HG190036

Handelsgericht des Kantons Zürich Geschäfts-Nr.: HG190036-O U/ei Mitwirkend: Oberrichter Roland Schmid, Präsident, und Oberrichterin Dr. Claudia Bühler, die Handelsrichter Dr. Felix Graber, Martin Fischer und Thomas Steinebrunner sowie die Gerichtsschreiberin Claudia Iunco-Feier Urteil vom 24. September 2020 in Sachen A._____, Kläger vertreten durch Rechtsanwältin Dr. iur. X1._____ vertreten durch Rechtsanwalt Dr. iur. X2._____ gegen B1._____ (Schweiz) AG, (vormals: B1'._____ [Schweiz] AG), Beklagte vertreten durch Rechtsanwalt Dr. iur. Y1._____ vertreten durch Rechtsanwalt lic. iur. Y2._____ betreffend Datenschutz

- 2 - Inhaltsverzeichnis Sachverhalt und Verfahren ................................................................................. 3 A. Sachverhaltsübersicht ................................................................................. 3

a. Parteien .......................................................................................................... 3

b. Prozessgegenstand ........................................................................................ 3 B. Prozessverlauf .............................................................................................. 4 Erwägungen ......................................................................................................... 5

1. Formelles ...................................................................................................... 5 1.1. Zuständigkeit .................................................................................................. 5 1.2. Prosequierungsfrist ........................................................................................ 5 1.3. Bestimmtheit des Rechtsbegehrens ............................................................... 5 1.4. Rechtsschutzinteresse ................................................................................... 7

2. Anwendbares Recht ................................................................................... 10

3. Persönlichkeitsverletzung durch Datenbekanntgabe ins Ausland ........ 11 3.1. Unbestrittener Sachverhalt ........................................................................... 11 3.2. Parteistandpunkte ........................................................................................ 13 3.3. Rechtliche Grundlagen ................................................................................. 15 3.4. Würdigung .................................................................................................... 16 3.4.1. Bekanntgeben ........................................................................................... 16 3.4.2. Personendaten .......................................................................................... 18 3.4.3. Keine angemessene Datenschutzgesetzgebung ....................................... 22 3.5. Zusammenfassung ....................................................................................... 22

4. Rechtfertigungsgründe .............................................................................. 23 4.1. Parteistandpunkte ........................................................................................ 23 4.2. Rechtliche Grundlagen ................................................................................. 24 4.3. Würdigung .................................................................................................... 25

5. Verbot der Datenlieferung ......................................................................... 26

6. Kosten- und Entschädigungsfolgen ......................................................... 27 6.1. Streitwert ...................................................................................................... 27 6.2. Gerichtskosten ............................................................................................. 27 6.3. Parteientschädigungen ................................................................................. 28

- 3 - Rechtsbegehren: (act. 1 S.2) " Es sei der Beklagten zu verbieten, Personendaten des Klägers direkt oder indirekt ins Ausland zu übermitteln oder direkt oder indirekt an US-Behörden weiterzugeben, wobei der Begriff Personendaten auch alle Daten umfasst, welche den Kläger bestimmbar machen (d.h. u.a. solche in pseudonymisierter und verschlüsselter / codierter Form, wie Kontonummern oder andere Kundennummern), insbesondere sei der Beklagten zu verbieten, eine den Kläger betreffende sog. II.D.2-Liste oder ähnliches an US-Behörden zu übermitteln, unter Androhung ge- gen die Organe der Beklagten der Bestrafung wegen Ungehorsams gegen eine amtliche Verfügung im Sinne von Art. 292 StGB (Bestra- fung mit Busse) im Widerhandlungsfall. Alles unter Kosten- und Entschädigungsfolgen zu Lasten der Beklag- ten, insbesondere sei die Beklagte zu verpflichten, dem Kläger die Gerichtskosten des Massnahmenverfahrens (Geschäfts-Nr. HE180350-O) von CHF 10'000.-- zu erstatten sowie für das gesamte Massnahmenverfahren eine angemessene Parteientschädigung zu entrichten." Sachverhalt und Verfahren A. Sachverhaltsübersicht

a. Parteien Der Kläger ist ein in Israel wohnhafter Diamantenhändler mit US-Bürgerschaft (act. 1 Rz. 8). Die Beklagte ist eine Schweizer Bank mit Sitz in C._____ [Ort- schaft] und Geschäftsstellen in C._____, D._____ [Ortschaft], E._____ [Ortschaft] sowie F._____ [Ortschaft]. Sie ist eine Tochtergesellschaft der B2._____ Israel, welche zur B._____-Gruppe gehört (act. 10 Rz. 6).

b. Prozessgegenstand Das U.S. Department of Justice (DoJ) führt gegen die B._____-Gruppe aufgrund ihrer Geschäftstätigkeit mit aktuellen oder ehemaligen US-Kunden eine Strafun- tersuchung wegen möglicher Verstösse gegen amerikanisches Recht (act. 10 Rz. 11). Der Kläger befürchtet, die Beklagte könnte in diesem Zusammenhang ihn be-

- 4 - treffende Personendaten an die US-Behörden übermitteln, und er will dies mit der vorliegenden Klage verhindern. B. Prozessverlauf

1. Dem vorliegenden Verfahren ging ein Massnahmeverfahren vor dem Einzel- gericht des Handelsgerichts des Kantons Zürich voraus (HE180350). Mit Urteil vom 21. Dezember 2018 verbot das Einzelgericht der Beklagten vorsorglich, ir- gendwelche Daten im Zusammenhang mit drei den Kläger betreffenden Konto- verhältnissen an US-Behörden herauszugeben und setzte dem Kläger Frist bis zum 4. März 2019, um den Prozess in der Hauptsache anhängig zu machen (act. 4/25). Die von der Beklagten gegen den Massnahmeentscheid erhobene Be- schwerde ans Bundesgericht wurde, soweit darauf eingetreten wurde, abgewie- sen (Urteil des Bundesgerichts 4A_50/2019 vom 28. Mai 2019).

2. Am 27. Februar 2019 (Datum Poststempel) reichte der Kläger die vorliegen- de Klage ein (act. 1). Den ihm auferlegten Vorschuss für die Gerichtskosten leis- tete er fristgerecht (act. 5 und 7), worauf der Beklagten mit Verfügung vom 2. April 2019 Frist zur Beantwortung der Klage angesetzt wurde (act. 8). Die Beklagte reichte ihre Klageantwort, welche sie mit einem Nichteintretensantrag verband, fristgerecht ein (act. 10 und 12/1-19). Mit Verfügung vom 21. Juni 2019 wurde dem Kläger Frist angesetzt, um sich zum Nichteintretensantrag zu äussern (act. 13). Die entsprechende Stellungnahme des Klägers datiert vom 9. Juli 2019 (act. 15). Mit Beschluss vom 29. August 2019 wurde die Unzuständigkeitseinrede der Beklagten abgewiesen und auf die Klage insoweit nicht eingetreten, als sich das beantragte Verbot der Datenübermittlung auf andere Behörden als das DoJ be- zieht (act. 18). Am 15. Oktober 2019 wurde ein zweiter Schriftenwechsel ange- ordnet (act. 20). Die Replik datiert vom 16. Dezember 2019 (act. 22) und die Dup- lik vom 3. März 2020 (act. 27). Mit dem Hinweis auf neu vorgebrachte Beweismit- tel reichte der Kläger am 12. März 2020 eine Stellungnahme ein (act. 31). Danach gingen keine weiteren Eingaben ein. Mit Verfügung vom 19. August 2020 wurde den Parteien Frist angesetzt, um zu erklären, ob auf die Durchführung einer Hauptverhandlung verzichtet werde (act. 34). Beide Parteien haben auf die

- 5 - Durchführung einer Hauptverhandlung verzichtet (act. 36 und 37). Der Prozess ist spruchreif (Art. 236 Abs. 1 ZPO). Erwägungen

1. Formelles 1.1. Zuständigkeit Bereits mit Beschluss vom 29. August 2019 hat das Handelsgericht des Kantons Zürich seine internationale und örtliche Zuständigkeit gestützt auf Art. 2 Abs. 1 LugÜ und Art. 2 IPRG sowie seine sachliche Zuständigkeit gestützt auf Art. 6 Abs. 2 ZPO und § 44 lit. b GOG bejaht (act. 18). Dieser Entscheid ist in Rechts- kraft erwachsen. Es sind keine Umstände ersichtlich, die eine erneute Prüfung der Zuständigkeit erfordern würden. 1.2. Prosequierungsfrist Mit Einreichung der vorliegenden Klage am 27. Februar 2019 (Datum Poststem- pel, act. 1) hat der Kläger die ihm angesetzte Frist zur Anhängigmachung des Prozesses in der Hauptsache eingehalten (act. 3/30). Damit wurde das vorpro- zessual vorsorglich angeordnete Verbot aufrechterhalten (Art. 263 ZPO). 1.3. Bestimmtheit des Rechtsbegehrens 1.3.1. Die Beklagte hat bereits in der Klageantwort die Unbestimmtheit des kläge- rischen Rechtsbegehrens beanstandet und gestützt darauf einen Nichteintretens- antrag gestellt (act. 10 Rz. 44). Die ungenügende Bezeichnung der Empfänger der potentiellen Datenübermittlung hat dazu geführt, dass das Handelsgericht mit Beschluss vom 29. August 2019 nur soweit auf die Klage eingetreten ist, als sich das Verbot der Datenübermittlung auf das DoJ bezieht. Betreffend den Einwand der mangelhaften Bezeichnung der Personendaten wurde hingegen erwogen, dass es dem Kläger nicht möglich war, die von einem Lieferverbot erfassten Da- ten näher zu substantiieren, da die Beklagte trotz Nachfrage nicht mitgeteilt habe, welche Daten sie konkret liefern würde (act. 18 S. 13). In der Duplik stellt sich die

