A-661/2022 - 2022-10-27 - Datenschutz und Öffentlichkeitsprinzip - Öffentlichkeitsprinzip und Datenschutz; Rechtsverweigerung

Bundesverwaltungsgericht
Tribunal administratif fédéral
Tribunale amministrativo federale
Tribunal administrativ federal

Abteilung I

Postfach

CH-9023 St. Gallen

Telefon +41 (0)58 465 25 02

Fax +41 (0)58 465 29 80

www.bundesverwaltungsgericht.ch

Geschäfts-Nr. A-661/2022

mia/kob

Zwischenverfügung
vom 27. Oktober 2022

In der Beschwerdesache

A._______,
Parteien
Beschwerdeführer,

gegen

Schweizerische Bundeskanzlei BK,

Bundeshaus West, 3003 Bern,

Vorinstanz,

Öffentlichkeitsprinzip und Datenschutz;
Gegenstand
Rechtsverweigerung,

stellt das Bundesverwaltungsgericht fest:

A.
A._______ richtete am 18. Januar 2022 ein Schreiben an die Schweizerische Bundeskanzlei. Das Schreiben hatte die geplante Auslagerung von Teilen der Datenbearbeitung durch den Bund in sogenannte Public Clouds zum Gegenstand. A._______ erkundigte sich nach der gesetzlichen Grundlage für eine solche Auslagerung und ersuchte gestützt auf das Öffentlichkeitsgesetz (BGÖ, SR 152.3) um Einsicht in die Abklärungen, die diesbezüglich unternommen worden seien. Für den Fall, dass keine hinreichende gesetzliche Grundlage bestehe, verlangte er den sofortigen Stopp der Auslagerung von Daten in (ausländische) Public Clouds oder andernfalls den Erlass einer anfechtbaren Verfügung. Zur Begründung verwies er auf das mit einer Auslagerung verbundene Risiko einer Offenbarung (persönlicher) Daten gegenüber Dritten und die fehlende Möglichkeit, die Offenbarung rückgängig zu machen.

B.
Die Schweizerische Bundeskanzlei antwortete mit Schreiben vom 21. Januar 2022, die Auslagerung von Daten und von deren Bearbeitung müsse rechtskonform erfolgen, was in jedem Fall durch eine vorgängige Prüfung der Rechtskonformität, eine Risikoanalyse und - bei Personendaten - eine Datenschutzfolgeabschätzung sichergestellt werde. Im Übrigen verwies die Schweizerische Bundeskanzlei auf die öffentlich zugänglichen Informationen zur Cloud-Strategie der Bundesverwaltung.

C.
Mit Schreiben vom 9. Februar 2022 erhobt A._______ (nachfolgend Beschwerdeführer) beim Bundesverwaltungsgericht Beschwerde. Er verlangt (sinngemäss), es sei die Schweizerische Bundeskanzlei (nachfolgend: Vorinstanz) zu verpflichten, die im Zusammenhang mit der Cloud-Strategie vorgenommenen rechtlichen Abklärungen offenzulegen und es sei zu überprüfen, ob für das sogenannte Cloud Computing, also das Auslagern von Daten in eine Public Cloud, eine hinreichende gesetzliche Grundlage vorhanden sei. Widrigenfalls sei die Vorinstanz anzuweisen, auf eine Datenauslagerung so lange zu verzichten, bis eine hinreichende gesetzliche Grundlage in Kraft stehe. In verfahrensrechtlicher Hinsicht verlangte der Beschwerdeführer sodann den Erlass vorsorglicher Massnahmen; bis zu einem Entscheid in der Sache sei die Vorinstanz anzuweisen, unverzüglich alle weiteren Arbeiten im Zusammenhang mit der Umsetzung der Cloud-Strategie des Bundes einzustellen.

Der Beschwerdeführer ist der Ansicht, dass es an einer hinreichenden gesetzlichen Grundlage fehlt, um Daten in Public Clouds auszulagern, insbesondere, da die Daten in diesem Fall Dritten offenbart würden. Er sieht sich aus diesem Grund und soweit der Bund Daten über seine Person bearbeite, in seinen Grundrechten verletzt. Ferner erfülle die Auslagerung von Daten in eine Public Cloud verschiedene Straftatbestände.

D.
Die Vorinstanz beantragte mit Schreiben vom 24. März 2022, es sei auf die Beschwerde nicht einzutreten und auf den Erlass vorsorglicher Massnahmen zu verzichten. Sie ist der Ansicht, es fehle dem Beschwerdeführer an einem schutzwürdigen Interesse und zudem seien die Rechtsbegehren nur in pauschaler Weise und somit nicht hinreichend begründet.

