Datenschutz; Informationsaustausch zwischen inländischen Behörden.
Entscheiddatum: 13.03.2025Publikationsdatum: 21.03.2025
Bundesverwaltungsgericht Tribunal administratif fédéral Tribunale amministrativo federale Tribunal administrativ federal Abteilung I A-4640/2022
Urteil vom 13. März 2025 Besetzung Richter Stephan Metzger (Vorsitz), Richterin Eva Schneeberger, Richter Jürg Marcel Tiefenthal, Gerichtsschreiber Thomas Ritter. Parteien 1. X._______ AG, 2. Y.________ AG, beide vertreten durch Dr. François M. Bianchi, Rechtsanwalt, und PD Dr. Sandro Abegglen, Fürsprecher, Niederer Kraft Frey AG, Beschwerdeführerinnen, gegen Eidgenössische Finanzmarktaufsicht FINMA, Vorinstanz. Gegenstand Datenschutz; Informationsaustausch zwischen inländischen Behörden.
A. Die Eidgenössische Finanzmarktaufsicht FINMA führte im Bereich der Bekämpfung der Geldwäscherei aufsichtsrechtliche Verfahren (Enforcementverfahren) betreffend die X._______ AG und die Y._______ AG (nachfolgend: «X. und Y. AG» oder Bank) durch. Diese schloss sie mit den Verfügungen vom [...] (Verfahren [...]) und vom [...] (Verfahren [...]) ab. Zur Abklärung des Sachverhalts setzte sie in den Verfahren Untersuchungsbeauftrage im Sinne von Art. 36 des Finanzmarktaufsichtsgesetzes vom 22. Juni 2007 (FINMAG, SR 956.1) ein. Das erstgenannte Verfahren betraf Geschäftsbeziehungen der Bank zu Personen und Gesellschaften, die im Zusammenhang mit Ermittlungen von [...] Behörden in Korruptionsangelegenheiten betreffend die Z._____ und eine staatliche [...] Gesellschaft standen. Im Zentrum des zweiterwähnten Verfahrens standen die Geschäftsbeziehungen zu einer bestimmten Gruppe von Kunden mit Verbindungen zu einer [...] Gesellschaft und die damit zusammenhängenden Transaktionen bzw. Zahlungen.
Die FINMA gelangte in den Verfügungen vom [...] zum Ergebnis, dass die Bank aufsichtsrechtliche Bestimmungen verletzt hatte. Sie wies die X. und Y. AG insbesondere an, die festgestellten Mängel in Bezug auf die Einhaltung der geldwäschereirechtlichen Pflichten und die Verwaltungsorganisation zu beheben und ordnete mehrere Massnahmen zur Herstellung des rechtmässigen Zustands an. Die Verfügungen erwuchsen unangefochten in Rechtskraft.
B. Am 5. November 2021 erhob die FINMA beim Eidgenössischen Finanzdepartement EFD Strafanzeige gegen die allenfalls verantwortlichen Personen der X. und Y. AG wegen Verdachts auf Verletzung der Meldepflicht nach Art. 37 des Geldwäschereigesetzes vom 10. Oktober 1997 (GwG; SR 955.0) und auf Erteilen falscher Auskünfte nach Art. 45 FINMAG. Der Anzeige legte die FINMA die genannten Verfügungen [...] und ein Gesuch der X. und Y. AG um Siegelung der Akten des Verfahrens [...] bei. Das Siegelungsgesuch hatten diese am 23. November 2020 gestellt und vorgebracht, die Akten dürften wegen Aussageverweigerungsrechten und Geheimhaltungsinteressen nicht in einem Strafverfahren verwendet werden. Die Strafverfolgungsbehörde dürfe die Akten nicht ohne Rechtsschutz zur Kenntnis nehmen und dem Strafdossier zufügen.
C. Am 25. November 2021 trat der Untersuchungsleiter des Strafrechtsdienstes des EFD auf das Siegelungsgesuch vom 23. November 2020 nicht ein und ersuchte die FINMA um Zustellung weiterer Akten. Gegen die Nichteintretensverfügung gelangten die X. und Y. AG an den Rechtsdienst des EFD und gegen dessen Entscheid vom 9. Dezember 2021 mit Beschwerde an das Bundesstrafgericht, welches diese mit Beschluss vom 3. Januar 2022 (BV.2021.42 / BV.2021.43) abwies.
D. Mit Schreiben vom 3. Dezember 2021 ersuchten die X. und Y. AG die FINMA um eine Beschränkung der Übermittlung von Informationen an das EFD. Gleichentags stellten sie ein weiteres, alle Akten der FINMA betreffendes Siegelungsgesuch, dem das EFD mit Entscheiden des Untersuchungsleiters vom 24. Dezember 2021 und des Rechtsdienstes vom 11. Januar 2022 erneut nicht entsprach. Die dagegen erhobene Beschwerde der X. und Y. AG wies das Bundesstrafgericht mit Beschluss vom 12. Juli 2022 (BV.2022.1 / BV.2022.2) ab.
E. Am 23. Dezember 2021 stellte die FINMA dem EFD zusätzliche Unterlagen zu. Es handelte sich um die Untersuchungsberichte vom 13. März 2018 und 27. September 2019 (ohne Beilagen) und das Aktenverzeichnis aus dem Verfahren [...] sowie den Untersuchungsbericht vom 15. Juli 2020 (ohne Beilagen) und das Aktenverzeichnis des Verfahrens [...]. Die Aktenverzeichnisse sollten dem EFD dazu dienen, weitere benötigte Dokumente spezifiziert zu bezeichnen.
F. Am 18. Januar 2022 ersuchten die X. und Y. AG die FINMA um Erlass einer Verfügung über Realakte gestützt auf Art. 25a des Verwaltungsverfahrensgesetzes vom 20. Dezember 1968 (VwVG, SR 172.021) und Art. 25 des Datenschutzgesetzes vom 19. Juni 1992 (nachfolgend: aDSG; AS 1993 1945). Sie verlangten im Wesentlichen, es seien die bereits übermittelten sowie künftig allenfalls zu übermittelnden Informationen auf das Notwendige im Sinne von Art. 38 Abs. 1 FINMAG zu beschränken und die Widerrechtlichkeit von darüber hinaus erfolgten Datenübermittlungen festzustellen. Am 16. Februar 2022 reichten die X. und Y. AG der FINMA konkretisierend teilweise geschwärzte Versionen der übermittelten Verfügungen und Untersuchungsberichte ein.
G. Am 7. März 2022 teilte das EFD der FINMA mit, dass die erhaltenen Unterlagen im Hinblick auf die Planung einer verwaltungsstrafrechtlichen Untersuchung nützlich und relevant seien. Allfällige weitere Akten würden spezifisch und in Absprache mit der FINMA beigezogen.
H. Mit Verfügung vom 9. September 2022 trat die FINMA auf das Gesuch der X. und Y. AG vom 18. Januar 2022 auf Erlass einer Verfügung nicht ein, soweit diese sich auf Art. 25a VwVG stützten. Es fehle ein schutzwürdiges Interesse, weil das FINMAG den Rechtsschutz in diesem Bereich der Informationsübermittlung ausschliesse. Unter datenschutzrechtlichen Gesichtspunkten wies die FINMA die Anträge in Anwendung von Art. 25 aDSG ab, soweit sie darauf eintrat. Dazu führte sie im Wesentlichen aus, es bestehe keine widerrechtliche Datenbearbeitung, da die übermittelten Informationen zur Erfüllung der Aufgabe des EFD gemäss Art. 38 Abs. 1 FINMAG notwendig seien.
I. Die X. und Y. AG (nachfolgend: Beschwerdeführerinnen) erhoben am 13. Oktober 2022 Beschwerde beim Bundesverwaltungsgericht mit den folgenden Rechtsbegehren:
Erstens sei die Verfügung vom 9. September 2022 aufzuheben und die FINMA (nachfolgend: Vorinstanz) zu verpflichten, die Akten der Datenübermittlungen an das EFD vom 5. November 2021 bzw. 23. Dezember 2021 und allfälliger weiterer Datenübermittlungen betreffend die genannten Enforcementverfahren vom EFD zurückzufordern sowie deren Entfernung aus den Verfahrensakten zu verlangen, mit Ausnahme bestimmter Abschnitte der Verfügungen und Untersuchungsberichte aus den beiden Verfahren («Beseitigungsbegehren»).
Zweitens sei die Vorinstanz zu verpflichten, künftige Datenübermittlungen betreffend die Enforcementverfahren auf das Notwendige im Sinne von Art. 38 FINMAG zu beschränken und damit künftige widerrechtliche Datenbearbeitungen zu unterlassen («Unterlassungsbegehren»).
Drittens sei die Widerrechtlichkeit der erfolgten Datenübermittlungen der Vorinstanz an das EFD festzustellen, wiederum mit Ausnahme bestimmter Abschnitte der Verfügungen und Berichte («Feststellungsbegehren»).
J. Die Vorinstanz beantragt mit Vernehmlassung vom 18. November 2022 die Abweisung der Beschwerde. Die Beschwerdeführerinnen halten mit Replik vom 23. Dezember 2022 und die Vorinstanz hält mit Duplik vom 3. Februar 2023 an den gestellten Anträgen fest. Am 10. März 2023 reichten die Beschwerdeführerinnen Schlussbemerkungen ein.
Am 1. September 2023 trat - während des vorliegenden Beschwerdeverfahrens - das Bundesgesetz über den Datenschutz vom 25. September 2020 (Datenschutzgesetz, DSG, SR 235.1) in Kraft und löste das aDSG (AS 1993 1945) ab. Angepasst wurden auch datenschutzrelevante Bestimmungen des FINMAG (Anhang 1 Ziffer 96 DSG; AS 2022 491). Intertemporalrechtlich werden hängige Beschwerden gegen erstinstanzliche Entscheide, die vor Inkrafttreten des neuen Gesetzes ergangen sind, nach dem bisherigen Recht beurteilt (Art. 70 DSG). Massgebend im zu beurteilenden Fall ist daher grundsätzlich das aDSG, soweit zu prüfende Fragen in dessen Anwendungsbereich fallen (Urteile des BVGer A-516/2022 vom 12. September 2023 E. 8.2.3 und A-1628/2023 vom 2. Juli 2024 E. 10.2).
2.1 Das Bundesverwaltungsgericht beurteilt nach Art. 31 des Verwaltungsgerichtsgesetzes vom 17. Juni 2005 (VGG, SR 173.32) Beschwerden gegen Verfügungen nach Art. 5 VwVG, die unter anderem von Anstalten und Betrieben des Bundes erlassen werden (Art. 33 Bst. e VGG). Darunter fällt der angefochtene Entscheid der Vorinstanz. Eine Ausnahme nach Art. 32 VGG liegt nicht vor. Das Bundesverwaltungsgericht ist damit zur Behandlung der vorliegenden Streitsache zuständig.
2.2
2.2.1 Die Beschwerdeführerinnen sind Adressatinnen der angefochtenen Verfügung, in der die Vorinstanz ihr Gesuch mit den geltend gemachten datenschutzrechtlichen Ansprüchen materiell geprüft und abgewiesen hat. Sie sind daher in Bezug auf die datenschutzrechtlichen Begehren grundsätzlich zur Beschwerde legitimiert (vgl. Art. 48 Abs. 1 VwVG).
Anders verhält es sich beim Begehren auf Feststellung einer widerrechtlichen Datenbearbeitung. Ein Feststellungsbegehren ist grundsätzlich nur zulässig, wenn das geltend gemachte schutzwürdige Interesse nicht ebenso gut mit einem Leistungs- oder Gestaltungsbegehren gewahrt werden kann (Subsidiarität des Feststellungsentscheids; Urteil des BGer 2C_172/2024 vom 27. Mai 2024 E. 6.4; BVGE 2015/35 E. 2.2.2, Urteile des BVGer A-3539/2016 vom 8. Juni 2017 E. 1.3.3 und B-1113/2021 vom 10. August 2021 E. 1.4). Es wurde weder dargelegt noch ist ersichtlich, was die Beschwerdeführerinnen mit einem Feststellungsentscheid - über die anderen Begehren hinaus - erwirken könnten bzw. inwieweit ihnen dadurch ein zusätzlicher Schutz vor einer Datenbearbeitung erwüchse. Auf das Feststellungsbegehren ist deshalb nicht einzutreten.