- 6 - Beklagte erneut auf den Standpunkt, die zu übermittelnden Daten seien im Rechtsbegehren nicht hinreichend bestimmt. Sie macht geltend, sie habe in ihrer Klageantwort die Eckdaten für eventuell an das DoJ zu übermittelnde Informatio- nen kommuniziert, der Kläger habe in der Replik aber weiterhin keine nähere Um- schreibung vorgenommen. Insbesondere sei die Formulierung "II.D.2-Listen oder ähnliches" zu unbestimmt, weshalb auf die Klage nicht einzutreten sei (act. 27 Rz. 101 ff.). 1.3.2. Nach Art. 221 Abs. 1 lit. b ZPO muss jede Klage ein Rechtsbegehren ent- halten, welches genügend bestimmt sein muss, andernfalls auf die Klage nicht einzutreten ist. Die Formulierung des Rechtsbegehrens muss so bestimmt sein, dass dieses bei Gutheissung unverändert zum Urteil erhoben und das Urteil voll- streckt werden kann. Ein bestimmtes Rechtsbegehren ist unter anderem deshalb erforderlich, da die Gegenpartei zur Wahrung ihres rechtlichen Gehörs wissen muss, gegen was sie sich zu verteidigen hat. Bei Unterlassungsklagen besteht oft die Schwierigkeit, dass etwas verboten werden soll, das noch nicht erfolgt ist. Die Regel der Bestimmtheit des Rechtsbegehrens gilt aber grundsätzlich auch hier: Gegenstand eines Unterlassungsbegehrens kann nur das Verbot einer individua- lisierten, d.h. genau und bestimmt umschriebenen Handlung sein (LEUENBERGER, in: SUTTER-SOMM/HASENBÖHLER/LEUENBERGER [Hrsg.], Kommentar zur ZPO,

3. Aufl., Zürich 2016, N. 28 f. und 40 zu Art. 221 ZPO). 1.3.3. Der Kläger hat in seinem Rechtsbegehren den Gegenstand des Verbots wie folgt umschrieben: "Personendaten des Klägers (…), wobei der Begriff Personendaten auch alle Daten umfasst, welche den Kläger bestimmbar machen (d.h. u.a. solche in pseudonymi- sierter und verschlüsselter / codierter Form, wie Kontonummern oder andere Kundennummern), insbesondere (…) sog. II.D.2-Liste oder ähnliches (…)". Dabei handelt es sich um eine weit gefasste Umschreibung der Daten, welche auf eine Besonderheit des vorliegen- den Falles zurückzuführen ist. Anders als in ähnlich gelagerten Fällen, in welchen die Bank den Betroffenen bekannt gab, welche Daten konkret übermittelt werden sollen, hat die Beklagte dem Kläger nie eine entsprechende Mitteilung gemacht. Die Beklagte verfolgt diesbezüglich verschiedene (sich freilich widersprechende) Argumentationslinien: Einerseits macht sie geltend, gar nicht über den Kläger be-

- 7 - treffende Daten zu verfügen (act. 10 Rz. 50, 53 ff.). Andererseits geht sie selber davon aus, dass sie zwar bestimmte Informationen an das DoJ übermitteln werde, derzeit aber noch nicht bekannt sei, um welche Informationen es sich dabei hand- le. Dass es sich dabei um geschützte Daten im Sinne des DSG handelt, schliesst sie aber aus (act. 10 Rz. 51, 66 ff.). Wie bereits im Massnahmeentscheid vom 21. Dezember 2018 erwogen, ist der Kläger vor diesem Hintergrund gar nicht in der Lage, die fraglichen Daten näher zu bezeichnen (act. 4/25 Erw. 5.2.4.). Daran hat sich nichts geändert. Entgegen der Ansicht der Beklagten bezeichnet sie die von einer potentiellen Übermittlung betroffenen Daten auch in ihrer Klageantwort nicht konkret (act. 10 Rz. 80). Vielmehr weist sie an dieser Stelle sogar selber darauf hin, dass es ihr nicht möglich sei, konkretere Angaben über die Art und den Um- fang der möglicherweise zu übermittelnden Daten zu machen. Kann die Beklagte die zu übermittelnden Daten selbst nicht konkretisieren, können auch keine über- höhten Anforderungen an die Bestimmtheit des Rechtsbegehrens gestellt werden. Auch die beanstandete Formulierung "sog. II.D.2-Liste oder ähnliches" ist der un- zureichenden Informationslage geschuldet und kann dem Kläger nicht vorgewor- fen werden. Die Formulierung "II.D.2-Liste oder ähnliches" geht auf das Schreiben der Beklagten vom 13. August 2018 zurück, worin sie festhielt: "It is well-established that Swiss banks may provide U.S. authorities with information similar to that requested by the DOJ in paragraph II.D.2 of the Program for Non-Prosecution Agreements or Non-Target Letters for Swiss Banks (i.e., "II.D.2 information)." (act. 3/8). Überdies hat der Kläger in der Begründung näher definiert, was unter der II.D.2-Liste zu verstehen ist und entsprechende Beispiele eingereicht (act. 1 Rz 24 f., act. 3/12 und 3/13). Die Formulierung "oder ähnliches" kann somit nicht anders verstanden werden, als eine Liste, die ver- gleichbare Informationen enthält. Damit ist der Streitgegenstand hinreichend fi- xiert, die Beklagte weiss wogegen sie sich wehren muss und auch eine allfällige Vollstreckung sollte keine Probleme bieten. Vor diesem Hintergrund ist das Rechtsbegehren – wie bereits im Massnahmeverfahren und im Nichteintretensbe- schluss (act. 18) – hinsichtlich der Umschreibung der Daten als hinreichend be- stimmt zu betrachten. 1.4. Rechtsschutzinteresse

- 8 - 1.4.1. Die Beklagte stellt ein Rechtsschutzinteresse des Klägers aus verschiede- nen Gründen in Abrede: Der Kläger habe nicht in genügender Weise bezeichnet, welche Daten an welche Behörde übermittelt werden sollen (act. 10 Rz. 40, 44). Sodann habe die Bank G._____ bereits anfangs 2017 Informationen jener Kate- gorie, gegen deren Übermittlung sich der Kläger nun wehre, an das DoJ übermit- telt (act. 10 Rz. 47 f.). 1.4.2. Bei Leistungsklagen (Art. 84 f. ZPO) liegt das Rechtsschutzbedürfnis auf der Hand, geht es hier doch immer um die Durchsetzung von (vermeintlichen) Ansprüchen des materiellen Rechts (z.B. Geldzahlung, Herausgabe einer Sache, Verbesserung eines Werks). Bei Unterlassungsklagen ist das Rechtsschutzinte- resse gegeben, wenn die widerrechtliche Handlung, auf welche das Begehren ge- richtet ist, unmittelbar droht, d.h., wenn das Verhalten des Beklagten die künftige Rechtsverletzung ernsthaft befürchten lässt, so dass eine solche mit einer gewis- sen Unmittelbarkeit droht (ZÜRCHER, in: SUTTER-SOMM/HASENBÖHLER/ LEUENBER- GER [Hrsg.], a.a.O., N. 13 zu Art. 59 ZPO, BGE 124 III 72 E. 2a). Naturgemäss lässt sich künftiges Verhalten nie mit letzter Sicherheit beweisen, so dass es genügen muss, eine Vermutung darzutun (BGE 97 II 97 E. 5b). In welcher Intensität eine Gefahr vorhanden sein muss, um einen Unterlassungsanspruch bejahen zu können, ist eine Rechtsfrage. Die tatsächlichen Gegebenheiten, aus denen sich eine Gefahr der dargelegten Art ergeben soll, sind von der klagenden Partei nachzuweisen (Urteile des Bundesgerichts 4A_250/2018 vom 1. Oktober 2018 E. 3.2 und 5A_228/2009 vom 8. Juli 2009 E. 4.1). Die Frage der Unmittelbarkeit der drohenden Rechtsgutsverletzung stellt sich vor- liegend nicht nur hinsichtlich des Rechtsschutzinteresses als Prozessvorausset- zung, sondern auch im Rahmen der materiellen Beurteilung. Es handelt sich um eine doppelrelevante Tatsache, die sowohl für die Zulässigkeit als auch für die Begründetheit der Klage von Bedeutung ist. Sie wird nur in einem Verfahrenssta- dium untersucht, nämlich bei der Prüfung der Begründetheit. Für die Zulässig- keitsprüfung genügt es nach der Rechtsprechung, wenn der Kläger das Vorliegen der Prozessvoraussetzungen – mithin des Rechtsschutzinteresses – schlüssig