E.
Das Bundesverwaltungsgericht wies das Gesuch um Erlass vorsorglicher Massnahmen mit Zwischenverfügung vom 31. März 2022 ab. Es erwog, die Vorinstanz habe bisher weder über das Einsichtsbegehren noch hinsichtlich der vom Beschwerdeführer gerügten Datenbearbeitung eine Verfügung erlassen. Die Beschwerde sei daher als Rechtsverweigerungsbeschwerde entgegenzunehmen, welcher allerdings keine Devolutivwirkung zukomme. Die Zuständigkeit in der Sache verbleibe bei der (angeblich säumigen) Vorinstanz. Dies gelte aufgrund ihrer Akzessorietät, d.h. aufgrund der Verbindung mit der Entscheidung in der Hauptsache, auch für den Erlass vorsorglicher Massnahmen. Letztere stünden nicht im Zusammenhang mit dem Einsichtsbegehren, sondern mit der Bearbeitung seiner Personendaten bzw. der von ihm befürchteten Verschiebung dieser Daten in eine Public Cloud. Zwar könne dem Beschwerdeführer diesbezüglich ein schutzwürdiges Interesse nicht allein mit dem Argument abgesprochen werden, er sei von der geplanten Datenbearbeitung - einer allfälligen Verschiebung in eine Public Cloud - nicht intensiver betroffen als andere Personen, deren Daten durch Organe des Bundes bearbeitet würden. Ein Begehren um Erlass vorsorglicher Massnahmen sei, da die Vorinstanz noch nicht verfügt habe, jedoch zunächst an die Vorinstanz zu richten, was bisher nicht geschehen sei. Somit liege in Bezug auf den Erlass vorsorglicher Massnahmen noch kein Anfechtungsobjekt vor und stehe auch (noch) keine Rechtsverweigerung im Raum, weshalb das Gesuch anzuweisen sei.

F.
Mit Beschwerde vom 20. April 2022 an das Bundesgericht beantragte der Beschwerdeführer, es sei die Zwischenverfügung des Bundesverwaltungsgerichts vom 31. März 2022 aufzuheben und als vorsorgliche Massnahme die Vorinstanz anzuweisen, sofort sämtliche Aktivitäten im Bereich Cloud Computing einzustellen, bis festgestellt worden sei, ob eine hinreichende gesetzliche Grundlage für diese Aktivitäten bestehe. Zudem ersuchte der Beschwerdeführer das Bundesgericht um den Erlass vorsorglicher Massnahmen.

G.
Mit Präsidialverfügung vom 12. Mai 2022 wies das Bundesgericht das Gesuch um Erlass vorsorglicher Massnahmen ab; es gebe nach den Ausführungen der Vorinstanz derzeit keine konkreten Projekte, in deren Rahmen schutzwürdige Daten nichtberechtigten Dritten offenbart würden.

H.
Das Bundesgericht hiess die Beschwerde mit Urteil 1C_216/2022 vom 28. Juli 2022 gut, hob die Zwischenverfügung des Bundesverwaltungsgerichts vom 31. März 2022 auf und wies die Sache zur neuen und beförderlichen Behandlung an das Bundesverwaltungsgericht zurück. Es erwog, das Bundesverwaltungsgericht sei zu Unrecht von einer Obliegenheit des Beschwerdeführers ausgegangen, sein Begehren um Erlass vorsorglicher Massnahmen zunächst an die Vorinstanz richten zu müssen, habe dieser doch bereits in seinem Schreiben vom 18. Januar 2022 an die Vorinstanz auf die Dringlichkeit hingewiesen und sinngemäss verlangt, es sei die Auslagerung von (seinen) Daten in eine Public Cloud vorsorglich zu stoppen. Entsprechend und mit Blick auf die geltend gemachte Dringlichkeit sowie die Unwiderrufbarkeit einer Offenbarung von Personendaten sei das Bundesverwaltungsgericht unbesehen der bei der Vorinstanz verbleibenden Zuständigkeit verpflichtet, über den Erlass vorsorglicher Massnahmen zu entscheiden.

I.
Die Vorinstanz hat sich auf entsprechende Aufforderung durch das Bundesverwaltungsgericht mit Schreiben vom 23. August 2022 und vom 31. August 2022 zu der Frage der Zuständigkeit zum Entscheid über die Auslagerung von Daten in eine (ausländische) Public Cloud sowie zu konkreten Projekten zur Auslagerung von durch die Bundesverwaltung bearbeiteten Daten geäussert. Sie legt dar, dass der Bund im Rahmen einer Ausschreibung Dienstleistungen im Bereich Public Cloud beschafft habe (sog. Beschaffung WTO 20007). Die entsprechende Ausschreibung und die Vertragsverhandlungen seien von der Vorinstanz verantwortet worden. Dabei seien jedoch lediglich Rahmenverträge geschlossen worden. Der Entscheid über eine Auslagerung von Daten in eine Public Cloud obliege als Element der Bedarfsverwaltung sodann jedoch nicht der Vorinstanz, sondern derjenigen Verwaltungseinheit, die für die betreffenden Daten verantwortlich sei. Entsprechend werde auch ein allfälliger Vertrag über die Auslagerung von Daten - gestützt auf ein anbieterneutrales Pflichtenheft - zwischen der jeweiligen Verwaltungseinheit und der Anbieterin geschlossen.

Die Vorinstanz äussert sich sodann zu Projekten (im Rahmen der Beschaffung WTO 20007) zur Nutzung von Cloud-Dienstleistungen ausländischer Anbieter. Sie führt aus, im Rahmen der Beschaffung WTO 20007 würden das Bundesamt für Meteorologie und Klimatologie und das Bundesamt für Landestopografie je ein konkretes Projekt zur (fortgesetzten) Nutzung von Cloud-Dienstleistungen ausländischer Anbieter verfolgen. Projekte ausserhalb besagter Beschaffung würden der Vorinstanz nicht in jedem Fall zur Kenntnis gebracht. Bekannt seien ihr insbesondere zwei Projekte des Bundesamtes für Bauten und Logistik (BBL) im Bereich Personal und Beschaffung, in deren Rahmen unter anderem die zentrale Bundesverwaltung Cloud-Dienstleistungen im Bereich des Personals nutzen könne. Ferner verfolge die Vorinstanz ebenfalls ausserhalb der Beschaffung WTO 20007 das Projekt "Cloud Enabling Büroautomation" zur Einführung von bestimmten Applikationen von Microsoft in der Cloud. Dieses Projekt befinde sich derzeit in der Konzeptphase.

