bearbeitung grundsätzlich möglich und notwendig ist (vgl. vorstehende E. 5.3.2). Entgegen der Auffassung der Beschwerdeführerin ist der Informationspflicht auch nicht damit Genüge getan, dass die betroffenen Personen aufgrund der öffentlichen Bekanntmachung ihrer Personendaten selbst mit ihr Kontakt aufnehmen. Wie vorstehend in E. 5.3.2 dargelegt, sind die betroffenen Personen im Zeitpunkt der Datenbeschaffung beziehungsweise -bearbeitung ihrer Personendaten zu informieren. Die Information hat zu erfolgen, bevor eine allfällige Datenbekanntgabe stattfindet. Eine nachträgliche Information genügt den Anforderungen an eine transparente Datenbearbeitung nicht. Dass die betroffenen Personen nicht auffindbar wären und damit nicht informiert werden können, rechtfertigt nicht, dass die Bestimmungen respektive die Anforderungen an die Erkennbarkeit beziehungsweise Transparenz nicht eingehalten werden und Personendaten zum Zweck der Ermittlung bekannt gegeben werden. Zumal damit, wie nachstehend ausgeführt wird, ein Prangereffekt erzielt wird.

5.4.3 Betreffend die auf der Internetseite (Schuldner-finden) veröffentlichten Fotos ist festzuhalten, dass beispielsweise unter der Rubrik «Ermittlung & Prävention, Betrug» unter dem Fall «Rip-Deal» Fotos veröffentlicht werden, die entgegen der Aussage der Beschwerdeführerin nicht als typgleiche Fotos deklariert sind, sondern als «verifizierte» Fotos der Kinder des mutmasslichen Schuldners. Weiter werden mutmassliche Fotos mit dem Namen diverser Schuldnerinnen/Schuldner veröffentlicht. Dass gewisse Personendaten, wie von der Beschwerdeführerin geltend gemacht, aus öffentlich zugänglichen Quellen stammen, legt die Beschwerdeführerin nicht dar. Insbesondere ist nicht belegt, welche Personendaten aus welchen Quellen stammen. Damit lässt sich nicht überprüfen, ob die betroffenen Personen diese Fotos selbst öffentlich bekannt gegeben haben und, falls dem so wäre, zu welchem Zweck dies erfolgt ist. Dass dieser (allfällige) Zweck denn auch mit dem von der Beschwerdeführerin verfolgten Zweck übereinstimmt, erscheint ebenfalls fraglich beziehungsweise ist nicht erstellt.

5.4.4 Nach dem Gesagten hat die Beschwerdeführerin gegen den Grundsatz der Transparenz verstossen. Hinsichtlich der Informationspflicht nach Art. 19 DSG ist festzuhalten, dass die Verletzung der Informationspflicht für sich allein noch keine Persönlichkeitsverletzung im Sinne von Art. 30 DSG darstellt. Eine solche liegt erst dann vor, wenn im konkreten Fall die erforderliche Grundtransparenz nicht gewährleistet ist und damit zugleich ein Verstoss gegen das Transparenzgebot nach Art. 6 Abs. 3 DSG gegeben ist. Vorliegend ergibt sich die Persönlichkeitsverletzung bereits aus der Verletzung des Transparenzgrundsatzes nach Art. 6 Abs. 3 DSG, weshalb offenbleiben kann, ob zusätzlich auch die Informationspflicht nach Art. 19 DSG verletzt wurde.

5.5

5.5.1 Die Beschwerdeführerin macht weiter geltend, sie habe den Grundsatz der Verhältnismässigkeit gewahrt. Sie begründet dies damit, dass sie die Personendaten der mutmasslichen Schuldnerinnen/Schuldner erst veröffentliche, wenn alle anderen Massnahmen, wie namentlich das Anschreiben und dergleichen, erfolglos geblieben seien.

5.5.2 In ihrer Vernehmlassung vom 8. August 2025 äussert sich die Vorinstanz hierzu nicht, sondern sie verweist auf die angefochtene Verfügung. Darin macht sie geltend, die Beschwerdeführerin verstosse mit der Bekanntgabe von Personendaten angeblich säumiger Zahlerinnen und Zahler auf ihren Internetseiten oder über andere Kanäle gegen datenschutzrechtliche Vorschriften, namentlich gegen den Grundsatz der Verhältnismässigkeit. Sie begründet dies damit, es sei zwar nicht auszuschliessen, dass der Zweck - mutmassliche Schuldnerinnen/Schuldner aufzufinden - mit der Publikation auf der Internetseite (Schuldner-finden) mindestens in einigen Fällen erreicht werden könne. Ob dies auch in Bezug auf die Warn- beziehungsweise Prangerfunktion der Publikation zutreffe, erscheine fragwürdig. Da die Zumutbarkeit für die betroffenen Personen jedoch zu verneinen sei, könne diese Frage offengelassen werden. Die Interessen der mutmasslichen Schuldnerinnen/Schuldner sowie der mit ihnen verbundenen Personen an der Kontrolle ihrer Daten beziehungsweise an ihrem Recht auf informationelle Selbstbestimmung würden vorliegend die wirtschaftlichen Interessen der Beschwerdeführerin und deren Kundinnen und Kunden überwiegen. Ein Rechtfertigungsgrund sei nicht ersichtlich.

