A-661/2022 - 2022-10-27 - protection des données - Öffentlichkeitsprinzip und Datenschutz; Rechtsverweigerung

Bundesverwaltungsgericht
Tribunal administratif fédéral
Tribunale amministrativo federale
Tribunal administrativ federal

Abteilung I

Postfach

CH-9023 St. Gallen

Telefon +41 (0)58 465 25 02

Fax +41 (0)58 465 29 80

www.bundesverwaltungsgericht.ch

Geschäfts-Nr. A-661/2022

mia/kob

Zwischenverfügung
vom 27. Oktober 2022

In der Beschwerdesache

A._______,
Parteien
Beschwerdeführer,

gegen

Schweizerische Bundeskanzlei BK,

Bundeshaus West, 3003 Bern,

Vorinstanz,

Öffentlichkeitsprinzip und Datenschutz;
Gegenstand
Rechtsverweigerung,

stellt das Bundesverwaltungsgericht fest:

A.
A._______ richtete am 18. Januar 2022 ein Schreiben an die Schweizerische Bundeskanzlei. Das Schreiben hatte die geplante Auslagerung von Teilen der Datenbearbeitung durch den Bund in sogenannte Public Clouds zum Gegenstand. A._______ erkundigte sich nach der gesetzlichen Grundlage für eine solche Auslagerung und ersuchte gestützt auf das Öffentlichkeitsgesetz (BGÖ, SR 152.3) um Einsicht in die Abklärungen, die diesbezüglich unternommen worden seien. Für den Fall, dass keine hinreichende gesetzliche Grundlage bestehe, verlangte er den sofortigen Stopp der Auslagerung von Daten in (ausländische) Public Clouds oder andernfalls den Erlass einer anfechtbaren Verfügung. Zur Begründung verwies er auf das mit einer Auslagerung verbundene Risiko einer Offenbarung (persönlicher) Daten gegenüber Dritten und die fehlende Möglichkeit, die Offenbarung rückgängig zu machen.

B.
Die Schweizerische Bundeskanzlei antwortete mit Schreiben vom 21. Januar 2022, die Auslagerung von Daten und von deren Bearbeitung müsse rechtskonform erfolgen, was in jedem Fall durch eine vorgängige Prüfung der Rechtskonformität, eine Risikoanalyse und - bei Personendaten - eine Datenschutzfolgeabschätzung sichergestellt werde. Im Übrigen verwies die Schweizerische Bundeskanzlei auf die öffentlich zugänglichen Informationen zur Cloud-Strategie der Bundesverwaltung.

C.
Mit Schreiben vom 9. Februar 2022 erhobt A._______ (nachfolgend Beschwerdeführer) beim Bundesverwaltungsgericht Beschwerde. Er verlangt (sinngemäss), es sei die Schweizerische Bundeskanzlei (nachfolgend: Vorinstanz) zu verpflichten, die im Zusammenhang mit der Cloud-Strategie vorgenommenen rechtlichen Abklärungen offenzulegen und es sei zu überprüfen, ob für das sogenannte Cloud Computing, also das Auslagern von Daten in eine Public Cloud, eine hinreichende gesetzliche Grundlage vorhanden sei. Widrigenfalls sei die Vorinstanz anzuweisen, auf eine Datenauslagerung so lange zu verzichten, bis eine hinreichende gesetzliche Grundlage in Kraft stehe. In verfahrensrechtlicher Hinsicht verlangte der Beschwerdeführer sodann den Erlass vorsorglicher Massnahmen; bis zu einem Entscheid in der Sache sei die Vorinstanz anzuweisen, unverzüglich alle weiteren Arbeiten im Zusammenhang mit der Umsetzung der Cloud-Strategie des Bundes einzustellen.

Der Beschwerdeführer ist der Ansicht, dass es an einer hinreichenden gesetzlichen Grundlage fehlt, um Daten in Public Clouds auszulagern, insbesondere, da die Daten in diesem Fall Dritten offenbart würden. Er sieht sich aus diesem Grund und soweit der Bund Daten über seine Person bearbeite, in seinen Grundrechten verletzt. Ferner erfülle die Auslagerung von Daten in eine Public Cloud verschiedene Straftatbestände.

D.
Die Vorinstanz beantragte mit Schreiben vom 24. März 2022, es sei auf die Beschwerde nicht einzutreten und auf den Erlass vorsorglicher Massnahmen zu verzichten. Sie ist der Ansicht, es fehle dem Beschwerdeführer an einem schutzwürdigen Interesse und zudem seien die Rechtsbegehren nur in pauschaler Weise und somit nicht hinreichend begründet.

