Jusletter IT

Am 18. März 2016 wurde das revidierte BÜPF¹ von den Räten verabschiedet. Am 7. Juli 2016 lief die Frist zur Einreichung des Referendums ab,² ohne dass die notwendige Anzahl beglaubigter Unterschriften eingereicht wurde.³ Das revidierte BÜPF (nachfolgend «nBÜPF») wird somit in absehbarer Zeit in Kraft treten: Sofern die für Frühjahr 2017 vorgesehene Vernehmlassung zu den Ausführungsbestimmungen nicht noch zu Überraschungen führt, dürfte das Gesamtpaket gemäss Behördenauskunft per 2018 in Kraft treten.

Aufgrund der kontrovers geführten Diskussion lohnt sich jedoch bereits jetzt ein kurzer Blick auf einige relevante Bestimmungen. Wir rekapitulieren dazu kurz die Entstehungsgeschichte des nBÜPF und greifen dann die am stärksten diskutierten Punkte auf – ohne Anspruch auf Vollständigkeit. Eine umfassendere Beurteilung wird erst mit Vorliegen der Ausführungsbestimmungen möglich sein.⁴

Auf die aktuelle Revision des Nachrichtendienstgesetzes (NDG) gehen wir in diesem Beitrag nicht ein. Zur Abgrenzung der beiden Gesetze nur soviel: Beim NDG steht die präventive Überwachung durch den Nachrichtendienst des Bundes in verschiedensten Formen und ohne konkreten Verdacht auf eine Straftat im Zentrum. Das BÜPF hingegen dient dazu, den Strafverfolgungsbehörden im Rahmen konkreter Strafverfahren den Zugriff auf bestimmte Kommunikations- und Randdaten des Post- und Fernmeldeverkehrs zu ermöglichen. 

Das zurzeit (noch) gültige BÜPF (nachfolgend «aBÜPF») trat am 1. Januar 2002 in Kraft,⁵ basierend auf der Botschaft vom 1. Juli 1998.⁶ Die technologische Entwicklung, insbesondere im Bereich der Mobilkommunikation, der IP-basierten Kommunikation (VoIP, Messenger, Whatsapp, etc.) sowie der Verschlüsselungstechnik führten zu einer immer grösseren Diskrepanz zwischen dem technisch Möglichen (sowohl auf Seiten der Überwachten wie der Überwacher) und dem rechtlich Geregelten. Um dem Abhilfe zu schaffen, wurde wenige Jahre nach dem Inkrafttreten des aBÜPF bereits dessen Revision ins Auge gefasst.

Im März 2006 beauftragte der Bundesrat das UVEK und das EJPD mit der Klärung der offenen Fragen. Das EJPD erstellte dazu einen Bericht und beauftragte im Mai 2007 das BJ mit der Ausarbeitung eines Vorentwurfs («VE-BÜPF») inklusive erläuterndem Bericht. Das BJ setzte im September 2008 eine breitgefächerte Expertengruppe ein. Im Mai 2010 gab der Bundesrat den VE-BÜPF und den erläuternden Bericht in die Vernehmlassung (bis August 2010). Die Stellungnahmen wurden in einem Bericht vom Mai 2011 zusammengefasst und flossen in den Entwurf («E-BÜPF») und die Botschaft vom 27. Februar 2013 ein.⁷

In den Räten wurde die Vorlage im März 2014 (Ständerat) und Juni 2015 (Nationalrat) behandelt und bildete von Dezember 2015 bis März 2016 Gegenstand des Differenzbereinigungsverfahrens. Im März 2016 wurde das BÜPF dann in der vorliegenden Form verabschiedet. Beide Räte änderten relevante Punkte des Entwurfs und führten zum Teil neue Bestimmungen ein. Dabei standen sie unter starker Beobachtung der Presse und Bevölkerung, sensibilisiert durch diverse aktuelle Enthüllungen und Entwicklungen in diesem heiklen Bereich (vgl. unten Ziff. II.4).

Mit der fortschreitenden Entwicklung der Telekommunikation, der Mobilkommunikation und des mobilen Internetzugangs entstand Klärungsbedarf, ob und in welchem Ausmass solche neuen Kommunikationsformen überwacht werden konnten. Fraglich war insbesondere, bezüglich welcher Kommunikationsformen eine Vorleistungspflicht der Anbieter zur Erstellung der Überwachungsbereitschaft bestand.⁸

Aufgrund der Vernehmlassung zum VE-BÜPF zeichnete sich ab, dass nicht mit einer schnellen Umsetzung der Gesetzesrevision zu rechnen war. Der Bundesrat zog deshalb die Revision der VÜPF⁹ (und der GebV-ÜPF¹⁰) zeitlich vor und sah darin – in rechtsstaatlich nicht unbedenklicher Weise – erweiterte Regelungen zur Überwachung im Internet-Bereich vor.¹¹ Immerhin wurde die bereits im Entwurf zur revidierten VÜPF vorgesehene Ausweitung des persönlichen Geltungsbereichs von Zugangs- auch auf reine Dienste-Anbieter im Internet wieder fallengelassen – zumindest im Rahmen der zeitlich vorgezogenen VÜPF-Revision.¹² Ein zweiter Versuch, den Geltungsbereich auszuweiten, erfolgte dann – erfolgreicher – im Rahmen der BÜPF-Revision (vgl. unten Ziff. III.1).

Die von der Schweiz bereits 2001 unterzeichnete CyberCrimeConvention (CCC)¹³ trat für die Schweiz per 1. Januar 2012 in Kraft. Um den darin vorgeschriebenen Verpflichtungen zur Echtzeitüberwachung (Art. 20–21 CCC) gerecht zu werden, wurden in Art. 16 VÜPF (Telefon) und Art. 24a VÜPF (Internet) neue Bestimmungen zur Echtzeit-Überwachung eingeführt. Damit einher gingen neue Pflichten zur Bereitstellung entsprechender Schnittstellen gemäss Spezifikation durch den Dienst ÜPF¹⁴ (Art. 17 Abs. 4–5 und Art. 25 Abs. 4–5 VÜPF) sowie zur Sicherstellung einer 24/7-Bereitschaft (Art. 18 Abs. 3 und Art. 26 Abs. 3 VÜPF).

