B u n d e s v e r w a l t u n g s g e r i c h t T r i b u n a l a d m i n i s t r a t i f f é d é r a l T r i b u n a l e a m m i n i s t r a t i v o f e d e r a l e T r i b u n a l a d m i n i s t r a t i v f e d e r a l Entscheid bestätigt durch BGer mit Urteil vom 11.04.2023 (1C_599/2022)

Abteilung I

Postfach CH-9023 St. Gallen Telefon +41 (0)58 465 25 02 Fax +41 (0)58 465 29 80 www.bundesverwaltungsgericht.ch

Geschäfts-Nr. A-661/2022 mia/kob

Z w i s c h e n v e r f ü g u n g v o m 2 7 . O k t o b e r 2 0 2 2

In der Beschwerdesache

Parteien

A._______, Beschwerdeführer,

gegen

Schweizerische Bundeskanzlei BK, Bundeshaus West, 3003 Bern, Vorinstanz,

Gegenstand

Öffentlichkeitsprinzip und Datenschutz; Rechtsverweigerung,

A-661/2022 Seite 2 stellt das Bundesverwaltungsgericht fest: A. A._______ richtete am 18. Januar 2022 ein Schreiben an die Schweizeri- sche Bundeskanzlei. Das Schreiben hatte die geplante Auslagerung von Teilen der Datenbearbeitung durch den Bund in sogenannte Public Clouds zum Gegenstand. A._______ erkundigte sich nach der gesetzli- chen Grundlage für eine solche Auslagerung und ersuchte gestützt auf das Öffentlichkeitsgesetz (BGÖ, SR 152.3) um Einsicht in die Abklärun- gen, die diesbezüglich unternommen worden seien. Für den Fall, dass keine hinreichende gesetzliche Grundlage bestehe, verlangte er den so- fortigen Stopp der Auslagerung von Daten in (ausländische) Public Clouds oder andernfalls den Erlass einer anfechtbaren Verfügung. Zur Begründung verwies er auf das mit einer Auslagerung verbundene Risiko einer Offenbarung (persönlicher) Daten gegenüber Dritten und die feh- lende Möglichkeit, die Offenbarung rückgängig zu machen. B. Die Schweizerische Bundeskanzlei antwortete mit Schreiben vom 21. Ja- nuar 2022, die Auslagerung von Daten und von deren Bearbeitung müsse rechtskonform erfolgen, was in jedem Fall durch eine vorgängige Prüfung der Rechtskonformität, eine Risikoanalyse und – bei Personendaten – ei- ne Datenschutzfolgeabschätzung sichergestellt werde. Im Übrigen ver- wies die Schweizerische Bundeskanzlei auf die öffentlich zugänglichen Informationen zur Cloud-Strategie der Bundesverwaltung. C. Mit Schreiben vom 9. Februar 2022 erhobt A._______ (nachfolgend Be- schwerdeführer) beim Bundesverwaltungsgericht Beschwerde. Er ver- langt (sinngemäss), es sei die Schweizerische Bundeskanzlei (nachfol- gend: Vorinstanz) zu verpflichten, die im Zusammenhang mit der Cloud- Strategie vorgenommenen rechtlichen Abklärungen offenzulegen und es sei zu überprüfen, ob für das sogenannte Cloud Computing, also das Auslagern von Daten in eine Public Cloud, eine hinreichende gesetzliche Grundlage vorhanden sei. Widrigenfalls sei die Vorinstanz anzuweisen, auf eine Datenauslagerung so lange zu verzichten, bis eine hinreichende gesetzliche Grundlage in Kraft stehe. In verfahrensrechtlicher Hinsicht verlangte der Beschwerdeführer sodann den Erlass vorsorglicher Mass- nahmen; bis zu einem Entscheid in der Sache sei die Vorinstanz anzu- weisen, unverzüglich alle weiteren Arbeiten im Zusammenhang mit der Umsetzung der Cloud-Strategie des Bundes einzustellen.

