A-661/2022 - 2022-10-27 - Protezione dei dati e principio della trasparenza - Öffentlichkeitsprinzip und Datenschutz; Rechtsverweigerung

Bundesverwaltungsgericht
Tribunal administratif fédéral
Tribunale amministrativo federale
Tribunal administrativ federal

Abteilung I

Postfach

CH-9023 St. Gallen

Telefon +41 (0)58 465 25 02

Fax +41 (0)58 465 29 80

www.bundesverwaltungsgericht.ch

Geschäfts-Nr. A-661/2022

mia/kob

Zwischenverfügung
vom 27. Oktober 2022

In der Beschwerdesache

A._______,
Parteien
Beschwerdeführer,

gegen

Schweizerische Bundeskanzlei BK,

Bundeshaus West, 3003 Bern,

Vorinstanz,

Öffentlichkeitsprinzip und Datenschutz;
Gegenstand
Rechtsverweigerung,

stellt das Bundesverwaltungsgericht fest:

A.
A._______ richtete am 18. Januar 2022 ein Schreiben an die Schweizerische Bundeskanzlei. Das Schreiben hatte die geplante Auslagerung von Teilen der Datenbearbeitung durch den Bund in sogenannte Public Clouds zum Gegenstand. A._______ erkundigte sich nach der gesetzlichen Grundlage für eine solche Auslagerung und ersuchte gestützt auf das Öffentlichkeitsgesetz (BGÖ, SR 152.3) um Einsicht in die Abklärungen, die diesbezüglich unternommen worden seien. Für den Fall, dass keine hinreichende gesetzliche Grundlage bestehe, verlangte er den sofortigen Stopp der Auslagerung von Daten in (ausländische) Public Clouds oder andernfalls den Erlass einer anfechtbaren Verfügung. Zur Begründung verwies er auf das mit einer Auslagerung verbundene Risiko einer Offenbarung (persönlicher) Daten gegenüber Dritten und die fehlende Möglichkeit, die Offenbarung rückgängig zu machen.

B.
Die Schweizerische Bundeskanzlei antwortete mit Schreiben vom 21. Januar 2022, die Auslagerung von Daten und von deren Bearbeitung müsse rechtskonform erfolgen, was in jedem Fall durch eine vorgängige Prüfung der Rechtskonformität, eine Risikoanalyse und - bei Personendaten - eine Datenschutzfolgeabschätzung sichergestellt werde. Im Übrigen verwies die Schweizerische Bundeskanzlei auf die öffentlich zugänglichen Informationen zur Cloud-Strategie der Bundesverwaltung.

C.
Mit Schreiben vom 9. Februar 2022 erhobt A._______ (nachfolgend Beschwerdeführer) beim Bundesverwaltungsgericht Beschwerde. Er verlangt (sinngemäss), es sei die Schweizerische Bundeskanzlei (nachfolgend: Vorinstanz) zu verpflichten, die im Zusammenhang mit der Cloud-Strategie vorgenommenen rechtlichen Abklärungen offenzulegen und es sei zu überprüfen, ob für das sogenannte Cloud Computing, also das Auslagern von Daten in eine Public Cloud, eine hinreichende gesetzliche Grundlage vorhanden sei. Widrigenfalls sei die Vorinstanz anzuweisen, auf eine Datenauslagerung so lange zu verzichten, bis eine hinreichende gesetzliche Grundlage in Kraft stehe. In verfahrensrechtlicher Hinsicht verlangte der Beschwerdeführer sodann den Erlass vorsorglicher Massnahmen; bis zu einem Entscheid in der Sache sei die Vorinstanz anzuweisen, unverzüglich alle weiteren Arbeiten im Zusammenhang mit der Umsetzung der Cloud-Strategie des Bundes einzustellen.

Der Beschwerdeführer ist der Ansicht, dass es an einer hinreichenden gesetzlichen Grundlage fehlt, um Daten in Public Clouds auszulagern, insbesondere, da die Daten in diesem Fall Dritten offenbart würden. Er sieht sich aus diesem Grund und soweit der Bund Daten über seine Person bearbeite, in seinen Grundrechten verletzt. Ferner erfülle die Auslagerung von Daten in eine Public Cloud verschiedene Straftatbestände.

D.
Die Vorinstanz beantragte mit Schreiben vom 24. März 2022, es sei auf die Beschwerde nicht einzutreten und auf den Erlass vorsorglicher Massnahmen zu verzichten. Sie ist der Ansicht, es fehle dem Beschwerdeführer an einem schutzwürdigen Interesse und zudem seien die Rechtsbegehren nur in pauschaler Weise und somit nicht hinreichend begründet.

E.
Das Bundesverwaltungsgericht wies das Gesuch um Erlass vorsorglicher Massnahmen mit Zwischenverfügung vom 31. März 2022 ab. Es erwog, die Vorinstanz habe bisher weder über das Einsichtsbegehren noch hinsichtlich der vom Beschwerdeführer gerügten Datenbearbeitung eine Verfügung erlassen. Die Beschwerde sei daher als Rechtsverweigerungsbeschwerde entgegenzunehmen, welcher allerdings keine Devolutivwirkung zukomme. Die Zuständigkeit in der Sache verbleibe bei der (angeblich säumigen) Vorinstanz. Dies gelte aufgrund ihrer Akzessorietät, d.h. aufgrund der Verbindung mit der Entscheidung in der Hauptsache, auch für den Erlass vorsorglicher Massnahmen. Letztere stünden nicht im Zusammenhang mit dem Einsichtsbegehren, sondern mit der Bearbeitung seiner Personendaten bzw. der von ihm befürchteten Verschiebung dieser Daten in eine Public Cloud. Zwar könne dem Beschwerdeführer diesbezüglich ein schutzwürdiges Interesse nicht allein mit dem Argument abgesprochen werden, er sei von der geplanten Datenbearbeitung - einer allfälligen Verschiebung in eine Public Cloud - nicht intensiver betroffen als andere Personen, deren Daten durch Organe des Bundes bearbeitet würden. Ein Begehren um Erlass vorsorglicher Massnahmen sei, da die Vorinstanz noch nicht verfügt habe, jedoch zunächst an die Vorinstanz zu richten, was bisher nicht geschehen sei. Somit liege in Bezug auf den Erlass vorsorglicher Massnahmen noch kein Anfechtungsobjekt vor und stehe auch (noch) keine Rechtsverweigerung im Raum, weshalb das Gesuch anzuweisen sei.

F.
Mit Beschwerde vom 20. April 2022 an das Bundesgericht beantragte der Beschwerdeführer, es sei die Zwischenverfügung des Bundesverwaltungsgerichts vom 31. März 2022 aufzuheben und als vorsorgliche Massnahme die Vorinstanz anzuweisen, sofort sämtliche Aktivitäten im Bereich Cloud Computing einzustellen, bis festgestellt worden sei, ob eine hinreichende gesetzliche Grundlage für diese Aktivitäten bestehe. Zudem ersuchte der Beschwerdeführer das Bundesgericht um den Erlass vorsorglicher Massnahmen.

G.
Mit Präsidialverfügung vom 12. Mai 2022 wies das Bundesgericht das Gesuch um Erlass vorsorglicher Massnahmen ab; es gebe nach den Ausführungen der Vorinstanz derzeit keine konkreten Projekte, in deren Rahmen schutzwürdige Daten nichtberechtigten Dritten offenbart würden.

H.
Das Bundesgericht hiess die Beschwerde mit Urteil 1C_216/2022 vom 28. Juli 2022 gut, hob die Zwischenverfügung des Bundesverwaltungsgerichts vom 31. März 2022 auf und wies die Sache zur neuen und beförderlichen Behandlung an das Bundesverwaltungsgericht zurück. Es erwog, das Bundesverwaltungsgericht sei zu Unrecht von einer Obliegenheit des Beschwerdeführers ausgegangen, sein Begehren um Erlass vorsorglicher Massnahmen zunächst an die Vorinstanz richten zu müssen, habe dieser doch bereits in seinem Schreiben vom 18. Januar 2022 an die Vorinstanz auf die Dringlichkeit hingewiesen und sinngemäss verlangt, es sei die Auslagerung von (seinen) Daten in eine Public Cloud vorsorglich zu stoppen. Entsprechend und mit Blick auf die geltend gemachte Dringlichkeit sowie die Unwiderrufbarkeit einer Offenbarung von Personendaten sei das Bundesverwaltungsgericht unbesehen der bei der Vorinstanz verbleibenden Zuständigkeit verpflichtet, über den Erlass vorsorglicher Massnahmen zu entscheiden.

I.
Die Vorinstanz hat sich auf entsprechende Aufforderung durch das Bundesverwaltungsgericht mit Schreiben vom 23. August 2022 und vom 31. August 2022 zu der Frage der Zuständigkeit zum Entscheid über die Auslagerung von Daten in eine (ausländische) Public Cloud sowie zu konkreten Projekten zur Auslagerung von durch die Bundesverwaltung bearbeiteten Daten geäussert. Sie legt dar, dass der Bund im Rahmen einer Ausschreibung Dienstleistungen im Bereich Public Cloud beschafft habe (sog. Beschaffung WTO 20007). Die entsprechende Ausschreibung und die Vertragsverhandlungen seien von der Vorinstanz verantwortet worden. Dabei seien jedoch lediglich Rahmenverträge geschlossen worden. Der Entscheid über eine Auslagerung von Daten in eine Public Cloud obliege als Element der Bedarfsverwaltung sodann jedoch nicht der Vorinstanz, sondern derjenigen Verwaltungseinheit, die für die betreffenden Daten verantwortlich sei. Entsprechend werde auch ein allfälliger Vertrag über die Auslagerung von Daten - gestützt auf ein anbieterneutrales Pflichtenheft - zwischen der jeweiligen Verwaltungseinheit und der Anbieterin geschlossen.

Die Vorinstanz äussert sich sodann zu Projekten (im Rahmen der Beschaffung WTO 20007) zur Nutzung von Cloud-Dienstleistungen ausländischer Anbieter. Sie führt aus, im Rahmen der Beschaffung WTO 20007 würden das Bundesamt für Meteorologie und Klimatologie und das Bundesamt für Landestopografie je ein konkretes Projekt zur (fortgesetzten) Nutzung von Cloud-Dienstleistungen ausländischer Anbieter verfolgen. Projekte ausserhalb besagter Beschaffung würden der Vorinstanz nicht in jedem Fall zur Kenntnis gebracht. Bekannt seien ihr insbesondere zwei Projekte des Bundesamtes für Bauten und Logistik (BBL) im Bereich Personal und Beschaffung, in deren Rahmen unter anderem die zentrale Bundesverwaltung Cloud-Dienstleistungen im Bereich des Personals nutzen könne. Ferner verfolge die Vorinstanz ebenfalls ausserhalb der Beschaffung WTO 20007 das Projekt "Cloud Enabling Büroautomation" zur Einführung von bestimmten Applikationen von Microsoft in der Cloud. Dieses Projekt befinde sich derzeit in der Konzeptphase.

Des Weiteren führt die Vorinstanz aus, die Eidgenössische Steuerverwaltung (ESTV), die im Rahmen des Beschwerdeverfahrens explizit angefragt worden sei, verfolge derzeit kein konkretes Projekt zur Auslagerung von Steuerdaten in eine (ausländische) Public Cloud.

Mit Schreiben vom 31. August 2022 gibt die Vorinstanz ferner ihren Bericht vom 31. August 2022 zum rechtlichen Rahmen für die Nutzung von Public-Cloud-Diensten in der Bundesverwaltung zu den Akten.

J.
Der Beschwerdeführer hat mit Schreiben vom 21. August 2022 verschiedene Beweisanträge und Begehren um Akteneinsicht (nach erfolgter Edition) gestellt. Mit Schreiben vom 15. September 2022 hat er zudem eine Stellungnahme zu den Eingaben der Vorinstanz vom 23. August 2022 und vom 31. August 2022 eingereicht.

Der Beschwerdeführer schränkte zunächst sein Begehren um Erlass vorsorglicher Massnahmen auf jene Daten ein, für welche von der Bundesverwaltung noch keine Dienstleistungen im Bereich des Cloud-Computing genutzt würden. Im Weiteren hält er an seinem Rechtsbegehren fest und äussert sich erneut zur besonderen Betroffenheit und seinen schutzwürdigen Interessen; seitens der Bundesverwaltung würden die ESTV, die Vorinstanz, sowie das (heutige) Bundesamt (...) Daten über ihn bearbeiten und er habe ein schutzwürdiges Interesse daran, dass diese Daten - darunter Steuerdaten - Dritten nicht offenbar würden. Zudem wies er unter anderem darauf hin, dass von Seiten der einzelnen Verwaltungseinheiten ein Entscheid über die bevorstehende Auslagerung von Daten nicht bekannt gemacht werde. Die Bearbeitung seiner Personendaten betreffend werde ihm daher, wenn keine vorsorglichen Massnahmen erlassen würden, effektiver Rechtsschutz verweigert, könne doch eine einmal erfolgte Offenbarung von Daten gegenüber Dritten nicht rückgängig gemacht werden.

K.
Mit Schreiben vom 20. September 2022 hat die Vorinstanz eine weitere Stellungnahme eingereicht.

L.
Mit Medienmitteilung vom 27. September 2022 teilte die Vorinstanz mit, im Rahmen der Beschaffung WTO 20007 seien Rahmenverträge mit den Cloud-Anbietern Amazon, IBM, Microsoft, Oracle und Alibaba unterschrieben worden.

M.
Mit Instruktionsverfügung vom 30. September 2022 hat das Bundesverwaltungsgericht die Vorinstanz aufgefordert, für die Dauer des Beschwerdeverfahrens sämtliche Massnahmen im Zusammenhang mit der Archivierung bzw. Vernichtung des den Beschwerdeführer betreffenden Personaldossiers zu unterlassen.

N.
Mit Schreiben vom 7. Oktober 2022 hat der Beschwerdeführer eine weitere Stellungnahme eingereicht. Er weist darin unter anderem auf die Digitalisierung von physischen Personaldossiers und die Auslagerung von Daten aus dem elektronischen Personalinformationssystems in eine Public Cloud hin.

O.
Mit Schreiben vom 23. Oktober 2022 reicht der Beschwerdeführer eine weitere Stellungnahme ein. Er legt (erneut) dar, aus welchen Gründen das behördliche Handeln im Bereich der geplanten Auslagerung von Daten in Public Clouds nicht im öffentlichen Interesse liegt und zudem nicht mit (seinen) grund- und konventionsrechtlichen Ansprüchen konform ist.

P.
Mit Schreiben vom 25. Oktober 2022 teilt die Vorinstanz mit, dass das Personaldossier des Beschwerdeführers nicht in das Informationssystem für das Personaldatenmanagement überführt worden, sondern ausschliesslich physisch vorhanden sei.

Q.
Auf die weiteren Vorbringen der Parteien und die bei den Akten liegenden Schriftstücke ist, soweit im Rahmen der vorliegenden Zwischenverfügung für den Entscheid erheblich, im Rahmen der nachfolgenden Erwägungen einzugehen.

Das Bundesverwaltungsgericht zieht in Erwägung:

1.

1.1. Der Beschwerdeführer verlangt den Erlass vorsorglicher Massnahmen. Über solche Anträge entscheidet im Beschwerdeverfahren vor dem Bundesverwaltungsgericht der mit der Instruktion betraute Richter (Art. 56 des Verwaltungsverfahrensgesetzes [VwVG, SR 172.021] und Art. 39 Abs. 1 des Verwaltungsgerichtsgesetzes [VGG, SR 173.32]). Aufgrund ihrer Akzessorietät zur Hauptsache können vorsorgliche Massnahmen indes grundsätzlich nur zum Schutz von Interessen angeordnet werden, die innerhalb des Streitgegenstandes liegen. Die Abgrenzung ist deshalb bedeutsam, weil der Streitgegenstand gleichzeitig die sachliche und funktionelle Zuständigkeit der Beschwerdebehörde bestimmt; eine vorsorgliche Massnahme ist nicht Selbstzweck, sondern gewährleistet die Wirksamkeit des nachfolgenden Entscheids (Zwischenverfügung des BVGer
A-3464/2013 vom 16. Juli 2013 E. 4.2; Moser/Beusch/Kneubühler/Kayser, Prozessieren vor dem Bundesverwaltungsgericht, 3. Aufl. 2022, Rz. 3.18). Es muss daher glaubhaft erschienen, dass das Bundesverwaltungsgericht auf die Beschwerde wird eintreten können.

Es ist daher im Folgenden zunächst zu prüfen, ob das Bundesverwaltungsgericht voraussichtlich zum Entscheid über die Beschwerde zuständig ist und die weiteren Eintretensvoraussetzungen erfüllt sind.

1.2.

1.2.1. Gemäss Art. 31 VGG beurteilt das Bundesverwaltungsgericht Beschwerden gegen Verfügungen nach Art. 5 VwVG, soweit diese von einer Vorinstanz im Sinne von Art. 33 VGG erlassen worden sind und kein Ausnahmegrund im Sinne von Art. 32 VGG vorliegt. Zudem kann, wenn wie vorliegend die Vorinstanz (bisher) weder über das Einsichtsbegehren, noch über die vom Beschwerdeführer gerügte Bearbeitung von (seinen) Personendaten bzw. die von ihm befürchtete Verschiebung dieser Daten in eine Public Cloud verfügt hat, gegen das unrechtmässige Verweigern oder Verzögern einer anfechtbaren Verfügung Beschwerde geführt werden (Art. 46a VwVG). Anfechtungsobjekt ist in diesen Fällen das (unrechtmässige) Verweigern oder Verzögern einer Verfügung, was Art. 46a VwVG einer Verfügung gleichsetzt. Zuständige Beschwerdeinstanz ist diejenige Behörde, die zuständig wäre, wenn die verlangte Verfügung ordnungsgemäss ergangen wäre (vgl. Art. 47 VwVG).

1.2.2. Die Bearbeitung von Personendaten durch den Bund findet sich im Bundesgesetz über den Datenschutz (DSG, SR 235.1) geregelt. Dieses bildet entsprechend Anspruchsgrundlage für die Rechtsbegehren des Beschwerdeführers, der eine voraussichtlich widerrechtliche Bearbeitung von Personendaten rügt; als Bearbeiten gilt jeder Umgang mit Personendaten und somit auch das Auslagern in eine (ausländische) Public Cloud (Art. 3 Bst. e DSG).

Gemäss Art. 25 Abs. 1 DSG kann, wer ein schutzwürdiges Interesse hat, vom verantwortlichen Bundesorgan verlangen, dass es das widerrechtliche Bearbeiten von Personendaten unterlässt (Bst. a), die Folgen eines widerrechtlichen Bearbeitens beseitigt (Bst. b) oder die Widerrechtlichkeit des Bearbeitens feststellt (Bst. c). Insbesondere kann der Gesuchsteller verlangen, dass das Bundesorgan Personendaten berichtigt, vernichtet oder die Bekanntgabe an Dritte sperrt (Art. 25 Abs. 3 Bst. a DSG). Der Rechtsschutz gegen entsprechende Verfügungen - und damit auch gegen das (unrechtmässige) Verweigern oder Verzögern einer Verfügung - richtet sich nach den allgemeinen Bestimmungen über die Bundesrechtspflege und damit nach dem VwVG (Art. 33 Abs. 1 DSG).

1.2.3. Hätte die Vorinstanz ordnungsgemäss über die Begehren des Beschwerdeführers verfügt, wäre hiergegen die Beschwerde an das Bundesverwaltungsgericht offen gestanden. Dieselbe Zuständigkeitsordnung gilt, soweit eine Rechtsverweigerung geltend gemacht wird. Somit ist das Bundesverwaltungsgericht voraussichtlich zur Beurteilung der Rechtsverweigerungsbeschwerde und mithin auch zum Entscheid über die anbegehrten vorsorgliche Massnahmen zuständig.

Die Zuständigkeit des Bundesverwaltungsgerichts kann allerdings nicht weiter gehen als jene der Vorinstanz: Das DSG knüpft hinsichtlich der datenschutzrechtlichen Ansprüche am Inhaber der Datensammlung bzw. am verantwortlichen Bundesorgan an (vgl. Art. 8 Abs. 1 i.V.m. Art. 3 Bst. i sowie Art. 25 Abs. 1 DSG). Die datenschutzrechtliche Zuständigkeit der Vorinstanz und mithin auch jene des Bundesverwaltungsgerichts ist in somit beschränkt auf jene Daten bzw. Datensammlungen, für welche die Vorinstanz - nur gegen sie richtet sich die Rechtsverweigerungsbeschwerde - verantwortlich ist. Auch im Rahmen der Beschaffung WTO 20007 verbleibt die Verantwortlichkeit für die Datenbearbeitung bei den einzelnen Verwaltungseinheiten, die unter Berücksichtigung der gesetzlichen Vorgaben ihre Detailorganisation selbständig festlegen und somit in der Bedarfsverwaltung selbständig entscheiden (vgl. hierzu Art. 37 Abs. 2 Bst. c und Art. 43 Abs. 5 des Regierungs- und Verwaltungsorganisationsgesetzes [RVOG, SR 172.010]).

Die datenschutzrechtliche Zuständigkeitsordnung hat zur Folge, dass auf die Beschwerde, soweit sie sich gegen die Bearbeitung von Daten (des Beschwerdeführers) durch andere Verwaltungseinheiten als die Vorinstanz richtet, etwa die Bearbeitung von Steuerdaten durch die ESTV, mangels Zuständigkeit voraussichtlich nicht einzutreten sein wird. Dies wirkt sich auf das zu beurteilende Begehren um Erlass vorsorglicher Massnahmen aus, da Begehren um Erlass vorsorglicher Massnahmen, wie vorstehend erwogen, akzessorisch zur Hauptsache sind. Das Begehren des Beschwerdeführers um Erlass vorsorglicher Massnahmen ist daher abzuweisen, soweit Massnahmen zum Schutz vor einer nach Ansicht des Beschwerdeführers widerrechtlichen Bearbeitung von Personendaten (des Beschwerdeführers) durch andere Verwaltungseinheiten als die Vorinstanz verlangt werden. Soweit der Beschwerdeführer im Zusammenhang mit einer entsprechenden Datenbearbeitung datenschutzrechtliche Ansprüche geltend machen möchte, hat er sich mit einem konkreten Begehren an die jeweils für die Datenbearbeitung zuständige Behörde zu richten.

1.3. Zur Beschwerde ist berechtigt, wer am Verfahren vor der Vorinstanz teilgenommen hat, durch die angefochtene Verfügung besonders berührt ist und ein schutzwürdiges Interesse an deren Aufhebung oder Änderung besitzt (Art. 48 Abs. 1 VwVG).

Soweit sich der Anspruch des Beschwerdeführers auf seine Personendaten bezieht, ist ein schutzwürdiges Interesse ohne Weiteres gegeben; jede Bearbeitung von Personendaten ist ein Eingriff in das Grundrecht auf informationelle Selbstbestimmung (Art. 13 Abs. 2 BV) und der auf diese Weise Betroffene hat grundsätzlich ein aktuelles und praktisches Interesse daran, ungerechtfertigte Eingriffe abzuwehren. Zudem kann ein schutzwürdiges Interesse des Beschwerdeführers nicht allein mit dem Argument verneint werden, er sei von der Datenbearbeitung - einer allfälligen Verschiebung seiner Daten in eine Public Cloud - nicht intensiver betroffen als andere Personen, deren Daten durch Organe des Bundes bearbeitet würden (vgl. BGE 147 I 280 E. 6 ff., insbes. E. 6.2.1). Andernfalls würden gerade in Fällen, in denen Daten von einem Grossteil der Bevölkerung bearbeitet werden (müssen), die datenschutzrechtlichen Ansprüche aus formellen Gründen ihres Gehaltes entleert.

Mit Blick auf die höchstpersönliche Natur der grund- und konventionsrechtlich geschützten Privatsphäre ist allerdings einzuschränken, dass dem Beschwerdeführer ein schutzwürdiges Interesse allein in Bezug auf die Bearbeitung seiner Personendaten zukommt. Soweit er darüber hinaus in allgemeiner Weise für eine richtige Anwendung des Datenschutzrechts des Bundes einsteht und in genereller Weise eine Überprüfung des Cloud-Computing durch die Bundesverwaltung anbegehrt, ist ihm entgegenzuhalten, dass die schweizerische Verwaltungsrechtspflege weder eine generell-abstrakte Normenkontrolle, noch eine Popularbeschwerde kennt (vgl. Art. 44 und Art. 46a VwVG; BGE 147 I 280 E. 6 ff.).

Unter dieser Einschränkung wird daher auf die Beschwerde, soweit sie sich auf die Bearbeitung von Personendaten des Beschwerdeführers durch die Vorinstanz bezieht, voraussichtlich einzutreten sein.

1.4. Die weiteren Sachurteilsvoraussetzungen sind nach vorläufiger Prüfung gegeben, so dass unter Einschränkung des vorstehend Ausgeführten auf die Beschwerde voraussichtlich einzutreten sein wird. Das Verfahren vor dem Bundesverwaltungsgericht richtet sich dabei nach dem VwVG, soweit das VGG nichts anderes bestimmt (Art. 37 VGG).

2.

2.1. Der Beschwerdeführer verlangt, es sei die Vorinstanz bis zu einem Entscheid in der Sache anzuweisen, unverzüglich alle Arbeiten im Zusammenhang mit der Umsetzung der Cloud-Strategie des Bundes einzustellen und einstweilen auf die Auslagerung seiner Personendaten zu verzichten.

2.2. Gemäss Art. 56 VwVG kann nach Einreichung der Beschwerde der Instruktionsrichter von Amtes wegen oder auf Begehren einer Partei vorsorgliche Massnahmen treffen, um den bestehenden Zustand zu erhalten oder bedrohte Interessen einstweilen sicherzustellen. Mit vorsorglichen Massnahmen soll vermieden werden, dass Rechtsschutz nur unter Inkaufnahme erheblicher Nachteile erlangt werden kann oder gar illusorisch wird. Sie gewährleisten somit die Wirksamkeit des nachfolgenden Entscheids und dienen insofern der Verwirklichung materiellen Rechts. Vorsorgliche Massnahmen können im Laufe des Verfahrens geändert oder aufgehoben werden, wenn sich die Umstände verändert haben, und es können im Laufe des Verfahrens auch neue Begehren um Erlass vorsorglicher Massnahmen gestellt werden (BGE 130 II 149 E. 2.2, bestätigt mit Urteil des BGer 1C_251/2020 vom 8. November 2021 E. 5.1).

Die Anordnung vorsorglicher Massnahmen setzt Dringlichkeit voraus; es muss sich als notwendig erweisen, die fraglichen Vorkehren sofort zu treffen. Weiter muss der Verzicht auf die Massnahme für den Betroffenen einen nicht leicht wieder gutzumachenden Nachteil bewirken, wobei ein tatsächliches, insbesondere wirtschaftliches Interesse genügt. Erforderlich ist sodann, dass die Abwägung der berührten Interessen den Ausschlag für den vorsorglichen Rechtsschutz gibt und dieser somit verhältnismässig erscheint. Der durch die Endverfügung bzw. den Sachentscheid zu regelnde Zustand darf weder präjudiziert noch verunmöglicht werden (vgl. BGE 130 II 149 E. 2.2, bestätigt mit Urteil des BGer 1C_251/2020 vom 8. November 2021 E. 5.1).

Der Entscheid über die Anordnung vorsorglicher Massnahmen beruht auf einer summarischen Prüfung der Sach- und Rechtslage; es handelt sich um einen prima facie-Entscheid, der ohne vertieftes Studium der (Vor-)
Akten erfolgt. Neben den Untersuchungspflichten sind auch die Beweisanforderungen herabgesetzt. Es genügt in der Regel, wenn die Gründe für ein Begehren um Erlass vorsorglicher Massnahmen glaubhaft gemacht werden (vgl. Urteil des BGer 1C_251/2020 vom 8. November 2021 E. 5.1 mit Hinweis u.a. auf BGE 145 I 73 E. 7.2.3.2).

2.3. Vorliegend steht einzig die Bearbeitung von Personendaten des Beschwerdeführers durch die Vorinstanz in Frage (vgl. vorstehend E. 1); die Rechtsverweigerungsbeschwerde richtet sich gegen die Vorinstanz und die datenschutzrechtliche Verantwortlichkeit beschränkt sich auf jene Daten, die von der jeweiligen Verwaltungseinheit bearbeitet werden.

Aus den Akten ergibt sich, dass die Vorinstanz in der Vergangenheit die Personendaten des Beschwerdeführers im Zusammenhang mit einem Arbeits- sowie einem Auftragsverhältnis bearbeitet hat. Das Arbeitsverhältnis wurde im Jahr (...) aufgelöst und im elektronischen Personalinformationssystem werden gemäss der Vorinstanz (aus diesem Grund) keine Daten des Beschwerdeführers durch sie bearbeitet. Im Weiteren bestand ein Auftragsverhältnis mit dem vormaligen (...), das heute in den Bereich (...) innerhalb der Vorinstanz integriert ist. Der Beschwerdeführer macht im Rahmen seiner Mitwirkungspflichten jedoch nicht geltend, das Auftragsverhältnis bestehe fort. Abgesehen von der Speicherung bzw. Aufbewahrung von Personendaten des Beschwerdeführers werden heute keine Personendaten des Beschwerdeführers mehr durch die Vorinstanz bearbeitet oder neu in eine (ausländische) Public Cloud verschoben. Im Übrigen ist noch nicht ersichtlich, dass im Rahmen des Projekts zur Einführung bestimmter Microsoft 365-Applikationen in der Cloud, das sich derzeit noch in der Konzeptphase befindet, auch ältere Daten neu elektronisch abgelegt und/oder in einer Cloud gespeichert werden sollen.

Nach dem Gesagten droht derzeit keine (weitere) Auslagerung von Personendaten durch die Vorinstanz in eine (ausländische) Public Cloud und somit auch keine (weitere nicht wieder gut zu machende) Offenbarung gegenüber Dritten. Folglich mangelt es derzeit (noch) an einem Anordnungsgrund und jedenfalls an der für die Anordnung vorsorglicher Massnahmen erforderlichen Dringlichkeit. Das Gesuch des Beschwerdeführers um Erlass vorsorglicher Massnahmen ist daher abzuweisen und es erübrigt sich bei diesem Ergebnis, auf die weiteren Voraussetzungen für den Erlass vorsorglicher Massnahmen einzugehen. Aus dem Gesagten folgt jedoch auch, dass die Voraussetzung der Dringlichkeit allenfalls anders zu beurteilen sein wird, sollte die Vorinstanz während der Dauer des Beschwerdeverfahrens eine Auslagerung von Personendaten des Beschwerdeführers in eine (ausländische) Public Cloud in Betracht ziehen; unter geänderten Umständen ist allenfalls (von Amtes wegen) der Erlass vorsorglicher Massnahmen in Betracht zu ziehen. Die Vorinstanz ist daher aufzufordern, das Bundesverwaltungsgericht darüber in Kenntnis zu setzen, sollte während der Dauer des Beschwerdeverfahrens die Auslagerung von Personendaten des Beschwerdeführers in eine (ausländische) Public Cloud in Betracht gezogen werden.

3.
Über die Kosten dieser Zwischenverfügung und eine allfällige Parteientschädigung ist im Entscheid über die Hauptsache zu befinden.

Demnach verfügt das Bundesverwaltungsgericht:

1.
Das Gesuch des Beschwerdeführers vom 9. Februar 2022 um Erlass vorsorglicher Massnahmen wird abgewiesen.

2.
Die Vorinstanz wird aufgefordert, das Bundesverwaltungsgericht vor einem zukünftigen Entscheid über die Auslagerung von Personendaten des Beschwerdeführers in eine (ausländische) Public Cloud zu informieren.

3.
Je ein Exemplar des Schreibens des Beschwerdeführers vom 23. Oktober 2022 und des Schreibens der Vorinstanz vom 25. Oktober 2022 gehen wechselseitig an die Verfahrensbeteiligten.

4.
Der Beschwerdeführer wird darum ersucht, dem Bundesveraltungsgericht ebenfalls bis zum 30. November 2022 schriftlich mitzuteilen, ob er nach Zustellung des Berichts vom 31. August 2022 zum rechtlichen Rahmen für die Nutzung von Public-Cloud-Diensten in der Bundesverwaltung an seinem Begehren um Einsicht in die (im Rahmen der Beschaffung WTO 20007) erfolgten Abklärungen der Vorinstanz bezüglich der gesetzlichen Grundlage für eine Auslagerung von Daten in eine Public Cloud festhält.

5.
Über die Kosten dieser Zwischenverfügung und eine allfällige Parteientschädigung wird mit der Hauptsache entschieden.

6.
Weitere Instruktionsmassnahmen erfolgen nach Eintritt der Rechtskraft der vorliegenden Zwischenverfügung.

7.
Diese Verfügung geht an den Beschwerdeführer und die Vorinstanz.

Der Instruktionsrichter: Der Gerichtsschreiber:

Alexander Misic Benjamin Strässle

Rechtsmittelbelehrung:

Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bundesgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen Angelegenheiten geführt werden, sofern die Voraussetzungen gemäss Art. 82 ff ., 90 ff. und 100 BGG gegeben sind. Die Frist ist gewahrt, wenn die Beschwerde spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Handen der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung übergeben worden ist (Art. 48 Abs. 1 BGG). Die Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten. Der angefochtene Entscheid und die Beweismittel sind, soweit sie die beschwerdeführende Partei in Händen hat, beizulegen (Art. 42 BGG).

Versand:

Zustellung erfolgt an:

- den Beschwerdeführer (Einschreiben mit Rückschein; Beilage)

- die Vorinstanz (Einschreiben mit Rückschein; Beilage)

SR 172.021 Legge federale del 20 dicembre 1968 sulla procedura amministrativa (PA) PA Art. 5 - 1 Sono decisioni i provvedimenti delle autorità nel singolo caso, fondati sul diritto pubblico federale e concernenti:
¹	Sono decisioni i provvedimenti delle autorità nel singolo caso, fondati sul diritto pubblico federale e concernenti:
^a	la costituzione, la modificazione o l'annullamento di diritti o di obblighi;
^b	l'accertamento dell'esistenza, dell'inesistenza o dell'estensione di diritti o di obblighi;
^c	il rigetto o la dichiarazione d'inammissibilità d'istanze dirette alla costituzione, alla modificazione, all'annullamento o all'accertamento di diritti o di obblighi.
²	Sono decisioni anche quelle in materia d'esecuzione (art. 41 cpv. 1 lett. a e b), le decisioni incidentali (art. 45 e 46), le decisioni su opposizione (art. 30 cpv. 2 lett. b e 74), le decisioni su ricorso (art. 61), le decisioni in sede di revisione (art. 68) e l'interpretazione (art. 69).24
³	Le dichiarazioni di un'autorità che rifiuta o solleva pretese da far valere mediante azione non sono considerate decisioni.

SR 172.021 Legge federale del 20 dicembre 1968 sulla procedura amministrativa (PA) PA Art. 47 - 1 Sono autorità di ricorso:
¹	Sono autorità di ricorso:
^a	il Consiglio federale, giusta gli articoli 72 e seguenti;
^b	il Tribunale amministrativo federale secondo gli articoli 31-34 della legge del 17 giugno 200585 sul Tribunale amministrativo federale;
^c	altre autorità che una legge federale designa come autorità di ricorso;
^d	l'autorità di vigilanza, quando non è ammesso il ricorso al Tribunale amministrativo federale e il diritto federale non designa alcun'altra autorità di ricorso.
²	Se un'autorità di ricorso che non giudica in via definitiva ha nel caso singolo prescritto a un'autorità inferiore di prendere una decisione o le ha dato istruzioni circa il contenuto della medesima, la decisione è deferita direttamente all'autorità di ricorso immediatamente superiore; il ricorrente ne è reso attento nell'indicazione dei rimedi giuridici.88
³	...89
⁴	Le istruzioni date da un'autorità di ricorso quando decide la causa e la rimanda all'autorità inferiore non sono istruzioni nel senso del capoverso 2.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 3 Campo d'applicazione territoriale - 1 La presente legge si applica alle fattispecie che generano effetti in Svizzera, anche se si verificano all'estero.
¹	La presente legge si applica alle fattispecie che generano effetti in Svizzera, anche se si verificano all'estero.
²	Alle pretese di diritto civile si applica la legge federale del 18 dicembre 19874 sul diritto internazionale privato. Sono fatte salve inoltre le disposizioni concernenti il campo d'applicazione territoriale del Codice penale5.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 25 Diritto d'accesso - 1 Chiunque può domandare al titolare del trattamento se dati personali che lo concernono sono oggetto di trattamento.
¹	Chiunque può domandare al titolare del trattamento se dati personali che lo concernono sono oggetto di trattamento.
²	Alla persona interessata sono fornite le informazioni necessarie affinché possa far valere i suoi diritti secondo la presente legge e sia garantito un trattamento trasparente dei dati. In ogni caso le sono fornite le informazioni seguenti:
^a	l'identità e i dati di contatto del titolare del trattamento;
^b	i dati personali trattati in quanto tali;
^c	lo scopo del trattamento;
^d	la durata di conservazione dei dati personali o, se ciò non è possibile, i criteri per stabilire tale durata;
^e	le informazioni disponibili sulla provenienza dei dati personali che non sono stati raccolti presso la persona interessata;
^f	se del caso, l'esistenza di una decisione individuale automatizzata e la logica su cui si fonda la decisione;
^g	se del caso, i destinatari o le categorie di destinatari cui sono comunicati dati personali, nonché le informazioni di cui all'articolo 19 capoverso 4.
³	I dati personali concernenti la salute possono essere comunicati alla persona interessata per il tramite di un professionista della salute da lei designato; a tale scopo è necessario il consenso della persona interessata.
⁴	Il titolare del trattamento è tenuto a fornire le informazioni richieste anche se ha affidato il trattamento dei dati personali a un responsabile del trattamento.
⁵	Nessuno può rinunciare preventivamente al diritto d'accesso.
⁶	Il titolare del trattamento fornisce gratuitamente le informazioni. Il Consiglio federale può prevedere eccezioni alla gratuità, segnatamente se l'informazione richiede un onere sproporzionato.
⁷	Di norma l'informazione è fornita entro 30 giorni.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 25 Diritto d'accesso - 1 Chiunque può domandare al titolare del trattamento se dati personali che lo concernono sono oggetto di trattamento.
¹	Chiunque può domandare al titolare del trattamento se dati personali che lo concernono sono oggetto di trattamento.
²	Alla persona interessata sono fornite le informazioni necessarie affinché possa far valere i suoi diritti secondo la presente legge e sia garantito un trattamento trasparente dei dati. In ogni caso le sono fornite le informazioni seguenti:
^a	l'identità e i dati di contatto del titolare del trattamento;
^b	i dati personali trattati in quanto tali;
^c	lo scopo del trattamento;
^d	la durata di conservazione dei dati personali o, se ciò non è possibile, i criteri per stabilire tale durata;
^e	le informazioni disponibili sulla provenienza dei dati personali che non sono stati raccolti presso la persona interessata;
^f	se del caso, l'esistenza di una decisione individuale automatizzata e la logica su cui si fonda la decisione;
^g	se del caso, i destinatari o le categorie di destinatari cui sono comunicati dati personali, nonché le informazioni di cui all'articolo 19 capoverso 4.
³	I dati personali concernenti la salute possono essere comunicati alla persona interessata per il tramite di un professionista della salute da lei designato; a tale scopo è necessario il consenso della persona interessata.
⁴	Il titolare del trattamento è tenuto a fornire le informazioni richieste anche se ha affidato il trattamento dei dati personali a un responsabile del trattamento.
⁵	Nessuno può rinunciare preventivamente al diritto d'accesso.
⁶	Il titolare del trattamento fornisce gratuitamente le informazioni. Il Consiglio federale può prevedere eccezioni alla gratuità, segnatamente se l'informazione richiede un onere sproporzionato.
⁷	Di norma l'informazione è fornita entro 30 giorni.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 8 Sicurezza dei dati - 1 Il titolare e il responsabile del trattamento garantiscono, mediante appropriati provvedimenti tecnici e organizzativi, che la sicurezza dei dati personali sia adeguata al rischio.
¹	Il titolare e il responsabile del trattamento garantiscono, mediante appropriati provvedimenti tecnici e organizzativi, che la sicurezza dei dati personali sia adeguata al rischio.
²	I provvedimenti devono permettere di evitare violazioni della sicurezza dei dati.
³	Il Consiglio federale emana disposizioni sui requisiti minimi in materia di sicurezza dei dati.

SR 172.021 Legge federale del 20 dicembre 1968 sulla procedura amministrativa (PA) PA Art. 48 - 1 Ha diritto di ricorrere chi:
¹	Ha diritto di ricorrere chi:
^a	ha partecipato al procedimento dinanzi all'autorità inferiore o è stato privato della possibilità di farlo;
^b	è particolarmente toccato dalla decisione impugnata; e
^c	ha un interesse degno di protezione all'annullamento o alla modificazione della stessa.
²	Ha inoltre diritto di ricorrere ogni persona, organizzazione o autorità cui un'altra legge federale riconosce tale diritto.

SR 173.110 Legge del 17 giugno 2005 sul Tribunale federale (LTF) - Organizzazione giudiziaria LTF Art. 82 Principio - Il Tribunale federale giudica i ricorsi:
^a	contro le decisioni pronunciate in cause di diritto pubblico;
^b	contro gli atti normativi cantonali;
^c	concernenti il diritto di voto dei cittadini nonché le elezioni e votazioni popolari.

SR 173.110 Legge del 17 giugno 2005 sul Tribunale federale (LTF) - Organizzazione giudiziaria LTF Art. 48 Osservanza - 1 Gli atti scritti devono essere consegnati al Tribunale federale oppure, all'indirizzo di questo, alla posta svizzera o a una rappresentanza diplomatica o consolare svizzera al più tardi l'ultimo giorno del termine.
¹	Gli atti scritti devono essere consegnati al Tribunale federale oppure, all'indirizzo di questo, alla posta svizzera o a una rappresentanza diplomatica o consolare svizzera al più tardi l'ultimo giorno del termine.
²	In caso di trasmissione per via elettronica, per il rispetto di un termine è determinante il momento in cui è rilasciata la ricevuta attestante che la parte ha eseguito tutte le operazioni necessarie per la trasmissione.20
³	Il termine è reputato osservato anche se l'atto scritto perviene in tempo utile all'autorità inferiore o a un'autorità federale o cantonale incompetente. In tal caso, l'atto deve essere trasmesso senza indugio al Tribunale federale.
⁴	Il termine per il versamento di anticipi o la prestazione di garanzie è osservato se, prima della sua scadenza, l'importo dovuto è versato alla posta svizzera, o addebitato a un conto postale o bancario in Svizzera, in favore del Tribunale federale.

SR 173.110 Legge del 17 giugno 2005 sul Tribunale federale (LTF) - Organizzazione giudiziaria LTF Art. 42 Atti scritti - 1 Gli atti scritti devono essere redatti in una lingua ufficiale, contenere le conclusioni, i motivi e l'indicazione dei mezzi di prova ed essere firmati.
¹	Gli atti scritti devono essere redatti in una lingua ufficiale, contenere le conclusioni, i motivi e l'indicazione dei mezzi di prova ed essere firmati.
^1bis	Se un procedimento in materia civile si è svolto in inglese dinanzi all'autorità inferiore, gli atti scritti possono essere redatti in tale lingua.14
²	Nei motivi occorre spiegare in modo conciso perché l'atto impugnato viola il diritto. Qualora il ricorso sia ammissibile soltanto se concerne una questione di diritto di importanza fondamentale o un caso particolarmente importante per altri motivi, occorre spiegare perché la causa adempie siffatta condizione.15 16
³	Se sono in possesso della parte, i documenti indicati come mezzi di prova devono essere allegati; se l'atto scritto è diretto contro una decisione, anche questa deve essere allegata.
⁴	In caso di trasmissione per via elettronica, la parte o il suo patrocinatore deve munire l'atto scritto di una firma elettronica qualificata secondo la legge del 18 marzo 201617 sulla firma elettronica. Il Tribunale federale determina mediante regolamento:
^a	il formato dell'atto scritto e dei relativi allegati;
^b	le modalità di trasmissione;
^c	le condizioni alle quali può essere richiesta la trasmissione successiva di documenti cartacei in caso di problemi tecnici.18
⁵	Se mancano la firma della parte o del suo patrocinatore, la procura dello stesso o gli allegati prescritti, o se il patrocinatore non è autorizzato in quanto tale, è fissato un congruo termine per sanare il vizio, con la comminatoria che altrimenti l'atto scritto non sarà preso in considerazione.
⁶	Gli atti illeggibili, sconvenienti, incomprensibili, prolissi o non redatti in una lingua ufficiale possono essere del pari rinviati al loro autore affinché li modifichi.
⁷	Gli atti scritti dovuti a condotta processuale da querulomane o altrimenti abusiva sono inammissibili.