Es waren dann insbesondere diese Bereitstellungspflichten, die bei der (nunmehr im Rahmen der BÜPF-Revision beabsichtigten) Ausweitung des persönlichen Geltungsbereichs auf grossen Widerstand der Dienste-Anbieter stiessen (vgl. dazu unten Ziff. III.1). Durch die Ausweitung des persönlichen Geltungsbereichs wären nämlich auch solche reinen Dienste-Anbieter neu der kostenintensiven Bereitstellungs- und Bereitschaftspflicht unterworfen worden.

Zwischen der Botschaft (Februar 2013) und der Behandlung in den Räten (ab März 2014) sorgten ab Juni 2013 die Snowden-Enthüllungen zum Überwachungseifer der amerikanischen (NSA) und britischen Abhörbehörden (GCHQ) für weltweite Schlagzeilen. Zudem erging, kurz nachdem der Ständerat als Erstrat die Vorlage im März 2014 beraten hatte, ein Urteil des Europäischen Gerichtshofs (EuGH) zur Vorratsdatenspeicherung. Darin erklärte der EuGH die «Vorratsdatenspeicherungs-Richtlinie»¹⁵ als mit der Europäischen Grundrechtecharta¹⁶ nicht vereinbar.¹⁷ Das EuGH-Urteil erklärte zwar nicht die Vorratsdatenspeicherung per se für unzulässig, sondern stellte nur fest, dass die Richtlinie den Kriterien der Verhältnismässigkeit nicht zu genügen vermöge.¹⁸ In der für Datenschutzaspekte mittlerweile (über)sensibilisierten Öffentlichkeit wurde das EuGH-Urteil jedoch schnell mit einem generellen Verbot der Vorratsdatenspeicherung gleichgesetzt.

Dies führte nicht nur zu einer starken öffentlichen Beachtung der parlamentarischen Beratungen, sondern auch zu spezifischen Vorstössen wie dem Vorschlag einer Vorschrift, dass die Speicherungspflichtigen die erfassten Daten innerhalb der Schweiz zu speichern haben (vgl. dazu unten III.4).¹⁹

Vor diesem Hintergrund vermag es nicht zu erstaunen, dass gegen das nBÜPF das Referendum ergriffen wurde. Damit wäre zumindest eine «Gnadenfrist» bis zum Inkrafttreten verbunden gewesen, wenn nicht gar eine gänzliche Aufhebung. Dem vor allem von der IT-Branche und technologienahen Gruppierungen getragenen Referendumskomitee gelang es aber schlussendlich nicht, bis zum Ablauf der Referendumsfrist am 7. Juli 2016 die nötigen Unterschriften beizubringen.²⁰ Das nBÜPF wird somit in der von den Räten verabschiedeten Form (nach Erlass der Ausführungsbestimmungen) in absehbarer Zeit in Kraft treten.

Höchste Zeit also, sich die kritischen Punkte nochmals vor Augen zu führen und zu rekapitulieren, was in den Räten dazu diskutiert wurde – und vor allem, was letztlich jeweils entschieden wurde. Im Vordergrund sollen dabei die praktischen Aspekte der neuen gesetzlichen Regelung stehen, nicht die zugrundeliegenden Grundrechtsfragen.

Im aBÜPF finden die Überwachungspflichten nur Anwendung auf die meldepflichtigen Post- und Fernmeldedienste-Anbieter sowie «Internet-Anbieterinnen» (Art. 1 Abs. 2 aBÜPF). Unter diesen Begriff fallen nur Zugangs-Anbieter («Access Provider»), nicht aber reine Dienste-Anbieter («Service Provider»).²¹ Dies war zuerst umstritten,²² wurde dann aber mit der VÜPF-Revision 2012 geklärt.²³

Um auch die Überwachung solcher Kommunikation zu ermöglichen, die über Dienste geführt wird, die von reinen Dienste-Anbietern zur Verfügung gestellt werden (d.h. solchen, die nicht zugleich auch als Zugangs-Anbieter tätig sind), sollte gemäss VE-BÜPF der Geltungsbereich auch auf Dienste-Anbieter (und weitere an der Bereitstellung der Kommunikations-Infrastruktur Beteiligte) ausgeweitet werden (Art. 2 Abs. 1 lit. b VE-BÜPF).²⁴ Diese Bestimmung war nicht nur extrem weit, sondern auch äusserst unscharf formuliert.²⁵ Nach massiver Kritik in der Vernehmlassung²⁶ wurde darauf eine weniger weitgehende und präziser differenzierte Regelung vorgeschlagen.

In Art. 2 nBÜPF wird neu unterschieden zwischen 6 Kategorien von Mitwirkungspflichtigen, denen je unterschiedliche Pflichten auferlegt werden (Art. 19–34 nBÜPF). Die genaue Ausgestaltung der Mitwirkungspflichten wird dabei in den heiklen Bereichen mehrheitlich an den Bundesrat delegiert (Art. 22 Abs. 4, Art. 27 Abs. 3 nBÜPF). Als Mitwirkungspflichtige werden definiert:²⁷

1. Anbieter von Postdiensten (PDA)
2. Anbieter von Fernmeldediensten (FDA)
3. Anbieter abgeleiteter Kommunikationsdienste (AAK)
4. Betreiber interner Fernmeldenetze (BIF)
5. Personen, die ihren Zugang Dritten zur Verfügung stellen (PZD)
6. Professionelle Wiederverkäufer von Zugangsmitteln (PWV)

Bei den PDA und FDA (zu denen auch die Internet-Zugangs-Anbieter zählen) wird auf die Definitionen im PG²⁸ und FMG²⁹ abgestellt, womit diese weitgehend den bisherigen Betroffenen entsprechen.³⁰ Auch die BIF kamen in dieser Form bereits im aBÜPF vor (Art. 1 Abs. 4 aBÜPF).³¹ Die PWV wurden neu ins Gesetz aufgenommen, um eine Lücke bei der Erfassung von Identifikationsdaten zu schliessen.³² Diese Kategorien dürften wenig Anlass zur Diskussion geben.

