Empfehlung vom 21. August 2019 Dienst ÜPF Fernmeldedienstanbieterinnen mit reduzierten Überwachungspflichten

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter EDÖB

Feldeggweg 1, 3003 Bern Tel. 058 463 74 84, Fax 058 465 99 96 www.edoeb.admin.ch

Bern, 21. August 2019

Empfehlung nach Art. 14 des Öffentlichkeitsgesetzes

im Schlichtungsverfahren zwischen

X, vertreten durch Y (Antragsteller)

und

Dienst Überwachung Post- und Fernmeldeverkehr ÜPF

I. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte stellt fest:

1. Der Antragsteller (Verein) hat am 3. Juli 2019 gestützt auf das Bundesgesetz über das Öffentlichkeitsprinzip der Verwaltung (Öffentlichkeitsgesetz, BGÖ; SR 152.3) beim Dienst Überwachung Post- und Fernmeldeverkehr (Dienst ÜPF) um Zugang zu einer Liste aller Fernmeldedienstanbieterinnen (FDA) ersucht, welche einer reduzierten Überwachungspflicht gemäss Art. 51 der Verordnung über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF; SR 780.11) unterliegen.
2. Mit E-Mail vom 12. Juli 2019 teilte der Dienst ÜPF dem Antragsteller mit, dass die angeforderte Liste der FDA mit reduzierten Überwachungspflichten grundsätzlich bestehe und sich derzeit 138 FDA darauf befänden. Allerdings lehnte der Dienst ÜPF die Herausgabe dieser Liste mit Verweis auf Art. 7 Abs. 1 Bst. b BGÖ ab. Die Herausgabe von Listen, die Auskunft über reduzierte oder erweiterte Auskunfts- oder Überwachungspflichten gäben, sei geeignet, die zielkonforme Durchführung behördlicher Aufgaben, in diesem Fall die Fernmeldeüberwachung der Strafverfolgungsbehörden und des Nachrichtendienstes des Bundes NDB, zu beeinträchtigen.
3. Am 22. Juli 2019 reichte der Antragsteller einen Schlichtungsantrag beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (Beauftragter) ein.
4. Am 31. Juli 2019 reichte der Dienst ÜPF die betroffenen Dokumente und eine ergänzende Stellungnahme ein.
5. Am 13. August 2019 fand eine Schlichtungsverhandlung statt, in welcher sich die Parteien nicht einigen konnten.
6. Auf die weiteren Ausführungen des Antragstellers und des Dienstes ÜPF sowie auf die eingereichten Unterlagen wird, soweit erforderlich, in den folgenden Erwägungen eingegangen.

2/5

II. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte zieht in Erwägung: A. Formelle Erwägungen: Schlichtungsverfahren und Empfehlung gemäss Art. 14 BGÖ 7. Der Antragsteller reichte ein Zugangsgesuch nach Art. 10 BGÖ beim Dienst ÜPF ein. Dieser verweigerte den Zugang zu dem verlangten Dokument. Der Antragsteller ist als Teilnehmer an einem vorangegangenen Gesuchsverfahren zur Einreichung eines Schlichtungsantrags berechtigt (Art. 13 Abs. 1 Bst. a BGÖ). Der Schlichtungsantrag wurde formgerecht (einfache Schriftlichkeit) und fristgerecht (innert 20 Tagen nach Empfang der Stellungnahme der Behörde) beim Beauftragten eingereicht (Art. 13 Abs. 2 BGÖ). 8. Das Schlichtungsverfahren findet auf schriftlichem Weg oder konferenziell (mit einzelnen oder allen Beteiligten) unter Leitung des Beauftragten statt, der das Verfahren im Detail festlegt. 1

Kommt keine Einigung zustande oder besteht keine Aussicht auf eine einvernehmliche Lösung, ist der Beauftragte gemäss Art. 14 BGÖ gehalten, aufgrund seiner Beurteilung der Angelegenheit eine Empfehlung abzugeben. B. Materielle Erwägungen 9. Der Beauftragte prüft nach Art. 12 Abs. 1 der Verordnung über das Öffentlichkeitsprinzip der Verwaltung (Öffentlichkeitsverordnung, VBGÖ; SR 152.31) die Rechtmässigkeit und die Angemessenheit der Beurteilung des Zugangsgesuches durch die Behörde. 2

