Glass/Schefer: Gutachten “Der grundrechtskonforme Einsatz von M365 durch öffentliche Organe in der Schweiz”

Dr. Philip Glass und Prof. Dr. Markus Schefer haben im Auftrag von egovpartner (einer Zusammenarbeitsorganisation von Gemeinden, Städten und dem Kanton Zürich) ein Gutachten zum grundrechtskonformen Einsatz von Microsoft 365 durch öffentliche Organe in der Schweiz (am Beispiel des Kantons Zürich) verfasst. Das Gutachten wurde im Jusletter IT vom 20. Dezember 2023 veröffentlicht und ist als Editions Weblaw, Bern 2023, verfügbar. Es stellt die Frage,

wie die Gemeinden im Kanton Zürich Cloud-Dienste (insbes. M365) verfassungs- und datenschutzkonform nutzen können.

Das Gutachten war den Gemeinden des Kantons Zürich vor der Publikation zur Verfügung gestellt worden und durfte seit Anfang Oktober 2023 an Dritte weitergegeben werden. Die Autoren hatten gestützt darauf Rückmeldungen erhalten; sie gehen darauf in einem Addendum zum Gutachten ein.

Das Gutachten kann auch auf der Website von David Rosenthal heruntergeladen werden. David Rosenthal hat dazu bereits am 10. November 2023 Anmerkungen zum Gutachten verfasst; dazu s. unten.

Ergebnisse des Gutachtens

Die Gutachter kommen im Wesentlichen zu folgenden Schlüssen:

Art. 13 Abs. 2 BV schützt vor dem Missbrauch von Daten als Minimalgarantie einer rechtmässigen Datenbearbeitung und vermittelt ein rechtlich geschütztes Interesse an einer rechtsstaatlich korrekten Datenbearbeitung. Zudem umfasst Art. 13 Abs. 2 BV den “Schutz der informationellen Selbstbestimmung”, die die Ausübung der Grundrechte sichert.
Unterschiedliche “Eingriffsmomente” müssen u.U. je einzeln gerechtfertigt werden, und sie müssen zudem gesamthaft betrachtet zumutbar sein. Beeinträchtigt wird die informationelle Selbstbestimmung besonders, wenn die Datenbearbeitung zu einer Selbstbeschränkung in der Ausübung der Grundrechte führen kann (Chilling Effect).
Die Intensität eines Eingriffsmoments ergibt sich aus dem Zusammenspiel von Kontrollverlust und Wirksamkeit der Rechtsbehelfe dagegen, und aus der Persönlichkeitsnähe der Datenbearbeitung. Im Einzelfall ist zu prüfen, inwieweit einem Kontrollverlust durch sichernde Massnahmen und der Persönlichkeitsnähe durch Anonymisierung entgegengewirkt werden kann.
Eine Speicherung von Personendaten in der Cloud ist eine Speicherung «auf Vorrat» zuhanden von U.S.-Behörden, die über den CLOUD Act bzw. den Stored Communications Act (SCA) zugreifen können. Ein solcher Zugriff würde eine Verletzung der Grundsätze des schweizerischen Rechts, eine intransparente Bearbeitung und eine Verletzung der Zweckbindung darstellen. Aufgrund der Anzahl der Betroffenen und des Kontrollverlusts ist grundsätzlich von einem schwerwiegenden Eingriff auszugehen.
Die «Methode Rosenthal» erscheint für die Verwendung im öffentlich-rechtlichen Bereich als “noch nicht genügend ausgereift”, aber sie kann Angaben über die Grössenordnung der Wahrscheinlichkeit einer Verletzung liefern. Es sei zudem keine Alternative mit ähnlich strukturierter Argumentation ersichtlich; auch die Datenschutzbehörden geben “wenig Anleitung, wie [die mit der Cloudnutzung verbundenen Risiken] rechtsgenüglich beurteilt werden könnten”.
Dass ein geringes Risiko eines Zugriffs besteht, erscheine “unter den gegebenen Umständen als plausibel”, aber das kann sich mit der zunehmenden Verwendung von M365 ändern.
Eingriffe gewinnen an Intensität, wenn man die Abhängigkeit von den Office-Produkten berücksichtigt. Bei einer Weiterentwicklung dieser Produkte hat die öffentliche Verwaltung keine Alternativen.
Die Zürcher Rechtsgrundlagen ermöglichen eine Bearbeitung von besonderen Personendaten, aber sie reichen nicht aus für die spezifischen Eingriffsmomente der Auslagerung in die Cloud eines US-Unternehmens.
Wie kantonale Behörden empfehlen die Gutachter, zumindest sensible Personendaten in der Cloud zu verschlüsseln, was eine verfassungskonforme Nutzung von M365 ermöglichen könne, falls die Verschlüsselung auch gegen den Zugriff der Anbieterin wirksam ist.