2.2.2 Soweit die Beschwerdeführerinnen um Erlass einer Verfügung nach Art. 25a VwVG ersuchten, trat die Vorinstanz darauf nicht ein. Wird ein Nichteintretensentscheid angefochten, besteht das schutzwürdige Interesse an der Aufhebung der angefochtenen Verfügung grundsätzlich im Interesse an einer materiellen Prüfung der vor der Vorinstanz gestellten Rechtsbegehren (Urteile des BVGer A-2109/2022 vom 9. März 2023 E. 1.3, A-4114/2020 vom 22. Februar 2021 E. 1.4 und A-4929/2017 vom 31. Januar 2018 E. 1.2). Der Streitgegenstand bleibt grundsätzlich auf die Eintretensfrage beschränkt; auf Begehren in der Sache ist nicht einzutreten, wenn sich die Vorinstanz in ihrer (Eventual-)Begründung nicht mit der materiellen Seite des Falls befasst hat (vgl. Urteile des BVGer A-2109/2022 vom 9. März 2023 E. 4.1 und B-5146/2021 vom 25. Juli 2022 E. 1.2).
2.3 Auf die frist- und formgerecht eingereichten Beschwerde (Art. 50 und Art. 52 VwVG) ist somit im dargelegten Umfang einzutreten.
3.1 Das Geldwäschereigesetz dient namentlich der Bekämpfung der Geldwäscherei und der Sicherstellung der Sorgfalt bei Finanzgeschäften (vgl. Art. 1 GwG). Es soll verhindern, dass Gelder verbrecherischen Ursprungs in den ordentlichen Geldkreislauf gelangen, und helfen, die für die Geldwäscherei verantwortlichen Personen zu ermitteln und strafrechtlich zu belangen (Urteil des BVGer B-1576/2019 vom 29. November 2021 E. 7.4 mit Hinweisen). Die Finanzintermediäre im Sinne von Art. 2 Abs. 2 GwG, insbesondere Banken und ihre Organe, müssen der Meldestelle für Geldwäscherei (MROS) gemäss Art. 9 Abs. 1 GwG unverzüglich Meldung erstatten, wenn sie wissen oder den begründeten Verdacht haben, dass in die Geschäftsbeziehung involvierte Vermögenswerte aus einem Verbrechen herrühren oder unter einen anderen der aufgezählten Tatbestände fallen. Wer die Meldepflicht nach Art. 9 GwG vorsätzlich verletzt, wird mit Busse bis zu 500'000 Franken bestraft (Art. 37 Abs. 1 GwG), und wer fahrlässig handelt, mit Busse bis zu 150'000 Franken (Art. 37 Abs. 2 GwG).
Die Aufsicht über die Einhaltung der Meldepflicht nach Art. 9 GwG obliegt bei Banken der FINMA (vgl. Art. 12 Bst. a i.V.m. Art. 2 Abs. 2 Bst. a GwG). Auf Widerhandlungen gegen Strafbestimmungen der Finanzmarktgesetze, insbesondere des GwG, ist das Verwaltungsstrafrecht anwendbar, soweit das FINMAG oder die Finanzmarktgesetze nichts anderes bestimmen; verfolgende und urteilende Behörde ist das EFD (Art. 50 Abs. 1 i.V.m. Art. 1 Abs. 1 Bst. f FINMAG; zum Ganzen Urteile des BGer 1B_604/2021 vom 23. November 2022 E. 5.2, 1B_243/2021 vom 20. Dezember 2021 E. 3.4 und 1B_437/2018 vom 6. Februar 2019 E. 1.2 ff.). Ein verwaltungsrechtliches Aufsichtsverfahren hat keine präjudizierende Wirkung für ein allenfalls nachgelagertes Strafverfahren; die Verfahren sind voneinander unabhängig und folgen je unterschiedlichen Prozessgrundsätzen (vgl. Urteil des BGer 2C_89/2010, 2C_106/2010 vom 10. Februar 2011 E. 3.3.4, Urteil des BVGer B-4763/2017 vom 29. Juni 2018 E. 5.3; Urteil des BStGer CA.2020.10 vom 2. August 2021 E. 2.1.5.2).
3.2 Der Informationsaustausch zwischen der FINMA und den inländischen Strafverfolgungsbehörden ist im Gesetz - im Abschnitt zur Zusammenarbeit der FINMA mit inländischen Behörden (Art. 38 ff. FINMAG) - ausdrücklich vorgesehen und vorgeschrieben (vgl. Urteil des BGer 7B_874/2023 vom 6. August 2024 E. 3.3 und 1B_49/2021 vom 14. Dezember 2021 E. 5.8). Die FINMA und die zuständige Strafverfolgungsbehörde tauschen demnach die im Rahmen der Zusammenarbeit und zur Erfüllung ihrer Aufgaben notwendigen Informationen aus (Art. 38 Abs. 1 FINMAG). Erhält die FINMA Kenntnis von gemeinrechtlichen Verbrechen und Vergehen sowie Widerhandlungen gegen das FINMAG und die Finanzmarktgesetze, darunter das GwG, so benachrichtigt sie die zuständige Strafverfolgungsbehörde (Art. 38 Abs. 3 FINMAG). Der FINMA kann die Bekanntgabe nicht öffentlicher Informationen und die Herausgabe von Akten gegenüber Strafverfolgungsbehörden verweigern, wenn diese ausschliesslich der internen Meinungsbildung dienen, deren Bekannt- oder Herausgabe ein laufendes Verfahren gefährden oder die Erfüllung der Aufsichtstätigkeit beeinträchtigen würde oder sie mit den Zielen der Finanzmarktaufsicht oder deren Zweck nicht vereinbar ist (Art. 40 FINMAG). Streitigkeiten über die Zusammenarbeit zwischen der FINMA und den Strafverfolgungsbehörden entscheidet das Bundesverwaltungsgericht auf Ersuchen einer der beteiligten Behörden (Art. 41 FINMAG; BGE 142 IV 207 E. 8.8 und E. 8.15).
Die Übermittlung von Informationen der FINMA an Strafverfolgungsbehörden wird in der spezifischen Literatur und Praxis verbreitet als «Rechtshilfe» bezeichnet, während der umgekehrte Fall und der Informationsaustausch zwischen Aufsichtsbehörden häufig «Amtshilfe» genannt werden (vgl. BGE 126 II 126 E. 5a/bb; Urteil des BGer 7B_874/2023 vom 6. August 2024 E. 2, Urteil des BStGer BV.2021.42 vom 3. Januar 2022 E. 3.2; Philipp Lüscher, Die Rechtshilfepraxis der FINMA im Lichte des DSG [nachfolgend: Rechtshilfepraxis], GesKR 2021 277, 278; Mraz/Weber, Die Zusammenarbeit der FINMA mit Strafverfolgungsbehörden im Lichte aufsichtsrechtlicher Mitwirkungspflichten, Anwaltsrevue 2022 337, 338).
3.3 Die Vorinstanz hat vorliegend Strafanzeige (Art. 38 Abs. 3 FINMAG) unter Beilage bestimmter Akten erstattet; das EFD hat daraufhin um ergänzende Dokumente aus den aufsichtsrechtlichen Verfahren ersucht (vorne, Bst. B, C und E). Daten in der Strafanzeige selbst stehen nicht im Streit. Die Unterscheidung, ob Dokumente mit einer Strafanzeige oder auf eine (durch Strafanzeige veranlasste) Anfrage um Rechtshilfe hin (vgl. Art. 38 Abs. 1 FINMAG) übermittelt werden (vgl. Benninger/Wyss, in: Zulauf/Wyss, Finanzmarktenforcement, 3. Aufl. 2022, S. 286), ist - im konkreten Fall - nicht weiter ausschlaggebend. Jedenfalls hat sich die FINMA, was den zulässigen Umfang und die Schranken der Bekanntgabe von Informationen angeht, an den geltenden Grundsätzen (vgl. Art. 38 Abs. 1 und Art. 40 FINMAG) zu orientieren (vgl. Urteile des BGer 1B_49/2021 vom 14. Dezember 2021 E. 5.4 in fine, E. 5.6 und 1B_243/2021 vom 20. Dezember 2021 E. 3.5; Mraz/Weber, Anwaltsrevue 2022, 337, 339, Fn. 17).
3.4 Die Vorinstanz und die Beschwerdeführinnen sind sich im Wesentlichen in zwei Fragen uneins. Zum einen haben sie verschiedene Ansichten darüber, inwieweit die Regelung von Art. 38 ff. FINMAG den formellen Rechtsschutz der Beschwerdeführerinnen gegen die Übermittlung von Informationen ausschliesst (E. 4). Zum andern vertreten sie unterschiedliche Standpunkte, inwieweit die Übermittlung der betroffenen Informationen als notwendig im Sinne von Art. 38 Abs. 1 FINMAG zu erachten ist (E. 5).
3.4.1 Die Vorinstanz führt aus, der Gesetzgeber habe den Rechtsschutz gegen den Informationsaustausch der Behörden durch Realakte bewusst ausgeschlossen, indem er ihr in Art. 38 Abs. 1 und Abs. 3 FINMAG eine Pflicht zur Rechtshilfe und Strafanzeige auferlegt sowie klargestellt habe, dass Entscheide, Informationen weiterzuleiten, keine anfechtbaren Verfügungen darstellten. Es handle sich um einen unmittelbar aus dem Gesetz ergebenden Informationsanspruch des EFD, der nicht erst im Einzelfall durch Verfügung begründet werde. Dritte hätten kein Recht, sich an Streitigkeiten zwischen den Behörden nach Art. 41 FINMAG zu beteiligen und die Übermittlung von Informationen in einem Verwaltungsverfahren anzufechten. Der Rechtsschutz der Beschwerdeführerinnen stelle vielmehr eine strafprozessuale Angelegenheit dar. Sie hätten ihr Anliegen im Verwaltungsstrafverfahren gegenüber der Strafverfolgungsbehörde durchzusetzen. Strafprozessuale Instrumente wie die Siegelung gemäss Art. 248 der Strafprozessordnung (StPO; SR 312.0) dürften nicht umgangen werden, indem die Rechtmässigkeit der Informationsübermittlung ab Strafverfolgungsbehörden auf dem verwaltungsrechtlichen Weg in Frage gestellt werde. Aus diesen Gründen hätten die Beschwerdeführerinnen kein schutzwürdiges Interesse am Erlass einer Verfügung nach Art. 25a VwVG.
Der bewusste Ausschluss des Rechtsschutzes sei auch bei der Regelung von Art. 25a aDSG zu beachten. Im Rahmen dieser Norm dürfe ebenfalls kein Verwaltungsverfahren betreffend Strafanzeige oder einzelne Rechtshilfehandlungen als solche erzwungen werden. Gestützt auf die rein datenschutzrechtliche Anspruchsgrundlage sei von Vornherein nur zu prüfen, ob die beanstandeten Datenbearbeitungen den Grundsätzen des aDSG, insbesondere dem Erfordernis einer gesetzlichen Grundlage, entsprächen. Aus datenschutzrechtlicher Sicht bestehe grundsätzlich ein schutzwürdiges Interesse der Beschwerdeführerinnen. Ob dieses in Bezug auf die konkreten Anträge genügend nachgewiesen worden sei, könne offenbleiben. Die kritisierte Übermittlung von Daten sei jedenfalls gesetzmässig. Sie beruhe mit Art. 23 Abs. 1 i.V.m. Art. 38 Abs. 1 und Abs. 3 FINMAG auf einer gesetzlichen Grundlage und sei gestützt darauf rechtmässig erfolgt.
