Überwachung von Messaging-Diensten: Bundesgericht weist Dienst ÜPF in die Schranken

27. Mai 2021

Das Schweizerische Bundesgericht bestätigt, dass die Threema GmbH mit ihrem Instant-Messaging Dienst und der Internettelefonie keine Fernmeldedienste anbietet. Damit schränkt es die Mitwirkungspflichten der Anbieterinnen von OTT-Diensten bei der Überwachung des Fernmeldeverkehrs ihrer Nutzer ein und weist den Dienst ÜPF in die Schranken.

Worum es geht

Die Threema GmbH ("Threema") ist ein Schweizer Technologieunternehmen und Anbieterin des gleichnamigen, End-to-End verschlüsselten Instant-Messaging-Dienstes – einer Schweizer Konkurrenzlösung zu WhatsApp.

Der Schweizer Dienst Überwachung Post- und Fernmeldeverkehr ("Dienst ÜPF") behandelte Threema als Anbieterin von Fernmeldediensten ("FDA"). Er verlangte von Threema die Ausführung einer Echtzeitüberwachung von Randdaten, und damit einhergehend die Lieferung der für die Durchführung notwendigen Informationen und die Aufhebung der selbst angebrachten Transportverschlüsselung. Diese Mitwirkungspflichten treffen FDA (i.S.v. Art. 2 lit. b des Bundesgesetzes betreffend die Überwachung des Post- und Fernmeldeverkehrs vom 18. März 2016 [BÜPF] i.V.m. Art. 3 lit. b des Fernmeldegesetzes vom 30. April 1997  [FMG]). Auch bestimmte Anbieterinnen von abgeleiteten Kommunikationsdiensten ("AAKD") – dazu gehört Threema aber unbestrittenermassen nicht – unterliegen weitergehenden Überwachungspflichten (Art. 50 Abs. 1 i.V.m. Art. 52 der Verordnung vom über die Überwachung des Post- und Fernmeldeverkehrs 15. November 2017 [VÜPF]). Zu den Mitwirkungspflichten der verschiedenen Anbieter vgl. auch unseren Beitrag aus 2018 "BÜPF: Neue Überwachungs- und Auskunftspflichten für Kommunikations-Dienstleister".

Strittig vor Bundesgericht war die vom Dienst ÜPF vorgenommene Qualifikation von Threema als FDA.

Wie es dazu kam

Mit Verfügung vom 13. Dezember 2019 qualifizierte der Dienst ÜPF Threema unter dem BÜPF als FDA und verlangte von ihr die eingangs erwähnte Mitwirkung (Art. 56 VÜPF). Threema, die sich besonders hohen Datenschutzanforderungen verpflichtet sieht und etwa auch die anonyme Nutzung ihres Dienstes ohne Verwendung einer Mobiltelefonnummer erlaubt, erhob gegen diese Verfügung Beschwerde. Das Bundesverwaltungsgericht hiess diese mit Urteil A-550/2019 vom 19. Mai 2020 gut und hob die Verfügung des Dienstes ÜPF auf. Threema qualifiziere als (weniger weitreichenden Mitwirkungspflichten unterliegende) AAKD (i.S.v. Art. 2 lit. c BÜPF), d.h. als "Anbieterin von Diensten, die sich auf Fernmeldedienste stützen und eine Einweg- oder Mehrwegkommunikation ermöglichen". Das (für den Dienst ÜPF zuständige) Eidg. Justiz- und Polizeidepartement (EJPD) reichte dagegen beim Bundesgericht Beschwerde ein.

Wie das Bundesgericht OTT-Dienste überwachungsrechtlich einordnet

Das Bundesgericht gelangt mit Urteil 2C_544/2020 vom 29. April 2021 nach einer illustrativen Auslegung der relevanten Bestimmungen zum Schluss, dass Threema mit ihren sog. Over-The-Top (OTT)-Diensten lediglich als AAKD qualifiziere.

Für das Bundesgericht entscheidend ist, dass Threema weder einen Internetzugang anbietet, noch gegenüber ihren Kunden eine Verantwortung für die Informationsübertragung über das Internet übernimmt (E. 3.2) – vielmehr müssten die Kunden "für den zum Informationstransport erforderlichen Internetzugang auf Angebote von Drittanbietern zurückgreifen". Threema sei damit sowohl hinsichtlich ihres Instant-Messaging Dienstes als auch hinsichtlich der Internettelefonie als klassische Anbieterin von OTT-Diensten anzusehen.

Als FDA gemäss geltendem BÜPF gilt nur, wer "ein Senden oder Empfangen von Informationen über Leitungen oder Funk" anbietet (Art. 2 lit. b. BÜPF i.V.m. Art. 3 lit. c FMG; E. 4.2). Daran fehlt es gemäss Bundesgericht Anbietern von OTT-Diensten gerade. Zwar würde Threema zugunsten ihrer Kunden Signale ins Internet einspeisen, die blosse Einspeisung von Informationen in ein Leitungsnetz – und das ist für OTT-Dienste das entscheidende Kriterium – sei jedoch nicht als Übertragung von Informationen für Dritte zu verstehen (E. 4.2 [grammatikalische Auslegung]).

Fernmelderechtlich stünde gemäss Gesetzesmaterialien für die Qualifikation als Fernmeldedienst "der mittels Fernmeldetechnik vollbrachte Transport von Informationen" im Zentrum. Überwachungsrechtlich sei für den Begriff "Fernmeldedienst" entscheidend, ob Informationen selber befördert oder übertragen würden (E. 5.1.1 [historische Auslegung]). Demgegenüber stelle eine AAKD gemäss Botschaft BÜPF vom 27. Februar 2013 Dienste bereit, die nur in Verbindung mit der Tätigkeit einer FDA (insb. Internetzugangsanbieterin) angeboten werden können (E. 5.1.1).

Gemäss Bundesgericht sprechen auch das verhältnismässig junge BÜPF (2016) sowie die bereits im Gesetzgebungsprozess erfolgten Diskussionen und absehbaren technischen Gegebenheiten gegen die vom EJPD vertretene Behandlung von OTT-Diensten als Fernmeldedienste (E. 5.2.2). Bei vergleichbaren Diensten habe bereits damals keine enge Beziehung zwischen Netz und (Kommunikations-)Dienst bestanden, "weshalb insofern nicht von einer infolge der technologischen Entwicklung erfolgten, unvorhersehbaren Aufhebung einer früher zwingend gegebenen engen Verknüpfung zwischen dem Netz und dem (Kommunikations-)Dienst bzw. einer massgeblichen Änderung der tatsächlichen Verhältnisse gegenüber den vom Gesetzgeber angenommenen tatsächlichen Umständen gesprochen werden kann [könne]". Weiter habe es auch keinen Wandel in den Kundenbedürfnissen gegeben, der für ein anderes Auslegungsergebnis sprechen würde (E. 5.2.3 [objektiv-zeitgemässe Auslegung]). Damit scheitert der Versuch des Dienstes ÜPF und des EJPD, das Begriffsverständnis von "Fernmeldedienst" unter dem BÜPF nachträglich auszuweiten.

Das Bundesgericht betont weiter, der Bundesrat könne, einerseits, AAKD unter bestimmten Voraussetzungen den strengen Mitwirkungspflichten von FDA unterwerfen (Art. 22 Abs. 4 und Art. 27 Abs. 3 BÜPF). Andererseits könne der Dienst ÜPF auf entsprechendes Gesuch hin bestimmte FDA auch von bestimmten Mitwirkungspflichten befreien (Art. 26 Abs. 6 BÜPF i.V.m. Art. 51 VÜPF). Insofern bestehe bereits eine dem Einzelfall gerecht werdende, flexible Handhabe der abgestuften überwachungsrechtlichen Mitwirkungspflichten (E. 5.4 [teleologische und systematische Auslegung]).

Das EJPD konnte sich auch nicht auf den (durch die FMG-Revision überholten) Leitfaden zum Meldeformular für das Erbringen von Fernmeldediensten des Bundesamtes für Kommunikation (BAKOM) vom 1. Mai 2010 stützen, der notorisch eine Ausweitung des Begriffsverständnisses von Fernmeldediensten anstrebt. Das Bundesgericht stellt klar, dass es sich dabei um eine für das Bundesgericht nicht verbindliche Verwaltungsverordnung handle, die keine Abweichung von der gesetzlich relevanten Definition von Fernmeldedienst begründen könne (E. 5.5.1). Ebenfalls scheiterte das EJPD mit Versuch, aus der FMG-Revision mit Aussagen zum erweiterten Begriff "Fernmeldedienst" etwas zu Gunsten seiner Position abzuleiten, da das künftige BÜPF gerade nicht mehr an die Definition von Fernmeldedienst im FMG anknüpfen werde (vgl. Art. 2 Abs. 1 lit. b und Abs. 2 revBÜPF).

Was das für (andere) Anbieterinnen von OTT-Diensten bedeutet

Das Urteil des Bundesgerichts überzeugt. Wäre es anders ausgefallen, hätte dies eine Sprengkraft über Threema hinaus gehabt:

Erstens wären Anbieterinnen von OTT-Diensten Mitwirkungspflichten unterworfen worden, die in der Konsequenz eine Echtzeitüberwachung und die Aufhebung der Transportverschlüsselung bedeutet hätten. Faktisch wäre die Unterscheidung "FDA" vs. "AAKD" im Rahmen der Fernmeldeüberwachung obsolet geworden (so auch das Bundesgericht in E. 4.2).

Zweitens wäre der Schutz der Privatsphäre der Nutzer damit zur reinen Worthülse geworden. Und genau dieser Schutz ist heute eines der wichtigsten Selling-Argumente von Anbieterinnen wie Threema. Gewiss, es mag Konstellationen geben, bei denen es gerechtfertigt ist, entsprechenden Anbieterinnen strengere Mitwirkungspflichten zu auferlegen. Dafür besteht aber bereits heute mit Art. 22 Abs. 4 und Art. 27 Abs. 3 BÜPF ein geeignetes Mittel.

Für Anbieterinnen von OTT-Diensten ist das Urteil wegweisend und schafft Rechtssicherheit, was ihre (beschränkten) Mitwirkungspflichten im Rahmen von Fernmeldeüberwachungen betrifft. Es unterstützt ihre Argumentation einer klaren Abgrenzung der eigenen Angebote von Fernmeldediensten: Wer bloss Informationen in eine bestehende Leitungs- oder Funkinfrastruktur einspeist, dabei aber keine Verantwortung für die Informationsübertragung über das das Internet übernimmt (z.B. auch die Haftung in den Nutzungsbedingungen ausschliesst), bietet keine Fernmeldedienste an und ist unter dem BÜPF (höchstens) als AAKD mitwirkungspflichtig.

Weitere Informationen:

• Transparenzbericht Threema 2021;
• Botschaft des Schweizerischen Bundesrates vom 27. Februar 2013 zum BÜPF;
• Botschaft des Schweizerischen Bundesrates vom 6. September 2017 zur FMG-Revision;
• Merkblatt des Dienstes ÜPF zur Abgrenzung FDA und AAKD vom 1. März 2018;
• (neuer) Leitfaden des BAKOM zur Registrierung als FDA vom 18. März 2021.

Autoren: Jonas D. Gassmann, Delia Fehr-Bosshard