Die neuen Kategorien der AAK und PZD stellen dagegen echte Erweiterungen des Geltungsbereichs dar. Sie waren mit der Anlass für die hitzigen Debatten in den Räten – und die bisweilen reisserischen Schlagzeilen in der Presse. Im Folgenden sollen sie kurz definiert und die relevanten Rats-Voten dazu dargestellt werden.

Unter dem Begriff der Anbieter abgeleiteter Kommunikationsdienste (AAK) werden Dienste-Anbieter verstanden, die weder FDA noch Internet-Zugangs-Anbieter sind, jedoch im Bereich des Internetverkehrs Dienste bereitstellen, die nur in Verbindung mit der Tätigkeit eines FDA (insbesondere eines Internet-Zugangs-Anbieters) angeboten werden können.³³ Als Abgrenzungskriterium dient die fernmeldetechnische Übertragung von Informationen gemäss Definition im FMG: Die von den AAK angebotenen Dienste setzen eine solche Übertragung zwar (als Basis der von den AAK angebotenen Dienste) voraus, ohne dass die AAK diese fernmeldetechnische Übertragung von Informationen aber selbst vornehmen (würden sie dies, wären sie wiederum als FDA zu qualifizieren).³⁴

Mit dieser extrem breiten Definition werden sämtliche Anbieter jedwelcher internetbasierten Dienste erfasst. Als Beispiele werden in der Botschaft Dienste zur Einwegkommunikation, z.B. zum Hochladen von Dokumenten (wie GoogleDocs oder Microsoft Office Live), sowie zur Mehrwegkommunikation (wie Facebook) genannt. Ob die Kommunikation synchron oder asynchron erfolgt, ist dabei irrelevant.³⁵ Somit fallen auch jegliche Arten von Hosting-Providern darunter,³⁶ Anbieter von E-Mail-Diensten, Chat-Plattformen, Online-Koordinations-Diensten (wie z.B. Doodle) sowie Blog-Anbieter generell. Jeder Website-Betreiber, der auf seiner Website eine Gästebuch-, Kommentar- oder sonstige Kommunikations-Funktion implementiert hat, ist demnach als AAK zu qualifizieren. Denn er ermöglicht durch den Betrieb seiner Website zumindest eine asynchrone Kommunikation (z.B. vom Kommentar-Poster zum Kommentar-Leser) auf Basis fernmeldetechnisch übertragener Information.

Umso wichtiger ist angesichts dieser breiten Definition die Einschränkung der Mitwirkungspflichten der AAK: Sie sind nur zur Duldung der Überwachung der Kommunikation verpflichtet, die über die von ihr angebotenen Dienste erfolgt (Art. 27 Abs. 1 nBÜPF), sowie zur Lieferung der Randdaten, sofern und soweit ihnen diese zur Verfügung stehen (Art. 27 Abs. 2 nBÜPF). Auch hinsichtlich der Identifikationsdaten müssen sie nur die ihnen vorliegenden Angaben liefern (Art. 22 Abs. 3 nBÜPF). Eine aktive Überwachungspflicht oder eine Pflicht zur Erhebung und Speicherung der Randdaten oder Identifikationsdaten trifft sie grundsätzlich nicht. Der Bundesrat kann aber, «soweit für die Überwachung des Fernmeldeverkehrs notwendig», solche AAK denselben Pflichten wie die FDA unterstellen, die «Dienstleistungen von grosser wirtschaftlicher Bedeutung oder für eine grosse Benutzerschaft anbieten» (Art. 27 Abs. 3 nBÜPF). AAK, die diese Voraussetzungen erfüllen, können ebenfalls zur Erhebung der Identifikationsdaten nach Art. 22 Abs. 2 nBÜPF verpflichtet werden (Art. 22 Abs. 4 nBÜPF). Ob bzw. für welche Dienste-Anbieter sich nun die im Vorfeld der Revision geäusserten Befürchtungen allenfalls doch bewahrheiten, wird sich somit erst anhand der aktuell noch nicht öffentlich einsehbaren Ausführungsbestimmungen zeigen.

Unter den Begriff der Personen, die ihren Zugang Dritten zur Verfügung stellen (PZD) fallen sämtliche (natürlichen wie juristischen) Personen, die ihren Internetzugang (egal über welche Technologie oder welches Medium) Dritten zugänglich machen.³⁷ Darunter fallen z.B. Geschäfte, die ihrer Kundschaft instore WLAN zugänglich machen, Spitäler und Schulen, die ihren Patienten bzw. Schülern/Studenten den Internetzugriff ermöglichen, jedoch auch Privatpersonen, die ihren privaten WLAN-Zugang ihren Gästen (oder dem Nachbarn) zur Verfügung stellen, oder diesen – allenfalls auch unbeabsichtigt – nicht vor fremdem Zugriff schützen und so dessen (Mit-)Nutzung durch irgendwelche Dritte ermöglichen. Nicht angenommen wurde der im Ständerat vorgebrachte Vorschlag, den Begriff der PZD zu beschränken auf die Zurverfügungstellung des Zugangs «im Rahmen einer wirtschaftlichen Tätigkeit».³⁸

