Das Bundesgesetz über den Einsatz elektronischer Mittel zur Erfüllung von Behördenaufgaben (EMBAG) soll die Rechtsgrundlagen für eine digitale Transformation in der Bundesverwaltung und die Zusammenarbeit zwischen Behörden im Gebiet E‑Government schaffen – vorerst aber ohne dass digitale Prozesse verbindlich sein sollen (dafür ist eine eigene Verfassungsgrundlage in Diskussion).
Es gilt grundsätzlich für die zentrale Bundesverwaltung, falls der Bundesrat den Geltungsbereich nicht auf dem Verordnungsweg auf Einheiten der dezentralen Bundesverwaltung ausdehnt. Am 4. März 2022 hatte der Bundesrat die Botschaft zum EMBAG verabschiedet (dazu hier).
In der Beratung war zuletzt noch eine Detailfrage zur Kompetenz des Bundesrats für den Abschluss von Vereinbarungen und völkerrechtlichen Verträgen in diesem Bereich umstritten. Nachdem sich der Nationalrat in der dritten Runde der Differenzbereinigung am 13. März dem Ständerat angeschlossen hatte, haben die Räte das Gesetz in der Schlussabstimmung vom 17. März 2023 mit grossen Mehrheiten angenommen.
Das EMBAG soll für den Bund insgesamt vor allem “hinreichende Rechtsgrundlagen für die Verwendung elektronischer Mittel zur Erfüllung seiner Aufgaben” schaffen, und hier vor allem für die Zusammenarbeit des Bundes mit anderen Gemeinwesen, anderen Staaten und nationalen wie internationalen Organisationen. Bspw. soll der Bund Vereinbarungen mit den Kantonen schliessen und sihc an Organisationen beteiligen können.
Ebenfalls geregelt wird die Übertragung von Aufgaben im Bereich der administrativen Hilfstätigkeit beim Einsatz elektronischer Mittel. Nach dem im Parlament diskussionslos angenommenen Art. 8 Abs. 1 EMBAG ist der Bundesrat zuständig und befugt, durch Verordnung oder Verträge – laut Botschaft: verwaltungsrechtliche Verträge – Aufgaben zu übertragen. Die Botschaft verweist hier weiter auf Art. 178 Abs. 3 BV (“Verwaltungsaufgaben können durch Gesetz Organisationen und Personen des öffentlichen oder des privaten Rechts übertragen werden, die ausserhalb der Bundesverwaltung stehen”). Erforderlich ist also eine formellgesetzliche Grundlage, die Art. 8 EMBAG schaffen will.
Diese Anforderung bezieht sich allerdings nicht unbedingt auf den Einbezug Dritter im Rahmen der Bedarfsverwaltung, jedenfalls wenn die Rechtsstellung der betroffenen Personen davon nicht berührt wird – ein solcher Einbezug sollte ohne eigene Grundlage möglich sein. Dies ist auch die Auffassung der Bundeskanzlei, die im Public Cloud-Bericht vom 31. August 2022 festgehalten hat,
Die Nutzung von Cloud-Diensten ist im Grundsatz als administrative Hilfstätigkeit (Bedarfsverwaltung) einzustufen. Als administrative Hilfstätigkeit ist die Beschaffung jener notwendigen Sachgüter oder Leistungen gemeint, die die Verwaltung zur Erfüllung ihrer öffentlichen Aufgabe benötigt. Beispiele dafür sind die Beschaffung von Büromaterial, der Abschluss von Werkverträgen für die Errichtung einer öffentlichen Baute oder eben das Beiziehen eines IKT-Leistungserbringers. Die Verwaltungseinheit schliesst dabei grundsätzlich privatrechtliche Verträge ab. Die gesetzliche Grundlage leitet sich unmittelbar aus der Rechtsgrundlage der jeweiligen öffentlichen Aufgabe ab. Je nach Sachbereich oder Natur der bearbeiteten Daten gelten jedoch spezifischere Anforderungen an die Rechtsgrundlage. Das gilt allgemein namentlich dann, wenn Personendaten Gegenstand eines Cloud-Sourcing sind.
Unklar blieb, welche Bedeutung hier der Hinweis auf die Personendaten beim Cloud-Sourcing haben soll. Im Bericht der BK “Rechtliche Grundlagen – Cloud-Enabling Büroautomation” vom 15. Februar 2023 hat die BK ihre Auffassung wiederholt, nun aber ausdrücklich auch dann, wenn Personendaten betroffen sind:
Beim vorliegenden Projekt handelt es sich um die Weiterentwicklung der Büroautomation (BA), welche die Erfüllung von Bundesaufgaben unterstützt und für eine wirtschaftliche und nachvollziehbare Verwaltungstätigkeit notwendig ist. Mit dem Betrieb der BA sind keine Eingriffe in die Rechte Einzelner verbunden. Unter diesen Umständen kann für den Betrieb der BA direkt auf die Übertragung der entsprechenden Verwaltungsaufgaben abgestellt werden. Eine explizite Rechtsgrundlage ist damit nicht notwendig; dies gilt auch für die Auslagerung der BA in die Public Cloud. Bei der Auslagerung der Bearbeitung in die Public Cloud handelt es sich um eine Auftragsdatenbearbeitung (Microsoft ist Auftragsbearbeiter) im Sinne der Datenschutzgesetzgebung. Entsprechend sind die Datenschutzbestimmungen zu erfüllen. Die Rechtliche Grundlage für die Bearbeitung der Daten durch die Bundesverwaltung ergeben sich aus RVOG 57h. Die Datenschutzbestimmungen werden mit den Ergänzungen zu SCC und Anerkennung der CH DSG erfüllt.
Dies ist richtig, weil die Auslagerung der elektronischen Datenverarbeitung an einen Dienstleister auch dann nicht grundsätzlich eine eigene gesetzliche Grundlage verlangt, wenn Personendaten betroffen sind. Das folgt aus dem Zusammenspiel oder vielmehr dem Unterschied von Art. 10a DSG (neu Art. 9; hier bezogen auf Bundesorgane) mit Art. 19 DSG (neu Art. 36): Die “Bekanntgabe” von Personendaten verlangt vorbehaltlich der Ausnahmen eine gesetzliche Grundlage, aber davon ist die Auftragsbearbeitung abzugrenzen. In Erinnerung zu rufen ist dabei die verwandte Unterscheidung zwischen verwaltungsrechtlichen und privatrechtlichen Verträgen (etwa in BGE 134 II 297):
Ein verwaltungsrechtlicher Vertrag hat direkt die Erfüllung einer öffentlichen Aufgabe zum Inhalt oder betrifft einen im öffentlichen Recht geregelten Gegenstand, zum Beispiel eine Erschliessung, Enteignung oder Subvention […]. Demgegenüber liegt eine privatrechtliche Vereinbarung vor, wenn sich der Staat durch Kauf, Werkvertrag oder Auftrag bloss die Hilfsmittel beschafft, derer er zur Erfüllung seiner öffentlichen Aufgaben bedarf.
Das unterstreicht, dass es in Art. 8 EMBAG eigentlich nicht um die Beschaffung elektronischer Hilfsmittel der staatlichen Aufgabenerfüllung gehen kann, weil die gesetzliche Grundlage, die Art. 8 EMBAG schaffen will, hier nach Massgabe von Art. 178 BV nicht erforderlich ist und die Botschaft den Ausdruck der “Vereinbarung” in Art. 8 EMBAG als verwaltungsrechtliche Vereinbarung versteht, bei der Beschaffung etwa eines Cloud-Dienstes aber ein privatrechtlicher Vertrag geschlossen wird. Es ist nicht ausgeschlossen, dass sich das Bundesverwaltungsgericht mit dieser Frage auseinandersetzen wird (siehe hier).
Weitere Regelungsschwerpunkte sind
- der Abschluss von Vereinbarungen durch den Bund einschliesslich ggf. der Schaffung von oder die Beteiligung an gemeinsamer Organisationen z.B. mit den Kantonen (so könnte die Digitale Verwaltung Schweiz eine eigene Rechtsperson werden),
- der Einsatz von Open Source Software – soweit möglich soll der Bund den Sourcecode von Software zur kostenlosen Weiterverwendung offenlegen, die er entwickelt oder entwickeln lässt,
- die schrittweise öffentliche Bereitstellung von Daten, die zur Erfüllung der gesetzlichen Aufgaben beschafft oder generiert werden (Open Government Data),
- die Erbringung bzw. den Bezug von Shared Services durch die Bundesbehörden, und
- die Durchführung von Pilotversuchen.