UPDATES

HOW WE CAN HELP

Monthly Archive: February 2021

Liebe E-ID: Wie hast du’s mit dem Staat?

Die staatliche Aufsicht über die elektronischen Identifizierungsdienste (E-ID) wirkt beim Blick in das Gesetz, das am 7. März zur Abstimmung gelangt, nicht gerade schlagkräftig. Doch der Eindruck täuscht, denn zusammen mit den Befugnissen des eidgenössichen Datenschutzbeauftragten (EDÖB) könnte ein ansehnliches Arsenal an Aufsichtsmassnahmen bei Datenschutzmissbräuchen im Zusammenhang mit elektronischen Identitäten zur Anwendung kommen. 

Die Streitfrage


Die Debatte im Abstimmungskampf um das Bundesgesetz über die elektronischen Identifizierungsdienste (E-BGEID) tobt intensiv. Der grösste Stein des Anstosses der Gegner: Es ist der Staat selbst, der die E-ID herausgeben sollte; eine derart wichtige Aufgabe solle nicht in die Hand privater Anbieter gelegt werden. Ein Gegenargument der Befürworter: Staatliche IT-Projekte haben sich in der Vergangenheit nicht den besten Ruf eingeholt; es ist besser, wenn der Staat Rahmenbedingungen setzt und für die technische Umsetzung auf das Know-how der Privatwirtschaft setzt. Zudem wäre so oder so zu erwarten, dass der Staat Serverleistung einkaufen würde und somit auch eine “eigene” staatliche E-ID mithilfe privater Dienstleister herausgeben würde. 
Hinter dem Disput “Staat vs. nicht Staat” liegt die Frage, welche Rolle der Staat in Ausstellung und Betrieb einer digitalen Identität zukommen sollte – welche Rolle nötig ist, um die Ziele des Gesetzes zu erreichen, nämlich u.a. die sichere Identifizierung im elektronischen Geschäftsverkehr unter Privaten und mit Behörden und der Schutz der Persönlichkeit und der Grundrechte von Personen, über die Daten bearbeitet werden (Art. 1 Abs. 2 lit. a und b E-BGEID). Die Position “pro staatliche E-ID”, die das Gesetz ablehnt, geht dabei von folgender Annahme aus: “staatliche E-ID” = gut kontrolliert und sicher, “private E-ID” = viel Missbrauchspotential.

Im Folgenden soll untersucht werden, wie das staatliche “Involvement” in die E-ID gemäss E-BGEID ausgestaltet ist und welche Aufsichtsmechanismen vorgesehen sind. Ob diese genügend ausfallen oder nicht, darf dann jede Stimmbürgerin und jeder Stimmbürger selbst entscheiden. 


Welche Behörden sind in die E-ID involviert und wie?


a) Die Kommission


Zentrale Aufsichtsbehörde gemäss E-BGEID ist die Eidgenössische E-ID-Kommission (EIDCOM). Sie ist es, die Identity Providers (IdPs), die basierend auf dem E-BGEID Identitäten ausstellen wollen, anerkennt (Art. 13 E-BGEID). Die EIDCOM wird aus fünf bis sieben unabhängigen Sachverständigen zusammengestellt und ist weisungsunabhängig von der Zentralverwaltung (Art. 25 E-BGEID). Ihre Rolle ist es, die Einhaltung des Gesetzes zu überwachen und Entscheide zu treffen, bzw. Verfügungen zu erlassen, die für den Vollzug notwendig sind. Bevor die Befugnisse der EIDCOM etwas genauer unter die Lupe genommen werden, ist zuerst die Liste aller weiteren gemäss Gesetzesentwurf involvierten Bundesbehörden zu erstellen: 

b) Das fedpol


Das Bundesamt für Polizei (fedpol) hat u.a. folgende Aufgaben: 