Auch hier gilt, wie bei den AAK, dass die PZD nur zur Duldung der Überwachung verpflichtet sind (Art. 29 Abs. 1 nBÜPF), sowie zur Lieferung der Randdaten, sofern und soweit ihnen diese zur Verfügung stehen (Art. 29 Abs. 2 nBÜPF), z.B. in Form der Log-Dateien ihres WLAN-Access-Points. Die Lieferung allfälliger zusätzlicher Identifikationsdaten i.S.v. Art. 22 nBÜPF hingegen ist nicht vorgesehen (soweit solche Daten nicht bereits als Randdaten i.S.v Art. 29 Abs. 2 nBÜPF qualifizieren), da solche (zusätzlichen) Identifikationsdaten den PZD regelmässig nicht vorliegen. Festzuhalten ist, dass die PZD keine aktive Überwachungspflicht oder Pflicht zur Erhebung und Speicherung von Randdaten (oder Identifikationsdaten) trifft. Im Gegensatz zu den AAK ist bei den PZD auch nicht vorgesehen, dass sie der Bundesrat allenfalls doch noch solchen Pflichten unterstellen könnte. Zumindest die Hotels, Restaurant, Cafés und Privaten, die ihren Netzzugang Dritten zur Verfügung stellen, können in dieser Hinsicht aufatmen. Ihre allfällige Mitwirkungspflicht erschöpft sich in der Duldung und der Lieferung der vorhandenen Randdaten – und geht somit nicht weiter als die allgemeine Mitwirkungspflicht gemäss StPO.³⁹

Eine Neuerung stellt die in Art. 25 nBÜPF vorgesehene Pflicht zur Vorab-Information dar. Dort ist vorgesehen, dass FDA den Dienst ÜPF auf dessen Verlangen jederzeit ausführlich über Art und Merkmale nicht nur derjenigen Dienstleistungen informieren, die sie bereits auf den Markt gebracht haben, sondern auch über solche, die sie innerhalb von 6 Monaten auf den Markt bringen wollen. Damit soll dem Dienst ÜPF ermöglicht werden, Schwierigkeiten vorauszusehen, die sich bei künftigen Überwachungen der neuen Dienste ergeben könnten, und proaktiv – statt rein reaktiv – darauf zu reagieren.⁴⁰ Vereinzelt wurde die Befürchtung geäussert, dass diese Bestimmung es insbesondere Tech-Startups erschweren könnte, neue Produkte mit Kommunikationsfähigkeit auf den Markt zu bringen.⁴¹ Bei genauerer Betrachtung erhellt, dass diese Befürchtung wohl noch auf dem viel zu weitgehend formulierten Art. 25 VE-BÜPF basierte, der sämtliche «Überwachungspflichtigen» erfasste, deren Kreis im VE-BÜPF viel weiter gefasst war als im jetzigen nBÜPF.⁴²

In Art. 25 nBÜPF wurde die Informationspflicht auf die FDA beschränkt und auf die bereits im Markt eingeführten sowie in den nächsten 6 Monaten einzuführenden Dienstleistungen limitiert. Gemäss der Botschaft müssen die FDA dem Dienst ÜPF auf Verlangen genau darlegen, um welche Dienstleistungen es sich handelt und worin diese bestehen, d.h. wozu sie dienen – nicht aber welche Merkmale der Technologie der neuen Dienstleistung zugrundeliegen.⁴³ Festzuhalten ist zudem, dass keine aktive Informationspflicht besteht, sondern der Dienst ÜPF nur auf dessen Verlangen zu informieren ist, und dass allfällige Geschäftsgeheimnisse, die dem Dienst ÜPF im Rahmen der Vorab-Information mitgeteilt werden, dem Amtsgeheimnis unterstehen (Art. 320 StGB).⁴⁴

Auch bleiben die FDA frei, die neuen Dienstleistungen gemäss ihren Plänen im Markt einzuführen bzw. die Pläne zur Markteinführung allenfalls zu ändern (d.h. gegebenenfalls auch vorzuziehen).⁴⁵ Es wird also nicht etwa eine «Zwangspause» für die Einführung neuer Dienstleistungen verordnet oder die Einführung von einer Freigabe durch den Dienst ÜPF abhängig gemacht. Vor diesem Hintergrund ist nicht nachzuvollziehen, wie Art. 25 nBÜPF zum «Innovationskiller» oder zur «Startup-Bremse» werden soll, wie dies bisweilen in der Branche und der Presse kolportiert wurde.⁴⁶ Relevant werden könnte in diesem Zusammenhang hingegen die Abgrenzung zwischen FDA (die Art. 25 nBÜPF unterstehen) und AAK, welche Art. 25 nBÜPF nicht unterstehen (vgl. dazu oben Ziff. III.1.1).

Bereits per Januar 2012 wurde – in Umsetzung der Verpflichtungen aus der CCC – die VÜPF revidiert, um breitere Überwachungsmassnahmen im Internet-Bereich zu ermöglichen (vgl. dazu oben Ziff. II.3).⁴⁷ Dies brachte für die FDA die Pflicht zur Bereitstellung einer Schnittstelle zur Echtzeit-Überwachung mit sich. An dieser Pflicht ändert sich mit dem nBÜPF nichts.

Hingegen war im VE-BÜPF vorgesehen, die Überwachungspflichten undifferenziert auch auf reine Dienste-Anbieter auszuweiten, die damit ebenfalls zur Sicherstellung des Echtzeit-Zugriffs verpflichtet gewesen wären (Art. 2 Abs. 1 lit. b i.V.m. Art. 21 Abs. 2–3 VE-BÜPF).⁴⁸ Dadurch hätten diese die notwendige Infrastruktur bereitstellen und ihre Dienste mit einer Schnittstelle für den Echtzeit-Zugriff nachrüsten müssen. Insbesondere kleinere und mittlere Diensteanbieter hätten dadurch sozusagen «auf Vorrat» massgebliche Investitionen tätigen müssen zur Ermöglichung einer Überwachung, von welcher sie aufgrund ihres kleinen Kundenkreises wohl nur in Ausnahmefällen je betroffen gewesen wären.