Des Weiteren führt die Vorinstanz aus, die Eidgenössische Steuerverwaltung (ESTV), die im Rahmen des Beschwerdeverfahrens explizit angefragt worden sei, verfolge derzeit kein konkretes Projekt zur Auslagerung von Steuerdaten in eine (ausländische) Public Cloud.

Mit Schreiben vom 31. August 2022 gibt die Vorinstanz ferner ihren Bericht vom 31. August 2022 zum rechtlichen Rahmen für die Nutzung von Public-Cloud-Diensten in der Bundesverwaltung zu den Akten.

J.
Der Beschwerdeführer hat mit Schreiben vom 21. August 2022 verschiedene Beweisanträge und Begehren um Akteneinsicht (nach erfolgter Edition) gestellt. Mit Schreiben vom 15. September 2022 hat er zudem eine Stellungnahme zu den Eingaben der Vorinstanz vom 23. August 2022 und vom 31. August 2022 eingereicht.

Der Beschwerdeführer schränkte zunächst sein Begehren um Erlass vorsorglicher Massnahmen auf jene Daten ein, für welche von der Bundesverwaltung noch keine Dienstleistungen im Bereich des Cloud-Computing genutzt würden. Im Weiteren hält er an seinem Rechtsbegehren fest und äussert sich erneut zur besonderen Betroffenheit und seinen schutzwürdigen Interessen; seitens der Bundesverwaltung würden die ESTV, die Vorinstanz, sowie das (heutige) Bundesamt (...) Daten über ihn bearbeiten und er habe ein schutzwürdiges Interesse daran, dass diese Daten - darunter Steuerdaten - Dritten nicht offenbar würden. Zudem wies er unter anderem darauf hin, dass von Seiten der einzelnen Verwaltungseinheiten ein Entscheid über die bevorstehende Auslagerung von Daten nicht bekannt gemacht werde. Die Bearbeitung seiner Personendaten betreffend werde ihm daher, wenn keine vorsorglichen Massnahmen erlassen würden, effektiver Rechtsschutz verweigert, könne doch eine einmal erfolgte Offenbarung von Daten gegenüber Dritten nicht rückgängig gemacht werden.

K.
Mit Schreiben vom 20. September 2022 hat die Vorinstanz eine weitere Stellungnahme eingereicht.

L.
Mit Medienmitteilung vom 27. September 2022 teilte die Vorinstanz mit, im Rahmen der Beschaffung WTO 20007 seien Rahmenverträge mit den Cloud-Anbietern Amazon, IBM, Microsoft, Oracle und Alibaba unterschrieben worden.

M.
Mit Instruktionsverfügung vom 30. September 2022 hat das Bundesverwaltungsgericht die Vorinstanz aufgefordert, für die Dauer des Beschwerdeverfahrens sämtliche Massnahmen im Zusammenhang mit der Archivierung bzw. Vernichtung des den Beschwerdeführer betreffenden Personaldossiers zu unterlassen.

N.
Mit Schreiben vom 7. Oktober 2022 hat der Beschwerdeführer eine weitere Stellungnahme eingereicht. Er weist darin unter anderem auf die Digitalisierung von physischen Personaldossiers und die Auslagerung von Daten aus dem elektronischen Personalinformationssystems in eine Public Cloud hin.

O.
Mit Schreiben vom 23. Oktober 2022 reicht der Beschwerdeführer eine weitere Stellungnahme ein. Er legt (erneut) dar, aus welchen Gründen das behördliche Handeln im Bereich der geplanten Auslagerung von Daten in Public Clouds nicht im öffentlichen Interesse liegt und zudem nicht mit (seinen) grund- und konventionsrechtlichen Ansprüchen konform ist.

P.
Mit Schreiben vom 25. Oktober 2022 teilt die Vorinstanz mit, dass das Personaldossier des Beschwerdeführers nicht in das Informationssystem für das Personaldatenmanagement überführt worden, sondern ausschliesslich physisch vorhanden sei.

Q.
Auf die weiteren Vorbringen der Parteien und die bei den Akten liegenden Schriftstücke ist, soweit im Rahmen der vorliegenden Zwischenverfügung für den Entscheid erheblich, im Rahmen der nachfolgenden Erwägungen einzugehen.

Das Bundesverwaltungsgericht zieht in Erwägung:

1.

1.1. Der Beschwerdeführer verlangt den Erlass vorsorglicher Massnahmen. Über solche Anträge entscheidet im Beschwerdeverfahren vor dem Bundesverwaltungsgericht der mit der Instruktion betraute Richter (Art. 56 des Verwaltungsverfahrensgesetzes [VwVG, SR 172.021] und Art. 39 Abs. 1 des Verwaltungsgerichtsgesetzes [VGG, SR 173.32]). Aufgrund ihrer Akzessorietät zur Hauptsache können vorsorgliche Massnahmen indes grundsätzlich nur zum Schutz von Interessen angeordnet werden, die innerhalb des Streitgegenstandes liegen. Die Abgrenzung ist deshalb bedeutsam, weil der Streitgegenstand gleichzeitig die sachliche und funktionelle Zuständigkeit der Beschwerdebehörde bestimmt; eine vorsorgliche Massnahme ist nicht Selbstzweck, sondern gewährleistet die Wirksamkeit des nachfolgenden Entscheids (Zwischenverfügung des BVGer
A-3464/2013 vom 16. Juli 2013 E. 4.2; Moser/Beusch/Kneubühler/Kayser, Prozessieren vor dem Bundesverwaltungsgericht, 3. Aufl. 2022, Rz. 3.18). Es muss daher glaubhaft erschienen, dass das Bundesverwaltungsgericht auf die Beschwerde wird eintreten können.