E.
Das Bundesverwaltungsgericht wies das Gesuch um Erlass vorsorglicher Massnahmen mit Zwischenverfügung vom 31. März 2022 ab. Es erwog, die Vorinstanz habe bisher weder über das Einsichtsbegehren noch hinsichtlich der vom Beschwerdeführer gerügten Datenbearbeitung eine Verfügung erlassen. Die Beschwerde sei daher als Rechtsverweigerungsbeschwerde entgegenzunehmen, welcher allerdings keine Devolutivwirkung zukomme. Die Zuständigkeit in der Sache verbleibe bei der (angeblich säumigen) Vorinstanz. Dies gelte aufgrund ihrer Akzessorietät, d.h. aufgrund der Verbindung mit der Entscheidung in der Hauptsache, auch für den Erlass vorsorglicher Massnahmen. Letztere stünden nicht im Zusammenhang mit dem Einsichtsbegehren, sondern mit der Bearbeitung seiner Personendaten bzw. der von ihm befürchteten Verschiebung dieser Daten in eine Public Cloud. Zwar könne dem Beschwerdeführer diesbezüglich ein schutzwürdiges Interesse nicht allein mit dem Argument abgesprochen werden, er sei von der geplanten Datenbearbeitung - einer allfälligen Verschiebung in eine Public Cloud - nicht intensiver betroffen als andere Personen, deren Daten durch Organe des Bundes bearbeitet würden. Ein Begehren um Erlass vorsorglicher Massnahmen sei, da die Vorinstanz noch nicht verfügt habe, jedoch zunächst an die Vorinstanz zu richten, was bisher nicht geschehen sei. Somit liege in Bezug auf den Erlass vorsorglicher Massnahmen noch kein Anfechtungsobjekt vor und stehe auch (noch) keine Rechtsverweigerung im Raum, weshalb das Gesuch anzuweisen sei.

F.
Mit Beschwerde vom 20. April 2022 an das Bundesgericht beantragte der Beschwerdeführer, es sei die Zwischenverfügung des Bundesverwaltungsgerichts vom 31. März 2022 aufzuheben und als vorsorgliche Massnahme die Vorinstanz anzuweisen, sofort sämtliche Aktivitäten im Bereich Cloud Computing einzustellen, bis festgestellt worden sei, ob eine hinreichende gesetzliche Grundlage für diese Aktivitäten bestehe. Zudem ersuchte der Beschwerdeführer das Bundesgericht um den Erlass vorsorglicher Massnahmen.

G.
Mit Präsidialverfügung vom 12. Mai 2022 wies das Bundesgericht das Gesuch um Erlass vorsorglicher Massnahmen ab; es gebe nach den Ausführungen der Vorinstanz derzeit keine konkreten Projekte, in deren Rahmen schutzwürdige Daten nichtberechtigten Dritten offenbart würden.

H.
Das Bundesgericht hiess die Beschwerde mit Urteil 1C_216/2022 vom 28. Juli 2022 gut, hob die Zwischenverfügung des Bundesverwaltungsgerichts vom 31. März 2022 auf und wies die Sache zur neuen und beförderlichen Behandlung an das Bundesverwaltungsgericht zurück. Es erwog, das Bundesverwaltungsgericht sei zu Unrecht von einer Obliegenheit des Beschwerdeführers ausgegangen, sein Begehren um Erlass vorsorglicher Massnahmen zunächst an die Vorinstanz richten zu müssen, habe dieser doch bereits in seinem Schreiben vom 18. Januar 2022 an die Vorinstanz auf die Dringlichkeit hingewiesen und sinngemäss verlangt, es sei die Auslagerung von (seinen) Daten in eine Public Cloud vorsorglich zu stoppen. Entsprechend und mit Blick auf die geltend gemachte Dringlichkeit sowie die Unwiderrufbarkeit einer Offenbarung von Personendaten sei das Bundesverwaltungsgericht unbesehen der bei der Vorinstanz verbleibenden Zuständigkeit verpflichtet, über den Erlass vorsorglicher Massnahmen zu entscheiden.

I.
Die Vorinstanz hat sich auf entsprechende Aufforderung durch das Bundesverwaltungsgericht mit Schreiben vom 23. August 2022 und vom 31. August 2022 zu der Frage der Zuständigkeit zum Entscheid über die Auslagerung von Daten in eine (ausländische) Public Cloud sowie zu konkreten Projekten zur Auslagerung von durch die Bundesverwaltung bearbeiteten Daten geäussert. Sie legt dar, dass der Bund im Rahmen einer Ausschreibung Dienstleistungen im Bereich Public Cloud beschafft habe (sog. Beschaffung WTO 20007). Die entsprechende Ausschreibung und die Vertragsverhandlungen seien von der Vorinstanz verantwortet worden. Dabei seien jedoch lediglich Rahmenverträge geschlossen worden. Der Entscheid über eine Auslagerung von Daten in eine Public Cloud obliege als Element der Bedarfsverwaltung sodann jedoch nicht der Vorinstanz, sondern derjenigen Verwaltungseinheit, die für die betreffenden Daten verantwortlich sei. Entsprechend werde auch ein allfälliger Vertrag über die Auslagerung von Daten - gestützt auf ein anbieterneutrales Pflichtenheft - zwischen der jeweiligen Verwaltungseinheit und der Anbieterin geschlossen.

Die Vorinstanz äussert sich sodann zu Projekten (im Rahmen der Beschaffung WTO 20007) zur Nutzung von Cloud-Dienstleistungen ausländischer Anbieter. Sie führt aus, im Rahmen der Beschaffung WTO 20007 würden das Bundesamt für Meteorologie und Klimatologie und das Bundesamt für Landestopografie je ein konkretes Projekt zur (fortgesetzten) Nutzung von Cloud-Dienstleistungen ausländischer Anbieter verfolgen. Projekte ausserhalb besagter Beschaffung würden der Vorinstanz nicht in jedem Fall zur Kenntnis gebracht. Bekannt seien ihr insbesondere zwei Projekte des Bundesamtes für Bauten und Logistik (BBL) im Bereich Personal und Beschaffung, in deren Rahmen unter anderem die zentrale Bundesverwaltung Cloud-Dienstleistungen im Bereich des Personals nutzen könne. Ferner verfolge die Vorinstanz ebenfalls ausserhalb der Beschaffung WTO 20007 das Projekt "Cloud Enabling Büroautomation" zur Einführung von bestimmten Applikationen von Microsoft in der Cloud. Dieses Projekt befinde sich derzeit in der Konzeptphase.

Des Weiteren führt die Vorinstanz aus, die Eidgenössische Steuerverwaltung (ESTV), die im Rahmen des Beschwerdeverfahrens explizit angefragt worden sei, verfolge derzeit kein konkretes Projekt zur Auslagerung von Steuerdaten in eine (ausländische) Public Cloud.

Mit Schreiben vom 31. August 2022 gibt die Vorinstanz ferner ihren Bericht vom 31. August 2022 zum rechtlichen Rahmen für die Nutzung von Public-Cloud-Diensten in der Bundesverwaltung zu den Akten.

J.
Der Beschwerdeführer hat mit Schreiben vom 21. August 2022 verschiedene Beweisanträge und Begehren um Akteneinsicht (nach erfolgter Edition) gestellt. Mit Schreiben vom 15. September 2022 hat er zudem eine Stellungnahme zu den Eingaben der Vorinstanz vom 23. August 2022 und vom 31. August 2022 eingereicht.

Der Beschwerdeführer schränkte zunächst sein Begehren um Erlass vorsorglicher Massnahmen auf jene Daten ein, für welche von der Bundesverwaltung noch keine Dienstleistungen im Bereich des Cloud-Computing genutzt würden. Im Weiteren hält er an seinem Rechtsbegehren fest und äussert sich erneut zur besonderen Betroffenheit und seinen schutzwürdigen Interessen; seitens der Bundesverwaltung würden die ESTV, die Vorinstanz, sowie das (heutige) Bundesamt (...) Daten über ihn bearbeiten und er habe ein schutzwürdiges Interesse daran, dass diese Daten - darunter Steuerdaten - Dritten nicht offenbar würden. Zudem wies er unter anderem darauf hin, dass von Seiten der einzelnen Verwaltungseinheiten ein Entscheid über die bevorstehende Auslagerung von Daten nicht bekannt gemacht werde. Die Bearbeitung seiner Personendaten betreffend werde ihm daher, wenn keine vorsorglichen Massnahmen erlassen würden, effektiver Rechtsschutz verweigert, könne doch eine einmal erfolgte Offenbarung von Daten gegenüber Dritten nicht rückgängig gemacht werden.

K.
Mit Schreiben vom 20. September 2022 hat die Vorinstanz eine weitere Stellungnahme eingereicht.

L.
Mit Medienmitteilung vom 27. September 2022 teilte die Vorinstanz mit, im Rahmen der Beschaffung WTO 20007 seien Rahmenverträge mit den Cloud-Anbietern Amazon, IBM, Microsoft, Oracle und Alibaba unterschrieben worden.

M.
Mit Instruktionsverfügung vom 30. September 2022 hat das Bundesverwaltungsgericht die Vorinstanz aufgefordert, für die Dauer des Beschwerdeverfahrens sämtliche Massnahmen im Zusammenhang mit der Archivierung bzw. Vernichtung des den Beschwerdeführer betreffenden Personaldossiers zu unterlassen.

N.
Mit Schreiben vom 7. Oktober 2022 hat der Beschwerdeführer eine weitere Stellungnahme eingereicht. Er weist darin unter anderem auf die Digitalisierung von physischen Personaldossiers und die Auslagerung von Daten aus dem elektronischen Personalinformationssystems in eine Public Cloud hin.

O.
Mit Schreiben vom 23. Oktober 2022 reicht der Beschwerdeführer eine weitere Stellungnahme ein. Er legt (erneut) dar, aus welchen Gründen das behördliche Handeln im Bereich der geplanten Auslagerung von Daten in Public Clouds nicht im öffentlichen Interesse liegt und zudem nicht mit (seinen) grund- und konventionsrechtlichen Ansprüchen konform ist.

P.
Mit Schreiben vom 25. Oktober 2022 teilt die Vorinstanz mit, dass das Personaldossier des Beschwerdeführers nicht in das Informationssystem für das Personaldatenmanagement überführt worden, sondern ausschliesslich physisch vorhanden sei.

Q.
Auf die weiteren Vorbringen der Parteien und die bei den Akten liegenden Schriftstücke ist, soweit im Rahmen der vorliegenden Zwischenverfügung für den Entscheid erheblich, im Rahmen der nachfolgenden Erwägungen einzugehen.

Das Bundesverwaltungsgericht zieht in Erwägung:

1.

1.1. Der Beschwerdeführer verlangt den Erlass vorsorglicher Massnahmen. Über solche Anträge entscheidet im Beschwerdeverfahren vor dem Bundesverwaltungsgericht der mit der Instruktion betraute Richter (Art. 56 des Verwaltungsverfahrensgesetzes [VwVG, SR 172.021] und Art. 39 Abs. 1 des Verwaltungsgerichtsgesetzes [VGG, SR 173.32]). Aufgrund ihrer Akzessorietät zur Hauptsache können vorsorgliche Massnahmen indes grundsätzlich nur zum Schutz von Interessen angeordnet werden, die innerhalb des Streitgegenstandes liegen. Die Abgrenzung ist deshalb bedeutsam, weil der Streitgegenstand gleichzeitig die sachliche und funktionelle Zuständigkeit der Beschwerdebehörde bestimmt; eine vorsorgliche Massnahme ist nicht Selbstzweck, sondern gewährleistet die Wirksamkeit des nachfolgenden Entscheids (Zwischenverfügung des BVGer
A-3464/2013 vom 16. Juli 2013 E. 4.2; Moser/Beusch/Kneubühler/Kayser, Prozessieren vor dem Bundesverwaltungsgericht, 3. Aufl. 2022, Rz. 3.18). Es muss daher glaubhaft erschienen, dass das Bundesverwaltungsgericht auf die Beschwerde wird eintreten können.

Es ist daher im Folgenden zunächst zu prüfen, ob das Bundesverwaltungsgericht voraussichtlich zum Entscheid über die Beschwerde zuständig ist und die weiteren Eintretensvoraussetzungen erfüllt sind.

1.2.

1.2.1. Gemäss Art. 31 VGG beurteilt das Bundesverwaltungsgericht Beschwerden gegen Verfügungen nach Art. 5 VwVG, soweit diese von einer Vorinstanz im Sinne von Art. 33 VGG erlassen worden sind und kein Ausnahmegrund im Sinne von Art. 32 VGG vorliegt. Zudem kann, wenn wie vorliegend die Vorinstanz (bisher) weder über das Einsichtsbegehren, noch über die vom Beschwerdeführer gerügte Bearbeitung von (seinen) Personendaten bzw. die von ihm befürchtete Verschiebung dieser Daten in eine Public Cloud verfügt hat, gegen das unrechtmässige Verweigern oder Verzögern einer anfechtbaren Verfügung Beschwerde geführt werden (Art. 46a VwVG). Anfechtungsobjekt ist in diesen Fällen das (unrechtmässige) Verweigern oder Verzögern einer Verfügung, was Art. 46a VwVG einer Verfügung gleichsetzt. Zuständige Beschwerdeinstanz ist diejenige Behörde, die zuständig wäre, wenn die verlangte Verfügung ordnungsgemäss ergangen wäre (vgl. Art. 47 VwVG).

1.2.2. Die Bearbeitung von Personendaten durch den Bund findet sich im Bundesgesetz über den Datenschutz (DSG, SR 235.1) geregelt. Dieses bildet entsprechend Anspruchsgrundlage für die Rechtsbegehren des Beschwerdeführers, der eine voraussichtlich widerrechtliche Bearbeitung von Personendaten rügt; als Bearbeiten gilt jeder Umgang mit Personendaten und somit auch das Auslagern in eine (ausländische) Public Cloud (Art. 3 Bst. e DSG).

Gemäss Art. 25 Abs. 1 DSG kann, wer ein schutzwürdiges Interesse hat, vom verantwortlichen Bundesorgan verlangen, dass es das widerrechtliche Bearbeiten von Personendaten unterlässt (Bst. a), die Folgen eines widerrechtlichen Bearbeitens beseitigt (Bst. b) oder die Widerrechtlichkeit des Bearbeitens feststellt (Bst. c). Insbesondere kann der Gesuchsteller verlangen, dass das Bundesorgan Personendaten berichtigt, vernichtet oder die Bekanntgabe an Dritte sperrt (Art. 25 Abs. 3 Bst. a DSG). Der Rechtsschutz gegen entsprechende Verfügungen - und damit auch gegen das (unrechtmässige) Verweigern oder Verzögern einer Verfügung - richtet sich nach den allgemeinen Bestimmungen über die Bundesrechtspflege und damit nach dem VwVG (Art. 33 Abs. 1 DSG).

1.2.3. Hätte die Vorinstanz ordnungsgemäss über die Begehren des Beschwerdeführers verfügt, wäre hiergegen die Beschwerde an das Bundesverwaltungsgericht offen gestanden. Dieselbe Zuständigkeitsordnung gilt, soweit eine Rechtsverweigerung geltend gemacht wird. Somit ist das Bundesverwaltungsgericht voraussichtlich zur Beurteilung der Rechtsverweigerungsbeschwerde und mithin auch zum Entscheid über die anbegehrten vorsorgliche Massnahmen zuständig.

Die Zuständigkeit des Bundesverwaltungsgerichts kann allerdings nicht weiter gehen als jene der Vorinstanz: Das DSG knüpft hinsichtlich der datenschutzrechtlichen Ansprüche am Inhaber der Datensammlung bzw. am verantwortlichen Bundesorgan an (vgl. Art. 8 Abs. 1 i.V.m. Art. 3 Bst. i sowie Art. 25 Abs. 1 DSG). Die datenschutzrechtliche Zuständigkeit der Vorinstanz und mithin auch jene des Bundesverwaltungsgerichts ist in somit beschränkt auf jene Daten bzw. Datensammlungen, für welche die Vorinstanz - nur gegen sie richtet sich die Rechtsverweigerungsbeschwerde - verantwortlich ist. Auch im Rahmen der Beschaffung WTO 20007 verbleibt die Verantwortlichkeit für die Datenbearbeitung bei den einzelnen Verwaltungseinheiten, die unter Berücksichtigung der gesetzlichen Vorgaben ihre Detailorganisation selbständig festlegen und somit in der Bedarfsverwaltung selbständig entscheiden (vgl. hierzu Art. 37 Abs. 2 Bst. c und Art. 43 Abs. 5 des Regierungs- und Verwaltungsorganisationsgesetzes [RVOG, SR 172.010]).

Die datenschutzrechtliche Zuständigkeitsordnung hat zur Folge, dass auf die Beschwerde, soweit sie sich gegen die Bearbeitung von Daten (des Beschwerdeführers) durch andere Verwaltungseinheiten als die Vorinstanz richtet, etwa die Bearbeitung von Steuerdaten durch die ESTV, mangels Zuständigkeit voraussichtlich nicht einzutreten sein wird. Dies wirkt sich auf das zu beurteilende Begehren um Erlass vorsorglicher Massnahmen aus, da Begehren um Erlass vorsorglicher Massnahmen, wie vorstehend erwogen, akzessorisch zur Hauptsache sind. Das Begehren des Beschwerdeführers um Erlass vorsorglicher Massnahmen ist daher abzuweisen, soweit Massnahmen zum Schutz vor einer nach Ansicht des Beschwerdeführers widerrechtlichen Bearbeitung von Personendaten (des Beschwerdeführers) durch andere Verwaltungseinheiten als die Vorinstanz verlangt werden. Soweit der Beschwerdeführer im Zusammenhang mit einer entsprechenden Datenbearbeitung datenschutzrechtliche Ansprüche geltend machen möchte, hat er sich mit einem konkreten Begehren an die jeweils für die Datenbearbeitung zuständige Behörde zu richten.

1.3. Zur Beschwerde ist berechtigt, wer am Verfahren vor der Vorinstanz teilgenommen hat, durch die angefochtene Verfügung besonders berührt ist und ein schutzwürdiges Interesse an deren Aufhebung oder Änderung besitzt (Art. 48 Abs. 1 VwVG).

Soweit sich der Anspruch des Beschwerdeführers auf seine Personendaten bezieht, ist ein schutzwürdiges Interesse ohne Weiteres gegeben; jede Bearbeitung von Personendaten ist ein Eingriff in das Grundrecht auf informationelle Selbstbestimmung (Art. 13 Abs. 2 BV) und der auf diese Weise Betroffene hat grundsätzlich ein aktuelles und praktisches Interesse daran, ungerechtfertigte Eingriffe abzuwehren. Zudem kann ein schutzwürdiges Interesse des Beschwerdeführers nicht allein mit dem Argument verneint werden, er sei von der Datenbearbeitung - einer allfälligen Verschiebung seiner Daten in eine Public Cloud - nicht intensiver betroffen als andere Personen, deren Daten durch Organe des Bundes bearbeitet würden (vgl. BGE 147 I 280 E. 6 ff., insbes. E. 6.2.1). Andernfalls würden gerade in Fällen, in denen Daten von einem Grossteil der Bevölkerung bearbeitet werden (müssen), die datenschutzrechtlichen Ansprüche aus formellen Gründen ihres Gehaltes entleert.

Mit Blick auf die höchstpersönliche Natur der grund- und konventionsrechtlich geschützten Privatsphäre ist allerdings einzuschränken, dass dem Beschwerdeführer ein schutzwürdiges Interesse allein in Bezug auf die Bearbeitung seiner Personendaten zukommt. Soweit er darüber hinaus in allgemeiner Weise für eine richtige Anwendung des Datenschutzrechts des Bundes einsteht und in genereller Weise eine Überprüfung des Cloud-Computing durch die Bundesverwaltung anbegehrt, ist ihm entgegenzuhalten, dass die schweizerische Verwaltungsrechtspflege weder eine generell-abstrakte Normenkontrolle, noch eine Popularbeschwerde kennt (vgl. Art. 44 und Art. 46a VwVG; BGE 147 I 280 E. 6 ff.).

Unter dieser Einschränkung wird daher auf die Beschwerde, soweit sie sich auf die Bearbeitung von Personendaten des Beschwerdeführers durch die Vorinstanz bezieht, voraussichtlich einzutreten sein.

1.4. Die weiteren Sachurteilsvoraussetzungen sind nach vorläufiger Prüfung gegeben, so dass unter Einschränkung des vorstehend Ausgeführten auf die Beschwerde voraussichtlich einzutreten sein wird. Das Verfahren vor dem Bundesverwaltungsgericht richtet sich dabei nach dem VwVG, soweit das VGG nichts anderes bestimmt (Art. 37 VGG).

2.

2.1. Der Beschwerdeführer verlangt, es sei die Vorinstanz bis zu einem Entscheid in der Sache anzuweisen, unverzüglich alle Arbeiten im Zusammenhang mit der Umsetzung der Cloud-Strategie des Bundes einzustellen und einstweilen auf die Auslagerung seiner Personendaten zu verzichten.

2.2. Gemäss Art. 56 VwVG kann nach Einreichung der Beschwerde der Instruktionsrichter von Amtes wegen oder auf Begehren einer Partei vorsorgliche Massnahmen treffen, um den bestehenden Zustand zu erhalten oder bedrohte Interessen einstweilen sicherzustellen. Mit vorsorglichen Massnahmen soll vermieden werden, dass Rechtsschutz nur unter Inkaufnahme erheblicher Nachteile erlangt werden kann oder gar illusorisch wird. Sie gewährleisten somit die Wirksamkeit des nachfolgenden Entscheids und dienen insofern der Verwirklichung materiellen Rechts. Vorsorgliche Massnahmen können im Laufe des Verfahrens geändert oder aufgehoben werden, wenn sich die Umstände verändert haben, und es können im Laufe des Verfahrens auch neue Begehren um Erlass vorsorglicher Massnahmen gestellt werden (BGE 130 II 149 E. 2.2, bestätigt mit Urteil des BGer 1C_251/2020 vom 8. November 2021 E. 5.1).

Die Anordnung vorsorglicher Massnahmen setzt Dringlichkeit voraus; es muss sich als notwendig erweisen, die fraglichen Vorkehren sofort zu treffen. Weiter muss der Verzicht auf die Massnahme für den Betroffenen einen nicht leicht wieder gutzumachenden Nachteil bewirken, wobei ein tatsächliches, insbesondere wirtschaftliches Interesse genügt. Erforderlich ist sodann, dass die Abwägung der berührten Interessen den Ausschlag für den vorsorglichen Rechtsschutz gibt und dieser somit verhältnismässig erscheint. Der durch die Endverfügung bzw. den Sachentscheid zu regelnde Zustand darf weder präjudiziert noch verunmöglicht werden (vgl. BGE 130 II 149 E. 2.2, bestätigt mit Urteil des BGer 1C_251/2020 vom 8. November 2021 E. 5.1).

Der Entscheid über die Anordnung vorsorglicher Massnahmen beruht auf einer summarischen Prüfung der Sach- und Rechtslage; es handelt sich um einen prima facie-Entscheid, der ohne vertieftes Studium der (Vor-)
Akten erfolgt. Neben den Untersuchungspflichten sind auch die Beweisanforderungen herabgesetzt. Es genügt in der Regel, wenn die Gründe für ein Begehren um Erlass vorsorglicher Massnahmen glaubhaft gemacht werden (vgl. Urteil des BGer 1C_251/2020 vom 8. November 2021 E. 5.1 mit Hinweis u.a. auf BGE 145 I 73 E. 7.2.3.2).

2.3. Vorliegend steht einzig die Bearbeitung von Personendaten des Beschwerdeführers durch die Vorinstanz in Frage (vgl. vorstehend E. 1); die Rechtsverweigerungsbeschwerde richtet sich gegen die Vorinstanz und die datenschutzrechtliche Verantwortlichkeit beschränkt sich auf jene Daten, die von der jeweiligen Verwaltungseinheit bearbeitet werden.

Aus den Akten ergibt sich, dass die Vorinstanz in der Vergangenheit die Personendaten des Beschwerdeführers im Zusammenhang mit einem Arbeits- sowie einem Auftragsverhältnis bearbeitet hat. Das Arbeitsverhältnis wurde im Jahr (...) aufgelöst und im elektronischen Personalinformationssystem werden gemäss der Vorinstanz (aus diesem Grund) keine Daten des Beschwerdeführers durch sie bearbeitet. Im Weiteren bestand ein Auftragsverhältnis mit dem vormaligen (...), das heute in den Bereich (...) innerhalb der Vorinstanz integriert ist. Der Beschwerdeführer macht im Rahmen seiner Mitwirkungspflichten jedoch nicht geltend, das Auftragsverhältnis bestehe fort. Abgesehen von der Speicherung bzw. Aufbewahrung von Personendaten des Beschwerdeführers werden heute keine Personendaten des Beschwerdeführers mehr durch die Vorinstanz bearbeitet oder neu in eine (ausländische) Public Cloud verschoben. Im Übrigen ist noch nicht ersichtlich, dass im Rahmen des Projekts zur Einführung bestimmter Microsoft 365-Applikationen in der Cloud, das sich derzeit noch in der Konzeptphase befindet, auch ältere Daten neu elektronisch abgelegt und/oder in einer Cloud gespeichert werden sollen.

Nach dem Gesagten droht derzeit keine (weitere) Auslagerung von Personendaten durch die Vorinstanz in eine (ausländische) Public Cloud und somit auch keine (weitere nicht wieder gut zu machende) Offenbarung gegenüber Dritten. Folglich mangelt es derzeit (noch) an einem Anordnungsgrund und jedenfalls an der für die Anordnung vorsorglicher Massnahmen erforderlichen Dringlichkeit. Das Gesuch des Beschwerdeführers um Erlass vorsorglicher Massnahmen ist daher abzuweisen und es erübrigt sich bei diesem Ergebnis, auf die weiteren Voraussetzungen für den Erlass vorsorglicher Massnahmen einzugehen. Aus dem Gesagten folgt jedoch auch, dass die Voraussetzung der Dringlichkeit allenfalls anders zu beurteilen sein wird, sollte die Vorinstanz während der Dauer des Beschwerdeverfahrens eine Auslagerung von Personendaten des Beschwerdeführers in eine (ausländische) Public Cloud in Betracht ziehen; unter geänderten Umständen ist allenfalls (von Amtes wegen) der Erlass vorsorglicher Massnahmen in Betracht zu ziehen. Die Vorinstanz ist daher aufzufordern, das Bundesverwaltungsgericht darüber in Kenntnis zu setzen, sollte während der Dauer des Beschwerdeverfahrens die Auslagerung von Personendaten des Beschwerdeführers in eine (ausländische) Public Cloud in Betracht gezogen werden.

3.
Über die Kosten dieser Zwischenverfügung und eine allfällige Parteientschädigung ist im Entscheid über die Hauptsache zu befinden.

Demnach verfügt das Bundesverwaltungsgericht:

1.
Das Gesuch des Beschwerdeführers vom 9. Februar 2022 um Erlass vorsorglicher Massnahmen wird abgewiesen.

2.
Die Vorinstanz wird aufgefordert, das Bundesverwaltungsgericht vor einem zukünftigen Entscheid über die Auslagerung von Personendaten des Beschwerdeführers in eine (ausländische) Public Cloud zu informieren.

3.
Je ein Exemplar des Schreibens des Beschwerdeführers vom 23. Oktober 2022 und des Schreibens der Vorinstanz vom 25. Oktober 2022 gehen wechselseitig an die Verfahrensbeteiligten.

4.
Der Beschwerdeführer wird darum ersucht, dem Bundesveraltungsgericht ebenfalls bis zum 30. November 2022 schriftlich mitzuteilen, ob er nach Zustellung des Berichts vom 31. August 2022 zum rechtlichen Rahmen für die Nutzung von Public-Cloud-Diensten in der Bundesverwaltung an seinem Begehren um Einsicht in die (im Rahmen der Beschaffung WTO 20007) erfolgten Abklärungen der Vorinstanz bezüglich der gesetzlichen Grundlage für eine Auslagerung von Daten in eine Public Cloud festhält.

5.
Über die Kosten dieser Zwischenverfügung und eine allfällige Parteientschädigung wird mit der Hauptsache entschieden.

6.
Weitere Instruktionsmassnahmen erfolgen nach Eintritt der Rechtskraft der vorliegenden Zwischenverfügung.

7.
Diese Verfügung geht an den Beschwerdeführer und die Vorinstanz.

Der Instruktionsrichter: Der Gerichtsschreiber:

Alexander Misic Benjamin Strässle

Rechtsmittelbelehrung:

Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bundesgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen Angelegenheiten geführt werden, sofern die Voraussetzungen gemäss Art. 82 ff ., 90 ff. und 100 BGG gegeben sind. Die Frist ist gewahrt, wenn die Beschwerde spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Handen der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung übergeben worden ist (Art. 48 Abs. 1 BGG). Die Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten. Der angefochtene Entscheid und die Beweismittel sind, soweit sie die beschwerdeführende Partei in Händen hat, beizulegen (Art. 42 BGG).

Versand:

Zustellung erfolgt an:

- den Beschwerdeführer (Einschreiben mit Rückschein; Beilage)

- die Vorinstanz (Einschreiben mit Rückschein; Beilage)

SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA) PA Art. 5 - 1 Sont considérées comme décisions les mesures prises par les autorités dans des cas d'espèce, fondées sur le droit public fédéral et ayant pour objet:
¹	Sont considérées comme décisions les mesures prises par les autorités dans des cas d'espèce, fondées sur le droit public fédéral et ayant pour objet:
^a	de créer, de modifier ou d'annuler des droits ou des obligations;
^b	de constater l'existence, l'inexistence ou l'étendue de droits ou d'obligations;
^c	de rejeter ou de déclarer irrecevables des demandes tendant à créer, modifier, annuler ou constater des droits ou obligations.
²	Sont aussi considérées comme des décisions les mesures en matière d'exécution (art. 41, al. 1, let. a et b), les décisions incidentes (art. 45 et 46), les décisions sur opposition (art. 30, al. 2, let. b, et 74), les décisions sur recours (art. 61), les décisions prises en matière de révision (art. 68) et d'interprétation (art. 69).25
³	Lorsqu'une autorité rejette ou invoque des prétentions à faire valoir par voie d'action, sa déclaration n'est pas considérée comme décision.

SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA) PA Art. 47 - 1 Sont autorités de recours:
¹	Sont autorités de recours:
^a	le Conseil fédéral, selon les art. 72 et suivants;
^b	le Tribunal administratif fédéral conformément aux art. 31 à 34 de la loi du 17 juin 2005 sur le Tribunal administratif fédéral86;
^c	les autres autorités désignées comme autorités de recours par d'autres lois fédérales;
^d	l'autorité de surveillance, si le recours au Tribunal administratif fédéral n'est pas ouvert et que le droit fédéral ne désigne aucune autre autorité de recours.
²	Lorsqu'une autorité de recours qui ne statuerait pas définitivement a, dans un cas d'espèce, prescrit à une autorité inférieure de prendre une décision ou lui a donné des instructions sur le contenu de cette décision, celle-ci doit être déférée directement à l'autorité de recours immédiatement supérieure; son attention doit être attirée sur ce point dans l'indication des voies de droit.89
³	...90
⁴	Les instructions données par une autorité de recours lorsque celle-ci statue sur l'affaire et la renvoie à l'autorité inférieure ne sont pas assimilables à des instructions au sens de l'al. 2.

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.
¹	La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.
²	Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5.

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
¹	Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
²	La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
^a	l'identité et les coordonnées du responsable du traitement;
^b	les données personnelles traitées en tant que telles;
^c	la finalité du traitement;
^d	la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
^e	les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
^f	le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
^g	le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
³	Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
⁴	Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
⁵	Nul ne peut renoncer par avance au droit d'accès.
⁶	Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
⁷	En règle générale, les renseignements sont fournis dans un délai de 30 jours.

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
¹	Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
²	La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
^a	l'identité et les coordonnées du responsable du traitement;
^b	les données personnelles traitées en tant que telles;
^c	la finalité du traitement;
^d	la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
^e	les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
^f	le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
^g	le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
³	Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
⁴	Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
⁵	Nul ne peut renoncer par avance au droit d'accès.
⁶	Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
⁷	En règle générale, les renseignements sont fournis dans un délai de 30 jours.

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru.
¹	Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru.
²	Les mesures doivent permettre d'éviter toute violation de la sécurité des données.
³	Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données.

SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA) PA Art. 48 - 1 A qualité pour recourir quiconque:
¹	A qualité pour recourir quiconque:
^a	a pris part à la procédure devant l'autorité inférieure ou a été privé de la possibilité de le faire;
^b	est spécialement atteint par la décision attaquée, et
^c	a un intérêt digne de protection à son annulation ou à sa modification.
²	A également qualité pour recourir toute personne, organisation ou autorité qu'une autre loi fédérale autorise à recourir.

SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 82 Principe - Le Tribunal fédéral connaît des recours:
^a	contre les décisions rendues dans des causes de droit public;
^b	contre les actes normatifs cantonaux;
^c	qui concernent le droit de vote des citoyens ainsi que les élections et votations populaires.

SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 48 Observation - 1 Les mémoires doivent être remis au plus tard le dernier jour du délai, soit au Tribunal fédéral soit, à l'attention de ce dernier, à La Poste Suisse ou à une représentation diplomatique ou consulaire suisse.
¹	Les mémoires doivent être remis au plus tard le dernier jour du délai, soit au Tribunal fédéral soit, à l'attention de ce dernier, à La Poste Suisse ou à une représentation diplomatique ou consulaire suisse.
²	En cas de transmission électronique, le moment déterminant pour l'observation d'un délai est celui où est établi l'accusé de réception qui confirme que la partie a accompli toutes les étapes nécessaires à la transmission.21
³	Le délai est également réputé observé si le mémoire est adressé en temps utile à l'autorité précédente ou à une autorité fédérale ou cantonale incompétente. Le mémoire doit alors être transmis sans délai au Tribunal fédéral.
⁴	Le délai pour le versement d'avances ou la fourniture de sûretés est observé si, avant son échéance, la somme due est versée à La Poste Suisse ou débitée en Suisse d'un compte postal ou bancaire en faveur du Tribunal fédéral.

SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire LTF Art. 42 Mémoires - 1 Les mémoires doivent être rédigés dans une langue officielle, indiquer les conclusions, les motifs et les moyens de preuve, et être signés.
¹	Les mémoires doivent être rédigés dans une langue officielle, indiquer les conclusions, les motifs et les moyens de preuve, et être signés.
^1bis	Lorsqu'une procédure en matière civile a été menée en anglais devant l'autorité précédente, les mémoires peuvent être rédigés en anglais.15
²	Les motifs doivent exposer succinctement en quoi l'acte attaqué viole le droit. Si le recours n'est recevable que lorsqu'il soulève une question juridique de principe ou qu'il porte sur un cas particulièrement important pour d'autres motifs, il faut exposer en quoi l'affaire remplit la condition exigée.16 17
³	Les pièces invoquées comme moyens de preuve doivent être jointes au mémoire, pour autant qu'elles soient en mains de la partie; il en va de même de la décision attaquée si le mémoire est dirigé contre une décision.
⁴	En cas de transmission électronique, le mémoire doit être muni de la signature électronique qualifiée de la partie ou de son mandataire au sens de la loi du 18 mars 2016 sur la signature électronique18. Le Tribunal fédéral détermine dans un règlement:
^a	le format du mémoire et des pièces jointes;
^b	les modalités de la transmission;
^c	les conditions auxquelles il peut exiger, en cas de problème technique, que des documents lui soient adressés ultérieurement sur papier.19
⁵	Si la signature de la partie ou de son mandataire, la procuration ou les annexes prescrites font défaut, ou si le mandataire n'est pas autorisé, le Tribunal fédéral impartit un délai approprié à la partie pour remédier à l'irrégularité et l'avertit qu'à défaut le mémoire ne sera pas pris en considération.
⁶	Si le mémoire est illisible, inconvenant, incompréhensible ou prolixe ou qu'il n'est pas rédigé dans une langue officielle, le Tribunal fédéral peut le renvoyer à son auteur; il impartit à celui-ci un délai approprié pour remédier à l'irrégularité et l'avertit qu'à défaut le mémoire ne sera pas pris en considération.
⁷	Le mémoire de recours introduit de manière procédurière ou à tout autre égard abusif est irrecevable.