verfuegung-vom-29-januar-2025-cembra-money-bank-ag-gesetzliche-fristen-fuer-die--2025-01-29

Schweizerische Eidgenossenschaft Confëdëration suisse Confederazione Svizzera Confederaziun svizra 0 Eidgenössischer Datenschutz' und Öffentlichkeitsbeauftragter EDÖB Datenschutz Der Beauftragte CH-3003 Bern EDÖB W POST CH AG EDÖB-A-D3DA3401 /2 Einschreiben (R) Walder Wyss AG RA David Vasella RA Hannes Meyle Seefeldstrasse 123 Postfach 8034 Zürich Ihr Zeichen Unser Zeichen: EDÖB-A-D3DA3401/2 Sachbearbeiter/in: WIN Bern, 29. Januar 2025 Verfügung vom 29. Januar 2025 in Sachen Untersuchung nach Art. 49 des Bundesgesetzes über den Datenschutz gegen Cembra Money Bank AG, Bändeliweg 20, 8048 Zürich, vertreten durch Walder Wyss AG, RA David Vasella und Hannes Meyle, Seefeldstrasse 123, Postfach, 8034 Zürich betreffend Gesetzliche Fristen für die Behandlung von Auskunftsgesuchen und Mitteilung der bearbeiteten Perso- nendaten als solche Feldeggweg 1 3003 Bern Tel. +41 58 463 74 84. Fax +41 58 465 99 96 www.edoeb.admin.ch EDÖB-A-D3DA3401 /2

A. Sachverhalt 1. 1 2, Anzeige 1 Mit Anzeige vom 5. April 2024 wurde der EDÖB darüber in Kenntnis gesetzt, dass die Cembra auf ein am 4. März 2024 mittels eingeschriebenen Briefs zugestelltes Auskunftsgesuch nicht reagiert hat Mit Schreiben vom 16. April 2024 wies der EDÖB die Cembra auf ihre Pflicht hin, Auskunftsgesu- che innert der gesetzlichen Frist zu beantworten. Er hat sie aufgefordert, einerseits der betroffenen Person Auskunft zu erteilen und andererseits ihre Praxis zur Gewährung des Auskunftsrechts auf ihre Datenschutzkonformität hin zu überprüfen und nötigenfalls anzupassen. Mit Schreiben vom 2. Mai 2024 bestätigte die Cembra gegenüber dem EDÖB, dass die Auskunft im konkreten Fall nicht fristgerecht beantwortet, aber inzwischen erteilt worden sei. Zur Aufforde- rung, ihre Praxis zur Gewährung des Auskunftsrechts auf ihre Datenschutzkonformität hin zu über- prüfen und nötigenfalls anzupassen, nahm die Cembra wie folgt Stellung: 3 KEs ist zutreffend, dass das Auskunftsbegehren der betroffenen Person, [.. .], nicht fristgerecht beantwortet worden ist. Aufgrund eines vorübergehenden personellen Engpasses sind wir mit der Beantwortung in Verzug geraten. Allerdings ist die