Es ist daher im Folgenden zunächst zu prüfen, ob das Bundesverwaltungsgericht voraussichtlich zum Entscheid über die Beschwerde zuständig ist und die weiteren Eintretensvoraussetzungen erfüllt sind.

1.2.

1.2.1. Gemäss Art. 31 VGG beurteilt das Bundesverwaltungsgericht Beschwerden gegen Verfügungen nach Art. 5 VwVG, soweit diese von einer Vorinstanz im Sinne von Art. 33 VGG erlassen worden sind und kein Ausnahmegrund im Sinne von Art. 32 VGG vorliegt. Zudem kann, wenn wie vorliegend die Vorinstanz (bisher) weder über das Einsichtsbegehren, noch über die vom Beschwerdeführer gerügte Bearbeitung von (seinen) Personendaten bzw. die von ihm befürchtete Verschiebung dieser Daten in eine Public Cloud verfügt hat, gegen das unrechtmässige Verweigern oder Verzögern einer anfechtbaren Verfügung Beschwerde geführt werden (Art. 46a VwVG). Anfechtungsobjekt ist in diesen Fällen das (unrechtmässige) Verweigern oder Verzögern einer Verfügung, was Art. 46a VwVG einer Verfügung gleichsetzt. Zuständige Beschwerdeinstanz ist diejenige Behörde, die zuständig wäre, wenn die verlangte Verfügung ordnungsgemäss ergangen wäre (vgl. Art. 47 VwVG).

1.2.2. Die Bearbeitung von Personendaten durch den Bund findet sich im Bundesgesetz über den Datenschutz (DSG, SR 235.1) geregelt. Dieses bildet entsprechend Anspruchsgrundlage für die Rechtsbegehren des Beschwerdeführers, der eine voraussichtlich widerrechtliche Bearbeitung von Personendaten rügt; als Bearbeiten gilt jeder Umgang mit Personendaten und somit auch das Auslagern in eine (ausländische) Public Cloud (Art. 3 Bst. e DSG).

Gemäss Art. 25 Abs. 1 DSG kann, wer ein schutzwürdiges Interesse hat, vom verantwortlichen Bundesorgan verlangen, dass es das widerrechtliche Bearbeiten von Personendaten unterlässt (Bst. a), die Folgen eines widerrechtlichen Bearbeitens beseitigt (Bst. b) oder die Widerrechtlichkeit des Bearbeitens feststellt (Bst. c). Insbesondere kann der Gesuchsteller verlangen, dass das Bundesorgan Personendaten berichtigt, vernichtet oder die Bekanntgabe an Dritte sperrt (Art. 25 Abs. 3 Bst. a DSG). Der Rechtsschutz gegen entsprechende Verfügungen - und damit auch gegen das (unrechtmässige) Verweigern oder Verzögern einer Verfügung - richtet sich nach den allgemeinen Bestimmungen über die Bundesrechtspflege und damit nach dem VwVG (Art. 33 Abs. 1 DSG).

1.2.3. Hätte die Vorinstanz ordnungsgemäss über die Begehren des Beschwerdeführers verfügt, wäre hiergegen die Beschwerde an das Bundesverwaltungsgericht offen gestanden. Dieselbe Zuständigkeitsordnung gilt, soweit eine Rechtsverweigerung geltend gemacht wird. Somit ist das Bundesverwaltungsgericht voraussichtlich zur Beurteilung der Rechtsverweigerungsbeschwerde und mithin auch zum Entscheid über die anbegehrten vorsorgliche Massnahmen zuständig.

Die Zuständigkeit des Bundesverwaltungsgerichts kann allerdings nicht weiter gehen als jene der Vorinstanz: Das DSG knüpft hinsichtlich der datenschutzrechtlichen Ansprüche am Inhaber der Datensammlung bzw. am verantwortlichen Bundesorgan an (vgl. Art. 8 Abs. 1 i.V.m. Art. 3 Bst. i sowie Art. 25 Abs. 1 DSG). Die datenschutzrechtliche Zuständigkeit der Vorinstanz und mithin auch jene des Bundesverwaltungsgerichts ist in somit beschränkt auf jene Daten bzw. Datensammlungen, für welche die Vorinstanz - nur gegen sie richtet sich die Rechtsverweigerungsbeschwerde - verantwortlich ist. Auch im Rahmen der Beschaffung WTO 20007 verbleibt die Verantwortlichkeit für die Datenbearbeitung bei den einzelnen Verwaltungseinheiten, die unter Berücksichtigung der gesetzlichen Vorgaben ihre Detailorganisation selbständig festlegen und somit in der Bedarfsverwaltung selbständig entscheiden (vgl. hierzu Art. 37 Abs. 2 Bst. c und Art. 43 Abs. 5 des Regierungs- und Verwaltungsorganisationsgesetzes [RVOG, SR 172.010]).