5.5.3 Die Bearbeitung der Personendaten muss unter anderem nach Treu und Glauben erfolgen und verhältnismässig sein (Art. 6 Abs. 2 DSG). Sowohl der Bearbeitungszweck als auch die Art und Weise der Datenverarbeitung müssen verhältnismässig sein. Die Datenbearbeitung muss für die Erreichung des beabsichtigten Bearbeitungszweckes geeignet sein. Die Datenbearbeitung muss erforderlich sein, d. h. das mildeste Mittel zur Zweckerreichung darstellen. Die Datenbearbeitung muss für die betroffenen Personen mit Blick auf den angestrebten Zweck und die verwendeten Mittel zumutbar sein. Zwischen der Datenbearbeitung und dem damit einhergehenden Eingriff in die Privatsphäre muss ein angemessenes Verhältnis bestehen. Bestehen mehrere angestrebte Datenbearbeitungszwecke, ist die Verhältnismässigkeit für alle angestrebten Zwecke separat zu prüfen. Unverhältnismässige Datenbearbeitungen können nach Art. 31 DSG gerechtfertigt werden (Bühlmann/Reinle, in: BSK DSG/BGÖ, a.a.O., N. 51 f. zu Art. 6).

5.5.4 Der Vorinstanz ist zuzustimmen, wenn sie geltend macht, die Verfolgung potenzieller Schuldnerinnen/Schuldner durch Private entbehre einer gesetzlichen Grundlage. Dies gilt sowohl in Bezug auf den Datenbearbeitungszweck der Betrugsprävention als auch für jenen der Ermittlung von mutmasslichen Schuldnerinnen/Schulder und der damit verbundenen Eintreibung von Forderungen. Diese Art der Datenbearbeitung kann damit nicht als geeignetes Mittel zur Zweckerreichung betrachtet werden.

In Bezug auf die Frage der Erforderlichkeit der Datenbearbeitung zum Zwecke der Betrugsprävention und der Ermittlung von mutmasslichen Schuldnerinnen/Schuldnern und der damit verbundenen Eintreibung von Forderungen ist festzuhalten, dass für das Erreichen dieser Datenbearbeitungszwecke andere - gesetzlich normierte - mildere Mittel, wie Gerichtsverfahren, das Schuldbetreibung- und das Konkursrecht, sowie öffentliche Register (z. B. Betreibungsregister, Strafregister) zur Verfügung stehen. Die Datenbearbeitung respektive die Veröffentlichung der Personendaten der betroffenen Personen zu den genannten Zwecken erweist sich daher nicht als erforderlich respektive stellt diese nicht das mildeste Mittel zur Zweckerreichung dar.

Im Rahmen der Zumutbarkeit ist eine Interessenabwägung vorzunehmen. Eine solche hat ebenfalls unter dem Gesichtspunkt der Rechtfertigungs-gründe zu erfolgen. Bei der Überprüfung der Rechtfertigungsgründe ist unter anderem auch das Vorliegen überwiegender privater oder öffentlicher Interessen abzuklären. Da in diese Erwägungen dieselben Überlegungen einfliessen wie bei der Verhältnismässigkeitsprüfung, ist hierauf im Folgenden einzugehen (vgl. nachstehende E. 7). An dieser Stelle kann jedoch bereits vorweggenommen werden, dass dem Interesse der betroffenen Personen, dem ein hohes Gewicht zukommt, das private Datenbearbeitungsinteresse der Beschwerdeführerin entgegensteht, dem lediglich ein geringes Gewicht zukommt. Dem ebenfalls den Interessen der betroffenen Personen entgegenstehende öffentlichen Interesse und dem privaten Interesse der Gläubiger ist hingegen kein Gewicht beizumessen. Zwischen der Datenbearbeitung und dem damit einhergehenden Eingriff in die Privatsphäre besteht entsprechend kein angemessenes Verhältnis.

Zusammenfassend kann damit festgehalten werden, dass die Beschwerdeführerin den Grundsatz der Verhältnismässigkeit verletzt hat.

5.6 Nach Art. 6 Abs. 2 DSG muss die Bearbeitung nach Treu und Glauben erfolgen. Wie vorstehend in E. 5.3.1 ausgeführt, müssen die Bearbeitungsgrundsätze kumulativ eingehalten werden. Die vorstehenden Erwägungen haben gezeigt, dass die Beschwerdeführerin (bereits) gegen den Grundsatz der Transparenz, der Zweckbindung und der Verhältnismässigkeit verstossen hat, mithin eine Persönlichkeitsverletzung vorliegt. Entsprechend kann offengelassen werden, ob die Beschwerdeführerin den Bearbeitungsgrundsatz von Treu und Glauben ebenfalls verletzt hat.

5.7

5.7.1 Zusammenfassend kann festgehalten werden, dass die Beschwerdeführerin insbesondere gegen die Grundsätze der Datenbearbeitung nach Art. 6 DSG, nämlich gegen den Grundsatz der Transparenz (Art. 6 Abs. 3 DSG), der Zweckbindung (Art. 6 Abs. 3 DSG) und der Verhältnismässigkeit (Art. 6 Abs. 2 DSG) verstossen hat, was nach Art. 30 Abs. 2 Bst. a DSG eine Persönlichkeitsverletzung darstellt.

5.7.2 Die auf der Internetseite (Schuldner-finden) der Beschwerdeführerin veröffentlichten Personendaten, insbesondere die Angaben zu strafrechtlichen Verfolgungen oder Sanktionen und Stimmaufzeichnungen stellen besonders schützenswerte Personendaten dar (Art. 5 Bst. c Ziff. 4 und 5 DSG [vgl. nachstehende E. 6.4]). Ihre Bekanntgabe stellt nach Art. 30 Abs. 2 Bst. c DSG ebenfalls eine Persönlichkeitsverletzung dar.