Eingabe erst am 5. März 2024 bei uns einge- gangen, womit die Verzugsdauer knapp drei Wochen beträgt; eine Mahnung seitens des Betroffe- nen ist nicht erfolgt. Zwischenzeitlich konnte die Vakanz geschlossen und die gewünschte Aus- kunft erteilt werden. Damit kann unserer Meinung nach die Angelegenheit als geschlossen be- trachtet werden Da die Verzögerung durch den personellen Engpass begründet war, drängt sich unseres Erach- tens keine Anpassung unserer Praxis zur Gewährung des Auskunftsrechts auf, wir erachten sie als datenschutzkonform. Dies zeigt sich nicht zuletzt darin, dass die überwiegende Mehrheit un- serer Kundinnen und Kunden mit der erteilten Auskunft offenbar zufriedengestellt ist, mangels anderslautender Rückmeldungen.» 11. 4, 5, Anzeige 2 Mit Anzeige vom 3. Juli 2023 wurde der EDÖB durch eine betroffene Person (nachfolgend: An- zeiger 2) über folgenden Sachverhalt in Kenntnis gesetzt: Am 27. Dezember 2023 teilte die Cembra dem Anzeiger 2 mit, dass sein Antrag auf Ausstellung einer TCS Member Mastercard aufgrund gesetzlicher Bestimmungen und internen Richtlinien ab- gelehnt werde. Fragen betreffend Ablehnungsgründe seien schriftlich an folgende Adresse zu richten: Cembra Money Bank AG, Customer Care /UWC, Postfach, 8048 Zürich. 6 7, Mit Schreiben vom 5. Januar 2024 hat sich der Anzeiger 2 schriftlich an die Cembra gewandt und eine Begründung für die Ablehnung seines Antrags für eine TCS Member Mastercard verlangt. Weil der Anzeiger 2 keine Antwort erhielt, wiederholte er sein Auskunftsersuchen mittels einge- schriebenen Schreibens vom 24. Januar 2024 und ersuchte um folgende Informationen: Eine Begründung zur Ablehnung des Antrags; Die erwähnten gesetzlichen und internen Richtlinien; Welche Informationen die Cembra Money Bank über den Anzeiger 2 gespeichert hat; Woher die gespeicherten Informationen stammen. 8. Weil der Anzeiger 2 wiederum keine Antwort auf sein Gesuch erhielt, stellte er mittels eingeschrie- benen Schreibens vom 16. Februar 2024 erneut ein Auskunftsgesuch an die Adresse der Cembra. In seinem Schreiben verlangt der Anzeiger 2 mittels Musterbrief des EDÖB die gesetzlich defi- nierten Mindestangaben von der Cembra, namentlich «die bearbeiteten Personendaten aIs sol- che» 2/9