- 9 - behauptet (ZÜRCHER, in: SUTTER-SOMM/HASENBÖHLER/LEUENBERGER [Hrsg.], a.a.O., N 16 zu Art. 60, m.w.H.). 1.4.3. Den Einwand, dass die Daten bereits von der G._____ Bank geliefert wor- den seien, hat das Handelsgericht bereits im Beschluss vom 29. August 2019 ge- prüft und mit der Begründung verworfen, dass die Beklagte nicht dargetan habe, dass eine solche Übermittlung durch die Bank G._____ tatsächlich stattgefunden hat (act. 18 E. 4.3.). In der Duplik hält die Beklagte an ihrem Standpunkt fest und beruft sich erneut auf das Schreiben der Bank G._____ vom 4. Januar 2017 (act. 12/16). Sie macht geltend, das Handelsgericht habe übersehen, dass die Bank G._____ die Datenübermittlung eindeutig in Aussicht gestellt habe, sofern nicht innert 20 Tagen widersprochen werde. Weder die Beklagte, noch die E._____ Bank der Beklagten noch der Kläger hätten widersprochen. Damit sei erstellt, dass die Daten übermittelt worden seien (act. 27 Rz. 82 ff.). Dem ist entgegenzu- halten, dass selbst ein allfälliger unterbliebener Widerspruch nicht beweist, dass die Bank G._____ die fraglichen Daten tatsächlich an das DoJ übermittelt hat. Es fehlt damit nach wie vor am Nachweis, dass überhaupt eine Datenübermittlung durch die Bank G._____ stattgefunden hat, weshalb – wie bereits im Beschluss vom 29. August 2019 festgehalten – keine Veranlassung besteht, von der Gegen- standslosigkeit des vorliegenden Verfahrens bzw. eines dadurch entfallenden Rechtsschutzinteresses auszugehen. Indem der Kläger detailliert und glaubhaft ausgeführt hat, dass die Beklagte die Übermittlung von Informationen über die Kontobeziehungen zwischen ihm und der Beklagten in Aussicht gestellt hat und dabei zum Ausdruck gebracht hat, dass sie bezüglich der Zulässigkeit einer solchen Übermittlung eine andere Rechtsauffassung als der Kläger vertritt, hat der Kläger sein Rechtsschutz- interesse schlüssig behauptet. Eine solche Datenübermittlung berührt das infor- mationelle Selbstbestimmungsrecht des Klägers, welches durch das DSG geschützt ist. Vor diesem Hintergrund ist ein Rechtsschutzinteresse des Klägers im Rahmen der Prüfung der Prozessvoraussetzungen zu bejahen.

- 10 -

2. Anwendbares Recht 2.1. Die Beklagte vertritt den Standpunkt, dass E._____ Recht zur Anwendung gelange, da die fraglichen Kontobeziehungen des Klägers allein mit der E._____ Bank bestünden. Dies gelte sowohl für datenschutzrechtliche Fragen als auch für Fragen des Bankgeheimnisses sowie der Persönlichkeitsverletzung im Zusam- menhang mit diesen Kontobeziehungen (act. 10 Rz. 92 ff.). 2.2. Der Kläger erachtet gestützt auf Art. 139 Abs. 1 lit. b i.V.m. Art. 139 Abs. 3 IPRG Schweizer Recht als anwendbar. Überdies beruft er sich auf Art. 18 IPRG, da sowohl Art. 6 DSG als auch Art. 47 BankG als loi d'application immédiate zwingend auf Datenbearbeitungen von Schweizer Banken anzuwenden seien (act. 1 Rz. 37 f.). 2.3. Im DSG finden sich keine Bestimmungen bezüglich des räumlichen Gel- tungsbereichs. Öffentlich-rechtliche Vorschriften des DSG kommen aufgrund des Territorialitätsprinzips lediglich für Sachverhalte in der Schweiz zur Anwendung, wobei der Ort der Bearbeitung von Personendaten in der Schweiz liegen muss, damit diese dem grundrechtlichen Schutz der Privatsphäre unterstehen (MAURER- LAMBROU/KUNZ, in: MAURER-LAMBROU/BLECHTA [Hrsg.], BSK Datenschutzgesetz Öffentlichkeitsgesetz, 3. Aufl., Basel 2014, N 19 b und c zu Art. 2 DSG). Erfolgt eine Persönlichkeitsverletzung aufgrund einer widerrechtlichen Datenbe- arbeitung durch Privatpersonen, so hat die verletzte Person gemäss Art. 139 Abs. 1 IPRG in Bezug auf das anwendbare Recht ein Wahlrecht. Unter anderem kann sie das Recht des Staates wählen, in welchem der Urheber der Verletzung seine Niederlassung oder seinen gewöhnlichen Aufenthalt hat (Art. 139 Abs. 1 lit. b IPRG i.V.m. Art. 139 Abs. 3 IPRG). Art. 6 Abs. 1 und Abs. 2 DSG sind überdies Eingriffsnormen und gelten für alle in der Schweiz bearbeiteten Daten (lois d'application immédiate, Art. 18 IPRG) (DASSER, in: HONSELL/VOGT/SCHNYDER/ BERTI (Hrsg.), BSK IPRG, 3. Aufl., 2013, N 49 zu Art. 139). 2.4. Der Kläger beruft sich auf eine (drohende) widerrechtliche Persönlichkeits- verletzung durch Datenbearbeitung durch die Beklagte mit Sitz in C._____, und nicht etwa auf eine Datenbearbeitung durch die in E._____ ansässige Geschäfts-

- 11 - stelle. Entsprechend hat er zu Recht gestützt auf Art. 139 Abs. 1 lit. b IPRG eine Wahl zugunsten des am Sitz der Beklagten geltenden Schweizer Rechts getrof- fen. Die Prüfung, ob von einer Persönlichkeitsverletzung im Sinne des DSG aus- zugehen ist, hat demnach nach Schweizer Recht zu erfolgen. Selbst wenn man zu einem anderen Schluss gelangen würde, käme aufgrund von Art. 18 IPRG i.V.m. Art. 6 Abs. 1 DSG Schweizer Recht zur Anwendung. Dies entspricht im Übrigen auch der vom Bundesgericht in seinem Entscheid be- treffend die vorsorglichen Massnahmen vertretenen Ansicht, wonach sich insoweit nach schweizerischem Recht bestimmt, unter welchen Voraussetzungen eine Da- tenherausgabe durch die Beschwerdeführerin selbst von der Schweiz aus an die US-Behörden zulässig ist (Urteil des Bundesgerichts 4A_50/2019 vom 28. Mai 2019, E. 5).

3. Persönlichkeitsverletzung durch Datenbekanntgabe ins Ausland 3.1. Unbestrittener Sachverhalt Aufgrund ihrer Geschäftstätigkeiten mit aktuellen oder ehemaligen US-Kunden führt das DoJ gegen die gesamte B._____ Gruppe – und damit auch gegen die Beklagte – eine Strafuntersuchung wegen möglicher Verstösse gegen amerikani- sches Recht (act. 10 Rz. 11). Die Untersuchung wurde bereits vor August 2013 eingeleitet. Damit ist die Beklagte eine Bank der Gruppe 1, welche sich grund- sätzlich nicht am "Program for Non-Prosecution Agreements or Non-Target Let- ters for Swiss Banks" (nachfolgend US-Programm) beteiligen darf (act. 1 Rz. 20 ff.). Die Beklagte hat eine Zweigniederlassung in E._____. Diese Zweigniederlas- sung führt vier Bankkonten, welche zwar nicht alle auf den Kläger lauten, jedoch mindestens Bezüge zum Kläger aufweisen. Namentlich werden entweder er selbst oder ihm möglicherweise nahestehende Personen als Unterschriftsberech- tigte und/oder wirtschaftlich Berechtigte aufgeführt (act. 15 Rz. 20 ff., act. 10 Rz. 3). Am 23. April 2018 richtete die Beklagte ein Schreiben an den Kläger mit folgen- dem Inhalt (teilweise Wiedergabe von act. 3/4):

- 12 - "As you may recall from your telephone conversation several weeks ago with my colleague, I._____, J._____ [Firma] was engaged by B1._____ (Switzerland) AG (the "Bank") in connection with its ongoing negotiations with the United States Department of Justice ("DOJ"). The Bank is required to identify all "U.S. Related Ac- counts" and provide certain information on each U.S. Related Account to the DOJ. The Bank identified accounts in which your client, Mr. A._____, was listed as the beneficial owner on the ac- counting opening documentation, and asked that we contact him regarding his role in the account and his in- come tax and reporting obligations vis-à-vis the United States. During your telephone conversation with Ms. I._____, you inquired about the information the Bank would pro- vide to the DOJ regarding a U.S. Related Account. Generally, the Bank will not disclose personally identifia- ble information related to a U.S. Related Account unless the account holder provides a Bank Secrecy Waiver. In the absence of a waiver, the Bank may disclose to the DOJ the date the account was opened and, where applicable, closed, the maximum value of the account, and the fact that your client is a U.S. citizen. Although the Bank will not disclose personally identifiable information related to the accounts absent a waiv- er, we anticipate that the DOJ may receive such information via a treaty request to the E._____ government. Thus, the DOJ could learn that your client is or has been an account holder of a U.S. Related Account at the Bank. The Bank strongly encourages all account holders of U.S. Related Accounts to enter the U.S. Internal Reve- nue Service's ("IRS") Offshore Voluntary Disclosure Program ("OVDP") or Streamlined Filing Compliance Procedures ("SFCP") to regularize their fiscal status and avoid the risk of criminal prosecution if they fail to take advantage of the OVDP or SFCP. Such account holders should enter the OVDP as soon as possible as the program ends 28 September 2018. (…)" Als Reaktion auf dieses Schreiben hielt der Kläger am 30. April 2018 im Wesentli- chen fest, dass er nicht auf das Bankgeheimnis verzichten werde und die Bank erneut auffordere, ihm genaue Kopien der Daten/Informationen zuzustellen, wel- che die Bank in diesem Fall an die US Behörden zu übermitteln plane. Überdies betonte er seinen Widerspruch zu einer Übermittlung irgendwelcher Da- ten/Informationen, welche seine Bankbeziehung betreffen (act. 3/5). Am 13. August 2018 beantwortete die Beklagte die klägerischen Einwände wie folgt (act. 3/8):