3.4.2 Die Beschwerdeführerinnen tragen hingegen vor, der Informationsanspruch des EFD bzw. die Pflicht der Vorinstanz zur Bekanntgabe sei nicht umfassend, sondern gehe gemäss Art. 38 Abs. 1 FINMAG nur soweit, als Informationen zur Erfüllung der Aufgabe der Strafverfolgungsbehörde notwendig seien. Sei dies nicht der Fall, müsse die Vorinstanz die Herausgabe verweigern, zumal Art. 38 Abs. 1 FINMAG als Rechtfertigungsgrund im Sinne von Art. 14 des Strafgesetzbuches (StGB; SR 311.0) die Bekanntgabe von dem Amtsgeheimnis unterliegenden Informationen erlaube. Eine betroffene Partei müsse gerichtlich überprüfen lassen können, ob der Umfang der übermittelten Informationen notwendig sei. Daran ändere nichts, dass deren Übermittlung keine Verfügung darstelle. Gerade für formloses Handeln habe der Gesetzgeber mit Art. 25a VwVG und Art. 25 aDSG die Möglichkeit vorgesehen, eine Verfügung zu verlangen. Es gebe keine Hinweise darauf, dass der Gesetzgeber den Rechtsschutz bei Realakten mit Art. 38 FINMAG bewusst ausgeschlossen habe. Weiter sei die Beurteilung, ob die Informationsübermittlung notwendig sei, keine strafprozessuale Frage. Rechte im Strafverfahren hätten nichts damit zu tun, ob die übermittelten Informationen nach dem FINMAG zulässig seien. Der Schutz der Geheimhaltungsinteressen sei ihnen vorliegend gerade nicht mittels strafprozessualer Rechtsbehelfe - namentlich der Siegelung - möglich. Im Verwaltungsstrafverfahren stehe kein effektiver Rechtsschutz zur Verfügung. Soweit die Vorinstanz auf das Begehren um Erlass einer Verfügung nicht eingetreten sei, verletze sie daher die Bestimmungen von Art. 25a VwVG, Art. 38 FINMAG, Art. 6 EMRK, Art. 29 und Art. 29a BV.
Auf die Begehren nach Art. 25 aDSG sei die Vorinstanz zwar zutreffend eingetreten, doch habe sie zu Unrecht befunden, dass die Herausgabe der Informationen an das EFD in datenschutzrechtlicher Hinsicht rechtmässig seien. Deren Übermittlung sei nicht notwendig, weil ein grosser Teil der Akten keinen Zusammenhang mit dem angezeigten Verhalten habe und zu dessen Untersuchung offensichtlich nichts beitragen könne.
3.5 Art. 38 Abs. 1 FINMAG wurde gemäss Anhang Ziffer 13 des Finanzmarktinfrastrukturgesetzes vom 19. Juni 2015 (FinfraG) revidiert (AS 2015 5339) und trat in der bestehenden Fassung am 1. Januar 2016 in Kraft. Die Bestimmung soll eine rasche und formlose gegenseitige Übermittlung von Informationen zwischen den inländischen Strafverfolgungsbehörden und der FINMA sicherstellen (Botschaft zum Finanzmarktinfrastrukturgesetz [FinfraG] vom 3. September 2014 [nachfolgend: Botschaft FinfraG], BBl 2014 7483, 7534, 7609; vgl. Urteile des BVGer B-2683/2018 vom 4. Februar 2022 E. 4.3.3 und B-4763/2017 vom 29. Juni 2018 E. 5.2). Sowohl die innerstaatliche Rechtshilfe der FINMA an die Strafverfolgungsbehörden als auch die Strafanzeige (Art. 38 Abs. 3 FINMAG) erfolgen durch sogenannt informelles Verwaltungshandeln, ohne dass darüber mit einer anfechtbaren Verfügung im Rahmen eines Verwaltungsverfahrens nach dem VwVG entschieden wird (vgl. BGE 136 II 23 E. 4.3.1; Urteil des BGer 1B_268/2019 vom 25. November 2019 E. 2.2; Botschaft zum Bundesgesetz über die Eidgenössische Finanzmarktaufsicht vom 1. Februar 2006 [nachfolgend: Botschaft FINMAG], BBl 2006 2829, 2886; Flavio Romerio/Claudio Bazzani/Daphne Frei, Informationen - Vermittlung, Verwertung und Verbreitung bei komplexen Verfahren, in: Romerio/Bazzani, Interne und regulatorische Untersuchungen II, 2016 [nachfolgend: Informationen], S. 43 f.; Benninger/Wyss, in: Zulauf/Wyss, Finanzmarktenforcement, 3. Aufl. 2022, S. 93 f., 285 f., 292 ff.; Leitlinien der FINMA zur Rechtshilfe gegenüber inländischen Strafbehörden vom 20. November 2015, Ziffer 6, zugänglich unter www.finma.ch > Durchsetzung > Amtshilfe > Zusammenarbeit im Inland [abgerufen am 3. März 2025]). Ein formelles Verfahren betreffend den Informationsaustausch ist für Streitigkeiten zwischen den Behörden vorgesehen, über die das Bundesverwaltungsgericht befindet (Art. 41 FINMAG). Parteien dieses Verfahrens sind nur die betroffenen Behörden. Dritte können sich daran nicht beteiligen (Art. 36a Abs. 2 VGG; Botschaft FINMAG, BBl 2006 2829, 2896 f.; Urteil des BVGer B-5740/2017 vom 30. Oktober 2018 E. 5; vgl. BGE 136 II 23 E. 4.3.1). Sie sind nicht berechtigt, gegen die Übermittlung von Informationen durch die FINMA (oder deren Verweigerung) im Verfahren nach Art. 41 FINMAG vorzugehen. Begründet wird der Verzicht auf ein Verwaltungsverfahren nicht zuletzt damit, dass die Betroffenen ihre Rechte im Verfahren vor der ersuchenden Behörde wahrnehmen und unter anderem vorbringen könnten, dass die im Rahmen des Verwaltungsverfahrens erlangten Dokumente strafprozessrechtlich nicht verwertbar seien. Dies zu prüfen, sei Aufgabe der Strafbehörde (zum Ganzen Urteil des BGer 1B_268/2019 vom 25. November 2019 E. 2.2 f. mit Hinweisen; Romerio/Bazzani/Frei, Informationen, S. 44 mit Hinweisen). In der Literatur wird die formlose Übermittlung von Informationen kritisiert und gefordert, dass - ausserhalb des Verfahrens zwischen Behörden nach Art. 41 FINMAG - eine Verfügung zu erlassen sei, wenn Rechte und Pflichten von Dritten berührt seien, vorab von Personen, die nicht Partei im Strafverfahren seien und nicht zwingend über beschaffte Akten informiert würden (vgl. Romerio/Bazzani/Frei, Informationen, S. 45; Kölz/Häner/Bertschi, Verwaltungsverfahren und Verwaltungsrechtspflege des Bundes 3. Aufl. 2013, N. 2092; Schwob/Wohlers, in: Watter/Bahar, Basler Kommentar Finanzmarktaufsichtsgesetz/Finanzmarktinfrastrukturgesetz [nachfolgend: BSK FINMAG/FinfraG], 3. Aufl. 2019, Art. 41 FINMAG Rz. 4).
3.6 Die Beschwerdeführerinnen bestreiten nicht, dass die Vorinstanz dem EFD grundsätzlich Akten übermitteln darf. Sie verlangen mit ihren Beschwerde-Begehren im Wesentlichen die Beschränkung der erfolgten und künftigen «Datenübermittlungen» und «Datenbearbeitungen» auf das aus ihrer Sicht Rechtmässige. Im vorinstanzlichen Verfahren unterschieden sie (unter anderem in den Schwärzungsvorschlägen) in Bezug auf den Umfang und Inhalt der Akten nicht zwischen Art. 25 aDSG und Art. 25a VwVG und verlangten letztlich dieselbe Eingrenzung der Informationen - gestützt auf beide Normen weitgehend mit der Begründung einer widerrechtlichen Datenübermittlung (vgl. Gesuch vom 18. Januar 2022, Rz. 21 f., 41, 51 f.).
Die Bearbeitung von Daten durch Bundesorgane erfolgt regelmässig, wie vorliegend, durch Realakte. Art. 25a VwVG regelt den Rechtsschutz gegen Realakte in allgemeiner Weise. Werden Ansprüche aber im Zusammenhang mit einer widerrechtlichen Datenbearbeitung geltend gemacht, ist nach der Rechtsprechung Art. 25 aDSG als im Verhältnis zu Art. 25a VwVG speziellere Regel (lex specialis) anzuwenden (zum Ganzen: Urteil des BGer 1C_377/2019 vom 1. Dezember 2020 E. 5.2; Urteile des BVGer A-2201/2021 vom 29. Juni 2022 E. 6.5 und A-5921/2020 vom 29. Juli 2021 E. 3.2.5). Abweichend von der Prüfungsabfolge der Vorinstanz, die zuerst die Anwendung von Art. 25a VwVG und dann von Art. 25 aDSG beurteilte, ist in erster Linie zu prüfen, ob die angefochtene Verfügung datenschutzrechtliche Ansprüche der Beschwerdeführerinnen verletzt.
4.1 Nach Art. 25 Abs. 1 aDSG kann, wer ein schützenswertes Interesse hat, vom verantwortlichen Bundesorgan verlangen, dass es die widerrechtliche Bearbeitung seiner Personendaten unterlässt (Bst. a), die Folgen eines widerrechtlichen Bearbeitens beseitigt (Bst. b) oder die Widerrechtlichkeit des Bearbeitens feststellt (Bst. c).
4.1.1 Ob sich die Beschwerdeführerinnen auf die Anspruchsgrundlage von Art. 25 Abs. 1 aDSG stützen können, hängt unter anderem von den folgenden beiden Fragestellungen ab, welche die Vorinstanz ungeprüft liess. Rechtsschutz nach Art. 25 aDSG bedingt zunächst, dass das Datenschutzgesetz gemäss seinem sachlichen Geltungsbereich überhaupt anwendbar ist (E. 4.2). Ist dies der Fall, steht an der Schnittstelle von finanzmarkt-, datenschutz- und verwaltungsstrafgesetzlichen Normen weiter in Frage, ob die Regelung des formlosen Informationsaustausches (Art. 38 ff. FINMAG) den formellen Rechtsschutz im Bereich der Ansprüche nach Art. 25 Abs. 1 aDSG - über die im Verfahren nach dem VwVG entschieden wird (Art. 25 Abs. 4 aDSG) - als Spezialvorschrift ausschliesst (E. 4.3).
4.1.2 Auch im Fall der grundsätzlichen Anwendbarkeit von Art. 25 aDSG muss die gesuchstellende Person zudem über ein schutzwürdiges Interesse verfügen. Dieses wird bei Ansprüchen nach Art. 25 Abs. 1 aDSG grundsätzlich bereits bejaht, wenn das Gesuch Daten betrifft, die sich direkt auf die gesuchstellende Person beziehen oder Rückschlüsse auf sie zulassen (BGE 147 I 280 E. 6 und E. 6.2.1; Urteil des BVGer A-2201/2021 vom 29. Juni 2022 E. 3.4). Die Beschwerdeführerinnen wollen gemäss ihrem Gesuch zum einen verhindern, dass ihre Daten unrechtmässig dem EFD zur Kenntnis gelangen. Zum andern befürchten sie, dass im Strafverfahren Dritte ohne Geheimhaltungspflicht durch Akteneinsicht Kenntnis von den Daten nehmen und diese unkontrolliert weitergeben oder veröffentlichen. Sie machen geltend, es handle sich um zu schützende Angaben über sie direkt betreffende aufsichtsrechtliche Untersuchungen und Sanktionen. Es ist unstrittig, dass die dem EFD übermittelten oder allenfalls noch zu übermittelnden Akten aus den finanzmarktrechtlichen Verfahren Daten enthalten, welche die Beschwerdeführerinnen als juristische Personen betreffen. Deshalb hat die Vorinstanz das schutzwürdige Interesse grundsätzlich bejaht. Darüber hinaus ist zu prüfen, ob der Begriff des schutzwürdigen Interesses im Zusammenhang mit dem Informationsaustausch nach Art. 38 FINMAG - vorab im Hinblick auf den Rechtsschutz der Beschwerdeführerinnen im Verwaltungsstrafverfahren (vgl. E. 4.4) - allenfalls spezifisch zu konkretisieren ist, wie es in anderen Bereichen der Amts- bzw. Rechtshilfe zu beobachten ist (vgl. z.B. zur internationalen Steueramtshilfe Urteil des BGer 2C_825/2019 vom 21. Dezember 2021 E. 3.2, E. 4.2; BGE 146 I 172 E. 7.1, E. 7.3.3; BGE 139 II 404 E. 11.1; allgemein Kiener/Rütsche/Kuhn, Öffentliches Verfahrensrecht, 3. Aufl. 2021, Rz. 1168).