9 Da der Anzeiger 2 auch auf dieses Schreiben keine Antwort erhielt, reichte er am 25. März 2024 (PoststempeË) ein Schlichtungsgesuch bei der Schlichtungsbehörde des Zivilgerichts des Kantons Basel-Stadt ein und stellte folgende Rechtsbegehren:

Im Schreiben wurde zudem generell für weitergehende Informationen auch auf die Datenschut- zerklärung der Cembra verwiesen (siehe www.cembra.ch/datenschutzerklärung). Eine Auskunft darüber, welche Personendaten des Anzeigers 2 die Cembra bearbeitet, wurde nicht erteilt. 11 Zur Schlichtungsverhandlung vom 13. Mai 2024 ist die Cembra nicht erschienen, weshalb die Schlichtungsbehörde des Zivilgerichts des Kantons Basel-Stadt die Klagebewilligung vom

13. Mai 2024 erteilt hat, 111. 12, Untersuchung durch den EDÖB Mit Schreiben vom 6. September 2024 teilte der EDÖB der Cembra die Eröffnung einer Untersu- chung nach Art. 49 Datenschutzgesetz (DSG, SR 235.1) mit. Dabei hielt der EDÖB aufgrund des ihm vorliegenden Antwortschreibens der Cembra vom 10. April 2024 fest, dass die Praxis der Cembra offenbar darin bestehe, Auskunftsgesuche mit einem standardisierten Brief zu beantwor- ten. und gab ihr Gelegenheit, zum oben ausgeführten Sachverhalt Stellung zu nehmen. 13 Mit E-Mail vom 16. September 2024 teilte RA David Vasella namens und im Auftrag der Cembra als Vorinformation mit, die Cembra lege grossen Wert auf die Einhaltung des anwendbaren Rechts und selbstverständlich auch des Datenschutzrechts. Sie habe die erforderlichen Prozesse einge- richtet und ihre Mitarbeitenden sensibilisiert. Die Cembra bedauere, dass Auskunftsbegehren in den genannten Fällen nicht zur Zufriedenheit der Betroffenen beantwortet worden seien. Die Be- antwortung erfülle auch nicht die eigenen Standards der Cembra. Ursache dafür sei nach derzei- tigem Kenntnisstand ein akuter Personalmangel im Bereich des Datenschutzes. Der Personalmangel sei durch externe Unterstützung behoben worden, bis die erforderlichen Ka- pazitäten intern besetzt werden könnten. Die Cembra nehme die Angelegenheit aber zum Anlass, die bestehenden Prozesse für Auskunftsbegehren zu überprüfen. Allfällige Empfehlungen des EDÖB in diesem Zusammenhang würde sie dabei gerne berücksichtigen. 14 Mit Schreiben vom 8. Oktober 2024 nahm die Cembra zur Sachverhaltsfeststellung des EDÖB dahingehend Stellung, dass die Praxis der Cembra Money Bank AG in Zusammenhang mit der Bearbeitung von Auskunftsgesuchen, den betroffenen Personen einen standardisierten Brief zu schicken, nicht der üblichen Praxis der Cembra entspreche, sondern Folge eines akuten Perso- nalmangels gewesen sei. Dieser sei inzwischen mit externer Unterstützung behoben worden, so dass kein Grund zur Befürchtung bestehe, dass weitere Auskunftsgesuche in der gleichen Weise bearbeitet würden. Weiter wies die Cembra darauf hin, dass die Feststellung einer allgemeinen Praxis keine Sachverhaltsfeststellung aufgrund der Akten sei, sondern eine unzulässige Verallge- meinerung festgestellter Fakten. 3/9

Die Cembra habe den Sachverhalt zum Anlass genommen, die Prozesse und Dokumentationen für die Gewährleistung des Auskunftsrechts zu prüfen. Allfällige Empfehlung würde die Cembra bei einer Anpassung gerne berücksichtigen. Die Beantwortung der Auskunftsbegehren habe die Cembra am 8. Oktober 2024 nachgeholt. 15 Der EDÖB forderte die Cembra am 10. Oktober 2024 auf, ihm folgende Informationen zuzustellen: <1. Gemäss Ihrem Schreiben vom 8. Oktober 2024 hat die Cembra «die Beantwortung der unter- suchungsgegenständlichen Auskunftsbegehren [. ..] nachgeholt». Übermitteln Sie dem EDÖB Ko- pien der Antworten.

2. Teilen Sie uns mit, in welchem Zeitraum der in den Schreiben vom 8. Oktober und 2. Mai 2024 bzw. in der E-Mail vom 16. September 2024 erwähnte «akute Personalmangel» bestanden hat.

3. Teilen Sie uns mit, wie genau dieser «akute Personalmangel» gemäss vorangehender Ziffer 2 behoben wurde.

4. Teilen Sie uns mit, wie vielen Auskunftsgesuche im Zeitraum des «akuten Personalmangels» gemäss vorangehender Ziffer 2 nicht inneR der gesetzlichen Frist von 30 Tagen, sondern mit Ver- zögerung, beantwortet wurden.