- 13 - "This letter serves as a follow-up to our telephone conversation of July 31, 2018 and your subsequent corre- spondence regarding B1._____ (Switzerland) AG (the "Bank"). As an initial note, your request for copies of the Bank's Article 271 waiver and copies of all data that the Bank plans to send to the U.S. authorities goes well beyond the scope of what Swiss law requires or permits. The Bank is under no obligation to share with customers the data that is required to provide to the U.S. government as part of an ongoing Department of Justice ("DOJ") investigation that is not client specific. We disagree that any anonymized data the Bank plans to send to the U.S. authorities, absent a waiver, con- stitues personal data that is protected under the Swiss Data Protection Act ("DPA"). It is well established that Swiss banks may provide the U.S. authorities with information similar to that requested by the DOJ in para- graph II.D.2 of the Program for Non-Prosecution Agreements or Non-Target Letters for Swiss Banks (i.e., "II.D.2 Information"). While the Bank notes Mr. A._____'s objections as set forth in your letter, the Bank will continue to comply with its obligation pursuant to the ongoing DOJ investigation provided it does not violate Swiss law. The Bank has no obligation to provide, and will not provide, the II.D.2 Information or accompany- ing documentation to Bank customers prior to disclosure to the DOJ so long as the data stays within the con- fines of permissible disclosure Swiss law." Der Stand des Strafverfahrens gegen die Beklagte ist nicht bekannt. Fest steht, dass die Beklagte mit dem DoJ über den Abschluss eines Plea Agreements ver- handelt (act. 27 Rz. 48). Bis zum Urteilszeitpunkt ist kein Abschluss einer Vereinbarung mit dem DoJ aktenkundig. 3.2. Parteistandpunkte 3.2.1. Der Kläger stellt sich auf den Standpunkt, die Beklagte beabsichtige, sich im Rahmen eines NPA, DPA oder einer sonstigen Vereinbarung mit dem DoJ freiwillig am US-Programm zu beteiligen und in diesem Zusammenhang dem DoJ Personendaten des Klägers in der Form einer II.D.2-Liste zu übermitteln (act. 1 Rz. 1 ff., 19 ff. ). Bankkundendaten, welche gemäss Mustertabelle aufbereitet sei- en, würden Bankkunden wie den Kläger für das DoJ leicht bestimmbar machen (act. 1 Rz. 24 ff.). Die Übermittlung der II.D.2-Daten könne jederzeit erfolgen, was er mit der vorliegenden Klage verhindern wolle (act. 1 Rz. 35 f.). Eine Datenüber- mittlung stelle eine schwerwiegende Persönlichkeitsverletzung i.S.v. Art. 6 Abs. 1 DSG dar, welche nicht nach Art. 6 Abs. 2 DSG gerechtfertigt werden könne (act. 1 Rz. 61 ff.). Überdies stützt der Kläger seinen Unterlassungsanspruch auf das

- 14 - Bankgeheimnis (Art. 47 BankG) und auf die vertragliche Sorgfalts- und Treue- pflicht (act. 1 Rz. 41 ff.). 3.2.2. Die Beklagte bestreitet eine drohende Datenübermittlung aus mehreren, sich teilweise widersprechenden Gründen: Erstens sei eine Datenübermittlung durch die Beklagte gar nicht möglich, weil sie über keine Daten des Klägers ver- füge. Zwischen dem Kläger und der Beklagten bestehe keine vertragliche Bezie- hung. Eine solche bestehe einzig mit der E._____ Zweigniederlassung, welche selbständig und lokal als Bank reguliert und beaufsichtigt sei. Rechte und Pflich- ten aus dem Vertragsverhältnis bestünden einzig zwischen dem Kläger und der Zweigniederlassung in E._____. Die Beklagte könne nicht auf Daten von in E._____ geführten Kontobeziehungen zugreifen. Dies sei ihr auch aus rechtlichen Gründen verwehrt (act. 10 Rz. 8 und 53 ff.). Der Beklagten fehle daher von vorn- herein die Passivlegitimation (act. 10 Rz. 101 ff.). Zweitens werde das DoJ im Rahmen des Untersuchungsverfahrens wohl eine Übermittlung von Informationen erwarten. Es stehe jedoch noch nicht fest, wann welche Daten übermittelt werden müssten. Da die Beklagte nicht am US- Programm teilnehme, gäben die II.D.2-Listen jedenfalls keinen Aufschluss dar- über. Fest stehe, dass die Beklagte dem DoJ keine Daten übermitteln werde, wel- che diesem eine Identifizierung einzelner Kontoinhaber ermögliche bzw. welche mit persönlichkeits- und datenschutzrechtlichen Vorgaben nicht vereinbar seien (act. 10 Rz 69 ff.). Die Beklagte verhandle derzeit mit dem DoJ über den Ab- schluss eines Plea Agreements. Es sei zwar angedacht, dass die Beklagte nach Massgabe dieses Agreements zur Übermittlung von Informationen verpflichtet sein werde, so wie sie zum Teil auch in den – aus dem Bankenprogramm bekann- ten – II.D.2-Listen vorkommen würden. Allerdings werde sich nach heutigem Kenntnisstand das DoJ vorbehalten, die genauen Parameter noch zu bestimmen (act. 27 Rz. 48). Die Beklagte sei weder zur Übermittlung einer II.D.2-Liste ge- mäss US-Programm verpflichtet, noch gedenke sie, freiwillig eine Liste in der Form der vom Kläger eingereichten Mustertabelle zu übermitteln. Vielmehr werde der Inhalt einer solchen Liste, wenn es überhaupt zur einer Datenübermittlung kommen würde, vom DoJ in Absprache mit der Beklagten im konkreten Einzelfall

- 15 - und unter Beachtung der anwendbaren rechtlichen Anforderungen festgelegt (act. 10 Rz. 124). Drittens macht die Beklagte geltend, dass es sich bei drei der vier betroffenen Konten nicht um Konten des Klägers handle. Die allfällige Übermittlung entspre- chender Angaben liessen keine Rückschlüsse auf den Kläger zu (act. 10 Rz. 84 ff.). Allfällige Ansprüche des Klägers im Zusammenhang mit Personendaten seien auf jenes Konto beschränkt, das er persönlich eröffnet habe. Für die anderen drei Konten könne der Kläger keine Ansprüche geltend machen, da allfällige damit verbundene Personendaten gar nicht ihn persönlich, sondern Drittpersonen, be- träfen. Diesbezüglich fehle dem Kläger die Aktivlegitimation (act. 10 Rz. 106 f.). Für den Fall, dass von einer Datenübermittlung ausgegangen würde, bestreitet die Beklagte, dass damit eine Verletzung von vertragsrechtlichen Treuepflichten (act. 10 Rz. 108 ff.) oder eine Verletzung von persönlichkeits- oder datenschutz- rechtlichen Bestimmungen (act. 10 Rz. 115 ff.) einhergehen würde. 3.3. Rechtliche Grundlagen Das DSG gilt für das Bearbeiten von Daten natürlicher und juristischer Personen durch private Personen und Bundesorgane (Art. 2 Abs. 1 DSG). Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person bezie- hen (Art. 3 Abs. 1 DSG). Eine Person ist dann bestimmt, wenn sich aus der In- formation selbst ergibt, dass es sich genau um diese Person handelt. Bestimmbar ist die Person, wenn aufgrund zusätzlicher Informationen auf sie geschlossen werden kann. Ist der Aufwand derart gross, dass nach der allgemeinen Lebenser- fahrung nicht damit gerechnet werden muss, dass ein Interessent diesen auf sich nehmen wird, liegt keine Bestimmbarkeit vor. Die Frage ist abhängig vom konkre- ten Fall zu beantworten, wobei insbesondere auch die Möglichkeiten der Technik zu berücksichtigen sind. Von Bedeutung ist nicht nur, welcher Aufwand objektiv erforderlich ist, um eine bestimmte Information einer Person zuordnen zu können, sondern auch, welches Interesse der Datenbearbeiter oder ein Dritter an der Iden- tifizierung hat (Urteil des Bundesgerichts 4A_365/2017 vom 26. Februar 2018, E. 5). Bearbeiten ist jeder Umgang mit Personendaten, insbesondere auch das Be-

