Im Rah­men sei­ner Stra­te­gie zu Infor­ma­ti­ons- und Kom­mu­ni­ka­ti­ons­tech­no­lo­gien (IKT-Stra­te­gie, vgl. RRB Nr. 383/2018) hat der Regie­rungs­rat ent­schie­den, die kan­to­na­le Ver­wal­tung mit einem neu­en, digi­ta­len Arbeits­platz (DAP) auszurüsten. […] 

Zu ihrer Auf­ga­ben­er­fül­lung und für die Erbrin­gung von Lei­stun­gen sind die Mit­ar­bei­ten­den der öffent­li­chen Orga­ne auf zeit­ge­mä­sse digi­ta­le Arbeits­mit­tel ange­wie­sen. […] Ver­wen­det wer­den Soft­ware-Anwen­dun­gen wie z.B. die Anwen­dun­gen von Micro­soft 365 (Word, Excel, Power­Point, Out­look, Teams, One­Dri­ve usw.; nach­fol­gend M365). Nicht zum DAP gehö­ren Fach­an­wen­dun­gen (z.B. eine Soft­ware für die Geschäftsverwaltung). […] 

Heu­te wird der Ein­satz von cloud­ba­sier­ten Anwen­dun­gen durch das IDG, die IDV, die IVSV und für kan­to­na­le Orga­ne zudem durch das Gesetz über die Aus­la­ge­rung von Infor­ma­tik­dienst­lei­stun­gen vom 23. August 1991 (LS 172.71) erfasst. […] In die­ser Kon­stel­la­ti­on darf das öffent­li­che Organ Per­so­nen­da­ten gemäss der Rege­lung im E‑IDG gemäss Vor­la­ge 5923 nur dann bekannt­ge­ben, wenn (a) eine gesetz­li­che Grund­la­ge dies erlaubt und dies dem Schutz der Inter­es­sen der betrof­fe­nen Per­son oder über­wie­gen­den öffent­li­chen Inter­es­sen dient, (b) im Emp­fän­ger­staat ein ange­mes­se­ner Schutz für die Daten­be­ar­bei­tung gewähr­lei­stet ist oder (c) das öffent­li­che Organ mit den Emp­fän­ge­rin­nen und Emp­fän­gern ange­mes­se­ne Sicher­heits­vor­keh­run­gen ver­ein­bart hat.

Die umfang­rei­che Aus­la­ge­rung von Daten des Staa­tes in eine von einer aus­län­di­schen Cloud-Anbie­te­rin betrie­be­ne und kon­trol­lier­te Cloud-Infra­struk­tur bringt ver­schie­de­ne, viel­fach noch offe­ne Rechts­fra­gen mit sich:

• Einer­seits wirft die Aus­la­ge­rung Fra­gen des Grund­rechts­schut­zes auf, weil eine Aus­la­ge­rung in die Cloud ein schwe­rer Ein­griff in den ver­fas­sungs­recht­li­chen Per­sön­lich­keits­schutz (Art. 13 Abs. 2 BV) dar­stel­len kann. Mit der Aus­la­ge­rung ist ein Kon­troll­ver­lust gegen­über der Cloud-Anbie­te­rin ver­bun­den, weil die Nach­voll­zieh­bar­keit der Daten­be­ar­bei­tung und die Durch­set­zung von Kon­troll­rech­ten der Betrof­fe­nen erschwert wer­den. Zudem resul­tiert ein Kon­troll­ver­lust gegen­über aus­län­di­schen Behör­den, wenn die­se auf­grund der aus­län­di­schen Rechts­la­ge (vgl. z.B. den US CLOUD Act bzw. den Stored Com­mu­ni­ca­ti­ons Act [sog. lawful access]) die Cloud-Anbie­te­rin zur Her­aus­ga­be von in der Cloud gespei­cher­ten Daten ver­pflich­ten kön­nen. Die­se Pro­ble­ma­tik besteht unab­hän­gig von der Wahr­schein­lich­keit eines Daten­zu­griffs durch aus­län­di­sche Behör­den und dem Stand­ort der Server.
• Ander­seits gilt es, die daten­schutz­recht­li­chen Bestim­mun­gen, die Vor­ga­ben zum Schutz der Infor­ma­ti­ons­si­cher­heit der jewei­li­gen Orga­ni­sa­ti­ons­ein­heit sowie des Amts­ge­heim­nis­ses zu beach­ten (Art. 320 Schwei­ze­ri­sches Straf­ge­setz­buch, SR 311.0) und sen­si­ble Infor­ma­tio­nen durch beson­de­re Mass­nah­men zu schüt­zen (§ 7 IDG).

