Teilrevisionen zweier Ausführungserlasse zur Überwachung des Post- und Fernmeldeverkehrs (VÜPF, VD-ÜPF)

Eidgenössisches Justiz- und Polizeidepartement EJPD

Bern, 8. Januar 2025

Teilrevisionen zweier Ausführungserlasse zur Überwachung des Post- und Fernmeldeverkehrs (VÜPF, VD-ÜPF)

Erläuternder Bericht zur Eröffnung des Vernehmlassungsverfahrens

ISC-EJPD-D-01D73401/74

1.3 Verhältnis zur Legislaturplanung und zur Finanzplanung sowie zu Strategien

des Bundesrates Das Geschäft (Botschaft zur ersten Etappe der Änderung des FMG, die den neuen Art. 2 Abs. 2 BÜPF eingefügt hat 10), auf das sich die vorliegende Vorlage stützt, war in der Botschaft vom 27. Januar 2016 11 über die Legislaturplanung 2015–2019 angekündigt.

Die vorliegende Vorlage ist weder in der Botschaft vom 24. Januar 2024 12 noch im Bundesbeschluss vom 6. Juni 2024 13 über die Legislaturplanung 2023-2027 enthalten.

Die Änderung der Ausführungserlasse des BÜPF (Anwendungsbereich) ist dennoch angezeigt, damit dem gesetzlichen Auftrag (Art. 2 Abs. 2 BÜPF14) nachgekommen werden kann. Im Übrigen entspricht die Vorlage dem Bedürfnis der Telekommunikationsanbieterinnen nach mehr Klarheit über die Kategorien, denen sie angehören, sowie über die Pflichten, die sie im Bereich der Fernmeldeüberwachung erfüllen müssen. Auch auf politischer Ebene wurden einige parlamentarische Vorstösse 15 eingereicht, die Änderungen in der Praxis des Dienstes ÜPF selbst forderten und teilweise zu Änderungen der VÜPF führen.

2 Grundzüge der Vorlage

2.1 Anpassungen in der VÜPF

Mit der vorliegenden Teilrevision der VÜPF werden die folgenden Kategorien von MWP näher umschrieben:

• die FDA (Art. 2 Abs. 1 Bst. b BÜPF16; Art. 1 Abs. 2 Bst. i VÜPF) im neuen Artikel 16a VÜPF;

• die AAKD (Art. 2 Abs. 1 Bst. c BÜPF; Art. 1 Abs. 2 Bst. j VÜPF) im neuen Artikel 16d VÜPF;

10 AS 2020 6159, 6181 11 BBl 2016 1105, hier 1210, 1212, 1221 12 BBl 2024 525

13 BBl 2024 1440

14 AS 2020 6159, 6181

15 Vgl. die Stellungnahme des Bundesrates vom 22.05.2019 auf die Interpellation 19.3267 Beat Flach, die Antwort

des Bundesrates vom 11.06.2019 auf die Frage 19.5273 Beat Flach, sowie den Bericht des Bundesrates vom 18.10.2023 in Erfüllung des Postulats 19.4031 Albert Vitali. 16 Neu ist Art. 2 BÜPF in zwei Absätze gegliedert; siehe AS 2020 6159, 6181

- die PZD (Art. 2 Abs. 1 Bst. e BÜPF; Art. 1 Abs. 2 Bst. l VÜPF) im neuen Artikel 16h VÜPF.

Gemäss dem Wortlaut des neuen Artikels 2 Absatz 2 BÜPF könnte der Bundesrat auch noch die weiteren Kategorien von MWP näher umschreiben: Betreiberinnen von internen Fernmeldenetzen (BIF; Art. 2 Abs. 1 Bst. d BÜPF) und professionelle Wiederverkäuferinnen (Art. 2 Abs. 1 Bst. f BÜPF). Darauf wird verzichtet, da diese Kategorien von MWP in der Praxis kaum problematisch sind. Zusammen mit den neuen Definitionen der FDA und AAKD, ihren jeweiligen Unterkategorien sowie der PZD in den Artikeln 16a-16h VÜPF werden auch die Bestimmungen der jeweiligen Hoch- (Upgrade) und Herunterstufung (Downgrade) der Anbieterinnen angepasst. Neu wird die Kategorie der AAKD in drei Unterkategorien unterteilt. Die FDA gliedern sich wie bisher in zwei Unterkategorien. Entsprechend werden die Pflichten und somit unter anderem die Verfügbarkeit der Daten geändert und besser zwischen den verschiedenen Kategorien und Unterkategorien von MWP verteilt. Somit wird eine ausgewogenere und dem Grundsatz der Verhältnismässigkeit besser entsprechende Abstufung der Verpflichtungen erreicht (s. Ziff. 5.1). Im Rahmen dieser Revision werden auf Wunsch der Strafverfolgungsbehörden drei Auskunfts- und zwei Überwachungstypen neu geschaffen, dies um einerseits bestimmte Auskünfte und rückwirkende Überwachungen für die Benutzeridentifikation zu standardisieren, die bisher als Spezialfälle ausgeführt wurden, und andererseits bei Echtzeitüberwachungen die Möglichkeit zu schaffen, nur einen Teil der Inhaltsdaten zu überwachen:

• der Auskunftstyp IR_58_IP_INTERSECT: Benutzeridentifikation durch Schnittmengenbildung (Art. 38a VÜPF);

• der Auskunftstyp IR_59_EMAIL_LAST: Auskunft über den letzten Zugriff auf einen

• der Auskunftstyp IR_60_COM_LAST: Auskunft über den letzten Zugriff auf einen anderen Fernmelde- oder abgeleiteten Kommunikationsdienst (Art. 43a VÜPF);

• der Überwachungstyp RT_61_NA_CC-TRUNC_IRI: Echtzeitüberwachung von Randdaten und gekürzten Inhalten bei Netzzugangsdiensten (Art. 55a VÜPF);

• der Überwachungstyp HD_62_IP: rückwirkende Überwachung zum Zweck der Teilnehmeridentifikation bei Internetverbindungen (Art. 60a VÜPF).

Weiter werden punktuelle Änderungen in verschiedenen Bestimmungen angebracht.

Aufgrund der neuen Bezeichnungen der Kategorien der FDA und AAKD in der VÜPF wird Artikel 2 Absatz 1 VVS-ÜPF redaktionell angepasst.

2.2 Anpassungen in der VD-ÜPF

Infolge Einführung der oben erwähnten Auskunftstypen werden auch die Bearbeitungsfristen für die Lieferung von Auskünften in Artikel 14 VD-ÜPF entsprechend angepasst.

Weiter gibt es redaktionelle Änderungen in Artikel 5 Absatz 1 und Artikel 20 Absätze 1 und 2 VD-ÜPF.

2.3 Umsetzungsfragen

Geplante Umsetzung

Für die Umsetzung der neuen Auskunfts- und Überwachungspflichten wird den MWP mit den Übergangsfristen in Artikel 74c VÜPF (6-12 Monate) genügend Zeit gegeben. Das Datum des Inkrafttretens wird so gewählt, dass dem Bund und den Kantonen ebenfalls genügend Zeit für die Vorbereitung des Vollzugs eingeräumt wird. Im Übrigen wird auf die in Ziffer 4 beschriebenen Auswirkungen verwiesen.

Prüfung der Vollzugstauglichkeit im Gesetzgebungsverfahren

Der Ausschuss des beratenden Organs («Ausschuss FMÜ 17» oder AS-FMÜ; s. Art. 6 ff. VBO-ÜPF 18) hat am 2. März 2023 eine Begleitgruppe für die Rechtsetzungsprojekte gebildet. Diese besteht aus verschiedenen Vertreterinnen und Vertretern von Organisationen der MWP (asut 19), der Strafverfolgungsbehörden (SSK 20, KKJPD21, KKPKS 22 und fedpol) sowie Vertreterinnen und Vertretern des NDB 23. Die Begleitgruppe hat mehrmals die vorliegende Vorlage geprüft, auch unter dem Gesichtspunkt der Vollzugstauglichkeit.

Geplante Evaluation des Vollzugs

Nach dem Inkrafttreten werden die Fragen und operativen Problemstellungen im Zusammenhang mit den neuen Bestimmungen dieser Vorlage, insbesondere die Umsetzung der neuen Auskunfts- und Überwachungstypen, im Rahmen des OP FMÜ24

17 Fernmeldeüberwachung (FMÜ) 18 Verordnung des EJPD vom 15.11.2017 über das beratende Organ im Bereich der Überwachung des Post- und Fernmeldeverkehrs (VBO-ÜPF; SR 780.112) 19 Schweizerischer Verband der Telekommunikation (asut)

20 Schweizerische Staatsanwaltskonferenz (SSK)

21 Konferenz der Kantonalen Justiz- und Polizeidirektorinnen und -direktoren (KKJPD)

22 Konferenz der Kantonalen Polizeikommandantinnen und -kommandanten der Schweiz (KKPKS)

23 Nachrichtendienst des Bundes (NDB)

24 Operatives Gremium FMÜ (OP FMÜ)

behandelt. Im Übrigen hat der Dienst ÜPF die entsprechenden Aufgaben für den Vollzug (Art. 16 und 17 BÜPF, insb. Art. 16 Bst. d, h, i und j bzw. Art. 17 Bst. d, e und f).

3 Erläuterungen zu einzelnen Artikeln

3.1 VÜPF

I. VÜPF Art. 11 Abs. 1 Einleitungssatz und Bst. a sowie 4 Im Einleitungssatz von Absatz 1 wird der Ausdruck «die FDA, mit Ausnahme derjenigen mit reduzierten Überwachungspflichten (Art. 51), und die AAKD mit weitergehenden Überwachungspflichten (Art. 52)» ersetzt mit der abgekürzten Formulierung «die Anbieterinnen mit vollen Pflichten» (s. auch dazu unten bei «Einleitung zu den Art. 16a- 16h»). «Anbieterinnen mit vollen Pflichten» sind zum einen die FDA mit vollen Pflichten (Art. 16c) und zum anderen die AAKD mit vollen Pflichten (Art. 16g). Die Anbieterinnen von Postdiensten (PDA; Art. 1 Abs. 2 Bst. h) sind von dieser Formulierung nicht betroffen. Inhaltlich entspricht dies der bisherigen Regelung.

Buchstabe a wird geändert, um die neuen Auskunftstypen gemäss Artikel 42a den neuen Auskunftstyp gemäss Artikel 38a (IR_58_IP_INTERSECT) besteht keine Pikettpflicht. Eine Auskunft dieses Typs kann aber von einer MWP freiwillig im Pikett erteilt werden. So kann der Dienst ÜPF diesen Auskunftstyp auch im Pikett an die MWP und gegebenenfalls die Antwort an die auskunftsersuchende Behörde weiterleiten.

Im Absatz 4 werden die Bezeichnungen der Unterkategorien von AAKD angepasst und der Verordnungstext wird etwas verkürzt durch den neu verwendeten Ausdruck «Anbieterinnen mit reduzierten Pflichten», der die FDA mit reduzierten Pflichten (Art. 16b) und die AAKD mit reduzierten Pflichten (Art. 16f) zusammenfasst. Aus Gründen der Verhältnismässigkeit müssen die zahlreichen AAKD mit minimalen Pflichten (Art. 16e), das heisst die einfachen AAKD, die nicht hochgestuft wurden, die Kontaktangaben ihres Pikettdienstes, sofern sie über einen solchen verfügen, nur noch auf Aufforderung des Dienstes ÜPF mitteilen. Die AAKD mit minimalen Pflichten (Art. 16e) haben weder eine grosse wirtschaftliche Bedeutung noch eine grosse Benutzerzahl und sind daher selten von Überwachungsmassnahmen betroffen. Neu gilt diese Regelung «auf Anfrage» auch für andere Kategorien von Mitwirkungspflichtigen wie eine Betreiberin von internen Fernmeldenetzen, falls diese bereits über einen internen Pikettdienst verfügt. Der Rest bleibt unverändert.

Gliederungstitel nach Art. 16 Aufgrund der neuen Begriffsdefinitionen in den Artikeln 16a-16h wird nach dem Gliederungstitel «3. Kapitel: Fernmeldeverkehr» nach Artikel 16 ein neuer Gliederungstitel «1. Abschnitt: Kategorien von Mitwirkungspflichtigen» eingefügt. Die Nummer des bisherigen 1. Abschnitts wird zu 1a geändert (s. unten «Gliederungstitel vor Art. 17»).

Einleitung zu den Art. 16a-16h Alle Bestimmungen betreffend die Kategorien von MWP und deren Unterkategorien werden in einem neuen 1. Abschnitt «Kategorien von Mitwirkungspflichtigen» (Art. 16a- 16h), gleich zu Beginn des 3. Kapitels «Fernmeldeverkehr» zusammengefasst, da sie einerseits nur den Fernmeldeverkehr betreffen und andererseits grundsätzlicher Natur sind.

Bisher stützten sich die im BÜPF und dessen Ausführungsverordnungen verwendeten Begriffe Fernmeldedienst und Anbieterin von Fernmeldediensten auf die Definitionen des FMG. Gemäss diesem Gesetz sind beispielsweise Messengerdienste, wie Whatsapp, Signal oder Threema, Fernmeldedienste. Das BÜPF hat für solche Dienste jedoch die Sonderkategorie der AAKD vorgesehen. Darum wurde im Zuge der Revision des FMG vom 22. März 2019 in Artikel 2 Buchstabe b BÜPF die Referenz zu Artikel 3 Buchstabe b FMG entfernt. Das verhindert eine Vermischung der Begriffe Fernmeldedienst nach dem BÜPF und Fernmeldedienst nach dem FMG. Der Begriff Fernmeldedienst nach dem FMG umfasst insbesondere die Over-the-Top-Dienste (OTT-Dienste), die in der Botschaft zum BÜPF mehrheitlich als abgeleitete Kommunikationsdienste betrachtet werden. Ausserdem wurde in Artikel 2 Absatz 2 BÜPF eine Delegationsnorm geschaffen, nach welcher der Bundesrat die Kategorien von MWP näher umschreibt. Dies wird in den neuen Artikeln 16a-16h umgesetzt. Am 29. April 2021 stellte das Bundesgericht in seinem Urteil «Threema» (2C_544/2020) Erwägungen zu den Definitionen der FDA und der AAKD nach dem BÜPF an, die auch im vorliegenden Entwurf berücksichtigt werden.

Im Überwachungsrecht muss auf die technische Ebene abgestellt werden. Die Gemeinsamkeit zwischen FDA und AAKD besteht darin, dass beide Dienste für Dritte anbieten. Direkte Netzzugangsdienste für Dritte werden immer von FDA erbracht. Bei den indirekten Netzzugangsdiensten und bei den Kommunikationsdiensten unterscheidet man danach, ob sie zusammen mit dem Netzzugang (FDA) oder unabhängig von diesem erbracht werden (AAKD).

Die Grundeigenschaft einer FDA ist weiterhin die leitungs- oder funkgebundene, fernmeldetechnische Übertragung von Informationen. Entscheidend ist, wer den Dienst anbietet und wer die Verantwortung für die fernmeldetechnische Übertragung von Informationen übernimmt.

Im Gegensatz zu den FDA übernehmen die AAKD dabei nicht die Verantwortung für die fernmeldetechnische Übertragung von Informationen und übertragen die Informationen auch nicht selbst. Eine AAKD stützt sich für die eigentliche fernmeldetechnische Übertragung von Informationen immer auf einen Fernmeldedienst. Das heisst, der abgeleitete Kommunikationsdienst funktioniert immer völlig unabhängig vom Netzzugangsdienst und benötigt aus Kundensicht zwei Auftragsverhältnisse (erstens für den Internetzugang, zweitens für den abgeleiteten Kommunikationsdienst).

Bei der Beurteilung, ob eine Person 25 in den Geltungsbereich des BÜPF fällt, und wenn ja, in welche der Kategorien von MWP, sind die Dienstleistungen dieser Person differenziert zu betrachten. Eine Person kann, je nach Art der von ihr erbrachten Dienste 26, gleichzeitig verschiedenen Kategorien von MWP gemäss Artikel 2 BÜPF zugehören. Die entsprechenden Mitwirkungspflichten, die mit der jeweiligen Kategorie einhergehen, gelten jeweils für die dazugehörigen Dienste. Somit kann eine Person unterschiedliche Mitwirkungspflichten für ihre jeweiligen Dienste (z. B. Fernmeldedienst, abgeleiteter Kommunikationsdienst) haben 27. Für ein und denselben Dienst kann eine Person jedoch nicht gleichzeitig zu mehreren Kategorien von MWP gehören. Die von FDA (Art. 16a) und AAKD (Art. 16d) erbrachten Dienste können unter dem Überbegriff Kommunikationsdienste zusammengefasst werden.

Dabei handelt es sich genauer gesagt um Dienste, die eine fernmeldetechnische Kommunikation ermöglichen. Eine Gemeinsamkeit von FDA und AAKD ist das Erbringen eines Kommunikationsdienstes für Dritte (s. auch Anhang der VÜPF «Begriffe und Abkürzungen», Nr. 1). Dieses Erbringen beinhaltet zwei Komponenten, eine wirtschaftliche und eine technische. In wirtschaftlicher Hinsicht liegt jedem Erbringen eines Dienstes ein Auftragsverhältnis zugrunde. In technischer Hinsicht setzt das Erbringen eines Dienstes eine gewisse Infrastruktur voraus, die beispielsweise auch virtuell oder angemietet sein kann.

Auf der technischen Ebene kann man Kommunikationsdienste danach unterscheiden, ob sie zusammen mit dem Netzzugang (z. B. Internetzugang) oder unabhängig von diesem erbracht werden, sogenannte internetbasierte Dienste. Internetbasierte Dienste werden auch als Over-the-Top-Dienste (OTT-Dienste) bezeichnet. Die Anbieterinnen von OTT- Diensten fallen mehrheitlich in den Geltungsbereich des BÜPF, meist als AAKD und vereinzelt als FDA. Ein Teil der OTT-Dienste unterliegt jedoch nicht dem Geltungsbereich des BÜPF, wenn nämlich keine Kommunikationsfunktion für Dritte vorhanden ist (z. B. E- Shopping) oder wenn ausschliesslich Informationen übertragen werden, die für die Allgemeinheit bestimmt sind (z. B. elektronische Massenmedien, öffentliche Video- Streaming-Dienste, öffentliche Video-Sharing-Plattformen).

Ob und in welche der Kategorien von MWP eine Anbieterin eines internetbasierten Dienstes (OTT-Dienst) fällt, hängt von der Art des erbrachten Dienstes und von der technischen Implementierung ab.