10. Gemäss Art. 26 Abs. 6 des Bundesgesetzes betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF; SR 780.1) i.V.m. Art. 51 VÜPF kann der Dienst ÜPF Fernmeldedienstanbieterinnen als FDA mit reduzierten Überwachungspflichten erklären, wenn diese Dienstleistungen von geringer wirtschaftlicher Bedeutung oder im Bereich Bildung und Forschung anbieten (Art. 51 Abs. 1 VÜPF). FDA mit reduzierten Überwachungspflichten haben sowohl bei den Auskunftspflichten als auch bei den Überwachungen gewisse Ausnahmen im Vergleich zu «normalen» FDA. Sie haben insbesondere keine Pflicht, Randdaten aufzubewahren (Art. 26 Abs. 5 BÜPF).
11. Vorliegend verlangt der Antragsteller eine vollständige Liste aller FDA, die beim Dienst ÜPF als mitwirkungspflichtig erfasst sind (Art. 2 BÜPF), aber solchen reduzierten Überwachungspflichten unterliegen. Gemäss dem Antragsteller sollen Konsumentinnen und Konsumenten bzw. Kundinnen und Kunden von Telekommunikationsanbieterinnen in der Schweiz wissen, welchen Pflichten gemäss BÜPF die einzelnen Anbieterinnen unterliegen.
12. Der Dienst ÜPF hat dem Antragsteller lediglich die Anzahl der sich auf der Liste befindlichen FDA mitgeteilt (138), den Zugang darüber hinaus hingegen mit Verweis v.a. auf Art. 7 Abs. 1 Bst. b BGÖ verweigert. Nach Ansicht des Dienstes ÜPF führen die reduzierten Auskunfts- und Überwachungspflichten in der Praxis dazu, dass die Erteilung von Auskünften und die Durchführung von Überwachungsmassnahmen der Strafverfolgungsbehörden und des NDB bei solchen FDA erschwert und verlangsamt ist. Regelmässig würden die reduzierten Pflichten auch zu Daten- und damit Überwachungslücken führen. Deshalb sei die Herausgabe von Listen, die Auskunft über reduzierte oder erweiterte Auskunfts- oder Überwachungspflichten gäben, geeignet, die zielkonforme Durchführung behördlicher Aufgaben, in casu die Fernmeldeüberwachung der Strafverfolgungsbehörden und des NDB, zu beeinträchtigen. So

1 Botschaft zum Bundesgesetz über die Öffentlichkeit der Verwaltung (Öffentlichkeitsgesetz, BGÖ) vom 12. Februar 2003, BBl 2003 2024. 2 GUY-ECABERT, in: Brunner/Mader [Hrsg.], Stämpflis Handkommentar zum BGÖ, Bern 2008 (zit. Handkommentar BGÖ), Art. 13, Rz 8.

3/5

könnten sich potentielle Kriminelle anhand der Listen auf einfache und übersichtliche Art und Weise ein Bild machen, bei welchem Provider die Überwachung eher Lücken aufweisen könnte. Es sei davon auszugehen, dass die Kenntnis, dass sich eine bestimmte FDA auf der Liste der reduzierten FDA befinde, ein wichtiges Kriterium sein könne, nach welchem sich potentielle Kriminelle ihre Dienstanbieterin aussuchten. Dies deshalb, weil die Auskunftserteilung und Überwachung bei diesen FDA erschwert seien. 13. Nach Art. 7 Abs. 1 Bst. b BGÖ wird der Zugang zu amtlichen Dokumenten eingeschränkt, aufgeschoben oder verweigert, wenn durch seine Gewährung die zielkonforme Durchführung konkreter behördlicher Massnahmen beeinträchtigt würde. Diese Ausnahme soll sicherstellen, dass Informationen geheim gehalten werden können, die der Vorbereitung konkreter behördlicher Massnahmen wie Aufsichtsmassnahmen, Inspektionen, behördliche Ermittlungen oder administrative Überwachungen dienen. Sie kann dann angerufen werden, wenn durch das Zugänglichmachen bestimmter Informationen, die eine Massnahme vorbereiten, die betreffende Massnahme ihr Ziel mit hoher Wahrscheinlichkeit nicht mehr bzw. nicht vollumfänglich erreichen würde. 3 Mit anderen Worten muss die Geheimhaltung der Informationen Bedingung für den Erfolg der entsprechenden Massnahme bilden. 4 Dabei muss die aufgrund der Zugangsgewährung drohende Verletzung der mit der behördlichen Massnahme verfolgten Ziele von einem gewissen Gewicht sein. 5

