Verordnung der FINMA über die Bearbeitung von Personendaten im Rahmen der Aufsicht

(Datenverordnung FINMA)

vom 4. Mai 2023 (Stand am 1. September 2023)

Die Eidgenössische Finanzmarktaufsicht (FINMA),

gestützt auf Artikel 23 Absatz 4 des Finanzmarktaufsichtsgesetzes vom 22. Juni 2007¹(FINMAG),

verordnet:

1. Abschnitt: Gegenstand und Zuständigkeiten

Art. 1 Gegenstand

Diese Verordnung regelt die Einzelheiten der Bearbeitung von Personendaten durch die FINMA im Rahmen der Aufsicht nach dem FINMAG und den Finanzmarktgesetzen nach Artikel 1 Absatz 1 FINMAG.

Art. 2 Zuständigkeiten

1. Die Abteilung Information and Communication Technologies stellt den technischen Betrieb der Informationssysteme sicher, in denen Personendaten bearbeitet werden.
2. Die Geschäftsleitung der FINMA regelt in einem Bearbeitungsreglement:
   1. die technischen und organisatorischen Massnahmen zur Gewährleistung der Datensicherheit;
   2. die Kontrolle der Datenbearbeitung;
   3. die Zugriffsrechte der einzelnen Kategorien von Mitarbeiterinnen und Mitarbeitern der FINMA.
3. Die betroffenen Personen können ihre Rechte nach dem Datenschutzgesetz vom 25. September 2020²bei der Abteilung Recht und Compliance geltend machen.

2. Abschnitt: Datenbearbeitung

Art. 3 Zuständigkeit

Jede Organisationseinheit der FINMA ist für ihre Daten zuständig.

Art. 4 Zugriffsrechte

1. Die Mitarbeiterinnen und Mitarbeiter der FINMA haben Zugriff auf die Daten ihrer jeweiligen Aufsichtsfunktion.
2. Die Mitarbeiterinnen und Mitarbeiter der FINMA mit Querschnittsaufgaben haben überdies Zugriff auf weitere Daten, soweit dies für die Erfüllung ihrer Aufgaben notwendig ist.
3. Die Zugriffsrechte können auf einzelne Mitarbeiterinnen und Mitarbeiter der FINMA eingeschränkt oder einzelnen weiteren Mitarbeiterinnen und Mitarbeitern der FINMA erteilt werden, soweit dies im Einzelfall erforderlich ist.

Art. 5 Kategorien bearbeiteter Personendaten

1. Die FINMA bearbeitet folgende Personendaten:
   1. Daten zur Identität: Name, Vorname, Geburtsdatum, Geschlecht, Heimatort, Nationalität, Muttersprache, Adresse, E-Mail-Adresse, Telefonnummer, AHV-Nummer;
   2. Daten zur Ausbildung, zum Beruf und zu Arbeitsverhältnissen: Aus- und Weiterbildung, berufliche Qualifikationen und Tätigkeiten, berufliche Situation und Entwicklung, Geschäftsverhalten, Arbeitsort, Arbeitgeber mit seiner Unternehmens-Identifikationsnummer (UID), Begründung, Durchführung und Beendigung eines Arbeitsverhältnisses;
   3. Daten zur finanziellen Situation, zu Vermögensverhältnissen und Versicherungen;
   4. Auszüge aus dem Handelsregister, dem Betreibungsregister, dem Konkursregister und dem Strafregister;
   5. Daten von Handelsüberwachungsstellen;
   6. Berichte, Beurteilungen und andere Dokumente von Prüfgesellschaften und von Beauftragten der FINMA;
   7. Berichte und Entscheide von Aufsichts-, Selbstregulierungs- und Standesorganisationen;
   8. Akten von Strafbehörden und anderen Behörden;
   9. Urteile, Verfügungen und andere amtliche Dokumente;
   10. Daten zu arbeitsrechtlichen, administrativen und strafrechtlichen Massnahmen;
   11. Berichte über interne Prüfungen und Untersuchungen von Beaufsichtigten;
   12. Daten, die für die Auswahl der Beauftragten der FINMA und für die Aufgabenerfüllung durch die Beauftragten erforderlich sind;
   13. Daten, die der FINMA gestützt auf die gesetzlichen Auskunfts- und Meldepflichten zugehen;
   14. Daten, die Dritte der FINMA zur Kenntnis bringen; und
   15. weitere Daten, die im Rahmen der Erfüllung des gesetzlichen Auftrags der FINMA anfallen.
2. Die Bearbeitung nach Absatz 1 kann auch besonders schützenswerte Personendaten der folgenden Art beinhalten:
   1. Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten;
   2. Daten über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie;
   3. Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen;
   4. Daten über Massnahmen der sozialen Hilfe.

Art. 6 Beschaffung von Personendaten

1. Die FINMA kann Personendaten beschaffen bei:
   1. Beaufsichtigten;
   2. Arbeitgebern;
   3. der betroffenen Person;
   4. Gesuchstellern;
   5. in- und ausländischen Behörden;
   6. Verfahrensparteien;
   7. Prüfgesellschaften und Beauftragten der FINMA;
   8. weiteren auskunfts- und meldepflichtigen Personen.
2. Sie kann Personendaten zudem aus weiteren nicht öffentlich zugänglichen und aus öffentlich zugänglichen Quellen beschaffen.
3. Soweit es zur Erreichung des Bearbeitungszwecks unerlässlich ist, kann die FINMA Personendaten beschaffen, ohne ihre Identität offenzulegen.

