«Public Cloud» Bundesgericht vom 28. Februar 2023
Auslagerung von Personendaten in (ausländische) Public Cloud; vorsorgliche Massnahmen
I. öffentlich-rechtliche Abteilung; Abweisung der Beschwerde, soweit darauf einzutreten ist; Akten-Nr. 1C_599/2022
BGG 93 I a.
Besteht bei der Bearbeitung von Personendaten die Möglichkeit, später neu über die Erforderlichkeit vorsorglicher Massnahmen zu entscheiden – vorliegend über die Auslagerung von Personendaten in eine (ausländische) Cloud – droht kein nicht wiedergutzumachender Nachteil i. S. v. Art. 93 Abs. 1 lit. a BGG (E. 1.4).
DSG Art. 8 I i. V. m. 3 i und 25 I.
Die datenschutzrechtliche Zuständigkeit der Vorinstanz des BVGer und des BVGer selbst ist, gemäss BVGer, auf Daten bzw. Datensammlungen, für welche die Vorinstanz verantwortlich ist, beschränkt. Davon zu unterscheiden ist gemäss BVGer die Bearbeitung von Personendaten durch andere Bundesorgane. Für diese sieht sich das BVGer nicht zuständig und hätte folglich nicht auf eine entsprechende Beschwerde eintreten sollen (E. 1.5).
BGG 98; BV 9.
In der vorerwähnten Auslegung des Datenschutzgesetzes durch das BVGer ist keine Verletzung verfassungsmässiger Rechte und insbesondere keine Willkür zu erkennen (E. 3.2).
LTF 93 I a.
Dans la mesure où, s’agissant du traitement de données personnelles, la possibilité demeure de décider ultérieurement de la nécessité de mesures provisionnelles – en l’espèce: concernantle transfert de données personnelles dans un Cloud (à l’étranger) –, il n’existe pas de risque de préjudice irréparable au sens de l’art. 93 al. 1 let. a LTF (consid. 1.4).
LPD 8 I en relation avec 3 i et 25 I.
Selon le TAF, sa compétence en matière de protection des données et celle de son instance précédente est limitée aux données ou aux compilations de données dont l’instance précédente est responsable; toujours selon le TAF, il convient de faire une distinction avec le traitement de données personnelles par d’autres organes fédéraux. Le TAF ne se considère pas compétent dans ce dernier cas et n’aurait par conséquent pas dû entrer en matière sur un tel recours (consid. 1.5).
LTF 98; Cst. 9.
Cette interprétation de la loi sur la protection des données par le TAF ne doit pas être considérée comme une violation des droits constitutionnels et n’est pas arbitraire (consid. 3.2).
Nachdem A. («A.» oder «Beschwerdeführer») eine Antwort der Schweizerischen Bundeskanzlei auf sein Schreiben betreffend die geplante Auslagerung eines Teils der Datenbearbeitung durch den Bund in sogenannte Public Clouds erhalten hatte, gelangte er mit Beschwerde ans Bundesverwaltungsgericht. Letzteres wies das Gesuch um vorsorgliche Massnahmen mit Zwischenverfügung ab, wogegen A. Beschwerde ans Bundesgericht erhob.
Mit Urteil 1C_216/2022 vom 28. Juli 2022 hob das Bundesgericht u. a. die Zwischenverfügung auf und wies die Sache zur Neubeurteilung ans Bundesverwaltungsgericht zurück. Daraufhin erliess das Bundesverwaltungsgericht am 27. Oktober 2022 erneut eine Zwischenverfügung (Geschäfts-Nr. A-661/2022), die der Beschwerdeführer wiederum mit Beschwerde vom 15. November 2022 ans Bundesgericht angefochten hatte.
1.4.Das Bundesverwaltungsgericht unterscheidet in seiner Zwischenverfügung zwischen Personendaten des Beschwerdeführers, die von der Bundeskanzlei bearbeitet werden, und solchen, die von anderen Bundesorganen bearbeitet werden. Gemäss den Akten habe die Bundeskanzlei in der Vergangenheit Personendaten des Beschwerdeführers im Zusammenhang mit einem Arbeits- und einem Auftragsverhältnis bearbeitet. Das Arbeitsverhältnis sei 2011 aufgelöst worden und hinsichtlich des Auftragsverhältnisses habe der Beschwerdeführer ebenfalls nicht geltend gemacht, dieses bestehe fort. Eine weitere Auslagerung von Personendaten in eine (ausländische) Cloud drohe derzeit nicht. Für die Anordnung von vorsorglichen Massnahmen fehle es damit an der vorausgesetzten Dringlichkeit. Allerdings könnten sich die Umstände im Laufe des Verfahrens ändern, weshalb die Bundeskanzlei aufzufordern sei, das Bundesverwaltungsgericht darüber in Kenntnis zu setzen, sollte während der Dauer des Beschwerdeverfahrens die Auslagerung von Personendaten des Beschwerdeführers in eine (ausländische) Public Cloud in Betracht gezogen werden.