5. Teilen Sie uns mit, wie viele Auskunftsgesuche mit dem standardisierten Text (.. .) entsprochen wurden. » 16. Die Cembra sandte dem EDÖB am 25. Oktober 2024 die einverlangten Kopien der Antwortschrei- ben zu. Bezüglich Personalmangel führte die Cembra aus, dieser habe in wechselnder Konstella- tion zwischen Dezember 2023 und September 2024 bestanden, wobei die Cembra bereits ab April 2024 verschiedene Abhilfemassnahmen getroffen habe. Von 13 Auskunftsgesuchen, die zwi- schen dem 1. Dezember 2023 und 31. August 2024 eingegangen seien, seien vier Auskunftsge- suche innerhalb von 30 Tagen beantwortet. Neun Auskunftsgesuche seien nach Ablauf einer län- geren Frist beantwortet worden. Die vom 1. Dezember 2023 bis am 31. August 2024 eingegangen 13 Auskunftsgesuche seien mit einem standardisierten Text beantwortet worden, wie ihn Anzeiger 2 am 10. April 2024 erhalten habe. Von den 13 Empfängern hätten nach Kenntnis der Cembra nur die beiden Personen rea- giert, die sich dann an den EDÖB gewandt hätten. Diesbezüglich teilte die Cembra dem EDÖB mit: «Das führte dazu, dass Cembra nicht früher darauf aufmerksam wurde, dass der Auskunfts- prozess mangelhaft gelebt wurde.». Weiter bringt die Cembra vor, dass die Ursache der Fehler die Personalengpässe gewesen seien und nicht etwa mangelnde Rechtskenntnis oder fehlender Wille. Dies belege die Tatsache, dass die Cembra Auskunftsgesuche vor dem Zeitraum des Personalmangels jeweils fristgerecht und mit Beilage der bearbeiteten Personendaten als solche beantwortet habe. Vor dem akuten Perso- nalmangel, beispielsweise vom 1. August bis 31. November 2023, seien 20 von 23 Auskunftsbe- gehren fristgerecht und unter Beilage der bearbeiteten Personendaten als Solche beantwortet worden. Die durchschnittliche Bearbeitungsdauer habe dabei bei rund 25 Kalendertagen gelegen. B. 1. 17. EIwägungen Formelles Das DSG gilt für die Bearbeitung von Personendaten natürlicher Personen durch private Personen und Bundesorgane (Art. 2 Abs. 1 DSG). Als private Personen gelten alle Subjekte des Privatrechts und somit alle natürlichen und juristischen Personen. 4/9