14. Vorliegend stellt sich daher die Frage, ob gleichsam die strafprozessuale bzw. nachrichtendienstliche Fernmeldeüberwachung insgesamt beeinträchtigt würde, falls mittels der verlangten Liste bekannt wird, welche FDA reduzierten Überwachungspflichten unterliegen.
15. Die Post- und Fernmeldeüberwachung ist ein wichtiges Instrument in der Strafverfolgung und die Bedenken des Dienstes ÜPF, wonach die Fernmeldeüberwachung von Zielpersonen erschwert werden kann, wenn diese auf FDA mit reduzierten Überwachungspflichten ausweichen, sind für den Beauftragten grundsätzlich nachvollziehbar. Gleichwohl erachtet er die Anwendbarkeit der Ausnahmebestimmung nach Art. 7 Abs. 1 Bst. b BGÖ vorliegend als nicht gegeben.
16. Der Beauftragte gibt zu bedenken, dass der Gesetzgeber im BÜPF bewusst auf einen umfassenden Überwachungsmechanismus verzichtete, indem er dem Bundesrat die Möglichkeit einräumte, FDA unter bestimmten Voraussetzungen von gewissen Pflichten zu befreien (Art. 26 Abs. 6 BÜPF). Die reduzierten Überwachungspflichten und die daraus resultierenden Konsequenzen sind vom Gesetzgeber folglich gewollt, dies weil die betreffenden Fernmeldedienstanbieterinnen seiner Annahme zufolge «grundsätzlich nicht im Besitz von Daten sind, die für eine Überwachung des Fernmeldeverkehrs von Interesse sind». 6 Der Botschaft zum BÜPF lässt sich auch entnehmen, dass er sich der Möglichkeit von dadurch entstehenden «Lücken» bewusst war. 7 Insofern liegen die vom Dienst ÜPF vorgebrachten Erschwernisse oder Verzögerungen in der Fernmeldeüberwachung bereits systembedingt vor

3 BBl 2003 2009. 4 Urteil BVGer A-3122/2014 vom 24. November 2014 E. 4.2.2. 5 BGE 144 II 77 E. 4.3. 6 Botschaft zum BÜPF vom 27. Februar 2013, BBl 2013 2683, 2742. 7 «Absatz 6 verpflichtet die betreffenden Anbieterinnen, die Randdaten zu liefern, über die sie allenfalls verfügen. Im Gegensatz zur allgemeinen Regel (siehe Abs. 5) besteht für sie jedoch keine Pflicht, diese Daten aufzubewahren. Den erfassten Personen werden jedoch die Minimalpflicht, eine Überwachung zu dulden, sowie die notwendigen Nebenpflichten auferlegt, um die Durchführung einer Überwachung zu ermöglichen (siehe Abs. 2). Allerdings ist zu beachten, dass sich die Lücke, die sich aus Absatz 6 ergibt, mit diesen Pflichten nicht vollständig schliessen lässt, denn die vorgeschlagene Regelung kann zur Folge haben, dass Randdaten verloren gehen, die normalerweise im Rahmen einer rückwirkenden Überwachung beschafft werden können.» (BBl 2013 2683, 2742).

4/5

und können nicht als «Beeinträchtigung» derselben gelten bzw. als Argument gegen eine Zugangsgewährung herangezogen werden. 17. Nach Ansicht des Beauftragten hat die Öffentlichkeit einen legitimen Anspruch darauf, die Intensität der staatlichen Überwachung nach Massgabe der gesetzlichen Grundlagen im BÜPF abschätzen zu können. Dies grundsätzlich unabhängig davon, ob jemand eine kriminelle Absicht hegt oder nicht. Das bereits im BÜPF selbst angelegte Risiko von möglichen Überwachungslücken kann diesen Anspruch der Öffentlichkeit nicht aushebeln. Anders verhielte es sich bloss, wenn ein konkretes ermittlungstaktisches Vorgehen oder ein konkreter Überwachungsauftrag zur Diskussion stehen würde, was jedoch vorliegend nicht der Fall ist. 8