6.

6.1 Wird die Persönlichkeitsverletzung bejaht, so ergibt sich daraus grundsätzlich auch eine Widerrechtlichkeit. Liegen jedoch Rechtfertigungsgründe vor, so ist eine persönlichkeitsverletzende Bearbeitung von Personendaten entgegen den allgemeinen Grundsätzen gerechtfertigt und damit nicht widerrechtlich (vgl. Rampini/Harasgama, in: BSK DSG/BGÖ, a.a.O., N. 1 zu Art. 31).

Nachfolgend ist demnach zu prüfen, ob Rechtfertigungsgründe nach Art. 31 DSG vorliegen.

6.2 Die Beschwerdeführerin bringt im Wesentlichen vor, die öffentliche Bekanntmachung der Personendaten der betroffenen Schuldnerinnen/Schuldner sei durch ein öffentliches Interesse gerechtfertigt. Sie begründet dies damit, dass die öffentliche Bekanntmachung dazu beitragen könne, die Schuldnerinnen/Schuldner zur Rechenschaft zu ziehen, potenzielle weitere Opfer zu warnen und möglicherweise weitere Straftaten zu verhindern. Die Beschwerdeführerin macht weiter geltend, die Begründung der Vorinstanz, wonach die von der Datenschutzverletzung betroffenen Personen ohne ihr Wissen in der Öffentlichkeit negativ dargestellt und bewertet würden, sei unspezifisch und lediglich eine pauschale Einschätzung. Weiter ist die Beschwerdeführerin der Ansicht, es gehe an der Sache vorbei, wenn die Vorinstanz rüge, das Interesse der Schuldnerinnen/der Schuldner, sich gegen die Forderung zu verteidigen, werde mit der Publikation ihrer Personendaten verhindert. Schliesslich publiziere sie nur nachgewiesene Schuldverhältnisse. Weiter begründet die Beschwerdeführerin, es sei ein berechtigtes Anliegen, den Aufenthaltsort einer Schuldnerin/eines Schuldners zu ermitteln. Wenn diese ihren Aufenthaltsort auch vor Behörden geheim halten würden respektive diesbezüglich täuschten, hätten sie selbst die Verantwortung dafür zu tragen, falls ein Gläubiger den Aufenthaltsort mit anderen Mitteln eruieren würde. Als Beispiel für ein überwiegendes öffentliches Interesse verweist die Beschwerdeführerin auf einen ihrer Fälle, bei dem es ohne die Publikation der Personendaten nicht gelungen wäre, den Aufenthaltsort des Schuldners zu ermitteln und ihm eine Betreibung zuzustellen. Der Standpunkt der Vorinstanz laufe auf einen übertriebenen Schutz böswilliger Schuldner hinaus. Dass es diesen mit Hilfe des Datenschutzgesetzes noch besser gelingen solle, ihre Absichten zulasten der Gläubiger zu realisieren, widerspreche dem Gerechtigkeitsempfinden und stosse in der Bevölkerung auf zunehmendes Unverständnis und zu einem Vertrauensverlust in den Rechtsstaat. Dies liege nicht im staatspolitischen Interesse und müsse überdenkt werden. Schliesslich wahre sie den Grundsatz der Verhältnismässigkeit, indem sie die Personendaten erst dann publiziere, wenn alle anderen Möglichkeiten erfolglos geblieben seien. Die Ansicht der Vorinstanz, wonach die generelle Warnung der Öffentlichkeit vor Betrügern nicht Sache von Privaten sei und ein privater Datenbearbeiter dabei weder ein öffentliches noch überwiegendes privates Interesse geltend machen könne, sei für bestimmte Fälle in Frage zu stellen und bedürfe einer Neubeurteilung. Die Beschwerdeführerin bezweifelt, ob die behördlichen Warnungen flächendeckend und effizient genug seien. Weiter sei fraglich, ob (in der Regel) verurteilte Wiederholungstäter oder Personen, deren Verurteilung wegen Betrug, Urkundenfälschung, Diebstahl und weiteren Straftaten mit an Sicherheit grenzender Wahrscheinlichkeit erfolgen werde, einen besonderen Schutz verdienten. Die Beschwerdeführerin ist der Ansicht, die Persönlichkeitsrechte der von der Datenschutzverletzung betroffenen Personen stünden nicht über den Eigentumsrechten der geschädigten Personen.

Des Weiteren verweist die Beschwerdeführerin in ihrer Beschwerde auf ihre Stellungnahme vom 17. Oktober 2024, worin sie sich zum privaten Interesse äussert. Sie führt anhand eines konkreten Beispiels im Wesentlichen aus, sie habe eine Person, gegen die Betreibungsversuche gescheitert seien, dank ihrer Recherchen und der Veröffentlichung der Personendaten auf ihrer Internetseite schliesslich doch noch betreiben können. Es sei nicht ersichtlich, wie die notwendigen Informationen ohne die Veröffentlichung hätten gewonnen werden können. Die rechtliche Durchsetzung wäre ohne dieses Vorgehen nicht möglich gewesen. Damit liege ein überwiegendes privates Interesse vor, das die Verletzung der Persönlichkeitsrechte des Schuldners rechtfertige.