4.2
4.2.1 Die Vorinstanz gilt als Bundesorgan im Sinne von Art. 2 Abs. 1 Bst. b aDSG (BGE 143 I 253 E. 3.4, Urteil des BVGer B-5796/2014 vom 16. März 2016 E. 2.1). Der Datenschutz ist eine Querschnittsmaterie, das aDSG ein Querschnittsgesetz (BGE 126 II 126 E. 4 und E. 5a/bb, Urteil des BGer 2C_874/2020 vom 19. Oktober 2021 E. 6.1, BVGE 2012/14 E. 4.4). Bestimmte Verfahren, unter anderem hängige Verfahren der internationalen Rechtshilfe in Strafsachen, sind vom sachlichen Anwendungsbereich des Gesetzes ausgeschlossen (Art. 2 Abs. 2 Bst. c aDSG). Dies aufgrund der Überlegung, dass der Persönlichkeitsschutz durch spezialgesetzliche Verfahrensnormen hinreichend gesichert sei und Kollisionen bzw. Überschneidungen zwischen den prozessualen Regeln und dem aDSG vermieden werden sollen (BGE 138 III 425 E. 4.3; BVGE 2016/28 E. 2.2). Auf die im Ausschlusskatalog unerwähnte inländische Amts- und Rechtshilfe ist das Gesetz aber grundsätzlich anwendbar, zumindest wenn für diese, wie vorliegend (E. 3.5), kein spezielles Verfahrensrecht den Rechtsschutz der betroffenen Personen regelt und deshalb den Ausschluss des Gesetzes im Sinne des Art. 2 Abs. 2 Bst. c aDSG rechtfertigt (Entscheid der Eidgenössischen Datenschutzkommission vom 10. Januar 1997 E. 3c/ee und E. 3d, in: VPB 62.40; Rosenthal/Jöhri, Handkommentar zum Datenschutzgesetz, 2008, Art. 2 Rz. 42; vgl. zur internationalen Amtshilfe BGE 126 II 126 E. 5a/bb; Urteil des BGer 2C_825/2019 vom 21. Dezember 2021 E. 3.4). Das aDSG enthält mit Art. 19 Abs. 1 Bst. a denn auch eine allgemeine Amtshilfebestimmung, die greift, wenn keine spezialgesetzliche Vorschrift die Amtshilfe regelt (BGE 147 II 227 E. 4.3.1).
4.2.2 Zu fragen ist jedoch, ob der Anwendung des aDSG entgegensteht, dass die Übermittlung der Daten der Vorinstanz im Hinblick auf ein Verwaltungsstrafverfahren des EFD erfolgt. Gemäss Art. 2 Abs. 2 Bst. c aDSG findet das Gesetz keine Anwendung auf Strafverfahren, worunter Verwaltungsstrafverfahren fallen (vgl. Urteil des BVGer A-1628/2023 vom 2. Juli 2024 E. 10.4 mit Hinweisen). Nach dem Zweck dieser Norm, die sich überlagernde Gesetze mit teils gleicher Zielrichtung und damit verbundene Rechtsunsicherheiten, Koordinationsprobleme und Verfahrensverzögerungen verhindern soll, muss ein Strafverfahren in dem Sinn hängig sein, dass die Geltung der einschlägigen Verfahrensvorschriften ausgelöst wird (BGE 138 III 425 E. 4.3; BVGE 2016/28 E. 2.2; vgl. Urteile des BVGer A-3144/2008 vom 27. Mai 2009 E. 3.2.2 f. und A-6603/2013 vom 1. Oktober 2014 E. 4.2). Dies richtet sich nach dem anwendbaren Verfahrensrecht (Urteil des BVGer A-1628/2023 vom 2. Juli 2024 E. 10.4). Die bezweckte Koordination bezieht sich auf Rechte der Betroffenen (z.B. Akteneinsichts- und Mitwirkungsrechte), aber auch auf prozessgesetzliche Bestimmungen über die Informationsbearbeitung, indem sie etwa festlegen, wie der Prozessstoff gesammelt und gewürdigt wird, oder wie die Interessen der Prozessbeteiligten an einer Information mit den (Geheimhaltungs-)Interessen einer davon betroffenen Person abzuwägen sind (vgl. Urteil BGer 4A_188/2015 vom 31. August 2015 E. 3.2.2; Botschaft vom 23. März 1988 zum Bundesgesetz über den Datenschutz, BBl 1988 II 413, 442).
Im Verwaltungsstrafverfahren ist - anders als im ordentlichen Strafverfahren (Art. 300 Abs. 1 Bst. b und Art. 309 Abs. 3 StPO) - ein förmlicher Eröffnungsakt nicht gesetzlich vorgesehen. Das VStrR regelt nicht, wodurch die Einleitung des Verfahrens erfolgt (vgl. Art. 37 f. VStrR; BGE 106 IV 417 E. 2; Urteil des BStGer BV.2023.23, BV.2023.24 vom 18. August 2023 E. 4.1 f.; Hans Vest, in: Frank et al., Basler Kommentar Verwaltungsstrafrecht [BSK VStrR], 2020, Art. 19 Rz. 15). Diese kann, wie in der Praxis häufig der Fall, formell durch ein schriftliches Dokument erfolgen, aus dem sich ergibt, gegen wen sich die Untersuchung zufolge welchen Tatverdachts richtet (Eicker/Frank/Achermann, Verwaltungsstrafrecht und Verwaltungsstrafverfahrensrecht [Verwaltungsstrafrecht], 2012, S. 165; Lauber/Pipoz, BSK VStrR, Art. 38 Rz. 15). Sie kann aber auch auf andere Weise erfolgen (materielle Verfahrenseröffnung), indem sich die Behörde mit dem Fall zu befassen beginnt; dies ist insbesondere der Fall, wenn die Behörde eine Zwangsmassnahme anordnet (vgl. Urteil des BGer 6B_1360/2022 vom 22. Juli 2024 E. 3.7, BGE 120 IV 297 E. 3d; Urteil des BStGer BV.2022.41 vom 31. März 2023 E. 5.5; Eicker/Frank/Achermann, S. 165 f.). Reicht die Vorinstanz beim EFD eine Strafanzeige ein, hat der untersuchende Beamte des EFD die Strafanzeige mit Beilagen zu sichten, um zunächst beurteilen zu können, ob ein hinreichender Tatverdacht zur Eröffnung einer Untersuchung im Sinne von Art. 50 Abs. 1 FINMAG i.V.m. Art. 20 Abs. 1 VStrR gegeben ist (vgl. Urteil des BGer 1B_49/2020 vom 16. Oktober 2020 E. 2.3; Urteil des BStGer BE.2020.6 vom 21. Dezember 2020 E. 4.3.4). Es ist nach dem Ausgeführten fraglich, ob die hier bekannten Handlungen des EFD - die Entgegennahme bzw. Durchsicht der Anzeige mit Beilagen und die Anfrage ergänzender Akten zur Prüfung, ob und welche Sachverhalte untersucht werden - bereits ein hängiges Verfahren gemäss Art. 2 Abs. 2 Bst. c aDSG im Sinne einer gebotenen Koordination des Verwaltungsstrafverfahrens- und Datenschutzrechts ausgelöst haben.
Auch ein bereits eröffnetes Verwaltungsstrafverfahren würde den sachlichen Anwendungsbereich des aDSG nicht von Vornherein ausschliessen. Nach verbreiteter Ansicht greift die Ausnahmebestimmung von Art. 2 Abs. 2 Bst. c aDSG nur, wenn das Bundesorgan als die gestützt auf das aDSG angefragte Behörde am hängigen (Straf-)Verfahren beteiligt ist (und daher die spezialgesetzliche Normen des Verfahrens gelten), d.h. für die Verfahrenstätigkeit der im Rahmen der jeweiligen Prozessordnung befassten Behörden und Prozessbeteiligten, nicht aber für Dritte, von denen eine Datenbearbeitung verlangt wird und deren Rechtsstellung das Prozessrecht nicht regelt (vgl. Gutachten des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten vom 12. Juni 2001, in: VPB 65.98, zur inländischen Amtshilfe; Beat Rudin, in: Baeriswyl/Pärli, Datenschutzgesetz, Stämpflis Handkommentar [SHK], 2015, Art. 2 Rz. 27, Rosenthal/Jöhri, Handkommentar zum Datenschutzgesetz, Art. 2 Rz. 43; Maurer-Lambrou/Kunz, in: Maurer-Lambrou/ Blechta, Basler Kommentar Datenschutzgesetz, 3. Aufl. 2014 [nachfolgend: BSK aDSG], Art. 2 Rz. 37, Lüscher, Rechtshilfepraxis, GesKR 2021 277, 278 f., 281; vgl. für den Zivilprozess Urteil des BGer 4A_188/2015 vom 31. August 2015 E. 3.2.1). Es steht nicht fest, wie es sich in dieser Hinsicht mit der um Datenschutz angefragten Vorinstanz verhält, die im Verhältnis zum EFD im Rahmen der informellen Zusammenarbeit gemäss Art. 38 FINMAG und grundsätzlich nicht gestützt auf (strafprozessuale) Verfahrensbestimmungen handelt.
4.3
4.3.1 Ebenfalls fraglich ist, ob und in welchem Umfang es sich bei Art. 38 ff. FINMAG um datenschutzrechtliche Spezialvorschriften handelt. Spezialgesetze, die eine autonome Regelung der Datenbekanntgabe enthalten bzw. datenschutzrechtliche Fragen abschliessend regeln, können dem aDSG vorgehen. Für den Bereich der Finanzmarktaufsicht gilt dies nicht generell (vgl. BGE 141 I 201 E. 4.5.1; BGE 126 II 126 E. 5a/aa f.). Der Gesetzgeber kann aber in bereichsspezifischen Rechtsgrundlagen von vorgesehenen Prinzipien, Wertungen oder Ansprüchen des aDSG abweichen bzw. ihnen derart Rechnung tragen, dass einzelnen Bestimmungen des aDSG keine eigenständige materielle Bedeutung verbleibt (zum Ganzen BGE 126 II 126 E. 5b und 5c; Urteile des BGer 2A.534/2001 vom 15. März 2002 E. 5 und 2C_825/2019 vom 21. Dezember 2021 E. 3.4; BVGE 2012/14 E. 4.3).
In der Literatur wird teilweise befürwortet, dass (zumindest bestimmte) datenschutzrechtliche Ansprüche gegenüber der Vorinstanz grundsätzlich auch auf Personendaten Anwendung finden, die Gegenstand der formlosen inländischen Rechtshilfe bilden (Lüscher, Rechtshilfepraxis, GesKR 2021 277, 284; vgl. Schwob/Wohlers, BSK FINMAG/FinfraG, Art. 41 Rz. 4; ablehnend wohl Urs Zulauf, Finanzmarktenforcement - Verfahren der FINMA, GesKR 2009 46, 51). Das Bundesgericht und das Bundesverwaltungsgericht haben bislang keinen Entscheid darüber gefällt, ob und inwieweit die Regelung des formlosen Informationsaustausches (Art. 38 ff. FINMAG) den Rechtsschutz im Bereich des Datenschutzes ausschliesst bzw. die Ansprüche nach Art. 25 Abs. 1 aDSG verdrängt.
4.3.2 Das Datenschutzgesetz bezweckt den Schutz der Persönlichkeit und der Grundrechte, vorab des Rechts auf Privatsphäre bzw. auf informationelle Selbstbestimmung (vgl. Art. 13 Abs. 1 und 2 BV, BGE 148 I 233 E. 3.1) von Personen, deren Daten bearbeitet werden (Art. 1 aDSG; BVGE 2024 IV/2 E. 4.3.2 mit Hinweisen, BVGE 2012/14 E. 4.1). Bei den Ansprüchen nach Art. 25 aDSG handelt es sich um eigenständige gesetzliche Ansprüche, die diesem Zweck dienen (Urteil des BGer 2C_825/2019 vom 21. Dezember 2021 E. 4.1; Jan Bangert, BSK aDSG, Art. 25 Rz. 1 f., Rz. 80). Vor dem Hintergrund, dass ein Ausschluss von Art. 25 aDSG grundrechtliche und gesetzliche Rechtspositionen beschränkt, ist in verfassungsorientierter Hinsicht zu bedenken, ob dieser sich mit hinreichender Bestimmtheit aus dem Gesetz ergibt (vgl. BGE 148 II 349 E. 5.3.1, im Kontext der Rechtsweggarantie BGE 147 I 206 E. 2.3).