[…] Entscheidend ist, dass gestützt darauf sowohl das Bundesverwaltungsgericht und in der Folge auch der Beschwerdeführer vorgängig benachrichtigt werden müssen, |womit eine Möglichkeit geschaffen wird, von Amtes wegen oder auf Begehren des Beschwerdeführers neu über die Erforderlichkeit vorsorglicher Massnahmen zu entscheiden. Ein nicht wieder gutzumachender Nachteil droht in dieser Hinsicht nicht (Art. 93 Abs. 1 lit. a BGG). Soweit sich die Beschwerde auf von der Bundeskanzlei bearbeitete Personendaten stützt, ist deshalb darauf nicht einzutreten.
1.5.Hinsichtlich der Personendaten, die von anderen Bundesorganen bearbeitet werden, hält das Bundesverwaltungsgericht fest, seine Zuständigkeit könne nicht weiter gehen als diejenige der Vorinstanz. Das Bundesgesetz vom 19. Juni 1992 über den Datenschutz (DSG; SR 235.1) knüpfe hinsichtlich der datenschutzrechtlichen Ansprüche am Inhaber der Datensammlung bzw. am verantwortlichen Bundesorgan an (vgl. Art. 8 Abs. 1 i. V. m. Art. 3 Bst. i und Art. 25 Abs. 1 DSG). Die datenschutzrechtliche Zuständigkeit der Vorinstanz und mithin auch jene des Bundesverwaltungsgerichts sei somit beschränkt auf jene Daten bzw. Datensammlungen, für welche die Vorinstanz – nur gegen sie richte sich die Rechtsverweigerungsbeschwerde – verantwortlich sei.
Aus dieser Begründung geht hervor, dass sich das Bundesverwaltungsgericht in dieser Hinsicht als unzuständig erachtet. […] Konsequent wäre deshalb gewesen, auf das Gesuch teilweise nicht einzutreten. Angefochten ist somit vor Bundesgericht dem Wesen nach ein teilweiser Nichteintretensentscheid. Auf die Beschwerde ist in dieser Hinsicht einzutreten, wobei sich die Prüfung des Bundesgerichts gemäss Art. 98 BGG auf die Verletzung verfassungsmässiger Rechte beschränkt (s. im Einzelnen Urteil 1C_216/2022 vom 28. Juli 2022 E. 1.3 und 1.6 mit Hinweisen).
[…]
3.
3.1.Der Beschwerdeführer ist der Auffassung, das Bundesverwaltungsgericht habe sich zu Unrecht als unzuständig erachtet, über vorsorgliche Massnahmen zu befinden, soweit die Bearbeitung von Personendaten durch andere Bundesorgane als die Bundeskanzlei erfolge. Wie oben erwähnt, begründete das Bundesverwaltungsgericht seine Verfügung in diesem Punkt mit dem Umstand, dass die datenschutzrechtliche Zuständigkeit beim jeweils verantwortlichen Bundesorgan liege (vgl. Art. 8 Abs. 1 i. V. m. Art. 3 Bst. i und Art. 25 Abs. 1 DSG).
3.2.Wie bereits erwähnt (E. 1.5 hiervor), kann mit der Beschwerde gegen Entscheide über vorsorgliche Massnahmen nur die Verletzung verfassungsmässiger Rechte gerügt werden (Art. 98 BGG), im vorliegenden Zusammenhang namentlich die Willkür (Art. 9 BV). Die Auslegung des Datenschutzgesetzes durch das Bundesverwaltungsgericht lässt keine solche erkennen und der Beschwerdeführer behauptet denn auch nicht das Gegenteil. Zwar macht er unter Hinweis auf den Grundsatz von Treu und Glauben (Art. 9 BV) geltend, er hätte von der Zuständigkeit der Bundeskanzlei ausgehen dürfen, doch bringt er nichts vor, was die Annahme eines entsprechenden Vertrauenstatbestands rechtfertigen würde (vgl. BGE 146 II 111 E. 2.2; 131 II 627 E. 6; je mit Hinweisen). […]
4.Die Beschwerde ist aus diesen Gründen abzuweisen, soweit darauf einzutreten ist.
[…]
Wt