18 Als juristische Person und Aktiengesellschaft mit Sitz in Zürich ist die Cembra eine private Person im Sinne von Art. 2 Abs. 1 Bst. a DSG. Gemäss ihrem Gesellschaftszweck bezweckt die Cembra den Betrieb einer Bank. Ihr Geschäftskreis umfasst alle Arten von Bankgeschäften, insbesondere die Gewährung von Krediten aller Art, die Vermittlung von damit zusammenhängenden Dienst- leistungen sowie die Annahme von Geldern. Zur Erfüllung dieses Gesellschaftszweck bearbeitet sie unbestrittener Massen Personendaten ihrer Kundinnen und Kunden, weshalb das DSG nach Art. 5 Bst. a zur Anwendung kommt. Für die Gewährung des Auskunftsrechts gelten die die Art, 25-29 dieses Gesetzes. 19, Der EDÖB beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften (Art. 4 Abs. 1 DSG). Er eröffnet von Amtes wegen oder auf Anzeige hin eine Untersuchung gegen ein Bundesorgan oder eine private Person, wenn genügend Anzeichen bestehen, dass eine Daten- bearbeitung gegen die Datenschutzvorschriften verstossen könnte Vorliegend wurde der EDÖB durch zwei Anzeigen in Kenntnis darüber gesetzt, dass die Cembra Auskunftsgesuche nicht inneR der gesetzlichen Frist und ohne die Bekanntgabe der von ihr bear- beiteten Personendaten als solche beantwortet. Es bestanden damit genügend Anzeichen, dass die Bearbeitung von Auskunftsgesuchen durch die Cembra gegen Datenschutzvorschriften verstossen könnte, weshalb der EDÖB am 6. September 2024 eine Untersuchung eröffnet hat. 20. 21. Das Untersuchungsverfahren sowie Verfügungen nach den Art. 50 und 51 DSG richten sich nach dem VwVG. Partei ist nur das Bundesorgan oder die private Person, gegen die eine Untersuchung eröffnet wurde (Art. 52 Abs. 1 und 2 DSG). Verfügungsadressaten sind die materiellen Normad- ressaten des DSG, also entweder ein Bundesorgan oder eine private Person, meist wohl ein (rechtsfähiges) Unternehmen. Nur ihnen kommt Parteistellung zu (BuNDI Llvlo, in: Bieri Ad- rian/Powell Julian (Hrsg.), DSG Kommentar, Kommentar zum Schweizerischen Datenschutzge- setz mit weiteren Erlassen, Zürich 2023, Art. 51 Verwaltungsmassnahmen N 20). Bei der Cembra handelt es sich um ein rechtsfähiges Unternehmen, weshalb ihr im vorliegenden Verfahren Parteistellung zukommt, Gemäss Art. 11 Abs. 1 VwVG kann sich die Partei vertreten lassen. Von dieser Möglichkeit hat die Cembra mit Mitteilung ihrer Rechtsvertretung vom 16. September 2024 Gebrauch gemacht. Die Vollmacht datiert vom 16. Januar 2025. 11. 22 1. 23. Materielles Gemäss Art. 32 Abs. 1 VwVG würdigt der EDÖB, bevor er verfügt, alle erheblichen und rechtzei- tigen Vorbringen der Parteien (Art. 32 Abs. 1 VwVG). Einhaltung der gesetzlichen Frist Ein Auskunftsbegehren ist gemäss Art. 25 Abs. 7 DSG innerhalb von 30 Tagen seit dem Eingang des Begehrens zu beantworten. Kann die Auskunft nicht innerhalb von 30 Tagen erteilt werden, so muss die oder der Verantwortliche die betroffene Person darüber informieren und ihr mitteilen, innerhalb welcher Frist die Auskunft erfolgt. Wird die Auskunft verweigert, eingeschränkt oder auf- geschoben, muss dies innerhalb derselben Frist mitgeteilt werden (Art. 18 Abs. 2 und 3 DSV). 24 Mit Schreiben vom 16. April 2024 hat der EDÖB die Cembra darauf hingewiesen, dass gemäss den erhaltenen Informationen betreffend Anzeige 1 ein Auskunftsgesuch nicht innerhalb der ge- setzlichen Frist beantwortet wurde. Der DPO bestätigte mit Schreiben vom 2. Mai 2024 die nicht fristgerechte Beantwortung des Auskunftsgesuchs der betreffenden Anzeige und teilte mit, dass die Beantwortung inzwischen erfolgt sei. Dies ändert jedoch nichts daran, dass die gesetzliche Frist vorliegend überschritten wurde. 25 Anzeiger 2 reichte insgesamt drei Auskunftsgesuche bei der Cembra ein. Die Beantwortung dieser Gesuche erfolgte jedoch erst nach über drei Monate nach Zusendung des ersten Auskunftsge- such bzw. nach rund dreifachem Verstreichen der gesetzlichen Frist. Bis zu diesem Zeitpunkt wurde der Anzeiger 2 zudem auch nicht darüber informiert, dass die Rückmeldung nicht inneN der gesetzlichen Frist erfolgen kann und innerhalb welcher Frist sie erfolgen wird. Die über drei Mo- nate verspätete Rückmeldung erhielt auch keine Informationen über die von der Cembra über den 5/9