Aufgrund der heftigen Reaktionen in der Vernehmlassung⁴⁹ wurde bereits im E-BÜPF einerseits der persönliche Geltungsbereich präziser definiert und nach verschiedenen Arten von Anbietern differenziert (vgl. oben Ziff. III.1). Andererseits wurden die Überwachungspflichten ebenfalls nach Art der Anbieter differenziert und dabei zwischen FDA und AAK unterschieden.

Dadurch sind im nBÜPF nur noch die FDA (nicht aber die AAK) standardmässig zur Ermöglichung der Echtzeit-Überwachung über die definierten Schnittstellen verpflichtet (Art. 26 Abs. 1 lit. a i.V.m. Abs. 4 und Art. 31 Abs. 3 nBÜPF). Hingegen können AAK mittels Verordnung ebenfalls dieser Pflicht unterstellt werden (Art. 27 Abs. 3 nBÜPF), soweit dies der Bundesrat als «für die Überwachung des Fernmeldeverkehrs notwendig» erachtet. Ob und gegebenenfalls wie dies in den Ausführungsbestimmungen der Fall sein wird, lässt sich zurzeit noch nicht abschätzen. Umgekehrt können gewisse FDA von bestimmten Pflichten befreit werden, «wenn sie Dienstleistungen von geringer wirtschaftlicher Bedeutung oder im Bildungsbereich anbieten» (Art. 26 Abs. 6 nBÜPF). Auch hier wird abzuwarten sein, in welchem Umfang, aufgrund welcher Kriterien und hinsichtlich welcher FDA und Pflichten dies allenfalls der Fall sein wird.

Das aBÜPF äussert sich nicht zum Ort der Datenspeicherung – was auch im nBÜPF so bleiben wird. Die Frage, wo die von den FDA erhobenen Randdaten zu speichern sind, ist vor dem Hintergrund des EuGH-Urteils zur Vorratsdatenspeicherung zu sehen.⁵⁰ Dieses hielt im April 2014 fest, dass Art. 8 Abs. 3 GRC ausdrücklich fordert, dass die Einhaltung der Datenschutzvorgaben «durch eine unabhängige Stelle überwacht» werde, was nicht gewährleistet werden könne, wenn die fraglichen Daten nicht auf Unionsgebiet gespeichert würden.⁵¹

Obwohl das EuGH-Urteil für die Schweiz keine direkte Wirkung hat, wurde dieser Gedanke auch in der Schweiz aufgenommen. So beantragte eine Minderheit im Nationalrat, dass die von den Anbietern erhobenen Randdaten nur in der Schweiz aufbewahrt werden dürfen.⁵² Während die Bestimmung beim Postverkehr abgelehnt wurde,⁵³ fand sie bezüglich des Fernmeldeverkehrs im Nationalrat eine Mehrheit.⁵⁴ Im Ständerat wurde dies hingegen abgelehnt,⁵⁵ unter Hinweis darauf, dass zum einen die in der Schweiz aktiven Anbieter das DSG⁵⁶ in jedem Fall einzuhalten hätten und zum anderen, dass eine solche Norm im BÜPF verfehlt wäre.⁵⁷ Wenn schon wäre eine solche Pflicht zur Speicherung bestimmter Daten im DSG oder allenfalls im FMG zu regeln.⁵⁸ Zudem könnte sich eine derartige Pflicht negativ auf die FDA auswirken, denen es dann z.B. nicht mehr erlaubt wäre, die Aufbereitung der Daten für die Rechnungsstellung im Ausland vorzunehmen, da hierfür auch die Randdaten nötig sind.⁵⁹

Nach längerem Hin und Her zwischen den Räten⁶⁰ ging dieser Punkt in die Einigungskonferenz. Dort wurde schliesslich entschieden, den vorgeschlagenen Abs. 5^bis zu Art. 26 endgültig zu streichen.⁶¹ Damit enthält das nBÜPF nunmehr keine Vorschriften zum Ort der Datenspeicherung, d.h. dazu, wo die von den FDA erhobenen Randdaten zu speichern sind. Dies bleibt – wie bis anhin – der Entscheidung der FDA überlassen. Dabei müssen die Vorgaben des DSG beachtet werden. Es bleibt abzuwarten, ob der Vorschlag, für gewisse Daten den Speicherort vorzuschreiben, allenfalls im Rahmen der DSG-Revision aufgenommen wird.⁶²

Im aBÜPF ist eine Frist zur Speicherung der Randdaten von 6 Monaten vorgesehen, sowohl beim Post- wie Fernmeldeverkehr.⁶³ Der Bundesrat schlug im VE-BÜPF vor, die Frist auf 12 Monate auszudehnen.⁶⁴ Diese Frist von 12 Monaten fand auch in den E-BÜPF Eingang.⁶⁵

In der Beratung dazu wurden im Stände- und Nationalrat verschiedene Varianten diskutiert, z.T. auch mit unterschiedlichen Fristen für den Post-/Fernmeldeverkehr.⁶⁶ Der Ständerat glich die beiden Bestimmungen schliesslich bei 6 Monaten an.⁶⁷ Im Rahmen des Differenzbereinigungsverfahrens schwenkte der Nationalrat auf die für beide Bestimmungen vereinheitlichten 6 Monate des Ständerates ein,⁶⁸ wenn auch mehr aus praktischen Gründen denn aus innerer Überzeugung.⁶⁹

Bei der Aufbewahrungsfrist für Randdaten bleibt somit alles beim Alten – auch das nBÜPF sieht dafür eine Dauer von 6 Monaten vor (Art. 19 Abs. 4 nBÜPF für Postverkehr und Art. 26 Abs. 5 nBÜPF für Fernmeldeverkehr).

