verfuegung-des-edoeb-vom-26-juni-2026-add-conti-gmbh-adressdatenbank-fuer-werbez-2026-06-26

EDÖB-A-EE013501/2

Feldeggweg 1 3003 Bern Tel. +41 58 463 74 84, Fax +41 58 465 99 96 www.edoeb.admin.ch Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter EDÖB Der Beauftragte

Verfügung vom 26. Juni 2026 in Sachen Untersuchung nach Art. 49 des Bundesgesetzes über den Datenschutz (Datenschutzgesetz, DSG; SR 235.1) gegen Add Conti GmbH, Wiggenweg 3, 9404 Roschacherberg (Partei) Betreffend Adressdatenbank für Werbezwecke und Betroffenenrechte

2/13 A. Sachverhalt I. Gegenstand der Untersuchung 1 Gegenstand der vorliegenden Untersuchung bildet die Frage, ob die Add Conti GmbH bei der Bear- beitung von Personendaten im Zusammenhang mit dem Versand von Werbung gegen bundesrecht- liche Datenschutzvorschriften verstösst, insbesondere die datenschutzrechtlichen Grundsätze von Art. 6 DSG sowie die Rechte der betroffenen Personen (Auskunftsrecht nach Art. 25 DSG und Löschrecht nach Art. 30 Abs. 2 lit. b DSG). II. Sachverhalt 2 Die Add Conti GmbH ist ein Schweizer Unternehmen, das gemäss Handelsregistereintrag die Ver- mittlung und das Telemarketing von Laufzeitverträgen für Energie, Mobilfunk, Versicherungen, Kre- dite, Zeitschriften, Verbraucherumfragen, Leadgenerierung, Listbroking, Leadveredelung sowie As- sekuranzvermittlung zum Zweck hat. 3 Als Gesellschafter ist die Responsa Libro AG eingetragen, die ihren Sitz an der gleichen Adresse wie die Add Conti GmbH in Rorschacherberg hat. Geschäftsführer der Add Conti GmbH war gemäss Handelsregister Rolf Sonderegger, wobei dieser den EDÖB im Verlauf des Verfahrens über seine Kündigung informiert hat und gemäss Handelsregister am 22. Januar 2026 aus der Gesellschaft ausgeschieden ist. 4 Das Unternehmen verfügt über eine Webseite (addconti.ch), auf der sich ausschliesslich ein Impres- sum und eine Datenschutzerklärung finden. Die Add Conti GmbH gibt in ihrer Datenschutzerklärung an, dass betroffene Personen ihr Recht auf Auskunft, auf Berichtigung oder Löschung, auf Ein- schränkung der Verarbeitung und ihr Recht auf Widerspruch gegen die Datenbearbeitung geltend machen können. Als Verantwortlicher wird die Add Conti GmbH angegeben, erreichbar an der Post- adresse Wiggenweg 3 in 9404 Rorschacherberg bzw. über E-Mail an info@addconti.ch. Der Daten- schutzbeauftragte könne ebenfalls auf dem Postweg mit dem Zusatz «der Datenschutzbeauftragte» und via die E-Mail-Adresse datenschutz@addconti.ch erreicht werden. Nach § 5 der Datenschutzer- klärung soll der Widerspruch gegen die Datenbearbeitung zum Zwecke der Werbung und Daten- analyse «jederzeit» möglich sein. Auch hier wird die Postadresse der Add Conti GmbH und die Mail- Adresse info@addconti.ch als Kontaktmöglichkeit aufgeführt.

a) Betroffenenrechte 5 Der EDÖB hat zwischen dem 9. Dezember 2023 bis zur Eröffnung der vorliegenden Untersuchung am 4. Juni 2025 fünfzehn Anzeigen von betroffenen Personen gegen die Add Conti GmbH erhalten. Seit Eröffnung der Untersuchung sind weitere zwölf Anzeigen eingegangen. Insgesamt liegen dem EDÖB 27 Anzeigen vor, die den gleichen Sachverhalt betreffen. 6 Gemäss den dem EDÖB vorliegenden Anzeigen erhalten in Deutschland wohnhafte Betroffene te- lefonische, postalische oder elektronische Werbung von einer ihnen in der Regel unbekannten Firma. Dabei handelt es sich um verschiedene in Deutschland domizilierte Unternehmen, die sich auf die Add Conti GmbH als Quelle für die von ihnen im Bereich Marketing verwendeten Adressdaten berufen. Es handelt sich um Unternehmen wie die Energela UG, das Consumer Panel Germany GfK, der Energiekompass Hamburg, die boost Mail GmbH, Amplifon oder auch Plan International Deutschland e.V. 7 Personen, die ein datenschutzrechtliches Auskunftsbegehren bei diesen Unternehmen gestellt ha- ben, erhielten die Auskunft, dass diese Personendaten wie Name, Anschrift, Geburtsdatum, Tele- fonnummer und E-Mail-Adresse über sie bearbeiteten. Die betroffenen Personen erhielten zudem die Information, dass ihre Daten von der Firma Add Conti GmbH stammen würden und dass sie ihre Einwilligung zur Datenbearbeitung mit der Teilnahme an einem von der Add Conti GmbH veranstal- teten Gewinnspiel erteilt hätten.