A-661/2022 Seite 3 Der Beschwerdeführer ist der Ansicht, dass es an einer hinreichenden gesetzlichen Grundlage fehlt, um Daten in Public Clouds auszulagern, insbesondere, da die Daten in diesem Fall Dritten offenbart würden. Er sieht sich aus diesem Grund und soweit der Bund Daten über seine Per- son bearbeite, in seinen Grundrechten verletzt. Ferner erfülle die Ausla- gerung von Daten in eine Public Cloud verschiedene Straftatbestände. D. Die Vorinstanz beantragte mit Schreiben vom 24. März 2022, es sei auf die Beschwerde nicht einzutreten und auf den Erlass vorsorglicher Mass- nahmen zu verzichten. Sie ist der Ansicht, es fehle dem Beschwerdefüh- rer an einem schutzwürdigen Interesse und zudem seien die Rechtsbe- gehren nur in pauschaler Weise und somit nicht hinreichend begründet. E. Das Bundesverwaltungsgericht wies das Gesuch um Erlass vorsorglicher Massnahmen mit Zwischenverfügung vom 31. März 2022 ab. Es erwog, die Vorinstanz habe bisher weder über das Einsichtsbegehren noch hin- sichtlich der vom Beschwerdeführer gerügten Datenbearbeitung eine Ver- fügung erlassen. Die Beschwerde sei daher als Rechtsverweigerungsbe- schwerde entgegenzunehmen, welcher allerdings keine Devolutivwirkung zukomme. Die Zuständigkeit in der Sache verbleibe bei der (angeblich säumigen) Vorinstanz. Dies gelte aufgrund ihrer Akzessorietät, d.h. auf- grund der Verbindung mit der Entscheidung in der Hauptsache, auch für den Erlass vorsorglicher Massnahmen. Letztere stünden nicht im Zu- sammenhang mit dem Einsichtsbegehren, sondern mit der Bearbeitung seiner Personendaten bzw. der von ihm befürchteten Verschiebung die- ser Daten in eine Public Cloud. Zwar könne dem Beschwerdeführer dies- bezüglich ein schutzwürdiges Interesse nicht allein mit dem Argument abgesprochen werden, er sei von der geplanten Datenbearbeitung – ei- ner allfälligen Verschiebung in eine Public Cloud – nicht intensiver betrof- fen als andere Personen, deren Daten durch Organe des Bundes bear- beitet würden. Ein Begehren um Erlass vorsorglicher Massnahmen sei, da die Vorinstanz noch nicht verfügt habe, jedoch zunächst an die Vor- instanz zu richten, was bisher nicht geschehen sei. Somit liege in Bezug auf den Erlass vorsorglicher Massnahmen noch kein Anfechtungsobjekt vor und stehe auch (noch) keine Rechtsverweigerung im Raum, weshalb das Gesuch anzuweisen sei.

A-661/2022 Seite 4 F. Mit Beschwerde vom 20. April 2022 an das Bundesgericht beantragte der Beschwerdeführer, es sei die Zwischenverfügung des Bundesverwal- tungsgerichts vom 31. März 2022 aufzuheben und als vorsorgliche Mass- nahme die Vorinstanz anzuweisen, sofort sämtliche Aktivitäten im Bereich Cloud Computing einzustellen, bis festgestellt worden sei, ob eine hinrei- chende gesetzliche Grundlage für diese Aktivitäten bestehe. Zudem er- suchte der Beschwerdeführer das Bundesgericht um den Erlass vorsorg- licher Massnahmen. G. Mit Präsidialverfügung vom 12. Mai 2022 wies das Bundesgericht das Gesuch um Erlass vorsorglicher Massnahmen ab; es gebe nach den Aus- führungen der Vorinstanz derzeit keine konkreten Projekte, in deren Rahmen schutzwürdige Daten nichtberechtigten Dritten offenbart würden. H. Das Bundesgericht hiess die Beschwerde mit Urteil 1C_216/2022 vom 28. Juli 2022 gut, hob die Zwischenverfügung des Bundesverwaltungsge- richts vom 31. März 2022 auf und wies die Sache zur neuen und beför- derlichen Behandlung an das Bundesverwaltungsgericht zurück. Es er- wog, das Bundesverwaltungsgericht sei zu Unrecht von einer Obliegen- heit des Beschwerdeführers ausgegangen, sein Begehren um Erlass vor- sorglicher Massnahmen zunächst an die Vorinstanz richten zu müssen, habe dieser doch bereits in seinem Schreiben vom 18. Januar 2022 an die Vorinstanz auf die Dringlichkeit hingewiesen und sinngemäss ver- langt, es sei die Auslagerung von (seinen) Daten in eine Public Cloud vorsorglich zu stoppen. Entsprechend und mit Blick auf die geltend ge- machte Dringlichkeit sowie die Unwiderrufbarkeit einer Offenbarung von Personendaten sei das Bundesverwaltungsgericht unbesehen der bei der Vorinstanz verbleibenden Zuständigkeit verpflichtet, über den Erlass vor- sorglicher Massnahmen zu entscheiden. I. Die Vorinstanz hat sich auf entsprechende Aufforderung durch das Bun- desverwaltungsgericht mit Schreiben vom 23. August 2022 und vom 31. August 2022 zu der Frage der Zuständigkeit zum Entscheid über die Auslagerung von Daten in eine (ausländische) Public Cloud sowie zu konkreten Projekten zur Auslagerung von durch die Bundesverwaltung bearbeiteten Daten geäussert. Sie legt dar, dass der Bund im Rahmen einer Ausschreibung Dienstleistungen im Bereich Public Cloud beschafft