Eine Änderung ergibt sich hingegen bezüglich der Identifikationsdaten, die im aBÜPF zusammen mit den Randdaten in Art. 12 Abs. 2 aBÜPF (Postverkehr) und Art. 15 Abs. 3 aBÜPF (Fernmeldeverkehr) geregelt sind. Im nBÜPF sind sie für den Postverkehr nicht mehr speziell geregelt, für den Fernmeldeverkehr finden sich hingegen ausdrückliche Regelungen in Art. 21 nBÜPF (Auskünfte über Fernmeldedienste) und Art. 22 nBÜPF (Auskünfte zur Identifikation der Täterschaft bei Straftaten über das Internet). Unter beiden Artikeln bestimmt der Bundesrat, welche Daten hierunter fallen (Art. 21 Abs. 1 lit. d und Art. 22 Abs. 2 nBÜPF). Diese sind sowohl während der Dauer der Kundenbeziehung wie auch während 6 Monaten nach deren Beendigung aufzubewahren, wobei der Bundesrat für gewisse Daten vorsehen kann, dass diese nicht während der ganzen Dauer der Kundenbeziehung, sondern nur während 6 Monaten (ab Erfassung/Anfall der Daten z.B. im Rahmen der Zuteilung dynamischer IP-Adressen) aufzubewahren sind (Art. 21 Abs. 2 und Art. 22 Abs. 2 nBÜPF). Unter die Identifikationsdaten nach Art. 21 nBÜPF fallen insbesondere auch Angaben zu Prepaid-SIM-Karten (und neu auch zu Prepaid-Wireless-Karten), unter diejenigen nach Art. 22 nBÜPF insebesondere auch solche Daten, die eine Zuordnung der IP-Adressen zu einzelnen Kunden (bzw. deren Anschlüssen) erlauben.⁷⁰

Im Zusammenhang mit der Dauer der Datenspeicherung im Bereich des Internets ist zudem Art. 22 Abs. 2 nBÜPF, letzter Satz bemerkenswert, gemäss dem die FDA dem Dienst ÜPF weitergehende Angaben liefern müssen, über die sie verfügen. Eine Löschungspflicht nach Ablauf der 6-monatigen Aufbewahrungspflicht ist nicht vorgesehen. Sofern also ein FDA gewisse Daten – allenfalls mit Zustimmung der betroffenen Kunden – länger als die vorgeschriebenen 6 Monate aufbewahrt, müssen diese ebenfalls geliefert werden. Aufgrund der gesetzlichen Aufbewahrungspflicht müssen die Anbieter die für die Rechnungslegung relevanten Buchungsbelege aufbewahren, womit zumindest gewisse Randdaten während rund 10 Jahren greifbar sind.⁷¹ Und angesichts der Tatsache, dass sich die FDA aufgrund des zunehmenden wirtschaftlichen Wertes von nutzerbezogenen Daten von ihren Kunden immer weiter reichende Befugnisse zur Datenerhebung und -speicherung einräumen lassen, scheint die Diskussion, ob gewisse Daten nunmehr 6 oder 12 Monate lang gespeichert werden sollen, in diesem Bereich je länger je hinfälliger zu werden: Daten, die beim FDA vorhanden sind, und die unter Art. 22 nBÜPF die Identifikation der Täterschaft einer über das Internet begangenen Straftat ermöglichen können, sind nämlich dem Dienst ÜPF unabhängig von der Aufbewahrungsfrist nach nBÜPF zu liefern und zwar soweit zurück, wie sie beim FDA vorliegen.⁷² Da es sich dabei nicht um eine «Überwachung» i.S. des BÜPF handelt, ist die Straftat, deren Aufklärung Anlass zur Auskunftsanfrage gibt, auch nicht an den Katalog von Art. 269 Abs. 2 StPO gebunden.⁷³

Das aBÜPF sieht vor, dass die Kosten für die notwendigen Einrichtungen zu Lasten der Anbieter gehen, diese jedoch für die Kosten der einzelnen Überwachung eine «angemessene Entschädigung» erhalten (Art. 16 Abs. 1 aBÜPF). Diese wird in der GebV-ÜPF geregelt.⁷⁴ Im Vorentwurf war vorgesehen, diese Entschädigung ersatzlos zu streichen (Art. 30 VE-BÜPF).⁷⁵ Aufgrund der negativen Reaktionen in der Vernehmlassung, die – wenig erstaunlich – insbesondere aus der Telekombranche verlautete, kam der Bundesrat darauf zurück und schlug im Entwurf vor, doch die bisherige Regelung beizubehalten (Art. 38 E-BÜPF).⁷⁶ Dabei stützte er sich auf eine Erhebung von Juni 2012.⁷⁷

Während schnell klar war, dass die Investitionskosten weiterhin von den Anbietern getragen werden müssen, bestand im Ständerat (als Erstrat) grosse Meinungsverschiedenheit zur Entschädigung für die einzelnen Überwachungen. Die Anträge reichten von einer kostendeckenden⁷⁸ über zumindest eine angemessene Entschädigung für die Überwachung⁷⁹ bis zu gar keiner Entschädigung irgendwelcher Art.⁸⁰ Zudem lässt sich den Protokollen eine gewisse Konsternation entnehmen, dass die Anbieter anscheinend nicht bereit waren, Auskunft über die tatsächlich anfallenden Kosten zu geben.⁸¹ Schliesslich wurde der Status Quo beibehalten, nicht zuletzt aufgrund einer gewissen Angst vor der möglichen Verweigerungshaltung der FDA, welche die Umsetzung des BÜPF massgeblich erschweren würde.⁸² Der Nationalrat folgte darin dem Ständerat.