3/13 8 In gewissen Fällen erhielten die Betroffenen in einem ersten Schritt die Auskunft, dass die Perso- nendaten von einem weiteren, dazwischen geschalteten, Marketingunternehmen stammen, bei- spielsweise die Global Group TDA Germany GmbH oder die ADP-Marketingagentur. Betroffene Per- sonen, die dann ein weiteres Auskunftsgesuch an diese Firmen gestellt haben, haben aus deren Antwort erfahren, dass ihre Daten ursprünglich von der Add Conti GmbH stammen. 9 Als weitere Konstellation haben betroffene Personen eine Selbstauskunft bei der CRIF GmbH ver- langt. Darauf wurde ihnen von der CRIF GmbH mitgeteilt, dass die bearbeiteten Personendaten von der Firma effectmail UG stammen. Diese wiederum verweist in ihrer Antwort auf entsprechende Auskunftsbegehren, dass die Daten von der Add Conti GmbH stammen. 10 Erhalten betroffene Personen eine detaillierte Auskunft mit Belegen von den angegangenen Unter- nehmen, besteht diese aus drei Dokumenten: • Einem Ausdruck, der mit den Daten des Betroffenen ausgefüllten Webseite vom Gewinnspiel, wobei beide Kästchen (Kenntnisnahme der Datenschutzerklärung / Teilnahmebedingungen und Einwilligung Datenbekanntgabe) angekreuzt sind und das Captcha ausgefüllt ist. • Weiter erhalten sie einen Auszug namens «Gespeicherte Teilnehmerdaten und Nachweis der Werbeeinwilligung» mit dem Briefkopf der Add Conti GmbH. Darin sind die Webadresse des Gewinnspiels, die Personendaten der betroffenen Person (Name, Adresse, Geburtsdatum, E- Mail-Adresse, Telefonnummer) sowie der Zeitstempel der Eintragung im Gewinnspiel, die IP- Adresse von wo auf das Gewinnspiel zugegriffen wurde und der Zeitstempel der Verifizierung eingetragen. • Als drittes Dokument ist ein angeblicher Nachweis der Übersendung des Aktivierungscodes auf die im Gewinnspiel eingetragene Telefonnummer beigelegt. Dabei handelt es sich um ein Do- kument des zyprischen Auftragsbearbeiters PETMEC LTD namens «Sendereport» und «Re- portdetails für SMS ID …». Es ist vermerkt, an welche Telefonnummer ein SMS versandt worden sei und der Inhalt der Nachricht («Der Aktivierungscode Ihrer heutigen Eintragung im Gewinn- spiel https://gsem.mein-traum-gewinn.com lautet: 795270»). Auch dieses Dokument beinhaltet einen Zeitstempel für «Zeit am Gateway» und «Gesendet am» sowie die Webseite des fragli- chen Gewinnspiels. Diese dem EDÖB vorgelegten Dokumente, sowohl der Auszug der Add Conti GmbH wie auch der Report des SMS-Versands des zyprischen Auftragsbearbeiters, sind auf den gleichen Tag datiert an dem das Auskunftsersuchen an das werbetreibende Unternehmen gestellt wurde. Es bestehen so- mit Anzeichen, dass sie erst im Hinblick auf das eingegangene Auskunftsersuchen von der Add Conti GmbH erstellt worden sind. 11 Die von den Betroffenen gestellten Auskunfts- und Löschbegehren sowie die Geltendmachung des Widerspruchsrechts direkt an die Add Conti GmbH, sei es per Mail an die beiden angegebenen Mailadressen (datenschutz@addconti.ch oder info@addconti.ch) oder mittels (eingeschriebener) Post an die Adresse der Add Conti GmbH in Rorschacherberg, verblieben demgegenüber in allen dem EDÖB angezeigten Fällen ohne jegliche Reaktion oder Antwort. 12 Demgegenüber machte die Add Conti GmbH in ihrer Stellungnahme vom 29. August 2025 geltend, dass die Abwicklung von Auskunfts- und Löschbegehren ordnungsgemäss von ihrem Dienstleister, die MMC-Solution GmbH mit Sitz an der Helmut-Nack-Str. 6, 21035 Hamburg, und einem manda- tierten Datenschutzberater, dem Rechtsanwalt Otmar Niens in Krefeld, Deutschland, ausgeführt würden. 13 Auskunftsbegehren, die an die E-Mail-Adressen datenschutz@addconti.ch und info@addconti.ch adressiert würden, würden ebenfalls von den deutschen Dienstleistern, Matthias Möller von der MMC-Solution GmbH sowie dem Datenschutzbeauftragten Otmar Niens in Krefeld empfangen und behandelt. Der in der Schweiz ansässige Geschäftsführer Rolf Sonderegger der Add Conti GmbH verfüge selber über keinen direkten Zugriff auf diese E-Mail-Adressen.

4/13 14 Postalisch adressierte Briefe an den Wiggenweg 3 in 9404 Rorschacherberg würden vom Ge- schäftsführer weitergeleitet bzw. gescannt und per E-Mail an den Dienstleister zur Behandlung wei- tergeleitet. Die Add Conti GmbH hat im Rahmen ihrer Stellungnahme vom 29. August 2025 nicht bestritten, dass Auskunftsbegehren innert der gesetzlichen Frist unbeantwortet blieben, und machte als Erklärung geltend, dass der Geschäftsführer neben der Add Conti GmbH weitere Mandate führe und regelmässig zwischen Asien und Europa reise. Eine Stellvertreterlösung sei nötig, aber dazu müsste erst die geeignete Person gefunden werden, dann müsste eine Datennutzungsvereinbarung abgeschlossen werden und der Zugriff auf die entsprechenden Mailkonti erteilt werden. Diese Mas- snahmen würden umgesetzt, bräuchten aber eine Umsetzungsfrist bis Ende September 2025. Der EDÖB hat nichtsdestotrotz seit Oktober 2025 fünf weitere Anzeigen gleichen Inhalts wie die früheren Anzeigen gegen die Add Conti GmbH erhalten. 15 Im Weiteren wurde als Erklärung ausgeführt, dass in Deutschland, um Spam zu vermeiden, von einigen Freemail Anbietern viel vermeintlicher Spam vor der Auslieferung auf Mailkonten herausge- filtert würden. Um genauere Informationen geben zu können, wären Informationen zu den Betroffe- nen und ihren Anfragen hilfreich, um deren Zustellung recherchieren zu können.