Im Kan­ton Zürich ist die Nut­zung von M365 für den DAP in der kan­to­na­len Ver­wal­tung grund­sätz­lich vor­ge­se­hen (RRB Nr. 542/2022, Dis­po­si­tiv I). Der Beschluss gilt für alle der IKT-Stra­te­gie unter­ste­hen­den Organisationseinheiten1 sowie für die Kan­tons­po­li­zei. Die Direk­tio­nen und die Staats­kanz­lei sind beauf­tragt, zu beur­tei­len, ob orga­ni­sa­ti­ons­spe­zi­fi­sche Rege­lun­gen not­wen­dig sind und im Bedarfs­fall sol­che zu erlas­sen (RRB Nr. 542/2022, Dis­po­si­tiv III). Die Finanz­di­rek­ti­on erliess am 27. Janu­ar 2023 für die Kan­tons­ver­wal­tung die All­ge­mei­ne Nut­zungs­richt­li­nie Micro­soft 365. Die­se kon­kre­ti­siert Grund­sät­ze und Regeln der Daten­be­ar­bei­tung im DAP.

Für die Gemein­den bestehen noch kei­ne ent­spre­chen­den kan­to­nal­recht­li­chen Vor­ga­ben. Der Bund und ande­re Kan­to­ne bzw. ausser­kan­to­na­le Gemein­den hand­ha­ben die Nut­zung von Cloud-Dien­sten, ins­be­son­de­re von M365, nter­schied­lich. In der Leh­re zeich­net sich noch kei­ne ein­heit­li­che Mei­nung ab. Ein im Auf­trag der Zusam­men­ar­beits­or­ga­ni­sa­ti­on egov­part­ner erstell­tes und am 6. Juli 2023 erstat­te­tes Gut­ach­ten bestä­tigt den in der All­ge­mei­nen Nut­zungs­richt­li­nie Micro­soft 365 ver­folg­ten Ansatz der kan­to­na­len Ver­wal­tung auch für die Zür­cher Gemein­den. Gleich­zei­tig emp­fiehlt das Gut­ach­ten, die Bestim­mun­gen über die Daten­be­ar­bei­tung mit­tels M365 in gesetz­li­cher Form zu ver­an­kern (Mar­kus Schefer/Philipp Glass, Gut­ach­ten zum grund­rechts­kon­for­men Ein­satz von M365 durch die Gemein­den im Kan­ton Zürich vom 6. Juli 2023
zuhan­den von egov­part­ner).

Gestützt auf die obi­gen recht­li­chen Über­le­gun­gen und auf­grund der Rück­mel­dun­gen zu die­sem Recht­set­zungs­vor­ha­ben soll mit § 17 VE-Gesetz über digi­ta­le Basis­dien­ste eine gesetz­li­che Grund­la­ge für cloud­ba­sier­te Anwen­dun­gen im Rah­men des DAP geschaf­fen wer­den. Nicht Gegen­stand der Bestim­mung bil­den cloud­ba­sier­te Dien­ste, die ausser­halb des DAP ver­wen­det wer­den (z.B. im Rah­men von Fach­an­wen­dun­gen), sowie loka­le Anwen­dun­gen (z.B. die Office-365-Apps wie Word, sofern sie lokal genutzt wer­den). Die Rege­lung von § 17 VE-Gesetz über digi­ta­le Basis­dien­ste beinhal­tet auch die Bear­bei­tung von Per­so­nen­da­ten und Infor­ma­tio­nen, wel­che aus einer Fach­an­wen­dung stam­men, im Rah­men der cloud­ba­sier­ten Appli­ka­tio­nen des DAP. So dür­fen die Mit­ar­bei­ten­den der öffent­li­chen Orga­ne z.B. einen cloud­ba­sier­ten E‑Mail-Dienst nut­zen, um mit­ein­an­der zu kom­mu­ni­zie­ren, und dabei Per­so­nen­da­ten und Infor­ma­tio­nen aus Fach­an­wen­dun­gen wie z.B. der Geschäfts­ver­wal­tungs­soft­ware bear­bei­ten. § 17 VEGe­setz über digi­ta­le Basis­dien­ste stellt dabei für unter­schied­li­che Kate­go­rien von Per­so­nen­da­ten und Infor­ma­tio­nen unter­schied­lich stren­ge Anfor­de­run­gen an die Verschlüsselung.