Übersicht über die in der Vorlage definierten Kategorien und Unterkategorien von MWP

25 Natürliche Person oder sonstige staatliche oder andere Rechtssubjekte, unabhängig davon, ob diese juristische Personen sind oder nicht (BBl 2013 2706) 26 entspricht Tätigkeit (BBl 2013 2706)

27 BBl 2013 2706

Neben den Kategorien FDA und AAKD gibt es wie bisher zwei Unterkategorien von FDA und neu drei Unterkategorien von AAKD (eine mehr als bisher): 1. Kategorie FDA (Art. 2 Abs. 2 Bst. b BÜPF): Definition im neuen Artikel 16a; 1.1. Unterkategorie FDA mit reduzierten Pflichten (Art. 26 Abs. 6 BÜPF): entspricht der bisherigen Unterkategorie «FDA mit reduzierten Überwachungspflichten». Die Kriterien und Grössen für die Herunterstufung (Befreiung von bestimmten Pflichten) sowie das Verfahren sind im neuen Artikel 16b geregelt; 1.2. Unterkategorie FDA mit vollen Pflichten (Art. 2 Abs. 2 Bst. b BÜPF): diese bereits existierende Unterkategorie erhält neu eine eigene Bezeichnung, wodurch umständliche Formulierungen vereinfacht werden können. Das Verfahren für die Wieder-Hochstufung (Entfall der Befreiung von bestimmten Pflichten) ist im neuen Artikel 16c geregelt; 2. Kategorie AAKD (Art. 2 Abs. 2 Bst. c BÜPF): Definition im neuen Artikel 16d;

2.1 Unterkategorie AAKD mit minimalen Pflichten (Art. 2 Abs. 2 Bst. c BÜPF):

Ausgangslage für AAKD. Die Kriterien und Grössen sind im neuen Artikel 16e geregelt; 2.2. Unterkategorie AAKD mit reduzierten Pflichten (Art. 2 Abs. 2 Bst. c, Art. 22 Abs. 4 und Art. 27 Abs. 3 BÜPF): erste Hochstufung (Auferlegung zusätzlicher Pflichten) für AAKD. Die Kriterien und Grössen sowie das Verfahren für die Hochstufung und die Wieder-Herunterstufung (Entfall der zusätzlichen Pflichten) sind im neuen Artikel 16f geregelt; 2.3. Unterkategorie AAKD mit vollen Pflichten (Art. 2 Abs. 2 Bst. c, Art. 22 Abs. 4 und Art. 27 Abs. 3 BÜPF): zweite Hochstufung (Auferlegung der vollen Pflichten) für AAKD. Die Kriterien und Grössen sowie das Verfahren für die Hochstufung und die Wieder-Herunterstufung sind im neuen Artikel 16g geregelt. In der Vorlage werden ebenfalls die PZD definiert: 3. Kategorie PZD (Art. 2 Abs. 1 Bst. e BÜPF): Die Definition der PZD sowie die Kriterien und die Grössen, wann ein öffentlicher WLAN-Zugang als professionell betrieben gilt, befinden sich im neuen Artikel 16h. Im BÜPF werden Auskunfts- und Überwachungspflichten getrennt geregelt. Die bisherige VÜPF folgte diesem schematischen Aufbau. Aus praktischen Gesichtspunkten ist es jedoch sinnvoll, den Umfang der Mitwirkungspflichten insgesamt zu betrachten und die Abstufung der Unterkategorien einfach zu gestalten. Vom Gesetz vorgegeben ist die jeweilige Ausgangslage der Kategorien FDA und AAKD. Die FDA haben standardmässig die vollen Pflichten (s. Art. 26 Abs. 6 BÜPF). Bei den Ausführungsbestimmungen in der VÜPF sieht der Bundesrat vor, dass sie sich auf Gesuch unter den entsprechenden Voraussetzungen des Artikels 16b VÜPF durch Erklärung des Dienstes ÜPF herunterstufen lassen können. Bei den AAKD ist die Ausgangslage genau umgekehrt (s. Art. 27 Abs. 3 BÜPF). Standardmässig hat eine AAKD nur minimale Pflichten (Art. 16e). Bei Erfüllung der entsprechenden Voraussetzungen gemäss Artikel 16f Absatz 1 erhält sie automatisch weitere Pflichten, die aufgrund ihres Umfangs in Analogie zu den FDA als «reduzierte Pflichten» bezeichnet werden. Wenn eine AAKD die entsprechenden Voraussetzungen gemäss Artikel 16g erfüllt, muss sie sich beim Dienst ÜPF melden und wird dann zur AAKD mit vollen Pflichten hochgestuft. Die Hochstufung (Upgrade) und die

Herunterstufung (Downgrade) erfolgen nach dem folgenden Schema (s. auch die folgenden Erläuterungen zu den entsprechenden Bestimmungen):

Übersicht über die Mitwirkungspflichten der FDA und AAKD

Die Unterkategorien von FDA und AAKD sowie die Kategorie der PZD können hinsichtlich ihrer Auskunfts- und Überwachungspflichten wie folgt verglichen werden:

• Die FDA mit reduzierten Pflichten (Art. 16b) haben in etwa die gleichen Pflichten wie die AAKD mit reduzierten Pflichten (Art. 16f); vgl. jeweils dortige Ausführungen. Sie haben insbesondere die grundsätzlichen Auskunfts- und Identifikationspflichten inklusive der Pflicht zur Aufbewahrung der sogenannten Bestandesdaten.

• Die FDA mit vollen Pflichten (Art. 16c) haben in etwa die gleichen Pflichten wie die AAKD mit vollen Pflichten (Art. 16g, vgl. jeweils dortige Ausführungen). Sie haben insbesondere alle Auskunfts- und Identifikationspflichten, die Pflicht zur automatisierten Erteilung bestimmter Auskünfte, die Überwachungspflichten, die Pflicht zur Aufbewahrung der Randdaten während 6 Monaten und die Pikettpflicht.

• Die AAKD mit minimalen Pflichten haben lediglich Duldungspflichten, aber weder Auskunfts- noch Überwachungspflichten. Sie haben keine Identifikationspflichten und erteilen Auskünfte schriftlich gemäss den ihnen vorliegenden Angaben (Art. 22 Abs. 3 BÜPF), ohne die Auskunftstypen beachten zu müssen. Sie müssen insbesondere eine Überwachung durch den Dienst oder durch die von diesem beauftragten Personen dulden, zu diesem Zweck unverzüglich Zugang zu ihren Anlagen gewähren, die für die Überwachung notwendigen Auskünfte erteilen und

auf Verlangen die ihnen zur Verfügung stehenden Randdaten des Fernmeldeverkehrs der überwachten Person liefern (Art. 27 Abs. 1 und 2 BÜPF). Das gleiche gilt für die PZD (Art. 29 BÜPF).

Art. 16a FDA In diesem Artikel wird neu die Kategorie FDA definiert. Bisher stützte sich der überwachungsrechtliche Begriff FDA auf die Definition des Fernmeldedienstes im Fernmelderecht (Verweis in Art. 2 Bst. b BÜPF auf Art. 3 Bst. b FMG). Dieser Verweis entfällt gleichzeitig mit Inkrafttreten der vorliegenden Verordnungsrevision. Die neue überwachungsrechtliche Definition des Begriffs FDA stimmt nicht mit dem fernmelderechtlichen Begriff der Anbieterin von Fernmeldediensten überein. Eine Besonderheit des BÜPF besteht in der Existenz einer zu den FDA sehr ähnlichen Kategorie: den AAKD. Beiden gemeinsam ist das Erbringen von Kommunikationsdiensten für Dritte. Sie unterscheiden sich jedoch in der Art und Weise, wie diese Dienste erbracht werden und ob die Anbieterin die Verantwortung für die fernmeldetechnische Übertragung von Informationen übernimmt. Um die Abgrenzung zu den AAKD zu erleichtern, werden in der Definition der FDA konkrete Eigenschaften aufgeführt. Direkte Netzzugangsdienste werden immer von FDA erbracht. Bei den indirekten Netzzugangsdiensten und bei den Kommunikationsdiensten unterscheidet man danach, ob sie zusammen mit oder in Abhängigkeit von dem Netzzugang (FDA) oder unabhängig von diesem erbracht werden (AAKD).

Allgemein gilt für die Einteilung der MWP in Kategorien, dass wenn eine Anbieterin mehrere verschiedene Dienste anbietet, diese bei der Zuordnung zu den einzelnen Kategorien von MWP jeweils getrennt zu betrachten sind. Dadurch kann ein und dieselbe Anbieterin für einen Teil ihrer Dienste eine FDA sein, während sie für andere ihrer Dienste als AAKD gilt.

Die Grundeigenschaft einer FDA ist weiterhin die leitungs- oder funkgebundene, technische Übertragung (fernmeldetechnische Übertragung) von Informationen für Dritte. Die FDA muss dabei nicht unbedingt selbst physisch die fernmeldetechnische Übertragung von Informationen durchführen. Die Begriffe betreiben und erbringen bedeuten in dieser Verordnung, dass die Anbieterin gegenüber ihren Kunden die Verantwortung für die fernmeldetechnische Übertragung von Informationen übernimmt. Dazu gehört auch das übertragen lassen, beispielsweise durch Outsourcing, Roaming- Abkommen, Beauftragung Dritter, ein besonderes Nutzungsrecht an Infrastruktur (z. B. aufgrund eines Mietvertrags oder eines auf die Mitbenutzung von Netzelementen bezogenen, mietähnlichen Vertrags) oder Einkauf von Dienstleistungen. Entscheidend ist, wer den Dienst anbietet und die Verantwortung für die fernmeldetechnische Übertragung von Informationen übernimmt.

Nach Absatz 1 Buchstabe a gilt der Betrieb eines öffentlichen Fernmeldenetzes als Fernmeldedienst. Dazu gehören öffentliche Netze zur fernmeldetechnischen Sprachübertragung in Echtzeit und zur Datenkommunikation. Dies schliesst auch Transitanbieterinnen mit ein, die selber keine Dienste für eigene Endkunden anbieten. Öffentliche Fernmeldenetze bilden das Gegenstück zu den internen Fernmeldenetzen (Art. 1 Abs. 2 Bst. k). Die Merkmale eines öffentlichen Fernmeldenetzes sind: Zugang für

einen grundsätzlich unbestimmten Personenkreis und Kommunikation mittels öffentlichen Adressierungselementen.

Nach Buchstabe b gilt als Fernmeldedienst, wenn für Dritte ein direkter Zugangsdienst zu einem öffentlichen Fernmeldenetz (insbesondere zum Internet) erbracht wird. Hierunter fallen alle unmittelbaren Internetzugangsdienste (direkter Zugangsdienst), früher «Internetanschluss» genannt. Wird der Zugang mittelbar, aber aus Kundensicht aus einer Hand, das heisst in einem Vertrag erbracht (indirekter Zugangsdienst beispielsweise über ein Wholesale-Angebot einer anderen FDA) – wie beim Broadband Connectivity Service (BBCS) – gilt dieser indirekte Zugang ebenfalls als Fernmeldedienst.

Ausserdem zählen öffentliche Mobilfunkdienste (Bst. c) zu den Fernmeldediensten. Dazu gehören beispielsweise Mobile Network Operators (MNO) und Mobile Virtual Network Operators (MVNO).

Ebenfalls zu den Fernmeldediensten gehören die öffentlichen Telefondienste, die zusammen mit dem Netzzugang (Bst. d) erbracht werden, beispielsweise ein VoIP- Telefondienst, der zusammen mit dem Internetanschluss angeboten wird. Ein öffentlicher Telefondienst ist ein Fernmeldedienst zur Sprachübertragung in Echtzeit mittels eines oder mehrerer Adressierungselemente, die in einem nationalen oder internationalen Nummerierungsplan dafür vorgesehen sind (Art. 3 Bst. cbis FMG). Die Formulierung «zusammen mit dem Netzzugang» ist nicht nur im engeren Sinne eines gebündelten Angebots zu verstehen, sondern auch im weiteren Sinne eines Zusammenhangs zwischen Telefondienst und Netzzugang. Das heisst, wenn es für den Telefondienst einen Unterschied macht, ob man einen Internetanschluss der «eigenen» Anbieterin oder einer «fremden» Anbieterin benutzt. Zum Beispiel, wenn der Telefondienst über einen Netzzugang (Internetanschluss) der «eigenen» Anbieterin mehr Funktionen oder niedrigere Tarife bietet. Mit «eigene» Anbieterin ist die Anbieterin des Telefondienstes gemeint.

Erinnert sei hier an die dienstbezogene Betrachtungsweise. Dieses Beispiel dient nur zur Illustration der Einordnung der Anbieterin des öffentlichen Telefondienstes. Eine Anbieterin des Dienstes «Netzzugang für Dritte» (Internetanschluss) ist immer eine FDA. Eine Anbieterin eines öffentlichen Telefondienstes für Dritte gilt als FDA, wenn ein Zusammenhang zwischen Telefondienst und Netzzugang besteht (Bst. d). Wenn jedoch kein solcher Zusammenhang besteht, gilt sie als AAKD (Art. 16d Abs. 1).

Ähnlich zum Fernmelderecht werden in Absatz 2 einige Ausnahmen von der überwachungsrechtlichen Einordnung als FDA definiert. Die erste Ausnahme («die für die Allgemeinheit bestimmt sind»; Bst. a) betrifft Massenmedien (z. B. Fernsehprogramme, Rundfunkprogramme, Kabelfernsehen, Streaming Dienste). Diese sind für die Fernmeldeüberwachung nicht von Belang, da hier kein Fernmeldegeheimnis besteht und daher keine Fernmeldeüberwachung erforderlich ist.

In den Buchstaben b, c und d werden analog zum Fernmelderecht die geographisch eng begrenzte (Bst. b), die unternehmensinterne (Bst. c) und die fernmeldetechnische Übertragung von Informationen innerhalb von oder zwischen öffentlich-rechtlichen

Körperschaften (Bst. d) ausgenommen. Die Anbieterinnen von Diensten nach den Buchstaben b bis d gelten als Betreiberinnen von internen Fernmeldenetzen (BIF, Art. 1 Abs. 2 Bst. k). Ausserdem gehört zur Kategorie BIF, wer eine fernmeldetechnische Übertragung von Informationen nicht für Dritte durchführt, sondern beispielsweise für Mitarbeitende seines Unternehmens. Wie bisher gibt es zwei Unterkategorien von FDA, die sich je nach Pflichten unterscheiden: die FDA mit reduzierten Pflichten (Art. 16b), die den bisherigen FDA mit reduzierten Überwachungspflichten (bisheriger Art. 51) entspricht, und die FDA mit vollen Pflichten (Art. 16c), die bisher keine eigene Bezeichnung hatte, sondern mit dem etwas komplizierten Ausdruck «FDA, mit Ausnahme derjenigen mit reduzierten Überwachungspflichten» beschrieben wurde. Beispiele für Fernmeldedienste:

• Betrieb von öffentlichen Fernmeldenetzen, inklusive virtuelle Netzinfrastrukturen (Abs. 1 Bst. a);

• unmittelbarer (z. B. fixer Internetzugang, mobiler Internetzugang) oder mittelbarer Zugang, aus Kundensicht in einem Vertrag (z. B. BBCS) zu einem öffentlichen Fernmeldenetz (Abs. 1 Bst. b);

• öffentlicher Mobilfunk (Abs. 1 Bst. c, standardisiert durch die 3GPP 28), inklusive virtueller Betrieb (Mobile Virtual Network Operator, MVNO);

• Erbringung von Telefonie- und Multimediadiensten für Dritte, inklusive internetbasierte Telefonie- und Multimediadienste und öffentliche Kommunikationsdienste, denen vom BAKOM Adressierungselemente zugeteilt wurden oder die eine Funkkonzession benötigen, sofern sie aus Kundensicht zusammen mit dem Netzzugang erbracht werden (Abs. 1 Bst. d). In Absatz 2 sind jene Dienste genannt, die nicht als Fernmeldedienste gelten und deren Anbieterinnen von der Kategorie der FDA ausgenommen sind. Dies ist in der geringen Relevanz dieser Dienste für die Fernmeldeüberwachung begründet. Dazu gehören beispielsweise öffentliche elektronische Medien, die Bereitstellung und Übertragung öffentlicher Radio- und Fernsehprogramme, öffentliches Audio- und Videostreaming und öffentliche Videoportale (weitere Beispiele s. Erläuterungen zu Art. 16d Abs. 2).

Art. 16b FDA mit reduzierten Pflichten Wie beim bisherigen Artikel 51 VÜPF kann eine Befreiung einer FDA von bestimmten Pflichten (Herunterstufung) gemäss Artikel 26 Absatz 6 BÜPF nur auf Gesuch der FDA erfolgen. In der Ausgangslage hat eine FDA gemäss BÜPF die vollen Pflichten. Unternimmt eine FDA nichts, gilt sie weiterhin als FDA mit vollen Pflichten (Art. 16c).

FDA, welche die Voraussetzungen nach Absatz 1 erfüllen, können wie bisher einfach und unbürokratisch ein entsprechendes Gesuch über das Extranet des Dienstes ÜPF einreichen. Wenn ein Überwachungsauftrag an eine FDA erteilt wird, die offensichtlich

28 Das 3GPP (3rd Generation Partnership Project) ist eine weltweite Kooperation von Standardisierungsgremien zum Zweck der Standardisierung von Mobilfunktechnologien.

die Voraussetzungen für eine Herunterstufung erfüllt, es aber versäumt hat, die Herunterstufung zu beantragen, müsste sie ihn eigentlich ausführen oder, wenn sie zur Ausführung der Überwachung nicht in der Lage ist, die Kosten bei unzureichender Mitwirkung (Art. 34 Abs. 1 BÜPF) übernehmen. Der Dienst ÜPF handelt in so einem Fall pragmatisch und gibt der FDA die Gelegenheit, sofort die Herunterstufung zu beantragen, und bestätigt sie soweit möglich am gleichen Tag. Bis jetzt wurde in solchen Fällen die Kostenübernahme bei unzureichender Mitwirkung noch nie angewendet.

Die Bezeichnung dieser Unterkategorie wird vereinfacht zu FDA mit reduzierten Pflichten (bisheriger Art. 51: FDA mit reduzierten Überwachungspflichten), da die Befreiung nicht nur Überwachungspflichten betrifft. In Absatz 1 werden die Voraussetzungen für die Herunterstufung geregelt.

Buchstabe a (Fernmeldedienste nur im Bereich Bildung und Forschung) entspricht dem bisherigen Artikel 51 Absatz 1 Buchstabe a und bleibt somit inhaltlich unverändert.

Auch Buchstabe b Ziffer 1 (Überwachungsaufträge zu 10 verschiedenen Zielen der Überwachung in den letzten 12 Monaten) entspricht dem bisherigen Artikel 51 Absatz 1 Buchstabe b Ziffer 1. Neu wird präzisiert, dass bei der Zählung der Überwachungsaufträge alle von dieser Anbieterin angebotenen Fernmeldedienste und abgeleiteten Kommunikationsdienste zu berücksichtigen sind, das heisst, die Kategorien AAKD und FDA werden nicht getrennt gezählt. Dies hat praktische Gründe, da Anbieterinnen vom Dienst ÜPF in der Statistik als Ganzes erfasst werden und bei Anbieterinnen, die sowohl FDA als auch AAKD sind, nicht nach den einzelnen Kategorien unterschieden wird.

Die Grösse des massgebenden Jahresumsatzes wird ebenfalls weiterhin in Ziffer 2 geregelt, jedoch mit der Änderung, dass mit Inkrafttreten der Vorlage der Gesamtumsatz in der Schweiz des gesamten Unternehmens massgebend ist. Es wird also nicht mehr nur auf den Jahresumsatz in der Schweiz mit Fernmeldediensten und abgeleiteten Kommunikationsdiensten abgestellt (s. bisheriger Art. 51 Abs. 1 Bst. b Ziff. 2). Diese Änderung erfolgt aus Gründen der Vereinfachung, da es sich in der Praxis gezeigt hat, dass der gesamte Unternehmensumsatz viel einfacher ermittelt und belegt werden kann. Ausserdem gibt es Fernmeldedienste und abgeleitete Kommunikationsdienste, die selbst kaum Umsatz generieren, die aber an anderer Stelle zu Einnahmen des Unternehmens führen (bspw. Werbung). Der Betrag von 100 Millionen Franken bleibt unverändert. Weiter wird präzisiert, dass es sich um die beiden vorhergehenden Geschäftsjahre handelt, welche für die Berechnung des Jahresumsatzes massgebend sind. Dies wurde auch bisher schon in der Praxis so gehandhabt. Aus Sicht der FDA bedeutet dies, dass nur ihre abgeschlossenen Geschäftsjahre betrachtet werden, also das als letztes abgeschlossene und dasjenige davor. Eine Anbieterin, die neu in den Markt eintritt, kann sofort eine Herunterstufung beantragen. Dadurch erhält sie eine Übergangsfrist als FDA mit reduzierten Pflichten, selbst wenn ihr Jahresumsatz höher ausfallen dürfte. Erst wenn eine FDA mit reduzierten Pflichten die Voraussetzungen nach Absatz 1 nicht mehr erfüllt, stuft sie der Dienst ÜPF zur FDA mit vollen Pflichten hoch (Art. 16c Abs. 2).

Absatz 2 regelt wie bisher den sogenannten Konzerntatbestand. Kontrolliert eine Anbieterin eine oder mehrere rechnungspflichtige Unternehmen, werden sie bei der Anzahl der Überwachungsaufträge und bei der Berechnung des Jahresumsatzes (Abs. 1

Bst. b) jeweils als eine Einheit betrachtet. Es wird dabei auf die Regelung von Artikel 963 Absatz 1 und 2 OR29 verwiesen, welche sinngemäss Anwendung findet.

Absatz 3 sieht für eine FDA mit reduzierten Pflichten eine Meldepflicht für den Fall vor, dass sie die Voraussetzungen für die Befreiung von Pflichten gemäss Absatz 1 nicht mehr erfüllt. Ausgenommen von dieser Meldepflicht ist die Anzahl der Überwachungen gemäss Absatz 1 Buchstabe b Ziffer 1, die vom Dienst ÜPF ermittelt wird. Die Meldung nach Buchstabe a (Dienste nicht mehr ausschliesslich im Bereich Bildung und Forschung) hat unverzüglich zu erfolgen. Für die Meldung nach Buchstabe b (Erreichen der Umsatzgrenze) wird der FDA eine Meldefrist von 3 Monaten nach dem Abschluss ihres Geschäftsjahres gewährt. Für die Übermittlung der Meldung stellt der Dienst ÜPF geeignete Mechanismen zur Verfügung, beispielsweise ein Online-Formular über das Extranet. Zeitnah mit der Meldung hat die FDA geeignete Nachweise einzureichen. Bei Nichterfüllung dieser Meldepflicht kann der Dienst ÜPF Massnahmen gegen die fehlbare Anbieterin treffen. Diese reichen von aufsichtsrechtlichen Massnahmen (Art. 41 Abs. 2 BÜPF i. V. m. Art. 58 Abs. 2 Bst. a FMG), über die Kostenbeteiligung bei unzureichender Mitwirkung (Art. 34 BÜPF), bis hin zu Bussen (Art. 39 BÜPF).

Absatz 4 bildet die Rechtsgrundlage für den Dienst ÜPF, um nachprüfen zu können, ob die in Absatz 1 Buchstabe b Ziffer 2 definierte Grösse (Jahresumsatz) tatsächlich über- oder unterschritten wurde und ob eine Anbieterin die von ihr erbrachten Kommunikationsdienste korrekt angegeben hat. Dazu kann der Dienst ÜPF erstens die von ihm selbst durch den Vollzug der Gesetzgebung betreffend die Überwachung des Post- und Fernmeldeverkehrs erlangten Daten heranziehen (bspw. Anzahl der Überwachungsaufträge). Zweitens kann er auch auf Daten zurückgreifen, die andere Behörden durch den Vollzug des Bundesrechts erlangt haben.