b) Datenbearbeitung durch die Add Conti GmbH 16 Die Add Conti GmbH führt in der Stellungnahme vom 29. August 2025 aus, dass sie Personendaten im Rahmen der Gewinnspiele erhebt und diese ausschliesslich zum Zwecke der ordnungsgemässen Durchführung des jeweiligen Gewinnspiels speichert und verwertet. Sie führt auch aus, dass sie eine Einwilligung zur Weitergabe an die Werbekunden mit dem Gewinnspiel einholt. 17 Solche Gewinnspiele sind auf der Webseite der Add Conti GmbH selber nicht einsehbar, aber ge- mäss Angaben der Add Conti GmbH unter Adressen wie https://gsem.mein-traum-gewinn.com, https://dy.mein-traum-gewinn.com, https://mb.mein-traum-gewinn.com/gewinnspiel/macbook-gws oder https://gutscheine.mein-traum-gewinn.com/gewinnspiel/ikea-8 abrufbar. 18 Diese Gewinnspiel-Webseiten sind alle gleich aufgebaut: Sie bestehen aus einer Seite, auf der ein Gutschein für einen bestimmten Anbieter, z.B. Zalando, Ikea, Dyson oder Apple, als Hauptpreis in einem Gewinnspiel angeboten wird. Auf der gleichen Seite können Teilnehmende ihre persönlichen Daten (Personalien, Post- und E-Mail-Adresse, Telefonnummer, Geburtsdatum) in vorgegebene Fel- der eingeben. Anschliessend gibt es ein Kästchen, wo durch Anklicken bestätigt wird, dass die (ver- linkte) Datenschutzerklärung und die Teilnahmebedingungen zur Kenntnis genommen wurden. Da- runter befindet sich ein weiteres Kästchen, mit dem die Teilnehmenden ihre Einwilligung erteilen, dass (namentlich genannte) Sponsoren sie telefonisch, per E-Mail oder per Postwerbung für den Abschluss von Verträgen kontaktieren dürfen. Es wird erläutert, dass der Widerruf dieser Einwilli- gung jederzeit formlos für die Zukunft gegenüber der Veranstalterin, also der Add Conti GmbH, mög- lich sei. 19 Ebenfalls auf der Webseite lassen sich Fenster öffnen mit einer Datenschutzerklärung, den Teilnah- mebedingungen, Angaben zur Werbeeinwilligung, ein Impressum und Angaben zu Gewinnern. In der Datenschutzerklärung, den Teilnahmebedingungen, der Werbeeinwilligung und im Impressum ist die Add Conti GmbH als für das Gewinnspiel und die Datenbearbeitung verantwortliches Unter- nehmen aufgeführt. Im Pop-up Fenster «Gewinner» finden sich unverändert bei allen vom EDÖB geprüften Webseiten drei identische Namen und eine Mitteilung, dass «der Gewinner (…) nach Ab- lauf der zweiten Spielperiode Ende Oktober ermittelt (wird)». 20 Zudem gibt es noch eine Unterseite mit dem Titel «Abmelden», wo oben ein Feld mit «abmelden», «abmelden sub» und «abmelden sub sub» erscheint und unten dran befinden sich Felder für die Eingabe von Namen, Vorname, eventuell Telefonnummer und E-Mail-Adresse. Weitere Hinweise darauf, wovon man sich mit einer Eintragung auf dieser Seite abmelden würde, sind nicht vorhanden. 21 Gemäss den Angaben der Add Conti GmbH speichere das System bei der Teilnahme am Gewinn- spiel zusätzlich zu den von den Teilnehmenden eingegebenen Personalien und Adressdaten, deren IP-Adresse, den Timestamp und die Logfile-Daten als Registrierungsdaten. Mit der Teilnahme werde

5/13 auch eine Einwilligung für die Übermittlung an einen Auftragsbearbeiter in Zypern, der die Teilnah- mecodes via SMS versendet, erteilt. Erst mit dem Ausfüllen der Personalien, dem Anklicken der zwei Kästchen im Webformular – Bestätigung der Kenntnisnahme der Datenschutzerklärung und der Teil- nahmebedingungen sowie Einverständnis zur Kontaktaufnahme durch Sponsoren – und der an- schliessenden Eingabe eines per SMS zugestellten Zahlencodes, werde die Teilnahme am Wettbe- werb bestätigt und der Nutzung der Personendaten zugestimmt. Gemäss den Angaben der Add Conti GmbH würden keine weiteren Daten bei Dritten erhoben noch würden Personendaten aus anderen Quellen mit den Daten aus den Gewinnspielen zusammengeführt. 22 Alle Anzeigerinnen und Anzeiger machen unisono geltend, dass sie nie an einem Gewinnspiel der Add Conti GmbH teilgenommen und keine Kenntnis haben, eine derartige Einwilligung abgegeben zu haben. 23 Einer der Anzeiger hat im Rahmen einer Auskunft von der (heute liquidierten) Firma Energiekom- pass-Hamburg eine Kopie der Daten erhalten, die sie von der Add Conti GmbH über ihn erhalten hat. Dazu gehört der obenerwähnte Ausdruck eines mit den Personalien des Betroffenen ausgefüll- ten Gewinnspiels sowie eine Tabelle mit den gespeicherten Teilnehmerdaten mit Timestamp, IP- Adresse und Timestamp Verifizierung ebenso wie ein Sendereport für das Bestätigungs-SMS der Teilnahme. Der Anzeiger macht in seinem Schreiben an die Add Conti GmbH und gegenüber dem EDÖB geltend, dass er nie an diesem Gewinnspiel teilgenommen habe und dass der Timestamp, die IP-Adresse und die tatsächliche Postadresse, die im Formular angegeben sind, nicht mit der Realität übereinstimmen, da der Anzeiger zum Zeitpunkt der geltend gemachten Einwilligung nicht mehr an der angegebenen Adresse gewohnt habe und die angegebene IP-Adresse ebenso seit einem Jahr nicht mehr existiert habe. 24 Ein zweiter Anzeiger machte geltend, dass gemäss der erhaltenen Auskunft die Einwilligung an ei- nem Sonntagmorgen um 7.26 Uhr erteilt worden sei, was nicht stimmen könne, da er zu dem Zeit- punkt «garantiert nicht am PC gesessen habe». Im Weiteren sei das Mobiltelefon über den der an- gebliche SMS-Verifizierungscode empfangen worden sei, nur werktags eingeschaltet und die ange- gebene IP-Adresse nicht ihm zugewiesen. III. Verfahrensgeschichte 25 Die vorliegende Untersuchung wurde mit dem Eröffnungsschreiben vom 4. Juni 2025 eröffnet. Darin wurde die Add Conti GmbH unter Verweis auf ihre Mitwirkungspflicht nach Art. 49 Abs. 3 DSG auf- gefordert, schriftlich zu Fragen zur Datenbearbeitung und zur Umsetzung der Betroffenenrechte Stellung zu nehmen sowie relevante Unterlagen einzureichen. 26 Das Eröffnungsschreiben wurde der Add Conti GmbH gemäss Rückschein am 5. Juni 2025 zuge- stellt, jedoch ging innert der vom EDÖB gesetzten Frist von 30 Tagen keine Stellungnahme ein. 27 Der EDÖB hat deshalb mit Datum vom 11. Juli 2025 die Add Conti GmbH in einem zweiten Schrei- ben erneut aufgefordert Stellung zu nehmen und eine Nachfrist bis am 25. Juli 2025 gesetzt. Dieses Schreiben wurde der Add Conti GmbH nicht nur eingeschrieben an die Postadresse, sondern auch elektronisch an die zwei auf der Webseite der Add Conti GmbH publizierten E-Mail-Adressen ver- sandt. Das Schreiben wurde gemäss Rückschein der Post zugestellt, blieb jedoch erneut ohne eine Rückmeldung der Add Conti GmbH. 28 In Ermangelung einer Stellungnahme des verantwortlichen Datenbearbeiters hat der EDÖB am 19. August 2025, gestützt auf Art. 50 Abs. 1 Bst. a DSG, eine Zwischenverfügung erlassen. Er verfügte, dass der Geschäftsführer der Add Conti GmbH am 16. September 2025 um 15 Uhr am Sitz des EDÖB in Bern zu erscheinen habe, um die aufgeworfenen Fragen des EDÖB mündlich zu beant- worten. 29 Parallel dazu hat der EDÖB am 14. August 2025 bei der zuständigen Staatsanwaltschaft eine Straf- anzeige wegen Verletzung der Mitwirkungspflicht nach Art. 60 Abs. 2 DSG eingereicht und gemäss Art. 65 Abs. 2 DSG beantragt, im Verfahren die Rechte einer Privatklägerschaft wahrzunehmen.