Schliesslich beanstandet die Beschwerdeführerin zusammengefasst, dass die Vorinstanz in der angefochtenen Verfügung wiederholt von «mutmasslichen» und «angeblichen» Schuldnerinnen/Schuldnern spreche. Damit behaupte die Vorinstanz, sie (die Beschwerdeführerin) publiziere Fälle, von denen sie wisse, dass keine Schuld bestehe oder sie nicht über Dokumente verfügte, welche die Schuld belegten. Diese Behauptung sei jedoch falsch. Entweder liege ein definitiver oder provisorischer Rechtsöffnungstitel oder es lägen Dokumente vor, mit denen ein Rechtsöffnungstitel erwirkt werden könne (Darlehensvertrag, Schuldanerkennung oder dergleichen).

6.3 Mit Vernehmlassung vom 8. August 2025 legt die Vorinstanz dar, die Verwendung der Terminologie «mutmassliche Schuldnerinnen/Schuldner» sei einzig Ausdruck davon, dass sie selbst nicht geprüft habe und nicht prüfen müsse, ob eine Schuld bestehe oder nicht. Für die Interessenabwägung sei es unerheblich, ob die von der Beschwerdeführerin geltend gemachte Schuld mit gültigen Forderungstiteln belegt werden könne oder nicht. Auch eine gerechtfertigte Schuld könne nicht mittels einer Publikation im Internet der persönlichen Daten der Schuldnerin/des Schuldners rechtmässig eingetrieben und publiziert werden.

Die Vorinstanz verweist des Weiteren auf die angefochtene Verfügung. Darin verneint sie ein überwiegendes öffentliches Interesse an der Publikation von Personendaten mutmasslicher Schuldnerinnen/Schuldner sowie mit ihnen verbundenen Personen im Internet. Um Täter zur Rechenschaft zu ziehen, sehe der Rechtsstaat die ausschliessliche Zuständigkeit der Strafverfolgungsbehörden vor. Opfer oder Geschädigte könnten sich an die zuständige Polizei wenden, um Informationen zu einem Täter/einer Täterin bekanntzugeben. Die Publikation durch private Personen im Internet sei für die Verfolgung von strafbarem Verhalten nicht notwendig und entbehre einer gesetzlichen Grundlage. Für die Eintreibung von offenen Geldforderungen stelle der Staat das Instrument des Schuldbetreibungs- und Konkursrechts zur Verfügung, womit dem öffentlichen Interesse an der Durchsetzung von Forderungen bereits Rechnung getragen werde. Des Weiteren bestehe auch kein überwiegendes privates Interesse an der Publikation von Personendaten mutmasslicher Schuldnerinnen/Schuldner sowie mit ihnen verbundenen Personen im Internet. Sie begründet dies zusammengefasst damit, dass die Veröffentlichung persönlicher Daten mutmasslicher Schuldnerinnen/Schuldner im Internet über das legitime wirtschaftliche Interesse der Gläubiger hinaus gehe und unverhältnismässig sei. Betroffene würden ohne ihr Wissen öffentlich negativ dargestellt, obwohl die Vorwürfe nur einseitig geprüft worden seien und ihre Verteidigung erschwert werde. Zudem sei die Veröffentlichung kaum kontrollierbar und könne dauerhafte Folgen haben. Insgesamt überwiege das Recht der Betroffenen auf Datenschutz und informationelle Selbstbestimmung.

Zudem sei die öffentliche Warnung vor Betrügern nicht Aufgabe privater Personen und könne weder durch ein öffentliches noch ein überwiegendes privates Interesse gerechtfertigt werden. Demgegenüber stelle die Prävention im Sinne von Kreditauskünften im Hinblick auf ein konkretes Vertragsverhältnis ein überwiegendes privates Interesse dar. Der Schutz bestehe darin, dass ein Wirtschaftsteilnehmer die Kreditwürdigkeit einer Person prüfe, bevor er mit ihr einen Vertrag abschliesse. In diesem Fall habe der Gesetzgeber bereits eine Interessenabwägung vorgenommen und in Art. 31 Abs. 2 Bst. c DSG Schranken für die Rechtfertigung von Datenbearbeitungen zum Zweck der Prüfung der Kreditwürdigkeit einer Person festgelegt. Gemäss dieser Bestimmung komme ein überwiegendes Interesse des Verantwortlichen in Betracht, wenn die Datenbearbeitung zur Prüfung der Kreditwürdigkeit einer anderen Person vorgenommen werde. Es stehe der Beschwerdeführerin frei, ihr Angebot im Sinne eines Kreditauskunftsdienstes umzugestalten, das die rechtlichen Vorgaben von Art. 31 Abs. 2 Bst. c DSG erfülle.

6.4

6.4.1 Eine Persönlichkeitsverletzung kann unter anderem durch die Einwilligung der betroffenen Person gerechtfertigt sein (Art. 31 Abs. 1 DSG). Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird (Art. 6 Abs. 6 DSG). Sie muss sich damit auf bestimmte Bearbeitungen beziehen. Eine globale Einwilligung in Bezug auf unbestimmte Bearbeitungen oder Bearbeitungen für beliebige Zwecke ist damit ungültig. Die Einwilligung bedarf keiner besonderen Form. Sie kann schriftlich oder mündlich erfolgen, ausdrücklich oder stillschweigend sowie konkludent erklärt werden. Konkludent erfolgt die Zustimmung beispielsweise, wenn die betroffene Person Daten freiwillig bekannt gibt. Eine ausdrückliche Zustimmung ist gemäss Art. 6 Abs. 7 Bst. a DSG hingegen unter anderem für die Bearbeitung von besonders schützenswerten Personendaten vorgeschrieben (vgl. Rampini/Harasgama, in: BSK DSG/BGÖ, a.a.O., N. 5 ff. zu Art. 31). Gemäss Art. 5 Bst. c Ziff. 5 DSG handelt es sich bei Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen um besonders schützenswerte Personendaten. Besonders schützenswerte Personendaten sind eine privilegierte Unterkategorie der Personendaten. Sie werden mit Blick auf den Grundrechts- und Persönlichkeitsschutz Betroffener als besonders schützenswert eingestuft (vgl. Blechta/Da Molin/Wesiak-Schmidt, in: BSK DSG/BGÖ, a.a.O., N. 52 zu Art. 5). Da es sich bei besonders schützenswerten Personendaten um speziell sensible Daten handelt, wird die Rechtmässigkeit einer Bekanntgabe an Dritte vom Vorliegen eines Rechtfertigungsgrundes, zum Beispiel der ausdrücklichen Einwilligung der betroffenen Person oder einer gesetzlichen Grundlage, abhängig gemacht. Daneben ist bei der Weitergabe insbesondere das Prinzip der Verhältnismässigkeit und der Zweckbindung zu beachten (Rampini/Harasgama, in: BSK DSG/BGÖ, a.a.O., N. 20 zu Art. 30).