Die Bestim­mung zum DAP rich­tet sich an öffent­li­che Orga­ne, wel­che cloud­ba­sier­te Anwen­dun­gen im Rah­men des DAP nut­zen wol­len. Ob und bis zu wel­chem Grad sie Cloud-Dien­ste nut­zen wol­len, liegt in ihrer gege­be­nen­falls bestehen­den Orga­ni­sa­ti­ons­au­to­no­mie; es ist ohne Wei­te­res zuläs­sig, wenn ein öffent­li­ches Organ z.B. dar­auf ver­zich­tet, beson­de­re Per­so­nen­da­ten in der Cloud zu bearbeiten.

Ein­zel­er­läu­te­run­gen

Zusätz­lich zu die­sen all­ge­mei­nen Erläu­te­run­gen ent­hält der Ent­wurf fol­gen­de Ein­zel­er­läu­te­run­gen zum vor­ge­schla­ge­nen § 17:

Zu Abs. 1 im Allgemeinen:

§ 17 Abs. 1 VE-Gesetz über digi­ta­le Basis­dien­ste bil­det die gesetz­li­che Grund­la­ge dafür, dass das öffent­li­che Organ, wel­ches im Rah­men des DAP cloud­ba­sier­te Anwen­dun­gen nut­zen möch­te, die Bear­bei­tung von Infor­ma­tio­nen an die Cloud-Anbie­te­rin zur cloud­ba­sier­ten Bear­bei­tung über­tra­gen kann. Die Bestim­mung kon­kre­ti­siert und ergänzt die Vor­ga­ben in § 6 IDG bzw. § 9 E‑IDG im Hin­blick auf die cloud­ba­sier­ten Anwen­dun­gen des DAP.

Zunächst hält § 17 Abs. 1 VE-Gesetz über digi­ta­le Basis­dien­ste gene­rell fest, dass sich der Stand­ort der Ser­ver auf dem Gebiet der Schweiz oder der Euro­päi­schen Uni­on befin­den muss. Ein Zugriff auf die Daten durch einen Dritt­staat ist damit nicht aus­ge­schlos­sen. Aller­dings kann zumin­dest eine phy­si­sche Beschlag­nah­mung der Ser­ver unter Umge­hung der Rechts­hil­fe ver­hin­dert werden.

Sodann nimmt die Bestim­mung eine Zwei­tei­lung vor in (1) beson­de­re Per­so­nen­da­ten und ver­trau­li­che sowie der Geheim­hal­tung unter­lie­gen­de Infor­ma­tio­nen (§ 17 Abs. 1 lit. a VE-Gesetz über digi­ta­le Basis­dien­ste) und (2) Infor­ma­tio­nen, die geschäft­lich als «öffent­lich» oder «intern» klas­si­fi­ziert sind, sowie «nor­ma­le» (d.h. nicht
beson­de­re) Per­so­nen- und Sach­da­ten (§ 17 Abs. 1 lit. b VE-Gesetz über digi­ta­le Basisdienste):