Anzeiger 2 bearbeiteten Personendaten als solche, wie dies Art. 25 Abs. 2 Bst. b. DSG vor- schreibt. Eine Antwort erfolgte erst mit Schreiben vom 8. Oktober 2024 und damit rund neun Mo- nate nach der Gesuchstellung, womit die gesetzliche Frist massiv überschritten wurde. 26, Neben diesen Anzeigen wurden nach Angaben der Cembra in der Zeit des «akuten Personalman- gels» vom 1. Dezember 2023 bis 31. August 2024 von 13 eingegangenen Auskunftsgesuche neun nach Ablauf der gesetzlichen Frist beantwortet. Es wurden somit mehr als drei Viertel der Gesuche zu spät beantwortet. 27. 2. 28, Zusammenfassend ergibt sich deshalb, dass für die beiden oben erwähnten Anzeigen die gesetz- liche Frist von Art. 25 Abs. 7 DSG verletzt worden ist und dass dies in der Zeit vom 1, Dezember 2023 bis am 31. August 2024 bei insgesamt neun von 13 Gesuchen der Fall war. Mitteilung der bearbeiteten Personendaten als solche Gemäss Art. 25 Abs. 1 DSG kann jede natürliche Person vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden. Nach Abs. 2 erhält sie vom Verantwort- lichen diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach dem DSG gel- tend machen kann und eine transparente Datenbearbeitung gewährleistet ist. Darunter fallen ge- mäss Bst. b. dieses Absatzes namentlich die vom Verantwortlichen über die Auskunft verlangende Person bearbeiteten Personendaten als solche. 29. Um zu beurteilen, aufgrund welcher Informationsverarbeitungen ihre Bank einen Kreditantrag ab- lehnte und allenfalls weitere Rechte wie jenes auf eine Datenberichtigung nach Art. 32 Abs. 1 DSG geltend machen zu können, sind natürliche Personen als Bankkunden auf Informationen zu den über sie bearbeiteten Personendaten als solche angewiesen. Würde sich herausstellen, dass ein Kredit aufgrund von falschen oder nicht mit mehr aktuellen Informationen abgelehnt worden ist, stellte dies einen erheblichen Eingriff in die Persönlichkeit der betroffenen Person dar, gegen das sie sich ohne Informationen zu den über sie bearbeiteten Personendaten als solche nicht zur Wehr setzen kann. Banken müssen bei der Beantwortung eines Auskunftsgesuchs somit prüfen, welche Geschäftstätigkeiten sie mit der betroffenen Person geführt haben und ihr die diesbezüg- lichen Informationen bekanntgeben. 2.1. 30. Anzeige 1 Die Cembra beantwortete zuerst das Auskunftsgesuch des ersten Anzeigers nur mit einem stan- dardisierten Text (vgl. Ziffer 9) ohne Informationen über die von ihr bearbeiteten Personendaten als solche bekanntzugeben oder eine gesetzliche Ausnahme des Auskunftsrechts geltend zu ma- chen. Dies wurde von der Cembra bestätigt und ist daher unbestritten. Erst mit Schreiben vom 8 Oktober 2024 wurde das Auskunftsgesuch vollständig beantwortet, indem der Ablehnungsgrund des Kreditkartenantrages begründet sowie die bearbeiteten Personendaten als solche als Beila- gen bekanntgegeben wurden. 31 Damit stellte die erste Antwort auf das Auskunftsgesuchs des ersten Anzeigers eine Verletzung von Art. 25 Abs. 2 lit. b DSG dar, 2.2. 32. Anzeige 2 Auch bei Anzeiger 2 hat die Cembra das Auskunftsgesuch nur mit einem standardisierten Text und ohne Informationen über die bearbeiteten Informationen beantwortet. Eine gesetzliche Aus- nahme des Auskunftsrechts hat Cembra auch gegenüber Anzeiger 2 nicht geltend gemacht (siehe Ziffer 9). Für weitergehende Informationen hat ihn Cembra lediglich auf die Datenschutzerklärung verwiesen, die online abrufbar sind. Auch das Auskunftsgesuch des Anzeigers 2 hat die Cembra erst mit Schreiben vom 8. Oktober 2024 vollständig beantwortet. 33 Folglich erfolgte auch die erste Antwort des Auskunftsgesuchs von Anzeiger 2 in Verletzung von Art. 25 Abs. 2 lit. b DSG. 2.3. Weitere Erkenntnisse 6/9