4.3.3 Für die internationale Amtshilfe der Vorinstanz an ausländische Finanzmarktaufsichtsbehörden steht nach ständiger Praxis fest, dass mit Art. 42 f. FINMAG eine spezifische Datenschutzregelung besteht, welche einer Anwendung der Bestimmungen des aDSG keinen Raum lässt (BVGE 2010/26 E. 5.5.2, Urteile des BVGer B-6371/2018 vom 8. März 2019 E. 4.3.1; B-2460/2015 vom 5. November 2015 E. 3.4.3; B-307/2014 vom 5. März 2014 E. 6.2 und B-5297/2008 vom 5. November 2008 E. 5.2).
Die Rechtsprechung zur internationalen Amtshilfe der Vorinstanz lässt sich aufgrund der unterschiedlichen Regelungen nicht ohne Weiteres auf ihre Zusammenarbeit mit inländischen Strafbehörden übertragen. Die Bestimmungen von Art. 42 f. FINMAG halten eine detaillierte und explizite Regelung des Rechtsschutzes Betroffener bereit. Unter anderem besteht Anspruch auf ein formelles Verfahren nach dem VwVG mit Parteirechten nur, soweit die von der Vorinstanz zu übermittelnden Informationen einzelne Kundinnen und Kunden - z.B. Kontoinhaber von beaufsichtigten Instituten - betreffen (Art. 42a Abs. 2 ff. FINMAG). Für Beaufsichtigte wie Banken bzw. für institutsbezogene Informationen ist dies dagegen nicht der Fall (Botschaft FinfraG, BBl 2014 7483, 7615 mit Hinweis auf BGE 127 II 323).
4.3.4 Für die inländische Zusammenarbeit der Vorinstanz mit Strafverfolgungsbehörden besteht mit Art. 38 ff. FINMAG keine ebensolche Normierung. Art. 38 und Art. 40 FINMAG bestimmen, dass und inwieweit die Vorinstanz dem EFD Informationen - d.h. auch Daten - bekanntgeben muss oder verweigern darf. Die gesetzlichen Bestimmungen legen damit zumindest den gebotenen Umfang der Datenbekanntgabe spezifisch fest (dazu E. 5). Ob dies auch für den datenschutzrechtlichen Rechtsschutz der Fall ist oder die Art. 38 ff. FINMAG für Ansprüche nach Art. 25 Abs. 1 aDSG Raum lassen, regelt das FINMAG nicht explizit. Die Formlosigkeit des Behördenhandelns allein (vgl. E. 3.5) spricht nicht gegen die Anwendung des aDSG (vgl. zur internationale Amtshilfe BGE 126 II 126 E. 5a/bb i.f. [«umso mehr»]; Urteil des BGer 2C_825/2019 vom 21. Dezember 2021 E. 3.4).
Die Prüfung der gestellten Frage (vgl. oben E. 4.3.1) drängt sich indessen bereits mit Blick auf die Zielrichtung von Art. 38 FINMAG auf. Einerseits führt die Anwendung des aDSG nicht dazu, dass die Datenbekanntgabe stets im formellen Verfahren erfolgen müsste. Eine Verfügung auf Gesuch nach Art. 25 aDSG hin führt, wie die Vorinstanz zutreffend erwog, nicht zu einem Entscheid über die Weitergabe der Informationen insgesamt, sondern bleibt auf die Frage der widerrechtlichen Bearbeitung von Daten der gesuchstellenden Person beschränkt. Andererseits kann der datenschutzrechtliche Entscheid - aufgrund der potenziellen Vielzahl von Daten des beaufsichtigten Instituts in den Akten des finanzmarktrechtlichen Aufsichtsverfahrens und den ähnlichen Fragestellungen (vgl. E. 5) - einen inhaltlich vergleichbaren Gegenstand annehmen, wenn ein Institut Ansprüche nach Art. 25 Abs. 1 aDSG anruft. Das Verfahren nach Art. 25 Abs. 4 aDSG kann daher ebenso mit dem vom Gesetzgeber angestrebten Ziel der raschen und rechtssicheren Zusammenarbeit zwischen den Behörden kollidieren wie eine umfassende Verfügung über die Rechtshilfe. Es ist daher fraglich, ob der Gesetzgeber den beaufsichtigten Instituten Rechtsbehelfe, anders als im Bereich der internationalen Amtshilfe, belassen wollte.
4.4 Die zwischen den Beteiligten für Art. 25a VwVG streitige Bedeutung des Rechtsschutzes im Strafverfahren lässt sich auch im Zusammenhang mit den hier gestellten datenschutzrechtlichen Fragen (E. 4.1) diskutieren. Wie erwähnt, wird der Ausschluss des formellen Verfahrens beim Informationsaustausch (Art. 38 FINMAG) nicht zuletzt damit begründet, dass die Betroffenen ihre Rechte im Strafverfahren geltend machen könnten.
Die Beschwerdeführerinnen sind, soweit ersichtlich, am in Aussicht stehenden Verwaltungsstrafverfahren des EFD nicht zwingend als Parteien bzw. als beschuldigte Personen beteiligt. Strafrechtlich zur Verantwortung gezogen werden in erster Linie die natürlichen Personen, die im Unternehmen für Verletzungen der Meldepflicht verantwortlich sind (Art. 6 VStrR; Urteil des BStGer CA.2020.10 vom 2. August 2021 E. 3.2.1; Gabarski/Macaluso, in: Hsu/Flühmann, Basler Kommentar Geldwäschereigesetz [BSK GwG], 2021, Art. 37 Rz. 19 ff.). Eine Strafbarkeit des Unternehmens und entsprechende Ausweitung der Untersuchung wären nur unter bestimmten Voraussetzungen denkbar, z.B. wenn die verantwortlichen Personen nicht ermittelt werden können (Art. 49 FINMAG, Urteil des BStGer SK.2018.47 vom 26. April 2019 E. 5.11 mit Hinweisen). Es ist nicht ohne Weiteres klar, welche Rechte den Beschwerdeführerinnen als Dritte im Verfahren zustehen.
4.4.1 Fest steht, dass den Beschwerdeführerinnen der strafprozessuale Rechtsbehelf der Siegelung (Art. 248 Abs. 1 StPO i.V.m. Art. 50 Abs. 3 VStrR), mit dem erreicht werden kann, dass die Strafbehörde Schriftstücke (einstweilen) nicht einsehen kann, laut den zuständigen Behörden mangels schutzwürdigen Interesses nicht zur Verfügung steht. Das Bundesstrafgericht erwog, die Beschwerdeführerinnen seien - im Unterschied zu den betreffenden Bundesbehörden - nicht Inhaberinnen der behördlichen Verfahrensakten. Die bundesgerichtliche Praxis, wonach ausnahmsweise weitere Personen siegelungsberechtigt seien, greife nicht, da sie keine eigenen Geheimnisse nach Art. 171-173 StPO geltend machten. Das Bankkundengeheimnis, allgemeine «Geschäftsgeheimnisse» oder das Verbot des Selbstbelastungszwangs begründeten im vorliegenden Zusammenhang keine gesetzlich geschützten Geheimnisrechte. Im Übrigen seien die Beschwerdeführerinnen auch nicht zur Wahrung der Interessen von weiteren Drittpersonen, etwa Kunden oder Mitarbeitenden, befugt. Beim amts- oder rechtshilfeweisen Beizug von Akten aus anderen Verfahren handle es sich nicht um eine Zwangsmassnahme gegen die beschuldigte Person oder betroffene Dritte (Urteil des BStGer BV.2022.1 / BV.2022.2 vom 12. Juli 2022 E. 4.2.2 ff. mit Verweis auf die Urteile des BGer 1B_243/2021 vom 20. Dezember 2021 E. 3.6 und 1B_49/2021 vom 14. Dezember 2021 E. 5.6 f.). Die strafprozessuale Siegelung, die dem wirksamen Geheimnisschutz dient (BGE 140 IV 28 E. 4.3.4), ist von der Frage des Datenschutzes, der das Grundrecht auf informationelle Selbstbestimmung konkretisiert, hinsichtlich der verschiedenen Zweckrichtungen zu unterscheiden.
4.4.2 Im Verwaltungsstrafverfahren sind die Bestimmungen der StPO insoweit ergänzend oder sinngemäss anwendbar, als das VStrR dies ausdrücklich festlegt. Soweit das VStrR einzelne Fragen nicht abschliessend regelt, sind die Bestimmungen der StPO grundsätzlich analog anwendbar (BGE 139 IV 246 E. 1.2). Wenngleich die Beschwerdeführerinnen nicht Partei des Verwaltungsstrafverfahrens sind, können sie grundsätzlich Rechte als mitbetroffene Drittpersonen im Rahmen von Art. 105 Abs. 1 Bst. f und Abs. 2 StPO ausüben (Urteil des BGer 1B_49/2021 vom 14. Dezember 2021 E. 2). Werden sie demnach in ihren Rechten unmittelbar betroffen, so stehen ihnen die zur Wahrung ihrer Interessen erforderlichen Verfahrensrechte einer Partei zu. Unmittelbare Betroffenheit liegt etwa vor, wenn in die Grundrechte eingegriffen wird (BGE 143 IV 40 E. 3.6).
4.4.3 Soweit die Beschwerdeführerinnen verhindern wollen, dass Dritte Einsicht in sie betreffende Daten nehmen und weiterverbreiten, fallen im Verwaltungsstrafverfahren die Schranken des Akteneinsichtsrechts in Betracht. Für die Akteneinsicht gelten die Art. 26 ff. VwVG sinngemäss (Art. 36 VStrR; vgl. BVGE 2016/9 E. 6.1). Die Verfahrensleitung hat - auf Antrag von Betroffenen hin - gegebenenfalls zu prüfen, ob beispielsweise eine Einschränkung des Akteneinsichtsrechts der Parteien zur Wahrung von privaten Geheimhaltungsinteressen (Art. 27 Abs. 1 Bst. b VwVG) erforderlich ist (vgl. Urteil des BGer 7B_313/2024 vom 24. September 2024 E. 2.4.3 für Art. 108 Abs. 1 Bst. b StPO). Es ist anzunehmen, dass die Beschwerdeführerinnen, die vom behördlichen Informationsaustausch grundsätzlich Kenntnis haben, im Verwaltungsstrafverfahren vorbringen können, inwieweit die Akteneinsicht aufgrund ihrer Interessen zu verweigern sei. Das EFD hat mit E-Mail vom 7. März 2022 an die Vorinstanz zumindest bekundet, es werde zu prüfen sein, inwieweit Informationen, die sich im Laufe der Untersuchung allenfalls als nicht relevant herausstellen, vor der Einsichtnahme durch Parteien oder Behörden aus den Akten zu weisen oder zu schwärzen seien.
4.4.4 Weiter fragt sich, ob im Verwaltungsstrafverfahren relevante Rechte auf Schutz von Daten offenstehen. Das Strafverfahrensrecht sieht besondere datenschutzrechtliche Bestimmungen vor. Mit dem DSG vom 25. September 2020 wurde die Regelung von Art. 95 ff. StPO zum «Schutz von Personendaten» für das Verwaltungsstrafverfahren übernommen (Art. 18a ff. VStrR) und den Neuerungen DSG angepasst (Botschaft DSG, BBl 2017 6941, 7129). Sie gilt grundsätzlich auch für betroffene Dritte (Gerhard Fiolka, in: Niggli/Heer/Wiprächtiger, Basler Kommentar Strafprozessordnung, 3. Aufl. 2023, Vorb. zu Art. 95-99, Rz. 2; Jositsch/Schmid, Praxiskommentar Schweizerische Strafprozessordnung, 4. Aufl. 2023, Art. 95 Rz. 3). Die Bearbeitung von Daten juristischer Personen durch Bundesorgane untersteht indes nicht mehr dem DSG, sondern grundsätzlich den Art. 57r ff. RVOG (Botschaft DSG, BBl 2017 6941, 7019, 7120). Art. 57t RVOG verweist für die Rechte juristischer Personen auf das anwendbare Verfahrensrecht.