A-661/2022 Seite 5 habe (sog. Beschaffung WTO 20007). Die entsprechende Ausschreibung und die Vertragsverhandlungen seien von der Vorinstanz verantwortet worden. Dabei seien jedoch lediglich Rahmenverträge geschlossen wor- den. Der Entscheid über eine Auslagerung von Daten in eine Public Cloud obliege als Element der Bedarfsverwaltung sodann jedoch nicht der Vorinstanz, sondern derjenigen Verwaltungseinheit, die für die betref- fenden Daten verantwortlich sei. Entsprechend werde auch ein allfälliger Vertrag über die Auslagerung von Daten – gestützt auf ein anbieterneut- rales Pflichtenheft – zwischen der jeweiligen Verwaltungseinheit und der Anbieterin geschlossen. Die Vorinstanz äussert sich sodann zu Projekten (im Rahmen der Be- schaffung WTO 20007) zur Nutzung von Cloud-Dienstleistungen auslän- discher Anbieter. Sie führt aus, im Rahmen der Beschaffung WTO 20007 würden das Bundesamt für Meteorologie und Klimatologie und das Bun- desamt für Landestopografie je ein konkretes Projekt zur (fortgesetzten) Nutzung von Cloud-Dienstleistungen ausländischer Anbieter verfolgen. Projekte ausserhalb besagter Beschaffung würden der Vorinstanz nicht in jedem Fall zur Kenntnis gebracht. Bekannt seien ihr insbesondere zwei Projekte des Bundesamtes für Bauten und Logistik (BBL) im Bereich Per- sonal und Beschaffung, in deren Rahmen unter anderem die zentrale Bundesverwaltung Cloud-Dienstleistungen im Bereich des Personals nut- zen könne. Ferner verfolge die Vorinstanz ebenfalls ausserhalb der Be- schaffung WTO 20007 das Projekt "Cloud Enabling Büroautomation" zur Einführung von bestimmten Applikationen von Microsoft in der Cloud. Dieses Projekt befinde sich derzeit in der Konzeptphase. Des Weiteren führt die Vorinstanz aus, die Eidgenössische Steuerverwal- tung (ESTV), die im Rahmen des Beschwerdeverfahrens explizit ange- fragt worden sei, verfolge derzeit kein konkretes Projekt zur Auslagerung von Steuerdaten in eine (ausländische) Public Cloud. Mit Schreiben vom 31. August 2022 gibt die Vorinstanz ferner ihren Be- richt vom 31. August 2022 zum rechtlichen Rahmen für die Nutzung von Public-Cloud-Diensten in der Bundesverwaltung zu den Akten. J. Der Beschwerdeführer hat mit Schreiben vom 21. August 2022 verschie- dene Beweisanträge und Begehren um Akteneinsicht (nach erfolgter Edi- tion) gestellt. Mit Schreiben vom 15. September 2022 hat er zudem eine