• Kate­go­rie 1 (lit. a): Bei Infor­ma­tio­nen und Per­so­nen­da­ten der Kate­go­rie 1 ste­hen recht­li­che Bestim­mun­gen der Über­tra­gung der Infor­ma­ti­ons­be­ar­bei­tung an eine Cloud-Anbie­te­rin an sich ent­ge­gen (§ 6 Abs. 1 IDG und § 9 Abs. 1 E‑IDG; vgl. die Erläu­te­run­gen zu § 17 Abs. 1 lit. a VE-Gesetz über digi­ta­le Basis­dien­ste). Zuläs­sig ist eine Über­tra­gung bei sol­chen Infor­ma­tio­nen nur dann, wenn sie auch gegen­über der Cloud-Anbie­te­rin wirk­sam ver­schlüs­selt sind; liegt das Schlüs­sel­ma­nage­ment hin­ge­gen bei der Cloud-Anbie­te­rin oder hat die­se ander­wei­tig Zugriff auf die Schlüs­sel, besteht kei­ne wirk­sa­me Ver­schlüs­se­lung. Weil eine sol­che Ver­schlüs­se­lung die Kennt­nis­nah­me durch die Clou­dAn­bie­te­rin oder durch einen aus­län­di­schen Staat unter­bin­det, ist die Über­tra­gung an eine Clou­dAn­bie­te­rin den­noch zuläs­sig (vgl. auch Domi­ni­ka Blon­ski, Cloud – alles Risi­ko? Recht­li­che Vor­ga­ben für die Aus­la­ge­rung von Daten­be­ar­bei­tun­gen in die Cloud, SJZ 2023, S. 993 ff., 997).
• Kate­go­rie 2 (lit. b): Bei Infor­ma­tio­nen und Per­so­nen­da­ten der Kate­go­rie 2 soll eine Über­tra­gung der Infor­ma­ti­ons­be­ar­bei­tung an eine Cloud-Anbie­te­rin dem­ge­gen­über grund­sätz­lich zuläs­sig sein. Auch sol­che Infor­ma­tio­nen soll­ten ver­schlüs­selt wer­den; aller­dings genü­gen inso­fern weni­ger stren­ge Vor­ga­ben, als die Ver­schlüs­se­lung nicht auch gegen­über der Cloud-Anbie­te­rin wirk­sam sein muss bzw. ein Schlüs­sel­ma­nage­ment durch die Cloud-Anbie­te­rin (und damit auch ein ein­sei­ti­ger Zugriff durch die Cloud-Anbie­te­rin) mög­lich bleibt. Das öffent­li­che Organ muss gemäss § 17 Abs. 1 lit. b VE-Gesetz über digi­ta­le Basis­dien­ste aber alle zumut­ba­ren orga­ni­sa­to­ri­schen, tech­ni­schen und vertraglichen
  Mass­nah­men zur Mini­mie­rung des Risi­kos einer Bekannt­ga­be tref­fen und das ver­blei­ben­de Rest­ri­si­ko muss als ver­tret­bar erschei­nen (vgl. die Erläu­te­run­gen zu § 17 Abs. 1 lit. b VE-Gesetz über digi­ta­le Basis­dien­ste). Wenn aus­län­di­sche Behör­den – z.B. der USA auf­grund des US CLOUD Act – auf die­se Daten zugrei­fen, erfolgt eine grenz­über­schrei­ten­de Bekannt­ga­be im Sin­ne von § 19 IDG bzw. § 36 E‑DG. Mit § 17 Abs. 1 VE-Gesetz über digi­ta­le Basis­dien­ste wird die gesetz­li­che Grund­la­ge für eine sol­che Bekannt­ga­be geschaf­fen, die gemäss § 19 lit. b IDG bzw. § 36 lit. a E‑IDG erfor­der­lich ist, wenn das Über­ein­kom­men vom 28. Janu­ar 1981 zum Schutz des Men­schen bei der auto­ma­ti­schen Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten nicht gilt.

Mit­tels einer dif­fe­ren­zier­ten Rege­lung sol­len die genann­ten cloud­ba­sier­ten Anwen­dun­gen in einer mög­lichst grund­rechts­kon­for­men Wei­se genutzt wer­den kön­nen. Die Rege­lung nimmt die heu­te auf Kan­tons­ebe­ne bestehen­de Rege­lung der All­ge­mei­nen Nut­zungs­richt­li­nie auf for­mell-gesetz­li­cher Ebe­ne auf.

Zu Abs. 1 lit. a:

Die Bear­bei­tung von beson­de­ren Per­so­nen­da­ten sowie von Infor­ma­tio­nen, die ver­trau­lich sind oder der
Geheim­hal­tung unter­lie­gen, soll grund­sätz­lich mit­tels loka­ler Anwen­dun­gen statt­fin­den. Erfasst sind die fol­gen­den Informationen:

• Beson­de­re Per­so­nen­da­ten: Der Begriff der beson­de­ren Per­so­nen­da­ten ist gleich aus­zu­le­gen wie in § 3 Abs. 4 IDG bzw. § 5 Abs. 4 E‑IDG. Dazu gehö­ren nament­lich Per­so­nen­da­ten, die durch beson­de­re Amts­ge­heim­nis­se geschützt sind. Beson­de­re Per­so­nen­da­ten sind etwa Infor­ma­tio­nen über die Inan­spruch­nah­me von Sozi­al­hil­fe­lei­stun­gen (§ 3 Abs. 4 lit. a Ziff. 3 E‑IDG). Die­se Infor­ma­tio­nen sind durch das Sozi­al­hil­fe­ge­heim­nis geschützt (§ 47 Sozi­al­hil­fe­ge­setz, LS 851.1).
• Ver­trau­li­che und der Geheim­hal­tung unter­lie­gen­de Infor­ma­tio­nen: Die Umschrei­bung umfasst einer­seits Infor­ma­tio­nen, die geschäft­lich als «ver­trau­lich» oder «geheim» klas­si­fi­ziert sind. Ander­seits sind Infor­ma­tio­nen erfasst, wel­che auf­grund eines beson­de­ren (d.h. nicht bloss des all­ge­mei­nen) Amts­ge­heim­nis­ses oder eines Berufs­ge­heim­nis­ses der Geheim­hal­tung unter­lie­gen. Teils han­delt es sich dabei um beson­de­re Per­so­nen­da­ten (so z.B. Per­so­nen­da­ten, die durch das Sozi­al­hil­fe­ge­heim­nis geschützt sind [vgl. § 3 Abs. 4 lit. a Ziff. 3 IDG]).

Die vor­ge­schla­ge­ne Rege­lung schliesst es nicht aus, dass beson­de­re Per­so­nen­da­ten sowie ver­trau­li­che und der Geheim­hal­tung unter­lie­gen­de Infor­ma­tio­nen mit­tels cloud­ba­sier­ter Anwen­dun­gen bear­bei­tet wer­den. Aller­dings muss das öffent­li­che Orga­ne die­se Infor­ma­tio­nen gemäss der vor­ge­schla­ge­nen Lösung wirk­sam ver­schlüs­seln. Wirk­sam ist eine Ver­schlüs­se­lung, wenn sie auch gegen­über der Cloud-Anbie­te­rin besteht, was etwa bei der sog. Dou­ble Key Encrip­ti­on (DKE) der Fall ist. Die Ver­schlüs­se­lung muss es aus­schlie­ssen, dass die Cloud-Anbie­te­rin ohne Mit­wir­kung des öffent­li­chen Organs Kennt­nis von den Infor­ma­tio­nen erlan­gen kann. Dies soll eine Kennt­nis­nah­me unter Umge­hung der Regeln der inter­na­tio­na­len Rechts­hil­fe sowie ohne Gewähr­lei­stung von Kon­troll- und Ver­fah­rens­rech­ten ver­un­mög­li­chen. Erfor­der­lich ist damit, dass die Schlüs­sel­ho­heit beim öffent­li­chen Organ ver­bleibt und somit nur ein ein­sei­ti­ger Zugriff durch das öffent­li­che Organ mög­lich ist; das öffent­li­che Organ darf eine Auf­trag­neh­me­rin oder einen Auf­trag­neh­mer mit der Ver­wal­tung der Schlüs­sel beauf­tra­gen (sog. Cloud Access Secu­ri­ty Bro­ker [CASB]), sofern es sich dabei nicht um die Cloud-Anbie­te­rin han­delt und es aus­ge­schlos­sen ist, dass die Cloud-Anbie­te­rin oder Drit­te mit mög­li­chem Zugriff auf die Daten (ins­be­son­de­re eine aus­län­di­sche Behör­de) die Schlüs­sel von der Auf­trag­neh­me­rin bzw. vom Auf­trag­neh­mer her­aus­ver­lan­gen kön­nen. Ver­schlüs­selt eine Cloud-Anbie­te­rin die Daten selbst und/oder hat sie Zugang zu den Schlüs­seln (im Fall von Micro­soft etwa der Micro­soft-Mana­gedKey [MMK]), genügt dies nicht für die in § 17 Abs. 1 lit. a VE-Gesetz über digi­ta­le Basis­dien­ste genann­ten Informationen.