- 16 - kanntgeben von Daten (Art. 3 lit. e DSG). Bekanntgeben ist das Zugänglichma- chen von Personendaten wie das Einsichtgewähren, Weitergeben und Veröffent- lichen (Art. 3 lit. f DSG). Wer Personendaten bearbeitet bzw. bekannt gibt, darf die Persönlichkeit der be- troffenen Person nicht widerrechtlich verletzen, es sei denn, die Verletzung ist ge- rechtfertigt (Art. 12 f. DSG). Droht die Datenbekanntgabe ins Ausland, darf diese nicht nur keine widerrechtliche Persönlichkeitsverletzung bewirken, sondern muss zusätzlich den Rechtmässigkeitsvoraussetzungen von Art. 6 DSG genügen. Die Einhaltung dieser Voraussetzungen ist vorab zu prüfen, da Art. 6 DSG eine in sich geschlossene und strengere Sonderregelung darstellt, die bei jeder Datenbe- kanntgabe ins Ausland – nebst den anderen Bestimmungen des DSG – zu be- rücksichtigen ist (NOUREDDINE, in: PASSADELIS/ROSENTHAL/THÜR [Hrsg.], Daten- schutzrecht, Basel 2015, Rz. 3.127). Demnach dürfen Personendaten dann nicht ins Ausland bekannt gegeben werden, wenn dadurch die Persönlichkeit des Be- troffenen schwerwiegend gefährdet würde (Art. 6 Abs. 1 DSG). Als schwerwie- gende Gefährdung der Persönlichkeit gilt von Gesetzes wegen jede Bekanntgabe in ein Land, welches über keine angemessene Datenschutzgesetzgebung verfügt (ROSENTHAL, in: ROSENTHAL/JÖHRI [Hrsg.], Handkommentar zum Datenschutzge- setz, Zürich/Basel/Genf 2008, Art. 6 Abs. 1 N 27). Ist letzteres der Fall, ist eine Datenbekanntgabe rechtswidrig, es sei denn eine der in Art. 6 Abs. 2 DSG ge- nannten Bedingungen ist erfüllt (MAURER-LAMBROU/STEINER, in: MAURER- LAMBROU/BLECHTA [Hrsg.], BSK Datenschutzgesetz / Öffentlichkeitsgesetz,

3. Aufl., Basel 2014, Art. 6 N 22c; vgl. dazu Erw. 4). 3.4. Würdigung 3.4.1. Bekanntgeben Anders als in vergleichbaren Fällen ist vorliegend bereits die Gefahr einer Über- mittlung von Informationen strittig, da die Beklagte behauptet, sie habe gar keinen Zugriff auf Daten des Klägers. Eine weitere Besonderheit ist, dass trotz länger andauernder Strafuntersuchung gegen die Beklagte der Abschluss einer Verein- barung der Beklagten mit dem DoJ im Sinne eines DPA oder dergleichen und

- 17 - damit eine verbriefte Verpflichtung zur Datenübermittlung zumindest nicht akten- kundig ist. Dennoch ist der Kläger insbesondere aufgrund der beiden Schreiben der Beklagten vom 23. April 2018 und 13. August 2018 (act. 3/4 und 3/8, vgl. Erw. 3.1.) überzeugt, dass eine Datenübermittlung an die amerikanischen Behörden unmittelbar drohe. Tatsächlich drängt sich angesichts des Wortlauts der beiden Schreiben der Schluss auf, dass die Beklagte im Zusammenhang mit dem vom DoJ gegen sie geführten Strafverfahren beabsichtigt, dem DoJ Informationen über Konten zu übermitteln, deren wirtschaftlich Berechtigter der Kläger ist. Entgegen der Meinung der Beklagten enthalten die Schreiben nicht bloss "generelle Infor- mationen zur Situation von Kunden der Beklagten" (vgl. act. 10 Rz. 59): Insbe- sondere das Schreiben vom 23. April 2018 bezieht sich konkret auf die Konten des Klägers und kann nur so verstanden werden, dass die Beklagte dem DoJ die- se Konten betreffende Informationen zu übermitteln plant. Der Argumentation der Beklagten, wonach keine Datenübermittlung drohe, da sie hierzu nicht verpflichtet sei, zumal ihr die Teilnahme am US-Programm verwehrt sei, kann nicht gefolgt werden. Die Teilnahme am US-Programm ist keine zwin- gende Voraussetzung für eine Übermittlung von Informationen. Auch ein DPA o- der ein Plea Agreement kann Grundlage für eine Verpflichtung zur Übermittlung von II.D.2-Daten oder vergleichbaren Daten sein. Wie die Beklagte selber aus- führt, befindet sie sich in Verhandlungen mit dem DoJ bezüglich des Abschlusses eines Plea Agreements. Der Wortlaut der beiden Schreiben lässt überdies durch- blicken, dass die Verpflichtung zur Übermittlung von Informationen bereits fest- steht und nicht Gegenstand der Verhandlungen ist ("The Bank is required to identify all "U.S. Related Accounts" and provide certain information on each U.S. Related Account to the DOJ"). Auch die Argumentation, wonach eine Datenübermittlung nicht möglich sei, da keine Bankbeziehung zwischen der Beklagten und dem Kläger bestehe und sie gar keinen Zugriff auf ihn betreffende Daten habe, überzeugt nicht. Selbst wenn die Beklagte und ihre Zweigniederlassung in E._____ entgegen der allgemeinen Regel als separate Einheiten behandelt würde – was sich im internationalen Ver- hältnis aus bank- oder datenspezifischen Bestimmungen ergeben kann (vgl. Urteil des Bundesgerichts 4A_50/2019 vom 28. Mai 2019, E. 1.1.2.1.) – und ein Zugriff

- 18 - der Beklagten auf durch die Zweigniederlassung geführte Kontobeziehungen rechtlich zumindest erschwert wäre, bedeutet dies nicht, dass die Beklagte nicht bereits über diese Informationen verfügt bzw. sich diese nicht tatsächlich beschaf- fen kann. Bereits das Schreiben vom 23. April 2018 lässt den Schluss zu, dass die Beklagte sehr wohl im Besitz von Informationen über die fraglichen Kontobe- ziehungen ist bzw. solche zumindest erhältlich machen kann (act. 3/4). Anders lässt sich nicht erklären, dass sie dem Kläger eröffnete, dem DoJ Datum von Kon- toeröffnung und -beendigung, Maximalstand der deponierten Werte sowie die Tatsache, ob der Kläger US-Bürger sei, mitzuteilen (act. 3/4). Dass die Beklagte auch tatsächlich Zugriff auf entsprechende Informationen hat oder sich zu ver- schaffen in der Lage ist, hat sie mit der Einreichung der Kontoeröffnungsunterla- gen (act. 12/1-4) im vorliegenden Verfahren gezeigt. Nicht zuletzt relativiert die Beklagte ihren Standpunkt der Unmöglichkeit der Datenlieferung selbst stark durch ihre zweite Argumentationslinie, wonach sie dem DoJ im Rahmen des Un- tersuchungsverfahrens zwar Informationen werde übermitteln müssen, die Über- mittlung jedoch mit persönlichkeits- und datenschutzrechtlichen Vorgaben verein- bar sei (act. 10 Rz. 63 und 27 Rz. 48). Dass es im Zusammenhang mit der gegen sie geführten Strafuntersuchung zu einer Übermittlung von Informationen kom- men könnte, bezweifelt die Beklagte demnach selber nicht ernsthaft. 3.4.2. Personendaten Die Beklagte hat weder gegenüber dem Kläger im Vorfeld noch im vorliegenden Verfahren dargelegt, welche Informationen sie konkret (also nicht bloss in Form einer Umschreibung wie Kontohöchststand, Eröffnungsdatum etc.) an das DoJ zu übermitteln beabsichtigt. In ihrem Schreiben vom 23. April 2018 spricht sie zu- nächst von "certain information". Weiter weist sie darauf hin, dass ohne Verzicht auf das Bankgeheimnis keine Informationen übermittelt würden, welche eine persön- liche Identifikation erlauben würden. Ohne einen Verzicht dürfe sie das Eröff- nungs- und Beendigungsdatum, den maximalen Wert des Kontos und den Um- stand, dass der Bankkunde ein U.S. Bürger sei, bekanntgeben (act. 3/4). Im Schreiben vom 13. August 2018 spricht die Beklagte dann von "anonymized data" und hält fest, dass "information similar to that requested by the DOJ in paragraph II.D.2 of the

- 19 - Program for Non-Prosecution Agreements or Non-Target Letters for Swiss Banks (i.e., "II.D.2 Infor- mation")" an die US-Behörden übermittelt werden dürften. Am Ende des Schreibens stellt die Beklagte sodann klar, dass sie "the II.D.2 Information or accompanying documen- tation" vorgängig zur Bekanntgabe ans DoJ nicht den Bankkunden mitteilen werde, solange die Bekanntgabe nach Schweizer Recht zulässig sei. Der Begriff der II.D.2-Informationen bzw. II.D.2-Liste entstammt dem US- Programm. In der Ziffer II.D.2 dieses Programms werden die Informationen aufge- listet, welche von der Bank nach Abschluss eines NPA für die während einer be- stimmten Periode geschlossenen Konten mit US-Bezug bekanntzugeben sind. (act. 3/11). Auch wenn die Beklagte nicht am US-Programm teilnehmen darf, be- deutet das nicht, dass sie nicht auf einer anderen Grundlage (z.B. einem Plea Ag- reement) verpflichtet werden könnte, solche Informationen dem DoJ zu übermit- teln, wie sie in Ziffer II.D.2. des US-Programm aufgeführt sind. Dies wäre auch naheliegend, zumal sich das Interesse des DoJ bekanntlich gerade auf diese In- formationen richtet. Es ist nicht nachvollziehbar, weshalb die Beklagte konkret auf II.D.2-Informationen Bezug nehmen sollte, wenn sie nicht selber von einer gewis- sen Wahrscheinlichkeit ausgehen würde, dass das DoJ Informationen, wie sie in II.D.2-Listen enthalten sind, verlangen wird. Die Daten, auf welchen eine II.D.2-Liste basiert, sind zweifellos Personendaten i.S.v. Art. 3 lit. a DSG (vgl. Urteil des Bundesgerichts 4A_365/2017 vom 26. Feb- ruar 2018, E. 5.2.2.). Dies bestreitet die Beklagte nicht. Sie macht indessen eine Anonymisierung bzw. Pseudonymisierung geltend, welche eine Qualifikation als Personendaten ausschliesse, und beruft sich auf das vorstehend genannte Bun- desgerichtsurteil (act. 10 Rz. 76 ff.). Demnach sei es möglich, eine Liste von Da- ten, wie sie in II.D.2-Listen vorkämen, so zu gestalten, dass sie nicht nur den Be- dürfnissen des DoJ, sondern auch den Anforderungen des (schweizerischen) Da- tenschutzes entsprechen (act. 27 Rz. 54). Im genannten Urteil vertritt das Bun- desgericht die Ansicht, dass es grundsätzlich möglich sei, mittels geeigneter Ano- nymisierungsmassnahmen eine Identifizierung zu verhindern. Soweit es um die von der Bank vorgenommene Pseudonymisierung/Anonymisierung gehe, habe die Bank die Wirksamkeit der entsprechenden Massnahmen zu behaupten und zu