6/13 30 Mit Datum vom 29. August 2025 hat Herr Patrick Hofmanninger im Namen der Add Conti GmbH zu den vom EDÖB mit Eröffnungsschreiben vom 4. Juni 2025 gestellten Fragen Stellung genommen. Mit Schreiben vom 10. September 2025 hat der EDÖB den Eingang des Schreibens von Herrn Hoff- manninger bestätigt und die Einreichung einer Vollmacht gestützt auf Art. 11 Abs. 2 des Verwal- tungsverfahrensgesetzes (VwVG, SR 172.021) verlangt. Er hat auch mitgeteilt, dass er an seiner Zwischenverfügung festhält und den Geschäftsführer zur mündlichen Auskunft an seinem Sitz er- wartet. Die in der Stellungnahme vom 29. August 2025 gemachten Angaben zum Sachverhalt wer- den vorliegend der Add Conti GmbH zugeschrieben, obwohl der EDÖB keine Vollmacht erhalten hat. Patrick Hofmanninger ist seinerseits Domiziladresse für die Responsa Libro AG, der die Add Conti GmbH gehört. 31 Mit E-Mail vom 12. September 2025 hat sich der Geschäftsführer der Add Conti GmbH erstmalig direkt beim EDÖB gemeldet. Er führte aus, dass er vom in der Zwischenverfügung gesetzten Termin keine Kenntnis hatte und ihn aus gesundheitlichen Gründen nicht wahrnehmen könne. Er bot statt- dessen eine telefonische Besprechung am Montag, 15. September 2025 bzw. seine Verfügbarkeit für eine Besprechung ab 18. September 2025 an. Eine telefonische Besprechung zwischen Vertre- tern des EDÖB und dem damaligen Geschäftsführer der Add Conti GmbH, Herrn Rolf Sonderegger, fand in der Folge am 18. September 2025 statt. 32 Im Nachgang zu diesem Gespräch stellte der Geschäftsführer dem EDÖB per E-Mail verschiedene Unterlagen zu, die zu den Verfahrensakten genommen wurden. 33 Mit E-Mail vom 15. Oktober 2025 teilte der Geschäftsführer der Add Conti GmbH dem EDÖB mit, dass er seine Position bei der Add Conti GmbH per 31. Januar 2026 gekündigt habe. Diese Mutation wurde im SHAB am 27. Januar 2026 publiziert. 34 Im Strafverfahren wegen Verletzung der Mitwirkungspflicht gegen die Add Conti GmbH hat der EDÖB als Privatkläger zweimal Stellung genommen und seinerseits die Stellungnahme(n) der Add Conti GmbH von der Staatsanwaltschaft St. Gallen erhalten. 35 Mit Einschreiben vom 25. Februar 2026 wurde der in der Untersuchung ermittelte Sachverhalt zu- sammen mit den relevanten Verfahrensakten der Add Conti GmbH zur Stellungnahme zugestellt. Die Annahme dieses Pakets wurde von der Add Conti GmbH verweigert, weshalb das Schreiben mit Datum vom 27. Februar 2026 erneut per eingeschriebenem Brief versandt wurde. Die Beilagen wur- den parallel dazu per Filetransfer an die dem EDÖB bekannten E-Mail-Adressen (daten- schutz@addconti.ch und info@addconti.ch) zugestellt. Das Einschreiben wurde von der Add Conti GmbH nicht abgeholt und dem EDÖB von der Post zurückgeschickt. Eine Stellungnahme der Add Conti GmbH ist bis zum Erlass der vorliegenden Verfügung nicht eingegangen. B. Erwägungen I. Formelles

1. Zuständigkeit 36 Das DSG gilt für die Bearbeitung von Personendaten natürlicher Personen durch private Personen und Bundesorgane (vgl. Art. 2 Abs. 1 DSG). Gemäss Art. 4 Abs. 1 DSG beaufsichtigt der EDÖB die Anwendung der bundesrechtlichen Datenschutzvorschriften. Er eröffnet von Amtes wegen oder auf Anzeige hin eine Untersuchung gegen ein Bundesorgan oder eine private Person, wenn genügend Anzeichen bestehen, dass eine Datenbearbeitung gegen die Datenschutzvorschriften verstossen könnte (Art. 49 Abs. 1 DSG). 37 Die Partei stellt eine private Person im Sinne von Art. 2 Abs. 1 Bst. a DSG dar. Das Datenschutzge- setz ist nach Art. 2 DSG für die Bearbeitung von Personendaten natürlicher Personen durch private Personen anwendbar. Der Verantwortliche, die Add Conti GmbH, ist in der Schweiz ansässig. Die Datenbearbeitung durch die Add Conti GmbH findet damit im Inland statt. Auch wenn sich, wie vor- liegend der Fall, die betroffenen Personen im Ausland, hier in Deutschland, befinden, ist das für die

7/13 Anwendbarkeit des Datenschutzgesetzes nicht entscheidend (SYLVAIN MÉTILLE/LIVIO DI TRIA in Meier/Métille (Hrsg.), Commentaire romand Loi sur la protection des données (CR LPD), Art. 3 N 19). Entscheidend ist als Anknüpfungsgegenstand die Datenbearbeitung in der Schweiz, auch wenn diese nur teilweise in der Schweiz erfolgt (MICHAEL ISLER in Vasella/Blechta (Hrsg.), Basler Kom- mentar zum Datenschutzgesetz, 4. Auflage, (BSK DSG) Art. 3 N 17 ff). Die Schweiz soll nicht zum sicheren Hafen werden für Datenbearbeitungen, die keine Binnenwirkung entfalten, weil beispiels- weise von der Schweiz aus nur Angaben über Personen mit Wohnsitz im Ausland bearbeitet werden (BSK Art. 3 N 14). Zudem ist der Begriff der Bearbeitung sehr weit gefasst und beinhaltet auch das Aufbewahren, Verwenden, Bekanntgeben, Archivieren oder Löschen von Daten (Art. 5 lit. d DSG). Wie anschliessend aufgezeigt wird, ist die Add Conti GmbH vorliegend verantwortlicher Datenbear- beiter mit Sitz in der Schweiz und ein relevanter Teil der Datenbearbeitung findet in der Schweiz statt, womit die Anwendbarkeit des DSG auf den vorliegenden Sachverhalt gegeben ist. II. Materielles