6.4.2 Eine persönlichkeitsverletzende Datenbearbeitung kann ebenfalls durch überwiegende private oder öffentliche Interessen gerechtfertigt sein (Art. 31 Abs. 1 DSG). Ob dies der Fall ist, ist durch Abwägung der privaten Interessen an der Datenbearbeitung mit den Interessen der betroffenen Person am Schutz der Persönlichkeit und an der Verfügungsfreiheit zu ermitteln. Im Rahmen der Rechtfertigungsgründe bedarf es einer Interessenabwägung (vgl. Rampini/Harasgama, in: BSK DSG/BGÖ, a.a.O., N. 1 f. zu Art. 30 und N. 22 zu Art. 31). Bei der Interessenabwägung sind die konkreten Interessen zu ermitteln, diese mithilfe rechtlich ausgewiesener Massstäbe zu beurteilen und zu optimieren, sodass sie mit Rücksicht auf die Beurteilung, die ihnen zuteil wurde, im Entscheid möglichst umfassend zur Geltung gebracht werden können (Tschannen/Müller/Kern, Allgemeines Verwaltungsrecht, 5. Aufl. 2022, S. 242). Die Beweislast für das Vorliegen eines Rechtfertigungsgrundes trifft gemäss den allgemeinen Beweislastregeln des Art. 8 ZGB die Person, welche sich auf den Rechtfertigungsgrund beruft, also den Datenbearbeiter (vgl. Rampini/Harasgama, in: BSK DSG/BGÖ, a.a.O., N. 1 zu Art. 30). Schliesslich kann eine persönlichkeitsverletzende Datenbearbeitung durch Gesetz gerechtfertigt sein.

6.5 Das Vorliegen der vorgeschriebenen Einwilligung für die Bearbeitung der hiervor genannten besonders schützenswerten Personendaten (vgl. vorstehende E. 5.7.2 und E. 6.4.1) wird weder geltend gemacht, noch befindet sich eine solche in den Akten.

Dass die betroffenen Personen - die mutmasslichen Schuldnerinnen/Schuldner und die mit ihnen verbundenen Personen -, dessen weitere Personendaten auf der Internetseite (Schuldner-finden) aufgeführt sind, ihre Einwilligung schriftlich, mündlich, ausdrücklich, stillschweigend oder konkludent zur Publikation ihrer Daten gegeben haben, ist anhand der Akten ebenfalls nicht erstellt.

6.6 Eine gesetzliche Grundlage für die Bearbeitung von Personendaten in den vorliegenden Fällen (inkl. der besonders schützenswerten Personendaten), welche die Persönlichkeitsverletzung rechtfertigt, liegt ebenfalls nicht vor.

6.7 Ob andere Rechtfertigungsgründe vorliegen, ist im Rahmen der nachfolgenden Erwägungen, gestützt auf eine Interessenabwägung, zu prüfen.

7.

7.1 Zu klären bleibt demnach, ob überwiegende private oder öffentliche Interessen vorhanden sind, die eine Persönlichkeitsverletzung rechtfertigen würden.

7.2

7.2.1 Für die erforderliche Interessenabwägung sind in einem ersten Schritt die berührten Interessen zu ermitteln.

7.2.2 Berührt ist einerseits der Persönlichkeitsschutz (Diskretions- und Integritätsinteresse) und das Interesse an der Verfügungsfreiheit (Datenschutzinteresse) der betroffenen Personen. Diesen Interessen gegenüber steht einerseits das von der Beschwerdeführerin geltend gemachte öffentliche Interesse, wonach die Öffentlichkeit durch die Veröffentlichung der Personendaten der mutmasslichen Schuldnerinnen/Schuldner von diesen gewarnt werden und damit allfällige weitere Straftaten verhindert werden können (Betrugsprävention); andererseits das private Interesse der Gläubiger respektive der geschädigten Personen, dass ihre Forderungen beglichen werden. Schliesslich steht das private Datenbearbeitungsinteresse der Beschwerdeführerin den Interessen der betroffenen Personen gegenüber; nämlich das wirtschaftliche Interesse der Beschwerdeführerin, die mutmassliche Schuldnerinnen/Schuldner gegen Vergütung zu ermitteln und die Forderungen einzutreiben sowie in der Öffentlichkeit Betrugsprävention zu betreiben.

