Messenger-App Threema: EJPD zieht Verfahren ans Bundesgericht

Anbieterin abgeleiteter Kommunikationsdienste

Einleitung

Vor dem Schweizerischen Bundesverwaltungsgericht (BVGer) – A-550/2019 – hat die Threema GmbH gegen die Überwachungsbehörde des Bundes, d.h. der Dienst Überwachung Post- und Fernmeldeverkehr (ÜPF), obsiegt.

Der Bund wollte Zugriff auf gewisse Nutzerdaten. Dafür sollte ein Teil der Verschlüsselung aufgehoben werden.

„Threema“ hat sich im Streit um ihre Einstufung als Anbieterin von Fernmeldediensten erfolgreich gegen den Zugriff auf die Daten ihrer Nutzer gewehrt.

Sachverhalt

„Die Threema GmbH bezweckt die Entwicklung und den Vertrieb von Software sowie allgemeine Dienstleistungen im Bereich der Informatik. Mit ihrem Produkt «Threema», einer App für Smartphones, können einerseits Text- und Sprachnachrichten sowie Dateien ausgetauscht (Instant-Messaging-Dienst bzw. Chat) und andererseits Sprachanrufe getätigt werden. …“

Nach Korrespondenzwechseln erliess der Dienst ÜPF am 13. Dezember 2018 die nachgesuchte Verfügung mit folgendem Dispositiv:

«1.Die Threema GmbH gilt als Anbieterin von Fernmeldediensten gemäss Art. 2 Bst. b BÜPF.

2.Da die Threema GmbH bisher kein Gesuch auf reduzierte Überwachungspflichten gestellt hat, welches vom Dienst ÜPF per Verfügung gutgeheissen wurde, verfügt sie über die vollständigen Überwachungspflichten. Diese beinhalten insbesondere:

– Lieferung der für die Durchführung der Überwachung notwendigen Informationen

-Entfernung der von ihnen angebrachten Verschlüsselungen

-Ausführung der Überwachungen gemäss den Art. 54-69 VÜPF, die durch sie angebotene Dienste betreffen.

3.Die Threema GmbH hat die Pflicht, den Überwachungsauftrag vom 19. November 2018 bis am 19. Dezember 2018 auszuführen und die dafür notwendigen Schritte für die Einrichtung der Überwachung, in Zusammenarbeit mit dem Dienst ÜPF, zu unternehmen. Sollte die Threema GmbH nicht in der Lage oder gewillt sein, die Überwachung auszuführen, wird der Dienst ÜPF die Ausführung der Überwachung übernehmen. FDA müssen die anfallenden Kosten übernehmen, wenn sie ihre Pflichten nicht wahrnehmen können oder wollen und diese deshalb dem Dienst oder Dritten übertragen werden müssen.

4.Im Rahmen dieser Überwachung hat die Threema GmbH die von ihr angebrachten Verschlüsselungen zu entfernen. Dies gilt auch für allfällige zukünftige Überwachungen.

5.Die Threema GmbH hat in Bezug auf den Überwachungsauftrag vom 19. November 2018 einen Anspruch auf eine Entschädigung von CHF 640.00, sofern sie ihre Überwachungspflichten gemäss BÜPF und VÜPF erfüllt.

6.Die Threema GmbH hat sicherzustellen, dass die Kontaktperson für Überwachungen und Auskünfte sowohl telefonisch als auch per E-Mail erreichbar ist.

7.Die Beschwerde hat bezüglich Ziff. 1-4 und 6 des Dispositivs keine aufschiebende Wirkung.

8.Die Kosten dieser Verfügung über CHF 500.00 werden der Threema GmbH zur Bezahlung auferlegt.»

Als Begründung führte der „Dienst ÜPF“ im Wesentlichen aus, die Threema GmbH sei ein Telefonie- und Instant-Messaging-Dienst und gelte aufgrund ihrer angebotenen Dienstleistungen als Anbieterin von Fernmeldediensten im Sinne von Art. 2 Bst. b des Bundesgesetzes vom 18. März 2016 betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF, SR 780.1) i.V.m. Art. 3 Bst. b des Fernmeldegesetzes vom 30. April 1997 (FMG, SR 784.10) mit entsprechenden Mitwirkungspflichten.

Damit verlangte der Überwachungsdienst ÜPF von „Threema“ eine Echtzeitüberwachung der Metadaten sowie die Aufhebung der Transportverschlüsselung. Anhand der Metadaten können die Strafverfolger beispielsweise erkennen, wer, wann mit wem kommuniziert hat.

Erwägungen des Bundesverwaltungsgerichts

Schweizer Telekom- und Internet-Provider sind laut Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs (Büpf) verpflichtet, Metadaten ihrer Nutzer für mindestens ein halbes Jahr zu speichern und bei einem konkreten Verdachtsfall den Strafermittlern herauszugeben.

Sowohl der Instant-Messaging-Dienst als auch die Telefonanrufe setzen somit eine fernmeldetechnische Übertragung als Basis voraus und funktionieren nur in Verbindung mit einem Internetzugang zur Übertragung der Informationen.

„Threema“

• bietet keinen Internetzugang an
• übernimmt gegenüber ihren Kunden auch keine Verantwortung für die Informationsübertragung über das Internet
• hat in ihren Nutzungsbedingungen die Haftung für Internet-Störungen gar explizit ausgeschlossen
• verlangt von ihren Kunden, dass sie den für den Informationstransport notwendigen Internetzugang separat bei einem Drittanbieter einkaufen.

Die Threema GmbH übernimmt bei der Kommunikation zwar eine Art Vermittlungsfunktion zwischen dem Absender und dem Empfänger und gewährleistet die sichere Kommunikation durch Verschlüsselung der Nachrichten, nimmt aber die fernmeldetechnische Übertragung der Informationen weder selbst vor, noch übernimmt sie hierfür dem Kunden gegenüber die Verantwortung.

Entsprechend bietet sie nach dem Ausgeführten keinen Fernmeldedienst im Sinne des BÜPF an.

Ausgangsgemäss war die Beschwerde der Threema AG gutzuheissen.

Entscheid

1. Der Antrag der Vorinstanz, die Schlussbemerkungen der Beschwerdeführerin vom 5. August 2019 seien nicht zu berücksichtigen, wird abgewiesen.
2. Die Beschwerde wird gutgeheissen und die Verfügung vom 13. Dezember 2018 aufgehoben.
3. Es werden keine Verfahrenskosten erhoben. Der geleistete Kostenvorschuss von Fr. 5’000.- wird der Beschwerdeführerin nach Eintritt der Rechtskraft des vorliegenden Urteils zurückerstattet. Hierzu hat sie dem Bundesverwaltungsgericht ihre Post- oder Bankverbindung mitzuteilen.
4. Die Vorinstanz hat der Beschwerdeführerin nach Eintritt der Rechtskraft des vorliegenden Urteils eine Parteientschädigung in der Höhe von Fr. 10’000.- zu bezahlen.
5. (Mitteilungen)

Rechtsmittel

Gemäss NZZ am Sonntag, vom 28.06.2020, Wirtschaft, S. 23, soll sich das EJPD entschieden haben, das Verfahren ans Bundesgericht weiterzuziehen.

Fazit

Die vom Bund geplante Aufweichung der Verschlüsselung würde den Datenschutz und das Vertrauen in Threemas Geschäftsmodell schwächen.

Man darf gespannt sein, wie das Schweizerische Bundesgericht entscheiden wird.