Damit entspricht Art. 38 nBÜPF grundsätzlich der bisherigen Regelung, d.h. die Anbieter haben weiterhin vollumfänglich für die Kosten der notwendigen Einrichtungen (Fixkosten) aufzukommen, erhalten aber eine angemessene Entschädigung für individuelle Überwachungen. Ob die (erst per 2012 revidierte) GebV-ÜPF im Rahmen der Ausarbeitung der Ausführungsbestimmungen zum nBÜPF ebenfalls überarbeitet wird, bleibt abzuwarten.

Im Vorfeld wurde insbesondere im Rahmen der Revision der VÜPF per 1. Januar 2012 seitens der Telekom-Verbände die Befürchtung geäussert, dass durch eine Ausweitung der zulässigen Überwachungsmöglichkeiten die Kosten gerade für kleinere und mittlere Telekom-Anbieter übermässig steigen. Sie müssten nämlich durch Bereitstellen der technischen Infrastruktur die kostenintensive Überwachungsbereitschaft für die standardisierten Überwachungen gewährleisten.⁸³ Diesen Bedenken versuchte der Bundesrat Rechnung zu tragen, indem in Art. 26 Abs. 6 nBÜPF nun vorgesehen wurde, dass der Bundesrat kleinere FDA von bestimmten gesetzlichen Pflichten befreien kann, insb. wenn sie Dienstleistungen «von geringer wirtschaftlicher Bedeutung oder im Bildungsbereich» anbieten. Die genaue Umsetzung dieser Ausnahmebestimmung wird sich erst den Ausführungsbestimmungen entnehmen lassen. In der Botschaft wurde dazu vermerkt, dass durch diese Befreiungsmöglichkeit eine Annäherung an die heutige Situation beabsichtigt sei.⁸⁴

Unter dem aBÜPF war bereits während einiger Zeit die Zulässigkeit des Einsatzes neuer Überwachungstechnologien umstritten.⁸⁵ Um hier Klarheit zu schaffen, sollte im Rahmen der BÜPF-Revision mittels neuer Artikel in der StPO die gesetzliche Grundlage geschaffen werden für den Einsatz von IMSI-Catchern (Art. 269^bis nStPO) und Staatstrojanern (Art. 269^ter nStPO), in der Botschaft euphemistisch als «GovWare» (für «Government Software») bezeichnet. Beides gab im Vorfeld sowie während der parlamentarischen Beratung stark zu reden. Besonderes Augenmerk lag dabei auf dem Staatstrojaner, aufgrund der Sensibilisierung der Öffentlichkeit durch diverse Enthüllungen der letzten Jahre:

• Bereits im Januar 2009 wurde in Deutschland eine Verfassungsbeschwerde eingereicht gegen (unter anderem) die Bestimmungen des BKAG,⁸⁶ welche die Grundlage für den deutschen «Bundestrojaner» bilden.⁸⁷
• Im Oktober 2011 analysierte der deutsche Chaos Computer Club den vom BKA entwickelten deutschen «Bundestrojaner» eingehend und legte dessen Funktionsweise – und insbesondere sicherheitstechnischen Schwachstellen – offen.⁸⁸ Im Dezember 2012 liess das BKA dann verlauten, dass eine verbesserte Version bis Ende 2014 vorliege.⁸⁹
• Im April 2016 – d.h. erst nach Abschluss der Beratungen zum BÜPF – erging dann das Urteil des deutschen Bundesverfassungsgerichts,⁹⁰ welches das BKAG zumindest teilweise für verfassungswidrig erklärte.⁹¹ Darin wurden jedoch Staatstrojaner nicht etwa per se als unzulässig qualifiziert, sondern es wurden nur die bei deren Einsatz zu beachtenden rechtlichen Grundlagen und Voraussetzungen präzisiert.⁹²
• Im Juli 2015, also kurz nach Abschluss der ersten Runde des E-BÜPF in den Räten, wurde ein italienischer Hersteller von Überwachungssoftware, namens «Hacking Team», selbst gehackt und es wurde u.a. dessen interne Kommunikation veröffentlicht.⁹³ Dadurch wurde bekannt, dass die Kantonspolizei Zürich bei diesem Anbieter bereits im November 2014 entsprechende Überwachungssoftware bezogen hatte.⁹⁴ Dies hatte nicht nur politische Folgen,⁹⁵ sondern führte auch zu verstärkter Aufmerksamkeit für diesen speziellen Aspekt der BÜPF-Revision.

Diese Entwicklungen führten in den Räten zu einigen Diskussionen, jedoch zu wenig konkreten Änderungen. Zumindest wurde bei beiden Artikeln in einem zusätzlichen Absatz ergänzt, dass die Staatsanwaltschaft eine Statistik über die Überwachungen zu führen hat (Art. 269^bis Abs. 2 und Art. 269^ter Abs. 4 nStPO). Damit soll die Kontrolle ermöglicht werden, ob sich der Einsatz solcher Überwachungstechnologie überhaupt lohnt und ob sich somit die damit verbundenen Grundrechtseingriffe rechtfertigen lassen.⁹⁶

Diesbezüglich wurde in den Räten auch mehrmals explizit festgehalten, dass mittels Einsatz von Staatstrojanern (bzw. «GovWare») nur die Echtzeitüberwachung der Kommunikationsvorgänge (akustisch wie optisch) über das Internet zulässig sein soll (wie z.B. VoIP-Telefonie oder Skype-VideoCalls), v.a. wenn diese in verschlüsselter Form erfolgt.⁹⁷ Insbesondere ausgeschlossen wurde die – technisch ohne weiteres mögliche – Online-Durchsuchung (durch Abgreifen anderer Daten als der reinen Inhalts- und Randdaten der vom infizierten Gerät aus geführten Kommunikation) sowie die Fernüberwachung (durch Remote-Aktivierung des Mikrofons oder der Kamera des infizierten Gerätes) oder die Änderung von Daten, die auf dem infizierten Gerät gespeichert sind.⁹⁸ Jegliche Daten, die über das in Art. 269^ter nStPO explizit Erlaubte hinaus gesammelt würden, wären gemäss Art. 269^ter Abs. 3 nStPO zu vernichten und Erkenntnisse aus diesen Daten wären nicht verwertbar.⁹⁹