A-661/2022 Seite 6 Stellungnahme zu den Eingaben der Vorinstanz vom 23. August 2022 und vom 31. August 2022 eingereicht. Der Beschwerdeführer schränkte zunächst sein Begehren um Erlass vor- sorglicher Massnahmen auf jene Daten ein, für welche von der Bundes- verwaltung noch keine Dienstleistungen im Bereich des Cloud-Computing genutzt würden. Im Weiteren hält er an seinem Rechtsbegehren fest und äussert sich erneut zur besonderen Betroffenheit und seinen schutzwür- digen Interessen; seitens der Bundesverwaltung würden die ESTV, die Vorinstanz, sowie das (heutige) Bundesamt (...) Daten über ihn bearbei- ten und er habe ein schutzwürdiges Interesse daran, dass diese Daten – darunter Steuerdaten – Dritten nicht offenbar würden. Zudem wies er un- ter anderem darauf hin, dass von Seiten der einzelnen Verwaltungsein- heiten ein Entscheid über die bevorstehende Auslagerung von Daten nicht bekannt gemacht werde. Die Bearbeitung seiner Personendaten be- treffend werde ihm daher, wenn keine vorsorglichen Massnahmen erlas- sen würden, effektiver Rechtsschutz verweigert, könne doch eine einmal erfolgte Offenbarung von Daten gegenüber Dritten nicht rückgängig ge- macht werden. K. Mit Schreiben vom 20. September 2022 hat die Vorinstanz eine weitere Stellungnahme eingereicht. L. Mit Medienmitteilung vom 27. September 2022 teilte die Vorinstanz mit, im Rahmen der Beschaffung WTO 20007 seien Rahmenverträge mit den Cloud-Anbietern Amazon, IBM, Microsoft, Oracle und Alibaba unter- schrieben worden. M. Mit Instruktionsverfügung vom 30. September 2022 hat das Bundesver- waltungsgericht die Vorinstanz aufgefordert, für die Dauer des Beschwer- deverfahrens sämtliche Massnahmen im Zusammenhang mit der Archi- vierung bzw. Vernichtung des den Beschwerdeführer betreffenden Perso- naldossiers zu unterlassen. N. Mit Schreiben vom 7. Oktober 2022 hat der Beschwerdeführer eine weite- re Stellungnahme eingereicht. Er weist darin unter anderem auf die Digi- talisierung von physischen Personaldossiers und die Auslagerung von

A-661/2022 Seite 7 Daten aus dem elektronischen Personalinformationssystems in eine Public Cloud hin. O. Mit Schreiben vom 23. Oktober 2022 reicht der Beschwerdeführer eine weitere Stellungnahme ein. Er legt (erneut) dar, aus welchen Gründen das behördliche Handeln im Bereich der geplanten Auslagerung von Da- ten in Public Clouds nicht im öffentlichen Interesse liegt und zudem nicht mit (seinen) grund- und konventionsrechtlichen Ansprüchen konform ist. P. Mit Schreiben vom 25. Oktober 2022 teilt die Vorinstanz mit, dass das Personaldossier des Beschwerdeführers nicht in das Informationssystem für das Personaldatenmanagement überführt worden, sondern aus- schliesslich physisch vorhanden sei. Q. Auf die weiteren Vorbringen der Parteien und die bei den Akten liegenden Schriftstücke ist, soweit im Rahmen der vorliegenden Zwischenverfügung für den Entscheid erheblich, im Rahmen der nachfolgenden Erwägungen einzugehen.

Das Bundesverwaltungsgericht zieht in Erwägung: 1. 1.1. Der Beschwerdeführer verlangt den Erlass vorsorglicher Massnah- men. Über solche Anträge entscheidet im Beschwerdeverfahren vor dem Bundesverwaltungsgericht der mit der Instruktion betraute Richter (Art. 56 des Verwaltungsverfahrensgesetzes [VwVG, SR 172.021] und Art. 39 Abs. 1 des Verwaltungsgerichtsgesetzes [VGG, SR 173.32]). Aufgrund ih- rer Akzessorietät zur Hauptsache können vorsorgliche Massnahmen in- des grundsätzlich nur zum Schutz von Interessen angeordnet werden, die innerhalb des Streitgegenstandes liegen. Die Abgrenzung ist deshalb be- deutsam, weil der Streitgegenstand gleichzeitig die sachliche und funktio- nelle Zuständigkeit der Beschwerdebehörde bestimmt; eine vorsorgliche Massnahme ist nicht Selbstzweck, sondern gewährleistet die Wirksamkeit des nachfolgenden Entscheids (Zwischenverfügung des BVGer A-3464/2013 vom 16. Juli 2013 E. 4.2; MOSER/BEUSCH/KNEUBÜHLER/KAY- SER, Prozessieren vor dem Bundesverwaltungsgericht, 3. Aufl. 2022,

