Die ganze Bundesverwaltung wechselt mit 40'000 Arbeitsplätzen auf Microsoft 365, vermeldeten wir vor rund sechs Wochen. Eine Überraschung war diese Nachricht nicht mehr, die Nähe des Bundes zum US-Provider ist bekannt und der Aufwand einer Ablösung durch Nicht-Microsoft-Produkte beträchtlich. Dass es auch anders geht, beweist allerdings der Entscheid des deutschen Bundeslands Schleswig-Holstein: Dort werden fast genau so viele Mitarbeitende auf Libre Office und später Linux migriert. Ob das gut geht und ob die Angestellten die Veränderung akzeptieren, ist offen (und meiner Meinung nach auch fraglich). Aber darum gehts hier nicht.

Zu Microsoft 365 stellte SVP-Nationalrat Jean-Luc Addor jüngst eine spannede Frage: Ob es stimme, dass der Eidgenössische Datenschutzbeauftragte davor gewarnt habe, "dieses amerikanische Produkt zu verwenden?". Noch spannender war die Antwort des Bundesrats, der zwar nicht auf die Frage einging, aber schrieb, es sei "vertraglich sichergestellt, dass die Datenbearbeitung durch private Firmen den hohen Daten- und Informationsschutzstandards der Schweiz entsprechen".

Diese Antwort machte mich stutzig. Es ist meiner Ansicht nach nicht möglich, mit einem Vertrag zwischen einem Kunden und einem amerikanischen Anbieter den Cloud-Act der USA auszuhebeln – was man faktisch müsste, wollte man M365 nach Schweizer Datenschutzrecht nutzen. Genauso unerheblich ist es übrigens, auf welchem Territorium das Rechenzentrum steht, in dem die Daten gespeichert sind. Da können sich Amazon, Google und eben auch Microsoft noch so lange dafür rühmen, dass die Daten die Schweiz nicht verlassen würden. Das spielt schlichtweg keine Rolle, wenns hart auf hart kommt. (Dass dieser Fall wohl selten bis nie eintritt, ist ebenfalls unerheblich.)

Aber item. Mich hat dieser Vertrag, den der Bundesrat erwähnte, interessiert. Also habe ich mit einem Antrag gestützt auf das Bundesgesetz über das Öffentlichkeitsprinzip der Verwaltung (BGÖ) Einsicht in das Dokument gefordert. Über 250 Verwaltungsstellen des Bundes und hunderte kantonale Ämter sind dem BGÖ unterstellt und müssen Einsicht in ihre Akten gewähren, sofern diese zum Beispiel nicht die Privatsphäre Dritter oder die Sicherheit der Schweiz gefährden. Beides ist meiner Ansicht nach nicht gegeben. Im Gegenteil: Es würde die Sicherheit erhöhen, wenn die Öffentlichkeit prüfen könnte, wie der Bund M365 datenschutzkonform einsetzen will.

In mehreren E-Mails und Telefonaten klang das zuständige Bundesamt für Bauten und Logistik (BBL) hilfsbereit. Rund 40 Tage nach meinem Antrag kam diesen Mittwoch aber die Absage per E-Mail: Man habe "intensiv daran gearbeitet, eine Lösung zu finden", um die von mir angeforderten Informationen offenzulegen. Leider sei es nicht möglich, aufgrund "rechtlicher Rahmenbedingungen und Vereinbarungen mit unseren Lieferanten" bestimmte Informationen freizugeben. Das BBL begründet konkret: "Der Lieferant will die Informationen geheim halten."

Das halte ich für starken Tobak. Microsoft (und in anderen Fällen auch andere US-Anbieter) können dem Bund also diktieren, inwiefern sich dieser ans BGÖ halten darf. Zwar schreibt das BBL, dass "die Herausgabe von Informationen zu den spezifischen datenschutzrechtlichen Regelungen Auswirkungen auf das Geschäftsergebnis des Lieferanten haben und den Wettbewerb verzerren" könnte – aber das halte ich in Bezug auf die konkreten Vertragsinhalte zum Datenschutzgesetz für, pardon my french, Quatsch. Ich bin überzeugt, dass Microsoft die Vertragsinhalte nicht herausgeben will, weil sie nicht halten, was sie versprechen.

Ich nehme es dem BBL ab, wenn es "bedauert, dass wir Ihnen in diesem spezifischen Fall nicht entgegenkommen können". Vergleichbares hörte ich auch schon von anderer Stelle. Der Bund versicherte relativ glaubhaft, dafür bereit zu sein, die Verträge zum Beispiel mit den fünf Public-Cloud-Lieferanten AWS, Microsoft, Alibaba, IBM und Oracle herauszugeben. Aber weil diese das nicht wollten, tat er es nicht.

Das ist grundfalsch. Es kann nicht angehen, dass ausländische Anbieter das Öffentlichkeitsprinzip aushebeln und dem Bund diktieren, welche Unterlagen veröffentlicht werden dürfen und welche nicht. Ich erwarte ja gar nicht, die Dokumente vollständig zu erhalten. Selbstverständlich ist es in Ordnung, zum Beispiel vereinbarte Preise zu schwärzen, weil diese für den Wettbewerb tatsächlich interessant und relevant sind. Aber dieses Argument zieht im vorliegenden Fall ganz einfach nicht.

Wenn Microsoft nichts zu verbergen hat und die Einhaltung des Schweizerischen Datenschutzgesetzes tatsächlich garantieren kann, sollte der Konzern der Publikation des Vertrags zustimmen. Falls er das nicht tut, kann davon ausgegangen werden, dass der DSG-konforme Betrieb von M365 nicht möglich ist.