Die wichtigsten Mitwirkungspflichten einer FDA mit reduzierten Pflichten sind die folgenden: 1. bei Mobilfunkdiensten: die Überprüfung der Angaben zur Person (Art. 20), die Erbringung des Identitätsnachweises (Art. 20a und 20b) sowie die Abgabe von Zugangsmitteln und das Aktivieren von Diensten für Polizeibehörden und den NDB 2. bei den übrigen Diensten: die Identifikation von Personen mit geeigneten Mitteln (Art. 19); 3. die Aufbewahrung der für die Auskunftserteilung erforderlichen Daten (Art. 21 Abs. 1-4); 4. die Erteilung von standardisierten Auskünften (Art. 18 Abs. 3); 5. die Erteilung von besonderen Auskünften (Art. 25); 6. die Erbringung des Nachweises ihrer Auskunftsbereitschaft (Art. 31); 7. die Lieferung der für die Durchführung der Überwachung notwendigen Informationen (Art. 26 Abs. 2 Bst. a BÜPF);

29 Bundesgesetz vom 30.03.1911 betreffend die Ergänzung des Schweizerischen Zivilgesetzbuches (Fünfter Teil: Obligationenrecht; OR; SR 220)

8. die Duldung von Überwachungsmassnahmen und die Gewährung des Zugangs zu ihren Anlagen (Art. 26 Abs. 2 Bst. b BÜPF und Art. 53 VÜPF); 9. die Entfernung der von ihr angebrachten Verschlüsselungen (Art. 26 Abs. 2 Bst. c 10.die Lieferung auf Verlangen der ihr zur Verfügung stehenden Randdaten (d. h. keine Aufbewahrungspflicht für Randdaten) des Fernmeldeverkehrs der überwachten Person (Art. 26 Abs. 6 BÜPF).

Erinnert sei an dieser Stelle, dass die FDA Dritte als Erfüllungsgehilfen (Art. 23 VÜPF) beiziehen kann.

Art. 16c FDA mit vollen Pflichten Wie bereits bei Artikel 16b erläutert, hat eine FDA gemäss BÜPF in der Ausgangslage volle Pflichten. Unternimmt eine FDA nichts, gilt sie weiterhin als FDA mit vollen Pflichten. Wenn eine FDA die Voraussetzungen nach Artikel 16b Absatz 1 erfüllt, kann sie beim Dienst ÜPF ein Gesuch auf Herunterstufung zur FDA mit reduzierten Pflichten stellen. Nach der Gesuchstellung tritt die Herunterstufung erst mit der Erklärung des Dienstes ÜPF in Kraft (Abs. 1). Bis dahin gilt die Anbieterin als FDA mit vollen Pflichten.

Wenn die Voraussetzungen zur Befreiung von Pflichten nach Artikel 16b Absatz 1 nicht mehr erfüllt sind, hat die FDA eine Meldepflicht an den Dienst ÜPF (s. Art. 16b Abs. 3). Da die betroffene FDA zu diesem Zeitpunkt noch als FDA mit reduzierten Pflichten gilt, ist diese Meldepflicht in Artikel 16b aufgeführt. In der Regel erhält der Dienst ÜPF durch die Meldung der betroffenen FDA Kenntnis von der Nichterfüllung der Voraussetzungen und gemäss Absatz 2 erklärt der Dienst ÜPF in einem solchen Fall die Hochstufung zur FDA mit vollen Pflichten.

In Absatz 3 werden die Übergangsfristen nach einer Hochstufung geregelt. Für die schwieriger umzusetzenden Pflichten gemäss den Buchstaben a bis c (s. Ziff. 4-6 in der folgenden Liste) wird eine Frist von 12 Monaten gewährt. Für die übrigen zusätzlichen Pflichten (s. Ziff. 1-3 in der folgenden Liste) gilt eine Umsetzungsfrist von 6 Monaten (Abs. 4). Erinnert sei an dieser Stelle, dass die FDA Dritte als Erfüllungsgehilfen (Art. 23 VÜPF) beiziehen kann.

Eine FDA mit vollen Pflichten hat die folgenden zusätzlichen Mitwirkungspflichten umzusetzen, verglichen mit einer FDA mit reduzierten Pflichten (Art. 16b):

1. den Pikettdienst (Art. 11 Abs. 1); 2. die Aufbewahrung der für bestimmte Auskünfte (Art. 21 Abs. 5 und 7) und die rückwirkenden Überwachungen (Art. 26 Abs. 5 BÜPF) erforderlichen Randdaten; 3. die Erteilung der Auskünfte über die Abfrageschnittstelle (Art. 18 Abs. 1) und die Erbringung des entsprechenden Nachweises ihrer Auskunftsbereitschaft für diesen Teil der neuen Auskunftspflichten, insbesondere für die manuelle Auskunftserteilung über die Abfrageschnittstelle (Art. 31); 4. die automatisierte Erteilung der Auskünfte (Art. 18 Abs. 2); 5. die Lieferung auf Verlangen des Inhalts und der Randdaten des Fernmeldeverkehrs der überwachten Person (Art. 26 Abs. 1 BÜPF); und

2. die Erbringung des Nachweises ihrer Überwachungsbereitschaft (Art. 31) und des Nachweises ihrer Auskunftsbereitschaft (Art. 31) für die übrigen neuen Auskunftspflichten, insbesondere für die automatisierte Auskunftserteilung. Art. 16d AAKD Die Kurzdefinition der AAKD in Artikel 2 Buchstabe c BÜPF hat in der Praxis zu unterschiedlichen Interpretationen geführt 30. Die Kategorie der AAKD wird deshalb in diesem neuen Artikel näher umschrieben.

Die Gemeinsamkeit zwischen FDA und AAKD besteht darin, dass beide für Dritte Kommunikationsdienste anbieten. Im Gegensatz zu den FDA übernehmen die AAKD dabei nicht die Verantwortung für die fernmeldetechnische Übertragung von Informationen und übertragen die Informationen auch nicht selbst.

In Absatz 1 wird die Kurzdefinition aus dem BÜPF übernommen und mit dem wichtigsten Unterscheidungsmerkmal zwischen Fernmeldediensten und abgeleiteten Kommunikationsdiensten ergänzt: Ein abgeleiteter Kommunikationsdienst stützt sich für die eigentliche fernmeldetechnische Übertragung von Informationen immer auf einen Fernmeldedienst. Das heisst, ein abgeleiteter Kommunikationsdienst funktioniert völlig unabhängig vom Netzzugangsdienst (sog. access agnostic, d. h. es ist für den abgeleiteten Kommunikationsdienst völlig irrelevant, welcher Netzzugang verwendet wird).

Anders ausgedrückt, Kommunikationsdienste, die nicht zu den in Artikel 16a Absatz 1 aufgezählten Fernmeldediensten gehören und auf die die Ausnahmen nach Artikel 16a Absatz 2 nicht zutreffen, stellen abgeleitete Kommunikationsdienste dar. Aufgrund der Vielzahl der möglichen abgeleiteten Kommunikationsdienste ist deren abschliessende Aufzählung im Verordnungstext nicht möglich.

Zu den abgeleiteten Kommunikationsdiensten gehören insbesondere: - indirekte Internetzugangsdienste, die unabhängig vom Internetzugangsdienst erbracht werden, wie VPN- oder Proxy-Dienste; dabei werden aus Kundensicht zwei Auftragsverhältnisse (erstens für den Internetzugang, zweitens für den abgeleiteten Kommunikationsdienst) benötigt, insbesondere wird die Quell-IP- Adresse, mit der der Benutzer im Internet auftritt, vom Dienst geändert (in eine andere IP-Adresse, als die von der Internetzugangsanbieterin zugeteilte IP- Adresse). VPN steht für Virtual Private Network. Ein VPN-Dienst überträgt Daten Ende-zu-Ende verschlüsselt über das Internet in einem sogenannten Tunnel. Dadurch können Internetverbindungen umgeleitet werden und der Benutzer oder die Benutzerin tritt mit einer anderen IP-Adresse im Internet auf, als die ursprünglich am Netzzugang zugewiesene. Proxy-Dienste ermöglichen ebenfalls

30 Vgl. die Stellungnahme des Bundesrates vom 22.05.2019 auf die Interpellation 19.3267 Beat Flach, die Antwort des Bundesrates vom 11.06.2019 auf die Frage 19.5273 Beat Flach, sowie den Bericht des Bundesrates vom 18.10.2023 in Erfüllung des Postulats 19.4031 Albert Vitali.

eine Umleitung von Internetverbindungen. Sie dienen beispielsweise zur Anonymisierung der Benutzerinnen und Benutzer oder zur Umgehung des Geo- Blockings. Das Geo-Blocking dient dazu, geographische Restriktionen im Internet durchzusetzen, indem beispielsweise nur Benutzerinnen und Benutzer aus dem Inland Zugriff auf eine bestimmte Website bekommen. Von diesen indirekten Internetzugangsdiensten abzugrenzen sind die aus einer Hand erbrachten Internetzugangsdienste, die zwar eine Komponente mit einem mittelbaren (indirekten) Zugang enthalten, aus Kundensicht jedoch in einem Vertrag erbracht werden und damit als Fernmeldedienste gelten (z. B. BBCS, s. Erläuterungen zu Art. 16a).

• Anwendungen, wie Apps oder Programme zur Übertragung von Daten, wie Sprache, Text, Ton, Bild, Video, Signalen, Messwerten oder einer beliebigen Kombination aus diesen, zwischen den Benutzern (Dritte), die nicht zusammen mit dem Netzzugang erbracht werden (Gegenteil von Art. 16a Abs. 1 Bst. d).

• internetbasierte Kommunikationsdienste für Dritte, welche klassische, von den Netzbetreiberinnen erbrachte Fernmeldedienste konkurrieren und diesen funktional gleichzusetzen sind, die aber völlig unabhängig vom Netzzugang erbracht werden (Trennung von Netz und Diensten), wie internetbasierte Telefonie, die nicht zusammen mit dem Netzzugang erbracht wird (Gegenteil von Art. 16a Abs. 1 Bst. d).

• E-Mail für Dritte, inklusive Webmail und E-Mail-Apps.

• internetbasierte Mitteilungsdienste für Dritte, wie Messaging-Apps, Messaging- Plattformen, Instant-Messaging, Chat.

• Onlinespeicherdienste, wie Cloud Storage, File Hosting, Share Hoster, Online Storage, File Sharing: Die Hauptfunktion besteht in der Regel im Speichern von Dateien. Dazu gehören beispielsweise Dienste zum Speichern (Cloud- Speicherdienst) oder zur gemeinsamen Bearbeitung (Onlinezusammenarbeit) von Dokumenten in der Cloud. Die Kommunikationsmöglichkeit besteht über das Teilen der abgelegten Dateien oder die verteilte Bearbeitung von Inhalten. Wenn ein Hosting Provider jedoch auch den Internetzugang für den Server anbietet, gilt er für den Dienst «Internetzugang» als FDA. Eine differenzierte Betrachtung ist bei Angeboten angezeigt, die verschiedene Dienste beinhalten. Dies ist zum Beispiel bei Sozialen Medien und Mikroblogging der Fall. Die Hauptfunktion besteht in der Regel im öffentlichen Publizieren von Inhalten. Wenn die

Kommunikation zwischen Benutzerinnen und Benutzern öffentlich zugänglich ist, ist der betreffende Dienst weder als Fernmeldedienst noch als abgeleiteter Kommunikationsdienst einzustufen (Informationen, die für die Allgemeinheit bestimmt sind; Art. 16a Abs. 2 Bst. a). Bei direkten oder persönlichen Nachrichten sind jedoch in der Regel die Kriterien für die Einstufung als AAKD erfüllt.

Ein weiteres Beispiel für ein Angebot mit Diensten aus verschiedenen Kategorien ist ein Online-Fahrplan, bei dem es sich in erster Linie um ein Informationsangebot für die Allgemeinheit handelt, welches weder in die Kategorie FDA noch in jene der AAKD fällt. Wenn dieser Online-Fahrplan jedoch auch eine E-Mail-Funktion zur Nachrichtenübermittlung an Dritte bietet, fällt die Anbieterin dieser E-Mail-Funktion in die Kategorie

AAKD, da es sich um eine Mehrwegkommunikation handelt, die immer völlig unabhängig vom Netzzugangsdienst funktioniert.

Weitere Beispiele für gemischte Dienste sind die Kommunikation per E-Mail oder Chat zwischen Anbieterinnen und Interessenten auf Onlinemarktplätzen (Hauptfunktion ist der Kauf und Verkauf von Waren) sowie die Text-, Sprach- oder Videokommunikation zwischen Spielern von elektronischen Spielen (Hauptfunktion ist das elektronische Spiel).

In Absatz 2 werden die Ausnahmen durch Verweis auf Artikel 16a Absatz 2 geregelt, da es sich sinngemäss um die gleichen handelt, wie für FDA.

Weder FDA noch AAKD für die jeweiligen Dienste sind beispielsweise die Anbieterinnen der folgenden Dienstleistungen:

• das Übertragen von öffentlichen Radio- und Fernsehprogrammen (z. B. Kabel-TV, Internet-TV, Webradio, Streaming);

• Dienste zum öffentlichen Teilen und Übertragen von Inhalten (z. B. Videoportale, Video-on-Demand);

• Dienste zum öffentlichen Kommentieren von Inhalten (z. B. Kommentarspalten einer Online-Zeitung);

• zugehörige Dienste (associated services): ein zugehöriger Dienst ist ein mit einem Fernmeldenetz oder einem Fernmeldedienst verbundener Dienst, welcher die Bereitstellung, Eigenerbringung oder automatisierte Erbringung von Diensten über dieses Netz oder diesen Dienst ermöglicht oder unterstützt, im Unterschied zu integrierten Diensten, die Teil eines Fernmeldedienstes sind. Beispiele: Domain Name System, Systeme zur Nummernumsetzung (z. B. Intelligent Network, Umsetzung von Kurznummern oder Mehrwertdienstnummern), Zugangsberechtigungssysteme sowie nichtintegrierte Dienste im Zusammenhang mit Identität, Standort und Präsenz des Benutzers (z. B. Apps, die Status, Standort und Präsenz des Benutzers auswerten, aber keine Kommunikation ermöglichen, wie Online-Kartendienste, Geofencing, Tracking, Verkehrsmeldungen, Stauerkennung, Fahrpreis-Apps);

• Location Based Services (standortbezogene Dienste), die keine Kommunikation zwischen Benutzerinnen und Benutzern ermöglichen;

• Suchmaschinen;

• Cloud Computing, sofern für Dritte weder ein Internetzugang, noch ein Kommunikationsdienst erbracht wird. Bei den AAKD wird je nach Pflichten zwischen folgenden Unterkategorien unterschieden:

• AAKD mit minimalen Pflichten (Art. 16e); entspricht den bisherigen AAKD ohne weitergehende Pflichten;

• AAKD mit reduzierten Pflichten (Art. 16f); wird neu definiert und ist in etwa vergleichbar mit der Unterkategorie der FDA mit reduzierten Pflichten. Geringfügige Abweichungen bestehen lediglich bei den Auskunftspflichten, weil AAKD per Definition keine Mobilfunkdienste erbringen und entsprechende Auskunftstypen (z. B. Art. 48b) oder Auskunftsparameter (z. B. Gerätenummer) für sie nicht relevant sind;

- AAKD mit vollen Pflichten (Art. 16g); wird neu definiert und entspricht in etwa der Vereinigung der bisherigen AAKD mit weitergehenden Auskunftspflichten mit den bisherigen AAKD mit weitergehenden Überwachungspflichten. Die Unterkategorie der AAKD mit vollen Pflichten ist in etwa vergleichbar mit der Unterkategorie der FDA mit vollen Pflichten. Geringfügige Abweichungen bestehen bei den Auskunftspflichten, weil AAKD per Definition keine Mobilfunkdienste erbringen und entsprechende Auskunftstypen (z. B. Art. 48b) oder Auskunftsparameter (z. B. Gerätenummer) für sie nicht relevant sind. Ausserdem sind für die AAKD einige Überwachungstypen (z. B. AS_34) und Überwachungsdaten (z. B. SIM-Nummer, Gerätenummer) aus dem gleichen Grund nicht relevant.

Absatz 3 sieht für AAKD eine Informationspflicht auf Anfrage des Dienstes ÜPF vor, diesem entsprechende Zahlen und Belege zur Verfügung zu stellen, damit er die Erreichung der Grössen nach den Artikeln 16f Absatz 1 und 16g Absatz 1 (Anzahl der Teilnehmenden und Jahresumsatz) beurteilen kann. Für die Übermittlung der Zahlen und Belege stellt der Dienst ÜPF geeignete Mechanismen zur Verfügung, beispielsweise ein Online-Formular über das Extranet. Bei Nichterfüllung dieser Informationspflicht kann der Dienst ÜPF Massnahmen gegen die fehlbare Anbieterin anwenden. Diese reichen von aufsichtsrechtlichen Massnahmen (Art. 41 Abs. 2 BÜPF i. V. m. Art. 58 Abs. 2 Bst. a FMG), über die Kostenbeteiligung bei unzureichender Mitwirkung (Art. 34 BÜPF), bis hin zu Bussen (Art. 39 BÜPF).

Absatz 4 bildet die Rechtsgrundlage für den Dienst ÜPF, um nachprüfen zu können, ob die in den Artikeln 16f und 16g definierten Grössen (Anzahl der Teilnehmenden und Jahresumsatz) tatsächlich über- oder unterschritten wurden. Dazu kann der Dienst ÜPF erstens die von ihm selbst durch den Vollzug der Gesetzgebung betreffend die Überwachung des Post- und Fernmeldeverkehrs erlangten Daten heranziehen. Zweitens kann er auch auf Daten zurückgreifen, die andere Behörden durch den Vollzug des Bundesrechts erlangt haben.

Art. 16e AAKD mit minimalen Pflichten Die Unterkategorie der AAKD mit minimalen Pflichten hat die geringsten Mitwirkungspflichten unter den AAKD und stellt die Ausgangslage für AAKD dar. Im Unterschied zu den FDA, die in der Ausgangslage mit vollen Pflichten beginnen, von denen sie unter bestimmten Voraussetzungen befreit werden können (Herunterstufung), beginnen die AAKD mit minimalen Pflichten und können unter bestimmten Voraussetzungen in zwei Stufen hochgestuft werden:

1 Stufe zur AAKD mit reduzierten Pflichten (Art. 16f)

2 Stufe zur AAKD mit vollen Pflichten (Art. 16g)

Gemäss Absatz 1 gilt eine AAKD als AAKD mit minimalen Pflichten, solange die Voraussetzungen von Artikel 16f Absatz 1 und Artikel 16g Absatz 1 nicht erfüllt sind. Somit fallen in die Unterkategorie der AAKD mit minimalen Pflichten alle AAKD die unterhalb der beiden Grössen bleiben (weniger als 5000 Teilnehmende und weniger als 100 Millionen Jahresumsatz). Die zweite Grösse (Jahresumsatz) muss ebenfalls erwähnt werden, da bei Erreichen dieser Grösse die Hochstufung in die 2. Stufe zur AAKD mit vollen Pflichten (Art. 16g) erfolgt.

Die wichtigsten Mitwirkungspflichten einer AAKD mit minimalen Pflichten sind die folgenden: 1. die formlose Erteilung von Auskünften (Art. 18a und Art. 25); 2. die Duldung von Überwachungsmassnahmen und die Gewährung des Zugangs zu ihren Anlagen (Art. 27 Abs. 1 BÜPF und Art. 53); 3. die Erteilung der für die Überwachung notwendigen Auskünfte (Art. 27 Abs. 1 Bst. b BÜPF); und 4. die Lieferung auf Verlangen der ihr zur Verfügung stehenden Randdaten des Fernmeldeverkehrs der überwachten Person (Art. 27 Abs. 2 BÜPF).

Absatz 2 sieht für eine AAKD mit minimalen Pflichten eine Meldepflicht für den Fall vor, dass sie die Voraussetzungen für die Hochstufung zur AAKD mit reduzierten Pflichten (Art. 16f Abs. 1) oder sogar für die Hochstufung zur AAKD mit vollen Pflichten (Art. 16g Abs. 1) erfüllt. Für die Meldung wird der AAKD eine Meldefrist von 3 Monaten nach dem Stichtag 30. Juni (Anzahl der Teilnehmenden) beziehungsweise nach Abschluss ihres Geschäftsjahres (Jahresumsatz) gewährt. Die AAKD mit minimalen Pflichten müssen also einmal jährlich zum 30. Juni die durchschnittliche Anzahl ihrer Teilnehmenden der letzten 12 Monate bestimmen. Falls diese mindestens 5000 beträgt, muss die AAKD dies dem Dienst ÜPF innerhalb von 3 Monaten melden. Automatisch von Rechts wegen und unabhängig von der Meldung der AAKD tritt bei Erfüllung der Voraussetzungen nach Artikel 16f Absatz 1 die Hochstufung in die 1. Stufe zur AAKD mit reduzierten Pflichten ab dem Folgetag des Stichtages 30. Juni, also ab 1. Juli in Kraft. Der Dienst ÜPF muss diese Hochstufung nicht gesondert erklären.