1. Add Conti GmbH als Verantwortlicher 38 Das Datenschutzgesetz bezweckt den Schutz der Persönlichkeit und der Grundrechte von natürli- chen Personen, über die Personendaten bearbeitet werden. Als Personendaten geltend alle Anga- ben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Vorliegend werden Namen, Adressdaten, Telefonnummern, Geburtsdaten sowie IP-Adressen von natürlichen Personen zu Werbezwecken bearbeitet. Es handelt sich somit um Personendaten im Sinne von Art. 5 lit. a DSG. 39 Die Add Conti GmbH ist gemäss der Datenschutzerklärung auf den Gewinnspiel-Webseiten als Ver- antwortlicher benannt. Eine Datenschutzerklärung mit gleichem Inhalt befindet sich auf der Webseite der Add Conti GmbH selbst. Zudem ist die Add Conti GmbH in den Teilnahmebedingungen zu den Gewinnspiele, im Impressum und in den Angaben zur Werbeeinwilligung als Veranstalterin genannt. In der Stellungnahme der Add Conti GmbH vom 28. Januar 2026 im Strafverfahren wegen Verlet- zung der Auskunfts- und Mitwirkungspflicht wird die Verantwortung für die Datenbearbeitung eben- falls ausschliesslich bei der Add Conti GmbH verortet. Sie gilt somit als Verantwortliche im Sinne von Art. 5 lit. j DSG. 40 Nach Art. 9 DSG kann die Bearbeitung von Personendaten vertraglich oder durch die Gesetzgebung einem Auftragsbearbeiter übertragen werden. Dabei muss sichergestellt werden, dass der Auftrags- bearbeiter die Daten nur so bearbeitet, wie der Verantwortliche es selbst tun dürfte und keine ge- setzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet. 41 Nach Art. 10 DSG können private Verantwortliche einen Datenschutzberater, eine Datenschutzbe- raterin ernennen. Die Ernennung ist freiwillig und basiert in der Regel auf einem Auftragsverhältnis. Der Datenschutzberater, die Datenschutzberaterin kann die Wahrung der Betroffenenrechte als Auf- gabe übernehmen. Er oder sie wird aber nicht zum Verantwortlichen für die Datenbearbeitung. Die alleinige Verantwortung für die datenschutzkonforme Bearbeitung von Personendaten liegt beim verantwortlichen Unternehmen. (MICHÈLE BALTHASAR in Steiner/Morand/Hürlimann (Hrsg.), Online- kommentar zum DSG, Art. 10 N 29). 42 Die Add Conti GmbH macht in ihrer Stellungnahme vom 29. August 2025 geltend, dass Anfragen zu Auskunfts- und Löschbegehren vom Dienstleister MMC-Solution GmbH in Hamburg und dem man- datierten Datenschutzberater Rechtsanwalt Otmar Niens in Krefeld, Deutschland, behandelt werden. Zum Verhältnis zwischen der Add Conti GmbH und dem Datenschutzberater liegt dem EDÖB die Kopie eines Benennungsschreibens sowie der zugehörige Auftrag vor. Zum Verhältnis zwischen der Add Conti GmbH und der MMC-Solution GmbH liegen dem EDÖB keine schriftlichen Unterlagen vor. Gemäss den Aussagen des Geschäftsführers im Telefongespräch vom 18. September 2025 besteht kein Vertrag oder eine schriftliche Abmachung mit der MMC-Solution GmbH. Die MMC-So- lution GmbH wird aber in den Datenschutzerklärungen der Add Conti GmbH als Auftragsbearbeiter

8/13 für die Weitergabe der Personendaten an die Werbefirmen genannt. In der Stellungnahme vor den Strafverfolgungsbehörden wird von der Add Conti GmbH ausgeführt, dass der Geschäftsführer die Datenbearbeitung «an eine fachlich geeignete Person delegiert» habe, sprich dem Datenschutzbe- rater via Dienstleistungsauftrag übertragen und zur «wirtschaftlich berechtigten Person», also Matthias Möller von der MMC-Solution GmbH, Auskunft erteilt und Kontaktdaten offengelegt. 43 Die MMC-Solution GmbH gilt somit als Auftragsbearbeiter im Sinne von Art. 9 DSG und der von der Add Conti GmbH ernannte Otmar Niens als Datenschutzberater im Sinne von Art. 10 DSG. Die Add Conti GmbH hat als verantwortlicher Datenbearbeiter aber weiterhin sicherzustellen, dass die Da- tenbearbeitung die Persönlichkeit der betroffenen Personen nach Art. 30 f. DSG nicht widerrechtlich verletzt. Zudem obliegt ihr die Verantwortung, die Rechte der betroffenen Personen, insbesondere deren Recht auf Auskunft und auf Löschung von Daten umzusetzen. Sie kann zwar konkrete Aufga- ben vertraglich an Dritte übertragen, bleibt aber rechtlich in der Verantwortung, Auskunft gemäss Art. 25 DSG innert 30 Tage zu erteilen, sicherzustellen, dass Widersprüche umgesetzt werden und Daten nur rechtmässig bearbeitet werden.