A-661/2022 Seite 8 Rz. 3.18). Es muss daher glaubhaft erschienen, dass das Bundesverwal- tungsgericht auf die Beschwerde wird eintreten können. Es ist daher im Folgenden zunächst zu prüfen, ob das Bundesverwal- tungsgericht voraussichtlich zum Entscheid über die Beschwerde zustän- dig ist und die weiteren Eintretensvoraussetzungen erfüllt sind. 1.2. 1.2.1. Gemäss Art. 31 VGG beurteilt das Bundesverwaltungsgericht Be- schwerden gegen Verfügungen nach Art. 5 VwVG, soweit diese von einer Vorinstanz im Sinne von Art. 33 VGG erlassen worden sind und kein Aus- nahmegrund im Sinne von Art. 32 VGG vorliegt. Zudem kann, wenn wie vorliegend die Vorinstanz (bisher) weder über das Einsichtsbegehren, noch über die vom Beschwerdeführer gerügte Bearbeitung von (seinen) Personendaten bzw. die von ihm befürchtete Verschiebung dieser Daten in eine Public Cloud verfügt hat, gegen das unrechtmässige Verweigern oder Verzögern einer anfechtbaren Verfügung Beschwerde geführt wer- den (Art. 46a VwVG). Anfechtungsobjekt ist in diesen Fällen das (un- rechtmässige) Verweigern oder Verzögern einer Verfügung, was Art. 46a VwVG einer Verfügung gleichsetzt. Zuständige Beschwerdeinstanz ist diejenige Behörde, die zuständig wäre, wenn die verlangte Verfügung ordnungsgemäss ergangen wäre (vgl. Art. 47 VwVG). 1.2.2. Die Bearbeitung von Personendaten durch den Bund findet sich im Bundesgesetz über den Datenschutz (DSG, SR 235.1) geregelt. Dieses bildet entsprechend Anspruchsgrundlage für die Rechtsbegehren des Be- schwerdeführers, der eine voraussichtlich widerrechtliche Bearbeitung von Personendaten rügt; als Bearbeiten gilt jeder Umgang mit Personen- daten und somit auch das Auslagern in eine (ausländische) Public Cloud (Art. 3 Bst. e DSG). Gemäss Art. 25 Abs. 1 DSG kann, wer ein schutzwürdiges Interesse hat, vom verantwortlichen Bundesorgan verlangen, dass es das widerrechtli- che Bearbeiten von Personendaten unterlässt (Bst. a), die Folgen eines widerrechtlichen Bearbeitens beseitigt (Bst. b) oder die Widerrechtlichkeit des Bearbeitens feststellt (Bst. c). Insbesondere kann der Gesuchsteller verlangen, dass das Bundesorgan Personendaten berichtigt, vernichtet oder die Bekanntgabe an Dritte sperrt (Art. 25 Abs. 3 Bst. a DSG). Der Rechtsschutz gegen entsprechende Verfügungen – und damit auch ge- gen das (unrechtmässige) Verweigern oder Verzögern einer Verfügung –

A-661/2022 Seite 9 richtet sich nach den allgemeinen Bestimmungen über die Bundesrechts- pflege und damit nach dem VwVG (Art. 33 Abs. 1 DSG). 1.2.3. Hätte die Vorinstanz ordnungsgemäss über die Begehren des Be- schwerdeführers verfügt, wäre hiergegen die Beschwerde an das Bun- desverwaltungsgericht offen gestanden. Dieselbe Zuständigkeitsordnung gilt, soweit eine Rechtsverweigerung geltend gemacht wird. Somit ist das Bundesverwaltungsgericht voraussichtlich zur Beurteilung der Rechts- verweigerungsbeschwerde und mithin auch zum Entscheid über die an- begehrten vorsorgliche Massnahmen zuständig. Die Zuständigkeit des Bundesverwaltungsgerichts kann allerdings nicht weiter gehen als jene der Vorinstanz: Das DSG knüpft hinsichtlich der da- tenschutzrechtlichen Ansprüche am Inhaber der Datensammlung bzw. am verantwortlichen Bundesorgan an (vgl. Art. 8 Abs. 1 i.V.m. Art. 3 Bst. i so- wie Art. 25 Abs. 1 DSG). Die datenschutzrechtliche Zuständigkeit der Vor- instanz und mithin auch jene des Bundesverwaltungsgerichts ist in somit beschränkt auf jene Daten bzw. Datensammlungen, für welche die Vor- instanz – nur gegen sie richtet sich die Rechtsverweigerungsbeschwerde – verantwortlich ist. Auch im Rahmen der Beschaffung WTO 20007 ver- bleibt die Verantwortlichkeit für die Datenbearbeitung bei den einzelnen Verwaltungseinheiten, die unter Berücksichtigung der gesetzlichen Vor- gaben ihre Detailorganisation selbständig festlegen und somit in der Be- darfsverwaltung selbständig entscheiden (vgl. hierzu Art. 37 Abs. 2 Bst. c und Art. 43 Abs. 5 des Regierungs- und Verwaltungsorganisationsgeset- zes [RVOG, SR 172.010]). Die datenschutzrechtliche Zuständigkeitsordnung hat zur Folge, dass auf die Beschwerde, soweit sie sich gegen die Bearbeitung von Daten (des Beschwerdeführers) durch andere Verwaltungseinheiten als die Vor- instanz richtet, etwa die Bearbeitung von Steuerdaten durch die ESTV, mangels Zuständigkeit voraussichtlich nicht einzutreten sein wird. Dies wirkt sich auf das zu beurteilende Begehren um Erlass vorsorglicher Massnahmen aus, da Begehren um Erlass vorsorglicher Massnahmen, wie vorstehend erwogen, akzessorisch zur Hauptsache sind. Das Begeh- ren des Beschwerdeführers um Erlass vorsorglicher Massnahmen ist da- her abzuweisen, soweit Massnahmen zum Schutz vor einer nach Ansicht des Beschwerdeführers widerrechtlichen Bearbeitung von Personendaten (des Beschwerdeführers) durch andere Verwaltungseinheiten als die Vor- instanz verlangt werden. Soweit der Beschwerdeführer im Zusammen- hang mit einer entsprechenden Datenbearbeitung datenschutzrechtliche