  • Es stellt die E-IDs zuhanden der IdPs (und auf Antrag derselben) aus (Art. 6 Abs. 1 E-BGEID). Es kann die initiale Identitätsprüfung an diejenige Stelle delegieren, die auch gemäss Ausweisgesetz für die Erstellung von Ausweisen zuständig ist. Diese Stellen werden jeweils von den Kantonen (bzw. vom Bund für Ausweisdokumente, die im Ausland ausgestellt werden) designiert (im Aargau ist dies das Ausweiszentrum Aargau. Bitte, gern geschehen!)
  • Es übermittelt die nötigen Personendaten an den IdP, falls die gesetzlichen Voraussetzungen erfüllt sind (Art. 6 Abs. 2 E-BGEID sowie auch Art. 23 E-BGEID), protokolliert diese Datenübermittlungen (Art. 6 Abs. 3 E-BGEID) und führt ein Informationssystem zur Erfüllung seiner Aufgaben im Zusammenhang mit der E-ID (Art. 24 E-BGEID).

c) Der Bundesrat


Der Bundesrat ist der Superstar des E-BGEID: Er ist diejenige Behörde, die mittels Verordnung viele ausführende Bestimmungen zum Gesetz erlässt. Wenn ich richtig gezählt habe, enthält das E-BGEID dreizehn (13) Delegationsbestimmungen in 35 Artikeln, zu allen möglichen Themen, u.a. genauere Vorschriften zum Ausstellungsprozess, nähere Vorschriften zu den Voraussetzungen für die Anerkennung von IdPs oder zur Ausgestaltung von E-ID-Systemen und Meldepflichten der IdPs. Betrachtet man die lange Liste an Delegationsbefugnissen, so ist tatsächlich zu bedauern, dass der Verordnungsentwurf noch nicht ersichtlich ist. 

Zusätzlich zu seiner Verordnungskompetenz wählt der Bundesrat die Mitglieder der EIDCOM sowie die Direktion des EIDCOM-Sekretariats (Art. 25 und 28 E-BGEID). Er genehmigt das Organisationsreglement der EIDCOM (Art. 25 Abs. 6 E-BGEID) und kann bei Marktversagen entscheiden, ein eigenes E-ID-System zu betreiben oder sich an einem IdP beteiligen (Art. 10 Abs. 1 E-BGEID). 

Was versteht man unter staatlicher Aufsicht?


Ziel der Aufsicht ist es, die Einhaltung der anwendbaren rechtlichen Vorschriften, hier also des E-BGEID, zu überwachen und durchzusetzen. Wie gut und schlagkräftig diese Aufsicht effektiv ist, bemisst sich an den Instrumenten, das der Behörde im konkreten Fall zur Verfügung steht. Zu denken ist an Auskunfts- und Inspektionsrechte, Widerruf von Bewilligungen, Bussen, etc.; die Liste theoretisch möglicher Aufsichtsinstrumente ist lang. Nur gilt für alles staatliche Handeln das Legalitätsprinzip, d.h. gerade bei Sanktionen ist zu verlangen, dass eine möglichst solide Verankerung in einem vom Parlament erlassenen Gesetz erfolgt (auch wenn hier gewisse Ausnahmen möglich sind). 


Welche Aufsichtsmassnahmen sind genau vorgesehen?