34. Wie die Cembra gegenüber dem EDÖB einräumte, wurden alle die vom 1. Dezember 2023 bis am 31. August 2024 eingegangen 13 Auskunftsgesuche mit einem standardisierten Text beant- wortet, wie ihn Anzeiger 2 am 10. April 2024 erhalten habe. Im Verlauf des Verfahrens kam die Cembra ihrer Auskunftspflicht bei den Anzeigenden nachträglich nach, nicht jedoch gegenüber den übrigen 1 1 Empfängern. Damit dauert eine Verletzung von Art. 25 Abs. 2 lit. b DSG nach wie vor an 3. 35, Einwände der Cembra Im Entwurf der Sachverhaltsfeststellung vom 6. September 2024, welcher der Cembra zur Stel- lungnahme vorgelegt wurde, hielt der EDÖB in Ziffer 13 fest, dass die Praxis der Cembra in Zu- sammenhang mit Auskunftsgesuchen darin bestünde, den betroffenen einen standardisierten Brief zu versenden, wie ihn Anzeiger 2 am 10 April 2024 erhielt. Die Cembra erwiderte diesbe- züglich in ihrer Stellungnahme vom 8. Oktober 2024, es sei nachvollziehbar, dass dieser Eindruck entstanden sei, aber er treffe nicht zu. Die Beantwortung der vorliegend relevanten Auskunftsbe- gehren entspreche nicht der üblichen Praxis der Cembra, sondern sei eine Folge des akuten Per- sonalmangels gewesen. Zudem sei die Feststellung einer allgemeinen Praxis durch den EDÖB keine Sachverhaltsfeststellung, sondern eine unzulässige Verallgemeinerung festgestellter Fak- ten 36 Mit Schreiben vom 25. Oktober 2024 hat die Cembra aber sodann selber dargelegt, dass alle der insgesamt dreizehn in der Zeit vom 1. Dezember 2023 bis am 31. August 2024 eingegangenen Auskunftsgesuche mit Standardschreiben beantwortet worden sind, womit sich ihr Einwand einer unzulässigen Verallgemeinerung als hinfällig erweist, 37. 38. Weiter macht die Cembra für die verspätete und unvollständige Antwort auf die Auskunftsgesuche geltend, es habe ein Personalmangel vorgelegen. Diese Begründung überzeugt nicht, weil Art. 18 Abs. 2 DSV für den Fall, dass eine Auskunft nicht innert 30 Tagen erteilt werden kann, eine Fristverlängerungsmöglichkeit vorsieht. Von dieser Mög- lichkeit hat die Cembra jedoch vorliegend nicht Gebrauch gemacht. Der Einwand des Personal- mangels stösst deshalb ins Leere. 39 Der EDÖB stellt somit abschliessend fest, dass das Datenschutzgesetz verletzt worden ist, indem den beiden Anzeigern die in Art. 25 Abs. 2 Bst. b. vorgesehenen Informationen zu den über sie bearbeiteten Personendaten als solche nicht innert der 30-tägigen Frist mitgeteilt wurden und auch keine Fristverlängerung beansprucht worden ist. 40. Weiter macht die Cembra geltend, angesichts des Sachverhaltes sei lediglich eine Verwarnung auszusprechen, da zwischenzeitlich Massnahmen für die rechtskonforme Bearbeitung der Aus- kunftsgesuche getroffen worden und die konkreten Auskunftsgesuche nun beantwortet worden seien 41 Liegt eine Verletzung von Datenschutzvorschriften vor, so kann der EDÖB verfügen, dass die Bearbeitung ganz oder teilweise angepasst, unterbrochen oder abgebrochen wird und die Perso- nendaten ganz oder teilweise gelöscht oder vernichtet werden (Art. 51 Abs. 1 DSG). Er kann dabei namentlich anordnen, der betroffenen Person die Auskünfte nach Artikel 25 zu erteilen (Art. 51 Abs. 3 Bst. g). Hat das Bundesorgan oder die private Person während der Untersuchung die er- forderlichen Massnahmen getroffen, um die Einhaltung der Datenschutzvorschriften wiederherzu- stellen, so kann der EDÖB sich darauf beschränken, eine Verwarnung auszusprechen (Art. 51 Abs. 5 DSG). 42. Wie vorstehend festgestellt liegen mehrfache Verletzungen des Datenschutzgesetzes vor. Die Bearbeitung der Personendaten wurde jedoch während der Untersuchung bereits angepasst. Ebenfalls wurden während dieser Untersuchung die Auskünfte nach Art. 25 DSG lediglich gegen- über Anzeiger 1 und 2 erteilt. Eine Mitteilung der bearbeitenden Personendaten ist gegenüber den übrigen 11 Betroffenen bisher noch nicht erfolgt und muss noch nachgeholt werden. 7/9