Falls die durchschnittliche Anzahl der Teilnehmenden der AAKD über die letzten 12 Monate vor dem Stichtag mindestens 1 Million betragen hat, muss die AAKD dies dem Dienst ÜPF innerhalb von 3 Monaten nach dem Stichtag melden. Automatisch von Rechts wegen und unabhängig von der Meldung der AAKD tritt in diesem Fall zunächst ab 1. Juli des gleichen Jahres die Hochstufung in die 1. Stufe zur AAKD mit reduzierten Pflichten in Kraft. Wenn die Voraussetzungen erfüllt sind, wird die AAKD durch den Dienst ÜPF unverzüglich zur AAKD mit vollen Pflichten (Art. 16g) erklärt und damit tritt die Hochstufung in die 2. Stufe in Kraft.

Die AAKD mit minimalen Pflichten müssen ebenfalls einmal jährlich zum Abschluss ihres Geschäftsjahres ihren Jahresumsatz des gerade abgelaufenen und des vorherigen Geschäftsjahres ermitteln. Falls der Jahresumsatz des gesamten Unternehmens in diesen beiden Geschäftsjahren jeweils 100 Millionen Franken oder mehr beträgt (Art. 16g Abs. 1 Bst. b), muss die AAKD dies dem Dienst ÜPF innerhalb von 3 Monaten nach dem Abschluss ihres Geschäftsjahres melden. Wenn die Voraussetzungen erfüllt sind, wird die AAKD durch den Dienst ÜPF unverzüglich zur AAKD mit vollen Pflichten (Art. 16g) erklärt und damit tritt die Hochstufung in die 2. Stufe in Kraft.

Für die Übermittlung der Meldung stellt der Dienst ÜPF geeignete Mechanismen zur Verfügung, beispielsweise ein Online-Formular über das Extranet. Zeitnah mit der Meldung hat die AAKD geeignete Nachweise einzureichen. Bei Nichterfüllung dieser Meldepflicht kann der Dienst ÜPF Massnahmen gegen die fehlbare Anbieterin anwenden. Diese reichen von aufsichtsrechtlichen Massnahmen (Art. 41 Abs. 2 BÜPF

i. V. m. Art. 58 Abs. 2 Bst. a FMG), über die Kostenbeteiligung bei unzureichender Mitwirkung (Art. 34 BÜPF), bis hin zu Bussen (Art. 39 BÜPF).

Art. 16f AAKD mit reduzierten Pflichten Der Gesetzgeber hat in Artikel 22 Absatz 4 und in Artikel 27 Absatz 3 BÜPF dem Bundesrat die Kompetenz eingeräumt, den AAKD weitergehende Pflichten aufzuerlegen (s. bisherige Art. 22 und 52 VÜPF). Diese Kompetenz wird mit vorliegendem Artikel genutzt. Somit sind ein Teil der für die FDA geltenden Bestimmungen des BÜPF sinngemäss auf die AAKD mit reduzierten Pflichten anwendbar. Die Pflichten einer AAKD mit reduzierten Pflichten orientieren sich an den Pflichten einer FDA mit reduzierten Pflichten (Art. 16b).

Absatz 1 definiert die Voraussetzungen, wann eine AAKD als AAKD mit reduzierten Pflichten gilt: die durchschnittliche Anzahl der Teilnehmenden aller abgeleiteten Kommunikationsdienste der AAKD über die letzten 12 Monate vor dem Stichtag 30. Juni muss mindestens 5000, aber weniger als 1 Million und ihr Jahresumsatz in der Schweiz in den beiden letzten Geschäftsjahren muss jeweils weniger als 100 Millionen Franken betragen haben. Dies wird durch den Verweis auf Artikel 16g Absatz 1 zum Ausdruck gebracht, da bei Erreichen dieser Grösse die Hochstufung in die 2. Stufe zur AAKD mit vollen Pflichten erfolgt (zum Begriff Teilnehmende, s. Begriffsdefinition Nr. 2 im Anhang der VÜPF). Die durchschnittliche Anzahl von Teilnehmenden wird berechnet durch Aufaddieren der monatlichen Anzahl von Teilnehmenden vom 1. Juli des Vorjahres bis zum 30. Juni des aktuellen Jahres und Division durch 12. Es werden die Teilnehmenden aller abgeleiteten Kommunikationsdienste der betreffenden AAKD aufaddiert. Die Teilnehmenden von Fernmeldediensten der gleichen Anbieterin werden dabei nicht berücksichtigt. Falls die betreffende AAKD abgeleitete Kommunikationsdienste anbietet, die keine Registrierung, keinen Vertrag und kein Zugangsmittel erfordern, werden anstatt der Teilnehmenden die aktiven Nutzerinnen und Nutzer (Unique User) pro Monat gezählt, das heisst die Nutzerinnen und Nutzer, die den Dienst mindestens einmal pro Monat tatsächlich nutzten.

Wie bei Artikel 16e Absatz 2 erläutert, wird die Hochstufung in die 1. Stufe zur AAKD mit reduzierten Pflichten nicht mehr vom Dienst ÜPF einzelfallweise erklärt, sondern erfolgt automatisch von Rechts wegen, wenn die Voraussetzungen nach Absatz 1 erfüllt sind. Der Rechtsweg bleibt weiterhin gewahrt, da die AAKD bei Streitigkeiten eine Feststellungsverfügung vom Dienst ÜPF verlangen kann, die sie dann vor dem Bundesverwaltungsgericht anfechten kann.

In Absatz 2 wird eine Meldepflicht für die AAKD mit reduzierten Pflichten analog zur Meldepflicht für die AAKD mit minimalen Pflichten vorgesehen (s. sinngemäss die Erläuterungen zu Art. 16e Abs. 2).

Gemäss Absatz 3 gilt für die Bestimmung der Anzahl der Teilnehmenden und des Jahresumsatzes der sogenannte Konzerntatbestand (s. sinngemäss die Erläuterungen

In Absatz 4 wird die Übergangsfrist nach einer Hochstufung geregelt. Eine neu hochgestufte AAKD mit reduzierten Pflichten hat innert 6 Monaten ab dem Stichtag 30. Juni die zusätzlichen Mitwirkungspflichten umzusetzen. Es handelt sich dabei um die folgenden Pflichten:

1. die Identifikation von Personen mit geeigneten Mitteln (Art. 19); 2. die Aufbewahrung der für die Auskunftserteilung erforderlichen Daten (Art. 21 Abs. 1); 3. die Erteilung der standardisierten Auskünfte (Art. 18 Abs. 3); 4. die Erteilung von besonderen Auskünften (Art. 25); 5. die Erbringung des Nachweises ihrer Auskunftsbereitschaft (Art. 31); und 6. die Entfernung der von ihr angebrachten Verschlüsselungen (Art. 27 Abs. 3 BÜPF

In Absatz 5 wird die Wieder-Herunterstufung zur AAKD mit minimalen Pflichten geregelt, das heisst wenn eine AAKD mit reduzierten Pflichten am 30. Juni des laufenden Jahres feststellt, dass sie die Voraussetzungen nach Absatz 1 nicht mehr erfüllt. Dann kann sie beim Dienst ÜPF ein Gesuch auf Herunterstufung stellen, mit Beilage der entsprechenden Nachweise. Der Dienst ÜPF prüft dieses Gesuch und erklärt sie unverzüglich zu einer AAKD mit minimalen Pflichten, wenn sie die entsprechenden Voraussetzungen nachweislich erfüllt. Ab Inkrafttreten dieser Erklärung muss die AAKD die oben (Abs. 4) aufgezählten zusätzlichen Mitwirkungspflichten nicht mehr erfüllen.

Art. 16g AAKD mit vollen Pflichten Der Gesetzgeber hat in Artikel 22 Absatz 4 und in Artikel 27 Absatz 3 BÜPF dem Bundesrat die Kompetenz eingeräumt, den AAKD weitergehende Pflichten aufzuerlegen (s. bisherige Art. 22 und 52 VÜPF). Diese Kompetenz wird mit vorliegendem Artikel genutzt. Somit sind die meisten der für die FDA geltenden Bestimmungen des BÜPF sinngemäss auf die AAKD mit vollen Pflichten anwendbar. Die Pflichten einer AAKD mit vollen Pflichten orientieren sich an den Pflichten einer FDA mit vollen Pflichten (Art. 16c).

Bei den AAKD mit vollen Pflichten handelt es sich um Anbieterinnen mit einer grossen wirtschaftlichen Bedeutung oder mit einer grossen Benutzerzahl gemäss Artikel 22 Absatz 4 und Artikel 27 Absatz 3 BÜPF, was in den beiden Grössen in Absatz 1 Buchstaben a und b zum Ausdruck kommt.

Für die Berechnung der Anzahl Teilnehmenden (Bst. a) wird auf die Erläuterungen zu Artikel 16f Absatz 1, für die Berechnung des Jahresumsatzes (Bst. b) auf die Erläuterungen zu Artikel 16b Absatz 1 Buchstabe b Ziffer 2 verwiesen. Der Betrag von 100 Millionen Franken bleibt unverändert und entspricht dem Betrag im bisherigen Artikel 52 Absatz 1 Buchstabe b VÜPF, der für die AAKD mit weitergehenden Überwachungspflichten anwendbar war.

Gemäss Absatz 2 gilt für die Bestimmung der Anzahl der Teilnehmenden und des Jahresumsatzes der sogenannte Konzerntatbestand (s. sinngemäss die Erläuterungen

In Absatz 3 werden die Übergangsfristen nach einer Hochstufung geregelt. Für die einfacher umzusetzenden Pflichten gemäss Buchstabe a gilt eine Umsetzungsfrist von 6 Monaten. Für die schwieriger umzusetzenden Pflichten gemäss Buchstabe b wird eine Umsetzungsfrist von 12 Monaten gewährt. Erinnert sei an dieser Stelle, dass die AAKD Dritte als Erfüllungsgehilfen (Art. 23 VÜPF) beiziehen kann.

In Absatz 4 wird die Wieder-Herunterstufung zur AAKD mit minimalen Pflichten oder zur AAKD mit reduzierten Pflichten geregelt. Wenn eine AAKD mit vollen Pflichten feststellt, dass sie am Stichtag die Grösse nach Absatz 1 Buchstabe a (Anzahl der Teilnehmenden) oder zum Ende ihres Geschäftsjahres die Grösse nach Absatz 1 Buchstabe b (Jahresumsatz) nicht mehr erreicht, kann sie beim Dienst ÜPF ein Gesuch auf Herunterstufung stellen, mit Beilage der entsprechenden Nachweise. Der Dienst ÜPF prüft dieses Gesuch und erklärt sie unverzüglich zu einer AAKD mit reduzierten Pflichten oder zu einer AAKD mit minimalen Pflichten, wenn sie die entsprechenden Voraussetzungen nachweislich erfüllt. Ab Inkrafttreten dieser Erklärung muss die AAKD die entsprechenden zusätzlichen Mitwirkungspflichten nicht mehr erfüllen.

Art. 16h Personen, die ihren Zugang zu einem öffentlichen Fernmeldenetz Dritten zur Verfügung stellen Eine weitere Unsicherheit bei der Auslegung des BÜPF bestand bisher bei der Abgrenzung zwischen den Kategorien FDA (Art. 2 Bst. b BÜPF) und PZD (Art. 2 Bst. e BÜPF) im Falle von professionell betriebenen öffentlichen WLAN-Zugängen (WiFi® Hotspots).

PZD sind gemäss Absatz 1 die Personen, die ihren eigenen Zugang zu einem öffentlichen Fernmeldenetz Dritten zur Verfügung stellen (z. B. WLAN-Zugang zum Internet), ohne den Zugangsdienst zu erbringen. Es spielt dabei keine Rolle, ob es sich um eine natürliche oder juristische Person handelt. Beispiele für PZD sind Privatpersonen, Hotels, Restaurants, Cafés, Spitäler, Altersheime und Schulen.

Neu ist die Festlegung der Grösse für «professionell betriebene» öffentliche WLAN- Zugänge in Absatz 2. Öffentliche WLAN-Zugänge gelten erst ab einer bestimmten Grösse als «professionell betrieben». Bei der Grössenbestimmung werden alle öffentlichen WLAN-Zugänge zusammengezählt, die von der gleichen PZD zur Verfügung gestellt werden, unabhängig davon, wo sie sich befinden. Die Grösse eines öffentlichen WLAN-Zugangs wird durch die Anzahl der maximal möglichen Endbenutzerinnen und - benutzer (Kapazität) bestimmt. Entscheidend ist dabei nicht die tatsächliche Anzahl, die gerade die jeweiligen WLAN-Zugänge benutzt, sondern die praktisch mögliche Maximalanzahl (Kapazität).

Beispiele:

einer Kapazität von max. 100 Endbenutzerinnen und -benutzern, WLAN² mit einer Kapazität von 200 und WLAN3 mit einer Kapazität von 500. Kumuliert macht das eine Kapazität von 800 und alle 3 öffentlichen WLAN-Zugänge der PZD¹ gelten damit nicht als «professionell betrieben».

einer Kapazität von max. 500 Endbenutzerinnen und -benutzern, WLAN² mit einer Kapazität von 600. Kumuliert macht das eine Kapazität von 1100 und alle beiden öffentlichen WLAN-Zugänge der PZD² gelten damit als «professionell betrieben».

Für solche «professionell betriebenen» WLAN-Zugänge gilt wie bisher die Pflicht, die Endbenutzerinnen und -benutzer mit geeigneten Mitteln zu identifizieren (Art. 19 Abs. 2 VÜPF, sog. indirekte Identifikation, z. B. per SMS an eine Mobilnummer). Diese Identifikationspflicht hat wie bisher jeweils die FDA zu erfüllen, die den Internetzugang erbringt, der dem jeweiligen WLAN-Zugang zugrunde liegt. Durch das Überschreiten der Grösse nach Absatz 2 wird eine PZD für die Tätigkeit des «Zur-Verfügung-Stellens» nicht zu einer FDA. Falls die gleiche Person jedoch auch den zugrunde liegenden Internetzugang erbringt, gilt sie für letztere Tätigkeit als FDA (gemäss Art. 16a Abs. 1 Bst. b).

Ein WLAN-Zugang gilt als öffentlich, wenn er grundsätzlich einem nicht vorbestimmten und nicht individuell identifizierten Benutzerkreis zur Verfügung steht. Der Gesetzgeber hat für die Kategorie der PZD geringere Mitwirkungspflichten vorgesehen, als für FDA. Damit wird dem Verhältnismässigkeitsprinzip Rechnung getragen.

Einerseits wäre es für die Strafverfolgung wünschenswert, eine lückenlose Identifizierung aller WLAN-Endbenutzerinnen und -benutzer sicherzustellen, andererseits wird aber eine pragmatische Lösung angestrebt, die es bei insgesamt begrenzten Nutzerzahlen gestattet, WLAN-Zugänge («WiFi») ohne Identifizierung zur Verfügung zu stellen. Dies wird durch die Festlegung einer kumulierten Kapazitätsgrenze in Absatz 2 umgesetzt.

Im Folgenden wird die Abgrenzung zwischen FDA (Art. 16a) und PZD am Beispiel von öffentlichen WLAN-Zugängen erläutert. Bei öffentlichen WLAN-Zugängen kann es unterschiedliche handelnde Personen geben:

1 Die Person, die den zugrunde liegenden Internetzugang («Internetanschluss»)

erbringt, der den WLAN-Zugang an das Internet anbindet;

1. die Person, die ihren Internetzugang Dritten per WLAN zur Verfügung stellt; und

2. die Person, die eine andere Dienstleistung für den öffentlichen WLAN-Zugang erbringt, z. B. Installation oder Wartungsarbeiten.

Bei Person 1 handelt es sich immer um eine FDA (gemäss Art. 16a Abs. 1 Bst. b), weil für Dritte (z. B. die Person 2) der Zugang zum Internet erbracht wird.

Die Person 2 ist für das «Zur-Verfügung-Stellen an Dritte» des öffentlichen WLAN- Zugangs eine PZD (Art. 2 Abs. 1 Bst. e BÜPF), auch wenn es sich um einen «professionell betriebenen» Zugang handelt.

Die Person 3 (z. B. eine Elektroinstallationsfirma) untersteht für diese andere Dienstleistung nicht dem BÜPF.

Die Person 2 kann ihr Angebot entsprechend ausgestalten, so dass der öffentliche WLAN-Zugang als professionell betrieben gilt oder nicht. Daraus ergibt sich, ob die Endbenutzerinnen und -benutzer mit geeigneten Mitteln identifiziert werden müssen (Art. 19 Abs. 2) oder nicht (s. die Ausführungen oben zu Abs. 2).

Eine weitere Variante eines öffentlichen WLAN-Zugangs zum Internet besteht darin, dass eine Person 2 lediglich ein öffentliches WLAN-Angebot einer FDA in ihren Räumlichkeiten oder auf ihrer Liegenschaft installieren lässt, das heisst, wenn diese Person 2 nicht ihren eigenen Zugang zur Verfügung stellt, sondern der öffentliche WLAN- Zugang zum Internet ein direktes Angebot einer FDA ist. In diesem Fall stellt die Person 2 nicht ihren Zugang zur Verfügung und fällt daher nicht in die Kategorie PZD (Art. 2 Abs. 1 Bst. e BÜPF). Hierbei handelt es sich um einen öffentlichen WLAN-Zugang der FDA, die auch den Internetanschluss erbringt. Demzufolge liegen die Mitwirkungspflichten nach dem BÜPF vollumfänglich bei dieser FDA.

Öffentlicher ist «professionell ist nicht «professionell WLAN-Zugang betrieben» betrieben» …

wird von einer Person 2 ist PZD. Person 2 ist PZD. Person 2 zur Verfügung Die FDA, die den zugrunde Die FDA, die den zugrunde gestellt liegenden Internetzugang liegenden Internetzugang erbringt, hat erbringt, hat die Identifikationspflichten «mit Identifikationspflicht «mit geeigneten Mitteln» nach geeigneten Mitteln» nach Art. 19 Abs. 1 betreffend die Art. 19 Abs. 1 betreffend die Person 2 und nach Art. 19 Person 2, aber keine Abs. 2 betreffend die Identifikationspflicht nach Endbenutzerinnen und Art. 19 Abs. 2 betreffend die -benutzer. Endbenutzerinnen und -benutzer.

als direktes Die angebotserbringende n/a öffentliches FDA hat Identifikations- WLAN-Angebot pflichten «mit geeigneten einer FDA Mitteln» nach Art. 19 Abs. 1 und 2 betreffend die Teilnehmenden und die Endbenutzerinnen und -benutzer (identisch).

Gliederungstitel vor Art. 17 Aufgrund des neuen Abschnittes «1. Abschnitt: Kategorien von Mitwirkungspflichtigen» für die neuen Artikel 16a-16h wird die Nummerierung des bisherigen «1. Abschnitt»

geändert zu «1a. Abschnitt». Der Titel bleibt unverändert: «Allgemeine Bestimmungen für Auskünfte und Überwachungen».

Art. 18 Pflichten betreffend die Lieferung von Auskünften durch Anbieterinnen mit vollen und reduzierten Pflichten In Absatz 1 werden die bisherigen Ausdrücke «FDA, mit Ausnahme derjenigen mit reduzierten Überwachungspflichten (Art. 51)», «AAKD mit weitergehenden Auskunftspflichten (Art. 22)» und «AAKD mit weitergehenden Überwachungspflichten (Art. 52)» redaktionell vereinfacht durch die abgekürzte Formulierung «die Anbieterinnen mit vollen Pflichten». «Anbieterinnen mit vollen Pflichten» sind zum einen die FDA mit vollen Pflichten (Art. 16c) und zum anderen die AAKD mit vollen Pflichten (Art. 16g). Die Bezeichnungen werden entsprechend der neuen Abstufung der Unterkategorien von AAKD angepasst. Ähnlich wie bisher sind nur die Anbieterinnen mit vollen Pflichten verpflichtet, sich an die Abfrageschnittstelle des Verarbeitungssystems des Dienstes ÜPF, das heisst an die Komponente zur Auskunftserteilung anzubinden. Den übrigen MWP ist es freigestellt, ob sie sich anbinden möchten.

In Absatz 2 wird ebenfalls eine redaktionelle Änderung angebracht. Die Formulierung «FDA, mit Ausnahme derjenigen mit reduzierten Überwachungspflichten» wird vereinfacht in «FDA mit vollen Pflichten». Die genannten Auskünfte, welche automatisiert zu erteilen sind, und der zweite Satz bleiben unverändert. Die neuen Auskunftstypen nach Artikel 38a, 42a und 43a sind in den «übrigen standardisierten Auskünften» enthalten. Somit sind sie grundsätzlich manuell über die Abfrageschnittstelle des Verarbeitungssystems zu erteilen. Darüber hinaus gilt wie bisher eine optionale Regelung für die automatisierte Erteilung der «übrigen standardisierten Auskünfte» («auf Wunsch und im Einvernehmen mit dem Dienst ÜPF»).