Zu Abs. 1 lit. b:

Ohne Ver­schlüs­se­lung gegen­über der Cloud-Anbie­te­rin zuläs­sig bleibt die Bear­bei­tung von Infor­ma­tio­nen gemäss § 17 Abs. 1 lit. b VE-Gesetz über digi­ta­le Basis­dien­ste. Die­se Bestim­mung betrifft alle von § 17 Abs. 1 lit. a VE-Gesetz über digi­ta­le Basis­dien­ste nicht erfass­ten Infor­ma­tio­nen, d.h. die «nor­ma­len» Per­so­nen­da­ten sowie Infor­ma­tio­nen, die geschäft­lich als «öffent­lich» oder «intern» klas­si­fi­ziert sind und nicht einem beson­de­ren Amts­ge­heim­nis oder dem Berufs­ge­heim­nis unter­ste­hen. Bei die­sen Infor­ma­tio­nen gilt inso­fern ein risi­ko­ba­sier­ter Ansatz, als das öffent­li­che Organ gemäss § 17 Abs. 1 lit. b VE-Gesetz über digi­ta­le Basis­dien­ste alle zumut­ba­ren orga­ni­sa­to­ri­schen, tech­ni­schen und ver­trag­li­chen Mass­nah­men zur Mini­mie­rung des Risi­kos einer Bekannt­ga­be tref­fen muss und das ver­blei­ben­de Rest­ri­si­ko als ver­tret­bar erscheint.

Was die zu tref­fen­den tech­ni­schen, orga­ni­sa­to­ri­schen und ver­trag­li­chen Mass­nah­men angeht, erge­ben sich die Anfor­de­run­gen aus der Daten­schutz­ge­setz­ge­bung (ins­be­son­de­re § 7 IDG) und inter­nen Umset­zungs­vor­ga­ben, die im Ein­zel­fall – je nach Sen­si­ti­vi­tät der betrof­fe­nen Infor­ma­tio­nen – unter­schied­lich streng sein kön­nen. In tech­ni­scher Hin­sicht genügt eine Ver­schlüs­se­lung. Gemein­sa­mer Zweck der ent­spre­chen­den Mass­nah­men ist letzt­lich, dass das öffent­li­che Organ sei­ne Ver­ant­wor­tung (§ 6 Abs. 2 IDG bzw. § 9 Abs. 2 E‑IDG) auch tat­säch­lich wahr­neh­men kann.

Sodann erwähnt die Bestim­mung das Rest­ri­si­ko, wel­ches im Rah­men einer Risi­ko­ana­ly­se zu beur­tei­len ist. In einem ersten Schritt ist des­sen Ein­tre­tens­wahr­schein­lich­keit abzu­schät­zen. In einem zwei­ten Schritt ist das Rest­ri­si­ko als ver­tret­bar oder nicht ver­tret­bar zu bewer­ten; die Bestim­mung zählt in nicht abschlie­ssen­der Wei­se Aspek­te auf, die dabei mit­ein­zu­be­zie­hen sind:

• Die Bestim­mung nimmt Bezug auf die Bedeu­tung der Infor­ma­ti­on und gibt damit vor, dass die Abwä­gung stets mit Blick auf die kon­kre­ten Infor­ma­tio­nen vor­ge­nom­men wer­den muss. Sie kann für ver­schie­de­ne Infor­ma­tio­nen unter­schied­lich aus­fal­len, z.B. je nach­dem wie sen­si­tiv die ent­spre­chen­den Infor­ma­tio­nen sind. Zu berück­sich­ti­gen ist auch, dass die­sel­be Infor­ma­ti­on in unter­schied­li­chen Zusam­men­hän­gen und je nach Ver­knüp­fung mit ande­ren Infor­ma­tio­nen unter­schied­lich sen­si­tiv sein kann.
• Zu berück­sich­ti­gen sind wei­ter der Bear­bei­tungs­zweck, d.h. die öffent­li­che Auf­ga­be, zu deren Erfül­lung die Infor­ma­tio­nen bear­bei­tet wer­den, und die Art und Wei­se der Bear­bei­tung. Bei der Art und Wei­se des Bear­bei­tens rele­vant sind bei­spiels­wei­se die Inten­si­tät (Anzahl Daten­sät­ze, Anzahl betrof­fe­ne Per­so­nen) und die Dau­er der Bear­bei­tung, die Spei­che­rung von Daten, der Ein­satz von Tech­no­lo­gien der Künst­li­chen Intel­li­genz usw.
• Die Nut­zung von Cloud-Dien­sten wirkt sich auf die Grund­rech­te der­je­ni­gen Per­so­nen aus, wel­che die über­tra­ge­nen Infor­ma­tio­nen bzw. Per­so­nen­da­ten betref­fen, weil sie mit einem recht­li­chen und fak­ti­schen Kon­troll­ver­lust ver­bun­den ist. Die­ser Kon­troll­ver­lust ist erhöht, wenn die Cloud-Anbie­te­rin nicht nur dem schwei­ze­ri­schen Recht unter­ste­hen. Wenn die Cloud-Anbie­te­rin aus­län­di­schen Regu­lie­run­gen (z.B. dem US CLOUD Act) unter­steht, besteht ein Risi­ko, dass ein Dritt­staat auf die Infor­ma­tio­nen zugreift und gemäss dem aus­län­di­schen Recht kei­ne bzw. im Ver­gleich zum schwei­ze­ri­schen Recht nur ein­ge­schränk­te Rechts­be­hel­fe gegen die­sen Zugriff bestehen. Auch das Durch­füh­ren von Kon­trol­len wird erschwert. Somit führt die Über­tra­gung der Bear­bei­tung von Infor­ma­tio­nen an eine Cloud-Anbie­te­rin zu recht­li­chen und fak­ti­schen Ein­schrän­kun­gen der Kon­troll­rech­te über die Bear­bei­tung sowie zum Risi­ko der Daten­be­kannt­ga­be ins Ausland.