- 20 - beweisen (Urteil des Bundesgerichts 4A_365/2017 vom 26. Februar 2018, E. 5.2.2.). Wie die Anonymisierung konkret ausgestaltet werden müsste, hat das Bundesgericht nicht abschliessend entscheiden. Den Erwägungen ist aber zu entnehmen, dass die konkreten Anonymisierungsmassnahmen vom Gericht sorg- fältig und nachvollziehbar auf ihre Wirksamkeit zu prüfen sind (vgl. E. 5.3). Nun war der Sachverhalt, welcher dem erwähnten Bundesgerichtsentscheid zu- grunde lag, etwas anders gelagert als der vorliegende: Im vom Bundesgericht be- urteilten Fall hatte die Bank mit dem DoJ ein Non-Prosecution-Agreement ge- schlossen und es stand fest, dass sie aufgrund dessen beabsichtigte, dem DoJ eine Liste gemäss Ziffer II.D.2 des US-Programms zu übermitteln (Urteil des Bun- desgerichts 4A_365/2017 vom 26. Februar 2018, E. A.b. und A.c.). Die Bank hat- te konkrete Leaver-Listen (im Entwurf und in einer finalen Version) eingereicht, in welchen sie die von ihr behaupteten Anonymisierungsmassnahmen umgesetzt hatte (E. 5.1.1.). Diese boten die Grundlage für die Beurteilung der Wirksamkeit der vorgenommenen Anonymisierung. Vorliegend bestreitet die Beklagte, dass die Datenübermittlung II.D.2-Listen betreffen würde, soweit sie überhaupt ein- räumt, Daten ans DoJ zu liefern. Mit der Begründung, der Inhalt der zu übermit- telnden Informationen sei noch nicht definiert, will sich die Beklagte nicht festle- gen. Eine Aufstellung der zu übermittelnden Informationen liegt entsprechend we- der als Entwurf noch als definitive Version vor (act. 10 Rz. 63, 80). Nichtsdestot- rotz behauptet die Beklagte die Vornahme von Anonymisierungsmassnahmen. Da die Beklagte nicht darlegt, welche Informationen übermittelt werden sollen, ist auch die Diskussion über hypothetisch mögliche Anonymisierungsmassnahmen nicht zielführend. Selbst wenn die Beklagte die Wirksamkeit von theoretisch mög- lichen Anonymisierungsmassnahmen hinreichend darlegen würde, bedeutet dies noch nicht, dass sie die entsprechenden Massnahmen auch ergreifen würde, ins- besondere wenn diese mit den konkreten Intentionen des DoJ kollidieren würden. Bei der vorliegenden Sachlage sind die Anonymisierungsmassnahmen – soweit sie überhaupt hinreichend konkret behauptet wurden – blosse Absichtsbekundun- gen. Die Beklagte selber hat wiederholt zum Ausdruck gebracht, dass es am DoJ sei, die Art und den Umfang der zu übermittelnden Informationen im Einzelfall festzulegen, und dass sie mit dem DoJ diesbezüglich kooperieren werde (vgl. act.

- 21 - 10 Rz. 63). Sollte das DoJ im konkreten Fall eine Übermittlung von nicht anony- misierten Daten verlangen, ist aufgrund der von der Beklagten geäusserten Ko- operationsbereitschaft jedenfalls nicht ausgeschlossen, dass auch Daten übermit- telt würden, welche Rückschlüsse auf den Kläger zuliessen. Da es sich um eine Unterlassungsklage handelt und es um zukünftiges Geschehen geht, kann und muss diese Möglichkeit nicht mit letzter Sicherheit bewiesen werden. Es genügt, wenn sie aufgrund der Gegebenheiten ernsthaft zu befürchten ist und mit einer gewissen Unmittelbarkeit droht. Aufgrund der Gesamtumstände (insbesondere laufende Strafuntersuchung durch das DoJ, Verhandlungen über den Abschluss eines Plea Agreements), der beiden Schreiben der Beklagten (act. 3/4 und 3/8) und der erklärten Kooperationsbereitschaft der Beklagten mit dem DoJ ist von ei- ner ernsthaften Gefahr der Übermittlung von Daten im Sinne des DSG auszuge- hen. Da die Strafuntersuchung gegen die Beklagte schon länger im Gange ist und aufgrund des Schreibens der Beklagten vom 13. August 2018 nicht zu erwarten ist, dass sie den Kläger vor der Übermittlung nochmals kontaktiert, könnte es je- derzeit zur in Aussicht gestellten Datenübermittlung kommen ("The Bank has no obli- gation to provide, and will not provide, the II.D.2 Information or accompanying documentation to Bank customers prior to disclosure tot he DOJ so long as the data stays within the confines of per- missible disclosure under Swiss law.", act. 3/8). Demnach ist auch die Unmittelbarkeit der Gefahr zu bejahen. Das klägerische Rechtsbegehren enthält mit der Formulierung "(…) wobei der Begriff Personendaten auch alle Daten umfasst, welche den Kläger bestimmbar machen (d.h. u.a. solche in pseudonymisierter und verschlüsselter / codierter Form, wie Kontonummern oder andere Kun- dennummern" indessen eine problematische Konkretisierung der Personendaten. Damit wird impliziert, dass keine Pseudonymisierung, Verschlüsselung oder Co- dierung der Daten die Bestimmbarkeit des Klägers verhindert. Dem kann nicht ge- folgt werden. Es ist nicht ausgeschlossen, dass solche Massnahmen einen Rück- schluss des DoJ auf die Identität des Klägers verhindern. Dies hängt von der kon- kreten Ausgestaltung der Massnahme ab (vgl. Urteil des Bundesgerichts 4A_365/2017 vom 26. Februar 2018, E. 5.3.1.). Die entsprechende Formulierung ist demnach nicht ins Urteilsdispositiv zu übernehmen.

- 22 - Bezüglich des Einwands, dass drei der vier fraglichen Konten gar nicht vom Klä- ger eröffnet worden seien, ist festzuhalten, dass sich die Aktivlegitimation für die Geltendmachung von Ansprüchen gestützt auf Art. 6 DSG nicht auf die Person des Kontoeröffnenden beschränkt. Auch Personen mit einem anderen Bezug zum fraglichen Konto sind aktivlegitimiert, sofern sie betreffende Personendaten i.S.v. Art. 3 DSG übermittelt werden sollen. Vorliegend war der Umstand, dass die Be- klagte den Kläger als wirtschaftlich Berechtigten mehrerer Konten identifiziert hat, ausschlaggebend für die (geplante) Datenübermittlung ans DoJ ("The Bank identified accounts in which your client, Mr. A._____, was listed as the beneficial owner on the accounting o- pening documentation", vgl. act. 3/4). Abgesehen davon werden vom Wortlaut des Rechtsbegehrens ohnehin nur den Kläger betreffende Daten erfasst. Eine Ein- schränkung auf bestimmte Kontoverhältnisse ist demnach nicht nötig. 3.4.3. Keine angemessene Datenschutzgesetzgebung Die USA verfügen nicht über eine Gesetzgebung, die einen angemessenen Da- tenschutz im Sinne von Art. 6 Abs. 1 DSG gewährleistet, wie dies das Handelsge- richt Zürich und das Bundesgericht bereits (mehrfach) festgehalten haben (Urteil des Bundesgerichts 4A_83/2016 vom 22. September 2016, E. 3.1; statt vieler: Ur- teil des Handelsgerichts HG150018 vom 1. September 2017, E. 2.3.4.3. und HG180066 vom 14. Juni 2019, E. 4.2.3. m.w.H.). Die Datenübermittlung ans DoJ stellt daher grundsätzlich eine Persönlichkeitsverletzung dar, welche nur bei Vor- liegen eines Rechtfertigungsgrundes gemäss Art. 6 Abs. 2 DSG nicht widerrecht- lich ist. 3.5. Zusammenfassung Insbesondere vor dem Hintergrund der beiden Schreiben der Beklagten vom 23. April 2018 und 13. August 2018 (act. 3/4 und 3/8) ist von einer drohenden Über- mittlung von den Kläger betreffenden Daten im Sinne von Art. 6 Abs. 1 DSG ans DoJ auszugehen. Für die Prüfung allfälliger Anonymisierungsmassnahmen fehlen konkrete Angaben der Beklagten soweit sie die Möglichkeit der Übermittlung nicht ohnehin bestreitet. Nachdem die USA nicht über eine angemessene Daten- schutzgesetzgebung verfügen, liegt eine Persönlichkeitsverletzung vor.