Die datenschutzrechtliche Zuständigkeitsordnung hat zur Folge, dass auf die Beschwerde, soweit sie sich gegen die Bearbeitung von Daten (des Beschwerdeführers) durch andere Verwaltungseinheiten als die Vorinstanz richtet, etwa die Bearbeitung von Steuerdaten durch die ESTV, mangels Zuständigkeit voraussichtlich nicht einzutreten sein wird. Dies wirkt sich auf das zu beurteilende Begehren um Erlass vorsorglicher Massnahmen aus, da Begehren um Erlass vorsorglicher Massnahmen, wie vorstehend erwogen, akzessorisch zur Hauptsache sind. Das Begehren des Beschwerdeführers um Erlass vorsorglicher Massnahmen ist daher abzuweisen, soweit Massnahmen zum Schutz vor einer nach Ansicht des Beschwerdeführers widerrechtlichen Bearbeitung von Personendaten (des Beschwerdeführers) durch andere Verwaltungseinheiten als die Vorinstanz verlangt werden. Soweit der Beschwerdeführer im Zusammenhang mit einer entsprechenden Datenbearbeitung datenschutzrechtliche Ansprüche geltend machen möchte, hat er sich mit einem konkreten Begehren an die jeweils für die Datenbearbeitung zuständige Behörde zu richten.

1.3. Zur Beschwerde ist berechtigt, wer am Verfahren vor der Vorinstanz teilgenommen hat, durch die angefochtene Verfügung besonders berührt ist und ein schutzwürdiges Interesse an deren Aufhebung oder Änderung besitzt (Art. 48 Abs. 1 VwVG).

Soweit sich der Anspruch des Beschwerdeführers auf seine Personendaten bezieht, ist ein schutzwürdiges Interesse ohne Weiteres gegeben; jede Bearbeitung von Personendaten ist ein Eingriff in das Grundrecht auf informationelle Selbstbestimmung (Art. 13 Abs. 2 BV) und der auf diese Weise Betroffene hat grundsätzlich ein aktuelles und praktisches Interesse daran, ungerechtfertigte Eingriffe abzuwehren. Zudem kann ein schutzwürdiges Interesse des Beschwerdeführers nicht allein mit dem Argument verneint werden, er sei von der Datenbearbeitung - einer allfälligen Verschiebung seiner Daten in eine Public Cloud - nicht intensiver betroffen als andere Personen, deren Daten durch Organe des Bundes bearbeitet würden (vgl. BGE 147 I 280 E. 6 ff., insbes. E. 6.2.1). Andernfalls würden gerade in Fällen, in denen Daten von einem Grossteil der Bevölkerung bearbeitet werden (müssen), die datenschutzrechtlichen Ansprüche aus formellen Gründen ihres Gehaltes entleert.

Mit Blick auf die höchstpersönliche Natur der grund- und konventionsrechtlich geschützten Privatsphäre ist allerdings einzuschränken, dass dem Beschwerdeführer ein schutzwürdiges Interesse allein in Bezug auf die Bearbeitung seiner Personendaten zukommt. Soweit er darüber hinaus in allgemeiner Weise für eine richtige Anwendung des Datenschutzrechts des Bundes einsteht und in genereller Weise eine Überprüfung des Cloud-Computing durch die Bundesverwaltung anbegehrt, ist ihm entgegenzuhalten, dass die schweizerische Verwaltungsrechtspflege weder eine generell-abstrakte Normenkontrolle, noch eine Popularbeschwerde kennt (vgl. Art. 44 und Art. 46a VwVG; BGE 147 I 280 E. 6 ff.).

Unter dieser Einschränkung wird daher auf die Beschwerde, soweit sie sich auf die Bearbeitung von Personendaten des Beschwerdeführers durch die Vorinstanz bezieht, voraussichtlich einzutreten sein.

1.4. Die weiteren Sachurteilsvoraussetzungen sind nach vorläufiger Prüfung gegeben, so dass unter Einschränkung des vorstehend Ausgeführten auf die Beschwerde voraussichtlich einzutreten sein wird. Das Verfahren vor dem Bundesverwaltungsgericht richtet sich dabei nach dem VwVG, soweit das VGG nichts anderes bestimmt (Art. 37 VGG).

2.

2.1. Der Beschwerdeführer verlangt, es sei die Vorinstanz bis zu einem Entscheid in der Sache anzuweisen, unverzüglich alle Arbeiten im Zusammenhang mit der Umsetzung der Cloud-Strategie des Bundes einzustellen und einstweilen auf die Auslagerung seiner Personendaten zu verzichten.

2.2. Gemäss Art. 56 VwVG kann nach Einreichung der Beschwerde der Instruktionsrichter von Amtes wegen oder auf Begehren einer Partei vorsorgliche Massnahmen treffen, um den bestehenden Zustand zu erhalten oder bedrohte Interessen einstweilen sicherzustellen. Mit vorsorglichen Massnahmen soll vermieden werden, dass Rechtsschutz nur unter Inkaufnahme erheblicher Nachteile erlangt werden kann oder gar illusorisch wird. Sie gewährleisten somit die Wirksamkeit des nachfolgenden Entscheids und dienen insofern der Verwirklichung materiellen Rechts. Vorsorgliche Massnahmen können im Laufe des Verfahrens geändert oder aufgehoben werden, wenn sich die Umstände verändert haben, und es können im Laufe des Verfahrens auch neue Begehren um Erlass vorsorglicher Massnahmen gestellt werden (BGE 130 II 149 E. 2.2, bestätigt mit Urteil des BGer 1C_251/2020 vom 8. November 2021 E. 5.1).