7.3 In einem nächsten Schritt sind die berührten Interessen zu bewerten.

7.3.1 Zunächst ist auf das Interesse am Schutz der Persönlichkeit und am Interesse an der Verfügungsfreiheit der betroffenen Personen einzugehen. Diese Interessen sind als solche schützenswert, doch hängt der Grad der Schutzwürdigkeit von verschiedenen Faktoren ab wie die Sensitivität der bearbeiteten Personendaten, das Verletzungspotenzial der Datenbearbeitung und die Schwere der aus der Bearbeitung möglicherweise resultierenden Persönlichkeitsverletzung (vgl. Rampini/Harasgama, in: BSK DSG/BGÖ, a.a.O., N. 25 und 26 zu Art. 31 DSG).

Bei den bearbeiteten Personendaten handelt es sich um Daten wie Vornamen und Nachnamen oder Decknamen der Schuldnerin/des Schuldners, Adressdaten, Herkunft, Arbeitsstelle beziehungsweise Geschäftstätigkeit, Angaben zu zivil- und strafrechtlichen Verfahren und Urteile sowie Fotos von Angehörigen oder mutmassliche Fotos der Schuldnerinnen/Schuldner und Stimmaufzeichnungen. Betroffen sind damit einerseits besonders schützenswerte Personendaten, andererseits nicht besonders sensitive Daten, die teilweise bereits öffentlich zugänglich sind. Die Datenbearbeitung, nämlich die Veröffentlichung im Internet stellt einen besonders intensiven Eingriff in die Persönlichkeitsrechte der betroffenen Personen dar. Vorliegend ist nämlich zu berücksichtigen, dass es sich um mutmassliche Schuldnerinnen/Schuldner handelt; jedenfalls ist anhand der Akten nicht erwiesen, dass sich die Situation anders verhält. Selbst wenn es sich um ausgewiesene Schuldnerinnen/Schuldner handeln würde, hat die Veröffentlichung der Personendaten den Effekt einer privaten Fahndung beziehungsweise Strafcharakter und führt zu einem sogenannten Prangereffekt. Zudem werden die Personendaten einem unbestimmten potenziell unbegrenzten Personenkreis zugänglich gemacht und zwar auf unbestimmte Zeit («das Internet vergisst nicht»). Aufgrund des hohen Verletzungspotenzials wiegt die aus der Bearbeitung möglicherweise resultierenden Persönlichkeitsverletzung der bearbeiteten Personendaten schwer (betreffend die besonders schützenswerten und die nicht besonders sensitiven Personendaten). Entsprechend ist auch der Grad der Schutzwürdigkeit als hoch einzustufen. Zusammengefasst wird das Integritäts- und das Diskretionsinteresse sowie das Datenschutzinteresse der betroffenen Personen verletzt.

Diesen Interessen der betroffenen Personen ist entsprechend hohes Gewicht beizumessen.

7.3.2 Weiter ist auf das von der Beschwerdeführerin geltend gemachte öffentliche Interesse einzugehen.

Wie die Vorinstanz richtigerweise vorbringt, liegt es in der Zuständigkeit der Strafverfolgungsbehörden, mutmassliche Täter/Täterinnen zur Rechenschaft zu ziehen. Auch stehen für eine Betrugsprävention öffentliche Register wie zum Beispiel das Strafregister oder das Betreibungsregister zur Verfügung. Für die Eintreibung von offenen Geldforderungen steht schliesslich das Schuldbetreibungs- und Konkursrecht zur Verfügung. Eine gesetzliche Grundlage für Private, zusätzliche Massnahmen zu ergreifen, um diese Staatsaufgaben zu unterstützen, liegt nicht vor. Diesem Interesse ist demnach kein Gewicht beizumessen.

Zum Argument der Beschwerdeführerin, die behördlichen Warnungen würden offenkundig nicht flächendeckend und effizient genug sein, kann auf die Ausführungen der nachfolgenden Erwägung 7.3.3 verwiesen werden.

7.3.3 Für das private Interesse der Gläubiger respektive der geschädigten Personen, dass ihre Forderungen beglichen werden, stehen gesetzlich legitimierte Mittel zur Verfügung (Gerichtsverfahren, Betreibungsverfahren und dgl.). Das indirekt geltend gemachte Argument der Beschwerdeführerin, die gesetzlich legitimierten Mittel würden nicht ausreichen, verfängt nicht. Eine allfällige faktische Imperfektion eines Rechtssystems vermag nicht zu rechtfertigen, dass Private selbst jegliche Massnahmen ergreifen dürfen. Mit dem Argument, dass die staatlich vorgesehenen Massnahmen nicht ausreichend sind, würde die Interessenabwägung ausgehebelt und damit der Rechtsschutz des Datenschutzes ausgehöhlt werden. Auch diesem Interesse ist entsprechend kein Gewicht beizumessen.

7.3.4 Schliesslich ist auf das private Datenbearbeitungsinteresse der Beschwerdeführerin einzugehen.

Grundsätzlich können alle schützenswerten Interessen an der Datenbearbeitung berücksichtigt werden, das heisst alle «Interessen von allgemein anerkanntem Wert». Ob der Datenbearbeiter ein schützenswertes Interesse verfolgt, hängt vom Zweck der Datenbearbeitung ab (vgl. Rampini/Harasgama, in: BSK DSG/BGÖ, a.a.O., N. 24 zu Art. 31 DSG).