- 23 -

4. Rechtfertigungsgründe 4.1. Parteistandpunkte 4.1.1. Die Beklagte beruft sich auf die Rechtfertigungsgründe von Art. 6 Abs. 2 lit. d DSG (beide Satzteile). Einerseits behauptet sie, die vom DoJ initiierte Untersu- chung gegen die Beklagte sei als Gerichtsverfahren zu qualifizieren und die Be- klagte müsse die Möglichkeit haben, sich angemessen zu verteidigen bzw. einen für sie möglichst günstigen Abschluss zu erreichen. Eine Vereinbarung mit dem DoJ komme nur infrage, wenn die Beklagte dem Informationsbegehren des DoJ nachkomme. Es bestehe ein reales Risiko, dass das Verbot der Datenlieferung zu einer wesentlichen Verzögerung des Verfahrens mit damit einhergehenden zu- sätzlichen Kosten sowie einer Verschärfung der Sanktionen zulasten der Beklag- ten führen könnte (act. 10 Rz. 134 ff.). Andererseits sei die Datenübermittlung durch ein überwiegendes öffentliches Interesse gerechtfertigt (act. 10 Rz. 144 ff.). Es sei für die Integrität des Schweizer Bankenplatzes zentral, dass Grundprinzi- pien des fairen Verfahrens eingehalten würden. Der Ruf der Schweiz werde be- schädigt, wenn eine Schweizer Bank im Ausland strafrechtlichen Konsequenzen und negativer Berichterstattung ausgesetzt werde, die über das hinausgehen, was eingetroffen wäre, wenn die Bank hätte kooperieren können (act. 10 Rz. 152). Überdies könnte die unvollständige Kooperation durch die Beklagte auch zu einer Gefährdung der systemrelevanten B2._____ Israel führen, was wiederrum das Ansehen der Schweiz beeinträchtigen würde (act. 10 Rz. 153 ff.). 4.1.2. Der Kläger ist der Ansicht, dass eine Rechtfertigung nach Art. 6 Abs. 2 DSG ausgeschlossen sei. Da die von der Beklagten geplante Datenübermittlung der Strafverfolgung und Beweismittelsammlung der US-Behörden gegen Banken und andere Personen auf Schweizer Territorium diene, finde nicht das DSG An- wendung, sondern die einschlägigen Bestimmungen der internationalen Rechts-

- 24 - hilfe in Strafsachen sowie allenfalls die Regeln der Amtshilfe in Steuersachen (act. 1 Rz. 83). Eventualiter bestreitet der Kläger das Vorliegen eines öffentlichen Interesses im Sinne von Art. 6 Abs. 2 lit. d DSG (act. 1 Rz. 96). 4.2. Rechtliche Grundlagen Fehlt eine Gesetzgebung, die einen angemessenen Schutz gewährleistet, dürfen Personendaten nur ins Ausland bekannt gegeben werden, wenn die Bekanntgabe im Einzelfall für die Wahrung eines überwiegenden öffentlichen Interesses oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Ge- richt unerlässlich ist (Art. 6 Abs. 2 lit. d DSG). Die Unerlässlichkeit ist für diesen Rechtfertigungsgrund (beide Satzteile) zwingende Voraussetzung und muss im Urteilszeitpunkt vorliegen, wobei die (prozessual zu berücksichtigende) Verände- rung der tatsächlichen Situation (auch) materiell-rechtlich zu berücksichtigen ist. Als unerlässlich zur Wahrung überwiegender öffentlicher Interessen erachtet das Bundesgericht eine Datenlieferung etwa dann, wenn ohne sie davon auszugehen wäre, dass der Steuerstreit mit den USA erneut eskalierte und damit der schwei- zerische Finanzplatz in Mitleidenschaft gezogen sowie der Ruf der Schweiz als zuverlässige Verhandlungspartnerin beeinträchtigt würde. Das Bundesgericht be- urteilte im genannten Urteil eine Datenlieferung im Rahmen des DoJ- Bankenprogramms als unzulässig, weil diese ohne konkret drohende Anklageer- hebung seitens der US-Behörden im Urteilszeitpunkt nicht notwendig war, um (überwiegende) öffentliche Interessen zu wahren (Urteil des Bundesgerichts 4A_83/2016 vom 22. September 2016, E. 3.3.4. ff.). "Gericht" im Sinne von Art. 6 Abs. 2 lit. d DSG ist weit auszulegen und kann jede Instanz mit Rechtsprechungsfunktion sein. Die Personendaten müssen in Bezug zur Bekanntgabe unerlässlich sein und in einem engen Zusammenhang mit dem Verfahren stehen, dürfen also nicht für andere Zwecke verwendet werden (MAU- RER-LAMBROU/STEINER, in: MAURER-LAMBROU/BLECHTA [Hrsg.], BSK DSG, 3. Aufl., E. 33 zu Art. 6).

- 25 - Die Widerrechtlichkeit wird vermutet, sodass den Datenbearbeiter die Beweislast für das Vorliegen eines Rechtsfertigungsgrundes trifft (RAMPINI, in: MAURER- LAMBROU/BLECHTA, a.a.O., Art. 15 N 3). 4.3. Würdigung Entgegen der Ansicht des Klägers fällt die vorliegend drohende Persönlichkeits- verletzung in den Anwendungsbereich des DSG und ist einer Rechtfertigung ge- mäss Art. 6 Abs. 2 DSG grundsätzlich zugänglich. Allerdings kann die Ansicht der Beklagten, wonach Verhandlungen mit dem DoJ als Verfahren vor Gericht qualifi- ziert werden könnten, nicht geteilt werden. Zwar ist der Begriff "Gericht" weit aus- zulegen: eine Rechtsprechungsfunktion ist aber dennoch vorauszusetzen. Diese kommt dem DoJ als Teil der Exekutive nicht zu. Überdies fehlt es an der notwen- digen Zweckgebundenheit der Datenbekanntgabe: Es ist nämlich notorisch, dass die dem DoJ bekanntgegebenen Daten nicht nur für die Zwecke des betreffenden Verfahrens gegen die Bank verwendet werden, sondern damit gerade auch Ver- fahren gegen Dritte ermöglichen sollen (Urteil des Obergerichts Zürich vom 8. Februar 2016, ZR 115/2016 Nr. 21, Erw. 4.4.2 und 4.4.2.3, m.w.H.). Der Rechtfer- tigungsgrund gemäss Art. 6 Abs. 2 lit. d 2. Halbsatz DSG liegt damit nicht vor. Es bleibt zu prüfen, ob die Datenbekanntgabe für die Wahrung eines überwiegen- den öffentlichen Interesses unerlässlich ist (Art. 6 Abs. 2 lit. d 1. Halbsatz DSG). Die Beklagte umschreibt das öffentliche Interesse nur sehr vage. Sie behauptet nicht, dass ein Verbot der Datenlieferung zu einer Anklage führen würde, und an- erkennt, dass sich das DoJ der datenschutzrechtlichen Einschränkungen bei der Übermittlung von Daten bewusst ist und diese bisher auch berücksichtigt hat (act. 10 Rz. 151). Damit von einer unerlässlichen Datenlieferung gesprochen werden könnte, müsste die Beklagte indessen aufzeigen, inwiefern die strittige Datenher- ausgabe zur Vermeidung einer erneuten Eskalation des Steuerstreits und damit einer Bedrohung des schweizerischen Bankenplatzes sowie der Erhaltung des guten Rufs der Schweiz als verlässliche Verhandlungspartnerin notwendig ist. Der wenig konkreten Umschreibung der Beklagten ist indessen nicht zu entnehmen,

- 26 - inwiefern ein Datenlieferungsverbot vorliegend zu einer Eskalation des Steuer- streits führen könnte. Soweit die Beklagte überdies ein rein ausländisches öffent- liches Interesse geltend machen will, ist sie nicht zu hören, da im Zusammenhang mit Art. 6 Abs. 2 lit. d DSG nur aus Sicht der Schweiz bestehende öffentliche Inte- ressen infrage kommen (BAERISWYL/BLONSKI, in: BAERISWYL/PÄRLI (Hrsg.), Stämpflis Handkommentar zum DSG, 2015, N.30 zu Art. 6). Durch die von der Beklagten in Aussicht gestellte Datenübermittlung an das DoJ droht somit eine widerrechtliche Persönlichkeitsverletzung, die mangels Unerläss- lichkeit für die Ausübung/Durchsetzung von Rechtsansprüchen vor Gericht oder zur Wahrung überwiegender öffentlicher Interessen nicht gerechtfertigt ist. Weite- rungen – insbesondere dazu, ob ein Unterlassungsanspruch gestützt auf Art. 47 BankG gegeben ist – erübrigen sich unter diesen Umständen

5. Verbot der Datenlieferung 5.1. Gemäss Art. 15 Abs. 1 DSG richten sich Klagen zum Schutz der Persön- lichkeit im Zusammenhang mit der Bearbeitung von Personendaten durch private Personen nach den Art. 28, 28a und 28l ZGB. Die klagende Partei kann insbe- sondere verlangen, dass keine Daten an Dritte bekanntgegeben werden. Dem- nach kann, wer in seiner Persönlichkeit durch die Bearbeitung von Personendaten durch private Personen widerrechtlich verletzt wird, zu seinem Schutz gegen je- den, der an der Verletzung mitwirkt, das Gericht anrufen (Art. 15 Abs. 1 DSG in Verbindung mit Art. 28 Abs. 1 ZGB) und beantragen, die drohende Verletzung zu verbieten (Art. 15 Abs. 1 DSG i.V.m. Art. 28a Abs. 1 Ziff. 1 ZGB). 5.2. Da durch die von der Beklagten beabsichtigte Bekanntgabe der Personen- daten des Klägers ans DoJ eine widerrechtliche Persönlichkeitsverletzung droht, ist gegenüber der Beklagten gestützt auf Art. 15 Abs. 1 DSG in Verbindung mit Art. 28a Abs. 1 Ziff. 1 ZGB ein Verbot zur Datenübermittlung auszusprechen. Damit das Verbot nicht ohne Weiteres umgangen werden kann, hat dieses auch die indirekte Datenübermittlung zu umfassen.