Die Anordnung vorsorglicher Massnahmen setzt Dringlichkeit voraus; es muss sich als notwendig erweisen, die fraglichen Vorkehren sofort zu treffen. Weiter muss der Verzicht auf die Massnahme für den Betroffenen einen nicht leicht wieder gutzumachenden Nachteil bewirken, wobei ein tatsächliches, insbesondere wirtschaftliches Interesse genügt. Erforderlich ist sodann, dass die Abwägung der berührten Interessen den Ausschlag für den vorsorglichen Rechtsschutz gibt und dieser somit verhältnismässig erscheint. Der durch die Endverfügung bzw. den Sachentscheid zu regelnde Zustand darf weder präjudiziert noch verunmöglicht werden (vgl. BGE 130 II 149 E. 2.2, bestätigt mit Urteil des BGer 1C_251/2020 vom 8. November 2021 E. 5.1).

Der Entscheid über die Anordnung vorsorglicher Massnahmen beruht auf einer summarischen Prüfung der Sach- und Rechtslage; es handelt sich um einen prima facie-Entscheid, der ohne vertieftes Studium der (Vor-)
Akten erfolgt. Neben den Untersuchungspflichten sind auch die Beweisanforderungen herabgesetzt. Es genügt in der Regel, wenn die Gründe für ein Begehren um Erlass vorsorglicher Massnahmen glaubhaft gemacht werden (vgl. Urteil des BGer 1C_251/2020 vom 8. November 2021 E. 5.1 mit Hinweis u.a. auf BGE 145 I 73 E. 7.2.3.2).

2.3. Vorliegend steht einzig die Bearbeitung von Personendaten des Beschwerdeführers durch die Vorinstanz in Frage (vgl. vorstehend E. 1); die Rechtsverweigerungsbeschwerde richtet sich gegen die Vorinstanz und die datenschutzrechtliche Verantwortlichkeit beschränkt sich auf jene Daten, die von der jeweiligen Verwaltungseinheit bearbeitet werden.

Aus den Akten ergibt sich, dass die Vorinstanz in der Vergangenheit die Personendaten des Beschwerdeführers im Zusammenhang mit einem Arbeits- sowie einem Auftragsverhältnis bearbeitet hat. Das Arbeitsverhältnis wurde im Jahr (...) aufgelöst und im elektronischen Personalinformationssystem werden gemäss der Vorinstanz (aus diesem Grund) keine Daten des Beschwerdeführers durch sie bearbeitet. Im Weiteren bestand ein Auftragsverhältnis mit dem vormaligen (...), das heute in den Bereich (...) innerhalb der Vorinstanz integriert ist. Der Beschwerdeführer macht im Rahmen seiner Mitwirkungspflichten jedoch nicht geltend, das Auftragsverhältnis bestehe fort. Abgesehen von der Speicherung bzw. Aufbewahrung von Personendaten des Beschwerdeführers werden heute keine Personendaten des Beschwerdeführers mehr durch die Vorinstanz bearbeitet oder neu in eine (ausländische) Public Cloud verschoben. Im Übrigen ist noch nicht ersichtlich, dass im Rahmen des Projekts zur Einführung bestimmter Microsoft 365-Applikationen in der Cloud, das sich derzeit noch in der Konzeptphase befindet, auch ältere Daten neu elektronisch abgelegt und/oder in einer Cloud gespeichert werden sollen.

Nach dem Gesagten droht derzeit keine (weitere) Auslagerung von Personendaten durch die Vorinstanz in eine (ausländische) Public Cloud und somit auch keine (weitere nicht wieder gut zu machende) Offenbarung gegenüber Dritten. Folglich mangelt es derzeit (noch) an einem Anordnungsgrund und jedenfalls an der für die Anordnung vorsorglicher Massnahmen erforderlichen Dringlichkeit. Das Gesuch des Beschwerdeführers um Erlass vorsorglicher Massnahmen ist daher abzuweisen und es erübrigt sich bei diesem Ergebnis, auf die weiteren Voraussetzungen für den Erlass vorsorglicher Massnahmen einzugehen. Aus dem Gesagten folgt jedoch auch, dass die Voraussetzung der Dringlichkeit allenfalls anders zu beurteilen sein wird, sollte die Vorinstanz während der Dauer des Beschwerdeverfahrens eine Auslagerung von Personendaten des Beschwerdeführers in eine (ausländische) Public Cloud in Betracht ziehen; unter geänderten Umständen ist allenfalls (von Amtes wegen) der Erlass vorsorglicher Massnahmen in Betracht zu ziehen. Die Vorinstanz ist daher aufzufordern, das Bundesverwaltungsgericht darüber in Kenntnis zu setzen, sollte während der Dauer des Beschwerdeverfahrens die Auslagerung von Personendaten des Beschwerdeführers in eine (ausländische) Public Cloud in Betracht gezogen werden.

3.
Über die Kosten dieser Zwischenverfügung und eine allfällige Parteientschädigung ist im Entscheid über die Hauptsache zu befinden.

Demnach verfügt das Bundesverwaltungsgericht:

1.
Das Gesuch des Beschwerdeführers vom 9. Februar 2022 um Erlass vorsorglicher Massnahmen wird abgewiesen.

2.
Die Vorinstanz wird aufgefordert, das Bundesverwaltungsgericht vor einem zukünftigen Entscheid über die Auslagerung von Personendaten des Beschwerdeführers in eine (ausländische) Public Cloud zu informieren.

3.
Je ein Exemplar des Schreibens des Beschwerdeführers vom 23. Oktober 2022 und des Schreibens der Vorinstanz vom 25. Oktober 2022 gehen wechselseitig an die Verfahrensbeteiligten.