Daraus folge:

Im Hinblick auf die dargelegten Eingriffe und deren Intensität sowie der ungenügenden rechtlichen Grundlage für die Übernahme der korrespondierenden Risiken durch öffentliche Organe im Kanton Zürich muss zum aktuellen Zeitpunkt ein Verzicht auf gewisse Formen der Bearbeitung von besonderen Personendaten (= schwere Eingriffe in die informationelle Selbstbestimmung) mittels M365 empfohlen werden. Dies betrifft sämtliche Formen der Bearbeitung, die eine Speicherung von Daten in der Cloud von Microsoft umfassen. Hier sei als milderes Mittel auf absehbare Zeit auf die Möglichkeit verwiesen, solche Applikationen auf eigenen Rechenzentren betreiben zu lassen und lediglich die Aktualisierungen über den Clouddienst vorzunehmen. Alternativ kann eine klassische Auslagerung in Rechenzentren eines Dritten, der nicht dem U.S.-amerikanischen Recht untersteht, ins Auge gefasst werden. Diese Einschätzung bleibt im Lichte der künftigen rechtlichen und technischen Entwicklung stetig zu überprüfen.

Kritische Anmerkungen

Argumente vs. Terminologie

Das Gutachten bietet in folgenden Punkten Anlass für Kritik. Dazu sind zunächst die inhaltlichen Argumente von terminologischen Ausführungen zu unterscheiden, was nicht leichtfällt. Aber terminologischer Natur sind zunächst die Ausführungen zum Recht auf informationelle Selbstbestimmung. Dieses Recht ist als genuines Recht kaum begründet:

Die Autoren gehen vom Volkszählungs-Urteil des deutschen Bundesverfassungsgerichts aus, das ein solches Recht gesehen hat. In der Schweiz hat das Bundesgericht den Begriff des Rechts auf informationelle Selbstbestimmung wiederholt verwendet. Die Autoren zeichnen diese Entwicklung nach, ebenso wie die Verweisungen des Gesetzgebers auf diesen Begriff.
Allerdings räumen sie ein, dass der Gehalt dieses Rechts erst durch Auslegung von Art. 13 BV und des einschlägigen Gesetzesrechts erschlossen werden kann. Daraus folgt, dass die informationelle Selbstbestimmung im Kern nur ein Begriff ist, der keine normative Kraft hat; er ist daher bloss eine begriffliche Klammer für das nach den üblichen Regeln auszulegende Verfassungs- und Gesetzesrecht.
Es fragt sich daher, ob der Ausdruck der informationellen Selbstbestimmung wirklich treffend ist – eine zweifelhafte, aber wohl semantische Frage; als Quelle der Auslegung taugt er aber wenig. Die Autoren leiten aus diesem Begriff denn auch kaum eine konkrete Folgerung ab.

Ebenfalls terminologischer Natur sind die Bezugnahmen auf die verschiedenen “Eingriffsmomente” einer Datenbearbeitung. Die Autoren vertreten, dass verschiedene “Eingriffsmomente” einer Datenbearbeitung (bspw. Art der Daten, Bearbeitungszweck, Art und Umfang der Bearbeitung, die weiteren Umstände der Bearbeitung etc., also die “Mittel der Bearbeitung”) je für sich genommen nach Art. 36 BV legitimiert werden müssen, und dass die Bearbeitung zusätzlich auch insgesamgt zumutbar sein muss. Das ist richtig, sagt aber wenig: Ob man die Voraussetzungen von Art. 36 BV auf einzelne Eingriffsmomente oder eine Bearbeitung insgesamt anwendet, spielt keine Rolle; so oder anders ist die Schwere des Eingriffs massgebend, und diese kann sich selbstverständlich aus einzelnen Aspekten wie etwa der Datenspeicherung oder ihrem Zusammenwirken oder beidem ergeben.