- 27 - 5.3. Um der Anordnung Nachdruck zu verleihen, ist das Verbot für den Wider- handlungsfall antragsgemäss mit der Androhung der Bestrafung der verantwortli- chen Organe gemäss Art. 292 StGB (Busse bis CHF 10'000.–) zu verbinden.

6. Kosten- und Entschädigungsfolgen 6.1. Streitwert Der Kläger beziffert den Streitwert auf CHF 500'000.– und beruft sich dabei auf die Einschätzung des Einzelrichters im dem vorliegenden Verfahren vorangegan- genen Massnahmeverfahren (act. 1 Rz. 13). Die Beklagte äussert sich nicht zum Streitwert. Praxisgemäss setzt das Handelsgericht Zürich den Streitwert bei Da- tenschutzfällen vermögensrechtlicher Natur auf CHF 500'000.– pro klagende Par- tei fest. Diese Praxis ist auch auf den vorliegenden Fall anzuwenden. 6.2. Gerichtskosten 6.2.1. Die Höhe der Gerichtsgebühr bestimmt sich nach der Gebührenverordnung des Obergerichts vom 8. September 2010 (Art. 96 ZPO i.V.m. § 199 Abs. 1 GOG) und richtet sich in erster Linie nach dem Streitwert bzw. nach dem Streitinteresse (§ 2 Abs. 1 lit. a GebV OG). Die Gerichtsgebühr ist unter Berücksichtigung des Entscheides über den Nichteintretensantrag in Anwendung von § 1 und 2 GebV OG auf CHF 24'000.– festzusetzen. 6.2.2. Bei der Verteilung der Gerichtskosten ist zu berücksichtigen, dass mit Be- schluss vom 29. August 2019 auf die Klage nicht eingetreten wurde, soweit sich das Verbot zur Datenübermittlung nicht ausschliesslich auf das DoJ bezog. Der Kläger unterliegt in diesem Punkt und hat die entsprechenden Kosten zu tragen (Art. 106 Abs. 1 ZPO). Das Ausmass des Unterliegens ist auf einen Fünftel (CHF 4'800.–) festzulegen. Im übrigen Umfang von vier Fünfteln (CHF 19'200.–) sind die Kosten der unterliegenden Beklagten aufzuerlegen (Art. 106 Abs. 1 ZPO). Dem Kläger ist für den der Beklagten auferlegten Teil der Kosten das Rückgriffs- recht auf die Beklagte einzuräumen (Art. 111 Abs. 2 ZPO).

- 28 - 6.2.3. Für das vorprozessuale Massnahmeverfahren (HE180350) wurde die Ge- richtsgebühr auf CHF 10'000.– festgesetzt und bereits aus dem vom Kläger ge- leisteten Kostenvorschuss gedeckt (act. 4/25). Ausgangsgemäss ist die Gerichts- gebühr auch für das Massnahmeverfahren im Umfang von einem Fünftel (CHF 2'000.–) dem Kläger und der Beklagten im Umfang von vier Fünfteln (CHF 8'000.–) aufzuerlegen (Art. 106 Abs. 1 ZPO). Dem Kläger ist für den der Beklagten auferlegten Teil der Kosten das Rückgriffsrecht auf die Beklagte einzu- räumen (Art. 111 Abs. 2 ZPO). 6.3. Parteientschädigungen 6.3.1. Die Höhe der Parteientschädigung ist nach der Verordnung über die An- waltsgebühren vom 8. September 2010 festzusetzen (Art. 96 ZPO i.V.m. § 48 Abs. 1 lit. c und Abs. 2 AnwGebV), wobei sich diese ebenfalls in erster Linie nach dem Streitwert bzw. nach dem Streitinteresse richtet. Zur Grundgebühr kommt ein Zuschlag für die eingereichte zweite Rechtsschrift, für den Kläger zusätzlich für die Stellungnahme zu den Dupliknoven, hinzu (§ 11 Abs. 1 und 2 AnwGebV). Ausgehend von einem Streitwert von CHF 500'000.– ist vorliegend von einer vol- len Parteientschädigung von CHF 32'000.– für den Kläger und von CHF 30'000.– für die Beklagte auszugehen. Nachdem der Kläger zu einem Fünftel unterliegt, hat die Beklagte dem Kläger in Verrechnung der ihr (CHF 6'000.– = 1/5 von CHF 30'000.–) und dem Kläger (CHF 25'600.– = 4/5 von CHF 32'000.–) zuzuspre- chenden Parteientschädigung eine Parteientschädigung für das Hauptsachever- fahren von CHF 19'600.– zu bezahlen. 6.3.2. Hinsichtlich des Umfangs der Parteientschädigung für das vorprozessuale Massnahmeverfahren wurde diese für die Beklagte für den Fall, dass die Mass- nahme aufgrund von Säumnis dahinfallen würde, auf CHF12'000.– festgesetzt (act. 4/25). Dies erscheint nach wie vor angemessen. Auch für den Kläger ist für das Massnahmeverfahren – in Anwendung von § 4 Abs. 2 AnwGebV und unter Berücksichtigung ihrer Eingaben und des damit verbundenen Aufwands – von ei- ner Parteientschädigung von CHF 12'000.– auszugehen. Nachdem der Kläger zu einem Fünftel unterliegt, hat die Beklagte dem Kläger in Verrechnung der ihr und

- 29 - dem Kläger zuzusprechenden Parteientschädigung eine Parteientschädigung für das vorprozessuale Massnahmeverfahren von CHF 7'200.– zu bezahlen. Das Handelsgericht erkennt:

1. Der Beklagten wird verboten, Personendaten des Klägers direkt oder indi- rekt an das US Department of Justice (DoJ) weiterzugeben, wobei der Be- griff Personendaten auch alle Daten umfasst, welche den Kläger bestimm- bar machen; insbesondere wird der Beklagten verboten, eine den Kläger be- treffende sog. II.D.2-Liste oder ähnliches an das DoJ zu übermitteln, unter Androhung gegen die Organe der Beklagten der Bestrafung wegen Unge- horsams gegen eine amtliche Verfügung im Sinne von Art. 292 StGB (Be- strafung mit Busse) im Widerhandlungsfall.

2. Die Gerichtsgebühr wird festgesetzt auf CHF 24'000.–.

3. Die Gerichtsgebühr wird zu einem Fünftel dem Kläger und zu vier Fünfteln der Beklagten auferlegt und aus dem vom Kläger geleisteten Kostenvor- schuss gedeckt. Dem Kläger wird in diesem Umfang (CHF 19'200.–) das Rückgriffsrecht auf die Beklagte eingeräumt. Im Mehrbetrag wird die Ge- richtsgebühr von der Beklagten eingefordert.

4. Die im vorprozessualen Massnahmeverfahren (Geschäfts-Nr. HE180350) festgesetzten und vom Kläger bezogenen Kosten in der Höhe von CHF 10'000.– werden zu einem Fünftel dem Kläger und zu vier Fünfteln de- finitiv der Beklagten auferlegt. Dem Kläger wird im Umfang von CHF 8'000.– das Rückgriffsrecht auf die Beklagte eingeräumt.

5. Die Beklagte wird verpflichtet, dem Kläger für das Hauptsache- und für das vorprozessuale Massnahmeverfahren (HE180350) eine Parteientschädigung von CHF 26'800.– zu bezahlen.

6. Schriftliche Mitteilung an die Parteien.

- 30 -

7. Eine bundesrechtliche Beschwerde gegen diesen Entscheid ist innerhalb von 30 Tagen von der Zustellung an beim Schweizerischen Bundesgericht, 1000 Lausanne 14, einzureichen. Zulässigkeit und Form einer solchen Be- schwerde richten sich nach Art. 72 ff. (Beschwerde in Zivilsachen) oder Art. 113 ff. (subsidiäre Verfassungsbeschwerde) in Verbindung mit Art. 42 und 90 ff. des Bundesgesetzes über das Bundesgericht (BGG). Der Streitwert beträgt CHF 500'000.–. Zürich, 24. September 2020 Handelsgericht des Kantons Zürich Vorsitzender: Gerichtsschreiberin: Roland Schmid Claudia Iunco-Feier