18. Darüber hinaus ist es interessierten Personen ohnehin unabhängig von einer allfälligen Zugangsgewährung zu einer solchen Liste möglich, Kenntnis über die konkreten Überwachungspflichten von einzelnen FDA zu erhalten und allenfalls auf weniger überwachte Kommunikationskanäle auszuweichen. So können bereits aufgrund der in Art. 51 VÜPF festgelegten Voraussetzungen für eine reduzierte Überwachungspflicht (Fernmeldedienste im Bereich Bildung und Forschung oder geringe wirtschaftliche Bedeutung) Mutmassungen über davon betroffene FDA angestellt werden. Zudem ist es den FDA soweit erkennbar nicht verboten, auf entsprechende Anfragen von sich aus über den Umfang ihrer Überwachungspflichten zu informieren. 9 Ergänzend haben Kundinnen und Kunden die Möglichkeit, bei ihrer Anbieterin mittels eines Auskunftsbegehrens nach Art. 8 des Bundesgesetzes über den Datenschutz (DSG; SR 235.1) Auskunft über alle über sie vorhandenen Daten zu verlangen. Da der betroffenen Person dabei auch der Zweck und gegebenenfalls die Rechtsgrundlage des Bearbeitens mitgeteilt werden muss, sind nach Auffassung des Beauftragten bei korrekter Auskunftserteilung Rückschlüsse auf den Umfang der Überwachungspflichten gemäss BÜPF möglich. Schliesslich ist es sogar denkbar, dass jemand selber einen Providerdienst betreibt, um die konkret geltenden Auskunfts- und Überwachungspflichten zu kennen.
19. Aus den oben genannten Gründen gelangt Art. 7 Abs. 1 Bst. b BGÖ nach Ansicht des Beauftragten im vorliegenden Fall nicht zur Anwendung, da nicht davon auszugehen ist , dass die strafprozessuale und nachrichtendienstliche Fernmeldeüberwachung durch eine Veröffentlichung dieser Liste tatsächlich beeinträchtigt würde.
20. Weitere Ausnahmegründe hat der Dienst ÜPF weder in der Stellungnahme an den Antragsteller noch an den Beauftragten vorgebracht. In Betracht kommt vorliegend allenfalls Art. 7 Abs. 1 Bst. c BGÖ. Eine Gefährdung der inneren oder äusseren Sicherheit der Schweiz kann der Beauftragte mit Blick auf das oben dargelegte aber nicht erkennen, da der Gesetzgeber ansonsten auf diese im BÜPF vorgesehene Möglichkeit für eine reduzierte Überwachungspflicht verzichtet hätte.

8 Urteil BVGer A-3443/2010 vom 18. Oktober 2010 E. 5.5. 9 Siehe dazu bspw. ProtonMail https://steigerlegal.ch/2019/05/23/protonmail-echtzeit-ueberwachung/ (besucht am 14.08.2019).

5/5

III. Aufgrund dieser Erwägungen empfiehlt der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte: 21. Der Dienst ÜPF gewährt den Zugang zu der verlangten Liste aller Fernmeldedienstanbieterinnen mit reduzierten Überwachungspflichten. Gegebenenfalls sind vorgängig die betroffenen Fernmeldedienstanbieterinnen anzuhören. 22. Der Antragsteller kann innerhalb von 10 Tagen nach Erhalt dieser Empfehlung beim Dienst ÜPF den Erlass einer Verfügung nach Art. 5 des Bundesgesetzes über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG; SR 172.021) verlangen, wenn er mit der Empfehlung nicht einverstanden ist (Art. 15 Abs. 1 BGÖ). 23. Der Dienst ÜPF erlässt eine Verfügung, wenn er mit der Empfehlung nicht einverstanden ist (Art. 15 Abs. 2 BGÖ). 24. Der Dienst ÜPF erlässt die Verfügung innert 20 Tagen nach Empfang dieser Empfehlung oder nach Eingang eines Gesuches um Erlass einer Verfügung (Art. 15 Abs. 3 BGÖ). 25. Diese Empfehlung wird veröffentlicht. Zum Schutz der Personendaten der am Schlichtungsverfahren Beteiligten wird der Name des Antragstellers anonymisiert (Art. 13 Abs. 3 VBGÖ). 26. Die Empfehlung wird eröffnet:

• Einschreiben mit Rückschein (R) X

• Einschreiben mit Rückschein (R) Dienst Überwachung Post- und Fernmeldeverkehr 3003 Bern

Adrian Lobsiger