43. Die Cembra ist angehalten, Art. 25 DSG inskünftig rechtskonform anzuwenden. Für den Fall er- neuter Beschwerden behält sich der EDÖB Nachkontrollen vor und weist die Cembra ausdrück- lich auf die Strafbestimmung von Art. 63 DSG hin: <Mit Busse bis zu 250 000 Franken werden private Per$onen bestraft, die einer Verfügung des ED(:)B oder einem Entscheid der Rechtsmittelinstanzen, die oder der unter Hinweis auf die Straf- drohung dieses Artikels ergangen ist, vorsätzlich nicht Folge leisten.D c. 44. Gebühren Gemäss Art. 59 Abs. 1 Bst. d DSG erhebt der EDÖB von privaten Personen Gebühren für Mass- nahmen nach Art. 51 DSG. Die Höhe der Gebühren bemisst sich dabei nach der Regelung von Art. 44 DSV, welcher einen Stundenansatz vorsieht. Vorliegend wird gegenüber der Cembra eine Verwarnung ausgesprochen, welche eine gebühren- pflichtige Verwaltungsmassnahme nach Art. 51 DSG darstellt, 45 46, Die aufgewendete Zeit beträgt vorliegend insgesamt 33 Stunden zuzüglich Auslagen von CHF 16.90. Es resultiert ein Gebührentotal von CHF 5'829.40. Die Gebühr wird fällig mit der Rechtskraft der Verfügung; die Zahlungsfrist beträgt grundsätzlich 30 Tage ab Fälligkeit (vgl. Art. 44 Abs. 5 DSV i. V.m. Art. 12 Abs. 1 Bst. a und Abs. 2 AllgGebV). 8/9

Demnach wird festgestellt: Die Cembra Money Bank AG hat das DSG durch Missachtung von Art. 25 Abs. 2 Bst. b. und Abs. 7 in der Zeit vom 1. Dezember 2023 bis am 31. August 2024 mehrfach verletzt. und verfügt:

1. Die Cembra Money Bank AG wird aufgefordert, allen Personen, die bisher auf ihr Auskunftsbegeh- ren lediglich eine Standardantwort erhalten haben, gestützt auf Art. 51 Abs. 3 lit. g i. V.m. Art. 25 Abs. 2 lit. b DSG mitzuteilen, welche Personendaten über sie bearbeitet werden. 2. Die Cembra Money Bank AG wird auf die Strafbestimmung von Art. 63 DSG hingewiesen. 3. Der Cembra Money Bank AG wird eine Gebühr in der Höhe von insgesamt CHF 5'829.40 auferlegt.

4. Zu eröffnen: Cembra Money Bank AG, Bändeliweg 20, 8048 Zürich, p.A. Walder Wyss AG, RA David Vasella und Hannes Meyle, Seefeldstrasse 123, Postfach, 8034 Zürich Der Beauftragte Adrian Lobsiger Rechtsmittelbelehrung Gegen diese Verfügung kann innerhalb von 30 Tagen ab Erhalt der schriftlichen Ausfertigung Beschwerde erhoben werden (vgl. Art. 52 Abs. 1 DSG i.V.m. Art. 50 des Bundesgesetzes über das Verwaltungsverfahren, VwVG; SR 172.021). Diese Frist steht still, vom siebten Tag vor Ostern bis und mit dem siebten Tag nach Ostern; vom

15. Juli bis und mit 15. August und vom 18. Dezember bis und mit 2. Januar (vgl. Art. 52 Abs. 1 DSG i.V.m. Art. 22a VwVG). Die Beschwerde ist einzureichen beim Bundesverwaltungsgericht Postfach 9023 St. Gallen Sie hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift der beschwerdeführen- den Partei oder ihrer Vertretung zu enthalten. Die angefochtene Verfügung und die als Beweismittel angerufenen Urkunden sind der Beschwerde beizulegen, soweit sie der beschwerdeführenden Partei vorliegen (vgl. Art. 52 Abs 1 DSG i.V.m. Art. 52 Abs. 1 VwVG). 9/9