In Absatz 3 ist die einzige Änderung der Ersatz der Formulierung «FDA mit reduzierten Überwachungspflichten» durch «Anbieterinnen mit reduzierten Pflichten». Die «Anbieterinnen mit reduzierten Pflichten» setzen sich zusammen aus den «FDA mit reduzierten Pflichten» (Art. 16b) und den «AAKD mit reduzierten Pflichten» (Art. 16f).

In Absatz 4 wird die Formulierung «AAKD mit weitergehenden Pflichten gemäss Artikel 22 oder 52» durch «AAKD mit vollen Pflichten (Art. 16g)» ersetzt. Diese Änderung wurde aufgrund der neuen Abstufung und Bezeichnung der Unterkategorien von AAKD erforderlich. Die automatisierte Erteilung der Auskünfte wird nur von den AAKD mit vollen Pflichten verlangt. Dieser Absatz, der die Auskunftspflichten für AAKD mit vollen Pflichten regelt, stellt im Prinzip das Gegenstück zu Absatz 2 (Auskunftspflichten für FDA mit vollen Pflichten) dar. Mit der Definition von FDA (Art. 16a) und AAKD (Art. 16d) in dieser Vorlage besteht nun Klarheit hinsichtlich der Auskunftserteilung nach den Artikeln 48a bis 48c, die anlässlich der vorherigen Revision eingeführt wurden. Die AAKD mit vollen Pflichten sind nun nur noch von der Auskunftserteilung nach Artikel 48b befreit, da dieser Typ nur Anbieterinnen von Mobilfunkdiensten betrifft und diese keine AAKD sein können. Auskünfte nach den beiden anderen Auskunftstypen (Art. 48a und 48c) müssen die AAKD mit vollen Pflichten jedoch erteilen. Der Rest des Absatzes bleibt unverändert. Die neuen Auskunftstypen nach den Artikeln 38a, 42a und 43a sind in den «übrigen standardisierten Auskünften» des letzten Satzes enthalten. Somit sind sie grundsätzlich

manuell über die Abfrageschnittstelle des Verarbeitungssystems zu erteilen. Darüber hinaus gilt wie bisher eine optionale Regelung für die automatisierte Erteilung der «übrigen standardisierten Auskünfte» auf Wunsch der AAKD und im Einvernehmen mit dem Dienst ÜPF.

Art. 18a Sachüberschrift, Abs. 1 und 3 Es werden lediglich redaktionelle Änderungen in der Sachüberschrift und in den Absätzen 1 und 3 vorgenommen: in Absatz 1 wird die Formulierung «die AAKD ohne weitergehende Pflichten» durch «die AAKD mit minimalen Pflichten» ersetzt; in Absatz 3 wird «auf eigenen Wunsch» durch «auf Wunsch» ersetzt. Der Rest bleibt unverändert.

Art. 19 Teilnehmer- und Benutzeridentifikation In der Sachüberschrift und in Absatz 1 werden redaktionelle Änderungen vorgenommen. Die bisherige Sachüberschrift «Identifikation der Teilnehmenden» wird ersetzt durch «Teilnehmer- und Benutzeridentifikation», da es im Absatz 2 auch um Benutzerinnen und Benutzer geht, anstatt um Teilnehmende.

In Absatz 1 wird die Formulierung «die AAKD mit weitergehenden Auskunftspflichten gemäss Artikel 22, die AAKD mit weitergehenden Überwachungspflichten gemäss Artikel 52» ersetzt durch «die AAKD mit reduzierten Pflichten, die AAKD mit vollen Pflichten». Weiter wird der Verweis auf Artikel 2 BÜPF angepasst, da diese Bestimmung neu zwei Absätze enthält 31. Bei den Teilnehmenden handelt es sich um Abonnenten, Anschlussinhaber, Vertragspartner, Endkunden und so weiter, aber nicht unbedingt um die tatsächlichen Endbenutzerinnen und -benutzer, die einen Internetzugang oder ein Gerät benutzen. Wenn beispielsweise ein Internetanschluss einer Familie von verschiedenen Familienmitgliedern und privaten Gästen benutzt wird, gilt die Person, die den Vertrag für den Internetanschluss abgeschlossen hat, als Teilnehmende. Die übrigen Familienmitglieder und privaten Gäste, die den Internetanschluss ebenfalls mitbenutzen, d. h. die tatsächlichen Endbenutzerinnen und -benutzer, müssen nicht identifiziert werden. Eine Identifizierung der Endbenutzerinnen und -benutzer ist jedoch bei professionell betriebenen öffentlichen WLAN-Zugängen vorgeschrieben (s. Art. 19 Abs. 2).

Unter «geeigneten Mitteln» der Identifikation, auch mittelbare Identifikation genannt, sind implizite oder vereinfachte Registrierungen mittels vertrauenswürdiger (trusted) Angaben zu verstehen. Denkbare Beispiele sind:

• Zugangscode per SMS an Mobiltelefon und Speicherung der MSISDN;

• Identifikation mittels Kreditkarte und Speicherung der Autorisierungsdaten;

• Identifikation mittels gültiger Bordkarte auf Flughäfen und Speicherung der Bordkartendaten;

• Identifikation mittels Karte eines Vielfliegerprogramms, die den Zugang zur Lounge ermöglicht, und Speicherung der Autorisierungsdaten;

31 Siehe AS 2020 6159, 6181

• Identifikation mittels maschinenlesbarer Zeile (MRZ) des Identitätsdokuments und Speicherung der MRZ-Daten;

• Identifikation mittels vertrauenswürdiger Angaben von Roaming-Partnern und Speicherung der Autorisierungsdaten;

• individueller Zugangscode im Hotel, der an eine Gastregistrierung gekoppelt ist;

• Identifikation über SIM-Karte und Speicherung der IMSI.

Eine Anbieterin von E-Mail-Diensten kann beispielsweise ihre Identifikationspflicht mittels Speicherung und Lieferung der Angaben über den Ursprung der Verbindung beim letzten Zugriff (Art. 42a) erfüllen, ebenso eine Anbieterin von anderen Fernmelde- oder abgeleiteten Kommunikationsdiensten gemäss Artikel 43a. Die Speicherung der Angaben über den Ursprung der Verbindung lediglich bei der Eröffnung des E-Mail- Kontos (Mailbox) oder bei der erstmaligen Aktivierung des Dienstes genügt nicht, da diese Angaben in der Regel nur während 6 Monaten (Aufbewahrungszeit der Zuteilungsdaten dynamischer IP-Adressen und NAT-Daten) für die Identifikation der Teilnehmenden verwendet werden können.

In Absatz 2 wird eine Ergänzung vorgenommen, dass es sich jeweils um die FDA handelt, die den zugrundeliegenden Internetzugang erbringt. Damit wird die Unterscheidung zwischen den PZD, die professionell betriebene öffentliche WLAN-Zugänge zur Verfügung stellen, und den FDA präzisiert. Im Gegensatz zu Absatz 1 müssen hier von der FDA die Endbenutzerinnen und -benutzer identifiziert werden, nicht nur die PZD, das heisst die Anschlussinhaberin oder der Anschlussinhaber, die ihren oder der seinen Zugang Dritten zur Verfügung stellt.

Art. 20 Abs. 2 In Absatz 2 wird der Verweis auf Artikel 2 BÜPF angepasst, da diese Bestimmung neu zwei Absätze enthält 32.

Art. 20a Abs. 1 Bst. d und 1bis In Absatz 1 wird ein Buchstabe d hinzugefügt. Neu können die natürlichen Personen auch mit dem schweizerischen Führerausweis identifiziert werden. Hiermit wird einem weit verbreiteten Wunsch nach pragmatischen Lösungen stattgegeben. Es sind nur schweizerische Führerausweise im aktuellen Kreditkartenformat zugelassen. Es muss das Original oder eine amtlich zugelassene elektronische Version vorgezeigt werden. Zu beachten ist dabei, dass Kopien von schweizerischen Führerausweisen (d. h. ohne Vorzeigen des Originals) und schweizerische Führerausweise in Papierform sowie ausländische Führerausweise nicht für die Identifikation verwendet werden dürfen.

Gemäss Absatz 1bis kann neu eine natürliche Person den Identitätsnachweis auch nach Artikel 20b erbringen. Dies wenn sie ein Unternehmen betreibt, das über eine nationale

32 Siehe AS 2020 6159, 6181

Unternehmens-Identifikationsnummer (UID) gemäss dem UIDG 33 oder über eine internationale Unternehmens-Identifikationsnummer (Legal Entity Identifier, LEI) verfügt, analog wie es für juristische Personen möglich ist. Bei den natürlichen Personen handelt es sich zum Beispiel um eine Einzelfirma (s. Art. 3 Abs. 1 Bst. c UIDG und die Botschaft zum UIDG 34).

Art. 20b Abs. 1 Bst. b In Buchstabe b wird eine redaktionelle Anpassung vorgenommen: die Abkürzungen UID und LEI müssen nicht mehr ausgeschrieben werden, weil sie bereits vorher im neuen Absatz 1bis des Artikels 20a erwähnt sind.

Art. 21 Abs. 1 Buchstabe a, 5 Einleitungssatz und Bst. b sowie 6 In Absatz 1 Buchstabe a wird eine redaktionelle Änderung vorgenommen, da sich die Bezeichnungen der Unterkategorien von AAKD ändern: die Formulierung «die AAKD mit weitergehenden Pflichten gemäss Artikel 22 oder 52» wird ersetzt durch «die AAKD mit reduzierten Pflichten und die AAKD mit vollen Pflichten». Buchstabe b bleibt unverändert.

Absatz 5, Einleitungssatz, wird ebenfalls redaktionell angepasst: die Formulierung «FDA, mit Ausnahme derjenigen mit reduzierten Überwachungspflichten (Art. 51)» wird vereinfacht zu «FDA mit vollen Pflichten». Buchstabe b wird mit einem Verweis auf den neuen Artikel 38a ergänzt. Artikel 39 wird nicht mehr erwähnt, da er aufgehoben wird.

Eine weitere redaktionelle Änderung wird in Absatz 6 vorgenommen, da sich die Bezeichnungen der Unterkategorien von AAKD ändern: die Formulierung «AAKD mit weitergehenden Überwachungspflichten (Art. 52)» wird durch «AAKD mit vollen Pflichten» ersetzt. Im Gegensatz zu den FDA mit vollen Pflichten müssen AAKD mit vollen Pflichten nur die Daten gemäss Absatz 5 Buchstabe c während 6 Monaten zum Zweck der Identifikation aufbewahren. Gemäss den neuen Definitionen in den Artikeln 16a und 16d bieten AAKD keine Mobilfunkdienste und keine Netzzugangsdienste an und sind daher von Absatz 5 Buchstaben a und b nicht betroffen. Die entsprechenden Verweise können daher entfernt werden.

Art. 22 (aufgehoben) Der Artikel 22 (AAKD mit weitergehenden Auskunftspflichten) wird aufgehoben, da sich nun alle Bestimmungen betreffend die Kategorien von MWP und deren Unterkategorien im neuen 1. Abschnitt «Kategorien von Mitwirkungspflichtigen» (Art. 16a-16h) befinden. Ausserdem ändert sich die Unterteilung der Unterkategorien der AAKD. Sie werden nicht mehr nach Auskunfts- und Überwachungspflichten getrennt. Dadurch gibt es keine zu den bisherigen AAKD mit weitergehenden Auskunftspflichten äquivalente Unterkategorie mehr.

33 Bundesgesetz vom 18.06.2010 über die Unternehmens-Identifikationsnummer (UIDG, SR 431.02) 34 Botschaft vom 28.10.2009 zum Bundesgesetz über die Unternehmens-Identifikationsnummer (BBl 2009 7855)

Art. 26 Abs. 1 Bst. b und c Dieser Artikel gibt eine Übersicht über die in der Verordnung definierten Auskunftstypen. Daher wird Absatz 1 Buchstabe b mit den drei neuen Auskunftstypen der Artikel 38a ergänzt. Der Artikel 39 (IR_9_NAT) wird nicht mehr erwähnt, da er aufgehoben wird (s. die dortigen Erläuterungen).

In Buchstabe c wird eine Anpassung vorgenommen, weil der Artikel 44 neu Auskünfte über Zahlungen umfasst und nicht nur über die Zahlungsweise (s. die dortigen Erläuterungen).

Art. 27 Abs. 2 Die flexible Namenssuche wird neu explizit auch für juristische Personen geregelt. Für natürliche Personen ändert sich nichts. Bei juristischen Personen sind die Anfrage- und Suchkriterien der Name und optional der Sitz. Der Sitz sollte möglichst kantonal eingegrenzt werden können, da die juristischen Personen in kantonalen Handelsregistern erfasst sind.

Art. 28 Bst. a Ziff. 2bis, b Ziff. 1bisund 4 Dieser Artikel gibt eine Übersicht über die in der Verordnung definierten Überwachungstypen. Um die Liste der Typen der Echtzeitüberwachung mit dem neuen Überwachungstyp nach Artikel 55a (RT_61_NA_CC-TRUNC_IRI) zu ergänzen, wird in Buchstabe a eine neue Ziffer 2bis eingefügt. Die nachfolgenden Ziffern 3-5 bleiben unverändert.

In Buchstabe b wird eine neue Ziffer 1bis eingefügt, um die Liste der Typen der rückwirkenden Überwachung mit dem neuen Artikel 60a (HD_62_IP) zu ergänzen. Die nachfolgenden Ziffern 2 und 3 bleiben unverändert. In Ziffer 4 entfällt der zweite Teil «und der entsprechenden Vorbereitungen (Art. 64 und 65)», da die Artikel 64 und 65 (Vorbereitungen zu einem Antennensuchlauf) aufgehoben werden.

Art. 31 Abs. 1 Im bisherigen Text von Absatz 1 wurde nicht zwischen Auskunftsbereitschaft und Überwachungsbereitschaft unterschieden. Da die MWP je nach Kategorie und Unterkategorie unterschiedlich betroffen sind, wird nun diese Unterscheidung nach Auskunftsbereitschaft und Überwachungsbereitschaft getroffen und präzisiert, welche MWP welche Nachweise zu erbringen haben. Ausserdem werden die bisherigen durch die neuen Bezeichnungen der Unterkategorien von FDA und AAKD ersetzt. Es werden die abgekürzten Formulierungen verwendet. Die «Anbieterinnen mit reduzierten Pflichten» setzen sich zusammen aus den FDA mit reduzierten Pflichten (Art. 16b) und den AAKD mit reduzierten Pflichten (Art. 16f). Zu den «Anbieterinnen mit vollen Pflichten» gehören zum einen die FDA mit vollen Pflichten (Art. 16c) und zum anderen die AAKD mit vollen Pflichten (Art. 16g).

Art. 35 Abs. 1 Bst. b Ziff. 4 In der vorherigen Revision der Verordnung wurde im Auskunftstyp IR_6_NA die Multi- Device-Information hinzugefügt (Art. 36 Abs. 1 Bst. b Ziff. 6). In der Praxis hat sich jedoch

gezeigt, dass es für die FDA vorteilhaft sein kann, die Multi-Device-Information mit dem vorliegenden Auskunftstyp IR_4_NA zu übermitteln. Daher wird in Absatz 1 Buchstabe b eine neue Ziffer 4 hinzugefügt. Grundsätzlich soll die Multi-Device-Information im vorliegenden Auskunftstyp IR_4_NA übermittelt werden, insbesondere bei neuen Implementierungen. FDA, die bereits eine Implementierung in IR_6_NA vorgenommen haben, können dies weiterhin so belassen.

Art. 36 Abs. 1 Bst. b Ziff. 6 Wie zu Artikel 35 ausgeführt, wurde in der vorherigen Revision der Verordnung im vorliegenden Auskunftstyp IR_6_NA die Multi-Device-Information hinzugefügt (Art. 36 Abs. 1 Bst. b Ziff. 6). In der Praxis hat sich gezeigt, dass es für die FDA vorteilhaft sein kann, die Multi-Device-Information im Auskunftstyp IR_4_NA zu übermitteln (s. die Erläuterungen zu Art. 35). FDA, die bereits eine Implementierung in IR_6_NA vorgenommen haben, können dies weiterhin so belassen. Daher wird in Ziffer 6 das Wort «gegebenenfalls» eingefügt. Das bedeutet, dass eine FDA, die die Multi-Device- Information in IR_4_NA mitteilt, sie nicht auch noch im vorliegenden Typ mitteilen muss (unter dieser Voraussetzung ist die Multi-Device-Information hier optional).

Art. 37 Sachüberschrift, Abs. 1 Einleitungssatz und 3 In der Sachüberschrift wird eine redaktionelle Änderung vorgenommen, um den Begriff «Benutzerschaft» zu ersetzen. Die Formulierung «Identifikation der Benutzerschaft» wird zu «Benutzeridentifikation» geändert.

Im Einleitungssatz von Absatz 1 wird eine einfachere und kürzere Formulierung verwendet, ähnlich wie im Einleitungssatz von Artikel 38 Absatz 1.

Inhaltlich ändert sich durch beide Änderungen nichts.

Absatz 3 sieht vor, dass nur ein eindeutiges Ergebnis geliefert werden darf. Falls es zu Mehrfachergebnissen kommt, teilt die MWP dies mit, liefert aber kein Ergebnis. Die auskunftsersuchende Behörde kann dann ein neues Auskunftsgesuch IR_8_IP_NAT (Art. 38) stellen. Falls die vorhandenen Angaben nicht für eine möglichst eindeutige Benutzeridentifikation ausreichen, hat die auskunftsersuchende Behörde die Alternative, entsprechende Schritte zu unternehmen, damit eine rückwirkende Überwachung des neuen Typs HD_62_IP (Art. 60a) angeordnet und genehmigt wird (s. die dortigen Erläuterungen).

Art. 38 Auskunftstyp IR_8_IP_NAT: Benutzeridentifikation bei IP-Adressen mit NAT Die Auskünfte zur Benutzeridentifikation bei IP-Adressen mit Netzwerkadressübersetzung (NAT) werden alle in diesem Typ zusammengefasst, da der bisherige ähnliche Typ nach Artikel 39 aufgehoben wird. Zum besseren Verständnis wird die Sachüberschrift angepasst, da die bisherige Formulierung mit «nicht eindeutig zugeteilte IP-Adressen» zu Verwirrungen mit der Vorgabe nach eindeutigen Ergebnissen geführt hat. Ausserdem wird die Formulierung «Identifikation der Benutzerschaft» zu «Benutzeridentifikation» geändert.

Dieser Auskunftstyp betrifft in erster Linie FDA mit vollen Pflichten, die die entsprechenden NAT-Übersetzungsdaten während 6 Monaten aufbewahren müssen (Art. 21 Abs. 5 Bst. b). FDA mit reduzierten Pflichten, AAKD mit vollen Pflichten und AAKD mit reduzierten Pflichten müssen Auskünfte dieses Typs basierend auf den ihnen zur Verfügung stehenden Daten beantworten.

Kern dieses Auskunftstyps ist die eindeutige Benutzeridentifikation einer IP-Adresse im Zusammenhang mit NAT, genauer des Ursprungs einer bestimmten Internetverbindung, die durch einen bestimmten NAT-Übersetzungskontext bezeichnet wird. Es geht darum, möglichst eindeutig die Person oder den Netzzugang zu identifizieren, die als Urheber oder der als Ursprung einer bestimmten Internetverbindung in Frage kommt. Am bisherigen Prinzip dieses Auskunftstyps ändert sich nichts.

Absatz 1 bestimmt, welche Angaben in der Antwort zu liefern sind, falls die Identifikation erfolgreich war und ein oder mehrere Ergebnisse gefunden wurden. Im Einleitungssatz wird präziser formuliert, dass es um die Benutzeridentifikation bei IP-Adressen mit Netzwerkadressübersetzung (NAT) geht. Ausserdem werden im Gegensatz zur bisherigen Formulierung neu Mehrfachergebnisse durch die Formulierung im Plural zugelassen. Mehrfachergebnisse stellen jedoch den Ausnahmefall dar. In der Regel wird im Erfolgsfall genau ein Ergebnis gefunden (s. auch die Erläuterungen zum neuen Abs. 3). In Buchstabe a wird das Beispiel in der Klammer geändert zur andernorts ebenfalls benutzten «Kundennummer». In Buchstabe b wird im zweiten Satzteil vor dem «Identifikator, der eine Anfrage der Identifikationsangaben gemäss Artikel 19 Absatz 2 ermöglicht» ebenfalls «eindeutig» eingefügt, wie im ersten Satzteil vor «Dienstidentifikator».

Absatz 2 wird inhaltlich nicht geändert. Hier wird weiterhin bestimmt, welche Angaben das Auskunftsgesuch enthalten muss. Redaktionelle Anpassungen für eine bessere Lesbarkeit und eine kompaktere Formulierung werden in den bisherigen Buchstaben a-f vorgenommen. Die bisherigen Buchstaben b-e werden unter Buchstabe b zusammengefasst. Entsprechend wird der bisherige Buchstabe f zu Buchstabe c (Zeitpunkt). Ergänzend zu den Ausführungen im Erläuternden Bericht VÜPF vom 1. Januar 2024 betreffend den Zeitpunkt ist anzumerken, dass die beauftragte MWP bei der Suche und Identifikation der Benutzerin oder des Benutzers, der Urheberschaft oder der Herkunft mögliche geringe Toleranzabweichungen der Systemuhren zu berücksichtigen hat.