A-661/2022 Seite 10 Ansprüche geltend machen möchte, hat er sich mit einem konkreten Be- gehren an die jeweils für die Datenbearbeitung zuständige Behörde zu richten. 1.3. Zur Beschwerde ist berechtigt, wer am Verfahren vor der Vorinstanz teilgenommen hat, durch die angefochtene Verfügung besonders berührt ist und ein schutzwürdiges Interesse an deren Aufhebung oder Änderung besitzt (Art. 48 Abs. 1 VwVG). Soweit sich der Anspruch des Beschwerdeführers auf seine Personenda- ten bezieht, ist ein schutzwürdiges Interesse ohne Weiteres gegeben; je- de Bearbeitung von Personendaten ist ein Eingriff in das Grundrecht auf informationelle Selbstbestimmung (Art. 13 Abs. 2 BV) und der auf diese Weise Betroffene hat grundsätzlich ein aktuelles und praktisches Interes- se daran, ungerechtfertigte Eingriffe abzuwehren. Zudem kann ein schutzwürdiges Interesse des Beschwerdeführers nicht allein mit dem Ar- gument verneint werden, er sei von der Datenbearbeitung – einer allfälli- gen Verschiebung seiner Daten in eine Public Cloud – nicht intensiver be- troffen als andere Personen, deren Daten durch Organe des Bundes be- arbeitet würden (vgl. BGE 147 I 280 E. 6 ff., insbes. E. 6.2.1). Andernfalls würden gerade in Fällen, in denen Daten von einem Grossteil der Bevöl- kerung bearbeitet werden (müssen), die datenschutzrechtlichen Ansprü- che aus formellen Gründen ihres Gehaltes entleert. Mit Blick auf die höchstpersönliche Natur der grund- und konventions- rechtlich geschützten Privatsphäre ist allerdings einzuschränken, dass dem Beschwerdeführer ein schutzwürdiges Interesse allein in Bezug auf die Bearbeitung seiner Personendaten zukommt. Soweit er darüber hin- aus in allgemeiner Weise für eine richtige Anwendung des Datenschutz- rechts des Bundes einsteht und in genereller Weise eine Überprüfung des Cloud-Computing durch die Bundesverwaltung anbegehrt, ist ihm entge- genzuhalten, dass die schweizerische Verwaltungsrechtspflege weder ei- ne generell-abstrakte Normenkontrolle, noch eine Popularbeschwerde kennt (vgl. Art. 44 und Art. 46a VwVG; BGE 147 I 280 E. 6 ff.). Unter dieser Einschränkung wird daher auf die Beschwerde, soweit sie sich auf die Bearbeitung von Personendaten des Beschwerdeführers durch die Vorinstanz bezieht, voraussichtlich einzutreten sein. 1.4. Die weiteren Sachurteilsvoraussetzungen sind nach vorläufiger Prü- fung gegeben, so dass unter Einschränkung des vorstehend Ausgeführ-