2. Pflichten in Bezug auf Auskunftsbegehren 44 Das Auskunftsrecht nach Art. 25 DSG ermöglicht es den Betroffenen die Einhaltung der materiellen Grundsätze des Datenschutzes zu überprüfen und ihre Rechte selber wahrzunehmen. Der verant- wortliche Datenbearbeiter hat die gesetzliche Pflicht, betroffenen Personen auf schriftliche oder elektronische Anfrage Auskunft über die von ihm über sie bearbeiteten Personendaten zu geben. Derartige Auskunftsbegehren müssen innert 30 Tagen und grundsätzlich kostenlos beantwortet wer- den. Was die Erteilung von Auskünften nach Art. 25 DSG anbelangt, so muss der Verantwortliche interne Prozesse etablieren, um die erforderlichen Angaben nach Art. 25 Abs. 1 DSG innert der gesetzlichen Frist von 30 Tagen erteilen zu können. 45 Die Add Conti GmbH gibt in ihrer Datenschutzerklärung an, dass betroffene Personen ihr Recht auf Auskunft, auf Berichtigung oder Löschung, auf Einschränkung der Verarbeitung und ihr Recht auf Widerspruch gegen die Datenbearbeitung geltend machen können. Als Verantwortlicher wird die Add Conti GmbH angegeben, erreichbar an der Postadresse Wiggenweg 3 in 9404 Rorschacher- berg bzw. über E-Mail an info@addconti.ch. Der Datenschutzbeauftragte könne ebenfalls auf dem Postweg mit dem Zusatz «der Datenschutzbeauftragte» und via die E-Mail-Adresse daten- schutz@addconti.ch erreicht werden. Nach § 5 der Datenschutzerklärung soll der Widerspruch ge- gen die Datenbearbeitung zum Zwecke der Werbung und Datenanalyse «jederzeit» möglich sein. Auch hier wird die Postadresse der Add Conti GmbH und die Mail-Adresse info@addconti.ch als Kontaktmöglichkeit aufgeführt. 46 Aus den dem EDÖB vorliegenden Anzeigen von Betroffenen ergibt sich, dass zwölf davon die Add Conti GmbH via die angegebenen E-Mail-Adressen angeschrieben haben und sieben haben von Deutschland aus eingeschriebene Briefe an die Add Conti GmbH in Rorschacherberg versandt. Alle diese Anschreiben blieben ausnahmslos ohne Antwort der Add Conti GmbH. 47 Der EDÖB konnte gestützt auf den von ihm erhobenen Sachverhalt feststellen, dass der Verantwort- licher ungenügende Massnahmen getroffen hat, um seiner Auskunftspflicht nachzukommen. Die grosse Anzahl von Anzeigen zeigt zudem, dass die Add Conti GmbH ihre Auskunftspflicht mehrfach verletzt hat. Es ist zudem anzunehmen, dass die Anzahl betroffener Personen tatsächlich grösser ist, da nicht zu erwarten ist, dass jede betroffene Person, die vorliegend bekanntlich in Deutschland wohnhaft sind, den Aufwand auf sich nimmt, eine Anzeige bei der Schweizer Datenschutzaufsichts- behörde zu machen. Die Add Conti GmbH ist den ihr eingereichten Auskunfts- und Löschbegehren nicht nachgekommen, weshalb sie gegen Art. 25 DSG verstossen hat.

9/13

3. Pflichten in Bezug auf Löschbegehren 48 Das Datenschutzgesetz sieht vor, dass betroffene Personen ihre Daten löschen können. Es handelt sich dabei um ein wichtiges Instrument des Rechts auf informationelle Selbstbestimmung. Nach Art. 6 Abs. 3 und 4 DSG dürfen personenbezogene Daten, die für einen bestimmten Zweck erhoben wurden, nur so lange aufbewahrt werden, wie es für diesen Zweck erforderlich ist. Werden die Daten gestützt auf die Einwilligung der betroffenen Person erhoben werden, muss diese jederzeit ihre Ein- willigung zurückziehen können. Die Bearbeitung von Personendaten entgegen der ausdrücklichen Willenserklärung der betroffenen Person stellt eine Persönlichkeitsverletzung dar (Art. 30 Abs. 2 lit. b DSG). Somit sind die Daten zu löschen, sobald eine Person ihr Widerspruchsrecht geltend gemacht oder ihre Einwilligung zur Datenbearbeitung zurückgezogen hat, wenn kein anderer Rechtfertigungs- grund vorliegt, z.B. eine gesetzliche Aufbewahrungspflicht. Der Verantwortliche hat eine Aufbewah- rung zu begründen. 49 Auch wenn das Gesetz keine Frist zur Bearbeitung von Löschbegehren definiert, ist der Verantwort- licher aufgrund der Bearbeitungsgrundsätze verpflichtet diese zeitnah zu prüfen, da er ansonsten riskiert, Personendaten ohne Rechtfertigungsgrund gegen den erklärten Willen der betroffenen Per- sonen zu bearbeiten, was eine widerrechtliche Persönlichkeitsverletzung gemäss Art. 30 Abs. 2 Bst. b DSG darstellt. Zur Sicherstellung der Rechtmässigkeit der Datenbearbeitung ist es deshalb unerlässlich, dass der Verantwortliche sich so organisiert, dass er Löschbegehren zeitnah umsetzen kann. 50 Der EDÖB konnte gestützt auf den von ihm erhobenen Sachverhalt feststellen, dass der Verantwort- liche ungenügende Massnahmen getroffen hat, um sicherzustellen, dass er gemäss Art. 6 Abs. 1 DSG Daten rechtmässig bearbeitet. Die Anzeigen zeigen zudem, dass die Add Conti GmbH trotz eingereichter Widerspruchs- und Löschbegehren Daten weiterhin bearbeitet hat. 51 Mindestens 13 Anzeiger haben gemäss den dem EDÖB vorliegenden Unterlagen schriftlich Wider- spruch gegen die Datenbearbeitung durch die Add Conti GmbH eingelegt und/oder die Löschung ihrer Daten bei der Add Conti GmbH verlangt. Sie haben ihren Widerspruch bzw. ihr Löschbegehren bei den von der Add Conti GmbH selber publizierten Adressen korrekt geltend gemacht. Die Add Conti GmbH hat gemäss übereinstimmenden Aussagen der Anzeiger weder auf E-Mails noch auf eingeschriebene und nachweislich zugestellte Schreiben, in dem die betroffene Personen einen Wi- derspruch geltend machen oder eine Datenlöschung verlangen, reagiert. Die Add Conti GmbH konnte ihrerseits nicht nachweisen, dass sie diesen Begehren nachgekommen ist und die Daten gelöscht hat. 52 Die Add Conti GmbH hat dadurch die Persönlichkeit der betroffenen Personen gemäss Art. 30 Abs. 2 Bst. a und b DSG verletzt.