Inhaltlicher Punkt: Kontrollverlust

Bei der eigentlichen Prüfung der im Zusammenhang mit einer Cloud-Auslagerung identifizierten Eingriffsmomente und damit dem Kern der Fragestellung kommen die Autoren zum Schluss, dass mit der Auslagerung ein rechtlicher und faktischer Kontrollverlust verbunden ist. Es ist dieser Kontrollverlust, der sie zum Schluss führt, dass die bestehenden gesetzlichen Grundlagen nicht genügen.

Sie beginnen hier mit der Feststellung, dass die bestehenden Gutachten zum Thema mit der niedrigen Wahrscheinlichkeit eines Behördenzugriffs argumentieren, und dies sogar zu Recht, dass sie aber ausser Acht lassen, dass bereits die Speicherung in der Cloud ein eigenes Eingriffselement darstelle, das separat zu prüfen sei.

Das ist konzeptionell sicher richtig, aber nicht neu – wenn die Speicherung eine Gefahr darstellen kann, ist sie selbstverständlich nach den Kriterien von Art. 36 BV zu prüfen, ob man sie als “Eingriffselement” bezeichnet oder nicht. Glass und Schefer gehen von einem mit der blossen Speicherung in einer US-Cloud verbundenen, erhöhten Risiko im Wesentlichen deshalb aus, weil der US CLOUD Act bzw. der durch ihn angepasste Stored Communications Act einen Zugriff in Umgehung der Rechtshilfe, in Verletzung des Transparenz- und des Zweckbindungsgrundsatzes und in Verletzung der Cybercrime Convention ermögliche.

Diese Auslegung des CLOUD Act trifft nicht zu:

Die These, dass eine Speicherung in einer Cloud eines US-Anbieters eine Vorratsdatenhaltung zuhanden der US-Behörden darstelle, beruht auf der Überlegung, dass ein Zugriff nach dem SCA gegen Art. 32 der Cybercrime Convention (CCC) verstosse. Art. 32 CCC sieht vor, dass Behörden eines Vertragsstaats auf Daten im Hoheitsgebiet einer anderen Vertragspartei im Wesentlichen nur mit der Zustimmung derjenigen Person zugreifen dürfen, die über diese Daten verfügen darf (z.B. ein lokaler ISP; dazu BGE 141 IV 108). Allerdings sieht Art. 18 CCC vor, dass auf Daten im Ausland zugreifen darf, wer über diese Daten Besitz oder Kontrolle hat. Das kann Microsoft USA sein, ist aber auch von der konkreten Ausgestaltung der Dienste abhängig. Dies entspricht mehr oder weniger dem SCA (§ 2713), der folglich insoweit nicht gegen in der Schweiz anerkannte Grundregeln verstösst.
Es trifft nicht zu, dass ein Provider im Fall eines Herausgabebefehls den Kunden keinesfalls informieren darf. Das ist von der Rechtsgrundlage des Herausgabebefehls abhängig – bei einer Subpoena oder einer gerichtlichen Anordnung ist die Information zumindest nicht grundsätzlich ausgeschlossen (SCA § 2703(b)(1)).
Unzutreffend ist auch, dass sich ein US-Anbieter nur dann gegen einen Zugriff von US-Behörden gestützt auf den SCA wehren kann, wenn ein Executive Agreement geschlossen wurde. Fehlt es, kann er sich zwar nicht darauf berufen, dass eine Herausgabe das Recht eines anderen Staats verletzen würde, aber es bleibt der Einwand, eine “Comity Analysis” stehe der Herausgabe entgegen (§ 2703(h)(2)(B)(ii) und (3)).
Die Zugriffsmöglichkeiten der Behörden nach dem SCA sind keineswegs “unbegrenzt”, wie die Autoren schreiben. Sie setzen vielmehr voraus, dass ein Warrant, eine Subpoena oder ein Gerichtsbeschluss ergangen sind. Damit ist nichts über die Voraussetzungen dieser Instrumente gesagt, aber sie sind nicht voraussetzungslos und “unbegrenzt” verfügbar.