A-661/2022 Seite 11 ten auf die Beschwerde voraussichtlich einzutreten sein wird. Das Verfah- ren vor dem Bundesverwaltungsgericht richtet sich dabei nach dem VwVG, soweit das VGG nichts anderes bestimmt (Art. 37 VGG). 2. 2.1. Der Beschwerdeführer verlangt, es sei die Vorinstanz bis zu einem Entscheid in der Sache anzuweisen, unverzüglich alle Arbeiten im Zu- sammenhang mit der Umsetzung der Cloud-Strategie des Bundes einzu- stellen und einstweilen auf die Auslagerung seiner Personendaten zu verzichten. 2.2. Gemäss Art. 56 VwVG kann nach Einreichung der Beschwerde der Instruktionsrichter von Amtes wegen oder auf Begehren einer Partei vor- sorgliche Massnahmen treffen, um den bestehenden Zustand zu erhalten oder bedrohte Interessen einstweilen sicherzustellen. Mit vorsorglichen Massnahmen soll vermieden werden, dass Rechtsschutz nur unter In- kaufnahme erheblicher Nachteile erlangt werden kann oder gar illusorisch wird. Sie gewährleisten somit die Wirksamkeit des nachfolgenden Ent- scheids und dienen insofern der Verwirklichung materiellen Rechts. Vor- sorgliche Massnahmen können im Laufe des Verfahrens geändert oder aufgehoben werden, wenn sich die Umstände verändert haben, und es können im Laufe des Verfahrens auch neue Begehren um Erlass vorsorg- licher Massnahmen gestellt werden (BGE 130 II 149 E. 2.2, bestätigt mit Urteil des BGer 1C_251/2020 vom 8. November 2021 E. 5.1). Die Anordnung vorsorglicher Massnahmen setzt Dringlichkeit voraus; es muss sich als notwendig erweisen, die fraglichen Vorkehren sofort zu tref- fen. Weiter muss der Verzicht auf die Massnahme für den Betroffenen ei- nen nicht leicht wieder gutzumachenden Nachteil bewirken, wobei ein tat- sächliches, insbesondere wirtschaftliches Interesse genügt. Erforderlich ist sodann, dass die Abwägung der berührten Interessen den Ausschlag für den vorsorglichen Rechtsschutz gibt und dieser somit verhältnismäs- sig erscheint. Der durch die Endverfügung bzw. den Sachentscheid zu regelnde Zustand darf weder präjudiziert noch verunmöglicht werden (vgl. BGE 130 II 149 E. 2.2, bestätigt mit Urteil des BGer 1C_251/2020 vom 8. November 2021 E. 5.1). Der Entscheid über die Anordnung vorsorglicher Massnahmen beruht auf einer summarischen Prüfung der Sach- und Rechtslage; es handelt sich um einen prima facie-Entscheid, der ohne vertieftes Studium der (Vor-) Akten erfolgt. Neben den Untersuchungspflichten sind auch die Beweis-

A-661/2022 Seite 12 anforderungen herabgesetzt. Es genügt in der Regel, wenn die Gründe für ein Begehren um Erlass vorsorglicher Massnahmen glaubhaft ge- macht werden (vgl. Urteil des BGer 1C_251/2020 vom 8. November 2021 E. 5.1 mit Hinweis u.a. auf BGE 145 I 73 E. 7.2.3.2). 2.3. Vorliegend steht einzig die Bearbeitung von Personendaten des Be- schwerdeführers durch die Vorinstanz in Frage (vgl. vorstehend E. 1); die Rechtsverweigerungsbeschwerde richtet sich gegen die Vorinstanz und die datenschutzrechtliche Verantwortlichkeit beschränkt sich auf jene Da- ten, die von der jeweiligen Verwaltungseinheit bearbeitet werden. Aus den Akten ergibt sich, dass die Vorinstanz in der Vergangenheit die Personendaten des Beschwerdeführers im Zusammenhang mit einem Arbeits- sowie einem Auftragsverhältnis bearbeitet hat. Das Arbeitsver- hältnis wurde im Jahr (...) aufgelöst und im elektronischen Personalin- formationssystem werden gemäss der Vorinstanz (aus diesem Grund) keine Daten des Beschwerdeführers durch sie bearbeitet. Im Weiteren bestand ein Auftragsverhältnis mit dem vormaligen (...), das heute in den Bereich (...) innerhalb der Vorinstanz integriert ist. Der Beschwerdeführer macht im Rahmen seiner Mitwirkungspflichten jedoch nicht geltend, das Auftragsverhältnis bestehe fort. Abgesehen von der Speicherung bzw. Aufbewahrung von Personendaten des Beschwerdeführers werden heute keine Personendaten des Beschwerdeführers mehr durch die Vorinstanz bearbeitet oder neu in eine (ausländische) Public Cloud verschoben. Im Übrigen ist noch nicht ersichtlich, dass im Rahmen des Projekts zur Ein- führung bestimmter Microsoft 365-Applikationen in der Cloud, das sich derzeit noch in der Konzeptphase befindet, auch ältere Daten neu elekt- ronisch abgelegt und/oder in einer Cloud gespeichert werden sollen. Nach dem Gesagten droht derzeit keine (weitere) Auslagerung von Per- sonendaten durch die Vorinstanz in eine (ausländische) Public Cloud und somit auch keine (weitere nicht wieder gut zu machende) Offenbarung gegenüber Dritten. Folglich mangelt es derzeit (noch) an einem Anord- nungsgrund und jedenfalls an der für die Anordnung vorsorglicher Mass- nahmen erforderlichen Dringlichkeit. Das Gesuch des Beschwerdeführers um Erlass vorsorglicher Massnahmen ist daher abzuweisen und es erüb- rigt sich bei diesem Ergebnis, auf die weiteren Voraussetzungen für den Erlass vorsorglicher Massnahmen einzugehen. Aus dem Gesagten folgt jedoch auch, dass die Voraussetzung der Dringlichkeit allenfalls anders zu beurteilen sein wird, sollte die Vorinstanz während der Dauer des Be- schwerdeverfahrens eine Auslagerung von Personendaten des Be-