Einerseits steht mangels ersichtlicher Praxis nicht fest, ob und gestützt worauf - allenfalls übergangsrechtlich - die Daten juristischer Personen im Verwaltungsstrafverfahren des EFD geschützt sind (vgl. Art. 57t RVOG, Art. 95 ff. StPO analog i.V.m. Art. 71 DSG, Art. 13 BV) bzw. ob die Beschwerdeführerinnen als Dritte (vgl. Art. 105 StPO) etwa die rechtswidrige Beschaffung von Daten (vgl. Art. 95 StPO analog) vorbringen können. Zudem enthält die Regelung von Art. 95 ff. StPO auf den ersten Blick nicht im Vergleich zu Art. 25 aDSG äquivalente Rechte (z.B. Beseitigungs- und Unterlassungsansprüche), die bewirken könnten, dass das EFD Daten aus den Akten entfernen bzw. diesen nicht zuführen dürfte. Die strafprozessualen Rechte gehen dem Datenschutzrecht im (dereinst) hängigen Strafverfahren gegenüber dem EFD als Strafbehörde grundsätzlich vor (vgl. Art. 2 Abs. 2 Bst. c aDSG; Art. 2 Abs. 3 DSG).
Andererseits sieht das Gesetz für den Informationsaustausch zwischen dem EFD und der Vorinstanz vor, dass sie die erhaltenen Informationen ausschliesslich «zur Erfüllung ihrer jeweiligen Aufgabe» verwenden dürfen (Art. 38 Abs. 1 Satz 2 FINMAG). Das EFD als Strafverfolgungsbehörde darf somit Informationen - unabhängig davon, ob diese sich bei der strafrechtlichen Untersuchung als relevant herausstellen - nicht für andere Zwecke bearbeiten. Vom Ausgang des Verwaltungsstrafverfahrens sind die Beschwerdeführerinnen selbst nicht unmittelbar betroffen. Soweit die Beschwerdeführerinnen verhindern wollen, dass das EFD sie betreffende Daten zur Kenntnis nimmt, ist möglicherweise zu argumentieren, dass ihre Interessen im Verwaltungsstrafverfahren durch Art. 38 Abs. 1 Satz 2 FINMAG bereits hinreichend geschützt sind und das EFD Daten nicht anderweitig zu ihrem Nachteil verwenden darf (vgl. in anderem Kontext BGE 146 I 172 E. 7.1.3).
Insgesamt ist nicht ausgeschlossen, dass die Interessen der Beschwerdeführerinnen im Strafverfahren als angemessen gewahrt gelten können.
4.5 Zu den vorstehenden Fragen (E. 4.1) haben sich weder die Vorinstanz noch die Beschwerdeführerinnen geäussert. Sie können letztlich offenbleiben, wenn sich die konkret streitige Datenbekanntgabe nachfolgend als zulässig erweist und damit keine widerrechtliche Bearbeitung im Sinne von Art. 25 Abs. 1 aDSG vorliegt. Dasselbe würde im Übrigen für die streitige Anwendbarkeit von Art. 25a VwVG gelten, welcher Rechtsschutz gegen «widerrechtliche Handlungen» einräumt.
5.1 Die Beschwerdeführerinnen rügen, die Vorinstanz habe die Widerrechtlichkeit der Datenbearbeitung zu Unrecht in Verletzung von Art. 17 aDSG, Art. 25 aDSG und Art. 38 FINMAG verneint, da ein Teil der erfolgten bzw. ausstehenden Datenübermittlung an das EFD nicht erforderlich sei. Der Begriff der Notwendigkeit sei nach der bundesgerichtlichen Rechtsprechung mit demjenigen der Unerlässlichkeit gleichzusetzen. Dass die Informationen für die Strafuntersuchung nur nützlich seien, reiche nicht aus. Gestützt auf Art. 38 Abs. 1 FINMAG entspreche es der Aufgabe und Verantwortung der Vorinstanz, nicht aber der anderen Behörden, festzustellen, ob sich eine Datenübermittlung auf das Notwendige beschränke. Einzig die Vorinstanz sei, im Unterschied zur Strafverfolgungsbehörde, mit den zu übermittelnden Informationen vertraut und könne deren Notwendigkeit beurteilen, zumal die Verfahrensakten äusserst umfangreich seien und tausende Seiten umfassten. Folge man der Vorinstanz, bedeute dies, dass diese jeweils die gesamten Verfahrensakten an die Strafverfolgungsbehörde übermitteln würde. Letztere käme bei ihrer Prüfung höchstwahrscheinlich zum Schluss, dass Teile der Akten für die Strafuntersuchung nicht erforderlich und in Verletzung des Amtsgeheimnisses übermittelt worden seien. Dies entspreche nicht dem vom Gesetzgeber gewollten Mechanismus. Die Notwendigkeit der Datenübermittlung folge zudem nicht bereits daraus, dass die Enforcementverfahren die Bekämpfung der Geldwäscherei betroffen hätten. Die angezeigten strafbaren Handlungen beschränkten sich auf die Verletzung von Meldepflichten. Nicht Bestandteil der Untersuchung des EFD seien andere Abklärungen im Bereich der Geldwäscherei oder andere Vorkommnisse. Die Akten der Vorinstanz enthielten Informationen zu Sachverhaltskomplexen, die offenkundig nichts mit einer Verletzung von Meldepflichten im geldwäschereirechtlichen Zusammenhang zu tun hätten.
5.2 Die Vorinstanz führt demgegenüber aus, es sei Aufgabe des EFD, darüber zu befinden, wie es seine Funktion als unabhängige Strafverfolgungsbehörde wahrnehme und welche Daten es dafür benötige. Welche Bedeutung den übermittelten Dokumenten im Rahmen des Verwaltungsstrafverfahrens letztlich zukomme, sei eine vom EFD zu beurteilende strafrechtliche bzw. strafprozessuale Frage. Das EFD habe mit E-Mail vom 7. März 2022 klar zum Ausdruck gebracht, die Unterlagen für die strafrechtliche Untersuchung zu benötigen. Es bestehe kein Anlass, an dieser Einschätzung zu zweifeln. Die finanzmarktrechtlichen Verfügungen und Untersuchungsberichte seien in ihrer Gesamtheit für die Einordnung der aufsichtsrechtlichen Verfahren, auf denen die Strafanzeige beruhe, relevant, insbesondere in Bezug auf die Art, den Umfang und das mögliche Ergebnis der Untersuchung. Sie würden sicherstellen, dass sich das EFD eine gesamthafte Sicht verschaffen, allfällige weitere benötigte Aktenstücke identifizieren und den rechtshilfeweisen Beizug verlangen könne. In Fällen der Geldwäschereibekämpfung sei der Konnex zwischen dem finanzmarktrechtlichen Aufsichtsverfahren und dem Verwaltungsstrafverfahren besonders ausgeprägt. Entsprechend seien die Beweismittel aus den Verfahren erforderlich, damit das EFD seine Aufgabe erfüllen könne. Die Anforderungen an den sachlichen Zusammenhang zum Strafverfahren seien erfüllt.
5.3
5.3.1 Für das Bearbeiten von Personendaten durch Bundesorgane bedarf es einer gesetzlichen Grundlage (vgl. Art. 5 Abs. 1 BV; Art. 17 ff. aDSG; BGE 147 II 227 E. 4.3.1; BGE 148 II 349 E. 4.3). Gemäss Art. 19 Abs. 1 aDSG dürfen Bundesorgane Personendaten nur bekanntgeben, wenn dafür eine Rechtsgrundlage im Sinne von Art. 17 aDSG besteht oder wenn bestimmte Voraussetzungen (Bst. a ff.) gegeben sind (BGE 147 II 227 E. 4.3.1), unter anderem, wenn die Daten für den Empfänger im Einzelfall zur Erfüllung seiner gesetzlichen Aufgabe unentbehrlich sind (Bst. a).
Die Vorinstanz verfügt mit Art. 38 FINMAG über eine formell-gesetzliche Grundlage, die es ihr erlaubt, Personendaten, welche sie im Aufsichtsverfahren erlangt und bearbeitet hat (vgl. Art. 23 Abs. 1 FINMAG, BGE 141 I 201 E. 4.5.1), an die inländischen Strafverfolgungsbehörden zu übermitteln (Lüscher, Rechtshilfepraxis, GesKR 2021 277, 280). Es handelt sich dabei um eine Rechtsgrundlage im Sinne von Art. 17 aDSG, die den Umfang der bekanntzugebenden Daten im spezifischen Bereich der Zusammenarbeit zwischen der Vorinstanz und den Strafbehörden regelt. Dabei sind «die im Rahmen der Zusammenarbeit und zur Erfüllung ihrer Aufgaben notwendigen Informationen» auszutauschen. Die Vorinstanz kann die Bekanntgabe wie erwähnt nach Massgabe von Art. 40 FINMAG verweigern.
5.3.2 Die relevante Aufgabe des EFD ist die strafrechtliche Verfolgung der strafbaren Handlungen in seinem Zuständigkeitsbereich. Das EFD hat als Strafverfolgungsbehörde zunächst zu prüfen, ob, gegen wen und aufgrund welchen Tatverdachts eine Untersuchung im Sinne von Art. 20 Abs. 1 VStrR zu eröffnen ist. Gegebenenfalls hat die Strafverfolgungsbehörde eine Untersuchung durchzuführen, d.h. nach den Verfahrensvorschriften den Sachverhalt bzw. die materielle Wahrheit zu erforschen und Beweise zu sichern - unter anderem zu bestimmen, ob und welche Untersuchungshandlungen sowie Zwangsmassnahmen vorzunehmen sind (vgl. Art. 37 ff. VStrR). Dabei hat sie die belastenden und entlastenden Umstände mit gleicher Sorgfalt zu untersuchen (vgl. Art. 6 Abs. 2 StPO) und neutral bzw. objektiv vorzugehen (vgl. Schenk/Rentsch, BSK VStrR, Art. 37 Rz. 13 mit Hinweisen). Sie hat nicht nur die relevanten Sachverhaltselemente für die Strafbarkeit, sondern gegebenenfalls auch für die Strafzumessung zu ermitteln, d.h. diejenigen für die Schwere der Tat, das Verschulden und, bei einem Bussenbetrag über Fr. 5'000.-, die persönlichen Verhältnisse der beschuldigten Person (vgl. Art. 8 VStrR, Art. 106 Abs. 3 StGB i.V.m. Art. 2 VStrR; statt vieler Urteil des BStGer SK.2019.41 vom 5. Dezember 2019 E. 3.1). Die Untersuchung wird grundsätzlich mit Erlass des Schlussprotokolls (Art. 65 VStrR) oder, wenn keine Widerhandlung vorliegt, mit einer Einstellungsverfügung (Art. 62 Abs. 1 VStrR) beendet. Liegt nach Ansicht der Behörde eine Widerhandlung vor, erlässt sie einen Strafbescheid (Art. 64 und Art. 65 VStrR) oder allenfalls einen (selbständigen) Einziehungsbescheid (Art. 66 VStrR). Kommt eine freiheitsentziehende Sanktion oder Landesverweisung in Betracht, erfolgt die Überweisung an das Gericht (Art. 21 Abs. 1 VStrR; zum Ganzen Eicker/ Frank/Achermann, Verwaltungsstrafrecht, S. 142 f., 152, 164 ff.).
5.3.3 Die Bestimmung von Art. 38 Abs. 1 FINMAG ist derjenigen von Art. 31 Abs. 3 FinfraG nachgebildet. Sie soll Rechtssicherheit schaffen bei der Möglichkeit der Strafverfolgungsbehörden, der Vorinstanz die zur Erfüllung der gesetzlichen Aufgaben notwendigen Informationen zu übermitteln und von ihr zu erlangen (Botschaft FinfraG, BBl 2014 7483, 7609). Diesen Informationsaustausch hat der Gesetzgeber als «für eine effiziente und effektive Abklärung verdächtiger Sachverhalte notwendig» erachtet (Botschaft FinfraG, BBl 2014 7483, 7534; vgl. Benjamin Leisinger, in: Sethe et al., Kommentar zum Finanzmarktinfrastrukturgesetz FinfraG, 2017, Art. 31 Rz. 48 f.). Es soll, wie erwähnt, eine rasche Übermittlung von Informationen erfolgen (vorne, E. 3.5; BBl 2014 7483, 7609).