Um die Verwertbarkeit der mittels einem Staatstrojaner abgegriffenen Kommunikationsdaten sicherzustellen, wurden vom Nationalrat in Art. 269^quater nStPO als zusätzliche Anforderungen an den Staatstrojaner definiert, dass die Überwachung lückenlos und unveränderbar zu protokollieren ist und dass dieses Protokoll in den Verfahrensakten aufzubewahren ist (Abs. 1), dass die Übermittlung der abgegriffenen Daten bis zur zuständigen Strafverfolgungsbehörde gesichert, also verschlüsselt, erfolgen muss (Abs. 2), und dass eine Möglichkeit zur Verifikation des Quellcodes sicherzustellen ist, damit geprüft werden kann, ob der Staatstrojaner nur über die gesetzlich zulässigen Funktionen verfügt (Abs. 3).¹⁰⁰

Im Nationalrat wurde weiter vorgeschlagen, dass die Entwicklung oder Beschaffung der einzusetzenden Staatstrojaner zentral über den Bund erfolgen solle und dass die Staatsanwaltschaft nur diese zentral entwickelten bzw. beschafften Staatstrojaner einsetzen dürfe.¹⁰¹ Dies wurde vom Ständerat jedoch abgelehnt,¹⁰² da eine solche Vorgabe als zu starker Eingriff in die Hoheit der Kantone empfunden wurde und für den Bund Haftungs- und Verantwortlichkeitsfragen aufgeworfen hätte.¹⁰³

Es wird abzuwarten sein, wie stark unter den nun in der StPO definierten Voraussetzungen das praktische Bedürfnis der Strafverfolgungsbehörden nach einem Einsatz von Staatstrojanern tatsächlich sein wird. Insbesondere die technischen und finanziellen Hürden, die durch den in der Beratung neu eingefügten Art. 269^quater nStPO noch erhöht wurden, dürften deren praktischen Einsatz beschränken. Immerhin wird sich der Nutzen dank der in der Beratung eingefügten Pflicht zur Führung einer Statistik (Art. 269^bis Abs. 2 und Art. 269^ter Abs. 4 nStPO) zumindest nach einer gewissen Zeit abschätzen lassen.

Das nBÜPF bringt einige Neuerungen, ohne jedoch in den wirklich kritischen Punkten so weit zu gehen, wie ursprünglich vor allem aus Sicht der Telekom-Industrie und der Überwachungsgegner befürchtet wurde. Zusammenfassend lässt sich festhalten, dass das nBÜPF zwar zu einer Erweiterung des persönlichen Geltungsbereichs führt, deren Auswirkungen jedoch über die Definition unterschiedlicher Kategorien von Mitwirkungspflichtigen mit jeweils differenzierten Mitwirkungspflichten wieder eingeschränkt wird. Die Relevanz dieser Ausweitung und deren Umsetzung in der Praxis wird sich erst mit dem Vorliegen der Ausführungsbestimmungen abschätzen lassen. Weitere Neuerungen stellen die Vorab-Informationspflicht der FDA für neue Dienste und die explizite Regelung des Einsatzes von Staatstrojanern und IMSI-Catchern (in der StPO) dar.

Dagegen ändert sich bei der Dauer der Datenspeicherung nichts, diese beträgt weiterhin 6 Monate. Auch die Pflicht zum Betrieb einer Schnittstelle für den Echtzeit-Zugriff bleibt auf FDA beschränkt und wird nicht auf Dienste-Anbieter (AAK) generell ausgeweitet (wobei aber gewisse AAK im Rahmen der Ausnahmeregelung ebenfalls den für die FDA geltenden Mitwirkungspflichten unterstellt werden können). Gleichermassen beibehalten wurde die geltende Regelung zur Kostentragung und Entschädigung. Bezüglich des Ortes der Datenspeicherung werden im nBÜPF – gleich wie bisher – keine Vorgaben gemacht.

Die Neuerungen, die das nBÜPF mit sich bringt, können somit als zwar relevant, aber nicht übermässig bezeichnet werden. Betrachtet man das Schlussresultat der Gesetzesrevision vor dem Hintergrund des heftig umstrittenen Vorentwurfs und des ebenfalls kontroversen Entwurfs, so kann das heutige Resultat schon fast als «sanfte Aktualisierung» oder als «gutschweizerischer Kompromiss» bezeichnet werden. Ein abschliessendes Urteil darüber wird aber erst zu wagen sein, wenn auch die Ausführungsbestimmungen bekannt sind.

Die Ausführungsbestimmungen werden voraussichtlich Anfang 2017 in die Vernehmlassung gegeben. Im Sommer/Herbst 2017 sollten dann die finalisierten Versionen vorliegen. Damit könnte das Gesamtpaket per Anfang 2018 in Kraft treten, wobei für die zusätzlichen Mitwirkungspflichten der FDA und AAK Übergangsfristen gelten sollen. Die epische Geschichte der BÜPF-Revision wird uns also noch etwas länger beschäftigen – auch im Jahre 2017 werden sich zu dieser Thematik weitere Fragen und Diskussionspunkte ergeben.

---

 

Samuel Klaus, Dr.iur., LL.M. (Berkeley), Rechtsanwalt / Associate, Schellenberg Wittmer AG, Zürich, samuel.klaus@swlegal.ch.

 

Roland Mathys, lic.iur. et lic.oec.publ., LL.M. (LSE), Rechtsanwalt / Partner, Schellenberg Wittmer AG, Zürich, roland.mathys@swlegal.ch.