Auf einige dieser Punkte gehen die Autoren im Addendum ein. Da sie an den Schlussfolgerungen des Gutachtens aber festhalten, bleibt die Kritik relevant.

Was bleibt

Die Argumentation von Glass und Schefer ist grundsätzlich konsistent, indem sie herausarbeiten, dass schwerere Grundrechtseingriffe einer ausdrücklichen gesetzlichen Grundlage bedürfen, d.h. dass hier eine mittelbare gesetzliche Grundlage durch Aufgabenzuweisung nicht mehr ausreichend ist. Dem ist nichts entgegenzuhalten. In der Sache argumentieren sie aber stark – nicht ausschliesslich – mit einer Auslegung des Stored Communications Act, die nicht geteilt werden kann. Entsprechend sind auch ihre Schlussfolgerungen abzulehnen.

Richtig ist aber jedenfalls der Hinweis auf einen gewissen Kontrollverlust und eine Lieferantenabhängigkeit. Ob diese Aspekte für sich genommen nach einer besonderen gesetzlichen Grundlage rufen, lässt das Gutachten offen, weil es eben nicht davon ausgeht, dass nur diese Aspekte massgebend sind.

Damit bleibt es dabei, dass die Risiken eines Behördenzugriffs zu prüfen sind und dass vor allem die Wahrscheinlichkeit des Zugriffs – und natürlich auch das Gewicht seiner Folgen – massgebend sind. Hier halten die Autoren die Rosenthal-Methode nicht für ungeeignet, auch wenn sie gewisse Mängel erkennen (die man aber nicht als Mängel bezeichnen kann; sie sind vielmehr der Methode immanent, die nicht für sich in Anspruch nimmt, alle Fragen zu beantworten). Im Ergebnis kann man also konstatieren, dass das Gutachten auf die Beurteilung von Auslagerungen durch öffentliche Organe keinen Einfluss haben sollte.

Anmerkungen von David Rosenthal

Wie notiert hat auch David Rosenthal ausführliche Anmerkungen zum Gutachten verfasst, die hier abrufbar sind. Soweit sie sich mit den obigen Anmerkungen inhaltlich decken, seien sie hier nicht wiederholt. Er hält aber zusätzlich folgende Punkte fest:

Das schweizerische Recht kennt Herausgabebefehle, die dem SCA vergleichbar sind. Es ist auch deshalb falsch zu sagen, der SCA sei mit Grundsätzen des schweizerischen Rechts schwer vereinbar.
Die im Gutachten empfohlene “end-to-end”-Verschlüsselung für sensible Daten ist zumindest für M365 weder geeignet noch notwendig; einem Behördenzugriff kann auch mit weniger einschneidenden Massnahmen entgegengewirkt werden.
Es ist nicht relevant, ob in den USA ein angemessenes Datenschutzniveau herrscht (was mit dem Privacy Framework auch aus schweizerischer Optik in absehbarer Zeit aber der Fall sein dürfte). Der Kunde gibt Daten an Microsoft in Irland bekannt. Aus den USA erfolgen Zugriffe höchstens ausnahmsweise, und dann nicht zwingend auf Personendaten.
Man kann nicht sagen, eine lokale Speicherung von Personendaten sei sicherer als eine Speicherung in der Cloud. Man muss vielmehr berücksichtigen, dass bei M365 dem “minimalen Kontrollverlust” im Bereich von Behördenzugriffen ein “deutlich höherer ‘Kontrollgewinn’ beim Schutz vor Hackern und anderen Gefahren” gegenübersteht.
Die grundsätzliche Geeignetheit der Methode Rosenthal wird im Gutachten bestätigt. Massgebend bleibt die Eintrittswahrscheinlichkeit eines ausländischen Behördenzugriffs. Diese kann die Methode plausibel darstellen.