5.3.4 Weiter gilt für den behördlichen Datenaustausch, dass die Daten bekanntgebende Behörde nicht oder nicht ebenso wie die zuständige Behörde in der Lage ist zu beurteilen, ob, wann und wie deren Aufgabe am besten zu erfüllen ist und ob die Daten für das von dieser zu führende Verfahren zweckmässig und notwendig sind (vgl. BGE 147 II 227 E. 5.4.6). Die ersuchte Behörde muss zwar grundsätzlich die Notwendigkeit der angefragten Informationen vor Übermittlung der Akten prüfen. Die Gewichtung der tatsächlichen Relevanz dieser Angaben fällt jedoch in die Zuständigkeit der mit der Aufgabe befassten Behörde (vgl. Urteil des BGer 1B_577/2021 vom 25. Januar 2022 E. 3.2 mit Hinweisen; vgl. auch BGE 147 II 227 E. 5.4.3 zur Passage «zur Erfüllung» der Aufgabe, wonach diese aus Sicht der übermittelnden Behörde möglich, nicht aber gewiss sein muss).
5.3.5 Demnach ergibt sich, dass die Daten, welche die Vorinstanz dem EFD bekannt- und herausgibt, für die Zwecke bzw. den Ablauf des Verwaltungsstrafverfahrens des EFD erforderlich sein müssen (E. 5.3.2). Auf welche Daten dies zutrifft, ist insbesondere am gesetzlichen Ziel der effizienten Abklärung des aufgabenrelevanten Sachverhalts zu messen (E. 5.3.3) und im Zweifel der dafür gesetzlich zuständigen Behörde zu überlassen (E. 5.3.4). Es ist nicht Aufgabe der Vorinstanz, straf- und strafprozessrechtliche Bestimmungen anzuwenden und diese im Detail zu prüfen. Die Daten aus den finanzmarktrechtlichen Verfahren müssen mit dem Gegenstand des potenziellen Verwaltungsstrafverfahrens sachlich zusammenhängen, soweit sich dieser vor dessen Eröffnung überhaupt eingrenzen lässt (vgl. Romerio/Bazzani/Frei, Informationen, S. 39; Benninger/Wyss, in: Zulauf/Wyss, Finanzmarktenforcement, S. 286). Doch sind nach dem Erwogenen (E. 5.3.3 f.) keine hohen Anforderungen an den sachlichen Zusammenhang zu stellen. Er liegt zumindest vor, wenn aus der Perspektive der bekanntgebenden Behörde nicht auszuschliessen ist, dass die streitigen Daten für die verwaltungsstrafrechtliche Untersuchung von Bedeutung sein können, etwa weil das betreffende Dokument als relevantes - betreffend Strafbarkeit oder -zumessung belastendes oder entlastendes - Beweismittel gewürdigt werden könnte (vgl. BGE 129 IV 141 E. 3.2.1, E. 3.4.2 [Pra 2003 Nr. 185]). Nach dem Sinn und Zweck von Art. 38 Abs. 1 FINMAG genügt ebenfalls, dass die Daten für eine effizientere Planung und Durchführung der Strafuntersuchung notwendig sind, beispielsweise, weil sie Aufschluss über den Umfang der nötigen Sachverhaltsfeststellungen geben und es der strafverfolgenden Behörde ermöglichen, auf Abklärung bestimmter Sachverhaltskomplexe oder vermeidbare Untersuchungshandlungen zu verzichten. Es reicht aus, wenn die Informationen grundsätzlich relevant sind. Ist dies offensichtlich nicht der Fall, hat die Vorinstanz die Bekanntgabe von Daten zu unterlassen. Hingegen ist es nicht erforderlich, dass sich alle einzelnen Daten, welche die Vorinstanz dem EFD bekanntgibt, im Ergebnis für die Untersuchung und Beurteilung des angezeigten Straftatbestands als unverzichtbar herausstellen. Eine solche Grenzziehung wäre im gegebenen Zeitpunkt - vor den strafrechtlichen Abklärungen - auch nicht möglich, und die Vorinstanz muss nicht für jede einzelne Information beurteilen, wie es sich damit verhält. Der damit verbundene Prüfungsaufwand wäre im Übrigen - besonders mit Blick auf die regelmässig umfangreichen Akten- bzw. Datenbestände der Aufsichtsverfahren - mit dem von Art. 38 FINMAG verfolgten Ziel der raschen und rechtssicheren Zusammenarbeit zwischen inländischen Behörden kaum vereinbar.
Der Notwendigkeitsbegriff von Art. 38 FINMAG ist demnach, anders als die Beschwerdeführerinnen rügen, nicht gleichzusetzen mit den Termini «unerlässlich» nach der allgemeinen Regel zur grenzüberschreitenden Datenbekanntgabe (Art. 6 Abs. 2 Bst. d aDSG; Urteil des BGer 4A_83/2016 vom 22. September 2016 E. 3.3.4) und «unentbehrlich» nach der allgemeinen Amtshilfebestimmung von Art. 19 Abs. 1 Bst. a aDSG. Letzterer bedeutet, dass die gesetzliche Aufgabe nur mit den betreffenden Daten - ohne diese aber nicht - erfüllt werden kann (BGE 147 II 227 E. 5.4.2 mit Hinweisen).
5.4 Vor diesem Hintergrund sind die streitigen Daten zu beurteilen.
5.4.1 Bislang hat die Vorinstanz dem EFD die (End-)Verfügungen, die Untersuchungsberichte (ohne Beilagen) und die Aktenverzeichnisse der finanzmarktrechtlichen Aufsichtsverfahren übermittelt (vorne, Bst. B und E; zu den übrigen Dokumenten: E. 5.5).
Sowohl in der Verfügung vom [...] als auch in derjenigen vom [...] stellte die Vorinstanz aufsichtsrechtliche Verletzungen der Meldepflicht fest. Die Untersuchungsbeauftragten haben komplexe Sachverhalte mit Bezug zu bestimmten Geschäftsbeziehungen der Bank auf ihre geldwäschereirechtlichen Pflichten hin untersucht. Die Beschwerdeführerinnen weisen zwar zutreffend darauf hin, dass der Gegenstand der aufsichtsrechtlichen Verfahren - und damit der Verfügungen und Untersuchungsberichte - nicht auf Fragen der Meldepflicht (Art. 9 GwG) und Erteilung von Auskünften (vgl. Art. 29 FINMAG) begrenzt war, sondern darüber hinaus ging. Die Verfügungen und Berichte und die darin übermittelten Daten der Beschwerdeführerinnen beschränken sich thematisch aber auf die spezifisch untersuchten geldwäschereirelevanten (Grund-)Sachverhalte und Geschäftsbeziehungen (vorne, Bst. A), die der Strafanzeige zu Grunde liegen. Andere Tatsachenkomplexe ohne sachlichen Zusammenhang hierzu betreffen sie hingegen nicht.
Die Meldepflicht hängt dabei mit den anderen, in den Dokumenten behandelten Abschnitten und Teilthemen zusammen. So steht sie in engem Zusammenhang mit den Abklärungspflichten gemäss Art. 6 Abs. 2 GwG (vgl. Urteile des BVGer B-1576/2019 vom 29. November 2021 E. 7.4, B-7186/2018 vom 29. Juli 2021 E. 5.5 und B-6815/2013 vom 10. Juni 2014 E. 4.3, E. 4.7.1). Unter anderem liegt nach der verwaltungsstrafrechtlichen Rechtsprechung ein "begründeter Verdacht" im Sinne der Meldepflicht von Art. 9 Abs. 1 GwG vor, wenn ein Verdacht im Rahmen der nach Art. 6 Abs. 2 GwG zu treffenden Abklärungen nicht ausgeräumt werden kann, er sich mithin nicht als unbegründet erweist und der MROS mitzuteilen ist (BGE 147 IV 274 E. 2). Beide Verfügungen führen aus, ungenügende Abklärungen zum Zweck und Hintergrund der Geschäftsbeziehungen und Transaktionen hätten bewirkt, dass der Bank eine ausreichende Basis zur Prüfung der Meldepflicht gefehlt habe. Es liegt deshalb nahe, dass die Abschnitte und Untersuchungen zu den geldwäschereirechtlichen (Sorgfalts-)Pflichten für das Verwaltungsstrafverfahren ebenfalls relevant sein könnten (vgl. zu weiteren Teilthemen: E. 5.4.2 ff.).
Die Verfügungen und Untersuchungsberichte dienen des Weiteren der effizienten Sachverhaltsermittlung im Verwaltungsstrafverfahren. Sie geben einen Überblick über die von der Vorinstanz untersuchten Sachverhalte und den Hintergrund der Strafanzeige. Sie zeigen der Strafverfolgungsbehörde auf, in welchem sachlichen, zeitlichen, örtlichen und personellen Umfang die Vorinstanz Umstände untersucht hat, welche Untersuchungsmethoden und -handlungen bereits zu potenziellen (allenfalls verwertbaren) Beweismitteln geführt haben und in welchem Umfang und Detailgrad die Vorinstanz Akten zusammengestellt hat. Damit bieten sie Anhaltspunkte dafür, welche (Teil-)Sachverhalte allenfalls strafrechtlich zu verfolgen sind, welche nicht näher abzuklären sind und in welcher Hinsicht Lücken bestehen. Eine isolierte Betrachtung der Passagen, auf welche die Beschwerdeführerinnen die Datenbekanntgabe gemäss Schwärzungsvorschlägen beschränken wollen, wäre zur effizienten Abklärung nicht gleichermassen geeignet. Mit den Schwärzungen blieben relevante Umstände zur Eingrenzung und Verortung des zu untersuchenden Geschehens im Dunkeln. Eine eingeschränkte Einsicht in die Dokumente könnte unter Umständen dazu veranlassen, dieselben Umstände erneut abzuklären oder Ermittlungen ohne gewinnbringende Erkenntnisse in falsche Richtungen vorzunehmen. Dies würde die Strafuntersuchung in ineffizienter Weise erschweren. Denkbar ist überdies ein Verlust von potenziellen Beweismitteln.
Die Aktenverzeichnisse der aufsichtsrechtlichen Verfahren enthalten kurze Umschreibungen der einzelnen Dokumente und vermitteln eine Übersicht über deren Existenz und deren potenzielle strafrechtliche Relevanz. Sie ermöglichen es der strafverfolgenden Behörde, spezifiziert um bestimmte Akten zu ersuchen. Damit verhindern die Verzeichnisse gerade, dass die Strafverfolgungsbehörde sämtliche Akten sichten und auf Relevanz überprüfen muss, und bewirken so tendenziell, dass die Vorinstanz weniger Daten bekannt geben muss. Sie sind daher für die effiziente Erforschung des relevanten geldwäschereirechtlichen Sachverhalts ebenfalls notwendig.
5.4.2 Soweit die Beschwerdeführerinnen rügen, die Dokumente enthielten Informationen, die mit der Verletzung von Meldepflichten offenkundig nichts zu tun hätten, kann diese Auffassung im Übrigen auch aus den folgenden Gründen nicht geteilt werden.
5.4.3 Der Untersuchungsbericht vom 27. September 2019 hat stichprobenhaft 43 Geschäftsbeziehungen der Bank zu [...] Kunden mit potenziell hohen Risiken sowie mit Bezug zu einem bestimmten Mitarbeiter der Bank und zu den behördlichen Untersuchungen betreffend die erwähnte [...] Gesellschaft (vorne, Bst. A) näher geprüft. Er enthält je eine Übersicht über die Personen bzw. Rollen und die Auffälligkeiten im Zusammenhang mit den Geschäftsbeziehungen sowie eine nähere Darstellung der einzelnen Untersuchungen (Anhänge 2-4). Laut dem Bericht weise ein Teil der Geschäftsbeziehung keine Auffälligkeiten beim Umgang der Bank mit Meldungen an die MROS auf, bei einem weiteren Teil seien solche jedoch festzustellen. Auch der Untersuchungsbericht vom 13. März 2018 nennt für einen Teil der geprüften Geschäftsbeziehungen keine Auffälligkeiten in Bezug auf die «MROS-Themen». Anders als die Beschwerdeführerinnen rügen, folgt daraus aber nicht, dass die Informationen zu Geschäftsbeziehungen ohne Auffälligkeiten von Vornherein nicht gemäss Art. 38 FINMAG notwendig sind. Erstens sind sie geeignet, in verfahrensökonomischer Weise die einzelnen strafrechtlich relevanten Handlungen einzugrenzen und mögliche Nachforschungen des EFD in Bezug auf die erwähnten Geschäftsbeziehungen zu verhindern. Zweitens ist nicht auszuschliessen, dass sie zu Gunsten der verantwortlichen Personen entlastende oder bei der Strafzumessung relevante Informationen bilden können (z.B. für die Schwere der Pflichtverletzung bzw. die Unterscheidung zwischen systematischen und punktuellen Verstössen). Im Übrigen ist daran zu erinnern, dass die Strafverfolgungsbehörde nicht an die Darstellung und Würdigung des Sachverhalts durch die Untersuchungsbeauftragten und die Vorinstanz gebunden ist (E. 3.1), d.h. die Untersuchungsergebnisse hinsichtlich Auffälligkeiten betreffend Meldepflicht anders beurteilen und, zum Beispiel aufgrund von Lücken oder Ungereimtheiten, zusätzliche Abklärungen als nötig erachten kann.