Nach Art. 16 BV hat jede Person das Recht, Informationen frei zu empfangen, aus allgemein zugänglichen Quellen zu beschaffen und zu verbreiten. Die Beschwerdeführerin verfolgt ein eigenes wirtschaftliches Interesse, indem sie eine Vergütung für ihrer Tätigkeit anstrebt, mutmassliche Schuldnerinnen/Schuldner unter anderem durch die Veröffentlichung deren Personendaten zu ermitteln und die Forderungen schliesslich einzutreiben. Zudem besteht das Interesse darin, in der Öffentlichkeit Betrugsprävention zu betreiben. In Anbetracht dessen, dass bereits der Zweck der Datenbearbeitung illegitim ist und die Beschwerdeführerin ihre Tätigkeit ohne Weiteres auch ohne Verletzung der Datenschutzvorschriften ausüben kann (z. B. nach Art. 31 Abs. 2 Bst. c DSG), ist diesem Interesse ein geringes Gewicht beizumessen. Andere schützenswerte Interessen der Beschwerdeführerin liegen nicht vor und werden auch nicht geltend gemacht.

7.4 Schliesslich ist die eigentliche Abwägung der Interessen vorzunehmen.

Die Bewertung der Interessen ergibt, dass dem Interesse am Schutz der Persönlichkeit und am Interesse an der Verfügungsfreiheit der betroffenen Personen ein hohes Gewicht zukommt. Diesen Interessen gegenüber steht das Datenbearbeitungsinteresse der Beschwerdeführerin, dem lediglich ein geringes Gewicht zukommt. Hierzu ist festzuhalten, dass nur gewichtige Interessen an der Datenbearbeitung höher bewertet werden dürfen als die Datenschutzinteressen der betroffenen Person (vgl. Rampini/Harasgama, in: BSK DSG/BGÖ, a.a.O., N. 26 zu Art. 31 DSG).

Auch liegt kein öffentliches gewichtiges Interesse vor, das die persönlichkeitsverletzende Datenbearbeitung zu rechtfertigen vermag (vgl. vorstehende E. 7.3.2). Besteht nämlich keine besondere gesetzliche Regelung und überwiegt das Datenschutzinteresse der betroffenen Personen gegenüber dem privaten Bearbeitungsinteresse des Datenbearbeiters, ist es erfahrungsgemäss selten, dass ein selbständiges öffentliches Interesse an der Datenbearbeitung diese Interessenabwägung umzukehren vermag. Öffentliche Interessen haben damit bei der Bearbeitung von Personendaten durch Private in der Regel bloss unterstützende Funktion. Zum einen können selbständige öffentliche Interessen zu schützenswerten privaten Bearbeitungsinteressen hinzutreten. Zum anderen können rechtspolitische Überlegungen aufzeigen, dass die vom Datenbearbeiter verfolgten privaten Bearbeitungsinteressen schützenswert sind. Die Rechtfertigung einer Persönlichkeitsverletzung aus überwiegenden öffentlichen Interessen ist deshalb nur mit Zurückhaltung anzunehmen (vgl. Rampini/Harasgama, in: BSK DSG/BGÖ, a.a.O., N. 70 zu Art. 31 DSG, m.w.H.).

7.5 Zusammenfassend kann festgehalten werden, dass kein Rechtfertigungsgrund für die Persönlichkeitsverletzung vorliegt. Die Beschwerdeführerin hat die Persönlichkeit der betroffenen Personen widerrechtlich verletzt.

8.

8.1 Die Beschwerdeführerin macht zudem geltend, die Vorinstanz habe es versäumt, sie auf die durch die Publikation der Personendaten offenbar fortbestehenden Verstösse aufmerksam zu machen und ihr frühzeitig Gelegenheit zu geben, diese zu korrigieren oder ihr zu widersprechen. Damit treffe die Vorinstanz ein Mitverschulden, dass offenbar datenschutzwidrige Publikationen von ihr nicht erkannt worden und länger als notwendig online geblieben seien.

8.2 Die Vorinstanz entgegnet im Wesentlichen, dass die Verantwortung für die rechtmässige Datenbearbeitung beim verantwortlichen Datenbearbeiter liege, und zwar unabhängig davon, ob sie interveniere oder nicht.

8.3 Aus den Akten ergibt sich, dass die Vorinstanz vom BayLDA über eine datenschutzrechtliche Beschwerde einer in Deutschland wohnhaften Person gegen die Beschwerdeführerin informiert wurde. In der Folge wies die Vorinstanz die Beschwerdeführerin - unter Anwendung des Bundesgesetzes vom 19. Juli 1992 über den Datenschutz (aDSG; AS 1993 1945) mit Schreiben vom 9. September 2021 darauf hin, dass die Veröffentlichung von Personendaten angeblich säumiger Zahlerinnen und Zahlern auf ihren Internetseiten oder über andere Kanäle gegen datenschutzrechtliche Vorschriften verstosse. Sie führte weiter an, dass insbesondere der Grundsatz der Verhältnismässigkeit verletzt worden sei und hierfür kein Rechtfertigungsgrund ersichtlich sei. Nachdem die Vorinstanz mit Schreiben vom 23. Oktober 2023 vom BayLDA erneut darauf aufmerksam gemacht worden war, dass die Beschwerdeführerin offensichtlich weiterhin Personendaten von mutmasslichen Schuldnerinnen/Schuldnern auf ihrer Internetseite (Schuldner-finden) publiziere, eröffnete die Vorinstanz unter Anwendung des neuen DSG gegen die Beschwerdeführerin eine Untersuchung. Die Vorinstanz forderte die Beschwerdeführerin weiter auf, sich innert 30 Tagen zum Entwurf der Sachverhaltsfeststellung zu äussern.