4. Datenbearbeitung durch die Add Conti GmbH 53 Die Add Conti GmbH stützt sich für die Bearbeitung der Personendaten, sprich die Erhebung der Daten wie auch die Bekanntgabe an Dritte auf die Einwilligung der betroffenen Personen. Ausserhalb der etablierten Geschäftsbeziehung, die den Versand von Werbenachrichten mit einem blossen Wi- derspruchsrecht zulässt, benötigt der Verantwortliche immer eine vorgängig eingeholte und nach angemessener Information erteilte freiwillige Einwilligung (Art. 6 Abs. 6 DSG). Die Beweislast für das Vorliegen eines Rechtfertigungsgrundes trifft gemäss den allgemeinen Beweislastregeln des Art. 8 ZGB die Person, welche sich auf den Rechtfertigungsgrund beruft, also den Datenbearbeiter (vgl. Entscheid des Bundesverwaltungsgerichts A-2941/2024 vom 6.10.2025, E 5.3) 54 Die Add Conti GmbH gibt an, dass diese Einwilligung mit dem Ankreuzen von zwei Kästchen bei der Teilnahme am Gewinnspiel – 1. Kenntnisnahme der Datenschutzerklärung und Teilnahmebedingun- gen und 2. Einwilligung in die Bekanntgabe der Daten an die Werbefirmen – und dann mit einer

10/13 zweiten Bestätigung der Teilnahme via Eingabe eines Zahlencodes, der den Teilnehmenden via SMS zugesandt wird, eingeholt wird. 55 Dem EDÖB liegen demgegenüber 27 Anzeigen aus einem Zeitraum von etwas mehr als zwei Jahren vor, die übereinstimmend geltend machen, dass sie keine Einwilligung zur fraglichen Datenbearbei- tung abgegeben haben. Alle Anzeiger machen übereinstimmend geltend, dass sie an keinem Ge- winnspiel teilgenommen haben, bzw. keine Einwilligung zu einer Datenbearbeitung erteilt haben. Ein Anzeiger macht geltend, dass die Adresse und der Zeitpunkt, an dem diese via Gewinnspiel hätte erhoben werden sollen, nicht übereinstimmt. Ein anderer macht geltend, dass die angegebene IP- Adresse, mit der er sich für das Gewinnspiel angemeldet hätte, nicht mit seiner IP-Adresse bzw. seinem Internet-Anbieter übereinstimmt. Ein Dritter führt als Hinweis an, dass das im Gewinnspiel angegebene Geburtsdatum (1909) nicht korrekt ist bzw. sein kann. 56 Das von der Add Conti GmbH geltend gemachte Geschäftsmodell scheint wenig glaubwürdig. Die für die Gewinnspiele angegebenen Webadressen sind nur mit direkter Eingabe im Internet auffind- bar. Es bleibt unklar, wie die betroffenen Personen überhaupt auf diese Gewinnspielseiten gelangt sein sollen. Die Webseiten sehen konstruiert aus und bestehen in erster Linie aus versuchten recht- lichen Absicherungen wie der Datenschutzerklärung, den Teilnahmebedingungen, der Werbeeinwil- ligung und dem Impressum. Seit Eröffnung der Untersuchung durch den EDÖB hat auch keinerlei Anpassung der Webseiten stattgefunden, die Namen der Gewinner sind seit Monaten unverändert und auch der Name des Geschäftsführers, der Anfang 2026 aus der Gesellschaft ausgeschieden ist, ist nach wie vor unverändert in der Datenschutzerklärung aufgeführt. 57 Es ist zwar denkbar, dass Personen zur Teilnahme an einem Gewinnspiel der Weitergabe ihrer Da- ten an das veranstaltende oder damit verbundene Unternehmen weitergeben. Ob eine solche Zu- stimmung auch abgegeben wird, wenn gleichzeitig angekündigt wird, dass man anschliessend «te- lefonisch, per E-Mail und per Postwerbung zum Abschluss von Verträgen für die zu jedem Sponsor genannten Produkte und/oder Dienstleistungen» kontaktiert wird, scheint zumindest fragwürdig. Weiter scheint es auch nicht der allgemeinen Lebenserfahrung zu entsprechen, dass Personen an einem Gewinnspiel ohne Bezug zu einem ihnen bekannten, konkreten Unternehmen teilnehmen, wenn keine konkreten Angaben zum Tag der Verlosung gemacht werden oder, wie vorliegend, die vermeintlichen Gewinner bereits auf der Webseite publiziert sind. Vor diesem Hintergrund scheint es unplausibel, dass die Anzeiger, die sich die Mühe gemacht haben, beim EDÖB eine Anzeige einzureichen, ihre Personendaten in dieser Weise bekanntgegeben hätten. Gerade im heutigen Um- feld, wo Personen immer häufiger sensibel reagieren auf die Aufforderung ihre Daten bekannt zu geben, da diese nicht nur im Umfeld von unerwünschter Werbung, sondern auch für Phishing-An- griffe verwendet werden können, scheint das von der Add Conti GmbH geltend gemachte Vorgehen zur Einholung der Einwilligung nicht glaubwürdig. 58 Die Add Conti GmbH hat sich nicht zum Sachverhalt vernehmen lassen. Sie hat damit der Darstel- lung des EDÖB nicht widersprochen und hat selber keinen Nachweis erbracht, dass die Einwilligung in die Datenbearbeitung in den ihr mit Schreiben vom 25. bzw. 27. Februar 2026 vorgelegten Anzei- gen gültig eingeholt wurden. 59 Der EDÖB stellt somit auf der Basis seiner Untersuchung fest, dass die Add Conti GmbH die Daten der Anzeiger nicht bei den betroffenen Personen gestützt auf deren Einwilligung erhoben hat. Ange- sichts der grossen Anzahl von Anzeigen, die den gleichen Sachverhalt beschreiben, kann ausge- schlossen werden, dass es sich um vereinzelte Missverständnisse handelt. Die Add Conti GmbH hat ausgeführt, dass die betroffenen Personen eine Verifizierung via SMS oder E-Mail erhalten hät- ten und der Bearbeitung ihrer Daten mit einer zweiten, ausdrücklichen Einwilligung zugestimmt hät- ten, kann auch ausgeschlossen werden, dass unbefugte Dritte die Daten der betroffenen Person – ohne das Wissen der Add Conti GmbH – auf der Webseite aus Scherz oder böswillig angegeben haben.