A-661/2022 Seite 13 schwerdeführers in eine (ausländische) Public Cloud in Betracht ziehen; unter geänderten Umständen ist allenfalls (von Amtes wegen) der Erlass vorsorglicher Massnahmen in Betracht zu ziehen. Die Vorinstanz ist da- her aufzufordern, das Bundesverwaltungsgericht darüber in Kenntnis zu setzen, sollte während der Dauer des Beschwerdeverfahrens die Ausla- gerung von Personendaten des Beschwerdeführers in eine (ausländi- sche) Public Cloud in Betracht gezogen werden. 3. Über die Kosten dieser Zwischenverfügung und eine allfällige Parteient- schädigung ist im Entscheid über die Hauptsache zu befinden.

Demnach verfügt das Bundesverwaltungsgericht: 1. Das Gesuch des Beschwerdeführers vom 9. Februar 2022 um Erlass vorsorglicher Massnahmen wird abgewiesen. 2. Die Vorinstanz wird aufgefordert, das Bundesverwaltungsgericht vor ei- nem zukünftigen Entscheid über die Auslagerung von Personendaten des Beschwerdeführers in eine (ausländische) Public Cloud zu informieren. 3. Je ein Exemplar des Schreibens des Beschwerdeführers vom 23. Oktober 2022 und des Schreibens der Vorinstanz vom 25. Oktober 2022 gehen wechselseitig an die Verfahrensbeteiligten. 4. Der Beschwerdeführer wird darum ersucht, dem Bundesveraltungsgericht ebenfalls bis zum 30. November 2022 schriftlich mitzuteilen, ob er nach Zustellung des Berichts vom 31. August 2022 zum rechtlichen Rahmen für die Nutzung von Public-Cloud-Diensten in der Bundesverwaltung an seinem Begehren um Einsicht in die (im Rahmen der Beschaffung WTO 20007) erfolgten Abklärungen der Vorinstanz bezüglich der gesetzlichen Grundlage für eine Auslagerung von Daten in eine Public Cloud festhält. 5. Über die Kosten dieser Zwischenverfügung und eine allfällige Parteient- schädigung wird mit der Hauptsache entschieden.

A-661/2022 Seite 14 6. Weitere Instruktionsmassnahmen erfolgen nach Eintritt der Rechtskraft der vorliegenden Zwischenverfügung. 7. Diese Verfügung geht an den Beschwerdeführer und die Vorinstanz.

Der Instruktionsrichter: Der Gerichtsschreiber:

Alexander Misic Benjamin Strässle

Rechtsmittelbelehrung: Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bun- desgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen An- gelegenheiten geführt werden, sofern die Voraussetzungen gemäss Art. 82 ff., 90 ff. und 100 BGG gegeben sind. Die Frist ist gewahrt, wenn die Beschwerde spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Handen der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung überge- ben worden ist (Art. 48 Abs. 1 BGG). Die Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten. Der angefoch- tene Entscheid und die Beweismittel sind, soweit sie die beschwerdefüh- rende Partei in Händen hat, beizulegen (Art. 42 BGG).

Versand:

A-661/2022 Seite 15 Zustellung erfolgt an: – den Beschwerdeführer (Einschreiben mit Rückschein; Beilage) – die Vorinstanz (Einschreiben mit Rückschein; Beilage)