Im neuen Absatz 3 wird präzisiert, dass die Lieferung von Mehrfachergebnissen nur dann zulässig ist, wenn die Angaben gemäss Absatz 2 geeignet sind, eine möglichst eindeutige Benutzeridentifikation zu ermöglichen. Dies schliesst Mehrfachergebnisse nicht aus. Es ist leider nicht möglich, eine allgemeingültige feste Obergrenze für die Anzahl der Mehrfachergebnisse festzulegen, da diese von den individuellen technischen Gegebenheiten der MWP abhängt. Es handelt sich jedoch im Falle von Mehrfachergebnissen immer um eine geringe Anzahl von Ergebnissen. Daher hat die MWP im Fehlerfall (wenn beispielsweise ungewöhnlich viele Mehrfachergebnisse gefunden wurden) das Recht, die Auskunftsanfrage mit kurzer Begründung zurückzuweisen (bspw. wegen unvollständiger Parameter in der Anfrage). Nach Möglichkeit teilt die MWP bei einer Zurückweisung auch die Anzahl der gefundenen Ergebnisse mit. In diesem Fall

bleibt der auskunftsersuchenden Behörde die Möglichkeit, entsprechende Schritte zu unternehmen, damit eine rückwirkende Überwachung des neuen Typs HD_62_IP (Art. 60a) angeordnet und genehmigt wird (s. die dortigen Erläuterungen).

Art. 38a Auskunftstyp IR_58_IP_INTERSECT: Benutzeridentifikation durch Schnittmengenbildung Dieser neue Auskunftstyp wird geschaffen, um die Identifikation der Benutzerinnen und Benutzer, der Urheberschaft oder der Herkunft von Internetverbindungen zu verbessern. Diese Form der Auskunft wurde bisher als Spezialfall (Art. 25) abgewickelt. Aufgrund der Häufigkeit dieser Fälle wird nun eine Standardisierung als neuer Auskunftstyp vorgenommen. Es geht hierbei um Internetverbindungen, die die Behörden ermittelt haben. Dieser Auskunftstyp betrifft im Falle von NAT in erster Linie FDA mit vollen Pflichten, die die entsprechenden NAT-Übersetzungsdaten während 6 Monaten aufbewahren müssen (Art. 21 Abs. 5 Bst. b). FDA mit reduzierten Pflichten, AAKD mit vollen Pflichten und AAKD mit reduzierten Pflichten müssen im Falle von NAT Auskünfte dieses Typs basierend auf den ihnen zur Verfügung stehenden Daten beantworten.

Wenn ein Auskunftsgesuch IR_7_IP nicht zu einem eindeutigen Ergebnis führt und auch ein Auskunftsgesuch IR_8_IP_NAT nicht erfolgreich ist, kann eventuell eine Schnittmengenbildung aus den Mehrfachergebnissen zu einer eindeutigen Identifikation führen. Voraussetzung hierfür ist, dass die ermittelnden Behörden über Angaben zu mehreren Internetverbindungen der mutmasslichen Benutzerin oder des mutmasslichen Benutzers beziehungsweise der gleichen Urheberschaft oder Herkunft verfügen. Sie können dazu alle vorhandenen Angaben über die ermittelten Internetverbindungen mit diesem neuen Auskunftsgesuch an den Dienst ÜPF übermitteln, der die Anfrage dann an die entsprechende MWP weiterleitet.

Gemäss Absatz 1 bildet die MWP dann eine Schnittmenge aus allen Ergebnissen der Identifikation der Benutzerin oder des Benutzers, der Urheberschaft oder der Herkunft von allen angefragten Internetverbindungen. Im Erfolgsfall führt dies zu genau einem Ergebnis, das die MWP dann mitteilt (s. die Erläuterungen zu Abs. 4).

Absatz 2 bestimmt, welche Angaben in der Antwort zu liefern sind, falls die Identifikation und Schnittmengenbildung erfolgreich sind (genau ein Ergebnis gefunden).

Absatz 3 bestimmt, welche Angaben das Auskunftsgesuch pro angefragte Internetverbindung enthalten muss. Buchstaben a-c entsprechen den Buchstaben des Artikels 38 Absatz 2. Die Formulierung «massgeblicher Zeitpunkt» in Buchstabe c bedeutet, dass sich die Angaben in den Buchstaben a und b auf genau diesen Zeitpunkt beziehen, das heisst es ist dieser Zeitpunkt, der für die Suche und Benutzeridentifikation massgeblich ist. Für diesen Zeitpunkt gilt, wie auch bei Artikel 38 Absatz 2 Buchstabe c, dass die beauftragte MWP bei der Suche und Identifikation der Benutzerin oder des Benutzers, der Urheberschaft oder der Herkunft der angefragten Internetverbindung einerseits möglichst genaue Zeitangaben benötigt, andererseits aber auch mögliche geringe Toleranzabweichungen der Systemuhren zu berücksichtigen hat. Dies kann beispielsweise durch eine Suche mit einem etwas grösseren zeitlichen Toleranzintervall realisiert werden, um alle in Frage kommenden Internetverbindungen bei der MWP zu

bestimmen. Pro angefragte Internetverbindung kann die MWP zunächst eine Untergruppe der darauf «passenden» Internetverbindungen bilden, die sie in ihren Randdaten gefunden hat. In jeder Untergruppe sollte sich dann die oder der gesuchte Benutzerin oder Benutzer befinden, die oder der von der MWP durch Schnittmengenbildung aus allen Untergruppen herausgesucht werden kann.

In Absatz 4 wird präzisiert, dass die MWP Angaben zur Benutzerin oder zum Benutzer, zur Urheberschaft oder zur Herkunft der Internetverbindungen nur dann liefert, wenn genau ein Ergebnis vorliegt. Falls mehr als ein Ergebnis gefunden wurde, liefert die MWP keine Angaben, sondern teilt lediglich mit, dass mehr als ein Ergebnis vorhanden ist. Nach Möglichkeit teilt die MWP auch die Anzahl der vorhandenen Ergebnisse mit. Bei mehr als einem Ergebnis bleibt der auskunftsersuchenden Behörde noch die Möglichkeit, die entsprechenden Schritte zu unternehmen, damit eine rückwirkende Überwachung des neuen Typs HD_62_IP (Art. 60a) angeordnet und genehmigt wird, die möglicherweise zur Identifikation der Benutzerin oder des Benutzers, der Urheberschaft oder der Herkunft führen kann (s. die dortigen Erläuterungen).

Art. 39 (aufgehoben) Der Auskunftstyp IR_9_NAT (Auskünfte über NAT-Übersetzungskontexte) wurde in der Praxis nur sehr selten angewendet. Diese wenigen Fälle können entweder als IR_8_IP_NAT oder als Spezialfall (Art. 25) abgewickelt werden. Ein Weiterbestehen des Auskunftstyps IR_9_NAT ist nicht gerechtfertigt. Deshalb wird diese Bestimmung aufgehoben.

Art. 40 Abs. 1 Bst. b Ziff. 4 In der vorherigen Revision der Verordnung wurde im Auskunftstyp IR_12_TEL die Multi- Device-Information hinzugefügt (Art. 41 Abs. 1 Bst. b Ziff. 4). In der Praxis hat sich jedoch gezeigt, dass es für die FDA vorteilhaft sein kann, die Multi-Device-Information im vorliegenden Auskunftstyp IR_10_TEL zu übermitteln. Daher wird zu diesem Zweck in Absatz 1 Buchstabe b eine neue Ziffer 4 hinzugefügt. Grundsätzlich soll die Multi-Device- Information im vorliegenden Auskunftstyp IR_10_TEL übermittelt werden, insbesondere bei neuen Implementierungen. FDA die bereits eine Implementierung in IR_12_TEL vorgenommen haben, können dies weiterhin so belassen.

Art. 41 Abs. 1 Bst. b Ziff. 4 Wie zu Artikel 40 ausgeführt, wurde in der vorherigen Revision der Verordnung im vorliegenden Auskunftstyp IR_12_TEL die Multi-Device-Information hinzugefügt (Art. 41 Abs. 1 Bst. b Ziff. 4). In der Praxis hat sich jedoch gezeigt, dass es für die FDA vorteilhaft sein kann, die Multi-Device-Information im Auskunftstyp IR_10_TEL zu übermitteln (s. die Erläuterungen zu Art. 40). FDA, die bereits eine Implementierung der Multi-Device- Information in IR_12_TEL vorgenommen haben, können dies weiterhin so belassen. Daher wird in Ziffer 4 das Wort «gegebenenfalls» eingefügt. Das bedeutet, dass eine FDA, die die Multi-Device-Information in IR_10_TEL mitteilt, sie nicht auch noch im vorliegenden Typ mitteilen muss (unter dieser Voraussetzung ist die Multi-Device- Information hier optional).

Art. 42a Auskunftstyp IR_59_EMAIL_LAST: Auskunft über den letzten Zugriff auf einen E-Mail-Dienst Dieser Auskunftstyp dient dazu, Angaben über die letzte zugriffsrelevante Aktivität eines E-Mail-Dienstes abzufragen. Die gelieferten Angaben dienen zum einen der Identifikation der Benutzerin oder des Benutzers. Zum anderen ist der Zeitpunkt des letzten Zugriffs auf den E-Mail-Dienst massgeblich für den sogenannten Abschluss des Kommunikationsvorgangs. Für alle in der Mailbox gespeicherten Nachrichten, die bereits vor diesem Zeitpunkt in der Mailbox eingetroffen sind oder gesendet wurden, gilt nämlich, dass deren Kommunikationsvorgang als abgeschlossen zu betrachten ist und die Staatsanwaltschaft die Herausgabe dieser gespeicherten Nachrichten nach den Artikeln 263 ff. StPO 35 verfügen kann (per Editionsverfügung direkt an die Anbieterin). Inhalte von Nachrichten, die nach dem letzten Zugriff ein- oder ausgehen, können von den berechtigten Behörden nur im Rahmen einer Echtzeitüberwachung nach Artikel 59 (RT_27_EMAIL_CC_IRI) erhoben werden. Für Randdaten ist diese Abgrenzung nicht erforderlich, da die Anbieterinnen mit vollen Pflichten Randdaten während 6 Monaten aufbewahren müssen. Ausserdem müssen alle FDA und AAKD auf Verlangen die ihnen zur Verfügung stehenden Randdaten herausgeben.

In der Anfrage kann kein massgeblicher Zeitpunkt angegeben werden. Die MWP müssen bei dem vorliegenden Auskunftstyp nur über die im Moment der Anfrage letzte zugriffsrelevante Aktivität Auskunft erteilen und dies nur maximal 6 Monate rückwirkend. Über frühere Aktivitäten, die vor der letzten zugriffsrelevanten Aktivität stattgefunden haben, müssen sie keine Auskunft erteilen. Im Rahmen dieser Auskunft ist keine rückwirkende Erhebung der Zugriffsaktivitäten des E-Mail-Dienstes (History) erhältlich. Die History und die historischen Randdaten können nur über eine rückwirkende Überwachung HD_30_EMAIL (Art. 62) erhoben werden. Die Randdaten in Echtzeit des E-Mail-Dienstes sind nur über eine Echtzeitüberwachung nach Artikel 58 (RT_26_EMAIL_IRI) erhältlich.

In Absatz 1 sind die zu liefernden Angaben geregelt. Gemäss Buchstabe a ist ein im Bereich der Anbieterin eindeutiger Identifikator (z. B. Kundennummer) mitzuteilen, falls die Anbieterin der oder dem Teilnehmenden einen solchen zugeteilt hat. Der «eindeutige Dienstidentifikator» gemäss Buchstabe b bezeichnet den E-Mail-Dienst (Mailbox), auf den sich die Antwort bezieht, eindeutig (z. B. E-Mail-Adresse, Benutzername). In Buchstabe c werden die zu liefernden Angaben über den Ursprung der Verbindung bei der letzten zugriffsrelevanten Aktivität aufgezählt. Diese Angaben können für die Identifikation der Benutzerin oder des Benutzers nützlich sein. Durch die Lieferung dieser Angaben kommt die MWP ihrer Pflicht zur Identifikation von Personen mit geeigneten Mitteln gemäss Artikel 19 Absatz 1 nach. Die Speicherung der Angaben über den Ursprung der Verbindung lediglich bei der Eröffnung des E-Mail-Kontos (Mailbox) genügt nicht, da diese Angaben in der Regel nur während 6 Monaten (Aufbewahrungszeit der Zuteilungsdaten dynamischer IP-Adressen und NAT-Daten) für die Identifikation der Teilnehmenden verwendet werden können.

35 Schweizerische Strafprozessordnung vom 05.10.2007 (Strafprozessordnung, StPO; SR 312.0)

In Absatz 2 wird geregelt, was die Auskunftsanfrage enthalten muss. Beispielhaft sind als Anfragekriterium die E-Mail-Adresse und der Benutzername aufgeführt. Das Anfragekriterium muss hinreichend genau bestimmt sein, damit die Anbieterin den angefragten E-Mail-Dienst (Mailbox) eindeutig ermitteln kann. Die Anfrage kann beispielsweise auch eine Alias-E-Mail-Adresse enthalten.

Art. 43a Auskunftstyp IR_60_COM_LAST: Auskunft über den letzten Zugriff auf einen anderen Fernmelde- oder abgeleiteten Kommunikationsdienst Dieser Auskunftstyp wird neu geschaffen, um die Angaben über die letzte zugriffsrelevante Aktivität eines anderen Fernmelde- oder abgeleiteten Kommunikationsdienstes abzufragen. Die gelieferten Angaben dienen zum einen der Identifikation der Benutzerinnen und Benutzer. Zum anderen ist der Zeitpunkt des letzten Zugriffs auf den Dienst massgeblich für den sogenannten Abschluss des Kommunikationsvorgangs. In Analogie zu E-Mail gilt nämlich zum Zeitpunkt des letzten Zugriffs auf den Dienst für alle im Postfach des betreffenden Dienstes gespeicherten Nachrichten, die bereits vorher eingetroffen sind oder gesendet wurden, dass deren Kommunikationsvorgang als abgeschlossen zu betrachten ist und die Staatsanwaltschaft die Herausgabe nach den Artikeln 263 ff. StPO verfügen kann (per Editionsverfügung direkt an die Anbieterin).

In der Anfrage kann kein massgeblicher Zeitpunkt angegeben werden. Die MWP müssen bei dem vorliegenden Auskunftstyp nur über die im Moment der Anfrage letzte zugriffsrelevante Aktivität Auskunft erteilen und dies nur maximal 6 Monate rückwirkend. Über frühere Aktivitäten, die vor der letzten zugriffsrelevanten Aktivität stattgefunden haben, müssen sie keine Auskunft erteilen. Im Rahmen dieser Auskunft ist keine rückwirkende Erhebung der Zugriffsaktivitäten des Dienstes (History) erhältlich.

In Absatz 1 sind die zu liefernden Angaben geregelt. Gemäss Buchstabe a ist ein im Bereich der Anbieterin eindeutiger Identifikator (z. B. Kundennummer) mitzuteilen, falls die Anbieterin der oder dem Teilnehmenden einen solchen zugeteilt hat. Der «eindeutige Dienstidentifikator» gemäss Buchstabe b bezeichnet den Fernmelde- oder abgeleiteten Kommunikationsdienst, auf den sich die Antwort bezieht, eindeutig im Bereich der Anbieterin. In Buchstabe c werden die zu liefernden Angaben über den Ursprung der Verbindung bei der letzten zugriffsrelevanten Aktivität aufgezählt. Diese Angaben können für die Identifikation der Benutzerinnen und Benutzer nützlich sein. Durch die Lieferung dieser Angaben kommt die MWP ihrer Pflicht zur Identifikation von Personen mit geeigneten Mitteln gemäss Artikel 19 Absatz 1 nach. Die Speicherung der Angaben über den Ursprung der Verbindung lediglich bei der erstmaligen Aktivierung des Dienstes genügt nicht, da diese Angaben in der Regel nur während 6 Monaten (Aufbewahrungszeit der Zuteilungsdaten dynamischer IP-Adressen und NAT-Daten) für die Identifikation der Teilnehmenden verwendet werden können.

In Absatz 2 wird geregelt, was die Auskunftsanfrage enthalten muss. Beispielhaft sind als Anfragekriterium Nutzeradresse, Pseudonym und Push-Token aufgeführt. Das Push- Token ist ein eindeutiger applikationsspezifischer Identifikator, der für Benachrichtigungen dieser App benutzt wird. Mit diesem Identifikator wird sichergestellt, dass die Benachrichtigung des betreffenden Dienstes an eine bestimmte App auf einem bestimmten Gerät geschickt werden kann (z. B. Device Token des Apple Push

Notification Service, Registration Identifier des Google Cloud Messaging, Channel URI des Windows Push Notification Service). Dieses Anfragekriterium muss hinreichend präzise sein, damit die Anbieterin den angefragten Fernmelde- oder abgeleiteten Kommunikationsdienst eindeutig ermitteln kann.

Art. 44 Sachüberschrift, Abs. 1 Einleitungssatz, Bst. f sowie Abs. 3 Bst. d und e Dieser bereits existierende Auskunftstyp wird erweitert, um neben den Informationen über die Zahlungsweise auch Informationen über die Zahlungen der Teilnehmenden von Fernmelde- und abgeleiteten Kommunikationsdiensten abfragen zu können. Da sich die Zahlungen nicht wesentlich zwischen den einzelnen Dienstkategorien unterscheiden, werden mit diesem Auskunftstyp alle Dienstkategorien abgedeckt. Es spielt auch keine Rolle, ob es sich um Prepaid- oder abonnierte Dienste handelt. Dieser Auskunftstyp basiert auf dem ETSI-Parameter PaymentDetails.

Aufgrund der veränderten Zahlungsgewohnheiten reichen die bisherigen Abfragemöglichkeiten nach Bankkontoinformationen nicht mehr aus. Neu können auch Details über einzelne Kontozahlungen und elektronische Transaktionen abgefragt werden. Es handelt sich um Informationen, die den Strafverfolgungsbehörden beispielsweise bei weiteren Ermittlungen dienen, um die Spur der Zahlungsquellen weiter zu verfolgen oder herauszufinden, welcher Dienst aus einer bestimmten Zahlungsquelle bezahlt wurde. Mit diesem standardisierten Auskunftstyp werden die Abfragen an die entsprechenden MWP vereinfacht und beschleunigt.

In der Sachüberschrift und im Einleitungssatz von Absatz 1 wird Zahlungsweise durch Zahlungen ersetzt. Der Aufbau des Artikels bleibt unverändert. Absatz 1 hält fest, welche Angaben die MWP zu liefern hat.

Absatz 1 Buchstabe f wird komplett geändert. Es können nicht nur Bankkontoinformationen abgefragt werden, sondern alle bekannten Angaben über getätigte Zahlungen, Transaktionen, Überweisungen, Zahlungsmittel und Zahlungskonten zur Bezahlung von Fernmeldediensten und abgeleiteten Kommunikationsdiensten, wie Datum, Betrag, Währung, Zahlungsmethode (z. B. Debit, Überweisung, Prepaid, Kreditkarte, Crypto, Online), Name des Zahlungsinstituts (z. B. Bank, Online- Bezahldienst wie PayPal, mobiler Bezahldienst wie Twint, Kreditkartenfirma, Crypto- Dienstleister), Zahlungskonto (z. B. Nummer, evtl. vom Namen des Zahlungsinstituts abweichende Bezeichnung, IBAN, Name und Adresse der Kontoinhaberin oder des Kontoinhabers), Zahlungsmittel und Transaktionsnummer.

Weiterhin gilt, dass sich aus diesem Auskunftstyp keine Speicherpflichten für die MWP ergeben. Die MWP liefern die Angaben, soweit sie über diese verfügen (unveränderter Abs. 2).

Absatz 3 legt wie bisher die einzelnen Anfragekriterien für diesen Auskunftstyp fest. Buchstabe d wird komplett geändert. Demnach kann abgefragt werden:

- eine bestimmte Zahlung (z. B. Angaben über Banküberweisung mit Betrag, Datum, Zahlungsinstitut, Zahlungskonto);

• eine bestimmte Transaktion (z. B. Angaben über Transaktionen mit Cryptowährung, Kreditkarte, Online-Bezahldienst wie PayPal oder mobilem Bezahldienst wie Twint);

• ein bestimmtes Zahlungsmittel (z. B. Nummer der Kredit- oder Debitkarte);

• ein bestimmtes Zahlungskonto (z. B. IBAN oder Bankkonto-Nummer und BIC, Kontoadresse des Crypto-Kontos oder der Crypto Wallet, PayPal [E- Mail-Adresse/Mobilnummer], Twint [Mobilnummer]).

In Buchstabe e (Rechnungsadresse) werden die Angaben in der Klammer vereinfacht.

Art. 48b Abs. 2 Dieser Auskunftstyp wurde mit der vorherigen Revision eingeführt. In der Praxis hat sich gezeigt, dass das bisher in Absatz 2 als Pflichtangabe genannte Mobilfunkgebiet (Tracking Area) nicht zwingend in der Anfrage enthalten sein muss. Allgemein spricht man von standortbezogenen Angaben, zu denen auch das Mobilfunkgebiet gehört. Diese müssen nur dann in der Anfrage angegeben werden, wenn es für die eindeutige Bestimmung des permanenten Identifikators notwendig ist. Das ist beispielsweise der Fall, wenn der gleiche temporäre Identifikator zum gleichen Zeitpunkt auch noch an einem anderen Standort im gleichen Mobilfunknetz verwendet wird. Durch die standortbezogene Angabe erkennt die FDA, welche der Zuordnungen temporärpermanent gemeint ist. Damit wird die Eindeutigkeit der Anfrage sichergestellt. Die standortbezogenen Angaben sind daher optional und können in der Anfrage weggelassen werden, wenn es keine gleichzeitige Mehrfachverwendung des gleichen temporären Identifikators im angefragten Mobilfunknetz gibt.

Art. 50 Abs. 1 und Abs. 9 In Absatz 1 werden redaktionelle Änderungen vorgenommen: im ersten Satz wird der Ausdruck «jede FDA, mit Ausnahme derjenigen mit reduzierten Überwachungspflichten (Art. 51), und jede AAKD mit weitergehenden Überwachungspflichten (Art. 52)» vereinfacht durch «Die Anbieterin mit vollen Pflichten». Diese setzen sich zusammen aus den FDA mit vollen Pflichten (Art. 16c) und den AAKD mit vollen Pflichten (Art. 16g). Im zweiten Satz wird die Formulierung «AAKD mit weitergehenden Überwachungspflichten» durch «AAKD mit vollen Pflichten» (Art. 16g) ersetzt und es wird korrigiert, dass sie nicht von den aufgeführten Überwachungstypen, sondern von Überwachungen befreit sind. Sie müssen also für Überwachungen dieser Typen nicht die Überwachungsbereitschaft herstellen. Inhaltlich ändert sich nichts.

In Absatz 9, erster Satz wird eine Änderung nachgeholt im Zusammenhang mit der bereits erfolgten Einführung der Pauschalen durch die FV-ÜPF 36: Es wird der Zusatz «im Rahmen desselben Auftrages» hinzugefügt und der bisherige zweite Satz wird aufgehoben. Die Ergänzung im ersten Satz dient zur Klarstellung, dass eine solche Erweiterung einer bereits aktiven Echtzeitüberwachung oder periodischen

36 Verordnung vom 15.11.2023 über die Finanzierung der Überwachung des Post- und Fernmeldeverkehrs (FV- ÜPF; SR 780.115.1)

Positionsbestimmung nicht als neuer Auftrag zählt und damit keine Auswirkungen auf die Zählung, Statistik, Überwälzung der Kosten und Entschädigung hat. Der letzte Satz bleibt unverändert.

Art. 50a Entfernung von Verschlüsselungen Im Rahmen der Vernehmlassung zur Änderung der VÜPF vom 15. November 2023 (erste Etappe; s. Ziff. 1.2) wurde beanstandet, dass durch die Pflicht zur Entfernung der von der Anbieterin angebrachten Verschlüsselungen eine Chatüberwachung ermöglicht werde, welche aufgrund der Menschenrechte unzulässig sei37. Die Verschlüsselung der digitalen Kommunikation sei ein Grundrecht und die Aufhebung des digitalen Briefgeheimnisses verletze Artikel 13 BV 38. Dabei wurde die Bestimmung offenbar missverstanden, dass auch kundenseitige Ende-zu-Ende-Verschlüsselungen davon erfasst wären oder sich daraus gar Nutzungsverbote solcher Verschlüsselungen ergeben könnten. Die Bestimmung wurde auch in den Medien kritisiert. Im Entwurf der ersten Etappe der VÜPF- Revision war vorgesehen, dass die Pflicht zur Entfernung der von der Anbieterin angebrachten Verschlüsselungen neben den FDA (gesetzliche Pflicht gemäss Art. 26 Abs. 2 Bst. c) auch den AAKD mit weitergehenden Pflichten (Art. 22 und 52 VÜPF) auferlegt werden sollte. Aufgrund der in der ersten Etappe noch nicht umgesetzten näheren Umschreibung der Kategorien FDA und AAKD und des Status Quo bei den Kriterien zur Hochstufung von AAKD, wurde die Bestimmung in die zweite Etappe verschoben.

In dieser Vorlage wird die Bestimmung nun aufgenommen und die Pflicht zur Entfernung der von der Anbieterin angebrachten Verschlüsselungen näher umschrieben. Diese Pflicht ergibt sich aus Artikel 26 Absatz 2 Buchstabe c BÜPF für FDA und aus Artikel 26 Absatz 2 Buchstabe c in Verbindung mit Artikel 27 Absatz 3 BÜPF für AAKD, die Dienstleistungen von grosser wirtschaftlicher Bedeutung oder für eine grosse Benutzerzahl anbieten.

Der Ausdruck «Die Anbieterinnen mit reduzierten Pflichten und die Anbieterinnen mit vollen Pflichten» umfasst einerseits die FDA mit reduzierten Pflichten (Art. 16b) und die FDA mit vollen Pflichten (Art. 16c) sowie andererseits die AAKD mit reduzierten Pflichten (Art. 16f) und die AAKD mit vollen Pflichten (Art. 16g).

Nehmen wir das Beispiel einer Anbieterin, die eine abschnittsweise Verschlüsselung zwischen ihren Systemen und ihren Endkunden einsetzt, also keine Ende-zu-Ende- Verschlüsselung: Sie muss den Fernmeldeverkehr der überwachten Person an einem geeigneten Punkt unverschlüsselt erfassen und an den Dienst ÜPF ausleiten.

Wie im letzten Satz des vorliegenden Artikels festgehalten wird, ist die durchgehende Ende-zu-Ende-Verschlüsselung zwischen Endkunden beziehungsweise zwischen deren

37 Siehe auch Ergebnisbericht vom 15.11.2023 (abgeschlossene Vernehmlassungen EJPD 2022); S. 7 und 18 ad Art. 50. 38 Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18.04.1999 (BV; SR 101)

Endgeräten oder Apps von der Pflicht zur Entfernung von Verschlüsselungen nicht betroffen. In einem solchen Fall bringt die Anbieterin in der Regel nicht selbst die Verschlüsselung an und verfügt in der Regel nicht über den Schlüssel. Wenn jedoch ein Schlüssel der Anbieterin bei der Verschlüsselung verwendet wird, das heisst wenn die Anbieterin in der Lage ist, verschlüsselten Fernmeldeverkehr der überwachten Person zu entschlüsseln, dann muss sie dies auch tun.

Art. 51 und 52 (aufgehoben) Artikel 51 (FDA mit reduzierten Überwachungspflichten) und Artikel 52 (AAKD mit weitergehenden Überwachungspflichten) werden aufgehoben, weil sich die entsprechenden Bestimmungen neu in Artikel 16b (FDA mit reduzierten Pflichten) beziehungsweise in Artikel 16g (AAKD mit vollen Pflichten) befinden.

Art. 55a Überwachungstyp RT_61_NA_CC-TRUNC_IRI: Echtzeitüberwachung von Randdaten und gekürzten Inhalten bei Netzzugangsdiensten Die sogenannte Paketkürzung (Packet Truncation, Packet Slicing) ist eine neue standardisierte Variante der Überwachung und kann nur bei einer Echtzeitüberwachung mit Inhaltsdaten eines Netzzugangs angeordnet werden. Daher wird nur der vorliegende Überwachungstyp neu geschaffen. Andere Anwendungsszenarien der Paketkürzung sind nicht vorgesehen.

Die Paketkürzung bedeutet eine Kürzung von IP-Paketen durch die MWP, indem sie nur gekürzte Kopien jedes IP-Pakets des Fernmeldeverkehrs der überwachten Person ausleitet. Gekürzt werden nur die Inhaltsdaten (CC). Die Randdaten (IRI) sind nicht betroffen. Das Ziel dieser Kürzung besteht in der Verringerung des Datenvolumens der Überwachungsdaten, die über das Ausleitungsnetz transportiert und im V-FMÜ 39 verarbeitet, analysiert und gespeichert werden müssen.

Die Kürzung funktioniert so, dass nur eine bestimmte Anzahl der führenden Oktette (Bytes) von jedem IP-Paket des eingehenden und ausgehenden Fernmeldeverkehrs der überwachten Person ausgeleitet wird. Diese Anzahl der führenden Oktette kann die anordnende Behörde in der Überwachungsanordnung individuell pro Überwachung bestimmen. Der Rest jedes Pakets wird von der MWP in den ausgeleiteten Überwachungsdaten abgeschnitten und verworfen, das heisst nicht ausgeleitet. Das Original des Fernmeldeverkehrs der überwachten Person wird nicht verändert.

Der Vorteil dieser Kürzungsmethode ist die Einfachheit und der Ansatz auf einer unteren Protokollschicht (Netzwerkschicht, Schicht Nr. 3). Dadurch kann sichergestellt werden, dass alle IP-Pakete des überwachten Fernmeldeverkehrs exakt kopiert und gekürzt werden, ohne dass die MWP vom Inhalt Kenntnis nehmen muss (keine Packet Inspection). Die Kürzung bringt aber auch einen Nachteil mit sich, nämlich dass die Inhaltsdaten danach kaum noch lesbar sind, je nachdem wieviel gekürzt wird.

39 Verarbeitungssystem zur Fernmeldeüberwachung (V-FMÜ)

Die Paketkürzung wird daher in solchen Fällen eingesetzt werden, bei denen die zuständigen Behörden vor allem die Kopfdaten (Header) der IP-Pakete und eventuell weitere interessante Daten im vorderen Teil der Nutzlast (Payload) der IP-Pakete auswerten wollen, aber am hinteren Teil der Nutzlast nicht interessiert sind, weil beispielsweise die Inhalte verschlüsselt und daher nicht lesbar sind oder weil die Datenmenge extrem gross ist und daher vom V-FMÜ nicht verarbeitet werden kann oder weil die Inhalte für die Ermittlungen keine Rolle spielen.

Nur die anordnende Behörde kann je nach Bedarf eine bestimmte Anzahl der führenden Oktette (Bytes) aller IP-Pakete des überwachten Fernmeldeverkehrs anfordern, zum Beispiel die ersten 60 Oktette (Bytes) jedes IP-Pakets. Diese Anzahl gilt dann für die gesamte Dauer des Überwachungsauftrags. Die angeordnete Anzahl der führenden Oktette kann beliebig gewählt werden und muss nicht unbedingt mit dem Header oder der internen Struktur der IP-Pakete übereinstimmen. Die Änderung der angeforderten Anzahl der führenden Oktette erfordert eine neue Überwachungsanordnung und einen neuen Überwachungsauftrag an die MWP.

Die MWP verletzt die Vorschrift zur Übermittlung der Überwachungsdaten ohne Datenverlust gemäss Artikel 29 Absatz 1 Buchstabe b nicht, solange sie die Vorgabe gemäss Artikel 29 Absatz 1 Buchstabe c einhält und die übermittelten Überwachungsdaten dem Überwachungsauftrag entsprechen.

Art. 60 Bst. g In Buchstabe g wird die Möglichkeit hinzugefügt, dass eine Mobilfunkanbieterin auch die das Target betreffenden Standortangaben aus NAS-Signalisierungsnachrichten liefern kann. Dadurch sollen Häufigkeit und Qualität der Standortangaben des Targets verbessert werden. Diese Daten können nicht in jedem Fall geliefert werden, sondern nur dann, wenn die Standortangaben aus NAS-Signalisierungsnachrichten verfügbar sind. NAS (Non-access stratum) ist eine Schicht, die zwischen dem Endgerät (User Equipment, UE) und dem Kernnetz (Core Network) liegt. Sie wird benutzt, wenn der Netzzugang des Endgeräts über das Funkzugangsnetz (Radio Access Network, RAN) erfolgt. Das NAS dient zur Steuerung bestimmter Funktionen im Mobilfunknetz (z. B. Registrierung, Session Establishment, Sicherheit, Mobility Management). Über NAS werden Signalisierungsnachrichten zwischen Endgerät und Kernnetz ausgetauscht. NAS wird also dann benutzt, wenn ein Kunde oder eine Kundin über das Funkzugangsnetz telefoniert, das Internet nutzt, Nachrichten sendet und so weiter.

Art. 60a Überwachungstyp HD_62_IP: rückwirkende Überwachung zum Zweck der Teilnehmeridentifikation bei Internetverbindungen Bei der Teilnehmer- und Benutzeridentifikation besteht das Problem der Abgrenzung zwischen Randdaten und Identifikationsdaten. Randdaten dürfen nicht durch ein Auskunftsgesuch beschafft werden. Sie dürfen aber im Rahmen einer ordnungsgemäss angeordneten und genehmigten Überwachung nach Artikel 273 StPO herausverlangt werden.

Dieser rückwirkende Überwachungstyp wird eingeführt, um das Problem der Mehrfachantworten bei den Auskunftsgesuchen IR_7_IP (Art. 37), IR_8_IP_NAT (Art. 38) und

nur eine eindeutige Benutzeridentifikation zugelassen, das heisst nur wenn jeweils genau ein Ergebnis gefunden wird, darf dieses Ergebnis geliefert werden. Bei IR_8_IP_NAT ist ebenfalls das Ziel, möglichst ein eindeutiges Ergebnis zu erhalten. Im Ausnahmefall kann es jedoch zu Mehrfachergebnissen kommen, deren Lieferung nur dann zulässig ist, wenn die im Auskunftsgesuch gelieferten Angaben geeignet sind, eine möglichst eindeutige Benutzeridentifikation zu ermöglichen. Der Grund für diese Einschränkung ist, damit nicht falsch-positive Ergebnisse im vereinfachten Verfahren der Auskünfte mitgeteilt werden. Bei IR_7_IP und IR_58_IP_INTERSECT wird daher bei Mehrfachtreffern sowie bei IR_8_IP_NAT im Fehlerfall nur die Angabe geliefert, dass mehr als ein Ergebnis gefunden wurde und, falls die auskunftserteilende Anbieterin diese kennt, auch die Anzahl der Ergebnisse. Die anordnende Behörde und die Genehmigungsbehörde können dann jeweils im Einzelfall abwägen, ob es verhältnismässig ist, alle Ergebnisse, also auch die falsch-positiven Ergebnisse, mittels des vorliegenden rückwirkenden Überwachungstyps herauszuverlangen.

Zu den gelieferten Ergebnissen des vorliegenden Überwachungstyps müssen noch weitere Ermittlungen angestellt werden, um die gesuchte Benutzerin oder den gesuchten Benutzer oder die Angaben über den gesuchten Ursprung der Internetverbindung in den gelieferten Ergebnissen zu finden. Aufgrund der Mehrfachbenutzung der fraglichen (Quell-)IP-Adresse können sich in den gelieferten Ergebnissen auch Angaben zu unbeteiligten Dritten befinden. Der vorliegende Überwachungstyp ist daher in der Schwere des Grundrechtseingriffs mit dem Antennensuchlauf vergleichbar.

Absatz 1 bestimmt, dass diese rückwirkende Überwachung in zwei Varianten ausgeführt werden kann. Bei Anordnung der Variante gemäss Buchstabe a hat die MWP eine Benutzeridentifikation im Sinne des Artikels 38 durchzuführen (s. auch die Erläuterungen dazu). Wenn die Variante gemäss Buchstabe b angeordnet wird, nimmt die MWP eine Benutzeridentifikation durch Schnittmengenbildung im Sinne des Artikels 38a vor (s. auch die Erläuterungen dazu).

In Absatz 2 werden die Angaben geregelt, die die MWP im Ergebnis zu übermitteln hat. Diese entsprechen den zu übermittelnden Angaben gemäss Artikel 38 Absatz 1 respektive Artikel 38a Absatz 2, mit dem Unterschied, dass hier mehrere Ergebnisse übermittelt werden können.

Absatz 3 bestimmt, welche Angaben die Überwachungsanordnung pro angefragte Internetverbindung enthält. Wie bei den Auskunftstypen IR_8_IP_NAT (Art. 38) und IR_58_IP_INTERSECT (Art. 38a), gilt auch hier die Vorgabe, dass im Überwachungsauftrag pro angefragte Internetverbindung ein massgeblicher Zeitpunkt anzugeben ist, nicht aber ein Zeitraum. Ein Zeitraum würde die Anzahl der möglichen Ergebnisse noch weiter erhöhen. Die beauftragte MWP hat bei der Benutzeridentifikation mögliche geringe Toleranzabweichungen der Systemuhren zu berücksichtigen (s. die Erläuterungen zu Art. 38 Abs. 2 Bst. c und Art. 38a Abs. 3 Bst. c).

Die Angabe der öffentlichen Quell-IP-Adresse gemäss Buchstabe a ist notwendig. Dabei handelt es sich um die öffentliche IP-Adresse, die im Internet als Originating IP sichtbar ist.

Die Angaben gemäss Buchstabe b müssen nur gemacht werden, wenn dies für die Identifikation notwendig ist, d. h. insbesondere bei NAT. Dies ist eine technische Bedingung und hängt davon ab, ob und welches NAT-Verfahren bei der MWP eingesetzt wird. Die anordnende Behörde kann die entsprechenden Informationen vor Anordnung der Überwachung über den Dienst ÜPF bei der MWP einholen (Art. 16 Bst. c BÜPF). In den Ziffern 1-4 sind die entsprechenden technischen Parameter aufgezählt. In der Regel ist bei NAT immer die Angabe nach Ziffer 1 erforderlich. Es handelt sich dabei um die öffentliche Quell-Portnummer (Source Port). Die Angabe von weiteren Parametern nach den Ziffern 2-4 erhöht die Treffergenauigkeit. Es kann jedoch vorkommen, dass den Behörden nur unvollständige Angaben über die angefragten Internetverbindungen vorliegen (insb. fehlende Quell-Portnummern). Dieser Mangel kann durch die Schnittmengenbildung aus den Ergebnissen der Benutzeridentifikation von mehreren Internetverbindungen (Abs. 1 Bst. b) wettgemacht werden. Es sind dann zwar noch immer falsch-positive Ergebnisse in der Schnittmenge möglich, jedoch sind diese viel weniger zahlreich, als bei der Benutzeridentifikation einer einzigen Internetverbindung mit unbekannter Quell-Portnummer.

Art. 64 und 65 (aufgehoben) Der Überwachungstyp AS_32_PREP_COV (Netzabdeckungsanalyse in Vorbereitung eines Antennensuchlaufs; Art. 64) wurde in der Praxis sehr selten angewendet. Der Überwachungstyp ist infolge der Komplexität der Mobilfunknetzstruktur nicht mehr zeitgemäss. Die erhaltenen Informationen sind lückenhaft und deshalb zu wenig aussagekräftig. Deshalb kann diese Bestimmung aufgehoben werden.

Auch der Überwachungstyp AS_33_PREP_REF (Referenzkommunikationen oder Referenznetzzugänge in Vorbereitung eines Antennensuchlaufs; Art. 65) wurde in der Praxis sehr selten angewendet und kann aus den gleichen Gründen wie Artikel 64 aufgehoben werden.

Art. 66 Abs. 1 In Absatz 1 werden Mobilfunkzellen und öffentliche WLAN-Zugänge neu in den Plural gesetzt. Ein Antennensuchlauf konnte bisher schon mehrere Mobilfunkzellen oder öffentliche WLAN-Zugänge umfassen. Für die Abrechnungsweise nach der alten GebV- ÜPF 40 war jedoch für die Anzahl der Überwachungsaufträge die Anzahl der betroffenen Mobilfunkzellen oder öffentlichen WLAN-Zugänge massgebend.

Die FV-ÜPF 41 hat diese Abrechnungsweise abgelöst. Seit Inkrafttreten der FV-ÜPF auf den 1. Januar 2024 werden Antennensuchläufe nicht mehr pro Mobilfunkzelle oder öffentlichen WLAN-Zugang gezählt, sondern pro beauftragte FDA und für jeden Zeitraum

40 Verordnung vom 15. November 2017 über die Gebühren und Entschädigungen für die Überwachung des Post- und Fernmeldeverkehrs (GebV-ÜPF, AS 2018 201; 2020 2061; 2022 301 Ziff. I 13]) 41 Verordnung vom 15. November 2023 über die Finanzierung der Überwachung des Post- und Fernmeldeverkehrs

(FV-ÜPF, SR 780.115.1)

von maximal zwei Stunden, unabhängig von der Anzahl der betroffenen Mobilfunkzellen und öffentlichen WLAN-Zugänge. Daher gilt für einen Überwachungsauftrag, dass mehrere Mobilfunkzellen und öffentliche WLAN-Zugänge für das gleiche Intervall von

2 Stunden bei der gleichen FDA gemeinsam beauftragt werden können. Die

Formulierung orientiert sich weiterhin am Überwachungsauftrag und daraus begründet sich die Pluralsetzung.