4.
Der Beschwerdeführer wird darum ersucht, dem Bundesveraltungsgericht ebenfalls bis zum 30. November 2022 schriftlich mitzuteilen, ob er nach Zustellung des Berichts vom 31. August 2022 zum rechtlichen Rahmen für die Nutzung von Public-Cloud-Diensten in der Bundesverwaltung an seinem Begehren um Einsicht in die (im Rahmen der Beschaffung WTO 20007) erfolgten Abklärungen der Vorinstanz bezüglich der gesetzlichen Grundlage für eine Auslagerung von Daten in eine Public Cloud festhält.

5.
Über die Kosten dieser Zwischenverfügung und eine allfällige Parteientschädigung wird mit der Hauptsache entschieden.

6.
Weitere Instruktionsmassnahmen erfolgen nach Eintritt der Rechtskraft der vorliegenden Zwischenverfügung.

7.
Diese Verfügung geht an den Beschwerdeführer und die Vorinstanz.

Der Instruktionsrichter: Der Gerichtsschreiber:

Alexander Misic Benjamin Strässle

Rechtsmittelbelehrung:

Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bundesgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen Angelegenheiten geführt werden, sofern die Voraussetzungen gemäss Art. 82 ff ., 90 ff. und 100 BGG gegeben sind. Die Frist ist gewahrt, wenn die Beschwerde spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Handen der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung übergeben worden ist (Art. 48 Abs. 1 BGG). Die Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten. Der angefochtene Entscheid und die Beweismittel sind, soweit sie die beschwerdeführende Partei in Händen hat, beizulegen (Art. 42 BGG).

Versand:

Zustellung erfolgt an:

- den Beschwerdeführer (Einschreiben mit Rückschein; Beilage)

- die Vorinstanz (Einschreiben mit Rückschein; Beilage)

SR 172.021 Bundesgesetz vom 20. Dezember 1968 über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG) - Verwaltungsverfahrensgesetz VwVG Art. 5 - 1 Als Verfügungen gelten Anordnungen der Behörden im Einzelfall, die sich auf öffentliches Recht des Bundes stützen und zum Gegenstand haben:
¹	Als Verfügungen gelten Anordnungen der Behörden im Einzelfall, die sich auf öffentliches Recht des Bundes stützen und zum Gegenstand haben:
^a	Begründung, Änderung oder Aufhebung von Rechten oder Pflichten;
^b	Feststellung des Bestehens, Nichtbestehens oder Umfanges von Rechten oder Pflichten;
^c	Abweisung von Begehren auf Begründung, Änderung, Aufhebung oder Feststellung von Rechten oder Pflichten oder Nichteintreten auf solche Begehren.
²	Als Verfügungen gelten auch Vollstreckungsverfügungen (Art. 41 Abs. 1 Bst. a und b), Zwischenverfügungen (Art. 45 und 46), Einspracheentscheide (Art. 30 Abs. 2 Bst. b und 74), Beschwerdeentscheide (Art. 61), Entscheide im Rahmen einer Revision (Art. 68) und die Erläuterung (Art. 69).25
³	Erklärungen von Behörden über Ablehnung oder Erhebung von Ansprüchen, die auf dem Klageweg zu verfolgen sind, gelten nicht als Verfügungen.

SR 172.021 Bundesgesetz vom 20. Dezember 1968 über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG) - Verwaltungsverfahrensgesetz VwVG Art. 47 - 1 Beschwerdeinstanzen sind:
¹	Beschwerdeinstanzen sind:
^a	der Bundesrat nach den Artikeln 72 ff.;
^b	das Bundesverwaltungsgericht nach den Artikeln 31-34 des Verwaltungsgerichtsgesetzes vom 17. Juni 200587;
^c	andere Instanzen, die ein Bundesgesetz als Beschwerdeinstanzen bezeichnet;
^d	die Aufsichtsbehörde, wenn die Beschwerde an das Bundesverwaltungsgericht unzulässig ist und das Bundesrecht keine andere Beschwerdeinstanz bezeichnet.
²	Hat eine nicht endgültig entscheidende Beschwerdeinstanz im Einzelfalle eine Weisung erteilt, dass oder wie eine Vorinstanz verfügen soll, so ist die Verfügung unmittelbar an die nächsthöhere Beschwerdeinstanz weiterzuziehen; in der Rechtsmittelbelehrung ist darauf aufmerksam zu machen.90
³	...91
⁴	Weisungen, die eine Beschwerdeinstanz erteilt, wenn sie in der Sache entscheidet und diese an die Vorinstanz zurückweist, gelten nicht als Weisungen im Sinne von Absatz 2.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 3 Räumlicher Geltungsbereich - 1 Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
¹	Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
²	Für privatrechtliche Ansprüche gilt das Bundesgesetz vom 18. Dezember 19874 über das Internationale Privatrecht. Vorbehalten bleiben zudem die Bestimmungen zum räumlichen Geltungsbereich des Strafgesetzbuchs5.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 25 Auskunftsrecht - 1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
¹	Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
²	Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt:
^a	die Identität und die Kontaktdaten des Verantwortlichen;
^b	die bearbeiteten Personendaten als solche;
^c	der Bearbeitungszweck;
^d	die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
^e	die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
^f	gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
^g	gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.
³	Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.
⁴	Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig.
⁵	Niemand kann im Voraus auf das Auskunftsrecht verzichten.
⁶	Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist.
⁷	Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 25 Auskunftsrecht - 1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
¹	Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
²	Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt:
^a	die Identität und die Kontaktdaten des Verantwortlichen;
^b	die bearbeiteten Personendaten als solche;
^c	der Bearbeitungszweck;
^d	die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
^e	die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
^f	gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
^g	gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 19 Absatz 4.
³	Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.
⁴	Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig.
⁵	Niemand kann im Voraus auf das Auskunftsrecht verzichten.
⁶	Der Verantwortliche muss kostenlos Auskunft erteilen. Der Bundesrat kann Ausnahmen vorsehen, namentlich wenn der Aufwand unverhältnismässig ist.
⁷	Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 8 Datensicherheit - 1 Der Verantwortliche und der Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit.
¹	Der Verantwortliche und der Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit.
²	Die Massnahmen müssen es ermöglichen, Verletzungen der Datensicherheit zu vermeiden.
³	Der Bundesrat erlässt Bestimmungen über die Mindestanforderungen an die Datensicherheit.