a) E-BGEID


Nun zu den eigentlichen Aufsichtsmassnahmen, denn hier wird es interessant. Der Entwurf sieht vor, dass die EIDCOM insbesondere für die Anerkennung von IdP und den Entzug der Anerkennung zuständig ist sowie für die “Anordnung von Massnahmen” (Art. 26 Abs. 2 lit. a i.V.m. Art. 19 E-BGEID). Ferner kann sie im Streitfall über Fragen des Zugangs zur E-ID und zur Interoperabilität entscheiden (Art. 26 Abs. 2 lit. c E-BGEID). Einigermassen explizit wird das Gesetz mit einer Art Massnahmen-Generalklausel in Art. 19, wo die EIDCOM befähigt wird, Massnahmen anzuordnen “zur Wiederherstellung des rechtmässigen Zustandes”, wenn ein IdP Gesetz, Ausführungsbestimmungen oder von der EIDCOM auferlegte Pflichten missachtet. Der Entzug der Anerkennung ist dabei die einzige explizit im Gesetz ausformulierte Sanktion, was aus gesetzgeberischer Sicht durchaus etwas heikel erscheint. Der EIDCOM werden weder der Erlass von Bussen noch spezifische Untersuchungs-, Inspektions- oder Auditbefugnisse eingeräumt; das Sekretariat der Kommission erhält aber die Befugnis, selbständig Verfügungen zu erlassen und in den Betrieb eines IdP einzugreifen, “sofern die Verhältnisse es erfordern” (Art. 27 Abs. 3 und 4 E-BGEID). 


Was die im E-BGEID fehlenden Untersuchungsbefugnisse anbelangt, so dürfte das Verwaltungsverfahrensgesetz (Bundesgesetz über das Verwaltungsverfahren VwVG, SR 172.021) zumindest teilweise in die Bresche springen: Es ist anwendbar auf Verfahren in Verwaltungssachen, die durch Verfügungen eidgenössischer Kommissionen zu erledigen sind (Art. 1 Abs. 1 und 2 lit. d VwVG). Es sieht vor, dass die Behörde den Sachverhalt von Amtes wegen abklären kann und dazu verschiedene Beweismittel, darunter immerhin Dokumente (“Urkunden”) und den “Augenschein”, beiziehen kann (Art. 12 VwVG). Die Mitwirkungspflicht von IdPs dürfte vorliegend im Rahmen des VwVG aber beschränkt ausfallen.  
Daneben werden der EIDCOM vor allem beratende und informelle Instrumente in die Hand gelegt (Art. 26 E-BGEID). 


b) Datenschutzgesetz


Was allerdings in der Praxis bedeutsam werden könnte – und in diesem langen Text bisher gänzlich ignoriert wurde – ist die Rolle des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Auch der Entwurf des E-ID-Gesetzes gibt sich dazu eher wortkarg; namentlich bei der Anerkennung von IdPs sieht es vor, dass der EDÖB vorgängig anzuhören ist (Art. 13 Abs. 1 E-BGEID). Da die Bestimmungen des Bundesgesetzes über den Datenschutz (DSG) auch auf den Betrieb der E-ID-Systeme anwendbar sein werden, sind für die Frage nach der Aufsicht auch die Kompetenzen des EDÖB einzuberechnen. 


Gemäss dem neuen DSG, das voraussichtlich 2022 in Kraft treten dürfte, wird der EDÖB von Amtes wegen oder auf Anzeige hin Untersuchungen durchführen können, bei denen auch diejenigen Massnahmen angeordnet werden können, die im E-BGEID fehlen: Zugang zu allen relevanten Unterlagen und Personendaten, zu Räumlichkeiten und Anlagen, Zeugeneinvernahmen, Begutachtungen durch Sachverständige (Art. 49-50 DSG neu). Er kann Verwaltungsmassnahmen (Art. 51 DSG neu) und einschneidende Bussen anordnen (Art. 60-64 DSG neu). Das DSG sieht im Gegensatz zum E-BGEID auch eine Koordinationsbestimmung vor, wonach auch Aufsichtsbehörden des Bundesrechts den EDÖB zur Stellungnahme einladen, bevor sie in datenschutzrechtlichen Angelegenheiten eine Verfügung erlassen. Wenn sowohl gemäss E-BGEID und DSG Verfahren laufen, sind beide zu koordinieren (Art. 53 DSG neu).


Eine Art Fazit: Wird es schlussendlich der EDÖB richten?


Aus gesetzgeberischer Sicht ist zu bedauern, dass nicht präzisere Verhaltenspflichten und Sanktionen bereits auf Gesetzesstufe im E-BGEID verankert werden, denn die weitgehende Delegation auf Verordnungsebene bringt gewisse Abstriche in der demokratischen Abstützung und in der Rechtssicherheit mit sich. Dies liegt gerade hinsichtlich der Befugnisse der EIDCOM wohl am Gesetzgebungsprozess, bei dem das Parlament in den Beratungen die EIDCOM nachträglich eingefügt hat – eine Ergänzung, die wiederum hinsichtlich der staatlichen Aufsicht und Kontrolle klar zu begrüssen ist. Umso wichtiger wird es sein, dass die Verordnung(en) des Bundesrats präzise verfasst werden und dass im Ausüben der Aufsichtsinstrumente die Verhältnismässigkeit hochgehalten wird. 


Der Umweg über das Datenschutzgesetz zeigt, dass die allgemeine Aufsicht bei Annahme des Gesetzes eingehender ausfallen dürfte, als dies das E-BGEID selbst vermuten lässt. Sofern es sich also um allgemeine Datenschutzverstösse bei IdPs handelt (und nicht um spezifische Pflichten aus dem E-BGEID), sind ab Inkrafttreten des neuen DSG schlagkräftige staatliche Aufsichtsinstrumente vorhanden, um diese zu ahnden. 

February 18th, 2021
New Swiss Public Procurement law: Confederation is live, Cantons to follow

The revised Federal Law on Public Procurement came into force on January 1, 2021. Together with the revision of the Intercantonal Agreement on Public Procurement, Swiss public procurement law has thus undergone a complete overhaul for the decade.

What is new?

First and foremost the requirements of the WTO Agreement on Government Procurement (‘GPA 2012‘), which have already been in force internationally since 2014, were transferred into new Federal Law on Public Procurement. This applies to the rules against conflicts of interest and corrupt practices, but also to the newly introduced standards in the area of electronic auctions and the expansion of judicial review. The revision also affects areas that are not related to the multilateral agreement GPA 2012. To name a few, sanction instruments in the revised Federal Law have been standardized and supplemented by the possibility for authorities to issue warnings and suspensions of awarding contracts. As a result of pressure from the cantons, the Law now also provides for a general ban on price negotiations, the so-called bidding rounds. However, the dialogue procedure, which is common in the technology sector and in complex procurements, remains possible.

Nationwide harmonization of procurement standards

A second objective of the revision was to harmonize the federal and cantonal decrees in the area of public procurement law. It is to the credit of the joint commission with the mystery name Aurora that the greatest possible consensus between the cantons and the Confederation has been achieved. The working group also ensured that the revision of the federal law and the Intercantonal Agreement on Public Procurement (‘IVöB 2019’, a concordat) actually took place in lockstep. How well the revised Federal Law and concordat are aligned with each other can easily be seen in a comparison document.

From a practitioner’s point of view, the alignment of the Confederation and the cantons is to be welcomed. Essential aspects of the previous practice of the courts in the field of public procurement law have been incorporated into the two enactments. The greater regulatory depth in the concordat leads to a further smoothing of differences between the individual cantons and thus promotes legal certainty.

Phasing-in of the new rules

It should be noted, however, that the Intercantonal Agreement only comes into force after ratification by at least two cantons. Even then it will only be binding among the respective cantons. For this reason, the new Federal Law is now applicable to public contracts on a federal level, while the previous Intercantonal Agreement of 2001 will still be applicable to cantonal procurements for a certain period of time. As a result, a transitional phase is to be expected, during which the new rules will already apply in some cantons, and the old rules will still apply in others. Thus it will to take some time before Switzerland will have a comprehensive, harmonized public procurement law. Good things come to those who wait.

This article was written with the collaboration of Gian Heimann, law student at the University of Zurich. Thank you, Gian!

February 9th, 2021
Revidiertes Vergaberecht: Bund ist live, Kantone folgen

Am 1. Januar 2021 ist das revidierte Bundesgesetz über das öffentliche Beschaffungswesen (BöB) in Kraft getreten. Zusammen mit der Revision der Interkantonalen Vereinbarung über das öffentliche Beschaffungswesen (IVöB) erfuhr das schweizerische Submissionsrecht damit für das neue Jahrzehnt eine Gesamterneuerung.

Die wichtigsten Neuerungen

Mit der Revision des Bundesgesetzes über das öffentliche Beschaffungswesen (BöB) wurden in erster Linie die international bereits seit 2014 geltenden Vorgaben des WTO-Übereinkommens über das öffentliche Beschaffungswesen (GPA 2012) ins Bundesrecht übertragen. Das gilt für die Regeln gegen Interessenkonflikte und korrupte Praktiken, aber auch für die neu eingeführten Standards im Bereich der elektronischen Auktionen sowie dem Ausbau des Rechtsschutzes. Die Revision betrifft aber auch Gebiete, die nicht im Zusammenhang mit dem multilateralen Abkommen GPA 2012 stehen. So wurden die Sanktionsinstrumente im revidierten BöB systematisiert und durch die Möglichkeit der Behörden, Verwarnungen und Vergabesperren auszusprechen, ergänzt. Auf Druck der Kantone sieht sodann auch das BöB neu ein allgemeines Verbot von sog. Abgebotsrunden, also reinen Preisverhandlungen, vor. Das im technologischen Umfeld und bei komplexen Beschaffungen übliche Dialogverfahren bleibt aber immer noch möglich.

Landesweite Harmonisierung der Vergaberegeln

Ein weiteres Hauptziel der Revisionen bestand darin, die Erlasse des Bundes und der Kantone im Bereich des Submissionsrechts zu harmonisieren. Es ist das Verdienst der paritätischen Kommission mit dem geheimnisvollen Namen Aurora, den grösstmöglichen Konsens zwischen Kantonen und Bund herbeigeführt zu haben. Die Arbeitsgruppe hat zudem dafür gesorgt, dass die Revision des Bundesgesetzes und der Interkantonalen Vereinbarung über das öffentliche Beschaffungswesen (IVöB) tatsächlich im Gleichschritt erfolgte. Wie gut das revidierte BöB und IVöB aufeinander abgestimmt sind, lässt sich in der Gegenüberstellung leicht erkennen. Aus Sicht der Praxis ist die Angleichung von Bund und Kantonen begrüssenswert. Wesentliche Aspekte der bisherigen vergaberechtlichen Gerichtspraxis sind in die beiden Erlasse eingeflossen. Die grössere Regelungsdichte im Konkordat führt zu einer weiteren Glättung der Unterschiede zwischen den einzelnen Kantonen und fördert damit die Rechtssicherheit.

Gestaffeltes Inkrafttreten

Zu beachten ist aber, dass die IVöB erst in Kraft tritt, wenn sie von mindestens zwei Kantonen ratifiziert wurde und auch dann nur unter den entsprechenden Kantonen verbindlich ist. Aus diesem Grund gilt jetzt für eine gewisse Zeit für Beschaffungen des Bundes das neue BöB, während für Beschaffungen der Kantone noch immer die alte IVöB aus dem Jahr 2001 anwendbar ist. Mittelfristig ist mit einer Übergangsphase zu rechnen, während der in einzelnen Kantonen bereits die neue IVöB Anwendung findet, in anderen aber noch die alte gilt. Bis die Schweiz ein flächendeckendes, harmonisiertes Vergaberecht haben wird, dürfte es also noch etwas dauern. Bereits die Einführung des IVöB 2001 brauchte nämlich mehrere Jahre. Gut Ding will Weile haben.

Dieser Beitrag wurde verfasst unter Mitarbeit von Gian Heimann, Student Rechtswissenschaften an der Universität Zürich. Danke, Gian!


February 8th, 2021