Der genaue Ablauf gestaltet sich dabei wie folgt: Die anordnende Behörde erstellt eine Anordnung, in welcher sie genau definiert, welche Mobilfunkzellen und/oder WLAN- Zugänge bei welcher FDA und für welchen Zeitraum zu überwachen sind. Die Anordnung kann somit beliebig viele Mobilfunkzellen und/oder öffentliche WLAN-Zugänge bei mehreren FDA enthalten und einen beliebigen Zeitraum umfassen. Wie bisher ist diese Anordnung von der zuständigen Genehmigungsbehörde zu genehmigen und dem Dienst ÜPF zu übermitteln.

In der WMC wird die von der anordnenden Behörde erhaltene Anordnung in WMC- Aufträge pro FDA und pro Zeitraum von maximal zwei Stunden unterteilt. Anschliessend werden daraus die entsprechenden technischen Beauftragungen an die FDA in Form von einzelnen technischen Abfragen für die Lieferung der Randdaten erzeugt. Wie bisher erfolgt dies einzeln pro Mobilfunkzelle oder öffentlichen WLAN-Zugang. Dazu dient die technische Abfrage AS_34 für die erste Mobilfunkzelle oder den ersten öffentlichen WLAN-Zugang des entsprechenden WMC-Auftrags. Falls dieser WMC-Auftrag weitere Mobilfunkzellen oder öffentliche WLAN-Zugänge enthält, wird je eine technische Abfrage AS_34_MORE pro weitere Mobilfunkzelle oder pro weiteren öffentlichen WLAN-Zugang erstellt. Allfällige AS_34_MORE können nur zusammen mit einer AS_34 beauftragt werden und sind integraler Bestandteil des Überwachungstyps AS_34. Sie betreffen den gleichen WMC-Auftrag und somit den gleichen Zeitraum von maximal zwei Stunden und sind an die gleiche FDA gerichtet.

Zusammenfassend kann festgehalten werden, dass ein WMC-Auftrag (pro FDA und pro Zeitraum von max. 2 Stunden) einem Auftrag zur rückwirkenden Überwachung des Typs Antennensuchlauf (Überwachungsauftrag) AS_34 entspricht. Eine solche Überwachung, bestehend aus einer technischen Abfrage AS_34 (erste Zelle/erster WLAN-Zugang) und optional je einer weiteren technischen Abfrage AS_34_MORE für jede weitere Zelle/jeden weiteren WLAN-Zugang, kann also mehrere Mobilfunkzellen oder öffentliche WLAN- Zugänge umfassen. Die Anzahl der Antennensuchläufe und somit die Anzahl der WMC- Aufträge entspricht der Anzahl der technischen Abfragen AS_34 (erste Zelle/erster WLAN-Zugang) pro FDA und pro Zeitraum von max. 2 Stunden.

Zum besseren Verständnis wird der Ablauf anhand eines Beispiels dargelegt. Sollen zum Beispiel für die Zellen A, B und C bei der FDA Y und für die Zellen D und E bei der FDA Z für einen Zeitraum von 5 Stunden Antennensuchläufe durchgeführt werden, so übermittelt die anordnende Behörde dem Dienst ÜPF ihre entsprechende Anordnung. In der WMC wird diese Anordnung in die folgenden WMC-Aufträge pro FDA und pro Zeitraum von maximal zwei Stunden unterteilt:

1. WMC-Auftrag 1 für Zellen A, B und C bei FDA Y für die ersten 2 Stunden,

2. WMC-Auftrag 2 für Zellen A, B und C bei FDA Y für die Stunden 3 und 4 sowie 3) WMC-Auftrag 3 für Zellen A, B und C bei FDA Y für die letzte Stunde 5. 4) WMC-Auftrag 4 für Zellen D und E bei FDA Z für die ersten 2 Stunden, 5) WMC-Auftrag 5 für Zellen D und E bei FDA Z für die Stunden 3 und 4 sowie 6) WMC-Auftrag 6 für Zellen D und E bei FDA Z für die letzte Stunde 5. Das macht insgesamt 6 WMC-Aufträge.

Die WMC erstellt und sendet gemäss diesem Beispiel die technischen Abfragen an die FDA Y wie folgt (die technischen Abfragen betreffen immer den gleichen Zeitraum wie der Überwachungsauftrag):

1) Überwachungsauftrag 1: technische Abfrage 1 AS_34 für Zelle A für die ersten 2 Stunden, technische Abfrage 1-1 AS_34_MORE für Zelle B und technische Abfrage 1-2 AS_34_MORE für Zelle C; 2) Überwachungsauftrag 2: technische Abfrage 2 AS_34 für Zelle A für die Stunden 3 und 4, technische Abfrage 2-1 AS_34_MORE für Zelle B und technische Abfrage 2-2 AS_34_MORE für Zelle C; 3) Überwachungsauftrag 3: technische Abfrage 3 AS_34 für Zelle A für die letzte Stunde 5, technische Abfrage 3-1 AS_34_MORE für Zelle B und technische Abfrage 3-2 AS_34_MORE für Zelle C. Ebenso erstellt und sendet die WMC gemäss obigem Beispiel die technischen Abfragen an die FDA Z wie folgt (die technischen Abfragen betreffen immer den gleichen Zeitraum wie der Überwachungsauftrag):

1) Überwachungsauftrag 4: technische Abfrage 4 AS_34 für Zelle D für die ersten 2 Stunden und technische Abfrage 4-1 AS_34_MORE für Zelle E; 2) Überwachungsauftrag 5: technische Abfrage 5 AS_34 für Zelle D für die Stunden 3 und 4 und technische Abfrage 5-1 AS_34_MORE für Zelle E; 3) Überwachungsauftrag 6: technische Abfrage 6 AS_34 für Zelle D für die letzte Stunde 5 und technische Abfrage 6-1 AS_34_MORE für Zelle E. Das macht insgesamt 6 Überwachungsaufträge AS_34 an 2 FDA (3 Aufträge an FDA Y und 3 Aufträge an FDA Z), was den 6 WMC-Aufträgen, 6 Antennensuchläufen resp. 6 rückwirkenden Überwachungen in diesem Beispiel entspricht.

Art. 74b Abs. 2 In Absatz 2 werden redaktionelle Änderungen vorgenommen. Der Ausdruck «FDA, mit Ausnahme derjenigen mit reduzierten Überwachungspflichten (Art. 51)» wird vereinfacht durch «FDA mit vollen Pflichten». Die Unterkategorie der FDA mit vollen Pflichten ist in Artikel 16c definiert. Inhaltlich ändert sich nichts.

Art. 74c Übergangsbestimmung zur Änderung vom XXX Dieser neue Artikel regelt die Übergangsbestimmungen und -fristen betreffend die vorliegende Verordnungsrevision. Alle Fristen im vorliegenden Artikel beginnen mit Inkrafttreten der Verordnungsrevision (Änderung vom XXX).

In Absatz 1 wird eine Meldefrist von 3 Monaten für diejenigen AAKD festgelegt, die zum Zeitpunkt des Inkrafttretens bereits eines der Kriterien zur Hochstufung nach Artikel 16f Absatz 1 oder Artikel 16g Absatz 1 erfüllen.

Absatz 2 legt eine Übergangsfrist von 6 Monaten für FDA mit vollen Pflichten fest, um die neuen Auskunftstypen gemäss Artikel 38a (IR_58_IP_INTERSECT), Artikel 42a

Absatz 3 gilt ebenfalls für FDA mit vollen Pflichten und legt für die Implementierung betreffend den neuen Überwachungstyp RT_61_NA_CC-TRUNC_IRI gemäss Artikel 55a eine Übergangsfrist von 12 Monaten und betreffend den neuen Überwachungstyp HD_62_IP gemäss Artikel 60a eine Übergangsfrist von 6 Monaten fest. Der Implementierungsaufwand für die FDA dürfte bei dem erstgenannten Überwachungstyp voraussichtlich relativ hoch sein, daher wird eine längere Frist eingeräumt.

II. Anhang Ziff. 1bis, 1ter, 42 und 48bis Der Anhang «Begriffe und Abkürzungen» der VÜPF (zu Art. 2) wird um vier neue Ziffern ergänzt: Einwegkommunikation (Art. 16d), Mehrwegkommunikation (Art. 16d), Target-ID (Art. 49 Abs. 1 Bst. h) und Target (Art. 54 Abs. 2 Bst. h). In Klammern ist jeweils die Bestimmung angegeben, in der der Begriff zum ersten Mal in der VÜPF vorkommt. Im Anhang sind die Begriffe in der Reihenfolge aufgeführt, in der sie in der VÜPF erscheinen.

III. VVS-ÜPF Art. 2 Abs. 1 Absatz 1 wird an die neuen Bezeichnungen der Unterkategorien von FDA und AAKD angepasst. Der Ausdruck «Anbieterinnen mit vollen Pflichten» umfasst zum einen die FDA mit vollen Pflichten (Art. 16c VÜPF) und zum anderen die AAKD mit vollen Pflichten (Art. 16g VÜPF). Der Rest bleibt unverändert.

3.2 VD-ÜPF

Art. 5 Abs. 1 Im Zusammenhang mit der Revision des FMG vom 22. März 2019 42 wurde Artikel 2 BÜPF neu in zwei Absätze gegliedert 43. Aus diesem Grund wird der Verweis auf Artikel 2 BÜPF mit «Absatz 1» ergänzt.

Art. 14 Abs. 2 Einleitungssatz sowie Bst. c Einleitungssatz und d sowie Abs. 3 Einleitungssatz und Bst. b sowie Abs. 4 Im Einleitungssatz von Absatz 2 wird lediglich eine redaktionelle Anpassung mit dem Ausdruck «Anbieterinnen mit vollen Pflichten» vorgenommen, der zum einen die FDA mit vollen Pflichten (Art. 16c VÜPF) und zum anderen die AAKD mit vollen Pflichten (Art. 16g VÜPF) umfasst.

Im Einleitungssatz von Buchstabe c werden die folgenden neuen Auskunftstypen hinzugefügt:

• der Auskunftstyp IR_59_EMAIL_LAST: Auskünfte über E-Mail-Dienste (Art. 42a VÜPF); und

• der Auskunftstyp IR_60_COM_LAST: Auskünfte über andere Fernmelde- oder abgeleitete Kommunikationsdienste (Art. 43a VÜPF).

In Buchstabe d wird der folgende neue Auskunftstyp hinzugefügt: - der Auskunftstyp IR_58_IP_INTERSECT: Identifikation der Benutzerschaft durch Schnittmengenbildung (Art. 38a VÜPF); Die Beantwortung von Auskunftsgesuchen dieser drei neuen Auskunftstypen ist eher aufwändig. Die Bearbeitungsfrist während der Normalarbeitszeiten wird für sie daher auf einen Arbeitstag festgelegt. Die kurze Bearbeitungsfrist von einer Stunde nach Buchstabe b wäre zu kurz.

Ein Unterschied besteht allerdings in der Bearbeitungsfrist ausserhalb der Normalarbeitszeiten (Pikett). Die neuen Auskunftstypen gemäss Artikel 42a und 43a VÜPF sind Teil der Pikettpflichten (Art. 11 VÜPF). Daher werden sie zu Buchstabe c hinzugefügt.

Der Auskunftstyp gemäss Artikel 38a ist nicht Teil der Pikettpflichten (Art. 11 VÜPF). Daher wird er zu Buchstabe d hinzugefügt.

Im Einleitungssatz von Absatz 3 wird lediglich eine redaktionelle Anpassung mit dem Ausdruck «Anbieterinnen mit reduzierten Pflichten» vorgenommen, der zum einen die

42 Siehe AS 2020 6159, 6181 betreffend die Änderungen im BÜPF 43 Siehe AS 2020 6159, 6181

FDA mit reduzierten Pflichten (Art. 16b VÜPF) und zum anderen die AAKD mit reduzierten Pflichten (Art. 16f VÜPF) umfasst.

Absatz 4 wird an die neuen Bezeichnungen der Unterkategorien von AAKD angepasst. Statt bisher «AAKD ohne weitergehende Pflichten» wird der Ausdruck «AAKD mit minimalen Pflichten» (Art. 16e VÜPF) gebraucht. Materiell erfolgt hier keine Änderung.

Art. 20 Anbindung der Systeme einer Anbieterin an das Verarbeitungssystem des Dienstes ÜPF Absatz 1 und 2 werden an die neuen Bezeichnungen der Unterkategorien von FDA und AAKD angepasst. Der Ausdruck «Anbieterinnen mit vollen Pflichten» umfasst zum einen die FDA mit vollen Pflichten (Art. 16c VÜPF) und zum anderen die AAKD mit vollen Pflichten (Art. 16g VÜPF). Die «Anbieterinnen mit reduzierten Pflichten» (in Abs. 1) setzen sich zusammen aus den FDA mit reduzierten Pflichten (Art. 16b VÜPF) und den AAKD mit reduzierten Pflichten (Art. 16f VÜPF).

Anhang 1 Die Technischen Vorschriften für die Schnittstellen für die Durchführung der Fernmeldeüberwachung (Ausgabe 4.0) werden mit den neuen Auskunfts- und Überwachungstypen ergänzt. Ausserdem werden einige Anpassungen in bestehenden Typen vorgenommen.

4 Auswirkungen

4.1 Auswirkungen auf den Bund

Die vorgesehenen Anpassungen der VÜPF, der VD-ÜPF und der VVS-ÜPF44 werden aus heutiger Sicht keine erheblichen finanziellen und personellen Auswirkungen auf den Bund haben.

Die neuen Definitionen der FDA und AAKD, ihre Unterkategorien sowie die Integrierung der neuen Auskunfts- und Überwachungstypen in den entsprechenden Komponenten des Verarbeitungssystems des Dienstes ÜPF werden gewisse Anpassungen im V-FMÜ (zusätzliche Prozessabläufe, Änderungen der Funktionalitäten usw.) mit sich ziehen. Für den Dienst ÜPF rechnet man deshalb mit zusätzlichen Ausgaben, die aber mit den aktuell budgetierten Mitteln gedeckt werden können.

4.2 Auswirkungen auf Kantone und Gemeinden

Einige Änderungen in der VÜPF, insbesondere die neuen Auskunfts- und Überwachungstypen, betreffen die Kantone, namentlich die Strafverfolgungsbehörden

44 Die Änderung von Art. 2 Abs. 1 VVS-ÜPF erfolgt mit der Änderung der VÜPF (Ziff. III).

(Staatsanwaltschaften und Polizei), die dadurch neue Möglichkeiten in der Überwachung erhalten.

4.3 Auswirkungen auf die MWP

Die neuen Bestimmungen werden kleine, mittlere und grosse Unternehmen betreffen, die in der Telekommunikationsbranche tätig sind. Insbesondere die neuen Definitionen und die Bestimmungen der jeweiligen Hoch- und Herunterstufungen (Up- und Downgrades) in der VÜPF können für einzelne MWP finanzielle und wirtschaftliche Konsequenzen haben. Welche technischen Anpassungen die MWP infolge dieser Teilrevisionen vornehmen müssen, hängt von der Ausgestaltung ihrer Systeme ab. Mit den neuen Bestimmungen der Kategorien der Anbieterinnen ändert sich auch die Aufteilung der AAKD in neu drei Kategorien. Die Pflichten werden zwischen den verschiedenen Kategorien und Unterkategorien der MWP besser und verhältnismässiger verteilt. Nur wenigen MWP dürften zukünftig erhebliche zusätzliche Aufgaben auferlegt werden. Zum Beispiel eine Mailanbieterin mit grosser wirtschaftlicher Bedeutung oder für eine grosse Benutzerschaft könnte in Zukunft verpflichtet werden, rückwirkende Überwachungen durchzuführen. Die allgemeine aktuelle rechtliche Situation betreffend die Pflichten der MWP wird sich hingegen nicht massgeblich verändern.

Auf das derzeit geltende Entschädigungssystem und die Gesamtsumme der Entschädigung an die MWP, die Gegenstand der FV-ÜPF sind, haben diese Änderungen keinen Einfluss.

5 Rechtliche Aspekte

5.1 Verfassungsmässigkeit

Die Änderungen des vorliegenden Entwurfs im Zusammenhang mit den neuen Kategorien und den Bestimmungen der jeweiligen Hoch- und Herunterstufung der Anbieterinnen stützen sich auf den neuen Artikel 2 Absatz 2 BÜPF, der mit der Revision vom 22. März 2019 des FMG eingeführt wurde (s. Ziff. 1.1.). Diese Änderung des FMG stützt sich ihrerseits auf Artikel 92 BV 45. Mit der näheren Umschreibung der Kategorien und insbesondere mit der neuen Unterteilung der AAKD in drei statt zwei Unterkategorien (s. Ziff. 1.1.) soll eine ausgewogenere und dem verfassungsrechtlichen Grundsatz der Verhältnismässigkeit (Art. 5 Abs. 2 BV) besser entsprechende Abstufung der Pflichten der verschiedenen Unterkategorien der AAKD erreicht werden. Im Bericht 46 in Erfüllung des Postulats

45 Siehe Ziff. 5.1 der Botschaft vom 06.09.2017 zur Revision des Fernmeldegesetzes (BBl 2017, 6559, 6692) 46 Bericht des Bundesrates vom 18.10.2023 und die Medienmitteilung vom 18.10.2023 « Fernmeldeüberwachung. Einfachere Kategorisierung von mitwirkungspflichtigen Unternehmen geplant».

19.4031 Albert Vitali 47 «Für ein verhältnismässiges Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs» sieht der Bundesrat nur bei der VÜPF Handlungsbedarf (das BÜPF ist genügend KMU-freundlich). Die VÜPF soll klare Definitionen für MWP, insbesondere FDA und AAKD, vorsehen. Aus diesen Definitionen soll leicht ersichtlich sein, in welche Kategorie eine Anbieterin fällt und welche Pflichten und Kosten auf sie zukommen (s. insb. die Ziff. 4.1 und 5.2 des Berichts). Im Sinne einer funktionierenden Fernmeldeüberwachung, für welche ein überwiegendes öffentliches Interesse besteht, ist die Pflichtenverteilung nach dem vorliegenden Entwurf gerechtfertigt. Dies trägt entscheidend dazu bei, dass die Fernmeldeüberwachung wirksam bleibt und weiterhin ihren Zweck erfüllen kann. Die vorgesehenen Änderungen stellen somit eine pragmatische Lösung dar, um die finanzielle Belastung der KMU gering zu halten. Die übrigen Änderungen des Entwurfs, insbesondere die neuen Auskunfts- und Überwachungstypen, stützen sich auf das BÜPF, das sich seinerseits auf Artikel 92 Absatz 1 (Post- und Fernmeldewesen) und Artikel 123 Absatz 1 (Strafrecht und Strafprozessrecht) der Bundesverfassung (BV) stützt. Andere Verfassungsbestimmungen, wie der Schutz der Privatsphäre (Art. 13 BV), die Sicherheit (Art 57 BV) und das Strafprozessrecht (Art. 123 BV), betreffen die VÜPF in der einen oder anderen Weise. Sie wurden im vorliegenden Entwurf ebenfalls berücksichtigt.

5.2 Vereinbarkeit mit internationalen Verpflichtungen der Schweiz

Die Vorlage ist mit internationalen Verpflichtungen der Schweiz vereinbar.

5.3 Erlassform

Es handelt sich hier um die Teilrevision von zwei Verordnungen des Bundesrates im Sinne von Artikel 182 BV (VÜPF und VVS-ÜPF) und um die Teilrevision einer Verordnung des EJPD (VD-ÜPF).

5.4 Unterstellung unter die Ausgabenbremse

Mit der Vorlage werden weder neue Subventionsbestimmungen geschaffen, die Ausgaben über einem der Schwellenwerte nach sich ziehen, noch neue Verpflichtungskredite oder Zahlungsrahmen (mit Ausgaben über einem der Schwellenwerte) beschlossen.

5.5 Einhaltung der Grundsätze des Subventionsgesetzes

Die Vorlage steht in keinem Zusammenhang mit dem Subventionsgesetz.

47 Postulat 19.4031 Albert Vitali: www.parlament.ch/de/ratsbetrieb/suche-curia-vista/geschaeft?AffairId=20194031

5.6 Delegation von Rechtsetzungsbefugnissen

Die Vorlage enthält keine Delegation von Rechtsetzungsbefugnissen.

5.7 Datenschutz

Der neue Artikel 22 DSG 48, in Kraft seit dem 1. September 2023, sieht vor, dass vorgängig eine Datenschutz-Folgenabschätzung (DSFA) zu erstellen ist, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann. Gemäss Absatz 2 ergibt sich das hohe Risiko, insbesondere bei Verwendung neuer Technologien, aus der Art, dem Umfang, den Umständen und dem Zweck der Bearbeitung. Es liegt namentlich vor: a. bei der umfangreichen Bearbeitung besonders schützenswerter Personendaten; oder b. wenn systematisch umfangreiche öffentliche Bereiche überwacht werden. Die durchgeführte DSFA ergab, dass für diese Vorlage kein hohes Risiko vorliegt.

48 Bundesgesetz vom 25.09.2020 über den Datenschutz (Datenschutzgesetz, DSG; SR 235.1)