5.4.4 Nicht zu folgen ist den Beschwerdeführerinnen, wenn sie kritisieren, der Abschnitt 4 des Untersuchungsberichts vom 27. September 2019 enthalte zu Unrecht Informationen über ihre Mitarbeitenden, z.B. über deren Vergütungen. Im Bericht wurde die Rolle von Mitarbeitenden der Bank in Bezug auf die relevanten Vorkommnisse hin untersucht. Die Angaben sind, wie ein Blick auf die strafrechtliche Praxis zeigt, potenziell relevant für die Untersuchung. So hat die Strafverfolgungsbehörde zu ermitteln, wer als tatverdächtige natürliche Person in Betracht fällt bzw. wem die allfällige Meldepflichtverletzung individuell zuzurechnen ist (vgl. Art. 6 f. VStrR, Urteil des BGer 2C_192/2019 vom 11. März 2020 E. 5.4.1, BGE 136 IV 188 E. 6.3; Gabarski/Macaluso, BSK GwG, Art. 37 Rz. 19). Mitarbeiter kommen zudem als mögliche Auskunftspersonen oder Zeugen in Frage (vgl. Art. 40 f. VStrR). Daten aus dem Arbeitsverhältnis zwischen Bank und Mitarbeitenden - wie Informationen über Höhe und Zustandekommen von Vergütungen (z.B. Lohn- und Bonuszahlungen) - können weiter bei der Strafzumessung (E. 5.3.2) eine Rolle spielen. Zum Beispiel können finanzielle Beweggründe für die Tat und die Erfahrung bzw. Kenntnisse der beschuldigten Person bei der Würdigung ihres Verschuldens, und Lohnelemente für die Beurteilung ihrer persönlichen Verhältnisse, potenziell relevant sein (Urteile des BStGer CA.2020.10 vom 2. August 2021 E. 2.2.2, E. 3 und SK.2019.55 vom 28. Juli 2020 E. 3.2.2). Wie ausgeführt ist nicht erforderlich, dass Daten, die ihrer Art nach für das Strafverfahren grundsätzlich bedeutsam sein können, sich für die spätere konkrete Beurteilung der Strafverfolgungsbehörde tatsächlich als ausschlaggebend erweisen (E. 5.3.5).
5.4.5 Ebenso wenig geht über das Notwendige hinaus, dass die Untersuchungsberichte und Verfügungen Daten zur Organisation der Beschwerdeführerinnen und zu den erwirtschafteten Erträgen im betreffenden [...] Markt enthalten. Sie befassen sich mit der internen Kompetenzordnung und den Prozessen der Bank im Zusammenhang mit der Abwicklung der untersuchten Geschäftsbeziehungen, vorab dem Abwehrdispositiv im Bereich der Geldwäscherei. Organisatorische Aspekte (z.B. personelle Besetzung, Hierarchie, Zuständigkeiten, Pflichten und Befugnisse) stehen, wie die Rechtsprechung nahelegt, mit der Untersuchung von Verletzungen der Meldepflicht offensichtlich im Zusammenhang. Sie sind von Relevanz für das Verständnis der bankinternen Abläufe, für die individuelle Zurechenbarkeit des strafrechtlich relevanten Verhaltens sowie die Einordnung und Würdigung des meldepflichtrelevanten Verhaltens im Umgang mit den betroffenen Geschäftsbeziehungen bzw. Transaktionen (vgl. Urteil des BGer 1B_437/2018 vom 6. Februar 2019 Bst. A. f., E. 2.4, Urteile des BStGer BE.2018.4 vom 20. August 2018 E. 5.2, SK.2017.54 vom 19. Dezember 2017 E. 2.2.4.1 und SK.2019.55 vom 28. Juli 2020 E. 2.2.6, E. 2.3.4, E. 2.3.9). Auch finanzielle Kennzahlen wie jene zu Erträgen der Beschwerdeführerinnen sind für das Verwaltungsstrafverfahren nicht vorweg bedeutungslos. In den Untersuchungsberichten wurden in erster Linie die Erträge aus den untersuchten Geschäftsbeziehungen (Bst. A) ermittelt. Der Tatbestand von Art. 37 GwG dient der strafbewehrten Durchsetzung der Geldwäschereigesetzgebung und der Integrität des schweizerischen Finanzplatzes (Urteil des BGer 1B_433/2017 vom 21. März 2018 E. 4.10). Er leistet einen Beitrag dazu, im Sinne des Gesetzeszwecks die Aufdeckung und Einziehung der betroffenen Vermögenswerte zu ermöglichen (vgl. BGE 142 IV 276 E. 5.4.2). Unter anderem sind bei der Strafzumessung die Verwerflichkeit der Tat und der Grad der Verletzung oder Gefährdung des geschützten Rechtsguts zu berücksichtigen. Deshalb kann zum Beispiel die Höhe der involvierten Vermögenswerte strafrechtliche Bedeutung erlangen (vgl. Urteil des BStGer CA.2020.10 vom 2. August 2021 E. 2.2.1).
5.5 Diejenigen Dokumente, die in den Aktenverzeichnissen und den Beilagenverzeichnissen der Untersuchungsberichte aufgelistet sind, hat die Vorinstanz dem EFD, soweit ersichtlich, bislang nicht übermittelt. Die Beschwerde zielt darauf ab, dies zu verhindern (Begehren Nr. 2). Der Anspruch auf Unterlassung gemäss Art. 25 Abs. 1 Bst. a aDSG würde voraussetzen, dass eine bestimmte widerrechtliche Datenbearbeitung durch das Bundesorgan droht, d.h. in naher Zukunft ernstlich zu befürchten ist (vgl. BGE 147 I 280 E. 6), etwa, weil die widerrechtliche Datenbearbeitung bereits stattfindet und andauert oder konkrete Hinweise dafür vorliegen, dass bestimmte Daten in bestimmter Weise widerrechtlich bearbeitet werden könnten (Bangert, BSK aDSG, Art. 25 Rz. 41 ff.; Waldmann/Bickel, Datenbearbeitung durch Bundesorgane, in: Belser/Epiney/Waldmann, Datenschutzrecht, 2011, S. 750 f.).
Dies ist vorliegend nicht der Fall. Erstens hat das EFD der Vorinstanz am 7. März 2022 in Aussicht gestellt, es werde anhand der übermittelten Dokumente entscheiden, welche Sachverhaltskomplexe strafrechtlich zu verfolgen seien; ein allfälliger weiterer Beizug von Akten werde «fokussiert» erfolgen. Es ist daher davon auszugehen, dass das EFD, sofern erforderlich, gezielt um weitere Akten ersuchen wird, die als relevante Beweismittel bzw. für die vertiefte Abklärung der bereits übermittelten Informationen in Frage kommen. Zweitens kann mit Blick auf die Aktenverzeichnisse und deren Unterabschnitte nicht zum Vornherein ausgeschlossen werden, dass darin vermerkte Dokumente für die Untersuchung und Beurteilung der relevanten Straftatbestände von Bedeutung sein könnten, stehen diese doch mit den spezifischen geldwäschereirechtlich relevanten Sachverhalten und Geschäftsbeziehungen (Bst. A) grundsätzlich in Zusammenhang und können der effizienten Abklärung des Sachverhalts förderlich sein. Jedenfalls steht nicht fest, dass sie für ein Verwaltungsstrafverfahren offensichtlich nutzlos sein sollen, wie die Beschwerdeführerinnen vorbringen.
5.6 Art. 38 und Art. 40 FINMAG legen die Voraussetzungen fest, unter denen die Vorinstanz Daten an die Strafverfolgungsbehörden weitergibt. Sie hat - wie dargelegt - einen gewissen Beurteilungsspielraum bei der Frage, welche Daten notwendig sind. Die Vorinstanz ist jedoch zum Austausch der notwendigen Informationen grundsätzlich verpflichtet und darf deren Bekanntgabe nur unter den spezifischen Voraussetzungen von Art. 40 FINMAG verweigern (BGE 142 IV 207 E. 8.15). Damit hat der Gesetzgeber die Gewichtung des öffentlichen Interesses an der Strafverfolgung im Verhältnis zu entgegenstehenden Interessen in generell-abstrakter Weise bereits insofern vorgenommen, als die Vorinstanz die Bekanntgabe der notwendigen Daten nur («soweit») ablehnen kann, als sich dies aufgrund einer Abwägung mit den in Art. 40 FINMAG aufgezählten öffentlichen Interessen rechtfertigt. Die Verweigerung der Zusammenarbeit aufgrund privater Interessen sieht die Bestimmung dagegen - anders als die Strafverfahrensordnungen (vgl. Art. 194 Abs. 2 StPO, Art. 30 Abs. 2 VStrR) - nicht vor (vgl. Lüscher, Rechtshilfepraxis, GesKR 2021 277, 281, Benninger/Wyss, in: Zulauf/Wyss, Finanzmarktenforcement, S. 273; Mraz/Weber, Anwaltsrevue 2022 337, 338; Botschaft FINMAG, BBl 2006 2829, 2847, 2886; vgl. BGE 123 IV 157 E. 5b).
5.7 Es ergibt sich somit, dass die Vorinstanz dem EFD die betroffenen Daten im Einklang mit der gesetzlichen Grundlage von Art. 38 FINMAG bekanntgegeben hat. Eine widerrechtliche Datenbekanntgabe ohne Notwendigkeit ist weder erfolgt noch ernstlich zu befürchten.
5.8 Bei diesem Ergebnis muss nicht weiter geprüft werden, ob die übrigen materiellen Voraussetzungen der geltend gemachten Ansprüche nach Art. 25 aDSG (z.B. Bestehen eines Rechts auf behördliche Rückforderung im Rahmen des Beseitigungsanspruchs) erfüllt sind.
Zusammenfassend ist die Beschwerde abzuweisen, soweit darauf einzutreten ist.
Bei diesem Verfahrensausgang gelten die Beschwerdeführerinnen als unterliegend. Sie haben daher die auf Fr. 3'000.-- festzusetzenden Verfahrenskosten zu übernehmen (Art. 63 Abs. 1 VwVG, Art. 1 ff. des Reglements vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht [VGKE, SR 173.320.2]). Dieser Betrag wird dem in gleicher Höhe geleisteten Kostenvorschuss entnommen. Eine Parteientschädigung ist weder den unterliegenden Beschwerdeführerinnen noch der Vorinstanz zuzusprechen (vgl. Art. 64 Abs. 1 VwVG sowie Art. 7 Abs. 3 VGKE).
Die Beschwerde wird abgewiesen, soweit darauf eingetreten wird.
Die Verfahrenskosten von Fr. 3'000.-- werden den Beschwerdeführerinnen auferlegt. Der einbezahlte Kostenvorschuss wird zur Bezahlung der Verfahrenskosten verwendet.
Es werden keine Parteientschädigungen zugesprochen.
Dieses Urteil geht an die Beschwerdeführerinnen und die Vorinstanz.
Für die Rechtsmittelbelehrung wird auf die nächste Seite verwiesen.
Der vorsitzende Richter: Der Gerichtsschreiber: Stephan Metzger Thomas Ritter
Rechtsmittelbelehrung:
Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bundesgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen Angelegenheiten geführt werden (Art. 82 ff., 90 ff. und 100 BGG). Die Frist ist gewahrt, wenn die Beschwerde spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Handen der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung übergeben worden ist (Art. 48 Abs. 1 BGG). Die Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten. Der angefochtene Entscheid und die Beweismittel sind, soweit sie die beschwerdeführende Partei in Händen hat, beizulegen (Art. 42 BGG).
Versand: