BVGer – A‑661/2022: kein vor­sorg­li­ches Ver­bot der Ver­wen­dung von Public Clouds zula­sten des Bundes

Eine Pri­vat­per­son hat­te vom BVGer mit Ein­ga­be vom 9. Febru­ar 2022 ver­langt, der Bun­des­kanz­lei (BK) sei zu ver­bie­ten, die Arbei­ten im Zusam­men­hang mit der Cloud-Stra­te­gie des Bun­des (dazu hier) fort­zu­set­zen oder ent­spre­chend Daten in die Public Clouds der fünf Anbie­ter Micro­soft, Ora­cle, IBM, AWS und Ali­b­a­ba aus­zu­la­gern.

Das BVGer hat­te das Gesuch um ein vor­sorg­li­ches Ver­bot am 31. März 2022 abge­wie­sen, weil es sich als unzu­stän­dig erach­tet hat­te. Das Bun­des­ge­richt hat­te auf Beschwer­de hin fest­ge­hal­ten, dass das BVGer eine for­mel­le Rechts­ver­wei­ge­rung began­gen hat­te, weil es die Fra­ge der Zustän­dig­keit zum Erlass vor­sorg­li­cher Mass­nah­men zu Unrecht offen­ge­las­sen und das Gesuch vor­sorg­li­che Mass­nah­men zu Unrecht nicht inhalt­lich geprüft hat­te (Ent­scheid 1C_216/2022 vom 28. Juli 2022). Es wies die Sache des­halb ans BVGer zurück.

Das BVGer weist das Gesuch um vor­sorg­li­che Mass­nah­men in einer Zwi­schen­ver­fü­gung (Geschäfts-Nr. A‑661/2022) nun erneut ab, dies­mal mit einer inhalt­li­chen Aus­ein­an­der­set­zung (dazu auch die Medi­en­mit­tei­lung der BK):

  • Soweit sich das Gesuch gegen Bear­bei­tun­gen nicht der BK, son­dern ande­rer Ver­wal­tungs­ein­hei­ten rich­tet, ist es abzu­wei­sen, weil die BK – als Adres­sa­tin – dafür gar nicht zustän­dig wäre;
  • der Beschwer­de­füh­rer ist – in Bezug auf sei­ne eige­nen Per­so­nen­da­ten – beschwer­de­le­gi­ti­miert. Er hat ein schutz­wür­di­ges Inter­es­se, weil jede Daten­be­ar­bei­tung in das “Grund­recht auf infor­ma­tio­nel­le Selbst­be­stim­mung” nach BV 13 II ein­greift. Der von einer Daten­be­ar­bei­tung Betrof­fe­ne habe “grund­sätz­lich ein aktu­el­les und prak­ti­sches Inter­es­se dar­an, unge­recht­fer­tig­te Ein­grif­fe abzu­weh­ren”. Man kann die Beschwer­de­le­gi­ti­ma­ti­on auch nicht des­halb ver­nei­nen, weil der Beschwer­de­füh­rer von einer Ver­schie­bung sei­ner Daten in eine Public Cloud nicht inten­si­ver betrof­fen wäre als ande­re Per­so­nen, denn sonst wür­den gera­de dort, wo eine Daten­be­ar­bei­tung einen Gross­teil der Bevöl­ke­rung betrifft, wer­den (müs­sen), “die daten­schutz­recht­li­chen Ansprü­che aus for­mel­len Grün­den ihres Gehal­tes ent­leert” – eine nach­voll­zieh­ba­re, aber weit­rei­chen­de Aussage;
  • in der Sache ist das Gesuch abzu­wei­sen, weil die BK – und nur um die­se geht es – heu­te
    kei­ne Per­so­nen­da­ten des Beschwer­de­füh­rers bear­bei­tet oder in eine Public Cloud ver­schiebt, und es ist auch “noch nicht ersicht­lich, dass im Rah­men des Pro­jekts zur Ein­füh­rung bestimm­ter Micro­soft 365-Appli­ka­tio­nen in der Cloud, das sich der­zeit noch in der Kon­zept­pha­se befin­det, auch älte­re Daten neu elek­tro­nisch abge­legt und/oder in einer Cloud gespei­chert wer­den sol­len”. Ent­spre­chend fehlt sowohl ein Anord­nungs­grund als auch eine beson­de­re Dringlichkeit.

Ob die Pri­vat­per­son nun auch gegen ande­re Ver­wal­tungs­ein­hei­ten vor­geht, wenn die­se Lei­stun­gen der Public Clouds bezie­hen wol­len – was sie nach Abwei­sung der Beschwer­de nun tun kön­nen –, wird man sehen.