Für die Nut­zung von Cloud-Dien­sten spricht dem­ge­gen­über regel­mä­ssig der Aspekt der Effi­zi­enz der Auf­ga­ben­er­fül­lung. Die Ein­füh­rung von cloud­ba­sier­ten Anwen­dun­gen ermög­licht eine fle­xi­ble und ska­lier­ba­re Arbeits­in­fra­struk­tur auf dem Stand der Tech­nik. Dabei wird auch eine Opti­mie­rung der Ver­wal­tungs­ab­läu­fe und eine Stei­ge­rung der Kosten­ef­fi­zi­enz erwar­tet. Fer­ner wird davon aus­ge­gan­gen, dass die Nut­zung von exter­nen Cloud-Dien­sten die Sicher­heit erhöht, weil die Cloud-Anbie­te­rin­nen Sicher­heits­vor­keh­run­gen tref­fen, wel­che die Sicher­heits­mass­nah­men der Nut­ze­rin­nen und Nut­zer beim loka­len Gebrauch von Anwen­dun­gen über­stei­gen. Umge­kehrt ist mit jeder Über­tra­gung immer ein Risi­ko für die Infor­ma­ti­ons­si­cher­heit ver­bun­den. Dies gilt etwa mit Blick auf das Risi­ko der fal­schen Hand­ha­bung der Cloud-Ser­vices durch die Nutzenden
beim öffent­li­chen Organ; wobei die­ses Risi­ko umge­kehrt frei­lich auch beim loka­len Gebrauch bzw. beim Gebrauch von IT-Anwen­dun­gen ins­ge­samt besteht.

Zu Abs. 2:

Der VE-Gesetz über digi­ta­le Basis­dien­ste kon­kre­ti­siert und ergänzt die Bestim­mun­gen zur Infor­ma­ti­ons­be­ar­bei­tung im Auf­trag (§ 6 IDG bzw. § 9 E‑IDG), zur Infor­ma­ti­ons­si­cher­heit (§ 7 IDG bzw. § 10 E‑IDG) sowie zur Daten­schutz-Fol­gen­ab­schät­zung (§ 10 IDG bzw. § 32 E‑IDG). Er bil­det zudem im Fal­le der Infor­ma­tio­nen gemäss § 17 Abs. 1 lit. b VE-Gesetz über digi­ta­le Basis­dien­ste eine gesetz­li­che Grund­la­ge im Sin­ne von § 19 lit. b IDG bzw. § 36 lit. a E‑IDG. Die Bestim­mun­gen des IDG bzw. E‑IDG und des VE-Gesetz über digi­ta­le Basis­dien­ste kom­men kumu­la­tiv zur Anwen­dung, was mit dem dekla­ra­to­ri­schen Ver­weis in § 17 Abs. 2 VE-Gesetz über digi­ta­le Basis­dien­ste klar­ge­stellt wird.