SR 172.021 Bundesgesetz vom 20. Dezember 1968 über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG) - Verwaltungsverfahrensgesetz VwVG Art. 48 - 1 Zur Beschwerde ist berechtigt, wer:
¹	Zur Beschwerde ist berechtigt, wer:
^a	vor der Vorinstanz am Verfahren teilgenommen hat oder keine Möglichkeit zur Teilnahme erhalten hat;
^b	durch die angefochtene Verfügung besonders berührt ist; und
^c	ein schutzwürdiges Interesse an deren Aufhebung oder Änderung hat.
²	Zur Beschwerde berechtigt sind ferner Personen, Organisationen und Behörden, denen ein anderes Bundesgesetz dieses Recht einräumt.

SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz BGG Art. 82 Grundsatz - Das Bundesgericht beurteilt Beschwerden:
^a	gegen Entscheide in Angelegenheiten des öffentlichen Rechts;
^b	gegen kantonale Erlasse;
^c	betreffend die politische Stimmberechtigung der Bürger und Bürgerinnen sowie betreffend Volkswahlen und -abstimmungen.

SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz BGG Art. 48 Einhaltung - 1 Eingaben müssen spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Handen der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung übergeben werden.
¹	Eingaben müssen spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Handen der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung übergeben werden.
²	Im Falle der elektronischen Einreichung ist für die Wahrung einer Frist der Zeitpunkt massgebend, in dem die Quittung ausgestellt wird, die bestätigt, dass alle Schritte abgeschlossen sind, die auf der Seite der Partei für die Übermittlung notwendig sind.20
³	Die Frist gilt auch als gewahrt, wenn die Eingabe rechtzeitig bei der Vorinstanz oder bei einer unzuständigen eidgenössischen oder kantonalen Behörde eingereicht worden ist. Die Eingabe ist unverzüglich dem Bundesgericht zu übermitteln.
⁴	Die Frist für die Zahlung eines Vorschusses oder für eine Sicherstellung ist gewahrt, wenn der Betrag rechtzeitig zu Gunsten des Bundesgerichts der Schweizerischen Post übergeben oder einem Post- oder Bankkonto in der Schweiz belastet worden ist.

SR 173.110 Bundesgesetz vom 17. Juni 2005 über das Bundesgericht (Bundesgerichtsgesetz, BGG) - Bundesgerichtsgesetz BGG Art. 42 Rechtsschriften - 1 Rechtsschriften sind in einer Amtssprache abzufassen und haben die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten.
¹	Rechtsschriften sind in einer Amtssprache abzufassen und haben die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten.
^1bis	Wurde in einer Zivilsache das Verfahren vor der Vorinstanz in englischer Sprache geführt, so können Rechtsschriften in dieser Sprache abgefasst werden.14
²	In der Begründung ist in gedrängter Form darzulegen, inwiefern der angefochtene Akt Recht verletzt. Ist eine Beschwerde nur unter der Voraussetzung zulässig, dass sich eine Rechtsfrage von grundsätzlicher Bedeutung stellt oder aus anderen Gründen ein besonders bedeutender Fall vorliegt, so ist auszuführen, warum die jeweilige Voraussetzung erfüllt ist. 15 16
³	Die Urkunden, auf die sich die Partei als Beweismittel beruft, sind beizulegen, soweit die Partei sie in Händen hat; richtet sich die Rechtsschrift gegen einen Entscheid, so ist auch dieser beizulegen.
⁴	Bei elektronischer Einreichung muss die Rechtsschrift von der Partei oder ihrem Vertreter beziehungsweise ihrer Vertreterin mit einer qualifizierten elektronischen Signatur gemäss Bundesgesetz vom 18. März 201617 über die elektronische Signatur versehen werden. Das Bundesgericht bestimmt in einem Reglement:
^a	das Format der Rechtsschrift und ihrer Beilagen;
^b	die Art und Weise der Übermittlung;
^c	die Voraussetzungen, unter denen bei technischen Problemen die Nachreichung von Dokumenten auf Papier verlangt werden kann.18
⁵	Fehlen die Unterschrift der Partei oder ihrer Vertretung, deren Vollmacht oder die vorgeschriebenen Beilagen oder ist die Vertretung nicht zugelassen, so wird eine angemessene Frist zur Behebung des Mangels angesetzt mit der Androhung, dass die Rechtsschrift sonst unbeachtet bleibt.
⁶	Unleserliche, ungebührliche, unverständliche, übermässig weitschweifige oder nicht in einer Amtssprache verfasste Rechtsschriften können in gleicher Weise zur Änderung zurückgewiesen werden.
⁷	Rechtsschriften, die auf querulatorischer oder rechtsmissbräuchlicher Prozessführung beruhen, sind unzulässig.