Art. 7 Form der Bekanntgabe von Personendaten

Die Bekanntgabe von Personendaten, einschliesslich besonders schützenswerter Personendaten, erfolgt in Papierform oder in elektronischer Form.

Art. 8 Aufbewahrung und Vernichtung der Personendaten

Personendaten werden bei der FINMA aufbewahrt, solange sie für die Aufsicht geeignet und erforderlich sind. Danach werden die Daten dem Bundesarchiv zur Archivierung angeboten und bei der FINMA vernichtet.

3. Abschnitt: Datenbank zur Sicherstellung der Gewährsbeurteilung

Art. 9 Zweck

Die FINMA führt eine Datenbank, um die Beurteilung der Gewähr für eine einwandfreie Geschäftstätigkeit nach den Finanzmarktgesetzen sicherzustellen. Zu diesem Zweck nimmt sie diejenigen Daten in die Datenbank auf, die für den Fall einer künftigen Beurteilung der Gewähr für eine einwandfreie Geschäftstätigkeit erforderlich sind.

Art. 10 Zugriffsrechte

1. Zugriff auf die Datenbank haben:
   1. die Mitarbeiterinnen und Mitarbeiter der Abteilung Recht und Compliance;
   2. die Mitarbeiterinnen und Mitarbeiter der FINMA, die für die Beurteilung der Gewähr für eine einwandfreie Geschäftstätigkeit zuständig sind.
2. Die Mitarbeiterinnen und Mitarbeiter nach Absatz 1 können anderen Mitarbeiterinnen und Mitarbeitern der FINMA auf Anfrage Auskunft über Daten der Datenbank erteilen, soweit dies für die Erfüllung von deren Aufgaben erforderlich ist.

Art. 11 Inhalt

Die Datenbank enthält folgende Daten:

1. Daten zur Identität: Name, Vorname, Geburtsdatum, Geschlecht, Heimatort, Nationalität, Muttersprache, Adresse, E-Mail-Adresse, Telefonnummer, AHV-Nummer;
2. Daten zur Ausbildung und zum Beruf: Aus- und Weiterbildung, berufliche Qualifikationen und Tätigkeiten, Arbeitsort, Arbeitgeber mit seiner UID;
3. Daten zur finanziellen Situation, zu Vermögensverhältnissen und Versicherungen;
4. Auszüge aus dem Handelsregister, dem Betreibungsregister, dem Konkursregister und dem Strafregister;
5. Berichte, Beurteilungen und andere Dokumente von Prüfgesellschaften und von Beauftragten der FINMA;
6. Berichte und Entscheide von Aufsichts-, Selbstregulierungs- und Standesorganisationen;
7. Strafanklagen und Strafanzeigen von Behörden;
8. Urteile, Verfügungen und andere amtliche Dokumente;
9. Daten zu arbeitsrechtlichen, administrativen und strafrechtlichen Massnahmen;
10. Berichte über interne Prüfungen und Untersuchungen von Beaufsichtigten;
11. schriftliches Eingeständnis eines Fehlverhaltens gegenüber einer Behörde sowie Selbstanzeige;
12. Belege, aus denen hervorgeht, dass trotz Hinweisen auf eine Aufsichtsverletzung gegen eine Person kein Verfahren der FINMA geführt werden kann, weil sich die betroffene Person einem Verfahren entzieht;
13. schriftlicher befristeter oder unbefristeter Verzicht, in einem von der FINMA beaufsichtigten Bereich tätig zu sein.

Art. 12 Information der betroffenen Person

Die betroffene Person wird nach dem ersten Eintrag in die Datenbank informiert. Artikel 20 des Datenschutzgesetzes vom 25. September 2020³bleibt vorbehalten.

Art. 13 Aufbewahrung und Löschung der Daten

1. Die Daten einer Person werden in der Datenbank aufbewahrt:
   1. während 10 Jahren nach dem letzten für die Gewährsbeurteilung relevanten Eintrag;
   2. während 20 Jahren nach dem letzten für die Gewährsbeurteilung relevanten Eintrag, wenn dieser gestützt auf ein Strafurteil oder eine rechtskräftige Feststellung über die Ausübung einer Tätigkeit ohne die erforderliche Bewilligung der FINMA erfolgte.
2. Die Daten einer Person werden vor Ablauf der Aufbewahrungsfrist in der Datenbank gelöscht, wenn die FINMA bei einer Beurteilung der Gewähr für eine einwandfreie Geschäftstätigkeit die Gewähr bejaht.

4. Abschnitt: Schlussbestimmungen

Art. 14 Aufhebung eines anderen Erlasses

Die Verordnung der Eidgenössischen Finanzmarktaufsicht vom 8. September 2011⁴über die Datenbearbeitung wird aufgehoben.

Art. 15 Inkrafttreten

Diese Verordnung tritt am 1. September 2023 in Kraft.

Footnotes

1. SR 956.1 ↩

2. SR 235.1 ↩

3. SR 235.1 ↩

4. [AS 2011 4363; 2017 4809; 2019 451,3511] ↩