11/13 60 Aufgrund der Untersuchung ist erstellt, dass die Add Conti GmbH die Daten der Anzeigenden nicht wie angegeben im Rahmen von Gewinnspielen erhoben hat. Die Add Conti GmbH konnte nicht nachweisen, dass sie über eine rechtsgültige Einwilligung für die von ihr erhobenen und weiterge- gebenen Daten verfügt. Der EDÖB geht im Weiteren davon aus, dass die Feststellung betreffend der Rechtmässigkeit der Bearbeitung für alle von der Add Conti GmbH bearbeiteten Personendaten im Zusammenhang mit dem Versand von Werbenachrichten gilt. Sie bearbeitet diese Personenda- ten entgegen den Grundsätzen von Treu und Glauben und der Rechtmässigkeit und verletzt somit die Persönlichkeit der betroffenen Personen gemäss Art. 30 Abs. 2 Bst. a DSG. Ein Rechtfertigungs- grund nach Art. 31 Abs. 1 DSG für die Bearbeitung bzw. Bekanntgabe der Personendaten zu Wer- bezwecken besteht nicht. C. Fazit und Massnahmen 61 Die Add Conti GmbH hat keine gültige Einwilligung für die Bearbeitung bzw. Bekanntgabe von Per- sonendaten zu Werbezwecken eingeholt. Sie hat auf Begehren von betroffenen Personen, die Wi- derspruch gegen die Bearbeitung ihrer Daten eingelegt haben, nicht reagiert und auch auf Aus- kunftsersuchen und Löschbegehren keine Antworten geliefert. Die vollständige Missachtung der Be- troffenenrechte durch die Add Conti GmbH und ihre Auftragnehmer verletzen das Datenschutzge- setz in schwerer Weise. 62 Die vorliegende Bearbeitung von Personendaten zu Werbezwecken verstösst gegen Treu und Glau- ben und stellt eine Persönlichkeitsverletzung dar. 63 Ohne gültigen Rechtfertigungsgrund stellt die Bearbeitung von Personendaten zu Werbezwecken durch die Add Conti GmbH ein widerrechtliche Persönlichkeitsverletzung dar. Die Datenbearbeitung ist somit nicht rechtmässig und ist einzustellen. Daten sind bei der Add Conti GmbH und ihren Auf- tragnehmern zu löschen, und es findet keine weitere Bekanntgabe von Daten an Dritte statt. Die Verantwortung für die Löschung und die Einstellung der Bearbeitung trägt die Add Conti GmbH. 64 Die Add Conti GmbH hat auch ihre gesetzliche Verpflichtung, Auskunft nach Art. 25 DSG zu erteilen, mehrfach verletzt. Da sie zur Löschung der entsprechenden Daten verpflichtet ist, verzichtet der EDÖB darauf gemäss Art. 51 Abs. 3 Bst. g DSG anzuordnen, dass die Add Conti GmbH Auskunft zu erteilen hat. D. Strafbestimmungen 65 Gestützt auf Art. 63 DSG werden private Personen bestraft, die einer Verfügung des EDÖB, die unter Hinweis auf die Strafdrohung dieses Artikels ergangen ist, vorsätzlich nicht Folge leisten. Die vorliegende Verfügung ergeht unter dem Hinweis auf die Strafdrohung von Art. 63 DSG. Sie richtet sich an die Add Conti GmbH und damit an eine juristische Person. Die Strafbarkeit tritt kraft Art. 29 des Strafgesetzbuches (StGB; SR 311.0) bei der oder den verantwortlichen natürlichen Personen ein, die innerhalb der Add Conti GmbH dafür hätten sorgen müssen, dass der Verfügung des Beauf- tragten Folge geleistet werde (vgl. Botschaft zum revidierten DSG, BBl 2017 6941 ff., 7103 und 6974). E. Gebühren 66 Gemäss Art. 59 Abs 1 Bst. d DSG erhebt der EDÖB von privaten Personen Gebühren für Massnah- men nach Art. 51 DSG. Vorliegend wird gegenüber der Add Conti GmbH eine Verwaltungsmass- nahme nach Art. 51 DSG verfügt, welche gebührenpflichtig ist. 67 Gestützt auf Art. 44 der Datenschutzverordnung (DSV; SR 235.11) bemessen sich die vom EDÖB in Rechnung gestellten Gebühren nach Zeitaufwand. Es gilt ein Stundenansatz von 150 bis 250 Franken, je nach Funktion des ausführenden Personals (vgl. Art. 44 Abs. 1 und 2 DSV).

12/13 68 Die aufgewendete Zeit beträgt vorliegend insgesamt 26.75 Stunden zuzüglich Auslagen von CHF 56. Es resultiert ein Gebührentotal von CHF 6’456. 69 Die Gebühren werden demzufolge gesamthaft auf CHF 6’456 festgesetzt und der Partei zur Bezah- lung auferlegt. Die Gebühr wird fällig mit Rechtskraft der Verfügung; die Zahlungsfrist beträgt grund- sätzlich 30 Tage ab Fälligkeit (vgl. Art. 44 Abs. 5 DSV i.V.m. Art. 12 Abs. 1 Bst. a und Abs. 2 Allg- GebV).

13/13 Demnach wird verfügt:

1. Der Add Conti GmbH und ihren Auftragnehmern wird untersagt, Personendaten weiterhin unter Ver- letzung der Grundsätze von Treu und Glauben und der Rechtmässigkeit zu Werbezwecken zu be- arbeiten und bekanntzugeben.

2. Die Add Conti GmbH wird verpflichtet, innert 30 Tagen ab Rechtskraft dieser Verfügung, alle vor- handenen, unter Verletzung der genannten Grundsätze zu Werbezwecken bearbeiteten Personen- daten bei sich und allen Auftragnehmern zu löschen und die erfolgte Löschung gegenüber dem EDÖB dokumentiert zu bestätigen.

3. Die Add Conti GmbH wird ausdrücklich darauf hingewiesen, dass eine Widerhandlung gegen Ziffern 1 - 2 unter Androhung der Geldbusse gemäss Art. 63 DSG ergeht: Mit Busse bis zu 250 000 Franken werden private Personen bestraft, die einer Verfügung des EDÖB unter Hinweis auf die Strafdrohung dieses Artikels, vorsätzlich nicht Folge leisten. Gemäss Art. 64 DSG sind für Widerhandlungen in Geschäftsbetrieben die Artikel 6 und 7 des Bun- desgesetzes über das Verwaltungsstrafrecht (VStrR) anwendbar. Fällt eine Busse von höchstens 50'000 Franken in Betracht und würde die Ermittlung der nach Art. 6 VStrR strafbaren Personen Untersuchungsmassnahmen bedingen, die im Hinblick auf die verwirkte Strafe unverhältnismässig wären, so kann die Behörde von einer Verfolgung dieser Personen absehen und an ihrer Stelle den Geschäftsbetrieb (Art. 7 VStrR) zur Bezahlung der Busse verurteilen.

4. Der Add Conti GmbH wird eine Gebühr in der Höhe von insgesamt CHF 6’456 auferlegt.

Adrian Lobsiger Der Beauftragte

Zu eröffnen an: Add Conti GmbH, Wiggenweg 3, 9404 Rorschacherberg Rechtsmittelbelehrung Gegen diese Verfügung kann innert 30 Tagen beim Bundesverwaltungsgericht (Postfach, CH-9023 St. Gallen) Beschwerde geführt werden. Die Beschwerde ist zu begründen und in zwei unterschriebenen Exemplaren einzureichen. Die Verfügung und die als Beweismittel angerufenen Urkunden sind beizule- gen.