Bereits einen Monat nach Inkrafttreten des neuen Überwachungsgesetzes BÜPF hat die zuständige Überwachungsbehörde 2018 den Geltungsbereich nach eigenem Gutdünken ausgedehnt und auch E-Mail-Anbieterinnen als Fernmeldedienstanbieterinnen eingestuft. Nun hat das Bundesverwaltungsgericht eine entsprechende Verfügung aufgehoben.
Das totalrevidierte Überwachungsgesetz BÜPF ist im März 2018 in Kraft getreten. Ein wesentliches Element der Revision betraf die Ausdehnung des persönlichen Geltungsbereichs. Standen bis anhin «nur» die Access Provider (FDA) in der Pflicht, Überwachungsmassnahmen vorzunehmen, fallen neu auch reine E-Mail-Anbieterinnen, Hostingprovider, Chatanbieter etc. unter das BÜPF. Dazu wurde eine neue Kategorie von «Anbieterinnen abgeleiteter Kommunikationsdienste» (AAKD) geschaffen.
Bereits einen Monat später, im April 2018, will der Dienst Überwachung Post- und Fernmeldeverkehr (Dienst ÜPF) den Geltungsbereich weiter ausdehnen. So sollen gemäss einem neuen Merkblatt (PDF) auch E-Mail- und Messaging-Anbieterinnen wie Fernmeldedienste behandelt werden. Diese Definition hätte in der Praxis für die Betroffenen weitreichende Konsequenzen:
- Fernmeldedienstanbieterinnen (FDA) müssen ihre BenutzerInnen identifizieren, und sie trifft eine aktive Überwachungspflicht (inkl. der Vorratsdatenspeicherung). (Art. 21ff. BÜPF)
- Eine vorsätzliche Zuwiderhandlung kann mit Busse bis zu 100’000 Franken, bei Fahrlässigkeit mit bis zu 40’000 Franken, bestraft werden. (Art. 39 BÜPF)
- Erst auf Gesuch kann der Dienst ÜPF eine Fernmeldedienstanbieterin zu einer «FDA mit reduzierten Überwachungspflichten» erklären, wobei jedoch die Identifikationspflicht bleibt. (Art. 26 Abs. 6 BÜPF)
- Bei den Anbieterinnen abgeleiteter Kommunikationsdienste (AAKD) ist es genau umgekehrt: Sie werden vom Dienst ÜPF den Indentifikations- und Überwachungspflichten nur unterstellt, wenn gewisse Bedingungen (Anzahl Überwachungsgesuche, Jahresumsatz) zutreffen.
Wir haben im Mai und Oktober 2018 ausführlich über die rechtswidrige Uminterpretation des Begriffs der Fernmeldedienste berichtet.
Auf Basis dieser Eigeninterpretation des Begriffs und damit des Geltungsbereichs erging im Dezember 2018 eine Verfügung an die Threema GmbH, worin der Dienst ÜPF die betroffene Unternehmung als FDA einstuft und eine «Echtzeitüberwachung von Randdaten bei Telefonie- und Multimediadiensten» verlangt. Gegen diese Verfügung hat Threema Beschwerde geführt und nun vom Bundesverwaltungsgericht vollumfänglich Recht (PDF) erhalten.
Das Bundesveraltungsgericht hält im Urteil fest, dass gemäss den Erläuterungen (Botschaft) zum neuen BÜPF
der persönliche Geltungsbereich gemäss Art. 2 BÜPF neu sechs Kategorien von «Mitwirkungspflichtigen» umfasst, wobei der Umfang der Mitwirkungspflichten im Sinne der Verhältnismässigkeit für jede Kategorie gesondert und entsprechend der spezifischen Tätigkeit abgestuft definiert wird.
[…]
Als AAKD würden Anbieterinnen von zwei Arten von Internetdiensten erfasst werden. Die einen würden eine Einwegkommunikation ermöglichen, die das Hochladen von Dokumenten gestatte, die anderen eine Mehrwegkommunikation, welche die Kommunikation zwischen Nutzerinnen und Nutzern erlaube. Dabei sei nicht von Belang, ob die Kommunikation synchron oder asynchron erfolge. Als Beispiele von AAKD, welche eine Mehrwegkommunikation anbieten, nennt die Botschaft zum BÜPF u.a. Chat- bzw. Instant-Messaging-Plattformen sowie Anbieterinnen von Internettelefoniediensten des Typs Peer-to-Peer.
In Bezug auf den Begriff der FDA verweist die Botschaft zum BÜPF auf die Bestimmungen des FMG und hält zusammenfassend fest, FDA würden sich verpflichten, im Auftrag von Dritten, d.h. für die Öffentlichkeit, Informationen fernmeldetechnisch selber zu befördern oder zu übertragen. Die Art. 2 Bst. c BÜPF unterstehenden Personen (AAKD) seien keine FDA, da sie keine Daten übertragen oder befördern würden, schon gar nicht selbst.
Im Weiteren war zu beurteilen, ob sich durch die technologische Entwicklung eine neue Begriffsauffassung seit dem Erlass der Botschaft aufdrängt:
Bei den erwähnten, immer stärker aufkommenden internetbasierten Diensten (insbesondere Instant-Messaging und Internettelefonie) handelt es sich nicht um neue, im Zeitpunkt des Erlasses des BÜPF unbekannte Technologien. Vielmehr wurden solche Dienste in der Botschaft zum BÜPF und in den parlamentarischen Beratungen explizit erwähnt und wurde hierfür gerade die Kategorie der AAKD geschaffen.
[…]
Daraus erhellt, dass eine Ausweitung des Begriffs FDA nicht erforderlich ist, um der erwähnten technologischen Entwicklung Rechnung zu tragen und den Zweck von Art. 2 BÜPF bzw. des BÜPF allgemein, nämlich sämtliche Personen, die von den Strafverfolgungsbehörden benötigte Daten besitzen, dem BÜPF zu unterstellen, und den Post- und Fernmeldeverkehr zur Aufklärung von Straftaten zu überwachen, zu erreichen. Vielmehr erscheint die von der Vorinstanz [Dienst ÜPF] vorgenommene Auslegung des Begriffs FDA mit dem Ergebnis, dass gewisse AAKD unabhängig von ihrer wirtschaftlichen Bedeutung und der Grösse ihrer Benutzerschaft zu FDA heraufgestuft werden, gegen Art. 22 Abs. 4 und Art. 27 Abs. 3 BÜPF und die darin vorgesehene Kompetenzordnung, wonach eine solche Heraufstufung dem Bundesrat vorbehalten bleibt, zu verstossen.
Da das neue Fernmeldegesetz den Begriff der Fernmeldedienstanbieter breiter fasst, wurde vom Gericht abschliessend die Frage geklärt, ob sich dadurch eine Neudefinition ergeben könnte:
Aus diesen Ausführungen ergibt sich, dass die im Vergleich zur Botschaft zum BÜPF geänderte und breitere Auffassung des Begriffs FDA, gemäss welcher auch Anbieterinnen von OTT-Diensten als FDA qualifiziert werden können und welche auch die Vorinstanz im vorliegenden Verfahren vertritt, nur für den Anwendungsbereich des FMG gelten soll, nicht jedoch für das BÜPF. Damit soll insbesondere verhindert werden, dass den AAKD weitergehende Pflichten gemäss BÜPF auferlegt werden. Dementsprechend wurde denn auch Art. 2 Bst. b BÜPF insofern geändert, als dass der Verweis auf Art. 3 Bst. b FMG gestrichen wurde. Zudem bestimmt Art. 2 Abs. 2 BÜPF neu, dass der Bundesrat die Kategorien von Mitwirkungspflichtigen näher, insbesondere nach Abs. 1 Bst. b, c und e, umschreibt. Der Begriff der FDA wird damit vom FMG entkoppelt, weshalb die (neue) Begriffsauffassung nach FMG nicht auf das BÜPF übertragen werden kann.
Somit gälte wieder: Fernmeldedienstanbieterinnen übermitteln Informationen für ihre KundInnen. Sie operieren auf den unteren Schichten der Datenübertragung und ermöglichen die IP-Kommunikation. Anbieterinnen abgeleiteter Kommunikationsdienste setzen darauf auf, indem sie Dienste bereitstellen, die nur in Verbindung mit der Tätigkeit einer Fernmeldedienstanbieterin, insbesondere einer Internetzugangsanbieterin, angeboten werden können.
Das Urteil ist jedoch noch nicht rechtskräftig; gegen den Entscheid kann beim Bundesgericht in Lausanne Beschwerde geführt werden.