Urteilskopf

147 I 280

21. Auszug aus dem Urteil der I. öffentlich-rechtlichen Abteilung i.S. Digitale Gesellschaft und Mitb. gegen Nachrichtendienst des Bundes NDB (Beschwerde in öffentlich-rechtlichen Angelegenheiten) 1C_377/2019 vom 1. Dezember 2020

Regeste (de):

Regeste (fr):

Regesto (it):


Sachverhalt ab Seite 282

BGE 147 I 280 S. 282

A. Der Verein Digitale Gesellschaft sowie die im Rubrum genannten Privatpersonen (nachfolgend: Gesuchstellende) wandten sich am 31. August 2017 an den Nachrichtendienst des Bundes (NDB) mit folgenden Begehren: "1. Der Betrieb der Funk- und Kabelaufklärung durch den NDB und weitere Stellen, namentlich durch das Zentrum für elektronische Operationen der Armee (ZEO), sowie jegliche Tätigkeiten, die dem Betrieb der Funkaufklärung und Kabelaufklärung dienen, seien zu unterlassen. 2. Der NDB habe jegliche in den Betrieb der Funk- und Kabelaufklärung involvierte Stellen und Personen anzuweisen, ihre diesbezügliche Tätigkeit zu unterlassen. 3. Es sei den GesuchstellerInnen mitzuteilen, ob und in welcher Weise Kommunikation von ihnen Gegenstand der Funk- oder Kabelaufklärung ist oder gewesen ist, und es sei ihnen mitzuteilen, welche sie betreffenden Daten, welche aus der Funk- oder Kabelaufklärung stammen, vom NDB oder vom ZEO bearbeitet werden, einschliesslich der Auskunft über weitere Daten, welche im Zusammenhang mit diesen aus der Funk- oder Kabelaufklärung stammenden Daten bearbeitet werden. 4. Es sei festzustellen, dass die Funk- und Kabelaufklärung die GesuchstellerInnen in ihren Grundrechten verletzt, namentlich ihrem Recht auf Achtung des Intim-, Privat- und Familienlebens, auf Schutz der Privatsphäre, einschliesslich Achtung des Brief-, Post- und Fernmeldeverkehrs, auf Schutz vor Missbrauch der persönlichen Daten und die informationelle Selbstbestimmung (Art. 13
SR 101 Constitution fédérale de la Confédération suisse du 18 avril 1999
Cst. Art. 13 Protection de la sphère privée - 1 Toute personne a droit au respect de sa vie privée et familiale, de son domicile, de sa correspondance et des relations qu'elle établit par la poste et les télécommunications.
1    Toute personne a droit au respect de sa vie privée et familiale, de son domicile, de sa correspondance et des relations qu'elle établit par la poste et les télécommunications.
2    Toute personne a le droit d'être protégée contre l'emploi abusif des données qui la concernent.
BV, Art. 8
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 8 Droit au respect de la vie privée et familiale - 1. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
1    Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
2    Il ne peut y avoir ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui.
EMRK, Art. 17
IR 0.103.2 Pacte international du 16 décembre 1966 relatif aux droits civils et politiques
Pacte-ONU-II Art. 17 - 1. Nul ne sera l'objet d'immixtions arbitraires ou illégales dans sa vie privée, sa famille, son domicile ou sa correspondance, ni d'atteintes illégales à son honneur et à sa réputation.
1    Nul ne sera l'objet d'immixtions arbitraires ou illégales dans sa vie privée, sa famille, son domicile ou sa correspondance, ni d'atteintes illégales à son honneur et à sa réputation.
2    Toute personne a droit à la protection de la loi contre de telles immixtions ou de telles atteintes.
UNO-Pakt II, Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten [Konvention Nr. 108 des Europarates, SR 0.235.1]), in ihrer Freiheit der Meinungsäusserung, der Meinungs- und Informations- sowie die Medienfreiheit (Art. 16
SR 101 Constitution fédérale de la Confédération suisse du 18 avril 1999
Cst. Art. 16 Libertés d'opinion et d'information - 1 La liberté d'opinion et la liberté d'information sont garanties.
1    La liberté d'opinion et la liberté d'information sont garanties.
2    Toute personne a le droit de former, d'exprimer et de répandre librement son opinion.
3    Toute personne a le droit de recevoir librement des informations, de se les procurer aux sources généralement accessibles et de les diffuser.
BV, Art. 10
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 10 Liberté d'expression - 1. Toute personne a droit à la liberté d'expression. Ce droit comprend la liberté d'opinion et la liberté de recevoir ou de communiquer des informations ou des idées sans qu'il puisse y avoir ingérence d'autorités publiques et sans considération de frontière. Le présent article n'empêche pas les États de soumettre les entreprises de radiodiffusion, de cinéma ou de télévision à un régime d'autorisations.
1    Toute personne a droit à la liberté d'expression. Ce droit comprend la liberté d'opinion et la liberté de recevoir ou de communiquer des informations ou des idées sans qu'il puisse y avoir ingérence d'autorités publiques et sans considération de frontière. Le présent article n'empêche pas les États de soumettre les entreprises de radiodiffusion, de cinéma ou de télévision à un régime d'autorisations.
2    L'exercice de ces libertés comportant des devoirs et des responsabilités peut être soumis à certaines formalités, conditions, restrictions ou sanctions prévues par la loi, qui constituent des mesures nécessaires, dans une société démocratique, à la sécurité nationale, à l'intégrité territoriale ou à la sûreté publique, à la défense de l'ordre et à la prévention du crime, à la protection de la santé ou de la morale, à la protection de la réputation ou des droits d'autrui, pour empêcher la divulgation d'informations confidentielles ou pour garantir l'autorité et l'impartialité du pouvoir judiciaire.
EMRK, Art. 19
IR 0.103.2 Pacte international du 16 décembre 1966 relatif aux droits civils et politiques
Pacte-ONU-II Art. 19 - 1. Nul ne peut être inquiété pour ses opinions.
1    Nul ne peut être inquiété pour ses opinions.
2    Toute personne a droit à la liberté d'expression; ce droit comprend la liberté de rechercher, de recevoir et de répandre des informations et des idées de toute espèce, sans considération de frontières, sous une forme orale, écrite, imprimée ou artistique, ou par tout autre moyen de son choix.
3    L'exercice des libertés prévues au par. 2 du présent article comporte des devoirs spéciaux et des responsabilités spéciales. Il peut en conséquence être soumis à certaines restrictions qui doivent toutefois être expressément fixées par la loi et qui sont nécessaires:
a  au respect des droits ou de la réputation d'autrui;
b  à la sauvegarde de la sécurité nationale, de l'ordre public, de la santé ou de la moralité publiques.
UNO-Pakt II) und der Versammlungsfreiheit (Art. 22
SR 101 Constitution fédérale de la Confédération suisse du 18 avril 1999
Cst. Art. 22 Liberté de réunion - 1 La liberté de réunion est garantie.
1    La liberté de réunion est garantie.
2    Toute personne a le droit d'organiser des réunions, d'y prendre part ou non.
BV, Art. 11
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 11 Liberté de réunion et d'association - 1. Toute personne a droit à la liberté de réunion pacifique et à la liberté d'association, y compris le droit de fonder avec d'autres des syndicats et de s'affilier à des syndicats pour la défense de ses intérêts.
1    Toute personne a droit à la liberté de réunion pacifique et à la liberté d'association, y compris le droit de fonder avec d'autres des syndicats et de s'affilier à des syndicats pour la défense de ses intérêts.
2    L'exercice de ces droits ne peut faire l'objet d'autres restrictions que celles qui, prévues par la loi, constituent des mesures nécessaires, dans une société démocratique, à la sécurité nationale, à la sûreté publique, à la défense de l'ordre et à la prévention du crime, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui. Le présent article n'interdit pas que des restrictions légitimes soient imposées à l'exercice de ces droits par les membres des forces armées, de la police ou de l'administration de l'État.
EMRK), in ihrer persönlichen Freiheit und der Bewegungsfreiheit (Art. 10 Abs. 2
SR 101 Constitution fédérale de la Confédération suisse du 18 avril 1999
Cst. Art. 10 Droit à la vie et liberté personnelle - 1 Tout être humain a droit à la vie. La peine de mort est interdite.
1    Tout être humain a droit à la vie. La peine de mort est interdite.
2    Tout être humain a droit à la liberté personnelle, notamment à l'intégrité physique et psychique et à la liberté de mouvement.
3    La torture et tout autre traitement ou peine cruels, inhumains ou dégradants sont interdits.
BV, Art. 8
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 8 Droit au respect de la vie privée et familiale - 1. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
1    Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
2    Il ne peut y avoir ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui.
EMRK) sowie ihre Unschuldsvermutung (Art. 6
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 6 Droit à un procès équitable - 1. Toute personne a droit à ce que sa cause soit entendue équitablement, publiquement et dans un délai raisonnable, par un tribunal indépendant et impartial, établi par la loi, qui décidera, soit des contestations sur ses droits et obligations de caractère civil, soit du bien-fondé de toute accusation en matière pénale dirigée contre elle. Le jugement doit être rendu publiquement, mais l'accès de la salle d'audience peut être interdit à la presse et au public pendant la totalité ou une partie du procès dans l'intérêt de la moralité, de l'ordre public ou de la sécurité nationale dans une société démocratique, lorsque les intérêts des mineurs ou la protection de la vie privée des parties au procès l'exigent, ou dans la mesure jugée strictement nécessaire par le tribunal, lorsque dans des circonstances spéciales la publicité serait de nature à porter atteinte aux intérêts de la justice.
1    Toute personne a droit à ce que sa cause soit entendue équitablement, publiquement et dans un délai raisonnable, par un tribunal indépendant et impartial, établi par la loi, qui décidera, soit des contestations sur ses droits et obligations de caractère civil, soit du bien-fondé de toute accusation en matière pénale dirigée contre elle. Le jugement doit être rendu publiquement, mais l'accès de la salle d'audience peut être interdit à la presse et au public pendant la totalité ou une partie du procès dans l'intérêt de la moralité, de l'ordre public ou de la sécurité nationale dans une société démocratique, lorsque les intérêts des mineurs ou la protection de la vie privée des parties au procès l'exigent, ou dans la mesure jugée strictement nécessaire par le tribunal, lorsque dans des circonstances spéciales la publicité serait de nature à porter atteinte aux intérêts de la justice.
2    Toute personne accusée d'une infraction est présumée innocente jusqu'à ce que sa culpabilité ait été légalement établie.
3    Tout accusé a droit notamment à:
a  être informé, dans le plus court délai, dans une langue qu'il comprend et d'une manière détaillée, de la nature et de la cause de l'accusation portée contre lui;
b  disposer du temps et des facilités nécessaires à la préparation de sa défense;
c  se défendre lui-même ou avoir l'assistance d'un défenseur de son choix et, s'il n'a pas les moyens de rémunérer un défenseur, pouvoir être assisté gratuitement par un avocat d'office, lorsque les intérêts de la justice l'exigent;
d  interroger ou faire interroger les témoins à charge et obtenir la convocation et l'interrogation des témoins à décharge dans les mêmes conditions que les témoins à charge;
e  se faire assister gratuitement d'un interprète, s'il ne comprend pas ou ne parle pas la langue employée à l'audience.
EMRK, Art. 32
SR 101 Constitution fédérale de la Confédération suisse du 18 avril 1999
Cst. Art. 32 Procédure pénale - 1 Toute personne est présumée innocente jusqu'à ce qu'elle fasse l'objet d'une condamnation entrée en force.
1    Toute personne est présumée innocente jusqu'à ce qu'elle fasse l'objet d'une condamnation entrée en force.
2    Toute personne accusée a le droit d'être informée, dans les plus brefs délais et de manière détaillée, des accusations portées contre elle. Elle doit être mise en état de faire valoir les droits de la défense.
3    Toute personne condamnée a le droit de faire examiner le jugement par une juridiction supérieure. Les cas où le Tribunal fédéral statue en instance unique sont réservés.
BV).

BGE 147 I 280 S. 283

5. Es sei festzustellen, dass die Funk- und Kabelaufklärung die Gesuch stellerInnen 4, 5 und 6 als JournalistInnen in ihrem Anspruch auf Medienfreiheit und auf Quellenschutz (Art. 17
SR 101 Constitution fédérale de la Confédération suisse du 18 avril 1999
Cst. Art. 17 Liberté des médias - 1 La liberté de la presse, de la radio et de la télévision, ainsi que des autres formes de diffusion de productions et d'informations ressortissant aux télécommunications publiques est garantie.
1    La liberté de la presse, de la radio et de la télévision, ainsi que des autres formes de diffusion de productions et d'informations ressortissant aux télécommunications publiques est garantie.
2    La censure est interdite.
3    Le secret de rédaction est garanti.
BV und Art. 10
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 10 Liberté d'expression - 1. Toute personne a droit à la liberté d'expression. Ce droit comprend la liberté d'opinion et la liberté de recevoir ou de communiquer des informations ou des idées sans qu'il puisse y avoir ingérence d'autorités publiques et sans considération de frontière. Le présent article n'empêche pas les États de soumettre les entreprises de radiodiffusion, de cinéma ou de télévision à un régime d'autorisations.
1    Toute personne a droit à la liberté d'expression. Ce droit comprend la liberté d'opinion et la liberté de recevoir ou de communiquer des informations ou des idées sans qu'il puisse y avoir ingérence d'autorités publiques et sans considération de frontière. Le présent article n'empêche pas les États de soumettre les entreprises de radiodiffusion, de cinéma ou de télévision à un régime d'autorisations.
2    L'exercice de ces libertés comportant des devoirs et des responsabilités peut être soumis à certaines formalités, conditions, restrictions ou sanctions prévues par la loi, qui constituent des mesures nécessaires, dans une société démocratique, à la sécurité nationale, à l'intégrité territoriale ou à la sûreté publique, à la défense de l'ordre et à la prévention du crime, à la protection de la santé ou de la morale, à la protection de la réputation ou des droits d'autrui, pour empêcher la divulgation d'informations confidentielles ou pour garantir l'autorité et l'impartialité du pouvoir judiciaire.
EMRK) verletzt. 6. Es sei festzustellen, dass die Funk- und Kabelaufklärung den Gesuchsteller 8 im Berufsgeheimnis als Rechtsanwalt und dadurch in seinem Recht auf Achtung des Privatlebens, auf Schutz der Privatsphäre, einschliesslich Achtung des Brief-, Post- und Fernmeldeverkehrs, auf Schutz vor Missbrauch der persönlichen Daten und die informationelle Selbstbestimmung (Art. 13
SR 101 Constitution fédérale de la Confédération suisse du 18 avril 1999
Cst. Art. 13 Protection de la sphère privée - 1 Toute personne a droit au respect de sa vie privée et familiale, de son domicile, de sa correspondance et des relations qu'elle établit par la poste et les télécommunications.
1    Toute personne a droit au respect de sa vie privée et familiale, de son domicile, de sa correspondance et des relations qu'elle établit par la poste et les télécommunications.
2    Toute personne a le droit d'être protégée contre l'emploi abusif des données qui la concernent.
BV, Art. 8
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 8 Droit au respect de la vie privée et familiale - 1. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
1    Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
2    Il ne peut y avoir ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui.
EMRK, Art. 17
IR 0.103.2 Pacte international du 16 décembre 1966 relatif aux droits civils et politiques
Pacte-ONU-II Art. 17 - 1. Nul ne sera l'objet d'immixtions arbitraires ou illégales dans sa vie privée, sa famille, son domicile ou sa correspondance, ni d'atteintes illégales à son honneur et à sa réputation.
1    Nul ne sera l'objet d'immixtions arbitraires ou illégales dans sa vie privée, sa famille, son domicile ou sa correspondance, ni d'atteintes illégales à son honneur et à sa réputation.
2    Toute personne a droit à la protection de la loi contre de telles immixtions ou de telles atteintes.
UNO-Pakt II, Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten [Konvention Nr. 108 des Europarates, SR 0.235.1]) und in seiner Wirtschaftsfreiheit (Art. 27
SR 101 Constitution fédérale de la Confédération suisse du 18 avril 1999
Cst. Art. 27 Liberté économique - 1 La liberté économique est garantie.
1    La liberté économique est garantie.
2    Elle comprend notamment le libre choix de la profession, le libre accès à une activité économique lucrative privée et son libre exercice.
BV) verletzt; [...].'' Der NDB antwortete mit Schreiben vom 28. September 2017, er könne der Forderung, jegliche Tätigkeiten im Bereich Kabel- und Funkaufklärung zu unterlassen, nicht entsprechen, da er das vom Parlament verabschiedete und vom Volk in einem Referendum angenommene Nachrichtendienstgesetz anwenden und vollziehen müsse und die Umsetzung dieses Gesetzes offensichtlich keine durch die Verfassung und die EMRK garantierten Grundrechte verletze. Darüber hinaus hätten die Gesuchstellenden kein schutzwürdiges Interesse im Sinn eines Sondernachteils gemäss Art. 25a
SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA)
PA Art. 25a - 1 Toute personne qui a un intérêt digne de protection peut exiger que l'autorité compétente pour des actes fondés sur le droit public fédéral et touchant à des droits ou des obligations:
1    Toute personne qui a un intérêt digne de protection peut exiger que l'autorité compétente pour des actes fondés sur le droit public fédéral et touchant à des droits ou des obligations:
VwVG (SR 172.021), weshalb die Voraussetzungen für den Erlass einer Verfügung über Realakte nicht gegeben seien. Dementsprechend trete der NDB auf die Anträge 1, 2, 4, 5 und 6 nicht ein. Antrag 3 werde als datenschutzrechtliches Einsichtsgesuch in die Datenbank des NDB entgegengenommen.
B. Mit Beschwerde vom 30. Oktober 2017 gelangten die Gesuchstellenden an das Bundesverwaltungsgericht. Sie beantragten in erster Linie, der NDB sei zu verpflichten, in einer Verfügung über ihre Anträge vom 31. August 2017 zu entscheiden oder die Sache zu materieller Behandlung an die zuständige Behörde weiterzuleiten. Der NDB teilte in der Beschwerdeantwort mit, seine Abklärungen hätten ergeben, dass keiner der Gesuchstellenden im Zusammenhang mit einem Funk- oder Kabelaufklärungsauftrag in der einschlägigen Datenbank verzeichnet sei. Die Funk- und Kabelaufklärung könne zwar mit Eingriffen in grundrechtlich geschützte Positionen einhergehen, die nötigen gesetzlichen Grundlagen dafür seien jedoch vorhanden und alle Anforderungen von Art. 36
SR 101 Constitution fédérale de la Confédération suisse du 18 avril 1999
Cst. Art. 36 Restriction des droits fondamentaux - 1 Toute restriction d'un droit fondamental doit être fondée sur une base légale. Les restrictions graves doivent être prévues par une loi. Les cas de danger sérieux, direct et imminent sont réservés.
1    Toute restriction d'un droit fondamental doit être fondée sur une base légale. Les restrictions graves doivent être prévues par une loi. Les cas de danger sérieux, direct et imminent sont réservés.
2    Toute restriction d'un droit fondamental doit être justifiée par un intérêt public ou par la protection d'un droit fondamental d'autrui.
3    Toute restriction d'un droit fondamental doit être proportionnée au but visé.
4    L'essence des droits fondamentaux est inviolable.
BV und Art. 8
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 8 Droit au respect de la vie privée et familiale - 1. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
1    Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
2    Il ne peut y avoir ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui.
EMRK seien erfüllt.
BGE 147 I 280 S. 284

Mit Urteil vom 4. Juni 2019 wies das Bundesverwaltungsgericht die Beschwerde ab, soweit es darauf eintrat.
C. Dagegen haben die Gesuchstellenden am 8. Juli 2019 Beschwerde in öffentlich-rechtlichen Angelegenheiten an das Bundesgericht erhoben. (...) Das Bundesgericht heisst die Beschwerde gut und weist die Sache zu materieller Beurteilung der Gesuche an das Bundesverwaltungsgericht zurück. (Auszug)

Erwägungen

Aus den Erwägungen:

6. Eintretensvoraussetzung für Ansprüche nach Art. 25 Abs. 1
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
1    Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
2    La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
a  l'identité et les coordonnées du responsable du traitement;
b  les données personnelles traitées en tant que telles;
c  la finalité du traitement;
d  la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
e  les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
f  le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
g  le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
3    Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
4    Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
5    Nul ne peut renoncer par avance au droit d'accès.
6    Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
7    En règle générale, les renseignements sont fournis dans un délai de 30 jours.
des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz (DSG; SR 235.1) ist, dass ein Gesuch um Unterlassung, Folgenbeseitigung oder Feststellung eines widerrechtlichen Bearbeitens von Personendaten bei der zuständigen Behörde eingereicht wird. Die gesuchstellende Person muss partei- und prozessfähig sein und ein schutzwürdiges Interesse für ihr Begehren haben (WALDMANN/BICKEL, in: Datenschutzrecht, Grundlagen und öffentliches Recht, Belser/Epiney/ Waldmann [Hrsg.], 2011, S. 747 ff. §12 N. 156 und 160). Ob eine rechtswidrige Datenbearbeitung bereits erfolgt ist, noch andauert oder droht, d.h. in naher Zukunft ernstlich zu befürchten ist, ist grundsätzlich Teil der materiellen Prüfung (WALDMANN/BICKEL, a.a.O., S. 750 N. 161). Allerdings kann das Rechtsschutzinteresse fehlen, wenn bereits feststeht, dass die betreffenden Daten nicht oder nicht mehr bei der Behörde bearbeitet werden (JAN BANGERT, in: Basler Kommentar, Datenschutzgesetz und Öffentlichkeitsgesetz, 3. Aufl. 2014, N. 32 zu Art. 25
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
1    Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
2    La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
a  l'identité et les coordonnées du responsable du traitement;
b  les données personnelles traitées en tant que telles;
c  la finalité du traitement;
d  la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
e  les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
f  le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
g  le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
3    Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
4    Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
5    Nul ne peut renoncer par avance au droit d'accès.
6    Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
7    En règle générale, les renseignements sont fournis dans un délai de 30 jours.
/25bis
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
1    Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
2    La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
a  l'identité et les coordonnées du responsable du traitement;
b  les données personnelles traitées en tant que telles;
c  la finalité du traitement;
d  la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
e  les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
f  le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
g  le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
3    Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
4    Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
5    Nul ne peut renoncer par avance au droit d'accès.
6    Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
7    En règle générale, les renseignements sont fournis dans un délai de 30 jours.
DSG; Urteil des BVGer A-6067/2008 vom 30. März 2009 E. 1.3.1).
6.1 Die Beschwerdeführenden haben mit Gesuch an den NDB (einer Bundesbehörde) die Widerrechtlichkeit der Funk- und Kabelaufklärung geltend gemacht und deren Unterlassung verlangt. Mit der Funk- und Kabelaufklärung werden Funksignale und grenzüberschreitende Datenströme erfasst und durchsucht. Die sich daraus ergebenden Informationen (insbesondere Kommunikationsinhalte und -randdaten) können in der Regel bestimmten Personen zugeordnet werden - wenn nicht im Zeitpunkt ihrer Erfassung, so doch nachträglich, eventuell unter Rückgriff auf zusätzliche Informationen oder technische Möglichkeiten (vgl. dazu BGE 136 II 508 E. 3.2
BGE 147 I 280 S. 285

S. 514 mit Hinweisen). Es handelt sich daher um Personendaten i.S.v. Art. 3 lit. a
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.
1    La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.
2    Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5.
DSG. Jeder Umgang mit Personendaten stellt gemäss Art. 3 lit. e
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.
1    La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.
2    Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5.
DSG ein Bearbeiten dar, unabhängig von den angewandten Mitteln und Verfahren. Dazu gehört insbesondere auch das Beschaffen von Daten ( BGE 144 I 126 E. 4.1 S. 131). Vorliegend ist daher nicht erst das Weiterleiten von Daten an den NDB und die dort erfolgende Analyse und Speicherung von Daten relevant; bereits das elektronische Erfassen, Filtern und Durchsuchen von Daten durch das Zentrum für elektronische Operationen der Armee (nachfolgend: ZEO) stellt eine Datenbearbeitung dar (ISENRING/QUIBLIER, Der Preis der Sicherheit, in: Sicherheit & Recht 3/2017 S. 139; BERANEK ZANON/DE LA CRUZ BÖHRINGER, in: Datenschutzrecht: Beraten in Privatwirtschaft und öffentlicher Verwaltung, Handbücher für die Anwaltspraxis, Passadelis/Rosenthal/Thür [Hrsg.], 2015, S. 287 Ziff. 9.23). Davon ging grundsätzlich auch das Bundesverwaltungsgericht aus. Allerdings besteht vorliegend die Besonderheit, dass sich die Gesuche der Beschwerdeführenden nicht gegen konkrete, sie betreffende Massnahmen richten, sondern gegen das gesamte System der Funk- und Kabelaufklärung, wie es im Bundesgesetz vom 25. September 2015 über den Nachrichtendienst (NDG; SR 121) und den dazugehörigen Verordnungen vorgesehen ist. Ob dies zulässig ist oder - wie das Bundesverwaltungsgericht meint - auf eine unzulässige abstrakte Normenkontrolle hinausläuft, wird im Folgenden näher zu prüfen sein (vgl. unten E. 9).
6.2 Art. 25 Abs. 1
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
1    Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
2    La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
a  l'identité et les coordonnées du responsable du traitement;
b  les données personnelles traitées en tant que telles;
c  la finalité du traitement;
d  la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
e  les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
f  le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
g  le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
3    Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
4    Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
5    Nul ne peut renoncer par avance au droit d'accès.
6    Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
7    En règle générale, les renseignements sont fournis dans un délai de 30 jours.
DSG setzt weiter das Bestehen eines schutzwürdigen Interesses voraus. Dieser Begriff findet sich auch in Art. 25 Abs. 2
SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA)
PA Art. 25 - 1 L'autorité compétente sur le fond a qualité pour constater par une décision, d'office ou sur demande, l'existence, l'inexistence ou l'étendue de droits ou d'obligations fondés sur le droit public.
1    L'autorité compétente sur le fond a qualité pour constater par une décision, d'office ou sur demande, l'existence, l'inexistence ou l'étendue de droits ou d'obligations fondés sur le droit public.
2    Elle donne suite à une demande en constatation si le requérant prouve qu'il a un intérêt digne de protection.
3    Aucun désavantage ne peut résulter pour la partie du fait qu'elle a agi en se fondant légitimement sur une décision de constatation.
, Art. 25a
SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA)
PA Art. 25a - 1 Toute personne qui a un intérêt digne de protection peut exiger que l'autorité compétente pour des actes fondés sur le droit public fédéral et touchant à des droits ou des obligations:
1    Toute personne qui a un intérêt digne de protection peut exiger que l'autorité compétente pour des actes fondés sur le droit public fédéral et touchant à des droits ou des obligations:
und Art. 48 Abs. 1 lit. c
SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA)
PA Art. 48 - 1 A qualité pour recourir quiconque:
1    A qualité pour recourir quiconque:
a  a pris part à la procédure devant l'autorité inférieure ou a été privé de la possibilité de le faire;
b  est spécialement atteint par la décision attaquée, et
c  a un intérêt digne de protection à son annulation ou à sa modification.
2    A également qualité pour recourir toute personne, organisation ou autorité qu'une autre loi fédérale autorise à recourir.
VwVG sowie in Art. 89 Abs. 1 lit. c
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire
LTF Art. 89 Qualité pour recourir - 1 A qualité pour former un recours en matière de droit public quiconque:
1    A qualité pour former un recours en matière de droit public quiconque:
a  a pris part à la procédure devant l'autorité précédente ou a été privé de la possibilité de le faire;
b  est particulièrement atteint par la décision ou l'acte normatif attaqué, et
c  a un intérêt digne de protection à son annulation ou à sa modification.
2    Ont aussi qualité pour recourir:
a  la Chancellerie fédérale, les départements fédéraux ou, pour autant que le droit fédéral le prévoie, les unités qui leur sont subordonnées, si l'acte attaqué est susceptible de violer la législation fédérale dans leur domaine d'attributions;
b  l'organe compétent de l'Assemblée fédérale en matière de rapports de travail du personnel de la Confédération;
c  les communes et les autres collectivités de droit public qui invoquent la violation de garanties qui leur sont reconnues par la constitution cantonale ou la Constitution fédérale;
d  les personnes, organisations et autorités auxquelles une autre loi fédérale accorde un droit de recours.
3    En matière de droits politiques (art. 82, let. c), quiconque a le droit de vote dans l'affaire en cause a qualité pour recourir.
BGG.
6.2.1 Generell wird dafür vorausgesetzt, dass sich jemand in einer besonderen, nahen Beziehung zur Streitsache befindet und ihm das Verfahren einen unmittelbaren, praktischen Nutzen bringt. Zur Abgrenzung von der Popularbeschwerde und der Aufsichtsbeschwerde (Art. 71
SR 172.021 Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA)
PA Art. 71 - 1 Chacun peut dénoncer en tout temps à l'autorité de surveillance les faits qui appellent dans l'intérêt public une intervention d'office contre une autorité.
1    Chacun peut dénoncer en tout temps à l'autorité de surveillance les faits qui appellent dans l'intérêt public une intervention d'office contre une autorité.
2    Le dénonciateur n'a aucun des droits reconnus à la partie.
VwVG) wird grundsätzlich verlangt, dass der Gesuchsteller vom angefochtenen Akt besonders, d.h. stärker als jedermann, betroffen wird: Seine Betroffenheit muss sich von derjenigen der Allgemeinheit abheben ( BGE 146 I 145 E. 4.1 mit Hinweisen). Sind viele Personen betroffen, ist massgebend, wie schwer die Einwirkungen auf den Einzelnen zu gewichten sind ( BGE 144 II 233 E. 8.4
BGE 147 I 280 S. 286

S. 245 mit Hinweis). Wo die Grenze zur unzulässigen Popularbeschwerde verläuft, ist für jedes Rechtsgebiet gesondert zu beurteilen. Erforderlich ist eine praktisch vernünftige Abgrenzung, die sich am Rechtsschutzbedürfnis und an den weiteren Rechtsschutzmöglichkeiten orientiert ( BGE 146 I 145 E. 4.1 mit Hinweisen). Ein schutzwürdiges Interesse ist insbesondere anzuerkennen, wenn dies erforderlich ist, um hinreichenden Grundrechtsschutz nach Art. 13
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 13 Droit à un recours effectif - Toute personne dont les droits et libertés reconnus dans la présente Convention ont été violés, a droit à l'octroi d'un recours effectif devant une instance nationale, alors même que la violation aurait été commise par des personnes agissant dans l'exercice de leurs fonctions officielles.
oder Art. 6
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 6 Droit à un procès équitable - 1. Toute personne a droit à ce que sa cause soit entendue équitablement, publiquement et dans un délai raisonnable, par un tribunal indépendant et impartial, établi par la loi, qui décidera, soit des contestations sur ses droits et obligations de caractère civil, soit du bien-fondé de toute accusation en matière pénale dirigée contre elle. Le jugement doit être rendu publiquement, mais l'accès de la salle d'audience peut être interdit à la presse et au public pendant la totalité ou une partie du procès dans l'intérêt de la moralité, de l'ordre public ou de la sécurité nationale dans une société démocratique, lorsque les intérêts des mineurs ou la protection de la vie privée des parties au procès l'exigent, ou dans la mesure jugée strictement nécessaire par le tribunal, lorsque dans des circonstances spéciales la publicité serait de nature à porter atteinte aux intérêts de la justice.
1    Toute personne a droit à ce que sa cause soit entendue équitablement, publiquement et dans un délai raisonnable, par un tribunal indépendant et impartial, établi par la loi, qui décidera, soit des contestations sur ses droits et obligations de caractère civil, soit du bien-fondé de toute accusation en matière pénale dirigée contre elle. Le jugement doit être rendu publiquement, mais l'accès de la salle d'audience peut être interdit à la presse et au public pendant la totalité ou une partie du procès dans l'intérêt de la moralité, de l'ordre public ou de la sécurité nationale dans une société démocratique, lorsque les intérêts des mineurs ou la protection de la vie privée des parties au procès l'exigent, ou dans la mesure jugée strictement nécessaire par le tribunal, lorsque dans des circonstances spéciales la publicité serait de nature à porter atteinte aux intérêts de la justice.
2    Toute personne accusée d'une infraction est présumée innocente jusqu'à ce que sa culpabilité ait été légalement établie.
3    Tout accusé a droit notamment à:
a  être informé, dans le plus court délai, dans une langue qu'il comprend et d'une manière détaillée, de la nature et de la cause de l'accusation portée contre lui;
b  disposer du temps et des facilités nécessaires à la préparation de sa défense;
c  se défendre lui-même ou avoir l'assistance d'un défenseur de son choix et, s'il n'a pas les moyens de rémunérer un défenseur, pouvoir être assisté gratuitement par un avocat d'office, lorsque les intérêts de la justice l'exigent;
d  interroger ou faire interroger les témoins à charge et obtenir la convocation et l'interrogation des témoins à décharge dans les mêmes conditions que les témoins à charge;
e  se faire assister gratuitement d'un interprète, s'il ne comprend pas ou ne parle pas la langue employée à l'audience.
EMRK zu gewährleisten (vgl. z.B. BGE 144 I 126 E. 8.3.7 S. 153; BGE 128 I 167 E. 4.5 S. 174; BGE 123 II 402 E. 4b/aa S. 413; BGE 121 I 87 E. 1b S. 91 f.). Bei Ansprüchen nach Art. 25 Abs. 1
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
1    Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
2    La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
a  l'identité et les coordonnées du responsable du traitement;
b  les données personnelles traitées en tant que telles;
c  la finalité du traitement;
d  la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
e  les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
f  le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
g  le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
3    Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
4    Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
5    Nul ne peut renoncer par avance au droit d'accès.
6    Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
7    En règle générale, les renseignements sont fournis dans un délai de 30 jours.
DSG wird ein schutzwürdiges Interesse grundsätzlich bejaht, wenn das Gesuch Daten betrifft, die sich direkt auf den Gesuchsteller beziehen oder Rückschlüsse auf ihn zulassen (WALDMANN/BICKEL, a.a.O., S. 749 § 12 N. 156 und 160; BANGERT, a.a.O., N. 33 f. zu Art. 25
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
1    Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
2    La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
a  l'identité et les coordonnées du responsable du traitement;
b  les données personnelles traitées en tant que telles;
c  la finalité du traitement;
d  la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
e  les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
f  le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
g  le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
3    Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
4    Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
5    Nul ne peut renoncer par avance au droit d'accès.
6    Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
7    En règle générale, les renseignements sont fournis dans un délai de 30 jours.
/25bis
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
1    Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
2    La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
a  l'identité et les coordonnées du responsable du traitement;
b  les données personnelles traitées en tant que telles;
c  la finalité du traitement;
d  la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
e  les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
f  le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
g  le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
3    Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
4    Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
5    Nul ne peut renoncer par avance au droit d'accès.
6    Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
7    En règle générale, les renseignements sont fournis dans un délai de 30 jours.
DSG).
6.2.2 Vorliegend ist streitig, inwiefern die Funk- und Kabelaufklärung Daten der Beschwerdeführenden betrifft. Der NDB hat im vorinstanzlichen Verfahren ausgeführt, dass die Beschwerdeführenden nicht im Zusammenhang mit einem Funk- oder Kabelauftrag in der einschlägigen Datenbank verzeichnet seien. Dies bedeutet aber nur, dass sie nicht Gegenstand eines konkreten Funk- oder Kabelaufklärungsauftrags waren: Wie der NDB selbst darlegt, enthält das Informationssystem Kommunikationsaufklärung (ISCO) nur die Daten zur Steuerung der Funk- und Kabelaufklärung (Art. 56
SR 121 Loi fédérale du 25 septembre 2015 sur le renseignement (LRens)
LRens Art. 56 SICO - 1 Le système d'information en matière de communication (SICO) sert à contrôler et diriger l'exploration radio et l'exploration du réseau câblé.
1    Le système d'information en matière de communication (SICO) sert à contrôler et diriger l'exploration radio et l'exploration du réseau câblé.
2    Il contient des données permettant de diriger les moyens d'exploration, d'assurer le contrôle de gestion et d'établir des rapports.
3    Les collaborateurs du SRC chargés de diriger l'exploration radio et l'exploration du réseau câblé ont accès en ligne au système.
NDG; Art. 56 ff
SR 121.2 Ordonnance du 16 août 2017 sur les systèmes d'information et les systèmes de stockage de données du Service de renseignement de la Confédération (OSIS-SRC)
OSIS-SRC Art. 56 Structure - Le système SICO comprend un système de stockage de données permettant de diriger les moyens de l'exploration radio et de l'exploration du réseau câblé, d'en assurer le contrôle de gestion et d'établir des rapports.
. der Verordnung vom 16. August 2017 über die Informations- und Speichersysteme des Nachrichtendienstes des Bundes [VIS-NDB; SR 121.2]), insbesondere das Target (i.d.R. Telefonnummer), die Identitätsdaten der Zielperson sowie den Auftrag an das ZEO. Dass die Beschwerdeführenden in dieser Datenbank nicht verzeichnet sind, ist nicht verwunderlich, sind doch Angaben über schweizerische natürliche oder juristische Personen als Suchbegriffe unzulässig (Art. 39 Abs. 3
SR 121 Loi fédérale du 25 septembre 2015 sur le renseignement (LRens)
LRens Art. 39 Dispositions générales - 1 Le SRC peut charger le service chargé de l'exploration du réseau câblé d'enregistrer les signaux transmis par réseau filaire qui traversent la frontière suisse, afin de rechercher des informations sur des événements importants en matière de politique de sécurité se produisant à l'étranger (art. 6, al. 1, let. b) ou de sauvegarder d'autres intérêts nationaux importants au sens de l'art. 3.
1    Le SRC peut charger le service chargé de l'exploration du réseau câblé d'enregistrer les signaux transmis par réseau filaire qui traversent la frontière suisse, afin de rechercher des informations sur des événements importants en matière de politique de sécurité se produisant à l'étranger (art. 6, al. 1, let. b) ou de sauvegarder d'autres intérêts nationaux importants au sens de l'art. 3.
2    Si tant l'émetteur que le récepteur se trouvent en Suisse, il est interdit d'utiliser les signaux enregistrés en vertu de l'al. 1. S'il ne peut pas les éliminer d'emblée de l'enregistrement, le service chargé de l'exploration du réseau câblé détruit les données en question dès qu'il constate qu'elles proviennent de tels signaux.
3    Le service chargé de l'exploration du réseau câblé ne peut transmettre au SRC des données provenant de signaux qu'il a enregistrés que si leur contenu correspond aux mots-clés du mandat de recherche. Ces derniers doivent être définis de manière à minimiser les atteintes à la vie privée. Il est interdit d'utiliser des indications relatives à des ressortissants ou à des personnes morales suisses comme mots-clés de recherche.
4    Le Conseil fédéral règle:
a  les domaines d'exploration autorisés;
b  l'organisation du service chargé de l'exploration du réseau câblé et les modalités de la procédure applicable;
c  la durée maximale de conservation des données relatives au contenu et des données relatives au trafic enregistrées par le service chargé de l'exploration du réseau câblé.
Satz 3 NDG). Dies schliesst jedoch nicht aus, dass Kommunikationen der Beschwerdeführenden im Rahmen von Funk- und Kabelaufklärungsaufträgen mit anderer Zielrichtung erfasst, durchsucht und eventuell auch vom ZEO gespeichert oder an den NDB weitergeleitet wurden bzw. dies in naher Zukunft ernstlich zu befürchten ist. Bei der Funk- und Kabelaufklärung handelt sich um eine anlasslose Massenüberwachung von grenzüberschreitenden
BGE 147 I 280 S. 287

Telekommunikationsströmen. Wie die Beschwerdeführenden zutreffend darlegen, wird auch ein Grossteil der inländischen Kommunikation erfasst, der z.B. über Netzwerke und Server im Ausland erfolgt (ISENRING/QUIBLIER, a.a.O., S. 139; GERTSCH/STÄHLI, Nachrichtendienstlicher Staatsschutz, in: Schweizerisches Bundesverwaltungsrecht [SBVR], Bd. III/2, Sicherheits- und Ordnungsrecht des Bundes, Kiener/Bühler/ Schindler [Hrsg.], 2018, S. 429 Rz. 70). Zwar muss inländische Kommunikation ausgefiltert oder nachträglich gelöscht werden (Art. 39 Abs. 2
SR 121 Loi fédérale du 25 septembre 2015 sur le renseignement (LRens)
LRens Art. 39 Dispositions générales - 1 Le SRC peut charger le service chargé de l'exploration du réseau câblé d'enregistrer les signaux transmis par réseau filaire qui traversent la frontière suisse, afin de rechercher des informations sur des événements importants en matière de politique de sécurité se produisant à l'étranger (art. 6, al. 1, let. b) ou de sauvegarder d'autres intérêts nationaux importants au sens de l'art. 3.
1    Le SRC peut charger le service chargé de l'exploration du réseau câblé d'enregistrer les signaux transmis par réseau filaire qui traversent la frontière suisse, afin de rechercher des informations sur des événements importants en matière de politique de sécurité se produisant à l'étranger (art. 6, al. 1, let. b) ou de sauvegarder d'autres intérêts nationaux importants au sens de l'art. 3.
2    Si tant l'émetteur que le récepteur se trouvent en Suisse, il est interdit d'utiliser les signaux enregistrés en vertu de l'al. 1. S'il ne peut pas les éliminer d'emblée de l'enregistrement, le service chargé de l'exploration du réseau câblé détruit les données en question dès qu'il constate qu'elles proviennent de tels signaux.
3    Le service chargé de l'exploration du réseau câblé ne peut transmettre au SRC des données provenant de signaux qu'il a enregistrés que si leur contenu correspond aux mots-clés du mandat de recherche. Ces derniers doivent être définis de manière à minimiser les atteintes à la vie privée. Il est interdit d'utiliser des indications relatives à des ressortissants ou à des personnes morales suisses comme mots-clés de recherche.
4    Le Conseil fédéral règle:
a  les domaines d'exploration autorisés;
b  l'organisation du service chargé de l'exploration du réseau câblé et les modalités de la procédure applicable;
c  la durée maximale de conservation des données relatives au contenu et des données relatives au trafic enregistrées par le service chargé de l'exploration du réseau câblé.
NDG); auch dies stellt jedoch eine Datenbearbeitung dar. Im Übrigen ist ungewiss, ob sämtliche inländische Kommunikation als solche erkannt und ausgesondert werden kann. Insofern sind die Beschwerdeführenden potenziell von der Funk- und Kabelaufklärung betroffen. Allerdings sind sie davon nicht speziell oder intensiver, sondern gleich betroffen wie alle anderen Kommunikationsteilnehmer und Internetnutzer auch. Fraglich ist, ob dies genügt, um ein schutzwürdiges Interesse an den gestellten Begehren zu begründen.
6.2.3 Spezieller betroffen sind immerhin die Beschwerdeführenden 4-6 und 8 als Trägerinnen und Träger von Berufsgeheimnissen: Die Beschwerdeführenden 4-6 sind Medienschaffende und können sich auf den Schutz des Redaktionsgeheimnisses und den Quellenschutz nach Art. 10
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 10 Liberté d'expression - 1. Toute personne a droit à la liberté d'expression. Ce droit comprend la liberté d'opinion et la liberté de recevoir ou de communiquer des informations ou des idées sans qu'il puisse y avoir ingérence d'autorités publiques et sans considération de frontière. Le présent article n'empêche pas les États de soumettre les entreprises de radiodiffusion, de cinéma ou de télévision à un régime d'autorisations.
1    Toute personne a droit à la liberté d'expression. Ce droit comprend la liberté d'opinion et la liberté de recevoir ou de communiquer des informations ou des idées sans qu'il puisse y avoir ingérence d'autorités publiques et sans considération de frontière. Le présent article n'empêche pas les États de soumettre les entreprises de radiodiffusion, de cinéma ou de télévision à un régime d'autorisations.
2    L'exercice de ces libertés comportant des devoirs et des responsabilités peut être soumis à certaines formalités, conditions, restrictions ou sanctions prévues par la loi, qui constituent des mesures nécessaires, dans une société démocratique, à la sécurité nationale, à l'intégrité territoriale ou à la sûreté publique, à la défense de l'ordre et à la prévention du crime, à la protection de la santé ou de la morale, à la protection de la réputation ou des droits d'autrui, pour empêcher la divulgation d'informations confidentielles ou pour garantir l'autorité et l'impartialité du pouvoir judiciaire.
EMRK und Art. 17
SR 101 Constitution fédérale de la Confédération suisse du 18 avril 1999
Cst. Art. 17 Liberté des médias - 1 La liberté de la presse, de la radio et de la télévision, ainsi que des autres formes de diffusion de productions et d'informations ressortissant aux télécommunications publiques est garantie.
1    La liberté de la presse, de la radio et de la télévision, ainsi que des autres formes de diffusion de productions et d'informations ressortissant aux télécommunications publiques est garantie.
2    La censure est interdite.
3    Le secret de rédaction est garanti.
BV berufen (vgl. BGE 144 I 126 E. 4.1 S. 131 mit Hinweisen). Der Beschwerdeführer 8 unterliegt dem Anwaltsgeheimnis (Art. 13
SR 935.61 Loi fédérale du 23 juin 2000 sur la libre circulation des avocats (Loi sur les avocats, LLCA) - Loi sur les avocats
LLCA Art. 13 Secret professionnel - 1 L'avocat est soumis au secret professionnel pour toutes les affaires qui lui sont confiées par ses clients dans l'exercice de sa profession; cette obligation n'est pas limitée dans le temps et est applicable à l'égard des tiers. Le fait d'être délié du secret professionnel n'oblige pas l'avocat à divulguer des faits qui lui ont été confiés.
1    L'avocat est soumis au secret professionnel pour toutes les affaires qui lui sont confiées par ses clients dans l'exercice de sa profession; cette obligation n'est pas limitée dans le temps et est applicable à l'égard des tiers. Le fait d'être délié du secret professionnel n'oblige pas l'avocat à divulguer des faits qui lui ont été confiés.
2    Il veille à ce que ses auxiliaires respectent le secret professionnel.
des Bundesgesetzes vom 23. Juni 2000 über die Freizügigkeit der Anwältinnen und Anwälte [Anwaltsgesetz, BGFA; SR 935.61]). Die vertraulichen Kommunikationen zwischen Medienschaffenden und ihren Quellen bzw. zwischen Anwälten oder Anwältinnen und ihrer Klientschaft geniessen besonderen Schutz: Gezielte Massnahmen zu ihrer Überwachung sind grundsätzlich ausgeschlossen (vgl. z.B. Art. 271 Abs. 1
SR 312.0 Code de procédure pénale suisse du 5 octobre 2007 (Code de procédure pénale, CPP) - Code de procédure pénale
CPP Art. 271 Protection du secret professionnel - 1 En cas de surveillance d'une personne appartenant à l'une des catégories professionnelles énumérées aux art. 170 à 173, le tri des informations qui n'ont pas de rapport avec l'objet de l'enquête ni avec le motif pour lequel la personne concernée est soumise à surveillance doit être exécuté sous la direction d'un tribunal. Ce tri est opéré de telle sorte que les autorités de poursuite pénale n'aient connaissance d'aucun secret professionnel. Les données écartées doivent être immédiatement détruites; elles ne peuvent pas être exploitées.
1    En cas de surveillance d'une personne appartenant à l'une des catégories professionnelles énumérées aux art. 170 à 173, le tri des informations qui n'ont pas de rapport avec l'objet de l'enquête ni avec le motif pour lequel la personne concernée est soumise à surveillance doit être exécuté sous la direction d'un tribunal. Ce tri est opéré de telle sorte que les autorités de poursuite pénale n'aient connaissance d'aucun secret professionnel. Les données écartées doivent être immédiatement détruites; elles ne peuvent pas être exploitées.
2    Le tri préalable des informations visé à l'al. 1 ne doit pas être effectué lorsque:
a  des soupçons graves pèsent sur le détenteur du secret professionnel lui-même, et
b  des raisons particulières l'exigent.
3    En cas de surveillance d'autres personnes, dès qu'il est établi que celles-ci communiquent avec l'une des personnes mentionnées aux art. 170 à 173, un tri des informations portant sur les communications avec cette personne doit être entrepris selon les modalités de l'al. 1. Les informations à propos desquelles l'une des personnes mentionnées aux art. 170 à 173 pourrait refuser de témoigner doivent être retirées du dossier de la procédure pénale et immédiatement détruites; elles ne peuvent pas être exploitées.
StPO); besteht dennoch die Gefahr der Erfassung solcher Kommunikationen, sind besondere Vorkehrungen zu ihrem Schutz erforderlich (vgl. Art. 271 Abs. 3
SR 312.0 Code de procédure pénale suisse du 5 octobre 2007 (Code de procédure pénale, CPP) - Code de procédure pénale
CPP Art. 271 Protection du secret professionnel - 1 En cas de surveillance d'une personne appartenant à l'une des catégories professionnelles énumérées aux art. 170 à 173, le tri des informations qui n'ont pas de rapport avec l'objet de l'enquête ni avec le motif pour lequel la personne concernée est soumise à surveillance doit être exécuté sous la direction d'un tribunal. Ce tri est opéré de telle sorte que les autorités de poursuite pénale n'aient connaissance d'aucun secret professionnel. Les données écartées doivent être immédiatement détruites; elles ne peuvent pas être exploitées.
1    En cas de surveillance d'une personne appartenant à l'une des catégories professionnelles énumérées aux art. 170 à 173, le tri des informations qui n'ont pas de rapport avec l'objet de l'enquête ni avec le motif pour lequel la personne concernée est soumise à surveillance doit être exécuté sous la direction d'un tribunal. Ce tri est opéré de telle sorte que les autorités de poursuite pénale n'aient connaissance d'aucun secret professionnel. Les données écartées doivent être immédiatement détruites; elles ne peuvent pas être exploitées.
2    Le tri préalable des informations visé à l'al. 1 ne doit pas être effectué lorsque:
a  des soupçons graves pèsent sur le détenteur du secret professionnel lui-même, et
b  des raisons particulières l'exigent.
3    En cas de surveillance d'autres personnes, dès qu'il est établi que celles-ci communiquent avec l'une des personnes mentionnées aux art. 170 à 173, un tri des informations portant sur les communications avec cette personne doit être entrepris selon les modalités de l'al. 1. Les informations à propos desquelles l'une des personnes mentionnées aux art. 170 à 173 pourrait refuser de témoigner doivent être retirées du dossier de la procédure pénale et immédiatement détruites; elles ne peuvent pas être exploitées.
StPO und Art. 16 lit. e
SR 780.1 Loi fédérale du 18 mars 2016 sur la surveillance de la correspondance par poste et télécommunication (LSCPT)
LSCPT Art. 16 Tâches générales dans le domaine de la surveillance - Dans les domaines de la surveillance de la correspondance par poste et télécommunication, les tâches générales du Service sont les suivantes:
a  il contacte sans délai l'autorité qui a ordonné la surveillance et l'autorité habilitée à autoriser la surveillance, avant que des envois ou des informations ne soient transmis à l'autorité qui a ordonné la surveillance s'il estime que l'ordre de surveillance:
a1  dans le cas d'une surveillance dans le cadre d'une procédure pénale, ne concerne pas une infraction pouvant faire l'objet d'une surveillance,
a2  n'a pas été donné par l'autorité compétente ou autorisé et avalisé par les autorités visées aux art. 29 à 31 LRens38, ou
a3  n'est pas complet ou pas clair;
b  il contacte sans délai l'autorité qui a ordonné la surveillance et l'autorité habilitée à autoriser la surveillance s'il estime que la surveillance est techniquement inappropriée, ne fait pas partie des types de surveillance prévus par la loi et les dispositions d'exécution ou n'est techniquement pas exécutable;
c  il donne à l'autorité compétente pour ordonner une surveillance les informations nécessaires pour ce faire; au besoin, il demande aux personnes obligées de collaborer de lui fournir ces informations;
d  il donne aux personnes obligées de collaborer des instructions sur la mise en oeuvre de la surveillance, leur donne l'ordre de prendre toute mesure nécessaire à cette mise en oeuvre et en contrôle l'exécution;
e  il met en oeuvre les mesures visant à protéger le secret professionnel qui ont été ordonnées par l'autorité qui a autorisé la surveillance;
f  il vérifie que la surveillance ne s'étend pas au-delà de la durée autorisée et y met fin à l'expiration du délai si aucune copie de la demande de prolongation ne lui a été adressée;
g  il communique immédiatement la levée de la surveillance à l'autorité qui l'a autorisée;
h  il suit l'évolution technique dans le domaine postal et des télécommunications;
i  il organise et donne des formations pour les personnes qui ont accès à son système de traitement;
j  il peut, sur demande, fournir des conseils techniques, juridiques et opérationnels en matière de surveillance de la correspondance par poste et télécommunication aux personnes obligées de collaborer et aux autorités;
k  il tient une statistique des surveillances.
des Bundesgesetzes vom 18. März 2016 betreffend die Überwachung des Post- und Fernmeldeverkehrs [BÜPF; SR 780.1]). Bei einer verdachtsunabhängigen Massenüberwachung besteht die Gefahr, dass auch solche besonders vertraulichen Kommunikationen erfasst, gescannt und ausgewertet werden, jedenfalls wenn keine besonderen Anordnungen, Verfahren und Kontrollen zu ihrem Schutz
BGE 147 I 280 S. 288

vorgesehen sind. Dies kann zu einem "chilling effect" führen, weil Journalisten und Anwälte nicht mehr auf die Vertraulichkeit ihrer elektronischen Kommunikationen mit Quellen bzw. Mandanten vertrauen (vgl. dazu Urteil des EGMR Big Brother Watch gegen Vereinigtes Königreich vom 13. September 2018 [Nrn. 58170/13, 62322/14und 24960/15), § 492-495; so auch Urteil des deutschen Bundesverfassungsgerichts 1 vom 19. Mai 2020, BvR 2835/17 Rz. 193 ff.). Es besteht insofern ein besonderes, sich vom Interesse der Allgemeinheit abhebendes Schutzbedürfnis.
6.3 Die aufgeworfenen Fragen können offenbleiben, wenn alle Beschwerdeführenden (unabhängig vom Bestehen eines Berufsgeheimnisses) einen Anspruch auf materielle Behandlung ihrer Gesuche aus Art. 13
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 13 Droit à un recours effectif - Toute personne dont les droits et libertés reconnus dans la présente Convention ont été violés, a droit à l'octroi d'un recours effectif devant une instance nationale, alors même que la violation aurait été commise par des personnes agissant dans l'exercice de leurs fonctions officielles.
EMRK ableiten können. Dies ist im Folgenden zu prüfen, unter Berücksichtigung der Rechtsprechung des Bundesgerichts und des EGMR zum gebotenen Rechtsschutz gegen geheime Überwachungsmassnahmen (unten E. 7-8) und der Gegenargumente des Bundesverwaltungsgerichts (unten E. 9).

7. Art. 13
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 13 Droit à un recours effectif - Toute personne dont les droits et libertés reconnus dans la présente Convention ont été violés, a droit à l'octroi d'un recours effectif devant une instance nationale, alors même que la violation aurait été commise par des personnes agissant dans l'exercice de leurs fonctions officielles.
EMRK gewährleistet mindestens, dass eine Person, die in vertretbarer Weise behauptet, Opfer einer Konventionsverletzung zu sein, bei einer nationalen Instanz eine wirksame Beschwerde einlegen kann. Dies muss nicht zwangsläufig ein Rechtsmittel an ein Gericht sein, sondern es genügt eine Beschwerdemöglichkeit an eine hinreichend unabhängige Verwaltungsbehörde. Die Wirksamkeit der Beschwerde beurteilt sich nach den Befugnissen der Behörde, den angefochtenen Akt gegebenenfalls aufzuheben bzw. dessen Auswirkungen beheben zu können; überdies müssen die notwendigen minimalen Verfahrensrechte gewährleistet sein, insbesondere der Anspruch auf rechtliches Gehör und auf die Begründung von Entscheiden (vgl. zum Ganzen BGE 138 I 6 E. 6.1 S. 31 mit Hinweisen; Urteile des EGMR Leander gegen Schweden vom 26. März 1987, Serie A Bd. 116 § 77; Wille gegen Liechtenstein vom 28. Oktober 1999, Recueil CourEDH 1999-VII S. 331 § 75; je mit Hinweisen).
7.1 Im Zusammenhang mit geheimen Überwachungsmassnahmen kann der Anspruch auf wirksamen Rechtsschutz eingeschränkt oder aufgeschoben werden, wenn und solange überwiegende Geheimhaltungsinteressen dies rechtfertigen und das Überwachungssystem insgesamt mit Art. 8
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 8 Droit au respect de la vie privée et familiale - 1. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
1    Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
2    Il ne peut y avoir ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui.
EMRK vereinbar ist (vgl. BGE 138 I 6 E. 6.2 S. 32 f. mit zahlreichen Hinweisen). Dazu ist jeweils eine Gesamtschau vorzunehmen. Zu prüfen ist, ob das Gesetz angemessene
BGE 147 I 280 S. 289

und wirksame Garantien gegen Missbrauch vorsieht, unter Berücksichtigung nicht nur der materiellen Garantien (Umfang, Dauer und Art der Überwachungsmassnahmen, Voraussetzungen ihrer Anordnung, usw.), sondern auch der innerstaatlich zur Verfügung stehenden Kontroll- und Beschwerdemöglichkeiten und ihrer Effizienz (vgl. BGE 138 I 6 E. 6.2 S. 32 f.; Urteile Klass und Mitbeteiligte gegen Deutschland vom 6. September 1978, Serie A Bd. 28 § 50 ff.; Kennedy gegen Vereinigtes Königreich vom 18. Mai 2010, § 153 und 166 f.; Roman Zakharov gegen Russland vom 4. Dezember 2015, Recueil CourEDH 2015-III S. 309 § 232; Urteil Big Brother Watch , § 307 ff.). Insofern lassen sich die materiellen und formellen Anforderungen an geheime Überwachungssysteme nur schwer trennen; dies erschwert die Formulierung von allgemeingültigen Aussagen zum minimalen Rechtsschutz (BASIL CUPA, Rechtsschutz gegen präventive Überwachungsmassnahmen am Beispiel des Nachrichtendienstes des Bundes, 2014, S. 67 Rz. 136). Dieser muss jedenfalls so wirksam wie möglich ausgestaltet werden ( BGE 138 I 6 E. 6.2 S. 32; Urteil Leander, § 78 und 84).

7.2 Art. 13
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 13 Droit à un recours effectif - Toute personne dont les droits et libertés reconnus dans la présente Convention ont été violés, a droit à l'octroi d'un recours effectif devant une instance nationale, alors même que la violation aurait été commise par des personnes agissant dans l'exercice de leurs fonctions officielles.
EMRK ist vor dem Hintergrund der Subsidiarität der Individualbeschwerde an den EGMR zu sehen (Art. 35 Ziff. 1
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 35 Conditions de recevabilité - 1. La Cour ne peut être saisie qu'après l'épuisement des voies de recours internes, tel qu'il est entendu selon les principes de droit international généralement reconnus, et dans un délai de quatre22 mois à partir de la date de la décision interne définitive.
1    La Cour ne peut être saisie qu'après l'épuisement des voies de recours internes, tel qu'il est entendu selon les principes de droit international généralement reconnus, et dans un délai de quatre22 mois à partir de la date de la décision interne définitive.
2    La Cour ne retient aucune requête individuelle introduite en application de l'art. 34, lorsque:
a  elle est anonyme, ou
b  elle est essentiellement la même qu'une requête précédemment examinée par la Cour ou déjà soumise à une autre instance internationale d'enquête ou de règlement, et si elle ne contient pas de faits nouveaux.
3    La Cour déclare irrecevable toute requête individuelle introduite en application de l'art. 34 lorsqu'elle estime:
a  que la requête est incompatible avec les dispositions de la Convention ou de ses Protocoles, manifestement mal fondée ou abusive;
b  que le requérant n'a subi aucun préjudice important, sauf si le respect des droits de l'homme garantis par la Convention et ses Protocoles exige un examen de la requête au fond ...24.
4    La Cour rejette toute requête qu'elle considère comme irrecevable par application du présent article. Elle peut procéder ainsi à tout stade de la procédure.
EMRK). Jede Person, die nach Art. 34
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 34 Requêtes individuelles - La Cour peut être saisie d'une requête par toute personne physique, toute organisation non gouvernementale ou tout groupe de particuliers qui se prétend victime d'une violation par l'une des Hautes Parties contractantes des droits reconnus dans la Convention ou ses protocoles. Les Hautes Parties contractantes s'engagent à n'entraver par aucune mesure l'exercice efficace de ce droit.
EMRK befugt ist, Beschwerde wegen der Verletzung von Konventionsrechten an den EGMR zu führen, muss daher die Möglichkeit haben, ihre Ansprüche zuvor von einem innerstaatlichen Gericht oder mindestens einer unabhängigen innerstaatlichen Behörde überprüfen zu lassen ( BGE 138 I 6 E. 1.3.2 S. 13 f.).

7.2.1 Zur Individualbeschwerde an den EGMR ist nach Art. 34
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 34 Requêtes individuelles - La Cour peut être saisie d'une requête par toute personne physique, toute organisation non gouvernementale ou tout groupe de particuliers qui se prétend victime d'une violation par l'une des Hautes Parties contractantes des droits reconnus dans la Convention ou ses protocoles. Les Hautes Parties contractantes s'engagent à n'entraver par aucune mesure l'exercice efficace de ce droit.
EMRK jede Person berechtigt, die in vertretbarer Weise behauptet, in einem durch die EMRK anerkannten Recht verletzt zu sein. Grundsätzlich wird verlangt, dass die Person direkt von einem Vollzugsakt betroffen ist, d.h. Art. 34
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 34 Requêtes individuelles - La Cour peut être saisie d'une requête par toute personne physique, toute organisation non gouvernementale ou tout groupe de particuliers qui se prétend victime d'une violation par l'une des Hautes Parties contractantes des droits reconnus dans la Convention ou ses protocoles. Les Hautes Parties contractantes s'engagent à n'entraver par aucune mesure l'exercice efficace de ce droit.
EMRK erlaubt i.d.R. nicht, sich gegen ein Gesetz in abstracto zu wenden, mit der Begründung, dass es die Konvention verletze (Urteil Klass, § 33 mit Hinweisen; Urteil Ouardiri gegen Schweiz vom 28. Juni 2011 [Nr. 65840/09], in: Plädoyer 2011 4 S. 66; AJP 2012 S. 557).
7.2.2 Ausnahmen von diesem Grundsatz werden jedoch insbesondere bei geheimen Überwachungsmassnahmen zugelassen. Beschwerdeführenden soll damit die Möglichkeit eröffnet werden, an den Gerichtshof zu gelangen, wenn sie wegen des geheimen Charakters der angegriffenen Massnahmen keine konkrete, sie persönlich
BGE 147 I 280 S. 290

berührende Massnahme angeben können. Nach Ansicht des Gerichtshofes müssen die Verfahrensvorschriften der Konvention in einer Art und Weise angewendet werden, die dazu dient, das System der Individualbeschwerde wirksam werden zu lassen ("effet utile"). Unter gewissen Voraussetzungen kann eine Person daher geltend machen, sie sei durch die blosse Existenz geheimer Massnahmen oder die solche Massnahmen gestattenden Gesetze Opfer einer Konventionsverletzung geworden (Urteil Klass,§ 34). Im bereits erwähnten Grundsatzentscheid der Grossen Kammer Roman Zakharov (§ 171) differenzierte der EGMR die Anforderungen an die Beschwerdebefugnis, je nachdem, ob innerstaatlich wirksamer Rechtsschutz besteht. Ist dies nicht der Fall, so ist jedermann, der in den Anwendungsbereich des Gesetzes fällt, befugt, dagegen Beschwerde vor dem EGMR zu erheben, ohne auch nur behaupten zu müssen, konkret Opfer von Überwachungsmassnahmen geworden zu sein. Besteht dagegen innerstaatlich wirksamer Rechtsschutz, müssen die Beschwerdeführenden darlegen, mit einer hinreichenden Wahrscheinlichkeit dem Risiko einer solchen Überwachung ausgesetzt zu sein ( "probabilité raisonnable"; vgl. zu diesem Kriterium EGMR, Urteil Kennedy, § 122).
7.2.3 Im Urteil Big Brother Watch wandte der EGMR diese Grundsätze auf eine Beschwerde gegen das britische System der Massenüberwachung von Datenströmen sowie des Austauschs von Daten mit anderen Nachrichtendiensten an. Die Beschwerdebefugnis (Opferstellung) der beschwerdeführenden Personen und Organisationen wurde von der britischen Regierung weitgehend anerkannt und nur für den Datenaustausch zwischen Geheimdiensten bestritten (vgl. § 390). Der EGMR ging davon aus, dass im Vereinigten Königreich wirksamer Rechtsschutz durch das Investigatory Powers Tribunal (IPT) gewährleistet sei, einem unabhängigen Spezialgericht mit weitreichenden Untersuchungsbefugnissen, an das sich alle wenden können, die vermuten, Opfer einer geheimen Überwachungsmassnahme zu sein, ohne dies nachweisen zu müssen (vgl. § 250 ff.). Der EGMR verlangte daher für die Beschwerdebefugnis die Glaubhaftmachung eines konkreten Risikos, dass Daten der Beschwerdeführenden vom Austausch zwischen den Geheimdiensten betroffen seien, was er bejahte (§ 393 f.).
8. Im Folgenden sind diese Grundsätze auf den vorliegenden Fall anzuwenden.
BGE 147 I 280 S. 291

8.1 Die Beschwerdeführenden machen in vertretbarer Weise eine Verletzung ihrer durch die EMRK und - inhaltlich übereinstimmend - durch die Bundesverfassung geschützten Grundrechte geltend: Das Erfassen, Durchsuchen, Speichern und Weiterleiten von Daten stellt einen Eingriff in das Fernmeldegeheimnis und das Recht auf informationelle Selbstbestimmung dar, die durch Art. 8
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 8 Droit au respect de la vie privée et familiale - 1. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
1    Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
2    Il ne peut y avoir ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui.
EMRK und Art. 13
SR 101 Constitution fédérale de la Confédération suisse du 18 avril 1999
Cst. Art. 13 Protection de la sphère privée - 1 Toute personne a droit au respect de sa vie privée et familiale, de son domicile, de sa correspondance et des relations qu'elle établit par la poste et les télécommunications.
1    Toute personne a droit au respect de sa vie privée et familiale, de son domicile, de sa correspondance et des relations qu'elle établit par la poste et les télécommunications.
2    Toute personne a le droit d'être protégée contre l'emploi abusif des données qui la concernent.
BV geschützt sind. Sofern Kommunikationen von Medienschaffenden betroffen sind, ist auch Art. 10
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 10 Liberté d'expression - 1. Toute personne a droit à la liberté d'expression. Ce droit comprend la liberté d'opinion et la liberté de recevoir ou de communiquer des informations ou des idées sans qu'il puisse y avoir ingérence d'autorités publiques et sans considération de frontière. Le présent article n'empêche pas les États de soumettre les entreprises de radiodiffusion, de cinéma ou de télévision à un régime d'autorisations.
1    Toute personne a droit à la liberté d'expression. Ce droit comprend la liberté d'opinion et la liberté de recevoir ou de communiquer des informations ou des idées sans qu'il puisse y avoir ingérence d'autorités publiques et sans considération de frontière. Le présent article n'empêche pas les États de soumettre les entreprises de radiodiffusion, de cinéma ou de télévision à un régime d'autorisations.
2    L'exercice de ces libertés comportant des devoirs et des responsabilités peut être soumis à certaines formalités, conditions, restrictions ou sanctions prévues par la loi, qui constituent des mesures nécessaires, dans une société démocratique, à la sécurité nationale, à l'intégrité territoriale ou à la sûreté publique, à la défense de l'ordre et à la prévention du crime, à la protection de la santé ou de la morale, à la protection de la réputation ou des droits d'autrui, pour empêcher la divulgation d'informations confidentielles ou pour garantir l'autorité et l'impartialité du pouvoir judiciaire.
EMRK und Art. 17
SR 101 Constitution fédérale de la Confédération suisse du 18 avril 1999
Cst. Art. 17 Liberté des médias - 1 La liberté de la presse, de la radio et de la télévision, ainsi que des autres formes de diffusion de productions et d'informations ressortissant aux télécommunications publiques est garantie.
1    La liberté de la presse, de la radio et de la télévision, ainsi que des autres formes de diffusion de productions et d'informations ressortissant aux télécommunications publiques est garantie.
2    La censure est interdite.
3    Le secret de rédaction est garanti.
BV berührt. Für die Eintretensfrage kann daher offenbleiben, ob und inwiefern weitere Grundrechte von der Funk- und Kabelaufklärung berührt werden.
8.2 Da mit der Funk- und Kabelüberwachung breite Funk- und Datenströme erfasst werden, besteht das Risiko, dass auch Daten der Beschwerdeführenden bearbeitet werden (vgl. oben E. 6.2). Ob beim Durchsuchen dieser Daten "Hits" erzielt und Informationen an den NDB weitergeleitet und gespeichert werden, hängt von den verwendeten Suchbegriffen ab und kann nicht von vornherein ausgeschlossen werden. Auch wenn dies nicht der Fall sein sollte, d.h. die Daten vom ZEO nur zwischengespeichert oder sogar sofort gelöscht werden, stellt schon das Erfassen und Durchsuchen von Daten einen grundrechtsrelevanten Eingriff dar, der die für Art. 13
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 13 Droit à un recours effectif - Toute personne dont les droits et libertés reconnus dans la présente Convention ont été violés, a droit à l'octroi d'un recours effectif devant une instance nationale, alors même que la violation aurait été commise par des personnes agissant dans l'exercice de leurs fonctions officielles.
und 8
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 8 Droit au respect de la vie privée et familiale - 1. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
1    Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
2    Il ne peut y avoir ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui.
EMRK nötige minimale Intensität erreicht (entgegen der vom NDB vorinstanzlich vertretenen Auffassung): Es handelt sich um eine geheime Überwachung von vertraulichen Kommunikationen (Inhalte und Randdaten), die in der Regel dem Fernmeldegeheimnis unterliegen und z.T. durch Berufsgeheimnisse besonders geschützt sind. Im Entscheid Big Brother Watch (§ 338) verlangte der EGMR deshalb schon auf dieser Stufe Vorkehren zur Einschränkung des behördlichen Ermessens und zum Schutz vor Missbrauch. Im Übrigen lässt sich der Regelung in Art. 4
SR 510.292 Ordonnance du 17 octobre 2012 sur la guerre électronique et l'exploration radio (OGE)
OGE Art. 4 Traitement des données - 1 L'ACEM détruit les résultats obtenus par l'exploration radio au plus tard à l'échéance du mandat correspondant.
1    L'ACEM détruit les résultats obtenus par l'exploration radio au plus tard à l'échéance du mandat correspondant.
2    Il détruit les communications au plus tard 18 mois après leur saisie.
3    Il détruit les données de liaison au plus tard 5 ans après leur saisie.
4    Il peut utiliser les données saisies sur la base d'un mandat d'exploration radio pour exécuter un autre mandat d'exploration radio émis par le même mandant.
5    La déclaration des registres d'activité de traitement, le droit d'accès et le droit de consultation ainsi que l'archivage sont soumis aux dispositions légales applicables aux mandants concernés.9
der Verordnung vom 17. Oktober 2012 über die elektronische Kriegsführung und die Funkaufklärung (VEKF; SR 510.292) und Art. 28
SR 121.1 Ordonnance du 16 août 2017 sur le service de renseignement (Ordonnance sur le renseignement, ORens) - Ordonnance sur le renseignement
ORens Art. 28 Traitement des données - 1 L'ACEM détruit les résultats issus de l'exploration du réseau câblé au plus tard au terme du mandat d'exploration du réseau câblé concerné.
1    L'ACEM détruit les résultats issus de l'exploration du réseau câblé au plus tard au terme du mandat d'exploration du réseau câblé concerné.
2    Il détruit les communications enregistrées au moment du terme du mandat, mais au plus tard 18 mois après leur enregistrement.
3    Il détruit les données relatives aux communications établies enregistrées au moment du terme du mandat, mais au plus tard 5 ans après leur enregistrement.
der Verordnung vom 16. August 2017 über den Nachrichtendienst (NDV; SR 121.1) entnehmen, dass gewisse Daten auch längerfristig beim ZEO gespeichert werden. Dies gilt insbesondere für Verbindungsdaten, die maximal 5 Jahre lang gespeichert und z.T. für weitere Aufträge verwendet werden dürfen (Art. 4 Abs. 4
SR 510.292 Ordonnance du 17 octobre 2012 sur la guerre électronique et l'exploration radio (OGE)
OGE Art. 4 Traitement des données - 1 L'ACEM détruit les résultats obtenus par l'exploration radio au plus tard à l'échéance du mandat correspondant.
1    L'ACEM détruit les résultats obtenus par l'exploration radio au plus tard à l'échéance du mandat correspondant.
2    Il détruit les communications au plus tard 18 mois après leur saisie.
3    Il détruit les données de liaison au plus tard 5 ans après leur saisie.
4    Il peut utiliser les données saisies sur la base d'un mandat d'exploration radio pour exécuter un autre mandat d'exploration radio émis par le même mandant.
5    La déclaration des registres d'activité de traitement, le droit d'accès et le droit de consultation ainsi que l'archivage sont soumis aux dispositions légales applicables aux mandants concernés.9
VEKF; zur Randdatenspeicherung BGE 144 I 126 E. 4.2 S. 133 mit Hinweisen; Urteil Big Brother Watch, § 355-357; zit. Urteil des deutschen Bundesverfassungsgerichts, BvR 2835/17 Rz. 153 und 191).

BGE 147 I 280 S. 292

8.3 Nach dem Gesagten besteht eine hinreichende Wahrscheinlichkeit ("probabilité raisonnable"), dass Daten der Beschwerdeführenden von geheimen Massnahmen der Funk- und Kabelaufklärung betroffen werden, weshalb ihre "Opfereigenschaft" nach Art. 13
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 13 Droit à un recours effectif - Toute personne dont les droits et libertés reconnus dans la présente Convention ont été violés, a droit à l'octroi d'un recours effectif devant une instance nationale, alors même que la violation aurait été commise par des personnes agissant dans l'exercice de leurs fonctions officielles.
und 34
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 34 Requêtes individuelles - La Cour peut être saisie d'une requête par toute personne physique, toute organisation non gouvernementale ou tout groupe de particuliers qui se prétend victime d'une violation par l'une des Hautes Parties contractantes des droits reconnus dans la Convention ou ses protocoles. Les Hautes Parties contractantes s'engagent à n'entraver par aucune mesure l'exercice efficace de ce droit.
EMRK grundsätzlich zu bejahen ist.
9. Näher zu prüfen ist das Argument des Bundesverwaltungsgerichts, die Beschwerdeführenden hätten die Möglichkeit, über das datenschutzrechtliche Auskunftsrecht konkrete, sie betreffende Überwachungsmassnahmen anzufechten, und seien daher nicht darauf angewiesen, eine "abstrakte" Kontrolle der gesetzlichen Regelung der Funk- und Kabelaufklärung zu verlangen, was auf eine unzulässige abstrakte Normenkontrolle hinauslaufe.
9.1 Der Gesetzgeber hat eine abstrakte Normenkontrolle nur für kantonale Erlasse vorgesehen (Art. 82 lit. b
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire
LTF Art. 82 Principe - Le Tribunal fédéral connaît des recours:
a  contre les décisions rendues dans des causes de droit public;
b  contre les actes normatifs cantonaux;
c  qui concernent le droit de vote des citoyens ainsi que les élections et votations populaires.
und Art. 87
SR 173.110 Loi du 17 juin 2005 sur le Tribunal fédéral (LTF) - Organisation judiciaire
LTF Art. 87 Autorités précédentes en cas de recours contre un acte normatif - 1 Le recours est directement recevable contre les actes normatifs cantonaux qui ne peuvent faire l'objet d'un recours cantonal.
1    Le recours est directement recevable contre les actes normatifs cantonaux qui ne peuvent faire l'objet d'un recours cantonal.
2    Lorsque le droit cantonal prévoit un recours contre les actes normatifs, l'art. 86 est applicable.
BGG), nicht aber für Bundeserlasse. Deren abstrakte Überprüfung kann grundsätzlich auch nicht auf dem Umweg über eine Feststellungsverfügung herbeigeführt werden (Urteil 1P.560/1999 vom 14. Februar 2000 E. 2c; KÖLZ/HÄNER/BERTSCHI, Verwaltungsverfahren und Verwaltungsrechtspflege des Bundes, 3. Aufl. 2013, S. 122 Rz. 340). Personen, die sich durch bundesrechtlich vorgesehene Massnahmen in ihren Grundrechten verletzt fühlen, sind daher darauf angewiesen, konkrete, sie betreffende Vollzugsakte anzufechten. Zwar sind Bundesgesetze neben Völkerrecht für das Bundesgericht massgebend (Art. 190
SR 101 Constitution fédérale de la Confédération suisse du 18 avril 1999
Cst. Art. 190 Droit applicable - Le Tribunal fédéral et les autres autorités sont tenus d'appliquer les lois fédérales et le droit international.135
BV), d.h. das Bundesgericht muss auch Gesetze, die sich nicht verfassungskonform auslegen lassen, anwenden und kann lediglich den Gesetzgeber einladen, die fragliche Bestimmung zu ändern ( BGE 141 II 338 E. 3.1 S. 340; BGE 140 I 305 E. 5 S. 310; je mit Hinweis). Besteht allerdings ein echter Normkonflikt zwischen Bundes- und Völkerrecht, so geht grundsätzlich die völkerrechtliche Verpflichtung der Schweiz vor und eine dem Völkerrecht entgegenstehende Bundesgesetzgebung bleibt regelmässig unanwendbar. Dies gilt uneingeschränkt für Abkommen wie die EMRK, die Menschen- oder Grundrechte zum Gegenstand haben (grundlegend BGE 125 II 417 E. 4d S. 424 ff.; ständige Rechtsprechung vgl. BGE 144 I 126 E. 3 S. 130 mit Hinweisen; BGE 147 IV 182 E. 2.1). Insofern genügt die konkrete Kontrolle von Vollzugsakten grundsätzlich, um einen wirksamen Grundrechtsschutz sicherzustellen.
Davon geht, wie aufgezeigt (oben E. 7.2), auch die Rechtsprechung des EGMR aus, wonach in der Regel nur Vollzugsakte mit
BGE 147 I 280 S. 293

Individualbeschwerde angefochten werden können. Ein Abweichen von diesem Grundsatz ist nur gerechtfertigt, wenn es den Beschwerdeführenden nicht möglich oder nicht zumutbar ist, einen Anwendungsakt abzuwarten oder zu verlangen und diesen innerstaatlich anzufechten (vgl. JULIEN MARQUIS, La qualité pour agir devant la Cour européenne des droits de l'homme, 2017, Rz. 1017, 1032 ff., 1041).
9.2 Das Bundesverwaltungsgericht verwies vorliegend auf die Möglichkeit, ein Auskunftsbegehren nach Art. 8
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru.
1    Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru.
2    Les mesures doivent permettre d'éviter toute violation de la sécurité des données.
3    Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données.
DSG zu stellen und im Anschluss daran Rechtsschutz gemäss Art. 25
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
1    Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
2    La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
a  l'identité et les coordonnées du responsable du traitement;
b  les données personnelles traitées en tant que telles;
c  la finalité du traitement;
d  la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
e  les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
f  le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
g  le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
3    Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
4    Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
5    Nul ne peut renoncer par avance au droit d'accès.
6    Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
7    En règle générale, les renseignements sont fournis dans un délai de 30 jours.
i.V.m. 33 DSG zu erhalten. Es führte aus, den Beschwerdeführenden stünde mit dem datenschutzrechtlichen Auskunftsrecht die Möglichkeit offen, die Verletzung ihrer grund- und konventionsrechtlichen Ansprüche durch Massnahmen der Funk- und Kabelaufklärung zu rügen und eine rechtmässige Überwachung gerichtlich durchzusetzen. Es ging also davon aus, dass es den Beschwerdeführenden möglich sei, Auskunft über konkrete, sie betreffende Massnahmen der Funk- und Kabelaufklärung zu erhalten und diese anschliessend gerichtlich überprüfen zu lassen. Dies überzeugt nicht: Die mit der Funk- und Kabelaufklärung verbundenen Massnahmen sind geheim und werden den Betroffenen auch nachträglich nicht bekannt gegeben. Wie im Folgenden darzulegen sein wird, ermöglicht auch der datenschutzrechtliche Auskunftsanspruch keinen wirksamen Rechtsschutz gegen solche Massnahmen im Einzelfall.
9.2.1 Gemäss Art. 63
SR 121 Loi fédérale du 25 septembre 2015 sur le renseignement (LRens)
LRens Art. 63 Droit d'accès - 1 Le droit d'accès aux données saisies dans les systèmes d'information PES et Quattro P, dans le portail ROSO, et dans les systèmes d'information distincts visés aux art. 36, al. 5, et 58 et aux données administratives enregistrées dans le système GEVER SRC est régi par la LPD36.
1    Le droit d'accès aux données saisies dans les systèmes d'information PES et Quattro P, dans le portail ROSO, et dans les systèmes d'information distincts visés aux art. 36, al. 5, et 58 et aux données administratives enregistrées dans le système GEVER SRC est régi par la LPD36.
2    Lorsqu'une personne demande si le SRC traite des données la concernant dans les systèmes IASA SRC, IASA-EXTR SRC, INDEX SRC ou SICO, dans le système de stockage des données résiduelles ou dans le système GEVER SRC, le SRC diffère sa réponse:
a  si et pour autant que les données traitées au sujet de cette personne sont liées à des intérêts prépondérants, dûment motivés par le SRC, qui exigent le maintien du secret pour une des raisons suivantes:
a1  l'accomplissement des tâches visées à l'art. 6 l'exige,
a2  une poursuite pénale ou une autre procédure d'instruction l'exige;
b  si et pour autant que les intérêts prépondérants d'un tiers exigent le maintien du secret;
c  si le SRC ne traite aucune donnée concernant le requérant.
3    Le SRC informe le requérant du report de sa réponse; il lui indique qu'il peut demander au Préposé fédéral à la protection des données et à la transparence (PFPDT) qu'il vérifie si les éventuelles données le concernant sont traitées conformément au droit et si des intérêts prépondérants exigeant de maintenir le secret justifient le report.
4    Dès qu'il n'est plus nécessaire de maintenir le secret, mais au plus tard à l'expiration du délai de conservation des données, le SRC donne les renseignements demandés en application de la LPD, pour autant que cela n'entraîne pas un travail disproportionné.
5    Le SRC informe les personnes au sujet desquelles il n'a traité aucune donnée au plus tard trois ans à compter de la réception de leur demande.
NDG wird die Auskunft aufgeschoben, wenn überwiegende Interessen an einer Geheimhaltung bestehen (Abs. 2), maximal bis zum Ende der Aufbewahrungsdauer der Daten (Abs. 4). Diese kann u.U. mehrere Jahrzehnte betragen (vgl. z.B. Art. 21
SR 121.2 Ordonnance du 16 août 2017 sur les systèmes d'information et les systèmes de stockage de données du Service de renseignement de la Confédération (OSIS-SRC)
OSIS-SRC Art. 21 Durée de conservation - 1 Les durées de conservation ci-après s'appliquent aux documents sources suivants enregistrés dans le système IASA SRC:
1    Les durées de conservation ci-après s'appliquent aux documents sources suivants enregistrés dans le système IASA SRC:
a  pour les données portant sur le terrorisme international: 30 ans au plus;
b  pour les données visées à l'art. 20, al. 3, let. b: 45 ans au plus;
c  pour les données sur les interdictions d'entrée: 10 ans au plus après l'expiration de l'interdiction d'entrée, en tout 35 ans au plus;
d  pour les données portant sur des informations pertinentes en matière de politique de sécurité: 45 ans au plus.
2    La durée de conservation des documents originaux qui ne sont pas reliés à un document source est de 15 ans au plus.
VIS-NDB zur Datenbank IASA NDB: Aufbewahrungsdauer bis zu 45 Jahre). Art. 36 Abs. 5
SR 121 Loi fédérale du 25 septembre 2015 sur le renseignement (LRens)
LRens Art. 36 Dispositions générales - 1 Le SRC peut collecter secrètement des informations sur des événements se produisant à l'étranger.
1    Le SRC peut collecter secrètement des informations sur des événements se produisant à l'étranger.
2    Lorsqu'il collecte en Suisse des informations sur des événements se produisant à l'étranger, il est lié par les dispositions de la section 4, sous réserve de l'art. 37, al. 2.
3    Le SRC veille à ce que les risques pris lors de la recherche d'informations ne soient pas disproportionnés par rapport au but et que les atteintes aux droits fondamentaux des personnes concernées soient limitées au strict nécessaire.
4    Il documente à l'intention des organes de contrôle et de surveillance ses recherches d'informations sur les événements se produisant à l'étranger.
5    Il peut enregistrer dans des systèmes d'information distincts des données provenant de l'étranger comparables à celles obtenues par des mesures de recherche d'informations soumises à autorisation lorsque l'ampleur des données, le secret ou la sécurité le requièrent.
6    Les collaborateurs du SRC en mission à l'étranger sont assurés pendant leur mission contre la maladie et les accidents conformément à la loi fédérale du 19 juin 1992 sur l'assurance militaire23.
7    Le SRC veille à la protection de ses collaborateurs en mission à l'étranger.
NDG sieht zwar vor, dass der NDB Daten aus Beschaffungen im Ausland, die mit genehmigungspflichtigen Beschaffungsmassnahmen vergleichbar sind, gesondert abspeichern kann, wenn der Umfang der Daten, die Geheimhaltung oder die Sicherheit dies erfordert; derartige Daten unterliegen einer maximalen Aufbewahrungsdauer von drei Jahren (Art. 70 Abs. 3
SR 121.2 Ordonnance du 16 août 2017 sur les systèmes d'information et les systèmes de stockage de données du Service de renseignement de la Confédération (OSIS-SRC)
OSIS-SRC Art. 70 Durée de conservation - 1 Le SRC efface les données provenant de mesures de recherche soumises à autorisation qui ne sont pas utilisées dans une procédure judiciaire ou dans une opération en cours:
1    Le SRC efface les données provenant de mesures de recherche soumises à autorisation qui ne sont pas utilisées dans une procédure judiciaire ou dans une opération en cours:
a  au plus tard 6 mois après la communication à la personne concernée en vertu de l'art. 33, al. 1, LRens;
b  immédiatement après la décision entrée en force relative à la dérogation à l'obligation de communiquer l'information à la personne concernée en vertu de l'art. 33, al. 3, LRens, ou
c  immédiatement après la décision entrée en force relative à un recours interjeté contre la mesure ordonnée.
2    Lorsque la communication est reportée, les données doivent être effacées au plus tard 6 mois après la communication.
3    La durée de conservation des données issues de recherches à l'étranger visées à l'art. 36, al. 5, LRens, est de 3 ans au plus.
VIS-NDB). Es handelt sich jedoch um eine Kann-Vorschrift, deren Anwendungsbereich unklar ist.
9.2.2 Auch nach Wegfall des Geheimhaltungsinteresses kann mit einem Auskunftsgesuch an den NDB im Wesentlichen nur in
BGE 147 I 280 S. 294

Erfahrung gebracht werden, ob dieser Daten einer Person in seinen Informationssystemen speichert. Ob auch die Herkunft der gespeicherten Daten aus der Funk- und Kabelaufklärung mitgeteilt wird, ist ungewiss - dies wäre jedoch Voraussetzung für die Geltendmachung von Folgeansprüchen wegen widerrechtlicher Datenbearbeitung im Rahmen der Funk- und Kabelaufklärung. Gemäss Art. 8 Abs. 2 lit. a
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru.
1    Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru.
2    Les mesures doivent permettre d'éviter toute violation de la sécurité des données.
3    Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données.
DSG schliesst die Auskunft "verfügbare Angaben" zur Herkunft der Daten ein. Dies würde voraussetzen, dass alle Informationen aus der Funk- und Kabelaufklärung bei der Überführung in die allgemeinen Informationssysteme des NDB als solche gekennzeichnet werden.
9.2.3 Jedenfalls aber stellen die in den Informationssystemen des NDB gespeicherten Daten nur einen Bruchteil der im Rahmen der Funk- und Kabelaufklärung erfassten, vom ZEO durchsuchten, gefilterten und sonstwie bearbeiteten Daten dar. Nach den Feststellungen des deutschen Bundesverfassungsgerichts zur Auslands-Telekommunikationsüberwachung in Deutschland werden täglich aus den zugänglich gemachten Datenströmen aufgrund eines mehrstufigen und vollautomatisierten Filterungs- und Auswertungsprozesses ca. 270'000 Telekommunikationsvorgänge sowie eine um mehrere Grössenordnungen höhere Menge von Verbindungsdaten selektioniert, gespeichert und anschliessend manuell auf ihre nachrichtendienstliche Relevanz überprüft, wobei durchschnittlich nur rund 260, d.h. 1 o/oo, als relevant identifiziert und weitergeleitet werden (zit. Urteil des deutschen Bundesverfassungsgerichts, BvR 2835/17 Rz. 24 f.). Es ist nicht auszuschliessen, dass die Grössenverhältnisse in der Schweiz vergleichbar sind. Ein Auskunftsgesuch an das ZEO (oder an den NDB über die beim ZEO gespeicherten Daten gemäss Art. 8 Abs. 4
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru.
1    Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru.
2    Les mesures doivent permettre d'éviter toute violation de la sécurité des données.
3    Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données.
DSG) würde nicht weiterhelfen, denn die dort bearbeiteten Daten sind (soweit überhaupt noch vorhanden) in der Regel noch nicht nach Personen aufgeschlüsselt und damit nicht auffindbar.
9.2.4 Das indirekte Auskunftsrecht nach Art. 64 f
SR 121 Loi fédérale du 25 septembre 2015 sur le renseignement (LRens)
LRens Art. 64 Vérification par le PFPDT - 1 À la demande du requérant, le PFPDT effectue la vérification visée à l'art. 63, al. 3.
1    À la demande du requérant, le PFPDT effectue la vérification visée à l'art. 63, al. 3.
2    Il lui indique soit qu'aucune donnée le concernant n'est traitée illégalement, soit qu'il a constaté une erreur relative au traitement des données ou au report de la réponse et qu'il a ouvert une enquête conformément à l'art. 49 LPD37.38
4    En cas d'erreur relative au traitement des données ou au report de la réponse, il ordonne au SRC d'y remédier.40
5    Si le requérant rend vraisemblable qu'un report de la réponse le léserait gravement et de manière irréparable, le PFPDT peut ordonner au SRC qu'il fournisse immédiatement à titre exceptionnel le renseignement demandé pour autant que sa communication ne constitue pas une menace pour la sûreté intérieure ou extérieure.41
. NDG gewährleistet per se keine wirksame Beschwerdemöglichkeit nach Art. 13
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 13 Droit à un recours effectif - Toute personne dont les droits et libertés reconnus dans la présente Convention ont été violés, a droit à l'octroi d'un recours effectif devant une instance nationale, alors même que la violation aurait été commise par des personnes agissant dans l'exercice de leurs fonctions officielles.
EMRK, sondern stellt einen objektiven Kontrollmechanismus dar, welcher den Aufschub des Beschwerderechts teilweise kompensieren kann ( BGE 138 I 6 E. 6.3 S. 33 und E. 7 S. 34 ff.). Es erscheint jedoch nicht gewährleistet, dass sich die Kontrolle des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragen (EDÖB) und des

BGE 147 I 280 S. 295

Bundesverwaltungsgerichts auf die Datenbearbeitung im Rahmen der Funk- und Kabelaufklärung erstreckt; hierfür kann auf das zum datenschutzrechtlichen Auskunftsrecht Gesagte verwiesen werden.
9.3 Unter diesen Umständen ist es den Beschwerdeführenden nicht möglich, konkrete, sie betreffende Massnahmen der Funk- und Kabelaufklärung anzufechten. Sie sind deshalb darauf angewiesen, das "System" der Funk- und Kabelaufklärung in der Schweiz überprüfen zu lassen. Dabei handelt es sich - entgegen der Auffassung des Bundesverwaltungsgerichts - nicht um eine abstrakte Normenkontrolle. Gegenstand der Prüfung ist nicht das Gesetz als solches, sondern die vermutete Erfassung von Daten der Beschwerdeführenden in der Funk- und Kabelaufklärung. Gefragt wird deshalb nicht, ob die Bestimmungen des NDG zur Funk- und Kabelaufklärung verfassungs- und konventionskonform gehandhabt werden könnten, sondern ob die (vermutete) Bearbeitung von Daten der Beschwerdeführenden im aktuellen System der Funk- und Kabelaufklärung deren Grundrechte verletzt. Dabei sind nicht nur die gesetzlichen Grundlagen, sondern auch allfällige interne Richtlinien und Weisungen, die effektive Vollzugspraxis von NDB und ZEO sowie die tatsächliche Kontrollpraxis der Aufsichtsbehörden zu berücksichtigen (vgl. oben E. 7.2.3).
9.4 Zwar sind gewisse Einschränkungen des Rechtsschutzes bei geheimen Überwachungsmassnahmen zulässig; dies setzt jedoch voraus, dass das Gesamtsystem den Anforderungen von Art. 8
IR 0.101 Convention du 4 novembre 1950 de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH)
CEDH Art. 8 Droit au respect de la vie privée et familiale - 1. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
1    Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
2    Il ne peut y avoir ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui.
EMRK und Art. 13
SR 101 Constitution fédérale de la Confédération suisse du 18 avril 1999
Cst. Art. 13 Protection de la sphère privée - 1 Toute personne a droit au respect de sa vie privée et familiale, de son domicile, de sa correspondance et des relations qu'elle établit par la poste et les télécommunications.
1    Toute personne a droit au respect de sa vie privée et familiale, de son domicile, de sa correspondance et des relations qu'elle établit par la poste et les télécommunications.
2    Toute personne a le droit d'être protégée contre l'emploi abusif des données qui la concernent.
BV genügt (vgl. oben E. 7.1). Dies muss auf entsprechende Rüge hin mindestens von einer unabhängigen Behörde überprüft werden können, bevor die betroffenen Personen mit Individualbeschwerde an den EGMR gelangen (oben E. 7.2). Im Urteil Big Brother Watch (§ 255 f.) betonte der EGMR die zentrale Bedeutung des innerstaatlichen Rechtsschutzes bei der Überprüfung von geheimen Massenüberwachungssystemen. Ohne die sorgfältige Prüfung von Funktionsweise und Umfang solcher Systeme durch die innerstaatlichen Gerichte, unter Berücksichtigung auch von vertraulichen Unterlagen zur Vollzugspraxis, sei es dem Gerichtshof unmöglich, die EMRK-Konformität solcher Regime zu kontrollieren. Es sei Aufgabe der nationalen Gerichte, die schwierige Abwägung der auf dem Spiel stehenden Interessen vorzunehmen, bevor diese vom EGMR überprüft würden. Dies setzt vorliegend
BGE 147 I 280 S. 296

voraus, dass auf die Gesuche der Beschwerdeführenden nach Art. 25 Abs. 1
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
1    Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
2    La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
a  l'identité et les coordonnées du responsable du traitement;
b  les données personnelles traitées en tant que telles;
c  la finalité du traitement;
d  la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
e  les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
f  le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
g  le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
3    Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
4    Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
5    Nul ne peut renoncer par avance au droit d'accès.
6    Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
7    En règle générale, les renseignements sont fournis dans un délai de 30 jours.
DSG eingetreten wird. Dies entspricht dem Vorgehen im Fall BGE 144 I 126 . Damals machten die Beschwerdeführer geltend, die Speicherung und Aufbewahrung ihrer Telekommunikationsranddaten widerspreche den Garantien der EMRK und der Bundesverfassung. Der Dienst Überwachung Post und Fernmeldeverkehr (ÜPF) trat auf die Feststellungs- und Unterlassungsbegehren der Beschwerdeführer ein, obwohl die streitige Verpflichtung in einem formellen Bundesgesetz verankert war (Art. 15 Abs. 3 des bis zum 28. Februar 2018 geltenden Bundesgesetzes betreffend die Überwachung des Post- und Fernmeldeverkehrs [aBÜPF]) und die Beschwerdeführenden von der gesetzlich vorgesehenen Randdatenspeicherung nicht mehr, sondern gleich betroffen waren wie alle anderen Fernmeldeteilnehmerinnen und -teilnehmer in der Schweiz. Damit ermöglichte er eine unabhängige Überprüfung des Systems der Randdatenspeicherung durch das Bundesverwaltungsgericht.