Der Vorinstanz ist beizupflichten, dass die Verantwortung für die rechtmässige Datenbearbeitung beim verantwortlichen Datenbearbeiter liegt. Die Beschwerdeführerin kann die eigene Einhaltung der Datenschutzvorschriften nicht davon abhängig machen, ob die Vorinstanz sie auf eine Verletzung der Datenschutzvorschriften aufmerksam macht, respektive eine Untersuchung einleitet. Vielmehr obliegt es der Beschwerdeführerin selbst, dafür zu sorgen, dass die Datenschutzvorschriften eingehalten werden und sie sich rechtmässig verhält. Es besteht damit kein Zusammenhang zwischen der Verletzung der Datenschutzvorschriften und dem geltend gemachten Nichteinschreiten der Vorinstanz. Diese Rügen erweisen sich demnach als unbegründet.

9.

9.1 Mit ihrer Beschwerde informiert die Beschwerdeführerin unter Hinweis, dass dies nicht Gegenstand der Beschwerde sei, darüber, dass sie die Internetseite (Schuldner-finden) mittlerweile vorsorglich und bezogen auf bestimmte Seiten ohne Anerkennung einer Schuld in einen Kreditauskunftsdienst gemäss Art. 31 Abs. 2 Bst. c DSG umgestaltet habe. Dies betreffe auch die meisten Unterseiten, für die sie ein überwiegendes öffentliches oder privates Interesse geltend mache. Der Besucher ihrer Internetseite müsse sich auf ihrer Seite anmelden und einen Abfragegrund angeben. Die für den nicht Angemeldeten sichtbare Information und das Prozedere entspreche ziemlich genau dem, wie es andere Kreditauskunftsdienste seit Jahren anbieten und praktizieren würden. Die nicht verschlüsselten Seiten würden jene betreffen, bei denen sie ein öffentliches Interesse in besonderem Mass geltend machen würden.

9.2 Die Vorinstanz führt dazu aus, dass die nach Erlass der Verfügung vorgenommenen Anpassungen der Beschwerdeführerin weder die Beurteilung der Vorinstanz geändert hätten noch zu einer allfälligen Wiedererwägung der angefochtenen Verfügung führen würden. Die nach Erlass der Verfügung vorgenommenen Änderungen seien nicht geeignet, die festgestellten Verletzungen der Datenschutzvorschriften zu beheben beziehungsweise den rechtskonformen Zustand wieder herzustellen. Nach wie vor seien Namen und persönliche Details der mutmasslichen Schuldnerinnen/Schuldnern auf der Webseite unter der Rubrik «Nachfragen», «Warnungen» und unter «Ermittlungen & Prävention, Betrug» ersichtlich.

9.3 Dazu kann festgehalten werden, dass dieser Umstand - wie die Beschwerdeführerin selbst erkennt, - an der vorliegenden Beurteilung, dass diese gegen datenschutzrechtliche Vorschriften verstossen hat, nichts zu ändern vermag. Vorliegend wurde geprüft, ob die angefochtene Verfügung zu Recht erlassen wurde. Der Ausgang des Verfahrens wird dadurch nicht verändert.

10. Zusammengefasst liegt weder eine Verletzung des Anspruchs auf rechtliches Gehör noch eine unrichtige/unvollständige Sachverhaltsfeststellung oder eine Verletzung von Bundesrecht durch die Vorinstanz vor. Die angefochtene Verfügung der Vorinstanz ist nicht zu beanstanden. Die Beschwerde erweist sich demnach als unbegründet, weshalb sie abzuweisen ist.

11. Es bleibt über die Kosten- und Entschädigungsfolgen des Beschwerdeverfahrens zu befinden.

11.1 Dem Verfahrensausgang entsprechend gilt die Beschwerdeführerin als unterliegend und sie hat die Verfahrenskosten zu tragen (Art. 63 Abs. 1 VwVG). Diese sind vorliegend auf insgesamt Fr. 5'000.- festzusetzen (Art. 1 ff. des Reglements vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht [VGKE, SR 173.320.2]). Der in gleicher Höhe einbezahlte Kostenvorschuss wird zur Bezahlung der Verfahrenskosten verwendet.

11.2 Der Beschwerdeführerin steht als unterliegender Partei keine Parteientschädigung zu (Art. 64 Abs. 1 VwVG; Art. 7 Abs. 1 VGKE). Ebenso wenig hat die obsiegende Vorinstanz einen Anspruch auf eine Entschädigung (vgl. Art. 7 Abs. 3 VGKE).

(Das Dispositiv folgt auf der nächsten Seite).

Demnach erkennt das Bundesverwaltungsgericht:

1. Die Beschwerde wird abgewiesen.

2. Der Beschwerdeführerin werden Verfahrenskosten von Fr. 5'000.- auferlegt. Der einbezahlte Kostenvorschuss wird zur Bezahlung der Verfahrenskosten verwendet.

3. Es wird keine Parteientschädigung zugesprochen.

4. Dieses Urteil geht an die Beschwerdeführerin und die Vorinstanz.

Für die Rechtsmittelbelehrung wird auf die nächste Seite verwiesen.

Die vorsitzende Richterin:

Die Gerichtsschreiberin:

Christine Ackermann

Gloria Leuenberger-Romano

Rechtsmittelbelehrung:

Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bundesgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen Angelegenheiten geführt werden (Art. 82 ff., 90 ff. und 100 BGG). Die Frist ist gewahrt, wenn die Beschwerde spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Handen der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung übergeben worden ist (Art. 48 Abs. 1 BGG). Die Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten. Der angefochtene Entscheid und die Beweismittel sind, soweit sie die beschwerdeführende Partei in Händen hat, beizulegen (Art. 42 BGG).

Versand: